Załącznik nr 1 do Zarządzenia Dyrektora Publicznego Gimnazjum nr 1 im Jana Pawła II w Ząbkach Nr 9 /2015 z dnia 1.10.2015 Polityka Bezpieczeństwa przetwarzania danych osobowych w Publicznym Gimnazjum nr 1 im Jana Pawła II w Ząbkach Mając na względzie właściwe wykonywanie obowiązków administratora danych, określonych ustawą z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.) w celu zapewnienia ochrony przetwarzanych danych osobowych, Dyrektor Publiczego Gimnazjum nr 1 im Jana Pawła II w Ząbkach wdraża Politykę Bezpieczeństwa Przetwarzania Danych Osobowych w Publicznym Gimnazjum nr 1 im Jana Pawła II w Ząbkach (zwaną dalej Polityką Bezpieczeństwa ), zgodnie z wymogami Rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakimi powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. Nr 100, poz. 1024), Rozporządzenie Ministra Administracji i Cyfryzacji z dnia 10 grudnia 2014 r. w sprawie wzorów powołania i odwołania administratora bezpieczeństwa informacji (Dz.U z 2015 r. poz. 1934), Rozporządzenie Ministra Administracji i Cyfryzacji z dnia 11 maja 2015 r. w sprawie trybu i sposobu realizacji zadań w celu zapewnienia przestrzegania przepisów o ochronie danych przez administratora bezpieczeństwa informacji (Dz.U z 2015 r. poz. 745). I. OBSZAR, W KTÓRYM PRZETWARZANE SĄ DANE OSOBOWE. 1. Obszar przetwarzania danych osobowych stanowią budynki Publicznego Gimnazjum nr 1 im. Jana Pawła II w Ząbkach, w których wykonywane są operacje na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie z użyciem sprzętu komputerowego lub w formie kartotek, skorowidzów, ksiąg, wykazów i innych zbiorów ewidencyjnych. Wykaz pomieszczeń określa Załącznik A do niniejszej Polityki Bezpieczeństwa. 2. Pomieszczenia, w których przetwarzane są dane osobowe, powinny być zamykane na czas nieobecności w nich osób zatrudnionych, w sposób uniemożliwiający dostęp osób nieuprawnionych. Osoby postronne mogą przebywać wewnątrz wyżej wymienionego obszaru jedynie w obecności osoby upoważnionej do przetwarzania danych osobowych. W pomieszczeniach, w których przebywają 1
osoby postronne, monitory stanowisk dostępu powinny być ustawione w sposób uniemożliwiający wgląd w dane osobom nieuprawnionym. II. WYKAZ ZBIORÓW DANYCH OSOBOWYCH. Identyfikację zbiorów danych osobowych przetwarzanych w Publicznym Gimnazjum nr 1 im Jana Pawła II w Ząbkach wraz ze wskazaniem programów zastosowanych do ich przetwarzania zawiera Załącznik B do niniejszej Polityki Bezpieczeństwa. III. STRUKTURA ZBIORÓW DANYCH OSOBOWYCH. Opis struktury zbiorów danych wskazujący zawartość poszczególnych pól informacyjnych i powiązania między nimi zawiera Załącznik C do niniejszej Polityki Bezpieczeństwa. IV. SPOSÓB PRZEPŁYWU DANYCH POMIĘDZY POSZCZEGÓLNYMI SYSTEMAMI. Sposób współpracy pomiędzy różnymi systemami informatycznymi, stosowanymi w Publicznym Gimnazjum nr 1 im Jana Pawła II w Ząbkach określa Załącznik D do niniejszej Polityki Bezpieczeństwa. V. ŚRODKI TECHNICZNE I ORGANIZACYJNE NIEZBĘDNE DLA ZAPEWNIENIA BEZPIECZEŃSTWA PRZETWANYCH DANYCH. A. Środki ochrony fizycznej. 1. Budynek, w którym zlokalizowany jest obszar przetwarzania danych osobowych, jest wyposażony w system alarmowy. 2. Urządzenia służące do przetwarzania danych osobowych znajdują się w zamkniętych pomieszczeniach. B. Środki organizacyjne. 1. Nadzór nad przestrzeganiem zasad ochrony przetwarzanych danych osobowych sprawuje Dyrektor Publicznego Gimnazjum nr 1 im. Jana Pawła II w Ząbkach i wykonuje zadania administratora danych osobowych polegające na: 1) opracowaniu i aktualizacji Polityki Bezpieczeństwa ; 2) prowadzeniu wykazu zbiorów danych osobowych przetwarzanych w Publicznym Gimnazjum nr 1 i m Pawła II w Ząbkach 3) prowadzeniu ewidencji osób upoważnionych do przetwarzania danych osobowych, zgodnie z formularzem stanowiącym Załącznik E do niniejszej Polityki Bezpieczeństwa; 2
4) realizowaniu procedur związanych ze zgłaszaniem Generalnemu Inspektorowi Ochrony Danych Osobowych zbiorów danych osobowych podlegających rejestracji; 5) przeprowadzaniu szkoleń z zakresu ochrony danych osobowych dla osób upoważnionych do przetwarzania danych osobowych. 2. Administrator bezpieczeństwa informacji nadzoruje zabezpieczenie przetwarzanych danych osobowych przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem ustawy o ochronie danych osobowych oraz przed zmianą, utratą, uszkodzeniem lub zniszczeniem, a ponadto wykonuje zadania administratora danych osobowych polegające na: 1) opracowaniu i aktualizacji instrukcji zarządzania systemem informatycznym, służącym do przetwarzania danych osobowych; 2) dokonywaniu okresowej analizy zagrożeń dla bezpieczeństwa danych osobowych oraz wdrażaniu zmian w polityce bezpieczeństwa w celu zapewnienia właściwego poziomu ochrony przetwarzanych danych osobowych. 3. Do przetwarzania danych mogą być dopuszczeni pracownicy Publicznego Gimnazjum nr 1 im. Jana Pawła II w Ząbkach posiadający upoważnienie nadane przez Dyrektora Gimnazjum Wzór upoważnienia określa Załącznik F do niniejszej Polityki Bezpieczeństwa. 4. Osoby upoważnione do przetwarzania danych, składają pisemne oświadczenie o zachowaniu w tajemnicy tych danych oraz sposobów ich zabezpieczenia. Osoby te są przeszkolone w zakresie przepisów o ochronie danych osobowych oraz poinstruowane o konsekwencjach przetwarzania danych osobowych niezgodnie z przepisami. Wzór oświadczenia określa Załącznik G do niniejszej Polityki Bezpieczeństwa. 5. Tymczasowe wydruki z danymi osobowymi po ustaniu ich przydatności są niszczone w niszczarkach. 6. Procedury postępowania w sytuacji naruszenia ochrony danych osobowych zostały zdefiniowane w Instrukcji postępowania w sytuacji naruszenia ochrony danych osobowych w systemie informatycznym w Publicznym Gimnazjum nr 1 im. Jana Pawła II w Ząbkach zwanej w dalszym ciągu dokumentu instrukcją, stanowiącej Załącznik Nr H do niniejszej Polityki Bezpieczeństwa. 7. Opracowano Instrukcję zarządzania systemem informatycznym służącym do przetwarzania danych osobowych, która stanowi Załącznik Nr 2 3
Załącznik Nr A W Y K A Z pomieszczeń Publicznego Gimnazjum nr 1 im. Jana Pawła II w Ząbkach tworzących obszar, w którym są przetwarzane dane osobowe. L.p. Zbiór danych osobowych Adres Pomieszczenie 1. 2. 3. 4. 5. 6. 7. 8. 9. 10. 4
Załącznik B W Y K A Z ZBIORÓW DANYCH OSOBOWYCH PRZETWARZANYCH W Publicznym Gimnazjum nr 1 im Jana Pawła II w Ząbkach L.p. Zbiór danych osobowych Rodzaj systemu/programu Uwagi 1. 2. 3. 4. 5. 6. 7. 5
Załącznik C STRUKTURA ZBIORÓW DANYCH OSOBOWYCH PRZETWARZANYCH w Publicznym Gimnazjum nr 1 im Jana Pawła II w Ząbkach L.p. Zbiór danych osobowych Zawartość poszczególnych pól informacyjnych i powiązania między nimi 1. 2. 3. 4. 6
Załącznik Nr D SPOSÓB WSPÓŁPRACY POMIĘDZY RÓŻNYMI SYSTEMAMI INFORMATYCZNYMI, STOSOWANYMI W Publicznym Gimnazjum nr 1 im Jana Pawła II w Ząbkach L.p. Zbiór danych osobowych Rodzaj systemu/programu Sposób współpracy 7
Załącznik Nr E Ewidencja osób upoważnionych do przetwarzania danych osobowych w Publicznym Gimnazjum nr 1 im Jana Pawła Ii w Ząbkach L.p. Imię i nazwisko Zbiór danych osobowych Rodzaj systemu Data upoważnienia Uwagi 1. 2. 3. 4. 5. 6. 7. 8. 9. 10. 8
Załącznik Nr F Ząbki, dnia Pan/Pani zatrudniony/a w Publicznym Gimnazjum nr 1 w Ząbkach na stanowisku. UPOWAŻNIENIE Na podstawie art. 37 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.) u p o w a ż n i a m Pana/Panią do obsługi systemu informatycznego funkcjonującego w Publicznym Gimnazjum nr 1 im Jana Pawła II w Ząbkach oraz urządzeń wchodzących w jego skład, służących przetwarzaniu danych osobowych, w zakresie niezbędnym do wykonywania obowiązków służbowych, określonych w zakresie obowiązków z dnia Zgodnie z art. 39 ust. 2 ustawy o ochronie danych osobowych, ma Pan/Pani obowiązek zachować w tajemnicy dane osobowe oraz sposoby ich zabezpieczenia. Niniejsze upoważnienie: 1) zostało wydane na czas 2) może być w każdym czasie cofnięte, 3) wygasa z dniem rozwiązania stosunku pracy z upoważnionym pracownikiem. Otrzymuje:. 9
Załącznik Nr G w z ó r OŚWIADCZENIE Ja, niżej podpisany/a.. oświadczam, iż zostałe/am zaznajomiony/a z przepisami dotyczącymi ochrony danych osobowych oraz pouczony/a o obowiązku zachowania w tajemnicy informacji uzyskanych w trakcie dokonywania operacji związanych z przetwarzaniem danych osobowych, również po ustaniu zatrudnienia. (data i podpis pracownika) 10
Załącznik Nr H Instrukcja postępowania w sytuacji naruszenia ochrony danych osobowych w systemie informatycznym w Publicznym Gimnazjum nr 1 im Jana Pawła II I. Opis zdarzeń naruszających ochronę danych osobowych 1. Przypadki zakwalifikowane jako naruszenie lub uzasadnione podejrzenie naruszenia zabezpieczenia systemu informatycznego, w którym przetwarzane są dane osobowe to głównie: a) sytuacje losowe lub nieprzewidziane oddziaływanie czynników zewnętrznych na zasoby systemu jak np. wybuch gazu, pożar, zalanie pomieszczeń, katastrofa budowlana, napad, działania terrorystyczne, niepożądana ingerencja ekipy remontowej itp., b) niewłaściwe parametry środowiska, np. niewłaściwa wilgotność, temperatura, oddziaływanie pola elektromagnetycznego, wstrząsy lub wibracje, c) awaria sprzętu lub oprogramowania, które wyraźnie wskazują na umyślne działanie w kierunku naruszenia ochrony danych lub sabotaż, d) niewłaściwe działanie serwisu, w tym także pozostawienie serwisantów bez nadzoru, e) pojawienie się komunikatu alarmowego pochodzącego od części systemu zapewniającej ochronę zasobów lub innego komunikatu o podobnym znaczeniu, f) zła jakość danych w systemie lub inne odstępstwo od stanu oczekiwanego, wskazujące na zakłócenia systemu lub inną nadzwyczajną i niepożądaną modyfikację w systemie, g) naruszenie lub próba naruszenia integralności systemu lub bazy danych w tym systemie, h) stwierdzenie modyfikacji danych, próby ich modyfikacji lub zmiany w strukturze danych bez upoważnienia, i) stwierdzenie niedopuszczalnej manipulacji danymi osobowymi w systemie informatycznym, j) ujawnienie osobom nieupoważnionym danych osobowych lub objętych tajemnicą procedur ochrony przetwarzania lub innych chronionych elementów systemu zabezpieczeń, k) funkcjonowanie systemu lub jego sieci komputerowej wykazujące odstępstwa od założonego rytmu pracy, uprawdopodobniające przełamanie lub zaniechanie ochrony danych osobowych, np. praca przy komputerze lub w sieci osoby, która nie jest dopuszczona do jego obsługi, sygnał o uporczywym nieautoryzowanym logowaniu, itp., l) obecność w obszarze bezpieczeństwa osób postronnych bez dozoru pracowników zatrudnionych przy przetwarzaniu danych osobowych, m) ujawnienie istnienia nieautoryzowanych kont dostępu do danych lub tzw. bocznej furtki", itp., n) podmiana lub zniszczenie nośników z danymi osobowymi bez zachowania procedury; skasowanie lub skopiowanie danych osobowych w sposób niedozwolony, o) naruszenie dyscypliny pracy w zakresie przestrzegania procedur bezpieczeństwa informacji (np. niewylogowanie się przed opuszczeniem stanowiska pracy, pozostawienie wydrukowanych danych osobowych w drukarce czy w kserografie, niewykonanie w określonym terminie kopii bezpieczeństwa, itp.). 2. Za naruszenie ochrony danych uważa się również stwierdzone nieprawidłowości w zakresie zabezpieczenia fizycznego miejsc przetwarzania danych osobowych, np. pozostawienie otwartego 11
pomieszczenia w obszarze bezpieczeństwa; umożliwienie nieautoryzowanego dostępu do urządzeń archiwizujących itp. II. Postępowanie w przypadku naruszenia ochrony danych osobowych 3. W przypadku stwierdzenia naruszenia: a) zabezpieczenia systemu informatycznego, b) stanu urządzeń, c) zawartości zbioru danych osobowych, d) wynikającego z ujawnienia metody pracy lub sposobu działania programu, e) jakości transmisji danych w sieci telekomunikacyjnej mogącej wskazywać na naruszenie zabezpieczeń tych danych, f) innych zdarzeń mogących mieć wpływ na naruszenie danych osobowych (np. pożar itp.) g) każdy pracownik Publicznego Gimnazjum nr 1 im. Jana Pawła II w Ząbkach zatrudniony przy przetwarzaniu danych osobowych jest obowiązany niezwłocznie powiadomić o tym fakcie administratora systemu i administratora bezpieczeństwa informacji. 4. Pracownicy, którzy stwierdzili naruszenie ochrony danych osobowych, o których mowa w pkt. 4 i 5 w oczekiwaniu na przebycie administratora bezpieczeństwa informacji muszą: a) zastosować się do innych instrukcji i regulaminów, jeżeli odnoszą się one do zaistniałego przypadku, b) niezwłocznie podjąć czynności niezbędne dla powstrzymania niepożądanych skutków zaistniałego naruszenia, o ile istnieje taka możliwość, następnie uwzględnić w działaniu również ustalenie przyczyn lub sprawców, c) wstrzymać bieżącą pracę w celu zabezpieczenia miejsca zdarzenia, d) zaniechać, dalszych planowanych przedsięwzięć, które wiążą się z zaistniałym naruszeniem i mogą utrudnić jego udokumentowanie i analizę, e) podjąć inne działania przewidziane i określone w instrukcjach technicznych i technologicznych stosownie do objawów i komunikatów towarzyszących naruszeniu, f) udokumentować wstępnie zaistniałe naruszenie, g) nie opuszczać bez uzasadnionej potrzeby miejsca zdarzenia do czasu przybycia administratora bezpieczeństwa informacji lub osoby upoważnionej. 5. Administrator bezpieczeństwa informacji po przybyciu na miejsce naruszenia ochrony danych osobowych: a) zapoznaje się z zaistniałą sytuacją i dokonuje wyboru metody dalszego postępowania mając na uwadze wnioski z przeprowadzonych wcześniej symulacji zagrożeń oraz politykę bezpieczeństwa w tym zakresie, b) żąda dokładnej relacji z zaistniałego naruszenia od osoby powiadamiającej, jak również od każdej innej osoby, która może posiadać informacje związane z zaistniałym naruszeniem. 6. Administrator bezpieczeństwa informacji dokumentuje zaistniały przypadek naruszenia oraz sporządza raport, który powinien w szczególności zawierać: a) wskazanie osoby powiadamiającej o naruszeniu oraz innych osób zaangażowanych lub odpytanych w związku z naruszeniem, b) określenie czasu i miejsca naruszenia i powiadomienia, c) określenie rodzaju naruszenia i okoliczności towarzyszących, d) opis podjętego działania i metody postępowania, e) wstępną ocenę przyczyn wystąpienia naruszenia, f) ocenę przeprowadzonego postępowania wyjaśniającego i naprawczego. 12
7. Po wyczerpaniu niezbędnych środków doraźnych po zaistniałym naruszeniu administrator bezpieczeństwa informacji zasięga niezbędnych opinii i proponuje postępowanie naprawcze, w tym ustosunkowuje się do kwestii ewentualnego odtworzenia danych z zabezpieczeń oraz terminu wznowienia przetwarzania danych. 8. Zaistniałe naruszenie powinno stać się przedmiotem szczegółowej, zespołowej analizy z udziałem dyrektora szkoły, administratora bezpieczeństwa informacji i administratora systemu. 9. Analiza, o której mowa w pkt. 7, powinna zawierać wszechstronną ocenę zaistniałego naruszenia, wskazanie odpowiedzialnych, wnioski co do ewentualnych przedsięwzięć proceduralnych, organizacyjnych, kadrowych i technicznych, które powinny zapobiec podobnym naruszeniom w przyszłości. III. Postanowienia końcowe 10. Wobec osoby, która w przypadku naruszenia zabezpieczeń systemu informatycznego lub uzasadnionego domniemania takiego naruszenia nie podjęła działania określonego w niniejszej Instrukcji, a w szczególności nie powiadomiła odpowiedniej osoby zgodnie z określonymi zasadami, a także gdy nie zrealizowała stosownego działania dokumentującego ten przypadek, wszczyna się postępowanie dyscyplinarne. 11. Przypadki nieuzasadnionego zaniechania obowiązków wynikających z niniejszej procedury mogą być potraktowane jako ciężkie naruszenie obowiązków pracowniczych, w szczególności przez pracownika, który wobec naruszenia zabezpieczenia systemu informatycznego lub uzasadnionego domniemania takiego naruszenia nie powiadomił o tym administratora bezpieczeństwa informacji. 13