Международная организация по стандартизации (International Organization for Standardization или ISO) выработала ряд мировых стандартов в области информации и общественной безопасности, чтобы помочь организациям создавать надежную и инновационную продукцию и обеспечивать услуги. Dropbox получил сертификаты для своих центров обработки и хранения данных, систем, приложений, сотрудников и процессов, пройдя проверку голландской независимой сторонней организации EY CertifyPoint.
ISO 27001 — это признанный во всем мире ведущий стандарт в области систем по управлению информационной безопасностью (ISMS), использующий рекомендации, прописанные в ISO 27002. Чтобы оправдать ваше доверие, мы в Dropbox постоянно и в полном объеме занимаемся своими физическими, техническими и юридическими средствами и их улучшением. Компания EY CertifyPoint получила аккредитацию ISO 27001 от Голландского совета по аккредитации (Raad voor Accreditatie). Просмотреть сертификат ISO 27001 для Dropbox Business и Dropbox Education.
ISO 27017 — это международный стандарт в сфере облачной безопасности, который формулирует правила и рекомендации для инструментов безопасности, используемых при развертывании и функционировании облачных служб. В нашем Руководстве по общей ответственности описаны несколько требований о безопасности, конфиденциальности и соответствии, о которых должны вместе заботиться Dropbox со своими клиентами. Просмотреть сертификат ISO 27017 для Dropbox Business и Dropbox Education.
ISO 27018 — это международный сертификат в области конфиденциальности и защиты данных. Он применяется для облачных служб наподобие Dropbox, которые в интересах своих клиентов обрабатывают их личную информацию. В нем наши клиенты найдут основные принципы, обуславливающие вопросы и требования, касающиеся общих проблем урегулирования в данной сфере и контрактных условий. Просмотрите сертификат ISO 27018 для Dropbox Business и Dropbox Education.
ISO 22301 — это международный стандарт в области устойчивости бизнеса, который помогает организациям минимизировать влияние разрушительных событий и, если такие события все же случаются, реагировать на них соответствующим образом и ограничивать возможный ущерб. Система устойчивости бизнеса Dropbox Business (BCMS) является частью нашей общей стратегии по управлению рисками, предназначенной для защиты людей и бизнеса в кризисных ситуациях. Просмотреть сертификат ISO 22301 для Dropbox Business и Dropbox Education.
Отчеты о контроле сервисных организаций (Service Organization Controls или SOC), которые называются SOC 1, SOC 2 и SOC 3, разработаны Американским институтом дипломированных общественных бухгалтеров (American Institute of Certified Public Accountants, AICPA) и касаются внутренних систем контроля в организациях. Dropbox получил сертификаты для своих систем, приложений, сотрудников и процессов, пройдя ряд проверок независимой сторонней организации Ernst & Young LLP.
Отчет о гарантии SOC 3 охватывает все пять принципов безопасности, конфиденциальности, целостности обработки, доступности и защиты от несанкционированного доступа (Trust Service Principles of Security, Confidentiality, Processing Integrity, Availability, and Privacy или TSP Section 100). Отчет Dropbox представляет собой краткую сводку нашего отчета SOC 2 и включает заключение о структуре и работе системы управления, вынесенное независимым аудитором. Просмотреть оценку SOC 3 для Dropbox Business и Dropbox Education.
Отчет SOC 2 предоставляет клиентам подробные гарантии, охватывающие все пять принципов безопасности, конфиденциальности, целостности обработки, доступности и защиты от несанкционированного доступа (Trust Service Principles of Security, Confidentiality, Integrity, Availability, and Privacy или TSP Section 100). В отчете SOC 2 вы найдете подробные описания наших процессов и более 100 инструментов контроля, с помощью которых мы защищаем ваши данные. Помимо оценки независимых сторонних аудиторов, касающейся эффективности функциональности и структуры наших средств управления, в этом отчете также содержатся описания методов проверки аудиторов и результаты проверок для каждого инструмента. В наш отчет SOC 2 (который иногда еще называется отчет SOC 2+) также входит прошедшая проверку схема средств управления, касающихся упомянутых выше стандартов ISO, что обеспечивает дополнительную прозрачность для наших клиентов. Оценка SOC 2 для аккаунтов Dropbox Business и Dropbox Education предоставляется по запросу отделом продаж или командой поддержки аккаунтов.
В отчете SOC 1 содержатся подробные гарантии для клиентов, которые используют Dropbox Business или Dropbox Education в качестве ключевого элемента своей программы внутреннего контроля финансовой отчетности (ICFR). Эти гарантии в основном обеспечивают соответствие закону Сарбейнса-Оксли (Sarbanes-Oxley или SOX). Независимый сторонний аудит осуществляется в соответствии с положениями о стандартах соответствия аудиту No. 18 (Statement on Standards for Attestation Engagements No. 18 или SSAE 18) и международными стандартами по аудиторским заданиям No. 3402 (International Standard on Assurance Engagements No. 3402 или ISAE 3402). Эти стандарты теперь используются вместо устаревших положений о стандартах соответствия аудиту No.16 (SSAE 16) и положений по стандартам аудита No. 70 (SAS 70). Оценка SOC 1 для Dropbox Business и Dropbox Education предоставляется по запросу отделом продаж или командой поддержки аккаунтов.
Реестр по безопасности, доверию и предоставлению гарантий Федерации информационной облачной безопасности (Security, Trust, and Assurance Registry, CSA STAR) — это бесплатный, общедоступный реестр, осуществляющий программу гарантий для облачных служб. Он помогает пользователям оценить силы и средства обеспечения безопасности облачных служб, которыми они пользуются или собираются воспользоваться.
Dropbox Business и Dropbox Education получили сертификат CSA STAR Level 2 и прошли аттестацию CSA STAR Level 2. Стандарт CSA STAR Level 2 подразумевает независимую оценку наших средств управления безопасностью, третьей стороной — EY CertifyPoint проводит сертификацию, Ernst & Young LLP проводит аттестацию. Оценка выполняется на основе требований ISO 27001, принципов SOC 2 Trust Service Principles и структуры облачных средств контроля CSA Cloud Controls Matrix (CCM) v.3.0.1. Dropbox также прошел проверку CSA STAR Level 1 Self-Assessment для Dropbox Business и Dropbox Education. Это весьма строгая проверка, основывающаяся на опроснике CSA под названием Consensus Assessments Initiative Questionnaire или CAIQ (он соответствует системе CCM и включает почти 300 вопросов, которые могли бы быть интересны клиенту облачных служб или контролеру в сфере облачной безопасности). Просмотреть наш сертификат и аттестацию CSA STAR Level 1 и Level 2 можно на сайте CSA
Dropbox подписывает соглашения о деловом партнерстве (Business Associate Agreements, BAA) с клиентами Dropbox Business и Dropbox Education, которым они необходимы для соответствия требованиям Закона об ответственности и переносе данных о страховании здоровья граждан США (Health Insurance Portability and Accountability Act, HIPAA) и Закона о применении медицинских информационных технологий в экономической деятельности и клинической практике США (Health Information Technology for Economic and Clinical Health Act, HITECH). Чтобы получить более подробную информацию, ознакомьтесь с нашим руководством «HIPAA — С чего начать» и соответствующей статьей Справочного центра.
Dropbox предоставляет доступ к сторонним отчетам, в которых проводится оценка нашего контроля правил HIPAA/HITECH в отношении безопасности, конфиденциальности и уведомления в случае нарушений, а также к схемам внутренних методик и рекомендаций клиентам, которые желают соответствовать требованиям правил конфиденциальности и безопасности HIPAA/HITECH с помощью Dropbox Business или Dropbox Education.
Клиенты, заинтересованные в получении этих документов, могут обратиться к специалистам по управлению аккаунтом или связаться с отделом продаж. Кроме того, если вы администратор рабочей группы Dropbox Business или Dropbox Education, вы также можете подписать соглашение о деловом партнерстве на странице «Аккаунт» в консоли администрирования.
Обратите внимание: подписать электронную версию соглашения BAA через Консоль администрирования могут только клиенты, находящиеся в США и не использующие Dropbox Paper. HIPAA/HITECH не поддерживается в Dropbox Paper.
Каталог о соответствии средств управления в области облачного исчисления (The Cloud Computing Compliance Controls Catalog, C5) — это система, разработанная Немецким федеральным ведомством по безопасности информационных технологий (Bundesamt fur Sicherheit in der Informationstechnik, BSI), для создания отчетов о средствах управления безопасностью, применяемых для предоставления облачных услуг. С помощью аттестации C5 организации могут продемонстрировать соответствие своих систем информационной безопасности «рекомендациям по безопасности для поставщиков облачных услуг (Security Recommendations for Cloud Providers)» BSI. C5 базируется на существующих международных стандартах безопасности, например ISO 27001 и CSA STAR. Для аттестации C5 системы, процессы и средства управления Dropbox оценивались независимым сторонним аудитором, базирующимся в Германии — Ernst & Young GmbH. Эта независимая проверка проводится в соответствии с Международным стандартом по аудиторскому заданию No. 3000 (International Standard on Assurance Engagements No. 3000, ISAE 3000).
В отчет входит подробное описание систем, программ, процессов и средств управления Dropbox, а также процедур проверки нашего независимого аудитора, а еще результаты этой проверки для каждого средства управления. Оценка C5 для Dropbox Business и Dropbox Education предоставляется по запросу отделом продаж или командой поддержки аккаунтов.
* Dropbox Paper не входит в сферу действия отчетов C5.
Dropbox соответствует требованиям соглашений Privacy Shield (программ по защите конфиденциальности), заключенных между ЕС и США и между США и Швейцарией, в порядке, предусмотренном Министерством торговли США относительно сбора, использования и хранения персональных данных, передаваемых в США из стран Евросоюза, Европейской экономической зоны, а также из Швейцарии. Если организация работает в соответствии с принципами Privacy Shield, это значит, что она обеспечивает адекватную защиту личной информации в соответствии с директивой ЕС о защите данных.
Можно просмотреть сертификат Dropbox программы Privacy Shield и подробнее узнать о программе на сайте Privacy Shield.
Генеральный регламент о защите данных ЕС (EU General Data Protection Regulation) 2016/679 — это регламент ЕС, свидетельствующий о значительном изменении в существующей системе обработки личных данных пользователей в ЕС. В этом регламенте представлен ряд новых доработанных требований, которые будут применяться в отношении компаний, обрабатывающих личные данные (в том числе и Dropbox). Генеральный регламент о защите данных вступает в силу 25 мая 2018 года. Он заменит ныне действующую Директиву ЕС 95/46 EC, более известную как Директива ЕС о защите данных. Как и все ответственные компании, Dropbox продолжает разрабатывать и воплощать в жизнь детальные планы по выполнению требований Генерального регламента и будет полностью соответствовать этим требованиям еще до 25 мая 2018 года. Более подробную информацию Вы найдете в этой справочной статье.
Аккаунты Dropbox Business и Dropbox Education предоставляют в пользование клиентам свои службы в соответствии с обязательствами разработчика, обусловленными американским законом о семейных правах на образование и неприкосновенность личной жизни (US Family Education Rights and Privacy Act, FERPA). Образовательные учреждения, в которых обучаются дети младше 13 лет, также могут использовать Dropbox Business и Dropbox Education в соответствии с законом о защите личных сведений детей в Интернете (Children's Online Privacy Protection Act, COPPA), при условии, что они соглашаются с определенными пунктами договора, обязывающими образовательное учреждение получить родительское разрешение на использование наших услуг.
Аккаунты Dropbox Business внесены в списки британской цифровой торговой площадки правительственных закупок облачных услуг (United Kingdom Digital Marketplace for government cloud services procurement). Нас можно найти в списке на сайте UK Digital Marketplace: тариф Dropbox Business Standard, тариф Dropbox Business Advanced и тариф Dropbox Enterprise.
* Dropbox Paper не входит в Британскую цифровую торговую площадку G-Cloud (UK Digital Marketplace G-Cloud).
Dropbox удовлетворяет стандартам безопасности данных индустрии платежных карт (Payment Card Industry Data Security Standard, PCI DSS). Однако аккаунты Dropbox Business, Dropbox Education и Dropbox Paper не предназначены для обработки и хранения информации о транзакциях по платежным картам. Свидетельства соответствия (Attestation of Compliance, AoC) PCI о статусе продавца предоставляет по запросу отдел продаж или команда поддержки аккаунтов .
Системы безопасности компаний, обеспечивающих размещение и обслуживание нашего оборудования, регулярно проходят проверки на соответствие стандартам SOC 1, SOC 2 и/или ISO 27001. В рамках своей программы информационной безопасности Dropbox по крайней мере раз в год проверяет результаты этих проверок или выполняет обзоры безопасности подрядчиков, если отчет о проверке недоступен. Если во время таких проверок или обзоров мы находим подтверждение тому, что данные Dropbox или наших пользователей подвергаются риску, мы работаем вместе с предоставляющей услуги компанией — разбираемся, каков может быть потенциальный ущерб для данных клиентов, и отслеживаем действия, которые компания предприняла для разрешения проблемы, до тех пор пока угроза не будет устранена.
Сертификаты и соответствующие документы можно запросить у представителя Dropbox или у команды поддержки аккаунтов.
