Turvalisus ja privaatsus
Ärge küsige ainult, kas andmed on turvalised. Küsige lepingut.
Teenusepakkuja peaks määratlema õiguslikud rollid, organisatsiooni piirid, juurdepääsureeglid, säilitamise, varukoopiad, ekspordi, alamtöötlejad ja tõendid peamiste kontrollimeetmete toimimise kohta.
See materjal ei ole õigusnõuanne ega turvasertifikaat. See selgitab kontrollküsimusi ja Ariveno praegust avalikku lepingut; tehniline seisund nõuab pidevat jälgimist.
1. Määrake rollid ja minimaalne vajalik andmemaht
Salong on oma klientide andmete vastutav töötleja, samal ajal kui broneerimissüsteemi pakkuja töötleb neid tavaliselt teenuse osutamiseks. Maksete, arvelduse, turvalisuse või õiguslike kohustuste puhul võivad kehtida eraldi rollid. Tingimused ja andmetöötlusleping peaksid need rollid dokumenteerima.
Broneerimissüsteem ei tohiks soodustada terviseandmete ega muude eriliiki isikuandmete sisestamist ilma selleks kavandatud õigusliku aluse ja kontrollimeetmeteta. Igal väljal peab olema eesmärk, vastutaja ja säilitamisaeg.
2. Kontrollige organisatsiooni piire ja õigusi
Väli tenantId ei loo eraldatust. Organisatsiooni kontekst peab tulenema autenditud seansist ja liikmesusest ning taustasüsteem peab tagasi lükkama avaliku päringu identifikaatori, mis on volitatud kontekstiga vastuolus.
Omaniku, juhi ja töötaja rollid peaksid andma erinevaid võimalusi. Õiguste muudatused, ekspordid ja haldustoimingud vajavad kontrolljälge, mis näitab, kes tegutses, millal ja millises ulatuses.
3. Hinnake kogu elutsüklit: säilitamist, varukoopiaid ja kustutamist
Küsige eraldi aktiivsete andmete, logide, auditiajaloo, varukoopiate ja tehniliste taastamisakende kohta. Kirje eemaldamine kasutajaliidesest ei tähenda selle kohest eemaldamist kõigist varukoopiatest; teenusepakkuja peaks nimetama vahelduvate koopiate maksimaalsed säilitamisajad ja kasutuspiirangud.
Varukoopiad vajavad vastutajat, sagedust, säilitamisaega ja regulaarseid taastamisteste. Varukoopia olemasolu ei tõenda, et teenusepakkuja suudab taastada õige organisatsiooni andmed.
4. Eristage majutust, alamtöötlejaid ja salongi valitud teenusepakkujaid
Alamtöötlejate loend peaks määratlema üksuse, eesmärgi, andmete ulatuse, asukoha ja edastusmehhanismi. Makseteenuse pakkujal või avaliku võimu asutusel võib olla teine roll kui salongi kliendikirjete töötlejal.
Kui salong ühendab oma SMS-konto, selgitage, kes sõlmib operaatoriga lepingu, säilitab juurdepääsuandmeid ja vastutab sõnumite õigusliku aluse eest. Saladused ei tohi sattuda logidesse, URL-idesse ega dokumentatsiooni.
5. Nõudke riskile vastavaid tõendeid
Turvalisuse kinnitus alustab arutelu. Peamised kontrollimeetmed vajavad teste, logisid, tegeliku konfiguratsiooni lugemist või õppuse aruannet. Tõenditel peab olema kuupäev, ulatus, tulemus ja parandusmeetmete eest vastutaja.
Ariveno dokumenteerib avalikult oma andmetöötluslepingu ulatuse, säilitamise, alamtöötlejad ja eksporditingimused. Taristu üksikasjad, mis võiksid rünnet hõlbustada, jäävad kontrollitud juurdepääsuga tegevusdokumentatsiooni, mitte turundusteksti.
Toimimise eeltingimus
Küsimused enne allkirjastamist
Vastus peaks viitama dokumendile või tõendile, mitte olema üksnes jah.
- Kuidas määratakse organisatsiooni kontekst ja takistatakse juurdepääsu salongide vahel?
- Millised rollid on olemas ja milliseid haldustoiminguid auditeeritakse?
- Kui kaua säilitatakse aktiivseid andmeid, logisid, auditikirjeid ja varukoopiaid?
- Kui sageli testitakse taastamist ja millised RPO/RTO väärtused on deklareeritud?
- Kuidas saab salong täieliku ekspordi ja mis järgneb teenuse lõpetamisele?
- Millised alamtöötlejad saavad salongi kliendiandmeid ja mis eesmärgil?
- Kuidas käsitletakse intsidente, andmesubjektide taotlusi ja vastuväiteid alamtöötlejatele?
- Kuidas säilitatakse saladusi ja piiratakse operaatorite juurdepääsu?
Auditeeritavus
Kontrollimaatriksi näide
Sagedus sõltub riskist ja mahust, kuid iga kontrollimeede vajab vastutajat ja dokumenteeritud tõendit.
| Kontrollimeede | Tõend | Sagedus |
|---|---|---|
| Organisatsiooni eraldatus | Negatiivne juurdepääsutest organisatsioonide vahel | Autentimise muutmisel ja regulaarselt |
| Õigused | Rollimaatriks ja API-test | Rollipõhise juurdepääsukontrolli muutmisel |
| Varundamine ja taastamine | Taastamisaruanne koos ajamõõtmisega | Vastavalt toimepidevuse plaanile |
| Eksport ja kustutamine | Kontrollitud elutsüklitest | Andmete või säilitamise muutmisel |
| Alamtöötlejad | Ajakohane loend ja lepingu ülevaatus | Enne muudatust ja regulaarselt |
| Saladused | Koodihoidla ja edastuse kontroll | Pidevalt CI-s ja juurutamisel |
Ariveno avaliku lepingu allikad
Need dokumendid määratlevad rollid, säilitamise, alamtöötlejad, tehnilised meetmed ja teenuse lõpetamise reeglid.
Vaadake leping üle enne andmete importimist
Rollid, säilitamine ja eksport eelnevad migratsioonile.
Ariveno avaldab oma õigusdokumendid ja võimaldab seadistada prooviperioodi enne salongi tegevusandmete lisamist.
14 päeva ilma tellimustasuta. Vajalik on maksekaart. Tellimuse hinna nägemiseks vali oma riik. Tellimus uueneb automaatselt, kui sa ei tühista seda enne prooviperioodi lõppu. Valikuliste SMS-ide eest tasutakse eraldi. Täielik hinnakiri ja tingimused