Polityka bezpieczeństwa

Jest to dokument równoważny dokumentom normatywnym typu:

• § Polityka ochrony danych osobowych SZPZLO WARSZAWA-WAWER,
• § Polityka prywatności SZPZLO WARSZAWA-WAWER,
• § Polityka ochrony informacji SZPZLO WARSZAWA-WAWER.

Podstawy prawne:

• § Ustawa z dnia 29 sierpnia 1997r. o ochronie danych osobowych Dz.U. 1997 nr 133 poz. 883 - (tekst jednolity). Określa zasady postępowania przy przetwarzaniu danych osobowych w systemach informatycznych oraz w kartotekach, skorowidzach, księgach, wykazach i w innych zbiorach ewidencyjnych.
• § Rozporządzenie Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz.U. z 2004 r. Nr l00 poz.l024).
• § Rozporządzenie Ministra Zdrowia z 9 listopada 2015 r. w sprawie rodzajów i zakresu dokumentacji medycznej oraz sposobu jej przetwarzania, Dz.U. 2015 poz. 2069;
• § Ustawa z dnia 15 kwietnia 2011 o działalności leczniczej (Dz. U. Nr 112 z 2011, poz 654) akt posiada tekst jednolity.
• § Ustawa z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta -Dz.U. 2009 nr 52 poz. 417- akt posiada tekst jednolity.

1. Wstęp
1.1.lnformacja jest bardzo ważnym aktywem SZPZLO W-WA WAWER i dlatego należy Ją odpowiednio chronić.
1.2. Jakość naszej pracy zależy w dużej mierze od jakości informacji.
1.3. Chroniąc informacje zachowujemy prywatność i godność każdego pracownika oraz dbamy o interesy pacjentow, partnerów i klientów.
1.4. Bezpieczeństwo informacji w SZPZLO W-WA WAWER ma podstawowe znaczenie dla utrzymania naszej konkurencyjności, płynności finansowej, zysku, zgodności z przepisami prawa i wizerunku firmy
1.5. Spełnienie wymagań prawnych jest celem podstawowym
1.6. Niniejszy dokument "Polityka Bezpieczeństwa SZPZLO W-WA WAWER" porządkuje kwestię związane z bezpieczeństwem informacji w SZPZLO W-WA WAWER i zawiera najważniejsze zasady postępowania z informacją w SZPZLO W-WA WAWER.
1.7. Obowiązkiem pracowników jest przestrzeganie postanowień niniejszej polityki bezpieczeństwa informacji SZPZLO W-WA WAWER, a w szczególności zasad: co nie jest wyraźnie dozwolone, jest zabronione, zasada czystego biurka i czystego ekranu.

Nad polityką czuwa osobiście, Dyrektor SZPZLO W-WA WAWER który jest jednocześnie ADMINISTRATOREM DANYCH OSOBOWYCH

2. Organizacja bezpieczeństwa
2.1. W celu koordynacji i kontrolowania procesu zapewniania bezpieczeństwa informacji w SZPZLO W-WA WAWER został powołany Zespół Bezpieczeństwa Informacji w skład którego wchodzi:

• § Dyrektor SZPZLO [DN] jednocześnie Administrator Danych Osobowych [ADO],
• § Z-ca Dyrektora SZPZLO ds. Finansowo Księgowych [DFK],
• § Kierownik Działu Gospodarczego [DG]
• § Kierownik Działu Kadr i Płac ]DKP],
• § Kierownik Rejestru Usług Medycznych [DRUM],
• § Administrator Bezpieczeństwa Informacji [ABI],
• § Administrator Sieci Teleinformatycznej [ASTI].

2.2. Zespół Bezpieczeństwa Informacji koordynuje rozwój, wdrażanie i aktualizacje niniejszego dokumentu.
2.3. Zespół Bezpieczeństwa Informacji jest jedynym organem zatwierdzającym zmiany w niniejszym dokumencie.
2.4. Zespół Bezpieczeństwa Informacji podejmuje decyzje w przypadku najpoważniejszych incydentów związanych z bezpieczeństwem informacji oraz określa sankcje za jej naruszenie
2.5. Zespół Bezpieczeństwa Informacji podejmuje decyzje w sprawie powoływania i przeprowadzania audytu (zewnętrznego lub wewnętrznego), mającego na celu zweryfikowanie efektywności wdrożonych zasad bezpieczeństwa opisanych w tym dokumencie. Proces przeprowadzania audytu jest opisany w dokumencie "Audyt bezpieczeństwa".
2.6. Administrator Bezpieczeństwa Informacji podlega bezpośrednio Dyrektorowi SZPZLO W-WA WAWER który jest jednocześnie Administratorem Danych Osobowych.
2.7. Administrator Bezpieczeństwa SZPZLO W-WA WAWER wdraża decyzje i postanowienia określone przez Zespół Bezpieczeństwa Informacji i bezpośrednio nadzoruje wykonywanie zadań w zakresie określonym tym dokumentem.
2.8. Dyrektor .SZPZLO W-WA WAWER pełni obowiązki Administratora Danych zgodnie z Ustawą o Ochronie Danych Osobowych z 29.08.1997 (i późniejsze rozporządzenia do tej ustawy).
2.9. Kontakt z Zespołem Bezpieczeństwa SZPZLO W-WA WAWER Informacji następuje tylko i wyłącznie poprzez Dyrektora SZPZLO W-wa Wawer.
2.10. Dyrektor SZPZLO W-wa Wawer zarządza kwestią powoływania zewnętrznych / wewnętrznych konsultantów ds. bezpieczeństwa informacji.
2.11. Dyrektor SZPZLO W-wa Wawer utrzymuje bezpośrednie kontakty z organami ścigania, organami wydającymi przepisy, dostawcami usług informatycznych i telekomunikacyjnych jeśli chodzi o aspekty naruszenia bezpieczeństwa i dba o rodzaj przekazywanych informacji.
2.12. Administrator Sieci Teleinformatycznej podlega bezpośrednio Administratorowi Bezpieczeństwa Informacji i jest członkiem Zespołu Bezpieczeństwa Informacji.
2.13. Administrator Sieci Teleinformatycznej pełni obowiązki zgodnie z Ustawą o Ochronie Danych Osobowych z 29.08.1997 (i późniejsze rozporządzenia do tej ustawy) i ROZPORZNDZENIEM MINISTRA SPRAW WEWNĘTRZNYCH I ADMINISTRACJI z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (DU 2004r. nr 100 poz.1024)
2.14. Dokładny spis osób z nazwiska i imienia pełniących opisane funkcje znajduje się w dokumencie "Organizacja bezpieczeństwa - lista osób".

3. Inwentaryzacja, klasyfikacja i kontrola aktywów informacyjnych
3.1. SZPZLO W-WA WAWER musi tworzyć, zarządzać i uaktualniać bazę danych jego aktywów informacyjnych.
3.2. Wszystkie informacje, dane i dokumenty muszą być klarownie opisane, tak aby wszyscy pracownicy byli świadomi, kto jest właścicielem informacji i jaki jest jego poziom klasyfikacji.
3.3. Wszystkie informacje, dane i dokumenty muszą być przetwarzane i przechowywane zgodnie z poziomem klasyfikacji przypisanym do informacji.
3.4. Wszystkie informacje, dane i dokumenty sklasyfikowane jako wysoko wrażliwe (ściśle tajne) muszą być przechowywane w specjalnych obszarach chronionych.
3.5. Wszystkie informacje, dane i dokumenty muszą być sklasyfikowane zgodnie z poziomem ich poufności, integralności i dostępności.
3.6. Za wszystkie informacje, dane i dokumenty odpowiada ich odpowiedni właściciel, lub gestor, w którego gestii są te informacje.
3.7. Proces inwentaryzacji, klasyfikacji i kontroli aktywów SZPZLO W-WA WAWER musi być przeprowadzany zgodnie z procedurami opisanymi w dokumencie "Klasyfikacja informacji".
3.8. Lista zinwentaryzowanych i sklasyfikowanych informacji z przypisanymi właścicielami znajduje się w dokumencie "Aktywa informacyjne SZPZLO W-WA WAWER".

4. Bezpieczeństwo osobowe
4.1.Rekrutacja, zatrudnianie i zwalnianie pracowników
4.1.1. Działa Kadr i Płac odpowiada za przeprowadzanie procesu rekrutacji nowych pracowników.
4.1.2. Proces rekrutacji musi być przeprowadzany rzetelnie i zgodnie z procedurą opisaną w dokumencie ." Działa Kadr i Płac - Rekrutacja pracowników"
4.1.3.Warunki zobowiązanie pracownika do zaznajomienia i przestrzegania aspektów zatrudnienia muszą brać pod uwagę zgodność z niniejszym dokumentem, a w szczególności bezpieczeństwa wynikających z tego dokumentu. Poza tym warunki zatrudnienia muszą dokładnie określać kwestię naruszenia bezpieczeństwa informacji i konsekwencji z tym związanych.
4.1.4. Każdy nowy pracownik musi podpisać umowę o zachowaniu poufności.
4.1.5. Jeżeli nowego pracownika dotyczy przeniesienie praw autorskich na SZPZLO W-WA WAWER, należy spisać stosowną umowę.
4.1.6. Dokładne wymagania prawne dotyczące nowych pracowników opisane są w dokumencie " Działa Kadr i Płac - Wymagania prawne" 4.1.7.Proces zwalniania pracownika musi być przeprowadzany zgodnie z procedurą opisaną w dokumencie " Działa Kadr i Płac - Zwalnianie pracowników"
4.2.Zasady postępowania pracowników
4.2.1. Pracownicy nie mogą ujawniać informacji na temat wysokości swoich zarobków.
4.2.2. Pracownicy nie mogą pożyczać sobie nawzajem kluczy i kart służących do otwierania pomieszczeń
4.2.3. Pracownicy nie mogą pożyczać sobie nawzajem pieniędzy.
4.2.4. Wykorzystywanie środków służbowych, tj. telefony, samochody służbowe, poczta elektroniczna do celów prywatnych powinno być ograniczone tylko i wyłącznie do nadzwyczajnych sytuacji.
4.2.5. Wykorzystanie telefonów komórkowych i stacjonarnych jest monitorowane w stosunku do wszystkich pracowników przez Dział Gospodarczy SZPZLO i w uzasadnionych przypadkach pracownik może zostać zobowiązany do opłacenia rachunku telefonicznego, jeżeli kwestia jego użycia do celów służbowych budzi wątpliwości.
4.2.6. Firmowe karty płatnicze i wykonywanie na tych kartach operacje finansowe obciążają pracownika w przypadku, gdy charakter przeprowadzonych transakcji budzi wątpliwości.
4.2.7.Tylko upoważnieni przez dyrektora SZPZLO pracownicy mogą reprezentować formalnie SZPZLO W-WA WAWER na zewnątrz.
4.3. Szkolenia pracowników i współpracowników
4.3.1. Pracownicy i współpracownicy zobowiązani są do uczestnictwa w szkoleniu w zakresie polityki bezpieczeństwa i procedur obowiązujących w SZPZLO W-WA WAWER w tym w instruktażu wstępnym przed udzieleniem dostępu do przetwarzania informacji i danych osobowych .
4.3.2. Pracownicy zobowiązani są do uczestnictwa w innych szkoleniach, jeżeli bezpośredni przełożony zleci uczestnictwo w takim szkoleniu.

5. Bezpieczeństwo fizyczne i środowiskowe
5.1. Kontrola wejścia i wyjścia
5.1.1. Dostęp poszczególnych osób do pomieszczeń szczególnie chronionych np. serwerownie, rejestr usług, rejestracje , archiwa, składnice akt itp. powinien być uzasadniony potrzebami funkcjonowania SZPZLO W-WA WAWER. Prawa dostępu powinny podlegać okresowemu przeglądowi i być bezzwłocznie odbierane w przypadku, gdy nie są już niezbędne.
5.1.2. W celu uniknięcia konieczności przydzielania praw dostępu do pomieszczeń szczególnie chronionych zbyt wielu osobom, nie należy umieszczać w nich urządzeń i materiałów ogólnodostępnych takich jak drukarki, faksy, części komputerowe lub materiały biurowe.
5.1.3. W pomieszczeniach szczególnie chronionych osoby nie zatrudnione w SZPZLO W-WA WAWER przebywają pod nadzorem upoważnionych pracowników. W dzienniku dostępu na obszary chronione należy zarejestrować ich dane, a także datę i godzinę ich wejścia i wyjścia. Wstęp na obszary chronione jest dozwolony wyłącznie za zgodą Administratora Bezpieczeństwa Informacji.
5.1.4. Drzwi do pomieszczeń szczególnie chronionych powinny być zawsze zamykane.
5.1.5. Przed uzyskaniem dostępu do pomieszczeń, gdzie zlokalizowano urządzenia przetwarzania informacji, użytkownicy muszą być zidentyfikowani. System dostępu do tego rodzaju pomieszczeń powinien być oparty na unikatowych identyfikatorach przydzielonych poszczególnym użytkownikom. Konieczne jest zmierzanie do wdrożenia mechanizmów rejestrowania faktu oraz czasu wejścia i wyjścia poszczególnych osób do tych pomieszczeń. Należy także rejestrować osoby wprowadzane do pomieszczeń komputerowych szczególnie chronionych przez osoby upoważnione.
5.2. Praca w obszarach szczególnie chronionych
5.2.1. Informacje o istnieniu zabezpieczeń na obszarach chronionych dostępne są tylko i wyłącznie upoważnionym pracownikom.
5.2.2. .Niewykorzystywane obszary chronione powinny być zamknięte i okresowo kontrolowane.
5.2.3. Zewnętrzni dostawcy usług uzyskują ograniczony dostęp do obszarów chronionych lub urządzeń do przetwarzania informacji tylko w razie potrzeby. Tego rodzaju dostęp powinien być zatwierdzony przez Dyrektora SZPZLO i monitorowany przez Administratora Bezpieczeństwa Informacji .
5.2.4. Podczas wykonywania pracy na obszarach chronionych zewnętrzni dostawcy usług muszą cały czas przebywać w towarzystwie przynajmniej jednego pracownika SZPZLO W-WA WAWER.
5.2.5. Na obszarze chronionym nie wolno używać sprzętu fotograficznego, video, magnetofonów i innych urządzeń do rejestracji informacji, chyba że zezwoli na to Dyrektora SZPZLO
5.3. Zabezpieczanie sprzętu
5.3.1.Lokalizacja urządzeń do przetwarzania informacji SZPZLO W-WA WAWER powinna uwzględniać minimalizację ryzyka oraz potencjalnych zagrożeń takich jak na przykład kradzież, pożar, zalanie, promieniowanie elektromagnetyczne czy zanik zasilania.
5.3.2.Jeśli to możliwe, wszelkie pomieszczenia zawierające sprzęt komputerowy oraz telekomunikacyjny powinny być zlokalizowane powyżej parteru aby zminimalizować ryzyko kradzieży oraz zalania. Zasada ta powinna być szczególnie rygorystycznie przestrzegana w przypadku budynków, znajdujących się w bezpośredniej bliskości dużych cieków wodnych jak rzeki lub kanały.
5.3.3.W pomieszczeniach komputerowych obowiązuje całkowity zakaz jedzenia, picia i palenia tytoniu. Komputery powinny być także chronione przed kurzem.
5.3.4. Kluczowe wyposażenie komputerowe musi znajdować się w pomieszczeniach wyposażonych w urządzenia przeciwpożarowe oraz przeciwpożarową instalację alarmową.
5.3.5.Pomieszczenia zawierające kluczowe wyposażenie komputerowe nie mogą znajdować się w pobliżu pomieszczeń zwiększających ryzyko pożarowe (np. pomieszczeń magazynowych, transformatorowych) oraz zawierających duże instalacje wodne (np. toaleta).
5.3.6. W pomieszczeniach zawierających kluczowe wyposażenie komputerowe nie są przechowywane żadne materiały łatwopalne. Wszystkie ściany otaczające pomieszczenia, w których znajduje się kluczowe wyposażenie komputerowe powinny być niepalne oraz powinny posiadać właściwości ogniotrwałe (o wytrzymałości co najmniej godziny). Wszelkie otwory w tych ścianach takie jak drzwi, wentylacja powinny zamykać się automatycznie oraz powinny posiadać taką samą ogniotrwałość.
5.3.7. Wszystkie kluczowe urządzenia komputerowe powinny znajdować się w pomieszczeniach klimatyzowanych. Praca klimatyzacji jest monitorowana. Klimatyzacja wyłącza się automatycznie w jego kontroli i inwentaryzacji. Rejestry urządzeń komputerowych są regularnie aktualizowane.
5.3.8. W przypadku stwierdzenia utraty lub kradzieży jakichkolwiek urządzeń lub oprogramowania komputerowego należy natychmiast poinformować Dyrektora SZPZLO.