ZARZĄDZENIE NR 713 DYREKTORA GENERALNEGO SŁUŻBY WIĘZIENNEJ z dnia \ 0 marca 2013 r.

Transkrypt

1 ZARZĄDZENIE NR 713 DYREKTORA GENERALNEGO SŁUŻBY WIĘZIENNEJ z dnia \ 0 marca 2013 r. w sprawie wystawiania certyfikatów dostępu do systemów informatycznych funkcjonariuszom i pracownikom Służby Więziennej Na podstawie art. 11 ust. l pkt 11 ustawy z dnia 9 kwietnia 2010 r. o Służbie Więziennej (Dz. U. Nr 79, póz. 523, z późn.zm. 1 )) zarządza się, co następuje: 1. Zarządzenie określa szczegółowe zasady wystawiania certyfikatów dostępu do systemów informatycznych Służby Więziennej funkcjonariuszom Służby Więziennej, zwanym dalej funkcjonariuszami' 1, i pracownikom Służby Więziennej, zwanym dalej pracownikami". 2. Funkcjonariuszom i pracownikom wystawiane są następujące certyfikaty dostępu do: 1) systemu Centralna Baza Danych Osób Pozbawionych Wolności Noe.NET; 2) niekwalifikowanego podpisu elektronicznego; 3) szyfrowania wiadomości przesyłanych pocztą elektroniczną Służby Więziennej; 4) logowania w systemie informatycznym Służby Więziennej z wykorzystaniem katalogu usług Active Directory; - zwane dalej certyfikatami" Kierownik jednostki organizacyjnej Służby Więziennej, zwany dalej kierownikiem jednostki", wyznacza spośród podległych funkcjonariuszy i pracowników osobę odpowiedzialną za koordynowanie spraw związanych z wystawianiem certyfikatów, zwaną dalej koordynatorem". 2. Zadania koordynatora w Centralnym Zarządzie Służby Więziennej, zwanego dalej Centralnym Zarządem", realizuje zespołowe stanowisko pracy w Biurze Informatyki i Łączności Centralnego Zarządu, zwane dalej Punktem Certyfikacji" Certyfikaty wystawiane są przez Punkt Certyfikacji na podstawie wniosku o wystawienie albo unieważnienie certyfikatu, zwanego dalej wnioskiem", którego wzór określa załącznik do zarządzenia. 2. Wniosek podpisany przez kierownika komórki organizacyjnej, w której pełni służbę lub jest zatrudniona osoba, dla której ma być wystawiony certyfikat, przekazywany jest koordynatorowi celem dalszego załatwienia sprawy. 3. Certyfikaty dla Dyrektora Generalnego Służby Więziennej, dyrektorów poszczególnych biur i kierowników zespołów Centralnego Zarządu, dyrektorów okręgowych D Zmiany tekstu ustawy zostały ogłoszone w Dz. U. z 2010 r. Nr 182, póz i Nr 238, póz. 1578, z 2011 r. Nr 112, póz. 654 i Nr 291, póz oraz z 2012 r. póz. 664 i póz. 951.

2 Służby Więziennej, dyrektorów aresztów śledczych i zakładów karnych, komendanta Centralnego Ośrodka Szkolenia Służby Więziennej, komendanta ośrodka szkolenia Służby Więziennej, komendanta ośrodka doskonalenia kadr Służby Więziennej oraz ich zastępców, wystawiane są na wniosek odpowiedniego koordynatora pełniącego służbę w wymienionych jednostkach organizacyjnych Służby Więziennej, zwanych dalej jednostkami organizacyjnymi". 4. Koordynator wprowadza wnioski do systemu informacji wewnętrznej intranet i podpisuje niekwalifikowanym podpisem elektronicznym. 5. Wnioski pobierane są z systemu informacji wewnętrznej intranet przez Punkt Certyfikacji i stanowią podstawę do wystawienia certyfikatu. 6. Wystawianie certyfikatów dla osób niebędących funkcjonariuszami lub pracownikami odbywa się na podstawie porozumień lub umów zawartych przez Centralny Zarząd Certyfikaty wystawiane są w standardzie x.509, z wykorzystaniem wyspecjalizowanego oprogramowania QR-CERT. 2. Certyfikaty wystawiane są przez Punkt Certyfikacji z okresem ważności 4 lata od daty wystawienia Certyfikaty zapisywane są w elektronicznym układzie stykowym (chipie) umieszczonym w legitymacji służbowej funkcjonariusza lub pracownika, wydawanej na podstawie przepisów odrębnych. Certyfikaty w uzasadnionych przypadkach mogą być wystawione na oddzielnej karcie kryptograficznej. 2. Legitymacje służbowe i karty kryptograficzne z certyfikatami przesyłane są listem poleconym do kierownika jednostki w terminie do 14 dni od wprowadzenia wniosku do odpowiedniego systemu informatycznego. 3. Kody PIN do certyfikatów przesyłane są odrębną przesyłką poleconą do koordynatora właściwej jednostki organizacyjnej. 4. Do programu kadrowego przekazywane są zwrotnie, za pośrednictwem programu legitymacje identyfikatory użytkownika w systemach informatycznych Służby Więziennej Właściwa komórka kadrowa wydaje funkcjonariuszom i pracownikom legitymacje służbowe zawierające certyfikaty. Odbiór legitymacji służbowej zawierającej certyfikaty potwierdzany jest podpisem w rejestrze wydawanych legitymacji służbowych prowadzonym na podstawie przepisów odrębnych. 2. Koordynator wydaje funkcjonariuszom i pracownikom karty kryptograficzne oraz kody PIN do certyfikatów. Odbiór certyfikatów potwierdzany jest podpisem w rejestrze wystawionych i unieważnionych certyfikatów, zwanym dalej rejestrem", który zawiera w szczególności: 1) imię i nazwisko; 2) numer karty kryptograficznej lub legitymacji służbowej; 3) datę upływu ważności; 4) identyfikatory użytkownika w systemach informatycznych Służby Więziennej; 5) datę odbioru karty kryptograficznej i kodu PIN;

3 6) czytelny podpis osoby odbierającej; 7) datę unieważnienia certyfikatu. 7. l. Unieważnienie certyfikatów następuje w przypadku: 1) ustania stosunku służbowego lub stosunku pracy; 2) przeniesienia funkcjonariusza do innej jednostki organizacyjnej; 3) zmiany danych osobowych; 4) zmiany stanowiska służbowego uzasadniającego unieważnienie certyfikatu; 5) wystawienia certyfikatu na podstawie nieprawidłowych danych, zawartych we wniosku; 6) nieuprawnionego dostępu do kodu PIN i karty kryptograficznej, na której zapisany jest certyfikat; 7) zagubienia, kradzieży lub uszkodzenia legitymacji służbowej lub karty kryptograficznej zawierającej certyfikat; 8) upływu 14 dni od daty wystawienia legitymacji służbowej zawierającej certyfikat z automatu poprzez system QR-CERT\ 9) wygaśnięcie daty ważności legitymacji służbowej lub karty kryptograficznej; 10) żądania kierownika jednostki. 2. Unieważnienie certyfikatu dokonywane jest przez Punkt Certyfikacji na podstawie wniosku podpisanego niekwalifikowanym podpisem elektronicznym przez koordynatora i przesłanego do Punktu Certyfikacji poprzez system informacji wewnętrznej intranet na podstawie wniosku o unieważnienie certyfikatu podpisanego przez kierownika jednostki. 3. Informacja o unieważnionych certyfikatach udostępniana jest w formie elektronicznej przez Punkt Certyfikacji, jako lista certyfikatów unieważnionych, zwana dalej listą CRL". 1) 2) 3) 4) 5) 6) 7) 8) 8. Do zadań koordynatora należy w szczególności: wprowadzanie wniosków do systemu informacji wewnętrznej intranet; przechowywanie wniosków przez okres 4 lat; prowadzenie elektronicznej ewidencji użytkowników posiadających certyfikaty dostępu do systemów informatycznych Służby Więziennej; prowadzenie rejestru; wydawanie kań kryptograficznych oraz kodów PIN w zabezpieczonych kopertach funkcjonariuszom i pracownikom po sprawdzeniu ich tożsamości; wydawanie kodów PIN w zabezpieczonych kopertach do certyfikatów zapisanych w legitymacjach służbowych; instruowanie funkcjonariuszy lub pracowników, co do zasad wykorzystywania certyfikatów w systemach informatycznych Służby Więziennej; odbiór od funkcjonariuszy lub pracowników kart kryptograficznych z unieważnionymi certyfikatami i przesłanie do Punktu Certyfikacji. 9. l. Do zadań Punktu Certyfikacji należy w szczególności: 1) wystawianie i unieważnianie imiennych certyfikatów użytkownikom systemów informatycznych Służby Więziennej;

4 2) odsyłanie wniosków w przypadku ewidentnych błędów do koordynatora właściwej jednostki organizacyjnej za pomocą systemu informacji wewnętrznej intranet, celem dokonania korekty; 3) wystawianie certyfikatu nie później niż w ciągu 14 dni od wprowadzenia wniosku do systemu informacji wewnętrznej intranet; 4) przesyłanie do kierownika jednostki legitymacji służbowej lub karty kryptograficznej z wystawionym certyfikatem przesyłką poleconą; 5) przesyłanie kodu PIN elektronicznej legitymacji służbowej i karty kryptograficznej do kierownika jednostki osobną przesyłką poleconą; 6) powiadamianie drogą elektroniczną jednostek organizacyjnych lub komórek organizacyjnych Centralnego Zarządu o terminie wygaśnięcia certyfikatu na 30 dni przed upływem jego daty ważności; 7) prowadzenie listy CRL; 8) prowadzenie ewidencji blankietów legitymacji służbowych funkcjonariuszy i pracowników. Ewidencja blankietów obejmuje liczbę blankietów przyjętych na stan oraz liczbę blankietów przeznaczonych do certyfikacji lub uszkodzonych w trakcie umieszczania certyfikatów; 9) prognozowanie zapotrzebowania na blankiety legitymacji służbowych oraz karty kryptograficzne i przekazywanie zapotrzebowania na rok następny dyrektorowi Biura Informatyki i Łączności Centralnego Zarządu do dnia 31 grudnia każdego roku; 10)przeprowadzanie okresowego komisyjnego niszczenia uszkodzonych blankietów przez pracowników Punktu Certyfikacji. Ze zniszczenia blankietów sporządza się protokół w formie pisemnej. 2. Punkt Certyfikacji nie ujawnia informacji o certyfikatach i użytkownikach systemu osobom trzecim. Informacje takie mogą być ujawnione na żądanie sądu lub prokuratora, w związku z toczącym się postępowaniem, a w innych przypadkach udzielone jedynie za zgodą Dyrektora Generalnego Służby Więziennej. 3. Punkt Certyfikacji nie ponosi odpowiedzialności za skutki użycia certyfikatów w jednostkach organizacyjnych Służby Więziennej Do obowiązków funkcjonariusza lub pracownika posiadającego legitymację służbową albo kartę kryptograficzną z wystawionymi certyfikatami należy w szczególności: 1) po otrzymaniu legitymacji służbowej lub karty kryptograficznej niezwłoczne dokonanie zmiany kodu PIN; 2) przechowywanie legitymacji służbowej lub karty kryptograficznej w sposób zapewniający ochronę przed nieuprawnionym wykorzystaniem; 3) ochrona legitymacji służbowej lub karty kryptograficznej przed zniszczeniem, zagubieniem lub dostępem osób trzecich; 4) ochrona kodu PIN przed dostępem osób trzecich; 5) wyjęcie legitymacji służbowej lub karty kryptograficznej z czytnika przy każdorazowym opuszczaniu stanowiska pracy; 6) niezwłoczne poinformowanie kierownika jednostki i koordynatora o utracie legitymacji służbowej lub karty kryptograficznej oraz o ujawnieniu kodu PIN; 7) zdanie unieważnionej karty kryptograficznej koordynatorowi jednostki. Legitymacja służbowa podlega zwrotowi do komórki kadrowej jednostki organizacyjnej.

5 2. Trzykrotne wprowadzenie przez funkcjonariusza lub pracownika nieprawidłowego kodu PIN powoduje zablokowanie legitymacji służbowej lub karty kryptograficznej w systemach informatycznych. 3. W przypadku zablokowania legitymacji służbowej lub karty kryptograficznej w systemach informatycznych, funkcjonariusz lub pracownik kontaktuje się telefonicznie z operatorem w Punkcie Certyfikacji lub dokonuje odblokowania poprzez system informacji wewnętrznej intranet. 4. Niedopuszczalne jest niszczenie, opisywanie lub oklejanie kart kryptograficznych. 11. Certyfikaty wydane przed wejściem w życie niniejszego zarządzenia zachowują ważność do momentu ich wygaśnięcia lub unieważnienia. 12. Traci moc Zarządzenie Nr 79/10 Dyrektora Generalnego Służby Więziennej z dnia 2 listopada 2010 r. w sprawie wystawiania certyfikatów i zasad postępowania certyfikacyjnego dla użytkowników systemów informatycznych Służby Więziennej. 13. Zarządzenie wchodzi w życie po upływie 14 dni od dnia podpisania. Generalny Służby Więziennej, Jacek Włodarski

6

7 Załącznik do zarządzenia nr V H *""" Dyrektora Generalnego Służby Więziennej z dnia /Y O, W '2013r Załącznik Wniosek o wystawienie albo unieważnienie certyfikatu Typ wniosku: D Wystawienie certyfikatu/certyfikatów CH Unieważnienie certyfikatu/certyfikatów 1 1 Dane identyfikacyjne użytkownika systemu: Imię (imiona): Nazwisko: PESEL: Jednostka organizacyjna: Stanowisko: Dział: Numer służbowy: Telefon służbowy: Funkcjonariusz / Pracownik' Adres wnioskodawcy: Identyfikatory przydzielone użytkownikowi systemu: Nazwa usługi Posiada Noe.NET TAK/NIE1 Poczta elektroniczna SW TAK/NIE1 Usługi katalogowe SWNET TAK/NIE1 Identyfikator użytkownika Rodzaj certyfikatu D Noe.NET oczta z podpisem elektronicznym Usługi Active Directory Przyczyny unieważnienia certyfikatu: Przyczyny unieważnienia certyfikatu (wypełniane tylko jeśli typ wniosku - unieważnienie): D ustanie stosunku służbowego lub pracy Q przeniesienie do innej jednostki organizacyjnej D zmiana danych osobowych D zmiana stano\mska Q nieprawidłowe dane D nieuprawniony dostęp do kodu PIN lub karty/legitymacji D zagubienie lub kradzież karty/legitymacji, kodu PIN D uszkodzenie karty/legitymacji D na żądanie kierownika jednostki Oświadczam, iż wyrażam zgodę na przekazanie danych zawartych w niniejszym formularzu do Centralnego Zarządu Służby Więziennej celem zapewnienia mi dostępu do systemu oraz wyrażam zgodę na ich przetwarzanie w zakresie niezbędnym do zapewnienia tego dostępu, stwierdzenia osób odpowiedzialnych za próby nieautoryzowanego dostępu lub w innych sprawach związanych z funkcjonowaniem tego sytemu. Jednocześnie oświadczam, że cofnięcie niniejszej zgody wiązać się będzie z utratą przeze mnie prawa dostępu do systemu. Data Podpis użytkownika systemu Data i podpis bezpośredniego przełożonego: Dala 1 Niepotrzebne skreślić podpis ł stempeljupra\yi]ionej osoby

8 UZASADNIENIE W związku z wprowadzeniem w 2012 r. legitymacji służbowych z elektronicznym układem stykowym tzw, chipem", na którym zapisywane są certyfikaty, zachodzi potrzeba dostosowania zarządzenia w sprawie wystawiania certyfikatów dla funkcjonariuszy i pracowników Służby Więziennej. W przypadku gdy funkcjonariusz/pracownik otrzymuje legitymacje z chipem" nie wydaje się mu, tak jak do tej pory, oddzielnej karty kryptograficznej. Koniecznym jest również określenie procedur w przypadku zapisu certyfikatów w chipie" w szczególności dotyczących przesłania kodu PIN oddzielną przesyłką. Zmianie ulegają zadania koordynatora w jednostce, gdyż musi on również rejestrować certyfikaty wystawione na legitymacji służbowej. Dodatkowo w związku z wdrożeniem INTRANETU w Służbie Więziennej wprowadzono nową procedurę przesyłania wniosków o wystawienie certyfikatu do Punktu Certyfikacji. Wnioski będą wprowadzane do systemu INTRANET przez koordynatora i pobierane w formie elektronicznej przez Punkt Certyfikacji. Skróci to czas od wprowadzenia wniosku do wystawienia certyfikatu, a dodatkowo ograniczy koszty przesyłania wniosków do Punktu Certyfikacji. Do tej pory wnioski w formie papierowej przesyłane są przesyłkami pocztowymi. Tym samym wejście w życie zarządzenia nie tylko nie spowoduje dodatkowych kosztów dla Służby Więziennej ale umożliwi uzyskanie oszczędności w związku z rezygnacją z przesyłek pocztowych. Ze względu na szeroki zakres wprowadzonych zmian, zrezygnowano z wprowadzenia zarządzenia w trybie zmian, a przygotowano jednolity tekst nowego zarządzenia, które wejdzie w życie 14 dni od jego podpisania.