IZVEDBENA UREDBA KOMISIJE (EU) št. 1179/2011

z dne 17. novembra 2011

o tehničnih specifikacijah za sisteme spletnega zbiranja v skladu z Uredbo (EU) št. 211/2011 Evropskega parlamenta in Sveta o državljanski pobudi

EVROPSKA KOMISIJA JE –

ob upoštevanju Pogodbe o delovanju Evropske unije,

ob upoštevanju Uredbe (ES) št. 211/2011 Evropskega parlamenta in Sveta z dne 16. februarja 2011 o državljanski pobudi (1) in zlasti člena 6(5) Uredbe,

po posvetovanju z evropskim nadzornikom za varstvo podatkov,

ob upoštevanju naslednjega:

Uredba (EU) št. 211/2011 določa, da mora v primeru, da se izjave o podpori zbirajo na spletu, sistem, ki se uporablja v ta namen, izpolnjevati nekatere varnostne in tehnične zahteve, prav tako pa ga mora potrditi pristojni organ ustrezne države članice.

Sistem spletnega zbiranja, kot ga določa Uredba (EU) št. 211/2011, je informacijski sistem, ki za spletno zbiranje izjav o podpori obsega programsko in strojno opremo, okolje za gostovanje, poslovne procese in osebje.

Uredba (EU) št. 211/2011 določa zahteve, ki jih morajo sistemi spletnega zbiranja izpolnjevati, da so lahko potrjeni. Določa tudi, da mora Komisija sprejeti tehnične specifikacije za izvajanje teh zahtev.

Projekt „Top 10“ iz leta 2010 v okviru projekta OWASP (Open Web Application Security Project) predstavlja najpomembnejša varnostna tveganja za spletne aplikacije in orodja za odpravljanje teh tveganj; tehnične specifikacije zato temeljijo na njegovih ugotovitvah.

Organizatorji morajo pri izvajanju tehničnih specifikacij zagotoviti, da organi držav članic potrdijo sisteme spletnega zbiranja, ter prispevati k zagotavljanju izvajanja ustreznih tehničnih in organizacijskih ukrepov, potrebnih za izpolnjevanje obveznosti glede varnosti obdelave iz Direktive 95/46/ES Evropskega parlamenta in Sveta (2) , in sicer tako pri načrtovanju sistema obdelave kot tudi med samo obdelavo, da se ohrani varnost in tako prepreči kakršna koli nepooblaščena obdelava osebnih podatkov ter da se osebni podatki zavarujejo pred naključnim ali nezakonitim uničenjem ali naključno izgubo, spremembo ali nepooblaščenim razkritjem ali dostopom.

Organizatorji državljanskih pobud morajo kot upravljavci podatkov pri zbiranju izjav o podpori na spletu izvajati tehnične specifikacije iz te uredbe, da se zagotovi varstvo obdelanih osebnih podatkov. Če izvaja obdelavo podizvajalec, morajo organizatorji zagotoviti, da deluje po njihovih navodilih in izvaja tehnične specifikacije iz te uredbe.

Ta uredba spoštuje temeljne pravice in načela Listine Evropske unije o temeljnih pravicah, zlasti člen 8 Listine, ki določa, da ima vsak pravico do varstva osebnih podatkov, ki se nanašajo nanj.

Ukrepi, ki jih določa ta Uredba, so v skladu z mnenjem odbora, ustanovljenega v skladu s členom 20 Uredbe (ES) št. 211/2011 –

SPREJELA NASLEDNJO IZVEDBENO UREDBO:

Člen 1

Tehnične specifikacije iz člena 6(5) Uredbe (EU) št. 211/2011 so določene v prilogi.

Člen 2

Ta uredba začne veljati 20. dan po objavi v Uradnem listu Evropske unije.

Ta uredba je v celoti zavezujoča in se neposredno uporablja v vseh državah članicah.

(1) UL L 65, 11.3.2011, str. 1.

(2) UL L 281, 23.11.1995, str. 31.

PRILOGA

1. TEHNIČNE SPECIFIKACIJE ZA IZVAJANJE ČLENA 6(4) UREDBE (EU) št. 211/2011

Da se prepreči avtomatska predložitev izjave o podpori prek sistema, mora podpisnik pred oddajo svoje izjave o podpori opraviti ustrezen postopek preverjanja v skladu s trenutno prakso. Eden od možnih postopkov preverjanja je uporaba močnega preskusa „captcha“.

2. TEHNIČNE SPECIFIKACIJE ZA IZVAJANJE ČLENA 6(4)(b) UREDBE (EU) št. 211/2011

Standardi informacijske varnosti

2.1 Organizatorji predložijo dokumentacijo, iz katere je razvidno, da izpolnjujejo zahteve standarda ISO/IEC 27001, razen zahteve glede sprejetja standarda. V zvezi s tem morajo:

(a) opraviti popolno oceno tveganja, v okviru katere je opredeljeno področje uporabe sistema, pojasnjen poslovni učinek v primeru različnih kršitev informacijske varnosti, navedene grožnje in ranljive točke informacijskega sistema, pripravljen dokument o analizi tveganja, ki tudi navaja ukrepe za izogibanje takim grožnjam in ukrepe, ki bodo sprejeti, če se pojavi grožnja, pripravljen pa je tudi prednostni seznam izboljšav;

(b) pripraviti in izvesti ukrepe za obravnavo tveganj v zvezi z varstvom osebnih podatkov in zaščito družinskega in osebnega življenja ter ukrepe, ki bodo sprejeti, če se pojavi tveganje;

(c) pisno opredeliti preostala tveganja;

(d) zagotoviti organizacijska sredstva za zagotavljanje povratnih informacij glede novih groženj in izboljšanja varnosti.

2.2 Organizatorji izberejo za nadzor varnosti glede na analizo tveganja iz točke 2.1.(a) enega od naslednjih standardov:

1. ISO/IEC 27002 ali

2. standard najboljše prakse, ki ga je pripravil Forum za informacijsko varnost za obravnavo naslednjih vprašanj: (a) ocen tveganj (priporoča se standard ISO/IEC 27005 ali druga ustrezna posebna metoda za oceno tveganj); (b) fizične zaščite in zaščite okolja; (c) varovanja človeških virov; (d) upravljanja sporočanja in poslovanja; (e) standardnih ukrepov za nadzor dostopa, poleg tistih, ki so določeni v tej izvedbeni uredbi; (f) nabave, razvoja in vzdrževanja informacijskih sistemov; (g) obvladovanja incidentov na področju informacijske varnosti; (h) ukrepov za odpravljanje in blažitev varnostnih lukenj v informacijskih sistemih, zaradi katerih bi lahko prišlo do uničenja, naključne izgube, spremembe ter nepooblaščenega razkritja ali dostopa do obdelanih osebnih podatkov; (i) skladnosti; (j) varnosti računalniških omrežij (priporočata se ISO/IEC 27033 ali SoGP).

Uporaba teh standardov je lahko omejena na dele organizacije, ki so povezani s sistemom spletnega zbiranja. Varnost na področju človeških virov se lahko na primer omeji na osebje, ki ima fizični ali mrežni dostop do sistemov spletnega zbiranja, fizična in okoljska varnost pa sta lahko omejeni na zgradbe, kjer sistem gostuje.

Funkcionalne zahteve

2.3 Sistem spletnega zbiranja je spletna aplikacija, razvita za namen zbiranja izjav o podpori za določeno državljansko pobudo.

2.4 Če so za upravljanje sistema potrebne različne vloge, se vzpostavijo različne ravni nadzora dostopa v skladu z načelom najmanjših potrebnih pravic.

2.5 Javno dostopni elementi se jasno ločijo od elementov, povezanih z upravljanjem. Branje informacij, ki so na voljo v javno dostopnem delu sistema, se ne omejuje z nadzorom dostopa. To velja tudi za informacije o pobudi in elektronski obrazec za izjavo o podpori. Podpis v podporo pobudi je mogoč samo prek tega javno dostopnega dela.

2.6 Sistem ne dovoljuje podvajanja izjav o podpori.

Varnost aplikacije

2.7 Sistem je ustrezno zaščiten pred znanimi pomanjkljivostmi in napadi. Zato mora med drugim izpolnjevati naslednje zahteve:

2.7.1 Sistem varuje pred vrivanjem, na primer poizvedbami s strukturiranim povpraševalnim jezikom za delo s podatkovnimi bazami (SQL), lahkim protokolom za dostop do imenikov (LDAP), poizvedovalnim jezikom Xpath, ukazi operacijskega sistema ali argumenti programa. V ta namen se zahteva vsaj naslednje: (a) vsi vnosi uporabnikov se preverijo; (b) preverjanje se izvaja vsaj z logiko na strežniški strani; (c) uporaba tolmačev temelji na jasnem ločevanju med nezanesljivimi podatki ter ukazom ali poizvedbo. Za klice SQL to pomeni uporabo vezanih spremenljivk v vseh pripravljenih trditvah in shranjenih postopkih ter izogibanje dinamičnemu poizvedovanju.

2.7.2 Sistem varuje pred pisanjem skozi spletišče (XSS). V ta namen se zahteva vsaj naslednje: (a) preveri se varnost vseh vnosov uporabnikov, ki se pošljejo nazaj na brskalnik (z validacijo vnosov); (b) da se vneseni podatki vključijo v izhodno stran, je potreben izhod iz vnosne strani; (c) z ustreznim kodiranjem vnosov se zagotovi, da se ti vnosi v brskalniku vedno obravnavajo kot besedilo. Aktivnih vsebin ni.

2.7.3 Sistem uporablja strogo avtentikacijo in upravljanje sej, zato se zahteva vsaj naslednje: (a) Poverilnice so pri hrambi vedno zavarovane z zgoščevanjem ali šifriranjem. Tveganje, da bi se pri avtentikaciji uporabila metoda „pass-the-hash“ se zmanjša. (b) Poverilnic ni mogoče uganiti ali prepisati na podlagi morebitno pomanjkljivih funkcij za upravljanje računa (npr. ustvarjanja računa, spremembe gesla, priklica gesla, šibkih identifikatorjev seje). (c) Identifikatorji seje in podatki o seji niso izpostavljeni v internetnem naslovu (URL). (d) Identifikatorji seje niso občutljivi na podtikanje. (e) Identifikatorji seje so časovno omejeni, kar zagotavlja odjavo uporabnikov. (f) Identifikatorji seje se po uspešni prijavi ne ponovijo. (g) Gesla, identifikatorji seje in druge poverilnice se pošiljajo samo prek protokola TLS. (h) Skrbniški del sistema je zaščiten. Če je zaščiten s šibko avtentikacijo uporabnikov, mora imeti geslo vaj 10 znakov, od katerih mora biti vsaj ena črka, številka in posebni znak. Lahko se uporabi tudi avtentikacija z dvema avtentikacijskima elementoma. Če se uporablja šibka avtentikacija, vključuje dvostopenjski mehanizem preverjanja za dostop do skrbniškega dela sistema prek interneta, pri čemer se edini avtentikacijski element okrepi z drugimi načini avtentikacije, na primer z enkratno frazo/kodo za dostop, ki se pošlje prek sporočila SMS, ali nesimetrično šifriranim naključnim izzivom, ki se dešifrira z organizatorjevim/skrbnikovim zasebnim ključem, ki ga sistem ne pozna.

2.7.4 Sistem nima neposrednih referenc na nevarne objekte. V ta namen se zahteva vsaj naslednje: (a) pri neposrednih referencah na vire z omejenim dostopom aplikacija preveri, ali ima uporabnik pravico dostopa do zahtevanega vira; (b) pri posrednih referencah je preslikava v neposredno referenco omejena na vrednosti, ki so dovoljene za trenutnega uporabnika.

2.7.5 Sistem varuje pred medspletnim ponarejanjem spletnih zahtev.

2.7.6 Vzpostavljena je ustrezna varnostna konfiguracija, ki zahteva vsaj naslednje: (a) vsa programska oprema je ažurna, tudi operacijski sistem, spletni/programski strežnik, sistem za upravljanje podatkovnih baz (DBMS), aplikacije ter vse kodne knjižnice; (b) nepotrebne funkcije operacijskega sistema in spletnega/programskega strežnika so onemogočene, odstranjene ali sploh niso nameščene; (c) privzeta gesla za račune se spremenijo ali onemogočijo; (d) vzpostavi se upravljanje napak, da se prepreči uhajanje informacij prek sledi skladov in drugih preveč informativnih obvestil o napaki; (e) konfiguracija varnostnih nastavitev razvojnih okvirov in knjižnic je skladna z dobrimi praksami, na primer smernicami OWASP.

2.7.7 Sistem zagotavlja naslednje šifriranje osebnih podatkov: (a) osebni podatki v elektronski obliki se pri hrambi ali prenosu pristojnim organom držav članic v skladu s členom 8(1) Uredbe (EU) št. 211/2011 šifrirajo, pri čemer se ključi obravnavajo in shranjujejo ločeno; (b) v skladu z mednarodnimi standardi se uporabljajo močni standardni algoritmi in močni ključi. Vzpostavljeno je upravljanje ključev; (c) gesla so razpršena z močnim standardnim algoritmom, doda pa se jim tudi ustrezen enkratni dodatek, t. i. „salt“; (d) vsi ključi in gesla so zaščiteni pred nedovoljenim dostopom.

2.7.8 Sistem omejuje dostop prek URL glede na dovoljeno raven dostopa in uporabniško pravico. V ta namen se zahteva vsaj naslednje: (a) če se uporabljajo zunanji varnostni mehanizmi za avtentikacijo in preverjanje avtorizacij dostopa do strani, morajo biti pravilno konfigurirani za vsako stran; (b) če se uporablja zaščita na ravni kode, mora biti vzpostavljena za vsako zahtevano stran.

2.7.9 Sistem uporablja ustrezno zaščito prenosne ravni (TLS). V ta namen se uporabljajo naslednji ukrepi ali vsaj primerljivo močni ukrepi. (a) sistem zahteva za dostop do občutljivih virov najnovejšo različico protokola, ki omogoča varno internetno povezavo (HTTPS), z uporabo veljavnih certifikatov, ki niso potekli ali bili preklicani in ustrezajo vsem domenam, ki jih uporablja stran; (b) sistem vsem občutljivim piškotkom dodeli zastavico „varno“; (c) strežnik ponudnika TLS konfigurira tako, da podpira samo tiste šifrirne algoritme, ki so skladni z dobrimi praksami. Uporabniki so obveščeni, da morajo v svojem brskalniku omogočiti podporo TLS.

2.7.10 Sistem varuje pred nedovoljenim preusmerjanjem in posredovanjem.

Varnost podatkovnih baz in neokrnjenost podatkov

2.8 Tudi če spletni sistemi zbiranja, ki se uporabljajo za različne državljanske pobude, uporabljajo isto strojno opremo in operacijski sistem, si ne delijo nobenih podatkov, kar velja tudi za poverilnice za dostop/šifriranje. To se odraža tudi v oceni tveganja in izvedenih protiukrepih.

2.9 Tveganje, da bi se pri avtentikaciji v podatkovno bazo uporabila metoda „pass-the-hash“ se zmanjša.

2.10 Do podatkov podpisnikov lahko dostopa le skrbnik podatkovne baze/organizator.

2.11 Skrbniške poverilnice, osebni podatki podpisnikov in njihove varnostne kopije se zavarujejo z močnimi šifrirnimi algoritmi v skladu s točko 2.7.7.(b). Podatki o tem, v kateri državi se bodo štele izjave o podpori, datumu predložitve izjave o podpori in jeziku, v katerem je podpisnik izpolnil izjavo, se lahko v sistemu hranijo v nešifrirani obliki.

2.12 Podpisniki lahko dostopajo do podatkov samo medtem, ko izpolnjujejo obrazec za izjavo o podpori. Ko je izjava o podpori poslana, je seja zaključena in podatki niso več dostopni.

2.13 Osebni podatki podpisnikov, vključno z varnostnimi kopijami, so v sistemu na voljo samo v šifrirani obliki. Za pregled ali potrjevanje podatkov s strani nacionalnih organov v skladu s členom 8 Uredbe (EU) št. 211/2011, lahko organizatorji izvozijo šifrirane podatke v skladu s točko 2.7.7(a).

2.14 Podatki, vneseni v izjavo o podpori, se ne shranjujejo posebej; ko podpisnik v izjavo vnese vse potrebne podatke in potrdi svojo odločitev o podpori pobudi, sistem uspešno shrani v podatkovno bazo vse podatke, v primeru napake pa se ne shrani nič. Sistem uporabnika obvesti, ali je bila njegova zahteva uspešna.

2.15 Sistem za upravljanje podatkovnih baz (DBMS) je ažuren, v primeru novih groženj se stalno nameščajo varnostni popravki.

2.16 Vzpostavljeni so dnevniki aktivnosti sistema. Sistem omogoča pripravo nadzornih dnevnikov, ki beležijo izjeme in druge dogodke, pomembne za varnost, naštete spodaj, in njihovo hrambo, dokler se podatki ne uničijo v skladu s členom 12(3) ali (5) Uredbe (EU) št. 211/2011. Dnevniki so ustrezno zavarovani, na primer tako, da se hranijo na šifriranih nosilcih. Organizatorji/skrbniki jih redno preverjajo, da bi odkrili morebitne sumljive dejavnosti. Dnevniki vsebujejo vsaj:

(a) datume in čase prijav organizatorjev/skrbnikov v sistem in njihovih odjav iz sistema;

(b) podatke o varnostnih kopijah;

(c) vse spremembe in posodobitve glede skrbnika podatkovnih baz.

Varnost infrastrukture – fizična nastavitev, omrežna infrastruktura in strežniško okolje

2.17 Fizična varnost

Ne glede na vrsto gostovanja je računalnik, ki gosti aplikacijo, ustrezno zavarovan, kar zagotavlja:

(a) nadzor dostopa do območja gostovanja in nadzorni dnevnik;

(b) fizično varstvo podatkov na varnostnih kopijah pred krajo in naključno izgubo;

(c) namestitev strežnika, ki gosti aplikacijo, v varno strežniško omaro.

2.18 Zanesljivost omrežij

2.18.1 Sistem gostuje na strežniku, povezanem na internet, nameščenim na demilitariziranem območju (DMZ) in zaščitenim s požarnim zidom.

2.18.2 Ko postanejo ustrezne posodobitve in varnostni popravki požarnega zida javno dostopni, se namestijo takoj, ko je mogoče.

2.18.3 Ves prihodni in odhodni promet na strežniku (povezan s sistemi spletnega zbiranja) se preveri s pravili požarnega zida in zabeleži. Pravila požarnega zida zavrnejo kakršen koli promet, ki ni potreben za varno uporabo in upravljanje sistema.

2.18.4 Sistem spletnega zbiranja mora gostovati na ustrezno zaščitenem segmentu produkcijskega omrežja, ki je ločen od segmentov, uporabljenih za gostovanje neprodukcijskih sistemov, kot so razvojna ali testna okolja.

2.18.5 Vzpostavljeni so varnostni ukrepi krajevnega omrežja (LAN), in sicer: (a) seznam dostopa Layer 2 (L2) / varnost portnega stikala; (b) neuporabljeni porti stikala se onemogočijo; (c) demilitarizirano območje je na virtualnem krajevnem omrežju (VLAN)/LAN; (d) na nepotrebnih portih ni omogočeno snopljenje L2.

2.19 Varnost operacijskega sistema in spletnega/programskega strežnika

2.19.1 Vzpostavljena je ustrezna varnostna konfiguracija, ki vključuje tudi elemente iz točke 2.7.6.

2.19.2 Aplikacije delujejo z najmanjšim možnim nizom potrebnih pravic.

2.19.3 Skrbniški dostop do upravljavskega vmesnika sistemov spletnega zbiranja ima kratko časovno omejitev seje (največ 15 minut).

2.19.4 Ko postanejo ustrezne posodobitve in varnostni popravki operacijskega sistema, trajanja izvajanja aplikacij, aplikacij, ki potekajo na strežnikih, ali zaščitne programske opreme javno dostopni, se namestijo takoj, ko je mogoče.

2.19.5 Tveganje, da bi se pri avtentikaciji v sistem uporabila metoda „pass-the-hash“ se zmanjša.

2.20 Varnost organizatorjev strank

Da se zagotovi varnost od začetka do konca, sprejmejo organizatorji ustrezne ukrepe, da zagotovijo varnost odjemalne aplikacije/naprave, ki jo uporabljajo za upravljanje sistemov spletnega zbiranja, na primer:

2.20.1 Uporabniki izvajajo naloge, ki se ne nanašajo na vzdrževanje (na primer pisarniško avtomatizacijo), z najmanjšim možnim nizom pravic, ki so potrebne za izvajanje.

2.20.2 Ko postanejo ustrezne posodobitve in varnostni popravki operacijskega sistema, nameščenih aplikacij ali zaščitne programske opreme javno dostopni, se namestijo takoj, ko je mogoče.

3. TEHNIČNE SPECIFIKACIJE ZA IZVAJANJE ČLENA 6(4)(b) UREDBE (EU) št. 211/2011

3.1 Sistem zagotavlja možnost, da se za vsako državo članico izvozi poročilo, ki navaja pobudo in osebne podatke podpisnikov, ki jih preverijo pristojni organi navedene države članice.

3.2 Izvoz izjav o podpori je mogoč v obliki iz Priloge III Uredbe št. 211/2011. Sistem lahko poleg tega omogoča izvoz izjav o podpori v skupno uporabnem formatu, na primer XML.

3.3 Izvožene izjave o podpori so označene z omejeno distribucijo zadevnim državam članicam ter kot osebni podatki.

3.4 Elektronski prenos izvoženih podatkov državam članicam je od začetka do konca zaščiten pred prisluškovanjem s šifriranjem.