Source: http://www.efekt-byd.pl/services.php
Timestamp: 2019-04-22 22:42:28
Legal References Found: art. 73
 art. 73
 art. 5
 art. 6
 art. 12
 art. 24
 art. 27
 art. 44
 art. 30
 art. 30
 art. 37

Art. 37

Art. 39

Document Content:
W zakresie ochrony informacji niejawnych usługi skierowane są do szerokiego grona Klientów w oparciu o świadczenie usług w formie outsourcingu i innych form zatrudnienia określonych w ustawie o ochronie informacji niejawnych – pełnienie obowiązków Pełnomocnika ds. ochrony informacji niejawnych, Inspektora Bezpieczeństwa Teleinformatycznego i Administratora systemu. Realizacja usługi ściśle powiązana jest z potrzebami i oczekiwaniami Klienta, ale zawsze zgodnie z obowiązującym prawem.
Pełnomocnik ds. ochrony informacji niejawnych zgodnie z Ustawą z dnia 5 sierpnia 2010 r. o ochronie informacji niejawnych (Dz. U. z 2018r. poz. 1000 ze zm.)
zapewnieniem ochrony systemu teleinformatycznego, w którym są przetwarzane informacje niejawne;
aktualizacja planu ochrony informacji niejawnych oraz nadzorowanie jego realizacji, w tym w razie wprowadzenia stanu nadzwyczajnego, i nadzorowanie jego realizacji oraz innych dokumentów wymaganych ustawą;
prowadzenie aktualnego wykazu osób zatrudnionych w jednostce organizacyjnej albo wykonujących czynności zlecone, które posiadają uprawnienia do dostępu do informacji niejawnych oraz osób, którym odmówiono wydania poświadczenia bezpieczeństwa lub je cofnięto;
przekazywanie odpowiednio ABW lub SKW do ewidencji, o których mowa w art. 73 ust. 1 ustawy, danych, o których mowa w art. 73 ust. 2 ustawy, osób uprawnionych do dostępu do informacji niejawnych, a także osób, którym odmówiono wydania poświadczenia bezpieczeństwa lub wobec których podjęto decyzję o cofnięciu poświadczenia bezpieczeństwa, na podstawie wykazu, o którym mowa w ppkt. h;
podejmowanie działań zmierzających do wyjaśnienia okoliczności naruszenia przepisów o ochronie informacji niejawnych, zawiadamiając o tym Kierownika Jednostki Organizacyjnej, a w razie zaistnienia takiej konieczności również odpowiednie organy państwowe,
nadzór nad pracą kancelarii niejawnej,
konsultacje oraz doradztwo w zakresie wszelkich kwestii związanych z ochroną informacji niejawnych;
analiza i ocena dokumentacji, pism, procedur, wniosków, zezwoleń, zapisów umownych i innych materiałów z zakresu informacji niejawnych.
Dokumenty dotyczące bezpieczeństwa teleinformatycznego związane z przetwarzaniem dokumentów niejawnych w systemach teleinformatycznych zgodnie z wymaganiami ustawy z dnia 5 sierpnia 2010 roku o ochronie informacji niejawnych (Dz. U. z 2018r. poz. 1000 ze zm.) zostały określone w Rozdziale 8 oraz Rozporządzeniu Prezesa Rady Ministrów z dnia 20 lipca 2011 r. w sprawie podstawowych wymagań bezpieczeństwa teleinformatycznego (Dz. U. 2011 r. Nr 159, poz. 948); tj.:
SWB – Szczególne Wymagania Bezpieczeństwa Systemu Teleinformatycznego,
PBE - Procedury Bezpiecznej Eksploatacji Sytemu Teleinformatycznego.
Bezpieczeństwo przemysłowe, jako zdolność do ochrony informacji niejawnych o klauzuli poufne lub wyższej jest świadectwo bezpieczeństwa przemysłowego wydane przez ABW albo SKW po przeprowadzeniu postępowania bezpieczeństwa przemysłowego. (Rozdział 9 ustawy z dnia 5 sierpnia 2010 roku o ochronie informacji niejawnych (Dz. U. z 2018r. poz. 1000 ze zm.)
W zakresie ochrony danych osobowych usługa Inspektora Ochrony Danych może być realizowana w formie outsourcingu. Wyznaczenie inspektora spoza własnego zespołu niesie za sobą dwie podstawowe korzyści – niezależność i wynikającą z niej obiektywną ocenę skuteczności działań podejmowanych na rzecz bezpieczeństwa. Celem bezpośrednim jest wsparcia organizacji o wymagania prawne i techniczno – organizacyjne Administratora Danych Osobowych w codziennym funkcjonowaniu organizacji. Formuła powołania Inspektora Danych Osobowych pozwala spełniać wymogi niezależności, obiektywizmu, dbałości i rzetelności z jednoczesnym powiązaniem przepisów dotyczących bezpieczeństwa informacji i funkcjonowania systemów informatycznych w których dane są przetwarzane. Kancelaria Consultingowo – Usługowa jest też przygotowana do wdrożenia procedur, które obowiązują od 25 maja 2018 roku na podstawie ogólnego rozporządzenia Parlamentu Europejskiego. Polski ustawodawca z dniem 10 maja 2018 roku wprowadził ustawę o ochronie danych osobowych (Dz. U. z 2018r. poz. 1000) EFEKT pomoże pokonać nowe wyzwania stojące w tym zakresie przed organizacjami.
Administrator tworząc dokumenty związane z przetwarzaniem danych, powinien uwzględnić stan wiedzy technicznej, koszt wdrażania oraz charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze zagrożenia, wdrożył odpowiednie środki techniczne i organizacyjne, aby zapewnić stopień bezpieczeństwa odpowiadający temu ryzyku (art. 32 ust. 1 RODO).
Obecnie nie wymienia się dokumentów jakie administrator powinien posiadać. Natomiast ma wykazać, że:
stosuje się do ogólnych zasad przetwarzania – art. 5 RODO;
zapewnia, aby dane przetwarzane były zgodnie z prawem – art. 6-11 RODO;
zapewnia, aby przestrzegane były prawa osób, których dane są przetwarzane art. 12-13 RODO;
zapewnia wypełnianie ogólnego obowiązku w zakresie przetwarzania danych osobowych ciążących na administratorze i podmiocie przetwarzającym – art. 24-31 RODO;
zapewnia kontrolę nad przetwarzaniem danych poprzez monitorowanie przepisów i wdrożonych procedur – art. 27-43 RODO;
stosuje się do wymagań w zakresie przekazywania danych do państw trzecich – art. 44-49 RODO.
Rejestr czynności przetwarzania danych osobowych to jedynym dokumentem wymagany przez prawo, związanym z przetwarzaniem danych osobowych. Zgodnie z art. 30 ust. 1 RODO, w rejestrze tym zamieszcza się wszystkie następujące informacje:
Rejestr wszystkich kategorii czynności przetwarzania dokonywanych w imieniu administratora prowadzi podmiot przetwarzający zgodnie z zapisem art. 30 ust. 2 RODO. Jednak i w tym przypadku działa wyłączenie, o którym mowa powyżej – rejestru co do zasady można nie prowadzić, jeżeli zatrudnia się mniej niż 250 osób.
Powoływanie , status i zadania Inspektora ochrony danych określają art. 37 - 39 RODO
Art. 37 Inspektor ochrony danych jest wyznaczany na podstawie kwalifikacji zawodowych, a w szczególności wiedzy fachowej na temat prawa i praktyk w dziedzinie ochrony danych oraz umiejętności wypełnienia zadań.
Art. 39 Zadania Inspektora ochrony danych
Zleceniobiorca wypełnia swoje zadania z należytym uwzględnieniem ryzyka związanego z operacjami przetwarzania, mając na uwadze charakter, zakres, kontekst i cele przetwarzania.
Usługa realizowana jest w oparciu o międzynarodową normę ISO 27001, która zawiera 7 zasad, które muszą być bezwzględnie spełnione w organizacji, aby można było mówić o ustanowieniu, wdrożeniu i utrzymaniu systemu bezpieczeństwa. W tym obszarze wykorzystywana jest norma PN-ISO/IEC 17799 w odniesieniu do ustanawiania zabezpieczeń, PN-ISO/IEC 27005 w odniesieniu do zarządzania ryzykiem oraz norma PN-ISO/IEC 24762 w odniesieniu do odtwarzania techniki informatycznej po katastrofie w ramach zarządzania ciągłością działania. W procesie tym identyfikowane są obszary, w których występują nieprawidłowości, wskazując plan naprawczy. Usługa ta skierowana jest głównie do podmiotów publicznych, które zgodnie z zapisami § 20 pkt. 14 rozporządzenia Rady Ministrów w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych są zobligowane do przeprowadzenia okresowego audytu wewnętrznego w zakresie bezpieczeństwa informacji nie rzadziej niż raz na rok.
§ 20. 2. Zarządzanie bezpieczeństwem informacji realizowane jest w szczególności przez zapewnienie przez kierownictwo podmiotu publicznego warunków umożliwiających realizację i egzekwowanie następujących działań:
zapewnienia aktualizacji regulacji wewnętrznych w zakresie dotyczącym zmieniającego się otoczenia;
utrzymywania aktualności inwentaryzacji sprzętu i oprogramowania służącego do przetwarzania informacji obejmującej ich rodzaj i konfigurację;
przeprowadzania okresowych analiz ryzyka utraty integralności, dostępności lub poufności informacji oraz podejmowania działań minimalizujących to ryzyko, stosownie do wyników przeprowadzonej analizy;
podejmowania działań zapewniających, że osoby zaangażowane w proces przetwarzania informacji posiadają stosowne uprawnienia i uczestniczą w tym procesie w stopniu adekwatnym do realizowanych przez nie zadań oraz obowiązków mających na celu zapewnienie bezpieczeństwa informacji;
bezzwłocznej zmiany uprawnień, w przypadku zmiany zadań osób, o których mowa w pkt. 4;
zapewnienia ochrony przetwarzanych informacji przed ich kradzieżą, nieuprawnionym dostępem, uszkodzeniami lub zakłóceniami, przez:
ustanowienia podstawowych zasad gwarantujących bezpieczną pracę przy przetwarzaniu mobilnym i pracy na odległość;
zabezpieczenia informacji w sposób uniemożliwiający nieuprawnionemu jej ujawnienie, modyfikacje, usunięcie lub zniszczenie;
zawierania w umowach serwisowych podpisanych ze stronami trzecimi zapisów gwarantujących odpowiedni poziom bezpieczeństwa informacji;
ustalenia zasad postępowania z informacjami, zapewniających minimalizację wystąpienia ryzyka kradzieży informacji i środków przetwarzania informacji, w tym urządzeń mobilnych;
zapewnienia odpowiedniego poziomu bezpieczeństwa w systemach teleinformatycznych, polegającego w szczególności na:
bezzwłocznego zgłaszania incydentów naruszenia bezpieczeństwa informacji w określony i z góry ustalony sposób, umożliwiający szybkie podjęcie działań korygujących;
zapewnienia okresowego audytu wewnętrznego w zakresie bezpieczeństwa informacji, nie rzadziej niż raz na rok.
W zakresie informacje prawnie chronionych
To szeroki spektrum informacji i danych prawnie chronionych. Dziś aby realizować politykę bezpieczeństwa należy stosować środki, które mają zapewnić sprawne i wydajne funkcjonowanie systemu bezpieczeństwa. Do takich środków należą działania w kierunku zapewnienia legalności, czyli zgodności z prawem oraz ogólnie obowiązującymi standardami. Dlatego też Kancelaria Consultingowo – Usługowa EFEKT pomaga w szukaniu i wdrożeniu stosowania takich środków aby nie narazić organizacji na kary wynikające z nieprzestrzegania prawa.