Informacijska sigurnost
Certificirano prema ISO/IEC 27001:2022
Certificirano od 2019., trenutno u trećem ciklusu certifikacije, od strane certifikacijskog tijela sa sjedištem u Ujedinjenom Kraljevstvu akreditiranog od UKAS-a. Certifikat je u cijelosti objavljen u nastavku — molimo provjerite ga.
- Norma: ISO/IEC 27001:2022
- Certifikator akreditiran od UKAS-a
- Neprekidno od 2019.
Certifikat, u detalje
Sve na ovoj stranici preuzeto je iz samog certifikata, pa se može provjeriti prema kopiji u nastavku ili izravno kod certifikacijskog tijela.
| Polje | Vrijednost |
|---|---|
| Certificirana organizacija | Wise Technologies Ltd., Cesta 24. junija 23, 1231 Ljubljana, Slovenija |
| Norma | ISO/IEC 27001:2022 — aktualna revizija norme |
| Opseg | Dizajn, razvoj, implementacija i održavanje softverskih rješenja |
| Izjava o primjenjivosti | Inačica 3.0, od 1. prosinca 2024. |
| Broj certifikata | 202124/A/0001/UK/En |
| Certifikacijsko tijelo | URS — United Registrar of Systems (Holdings) Ltd., United House, 28 Poole Hill, Bournemouth BH2 5PS, Ujedinjeno Kraljevstvo |
| Akreditacija | UKAS Management Systems, broj akreditacije 0043; URS je član Multilateralnog sporazuma o priznavanju IAF-a |
| Izvorno izdan | 28. ožujka 2019. |
| Tekući ciklus izdan | 28. ožujka 2025. (izdanje 3, ciklus 3) |
| Vrijedi do | 27. ožujka 2028. |
Zašto je akreditacija važnija od značke
Svatko može ispisati certifikat. Pitanje koje bi ured za nabavu trebao postaviti jest tko je akreditirao tijelo koje ga je izdalo.
Naš je izdao URS, certifikacijsko tijelo sa sjedištem u Bournemouthu u Ujedinjenom Kraljevstvu, akreditirano od UKAS-a — Službe za akreditaciju Ujedinjenog Kraljevstva, nacionalnog akreditacijskog tijela koje priznaje britanska vlada. Broj UKAS akreditacije 0043 nalazi se na samom certifikatu.
URS je također član Multilateralnog sporazuma o priznavanju IAF-a, zbog čega certifikat znači isto sveučilištu u Rijadu, Kuala Lumpuru ili Dublinu kao i u Londonu. Neakreditirani certifikat nema ništa od toga.
Vrijedi provjeriti i koju inačicu norme dobavljač posjeduje. Naša je ISO/IEC 27001:2022, aktualna revizija. Certifikati prema zamijenjenom izdanju iz 2013. još su u optjecaju.
- Izdalo ga je certifikacijsko tijelo sa sjedištem u Ujedinjenom Kraljevstvu, a ne neakreditirani registrator
- Akreditirano od UKAS-a, broj akreditacije 0043
- Član Multilateralnog sporazuma o priznavanju IAF-a, pa je međunarodno priznato
- Certificirano prema ISO/IEC 27001:2022, a ne zamijenjenom izdanju iz 2013.
- Neprekidno od ožujka 2019., kroz tri ciklusa certifikacije
- Opseg izričito obuhvaća dizajn, razvoj, implementaciju i održavanje softvera — sam proizvod, a ne samo ured
Na što nas certifikacija zapravo obvezuje
ISO/IEC 27001 nije značajka proizvoda i nećemo je tako predstavljati. Certificira sustav upravljanja: strukturiran pristup informacijskoj sigurnosti temeljen na riziku koji obuhvaća ljude, procese i tehnologiju, a koji vanjsko tijelo revidira u ponavljajućem ciklusu, a ne tvrdi se jednom.
U praksi, za ustanovu koja nas procjenjuje, to znači da postoji dokumentirana Izjava o primjenjivosti, da se rizici procjenjuju i obrađuju u definiranom ciklusu, da su pristup i promjene kontrolirani te da neovisni revizor sve to provjerava prema objavljenoj normi.
- Šifriranje osjetljivih informacija u pohrani i prijenosu
- Redovite sigurnosne kopije, s oporavkom koji se testira, a ne pretpostavlja
- Stroge kontrole pristupa koje ograničavaju izloženost na ono što uloga zahtijeva
- Dokumentirano postupanje u incidentima i upravljanje promjenama
- Godišnje nadzorne revizije, uz potpunu ponovnu certifikaciju svake tri godine
Osobni podaci i zakon koji ih uređuje
Raspored nije apstraktan skup podataka. Kaže gdje je student s imenom i prezimenom u utorak u devet i koji je nastavnik s njim. To su osobni podaci, a u nekim kombinacijama i osjetljivi.
Sa sjedištem smo u Sloveniji, unutar Europske unije, pa se Opća uredba o zaštiti podataka na nas primjenjuje izravno, a ne kao izvozna obveza koju smo odlučili poštovati. Usklađenost s GDPR-om uključena je u ono što kupujete; nije naplativ modul i nema zasebnog paketa usklađenosti.
Jezikom uredbe, Vaša je ustanova voditelj obrade, a Wise Technologies je izvršitelj obrade. Ta je razlika važna: podaci ostaju Vaši, obrađujemo ih samo prema Vašim dokumentiranim uputama i ne koristimo ih u druge svrhe. Ne prodajemo niti iznajmljujemo osobne podatke, ne koristimo podatke Vaše ustanove za treniranje bilo čega i ne analiziramo ih za vlastite analitike.
Također nastojimo uopće držati manje podataka. Sustavu za raspored ne treba kućna adresa studenta, a traženje polja koja nikada nećemo koristiti bila bi odgovornost za oboje. Gdje nam ustanova može slati identifikatore grupa umjesto imenovanih osoba, radije bismo da to čini.
- Ugovor o obradi podataka dostupan je i potpisat ćemo Vaš ako preferirate vlastiti tekst
- Osobni podaci ne prenose se izvan Europskog gospodarskog prostora osim ako su na snazi odgovarajuće zaštitne mjere, kao što su standardne ugovorne klauzule EU-a
- Podizvršitelji su ograničeni, otkrivaju se na zahtjev i vezani su jednakovrijednim obvezama
- Prava ispitanika — pristup, ispravak, brisanje, ograničenje, prenosivost, prigovor — podržana su, a mi Vam kao izvršitelj obrade pomažemo pri odgovaranju na zahtjeve
- Zadržavanje je definirano, a ne neograničeno: podaci o računu za trajanja pretplate, uvezeni podaci o rasporedu dokle god koristite uslugu
- Obveze obavještavanja o povredi ugovorne su, a ne diskrecijske
- Potpuna lokalna (on-premises) implementacija gdje politika ili nacionalni zakon zahtijevaju da podaci nikada ne napuste Vašu mrežu
Izvan GDPR-a
Ustanove izvan Europske unije donose vlastite obveze, a radije bismo o njima razgovarali rano nego ih kasno otkrili. Ustanove na Zaljevu sve češće rade prema nacionalnim zakonima o zaštiti podataka sa zahtjevima za smještaj podataka; ustanove u Sjedinjenim Državama pokreću FERPA-u; nekoliko naših klijenata odgovara i sektorskim regulatorima.
Ne tvrdimo da imamo sveobuhvatnu certifikaciju prema svakom režimu jer ta tvrdnja ne bi bila poštena. Možemo reći da lokalna opcija izravno zadovoljava zahtjeve za smještaj podataka, da se naši ugovorni uvjeti mogu prilagoditi i da ćemo Vam jasno reći ako je nešto što Vam treba izvan onoga na što se možemo obvezati.
Pročitajte Politiku privatnosti za pojedinosti o postupanju s osobnim podacima i Uvjete poslovanja za ugovorni položaj.
Certifikat
Reproduciran u cijelosti. Potpisani PDF povezan je gore i dolje.
Gdje se Vaši podaci nalaze i dalje je Vaša odluka
Certifikacija uređuje kako radimo; ne obvezuje Vas da bilo što hostate kod nas. Hosting u oblaku radi na AWS-u s dnevnim sigurnosnim kopijama i regionalno raspoređenom infrastrukturom, a potpuna lokalna instalacija podržana je alternativa s identičnom funkcionalnošću, podrškom i uvjetima nadogradnje.
Za ustanove u jurisdikcijama s pravilima o smještaju podataka, lokalna instalacija drži svaki zapis unutar Vaše vlastite mreže. Više o hostingu i implementaciji.
Pitanja koja postavlja nabava
Hoćete li ispuniti naš upitnik o informacijskoj sigurnosti?
Da, a na to smo naviknuti. Pošaljite ga s rokom i mi ćemo ga obraditi; radije bismo odgovorili na četrdeset pitanja prije ugovora nego otkrili neusklađenost nakon njega.
Ako Vam treba certifikat, referenca Izjave o primjenjivosti ili potvrda izravno od certifikacijskog tijela, recite i mi ćemo to organizirati.
Možemo li neovisno provjeriti certifikat?
Molim Vas, učinite to. Broj certifikata je 202124/A/0001/UK/En, a tijelo koje ga je izdalo je URS — United Registrar of Systems (Holdings) Ltd., Bournemouth, Ujedinjeno Kraljevstvo. URS na samom certifikatu objavljuje kontaktne podatke za provjeru vjerodostojnosti.
UKAS također vodi javni registar tijela koja akreditira, u kojem se URS nalazi pod brojem akreditacije 0043.
Je li opseg dovoljno širok da obuhvati softver koji bismo kupovali?
Da. Certificirani opseg je „Dizajn, razvoj, implementacija i održavanje softverskih rješenja”, što obuhvaća način na koji se Wise Timetable gradi, implementira i podržava — a ne samo kako se vodi naš ured. Uski opsezi ograničeni na središnji ured uobičajena su stvar za provjeru i vrijedi je provjeriti kod svakog dobavljača.
Što ako podatke moramo držati unutar svoje zemlje?
Instaliramo u cijelosti na Vašoj infrastrukturi. To je standardna opcija implementacije s istom funkcionalnošću, podrškom i uvjetima nadogradnje kao hosting u oblaku, a ne nevoljna iznimka.
Provodite sigurnosnu reviziju?
Pošaljite nam upitnik i rok. Ispunit ćemo ga kako treba i jasno Vam reći za sve što ne možemo ispuniti.