INTERNÁ SMERNICA č. IS - 09 Bezpečnostný projekt

Transkript

1 Strana 0 z INTERNÁ SMERNICA č. IS - 09

2 Strana 33 z Účel 1.1. je vypracovaný v súlade so zákonom o ochrane osobných údajov a jeho účelom je ochrana osobných údajov spracúvaných v agendách informačného systému Mestského úradu v Prievidzi vymedzuje rozsah a spôsob technických, organizačných a personálnych opatrení, ktorými sa eliminujú hrozby a riziká pôsobiace na informačný systém z hľadiska narušenia jeho bezpečnosti, spoľahlivosti a funkčnosti. 2. Pojmy a skratky 2.1. Pojmy Neobsahuje 2.2. Skratky AIS MsÚ PO, CO, BOZP ISS SMMP EZS MsD MsP PCO UPS IS SW HW APV - automatizovaný informačný systém - Mestský úrad Prievidza - požiarna ochrana, civilná ochrana, bezpečnosť a ochrana zdravia pri práci - Informačný systém samosprávy - Správa majetku mesta Prievidza - Elektronický zabezpečovací systém - Mestský dom - Mestská polícia - Pult centrálnej ochrany - Unit power system (záložný zdroj napätia) - Informačný systém - softvér - hardvér - aplikačné programové vybavenie 3. Postup 3.1. Obsah 3.2. Body a 3.4 (vrátane) nie sú verejne prístupné Bezpečnostné smernice I. časť Úvodné ustanovenia II. časť Automatizované informačné systémy III. časť Neautomatizované informačné systémy IV. časť Rozsah zodpovedností a prehlásenia... 42

3 Strana 34 z Bezpečnostné smernice o prevádzkovom poriadku a pravidlách používania zariadení informačných systémov v Mestskom úrade v Prievidzi I. časť Úvodné ustanovenia Bezpečnostné smernice upresňujú a aplikujú závery vyplývajúce z bezpečnostného projektu na konkrétne podmienky prevádzkovania informačných systémov na Mestskom úrade v Prievidzi a príslušné technické, organizačné a personálne opatrenia Sú konkrétnym vyjadrením bezpečnostného zámeru a popisujú, akým spôsobom budú realizované bezpečnostné ciele s tým, že predpisuje jednotlivým subjektom informačných systémov ( ďalej IS ) aj konkrétny spôsob chovania v určitých situáciách Zahrňujú základné princípy používania výpočtovej techniky a zariadení IS a sú záväzné pre všetkých používateľov výpočtovej techniky na Mestskom úrade v Prievidzi Pravidlá používania počítačovej siete stanovujú efektívny spôsob využívania počítačových sietí, ochranu údajov a informácií. Vzťahujú sa na používanie všetkých zariadení IS Používateľ, ktorý nebude rešpektovať uvedené pravidlá, poruší tým povinnosti zamestnanca mesta, čím dôjde k porušeniu pracovnej disciplíny a následne sa vyvodia opatrenia v zmysle Pracovného poriadku zamestnancov mesta V prípade nelegálneho chovania sa používateľ vystavuje nebezpečiu trestného postihu a správca IS si vyhradzuje právo upozorniť na takéto chovanie príslušné orgány. Od používateľov sa očakáva spolupráca so zamestnancami AIS pri zisťovaní možného zneužitia výpočtovej techniky Súčasťou počítačovej siete je celosvetová sieť internet a preto pri využívaní tejto rozsiahlej siete je nutné dodržiavať pravidlá stanovené pre prístup a prácu na internete - článok 7 Základné zásady pre používanie elektronickej pošty a internetu, ktoré sú dôležitým bodom týchto smerníc II. časť Automatizované informačné systémy článok 1 - Používanie prostriedkov informačných systémov Základnými prostriedkami IS, ktoré môže používateľ používať pre plnenie stanovených pracovných úloh sú: pridelená pracovná stanica - počítač, monitor, klávesnica, myš, tlačiareň nainštalované programové vybavenie skener, digitálny fotoaparát, USB disk aktívne a pasívne sieťové prvky ( kabeláž, prepínače...) sieťové služby dátových serverov výpočtová kapacita počítačových systémov služba elektronickej pošty, ová schránka pripojenie do siete Internet článok 2 - Zodpovednosť za zariadenie IS Zodpovednosť za zariadenie IS má používateľ - zamestnanec, ktorému je zariadenie pridelené a je evidované v zozname hmotného majetku v objekte a v miestnosti príslušného organizačného útvaru Za spoločné zariadenia majú zodpovednosť poverení zamestnanci pracoviska, na ktorom sa nachádzajú.

4 Strana 35 z Prístup k zariadeniu IS má povolený: a) používateľ, b) zamestnanci AIS (informatici), c) iné osoby len so súhlasom zamestnancov AIS, príp. so súhlasom priameho nadriadeného zamestnanca alebo používateľa Zamestnanci AIS sú zodpovední za plynulý a bezporuchový chod IS a správu siete V prípade poruchy zabezpečia zamestnanci AIS jej odstránenie V prípade havárie postupujú zamestnanci AIS v zmysle Havarijného plánu, ktorý tvorí prílohu k smerniciam Zamestnanec referátu AIS zodpovedá za nákup potrebných technických zariadení IS požadovanej úrovne a ich zavedenie do používania článok 3 - Umiestnenie zariadení IS a manipulácia s nimi Zariadenia IS musia byť umiestnené tak, aby vplyvom okolia nedošlo k neúmyselnému poškodeniu alebo poruche zariadenia ( pádom, teplom, vodou a pod.) Používateľ môže manipulovať so zariadeniami len v súlade s inštrukciami zamestnancov AIS Používateľ nesmie znižovať životnosť zariadení IS hrubým zaobchádzaním a ich znečisťovaním V bezprostrednej blízkosti technických zariadení je zakázané jesť, piť a fajčiť, ako aj vykonávať iné činnosti hroziace ich znečistením, resp. znížením ich životnosti alebo spoľahlivosti článok 4 - Povinnosti používateľov IS Používateľ nesmie: robiť zásahy do zariadení IS, pripájať ďalšie technické zariadenia IS, meniť konfiguráciu technických zariadení IS, odpájať technické zariadenia IS, premiestňovať zariadenia IS bez súhlasu zamestnanca AIS, manipulovať s ovládacími prvkami zariadení IS okrem tých, ktoré sú umiestnené na ich vonkajšej strane (zapínanie, vypínanie a resetovanie počítača a tlačiarne, vkladanie a vyberanie diskiet a CD ROM z mechaník, výmena tonera, doplnenie papiera, ovládanie nastavenia jasu, kontrastu prípadne ďalších prvkov regulujúcich obraz na monitore) a to za podmienok oboznámenia s ich ovládaním Každý používateľ sa musí do IS autentifikovať - musí sa prihlásiť príslušným používateľským menom a heslom. Za utajenie hesla zodpovedá používateľ. Heslo nesmie byť voľne dostupné ani získateľné. Heslo musí obsahovať minimálne 6 znakov, ktoré sú kombináciou veľkých, malých písmen a číslic alebo špeciálnych znakov. Nesmie ho oznámiť druhej osobe Používateľ sa nesmie žiadnymi prostriedkami pokúšať získať prístupové práva alebo privilegovaný stav, ktorý mu nebol pridelený správcom siete Pokiaľ používateľ v dôsledku chyby programových alebo technických prostriedkov získa privilegovaný stav, ktorý mu nebol udelený alebo prístupové práva mu neboli pridelené, je povinný túto skutočnosť neodkladne oznámiť zamestnancovi AIS Všetci používatelia sú povinní v prípade úniku alebo podozrenia úniku informácií z IS oznámiť túto skutočnosť zamestnancom AIS a svojmu priamemu nadriadenému.

5 Strana 36 z Opravy a úpravy zariadení IS môže vykonávať len zamestnanec AIS, resp. kvalifikovaný externý špecialista na základe súhlasu zamestnancov AIS. Používateľ zariadenia IS je povinný odmietnuť prístup osobe, ktorá nemá takýto súhlas a túto skutočnosť neodkladne oznámi zamestnancovi AIS Čistenie povrchu zariadení IS od prachu je v kompetencii používateľa. Vnútorné čistenie zariadení môžu vykonávať len zamestnanci AIS, resp. kvalifikovaný externý špecialista pri dodržaní podmienok bodu Používateľom sa zakazuje inštalovať akékoľvek programy, používať a šíriť nelegálne programové vybavenie, kopírovať a distribuovať nainštalované programy a operačné systémy, ich časti a dokumentáciu Všetky zmeny v konfigurácii počítača a ostatného technického vybavenia môžu byť vykonávané len s písomným súhlasom správcu siete a za jeho prítomnosti Používateľ je povinný rešpektovať štruktúru adresárov na svojom počítači i na sieti, udržiavať poriadok v adresároch, priebežne rušiť nepotrebné súbory v týchto adresároch a nevytvárať prázdne adresáre Požívatelia nesmú zámerne vykonávať činnosti, ktoré predstavujú plytvanie počítačových zdrojov, alebo ktoré nespravodlivo zvýhodňujú počítačové zdroje na úkor ostatných používateľov. Medzi tieto činnosti okrem iného patria: posielanie hromadných správ, vytváranie zbytočných zákazok alebo procesov, tlač zbytočných výstupov, zbytočné zvyšovanie záťaže siete, nepovolené hranie počítačových hier Používatelia nesmú umiestniť na ľubovoľný počítačový systém - informácie alebo software týchto druhov: porušujúce práva inej osoby, hanlivý, znesväcujúci alebo sexuálne pohoršujúci, obsahujúci informácie schopné niekoho poškodiť, alebo viesť k trestným sankciám; medzi tieto druhy patrí pirátsky a deštruktívny softvér Používatelia nesmú komukoľvek posielať obťažujúce, výhražné, hanlivé alebo sexuálne, rasové, národnostné, či nábožensky urážlivé ové správy. Je zakázané posielanie a otváranie príloh elektronickej pošty, ktoré môžu nejakým spôsobom ohroziť alebo poškodiť prevádzku IS trvalo alebo dočasne znížiť jeho výkonnosť alebo ohroziť jeho bezpečnosť Zariadenia IS nesmú byť využité pre získanie osobných výhod či finančných ziskov Školenia nových používateľov zamestnancov v oblasti IS zabezpečujú zamestnanci AIS Školenia používateľov - zamestnancov v oblasti IS zabezpečujú zamestnanci AIS podľa požiadaviek organizačných útvaroch MsÚ a pri aktualizáciách IS článok 5 - Manipulácia s pamäťovými médiami Pamäťové médiá sú pevné disky, diskety, magnetické pásky a ostatné médiá používané na uchovávanie dát v elektronickej forme Používatelia, ktorí pracujú s pamäťovými médiami musia zabezpečiť ich uloženie tak, aby nedošlo k poškodeniu záznamu, predovšetkým nesmú byť vystavované pôsobeniu silného elektromagnetického poľa, teplotným extrémom, vlhkosti a prašnosti Do mechaník prenosných pamäťových médií (diskiet, pások, CD, DVD) nesmú byť vkladané znečistené alebo poškodené médiá Pri zapínaní počítača nesmie byť v disketovej mechanike založená disketa Pamäťové médiá (diskety, USB disky, CD, DVD), obsahujúce osobné údaje, musia byť skladované na bezpečnom mieste (uzamykateľný stôl, trezor a podobne).

6 Strana 37 z Pamäťové médiá, obsahujúce údaje dôležité pre chod IS (zálohy databáz), musia byť skladované útvarom AIS na bezpečnom mieste Každý používateľ je povinný obmedziť na minimum spotrebu diskového priestoru článok 6 - Základné zásady pre manipuláciu s programovým vybavením Používateľ môže na pracovných staniciach používať výlučne len programové vybavenie nainštalované zamestnancami AIS, resp. nainštalované s preukázateľným súhlasom odborného referenta AIS. Používateľ nemôže na pracovnej stanici inštalovať ani odinštalovať žiadne programové vybavenie Používateľský účet vytvoria zamestnanci AIS na základe riadne vyplneného dokumentu Požiadavka na zavedenie používateľa, následne podpísaného zodpovedným zamestnancom. V požiadavke je nutné uviesť meno a priezvisko používateľa, organizačný útvar na ktorý je zaradený, dátum od ktorého môže používať prostriedky informačného systému a návrh technického a programového vybavenia, ktoré mu bolo pridelené Zamestnancovi je následne pridelený počítač s nainštalovaným operačným systémom a príslušnými aplikáciami. Pridelenie počítača je evidované na útvare AIS. Podpisom preberá zamestnanec zodpovednosť za akékoľvek nelegálne zmeny programového vybavenia na pridelenej pracovnej stanici Právo na prístup k modulom IS prideľujú zamestnanci AIS na základe vyplneného dokumentu Požiadavka na zavedenie používateľa so súhlasom vedúceho príslušného modulu IS Zrušenie používateľského účtu vykonajú zamestnanci AIS na základe vyplneného dokumentu. Požiadavky na zrušenie používateľa, o čom sa vykoná príslušný zápis. V požiadavke na zrušenie je potrebné uviesť meno a priezvisko používateľa, ktorého účet bude zrušený, dátum od ktorého prestane používať prostriedky IS a komu budú pridelené prístupové práva k dokumentom vytvoreným týmto zamestnancom. Následne sa skontrolujú a preberú výpočtové prostriedky od používateľa. V prípade nedodania vyplneného dokumentu Požiadavky na zrušenie používateľa do jedného mesiaca od zrušenia pracovného pomeru alebo začiatku dlhodobej práceneschopnosti, zamestnanec AIS má právo zrušiť: používateľské konto v doméne, ové konto, dokumenty, prístup do ISS, profil, prístup ku kopírovacím zariadeniam Používateľ nemôže vytvárať a distribuovať kópie programového vybavenia inštalovaného na pracovnej stanici Je zakázaný akýkoľvek zásah do nastavení CMOS pracovnej stanice Používatelia pred opustením pracoviska sú povinní uzavrieť otvorené súbory aplikačného programového vybavenia a odhlásiť sa zo siete a z operačného systému a vypnúť pracovnú stanicu. Výnimky môže povoliť len zamestnanec referátu AIS Pri krátkodobej neprítomnosti môže používateľ, pokiaľ mu to používané programové vybavenie umožňuje, nahradiť odhlásenie sa zo systému a vypnutie pracovnej stanice spustením šetriča obrazovky s heslom, príp. zamknúť počítačovú stanicu Používatelia sú povinní vykonávať aspoň raz mesačne čistenie (odstraňovanie nepotrebných súborov) svojich dátových adresárov a pomocných adresárov operačného systému (vrátane adresára Kôš, resp. angl. Recycle Bin), Používatelia sú povinní po inštalácii novej verzie programového vybavenia po dobu minimálne jedného týždňa venovať zvýšenú pozornosť činnosti systému a kontrolovať správnosť výsledkov jeho práce. Prípadné odchýlky od požadovaného stavu sú povinní čo najpresnejšie zdokumentovať a bezodkladne ohlásiť zamestnancom AIS.

7 Strana 38 z Programy je možné používať len pre takú činnosť, pre ktorú sú určené (podľa manuálov k príslušným programom) článok 7 - Základné zásady pre používanie elektronickej pošty a internetu Zamestnanci AIS zabezpečujú registráciu schránok elektronickej pošty s príponou prievidza.sk a prístup k webovským stránkam Z internetu je možné sťahovať len textové a obrázkové dokumenty. Ostatné materiály môžu sťahovať len zamestnanci AIS Internet a elektronická pošta slúžia na získavanie informácií potrebných pre prácu používateľa. Zneužívanie internetu, ktoré spôsobuje zbytočné spomalenie toku dát po sieti, na súkromné účely je zakázané Hromadné odosielanie pošty na náhodné adresy, rozosielanie reťazových dopisov a používanie vulgárnych výrazov je zakázané Počítačové pirátstvo a neoprávnený prístup do vzdialených počítačových stredísk prostredníctvom internetu sa zakazujú. Je prísne zakázané snažiť sa neoprávnene preniknúť do vzdialených stredísk, buď prostredníctvom trójskych koní, vírusov alebo akýmkoľvek iným nepovoleným spôsobom článok 8 - Prístupové oprávnenia, ich rozsah, popis povolených činností jednotlivých oprávnených osôb, spôsob identifikácie pri prístupe k informačným systémom Prístupové oprávnenia určujú vedúci jednotlivých modulov informačných systémov. Samotný výkon práv prevádzajú zamestnanci AIS na základe písomného podkladu vedúceho jednotlivého modulu informačného systému Prístupové oprávnenia tvoria ich prístupové meno, prístupové heslo a súbor nastavení, ktoré definujú povolené aktivity používateľa v IS Používateľ je povinný svoje prístupové heslá meniť najmenej jedenkrát za 6 mesiacov, prípadne aj na výzvu zamestnanca oddelenia informatiky Prístupové heslá používateľa musia mať aspoň 6 znakov. Pri opustení pracoviska je zamestnanec povinný uzamknúť počítač alebo odhlásiť sa z domény (siete MsÚ). Používateľ nesmie ako heslo použiť takú kombináciu znakov, ktorú by bolo možné priradiť k jeho osobe, akými sú napríklad meno používateľa a jeho rodinných príslušníkov napísané spredu či odzadu, telefónne číslo domov alebo na pracovisko a podobne. Na prístup do aplikačného programového vybavenia (ďalej APV) používateľ nemôže používať rovnaké heslo ako do siete Používateľ musí svoje prístupové heslo používať tak, aby sa ho nemohla dozvedieť iná osoba. Používateľ si musí byť vedomý svojej zodpovednosti za aktivity v systéme, ktoré sa vykonajú pod jeho menom a heslom V prípade podozrenia, že iná osoba pozná heslo používateľa je používateľ povinný príslušné heslo okamžite zmeniť a svoje podozrenie ohlásiť zamestnancovi AIS a svojmu priamemu nadriadenému Používateľ sa prihlasuje do siete a do APV pod svojím prihlasovacím menom a svojím heslom aj v prípade, že pracuje na pracovnej stanici pridelenej inému používateľovi Používatelia môžu používať len ten používateľský účet (login name), ktorý im bol pridelený. Používatelia sa nesmú žiadnym spôsobom pokúsiť o získanie hesla inej identifikácie. Používatelia sa nesmú pokúšať zamaskovať identitu počítačového účtu alebo stroja, ktorý používajú Používateľ zodpovedá za škody vzniknuté v dôsledku zneužitia jeho účtu zavineného nedbalou manipuláciou alebo jeho poskytnutím inej osobe.

8 Strana 39 z článok 9 - Manipulácia s výstupmi obsahujúcimi osobné údaje Používateľ môže vytvárať z aplikácie tlačové výstupy len v rozsahu určenom jeho pracovnou náplňou. V prípade výstupov obsahujúcich údaje dôverného charakteru (osobné údaje) musí používateľ zabezpečiť, aby k príslušnej tlačiarni nemala počas tlačenia výstupov nekontrolovaný prístup neoprávnená osoba. Vytlačené výstupy obsahujúce údaje dôverného charakteru musia byť skladované, resp. zlikvidované tak, aby nedošlo k narušeniu ich dôvernosti Používateľ nesmie poskytovať výstupy informácie o osobných údajoch z informačných systémov MsÚ nepovolaným osobám v zmysle zákona č.428/2002 Z. z o ochrane osobných údajov Používateľ môže poskytovať údaje externým subjektom len v rozsahu určenom jeho pracovnou náplňou a ďalšími predpismi. Výnimku tvoria údaje už zverejnené alebo určené na zverejnenie článok 10 - Antivírové opatrenia Zodpovednosť za vybavenie pracovných staníc používateľov antivírovým programom má útvar AIS, ktorý taktiež zodpovedá za to, že tento program bude pravidelne aktualizovaný V prípade, že používateľ pracovnej stanice zistí, že nainštalovaný antivírový program nie je pravidelne aktualizovaný, nahlási túto skutočnosť zamestnancovi AIS V prípade, že sa na pracovnej ploche používateľa zobrazí varovanie, že sa na disku alebo vloženej diskete nachádza vírus, používateľ nesmie toto varovanie ignorovať. V prípade, že zavírená disketa patrí inému subjektu, používateľ ju viditeľne a výrazne označí ako zavírenú a vráti ju jej majiteľovi. V prípade zavírenia pevného disku alebo diskety prevádzkovateľa, používateľ túto skutočnosť bezodkladne oznámi zamestnancom AIS, ktorí vykonajú antivírovú dezinfekciu príslušného pamäťového média V prípade objavenia vírusu v prijatej elektronickej pošte používateľ bezodkladne o tejto udalosti upovedomí zamestnancov AIS. V žiadnom prípade zavírenú elektronickú poštu neposiela inému adresátovi Používateľ je povinný minimálne jedenkrát za dva týždne skontrolovať svoj počítač antivírovým programom článok 11 - Zaznamenávanie a hlásenie problémov so zariadením IS Používateľ zariadenia IS zaznamená a zamestnancom AIS bezodkladne ohlási každú vnímateľnú odchýlku od bežnej činnosti, predovšetkým však nasledovné udalosti: a) hlásenia chýb operačného systému a aplikácií, s ktorými používateľ pracuje (presný prepis chybového hlásenia) spolu so stručným popisom situácie (vykonávaných akcií), počas ktorej sa toto hlásenie vyskytlo, b) problémy s technickými zariadeniami pracovnej stanice spolu s popisom situácie, počas ktorej k problémom došlo (popis akcií, zadávaných údajov a/alebo viditeľných javov, ktoré predchádzali, resp. nasledovali výskyt problému) Používateľ pracovnej stanice zaznamená a zamestnancovi AIS a priamemu nadriadenému bezodkladne ohlási každú udalosť, ktorá by mohla indikovať porušenie bezpečnosti IS, predovšetkým však nasledovné udalosti: výskyt vírusu, únik údajov, s informáciou, aké informácie unikli, kam a ako,

9 Strana 40 z odcudzenie médií s údajmi z pracovnej stanice, odcudzenie technických zariadení pracovnej stanice, neoprávnený prístup do počítačovej siete (pracovnej stanice), neoprávnený zásah do technických zariadení pracovnej stanice, neoprávnený zásah do programového vybavenia pracovnej stanice (vrátane výskytu nových súborov alebo adresárov na disku pracovnej stanice) alebo do nastavenia jeho parametrov (napr. nastavené zdieľanie disku alebo adresárov pracovnej stanice) Vyššie uvedené zásady platia aj v prípade, že používateľ dočasne používa pracovnú stanicu pridelenú inému používateľovi, v takom prípade naviac informuje aj používateľa, ktorému je pracovná stanica pridelená Používatelia sú povinní spolupracovať so zamestnancami AIS pri objasňovaní príčin výskytu bezpečnostných problémov, aby mohli byť následne vykonané opatrenia, ktoré by zabránili výskytu podobnej situácie III. Časť Neautomatizované informačné systémy V neautomatizovanom informačnom systéme / kartotéky, spisy a pod./ sú uložené písomnosti, v ktorých sa nachádzajú osobné údaje dotknutých osôb Registratúrny poriadok Mestského úradu v Prievidzi upravuje postup organizačných útvarov Mestského úradu v Prievidzi (ďalej len úrad) pri správe registratúry, a to najmä pri organizovaní a manipulácii so záznamami a spismi, ako aj pri náležitom a pravidelnom vyraďovaní spisov Správu registratúry úradu zabezpečujú poverení zamestnanci príslušných organizačných útvarov v rozsahu ustanovenom registratúrnym poriadkom Používatelia registratúry musia konať tak, aby nedošlo k poškodeniu, zničeniu, strate alebo neoprávnenému použitiu záznamov, ktoré sú uložené v kartotékach alebo v spisoch a je nutné zabezpečiť, aby boli uložené do uzamykateľných priestorov. Manipulovať s nimi môžu iba poverení zamestnanci, ktorí zodpovedajú za ich bezpečné uloženie, úschovu a ochranu Ak sa zistí, že došlo k poškodeniu, zničeniu alebo strate, správca registratúry vyhotoví zápisnicu o výsledku šetrenia a možných dôsledkoch porušenia celistvosti registratúry. Zápisnicu, v ktorej sa súčasne určí spôsob nahradenia záznamu alebo spisu, prípadne iné potrebné opatrenia, podpisuje vedúci príslušného organizačného útvaru, kde došlo k poškodeniu, zničeniu alebo strate. Ak je dôvodné podozrenie, že poškodením, zničením alebo stratou bol spáchaný trestný čin alebo priestupok, predloží zápisnicu vedúci príslušného organizačného útvaru prednostovi úradu Spisy sa ukladajú podľa ročníkov a podľa registratúrneho plánu v samostatných obaloch pre každú registratúrnu značku, v obale sú uložené podľa číselného poradia s najvyšším číslom navrchu Spisy a záznamy s osobnými údajmi sú uložené v šanónoch, zoraďovačoch, doskách, fascikloch, zväzkoch, obaloch, v knihách Zodpovedné osoby poverené prevádzkovateľom dôsledne dbajú o také umiestnenie a materiálno technické vybavenie registratúrneho strediska, aby spĺňalo podmienky pre všestrannú ochranu registratúry Ochrana písomných foriem osobných údajov vyžaduje od používateľov preventívnu ochranu a dodržiavanie zásad manipulácie: umiestnenie dokumentov v priestoroch, ktoré spĺňajú podmienky bezpečnosti, zabezpečenie a kontrola podmienok uloženia ako sú teplota, relatívna vlhkosť vzduchu, optické žiarenie, prašnosť, mikrobiologické znečistenie a biologickí škodcovia, priebežná kontrola fyzického stavu dokumentov a registratúrnych záznamov, zamedzenie vstupu cudzích osôb do priestorov, v ktorých sú dokumenty uložené,

10 obmedziť prístup cudzích osôb k faxom a kopírovacím strojom. Strana 41 z Zásady manipulácie Pri manipulácii s dokumentmi treba dbať najmä na: ukladanie na bezpečné miesto obmedzenie manipulácie na nevyhnutnú mieru ukladanie dokumentov do ochranných obalov primeranej veľkosti a tvaru Ochrana pred odcudzením Ochrana všetkých dokumentov pred odcudzením z miestnosti sa zabezpečuje elektronickou bezpečnostnou signalizáciou. Ochrana pred požiarom Postup je daný platnými dokumentmi a predpismi v zmysle Požiarneho štatútu. Ochrana pred vodou Ak je nevyhnutné umiestniť v odkladacích priestoroch alebo priestoroch bezprostredne nad nimi vodovodné rozvody a povrchovo vedené rozvody ústredného kúrenia, musia sa zabezpečiť tak, aby pri ich poruche nedošlo k poškodeniu archívnych dokumentov; to sa vzťahuje aj na priestory príručných registratúrnych stredísk. Prístup do priestorov v objektoch a pohyb osôb Objekty prevádzkovateľa IS sú zabezpečené prostredníctvom elektronického signalizačného zariadenia, príp. kamerovým systémom. Je povinnosťou oprávnených osôb zdržiavať sa takého konania, ktoré spôsobí porušenie alebo poškodenie ochrany objektov a upozorniť iné osoby v priestoroch prevádzkovateľa na správanie a pohyb po objektoch. Vstup do všetkých objektov Mestského úradu prostredníctvom osobitných kľúčov a PIN kódu majú určení vedúci zamestnanci, upratovačky a zamestnanci, ktorých schválil príslušný vedúci zamestnanec. Zoznam vedie zodpovedný zamestnanec MsP. Manipulácia a prístup ku kľúčom Evidenciu kľúčov vedie zodpovedný zamestnanec hospodárskej správy a náhradné kľúče sa uchovávajú v uzamknutej skrinke v miestnosti č. 5 MsÚ (budova na Ul. Hollého miesto prvého kontaktu). Strata kľúčov sa nahlasuje zodpovednému zamestnancovi hospodárskej správy. Náhradné kľúče sa vydávajú len po zaevidovaní straty a jej objasneniu, o čom sa spíše zápis. Je zakázané bez súhlasu priameho vedúceho zamestnanca požičiavať kľúče od kancelárií iným zamestnancom a cudzím osobám a akýmkoľvek spôsobom získavať kľúče od cudzích kancelárií, ktoré nie sú pracoviskom zamestnanca IV. Časť Rozsah zodpovedností a prehlásenia článok 1 - Povinnosti a rozsah povinností prevádzkovateľa a zodpovedných osôb za dohľad nad ochranou osobných údajov Za výkon dohľadu nad ochranou osobných údajov spracúvaných podľa zákona zodpovedá prevádzkovateľ Pred začatím spracúvania osobných údajov musí prevádzkovateľ jednoznačne a konkrétne vymedziť účel spracúvania osobných údajov, účel musí byť jasný a nesmie byť v rozpore s Ústavou Slovenskej republiky, ústavnými zákonmi, zákonmi a medzinárodnými zmluvami, ktorými je Slovenská republika viazaná Prevádzkovateľ je povinný získavať osobné údaje výlučne na vymedzený alebo stanovený účel Prevádzkovateľ je povinný získavať osobné údaje na rozdielne účely osobitne, je neprípustné združovať osobné údaje, ktoré boli získané na rozdielne účely Prevádzkovateľ je povinný spracúvať len správne, úplné a podľa potreby aktualizované osobné údaje vo vzťahu k účelu spracovania, nesprávne a neúplné údaje je povinný blokovať a bez zbytočného odkladu opraviť alebo doplniť.

11 Strana 42 z Osobné údaje, ktoré umožňujú identifikáciu osôb, nie je možné spracúvať dlhšie ako je nevyhnutné na dosiahnutie účelu spracúvania Prevádzkovateľ písomne poveruje v zmysle 19 ods.2 zákona zodpovedné osoby za dodržiavanie zákonných ustanovení, ktoré sú odborne vyškolené. Poverenia zodpovedných osôb sú súčasťou Bezpečnostných smerníc článok 2 - Povinnosti oprávnených osôb Prevádzkovateľ poučil oprávnené osoby /zamestnancov/, ktorí spracúvajú osobné údaje uvedené v zákone č.428/2002 Z. z. o ochrane osobných údajov o povinnostiach vyplývajúcich zo zákona. O poučení je vydaný písomný doklad podpísaný oprávnenou osobou a založený v Bezpečnostnom projekte (originál) a kópia v osobnom spise príslušnej oprávnenej osoby Prístup k osobným údajom v informačnom systéme majú iba oprávnené osoby a prevádzkovateľ Pri krátkodobom opustení informačného systému oprávnené osoby sú povinné zabrániť neoprávnenej osobe prístup k osobným údajom tak neautomatizovaným ako automatizovaným: a) pri automatizovaných systémoch spustiť šetrič obrazovky, alebo odhlásiť sa z operačného systému, alebo softvérovo zamknúť počítač, b) pri neautomatizovaných systémoch uzavrieť priestor, v ktorom sa nachádza IS, zamknúť skriňu, policu, stôl Oprávnená osoba musí zabezpečiť aby údaje zobrazujúce osobné údaje neboli priamo viditeľné pri vstupe občana a rôznych návštev do miestnosti, aby bol monitor otočený zadnou stranou k vstupným dverám /príp. spustiť šetrič obrazovky/ Informačný systém /aj neautomatizovaný/ je umiestnený na vyhradené miesto po ukončení spracovávania osobných údajov V miestnostiach, kde sa spracovávajú osobné údaje sa nesmú zdržiavať neoprávnené osoby V priestoroch sa musia dodržiavať základné povinnosti vyplývajúce z požiarnopoplachových smerníc a Požiarneho štatútu Oprávnené osoby majú zodpovednosť za spracovávanie osobných údajov v rozsahu zodpovedností vymedzených zákonom Oprávnené osoby sú povinné zachovávať mlčanlivosť o osobných údajoch, s ktorými prídu do styku; tie nesmú využiť ani pre osobnú potrebu a bez súhlasu prevádzkovateľa ich nesmú zverejniť a nikomu poskytnúť ani sprístupniť Povinnosť mlčanlivosti platí aj pre osoby vykonávajúce údržbu a servis technických prostriedkov, ak pri výkone činnosti prídu do styku s osobnými údajmi u prevádzkovateľa Povinnosť mlčanlivosti trvá aj po zániku funkcie oprávnenej osoby alebo po skončení jej pracovného pomeru alebo obdobného pracovného vzťahu Pri získavaní osobných údajov je oprávnená osoba povinná vopred oznámiť dotknutej osobe účel spracúvania osobných údajov, dobrovoľnosť alebo povinnosť poskytnúť požadované osobné údaje v zmysle osobitného zákona a komu budú osobné údaje sprístupnené článok 3 - Spôsob, forma a periodicita výkonu kontrolných činností zamestnancami AIS zameraných na dodržiavanie bezpečnosti informačného systému Zamestnanci AIS sú zodpovední za vykonávanie dennej profylaktiky, t.j. výkon činností, kde bude protokolárnym spôsobom potvrdená kontrola stavu IS:

12 Strana 43 z kontrola vykonania záloh a archivovania, výmena záložných a archívnych médií kontrola stavu služieb stavov servrov, kontrola log záznamov kontrola spojenia pracovísk prevádzkovateľa kontrola spojenia do siete internet Zálohovanie vykonávajú zamestnanci AIS vopred určeným spôsobom zálohovania, pokiaľ nie je určené inak. Za kontrolu vykonávania záloh sú zodpovední zamestnanci referátu AIS, ktorí denne skontrolujú korektné vykonanie záloh a vykonajú o tom zápis do evidenčnej knihy záloh. Odborný referent AIS, resp. vedúci AIS nepravidelne, minimálne 1-krát mesačne, vykoná kontrolu zálohovania. Aplikačný software nainštalovaný a prevádzkovaný lokálne na pracovných staniciach, ktorý obsahuje možnosť archivácie dát je archivovaný lokálne používateľom tohto softwaru Oprávnenie prichádzať do styku so zálohami majú len zodpovedné osoby Po vykonaní zálohy na prenosné médium sa toto bezodkladne uloží mimo serverovú miestnosť článok 4 - Opatrenia na zabezpečenie ochrany osobných údajov pri haváriách, poruchách a iných mimoriadnych situáciách Aktualizácia antivírových prostriedkov sa vykonáva automaticky po štarte operačného systému Antivírová kontrola sa vykonáva na pracovných staniciach, ktoré majú neobmedzený prístup k verejnej sieti internet Pre zamedzenie možnosti neoprávneného vstupu do automatizovaného systému je na vstupe do siete internet zapojený ISA Microsoft server Každý neoprávnený vstup alebo neoprávnené narábanie s IS je oprávnená osoba bezodkladne povinná nahlásiť prevádzkovateľovi /prednostovi úradu, správcovi informačného systému a zodpovednej osobe/, ktorý rozhodne o ďalšom postupe V prípade havárie, poškodenia zariadenia /hardvéru alebo softvéru/ sa automatizovaný informačný systém do pôvodného stavu uvedie s použitím záloh V prípade poškodenia kartoték, spisov a pod. požiarom, vodou sa pre neautomatizovaný systém použije postup uvedený v Protipožiarnom pláne Pred krádežou, vlámaním, znehodnotením je nutné dodržiavať povinnosti oprávnených osôb Havarijný plán určuje postup v prípade zlyhania technických zariadení a havárie IS, podľa ktorého vykonávajú nevyhnutné opatrenia zamestnanci AIS článok 5 - Záväznosť smerníc Tieto Bezpečnostné smernice sú záväzné pre všetkých zamestnancov prevádzkovateľa pre všetkých používateľov počítačových prostriedkov a zariadení IS článok 6 - Záverečné ustanovenia Tieto Bezpečnostné smernice sú vnútornou normou prevádzkovateľa a sú neverejné V prípade potreby poskytnú výklad príslušných článkov týchto smerníc zodpovedné osoby a zamestnanci AIS Kontrolou dodržiavania smerníc sa poverujú zodpovedné osoby a zamestnanci AIS Bezpečnostné smernice nadobúdajú účinnosť dňom podpísania štatutárnym orgánom prevádzkovateľa - primátorom mesta Ruší sa platnosť Bezpečnostných smerníc zo dňa

13 Strana 44 z Odkazy a poznámky 4.1. Súvisiace normy a predpisy - Zákon č. 428/2002 Z. z. o ochrane osobných údajov - Zákon č. 154/1994 Z. z. o matrikách - Zákon č. 599/2001 Z. z. o osvedčovaní listín a podpisov - Zákon č. 346/1990 Z. z. o voľbách do orgánov samosprávy obcí - Zákon č. 333/2004 Z. z. o voľbách do Slovenskej národnej rady - Zákon č. 303/2001 Z. z. o voľbách do samosprávnych krajov - Zákon č. 331/2001 Z. z. o voľbách do Európskeho parlamentu - Zákon č. 46/1999 Z. z. o spôsobe voľby prezidenta - Zákon č. 564/1992 Z. z. o spôsobe vykonania referenda - Zákon č. 582/2004 Z. z. o miestnych daniach a miestnom poplatku za komunálne odpady a drobné stavebné odpady - Zák. č. 511/1992 o správe daní a poplatkov - Zák. č. 552/2003 Z. z. o výkone práce vo verejnom záujme - Zák. č. 553/2003 o odmeňovaní niektorých zamestnancov pri výkone práce vo verejnom záujme - Zákonník práce - Zákon č. 71/1967 Z. z. o správnom konaní - Zákon č. 138/1991 Z. z. o majetku mesta 4.2. Interné dokumenty - ISO 9001: Požiarny štatút - Požiarno-poplachové smernice - Požiarno-evakuačný plán mesta - Plán obnovy IS 5. Rozdeľovník - sekretariát primátora mesta - sekretariát prednostu MsÚ - vedúci odborov MsÚ - útvar hlavného kontrolóra - SDKS 6. Prílohy - Príloha č. 1 Prehľad o rozmiestnení Výpočtovej techniky - Príloha č. 2 Zoznam používaného softvéru na MsÚ. - Príloha č. 3 Zoznam PC pripojených na Internet a používaných ových adries. - Príloha č. 4 Schéma PC siete na úrade základná schéma PC siete na úrade vrátane serverov i vzdialených pripojení. - Príloha č. 5 Zoznam prístupu k jednotlivým modulom v informačných systémoch. - Príloha č. 6 Evidencie informačných systémov - Príloha č. 7 Havarijný plán postup pri obnove softwarového vybavenia - Príloha č. 8 Plán signalizačného poplachového systému v objektoch Mestského úradu na Nám. slobody a prístup osôb oprávnených obsluhovať ochranný systém

14 Strana 45 z Účinnosť 7.1. nadobúda účinnosť Vypracoval Posúdil Schválil Meno a priezvisko Ing. Milan Kučík Ing. Eva Lacková Ing. Ján Bodnár Funkcia VOdVS manažér kvality primátor mesta Dátum Podpis Meno a priezvisko Ing. Ivan Kotrík Funkcia ved. referátu AIS Dátum Podpis Meno a priezvisko Ján Detko Funkcia odb. ref. AIS Dátum Podpis

15 Doplnok č. 1 k Internej smernici č. 9 V súlade s aktualizáciou Bezpečnostného projektu sa dopĺňa a mení Interná smernica č.9 nasledovne: 1. V kapitole 3.5 Bezpečnostné smernice o prevádzkovom poriadku a pravidlách používania zariadení informačných systémov v Mestskom úrade v Prievidzi sa: a) v bode 3.5.2, článok , odrážka skener, digitálny fotoaparát dopĺňa text USB disk. b) text v bode 3.5.2, článok , odsek Odborný referent AIS zodpovedá za nákup potrebných technických zariadení IS požadovanej úrovne a ich zavedenie do užívania nahrádza textom Zamestnanec referátu AIS zodpovedá za nákup potrebných technických zariadení IS požadovanej úrovne a ich zavedenie do používania. c) v bode 3.5.2, článok , odsek sa vo vete Heslo musí obsahovať minimálne 6 znakov, ktoré sú kombináciou veľkých, malých písmen a číslic dopĺňa text alebo špeciálnych znakov. d) v bode 3.5.2, článok , odsek text zamestnancom IS nahrádza textom zamestnancom AIS. e) v bode 3.5.2, článok , odsek text (diskiet, pások, CD) nahrádza textom (diskiet, pások, CD, DVD). f) v bode 3.5.2, článok , odsek text (diskety, CD) nahrádza textom (diskety, USB disky, CD, DVD). g) v bode 3.5.2, článok , odsek text Výnimky môže povoliť len zamestnanec referátu AIS nahrádza textom Výnimky môže povoliť len zamestnanec referátu AIS. h) v bode 3.5.2, článok , odsek nahrádza textom Prístupové heslá používateľa musia mať aspoň 6 znakov. Pri opustení pracoviska je zamestnanec povinný uzamknúť počítač alebo odhlásiť sa z domény (siete MsÚ). Používateľ nesmie ako heslo použiť takú kombináciu znakov, ktorú by bolo možné priradiť k jeho osobe, akými sú napríklad meno používateľa a jeho rodinných príslušníkov napísané spredu či odzadu, telefónne číslo domov alebo na pracovisko a podobne. Na prístup do aplikačného programového vybavenia (ďalej APV) používateľ nemôže používať rovnaké heslo ako do siete. i) v bode 3.5.2, článok , odsek text Používateľ sa prihlasuje do siete a do APV pod svojím heslom aj v prípade, že pracuje na pracovnej stanici pridelenej inému používateľovi nahrádza textom Používateľ sa prihlasuje do siete a do APV pod svojím prihlasovacím menom a svojím heslom aj v prípade, že pracuje na pracovnej stanici pridelenej inému používateľovi. j) v bode 3.5.4, článok , odsek nahrádza textom Zálohovanie vykonávajú zamestnanci AIS vopred určeným spôsobom zálohovania, pokiaľ nie je určené inak. Za kontrolu vykonávania záloh sú zodpovední zamestnanci referátu AIS, ktorí denne skontrolujú korektné vykonanie záloh a vykonajú o tom zápis do evidenčnej knihy záloh. Odborný referent AIS, resp. vedúci AIS nepravidelne, minimálne 1-krát mesačne, vykoná kontrolu zálohovania. Aplikačný software nainštalovaný a prevádzkovaný lokálne na pracovných staniciach, ktorý obsahuje možnosť archivácie dát je archivovaný lokálne používateľom tohto softwaru. k) v bode 3.5.4, článok , odsek nahrádza textom Po vykonaní zálohy na prenosné médium sa toto bezodkladne uloží mimo serverovú miestnosť.

16 l) v bode 3.5.4, článok , odsek nahrádza textom Pre zamedzenie možnosti neoprávneného vstupu do automatizovaného systému je na vstupe do siete internet zapojený ISA Microsoft server. Ing. Ján Bodnár primátor mesta V Prievidzi,