Polityka Bezpieczeństwa

Transkrypt

Polityka Bezpieczeństwa
w Axami s.c. Anna Gołębiowska, Edyta Skutnicka
Białystok, maj 2012 r.
Polityka Bezpieczeństwa w Axami s.c. Anna Gołębiowska, Edyta Skutnicka
SPIS TREŚCI
1.
2.
3.
4.
5.
6.
Terminologia i skróty
Wstęp
Cele Polityki Bezpieczeństwa
Zakres Polityki Bezpieczeństwa
Prawa, obowiązki oraz odpowiedzialność osób przetwarzających dane osobowe
5.1 Prawa i obowiązki użytkowników
5.2
Obowiązki Administratora Danych Osobowych
8
5.3
Prawa i obowiązki Administratora Bezpieczeństwa Informacji (ABI)
8
5.4
Obowiązki ASI
8
Zasady przetwarzania danych osobowych przez ADO
6.1 Wykaz budynków, pomieszczeń tworzących obszar gdzie przetwarzane są dane osobowe
10
10
Wykaz zbiorów danych osobowych wraz ze wskazaniem programów zastosowanych do ich
przetwarzania
10
6.3
Opis struktury zbioru danych
10
6.4
Sposób przepływu danych pomiędzy systemami
10
6.5
Określenie środków technicznych i organizacyjnych zapewniających poufność, integralność i
rozliczalność przetwarzania danych osobowych
11
6.2
7.
8.
9.
4
5
6
7
7
7
Udostępnianie danych osobowych
Postanowienia końcowe
Załączniki
16
17
17
3|S t r o n a
1.
Terminologia i skróty
Poniżej przedstawiono specyficzne pojęcia, definicje i skróty przywołane w niniejszej Polityce
Bezpieczeństwa oraz Instrukcji Zarządzania Systemem Informatycznym:
Adekwatność danych – przetwarzanie danych osobowych, w zakresie niezbędnym ze względu na cel
zbierania danych.
Administrator Danych Osobowych (ADO) – Axami s.c. Anna Gołębiowska, Edyta Skutnicka
ul. Siedleckiego 13, 15-125 Białystok.
Administrator Bezpieczeństwa Informacji (ABI) – osoba formalnie powołana przez ADO, nadzorująca
przestrzeganie zasad ochrony danych osobowych i odpowiadająca za bezpieczeństwo danych
osobowych przetwarzanych m.in. w systemie informatycznym, jednocześnie sprawuje nadzór i
koordynuje prace w zakresie eksploatacji, monitorowania i praw dostępu do zasobów informatycznych
gromadzonych i przetwarzanych w sieci informatycznej.
Administrator Systemu Informatycznego (ASI) – osoba lub firma sprawująca nadzór i koordynująca
prace w zakresie eksploatacji, monitorowania i praw dostępu do zasobów informatycznych gromadzonych
i przetwarzanych w sieci informatycznej.
Anonimizacji danych osobowych – pozbawienie danych osobowych cech pozwalających na
identyfikacje osób fizycznych, których anonimizowane dane dotyczą.
Aplikacja – konkretny program komputerowy, który realizuje konkretne zestawy funkcji, czynności.
Bezpieczeństwo informacji – to zapewnienie poufności, integralności i dostępności przetwarzanych
danych osobowych.
Celowość – określenie celu przetwarzania danych osobowych i przetwarzanie ich zgodnie z
wyznaczonym celem.
Dane osobowe – to wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania
osoby fizycznej.
Dostępność – gwarancja dostępu do danych osobowych tylko przez osoby upoważnione.
GIODO – Generalny Inspektor Ochrony Danych Osobowych.
Hasło dostępu – ciąg znaków, unikalnych dla każdego użytkownika eksploatującego sprzęt
komputerowy oraz korzystającego z zasobów informatycznych przetwarzanych i gromadzonych na
serwerze lub w programie sieci informatycznej. Zawiera minimum 8 znaków zawierających duże i małe
litery oraz cyfry lub znaki specjalne.
Incydent – to każde zdarzenie lub seria zdarzeń, które nie jest częścią normalnego działania systemu i
które mogą zakłócić działania biznesowe lub grozić bezpieczeństwu przetwarzania danych.
Instrukcja – Instrukcja Zarządzania Systemem Informatycznym Służącym do Przetwarzania Danych
Osobowych w AXAMI s.c. Anna Gołębiowska, Edyta Skutnicka
Integralność – to właściwość zapewniająca, że dane osobowe nie zostały zmienione lub zniszczone w
sposób nieautoryzowany (przez osoby nieupoważnione).
Login (identyfikator) - ciąg znaków alfanumerycznych, unikalnych dla każdego użytkownika
korzystającego z zasobów informatycznych przetwarzanych i gromadzonych na serwerze lub w
programie sieci informatycznej.
4|S t r o n a
Osoba upoważniona – osoba posiadająca upoważnienie wydane przez administratora danych
osobowych (lub osobę uprawnioną przez niego) i dopuszczona jako Użytkownik do przetwarzania danych
osobowych w systemie informatycznym danej komórki organizacyjnej w zakresie wskazanym w
upoważnieniu (listę osób upoważnionych do przetwarzania danych osobowych posiada ABI).
Poufność – to właściwość zapewniająca, że dane nie są udostępniane nieupoważnionym osobom.
Przetwarzanie danych osobowych – jakiekolwiek operacje wykonywane na danych osobowych np.
zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie, usuwanie, zwłaszcza
wykonywane w systemie informatycznym.
Rozliczalność – to właściwość zapewniająca, że działania podmiotu mogą być przypisane w sposób
jednoznaczny tylko temu, konkretnemu podmiotowi.
Rozporządzenie – rozumie się przez to Rozporządzeniem Ministra Spraw Wewnętrznych i Administracji
z dnia 29 kwietnia 2004r. (Dz. U.2004 nr 100 poz. 1024) w sprawie dokumentacji przetwarzania danych
osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i
systemy informatyczne służące do przetwarzania danych osobowych.
Sieć informatyczna – struktura składająca się z serwerów, stacji roboczych, osprzętu sieciowego
połączonych ze sobą za pomocą mediów transmisji w celu wymiany danych lub współdzielenia różnych
zasobów.
Sklep – sklep internetowy www.axami24.pl
Stacja robocza – stacjonarny lub przenośny komputer wchodzący w skład systemu informatycznego
umożliwiający Użytkownikom systemu dostęp do danych osobowych znajdujących się w systemie.
Ustawa – rozumie się przez to ustawę z dnia 29 sierpnia1997 roku o ochronie danych osobowych (tekst
jedn. Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.).
Uwierzytelnianie – to działanie, którego celem jest weryfikacja deklarowanej tożsamości podmiotu,
Usuwanie danych osobowych – niszczenie danych osobowych lub taka ich modyfikacja, która nie
pozwala na ustalenie tożsamości osoby, której dane dotyczą.
Użytkownik - osoba obsługująca stanowisko komputerowe w zakresie udzielonych uprawnień.
Zbiór danych osobowych – posiadający strukturę zestaw danych o charakterze osobowym, dostępnych
według określonych kryteriów, niezależnie od tego, czy zestaw ten jest rozproszony lub podzielony
funkcjonalnie.
Zniszczenie – trwałe, fizyczne uszkodzenie nośników danych w stopniu uniemożliwiającym ich
późniejsze odtworzenie przez osoby niepowołane przy zastosowaniu powszechnie dostępnych metod.
2.
Wstęp
Prawo ochrony danych osobowych uregulowane jest w:
-
art. 47 i 51 Konstytucji Rzeczypospolitej Polskiej,
-
ustawie z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz.
926 z późń. zm.),
-
rozporządzeniu Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w
sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i
organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do
przetwarzania danych osobowych (Dz. U. z 2004 r., Nr 100, poz. 1024).
5|S t r o n a
Jeżeli przepisy innych ustaw przewidują dalej idącą ochronę danych osobowych niż ustawa o ochronie
danych osobowych, stosuje się przepisy tych ustaw.
Polityka jest zintegrowanym zbiorem ogólnych zasad, procedur, praw wewnętrznych i praktycznych
doświadczeń regulujących sposób zarządzania, ochrony, użytkowania i przechowywania danych
osobowych gromadzonych przez ADO w postaci elektronicznej oraz w dokumentach w wersji papierowej.
Uszczegółowieniem niniejszej Polityki Bezpieczeństwa jest „Instrukcja Zarządzania Systemem
Informatycznym Służącym do Przetwarzania Danych Osobowych w AXAMI s.c. Anna Gołębiowska,
Edyta Skutnicka”, która zawiera wytyczne dotyczące bezpiecznego przetwarzania danych osobowych
przy użyciu systemów informatycznych. Opisane procedury, zastosowane w nich standardy, reguły oraz
zasady, powinny ulegać zmianom wraz ze zmianami struktur organizacyjnych i technologii
informatycznych.
Polityka Bezpieczeństwa obowiązująca w AXAMI s.c. Anna Gołębiowska, Edyta Skutnicka, ma charakter
obligatoryjny - dotyczy wszystkich osób, które przetwarzają dane osobowe tj. pracowników, konsultantów,
stażystów i innych osób mających dostęp do danych osobowych.
Opisane reguły i zasady określają dopuszczalne zachowania wszystkich osób przetwarzających dane
osobowe. Dokument zwraca uwagę na konsekwencje, jakie mogą ponosić osoby przekraczające
przyznane im uprawnienia lub działające niezgodnie z niniejszą Polityką oraz Instrukcją Zarządzania
Systemem Informatycznym, bądź naruszające zapisy ustawy o ochronie danych osobowych.
ADO realizując niniejszą Politykę Bezpieczeństwa, dokłada najwyższej staranności w celu ochrony
interesów osób, których dane dotyczą, a w szczególności zapewnia, aby dane te były:
3.
-
przetwarzane zgodnie z prawem,
-
zbierane dla oznaczonych, zgodnych z prawem celów i nie poddawane dalszemu
przetwarzaniu niezgodnemu z tymi celami,
-
merytorycznie poprawne i adekwatne w stosunku do celów, w jakich są przetwarzane,
-
przechowywane nie dłużej niż jest to niezbędne do realizacji celów, w których zostały zebrane.
Cele Polityki Bezpieczeństwa
Niniejsza Polityka została opracowana dla stworzenia i utrzymania wysokiego poziomu bezpieczeństwa
zbioru danych osobowych zgodnie z wymogami rozporządzenia, rozumianego jako zapewnienie
poufności, integralności i dostępności zasobów oraz zapewnienia rozliczalności podejmowanych działań.
Celem opracowania i wdrożenia niniejszej Polityki jest:
-
maksymalne ograniczenie ryzyka związanego z nieuprawnionym przetwarzaniem lub utratą
danych osobowych,
-
zagwarantowanie pełnej ochrony danych osobowych posiadanych przez ADO zbiorów bez
względu na formę w jakiej zbiór jest przetwarzany,
-
opracowanie zasad postępowania w sytuacjach kryzysowych,
wdrożenie reguł, praw i procedur zapewniających odpowiedni poziom bezpieczeństwa
zarządzania danymi osobowymi będącymi w posiadaniu ADO.
Cele wyznaczone w Polityce Bezpieczeństwa, realizowane są poprzez:
-
-
stałe doskonalenie oraz rozwijanie organizacyjnych i technicznych środków ochrony danych
osobowych przetwarzanych zarówno w formie tradycyjnej jak i elektronicznej,
-
podejmowanie wszelkich działań niezbędnych dla ochrony praw jednostki związanych z
bezpieczeństwem danych osobowych,
6|S t r o n a
-
staranny dobór, ocenę i kwalifikację dostawców usług,
stosowanie odpowiednich urządzeń i oprogramowania wykorzystywanych do przetwarzania i
zabezpieczania danych osobowych.
Ze względu na zmieniający się charakter zagrożeń, a także pojawianie się nowych, dotąd niespotykanych,
ADO traktuje zabezpieczenie danych osobowych nie jako stan a proces, wymagający ciągłego
doskonalenia, modyfikowania i dostosowywania rozwiązań technicznych i organizacyjnych do możliwości
pojawiania się nowych kategorii niebezpieczeństw i zagrożeń.
-
Wszelkiego rodzaju działania marketingowe na posiadanych zbiorach ADO będzie prowadził z
zachowaniem praw i wolności osoby, której dane dotyczą zgodnie z wymaganiami ustawy.
4.
Zakres Polityki Bezpieczeństwa
Polityka Bezpieczeństwa odnosi się do wszystkich danych osobowych przetwarzanych:
-
w sposób tradycyjny, w szczególności w kartotekach, rejestrach, skorowidzach, księgach,
wykazach i w innych zbiorach ewidencyjnych,
- w systemach informatycznych.
Ochronie podlegają wszystkie dane osobowe przetwarzane przez ADO również te, które powierza do
przetwarzania innym podmiotom.
W celu zapewnienia maksymalnej ochrony danych osobowych, wyznaczono obszary mające istotny
wpływ na bezpieczeństwo zasobów ADO, są to:
-
bezpieczeństwo systemów i sieci informatycznych,
-
bezpieczeństwo danych osobowych gromadzonych w wersji papierowej,
-
bezpieczeństwo zarządzania dostępem do informacji,
-
bezpieczeństwo fizyczne pomieszczeń, gdzie przetwarzane są dane osobowe.
5.
Prawa, obowiązki oraz odpowiedzialność osób przetwarzających dane osobowe
5.1
Prawa i obowiązki użytkowników
Każdy użytkownik zobowiązany jest do utrzymania właściwego poziomu bezpieczeństwa w zakresie
swoich obowiązków i uprawnień.
Każdy użytkownik składa oświadczenie zgodnie ze wzorem określonym w załączniku nr 7 niniejszej
Polityki, w którym potwierdza zapoznanie się z ustawą, Polityką Bezpieczeństwa oraz „Instrukcją
zarządzania systemem informatycznym”. Ponadto użytkownik zobowiązuje się do zapewnienia ochrony
przetwarzanych przez niego danych osobowych. Oświadczenie to przechowywane jest przez ABI w
segregatorze przez okres 5 lat licząc od daty zakończenia współpracy z użytkownikiem (np. od daty
rozwiązania umowy o pracę).
Każdy użytkownik, w trakcie jak i po ustaniu zatrudnienia w AXAMI s.c. Anna Gołębiowska, Edyta
Skutnicka, ma obowiązek ochrony wszelkich informacji dotyczących funkcjonowania systemów lub
urządzeń służących do przetwarzania danych osobowych oraz sposobów zabezpieczania danych.
Niedozwolone jest przetwarzanie danych osobowych w sposób inny niż opisany w niniejszej Polityce
Bezpieczeństwa lub Instrukcji.
Pracownicy uprawnieni są do występowania z wnioskiem do bezpośredniego przełożonego o nadanie lub
zmianę zakresu uprawnień do przetwarzania danych osobowych.
7|S t r o n a
Użytkownicy zobowiązani są wskazywać konieczność wprowadzenia zmian w funkcjonalności systemu
informatycznego służącego do przetwarzania danych osobowych w celu poprawy bezpieczeństwa
przetwarzanych danych osobowych.
Wobec osób, które nie stosują się do zapisów niniejszej Polityki Bezpieczeństwa, Instrukcji oraz ustawy o
ochronie danych osobowych, ADO może wyciągnąć konsekwencje przewidziane w Kodeksie Pracy i
innych aktach prawnych w zależności od rodzaju skutków naruszeń.
5.2
Obowiązki Administratora Danych Osobowych
Do obowiązków ADO m.in. należy:
5.3
-
Zapewnienie środków organizacyjnych i technicznych zapewniających zabezpieczenie danych
przed dostępem osób nieupoważnionych
-
Nadawanie/zmiana/odbieranie zakresu uprawnień użytkowników do przetwarzania danych
osobowych.
-
Wystawianie upoważnień do przetwarzania danych osobowych.
-
Weryfikacja zakresu przetwarzanych danych pod kątem adekwatności (dotyczy wszystkich
zbiorów).
-
Wyznaczenie Administratora Bezpieczeństwa Informacji, który nadzoruje przestrzeganie zasad
ochrony danych osobowych (zastosowanie odpowiednich środków technicznych i
organizacyjnych zapewniających ochronę przetwarzanych danych osobowych).
Prawa i obowiązki Administratora Bezpieczeństwa Informacji (ABI)
Do obowiązków ABI m.in. należy:
5.4
-
Przechowywanie imiennych upoważnień do przetwarzania danych osobowych.
-
Prowadzenie ewidencji osób zatrudnionych przy przetwarzaniu danych osobowych.
-
Prowadzenie i aktualizacja dokumentacji opisującej sposób przetwarzania danych.
-
Nadzorowanie treści podpisanych umów powierzenia (w zakresie dotyczącym ochrony danych
osobowych), w przypadku przekazywania danych osobowych podmiotom realizującym zlecenia
ADO.
-
Nadzór nad przestrzeganiem przez użytkowników zapisów Instrukcji Zarządzania Systemem
Informatycznym i niniejszej Polityki.
-
Nadzór nad obiegiem oraz przechowywaniem dokumentów zawierających dane osobowe.
-
Nadzór nad prawidłowością archiwizacji dokumentów zawierających dane osobowe oraz
zapewnienie nadzoru nad właściwym usuwaniem bądź niszczeniem dokumentów z danymi
osobowymi.
-
Poinformowanie organów uprawnionych do ścigania przestępstw w przypadku celowego
naruszenia bezpieczeństwa przetwarzanych danych osobowych.
-
Polecenia ABI w zakresie ochrony informacji i bezpieczeństwa systemu informatycznego
muszą być bezwzględnie wykonywane przez wszystkich pracowników i Użytkowników
systemu.
Obowiązki ASI
Do obowiązków ASI m.in. należy:
-
Nadanie, zmiana i blokowanie uprawnień danemu Użytkownikowi do zasobów informatycznych
zgodnie z wnioskiem ABI.
-
Właściwa konfiguracja systemu informatycznego zapewniająca jego bezpieczeństwo i
8|S t r o n a
ograniczenie dostępu do danych osobowych przez osoby nieupoważnione.
-
Monitorowanie funkcjonowania zabezpieczeń wdrożonych w celu ochrony danych osobowych.
-
Nadzór nad naprawami, konserwacją oraz likwidacją urządzeń komputerowych, które zawierają
dane osobowe.
-
Okresowe wykonywanie kopii bezpieczeństwa danych oraz nadzór nad ich zabezpieczeniem
zgodnie z procedurami ustalonymi w Instrukcji.
-
Podejmowanie działań w przypadku wykrycia naruszeń w systemie zabezpieczeń lub
podejrzenia naruszenia np. pojawienie się wirusa w systemie. Po otrzymaniu informacji o
wystąpieniu incydentu, który spowodował zagrożenie bezpieczeństwa przetwarzanych danych
ASI zobligowany jest do:
o Fizycznego odłączenia urządzeń, które umożliwiają nieautoryzowany dostęp do zbioru
danych osobowych.
o Wylogowania użytkownika, który zgłosił podejrzenie lub naruszenie integralności zbioru
danych osobowych.
o Podjęcia działań uniemożliwiających dalsze nielegalne przetwarzanie danych osobowych
(np. zastosowanie dodatkowych zabezpieczeń, całkowite odłączenie stacji roboczej od
zbioru danych osobowych).
o Usunięcia skutków incydentu.
o Przywrócenie normalnego działania systemu (np. odtworzenie bazy danych z ostatniej
kopii).
o Zrestartowania hasła użytkownika, który zgłosił naruszenie systemu informatycznego.
o Poinformowania o incydencie ABI, w tym sporządzenia notatki dotyczącej opisu, przyczyn i
znanych skutków incydentu.
o Wyjaśnienia przyczyn wystąpienia incydentu i podjęcia działań zmierzających do
ograniczenia ryzyka wystąpienia ponownego incydentu w przyszłości (np. szkolenie
pracowników, analiza wdrożonych środków bezpieczeństwa pod kątem ich skuteczności,
ustalenie źródła wirusa i zwiększenie zabezpieczeń).
o Wydania decyzji na ponowne rozpoczęcie przetwarzania danych osobowych.
o Przedstawienia ABI propozycji poprawy bezpieczeństwa.
o W przypadku, gdy incydent wywołany był świadomie przez pracownika – zebrania
dowodów.
-
Okresowa analiza przyczyn i skutków sytuacji, które naruszyły bezpieczeństwo danych oraz
informowanie ABI o wynikach tej analizy.
-
Zabezpieczenie komputerów przenośnych poprzez:
o Ustawienia automatycznego wymuszania zmiany haseł co 30 dni.
o Ustawienie wymogu dotyczącego haseł zgodnie z wytycznymi ustawy o ochronie danych
osobowych (odpowiednia ilość i rodzaj znaków).
o Instalację oprogramowania antywirusowego.
o Stosowanie środków ochrony kryptograficznej wobec przetwarzanych danych osobowych
na komputerach przenośnych.
-
Ograniczenie możliwości instalowania oprogramowania na stacjach roboczych przez osoby
nieupoważnione.
9|S t r o n a
6.
Zasady przetwarzania danych osobowych przez ADO
6.1
Wykaz budynków, pomieszczeń tworzących obszar gdzie przetwarzane są dane osobowe
Dane osobowe przetwarzane są w lokalizacjach wymienionych w załączniku nr 1 do niniejszej Polityki.
Jeżeli dane osobowe przetwarzane są w pomieszczeniach ogólnodostępnych należy wydzielić część
pomieszczenia, w której przetwarzane są dane osobowe (np. montaż barierek, lad, odpowiednie
ustawienie mebli biurowych uniemożliwiające dostęp do danych przez osoby postronne).
Ze względu na charakter prowadzonej działalności ADO w wybranych sytuacjach dopuszcza możliwość
przetwarzania przez użytkowników danych przy użyciu urządzeń przenośnych (laptop, tablet itp.).
Ze względu na charakter usług prowadzonych przez ADO tj. sklep internetowy, osoby upoważnione do
przetwarzania danych osobowych mają dostęp do panelu administracyjnego konkretnego sklepu z
każdego urządzenia podłączonego do sieci Internet po wpisaniu odpowiedniego adresu strony
internetowej i podaniu loginu i hasła. Szczegółowe procedury zarządzania takimi uprawnieniami zostały
ujęte w Instrukcji.
6.2
Wykaz zbiorów danych osobowych wraz ze wskazaniem programów zastosowanych do ich
przetwarzania
Aktualny wykaz został zawarty w załączniku nr 2 do niniejszej Polityki.
Obsługa sklepu internetowego została powierzona firmie zewnętrznej odpowiedzialnej za zarządzanie
infrastrukturą informatyczną sklepu.
Dane osobowe zlokalizowane są na serwerze, który został umieszczony w oddzielnym, zamykanym
pomieszczeniu (pomieszczenie zamykane jest po zakończeniu pracy).
6.3
Opis struktury zbioru danych
Opis struktury zbiorów ujęty został w załączniku nr 2 do niniejszej Polityki.
6.4
Sposób przepływu danych pomiędzy systemami
10 | S t r o n a
Klient sklepu internetowego www.axami24.pl dokonuje rejestracji w sklepie podając swoje imię i nazwisko,
adres dostarczenia przesyłki, opcjonalnie numer telefonu i adres e-mail. Jego konto chronione jest
wybranym przez niego, indywidualnym hasłem. Po złożeniu zamówienia administrator panelu sklepu
internetowego wprowadza ręcznie dane klienta i szczegóły jego zamówienia do systemu Comarch CDN
XL (system klasy ERP stosowany we wspomaganiu zarządzania przedsiębiorstwem). Po wyrażeniu przez
klienta zgody, jego adres mailowy zostaje dodany do listy subskrybentów newslettera w panelu
www.axami24.pl i www.axami.pl
Dane osobowe dotyczące pracowników przetwarzane są przez firmę zewnętrzną prowadzącą
księgowość Spółki na zlecenie ADO, stosowna umowa powierzenia została zawarta.
6.5
Określenie środków technicznych i organizacyjnych zapewniających poufność, integralność
i rozliczalność przetwarzania danych osobowych
6.5.1 Analiza potencjalnych zagrożeń dla bezpieczeństwa przetwarzanych danych osobowych
-
Połączenie systemu informatycznego, w którym przetwarzane są dane osobowe z
ogólnodostępną siecią Internet – oprogramowanie szpiegujące czy monitorujące pracę
komputera (wirusy komputerowe, konie trojańskie, rootkity, keylogger, Phishing itp.).
-
Zamierzone działania ludzkie mające na celu nieautoryzowane przetwarzanie danych
osobowych:
o ujawnienie hasła i loginu,
o podszycie się pod użytkownika,
o użycie złośliwego oprogramowania,
o włamanie do systemu,
o kradzież danych,
o uszkodzenie zabezpieczeń fizycznych np. włamanie,
-
Działania użytkownika, które w sposób przypadkowy mogą doprowadzić do nieautoryzowanego
przetwarzania danych osobowych (m.in. błędy ludzkie):
o udostępnianie stanowisk pracy osobom nieuprawnionym,
o niewłaściwa konstrukcja haseł,
o nieautoryzowane kopiowanie danych osobowych,
o utrata nośnika zawierającego dane osobowe,
o nieodpowiednie niszczenie nośników informacji (np. kartka papieru, dysk),
o pozostawienie nośników zewnętrznych w komputerze np. pendrive,
o używanie nośników danych udostępnionych przez osoby postronne,
o samowolne instalowanie przez użytkowników oprogramowania nieznanego pochodzenia,
o niewłaściwe ustawienie monitora komputerowego, umożliwiające osobom nieupoważnionym
wgląd w przetwarzane dane osobowe,
o pozostawienie dokumentów
kserokopiarce,
w
ogólnodostępnych
miejscach
np.
w
drukarce,
w
o pozostawienie kluczy w drzwiach do pomieszczeń stanowiących obszar przetwarzania
danych osobowych lub w szafkach, gdzie znajdują się dane osobowe.
-
Inne czynniki techniczne m.in.:
o stosowanie bezprzewodowych kanałów komunikacyjnych np. WiFi,
11 | S t r o n a
o korzystanie z punktów typu HotSpot (np. fałszywe HotSpoty),
o wahania napięcia,
-
Zdarzenia losowe m.in:
o pożar,
o włamanie,
o powódź,
o zalanie,
o kradzież,
o awaria oprogramowania,
6.5.2 Do przypadków naruszenia bezpieczeństwa systemu informatycznego można m.in. zaliczyć:
-
brak możliwości uruchomienia przez Użytkownika aplikacji pozwalającej na dostęp do danych
osobowych,
-
ograniczone, w stosunku do normalnej sytuacji, uprawnienia Użytkownika w aplikacji (na
przykład brak możliwości wykonania pewnych operacji normalnie dostępnych Użytkownikowi)
lub uprawnienia poszerzone w stosunku do normalnej sytuacji,
-
znaczne spowolnienie działania systemu informatycznego,
-
brak możliwości fizycznego dostępu do danych (np. kradzież sprzętu komputerowego,
zagubienie klucza do pomieszczeń),
-
zidentyfikowanie w systemie wirusa lub innego programu, mogącego uszkodzić, skasować
bądź skopiować dane osobowe,
-
stwierdzenie próby bądź podejrzenie nieautoryzowanego przetwarzania danych osobowych
(np. zmieniona zawartość zbioru, zmiana kolejności ułożenia dokumentów, otwarte drzwi,
nieautoryzowane zniszczenie zawartości zbioru ),
-
naruszenie technicznego stanu urządzeń,
-
naruszenie zawartości zbioru danych osobowych,
-
nieskuteczne zniszczenie nośników zawierających dane osobowe (np. nieprawidłowe
zniszczenie dokumentu w wersji papierowej, nieprawidłowe usunięcie danych z nośnika np.
pendrive)
-
naruszenie zabezpieczenia systemu informatycznego np. przechwycenie danych przez
program szpiegowski,
-
odtajnienie hasła,
-
zmiany w funkcjonalności aplikacji,
-
obniżenie jakości/prędkości transmisji danych w sieci telekomunikacyjnej,
-
niewykonanie kopii zapasowej,
-
brak możliwości odtworzenia danych z kopii,
-
powtarzające się zaniki zasilania,
-
wykorzystywanie przetwarzanych danych osobowych niezgodnie z przepisami ustawy o
ochronie danych osobowych,
-
nieprawidłowości w zakresie zabezpieczenia pomieszczeń gdzie przetwarzane są dane
osobowe np. dopuszczenie osoby nieupoważnionej do wglądu w dane osobowe,
niewylogowanie się przez użytkownika z systemu w sytuacji opuszczania stanowiska pracy,
-
wystąpienie sytuacji kryzysowej np. pożar,
-
użytkowanie stacji roboczej przez osobę nie będącą użytkownikiem systemu,
12 | S t r o n a
-
usuwanie, dodawanie lub modyfikowania bez wiedzy i zgody użytkownika jego dokumentów
(rekordów),
-
przechowywanie kopii awaryjnych w tych samych pomieszczeniach, w których przechowywane
są zbiory danych osobowych eksploatowane na bieżąco
6.5.3 Zastosowane środki techniczne
-
Dostęp do danych osobowych ograniczony jest autoryzacją użytkownika poprzez wpisanie
loginu i hasła.
-
Każdemu użytkownikowi uprawnionemu do przetwarzania danych osobowych, przydzielono
indywidualny login i hasło. Hasło jest znane tylko przez użytkownika co pozwala na zachowanie
zasady niezaprzeczalności zdarzeń. Wymogi dotyczące haseł zostały zawarte Instrukcji
Zarządzania Systemem Informatycznym.
-
Od chwili otrzymania loginu użytkownik odpowiedzialny jest za wszystkie czynności, które
zostały wykonane przy jego użyciu.
-
Pracownicy, bez zezwolenia ADO, nie mogą wynosić poza pomieszczenia stanowiące obszar
przetwarzania danych osobowych dokumentów lub elektronicznych nośników informacji
zawierających dane osobowe lub kopii tych danych (nie dotyczy przetwarzania danych
osobowych na komputerach przenośnych),
-
W przypadku wynoszenia kopii danych poza obszar, w którym przetwarzane są dane osobowe,
ASI zobowiązany jest do ich zabezpieczenia poprzez zaszyfrowanie.
-
Na serwerze zainstalowano oprogramowanie antywirusowe z automatyczną aktualizacją.
-
System informatyczny, w którym przetwarzane są dane osobowe, ma wbudowany mechanizm
definiowania poziomów dostępu i kontroli dostępów do poszczególnych obszarów informacji.
Dostęp do systemu jest indywidualnie zdefiniowany dla każdego użytkownika, który ma dostęp
do określonych zasobów niezbędnych do wykonania obowiązków służbowych zgodnie z
dyspozycją wydaną przez ABI.
-
Dla każdej osoby, której dane osobowe są przetwarzane w systemie informatycznym – z
wyjątkiem systemów służących do przetwarzania danych osobowych ograniczonych wyłącznie
do edycji tekstu w celu udostępnienia go na piśmie – system ten zapewnia odnotowanie:
o daty pierwszego wprowadzenia danych do systemu,
o loginu użytkownika, który dane wprowadził,
o źródła danych w przypadku, gdy dane pozyskiwane są nie od osoby, której one dotyczą,
o informacji o odbiorcach danych, o ile dane są przekazywane (data i zakres udostępnienia),
o informacji o braku zgody osoby na przetwarzanie danych osobowych w celach
marketingowych.
-
W celu ochrony zbioru danych osobowych przed utratą lub celowym zniszczeniem, wszystkie
bazy zawierające dane osobowe są kopiowane zgodnie z procedurami opisanymi w Instrukcji.
-
Stacje robocze użytkowników zostały wyposażone w system operacyjny oraz pakiet biurowy z
automatyczną aktualizacją. Stosuje się aktywną ochronę antywirusową w czasie rzeczywistym
na każdym komputerze podłączonym do sieci. Oprogramowanie zostało tak skonfigurowane,
że aktualizacje baz wirusów pobierane są automatycznie, a żaden z użytkowników nie ma
możliwości wyłączenia programu antywirusowego.
-
Aktualizacji oprogramowania specjalistycznego dokonuje na bieżąco ASI lub inna osoba
13 | S t r o n a
wyznaczona przez niego.
-
Dokładne testowanie modyfikacji oprogramowania przed wdrożeniem go do użytku zarówno
pod kątem poprawności działania jak i podatności na „ataki” z zewnątrz.
6.5.4 Zastosowane środki organizacyjne
-
Do przetwarzania danych osobowych może zostać dopuszczona osoba, która otrzymała od
Administratora Danych Osobowych Upoważnienie do Przetwarzania Danych Osobowych
zgodnie z załącznikiem nr 4 do niniejszej Polityki.
-
Warunkiem udzielenia upoważnienia do przetwarzania danych osobowych jest zaznajomienie
użytkownika przetwarzającego dane osobowe z:
o wymaganiami ustawy z dnia 29 sierpnia 1997r. o Ochronie Danych Osobowych,
o niniejszą Polityką Bezpieczeństwa,
o Instrukcją Zarządzania Systemem Informatycznym w AXAMI s.c. Anna Gołębiowska, Edyta
Skutnicka,
o ewentualnymi innymi dokumentami i procedurami dotyczącymi przetwarzania danych
osobowych obowiązującymi w AXAMI s.c. Anna Gołębiowska, Edyta Skutnicka
-
ABI prowadzi ewidencję osób upoważnionych do przetwarzania danych osobowych, zgodnie z
załącznikiem nr 5 do niniejszej Polityki
-
Wszystkie zainstalowane programy na stacjach roboczych pochodzą z legalnego źródła, ASI
posiada wszystkie dokumenty potwierdzające legalność używanego oprogramowania.
-
ADO wyznaczył ABI nadzorującego przetwarzanie danych osobowych w AXAMI s.c. Anna
Gołębiowska, Edyta Skutnicka
-
ABI wdrożył niniejszą Politykę Bezpieczeństwa oraz Instrukcję Zarządzania Systemem
Informatycznym Służącym do Przetwarzania Danych Osobowych.
-
Usystematyzowano sposób zarządzania uprawnieniami użytkowników w systemie
informatycznym dla wszystkich użytkowników, określono zakresy dostępu do systemu
informatycznego.
-
Monitory użytkowników zostały ustawione w taki sposób, że osoby postronne nie mają
możliwości wglądu w treść wyświetlaną na ekranie.
-
Na komputerach, na których przetwarzane są dane osobowe zainstalowano automatyczne
wygaszacze ekranu blokujące po 10 minutach bezczynności dostęp do stacji roboczej.
-
Każdy użytkownik w sytuacji opuszczenia stanowiska pracy zobligowany jest do zablokowania
stacji roboczej przed osobami postronnymi.
-
Zarządzanie dostępem do obiektów i pomieszczeń opisane zostało w załączniku nr 2 do
niniejszej Polityki – „Polityce kluczy”.
-
Osoby nieupoważnione, znajdujące się w pomieszczeniach, gdzie przetwarza się dane
osobowe, mogą przebywać tylko w obecności osoby posiadającej upoważnienie do
przetwarzania danych osobowych,
-
Pracownicy, którzy przetwarzają dane osobowe w formie papierowej zobowiązani są do
zabezpieczenia ich przed osobami niemającymi upoważnienia do przetwarzania danych
poprzez odpowiednie ich przechowywanie i/lub niszczenie.
14 | S t r o n a
-
Niepotrzebne w danym momencie dokumenty papierowe i nośniki elektroniczne, należy
bezwzględnie chować w zamykanych szafach. Pod żadnym pozorem dokumenty i nośniki nie
powinny pozostać niezabezpieczone po zakończeniu pracy. Wszystkie niepotrzebne
dokumenty niszczone są automatycznie przy użyciu niszczarki. Niedopuszczalne jest
pozostawianie wydruków w miejscu ogólnodostępnym, wydruki zawierające dane osobowe po
zakończeniu pracy należy chować do zamykanej szafy lub szuflady – zasada „czystego biurka”.
-
Do momentu zniszczenia dokumenty należy przechowywać w miejscu, do którego osoby
postronne nie mają dostępu. Osoby przetwarzające dane osobowe mają obowiązek
stosowania oddanych im do dyspozycji narzędzi i technik niszczenia zbędnych danych
osobowych i/lub ich zbiorów (np. niszczarka).
-
W przypadku naprawy sprzętu komputerowego zawierającego dane osobowe dane te są
wcześniej usuwane. W przypadku braku możliwości usunięcia danych – naprawa odbywa się
pod nadzorem osoby upoważnionej przez ADO.
-
ADO przewiduje możliwość powierzenia przetwarzania danych osobowych zgodnie z art. 31
ustawy. Z wszystkimi podmiotami, którym powierzone zostanie przetwarzanie danych
osobowych, ADO zawarte zostały umowy powierzenia, w których określono zakres
przetwarzanych danych osobowych, cel przetwarzania danych osobowych oraz wymagane
zabezpieczenia zbioru danych osobowych przez podmiot zależny.
-
Wszelkie dokumenty pracownicze np. zaświadczenia o wysokości zarobków przekazywane są
osobom w formie zabezpieczonej przed dostępem osób nieupoważnionych (np. koperta).
-
Pracownicy działu
pracowników.
-
Dane archiwalne przechowywane są w zamkniętych szafach w siedzibie ADO. ADO wyznaczył
osobę odpowiedzialną za archiwum, która na żądanie pracowników uprawniona jest do
wydawania dokumentacji archiwalnej. Osoba na żądanie pracownika upoważniona jest do
wydania kserokopii dokumentu archiwalnego. Od momentu wydania kserokopii osoba, która o
nią wnioskowała jest odpowiedzialna za dokument do chwili jego zniszczenia.
-
W wyjątkowych przypadkach dopuszcza się możliwość wydania oryginału dokumentu. W takiej
sytuacji osoba odpowiedzialna zobowiązana jest do dokonania stosownego wpisu w „Zeszycie
pobrań/zdań dokumentów z archiwum”. Użytkownik pobiera dokument z obowiązkiem
niezwłocznego jego zwrotu.
-
Obowiązkiem każdego użytkownika jest ochrona przed zniszczeniem, utratą lub
nieautoryzowaną modyfikacją danych osobowych zgromadzonych na dowolnym nośniku np.
dysk twardy komputera, pendrive, dysk zewnętrzny czy kartka papieru.
-
Szczegółowe zabezpieczenia pomieszczeń zostały opisane w pkt. 6.1 niniejszej Polityki
Bezpieczeństwa „Wykaz budynków, pomieszczeń tworzących obszar gdzie przetwarzane są
dane osobowe”.
kadr
nie
udzielają
telefonicznie
żadnych
informacji
dotyczących
6.5.5 Zasady przetwarzania danych osobowych przy użyciu komputerów przenośnych
Użytkownicy przetwarzający dane osobowe na komputerach przenośnych zobligowani są do:
-
Stosowanie środków ochrony kryptograficznej wobec przetwarzanych danych osobowych
zlokalizowanych na dyskach komputerów przenośnych.
-
Zwrócenia szczególnej ostrożności podczas transportu, przechowywania i użytkowania
15 | S t r o n a
komputera przenośnego.
-
Stosowania bezwzględnego zakazu pozostawiania komputera przenośnego w samochodzie,
przechowalni bagażu itp.
-
Korzystania z komputera przenośnego tak, aby zminimalizować ryzyko wglądu w wyświetlane
na monitorze dane przez osoby nieupoważnione.
-
Bezwzględnego zakazu udostępniania komputera zawierającego dane osobowe osobom
nieupoważnionym.
-
Aktualizacji oprogramowania antywirusowego zainstalowanego na komputerze.
-
Niezwłocznego poinformowania ABI o ewentualnej kradzieży lub zagubieniu komputera
przenośnego.
-
W przypadku korzystania ze stacji roboczych czasowo odłączanych od wewnętrznej sieci np.
notebook, użytkownik zobowiązany jest aktualizowania baz wirusów.
-
Ograniczenia osobom postronnym możliwości wglądu w treść wyświetlaną na ekranie
komputera – w przypadku korzystania z komputera w miejscu publicznym.
-
Sporządzania kopii zapasowych danych zgromadzonych
zabezpieczenia kopii przed dostępem osób nieupoważnionych.
na
stacji
roboczej
oraz
6.5.6 Zasady przetwarzania danych osobowych pracowników:
- W celu uzyskania zaświadczenia dotyczącego wysokości zarobków lub innych danych
dotyczących zatrudnienia (np. RMUA), pracownik zobowiązany jest wystąpić do działu kadr
z wnioskiem o wydanie zaświadczenia (np. email, prośba ustna).
- Jeżeli zaświadczenie ma być wystawione na specjalnym druku, obowiązkiem pracownika
jest dostarczenie jego wzoru.
- We wniosku należy wskazać sposób odbioru zaświadczenia (odbiór osobisty lub przesłanie
pocztą na wskazany adres).
- Przy odbiorze osobistym dokumentu pracownik na kopii dokumentu potwierdza pisemnie
jego odbiór (data i podpis pracownika).
- Kopie wystawionych zaświadczeń przechowywane są w dziale kadr.
- Ze względu na brak możliwości jednoznacznego ustalenia tożsamości osoby dzwoniącej,
wprowadza się całkowity zakaz potwierdzania telefonicznie jakichkolwiek danych
osobowych dotyczących pracowników (np. potwierdzanie wystawionych zaświadczeń
pracownikom banku).
- Dane osobowe pracowników przesyłane pomiędzy ADO, a firmą zewnętrzną przekazywane
są za pomocą poczty elektronicznej w plikach spakowanych programem kompresującym,
zabezpieczonych za pomocą ośmioznakowego jednorazowego hasła. Hasło to przesyłane
jest na numer telefonu pracownika upoważnionego do przetwarzania danych związanych z
zatrudnieniem.
- Dane w wersji papierowej przekazywane są osobom upoważnionym w kopercie
zabezpieczonej przed dostępem osób nieupoważnionych.
7.
Udostępnianie danych osobowych
Zgromadzone w zbiorze AXAMI s.c. Anna Gołębiowska, Edyta Skutnicka dane osobowe przekazywane
są uprawnionym podmiotom na mocy obowiązujących przepisów prawnych.
16 | S t r o n a
Administrator Danych Osobowych sprawuje nadzór nad tym jakie dane i w jakim zakresie a także komu
zostały udostępnione.
8.
Postanowienia końcowe
W sprawach nieuregulowanych niniejsza Polityką mają zastosowanie przepisy ustawy z dnia 29 sierpnia
1997 roku o ochronie danych osobowych (tekst jednolity Dz. U. z 2002 r. Nr 101, poz. 926),
rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie
dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim
powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych
(Dz. U. z 2004r., Nr 100, poz. 1024).
9.
Załączniki
-
Załącznik nr 1 – Wykaz budynków, pomieszczeń tworzących obszar gdzie przetwarzane są
dane osobowe
-
Załącznik nr 2 - Wykaz zbiorów danych osobowych wraz ze wskazaniem programów
zastosowanych do ich przetwarzania
-
Załącznik nr 3 – Polityka Kluczy
-
Załącznik nr 4 – Protokół przekazania kluczy
-
Załącznik nr 5 – Imienne upoważnienie do przetwarzania danych osobowych.
-
Załącznik nr 6 – Ewidencja osób upoważnionych do przetwarzania danych osobowych.
-
Załącznik nr 7 – Oświadczenie pracownika
Zatwierdził:
.........................................
17 | S t r o n a

Polityka Bezpieczeństwa

Transkrypt

Podobne dokumenty

CURRENDA BEZPIECZEńSTWO INFORMACJI

Ochrona i przetwarzanie danych osobowych w Instytucie Zdrowia i

Wyciąg z Polityki Bezpieczeństwa

privacy policy sito internet

ochrona danych osobowych dla hr

1. Administratorem danych osobowych jest MCL Spółka z

POLITYKA BEZPIECZEŃSTWA INFORMACJI „1

OŚWIADCZENIE UCZESTNIKA PROJEKTU O WYRAŻENIE ZGODY

Polityka Bezpieczenstwa

Polityka bezpieczeństwa