Siin määratlemata suurtähega terminitel on DPA-s neile omistatud tähendus.
Käesolev Lisa A käsitleb tehnilisi ja organisatsioonilisi meetmeid, sealhulgas praktilisi kaitsemeetmeid ja tehnilisi turvameetmeid, mida Marzipan rakendab, et (a) kaitsta kliendiandmeid juhusliku või ebaseadusliku kaotuse, juurdepääsu või avalikustamise eest; (b) tuvastada mõistlikult ettenähtavaid ja sisemisi turvariske ning volitamata juurdepääsu teenustele, sealhulgas kliendi Marzipani kontole; ning (c) minimeerida turvariske, sealhulgas riskihindamise ja regulaarse testimise kaudu. Marzipan määrab ühe või mitu töötajat, kes vastutavad allpool kirjeldatud infoturbe tavade ja meetmetega seotud küsimuste eest ning annavad neile vastuseid.
-
UpCloud ja Hetzner Online serverid
UpCloud
Vastavalt UK GDPR artikli 28 lõike 3 punktile c on Marzipan kohustatud valima pilvandmetöötluse töötleja, kes annab piisavad garantiid oma suutlikkuse kohta täita UK GDPR artiklis 32 sätestatud andmeturbe nõudeid.1
We have selected UpCloud to be our principal hosting provider, infrastructure partner and cloud computing processor for the production versions of the Marzipan and Labls applications based on a careful selection process, considering legal, organisation and technical measures. We chose UpCloud because their IT architecture and infrastructure has been certified as being designed and managed in accordance with industry-leading best practises and security standards including:
- ISO 9001 Kvaliteedijuhtimine
- ISO 14001 Keskkonnajuhtimine
- ISO 22301 Turvalisus ja vastupidavus
- ISO 27001 Infoturbe juhtimine
- ISO 50001 Energiajuhtimine
- SOC 2 Type II Andmeturve ja privaatsus
- PCI-DSS Infoturve
Et tagada vastavus EL-i Kohtu (CJEU) 2020. aasta juuli "Schrems II" otsusega, hoitakse kõiki UpCloudis majutatud kliendiandmeid UpCloudi DE-FRA1 andmekeskuses Frankfurdis, Saksamaal.
Hetzner
Marzipan on valinud Hetzner Online'i usaldusväärseks partneriks täiendava dedikeeritud serverimahu pakkumiseks. Hetzner Online on sertifitseeritud vastavalt DIN ISO/IEC 27001 standarditele. Rahvusvaheliselt tunnustatud infoturbestandard kinnitab, et Hetzner Online on loonud ja rakendanud asjakohase infoturbe haldussüsteemi ("ISMS").
Hetzner Online rakendab ISMS-i oma taristu ja tegevuste juures mõlemas Saksa andmekeskuse asukohas, kus Marzipan rendib dedikeeritud serverimahtu – Nürnbergi ja Falkensteini andmekeskuseparkides. Kolmanda osapoole sertifitseerimisasutus FOX Certification on auditeerinud ja sertifitseerinud Hetzner Online'i andmekeskuseparkide ISMS-i protsessid.
Scaleway
Marzipan kasutab Scaleway'd Marzipan rakenduse tehinguliste e-postiteenuste majutamiseks. Scaleway on sertifitseeritud vastavalt ISO/IEC 27001:2022 standarditele. Alates juulist 2024 on Scaleway'l "Hébergeur de Données de Santé" (terviseandmete majutaja) sertifikaat. Prantsuse Riikliku Digitaalse Tervise Ameti (ANS) hallatav ja tervishoiuministeeriumi järelevalve all olev HDS-sertifitseerimisraamistik on üks nõudlikumaid, millele digitaalteenuste pakkujad peavad Prantsusmaal terviseandmete majutamiseks ja haldamiseks vastama. Scaleway sertifikaat kinnitab rangete tehniliste ja organisatsiooniliste meetmete rakendamist terviseandmete kaitseks, vastavust õigus- ja regulatiivnõuetele ning allumist regulaarsetele auditidele, et tagada terviseandmete kõrge turvalisuse tase.
-
Krüpteerimine
Marzipan turvameetmete oluline põhielement on andmete krüpteerimine nii puhkeolekus kui ka edastamisel. Kogu väline võrgusuhtlus klientide ja Marzipan rakenduse vahel avalike võrkude kaudu toimub transpordikihi turvaprotokolli ("TLS") 1.2 või kõrgema versiooni abil. Marzipan UpCloudi, Scaleway ja Hetzner Online'i serverites talletatud kliendiandmed on krüpteeritud AES 256 või kõrgema algoritmiga.
Marzipan kasutab kliendiandmete krüpteerimiseks vastavalt UpCloudi, Scaleway ja Hetzner Online'i krüpteerimisteenuseid.
UpCloudi krüpteerimissüsteem on kavandatud nii, et keegi – sealhulgas Marzipan ega UpCloudi töötajad – ei pääse ligi lihttekstsetele krüpteerimisvõtmetele. UpCloud kasutab riistvaralisi turvamooduleid ("HMS"), mis on valideeritud või valideeritakse vastavalt FIPS 140-2 standardile, et kaitsta kliendiandmete krüpteerimiseks kasutatavate lihttekstsete võtmete konfidentsiaalsust. Kõik krüptograafilised võtmed roteeritakse automaatselt kord aastas.
Hetzner Online'i täisketta krüpteerimine kasutab AES 256 krüpteerimisalgoritme ja kohustuslikke autentimisprotsesse, et krüpteerida kõik dedikeeritud serverites talletatavad tarkvara- ja riistvarapõhised kettad. See minimeerib andmekao ja kliendiandmetele volitamata juurdepääsu riski.
Marzipan süsteemid kasutavad transpordikrüpteerimist alati, kui andmeid tuleb edastada ebaturvalise või avaliku võrgu kaudu. Veebiliides ja kõik Marzipan rakendusega ühendatud API-d on juurdepääsetavad ainult HTTPS-ühenduste kaudu ning klientsüsteemid peavad Marzipan süsteemile juurdepääsuks kasutama vähemalt TLS 1.2.
-
Serveri asukohtade piiramine EMÜ/EL-iga
Marzipan salvestab andmeid ainult EMPs, täpsemalt UpCloud'i andmekeskustes Frankfurdis, Saksamaal, Hetzner Online'i andmekeskustes Nürnbergis ja Falkensteinis, Saksamaal ning Scaleway andmekeskuses Pariisis.
See on vajalik tagamaks, et kliendiandmeid ei saaks kasutada ega avalikustada ilma loata, eelkõige arvestades Euroopa Kohtu Schrems II otsust 16. juulist 2020 ning andmekaitsespetsialistide muret andmete loovutamise seaduste kehtestamise pärast Ameerika Ühendriikides ja muudes EMP-välistest jurisdiktsioonides.
-
Logimine/auditijälg
Marzipan kasutab logimist oma UpCloud'i keskkondades mitmes valdkonnas. Nende hulka kuuluvad:
- Süsteemisündmused;
- Vealogimine;
- Kasutajategevus;
- Sisselogimised ja päringud andmebaasisüsteemidele;
- Muud turvalisusega seotud sündmused/auditlogimine.
-
Seire
Marzipan kasutab erinevaid seiretööriistu Marzipan'i süsteemide ja rakenduse maksimaalse kättesaadavuse ning jõudluse tagamiseks. Need jälgivad vähemalt järgmisi parameetreid:
Kättesaadavus
- Rakenduse ligipääsetavus
- Taustasüsteemide ja -teenuste ligipääsetavus
Ressursid
- CPU kasutus
- Võrguliideste kasutus
- Püsi- ja vahemäluliideste kasutus
Jõudlus
- Rakenduse reageerimisajad
- Taustasüsteemide reageerimisajad
- MySQL andmebaasi sisu päringuajad
Turvalisus
- DS jõudlus
- Süsteemide värskendusolek
Seire
- Vealogiد
- Juurdepääsulogid
Lisaks sellele automatiseeritud seirele jälgivad Marzipan töötajad asjakohaseid veebimeediat ja ajaveepe (sh ülalnimetatud OWASP-i uuendusi), et neile kiiresti reageerida.
-
Juurdepääsu kontroll
Marzipan määrab oma töötajatele ja töövõtjatele erinevad juurdepääsutasemed UpCloudi ja Hetzner Online'i serverites töötavatele süsteemidele ja teenustele. Neid hallatakse UpCloudi ja Hetzner Online'i vastavate identiteedi- ja juurdepääsuhalduse (IAM) süsteemide kaudu, mis võimaldavad erinevate teenuste juurdepääsu täpset diferentseerimist.
Marzipani juhtpõhimõte töötajatele õiguste määramisel on "teadmisvajadus" (ingl need-to-know). Praktikas tähendab see, et Marzipani töötajad saavad juurdepääsu üksnes neile funktsioonidele, mida nad oma tööülesannete täitmiseks vajavad. Taustasüsteemidele on juurdepääs võimalik ainult turvaliste ja autenditud ühenduste kaudu. Taustasüsteemide avalik avaldamine on keelatud. Ainult rangelt piiratud arv Marzipani töötajaid omab juurdepääsu süsteemile, kus kliendiandmeid hoitakse. See otsene juurdepääs on mõeldud eranditult veaanalüüsiks ning seda jälgitakse.
- UK GDPR artikkel 32 kohustab vastutavaid töötlejaid ja volitatud töötlejaid kasutama andmeturbe tagamiseks riskipõhist lähenemist. See nõuab, et vastutavad töötlejad ja volitatud töötlejad "tagaksid riskile vastava turvalisuse taseme". Riskipõhise lähenemise eesmärk on hinnata konkreetse tegevusega kaasnevaid potentsiaalseid riske ning tuvastada ja rakendada leevendusmeetmeid, et kontrollida ja minimeerida võimalikke mõjusid. ↩
