13/Sv. 041

HR

Službeni list Europske unije

270

L 301/3

SLUŽBENI LIST EUROPSKE UNIJE

17.11.2011.

(1)

Uredbom (EU) br. 211/2011 propisano je da ako se izjave o potpori prikupljaju online, sustav koji se upotrebljava za tu namjenu mora udovoljavati određenim sigurnosnim i tehničkim zahtjevima i mora ga odobriti nadležno tijelo relevantne države članice.

(2)

Sustav za online prikupljanje u smislu Uredbe (EU) br. 211/2011 informacijski je sustav koji se sastoji od softvera, hardvera, okruženja u kojemu je smješten, poslovnih procesa i osoblja za online prikupljanje izjava o potpori.

(3)

U Uredbi (EU) br. 211/2011 određeni su zahtjevi koje sustavi za online prikupljanje moraju ispunjavati kako bi bili odobreni i njome je predviđeno da Komisija treba donijeti tehničke specifikacije za primjenu navedenih zahtjeva.

(4)

U projektu Top 10 iz 2010. u okviru projekta OWASP (Open Web Application Security Project) naveden je pregled najkritičnijih sigurnosnih rizika za web aplikacije kao i alata za rješavanje navedenih rizika; stoga se tehničke specifikacije temelje na nalazima ovog projekta.

(5)

Prilikom primjene tehničkih specifikacija organizatori trebaju zajamčiti da su tijela država članica odobrila sustave za online prikupljanje i trebaju doprinijeti osiguravanju provedbe odgovarajućih tehničkih i organizacijskih mjera potrebnih za ispunjavanje obveza određenih u Direktivi 95/46/EZ Europskog parlamenta i Vijeća (2) u vezi sa sigurnošću aktivnosti obrade u trenutku oblikovanja sustava za obradu i u trenutku same obrade kako bi se očuvala sigurnost i time spriječila svaka neovlaštena obrada i zaštitili osobni podaci od slučajnog ili nezakonitog uništavanja ili slučajnog gubitka, izmjene, neovlaštenog otkrivanja ili pristupa.

(6)

Organizatori trebaju olakšati proces odobravanja uporabom softvera koji je propisala Komisija u skladu s člankom 6. stavkom 2. Uredbe (EU) br. 211/2011.

(7)

Organizatori građanskih inicijativa, kao kontrolori podataka, trebaju prilikom online prikupljanja izjava o potpori primjenjivati tehničke specifikacije određene u ovoj Uredbi kako bi osigurali zaštitu obrađenih osobnih podataka. Ako podatke obrađuje davatelj usluga obrade podataka, organizatori trebaju osigurati da davatelj usluga obrade podataka postupa samo u skladu s napucima organizatora i da primjenjuje tehničke specifikacije određene u ovoj Uredbi.

(8)

U ovoj se Uredbi poštuju temeljna prava i načela ugrađena u Povelju Europske unije o temeljnim pravima, posebno njezin članak 8. u kojem je navedeno da svatko ima pravo na zaštitu osobnih podataka koji se na njega odnose.

(9)

Mjere predviđene ovom Uredbom u skladu su s mišljenjem Odbora uspostavljenog člankom 20. Uredbe (EU) br. 211/2011,

(a)

proveli potpunu procjenu rizika u okviru koje se utvrđuje područje primjene sustava, ističe poslovni učinak u slučaju različitih povreda informacijske sigurnosti, navode prijetnje i osjetljivosti informacijskog sustava, izrađuje dokument o analizi rizika u kojem su također navedene protumjere za sprečavanje takvih prijetnji i pravni lijekovi koji će se poduzeti u slučaju pojave prijetnje i naposljetku sastavlja prioritetni popis poboljšanja;

(b)

oblikovali i proveli mjere za postupanje s rizicima u vezi sa zaštitom osobnih podataka i zaštitom obiteljskog i privatnog života i mjere koje će se poduzeti u slučaju pojave rizika;

(c)

utvrdili rezidualne rizike u pisanom obliku;

(d)

osigurali organizacijska sredstva za zaprimanje povratnih informacija o novim prijetnjama i poboljšanjima sigurnosti.

(1)

ISO/IEC 27002; ili

(2)

„standarda dobre prakse” Foruma za informacijsku sigurnost

za rješavanje sljedećih pitanja:

2.7.1.

Sustav štiti od ubacivanja kao što su ubacivanja uzrokovana strukturiranim jezikom za upite (SQL), laganim protokolom za pristup imeniku (LDAP), jezikom za navigaciju u XML dokumentima (XPath), naredbama operativnog sustava (OS) ili argumentima programa. Za tu je namjenu potrebno najmanje sljedeće:

2.7.2.

Sustav štiti od unakrižnog skriptiranja (XSS). Za tu je namjenu potrebno najmanje sljedeće:

2.7.3.

Sustav ima snažno upravljanje autentikacijom i sjednicom za što je potrebno najmanje sljedeće:

2.7.4.

Sustav nema izravne reference na nesigurne objekte. Za tu je namjenu potrebno najmanje sljedeće:

2.7.5.

Sustav štiti od krivotvorenja zahtjeva između stranica.

2.7.6.

Postavljena je pravilna sigurnosna konfiguracija koja zahtijeva najmanje sljedeće:

2.7.7.

Sustav osigurava kodiranje podataka kako slijedi:

2.7.8.

Sustav ograničava pristup putem URL-a na temelju pristupnih razina i dozvola korisnika. Za tu je namjenu potrebno najmanje sljedeće:

2.7.9.

Sustav upotrebljava dostatnu zaštitu prijenosnog sloja. Za tu su namjenu uvedene sve sljedeće mjere ili mjere barem jednake snage:

2.7.10.

Sustav štiti od neprovjerenih preusmjeravanja i prosljeđivanja.

(a)

datume i vremena prijava i odjava organizatora/administratora;

(b)

podatke o napravljenim sigurnosnim kopijama;

(c)

sve promjene i ažurirane podatke u vezi s administratorom baze podataka.

(a)

kontrola pristupa području u kojem je smještena aplikacija i nadzorni dnevnik;

(b)

fizička zaštita podataka iz sigurnosne kopije od krađe ili slučajnog gubitka;

(c)

postavljanje poslužitelja na kojem je smještena aplikacija u zaštićenom okviru.

2.18.1.

Sustav je smješten na poslužitelju s internetskim sučeljem koji je postavljen u demilitariziranoj zoni (DMZ) i zaštićen vatrozidom.

2.18.2.

Kada postanu dostupne javnosti, relevantne ažurirane verzije i zakrpe vatrozida instaliraju se što je prije moguće.

2.18.3.

Sav dolazni i odlazni promet na poslužitelju (povezanom sa sustavom za online prikupljanje) pregledava se pravilima vatrozida i bilježi. Pravilima vatrozida sprečava se sav promet koji nije potreban za sigurnu uporabu sustava i njegovo upravljanje.

2.18.4.

Sustav za online prikupljanje mora se smjestiti u proizvodnom mrežnom segmentu koji je zaštićen na odgovarajući način i odvojen od segmenata koji se upotrebljavaju za smještaj neproizvodnih sustava kao što su okruženja za razvoj i ispitivanje.

2.18.5.

Uspostavljene su sigurnosne mjere za lokalnu mrežu (LAN) kao što su:

2.19.1.

Uspostavljena je pravilna sigurnosna konfiguracija uključujući elemente navedene u točki 2.7.6.

2.19.2.

Aplikacije rade s najmanjim skupom povlastica potrebnim za rad.

2.19.3.

Pristup administratora upravljačkom sučelju sustava za online prikupljanje ima kratko vremensko ograničenje sjednice (najviše 15 minuta).

2.19.4.

Kada postanu javno dostupne, relevantne ažurirane verzije i zakrpe operativnog sustava, trajanja rada aplikacija na poslužiteljima, aplikacija koje rade na poslužiteljima ili softvera za zaštitu od štetnih programa postavljaju se što je prije moguće.

2.19.5.

Smanjen je rizik da se prilikom autentikacije za pristup sustavu upotrijebi metoda „pass-the-hash”.

2.20.1.

korisnici provode zadatke koji nisu vezani uz održavanje (kao što je uredska automatizacija) s najmanjim skupom povlastica potrebnim za njihovu provedbu;

2.20.2.

kada postanu javno dostupne, relevantne ažurirane verzije i zakrpe operativnog sustava, svih instaliranih aplikacija ili softvera za zaštitu od štetnih programa postavljaju se što je prije moguće.