Source: http://docplayer.pl/2211492-Warszawa-dnia-16-kwietnia-2015-r-poz-10-uchwala-nr-413-2014-komisji-nadzoru-finansowego-z-dnia-16-grudnia-2014-r.html
Timestamp: 2017-06-24 06:07:36
Legal References Found: art. 11
 art. 2
 art. 4
 art. 111
 art. 69
 art. 111
 art. 66
 art. 33
 art. 53
 art. 68
 art. 69
 art. 10
 art. 69

Document Content:
Warszawa, dnia 16 kwietnia 2015 r. Poz. 10. UCHWAŁA Nr 413/2014 KOMISJI NADZORU FINANSOWEGO. z dnia 16 grudnia 2014 r. - PDF
Download "Warszawa, dnia 16 kwietnia 2015 r. Poz. 10. UCHWAŁA Nr 413/2014 KOMISJI NADZORU FINANSOWEGO. z dnia 16 grudnia 2014 r."
1 DZIENNIK URZĘDOWY KOMISJI NADZORU FINANSOWEGO Warszawa, dnia 16 kwietnia 2015 r. Poz. 10 UCHWAŁA Nr 413/2014 KOMISJI NADZORU FINANSOWEGO z dnia 16 grudnia 2014 r. w sprawie wydania Wytycznych dotyczących zarządzania obszarami technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego w zakładach ubezpieczeń i zakładach reasekuracji. Na podstawie art. 11 ust. 1 ustawy z dnia 21 lipca 2006 r. o nadzorze nad rynkiem finansowym (t.j. Dz. U. z 2012 r. poz. 1149, z późn. zm.) uchwala się, co następuje: 1. Wydaje się Wytyczne dotyczące zarządzania obszarami technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego w zakładach ubezpieczeń i zakładach reasekuracji, stanowiące załącznik do uchwały. 2. Komisja Nadzoru Finansowego oczekuje, że wytyczne, o których mowa w 1, zostaną wprowadzone do dnia 31 grudnia 2016 r. 3. Uchwała podlega ogłoszeniu w Dzienniku Urzędowym Komisji Nadzoru Finansowego. 4. Uchwała wchodzi w życie z dniem podjęcia. Przewodniczący Komisji Nadzoru Finansowego: Andrzej Jakubiak2 Dziennik Urzędowy Komisji Nadzoru Finansowego 2 Poz. 10 Załącznik do uchwały Nr 413/2014 Komisji Nadzoru Finansowego z dnia 16 grudnia 2014 r. (poz. 10) Komisja Nadzoru Finansowego Wytyczne dotyczące zarządzania obszarami technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego w zakładach ubezpieczeń i zakładach reasekuracji Warszawa, 16 grudnia 2014 r.3 Dziennik Urzędowy Komisji Nadzoru Finansowego 3 Poz. 10 Spis treści Spis treści... 2 I. Wstęp... 5 II. Słownik pojęć... 7 III. Lista wytycznych... 9 Strategia i organizacja obszarów technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego... 9 Rozwój środowiska teleinformatycznego... 9 Utrzymanie i eksploatacja środowiska teleinformatycznego... 9 Zarządzanie bezpieczeństwem środowiska teleinformatycznego IV. Strategia i organizacja obszarów technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego Rola zarządu i rady nadzorczej System informacji zarządczej Planowanie strategiczne Zasady współpracy w obrębie obszarów biznesowych i technicznych Organizacja obszarów technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego Struktura organizacyjna Podział obowiązków Zasoby ludzkie V. Rozwój środowiska teleinformatycznego Projekty w zakresie środowiska teleinformatycznego Rozwój systemów informatycznych VI. Utrzymanie i eksploatacja środowiska teleinformatycznego Zarządzanie danymi Zarządzanie architekturą danych Zarządzanie jakością danych Zarządzanie infrastrukturą teleinformatyczną Architektura infrastruktury teleinformatycznej Komponenty infrastruktury teleinformatycznej Aktualizacja oprogramowania komponentów infrastruktury teleinformatycznej Zarządzanie pojemnością i wydajnością komponentów infrastruktury teleinformatycznej Dokumentacja infrastruktury teleinformatycznej Współpraca z zewnętrznymi dostawcami usług Kontrola dostępu Mechanizmy kontroli dostępu logicznego Mechanizmy kontroli dostępu fizycznego Ochrona przed szkodliwym oprogramowaniem Wsparcie dla użytkowników Edukacja pracowników Ciągłość działania środowiska teleinformatycznego Plany ciągłości działania i plany awaryjne Zasoby techniczne oraz warunki fizyczne i środowiskowe... 344 Dziennik Urzędowy Komisji Nadzoru Finansowego 4 Poz. 10 Kopie awaryjne Weryfikacja efektywności podejścia do zarządzania ciągłością działania Zarządzanie elektronicznymi kanałami dostępu Weryfikacja tożsamości klientów Bezpieczeństwo danych i środków klientów Edukacja klientów Zarządzanie oprogramowaniem użytkownika końcowego VII. Zarządzanie bezpieczeństwem środowiska teleinformatycznego System zarządzania bezpieczeństwem środowiska teleinformatycznego Identyfikacja ryzyka w zakresie bezpieczeństwa środowiska teleinformatycznego Mierzenie ryzyka w zakresie bezpieczeństwa środowiska teleinformatycznego Monitorowanie i zarządzanie ryzykiem w zakresie bezpieczeństwa środowiska teleinformatycznego Monitorowanie i raportowanie ryzyka w zakresie bezpieczeństwa środowiska teleinformatycznego Klasyfikacja informacji i systemów informatycznych Klasyfikacja informacji Klasyfikacja systemów informatycznych Zarządzanie incydentami naruszenia bezpieczeństwa środowiska teleinformatycznego Bezpieczeństwo formalnoprawne Rola audytu wewnętrznego i zewnętrznego... 445 Dziennik Urzędowy Komisji Nadzoru Finansowego 5 Poz. 10 I. Wstęp Mając na uwadze cele nadzoru nad rynkiem finansowym określone w art. 2 ustawy z dnia 21 lipca 2006 r. o nadzorze nad rynkiem finansowym (t.j.: Dz. U. z 2012 r. poz ze zm., dalej: ustawa), takie jak zapewnienie prawidłowego funkcjonowania rynku, jego stabilności, bezpieczeństwa i zaufania do rynku, a także zapewnienie ochrony interesów jego uczestników oraz określone w art. 4 ust. 1 pkt 2 ustawy zadanie Komisji Nadzoru Finansowego polegające na podejmowaniu działań służących prawidłowemu funkcjonowaniu rynku finansowego, wydawane są Wytyczne dotyczące zarządzania obszarami technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego w zakładach ubezpieczeń i zakładach reasekuracji (dalej: Wytyczne). Konieczność wydania niniejszych Wytycznych wynika ze znacznego rozwoju technologicznego oraz systematycznego wzrostu znaczenia obszaru technologii informacyjnej dla działalności zakładów ubezpieczeń i zakładów reasekuracji, wykonujących działalność ubezpieczeniową lub działalność reasekuracyjną w rozumieniu ustawy z dnia 22 maja 2003 r. o działalności ubezpieczeniowej (t.j.: Dz. U. z 2013 r. poz. 950) (dalej: towarzystwa), jak również z pojawienia się nowych zagrożeń w tym zakresie. Wytyczne te uwzględniają także wymogi nadzorcze określone w projektowanych regulacjach implementujących system Wypłacalność II, w tym wydanych przez Europejski Urząd Nadzoru Ubezpieczeń i Pracowniczych Programów Emerytalnych: Wytycznych dotyczących systemów zarządzania, Wytycznych dotyczących przekazywania informacji właściwym krajowym organom nadzoru i Wytycznych w sprawie procesu przedaplikacyjnego modeli wewnętrznych dotyczących sposobu postępowania w okresie przygotowawczym poprzedzającym wdrożenie przepisów dyrektywy Parlamentu Europejskiego i Rady 2009/138/WE z dnia 25 listopada 2009 r. w sprawie podejmowania i prowadzenia działalności ubezpieczeniowej i reasekuracyjnej (Dz. Urz. L 335 z r., str. 1 ze zm.) (dyrektywy Wypłacalność II). Niniejsze Wytyczne mają na celu wskazanie towarzystwom oczekiwań nadzorczych dotyczących ostrożnego i stabilnego zarządzania obszarami technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego, w szczególności ryzykiem związanym z tymi obszarami. Ryzyko to można określić, jako niepewność związaną z prawidłowym, efektywnym i bezpiecznym wspieraniem działalności towarzystwa przez jego środowisko teleinformatyczne. Wiąże się ono przede wszystkim z ryzykiem operacyjnym, ryzykiem prawnym i ryzykiem utraty reputacji. Wytyczne są kierowane do towarzystw działających jako krajowe zakłady ubezpieczeń i krajowe zakłady reasekuracji w rozumieniu ustawy z dnia 22 maja 2003 r. o działalności ubezpieczeniowej (t.j.: Dz. U. z 2013 r. poz. 950). Wytyczne stosuje się również odpowiednio do głównych oddziałów zagranicznych zakładów ubezpieczeń i reasekuracji w rozumieniu ustawy o działalności ubezpieczeniowej). Dokument zawiera 22 wytyczne, które podzielone zostały na następujące obszary: strategia i organizacja obszarów technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego, rozwój środowiska teleinformatycznego, utrzymanie i eksploatacja środowiska teleinformatycznego, zarządzanie bezpieczeństwem środowiska teleinformatycznego. Wytyczne są kierowane do wszystkich towarzystw. Biorąc jednak pod uwagę specyfikę zagadnień związanych z technologią i bezpieczeństwem środowiska teleinformatycznego oraz różnice w zakresie uwarunkowań, skali działalności oraz profili ryzyka towarzystw, odmienny będzie sposób osiągnięcia celów, które wynikają z treści Wytycznych. W związku z tym opisy i komentarze zawarte wraz z poszczególnymi wytycznymi należy traktować jako zbiór dobrych praktyk, które jednak powinny być stosowane z zachowaniem zasady proporcjonalności. Oznacza to, że sposób stosowania tych praktyk powinien zależeć m.in. od tego, na ile przystają one do specyfiki i profilu ryzyka towarzystwa, oraz charakterystyki jego środowiska teleinformatycznego, jak również od relacji kosztów ich wprowadzenia do wynikających z tego korzyści (także z perspektywy bezpieczeństwa ubezpieczających, ubezpieczonych, uposażonych lub uprawnionych z tytułu umów ubezpieczenia). Organ nadzoru oczekuje, że decyzje dotyczące zakresu i sposobu wdrożenia wskazanych w Wytycznych rozwiązań poprzedzone zostaną pogłębioną analizą i poparte będą stosowną argumentacją. Ponadto zaleca się, aby w przypadku powierzenia osobom trzecim wykonywania niektórych czynności z zakresu działalności towarzystwa, towarzystwo dołożyło wszelkich starań, aby osoby trzecie wykonywały powierzone czynności zgodnie z zakresem niniejszych Wytycznych. Jednocześnie rekomenduje się, aby towarzystwa w umowach z osobami trzecimi zawierały stosowne klauzule, gwarantujące wykonywanie przez te podmioty Wytycznych.6 Dziennik Urzędowy Komisji Nadzoru Finansowego 6 Poz. 10 Organ nadzoru oczekuje, że odpowiednie działania mające na celu wdrożenie standardów wskazanych w Wytycznych będą zrealizowane przez podmioty nadzorowane nie później niż do 31 grudnia 2016 r. Wytyczne są stosowane według zasady zastosuj lub wyjaśnij. W przypadku odstąpienia od stosowania wytycznych przez towarzystwo, organ nadzoru oczekuje od takiego podmiotu wyjaśnienia powodów, które uzasadniają nieuwzględnienie Wytycznych w jego działalności. Informacje na temat stosowania Wytycznych powinny być przekazane na formularzu, który towarzystwa będą uzupełniały w ramach własnej oceny zgodności z Wytycznymi i który będzie stanowił jedną z form weryfikacji przez organ nadzoru, czy i w jaki sposób towarzystwa dokonały wdrożenia Wytycznych. Wytyczne obejmują swym zakresem również obowiązki prawne, których spełnienia od Towarzystwa wymagają przepisy prawa.7 Dziennik Urzędowy Komisji Nadzoru Finansowego 7 Poz. 10 II. Słownik pojęć Bezpieczeństwo informacji zachowanie poufności, integralności i dostępności informacji; w ramach bezpieczeństwa informacji mogą być uwzględniane również inne właściwości, takie jak autentyczność, rozliczalność, niezaprzeczalność i niezawodność (na podstawie normy ISO/IEC 27000:2012). Cloud Computing ( przetwarzanie w chmurze ) model świadczenia usług zapewniający dogodny dostęp sieciowy na żądanie do współdzielonego zestawu konfigurowalnych zasobów obliczeniowych (np. serwerów, przestrzeni do przechowywania danych, oprogramowania lub usług), które mogą być dynamicznie dostarczane lub zwalniane przy minimalnych nakładach pracy zarządczej i przy minimalnym udziale dostawcy usług (na podstawie NIST Special Publication The NIST Definition of Cloud Computing, National Institute of Standards and Technology). Dostępność danych właściwość danych polegająca na tym, że są one dostępne i mogą być wykorzystywane na żądanie uprawnionej jednostki (na podstawie normy ISO/IEC 27000:2012). Incydent naruszenia bezpieczeństwa środowiska teleinformatycznego pojedyncze niepożądane lub niespodziewane zdarzenie bezpieczeństwa środowiska teleinformatycznego (tj. wystąpienie stanu komponentu środowiska teleinformatycznego wskazującego na potencjalne naruszenie jego bezpieczeństwa, błąd mechanizmu kontrolnego lub uprzednio nieznaną sytuację, która może być istotna z perspektywy bezpieczeństwa) lub seria takich zdarzeń, w przypadku których występuje znaczne prawdopodobieństwo zakłócenia działalności lub naruszenia bezpieczeństwa informacji (na podstawie normy ISO/IEC 27000:2012). Infrastruktura teleinformatyczna zespół urządzeń i łączy transmisyjnych obejmujący w szczególności platformy sprzętowe (w tym: serwery, macierze, stacje robocze), sieć teleinformatyczną (w tym: routery, przełączniki, zapory sieciowe oraz inne urządzenia sieciowe), oprogramowanie systemowe (w tym systemy operacyjne i systemy zarządzania bazami danych) oraz inne elementy umożliwiające bezawaryjną i bezpieczną pracę ww. zasobów (w tym zasilacze UPS, generatory prądotwórcze, urządzenia klimatyzacyjne), także te wykorzystywane w ośrodkach zapasowych towarzystwa. Integralność danych właściwość danych stanowiąca o ich dokładności i kompletności (na podstawie normy ISO/IEC 27000:2012). Klient - ubezpieczający, ubezpieczony, uposażony lub uprawniony z tytułu umowy ubezpieczenia. Kierownictwo towarzystwa zarząd towarzystwa oraz dyrektorzy, kierownicy komórek organizacyjnych i kierownicy ds. kluczowych procesów w towarzystwie. Konto dostępu wyodrębniona w ramach serwisu indywidualna przestrzeń umożliwiająca klientowi towarzystwa swobodny dostęp (za pomocą urządzenia elektronicznego) do usług świadczonych przez towarzystwo z wykorzystaniem elektronicznych kanałów dostępu i wykonywanie za jej pośrednictwem operacji pasywnych (np. podgląd danych osobowych) oraz aktywnych (np. składanie dyspozycji i wniosków, zmiana danych). Obszar bezpieczeństwa środowiska teleinformatycznego obszar działalności towarzystwa mający na celu zapewnienie, że ryzyko dotyczące bezpieczeństwa środowiska teleinformatycznego jest odpowiednio zarządzane. Obszar biznesowy obszar działalności towarzystwa, którego funkcjonowanie jest wspierane przez środowisko teleinformatyczne, w tym np. działalność operacyjna i inwestycyjna, zarządzanie ryzykiem, rachunkowość, finanse itp. Obszar technologii informacyjnej obszar działalności towarzystwa mający na celu zapewnienie właściwego wsparcia funkcjonowania towarzystwa przez środowisko teleinformatyczne. Podatność słabość zasobu lub mechanizmu kontrolnego, która może być wykorzystana przez zagrożenie (na podstawie normy ISO/IEC 27000:2012). Poufność danych właściwość danych polegająca na tym, że pozostają one niedostępne lub niejawne dla nieuprawnionych osób, procesów lub innych podmiotów (na podstawie normy ISO/IEC 27000:2012).8 Dziennik Urzędowy Komisji Nadzoru Finansowego 8 Poz. 10 Plan ciągłości działania 1) udokumentowane procedury, które po wystąpieniu zakłócenia wspierają organizację w reagowaniu, uzyskiwaniu sprawności, oraz odbudowie działania na wcześniej zdefiniowanym poziomie operacyjnym (na podstawie normy ISO 22301:2012). Profil ryzyka skala i struktura ekspozycji na ryzyko z uwzględnieniem specyfiki prowadzonej działalności towarzystwa (w ramach działu I lub działu II załącznika do ustawy o działalności ubezpieczeniowej). Przetwarzanie danych jakiekolwiek operacje wykonywane na danych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie. Ryzyko operacyjne ryzyko wystąpienia straty wynikające z niewłaściwych lub błędnych procesów wewnętrznych, z działań personelu lub systemów, lub ze zdarzeń zewnętrznych (na podstawie Metodyki badania i oceny nadzorczej (BION) zakładów ubezpieczeń i zakładów reasekuracji ). System informatyczny aplikacja komputerowa lub zbiór powiązanych aplikacji komputerowych, którego celem jest przetwarzanie danych. System zarządzania bezpieczeństwem środowiska teleinformatycznego zbiór zasad i mechanizmów odnoszących się do procesów mających na celu zapewnienie odpowiedniego poziomu bezpieczeństwa środowiska teleinformatycznego. Środowisko teleinformatyczne infrastruktura teleinformatyczna towarzystwa wraz z wykorzystującymi ją systemami informatycznymi oraz eksploatowane w towarzystwie systemy informatyczne wspierające jego działalność, oparte na infrastrukturze teleinformatycznej zapewnianej przez podmioty zewnętrzne. Zagrożenie potencjalna przyczyna niepożądanego incydentu, który może spowodować szkodę dla systemu lub organizacji (na podstawie normy ISO/IEC 27000:2012). 1) BCP ang. Business Continuity Plan.9 Dziennik Urzędowy Komisji Nadzoru Finansowego 9 Poz. 10 III. Lista wytycznych Strategia i organizacja obszarów technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego Wytyczna 1 Rada nadzorcza towarzystwa powinna nadzorować funkcjonowanie obszarów technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego, natomiast zarząd towarzystwa powinien zapewnić, aby powyższe obszary zarządzane były w sposób poprawny i efektywny. Wytyczna 2 W towarzystwie powinien funkcjonować sformalizowany system informacji zarządczej w zakresie obszarów technologii informacyjnej oraz bezpieczeństwa środowiska teleinformatycznego, zapewniający każdemu z odbiorców informacji właściwy poziom wiedzy o tych obszarach. Wytyczna 3 Towarzystwo powinno opracować i wdrożyć strategię w zakresie obszarów technologii informacyjnej oraz bezpieczeństwa środowiska teleinformatycznego, zgodną ze strategią działania towarzystwa. Wytyczna 4 Towarzystwo powinno określić zasady współpracy oraz zakresy odpowiedzialności w obrębie obszaru biznesowego, technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego, pozwalające na efektywne i bezpieczne wykorzystanie potencjału środowiska teleinformatycznego w działalności towarzystwa. Wytyczna 5 Rozwiązania organizacyjne oraz zasoby ludzkie w obszarach technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego powinny być adekwatne do jego profilu ryzyka i specyfiki działalności oraz pozwalać na efektywną realizację działań w tych obszarach. Rozwój środowiska teleinformatycznego Wytyczna 6 Towarzystwo powinno posiadać sformalizowane zasady prowadzenia projektów w zakresie środowiska teleinformatycznego, adekwatne do skali i specyfiki realizowanych projektów. Wytyczna 7 Systemy informatyczne towarzystwa powinny być rozwijane w sposób zapewniający wsparcie jego działalności oraz uwzględniający wymogi bezpieczeństwa środowiska teleinformatycznego. Utrzymanie i eksploatacja środowiska teleinformatycznego Wytyczna 8 Towarzystwo powinno posiadać sformalizowane zasady zarządzania danymi wykorzystywanymi w ramach prowadzonej działalności (w tym danymi przetwarzanymi w hurtowniach danych), obejmujące w szczególności zarządzanie architekturą oraz jakością danych i zapewniające właściwe wsparcie działalności towarzystwa.10 Dziennik Urzędowy Komisji Nadzoru Finansowego 10 Poz. 10 Wytyczna 9 Towarzystwo powinno posiadać sformalizowane zasady dotyczące zarządzania infrastrukturą teleinformatyczną wraz z systemami informatycznymi, w tym ich architekturą, poszczególnymi komponentami, wydajnością i pojemnością oraz dokumentacją, zapewniające właściwe wsparcie działalności towarzystwa oraz bezpieczeństwo przetwarzanych danych. Wytyczna 10 Towarzystwo powinno posiadać sformalizowane zasady współpracy z zewnętrznymi dostawcami usług informatycznych, zapewniające bezpieczeństwo danych i poprawność działania środowiska teleinformatycznego, uwzględniające również usługi świadczone przez podmioty należące do ubezpieczeniowej grupy kapitałowej. Wytyczna 11 Towarzystwo powinno posiadać sformalizowane zasady oraz mechanizmy techniczne zapewniające właściwy poziom kontroli dostępu logicznego do danych i informacji oraz dostępu fizycznego do kluczowych elementów infrastruktury teleinformatycznej. Wytyczna 12 Towarzystwo powinno zapewnić odpowiednią ochronę środowiska teleinformatycznego przed szkodliwym oprogramowaniem. Wytyczna 13 Towarzystwo powinno zapewniać wewnętrznym użytkownikom poszczególnych komponentów środowiska teleinformatycznego wsparcie w zakresie rozwiązywania problemów związanych z ich eksploatacją, w tym wynikających z wystąpienia awarii i innych niestandardowych zdarzeń zakłócających ich użytkowanie. Wytyczna 14 Towarzystwo powinno podejmować skuteczne działania mające na celu osiągnięcie i utrzymanie odpowiedniego poziomu kwalifikacji pracowników w zakresie środowiska teleinformatycznego i bezpieczeństwa informacji przetwarzanych w tym środowisku. Wytyczna 15 System zarządzania ciągłością działania towarzystwa powinien uwzględniać szczególne uwarunkowania związane z jego środowiskiem teleinformatycznym oraz przetwarzanymi w nim danymi. Wytyczna 16 Towarzystwo świadczące usługi z wykorzystaniem elektronicznych kanałów dostępu, w szczególności oferujące możliwość zarządzania produktami ubezpieczeniowymi z ubezpieczeniowym funduszem kapitałowym, powinno posiadać skuteczne rozwiązania techniczne i organizacyjne zapewniające weryfikację tożsamości i bezpieczeństwo danych oraz środków klientów, jak również edukować klientów w zakresie zasad bezpiecznego korzystania z tych kanałów. Wytyczna 17 Towarzystwo powinno posiadać sformalizowane zasady zarządzania tzw. oprogramowaniem użytkownika końcowego 2), skutecznie ograniczające ryzyko związane z eksploatacją tego oprogramowania. 2) Oprogramowanie użytkownika końcowego (ang. End-User Computing, EUC) narzędzia opracowane i funkcjonujące w oparciu o aplikacje instalowane na komputerach osobistych, takie jak arkusz kalkulacyjny, bądź system obsługi relacyjnych baz danych, dzięki którym użytkownicy niebędący programistami mogą tworzyć aplikacje biznesowe.11 Dziennik Urzędowy Komisji Nadzoru Finansowego 11 Poz. 10 Zarządzanie bezpieczeństwem środowiska teleinformatycznego Wytyczna 18 W towarzystwie powinien funkcjonować sformalizowany, skuteczny system zarządzania bezpieczeństwem środowiska teleinformatycznego, obejmujący działania związane z identyfikacją, mierzeniem, monitorowaniem, zarządzaniem i raportowaniem ryzyka w tym zakresie, zintegrowany z całościowym systemem zarządzania ryzykiem i bezpieczeństwem informacji w towarzystwie. Wytyczna 19 Towarzystwo powinno klasyfikować systemy informatyczne i przetwarzane w nich informacje zgodnie z zasadami uwzględniającymi w szczególności wymagany dla tych systemów i informacji poziom bezpieczeństwa. Wytyczna 20 Towarzystwo powinno posiadać sformalizowane zasady zarządzania incydentami naruszenia bezpieczeństwa środowiska teleinformatycznego, obejmujące ich identyfikację, rejestrowanie, analizę, priorytetyzację, wyszukiwanie powiązań, podejmowanie działań naprawczych oraz usuwanie przyczyn. Wytyczna 21 Towarzystwo powinno zapewnić zgodność funkcjonowania obszarów technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego z otoczeniem prawnym, w tym regulacjami wewnętrznymi i zewnętrznymi, zawartymi umowami i przyjętymi w towarzystwie standardami oraz aktami nadzorczymi. Wytyczna 22 Obszary technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego powinny być przedmiotem systematycznych, niezależnych audytów.12 Dziennik Urzędowy Komisji Nadzoru Finansowego 12 Poz. 10 IV. Strategia i organizacja obszarów technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego Rola zarządu i rady nadzorczej 1. Wytyczna 1 Rada nadzorcza towarzystwa powinna nadzorować funkcjonowanie obszarów technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego, natomiast zarząd towarzystwa powinien zapewnić, aby powyższe obszary zarządzane były w sposób poprawny i efektywny Szczególną uwagę rada nadzorcza i zarząd towarzystwa powinni poświęcić w zakresie swoich kompetencji: zarządzaniu bezpieczeństwem środowiska teleinformatycznego 3) oraz ciągłością działania 4), procesowi tworzenia i aktualizacji strategii w obszarach technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego 5), współpracy z zewnętrznymi dostawcami usług w zakresie środowiska teleinformatycznego i jego bezpieczeństwa 6), zapewnieniu adekwatnej struktury organizacyjnej oraz zasobów kadrowych w obszarach technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego 7), zarządzaniu jakością danych o kluczowym znaczeniu dla towarzystwa 8), zarządzaniu elektronicznymi kanałami dostępu 9) W celu zwiększenia skuteczności nadzoru i kontroli nad obszarem bezpieczeństwa środowiska teleinformatycznego, jak również zapewnienia efektywnej komunikacji w tym obszarze oraz zgodności jego działań z celami i potrzebami instytucji, towarzystwo powinno przeanalizować zasadność (uwzględniając w szczególności poziom złożoności środowiska teleinformatycznego, stopień narażenia na ryzyko w zakresie bezpieczeństwa tego środowiska oraz skalę i specyfikę prowadzonej działalności) i na tej podstawie podjąć odpowiednią decyzję dotyczącą wyznaczenia lub wskazania 10) komitetu właściwego do spraw obszaru bezpieczeństwa środowiska teleinformatycznego. Pracami komitetu powinien kierować posiadający odpowiednie kwalifikacje członek zarządu towarzystwa lub wyznaczony przez zarząd towarzystwa pełnomocnik. System informacji zarządczej 2. Wytyczna 2 W towarzystwie powinien funkcjonować sformalizowany system informacji zarządczej w zakresie obszarów technologii informacyjnej oraz bezpieczeństwa środowiska teleinformatycznego, zapewniający każdemu z odbiorców informacji właściwy poziom wiedzy o tych obszarach Opracowując system informacji zarządczej w zakresie technologii informacyjnej oraz bezpieczeństwa środowiska teleinformatycznego, towarzystwo powinno: zidentyfikować zagadnienia w obszarach technologii informacyjnej oraz bezpieczeństwa środowiska teleinformatycznego, które powinny być objęte systemem informacji zarządczej, z uwzględnieniem związanego z nimi ryzyka i innych specyficznych uwarunkowań, 3) Patrz: sekcja Zarządzanie bezpieczeństwem środowiska teleinformatycznego. 4) Patrz: sekcja Ciągłość działania środowiska teleinformatycznego. 5) Patrz: sekcja Planowanie strategiczne. 6) Patrz: sekcja Współpraca z zewnętrznymi dostawcami usług. 7) Patrz: sekcja Organizacja obszarów technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego. 8) Patrz: podsekcja Zarządzanie jakością danych. 9) Patrz: sekcja Zarządzanie elektronicznymi kanałami dostępu. 10) Nie jest wymagane, aby był to odrębny, dedykowany komitet w szczególności dopuszczalne jest np. uwzględnienie zadań komitetu do spraw obszaru bezpieczeństwa środowiska teleinformatycznego w ramach komitetu do spraw ryzyka operacyjnego. Towarzystwo powinno jednak zapewnić, aby przyjęte rozwiązanie pozwalało na efektywną realizację zadań w przedmiotowym zakresie.13 Dziennik Urzędowy Komisji Nadzoru Finansowego 13 Poz. 10 określić sposób oraz zasady udostępniania i pozyskiwania informacji dotyczących ww. zagadnień (w tym również wskazać źródła, z których możliwe jest automatyczne pozyskiwanie tych informacji) oraz wskazać zakres odpowiedzialności, określić adekwatny zakres i częstotliwość raportowania, określić osoby lub funkcje 11), które powinny być odbiorcami informacji, zapewnić, aby informacje przekazywane każdemu z odbiorców były czytelne, rzetelne, dokładne, aktualne, miały odpowiedni zakres oraz były dostarczane terminowo. Planowanie strategiczne 3. Wytyczna 3 Towarzystwo powinno opracować i wdrożyć strategię w zakresie obszarów technologii informacyjnej oraz bezpieczeństwa środowiska teleinformatycznego, zgodną ze strategią działania towarzystwa W celu zapewnienia, że strategia w zakresie obszarów technologii informacyjnej oraz bezpieczeństwa środowiska teleinformatycznego jest realistyczna, a jednocześnie zgodna z aktualnymi i przyszłymi (przewidywanymi) uwarunkowaniami i oczekiwaniami biznesowymi, towarzystwo powinno dysponować niezbędną wiedzą o środowisku teleinformatycznym, pozwalającą na ujęcie wzajemnych zależności pomiędzy poszczególnymi jego komponentami, przetwarzanymi w nim danymi oraz uwarunkowaniami, celami i potrzebami biznesowymi W zakresie realizacji powyższej strategii towarzystwo powinno w szczególności określić konkretne i mierzalne cele oraz programy / projekty o zdefiniowanych priorytetach i ramach czasowych (zgodnie z ustalonymi potrzebami). Powinny one obejmować: rozwój wykorzystywanego oprogramowania, zmiany w zakresie danych przetwarzanych w ramach działalności towarzystwa, rozwój infrastruktury teleinformatycznej, zmiany organizacyjne i procesowe w zakresie zarządzania obszarami technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego, z uwzględnieniem wymagań dotyczących bezpieczeństwa środowiska teleinformatycznego, ryzyka związanego z realizacją tej strategii oraz środków finansowych koniecznych do jej realizacji Towarzystwo powinno zapewnić, aby realizacja powyższej strategii była w sposób efektywny nadzorowana, w szczególności poprzez monitorowanie realizacji określonych w niej celów oraz programów / projektów Towarzystwo powinno zapewnić, aby powyższa strategia była systematycznie 12) przeglądana i dostosowywana do zmian zachodzących zarówno w samym towarzystwie, jak i w jego otoczeniu, takich jak zmiany w strategii działania towarzystwa, zmiany prawne i regulacyjne czy rozwój technologiczny Zakres i poziom szczegółowości dokumentacji powyższej strategii powinny być adekwatne do jej złożoności oraz skali i profilu działalności towarzystwa. Zasady współpracy w obrębie obszarów biznesowych i technicznych 4. Wytyczna 4 Towarzystwo powinno określić zasady współpracy oraz zakresy odpowiedzialności w obrębie obszaru biznesowego, technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego, pozwalające na efektywne i bezpieczne wykorzystanie potencjału środowiska teleinformatycznego w działalności towarzystwa. 11) Funkcja zarządzania ryzykiem, zgodności z przepisami, audytu wewnętrznego oraz funkcja aktuarialna, wchodzące w skład systemu zarządzania, zgodnie z dyrektywą Wypłacalność II. 12) tj. w sposób uporządkowany i metodyczny.14 Dziennik Urzędowy Komisji Nadzoru Finansowego 14 Poz Zasady określające tryb współpracy w obrębie obszarów biznesowych, technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego oraz sposób komunikacji w obrębie tych obszarów powinny być określone i sformalizowane w sposób adekwatny do skali i profilu działalności towarzystwa Powyższe zasady powinny zapewniać, że: tryb podejmowania decyzji oraz zakresy zadań i odpowiedzialności w obrębie obszarów technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego są precyzyjnie określone i adekwatne do ustalonej w towarzystwie roli obszaru technologii informacyjnej, obszar biznesowy możliwie precyzyjnie określa swoje oczekiwania (w tym ich priorytety) wobec obszarów technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego, w szczególności poprzez współuczestnictwo w procesie tworzenia strategii w zakresie obszarów technologii informacyjnej oraz bezpieczeństwa środowiska teleinformatycznego, obszary technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego możliwie precyzyjnie informują obszar biznesowy o szacowanych środkach finansowych niezbędnych do spełnienia potrzeb tego obszaru, obszar bezpieczeństwa środowiska teleinformatycznego uczestniczy w procesie rozwoju systemów informatycznych oraz w procesie opracowywania i zatwierdzania standardów i mechanizmów kontrolnych, które mają wpływ na poziom bezpieczeństwa środowiska teleinformatycznego, obszary technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego uczestniczą w opiniowaniu strategii działania towarzystwa, w szczególności w zakresie wskazania ograniczeń i zagrożeń związanych z tą strategią, zidentyfikowanych z perspektywy tych obszarów, obszar biznesowy jest regularnie informowany o stanie realizacji istotnych z jego punktu widzenia programów / projektów związanych ze środowiskiem teleinformatycznym W celu zwiększenia skuteczności nadzoru i kontroli nad obszarem technologii informacyjnej, jak również zapewnienia efektywnej komunikacji w tym obszarze i zgodności jego działań z celami i potrzebami instytucji, towarzystwo powinno przeanalizować zasadność (uwzględniając w szczególności skalę i specyfikę prowadzonej działalności, poziom złożoności środowiska teleinformatycznego oraz założenia strategiczne dotyczące rozwoju tego środowiska) i na tej podstawie podjąć odpowiednią decyzję dotyczącą wyznaczenia lub wskazania 13) komitetu właściwego do spraw współpracy pomiędzy obszarem biznesowym a obszarem technologii informacyjnej. Pracami komitetu powinien kierować posiadający odpowiednie kwalifikacje członek zarządu towarzystwa lub wyznaczony przez zarząd towarzystwa pełnomocnik Jednocześnie, w celu zapewnienia możliwie ścisłej integracji zarządzania obszarami technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego z zarządzaniem całą instytucją, towarzystwo powinno zapewnić właściwą współpracę pomiędzy jednostkami/funkcjami odpowiedzialnymi za obszar technologii informacyjnej, strategię działania towarzystwa, bezpieczeństwo środowiska teleinformatycznego, ciągłość działania, zarządzanie ryzykiem operacyjnym, zarządzanie procesami, zarządzanie projektami oraz audyt wewnętrzny (z zachowaniem odpowiedniego stopnia niezależności każdej z nich). Organizacja obszarów technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego 5. Wytyczna 5 Rozwiązania organizacyjne oraz zasoby ludzkie w obszarach technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego powinny być adekwatne do jego profilu ryzyka i specyfiki działalności oraz pozwalać na efektywną realizację działań w tych obszarach. Struktura organizacyjna 5.1. Towarzystwo powinno zapewnić, aby struktura organizacyjna w obszarach technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego pozwalała na efektywną realizację celów towarzystwa w tych obszarach, odpowiednio do skali i profilu działalności towarzystwa oraz stopnia złożoności środowiska teleinformatycznego. Adekwatność tej struktury powinna być systematycznie weryfikowana i w przypadku wystąpienia takiej potrzeby dostosowywana do zmian w środowisku wewnętrznym towarzystwa i jego otoczeniu. 13) Nie jest wymagane, aby był to odrębny, dedykowany komitet. Towarzystwo powinno jednak zapewnić, aby przyjęte rozwiązanie pozwalało na efektywną realizację zadań w przedmiotowym zakresie.15 Dziennik Urzędowy Komisji Nadzoru Finansowego 15 Poz. 10 Podział obowiązków 5.2. Towarzystwo powinno precyzyjnie zdefiniować obowiązki i uprawnienia poszczególnych pracowników w obszarze technologii informacyjnej i bezpieczeństwa informacji. Określenie zakresów obowiązków i uprawnień powinno mieć formę pisemną, a podział obowiązków powinien minimalizować ryzyko błędów i nadużyć w procesach i systemach. Najbardziej pożądanym rozwiązaniem jest, odpowiednia separacja obowiązków pracowników, w szczególności oddzielenie: funkcji tworzenia lub modyfikowania systemów informatycznych od ich testowania (poza testami realizowanymi przez programistów w ramach wytwarzania oprogramowania), administracji i użytkowania, funkcji administrowania danym komponentem środowiska teleinformatycznego od projektowania związanych z nim mechanizmów kontrolnych w zakresie bezpieczeństwa, funkcji administrowania danym systemem informatycznym od monitorowania działań jego administratorów, funkcji audytu od pozostałych funkcji w obszarach technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego Towarzystwo powinno wyznaczyć osoby lub funkcje odpowiedzialne za podejmowanie decyzji w zakresie poszczególnych systemów eksploatowanych w towarzystwie (często zwane właścicielami systemów), opartych zarówno na infrastrukturze teleinformatycznej towarzystwa, jak i infrastrukturze zapewnianej przez podmioty zewnętrzne. Do obowiązków tych osób lub funkcji powinno należeć w szczególności: zapewnienie prawidłowości działania i bezpieczeństwa systemu pod względem biznesowym (np. poprzez właściwe zdefiniowanie procedur korzystania z systemu, udział w procesie zarządzania ciągłością jego działania, udział w procesie zarządzania uprawnieniami), nadzór nad działaniami użytkowników systemu, udział w procesie podejmowania decyzji w zakresie rozwoju tych systemów. W przypadku, gdy dla danego systemu informatycznego określona została więcej niż jedna osoba odpowiedzialna/funkcja odpowiedzialna, towarzystwo powinno poświęcić szczególną uwagę precyzyjnemu określeniu podziału ich kompetencji i obowiązków Zapewnienie bezpieczeństwa informacji przetwarzanych w środowisku teleinformatycznym nie jest wyłącznie domeną osób odpowiedzialnych/funkcji odpowiedzialnych za obszary technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego, ale w dużej mierze zależy od właściwego postępowania bezpośrednich użytkowników systemów informatycznych i danych. W związku z tym, każdy pracownik towarzystwa powinien być świadomy, że jego obowiązkiem jest dbanie o bezpieczeństwo informacji przetwarzanych w środowisku teleinformatycznym. W tym celu towarzystwo powinno premiować zachowania i postawy wspierające tworzenie kultury bezpieczeństwa informacji, edukować pracowników w zakresie bezpieczeństwa środowiska teleinformatycznego 14) oraz uzyskać zobowiązania (w formie pisemnej lub elektronicznej) do przestrzegania regulacji wewnętrznych dotyczących tego obszaru Jako uzupełnienie wobec powyższego, pracownicy obszaru bezpieczeństwa środowiska teleinformatycznego powinni w sposób niezależny aktywnie monitorować realizację czynności przypisanych w tym obszarze jednostkom biznesowym i odpowiedzialnym za obszar technologii informacyjnej (np. w zakresie okresowych przeglądów uprawnień do systemów, bieżącej kontroli w zakresie bezpieczeństwa środowiska teleinformatycznego prowadzonej w jednostkach organizacyjnych, testowania poprawności procesu odtwarzania komponentów środowiska teleinformatycznego na podstawie kopii awaryjnych itp.). Zasoby ludzkie 5.6. Towarzystwo powinno zapewnić, aby zarówno liczebność, jak i poziom wiedzy i kwalifikacji pracowników obszarów technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego pozwalały na bezpieczną i poprawną eksploatację całości środowiska teleinformatycznego. W związku z tym, towarzystwo powinno: zapewnić, aby poziom obciążenia pracowników pozwalał na efektywną realizację powierzonych im obowiązków, zapewnić pracownikom regularne szkolenia (adekwatnie do specyfiki zajmowanego przez nich stanowiska) 15), promować zdobywanie wiedzy oraz umożliwiać im wymianę doświadczeń (np. poprzez zapewnienie dostępu do tzw. baz wiedzy, udział w konferencjach i forach branżowych). 14) Patrz też: sekcja Edukacja pracowników. 15) Patrz też: sekcja Edukacja pracowników.16 Dziennik Urzędowy Komisji Nadzoru Finansowego 16 Poz Towarzystwo nie powinno wprowadzać do użytku nowych komponentów środowiska teleinformatycznego bez posiadania wiedzy i kompetencji umożliwiających właściwe zarządzanie związanym z nimi ryzykiem. W związku z tym, towarzystwo każdorazowo powinno oceniać adekwatność tych kompetencji, zaś w przypadku stwierdzenia, że są one niewystarczające podjąć działania mające na celu ich uzupełnienie (np. szkolenia pracowników, zatrudnienie nowych pracowników, podjęcie współpracy z zewnętrznymi dostawcami usług itp.) Towarzystwo powinno przyłożyć szczególną uwagę do doboru pracowników zatrudnianych na stanowiskach dających dostęp do informacji o wysokim stopniu poufności 16) Towarzystwo powinno podejmować działania mające na celu minimalizację ryzyka związanego z ewentualnym odejściem z pracy kluczowych pracowników obszarów technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego. W szczególności towarzystwo powinno: identyfikować kluczowych pracowników, których odejście wiąże się ze znacznym ryzykiem dla działalności towarzystwa, zapewnić dostępność aktualnej i precyzyjnej dokumentacji środowiska teleinformatycznego 17), zapewnić, że czynności przypisane do kluczowych pracowników są okresowo realizowane przez inne osoby (np. w trakcie odpowiednio długich urlopów kluczowych pracowników), posiadać opracowane programy sukcesji na pozycje zajmowane przez wybranych kluczowych pracowników, promować dzielenie się wiedzą między pracownikami, objąć informacją zarządczą istotne zdarzenia w zakresie kluczowych pracowników (w szczególności informacje o ich odejściach z pracy lub długotrwałych nieobecnościach) 18). 16) Patrz: sekcja Klasyfikacja informacji i systemów informatycznych. 17) Patrz: podsekcja Dokumentacja infrastruktury teleinformatycznej. 18) Patrz też: sekcja System informacji zarządczej.17 Dziennik Urzędowy Komisji Nadzoru Finansowego 17 Poz. 10 V. Rozwój środowiska teleinformatycznego Projekty w zakresie środowiska teleinformatycznego 6. Wytyczna 6 Towarzystwo powinno posiadać sformalizowane zasady prowadzenia projektów w zakresie środowiska teleinformatycznego, adekwatne do skali i specyfiki realizowanych projektów Zasady prowadzenia projektów w zakresie środowiska teleinformatycznego powinny w szczególności: wprowadzać definicję projektu 19), obejmować wszystkie etapy projektu, od jego inicjacji i podjęcia decyzji o rozpoczęciu do formalnego zamknięcia, określać sposób wskazywania interesariuszy projektu, określać sposób doboru uczestników projektu i wskazywać ich role, uprawnienia i odpowiedzialności, uwzględniać sposób dokumentowania realizacji projektu, określać zasady współpracy i komunikacji stron biorących udział w realizacji projektu, określać zasady zarządzania harmonogramem, budżetem, zakresem i jakością w projekcie, określać zasady zarządzania ryzykiem w projekcie, określać zasady zarządzania zmianą w projekcie, określać zasady oraz role i odpowiedzialności w zakresie odbioru i wprowadzania do eksploatacji produktów prac projektu, określać zasady podejmowania decyzji o zaniechaniu realizacji projektu Projekty powinny być prowadzone z wykorzystaniem lub w odniesieniu do uznanych standardów i dobrych praktyk w obszarze zarządzania projektami. Przykładem takich standardów są: proponowane przez PMI (Project Management Institute) w szczególności standard PMBoK (Project Management Body of Knowledge) czy metodyka PRINCE2 (PRojects IN Controlled Environments) Towarzystwo powinno przeanalizować zasadność (uwzględniając w szczególności poziom złożoności środowiska teleinformatycznego, stopień narażenia na ryzyko w zakresie bezpieczeństwa tego środowiska oraz skalę i specyfikę prowadzonej działalności) i na tej podstawie podjąć odpowiednią decyzję dotyczącą uwzględnienia w zasadach prowadzenia projektów udziału przedstawicieli obszaru bezpieczeństwa środowiska teleinformatycznego w całym cyklu życia projektu W celu zwiększenia skuteczności nadzoru i kontroli nad realizowanymi projektami w zakresie środowiska teleinformatycznego, towarzystwo powinno przeanalizować zasadność (uwzględniając w szczególności poziom złożoności środowiska teleinformatycznego oraz skalę i specyfikę prowadzonej działalności i realizowanych projektów) i na tej podstawie podjąć odpowiednią decyzję dotyczącą wyznaczenia lub wskazania 20) komitetu właściwego do spraw realizacji projektów środowiska teleinformatycznego. Pracami komitetu powinien kierować posiadający odpowiednie kwalifikacje członek zarządu towarzystwa lub wyznaczony przez zarząd towarzystwa pełnomocnik. Realizowane projekty w zakresie środowiska teleinformatycznego powinny podlegać również okresowym audytom. Rozwój systemów informatycznych 7 Wytyczna 7 Systemy informatyczne towarzystwa powinny być rozwijane w sposób zapewniający wsparcie jego działalności oraz uwzględniający wymogi bezpieczeństwa środowiska teleinformatycznego. 19) Definicja projektu może zostać określona np. w odniesieniu do wielkości szacowanego budżetu projektu lub liczby dni roboczych niezbędnych do jego realizacji. 20) Nie jest wymagane, aby był to odrębny, dedykowany komitet. Towarzystwo powinno jednak zapewnić, aby przyjęte rozwiązanie pozwalało na efektywną realizację zadań w przedmiotowym zakresie.18 Dziennik Urzędowy Komisji Nadzoru Finansowego 18 Poz Rozwój systemów informatycznych powinien być zgodny z założeniami planów wynikających ze strategii towarzystwa w zakresie obszarów technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego Towarzystwo powinno określać szczegółowe wymagania w zakresie rozwoju systemów informatycznych z uwzględnieniem aktualnych i przewidywanych potrzeb oraz możliwości przyszłego rozwoju środowiska teleinformatycznego. Każde wymaganie powinno być formułowane w sposób umożliwiający jednoznaczną ocenę jego spełnienia. Analiza wymagań powinna w szczególności obejmować 21) : wymagania dotyczące funkcjonalności systemu, wymagania dotyczące zakresu, ilości oraz formy danych przetwarzanych w systemie, z uwzględnieniem oceny możliwości migracji danych z aktualnie użytkowanych systemów informatycznych, wymagania dotyczące możliwości komunikacji z innymi wykorzystywanymi przez towarzystwo systemami informatycznymi, w szczególności zasad i zakresu wymiany danych, wymagania dotyczące oczekiwanej wydajności i dostępności systemu, z uwzględnieniem sytuacji jego znacznego obciążenia, wymagania dotyczące odporności systemu na zdarzenia awaryjne, w tym wymagania dotyczące czasu odtworzenia po awarii oraz dopuszczalnej utraty danych, wymagania dotyczące środowiska działania systemu, wymagania dotyczące bezpieczeństwa systemu i przetwarzanych w nim danych, w tym w zakresie mechanizmów kryptograficznych, mechanizmów kontroli dostępu oraz rejestracji zdarzeń zachodzących w systemie, wymagania wynikające z przepisów prawa, regulacji wewnętrznych oraz obowiązujących w towarzystwie standardów 22) W ramach projektowania systemu informatycznego towarzystwo powinno uwzględnić możliwość wprowadzania w przyszłości jego modyfikacji, wynikających w szczególności ze zmian w przepisach prawa, strategii działania towarzystwa lub obowiązujących w nim standardach. Oznacza to, że rozwijając systemy informatyczne towarzystwo powinno zidentyfikować możliwe do przewidzenia zmiany w uwarunkowaniach wewnętrznych i zewnętrznych i rozważyć zasadność zapewnienia elastyczności danego systemu w odpowiednim zakresie, umożliwiającej w przyszłości efektywne wprowadzanie niezbędnych zmian Wprowadzenie nowego systemu informatycznego, jak również znacznej zmiany do już istniejącego systemu, powinno być poprzedzone przeprowadzeniem analizy ryzyka wynikającego z zastosowanych technologii informatycznych oraz dokonaniem oceny wpływu wprowadzanych zmian na środowisko teleinformatyczne i procesy biznesowe towarzystwa, ze szczególnym uwzględnieniem aspektów bezpieczeństwa 23) W przypadku rozwoju oprogramowania realizowanego bez wykorzystania usług podmiotów zewnętrznych, towarzystwo powinno posiadać zdefiniowane podejście w tym zakresie. Dobrą praktyką jest określenie co najmniej: stosowanej metodyki rozwoju oprogramowania, określającej m.in. przebieg tego procesu, stosowanych standardów w zakresie rozwoju oprogramowania, w tym: infrastruktury teleinformatycznej, wykorzystywanych narzędzi programistycznych oraz repozytoriów kodów, standardów w zakresie kodów źródłowych, w tym preferowanych języków programowania i zapytań, stosowanych notacji i sposobów komentowania, zasad wykonywania bieżących testów i przeglądów kodu, zapewniających odpowiedni stopień niezależności tych przeglądów, kryteriów jakości oprogramowania (np. w zakresie łatwości utrzymania, przenośności itp.), standardów w zakresie tworzonej dokumentacji technicznej, zasad wersjonowania oprogramowania. 21) W przypadku wprowadzania zmian do istniejących systemów informatycznych elementy brane pod uwagę podczas analizy wymagań powinny być adekwatne do zakresu tych zmian. 22) Patrz też: sekcja Bezpieczeństwo formalnoprawne. 23) Patrz: podsekcja Identyfikacja ryzyka w zakresie bezpieczeństwa środowiska teleinformatycznego.19 Dziennik Urzędowy Komisji Nadzoru Finansowego 19 Poz W przypadku rozwoju oprogramowania realizowanego z udziałem podmiotów zewnętrznych, towarzystwo powinno korzystać z usług wiarygodnych dostawców o odpowiednim doświadczeniu (udokumentowanym w zrealizowanych projektach) oraz reputacji na rynku, zapewniających odpowiedni poziom bezpieczeństwa i jakości świadczonych usług. Towarzystwo powinno również przeanalizować zasadność i na tej podstawie podjąć odpowiednią decyzję dotyczącą uwzględnienia w umowach zawieranych w zakresie rozwoju oprogramowania z dostawcami zewnętrznymi postanowień dotyczących stosowania przyjętych w towarzystwie standardów i metodyk rozwoju oprogramowania 24). W szczególności towarzystwo powinno zapewnić, aby przed wdrożeniem testowym nowej wersji oprogramowania w towarzystwie było ono testowane wewnętrznie przez dostawcę, przy czym fakt przeprowadzenia takich testów nie powinien w żadnym stopniu ograniczać zakresu testów przeprowadzanych w towarzystwie Zarówno nowe oprogramowanie, jak i zmiany wprowadzane do już funkcjonujących rozwiązań informatycznych, powinny być testowane adekwatnie do swojej złożoności oraz wpływu na pozostałe elementy środowiska teleinformatycznego. Towarzystwo powinno posiadać metodykę testowania oprogramowania, uwzględniającą w szczególności następujące dobre praktyki: sposób organizacji testów powinien zapewniać możliwie wysoki stopień niezależności weryfikacji spełnienia przyjętych założeń, w testach powinni brać udział przedstawiciele możliwie szerokiego zakresu jednostek organizacyjnych towarzystwa wykorzystujących wdrażane rozwiązanie (lub w przypadku wprowadzania zmian jego modyfikowaną część), jak również obszarów technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego, scenariusze testowe oraz zakres i wolumen danych wykorzystywanych w testach powinny być możliwie zbliżone do procedur i danych przetwarzanych w ramach faktycznego korzystania z systemu, przy czym towarzystwo powinno zapewnić zachowanie odpowiedniego stopnia poufności rzeczywistych danych wykorzystywanych na potrzeby testów, sposób zgłaszania i dokonywania korekt błędów oprogramowania powinien być precyzyjnie określony i zapewniać rejestrację wszystkich zgłaszanych błędów, testy powinny być przeprowadzane w dedykowanym środowisku testowym, zakres przeprowadzanych testów powinien obejmować weryfikację spełnienia wszystkich wymagań, w szczególności następujące obszary 25) : zgodność z ustalonymi wymaganiami funkcjonalnymi, wydajność i dostępność systemu, z uwzględnieniem warunków znacznego obciążenia, zgodność nowego rozwiązania z wymogami bezpieczeństwa, w tym w zakresie uprawnień, poprawność funkcjonowania mechanizmów zapewniających wymaganą dostępność i odtwarzanie po awarii, w tym odtwarzania systemu z kopii awaryjnych, zgodność z przyjętymi miarami jakości oprogramowania, poprawność integracji (wymiany danych) danego systemu z innymi systemami, poprawność funkcjonowania systemów zintegrowanych z danym systemem, jak również w przypadku wprowadzania zmian pozostałej (niemodyfikowanej) części funkcjonalności systemu Towarzystwo powinno zapewnić, aby procedury przenoszenia nowego systemu informatycznego lub zmiany już funkcjonującego systemu na środowisko produkcyjne minimalizowały ryzyko wystąpienia przestojów w działalności towarzystwa. W szczególności po przeniesieniu systemu na środowisko produkcyjne towarzystwo powinno zweryfikować poprawność jego działania i zgodność z wymaganiami, a następnie przez odpowiedni czas monitorować system pod tym kątem w celu identyfikacji ewentualnych problemów wymagających interwencji. W związku z tym, towarzystwo powinno przeanalizować zasadność (uwzględniając w szczególności możliwości techniczne oraz relację ryzyka do kosztów) i na tej podstawie podjąć odpowiednią decyzję dotyczącą zapewnienia mechanizmów umożliwiających powrót do stanu sprzed wdrożenia w przypadku wystąpienia sytuacji krytycznej (takich jak tworzenie kopii awaryjnych odpowiedniego obszaru środowiska teleinformatycznego) Funkcjonujące w towarzystwie środowiska rozwojowe, testowe i produkcyjne powinny być odpowiednio odseparowane. Wybrana metoda separacji (np. separacja logiczna z zastosowaniem wirtualizacji, separacja fizyczna itp.) 24) Patrz też: sekcja Współpraca z zewnętrznymi dostawcami usług. 25) W przypadku wprowadzania zmian do istniejących systemów informatycznych obszary uwzględniane podczas testów powinny być adekwatne do zakresu tych zmian.20 Dziennik Urzędowy Komisji Nadzoru Finansowego 20 Poz. 10 powinna odpowiadać poziomowi ryzyka i uwarunkowaniom technicznym związanym z danym środowiskiem i funkcjonującymi w nim systemami Towarzystwo powinno zapewnić, aby wraz z rozwojem systemów informatycznych aktualizowana była odpowiednia dokumentacja funkcjonalna, techniczna, eksploatacyjna 26) i użytkowa (z zapewnieniem jej wersjonowania), zaś użytkownikom rozwijanych systemów zapewniane były odpowiednie szkolenia 27) W towarzystwie powinien funkcjonować sformalizowany proces zarządzania zmianą w systemach informatycznych, określający zasady i tryb postępowania w zakresie: zgłaszania propozycji zmian, akceptacji zmian, określania priorytetów zmian, realizacji zmian, monitorowania realizacji zmian, testowania realizacji zmian, zamykania zrealizowanych zmian, zarządzania zmianami pilnymi / awaryjnymi Podejmując decyzję w zakresie akceptacji zmiany towarzystwo powinno przeprowadzić analizę jej zgodności z wymaganiami uprzednio ustalonymi dla modyfikowanego systemu informatycznego, w szczególności związanych z jego bezpieczeństwem. W przypadku, gdy w powyższym zakresie występuje rozbieżność, decyzja o akceptacji zmiany powinna być podejmowana ze szczególną rozwagą Przebieg procesu wprowadzania zmian do systemów informatycznych powinien być odpowiednio udokumentowany, w szczególności towarzystwo powinno prowadzić rejestr zmian wprowadzanych do poszczególnych systemów oraz dokonywać okresowej weryfikacji zgodności zapisów tego rejestru ze stanem faktycznym Szczególnej uwagi towarzystwa wymagają zmiany w zakresie środowiska teleinformatycznego wynikające z fuzji lub przejęć. W takich przypadkach towarzystwo powinno zapewnić, aby zasoby dedykowane projektowaniu docelowego, połączonego środowiska, integracji i zastępowaniu systemów informatycznych, planowaniu i realizacji migracji danych oraz weryfikacji wyników tych prac były adekwatne do skali i specyfiki przeprowadzanych zmian Towarzystwo powinno posiadać sformalizowane regulacje w zakresie wycofywania z eksploatacji użytkowanych systemów informatycznych. Regulacje te powinny w szczególności określać zasady: podejmowania decyzji w zakresie wycofywania systemów z eksploatacji, uwzględniające istotność systemu 28), informowania zainteresowanych stron (w tym użytkowników) o wycofaniu systemu, przeprowadzania migracji danych i kontroli jej poprawności, dokonywania archiwizacji wycofywanych rozwiązań, w szczególności z zapewnieniem wymaganego przepisami prawa i uwarunkowaniami towarzystwa dostępu do danych oraz ich prawidłowego zabezpieczenia, aktualizacji konfiguracji infrastruktury teleinformatycznej w związku z wycofaniem rozwiązania (np. w zakresie wyłączania kont systemowych, rekonfiguracji zapór sieciowych itp.), bezpiecznej eliminacji wycofywanych z użytku komponentów infrastruktury teleinformatycznej, aktualizacji dokumentacji środowiska teleinformatycznego. 26) Patrz też: podsekcja Dokumentacja infrastruktury teleinformatycznej. 27) Patrz też: sekcja Edukacja pracowników. 28) Patrz: podsekcja Klasyfikacja systemów informatycznych. Pokazać jeszcze
Komisja Nadzoru Finansowego Wytyczne dotyczące zarządzania obszarami technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego w towarzystwach funduszy inwestycyjnych Warszawa, 16 grudnia Bardziej szczegółowo Warszawa, dnia 16 kwietnia 2015 r. Poz. 9. UCHWAŁA Nr 412/2014 KOMISJI NADZORU FINANSOWEGO. z dnia 16 grudnia 2014 r.
DZIENNIK URZĘDOWY KOMISJI NADZORU FINANSOWEGO Warszawa, dnia 16 kwietnia 2015 r. Poz. 9 UCHWAŁA Nr 412/2014 KOMISJI NADZORU FINANSOWEGO z dnia 16 grudnia 2014 r. w sprawie wydania Wytycznych dotyczących Bardziej szczegółowo Komisja Nadzoru Finansowego. Wytyczne
Komisja Nadzoru Finansowego Wytyczne dotyczące zarządzania obszarami technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego w powszechnych towarzystwach emerytalnych Warszawa, 16 grudnia Bardziej szczegółowo Warszawa, dnia 16 kwietnia 2015 r. Poz. 8
DZIENNIK URZĘDOWY KOMISJI NADZORU FINANSOWEGO Warszawa, dnia 16 kwietnia 2015 r. Poz. 8 UCHWAŁA Nr 411/2014 KOMISJI NADZORU FINANSOWEGO z dnia 16 grudnia 2014 r. w sprawie wydania Wytycznych dotyczących Bardziej szczegółowo Warszawa, dnia 16 września 2015 r. Poz. 51. UCHWAŁA Nr 410/2014 KOMISJI NADZORU FINANSOWEGO. z dnia 16 grudnia 2014 r.
DZIENNIK URZĘDOWY KOMISJI NADZORU FINANSOWEGO Warszawa, dnia 16 września 2015 r. Poz. 51 UCHWAŁA Nr 410/2014 KOMISJI NADZORU FINANSOWEGO z dnia 16 grudnia 2014 r. w sprawie wydania Wytycznych dotyczących Bardziej szczegółowo Komisja Nadzoru Finansowego. Rekomendacja D-SKOK
Komisja Nadzoru Finansowego Rekomendacja D-SKOK dotycząca zarządzania obszarami technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego w spółdzielczych kasach oszczędnościowo-kredytowych Bardziej szczegółowo Komisja Nadzoru Finansowego. Wytyczne
Komisja Nadzoru Finansowego Wytyczne dotyczące zarządzania obszarami technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego w firmach inwestycyjnych Warszawa, 16 grudnia 2014 r. Spis Bardziej szczegółowo Komisja Nadzoru Finansowego. Rekomendacja D
Komisja Nadzoru Finansowego Rekomendacja D dotycząca zarządzania obszarami technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego w bankach Warszawa, styczeń 2013 r. Spis treści I. Wstęp... Bardziej szczegółowo BAKER TILLY POLAND CONSULTING
BAKER TILLY POLAND CONSULTING Wytyczne KNF dla firm ubezpieczeniowych i towarzystw reasekuracyjnych w obszarze bezpieczeństwa informatycznego An independent member of Baker Tilly International Objaśnienie Bardziej szczegółowo Warszawa, dnia 16 września 2015 r. Poz. 50. UCHWAŁA Nr 409/2014 KOMISJI NADZORU FINANSOWEGO. z dnia 16 grudnia 2014 r.
DZIENNIK URZĘDOWY KOMISJI NADZORU FINANSOWEGO Warszawa, dnia 16 września 2015 r. Poz. 50 UCHWAŁA Nr 409/2014 KOMISJI NADZORU FINANSOWEGO z dnia 16 grudnia 2014 r. w sprawie wydania Wytycznych dotyczących Bardziej szczegółowo Krzysztof Wawrzyniak Quo vadis BS? Ożarów Mazowiecki, styczeń 2014
1 QUO VADIS.. BS? Rekomendacja D dlaczego? Mocne fundamenty to dynamiczny rozwój. Rzeczywistość wdrożeniowa. 2 Determinanty sukcesu w biznesie. strategia, zasoby (ludzie, kompetencje, procedury, technologia) Bardziej szczegółowo Usprawnienie procesu zarządzania konfiguracją. Marcin Piebiak Solution Architect Linux Polska Sp. z o.o.
Strategia identyfikacji, pomiaru, monitorowania i kontroli ryzyka zatwierdzona przez Zarząd dnia 14 czerwca 2010 roku zmieniona przez Zarząd dnia 28 października 2010r. (Uchwała nr 3/X/2010) Tekst jednolity Bardziej szczegółowo Promotor: dr inż. Krzysztof Różanowski
Bezpieczeństwo aplikacji i urządzeń mobilnych w kontekście wymagań normy ISO/IEC 27001 oraz BS 25999 doświadczenia audytora Krzysztof Wertejuk audytor wiodący ISOQAR CEE Sp. z o.o. Dlaczego rozwiązania Bardziej szczegółowo Spis treści Wstęp 1. Wprowadzenie 2. Zarządzanie ryzykiem systemów informacyjnych
Spis treści Wstęp 1. Wprowadzenie 1.1. Co to jest bezpieczeństwo informacji? 1.2. Dlaczego zapewnianie bezpieczeństwa informacji jest potrzebne? 1.3. Cele, strategie i polityki w zakresie bezpieczeństwa Bardziej szczegółowo MINISTERSTWO ADMINISTRACJI I CYFRYZACJI
MINISTERSTWO ADMINISTRACJI I CYFRYZACJI S y s t e m Z a r z ą d z a n i a B e z p i e c z e ń s t w e m I n f o r m a c j i w u r z ę d z i e D e f i n i c j e Bezpieczeństwo informacji i systemów teleinformatycznych Bardziej szczegółowo INFORMACJA POLSKIEGO BANKU SPÓŁDZIELCZEGO W WYSZKOWIE
INFORMACJA POLSKIEGO BANKU SPÓŁDZIELCZEGO W WYSZKOWIE wynikająca z art. 111a ustawy Prawo bankowe Stan na 31 grudnia 2015 roku Wyszków, 2016r. Spis treści 1. Opis systemu zarządzania, w tym systemu zarządzania Bardziej szczegółowo Autor: Artur Lewandowski. Promotor: dr inż. Krzysztof Różanowski
Autor: Artur Lewandowski Promotor: dr inż. Krzysztof Różanowski Przegląd oraz porównanie standardów bezpieczeństwa ISO 27001, COSO, COBIT, ITIL, ISO 20000 Przegląd normy ISO 27001 szczegółowy opis wraz Bardziej szczegółowo WZ PW Norma ISO/IEC 27001:2013 najnowsze zmiany w systemach zarzadzania bezpieczeństwem informacji IT security trends
Norma ISO/IEC 27001:2013 najnowsze zmiany w systemach zarzadzania bezpieczeństwem informacji dr inż. Bolesław Szomański Wydział Zarządzania Politechnika Warszawska b.szomański@wz.pw.edu.pl Plan Prezentacji Bardziej szczegółowo Doświadczenia w wdrażaniu systemu zarządzania bezpieczeństwem informacji zgodnego z normą ISO 27001
Doświadczenia w wdrażaniu systemu zarządzania bezpieczeństwem informacji zgodnego z normą ISO 27001 na przykładzie Urzędu Miejskiego w Bielsku-Białej Gliwice, dn. 13.03.2014r. System Zarządzania Bezpieczeństwem Bardziej szczegółowo Kryteria oceny Systemu Kontroli Zarządczej
Zarządzanie bezpieczeństwem informacji przegląd aktualnych standardów i metodyk dr T Bartosz Kalinowski 17 19 września 2008, Wisła IV Sympozjum Klubu Paragraf 34 1 Informacja a system zarządzania Informacja Bardziej szczegółowo Wykaz osób w postępowaniu o udzielenie zamówienia publicznego nr 32-CPI-WZP-2244/13. Podstawa do dysponowania osobą
Załącznik nr 8 do SIWZ Wykaz osób w postępowaniu o udzielenie zamówienia publicznego nr 3-CPI-WZP-44/13 Lp. Zakres wykonywanych czynności Liczba osób Imiona i nazwiska osób, którymi dysponuje wykonawca Bardziej szczegółowo System Kontroli Wewnętrznej w Banku BPH S.A.
System Kontroli Wewnętrznej w Banku BPH S.A. Cel i elementy systemu kontroli wewnętrznej 1. System kontroli wewnętrznej umożliwia sprawowanie nadzoru nad działalnością Banku. System kontroli wewnętrznej Bardziej szczegółowo Polityka zarządzania zgodnością w Banku Spółdzielczym w Łaszczowie
Załącznik do Uchwały Nr 94/2014 Zarządu Banku Spółdzielczego w Łaszczowie z dnia 31.12.2014 r. Załącznik do Uchwały Nr 11/2015 Rady Nadzorczej Banku Spółdzielczego w Łaszczowie z dnia 11.03.2015 r. Polityka Bardziej szczegółowo Minimalne wymogi wdrożenia systemu kontroli zarządczej w jednostkach organizacyjnych miasta Lublin
Minimalne wymogi wdrożenia systemu kontroli zarządczej w jednostkach organizacyjnych miasta Lublin A. Środowisko wewnętrzne 1. Przestrzeganie wartości etycznych: należy zapoznać, uświadomić i promować Bardziej szczegółowo SKZ System Kontroli Zarządczej
SKZ System Kontroli Zarządczej KOMUNIKAT Nr 23 MINISTRA FINANSÓW z dnia 16 grudnia 2009 r. w sprawie standardów kontroli zarządczej dla sektora finansów publicznych Na podstawie art. 69 ust. 3 ustawy z Bardziej szczegółowo Warszawa, dnia 21 czerwca 2013 r. Poz. 15 OBWIESZCZENIE KOMISJI NADZORU FINANSOWEGO. z dnia 21 czerwca 2013 r.
DZIENNIK URZĘDOWY Warszawa, dnia 21 czerwca 2013 r. Poz. 15 OBWIESZCZENIE z dnia 21 czerwca 2013 r. w sprawie ogłoszenia jednolitego tekstu uchwały Nr 384/2008 Komisji Nadzoru Finansowego w sprawie wymagań Bardziej szczegółowo Kwestionariusz samooceny kontroli zarządczej
Kwestionariusz samooceny kontroli zarządczej załącznik Nr 6 do Regulaminu kontroli zarządczej Numer pytania Tak/nie Odpowiedź Potrzebne dokumenty Środowisko wewnętrzne I Przestrzeganie wartości etycznych Bardziej szczegółowo Standardy kontroli zarządczej
Standardy kontroli zarządczej Na podstawie Komunikatu nr 23 Ministra Finansów z 16 grudnia 2009 r. w sprawie standardów kontroli zarządczej dla sektora finansów publicznych by Antoni Jeżowski, 2014 Cel Bardziej szczegółowo Projekt dotyczy stworzenia zintegrowanego, modularnego systemu informatycznego wspomagającego zarządzanie pracownikami i projektami w firmie
Projekt dotyczy stworzenia zintegrowanego, modularnego systemu informatycznego wspomagającego zarządzanie pracownikami i projektami w firmie informatycznej. Zadaniem systemu jest rejestracja i przechowywanie Bardziej szczegółowo Zarządzanie ryzykiem Klasyfikacja Edukacja. Maciej Iwanicki, Symantec Łukasz Zieliński, CompFort Meridian
Zarządzanie ryzykiem Klasyfikacja Edukacja Maciej Iwanicki, Symantec Łukasz Zieliński, CompFort Meridian Organizacja obszarów technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego 5.4. Bardziej szczegółowo Ryzyko w Rozporządzeniu Rady Ministrów z dnia 12 kwietnia 2012r. w sprawie Krajowych Ram Interoperacyjności ( )
Ryzyko w Rozporządzeniu Rady Ministrów z dnia 12 kwietnia 2012r. w sprawie Krajowych Ram Interoperacyjności ( ) Dr inż. Elżbieta Andrukiewicz Przewodnicząca KT nr 182 Ochrona informacji w systemach teleinformatycznych Bardziej szczegółowo ZASADY ŁADU KORPORACYJNEGO W BANKU SPÓŁDZIELCZYM W GŁOGOWIE
Załącznik nr 1 do Uchwały Zarządu Banku z dnia 18.12.2014r Załącznik nr 1 do Uchwały Rady Nadzorczej z dnia 18.12.2014r ZASADY ŁADU KORPORACYJNEGO W BANKU SPÓŁDZIELCZYM W GŁOGOWIE Głogów, 2014r W Banku Bardziej szczegółowo KONTROLA ZARZĄDCZA. Ustawa z dnia 17 grudnia 2004 r. o odpowiedzialności za naruszenie dyscypliny finansów publicznych (Dz. U. z 2013 r. poz.
KONTROLA ZARZĄDCZA Podstawa prawna Ustawa z dnia 27 sierpnia 2009 r. o finansach publicznych (Dz. U. z 2013 r. poz. 885, ze zm.) Ustawa z dnia 17 grudnia 2004 r. o odpowiedzialności za naruszenie dyscypliny Bardziej szczegółowo Szczegółowy opis przedmiotu umowy. 1. Środowisko SharePoint UWMD (wewnętrzne) składa się z następujących grup serwerów:
Załącznik nr 4 do Uchwały Zarządu nr 121/2014 z dnia 17.12.2014 r. Uchwały Rady Nadzorczej Nr 33/2014 z dnia 18.12.2014 r. BANK SPÓŁDZIELCZY GRODKÓW-ŁOSIÓW z siedzibą w Grodkowie 49-200 Grodków, ul. Kasztanowa Bardziej szczegółowo Skrócone opisy pryncypiów architektury korporacyjnej podmiotów publicznych
Skrócone opisy pryncypiów architektury korporacyjnej podmiotów publicznych Wersja: 1.0 17.06.2015 r. Wstęp W dokumencie przedstawiono skróconą wersję pryncypiów architektury korporacyjnej podmiotów publicznych. Bardziej szczegółowo Informacja o strategii i celach zarządzania ryzykiem
Załącznik nr 1 Informacja o strategii i celach zarządzania ryzykiem 1) Strategia i procesy zarządzania rodzajami ryzyka. Podejmowanie ryzyka zmusza Bank do koncentrowania uwagi na powstających zagrożeniach, Bardziej szczegółowo Bank Spółdzielczy w Augustowie. Zasady Ładu Korporacyjnego dla instytucji nadzorowanych
PROCEDURY KONTROLI ZARZĄDCZEJ Załącznik Nr 1 do zarządzenia nr 291/11 Prezydenta Miasta Wałbrzycha z dnia 15.03.2011 r. I. Postanowienia ogólne. 1 Procedura kontroli zarządczej została opracowana na podstawie Bardziej szczegółowo System Zachowania Ciągłości Funkcjonowania Grupy KDPW
System Zachowania Ciągłości Funkcjonowania Grupy KDPW Dokument Główny Polityka SZCF (wyciąg) Warszawa, dnia 21 czerwca 2013 r. Spis treści 1. Wprowadzenie... 3 2. Założenia ogólne SZCF... 3 2.1. Przypadki Bardziej szczegółowo Warszawa, dnia 13 sierpnia 2015 r. Poz. 43. UCHWAŁA Nr 300/2015 KOMISJI NADZORU FINANSOWEGO
DZIENNIK URZĘDOWY KOMISJI NADZORU FINANSOWEGO Warszawa, dnia 13 sierpnia 2015 r. Poz. 43 UCHWAŁA Nr 300/2015 KOMISJI NADZORU FINANSOWEGO z dnia 7 lipca 2015 r. w sprawie wydania Wytycznych dla zakładów Bardziej szczegółowo Załącznik do Uchwały Nr 45/2014. Rady Nadzorczej Pienińskiego Banku Spółdzielczego. z dnia 30.12.2014 r. Załącznik do Uchwały Nr 8/12/2014
Załącznik do Uchwały Nr 45/2014 Rady Nadzorczej Pienińskiego Banku Spółdzielczego z dnia 30.12.2014 r. Załącznik do Uchwały Nr 8/12/2014 Zarządu Pienińskiego Banku Spółdzielczego z dnia 08.12.2014r. POLITYKA Bardziej szczegółowo Spółdzielcza Kasa Oszczędnościowo - Kredytowa
Spółdzielcza Kasa Oszczędnościowo - Kredytowa POLITYKA W ZAKRESIE STOSOWANIA ZASAD ŁADU KORPORACYJNEGO DLA INSTYTUCJI NADZOROWANYCH W SPÓŁDZIELCZEJ KASIE OSZCZĘDNOŚCIOWO-KREDYTOWEJ CENTRUM Zatwierdzono Bardziej szczegółowo Zarządzanie projektami. Wykład 2 Zarządzanie projektem
Zarządzanie projektami Wykład 2 Zarządzanie projektem Plan wykładu Definicja zarzadzania projektami Typy podejść do zarządzania projektami Cykl życia projektu/cykl zarządzania projektem Grupy procesów Bardziej szczegółowo PROCEDURY ZARZĄDZANIA SYSTEMEM INFORMATYCZNYM
Urząd Gminy Kęty Dokument Systemu Zarządzania Bezpieczeństwem Informacji PROCEDURY ZARZĄDZANIA SYSTEMEM INFORMATYCZNYM ZATWIERDZENIE DOKUMENTU Sporządził Sprawdził Zatwierdził Volvox Consulting Pełnomocnik Bardziej szczegółowo REGULAMIN FUNKCJONOWANIA KONTROLI ZARZADCZEJ W POWIATOWYM URZĘDZIE PRACY W GIśYCKU. Postanowienia ogólne
Załącznik Nr 1 do Zarządzenia Nr 29 z 01.07.2013r. REGULAMIN FUNKCJONOWANIA KONTROLI ZARZADCZEJ W POWIATOWYM URZĘDZIE PRACY W GIśYCKU Postanowienia ogólne 1 1. Kontrola zarządcza w Powiatowym Urzędzie Bardziej szczegółowo Polityka zarządzania ładem korporacyjnym w Spółdzielczej Kasie Oszczędnościowo- Kredytowej Świdnik
Polityka zarządzania ładem korporacyjnym w Spółdzielczej Kasie Oszczędnościowo- Kredytowej Świdnik 1 W związku z opublikowaniem przez Komisję Nadzoru Finansowego Zasad ładu korporacyjnego dla instytucji Bardziej szczegółowo Opracowanie: Elżbieta Paliga Kierownik Biura Audytu Wewnętrznego Urząd Miejski w Dąbrowie Górniczej
Opracowanie: Elżbieta Paliga Kierownik Biura Audytu Wewnętrznego Urząd Miejski w Dąbrowie Górniczej Uregulowania prawne Ustawa z dnia 27 sierpnia 2009 roku o finansach publicznych (Dz.U. z 2013 r., poz. Bardziej szczegółowo Regulamin organizacji i zasad funkcjonowania kontroli zarządczej w Powiatowym Urzędzie Pracy w Tarnobrzegu
Regulamin organizacji i zasad funkcjonowania kontroli zarządczej w Powiatowym Urzędzie Pracy w Tarnobrzegu Postanowienia ogólne 1 1. Kontrolę zarządczą w PUP stanowi ogół działań podejmowanych dla zapewnienia Bardziej szczegółowo ZARZĄDZENIE Nr 21/11 MARSZAŁKA WOJEWÓDZTWA ZACHODNIOPOMORSKIEGO z dnia 10 marca 2011 r.
ZARZĄDZENIE Nr 21/11 MARSZAŁKA WOJEWÓDZTWA ZACHODNIOPOMORSKIEGO z dnia 10 marca 2011 r. w sprawie wprowadzenia Regulaminu Kontroli Zarządczej w Urzędzie Marszałkowskim Województwa Zachodniopomorskiego Bardziej szczegółowo ANKIETA dla kadry kierowniczej samoocena systemu kontroli zarządczej za rok
ANKIETA dla kadry kierowniczej samoocena systemu za rok Załącznik nr 6 do Zarządzenia nr 0050.67.2016 Burmistrza Miasta Kościerzyna z dnia 31.05.2016r. Przedstawione poniżej pytania ankietowe są elementem Bardziej szczegółowo Polityka przestrzegania Zasad ładu korporacyjnego. w Banku Spółdzielczym w Szczuczynie
Załącznik do uchwały Zarządu Banku Spółdzielczego w Szczuczynie Nr 79/2014 z dnia 12.12.2014r. Załącznik do uchwały Rady Nadzorczej Banku Spółdzielczego w Szczuczynie Nr 51/2014 z dnia 12.12.2014r. Polityka Bardziej szczegółowo Plan kontroli zarządczej na rok 2012 dla Urzędu Gminy Pruszcz Gdański w Pruszczu Gdańskim. Planowa na wartość
Plan kontroli zarządczej na rok 2012 dla Urzędu Gminy Pruszcz Gdański w Pruszczu Gdańskim Lp. CEL Nazwa 1. Przejrzysty proces zatrudniana zapewniający wybór najlepszego kandydata na dane stanowisko Wskaźnik Bardziej szczegółowo Kontrola zarządcza w szkołach i placówkach oświatowych. Ewa Halska, Andrzej Jasiński, OSKKO
Kontrola zarządcza w szkołach i placówkach oświatowych. Ewa Halska, Andrzej Jasiński, OSKKO Istotną kwestią podjętą w w Ustawie z 27 sierpnia 2009 r. o finansach publicznych (Dz. U. Nr 157 poz. 1240) jest Bardziej szczegółowo Polityka zarządzania ładem korporacyjnym w Banku Spółdzielczym w Suchedniowie
Polityka zarządzania ładem korporacyjnym w Banku Spółdzielczym w Suchedniowie 1 W związku z opublikowaniem przez Komisję Nadzoru Finansowego Zasad ładu korporacyjnego dla instytucji nadzorowanych, Bank Bardziej szczegółowo Wytyczne dotyczące własnej oceny ryzyka i wypłacalności
EIOPA-BoS-14/259 PL Wytyczne dotyczące własnej oceny ryzyka i wypłacalności EIOPA Westhafen Tower, Westhafenplatz 1-60327 Frankfurt Germany - Tel. + 49 69-951119-20; Fax. + 49 69-951119-19; email: info@eiopa.europa.eu Bardziej szczegółowo Procedura zarządzania ryzykiem w Urzędzie Gminy Damasławek
Załącznik nr 3 do Zarządzenia Nr Or. 0152-38/10 Wójta Gminy Damasławek z dnia 31 grudnia 2010 r. Procedura zarządzania ryzykiem w Urzędzie Gminy Damasławek celem procedury jest zapewnienie mechanizmów Bardziej szczegółowo Krzysztof Świtała WPiA UKSW
Krzysztof Świtała WPiA UKSW Podstawa prawna 20 ROZPORZĄDZENIA RADY MINISTRÓW z dnia 12 kwietnia 2012 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany Bardziej szczegółowo Marcin Soczko. Agenda
System ochrony danych osobowych a System Zarządzania Bezpieczeństwem Informacji - w kontekście normy PN-ISO 27001:2014 oraz Rozporządzenia o Krajowych Ramach Interoperacyjności Marcin Soczko Stowarzyszenie Bardziej szczegółowo Polityka zarządzania ryzykiem braku zgodności w Banku Spółdzielczym w Końskich
Załącznik do Uchwały Zarządu Nr 11/XLI/14 z dnia 30 grudnia 2014r. Załącznik do uchwały Rady Nadzorczej Nr 8/IX/14 z dnia 30 grudnia 2014r. Polityka zarządzania ryzykiem braku zgodności w Banku Spółdzielczym Bardziej szczegółowo POLITYKA BANKU SPÓŁDZIELCZEGO W ŻORACH W ZAKRESIE WDROŻENIA ZASAD ŁADU KORPORACYJNEGO
Tekst obowiązujący od dn. 31.12.2015r. BANK SPÓŁDZIELCZY W ŻORACH POLITYKA BANKU SPÓŁDZIELCZEGO W ŻORACH W ZAKRESIE WDROŻENIA ZASAD ŁADU KORPORACYJNEGO 1 W związku z opublikowaniem przez Komisję Nadzoru Bardziej szczegółowo POLITYKA BEZPIECZEŃSTWA w zakresie ochrony danych osobowych w ramach serwisu zgloszenia24.pl
POLITYKA BEZPIECZEŃSTWA w zakresie ochrony danych osobowych w ramach serwisu zgloszenia24.pl SPIS TREŚCI I. POSTANOWIENIA OGÓLNE... 2 II. DEFINICJA BEZPIECZEŃSTWA INFORMACJI... 2 III. ZAKRES STOSOWANIA... Bardziej szczegółowo Zasady ładu korporacyjnego w Banku Spółdzielczym w Sierpcu
Załącznik do Uchwały nr 60/2014 Rady Nadzorczej Banku Spółdzielczego w Sierpcu z dnia 01 grudnia 2014 roku Załącznik do Uchwały nr 20/2014 Zarządu Banku Spółdzielczego w Sierpcu z dnia 04 grudnia 2014 Bardziej szczegółowo Opis przedmiotu zamówienia
Załącznik nr 1 do SIWZ Opis przedmiotu zamówienia Świadczenie usług doradztwa eksperckiego w ramach projektu Elektroniczna Platforma Gromadzenia, Analizy i Udostępniania Zasobów Cyfrowych o Zdarzeniach Bardziej szczegółowo Zasady funkcjonowania systemu kontroli zarządczej w Urzędzie Miasta Lublin i jednostkach organizacyjnych miasta Lublin akceptowalny poziom ryzyka
w sprawie określenia zasad funkcjonowania systemu kontroli zarządczej w Urzędzie Miasta Lublin i jednostkach organizacyjnych miasta Lublin - wydanie drugie Zasady funkcjonowania systemu kontroli zarządczej Bardziej szczegółowo mgr inż. Joanna Karczewska CISA, ISACA Warsaw Chapter Konsekwencje wyroku Trybunału Konstytucyjnego dla bezpieczeństwa informacji
mgr inż. Joanna Karczewska CISA, ISACA Warsaw Chapter Konsekwencje wyroku Trybunału Konstytucyjnego dla bezpieczeństwa informacji Wyrok Trybunału Konstytucyjnego 2 Warszawa, dnia 9 kwietnia 2015 r. WYROK Bardziej szczegółowo INFORMACJA BANKU SPÓŁDZIELCZEGO W MRĄGOWIE
INFORMACJA BANKU SPÓŁDZIELCZEGO W MRĄGOWIE wynikająca z art. 111a ustawy Prawo bankowe Stan na 31 grudnia 2015 roku Spis treści 1. Informacja o działalności Banku Spółdzielczego w Mrągowie poza terytorium Bardziej szczegółowo Zarządzenie Nr 24/2012 Rektora Uniwersytetu Wrocławskiego z dnia 28 marca 2012 r. w sprawie Polityki zarządzania ryzykiem
Zarządzenie Nr 24/2012 Rektora Uniwersytetu Wrocławskiego z dnia 28 marca 2012 r. w sprawie Polityki zarządzania ryzykiem Na podstawie art. 66 ust. 2 ustawy z dnia 27 lipca 2005 r. - Prawo o szkolnictwie Bardziej szczegółowo Opis znaczenia kryterium. Lp. Nazwa kryterium Opis kryterium. 1. Wnioskodawca przeprowadził inwentaryzację zasobów nauki objętych projektem.
Kryteria merytoryczne wyboru projektów dla poddziałania 2.3.1 Cyfrowe udostępnianie informacji sektora publicznego (ISP) ze źródeł administracyjnych oraz zasobów nauki Programu Operacyjnego Polska Cyfrowa Bardziej szczegółowo DOKUMENTACJA BEZPIECZEŃSTWA Załącznik nr 23 do Umowy nr... z dnia... MINISTERSTWO FINANSÓW DEPARTAMENT INFORMATYKI DOKUMENTACJA BEZPIECZEŃSTWA styczeń 2010 Strona 1 z 13 Krótki opis dokumentu Opracowano na Bardziej szczegółowo Warszawa, dnia 16 marca 2015 r. Poz. 5 ZARZĄDZENIE NR 5 PREZESA KASY ROLNICZEGO UBEZPIECZENIA SPOŁECZNEGO. z dnia 16 marca 2015 r.
DZIENNIK URZĘDOWY KASY ROLNICZEGO UBEZPIECZENIA SPOŁECZNEGO Warszawa, dnia 16 marca 2015 r. Poz. 5 ZARZĄDZENIE NR 5 PREZESA KASY ROLNICZEGO UBEZPIECZENIA SPOŁECZNEGO z dnia 16 marca 2015 r. w sprawie utrzymania Bardziej szczegółowo Nie o narzędziach a o rezultatach. czyli skuteczny sposób dokonywania uzgodnień pomiędzy biznesem i IT. Władysławowo, 6 października 2011 r.
Nie o narzędziach a o rezultatach czyli skuteczny sposób dokonywania uzgodnień pomiędzy biznesem i IT Władysławowo, 6 października 2011 r. Dlaczego taki temat? Ci którzy wykorzystują technologie informacyjne Bardziej szczegółowo Polityka zarządzania ryzykiem braku zgodności. w Banku Spółdzielczym w Wąsewie
Załącznik Nr 5 do uchwały Zarządu Nr 105/2014 z dnia 11.12.2014 r. Załącznik do uchwały Rady Nadzorczej Nr 45/2014 z dnia 22.12.2014 r. Polityka zarządzania ryzykiem braku zgodności w Banku Spółdzielczym Bardziej szczegółowo Kryteria merytoryczne dla działania 2.1 Wysoka dostępność i jakość e-usług publicznych Programu Operacyjnego Polska Cyfrowa na lata 2014-2020
Kryteria merytoryczne dla działania 2.1 Wysoka dostępność i jakość e-usług publicznych Programu Operacyjnego Polska Cyfrowa na lata 2014-2020 Numer i nazwa osi priorytetowej Numer i nazwa działania/ poddziałania Bardziej szczegółowo System zarządzania ryzykiem a system kontroli wewnętrznej
RAPORT OCENA KONTROLI ZARZĄDCZEJ Szkoła Podstawowa nr 336 im. Janka Bytnara Rudego - Ursynów raport za rok: 2015 Strona 1 z 12 I. WSTĘP: Kontrolę zarządczą w jednostkach sektora finansów publicznych stanowi Bardziej szczegółowo Polityka zarządzania ładem korporacyjnym w Banku Spółdzielczym w Gorlicach
BANK SPÓŁDZIELCZY w GORLICACH ul. Stróżowska 1 Załącznik do Uchwały Nr 122/2014 Zarządu Banku Spółdzielczego w Gorlicach z dnia 15.12.2014 r. Załącznik do Uchwały Nr 24/2014 Rady Nadzorczej Banku Spółdzielczego Bardziej szczegółowo Opis znaczenia kryterium. Lp. Nazwa kryterium Opis kryterium
Kryteria merytoryczne wyboru projektów dla poddziałania 2.3.2 Cyfrowe udostępnienie zasobów kultury Programu Operacyjnego Polska Cyfrowa na lata 2014-2020 Typ projektu Cyfrowe udostępnienie zasobów kultury Bardziej szczegółowo ZARZĄDZENIE NR 36/2016 BURMISTRZA KSIĄŻA WLKP. z dnia 22 marca 2016 r.
ZARZĄDZENIE NR 36/2016 BURMISTRZA KSIĄŻA WLKP. z dnia 22 marca 2016 r. w sprawie wprowadzenia procedury dokonywania samooceny kontroli zarządczej w Urzędzie Miejskim w Książu Wlkp. Na podstawie art. 33 Bardziej szczegółowo Zarządzenie nr 98/2012. Wójta Gminy Żórawina z dnia 26 stycznia 2012 w sprawie wprowadzenia standardów kontroli zarządczej w Gminie Żórawina
Zarządzenie nr 98/2012 Wójta Gminy Żórawina z dnia 26 stycznia 2012 w sprawie wprowadzenia standardów kontroli zarządczej w Gminie Żórawina Na podstawie art. 53 ust. 1, art. 68 ust. 1 i art. 69 ust. 1 Bardziej szczegółowo Informatyka w kontroli i audycie
Informatyka w kontroli i audycie Informatyka w kontroli i audycie Wstęp Terminy zajęć 30.11.2013 - godzina 8:00-9:30 ; 9:45-11:15 15.12.2013 - godzina 8:00-9:30 ; 9:45-11:15 05.04.2014 - godzina 15:45-17:15 Bardziej szczegółowo Metodyka zarządzania ryzykiem w obszarze bezpieczeństwa informacji
2012 Metodyka zarządzania ryzykiem w obszarze bezpieczeństwa informacji Niniejszy przewodnik dostarcza praktycznych informacji związanych z wdrożeniem metodyki zarządzania ryzykiem w obszarze bezpieczeństwa Bardziej szczegółowo ZARZĄDZENIE NR 483/14 PREZYDENTA MIASTA ZDUŃSKA WOLA z dnia 22 grudnia 2014 r.
ZARZĄDZENIE NR 483/14 PREZYDENTA MIASTA ZDUŃSKA WOLA z dnia 22 grudnia 2014 r. w sprawie ustalenia organizacji i funkcjonowania kontroli zarządczej w Urzędzie Miasta Zduńska Wola oraz w pozostałych jednostkach Bardziej szczegółowo ZARZĄDZENIE Nr 33/14 PROKURATORA GENERALNEGO
PG VII G 020/40/14 ZARZĄDZENIE Nr 33/14 PROKURATORA GENERALNEGO z dnia 18 listopada 2014 r. w sprawie kontroli zarządczej w powszechnych jednostkach organizacyjnych prokuratury Na podstawie art. 10 ust. Bardziej szczegółowo Część I - Załącznik nr 7 do SIWZ. Warszawa. 2011r. (dane Wykonawcy) WYKAZ OSÓB, KTÓRYMI BĘDZIE DYSPONOWAŁ WYKONAWCA DO REALIZACJI ZAMÓWIENIA
CSIOZ-WZP.65.48.20 Część I - Załącznik nr 7 do SIWZ Warszawa. 20r. (dane Wykonawcy) WYKAZ OSÓB, KTÓRYMI BĘDZIE DYSPONOWAŁ WYKONAWCA DO REALIZACJI ZAMÓWIENIA Wykonawca oświadcza, że do realizacji zamówienia Bardziej szczegółowo PROCEDURA KONTROLI ZARZĄDZCZEJ. Szkoły Podstawowej w Ligocie Małej
PROCEDURA KONTROLI ZARZĄDZCZEJ Szkoły Podstawowej w Ligocie Małej I. Postanowienia ogólne 1. Procedury kontroli zarządczej zostały opracowane na podstawie art. 69 ust. 1 pkt 2 ustawy z dnia 27 sierpnia Bardziej szczegółowo ZAŁĄCZNIK Nr 3 do CZĘŚCI II SIWZ
ZAŁĄCZNIK Nr 3 do CZĘŚCI II SIWZ WYMAGANIA BEZPIECZEŃSTWA DLA SYSTEMÓW IT Wyciąg z Polityki Bezpieczeństwa Informacji dotyczący wymagań dla systemów informatycznych. 1 Załącznik Nr 3 do Część II SIWZ Wymagania Bardziej szczegółowo Świadomy Podatnik projekt Rady Podatkowej PKPP Lewiatan. www.radapodatkowa.pl
Świadomy Podatnik projekt Rady Podatkowej PKPP Lewiatan www.radapodatkowa.pl RYZYKO PODATKOWE Marcin Kolmas Definicja pojęcia ryzyka podatkowego na cele naszego spotkania Co to jest ryzyko podatkowe Ryzyko Bardziej szczegółowo Mateusz Górnisiewicz Departament Oceny Ryzyka Urząd Komisji Nadzoru Finansowego. 9 listopada 2011 r.
Rola systemów IT wspierających procesy zarządzania ryzykiem kredytowym z zastosowaniem metody IRB omówienie wymogów z zakresu integralności i bezpieczeństwa systemów IT oraz systemu zarządzania jakością Bardziej szczegółowo Zarządzanie Projektami zgodnie z PRINCE2
Zarządzanie Projektami zgodnie z PRINCE2 Opis Metodyka PRINCE2 powstała na bazie doświadczeń z wielu lat dobrych praktyk zarządzania projektami. Metodyka ta oferuje elastyczne i łatwe do adaptacji podejście Bardziej szczegółowo Kontrola zarządcza stanowi ogół działań podejmowanych dla zapewnienia realizacji celów w sposób zgodny z prawem, efektywny, oszczędny i terminowy.
ANKIETA / KWESTIONARIUSZ DLA JEDNOSTEK PODLEGŁYCH / NADZOROWANYCH PRZEZ MINISTRA NAUKI I SZKOLNICTWA WYŻSZEGO W ZAKRESIE STOSOWANIA STANDARDÓW KONTROLI ZARZĄDCZEJ Kontrola zarządcza stanowi ogół działań Bardziej szczegółowo 2017 © DocPlayer.pl Polityka prywatności | Warunki świadczenia usług | Zwrotny adres