მონაცემთა დაცვა, IT და კიბერუსაფრთხოება

ASF-ის სისტემები დაცულია წვდომის კონტროლით, დაშიფვრითა და სარეზერვო ასლებით, და გამოიყენება მხოლოდ ASF-ის სამუშაოსთვის. როგორც ფრანგულმა ასოციაციამ, ASF ამუშავებს პერსონალურ მონაცემებს — დაწესებულების შეფასების ჩანაწერები, კოორდინატორის/მონიტორის კვალიფიკაციები, დონორთა და პარტნიორთა მონაცემები — ევროკავშირის ზოგადი მონაცემთა დაცვის რეგულაციის (GDPR) და საფრანგეთის მონაცემთა დაცვის კანონის (Loi Informatique et Libertés) შესაბამისად, CNIL-ის (Commission Nationale de l’Informatique et des Libertés) ზედამხედველობით, ნებისმიერი დამატებითი მონაცემთა დაცვის კანონის გარდა, რომელიც მოქმედებს დაწესებულების ან დონორის ადგილმდებარეობის მიხედვით. ეს პოლიტიკა არეგულირებს დაწესებულების შეფასების მონაცემებს, კოორდინატორის/მონიტორის კვალიფიკაციის ჩანაწერებს, და სტანდარტების განვითარების მასალებს ყოველ ეტაპზე — მათ შორის მაშინ, როცა დაწესებულების სახელი დაფარულია სერტიფიკაციის გადაწყვეტილების მოლოდინში, ASF-ის განცხადებული კონფიდენციალურობის ვალდებულების შესაბამისად შეფასებაში მყოფი დაწესებულებების მიმართ. პასუხისმგებელი: ASF-ის სამდივნო (მონაცემთა დაცვის ფუნქცია), ანგარიშვალდებული საერთაშორისო სტანდარტების საბჭოს წინაშე.

• ანგარიშები: მხოლოდ ინდივიდუალური ანგარიშები; ძლიერი პაროლები და ორფაქტორიანი ავთენტიფიკაცია ელფოსტაზე, ვებსაიტზე, მომზადების პლატფორმაზე, და ნებისმიერ სისტემაზე, რომელიც ინახავს დაწესებულების შეფასების მონაცემებს.
• დაწესებულების შეფასების მონაცემები: დაწესებულების მტკიცებულებების ფაილი, მონიტორის მიგნებები, და ნებისმიერი სადავო კრიტერიუმი ხელმისაწვდომია მხოლოდ ამ დაწესებულების დანიშნული კოორდინატორისთვის, მონიტორისთვის, და ASF-ის სამდივნოსთვის — არასდროს ქვეყნდება ან ზიარდება იმაზე მეტად, რისი გამჟღავნებაც თავად დაწესებულებამ დაუთანხმდა, სანამ სერტიფიკაციის გადაწყვეტილება საბოლოო გახდება და დაწესებულების საკუთარი გამოქვეყნების პრეფერენცია დადასტურდება. დაწესებულებას შეფასების დაწყებამდე პირდაპირ ეცნობება, რა გამოქვეყნდება ზუსტად საბოლოო აკრედიტაციის შედეგად (მოქმედების სფერო, თარიღები, ვადა) მინიჭების შემდეგ, ASF-POL-22-ში მოცემული საჯარო აკრედიტაციის რეესტრის შესაბამისად — ისე, რომ არაფერი, რაც საჯარო ხდება, არ იყოს სიურპრიზი.
• მოწყობილობები: დაშიფრული, ეკრანდაბლოკილი და განახლებული; დაკარგული ან მოპარული მოწყობილობა ეცნობება 24 საათის განმავლობაში.
• სარეზერვო ასლები: სტანდარტების დოკუმენტები, საჯარო სტანდარტების რეესტრი, და დაწესებულების აქტიური შეფასების ჩანაწერები რეზერვირდება მინიმუმ კვირაში ერთხელ ცალკე ადგილზე; აღდგენა ტესტირდება ყოველ ექვს თვეში.
• წვდომის განხილვა: ენიჭება ცოდნის საჭიროების საფუძველზე, განიხილება ყოველ ექვს თვეში, და ეხსნება იმ დღეს, როცა საბჭოს წევრის, კოორდინატორის, ან მონიტორის ვადა მთავრდება ან დაწესებულებიდან გადის.
• ვებსაიტები და პლატფორმები: ადმინისტრატორის კრედენციალები ინახება მხოლოდ სახელდებით მითითებული პირების მიერ; უსაფრთხოების განახლებები გამოიყენება დროულად; ინციდენტები ფიქსირდება და იძიება იმავე გასაჩივრებისა და ინტერესთა კონფლიქტის ჩარჩოს მიხედვით, გამოქვეყნებული სტანდარტების განვითარებაზე.
• მონაცემთა სუბიექტის უფლებები (GDPR): ნებისმიერ პირს, რომლის პერსონალურ მონაცემებსაც ASF ინახავს — კოორდინატორი, მონიტორი, დაწესებულების კონტაქტი — შეუძლია მოითხოვოს წვდომა, შესწორება, ან წაშლა, ASF-ის ჩანაწერების შენახვის ვალდებულებების გათვალისწინებით ჩანაწერების მართვისა და შენახვის მიხედვით (ASF-POL-40); მოთხოვნები მუშავდება ერთთვიან საკანონმდებლო ვადაში.
• მისაღები გამოყენება: არანაირი უკანონო შინაარსი, არანაირი არალიცენზირებული პროგრამული უზრუნველყოფა, და არანაირი პირადი ან კომერციული გამოყენება ASF-ის სისტემებისა, რაც არ უკავშირდება აკრედიტაციის საქმიანობას.

განხილვა, აუდიტი და მომზადება

ეს პოლიტიკა, და ინფორმაციის მართვის მოწყობილობები, რომლებსაც ის აღწერს, განიხილება ყოველწლიურად, პროგრესის ანგარიშით საერთაშორისო სტანდარტების საბჭოსთვის, ASF-POL-46-ის შესაბამისად. ASF-ის სისტემების წვდომის ჟურნალები და უსაფრთხოების პარამეტრები ყოველწლიურად ექვემდებარება აუდიტს რისკებისა და საჭირო გამოსასწორებელი ქმედებების გამოსავლენად, ანგარიშგებული საბჭოსთვის რისკების რეესტრთან ერთად (ASF-POL-17). სამდივნოს ყოველი თანამშრომელი, კოორდინატორი, და მონიტორი გადის მომზადებას — ადაპტაციისას (ASF-POL-51) და წლიური განახლების მეშვეობით (ASF-MON-STD-v1, სტანდარტი G10) — პაროლის უსაფრთხოებაზე, მონაცემების დამუშავებაზე, და შესაძლო დარღვევის ამოცნობაზე. ინფორმაცია ორგანიზებულია ისე, რომ ადამიანებს, ვისაც ის სჭირდება მიმდინარე შეფასებისთვის (დანიშნული კოორდინატორი და მონიტორი), შეეძლოთ მასზე წვდომა დაყოვნების გარეშე, ხოლო დარჩეს შეზღუდული ნებისმიერი პირისთვის, ვისაც ეს საჭიროება არ აქვს.