INSTRUKCJA ZARZĄDZANIA SYSTEMEM INFORMATYCZNYM W INDYWIDUALNEJ PRAKTYCE LEKARSKIEJ/PRAKTYCE STOMATOLOGICZNEJ/NZOZ
INSTRUKCJA ZARZĄDZANIA SYSTEMEM INFORMATYCZNYM
W INDYWIDUALNEJ PRAKTYCE LEKARSKIEJ/PRAKTYCE STOMATOLOGICZNEJ/NZOZ
(wpisać właściwą nazwę)
(miejscowość, data)
§1
Postanowienia ogólne.
- Instrukcja zarządzania systemem informatycznym służącym do przetwarzania danych opracowana została na podstawie art. 36 Ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn.: DzU 2002 nr 101, poz. 926 ze zm.) oraz § 3 i § 4 Rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (DzU 2004 nr 100, poz. 1024).
- Sieć informatyczną, w której przetwarzane są dane osobowe, stanowią wszystkie pracujące w …………………*(wpisać pełną nazwę i adres podmiotu), obecne i przyszłe serwery, komputery stacjonarne i przenośne, a także urządzenia peryferyjne i sieciowe.
- Sygnał internetowy dostarczany jest przez usługodawcę internetowego i jest odpowiednio zabezpieczony. System zabezpieczony jest oprogramowaniem antywirusowym zainstalowanym na każdym stanowisku oraz zasilaczami awaryjnymi utrzymującymi stałe zasilanie.
§2
Procedura nadawania uprawnień do przetwarzania danych oraz ich rejestrowanie w systemie informatycznym.
- Do obsługi systemu informatycznego służącego do przetwarzania danych osobowych, może być dopuszczona wyłącznie osoba posiadająca upoważnienie do przetwarzania danych osobowych, wydane przez Administratora Danych Osobowych.
- Upoważnienia do przetwarzania danych osobowych, o których mowa w punkcie 1. przechowywane są w teczkach akt osobowych pracowników oraz prowadzona jest ich ewidencja.
- Dostęp do danych osobowych przetwarzanych w systemie informatycznym może mieć miejsce wyłącznie po podaniu identyfikatora użytkownika i właściwego hasła.
- Dla każdego użytkownika systemu informatycznego, który przetwarza dane osobowe, przydziela się niepowtarzalny identyfikator i hasło początkowe.
- Identyfikator użytkownika nie powinien być zmieniany, a po wyrejestrowaniu użytkownika z systemu informatycznego nie powinien być przydzielany innej osobie.
- W przypadku utraty przez daną osobę uprawnień do dostępu do danych osobowych w systemie informatycznym, należy niezwłocznie wyrejestrować ją z systemu informatycznego, unieważnić jej hasło oraz podjąć inne stosowne działania w celu zapobieżenia dalszemu dostępowi tej osoby do danych.
§3
Stosowane metody i środki uwierzytelnienia oraz procedury związane z ich zarządzaniem i użytkowaniem.
- System informatyczny przetwarzający dane osobowe wykorzystuje mechanizm identyfikatora i hasła jako narzędzi umożliwiających bezpieczne uwierzytelnienie.
- Użytkownik posiadający upoważnienie do przetwarzania danych osobowych powinien posiadać hasła do systemu operacyjnego oraz osobne do baz danych osobowych i aplikacji.
- Hasło składa się z co najmniej ośmiu znaków, zawiera co najmniej jedną małą i wielką literę, jedną cyfrę lub jeden znak specjalny.
- Hasło nie powinno zawierać żadnych informacji, które można skojarzyć z użytkownikiem komputera (imiona najbliższych, daty urodzenia, inicjały, itp.) i nie może być sekwencją kolejnych znaków klawiatury.
- W przypadku, gdy istnieje podejrzenie, że hasło mogła poznać osoba nieupoważniona, użytkownik zobowiązany jest do zgłoszenia tego faktu ADO (Administratorowi Systemu Informatycznego*, zwanym dalej ASI) i do natychmiastowej zmiany hasła.
- Zmianę hasła należy dokonywać nie rzadziej niż co 30 dni.
- Hasła najwyższego poziomu, którymi dysponuje ADO (ASI) gromadzone są w zamkniętej kopercie przez ADO.
- Hasła użytkowników generuje ASI i przekazuje wraz z loginem w formie papierowej w zamkniętej kopercie.
- Po zapoznaniu się z loginem i hasłem użytkownik zobowiązany jest do ich zniszczenia w odpowiednim urządzeniu niszczącym.
- Hasło nie może być zapisywane i przechowywane.
- Użytkownik nie może udostępniać identyfikatora oraz haseł osobom nieupoważnionym.
*ASI, czyli Administrator Systemu Informatycznego odpowiada za bezpieczeństwo systemu komputerowego. Może go powołać Administrator Danych Osobowych, jeżeli posiada duży system, którego obsługa wymaga wiedzy w zakresie informatyki i programowania. W innym przypadku obowiązki ASI może wykonywać Administrator Danych. Jeżeli ASI nie zostanie powołany, proszę usunąć jego nazwę z tekstu.
§4
Procedury rozpoczęcia, zawieszenia i zakończenia pracy.
- Każdy pracownik korzystający z systemu informatycznego przystępując do pracy powinien podać swoje dane dostępu do komputera i systemu, tj. identyfikator i hasło.
- Zawieszenie pracy polega na opuszczeniu stanowiska pracy bez wylogowania się i jest dopuszczalne tylko w przypadku pozostania w pomieszczeniu.
- Zakończenie pracy w systemie następuje poprzez prawidłowe, wymagane przez daną aplikację oraz system operacyjny, wykonanie czynności kończących. Niedopuszczalne jest zakończenie pracy poprzez wyłączenie napięcia zasilającego bez pełnej procedury zamknięcia.
- Ekrany monitorów stanowisk komputerowych, na których odbywa się przetwarzanie danych osobowych powinny być w miarę możliwości tak umieszczone, aby uniemożliwić wgląd w dane osobom postronnym przebywającym w pomieszczeniu oraz powinny automatycznie się wyłączać poprzez stosowanie wygaszaczy ekranowych uruchamiających blokadę pracy na komputerze.
- Wydruki zawierające dane osobowe należy przechowywać w miejscu uniemożliwiającym do nich dostęp osobom postronnym. Wydruki niepotrzebne należy zniszczyć w niszczarce dokumentów.
- Osoba przetwarzająca dane osobowe w przypadku konieczności opuszczenia pomieszczenia, obowiązana jest prawidłowo, zgodnie z instrukcją obsługi systemu, zakończyć pracę w systemie.
- Czas rozpoczynania i kończenia pracy w systemach sieciowych, w tym systemach przetwarzających dane osobowe, zgodny jest z ustalonym czasem pracy.
- Konieczność pracy w aplikacjach sieciowych poza ustalonym czasem pracy, powinna być uzgodniona z ADO.
- ADO (ASI) monitoruje logowanie oraz wylogowanie się użytkowników oraz nadzoruje zakres przetwarzanych przez nich zbiorów danych.
§5
Procedury tworzenia kopii awaryjnych zbiorów danych oraz programów i narzędzi programowych służących do ich przetwarzania.
- Dane osobowe zabezpiecza się poprzez wykonywanie kopii awaryjnych.
- Ochronie poprzez wykonanie kopii podlegają także programy i narzędzia programowe służące przetwarzaniu danych. Kopie programów i narzędzi wykonywane są zaraz po instalacji oraz po każdej aktualizacji na zewnętrznych, elektronicznych nośnikach informacji.
- Zabezpieczeniu poprzez wykonywanie kopii awaryjnych podlegają także dane konfiguracyjne systemu informatycznego przetwarzającego dane osobowe, w tym uprawnienia użytkowników systemu.
- Za proces tworzenia kopii programów i narzędzi programowych oraz danych konfiguracyjnych systemu odpowiedzialny jest ADO (ASI). Kopie przechowywane są w zamkniętej szafie w zabezpieczonym pomieszczeniu.
- Kopie awaryjne mogą być sporządzane automatycznie lub manualnie z wykorzystaniem specjalistycznych urządzeń do wykonywania kopii lub standardowych narzędzi oferowanych przez stacje robocze.
- Kopie zbiorów danych osobowych zlokalizowanych na komputerach lokalnych wykonywane są przez poszczególnych użytkowników ostatniego dnia każdego miesiąca i zapisywane na dyskach lokalnych w ustalonej z ADO lokalizacji lub zapisywane na nośnikach zewnętrznych, autoryzowanych i dostarczonych przez ADO.
- Pliki edytorów tekstu lub arkuszy kalkulacyjnych traktowane są jak kopie zbiorów, z których pochodzą przetwarzane w nich dane i nie są objęte procedurami wykonywania kopii awaryjnych.
- Nośniki, na których są przechowywane kopie danych osobowych, powinny być wyraźnie oznaczone.
- Za bezpieczeństwo kopii awaryjnych przetwarzanych lokalnie odpowiadają poszczególni użytkownicy systemu, którzy je wykonali. Kopie usuwa się niezwłocznie po ustaniu ich użyteczności w sposób uniemożliwiający odtworzenie danych.
10.ADO zobowiązany jest do okresowego wykonywania testów odtworzeniowych kopii awaryjnych.
11.Zewnętrzne nośniki kopii awaryjnych, które zostały wycofane z użycia, podlegają zniszczeniu po usunięciu danych osobowych, w odpowiednim urządzeniu niszczącym.
12.Użytkownik tworzy wydruki związane z przetwarzaniem danych osobowych wyłącznie w zakresie i ilości niezbędnej dla celów służbowych w uzgodnieniu z przełożonym.
13.Wszystkie dokumenty, zestawienia i wydruki zawierające dane osobowe powinny być chronione przed dostępem osób nieupoważnionych. Użytkownik przechowuje je w zamkniętej szafie w pomieszczeniu zabezpieczonym przed nieuprawnionym dostępem.
§6
Sposób, miejsce i okres przechowywania elektronicznych nośników informacji zawierających dane osobowe oraz kopii zapasowych.
- Okresowe kopie zapasowe wykonywane są na płytach CD/DVD lub innych elektronicznych nośnikach informacji. Kopie zapasowe przechowuje się w kasie pancernej w pomieszczeniu kierownika praktyki stomatologicznej, w sposób uniemożliwiający nieuprawnione przejęcie, modyfikacje, uszkodzenie lub zniszczenie.
- Okres przechowywania dokumentacji medycznej pacjenta oraz danych kadrowych określone są odrębnymi przepisami prawa. Po upływie wymaganych ustawowo okresów kopie zapasowe należy bezzwłocznie usuwać po ustaniu ich użyteczności.
- Usunięcie danych z systemu powinno zostać zrealizowane przy pomocy oprogramowania przeznaczonego do bezpiecznego usuwania danych z nośnika informacji.
- W przypadku kopii zapasowych sporządzanych indywidualnie przez użytkownika – odpowiedzialny za ich zniszczenie jest użytkownik.
- Przez zniszczenie nośników informacji rozumie się ich trwałe i nieodwracalne zniszczenie do stanu nie dającego możliwości ich rekonstrukcji i odzyskania danych.
- Serwery oraz komputery, na których odbywa się przetwarzanie danych osobowych, powinny być zabezpieczone przed utratą danych spowodowaną awarią zasilania poprzez stosowanie specjalnych urządzeń podtrzymujących zasilanie i eliminujących zakłócenia sieci zasilającej.
- Komputery przenośne oraz inne mobilne nośniki danych osobowych powinny być zabezpieczone ochroną kryptograficzną – powinny być zaszyfrowane.
- Serwery oraz komputery, na których odbywa się przetwarzanie danych osobowych, powinny być zabezpieczone przed utratą danych spowodowaną awarią zasilania poprzez stosowanie specjalnych urządzeń podtrzymujących zasilanie i eliminujących zakłócenia sieci zasilającej.
- Komputery przenośne oraz inne mobilne nośniki danych osobowych powinny być zabezpieczone ochroną kryptograficzną – powinny być zaszyfrowane.
§7
Sposób zabezpieczenia systemu przed działalnością oprogramowania, którego celem jest uzyskanie nieuprawnionego dostępu do systemu informatycznego.
- ADO zapewnia ochronę antywirusową oraz zarządza systemem wykrywającym i usuwającym wirusy i inne niebezpieczne kody.
- System antywirusowy jest skonfigurowany w sposób zapewniający na bieżąco skanowanie wszystkich informacji przetwarzanych w systemie, a zwłaszcza poczty elektronicznej i stron internetowych.
- System antywirusowy musi mieć aktywną funkcję automatycznej aktualizacji wzorców wirusów.
- W przypadkach wystąpienia infekcji użytkownik powinien niezwłocznie powiadomić o tym fakcie ADO.
- W przypadku wystąpienia infekcji i braku możliwości automatycznego usunięcia wirusów przez system antywirusowy, ADO podejmuje działania zmierzające do usunięcia zagrożenia.
- Użytkownicy systemu mają również obowiązek skanowania każdego zewnętrznego elektronicznego nośnika informacji, który chcą wykorzystać.
§8
Udostępnianie danych osobowych i sposób odnotowania informacji o udostępnionych danych
Udostępnienie danych instytucjom może odbywać się wyłącznie zgodnie z przepisami prawa.
§9
Procedury wykonywania przeglądów i konserwacji systemów oraz nośników informacji służących do przetwarzania danych.
- Urządzenia, dyski lub inne elektroniczne nośniki informacji, zawierające dane osobowe, przeznaczone do:
- przekazania podmiotowi nieuprawnionemu do przetwarzania danych — pozbawia
- likwidacji — pozbawia się wcześniej zapisu tych danych, a w przypadku gdy nie jest to możliwe, uszkadza się w sposób uniemożliwiający ich odczytanie,
- się wcześniej zapisu tych danych, w sposób uniemożliwiający ich odzyskanie,
- naprawy — pozbawia się wcześniej zapisu tych danych w sposób uniemożliwiający ich odzyskanie.
- Instalacji, konserwacji oraz napraw sprzętu komputerowego dokonuje ASI lub pracownicy firm przez wskazanych przez ADO.
- Przeglądy i konserwacje systemu oraz nośników informacji służących do przetwarzania danych mogą być wykonywane jedynie przez osoby posiadające upoważnienie wydane przez ADO lub posiadające umowy na powierzenie przetwarzania danych w zakresie konserwacji i napraw.
- Wszelkie prace związane z naprawami i konserwacją systemu informatycznego przetwarzającego dane osobowe muszą uwzględniać zachowanie wymaganego poziomu zabezpieczenia tych danych przed dostępem do nich osób nieupoważnionych.
- ADO wykonuje okresowy przegląd nośników danych osobowych eliminując te, które nie zapewniają odpowiedniego poziomu bezpieczeństwa oraz niezawodności.
§10
Postanowienia końcowe.
Użytkownikom zabrania się:
- korzystania ze stanowisk komputerowych podłączonych do sieci informatycznej poza godzinami pracy bez pisemnej zgody ADO,
- udostępniania stanowisk roboczych osobom nieuprawnionym,
- wykorzystywania sieci komputerowej w celach innych niż wyznaczone przez ADO,
- samowolnego instalowania i używania programów komputerowych,
- korzystania z nielicencjonowanego oprogramowania oraz wykonywania jakichkolwiek działań niezgodnych z ustawą o ochronie praw autorskich,
- umożliwiania dostępu do zasobów wewnętrznej sieci informatycznej oraz sieci Internetowej osobom nieuprawnionym,
- używania komputera bez zainstalowanego oprogramowania antywirusowego.