szukaj >

bip_logo_pl
odstep
Zarządzenia Głównego Inspektora Pracy

Biuletyn Zamówień Publicznych Nr

Zarządzenie nr 24/2005
Głównego Inspektora Pracy

z dnia 7 kwietnia 2005 r.

w sprawie polityki bezpieczeństwa i zarządzania systemem informatycznym służącym do przetwarzania danych osobowych w Państwowej Inspekcji Pracy.

Na podstawie § 2 ust. 2 Statutu Państwowej Inspekcji Pracy, stanowiącego załącznik do zarządzenia Marszałka Sejmu z dnia 25 października 2002 r. w sprawie nadania statutu Państwowej Inspekcji Pracy (M. P. Nr 54, poz. 74 z późn. zm.[1]), w związku z § 3 i 9 rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. Nr 100, poz. 1024), zarządza się, co następuje:

§ 1.

Ustala się:

1)       politykę bezpieczeństwa w zakresie zarządzania systemem informatycznym służącym do przetwarzania danych osobowych w Państwowej Inspekcji Pracy, stanowiącą załącznik nr 1 do zarządzenia;

2)       instrukcję zarządzania systemem informatycznym służącym do przetwarzania danych osobowych w Państwowej Inspekcji Pracy, stanowiącą załącznik nr 2 do zarządzenia;

3)       instrukcję bezpieczeństwa użytkownika systemu informatycznego, stanowiącą załącznik nr 3 do zarządzenia,

4)       wzór ewidencji osób zatrudnionych przy przetwarzaniu danych osobowych, stanowiący załącznik nr 4 do zarządzenia,

5)       wzór upoważnienia do przetwarzania danych osobowych, stanowiący załącznik nr 5 do zarządzenia.

§ 2.

Administratorem bezpieczeństwa teleinformatycznego w Głównym Inspektoracie Pracy jest pracownik Departamentu Analiz i Statystyki.

§ 3.

Traci moc zarządzenie nr 14/99 Głównego Inspektora Pracy z dnia 25 października 1999 r. w sprawie instrukcji postępowania dotyczącego bezpieczeństwa i ochrony przetwarzania danych osobowych w Państwowej Inspekcji Pracy.

§ 4.

Zarządzenie wchodzi w życie z dniem podpisania.

GŁÓWNY INSPEKTOR PRACY

Anna HINTZ


Załącznik nr 1
do zarządzenia nr 24/2005
Głównego Inspektora Pracy
z dnia 7 kwietnia 2005 r.

Polityka bezpieczeństwa w zakresie zarządzania systemem informatycznym służącym do przetwarzania danych osobowych w Państwowej Inspekcji Pracy.

Rozdział I

Postanowienia ogólne

1. Polityka bezpieczeństwa w zakresie zarządzania systemem informatycznym służącym do przetwarzania danych osobowych określa reguły postępowania i praktyczne doświadczenia dotyczące zarządzania, ochrony i dystrybucji informacji podlegającej ochronie (danych osobowych) w Państwowej Inspekcji Pracy.

2. Celem polityki bezpieczeństwa, o której mowa w pkt. 1, jest wskazanie działań, jakie należy podejmować oraz ustanowienie zasad, jakie należy stosować, aby prawidłowo były realizowane obowiązki administratora danych w zakresie zabezpieczenia danych osobowych.

3. Polityka bezpieczeństwa w zakresie zarządzania systemem informatycznym służącym do przetwarzania danych osobowych w Państwowej Inspekcji Pracy zawiera:

1)       identyfikację zasobów systemu informatycznego,

2)       wykaz pomieszczeń tworzących obszar, w którym przetwarzane są dane osobowe,

3)       wykaz zbiorów danych osobowych oraz programy zastosowane do przetwarzania tych danych,

4)       środki techniczne i organizacyjne służące zapewnieniu poufności, integralności i rozliczalności przetwarzanych danych.

Rozdział II

Identyfikacja zasobów systemu informatycznego

Struktura teleinformatyczna Państwowej Inspekcji Pracy (PIP) składa się z sieci lokalnych zbudowanych w Głównym Inspektoracie Pracy (GIP), okręgowych inspektoratach pracy (OIP) i Ośrodku Szkolenia Państwowej Inspekcji Pracy we Wrocławiu (OSPIP) połączonych rozległą siecią zbudowaną w oparciu o łącza dzierżawione w TP SA. Sieć PIP poprzez system fire-wall jest dołączona do sieci Internet. W ramach tej infrastruktury funkcjonuje system informatyczny służący do rejestrowania i przetwarzania danych o kontrolach i innych działaniach prowadzonych przez inspektorów pracy. Informacje przetwarzane w tym systemie są jawne, ale podlegają ochronie, zgodnie z przepisami ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.[2]), zwanej dalej „ustawą”.

W ramach tej infrastruktury funkcjonuje także system finansowo-kadrowy oraz inne systemy usług sieciowych. Zawierają one dane podlegające ochronie ze względu na powyższą ustawę oraz są strategicznie ważne dla ciągłości pracy Państwowej Inspekcji Pracy.

Podstawowym systemem informatycznym PIP jest system służący do zbierania, rejestrowania i przetwarzania danych o kontrolach i innych działaniach prowadzonych przez inspektorów pracy. Do zbierania i wprowadzania danych do systemu są wykorzystywane stacjonarne i przenośne komputery, stanowiące wyposażenie pracowników PIP.

Zapewnienie właściwej ochrony systemu informatycznego PIP, ze względu na rozproszoną strukturę teleinformatyczną i różnorodność przetwarzanych systemów oraz fakt połączenia z siecią INTERNET, jest zagadnieniem złożonym. Wprowadzanie efektywnego systemu ochrony systemu informatycznego PIP, ze względu na znaczne koszty, jest procesem długotrwałym i musi być rozłożone na etapy.

Rozdział III

Wykaz pomieszczeń tworzących obszar, w którym przetwarzane są dane osobowe.

Przetwarzaniem danych osobowych jest wykonywanie jakichkolwiek operacji na danych osobowych, takich jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza takich, które wykonuje się w systemach informatycznych. Biorąc pod uwagę przepisy ustawy, nakazujące jej stosowanie także w przypadkach przetwarzania danych poza zbiorem danych, przetwarzanie danych osobowych może wystąpić w większości pomieszczeń PIP. Ze względu jednak na szczególne nagromadzenie danych osobowych, szczególnie chronione powinny być pomieszczenia serwerowni, pomieszczenia, w których przechowuje się i składuje kopie zapasowe, pomieszczenia archiwów zakładowych oraz pomieszczenia komórek finansowo-księgowych i kadrowych.

Wykaz pomieszczeń tworzących w Głównym Inspektoracie Pracy obszar, w którym przetwarzane są dane osobowe stanowi załącznik A do niniejszego załącznika.

Rozdział IV

Wykaz zbiorów danych osobowych oraz programy zastosowane do przetwarzania tych danych

1.       Zbiór danych przetwarzanych w związku z działalnością kontrolno-nadzorczą PIP.

2.       Zbiór danych przetwarzanych w związku z nadawaniem tytułu rzeczoznawcy do spraw bezpieczeństwa i higieny pracy (tylko w Głównym Inspektoracie Pracy).

3.       Zbiór danych dotyczący przetwarzania danych w związku z prowadzeniem usług hotelowych w Ośrodku Szkolenia PIP we Wrocławiu (tylko w OSPIP).

4.       Zbiór danych przetwarzanych w systemie finansowo-kadrowym PIP.

5.       Wykaz programów stosowanych w Głównym Inspektoracie Pracy do przetwarzania danych osobowych stanowi załącznik B do niniejszego załącznika.

Rozdział V

Środki techniczne i organizacyjne służące zapewnieniu poufności, integralności i rozliczalności przetwarzania danych

System informatyczny PIP, ze względu na połączenie z siecią publiczną, musi zapewniać środki bezpieczeństwa określone dla wysokiego poziomu bezpieczeństwa (§6 ust. 4 rozporządzenia Ministra Spraw Wewnętrznych i Administracji  z dnia 29 kwietnia 2004 r w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych, Dz. U. Nr 100 poz. 1024).

1. Bezpieczeństwo fizyczne

Gwarancją zapewnienia bezpieczeństwa systemu informatycznego PIP oraz przetwarzanych i przechowywanych danych jest zapewnienie bezpieczeństwa fizycznego. Warunkiem zapewnienia bezpieczeństwa fizycznego systemu jest kontrola dostępu do wszystkich stacji roboczych. W związku z tym szczególną ochroną obejmuje się pomieszczenia, w których znajdują się serwery i węzły sieci oraz te, w których przechowywane są składowane dane. Ww. pomieszczenia powinny być stale zamknięte, a dostęp do nich powinni mieć tylko upoważnieni administratorzy. Pomieszczenia powinny być wyposażone w elektroniczny system antywłamaniowy z całodobowym monitoringiem sygnału alarmu. System alarmowy powinien być objęty stałym nadzorem specjalistycznym, a czujki okresowo sprawdzane.

Szczególnie newralgiczne dla działania PIP systemy informatyczne takie jak systemy finansowo-kadrowe powinny (w ramach możliwości organizacyjno-technicznych i finansowych) zostać wydzielone z pozostałej części instytucji zamykaną kratą, otwieraną zamkiem kodowym lub kartą magnetyczną. Sieć komputerowa tych działów (w ramach możliwości technicznych i finansowych) powinna zostać wydzielona z sieci obsługującej pozostałą część instytucji i objęta dodatkowymi zabezpieczeniami.

Obowiązkiem osoby użytkującej komputer przenośny zawierający dane osobowe jest zachowanie szczególnej ostrożności podczas jego transportu, przechowywania i użytkowania poza pomieszczeniami tworzącymi obszar, w którym przetwarzane są dane osobowe. Należy dążyć do powszechnego stosowania ochrony kryptograficznej w takich przypadkach.

2. Wykorzystanie mechanizmów systemu operacyjnego

System operacyjny Microsoft Windows NT/2000 posiada rozbudowane mechanizmy nadawania uprawnień i praw dostępu. Dla pełnego wykorzystania tych mechanizmów należy stosować system plików NTFS. Zapewnia on wsparcie mechanizmów ochrony plików i katalogów oraz mechanizmów odzyskiwania na wypadek uszkodzenia dysku lub awarii systemu.

Dla zwiększenia efektywności centralnego zarządzania i śledzenia zdarzeń w sieci należy wykorzystywać mechanizmy Active Directory i oprogramowanie do zarządzania i analizy sieci z centralnym punktem zarządzania usytuowanym w GIP.

Należy dążyć do zastąpienia systemów operacyjnych Microsoft Windows 95/98 (nie mają wbudowanych wystarczających mechanizmów bezpieczeństwa) systemem operacyjnym Microsoft Windows NT/2000, jako zapewniającego minimalne bezpieczeństwo dla serwerów i stacji roboczych systemu informatycznego PIP.

3. Zarządzanie oprogramowaniem

Najwyższe uprawnienia w systemie informatycznym posiada administrator systemu. Tylko administrator jest osobą uprawnioną do instalowania i usuwania oprogramowania systemowego i narzędziowego.

Dopuszcza się instalowanie tylko legalnie pozyskanych programów, niezbędnych do wykonywania ustawowych zadań PIP i posiadających ważną licencję użytkowania.

4. Uwierzytelnianie użytkowników

Dostęp do systemu informatycznego służącego do przetwarzania danych osobowych, może uzyskać wyłącznie osoba (użytkownik) zarejestrowana w tym systemie przez administratora systemu na wniosek komórki organizacyjnej do spraw kadrowych.

Dostęp do systemów operacyjnych serwerów i stacji roboczych powinien być chroniony przez nazwę użytkownika i hasło. Zespół ten tworzy jedną z głównych linii obrony przed intruzami. Dlatego należy uświadamiać użytkownikom rolę, jaką w systemie ochrony odgrywa dobrze wybrane „trudne” hasło o odpowiednio dobranym czasie życia. Jednocześnie należy wdrożyć mechanizmy systemowe kontrolujące składnię i czas życia haseł. System ma wbudowane mechanizmy ograniczające liczbę błędnych prób logowania oraz umożliwia wskazanie stacji roboczych, na których dany użytkownik może pracować. Zalecane jest ustawienie blokady konta użytkownika na 3 do 5 prób logowania.

Identyfikator użytkownika składa się z sześciu znaków, z których dwa pierwsze odpowiadają dwóm pierwszym literom imienia użytkownika, a cztery kolejne odpowiadają czterem pierwszym literom jego nazwiska. W identyfikatorze pomija się polskie znaki diakrytyczne.

Hasło powinno składać się z unikalnego zestawu co najmniej ośmiu znaków, zawierać małe i wielkie litery oraz cyfry lub znaki specjalne. Hasło nie może być identyczne z identyfikatorem użytkownika, ani z jego imieniem lub nazwiskiem. Hasła zmienia się nie rzadziej niż co 30 dni.

Użytkownikom systemu nie wolno udostępniać swojego identyfikatora i hasła innym osobom.

W przyszłości zostaną podjęte prace nad celowością i możliwością wprowadzenia  mechanizmu haseł jednokrotnych.

5. Redundancja sprzętowa i programowa

Dla zapewnienia wysokiej niezawodności systemu administratorzy sytemu opracowują i wprowadzają procedury awaryjne (np. na wypadek uszkodzenia głównego serwera).

Należy rygorystycznie przestrzegać wymogu przechowywania nośników zawierających awaryjne kopie danych i systemów w pomieszczeniach innych niż pomieszczenia, w których przechowywane są dane przeznaczone do bieżącego użytku. Jednocześnie dane te muszą być odpowiednio zabezpieczone fizycznie (sejf, najlepiej ognioodporny, w zabezpieczonym pomieszczeniu).

6. Zapewnienie stałego zasilania energią

Bezprzerwowe zasilanie serwerom zapewnia stosowanie zasilaczy awaryjnych UPS. W przypadku stacji roboczych, UPS stosuje się w zależności od potrzeb i możliwości finansowych.

7. Procedury przeciwpożarowe

Pomieszczenia, w których systemy komputerowe pracują bez nadzoru, szczególnie pomieszczenia z serwerami pracującymi w systemie pracy ciągłej powinny być wyposażone w elektroniczny system wykrywania pożaru (czujki reagujące na ogień, dym, temperaturę). Sygnalizacja alarmu powinna być objęta całodobowym monitoringiem. System alarmowy powinien być objęty stałym nadzorem specjalistycznym, a czujki okresowo sprawdzane. System wykrywania pożaru powinien obejmować pomieszczenia, w których przechowywane są awaryjne kopie danych.

8. Procedury awaryjne i procedury na wypadek klęsk żywiołowych i ewakuacji

Zapewnieniu ciągłej dostępności informacji służą procedury postępowania w przypadku wydarzeń losowych (np. awaria serwera, zalanie pomieszczenia itp.). Procedury takie powinny obejmować uruchomienie systemu w minimalnej konfiguracji udostępniającej zasoby systemu. Komputery przewidywane na awaryjne serwery powinny stać w pomieszczeniach innych niż serwery bieżąco eksploatowane. W przypadku gdyby doszło do ewakuacji należy w pierwszej kolejności zapewnić bezpieczeństwo danym.

9. Procedury tworzenia kopii zapasowych ich przechowywania i ochrony

Dla systemów finansowo-kadrowych kopie bezpieczeństwa wykonuje się codziennie. Dla pozostałych danych o częstotliwości składowania decydują administratorzy systemów, w których te dane są przechowywane, w zależności od liczby wprowadzanych zmian, nie rzadziej jednak niż raz w miesiącu. Kopie zapasowe przechowuje się w ognioodpornym sejfie umieszczonym w pomieszczeniu innym, niż dane przetwarzane na bieżąco. Kopie awaryjne podlegają takiej samej ochronie jak serwery zawierające dane bieżąco przetwarzane. Pomieszczenie, w którym są przechowywane kopie awaryjne, powinno być objęte elektroniczną kontrolą dostępu i elektronicznym  systemem wykrywania pożaru.

10. Profilaktyka antywirusowa

Wszystkie serwery i stacje robocze muszą posiadać zainstalowany program antywirusowy, z możliwie często aktualizowaną bazą wykrywanych wirusów, sprawdzający w trybie rzeczywistym wszystkie przychodzące i wychodzące pliki. Zabronione jest blokowanie pracy tego programu. Dla zapewnienia ochrony przed wirusami i innymi niepożądanymi kodami sprawdza się wszystkie zbiory przychodzące z sieci rozległej i Internetu. Systemy plików poszczególnych serwerów i stacji roboczych obejmuje się, co najmniej raz w tygodniu, całościowym testem antywirusowym.

11. Monitorowanie systemu ochrony i prowadzenie dziennika zdarzeń

System operacyjny serwera powinien prowadzić dzienniki zdarzeń zawierające opis wszystkich ważniejszych czynności wykonywanych przez użytkowników. Należy określić zdarzenia, które powinny być rejestrowane, jak również tryb postępowania z tymi dziennikami (co rejestrować, w jaki sposób, jak często i na jak długo składować). Należy unikać zbytniego rozszerzenia zakresu rejestrowanych czynności ze względu na obciążenie systemu operacyjnego i wielkość generowanych zbiorów zawierających dzienniki zdarzeń.

12. Przeciwdziałanie nowym technikom łamania zabezpieczeń oraz eliminacja luk wykrytych w zabezpieczeniach systemów

W związku z dynamicznym rozwojem technik służących do atakowania systemów informatycznych administrator systemu powinien na bieżąco śledzić informacje na temat wykrytych luk i wprowadzać zalecane zabezpieczenia.

13. Procedury postępowania z nośnikami informacji i wydrukami (wytwarzanie, rejestrowanie, kasowanie, niszczenie)

Dla zachowania wysokiego poziomu bezpieczeństwa informacji w systemie informatycznym określa się procedury postępowania z nośnikami (dyskietki, kasety, krążki CD, nośniki papierowe) zawierającymi  informacje od chwili wytworzenia do chwili skasowania lub zniszczenia. Powinno się dążyć - dla zapewnienia szczelności systemu - aby nośniki były opisane i ewidencjonowane.

14. Testy okresowe systemu ochrony

System ochrony powinien być w sposób ciągły nadzorowany i możliwie często aktualizowany. Kontrole i testy powinny obejmować zarówno dostęp do zasobów systemu, jak i profile oraz uprawnienia poszczególnych użytkowników. Zapisy logów systemowych powinny być przeglądane codziennie oraz każdorazowo po wykryciu naruszenia zasad bezpieczeństwa.

15. Zabezpieczanie przetwarzania niejawnych informacji

W systemach informatycznych PIP informacje niejawne mogą być przetwarzane tylko na wydzielonych komputerach dopuszczonych przez właściwą służbę ochrony państwa, po uzyskaniu certyfikatu wydanego na podstawie przepisów ustawy z dnia 22 stycznia 1999 r. o ochronie informacji niejawnych (Dz. U. Nr 11 poz. 95, z późn. zm.[3]).

16. Zabezpieczenia medium transmisyjnego

Połączenia z sieci wewnętrznej (Intranet) z siecią zewnętrzną (Internet) mogą być wykonywane tylko za pośrednictwem systemów firewall o odpowiednich parametrach zainstalowanych w GIP. Jednocześnie zabrania się dokonywania jakichkolwiek innych przyłączeń sieci PIP do sieci Internet.

Do przesyłania danych przy połączeniach w sieci publicznej (Internet), z uwagi na przetwarzane dane osobowe, powinny być wykorzystywane tylko kanały transmisji udostępniane przez pracowników GIP. Kanały te powinny zawierać ochronę kryptograficzną.

Komputery przenośne inspektorów pracy podczas połączeń z siecią Internet, wykonywanych poza siecią wewnętrzną PIP, powinny być chronione swoimi autonomicznymi systemami firewall.

Zasadą konfigurowania systemów firewall powinno być blokowanie wszystkich usług, które są zbędne dla statutowej działalności pracownika PIP.

17. Konserwacja i naprawy sprzętu i oprogramowania

Wszelkie naprawy i konserwacje sprzętu i oprogramowania mogą odbywać się tylko w obecności osób uprawnionych. Urządzenia informatyczne służące do przetwarzania danych osobowych można przekazać do naprawy dopiero po uzyskaniu zgody administratora bezpieczeństwa informacji.

18. Szkolenia

Każdy użytkownik powinien mieć świadomość zagrożeń wpływających na bezpieczeństwo systemu informatycznego, z którego korzysta. Nowy pracownik powinien być zapoznany z ogólnymi zasadami i przepisami dotyczącymi bezpieczeństwa systemów teleinformatycznych, a szczególnie wynikających z ustawy o ochronie danych osobowych. Raz w roku należy przeprowadzać szkolenia z udziałem wszystkich pracowników PIP omawiające problematykę bezpieczeństwa teleinformatycznego, ze szczególnym uwzględnieniem nowych uregulowań prawnych. Szkolenie to powinno uzmysłowić pracownikom skalę zagrożeń oraz rangę zabezpieczeń, zwłaszcza stosowanych na poziomie użytkownika.


Załącznik A

Wykaz pomieszczeń tworzących w Głównym Inspektoracie Pracy obszar,
w którym przetwarzane są dane osobowe

1.       Serwerownia – pomieszczenie 742

2.       Sejf z kopiami składowań – pomieszczenie ORG-511

3.       Departament Budżetu i Finansów- pomieszczenia  761, 763, 764, 766, 767, 768;

4.       Sekcja Spraw Osobowych – pomieszczenia 750, 751, 752.


Załącznik B

Wykaz programów stosowanych w Głównym Inspektoracie Pracy
do przetwarzania danych osobowych

1.       SKID – system finansowo – księgowy;

2.       Videotel – system obsługujący przelewy bankowe;

3.       Płatnik – program obsługujący przesyłanie danych ZUS.


Załącznik nr 2
do zarządzenia nr 24/2005
Głównego Inspektora Pracy
z dnia 7 kwietnia 2005 r.

Instrukcja zarządzania systemem informatycznym
służącym do przetwarzania danych osobowych w Państwowej Inspekcji Pracy

§ 1.

Instrukcja zarządzania systemem informatycznym, służącym do przetwarzania danych osobowych w Państwowej Inspekcji Pracy, określa:

1)       sposób przydziału haseł dla użytkowników i częstotliwość ich zmiany oraz osoby odpowiedzialne za te czynności,

2)       sposób rejestrowania i wyrejestrowywania użytkowników oraz osoby odpowiedzialne za te czynności,

3)       procedury rozpoczynania i kończenia pracy,

4)       metodę i częstotliwość tworzenia kopii awaryjnych.

5)       metodę i częstotliwość sprawdzania obecności wirusów komputerowych oraz metodę ich usuwania,

6)       sposób i czas przechowywania nośników informacji, w tym kopii informatycznych i wydruków,

7)       sposób dokonywania przeglądów i konserwacji systemu i zbioru danych osobowych,

8)       sposób postępowania w zakresie komunikacji w sieci komputerowej.

§ 2.

1. Dostęp do systemu informatycznego służącego do przetwarzania danych osobowych, zwanego dalej „systemem” może uzyskać wyłącznie osoba (użytkownik) zarejestrowana w tym systemie przez administratora systemu na wniosek komórki do spraw osobowych.

2. Rejestracja, o której mowa w ust. l, polega na nadaniu identyfikatora i przydziale hasła oraz wprowadzeniu tych danych do bazy użytkowników systemu.

§ 3.

1. Identyfikator składa się z sześciu znaków, z których dwa pierwsze odpowiadają dwóm pierwszym literom imienia użytkownika a cztery kolejne odpowiadają czterem pierwszym literom jego nazwiska.

2. W identyfikatorze pomija się polskie znaki diakrytyczne.

3. W przypadku zbieżności nadawanego identyfikatora z identyfikatorem wcześniej zarejestrowanego użytkownika administrator systemu, za zgodą administratora bezpieczeństwa informacji, nadaje inny identyfikator odstępując od zasady określonej w ust. l.

§ 4.

1. Hasło powinno składać się z unikalnego zestawu co najmniej ośmiu znaków, zawierać małe i wielkie litery oraz cyfry lub znaki specjalne.

2. Hasło nie może być identyczne z identyfikatorem użytkownika, ani z jego imieniem lub nazwiskiem.

3. Zmiana hasła następuje nie rzadziej niż co 30 dni.

4. Zabrania się użytkownikom systemu udostępniania swojego identyfikatora i hasła innym osobom.

§ 5.

1. Wyrejestrowania użytkownika z systemu informatycznego dokonuje administrator systemu na wniosek komórki do spraw osobowych.

2. Wyrejestrowanie, o którym mowa w ust. 1, może mieć charakter czasowy lub trwały.

3. Wyrejestrowanie  następuje poprzez:

1)       zablokowanie konta użytkownika do czasu ustania przyczyny uzasadniającej blokadę (wyrejestrowanie czasowe),

2)       usunięcie danych użytkownika z bazy użytkowników systemu (wyrejestrowanie trwałe).

4. Przyczyną czasowego wyrejestrowania użytkownika z systemu informatycznego jest:

1)       nieobecność w pracy trwająca dłużej niż 21 dni kalendarzowych,

2)       zawieszenie w pełnieniu obowiązków służbowych,

3)       zwolnienie z pełnienia obowiązków służbowych.

5. Przyczyną trwałego wyrejestrowania użytkownika z systemu informatycznego jest rozwiązanie lub wygaśnięcie stosunku pracy użytkownika.

§ 6.

Rozpoczęcie pracy w systemie odbywa się poprzez:

1)       przygotowanie stanowiska pracy,

2)       włączenie stacji roboczej,

3)       wprowadzenie swojego identyfikatora i hasła.

§ 7.

Zakończenie pracy w systemie odbywa się poprzez:

1)       zamknięcie aplikacji,

2)       odłączenie się od zasobów systemowych,

3)       zamknięcie systemu operacyjnego,

4)       wyłączenie stacji roboczej.

§ 8.

Zabrania się użytkownikom pracującym w systemie:

1)       udostępniania stacji roboczej osobom niezarejestrowanym w systemie w trybie określonym w §1  ust. 2,

2)       udostępniania stacji roboczej do konserwacji lub naprawy bez porozumienia z administratorem bezpieczeństwa informacji,

3)       używania nielicencjonowanego oprogramowania.

§ 9.

1. Każdy przypadek  naruszenia ochrony danych osobowych, a w szczególności:

1)       naruszenia bezpieczeństwa systemu informatycznego,

2)       stwierdzenia objawów (stanu urządzeń, sposobu działania programu lub jakości komunikacji w sieci), które mogą wskazywać na naruszenie bezpieczeństwa

podlega zgłoszeniu do administratora bezpieczeństwa informacji.

2. Administratorowi bezpieczeństwa informacji zgłasza się w szczególności przypadki:

1)       użytkowania stacji roboczej przez osobę nie będącą użytkownikiem systemu,

2)       usiłowania logowania się do systemu (sieci) przez osobę nieuprawnioną,

3)       usuwania, dodawania lub modyfikowania bez wiedzy i zgody użytkownika jego dokumentów (rekordów),

4)       przebywania  osób nieuprawnionych w obszarze, w którym przetwarzane są dane osobowe, w trakcie nieobecności osoby zatrudnionej przy przetwarzaniu tych danych i bez zgody administratora danych, pozostawiania bez nadzoru otwartych pomieszczeń, w których przetwarzane są dane osobowe,

5)       udostępniania osobom nieuprawnionym stacji roboczej lub komputera przenośnego, służących do przetwarzania danych osobowych,

6)       niezabezpieczenia hasłem dostępu do komputera służącego do przetwarzania danych osobowych,

7)       przechowywania kopii awaryjnych w tych samych pomieszczeniach, w których przechowywane są zbiory danych osobowych eksploatowane na bieżąco,

8)       przechowywania nośników informacji oraz wydruków z danymi osobowymi, nieprzeznaczonymi do udostępniania,  w warunkach umożliwiających do nich dostęp osobom nieuprawnionym.

3. Obowiązek dokonania zgłoszenia, o którym mowa w ust 1, spoczywa na każdym pracowniku, który powziął wiadomość o naruszeniu ochrony danych osobowych.

4. W przypadku naruszenia integralności bezpieczeństwa sieciowego, obowiązkiem administratora jest natychmiastowe wstrzymanie udostępniania zasobów dla użytkowników i odłączenie serwerów od sieci.

5. Administrator sieci i administrator systemu w porozumieniu z administratorem bezpieczeństwa informacji ustalają przyczyny naruszenia integralności bezpieczeństwa sieciowego.

6. Przywrócenie udostępniania zasobów użytkownikom może nastąpić dopiero po  ustaleniu i usunięciu przyczyny  naruszenia integralności bezpieczeństwa sieciowego.

§ 10.

l. Kopie awaryjne tworzy się z następującą częstotliwością:

1)       kopie systemu kadrowo-płacowego i finansowo-księgowego - codziennie,

2)               kopie pozostałe - nie rzadziej nraz na miesiąc.

2. Każdą kopię tworzy się na oddzielnym nośniku informatycznym.

3. Zabrania się przechowywania kopii awaryjnych w pomieszczeniach przeznaczonych do przechowywania zbiorów danych pozostających w bieżącym użytkowaniu.

4. Administrator systemu przegląda okresowo kopie awaryjne i ocenia ich przydatność do odtworzenia zasobów systemu w przypadku jego awarii.

5. Stwierdzenie utraty przez kopie awaryjne waloru przydatności do celu, o którym mowa w ust. 4, upoważnia administratora systemu do ich zniszczenia.

§ 11.

1. Sprawdzanie obecności wirusów komputerowych w systemie oraz ich usuwanie odbywa się przy wykorzystaniu licencjonowanego oprogramowania w oparciu o serwer dystrybucji aktualnych sygnatur i wersji oprogramowania.

2. Oprogramowanie, o którym mowa w ust. 1, sprawuje ciągły nadzór (ciągła praca w tle) nad pracą systemu i jego zasobami oraz serwerami i stacjami roboczymi.

3. Niezależnie od ciągłego nadzoru, o którym mowa w ust. 2, administrator systemu nie rzadziej niż raz na tydzień przeprowadza pełną kontrolę obecności wirusów komputerowych w systemie oraz jego zasobach, jak również w serwerach i stacjach roboczych.

4. Do obowiązków administratora systemu należy aktualizacja oprogramowania służącego do sprawdzania w systemie obecności wirusów komputerowych.

§ 12.

1. System i urządzenia informatyczne służące do przetwarzania danych osobowych, zasilane energią elektryczną, zabezpiecza się przed utratą danych osobowych spowodowaną awarią zasilania lub zakłóceniami w sieci zasilającej.

2. Minimalne zabezpieczenie systemu i urządzeń informatycznych, o których mowa w ust. 1, polega na wyposażeniu serwera (serwerów) oraz stacji roboczych w zasilacze awaryjne (UPS).

§ 13.

1. Urządzenia informatyczne służące do przetwarzania danych osobowych można przekazać:

1)       do naprawy,

2)       podmiotowi nieuprawnionemu do otrzymania tych danych,

3)       do likwidacji

dopiero po uprzednim uzyskaniu zgody administratora bezpieczeństwa informacji.

2. Urządzenia, o których mowa w ust. l, przed ich przekazaniem pozbawia się zapisu danych osobowych.

3. Jeżeli nie jest to możliwe, urządzenie to może być naprawiane wyłącznie pod nadzorem osoby pisemnie upoważnionej przez administratora bezpieczeństwa informacji.

4. Jeżeli nie jest możliwe pozbawienie urządzenia przekazywanego do likwidacji zapisu danych osobowych, urządzenie - przed przekazaniem - uszkadza się w sposób uniemożliwiający odczytanie tych danych.

§ 14.

1. Przeglądu i konserwacji systemu dokonuje administrator systemu doraźnie.

2. Przeglądu pliku zawierającego raport dotyczący działalności aplikacji bądź systemu (log systemowy) administrator systemu dokonuje nie rzadziej niż raz na tydzień.

3. Przeglądu i sprawdzenia poprawności zbiorów danych zawierających dane osobowe dokonuje użytkownik przy współudziale administratora systemu nie rzadziej niż raz na tydzień.

§ 15.

1. Bezpieczeństwo komunikacji w obrębie systemów przetwarzających dane osobowe administrator systemu zapewnia przy użyciu narzędzi w obrębie systemu.

2. W systemach działających sieciowo, na zasadzie udostępnienia zasobów na serwerze, administrator systemu powinien uwzględniać dedykowane przyzwolenia dostępu.

§ 16.

l. Przesyłanie danych osobowych w komunikacji wewnętrznej (LAN) musi być oznaczone w sposób dostępny jedynie dla uprawnionych użytkowników i wyznaczony przez administratora sieci, przy użyciu narzędzi zabezpieczeń w obrębie systemu informatycznego.

2. W sytuacji, gdy dostępne narzędzia informatyczne nie będą wystarczające do działania w komunikacji wewnętrznej, administrator sieci wyznacza sposób postępowania, mając w szczególności na uwadze ochronę danych osobowych.

§ 17.

1. Do przesyłania danych przy połączeniach w sieci publicznej (Internet), z uwagi na przekazywane dane osobowe, powinny być wykorzystywane tylko kanały transmisji udostępniane przez pracowników GIP. Kanały te powinny zawierać ochronę kryptograficzną.

2. Przesyłanie danych osobowych poprzez sieć rozległą POL-PAK lub INTERNET odbywa się pod nadzorem administratora.

§ 18.

Nośniki informatyczne zawierające dane osobowe powinny być opisane w sposób czytelny i zrozumiały dla użytkownika, a zarazem nie powinny ułatwiać rozpoznania zawartości przez osoby nieupoważnione.

§ 19.

l. Nośniki informatyczne przechowywane są w miejscach, do których dostęp mają wyłącznie osoby upoważnione.

2. W pomieszczeniach, gdzie nie jest możliwe ograniczenie dostępu osób postronnych, monitory stanowisk dostępu do danych osobowych ustawia się w taki sposób, aby uniemożliwić tym osobom wgląd w dane.

3. Ekrany monitorów stanowisk dostępu do danych osobowych są zaopatrzone w wygaszacze z ustawioną opcją wymagania hasła, które po upływie maksymalnie l minuty nieaktywności użytkownika automatycznie wyłączają funkcje eksploatacji ekranu.

§ 20.

Osoby użytkujące przenośne nośniki informatyczne, służące do przetwarzania danych osobowych, obowiązane są niezwłocznie informować na piśmie administratora bezpieczeństwa informacji o zakresie, rodzaju zbieranych danych osobowych oraz celu ich przetwarzania. Administrator bezpieczeństwa informacji może żądać usunięcia danych, co do których zachodzi uzasadnione podejrzenie, że nie są przetwarzane zgodnie z zasadami określonymi w przepisach o ochronie danych osobowych.

§ 21.

Osoba użytkująca przenośny komputer, służący do przetwarzania danych osobowych, obowiązana jest zachować szczególną ostrożność podczas transportu i przechowywania tego komputera poza obszarem ochrony danych w celu zapobieżenia dostępowi do tych danych osobie niepowołanej.

§ 22.

1. Użytkownik sporządzający wydruki, które zawierają dane osobowe jest odpowiedzialny za zachowanie szczególnej ostrożności przy korzystaniu z nich, a zwłaszcza za zabezpieczenie ich przed dostępem osób nieposiadających imiennego upoważnienia oraz nieuprawnionych do wglądu na podstawie indywidualnego zakresu czynności.

2. Wydruki, które zawierają dane osobowe i są przeznaczone do usunięcia, należy zniszczyć w stopniu uniemożliwiającym ich odczytanie.

§ 23.

System powinien umożliwić udostępnienie na piśmie, w zrozumiałej formie, treści danych o każdej osobie, której dane są przetwarzane, a w szczególności:

a)       daty pierwszego wprowadzenia danych tej osoby,

b)       źródła pochodzenia danych,

c)       nazwy użytkownika wprowadzającego dane,

d)       informacji -  komu, kiedy i w jakim zakresie dane zostały udostępnione,

e)       sprzeciwu, o którym mowa w art. 32 ust. l pkt. 7, po jego uwzględnieniu, oraz sprzeciwu określonego w art. 32 ust. 1 pkt. 8 ustawy o ochronie danych osobowych.


Załącznik nr 3
do zarządzenia nr 24/2005
Głównego Inspektora Pracy
z dnia 7 kwietnia 2005 r.

Instrukcja bezpieczeństwa użytkownika
systemu informatycznego Państwowej Inspekcji Pracy

1. Dostęp do systemu informatycznego może uzyskać tylko osoba zarejestrowana w tym systemie przez administratora po podaniu identyfikatora i hasła. Dobór właściwie zbudowanych haseł i czasokresu ich ważności stanowi jedną z najważniejszych zasad ochrony systemu informatycznego przed intruzami. Kryteria doboru haseł i czasokres ich obowiązywania ustala administrator za pomocą oprogramowania systemowego.

2. Wszystkie komputery (serwery i stacje robocze) PIP są wyposażone w oprogramowanie antywirusowe. Zabrania się wyłączania tego oprogramowania. Dane zawarte na nośnikach zewnętrznych (np. dyskietki) muszą być sprawdzone przez program antywirusowy przed wprowadzeniem do systemu. W przypadku jakichkolwiek wątpliwości odnośnie zagrożenia wirusowego należy sprawdzić zawartość całego dysku twardego programem antywirusowym. W przypadku dalszych niejasności należy kontaktować się z administratorem sieci lokalnej.

3. Użytkownicy stacji roboczych nie mają prawa dokonywać samodzielnie jakichkolwiek instalacji oprogramowania zarówno na stacjach roboczych, jak i na serwerach sieci. Za instalację i konfigurowanie oprogramowania odpowiadają wyznaczone osoby zajmujące się administracją. Administratorzy są odpowiedzialni za instalację uaktualnień i „łat” oprogramowania.

4. Administrator przygotowuje a przełożony odpowiedniego szczebla zatwierdza listę oprogramowania dopuszczoną do użytkowania na stacjach roboczych w zależności od typu prac na nich wykonywanych.

5. Zabrania się wszelkich prac z wykorzystaniem oprogramowania, na które użytkownik nie ma ważnej licencji (zakaz nie dotyczy programów, na użytkowanie których licencja nie jest wymagana) lub niewiadomego pochodzenia.

6. Użytkownicy zobowiązani są do zachowania szczególnej ostrożności przy pracy z pocztą elektroniczną. W przypadku jakichkolwiek wątpliwości, szczególnie w przypadku załączników poczty elektronicznej, należy przed uruchomieniem skontaktować się z administratorem.

7. Przy wprowadzaniu do systemu nowych programów lub danych zawsze należy kierować się zasadą ograniczonego zaufania.

8. Za sporządzanie kopii bezpieczeństwa informacji znajdujących się na serwerach odpowiada administrator. Wykonywanie kopii bezpieczeństwa danych znajdujących się na stacjach roboczych należy do obowiązków użytkowników. Dopuszcza się wykonywanie kopii bezpieczeństwa przy wykorzystaniu dyskietek lub płyt CD-RW. Przy większych zbiorach i braku w stacji roboczej odpowiedniego mechanizmu składowania np. napędu CD-RW należy kontaktować się z administratorem sieci lokalnej i z nim ustalić sposób składowania. Zaleca się zapisywanie istotnych zbiorów danych na udostępnionych przez administratora dyskach sieciowych.

9. Bezpieczeństwo na styku z siecią INTERNET zapewniają systemy firewall. Zabrania się dokonywania połączeń modemowych z sieci lokalnej do sieci INTERNET z pominięciem oprogramowania Fire-Wall. Jeżeli komputer przenośny został, podczas pracy w terenie, podłączony do sieci INTERNET, to przed podłączeniem do sieci lokalnej cały jego dysk twardy musi być sprawdzony zaktualizowanym programem antywirusowym.

10. Wykonywanie prac pozasłużbowych dopuszcza się w wyjątkowych przypadkach - za zgodą przełożonych.

11. Zabrania się pozostawienia sprzętu komputerowego niezabezpieczonego przed dostępem osób nieuprawnionych, bez nadzoru osoby odpowiedzialnej za jego użytkowanie. Zalecane jest stosowanie wygaszaczy ekranu zabezpieczonych hasłem.


Załącznik nr 4
do zarządzenia nr 24/2005
Głównego Inspektora Pracy
z dnia 7 kwietnia 2005 r.

WZÓR

Ewidencja osób zatrudnionych przy przetwarzaniu danych osobowych

w.....................................................................................................................
(oznaczenie jednostki organizacyjnej)

 

L.p.

Imię i nazwisko

Stanowisko

Komórka organizacyjna

Data przeszkolenia

Nr upoważnienia imiennego*

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

* dotyczy osób przetwarzających dane w systemie informatycznym


Załącznik nr 5
do zarządzenia nr 24/2005
Głównego Inspektora Pracy
z dnia 7 kwietnia 2005 r.

WZÓR
upoważnienia do przetwarzania danych osobowych

.......................................................
 (miejscowość, data)              a

.....................................................................
               (pieczęć jednostki organizacyjnej)

Nr rej. .....................................................

Upoważnienie do przetwarzania danych osobowych

Na podstawie art. 37 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.) upoważniam:

...................................................................................................................................
(imię i nazwisko)

zatrudnionego na stanowisku.......................................................................................

w ...............................................................................................................................
(oznaczenie jednostki i komórki organizacyjnej)

 

do przetwarzania danych i obsługi systemu informatycznego oraz urządzeń wchodzących w jego skład, służących do przetwarzania danych osobowych.

......................................................................
(podpis i pieczęć administratora danych)    a


[1] Zmiana wymienionego zarządzenia została ogłoszona w M. P. z 2004 r. Nr 15, poz. 233.

[2] Zmiany ustawy po opublikowaniu tekstu jednolitego zostały ogłoszone w Dz. U. z 2002 r. Nr 153, poz. 1271 oraz z 2004 r. Nr 25, poz. 219 i Nr 33, poz. 285.

[3] Zmiany ustawy zostały ogłoszone w Dz. U. z 2000 r. Nr 12, poz. 136 i Nr 39, poz. 462, z 2001 r. Nr 22, poz. 247, Nr 27, poz. 298, Nr 56, poz. 580, Nr 110, poz. 1189, Nr 123, poz. 1353  i Nr 154, poz. 1800, z 2002 r. Nr 74, poz. 676, Nr 89, poz. 804 i Nr 153, poz. 1271, z 2001 r. Nr 17, poz. 155 oraz z 2004 r. Nr 29, poz. 257.

Wyłącznie w sprawach BIP PIP >>> bip@gip.pip.gov.pl Skargi, wnioski, pytania do PIP >>> kancelaria@gip.pip.gov.pl
Osoba odpowiedzialna za treść: Krzysztof Bielecki
Data modyfikacji: 2008/01/22 20:30:03
Redaktor: Tadeusz Szmagaj