Zabezpečení

Náš přístup k zabezpečení

Carsdata funguje jako datová infrastruktura pro evropský trh s automobily a důvěrnost, integrita a dostupnost dat, která nám jsou svěřena, jsou pro tuto roli zásadní. Uplatňujeme přístup hloubkové ochrany (defence in depth): zabezpečení je zabudováno do toho, jak platformu navrhujeme, vyvíjíme a provozujeme, nikoli doplněno dodatečně. Tato stránka shrnuje technická a organizační opatření, která udržujeme. Je poskytována pro účely transparentnosti a netvoří součást žádné smlouvy; konkrétní závazky jsou stanoveny v příslušné smlouvě o poskytování služeb a ve Smlouvě o zpracování osobních údajů.

Řízení a soulad s předpisy

Náš bezpečnostní program je navržen kolem kontrolních mechanismů a kritérií důvěryhodnosti (Trust Services Criteria) stanovených v mezinárodně uznávaných rámcích – včetně ISO/IEC 27001 a SOC 2 – a své postupy vůči nim průběžně hodnotíme a zlepšujeme. Osobní údaje zpracováváme v souladu s GDPR a naše zpracování jménem zákazníků se řídí naší Smlouvou o zpracování osobních údajů.

Za zabezpečení odpovídá vedení společnosti, opírá se o doložené zásady upravující přijatelné užívání, řízení přístupu, klasifikaci dat, řízení změn, řízení dodavatelů a reakci na incidenty. Zásady jsou pravidelně revidovány a po každé významné změně našeho prostředí.

Hosting dat a infrastruktura

Platforma běží na infrastruktuře zavedených poskytovatelů cloudu, kteří provozují certifikovaná a fyzicky zabezpečená datová centra. Osobní údaje jsou hostovány primárně v rámci Evropské unie / Evropského hospodářského prostoru. Naše infrastruktura je logicky oddělena, nasazena napříč odolnými zónami dostupnosti a spravována pomocí infrastruktury jako kódu (infrastructure as code), takže prostředí jsou konzistentní, kontrolovatelná a reprodukovatelná.

Šifrování

Data při přenosu jsou ve veřejných sítích šifrována pomocí TLS. Data v klidu jsou šifrována pomocí silných, oborově standardních algoritmů. Šifrovací klíče jsou spravovány prostřednictvím služeb pro správu klíčů našich poskytovatelů cloudu, s přístupem omezeným na oprávněné systémy a pracovníky.

Řízení přístupu

Přístup k systémům a datům se řídí zásadami nejmenších oprávnění a potřeby znát (need-to-know). Administrátorský přístup vyžaduje vícefaktorové ověření, je udělován na základě rolí, je logován, pravidelně přezkoumáván a neprodleně odebrán, jakmile již není potřebný. Tam, kde je to podporováno, lze přístup zákazníků k platformě federovat prostřednictvím jednotného přihlášení (single sign-on).

Zabezpečení sítě a aplikací

Naše síť je chráněna firewally, bezpečnostními skupinami a segmentací, které omezují provoz na nezbytné minimum. Aplikace jsou chráněny proti běžným webovým zranitelnostem prostřednictvím bezpečného návrhu, validace vstupů a zpevněných konfigurací a veřejné koncové body jsou chráněny proti objemovým útokům i útokům na aplikační vrstvě.

Bezpečný vývojový cyklus

Změny platformy procházejí správou verzí, vzájemnou revizí kódu (peer code review) a automatizovaným testováním před vydáním. V našich pipeline využíváme automatizované skenování závislostí a zranitelností, oddělujeme vývojové, testovací a produkční prostředí a dodržujeme řízený proces správy změn, takže jsou vydání dohledatelná a vratná.

Monitoring, logování a detekce

Aplikační, infrastrukturní a přístupové logy shromažďujeme centrálně a sledujeme anomální aktivitu i problémy s dostupností. Upozornění směřují odpovědnému týmu, aby bylo možné případné problémy neprodleně prošetřit a vyřešit.

Správa zranitelností a testování

Naše systémy a závislosti pravidelně kontrolujeme na známé zranitelnosti a odstraňujeme je na základě priority podle míry rizika. K provádění pravidelných penetračních testů využíváme kvalifikované třetí strany a zjištění řešíme podle jejich závažnosti.

Zálohování a kontinuita provozu

Data pravidelně zálohujeme, přičemž zálohy jsou šifrovány a uchovávány odděleně od primárních systémů. Udržujeme plány kontinuity provozu a obnovy po havárii s definovanými cíli obnovy a testujeme svou schopnost obnovit službu, abychom se z výpadku zotavili s minimálním dopadem.

Personální bezpečnost

Pracovníci jsou vázáni povinnostmi mlčenlivosti a absolvují školení v oblasti bezpečnosti a ochrany osobních údajů odpovídající jejich roli, a to jak při nástupu, tak průběžně. Přístup k produkčním datům je omezen na ty, kteří jej ke své práci potřebují, a je odebrán při změně role nebo odchodu.

Další zpracovatelé a řízení dodavatelů

K poskytování služeb zapojujeme omezený počet pečlivě vybraných dalších zpracovatelů – především poskytovatele cloudové infrastruktury a úložiště. Posuzujeme bezpečnostní úroveň našich dodavatelů, vážeme je odpovídajícími smluvními povinnostmi v oblasti ochrany osobních údajů a bezpečnosti a vedeme aktuální seznam dalších zpracovatelů, jak je uvedeno v naší Smlouvě o zpracování osobních údajů.

Reakce na incidenty

Udržujeme doložený proces reakce na incidenty zahrnující detekci, třídění, zadržení, odstranění, obnovu a poincidentní přezkum. V případě porušení zabezpečení osobních údajů týkajícího se dat zákazníků informujeme dotčené zákazníky bez zbytečného odkladu a podporujeme je při plnění jejich vlastních oznamovacích povinností, v souladu s GDPR a naší Smlouvou o zpracování osobních údajů.

Ochrana osobních údajů a soukromí

Bezpečnost a soukromí řešíme společně. Uplatňujeme zásady minimalizace údajů a účelového omezení, zpracováváme osobní údaje v souladu s GDPR a zpracování prováděné jménem zákazníků upravujeme naší Smlouvou o zpracování osobních údajů. Podrobnosti o tom, jak nakládáme s osobními údaji, naleznete v našich Zásadách ochrany osobních údajů.

Nahlášení zranitelnosti

Vítáme hlášení od bezpečnostních výzkumníků i uživatelů. Pokud se domníváte, že jste na Carsdata.com nalezli bezpečnostní zranitelnost, kontaktujte nás na info@carsdata.com a uveďte dostatek podrobností k reprodukci problému. Žádáme, abyste nám před jakýmkoli zveřejněním poskytli přiměřenou možnost problém prošetřit a odstranit a abyste se vyhnuli přístupu k datům, která nejsou vaše, nebo jejich úpravě. Vaše hlášení potvrdíme a budeme vás informovat o postupu.