instrukcja zarządzania systemami – Sylwia Czub bloguje o danych osobowych

20 lut

Czym jest System Zarządzania Bezpieczeństwem Informacji (SZBI)?

Pojęć związanych z bezpieczeństwem informacji jest bardzo dużo, a nim głębiej w las, tym ciemniej. Ja sama na początku miałam problem, żeby połapać się w tym co jest czym, co być musi, co być może, a co być powinno (mimo że nie musi).

Fundamentalnym jest System Zarządzania Bezpieczeństwem Informacji, czyli strategia działania w zakresie zapewniania właściwej ochrony informacji poufnych. Strategia ma zapewnić ciągłe doskonalenie podjętych działań i procedur w celu optymalizacji ryzyk związanych z naruszeniem poufności. Mówiąc krótko, na SZBI składają się wszystkie procedury, polityki, regulaminy i instrukcje bezpieczeństwa informacji, które wdrożyliśmy w naszej jednostce organizacyjnej. Read More →

20 lip

Pomagam stworzyć politykę bezpieczeństwa i instrukcję zarządzania systemem informatycznym

Domyślam się, że niektórzy mogą odebrać to negatywnie, ale postanowiłam wprowadzić symboliczną opłatę za sprawdzanie dokumentacji bezpieczeństwa. Długo nosiłam się z tą decyzją, ale liczba przesyłanych przez Was dokumentów sięga kilkunastu tygodniowo i od kilku tygodni nie robię nic innego, tylko sprawdzam i sprawdzam 🙂

Doszłam do wniosku, że najwyższa pora zacząć cenić swój czas. Mam nadzieję, że wykażecie zrozumienie dla mojej decyzji. Tym bardziej, że doświadczenie pokazuje, że na podstawie zmian, które Wam podpowiadam oraz uwag co jest źle, większość z Was potrafi poprawić dokumentację do stanu idealnego 🙂

Zapraszam do zapoznania się ze szczegółami oferty w zakładce ZAMÓW DOKUMENTACJĘ BEZPIECZEŃSTWA

25 maj

Instrukcja zarządzania: Stosowane metody i środki uwierzytelniania

Pełny tytuł do zastosowania w Instrukcji: Stosowane metody i środki uwierzytelniania oraz procedury związane z ich zarządzaniem i użytkowanie.

Należy określić:

1. Kto odpowiada za przydzielanie i zmienianie haseł użytkownikom.

Na przykład uprawnienia do systemu są nadawane przez dyrektora bezpośrednio na upoważnieniu, którego kopia jest przekazywana do ASI. Na podstawie upoważnienia do przetwarzania danych osobowych ASI nadaje uprawnienia (login i pierwsze hasło).

2. Jakie są wymagania dotyczące złożoności hasła.

Co do zasady hasło nie może być krótsze niż osiem znaków, powinno zawierać małe i duże litery oraz cyfry lub znaki specjalne (musi zawierać 3 spośród 4 wymienionych elementów).

3. Jak często należy zmieniać hasło. Read More →

17 maj

Czy dokumentacja bezpieczeństwa informacji stanowi informację publiczną?

Wiele podmiotów publicznych publikuje na swoich stronach internetowych politykę bezpieczeństwa oraz instrukcję zarządzania systemem informatycznym. Często uzasadniają to koniecznością upublicznienia dokumentacji bezpieczeństwa, jako informacji publicznej. Czy rzeczywiście jest to informacja publiczna? I w szczególności czy odmówienie wglądu w dokumentację może skutkować negatywnymi konsekwencjami dla jednostki publicznej?

Ustawa o dostępie do informacji publicznej określa, że każda informacja o sprawach publicznych stanowi informację publiczną w rozumieniu ustawy i podlega udostępnieniu (…)

Instrukcja zarządzania systemami informatycznymi: procedury nadawania uprawnień

Procedury nadawania uprawnień do przetwarzania danych i rejestrowania tych uprawnień w systemie informatycznym bardzo często są mylone z procedurą upoważniania do przetwarzania danych osobowych. Wynika to z faktu mylenia pojęć osoby upoważnionej oraz użytkownika. Na wstępie przypomnę, że użytkownik to osoba upoważniona do przetwarzania danych osobowych, która (dodatkowo) otrzymała uprawnienia do przetwarzania danych w formie elektronicznej w systemie informatycznym. Czyli nie każda osoba upoważniona będzie użytkownikiem, za to każdy użytkownik jest jednocześnie osobą upoważnioną. Read More →

22 lis

Czy nowy ABI musi tworzyć dokumentację od nowa?

Pytanie od Pana Dominika;

Jestem nowo powołanym ABI. Moja firma posiada dokumentację przetwarzania danych osobowych, przygotowaną przez firmę, która wcześniej pełniła tę rolę. Czy powinienem napisać politykę i instrukcję od nowa, czy mogę zostawić stare?

Administrator Bezpieczeństwa Informacji ma obowiązek czuwać nad aktualnością dokumentacji przetwarzania danych osobowych oraz stosowaniem jej na co dzień w instytucji. Jeżeli stworzona już dokumentacja jest zgodna z rozporządzeniem, to nie ma potrzeby tworzyć ją od nowa. Read More →

12 paź

Potrzebujesz pomocy przy tworzeniu polityki bezpieczeństwa?

Jeżeli macie Państwo problemy z przygotowaniem dokumentacji przetwarzania danych osobowych (polityki bezpieczeństwa, instrukcji zarządzania systemami informatycznymi), mogę zaproponować wsparcie na trzech poziomach:

– sprawdzenie bieżącej dokumentacji z naniesieniem uwag i poprawek

– stworzenie dokumentacji od podstaw (na podstawie przesłanych informacji lub po wykonanym wcześniej audycie bezpieczeństwa)

– zgłaszanie/aktualizacja zbiorów danych osobowych w GIODO

Chciałabym podkreślić, że nie przesyłam gotowych wzorów dokumentów. Każda dokumentacja jest przygotowywana indywidualnie przy dużym udziale klienta, który musi udzielić wielu informacji i współpracować na każdym etapie tworzenia dokumentów.

Spodobał Ci się ten wpis? Masz jeszcze jakieś pytania? A może potrzebujesz pomocy przy danych osobowych? Pomogłam już wielu, pomogę i Tobie!

Napisz do mnie

06 lip

Czy instrukcja zarządzania systemami informatycznymi może być załącznikiem do polityki bezpieczeństwa?

Pytanie od Pani Agnieszki:

Czy Instrukcję Zarządzania Systemem Informatycznym lepiej opracować jako odrębne zarządzenie, czy zrobić to jako załącznik do Polityki Bezpieczeństwa?

Przepisy wymagają, żeby instrukcja i polityka były dwoma odrębnymi dokumentami.

§ 3. 1. Na dokumentację, o której mowa w § 1 pkt 1, składa się polityka bezpieczeństwa i instrukcja zarządzania systemem informatycznym służącym do przetwarzania danych osobowych, zwana dalej „instrukcją”.

27 cze

Co powinna zawierać Instrukcja Zarządzania Systemami Informatycznymi?

Każdy administrator danych jest zobowiązany przygotować dokumentację opisującą sposób przetwarzania danych osobowych oraz środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną. Na tę dokumentację składają się polityka bezpieczeństwa danych osobowych oraz instrukcja zarządzania systemami informatycznymi.

Rozporządzenie w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy służące do przetwarzania danych osobowych w szczegółowy sposób określa zawartość instrukcji (jest to właściwie gotowy spis treści):

Czy trzeba ująć w polityce bezpieczeństwa informację o przetwarzaniu danych poza biblioteką, np. w urzędzie gminy?

Pytanie od Pani Agnieszki:

Chciałam zapytać o system rejestracji zbiorów w GIODO i Instrukcję zarządzania systemami informatycznymi w polityce bezpieczeństwa danych osobowych.
Czy bazę pracowników należy ująć w instrukcji (przy czym dane pracowników przetwarzane są w budynku Urzędu Gminy przez osobę księgowej. Księgowa biblioteki ma biuro w Urzędzie Gminy)? Czy bazę pracowników należy również zgłosić do GIODO (jako zbiór danych)?

Biblioteka musi mieć dwa dokumenty, politykę bezpieczeństwa oraz instrukcję zarządzania systemami informatycznymi (polityka nie jest częścią instrukcji). Ich zawartość (spis treści) jest określona w rozporządzeniu.