Závazek OCLC k zajištění služeb knihovny

Ochrana dat při sdílení vašich sbírek

OCLC chápe, že důvěrnost, integrita a dostupnost údajů našich členů jsou zásadní pro jejich obchodní činnost i náš vlastní úspěch. K ochraně klíčových informací využíváme několikaúrovňový přístup, který spočívá v neustálém monitorování a zlepšování našich aplikací, systémů a procesů s cílem splnit rostoucí požadavky a překonat výzvy spojené s dynamickými bezpečnostními hrozbami. Na důkaz svého úsilí v oblasti bezpečnosti OCLC splnilo požadavky bezpečnostních norem ISO 27001 a obdrželo příslušné registrace, získalo certifikaci programu Cyber Essentials a registraci CSA STAR.

Informační bezpečnost a řízení podnikových rizik

  • Implementace systému řízení informační bezpečnosti v souladu s požadavky normy ISO/IEC 27001:2013
  • Profesionální personál s certifikací v oblasti informační bezpečnosti, IT profesionálové a trvale přítomný specialista na zotavení po havárii

Materiální a environmentální řízení

  • Nepřetržité zabezpečení zajišťované personálem
  • Omezený přístup prostřednictvím bezkontaktních karet
  • Počítačové vybavení v oblastech s kontrolovaným přístupem
  • Kamerové systémy po celém zařízení a po celém obvodu
  • Regulace vlhkosti a teploty
  • Zvýšená podlaha pro zajištění nepřetržité cirkulace vzduchu
  • Podzemní napájecí přívod
  • Záložní napájecí systémy (UPS)
  • Redundantní napájecí jednotky (PDU)
  • Dieselové generátory s místním zásobníkem dieselového paliva
  • Kouřové a požární hlásiče v datových centrech
  • Dublinské centrum pro zajištění služeb (DSDC) je chráněno systémem Halon s dostatečnými rezervami pro několik výpadků
  • Kolumbovo centrum pro zajištění služeb (CSDC) je chráněno protipožárním systémem DuPont FM-200
  • Datová centra jsou dále chráněna vodními sprinklerovými systémy
  • DSDC a CSDS jsou vybaveny hasicími přístroji

Řízení logického přístupu

  • Uživatelská identifikace a řízení přístupu
    • Připojení k datům sponzorů prostřednictvím TLS 1.1 a 1.2 s využitím rozšířených globálních certifikátů od Thawte, které garantují uživatelům zabezpečené připojení z příslušného prohlížeče k naší službě
    • Individuální uživatelské relace se při každé transakci identifikují a znovu ověřují pomocí XML šifrované deklarace identity SAML 2.0
    • Závisí na specifických využívaných službách

Řízení provozního zabezpečení

  • Připojení k internetu přes redundantní, různě směrované odkazy od několika poskytovatelů internetu obsluhovaných z více přístupových bodů poskytovatelů telekomunikačních služeb
  • Blokování nevyužívaných protokolů bránami firewall v celém obvodu a hraničními směrovači
  • Segregace provozu mezi aplikací a databází s využitím bran firewall
  • Nástroje pro vyrovnávání zátěže zajišťují servery proxy pro interní provoz
  • OCLC využívá řadu metod k prevenci, zjištění a odstranění škodlivého softwaru
  • Pravidelné provádění nezávislých hodnocení zabezpečení třetími stranami
  • Veškerá data se v jednotlivých datových centrech zálohují na pásky
  • Zálohy se kopírují přes zabezpečená spojení do zabezpečeného archivu pásek
  • Pásky se přepravují mimo pracoviště a po stažení z oběhu se bezpečným způsobem likvidují
  • Personál OCLC pro zajištění informační bezpečnosti monitoruje oznámení z různých zdrojů a poplachy z interních systémů za účelem identifikace a řízení hrozeb

Vývoj a údržba systémů

  • OCLC před vydáním testuje, zda kód neobsahuje zranitelná místa v zabezpečení a pravidelně monitoruje zranitelná místa v síti i v systémech
  • Hodnocení zranitelnosti sítě
  • Vybrané penetrační testování a revize kódu
  • Revize a testování rámce bezpečnostní kontroly

Kontinuita firemních procesů a zotavení po havárii

  • OCLC služba provádí replikaci dat v reálném čase na disky v jednotlivých datových centrech a replikaci dat téměř v reálném čase mezi produkčním datovým centrem a v místě zotavení po havárii
  • Citlivá data se přenášejí přes vyhrazené kanály
  • Testy zotavení po havárii slouží k ověření očekávané doby zotavení a integrity zákaznických dat

Reakce na incidenty, oznámení a náprava

  • Proces řízení incidentů pro události týkající se zabezpečení, které mohou mít vliv na důvěrnost, integritu či dostupnost příslušných systémů nebo dat
  • Tým pro informační bezpečnost je vyškolen ve forenzních technikách a v zajišťování důkazů během přípravy na incident, a to včetně používání patentovaných nástrojů a nástrojů třetích stran

Dodržování předpisů

  • Třetí strany mohou informace získat pouze prostřednictvím právních postupů, například při domovní prohlídce, na základě soudních příkazů, obsílek, prostřednictvím zákonných výjimek nebo se souhlasem uživatele
  • OCLC ctí silný závazek vůči ochraně osobních údajů v zájmu ochrany dat zákazníků a sponzorů.

Služby OCLC splňují nebo převyšují doporučení Gartner skupiny1 (tabulka 1.) a aliancí pro cloudovou bezpečnost „Security Guidance for Critical Areas of Focus in Cloud Computing.“ (Bezpečnostní směrnice pro citlivé oblasti cloud computingu.)

Tabulka 1. Gartner: Seven Cloud-Computing Security Risks (Sedm bezpečnostních rizik cloud computingu)

Gartnerova doporučení OCLC Microsoft

Cloud (BPOS)		 Google Apps

Enterprise
Řízení přístupu privilegovaných uživatelů X X X
Dodržování právních předpisů X X X
Umístění dat X X X (mlčenlivost)
Segregace dat X X X
Zotavení X X X
Investigativní podpora X X X
Dlouhodobá životaschopnost X X X

1 Jay Heiser and Mark Nicolett. "Assessing the Security Risks of Cloud Computing." Gartner Group. 3. června 2008