Vercom z certyfikatem ISO 27001 i ISO 27018

Spółka publiczna Vercom S.A. do której należy projekt EmailLabs, z sukcesem przeszła audyt nadzoru ISO 27001 oraz certyfikację ISO 27018. Audyty są potwierdzeniem stosowania najlepszych praktyk systemu zarządzania bezpieczeństwem informacji oraz stosowania kodeksu międzynarodowych zasad służącym wsparciu w zakresie zarządzania danymi osobowymi w chmurze obliczeniowej.

Zakres badany przez audytora to Tworzenie, utrzymanie i rozwój rozwiązań komunikacji elektronicznej, w tym email, sms i push w modelu CPaaS. Obowiązuje deklaracja stosowania z dnia 5.08.2022. Proces certyfikacji systemu zarządzania bezpieczeństwem informacji przeprowadziła jednostka LLC-(Certification) Czech Republic a.s z Pragi.

Dostępy i odpowiedzialność

Vercom wdraża polityki, procedury i wytyczne bezpieczeństwa informacji określone w normach ISO/IEC 27001 oraz ISO/IEC 27018. Jednym z najważniejszych są formalne procedury jakie wdrożyliśmy w zakresie przyznawania dostępu do danych. W codziennej pracy kierujemy się zasadą, że dostęp do danych mają jedynie upoważnieni pracownicy. Mamy zawsze na względzie zasadę ograniczonego dostępu, minimalizując niezbędny i uzasadniony dostęp, który wynika zawsze z bezpośrednich obowiązków danego pracownika. Za każdy dostęp jest odpowiedzialna możliwa do zidentyfikowania osoba lub zautomatyzowany proces.

Ciągłość działania i kopie zapasowe

Posiadamy plan ciągłości działania zawierający odpowiednie sekcje dotyczące zarządzania incydentami i sytuacjami kryzysowymi, odpornością, kopiami zapasowymi i procedurami odzyskiwania danych po awarii. Plan BCP podlega corocznym testom. W tym roku przedmiotem testów planu był proces przywracania danych. W tym roku dopracowaliśmy i zatwierdziliśmy najnowszą wersję Procedury zarządzania kopią zapasową, która jest zgodna z normą ISO 27018.

Szacowanie ryzyka

Vercom przynajmniej raz w roku przeprowadza szacowanie ryzyka, które służy identyfikacji, ocenie i zapobieganiu problemom bezpieczeństwa informacji. W tym roku w zakresie ryzyka na jakie narażona jest organizacja znalazły się procesy związane z zarządzaniem danymi w chmurze obliczeniowej. Usługi EmailLabs zostały określone jako zgodne z wymogami chmury publicznej, a poszczególne jej elementy – opisane – w odniesieniu do komunikatu chmurowego KNF przez kancelarię prawną. Określono i zatwierdzono plan postępowania z ryzykiem.

Integralność danych, zarządzanie zmianami i podatnościami

W Vercom posiadamy sformalizowany proces zarządzania zmianą, w tym w szczególności zmianami w IT. Ponad rok temu wprowadziliśmy także procedurę zarządzania podatnościami z uwzględnieniem regularnych aktualizacji w celu zapewnienia ciągłej integralności systemu i terminowego łagodzenia nowych zagrożeń bezpieczeństwa. W organizacji wymagana jest ścisła separacja danych środowisk produkcyjnych od środowisk rozwojowych lub testowych. Realizujemy okresowe testy penetracyjne tak wewnętrzne, jak i dokonywane przez firmy zewnętrzne.

Ciągłe doskonalenie

Vercom ustawicznie podnosi świadomość użytkowników i wdraża stosowne kontrole i polityki dotyczące wykrywania i zapobiegania wirusom, a także w zakresie odzyskiwania danych. Poza corocznymi szkoleniami RODO i ISO realizujemy warsztaty dla pracowników, które prowadzi nasz pentester i inżynier bezpieczeństwa, a które dotyczą najnowszych niebezpieczeństw związanych z danymi osobowymi. W tym roku wprowadziliśmy dodatkowe szkolenia w zakresie cyber bezpieczeństwa realizowane w trybie cotygodniowych wytycznych dla pracowników. Organizacja podlega regularnym audytom wewnętrznym i zewnętrznym celem doskonalenia stosowanych praktyk.

Izabela Malepszak

ISMS Representative ISO 27001 and ISO 27018 Internal Auditor

See more articles