Polityka bezpieczeństwa

Polityka bezpieczeństwa
Polecane artykuły
Księga jakości Dokumentowanie systemu zarządzania Nadzór nad zapisami ISO 27001 Polityka bezpieczeństwa informacji Audyt zewnętrzny Whistleblowing Cyberbezpieczeństwo Polityka prywatności

Pod pojęciem polityki bezpieczeństwa (zwanej również strategią bezpieczeństwa) należy rozumieć ogół zasad, metod i narzędzi ochrony i nadzoru nad informacją. Powinna ona obejmować takie elementy, jak: politykę informacyjną, ochronę informacji niejawnych, zasady ochrony danych osobowych, politykę bezpieczeństwa systemu teleinformatycznego, zasady ochrony tajemnicy przedsiębiorstwa lub innych tajemnic zawodowych, zapobieganie przestępstwom na szkodę firmy, szczególnie fałszerstwom i oszustwom, zasady ochrony fizycznej i technicznej, i inne związane z bezpieczeństwem.

Na stronie internetowej GIODO można odnaleźć dokument pt. "Wytyczne w zakresie opracowania i wdrożenia polityki bezpieczeństwa" w którym można odnaleźć informacje dotyczące wdrożenia i opracowania polityki bezpieczeństwa. Polityka bezpieczeństwa dotyczy całościowego problemu zabezpieczenia danych, a więc odnosi się do danych które są przetwarzane tradycyjnie jak również do danych przetwarzanych w systemach informatycznych. Dlatego każdy kto przetwarza dane osobowe jest zobowiązany przygotować i stosować się do polityki bezpieczeństwa nawet jeśli nie korzysta z komputerów do takiego celu. (Ochrona Danych Osobowych w Praktyce Leszek Kępa Warszawa 2014 s. 272-274)

TL;DR

Polityka bezpieczeństwa dotyczy ochrony danych osobowych i innych informacji przed nieuprawnionym dostępem. Dostępna jest na stronie GIODO. Cele polityki to ustalenie zasad postępowania i działań mających na celu zabezpieczenie danych. Polityka powinna zawierać informacje o budynkach, danych, programach i przepływie danych, jak również środki organizacyjne i techniczne gwarantujące bezpieczeństwo. Wdrażanie polityki wymaga podniesienia świadomości kadry kierowniczej i alokacji odpowiednich środków finansowych.

Cele polityki bezpieczeństwa

Do głównych celów polityki bezpieczeństwa zalicza się stworzenie reguł i zasad postępowania oraz wskazanie działań jakie należy podjąć, aby poprawnie zabezpieczyć dane osobowe. W ramach właściwego funkcjonowania polityki bezpieczeństwa nie umieszcza się w niej zapisów które często podlegają zmianie a także nie zawiera się ich w treściach informacji szczegółowej. Działania te są ważne zwłaszcza w sytuacji, kiedy dotyczą dużych przedsiębiorstw, gdzie takie uchwały podejmowane są przez zarząd. W przeciwnym wypadku zarząd musiałby często przyjmować nowe dokumenty. Administrator danych jest odpowiedzialny za zatwierdzanie polityki bezpieczeństwa. Polityka ta musi być w formie pisemnej a każdy zatrudniony pracownik, który ma dostęp do przetwarzania danych osobowych obowiązkowo zapoznał się z jej treścią. Dodatkowo w celach dowodowych pracownik powinien po zapoznaniu się z treścią tej polityki potwierdzić na piśmie. Pracownicy tego obszaru powinni być zapoznani z tymi regulacjami na samym początku zatrudnienia zanim rozpoczną działania w procesie przetwarzania danych osobowych. (Ochrona Danych Osobowych w Praktyce Leszek Kępa, Warszawa 2014 s. 272-274)

Struktura polityki bezpieczeństwa

Polityka bezpieczeństwa powinna zawierać:

• Wykaz budynków oraz pomieszczeń w których będzie odbywał się proces przetwarzania danych osobowych
• Wykaz zbiorów danych a także wskazanie programów które znajdą zastosowanie w procesie przetwarzania danych
• Informacje dotyczące przepływu danych pomiędzy systemami
• Opis środków organizacyjnych jak i technicznych które są gwarantem poufności, integralności i rozliczalności przetwarzanych danych
• Opis struktury zgromadzonych danych który wskazuje na powiązania między poszczególnymi polami informacyjnymi

Należy podkreślić, że polityka bezpieczeństwa może być wzbogacona o więcej informacji, te które zostały przedstawione stanowią wymogi minimalne. Polska Norma PN-ISO/IEC 27001 wskazuje, że celem polityki bezpieczeństwa jest wsparcie kierownictwa dla bezpieczeństwa informacji oraz zapewnienie jej kierunków działań. Polityka bezpieczeństwa ma zawierać zbiór zasad i praktyk wraz z dokumentacją w jaki sposób organizacja ma chronić przetwarzane dane osobowe. Taki dokument zatwierdzany jest przez kierownictwo firmy i przedstawiany wszystkim pracownikom. Jeśli polityka bezpieczeństwa ma być zgodna z powyższą normą ISO to dodatkowo powinny się znaleźć informacje tj. definicja bezpieczeństwa informacji, podkreślenie intencji kierownictwa, definicje ogólnych obowiązków w zakresie zarządzania bezpieczeństwem informacji itp. Nazwa dokumentu polityki bezpieczeństwa nie musi posiadać takiej samej nazwy jak zawartej w rozporządzeniu jednak swoją treścią powinna obejmować niezbędne informacje. Polityka bezpieczeństwa nie stanowi dokumentu publicznie dostępnego. Jest ona bowiem dokumentem wewnętrznym. Według Leszka Kępy w książce pt. Ochrona danych osobowych w praktyce można odnaleźć informację, w której zawarty jest przykład, gdzie Generalny Inspektor Ochrony Danych Osobowych odmawia udzielenia informacji o polityce bezpieczeństwa systemów informatycznych w jego biurze, gdyż żądający wystosował wniosek o jej udostępnienie w ramach informacji publicznej. Wojewódzki Sąd Administracyjny w Warszawie (sygn, II SA/Wa 1539/05) uznał że wszystkie podmioty które przetwarzają dane osobowe powinny posiadać taką dokumentację w formie pisemnej ale nie musi być on jednolitym dokumentem (Ochrona Danych Osobowych w Praktyce Leszek Kępa, Warszawa 2014 s. 272-274)

Według Krzysztofa Lidermana autora książki "Bezpieczeństwo Informacyjne, nowe wyzwania" osiągnięcie sukcesu przy wdrażaniu polityki bezpieczeństwa powinno być oparte m.in. na podniesieniu świadomości i chęci kadry kierowniczej w celu podniesienia bezpieczeństwa informacyjnego a także przeznaczenia odpowiednich środków finansowych na ten cel a także podjęcia decyzji co do sposobu budowy bądź modyfikacji systemu bezpieczeństwa informacyjnego. (Bezpieczeństwo Informacyjne nowe wyzwania Krzysztof Liderman, Warszawa 2017 s. 229-230)

Bibliografia

• Kępa L. (2014). Ochrona Danych Osobowych w Praktyce, Wydawnictwo Difin, Warszawa s. 272-274
• Liderman K. (2017). Bezpieczeństwo Informacyjne, nowe wyzwania, Wydawnictwo Naukowe PWN, Warszawa s. 229-230.
• Lisiak-Felicka D., Szmit M. Incydenty związane z bezpieczeństwem informacji w administracji publicznej w Polsce, Studies & Proceedings of Polish Association for Knowledge Management Nr 76, 2015
• Sawicka J., Stronczek A. Poziom wykształcenia audytora wewnętrznego a skuteczne wykrywanie nadużyć Zeszyty Naukowe Uniwersytetu Szczecińskiego nr 864 Finanse, Rynki Finansowe, Ubezpieczenia nr 76, t. 2 (2015)
• Żywiołek J. Innowacyjność przepływów informacyjnych jako element udoskonalenia systemu informacji w przesiębiorstwie logistycznym Zeszyty Naukowe Politechniki Częstochowskiej Zarządzanie Nr 24 t. 1 (2016)

Autor: Mateusz Gałaś