Polityka Bezpieczeństwa
Kim jesteśmy
GLOBAL-MED EDUCATION Sp. z o.o
Spis treści
Pojęcia.
Charakterystyka GLOBAL-MED EDUCATION Sp. z o.o
Schemat organizacyjny GLOBAL-MED EDUCATION Sp. z o.o
Polityka bezpieczeństwa cele i zasady funkcjonowania.
Kompetencje i odpowiedzialność w zarządzaniu bezpieczeństwem danych osobowych.
Wykaz stanowisk uprawnionych do przetwarzania danych osobowych.
Zasady udzielania dostępu do danych osobowych.
Udostępnianie i powierzanie danych osobowych.
Bezpieczeństwo w przetwarzaniu danych osobowych w formie tradycyjnej.
Wykaz pomieszczeń tworzących obszar, w którym przetwarzane są dane osobowe.
Zbiory danych przetwarzanych w sposób tradycyjny.
Zabezpieczenie danych osobowych gromadzonych w formie tradycyjnej w GLOBAL-MED EDUCATION Sp. z o.o
Opis zdarzeń naruszających ochronę danych osobowych.
Działania, środki techniczne i organizacyjne niezbędne dla zapewnienia poufności, integralności i dostępności przetwarzania danych osobowych.
Bezpieczeństwo przetwarzania danych osobowych w systemach informatycznych.
Pojęcia
Ustawa — rozumie się przez to ustawę z dnia 29 sierpnia 1997 r. o ochronie danych osobowych z dnia 29 sierpnia 1997r. (tekst jedn. Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.).
Administrator Danych Osobowych – rozumie się przez to właściciela firmy
Pracownik Przetwarzający Dane – pracownicy administracji, nauczyciele.
Administrator Bezpieczeństwa Informacji – osoba powołana zarządzeniem dyrektora lub firma na podstawie umowy, która odpowiada za bezpieczeństwo danych osobowych, egzekwuje zgodnie z prawem przetwarzanie danych osobowych w GLOBAL-MED EDUCATION Sp. z o.o w imieniu ADO oraz określa uprawnienia osób do przetwarzania danych osobowych a także rozpoznaje potrzeby w zakresie stosowanych zabezpieczeń.
Dane osobowe – w rozumieniu ustawy za dane osobowe uważa się wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej.
Przetwarzanie danych – rozumie się przez to jakiekolwiek operacje wykonywane
na danych osobowych, takie jak gromadzenie, wytwarzanie, archiwizowanie i usuwanie, oraz te, które wykonuje się w systemach informatycznych.
Zbiór danych – każdy posiadający strukturę zestaw danych o charakterze osobowym, dostępnych według określonych kryteriów.
System informatyczny – zespół współpracujących ze sobą urządzeń, programów, procedur przetwarzania informacji i narzędzi programowych zastosowanych w celu przetwarzania danych.
Identyfikator użytkownika (login) – ciąg znaków literowych, cyfrowych lub innych, jednoznacznie identyfikujący osobę upoważnioną do przetwarzania danych osobowych
w systemie informatycznym.
Hasło – ciąg znaków literowych, cyfrowych lub innych, przypisany do identyfikatora użytkownika, znany jedynie osobie uprawnionej do pracy w systemie informatycznym.
Uwierzytelnianie — rozumie się przez to działanie, którego celem jest weryfikacja deklarowanej tożsamości podmiotu.
Integralność danych – rozumie się przez to właściwość zapewniającą, że dane osobowe nie zostały zmienione lub zniszczone w sposób nieautoryzowany.
Poufność danych – rozumie się przez to własność zapewniającą, że dane nie są udostępniane nieupoważnionym podmiotom.
1. Charakterystyka GLOBAL-MED EDUCATION Sp. z o.o
Polityka bezpieczeństwa
Cele i zasady funkcjonowania
Polityka bezpieczeństwa przetwarzania danych osobowych w GLOBAL-MED EDUCATION Sp. z o.o zwana dalej „Polityką bezpieczeństwa», określa podstawowe zasady dotyczące zapewnienia bezpieczeństwa w zakresie danych osobowych przetwarzanych w zbiorach danych:
– tradycyjnych, w szczególności kartotekach, księgach, skorowidzach, aktach osobowych, wykazach, w zbiorach ewidencyjnych;
– w systemach informatycznych, w szczególności deklaracje ZUS, ewidencje płacowe, stypendialne, informacje skarbowe, ewidencje statystyczne, plany organizacyjne.
Realizując Politykę bezpieczeństwa informacji zapewnia się ich:
- poufność – informacja nie jest udostępniana lub ujawniana nieupoważnionym osobom, podmiotom i procesom,
- integralność – dane nie zostają zmienione lub zniszczone w sposób nie autoryzowany,
- dostępność – istnieje możliwość wykorzystania ich na żądanie, w założonym czasie, przez autoryzowany podmiot,
- autentyczność – zapewnienie, że tożsamość podmiotu lub zasobu jest taka, jak deklarowana,
- niezaprzeczalność – uczestnictwo w całości lub części wymiany danych przez jeden z podmiotów uczestniczących w tej wymianie jest niepodważalne,
- niezawodność – zamierzone zachowania i skutki są spó
- rozliczalność – przetwarzanie zgodnie z prawem
Polityka bezpieczeństwa w GLOBAL-MED EDUCATION Sp. z o.o ma na celu zredukowanie możliwości wystąpienia negatywnych konsekwencji naruszeń w tym zakresie, tj.:
- naruszeń danych osobowych rozumianych jako prywatne dobro powierzone GLOBAL-MED EDUCATION Sp. z o.o
- naruszeń przepisów prawa oraz innych regulacji;
- utraty lub obniżenia reputacji;
- strat finansowych ponoszonych w wyniku nałożonych kar;
- zakłóceń organizacji pracy spowodowanych nieprawidłowym działaniem systemó
Realizując Politykę bezpieczeństwa w zakresie ochrony danych osobowych GLOBAL-MED EDUCATION Sp. z o.o dokłada szczególnej staranności w celu ochrony interesów osób, których dane dotyczą,
a w szczególności zapewnia warunki, aby dane te były:
- przetwarzane zgodnie z prawem,
- zbierane dla oznaczonych, zgodnych z prawem celów i nie poddawane dalszemu przetwarzaniu niezgodnemu z tymi celami,
- merytorycznie poprawne i adekwatne w stosunku do celu, w jakim są przetwarzane,
- przechowywane w postaci umożliwiającej identyfikację osób, których dotyczą, nie dłużej niż jest to niezbędne do osiągnięcia celu przetwarzania.
GLOBAL-MED EDUCATION Sp. z o.o dąży do systematycznego unowocześniania stosowanych na terenie placówki informatycznych, technicznych i organizacyjnych środków ochrony tych danych w celu zabezpieczenia danych osobowych przed ich udostępnianiem osobom nieupoważnionym, przetwarzaniem z naruszeniem przepisów o ochronie danych osobowych, nieautoryzowaną zmianą, uszkodzeniem lub zniszczeniem.
Kompetencje i odpowiedzialność w zarządzaniu bezpieczeństwem danych osobowych
Za przetwarzanie danych osobowych niezgodnie z prawem, celami przetwarzania lub przechowywaniem ich w sposób niezapewniający ochrony interesów osób, których te dane dotyczą grozi odpowiedzialność karna wynikająca z przepisów ustawy o ochronie danych osobowych lub pracownicza na zasadach określonych w kodeksie pracy.
Administrator Danych Osobowych (ADO) – GLOBAL-MED EDUCATION Sp. z o.o:
- formułuje i wdraża warunki techniczne i organizacyjne służące ochronie danych osobowych przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez nieuprawnioną, przetwarzaniem z naruszeniem ustawy oraz zmianą, utratą, uszkodzeniem lub zniszczeniem,
- decyduje o zakresie, celach oraz metodach przetwarzania i ochrony danych osobowych,
- odpowiada za zgodne z prawem przetwarzanie danych osobowych w GLOBAL-MED EDUCATION Sp. z o.o
- określa potrzeby w zakresie stosowanych zabezpieczeń, wnioskuje do ADO
o zatwierdzenie proponowanych rozwiązań i nadzoruje prawidłowość ich wdrożenia, - udziela wyjaśnień i interpretuje zgodność stosowanych rozwiązań w zakresie ochrony danych osobowych z przepisami prawa,
- bierze udział w podnoszeniu świadomości i kwalifikacji osób przetwarzających dane osobowe w GLOBAL-MED EDUCATION Sp. z o.o i zapewnia odpowiedni poziom przeszkolenia w tym zakresie.
- zarządza bezpieczeństwem przetwarzania danych osobowych w systemie informatycznym zgodnie z wymogami prawa,
- doskonali i rozwija metody zabezpieczenia danych przed zagrożeniami związanymi z ich przetwarzaniem,
- generuje identyfikatory użytkownikom systemu informatycznego oraz zaznajamia ich z procedurami ustalania i zmiany haseł dostępu,
- nadzoruje prace związane z rozwojem, modyfikacją, serwisowaniem i konserwacją systemu,
- zapewnia bezpieczeństwo wewnętrznego i zewnętrznego obiegu informacji w sieci
i zabezpieczenie łączy zewnętrznych, - prowadzi nadzór nad archiwizacją zbiorów danych oraz zabezpiecza elektroniczne nośniki informacji zawierających dane osobowe.
Zasady udzielania dostępu do danych osobowych
Dostęp do danych osobowych może mieć wyłącznie osoba zaznajomiona z przepisami Ustawy o ochronie danych osobowych oraz zasadami zawartymi w obowiązującej w GLOBAL-MED EDUCATION Sp. z o.o. Polityce bezpieczeństwa i Instrukcji zarządzania systemem informatycznym. Osoba zaznajomiona z zasadami ochrony danych potwierdza to w pisemnym oświadczeniu. Dostęp do danych osobowych może mieć wyłącznie osoba posiadająca pisemne oraz imienne upoważnienie wydane przez ADO i ABI.
Udostępnianie i powierzanie danych osobowych
Dane osobowe mogą być udostępnione osobom i podmiotom z mocy przepisów prawa lub jeżeli w sposób wiarygodny uzasadnią one potrzebę ich posiadania, a ich udostępnienie nie naruszy praw i wolności osób, których one dotyczą.
Udostępnienie danych może nastąpić na pisemny wniosek zawierający następujące elementy:
- adresata wniosku (ADO),
- wnioskodawcę,
- podstawę prawną (wskazanie potrzeby),
- wskazanie przeznaczenia,
- zakres informacji.
Administrator Danych Osobowych odmawia udostępnienia danych jeżeli spowodowałoby to naruszenie dóbr osobistych osób, których dane dotyczą lub innych osób.
Powierzenie danych może nastąpić w drodze pisemnej umowy, w której osoba przyjmująca dane zobowiązuje się do przestrzegania obowiązujących przepisów ustawy
o ochronie danych osobowych. Umowa powinna zawierać informacje o podstawie prawnej powierzenia danych, celu i sposobie ich przetwarzania.
Każda osoba fizyczna, której dane przetwarzane są w GLOBAL-MED EDUCATION Sp. z o.o. ma prawo zwrócić się z wnioskiem o udzielenie informacji związanych z przetwarzaniem tych danych i wnieść do nich zmiany. Sprawy związane z udzielaniem informacji w tym zakresie prowadzi GLOBAL-MED EDUCATION Sp. z o.o.
Bezpieczeństwo w przetwarzaniu danych osobowych w formie tradycyjnej
Pomieszczenia, w których znajdują się przetwarzane zbiory danych osobowych pozostają zawsze pod bezpośrednim nadzorem pracownika upoważnionego do ich przetwarzania. Opuszczenie pomieszczenia, w których znajdują się zbiory danych osobowych musi być poprzedzone przeniesieniem zbioru danych do odpowiednio zabezpieczonego miejsca. Każdorazowo po opuszczeniu pomieszczenia, powinno być ono zamknięte na klucz.
Klucze do szaf, w których przechowywane są dane osobowe mają jedynie pracownicy upoważnieni do przetwarzania danych osobowych w zakresie zgodnym z kategorią danych.
Korzystanie ze zbiorów danych osobowych przez osoby niezatrudnione
w GLOBAL-MED EDUCATION Sp. z o.o powinno odbywać się po uzyskaniu upoważnienia w przypadku osób upoważnionych do przetwarzania tych danych na podstawie ogólnie obowiązujących przepisów. Dokumentacji, która zawiera zbiory danych osobowych, nie można wynosić poza teren GLOBAL-MED EDUCATION Sp. z o.o. Osoby prowadzące dokumentację zobowiązane są do niezwłocznego poinformowania GLOBAL-MED EDUCATION Sp. z o.o o podejrzeniu dostępu do dokumentacji przez osoby nieupoważnione.
Ponadto zabrania się:
- wyrzucania dokumentów zawierających dane osobowe bez uprzedniego ich trwałego zniszczenia,
- pozostawiania dokumentów, kopii dokumentów zawierających dane osobowe w drukarkach, kserokopiarkach,
- pozostawiania kluczy w drzwiach, szafach, biurkach, zostawiania otwartych pomieszczeń, w których przetwarza się dane osobowe,
- pozostawiania bez nadzoru osób trzecich przebywających w pomieszczeniach nazwa firmy y, w których przetwarzane są dane osobowe,
- pozostawiania dokumentów na biurku po zakończonej pracy, pozostawiania otwartych dokumentów na ekranie monitora,
- ignorowania nieznanych osób z zewnątrz poruszających się w obszarze przetwarzania danych osobowych,
- przekazywania informacji będącymi danymi osobowymi osobom nieupoważnionym
- ignorowania zapisów Polityki Bezpieczeństwa GLOBAL-MED EDUCATION Sp. z o.o.
Bezpieczeństwo w przetwarzaniu danych osobowych w formie tradycyjnej
| GLOBAL-MED EDUCATION Sp. z o.o | Pomieszczenia, w których przetwarzane są dane osobowe |
| Sekretariat | |
Archiwum |
|
Sale wykładowe |
Zbiory danych przetwarzanych w sposób tradycyjny
| Zbiór danych osobowych | Dokumentacja służąca do przetwarzania zbioru danych | Struktura danych |
| Pracownicy | Akta osoboe | PESEL/imię i nazwisko/nazwisko rodowe/ data i miejsce urodzenia/płeć/adres stały/ numer telefonu/ e-mail/ dowód osobisty (seria i nr, wydany przez, data wydania)/ imię ojca/ imię matki/ stan cywilny i rodzinny/stosunek do służby wojskowej (dokument wojskowy, seria i numer, stopień wojskowy)/ numer legitymacji służbowej/ posiada gospodarstwo rolne/ emeryt/ rencista/obywatelstwo obce/ osoba kontaktowa/ wykształcenie/ nazwa nazwa firmy y i rok ukończenia/ warunki zatrudnienia/ staż pracy/ historia pracy, kary, nagrody/ tytuł zawodowy/ zawód wyuczony i wykonywany/ uzyskane kwalifikacje/ nieobecności w pracy |
Ewidencja akt osobowych |
imię i nazwisko/ data i miejsce urodzenia/ adres stały |
Zabezpieczenie danych osobowych gromadzonych w formie tradycyjnej
w GLOBAL-MED EDUCATION Sp. z o.o.
| Rodzaj danych/ miejsce przechowywania | Zabezpieczenie przykłady |
| Umowy zlecenia | System alarmowy, Monitoring |
| Klienci | Sekretariat szafy zamknięte na klucz. |
| Faktury | System alarmowy, Monitoring |
| Książka korespondencyjna | System alarmowy, Monitoring |
| Dokumenty zarchiwizowane | Pomieszczenie składnicy akt. |
Opis zdarzeń naruszających ochronę danych osobowych
- 1. Zagrożenia losowe:
- Zewnętrzne np. klęski żywiołowe, przerwy w zasilaniu, ich wystąpienie może prowadzić do utraty integralności danych lub ich zniszczenia lub uszkodzenia infrastruktury technicznej systemu: ciągłość zostaje naruszona, nie dochodzi jednak do naruszenia danych osobowych.
- Wewnętrzne np. niezamierzone pomyłki operatorów, awarie sprzętowe, błędy oprogramowania – w wyniku ich wystąpienia może dojść do zniszczenia danych, może nastąpić zakłócenie ciągłości pracy systemu i naruszenia poufności danych.
- 2. Zagrożenia zamierzone (świadome i celowe naruszenia poufności danych) –
w wyniku ich wystąpienia zazwyczaj nie występuje uszkodzenie infrastruktury technicznej i zakłócenie ciągłości pracy. W ramach tej kategorii zagrożeń mogą wystąpić:
- nieuprawniony dostęp do systemu z zewnątrz,
- nieuprawniony dostęp do systemu z wewnątrz,
- nieuprawnione przekazanie danych,
- bezpośrednie zagrożenie materialnych składników np. kradzież, zniszczenie.
- 3. Okoliczności zakwalifikowane jako naruszenie lub uzasadnione podejrzenie naruszenie zabezpieczenia systemu informatycznego, w którym gromadzone, przetwarzane i archiwizowane są dane osobowe to w szczególności :
- sytuacje losowe lub nieprzewidywalne oddziaływanie czynników zewnętrznych na zasoby systemu np. wybuch gazu, pożar, zalanie pomieszczeń, uszkodzenia wskutek prowadzonych prac remontowych;
- niewłaściwe parametry środowiska np. nadmierna wilgotność, temperatura, wstrząsy, oddziaływania pola elektromagnetycznego, przeciążenia napięcia;
- awarie sprzętu lub oprogramowania, które są celowym działaniem na potrzeby naruszenia ochrony danych osobowych;
- pojawienie się odpowiedniego komunikatu alarmowego od części systemu, która zapewnia ochronę zasobów lub inny komunikat o podobnym znaczeniu,
- pogorszenie jakości danych w systemie lub inne odstępstwo od stanu oczekiwanego wskazujące na zakłócenia systemu lub niepożądaną modyfikację w systemie,
- naruszenie lub próba naruszenia integralności systemu lub bazy danych w tym systemie;
- modyfikacja danych lub zmiana w strukturze danych bez odpowiedniego upoważnienia;
- ujawnienie osobom nieuprawnionym danych osobowych lub objętych tajemnicą procedur ochrony ich przetwarzania;
- podmienienie lub zniszczenie nośników z danymi osobowymi bez odpowiedniego upoważnienia lub skasowanie bądź skopiowanie w sposób niedozwolony danych osobowych;
- rażące naruszenie obowiązków w zakresie przestrzegania procedur bezpieczeństwa informacji (niewylogowywanie się przed opuszczeniem stanowiska pracy, pozostawienie danych w drukarce lub kserokopiarce, niewykonanie kopii zapasowych, prace na danych osobowych w celach prywatnych itp.);
- nieprawidłowości w zakresie przechowywania danych osobowych, znajdujących się na dyskach, płytach CD, kartach pamięci, wydrukach komputerowych
w formie niezabezpieczonej (otwarte szafy, biurka, regały, archiwum).
- 4. Szczegółowe zasady postępowania w przypadku stwierdzenia naruszenia ochrony danych osobowych reguluje Instrukcja zarządzania systemem informatycznym służącym do gromadzenia, przetwarzania, archiwizowania informacji.
Działania, środki techniczne i organizacyjne niezbędne dla zapewnienia poufności, integralności i dostępności przetwarzania
danych osobowych
- 1. Formy zabezpieczeń pomieszczeń, w których są przetwarzane dane osobowe:
- wszystkie pomieszczenia, w których są przetwarzane dane osobowe zamykane są na klucz, w przypadku opuszczenia przez ostatnią osobę upoważnioną – także w godzinach pracy.
- dane osobowe przechowywane w wersji papierowej lub elektronicznej (pamięć flash, płyty CD, DVD, dyskietki) po zakończeniu pracy są przechowywane w zamykanych na klucz meblach biurowych, a tam gdzie jest możliwe – w sejfie.
- nieaktualne lub błędne wydruki zawierające dane osobowe – są niszczone
w niszczarkach.
- 2. Formy zabezpieczeń przed nieautoryzowanym dostępem do danych osobowych:
- podłączenie urządzenia końcowego (komputera, drukarki) do sieci komputerowej dokonywane jest przez administratora sieci;
- udostępnienie użytkownikowi zasobów sieci zawierających dane osobowe przez administratora sieci następuję na podstawie upoważnienia do przetwarzania danych osobowych;
- identyfikacja użytkownika w systemie następuje poprzez zastosowanie uwierzytelniania;
- przydzielenie indywidualnego identyfikatora każdemu użytkownikowi;
- udostępnienie kluczy do pomieszczeń, w których przetwarzane są dane osobowe tylko osobom upoważnionym
- ustawienie monitorów na stanowiskach pracy w sposób uniemożliwiający wgląd w dane osobowe;
- zmiana hasła co 30 dni;
- 3. Formy zabezpieczeń przed utratą danych osobowych w wyniku awarii:
- odrębne zasilanie sprzętu komputerowego lub zastosowanie zasilaczy UPS;
- ochrona przed utratą danych poprzez co miesięczne wykonywanie kopii zapasowych;
- zapewnienie właściwej temperatury i wilgotności w pomieszczeniach;
- zastosowanie ochrony przeciwpożarowej poprzez umieszczenie w dostępnej odległości gaśnic.
- 4. Organizację ochrony danych osobowych realizuje się poprzez:
- zapoznanie każdej osoby z przepisami dotyczącymi ochrony danych osobowych przed dopuszczeniem do pracy;
- przeszkolenie osób w zakresie bezpiecznej obsługi urządzeń i programów związanych z gromadzeniem, przetwarzaniem i archiwizowaniem danych
i programów; - kontrolowanie pomieszczeń budynku;
- prowadzenie ewidencji osób upoważnionych do gromadzenia, przetwarzania
i archiwizowania danych osobowych; - wyznaczenie administratora bezpieczeństwa informacji.
Bezpieczeństwo przetwarzania danych osobowych w systemach informatycznych
Zasady bezpiecznego użytkowania systemu informatycznego zawarte są
w Instrukcji zarządzania systemem informatycznym, obligatoryjnej do zapoznania się
i stosowania przez wszystkich użytkowników systemu informatycznego.
Zbiory danych przetwarzanych w systemach informatycznych i opis struktury przetwarzanych danych osobowych:
| ZBIÓR DANYCH OSOBOWYCH | PROGRAM INFORMATYCZNY SŁUZĄCY DO PRZETWARZANIA ZBIORU DANYCH | STRUKTURA DANYCH |
| pracownicy | Open Office, Arkusz kalkulacyjny | PESEL/ NIP/ imię (imiona) i nazwisko/ nazwisko rodowe/ data i miejsce urodzenia/ płeć/adres stały/ numer telefonu/ e-mail/ dowód osobisty (seria i nr, wydany przez, data wydania)/ imię ojca/ imię matki/ stan cywilny i rodzinny/ numer legitymacji służbowej/ posiada gospodarstwo rolne/ emeryt/ rencista/ obywatelstwo obce/ dane osoby kontaktowej/ wykształcenie/ nazwa nazwa firmy y i rok ukończenia/ staż pracy/ historia pracy/ warunki zatrudnienia/ wysokość wynagrodzenia/ukończone kursy/ kary i nagrody/ nieobecności w pracy/ informacja oi/ informacje o stanie zdrowia |
| uczniowie | Open Office, Arkusz kalkulacyjny | PESEL/ NIP/ imię (imiona) i nazwisko/ nazwisko rodowe/ data i miejsce urodzenia/ płeć/adres stały/ numer telefonu/ e-mail/ dowód osobisty (seria i nr, wydany przez, data wydania)/ imię ojca/ imię matki/ dane osoby kontaktowej/wykształcenie/informacje o stanie zdrowia |
Zatwierdził
GLOBAL-MED EDUCATION Sp. z o.o
