Załącznik nr 2 INSTRUKCJA zarządzania systemem informatycznym służącym do przetwarzania danych osobowych w Straży Granicznej 1 / 13
1. Przepisy ogólne 1. Instrukcja zawiera ogólne procedury zarządzania systemami informatycznymi oraz warunki i sposób postępowania przy wykorzystaniu systemów służących do przetwarzania danych osobowych w SG. 2. Procedury, warunki i sposób postępowania, o których mowa w ust. 1, obowiązują wszystkich użytkowników systemów informatycznych, stosownie do przydzielonych uprawnień, zakresu obowiązków i odpowiedzialności. 3. W przypadkach uzasadnionych wymaganiami konkretnego systemu informatycznego mogą być tworzone do tych systemów szczególne wymagania bezpieczeństwa i procedury bezpiecznej eksploatacji oraz polityki bezpieczeństwa przetwarzania danych osobowych i instrukcje zarządzania systemem informatycznym służącym do przetwarzania danych lub inne dokumenty. 2. Procedura nadawania i odbierania uprawnień do przetwarzania danych osobowych, rejestrowania tych uprawnień w systemie informatycznym oraz osoby odpowiedzialne za te czynności 1. Nadanie uprawnień w systemie informatycznym może nastąpić na podstawie posiadanego przez użytkownika upoważnienia do przetwarzania danych osobowych, o którym mowa w 17 decyzji, lub wniosku o nadanie uprawnień, który zawiera: 1) zakres uprawnień - nazwę profilu (grupy roboczej), do której użytkownik będzie dopisany; 2) numer upoważnienia do przetwarzania danych osobowych, o którym mowa w 17 decyzji; 3) inne informacje niezbędne do nadania uprawnień. 2. ATI po nadaniu uprawnień w systemie informatycznym potwierdza ten fakt poprzez: 1) złożenie na upoważnieniu do przetwarzania danych osobowych, o którym mowa w 17 decyzji, czytelnego podpisu oraz wpisaniu daty i przydzielonego użytkownikowi identyfikatora użytkownika, albo 2) pisemne zawiadomienie wnioskującego zawierające informacje wskazujące osobę, której nadano uprawnienia oraz przydzielony jej identyfikator użytkownika. 3. W przypadku, o którym mowa w ust. 2 pkt 2, w upoważnieniu do przetwarzania danych osobowych, o którym mowa w 17 decyzji, identyfikator użytkownika oraz numer i datę pisemnego zawiadomienia wpisuje właściwy ABZ. 2 / 13
4. Identyfikator użytkownika i hasło tymczasowe do systemu informatycznego lub inne przyjęte metody uwierzytelniania (np. elektroniczna karta Infrastruktury Klucza Publicznego - karta PKI wraz z kodem PIN) są przekazywane użytkownikowi systemu informatycznego przez ATI lub przez inną upoważnioną osobę, w sposób uniemożliwiający zapoznanie się z nimi osób postronnych. 5. Odebranie uprawnień użytkownikowi w systemie informatycznym następuje po utracie ważności upoważnienia do przetwarzania danych osobowych, o którym mowa w 17 decyzji, w przypadkach wymienionych w 16 ust. 5 decyzji, bądź na polecenie lokalnego administratora danych. 6. Odebranie uprawnień w systemie informatycznym może nastąpić na podstawie wniosku o odebranie uprawnień lub wpisu w treści upoważnienia do przetwarzania danych osobowych, o którym mowa w 17 decyzji. 7. ATI po odebraniu uprawnień w systemie informatycznym potwierdza ten fakt poprzez: 1) złożenie na upoważnieniu do przetwarzania danych osobowych, o którym mowa w 17 decyzji, czytelnego podpisu oraz wpisaniu daty odebrania uprawnień, albo 2) pisemne zawiadomienie wnioskującego zawierające informacje wskazujące osobę, której odebrano uprawnienia. 8. W przypadku, o którym mowa w ust. 7 pkt 2, w upoważnieniu do przetwarzania danych osobowych, o którym mowa w 17 decyzji, numer i datę pisemnego zawiadomienia wpisuje właściwy ABZ. 9. Wniosek, o którym mowa w ust. 1 i ust. 6 może złożyć każda osoba, która stwierdzi potrzebę nadania lub odebrania uprawnień użytkownikowi w systemie informatycznym w związku z realizacją lub zaprzestaniem realizacji czynności służbowych. 10. Na polecenie lokalnego administratora danych uprawnienia użytkownika w systemie informatycznym mogą zostać zablokowane. 11. Wnioski o nadanie i odebranie uprawnień użytkownikowi w systemie informatycznym przechowuje i archiwizuje ATI. Wnioski może przechowywać i archiwizować także ABZ, jeżeli takie rozwiązanie przyjęto dla danego systemu informatycznego. 3. Stosowane metody i środki uwierzytelnienia oraz procedury związane z ich zarządzaniem i użytkowaniem 1. BIOS należy zabezpieczyć hasłem. 2. ATI przydziela hasło tymczasowe (startowe) użytkownikowi, któremu nadano uprawnienia w systemie informatycznym i przypisano lub wygenerowano identyfikator. 3. W przypadku, gdy z systemu informatycznego korzysta więcej niż jeden użytkownik dostęp do systemu informatycznego powinien być zabezpieczony za pomocą przyjętych mechanizmów uwierzytelniania. Każdemu użytkownikowi przypisuje się odrębny, indywidualny identyfikator użytkownika oraz dane służące uwierzytelnieniu. 3 / 13
4. Nie dopuszcza się przetwarzania danych osobowych w systemie informatycznym z uprawnieniami administracyjnymi. Zakaz nie dotyczy danych osobowych niezbędnych do nadania uprawnień. 5. W odniesieniu do systemów informatycznych, w których do uwierzytelniania użytkowników używa się identyfikatora użytkownika i hasła należy stosować następujące zasady: 1) identyfikator użytkownika i hasło tymczasowe do systemu informatycznego są przekazywane użytkownikowi systemu informatycznego osobiście przez ATI w sposób uniemożliwiający zapoznanie się z nimi przez osoby trzecie; 2) zmiana hasła tymczasowego jest wymuszona przy pierwszym zalogowaniu użytkownika; 3) hasła muszą spełniać poniższe wymagania: a) dla systemów informatycznych, w których nie są przetwarzane dane osobowe, o których mowa w art. 27 ustawy, oraz żadne z urządzeń tych systemów informatycznych nie są połączone z siecią publiczną: - minimalna długość 6 znaków (12 dla ATI), - maksymalny okres ważności 30 dni, - system informatyczny wymusza zmianę hasła, b) dla systemów informatycznych, w których są przetwarzane dane osobowe, o których mowa w art. 27 ustawy, oraz żadne z urządzeń tych systemów informatycznych nie są połączone z siecią publiczną: - minimalna długość 8 znaków (12 dla ATI), - maksymalny okres ważności 30 dni, - system informatyczny wymusza zmianę hasła, - hasło musi zawierać małe i wielkie litery oraz cyfry lub znaki specjalne, jeżeli system informatyczny to umożliwia, c) dla systemów informatycznych, w których przynajmniej jedno urządzenie systemu połączone jest z siecią publiczną, stosuje się zabezpieczenie wymienione w lit. b oraz wykorzystuje się środki ochrony kryptograficznej wobec danych wykorzystywanych do uwierzytelniania, które są przesyłane do sieci publicznej; 4) zmiana hasła w systemie informatycznym powinna być wymuszana przez system informatyczny przy logowaniu po upływie jego okresu ważności; 5) hasła, w stosunku do których zaistniało podejrzenie ich ujawnienia, podlegają bezzwłocznej zmianie. 6. W odniesieniu do systemów informatycznych, w których do uwierzytelniania używa się karty PKI lub innej przyjętej metody uwierzytelniania należy stosować następujące zasady: 1) karta PKI i kod PIN do niej są przekazywane użytkownikowi systemu informatycznego w sposób uniemożliwiające zapoznanie się z nimi przez osoby trzecie; 4 / 13
2) użytkownik jest zobowiązany zmienić kod PIN do karty na swój własny po pierwszym użyciu karty; 3) zabrania się udostępniania karty PKI oraz kodu PIN do niej innym osobom; 4) użytkownik powinien niezwłocznie po zagubieniu karty zawiadomić ATI. 7. Raz użyty identyfikator użytkownika nie może być ponownie nadany w danym systemie informatycznym innej osobie. 8. W przypadku odebrania uprawnień użytkownikowi w systemie informatycznym, identyfikator użytkownika powinien w tym systemie pozostać. 9. W celu zabezpieczenia awaryjnego dostępu do systemu informatycznego przetwarzającego dane osobowe, aktualne hasło ATI jest przechowywane w depozycie w miejscu wyznaczonym przez lokalnego administratora danych, w którym jest zapewniona integralność i poufność tego hasła oraz kontrola nad tym, kto się z nim zapoznał. 10. W uzasadnionych przypadkach lokalny administrator danych może wydać pisemne polecenie wykorzystania w trybie awaryjnym, przez upoważnioną osobę, uprawnień ATI w systemie informatycznym. Po wykorzystaniu uprawnień ATI w trybie awaryjnym sporządza się notatkę i informuje lokalnego ABI. 4. Procedura rozpoczęcia pracy przeznaczona dla użytkowników systemu informatycznego Rozpoczynając pracę użytkownik systemu informatycznego jest zobowiązany: 1) ustawić monitor w sposób uniemożliwiający podgląd ekranu osobom nieuprawnionym; 2) po włączeniu zasilania, obserwować monitor ekranowy, kontrolować proces uruchamiania systemu informatycznego, obserwować komunikaty wyświetlane na ekranie monitora i w razie stwierdzenia nieprawidłowości, w szczególności nietypowych komunikatów, zawieszenia systemu informatycznego, powiadomić ATI; 3) zalogować się, zwracając szczególną uwagę, aby uwierzytelnianie odbywało się w sposób dyskretny (nie było możliwości obserwacji klawiatury przez osoby przebywające w pomieszczeniu). 5. Procedura zawieszenia pracy przeznaczona dla użytkowników systemu informatycznego W przypadku krótkotrwałego opuszczenia stanowiska pracy lub pomieszczenia, w szczególności, gdy w pomieszczeniu pracuje więcej niż jedna osoba, użytkownik systemu informatycznego jest zobowiązany uaktywnić wygaszacz ekranu zabezpieczony hasłem lub w inny sposób zabezpieczyć system przed dostępem innych osób. 5 / 13
6. Procedura zakończenia pracy przeznaczona dla użytkowników systemu informatycznego Kończąc pracę użytkownik systemu informatycznego jest zobowiązany: 1) przed wylogowaniem sprawdzić, czy nie ma pozostawionych zadań do wydrukowania zarówno w pamięci komputera, jak i drukarki; 2) w przypadku problemów powstałych podczas drukowania, wydrukować pustą (niezapisaną) stronę lub stronę testową. Jeżeli strona zostanie poprawnie wydrukowana, użytkownik może zakończyć pracę na stanowisku. W przeciwnym razie musi powiadomić ATI; 3) sprawdzić, czy w komputerze nie pozostały zewnętrzne (przenośne) informatyczne nośniki danych, w szczególności takie jak dyskietki, płyty CD lub DVD, pamięci flash itp.; 4) prawidłowo wylogować się z systemu informatycznego, wyłączyć komputer i zabezpieczyć stanowisko przed dostępem osób nieuprawnionych; 5) zwrócić szczególną uwagę na właściwe zabezpieczenie informatycznych nośników danych i wydruków zawierających dane osobowe po zakończeniu pracy; 6) sprawdzić, czy nie pozostały w drukarce, niezabezpieczonych szufladach itp. dokumenty zawierające dane osobowe; 7) zniszczyć wydruki wadliwe w niszczarce dokumentów, bądź zabezpieczyć je przed dostępem osób nieuprawnionych do czasu ich zniszczenia. 7. Czynności zabronione podczas rozpoczęcia, zawieszenia i zakończenia pracy przeznaczone dla użytkowników systemu informatycznego 1. Zabrania się: 1) kontynuowania uruchamiania systemu informatycznego, w sytuacji kiedy użytkownik zauważy nietypowe działanie systemu informatycznego, np. wyświetlanie nietypowych komunikatów; 2) eksploatacji systemu informatycznego sygnalizującego nieprawidłowe bądź nietypowe działanie; 3) kontynuowania uruchamiania systemu informatycznego, w sytuacji, kiedy oprogramowanie antywirusowe wykryje obecność wirusa; 4) zapisywania i pozostawiania w miejscach niezabezpieczonych przed ujawnieniem identyfikatora użytkownika i hasła oraz kodu PIN do karty PKI; 5) ujawniania innym osobom identyfikatora użytkownika i hasła; 6) udostępniania innym osobom karty PKI oraz kodu PIN; 6 / 13
7) opuszczania pomieszczenia bez zabezpieczenia dostępu do stanowiska (wylogowania lub włączenia zabezpieczonego hasłem wygaszacza); 8) pozostawiania wykorzystywanych dokumentów papierowych i informatycznych nośników danych bez nadzoru; 9) wykonywania czynności wykraczających poza zakres upoważnienia do przetwarzania danych osobowych, o którym mowa w 17 decyzji, w szczególności dokonywania nieuprawnionych prób dostępu do zasobów; 10) wpuszczania, podczas przetwarzania danych osobowych, osób nieuprawnionych do pomieszczeń, gdzie zlokalizowano stanowiska systemu informatycznego, w którym są przetwarzane dane osobowe, bez zgody administratora danych lub obecności osoby upoważnionej do przetwarzania danych osobowych; 11) samowolnego uruchamiania i instalowania jakiegokolwiek oprogramowania, jeżeli nie jest to w zakresie obowiązków użytkownika; 12) nieuprawnionego kopiowania jakichkolwiek danych znajdujących się w systemie informatycznym; 13) samowolnej zmiany ustawień konfiguracyjnych, przemieszczania urządzeń wchodzących w skład systemu informatycznego; 14) używania na stanowiskach niezaewidencjonowanych informatycznych nośników danych. 2. W przypadkach, o których mowa w ust. 1 pkt 1-3, o zaistniałych sytuacjach należy niezwłocznie powiadomić ATI. 8. Procedura tworzenia kopii zapasowych zbiorów danych oraz programów i narzędzi programowych służących do ich przetwarzania 1. Za wykonywanie kopii zapasowych zbiorów danych odpowiedzialny jest ATI, w którego właściwości pozostaje wykonywanie tych kopii. Kopie wykonuje ATI lub upoważnia do ich wykonania użytkownika z odpowiednimi uprawnieniami. 2. Kopie zapasowe zbiorów danych powinny być wykonywane na odpowiednich nośnikach informacji, zarejestrowanych i dokładnie opisanych. 3. Kopie zapasowe zbiorów danych należy wykonywać zgodnie ze specyfiką poszczególnych zbiorów danych. Powinny one obejmować, zgodnie z przyjętym harmonogramem, aktualny stan systemu informatycznego, operacyjnego, bazę danych, aplikacje oraz zasoby plikowe. 4. Częstotliwość i metodę wykonywania kopii zapasowych zbiorów danych określa szczegółowy harmonogram dla danego systemu informatycznego, który akceptuje lokalny administrator danych. 5. Kopie zapasowe zbiorów danych nie powinny być przechowywane w tych samych pomieszczeniach, w których znajdują się zbiory danych. 7 / 13
6. Kopie zapasowe zbiorów danych powinny być przechowywane w sposób uniemożliwiający dostęp do nich nieupoważnionym osobom oraz w miarę możliwości zabezpieczone przed nieuprawnionym zniszczeniem np. w przypadku pożaru, zalania czy katastrofy budowlanej. 7. Informatyczne nośniki danych, na których są zapisane kopie zapasowe zbiorów danych, które uległy uszkodzeniu lub stały się niepotrzebne pozbawia się zapisu danych, a w przypadku, gdy nie jest to możliwe, niszczy się w stopniu uniemożliwiającym ich odczytanie. 9. Procedura postępowania z wydrukami z systemów informatycznych 1. Wydruki z systemu informatycznego zawierające dane osobowe mogą być sporządzane jedynie w związku z realizacją zadań i podlegają ochronie zgodnie z przepisami dotyczącymi ochrony danych osobowych. 2. Wydruki z systemów informatycznych zawierające dane osobowe podlegają ewidencjonowaniu, przechowywaniu, przekazywaniu, archiwizacji i brakowaniu, zgodnie z odrębnymi przepisami dotyczącymi obiegu informacji jawnych i niejawnych w SG. 3. Wydruki próbne z systemów informatycznych, do czasu ich zniszczenia, należy chronić jak dokumenty właściwe. 4. Zniszczenia wydruków dokonuje się przy użyciu przeznaczonych do tego celu urządzeń (niszczarek) zgodnie z odrębnymi przepisami dotyczącymi obiegu informacji jawnych i niejawnych w SG. 10. Procedura zabezpieczenia systemu informatycznego przed działalnością oprogramowania, którego celem jest uzyskanie nieuprawnionego dostępu do systemu informatycznego 1. Systemy informatyczne służące do przetwarzania danych osobowych muszą być zabezpieczone przed szkodliwym oprogramowaniem. 2. Wszystkie informatyczne nośniki danych z oprogramowaniem używanym w systemie (system informatyczny, operacyjny, programy użytkowe, oprogramowanie narzędziowe, sterowniki oraz pliki z danymi), jak również zawierające dane osobowe podlegają procedurze kontroli na obecność wirusów. 3. Należy zachować szczególną ostrożność przy używaniu informatycznych nośników danych pochodzących z zewnątrz, każdorazowo sprawdzając je na obecność szkodliwego oprogramowania przed użyciem w systemie informatycznym. 4. Makropolecenia (tzw. makra) zawarte w dokumentach wolno uruchamiać tylko przy aktywnym skanerze antywirusowym. 5. W przypadku stwierdzenia zawirusowania informatycznych nośników danych, należy niezwłocznie powiadomić ATI lub ABZ. 8 / 13
6. Zabrania się samowolnego usuwania wirusów przez użytkowników systemu informatycznego. 7. ATI oraz ABZ podejmują działania, mające na celu uniemożliwienie lub ograniczenie powstania szkód w wyniku działania wirusa oraz zabezpieczają zawirusowany informatyczny nośnik danych w celu zidentyfikowania wirusa oraz ustalenia źródła infekcji poprzez jego zatrzymanie i uniemożliwienie dalszego jego wykorzystania. 8. ATI podejmuje działania, mające na celu uniemożliwienie w przyszłości zawirusowania systemu informatycznego ze źródła, o którym mowa w ust. 7 i 11. 9. Zainfekowany informatyczny nośnik danych należy oznaczyć napisem ostrzegawczym. 10. Zaistniałe zdarzenie ATI i ABZ odnotowują w prowadzonych przez siebie dziennikach działań. 11. ABZ wspólnie z ATI podejmuje kroki, mające na celu wyjaśnienie źródła infekcji, a o wynikach dochodzenia informuje lokalnego administratora danych oraz lokalnego ABI. 11. Odnotowywanie informacji o odbiorcach, którym dane osobowe zostały udostępnione Dla każdej osoby, której dane osobowe są przetwarzane w systemie informatycznym, z wyjątkiem systemów informatycznych służących do przetwarzania danych osobowych ograniczonych wyłącznie do edycji tekstu w celu udostępnienia go na piśmie oraz używanych do przetwarzania danych zawartych w zbiorach jawnych, system informatyczny musi zapewniać odnotowanie informacji o: 1) odbiorcach, którym dane osobowe zostały udostępnione; 2) dacie i zakresie udostępnienia danych osobowych. Informacje te mogą zostać odnotowane w odrębnym dokumencie lub systemie informatycznym, określonym przez lokalnego administratora danych. 12. Procedura postępowania w sytuacji naruszenia zabezpieczenia systemu informatycznego i bezpieczeństwa przetwarzanych w nim danych osobowych 1. Każda osoba przetwarzająca dane osobowe jest zobowiązana do niezwłocznego powiadomienia ATI lub ABZ o: 1) stwierdzonym naruszeniu zabezpieczenia systemu informatycznego; 2) wystąpieniu zagrożenia naruszenia bezpieczeństwa przetwarzanych danych osobowych w systemie informatycznym, w szczególności gdy stan urządzenia, zawartość zbioru danych, ujawnione metody pracy, sposób działania programu lub jakość komunikacji w sieci telekomunikacyjnej mogą wskazywać na naruszenie zabezpieczeń tych danych. 9 / 13
2. Użytkownik systemu informatycznego w każdym przypadku naruszenia lub uzasadnionego podejrzenia naruszenia zabezpieczenia systemu informatycznego, w którym są przetwarzane dane osobowe, powinien: 1) powstrzymać się od rozpoczęcia lub kontynuowania jakiejkolwiek czynności mogącej spowodować zatarcie śladów, bądź dowodów naruszenia; 2) podjąć, stosownie do zaistniałej sytuacji, niezbędne działania celem zapobieżenia dalszym zagrożeniom, które mogą skutkować naruszeniem danych osobowych. 3. ATI niezwłocznie po otrzymaniu informacji o naruszeniu lub o podejrzeniu naruszenia zabezpieczenia systemu informatycznego przetwarzającego dane osobowe, podejmuje działania zmierzające do usunięcia zagrożenia bezpieczeństwa tych danych. 4. ATI ma obowiązek: 1) zarejestrować zgłoszenie w odpowiednim rejestrze (np. w dzienniku działań ATI, itp.) odnotowując: dane osoby zgłaszającej, datę i godzinę zgłoszenia oraz jego treść; 2) ustalić przyczyny, rodzaj, rozmiar i okoliczności stworzenia zagrożenia lub dokonania naruszenia ochrony danych osobowych wraz z zabezpieczeniem dowodów; 3) podjąć działania mające na celu ustalenie sprawcy, miejsca, czasu i sposobu dokonania naruszenia oraz zapobieżenie dalszemu naruszaniu ochrony danych osobowych; 4) podjąć decyzję o toku dalszego postępowania, stosownie do zakresu naruszenia lub zasadności podejrzenia naruszenia ochrony danych osobowych i wydać stosowne polecenia i wskazówki osobom przetwarzającym dane osobowe (administrującym danymi) lub obsłudze urządzeń służących do tego celu; 5) niezwłocznie zawiadomić ABZ, jeżeli nie został powiadomiony wcześniej, oraz lokalnego administratora danych lub lokalnego ABI o zaistniałym zdarzeniu. 5. ABZ sporządza z przebiegu zdarzenia raport, w którym zamieszcza, w szczególności informacje o: 1) ustaleniach dotyczących sytuacji naruszenia zasad ochrony danych osobowych; 2) przeprowadzonych czynnościach; 3) podjętych decyzjach i ich uzasadnieniu; 4) wnioskach i propozycjach ewentualnego podniesienia poziomu zabezpieczeń w systemie informatycznym. 6. Raport przekazuje się niezwłocznie lokalnemu administratorowi danych za pośrednictwem lokalnego ABI. 10 / 13
13. Przetwarzanie danych osobowych na stanowiskach podłączonych do sieci publicznej (Internet) 1. W systemie informatycznym podłączonym do sieci publicznej (Internet) nie powinny być przechowywane zbiory danych lub przetwarzane dane osobowe, o których mowa w art. 27 ust. 1 ustawy. 2. W przypadku zaistnienia konieczności lokalny administrator danych może wydać pisemną zgodę na przetwarzanie, w tym przechowywanie, danych osobowych w systemie informatycznym, o którym mowa w ust. 1. 3. System informatyczny, o którym mowa w ust. 1, podłączony do sieci publicznej powinien być zabezpieczony w sposób zapewniający wysoki poziom bezpieczeństwa przetwarzania danych osobowych określony w rozporządzeniu. 14. Procedura postępowania z informatycznymi nośnikami danych 1. Procedury postępowania z informatycznymi nośnikami danych, w tym ewidencjonowanie, oznaczanie, przechowywanie, archiwizacja i brakowanie, powinny być zgodne z odrębnymi przepisami dotyczącymi obiegu informacji jawnych lub niejawnych w SG. 2. Zabrania się: 1) nieuprawnionego wynoszenia poza obszar, w którym są przetwarzane dane osobowe informatycznych nośników danych zawierających te dane; 2) nieuprawnionego wnoszenia do obszaru, w którym są przetwarzane dane osobowe niezarejestrowanych informatycznych nośników danych z wyjątkiem informatycznych nośników danych, które są: a) dołączane do pism, b) wykorzystywane do działalności służbowej innej niż przechowywanie informacji zawierających dane osobowe (np. czynności administratora); 3) wykorzystywania zarejestrowanych informatycznych nośników danych do celów innych niż te, do których są przeznaczone. 3. Nakazuje się: 1) przechowywanie informatycznych nośników danych w sposób uniemożliwiający dostęp do nich osób nieuprawnionych; 2) usuwanie z informatycznych nośników danych zbędnych danych osobowych, które nie są wykorzystywane do bieżącej działalności służbowej i nie podlegają archiwizacji. 11 / 13
15. Procedura wykonywania przeglądów, konserwacji i naprawy systemu informatycznego 1. Wszelkie prace konserwacyjne i naprawcze mogą być wykonywane jedynie przez ATI. 2. Prace wykraczające poza możliwości ATI prowadzone są przez serwis łączności i informatyki SG w obecności i pod nadzorem ATI. 3. Prace dotyczące przeglądów, konserwacji i napraw systemu informatycznego prowadzone na terenie budynków i pomieszczeń SG, wymagające zaangażowania autoryzowanych firm zewnętrznych, są wykonywane przez uprawnionych przedstawicieli tych firm (serwisantów) pod nadzorem ATI, bez możliwości dostępu do danych osobowych przetwarzanych w tych systemach. 4. Systemy informatyczne, przeznaczone do naprawy, pozbawia się przed naprawą zapisu danych osobowych lub naprawia się je pod nadzorem ATI lub innej osoby upoważnionej przez lokalnego administratora danych. 5. Jeżeli informatyczny nośnik danych stanowiący element składowy systemu informatycznego jest uszkodzony i nie ma możliwości usunięcia z niego danych osobowych, należy wymontować go z urządzenia i wybrakować. 6. Przed przekazaniem sprzętu stanowiącego element składowy systemu informatycznego do naprawy lub magazynu, ATI usuwa informatyczne nośniki danych i przechowuje je w szafie metalowej, w sposób uniemożliwiający dostęp osób nieupoważnionych. 7. Sprzęt przekazuje się na podstawie protokołu przekazania sprzętu do naprawy i odnotowuje ten fakt w dzienniku działań ATI. 8. Po odebraniu sprzętu z serwisu lub jego wymiany ATI lub inna upoważniona osoba, dokonuje jego szczegółowych oględzin i osobiście instaluje go w systemie informatycznym. Fakt ten odnotowuje w dzienniku działań ATI. 9. Zabrania się: 1) samowolnego wynoszenia z obszaru, gdzie zlokalizowano system informatyczny przetwarzający dane osobowe, wszelkich elementów wchodzących w jego skład; 2) samowolnej wymiany przez użytkownika jakiegokolwiek elementu składowego systemu informatycznego; 3) pozostawiania bez nadzoru informatycznych nośników danych stanowiących element składowy systemu informatycznego podczas przeglądów, konserwacji i naprawy systemu informatycznego. 16. Procedura wykonywania przeglądów, konserwacji i napraw informatycznych nośników danych 1. Przeglądy, konserwacja i naprawy informatycznych nośników danych prowadzi serwis łączności i informatyki SG w obecności osoby odpowiedzialnej za dany nośnik lub innej osoby wskazanej przez lokalnego administratora danych. Jeśli informatyczny nośnik 12 / 13
danych jest na gwarancji, a warunki gwarancji tego wymagają, w pracach może uczestniczyć przedstawiciel gwaranta. 2. W przypadku informatycznych nośników danych, które uległy awarii, o ich przydatności do dalszego użytku decyduje serwis, o którym mowa w ust. 1, w miejscu jego zainstalowania u użytkownika. 3. Informatyczne nośniki danych zawierające dane osobowe, które są wycofywane z użycia lub uszkodzone podlegają brakowaniu. 4. Brakowanie informatycznych nośników danych odbywa się w sposób uniemożliwiający odczytanie informacji na nim zawartych, np. poprzez ich fizyczne zniszczenie. 5. Informatyczny nośnik danych, zakwalifikowany do brakowania, podlega wstępnemu zniszczeniu przez serwis, o którym mowa w ust. 1, w obecności osoby odpowiedzialnej za nośnik danych, np. przez przedziurawienie nośnika lub jego przecięcie, Wstępne zniszczenie może odbyć się bez udziału serwisu, jeżeli dotyczy nośników o małej wartości materialnej, w szczególności dyskietek magnetycznych oraz płyt CD i DVD. 6. Do czasu brakowania informatyczne nośniki danych przechowywane są we właściwej kancelarii w sposób uniemożliwiający dostęp do nich osób nieuprawnionych. 7. W przypadku konieczności odzyskania danych osobowych zawartych na informatycznym nośniku danych, w pierwszej kolejności nośnik przekazuje się do serwisu, o którym mowa w ust. 1. W razie potrzeby skorzystania z usług firmy zewnętrznej, przy odzyskiwaniu danych uczestniczy ATI, ABZ lub inna upoważniona osoba. 8. Brakowania informatycznych nośników danych dokonuje się zgodnie z odrębnymi przepisami dotyczącymi obiegu informacji jawnych lub niejawnych w SG oraz przepisami dotyczącymi gospodarowania mieniem będącym w zarządzie SG. 13 / 13