Επισκόπηση ασφάλειας και προστασίας δεδομένων

1. Η προσέγγισή μας

Η Nebs-Creative εφαρμόζει αναλογικά τεχνικά και οργανωτικά μέτρα για την προστασία των εργασιών των πελατών, των λογαριασμών και των προσωπικών δεδομένων. Οι έλεγχοι επιλέγονται ανάλογα με την ευαισθησία των πληροφοριών, τις απαιτήσεις των πελατών, τα συστήματα που εμπλέκονται και τους κινδύνους της συνεργασίας.

2. Έλεγχος πρόσβασης

• Απαιτείται έλεγχος ταυτότητας πολλαπλών παραγόντων στους υποστηριζόμενους λογαριασμούς που χρησιμοποιούνται για εργασίες πελατών.
• Η πρόσβαση περιορίζεται στα πρόσωπα που τη χρειάζονται για ένα συγκεκριμένο έργο και αφαιρείται όταν δεν απαιτείται πλέον.
• Τα κοινά διαπιστευτήρια, όπου είναι αναπόφευκτα, αποθηκεύονται σε εγκεκριμένο κρυπτογραφημένο διαχειριστή κωδικών πρόσβασης και όχι σε συνήθη έγγραφα ή μηνύματα συνομιλίας.
• Η εσωτερική πολιτική που έχει παρασχεθεί απαιτεί επανεξέταση της πρόσβασης κατά το κλείσιμο του έργου και περιοδική επανεξέταση των ενεργών πρόσβασεων.

3. Συσκευές και λογαριασμοί

• Οι συσκευές εργασίας αναμένεται να χρησιμοποιούν κλείδωμα οθόνης, τρέχοντα υποστηριζόμενα λειτουργικά συστήματα, αυτόματες ενημερώσεις ασφαλείας και κρυπτογράφηση ολόκληρου του δίσκου.
• Σύμφωνα με την εσωτερική πολιτική που έχει παρασχεθεί, απαιτείται προστασία από κακόβουλο λογισμικό στις συσκευές που χρησιμοποιούνται για εργασίες πελατών.
• Οι προσωπικές συσκευές μπορούν να χρησιμοποιούνται μόνο σύμφωνα με τις εσωτερικές απαιτήσεις έγκρισης και ασφάλειας.
• Τα μέλη της ομάδας πρέπει να χρησιμοποιούν μοναδικά διαπιστευτήρια και να ακολουθούν την πολιτική κωδικών πρόσβασης της εταιρείας.

4. Χειρισμός δεδομένων και ελαχιστοποίηση

• Προτιμούμε δείγματα δεδομένων, ανωνυμοποιημένα ή ψευδωνυμοποιημένα δεδομένα αντί για ζωντανά προσωπικά δεδομένα, όπου αυτό είναι δυνατό.
• Τα Προσωπικά Δεδομένα Πελάτη περιορίζονται σε εγκεκριμένα εργαλεία και εξουσιοδοτημένα άτομα.
• Πραγματικά προσωπικά δεδομένα δεν πρέπει να εισάγονται σε σχέδια/πρωτότυπα, εκτός εάν ο πελάτης μάς δώσει σχετική εντολή και εφαρμόζονται κατάλληλες διασφαλίσεις.
• Τα αρχεία που περιέχουν εμπιστευτικές πληροφορίες κοινοποιούνται με περιορισμούς πρόσβασης κατάλληλους για το έργο.

5. Κρυπτογράφηση και μεταφορά

Η Συμφωνία Επεξεργασίας Δεδομένων (DPA) που έχει παρασχεθεί προβλέπει κρυπτογράφηση κατά τη μεταφορά για τις διαβιβάσεις και κρυπτογράφηση σε αδράνεια όταν παρέχεται από εγκεκριμένα συστήματα αποθήκευσης, μαζί με διασφαλίσεις για τις διεθνείς διαβιβάσεις όπου απαιτείται από το εφαρμοστέο δίκαιο προστασίας δεδομένων.

6. Προσωπικό και εμπιστευτικότητα

Το νομικό πακέτο που έχει παρασχεθεί απαιτεί από τους εργαζομένους, τους εργολάβους και τους ελεύθερους επαγγελματίες να υπογράφουν υποχρεώσεις εμπιστευτικότητας και διανοητικής ιδιοκτησίας πριν αποκτήσουν πρόσβαση σε εργασίες πελατών. Σύμφωνα με την εσωτερική πολιτική, απαιτείται εκπαίδευση σε θέματα ασφάλειας και προστασίας δεδομένων κατά την ένταξη και περιοδικά στη συνέχεια.

7. Ασφαλής ανάπτυξη και εργασίες έργου

Οι ευθύνες ασφάλειας για ένα έργο ανάπτυξης εξαρτώνται από το αντικείμενο του έργου. Μπορεί να χρησιμοποιούμε έλεγχο εκδόσεων, ελεγχόμενη πρόσβαση, αναθεωρήσεις, δοκιμές, διαχείριση εξαρτήσεων και δομημένες πρακτικές ανάπτυξης (deployment) κατάλληλες για τη συγκεκριμένη ανάθεση. Ο πελάτης που απαιτεί συγκεκριμένο πλαίσιο ασφαλούς ανάπτυξης, δοκιμή διείσδυσης, πρότυπο ασφάλειας, έλεγχο κώδικα ή πιστοποίηση συμμόρφωσης θα πρέπει να το συμπεριλάβει ρητά στο SOW.

8. Εργαλεία τεχνητής νοημοσύνης

Εμπιστευτικές πληροφορίες και προσωπικά δεδομένα πελατών δεν πρέπει να εισάγονται σε μη εγκεκριμένα εργαλεία τεχνητής νοημοσύνης. Όταν χρησιμοποιείται εγκεκριμένο εργαλείο τεχνητής νοημοσύνης με πληροφορίες πελάτη, η χρήση πρέπει να συμμορφώνεται με την ισχύουσα σύμβαση με τον πελάτη, τη DPA, τις εγκεκριμένες ρυθμίσεις και τους περιορισμούς σχετικά με την εκπαίδευση μοντέλων. Οι πελάτες μπορούν να περιορίζουν τα στοιχεία που παράγονται από τεχνητή νοημοσύνη σε έγγραφα που αφορούν συγκεκριμένο έργο.

9. Αντιμετώπιση περιστατικών

Η εσωτερική πολιτική που έχει παρασχεθεί απαιτεί τα ύποπτα περιστατικά ασφάλειας να αναφέρονται άμεσα εσωτερικά και να καταγράφονται. Όταν ένα περιστατικό αφορά Προσωπικά Δεδομένα Πελάτη, η DPA απαιτεί ενημέρωση του πελάτη χωρίς αδικαιολόγητη καθυστέρηση και, σύμφωνα με την ισχύουσα DPA, σε κάθε περίπτωση εντός 48 ωρών από τη στιγμή που η Nebs-Creative λάβει γνώση σχετικής παραβίασης προσωπικών δεδομένων. Οι γνωστοποιήσεις προς ρυθμιστικές αρχές ή φυσικά πρόσωπα διεκπεραιώνονται όπως απαιτείται από το εφαρμοστέο δίκαιο και τις ευθύνες του πελάτη/υπευθύνου επεξεργασίας.

10. Επιχειρησιακή συνέχεια και αντίγραφα ασφαλείας

Οι εργασίες των έργων τηρούνται γενικά σε εγκεκριμένες υπηρεσίες cloud με δυνατότητες δημιουργίας αντιγράφων ασφαλείας/ανάκτησης από τον πάροχο. Η ευθύνη για τα αντίγραφα ασφαλείας των συστημάτων παραγωγής, της φιλοξενίας και της υποδομής του πελάτη εξαρτάται από το αντικείμενο του έργου και θα πρέπει να αναφέρεται στο SOW ή στη συμφωνία φιλοξενίας/συντήρησης.

11. Διαγραφή δεδομένων

Για τα Προσωπικά Δεδομένα Πελάτη που υποβάλλονται σε επεξεργασία βάσει της DPA, η ισχύουσα συμβατική θέση είναι η επιστροφή ή η διαγραφή εντός 30 ημερών από τη λήξη των σχετικών υπηρεσιών, με την επιφύλαξη των οδηγιών του πελάτη, των νομικών υποχρεώσεων διατήρησης και των κανονικών κύκλων αντικατάστασης των αντιγράφων ασφαλείας. Άλλα επιχειρηματικά αρχεία διατηρούνται σύμφωνα με την Πολιτική Απορρήτου μας και τις νομικές υποχρεώσεις.

12. Αναφορά ζητημάτων ασφαλείας

Εάν πιστεύετε ότι εντοπίσατε ζήτημα ασφαλείας που επηρεάζει το Nebs-Creative, επικοινωνήστε στο contact@nebs-creative.com με τη λέξη «Security» στη γραμμή θέματος και παρέχετε επαρκείς πληροφορίες ώστε να μπορέσουμε να το διερευνήσουμε. Μην αποκτάτε πρόσβαση, μην λαμβάνετε, μην τροποποιείτε και μην αποκαλύπτετε δεδομένα που δεν σας ανήκουν, μην διαταράσσετε τις υπηρεσίες και μην πραγματοποιείτε καταστροφικές δοκιμές.

13. Καμία απόλυτη εγγύηση ασφάλειας

Κανένας οργανισμός δεν μπορεί να εγγυηθεί ότι κάθε σύστημα, συσκευή ή μετάδοση είναι απολύτως ασφαλής. Η παρούσα επισκόπηση περιγράφει τις πρακτικές που σκοπεύουμε να εφαρμόζουμε και δεν δημιουργεί εγγύηση πέραν των υποχρεώσεων που ρητά αναφέρονται σε εφαρμοστέα συμφωνία πελάτη ή σε DPA.