技术和组织措施 (TOM)

简介

Deskhero AB (“我们,” “我们,” 或 “我们的“) 致力于实施适当的技术和组织措施，以确保在处理个人数据时达到与风险相适应的安全水平，为我们的客户（“您” 或 “客户“）、用户及客户的客户，遵守欧盟《通用数据保护条例》(GDPR) 及其他适用的数据保护法律。

本文件概述了我们已实施的技术和组织措施，用于保护通过我们的软件即服务 (SaaS) 平台（“服务”）处理的个人数据，并利用我们的 AWS 基础设施。

1. 组织措施

1.1 数据保护治理

• 数据保护官 (DPO)：
• 姓名： Klas Karlsson
• 邮箱： dpo@deskhero.com
• 电话： +46 70 601 13 22

责任：

• 监督数据保护战略和合规性。
• 监控对数据保护政策和流程的遵守情况。
• 作为数据主体和监管机构的联络点。

1.2 政策与流程

• 数据保护政策：
• 制定内部数据保护政策，并定期审查和更新。
• 这些政策涵盖数据处理、违规响应、访问控制和员工职责。

• 员工培训：
• 为所有员工提供强制性的数据保护、隐私和信息安全培训。
• 定期更新新兴威胁和最佳实践。

• 保密协议：
• 要求员工和承包商签署保密及非披露协议。

1.3 访问管理

• 访问控制政策：
• 个人数据的访问基于必要知悉原则授予。
• 定期审查用户访问权限。

• 身份验证机制：
• 系统访问采用强密码和多因素身份验证 (MFA)。
• 多次登录失败后启用账户锁定策略。

1.4 事件响应

• 事件响应计划：
• 建立检测、报告和响应安全事件的流程。
• 设立专门的事件响应团队。

• 通知流程：
• 出现个人数据泄露时，有义务毫不延迟地通知客户和主管机构。

1.5 供应商管理

• 尽职调查：
• 评估子处理方是否符合数据保护标准。

• 合同：
• 确保与子处理方的协议包含数据保护义务。

2. 技术措施

2.1 数据加密

• 传输中：
• 通过公共网络传输个人数据时使用 TLS 1.2 或更高版本进行加密。

• 静态存储：
• 存储在数据库和备份中的个人数据使用 AWS 加密服务进行加密（例如，对 EBS 卷使用 AES-256 加密，对 RDS 进行加密）。

2.2 网络安全

• AWS 基础设施：
• 我们的服务托管在 Amazon Web Services (AWS) 上，利用其安全的基础设施和服务。

• 防火墙和安全组：
• 通过 AWS 安全组控制资源的入站和出站流量，在实例层面充当虚拟防火墙。

• 虚拟私有云 (VPC)：
• 已配置 AWS VPC 以隔离并保护网络流量。
• 内部资源使用私有子网，确保数据库和缓存不会暴露在公共互联网。

• AWS CloudFront 与应用负载均衡器 (ALB)：
• AWS CloudFront 作为内容分发网络 (CDN) 和入口点，提供安全高效的内容分发。
• AWS ALB 将进入的流量分发到托管应用的 Amazon ECS（弹性容器服务）容器。

• 入侵检测与威胁监控：
• 虽然未使用专用的 IDS/IPS 系统，但 AWS 服务提供网络流量监控能力。

2.3 系统安全

• 安全配置管理：
• 通过 Terraform 管理基础设施，实现跨环境的一致且安全的配置。

• 环境隔离：
• 维护独立的开发（“sandbox”）、预发布和生产环境，以在部署前测试代码和基础设施变更。

• 补丁管理：
• 定期为操作系统和应用程序应用更新和补丁，并在适用情况下利用 AWS 服务和自动化。

2.4 应用安全

• 安全开发实践：
• 采用安全软件开发生命周期 (SSDLC) 原则。
• 定期进行代码审查、静态代码分析和安全测试。

• 渗透测试：
• 定期开展安全评估和漏洞扫描，并在适当情况下进行第三方渗透测试。

2.5 访问控制

• AWS 身份与访问管理 (IAM)：
• 使用 AWS IAM 角色和策略实施基于角色的访问控制 (RBAC)。
• 对 AWS 资源的访问遵循最小权限原则。

• 多因素身份验证 (MFA)：
• 所有对 AWS 管理界面的管理访问均需启用 MFA。

• 日志记录与监控：
• 使用 AWS CloudTrail 记录 AWS 环境中的 API 调用和操作。
• AWS CloudWatch 监控日志和指标以发现异常。

2.6 数据备份与恢复

• 定期备份：
• 通过 AWS RDS 自动备份功能对数据库进行自动备份。

• 加密备份：
• 备份数据在静态状态下通过 AWS Key Management Service (KMS) 加密。

• 灾难恢复计划：
• 已制定数据恢复和服务连续性的文档化流程。

• 恢复流程测试：
• 定期测试备份恢复和灾难恢复流程。

2.7 物理安全

• AWS 数据中心：
• 物理安全控制由 AWS 管理，包括：
• 24/7 security personnel.
• Biometric access controls.
• CCTV surveillance.
• Environmental controls like fire suppression and climate control.

• AWS 合规性：
• AWS 数据中心符合 ISO 27001、SOC 1/2/3 等行业标准，支持我们的合规工作。

2.8 终端安全

• 设备安全策略：
• 公司设备安全措施：
• Full disk encryption.
• Up-to-date anti-malware software.
• Strong authentication mechanisms.

• 远程访问：
• 需要通过安全 VPN 连接远程访问内部系统（如适用）。

• 远程擦除功能：
• 设备丢失或被盗时，可远程擦除公司设备。

2.9 日志记录与监控

• 全面日志记录：
• 保存系统活动、访问和错误等详细日志。

• 安全监控：
• 使用 CloudWatch、GuardDuty 等 AWS 服务对安全事件进行实时监控。

• 告警：
• 针对可疑活动或安全事件配置自动告警。

2.10 数据最小化与假名化

• 数据最小化：
• 仅收集和处理为特定目的所必需的个人数据。

• 假名化与匿名化：
• 在适当情况下，对个人数据进行假名化或匿名化，以降低对数据主体的风险。

3. 定期测试与评估

• 漏洞扫描：
• 定期使用与 AWS 环境兼容的工具自动扫描系统以发现漏洞。

• 安全审计：
• 定期进行安全审计和评估，以评估安全措施的有效性。

• AWS Well-Architected 评审：
• 定期按照 AWS Well-Architected Framework 进行审查，确保遵循最佳实践。

4. 标准合规

• 法规合规：
• 遵守 GDPR 及其他适用的数据保护法律。

• 最佳实践对齐：
• 安全实践与行业最佳实践和指南保持一致，包括：

• AWS 安全最佳实践。
• NIST 网络安全框架。

5. 按设计和默认实现的数据保护

• 隐私影响评估 (PIA)：
• 在出现新的处理活动或对现有流程进行重大更改时执行。

• 安全默认值：
• 系统和应用已配置为默认仅处理必要的个人数据。

6. 意识提升与培训

• 员工教育：
• 定期开展关于数据保护政策、流程和最佳实践的培训，包括 AWS 专属安全培训。

• 安全意识项目：
• 持续推进在组织内部建立安全和隐私文化的举措。

7. 子处理方安全

• AWS 共享责任模型：
• 理解并遵守 AWS 共享责任模型，AWS 负责云“基础设施”的安全，我们负责云“内部”的安全。

• 供应商管理：
• 定期评估子处理方，确保其满足我们的安全与合规要求。

8. 事件管理

• 检测与报告：
• 通过 AWS 监控服务建立系统以快速检测安全事件。

• 响应流程：
• 制定了隔离、消除、恢复和沟通的具体步骤。

• 通知义务：
• 建立在发生个人数据泄露时毫不延迟通知客户和主管机构的流程。

9. 数据保留与删除

• 数据保留政策：
• 个人数据仅在为实现收集目的所必需或法律要求的期限内保留。

• 安全删除：
• 保留期限结束后，个人数据将被安全删除或匿名化。

• 数据删除请求：
• 建立流程以根据 GDPR 处理数据主体的删除请求。

10. 联系信息

如对我们的技术和组织措施有任何疑问或担忧，请联系数据保护官 (DPO)：

• 姓名： Klas Karlsson
• 邮箱： dpo@deskhero.com
• 电话： +46 70 601 13 22

注意：本文件可能会不定期更新，以反映我们的安全实践变更。我们将按照我们的 隐私政策 和 数据处理协议。