2009-07-23 15:27:00 1) numeru ewidencyjnego nośnika,
2) rodzaju informacji zapisanych na nośniku,
3) nazwiska lub identyfikatora osoby, na której wniosek zapisano nośnik,
4) nazwiska lub identyfikatora osoby, która pierwotnie zapisała dane na nośniku, 5) daty pierwotnego zapisania danych na nośniku,
6) celu, w jakim dane te zostały zapisane,
7) nazwisk lub identyfikatorów osób, które odczytywały lub modyfikowały dane zapisane na nośniku oraz dat, kiedy operacje te miały miejsce,
8) miejsca przechowywania nośnika,
9) adnotacji o zniszczeniu nośnika lub zapisanych na nim danych.
§ 48 1. Nośniki przenośne (takie jak dyskietki, CD-ROMy itp.), na których przechowywane są dane osobowe podlegają ścisłej ewidencji i kontroli.
2. Każdy nośnik posiada numer ewidencyjny, postaci: DO - XXX - YYY, gdzie XXX oznacza nazwę komórki organizacyjnej, w której zapisano dane na nośniku, zaś YYY oznacza kolejny numer nośnika w tej komórce organizacyjnej.
§ 49 Administrator Bezpieczeństwa Informacji sprawuje kontrolę nad miejscem przechowywania nośników przenośnych zawierających dane osobowe oraz dostępem do nich pracowników Urzędu lub innych osób.
§ 50 Zapisanie danych osobowych na nośniku przenośnym może nastąpić tylko w sytuacji, gdy operacja taka jest uzasadniona, w szczególności ze względu na:
1. Tworzenie kopii zapasowych danych osobowych przetwarzanych w systemie informatycznym.
2. Przenoszenie danych osobowych, jeżeli przesyłanie ich z wykorzystaniem sieci informatycznych jest zbyt niebezpieczne, niemożliwe lub zbyt skomplikowane ze względów technicznych lub organizacyjnych.
§ 51 1. Nośnik przenośny może być wykorzystany do przenoszenia danych osobowych pod warunkiem zabezpieczenia go przed kradzieżą lub utratą.
2. Nośnik może być przekazywany tylko pomiędzy osobami upoważnionymi do przetwarzania danych osobowych.
3. Nośnik podlega szyfrowaniu, w szczególności gdy jest używany do przenoszenia danych osobowych poza terenem Urzędu.
4. W przypadkach uzasadnionych wynikami analizy ryzyka stosuje się podział danych pomiędzy kilka nośników w taki sposób, aby niemożliwe było odczytanie danych w sytuacji posiadania tylko jednego z nich.
5. Administrator Systemu zapewni odpowiednie mechanizmy techniczne pozwalające na właściwe zabezpieczenie nośników przenośnych.
2009-07-23 15:27:00
§ 52 Nośnik przenośny może znajdować się poza terenem Urzędu w sytuacji gdy:
1. Jest to kopia zapasowa, która zgodnie z obowiązującymi przepisami przechowuje się poza terenem Urzędu Gminy.
2. Jest on przenoszony, a charakter transportu wymaga, aby znalazł się poza terenem Urzędu Gminy .
3. Został on przekazany innemu podmiotowi, któremu Wójt Gminy jako Administrator Danych, był obowiązany lub uprawniony przekazać dane osobowe. Przekazanie nośnika innemu podmiotowi wymaga zgody Wójta Gminy z uwzględnieniem:
1) wskazania osoby przekazującej nośnik, 2) wskazania osoby odbierającej nośnik,
3) potwierdzenia faktu przekazania nośnika wraz z opisem jego zawartości. Za przechowywanie potwierdzeń przekazania nośnika odpowiada Administrator Systemu.
§ 53 1. Wydruki z danymi osobowymi oznaczane są numerami ewidencyjnymi w postaci DO - XXX - YYY, gdzie XXX oznacza nazwę komórki organizacyjnej Urzędu Gminy, w której stworzono wydruk, za YYY - kolejny numer wydruku stworzonego w tej komórce organizacyjnej.
2. Administrator Systemu prowadzi w systemie elektronicznym ewidencję wydruków danych osobowych ze szczególnym uwzględnieniem faktu przekazania wydruku poza teren Urzędu.
3. Ewidencja, o której mowa w ust. 2, winna obejmować:
1) numer ewidencyjny wydruku, 2) rodzaj informacji na wydruku,
3) nazwisko lub identyfikator osoby, która sporządziła wydruk, 4) datę pierwotnego zapisania danych na nośniku,
5) cel, w jakim wydruk został sporządzony, 6) miejsce przechowywania nośnika,
7) adnotację o przekazaniu wydruku poza teren Urzędu lub zniszczenia wydruku.
4. Ewidencja wydruków sporządzana jest w celu rozliczalności procesów przetwarzania informacji w systemie informatycznym przetwarzającym dane osobowe.
§ 54 1. Nośniki danych osobowych oraz wydruki powinny być przechowywane w zamkniętych szafkach wewnątrz obszaru przeznaczonego do przetwarzania danych osobowych i nie powinny być bez uzasadnionej potrzeby wynoszone poza ten obszar.
2. Przekazywanie nośników danych osobowych i wydruków poza teren Urzędu może odbywać się zgodnie z postanowieniami niniejszej Instrukcji i powszechnie obowiązującymi przepisami prawa.
§ 55 1. Kopie zapasowe przechowywane są na terenie Urzędu w sejfie zlokalizowanym w pomieszczeniu, w którym usytuowany jest serwer Urzędu Gminy Białowieża, przeznaczonym
2009-07-23 15:27:00 tylko i wyłącznie do przechowywania kopii zapasowych. Klucze od tego posiadaja Administrator Systemu.
§ 56 1. Jeżeli odrębne przepisy nie stanowią inaczej, w zależności od rodzaju przechowywanych informacji Administrator Bezpieczeństwa Informacji jest odpowiedzialny za indywidualne określenie wymaganego czasu przechowywania nośników danych osobowych, wydruków, jak również danych osobowych w systemie informatycznym.
2. Administrator Bezpieczeństwa Informacji okresowo publikuje listę rodzajów informacji wraz z wymaganym czasem przechowywania danych osobowych.
3. Lista, o której mowa w ust. 2, dystrybuowana jest wśród wszystkich pracowników upoważnionych do przetwarzania danych osobowych w systemie informatycznym.
4. W przypadku gdy informacje zawarte w wytworzonym dokumencie nie znajdują się na liście, o której mowa w ust. 2, lub istnieją wątpliwości co do ich zakwalifikowania, osoba, na której wniosek sporządzono dokument, zobowiązana jest zwrócić się w przeciągu 3 dni roboczych do Administratora Bezpieczeństwa Informacji celem określenia wymaganego czasu przechowywania dokumentu.
§ 57 1. Dane osobowe przechowywane na nośnikach przenośnych, jeżeli nie są dłużej potrzebne, podlegają procesowi bezpiecznego niszczenia.
2. Jeżeli charakter nośnika nie pozwala na usunięcie z niego danych, nośnik podlega trwałemu zniszczeniu.
3. Trwałe zniszczenie danych lub nośnika odbywa się na zlecenie osoby, na której wniosek nośnik zapisano, lub na zlecenie Administratora Bezpieczeństwa Informacji.
Rozdział VI
Sposób zabezpieczenia systemu informatycznego przed działalnością oprogramowania, którego celem jest uzyskanie nieuprawnionego dostępu do systemu informatycznego
§ 58 1. System informatyczny przetwarzający dane osobowe powinien być wyposażony w mechanizmy ochrony antywirusowej, o ile:
1) system operacyjny wykorzystywany do przetwarzania danych osobowych lub aplikacje biorące udział w ich przetwarzaniu są narażone na występowanie wirusów,
2) istnieje możliwość wprowadzenia do systemu informatycznego wirusów z zewnątrz - za pośrednictwem sieci informatycznej lub nośników przenośnych.
2. System informatyczny w Urzędzie Gminy chroniony jest przed działaniem wirusów komputerowych aktualnym oprogramowaniem antywirusowym aktualizowanym na bieżąco.
3. Sprawdzanie obecności wirusów komputerowych w systemie informatycznym oraz ich usuwanie odbywa się przy wykorzystaniu oprogramowania zainstalowanego na serwerach, stacjach roboczych oraz komputerach przenośnych przez Administratora Systemu.
4. Oprogramowanie, o którym mowa w ust. 3, sprawuje ciągły nadzór (ciągła praca w tle) nad pracą systemu i jego zasobami oraz serwerami i stacjami roboczymi.
2009-07-23 15:27:00 5. Niezależnie od nadzoru, o którym mowa w ust. 4, Administrator Systemu nie rzadziej niż raz na tydzień przeprowadza pełną kontrolę obecności wirusów komputerowych w systemie oraz jego zasobach, jak również w serwerach i stacjach roboczych.
6. Użytkownik jest obowiązany zawiadomić Administratora Systemu o pojawiających się komunikatach lub objawach, wskazujących na wystąpienie zagrożenia wywołanego wirusami komputerowymi.
7. W celu przeciwdziałania wirusom i atakom zainfekowanych plików system informatyczny będzie skanowany przez Administratora Systemu co 24 godziny pod kątem obecności w systemie wirusów i innych zagrożeń.
8. Dostęp do Internetu możliwy jest wyłącznie na stacjach roboczych i komputerach przenośnych, które są specjalnie chronione urządzeniem sprzętowym z wbudowanym programem Firewall i translacją adresów NAT.
§ 59 Mechanizmy ochrony antywirusowej wykorzystywane w systemie informatycznym przetwarzającym dane osobowe winny cechować się:
1. Możliwością analizy danych wprowadzanych do systemu informatycznego za pośrednictwem sieci informatycznej poprzez analizę ruchu sieciowego i/lub integracją z aplikacjami służącymi do wymiany danych przy pomocy sieci informatycznej.
2. Możliwością analizy nośników danych używanych do przenoszenia danych do systemu informatycznego.
3. Możliwością przeprowadzania analizy wybranych katalogów z zapisanymi plikami pod kątem istnienia zagrożenia ze strony wirusów.
4. Mechanizmowi pozwalającemu na centralne zarządzanie systemem antywirusowym.
5. Uaktualnianiem wzorców wirusów we wszystkich modułach systemu antywirusowego z jednego centralnego punktu.
6. Możliwością automatycznego uruchamiania się modułów analizujących zapisane dane pod kątem istnienia wirusów w zależności od czasu lub zaistniałego zdarzenia. Posiadaniem przez moduły systemu antywirusowego, w szczególności zainstalowane na stacjach roboczych użytkowników, cech uniemożliwiających wyłączenie ich funkcjonowania przez osobę inną niż upoważniona przez Administratora Bezpieczeństwa Informacji.
7. Zarówno lokalnym, jak i centralnym zapisem wyników analizy, w szczególności faktu wykrycia wirusa, jego specyfiki i usunięcia (o ile było ono możliwe).
§ 60 1. W celu zapewnienia ochrony antywirusowej Administrator Systemu jest odpowiedzialny za zarządzanie systemem wykrywającym i usuwającym wirusy i inne niebezpieczne kody.
2. System antywirusowy powinien być skonfigurowany w następujący sposób:
1) skanowanie dysków zawierających potencjalnie niebezpieczne kody przy włączeniu komputera lub raz dziennie,
2) skanowanie informacji przesyłanych do systemu informatycznego pod kątem pojawienia się niebezpiecznych kodów – na bieżąco.
2009-07-23 15:27:00 3. Administrator Systemu ponadto powinien wydzielić obszary przestrzeni dyskowej, w której przechowywane są dane w formacie niepodlegającym infekcji. Częstotliwość skanowania tych obszarów jest uzależniona od ich rozmiaru, w szczególności może być ona ograniczona do sprawdzenia, czy format występujących tam danych nie pozwala na ich zainfekowanie.
§ 61 Administrator Systemu jest odpowiedzialny za:
1. Instalację i konfigurację systemu antywirusowego na wszystkich elementach systemu informatycznego przetwarzającego dane osobowe, na których instalacja jest uzasadniona wynikami analizy ryzyka.
2. Analizę wyników działania systemu antywirusowego i reagowanie na fakt wykrycia wirusa poprzez:
1) określenie źródła infekcji,
2) usunięcie wirusa, o ile nie zostało automatycznie wykonane przez system antywirusowy, 3) podjęcie kroków minimalizujących ryzyko rozprzestrzeniania się wirusa,
4) podjęcie działań zmierzających do zapobieżenia tego rodzaju wypadkom w przyszłości.
3. Zarządzanie systemem antywirusowym, w tym określenie warunków działania systemu, aby zapewnić jego maksymalną efektywność przy jednoczesnej możliwie największej minimalizacji negatywnego wpływu działania systemu antywirusowego na korzystanie przez użytkowników z systemu antywirusowego.
§ 62 Systemy antywirusowe zainstalowane na stacjach roboczych powinny być skonfigurowane w następujący sposób:
1. Zablokowanie możliwości ingerencji użytkownika w ustawienia oprogramowania antywirusowego.
2. Możliwość centralnego uaktualniania wzorców wirusów.
3. Możliwość centralnego zbierania informacji o wynikach pracy oprogramowania.
4. Możliwość centralnej konfiguracji oprogramowania.
§ 63 1. Administrator Systemu jest odpowiedzialny za aktualizację bazę sygnatur wirusów.
2. System antywirusowy powinien być aktualizowany na podstawie materiałów publikowanych przez producenta oprogramowania.
§ 64 1. W przypadku wystąpienia infekcji i braku możliwości automatycznego usuwania wirusów przez system antywirusowy, Administrator Systemu winien podjąć działania zmierzające do usunięcia zagrożenia.
2. Działania, o których mowa w ust.1, w szczególności mogą obejmować:
1) usunięcie zainfekowanych plików, o ile jest to akceptowane ze względu na prawidłowe funkcjonowanie systemu informatycznego,
2009-07-23 15:27:00 2) odtworzenie plików z kopii zapasowych po uprzednim sprawdzeniu, czy dane zapisane na kopiach nie są zainfekowane,
3) samodzielną ingerencję w zawartość pliku - w zależności od posiadanych kwalifikacji lub skonsultowanie się z zewnętrznymi ekspertami.
Rozdział VII
Sposób realizacji wymogów, o których mowa w § 7 ust. 1 pkt 4 rozporządzenia
§ 65 1. System informatyczny przetwarzający dane osobowe posiada mechanizmy pozwalające na odnotowanie faktu wykonania operacji na danych.
2. Zapis, o którym mowa w ust.1, powinien w szczególności obejmować:
1) rozpoczęcie i zakończenie pracy przez użytkownika w systemie informatycznym, 2) operacje wykonywane na przetwarzanych danych, w szczególności:
a) odczyt, w tym odczyt danych statystycznych, b) dodanie,
c) modyfikację lub zapis, d) udostępnianie,
e) usunięcie.
3) przesyłanie danych przetwarzanych w systemie informatycznym innym użytkownikom lub podmiotom nie będących właścicielem ani współwłaścicielem systemu,
4) nieudane próby dostępu do systemu informatycznego przetwarzającego dane osobowe oraz nieudane próby wykonania operacji na danych osobowych przetwarzanych w systemie informatycznym,
5) błędy w działaniu systemu informatycznego podczas pracy danego użytkownika.
3. System informatyczny Administratora Danych umożliwia automatycznie:
1) przypisanie wprowadzanych danych użytkownikowi (identyfikatorowi użytkownika), który te dane wprowadza do systemu,
2) sygnalizacja wygaśnięcia czasu obowiązywania hasła dostępu do stacji roboczej (dotyczy to także komputerów przenośnych),
3) sporządzenie i wydrukowanie dla każdej osoby, której dane są przetwarzane w systemie, raportu zawierającego:
a) datę pierwszego wprowadzenia danych do systemu administratora danych, b) identyfikator użytkownika wprowadzającego te dane,
c) źródła danych – w przypadku zbierania danych nie od osoby, której one dotyczą, d) informacje o odbiorcach danych, którym dane osobowe zostały udostępnione, e) sprzeciwu, o którym mowa w art. 32 ust. 1 pkt 8 ustawy.
4. Odnotowanie informacji, o których mowa w ust.3 pkt 3, następuje automatycznie po
2009-07-23 15:27:00 zatwierdzeniu przez użytkownika operacji wprowadzenia danych.
5. Zapis działań użytkownika uwzględnia:
1) identyfikator użytkownika,
2) datę i czas, w którym zdarzenie miało miejsce, 3) rodzaj zdarzenia,
4) określenie informacji, których zdarzenie dotyczy (identyfikatory rekordów).
6. System informatyczny zapewnia zapis faktu przekazania danych osobowych z uwzględnieniem:
1) identyfikatora osoby, której dane dotyczą, 2) osoby przesyłającej dane,
3) odbiorcy danych,
4) zakresu przekazanych danych osobowych, 5) daty operacji,
6) sposobu przekazania danych.
§ 66 1. Administrator Bezpieczeństwa Informacji jest odpowiedzialny za określenie i przypisanie poszczególnym zdarzeniom stopnia krytyczności, odzwierciedlającego znaczenie operacji wykonanej przez użytkownika lub zaistniałego zdarzenia dla bezpieczeństwa