Tag Archives: sprawdzenie

03 kwi

Jak wprowadzić nowy wzór upoważnienia do przetwarzania danych?

Ostatnio otrzymałam takie pytanie od Pani Samanty i uświadomiłam sobie, że nie jest to banalny problem, bo sama musiałam się z nim zmierzyć na początku mojej przygody w roli ABI. Wtedy niestety nie wyszło mi to najlepiej…

Zasady nadawania/zmiany/odwołania upoważnień są istotnym elementem, którego nie powinno zabraknąć w polityce bezpieczeństwa (jest to jeden ze stosowanych przez administratora danych środków organizacyjnych mających na celu zapewnienie poufności informacji). Ja w mojej ówczesnej polityce nie miałam przewidzianej sytuacji zmiany wzoru upoważnienia. Dlatego za pierwszym razem odwoływałam wszystkie upoważnienia i nadawałam wszystkim nowe. Wyobraźcie sobie ile było z tym pracy i zamieszania przy ponad 100 osobowej organizacji i ponad 20 zbiorach danych, gdzie stosowałam zasadę nadawania upoważnienia do każdego zbioru. Koszmar. W dodatku ciągle mi czegoś brakowało, nie zgadzało się, itd. Nie wiedziałam co zrobić ze starymi upoważnieniami (niszczyć, czy trzymać?) oraz jak wpisać zmianę do ewidencji upoważnień.  To doświadczenie nauczyło mnie, że najpierw należy zastanowić się nad przebiegiem procesu, następnie zacząć działać. Read More →

07 lis

Co ABI powinien zrobić w przypadku naruszenia bezpieczeństwa informacji

Nim dłużej pełnię obowiązki administratora bezpieczeństwa informacji, tym bardziej dostrzegam złożoność procesu nadzorowania zgodności przetwarzania danych z przepisami (a właściwie wszelkich informacji chronionych, bo nigdy nie ograniczam się tylko do danych osobowych) oraz ilość obowiązków, która jest proporcjonalna do zakresu działalności klienta. Nim więcej dzieje się u niego (a w agencjach reklamowych, czy firmach eventowych dzieje się bardzo dużo) tym więcej jest pracy. Czasami mam wrażenie, że nie sposób na bieżąco kontrolować wszystkie zapisy umowne, regulaminy, wydarzenia, systemy informatyczne. W ostatnim czasie rośnie też liczba drobnych incydentów, które wymagają ode mnie, jako ABI, przeprowadzenia sprawdzenia oraz działań naprawczych. Incydenty bezpieczeństwa to codzienność ABI. Większość wynika ze zwykłej niewiedzy, reszta z lenistwa lub zaniedbania. Dobry ABI powinien reagować nawet na drobne naruszenia bezpieczeństwa. Ponieważ drobne zaniedbania generują większe problemy, a z czasem nawarstwiają się i tworzą wielki problem.

Moje wskazówki dla ABI, jak radzić sobie ze stwierdzeniem naruszenia bezpieczeństwa informacji

Każdy incydent wymaga indywidualnego podejścia. Nie ignoruję żadnego zgłoszenia, nawet jeżeli już po pierwszym zdaniu, wiem „że to żaden problem”. Chcę budować więź zaufania pomiędzy ABI, a ludźmi przetwarzającymi dane osobowe, aby wiedzieli, że każdy ich problem traktuję poważnie i jestem od ich rozwiązywania. W efekcie wraz z wydłużającym się stażem pracy, jako ABI otrzymuję coraz więcej zgłoszeń i jestem w stanie wykryć coraz istotniejsze problemy. Read More →

25 paź

Wzór sprawozdania ze sprawdzenia zgodności przetwarzania danych z przepisami

Piszecie do mnie ostatnio z prośbą o wzór sprawozdania ze sprawdzenia zgodności z przepisami o ochronie danych osobowych. Prawda jest taka, że jest on już od bardzo dawna na moim blogu, ale po prostu chyba za bardzo ukryty, bo nie możecie do niego dotrzeć.

Przypomnę tylko krótko, że przeprowadzanie regularnych sprawdzeń ze zgodności przetwarzania danych z przepisami, jest obowiązkiem każdego administratora danych osobowych. Jest to podstawa do kontroli zgodności przetwarzania i stosowania odpowiednich środków. Może to być także forma analizy ryzyka i zagrożeń (a konkretne szacowania ryzyka). Gdy został powołany administrator bezpieczeństwa informacji, to jego obowiązkiem jest przeprowadzanie sprawdzeń. Jeżeli ABI nie ma, to sprawdzenia przeprowadza dyrektor/prezes/wojewoda itd. lub wyznaczona do tego przez niego osoba. Z takiego sprawdzenia przeprowadzonego w jednostce, która nie ma ABI wystarczy przygotować notatkę służbową (nie ma w ogóle obowiązku dokumentowania sprawdzenia, jednakże wydaje się to bardzo zasadne). Read More →

15 lut

Sprawozdanie roczne, czy z każdego sprawdzenia

Kolejne pytanie od Pana Daniela:
Mam pytanie odnośnie planu sprawdzeń i późniejszego sprawozdania ABI. Chciałbym przedstwić plan sprawdzeń na okres jednego roku, który zawiera kilka sprawdzeń (polityka+instrkukcja, ewidencje, itp) w związku z tym w zamieszczonym przez Panią wzorze powtarzam cały punkt 1) do każdego sprawdzenia, zaznaczając odpowiednie pozycje?
Sprawozdanie jako ABI sporządzam na koniec wszystkich sprawdzeń (pisząc raporty z każdego sprawdzenia) czy po każdym sprawdzeniu z zachowaniem terminu do 30 dni? Read More →

21 sty

Webinaria dla administratorów bezpieczeństwa informacji – 26.01.2016 (wtorek)

Designed by Freepik.com

Czy zostaliście powołani na ABI i nie wiecie, jak skutecznie wywiązywać się ze swoich obowiązków? Może znacie już teorię, przeczytaliście ustawę oraz akty wykonawcze do niej, ale nadal nie potraficie zastosować tego w praktyce. A może boicie się przeprowadzać sprawdzenia na zlecenie GIODO lub negatywnej reakcji Waszych szefów, na niekoniecznie pozytywny, wyniki Waszej kontroli.  Jeżeli chcecie zyskać praktyczną wiedzę, która pozwoli Wam skutecznie i bezstresowo pełnić rolę ABI, to te webinaria są dla Was!

Zapraszam na dwa warsztaty (prowadzone na żywo) poświęcone tematyce:

  1. Prowadzenie zbiorów danych przez ABI
  2. Przeprowadzanie sprawdzeń i przygotowywanie sprawozdań przez ABI

 

Read More →

03 sty

Jak sporządzić plan sprawdzeń

Pytanie od Pani Moniki:

Mam  pytanie odnośnie sprawozdania sporządzanego przez ABI, a konkretnie o plan  sprawdzeń. Mianowicie nie wiem jak sporządzić taki plan, co konkretnie miało by się tam znaleźć? Jeśli mogę prosić o jakieś wskazówki byłabym wdzięczna.

Zasady przygotowywania sprawdzenia określa Rozporządzenie w sprawie trybu i sposobu realizacji zadań w celu zapewniania przestrzegania przepisów o ochronie danych osobowych przez ABI, z którego wynika że:

ABI przygotowuje plan sprawdzeń na okres nie krótszy niż kwartał, nie dłuższy niż rok

W praktyce w dużych instytucjach (np. bankach) plany sprawdzeń przygotowuje się na krótsze okresy, gdyż zarówno liczba sprawdzeń, jak i ich zakres są większe niż w przypadku mały instytucji i gdzie planowanie sprawdzeń ma bardzo duże znaczenie dla zarządzania bezpieczeństwem. W małych i średnich instytucjach (bibliotekach, spółdzielniach mieszkaniowych, ośrodkach pomocy społecznej, itp.) wystarczy jeden plan sprawdzeń na okres całego roku.

Read More →

12 gru

Raport na potrzeby GIODO

Otrzymuję ostatnio sygnały od Was, że „dzwonią różni ludzie, żeby przypomnieć o zrobieniu rocznego sprawozdania dla GIODO„, a Was zalewa zimny pot i zastanawiacie się o co chodzi i co się stanie, jeśli tego się nie zrobi.

Na początku zastanówmy się o jaki raport może chodzić. W ustawie o ochronie danych osobowych jest mowa o sprawozdaniu ze sprawdzenia zgodności z przepisami o ochronie danych osobowych, które przygotowuje się dla administratora danych (36a ust. 2 pkt 1 lit. a). Jednocześnie w ustawie jest wyraźnie wskazane, że sprawozdanie przygotowuje ABI i ten obowiązek nie dotyczy jednostek, które nie powołały ABI (36 b). Read More →

01 lip

Czy administrator, który nie powoła ABI też musi przeprowadzać sprawdzenia?

Pytanie od Pana Marcina:

Jak to w końcu jest w przypadku, gdy NIE POWOŁAMY ABI. Czy jest obowiązek robienia jakichś audytów wewnętrznych lub sprawozdań do GIODO?

Przeprowadzanie sprawdzeń w zakresie i zgodnie z harmonogramem określonym w rozporządzeniu w sprawie tryb i sposobu realizacji zadań w celu zapewniania przestrzegania przepisów o ochronie danych osobowych przez ABI jest obowiązkiem ABI-ego. Administrator, który nie powoła ABI nie ma wprost określonego obowiązku przeprowadzania sprawdzeń.

Read More →

12 lut

Jak często powinny być przeprowadzane sprawdzenia?

Pytanie padło od Pana Grzegorza:
Czy sprawdzenie odbywa się na żądanie dyrektora, czy też co pewien okres czasu? 
Czy roczne sprawozdanie jest wymogiem odgórnym (narzuconym przez GIODO) oraz czy każde sprawozdanie roczne musi zostać wysłane o GIODO?
Na chwilę obecną nie wiadomo jaką częstotliwość przeprowadzania sprawdzeń uchwali ustawodawca. W projekcie rozporządzenia MAiC jest mowa o planowanym sprawdzeniu raz do roku oraz dodatkowym sprawdzeniu na zlecenie GIODO lub na skutek zaistnienia incydentu. Pragnę podkreślić, że podobne sprawdzenia w przypadku informacji niejawnych są przeprowadzane raz na 3 lata ze względu na fakt, że taki kompleksowy audyt blokuje pracę instytucji na pewien czas.
Czekamy na ustalenia dotyczące rozporządzenia, z nadzieją, że ustawodawca zrozumie, że potrzebą zmian było ułatwienie a nie utrudnianie wykonywania działalności gospodarczej… Jeżeli sprawdzenie będzie musiało być przeprowadzane raz do roku, to sprawozdanie z tego sprawdzenia będzie przygotowywane również raz do roku (plus dodatkowe na zlecenie GIODO lub po incydentalnym sprawdzeniu).

Read More →