INSTRUKCJA ZARZĄDZANIA SYSTEMEM INFORMATYCZNYM

Załącznik Nr 2 do Zarządzenia Nr 98/11
Burmistrza Miasta Bielsk Podlaski
z dnia 21 czerwca 2011 r.
INSTRUKCJA ZARZĄDZANIA SYSTEMEM INFORMATYCZNYM
SŁUŻĄCYM DO PRZETWARZANIA DANYCH OSOBOWYCH
w Urzędzie Miasta Bielsk Podlaski
§ 1. Cel instrukcji
1. Instrukcja określa sposób zarządzania systemem informatycznym służącym do przetwarzania
danych osobowych w Urzędzie Miasta Bielsk Podlaski w celu zabezpieczenia danych osobowych
przed zagrożeniami, w szczególności przed ich udostępnieniem osobom nieupoważnionym,
nieautoryzowaną zmianą, utratą, uszkodzeniem lub zniszczeniem.
2. Instrukcja nie dotyczy przypadków, w których Urząd Miasta Bielsk Podlaski posiada podpisane
i obowiązujące umowy o powierzeniu przetwarzania danych lub jeśli administrowanie systemem
informatycznym odbywa się na podstawie przepisów lub/i umów zawierających odpowiednie
klauzule.
§ 2. Definicje stosowanych pojęć
Definicje stosowanych pojęć:
1) dane osobowe – wszelkie informacje dotyczące zidentyfikowanej lub możliwej do
zidentyfikowania osoby,
2) osoba możliwa do zidentyfikowania – każda osoba, której tożsamość można określić
bezpośrednio lub pośrednio, w szczególności przez powołanie się na numer identyfikacyjny
albo jeden lub kilka specyficznych czynników określających jej cechy fizyczne, fizjologiczne,
umysłowe, ekonomiczne, kulturowe lub społeczne,
3) zbiór danych – każdy posiadający strukturę zestaw danych o charakterze osobowym,
dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest
rozproszony lub podzielony funkcjonalnie,
4) komputerowy zbiór danych – zbiór danych osobowych w formie elektronicznej,
5) tradycyjny zbiór danych – zbiór danych osobowych w formie papierowej (np. księgi, wykazy,
ewidencje),
6) przetwarzanie danych – jakiekolwiek operacje wykonywane na danych osobowych, takie jak
zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie
i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych,
7) Urząd – Urząd Miasta Bielsk Podlaski z siedzibą: 17–100 Bielsk Podlaski, ul. Mikołaja
Kopernika 1,
8) Administrator Danych Osobowych – Burmistrz Miasta Bielsk Podlaski reprezentujący Urząd,
który decyduje o celach i środkach przetwarzania danych osobowych oraz monitoruje
wdrożone zabezpieczenia systemu informatycznego,
Strona 1 z 11
Instrukcja zarządzania systemem informatycznym służącym do przetwarzania danych osobowych
9) Administrator Bezpieczeństwa Informacji – osoba nadzorująca przestrzeganie zasad
przetwarzania i ochrony danych osobowych,
10) Informatyk – osoba odpowiedzialna za bezpieczeństwo danych osobowych przetwarzanych
systemach informatycznych, w tym w szczególności za przeciwdziałanie dostępowi osób
trzecich do systemów oraz podejmowanie odpowiednich działań w przypadku wykrycia
naruszeń w tych systemach,
11) osoba upoważniona – osoba posiadająca upoważnienie do przetwarzania danych
osobowych w określonym zakresie wydane przez Administratora Danych Osobowych,
12) osoba uprawniona – osoba upoważniona lub inna osoba uprawniona do przetwarzania
danych osobowych na podstawie szczególnych przepisów prawa (lex specialis),
13) osoba trzecia – każda osoba nieuprawniona do przetwarzania danych osobowych będących
w posiadaniu Administratora Danych Osobowych, a także osoba posiadająca upoważnienie
wydane przez Administratora Danych Osobowych, ale podejmująca czynności w zakresie
przekraczającym zakres jej upoważnienia,
14) użytkownik systemu informatycznego – osoba upoważniona do przetwarzania danych
osobowych w określonym zakresie w systemie informatycznym służącym do przetwarzania
danych osobowych,
15) stacja robocza - stacjonarny lub przenośny komputer, umożliwiający użytkownikowi dostęp
do danych przetwarzanych w formie elektronicznej,
16) zewnętrzne nośniki danych - przedmiot fizyczny służący do zapisywania, przechowywania,
przetwarzania i transmisji danych (np. pendrive, CD, DVD),
17) zabezpieczenie systemu informatycznego – wdrożone przez Administratora
bezpieczeństwa informacji oraz Informatyka odpowiednie środki organizacyjne i techniczne w
celu zabezpieczenia zasobów oraz ochrony danych przed dostępem, modyfikacją
ujawnieniem, pozyskaniem lub zniszczeniem przez użytkownika lub osobę trzecią.
Zapewnienie bezpieczeństwa systemów informatycznych oznacza, utrzymanie takich
atrybutów informacji jak:
a) poufność – rozumie się przez to ograniczony i ściśle zdefiniowany krąg osób mających
dostęp do informacji,
b) integralność – rozumie się przez to właściwość zapewniającą, że dane osobowe nie
zostały zmienione lub zniszczone w sposób nieautoryzowany,
c) rozliczalność – rozumie się przez to właściwość zapewniającą, że działania podmiotu
mogą być przypisane w sposób jednoznaczny tylko temu podmiotowi,
d) uwierzytelnianie – rozumie się przez to działanie, którego celem jest weryfikacja
deklarowanej tożsamości podmiotu za pomocą,
−
identyfikatora użytkownika – przypisanego jednej osobie identyfikatora
jednoznacznie określającego użytkownika w systemie informatycznym,
−
hasła
– ciągu
znaków (stanowiącego tajemnicę użytkownika), który
w połączeniu z identyfikatorem użytkownika umożliwia uwierzytelnienie go
w systemie informatycznym.
18) raport – przygotowane
przetwarzanych danych,
przez system
informatyczny zestawienia
zakresu i
19) odbiorca danych – każdy, komu udostępniane są dane osobowe, z wyłączeniem:
a) osoby, której dane dotyczą,
b) osoby upoważnionej do przetwarzania danych,
Strona 2 z 11
treści
Instrukcja zarządzania systemem informatycznym służącym do przetwarzania danych osobowych
c) przedstawiciela, o którym mowa w art. 31a ustawy,
d) podmiotu, o którym mowa w art. 31 ustawy,
e) organów państwowych lub organów samorządu terytorialnego, którym dane są
udostępniane w związku z prowadzonym postępowaniem,
20) przetwarzający – podmiot, któremu zostało powierzone przetwarzanie danych osobowych na
podstawie umowy zawieranej zgodnie z art. 31 ustawy,
21) sieć publiczna – sieć publiczna w rozumieniu art. 2 pkt. 22 ustawy z dnia 21 lipca 2000 r.
Prawo telekomunikacyjne,
22) sieć telekomunikacyjna – sieć telekomunikacyjna w rozumieniu art. 2 pkt. 23 ustawy z dnia
21 lipca 2000 r. – Prawo telekomunikacyjne (DzU nr 73, poz. 852 ze zm.),
23) teletransmisja – przesyłanie informacji za pośrednictwem sieci telekomunikacyjnej,
24) serwisant – firma lub pracownik firmy zajmującej się sprzedażą, instalacją, naprawą
lub konserwacją sprzętu komputerowego,
25) ustawa – ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn. Dz. U
z 2002 r. nr 101, poz. 926 ze zm.),
26) rozporządzenie MSWiA – rozporządzenie Ministra Spraw Wewnętrznych i Administracji
z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz
warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy
informatyczne służące do przetwarzania danych osobowych (Dz. U nr 100, poz. 1024),
27) Polityka – Polityka Bezpieczeństwa danych osobowych,
28) Instrukcja – niniejsza Instrukcja zarządzania systemem informatycznych służącym do
przetwarzania danych osobowych,
29) zakres czynności – zakres czynności, upoważnień, odpowiedzialności i zastępstwa
wynikającego ze stanowiska służbowego i pełnionego stanowiska.
§ 3. Poziom bezpieczeństwa
1. Uwzględniając kategorie danych osobowych oraz konieczność zachowania bezpieczeństwa
ich przetwarzania w systemie informatycznym połączonym z siecią publiczną, w Urzędzie
obowiązuje wysoki poziom bezpieczeństwa w rozumieniu § 6 rozporządzenia MSWiA.
2. Ze względu na wysoki poziom bezpieczeństwa w Urzędzie wyodrębnia się:
1) I strefę bezpieczeństwa, która obejmuje serwerownię (pok. 2), kasę (pok 10), ewidencję
ludności i dowodów osobistych (pok. 6, 7) oraz pomieszczenie w którym przechowywane są
kopie zapasowe elektronicznych zbiorów danych osobowych (pok. 40),
2) II strefę bezpieczeństwa, która obejmuje wszystkie pozostałe pomieszczenia zaliczone do
obszaru przetwarzania danych w siedzibie Administratora Danych Osobowych.
3. W I strefie bezpieczeństwa:
1) dostęp do pomieszczeń mają osoby upoważnione do przetwarzania danych osobowych,
osoby z obsługi porządkowo-technicznej oraz osoby trzecie tylko w obecności osoby
posiadającej stałe miejsce pracy w tym pomieszczeniu,
2) pomieszczenia są chronione systemem antywłamaniowym,
3) okna są chronione za pomocą krat.
Strona 3 z 11
Instrukcja zarządzania systemem informatycznym służącym do przetwarzania danych osobowych
4. W II strefie bezpieczeństwa dostęp do pomieszczeń mają wszystkie osoby upoważnione do
przetwarzania danych osobowych zgodnie z zakresami tych upoważnień lub osoby z obsługi
porządkowo-technicznej upoważnione do przebywania w tych pomieszczeniach, a osoby
nieuprawnione mogą przebywać wyłącznie w obecności upoważnionego pracownika.
5. Podstawowe klucze do pomieszczeń są wydawane pracownikom za pokwitowaniem pierwszego
dnia pracy, a zwracane wraz z ustaniem zatrudnienia, natomiast zapasowe klucze są
przechowywane w Referacie Organizacyjno-Gospodarczym.
§ 4. Procedury zarządzania i użytkowania uprawnień
do przetwarzania danych osobowych
1. Dostęp do systemu informatycznego służącego do przetwarzania danych osobowych może
uzyskać wyłącznie osoba upoważniona przez Administratora Danych Osobowych, zgodnie
z Polityką.
2. Indywidualny niepowtarzalny Identyfikator i pierwsze hasło dostępu do systemu informatycznego
jest przydzielany ustnie przez Informatyka w porozumieniu z Kierownikiem Referatu
Organizacyjno-Gospodarczego i Administratorem Bezpieczeństwa Informacji. Użytkownik
systemu informatycznego jest zobowiązany do zmiany przyznanego pierwszego hasła na nowe
bezzwłocznie po jego otrzymaniu oraz zachowania nowego hasła w tajemnicy.
3. Uprawnienia dostępu do programu „System obsługi obywateli”, są przydzielane zgodnie
z zasadami ustalonymi dla tego systemu przez Centrum Personalizacji Dokumentów,
ul. Pawińskiego 17/21, 02-106 Warszawa wraz z wydaniem imiennej karty mikroprocesorowej ze
zdjęciem użytkownika systemu.
4. Dane osobowe przetwarzane w programie EwOpis, są przekazywane raz w miesiącu na płycie
CD-R przez Starostwo Powiatowe w Bielsku Podlaskim, ul. Mickiewicza 46, 17-100 Bielsk
Podlaski na wniosek „o udostępnienie części opisowej i graficznej ewidencji gruntów w postaci
numerycznej”. Uprawnienia dostępu do programu EwOpis są przydzielane przez Informatyka
zgodnie z zasadami zawartymi w niniejszej Instrukcji oraz Polityce bezpieczeństwa.
5. Na podstawie przyznanego identyfikatora lub karty mikroprocesorowej użytkownik ma dostęp do
ściśle określonych zasobów systemu informatycznego zgodnie z zakresem czynności oraz
zakresem upoważnienia do przetwarzania danych osobowych.
6. W przypadku zmian w zakresie czynności lub zakresie upoważnienia do przetwarzania danych
osobowych zakres uprawnień dostępu do zasobów systemu informatycznego podlega
natychmiastowej modyfikacji przez Informatyka w porozumieniu z Kierownikiem Referatu
Organizacyjno-Gospodarczego i Administratorem Bezpieczeństwa Informacji.
7. Zasady blokowania identyfikatora użytkownika systemu informatycznego:
1) zablokowanie identyfikatora
informatycznego,
użytkownika
skutkuje
brakiem
dostępu
do
systemu
2) zablokowanie identyfikatora oraz hasła użytkownika może być czasowe, to jest do momentu
ustania przyczyny uzasadniającej blokadę, lub trwałe,
3) przyczyną czasowego zablokowania identyfikatora użytkownika może być:
a) wypowiedzenie umowy o pracę (do czasu rozwiązania stosunku pracy),
b) wszczęcie postępowania dyscyplinarnego
przetwarzania danych osobowych,
Strona 4 z 11
względem
osoby
upoważnionej
do
Instrukcja zarządzania systemem informatycznym służącym do przetwarzania danych osobowych
c) długotrwała nieobecność w pracy (np. urlop, zwolnienie lekarskie),
d) inne istotne okoliczności.
4) przyczyną trwałego zablokowania identyfikatora użytkownika jest rozwiązanie lub wygaśnięcie
stosunku pracy lub innego stosunku prawnego, w ramach którego zatrudniony był użytkownik,
5) zablokowania identyfikatora użytkownika dokonuje Informatyk w porozumieniu z Kierownikiem
Referatu Organizacyjno-Gospodarczego,
6) identyfikator użytkownika, który na stałe stracił uprawnienia do przetwarzania danych
osobowych, nie może być przydzielony innej osobie.
8. Identyfikator użytkownika systemu informatycznego składa się z co najmniej sześciu unikalnych
znaków. W identyfikatorze nie stosuje się polskich znaków diakrytycznych.
9. Do haseł stosuje się następujące zasady:
1) hasło powinno składać się z unikalnego zestawu co najmniej ośmiu znaków oraz zawierać
małe i wielkie litery oraz cyfry lub znaki specjalne,
2) hasło nie może być identyczne z identyfikatorem użytkownika ani jego imieniem lub
nazwiskiem,
3) hasło traci ważność po upływie 30 dni od nadania lub ostatniej zmiany hasła, w tym
rozumieniu, że użytkownik dalej nie może się nim posługiwać,
4) po upływie okresu podanego w pkt. 3 hasło może zmienić sam użytkownik lub też, jeśli system
nie pozwala na zmianę hasła przez użytkownika, hasło zmienia Informatyk w porozumieniu
z użytkownikiem,
5) hasła użytkowników przechowywane są w systemie informatycznym w postaci zaszyfrowanej.
10. Informatycy korzystają ze wspólnego identyfikatora i hasła uprawniających do zarządzania
systemem informatycznym na poziomie administratora. Do hasła stosuje się zasady, o których
mowa w ust. 8.
11. Na wypadek sytuacji awaryjnych (np. nieobecność Informatyków) hasło do systemu
informatycznego na poziomie administratora jest dodatkowo przechowywane w zaklejonej
i ostemplowanej kopercie w miejscu zabezpieczającym ją przed nieuprawnionym przejęciem lub
zniszczeniem i może być wykorzystane przez Kierownika Referatu Organizacyjno-Gospodarczego
w porozumieniu z Administratorem Danych Osobowych. Każde awaryjne użycie hasła do systemu
informatycznego na poziomie administratora wymaga bezzwłocznej jego zmiany oraz
odnotowania w formie notatki służbowej i dołączenia do dokumentacji systemu ochrony danych
osobowych w Urzędzie.
§ 5. Procedury rozpoczęcia, zawieszenia i zakończenia pracy
przeznaczone dla użytkowników systemu informatycznego
1. Rozpoczęcie pracy w systemie informatycznym na stacji roboczej wymaga wprowadzenia
indywidualnego identyfikatora i hasła użytkownika. W przypadku pracy kilku użytkowników
na jednej stacji roboczej wymagane jest wprowadzanie odrębnych identyfikatorów i haseł
przez poszczególnych użytkowników (tzw. przelogowanie).
2. W przypadku braku możliwości wprowadzenia indywidualnego identyfikatora i/lub hasła, bądź
braku dostępu do określonych zasobów systemu, wymagany jest niezwłoczny kontakt
z Informatykiem.
Strona 5 z 11
Instrukcja zarządzania systemem informatycznym służącym do przetwarzania danych osobowych
3. Zakończenie pracy na stacji roboczej następuje po prawidłowym wylogowaniu się użytkownika
i wyłączeniu komputera oraz wyłączeniu zasilacza awaryjnego lub listwy zasilającej.
4. Stacje robocze wyposażone są w wygaszacze ekranu, włączające się najpóźniej po 5 minutach
od przerwania pracy. Wznowienie pracy w systemie przy aktywnym wygaszaczu wymaga
wpisania odpowiedniego hasła użytkownika
5. W przypadku konieczności opuszczenia stanowiska pracy użytkownik obowiązany jest
niezwłocznie zablokować ekran ręcznie (opcja „Zablokuj” z menu „Start” lub kombinacja
klawiszy ”klawisz z logo Windows i klawisz L”) lub wylogować się z systemu. Wznowienie pracy
wymaga wprowadzenia odpowiedniego hasła użytkownika i tym samym odblokowania ekranu
monitora lub ponownego uruchomienia systemu
6. W pomieszczeniu, w którym przetwarzane są dane osobowe mogą znajdować się osoby
nieuprawnione tylko za zgodą i w obecności użytkownika, Informatyka lub Administratora
Bezpieczeństwa Informacji.
7. Należy uniemożliwiać podgląd danych osobowych przez osoby nieuprawnione na:
1) ekranach komputerów, w szczególności przez stosowanie wygaszaczy ekranów i odpowiednie
ustawienie ekranów,
2) wydrukach i nośnikach informacji, leżących na biurkach oraz w pobliżu stanowiska pracy
w zasięgu osób nieuprawnionych.
8. Przed opuszczeniem miejsca pracy należy:
1) zakończyć pracę na stacji roboczej zgodnie z ust. 3,
2) schować do zamykanych na klucz szaf wszelkie akta, dokumenty i/lub wydruki zawierające
dane osobowe, a niepotrzebne zniszczyć w sposób uniemożliwiający ich odtworzenie
(np. w niszczarce),
3) umieścić klucze do szaf w ustalonym, przeznaczonym do tego miejscu,
4) zamknąć otwarte wcześniej okna,
5) opuszczając pokój, należy zamknąć za sobą drzwi na klucz.
9. Komputery wyposażone są w odpowiednie programy ochrony antywirusowej, których aktualizacja
następuje automatycznie, kiedy komputer jest podłączony do sieci Internet, a w przypadku
komputerów niepodłączonych do sieci Internet – ręcznie przez Informatyka.
10. Obowiązuje zakaz robienia kopii całych zbiorów danych lub ich fragmentów na potrzeby
niezwiązane z realizowanymi zadaniami. W innych przypadkach zbiory danych mogą być
kopiowane tylko przez Informatyka, Administratora Bezpieczeństwa Informacji lub automatycznie
przez system informatyczny, z zachowaniem procedur ochrony danych osobowych.
11. Obowiązuje bezwzględny zakaz używania i wynoszenia poza teren Urzędu jakichkolwiek
zewnętrznych nośników informacji lub dokumentów zawierających dane osobowe bez uprzedniej
zgody Administratora Danych Osobowych, z wyjątkiem sytuacji, w których jest to niezbędne
ze względu na specyfikę realizowanego zadania.
12. Obowiązuje bezwzględny zakaz samodzielnej modernizacji oprogramowania i sprzętu przez
użytkowników na stacjach roboczych. Wszelkie zmiany mogą być dokonywane tylko przez
Informatyka lub pod jego nadzorem, stosownie do wymagań niniejszej Instrukcji i/lub instrukcji
użytkowania systemu, programu, urządzenia, itp.
Strona 6 z 11
Instrukcja zarządzania systemem informatycznym służącym do przetwarzania danych osobowych
13. W razie wystąpienia usterek w pracy komputerów lub błędów wygenerowanych przez system
informatyczny, a także w razie konieczności ręcznej aktualizacji oprogramowania należy zgłosić
ten fakt Informatykowi.
14. Przy przetwarzaniu danych osobowych na komputerach przenośnych obowiązują procedury jak
podczas pracy na komputerach stacjonarnych. Dodatkowo:
1) obowiązuje bezwzględny zakaz używania komputerów przenośnych przez osoby inne niż
użytkownicy, którym zostały one powierzone,
2) użytkownicy, którym zostały powierzone komputery przenośne, powinni chronić je przed
uszkodzeniem, kradzieżą i dostępem osób postronnych, a także zachować szczególną
ostrożność podczas ich transportu,
3) Informatyk prowadzi ewidencję powierzenia i zwrotu komputerów przenośnych.
§ 6. Procedury tworzenia, przechowywania i niszczenia kopii zapasowych
1. Zbiory danych osobowych przetwarzane w systemie informatycznym są przechowywane na
serwerze obsługującym system informatyczny Administratora Danych Osobowych, przy czym
dane przetwarzane w systemie informatycznym na stacjach roboczych są niezwłocznie
umieszczane w odpowiednich miejscach na serwerze,
2. Kopie bezpieczeństwa komputerowych zbiorów danych osobowych oraz kopie systemów
informatycznych są wykonywane całościowo po stronie serwera, na którym się znajdują, na
taśmach magnetycznych i/lub zewnętrznych dyskach twardych. Kopiowanie następuje
automatycznie w każdym dniu roboczym o określonej stałej porze. Taśmy magnetyczne i dyski
zewnętrzne są wymieniane przed każdym zapisem z zachowaniem tygodniowego cyklu rotacji.
Całkowity czas użytkowania nośników jest zgodny z zaleceniami producenta.
3. Nad poprawnym wykonywaniem kopii bezpieczeństwa nadzór sprawuje Informatyk.
4. W celu zapewnienia poprawności wykonywanych kopii bezpieczeństwa Informatyk, co najmniej
raz w miesiącu, poddaje testowi cyklicznie wybraną kopię. Próba polega na odtworzeniu danych
w warunkach testowych i sprawdzeniu, czy jest możliwość ich odczytania.
5. Kopie bezpieczeństwa przechowuje się przez okres co najmniej 7 dni, ale nie dłużej niż
konieczność ich używania, w szafie ogniotrwałej w pomieszczeniu innym niż Serwerownia,
wyposażonym w system wykrywania pożaru. Dostęp do kopii bezpieczeństwa posiada wyłącznie
Informatyk, Kierownik Referatu Organizacyjno-Gospodarczego oraz inny upoważniony pracownik
Urzędu.
6. Po zakończeniu eksploatacji lub uszkodzeniu zewnętrznych nośników danych służących do
sporządzania kopii zapasowych dokonuje się fizycznego ich zniszczenia w sposób
uniemożliwiających ich odczytanie.
§ 7. Procedura używania, przechowywania i niszczenia elektronicznych nośników
informacji zawierających dane osobowe
1. Elektroniczne zewnętrzne nośniki informacji mogą być używane w wyjątkowych sytuacjach
związanych z realizacją określonych zadań, a w innych przypadkach wyłącznie za zgodą
Administratora Bezpieczeństwa Informacji.
Strona 7 z 11
Instrukcja zarządzania systemem informatycznym służącym do przetwarzania danych osobowych
2. W przypadku posługiwania się elektronicznymi nośnikami informacji pochodzącymi od podmiotu
zewnętrznego, użytkownik jest zobowiązany do uprzedniego sprawdzenia go programem
antywirusowym w celu wyeliminowania ewentualnych zagrożeń.
3. Zakazuje się przetwarzania zbiorów danych osobowych w całości na elektronicznych
zewnętrznych nośnikach informacji oraz ich przesyłania pocztą elektroniczną, nawet w postaci
zaszyfrowanej. Dopuszczalne jest przetwarzanie jedynie jednostkowych danych osobowych.
4. Elektroniczne zewnętrzne nośniki informacji zawierające dane osobowe są przechowywane
w miejscach zabezpieczających je przed nieuprawnionym przejęciem, modyfikacją, uszkodzeniem
lub zniszczeniem zgodnie z wymogami przewidzianymi dla danych osobowych w formie
tradycyjnej (papierowej) w Polityce bezpieczeństwa.
5. Nośniki informacji jednorazowego użytku takie jak płyty CD-R, DVD-R, zawierające nieaktualne
lub zbędne kopie danych likwiduje się poprzez fizyczne zniszczenie w taki sposób, by nie można
było odczytać ich zawartości.
6. Nośniki informacji wielorazowego użytku, takie jak dyski twarde, pendrive, płyty CD-RW, DVD-RW,
dyskietki, itp., zawierające nieaktualne lub zbędne kopie danych, można wykorzystać ponownie
po uprzednim usunięciu ich zawartości w sposób uniemożliwiający ich odzyskanie.
7. Nośniki informacji wielorazowego użytku nienadające się do ponownego użycia, a mogące
zawierać dane osobowe, niszczy się fizycznie w taki sposób, by nie można było odczytać ich
zawartości.
§ 8. Sposób zabezpieczenia systemu informatycznego
przed działalnością oprogramowania, którego celem jest uzyskanie
nieuprawnionego dostępu do systemu informatycznego
1. W Urzędzie nie wyodrębnia się stacji roboczych dedykowanych do przetwarzania danych
osobowych, a wszystkie stanowiska komputerowe są połączone z siecią wewnętrzną i pośrednio
z siecią publiczną (za wyjątkiem komputerów przeznaczonych do obsługi systemu
informatycznego – „System Obsługi Obywateli”).
2. Z uwagi na wysokie ryzyko ingerencji wirusów komputerowych oraz wszelkiego rodzaju innego
szkodliwego oprogramowania pochodzącego z sieci publicznej oraz użycia zewnętrznych
elektronicznych nośników informacji, w Urzędzie stosuje się oprogramowanie antywirusowe
na serwerach i stacjach roboczych. Dodatkowo dostęp do sieci publicznej z poszczególnych stacji
roboczych jest chroniony centralnie specjalnym urządzeniem sprzętowym typu Firewall,
który stanowi jedyne połączenie z siecią zewnętrzną.
3. Sprawdzanie obecności wirusów komputerowych w systemie informatycznym oraz ich usuwanie
odbywa się przy wykorzystaniu oprogramowania, o którym mowa w ust. 2, sprawującego ciągły
nadzór (ciągła praca w tle) nad pracą systemu informatycznego i jego zasobami oraz serwerami
i stacjami roboczymi.
4. Niezależnie od ciągłego nadzoru, o którym mowa w ust. 3, Informatyk:
1) nie rzadziej niż raz na tydzień za pomocą konsoli administracyjnej programu antywirusowego
przeprowadza pełną kontrolę obecności wirusów komputerowych w systemie oraz jego
zasobach, jak również w serwerach i stacjach roboczych,
2) nie rzadziej niż raz na 90 dni przeprowadza wyrywkową kontrolę aktualności programu
antywirusowego oraz obecności wirusów komputerowych w komputerach przenośnych
będących własnością Urzędu.
Strona 8 z 11
Instrukcja zarządzania systemem informatycznym służącym do przetwarzania danych osobowych
5. Do obowiązków Informatyka należy nadzór nad zakupem i przechowywaniem odpowiednich
licencji oprogramowania antywirusowego.
6. Użytkownik jest obowiązany niezwłocznie zawiadomić Informatyka o pojawiających się
komunikatach,
wskazujących
na
wystąpienie
zagrożenia
wywołanego
szkodliwym
oprogramowaniem.
§ 9. Kontrola nad wprowadzaniem, dalszym przetwarzaniem
i udostępnianiem danych osobowych
1. System informatyczny Administratora Danych Osobowych zapewnia odnotowanie:
1) daty pierwszego wprowadzenia danych do systemu,
2) przypisanie wprowadzanych danych użytkownikowi (identyfikatorowi użytkownika), który te
dane wprowadza do systemu,
3) źródła danych, w przypadku zbierania danych nie od osoby, której one dotyczą,
4) informacji o odbiorcach danych w rozumieniu art. 7 pkt. 6 ustawy, którym dane zostały
udostępnione oraz dacie i zakresie tego udostępnienia (chyba, że system informatyczny jest
używany do przetwarzania danych w zbiorach jawnych),
2. Odnotowanie informacji, o której mowa w ust. 1 pkt 1 i 2, następuje automatycznie po
zatwierdzeniu przez użytkownika operacji wprowadzenia danych.
3. Dla każdej osoby, której dane są przetwarzane w danym systemie informatycznym, system
zapewnia sporządzenie i wydrukowanie raportu zawierającego w powszechniej zrozumiałe formie
informacji, o której mowa w ust. 1.
§ 10. Procedury wykonywania przeglądów, konserwacji i naprawy systemów oraz
elektronicznych nośników informacji służących do przetwarzania danych
1. Doraźne przeglądy i konserwacje oraz drobne naprawy lub zmiany systemu informatycznego oraz
Sewerów i stacji roboczych Administratora Danych Osobowych są dokonywane przez Informatyka.
Pozostałe przeglądy, konserwacje, naprawy lub zmiany są przeprowadzane przez serwisanta lub
inny podmiot zewnętrzny pod nadzorem Informatyka w siedzibie Administratora Danych
Osobowych z zachowaniem zasad ochrony danych osobowych.
2. Jeśli jest to konieczne naprawy i zmiany mogą być dokonywane przez serwisanta danego
systemu poza siedzibą Administratora Danych Osobowych wyłącznie na podstawie odpowiednich
umów zawierających zapisy o powierzeniu przetwarzania danych osobowych lub po uprzednim
usunięciu danych w nich przetwarzanych w sposób uniemożliwiający ich odczytanie.
§ 11. Postępowanie w przypadku stwierdzenia naruszenia bezpieczeństwa
systemu informatycznego
1. Użytkownik systemu informatycznego zobowiązany jest zawiadomić niezwłocznie Administratora
Bezpieczeństwa Informacji lub Informatyka o każdym naruszeniu lub podejrzeniu naruszenia
bezpieczeństwa systemu informatycznego, a w szczególności o:
1) użyciu hasła dostępu i identyfikatora przez inne osoby niż dany użytkownik,
Strona 9 z 11
Instrukcja zarządzania systemem informatycznym służącym do przetwarzania danych osobowych
2) naruszeniu hasła dostępu i identyfikatora (system nie reaguje na hasło lub je ignoruje bądź
można przetwarzać dane bez wprowadzenia hasła),
3) nieuprawnionej modyfikacji danych, uszkodzeniu lub zniszczeniu,
4) częściowym lub całkowitym braku danych albo dostępie do danych w zakresie szerszym niż
wynikający z przyznanych uprawnień,
5) braku dostępu do właściwej aplikacji lub zmianie zakresu wyznaczonego dostępu do zasobów,
6) wykryciu wirusa komputerowego przez program antywirusowy,
7) próbie włamania do systemu informatycznego,
8) znacznym spowolnieniu działania systemu informatycznego lub innym nieprawidłowym
funkcjonowaniu,
9) podejrzeniu kradzieży sprzętu komputerowego lub dokumentów zawierających dane osobowe,
10) zmianie położenia sprzętu komputerowego,
11) zauważeniu śladów usiłowania lub dokonania włamania do pomieszczeń lub zamykanych szaf.
2. Do czasu przybycia na miejsce Administratora Bezpieczeństwa Informacji należy:
1) niezwłocznie, o ile to możliwe, podjąć czynności niezbędne dla powstrzymania niepożądanych
skutków zaistniałego zdarzenia, a następnie uwzględnić w działaniu również ustalenie jego
przyczyn lub sprawców,
2) wstrzymanie bieżącej pracy na komputerze lub pracy biurowej w celu zabezpieczenia miejsca
zdarzenia,
3) zaniechać, o ile to możliwe, dalszych planowanych przedsięwzięć, które wiążą się
z zaistniałym naruszeniem i mogą utrudnić udokumentowanie i analizę,
4) zastosować się do instrukcji obsługi, regulaminów lub dokumentacji aplikacji, jeśli odnoszą się
one do zaistniałego przypadku,
5) nie opuszczać bez uzasadnionej przyczyny miejsca zdarzenia do czasu przybycia
Administratora Bezpieczeństwa Informacji lub osoby przez niego wskazanej.
3. Administrator Bezpieczeństwa Informacji jest obowiązany niezwłocznie:
1) poinformować Administratora Danych Osobowych o naruszeniu lub podejrzeniu naruszenia
bezpieczeństwa systemu,
2) przeprowadzić postępowanie wyjaśniające w celu ustalenia okoliczności naruszenia ochrony
danych osobowych i przygotować opis incydentu,
3) podjąć działania chroniące system przed ponownym naruszeniem w porozumieniu
z Administratorem Danych Osobowych, w szczególności w razie potrzeby, może zarządzić
odłączenie części systemu informatycznego dotkniętej incydentem od pozostałej jego części.
4. W razie odtwarzania danych z kopii zapasowych Informatyk zobowiązany jest upewnić się,
że odtwarzane dane zapisane zostały przed wystąpieniem incydentu.
5. Administrator Danych Osobowych po zapoznaniu się z opisem, o którym mowa w ust. 3 pkt 2,
podejmuje decyzję o dalszym trybie postępowania, powiadomieniu właściwych organów oraz
podjęciu innych szczególnych czynności zapewniających bezpieczeństwo systemu
informatycznego Administratora Danych Osobowych bądź zastosowaniu środków ochrony
fizycznej.
6. Informatyk jest zobowiązany do natychmiastowego informowania Administratora Danych
Osobowych o wszelkich awariach systemu informatycznego, zauważonych przypadkach
naruszenia niniejszej Instrukcji przez użytkowników, a zwłaszcza o przypadkach posługiwania się
przez użytkowników nieautoryzowanymi programami, nieprzestrzegania zasad używania
Strona 10 z 11
Instrukcja zarządzania systemem informatycznym służącym do przetwarzania danych osobowych
oprogramowania antywirusowego, niewłaściwego wykorzystania sprzętu komputerowego lub
przetwarzania danych w sposób niezgodny z procedurami ochrony danych osobowych.
§ 12. Postanowienia końcowe
1. W sprawach nieuregulowanych niniejszą Instrukcją należy stosować postanowienia Polityki
bezpieczeństwa, a także instrukcje obsługi i zalecenia producentów aktualnie wykorzystywanych
urządzeń i programów oraz umów serwisowych.
2. Każda osoba upoważniona do przetwarzania danych osobowych jest zobowiązana zapoznać się
z niniejszą Instrukcją przed dopuszczeniem do przetwarzania danych oraz złożyć stosowne
oświadczenie, potwierdzające znajomość jej treści.
3. Niezastosowanie się do procedur określonych w niniejszej Instrukcji przez pracowników
upoważnionych do przetwarzania danych osobowych może być potraktowane jako ciężkie
naruszenie obowiązków pracowniczych, skutkujące rozwiązaniem stosunku pracy bez
wypowiedzenia na podstawie art. 52 kp. 2. Niezależnie od rozwiązania stosunku pracy osoby
popełniające przestępstwo będą pociągane do odpowiedzialności karnej zwłaszcza na podstawie
art. 51-52 ustawy oraz art. 266 Kodeksu karnego.
Strona 11 z 11