Polityka bezpieczeństwa

POLITYKA BEZPIECZEŃSTWA DANYCH OSOBOWYCH
Fiber-Polska Tomasz Kura

§ 1
Postanowienia wstępne

1. Polityka bezpieczeństwa zwana dalej „Polityką”, określa środki techniczne i organizacyjne niezbędne dla zapewnienia poufności, integralności i rozliczalności przetwarzanych danych, a także sposób przepływu danych pomiędzy poszczególnymi systemami oraz wykaz budynków, pomieszczeń lub części pomieszczeń, tworzących obszar, w którym przetwarzane są dane osobowe. Ponadto niniejsza Polityka zawiera wykaz zbiorów danych osobowych wraz ze wskazaniem programów zastosowanych do przetwarzania tych danych oraz opis struktury zbiorów danych, a także tryb postępowania w przypadku stwierdzenia naruszenia ochrony danych osobowych w systemach informatycznych lub kartotekach, albo w sytuacji powzięcia podejrzenia o takim naruszeniu. Polityka została opracowana zgodnie z wymogami zawartymi w ustawie z dnia 29 sierpnia 1997 roku o ochronie danych osobowych (Dz.U. z 2002 r. nr 101, poz. 926 z pózn. zmianami) oraz w rozporządzeniu Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. Nr 100, poz. 1024.).

§ 2.
Definicje

1. Ilekroć w Polityce jest mowa o:

• zbiorze danych – rozumie się przez to każdy posiadający strukturę zestaw danych umożliwiających identyfikację osoby, dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest rozproszony lub podzielony funkcjonalnie,
• przetwarzaniu danych – rozumie się przez to jakiekolwiek operacje wykonywane na danych osobowych, w szczególności zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza wykonywane w systemach informatycznych,
• systemie informatycznym – rozumie się przez to zespół urządzeń, programów, procedur przetwarzania informacji i narzędzi informatycznych współpracujących ze sobą, stosowanych w celu przetwarzania danych,
• kartotece – rozumie się przez to zewidencjonowany, usystematyzowany zbiór skoroszytów, wydruków komputerowych i innej dokumentacji gromadzonej w formie papierowej, zawierających dane osobowe,
• Administratorze Danych – rozumie się przez to Tomasza Kurę działającego pod firmą Fiber-Polska Tomasz Kura Ul. Wierzbowa 17 43-170 Łaziska Górne, REGON: 272302240
• Administratorze Bezpieczeństwa Informacji – rozumie się przez to osobę nadzorującą przestrzeganie zasad ochrony danych osobowych, która jest obowiązana zastosować środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną, a także podejmować odpowiednie działania w przypadku stwierdzenia naruszenia zasad ochrony danych osobowych
• użytkowniku – rozumie się przez to osobę wyznaczoną przez Administratora lub osobę przez niego upoważnioną, uprawnioną do bezpośredniego dostępu do danych osobowych przetwarzanych w systemie informatycznym oraz kartotekach, posiadającą ustalony identyfikator i hasło oraz upoważnienie do przetwarzania danych osobowych
• pracowniku ochrony – rozumie się przez to osobę wykonującą zadania z zakresu ochrony osób i mienia na rzecz Administratora Danych,
• pomieszczeniach – rozumie się przez to budynki, pomieszczenia lub części pomieszczeń określone przez Administratora Danych, tworzące obszar, w którym przetwarzane są dane osobowe z użyciem stacjonarnego sprzętu komputerowego oraz gromadzone w kartotekach.

§ 3.
Sposoby ochrony danych osobowych

1. Ochrona danych osobowych jest realizowana poprzez: zabezpieczenia fizyczne, procedury organizacyjne, oprogramowanie systemowe, aplikacje oraz przez użytkowników, co ma na celu zwiększenie efektywności ochrony.
2. Zastosowane zabezpieczenia gwarantują:

• poufność danych – rozumie się przez to cechę zapewniającą, że dane nie są udostępniane nieupoważnionym podmiotom,
• integralność danych – rozumie się przez to cechę zapewniającą, że dane osobowe nie zostały zmienione lub zniszczone w sposób nieautoryzowany,
• rozliczalność – rozumie się przez to cechę zapewniającą, że działania podmiotu mogą być przypisane w sposób jednoznaczny tylko temu podmiotowi,
• integralność systemu – rozumie się przez to nienaruszalność systemu, niemożność jakiejkolwiek manipulacji,
• uwierzytelnianie – rozumie się przez to działanie, którego celem jest weryfikacja deklarowanej tożsamości podmiotu.

§ 4.

Realizację zamierzeń określonych w § 3 ust. 2 powinny zagwarantować następujące założenia:

1. wdrożenie procedur określających postępowanie osób zatrudnionych przy przetwarzaniu danych osobowych oraz ich odpowiedzialność za bezpieczeństwo tych danych,
2. przeszkolenie użytkowników w zakresie bezpieczeństwa i ochrony danych osobowych,
3. przypisanie użytkownikom określonych, pozwalających na ich identyfikację haseł i loginów, zapewniających im dostęp do baz danych osobowych zgodnie z wynikającymi z zakresu obowiązków upoważnieniami do przetwarzania danych osobowych
4. podejmowanie działań w celu likwidacji słabych luk w systemie zabezpieczeń ,
5. okresowa kontrola przestrzegania przez użytkowników wdrożonych metod postępowania przy przetwarzaniu danych osobowych,
6. opracowanie procedur odtwarzania systemu w przypadku wystąpienia awarii i błędów krytycznych,
7. wdrażanie nowych narzędzi i metod pracy oraz sposobów zarządzania systemami informatycznymi, które będą służyły wzmocnieniu bezpieczeństwa danych osobowych

§ 5.
Naruszenia ochrony danych osobowych

1. Za naruszenie ochrony danych osobowych uważa się w szczególności:

• nieuprawniony dostęp lub próbę dostępu do danych osobowych lub pomieszczeń , w których się one znajdują,
• wszelkie modyfikacje danych osobowych lub próby ich dokonania przez osoby nieuprawnione (np. zmian zawartości danych, utrat całości lub części danych),
• naruszenie lub próby naruszenia integralności systemu,
• zmianę lub utratę danych zapisanych na kopiach zapasowych,
• naruszenie lub próby naruszenia poufności danych lub ich części,
• nieuprawniony dostęp (sygnał o nielegalnym logowaniu lub inny objaw wskazujący na próbę lub działanie związane z nielegalnym dostępem do systemu),
• udostępnienie osobom nieupoważnionym danych osobowych lub ich części,
• zniszczenie, uszkodzenie lub wszelkie próby nieuprawnionej ingerencji w systemy informatyczne zmierzające do zakłócenia ich działania bądź pozyskania w sposób niedozwolony (lub w celach niezgodnych z przeznaczeniem) danych zawartych w systemach informatycznych lub kartotekach,
• inny stan systemu informatycznego lub pomieszczeń niż pozostawiony przez użytkownika po zakończeniu pracy.

Za naruszenie ochrony danych osobowych uważa się również włamanie do budynku lub pomieszczeń, w których przetwarzane są dane osobowe lub próby takich działań.

§ 6.
Zasady ochrony danych osobowych

1. Każdy nowo zatrudniany pracownik mający dostęp do danych osobowych, przed dopuszczeniem do dostępu do danych osobowych podlega przeszkoleniu w zakresie przepisów o ochronie danych osobowych oraz wynikających z nich zadań oraz obowiązków, w szczególności poprzez zapoznanie go z treścią niniejszej polityki.
2. Wszyscy użytkownicy podlegają okresowym szkoleniom, stosownie do potrzeb wynikających ze zmian w systemie informatycznym (wymiana sprzętu na nowszej generacji, zmiana oprogramowania) oraz w związku ze zmianą przepisów o ochronie danych osobowych lub zmian wewnętrznych regulacji.
3. Za organizację szkoleń, odpowiedzialny jest Administrator Bezpieczeństwa Informacji.

§ 7.

Użytkownicy powinni mieć świadomość możliwości zaistnienia sytuacji naruszenia ochrony danych osobowych. W tym celu należy:

1) przestrzegać procedur związanych z otwieraniem i zamykaniem pomieszczeń , a także z wejściem do obszarów przetwarzania danych osobowych osób nieupoważnionych,
2) informować Administratora Bezpieczeństwa Informacji lub pracowników ochrony o podejrzanych osobach, tj.:
a) osobach zachowujących się nienormalnie np. nieodpowiednio ubranych do pory roku, dnia i pogody;
b) osobach przebywających w obiekcie bez wyraźnego celu;
c) osobach posiadających przy sobie podejrzane bagaże, w których mogą być ukryte niebezpieczne przedmioty;
3) przestrzegać zasad i procedur ochrony danych osobowych, w czasie pracy a także po jej zakończeniu.

§ 8.
Podstawowe zabezpieczenia

Do podstawowych zabezpieczeń przed naruszeniem ochrony danych osobowych należą:
1) ochrona obiektu przez wszystkie dni w roku,
2) wydzielanie pomieszczeń ,
3) wyposażenie pomieszczeń w specjalne szafy,
4) zabezpieczenie wejść do pomieszczeń odpowiednimi zamkami,

§ 9.

1. Klucze do pomieszczeń, w których znajdują się szafy, w których przechowywane są kartoteki wydawane są wyłącznie osobom do tego uprawnionym.
2. Klucze zapasowe do pomieszczeń szaf, w których przechowywane są kartoteki powinny być umieszczone w specjalnej szafie i mogą być wydawane w sytuacjach awaryjnych.
3. Każdorazowe zdanie i pobranie kluczy zapasowych podlega wpisowi do rejestru, w rejestrze odnotowuje się datę, godzinę i nazwisko osoby zdającej lub pobierającej klucze oraz potwierdza jej podpisem.
4. Użytkownicy, o których mowa w ust. 1, odpowiedzialni są za rzetelne prowadzenie kartotek, ich kompletność oraz ochronę.

§ 10.

1. Przetwarzanie danych osobowych z użyciem stacjonarnego sprzętu komputerowego oraz karotek odbywa się wyłącznie w pomieszczeniach wyznaczonych przez Administratora Danych. Przetwarzanie danych osobowych za pomocą urządzeń przenośnych może odbywać się poza tymi pomieszczeniami wyłącznie za zgodą Administratora Bezpieczeństwa Informacji.
2. Szczegółowy wykaz pomieszczeń tworzących obszar w którym przetwarzane są dane osobowe określa załącznik Nr 1 do Polityki.

§ 11.

1. W celu ograniczenia dostępu osób postronnych do pomieszczeń , w których zlokalizowano przetwarzanie danych osobowych, należy zapewnić, aby:
1) drzwi wejściowe były zabezpieczone tak, aby otwarcie z zewnątrz mogło nastąpić wyłącznie przez uprawnione osoby,
2) wydawanie kluczy do pomieszczeń podlegało rejestracji, z jednoczesnym poświadczeniem przez osobę odbierającą, faktu otrzymania kluczy o oznaczonym numerze,
3) pomieszczenia, w których znajdują się serwery były wyposażone w miarę możliwości w sprawne systemy klimatyzacji, ochrony przeciwpożarowej i przeciwwłamaniowej,
4) przebywanie osób trzecich w pomieszczeniach może odbywać się wyłącznie w obecności użytkowników lub za zgodą Administratora Danych.

§ 12.

1. Stały dostęp do pomieszczeń, w których przetwarzane są dane osobowe, mają tylko użytkownicy oraz osoby wyznaczone przez Administratora Danych do konserwacji i naprawy systemów i urządzeń informatycznych.

2. Dostęp do pomieszczeń, w których przetwarzane są dane osobowe, osób innych, niż wymienione w ust. 1, jest możliwy wyłącznie w obecności, co najmniej jednego użytkownika lub za zgodą Administratora Danych, osoby te mogą znajdować się w pomieszczeniach pod warunkiem, że nie jest w nich prowadzone przetwarzanie danych.

3. Zakaz wyrażony w ust. 2 dotyczy innych, niż określeni w ust. 1, pracowników Administratora Danych oraz pracowników służb technicznych, porządkowych, itp.

4. Przebywanie użytkownika po godzinach pracy w pomieszczeniach, w których przetwarzane są dane osobowe jest dopuszczalne jedynie za zgodą Administratora Danych.

§ 13.

Administrator Bezpieczeństwa Informacji
1. Administrator Bezpieczeństwa Informacji jest odpowiedzialny za wszelkie zagadnienia dotyczące ochrony i bezpieczeństwa danych osobowych, w tym prowadzi rejestr osób upoważnionych do przetwarzania danych osobowych.
2. W celu sprawnego wykonywania swoich zadań Administrator Bezpieczeństwa Informacji jest uprawniony do wnioskowania do Administratora Danych w celu wyznaczania użytkownikom wykonywania określonych zadań.
3. Użytkownicy zobowiązani są do przestrzegania zasad ochrony danych osobowych oraz do współpracy z Administratorem Bezpieczeństwa Informacji. W tym celu zobowiązani są do:
1) pisemnego wnioskowania o rejestrację nowych zbiorów danych osobowych,
2) okresowego składania pisemnej informacji z przebiegu bieżącej kontroli i oceny funkcjonowania mechanizmów zabezpieczeń i ochrony,
3) występowania z wnioskami w sprawie wprowadzenia niezbędnych zmian w zakresie ochrony danych osobowych.

§ 14.

Wykaz zbiorów danych osobowych i rejestr osób upoważnionych do przetwarzania danych osobowych
1. Szczegółowy wykaz zbiorów danych osobowych wraz ze wskazaniem programów zastosowanych do ich przetwarzania określa załącznik nr 2 do Polityki.
2. Rejestr osób upoważnionych do przetwarzania danych osobowych stanowi załącznik nr 3 do Polityki.

§ 15.
Struktura zbiorów danych osobowych

Opis struktury zbiorów danych osobowych wskazujący zawartość poszczególnych pól informacyjnych i powiązania między nimi oraz sposób przepływu danych określa załącznik nr 4 do Polityki.

§ 16.
Kontrola przestrzegania zasad ochrony danych osobowych

1. Administrator Bezpieczeństwa Informacji sprawuje nadzór nad przestrzeganiem zasad ochrony danych osobowych.
2. Administrator Bezpieczeństwa Informacji lub osoba przez niego upoważniona dokonuje okresowych kontroli i oceny funkcjonowania mechanizmów zabezpieczeń oraz przestrzegania zasad postępowania w przypadku naruszenia ochrony danych osobowych.
3. Kontrola, o której mowa w ust. 2 powinna w szczególności obejmować:
1) funkcjonowanie zabezpieczeń systemowych,
2) funkcjonowanie zastosowanych zabezpieczeń fizycznych,
3) zasady przechowywania kartotek,
4) zasady i sposoby likwidacji oraz archiwizowania zbiorów archiwalnych,
5) realizacja procedur wdrożonych przez Administratora Danych w zakresie ochrony danych.
4. Administrator Bezpieczeństwa Informacji prowadzi rejestr dokonywanych kontroli oraz ustaleń , wniosków i zaleceń z nich wynikających, a także nadzoruje ich wykonywanie.
5. Z kontroli, o których mowa w ust. 2 należy sporządzać protokoły, które przechowuje Administrator Bezpieczeństwa Informacji.

§ 17.
Postępowanie w przypadku stwierdzenia naruszenia zasad ochrony danych osobowych

1. Przed przystąpieniem do pracy użytkownik obowiązany jest dokonać sprawdzenia stanu urządzeń komputerowych oraz oględzin swojego stanowiska pracy, w tym zwrócić szczególną uwagę, czy nie zaszły okoliczności wskazujące na naruszenie lub próby naruszenia ochrony danych osobowych.
2. W przypadku stwierdzenia naruszenia lub zaistnienia okoliczności wskazujących na naruszenia ochrony danych osobowych, użytkownik zobowiązany jest do bezzwłocznego powiadomienia o tym fakcie Administratora Bezpieczeństwa Informacji lub upoważnioną przez niego osobę.
3. Obowiązek określony w ust. 2 ciąży równie na pozostałych pracownikach Administratora Danych.
4. Postanowienia ust. 2 i 3 mają zastosowanie zarówno w przypadku naruszenia lub podejrzenia naruszenia ochrony danych osobowych gromadzonych w systemach informatycznych, jak i w kartotekach.

§ 18.

1. Do czasu przybycia Administratora Bezpieczeństwa Informacji lub upoważnionej przez niego osoby, zgłaszający:
1) powstrzymuje się od rozpoczęcia lub kontynuowania pracy, jak również od podejmowania jakichkolwiek czynności, mogących spowodować zatarcie śladów naruszenia bądź innych dowodów,
2) zabezpiecza elementy systemu informatycznego lub kartotek, przede wszystkim poprzez uniemożliwienie dostępu do nich osób nieupoważnionych,
3) podejmuje, stosownie do zaistniałej sytuacji, wszelkie niezbędne działania celem zapobieżenia dalszym zagrożeniom, które mogą skutkować utratą danych osobowych.

§ 19.

W przypadku stwierdzenia naruszenia lub zaistnienia okoliczności wskazujących na naruszenia ochrony danych osobowych, Administrator Bezpieczeństwa Informacji lub osoba przez niego upoważniona, po przybyciu na miejsce dokonuje oceny sytuacji oraz podejmuje decyzje o toku dalszego postępowania, a w uzasadnionych przypadkach powiadamia Administratora Danych.

§ 20.

1. Administrator Bezpieczeństwa Informacji lub upoważniona przez niego osoba sporządza z przebiegu zdarzenia raport, w którym powinny się znaleźć w szczególności informacje o:
1) dacie i godzinie powiadomienia,
2) godzinie pojawienia się w pomieszczeniach, w których przetwarzane są dane,
3) sytuacji, jaką zastał,
4) podjętych działaniach i ich uzasadnieniu.
2. Kopia raportu przekazywana jest bezzwłocznie Administratorowi Danych, w przypadku, gdy raport sporządzony został przez osobę upoważnioną przez Administratora Bezpieczeństwa Informacji, także Administratorowi Bezpieczeństwa Informacji.

§ 21.

1. Administrator Bezpieczeństwa Informacji lub osoba przez niego upoważniona podejmuje kroki zmierzające do likwidacji naruszeń zabezpieczeń danych osobowych i zapobieżenia wystąpieniu ich w przyszłości.
2. W przypadku, gdy naruszenie ochrony danych osobowych jest wynikiem uchybienia obowiązującej u Administratora Danych dyscypliny pracy, Administrator Bezpieczeństwa Informacji lub upoważniona przez niego osoba wnioskuje do Administratora Danych o wyjaśnienie wszystkich okoliczności incydentu i o podjęcie stosownych działań wobec osób, które dopuściły się tego uchybienia.

§ 22.

1. W przypadku stwierdzenia naruszenia lub zaistnienia okoliczności wskazujących na naruszenia ochrony danych osobowych, użytkownik może kontynuować pracę dopiero po otrzymaniu pozwolenia od Administratora Bezpieczeństwa Informacji lub osoby przez niego upoważnionej.
2. W przypadku zaginięcia komputera lub nośników magnetycznych, na których były zgromadzone dane osobowe, użytkownik posługujący się komputerem niezwłocznie powiadamia Administratora Bezpieczeństwa Informacji lub upoważnioną przez niego osobę, a w przypadku kradzieży występuje o powiadomienie jednostki policji.
3. W sytuacji, o której mowa w ust. 1 Administrator Bezpieczeństwa Informacji lub upoważniona przez niego osoba podejmuje niezbędne kroki do wyjaśnienia okoliczności zdarzenia, sporządza protokół z zajęcia, który powinna podpisać także osoba, której skradziono lub, której zaginął sprzęt oraz powiadamia Administratora.

§ 23.

Osoba zatrudniona przy przetwarzaniu danych osobowych za naruszenie obowiązków wynikających z niniejszej Polityki bezpieczeństwa oraz przepisów o ochronie danych osobowych ponosi odpowiedzialność przewidzianą w Kodeksie Pracy oraz wynikając z ustawy o ochronie danych osobowych.

§ 24.

Postępowanie w przypadku klęski żywiołowej
Klęską żywiołową jest katastrofa, spowodowana działaniem sił przyrody takich jak ogień , huragan, woda lub ich przejawami.

§ 25.

1. W przypadku wystąpienia zagrożenia powodującego konieczność przeprowadzenia ewakuacji osób lub mienia z pomieszczeń , w których przetwarzane są dane osobowe, mają zastosowanie przepisy niniejszego paragrafu, paragrafów następnych oraz innych przepisów szczególnych.
2. O zagrożeniu, jego skali i podjętych krokach zaradczych pracownik ochrony zobowiązany jest niezwłocznie powiadomić Administratora Bezpieczeństwa Informacji lub osobę przez niego upoważnioną w każdy możliwy sposób. Numery telefonów Administratora Bezpieczeństwa Informacji i osób, z którymi należy się kontaktować na wypadek klęski żywiołowej powinny być znane pracownikom.

§ 26.

Osoby biorące udział w akcji ratunkowej, mają prawo wejść do pomieszczeń w których przetwarzane są dane osobowe bez dopełniania obowiązku, o którym mowa w § 13 ust.2 Polityki.

§ 27.

1. W przypadku ogłoszenia alarmu ewakuacyjnego użytkownicy, przebywający w pomieszczeniach, w których przetwarzane są dane osobowe, obowiązani są do przerwania pracy, a w miarę możliwości przed opuszczeniem tych pomieszczeń do zamknięcia systemu informatycznego oraz zabezpieczenia danych osobowych gromadzonych w kartotekach.

§ 28.
Postanowienia końcowe

Polityka jest dokumentem wewnętrznym, zawiera dane , których ujawnienie mogłoby spowodować utratę danych chronionych w związku z czym nie może być udostępniania osobom nieupoważnionym w żadnej formie.

§ 29.

1. Użytkownik zobowiązany jest złożyć oświadczenie, o tym, i został zaznajomiony z przepisami ustawy o ochronie danych osobowych, wydanymi na jej podstawie aktami wykonawczymi, obowiązującą Polityką bezpieczeństwa oraz Instrukcją zarządzania systemem informatycznym służącym do przetwarzania danych osobowych.
2. Wzór oświadczenia, o którym mowa w ust. 1, określa załącznik Nr 5 do Instrukcji zarządzania systemem informatycznym służącym do przetwarzania danych osobowych.
3. Oświadczenia przechowywane są w aktach personalnych pracownika.

§ 30.

1. W sprawach nieuregulowanych w niniejszej Polityce mają zastosowanie przepisy ustawy o ochronie danych osobowych oraz wydanych na jej podstawie aktów wykonawczych.
2. Użytkownicy zobowiązani są do bezwzględnego stosowania przy przetwarzaniu danych osobowych postanowień zawartych w niniejszej Polityce.