Segurtasuna: 360º-ko ikuspegia
2011ko otsailaz geroztik, METAPOSTAk postontziko eta kutxa gotorreko doako zerbitzua eskaintzen die herritarrei. Zerbitzuak ezaugarri bereziak ditu, erabiltzaileek biltegiratutako informazioaren irisgarritasunari, segurtasunari eta babesari dagokienez.
Segurtasuna, datu transmisioan
- METAPOSTAn, mezu edo dokumentu orok jatorri zehatza du: dena baimendutako iturri batetik igortzen da, eta igorle ezagun bat izan behar du nahitaez, ezinezkoa baita mezu edo dokumentu anonimoak banatzea. Horrela, phishing-a edo komunikazioen iruzurrezko manipulazioa saihesten da.
- Dokumentuak igorleetatik bidaltzeko kanal enkriptatuak erabiltzen dira (EDITran, SFTP, HTTPS).
- – Erabiltzailearen eta igorlearen arteko komunikazioak web zerbitzu ziurtatuen bidez egiten dira. Hirugarrenekiko komunikazioetarako eskatzen den gutxieneko protokoloa TLS 1.2 da.
Identitateen segurtasuna
- Erabiltzaileek modu frogagarrian eman behar dute alta METAPOSTAn, haien identifikazioa bermatuko duten hainbat mekanismoren bidez: autentifikazio ziurtagiria eta sinadura elektroniko aitortua, online bankuen web zerbitzu seguruak, eta alta presentziala KZgunearen zentro itunduetan.
- Erabiltzaileak METAPOSTAren zerbitzuetara sartzeko kanalak protokolo estandar seguruetan oinarritzen dira (HTTPS eta TLS 1.2, zerbitzarian), eta bezero aplikazioetako segurtasun eta kontrol neurri gehigarrietan.
- Gure zerbitzuetan igorleekin eta erabiltzaileekin ezarritako komunikazioek gaur egungo Europako lege esparrua (IDAS) errespetatzen dute, sinadura elektronikoei, zigilu elektronikoei, denbora zigiluei, webgunea autentifikatzeko ziurtagiri kualifikatuei, dokumentu elektronikoak gordetzeko estandarrei eta ziurtatutako entrega zerbitzuei buruzko jarraibideak errespetatuz.
- Erabiltzailearen autentifikazioak eIDAS erregelamenduan ezarritako 3 segurtasun mailak errespetatzen ditu: baxua (erabiltzaile izena/pasahitza); nabarmena, faktore bikoitzeko sistemetan oinarrituta (token segurtasuna, PIN-SMSarekin, eta IZENPEren BAKQ ziurtagiria), eta altua (identifikazio mailarik altuena, ziurtagiri kualifikatuetan eta aitortuetan oinarrituta).
Aitortutako identitateak eta sinadurak online baliozkotzen ditu ziurtapen zerbitzuen hornitzaile kualifikatu batek, IZENPEk. IZENPEk baliozkotzeak, sinadurak eta denbora zigiluak bermatzen ditu, Europako arau esparruaren arabera.- Erabiltzailea «erabiltzaile izena/pasahitza» erabiliz autentifikatzea babestu egiten da kontrolatu gabeko sarbideetatik edo indar gordineko erasoetatik, captcha eta kontuaren aldi baterako blokeoa erabiliz. Erabiltzaileak bere baliabide propioak ditu pasahitza birsortzeko, baina beti 1 edo 2 daturen arabera (helbide elektronikoa/mugikorra). Alta emateko prozesuan segurtasunez emanak izango ditu datu horiek, aldez aurretik.
- Administrazioko eta mantentze lanetako barne aplikazioak baimen maila bereiziak dituzten erabiltzaile mugatuen bidez baino ezin dira erabili, eta betiere ziurtagiri kualifikatua edo BAKQ erabiliz.
- Garapen inguruneak ekoizpenaz bestelako datu zentroetan bereizita daude, baina murrizketa eta segurtasun neurri berberak dituzte.
Segurtasuna, biltegiratzean eta babeskopian
Datu zentroa Eusko Jaurlaritzaren bunkerrean eta EJIEren egoitzan dago kokatuta, aktibo-aktibo modu hedatuan.
- Intrusioak detektatzeko eta prebenitzeko ekipoak (IDS/IPS) daude, eta sareak etengabe monitorizatzen dituzte, sistemetako sarbide ez-legitimoak eta DDoS mehatxuak detektatzeko eta saihesteko.
- VLAN banatua, sarea lau mailatan segmentatzeko eta sarbidearen segurtasuna areagotzeko, hainbat suebaki eta atakaren bidez: zerbitzua, biltegiratzea, kudeaketa eta babeskopia.
- Aldian-aldian, kutxa zuriko eta kutxa beltzeko barneko segurtasun auditoriak egiten dira, sistemei eraso egiteko bideak detektatzeko eta zuzentzeko.
- EJIEk datuak prozesatzeko zentro erreplikatu bat du, eta horrek aukera ematen du erabilgarritasun orokor handiko zerbitzua emateko. Gainera, erabilgarritasun handia dago zerbitzu orokorretan, hala nola potentzia elektrikoan (etenik gabeko elikadura sistema, eta multzo elektrogeno bikoitza) eta Interneterako sarbideetan.
- EJIEk badu kontingentzia plan bat, degradazio egoerak edo zerbitzua galtzeko arriskua kudeatzeko aukera ematen duena. Era berean, baditu sistemen erabilgarritasuna eta gaitasuna kudeatzeko zerbitzuak.
Datuak konfidentzialtasun osoz kudeatzen dira: babeskopiak horretarako prestatutako eta sarbide mugatuko sare espezifikoen bidez egiten dira. Babeskopiak bi datu zentrotan egiten dira, kokapen fisiko banatan, sare bidez, euskarriak datu zentrotik kanpo eraman gabe. Segurtasuneko babeskopien euskarriak leku espezifikoetan gordetzen dira; eta kontrola dago, baimendutako langileek besterik sar ez dadin. Sistema berreskuratzeko proba egiten da bi urtetik behin.
ISO ziurtagiriak
EJIEk informazioaren segurtasuna kudeatzeko sistema bat du, BSIk (Bristish Standards Institution) ziurtatua.
- EJIEk ITIL (Information Technology Infrastructure Library) erabiliz eskaintzen ditu bere zerbitzuak. Kudeaketa prozeduren multzo horren helburua da erakundeei informazio teknologietako eragiketen kalitatea eta eraginkortasuna lortzen laguntzea, eta horrek emandako zerbitzuen kudeaketa hoberena ematen du.
- Urteko egun guztietan gau eta eguneko zerbitzuaren kudeaketa, eragiketen eta zerbitzu teknikoaren arloan.
- Zerbitzuaren urteko erabilgarritasun bermatua: %99,97.
- Ziurtagiriak: https://www.ejie.euskadi.eus/transparency-portal/-/transparency-general-interest/
- Gorantz
Erabiltzaileari arreta zuzena emateko zerbitzuak
- METAPOSTAk bermatzen du sistemaren funtzionalitateak aukeratutako hizkuntzan erabili ahalko direla: gaztelaniaz, euskaraz, ingelesez, katalanez, galizieraz, frantsesez edota alemanez.
- Erabiltzailearen Arretarako Zentroaren zerbitzuak harreman zuzena du erabiltzailearekin edo igorlearekin, zalantzei eta arazoei eraginkortasunez erantzuteko.
- Esperientzia zabala, tratamendu pertsonala eta erabiltzaileen arazo eta zalantza nagusiei erantzuteko gaitasuna (adibidez, pasahitzak berreskuratzea).
- Bigarren mailako Erabiltzailearen Arretarako Zentro koordinatua eta espezializatua: METAPOSTA-EJIE-IZENPE. Igorleek modu espezializatuan eta berehalako arretarekin konpon dezakete edozein arazo.
Datu pertsonalak babestea
- Datu Pertsonalak Babesteko eta Eskubide Digitalak Bermatzeko Lege Organikoak (DPBEDBLO) eta DBEOren Europako araudi orokorrak gomendatzen dituzten neurrien arabera egiten da tratamendu guztia. Datuak babesteko politikak nola betetzen diren eta nola kudeatzen diren gainbegiratzeko lana datuen babeserako ordezkariak egiten du: dpo@metaposta.com
- METAPOSTAk datuen segurtasuna bermatzeko behar diren neurri juridiko, tekniko eta antolakuntzakoak hartu ditu. Diseinuan, pribatutasun printzipioari jarraituz jarduten da, aplikazioen operatiborako beharrezkoak diren datu pertsonalak minimizatuz. Erabiltzaile kontu bat sortzeko ezinbesteko datu bakarra zure identifikatzaile pertsonala (IFZ) da, modu frogagarrian emana.
- Urtero egiten da datuen babesari buruzko kanpo auditoretza bat, edozein alderdi tekniko edo antolamenduzko segurtatzearren eta hobetzearren.
- METAPOSTAn biltegiratutako dokumentuak segurtasun maila handienarekin tratatzen dira, eta haien trazabilitatea eta sarbide erregistroa mantentzen da.
- Babeskopien eta datuen berreskurapenaren aldizkako kontrola egiten da, EJIErekin koordinatuta, tratamenduaren arduraduna den aldetik.
- Jaulkitzaile guztiek dituzte zerbitzu kontratu bat eta datuen tratamendurako kontratu espezifiko bat, eta hor zehazten dira tratamenduaren erantzulearen (bezeroa) eta tratamenduaren arduradunaren (METAPOSTA) baldintzak eta erantzukizunak.
- Erabiltzaileen datu pertsonalak oinarrizko funtzionamendu helburuetarako biltegiratzen dira, ez zaizkie hirugarrenei lagatzen, eta erabiltzaileak datuak eskuratzeko, zuzentzeko, ezerezteko eta haien aurka egiteko eskubideak balia ditzake, eskaera bidaliz helbide honetara: lopd@metaposta.com
Kanpoko segurtasun auditoretza
- Urtean behin, gutxienez, METAPOSTAk ekoizte eta garatze inguruneetan dituen zerbitzu eta aplikazioen auditoretza osoa egiten da.
- Hobekuntza puntu guztiek proba inguruneko inpaktuaren azterketa eta test sakona egiten dute, ekoizpenera pasatzea baimendu aurretik.
