Ochrona danych osobowych w placówce państwowej

Konrad K. akkroweb.com -
freelancer

Temat: Ochrona danych osobowych w placówce państwowej

Przypuśćmy, że w jakiejś państwowej placówce jest potrzebny administrator danych osobowych, bo wymaga tego ustawodawca. W całej placówce używa się różnych programów, działających na różnych licencjach, programy te przechowują dane (również osobowe) albo na komputerze lokalnym, albo na jakimś serwerze. Wszystkie komputery to system Windows XP. Pracownicy placówki wymieniają ze sobą e-maile, serwer poczty znajduje się w innym mieście.

Jakie prace i jakie wymagania stoją przed potencjalnym administratorem? Musi zewidencjonować wszystkie komputery? Dla każdego programu stworzyć politykę bezpieczeństwa? Jakie obowiązki przed nim stoją?Konrad Kaliciński edytował(a) ten post dnia 23.04.12 o godzinie 14:34

Link do wypowiedzi

Przemysław C. Trener biznesu,
coach ACC ICF,
ochrona danych
osobowych

Temat: Ochrona danych osobowych w placówce państwowej

zawsze trzeba rozpocząć od zasobów, wszystkich zasobów - sprzętowych, oprogramowań ( w tym licencji), sieci, pomieszczeń, osobowych, zbiorów itp - jeżeli duża placówka to i pracy dużo - po inwentaryzacji dopiero można określać co trzeba wykonać i w jaki sposób

Link do wypowiedzi

Leszek K. Zarządzanie
bezpieczeństwem
informacji. Dane
osobowe.

Temat: Ochrona danych osobowych w placówce państwowej

Uważam nieco inaczej, najpierw należy zacząć od procesów - w jakich procesach biorą udział dane osobowe.

Link do wypowiedzi

Piotr K. Ochrona danych
osobowych,
Bezpieczeństwo
informacji, Inte...

Temat: Ochrona danych osobowych w placówce państwowej

Pomijając fakt, że potrzeby jest Administrator Bezpieczeństwa Informacji. Podzielam również zdanie p. Leszka, najpierw trzeba przeanalizować wszystkie procesy i z tego wychodzi powiązanie z systemami, programami itp.Piotr K. edytował(a) ten post dnia 23.04.12 o godzinie 15:28

Link do wypowiedzi

Przemysław C. Trener biznesu,
coach ACC ICF,
ochrona danych
osobowych

Temat: Ochrona danych osobowych w placówce państwowej

Zgadzam się :) niestety założyłem że ten element mamy zdefiniowany i błędnie przyjąłem że to już mamy określone :)

Link do wypowiedzi

Dariusz Łydziński IT Security Manager

Temat: Ochrona danych osobowych w placówce państwowej

Dokładnie tak. Należałoby wyjść od wszystkich procesów w organizacji i sprawdzić gdzie w nich są przetwarzane dane osobowe. W ramach procesów dokonać inwentaryzacji wszystkich zbiorów, w ramach której powinien nam powstać wykaz zbiorów zarówno zarejestrowanych (lub podlegających rejetracji) w GIODO, jak i zwolnionych z rejestracji. Dobrze byłoby zebrać informacje jak te dane są zbierane, gdzie i w jaki sposób wprowadzane do systemów i komu udostępniane. Automatycznie powinniśmy uzyskać informacje w jakich systemach są przetwarzane, w jakich aplikacjach, w jakich miejscach (obszarach), na jakich stanowiskach pracy. Pozwoli to na wykonanie ewidencji osób (użytkowników) przetwarzających dane osobowe celem objęcia ich póżniej szkoleniem i określeniem zakresu przetwarzania jak i wystawieniem upoważnień do przetwarzania danych osobowych. Nastepnie należy sprawdzić które zbiory zostały zgłoszone do rejestracji i które nalezy zgłosić. Dopilnować obowiązków wynikających z art. 36-39 uodo w tym przygotować wymaganą dokumentację. Ostatnim krokiem będzie rejestracja zbiorów w GIODO.

Link do wypowiedzi

Grzegorz Krzemiński 600+ projektów w
bezpieczeństwie |
Trener | RODO | HSSE
|...

Temat: Ochrona danych osobowych w placówce państwowej

A to może ja zaskoczę. Nie wychodziłbym od procesów, a od identyfikacji danych i ich zbiorów czy zestawów w komórkach.

Bo... administracja publiczna to taki dziwny twór. Nie zawsze proces idzie jak trzeba, bo... czasem szef dekretuje inaczej. I nagle zonk, bo według procesu w niektórych miejscach określonych danych nie powinno być, ... a są.

Osobiście zaczynam od regulaminu organizacyjnego, który teoretycznie wskazuje co kto ma robić. Z tego wychodzą "szacowane" zbiory. Ale poza potwierdzeniem, czy tez dokładniej, naprowadzeniem czego szukam, pytam o inne. I sie okazuje... Że działy i wydziały potrafią mieć własne książki kancelaryjne, rejestry zwolnień, kar, nagród...

Procesy - fajne... tylko ludzie mają fantazję ;-)))

Link do wypowiedzi

Konrad K. akkroweb.com -
freelancer

Temat: Ochrona danych osobowych w placówce państwowej

A co w przypadku, jeżeli pracownicy przesyłają sobie np. dokumenty zawierające jakieś dane osobowe? Czy to jakoś też należy uregulować/wyeliminować (przynajmniej teoretycznie :) )?

Link do wypowiedzi

Grzegorz Krzemiński 600+ projektów w
bezpieczeństwie |
Trener | RODO | HSSE
|...

Temat: Ochrona danych osobowych w placówce państwowej

A da się tak zrobić? Przecież muszą pracować. Opisać, wdrożyć zabezpieczenia i nadzorować.

Link do wypowiedzi

Konrad K. akkroweb.com -
freelancer

Temat: Ochrona danych osobowych w placówce państwowej

Dzięki za wszystkie informacje, przydadzą się. Jeszcze jedno pytanie odnośnie tej sytuacji: skoro usługi pocztowe świadczy zewnętrza firma, której serwery są w innym miejscu niż placówka, to ABI musi zgromadzić informacje ze wszystkich takich firm na temat serwerów, przechowywania danych itd.?

Link do wypowiedzi