Informaciona sigurnost
Certificirano prema ISO/IEC 27001:2022
Certificirano od 2019., trenutno u trećem ciklusu certifikacije, od strane certifikacijskog tijela iz Ujedinjenog Kraljevstva akreditiranog od UKAS-a. Certifikat je u cijelosti objavljen ispod — molimo Vas da ga provjerite.
- Standard: ISO/IEC 27001:2022
- Certifikator akreditiran od UKAS-a
- Neprekidno u posjedu od 2019.
Certifikat, u detalje
Sve na ovoj stranici preuzeto je iz samog certifikata, pa se može provjeriti prema kopiji ispod ili direktno kod certifikacijskog tijela.
| Polje | Vrijednost |
|---|---|
| Certificirana organizacija | Wise Technologies Ltd., Cesta 24. junija 23, 1231 Ljubljana, Slovenija |
| Standard | ISO/IEC 27001:2022 — važeća revizija standarda |
| Opseg | Dizajn, razvoj, implementacija i održavanje softverskih rješenja |
| Izjava o primjenjivosti | Verzija 3.0, od 1. decembra 2024. |
| Broj certifikata | 202124/A/0001/UK/En |
| Certifikacijsko tijelo | URS — United Registrar of Systems (Holdings) Ltd., United House, 28 Poole Hill, Bournemouth BH2 5PS, Ujedinjeno Kraljevstvo |
| Akreditacija | UKAS Management Systems, akreditacijski broj 0043; URS je član IAF Multilateral Recognition Arrangement |
| Izvorno izdato | 28. marta 2019. |
| Tekući ciklus izdat | 28. marta 2025. (izdanje 3, ciklus 3) |
| Važi do | 27. marta 2028. |
Zašto je akreditacija važnija od značke
Svako može odštampati certifikat. Pitanje koje služba za nabavku treba postaviti jeste ko je akreditirao tijelo koje ga je izdalo.
Naš je izdao URS, certifikacijsko tijelo sa sjedištem u Bournemouthu u Ujedinjenom Kraljevstvu, akreditirano od UKAS-a — Akreditacijske službe Ujedinjenog Kraljevstva, nacionalnog akreditacijskog tijela koje priznaje vlada UK-a. UKAS akreditacijski broj 0043 nalazi se na samom certifikatu.
URS je također član IAF Multilateral Recognition Arrangement, zbog čega certifikat ima isto značenje za univerzitet u Rijadu, Kuala Lumpuru ili Dublinu kao u Londonu. Neakreditirani certifikat nema ništa od toga.
Vrijedi provjeriti i koju verziju standarda dobavljač posjeduje. Naša je ISO/IEC 27001:2022, važeća revizija. Certifikati prema zamijenjenom izdanju iz 2013. još su u opticaju.
- Izdalo certifikacijsko tijelo iz Ujedinjenog Kraljevstva, a ne neakreditirani registar
- Akreditirano od UKAS-a, akreditacijski broj 0043
- Član IAF Multilateral Recognition Arrangement, pa je međunarodno priznato
- Certificirano prema ISO/IEC 27001:2022, a ne zamijenjenom izdanju iz 2013.
- U posjedu neprekidno od marta 2019., kroz tri ciklusa certifikacije
- Opseg izričito obuhvata dizajn, razvoj, implementaciju i održavanje softvera — sam proizvod, a ne samo ured
Na šta nas certifikacija zaista obavezuje
ISO/IEC 27001 nije funkcija proizvoda i nećemo je tako predstavljati. Ona certificira sistem upravljanja: strukturiran pristup informacionoj sigurnosti zasnovan na riziku, koji obuhvata ljude, procese i tehnologiju, a vanjsko tijelo ga revidira u ponavljajućem ciklusu, a ne tvrdi jednom.
U praksi, za ustanovu koja nas procjenjuje, to znači da postoji dokumentirana Izjava o primjenjivosti, da se rizici procjenjuju i obrađuju u definiranom ciklusu, da su pristup i promjene kontrolirani i da nezavisni revizor sve to provjerava prema objavljenom standardu.
- Šifriranje osjetljivih informacija pri pohrani i prijenosu
- Redovne sigurnosne kopije, s testiranim, a ne pretpostavljenim vraćanjem
- Stroge kontrole pristupa koje izloženost ograničavaju na ono što uloga zahtijeva
- Dokumentirano postupanje u incidentima i upravljanje promjenama
- Godišnje nadzorne revizije, s potpunom ponovnom certifikacijom svake tri godine
Lični podaci i zakon koji ih uređuje
Raspored nije apstraktan skup podataka. On kaže gdje je imenovani student u utorak u devet i koji je nastavnik s njim. To su lični podaci, a u nekim kombinacijama i osjetljivi.
Mi smo sa sjedištem u Sloveniji, unutar Evropske unije, pa se Opća uredba o zaštiti podataka (GDPR) primjenjuje direktno na nas, a ne kao izvozna obaveza koju smo odlučili poštovati. Usklađenost s GDPR-om uključena je u ono što kupujete; nije modul koji se naplaćuje i nema zasebnog paketa usklađenosti.
Jezikom uredbe, Vaša ustanova je voditelj obrade podataka, a Wise Technologies je izvršitelj obrade. Ta razlika je važna: podaci ostaju Vaši, obrađujemo ih samo prema Vašim dokumentiranim uputama i ne koristimo ih u druge svrhe. Ne prodajemo niti iznajmljujemo lične podatke, ne koristimo podatke Vaše ustanove za treniranje bilo čega i ne rudarimo ih za vlastitu analitiku.
Pokušavamo i da ih uopće držimo manje. Sistemu za raspored ne treba kućna adresa studenta, a traženje polja koja nikada nećemo koristiti bilo bi teret za oboje. Gdje nam ustanova može slati identifikatore grupa umjesto imenovanih osoba, radije bismo da to čini.
- Ugovor o obradi podataka je dostupan i potpisat ćemo Vaš ako preferirate vlastitu formulaciju
- Lični podaci ne prenose se izvan Evropskog ekonomskog prostora osim ako postoje odgovarajuće zaštitne mjere, kao što su standardne ugovorne klauzule EU
- Podizvršitelji su ograničeni, otkrivaju se na zahtjev i vezani su jednakim obavezama
- Prava ispitanika — pristup, ispravak, brisanje, ograničenje, prenosivost, prigovor — su podržana, a mi Vam kao izvršitelj obrade pomažemo u odgovaranju na zahtjeve
- Zadržavanje je definirano, a ne neograničeno: podaci računa za trajanja pretplate, uvezeni podaci o rasporedu dokle god koristite uslugu
- Obaveze obavještavanja o povredi su ugovorne, a ne diskrecione
- Potpuna lokalna (on-premises) implementacija gdje politika ili nacionalni zakon zahtijeva da podaci nikada ne napuštaju Vašu mrežu
Izvan GDPR-a
Ustanove izvan Evropske unije donose vlastite obaveze, a mi bismo o njima radije razgovarali rano nego ih kasno otkrili. Ustanove u Zalivu sve češće rade pod nacionalnim zakonima o zaštiti podataka sa zahtjevima za rezidenciju; ustanove u Sjedinjenim Državama pominju FERPA-u; nekoliko naših klijenata odgovara i sektorskim regulatorima.
Ne tvrdimo opću certifikaciju prema svakom režimu, jer ta tvrdnja ne bi bila iskrena. Ono što možemo reći jeste da lokalna opcija u potpunosti zadovoljava zahtjeve rezidencije, da se naši ugovorni uslovi mogu prilagoditi i da ćemo Vam jasno reći ako je nešto što Vam treba izvan onoga na što se možemo obavezati.
Pročitajte Politiku privatnosti za detalje o tome kako postupamo s ličnim podacima i Uslove korištenja za ugovorni položaj.
Certifikat
Reproduciran u cijelosti. Potpisani PDF povezan je gore i dolje.
Gdje se Vaši podaci nalaze i dalje je Vaša odluka
Certifikacija uređuje kako mi radimo; ona Vas ne obavezuje da bilo šta hostate kod nas. Cloud hosting radi na AWS-u s dnevnim sigurnosnim kopijama i regionalno raspoređenom infrastrukturom, a potpuna lokalna instalacija je podržana alternativa s istom funkcionalnošću, podrškom i uslovima nadogradnje.
Za ustanove u jurisdikcijama s pravilima o rezidenciji podataka, lokalna instalacija drži svaki zapis unutar Vaše vlastite mreže. Više o hostingu i implementaciji.
Pitanja koja postavlja služba za nabavku
Hoćete li popuniti naš upitnik o informacionoj sigurnosti?
Da, na to smo navikli. Pošaljite ga s Vašim rokom i vratit ćemo ga; radije bismo odgovorili na četrdeset pitanja prije ugovora nego otkrili neusklađenost nakon njega.
Ako Vam treba certifikat, referenca na Izjavu o primjenjivosti ili potvrda direktno od certifikacijskog tijela, recite i dogovorit ćemo.
Možemo li nezavisno provjeriti certifikat?
Molimo Vas da to učinite. Broj certifikata je 202124/A/0001/UK/En, a tijelo koje ga je izdalo je URS — United Registrar of Systems (Holdings) Ltd., Bournemouth, Ujedinjeno Kraljevstvo. URS objavljuje kontakt podatke za provjere autentičnosti na samom certifikatu.
UKAS također vodi javni registar tijela koja akreditira, u kojem se URS nalazi pod akreditacijskim brojem 0043.
Je li opseg dovoljno širok da pokrije softver koji bismo kupovali?
Da. Certificirani opseg je „Dizajn, razvoj, implementacija i održavanje softverskih rješenja“, što obuhvata kako se Wise Timetable gradi, implementira i podržava — a ne samo kako se vodi naš ured. Uski opsezi ograničeni na centralu uobičajena su stvar za provjeru i vrijedi je provjeriti kod svakog dobavljača.
Šta ako podatke moramo držati unutar naše zemlje?
Instaliramo u cijelosti na Vašu vlastitu infrastrukturu. To je standardna opcija implementacije s istom funkcionalnošću, podrškom i uslovima nadogradnje kao cloud hosting, a ne nevoljni izuzetak.
Provodite sigurnosni pregled?
Pošaljite nam upitnik i rok. Popunit ćemo ga kako treba i jasno Vam reći o svemu što ne možemo ispuniti.