Polityka Bezpieczeństwa Danych Osobowych wraz Instrukcją zarządzania systemem informatycznym przetwarzającym dane osobowe w Ornet Sieci sp. z o.o.
23.05.2018
1. Polityka Bezpieczeństwa
1.1 Wstęp
Polityka Bezpieczeństwa, zwana dalej Polityką, oraz Instrukcja zarządzania systemami informatycznymi przetwarzającymi dane osobowe, zwana dalej Instrukcją, została opracowana zgodnie z wymogami szczególności rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U.UE.L.2016.119.1) – dalej RODO (GDPR) oraz wymaganiami określonymi w § 4 rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. Nr 100, poz. 1024).
1.2 Obowiązki Administratora Danych Osobowych i Inspektora Ochrony Danych
Administratorem Danych Osobowych w myśl Ustawy o ochronie Danych Osobowych jest Ornet Sieci sp. z o.o.
Do najważniejszych obowiązków ADO, należy:
1. opracowanie i wdrożenie Polityki i Instrukcji (w tym zabezpieczenie zbiorów danych powierzonych do przetwarzania)
2. prowadzenie Ewidencji osób upoważnionych do przetwarzania danych osobowych
3. sprawdzanie zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych oraz opracowanie w tym zakresie sprawozdania dla administratora danych,
4. nadzorowanie opracowania i aktualizowania dokumentacji, o której mowa w art. 36 ust. 2 UODO, oraz przestrzegania zasad w niej określonych,
5. zapewnianie zapoznania osób upoważnionych do przetwarzania danych osobowych z przepisami o ochronie danych osobowych
6. w przypadku powołania IOD, szczegółowe obowiązki określone są w załączniku A: „Wyznaczenie Inspektora Ochrony Danych”.
1.3 Wykaz budynków, pomieszczeń lub części pomieszczeń, tworzących obszar, w którym przetwarzane są dane osobowe
Wykaz (fizyczny obszar przetwarzania) ujęto w załączniku B:
„Wykaz zbiorów danych osobowych wraz z obszarami przetwarzania danych”.
1.4 Wykaz zbiorów danych osobowych wraz ze wskazaniem programów zastosowanych do przetwarzania tych danych
Wykaz zbiorów danych osobowych (w tym zbiorów powierzonych do przetwarzania) i programów użytych do przetwarzania tych danych ujęto w załączniku B.
„Wykaz zbiorów danych osobowych”.
1.5 Opis struktury zbiorów danych wskazujący zawartość poszczególnych pól informacyjnych i powiązania między nimi
Opis struktury zbiorów danych osobowych przedstawiono w postaci prostej listy-wykazu pól z danymi osobowymi, odrębnej dla każdego programu, służących do przetwarzania danych osobowych – patrz: załącznik C:
„Opis struktury zbiorów danych”.
1.6 Sposób przepływu danych pomiędzy poszczególnymi systemami
Sposób przepływu danych osobowych pomiędzy systemami, w których przetwarzane są dane osobowe przedstawiono w załączniku D:
„Sposób przepływu danych pomiędzy poszczególnymi systemami”.
1.7 Środki techniczne i organizacyjne niezbędne dla zapewnienia poufności, integralności i rozliczalności przy przetwarzaniu danych
1.7.1 Zabezpieczenia organizacyjne
1. Wyznaczono / nie wyznaczono *) Inspektora Ochrony Danych (IOD)
2. Została opracowana i wdrożona polityka bezpieczeństwa informacji i instrukcja zarządzania systemami informatycznymi przetwarzającymi dane osobowe
3. Do przetwarzania danych zostały dopuszczone wyłącznie osoby posiadające upoważnienia nadane przez administratora danych
4. Prowadzona jest ewidencja osób upoważnionych do przetwarzania danych
5. Osoby zatrudnione przy przetwarzaniu danych zostały zaznajomione z przepisami dotyczącymi ochrony danych osobowych oraz w zakresie zabezpieczeń systemu informatycznego
6. Osoby zatrudnione przy przetwarzaniu danych osobowych zobowiązane zostały do zachowania ich w tajemnicy
7.Przetwarzanie danych osobowych dokonywane jest w warunkach zabezpieczających dane przed dostępem osób nieupoważnionych
8. Przebywanie osób nieuprawnionych w pomieszczeniach, gdzie przetwarzane są dane osobowe jest dopuszczalne tylko w obecności osoby zatrudnionej przy przetwarzaniu danych osobowych oraz w warunkach zapewniających bezpieczeństwo danych
1.7.2 Zabezpieczenia fizyczne pomieszczeń, gdzie są przetwarzane dane osobowe w wersji papierowej i elektronicznej
1. Drzwi zamykane na klucz
2. Zamknięte na klucz niemetalowe lub metalowe szafy
3. Niszczarki dokumentów
4. Stosuje się politykę kluczy:
a. Obowiązuje sześciodniowy tydzień pracy, tzn. od poniedziałku do soboty, w godzinach 07:00 – 17:00.
b. Dostęp do budynków i pomieszczeń biurowych możliwy jest wyłącznie przez osoby upoważnione, które posiadają do nich klucze.
c. Klucze poza godzinami pracy zabezpieczane są w pomieszczeniu sekretariatu lub osoby upoważnione sprawują nad nimi całodobowy nadzór osobisty.
d. Klucze zapasowe przechowywane są w wyznaczonych i zabezpieczonych miejscach (depozyt w postaci sejfu).
e. Wydawanie kluczy zapasowych upoważnionym pracownikom może odbywać się tylko w uzasadnionych sytuacjach oraz przypadkach awaryjnych za zgodą bezpośredniego przełożonego lub Zarządu.
f. Klucze zapasowe po ich wykorzystaniu należy niezwłocznie zwrócić do depozytu za poświadczeniem zwrotu w Ewidencji dostępu do pomieszczeń
g. Klucze służące do zabezpieczenia biurek i szaf muszą być jednoznacznie opisane
h. W godzinach pracy klucze pozostają pod nadzorem pracowników, którzy ponoszą pełną odpowiedzialność za ich należyte zabezpieczenie
i. Zabrania się pozostawiania kluczy w biurkach i szafach podczas chwilowej nieobecności osób upoważnionych w pomieszczeniu
j. Po zakończeniu pracy, klucze służące do zabezpieczenia biurek i szaf muszą być przechowywane w zabezpieczonym miejscu
k. Naruszenie zasad polityki kluczy może spowodować wyciągnięcie następujących konsekwencji: Poniesienie odpowiedzialności wynikających z art. 52 kodeksu pracy lub poniesienie odpowiedzialności wynikających z art. 363 § 1. kodeksu cywilnego.
5. System alarmowy przeciwwłamaniowy.
6.Monitoring kamer.
7. Kontrola dostępu.
1.7.3 Zabezpieczenia sprzętowe infrastruktury informatycznej i telekomunikacyjnej
1. Dostęp do komputera/laptopa zawierającego dane osobowe odbywa się poprzez podanie loginu i hasła
2. W przypadku dostępu do danych osobowych przez Internet, stosuje się szyfrowanie tego połączenia (SSL lub VPN)
3. W przypadku dostępu do danych osobowych przez Internet, należy uprzednio podać login i hasło
4. Użyto system Firewall do ochrony dostępu do sieci komputerowej
5. Zastosowano macierz dyskową w celu ochrony danych osobowych przed skutkami awarii pamięci dyskowej
1.7.4 Zabezpieczenia programów przetwarzających dane osobowe
1. Dla osób upoważnionych do przetwarzania danych osobowych określono zakres przetwarzania (zakres obowiązków)
2. Dostęp do danych osobowych w systemach/programach informatycznych wymaga podania nazwy użytkownika oraz hasła
3. Użytkownicy systemów/programów informatycznych posiadają w nich konta z określonymi uprawnieniami
4. Zastosowano zahasłowane wygaszacze ekranu uruchamiane po dłuższej nieaktywności użytkownika
2. Instrukcja
2.1 Procedura nadawania uprawnień do przetwarzania danych osobowych.
1. Z wnioskiem o nadanie lub wycofanie upoważnienia do przetwarzania danych osobowych występuje przełożony osoby, której dotyczy upoważnienie, wypełniając załącznik H:
„Wniosek o nadanie / wycofanie* upoważnienia do przetwarzania danych osobowych”.
2. Przed nadaniem upoważnienia, osoba jest zapoznawana z zasadami ochrony danych osobowych zawartymi w Polityce i Instrukcji.
3. Osoba zapoznana z zasadami ochrony zobowiązana jest do podpisania oświadczenia o poufności w załączniku E:
„Oświadczenie o poufności i upoważnienie do przetwarzania danych osobowych”.
4. ADO (lub IOD w imieniu ADO) nadaje upoważnienie osobie upoważnianej, wypełniając załącznik E:
„Oświadczenie o poufności i upoważnienie do przetwarzania danych osobowych”.
5. IOD prowadzi ewidencję osób upoważnionych do przetwarzania danych osobowych, zgodnie z załącznikiem F:
„Ewidencja osób upoważnionych do przetwarzania danych osobowych”.
6. Wszystkie podmioty, którym ADO przekazuje dane osobowe klientów, w ramach świadczonej usługi, powinny zawrzeć z ADO umowę powierzenia danych osobowych, wypełniając załącznik G.
2.2 Metody i środki uwierzytelnienia (polityka haseł)
1. Hasła nie mogą być powszechnie używanymi słowami
2. Użytkownik zobowiązuje się do zachowania hasła w poufności, nawet po utracie przez nie ważności i jest zobowiązany jest do niezwłocznej zmiany tego hasła, gdy zostało ono ujawnione
3. Zabronione jest zapisywanie haseł w sposób jawny oraz przekazywanie ich innym osobom
4. Hasło składa się z co najmniej z 8 znaków, w tym dużych i małych liter oraz z cyfr lub znaków specjalnych
2.3 Procedura rozpoczęcia, zawieszenia i zakończenia pracy
1. Użytkownik loguje się do systemu/programu informatycznego przetwarzającego dane osobowe z użyciem identyfikatora i hasła
2. Użytkownik jest zobowiązany do powiadomienia IOD o próbach logowania się do systemu osoby nieupoważnionej, jeśli system to sygnalizuje
4. Użytkownik jest zobowiązany do uniemożliwienia osobom nieupoważnionym (np. stażystom, pracownikom innych działów, pracownikom obcych organizacji) wglądu do danych wyświetlanych na monitorach komputerowych – tzw. Polityka czystego ekranu
5. Przed czasowym opuszczeniem stanowiska pracy, użytkownik zobowiązany jest wywołać blokowany hasłem wygaszacz ekranu lub wylogować się z systemu
6. Po zakończeniu pracy, użytkownik zobowiązany jest wylogować się z systemu informatycznego, ewentualnie wyłączyć sprzęt komputerowy oraz stosować politykę czystego biurka dla dokumentów i nośników
2.4. Procedura tworzenia kopii zapasowych
1. Procedura obejmuje tworzenie kopii bezpieczeństwa wszystkich programów wraz ze środowiskiem, wymienionych w załączniku B:
„Wykaz zbiorów danych osobowych”
2. Kopie całościowe wykonywane są z częstotliwością 1-dniową.
3. Każda kopia jest czytelnie opisana co do zawartości i daty sporządzenia
4. Kopie przechowywane są przez okres 1 miesiąca.
5. Dostęp do kopii mają: Zarząd, Kierownik DUI, administrator sieci.
6. Informatyk zobowiązany jest do sporządzenia kopii oraz weryfikacji ich poprawności i możliwości ponownego odtworzenia
7. Niszczenie kopii odbywa się poprzez trwałe/fizyczne zniszczenie nośnika lub nieodwracalne usunięcie danych z nośnika z użyciem specjalnego oprogramowana
2.5 Sposób, miejsce i okres przechowywania elektronicznych nośników informacji i wydruków
1. Do typowych nośników należą: pen-drive, przenośne twarde dyski, laptopy, dokumentacja papierowa
2. Użytkownicy są zobowiązani do niezwłocznego i trwałego usuwania/kasowania danych osobowych z nośników po ustaniu celu ich przetwarzania
3. Nośniki są przechowywane w sposób uniemożliwiający dostęp do nich osób nieupoważnionych, jak również zabezpieczający je przed zagrożeniami środowiskowymi (zalanie, pożar, wpływ pól elektromagnetycznych)
4. Zabrania się wynoszenia poza obszar organizacji niezabezpieczonych nośników z danymi osobowymi bez zgody Administratora Danych Osobowych – nośniki muszą być zaszyfrowane
5. W przypadku wysyłania danych mailem, pliki muszą być zahasłowane a hasło przesłane inną drogą (np. odrębnym mailem)
6. Zabrania się przekazywania nośników z nieusuniętymi danymi osobowymi pomiotom lub osobom zewnętrznym (darowizny, naprawy)
7. Dane osobowe w postaci papierowej zabezpiecza się co najmniej: w szafach i biurkach zamykanych na klucz
8. Zabrania się pozostawiania dokumentów i nośników, jako dostępnych dla osób nieupoważnionych (polityka czystego biurka)
9. Niszczenie dokumentów i tymczasowych wydruków musi odbywać się w niszczarkach
2.6 Procedura zabezpieczenia systemu informatycznego, w tym przed wirusami komputerowymi
2.6.1 Ochrona antywirusowa
1.Każdy z komputerów lub serwer musi być wyposażony w licencjonowany program antywirusowy
2. Program antywirusowy musi być aktywny i zabrania się jego wyłączania
3. Program antywirusowy musi zawierać aktualną bazę wirusów
2.6.2. Ochrona przed nieautoryzowanym dostępem do sieci lokalnej
1. Każdy z komputerów (lub router dla sieci) powinien być wyposażony w firewall programowy (lub sprzętowy na routerze)
2. dodatkowo można stosować: systemy IDS/IPS, technikę NAT, proxy serwer
2.7 Zasady i sposób odnotowywania w systemie informacji o udostępnieniu danych osobowych
1. W przypadku udostępnienia danych osobowych innym pomiotom, niż na podstawie wymagań prawa, należy ten fakt odnotować
2. Jeżeli system/program informatyczny na to pozwala, dane o udostępnieniu należy wprowadzić do systemu/programu. W przeciwnym wypadku należy dane te wpisać do zaprowadzonej specjalnie w tym celu ewidencji ręcznej. Ewidencja musi zawierać następujące dane: data udostępnienia danych, nazwa i adres podmiotu, któremu dane udostępniono, podstawa prawna udostępnienia danych (Art. 23 / 27 UODO), Zakres udostępnionych danych
3. Na żądanie osoby, której dane zostały udostępnione – informacje o udostępnieniu danych są zamieszczane w raporcie z systemu informatycznego lub z ewidencji ręcznej
2.8. Procedura wykonywania przeglądów i konserwacji
1. Zapewniono serwis naprawczy dla sprzętu komputerowego
2. Prowadzane są przeglądy i konserwacje systemu informatycznego zgodnie z planem lub wytycznymi producentów
3. Naprawa/konserwacja/serwis sprzętu komputerowego i programów, wykonywane przez podmiot zewnętrzny, powinny odbywać się pod ścisłym nadzorem osób upoważnionych
4. Przed przekazaniem uszkodzonego sprzętu komputerowego z danymi osobowymi do naprawy poza teren organizacji, należy trwale usunąć dane osobowe z nośników
5. Aktualizację oprogramowania należy przeprowadzać zgodnie z zaleceniami producentów oraz opinią rynkową co do bezpieczeństwa i stabilności nowych wersji (np. aktualizacje, service pack-i, łatki)