Polityka bezpieczeństwa

Czym jest polityka bezpieczeństwa, kto ma obowiązek posiadać politykę bezpieczeństwa oraz co powinien zawierać prawidłowy wzór polityki bezpieczeństwa? Jeżeli szukasz odpowiedzi na powyższe pytania przeczytaj poniższy artykuł.

Odpowiednie zabezpieczenie przetwarzanych danych osobowych jest obowiązkiem każdego administratora danych osobowych, przewidzianym w ustawie z dnia 29 sierpnia 1997 roku o ochronie danych osobowych. By należycie wypełnić ten obowiązek konieczne jest utworzenie odpowiedniej dokumentacji opisującej sposób przetwarzania danych osobowych oraz środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych.

Do dokumentacji opisującej sposób przetwarzania danych osobowych zalicza się:

1. polityka bezpieczeństwa,
2. instrukcja zarządzania systemem informatycznym służącym do przetwarzania danych osobowych.

Czym jest polityka bezpieczeństwa

Polityka bezpieczeństwa stanowi jeden z elementów dokumentacji wymaganej przy procesie przetwarzania danych osobowych. O tym co oznacza przetwarzanie danych osobowych przeczytasz w naszym artykule – przetwarzanie danych osobowych. Najprościej rzecz ujmując polityka bezpieczeństwa stanowić ma zbiór wewnętrznych reguł  związanych z przetwarzaniem danych osobowych obowiązujących u danego administratora danych osobowych.

Co powinna zawierać polityka bezpieczeństwa

Poprawny wzór polityki bezpieczeństwa powinien zawierać następujące informacje:

1. definicję bezpieczeństwa informacji, jej cele, zakres oraz wyjaśnienie znaczenia bezpieczeństwa informacji będącej mechanizmem pozwalającym na współużytkowanie informacji;

2. oświadczenie o intencjach podmiotu odpowiedzialnego za przetwarzanie danych osobowych, w którym wskazane będą cele i zasady bezpieczeństwa informacji,

3. wyjaśnienie polityki bezpieczeństwa informacji, jej zasad, standardów oraz wymagań zgodności które mają szczególne znaczenie dla instytucji przetwarzającej dane jak np.

   • zgodność z prawem oraz wymaganiami wynikającymi z umów,

   • wymagania dotyczące kształcenia w dziedzinie bezpieczeństwa,

   • zapobieganie i wykrywanie wirusów oraz innego złośliwego oprogramowania,

   • zarządzanie ciągłością działania biznesowego,

   • konsekwencje naruszenia polityki bezpieczeństwa;

4. określenie obowiązków związanych z zarządzaniem bezpieczeństwem informacji, obejmujące tryb zgłaszania przypadków naruszenia bezpieczeństwa;

5. odesłania do dokumentacji uzupełniającej politykę jak np. szczegółowe zasady polityki bezpieczeństwa i procedury dla poszczególnych systemów informatycznych lub zasad bezpieczeństwa, których użytkownicy powinni przestrzegać,

6. wykaz budynków, pomieszczeń lub części pomieszczeń, które razem tworzą obszar w którym przetwarzane będą dane osobowe

7. wykaz zbioru danych osobowych zawierający informację o zastosowanym programie do przetwarzania danych osobowych (np. system kadrowy, system płacowy zawierające zbiór danych pracowników firmy)

8. opis struktury zbiorów danych, w których zostanie wskazana zawartość pól informacyjnych oraz powiązania między nimi,

   Opis powinien wskazywać jakie kategorie danych są przechowywane w zbiorze, niezbędnych dla ustalenia zakresu danych osobowych np. dane adresowe klienta (imię, nazwisko, adres [kod pocztowy, miejscowość, ulica, numer domu]),

9. sposób przepływu danych pomiędzy poszczególnymi systemami

   przedstawiając sposób przepływu danych osobowych można posłużyć się schematami, w których zostanie wskazane z jakimi zbiorami danych współpracuje dany moduł

10. wskazanie środków technicznych i organizacyjnych które są niezbędne by zapewnić poufność, integralność oraz rozliczalność przetwarzanych danych

Podsumowując do przygotowania poprawnej polityki bezpieczeństwa niezbędne jest spełnienie powyższych wymagań.