Η ασφάλεια είναι ευθύνη της Διοίκησης. Διαθέτουμε εγκεκριμένο πλαίσιο πολιτικών — Ασφάλεια Πληροφοριών, Επιχειρησιακή Συνέχεια, Ανάκαμψη από Καταστροφή & Διαχείριση Περιστατικών, Ασφαλής Ανάπτυξη & Έκδοση Λογισμικού, Ευαισθητοποίηση & Εκπαίδευση — με ορισμένο Υπεύθυνο Ασφάλειας (Security Officer). Οι πολιτικές αναθεωρούνται τουλάχιστον ετησίως και κάθε φορά που αλλάζουν οι κίνδυνοι ή οι κανονισμοί, και κάθε εργαζόμενος και συνεργάτης δηλώνει εγγράφως ότι τις έχει διαβάσει και τις αποδέχεται.

Το Intersurea Hub παρέχεται με ένα από δύο μοντέλα, που συμφωνείται με κάθε πελάτη. Στη φιλοξενία από εμάς, η εφαρμογή λειτουργεί σε υποδομή cloud εντός της Ευρωπαϊκής Ένωσης, σε κέντρα δεδομένων πιστοποιημένα κατά ISO/IEC 27001, και εμείς είμαστε υπεύθυνοι για τη λειτουργία, την παρακολούθηση, τα αντίγραφα ασφαλείας και την ανάκαμψη. Στη φιλοξενία από τον πελάτη, η εφαρμογή και όλα τα δεδομένα εγκαθίστανται στη δική του υποδομή και τα διαχειρίζονται αποκλειστικά οι διαχειριστές του· δεν έχουμε καμία πρόσβαση στο περιβάλλον παραγωγής, και παραδίδουμε κάθε νέα έκδοση ως ελεγμένο πακέτο με οδηγίες εγκατάστασης και επαναφοράς. Σε κάθε περίπτωση, η κατανομή ευθύνης καταγράφεται γραπτά.

Η πρόσβαση δίνεται με την αρχή των ελάχιστων απαραίτητων δικαιωμάτων και της «ανάγκης γνώσης», μέσα από τεκμηριωμένη διαδικασία για την πρόσληψη, την αλλαγή ρόλου και την αποχώρηση. Η πολυπαραγοντική αυθεντικοποίηση (MFA) είναι υποχρεωτική σε κάθε διαχειριστική και απομακρυσμένη πρόσβαση, οι κωδικοί φυλάσσονται σε εταιρικό διαχειριστή κωδικών, και τα δικαιώματα ανασκοπούνται περιοδικά — συχνότερα για τους προνομιακούς λογαριασμούς. Η εργασία γίνεται μόνο από εταιρικές συσκευές, και οι επικοινωνίες είναι κρυπτογραφημένες (HTTPS/TLS).

Αναπτύσσουμε σύμφωνα με τα πρότυπα OWASP (Top 10:2025, Application Security Verification Standard, API Security Top 10). Ο κώδικας φυλάσσεται σε προστατευμένα αποθετήρια με πλήρη ιστορικό αλλαγών· κάθε αλλαγή ελέγχεται από δεύτερο πρόσωπο πριν ενσωματωθεί, και αυτόματοι έλεγχοι εξετάζουν τον κώδικα, τις βιβλιοθήκες τρίτων και την πιθανή διαρροή μυστικών. Τα περιβάλλοντα ανάπτυξης, δοκιμών και παραγωγής είναι διακριτά, και δεδομένα παραγωγής δεν χρησιμοποιούνται ποτέ σε ανάπτυξη ή δοκιμές. Οι ευπάθειες διορθώνονται σε προκαθορισμένες προθεσμίες ανάλογα με την κρισιμότητά τους.

Κάθε αλλαγή καταγράφεται και ακολουθεί διαδικασία ανάλογη του τύπου της. Τα αιτήματα αλλαγής των πελατών υποβάλλονται και εγκρίνονται από τους ίδιους μέσα από την ενότητα «Change Request» του Intersurea Hub, με ιχνηλασιμότητα από την αξιολόγηση έως την παράδοση. Οι δικές μας βελτιώσεις περνούν από αξιολόγηση κινδύνου, έλεγχο από δεύτερο πρόσωπο, δοκιμές εκτός παραγωγής και σχέδιο επαναφοράς, και οι πελάτες ενημερώνονται με σημειώσεις έκδοσης. Οι τυποποιημένες αλλαγές χαμηλού κινδύνου, όπως οι ενημερώσεις ασφαλείας, ακολουθούν προεγκεκριμένη διαδικασία· οι επείγουσες διορθώσεις καταγράφονται αμέσως και εγκρίνονται εκ των υστέρων σε σύντομο, καθορισμένο χρόνο· και οι νέες εκδόσεις λογισμικού τρίτων αξιολογούνται και δοκιμάζονται πριν εφαρμοστούν. Όταν μια αλλαγή αφορά νέο υπεργολάβο επεξεργασίας προσωπικών δεδομένων, ζητάμε προηγούμενη έγκριση του πελάτη.

Οι διαχειριστές των πελατών μας μπορούν να αναφέρουν ένα περιστατικό απευθείας μέσα από το Intersurea Hub (ενότητα «Security Incidents») και να παρακολουθούν την πορεία του βήμα προς βήμα, με πλήρες ιστορικό, σχόλια και αποδεικτικά στοιχεία· η ομάδα μας ειδοποιείται αμέσως με κάθε νέα αναφορά. Θέματα ασφάλειας που φτάνουν από άλλο κανάλι — αίτημα υποστήριξης, email ή τηλέφωνο — κλιμακώνονται αμέσως στον Υπεύθυνο Ασφάλειας.

Κάθε περιστατικό ταξινομείται σε τέσσερα επίπεδα σοβαρότητας και αντιμετωπίζεται με τεκμηριωμένη διαδικασία: ανίχνευση, ανάλυση, περιορισμός, εξάλειψη, αποκατάσταση και αξιοποίηση των διδαγμάτων, με διατήρηση των αποδεικτικών στοιχείων. Ειδοποιούμε τον πελάτη εντός 1 ώρας από την επιβεβαίωση ενός περιστατικού που τον αφορά — ή αυστηρότερα, αν το ορίζει η σύμβαση — ώστε να μπορεί να τηρήσει τις προθεσμίες του DORA, και ως εκτελούντες την επεξεργασία ενημερώνουμε χωρίς αδικαιολόγητη καθυστέρηση για κάθε παραβίαση προσωπικών δεδομένων, όπως ορίζει ο GDPR. Για τα σοβαρά περιστατικά ακολουθεί ανασκόπηση με αιτία και διορθωτικές ενέργειες.

Για τις υπηρεσίες που φιλοξενούμε διαθέτουμε σχέδιο επιχειρησιακής συνέχειας και ανάκαμψης από καταστροφή, με στόχους ανάκαμψης που συμφωνούνται με κάθε πελάτη. Τα αντίγραφα ασφαλείας είναι αυτοματοποιημένα, κρυπτογραφημένα και φυλάσσονται χωριστά από το περιβάλλον παραγωγής, η επαναφορά τους δοκιμάζεται τακτικά και η ανάκαμψη από καταστροφή ελέγχεται ετησίως. Οι υπηρεσίες παρακολουθούνται συνεχώς ως προς τη διαθεσιμότητα και τα γεγονότα ασφάλειας, υπάρχουν τεκμηριωμένες οδηγίες λειτουργίας, και κάθε κρίσιμη εργασία μπορούν να την εκτελέσουν τουλάχιστον δύο εκπαιδευμένα άτομα — ώστε η υπηρεσία να μην εξαρτάται από ένα πρόσωπο.

Μέσα από το Issue Tracking του Intersurea Hub οι χρήστες μας υποβάλλουν σφάλματα, προτάσεις βελτίωσης, αιτήματα νέων δυνατοτήτων ή ερωτήματα, με προτεραιότητα και στιγμιότυπα οθόνης που μπορούν να σημειώσουν πριν τα επισυνάψουν. Κάθε αίτημα λαμβάνει μοναδικό κωδικό, ανατίθεται σε συγκεκριμένο στέλεχος και η πορεία του φαίνεται βήμα προς βήμα, με πλήρες ιστορικό απαντήσεων και ενημέρωση μέσω email σε κάθε εξέλιξη.

Κανείς δεν αποκτά πρόσβαση σε συστήματα ή δεδομένα πριν ολοκληρώσει τη βασική εκπαίδευση ασφάλειας και αποδεχθεί εγγράφως τις πολιτικές μας. Το ετήσιο πρόγραμμα εκπαίδευσης — σύμφωνο με το άρθρο 13(6) του DORA και το ISO/IEC 27001 — περιλαμβάνει ευαισθητοποίηση για όλους, ασφαλή ανάπτυξη λογισμικού για τους developers, εκπαίδευση στον DORA και στη διαχείριση περιστατικών, άσκηση διαχείρισης περιστατικού, τακτικές προσομοιώσεις phishing και μηνιαία ενημέρωση. Κάθε ενότητα ολοκληρώνεται με αξιολόγηση, και οι πελάτες μας λαμβάνουν ετήσια αναφορά με συγκεντρωτικά στοιχεία και βεβαίωση της Διοίκησης.

Ενεργούμε ως εκτελούντες την επεξεργασία για λογαριασμό των πελατών μας, σύμφωνα με τον Κανονισμό (ΕΕ) 2016/679 (GDPR) και τη Σύμβαση Επεξεργασίας Δεδομένων που υπογράφουμε με κάθε πελάτη. Τα κεντρικά συστήματα και τα δεδομένα των ασφαλισμένων παραμένουν σε περιβάλλοντα που ελέγχει ο πελάτης· η εφαρμογή μας τα προσπελαύνει μέσω των διεπαφών του, για λογαριασμό του, και δεν τα αποθηκεύει στη δική μας υποδομή. Όπου φιλοξενούμε υπηρεσίες, αυτό γίνεται εντός της ΕΕ.

Επιλέγουμε τους δικούς μας παρόχους με κριτήρια ασφάλειας, τους παρακολουθούμε, και ενημερώνουμε τους πελάτες μας για κάθε αλλαγή που τους αφορά, όπως ορίζουν οι συμβάσεις μας. Νέος υπεργολάβος που επεξεργάζεται προσωπικά δεδομένα προστίθεται μόνο με προηγούμενη έγκριση του πελάτη.

Τα τεκμήρια της ασφάλειάς μας — πολιτικές, αρχεία εκπαίδευσης, μητρώα περιστατικών και αλλαγών, εγγραφές εκδόσεων — τηρούνται για τουλάχιστον 5 χρόνια και είναι διαθέσιμα στους πελάτες μας και στους ελεγκτές τους, σύμφωνα με τους όρους ελέγχου της σύμβασης. Οι πελάτες μας μπορούν να ζητήσουν την Επισκόπηση Ασφάλειας & Υποδομών, τη Σύμβαση Επεξεργασίας Δεδομένων, την Αναφορά και Βεβαίωση Εκπαίδευσης Προσωπικού και τα στοιχεία για το Μητρώο Πληροφοριών του DORA· οι οδηγοί χρήσης των ενοτήτων Security Incidents, Change Request και Issue Tracking είναι διαθέσιμοι στους διαχειριστές μέσα στο Intersurea Hub.

Η ασφάλεια δεν είναι μια φορά. Το πρόγραμμά μας περιλαμβάνει ετήσια ανασκόπηση από τη Διοίκηση, εσωτερικούς ελέγχους, ανεξάρτητο έλεγχο διείσδυσης και συνεχή εξέλιξη των εργαλείων του Intersurea Hub για περιστατικά και αλλαγές, ώστε να υποστηρίζουν ακόμη καλύτερα τις υποχρεώσεις των πελατών μας.