R O Z P O R Z Ą D Z E N I E PREZESA RADY MINISTRÓW z dnia 20 lipca 2011 r.
|
|
- Urszula Stasiak
- 10 lat temu
- Przeglądów:
Transkrypt
1
2 P R O Z P O R Z Ą D Z E N I E PREZESA RADY MINISTRÓW z dnia 20 lipca 2011 r. w sprawie podstawowych wymagań bezpieczeństwa teleinformatycznego Na podstawie art. 49 ust. 9 ustawy z dnia 5 sierpnia 2010 r. o ochronie informacji niejawnych (Dz. U. Nr 182, poz. 1228) zarządza się, co następuje: Rozdział 1 Przepisy ogólne 1. Rozporządzenie określa: 1) podstawowe wymagania bezpieczeństwa teleinformatycznego, jakim powinny odpowiadać systemy teleinformatyczne, o których mowa w art. 48 ust. 1 ustawy z dnia 5 sierpnia 2010 r. o ochronie informacji niejawnych, zwanej dalej ustawą ; 2) niezbędne dane, jakie powinna zawierać dokumentacja bezpieczeństwa systemów teleinformatycznych oraz sposób jej opracowywania. 2. Ilekroć w rozporządzeniu jest mowa o: 1) dostępności należy przez to rozumieć właściwość określającą, że zasób systemu teleinformatycznego jest możliwy do wykorzystania na żądanie, w określonym czasie, przez podmiot uprawniony do pracy w systemie teleinformatycznym; 2) elektromagnetycznej emisji ujawniającej należy przez to rozumieć sygnały elektromagnetyczne związane z przetwarzaniem informacji w systemach teleinformatycznych, powstające w sposób naturalny, ale
3 niezamierzony, które odebrane i poddane analizie mogą prowadzić do odtworzenia fragmentu lub całości przetwarzanej informacji niejawnej; 3) incydencie bezpieczeństwa teleinformatycznego należy przez to rozumieć takie pojedyncze zdarzenie lub serię zdarzeń, związanych z bezpieczeństwem informacji niejawnych, które zagrażają ich poufności, dostępności lub integralności; 4) informatycznym nośniku danych należy przez to rozumieć materiał służący do zapisywania, przechowywania i odczytywania danych w postaci cyfrowej; 5) integralności należy przez to rozumieć właściwość określającą, że zasób systemu teleinformatycznego nie został zmodyfikowany w sposób nieuprawniony; 6) oprogramowaniu złośliwym należy przez to rozumieć oprogramowanie, którego celem jest przeprowadzenie nieuprawnionych lub szkodliwych działań w systemie teleinformatycznym; 7) podatności należy przez to rozumieć słabość zasobu lub zabezpieczenia systemu teleinformatycznego, która może zostać wykorzystana przez zagrożenie; 8) połączeniu międzysystemowym należy przez to rozumieć techniczne lub organizacyjne połączenie dwóch lub więcej systemów teleinformatycznych, umożliwiające ich współpracę, a w szczególności wymianę danych; 9) poufności należy przez to rozumieć właściwość określającą, że informacja nie jest ujawniana podmiotom do tego nieuprawnionym; 10) przekazywaniu informacji należy przez to rozumieć zarówno transmisję informacji, jak i przekazywanie informacji na informatycznych nośnikach danych, na których zostały utrwalone; 11) testach bezpieczeństwa należy przez to rozumieć testy poprawności i skuteczności funkcjonowania zabezpieczeń w systemie teleinformatycznym; 12) zabezpieczeniu należy przez to rozumieć środki o charakterze fizycznym, technicznym lub organizacyjnym zmniejszające ryzyko; 2
4 13) zagrożeniu należy przez to rozumieć potencjalną przyczynę niepożądanego zdarzenia, które może wywołać szkodę w zasobach systemu teleinformatycznego; 14) zaleceniach należy przez to rozumieć zalecenia w zakresie bezpieczeństwa teleinformatycznego, o których mowa w art. 52 ust. 3 ustawy; 15) zasobach systemu teleinformatycznego należy przez to rozumieć informacje przetwarzane w systemie teleinformatycznym, jak również osoby, usługi, oprogramowanie, dane i sprzęt oraz inne elementy mające wpływ na bezpieczeństwo tych informacji. 3. Ze względu na posiadane przez użytkowników systemu teleinformatycznego uprawnienia dostępu do informacji niejawnych, system teleinformatyczny przeznaczony do przetwarzania informacji niejawnych może funkcjonować w jednym z następujących trybów bezpieczeństwa pracy: 1) dedykowanym w którym spełnione są łącznie następujące warunki: a) wszyscy użytkownicy posiadają uprawnienie do dostępu do informacji niejawnych o najwyższej klauzuli tajności, jakie mogą być przetwarzane w tym systemie teleinformatycznym, b) wszyscy użytkownicy mają uzasadnioną potrzebę dostępu do wszystkich informacji niejawnych przetwarzanych w systemie teleinformatycznym; 2) systemowym w którym spełnione są łącznie następujące warunki: a) wszyscy użytkownicy posiadają uprawnienie do dostępu do informacji niejawnych o najwyższej klauzuli tajności, jakie mogą być przetwarzane w tym systemie teleinformatycznym, b) nie wszyscy użytkownicy mają uzasadnioną potrzebę dostępu do wszystkich informacji niejawnych przetwarzanych w systemie teleinformatycznym; 3) wielopoziomowym w którym spełnione są łącznie następujące warunki: a) nie wszyscy użytkownicy posiadają uprawnienie do dostępu do informacji niejawnych o najwyższej klauzuli tajności, jakie mogą być przetwarzane w tym systemie teleinformatycznym, 3
5 b) nie wszyscy użytkownicy mają uzasadnioną potrzebę dostępu do wszystkich informacji niejawnych przetwarzanych w systemie teleinformatycznym. 4. Jednostka organizująca system teleinformatyczny przeznaczony do przetwarzania informacji niejawnych międzynarodowych uwzględnia przy jego organizowaniu wymagania bezpieczeństwa teleinformatycznego wynikające z umów międzynarodowych. Rozdział 2 Podstawowe wymagania bezpieczeństwa teleinformatycznego Bezpieczeństwo informacji niejawnych przetwarzanych w systemie teleinformatycznym zapewnia się przez wdrożenie spójnego zbioru zabezpieczeń w celu zapewnienia poufności, integralności i dostępności tych informacji. 2. Cel, o którym mowa w ust. 1, osiąga się przez: 1) objęcie systemu teleinformatycznego procesem zarządzania ryzykiem dla bezpieczeństwa informacji niejawnych przetwarzanych w systemie teleinformatycznym, zwanego dalej zarządzaniem ryzykiem w systemie teleinformatycznym ; 2) ograniczenie zaufania, polegające na traktowaniu innych systemów teleinformatycznych jako potencjalnych źródeł zagrożeń oraz wdrożeniu w systemie teleinformatycznym zabezpieczeń kontrolujących wymianę informacji z tymi systemami teleinformatycznymi; 3) wprowadzenie wielopoziomowej ochrony systemu teleinformatycznego, polegającej na stosowaniu zabezpieczeń na możliwie wielu różnych poziomach organizacji ochrony systemu teleinformatycznego, w celu ograniczenia występowania przypadków, w których przełamanie pojedynczego zabezpieczenia skutkuje naruszeniem celu, o którym mowa w ust. 1; 4) wykonywanie okresowych testów bezpieczeństwa; 4
6 5) ograniczanie uprawnień, polegające na nadawaniu użytkownikom systemu teleinformatycznego wyłącznie uprawnień niezbędnych do wykonywania pracy; 6) minimalizację funkcjonalności, polegającą na instalowaniu, uaktywnianiu i wykorzystywaniu w systemie teleinformatycznym wyłącznie funkcji, protokołów komunikacyjnych i usług niezbędnych do prawidłowej realizacji zadań, do których system teleinformatyczny został przeznaczony. 6. W celu zapewnienia ochrony przed nieuprawnionym dostępem do systemu teleinformatycznego: 1) ustala się warunki i sposób przydzielania użytkownikom uprawnień do pracy w systemie teleinformatycznym; 2) chroni się informacje i materiały umożliwiające dostęp do systemu teleinformatycznego; 3) chroni się elementy systemu teleinformatycznego istotne dla jego bezpieczeństwa oraz wdraża się je w sposób zapewniający możliwość wykrycia wprowadzenia nieuprawnionych zmian lub prób ich wprowadzenia. 7. Przed dopuszczeniem osób do pracy w systemie teleinformatycznym kierownik jednostki organizacyjnej zapewnia ich przeszkolenie z zakresu bezpieczeństwa teleinformatycznego oraz zapoznanie z procedurami bezpiecznej eksploatacji w zakresie, jaki ich dotyczy W celu niedopuszczenia do utraty poufności informacji niejawnych na skutek wykorzystania elektromagnetycznej emisji ujawniającej, która pochodzi z elementów systemu, w systemie teleinformatycznym przetwarzającym informacje niejawne o klauzuli poufne lub wyższej stosuje się środki ochrony elektromagnetycznej dobierane na podstawie wyników szacowania ryzyka dla bezpieczeństwa informacji niejawnych, z uwzględnieniem zaleceń. 5
7 2. W celu niedopuszczenia do utraty dostępności informacji niejawnych przetwarzanych w urządzeniach teleinformatycznych na skutek zakłócania ich pracy za pomocą emisji lub impulsów elektromagnetycznych o dużej mocy stosuje się środki ochrony elektromagnetycznej dobierane na podstawie wyników szacowania ryzyka dla bezpieczeństwa informacji niejawnych W celu zapewnienia dostępności zasobów w systemie teleinformatycznym ustala się: 1) zasady tworzenia i przechowywania kopii zapasowych; 2) procedury postępowania w sytuacjach kryzysowych, w tym w przypadkach awarii elementów systemu teleinformatycznego; 3) procedury monitorowania stanu technicznego systemu teleinformatycznego. 2. W zależności od potrzeb oraz wyników szacowania ryzyka dla bezpieczeństwa informacji niejawnych, w celu zapewnienia dostępności zasobów systemu teleinformatycznego stosuje się w szczególności alternatywne łącza telekomunikacyjne, alternatywne urządzenia lub zasilanie awaryjne W zależności od potrzeb oraz wyników szacowania ryzyka dla bezpieczeństwa informacji niejawnych, transmisję danych pomiędzy elementami systemu teleinformatycznego chroni się przed wykryciem, przechwyceniem lub zakłócaniem. 2. Poufność informacji niejawnych przekazywanych w formie transmisji poza strefami ochronnymi zapewnia się przez stosowanie urządzeń lub narzędzi kryptograficznych, certyfikowanych zgodnie z art. 50 ust. 2 ustawy lub dopuszczonych w trybie art. 50 ust. 7 ustawy, odpowiednich do klauzuli tajności przekazywanych informacji. 3. W szczególnie uzasadnionych przypadkach, biorąc pod uwagę wyniki szacowania ryzyka dla bezpieczeństwa informacji niejawnych, środki ochrony kryptograficznej, o których mowa w ust. 2, mogą zostać uzupełnione lub zastąpione zabezpieczeniami innymi niż kryptograficzne. 6
8 11. W zakresie niezbędnym do zapewnienia przeglądu, analizy oraz dostarczania dowodów działań naruszających bezpieczeństwo informacji niejawnych, dla systemu teleinformatycznego przetwarzającego informacje niejawne tworzy się i przechowuje rejestry zdarzeń oraz zapewnia się ich poufność, integralność i dostępność. 12. System teleinformatyczny wyposaża się w mechanizmy lub procedury zapobiegające incydentom bezpieczeństwa teleinformatycznego, w tym zabezpieczające przed działaniem oprogramowania złośliwego, a także umożliwiające jak najszybsze wykrywanie incydentów bezpieczeństwa teleinformatycznego oraz zapewniające niezwłoczne informowanie odpowiednich osób o wykrytym incydencie. 13. Administrator systemu teleinformatycznego bierze udział w tworzeniu dokumentacji bezpieczeństwa systemu teleinformatycznego oraz w procesie zarządzania ryzykiem w systemie teleinformatycznym: 1) realizując szkolenia użytkowników systemu teleinformatycznego; 2) utrzymując zgodność systemu teleinformatycznego z jego dokumentacją bezpieczeństwa; 3) wdrażając zabezpieczenia w systemie teleinformatycznym. 14. Inspektor bezpieczeństwa teleinformatycznego bierze udział w procesie zarządzania ryzykiem w systemie teleinformatycznym, weryfikując: 1) poprawność realizacji zadań przez administratora, w tym właściwe zarządzanie konfiguracją oraz uprawnieniami przydzielanymi użytkownikom; 2) znajomość i przestrzeganie przez użytkowników zasad ochrony informacji niejawnych oraz procedur bezpiecznej eksploatacji w systemie teleinformatycznym, w tym w zakresie wykorzystywania urządzeń i narzędzi służących do ochrony informacji niejawnych; 3) stan zabezpieczeń systemu teleinformatycznego, w tym analizując rejestry zdarzeń systemu teleinformatycznego. 7
9 W przypadku organizacji połączenia międzysystemowego uwzględnia się wymaganie ograniczonego zaufania, o którym mowa w 5 ust. 2 pkt Organizując połączenie międzysystemowe wdraża się zabezpieczenia uniemożliwiające przekazywanie niepożądanych informacji pomiędzy łączonymi systemami teleinformatycznymi, w szczególności uniemożliwiające przekazywanie informacji o wyższej klauzuli tajności do systemu teleinformatycznego przetwarzającego informacje o klauzuli niższej. 16. Urządzenie, narzędzie lub środek przeznaczony do ochrony informacji niejawnych, dla którego został wydany przez Agencję Bezpieczeństwa Wewnętrznego, zwaną dalej ABW, lub Służbę Kontrwywiadu Wojskowego, zwaną dalej SKW, certyfikat, o którym mowa w art. 50 ust. 4 ustawy, podlega ochronie do momentu jego zniszczenia lub wycofania, zgodnie z zaleceniami ABW lub SKW Informatyczne nośniki danych przeznaczone do przetwarzania informacji niejawnych obejmuje się ochroną od momentu oznaczenia nośnika klauzulą tajności aż do trwałego usunięcia danych na nim zapisanych oraz zniesienia klauzuli tajności albo do momentu jego zniszczenia. 2. Informacje niejawne przekazywane poza strefę ochronną na informatycznych nośnikach danych chroni się: 1) z wykorzystaniem urządzeń lub narzędzi kryptograficznych, certyfikowanych zgodnie z art. 50 ust. 2 ustawy lub dopuszczonych w trybie art. 50 ust. 7 ustawy, odpowiednich do klauzuli tajności przekazywanych informacji, lub 2) przez spełnienie wymagań, o których mowa w przepisach w sprawie trybu i sposobu przyjmowania, przewożenia, wydawania i ochrony materiałów, w celu ich zabezpieczenia przed nieuprawnionym ujawnieniem, utratą, uszkodzeniem lub zniszczeniem. 3. Sposób i metody trwałego usuwania danych oraz niszczenia informatycznych nośników danych określa się z uwzględnieniem zaleceń. 8
10 4. Klauzula tajności informatycznych nośników danych umożliwiających wielokrotny zapis, na których zapisano informacje niejawne oznaczone klauzulą tajne lub ściśle tajne, nie podlega zniesieniu lub obniżeniu Bezpieczeństwo informacji niejawnych przetwarzanych w systemie teleinformatycznym uwzględnia się w całym cyklu funkcjonowania systemu teleinformatycznego, składającym się z etapów: 1) planowania; 2) projektowania; 3) wdrażania; 4) eksploatacji; 5) wycofywania. 2. Na etapie planowania ustala się potrzeby w zakresie przetwarzania informacji niejawnych w systemie teleinformatycznym, w szczególności określa się: 1) przeznaczenie systemu teleinformatycznego; 2) maksymalną klauzulę tajności informacji niejawnych, które będą przetwarzane w systemie teleinformatycznym; 3) tryb bezpieczeństwa pracy systemu teleinformatycznego; 4) szacunkową liczbę użytkowników; 5) planowaną lokalizację. 3. Na etapie projektowania: 1) przeprowadza się wstępne szacowanie ryzyka dla bezpieczeństwa informacji niejawnych w celu określenia wymagań dla zabezpieczeń; 2) dokonuje się wyboru zabezpieczeń dla systemu teleinformatycznego w oparciu o wyniki wstępnego szacowania ryzyka dla bezpieczeństwa informacji niejawnych; 3) uzgadnia się z podmiotem akredytującym plan akredytacji obejmujący zakres i harmonogram przedsięwzięć wymaganych do uzyskania akredytacji bezpieczeństwa teleinformatycznego; 9
11 4) uzgadnia się z podmiotem zaopatrującym w klucze kryptograficzne rodzaj oraz ilość niezbędnych urządzeń lub narzędzi kryptograficznych, a także sposób ich wykorzystania; 5) opracowuje się dokument szczególnych wymagań bezpieczeństwa. 4. Na etapie wdrażania: 1) pozyskuje i wdraża się urządzenia lub narzędzia realizujące zabezpieczenia w systemie teleinformatycznym; 2) przeprowadza się testy bezpieczeństwa systemu teleinformatycznego; 3) przeprowadza się szacowanie ryzyka dla bezpieczeństwa informacji niejawnych z uwzględnieniem wprowadzonych zabezpieczeń; 4) opracowuje się dokument procedur bezpiecznej eksploatacji oraz uzupełnia dokument szczególnych wymagań bezpieczeństwa; 5) system teleinformatyczny poddaje się akredytacji bezpieczeństwa teleinformatycznego. 5. Na etapie eksploatacji: 1) utrzymuje się zgodność systemu teleinformatycznego z jego dokumentacją bezpieczeństwa; 2) zapewnia się ciągłość procesu zarządzania ryzykiem w systemie teleinformatycznym; 3) okresowo przeprowadza się testy bezpieczeństwa w celu weryfikacji poprawności działania poszczególnych zabezpieczeń oraz usuwa stwierdzone nieprawidłowości; 4) w zależności od potrzeb wprowadza się zmiany do systemu teleinformatycznego oraz, jeżeli jest to właściwe, wykonuje testy bezpieczeństwa, a także uaktualnia dokumentację bezpieczeństwa systemu teleinformatycznego, przy czym modyfikacje mogące mieć wpływ na bezpieczeństwo systemu teleinformatycznego wymagają zgody podmiotu, który udzielił akredytacji bezpieczeństwa teleinformatycznego, zaś w przypadku systemów teleinformatycznych, o których mowa w art. 48 ust. 9 i 10 ustawy przekazania, odpowiednio do ABW albo SKW, w terminie 30 dni od wprowadzenia wyżej wymienionych modyfikacji, uaktualnionej dokumentacji 10
12 bezpieczeństwa systemu teleinformatycznego, w szczególności w formie aneksów. 6. Na etapie wycofywania: 1) zaprzestaje się eksploatacji systemu teleinformatycznego; 2) powiadamia się pisemnie ABW albo SKW o wycofaniu systemu z eksploatacji; 3) zwraca się do ABW albo SKW świadectwo akredytacji bezpieczeństwa systemu teleinformatycznego, jeżeli system teleinformatyczny przeznaczony był do przetwarzania informacji niejawnych o klauzuli poufne lub wyższej; 4) usuwa się informacje niejawne z systemu teleinformatycznego, w szczególności przez przeniesienie ich do innego systemu teleinformatycznego, zarchiwizowanie lub zniszczenie informatycznych nośników danych. Rozdział 3 Zarządzanie ryzykiem w systemie teleinformatycznym Proces zarządzania ryzykiem w systemie teleinformatycznym prowadzi się w celu zapewnienia i utrzymania na poziomie akceptowanym przez kierownika danej jednostki organizacyjnej bezpieczeństwa informacji niejawnych przetwarzanych w tym systemie. 2. Zarządzanie ryzykiem w systemie teleinformatycznym prowadzi się, realizując procesy: 1) szacowania ryzyka dla bezpieczeństwa informacji niejawnych; 2) postępowania z ryzykiem; 3) akceptacji ryzyka; 4) przeglądu, monitorowania i informowania o ryzyku. 3. Przed przeprowadzeniem procesu szacowania ryzyka: 1) ustala się granice i zakres analizy ryzyka; 11
13 2) ustanawia się strukturę organizacyjną odpowiedzialną za zarządzanie ryzykiem w systemie teleinformatycznym; 3) dokonuje się wyboru metody analizy ryzyka. 4. Kierownik jednostki organizującej system teleinformatyczny odpowiada za zapewnienie ciągłości procesu zarządzania ryzykiem w systemie teleinformatycznym. 5. W sytuacji, gdy system teleinformatyczny jest użytkowany przez kilka niezależnych jednostek organizacyjnych, każdy kierownik jednostki organizacyjnej użytkującej system teleinformatyczny współdziała z osobą, o której mowa w ust. 4, w celu zapewnienia ciągłości procesu zarządzania ryzykiem w systemie teleinformatycznym Szacowanie ryzyka dla bezpieczeństwa informacji niejawnych obejmuje: 1) analizę ryzyka, na którą składają się: a) identyfikacja ryzyka, b) określenie wielkości ryzyk; 2) ocenę ryzyka. 2. W ramach identyfikacji ryzyka określa się: 1) zasoby systemu teleinformatycznego; 2) zagrożenia; 3) podatności; 4) zabezpieczenia; 5) skutki wystąpienia incydentu bezpieczeństwa teleinformatycznego. 3. W procesie określania wielkości ryzyk wyznacza się poziomy zidentyfikowanych ryzyk. 4. W procesie oceny ryzyka porównuje się wyznaczone poziomy ryzyk z tymi, które można zaakceptować. Na podstawie oceny podejmuje się decyzję co do dalszego postępowania z ryzykami. 5. Wstępne szacowanie ryzyka dla bezpieczeństwa informacji niejawnych przeprowadza się przed podjęciem decyzji o wprowadzeniu niezbędnych zabezpieczeń w systemie teleinformatycznym. 6. Wyniki wstępnego szacowania ryzyka, o którym mowa w ust. 5: 12
14 1) przedstawia się w dokumentacji bezpieczeństwa systemu teleinformatycznego; 2) wykorzystuje się w procesie projektowania zabezpieczeń dla danego systemu teleinformatycznego przeciwdziałających zidentyfikowanym zagrożeniom; 3) zachowuje się na potrzeby przyszłych uaktualnień. 7. Szacowanie ryzyka dla bezpieczeństwa informacji niejawnych przeprowadza się ponownie: 1) w przypadku wprowadzania w systemie teleinformatycznym zmian, które mogą mieć wpływ na bezpieczeństwo przetwarzanych w nim informacji; 2) po wykryciu nowych zagrożeń lub zidentyfikowaniu nowych podatności, które nie były rozpatrywane podczas wcześniejszego szacowania ryzyka dla bezpieczeństwa informacji niejawnych; 3) w przypadku zaistnienia istotnego incydentu bezpieczeństwa teleinformatycznego; 4) jeżeli zmianie lub rozszerzeniu uległo przeznaczenie, zadania lub funkcjonalność systemu teleinformatycznego; 5) okresowo, w ramach procesu zarządzania ryzykiem w systemie teleinformatycznym. 8. Częstotliwość okresowego przeprowadzania szacowania ryzyka, o którym mowa w ust. 7 pkt 5, określa się w dokumentacji bezpieczeństwa systemu teleinformatycznego W ramach postępowania z ryzykiem możliwe jest: 1) obniżanie ryzyka przez wdrażanie zabezpieczeń; 2) pozostawienie ryzyka na poziomie określonym w procesie szacowania ryzyka i zaniechanie dalszych działań; 3) unikanie ryzyka przez niepodejmowanie działań będących źródłem ryzyka; 13
15 4) przeniesienie ryzyka na inny podmiot w zakresie odpowiedzialności za zarządzanie ryzykiem bez możliwości przeniesienia odpowiedzialności za skutki wynikające z naruszenia poufności, integralności lub dostępności informacji niejawnych przetwarzanych w systemie teleinformatycznym. 2. Doboru zabezpieczeń, o których mowa w ust. 1 pkt 1, dokonuje się z uwzględnieniem zaleceń. 3. Dla ryzyk, które nie mogą być zaakceptowane ze względu na ich zbyt wysoki poziom, proces postępowania z ryzykiem przeprowadza się ponownie, analizując inne warianty. 4. Ryzyka pozostające po procesie postępowania z ryzykiem (ryzyka szczątkowe) podlegają procesowi akceptacji ryzyka. 22. Kierownik jednostki organizacyjnej w procesie akceptacji ryzyka dokonuje formalnego zaakceptowania ryzyka szczątkowego wraz z jego ewentualnymi konsekwencjami. przez: 23. Proces przeglądu, monitorowania i informowania o ryzyku przeprowadza się 1) regularny przegląd i udoskonalanie procesu zarządzania ryzykiem w systemie teleinformatycznym w celu zapewnienia jego prawidłowości i skuteczności stosownie do zmieniających się okoliczności; 2) monitorowanie czynników ryzyka w celu wykrycia zmian we wczesnym ich stadium i możliwie szybkim na nie reagowaniu; 3) niezwłoczne przekazywanie informacji o pojawiających się ryzykach osobom odpowiedzialnym za zarządzanie ryzykiem. 24. W procesie zarządzania ryzykiem w systemie teleinformatycznym uwzględnia się zalecenia. 14
16 Rozdział 4 Dokumentacja bezpieczeństwa teleinformatycznego Dokument szczególnych wymagań bezpieczeństwa systemu teleinformatycznego: 1) opracowuje się na etapie projektowania systemu teleinformatycznego, po przeprowadzeniu wstępnego szacowania ryzyka dla bezpieczeństwa informacji niejawnych, które mają być przetwarzane w systemie teleinformatycznym, w sposób uwzględniający specyfikę budowy, charakterystykę systemu teleinformatycznego, a także warunki charakterystyczne dla jednostki organizacyjnej; 2) bieżąco uzupełnia się na etapie wdrażania systemu teleinformatycznego, po przeprowadzeniu szacowania ryzyka dla bezpieczeństwa informacji niejawnych z uwzględnieniem wprowadzonych zabezpieczeń; 3) uaktualnia się na etapie eksploatacji systemu teleinformatycznego, przed dokonaniem zmian w systemie teleinformatycznym. dane: 2. Dokument szczególnych wymagań bezpieczeństwa zawiera następujące 1) rodzaje oraz klauzule tajności informacji niejawnych, które będą przetwarzane w systemie teleinformatycznym; 2) grupy użytkowników systemu teleinformatycznego wyodrębnione ze względu na posiadane uprawnienia do pracy w systemie teleinformatycznym; 3) tryb bezpieczeństwa pracy systemu teleinformatycznego; 4) przeznaczenie i funkcjonalność systemu teleinformatycznego; 5) wymagania eksploatacyjne dla wymiany informacji i połączeń z innymi systemami teleinformatycznymi; 6) lokalizację systemu teleinformatycznego. 3. W dokumencie szczególnych wymagań bezpieczeństwa zawiera się ponadto informacje o: 15
17 1) metodyce użytej w procesie szacowania ryzyka dla bezpieczeństwa informacji niejawnych oraz raport z tego procesu; 2) zastosowanych zabezpieczeniach; 3) ryzykach szczątkowych oraz deklaracji ich akceptacji; 4) poświadczeniach bezpieczeństwa lub innych formalnych uprawnieniach do dostępu do informacji niejawnych, posiadanych przez użytkowników systemu teleinformatycznego; 5) bezpieczeństwie fizycznym, w tym granicach i lokalizacji stref ochronnych oraz środkach ich ochrony; 6) ochronie elektromagnetycznej; 7) stosowanych urządzeniach lub narzędziach kryptograficznych; 8) ciągłości działania, w tym tworzeniu kopii zapasowych, odzyskiwaniu systemu oraz, jeżeli to właściwe, zapewnieniu alternatywnych łączy telekomunikacyjnych lub urządzeń, a także zasilaniu awaryjnym; 9) ustawieniach konfiguracyjnych systemu teleinformatycznego; 10) utrzymaniu systemu, w tym dokonywaniu przeglądów diagnostycznych i napraw; 11) zapobieganiu incydentom bezpieczeństwa teleinformatycznego, w tym ochronie przed oprogramowaniem złośliwym; 12) zasadach wprowadzania poprawek lub uaktualnień oprogramowania; 13) ochronie nośników, w tym ich oznaczaniu, dostępie, transporcie, obniżaniu ich klauzul tajności i niszczeniu; 14) identyfikacji i uwierzytelnieniu użytkowników i urządzeń; 15) kontroli dostępu; 16) audycie wewnętrznym; 17) zarządzaniu ryzykiem w systemie teleinformatycznym; 18) zmianach w systemie teleinformatycznym, w tym dotyczących aktualizacji dokumentacji bezpieczeństwa systemu teleinformatycznego oraz warunkach ponownej akredytacji systemu teleinformatycznego i wycofania z eksploatacji. 16
18 Dokument procedur bezpiecznej eksploatacji: 1) opracowuje się na etapie wdrażania systemu teleinformatycznego, po przeprowadzeniu szacowania ryzyka dla bezpieczeństwa informacji niejawnych z uwzględnieniem wprowadzonych zabezpieczeń; 2) uaktualnia się na etapie eksploatacji systemu teleinformatycznego, przed dokonaniem zmian w systemie teleinformatycznym. 2. W dokumencie procedur bezpiecznej eksploatacji określa się szczegółowy wykaz procedur bezpieczeństwa wraz z dokładnym opisem sposobu ich wykonania, realizowanych przez osoby odpowiedzialne za bezpieczeństwo teleinformatyczne oraz osoby uprawnione do pracy w systemie teleinformatycznym, obejmujący: 1) administrowanie systemem teleinformatycznym oraz zastosowanymi środkami zabezpieczającymi; 2) bezpieczeństwo urządzeń; 3) bezpieczeństwo oprogramowania; 4) zarządzanie konfiguracją sprzętowo-programową, w tym zasady serwisowania lub modernizacji oraz wycofywania z użycia elementów systemu teleinformatycznego; 5) plany awaryjne; 6) monitorowanie i audyt systemu teleinformatycznego; 7) zarządzanie nośnikami; 8) zarządzanie materiałami kryptograficznymi; 9) stosowanie ochrony elektromagnetycznej; 10) reagowanie na incydenty bezpieczeństwa teleinformatycznego; 11) szkolenia użytkowników systemu teleinformatycznego dotyczące zasad korzystania z systemu teleinformatycznego; 12) wprowadzanie danych do systemu i ich wyprowadzanie z systemu. 27. W przypadku systemu teleinformatycznego funkcjonującego w więcej niż jednej jednostce organizacyjnej, po uzgodnieniu z jednostką organizującą system, dokumentacja bezpieczeństwa systemu teleinformatycznego może być uzupełniona o aneksy 17
19 zawierające dane dotyczące konkretnych lokalizacji, sporządzane przez kierowników jednostek organizacyjnych, w których znajdują się elementy systemu teleinformatycznego. Rozdział 5 Przepis końcowy 28. Rozporządzenie wchodzi w życie po upływie 14 dni od dnia ogłoszenia. 1) PREZES RADY MINISTRÓW Donald Tusk 1) Niniejsze rozporządzenie było poprzedzone rozporządzeniem Prezesa Rady Ministrów z dnia 25 sierpnia 2005 r. w sprawie podstawowych wymagań bezpieczeństwa teleinformatycznego (Dz. U. Nr 171, poz. 1433), które traci moc z dniem wejścia w życie niniejszego rozporządzenia na podstawie art. 189 ust. 1 ustawy z dnia 5 sierpnia 2010 r. o ochronie informacji niejawnych (Dz. U. Nr 182, poz. 1228). Sprawdzono pod względem prawnym i redakcyjnym: Prezes Rządowego Centrum Legislacji Maciej Berek Dyrektor Departamentu Rady Ministrów Hanka Babińska 07/31rch 18
20 UZASADNIENIE Rozporządzenie Prezesa Rady Ministrów w sprawie podstawowych wymagań bezpieczeństwa teleinformatycznego stanowi wykonanie upoważnienia ustawowego wynikającego z art. 49 ust. 9 ustawy z dnia 5 sierpnia 2010 r. o ochronie informacji niejawnych (Dz. U. Nr 182, poz. 1228), zwanej dalej ustawą. Problematyka stanowiąca materię normatywną projektu jest aktualnie uregulowana w rozporządzeniu Prezesa Rady Ministrów z dnia 25 sierpnia 2005 r. w sprawie podstawowych wymagań bezpieczeństwa teleinformatycznego (Dz. U. Nr 171, poz. 1433). Proponowane rozporządzenie ma na celu określenie, ujednolicenie oraz doprecyzowanie podstawowych wymagań bezpieczeństwa dla systemów teleinformatycznych służących do przetwarzania informacji niejawnych, przez co ułatwi oraz usprawni organizację systemu teleinformatycznego i tworzenie dokumentacji bezpieczeństwa teleinformatycznego, zgodnie z nowymi przepisami ustawowymi. Obejmuje ono również unormowanie stosowania spójnego zbioru zabezpieczeń w celu zapewnienia ochrony informacji niejawnych przetwarzanych w systemach teleinformatycznych przed utratą poufności, integralności i dostępności, mogących zaistnieć w wyniku przypadku lub celowych działań. W przedmiotowym projekcie rozporządzenia uszczegółowiono podstawowe wymagania bezpieczeństwa teleinformatycznego oraz treść przepisów dotyczących dokumentacji bezpieczeństwa teleinformatycznego. Określając wymagania bezpieczeństwa uwzględniono regulacje zawarte w dokumentach normatywnych Unii Europejskiej (UE) i Organizacji Traktatu Północnoatlantyckiego (NATO) (Security within The North Atlantic Treaty Organisation C-M(2002)49, Decyzja Rady Unii Europejskiej z dnia 19 marca 2001 r. w sprawie przyjęcia przepisów Rady dotyczących bezpieczeństwa) oraz wytyczne amerykańskiego National Institute of Standards and Technology (NIST) odnoszące się do bezpieczeństwa systemów teleinformatycznych (w szczególności dokument Special Publication wykorzystany jako pomocniczy wzorzec sprawdzonych rozwiązań dotyczących regulowanej rozporządzeniem materii). Szczególny nacisk położono na fakt, iż bezpieczeństwo informacji niejawnych przetwarzanych w systemie teleinformatycznym musi być uwzględnione w całym cyklu życia systemu teleinformatycznego, który to cykl szczegółowo unormowano w 18. Istotnym novum tego projektu rozporządzenia jest rozdział 3, zawierający przepisy dotyczące zarządzania ryzykiem w systemie teleinformatycznym, określające jego
ROZPORZĄDZENIE PREZESA RADY MINISTRÓW. z dnia 20 lipca 2011 r. w sprawie podstawowych wymagań bezpieczeństwa teleinformatycznego
Dziennik Ustaw Nr 159 9338 Poz. 948 948 ROZPORZĄDZENIE PREZESA RADY MINISTRÓW z dnia 20 lipca 2011 r. w sprawie podstawowych wymagań bezpieczeństwa teleinformatycznego Na podstawie art. 49 ust. 9 ustawy
ROZPORZĄDZENIE PREZESA RADY MINISTRÓW z dnia 20 lipca 2011 r. w sprawie podstawowych wymagań bezpieczeństwa teleinformatycznego
Dz.U. 2011.159.948 ROZPORZĄDZENIE PREZESA RADY MINISTRÓW z dnia 20 lipca 2011 r. w sprawie podstawowych wymagań bezpieczeństwa teleinformatycznego Na podstawie art. 49 ust. 9 ustawy z dnia 5 sierpnia 2010
PROCEDURY BEZPIECZNEJ EKSPLOATACJI NAZWA SYSTEMU WERSJA.(NUMER WERSJI DOKUMENTU, NP. 1.0)
pełna nazwa jednostki organizacyjnej ZATWIERDZAM... PROCEDURY BEZPIECZNEJ EKSPLOATACJI DLA SYSTEMU TELEINFORMATYCZNEGO NAZWA SYSTEMU WERSJA.(NUMER WERSJI DOKUMENTU, NP. 1.0) Pełnomocnik Ochrony Kierownik
ROZPORZĄDZENIE PREZESA RADY MINISTRÓW. z dnia.
ROZPORZĄDZENIE PREZESA RADY MINISTRÓW 10.05.2011 z dnia. w sprawie podstawowych wymagań bezpieczeństwa teleinformatycznego Na podstawie art. 49 ust. 9 ustawy z dnia 5 sierpnia 2010 r. o ochronie informacji
Na czym polega planowanie ochrony informacji niejawnych w jednostce organizacyjnej?
dr Agata Lasota - Jądrzak ekspert ds. bezpieczeństwa informacji ZPP Wielkopolska Na czym polega planowanie ochrony informacji niejawnych w jednostce organizacyjnej? Planowanie ochrony informacji niejawnych
Dz.U Nr 18 poz. 162 ROZPORZĄDZENIE PREZESA RADY MINISTRÓW
Kancelaria Sejmu s. 1/5 Dz.U. 1999 Nr 18 poz. 162 ROZPORZĄDZENIE PREZESA RADY MINISTRÓW z dnia 25 lutego 1999 r. w sprawie podstawowych wymagań bezpieczeństwa systemów i sieci teleinformatycznych. Na podstawie
Spis treści. Analiza Ryzyka 2.0 ARIN Instrukcja Użytkowania
Listopad 2017 Spis treści 1. Wprowadzenie... 3 2. Podstawy prawne... 4 3. Zasada działania programu... 6 4. Zgodność z analizą zagrożeo... 7 5. Opis programu... 8 5.1. Menu Górne... 9 5.2. Status... 10
Warszawa, dnia 9 lutego 2012 r. Poz. 8
Departament Ochrony Informacji Niejawnych Warszawa, dnia 9 lutego 2012 r. Poz. 8 DECYZJA Nr 7/MON MINISTRA OBRONY NARODOWEJ z dnia 20 stycznia 2012 r. w sprawie organizacji ochrony systemów teleinformatycznych
Spis treści. Analiza Ryzyka Instrukcja Użytkowania
Maj 2013 Spis treści 1. Wprowadzenie... 3 2. Podstawy prawne... 4 3. Zasada działania programu... 6 4. Zgodność z analizą zagrożeń... 7 5. Opis programu... 8 5.1. Menu Górne... 9 5.2. Status... 10 5.3.
Doświadczenia w wdrażaniu systemu zarządzania bezpieczeństwem informacji zgodnego z normą ISO 27001
Doświadczenia w wdrażaniu systemu zarządzania bezpieczeństwem informacji zgodnego z normą ISO 27001 na przykładzie Urzędu Miejskiego w Bielsku-Białej Gliwice, dn. 13.03.2014r. System Zarządzania Bezpieczeństwem
CO ZROBIĆ ŻEBY RODO NIE BYŁO KOLEJNYM KOSZMAREM DYREKTORA SZKOŁY? mgr inż. Wojciech Hoszek
CO ZROBIĆ ŻEBY NIE BYŁO KOLEJNYM KOSZMAREM DYREKTORA SZKOŁY? mgr inż. Wojciech Hoszek ŹRÓDŁA PRAWA REGULUJĄCEGO ZASADY PRZETWARZANIA DANYCH OSOBOWYCH ŹRÓDŁA PRAWA REGULUJĄCEGO ZASADY PRZETWARZANIA DANYCH
Zarządzanie bezpieczeństwem informacji przegląd aktualnych standardów i metodyk
Zarządzanie bezpieczeństwem informacji przegląd aktualnych standardów i metodyk dr T Bartosz Kalinowski 17 19 września 2008, Wisła IV Sympozjum Klubu Paragraf 34 1 Informacja a system zarządzania Informacja
Autor: Artur Lewandowski. Promotor: dr inż. Krzysztof Różanowski
Autor: Artur Lewandowski Promotor: dr inż. Krzysztof Różanowski Przegląd oraz porównanie standardów bezpieczeństwa ISO 27001, COSO, COBIT, ITIL, ISO 20000 Przegląd normy ISO 27001 szczegółowy opis wraz
ROZPORZĄDZENIE MINISTRA SPRAW WEWNĘTRZNYCH I ADMINISTRACJI 1) z dnia 29 kwietnia 2004 r.
Dz.U.2004.100.1024 ROZPORZĄDZENIE MINISTRA SPRAW WEWNĘTRZNYCH I ADMINISTRACJI 1) z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych,
ROZPORZĄDZENIE RADY MINISTRÓW. z dnia 2012 r.
Projekt z 8.03.2012 r. ROZPORZĄDZENIE RADY MINISTRÓW z dnia 2012 r. w sprawie nadania uprawnień organów podatkowych Na podstawie art. 13a ustawy z dnia 29 sierpnia 1997 r. Ordynacja podatkowa (Dz. U. z
SI. 3. Przesyłanie, w tym udostępnianie, faktur w formie elektronicznej podlega akceptacji ich odbiorcy.
ROZPORZĄDZENIE MINISTRA FINANSÓW 1 * z dnia 2012 r. w sprawie przesyłania faktur w formie elektronicznej, zasad ich przechowywania oraz trybu udostępniania organowi podatkowemu lub organowi kontroli skarbowej
ROZPORZĄDZENIE MINISTRA SPRAW WEWNĘTRZNYCH I ADMINISTRACJI (1) z dnia 29 kwietnia 2004 r.
Strona 1 z 5 LexPolonica nr 44431. ROZPORZĄDZENIE MINISTRA SPRAW WEWNĘTRZNYCH I ADMINISTRACJI (1) z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych
ROZPORZĄDZENIE MINISTRA SPRAW WEWNĘTRZNYCH I ADMINISTRACJI 1) z dnia... r.
projekt ROZPORZĄDZENIE MINISTRA SPRAW WEWNĘTRZNYCH I ADMINISTRACJI 1) z dnia... r. w sprawie szczegółowych warunków organizacyjnych i technicznych dla systemu teleinformatycznego służącego identyfikacji
R O Z P O R ZĄDZENIE P R E Z E S A R A D Y M I N I S T R Ó W. z dnia
P-120-50-13 R O Z P O R ZĄDZENIE P R E Z E S A R A D Y M I N I S T R Ó W z dnia zmieniające rozporządzenie w sprawie stanowisk służbowych w Centralnym Biurze Antykorupcyjnym oraz wymagań w zakresie wykształcenia
Audyt procesu zarządzania bezpieczeństwem informacji. Prowadzący: Anna Słowińska audytor wewnętrzny
Audyt procesu zarządzania bezpieczeństwem informacji Prowadzący: Anna Słowińska audytor wewnętrzny Audyt wewnętrzny Definicja audytu wewnętrznego o o Art. 272.1. Audyt wewnętrzny jest działalnością niezależną
Polityka bezpieczeństwa przeznaczona dla administratora danych, który nie powołał administratora bezpieczeństwa informacji
Polityka bezpieczeństwa przeznaczona dla administratora danych, który nie powołał administratora bezpieczeństwa informacji POLITYKA BEZPIECZEŃSTWA. 1 1. PODSTAWA PRAWNA Niniejsza Polityka bezpieczeństwa
R O Z P O R Z Ą D Z E N I E RADY MINISTRÓW z dnia 3 lutego 2012 r.
RM 110-8-12 R O Z P O R Z Ą D Z E N I E RADY MINISTRÓW z dnia 3 lutego 2012 r. zmieniające rozporządzenie w sprawie rejestru prowadzonego przez Główną Komisję Orzekającą w Sprawach o Naruszenie Dyscypliny
Znaczenie norm ISO w znowelizowanej ustawie o ochronie danych osobowych (RODO)
Znaczenie norm ISO w znowelizowanej ustawie o ochronie danych osobowych (RODO) Normy ISO 31000, ISO 27001, ISO 27018 i inne Waldemar Gełzakowski Copyright 2016 BSI. All rights reserved. Tak było Na dokumentację,
Bezpieczeństwo aplikacji i urządzeń mobilnych w kontekście wymagań normy ISO/IEC 27001 oraz BS 25999 doświadczenia audytora
Bezpieczeństwo aplikacji i urządzeń mobilnych w kontekście wymagań normy ISO/IEC 27001 oraz BS 25999 doświadczenia audytora Krzysztof Wertejuk audytor wiodący ISOQAR CEE Sp. z o.o. Dlaczego rozwiązania
SZCZEGÓŁOWY HARMONOGRAM KURSU DZIEŃ I WPROWADZENIE DO OCHRONY DANYCH OSOBOWYCH
SZCZEGÓŁOWY HARMONOGRAM KURSU DZIEŃ I WPROWADZENIE DO OCHRONY DANYCH OSOBOWYCH REJESTRACJA UCZESTNIKÓW 09.00 09.05 Zapytamy o Państwa oczekiwania wobec szkolenia oraz o zagadnienia, na Wyjaśnieniu których
ZAŁĄCZNIK NR 2. Polityka Ochrony Danych Osobowych w Przedsiębiorstwie Wodociągów i Kanalizacji Spółka z ograniczoną odpowiedzialnością w Ełku.
ZAŁĄCZNIK NR 2 Polityka Ochrony Danych Osobowych w Przedsiębiorstwie Wodociągów i Kanalizacji Spółka z ograniczoną odpowiedzialnością w Ełku. Spis Treści 1 Wstęp... 3 2 Analiza ryzyka... 3 2.1 Definicje...
3. Rozporządzenie wchodzi w życie po upływie 6 tygodni od dnia ogłoszenia.
Projekt z dnia 9 lipca 2008 ROZPORZĄDZENIE MINISTRA SPRAW WEWNĘTRZNYCH I ADMINISTRACJI 1) z dnia 2008 r. w sprawie wzoru zgłoszenia zbioru danych do rejestracji Generalnemu Inspektorowi Ochrony Danych
Krzysztof Świtała WPiA UKSW
Krzysztof Świtała WPiA UKSW Podstawa prawna 20 ROZPORZĄDZENIA RADY MINISTRÓW z dnia 12 kwietnia 2012 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany
Bezpieczeństwo teleinformatyczne informacji niejawnych
Ewa Gwardzińska Bezpieczeństwo teleinformatyczne informacji niejawnych Praktyczna teoria 25 We współczesnym świecie informacja stanowi wyjątkowo cenne dobro. Większość informacji przekazywanych jest w
Dane osobowe: Co identyfikuje? Zgoda
Luty 2009 Formalności Na podstawie ustawy z dnia 22 stycznia 1999 r., o ochronie informacji niejawnych (Dz. U. Nr 11, poz. 95 z późniejszymi zmianami) i rozporządzenia Prezesa Rady Ministrów z 25 lutego
Imed El Fray Włodzimierz Chocianowicz
Imed El Fray Włodzimierz Chocianowicz Laboratorium Certyfikacji Produktów i Systemów Informatycznych Wydział Informatyki Katedra Inżynierii Oprogramowania Zachodniopomorski Uniwersytet Technologiczny w
Zadania Zespołu ds. Ochrony Informacji Niejawnych Pomorskiego Urzędu Wojewódzkiego w Gdańsku
Zadania Zespołu ds. Ochrony Informacji Niejawnych Pomorskiego Urzędu Wojewódzkiego w Gdańsku 1) w zakresie organizowania ochrony informacji niejawnych: a) zapewnienie właściwej rejestracji, przechowywanie,
SZCZEGÓŁOWY HARMONOGRAM KURSU
SZCZEGÓŁOWY HARMONOGRAM KURSU DZIEŃ I - WPROWADZENIE DO OCHRONY DANYCH OSOBOWYCH REJESTRACJA UCZESTNIKÓW Zapytamy o Państwa oczekiwania wobec szkolenia oraz o zagadnienia, na wyjaśnieniu których szczególnie
MINISTERSTWO ADMINISTRACJI I CYFRYZACJI
MINISTERSTWO ADMINISTRACJI I CYFRYZACJI S y s t e m Z a r z ą d z a n i a B e z p i e c z e ń s t w e m I n f o r m a c j i w u r z ę d z i e D e f i n i c j e Bezpieczeństwo informacji i systemów teleinformatycznych
PARTNER.
PARTNER Ochrona danych osobowych w systemach informatycznych Konferencja Nowe regulacje w zakresie ochrony danych osobowych 2 czerwca 2017 r. Katarzyna Witkowska Źródła prawa ochrony danych Ustawa z dnia
POLITYKA BEZPIECZEŃSTWA OCHRONY DANYCH OSOBOWYCH w przedsiębiorstwie QBL Wojciech Śliwka Daszyńskiego 70c, Ustroń
POLITYKA BEZPIECZEŃSTWA OCHRONY DANYCH OSOBOWYCH w przedsiębiorstwie QBL Wojciech Śliwka Daszyńskiego 70c, 43-450 Ustroń Administrator Danych Osobowych: Wojciech Śliwka 1. PODSTAWA PRAWNA Niniejsza Polityka
ZARZĄDZENIE Nr 15/13 WÓJTA GMINY ŚWIĘTAJNO z dnia 16 kwietnia 2013 r.
ZARZĄDZENIE Nr 15/13 WÓJTA GMINY ŚWIĘTAJNO z dnia 16 kwietnia 2013 r. w sprawie Polityki bezpieczeństwa przetwarzania danych osobowych w Urzędzie Gminy Świętajno Na podstawie art. 36 ust. 2 Ustawy z dnia
Żaden podmiot nie zgłosił zainteresowania pracami nad projektem w trybie tej ustawy.
UZASADNIENIE Celem projektowanej ustawy jest dostosowanie obowiązujących przepisów ustawy z dnia 22 grudnia 1995 r. o wydawaniu Monitora Sądowego i Gospodarczego (Dz. U. z 1996 r. Nr 6, poz. 42, z późn.
Znaczenie norm ISO w znowelizowanej ustawie o ochronie danych osobowych (RODO)
Znaczenie norm ISO w znowelizowanej ustawie o ochronie danych osobowych (RODO) Normy ISO 31000, ISO 27001, ISO 27018 i inne Waldemar Gełzakowski Witold Kowal Copyright 2016 BSI. All rights reserved. Tak
UZASADNIENIE. Projektowane rozporządzenie zawiera następujące uregulowania:
UZASADNIENIE Projektowane rozporządzenie Ministra Administracji i Cyfryzacji w sprawie obsługi innych numerów przez system powiadamiania ratunkowego wykonuje upoważnienie zawarte w art. 5 ust. 6 ustawy
Informacje dla Klientów opracowane na podstawie Polityki Ochrony Danych Osobowych w Miejskim Zakładzie Gospodarki Komunalnej Sp. z o.o.
Informacje dla Klientów opracowane na podstawie Polityki Ochrony Danych Osobowych w Miejskim Zakładzie Gospodarki Komunalnej Sp. z o.o. w Nowej Soli obowiązującej od dnia 25.05.2018 r. Polityka Ochrony
ROZPORZĄDZENIE MINISTRA INFRASTRUKTURY 1)
ROZPORZĄDZENIE MINISTRA INFRASTRUKTURY 1) z dnia 11 lutego 2009 r. w sprawie wzorów i sposobu prowadzenia w formie elektronicznej centralnych rejestrów osób posiadających uprawnienia budowlane, rzeczoznawców
PRELEGENT Przemek Frańczak Członek SIODO
TEMAT WYSTĄPIENIA: Rozporządzenie ws. Krajowych Ram Interoperacyjności standaryzacja realizacji procesów audytu bezpieczeństwa informacji. Określenie zależności pomiędzy RODO a Rozporządzeniem KRI w aspekcie
Ochrona danych osobowych w biurach rachunkowych
Ochrona danych osobowych w biurach rachunkowych w kontekście zmienianych przepisów prawa, w szczególności w zgodzie z RODO Prowadzi: Piotr Glen Ekspert ds. ochrony danych osobowych Administrator bezpieczeństwa
Uchwała wchodzi w życie z dniem uchwalenia.
Uchwała nr 1412/19 Zarządu Głównego Społecznego Towarzystwa Oświatowego z dnia 16 marca 2019 r. w sprawie przyjęcia Polityki bezpieczeństwa danych osobowych Społecznego Towarzystwa Oświatowego. Zarząd
ZARZĄDZENIE NR 45 SZEFA AGENCJI BEZPIECZEŃSTWA WEWNĘTRZNEGO. z dnia 17 sierpnia 2012 r.
N-21920/2012 ZARZĄDZENIE NR 45 SZEFA AGENCJI BEZPIECZEŃSTWA WEWNĘTRZNEGO z dnia 17 sierpnia 2012 r. w sprawie certyfikacji urządzeń, narzędzi oraz środków przeznaczonych do ochrony informacji niejawnych
ZARZĄDZENIE Nr 20/2011
ZARZĄDZENIE Nr 20/2011 Rektora Akademii Wychowania Fizycznego im. Bronisława Czecha w Krakowie z dnia 29 sierpnia 2011 roku w sprawie organizacji i funkcjonowania ochrony informacji niejawnych oraz postępowania
Spis treści. Analiza Zagrożeń Instrukcja Użytkowania
Luty 2013 Spis treści 1. Wprowadzenie... 3 2. Podstawy prawne... 4 2.1. Poziom zagrożeń... 4 2.2. Dobór środków bezpieczeństwa... 5 3. Zasada działania programu... 6 4. Opis programu... 7 4.1. Menu Górne...
POLITYKA BEZPIECZEŃSTWA w zakresie ochrony danych osobowych w ramach serwisu zgloszenia24.pl
POLITYKA BEZPIECZEŃSTWA w zakresie ochrony danych osobowych w ramach serwisu zgloszenia24.pl SPIS TREŚCI I. POSTANOWIENIA OGÓLNE... 2 II. DEFINICJA BEZPIECZEŃSTWA INFORMACJI... 2 III. ZAKRES STOSOWANIA...
Warsztaty ochrony informacji niejawnych
Warsztaty ochrony informacji niejawnych Opis Przygotowanie i prowadzenie kompleksowej dokumentacji normującej ochronę informacji niejawnych w jednostce organizacyjnej według ustawy z dnia 5 sierpnia 2010r.
Marcin Soczko. Agenda
System ochrony danych osobowych a System Zarządzania Bezpieczeństwem Informacji - w kontekście normy PN-ISO 27001:2014 oraz Rozporządzenia o Krajowych Ramach Interoperacyjności Marcin Soczko Stowarzyszenie
Promotor: dr inż. Krzysztof Różanowski
Warszawska Wyższa Szkoła Informatyki Prezentacja do obrony pracy dyplomowej: Wzorcowa polityka bezpieczeństwa informacji dla organizacji zajmującej się testowaniem oprogramowania. Promotor: dr inż. Krzysztof
POLITYKA BEZPIECZEŃSTWA. Wykaz zbiorów danych oraz programów zastosowanych do przetwarzania danych osobowych.
1 Załącznik nr 1 do Zarządzenia nr 243/09 Burmistrza Michałowa z dnia 14 września 2009 r. POLITYKA BEZPIECZEŃSTWA Rozdział I. Rozdział II. Postanowienia ogólne. Deklaracja intencji, cele i zakres polityki
Maciej Byczkowski ENSI 2017 ENSI 2017
Znaczenie norm ISO we wdrażaniu bezpieczeństwa technicznego i organizacyjnego wymaganego w RODO Maciej Byczkowski Nowe podejście do ochrony danych osobowych w RODO Risk based approach podejście oparte
Załącznik nr 2 Opis wdrożonych środków organizacyjnych i technicznych służących ochronie danych osobowych
Załącznik nr 2 Opis wdrożonych środków organizacyjnych i technicznych służących ochronie danych osobowych Obszar System Zarządzania Bezpieczeństwem Informacji Polityki bezpieczeństwa. Opracowano ogólną
POLITYKA BEZPIECZEŃSTWA DANYCH OSOBOWYCH W SZKOLE PODSTAWOWEJ W CHRUŚLINIE
POLITYKA BEZPIECZEŃSTWA DANYCH OSOBOWYCH W SZKOLE PODSTAWOWEJ W CHRUŚLINIE Chruślina 19-03-2015r. 1 POLITYKA BEZPIECZEŃSTWA Administrator Danych Dyrektor Szkoły Podstawowej w Chruślinie Dnia 10-03-2015r.
1) przetwarzanie danych osobowych zgodnie z podstawowymi zasadami określonymi w
Obowiązki administratora według RODO... 1 Krok 1. Przygotowanie harmonogramu zmian... 2 Wskazanie kategorii osób, których dane są przetwarzane... 2 Weryfikacja, czy dane są przetwarzane zgodnie z RODO...
Projekt rozporządzenia Ministra Zdrowia. w sprawie sposobu i zakresu kontroli systemu monitorowania bezpieczeństwa stosowania produktów leczniczych
Projekt rozporządzenia Ministra Zdrowia w sprawie sposobu i zakresu kontroli systemu monitorowania bezpieczeństwa stosowania produktów leczniczych Przekazany do uzgodnień zewnętrznych w dniu 26 kwietnia
ROZPORZĄDZENIE MINISTRA FINANSÓW 1) z dnia. 2011 r.
Projekt z dnia 1 czerwca 2011 r. ROZPORZĄDZENIE MINISTRA FINANSÓW 1) z dnia. 2011 r. zmieniające rozporządzenie w sprawie określenia szczegółowych warunków technicznych i organizacyjnych dla firm inwestycyjnych,
POLITYKA BEZPIECZEŃSTWA
POLITYKA BEZPIECZEŃSTWA Administrator Danych Małgorzata Ziemianin Dnia 24.11.2015 roku w podmiocie o nazwie Publiczne Gimnazjum im. Henryka Brodatego w Nowogrodzie Bobrzańskim Zgodnie z ROZPORZĄDZENIEM
Ryzyko w Rozporządzeniu Rady Ministrów z dnia 12 kwietnia 2012r. w sprawie Krajowych Ram Interoperacyjności ( )
Ryzyko w Rozporządzeniu Rady Ministrów z dnia 12 kwietnia 2012r. w sprawie Krajowych Ram Interoperacyjności ( ) Dr inż. Elżbieta Andrukiewicz Przewodnicząca KT nr 182 Ochrona informacji w systemach teleinformatycznych
z dnia 2014 r. w sprawie trybu i sposobu realizacji zadań w celu zapewniania przestrzegania przepisów o ochronie danych osobowych
ROZPORZĄDZENIE Projekt, 18.12.2014 MINISTRA ADMINISTRACJI I CYFRYZACJI 1) z dnia 2014 r. w sprawie trybu i sposobu realizacji zadań w celu zapewniania przestrzegania przepisów o ochronie danych osobowych
ROZPORZĄDZENIE MINISTRA SPRAWIEDLIWOŚCI. z dnia r.
ROZPORZĄDZENIE MINISTRA SPRAWIEDLIWOŚCI projekt z dnia 10 maja 2010r. z dnia... 2010 r. w sprawie stosowania do funkcjonariuszy Służby Więziennej przepisów Kodeku pracy w dziedzinie bezpieczeństwa i higieny
BEZPIECZEŃSTWA PRZETWARZANIA DANYCH OSOBOWYCH
POLITYKA BEZPIECZEŃSTWA PRZETWARZANIA DANYCH OSOBOWYCH w Magdalena Skrzypczak Magia Urody 42-215 Częstochowa, ul. Kisielewskiego 19 Maj 2018 r. Str. 1 z 9 Spis treści I. Postanowienia ogólne ---------------------------------------------------------------------------
POLITYKA BEZPIECZEŃSTWA SYSTEMÓW INFORMATYCZNYCH SŁUŻĄCYCH DO PRZETWARZNIA DANYCH OSOBOWYCH W URZĘDZIE GMINY DĄBRÓWKA
Załącznik nr 1 do Zarządzenia Wójta Gminy Dąbrówka Nr 169/2016 z dnia 20 maja 2016 r. POLITYKA BEZPIECZEŃSTWA SYSTEMÓW INFORMATYCZNYCH SŁUŻĄCYCH DO PRZETWARZNIA DANYCH OSOBOWYCH W URZĘDZIE GMINY DĄBRÓWKA
UZASADNIENIE. Mając na celu konieczność:
UZASADNIENIE do projektu rozporządzenia w sprawie zgłaszania prac geodezyjnych i kartograficznych, ewidencjonowania systemów i przechowywania kopii zabezpieczających bazy danych, a także ogólnych warunków
WZ PW Norma ISO/IEC 27001:2013 najnowsze zmiany w systemach zarzadzania bezpieczeństwem informacji IT security trends
Norma ISO/IEC 27001:2013 najnowsze zmiany w systemach zarzadzania bezpieczeństwem informacji dr inż. Bolesław Szomański Wydział Zarządzania Politechnika Warszawska b.szomański@wz.pw.edu.pl Plan Prezentacji
ROZPORZĄDZENIE PREZESA RADY MINISTRÓW. z dnia.
ROZPORZĄDZENIE PREZESA RADY MINISTRÓW z dnia. w sprawie kwot wartości zamówień oraz konkursów, od których jest uzależniony obowiązek przekazywania ogłoszeń Urzędowi Oficjalnych Publikacji Wspólnot Europejskich
! POLITYKA OCHRONY DANYCH OSOBOWYCH W KANCELARII KANCELARIA ADWOKATA ŁUKASZA DOLIŃSKIEGO
! POLITYKA OCHRONY DANYCH OSOBOWYCH W KANCELARII KANCELARIA ADWOKATA ŁUKASZA DOLIŃSKIEGO PREAMBUŁA Zważywszy, że: 1. adwokat ŁUKASZ DOLIŃSKI, dalej: Adwokat, prowadzi działalność w formie jednoosobowej
terminu laboratorium wskazanego w pkt 2, określono krąg podmiotów, z pomocy których organ wykonujący kontrolę celno-skarbową może skorzystać dla
UZASADNIENIE Projektowane rozporządzenie stanowi wykonanie upoważnienia ustawowego zawartego w art. 76 ust. 6 ustawy z dnia 16 listopada 2016 r. o Krajowej Administracji Skarbowej (Dz. U. poz. 1947, z
WZÓR UMOWA O POWIERZENIE PRZETWARZANIA DANYCH OSOBOWYCH
Załącznik nr 2 do Umowy WZÓR UMOWA O POWIERZENIE PRZETWARZANIA DANYCH OSOBOWYCH 1. OŚWIADCZENIA WSTĘPNE 1. Niniejsza Umowa o Powierzenie Przetwarzania Danych Osobowych stanowi załącznik nr 2 do Umowy zawartej
Ochrona danych osobowych w biurach rachunkowych
Ochrona danych osobowych w biurach rachunkowych w kontekście zmienianych przepisów prawa, w szczególności w zgodzie z RODO Prowadzi: Piotr Glen Ekspert ds. ochrony danych osobowych Administrator bezpieczeństwa
Pozostałe zmiany zawarte w projekcie mają charakter redakcyjny.
UZASADNIENIE Jednym z największych wyzwań stojących przed rynkami finansowymi wobec ostatniego kryzysu finansowego (zapoczątkowanego tzw. kryzysem subprime na rynku amerykańskim) było zapewnienie płynności
Rozdział I Zagadnienia ogólne
Załączniki do decyzji nr 2/11 Szefa Centralnego Biura Antykorupcyjnego z dnia 3 stycznia 2011 r. (poz. ) Załącznik nr 1 Instrukcja zarządzania systemem teleinformatycznym służącym do przetwarzania danych
Samodzielnym Publicznym Szpitalu Klinicznym Nr 1 im. Prof. Stanisława Szyszko w Zabrzu Śląskiego Uniwersytetu Medycznego w Katowicach
Samodzielny Publiczny Szpital Kliniczny Nr 1 im. Prof. Stanisława Szyszko Śląskiego Uniwersytetu Medycznego w Katowicach 41-800 Zabrze, ul. 3-go Maja 13-15 http://www.szpital.zabrze.pl ; mail: sekretariat@szpital.zabrze.pl
Bezpieczeństwo teleinformatyczne danych osobowych
Bezpieczna Firma Bezpieczeństwo teleinformatyczne danych osobowych Andrzej Guzik stopień trudności System informatyczny, w którym przetwarza się dane osobowe, powinien oprócz wymagań wynikających z przepisów
Polityka bezpieczeństwa przetwarzania danych osobowych w VII L.O. im. Juliusza Słowackiego w Warszawie.
Polityka bezpieczeństwa przetwarzania danych osobowych w VII L.O. im. Juliusza Słowackiego w Warszawie. Podstawa prawna: 1. Ustawa z dnia 29 sierpnia 1997 roku o ochronie danych osobowych (Dz.U. 2002 nr
Warszawa, dnia 16 kwietnia 2013 r. Poz. 463 ROZPORZĄDZENIE MINISTRA ZDROWIA 1) z dnia 28 marca 2013 r.
DZIENNIK USTAW RZECZYPOSPOLITEJ POLSKIEJ Warszawa, dnia 16 kwietnia 2013 r. Poz. 463 ROZPORZĄDZENIE MINISTRA ZDROWIA 1) z dnia 28 marca 2013 r. w sprawie wymagań dla Systemu Informacji Medycznej 2) Na
z dnia r. w sprawie wzoru wniosku o udostępnienie danych z centralnej ewidencji pojazdów
Projekt z dnia 11 sierpnia 2017 r. ROZPORZĄDZENIE MINISTRA CYFRYZACJI 1) z dnia... 2017 r. w sprawie wzoru wniosku o udostępnienie danych z centralnej ewidencji pojazdów Na podstawie art. 80 cf ust. 1
Zarządzenie Nr 622 /OIN/2016 Prezydenta Miasta Słupska z dnia 16 sierpnia 2016r.
Zarządzenie Nr 622 /OIN/2016 Prezydenta Miasta Słupska z dnia 16 sierpnia 2016r. w sprawie Stanowiska ds. Ochrony Informacji Niejawnych. Na podstawie art 30 ust.1 i art. 33 ust. 1 i ust. 3 ustawy z dnia
2) stosowane metody i środki uwierzytelnienia oraz procedury związane z ich zarządzaniem i użytkowaniem,
Wskazówki dotyczące sposobu opracowania instrukcji określającej sposób zarządzania systemem informatycznym, służącym do przetwarzania danych osobowych, ze szczególnym uwzględnieniem wymogów bezpieczeństwa
POLITYKA BEZPIECZEŃSTWA INFORMACJI W KANCELARII ADWOKACKIEJ DR MONIKA HACZKOWSKA
POLITYKA BEZPIECZEŃSTWA INFORMACJI W KANCELARII ADWOKACKIEJ DR MONIKA HACZKOWSKA WROCŁAW, 15 maja 2018 r. Niniejsza Polityka bezpieczeństwa, zwana dalej Polityką, została sporządzona w celu wykazania,
ZARZĄDZENIE NR 100/2015 WÓJTA GMINY STEGNA. z dnia 16 czerwca 2015 r.
ZARZĄDZENIE NR 100/2015 WÓJTA GMINY STEGNA w sprawie wyznaczenia administratora bezpieczeństwa informacji oraz zastępców administratora bezpieczeństwa informacji w Urzędzie Gminy w Stegnie. Na podstawie
ZARZĄDZENIE NR 03/2017 DYREKTORA SZKOŁY PODSTAWOWEJ Z ODDZIAŁAMI INTEGRACYJNYMI NR 20 im. HARCERZY BUCHALIKÓW w RYBNIKU z dnia r.
ZARZĄDZENIE NR 03/2017 DYREKTORA SZKOŁY PODSTAWOWEJ Z ODDZIAŁAMI INTEGRACYJNYMI NR 20 im. HARCERZY BUCHALIKÓW w RYBNIKU z dnia 05. 04. 2017 r. w sprawie: wprowadzenia Procedury zarządzania ryzykiem w bezpieczeństwie
ABI potrzebny i przydatny Zakres i sposób wykonywania zadań ABI w praktyce. Andrzej Rutkowski
ABI potrzebny i przydatny Zakres i sposób wykonywania zadań ABI w praktyce Andrzej Rutkowski Stowarzyszenie Administratorów Bezpieczeństwa Informacji Agenda 1. Pozytywy nowelizacji u.o.d.o. z 7 listopada
2016 r. wdrażającej do polskiego porządku prawnego ww. dyrektywy oraz innych zmian merytorycznych, które znalazły się w tej ustawie.
UZASADNIENIE Projekt rozporządzenia stanowi wykonanie upoważnienia ustawowego zawartego w art. 98 ust. 4 ustawy z dnia 29 stycznia 2004 r. Prawo zamówień publicznych (Dz. U. z 2015 r. poz. 2164, z późn.
U Z A S A D N I E N I E
U Z A S A D N I E N I E 1. Projekt ustawy o zmianie ustawy o ogłaszaniu aktów normatywnych i niektórych innych aktów prawnych, określany dalej jako projekt, zmierza do osiągnięcia dwóch zasadniczych celów:
I. Postanowienia ogólne
VikingCo poland sp. z o. o. Polityka prywatności obowiązuje od 25 maja 2018 r. I. Postanowienia ogólne 1. Niniejszy dokument określa zasady ochrony danych osobowych w VikingCo Poland sp. z o.o. z siedzibą
Polityka bezpieczeństwa
Polityka bezpieczeństwa Formalny dokument opisujący strategię bezpieczeństwa. Oczekiwana zawartość: cele, standardy i wytyczne, zadania do wykonania, specyfikacja środków, zakresy odpowiedzialności. Tomasz
2. Dane osobowe - wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej;
POLITYKA BEZPIECZEŃSTWA INFORMACJI w TERVIS Sp. z o.o. ul. Marii Curie-Skłodowskiej 89B 87-100 Toruń KRS: 395894 dalej jako TERVIS Sp. z o.o. Polityka bezpieczeństwa informacji Niniejsza Polityka bezpieczeństwa,
Warszawa, dnia 24 kwietnia 2015 r. Pozycja 14 ZARZĄDZENIE NR 14 MINISTRA SKARBU PAŃSTWA 1) z dnia 23 kwietnia 2015 r.
DZIENNIK URZĘDOWY MINISTRA SKARBU PAŃSTWA Warszawa, dnia 24 kwietnia 2015 r. Pozycja 14 ZARZĄDZENIE NR 14 MINISTRA SKARBU PAŃSTWA 1) z dnia 23 kwietnia 2015 r. w sprawie ochrony danych osobowych w Ministerstwie
z dnia 2015 r. w sprawie przeprowadzania audytu wewnętrznego oraz przekazywania informacji o pracy i wynikach audytu wewnętrznego
PROJEKT Z DNIA 12 CZERWCA 2015 R. ROZPORZĄDZENIE MINISTRA FINANSÓW z dnia 2015 r. w sprawie przeprowadzania audytu wewnętrznego oraz przekazywania informacji o pracy i wynikach audytu wewnętrznego Na podstawie
Instrukcja Zarządzania Systemem Informatycznym. załącznik nr 13 do Polityki. Bezpieczeństwa Informacji Ośrodka Pomocy Społecznej w Starym Sączu
Instrukcja Zarządzania Systemem Informatycznym załącznik nr 13 do Polityki Bezpieczeństwa Informacji Ośrodka Pomocy Społecznej w Starym Sączu 1 1. Instrukcja Zarządzania Systemami Informatycznymi, zwana
odwołaniach). Druki te powinny być stosowane również w postępowaniach o mniejszej wartości ze względu na szczególnie istotne informacje w nich
UZASADNIENIE Projektowane rozporządzenie stanowi wykonanie upoważnienia zawartego w art. 96 ust. 5 ustawy z dnia 29 stycznia 2004 r. - Prawo zamówień publicznych (Dz. U. z 2007 r. Nr 223, poz. 1655 oraz
POLITYKA BEZPIECZEŃSTWA
POLITYKA BEZPIECZEŃSTWA Administrator Danych Damian Cieszewski dnia 31 sierpnia 2015 r. w podmiocie o nazwie Zespół Szkół nr 1 w Pszczynie zgodnie z ROZPORZĄDZENIEM MINISTRA SPRAW WEWNĘTRZNYCH I ADMINISTRACJI
ROZPORZĄDZENIE MINISTRA ROLNICTWA I ROZWOJU WSI 1) z dnia 2011 r.
Projekt ROZPORZĄDZENIE MINISTRA ROLNICTWA I ROZWOJU WSI 1) z dnia 2011 r. zmieniające rozporządzenie w sprawie szczegółowego zakresu, trybu i terminów przekazywania sprawozdań oraz trybu i zakresu rozliczeń
Druk nr 2061 Warszawa, 5 czerwca 2009 r.
SEJM RZECZYPOSPOLITEJ POLSKIEJ VI kadencja Prezes Rady Ministrów RM 10-66-09 Druk nr 2061 Warszawa, 5 czerwca 2009 r. Pan Bronisław Komorowski Marszałek Sejmu Rzeczypospolitej Polskiej Szanowny Panie Marszałku
POLITYKA BEZPIECZEŃSTWA INFORMACJI. Heksagon sp. z o.o. z siedzibą w Katowicach. (nazwa Administratora Danych)
POLITYKA BEZPIECZEŃSTWA INFORMACJI W Heksagon sp. z o.o. z siedzibą w Katowicach (nazwa Administratora Danych) 21 maja 2018 roku (data sporządzenia) Niniejsza Polityka bezpieczeństwa, zwana dalej Polityką,
Nowe przepisy i zasady ochrony danych osobowych
Nowe przepisy i zasady ochrony danych osobowych Jak przygotować i wdrożyć zmiany dotyczące przetwarzania i ochrony danych osobowych w kontekście nowych przepisów prawa, krajowych i europejskich Prowadzi:
INSTRUKCJA ZARZĄDZANIA SYSTEMAMI INFORMATYCZNYMI W COLLEGIUM MAZOVIA INNOWACYJNEJ SZKOLE WYŻSZEJ
Załącznik nr 3 do Zarządzenia nr 1/2013 Rektora Collegium Mazovia Innowacyjnej Szkoły Wyższej z dnia 31 stycznia 2013 r. INSTRUKCJA ZARZĄDZANIA SYSTEMAMI INFORMATYCZNYMI W COLLEGIUM MAZOVIA INNOWACYJNEJ