stosowanych w Instytucie Medycyny Pracy im. prof. dra med. Jerzego Nofera w Łodzi

Transkrypt

1 Księga Procedur Bezpieczeństwa Informacji stosowanych w Instytucie Medycyny Pracy im. prof. dra med. Jerzego Nofera 25 maja 2018, Łódź

2 Historia zmian Nr wersji Data Opis Działanie(*) Autorzy (*) Działanie: N-Nowy, Z-Zmiana, W-Weryfikacja

3 SPIS TREŚCI IMP-BI-01 PROCEDURA KONTROLI DOSTĘPU DO BUDYNKÓW I POMIESZCZEŃ IMP-BI-02 PROCEDURA ZARZĄDZANIA SYSTEMAMI INFORMATYCZNYMI 18 IMP-BI-02/1 IMP-BI-02/2 IMP-BI-02/3 PROCEDURA ZARZĄDZANIA UPRAWNIENIAMI DO SYSTEMÓW INFORMATYCZNYCH PROCEDURA UWIERZYTELNIANIA UŻYTKOWNIKÓW ORAZ ZARZĄDZANIA IDENTYFIKATORAMI I HASŁAMI PROCEDURA ROZPOCZYNANIA, ZAWIESZANIA I KOŃCZENIA PRACY W SYSTEMACH INFORMATYCZNYCH IMP-BI-02/4 PROCEDURA TWORZENIA KOPII ZAPASOWYCH 35 IMP-BI-02/5 PROCEDURA ZARZĄDZANIA NOŚNIKAMI INFORMACJI 38 IMP-BI-02/6 IMP-BI-02/7 IMP-BI-02/8 PROCEDURA ZABEZPIECZANIA PRZED SZKODLIWYM OPROGRAMOWANIEM PROCEDURA WYKONYWANIA PRZEGLĄDÓW I KONSERWACJI SYSTEMÓW ORAZ NOŚNIKÓW PROCEDURA DOSTĘPU DO SIECI I KORZYSTANIA Z POCZTY ELEKRONICZNEJ IMP-BI-02/9 PROCEDURA UŻYTKOWANIA URZADZEŃ MOBILNYCH 48 IMP-BI-02/10 PROCEDURA LEGALNOŚCI OPROGRAMOWANIA 49 IMP-BI-03 PROCEDURA UDOSTĘPNIANIA DOKUMENTACJI MEDYCZNEJ 52 IMP-BI-04 PROCEDURA POSTĘPOWANIA W PRZYPADKU NARUSZEŃ W OCHRONIE DANYCH OSOBOWYCH IMP-BI-05 OSOBY ODPOWIEDZIALNE ZA OCHRONĘ DANYCH OSOBOWYCH IMP-BI-06 ZASADY PRZETWARZANIA DANYCH OSOBOWYCH. PROFILOWANIE. POWIERZENIE. UDOSTEPNIANIE. OBOWIĄZEK INFORMACYJNY. ZGODA. 80

4 1. Cel PROCEDURA BEZPIECZEŃSTWA strona/stron 4/85 KONTROLA DOSTĘPU DO BUDYNKÓW I POMIESZCZEŃ PROCEDURA NR IMP-BI Celem procedury jest zapewnienie właściwej kontroli dostępu do budynków i pomieszczeń Instytutu Medycyny Pracy im. prof. dra med. Jerzego Nofera. 2. Zakres Procedura Bezpieczeństwa zwana dalej Procedurą ustala zasady: kontroli dostępu do budynków, kontroli dostępu do pomieszczeń, zabezpieczenia pomieszczeń i przechowywania kluczy, wstępu do budynków i pomieszczeń Instytutu przez osoby niebędące pracownikami IMP. Przestrzeganie postanowień procedury dotyczy wszystkich pracowników IMP oraz innych osób niebędących pracownikami IMP. 3. Słownik pojęć Instytut / IMP Pracy im. prof. dra med. Jerzego Nofera Pomieszczenia wymagające szczególnego nadzoru biblioteka, magazyny, kasa, pomieszczenia, w których przechowywane są pieczęcie urzędowe lub dane wrażliwe, serwerownia, oraz archiwa (IMP i GLP). Pomieszczenia techniczne - wszystkie pomieszczenia konieczne do obsługi budynku a w szczególności: węzeł cieplny, rozdzielnie elektryczne, serwerownie, pomieszczenie UPS, maszynownie dźwigów, centrum dowodzenia p.poż., centrala telefoniczna, hydrofornia, sprężarkownia, pomieszczenia warsztatów, magazyn gazów itp. Pomieszczenia laboratoryjne - pomieszczenia, w których wykonywane są badania i analizy instrumentalne (chemiczne, fizyczne, biologiczne); Specjalne zabezpieczenie kluczy polega na umieszczeniu kluczy do pomieszczeń wymagających specjalnego/szczególnego nadzoru w woreczku plombowanym, bezpiecznej kopercie lub kasetce, przez osobę odpowiedzialną (dysponenta), a następnie przekazuje ich pracownikowi ochrony. Wszystkie odpowiednio zapieczętowane klucze przechowywane są w portierni w odrębnej szafce. 4. Odpowiedzialność i uprawnienia Za nadzór nad stosowaniem niniejszej Procedury odpowiedzialni są Kierownicy Komórek Organizacyjnych IMP. Szczegółowe odpowiedzialności i uprawnienia, zapisano w odpowiednich punktach Procedury. Postanowienia Procedury nie dotyczą pracowników obsługi technicznej zatrudnionych w Dziale Administracyjno-Technicznym, w przypadku kontroli stanu pomieszczeń lub likwidacji awarii i zagrożeń we wszystkich pomieszczeniach i budynkach IMP. 5. Kontrola dostępu do budynków 1. Budynki Instytutu pozostają pod dozorem i całodobową ochroną zewnętrznej firmy świadczącej usługi w tym zakresie, Systemu Sygnalizacji Włamań oraz Systemu Sygnalizacji Pożaru;

5 PROCEDURA BEZPIECZEŃSTWA strona/stron 5/85 KONTROLA DOSTĘPU DO BUDYNKÓW I POMIESZCZEŃ PROCEDURA NR IMP-BI Szczegółowe zasady wstępu i przebywania pracowników na terenie IMP określono w Regulaminie Pracy wprowadzonym Zarządzeniem Wewnętrznym Nr 13/2014 Dyrektora Instytutu Medycyny Pracy imienia prof. dra med. Jerzego Nofera z dnia 11 września 2014 r. ze zmianami; 3. Wszyscy pracownicy Instytutu zobowiązani są do posiadania przy sobie imiennych identyfikatorów wydawanych przez Dział Zarządzania Kadrami; 4. Po ustaniu stosunku pracy pracownik ma obowiązek zwrotu identyfikatora do Działu Zarządzania Kadrami; 5. Pracownik ochrony ma prawo żądać okazania imiennego identyfikatora/dowodu tożsamości przed wpuszczeniem na teren Instytutu; 6. Osoby reprezentujące firmy, z którymi Instytut ma podpisaną umowę cywilnoprawną/przetargową na świadczenie usług otrzymują przepustki stałe/czasowe; 7. Pozostałe osoby niebędące pracownikami IMP przed wejściem na teren Instytutu po okazaniu dowodu tożsamości, wpisywane są na listę gości i otrzymują identyfikator Gość. Gość ma prawo przebywać na terenie Instytutu wyłącznie w towarzystwie pracownika IMP; 8. Prywatna przesyłka kurierska adresowana do pracownika IMP może być odebrana wyłącznie w portierni. 6. Kontrola dostępu do pomieszczeń 1. Instytut prowadzi ewidencję pobierania i zdawania kluczy do pomieszczeń; 2. Prawo do pobierania i zdawania kluczy mają wyłącznie pracownicy Instytutu, upoważnieni przez kierownika danej komórki organizacyjnej (załącznik nr 1); 3. Lista wydawania kluczy wraz z wykazem uprawnionych pracowników znajduje się odpowiednio w Portierni A i Portierni B (załącznik nr 2 i nr 3); 4. Klucze do budynków i pomieszczeń wydaje pracownik ochrony; 5. Pracownicy ochrony mają prawo żądać od osoby pobierającej klucz okazania imiennego identyfikatora, na podstawie którego będą mogli dokonać weryfikacji upoważnienia do pobierania kluczy; 6. Pobranie oraz zwrot kluczy jest odnotowywany w portierni na liście wydawania kluczy i potwierdzany czytelnie wpisanym nazwiskiem i imieniem/pierwszą literą imienia osoby pobierającej/zdającej klucz; 7. Jeżeli po zakończeniu pracy, nie zostanie odnotowany zwrot pobranego klucza, może być konieczna wymiana zamków, której kosztami obciążona będzie osoba, która nie zwróciła klucza; 8. Dostęp do poszczególnych pomieszczeń przez pracowników IMP wynika z wykonywanych obowiązków służbowych lub usytuowania stanowiska pracy;

6 PROCEDURA BEZPIECZEŃSTWA strona/stron 6/85 KONTROLA DOSTĘPU DO BUDYNKÓW I POMIESZCZEŃ PROCEDURA NR IMP-BI Udostępnianie pomieszczeń w celu wykonywania czynności związanych z usługą sprzątania, odbywa się w uzgodnieniu z użytkownikami pomieszczeń i z uwzględnieniem zasad ochrony danych osobowych; 10. W przypadku wystąpienia awarii lub sygnalizowania zagrożenia przez systemy alarmowe, pracownicy obsługi technicznej Działu Administracyjno-Technicznego oraz, w szczególnych przypadkach, pracownicy ochrony, mają prawo wejścia do tych pomieszczeń pod nieobecność użytkowników. Informacja o tym zdarzeniu musi zostać przekazana niezwłocznie Kierownikowi Działu Administracyjno-Technicznego (lub osobie przez niego upoważnionej), który informuje bezpośredniego przełożonego użytkownika pomieszczenia. Zdarzenie musi zostać odnotowane wraz z uzasadnieniem w zeszycie wejść. Użytkownicy pomieszczeń wymagających szczególnego nadzoru mają obowiązek prowadzić ewidencję wejść i wyjść zawierającą wszelkie niezbędne informacje, w tym: datę i godzinę wejściawyjścia, cel wizyty oraz czytelny podpis; 11. Nadzór nad prawidłowym zabezpieczaniem budynków i pomieszczeń IMP przed dostępem osób nieuprawnionych sprawuje Kierownik Działu Administracyjno-Technicznego zgodnie z posiadanym zakresem obowiązków. 7. Zasady zabezpieczania pomieszczeń i przechowywania kluczy 1. W celu właściwego zabezpieczenia i prawidłowego funkcjonowania budynków Instytutu, do drzwi wejściowych do budynków powinny być co najmniej 2 (dwa) komplety kluczy. Jeden komplet przekazany jest do użytku pracowników ochrony, drugi komplet przechowywany jest w Portierni; 2. Do wszystkich pomieszczeń w obiekcie powinny być co najmniej 3 (trzy) komplety kluczy: a) jeden komplet służy do codziennego użytku i udostępniany jest przez pracowników ochrony (za potwierdzeniem) pracownikom Instytutu; klucze do pomieszczeń wymagających szczególnego nadzoru przekazywane do portierni powinny być odpowiednio zabezpieczone (kasetka, plombowany worek, bezpieczna koperta, itp.) w sposób uniemożliwiający ich użycie bez wiedzy osób uprawnionych. Za prawidłowe zabezpieczenie tych kluczy odpowiada użytkownik pomieszczenia; b) drugi komplet znajduje się w portierni i stanowi komplet kluczy serwisowych. Wydawany jest pracownikom obsługi technicznej Działu Administracyjno- Technicznego oraz pracownikom firmy sprzątającej (załącznik nr 4 ); c) trzeci komplet znajduje się w portierni i stanowi komplet zapasowy. Klucze te nie powinny być wydawane pracownikom; służą jedynie do otwarcia i zamknięcia pomieszczenia przez pracownika ochrony w przypadku zagubienia lub braku zwrotu klucza podstawowego; klucze zapasowe do pomieszczeń wymagających szczególnego nadzoru przekazywane są pracownikom ochrony odpowiednio zabezpieczone (jak w punkcie 7. 2.a);

7 PROCEDURA BEZPIECZEŃSTWA strona/stron 7/85 KONTROLA DOSTĘPU DO BUDYNKÓW I POMIESZCZEŃ PROCEDURA NR IMP-BI Pomieszczenia wymagające szczególnego nadzoru powinny być dodatkowo zabezpieczone poprzez zastosowanie elektronicznego systemu kontroli dostępu lub plombowanie drzwi każdorazowo po zakończeniu pracy i zamknięciu kluczem przez użytkowników pomieszczenia. Stosowane mogą być plomby miękkie z odciskiem referentki, plomby plastikowe numerowane lub metalowe z odciskiem cechownika (wykonanego według wzorów obowiązujących w Instytucie); 4. Dodatkowe egzemplarze kluczy do wybranych pomieszczeń mogą być wykonane wyłącznie za pośrednictwem Działu Administracyjno-Technicznego, na uzasadniony wniosek użytkownika lub kierownika Zakładu/Działu/równorzędnej komórki organizacyjnej; 5. W przypadku uszkodzenia klucza (np. złamania, wygięcia, itp.) dorabiany jest nowy egzemplarz klucza, po zwróceniu przez użytkownika klucza uszkodzonego; 6. W przypadku posługiwania się kluczem/kluczami, które nie zostały pobrane zgodnie z procedurą opisaną w pkt. 6. Kontrola dostępu do pomieszczeń Dział Administracyjno- 7. Techniczny dokona wymiany zamka/zamków, kosztem wymiany obciążona będzie osoba, która zagubiła/dorobiła klucz; 8. Do obowiązków osoby, która pobrała klucz do pomieszczenia należy: a) przed użyciem klucza sprawdzenie od strony wizualnej stanu zamków i używanych plomb jeżeli są zastosowane; b) po otwarciu pomieszczenia, przed przystąpieniem do pracy, sprawdzenie stanu zastosowanych zabezpieczeń sprzętu biurowego i komputerowego, a także przechowywanej w tym pomieszczeniu dokumentacji oraz innego wyposażenia; c) w przypadku stwierdzenia zmian lub naruszenia zabezpieczeń, braku dokumentów lub wyposażenia albo innych stwierdzonych szkód w pomieszczeniu, natychmiastowe powiadomienie Kierownika Działu Administracyjno-Technicznego i/lub bezpośredniego przełożonego. Powstałe szkody należy szczegółowo udokumentować; d) właściwe użytkowanie pomieszczenia i jego wyposażenia od momentu pobrania kluczy przez osobę uprawnioną do dostępu do pomieszczenia. 9. Odpowiedzialność pracownika, który pobrał klucz do pomieszczenia: a) zamykanie drzwi na klucz i zabieranie klucza ze sobą za każdym razem, gdy opuszcza pomieszczenie, b) właściwe zamknięcie drzwi, okien pomieszczenia, po zakończeniu pracy oraz zaplombowanie pomieszczenia i kluczy w przypadku pomieszczeń wymagających szczególnego nadzoru; c) należyte zabezpieczenie kluczy od biurek, szaf biurowych oraz szaf metalowych, którymi dysponują pracownicy.

8 PROCEDURA BEZPIECZEŃSTWA strona/stron 8/85 KONTROLA DOSTĘPU DO BUDYNKÓW I POMIESZCZEŃ PROCEDURA NR IMP-BI Wstęp do budynków i pomieszczeń Instytutu przez osoby niebędące pracownikami IMP W celu zapewnienia bezpieczeństwa, ochrony mienia oraz ochrony danych IMP prowadzi kontrolę wejść i wyjść na teren Instytutu; Wejście przez Portiernię A 1. Osoby niebędące pracownikami IMP zobowiązane są do okazania dowodu tożsamości oraz wyjaśnienia celu wizyty pracownikowi ochrony, co jest dokumentowane w Rejestrze Gości IMP (załącznik nr 5). Na tej podstawie zostanie wydany identyfikator GOŚĆ nr uprawniający do wejścia na teren Instytutu; 2. Uczestnicy kursów i szkoleń otrzymują identyfikator oraz materiały szkoleniowe od organizatora po weryfikacji na liście uczestników dokonanej przez pracownika ochrony; 3. Osoby zakwaterowane w internacie IMP wypełniają Kartę Pobytu (załącznik nr 6), zostają wpisane na Listę osób zakwaterowanych w Internacie IMP (załącznik nr 7) i otrzymują identyfikator od pracownika ochrony; 4. Osoba zakwaterowana w internacie IMP ma obowiązek stosowania się do Regulaminu internatu; 5. Osoby niebędące pracownikami IMP opuszczając Instytut zobowiązane są do zwrotu identyfikatora pracownikowi ochrony. Godzina wyjścia i zwrotu identyfikatora zostaje zapisana w odpowiednim rejestrze; 6. Rejestr przepustek stałych/czasowych (załącznik nr 8) i ich wydawanie prowadzone są przez upoważnionego pracownika Działu Administracyjno-Technicznego; 7. Przepustkę stałą/czasową może otrzymać osoba/przedstawiciel firmy, którą wiąże z Instytutem umowa cywilno-prawna, a jej pobyt na terenie Instytutu jest bardzo częsty ze względu na charakter świadczonej usługi; Wejście przez Portiernię B 1. Z uwagi na publiczny charakter działania budynku z portiernią B, w czasie jego pracy nie obowiązuje system określający uprawnienia do wejścia, przebywania i wyjścia z budynku Instytutu; 2. Wejście przez portiernię B odbywa się w godzinach pracy komórek organizacyjnych IMP świadczących usługi medyczne oraz w wyznaczonych godzinach odwiedzin pacjentów Kliniki; 3. W wyjątkowych przypadkach, dopuszcza się wejście na teren w/w komórek organizacyjnych IMP poza wyznaczonymi godzinami ich pracy (wyłącznie w wyniku wezwania lub innego nagłego zdarzenia) pod warunkiem uzyskania zgody dyżurującego lekarza.

9 9. Podstawa prawna: PROCEDURA BEZPIECZEŃSTWA strona/stron 9/85 KONTROLA DOSTĘPU DO BUDYNKÓW I POMIESZCZEŃ PROCEDURA NR IMP-BI Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (RODO) (Dz. Urz. UE L119 z 4 maja 2016 r.). 10. Wykaz załączników 1. Wykaz pracowników upoważnionych do wejścia do Instytutu 2. Wykaz kluczy wydawanych pracownikom IMP 3. Wykaz kluczy wydawanych pracownikom IMP poza godzinami pracy 4. Wykaz wydawanych kluczy serwisowych 5. Lista gości IMP 6. Karta Pobytu 7. Lista osób zakwaterowanych w internacie IMP 8. Rejestr przepustek Autorzy Zatwierdzający Małgorzata Tomicka Danuta Ligocka Michał Majek Iwona Tułodziecka-Chrzanowska

10 Załącznik nr 1 do Procedury nr IMP-BI pieczęć komórki organizacyjnej Dział Administracyjno-Techniczny w miejscu Wykaz pracowników...upoważnionych do wejścia do Instytutu nazwa komórki organizacyjnej w roku... w godzinach pracy R / całodobowo C Lp. Nazwisko i imię R /C Numer pomieszczenia Łódź, dnia pieczęć i podpis kierownika komórki organizacyjnej

11 Załącznik nr 2 do Procedury nr IMP-BI-01 PORTIERNIA. : WYKAZ KLUCZY WYDAWANYCH PRACOWNIKOM IMP 1. Numer pomieszczenia Nazwisko i imię Godzina pobrania Nazwisko i imię Godzina zdania

12 Załącznik nr 3 do Procedury nr IMP-BI-01 PORTIERNIA. : WYKAZ KLUCZY WYDAWANYCH PRACOWNIKOM IMP POZA GODZINAMI PRACY 2. Numer pomieszczenia Nazwisko i imię Godzina pobrania Nazwisko i imię Godzina zdania

13 Załącznik nr 4 do Procedury nr IMP-BI-01 PORTIERNIA. : WYKAZ WYDAWANYCH KLUCZY SERWISOWYCH 3. Numer pomieszczenia Nazwisko i imię Godzina pobrania Nazwisko i imię Godzina zdania

14 Dyżur w Portierni A:..... Godzina i rozpoczęcia dyżuru Godzina i zakończenia dyżuru Osoba dyżurująca:. Załącznik nr 5 do Procedury nr IMP-BI-01 LISTA GOŚCI IMP Instytutu Medycyny Pracy im. prof. dra med. Jerzego Nofera, ul. Św. Teresy od Dzieciątka Jezus 8, Łódź Lp. Nazwisko i imię Seria i Nr dokumentu tożsamości Komórka organizacyjna/pracownik IMP Godzina wejścia nr. plakietki Godzina wyjścia i zwrotu plakietki Uwagi

15 Załącznik nr 6 do Procedury nr IMP-BI-01 NAZWISKO KARTA POBYTU PROSIMY O ZAPOZNANIE SIĘ Z KLAUZULĄ INFORMACYJNĄ, A NASTĘPNIE CZYTELNE WYPEŁNIENIE KARTY IMIĘ Termin pobytu: Nr pokoju: ADRES ZAMIESZKANIA: Ulica/nr domu/nr mieszkania Kod pocztowy... Miejscowość.. Marka i numer rejestracyjny samochodu*:.... DANE POTRZEBNE DO WYSTAWIENIA FAKTURY: NIP dotyczy tylko podmiotu gospodarczego Imię i nazwisko lub nazwa podmiotu gospodarczego:... Dokładny adres: Ulica/nr domu/nr lokalu.... Kod pocztowy Miejscowość... KLAUZULA INFORMACYJNA Informujemy, że Administratorem Pani/Pana danych osobowych jest Pracy im. prof. dra med. Jerzego Nofera, ul. św. Teresy od Dzieciątka Jezus 8, Łódź. Przetwarzanie danych osobowych odbywa się w celu i zakresie niezbędnym do realizacji pobytu, na podstawie wyrażonej przez Panią/Pana zgody. Zapewniamy, że przez cały okres przetwarzania, Pani/Pana dane osobowe będą należycie zabezpieczone i poddane ochronie zgodnej z wymogami prawnymi. Będą przetwarzane przez okres niezbędny do realizacji wskazanego celu. Posiada Pani/Pan prawo żądania dostępu do danych osobowych ich sprostowania, usunięcia lub ograniczenia przetwarzania oraz prawo do wniesienia sprzeciwu wobec przetwarzania - biorąc pod uwagę swoją szczególną sytuację, a także prawo do przenoszenia danych. Ponadto, przysługuje Pani/Panu prawo do cofnięcia wyrażonej zgody w dowolnym momencie, co nie wpływa na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem. Podanie przez Panią/Pana danych osobowych jest dobrowolne, jednak niezbędne dla możliwości realizacji i rozliczenia pobytu. W celu uzyskania dodatkowych informacji dotyczących przetwarzania Pani/Pana danych osobowych proszę kontaktować się z Inspektorem Ochrony Danych na adres: Pracy im. Prof. dra med. J.Nofera Inspektor Ochrony Danych, ul. św. Teresy od Dzieciątka Jezus 8, Łódź, lub iod@imp.lodz.pl W przypadku gdy uzna Pani/Pan, iż przetwarzanie dotyczących Pani/Pana danych osobowych narusza przepisy ogólnego rozporządzenia o ochronie danych osobowych z dnia 27 kwietnia 2016 r., ma Pani/Pan prawo złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych. ZGODA NA PRZETWARZANIE DANYCH OSOBOWYCH Wyrażam zgodę na przetwarzanie przez Pracy im. prof. dra med. J. Nofera, ul. św. Teresy od Dzieciątka Jezus 8, Łódź, moich danych osobowych zawartych w Karcie Pobytu, w celu i zakresie niezbędnym do realizacji pobytu. Zobowiązuję się do przestrzegania regulaminu internatu. Regulamin znajduje się w każdym pokoju. Czytelny podpis gościa Internatu * - dotyczy tylko osób korzystających z parkingu IMP w godzinach od do 8 00 Potwierdzam zgodność danych i podpis pracownika ochrony

16 Załącznik nr 7 do Procedury nr IMP-BI-01 Lista osób zakwaterowanych w internacie IMP Nazwa kursu:. Termin: Po wypełnieniu karty pobytu przez gościa internatu proszę wydać klucz do przydzielonego pokoju oraz wpisać datę i godzinę przyjazdu. W przypadku zainteresowania parkowaniem samochodu na parkingu ogólnym IMP proszę o wydanie druku-oświadczenia, który po wypełnieniu przez gościa internatu należy przekazać na PORTIERNIĘ B przed wjazdem na parking. Koniecznie odnotować datę i godzinę przyjazdu i wyjazdu- informacje niezbędne dla rozliczeń. Nr pokoju Lp. zakwaterowania Imię i nazwisko gościa Pokój 1-osob./ 2-osob. Przyjazd Wyjazd godzina godzina Uwagi., podpis pracownika Działu Administracyjno-Technicznego

17 Załącznik nr 8 do Procedury nr IMP-BI-01 REJESTR PRZEPUSTEK Instytutu Medycyny Pracy im. prof. dra med. Jerzego Nofera, ul. Św. Teresy od Dzieciątka Jezus 8, Łódź Nr przepustki Nazwisko i imię/firma Seria i nr dokumentu tożsamości Cel wydania przepustki Data wydania przepustki Termin ważności przepustki Zgoda: i podpis otrzymującego Rodzaj przepustki Data zwrotu przepustki

18 1. Cel PROCEDURA BEZPIECZEŃSTWA strona/stron 18/85 ZARZĄDZANIE SYSTEMAMI INFORMATYCZNYMI PROCEDURA NR IMP-BI-02 Celem niniejszego dokumentu, zwanego dalej Procedurą lub PZSI, jest określenie zasad właściwego zarządzania systemem informatycznym (zwanym dalej Systemem) Instytutu Medycyny Pracy im. prof. dra med. Jerzego Nofera (zwanym dalej Instytutem lub IMP) służącym do przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać wchodzące w jego skład, urządzenia, programy i inne podsystemy elektronicznego przetwarzania informacji, odpowiednio do skali zagrożeń i kategorii danych objętych ochroną. Stosowanie zasad określonych w niniejszej procedurze ma na celu zapewnienie prawidłowej ochrony danych osobowych przetwarzanych przez Instytut w swoim systemie rozumianej jako ochronę danych przed ich udostępnieniem osobom nieupoważnionym, zmianą lub kradzieżą przez osobę nieuprawnioną, przetwarzaniem z naruszeniem przepisów wymienionych w punkcie 2. oraz utratą, uszkodzeniem lub zniszczeniem. 2. Podstawa prawna Procedura zarządzania systemami informatycznymi Instytutu Medycyny Pracy im. prof. dra med. Jerzego Nofera służącymi do przetwarzania danych osobowych została opracowana zgodnie z wymogami: Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (RODO)(Dz. Urz. UE L119 z 4 maja 2016 r.). 3. Słownik pojęć Administrator osoba zajmująca się zarządzaniem częścią lub całym systemem informatycznym i odpowiadająca za jego sprawne działanie. Do typowych zadań administratora należy nadzorowanie pracy powierzonych systemów, zarządzanie kontami i uprawnieniami użytkowników, konfiguracja systemów, instalowanie i aktualizacja oprogramowania, dbanie o bezpieczeństwo systemu i danych w systemach, nadzorowanie, wykrywanie i eliminowanie nieprawidłowości, asystowanie i współpraca z zewnętrznymi specjalistami przy pracach instalacyjnych, konfiguracyjnych i naprawczych, tworzenie dokumentacji zmian wprowadzanych w systemach mających bezpośredni wpływ na jego funkcjonalność. Administrator Danych Osobowych (ADO) - Pracy im. prof. dra med. Jerzego Nofera, reprezentowany przez Dyrektora Instytutu. ADO decyduje o celach i środkach przetwarzania danych osobowych. Administrator Systemu Informatycznego (ASI) osoba fizyczna wyznaczona przez Administratora Danych Osobowych, zajmująca się sprawowaniem ogólnego nadzoru nad bezpieczeństwem organizacyjnym, fizycznym oraz technicznym danych osobowych przetwarzanych w systemie informatycznym Instytutu Medycyny Pracy.

19 PROCEDURA BEZPIECZEŃSTWA strona/stron 19/85 ZARZĄDZANIE SYSTEMAMI INFORMATYCZNYMI PROCEDURA NR IMP-BI-02 Audytor Legalności Oprogramowania Informatycznego (Audytor Legalności) - osoba wyznaczona przez dyrektora Instytutu, nadzorująca przestrzeganie zasad określonych Procedurze legalności oprogramowania, stanowiącej załącznik nr IMP-BI-02/10 do niniejszej Procedury. Baza danych osobowych zbiór uporządkowanych powiązanych ze sobą tematycznie danych zapisanych np. w pamięci wewnętrznej komputera. Baza danych jest złożona z elementów o określonej strukturze rekordów lub obiektów, w których są zapisywane dane osobowe. Dane osobowe wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej, której tożsamość można określić bezpośrednio lub pośrednio, w szczególności przez powołanie się na numer identyfikacyjny albo jeden lub kilka specyficznych czynników określających Nośniki danych przedmioty fizyczne, na których możliwe jest zapisanie informacji w celu ich przechowywania, przetwarzania i transmisji. Każdy nośnik danych charakteryzuje określona pojemność, wynikająca z jego właściwości fizycznych. Hasło ciąg znaków literowych, cyfrowych lub znaków specjalnych, uwierzytelniający osobę upoważnioną do przetwarzania danych osobowych w systemie informatycznym. Identyfikator (login) ciąg znaków literowych, cyfrowych lub znaków specjalnych, jednoznacznie identyfikujących osobę upoważnioną do przetwarzania danych osobowych w systemie informatycznym. Incydent - pojedyncze zdarzenie lub seria niepożądanych lub niespodziewanych zdarzeń związanych z bezpieczeństwem informacji lub zmniejszeniem poziomu usług systemowych, które stwarzają znaczne prawdopodobieństwo zakłócenia działania systemu informatycznego i zagrażają bezpieczeństwu informacji, naruszenie bezpieczeństwa informacji ze względu na poufność, dostępność i integralność. Informatyk (Serwisant) pracownik Zespołu Informatyków IMP zajmujący się instalacją, naprawą oraz konserwacją sprzętu komputerowego, lub pracownik firmy zewnętrznej wykonujący podobne czynności. Inspektor Ochrony Danych (IOD) - osoba fizyczna powołana przez Administratora Danych Osobowych, pełniąca funkcje o charakterze doradczo-monitorującym w zakresie przetwarzania danych osobowych. Instytut / IMP Pracy im. prof. dra med. Jerzego Nofera z siedzibą, ul. św. Teresy od Dzieciątka Jezus 8, kod pocztowy: Kontrola (Audyt) - systematyczny, niezależny i udokumentowany proces oceny skuteczności systemu ochrony danych osobowych, na podstawie określonych kryteriów, wymagań polityk i procedur. Podatność - luka (słabość), która może być wykorzystana przez co najmniej jedno zagrożenie, rozumiane jako potencjalna przyczyna niepożądanego incydentu, który może wywołać szkodę.

20 Procedura niniejszy dokument. PROCEDURA BEZPIECZEŃSTWA strona/stron 20/85 ZARZĄDZANIE SYSTEMAMI INFORMATYCZNYMI PROCEDURA NR IMP-BI-02 Przetwarzane danych wszelkie operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te operacje, które wykonuje się w systemie informatycznym. Raport przygotowane przez system informatyczny zestawienie zakresu i treści przetwarzanych danych. Serwisant patrz, Informatyk. Skarbnik Dowodów Legalności Oprogramowania (Skarbnik) kierownik komórki organizacyjnej lub osoba przez niego wyznaczona, przechowująca dowody legalności oprogramowania użytkowanego w danej komórce organizacyjnej. System informatyczny (SYSTEM) - zespół współpracujących ze sobą urządzeń, programów, podsystemów, procedur przetwarzania informacji i narzędzi programowych zastosowanych w celu przetwarzania danych osobowych. Sieć wewnętrzna (LAN) wydzielona fizycznie i logicznie sieć telekomunikacyjna łącząca urządzenia informatyczne w budynkach należących do IMP. Sieć publiczna (WAN) wydzielona fizycznie i logicznie sieć telekomunikacyjna znajdująca się poza siedzibą IMP. Zwyczajowo tak nazywana będzie sieć Internet. Teletransmisja przesyłanie informacji za pośrednictwem sieci telekomunikacyjnej. Usuwanie danych zniszczenie danych osobowych lub taka ich modyfikacja, która nie pozwoli na ustalenie tożsamości osoby, której dotyczą. Uwierzytelnianie proces polegający na potwierdzeniu zadeklarowanej tożsamości podmiotu biorącego udział w procesie komunikacji. Celem uwierzytelniania jest uzyskanie określonego poziomu pewności, że dany podmiot jest w rzeczywistości tym, za który się podaje. Użytkownik każdy pracownik IMP bez względu na rodzaj stosunku pracy i wymiar etatu, stażysta, praktykant oraz każda inna osoba, która uzyskała upoważnienie od ADO do przetwarzania danych osobowych w systemach IT, a także osoba upoważniona przez kierownika podmiotu, z którym została podpisana umowa powierzenia przetwarzania danych osobowych. Użytkownik uprzywilejowany użytkownik posiadający wyższe uprawnienia do systemu informatycznego lub aplikacji niż użytkownik domyślnie zdefiniowany w tym systemie. Zabezpieczenie danych w systemie informatycznym - wdrożenie i eksploatacja stosownych środków technicznych i organizacyjnych zapewniających ochronę danych przed ich nieuprawnionym przetwarzaniem. Zagrożenie - potencjalna możliwość wystąpienia incydentu.

21 PROCEDURA BEZPIECZEŃSTWA strona/stron 21/85 ZARZĄDZANIE SYSTEMAMI INFORMATYCZNYMI PROCEDURA NR IMP-BI-02 Zbiór danych osobowych - posiadający strukturę zestaw danych o charakterze osobowym, dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest rozproszony lub podzielony funkcjonalnie. Zdarzenie - błąd zabezpieczenia lub nieznana dotychczas sytuacja, która może być związana z zagrożeniem bezpieczeństwa danych osobowych. 4. Odpowiedzialność Za przestrzeganie zasad wymienionych w PZSI i załącznikach do tego dokumentu odpowiadają administratorzy i użytkownicy systemów informatycznych, a także osoby odpowiedzialne za zarządzanie bezpieczeństwem informacji przetwarzanych w tych systemach. 5. Zakres i warunki stosowania PZSI przeznaczona jest dla użytkowników i administratorów systemów informatycznych, przetwarzających dane z wykorzystaniem systemów informatycznych. W przypadku pozostałych systemów należy stosować polityki, instrukcje zarządzania i procedury zgodnie z zasadami określonymi przez właściciela systemu. Zamieszczone w PZSI zapisy mają na celu ochronę informacji (w szczególności danych osobowych) przed ich udostępnieniem lub ujawnieniem osobom nieuprawnionym, przetwarzaniem danych z naruszeniem przepisów prawa, nieuprawnioną zmianą danych, ich utratą, uszkodzeniem lub zniszczeniem. Ochronie podlegają dane, sprzęt komputerowy, systemy informatyczne, infrastruktura techniczna oraz obszar przetwarzania danych wraz ze sposobami ich zabezpieczeń. Specyfikację zastosowanych środków fizycznych, technicznych i organizacyjnych oraz elementów zarządzania systemami informatycznymi zawarto w PZSI, natomiast ich uszczegółowienie w procedurach, których wykaz określono w punkcie 19. niniejszego dokumentu. Wyżej wymienione środki mają na celu zapewnienie poziomu bezpieczeństwa przetwarzanych danych, wymaganych przez rozporządzenia i ustawy wymienione w punkcie 2. PZSI. 6. Zabezpieczanie systemów informatycznych W celu ochrony przetwarzanych danych zastosowano mechanizmy zabezpieczające z grupy środków technicznych, fizycznych i organizacyjnych, zapewniając w ten sposób poufność, dostępność, integralność i rozliczalność. Wszystkie grupy środków zabezpieczających tworzą spójny system bezpieczeństwa informacji i zapewniają ochronę przed uzyskaniem nieuprawnionego dostępu do systemów informatycznych oraz pozwalają na zabezpieczenie danych przed utratą, nieuprawnioną zmianą, uszkodzeniem lub zniszczeniem. Zastosowane mechanizmy zabezpieczające zostały opisane w załącznikach do niniejszego dokumentu.

22 6.1. Techniczne środki ochrony PROCEDURA BEZPIECZEŃSTWA strona/stron 22/85 ZARZĄDZANIE SYSTEMAMI INFORMATYCZNYMI PROCEDURA NR IMP-BI-02 W celu ochrony przetwarzanych danych w Instytucie stosuje się następujące środki techniczne: pomieszczenia serwerowni wyposażone są w urządzenia klimatyzacyjne, w pomieszczeniach serwerowni stosowane są zabezpieczenia przed pożarem oraz ograniczeniem jego skutków, infrastruktura sprzętowa jest wyposażona w urządzenia zapobiegające utracie zasilania, serwery wyposażone są w macierze sprzętowe RAID, wykonywane są kopie bezpieczeństwa, co zapewnia ochronę przed utratą danych i umożliwia odtworzenie systemów po awarii, w celu zabezpieczenia przed szkodliwym oprogramowaniem stosowana jest ochrona antywirusowa, systemy są zabezpieczone przed zagrożeniami pochodzącymi z sieci publicznej (zapora sieciowa, urządzenia UTM, itp.), integralność baz danych zapewniana jest poprzez wbudowane mechanizmy spójności, zastosowano system umożliwiający określanie odpowiednich praw dostępu do zasobów informatycznych dla użytkowników standardowych i o podwyższonych uprawnieniach, dostęp do systemów, w których przetwarzane są dane (zwłaszcza osobowe), wymaga uwierzytelnienia i autoryzacji, umożliwiających jednoznaczne przypisanie działań określonej osobie, stosuje się mechanizmy wymuszające odpowiednią długość i złożoność hasła oraz okresową zmianę hasła, w miarę potrzeb i możliwości, dla poszczególnych systemów stosuje się separację środowisk: produkcyjne, testowe, szkoleniowe oraz rozwojowe, stosuje się synchronizację zegarów wszystkich systemów przetwarzania informacji z jednym wzorcowym źródłem czasu, stosuje się środki ochrony kryptograficznej, monitoruje się i dostosowuje się wykorzystanie zasobów oraz przewiduje się wymaganą pojemność w przyszłości, dla zapewnienia właściwej wydajności systemu. 7. Dostęp do zasobów informatycznych Dostęp do zasobów informatycznych mają wyłącznie uprawnione osoby, zgodnie z zakresem przydzielonych uprawnień, wynikającym bezpośrednio z wykonywanych obowiązków służbowych Nadawanie upoważnień do przetwarzania danych osobowych Do obsługi systemów informatycznych oraz urządzeń wchodzących w ich skład, a także do przetwarzania danych osobowych w zbiorach tradycyjnych mogą być dopuszczone wyłącznie osoby, które mają nadane uprawnienia do systemu informatycznego oraz posiadające aktualne upoważnienie do przetwarzania danych osobowych. Nadawanie i odwoływanie upoważnień zostało szczegółowo opisane w Procedurze zarządzania uprawnieniami do systemów informatycznych, która stanowi załącznik nr 1 do PZSI.

23 PROCEDURA BEZPIECZEŃSTWA strona/stron 23/85 ZARZĄDZANIE SYSTEMAMI INFORMATYCZNYMI PROCEDURA NR IMP-BI Wykorzystanie programów narzędziowych umożliwiających obejście zabezpieczeń systemów i aplikacji Wykorzystanie programów narzędziowych umożliwiających obejście zabezpieczeń systemów i aplikacji jest zakazane. W uzasadnionych przypadkach wykorzystanie tego typu programów będzie możliwe po uzyskaniu zgody właściciela merytorycznego zasobu. Z wykorzystania oprogramowania należy sporządzić dokumentację, zawierającą w szczególności opis działań z wykorzystaniem programu narzędziowego i uzyskane rezultaty. Dokumenty powinny być podpisane przez osoby wykorzystujące oprogramowanie oraz zatwierdzone przez kierującego jednostką organizacyjną. 8. Środki i metody uwierzytelniania użytkowników Dostęp do danych przetwarzanych w systemach informatycznych użytkownik uzyskuje po uwierzytelnieniu się w systemie. Użytkownicy nie mogą korzystać z danych uwierzytelniających innych użytkowników systemu. Zasady zarządzania identyfikatorami oraz tworzenia i ochrony haseł określa Procedura uwierzytelniania użytkowników oraz zarządzania identyfikatorami i hasłami stanowiąca załącznik nr 2 do PZSI. 9. Rozpoczynanie, zawieszanie i kończenie pracy w systemie Przebywanie w obszarze przetwarzania danych osób nieuprawnionych jest dopuszczalne wyłącznie w obecności osoby uprawionej lub za zgodą ADO. Po zakończeniu pracy, pomieszczenia powinny być zamykane w celu uniemożliwienia dostępu do nich osób nieuprawnionych. Szczegółowe wytyczne w tym zakresie zawiera Procedura rozpoczynania, zawieszania i kończenia pracy w systemach informatycznych, stanowiąca załącznik nr 3 do PZSI. 10. Tworzenie kopii zapasowych W celu zapewnienia możliwości odtworzenia informacji, oprogramowania oraz konfiguracji systemu informatycznego w przypadku awarii lub katastrofy muszą być na bieżąco wykonywane kopie zapasowe. Proces wykonywania i odtwarzania kopii zapasowych: musi umożliwiać odtworzenie systemu, nie może obniżać kryteriów jakości określonych dla systemu informatycznego czy też powodować jego niedostępność. Zasady zarządzania kopiami zapasowymi (w tym metody i częstotliwość ich wykonywania) określa Procedura tworzenia kopii zapasowych stanowiąca załącznik nr 4 do PZSI. 11. Zarządzanie nośnikami informacji Nośniki informacji z danymi podlegającymi ochronie przechowuje się w warunkach uniemożliwiających dostęp do nich osób nieuprawnionych. W przypadku uszkodzenia elektronicznego nośnika informacji należy dokonać jego fizycznego zniszczenia.

24 PROCEDURA BEZPIECZEŃSTWA strona/stron 24/85 ZARZĄDZANIE SYSTEMAMI INFORMATYCZNYMI PROCEDURA NR IMP-BI-02 Szczegółowe zasady postępowania z nośnikami informacji określa Procedura zarządzania nośnikami informacji stanowiąca załącznik nr 5 do PZSI. 12. Złośliwe oprogramowanie Złośliwe oprogramowanie stanowi poważne zagrożenie dla informacji gromadzonych w systemach informatycznych. Prawidłowa profilaktyka i świadomość zagrożenia są najważniejszymi sposobami uniknięcia naruszenia bezpieczeństwa informacji. Sposoby ochrony przed złośliwym oprogramowaniem i zasady postępowania w przypadku jego wykrycia opisano w Procedurze zabezpieczania przed szkodliwym oprogramowaniem, stanowiącą załącznik nr 6 do PZSI. 13. Zarządzanie bezpieczeństwem sieci teleinformatycznej W celu ochrony przed zagrożeniami i utrzymania bezpieczeństwa systemu informatycznego, z uwzględnieniem przesyłanych informacji, wdrożono mechanizmy zarządzania i nadzorowania sieci. Za skuteczność zaimplementowanych zabezpieczeń, z wyłączeniem sieci rozległej WAN i urządzeń UTM zarządzanych przez Zespół Informatyków IMP, odpowiedzialny jest ASI. Szczegółowe mechanizmy zabezpieczające zostały zdefiniowane w Procedurze dostępu do sieci i korzystania z poczty elektronicznej stanowiącej załącznik nr 8 do PZSI. 14. Dostęp do Internetu i poczty elektronicznej Szczególne znaczenie dla bezpieczeństwa danych ma przestrzeganie reguł właściwego korzystania z Internetu i poczty elektronicznej. Zabrania się korzystania z Internetu i poczty elektronicznej dla celów innych niż służbowe. Korespondencja realizowana drogą elektroniczną z wykorzystaniem systemów teleinformatycznych podlega rejestrowaniu i może być monitorowana. Zdalny dostęp do usługi poczty elektronicznej spoza sieci IMP podnosi ryzyko dostępu do danych przez osoby nieuprawnione. Z tego względu należy zachować szczególną ostrożność podczas korzystania z poczty poza siecią IMP. Szczegółowe zasady korzystania z Internetu i poczty elektronicznej określa Procedura dostępu do sieci i korzystania z poczty elektronicznej stanowiąca załącznik nr 8 do PZSI. 15. Użytkowanie urządzeń mobilnych Za bezpieczeństwo urządzeń mobilnych odpowiedzialny jest użytkownik. W celu zapewnienia bezawaryjnej i bezpiecznej eksploatacji urządzeń mobilnych, użytkownicy powinni stosować wytyczne określone w Procedurze użytkowania urządzeń mobilnych, będącą załącznikiem nr 9 do PZSI. 16. Naruszenie bezpieczeństwa informacji w systemie Naruszenie bezpieczeństwa informacji to wszelkie zdarzenia lub działania, które stanowią lub mogą stanowić przyczynę utraty zasobów, ich poufności, integralności oraz rozliczalności, a także ograniczenia dostępności informacji lub zmniejszenia niezawodności systemu. Naruszeniem bezpieczeństwa są także odstępstwa od obowiązujących zasad przetwarzania danych, nawet jeżeli nie prowadzą do wyżej wymienionych skutków. W szczególności są to wszelkie sytuacje, w których nastąpiła utrata (np. kradzież lub zniszczenie), możliwość dostępu do danych dla osób nie

25 PROCEDURA BEZPIECZEŃSTWA strona/stron 25/85 ZARZĄDZANIE SYSTEMAMI INFORMATYCZNYMI PROCEDURA NR IMP-BI-02 posiadających upoważnienia do ich przetwarzania lub nieuzasadniona modyfikacja danych lub ich części, nawet jeśli jest możliwe całkowite odtworzenie utraconych danych. W przypadkach naruszenia bezpieczeństwa informacji należy postępować zgodnie z Procedurą naruszeń w ochronie danych osobowych (Procedura nr IMP-BI-04). 17. Zabezpieczenia kryptograficzne W systemach informatycznych, służących do przetwarzania danych w Instytucie, stosuje się środki ochrony kryptograficznej mające zastosowanie m.in.: wobec danych wykorzystywanych do uwierzytelnienia w celu zapobiegania m.in. przechwytywaniu i zmienianiu w trakcie ich transmisji, szyfrowanie przesyłanych danych prawnie chronionych dla zapewnienia ich poufności, zabezpieczenia kanałów łączności, w przypadku transmisji danych pomiędzy stacjami roboczymi, a serwerami WWW wykorzystywany jest bezpieczny protokół HTTPS (SSL). Środki ochrony kryptograficznej dla danego systemu są określane na podstawie wykonanej dla tego systemu analizy ryzyka. Dane osobowe przetwarzane poza obszarem przetwarzania należy w każdym przypadku zabezpieczyć kryptograficznie. W tym celu dyski/pamięci urządzeń przenośnych przed rozpoczęciem użytkowania muszą zostać zaszyfrowane. 18. Przeglądy, konserwacje i naprawy Urządzenia oraz oprogramowanie podlegają okresowym przeglądom i konserwacjom zgodnie z zaleceniami ich producentów oraz bieżącymi potrzebami. Przeglądu dokonuje się także za każdym razem, gdy zostanie stwierdzone naruszenie bezpieczeństwa informacji. Dokonywanie przeglądów i konserwacji urządzeń oraz oprogramowania odbywa się zgodnie z Procedurą wykonywania przeglądów i konserwacji systemów oraz nośników stanowiącym załącznik nr 7 do PZSI. 19. Wykaz załączników Nr załącznika do PZSI Załącznik nr 1 Załącznik nr 2 Załącznik nr 3 Załącznik nr 4 Nazwa procedury Procedura zarządzania uprawnieniami do systemów informatycznych Procedura uwierzytelniania użytkowników oraz zarządzania identyfikatorami i hasłami Procedura rozpoczynania, zawieszania i kończenia pracy w systemach informatycznych Procedura tworzenia kopii zapasowych

26 PROCEDURA BEZPIECZEŃSTWA strona/stron 26/85 Nr załącznika do PZSI ZARZĄDZANIE SYSTEMAMI INFORMATYCZNYMI PROCEDURA NR IMP-BI-02 Nazwa procedury Załącznik nr 5 Załącznik nr 6 Załącznik nr 7 Załącznik nr 8 Załącznik nr 9 Załącznik nr 10 Procedura zarządzania nośnikami informacji Procedura zabezpieczania przed szkodliwym oprogramowaniem Procedura wykonywania przeglądów i konserwacji systemów oraz nośników Procedura dostępu do sieci i korzystania z poczty elektronicznej Procedura użytkowania urządzeń mobilnych Procedura legalności oprogramowania Sporządzający Zatwierdzający Dyrektor Krzysztof Wiśniewski r. prof. dr hab. med. Konrad Rydzyński r.

27 1. Cel Załącznik nr 1 do PZSI PROCEDURA BEZPIECZEŃSTWA strona/stron 27/85 ZARZĄDZANIE UPRAWNIENIAMI DO SYSTEMÓW INFORMATYCZNYCH PROCEDURA NR IMP-BI-02/1 Celem procedury jest określenie sposobu przydzielania dostępu do systemów informatycznych IMP. 2. Zakres i warunki stosowania Procedura przeznaczona jest dla wszystkich użytkowników systemów informatycznych z wyłączeniem systemów informatycznych, dla których zakres i warunki stosowania zostały określone w odrębnych instrukcjach lub procedurach przeznaczonych dla tych systemów. 3. Zarządzanie przydzielaniem dostępu do systemów informatycznych 3.1. Uprawnienia do przetwarzania danych osobowych w systemach informatycznych Instytutu nadaje każdorazowo Administrator Systemów Informatycznych na polecenie kierownika komórki organizacyjnej IMP Wniosek o upoważnienie do przetwarzania danych osobowych zawierający również prośbę o nadanie dostępu do systemów informatycznych może zostać przekazany wyłącznie drogą elektroniczną (mail). Treść wniosku stanowi Załącznik nr 1 do niniejszej Procedury ASI każdorazowo decyduje czy istnieje techniczna możliwość nadania upoważnionemu pracownikowi uprawnienia do przetwarzania danych osobowych w systemach informatycznych i informacje te przekazuje kierownikowi komórki organizacyjnej Po pomyślnym nadaniu uprawnień, ASI przekazuje informację o tym do IOD, który następnie wystawia Upoważnienie do przetwarzania danych osobowych. Tylko użytkownik, który podpisał Upoważnienie może mieć dostęp do systemu informatycznego IMP Przydzielanie poszczególnym pracownikom IMP uprawnień do przetwarzania danych osobowych w systemach informatycznych następuje poprzez nadanie im loginu oraz hasła tymczasowego pozwalającego na dostęp do danego systemu informatycznego (zgodnie z trybem określonym w Procedurze uwierzytelniania użytkowników oraz zarządzania identyfikatorami i hasłami, stanowiącej Załącznik nr 2 do PZSI) Uprawnienia użytkownika do pracy w systemie informatycznym, w którym przetwarzane są dane osobowe, mogą obejmować w swym zakresie dostęp do baz danych w swojej jednostce organizacyjnej oraz: odczyt danych, wprowadzanie nowych danych, modyfikację istniejących danych, wydruk danych, przekazywanie danych wewnątrz jednostki organizacyjnej Uprawnienia Użytkownika uprzywilejowanego do pracy w systemie informatycznym, zastosowanym do przetwarzania danych osobowych, mogą obejmować uprawnienia o których mowa w pkt oraz: dostęp do baz danych innych komórek organizacyjnych, udostępnianie danych podmiotom i osobom, usuwanie danych ze zbiorów swojej jednostki organizacyjnej, użytkowanie komputera przenośnego.

28 Załącznik nr 1 do PZSI PROCEDURA BEZPIECZEŃSTWA strona/stron 28/85 ZARZĄDZANIE UPRAWNIENIAMI DO SYSTEMÓW INFORMATYCZNYCH PROCEDURA NR IMP-BI-02/ ASI lub osoba przez niego wyznaczona, obok uprawnień wymienionych w pkt i pkt uprawniony jest do: zakładania, modyfikacji lub usuwania baz danych, migracji danych pomiędzy bazami, usuwania lub zabezpieczania danych w sposób uniemożliwiający ich identyfikację (anonimizacji) w bazach danych na podstawie pisemnego polecenia osób, archiwizowania danych ze zbiorów ASI lub IOD może cofnąć, ograniczyć lub nie wyrazić zgody na przyznanie określonych uprawnień użytkownikom, którzy naruszają bezpieczeństwo w ochronie danych osobowych mające negatywny wpływ na bezpieczeństwo przetwarzania danych w systemach IOD obowiązany jest zapewnić kontrolę nad tym, jakie dane osobowe, kiedy i przez kogo zostały do zbioru wprowadzone oraz komu są przekazywane ASI prowadzi rejestr nadanych uprawnień do przetwarzania danych w systemach informatycznych Cofnięcie uprawnienia dostępu do danego systemu informatycznego następuje na wniosek IOD lub kierownika komórki organizacyjnej IMP a ASI odnotowuje ten fakt w prowadzonym przez siebie w rejestrze nadanych uprawnień Zdarzenie o którym mowa w pkt może nastąpić w przypadku: ustania zatrudnienia użytkownika w IMP zmiany zakresu obowiązków służbowych użytkownika, oddelegowania lub przeniesienia pracownika do innej komórki organizacyjnej. Sporządzający Zatwierdzający Dyrektor Krzysztof Wiśniewski r. prof. dr hab. med. Konrad Rydzyński r.

29 Załącznik nr 1 do Procedury nr IMP-BI-02/1 Komórka organizacyjna Wniosek o nadanie upoważnienia do przetwarzania danych osobowych w Instytucie Medycyny Pracy Wnioskuję o przyznanie/cofnięcie/zmianę* upoważnienia do przetwarzania danych osobowych dla.. (imię i nazwisko osoby) w następujących zbiorach danych (proszę podać nazwy zbiorów danych oraz określić zakres przetwarzania pełny/ograniczony-np. wgląd, wprowadzanie, drukowanie itp.): 1. Forma tradycyjna 2. Forma elektroniczna W związku z przetwarzaniem danych osobowych w formie elektronicznej proszę o nadanie identyfikatora w systemie informatycznym. Proszę o założenie konta Tak/Nie* Proszę o przygotowanie upoważnienia na czas nieokreślony/określony od dnia. do dnia... (imię i nazwisko osoby wnioskującej) Wypełnia Zespół Informatyki Przyznaję Login w systemie informatycznym:.. (imię i nazwisko pracownika ZI) Potwierdzam zgodność danych i kwalifikuję wniosek do przygotowania upoważnienia. (imię i nazwisko osoby przygotowującej upoważnienie

30 Załącznik nr 2 do PZSI PROCEDURA BEZPIECZEŃSTWA strona/stron 30/85 UWIERZYTELNIANIE UŻYTKOWNIKÓW ORAZ ZARZĄDZANIE IDENTYFIKATORAMI I HASŁAMI PROCEDURA NR IMP-BI-02/2 1. Cel Celem procedury jest określenie metod uwierzytelniania użytkowników w systemach informatycznych oraz zasad zarządzania identyfikatorami i hasłami. Procedura zawiera zasady konstrukcji haseł, tryb i częstotliwość ich zmian oraz metody ich ochrony. 2. Zakres i warunki stosowania Procedura przeznaczona jest dla wszystkich użytkowników systemów informatycznych z wyłączeniem systemów informatycznych, dla których zakres i warunki stosowania zostały określone w odrębnych instrukcjach lub procedurach przeznaczonych dla tych systemów. 3. Zarządzanie identyfikatorami użytkowników Każdy użytkownik otrzymuje unikalny identyfikator, który pozwala na jednoznaczne przypisanie określonej osobie działań w systemie (rozliczalność). Identyfikator nadaje ASI lub osoby przez niego upoważnione według reguł określonych dla danego systemu. Identyfikator użytkownika, który stracił uprawnienia do przetwarzania danych, nie może być ponownie przydzielony innej osobie. Wykorzystywanie identyfikatorów grupowych jest dozwolone wyłącznie w szczególnych sytuacjach w związku z charakterem wykonywanych czynności służbowych. Nadanie takiego identyfikatora musi być udokumentowane oraz zatwierdzone przez ADO. Kierownik komórki organizacyjnej zobowiązany jest do przekazania ASI imiennej listy pracowników, którym nadany zostanie identyfikator grupowy Zasady budowy identyfikatorów (loginów) Zestaw znaków: minimum 6 znaków, minimalny zestaw znaków: małe litery (od a do z), wielkie litery (od A do Z), cyfry (od 0 do 9). brak polskich znaków diakrytycznych takich jak ę, ó, ą, ś, ł, ż, ź, ć, ń oraz znaków specjalnych, podstawowy schemat budowy identyfikatora składa z się imienia i nazwiska użytkownika, pisane łącznie, bez żadnych znaków rozdzielających, w przypadku imion lub nazwisk wieloczłonowych zawsze wykorzystywane jest pierwsze imię/nazwisko 4. Zarządzanie hasłami 4.1. Zasady przydzielania haseł W systemach, w których jest to możliwe, ASI lub osoba przez niego wyznaczona, ustala hasło inicjujące i w sposób zapewniający jego poufność przekazuje je użytkownikowi, który ma obowiązek jego niezwłocznej zmiany.

31 Załącznik nr 2 do PZSI PROCEDURA BEZPIECZEŃSTWA strona/stron 31/85 UWIERZYTELNIANIE UŻYTKOWNIKÓW ORAZ ZARZĄDZANIE IDENTYFIKATORAMI I HASŁAMI PROCEDURA NR IMP-BI-02/2 Hasło (z wyjątkiem inicjującego pracę w systemie) ustala dla siebie wyłącznie użytkownik i zachowuje je w tajemnicy. Hasło użytkownika musi być zmieniane co najmniej raz na 30 dni, niezależnie od tego czy system komputerowy wymusza zmianę, czy też nie. Użytkownik odpowiada za systematyczną zmianę swoich haseł dostępu. Zabrania się używania tych samych haseł w różnych systemach operacyjnych i aplikacjach Zasady budowy haseł Wymagania dla haseł użytkowników i haseł inicjujących: Zestaw znaków minimum 8 znaków, minimalny zestaw znaków: małe litery (od a do z), wielkie litery (od A do Z), cyfry (od 0 do 9) lub znaki specjalne (np. $, #, %,!), brak polskich znaków diakrytycznych takich jak ę, ó, ą, ś, ł, ż, ź, ć, ń Złożoność nie może być takie samo jak nazwa użytkownika, budowa hasła nie powinna być oparta na prostych skojarzeniach, mieć związku z danymi osobistymi użytkownika (należy unikać kombinacji imienia, nazwiska, numeru telefonu, numeru pokoju, imion, nazwisk rodziny i dzieci, imion zwierząt domowych, adresu itp.), nie może składać się z samych cyfr lub takich samych liter, nie może być konstruowane wg stałego schematu uwzględniającego upływ czasu lub inne łatwe do odgadnięcia czynniki, np. kolejna nazwa miesiąca, kolejna cyfra Zmiany hasła częstotliwość zmiany - nie rzadziej niż co 30 dni, metoda zmiany: zmiana wymuszana automatycznie przez system, jeśli system nie wymusza automatycznie zmiany, obowiązek dotrzymania terminu spoczywa na użytkowniku Ochrona haseł Każdy użytkownik zobowiązany jest do zachowania w tajemnicy swojego hasła. Zabrania się udostępniania haseł innym osobom. Hasło utrzymuje się w tajemnicy również po upływie jego ważności. Zabrania się zapisywania i przechowywania hasła w postaci zapisanej w miejscu dostępnym dla innych osób. Zaleca się wyłączenie funkcji zapamiętywania haseł w przeglądarkach internetowych lub programach umożliwiających taką funkcjonalność.