Efterlevnad av standarder och föreskrifter

ISO-certifieringar

Internationella standardiseringsorganisationen (ISO) har tagit fram en serie internationella standarder för informations- och samhällssäkerhet som hjälper organisationer att utveckla tillförlitliga och innovativa produkter och tjänster. Dropbox har certifierat sina datacenter, system, program, anställda och processer genom ett antal granskningar av en oberoende tredje part, EY CertifyPoint från Nederländerna.

ISO 27001 (ledningssystem för informationssäkerhet)

ISO 27001 är den mest erkända standarden för ledningssystem för informationssäkerhet i världen. Standarderna använder även bästa praxis för säkerhet enligt ISO 27002. För att förtjäna ert förtroende hanterar och förbättrar vi på Dropbox kontinuerligt våra fysiska, tekniska och juridiska kontroller. Vår granskare, EY CertifyPoint, innehar sin ISO 27001-ackreditering från Raad voor Accreditatie (nederländska ackrediteringsrådet). Visa ISO 27001-certifikat för Dropbox för företag och Dropbox Education.

ISO 27017 (molnsäkerhet)

ISO 27017 är en internationell standard för molnsäkerhet som ger riktlinjer för säkerhetskontroller gällande tillhandahållande och användning av molntjänster. I vår guide om delat ansvar beskrivs flera krav på säkerhet, sekretess och efterlevnad som Dropbox och våra kunder kan samarbeta runt. Visa ISO 27017-certifikat för Dropbox Business och Dropbox Education.

ISO 27018 (molnsäkerhet och dataskydd)

ISO 27018 är en internationell standard för sekretess och dataskydd som gäller för molntjänstleverantörer som Dropbox, vilka bearbetar personuppgifter å sina kunders vägnar. Den utgör en utgångspunkt för våra kunder vad gäller vanliga krav eller frågor beträffande föreskrifter och kontrakt. Visa ISO 27018-certifikat för Dropbox Business och Dropbox Education.

ISO 22301 (Business Continuity Management)

ISO 22301 är en internationell standard för ledning av kontinuitet som hjälper organisationer att minska påverkan av störande händelser och agera på rätt sätt när de inträffar genom att minimera eventuella skador. Dropbox system för verksamhetskontinuitet (BCMS) är en del av vår övergripande strategi för riskhantering för att skydda människor och verksamheter under kriser. Visa ISO 22301-certifikat för Dropbox Business och Dropbox Education.

ISO 27701 (Ledningssystem för hantering av personuppgifter)

ISO 27701 är en internationell standard för hantering av sekretessinformation. Standarden ger ett ramverk för att förbättra och utöka systemet för informationssäkerhetshantering under ISO 27001 till ett system för hantering av sekretessinformation (PIMS). Dropbox Business och Dropbox Education har fått ett denna certifiering som personuppgiftsbiträde. Visa ISO 27701-certifikat för Dropbox Business och Dropbox Education.

SOC-rapporter

Service Organization Controls (SOC)-rapporterna, kallade SOC 1, SOC 2 eller SOC 3, är ramverk som etablerats av American Institute of Certified Public Accountants (AICPA) för rapportering om interna kontroller som används inom en organisation. Dropbox har validerat sina system, program, anställda och processer genom ett antal granskningar av en oberoende tredje part, Ernst & Young LLP.

SOC 3 för säkerhet, sekretess, integritet och tillgänglighet

Bestyrkanderapporten SOC 3 omfattar alla fem säkerhetsprinciperna för säkerhet, tillgänglighet, bearbetningsintegritet, sekretess och förtroendetjänster (TSP Section 100). Dropbox-rapporten för allmänt bruk är en övergripande sammanfattning av SOC 2-rapporten och inkluderar den oberoende, utomstående revisorns synpunkter på den effektiva utformningen och driften av våra kontroller. Visa SOC 3-undersökningen för Dropbox Business och Dropbox Education.

SOC 2 för säkerhet, sekretess, integritet och tillgänglighet

SOC 2-rapporten förser kunder med en detaljerad nivå av kontrollbaserat bestyrkande, som omfattar alla fem säkerhetskriterierna för förtroendetjänster: säkerhet, tillgänglighet, behandlingsintegritet och sekretess (TSP Section 100). SOC 2-rapporten inkluderar en detaljerad beskrivning av Dropbox processer och de mer än 100 kontroller vi har på plats för att skydda era saker. I tillägg till vår oberoende tredjepartgranskares åsikt om den effektiva utformningen av och driften för våra kontroller, inkluderar rapporten även granskarens testprocedurer och resultat för varje kontroll. Vår SOC 2-rapport (ibland kallad SOC 2+-rapport) innehåller även en granskad mappning av våra kontroller enligt ISO-standarderna ovan, vilken ger ytterligare transparens till våra kunder. SOC 2-undersökningen för Dropbox för företag och Dropbox Education finns tillgänglig på begäran genom vårt säljteam eller (för befintliga Dropbox Business-kunder) supporten.

SOC 1/SSAE 18/ISAE 3402 (tidigare SSAE 16 eller SAS 70)

SOC 1-rapporten tillhandahåller specifika garantier för kunder som ser Dropbox Business eller Dropbox Education som en viktig del av sitt program för interna kontroller vid ekonomisk rapportering. Dessa specifika garantier används huvudsakligen för våra kunders efterlevnad av Sarbanes-Oxley-lagen (SOX). Den oberoende tredjepartsgranskningen genomförs i enlighet med SSAE 18 (Statement on Standards for Attestation Engagements No. 18) och ISAE 3402 (International Standard on Assurance Engagements No. 3402). Dessa standarder har ersatt den inaktuella SSAE 16 (Statement on Standards for Attestation Engagement No.16) och SAS 70 (Statement on Auditing Standards No. 70). SOC 1-undersökningen för Dropbox Business och Dropbox Education finns tillgänglig på begäran genom vårt säljteam eller (för befintliga Dropbox Business-kunder) supporten.

Cloud Security Alliance: Security, Trust, Assurance, Risk (CSA STAR) Registry

CSA Security, Trust, Assurance, and Risk (STAR) Registry är ett kostnadsfritt, allmänt tillgängligt register som erbjuder ett säkerhetsprogram för molntjänster. Det är ett hjälpmedel där användare kan bedöma säkerheten hos de molnleverantörer de använder just nu eller överväger att teckna avtal med.

Dropbox Business och Dropbox Education har fått både CSA STAR Level 2-certifiering och Level 2-bekräftelse. CSA STAR Level 2 kräver en utvärdering från en oberoende tredje part av våra säkerhetskontroller utförda av EY CertifyPoint (för certifiering) och Ernst & Young LLP (för attestering), grundade på kraven i ISO 27001, SOC 2 Trust Service Criteria och CSA Cloud Controls Matrix (CCM) v.3.0.1. Visa vår certifiering och bekräftelse för CSA STAR Level 2 på CSA website.

HIPAA/HITECH

Dropbox kommer att teckna affärspartneravtal (BAA) med kunder hos Dropbox för företag och Dropbox Education som begär sådana för att kunna följa HIPAA (Health Insurance Portability and Accountability Act) och HITECH (Health Information Technology for Economic and Clinical Health Act). Läs vår guide Kom igång med HIPAA och hjälpcenterartikeln om du vill ha mer information.

Dropbox tillhandahåller en bestyrkanderapport från tredje part, där våra kontroller utvärderas för regelverket för säkerhet, sekretess och anmälan om överträdelser enligt HIPAA/HITECH. Även vår internpraxis och rekommendationer kartläggs för kunder som önskar följa regelkraven för säkerhet och sekretess enligt HIPAA/HITECH med Dropbox för företag och Dropbox Education.

Kunder som vill få dessa dokument ombeds kontakta säljteamet. Om du för närvarande är teamadministratör för Dropbox för företag eller Dropbox Education kan du underteckna BAA elektroniskt på sidan Konto i adminkonsolen.

Observera: möjligheten att underteckna ett elektroniskt affärspartneravtal (BAA) via adminkonsolen finns endast för kunder med bas i USA.

NIST SP 800-171 R2-bekräftelserapport

Amerikanska National Institute of Standards and Technology (NIST) främjar och upprätthåller standarder och riktlinjer för att skydda informationssystem. NIST Special Publication (SP) 800-171 Revision 2 (R2) innehåller riktlinjer för att skydda kontrollerad ej hemligstämplad information (Controlled Unclassified Information, CUI) i icke-federala informationssystem och organisationer. Varje enhet som hanterar eller lagrar amerikansk statlig CUI, såsom forskningsinstitutioner och utbildningssektor, bör efterleva NIST SP 800-171 R2. Dropbox-system, -processer och -kontroller för CUI har validerats av en oberoende tredjepartsgranskare, Ernst & Young LLP.

NIST SP 800-171 R2-rapporten för Dropbox före företag och Dropbox Education är integrerad i SOC 2-rapporten som finns tillgänglig på begäran genom vårt säljteam eller (för befintliga Dropbox Business-kunder)supporten.

*Dropbox Paper omfattas inte av NIST SP 800-171 R2-rapporten.

EU och USA:s Privacy Shield samt Schweiz och USA:s Privacy Shield

Dropbox följer ramverken EU-U.S. och Swiss-U.S. Privacy Shield som framställts av det amerikanska handelsdepartementet angående insamling, användning och lagring av personuppgifter som överförs från EU, Europeiska ekonomiska samarbetsområdet, Storbritannien och Schweiz till USA. Genom att följa principerna i Privacy Shield säkerställer man att en organisation tillhandahåller ett adekvat sekretesskydd enligt GDPR.

Visa Dropbox Privacy Shield-certifiering och läs mer på Privacy Shield-webbplatsen.

EU:s Allmänna dataskyddsförordning (GDPR)

Allmänna dataskyddsförordningen 2016/679, även kallad GDPR, är en förordning i Europeiska unionen som innebär en betydande förändring i det befintliga ramverket för behandling av enskilda personers personliga data inom EU. GDPR introducerade en rad nya eller utökade krav som gäller för företag som Dropbox som behandlar personuppgifter. GDPR trädde i kraft den 25 maj 2018 och ersatte EU:s direktiv 95/46 EG, även känt som Dataskyddsdirektivet. Dropbox uppfyller GDPR vilket innebär att kunder kan använda Dropbox till att möjliggöra deras GDPR-efterlevnad. Läs den här hjälpcenterartikeln för mer information.

EU:s uppförandekod för molntjänster

EU Cloud Code of Conduct (EU:s uppförandekod för molntjänster) är ett frivilligt instrument som gör det möjligt för en molntjänstleverantör, till exempel Dropbox, att uppvisa vårt åtagande för GDPR-efterlevnad. Efter det positiva yttrandet det från Europeiska dataskyddsstyrelsen (EDPB) godkändes EU Cloud Code of Conduct officiellt av den belgiska dataskyddsmyndigheten i maj 2021. Dropbox företag, som har Standard-, Advanced-, Enterprise- och Education-abonnemang för team, har förklarats följa EU Cloud Code of Conduct och tilldelats efterlevnadsmärket på nivå 2, vilket innebär att dessa tjänster har implementerat tekniska, organisatoriska och avtalsrelaterade åtgärder i enlighet med kraven i koden. Mer information om EU Cloud Code of Conduct och Dropbox efterlevnad av koden finns på kodens officiella webbplats.

FDA 21 CFR Part 11

Title 21 i Code of Federal Regulations (CFR) styr livsmedel och läkemedel i USA för Food and Drug Administration (FDA), Drug Enforcement Administration (DEA) och Office of National Drug Control Policy. Del 11 i Title 21 fastställer de kriterier under vilka FDA fastställer elektroniska dokumentationer och signaturer som trovärdiga, pålitliga och i allmänhet jämförbara med pappersdokumentation och handskrivna signaturer på papper.

Se vår Vitbok om Dropbox och FDA 21 CFR del 11 och vår hjälpcenterartikel för ytterligare information om hur Dropbox kan hjälpa er nå efterlevnad med 21 CFR del 11.

PCI DSS

Dropbox följer betalkortbranschens datasäkerhetsstandard (Card Industry Data Security Standard, PCI DSS). Efterlevnadsintyget (PCI Attestation of Compliance) angående vår status som försäljare finns tillgängligt på begäran via vårt säljteam eller (för befintliga Dropbox för företag-kunder) supporten.

Mer information om efterlevnad för Dropbox Business eller Dropbox Education

Efterlevnads- och certifieringsdokument kan beställas genom en Dropbox-säljrepresentant eller (för befintliga Dropbox för företag-kunder) supporten.