مستندات امنیتی و اطمینان‌بخشی
اینکه یک سازمان چه مستندات امنیتی و حریم خصوصی‌ای را می‌تواند از LeraLink دریافت کند، چگونه آن را درخواست کند، و امروز چه اطمینان‌بخشی‌ای در دسترس است و چه نیست.
آخرین به‌روزرسانی: ۱۳ نوامبر ۲۰۲۶
خلاصه
SSStudio، با نام تجاری LeraLink، هیچ گواهی‌نامهٔ امنیتی ندارد و هنوز آزمون نفوذ مستقلی بر آن انجام نشده است. ما به جای آن این موارد را ارائه می‌کنیم: شرح‌های منتشرشده از تدابیرمان، مجموعه‌ای قراردادی از تدابیر در قرارداد پردازش داده، پرسش‌نامه‌های تکمیل‌شده، و حقوق ممیزی طبق قرارداد پردازش داده. تطبیق با مبنای امنیتی دولت هلند (BIO2) برنامه‌ریزی شده است.
LeraLink در مرحلهٔ آزمایشی کنترل‌شده است. SSStudio خدمت را بهره‌برداری می‌کند و به درخواست‌های مستندات پاسخ می‌دهد.
اسناد منتشرشده
این اسناد عمومی‌اند و بدون درخواست می‌توان آنها را خواند:
| سند | آنچه به شما می‌دهد |
|---|---|
| نمای کلی امنیت | اینکه نصب‌ها، حساب‌ها و محتوا چگونه حفاظت می‌شوند، از جمله آنچه هنوز برقرار نیست |
| ورود و امنیت حساب | روش‌های ورود، گذرکلیدها و محدودیت‌های نشست |
| تدابیر فنی و سازمانی | تدابیری که در مقام پردازشگر به آنها متعهد می‌شویم؛ پیوستی بر قرارداد پردازش داده |
| قرارداد پردازش داده | شرایط پردازشگر طبق مادهٔ ۲۸ مقررات عمومی حفاظت از داده (GDPR) |
| پردازشگران فرعی و دریافت‌کنندگان | هر پردازشگر فرعی و دریافت‌کننده، با نقش، مکان و تضمین آن |
| داده‌های شما کجا نگهداری می‌شود | آنچه در اتحادیهٔ اروپا نگهداری می‌شود و آنچه نمی‌شود |
| جدول نگهداری داده | هر نوع داده تا چه مدت نگهداری می‌شود |
| پشتیبان‌گیری و بازیابی | تواتر پشتیبان‌گیری، نگهداری، آزمون‌های بازیابی و اهداف بازیابی |
| واکنش به حادثه و اطلاع‌رسانی | اینکه حوادث چگونه رسیدگی می‌شوند و چه زمانی به مشتریان اطلاع داده می‌شود |
| تداوم کسب‌وکار | اینکه اگر SSStudio یا یک تأمین‌کننده در دسترس نباشد خدمت چگونه ادامه می‌یابد، از جمله همکاری تداوم با DotNet Talk AB |
| دسترس‌پذیری و وضعیت | صفحهٔ وضعیت و گزارش حوادث |
| LeraLink چگونه از هوش مصنوعی استفاده می‌کند و تعهدات هوش مصنوعی مسئولانه | وظایف هوش مصنوعی، ارائه‌دهندگان و تدابیر حفاظتی |
| افشای هماهنگ آسیب‌پذیری | چگونگی گزارش یک آسیب‌پذیری |
| مقررات عمومی حفاظت از داده در لرالینک، قانون هوش مصنوعی اتحادیهٔ اروپا در لرالینک، قانون خدمات دیجیتال در لرالینک، قانون داده، NIS2 و دیگر مقررات اتحادیهٔ اروپا | موضع ما طبق هر قانون |
| استانداردهای باز و امنیت اینترنت | وضعیت استانداردهای هلندی «pas toe of leg uit» (اعمال کن یا توضیح بده)، و نتایج internet.nl پس از اجرای آزمون‌ها |
| بیانیهٔ دسترس‌پذیری | وضعیت دسترس‌پذیری و محدودیت‌های شناخته‌شده |
در دسترس بنا به درخواست
| مورد | وضعیت | شرایط |
|---|---|---|
| قرارداد پردازش دادهٔ امضاشده همراه با پیوست‌های آن (تدابیر فنی و سازمانی، فهرست پردازشگران فرعی) | در دسترس | برای مشتریان و مشتریان بالقوه |
| پرسش‌نامهٔ امنیتی تکمیل‌شده | در دسترس | پرسش‌نامه‌های استاندارد و پرسش‌نامهٔ خود سازمان را می‌پذیریم؛ بنگرید به ادامه |
| تطبیق تدابیر ما با Baseline Informatiebeveiliging Overheid (BIO2، مبنای امنیت اطلاعات دولت) | هنوز در دسترس نیست؛ برنامه‌ریزی‌شده | برای مشتریان دولتی هلند و مشتریان بالقوه؛ ممکن است تحت توافق‌نامهٔ عدم افشا ارائه شود |
| «Models used by this installation» (مدل‌هایی که این نصب به کار می‌برد) | در دسترس | فهرستی قابل چاپ از مدل‌های هوش مصنوعی‌ای که به یک نصب معین خدمت می‌کنند، با کشور ارائه‌دهنده، منطقهٔ میزبانی، و واقعیات مربوط به آموزش و نگهداری، هر جا ثبت شده باشند |
| اطلاعات برای ثبت الگوریتم یا ارزیابی تأثیر | در دسترس | شرح هر وظیفهٔ هوش مصنوعی، نقطهٔ تصمیم انسانی آن، داده‌های فرستاده‌شده و تدابیر حفاظتی؛ بنگرید به قانون هوش مصنوعی اتحادیهٔ اروپا در لرالینک |
| اطلاعات دربارهٔ انتقال‌های بین‌المللی | در دسترس | تا جایی که افشای آن ممکن است، خلاصه‌ای از تضمین‌ها و ارزیابی‌های انتقال |
| خلاصهٔ آزمون‌های بازیابی | در دسترس | تاریخ‌ها و زمان‌های بازیابی اندازه‌گیری‌شده |
| خلاصهٔ آزمون نفوذ | هنوز در دسترس نیست | بنگرید به ادامه |
| گواهی‌نامه یا گزارش ممیزی SSStudio (ISO 27001، SOC 2 یا مشابه) | در دسترس نیست | هیچ گواهی‌نامه‌ای وجود ندارد |
برخی اقلام پیکربندی داخلی ما را با جزئیاتی بیش از صفحه‌های عمومی‌مان شرح می‌دهند. ممکن است پیش از ارائهٔ آنها توافق‌نامهٔ عدم افشا بخواهیم، و هرگز اطلاعاتی را که امنیت مشتریان دیگر را تضعیف کند ارائه نمی‌کنیم.
پرسش‌نامه‌های امنیتی
ما پرسش‌نامه‌های امنیت و حریم خصوصی را برای مشتریان و مشتریان بالقوه تکمیل می‌کنیم. این موارد را می‌پذیریم:
- پرسش‌نامهٔ خود سازمان؛
- پرسش‌نامه‌های استاندارد رایج، مانند Consensus Assessments Initiative Questionnaire (CAIQ، پرسش‌نامهٔ ابتکار ارزیابی‌های اجماعی) از Cloud Security Alliance؛
- پرسش‌نامه‌های مبتنی بر BIO2 یا بر NEN-ISO/IEC 27001 و 27002.
پاسخ‌های ما خدمت را چنان‌که در روز پاسخ‌گویی کار می‌کند توصیف می‌کنند. هر جا کنترلی برقرار نباشد، به جای خالی گذاشتن، آن را می‌گوییم. پاسخ‌ها تا جایی که ممکن باشد به اسناد منتشرشدهٔ بالا ارجاع می‌دهند تا یکدست بمانند.
تطبیق با BIO2
سازمان‌های دولتی هلند باید طبق Cyberbeveiligingswet (قانون امنیت سایبری) BIO2 را اعمال کنند، و اغلب از تأمین‌کنندگان می‌پرسند تدابیرشان چه نسبتی با آن دارد. BIO2 بر NEN-ISO/IEC 27001 و 27002 مبتنی است. قصد داریم تطبیقی از تدابیر LeraLink با کنترل‌های BIO2 که به یک خدمت نرم‌افزاری مربوط‌اند تهیه کنیم، که برای هر کنترل نشان دهد آیا برآورده شده، تا حدی برآورده شده یا برآورده نشده است، و شواهد آن چیست. پس از آغاز کار، تاریخی را در اینجا اعلام خواهیم کرد.
آزمون نفوذ
آزمون نفوذ مستقلی بر LeraLink هنوز انجام نشده است. این آزمون برای سه‌ماههٔ دوم ۲۰۲۷ برنامه‌ریزی شده است. پس از انجام آن:
- یافته‌ها را بر حسب شدتشان رفع و دوباره آزمون می‌کنیم؛
- تاریخ آزمون و، در صورت موافقت آزمونگر، نام او را در این صفحه منتشر می‌کنیم؛
- خلاصه‌ای از یافته‌ها و رفع آنها را تحت توافق‌نامهٔ عدم افشا با مشتریان و مشتریان بالقوه به اشتراک می‌گذاریم.
تا آن زمان، اطمینان‌بخشی ما بر این موارد استوار است: بررسی‌های خودکاری که در هر تغییر اجرا می‌شوند (آزمون‌های رفتاری، بررسی هر اقدام حفاظت‌شده در برابر قواعد مجوزدهی، و بررسی اینکه فایل‌های عمومی هیچ اطلاعات داخلی‌ای را آشکار نمی‌کنند)، انتشارهای مرحله‌ای با تأیید مالک، و گزارش‌هایی که از طریق سیاست افشای هماهنگ آسیب‌پذیری دریافت می‌شوند. اینها جایگزین آزمونی مستقل نیستند.
گواهی‌نامه
SSStudio هیچ گواهی‌نامه‌ای ندارد. دریافت گواهی‌نامهٔ NEN-ISO/IEC 27001 یک هدف است. تاریخی برای آن تعیین نکرده‌ایم و تا زمانی که تعیین نکنیم، تاریخی اعلام نخواهیم کرد.
Cloudflare، که LeraLink بر روی آن اجرا می‌شود، گواهی‌نامه‌ها و گزارش‌های ممیزی خاص خود را دارد. اینها زیرساخت Cloudflare را در بر می‌گیرند، نه برنامهٔ LeraLink یا عملیات SSStudio را. هر جا Cloudflare آنها را در دسترس مشتریان خود قرار دهد، می‌توانیم آنها را تحت شرایط Cloudflare ارائه کنیم؛ برخی را فقط مستقیماً از Cloudflare می‌توان دریافت کرد.
حقوق ممیزی
مشتریانی که قرارداد پردازش داده را منعقد کرده‌اند می‌توانند، چنان‌که بند ۳(h) مادهٔ ۲۸ GDPR پیش‌بینی می‌کند، رعایت آن را از سوی ما راستی‌آزمایی کنند. قرارداد پردازش داده شرایط را تعیین می‌کند: به‌طور خلاصه، ما ابتدا مستندات و اطلاعات لازم برای اثبات رعایت را ارائه می‌کنیم؛ هر جا این کافی نباشد، یا مرجع نظارتی آن را الزامی کند، مشتری می‌تواند ممیزی را به دست ممیزی مستقل که متعهد به رازداری است و رقیب SSStudio نیست انجام دهد، حداکثر یک بار در هر سال تقویمی مگر آنکه نقض یا درخواست یک مرجع دلیلی برای ممیزی دیگر باشد، با اخطار کتبی دست‌کم ۳۰ روزه به privacy@lera.link، و بدون دسترسی به داده‌های مشتریان دیگر. هزینه‌های ممیزی بر عهدهٔ مشتری است، مگر آنکه ممیزی نقض اساسی از سوی ما را نشان دهد. مراجع نظارتی می‌توانند طبق اختیارات خود ما را ممیزی کنند.
توافق‌نامه‌های عدم افشا
هر جا قلمی نیازمند توافق‌نامهٔ عدم افشا باشد:
- از طریق legal@lera.link درخواست کنید و بگویید به کدام اقلام نیاز دارید.
- ما یک توافق‌نامهٔ عدم افشای دوجانبه تابع حقوق هلند می‌فرستیم، یا توافق‌نامهٔ شما را بررسی می‌کنیم.
- پس از امضای آن به دست هر دو طرف، اقلام را از طریق مجرایی که با شما توافق شده است به اشتراک می‌گذاریم.
چگونه درخواست کنید، و چقدر سریع پاسخ می‌دهیم
| درخواست | نشانی |
|---|---|
| مستندات امنیتی، پرسش‌نامه‌ها، تطبیق با BIO2، خلاصهٔ آزمون نفوذ | security@lera.link |
| قرارداد پردازش داده، توافق‌نامه‌های عدم افشا، پرسش‌های حقوقی | legal@lera.link |
| درخواست‌های ممیزی، اطلاعات حریم خصوصی و انتقال | privacy@lera.link |
دریافت هر درخواست را تأیید می‌کنیم و به شما می‌گوییم چه زمانی می‌توانید انتظار پاسخ داشته باشید، که به قلم درخواستی و، برای پرسش‌نامه، به طول آن بستگی دارد. اگر درخواستی بیش از آن زمان ببرد، به شما می‌گوییم و دلیلش را توضیح می‌دهیم. درخواست‌ها به زبان انگلیسی یا هلندی رسیدگی می‌شوند.
تغییرات
هنگامی که قلمی در دسترس قرار گیرد، آزمون یا گواهی‌نامه‌ای تکمیل شود، یا سندی تغییر کند، این صفحه را به‌روز می‌کنیم. تغییرات مهم در قرارداد پردازش داده، تدابیر فنی و سازمانی و فهرست پردازشگران فرعی طبق سیاست اطلاع‌رسانی تغییرات اعلام می‌شوند.
منابع
- مقررات (EU) 2016/679 (GDPR)، مادهٔ ۲۸: eur-lex.europa.eu
- Baseline Informatiebeveiliging Overheid (BIO2)، Digital Government (دولت دیجیتال): nldigitalgovernment.nl
- Cyberbeveiligingswet (NCSC): ncsc.nl
- Cloud Security Alliance، Consensus Assessments Initiative Questionnaire: cloudsecurityalliance.org