2
Nasze Centrum zostało zaprojektowane tak, aby zagwarantować ciągłość i niezawodność działania powierzonych systemów informatycznych. Asseco Poland S.A. realizuje te założenia poprzez organizację pracy, zespół, technologie oraz zapewnienie bezpieczeństwa na dwóch, zależnych od siebie poziomach: organizacyjnym i technologicznym. 3
Działalność Asseco Poland S.A. w zakresie bezpieczeństwa opiera się na wymienionych poniżej dokumentach, zaleceniach i ustawach. Ponadto wykorzystywane są zalecenia zawarte w metodologii i dokumentach ITIL oraz wybrane zalecenia zawarte w metodologii ITSM. ISO/IEC 27001:2005 CPD Asseco Poland S.A. we Wrocławiu posiada certyfikat ISO/IEC 27001:2005 w zakresie przetwarzania i ochrony danych PN-I-13335-1:1999 Technika informatyczna Wytyczne do zarządzania bezpieczeństwem systemów informatycznych. Pojęcia i modele bezpieczeństwa systemów informatycznych PN-I-02000:2002 Technika informatyczna Zabezpieczenia w systemach informatycznych Terminologia ISO/IEC 17799:2005 Technika informatyczna Techniki bezpieczeństwa Praktyczne zasady zarządzania bezpieczeństwem informacji (na podstawie BS 7799) UOIN Ustawa z dnia 5 sierpnia 2010 r. o ochronie informacji niejawnych (Dz.U. Nr 182, poz. 1228) wraz z rozporządzeniami wykonawczymi do tej ustawy UODO Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. Nr 133, poz. 883 z późniejszymi zmianami) wraz z rozporządzeniami wykonawczymi do tej ustawy UZNK Ustawa z dnia 16 kwietnia 1993 r. o zwalczaniu nieuczciwej konkurencji (Dz.U. Nr 47, poz. 211 z późniejszymi zmianami) UR Ustawa z dnia 29 września 1994 r. o rachunkowości (Dz.U. Nr 121, poz. 591 z późniejszymi zmianami) wraz z rozporządzeniami wykonawczymi do tej ustawy UŚUDE Ustawa z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną (Dz.U. Nr 144, poz. 1204 z późniejszymi zmianami) wraz z rozporządzeniami wykonawczymi do tej ustawy UPA Ustawa z dnia 4 lutego 1994 r. o prawie autorskim i prawach pokrewnych (Dz.U. Nr 24, poz. 83 z późniejszymi zmianami) wraz z rozporządzeniami wykonawczymi do tej ustawy UPE Ustawa z dnia 18 września 2001 r. o podpisie elektronicznym (Dz.U. Nr 130, poz. 1450 z późniejszymi zmianami) wraz z rozporządzeniami wykonawczymi do tej ustawy UOOM Ustawa z dnia 22 sierpnia 1997 r. o ochronie osób i mienia (Dz.U. Nr 114, poz. 740, z późniejszymi zmianami) wraz z rozporządzeniami wykonawczymi do tej ustawy. PN-I-02000:2002 Technika informatyczna Zabezpieczenia w systemach informatycznych Terminologia ISO/IEC 17799:2005 Technika informatyczna Techniki bezpieczeństwa Praktyczne zasady zarządzania bezpieczeństwem informacji (na podstawie BS 7799) 4
Poniżej przedstawiamy opis elementów infrastruktury oraz systemów zapewniających bezpieczeństwo powierzonych środowisk informatycznych. Serwerownia posiada dwie niezależne linie energetyczne. Na obu liniach energetycznych istnieje zapas mocy, który może zostać wykorzystany przy wdrażaniu nowych usług. W razie całkowitego braku zasilania z linii energetycznych, serwerownia dysponuje własnym generatorem prądotwórczym uruchamianym po 20 sekundach od momentu awarii zasilania. Generator jest w stanie zapewniać zasilanie całemu CPD, aż do momentu przywrócenia zasilania zewnętrznego (może on pracować nieprzerwanie, pod pełnym obciążeniem przez okres co najmniej 2 tygodni). Generator jest testowo uruchamiany co 4 tygodnie wraz z pełnym kilkudziesięciominutowym testem pracy pod obciążeniem. Taki układ pozwala zachować stabilną pracę wszystkich systemów informatycznych poprzez zapewnienie ciągłości zasilania. System zasilania jest zbudowany w sposób, który eliminuje pojedynczy punkt awarii. W serwerowni do każdej szafy, w której umieszczony zostanie sprzęt klienta, doprowadzone jest zasilanie z dwóch torów zasilania, po osobnych układach UPS. Serwerownia Asseco Poland S.A. wyposażona jest w szafy klimatyzacji precyzyjnej umożliwiające zachowywanie na ustalonym poziomie wszystkich wymaganych parametrów, czyli temperatury i wilgotności powietrza. Chłodne powietrze rozprowadzane jest pod podłogą techniczną i doprowadzane do szaf, w których instalowany jest sprzęt. Układ jest redundantny i nadmiarowy. 5
Ośrodek CPD położony jest w miejscu o bardzo dobrych właściwościach telekomunikacyjnych. Przez budynek ośrodka przechodzi światłowód ringu SDH Telekomunikacji Polskiej, zapewniający dostęp do sieci wiodącego operatora telekomunikacyjnego w kraju. Infrastruktura sieciowa zapewnia mechanizmy pełnej redundancji począwszy od połączeń telekomunikacyjnych i urządzeń je terminujących (łącz i routerów), przełączników rdzeniowych przez systemy bezpieczeństwa do przełączników dostępowych zapewniających połączenia LAN. Łączność z siecią Internet zrealizowana jest w oparciu o łącza dostarczane przez dwóch niezależnych operatorów telekomunikacyjnych z wykorzystaniem protokołu BGP 4 oraz dwóch niezależnych mediów transmisyjnych (światłowód i fale radiowe). Sposób realizacji styku z siecią Internet a także stosowne umowy z dostawcami łącz pozwalają na elastyczną regulację pasma do Internetu. Poza stykiem z Internetem dostęp do CPD realizowany jest poprzez łącza dedykowane punkt-punkt, łącza komutowane oraz szyfrowane, bezpieczne kanały VPN uniemożliwiające nieautoryzowany dostęp do transmitowanych danych. Sieć CPD podzielona jest na kilka stref logicznych. Każda z nich dedykowana jest dla zasobów o różnych funkcjach i specyfice działania. Strefy sieciowe oddzielone są od siebie za pomocą specjalizowanych urządzeń bezpieczeństwa typu firewall. 6
Centrum Przetwarzania Danych wyposażone jest w system p-poż., w którego skład wchodzą system ostrzegania oraz system gaszenia gazem Inergen3000. Czujniki wykrywające dym znajdują się zarówno w suficie jak również pod podłogą techniczną serwerowni. Wnętrze i najbliższe sąsiedztwo budynku CPD są monitorowane za pomocą systemu telewizji przemysłowej (CCTV). Centrum Przetwarzania Danych wyposażone jest w system kontroli dostępu. Całość podzielona jest na strefy o różnym stopniu bezpieczeństwa warunkującym możliwość dostępu poszczególnych osób. Każda osoba poruszająca się po CPD posiada identyfikator pozwalający na dostęp do poszczególnych stref, przy czym każdorazowe otwarcie drzwi przy użyciu karty jest rejestrowane w centralnym systemie kontroli dostępu. Przy dostępie do pomieszczeń operatorskich oraz serwerowni, oprócz karty wymagany jest indywidualny kod dostępu. Taki sposób eliminuje nieautoryzowany dostęp do pomieszczeń, w których przetwarzane są poufne dane. 7
Fizyczny dostęp do systemu mogą mieć wyłącznie osoby upoważnione przez klienta. Każdorazowy dostęp fizyczny do systemu osób upoważnionych ze strony klienta odbywać się będzie w obecności pracownika Centrum Przetwarzania Danych. Ośrodek posiada centralny system backupu umożliwiający efektywne wykonywanie kopii danych. Dane mogą być składowane w bibliotece taśmowej, ognioodpornym sejfie lub w skrytce bankowej poza CPD. Kolejnymi istotnymi aspektami bezpieczeństwa są dostępność i wydajność środowiska. Te parametry monitorowane są przez zaawansowany system monitorowania infrastruktury IT. Reakcja na zdarzenia, rejestrowane w centralnej konsoli systemu monitorowania, odbywa się zgodnie z procedurami w trybie 24/7/365. 8
Niniejszym potwierdzam, że firma Asseco Poland S.A. z siedzibą w Rzeszowie w ramach umowy z ADP Polska Sp. z o.o., wykonuje usługę z zakresu hostingu infrastruktury informatycznej (...). Asseco zapewnia również dostęp do środowiska przez bezpieczne tunele VPN, dedykowane łącza WAN i Internet. Ponadto w ramach usługi realizowany jest backup danych, udostępnienie macierzy dyskowej oraz monitoring środowiska. Wymienione usługi gwarantują funkcjonowanie systemu przez 7 dni w tygodniu i przez 24 godziny w ciągu doby. (...) Wszystkie postanowienia wynikające z kontraktu zostały zrealizowane terminowo i z należytą starannością. Bazując na naszych doświadczeniach polecamy Asseco Poland S.A. jako wiarygodnego i rzetelnego Partnera w realizacji projektów outsourcingowych. Leszek Fijałkowski Dyrektor Działu Rozwoju Oprogramowania i IT ADP Polska Sp. z o.o. Niniejszym potwierdzam, że firma Asseco Poland S.A. z siedzibą w Rzeszowie w ramach umowy z Drosed S.A., w swoim Centrum Przetwarzania Danych we Wrocławiu wykonuje usługę z zakresu hostingu infrastruktury informatycznej (...). Asseco Poland S.A. zapewnia również dostęp do środowiska przez bezpieczne tunele VPN, dedykowane łącza WAN i sieć Internet. Ponadto w ramach usługi realizowany jest backup danych, udostępnienie zasobów z macierzy dyskowej oraz monitoring środowiska. Wymienione usługi gwarantują funkcjonowanie systemu przez 7 dni w tygodniu i przez 24 godziny w ciągu doby. (...) Wszystkie postanowienia wynikające z kontraktu zostały zrealizowane terminowo i z należytą starannością. Bazując na naszych doświadczeniach polecamy Asseco Poland S.A. jako wiarygodnego i rzetelnego Partnera w realizacji projektów outsourcingowych. Marcin Czupryński Kierownik Projektów Informatycznych Drosed S.A. 9
Bank ze ADP Polska Sp. z o.o. Pepco Sp. z o.o. Drosed S.A. Edison S.A. Open Life Towarzystwo Ubezpiecz cie S.A. Impel S.A.. z o.o. sp.k. Nykredit Bank Polska S.A. Delphi Poland S.A. Piotr i Pawe S.A. 10
11
Asseco Poland S.A. ul. Olchowa 14, 35-322 Rzeszów tel.: +48 17 888 55 55, fax: +48 17 888 55 50 www.asseco.com/pl Kontakt: Centrum Przetwarzania Danych we Wrocławiu ul. Traugutta 1/7, 50-449 Wrocław tel.: +71 370 74 56, fax.: +71 370 74 61 info.cpd@asseco.pl