Polityka bezpieczeństwa informacji w serwisie techrobot.pl

Transkrypt

1 Polityka bezpieczeństwa informacji w serwisie techrobot.pl Niniejsza Polityka Bezpieczeństwa Informacji (dalej: Polityka) została przygotowana w celu wykazania, że dane osobowe są przetwarzane i zabezpieczane zgodnie z wymogami prawa, dotyczącymi zasad przetwarzania i zabezpieczenia danych w serwisie techrobot.pl, w tym w szczególności zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych - dalej RODO). Rozdział I Definicje bezpieczeństwa informacji, ogólne cele i zakres oraz znaczenie bezpieczeństwa 1 1. Celem polityki bezpieczeństwa, jest wskazanie działań, jakie należy wykonać oraz ustanowienie zasad i reguł postępowania, które należy stosować, aby właściwie wykonać obowiązki administratora danych w zakresie zabezpieczenia danych osobowych; 2. Polityką bezpieczeństwa objęte są dane osobowe, którymi zgodnie z RODO są wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej; możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej. 2 Cele Polityki realizowane są poprzez zapewnienie danym osobowym następujących cech: a) zgodność z prawem, rzetelność i przejrzystość właściwości zapewniającej, że przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą; b) ograniczenie celu właściwości zapewniającej, że dane osobowe są zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami; c) minimalizacja danych właściwości zapewniającej, że przetwarzanie danych jest adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane;

2 d) prawidłowość - właściwości zapewniającej, że dane są prawidłowe i w razie potrzeby uaktualniane; e) ograniczenie przechowywania - właściwości zapewniającej, że dane przechowywane są w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane; f). integralność i poufność - właściwości zapewniającej, że dane przetwarzane są w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych; g). rozliczności - co oznacza, że administrator danych jest odpowiedzialny za przestrzeganie w/w zasad i jest w stanie to wykazać. 3 Definicje: 1. Administrator Danych Osobowych (dalej: Administrator) Mariusza Szpakowicza, Zielona Góra, ul Ruczajowa 1c/12. NIP: REGON: ; 2. rozporządzenie Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE; 3. dane osobowe - wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby, 4. zbiór danych - każdy uporządkowany zestaw danych o charakterze osobowym, dostępny wedle określonych kryteriów, 5. osoba upoważniona osoba posiadająca pisemne upoważnienie do przetwarzania danych osobowych nadane przez Administratora, 6. osoba nieupoważniona osoba nieposiadająca pisemnego upoważnienia do przetwarzania danych osobowych nadanego przez Administratora oraz osoba, która nie otrzymała zgody Administratora na udostępnienie danych osobowych w trybie i na zasadach określonych w RODO, 7. podmiot przetwarzający - oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który przetwarza dane osobowe w imieniu Administratora w związku z jego działalnością; ze wszystkimi podmiotami przetwarzającymi Administrator posiada umowy (pisemne lub w formie elektronicznej), określające zasady powierzania i przetwarzania danych osobowych w imieniu Administratora. 8. organ nadzorczy - Prezes Urzędu Ochrony Danych Osobowych 9. system informatyczny zespół współpracujących ze sobą urządzeń, programów, procedur przetwarzania informacji i narzędzi programowych zastosowanych w celu przetwarzania danych osobowych; obszar bezpieczeństwa pomieszczenia użytkowane przez Administratora, w których przetwarzane są dane

3 osobowe gromadzone przez Administratora. Rozdział II Oświadczenie o intencjach administratora 4 Administrator danych do właściwej i skutecznej ochrony danych osobowych deklaruje: a) zamiar podejmowania wszystkich działań niezbędnych dla ochrony praw i usprawiedliwionych interesów jednostki związanych z bezpieczeństwem danych osobowych; b) zamiar stałego podnoszenia świadomości oraz kwalifikacji pracowników administratora danych, którzy przetwarzają dane osobowe, w szczególności w zakresie problematyki bezpieczeństwa tych danych; c) zamiar traktowania obowiązków osób zatrudnionych przy przetwarzaniu danych osobowych jako należących do kategorii podstawowych obowiązków pracowniczych oraz stanowczego egzekwowania ich wykonania przez zatrudnione osoby; d) zamiar podejmowania w niezbędnym zakresie współpracy z instytucjami powołanymi do ochrony danych osobowych. 5 Dla skutecznej realizacji polityki bezpieczeństwa Administrator zapewnia: a) odpowiednie do zagrożeń i kategorii danych objętych ochroną, środki techniczne i rozwiązania organizacyjne; b) szkolenia w zakresie przetwarzania danych osobowych i sposobów ich ochrony; c) okresowe szacowanie ryzyka zagrożeń dla zbiorów danych; d) kontrolę i nadzór nad przetwarzaniem danych osobowych; e) monitorowanie zastosowanych środków ochrony. 6 Administrator danych realizując politykę bezpieczeństwa stosuje odpowiednie środki informatyczne, techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną, a w szczególności zabezpieczając dane osobowe przed: a) udostępnieniem ich osobom nieupoważnionym, b) zabraniem ich przez osobę nieuprawnioną, c) przetwarzaniem danych z naruszeniem ustawy o ochronie danych osobowych, d) zmianą, utratą, uszkodzeniem lub zniszczeniem danych.

4 7 1. Administrator danych realizując politykę bezpieczeństwa dąży do systematycznego unowocześniania stosowanych na jego terenie informatycznych, technicznych i organizacyjnych środków ochrony tych danych. 2. Administrator danych zapewnia aktualizacje informatycznych środków ochrony danych osobowych pozwalającą na zabezpieczenie przed wirusami, nieuprawnionym dostępem oraz innymi zagrożeniami danych, płynącymi z funkcjonowania systemu informatycznego oraz sieci telekomunikacyjnych. Rozdział III Wyjaśnienie polityki bezpieczeństwa, zasad, standardów i wymagań zgodności mających szczególne znaczenie dla instytucji 8 Administrator zapewnia zgodność niniejszej polityki bezpieczeństwa z przepisami określającymi zasady przetwarzania danych osobowych, w szczególności Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE oraz przepisami wykonawczymi. 9 Wszystkie osoby przetwarzające dane osobowe zobowiązane są do: a) przetwarzania danych osobowych zgodnie z obowiązującymi przepisami; b) postępowania zgodnie z ustaloną przez administratora polityką bezpieczeństwa oraz z Instrukcją zarządzania systemem informatycznym służącym do przetwarzania danych osobowych". Rozdział IV Definicje ogólnych i szczególnych obowiązków w odniesieniu do zarządzania bezpieczeństwem informacji 10 Wszelkie dane osobowe przetwarzane są z poszanowaniem zasad przetwarzania danych przewidzianych przez przepisy prawa: a) istnieje podstawa przetwarzania danych,

5 b) dane są przetwarzane rzetelnie i przejrzyście, c) dane są zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach, i przetwarzane w sposób zgodny z tymi celami, d) dane osobowe są przetwarzane w takim zakresie, jaki jest niezbędny dla osiągnięcia celu ich przetwarzania, e) dane są prawidłowe i uaktualniane, f) czas przechowywania danych jest ograniczony do okresu ich przydatności do celów w których zostały zebrane, po tym okresie są anonimizowane lub usuwane, g) wobec osoby której dotyczą, wykonywany jest obowiązek informacyjny, zgodnie z art. 13 i 14 RODO), h) dane są zabezpieczone przed naruszeniem zasad ich ochrony. 11 Podział zagrożeń: a) zagrożenia losowe zewnętrzne (np. klęski żywiołowe, przerwy w zasilaniu) - ich występowanie może prowadzić do utraty integralności danych, ich zniszczenia i uszkodzenia infrastruktury technicznej systemu; ciągłość systemu zostaje zakłócona, nie dochodzi do naruszenia poufności danych. b) zagrożenia losowe wewnętrzne (np. niezamierzone pomyłki operatorów, administratora, awarie sprzętowe, błędy oprogramowania, pogorszenie jakości sprzętu i oprogramowania) - może dojść do zniszczenia danych, może zostać zakłócona ciągłość pracy systemu, może nastąpić naruszenie poufności danych. c) zagrożenia zamierzone - świadome i celowe działania powodujące naruszenia poufności danych, (zazwyczaj nie następuje uszkodzenie infrastruktury technicznej i zakłócenie ciągłości pracy), zagrożenia te możemy podzielić na: nieuprawniony dostęp do systemu z zewnątrz (włamanie do systemu), nieuprawniony dostęp do systemu z jego wnętrza, nieuprawnione przekazanie danych, bezpośrednie zagrożenie materialnych składników systemu (np. kradzież sprzętu) Naruszenie lub podejrzenie naruszenia systemu informatycznego, w którym przetwarzane są dane osobowe następuje w sytuacji: a) losowego lub nieprzewidzianego oddziaływania czynników zewnętrznych na zasoby systemu jak np.: wybuch gazu, pożar, zalanie pomieszczeń, katastrofa budowlana, napad, działania terrorystyczne, itp.,

6 b) niewłaściwych parametrów środowiska, jak np. nadmierna wilgotność lub wysoka temperatura, oddziaływanie pola elektromagnetycznego, wstrząsy lub wibracje pochodzące od urządzeń przemysłowych, c) awarii sprzętu lub oprogramowania, które wyraźnie wskazuje na umyślne działanie w kierunku naruszenia ochrony danych, d) pojawienia się odpowiedniego komunikatu alarmowego, e) podejrzenia nieuprawnionej modyfikacji danych w systemie lub innego odstępstwa od stanu oczekiwanego, f) naruszenia lub próby naruszenia integralności systemu lub bazy danych w tym systemie, g) pracy w systemie wykazującej odstępstwa uzasadniające podejrzenie przełamania lub zaniechania ochrony danych osobowych - np. praca osoby, która nie jest formalnie dopuszczona do obsługi systemu, h) ujawnienia nieautoryzowanych kont dostępu do systemu, i) naruszenia dyscypliny pracy w zakresie przestrzegania procedur bezpieczeństwa informacji (np. nie wylogowanie się przed opuszczeniem stanowiska pracy, pozostawienie danych osobowych w drukarce, itp.). 2. Za naruszenie ochrony danych uważa się również stwierdzone nieprawidłowości w zakresie zabezpieczenia fizycznego miejsc przechowywania i przetwarzania danych osobowych np.: a) niezabezpieczone pomieszczenia, b) nienadzorowane, otwarte szafy, biurka, regały, c) niezabezpieczone urządzenia archiwizujące, d) pozostawianie danych w nieodpowiednich miejscach kosze, stoły itp W przypadku stwierdzenia naruszenia: a) zabezpieczenia systemu informatycznego, b) technicznego stanu urządzeń, c) zawartości zbioru danych osobowych, d) jakości transmisji danych w sieci telekomunikacyjnej mogącej wskazywać na naruszenie zabezpieczeń tych danych, d) innych zdarzeń mogących mieć wpływ na naruszenie danych osobowych (np. zalanie, pożar, kradzież itp.), administrator danych zapoznaje się z zaistniałą sytuacją i dokonuje oceny, czy zaistniałe naruszenie mogło spowodować naruszenie praw lub wolności osób fizycznych. 2. W związku ze stwierdzeniem naruszenia należy: a) niezwłocznie powiadomić Administratora o zaszłym zdarzeniu, b) niezwłocznie podjąć czynności niezbędne dla powstrzymania niepożądanych skutków zaistniałego

7 naruszenia, o ile istnieje taka możliwość, a następnie uwzględnić w działaniu również ustalenie przyczyn lub sprawców, c) rozważyć wstrzymanie bieżącej pracy na komputerze lub pracy biurowej w celu zabezpieczenia miejsca zdarzenia, d) zaniechać - o ile to możliwe - dalszych planowanych przedsięwzięć, które wiążą się z zaistniałym naruszeniem i mogą utrudnić udokumentowanie i analizę zdarzenia, e) podjąć stosowne działania, jeśli zaistniały przypadek jest określony w dokumentacji systemu operacyjnego lub aplikacji użytkowej, f) zastosować się do innych instrukcji i regulaminów, jeżeli odnoszą się one do zaistniałego przypadku, g) nie opuszczać bez uzasadnionej potrzeby miejsca zdarzenia do czasu przybycia administratora danych. 3. Wobec osoby, która w przypadku naruszenia zabezpieczeń systemu informatycznego lub uzasadnionego domniemania takiego naruszenia nie podjęła działania określonego w niniejszym dokumencie, a w szczególności nie powiadomiła odpowiedniej osoby zgodnie z określonymi zasadami, wszczyna się postępowanie dyscyplinarne. 4. Po przybyciu na miejsce naruszenia lub ujawnienia ochrony danych osobowych, Administrator: a) zapoznaje się z zaistniałą sytuacją i dokonuje wyboru metody dalszego postępowania, b) może żądać dokładnej relacji z zaistniałego naruszenia od osoby powiadamiającej, jak również od każdej innej osoby, która może posiadać informacje związane z zaistniałym naruszeniem, c) jeżeli zachodzi taka potrzeba zleca usuniecie występujących naruszeń, oraz powiadamia odpowiednie instytucje. 5. W każdej sytuacji, w której zaistniałe naruszenie mogło spowodować ryzyko naruszenia praw lub wolności osób fizycznych, administrator danych zgłasza ten fakt organowi nadzorczemu, bez zbędnej zwłoki, nie później niż w ciągu 72 godzin od stwierdzenia naruszenia. Wzór zgłoszenia określa załącznik nr 1 do niniejszej Polityki. 6. Jeżeli ryzyko naruszenia praw i wolności jest wysokie, administrator zawiadamia także o zdarzeniu osobę, której dane dotyczą. Rozdział V Wykaz budynków i pomieszczeń tworzących obszar, w którym przetwarzane są dane osobowe Przetwarzanie danych osobowych, zarówno w formie tradycyjnej, jak i w systemie informatycznym, może odbywać się wyłącznie w obszarach do tego celu przeznaczonych (Obszar bezpieczeństwa). 2. Dane osobowe mogą być przetwarzane także poza Obszarem bezpieczeństwa, za pomocą komputerów przenośnych mających dostęp do systemu informatycznego za pomocą sieci Internet. Dane osobowe w formie elektronicznej gromadzone są jednak na serwerze podmiotu

8 przetwarzającego, z którym Administrator zawarł pisemną umowę w zakresie powierzenia przetwarzania danych osobowych. 3. Wykaz budynków i pomieszczeń tworzących Obszar bezpieczeństwa stanowią załącznik nr 2 do niniejszej Polityki. Załącznik ten określa również lokalizację serwerów. 15 Dostęp do pomieszczeń, w których przetwarzane są dane osobowe oraz do pomieszczeń, w których znajdują się serwery baz danych lub przechowywane są kopie zapasowe mogą mieć wyłącznie osoby, które posiadają do tego upoważnienie. Rozdział VI Rodzaj przetwarzanych danych 16 Dane osobowe, uzyskane od osób fizycznych, przetwarzane przez Administratora to: - imię, - nazwisko, - adres domowy, - , - numer telefonu. Rozdział VII Określenie środków technicznych i organizacyjnych zapewniających ochronę danych osobowych 17 Zabezpieczenia przed nieautoryzowanym dostępem do zbioru danych: a) podłączenie urządzenia końcowego (komputera, terminala, drukarki) do sieci komputerowej dokonywane jest przez administratora sieci, b) stosowanie programu antywirusowego z zaporą antywłamaniową na komputerach, c) zabezpieczenie hasłami kont na komputerach, używanie kont z ograniczonymi uprawnieniami do ciągłej pracy, d) szyfrowanie wiadomości od klientów Administratora, e) zachowanie szczególnej ostrożności przez osoby użytkujące komputer przenośny podczas jego transportu, przechowywania i użytkowania poza obszarem, zawierający dane osobowe, w tym stosowanie środków ochrony kryptograficznej wobec przetwarzanych danych osobowych.

9 f) pozbawienie zapisu danych, a w przypadku gdy nie jest to możliwe, uszkodzenie nośników zawierających dane osobowe w sposób uniemożliwiający ich odczytanie, w przypadku ich likwidacji, przekazania podmiotowi nieuprawnionemu lub naprawy, g) niszczenie nieaktualnych lub błędnych wydruków zawierających dane osobowe są niszczone mechanicznie. h) ustawienie monitorów stanowisk przetwarzania danych osobowych w sposób uniemożliwiający wgląd w dane osobom nieupoważnionym Osoby upoważnione przez Administratora do przetwarzania danych osobowych zobowiązane są do: 1. ścisłego przestrzegania zakresu udzielonego upoważnienia, 2. zachowania w tajemnicy danych osobowych oraz sposobów ich zabezpieczenia, 3. zgłaszania Administratorowi przypadków związanych z naruszeniem bezpieczeństwa danych oraz niewłaściwym funkcjonowaniem Systemu informatycznego. 2. Wzór upoważnienia do przetwarzania danych osobowych stanowi załącznik nr 3 do niniejszej polityki bezpieczeństwa. 3. Administrator prowadzi ewidencję osób upoważnionych do przetwarzania danych osobowych, która zawiera: imię i nazwisko osoby upoważnionej, identyfikator (jeżeli został nadany), numer upoważnienia, datę nadania oraz datę ustania upoważnienia. Wzór ewidencji osób upoważnionych do przetwarzania danych osobowych stanowi załącznik nr 4 do niniejszej polityki bezpieczeństwa. 4. Administrator zapewnia szkolenie osób, które mają być upoważnione do przetwarzania danych osobowych oraz dopuszcza do przetwarzania danych osobowych jedynie osoby, które złożą oświadczenie, którego wzór stanowi załącznik nr 5 do niniejszej polityki bezpieczeństwa. 19 Zabezpieczenia przed nieautoryzowanym dostępem do baz danych poprzez Internet opiera się na firewall oraz szyfrowaniu połączeń i autoryzacji dostępów do baz danych. Bazy danych znajdują się na odseparowanym serwerze, obsługiwanych i chronionym przez podmiot przetwarzający dane osobowe w imieniu Administratora. 20 Zabezpieczenia przed utratą danych osobowych w wyniku awarii, są następujące: a) odrębne zasilanie sprzętu komputerowego,

10 b) zapewnienie właściwej temperatury i wilgotności powietrza dla pracy sprzętu komputerowego. Mariusz Szpakowicz Data i podpis Administratora Załączniki: 1. Zgłoszenie incydentu naruszenia danych osobowych; 2. Wykaz budynków o pomieszczeń tworzących Obszar bezpieczeństwa oraz wykaz lokalizacji serwerów, 3. Upoważnienie do przetwarzania danych osobowych, 4. Ewidencja osób upoważnionych do przetwarzania danych osobowych, 5. Oświadczenie.