INSTRUKCJA ZARZĄDZANIA SYSTEMEM INFORMATYCZNYM W INDYWIDUALNEJ PRAKTYCE LEKARSKIEJ/PRAKTYCE STOMATOLOGICZNEJ/NZOZ

INSTRUKCJA ZARZĄDZANIA SYSTEMEM INFORMATYCZNYM

W INDYWIDUALNEJ PRAKTYCE LEKARSKIEJ/PRAKTYCE STOMATOLOGICZNEJ/NZOZ

(wpisać właściwą nazwę)

 

(miejscowość, data)

 

 

§1

Postanowienia ogólne.

1. Instrukcja zarządzania systemem informatycznym służącym do przetwarzania danych opracowana została na podstawie art. 36 Ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn.: DzU 2002 nr 101, poz. 926 ze zm.) oraz § 3 i § 4 Rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (DzU 2004 nr 100, poz. 1024).
2. Sieć informatyczną, w której przetwarzane są dane osobowe, stanowią wszystkie pracujące w …………………*(wpisać pełną nazwę i adres podmiotu), obecne i przyszłe serwery, komputery stacjonarne i przenośne, a także urządzenia peryferyjne i sieciowe.
3. Sygnał internetowy dostarczany jest przez usługodawcę internetowego i jest odpowiednio zabezpieczony. System zabezpieczony jest oprogramowaniem antywirusowym zainstalowanym na każdym stanowisku oraz zasilaczami awaryjnymi utrzymującymi stałe zasilanie.

 

§2

Procedura nadawania uprawnień do przetwarzania danych oraz ich rejestrowanie w systemie informatycznym.

 

1. Do obsługi systemu informatycznego służącego do przetwarzania danych osobowych, może być dopuszczona wyłącznie osoba posiadająca upoważnienie do przetwarzania danych osobowych, wydane przez Administratora Danych Osobowych.
2. Upoważnienia do przetwarzania danych osobowych, o których mowa w punkcie 1. przechowywane są w teczkach akt osobowych pracowników oraz prowadzona jest ich ewidencja.
3. Dostęp do danych osobowych przetwarzanych w systemie informatycznym może mieć miejsce wyłącznie po podaniu identyfikatora użytkownika i właściwego hasła.
4. Dla każdego użytkownika systemu informatycznego, który przetwarza dane osobowe, przydziela się niepowtarzalny identyfikator i hasło początkowe.
5. Identyfikator użytkownika nie powinien być zmieniany, a po wyrejestrowaniu użytkownika z systemu informatycznego nie powinien być przydzielany innej osobie.
6. W przypadku utraty przez daną osobę uprawnień do dostępu do danych osobowych w systemie informatycznym, należy niezwłocznie wyrejestrować ją z systemu informatycznego, unieważnić jej hasło oraz podjąć inne stosowne działania w celu zapobieżenia dalszemu dostępowi tej osoby do danych.

 

§3

Stosowane metody i środki uwierzytelnienia oraz procedury związane z ich zarządzaniem i użytkowaniem.

1. System informatyczny przetwarzający dane osobowe wykorzystuje mechanizm identyfikatora i hasła jako narzędzi umożliwiających bezpieczne uwierzytelnienie.
2. Użytkownik posiadający upoważnienie do przetwarzania danych osobowych powinien posiadać hasła do systemu operacyjnego oraz osobne do baz danych osobowych i aplikacji.
3. Hasło składa się z co najmniej ośmiu znaków, zawiera co najmniej jedną małą i wielką literę, jedną cyfrę lub jeden znak specjalny.
4. Hasło nie powinno zawierać żadnych informacji, które można skojarzyć z użytkownikiem komputera (imiona najbliższych, daty urodzenia, inicjały, itp.) i nie może być sekwencją kolejnych znaków klawiatury.
5. W przypadku, gdy istnieje podejrzenie, że hasło mogła poznać osoba nieupoważniona, użytkownik zobowiązany jest do zgłoszenia tego faktu ADO (Administratorowi Systemu Informatycznego*, zwanym dalej ASI) i do natychmiastowej zmiany hasła.
6. Zmianę hasła należy dokonywać nie rzadziej niż co 30 dni.
7. Hasła najwyższego poziomu, którymi dysponuje ADO (ASI) gromadzone są w zamkniętej kopercie przez ADO.
8. Hasła użytkowników generuje ASI i przekazuje wraz z loginem w formie papierowej w zamkniętej kopercie.
9. Po zapoznaniu się z loginem i hasłem użytkownik zobowiązany jest do ich zniszczenia w odpowiednim urządzeniu niszczącym.
10. Hasło nie może być zapisywane i przechowywane.
11. Użytkownik nie może udostępniać identyfikatora oraz haseł osobom nieupoważnionym.

 

*ASI, czyli Administrator Systemu Informatycznego odpowiada za bezpieczeństwo systemu komputerowego. Może go powołać Administrator Danych Osobowych, jeżeli posiada duży system, którego obsługa wymaga wiedzy w zakresie informatyki i programowania. W innym przypadku obowiązki ASI może wykonywać Administrator Danych. Jeżeli ASI nie zostanie powołany, proszę usunąć jego nazwę z tekstu.

 

§4

Procedury rozpoczęcia, zawieszenia i zakończenia pracy.

1. Każdy pracownik korzystający z systemu informatycznego przystępując do pracy powinien podać swoje dane dostępu do komputera i systemu, tj. identyfikator i hasło.
2. Zawieszenie pracy polega na opuszczeniu stanowiska pracy bez wylogowania się i jest dopuszczalne tylko w przypadku pozostania w pomieszczeniu.
3. Zakończenie pracy w systemie następuje poprzez prawidłowe, wymagane przez daną aplikację oraz system operacyjny, wykonanie czynności kończących. Niedopuszczalne jest zakończenie pracy poprzez wyłączenie napięcia zasilającego bez pełnej procedury zamknięcia.
4. Ekrany monitorów stanowisk komputerowych, na których odbywa się przetwarzanie danych osobowych powinny być w miarę możliwości tak umieszczone, aby uniemożliwić wgląd w dane osobom postronnym przebywającym w pomieszczeniu oraz powinny automatycznie się wyłączać poprzez stosowanie wygaszaczy ekranowych uruchamiających blokadę pracy na komputerze.
5. Wydruki zawierające dane osobowe należy przechowywać w miejscu uniemożliwiającym do nich dostęp osobom postronnym. Wydruki niepotrzebne należy zniszczyć w niszczarce dokumentów.
6. Osoba przetwarzająca dane osobowe w przypadku konieczności opuszczenia pomieszczenia, obowiązana jest prawidłowo, zgodnie z instrukcją obsługi systemu, zakończyć pracę w systemie.
7. Czas rozpoczynania i kończenia pracy w systemach sieciowych, w tym systemach przetwarzających dane osobowe, zgodny jest z ustalonym czasem pracy.
8. Konieczność pracy w aplikacjach sieciowych poza ustalonym czasem pracy, powinna być uzgodniona z ADO.
9. ADO (ASI) monitoruje logowanie oraz wylogowanie się użytkowników oraz nadzoruje zakres przetwarzanych przez nich zbiorów danych.

 

§5

Procedury tworzenia kopii awaryjnych zbiorów danych oraz programów i narzędzi programowych służących do ich przetwarzania.

1. Dane osobowe zabezpiecza się poprzez wykonywanie kopii awaryjnych.
2. Ochronie poprzez wykonanie kopii podlegają także programy i narzędzia programowe służące przetwarzaniu danych. Kopie programów i narzędzi wykonywane są zaraz po instalacji oraz po każdej aktualizacji na zewnętrznych, elektronicznych nośnikach informacji.
3. Zabezpieczeniu poprzez wykonywanie kopii awaryjnych podlegają także dane konfiguracyjne systemu informatycznego prze­twarzającego dane osobowe, w tym uprawnienia użytkowników systemu.
4. Za proces tworzenia kopii programów i narzędzi programowych oraz danych konfiguracyjnych systemu odpowiedzialny jest ADO (ASI). Kopie przechowywane są w zamkniętej szafie w zabezpieczonym pomieszczeniu.
5. Kopie awaryjne mogą być sporządzane automatycznie lub manualnie z wykorzystaniem specjalistycznych urządzeń do wykonywania kopii lub standardowych narzędzi oferowanych przez stacje robocze.
6. Kopie zbiorów danych osobowych zlokalizowanych na komputerach lokalnych wykonywane są przez poszczególnych użytkowników ostatniego dnia każdego miesiąca i zapisywane na dyskach lokalnych w ustalonej z ADO lokalizacji lub zapisywane na nośnikach zewnętrznych, autoryzowanych i dostarczonych przez ADO.
7. Pliki edytorów tekstu lub arkuszy kalkulacyjnych traktowane są jak kopie zbiorów, z których pochodzą przetwarzane w nich dane i nie są objęte procedurami wykonywania kopii awaryjnych.
8. Nośniki, na których są przechowywane kopie danych osobowych, powinny być wyraźnie oznaczone.
9. Za bezpieczeństwo kopii awaryjnych przetwarzanych lokalnie odpowiadają poszczególni użytkownicy systemu, którzy je wykonali. Kopie usuwa się niezwłocznie po ustaniu ich użyteczności w sposób uniemożliwiający odtworzenie danych.

10.ADO zobowiązany jest do okresowego wykonywania testów odtworzeniowych kopii awaryjnych.

11.Zewnętrzne nośniki kopii awaryjnych, które zostały wycofane z użycia, podlegają znisz­czeniu po usunięciu danych osobowych, w odpowiednim urządzeniu niszczącym.

12.Użytkownik tworzy wydruki związane z przetwarzaniem danych osobowych wyłącznie w zakresie i ilości niezbędnej dla celów służbowych w uzgodnieniu z przełożonym.

13.Wszystkie dokumenty, zestawienia i wydruki zawierające dane osobowe powinny być chronione przed dostępem osób nieupoważnionych. Użytkownik przechowuje je w zamkniętej szafie w pomieszczeniu zabezpieczonym przed  nieuprawnionym dostępem.

 

 

§6

Sposób, miejsce i okres przechowywania elektronicznych nośników informacji zawierających dane osobowe oraz kopii zapasowych.

 

1. Okresowe kopie zapasowe wykonywane są na płytach CD/DVD lub innych elektronicznych nośnikach informacji. Kopie zapasowe przechowuje się w kasie pancernej w pomieszczeniu kierownika praktyki stomatologicznej, w sposób uniemożliwiający nieuprawnione przejęcie, modyfikacje, uszkodzenie lub zniszczenie.
2. Okres przechowywania dokumentacji medycznej pacjenta oraz danych kadrowych określone są odrębnymi przepisami prawa. Po upływie wymaganych ustawowo okresów kopie zapasowe należy bezzwłocznie usuwać po ustaniu ich użyteczności.
3. Usunięcie danych z systemu powinno zostać zrealizowane przy pomocy oprogramowania przeznaczonego do bezpiecznego usuwania danych z nośnika informacji.
4. W przypadku kopii zapasowych sporządzanych indywidualnie przez użytkownika – odpowiedzialny za ich zniszczenie jest użytkownik.
5. Przez zniszczenie nośników informacji rozumie się ich trwałe i nieodwracalne zniszczenie do stanu nie dającego możliwości ich rekonstrukcji i odzyskania danych.
6. Serwery oraz komputery, na których odbywa się przetwarzanie danych osobowych, powinny być zabezpieczone przed utratą danych spowodowaną awarią zasilania poprzez stosowanie specjalnych urządzeń podtrzymujących zasilanie i eliminujących zakłócenia sieci zasilającej.
7. Komputery przenośne oraz inne mobilne nośniki danych osobowych powinny być zabezpieczone ochroną kryptograficzną – powinny być zaszyfrowane.
8. Serwery oraz komputery, na których odbywa się przetwarzanie danych osobowych, powinny być zabezpieczone przed utratą danych spowodowaną awarią zasilania poprzez stosowanie specjalnych urządzeń podtrzymujących zasilanie i eliminujących zakłócenia sieci zasilającej.
9. Komputery przenośne oraz inne mobilne nośniki danych osobowych powinny być zabezpieczone ochroną kryptograficzną – powinny być zaszyfrowane.

 

§7

Sposób zabezpieczenia systemu przed działalnością oprogramowania, którego celem jest uzyskanie nieuprawnionego dostępu do systemu informatycznego.

1. ADO zapewnia ochronę antywirusową oraz zarządza systemem wykrywającym i usuwającym wirusy i inne niebezpieczne kody.
2. System antywirusowy jest skonfigurowany w sposób zapewniający na bieżąco skanowanie wszystkich informacji przetwarzanych w systemie, a zwłaszcza poczty elektronicznej i stron internetowych.
3. System antywirusowy musi mieć aktywną funkcję automatycznej aktualizacji wzorców wirusów.
4. W przypadkach wystąpienia infekcji użytkownik powinien niezwłocznie powiadomić o tym fakcie ADO.
5. W przypadku wystąpienia infekcji i braku możliwości automatycznego usunięcia wirusów przez system antywirusowy, ADO podejmuje działania zmierzające do usunięcia zagrożenia.
6. Użytkownicy systemu mają również obowiązek skanowania każdego zewnętrznego elektronicznego nośnika informacji, który chcą wykorzystać.

 

§8

Udostępnianie danych osobowych i sposób odnotowania informacji o udostępnionych danych

Udostępnienie danych instytucjom może odbywać się wyłącznie zgodnie z przepisami prawa.

 

§9

 Procedury wykonywania przeglądów i konserwacji systemów oraz nośników informacji służących do przetwarzania danych.

1. Urządzenia, dyski lub inne elektroniczne nośniki informacji, zawierające dane osobowe, przeznaczone do:
   1. przekazania podmiotowi nieuprawnionemu do przetwarzania danych — pozbawia
   2. likwidacji — pozbawia się wcześniej zapisu tych danych, a w przypadku gdy nie jest to możliwe, uszkadza się w sposób uniemożliwiający ich odczytanie,
   3. się wcześniej zapisu tych danych, w sposób uniemożliwiający ich odzyskanie,
   4. naprawy — pozbawia się wcześniej zapisu tych danych w sposób uniemożliwiający ich odzyskanie.
   5. Instalacji, konserwacji oraz napraw sprzętu komputerowego dokonuje ASI lub pracownicy firm przez wskazanych przez ADO.
   6. Przeglądy i konserwacje systemu oraz nośników informacji służących do przetwarzania danych mogą być wykonywane jedynie przez osoby posiadające upoważnienie wydane przez ADO lub posiadające umowy na powierzenie przetwarzania danych w zakresie konserwacji i napraw.
   7. Wszelkie prace związane z naprawami i konserwacją systemu informatycznego przetwarzającego dane osobowe muszą uwzględniać zachowanie wymaganego poziomu zabezpieczenia tych danych przed dostępem do nich osób nieupoważnionych.
   8. ADO wykonuje okresowy przegląd nośników danych osobowych eliminując te, które nie zapewniają odpowiedniego poziomu bezpieczeństwa oraz niezawodności.

§10

Postanowienia końcowe.

Użytkownikom zabrania się:

1. korzystania ze stanowisk komputerowych podłączonych do sieci informatycznej poza godzinami pracy bez pisemnej zgody ADO,
2. udostępniania stanowisk roboczych osobom nieuprawnionym,
3. wykorzystywania sieci komputerowej w celach innych niż wyznaczone przez ADO,
4. samowolnego instalowania i używania programów komputerowych,
5. korzystania z nielicencjonowanego oprogramowania oraz wykonywania jakichkolwiek działań niezgodnych z ustawą o ochronie praw autorskich,
6. umożliwiania dostępu do zasobów wewnętrznej sieci informatycznej oraz sieci Internetowej osobom nieuprawnionym,
7. używania komputera bez zainstalowanego oprogramowania antywirusowego.