Załącznik nr 2 do Zarządzenia nr 40/2014 Wójta Gminy Żyrzyn z dnia 30 lipca 2014 r. Instrukcja Zarządzania Systemem Informatycznym służącym do przetwarzania danych osobowych w Urzędzie Gminy Żyrzyn Rozdział I. Postanowienia ogólne 1 1. Instrukcja określa sposób zarządzania systemem informatycznym służącym do przetwarzania danych osobowych przez administratora danych, w celu zabezpieczenia danych osobowych przed zagrożeniami, w tym zwłaszcza przed ich udostępnieniem osobom nieupoważnionym, nieautoryzowaną zmianą, utratą, uszkodzeniem lub zniszczeniem. 2. Instrukcja precyzuje ogólne zasady postępowania administratora danych, administratora bezpieczeństwa, administratora systemu oraz wszystkich użytkowników upoważnionych do przetwarzania danych osobowych w systemach informatycznych w Urzędzie Gminy Żyrzyn. 3. Instrukcja zawiera: 1) określenie poziomu bezpieczeństwa w rozumieniu 6 rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych, 2) procedury nadawania uprawnień do przetwarzania danych osobowych oraz rejestrowania i wyrejestrowywania tych uprawnień w systemie informatycznym oraz określenie osób odpowiedzialnych za te czynności, 3) opis metod i środków uwierzytelnienia oraz procedury związane z ich zarządzaniem i użytkowaniem, 4) procedury rozpoczęcia, zawieszenia i zakończenia pracy, przeznaczone dla użytkowników systemu, 5) procedury tworzenia kopii zapasowych zbiorów danych osobowych i programów służących do ich przetwarzania oraz sposób, miejsce i okres ich przechowywania, 6) sposób zabezpieczenia systemu informatycznego przed działalnością oprogramowania, którego celem jest uzyskanie nieuprawnionego dostępu do systemu informatycznego, 7) zasady i sposób odnotowywania wszystkich informacji o udostępnieniu danych osobowych, 8) procedury wykonywania przeglądów i konserwacji systemu,
9) procedury napraw urządzeń komputerowych i nośników informacji, wykorzystywanych do przetwarzania danych osobowych, oraz ich likwidacji. 4. Ilekroć w instrukcji jest mowa o: 1) Ustawie - rozumie się przez to ustawę z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. nr 101, poz. 926 ze zmianami), 2) Rozporządzeniu - rozumie się przez to rozporządzenie Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. nr 100, poz. 1024), 3) Instrukcji - rozumie się przez to niniejszą Instrukcję Zarządzania Systemem Informatycznym służącym do przetwarzania danych osobowych w Urzędzie Gminy Żyrzyn, 4) Polityce bezpieczeństwa - rozumie się przez to Politykę Bezpieczeństwa Przetwarzania Danych Osobowych w Urzędzie Gminy Żyrzyn, 5) Urzędzie - rozumie się przez to Urząd Gminy Żyrzyn, 6) Kierowniku komórki organizacyjnej - rozumie się przez to Zastępcę Wójta, Sekretarza Gminy, Skarbnika Gminy, kierownika Urzędu Stanu Cywilnego, 7) Komórkach organizacyjnych - rozumie się przez to referaty i samodzielne stanowiska Urzędu Gminy Żyrzyn, 8) Administratorze danych - rozumie się przez to administratora danych osobowych w Urzędzie Gminy Żyrzyn reprezentowanego przez Wójta Gminy Żyrzyn, 9) Administratorze bezpieczeństwa - rozumie się przez to osobę, której administrator danych powierzył pełnienie obowiązków administratora bezpieczeństwa informacji, 10) Administratorze systemu - rozumie się przez to pracownika Urzędu Gminy Żyrzyn zatrudnionego na stanowisku informatyka, 11) Danych osobowych - rozumie się przez to wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej, 12) Haśle - rozumie się przez to ciąg znaków literowych, cyfrowych lub innych, znany jedynie użytkownikowi, 13) Identyfikatorze - rozumie się przez to ciąg znaków literowych, cyfrowych lub innych, jednoznacznie identyfikujący osobę upoważnioną do przetwarzania danych osobowych w systemie informatycznym, 14) Integralności danych - rozumie się przez to właściwość zapewniającą, że dane osobowe nie zostały zmienione lub zniszczone w sposób nieautoryzowany, 15) Osobie upoważnionej do przetwarzania danych osobowych - rozumie się przez to osobę, która upoważniona została do przetwarzania danych osobowych przez administratora danych, 16) Poufności danych - rozumie się przez to właściwość zapewniającą, że dane nie są udostępniane nieupoważnionym podmiotom,
17) Przetwarzaniu danych osobowych - rozumie się przez to wykonywanie jakichkolwiek operacji na danych osobowych, takich jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza tych operacji, które są wykonywane w systemach informatycznych, 18) Serwisancie - rozumie się przez to firmę lub pracownika firmy zajmującej się sprzedażą, instalacją, naprawą i konserwacją sprzętu komputerowego i oprogramowania, 19) Systemie informatycznym - rozumie się przez to sprzęt komputerowy, oprogramowanie, dane eksploatowane w zespole współpracujących ze sobą urządzeń, programów, procedur przetwarzania informacji i narzędzi programowych, 20) Uwierzytelnianiu - rozumie się przez to działanie, którego celem jest weryfikacja deklarowanej tożsamości podmiotu, 21) Użytkowniku - rozumie się przez to osobę upoważnioną do przetwarzania danych osobowych w systemie informatycznym, której nadano identyfikator i przyznano hasło, 22) Zabezpieczeniu systemu informatycznego - rozumie się przez to wdrożenie i eksploatację przez administratora danych i administratora bezpieczeństwa odpowiednich środków organizacyjnych i technicznych, które mają na celu zabezpieczenie zasobów oraz ochronę danych przed ich nieuprawnionym przetwarzaniem oraz zniszczeniem. 2 Uwzględniając kategorie danych osobowych przetwarzanych w urzędzie oraz konieczność zachowania bezpieczeństwa ich przetwarzania w systemie informatycznym połączonym z siecią publiczną Internet, wprowadza się poziom wysoki bezpieczeństwa w rozumieniu 6 rozporządzenia. Rozdział II. Procedury nadawania uprawnień do przetwarzania danych osobowych oraz rejestrowania i wyrejestrowywania uprawnień do przetwarzania danych w systemie informatycznym 3 1. Dostęp do systemu informatycznego może uzyskać wyłącznie użytkownik zarejestrowany w tym systemie przez administratora systemu na wniosek kierownika komórki organizacyjnej, w której dany użytkownik pracuje. 2. Nadawanie i cofanie upoważnień do przetwarzania danych osobowych dokonuje administrator danych na wniosek właściwego kierownika komórki organizacyjnej. 3. Upoważnienia rejestrowane są w ewidencji osób upoważnionych do przetwarzania danych osobowych, której wzór określono w załączniku nr 1 do niniejszej instrukcji. W ewidencji umieszczone są następujące dane:
1) imię i nazwisko osoby upoważnionej do przetwarzania danych osobowych, 2) nazwa komórki organizacyjnej urzędu, 3) data nadania upoważnienia, 4) data ustania upoważnienia, 5) nazwa zbioru danych osobowych objętego upoważnieniem. 4. Upoważnienie użytkownika do przetwarzania danych osobowych oraz rejestracja w systemie informatycznym wymaga: 1) złożenia przez kierownika komórki organizacyjnej, w której osoba pracuje, wniosku do administratora danych o wydanie wskazanej osobie upoważnienia do przetwarzania danych osobowych. Wzór wniosku określono w załączniku nr 2 do niniejszej instrukcji, 2) w przypadku osób przetwarzających dane osobowe, niebędących pracownikami urzędu (np. stażyści, praktykanci, serwisanci), wniosek składa kierownik komórki organizacyjnej, nadzorującej pracę tej osoby, 3) zapoznania się przez osobę ubiegającą się o dostęp do przetwarzania danych osobowych z przepisami ustawy, polityki bezpieczeństwa i instrukcji. Fakt ten potwierdzany jest pisemnym oświadczeniem, którego wzór określono w załączniku nr 3 do niniejszej instrukcji, 4) przeszkolenia osoby ubiegającej się o dostęp do przetwarzania danych osobowych przez administratora bezpieczeństwa z przepisów ustawy, przepisów wykonawczych wydanych na jej podstawie, niniejszej instrukcji oraz polityki bezpieczeństwa, 5) wydania przez administratora danych pisemnego upoważnienia do przetwarzania danych osobowych, którego wzór określono w załączniku nr 4 do niniejszej instrukcji, 6) rejestracji osoby w ewidencji, o której mowa w ust. 3 niniejszego paragrafu, 7) rejestracji użytkownika w systemie informatycznym. 5. Upoważnienie do przetwarzania danych osobowych jest przechowywane w aktach osobowych użytkownika, chyba że użytkownik nie jest pracownikiem urzędu. 6. Rejestracji użytkownika w systemie informatycznym dokonuje administrator systemu. Rejestracja użytkownika polega na nadaniu identyfikatora i przydzieleniu pierwotnego hasła oraz wprowadzeniu tych danych do bazy użytkowników systemu informatycznego. Bezpośredni dostęp do systemu informatycznego wykorzystywanego do przetwarzania danych osobowych użytkownik uzyskuje po podaniu identyfikatora i właściwego hasła. 4 1. Kierownik komórki organizacyjnej wnioskuje o cofnięcie upoważnienia do przetwarzania danych osobowych do administratora danych, w szczególności w przypadku: 1) rozwiązania lub wygaśnięcia stosunku pracy lub innego stosunku prawnego, w ramach
którego użytkownik świadczył pracę, 2) zmiany stanowiska pracy lub zmiany zakresu obowiązków służbowych użytkownika, 3) wszczęcie postępowania dyscyplinarnego względem użytkownika, 4) naruszenia przez użytkownika przepisów w zakresie ochrony danych osobowych. Wzór wniosku określono w załączniku nr 2 do niniejszej instrukcji. 2. Ustanie stosunku pracy jest równoznaczne z cofnięciem uprawnień do przetwarzania danych. 3. Wyrejestrowanie użytkownika z systemu informatycznego następuje po cofnięciu upoważnienia. 4. Wyrejestrowanie użytkownika polega na usunięciu danych użytkownika z bazy użytkowników oraz na unieważnieniu identyfikatora oraz jego hasła, a także wykreśleniu z ewidencji, o której mowa w 3 ust. 3 niniejszej instrukcji. 5. Czynności, o których mowa w ustępie 4 niniejszego paragrafu dokonuje administrator systemu na polecenie kierownika jednostki organizacyjnej lub administratora danych. 6. Wyrejestrowany użytkownik traci uprawnienia do przetwarzania danych osobowych. Identyfikator osoby, która utraciła uprawnienia i została wyrejestrowana ulega trwałemu usunięciu. Rozdział III. Metody i środki uwierzytelnienia oraz procedury związane z ich zarządzaniem i użytkowaniem 5 1. Główną metodą uwierzytelniania w systemie informatycznym urzędu jest system identyfikatorów i haseł. W celu zapewnienia wysokiego poziomu bezpieczeństwa system informatyczny jest skonfigurowany w sposób umożliwiający uwierzytelnianie dwustopniowe: 1) logowanie do systemu operacyjnego stacji roboczej - będące jednocześnie uzyskaniem dostępu do zasobów sieciowych danego użytkownika. Wersje systemu operacyjnego, które nie umożliwiają jednoczesnego dostępu do zasobów sieciowych użytkownika wymuszają konieczność zalogowania się do sieci lokalnej dopiero przy próbie uzyskania dostępu do tych zasobów, 2) logowanie do programu przetwarzającego dane osobowe - wymaga podania identyfikatora i hasła. 2. Podczas pierwszego uwierzytelnienia w systemie informatycznym użytkownik ma obowiązek zmiany hasła nadanego przez administratora systemu. Każdy użytkownik systemu jest zobowiązany przygotować dla siebie hasło dostępu do systemu informatycznego. 3. Dla zbioru Ewidencja dowodów osobistych stosowana jest metoda weryfikacji tożsamości użytkownika zbioru w formie karty chipowej. Proces uwierzytelnienia polega na zalogowaniu się
użytkownika (włożeniu karty chipowej), a następnie wpisaniu identyfikatora i hasła użytkownika. 4. W przypadku zagubienia hasła użytkownik zobowiązany jest niezwłocznie skontaktować się z administratorem systemu w celu uzyskania nowego hasła. 6 1. Hasło użytkownika powinno składać się z unikalnego zestawu co najmniej ośmiu znaków oraz zawierać małe i wielkie litery oraz cyfry lub znaki specjalne. 2. Programy służące do przetwarzania danych osobowych, są wyposażone w automatyczny mechanizm wymuszający zmianę hasła co 30 dni. 3. Zabrania się użytkownikom udostępniania swojego identyfikatora i hasła innym osobom. Hasło nie może być ujawnione nawet po jego zmianie. 4. Na czas zastępstwa administrator systemu aktywuje użytkownikowi zastępującemu dostęp do systemu informatycznego w zakresie wskazanym w upoważnieniu do przetwarzania danych osobowych. 5. W przypadku, gdy osoby nieuprawnione wejdą w posiadanie hasła dostępu do systemu informatycznego, należy niezwłocznie dokonać zmiany hasła oraz poinformować o tym fakcie administratora systemu. Rozdział IV. Procedury rozpoczęcia, zawieszenia i zakończenia pracy, przeznaczone dla użytkowników systemu 7 1. Przed rozpoczęciem pracy użytkownik zobowiązany jest przestrzegać procedur, które mają na celu sprawdzenie zabezpieczenia pomieszczenia, w którym przetwarzane są dane osobowe, swojego stanowiska pracy oraz stanu wyposażenia i sprzętu komputerowego, a w szczególności: 1) przed wejściem do pomieszczenia sprawdzić, czy na drzwiach i zamkach nie na śladów niepowołanego ich otwierania oraz sprawdzić stan okien, 2) sprawdzić stan sprzętu informatycznego oraz zamknięcie szafek i biurek, 3) po włączeniu komputera dokonać oceny jego pracy i stwierdzenia ewentualnych zmian, 4) po zalogowaniu się należy ocenić pracę systemu oraz fakt, czy zbiór danych osobowych nie uległ nieuprawnionym ingerencjom. 2. Rozpoczęcie pracy na stacji roboczej następuje po włączeniu komputera oraz uwierzytelnieniu zgodnie z zasadami określonymi w 5 niniejszej instrukcji. 3. W pomieszczeniu, w którym przetwarzane są dane osobowe, mogą znajdować się osoby postronne tylko za zgodą i w obecności użytkownika, administratora bezpieczeństwa,
administratora systemu lub administratora danych. 4. Przed osobami postronnymi należy chronić ekran monitora (ustawienie monitora powinno uniemożliwiać pogląd), wydruki leżące na biurkach oraz w otwartych szafach. 5. System operacyjny komputera powinien aktywować wygaszacz ekranu po 10 minutach od przerwania pracy na komputerze. Po wyłączeniu wygaszacza, użytkownik powinien ponownie zalogować się w systemie. 6. W przypadku opuszczenia stanowiska pracy użytkownik obowiązany jest wylogować się z systemu lub aktywować wygaszasz ekranu. 8 1. Zakończenie każdego dnia pracy na stacji roboczej następuje po prawidłowym wylogowaniu się użytkownika z programu służącego do przetwarzania danych osobowych i wyłączeniu komputera. 2. Przed opuszczeniem pokoju należy: 1) zniszczyć w niszczarce lub schować do zamykanych na klucz szaf wszelkie wykonane wydruki zawierające dane osobowe, 2) zabezpieczyć w zamykanych na klucz szafach wszelkie akta spraw oraz nośniki danych zawierające dane osobowe, 3) umieścić klucze do szaf w ustalonym, przeznaczonym do tego miejscu, 4) zamknąć okna. 3. Opuszczając pokój, należy zamknąć za sobą drzwi na klucz. Klucz od pokoju przechowywany jest w ustalonym, przeznaczonym do tego miejscu. 4. Po godzinach pracy administrator danych jest obowiązany zapewnić monitoring pomieszczeń, w których przetwarzane są dane osobowe. Rozdział V. Procedury tworzenia kopii zapasowych zbiorów danych osobowych i programów służących do ich przetwarzania oraz sposób, miejsce i okres ich przechowywania 9 1. W systemie informatycznym wykorzystującym technologię klient-serwer kopie zapasowe wykonywane są po stronie serwera przez administratora systemu. 2. Dostęp do kopii zapasowych ma tylko administrator systemu, administrator bezpieczeństwa oraz administrator danych. 3. Kopie zapasowe tworzy się na oddzielnych nośnikach informatycznych. 4. Kopie zapasowe tworzy się w cyklu dziennym. Kopia zawiera wszystkie zbiory danych
osobowych. 5. W celu zapewnienia poprawności wykonywanych kopii zapasowych, administrator systemu obowiązany jest co najmniej raz w tygodniu poddać testowi losowo wybraną kopię. Próba polega na odtworzeniu danych w warunkach testowych i sprawdzeniu, czy jest możliwość odczytania danych. 10 1. Kopie zapasowe umieszcza się na dysku przechowywanym w metalowej szafie ognioodpornej, znajdującej się w pokoju nr 7. Kopie zapasowe przechowywane są w opisanych katalogach, których nazwa zawiera datę wykonania kopii zapasowej. 2. Kopie zapasowe przechowuje się przez okres co najmniej 14 dni. 3. Nieaktualne kopie zapasowe są trwale usuwane tworząc miejsce dla przechowywania aktualnych kopii zapasowych. Rozdział VI. Sposób zabezpieczenia systemu informatycznego przed działalnością oprogramowania, którego celem jest uzyskanie nieuprawnionego dostępu do systemu informatycznego 11 1. Sprawdzanie obecności wirusów komputerowych w systemie informatycznym oraz ich usuwanie odbywa się przy wykorzystaniu oprogramowania zainstalowanego przez administratora systemu na serwerze i stacjach roboczych. 2. Oprogramowanie, o którym mowa w ust. 1 niniejszego paragrafu, sprawuje ciągły nadzór nad pracą systemu i jego zasobami oraz serwerem i stacjami roboczymi, w tym także pocztą elektroniczną, a także elektronicznymi nośnikami danych. 3. Niezależnie od ciągłego nadzoru, o którym mowa w ust. 2 niniejszego paragrafu, administrator systemu w uzasadnionych przypadkach może przeprowadzić pełną kontrolę obecności wirusów komputerowych w systemie oraz jego zasobach, jak również na serwerze i stacjach roboczych. 4. Do obowiązków administratora systemu należy bieżąca aktualizacja oprogramowania, o którym mowa w ust. 1 i 2 niniejszego paragrafu, oraz określenie częstotliwości automatycznych aktualizacji definicji wirusów, dokonywanych przez to oprogramowanie. 5. Użytkownik jest obowiązany niezwłocznie zawiadomić administratora systemu o pojawiających się komunikatach, wskazujących na wystąpienie zagrożenia wywołanego szkodliwym oprogramowaniem. 6. Na stacjach roboczych możliwy jest dostęp do Internetu, który realizowany jest przez centralną
zaporę sieciową oraz translację adresów NAT. Rozdział VII. Zasady i sposób odnotowywania wszystkich informacji o udostępnieniu danych osobowych 12 1. System służący do przetwarzania danych osobowych, z wyjątkiem systemów wskazanych w rozporządzeniu, powinien umożliwiać odnotowanie: 1) daty pierwszego wprowadzenia danych do systemu informatycznego, 2) identyfikatora użytkownika wprowadzającego dane, 3) źródła danych, w przypadku kiedy dane nie pochodzą od osób, których dotyczą, 4) informacji o odbiorcach, którym dane udostępniono oraz daty i zakresu udostępnienia tych danych odbiorcom, z wyjątkiem systemów służących do przetwarzania danych zawartych w zbiorach jawnych. 2. Udostępnienie danych wymaga pisemnego wniosku odbiorcy danych. 3. Dla każdej osoby, której dane są przetwarzane w systemie informatycznym, system ten pozwala na sporządzenie i wydrukowanie stosownego raportu dotyczącego informacji określonych w ust. 1 niniejszego paragrafu. Rozdział VIII. Procedury wykonywania przeglądów i konserwacji systemu informatycznego 13 1. Przeglądu i konserwacji systemu informatycznego dokonuje administrator systemu na bieżąco. 2. Przeglądu plików zawierających raport dotyczący działalności aplikacji, bądź systemu informatycznego (log systemowy) administrator systemu dokonuje każdorazowo w przypadku wystąpienia podejrzenia naruszenia zasad bezpieczeństwa. 3. Przeglądu i sprawdzenia poprawności zbiorów danych zawierających dane osobowe dokonuje użytkownik na bieżąco podczas wykonywania czynności służbowych. 4. Administrator systemu przeprowadza kontrole i testy systemu informatycznego, które powinny obejmować zarówno dostęp do zasobów tego systemu, jak i profile oraz uprawnienia poszczególnych użytkowników. Rozdział IX. Zmiany oraz naprawy urządzeń komputerowych i nośników informacji wykorzystywanych do przetwarzania danych osobowych oraz ich likwidacja
14 1. Wszelkie naprawy urządzeń komputerowych oraz zmiany w systemie informatycznym przeprowadzane są - o ile to możliwe i konieczne - przez administratora systemu. 2. Naprawy urządzeń komputerowych, nośników danych i zmiany w systemie informatycznym przeprowadzane przez serwisanta prowadzone są pod nadzorem administratora systemu w siedzibie urzędu lub, gdy jest to niezbędne poza urzędem, po uprzednim usunięciu danych w nich przetwarzanych. Jeżeli usunięcie danych nie jest możliwe, należy zabezpieczyć je przed skopiowaniem i podpisać umowę z firmą zewnętrzną wykonującą usługę serwisową, zobowiązującą do zachowania w tajemnicy danych osobowych, które mogą być przetwarzane w trakcie jej realizacji. 15 1. Jeśli nośnik danych (dysk, dyskietka, płyta lub inne) zostanie uszkodzony i nie można go odczytać ani usunąć z niego danych, lub jeżeli nośnik zostanie przeznaczony do likwidacji z innych przyczyn, należy go zniszczyć mechanicznie w niszczarce lub przekazać podmiotowi zewnętrznemu posiadającemu stosowne zezwolenia, w celu zniszczenia po podpisaniu odpowiednich umów. 2. Czynności określone w ust. 1 niniejszego paragrafu są wykonywane w obecności administratora bezpieczeństwa. Rozdział X. Postanowienia końcowe 16 Kierownicy komórek organizacyjnych, w których przetwarzane są dane osobowe są zobowiązani do nadzorowania ich ochrony oraz współpracy z administratorem bezpieczeństwa. 17 1. W sprawach nieuregulowanych niniejszą instrukcją należy stosować ustawę, rozporządzenie oraz inne powszechnie obowiązujące przepisy z zakresu ochrony danych osobowych, a także politykę bezpieczeństwa, instrukcje obsługi i zalecenia producentów aktualnie wykorzystywanych w urzędzie urządzeń i programów. 2. Użytkownik zobowiązany jest zapoznać się, przed przystąpieniem do przetwarzania danych, z niniejszą instrukcją, polityką bezpieczeństwa oraz złożyć na piśmie stosowne oświadczenie, potwierdzające znajomość ich treści. 3. Niezastosowanie się do procedur określonych w niniejszej instrukcji przez pracowników
upoważnionych do przetwarzania danych osobowych może być potraktowane jako ciężkie naruszenie obowiązków pracowniczych, skutkujące rozwiązaniem stosunku pracy bez wypowiedzenia na podstawie art. 52 kodeksu pracy.