Sikkerhedspolitik- og procedure

Hos CompanYoung er vi opsatte på altid at opretholde et højt sikkerhedsniveau, samt have klare procedurer for behandling af eventuelle sikkerhedshændelser.

Generelt om sikkerhed

Adgangsstyring

Vi tilstræber altid at begrænse medarbejders adgange til systemer til det absolut nødvendige ift. at kunne eksekvere deres job. Når en ny medarbejder starter, eller skifter stilling tildeles denne de nødvendige systemadgange, og ved stillingsskifte revideres adgange.

Derudover afholdes hvert år to årlige compliance check hvor samtlige medarbejders systemadgange gennemgås, mhp. på at sikre ikke alle har adgang.

Ophører en medarbejders ansættelsesforhold, fjernes adgange med det samme.

I alle systemer logges medarbejderens brug af systemet.

Digital sikkerhed på 3. parts tjenester

Alle de digitale værktøjer vi anvender i CompanYoung lever op til "best practice" indenfor sikkerhed. Medarbejderes adgange til disse systemer bliver taget op til revision halvårligt, og minimum to gange om året gennemtvinges en password opdatering til samtlige adgange.

Alle steder hvor det er muligt at anvende 2-factor authentication er det taget i brug.

Digital sikkerhed på egne tjenester

Vores egne tjenester, så som YoungCRM og CYJobAPI, er bygget efter best practice jvf. digitale sikkerhed. Herudover er medarbejdere med dyb adgang til data og filer, særlig instrueret i behandling heraf, samt begrænser adgang. 

Vi lever op til alle kunstens regler vedr. kryptering m.m.

Herunder ses en detaljeret beskrivelse af de foranstaltninger vi har foretaget os.

• Sikker kommunikation (bruger grænseflade)
  Kunden får aldrig direkte adgang til filer eller databaser
  Kommunikationen mellem bruger og CompanYoung systemer er krypteret og beskyttet med TLS-teknologi. Beskyttelsen forhindrer Man-in-the-middle angreb hvor hackere kan opsnuse data imellem server og brugere.

• Minimum af yderside der kan angribes
  CompanYoung platformsdomæner peger ned på vores Elastic Load Balancer (ELB), som sender kommunikationen videre til vore servere. De tilgængelige porte er 80 (http) og 443 (https). Port 80 bruges udelukkende til omdiregering til vores sikre forbindelse over port 443.
  Udover vores hovedservere har vi også en realtidsserver. Den har kun åbent for port 8080. Realtidsserveren bruges til direkte kommunikation til brugere af CompanYoung platforme. Den har ikke adgang til data lageret på CompanYoung platformene.
  Alt kommunikation mellem servere foregår på et undernet som ikke kan tilgåes udefra.

• Særlig kryptering af CPR numre
  CPR numre krypteres ydereligere, kan adgang hertil skal tildeles til den specifikke bruger, således dette er synligt i brugergrænseflade. Denne adgang kan kun tildeles af en CompanYoung medarbejder på kundens opfordring.

• Sikker kommunikation (back end og systemadgang) For at få adgang til CompanYoungs servere, skal man bruge en nøgle som er krypteret. Desuden er kommunikationen låst til CompanYoungs IP.

• Database
  CompanYoungs systemer bruger MySQL som database lagt på en Amazon RDS. RDS'en sørger for løbende sikkerhedskopiering og versionering. Vores database er såkaldt Multi A-Z database, som er spredt på flere zoner. Dvs. at hvis en zone går ned, så kan dataene stadig tilgås idet de er i replikeret i andre zoner.

• Filer
  CompanYoungs systemer anvender Amazon Simple Storage Service (S3) til sikkerhedskopiering af alle systemfiler samt brugerfiler. Disse data sikkerhedskopieres minimum hvert 5. Minut med 99,99999 % dataholdbarhed.

• DDoS-modforanstaltninger
  Vores serverne logger alle forbindelser og ser noget mistænkeligt ud, kommer IP'en i karantæne. Desuden benytter vi AWS' indbyggede DdoS-beskyttelse.

Fysiske sikkerhed

Vi har foretaget de nødvendige foranstaltninger for at sikre den fysiske tilgang til systemer. Devices med dyb adgang, er afgrænset til få fysiske enheder.

Vores kontor er desuden kun tilgængelig ved anvendelse af en personlig nøglebrik, og er aflåst udenfor normal åbningstid.

Skal et device med dyb tilgang tilgås udenfor kontoret, sker dette igennem en VPN forbindelse.

Træning og medarbejdersikkerhed

Alle medarbejdere trænes løbende i sikkerhed. I særlig grad ifm. onboarding af nye medarbejdere, men også løbende.

Derudover eksekveres løbende procedurer.

Medarbejderne er bl.a. instrueret i følgende processer:

• Medarbejderen anvender 2-factor authentication hvor det er muligt
• Medarbejderen skifter password minimum 1 gang halvårligt
• Medarbejderen melder bortkomst af udstyr med det samme
• Medarbejderen er selv medvirkende til at sikre at de kun har de absolut nødvendige adgange
• Medarbejderen anvender kun godkendte enheder til at tilgå systemer, samt sikrer at disse er beskyttet med password
• Medarbejderen melder hvis de er udsat for hacker angreb, virus eller tilsvarende
• Medarbejderen må ikke hente systemet fysisk ned på en enhed medmindre der er givet tilladelse hertil. Dette gælder for USB-lagerenheder, computere, mobile enheder og tilsvarende.
• Medarbejderen må ikke give andre personer, der ikke er godkendt, adgang til systemet.
• Medarbejderen må ikke fjerne en enhed fra arbejdspladsen, medmindre der er givet tilladelse
• Medarbejderen må ikke anvende private enheder til at tilgå systemet.
• Medarbejderen må ikke lade andre tilgå de enheder der tilgår systemet.

Intern og ekstern compliance tjek

Hvert år foretages 2 årlige sikkerheds tjek, og ét årligt eksternt. Huller bliver i forlængelse af disse tjek lukket, og de medarbejdere der ikke er 100% compliant modtager ekstra træning i sikkerhed.

Overvågning

Alle systemer - og ikke mindst adgange - overvåges løbende for til dels at sikre oppetid og tjenesters funktionalitet, men også for at sikre at systemerne ikke misbruges. Hverken af interne eller eksterne personer.

Vi modtager bl.a. notifikationer når der sker:

• Servernedbrud
• Systemnedbrud
• Usædvanlig lang svartid
• Systemfejl
• Spikes i performance/forbrug på servere

Systemet overvåges bl.a. ved hjælp af følgende værktøjer: 

• AWS (Amazon Web Services)
• Statuscake
• New Relic

Samtlige handlinger i vores systemer logges med hhv. person, handling, tidspunkt.

Drift & Backup

Alle systemer som CompanYoung selv driver backes up konstant.

Helt konkret tages der backup og sikkerhedskopier af database og filer, min. 1 gang dagligt, og backup placeres redundant i datacentre placeret i Europa (via Amazon Web Services).

For 3. parts software afhænger det af den enkelte software. Vi tager dog egne backups med jævne mellemrum.

Sikkerhedsprocedure

Vores sikkerhedsprocedure er opbygget således at vi har en række "sikkerhedstriggers", som kan igangsætte en sikkerhedsprocedure. Disse triggers er situationer hvor vi SKAL foretage en handling.

Triggers

Her findes en række triggers som igangsætter en sikkerhedsprocedure.

• Hackerangreb eller anden ulovlig indtrængen
• Bortkomst af udstyr
• Intern misbrug
• Compliance Issue konstateret ifm. intern eller ekstern compliance tjek
• Erhvervsmæssige spionage
• Ændringer i ansættelsesforhold for nøglemedarbejdere
  

Procedure

Vores standard procedure er:

1. Afklar omfanget og stop en eventuel skade
2. Afklar hvorvidt data subjekter skal notificeres, og hvorvidt Datatilsynet skal notificeres
3. Find årsag
4. Løs henvendelse
5. Indsæt fremtidige safe guards, og luk eventuelle sikkerhedshuller
6. Foretage interne foranstaltninger (procedurer, træning o.l.)
7. Vurder hvorvidt vi skal gennemtvinge et password skift