Zone Media OÜ infoturbe põhimõtted

Üldist

Meie missioon on pakkuda lihtsaid, kiireid ja töökindlaid lahendusi informatsiooni edastamiseks ning töötlemiseks internetis.

Infoturbel on meie ettevõtte missiooni täitmisel täita kriitiline osa ning Zone juhatus ja töötajad on pühendunud ettevõtte ning selle klientide infovarade konfidentsiaalsuse, tervikluse ja käideldavuse säilitamisele.

Näiteks isikuandmete töötlemisel on meil täita kaks ühtmoodi tähtsat rolli – sõltuvalt kontekstist võime olla nii isikuandmete vastutava töötleja kui ka volitatud töötleja.

Isikuandmete kaitse üldmääruse kontekstis on meie peamine ülesanne rakendada oma teenustele ja taristule (majutuspinnad, serverid, võrguseadmed jne) piisavalt tehnilisi ja organisatsioonilisi turvameetmeid, et klientide poolt töötletavad andmed oleksid kaitstud juhusliku või seadusevastase kustutamise, autoriseerimata ligipääsu või avaldamise eest.

Käesoleval lehel anname sulle ülevaate sellest, mida teeme enda taristus töötletavate andmete (sh isikuandmete) turvamiseks.

On äärmiselt oluline, et sa selle lehega tutvuksid, sest Euroopa parlamendi ja nõukogu regulatsioon 2016/679 ehk isikuandmete kaitse üldmäärus sedastab järgmist:

Kui isikuandmeid töödeldakse vastutava töötleja nimel, kasutab vastutav töötleja ainult selliseid volitatud töötlejaid, kes annavad piisava tagatise, et nad rakendavad asjakohaseid tehnilisi ja korralduslikke meetmeid sellisel viisil, et töötlemine vastab käesoleva määruse nõuetele ja sealjuures tagatakse andmesubjekti õiguste kaitse.

Vastutav töötleja – see oled sina. Sina pead veenduma, et meie volitatud töötlejana kaitseme oma organisatsiooni, teenuseid ja taristut (majutuspindu, riistvara, tarkvara, andmesidevõrke ja muid ressursse) vastavalt seadustes nõutule ja valdkonnas levinud parimatele praktikatele. Ühtlasi pead loomulikult teadma millised on sinu ülesanded ja vastutus isikuandmete töötlemisel.

Teenuste iseloom

Alustame oma teenuste üldisest kirjeldusest.

Meie teenuseid kasutades tasub sul meeles pidada, et valdavat osa oma teenustest pakume klientidele universaalse pilveteenusena. See tähendab, et need ei ole vaikimisi kohaldatud individuaalselt sulle, vaid vastavad turu üldistele nõudmistele. Individuaalsed kokkulepped ja kohaldused on siiski võimalikud.

Pilveteenusepakkujana puudub meil ka kontroll selle üle milliseid andmeid meie taristusse laadid või selles protsessid. See tähendab, et me ei tea vaikimisi kas meie teenuseid kasutatakse isikuandmete töötlemiseks, milliseid isikuandmeid töödeldakse ja kas selline töötlemine on seaduslik. Vajadusel pead ise hindama andmete töötlemise mõju ja selle vastavust kehtiva seadusandlusega.

Teenuste klassid

Enamus Zone poolt pakutavaid teenuseid klassifitseeruvad pilveteenusteks. Need põhinevad peamistel pilveteenuste mudelitel:

rakendus teenusena ehk ‘Software as a Service‘ (SaaS), toimetab kliendini juba kasutamisvalmis rakenduse;
platvorm teenusena ehk ‘Platform as a Service‘ (PaaS), pakub rakenduse juurutamiseks vajalikke tingimusi;
infrastruktuur teenusena ehk ‘Infrastructure as a Service‘ (IaaS), pakub kliendile oma platvormi loomiseks virtuaalseid servereid.

Zone ja kliendi ülesannete ulatus varieerub nende mudelite raames vastavalt valitud teenusele. Muuhulgas oleme seda kirjeldatud iga meie teenuse infolehel sektsioonis “Vastutuse jaotus”.

Üldise pildi annab allolev joonis:

Virtuaalserveri teenuses sisalduva e-posti, DNS ja ZoneCloud’i puhul on tegemist SaaS teenusega ja Zone vastutus laieneb ka rakenduskihile.

Oluline on meeles pidada, et ligipääsuandmete, rakenduste ja andmete transpordi turvalisus on pea alati vaikimisi kliendi vastutusalas.

Teenuste realisatsioonimudelid

Teenuste realisatsioonimudeleid on kasutusel kolm:

ühiskasutus;
üksikkasutus;
hübriidkasutus.

Ühiskasutus tähendab, et mitu organisatsiooni jagavad samu servereid. Ühiskasutusel baseeruvad teenused nagu Virtuaalserver, Pilveserver VPS, Pilveserver Pro ja Nutikas Pilveserver. Need teenused on soodsamad, kuid nendega on seotud suuremad riskid kui üksikkasutusega – täiendavad riskid on eelkõige seotud teenuse teiste kasutajatega.

Näiteks eksisteerib ühiskasutuse puhul võimalus, et üks klient võib ressursside liigse tarbimise korral negatiivselt mõjutada teiste klientide veebilehekülgede käideldavust. Zonel on ühiskasutusel põhinevate teenuste pakkumisel väga pikaaegne kogemuste pagas ja meie tarkvaraplatvormi on sellist riski kahandavad vahendid juba sisse ehitatud, kuid sajaprotsendiliselt pole ressursside kättesaadavusega seotud riske ühiskasutatavas keskkonnas võimalik maandada.

Üksikkasutuses on serverid vaid ühe kliendi käsutuses. Üksikkasutust rakendatakse Privaatserveri ja osaliselt ka Nutika Privaatserveri teenuste puhul, mille raames eraldatakse kliendile garanteeritult privaatsed serveriressursid. Üksikkasutuse puhul ei jaga klient serveri ressursse teiste klientidega, mis maandab oluliselt pakutava teenuse käideldavusega ja andmete konfidentsiaalsusega seotud riske. Lisaks võimaldab üksikkasutus vajaduse korral rakendada serveri(te)le kliendipõhiseid infoturbemeetmeid.

Üksikkasutuse suurimaks eeliseks on, et võimalike intsidentide korral on prioriteediks konkreetsele kliendi teenuse taastamine. Ühiskasutuse puhul lähtutakse klientide enamuse huvidest. Väikseks puuduseks on üksikkasutuse kallim hind.

Hübriidkasutuse puhul võidakse teenuse komponentide juures kasutada erinevaid mudeleid. Vaikimisi rakendatakse hübriidmudelit Nutika Privaatserveri puhul, mille veebirakendusi ja andmebaasi teenindav server on pühendatud vaid ühele kliendile, aga e-posti ja DNS teenus jagab ressursse teiste klientidega. Erilahenduste puhul võib see jaotus loomulikult varieeruda – soovi korral saame pakkuda ka privaatseid e-posti servereid jms.

Infoturve Zones

Infoturbe protsess ja organisatsioon

Esmatähtis on organisatsiooni pühendumine infoturbele. Selleks on meie juhatus ettevõttes kehtestanud infoturbepoliitika, mida rakendadatakse kogu ettevõtte ulatuses – kehtestatud printsiipide järgimist oodatakse nii Zone juhtidelt, töötajatelt kui ka töövõtjatelt, kes meie ettevõtte töös osalevad. Poliitika ajakohasust hinnatakse vähemalt korra aastas.

Infoturbepoliitika koostamise, täiendamise ja rakendamise eest vastutab Zones infoturbejuht.

Infoturbejuhti toetavad tema töös laiapõhjaline infoturbe töörühm ning isikuandmete kaitse spetsialist. Infoturbe protsessi on loomulikult kaasatud kõik ettevõtte struktuuriüksused ja töötajad.

Oleme oma infoturbepoliitika joondanud standardi ISO/IEC 27001:2014 järgi ja meie eesmärk on tulevikus kinnitada ühilduvust standardiga läbides ka ametlik sertifitseerimine.

Infoturberiskide haldamisel lähtub Zone standardi ISO/IEC 27005:2014 soovitustest ja kasutab varadel põhinevat kvalitatiivset riskide kaalutlemise metoodikat.

Kliendi andmete turvatase

Zone IT-süsteemides säilitavate ja töödeldavate kliendi infovarade (failid, andmebaasid, e-kirjad jne) vastutav omanik on klient.

Kliendi infovarade turvatase on meil siseselt ‘konfidentsiaalne’, mis on defineeritud järgmiselt: info kasutamine on lubatud ainult teatud kindlatele kasutajate gruppidele, juurdepääs teabele on lubatav juurdepääsu taotleva isiku õigustatud huvi korral (näiteks kui see on vajalik tööülesannete täitmiseks).

Zone siseselt kehtiv turvatase ei kandu automaatselt edasi ettevõttest väljapoole. Klient peab oma teavet Zone IT-süsteemides säilitama, töötlema ja edastama vastavalt enda poolt oma infovarale määratud turvatasemetele, kaalutletud riskidele ning korraldama neile vastavate turvameetmete rakendamise.

Me ei müü kunagi Zone taristusse laaditud, kliendi kasutajate poolt üles laetud või kliendi poolt teenuse kasutamise käigus serverisse loodud andmeid kellelegi, ega kasuta selliseid andmeid kliendi loata enda otsestes majanduslikes huvides. Zone töötleb selliseid andmeid ainult oma teenuste või nendega seotud kasutajatoe pakkumiseks vajalikus ulatuses.

Isikuandmete kaitse Zones

Isikuandmete kaitse üle järelvalve teostamiseks oleme loonud andmekaitsespetsialisti rolli, mille täitja on läbinud ka Andmekaitse Inspektsiooni poolt tunnustatud koolitusprogrammi.

Peame arvestust nii töötletavate isikuandmete üle kui ka töötlemise mõju üle nendele andmetele.

Isikuandmete töötlemise kohta saate lähemalt lugeda meie Privaatsusteatest.

Andmete asukoht

Osutame oma teenuseid füüsiliselt turvalistes oludes. Zone kasutatavad andmekeskused asuvad Euroopa Liidu territooriumil.

Meie infrastruktuur on infoturbe-, kestlikkus- ja äririskide maandamise ning klientidele unikaalsete võimaluste pakkumise eesmärgil hajutatud üle 5 andmekeskuse, millest 4 paiknevad Eestis Tallinnas ja 1 Hollandis Amsterdamis. Infrastruktuuri majutamisel teeb Zone koostööd tunnustatud partneritega nagu Equinix, Linxtelecom, Telia ja Elisa.

Zone kasutatavad andmekeskused paiknevad hoonetes, mis on ehitatud või kohandatud spetsiaalselt info- ja kommunikatsioonitehnoloogia seadmete majutamiseks ning avalikust ruumist eraldatud. Seadmed asuvad andmekeskustes turvataraga eraldatud pinnal või lukustatud seadmekappides. Ligipääs on piiratud isikutega, kel on selleks oma tööülesannetest tulenev vajadus.

Andmekeskused on varustatud turvakaamerate ning valvesignalisatsiooniga, keskustesse sisenemise kohta peetakse logi. Kasutusel on automaatne tulekahjusignalisatsioon ja automaatne gaaskustutussüsteem.

Temperatuuri ja suhtelise õhuniiskuse hoidmiseks serveritele ja andmesideseadmetele sobival tasemel on kõik andmekeskused varustatud jahutusseadmete ning -süsteemidega.

Töökindlama elektrivarustuse tagamiseks on kõik Zone seadmed ühendatud puhvertoite allikatega (UPS) ja hooned on varustatud elektrigeneraatoritega.

Käideldavuse tagamiseks on andmekeskustes läbivalt kasutatud seadmete ja tehnosüsteemide liiasust.

Piirkondi, kus asuvad Zone kasutatavad hooned, ei ähvarda märkimisväärsed ilmastikust või kohalikust geoloogiast tingitud ohud, nendest põhjustatud varasemaid kahjusid andmekeskustele pole esinenud.

Andmeside

Andmesidega seotud Infoturbe-, kestlikkus- ja äririskide maandamiseks ning klientidele ainulaadsete võimaluste pakkumise eesmärgil teeb Zone koostööd mitmete usaldusväärsete telekommunikatsiooniettevõtetega. Zone andmesidepartnerid on Cogent Communications, Level3 Communications, Linxtelecom, Telia ja Elisa.

Eestis on Zonel paralleelselt kasutusel kolm ja Hollandis kaks interneti transiitühendust – ühenduste liiasus tagab klientidele ühenduvuse ka üksiku ühenduse rikke või hooldustöö ajal.

Eesti majutuskeskuste vahele on Zone rajanud unikaalse privaatse regionaalvõrgu, mille eesmärk on täiendavalt maandada välistest teguritest tingitud ohte teenuste käideldavusele. Serveriteenuseid osutavad andmekeskused on samaaegselt ühendatud kahe teise keskusega – tulemusena tekkinud võrguring võimaldab säilitada keskuses ühenduvuse ka ühe ühenduse rikke või hooldustöö ajal.

Paljude Eesti telekommunikatsiooniettevõte ja internetiteenuseid pakkuvate ettevõtetega on Zone lisaks ühendatud kahel suurimal Eesti interneti otseühendussõlmel – TLLIX ja RTIX.

Zone kannab hoolt selle eest, et normaalolukorras oleksid andmesideühendused alakoormatud ja täiendavad ressursid vajadusel kiiresti saadaval.

Maandamaks spetsiifilisi teenustõkestusrünnetest tulenevaid riske on Zone internetiühendused varustatud rünnakute negatiivset mõju leevendavate spetsiaalsete seadmetega.

Andmete varundamine

Zone poolt hallatavate teenusega seotud serveritest teeb Zone varukoopiaid järgmiste reeglite alusel:

veebiserveris paiknevatest failidest, SQL andmebaasidest ja postkastidest tuleb varukoopia teha vähemalt kord päevas;
varukoopiat peab olema võimalik varundatud andmete taastamiseks kasutada minimaalselt 14 päeva jooksul alates varukoopia tegemise hetkest;
vajadusel tuleb varukoopiaid teha enne suuremaid tarkvarauuendusi või muudatusi, mis andmete terviklikkust ohustada võivad.

Zone hallatavate teenuste pakkumiseks kasutatavate serverite varukoopiaid säilitame tootmiskeskkonnast eraldi.

Üksikkasutusel põhinevate teenuste puhul on võimalik varunduspoliitikat kliendi vajadustega kohaldada.

Kliendina tuleb sul arvestada, et andmete taastamise aeg on otseses sõltuvuses andmete iseloomust ja mahust ning ühiskasutuse puhul mõjutatud ka teistest sama ressurssi kasutavatest klientidest.

Monitooring

Zone jälgib teenuseid osutavate serverite tööd 24 tundi ööpäevas ja 7 päeva nädalas.

Muuhulgas monitoorib Zone viiteid platvormi või klientide teenuste kompromiteerimisele sh tundmatute protsesside käivitamist, ootamatute võrguportide avamist, kasutajate aktiivsust, rämpsposti saatmist jne.

Aktiivmonitooring toimub äripäevadel kell 08.30-17.30, aktiivmonitooringu korral jälgivad Zone Media töötajad monitooringusüsteemi väljundit reaalajas, lisaks teavitab monitooringusüsteem Zone tehnikuid mobiilsidevõrgu vahendusel. Intsidentidele reageeritakse viivituseta.

Passiivmonitooring toimub äripäevadel kell 17.30-08.30 ja nädalavahetustel ööpäevaringselt, passiivmonitooringu korral teavitab monitooringusüsteem Zone valvetehnikut probleemidest mobiilsidevõrgu vahendusel. Valvetehnik reageerib intsidentidele viivituseta.

Klienditugi

Zone telefonitugi ja e-posti toe tööaeg on äripäevadel ajavahemikus 09.00 – 17.00 (ajatsoon EET/EEST).

Klienditoe telefon on: +372 688 6886
Klienditoe e-posti aadress on: info@zone.ee

Isikuandmete töötlemist puudutavates küsimustes on võimalik pöörduda otse Zone andmekaitsespetsialisti poole aadressil andmekaitse@zone.ee.

Zone teenusplatvormi hetkeseisu kajastatakse veebilehel http://status.zone.eu Väljaspool tööaega vastu võetud e-postiga tegeleb valvemeeskond, kes korraldab reageerimise kriitilistele intsidentidele.

Üksikkasutusel põhinevate teenuste klientidele on vajadusel saadaval 24/7 valvetelefoni number, mis mõeldud kriitilistest intsidentidest teavitamiseks.

Zone kaasatud volitatud töötlejad

Me võime kaasata kliendi andmete töötlemisse volitatud töötlejaid.

Teeme seda, kui oleme piisavalt kindlad, et nad rakendavad asjakohaseid tehnilisi ja korralduslikke meetmeid sellisel viisil, et andmete töötlemine vastab asjaomastes seadustes esitatud nõuetele.

Seisuga 17. mai 2018 ei kasuta Zone kliendi andmete (infovarade) töötlemisel kolmandaid osapooli.

Kliendiandmete (teenuste osutamisega seotud isikuandmed) seotud volitatud töölejate nimistu on toodud veebilehel Zone Media OÜ kliendiandmete volitatud töötlejad.

KAMPAANIA

LOO OMA VEEBILEHT

Pilveserver VPS

Zone+ Turvamonitooring