Informaciona bezbednost
Sertifikovano prema ISO/IEC 27001:2022
Sertifikovano od 2019, trenutno u trećem ciklusu sertifikacije, od strane sertifikacionog tela sa sedištem u Ujedinjenom Kraljevstvu akreditovanog od UKAS-a. Sertifikat je u celini objavljen ispod — molimo Vas da ga proverite.
- Standard: ISO/IEC 27001:2022
- Sertifikator akreditovan od UKAS-a
- Neprekidno važi od 2019.
Sertifikat, detaljno
Sve na ovoj stranici preuzeto je iz samog sertifikata, pa se može proveriti prema kopiji ispod ili direktno kod sertifikacionog tela.
| Polje | Vrednost |
|---|---|
| Sertifikovana organizacija | Wise Technologies Ltd., Cesta 24. junija 23, 1231 Ljubljana, Slovenija |
| Standard | ISO/IEC 27001:2022 — aktuelna revizija standarda |
| Obim | Projektovanje, razvoj, uvođenje i održavanje softverskih rešenja |
| Izjava o primenjivosti | Verzija 3.0, od 1. decembra 2024. |
| Broj sertifikata | 202124/A/0001/UK/En |
| Sertifikaciono telo | URS — United Registrar of Systems (Holdings) Ltd., United House, 28 Poole Hill, Bournemouth BH2 5PS, Ujedinjeno Kraljevstvo |
| Akreditacija | UKAS Management Systems, akreditacioni broj 0043; URS je član IAF multilateralnog sporazuma o priznavanju |
| Prvobitno izdato | 28. marta 2019. |
| Tekući ciklus izdat | 28. marta 2025. (izdanje 3, ciklus 3) |
| Važi do | 27. marta 2028. |
Zašto je akreditacija važnija od značke
Svako može odštampati sertifikat. Pitanje koje služba za nabavku treba da postavi jeste ko je akreditovao telo koje ga je izdalo.
Naš sertifikat izdao je URS, sertifikaciono telo sa sedištem u Bournemouthu u Ujedinjenom Kraljevstvu, akreditovano od strane UKAS-a — Akreditacione službe Ujedinjenog Kraljevstva, nacionalnog akreditacionog tela koje priznaje vlada Ujedinjenog Kraljevstva. Akreditacioni broj UKAS-a 0043 nalazi se na samom sertifikatu.
URS je takođe član IAF multilateralnog sporazuma o priznavanju, zbog čega sertifikat isto znači univerzitetu u Rijadu, Kuala Lumpuru ili Dablinu kao i u Londonu. Neakreditovani sertifikat ništa od toga ne nosi.
Vredi proveriti i koju verziju standarda dobavljač poseduje. Naš je ISO/IEC 27001:2022, aktuelna revizija. Sertifikati prema prevaziđenom izdanju iz 2013. i dalje su u opticaju.
- Izdato od sertifikacionog tela sa sedištem u Ujedinjenom Kraljevstvu, a ne od neakreditovanog registratora
- Akreditovano od UKAS-a, akreditacioni broj 0043
- Član IAF multilateralnog sporazuma o priznavanju, pa je međunarodno priznato
- Sertifikovano prema ISO/IEC 27001:2022, a ne prema prevaziđenom izdanju iz 2013.
- Neprekidno važi od marta 2019, kroz tri ciklusa sertifikacije
- Obim izričito obuhvata projektovanje, razvoj, uvođenje i održavanje softvera — sam proizvod, a ne samo kancelariju
Na šta nas sertifikacija zaista obavezuje
ISO/IEC 27001 nije funkcija proizvoda i nećemo je predstavljati kao takvu. Ona sertifikuje sistem upravljanja: strukturisan pristup informacionoj bezbednosti zasnovan na riziku, koji obuhvata ljude, procese i tehnologiju, a koji spoljno telo proverava u ponavljajućem ciklusu, umesto da se tvrdi jednom.
U praksi, za ustanovu koja nas procenjuje, to znači da postoji dokumentovana Izjava o primenjivosti, da se rizici procenjuju i tretiraju u definisanom ciklusu, da su pristup i izmene kontrolisani i da nezavisni revizor sve to proverava prema objavljenom standardu.
- Šifrovanje osetljivih informacija u skladištu i u prenosu
- Redovne rezervne kopije, sa obnovom koja se testira, a ne pretpostavlja
- Stroge kontrole pristupa koje ograničavaju izloženost na ono što uloga zahteva
- Dokumentovano reagovanje na incidente i upravljanje izmenama
- Godišnje nadzorne revizije, sa punom resertifikacijom na svake tri godine
Lični podaci i zakon koji ih uređuje
Raspored nije apstraktan skup podataka. On kaže gde se imenovani student nalazi u utorak u devet i koji nastavnik je sa njim. To su lični podaci, a u nekim kombinacijama i osetljivi.
Sedište nam je u Sloveniji, unutar Evropske unije, pa se Opšta uredba o zaštiti podataka na nas primenjuje direktno, a ne kao izvozna obaveza koju smo odabrali da poštujemo. Usklađenost sa GDPR-om uključena je u ono što kupujete; nije modul koji se naplaćuje i nema posebnog nivoa usklađenosti.
Jezikom uredbe, Vaša ustanova je rukovalac podacima, a Wise Technologies je obrađivač podataka. Ta razlika je važna: podaci ostaju Vaši, obrađujemo ih samo prema Vašim dokumentovanim uputstvima i ne koristimo ih u druge svrhe. Ne prodajemo niti iznajmljujemo lične podatke, ne koristimo podatke Vaše ustanove za obučavanje bilo čega i ne analiziramo ih za sopstvene analitike.
Trudimo se i da u startu držimo manje podataka. Sistemu za izradu rasporeda nije potrebna kućna adresa studenta, a traženje polja koja nikada nećemo koristiti bilo bi obaveza za obe strane. Tamo gde nam ustanova može poslati identifikatore grupa umesto imenovanih pojedinaca, radije bismo da to učini.
- Ugovor o obradi podataka je dostupan, a potpisaćemo i Vaš ako više volite sopstvenu formulaciju
- Lični podaci se ne prenose van Evropskog ekonomskog prostora osim ako postoje odgovarajuće zaštitne mere, kao što su standardne ugovorne klauzule EU
- Podobrađivači su ograničeni, otkrivaju se na zahtev i vezani su ekvivalentnim obavezama
- Prava nosilaca podataka — pristup, ispravka, brisanje, ograničenje, prenosivost, prigovor — su podržana, a mi Vam pomažemo da odgovorite na zahteve kao Vaš obrađivač
- Čuvanje je definisano, a ne neograničeno: podaci o nalogu za trajanje pretplate, uvezeni podaci o rasporedu dokle god koristite uslugu
- Obaveze obaveštavanja o povredi podataka su ugovorne, a ne diskrecione
- Potpuna instalacija na sopstvenim serverima tamo gde politika ili nacionalni zakon zahteva da podaci nikada ne napuštaju Vašu mrežu
Izvan GDPR-a
Ustanove van Evropske unije imaju sopstvene obaveze, a mi bismo o njima radije razgovarali rano nego ih kasno otkrivali. Ustanove u Zalivu sve češće rade pod nacionalnim zakonima o zaštiti podataka sa zahtevima o lokaciji podataka; ustanove u Sjedinjenim Državama pominju FERPA; nekoliko naših klijenata odgovara i sektorskim regulatorima.
Ne tvrdimo da imamo opštu sertifikaciju prema svakom režimu, jer ta tvrdnja ne bi bila iskrena. Ono što možemo reći jeste da opcija na sopstvenim serverima u potpunosti zadovoljava zahteve o lokaciji podataka, da se naši ugovorni uslovi mogu prilagoditi i da ćemo Vam jasno reći ako je nešto što Vam treba izvan onoga što možemo da obećamo.
Pročitajte Politiku privatnosti za detalje o tome kako postupamo sa ličnim podacima, i Uslove korišćenja za ugovorni položaj.
Sertifikat
Reprodukovan u celini. Potpisani PDF povezan je iznad i ispod.
Gde se Vaši podaci nalaze i dalje je Vaša odluka
Sertifikacija uređuje kako mi radimo; ne obavezuje Vas da bilo šta hostujete kod nas. Hosting u oblaku radi na AWS-u sa dnevnim rezervnim kopijama i regionalno raspoređenom infrastrukturom, a potpuna instalacija na sopstvenim serverima podržana je alternativa sa identičnom funkcionalnošću, podrškom i uslovima nadogradnje.
Za ustanove u jurisdikcijama sa pravilima o lokaciji podataka, opcija na sopstvenim serverima drži svaki zapis unutar Vaše sopstvene mreže. Više o hostingu i uvođenju.
Pitanja koja postavlja služba za nabavku
Hoćete li popuniti naš upitnik o informacionoj bezbednosti?
Da, i navikli smo na to. Pošaljite ga sa Vašim rokom i vratićemo ga popunjenog; radije bismo odgovorili na četrdeset pitanja pre ugovora nego otkrili neusklađenost nakon njega.
Ako Vam treba sertifikat, referenca na Izjavu o primenjivosti ili potvrda direktno od sertifikacionog tela, recite i organizovaćemo to.
Možemo li nezavisno proveriti sertifikat?
Molimo Vas da to učinite. Broj sertifikata je 202124/A/0001/UK/En, a telo koje ga je izdalo je URS — United Registrar of Systems (Holdings) Ltd., Bournemouth, Ujedinjeno Kraljevstvo. URS objavljuje kontakt podatke za proveru autentičnosti na samom sertifikatu.
UKAS takođe vodi javni registar tela koja akredituje, u kome se URS pojavljuje pod akreditacionim brojem 0043.
Da li je obim dovoljno širok da pokrije softver koji bismo kupovali?
Da. Sertifikovani obim je „Projektovanje, razvoj, uvođenje i održavanje softverskih rešenja“, što obuhvata kako se Wise Timetable gradi, uvodi i podržava — a ne samo kako se vodi naša kancelarija. Uski obimi ograničeni na sedište uobičajena su stvar koju treba proveriti, a vredi je proveriti kod svakog dobavljača.
Šta ako moramo držati podatke unutar naše zemlje?
Instaliramo u potpunosti na Vašoj sopstvenoj infrastrukturi. To je standardna opcija uvođenja sa istom funkcionalnošću, podrškom i uslovima nadogradnje kao hosting u oblaku, a ne nevoljni izuzetak.
Sprovodite bezbednosnu reviziju?
Pošaljite nam upitnik i rok. Popunićemo ga kako treba i jasno Vam reći o svemu što ne možemo ispuniti.