Informacje o kontrahentach firma musi chronić

Zapewnienie bezpieczeństwa danym jest obowiązkiem administratora, którym staje się automatycznie każda jednostka organizacyjna (firma, spółka, indywidualny przedsiębiorca) decydująca o celach i środkach przetwarzania danych. Może on powołać administratora bezpieczeństwa informacji lub upoważnić dowolną osobę do przetwarzania danych – albo robi to sam.

[srodtytul]Niezbędne będą dokumenty [/srodtytul]

Administrator danych musi stworzyć następujące dokumenty:

- polityka bezpieczeństwa – rozumiana jako zestaw praw, reguł i praktycznych doświadczeń dotyczących sposobu zarządzania, ochrony i dystrybucji danych osobowych wewnątrz organizacji. Dotyczy to danych przetwarzanych zarówno tradycyjnie, jak i w systemach informatycznych. Polityka bezpieczeństwa powinna zawierać szczególnie:

– wykaz budynków, pomieszczeń lub ich części tworzących obszar, w którym przetwarzane są dane osobowe

– wykaz zbiorów danych i programów zastosowanych do ich przetwarzania

– opis struktury zbiorów wskazujący zawartość poszczególnych pól informacyjnych i powiązania między nimi

– sposób przepływu danych między poszczególnymi systemami

– określenie środków technicznych i organizacyjnych niezbędnych do zapewnienia poufności, integralności i rozliczalności przy przetwarzaniu danych (wyjaśnienie tych pojęć dalej)

- instrukcja dostępu do systemu informatycznego

Do tego dochodzą załączniki:

- upoważnienia dla przetwarzających dane

- rejestry: osób upoważnionych oraz kopii zapasowych

[srodtytul]I w szafach, i w komputerach[/srodtytul]

Dane na nośniku tradycyjnym, a więc zapisane na papierze, gromadzone w kartotekach, teczkach, skoroszytach, zbiorach fiszek itp., muszą być przechowywane w solidnie zamykanych szafach, chronionych pomieszczeniach zaopatrzonych w porządne zamki lub systemy alarmowe, do których dostęp mogą mieć tylko osoby upoważnione przez administratora danych. Należy prowadzić dokumentację zarówno sposobu przetwarzania danych, jak i stosowanych środków zabezpieczających.

Większość danych jest obecnie przechowywana i przetwarzana w komputerach i systemach informatycznych. Pojęcie ich ochrony jest tożsame z pojęciem bezpieczeństwa informacji (przez analogię z bezpieczeństwem teleinformatycznym), które zgodnie z normą PN-ISO/IEC-17799:2005 oznacza zachowanie poufności, integralności, dostępności, rozliczalności, autentyczności, niezaprzeczalności i niezawodności. Definicje tych właściwości zawiera z kolei norma PN-I-13335-1. I tak:

- poufność – pewność, że informacja nie jest udostępniana osobom niepowołanym

- integralność – pewność, że danych bezprawnie nie zmieniono lub nie zniszczono

- dostępność – pewność bycia osiągalnym na żądanie

- rozliczalność – pewność, że działania danego podmiotu można przypisać tylko jemu

- autentyczność – pewność co do tożsamości podmiotu

- niezaprzeczalność – niemożność zaprzeczenia uczestnictwa

- niezawodność – spójność i celowość zachowań i skutków

[srodtytul]Trzy poziomy[/srodtytul]

A oto inne co ważniejsze zasady zarządzania bezpieczeństwem danych w systemach informatycznych. Rozporządzenie wprowadza trzy poziomy zabezpieczeń:

- podstawowy – gdy nie przetwarza się tzw. danych wrażliwych (o których mowa w art. 27 ustawy) i żadne z urządzeń nie jest połączone z siecią publiczną,

- podwyższony – gdy przetwarza się dane wrażliwe i nie ma połączenia z siecią publiczną,

- wysoki – gdy przynajmniej jedno z urządzeń jest połączone z siecią publiczną.

Wykaz minimalnych środków organizacyjnych i technicznych, jakie należy stosować na każdym z poziomów, określa szczegółowo załącznik do rozporządzenia.

[srodtytul]Co w instrukcji[/srodtytul]

Powinny się tam znaleźć informacje o systemie i zbiorach przetwarzanych przy jego użyciu, o rozwiązaniach technicznych, procedurach eksploatacji i zasadach użytkowania. Instrukcja musi omawiać czynności związane z uruchamianiem systemu, logowaniem, przerwami w pracy tak, by zachować poufność haseł oraz uniemożliwić nieuprawnione przetwarzanie danych.

Instrukcja musi też opisywać zasady przyznawania użytkownikom uprawnień, stosowania identyfikatorów, zabezpieczania hasłami – z wymogami dotyczącymi powtarzalności, zestawu znaków, częstotliwości i metody zmiany. Hasło użytkownika powinno mieć co najmniej sześć lub osiem znaków – w zależności od tego, czy przetwarza się dane wrażliwe – i być zmieniane najrzadziej co 30 dni. Jeśli stosowane są inne sposoby weryfikacji tożsamości użytkownika (np. karty mikroprocesorowe lub metody biometryczne), instrukcja powinna zawierać wytyczne ich stosowania.