Przed opisaniem naszych opcji logowania musimy zrozumieć, że w naszej platformie istnieją dwie różne aplikacje:
- Aplikacja zgłaszania nieprawidłowości (Whistleblowing app)
- Aplikacja do zarządzania sprawami (Case management app)
Poziom aplikacji zgłaszania nieprawidłowości
Nasza polityka zakłada minimalizację logowania w aplikacji zgłaszania nieprawidłowości, ponieważ musimy chronić sygnalistów.
Dlatego domyślnie nie posiadamy żadnej funkcji zbierania logów na tym poziomie:
Nie zbieramy cyfrowych śladów, takich jak:
- adresy IP, pliki cookie, metadane urządzeń, profile w mediach społecznościowych, historię zakupów online, zapytania w wyszukiwarkach, dane lokalizacyjne, dane z rejestrów publicznych, aktywność na forach, dane z chmur obliczeniowych, aktywność w aplikacjach mobilnych, historię przeglądania w e-commerce, dane z usług e-mail w chmurze, profile w grach online, dane GPS, dane biometryczne z urządzeń, dane ze smart home, interakcje z asystentami głosowymi, historię przeglądania i pobrane treści itp.
- Nie używamy skryptów, które mogłyby potencjalnie ujawnić tożsamość sygnalistów.
- Nie stosujemy plików cookie ani podobnych technologii.
Minimalny log zawiera tylko zdarzenia istotne dla zespołów reagujących, aby mogły działać na czas:
- rejestrację zgłoszenia,
- komentarze dodane przez sygnalistów,
- przesyłanie plików przez sygnalistów.
Należy przyznać, że mimo iż nie zbieramy żadnych danych na poziomie aplikacji, nadal istnieją logi techniczne na poziomie Web Application Firewall (WAF) oraz serwera WWW. Jednak zadbaliśmy o to, aby:
- dostęp do nich mieli wyłącznie członkowie zarządu,
- nie istniała możliwość powiązania zdarzeń związanych ze zgłoszeniem z zapisanymi logami,
- nie były przechowywane przez nas i były automatycznie usuwane przez zewnętrznych dostawców po upływie określonego czasu.
Poziom aplikacji do zarządzania sprawami
Nasza polityka zakłada maksymalizację logowania w aplikacji do zarządzania sprawami, ponieważ musimy chronić poufność danych i integralność platformy.
W tym przypadku zbieramy wszystko, co jest możliwe: adresy IP, pliki cookie, skrypty, akcje użytkowników itd.
Rodzaje logów:
- Log aktywności w aplikacji
- Dostępny z poziomu interfejsu użytkownika dla wszystkich użytkowników zarządzających sprawami
- Pokazuje działania użytkowników i operacje na sprawach / zadaniach / plikach
- Wyświetla tylko nazwę użytkownika i podjęte działania
- Log audytora / administratora
- Dostępny w interfejsie dla użytkowników z wyższym poziomem dostępu
- Rejestruje większość działań użytkowników
- Wykorzystywany także przez nasz zespół wsparcia
- Zawiera nazwę użytkownika, adresy IP, lokalizacje, sesje, wizyty, działania
- Log aplikacji backendowej
- Niedostępny dla użytkowników platformy
- Używany przez zespół techniczny do rozwiązywania problemów, poprawy wydajności i rozwoju kodu
- Wykorzystywany przez zespół ds. bezpieczeństwa podczas incydentów bezpieczeństwa informacji lub samooceny
- Logi narzędzi bezpieczeństwa (np. WAF)
- Niedostępne dla użytkowników platformy
- Wykorzystywane przez zespół ds. bezpieczeństwa do zarządzania bezpieczeństwem informacji
- Zintegrowany log infrastruktury
- Niedostępny dla użytkowników platformy
- Wykorzystywany przez zespoły wsparcia, techniczne i ds. bezpieczeństwa
- Skonsolidowany log zdarzeń bezpieczeństwa (SIEM)
- Niedostępny dla użytkowników platformy
- Wykorzystywany przez zespoły wsparcia, techniczne i ds. bezpieczeństwa
W kontekście zarządzania danymi w systemie zarządzania sprawami, logi są przechowywane przez 12 miesięcy lub do końca umowy, jeśli nastąpi to wcześniej. Taki okres retencji pozwala na spełnienie wymogów zgodności, a jednocześnie minimalizuje ryzyko niepotrzebnego przechowywania danych. Praktyka ta wpisuje się w zasady minimalizacji danych oraz ograniczenia celu, które są kluczowe w nowoczesnym podejściu do zarządzania zgodnością.