Ochrona informacji Nowy wymiar bezpieczeństwa

Witamy w Ochronie Informacji

O nas

JESTEŚMY GRUPĄ SPECJALISTÓW DĄŻĄCYCH DO IDEALNEGO ZABEZPIECZENIA INFORMACJI

Specjalizujemy się w przygotowaniu i wdrożeniu zarówno dokumentacji formalizujących ochronę informacji jaki i odpowiedniej konfiguracji systemów, w których są one przetwarzane. Doświadczenie w pracy zawodowej zdobywaliśmy w służbach specjalnych, instytucjach administracji publicznej, przedsiębiorstwach państwowych oraz w firmach prywatnych.

ochronaifnromacji.com.pl

Nasza oferta

Dane osobowe

W celu zapewnienia zgodnego z obowiązującymi przepisami przetwarzania danych osobowych zaspokojenia potrzeb potencjalnych podmiotów zamawiających usługi wynikających z różnorodności prowadzonej działalności, różnej jej skali, przedmiotu działalności, miejsca wykonywania czy w końcu czasu niezbędnego do prawidłowego wykonania powierzonych zadań każdemu zainteresowanemu naszymi usługami proponujemy indywidualne określenie czynności niezbędnych do zgodnego z obowiązującymi przepisami prawa zabezpieczenia przetwarzanych danych osobowych.

W celu realizacji usług najlepszego zabezpieczenia przetwarzania danych osobowych skontaktuj się z nami -> kontakt

Dokumentacja ochrony danych osobowych

Prowadzenie dokumentacji ochrony danych osobowych w jednostce organizacyjnej to obowiązek wynikający z art. 36 pkt 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych. Sposób prowadzenia i zakres dokumentacji normującej sposób przetwarzania danych osobowych oraz środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną został sprecyzowany w rozporządzeniu Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. Zgodnie z §.3 pkt 1 tego rozporządzenia na dokumentację ochrony danych osobowych składa się polityka bezpieczeństwa ochrony danych osobowych i instrukcja zarządzania systemem informatycznym służącym do przetwarzania danych osobowych. Oba dokumenty muszą mieć formę pisemną i być prowadzone przez administratora danych osobowych. Rozporządzenie przedstawia wytyczne co do zawartości każdego z powyższych dokumentów.

W § 4 przedstawiono minimalne wymagania w stosunku do polityki bezpieczeństwa, która powinna zawierać:

wykaz budynków, pomieszczeń lub części pomieszczeń, tworzących obszar, w którym przetwarzane są dane osobowe;
wykaz zbiorów danych osobowych wraz ze wskazaniem programów zastosowanych do przetwarzania tych danych;
opis struktury zbiorów danych wskazujący zawartość poszczególnych pól informacyjnych i powiązania między nimi;
sposób przepływu danych pomiędzy poszczególnymi systemami;
określenie środków technicznych i organizacyjnych niezbędnych dla zapewnienia poufności, integralności i rozliczalności przetwarzanych danych.

W § 5 zawiera wytyczne co do zawartości instrukcji, która powinna zawierać co naj mniej:

procedury nadawania uprawnień do przetwarzania danych i rejestrowania tych uprawnień w systemie informatycznym oraz wskazanie osoby odpowiedzialnej za te czynności;
stosowane metody i środki uwierzytelnienia oraz procedury związane z ich zarządzaniem i użytkowaniem;
procedury rozpoczęcia, zawieszenia i zakończenia pracy przeznaczone dla użytkowników systemu;
procedury tworzenia kopii zapasowych zbiorów danych oraz programów i narzędzi programowych służących do ich przetwarzania;
sposób, miejsce i okres przechowywania elektronicznych nośników informacji zawierających dane osobowe oraz kopii zapasowych,
sposób zabezpieczenia systemu informatycznego przed działalnością oprogramowania, którego celem jest uzyskanie nieuprawnionego dostępu do systemu informatycznego
sposób realizacji wymogów informacyjnych co do odbiorców, daty i zakresu udostępnianych danych osobowych,
procedury wykonywania przeglądó.

Podsumowując, każda jednostka organizacyjna przetwarzająca dane osobowe musi posiadać sporządzoną politykę bezpieczeństwa i instrukcję zarządzania systemem informatycznym, natomiast w zależności od wielkości, złożoności struktury i rodzaju przetwarzanych danych (ustawodawca wymaga stosowania dodatkowych środków przy przetwarzaniu danych wrażliwych) w danej firmie w skład dokumentacji mogą też wchodzić inne dokumenty powiązane np.: regulaminy pracy, regulaminy wynagradzania, decyzje cedujące uprawnienia, zakresy obowiązków, plany ochrony, instrukcje przeciwpożarowe, plany ciągłości działania (BCM), instrukcje zarządzania kryzysowego (DR), i wiele innych.

Pakiet Dokumentacja

Pakiet dokumentacja obejmuje przeprowadzenie analizy ryzyka dla profesjonalnego zabezpieczenia danych osobowych, a następnie przygotowanie dokumentacji ochrony danych osobowych uwzględniającej potrzeby zamawiającego usługę wynikające ze specyfiki prowadzonej działalności oraz zagrożenia wynikające z wykonanej wcześniej analizy.

Analiza ryzyka między innymi obejmuje zapoznanie się z przedmiotem działalności zamawiającego usługę w celu określenia zakresu stosowania ustawy o ochronie danych osobowych, identyfikację zagrożeń zewnętrznych takich jak klęski żywiołowe czy zagrożenia przestępczością, identyfikację zagrożeń wewnętrznych czyli tych powodowanych przez personel oraz identyfikację zagrożeń technicznych takich jak przerwy w zasilaniu, awarie komputerów, czy błędy oprogramowania.

Wynikiem naszej pracy jest napisany komplet dokumentacji normującej ochronę danych osobowych u zamawiającego usługę. Dokumentacje wykonujemy według wskazówek osób będących odpowiedzialnymi za przestrzeganie przepisów o ochronie danych osobowych oraz administrowanie danymi osobowymi. W dokumentacji zawarty jest zakres stosowania ustawy o ochronie danych osobowych, minimalne standardy bezpieczeństwa fizycznego danych osobowych z opisem obszarów przetwarzania danych osobowych i ich zabezpieczeń. Kierownictwo zamawiającego usługę przygotowane jest na wystąpienie zagrożeń ze strony personelu, unikanie takich sytuacji, a w momencie ich zaistnienia minimalizowanie ich skutków. Personel informatyczny zamawiającego usługę otrzymuje minimalne wymagania bezpieczeństwa dla systemów informatycznych oraz informacje w jaki sposób ten poziom osiągnąć.

Pakiet Szkolenia

Pakiet szkolenie obejmuje wszystkie czynności zawarte w „Pakiecie Dokumentacja” oraz dodatkowo szkolenie wszystkich pracowników z zasad bezpiecznego przetwarzania danych osobowych. Szkolenie przygotowywane i prowadzone zgodnie z potrzebami zamawiającego usługędzielimy na dwie części.

Pierwsza część to szkolenia dla tak zwanych osób funkcyjnych czyli administratora danych osobowych i administratora bezpieczeństwa informacji. Szkolenie to ma za zadanie przedstawienie zakresów obowiązków wynikających z ustawy o ochronie danych osobowych oraz zadań niezbędnych do zrealizowania w celu wypełnienia ustawowych obowiązków.

Po szkoleniu dla osób funkcyjnych następuje przygotowanie wymaganej ustawa dokumentacji i przekazanie jej zamawiającemu usługę.

Następnie odbywa się szkolenie podstawowe z ochrony danych osobowych skierowane do części personelu zamawiającego usługę przetwarzającej dane osobowe. Szkolenie prowadzone jest przy wykorzystaniu nowoczesnych , multimedialnych technik prezentacji w grupach nieprzekraczających 20 słuchaczy.

Po przeprowadzeniu szkoleń przygotowujemy dla zamawiającego usługę wymaganą obowiązującymi przepisami prawa i dokumentacją ochrony danych osobowych ewidencję szkoleń i osób przeszkolonych.

Dodatkowo w celu okresowego utrwalania zagadnień związanych z ochrona danych osobowych na okres jednego roku od podpisania umowy udostępniamy zamawiającemu usługę obydwa typy szkoleń w formie kursów realizowanych na odległość. W tym czasie kursy aktualizowane są pod względem zgodności z obowiązującymi przepisami prawa oraz najnowszych rozwiązań technologicznych.

Pakiet Akredytacja

Pakiet wdrożenie obejmuje wszystkie usługi zawarte w „Pakiecie dokumentacja” i „Pakiecie szkolenie”, a ponadto zapewnia dostarczenie zamawiającemu usługę gotowych rozwiązań proceduralnych, technicznych i systemowych niezbędnych do zgodnego z wymaganiami oraz obowiązującymi przepisami prawa, normami i dobrymi praktykami zabezpieczenia danych osobowych przetwarzanych przez zamawiającego usługę.

Realizacje usługi rozpoczynamy od przygotowania i przedłożenia do akceptacji rozwiązań legislacyjno-proceduralnych. Przygotowujemy niezbędne w dalszym toku prac rozporządzenia, zarządzenia i decyzje.

Następnie przechodzimy do przygotowania i wprowadzenia niezbędnych rozwiązań techniczno-informatycznych mających wpływ na ochronę danych osobowych. Wydzielamy obszary przetwarzania danych i przygotowujemy standardy ich zabezpieczenia. Odpowiednio konfigurujemy systemy informatyczne. Równolegle prowadzimy akcję informacyjna wśród personelu zamawiającego usługę mającą na celu uświadomienie zatrudnionym celu wprowadzanych zmian.

Następnie przygotowujemy dokumentację ochrony danych osobowych i szkolimy personel.

Na koniec przeprowadzamy audyt mający na celu określenie skuteczności wdrożonego systemu ochrony danych osobowych, oraz ewentualnych zagrożeń w przyszłości. Audyt obejmuje poziom wdrożenia dokumentacji, poziom znajomości przepisów wśród personelu, skuteczność rozwiązań informatycznych oraz zabezpieczenie techniczna mające wpływ na ochronę danych osobowych

Pakiet Administrowanie

Pakiet administrowanie obejmuje swoim zakresem administrowanie danymi osobowymi zamawiającego usługę. Jako jedyny z pakietów ma charakter usługi ciągłej. Na początku zapoznajemy się z działalnością zamawiającego usługę. Poznajemy przedmiot jego działania oraz z jej specyfiką., a także miejsca wykonywania prowadzonej działalności oraz ich otoczenie. Następnie sporządzamy analizę ryzyka i przedstawiamy ja do wiadomości kierownictwu zamawiającego usługę. Analiza obejmuje identyfikacje zagrożeń zewnętrznych takich jak klęski żywiołowe czy zagrożenia przestępczością,identyfikację zagrożeń wewnętrznych czyli powodowanych przez personel oraz identyfikacje zagrożeń technicznych takich jak przerwy w zasilaniu, awarie komputerów, błędy oprogramowania i tym podobne. Następnie odbywa się szkolenie kierownictwa zamawiającego usługę mające na celu przedstawienie zakresu obowiązków wynikających z ustawy o ochronie danych osobowych oraz aktów wykonawczych do tej ustawy. Ponadto na tym szkoleniu przedstawiamy rozwiązania zapewniające ochronę danych osobowych uwzględniające potrzeby zamawiającego usługę. Podsumowaniem szkolenia jest sporządzenie listy dokumentów legislacyjno-proceduralnych niezbędnych do wprowadzenia przed rozpoczęciem opracowywania dokumentacji ochrony danych osobowych oraz podjęcie decyzji o wprowadzeniu niezbędnych zabezpieczeń techniczno-informatycznych. Po szkoleniu kadry kierowniczej zamawiającego usługę przygotowywane i wprowadzane do użycia są wszystkie niezbędne rozporządzenia, zarządzenia i decyzje. Czynione są niezbędne inwestycje i formalizowane rozwiązania prowadzące do technicznego zabezpieczenia danych osobowych. Pion informatyczny zamawiającego usługę otrzymuje niezbędne wytyczne, porady, wskazówki i gotowe rozwiązania celem zaimplementowania w systemach służących do przetwarzania danych osobowych. Na koniec tej fazy przygotowujemy dokumentacje ochrony danych osobowych. Następnie odbywa się szkolenie personelu zamawiającego usługę. Szkolenie ma na celu zapoznanie personelu z przyjętymi rozwiązaniami i umożliwienie codziennej pracy z zastosowaniem przyjętych nowych rozwiązań. Jako następne występuje wdrożenie zaproponowanych rozwiązań oraz sprawdzenie poziomu znajomości tych rozwiązan przez personel zamawiającego usługę. Na zakończenie tej fazy cały personel potrafi samodzielnie wykorzystywać narzędzia i rozwiązania zapewniające ochronę danych osobowych w sposób umożliwiający efektywna codzienna pracę. Na koniec wykonujemy audyt naszej wcześniejszej działalności prowadzący do określenia stopnia zadowolenia zamawiającego usługę. Pod uwagę bierzemy wszystkie zaproponowane i wprowadzone środki ochrony danych osobowych oraz ich wpływ na bezpieczeństwo tych danych, zgodność z obowiązującymi przepisami prawa oraz wpływem na codzienną działalność zamawiającego usługę. Po zakończeniu procesu wdrażania rozwiązań mających na celu jak najlepszą ochronę danych osobowych, mając na uwadze, że bezpieczeństwo danych to proces ciągły w celu realizacji powierzonego nam zadania administrowania bezpieczeństwem danych osobowych stale monitorujemy system ochrony tych danych u zamawiającego usługę. W razie potrzeby aktualizujemy dotychczasowa dokumentację zgodnie z dodatkowymi potrzebami zamawiającego usługę takimi jak np. zmiany w strukturze własności , zmiany w lokalizacji, zmiany systemów informatycznych, czy powstawanie nowych zbiorów danych osobowych. Szkolimy także nowoprzyjęty do pracy personel. Przeprowadzamy okresowe szkolenia dla kadry kierowniczej oraz personelu mające na celu podniesienie świadomości potrzeby ochrony danych osobowych. W okresach ustalonych z zamawiającym usługę przeprowadzamy audyty zgodności stosowanych przy prowadzonej działalności procedur z wdrożoną dokumentacja ochrony danych osobowych. Świadczymy pomoc i doradztwo przy rozwiązywaniu wszystkich problemów mogących mieć wpływ na ochronę danych osobowych.

Informacje niejawne

Dokumentacja informacji niejawnych

W celu zapewnienia wypełniania wymogów ustawy o ochronie informacji niejawnych przez pełnomocników do spraw ochrony informacji niejawnych, a także kierowników jednostek organizacyjnych związanych z przygotowaniem dokumentacji normującej ochronę informacji niejawnych w jednostce organizacyjnej proponujemy wykonanie:

analizy i oceny ryzyka ujawnienia lub utraty informacji niejawnych w jednostce organizacyjnej (art. 15 ust 1 ppkt 3 uoin) ;
planu ochrony informacji niejawnych zawierającego plan postępowania z materiałami zawierającymi informacje niejawne w razie wprowadzenia stanu nadzwyczajnego (art. 15 ust 1 ppkt 5 uoin);
dokumentu określającego sposób i tryb przetwarzania informacji niejawnych o klauzuli „poufne” w jednostce organizacyjnej (art. 43 ust 3 uoin);
dokumentacji określającej poziom zagrożeń związanych z nieuprawnionym dostępem do informacji niejawnych lub ich utratą (art. 43 ust 4 uoin);
instrukcji dotyczącej sposobu i trybu przetwarzania informacji niejawnych o klauzuli „zastrzeżone” w jednostce organizacyjnej oraz określającej zakres i warunki stosowania środków bezpieczeństwa fizycznego w celu ochrony tych informacji (art. 43 ust 5 uoin);
dokumentacji bezpieczeństwa teleinformatycznego (art. 48 ust 4 uoin);
wykazu przedsiębiorców realizujących na rzecz jednostki organizacyjnej umowy lub zadania związane z dostępem do informacji niejawnych.

Ponadto oferujemy wykonanie dokumentacji niewymaganych bezpośrednio przez ustawę o ochronie informacji niejawnych, ale branych pod uwagę przez ABW lub SKW podczas kontroli ochrony informacji niejawnych w jednostkach organizacyjnych. Do takich dokumentów w szczególności zaliczamy:

politykę bezpieczeństwa informacji,
plan ochrony (zawierający m.in. instrukcję ruchu osobowo-materiałowego, instrukcję użytkowania systemu kontroli dostępu, instrukcję wykorzystywania systemu sygnalizacji-napadu czy instrukcję użytkowania i przechowywania kluczy),
instrukcje bezpieczeństwa przeciwpożarowego,
plany zapewnienia ciągłości działania,
plany organizacyjne funkcjonowania na czas wojny i okres pokoju.

Szkolenie z zakresu przetwarzania informacji niejawnych

Ustawa o ochronie informacji niejawnych zobowiązuje kierownika jednostki do zapewnienia personelowi, odpowiedzialnemu za ochronę informacji niejawnych w danej jednostce organizacyjnej, wielu specjalistycznych szkoleń. Prowadzenie części z nich zostało zarezerwowane przez ustawodawcę dla ABW i SKW. Pozostałe musi zapewnić kierownik jednostki organizacyjnej lub pełnomocnik ochrony informacji niejawnych. Wychodząc szerokiemu zapotrzebowaniu na takie usługi proponujemy m. in. szkolenia z następujących tematów:

szkolenie podstawowe z zasad ochrony informacji niejawnych;
szkolenie z zasad bezpieczeństwa teleinformatycznego;
szkolenie z identyfikacji zagrożeń dla ochrony informacji niejawnych;
szkolenie z zasad wytwarzania, oznaczania, klasyfikowania informacji niejawnych;
szkolenie z zasad organizacji systemu ochrony informacji niejawnych w jednostce organizacyjnej.

Dodatkowo na życzenie klienta możemy przygotować indywidualne szkolenia związane z ochrona informacji niejawnych. Ponadto organizujemy warsztaty oraz panele dyskusyjne, mające na celu wyjaśnienie niejasności związanych z codzienną pracą pełnomocnika ochrony informacji niejawnych, inspektora bezpieczeństwa teleinformatycznego, kierownika kancelarii tajnej czy kierownika jednostki organizacyjnej w której przetwarzane są informacje niejawne.

Wszystkie szkolenia jesteśmy gotowi realizować w lokalizacjach dogodnych dla klienta. Dodatkowo w celu utrwalania wiedzy z zakresu ochrony informacji niejawnych, na specjalne życzenie klienta, proponujemy udostępnianie wybranych szkoleń w trybie nauki na odległość.

Ewidencja informacji niejawnych

W wielu jednostkach organizacyjnych pełnomocnikowi ochrony informacji niejawnych zleca się wykonywanie dodatkowych funkcji i zadań. Z punktu ekonomiki funkcjonowania jednostek organizacyjnych jest to nad wyraz zrozumiałe. Takie działanie wiąże się jednak ze znaczącym ograniczeniem czasu, który pełnomocnik może poświęcić na przygotowanie dokumentacji prowadzonych przez niego zwykłych postępowań sprawdzających oraz postępowań prowadzonych przez ABW lub SKW w stosunku do personelu jego jednostki organizacyjnej. Wychodząc naprzeciw potrzebom pełnomocników proponujemy przygotowanie i wdrożenie automatycznej dokumentacji i ewidencji prowadzonych postępowań sprawdzających wraz ze szkoleniem przypominającym obowiązki pełnomocnika ochrony podczas prowadzenia postępowania sprawdzającego.

Przygotowywana na zamówienie i dostosowana do możliwości zarówno sprzętowych jak i programowych zamawiającego aplikacja komputerowa umożliwia zautomatyzowanie procesu przygotowywania dokumentacji niezbędnej do przeprowadzenia zwykłego postępowania sprawdzającego. Za jej pomocą szybko zostanie przygotowana korespondencja z:

Krajowym Rejestrem Karnym;
ABW lub SKW;
innymi urzędami lub podmiotami mogącymi brać udział w postępowaniu sprawdzającym.

Dodatkowo aplikacja pozwala na automatyczne, zgodne z obowiązującymi wzorami drukowanie takich dokumentów jak polecenia postępowania sprawdzającego, zaświadczenia o ukończeniu szkolenia podstawowego z ochrony informacji niejawnych czy gotowe poświadczenia bezpieczeństwa.

Aplikacja może być wykonana przy użyciu oprogramowania komercyjnego jak i open source.

Akredytacja

Zgodnie z ustawą o ochronie informacji niejawnych oraz aktami wykonawczymi do tej ustawy, niezależnie od klauzuli informacji niejawnych przetwarzanych w systemach teleinformatycznych, dokumentację bezpieczeństwa stanowią dokumenty „Szczególne Wymagania Bezpieczeństwa” oraz „Procedury Bezpiecznej Eksploatacji”. Obowiązek zapewnienia przygotowania dokumentacji bezpieczeństwa teleinformatycznego spoczywa na kierowniku jednostki organizacyjnej. Wychodząc naprzeciw potrzebom kierowników takich jednostek organizacyjnych proponujemy przygotowanie stosownej dokumentacji oraz kompleksowe przygotowanie ich jednostek organizacyjnych do przetwarzania informacji niejawnych w systemach teleinformatycznych. W ramach swoich usług oferujemy m. in.:

doradztwo w zakresie metod, sposobów i środków ochrony informacji niejawnych w systemach teleinformatycznych;

przygotowanie dokumentacji bezpieczeństwa teleinformatycznego;

szkolenie personelu z zakresu bezpieczeństwa teleinformatycznego;

przygotowanie jednostek organizacyjnych do audytów bezpieczeństwa teleinformatycznego.

W zależności od specyfiki działalności konkretnej jednostki organizacyjnej jesteśmy wstanie zorganizować kompleksowy system ochrony informacji niejawnych przetwarzanych w systemach teleinformatycznych. Swoją pracę rozpoczynamy od określenia potrzeb klienta. Dobierany optymalny sprzęt komputerowy oraz zabezpieczenia techniczne. Przygotowujemy dokumentację i asystujemy przy ewentualnym audycie przeprowadzanym przez ABW lub SKW. Na koniec szkolimy personel oraz wdrażamy przyjęte i zaakceptowane rozwiązania służące ochronie informacji niejawnych

Obowiązująca ustawa z dnia 5 sierpnia 2010r. o ochronie informacji niejawnych (Dz.U. 2010.182.1228) z jednej strony liberalizuje minimalne standardy ochrony informacji niejawnych o niskich klauzulach z drugiej zaś nakłada na jednostki organizacyjne, a tak naprawdę na kierowników jednostek organizacyjnych i pełnomocników ochrony dodatkowe obowiązki. Zadania te dotyczą stosowania k.p.a. do prowadzenia i dokumentowania postępowań sprawdzających, klasyfikowania informacji niejawnych, szkolenia w zakresie ochrony informacji niejawnych, stosowania środków bezpieczeństwa fizycznego czy zapewnienia bezpieczeństwa systemów teleinformatycznych. Wprowadzono także obowiązkową okresową analizę ryzyka bezpieczeństwa informacji niejawnych.

W celu realizacji usług najlepszego zabezpieczenia przetwarzania informacji niejawnych skontaktuj się z nami -> kontakt

Cyberbezpieczeństwo

W świecie co raz liczniejszych cyberzagrożeń proponujemy szkolenia, konsultacje i doradztwo w zakresie bezpieczeństwa informacji przetwarzanych w cyberprzestrzeni. Nasi eksperci doskonale znają przepisy dyrektywy NIS, ustawy o krajowym systemie cyberbezpieczeństwa, aktu o cyberbezpieczeństwie oraz nowej dyrektywy NIS2. Z powodzeniem uczestniczyli w wielu audytach bezpieczeństwa prowadzonych w instytucjach publicznych oraz przedsiębiorstwach. Posiadają wiedzę potwierdzoną licznymi międzynarodowymi certyfikatami.