Sicurezza delle informazioni
Certificato ISO/IEC 27001:2022
Certificati dal 2019, attualmente nel terzo ciclo di certificazione, da un organismo di certificazione con sede nel Regno Unito accreditato UKAS. Il certificato è pubblicato qui sotto per intero — vi invitiamo a verificarlo.
- Norma: ISO/IEC 27001:2022
- Organismo di certificazione accreditato UKAS
- In vigore senza interruzioni dal 2019
Il certificato, nel dettaglio
Tutto ciò che si trova in questa pagina è tratto dal certificato stesso, e può quindi essere verificato rispetto alla copia qui sotto o direttamente presso l'organismo di certificazione.
| Campo | Valore |
|---|---|
| Organizzazione certificata | Wise Technologies Ltd., Cesta 24. junija 23, 1231 Lubiana, Slovenia |
| Norma | ISO/IEC 27001:2022 — l'attuale revisione della norma |
| Ambito | Progettazione, sviluppo, implementazione e manutenzione di soluzioni software |
| Dichiarazione di applicabilità | Versione 3.0, del 1° dicembre 2024 |
| Numero del certificato | 202124/A/0001/UK/En |
| Organismo di certificazione | URS — United Registrar of Systems (Holdings) Ltd., United House, 28 Poole Hill, Bournemouth BH2 5PS, Regno Unito |
| Accreditamento | UKAS Management Systems, numero di accreditamento 0043; URS è membro dell'IAF Multilateral Recognition Arrangement |
| Prima emissione | 28 marzo 2019 |
| Ciclo corrente emesso il | 28 marzo 2025 (emissione 3, ciclo 3) |
| Valido fino al | 27 marzo 2028 |
Perché l'accreditamento conta più del logo
Chiunque può stampare un certificato. La domanda che un ufficio acquisti dovrebbe porsi è chi ha accreditato l'organismo che lo ha emesso.
Il nostro è stato emesso da URS, un organismo di certificazione con sede a Bournemouth, nel Regno Unito, accreditato da UKAS — lo United Kingdom Accreditation Service, l'ente nazionale di accreditamento riconosciuto dal governo britannico. Il numero di accreditamento UKAS 0043 compare sul certificato stesso.
URS è inoltre membro dell'IAF Multilateral Recognition Arrangement, ed è ciò che fa sì che il certificato abbia lo stesso significato per un'università di Riyadh, Kuala Lumpur o Dublino come a Londra. Un certificato non accreditato non offre nulla di tutto ciò.
Vale anche la pena verificare quale versione della norma possiede un fornitore. La nostra è ISO/IEC 27001:2022, l'attuale revisione. Certificati rispetto all'edizione 2013, superata, sono ancora in circolazione.
- Emesso da un organismo di certificazione con sede nel Regno Unito, non da un ente di registrazione non accreditato
- Accreditato UKAS, numero di accreditamento 0043
- Membro dell'IAF Multilateral Recognition Arrangement, quindi riconosciuto a livello internazionale
- Certificato rispetto alla ISO/IEC 27001:2022, non all'edizione 2013 superata
- In vigore senza interruzioni da marzo 2019, attraverso tre cicli di certificazione
- L'ambito copre esplicitamente progettazione, sviluppo, implementazione e manutenzione del software — il prodotto stesso, non solo un ufficio
A che cosa ci impegna davvero la certificazione
La ISO/IEC 27001 non è una funzionalità del prodotto e non la presenteremo come tale. Certifica un sistema di gestione: un approccio strutturato e basato sul rischio alla sicurezza delle informazioni che riguarda persone, processi e tecnologia, verificato da un organismo esterno con cadenza ricorrente anziché dichiarato una volta sola.
In pratica, per un'istituzione che ci valuta, significa che esiste una Dichiarazione di applicabilità documentata, che i rischi vengono valutati e trattati secondo un ciclo definito, che l'accesso e le modifiche sono controllati e che un auditor indipendente verifica tutto rispetto a una norma pubblicata.
- Cifratura delle informazioni sensibili a riposo e in transito
- Backup regolari, con ripristini verificati anziché dati per scontati
- Controlli di accesso rigorosi che limitano l'esposizione a ciò che un ruolo richiede
- Gestione degli incidenti e delle modifiche documentata
- Audit di sorveglianza annuali, con ricertificazione completa ogni tre anni
I dati personali e la legge che li disciplina
Un orario non è un insieme astratto di dati. Dice dove si trova uno studente con nome e cognome alle nove di martedì e quale docente è con lui. Sono dati personali e, in certe combinazioni, sensibili.
Abbiamo sede in Slovenia, all'interno dell'Unione europea, quindi il Regolamento generale sulla protezione dei dati (GDPR) si applica a noi direttamente e non come un obbligo di esportazione che abbiamo scelto di rispettare. La conformità al GDPR è inclusa in ciò che acquistate; non è un modulo a pagamento e non esiste alcun livello di conformità a parte.
Nel linguaggio del regolamento, la vostra istituzione è il titolare del trattamento e Wise Technologies è un responsabile del trattamento. La distinzione è importante: i dati restano vostri, li trattiamo solo secondo le vostre istruzioni documentate e non ne cambiamo la finalità. Non vendiamo né affittiamo dati personali, non usiamo i dati della vostra istituzione per addestrare alcunché e non li analizziamo per le nostre statistiche.
Cerchiamo inoltre di conservarne meno fin dall'inizio. Un sistema per gli orari non ha bisogno dell'indirizzo di casa di uno studente, e richiedere campi che non useremo mai sarebbe una responsabilità per entrambi. Dove un'istituzione può inviarci identificativi di gruppo anziché persone con nome e cognome, preferiamo che lo faccia.
- È disponibile un Accordo sul trattamento dei dati e firmeremo il vostro se preferite una formulazione propria
- I dati personali non vengono trasferiti al di fuori dello Spazio economico europeo se non sono in atto garanzie adeguate, come le clausole contrattuali tipo dell'UE
- I sub-responsabili sono limitati, comunicati su richiesta e vincolati da obblighi equivalenti
- I diritti degli interessati — accesso, rettifica, cancellazione, limitazione, portabilità, opposizione — sono supportati e vi assistiamo nel rispondere alle richieste in qualità di vostro responsabile del trattamento
- La conservazione è definita e non indefinita: i dati dell'account per la durata dell'abbonamento, i dati di programmazione importati per tutto il tempo in cui utilizzate il servizio
- Gli obblighi di notifica delle violazioni sono contrattuali, non discrezionali
- Installazione completa on-premises dove la politica o la legge nazionale richiedono che i dati non lascino mai la vostra rete
Oltre il GDPR
Le istituzioni al di fuori dell'Unione europea hanno obblighi propri, e preferiamo discuterne presto anziché scoprirli tardi. Le istituzioni del Golfo operano sempre più spesso sotto leggi nazionali sulla protezione dei dati con requisiti di residenza; le istituzioni degli Stati Uniti sollevano la questione della FERPA; diversi nostri clienti rispondono anche a enti regolatori di settore.
Non dichiariamo una certificazione generale rispetto a ogni regime, perché tale affermazione non sarebbe onesta. Possiamo dire che l'opzione on-premises soddisfa pienamente i requisiti di residenza, che i nostri termini contrattuali possono essere adattati e che vi diremo chiaramente se qualcosa di cui avete bisogno esula da ciò a cui possiamo impegnarci.
Leggete l'Informativa sulla privacy per il dettaglio di come trattiamo i dati personali e i Termini e condizioni per la posizione contrattuale.
Il certificato
Riprodotto per intero. Il PDF firmato è collegato qui sopra e qui sotto.
Dove risiedono i vostri dati resta una vostra decisione
La certificazione disciplina il nostro modo di lavorare; non vi obbliga a ospitare nulla presso di noi. L'hosting cloud funziona su AWS con backup giornalieri e infrastruttura distribuita a livello regionale, e l'installazione completa on-premises è un'alternativa supportata con funzionalità, assistenza e condizioni di aggiornamento identiche.
Per le istituzioni in giurisdizioni con norme sulla residenza dei dati, l'on-premises mantiene ogni record all'interno della vostra rete. Maggiori informazioni su hosting e installazione.
Le domande degli uffici acquisti
Compilerete il nostro questionario sulla sicurezza delle informazioni?
Sì, e siamo abituati a farlo. Inviatecelo con i vostri tempi e lo restituiremo compilato; preferiamo rispondere a quaranta domande prima di un contratto piuttosto che scoprire una discrepanza dopo.
Se vi serve il certificato, il riferimento della Dichiarazione di applicabilità o una conferma direttamente dall'organismo di certificazione, chiedetelo e ce ne occuperemo.
Possiamo verificare il certificato in modo indipendente?
Fatelo pure. Il numero del certificato è 202124/A/0001/UK/En e l'organismo emittente è URS — United Registrar of Systems (Holdings) Ltd., Bournemouth, Regno Unito. URS pubblica sul certificato stesso i recapiti per le verifiche di autenticità.
UKAS mantiene inoltre un registro pubblico degli organismi che accredita, in cui URS compare con il numero di accreditamento 0043.
L'ambito è abbastanza ampio da coprire il software che acquisteremmo?
Sì. L'ambito certificato è «Progettazione, sviluppo, implementazione e manutenzione di soluzioni software», che riguarda il modo in cui Wise Timetable viene costruito, installato e assistito — non soltanto il modo in cui è gestito il nostro ufficio. Gli ambiti ristretti alla sola sede centrale sono un aspetto da verificare comune, e vale la pena verificarlo con ogni fornitore.
Che cosa accade se dobbiamo tenere i dati all'interno del nostro paese?
Installiamo interamente sulla vostra infrastruttura. È un'opzione di installazione standard, con le stesse funzionalità, la stessa assistenza e le stesse condizioni di aggiornamento dell'hosting cloud, non un'eccezione concessa a malincuore.
State conducendo una verifica di sicurezza?
Inviateci il questionario e la scadenza. Lo compileremo con cura e vi diremo chiaramente se c'è qualcosa che non possiamo soddisfare.