Niniejsza polityka określa zasady, obowiązki i dobre praktyki, które powinny być znane i przestrzegane przez każdą osobę mającą dostęp do systemów, danych, obiektów lub informacji organizacji, niezależnie od charakteru jej stosunku umownego (pracownicy, stażyści, wykonawcy, usługodawcy lub współpracownicy zewnętrzni). Polityka ta powinna być dostępna dla wszystkich pracowników, którzy mogą z nią zapoznać się w dowolnym momencie i są zobowiązani do jej przestrzegania podczas wykonywania swoich obowiązków.
Nieprzestrzeganie wytycznych określonych w niniejszym dokumencie może skutkować sankcjami dyscyplinarnymi, cywilnymi i/lub karnymi zgodnie z obowiązującymi przepisami.
Kierownictwo jest odpowiedzialne za zatwierdzenie niniejszej polityki, zapewnienie jej odpowiednich zasobów oraz czuwanie nad jej przestrzeganiem. Wyznacza ono osobę odpowiedzialną za bezpieczeństwo jako wewnętrnego punktu kontaktowego.
Zajmuje się zarządzaniem incydentami związanymi z bezpieczeństwem, aktualizuje niniejszy podręcznik, prowadzi szkolenia oraz odpowiada na pytania pracowników.
Każda osoba mająca dostęp do informacji i systemów organizacji będzie odpowiedzialna za pełne przestrzeganie postanowień zawartych w niniejszym podręczniku, a także za postępowanie zgodne z ustalonymi wewnętrznymi zasadami i procedurami w zakresie bezpieczeństwa i ochrony danych.
Ponadto ze wszystkich urządzeń, aplikacji i systemów firmowych należy korzystać z najwyższą starannością, odpowiedzialnością i zachowaniem poufności; zabrania się wykorzystywania ich do celów innych niż ściśle związane z działalnością zawodową lub służbową zatwierdzoną przez organizację.
W celu zapewnienia bezpieczeństwa, integralności, dostępności i poufności danych osobowych przetwarzanych przez organizację za zasoby chronione uznaje się wszystkie aktywa, elementy, systemy i środowiska, które bezpośrednio lub pośrednio uczestniczą w przetwarzaniu tych danych.
Poniżej wymieniono główne zasoby objęte ochroną:
Zasady regulujące przetwarzanie danych osobowych zostały określone w art. 5 RODO oraz w art. 4 i następnych ustawy LOPDGDD. Stanowią one fundamentalny filar, na którym musi opierać się każda operacja przetwarzania danych przeprowadzana w przedsiębiorstwie, a zatem muszą być znane i stosowane przez wszystkich pracowników, którzy w ramach wykonywania swoich obowiązków przetwarzają dane osobowe pracowników, klientów, dostawców lub jakiejkolwiek innej osoby fizycznej.
Poniżej przedstawiono ogólny przegląd sześciu zasad określonych w art. 5 RODO, a także zasady proaktywnej odpowiedzialności (accountability), które zostały szczegółowo omówione w kolejnych punktach:
PODSTAWA PRAWNA | ZASADA | KRÓTKI OPIS |
Art. 5 ust. 1 lit. a) RODO | Zgodność z prawem, uczciwość i przejrzystość | Przetwarzanie danych musi mieć ważną podstawę prawną, a osoba, której dane dotyczą, musi zostać o tym poinformowana. |
Art. 5 ust. 1 lit. b) RODO | Ograniczenie celu | Dane będą wykorzystywane wyłącznie do celów określonych w momencie ich gromadzenia. |
Art. 5 ust. 1 lit. c) RODO | Minimalizacja | Gromadzone będą wyłącznie dane absolutnie niezbędne. |
Art. 5 ust. 1 lit. d) RODO | Dokładność | Dane będą na bieżąco aktualizowane i niezwłocznie korygowane. |
Art. 5 ust. 1 lit. e) RODO | Ograniczenie okresu przechowywania | Dane nie będą przechowywane dłużej niż to konieczne. |
Art. 5 ust. 1 lit. f) RODO | Uczciwość i poufność | W celu ochrony danych zostaną wprowadzone środki techniczne i organizacyjne. |
Art. 5 ust. 2 RODO | Proaktywna odpowiedzialność | Osoba odpowiedzialna musi być w stanie wykazać, że zasady są przestrzegane. |
Zgodnie z art. 5 ust. 1 lit. a) RODO zasada ta wymaga, aby każde przetwarzanie danych osobowych spełniało jednocześnie trzy warunki:
Aby przetwarzanie danych było zgodne z prawem, musi opierać się na co najmniej jednej z poniższych podstaw:
Sekcja | Podstawa prawna | Spis treści |
Art. 6 ust. 1 lit. a) | Zgoda | Osoba, której dane dotyczą, wyraziła zgodę na jeden lub kilka konkretnych celów. |
Art. 6 ust. 1 lit. b) | Wykonanie umowy | Przetwarzanie danych jest niezbędne do wykonania umowy lub podjęcia działań przed zawarciem umowy. |
Art. 6 ust. 1 lit. c) | Obowiązek prawny | Przetwarzanie danych jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze danych. |
Art. 6 ust. 1 lit. d) | Interesy o zasadniczym znaczeniu | Przetwarzanie danych jest konieczne w celu ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby. |
Art. 6 ust. 1 lit. e) | Interes publiczny | Przetwarzanie danych jest niezbędne do realizacji zadania leżącego w interesie publicznym lub wykonywania uprawnień publicznych. |
Art. 6 ust. 1 lit. f) | Uzasadniony interes | Przetwarzanie danych jest konieczne do realizacji uzasadnionych interesów administratora lub osoby trzeciej, o ile nie mają pierwszeństwa prawa podstawowe osoby, której dane dotyczą. |
| Podstawę prawną należy określić przed rozpoczęciem przetwarzania danych i odnotować w rejestrze czynności przetwarzania (art. 30 RODO). Nie dopuszcza się wyboru podstawy prawnej z mocą wsteczną. |
W przypadku gdy zastosowanie ma ustawa LOPDGDD, informacje można przekazać w dwóch poziomach, aby ułatwić ich zrozumienie przez osobę, której dane dotyczą. W pozostałych przypadkach należy bezpośrednio przestrzegać przepisów art. 13 lub 14 RODO, w zależności od tego, czy dane zostały przekazane przez samą osobę, której dane dotyczą, czy przez osobę trzecią.
Pierwsza warstwa (art. 11 LOPDGDD) | • Dane identyfikacyjne administratora danych oraz jego przedstawiciela (jeśli dotyczy). • Cel przetwarzania danych. • Możliwość skorzystania z praw określonych w art. 15 i następnych RODO. • Występowanie profilowania, jeśli ma to zastosowanie. • [Jeśli dane nie pochodzą od osoby, której dane dotyczą] Kategorie danych i źródła, z których pochodzą. |
Drugi poziom (art. 13–14 RODO) | • Pełne dane identyfikacyjne i dane kontaktowe podmiotu odpowiedzialnego oraz jego przedstawiciela. • Dane kontaktowe inspektora ochrony danych (DPO), jeśli dotyczy. • Cele przetwarzania danych i podstawa prawna. • Uzasadnione interesy administratora lub osób trzecich (jeżeli podstawą prawną jest art. 6 ust. 1 lit. f). • Odbiorcy lub kategorie odbiorców. • Międzynarodowe przekazywanie danych, w stosownych przypadkach. • Okresy przechowywania. • Prawa osoby, której dane dotyczą (art. 15–22 RODO) oraz prawo do wycofania zgody. • Prawo do złożenia skargi do AEPD. • Istnienie przekazywania danych osobowych stronom trzecim oraz automatycznych decyzji lub profilowania. • [Jeśli dane pochodzą od stron trzecich] Kategorie danych i źródło pochodzenia. |
Terminy przekazania informacji (art. 14 RODO): jeżeli dane nie pochodzą bezpośrednio od osoby, której dane dotyczą, informacje należy przekazać w terminie nieprzekraczającym jednego miesiąca od ich uzyskania. Jeżeli dane są wykorzystywane do skontaktowania się z osobą, której dane dotyczą, informacje należy przekazać w tym samym momencie. Jeżeli dane mają zostać przekazane osobie trzeciej, informacje należy przekazać przed tym przekazaniem.
| Informacje należy przedstawiać w sposób zwięzły, przejrzysty, zrozumiały i łatwo dostępny, używając jasnego i prostego języka. Można je przekazywać drogą elektroniczną, jeżeli wynika to z technicznej złożoności przetwarzania danych (motyw 58 RODO). |
Zasada ta, określona w art. 5 ust. 1 lit. b) RODO, uniemożliwia przetwarzanie danych osobowych w celach innych lub niezgodnych z tymi, dla których zostały one pierwotnie zebrane.
W praktyce zasada ta nakłada następujące obowiązki:
| Aby ocenić, czy nowy cel jest zgodny z pierwotnym, art. 6 ust. 4 RODO stanowi, że należy wziąć pod uwagę między innymi następujące czynniki: związek między celami, kontekst, w jakim dane zostały zebrane, ich charakter oraz ewentualne konsekwencje dla osoby, której dane dotyczą. |
Artykuł 5 ust. 1 lit. c) RODO wymaga, aby przetwarzane dane były adekwatne, istotne i ograniczone do tego, co jest absolutnie niezbędne w związku z celami przetwarzania.
Zasada ta nakłada obowiązek:
| Przed opracowaniem jakiegokolwiek formularza lub procesu gromadzenia danych należy przeprowadzić analizę konieczności: czy dana informacja jest niezbędna do osiągnięcia celu? Jeśli odpowiedź nie brzmi jednoznacznie „tak”, nie należy gromadzić tej informacji. |
Zgodnie z art. 5 ust. 1 lit. d) RODO zasada ta nakłada na administratora danych — a w stosownych przypadkach również na podmiot przetwarzający — obowiązek podjęcia wszelkich uzasadnionych środków w celu zapewnienia, by dane osobowe były dokładne i aktualne.
Główne obowiązki wynikające z tej zasady to:
Zasada ta jest realizowana poprzez dwa prawa uznane w RODO:
Prawo do sprostowania danych Art. 16 RODO | Prawo do żądania sprostowania lub uzupełnienia danych osobowych, jeżeli są one błędne lub niekompletne w świetle celów przetwarzania. |
Prawo do usunięcia danych Art. 17 RODO | Prawo do usunięcia danych bez zbędnej zwłoki, jeżeli zachodzi jedna z poniższych okoliczności: • Cofnięcie zgody na przetwarzanie danych. • Skorzystanie z prawa do sprzeciwu bez istnienia nadrzędnych uzasadnionych powodów. • Nielegalne przetwarzanie danych. • Prawny obowiązek usunięcia. • Dane uzyskane w ramach usług społeczeństwa informacyjnego. |
Artykuł 5 ust. 1 lit. e) RODO stanowi, że dane osobowe nie mogą być przechowywane dłużej, niż jest to konieczne do realizacji celów, dla których zostały zebrane.
Zasada ta nakłada następujące obowiązki:
| Sam art. 5 ust. 1 lit. e) RODO przewiduje, że dane zebrane do celów archiwalnych w interesie publicznym, badań naukowych lub historycznych albo do celów statystycznych mogą być przechowywane przez dłuższy okres, pod warunkiem zastosowania odpowiednich zabezpieczeń technicznych i organizacyjnych (art. 89 RODO). |
| Podmiot musi prowadzić wykaz okresów przechowywania dokumentów, w którym dla każdego rodzaju przetwarzania danych podane są: obowiązujący okres przechowywania, przepisy, na których się opiera, oraz procedura bezpiecznego niszczenia dokumentów, którą należy zastosować po upływie tego okresu. |
Zgodnie z art. 5 ust. 1 lit. f) RODO zasada ta wymaga, aby dane osobowe były przetwarzane w sposób zapewniający ich bezpieczeństwo poprzez stosowanie odpowiednich środków technicznych i organizacyjnych.
W art. 32 ust. 1 RODO określono obowiązki w zakresie bezpieczeństwa przetwarzania danych:
W odróżnieniu od poprzednich przepisów RODO opiera się na podejściu opartym na ryzyku oraz na zasadach „prywatności od samego początku” i „prywatności domyślnej” (art. 25 i 32 RODO): nie określa on zamkniętego wykazu środków, lecz zobowiązuje administratora do oceny ryzyka związanego z przetwarzaniem danych oraz do wdrożenia środków proporcjonalnych do zidentyfikowanego poziomu ryzyka, z uwzględnieniem stanu techniki, kosztów wdrożenia oraz charakteru, zakresu, kontekstu i celów przetwarzania.
| Środki bezpieczeństwa należy wprowadzić przed rozpoczęciem przetwarzania danych, a nie po jego rozpoczęciu. Ich skuteczność należy okresowo weryfikować i aktualizować. Nieprzestrzeganie obowiązków w zakresie bezpieczeństwa może skutkować zgłoszeniem naruszenia bezpieczeństwa do AEPD (art. 33 RODO) oraz do samych osób, których dane dotyczą (art. 34 RODO). |
Artykuł 5 ust. 2 RODO wprowadza siódmą zasadę o charakterze przekrojowym: administrator danych musi nie tylko przestrzegać powyższych zasad, ale także być w stanie to wykazać w dowolnym momencie.
Głównymi narzędziami rozliczalności są:
| Zasada odpowiedzialności sprawia, że przestrzeganie przepisów staje się procesem ciągłym i udokumentowanym. Nie wystarczy wywiązywać się z obowiązków tylko sporadycznie; podmiot musi być w stanie w każdej chwili wykazać – przed AEPD lub przed każdą zainteresowaną stroną – że przetwarzanie danych odbywa się zgodnie z przepisami. |
Organizacja przetwarza różne rodzaje i kategorie danych osobowych w zależności od prowadzonej działalności.
Na potrzeby niniejszej Polityki przez dane osobowe rozumie się wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Za osobę możliwą do zidentyfikowania uznaje się każdą osobę, której tożsamość można ustalić bezpośrednio lub pośrednio za pomocą identyfikatora, danych lub zestawu danych, takich jak imię i nazwisko, dokument tożsamości, adres pocztowy lub adres e-mail, numer telefonu, adres IP, dane dotyczące lokalizacji, identyfikatory internetowe, zdjęcia, nagrania głosowe, podpis, cechy fizyczne, ekonomiczne, kulturowe lub społeczne, a także wszelkie inne informacje umożliwiające jej identyfikację.
Dane osobowe przetwarzane przez organizację mogą obejmować między innymi następujące kategorie:
Przetwarzanie każdej kategorii i rodzaju danych osobowych będzie wiązało się ze stosowaniem konkretnych środków technicznych i organizacyjnych, z uwzględnieniem charakteru informacji, poziomu związanego z nimi ryzyka oraz obowiązujących w każdym przypadku wymogów prawnych.
W związku z tym wszyscy użytkownicy, pracownicy, współpracownicy lub upoważnione osoby trzecie, które uczestniczą w jakichkolwiek czynnościach związanych z przetwarzaniem danych, muszą przestrzegać obowiązków i środków bezpieczeństwa określonych w niniejszej polityce oraz w obowiązujących przepisach dotyczących ochrony danych przez cały cykl życia danych osobowych – od momentu ich pozyskania lub uzyskania do nich dostępu aż po ich przechowywanie, zablokowanie i ostateczne usunięcie.
Ponadto dane osobowe mogą być przetwarzane wyłącznie w celach wyraźnie określonych, przy czym należy w każdym momencie zapewnić przestrzeganie zasad zgodności z prawem, uczciwości, przejrzystości, minimalizacji danych, dokładności, ograniczenia celu, integralności, poufności oraz proaktywnej odpowiedzialności.
W przypadku konieczności przekazywania danych za granicę zostanie sprawdzony poziom ochrony w kraju docelowym oraz zostaną wprowadzone gwarancje wymagane przez przepisy. W pierwszej kolejności zostanie sprawdzone, czy istnieje decyzja o adekwatności zatwierdzona przez Komisję. W przypadku jej braku zastosowany zostanie jeden z mechanizmów określonych w art. 46 RODO, przy czym preferowane jest podpisanie standardowych klauzul umownych. Jedynie w wyjątkowych przypadkach powołane zostanie jedno z odstępstw zawartych w art. 49 RODO. W każdym razie żadne z powyższych nie będzie miało zastosowania, gdy przekazanie danych będzie konieczne w ramach współpracy międzynarodowej z organami państw trzecich i gdy nie będą miały zastosowania żadne traktaty ani konwencje międzynarodowe, a także dyrektywa (UE) 2016/680 oraz art. 43–47 ustawy organicznej nr 7/2021 z dnia 26 maja o ochronie danych osobowych przetwarzanych w celach zapobiegania, wykrywania, prowadzenia dochodzeń i ścigania przestępstw oraz wykonywania sankcji karnych.
Zgodnie z postanowieniami art. 30 RODO należy prowadzić rejestr czynności wykonywanych pod nadzorem organizacji, który należy na bieżąco aktualizować w miarę zachodzących zmian. Rejestr ten powinien zawierać wszystkie poniższe informacje:
Ponadto w przypadku pełnienia funkcji podmiotu przetwarzającego dane prowadzony będzie również rejestr wszystkich kategorii czynności związanych z przetwarzaniem danych, wykonywanych na zlecenie administratora danych, zawierający:
Rejestry te będą prowadzone w formie pisemnej, w tym również w formie elektronicznej.
Przepisy dotyczące ochrony danych umożliwiają osobom, których dane dotyczą, dochodzenie wobec administratora danych następujących praw: prawa dostępu, sprostowania, sprzeciwu, usunięcia („prawo do bycia zapomnianym”), ograniczenia przetwarzania, przenoszenia danych oraz prawa do niebycia przedmiotem zindywidualizowanych decyzji.
W tym celu jednostka udostępniła kanały, które przedstawiono poniżej, aby zainteresowane osoby mogły składać odpowiednie wnioski o skorzystanie z przysługujących im praw, zwracając się do organizacji za pośrednictwem poczty elektronicznej, adresu pocztowego lub dowolnego innego wewnętrznego kanału, który został udostępniony i o którym poinformowano pracowników.
Ponadto, mając na celu uregulowanie i szczegółowe określenie procedury postępowania w przypadku wykonywania praw, podmiot opracował wspomnianą procedurę reagowania.
Wspomniany protokół postępowania zawiera informacje na temat procedury ustanowionej w celu zapewnienia przestrzegania praw osób, których dane dotyczą, i ma zastosowanie zarówno do pracowników upoważnionych do rozpatrywania wniosków dotyczących praw składanych przez osoby, których dane dotyczą, oraz do personelu podlegającego ich nadzorowi, jak i do innych osób trzecich mających dostęp do danych oraz do podmiotów odpowiedzialnych za przetwarzanie danych w organizacji, w tym do personelu podlegającego ich nadzorowi, przy czym wszyscy oni podlegają postanowieniom wspomnianego protokołu i muszą zawsze postępować zgodnie z ustalonymi instrukcjami.
Kontrola dostępu za pomocą haseł stanowi jeden z głównych środków bezpieczeństwa służących ochronie systemów i informacji organizacji. Stosowanie silnych i bezpiecznych haseł ma zasadnicze znaczenie, ponieważ słabe lub ujawnione hasło może stanowić zagrożenie dla poufności, integralności i dostępności przetwarzanych danych.
Dostęp do danych osobowych i informacji poufnych organizacji będzie ograniczony w zależności od obowiązków i funkcji przypisanych każdemu pracownikowi. W tym celu ustanowione zostaną uprawnienia i profile dostępu powiązane z każdym stanowiskiem lub rolą, gwarantujące, że każdy użytkownik będzie miał dostęp wyłącznie do informacji ściśle niezbędnych do wykonywania swoich obowiązków.
Każdy użytkownik otrzyma unikalne, osobiste i nieprzenoszalne dane logowania. Wyraźnie zabrania się udostępniania haseł lub zezwalania osobom trzecim na korzystanie z własnych danych logowania.
Hasła muszą spełniać kryteria bezpieczeństwa określone przez organizację i być traktowane jako ściśle poufne.
Każde hasło musi spełniać WSZYSTKIE poniższe kryteria: • Co najmniej 10 znaków. • Łączyć wielkie i małe litery, cyfry oraz symbole (!@#$%) • Maksymalny okres ważności: 3 miesiące. • Jednorazowe na usługę: nigdy nie należy ich ponownie wykorzystywać na różnych platformach. • Nie należy ponownie używać 5 ostatnich haseł. |
✓ ZROBIĆ | ✗ NIE ROBIĆ |
Należy używać innego hasła dla każdego systemu lub aplikacji | Zapisywanie haseł na karteczkach samoprzylepnych, kartkach papieru lub w niezaszyfrowanych plikach |
Należy zmieniać hasło co 3 miesiące lub natychmiast w przypadku podejrzenia naruszenia bezpieczeństwa | Nie należy udostępniać haseł współpracownikom, a tym bardziej zespołowi IT |
Korzystaj z szyfrowanego menedżera haseł z dwuskładnikowym uwierzytelnianiem (2FA) | Wykorzystanie danych osobowych: imię i nazwisko, data urodzenia, numer dowodu osobistego, imię zwierzęcia |
Włącz uwierzytelnianie dwuskładnikowe (2FA) we wszystkich usługach, które to umożliwiają | Korzystanie z układów klawiatury: qwerty, 123456, asdf itp. |
Jeśli podejrzewasz, że Twoje hasło zostało ujawnione, natychmiast powiadom osobę odpowiedzialną za bezpieczeństwo | Włącz opcję „Zapamiętaj hasło” w przeglądarkach na komputerach współużytkowanych |
Miejsce pracy należy utrzymywać w porządku, aby zapobiec nieuprawnionemu dostępowi do dokumentów lub urządzeń.
✓ ZROBIĆ | ✗ NIE ROBIĆ |
Należy natychmiast wyjąć wydrukowane dokumenty z drukarki | Pozostawianie poufnych dokumentów na widoku na biurku podczas nieobecności |
Po zakończeniu dnia pracy należy zamknąć na klucz dokumenty w formie papierowej zawierające informacje wrażliwe | Umieszczanie napojów bez szczelnych nakrętek w pobliżu sprzętu lub dokumentów |
Przechowywać firmowe urządzenia mobilne (laptopy, telefony komórkowe, tablety) w bezpiecznym miejscu | Pozostawianie podłączonych i bez nadzoru pamięci USB lub dysków zewnętrznych |
Niszczenie niepotrzebnych dokumentów za pomocą niszczarki do papieru | Wyrzucanie dokumentów zawierających dane do zwykłego kosza na śmieci bez ich zniszczenia |
Ekran urządzenia może ujawniać poufne informacje osobom nieuprawnionym. Konieczne jest zastosowanie następujących środków:
Wszystkie urządzenia elektroniczne, sprzęt komputerowy i inne zasoby firmowe udostępnione pracownikowi należy wykorzystywać zgodnie z minimalnymi środkami bezpieczeństwa ustalonymi przez organizację, które obejmują między innymi następujące zasady:
✓ ZROBIĆ | ✗ NIE ROBIĆ |
W przypadku, gdy pracownik zamierza korzystać z urządzenia do celów prywatnych, musi uzyskać uprzednią pisemną zgodę organizacji | Wykorzystywanie tych urządzeń do celów niezwiązanych z pracą. |
Urządzenia powinny posiadać najnowsze poprawki i aktualizacje systemu operacyjnego, zgodnie z harmonogramem regularnych aktualizacji przewidzianym przez twórcę systemu. | Nie należy używać do celów służbowych żadnych innych urządzeń poza tymi, które zapewnia organizacja. |
Ustawienia zabezpieczeń powinny zostać domyślnie skonfigurowane przez osobę odpowiedzialną za IT w firmie. | Każde urządzenie zawierające informacje o znaczeniu krytycznym, poufne lub należące do szczególnych kategorii danych zgodnie z RODO musi być wyposażone w odpowiednie środki ochrony, które zapewnią bezpieczeństwo informacji i zapobiegną nieuprawnionemu dostępowi. |
W przypadku zgubienia, kradzieży, kradzieży z włamaniem lub nieuprawnionego dostępu do urządzenia pracownicy mają obowiązek niezwłocznie zgłosić to zdarzenie osobie odpowiedzialnej za bezpieczeństwo. | Nie należy łączyć urządzeń służbowych z Internetem za pośrednictwem publicznych sieci Wi-Fi bez korzystania z firmowego dostępu VPN. |
Należy zgłaszać wszelkie zdarzenia związane z bezpieczeństwem. | Nie należy przechowywać żadnych danych ani poufnych informacji organizacji na nośnikach wymiennych. |
Korzystać wyłącznie z narzędzi, aplikacji i systemów korporacyjnych, które zostały zatwierdzone i udostępnione przez organizację w celu wykonywania obowiązków służbowych. | Nie wolno instalować, używać ani przechowywać lokalnie oprogramowania, aplikacji ani narzędzi, które nie zostały zatwierdzone przez organizację, ani korzystać z niedozwolonych rozwiązań do przetwarzania danych firmowych lub danych osobowych. |
Poczta firmowa jest narzędziem pracy. Jej niewłaściwe wykorzystanie stanowi jedną z głównych dróg przedostawania się zagrożeń (phishing, złośliwe oprogramowanie) oraz wycieku informacji.
✓ ZROBIĆ | ✗ NIE ROBIĆ |
Przed otwarciem załączników lub linków należy zawsze sprawdzić nadawcę | Korzystanie z firmowej poczty elektronicznej do celów osobistych lub prywatnych |
Szyfrowanie wiadomości e-mail zawierających dane osobowe lub informacje poufne | Wysyłanie baz danych, danych osobowych lub informacji poufnych bez szyfrowania |
Używanie opcji „BCC” (ukryta kopia) podczas wysyłania wiadomości e-mail do wielu odbiorców | Otwieranie załączników lub klikanie linków od nieznanych nadawców |
Zgłaszaj podejrzane wiadomości e-mail do osoby odpowiedzialnej za bezpieczeństwo | Przekazywanie dalej łańcuszków lub wiadomości o treści komercyjnej bez upoważnienia |
Wyloguj się z poczty, korzystając z komputerów współużytkowanych lub publicznych | Konfiguracja firmowej poczty elektronicznej na urządzeniach bez upoważnienia |
OSTRZEŻENIE: Phishing Jeśli otrzymasz wiadomość e-mail z prośbą o podanie danych uwierzytelniających, danych bankowych lub podjęcie pilnych działań, NIE klikaj w linki ani nie odpowiadaj. Natychmiast zgłoś to osobie odpowiedzialnej za bezpieczeństwo. |
✓ ZROBIĆ | ✗ NIE ROBIĆ |
Korzystać wyłącznie ze stron niezbędnych do wykonywania obowiązków służbowych | Łączenie się z publicznymi sieciami Wi-Fi bez korzystania z firmowej sieci VPN |
Korzystanie z firmowej sieci VPN podczas łączenia się z sieci zewnętrznych lub publicznych | Pobieranie oprogramowania, muzyki, filmów lub innych treści bez zezwolenia |
Zgłaszaj wszelkie nieprawidłowości w działaniu sieci lub sprzętu | Skanowanie portów, testowanie luk w zabezpieczeniach lub przeprowadzanie ataków wewnętrznych/zewnętrznych |
Należy natychmiast odłączyć nieautoryzowane urządzenia USB | Uzyskanie dostępu do sieci dla gości przy użyciu sprzętu firmowego |
Instalowanie nieautoryzowanych rozszerzeń przeglądarki | |
Podejmowanie jakichkolwiek działań, które mogłyby zagrozić dostępności lub integralności sieci |
Zainstalowanie nieautoryzowanego oprogramowania może spowodować wprowadzenie złośliwego oprogramowania, luk w zabezpieczeniach lub problemów związanych z licencjami, co może pociągać za sobą poważne konsekwencje prawne i techniczne.
✓ ZROBIĆ | ✗ NIE ROBIĆ |
Przed zainstalowaniem jakiegokolwiek oprogramowania należy zwrócić się na piśmie o uprzednią zgodę. | Instalowanie oprogramowania, aplikacji lub rozszerzeń bez pisemnej zgody |
Przed instalacją należy sprawdzić, czy oprogramowanie posiada ważną licencję. | Korzystanie z pirackich lub nielicencjonowanych wersji jakiegokolwiek oprogramowania |
Należy zawsze aktualizować system operacyjny i aplikacje. | Wyłącz program antywirusowy lub automatyczne aktualizacje systemu |
Sprawdzić zgodność oprogramowania z systemem korporacyjnym. | Przeprowadzanie testów lub prac rozwojowych z wykorzystaniem prawdziwych danych osobowych bez upoważnienia |
Korzystanie z systemów sztucznej inteligencji generatywnej (chatboty, asystenci, generatory treści itp.) wymaga szczególnej ostrożności w celu ochrony poufności informacji firmowych i osobistych.
✓ ZROBIĆ | ✗ NIE ROBIĆ |
Należy zwrócić się do odpowiedniej dyrekcji lub działu o uprzednią zgodę na korzystanie z narzędzi sztucznej inteligencji | Wprowadzanie danych osobowych klientów, pracowników lub osób trzecich do systemów opartych na sztucznej inteligencji |
Wykorzystywanie sztucznej inteligencji wyłącznie do zatwierdzonych zadań służbowych | Udostępnianie poufnych informacji, tajemnic handlowych lub własności intelektualnej za pomocą zewnętrznych narzędzi opartych na sztucznej inteligencji |
Podchodzić do wyników generowanych przez sztuczną inteligencję z krytycznym nastawieniem i je weryfikować | Publikowanie lub rozpowszechnianie treści wygenerowanych przez sztuczną inteligencję bez uprzedniej weryfikacji i zatwierdzenia |
Wykorzystywanie nieautoryzowanych narzędzi opartych na sztucznej inteligencji do podejmowania decyzji mających wpływ na ludzi |
Pamiętaj: Dane wprowadzone do zewnętrznego narzędzia opartego na sztucznej inteligencji mogą być przetwarzane i przechowywane przez osoby trzecie. Nigdy nie wprowadzaj informacji, których nie opublikowałbyś w kanale publicznym. |
Nośniki wymienne (USB, dyski zewnętrzne, karty SD) stanowią częstą drogę wycieku informacji i wprowadzenia złośliwego oprogramowania.
✓ ZROBIĆ | ✗ NIE ROBIĆ |
Złożyć wniosek o zezwolenie na wyniesienie jakiegokolwiek nośnika danych poza teren obiektu | Nielegalne wynoszenie nośników zawierających dane osobowe lub poufne |
Zawsze należy szyfrować zawartość nośników wymiennych zawierających dane wrażliwe | Podłączanie urządzeń USB nieznanego pochodzenia do sprzętu firmowego |
Rejestrowanie przypisania i zwrotu nośników wymiennych | Wyrzucanie lub utylizacja dysków twardych, pamięci USB lub innych nośników bez ich bezpiecznego zniszczenia |
Należy przekazać osobie odpowiedzialnej za bezpieczeństwo nośniki, które należy zutylizować |
Samo użycie klawisza „Del” lub przeciągnięcie pliku do kosza NIE powoduje bezpiecznego usunięcia danych. Usuwane jest jedynie odniesienie do pliku, ale jego zawartość pozostaje na dysku.
Incydent związany z bezpieczeństwem to każde zdarzenie, które narusza lub może naruszyć poufność, integralność lub dostępność informacji.
Przykłady zdarzeń, o których NALEŻY powiadomić osobę odpowiedzialną za bezpieczeństwo: • Utrata lub kradzież urządzeń lub dokumentów zawierających informacje • Nieuprawniony dostęp do systemów lub danych • Otrzymana wiadomość phishingowa lub kliknięcie w złośliwy link • Wykryto wirusa lub złośliwe oprogramowanie na komputerze • Przypadkowe wysłanie danych osobowych do niewłaściwego odbiorcy. Hasło ujawnione lub naruszone |
Kopie zapasowe stanowią gwarancję, że organizacja będzie w stanie odzyskać swoje dane w razie wystąpienia incydentu. Za zapewnienie ich prawidłowego funkcjonowania odpowiedzialni są wszyscy.
Wersja | Data | Opis |
V.1.0 | 2026 | Wersja wstępna |
Uwaga
Forma
Kompatybilność
Zastosowanie praktyczne
Wyjątek