Polityka bezpieczeństwa
| Polityka bezpieczeństwa |
|---|
| Polecane artykuły |
Pod pojęciem polityki bezpieczeństwa (zwanej również strategią bezpieczeństwa) należy rozumieć ogół zasad, metod i narzędzi ochrony i nadzoru nad informacją. Powinna ona obejmować takie elementy, jak: politykę informacyjną, ochronę informacji niejawnych, zasady ochrony danych osobowych, politykę bezpieczeństwa systemu teleinformatycznego, zasady ochrony tajemnicy przedsiębiorstwa lub innych tajemnic zawodowych, zapobieganie przestępstwom na szkodę firmy, szczególnie fałszerstwom i oszustwom, zasady ochrony fizycznej i technicznej, i inne związane z bezpieczeństwem.
Na stronie internetowej GIODO można odnaleźć dokument pt. "Wytyczne w zakresie opracowania i wdrożenia polityki bezpieczeństwa" w którym można odnaleźć informacje dotyczące wdrożenia i opracowania polityki bezpieczeństwa. Polityka bezpieczeństwa dotyczy całościowego problemu zabezpieczenia danych, a więc odnosi się do danych które są przetwarzane tradycyjnie jak również do danych przetwarzanych w systemach informatycznych. Dlatego każdy kto przetwarza dane osobowe jest zobowiązany przygotować i stosować się do polityki bezpieczeństwa nawet jeśli nie korzysta z komputerów do takiego celu (Ochrona Danych Osobowych w Praktyce Leszek Kępa Warszawa 2014 s. 272-274)
TL;DR
Polityka bezpieczeństwa dotyczy ochrony danych osobowych i innych informacji przed nieuprawnionym dostępem. Dostępna jest na stronie GIODO. Cele polityki to ustalenie zasad postępowania i działań mających na celu zabezpieczenie danych. Polityka powinna zawierać informacje o budynkach, danych, programach i przepływie danych, jak również środki organizacyjne i techniczne gwarantujące bezpieczeństwo. Wdrażanie polityki wymaga podniesienia świadomości kadry kierowniczej i alokacji odpowiednich środków finansowych.
Cele polityki bezpieczeństwa
Do głównych celów polityki bezpieczeństwa zalicza się stworzenie reguł i zasad postępowania oraz wskazanie działań jakie należy podjąć, aby poprawnie zabezpieczyć dane osobowe. W ramach właściwego funkcjonowania polityki bezpieczeństwa nie umieszcza się w niej zapisów które często podlegają zmianie a także nie zawiera się ich w treściach informacji szczegółowej. Działania te są ważne zwłaszcza w sytuacji, kiedy dotyczą dużych przedsiębiorstw, gdzie takie uchwały podejmowane są przez zarząd. W przeciwnym wypadku zarząd musiałby często przyjmować nowe dokumenty. Administrator danych jest odpowiedzialny za zatwierdzanie polityki bezpieczeństwa. Polityka ta musi być w formie pisemnej a każdy zatrudniony pracownik, który ma dostęp do przetwarzania danych osobowych obowiązkowo zapoznał się z jej treścią. Dodatkowo w celach dowodowych pracownik powinien po zapoznaniu się z treścią tej polityki potwierdzić na piśmie. Pracownicy tego obszaru powinni być zapoznani z tymi regulacjami na samym początku zatrudnienia zanim rozpoczną działania w procesie przetwarzania danych osobowych (Ochrona Danych Osobowych w Praktyce Leszek Kępa, Warszawa 2014 s. 272-274)
Struktura polityki bezpieczeństwa
Polityka bezpieczeństwa powinna zawierać:
- Wykaz budynków oraz pomieszczeń w których będzie odbywał się proces przetwarzania danych osobowych
- Wykaz zbiorów danych a także wskazanie programów które znajdą zastosowanie w procesie przetwarzania danych
- Informacje dotyczące przepływu danych pomiędzy systemami
- Opis środków organizacyjnych jak i technicznych które są gwarantem poufności, integralności i rozliczalności przetwarzanych danych
- Opis struktury zgromadzonych danych który wskazuje na powiązania między poszczególnymi polami informacyjnymi
Należy podkreślić, że polityka bezpieczeństwa może być wzbogacona o więcej informacji, te które zostały przedstawione stanowią wymogi minimalne. Polska Norma PN-ISO/IEC 27001 wskazuje, że celem polityki bezpieczeństwa jest wsparcie kierownictwa dla bezpieczeństwa informacji oraz zapewnienie jej kierunków działań. Polityka bezpieczeństwa ma zawierać zbiór zasad i praktyk wraz z dokumentacją w jaki sposób organizacja ma chronić przetwarzane dane osobowe. Taki dokument zatwierdzany jest przez kierownictwo firmy i przedstawiany wszystkim pracownikom. Jeśli polityka bezpieczeństwa ma być zgodna z powyższą normą ISO to dodatkowo powinny się znaleźć informacje tj. definicja bezpieczeństwa informacji, podkreślenie intencji kierownictwa, definicje ogólnych obowiązków w zakresie zarządzania bezpieczeństwem informacji itp. Nazwa dokumentu polityki bezpieczeństwa nie musi posiadać takiej samej nazwy jak zawartej w rozporządzeniu jednak swoją treścią powinna obejmować niezbędne informacje. Polityka bezpieczeństwa nie stanowi dokumentu publicznie dostępnego. Jest ona bowiem dokumentem wewnętrznym. Według Leszka Kępy w książce pt. Ochrona danych osobowych w praktyce można odnaleźć informację, w której zawarty jest przykład, gdzie Generalny Inspektor Ochrony Danych Osobowych odmawia udzielenia informacji o polityce bezpieczeństwa systemów informatycznych w jego biurze, gdyż żądający wystosował wniosek o jej udostępnienie w ramach informacji publicznej. Wojewódzki Sąd Administracyjny w Warszawie (sygn, II SA/Wa 1539/05) uznał że wszystkie podmioty które przetwarzają dane osobowe powinny posiadać taką dokumentację w formie pisemnej ale nie musi być on jednolitym dokumentem (Ochrona Danych Osobowych w Praktyce Leszek Kępa, Warszawa 2014 s. 272-274)
Według Krzysztofa Lidermana autora książki "Bezpieczeństwo Informacyjne, nowe wyzwania" osiągnięcie sukcesu przy wdrażaniu polityki bezpieczeństwa powinno być oparte m.in. na podniesieniu świadomości i chęci kadry kierowniczej w celu podniesienia bezpieczeństwa informacyjnego a także przeznaczenia odpowiednich środków finansowych na ten cel a także podjęcia decyzji co do sposobu budowy bądź modyfikacji systemu bezpieczeństwa informacyjnego (Bezpieczeństwo Informacyjne nowe wyzwania Krzysztof Liderman, Warszawa 2017 s. 229-230)
Bibliografia
- Kępa L. (2014). Ochrona Danych Osobowych w Praktyce, Wydawnictwo Difin, Warszawa s. 272-274
- Liderman K. (2017). Bezpieczeństwo Informacyjne, nowe wyzwania, Wydawnictwo Naukowe PWN, Warszawa s. 229-230
- Lisiak-Felicka D., Szmit M. Incydenty związane z bezpieczeństwem informacji w administracji publicznej w Polsce, Studies & Proceedings of Polish Association for Knowledge Management Nr 76, 2015
- Sawicka J., Stronczek A. Poziom wykształcenia audytora wewnętrznego a skuteczne wykrywanie nadużyć Zeszyty Naukowe Uniwersytetu Szczecińskiego nr 864 Finanse, Rynki Finansowe, Ubezpieczenia nr 76, t. 2 (2015)
- Żywiołek J. (2016), Innowacyjność przepływów informacyjnych jako element udoskonalenia systemu informacji w przedsiębiorstwie logistycznym, Zeszyty Naukowe Politechniki Częstochowskiej Zarządzanie Nr 24 t. 1
Autor: Mateusz Gałaś
