Bezpieczeństwo – Najczęściej Zadawane Pytania (FAQ)
Last updated
Last updated
Tak, EmailLabs kwalifikuje się jako usługa "publicznej chmury". Serwer SMTP, będący prywatnym serwerem wirtualnym (VPS), jest oddzielony od fizycznego serwera VERCOM i może być współdzielony lub dedykowany klientowi. Szczegółową specyfikacje techniczną znajdziesz poniżej: I. Część Wysyłkowa: Główną funkcją usługi EmailLabs jest masowe wysyłanie wiadomości e-mail do bazy adresowej określonej przez klienta. II. Baza Danych: Dane zawarte w wiadomościach e-mail przetwarzane są na serwerach należących do VERCOM. W przypadku kopii zapasowych dane są szyfrowane (i przechowywane w tej formie na serwerach dostarczanych przez strony trzecie).
Przetwarzanie danych rozróżnia:
Dane w ruchu: Szyfrowane protokołem SSL.
Dane statyczne: Przechowujemy tylko adresy e-mail odbiorców (logi e-maili w panelu). Te dane nie są szyfrowane z powodu obciążenia obliczeniowego związanego z przetwarzaniem takich baz danych. W I kwartale 2024 roku będzie dostępna funkcja anonimizacji danych.
Tak, proces obejmuje zapisywanie logów z anonimizowanymi adresami TO. Na przykład zamiast "[email protected]" będzie "j**********@abcabc.pl".
Tak, VERCOM S.A. wyznaczył inspektora Ochrony Danych Osobowych.
Inspektor Ochrony Danych Osobowych Vercom S.A to: Marika Rybarczyk [email protected]
Tak, działania IOD są dokumentowane.
Tak, w zakresie w jakim obowiązki te spoczywają na Vercom S.A. jako Administratorze danych osobowych.
Vercom w niezbędnym zakresie wspiera Administratorów w wywiązywaniu się obowiązków wynikających z regulacji prawnych. Rozwiązania Vercom nie są systemami do zarządzania bazami danych, a więc funkcjonalności w tym zakresie mogą być ograniczone.
Jako podmiot przetwarzający nie prowadzimy rejestru żądań osób, których dane dotyczą, gdyż są to kwestie spoczywające po stronie ADO.
Wszystkie żądania od Podmiotów Danych, które do nas wpływają, są niezwłocznie przekazywane do Administratorów zgodnie z umową powierzenia, a podmiot zgłaszający otrzymuje informację, że przekazaliśmy dane do Administratora. Podmiot przetwarzający wspiera Administratorów w wywiązywaniu się z obowiązku odpowiadania na żądania osób, których dane dotyczą.
Tak, są wyznaczone osoby odpowiedzialne za utrzymanie kontaktu z Administratorem powierzającym przetwarzanie.
Pierwszą linią wsparcia jest opiekun biznesowy oraz BOK, każdy ADO ma również możliwość kontaktu bezpośrednio z IOD
Tak, sprawdź wzór Umowy DPA: Wzory Dokumentów dla Klientów
Przetwarzanie następuje w celu świadczenia Usługi na rzecz Klienta w oparciu o Umowę Główną oraz w celu wypełnienia zobowiązań Vercom wynikających z niniejszej Umowy powierzenia odnoszących się, w szczególności, do zabezpieczenia danych, w tym zapewnienia ich integralności i dostępności.
Okres przetwarzania danych będzie taki sam jak okres świadczenia Usług na podstawie Umowy Głównej, z zastrzeżeniem, że umowa powierzenia obowiązuje do momentu usunięcia danych zgodnie z jej postanowieniami.
Przetwarzane dane osobowe dotyczą następujących kategorii osób fizycznych: Użytkownicy końcowi – osoby fizyczne będące odbiorcami komunikacji elektronicznej wysyłanej przez Klienta na podstawie Umowy Głównej.
Przetwarzane szczególne kategorie danych osobowych obejmują następujące kategorie: Nie Dotyczy.
W zależności od świadczonej usługi lista procesorów może się różnić. Szczegóły reguluje zawarta umowa powierzenia przetwarzania danych osobowych.
Lista dostępna w zakładce Przetwarzanie Danych Osobowych w EmailLabs.
Przetwarzanie danych osobowych odbywa się na terytorium Unii Europejskiej lub Europejskiego Obszaru Gospodarczego, chyba że obowiązek przekazania danych osobowych do kraju trzeciego wynika z przepisów GDPR. Więcej informacji znajdziesz w zakładce Ochrona Danych Osobowych i Zgodność z Przepisami oraz w sekcji Ochrona Usług i Zabezpieczenia Połączeń (Cloudflare WAF)
Wszystkie operacje wykonywane na danych osobowych odbywają się w systemie informatycznym. Dane powierzone do przetwarzania nie są przechowywane na komputerach pracowników. Vercom nie przetwarza, w ramach świadczonych usług, danych osobowych w wersji papierowej. Wszystkie dane osobowe powierzone nam do przetwarzania są przechowywane w zewnętrznej serwerowni spełniającej najwyższe standardy bezpieczeństwa i podlegają tam wielopoziomowemu zabezpieczeniu.
Tak.
PBI - 01 Zał. 07 Procedura Retencji Danych VERCOM. Kwestie uregulowane są dodatkowo w Umowie powierzenia przetwarzania danych Dane usuwane są w terminie 3 dni roboczych od rozwiązania lub wygaśnięcia Umowy Głównej. Dane Osobowe ulegają automatycznemu usunięciu, chyba że obowiązek ich zachowania wynikać będzie z przepisów prawa obowiązujących Vercom. Dane z backupu usuwane są po dwóch latach.
Tak, podwykonawcy podlegają corocznej ocenie.
Tak, prowadzona jest szczegółowa lista dalszych podmiotów przetwarzających Vercom S.A., ostatnia aktualizacja 20.03.2023 oraz Rejestr Czynności Przetwarzania w VERCOM S.A.
Tak. Przeprowadzane są okresowe audyty wewnętrzne oraz zewnętrzne. Testowanie odbywa się minimum raz na 12 miesięcy lub częściej w razie konieczności.
Ostatni audyt ISO 22301 miał miejsce w styczniu 2025, poprzednie audyty zewnętrzne 27001 oraz ISO 27018 miał miejsce w sierpniu 2024. Obejmowały zakresem całą organizację i wszystkie wymagane normy oraz pomiar skuteczoności zabezpieczeń. Nastąpiła weryfikacja zgodności z normą ISO 22301, ISO 27001 oraz 27018. Uzyskano certyfikat zgodności.
W roku 2024 przepriwadzono dodatkowo 3 audyty wewnętrzne zakończone powstaniem raportu z audytu i przeglądem funkcjonowania Systemu Zarządzania Bezpieczeństwem Informacji.
Wszystkie operacje wykonywane na danych osobowych odbywają się w systemie informatycznym. Dane powierzone do przetwarzania nie są przechowywane na komputerach pracowników. Vercom nie przetwarza, w ramach świadczonych usług, danych osobowych w wersji papierowej. Wszystkie dane osobowe powierzone nam do przetwarzania są przechowywane w zewnętrznej serwerowni spełniającej najwyższe standardy bezpieczeństwa i podlegają tam wielopoziomowemu zabezpieczeniu.
W systemach Vercom udostępnianych w ramach świadczonych usług zastosowana jest separacja logiczna danych.
Nie.
Nie podlegamy pod wymóg stosowania zatwierdzonych kodeksów postępowania.
Tak.
Wdrożone i potwierdzone certyfikatem ISO 27001 oraz ISO 27018 PBI - 01 Księga Procesu Bezpieczeństwa Informacji DO-01 Polityka Bezpieczeństwa Danych Osobowych
Tak. Wdrożona i udokumentowana procedura DO-02 Instrukcja zarządzania systemem informatycznym.
Tak.
Tak.
Tak.
Tak. Działamy zgodnie z zasadą Privacy by design oraz Privacy by default.
Tak. Przeprowadzane są okresowe audyty wewnętrzne oraz zewnętrzne. Testowanie odbywa się minimum raz na 12 miesięcy lub częściej w razie konieczności. Ostatni audyt ISO 22301 miał miejsce w styczniu 2025, poprzednie audyty zewnętrzne 27001 oraz ISO 27018 miał miejsce w sierpniu 2024. Obejmowały zakresem całą organizację i wszystkie wymagane normy oraz pomiar skuteczoności zabezpieczeń. Nastąpiła weryfikacja zgodności z normą ISO 22301, ISO 27001 oraz 27018. Uzyskano certyfikat zgodności. W roku 2024 przeprowadzono dodatkowo 3 audyty wewnętrzne zakończone powstaniem raportu z audytu i przeglądem funkcjonowania Systemu Zarządzania Bezpieczeństwem Informacji.
Tak. Wdrożona procedura DO-03 Metodyka Szacowania Ryzyka Danych Osobowych
Tak. Wdrożona procedura DO-03 Metodyka Szacowania Ryzyka Danych Osobowych.
Tak, 14.04.2023.
Zgodnie z wdrożoną i udokumentowaną procedurą Szacowania Ryzyka prowadzony jest Arkusz Szacowania Ryzyka w formie elektronicznej. Szacowanie odbywa się raz do roku, oraz w razie zaistnienia konieczności wynikającej z planowanych działań, każdorazowo dodatkowo.
Tak, wdrożony jest szereg rozwiązań monitorujących darzenia w systemie i alertujących o wykrytych nieprawidłowościach. Dodatkowo firma posiada wewnętrzny zespół ds. cyberbezpieczeństwa prowadzący regularne testy wdrożonych rozwiązań.
Tak. Jest opracowany i wdrożony Plan ciągłości działania, który jest regularnie testowany (nie rzadziej niż raz na rok) PBI - 01 Zał. 03 Schemat ciągłości działania (BCP); Vercom posiada również plan DRP.
Tak, w ramach corocznych testów BCP
Kopie zapasowe, szyfrowane różnymi algorytmami, w tym AES256, są przeprowadzane wyłącznie w naszych CPD, zlokalizowanych wyłącznie w obszarze EOG, w celu ewentualnej utraty operacyjnych danych i przywracania systemu. Więcej informacji: Bezpieczeństwo Fizyczne i Infrastrukturalne Centrów Danych
Tak, istnieje i został wdrożony formalny proces obsługi wszelkich naruszeń ochrony danych osobowych i incydentów bezpieczeństwa, wszystkie naruszenia ochrony danych osobowych i incydenty bezpieczeństwa są raportowane do kadry zarządzającej, są rejestrowane oraz obsługiwane przez wyznaczone osoby.
Posiadamy udokumentowaną i wdrożoną PBI - 03 Zarządzanie incydentami bezpieczeństwa, posiadamy pełną dokumentację, w tym dokumentację nadzorczą, w ramach której prowadzony jest PBI-03 Zał. 1 Rejestr naruszeń oraz incydentów ochrony danych osobowych w VERCOM S.A.
Tak, prowadzimy Rejestr Incydentów bezpieczeństwa i ochrony danych osobowych
Nie
Tak.
Tak.
Tak. Każdy pracownik i współpracownik po zatrudnieniu podpisuje oświadczenie o zachowaniu poufności.
Tak. Dostęp do danych mają jedynie pracownicy odpowiednio upoważnieni. Dostępu udziela się na zasadzie ograniczonego dostępu (zasada "need to know") - w zakresie niezbędnym do wykonywania pracy na danym, zajmowanym stanowisku.
Jest prowadzona ewidencja osób upoważnionych do przetwarzania danych osobowych, aktualizowana na bieżąco.
Każdy pracownik posiada kartę kontroli dostępu i jest zobowiązany do posiadania jej przy sobie. Każdy identyfikator jest przypisany do konkretnego użytkownika i służy do uzyskania dostępu do pomieszczeń biurowych. Każdorazowe użycie identyfikatora jest logowane w systemie.
Przydzielane identyfikatory nie posiadają oznaczenia firmy ani pracownika ze względów bezpieczeństwa, aby w razie zagubienia nie zachęcały potencjalnego znalazcy do jego użycia.
Tak. W ciągu maksymalnie 30 dni od podjęcia pracy przez Pracownika pełnomocnik ds. ISO przeprowadza z nowo zatrudnionym Pracownikiem szkolenie podstawowe z zakresu przetwarzania danych osobowych w spółce oraz z zakresu zasad na stanowisku pracy (Instrukcja Stanowiskowa) i zapoznawany jest z Polityką Bezpieczeństwa Informacji.
Przynajmniej raz w roku Pełnomocnik ds. SZBI organizuje obowiązkowe szkolenia dla Pracowników z zakresu przetwarzania danych osobowych w Spółce oraz z zakresu zasad na stanowisku pracy. Pracownicy uczestniczą w szkoleniach zgodnie z procedurami PBI 04 Załącznik 1 Instrukcja zarządzania dostępami i zasobami. Ostatnie szkolenie: 23.08.2024
Oprócz corocznych, obowiązkowych szkoleń, zarówno z zakresu RODO jak i ISO, pracownicy i współpracownicy biorą udział w dodatkowych szkoleniach prowadzonych przez Pentestera z Cyberbezpieczeństwa, w ramach dobrych praktyk funkcjonuje w organizacji cykl szkoleń Cyber Wtorki. Umożliwiamy też udział w dodatkowych szkoleniach związanych z tematyką dotyczącą cyfrowych zagrożeń i do tego każdy pracownik niezwłocznie po zatrudnieniu zapoznaje się ze szczegółową Instrukcją Stanowiskową. Cykliczne i obowiązkowe są też specjalistyczne szkolenia działu IT, a także cykle szkoleń dedykowane pracownikom BOK. Regularnie dbamy o ciągłe doskonalenie i podnoszenie kwalifikacji pracowników i współpracowników zapewniając im dostęp do dedykowanych względem działu zatrudnienia, odpowiednich szkoleń.
Tak. Wdrożono i stosuje się system procedur weryfikacji zatrudniania Pracowników.
Weryfikacja obejmuje m.in. wgląd w referencje pracownika, analizę kwalifikacji, a także następujące aspekty: - potwierdzenie tożsamości na podstawie odpowiedniego dokumentu (dowód osobisty lub paszport) - potwierdzenie posiadania odpowiednich kwalifikacji naukowych (na podstawie certyfikatów/dyplomów/świadectw ukończenia) - potwierdzenie deklarowanego doświadczenia zawodowego (w CV i w referencjach).
Tak, pracownicy podpisują stosowne oświadczenia i zobowiązani są do poinformowania pracodawcy w razie jakiejkolwiek zmiany.
Tak, panel umożliwia zarządzanie użytkownikami i różnymi poziomami dostępu.
Tak, nowy panel użytkownika oferuje 2FA do weryfikacji użytkownika.
Tak, została wdrożona spójna polityka haseł.
Dla hasła ustalony jest maksymalnie okres ważności, minimalna długość znaków, wymuszona jest historia haseł, nie może być zbyt łatwe i oczywiste, nie może być wyrazem słownikowym. Każdy pracownik oraz współpracownik przechowuje hasła w managerze haseł (KeePassXC).
Tak, zgodnie z PBI - 04 Zał. 01 Instrukcja Zarządzania dostępami w Vercom S.A.
Nadawanie dostępu jest wyłącznie na podstawie akceptacji przez kadrę zarządzającą, pracownicy muszą posiadać unikalne identyfikatory, mają zakaz dzielenia się indywidualnymi hasłami z innymi. Jest wdrożona procedura związana z uwierzytelnianiem użytkownika w systemie informatycznym – Instrukcja Zarządzania Systemem Informatycznym. Indywidualne konta, loginy, hasła dla każdego pracownika.
Tak.
System nie zezwala na tworzenie kont generycznych, niespersonalizowanych, ani kont gościa.
Tak, zgodnie z udokumentowaną i wdrożoną Procedurą Korzystanie z zasobów informatycznych przez użytkowników.
Tak.
Tak.
Tak. Każdy nowo przyjęty pracownik i współpracownik przechodzi obowiązkowe szkolenia w tym zakresie.
Tak.
Tak, w procedurze Korzystanie z zasobów informatycznych przez użytkowników.
Tak Użycie prywatnych urządzeń przenośnych jest uregulowane, opisane, udokumentowane i wdrożone w wewnętrznych instrukcjach PBI - 04 Korzystanie z zasobów informatycznych przez użytkowników.
W organizacji występuje całkowity zakaz korzystania z prywatnych urządzeń przenośnych.
Tak, zgodnie z wdrożonymi procedurami w zakresie urządzeń mobilnych wykorzystywanych przez pracowników. Urządzenia mobilne mają skonfigurowaną kontrolę dostępu, urządzenia mobilne są chronione oprogramowaniem anty malware i anty wirusowym oprogramowanie to i jego aktualizacje są centralnie zarządzane.
Tak, prowadzona jest rejestr sprzętu.
Dane powierzone do przetwarzania, przetwarzane są wyłącznie w systemie informatycznym i nie są przesyłane poza nim.
Tak, mamy udokumentowaną i wdrożoną Procedurę Zarządzania Zabezpieczeniami i Kluczami Kryptograficznymi związaną także z bezpieczeństwem użytkowania urządzeń mobilnych.
Zgodnie z naszą Procedurą Korzystania z Zasobów Informatycznych przez użytkowników jest całkowity zakaz korzystania zewnętrznych nośników informacji. Z dysków zewnętrznych mogą korzystać jedynie wybrani pracownicy działu IT oraz Administratorzy systemu, po uprzedniej zgodzie IOD oraz Pełnomocnika ds. SZBI. Podlegają one szczegółowym wytycznym, liczba jest ściśle określona, są ewidencjonowane, szyfrowane i podlegają corocznym przeglądom. Nie można na nich przechowywać żadnych danych osobowych. Dane powierzone do przetwarzania, przetwarzane są wyłącznie w systemie informatycznym i nie są przesyłane poza nim.
Tak. Wszystko odbywa się zgodnie z udokumentowaną i wdrożoną Procedurą Retencji Danych VERCOM oraz Instrukcją Zarządzania Systemem Informatycznym, w sposób dostosowany do kategorii danych.
Tak. Postępowanie z wydrukami opisane we wdrożonej i udokumentowanej procedurze DO - 02 Instrukcja Zarządzania Systemem Informatycznym. Dokumenty niepotrzebne są niszczone w sposób uniemożliwiający ich odczytanie, np. przy użyciu niszczarek z odpowiednim stopniem bezpieczeństwa - rekomendowane są do niszczenia dokumentów zawierających dane osobowe takie jak np. imię, nazwisko, adres mailowy itp. oraz specjalnej firmy zewnętrznej specjalizującej się w niszczeniu dokumentów.
Dane powierzone do przetwarzania, przetwarzane są wyłącznie w systemie informatycznym. Vercom nie przetwarza danych Klienta w formie papierowej.
Tak. Zgodnie z wdrożoną i udokumentowaną procedurą DO - 02 Instrukcja Zarządzania Systemem Informatycznym.
Vercom nie przetwarza danych Klienta w formie papierowej.
Obiekt spełnia wymogi międzynarodowego standardu Tier III. W centrum przetwarzania danych zainstalowany jest m.in. system klimatyzacji, system podtrzymania zasilania (UPS), system gaszenia, wykorzystywane są systemy redundantnego zasilania (np. w serwerach), systemy klimatyzacji i UPS są regularnie testowane. Więcej informacji na temat bezpieczeństwa wykorzystywanej serwerowni głównej dostępne bezpośrednio na stronie: https://www.beyond.pl/centra-danych/beyond-pl-data-center-1/
Tak.
PBI - 04 Korzystanie z zasobów informatycznych przez użytkowników 1.2; PBI - 05 Korzystanie z zasobów - administratorzy 1.2
Tak.
Sieć bezprzewodowa jest odseparowana od sieci wewnętrznej LAN za pomocą reguł Firewall, Dostęp do sieci lokalnej oraz sieci zdalnych (np. Internetu) nadawany jest na podstawie zlecenia przełożonego danego pracownika w formie zgłoszenia poprzez utworzenie zgłoszenia mailowego do Administratora systemu z prośbą o nadanie uprawnień do systemów i dostępu do zasobów IT (login, hasło, email), lub bezpośrednio przez Kierownika działu. Zezwalanie na dostęp do stron internetowych i blokowanie go. Organizacja określa, które adresy URL są zablokowane, jak również określa, które z nich są dozwolone.
Automatycznie. Logi sieciowe analizowane są automatycznie oraz ręcznie gdy wystąpi potrzeba analizy zdarzenia.
Zgodnie z wdrożoną polityka PBI - 04 Zał. 02 Procedura Zarządzania Zabezpieczeniami i Kluczami Kryptograficznymi. Dane w ruchu są szyfrowane za pomocą protokołu SSL. Długoterminowe przechowywanie danych w formie backupu jest w pełni szyfrowane. Dane operacyjne nie są szyfrowane ze względów optymalizacyjnych.
Tak.
Tak.
Tak.
Tak.
Tak.
Tak. Kod rozwijany jest wewnętrznie.
Tak.
Tak. Kod źródłowy przechowywany jest w niezależnym środowisku.
Tak. Vercom wykonuje testy penetracyjne zgodnie z dokumentem "Proces zarządzania podatnościami Vercom" -przeprowadzamy cykliczne testy penetracyjne posiadanej przez nas aplikacji raz w roku wewnętrznie przez naszego Pentestera oraz przynajmniej raz na dwa lata przez zewnętrzną firmę audytującą (na przemian raz jedne, raz drugie). Plan testów ustala koordynator testów w porozumieniu z dyrektorami projektów oraz CTO. Szczegółowy plan testów ustalany jest każdorazowo na podstawie sugerowanego harmonogramu.
Dostęp do budynku tylko i wyłącznie dla autoryzowanego personelu, blokady wszystkich wejść na karty imienne. Biurowiec klasy Premium. Zgodnie z zakładką Środki Techniczne i Organizacyjne Stosowane przez EmailLabs
Tak.
Tylko dostęp osób upoważnionych, blokady wszystkich wejść na kartę imienne. W budynkach biurowych w których pracujemy, nie są przechowywane powierzone nam do przetwarzania dane osobowe. Wszystkie dane osobowe powierzone nam do przetwarzania są przechowywane w zewnętrznej serwerowni spełniającej najwyższe standardy bezpieczeństwa i podlegają tam wielopoziomowemu zabezpieczeniu - certyfikacja SOC 2. W Budynku biurowym po godzinach pracy pracowników mogą przebywać osoby sprzątające lub w sytuacjach nadzwyczajnych wstęp ma także ochrona biurowca. Mamy to przewidziane w naszych procedurach związanych z wdrożonym ISO 27001. z każdą osobą mamy podpisane umowy NDA w tym z osobami z firmy sprzątającej, które sprzątają po godzinach pracy. Ale miejsca, gdzie są przechowywane dane NIE są dostępne dla osób trzecich po godzinach pracy.
Tak, Nasza usługa stanowi specyficzną formę chmury obliczeniowej publicznej, będącą w całości stworzoną i zarządzaną przez Vercom S.A - nie korzystamy z dostawcy usługi chmurowej lecz sami jesteśmy tym dostawcą. W rozumieniu, że chmurą obliczeniową jest nie tylko powszechnie rozumiane jako chmura „zasoby”, „przestrzeń wirtualna”, ale także usługi, infrastruktura oraz platformy do rozwoju aplikacji. Należy je określić jako rozwiązanie hybrydowe tj. połączenie usługi, platformy oraz infrastruktury. Powszechne zrobiło się także określenie CPaaS (Communications Platform as a Service) oznaczające rozwiązanie dedykowane dla komunikacji przedsiębiorców z ich klientami za pomocą dedykowanej platformy porządkującej ten proces komunikacji.
Tak, audyt bezpieczeństwa oparty o OWASP TOP 10 (Open Web Application Security Project TOP 10 vulnerabilities) oraz metodologię OWASP ASVS. Również audyt przeprowadzany w związku z certyfikacją ISO 27001 oraz ISO 27018.
Zgodnie z zakładką Środki Techniczne i Organizacyjne Stosowane przez EmailLabs
Zgodnie z zakładką Środki Techniczne i Organizacyjne Stosowane przez EmailLabs
Zgodnie z zakładką Środki Techniczne i Organizacyjne Stosowane przez EmailLabs
Zgodnie z zakładką Środki Techniczne i Organizacyjne Stosowane przez EmailLabs