AgendoBezpečnosť
Obec, mesto či úrad nám zveruje údaje svojich občanov. Bezpečnosť preto riešime od návrhu, nie až pred spustením.
Každý úrad má Agendo na vlastnom serveri. Občan aj pracovník sa k nemu dostanú len cez šifrované spojenie a firewall. Na štátne systémy sa nepripája žiadna inštancia priamo, ale len integračná brána, ktorá koná v mene konkrétneho úradu.
každý úrad na vlastnom serveri, bez spoločnej databázy
Obec, mesto či úrad nezdieľa s nikým databázu ani úložisko dokumentov. Každý má vlastnú inštanciu na samostatnom serveri, takže chyba alebo útok u jedného zákazníka sa k údajom iného nedostane.
Rovnako oddelene bežia aj zálohy a aktualizácie. Údaje jednej obce sa dajú vydať, preniesť alebo vymazať bez zásahu do ostatných.
Občan sa pri úradnom podaní prihlasuje cez eID a podpis overujeme. Pracovník úradu vidí len agendy a podania, na ktoré mu úrad dal oprávnenie. Starosta, prednosta, referentka či hlavný kontrolór majú každý svoju rolu.
Každá zmena v podaní sa zapisuje do záznamu činností: kto, kedy a čo urobil. Úrad tak vie spätne doložiť, ako s vecou naložil.
Na slovensko.sk sa pripája len integračná brána na vyhradenom serveri. Má jeden šifrovaný tunel, jeden technický účet a vlastné certifikáty. Inštancie úradov k ÚPVS vlastný prístup nemajú.
Brána dovolí každej inštancii konať len v mene jej úradu, a to na základe oprávnenia na zastupovanie, ktoré úrad sám udelil a môže ho kedykoľvek odobrať.
Dostupnosť, záznamy zo serverov a známe zraniteľnosti sledujeme nepretržite. Pred aplikáciou stojí webový firewall, ktorý zachytí bežné útoky skôr, než sa k Agendu dostanú.
Aktualizácie systému a knižníc nasadzujeme my, úrad na ne nemusí myslieť ani nič inštalovať.
Údaje každého úradu pravidelne zálohujeme. Obnovu zo záloh skúšame, aby sme vedeli, že záloha naozaj funguje, nie len že existuje.
Pri každej zmene kódu sa automaticky kontrolujú knižnice tretích strán na známe zraniteľnosti. Pred spustením ostrej prevádzky prejde Agendo penetračným testom.
Vývoj vedieme podľa OWASP Application Security Verification Standard na úrovni 2.
Vývoj vedieme podľa OWASP Application Security Verification Standard na úrovni 2.
Spoločnosť PROSIMSI sa pripravuje na certifikáciu systému riadenia informačnej bezpečnosti podľa ISO/IEC 27001.
Prevádzkovateľom osobných údajov občanov je obec.
PROSIMSI je sprostredkovateľ a s obcou uzatvára zmluvu o spracúvaní osobných údajov podľa nariadenia GDPR. Ak by došlo k porušeniu ochrany údajov, oznámime to úradu bez zbytočného odkladu, aby mohol splniť svoje povinnosti voči úradu na ochranu osobných údajov a občanom.
