BCC oferuje autorskie aplikacje w chmurze, oparte na bezpiecznej infrastrukturze BCC Data Centers. Klienci, którzy korzystają z Edistrady, BeeOffice i BCC ECM, przechowują w nich swoje wrażliwe dane. Teraz uzuskali kolejne potwierdzenie, że ich dane są w pełni bezpieczne. Certyfikat ISO 27018 to gwarancja, że zarówno same aplikacje, model ich udostępniania, jak i technologie IT stosowane przy ich utrzymywaniu spełniają restrykcyjne standardy bezpieczeństwa i poufności danych.
Coraz więcej firm decyduje się korzystać z usług i rozwiązań IT, w modelu Software as a Service. Poczta elektroniczna czy obsługa procesów back office, które jako pierwsze były w takiej formie oferowane, przetarły szlaki. Obecnie biznes z coraz większym zainteresowaniem spogląda w stronę usług oferowanych w środowisku prywatnej chmury obliczeniowej. Sprzyja temu także ciągle poszerzająca się paleta dostępnych w SaaS-ie aplikacji, a raczej usług. Dziś liderzy rynku oferują już w chmurze rozwiązania klasy ERP czy WMS zdolne obsłużyć procesy biznesowe najbardziej wymagających klientów.
Odpowiadając na duże zainteresowanie i potrzeby klientów, także BCC w ciągu ostatnich lat włączyło do swojej oferty rozwiązania realizujące różnorodne usługi biznesowe w modelu SaaS. Część z nich to rozwiązania z portfolio SAP, jak np. system klasy CRM – SAP Cloud for Customers, a także SuccessFactors wspierający rozwój kapitału ludzkiego w firmie. Drugą grupę stanowią rozwiązania autorskie wspomagające dowolne procesy biznesowe w przedsiębiorstwach oraz scenariusze współpracy pomiędzy partnerami biznesowymi: BeeOffice, BCC ECM oraz Edistrada. Są one rozwijane w BCC Software Factory i udostępniane w oparciu o organizację i infrastrukturę BCC Data Centers.
Chmura – szansa czy ryzyko
Mimo że według różnych szacunków wartość rynku aplikacji SaaS rośnie w szybkim tempie, ciągle wiele firm artykułuje swoje obawy związane z bezpieczeństwem danych przechowywanych w tych narzędziach. Gdzie jest ta chmura, jak są przechowywane dane, jak są zabezpieczone, kto ma do nich dostęp…
O ile używając na co dzień rozwiązań cloud do celów prywatnych, wyzbyliśmy się obaw i korzystamy z coraz szerszej palety usług (np. kalendarz, prywatna poczta, archiwum zdjęć i dokumentów), to w roli menedżerów, przedstawicieli biznesu, ciągle czujemy opór (choć malejący) przed wejściem w tego typu rozwiązania.
Największe obawy można by podsumować w trzech słowach: dostęp do danych. Z jednej strony, czy firma ma gwarancję dostępu do swoich danych w chmurze (czy dane nie zostaną utracone). I po drugie, kto będzie miał do nich dostęp (czy tylko i wyłącznie osoby uprawnione).
BeeOffice – innowacyjny portal samoobsługi pracowniczej dla firm każdej wielkości, zawierający pakiet przydatnych funkcji, wspomagających zarządzanie zespołem i biurem w codziennej pracy. Wspiera m.in. akceptację wniosków urlopowych, terminarz pracowników, rozliczanie delegacji i aut firmowych, rejestr urządzeń biurowych, zarządzanie licencjami IT, obsługę service desk.
BCC Enterprise Content Management – kompleksowe i elastyczne rozwiązanie informatyczne, wspierające elektroniczne przetwarzanie, archiwizację i obieg dokumentów oraz informacji. Wyróżniki produktu to: ergonomia użytkowania oraz wysoki poziom ochrony danych.
Edistrada – platforma komunikacji elektronicznej, umożliwiająca wymianę dokumentów biznesowych (zamówienia, faktury, awiza, stany magazynowe, faktury korygujące, potwierdzenia dostawy lub raporty) w formie elektronicznej, zgodnie ze standardami EDI (Electronic Data Interchange).
Wybierając rozwiązania w modelu SaaS dla firmy równie dużą uwagę jak do funkcjonalności aplikacji przykładamy do sposobu ochrony i bezpieczeństwa danych. Czy w rozwiązaniu są utrzymywane kopie zapasowe? Z jakiego okresu, kiedy i na jakich zasadach można do nich sięgnąć? Czy da się szybko przywrócić pełną sprawność aplikacji po awarii lub po upgrade?
Kolejny aspekt to dostęp do danych – jakimi zasadami rządzi się system uprawnień i na ile jest elastyczny. Czy możliwe będzie takie zdefiniowanie uprawnień dla różnych grup użytkowników, by nie ograniczał ich w pracy, a równocześnie nie pozwalał im widzieć danych, do których nie powinni mieć dostępu? Czy można elastycznie definiować prawa do edycji lub tylko do wglądu? W jakim stopniu możliwy jest wgląd w historię aktywności użytkowników i administratorów, ustalenie dokładnie kto/co/kiedy zmodyfikował w systemie?
Co się dzieje w chwili, gdy publikowane są nowe wersje aplikacji, czy np. zmiana logiki procesu biznesowego nie spowoduje utraty zbioru danych? Jak użytkownicy odnajdą się w nowej wersji? Czy to nie spowoduje „zepsucia się” systemu uprawnień?
Czy dane są odpowiednio zabezpieczone przez atakami hakerskimi – jak są szyfrowane na każdym etapie ich cyklu życia?
Obawy są o tyle uzasadnione, że duża część danych przechowywanych w aplikacjach SaaS to krytyczne dla działalności firmy dane transakcyjne, know-how czy dane osobowe pracowników i klientów. Dodatkowo część kategorii danych podlega osobnym i restrykcyjnym regulacjom prawnym (jak np. przechowywanie i przetwarzanie danych osobowych), co może się wiązać z konsekwencjami natury prawnej w wypadku ich nieprawidłowego zabezpieczenia.
Nic więc dziwnego, że menedżerowie firm, którzy chcieliby czerpać korzyści, jakie oferują rozwiązania chmurowe, chcą mieć pewność, że forma przechowywania i przetwarzania danych, a także ich bezpieczeństwo nie zostaną zakwestionowane przez organy kontrolne, np. GIODO czy inspekcję pracy.
Obawy związane z chmurą mogą także żywić udziałowcy, zainteresowani bezpieczeństwem danych biznesowych firmy (np. bazy danych klientów, technologie, receptury, plany) i w konsekwencji wartością swoich aktywów.
ISO 27018 – norma dla danych wrażliwych
Zasygnalizowane powyżej wyzwania to domena normy ISO 27018, koncentrującej się na bezpieczeństwie danych w rozwiązaniach dostępnych w SaaS. Jest to stosunkowo nowy standard, opublikowany przez Międzynarodową Organizację Normalizacyjną w połowie 2014 r. Jest on częścią rodziny ISO 27000, koncentrującej się na szeroko pojętym bezpieczeństwie informacji.
W BCC norma ISO 27018 stanowi rozszerzenie standardu ISO 27001, który obejmuje szeroki zakres usług świadczonych przez Centrum Outsourcingowe BCC. Jest gwarantem integralności i bezpieczeństwa danych przechowywanych w narzędziach z oferty BCC Software Factory.
ISO 27018 koncentruje się na tych aspektach świadczenia usług cloud, które mają bezpośredni wpływ na bezpieczeństwo i poufność danych przetwarzanych w systemach oferowanych w chmurze, w tym szczególnie tzw. danych wrażliwych. Najważniejsze obszary ryzyka podlegające weryfikacji w procesie certyfikacyjnym, to:
- system tworzenia i utrzymania kopii zapasowych danych,
- szyfrowanie danych (zarówno na poziomie ich składowania, jak i transmisji),
- zarządzanie zmianami w aplikacjach (m.in. rozdzielenie środowisk rozwojowych, testowych i produkcyjnych, proces wydania nowej wersji aplikacji),
- rejestracja aktywności użytkowników i administratorów.
- zarządzanie kontami użytkowników i ich uprawnieniami.
We wrześniu 2015 r. odbył się w BCC audyt certyfikujący, który potwierdził, że dostępne w chmurze rozwiązania oferowane przez BCC spełniają restrykcyjne standardy ochrony danych, zawarte w normie ISO 27018.
Audyt przeprowadziła jednostka certyfikująca TÜV NORD Polska. Dotyczył on aplikacji oferowanych firmom i instytucjom w modelu SaaS (Software as a Services). Są to: BeeOffice, BCC Enterprise Content Management oraz Edistrada. Wszystkie trzy rozwiązania są rozwijane w ramach BCC Software Factory i utrzymywane w oparciu o bezpieczną infrastrukturę BCC Data Centers.
Audytorzy z TÜV NORD badali wszelkie aspekty technologiczne i organizacyjne utrzymania, rozwoju i wdrażania aplikacji, które mają wpływ na bezpieczeństwo i poufność przetwarzanych danych. Certyfikat ISO 27018 posiada jedynie kilka firm. BCC zdobyło go w tym samym czasie co Amazon.
ISO 27018 to kolejny standard zarządzania wdrożony w BCC, po ISO 9001 (System Zapewnienia Jakości), ISO 27001 (System Zarządzania Bezpieczeństwem Informacji) i ISO 20000 (System Zarządzania Usługami IT).
Kopie zapasowe
Współczesne macierze dyskowe RAID zapewniają bezpieczeństwo w przypadku awarii sprzętu i pozwalają wymienić uszkodzony dysk w sposób niezauważalny dla użytkowników. Jednak kopie zapasowe danych nadal pozostają niezbędnym elementem każdego produkcyjnego rozwiązania IT na wypadek poważnej katastrofy lub błędu oprogramowania (w wyniku którego dane zostałyby np. błędnie usunięte).
Polityka tworzenia kopii zapasowych rozwiązań SaaS stosowana w BCC Data Centers stanowi połączenie kopii zapasowych baz danych i aplikacji, kopii zapasowych logów transakcyjnych, czy pełnych kopii danych oraz kopii przyrostowych. Polityka wykonywania kopii zapasowych pozwala na odtworzenie stanu bazy danych aplikacji praktycznie na dowolny punkt w czasie z ostatnich 14 dni, a jednocześnie nie powoduje żadnych przerw w działaniu aplikacji (wszystkie kopie są wykonywane w trybie online).
Do tego kopie zapasowe systemów produkcyjnych są automatycznie replikowane do drugiej lokalizacji w celu zapewnienia jeszcze większego poziomu bezpieczeństwa.
Szyfrowanie danych
Wszystkie dane przesyłane pomiędzy aplikacjami SaaS a użytkownikami są szyfrowane na poziomie połączenia sieciowego dzięki wykorzystaniu protokołu HTTPS. Zespół Bezpieczeństwa Informacji BCC dodatkowo prowadzi audyty oraz na bieżąco monitoruje pojawiające się luki w protokołach komunikacyjnych (lub ich konkretnych implementacjach), aby nie dopuścić do zagrożenia poufności przesyłanych informacji.
Na przykład wszystkie dokumenty składowane w BCC ECM są szyfrowane w sposób, który uniemożliwia ich odczytanie nawet przez administratora systemu z pełnym dostępem do bazy danych. Klucz szyfrujący jest dostępny tylko dla użytkownika po stronie klienta.
Dyski komputerów wszystkich pracowników BCC Data Centers i BCC Software Factory są zaszyfrowane, aby nawet zdarzenia losowe, takie jak kradzież, nie tworzyły ryzyka wycieku danych.
Zarządzanie zmianami w aplikacjach
Środowisko, w którym działają rozwiązania SaaS BCC, jest podzielone na trzy typowe grupy serwerów: systemy rozwojowe, testowe i produkcyjne. Dostęp do pierwszych dwóch grup mają programiści i testerzy z zespołów BCC Software Factory. Tutaj przechowywane są tylko dane testowe lub zanonimizowane (czyli pozbawione danych osobowych) kopie danych produkcyjnych, aby symulować rzeczywiste rozmiary produkcyjnej bazy danych. Nowe funkcje są rozwijane i wielokrotnie weryfikowane w tym środowisku, zanim trafią na serwery produkcyjne. Po zatwierdzeniu kompletu testów zestaw zmian aplikacji stanowiący nowe „wydanie” jest przenoszony na system produkcyjny.
Środowisko produkcyjne jest niedostępne dla programistów i pozostaje pod opieką administratorów systemów BCC Data Centers, którzy przenoszą nową wersję aplikacji, zgodnie z ustalonymi procedurami. Rozdzielenie dostępu do systemów testowych i produkcyjnych jest jednym z mechanizmów zwiększających bezpieczeństwo przechowywanych danych.
Aktualizacje systemów SaaS odbywają się średnio raz w miesiącu. Zmiany mają charakter „ewolucyjny”, przyrostowy – polegają zwykle na dodaniu nowych pojedynczych funkcji lub pól na ekranie albo innych usprawnieniach (np. poprawa wydajności). Nie stanowią więc rewolucji dla użytkowników i nie wymagają ich ponownego szkolenia.
Od 2006 r. Centrum Outsourcingowe BCC posiada System Zarządzania Bezpieczeństwem Informacji potwierdzony certyfikatem ISO 27001, którym objęte jest świadczenie usług outsourcingu IT i serwisu systemów informatycznych, w tym SAP. Jest to bardzo restrykcyjna norma, definiująca wymagania w zakresie poufności, integralności i dostępności informacji.
Standard ISO 27001 obejmuje całość zagadnień związanych z ochroną tworzonych, przechowywanych i przetwarzanych w firmie informacji. Jego celem jest weryfikacja i wzmocnienie zabezpieczeń z uwzględnieniem źródeł zagrożeń, jakimi mogą być ludzie, procesy biznesowe i technologie.
Teraz rozszerzyliśmy stosowanie katalogu wymagań odnoszących się do bezpieczeństwa informacji na rozwiązania oferowane w chmurze.
Tomasz Wawrzonek, Wicedyrektor BCC Data Centers
Rejestracja aktywności użytkowników i administratorów
Wszystkie dane przetwarzane w aplikacjach SaaS BCC są objęte logami zmian. Oznacza to, że dla dowolnego obiektu (np. kartoteka pracownika w BeeOffice, faktura w Edistradzie, kontrakt w ECM) można ustalić, kto i kiedy wprowadził konkretną wartość oraz jak wyglądał wpis przed zmianą (np. stanowisko pracownika zmienione ze „Specjalista” na „Starszy specjalista” – zmianę wykonał Jan Kowalski, 5 stycznia 2016, godz. 14.10).
Dodatkowo niektóre informacje dostępu do danych (niezwiązane z ich zmianą) są też rejestrowane przez aplikacje, np. sam fakt zalogowania użytkownika do systemu lub uruchomienia raportu. Aplikacje zbierają automatycznie informacje diagnostyczne, takie jak system operacyjny i wersja przeglądarki użytej podczas logowania. Dzięki temu możliwe jest sprawne wykrywanie i usuwanie problemów związanych np. z konkretną przeglądarką WWW, bez potrzeby dodatkowego pytania użytkowników o te informacje.
Zarządzanie kontami użytkowników i uprawnieniami
Każda z aplikacji SaaS BCC oferuje rozbudowaną funkcjonalność zarządzania kontami i uprawnieniami. Tylko na początku pierwsze konta administracyjne w nowym systemie są zakładane przez BCC. Dalsze powoływanie kont i przypisywanie im uprawnień jest już w całości pod kontrolą klienta. Konta dla użytkowników wsparcia (specjalistów BCC) są również widoczne dla administratora po stronie firmy-klienta, który może je zakładać lub blokować, zależnie od bieżących potrzeb.
Konkretny model uprawnień zależy od aplikacji SaaS, ale w każdym wypadku polega na definiowaniu standardowych ról, a następnie przypisywaniu ich do jednego lub wielu użytkowników. Ten sam użytkownik może mieć też więcej niż jedną rolę. W efekcie jest to bardzo elastyczny model definiowania uprawnień – prostszy lub rozbudowany, zależnie od złożoności organizacji. Każda rola to wypadkowa dwóch ustawień: zestawu przypisanych funkcji (np. wniosek urlopowy – wyświetlanie, wprowadzanie, zatwierdzanie) oraz miejsca użytkownika w strukturze organizacyjnej (zatwierdzanie urlopów „dla moich podwładnych”).
Korzystając z naszych produktów cloudowych, klienci przetwarzają w nich dane wymagające szczególnej ochrony. Są to na przykład dane pracowników w BeeOffice, umowy z kontrahentami zarchiwizowane w BCC ECM, dane transakcji z kluczowymi klientami na platformie Edistrada. Teraz, dzięki certyfikatowi ISO 27018, nasi klienci uzyskują dodatkową, niezależną gwarancję ich bezpieczeństwa i poufności.
Michał Kunze, Dyrektor ds. Rozwoju Oprogramowania, BCC
Dane wrażliwe
W rozwiązaniach SaaS krytyczne jest zapewnienie bezpieczeństwa przetwarzanych w nich danych wrażliwych. Aplikacje chmurowe dostępnych w ofercie BCC Software Factory w ramach swoich podstawowych zadań gromadzą i udostępniają użytkownikom wiele zbiorów tego typu danych. Poniżej przedstawiamy krótki przegląd aplikacji, wraz z przykładami zbiorów danych wymagających zachowania szczególnych zasad bezpieczeństwa.
BeeOffice
BeeOffice to portal samoobsługi pracowniczej, wspomagający zarządzanie zespołem i biurem. W tej aplikacji przetwarzanie są dane pracowników, wraz z danymi kontaktowymi (numery telefonów, adresy e-mail), kompetencje (np. certyfikaty, uprawnienia, znajomość języków), nazwy stanowisk i struktura organizacyjna. Zbiory danych osobowych podlegają kontroli GIODO. Ponadto w BeeOffice mogą się też znajdować dane o projektach wewnętrznych i dla klientów zewnętrznych, a nawet dane do fakturowana.
Edistrada
Edistrada to elastyczna platforma wymiany danych biznesowych. Gromadzi dane o klientach, kontrahentach i partnerach biznesowych, odnotowuje transakcje handlowe (zamówienia, awiza dostaw, faktury), przechowuje cenniki, warunki handlowe, systemy rabatowe itp. Stanowi ona repozytorium danych sprzedażowych, wraz z wolumenami sprzedaży i cenami dla kluczowych klientów. Stanowią one najważniejszą tajemnicę handlową firmy. Stabilność tego systemu i bezpieczeństwo danych są gwarantem ciągłości biznesu w ramach łańcucha dostaw.
BCC Enterprise Content Management
BCC ECM wspiera obieg informacji i zarządzanie dokumentami. W wypadku tej aplikacji charakter wrażliwych danych bezpośrednio zależy od tego, jakie dokumenty firma zdecyduje się składować w rozwiązaniu. W zależności od zakresu wykorzystania mogą to być dane pracownicze, faktury, zamówienia, umowy – zarówno umowy o pracę, jak i wielomilionowe kontrakty z klientami, dokumentacja techniczna produktów, łącznie z rysunkami technicznymi. W wielu przypadkach aplikacje klasy ECM gromadzą dużą część know-how organizacji. W wypadku tej aplikacji kluczowe jest zachowanie poufności danych i ochrona przed niepowołanym dostępem zarówno z wewnątrz, jak i z zewnątrz organizacji.
BCC Data Centers – solidny fundament
Firmy które oferują usługi outsourcingu IT, a także usługi SaaS cały czas pracują nad podniesieniem bezpieczeństwa powierzonych im danych. Centra danych wyposażanie są w coraz nowocześniejsze systemy kontroli dostępu, ochronę przed żywiołami (pożar, zalanie), narzędzia gwarantujące wysoką dostępność itp. Także stosowane procedury podlegają ciągłej ewaluacji wyspecjalizowanych jednostek i są korygowane w celu wyeliminowania słabych punktów.
BCC, a szczególnie Centrum Outsourcingowe BCC od lat pracuje według wysokich standardów pracy, potwierdzanych certyfikatami gwarantującymi zgodność z normami ISO. Są to: System Zapewnienia Jakości zgodny z ISO 9001, System Zarządzania Usługami IT, zgodny z ISO 20000/ITIL i wreszcie System Zarządzania Bezpieczeństwem Informacji zgodny z ISO 27001.
Wysokie standardy pracy i nowoczesna infrastruktura BCC Data Centers to przewagi konkurencyjne BCC w świadczeniu usług szeroko pojętego outsourcingu IT (w tym hostingu zarządzanego, monitoringu systemów i sieci, usług zapasowego centrum przetwarzania danych, administracji systemami, w tym głównie SAP).
Wysoki stopień zaawansowana stosowanych w BCC Data Centers rozwiązań technicznych i proceduralnych stanowi także solidny fundament do świadczenia usług w środowisku prywatnej chmury obliczeniowej.
Certyfikat ISO 27018 gwarantuje bezpieczeństwo, poufność i ochronę danych przed niepowołanym dostępem zarówno z wewnątrz, jak i wewnątrz organizacji. Dla poszczególnych rozwiązań BCC w chmurze są to między innymi:
BeeOffice
dane osobowe pracowników, dane teleadresowe (numery telefonów, adresy e-mail), struktura organizacyjna wraz z przypisaniem osób do stanowisk, kompetencje (np. certyfikaty, uprawnienia), informacje projektach wewnętrznych i dla klientów zewnętrznych, dane do fakturowana
Edistrada
dane o kontrahentach i partnerach biznesowych, transakcje handlowe (zamówienia, awiza dostaw, faktury), cenniki, warunki handlowe, systemy rabatowe, wolumeny sprzedaży itp.
BCC ECM
faktury, zamówienia, oferty, umowy z pracownikami, kontrakty z klientami i partnerami biznesowymi, dokumentacja techniczna produktów i prototypów, łącznie z rysunkami technicznymi, receptury, dokumentacja prac rozwojowych itp.