Zarządzenie nr 216/04

Prezydenta Miasta Suwałk
z dnia 22 września 2004r.

w sprawie zasad ochrony i zabezpieczenia danych księgowych.

	Na podstawie § 35 ust. 1 pkt 1 Regulaminu Organizacyjnego Urzędu Miejskiego w Suwałkach  (załącznik do Zarządzenia nr 310/03 Prezydenta Miasta Suwałk z dnia 31 grudnia 2003r. z późn. zm.) zarządzam co następuje:

§ 1.

Ustalam zasady ochrony i zabezpieczenia danych księgowych.

§ 2.

Administratorem logicznej sieci komputerowej w Urzędzie Miejskim w Suwałkach jest informatyk, (zwany administratorem sieci). Do jego obowiązków należy administrowanie siecią komputerową i kontrola stanu technicznego tej sieci. Pełni on jednocześnie obowiązki administratora bezpieczeństwa informacji.

§ 3.

Administrator bezpieczeństwa informacji jest odpowiedzialny za bezpieczeństwo danych osobowych gromadzonych i przetwarzanych w systemach informatycznych.
Do obowiązków administratora bezpieczeństwa informacji należy w szczególności:
l. Ustalenie pracownikom Wydziału Finansowego, upoważnionym przez Prezydenta Miasta do przetwarzania danych finansowych w systemie informatycznym, identyfikatorów i haseł.
2. Ustalenie częstotliwości zmiany haseł oraz wprowadzenie do systemu danych dotyczących przyjętej częstotliwości zmiany haseł.
Hasła zmienia użytkownik po jego wygaśnięciu lub przy każdym podejrzeniu o kompromitację hasła. Przy stwierdzeniu próby włamania do systemu lub podejrzeniu o kompromitację hasła, administrator sieci blokuje konto i powiadamia użytkownika oraz Prezydenta Miasta.
3. Zabezpieczenie urządzeń i nośników informatycznych służących do przetwarzania danych księgowych, zasilanych energią elektryczną, przed utratą tych danych, spowodowaną awarią zasilania lub zakłóceniami w sieci zasilającej.
4. Zabezpieczanie nośnika informacji, kopii zapasowych, tak aby  uniemożliwić dostęp do nich osobom nieuprawnionym lub przed ich uszkodzeniem bądź zniszczeniem.
6.	Ustalanie zasad dostępu do systemu, które powinny uwzględniać (w zależności od stopnia poufności informacji), w szczególności:
•	sposób zabezpieczenia komputera przed włączeniem,
•	sposób zabezpieczenia dostępu do komputera przy czasowym opuszczeniu  stanowiska pracy,
•	zasady i sposób zmiany haseł w aplikacjach.
7. Wykonywanie kopii bezpieczeństwa danych księgowych  1 raz w ciągu dnia po zakończeniu pracy Urzędu. Kopia jest tworzona automatycznie na  urządzeniu taśmowym. Na każdy dzień tygodnia jest tworzona na innej taśmie.
8.	Przenoszenie danych księgowych na trwały (niekasowalny) nośnik w terminach kwartalnych - po zakończeniu każdego kwartału.
•	Zasady zabezpieczeń odnoszą się do kopii awaryjnych w tym samym zakresie jak do danych źródłowych.
•	Kopie awaryjne nie powinny być przechowywane w tych samych pomieszczeniach, w których przechowywane są zbiory danych księgowych eksploatowane na bieżąco.
•	Aktualne kopie bezpieczeństwa i aktualne kopie archiwalne powinny być przechowywane w zamkniętych na klucz szafach lub w szafach tzw. pancernych, jeśli takie znajdują się w danej komórce organizacyjnej.
•	Kopie awaryjne należy:
-	okresowo sprawdzać pod kątem ich dalszej przydatności do odtwarzania danych w przypadku awarii systemu,
-	bezzwłocznie usuwać po ustaniu ich użyteczności.
•	Kopie archiwalne z zakończenia lat obrachunkowych są przechowywane:
-	przez 6 lat dla danych finansowo – księgowych,
-	przez 50 lat dla danych kadrowo – płacowych (kartoteka placowa i akta osobowe),
9.	Przeprowadzanie kontroli antywirusowej z taką samą częstotliwością jak archiwizacja danych, a ponadto przy każdym podejrzeniu zainfekowania wirusem.
W celu zmniejszenia zagrożeń wirusami, użytkownicy nie powinni uruchamiać aplikacji przyniesionych z zewnątrz, ani pobranych z internetu.
Stanowiska mające możliwość pobierania plików z Internetu powinny być wyposażone w monitor (program) antywirusowy.
10. Przeprowadzanie przeglądów sieci i konserwacji systemu informatycznego każdorazowo przy aktualizacji oprogramowania, przy zakończeniu okresów sprawozdawczych. przy awariach systemu, po zauważeniu nieprawidłowej pracy aplikacji, sprzętu.
11. W razie stwierdzenia naruszenia systemu informatycznego administrator bezpieczeństwa informacji obowiązany jest:
•	zabezpieczyć ślady pozwalające na określenie przyczyn naruszenia systemu informatycznego,
•	przeanalizować i określić skutki naruszenia systemu informatycznego,
•	określić czynniki, które spowodowały naruszenie tego systemu,
•	dokonać niezbędnych korekt w systemie informatycznym polegających na zabezpieczeniu systemu przed ponownym jego naruszeniem.
•	powiadomić Prezydenta Miasta o naruszeniu systemu informatycznego, jego przyczynach i skutkach oraz podjętych działaniach korygujących system.
§ 4.
Obowiązki Naczelnika Wydziału Finansowego w zakresie ochrony danych finansowych:
•	założenie ewidencji osób upoważnionych do przetwarzania danych finansowo-księgowych oraz aktualizację tej ewidencji,
•	wystawienie  imiennych upoważnień do przetwarzania danych finansowo-księgowych i po ich podpisaniu dołączenie do akt osobowych pracowników zgodnie z ewidencją,
•	wprowadzenie do indywidualnych zakresów czynności pracowników zatrudnionych przy przetwarzaniu danych finansowych zapisów określających zakres odpowiedzialności tych osób za ochronę danych przed niepowołanym dostępem, nieuzasadnioną modyfikacją lub zniszczeniem, nielegalnym ujawnieniem lub pozyskaniem - w stopniu odpowiednim do zadań danej osoby przy przetwarzaniu danych finansowych,
•	sporządzenie  wykazu pomieszczeń, w których są przetwarzane dane finansowe, w tym w systemie informatycznym.
•	przeprowadzenie wraz z administratorem bezpieczeństwa informacji, okresowych kontroli prawidłowego zabezpieczenia ww. pomieszczeń oraz przedłożenie wniosków w tej sprawie Prezydentowi Miasta.
§ 5.
Zasady korzystania z pomieszczeń Urzędu Miejskiego, w których są przechowywane i przetwarzane dane finansowe:
1.	Dane finansowo-księgowe przetwarzane są w wydzielonych do tego celu pomieszczeniach.
2.	Przebywanie wewnątrz pomieszczeń, o których mowa w punkcie l osób nieupoważnionych przez pracodawcę do dostępu do danych finansowych jest dopuszczalne tylko w obecności osoby zatrudnionej przy przetwarzaniu tych danych.
3.	Pomieszczenia, w których przetwarzane są dane finansowe, powinny być zamykane na czas nieobecności w nich osób zatrudnionych przy przetwarzaniu danych, w sposób uniemożliwiający dostęp do nich osób trzecich.
4.	Jeżeli istnieją odpowiednie możliwości techniczne, ekrany monitorów stanowisk dostępu do danych finansowych, powinny być automatycznie wyłączane po upływie ustalonego przez administratora bezpieczeństwa informacji czasu nieaktywności użytkownika.
§ 6.
Zasady likwidacji i przekazywania do naprawy lub innym podmiotom urządzeń służących do przetwarzania danych księgowych:
1.	Urządzenia, dyski lub inne informatyczne nośniki, zawierające dane finansowe, przeznaczone do likwidacji, pozbawia się wcześniej zapisu tych danych, a w przypadku gdy nie jest to możliwe, uszkadza się w sposób uniemożliwiający ich odczytanie.
2.	Urządzenia, dyski lub inne informatyczne nośniki, zawierające dane finansowe, przeznaczone do przekazania innemu podmiotowi (poza	Urząd), pozbawia się wcześniej zapisu tych danych.
3.	Urządzenia, dyski lub inne informatyczne nośniki danych, przeznaczone do naprawy, pozbawia się przed naprawą zapisu tych danych albo naprawia się je pod nadzorem osoby upoważnionej przez Prezydenta Miasta lub jego Zastępcę.
§ 7.
Wszyscy pracownicy	mający dostęp do systemu informatycznego lub przetwarzający dane finansowe są zobowiązani do zachowania tajemnicy służbowej o tych danych oraz powinni dołożyć szczególnej staranności w celu ochrony tych danych przed dostępem osób trzecich.
§ 8.
Pracownicy nieprzestrzegający przepisów prawnych o ochronie danych finansowych podlegają przepisom karnym określonym w art. 49-54 ustawy o ochronie danych osobowych oraz karom porządkowym zgodnie z przepisami k. p.
§ 9.
Zarządzenie wchodzi w życie z dniem podpisania.