Zarządzenie Nr 137/06
Z A R Z Ą D Z E N I E N R 137/06
Wójta Gminy w Imielnie
z dnia 02 stycznia 2006 roku.
w sprawie: wprowadzenia „Instrukcji określającej sposób zarządzania systemem informatycznym służącym do przetwarzania danych osobowych w Urzędzie Gminy w Imielnie i jednostkach organizacyjnych Gminy Imielno”.
Na podstawie § 3 ust. 1 oraz § 5 rozporządzenia Ministra Spraw Wewnętrznych i Administracji z 29 kwietnia 2004r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. Nr 100, poz. 1024 z 2004r., zarządzam co następuje:
Wprowadzam „Instrukcję określającą sposób zarządzania systemem informatycznym służącym do przetwarzania danych osobowych w Urzędzie Gminy w Imielnie i jednostkach organizacyjnych Gminy Imielno” w brzmieniu określonym załącznikiem nr 1 do niniejszego zarządzenia.
Zobowiązuje się pracowników Urzędu Gminy Imielno i jednostek organizacyjnych Gminy Imielno do stosowania w/w Instrukcji.
Wykonanie zarządzenia powierza się Administratorowi Bezpieczeństwa Informacji.
Zarządzenie wchodzi w życie z dniem 2 stycznia 2006r.
Urząd Gminy w Imielnie i jednostki organizacyjne Gminy Imielno
INSTRUKCJA
Opracował; Administrator Bezpieczeństwa Informacji
Urząd Gminy w Imielnie i jednostki organizacyjne Gminy Imielno
__________________________________________________________________________________________
Rozdział I
Niniejsza instrukcja, (zwana dalej:
Instrukcja określa, w szczególności:
1) sposób przydziału haseł dla użytkowników i częstotliwości ich zmiany oraz wskazuje osobę odpowiedzialną za te czynności,
2) sposób rejestrowania i wyrejestrowania użytkowników oraz wskazuje osobę odpowiedzialną za te czynności,
3) procedury rozpoczęcia i zakończenia pracy,
4) metodę i częstotliwości tworzenia kopii awaryjnych,
5) metodę i częstotliwości sprawdzania obecności wirusów komputerowych oraz metodę ich usuwania,
6) sposób i czas przechowywania nośników informacji, w tym kopii informatycznych i wydruków,
7) sposób dokonywania przeglądów i konserwacji systemu i zbioru danych osobowych,
8) sposób postępowania w zakresie komunikacji w sieci komputerowej.
Następujące pojęcia użyte w instrukcji oznaczają:
·
·
·
·
·
·
·
·
Instrukcja ma na celu zapewnienie procedur i właściwych warunków zarządzania systemem informatycznym dla ochrony zgromadzonych tam danych, jak również jednolitych i bezpiecznych zasad korzystania z danych osobowych przetwarzanych w systemie informatycznym oraz w dokumentacji Urzędu Gminy Imielno i jednostkach organizacyjnych Gminy Imielno.
Realizację zamierzeń określonych w § 4 gwarantuje następująca strategia:
1) przeszkolenie użytkowników w zakresie ochrony danych osobowych oraz zaznajomienie z przepisami dotyczącymi ochrony danych osobowych,
2) korzystanie z oprogramowania systemowego i użytkowego spełniającego wysokie standardy,
3) wykorzystanie w systemie informatycznym zabezpieczeń gwarantujących nienaruszoną pracę systemu, w tym najnowszych wersji oprogramowania antywirusowego,
4) przypisane użytkownikom określonych atrybutów pozwalających na ich identyfikację /hasła i identyfikatory/,
5) ocena ewentualnych zagrożeń bezpieczeństwa systemu informatycznego i ryzyk związanych z jego obsługą,
6) wdrożenie zabezpieczeń o charakterze fizycznym pomieszczeń, stosowanie do zagrożeń i ryzyk wynikających z oceny, o której mowa w pkt. 5,
7) stałe monitorowanie wdrożonych zabezpieczeń w celu identyfikacji podatnych na zagrożenia obszarów i słabości zabezpieczeń,
8) okresowe sprawdzanie przestrzegania przez użytkowników wdrożonych metod postępowania przy przetwarzaniu danych osobowych oraz podejmowanie niezbędnych działań do likwidacji słabych ogniw w systemie zabezpieczeń.
1. W pomieszczeniach, w których znajduje się stacjonarny sprzęt komputerowy służący do eksploatowania na bieżąco zbioru danych osobowych, nie mogą być przechowywane kopie awaryjne.
2. Przebywanie wewnątrz pomieszczeń, o których mowa w ust. 1, osób nieuprawnionych do dostępu do danych osobowych jest dopuszczalne tylko za zgodą administratora danych lub w obecności osoby upoważnionej do przetwarzania danych osobowych.
3. Pomieszczenia, o których mowa w ust. 1, powinny być zamykane na czas nieobecności w nich osób upoważnionych, w sposób uniemożliwiający dostęp do nich osób trzecich.
Rozdział III
Mając na względzie, iż system informatyczny przetwarzający dane osobowe powinien być wyposażony w mechanizmy uwierzytelnienia użytkownika oraz kontroli dostępu do tych danych – dla każdej osoby upoważnionej ustalany jest odrębny identyfikator i hasło. Bezpośredni dostęp do danych osobowych przetwarzanych w systemie informatycznym może mieć miejsce wyłącznie po podaniu identyfikatora i właściwego hasła. Hasła dostępu i identyfikatory przyznawane są indywidualnie dla każdego z użytkowników i znane są tylko właścicielowi.
Identyfikator użytkownika:
1) jest niepowtarzalny;
2) po wyrejestrowaniu użytkownika z systemu informatycznego nie jest przydzielany innej osobie,
3) nie podlega zmianie, z wyjątkiem sytuacji, gdy zostanie ujawniony;
4) użytkownicy zobowiązani są do zachowania w tajemnicy ustalonych dla nich identyfikatorów,
5) jest wpisywany do ewidencji osób zatrudnionych przy przetwarzaniu danych wraz z imieniem i nazwiskiem użytkownika,
6) za ochronę identyfikatora odpowiada ABI.
Hasło użytkownika:
1) jest przydzielane indywidualnie dla każdego z użytkowników i znane tylko użytkownikowi, który się nim posługuje;
2) zostaje zmienione przy pierwszym zastosowaniu (zalogowaniu użytkownika) po przydzieleniu przez ABI;
3) nie jest zapisywane w systemie w postaci jawnej;
4) jest zmieniane raz na kwartał;
5) jest utrzymywane w tajemnicy, również po upływie jego ważności.
1. Osobą odpowiedzialną za sposób przydziału haseł dla użytkowników i częstotliwości ich zmiany jest ABI. ABI do prowadzenia rejestru użytkowników ich identyfikatorów i przydzielonych haseł może upoważnić pracownika.
2. Hasło ABI przechowywane jest w zapieczętowanej kopercie, w miejscu wyznaczonym przez administratora.
Przydziału i zmiany haseł dokonuje się w następujący sposób:
1) wymogiem niezbędnym jest przydział haseł alfanumerycznych skonstruowanych co najmniej z 6 (sześciu) znaków;
2) hasła są zmieniane przez każdego z użytkowników co najmniej raz na kwartał. System informatyczny „wymusza” zmianę haseł, informując o upływie ich ważności;
3) zachowując wymóg zmieniania haseł każdego z użytkowników co najmniej raz na kwartał hasła użytkowników nie mogą się powtarzać;
4) hasła nie mogą składać się z kombinacji znaków mogących prowadzić do odszyfrowania ich przez osoby trzecie (nieupoważnione);
5) niezależnie od wymogu zmieniania haseł każdego z użytkowników co najmniej raz na kwartał, hasło winno być zmienione przez użytkownika niezwłocznie w przypadku powzięcia podejrzenia lub stwierdzenia, że z hasłem mogły zapoznać się osoby trzecie.
1. Użytkownik odpowiedzialny jest za wszystkie czynności wykonywane przy użyciu hasła, którym się posługuje lub posługiwał.
2. Użytkownik obowiązany jest utrzymywać hasła, którymi się posługuje lub posługiwał, w ścisłej tajemnicy, co obejmuje, w szczególności dołożenie przez niego wszelkich starań w celu uniemożliwienia zapoznania się przez osoby trzecie z hasłem nawet po ustaniu jego ważności, czy też użycia hasła prze te osoby.
3. W przypadku powzięcia przez użytkownika podejrzenia lub stwierdzenia, że z hasłem mogły zapoznać się osoby trzecie, obowiązany jest on niezwłocznie zmienić hasło i powiadomić o tym ABI.
4. Naruszenie przez użytkownika postanowień ust. 2 lub 3 może stanowić podstawę dla pociągnięcia użytkownika do odpowiedzialności dyscyplinarnej, odszkodowawczej lub karnej w trybie i na zasadach przewidzianych przepisami prawa.
5. Użytkownicy obowiązani są utrzymywać hasła w tajemnicy również po upływie ich ważności.
Rozdział IV
1. Rejestracji i wyrejestrowywania użytkowników dokonuje ABI, który w imieniu Administratora Danych prowadzi ich ewidencję, w oparciu o gromadzone wnioski o przyznanie i/lub modyfikację uprawnień.
2. Jakakolwiek zmian w zakresie informacji zawartych w ewidencji podlega natychmiastowemu odnotowaniu.
Dana osoba jest rejestrowana w systemie informatycznym, jako użytkownik po spełnieniu następujących warunków:
1) uzyskaniu przez ABI – informacji koniecznych do zdefiniowania dla danej osoby jej profilu jako użytkownika oraz jej uprawnień. Informacji takich udziela osoba odpowiedzialna pod względem merytorycznym co do charakteru pracy danej osoby, mającej być użytkownikiem.
2) Uzyskaniu przez tę osobę – upoważnienia wydanego przez Administratora dopuszczającego daną osobę w zakresie w nim wskazanym, jako użytkownika, do obsługi systemu informatycznego oraz urządzeń wchodzących w jego skład, służących do przetwarzania danych.
Osoba upoważniona do dostępu i przetwarzania danych osobowych podpisuje oświadczenie o obowiązku zachowania danych w tajemnicy. Obowiązek ten trwa również po ustaniu zatrudnienia.
Upoważnienie, o którym mowa w § 14 oraz oświadczenie, o którym mowa w § 15 pracownik prowadzący sprawy kadrowe dołącza do akt osobowych pracownika.
1. Z chwilą zarejestrowania w systemie informatycznym, zgodnie z postanowieniami § 14, dana osoba jest informowana przez ABI o ustalonym dla niej identyfikatorze i konieczności posługiwania się hasłami.
2. Bez spełnienia wymogów wynikających z § 14, ABI nie może zarejestrować jakiejkolwiek osoby w systemie informatycznym.
1. Użytkownik jest wyrejestrowywany z sytemu informatycznego w każdym przypadku utarty przez niego uprawnień do dostępu do danych osobowych, co ma miejsce w przypadku:
· ustania zatrudnienia tego użytkownika – o czym informację ABI uzyskuje od pracownika prowadzącego sprawy kadrowe, bądź
· zmiany zakresów obowiązków tego użytkownika – o czym informację ABI uzyskuje od pracownika prowadzącego sprawy kadrowe lub bezpośredniego przełożonego użytkownika.
W przypadkach wskazanych w § 18 co do użytkownika, który utracił uprawnienia do dostępu do systemu informatycznego, ABI dokonuje niezwłocznie następujących czynności:
1) blokuje jego profil, co powoduje, że osoba ta nie ma możliwości „zalogowania się” do sieci lub aplikacji;
2) wyrejestrowuje jego identyfikator;
3) unieważnia jego hasło;
4) podejmuje inne stosowne działania w celu zapobieżenia dalszemu dostępowi tej osoby do danych osobowych w Urzędzie Gminy lub jednostkach organizacyjnych Gminy Imielno.
1. Identyfikator, który utracił ważność nie może być ponownie przydzielony innemu użytkownikowi.
2. ABI obowiązany jest gromadzić odrębnie identyfikatory, które utraciły ważność.
Przed przystąpieniem do pracy w systemie użytkownik obowiązany jest dokonać sprawdzenia stanu urządzeń komputerowych służących do przetwarzania danych osobowych oraz dokonać oględzin swojego stanowiska pracy, ze szczególnym uwzględnieniem czy nie zaszły okoliczności wskazujące na naruszenie ochrony danych osobowych.
1. Każdy użytkownik rozpoczynając pracę obowiązany jest „zalogować się” do systemu komputerowego posługując się swoim identyfikatorem i hasłem, dokładając jednocześnie szczególnej staranności w tym, aby przy tych czynnościach osoby trzecie nie powzięły wiadomości o treści używanego przez niego hasła. Następnie po podaniu dodatkowego hasła użytkownik ma możliwość „zalogowania się” do aplikacji zawierających dane osobowe.
2. Bez wykonania procedury opisanej w ust. 1 jakakolwiek praca w systemie komputerowym nie jest możliwa.
1. Maksymalna ilość prób wprowadzenia hasła przy logowaniu się do systemu wynosi 3 (trzy).
2. Po przekroczeniu liczby prób logowania system blokuje dostęp do zbioru danych na poziomie danego użytkownika.
3. Użytkownik informuje ABI o zablokowaniu dostępu do zbioru danych.
4. ABI ustala przyczyny zablokowania systemu oraz, zależności od zaistniałej sytuacji, podejmuje odpowiednie działania.
1. W przypadku bezczynności użytkownika na komputerze stacjonarnym przez okres dłuższy niż 5 minut automatycznie włączany jest wygaszacz ekranu.
2. Wygaszacze ekranu powinny być zaopatrzone w hasła. Regulacje odnoszące się do haseł używanych przez użytkownika przy logowaniu, stosuje się odpowiednio do haseł wygaszacza.
3. Przed opuszczeniem miejsca pracy, użytkownik obowiązany jest poczekać aż zaktywizuje się wygaszacz samemu zaktywizować wygaszacz lub w inny sposób zablokować stacje roboczą.
4. W przypadku, gdy przerwa w pracy trwa dłuższy okres, oraz kończąc pracę użytkownik obowiązany jest „wylogować się” z aplikacji i systemu komputerowego. Sprawdzić czy nie zostały pozostawione bez zamknięcia nośniki informacji. Opuszczając stanowisko użytkownik zamyka używane przez niego szafy i pomieszczenia, w których przechowuję się dokumentację i nośniki informacji.
W przypadku zauważenia przez użytkownika naruszenia zabezpieczenia systemu informatycznego, zauważenia, że stan urządzenia, wartość zbioru danych osobowych, ujawnione metody pracy, sposób działania programu lub jakość komunikacji w sieci telekomunikacyjnej mogą wskazywać na naruszenie zabezpieczeń danych osobowych, użytkownik ten obowiązany jest niezwłocznie poinformować o tym fakcie swojego przełożonego.
Tworzenie, przechowywanie i likwidację kopii bezpieczeństwa regulują szczegółowe instrukcje operacyjne dla poszczególnych aplikacji i systemów przetwarzania oraz specyficzne akty prawne (w zależności od rodzaju organizacji np. Ustawa o rachunkowości).
Wydruki komputerowe z systemu zawierające dane osobowe są:
1. Sporządzane jedynie dla celów operacyjnych.
2. Odpowiednio opisane i oznakowane.
3. Elementem archiwum papierowego i podlegają zasadom dotyczącym przetwarzania danych osobowych w systemie archiwum papierowego.
4. Przechowywane są w odpowiednich szafach i używane do celów operacyjnych przez określony czas wykorzystywania.
Wszyscy pracownicy zobowiązani są przestrzegać terminów sporządzania kopii zapasowych oraz okresowo dokonywać kontroli możliwości odczytu danych zapisanych na tych kopiach.
Kopie awaryjne są:
1) tworzone na odpowiednio opisanych oznakowanych nośnikach magnetycznych,
2) raz w miesiącu sprawdzane pod kątem ich dalszej przydatności do odtworzenia danych w przypadku awarii systemu informatycznego,
3) przechowywanie w innych pomieszczeniach niż zbiory danych osobowych eksploatowane na bieżąco,
4) kopie zapasowe są przechowywane w szafie zamykanej na klucz, sejfie lub innym miejscu odpowiednio zabezpieczonym, do którego mogą mieć dostęp wyłącznie osoby upoważnione przez administratora.
1. Kopiowanie danych osobowych na nośniki informacji i robienie wydruków tych danych jest zabronione, chyba że konieczność ich sporządzenia wynika z nałożonego na użytkownika zakresu obowiązku i jest uzasadnioną potrzebą ich wykonana oraz dozwolona przepisami prawa.
2. Wykorzystywanie nośników informacji lub wydruków w innym celu niż wskazany w ust. 1 jest zakazane.
1. Kopie zapasowe po ustaniu ich użyteczności są bezzwłocznie usuwane.
2. Kopie dzienne kasowane są po 1 tygodniu.
3. Kopie tygodniowe kasowane są po 1 miesiącu.
4. Kopie miesięczne nie są niszczone.
5. Kopie zapasowe, które uległy uszkodzeniu podlegają natychmiastowemu zniszczeniu.
6. Niszczenia kopii zapasowych na nośnikach magnetycznych, dokonuje Administrator Bezpieczeństwa Informacji lub upoważniona przez niego osoba.
7. Z nośników magnetycznych dane należy usunąć w sposób uniemożliwiający ich odczytanie, a w przypadku gdy usunięcie danych nie jest możliwe, nośniki podlegają zniszczeniu w stopniu uniemożliwiającym dostęp do zawartych na nich danych.
8. Z nośników podlegających zniszczeniu nie wolno sporządzać wydruków.
9. Jeżeli dysk twardy jest uszkodzony i nie ma możliwości skasowania z niego danych osobowych należy wymontować go z komputera i fizycznie zniszczyć.
10. Likwidacji wydruków dokonuje się przy użyciu przeznaczonych do tego celu urządzeń (np. niszczarek).
11. Urządzenia, dyski lub inne informatyczne nośniki informacji, zawierające dane osobowe, przeznaczone do likwidacji, pozbawia się wcześniej zapisu tych danych, a w przypadku gdy nie jest to możliwe, uszkadza się w sposób uniemożliwiający ich odczytanie, czego dokonać można w szczególności poprzez zniszczenie ich w sposób trwały, tj. przez ich mechaniczne zniszczenie.
12. Urządzenia, dyski lub inne informatyczne nośniki, zawierające dane osobowe, przeznaczone do przekazania innemu podmiotowi, nieuprawnionemu do otrzymania danych osobowych, pozbawia się zapisu tych danych.
13. Trwałego zniszczenia zbędnych nośników informacji i wydruków komputerowych dokonuje się na bieżąco w czasie pracy, nie później jednak niż przed opuszczeniem stanowiska pracy.
Na bieżące i bezpośrednie sprawdzanie obecności wirusów komputerowych pozwala oprogramowanie automatycznie monitorujące występowanie wirusów w trakcie załączania, wczytywania danych z zewnętrznych nośników informacji lub poprzez sieć wewnętrzną.
1. Nadzór nad instalowaniem nowego oprogramowania antywirusowego oraz nad bieżącą jego aktualizacją sprawują wyznaczone przez Administratora osoby.
1. O każdorazowym wykryciu wirusa przez oprogramowanie monitorujące użytkownik obowiązany jest niezwłocznie poinformować swojego przełożonego.
2. W razie niemożności usunięcia wirusa, ABI ma obowiązek niezwłocznego przedstawienia administratorowi lub wyznaczonej przez niego osobie, propozycji działań zaradczych.
3. W sytuacji korzystania z usług specjalistów zewnętrznych należy podjąć działania uniemożliwiające tym osobom dostęp do danych osobowych. Osoby te mogą dokonywać operacji na „zainfekowanym” komputerze wyłącznie pod opieką ABI lub upoważnionej przez niego osoby.
1. Po usunięciu wirusa ABI sprawdza system informatyczny oraz przywraca go do pełnej funkcjonalności i sprawności.
2. ABI – jeżeli zachodzi taka konieczność – wnioskuje do Administratora o zakup nowego programu antywirusowego.
3. ABI prowadzi rejestr przypadków zainfekowania komputerów i nośników wykorzystywanych do przetwarzania danych osobowych w systemie.
4. Procedura wyrażona w paragrafach powyższego niniejszego rozdziału ma odpowiednie zastosowanie także do przypadków awarii systemu spowodowanych błędem programu bądź użytkowników.
Rozdział VIII
1. Ekrany monitorów ustawione są do wewnątrz pomieszczeń wydzielonych do przetwarzania danych osobowych, w taki sposób, by uniemożliwić wgląd lub spisanie zawartości aktualnie wyświetlanej na ekranie monitora.
2. Programy zainstalowane na komputerach stacjonarnych i przenośnych
obsługujących przetwarzanie danych osobowych użytkowane są zachowaniem praw autorskich i posiadają licencje.
3. Decyzję o instalacji oprogramowania systemowego oraz oprogramowania użytkowego obsługującego przetwarzanie danych osobowych, podejmuje Administrator.
4. Używanie sprzętu komputerowego przez użytkownika w trakcie przetwarzania danych osobowych do innych celów jest zabronione.
1. Drzwi wejściowe do pomieszczeń, pomieszczeń w których w których są dane osobowe powinny być zabezpieczone.
1. Stały dostęp do pomieszczeń mają tylko użytkownicy oraz pracownicy upoważnieni przez Administratora.
2. Osoby trzecie mogą przebywać w tych pomieszczeniach wyłącznie w obecności co najmniej jednego upoważnionego użytkownika.
3. W trakcie prac technicznych wykonywanych przez osoby trzecie, przetwarzanie danych osobowych na wydzielonych stanowiskach jest zabronione, a sprzęt komputerowy musi być wyłączony.
1. Przeglądy i konserwacje sprzętu komputerowego dokonuje się w miarę potrzeb wynikających z obciążenia sprzętu komputerowego, warunków zewnętrznych w których eksploatowane są dane urządzenia oraz ważności sprzętu dla funkcjonowania całości systemu informatycznego.
1. Prace dotyczące przeglądów, konserwacji i napraw wymagające autoryzowanych firm zewnętrznych, są wykonywane przez uprawnionych przedstawicieli tych firm (serwisantów) pod nadzorem ABI lub upoważnionej przez niego osoby, bez możliwości dostępu do danych osobowych.
2. W wypadku konieczności dostępu do danych osobowych przez serwisantów, podpisują oni oświadczenie o zachowaniu tajemnicy (zgodnie z art. 39 Ustawy o ochronie danych osobowych).
3. Urządzenia, dyski lub inne informatyczne nośniki informacji, przeznaczone do napraw, gdzie wymagane jest zaangażowanie autoryzowanych podmiotów zewnętrznych, pozbawia się przed naprawą zapisu tych danych albo naprawia się je pod nadzorem osoby upoważnionej przez ABI lub upoważnionej przez niego osoby.
Rozdział X
1. Komunikacja w sieci komputerowej jest dozwolona jedynie po właściwym zalogowaniu i podaniu własnego hasła użytkownika.
2. Wprowadzenie do systemu informatycznego informacji z zewnątrz, w tym danych osobowych, jest dopuszczalne tylko przy stwierdzeniu legalności i wiarygodności źródeł informacji i tylko przez użytkownika w zakresie jego obowiązków i wynikających z nich uprawnień.
3. Konfiguracja systemu informatycznego jest dokonywana wyłącznie przez Administratora Danych lub upoważnione przez niego osoby.
4. Jakiekolwiek zmiany konfiguracji systemu informatycznego są protokołowane przez Administratora Danych lub upoważnionej przez niego osoby.
5. W celu uniemożliwienia niekontrolowanej wymiany informacji, w tym danych osobowych, lub modyfikacji systemu informatycznego zapewniona jest maksymalna konfiguracja komputerowych stanowisk pracy.
6. Pliki zawierające dane osobowe powinny znajdować się jedynie na serwerach, gdzie podlegają ochronie przez mechanizmy bezpieczeństwa systemu operacyjnego (np. uwierzytelnienie).
7. Na stacjach roboczych użytkowników dane osobowe nie są przechowywane.
8. Nieuzasadnione kopiowanie przez użytkowników, plików z serwerów na stacje robocze użytkowników, dyskietki i inne nośniki jest zabronione.
9. Wszelkie pliki z danymi osobowymi przesyłane na zewnątrz przez łącza publiczne muszą być zaszyfrowane bądź chronione hasłem.
Rozdział XI
1. Do czasu przybycia ABI zgłaszający:
· zabezpiecza dostęp do miejsca naruszenia ochrony lub urządzenia przez osoby trzecie,
· wstrzymuje pracę na komputerze, na którym zaistniało naruszenie ochrony oraz nie uruchamia bez koniecznej potrzeby komputerów i innych urządzeń, które w związku z naruszeniem ochrony zostały wstrzymane,
· nie zmienia położenia przedmiotów, które pozwalają stwierdzić naruszenie ochrony lub odtworzyć jego okoliczności,
· podejmuje, stosownie do zaistniałej sytuacji, inne niezbędne działania celem zapobieżenia dalszym zagrożeniom, które mogą skutkować utratą danych osobowych.
2. Zgodę na uruchomienie komputerów i innych urządzeń wyraża ABI.
3. Po zaistnieniu okoliczności wskazujących na naruszenie ochrony, osoba zatrudniona przy przetwarzaniu danych może kontynuować pracę dopiero po otrzymaniu zgody ABI.
4. Dokonywanie zmian w miejscu naruszenia ochrony bez uzyskania zgody, o której mowa w pkt. 3 jest dopuszczalne, jeżeli zachodzi konieczność ratowania osób lub mienia albo zapobieżenia grożącemu niebezpieczeństwu.
5. Okoliczności i przyczyny naruszeń ochrony ustala zespół, w którego skład wchodzi ABI oraz pracownik obsługujący stanowisko pracy, na którym nastąpiło naruszenie ochrony.
6. Niezwłocznie po otrzymaniu wiadomości o naruszeniu ochrony zespół, o którym mowa w pkt. 5, przystępuję do ustalenia okoliczności i przyczyn tego naruszenia, a w szczególności:
· dokonuje oględzin miejsca naruszenia, bądź urządzenia, w którym wykryto naruszenie oraz bada inne okoliczności, które mogły mieć wpływ na powstanie naruszenia ochrony;
· wysłuchuje relacji osób, które mogą wnieść nowe fakty dla wyjaśnienia sytuacji;
· jeżeli jest to konieczne, sporządza szkic lub wykonuje fotografie miejsca naruszenia ochrony;
· podejmuje decyzje o toku dalszego postępowania, stosownie do zakresu naruszenia lub zasadności podejrzenia naruszenia ochrony i w przypadkach uzasadnionych niezwłocznie powiadamia administratora lub osoby jego zastępującej;
7. Zespół, o którym mowa w pkt. 5 sporządza protokół oględzin, który stanowi podstawę do:
· ustalenia skali stwierdzonych naruszeń ochrony, przyczyn ich powstania, skutków, jakie wywołują lub mogą wywołać, w odniesieniu do stanu zabezpieczenia danych osobowych lub ich zbiorów w Urzędzie Gminy lub jednostkach organizacyjnych Gminy;
· wyciągnięcia wniosków, zwłaszcza co do podjęcia określonych działań organizacyjnych i technicznych.
8. Protokół oględzin, o którym mowa w pkt. 7, zespół, o którym mowa w pkt. 7, przedstawia kierownikowi jednostki, który podejmuje decyzję o koniecznych działaniach organizacyjnych i technicznych.
9. ABI w przypadkach określonych w Instrukcji podejmuje kroki zmierzające do likwidacji naruszeń ochrony i zapobieżenia wystąpieniu ich w przyszłości.
10. W tym celu:
§ w miarę możliwości przywraca stan zgodny z zasadami zabezpieczenia systemu;
§ relacjonuje (kierownikowi jednostki) przedsięwzięte czynności;
§ o ile taka potrzeba zachodzi, postuluje wprowadzenie nowych form zabezpieczenia systemu, a w razie ich wprowadzenia zaznajamia z nimi osoby zatrudnione przy przetwarzaniu danych.
Rozdział XII
Osoba zatrudniona przy przetwarzaniu danych osobowych za naruszenie obowiązków wynikających z niniejszej Instrukcji i przepisów o ochronie danych osobowych ponosi odpowiedzialność przewidzianą Kodeksem Pracy oraz wynikającą z ustawy, o której mowa w § 44 Instrukcji.
w sprawach nie uregulowanych Instrukcją zastosowanie mają przepisy ustawy z dnia 29 sierpnia 1997r. o ochronie danych osobowych (Dz. U. Nr 133, poz. 883 z późn. zm.).