Sikkerhedsforanstaltninger

Dette bilag udgør en integreret del af behandlingsaftalen mellem den dataansvarlige og Digi Hosting. Det indeholder en liste over de tekniske og organisatoriske sikkerhedsforanstaltninger, som Digi Hosting har truffet for at beskytte behandlingen af personoplysninger i overensstemmelse med kravene i den generelle forordning om databeskyttelse (AVG).

1. Organisering af informationssikkerhed

• Ejerskab af sikkerhed
  Digi Hosting har udpeget en informationssikkerhedsansvarlig med ansvar for at koordinere, implementere og overvåge de gældende sikkerhedsforanstaltninger og -procedurer. Denne ansvarlige støttes af et internt styringsorgan på ledelsesniveau, der fører tilsyn med sikkerhedspolitikken.

• Sikkerhedsroller og -ansvar
  Medarbejdere hos Digi Hosting, der har adgang til personoplysninger, er underlagt strenge fortrolighedsforpligtelser. Disse forpligtelser understreges ved ansættelsens start og gøres regelmæssigt opmærksom på.

• Risikostyring
  Digi Hosting gennemfører systematisk risikovurderinger, før vi behandler personoplysninger eller bestiller nye tjenester. Risikostyringsproceduren fokuserer på at identificere, prioritere og afbøde potentielle risici. Back-up-faciliteter er strukturelt indlejret i tjenesterne.

• Håndtering af dokumenter
  Sikkerhedsdokumentation opbevares i overensstemmelse med juridiske og kontraktlige opbevaringsforpligtelser, selv om disse dokumenter formelt er udløbet.

2. Forvaltning af aktiver

• Opgørelse over informationsaktiver
  Digi Hosting fører en detaljeret fortegnelse over alle databærere, hvorpå der opbevares personoplysninger. Adgang til denne fortegnelse er udelukkende forbeholdt autoriseret og skriftligt personale.

• Håndtering af databærere

  • Digi Hosting klassificerer persondata for at sikre passende adgangsbegrænsninger og beskyttelsesniveauer.

  • Medarbejdere skal indhente forudgående udtrykkeligt samtykke til behandling af personoplysninger på bærbare enheder, uden for virksomhedens faciliteter eller via fjernadgang.

3. Sikkerhed for personale

• Bevidsthed og træning
  Alle Digi Hostings medarbejdere er instrueret i deres sikkerhedsansvar. De modtager regelmæssig træning og uddannelse i relevante procedurer og i at genkende aktuelle trusler.

4. Fysisk og miljømæssig sikkerhed

• Sikkerhed ved adgang til faciliteter
  Fysisk adgang til steder, hvor personoplysninger behandles, er begrænset til autoriserede personer baseret på identifikation og adgangskontrol.

• Sikkerhed for databærere
  Fysiske databærere med persondata opbevares i sikre rum med adgangsbegrænsning.

• Beskyttelse mod katastrofer
  Digi Hosting bruger industristandardfaciliteter for at beskytte mod afbrydelser på grund af strømsvigt, brand, oversvømmelse og andre risici.

• Fjernelse af data
  Personoplysninger destrueres i overensstemmelse med industristandardprocedurer, så snart de ikke længere er nødvendige for behandlingsformålene.

5. Operationel sikkerhed

• Politikker og procedurer
  Digi Hosting har opdateret dokumentation for sin sikkerhedspolitik, herunder procedurer og ansvarsområder for medarbejdere med adgang til personoplysninger.

• Procedurer for genopretning

  • Reservekopier af persondata opbevares på geografisk adskilte steder.

  • Adgangen til disse data er strengt reguleret og dokumenteret.

• Beskyttelse mod malware
  Der er truffet foranstaltninger til at beskytte mod ondsindet software, herunder virusscannere og netværksfiltre.

• Logning
  Adgangs- og brugsaktiviteter i forbindelse med systemer, der behandler personoplysninger, registreres i logfiler, herunder bruger-ID, tidspunkt, adgangsstatus og relevante handlinger.

• Kryptering
  Datatransmission over internettet er baseret på krypteringsteknikker i overensstemmelse med gældende standarder.

6. Adgangskontrol

• Politik
  Digi Hosting har en politik for adgangskontrol, der definerer, hvilke medarbejdere der har adgang til hvilke systemer og data.

• Håndtering af autorisationer

  • Inaktive adgangsdata deaktiveres automatisk efter en periode med inaktivitet.

  • Kun autoriseret personale kan tildele, ændre eller tilbagekalde rettigheder.

  • Hver bruger har et unikt login-id.

• Minimum adgang
  Adgang til persondata er begrænset til medarbejdere, for hvem dette er nødvendigt i forbindelse med deres opgaver.

• Sessionsstyring og adgangskodebeskyttelse

  • Sessioner afsluttes automatisk ved inaktivitet eller når man forlader arbejdspladsen.

  • Adgangskoder gemmes på en måde, der garanterer irreversibel kryptering.

• Autentificering

  • Adgang til informationssystemer gives på grundlag af stærke autentificeringsprocedurer.

  • Adgangskoder fornyes regelmæssigt, og udløbne eller deaktiverede adgange genbruges ikke.

  • Uautoriserede adgangsforsøg registreres og logges.

  • Adgangskodestyring opfylder branchens standarder.

• Netværkssikkerhed
  Netværksarkitektur og adgangsrettigheder er designet til at forhindre uautoriseret adgang til persondata.

7. Håndtering af hændelser

• Underretning og registrering af sikkerhedshændelser

  • Digi Hosting registrerer alle sikkerhedshændelser, herunder art, varighed, indvirkning, involverede data og trufne foranstaltninger.

  • I tilfælde af brud på datasikkerheden vil den dataansvarlige blive underrettet uden unødig forsinkelse og senest inden for 72 timer.

• Gennemsigtighed i offentliggørelse af data
  Datahentning logges med angivelse af art, modtager og tidspunkt.

8. Styring af kontinuitet

• Nødprocedurer
  Digi Hosting opretholder omfattende nød- og beredskabsplaner for alle databehandlingssteder.

• Redundans og gendannelse
  Den redundante lagringsstruktur og gendannelsesprocedurerne er designet, så persondata kan gendannes til den sidst kendte komplette tilstand før en hændelse.

Disse sikkerhedsforanstaltninger skal regelmæssigt gennemgås og tilpasses det aktuelle tekniske niveau og risikovurderingen med henblik på fortsat beskyttelse af den dataansvarliges personoplysninger.