Temat: ABI - jak ustawa powinna definiować zadania i uprawnienia...

http://superabi.pl/blog/redaktor/debata-o-przyszlosci-...

W każdej firmie, w której przetwarza się dane osobowe, należy nadzorować ich bezpieczeństwo. Z konstrukcji zapisu ustawowego wynika, że ustawodawca uznał, iż przede wszystkim należy powołać administratora bezpieczeństwa informacji, a odstąpić od tego można jeśli administrator zdecyduje się pełnić nadzór samodzielnie.

art. 36 ust. 3.
Administrator danych wyznacza administratora bezpieczeństwa informacji, nadzorującego przestrzeganie zasad ochrony, o których mowa w ust. 1, chyba że sam wykonuje te czynności.

ABI nie ma, wbrew obiegowej opinii, za zadanie kontrolować przedsiębiorcy i działać, jakby był „wysłannikiem” GIODO. Ma on sprawować w imieniu przedsiębiorcy nadzór, wykonywać zadania, które normalnie musiałby wykonać przedsiębiorca, być jego prawą ręką w kwestii zabezpieczenia danych osobowych.

Wyznaczenie administratora bezpieczeństwa informacji nie zdejmuje z przedsiębiorcy odpowiedzialności za całokształt stosowania stosowania zabezpieczeń. ABI wykonuje nadzór w imieniu firmy, w przypadku, gdy nie wywiązuje się ze swoich zadań, nie pełni skutecznego nadzoru, to wobec prawa odpowiedzialność za to ponosi przedsiębiorca (administrator danych). Dlatego przedsiębiorca powinien umożliwić mu efektywnie pełnić swoje zadania.

ABI powinien być osobą fizyczną - założenie takie być może ma swoje źródło w Dyrektywie 95/46/WE, w której w motywie 49 preambuły wspomina się o osobie fizycznej („a person appointed by the controller”), stanowiącej pierwowzór administratora bezpieczeństwa, nazywaną dalej „urzędnikiem ds. ochrony danych osobowych („personal data protection official”).

Przepisy ustawy nie określają zbyt szczegółowo zakresu obowiązków ABI, zamiast tego odwołano się do pojęcia „nadzór” wskazując, że ABI nadzoruje przestrzeganie zasad ochrony danych osobowych.

Pojęcie „nadzór” oznacza kontrolę połączoną z możliwością władczego oddziaływania. Jeśli tak na to spojrzeć, to najważniejsze zadania związane z nadzorem będą następujące:
- kontrola środków zabezpieczenia danych osobowych (zabezpieczenia pomieszczeń, urządzeń, nośników, zabezpieczenia informatyczne, zabezpieczenia organizacyjne, administracyjne),
- możliwość skutecznego reagowania w sytuacjach nieprzestrzegania zasad ochrony danych osobowych w celu naprawienia sytuacji.

"Czysty" ustawowy ABI pełni wyłącznie nadzór. Można by powiedzieć, że jest swojego rodzaju jakby audytorem wewnętrznym. Przykładowo pod pojęciem nadzoru nie mieści się wysyłanie zgłoszeń wniosków rejestracyjnych do GIODO czy przygotowanie Polityki Bezpieczeństwa. Dla przedsiębiorcy (Administratora danych osobowych) istotne jest, aby ktoś „spinał” całość zagadnień związanych z ochroną danych osobowych. Dość często od administratora bezpieczeństwa oczekuje, się, że nie tylko zajmie się nadzorem, ale że także przejmie więcej spraw dotyczących danych osobowych, tak aby przedsiębiorca nie musiał się tym „martwić”. Stąd w praktyce obowiązki są szersze niż nadzór.

Teoretycznie może występować konflikt interesów, z jednej strony ABI wdraża zabezpieczenia, a następnie je ocenia. Ustawodawca zdaje się akceptować taki stan rzeczy, choćby przez to, że zezwala na pełnienie nadzoru przez samego administratora. Ponadto dodatkowym narzędziem oceny jest przecież kontrola GIODO.

Po takim wstępie chciałbym zachęcić Was, drodzy Państwo, do dyskusji - jaki powinien być "nowy administrator bezpieczeństwa informacji" . Co powinna o nim mówic ustawa, jakie dawać prawa i jakie zadania definiować? Jakim ABI-m chcielibyście być?

Temat: ABI - jak ustawa powinna definiować zadania i uprawnienia...

Leszku, myślę, że tutaj możemy doszukać się pewnej analogii systemów jakie funkcjonują w firmach. Chodzi mi o ISO.

Właścicielami procesów w ochronie danych osobowych nie musi być wcale ABI. Rejestry dotyczące osób upoważnionych wraz z samymi upoważnieniami - mogą robić kadry.

Kwestie związane z właściwym, fizycznym zabezpieczeniem zbiorów - człowiek od ochrony fizycznej (w zakresie ochrony przed zaborem i ochrony obszaru przetwarzania przed wstępem osób nieuprawnionych) i gość właściwy od bezpieczeństwa pożarowego (w zakresie ryzyka zniszczenia w wyniku pożaru lub innych zagrożeń miejscowych).

administrator systemu informatycznego - to z reguły IT - w zakresie ochrony i właściwego przetwarzania DO w systemach.

Itd...

W ramach tak ułożonego systemu bezpieczeństwa, każdy z nich staje się właścicielem procesu - swojego procesu. Dokumentacje ISO również ma na głowie pełnomocnik ISO - tak i tutaj systemową może mieć ABI.

Rola ABI w tym momencie sprawdza się do nadzoru nad bezpieczeństwem danych osobowych, w sposób taki, że nadzoruje prawidłowość realizowanych i przypisanych właścicielom procesów. Może to robić za pomocą niezależnych audytorów bezpieczeństwa danych osobowych - np informatyk będzie audytował prawidłowość utrzymania w aktualności planu ochrony i instrukcji bezpieczeństwa pożarowego, gość od fizycznej, może zaudytować właściwe wykonywanie zadań przez użytkowników. Wszak przy dobrze napisanej procedurze sprawdzają zgodność z określonymi zasadami - tymi stworzonymi przez zespół - ABI+właściciel procesu.

Istotą audytu wewnętrznego będzie to, co jest podstawą stałego doskonalenia - po pierwsze informacja czy system został wdrożony. Ostatnio szkoliłem zespół audytorów wewnętrznych właśnie w tak ułożonej organizacji bezpieczeństwa. Przypomniałem, że pierwszym zadaniem po powołaniu aw w zakresie bezpieczeństwa danych osobowych jest POTWIERDZENIE, że założony system funkcjonuje zgodnie z zaplanowaną i zmaterialziowaną w dokumentacji koncepcją.

Dopiero wtedy można go zmieniać.

I teraz przy tym przydługim poście - nadzór ABI jest dość prosty. Program audytów wewnętrznych na rok, tak, aby w ciągu roku sprawdzić WSZYSTKIE procesy w zakresie ochrony danych osobowych. Np:
styczeń: prawidłowość upoważnień (nadawanie, zmiana, cofanie)
luty: sprawdzenie zabezpieczeń
marzec: urządzenia mobilne

Do tego nadzór nad aktualnością dokumentacji - w swoich dokumentach - właściciele procesów
Nadzór nad systemową - ABI, z zapisem, że co najmniej raz w roku przegląd aktualności. Bo z ta jego jest mały problem. Jeśli jest jedynym specjalistą, to prawidłowość jego działań można zweryfikować tylko za pomocą audytu strony trzeciej (zewnętrznego).

Tutaj, w przypadku dobrego powołania wewnętrznych, można iść kawałek dalej. Wewnętrzni mogą również być AW strony drugiej, wykonywanego u procesorów. I wtedy nadzór nad powierzonymi w miarę fajnie funkcjonuje.

Temat: ABI - jak ustawa powinna definiować zadania i uprawnienia...

Chciałbym zauważyć, że bezpieczeństwo informacji to nie tylko ochrona danych osobowych w myśl ustawy o ochronie danych osobowych. Można wręcz powiedzieć, że jest to tylko niewielka część działalności związanej z zarządzaniem bezpieczeństwem informacji.

ABI powinien być przede wszystkim menedżerem, który współpracuje (sam bądź w ramach zespołu) ze specjalistami różnych dziedzin (HR, prawo, zabezpieczenie mienia, teleinformatyka). Menedżerem, który będzie potrafił wydobyć od specjalistów wiedzę na temat ich działki, a następnie wszystko powiązał w taki sposób, aby stworzyć jeden przejrzysty i nieobciążający firmy system. Nie jest sztuką powiedzieć informatykowi, żeby wszystko zablokował, trzeba temu informatykowi powiedzieć, jakie ma nadać uprawnienia dostępu, aby odpowiednie informacje były w prawidłowy sposób zabezpieczone.

Temat: ABI - jak ustawa powinna definiować zadania i uprawnienia...

Zaraz wyjdzie że sobie plusy za plusy dajemy ;-)))

Ale trudno się nie zgodzić. Kiedyś zresztą napisałem artykuł w polemice do innego:
http://grzegorzk.business-security.pl/2011/02/porady-c...

Swoją drogą teraz po jakimś czasie zastanowiłem się nad nieco.. dziwnym zapisem ustawy. Z jednej strony ADO odpowiada za to, żeby wdrożyć, z drugiej ABI nadzoruje wdrożenie. ;-)))

Natomiast jest jeszcze jedna drobna sprawa. Zgadzam się w pełni, ze ma być managerem, ale warto też pamiętać, że w niektórych firmach nie ma działu ani możliwości. Więc moim zdaniem analogia nieco lepsza - służbą BHP. Zwłaszcza, że kierunek zmian w ustawie jest na ilość zatrudnionych - jako podstawa powołania. Podobnie służba BHP - od ilości.

Temat: ABI - jak ustawa powinna definiować zadania i uprawnienia...

Menedżerem czy specjalistą o cechach menedżerskich - gra słów :)
Firma, która tego naprawdę potrzebuje i jest dobrze zorganizowana, będzie musiała mieć taką osobę, choćby nawet miała zajmować to stanowiska na którąś dziesiątą etatu.
Zbyt dużo firm, które działają "zgodnie z zasadami bezpieczeństwa" tak naprawdę sobie szkodzi. Przykładów takiego działania można mnożyć, ale w każdym przypadku zawini człowiek. Więc może taki specjalista, gdyby nie miał już być samodzielny, powinien być częścią służb HR? Będzie mógł w odpowiedni sposób prowadzić politykę szkoleń w tym zakresie.

Temat: ABI - jak ustawa powinna definiować zadania i uprawnienia...

O tym też kiedyś pisałem ;-)))

http://grzegorzk.business-security.pl/2008/11/bezpiecz...

A nie zrozumieliśmy się chyba. Ja krytykuję polski BHP. W organizacjach i korporacjach zachodnich "safety" jest bardzo istotnym elementem. Tylko u nas pan Zdzisio, który robi szkolenie na wejściu, potem co jakiś czas i potem sobie coś tam dłubie (nikt do końca nie wie co), raz na rok jakiś raporcik składa - to jest BHPowiec. Taki cichy, który po prostu jest i jak coś rypnie to go się zawezwie.

Manager - specjalista, dla mnie to nie do połączenia. Raczej manager "bez teki", jak minister bez teki. Czyli zarządzający danym obszarem, mając do pomocy zespół. A zespół, taki podstawowy od bezpieczeństwa informacji składa się z:
1. ABI - jako wodzu
2. Specjalista ds ochrony fizycznej (od ryzyk związanych z wtargnięciem i przestępstwami i wykroczeniami przeciw mieniu - w tym kradzieży sprzętu, z "wynikiem" w postaci kradzieży danych osobowych)
3. Inspektor/specjalista ochrony ppoż, w zakresie bezpieczeństwa pożarowego i innych zagrożeń miejscowych.
4. Administrator sieci (systemu informatycznego)

Ale mogą tez być (jak większa firma)
5. Administratorzy zbiorów, czyli ci, co odpowiadają za właściwe przetwarzanie danych osobowych.
6. Audytorzy wewnętrzni bezpieczeństwa informacji (jeśli firma duża i są powołani)
7. Liderzy bezpieczeństwa informacji
8. HR w szkoleniach (co już było)

Tak z pamięci. Do tego kwestia bezpieczeństwa i zabezpieczeń, które przewijają się w innych "kwitach" firmowych, które winny być zidentyfikowane jako zabezpieczenia. Ot... zamykanie okien, czy wyłączanie odbiorników prądu - co znajduje się w regulaminach pracy.

Zabezpieczenia komputerów - które wynikają z logistyki i zasad korzystania ze sprzętu przenośnego.

Chodzi mi o to, że takie rozwiązania widziałem zarówno w BHP, pożarówce, ale jakoś mniej w ochronie danych osobowych i bezpieczeństwie informacji. Co nie oznacza, że być może za około 1-1,5 roku zobaczę (długo się buduje takie systemy).Grzegorz K. edytował(a) ten post dnia 14.10.12 o godzinie 10:42

Temat: ABI - jak ustawa powinna definiować zadania i uprawnienia...

Przeczytałem jeszcze raz tytuł.. i stwierdzam, że ustawa nie powinna aż tak bardzo regulować, jak napisaliśmy powyżej. Raczej jak powinny uczyć uczelnie i szkoły, czy tez kursy - jak wykonywać zadania ABI, aby były właściwie wykonane i do tego zgodnie z działaniem organizacji.

Temat: ABI - jak ustawa powinna definiować zadania i uprawnienia...

Pytanie o to, jakie zadania powinien wykonywać ABI i jakie powinien mieć uprawnienia, jest pytaniem człowieka, który wybudował ogrodzenie terenu i teraz zastanawia się, co powinno ono zabezpieczać.
Wymyślono kiedyś taką funkcję, a teraz zastanawiamy się, czym osoba ją pełniąca powinna się zajmować i w związku z tym, jakie powinna mieć cechy. A ja się pytam, czy ABI jest w ogóle potrzebny? W każdym razie ABI, którego zakres zadań byłby jakoś odgórnie regulowany.

Dajemy organizacji obowiązek zabezpieczania danych i narzucamy sposób ich zabezpieczenia, a potem dziwimy się, że są organizacje, sposobu działania których nie przewidzieliśmy.
To tak jak z par. 7 rozporządzenia – wymyślono, jakie jak mają dziać aplikacje, żeby zapewnić dopełnianie obowiązku informacyjnego i teraz sprawdzamy działania aplikacji, a nie to, czy obowiązek informacyjny jest dopełniany. A jeżeli organizacja zapewni inne, działające rozwiązanie? Nic z tego, ma być jak w rozporządzeniu…

Zastanawiamy się jaki ma być zakres zadań ABI. A ja uważam, że powinniśmy oczekiwać, że organizacja zapewni bezpieczeństwo danych, dopełni obowiązków względem osób, których dane przetwarza, itd. Ale nie narzucajmy w jaki sposób to zrealizuje. Dajmy jej odpowiednie narzędzia, np. opublikowany na stronie GIODO, zalecany zakres obowiązków, osoby nadzorującej bezpieczeństwo danych – jeżeli organizacja zdecyduje się taką osobę zatrudnić.

Jeżeli będziemy chcieli narzucić odgórne rozwiązanie, to okaże się, że Pani Kazia, która prowadzi warzywniak i zatrudnia dwóch pracowników, będzie musiała stworzyć dział zajmujący się:
-tworzeniem systemu,
-nadzorowaniem funkcjonowania systemu,
-zapewnieniem funkcjonowania w zgodzie ze wszystkim przepisami ich dotyczącymi,
-prowadzeniem szkoleń dla pracowników.
No dobrze, to nie może być jeden dział, bo przecież będziemy mieli konflikty interesów...
Co nie oznacza, że nie istnieją organizacje, w których stworzenie takiego działu byłoby jak najbardziej konieczne. Tylko, że ustawodawca tego nie przewidzi. Nie ma skutecznej możliwości narzucenia jednego rozwiązania, działającego dla każdej organizacji. Moim jednak zdaniem, każda organizacja znajdzie właściwe rozwiązanie, jeżeli jasno powiemy jej, jakie są jej obowiązki i damy odpowiednie narzędzia.
Trochę więcej na ten temat pisałem kilka miesięcy temu tutaj - http://www.klubabi.odoradca.pl/2012/01/abi-terazniejsz...

Podchodząc do tematu bardziej pragmatycznie.
W miarę podoba mi się rozwiązanie zaproponowane w projekcie unijnego rozporządzenia. ABI będzie musiał być wyznaczony w organizacjach odpowiednio dużych lub przetwarzających większe ilości danych. Dostanie też narządzie w formie dwuletniej „nieusuwalności”. Bardzo obawiam się o los niektórych ABI - jeżeli planowana nowelizacja, o której rozmawialiśmy niedawno, zobowiąże ich do większego kontrolowania działań ADO, nie dając w zamian żadnych narzędzi. W wielu, organizacjach, jeżeli nie w większości, nic w zakresie ochrony danych się nie zmieni. I nie mówię tu o organizacjach, z którymi spotykają się osoby zajmujące się bezpieczeństwem informacji, ale o tysiącach pozostałych...
Powinniśmy się zastanowić, nie nad tym jak byśmy chcieli żeby wyglądała nasza praca, ale jak w ogóle umożliwić realizowanie obowiązków ABI w tych organizacjach.

Temat: ABI - jak ustawa powinna definiować zadania i uprawnienia...

Jarosław Żabówka:
Pytanie o to, jakie zadania powinien wykonywać ABI i jakie powinien mieć uprawnienia, jest pytaniem człowieka, który wybudował ogrodzenie terenu i teraz zastanawia się, co powinno ono zabezpieczać.
Wymyślono kiedyś taką funkcję, a teraz zastanawiamy się, czym osoba ją pełniąca powinna się zajmować i w związku z tym, jakie powinna mieć cechy. A ja się pytam, czy ABI jest w ogóle potrzebny? W każdym razie ABI, którego zakres zadań byłby jakoś odgórnie regulowany.

Jarku, to nie jest pytanie z zakresu czy jest potrzebny, a bardziej przewrotne "jak jest potrzebny". Przepraszam, nieco neologizm, ale często takie pytanie mi się nasuwa.

Dajemy organizacji obowiązek zabezpieczania danych i narzucamy sposób ich zabezpieczenia, a potem dziwimy się, że są organizacje, sposobu działania których nie przewidzieliśmy.
To tak jak z par. 7 rozporządzenia – wymyślono, jakie jak mają dziać aplikacje, żeby zapewnić dopełnianie obowiązku informacyjnego i teraz sprawdzamy działania aplikacji, a nie to, czy obowiązek informacyjny jest dopełniany. A jeżeli organizacja zapewni inne, działające rozwiązanie? Nic z tego, ma być jak w rozporządzeniu…

Tylko mam takie małe pytanie. Który przepis - ale wprost i bez interpretacji, będzie sankcją karną za niezastosowanie zasad określonych w rozporządzeniu?

49 - brak podstaw
50 - uchylony
51 - mówimy o ochronie przed uwaga - udostępnieniem lub samym udostępnieniu.
52 - obowiązek zabezpieczenia przed zabraniem przez osobę nieuprawnioną, zniszczeniem lub uszkodzeniem.
53 - naruszenie obowiązku rejestracyjnego
54 - naruszenie obowiązku informacyjnego
54a - utrudnienie działania.

Nie widzę zapisu np takiego:

Kto nie spełnia wymagań określonych w rozporządzeniu... Bo o bezpieczeństwie to ja chętnie podyskutuję, zwłaszcza, że przepisy karne nie mówią o niespełnieniu wymagań ustawy, a o braku zabezpieczenia przed określonym katalogiem zagrożeń.

Tylko też nasuwa mi się pewna kwestia. Czy pewne sprawy i ich odpowiedzialność to może być w rozporządzeniu określone?

Oraz sprawa bardziej moim zdaniem istotna, może pan Wojciech wpadnie i rozstrzygnie, liczę też na prawników. Czy MSWiA jest organem właściwym do wydania rozporządzenia w sprawie zasad bezpieczeństwa i przetwarzania danych osobowych w takim zakresie, gdzie organem wiodącym jest GIODO.

Coś jak z fotoradarami - okazało się, że jednak nie MSWiA a Infrastruktura i transport.

Zastanawiamy się jaki ma być zakres zadań ABI. A ja uważam, że powinniśmy oczekiwać, że organizacja zapewni bezpieczeństwo danych, dopełni obowiązków względem osób, których dane przetwarza, itd. Ale nie narzucajmy w jaki sposób to zrealizuje. Dajmy jej odpowiednie narzędzia, np. opublikowany na stronie GIODO, zalecany zakres obowiązków, osoby nadzorującej bezpieczeństwo danych – jeżeli organizacja zdecyduje się taką osobę zatrudnić.

Jarku, w przypadku ochrony osób i mienia KGP, konkretnie prewencja wydały metodykę uzgadniania planu ochrony obiektów, obszarów i urządzeń podlegających obowiązkowej ochronie. Mimo, że jest to akt wewnętrzny, służący policjantom z WPA którzy plany uzgadaniają, jednak przyjęło się w branży, że plan powinien być napisany i prowadzony zgodnie z Metodyką.

Może w takim kierunku pójść?

Powiem szczerze, że mam kilka wzorów polityki, teraz już zszedłem do 15 stron plus instrkucje/procedury. Ale zawsze zastanawiam się wraz z zespołem z którym robimy robotę, czy aby na pewno wszystko...

Jeżeli będziemy chcieli narzucić odgórne rozwiązanie, to okaże się, że Pani Kazia, która prowadzi warzywniak i zatrudnia dwóch pracowników, będzie musiała stworzyć dział zajmujący się:
-tworzeniem systemu,
-nadzorowaniem funkcjonowania systemu,
-zapewnieniem funkcjonowania w zgodzie ze wszystkim przepisami ich dotyczącymi,
-prowadzeniem szkoleń dla pracowników.
No dobrze, to nie może być jeden dział, bo przecież będziemy mieli konflikty interesów...
Co nie oznacza, że nie istnieją organizacje, w których stworzenie takiego działu byłoby jak najbardziej konieczne. Tylko, że ustawodawca tego nie przewidzi. Nie ma skutecznej możliwości narzucenia jednego rozwiązania, działającego dla każdej organizacji. Moim jednak zdaniem, każda organizacja znajdzie właściwe rozwiązanie, jeżeli jasno powiemy jej, jakie są jej obowiązki i damy odpowiednie narzędzia.
Trochę więcej na ten temat pisałem kilka miesięcy temu tutaj - http://www.klubabi.odoradca.pl/2012/01/abi-terazniejsz...

Jarku - ISO 9001 może działać wszędzie. Mimo pewnych schematów - nadal zostaje ogrom możliwości i wyłączeń. A widziałem ISO 9001 na audytach w takich firmach, zę w życiu bym nie przypuszczał. Ale jednak dało się.

Podchodząc do tematu bardziej pragmatycznie.
W miarę podoba mi się rozwiązanie zaproponowane w projekcie unijnego rozporządzenia. ABI będzie musiał być wyznaczony w organizacjach odpowiednio dużych lub przetwarzających większe ilości danych. Dostanie też narządzie w formie dwuletniej „nieusuwalności”. Bardzo obawiam się o los niektórych ABI - jeżeli planowana nowelizacja, o której rozmawialiśmy niedawno, zobowiąże ich do większego kontrolowania działań ADO, nie dając w zamian żadnych narzędzi. W wielu, organizacjach, jeżeli nie w większości, nic w zakresie ochrony danych się nie zmieni. I nie mówię tu o organizacjach, z którymi spotykają się osoby zajmujące się bezpieczeństwem informacji, ale o tysiącach pozostałych...
Powinniśmy się zastanowić, nie nad tym jak byśmy chcieli żeby wyglądała nasza praca, ale jak w ogóle umożliwić realizowanie obowiązków ABI w tych organizacjach.

A może zamiast narzucać biznesowi (głównie) oraz administracji, spróbować ich zrozumieć? Ja się bardzo sprzeciwiam nurtowi compliance, czyli zgodności. Odwalone potem jak w BHP, czy księgowości. BHP musi być, ostatnio wstępne widziałem już za 9,90.

BO MUSI BYĆ.

A może zamienić - MUSI BYĆ, na redukuje ryzyka? Chroni wasze dane? Chroni wasz biznes?

Z mojej strony bardzo obawiam się regulacji nadmiernych. Sam napisałeś czym to będzie skutkować. Więc tym bardziej pytanie - czy naprawdę chcemy iść w kierunku marazmu BHP? jest, bo być musi i zamiast rzeczywiście działających systemów - "reksio" zwany czasem gościem z pieczątką. Który klepnie wszystko, a potem jakoś będzie...

Temat: ABI - jak ustawa powinna definiować zadania i uprawnienia...

Moim skromnym zdaniem rozporządzenie unijne COM(2012) 11 final, w zasadzie_ odpowiada na postawione pytania. Zarówno pierwsze w wątku, jak i kolejne.
To co jest istotne to:
a) konkretyzuje wymagania wobec osoby "inspektora ochrony danych", jej wiedzę ale i kto takiego musi powołać.
b) konkretyzuje rolę, miejsce i zakres odpowiedzialności oraz daje pewne narzędzia IDO (pewna niezależność - tylko zarząd i decyzyjność).
Należy też wziąć pod uwagę, że podejścia do ochrony danych są różne. Niektóre firmy dość swobodne traktują ten temat i rolę obecnego ABI przydzielają jako dodatkowy zakres obowiązków a inne firmy powołują konkretna osobę o konkretnej wiedzy i konkretnie wysoko umocowaną w strukturze organizacyjnej. To oczywiste. Nie mniej jednak, często brakuje wiedzy w zasadzie po co taki człowiek ma być. Wyjątkiem mogą być niektóre firmy mające siedziby w krajach w których temat ochrony prywatności jest na wysokim poziomie. Albo którymi zarządzają osoby w temacie ochrony danych osobowych lub bezpieczeństwa w ogóle, zorientowane ;-)

Cieszyć może to, że we wspomnianym rozporzadzeniu wreszcie dostrzeżono, że na stanowisko inspektora ochrony danych, wyznacza się osobę, cyt. "na podstawie jego kwalifikacji zawodowych oraz w szczególności jego wiedzy specjalistycznej z zakresu prawa ochrony danych, praktyki i zdolności do wykonywania zadań". Nie ma tu stwierdzeń "powinien", "można", itp. Ma po prostu spełniać konkretne wskazane wymogi i tyle.
Cieszy też, że dostrzeżono, że osoba taka musi łączyć wiedzę prawniczą z wiedzą zakresu IT, a co jest i zauważalne na studiach prawniczych. Sądzę, że chodzi o przeważającą wiedzę z zakresu prawa a nie IT, co dotychczas często ma miejsce w przypadku ABI. Jest też zdanie drugie w którym umożliwia się ustalanie tego balansu zależnie od profilu działalności. I to również jest OK, jak i to co w kolejnym punkcie, że obowiązki zawodowe tej osoby nie mogą kolidować.

Generalnie, wielkość firmy lub profil jej działalaności determinuje także ilość pracy ABI/IOD. I to rozporządzenie unijne określa w art. 35.
Rola ABI/IDO jest rolą zarządzającą i koordynującą. Trudno jest mi się zgodzić z twierdzeniem, że wszystkie obowiązki ABI/IDO może rozdzielić bez szkody dla ochrony danych. Dyskusje jakim można się przysłuchać w pozornie prostych sprawach z zakresu ochrony danych,a nawet prowadzone przez osoby z branży w której bezpieczeństwo informacji nie jest czarną magią, świadczą, że temat ochrony danych osobowych nie jest prostym aby o tak, sobie podzielić na kilka osób, działów, departamentów, których nikt nie koordynuje, albo inaczej - nie posiada specjalistycznej wiedzy pozwalającą na takie koordynowanie.
Rudolf Ihering uważał, że "prawników od reszty społeczeństwa różni nie tylko znajomość prawa ale i interpretowania go". Mimo różnic w przepisach różnych państw. Tym samym, uzasadnia to powyższe, iż rozdzielenie obowiązków ABI, ergo, brak potrzeby takiej osoby, jest błędem. Według cytowanego rozporządzenia - dość kosztownym.

Zakładając, że IDO będzie prawnikiem z wiedzą z zakresu IT a firma dla której pracuje jest spora i także sporo jest przetwarzanych danych, to i pracy będzie wiecej. I to nie tylko z zakresu samego nadzoru. A trzeba też zwrócić uwagę, że rozwój technologii i zagrożeń wszelakich, powoduje _konieczność_ sprawnego zarządzania ochroną danych i wybiegania w przyszłość ;-)
I to nie tylko audyty i nadawanie upoważnień ale i tworzenie lub opiniowanie umów, regulaminów (np. konkursów, loterii, zakładowych), kodeksów etyki, itp. Oczywiście zależnie od firmy. A tu ABI/IDO bez wsparcia konkretnej wiedzy prawniczej, może się rozbić. I to czasem dotkliwie, czytając niektóre wyroki, także karne.

Odnośnie sankcji za nieprzestrzeganie przepisów. Prawo już takie jest, że nie zawsze coś jest powiedziane wprost. Nawet wielkie kodyfikacje prawa z XIXw. nie przewidywały wszystkich sytuacji i konieczne były ich nowelizacje. Jest to po prostu niewykonalne. Stąd są osoby, którym znacznie łatwiej przychodzi "czytanie" prawa, o czym wyżej napisałem cytując Iheringa.
Banalnie proste jest przecież powiązanie ustawowego wymogu art. 39a z rozporządzeniem w spr. dokumentacji i warunków techn., a brak spełniania tychże warunków z sankcją opisaną w art. 51, a zwłaszcza art. 52 ustawy. Przykład: z archiwum personalnego w którym drzwi były otwarte i każdy miał dostęp, sprzątaczka wyniosła na śmietnik kilka kartonów "papierzysków" (dokumentacji pracowniczej). Następnego dnia przyjechała śmieciarka i zabrała kontener ze śmieciami (nie "bezpieczne pojemniki"), ale zanim dowiozła do spalarni, część papierów z danymi osobowymi wyfunęła z kontenera na ulicę.
Skutek a nie "near miss" (art. 1 ust. 1 uodo) jest ważny.
Nie widzę możliwości aby wszystkie przypadki jakie mogą się zdarzyć, spisać i aby to nie ulegało zmianom. W obecnych czasach?
Jeśli jednak to dość proste zadanie w zakresie powiązania ustawy z rozporządzeniem okazuje się trudnym, to co dopiero interpretacja (i realizacja) faktycznie trudniejszych spraw z jakimi można się spotkać w pracy? Kłania się tu badanie zgodności (compliance) z prawem (szeroko pojetym) a nie tylko normami, a to przecież także po części rola ABI/IDO, oczywiście w odpowiednim zakresie. A i spełnianie norm ISO od spełniania wymogów prawa różni się. Konsekwencjami przede wszystkim ;-)

Reasumując - edukować kogo trzeba póki czas, tzn. do czasu wejścia w życie unijnego rozporządzenia, bo potem to "Sankcja administracyjna w każdym indywidualnym przypadku jest skuteczna,
proporcjonalna i odstraszająca" a takie właśnie odstraszające kary "do 1 000 000 EUR lub w przypadku przedsiębiorstwa do 2 % jego rocznego światowego obrotu, na każdy podmiot, który umyślnie lub lekkomyślnie...", trudno będzie przełknąć.

Temat: ABI - jak ustawa powinna definiować zadania i uprawnienia...

Michał L.:

Odnośnie sankcji za nieprzestrzeganie przepisów. Prawo już takie jest, że nie zawsze coś jest powiedziane wprost. Nawet wielkie kodyfikacje prawa z XIXw. nie przewidywały wszystkich sytuacji i konieczne były ich nowelizacje. Jest to po prostu niewykonalne. Stąd są osoby, którym znacznie łatwiej przychodzi "czytanie" prawa, o czym wyżej napisałem cytując Iheringa.

To jakiś przytyk osobisty, czy kwiecistość wywodu? Niezależenie od odpowiedzi, ale moim skromnym zdaniem w tej grupie bardziej istotna jest dyskusja o problemie.

Banalnie proste jest przecież powiązanie ustawowego wymogu art. 39a z rozporządzeniem w spr. dokumentacji i warunków techn., a brak spełniania tychże warunków z sankcją opisaną w art. 51, a zwłaszcza art. 52 ustawy. Przykład: z archiwum personalnego w którym drzwi były otwarte i każdy miał dostęp, sprzątaczka wyniosła na śmietnik kilka kartonów "papierzysków" (dokumentacji pracowniczej). Następnego dnia przyjechała śmieciarka i zabrała kontener ze śmieciami (nie "bezpieczne pojemniki"), ale zanim dowiozła do spalarni, część papierów z danymi osobowymi wyfunęła z kontenera na ulicę.

Tylko to nie jest za nieprzestrzeganie wymagań dot. systemu informatycznego, o którym była mowa, a za skutek. Stwierdzenie moje było wprost i bezpośrednio - który przepis mówi o sankcji za nieprzestrzeganie przepisów rozporządzenia? Bez skutku, bo prostu nieprzestrzeganie. Zapis związanych np z datą pierwszej rejestracji?

Skutek a nie "near miss" (art. 1 ust. 1 uodo) jest ważny.
Nie widzę możliwości aby wszystkie przypadki jakie mogą się zdarzyć, spisać i aby to nie ulegało zmianom. W obecnych czasach?
Jeśli jednak to dość proste zadanie w zakresie powiązania ustawy z rozporządzeniem okazuje się trudnym, to co dopiero interpretacja (i realizacja) faktycznie trudniejszych spraw z jakimi można się spotkać w pracy? Kłania się tu badanie zgodności (compliance) z prawem (szeroko pojetym) a nie tylko normami, a to przecież także po części rola ABI/IDO, oczywiście w odpowiednim zakresie. A i spełnianie norm ISO od spełniania wymogów prawa różni się. Konsekwencjami przede wszystkim ;-)

Dwie kwestie zasadnicze:
1. Specjaliści od bezpieczeństwa są specjalistami a nie zarządzającymi firmą. Czyli nie oni są od podejmowania decyzji i orzekania, które z ryzyk jest istotniejsze. Są od przedstawienia ryzyk, omówienia i uzyskania jasnej informacji od zarządzającego - w którym kierunku iść. Co do ISO. Niespełnienie wymagań któregokolwiek ISO może spowodować wykreślenie z listy dostawców, nawet globalnych. Strata może być kilka, kilkanaście a nawet kilkadziesiąt razy większa niż kara nałożona przez jakikolwiek organ. Więc z tymi porównaniami mimo wszystko bym uważał. Kara od GIODO - to kasa. Kara od odbiorcy, za brak certyfikatu (oczywiście uproszczenie) - smutne zakończenie działania firmy lub bardzo poważne ograniczenie (oczywiście przy spełnieniu pewnych okoliczności).

2. ISO ze standardami zostało w mojej wypowiedzi wskazane jako coś, co można opracować i może działać w różnych organizacjach. Wypowiedź była w miejscu, w którym mowa o standaryzacji jako takiej, a nie o przepisach prawa. Innymi słowy, wskazałem ISO jako system organizacji, a nie system minimalny oparty o przepis prawa. Bo takimi systemami są te najprostsze - ale w wielu organizacjach wystarczające:
http://ibii.eu/bezpieczenstwo-oglnie/78-co-wybrac-cz-ii

Dlatego system minimalny, przy wydanym standardzie ze strony np GIODO - nawet niekoniecznie dużym i bardzo obszernym, pewne sprawy by unormowało, uprościło i wystandaryzowało. Kiedyś był taki małuy standard - Resource Kit by ODOSI. Wiele firm korzystało i jakoś działało, więc może w tym kierunku?

Reasumując - edukować kogo trzeba póki czas, tzn. do czasu wejścia w życie unijnego rozporządzenia, bo potem to "Sankcja administracyjna w każdym indywidualnym przypadku jest skuteczna,
proporcjonalna i odstraszająca" a takie właśnie odstraszające kary "do 1 000 000 EUR lub w przypadku przedsiębiorstwa do 2 % jego rocznego światowego obrotu, na każdy podmiot, który umyślnie lub lekkomyślnie...", trudno będzie przełknąć.

O sankcjach już wyżej napisałem. Poważniejszą paradoksalnie będzie nie finansowa, bo jak organizacja będzie miała na jednej szali zapłacić nawet 300 tys pln, a z drugiej stracić klienta na 15 mln pln w 3 latach, myślę, że wybierze jednak przesunięcie działań w kierunku utrzymania tych 15 mln niż 300 tys.

Poważniejszym skutkiem działania kontrolnego GIODO może być raczej decyzja o zaprzestaniu przetwarzania do czasu usunięcia uchybień. Bo to może spowodować przerwanie działania podmiotu - ot choćby w zakresie odbiorców produktów w przypadku np domów wysyłkowych, czy produkcji, która ma swoje kanały sprzedaży detalicznej.

Na podsumowanie - do IT i prawa w zakresie wiedzy dodałbym rozumienie biznesu (precyzyjniej - organizacji) i co najmniej minimalną wiedzę z tego zakresu. Skoro ABI ma być bardzo wysoko, musi znać podstawowy biznes który chroni, tak, aby rozwiązania były dostosowane do niego. W przeciwnym razie mogą się zdarzyć systemy, które niestety na audytach da się zauważyć - funkcjonują OBOK organizacji, a nie w niej i nie z nią. I formalnie nawet nie ma się do czego czepić - zgodność z prawem zapewniona. Tylko czy naprawdę o to chodzi?

Umocowanie w zarządzie lub obok ABI - tak zgadzam się, przy dużej organizacji ma sens. Ale to również determinuje pozyskanie wiedzy o procesach biznesowych, żeby mimo wszystko ABI wiedział, co i jak zabezpieczyć.

Z innej strony, czy ABI lub IOD to mają być jedyne osoby od bezpieczeństwa danych osobowych? Z jednej strony - może tak być, bo wdrożony prawidłowo system wymaga do jego obsługi minimalnych nakładów czasowych w miesiącu i nie jest to etat. Z drugiej strony, skupienie w jednej osobie działań - też nie jest za bardzo sensowne, bo wyjdzie znowu pan Miecio z BHP.

Temat: ABI - jak ustawa powinna definiować zadania i uprawnienia...

Grzegorz K.:

Poważniejszym skutkiem działania kontrolnego GIODO może być raczej decyzja o zaprzestaniu przetwarzania do czasu usunięcia uchybień. Bo to może spowodować przerwanie działania podmiotu - ot choćby w zakresie odbiorców produktów w przypadku np domów wysyłkowych, czy produkcji, która ma swoje kanały sprzedaży detalicznej.

To prawda, ale z drugiej strony kontrola przez GIODO 200 podmiotów rocznie, przy obecnej ilości przedsiębiorstw przetwarzających dane to kropla wody w morzu - zaledwie 0,01% podmiotów. I nie mam na jedynie tych podmiotów, które zgłosiły zbiory do rejestracji, bo ich jest ok. 100 000 czyli 5% (zakładając, że mamy 2 mln aktywnych podmiotów gospodarczych). Czyli rola GIODO jako czynnika "motywującego" jest umiarkowanie motywująca przedsiębiorców (a raczej ADO) do zgodności z ustawą. Może rzeczywiście w nowej rzeczywistości GIODO potrzebuje oddziałów terenowych?Leszek K. edytował(a) ten post dnia 15.10.12 o godzinie 07:36

Temat: ABI - jak ustawa powinna definiować zadania i uprawnienia...

Zapewne tak. Tylko wydaje mi się, że bardziej istotne niż kontrola jest jednak uświadomienie.

Miałem być na piątkowej debacie, niestety nie uda mi się. A chciałem zadać kilka pytań. Które w kontekście niniejszej dyskusji mi się zrodziły.

Czy na pewno dyskusję winniśmy zaczynać od zadań i uprawnień, czy może jednak od roli?

Patrząc przez pryzmat tego co napisałeś i mojej obserwacji GIODO i jego działań (jako urzędu) wydaje mi się, że wchodzenie w rolę nadzorcy nie jest najlepszym rozwiązaniem. A mam wrażenie, proszę mnie sprostować jeśli jest nieco skrzywione, ale właśnie taki kierunek działania zaczynam odczuwać.

Jako, że biorę udział w kilku pracach związanych z bezpieczeństwem publicznym, tak i tu od razu dzwoni mi nieco (na zasadzie analogii i obaw wyrażonych w tych innych projektach). Wszak zadania związane z egzekwowaniem prawa - to rola urzędów. Przenoszenie ich na firmy jest niejako sięganiem do budżetu tych firm. Jeśli ma służyć tylko zapewnieniu przestrzegania prawa, to chyba coś jest nie tak, bo rolą firmy jest generowanie zysku. I jak pisałem wcześniej, może się okazać, że ktoś zaakceptuje ryzyko wpadki i potencjalnej kary. I co wtedy?

Jak już ze wspomnianym wcześniej BHP. Pan Mietek, jak ma zadania TYLKO przestrzegania prawa pracy w tym konkret rozdziale, to... przez firmę postrzegany będzie jako nieefektywny, niekoniecznie po właściwej stronie. Skutek pisałem wcześniej - zamknięty w kanciapie, z najstarszym kompem w firmie. Bo nie potrafi udowodnić swojej przydatności.

A może jednak iść w kierunku nieco innym? Może zacząć jednak od edukacji ABI w zakresie biznesu - ot na początek tego który chroni?

I znowu analogia do BHP. Ergonomia stanowiska pracy, właściwe doświetlenie zarówno awaryjne jak i główne, prawidłowo stosowane środki ochrony indywidualnej - to nie tylko wymogi prawa. To również uniknięcie materializacji ryzyk, z potencjalnym skutkiem wyłączenia części zakładu jeśli nastąpi śmiertelny lub niekoniecznie, ale masowy. Metod wyceny i szacowania jest kilka, ale nawet najprostsza PML (possible maximum loss) potrafi uświadomić skalę zdarzeń.

Może jednak warto pokusić się o ocenę skutku "wycieków danych" (tych które juz były) w kontekście skutków finansowych, łącznie z przestojem (i czy nie dotknął maksymalnego czasu przerwania usługi, co na ciągłość działania już wpłynąć może). Tak aby zejść do kryteriów finansowych ryzyka - a to już mocno przemawia. Drugie uzasadnienie takiego podejścia to włączenie do standardowego szacowania ryzyka, czy dokładniej uświadomienie, że ono jest robione, dla skutków na danych osobowych?

Tak tylko się zastanawiam, bo jednak metod - skutecznych przynajmniej w mojej pracy, jest więcej po stronie uzasadnienia biznesowego naruszenia prawa, niż sankcji jako takiej. I to chyba kwestia pewnego skrzywienia. Jak byłem urzędnikiem, to najczarniejszy scenariusz obejmował zarzuty... W biznesie jest to czasem taka abstrakcja, że mam wrażenie, że dyskusja tego typu to coś jakby gadać o życiu na Wenus.

Temat: ABI - jak ustawa powinna definiować zadania i uprawnienia...

Grzegorz K.:

Michał L.:
Odnośnie sankcji za nieprzestrzeganie przepisów. Prawo już takie jest, że nie zawsze coś jest powiedziane wprost. Nawet wielkie kodyfikacje prawa z XIXw. nie przewidywały wszystkich sytuacji i konieczne były ich nowelizacje. Jest to po prostu niewykonalne. Stąd są osoby, którym znacznie łatwiej przychodzi "czytanie" prawa, o czym wyżej napisałem cytując Iheringa.

To jakiś przytyk osobisty, czy kwiecistość wywodu? Niezależenie od odpowiedzi, ale moim skromnym zdaniem w tej grupie bardziej istotna jest dyskusja o problemie.

Proszę bez niepotrzebnych tu nadinterpretacji.
To było stwierdzenie faktu w rzeczy samej, z którym mam nadzieję się zgadzasz? To, że specjalista w danej dziedzinie, tu prawnik, lepiej "odczytuje" przepisy prawa i potrafi je lepiej powiązać od nie prawnika, jest faktem takim jak to, że informatyk lepiej rozumie kwestie np. protokołów sieciowych, oprogramowania, itp. Zresztą to samo dotyczy innych dziedzin. Oczywista oczywistość ;-)
Istotnie i tego nie neguję, że w tej grupie prowadzona jest dyskusja nt. postawionego na wstępie wątku pytania. I w tejże konwencji utrzymywałem moją odpowiedź. Zwłaszcza odnosząc się do meritum, czyli "jaki powinien być nowy ABI", co opierałem na przepisach rozporządzenia unijnego

Ale do rzeczy, wspominasz, że masz kilkanaście wzorów polityk i udało się zejść do 15 stron plus instrukcje/procedury. Założę się, że także w tych politykach nie ma odpowiedzi na wszystkie pytania i nie ma opisanych wszystkich sytuacji, bo taki dokument musiałby mieć kilkadziesiąt stron, jak nie wiecej ;-)
Zresztą taki dokument jak polityka często jest dokumentem dość ogólnym a dopiero instrukcje, itp. zawierają szczegółowe infromacje. Jest to jak najbardziej zasadne, bo w wielu dużych firmach (czy urzędach), takie polityki bezpieczeństwa zna może kilka osób na kilkaset. W korporacjach "na wejściu" otrzymuje się kilkanaście różnych polityk, procedur, zasad, technik, kodeksów, itp. i sprzedażowiec raczej będzie zgłębiał politykę sprzedaży, premiowania i bonusów, używania samochodu służbowego i komórki, niż kilkadziesiąt stron naszej polityki. Stąd lepszym jest przygotowywanie mniejszego dokumentu ale treściwego i szkolenie na którym w bezpośredniej rozmowie można wiele wyjaśnić. Jest to lepsze niż rzucenie "w folderze xyz masz polityki i sobie poczytaj" ;-)

Banalnie proste jest przecież powiązanie ustawowego wymogu art. 39a z rozporządzeniem w spr. dokumentacji i warunków techn., a brak spełniania tychże warunków z sankcją opisaną w art. 51, a zwłaszcza art. 52 ustawy. Przykład: z archiwum personalnego w którym drzwi były otwarte i każdy miał dostęp, sprzątaczka wyniosła na śmietnik kilka kartonów "papierzysków" (dokumentacji pracowniczej). Następnego dnia przyjechała śmieciarka i zabrała kontener ze śmieciami (nie "bezpieczne pojemniki"), ale zanim dowiozła do spalarni, część papierów z danymi osobowymi wyfunęła z kontenera na ulicę.

Tylko to nie jest za nieprzestrzeganie wymagań dot. systemu informatycznego, o którym była mowa, a za skutek. Stwierdzenie moje było wprost i bezpośrednio - który przepis mówi o sankcji za nieprzestrzeganie przepisów rozporządzenia? Bez skutku, bo prostu nieprzestrzeganie. Zapis związanych np z datą pierwszej rejestracji?

Może inaczej. Jakie obowiązki ciążą na ado? Podstawowy - zabezpieczania. W jaki sposób? Zgodnie z ustawą a ustawa odsyła do rozporządzenia. Jeśli zatem ado naruszy swój obowiązek (także nieumyślnie), to grozi mu kara. I teraz o ile wg art. 52 karalne jest naruszenie obowiązku to wg 51 już samo stworzenie możliwości dostępu dla osoby nieupoważnionej.
Tak przy okazji "stwarzania możliwości", to podczas dyskusji ACTA był spór o słowo "domniemane naruszenie" i te same słowa pojawiają się w rozporządzeniu unijnym o.d.o. Z tym, że porównując wersje angielską, niemiecką i francuską, moim zdaniem właściwsze jest "zarzucane naruszenie". Zarzucać komuś czyn zabroniony a domniemywać jego popełnienie, to jest różnica.

Skutek a nie "near miss" (art. 1 ust. 1 uodo) jest ważny.
Nie widzę możliwości aby wszystkie przypadki jakie mogą się zdarzyć, spisać i aby to nie ulegało zmianom. W obecnych czasach?
Jeśli jednak to dość proste zadanie w zakresie powiązania ustawy z rozporządzeniem okazuje się trudnym, to co dopiero interpretacja (i realizacja) faktycznie trudniejszych spraw z jakimi można się spotkać w pracy? Kłania się tu badanie zgodności (compliance) z prawem (szeroko pojetym) a nie tylko normami, a to przecież także po części rola ABI/IDO, oczywiście w odpowiednim zakresie. A i spełnianie norm ISO od spełniania wymogów prawa różni się. Konsekwencjami przede wszystkim ;-)

Dwie kwestie zasadnicze:
1. Specjaliści od bezpieczeństwa są specjalistami a nie zarządzającymi firmą. Czyli nie oni są od podejmowania decyzji i orzekania, które z ryzyk jest istotniejsze. Są od przedstawienia ryzyk, omówienia i uzyskania jasnej informacji od zarządzającego - w którym kierunku iść. Co do ISO. Niespełnienie wymagań któregokolwiek ISO może spowodować wykreślenie z listy dostawców, nawet globalnych. Strata może być kilka, kilkanaście a nawet kilkadziesiąt razy większa niż kara nałożona przez jakikolwiek organ. Więc z tymi porównaniami mimo wszystko bym uważał. Kara od GIODO - to kasa. Kara od odbiorcy, za brak certyfikatu (oczywiście uproszczenie) - smutne zakończenie działania firmy lub bardzo poważne ograniczenie (oczywiście przy spełnieniu pewnych okoliczności).

Również dwie zasadnicze kwestie:
1. język niestety ale często nie oddaje sensu. Zwłaszcza polski. Mówisz o "specjaliście od bezpieczeństwa", jako stanowisku konkretnej osoby, czy o konkretnej osobie wykazującej się wiedzą specjalistyczną/ekspercką, bo to nie zawsze idzie w parze ;-)
To tak jak z bezpieczeństwem informacji w większości dotyczącym wyłącznie strony informatycznej a różnica jest poważna. Słowo "informacja" jest pojęciem znacznie szerszym i starszym od "informatyczny", bowiem informacje to nie tylko dane informatyczne.
Według Słownika Wyrazów Obcych: „łac. informatio – pomysł, wyobrażenie, wizerunek, pot. wiadomość; od łac. informare – wymyśleć, spisać, formować”. Słownik Psychologii definiuje informacje jako: „jakikolwiek materiał, zawierający jakąkolwiek treść”. Natomiast według Leksykonu Menedżera informacje to: „gromadzone i rozpowszechniane w organizacji dane o określonych zjawiskach, niezbędne do określenia celów organizacji, jej zadań oraz podejmowania decyzji”.
Wystarczy też sięgnąć do ustawy o usługach detektywistycznych, w której w art. 2 definuje się usługi detektywistyczne jako, cyt.: "czynności polegające na uzyskiwaniu, przetwarzaniu i przekazywaniu informacji o osobach, przedmiotach i zdarzeniach".
Zatem nasz specjalista bezpieczeństwa informacji w odróżnieniu od specjalisty bezpieczeństwa systemu informatycznego będzie odpowiadał za bezpieczeństwo wszelkich informacji przekazywanych w każdej formie. I tu dochodzimy do ochrony danych osobowych, które także mogą być w dowolnej formie przetwarzane (poza przekazem ustnym bez odnotowania) a nie tylko w systemie informatycznym. Przykładem mogą być sterty segregatorów np. ze szkoleń BHP lub karty wypadkowe.

2. Przepraszam ale czy dostawca, który dowie się o karze np. 1 mln eur lub 2% rocznego globalnego obrotu, nałożonej na kontrahenta za nieprzestrzeganie zasad bezpieczeństwa danych osobowych (w pewnym sensie i informacji), także takiego skreślenia nie może dokonać? Wskazane w rozporządzeniu kary np. te 2% rocznego globalnego obrotu może być porównywalną stratą ale to nie jest wszystko. Publikując dane o karze ale i o wycieku danych, cierpi takze wizerunek firmy więc i dodatkowe potężne straty. Piszesz o karze od GIODO ale to nie jedyne kary na jakie się taka firma może narazić, włączając w to koszty odszkodowania dla osoby lub osób poszkodowanych.
Ale to nie wyścigi o wyższości ISO nad ochroną prywatności, która i tak jest wyższym dobrem, bo zapisanym w Konstytucji ;-) Wracajmy do tematu.

Reasumując - edukować kogo trzeba póki czas, tzn. do czasu wejścia w życie unijnego rozporządzenia, bo potem to "Sankcja administracyjna w każdym indywidualnym przypadku jest skuteczna,
proporcjonalna i odstraszająca" a takie właśnie odstraszające kary "do 1 000 000 EUR lub w przypadku przedsiębiorstwa do 2 % jego rocznego światowego obrotu, na każdy podmiot, który umyślnie lub lekkomyślnie...", trudno będzie przełknąć.

Na podsumowanie - do IT i prawa w zakresie wiedzy dodałbym rozumienie biznesu (precyzyjniej - organizacji) i co najmniej minimalną wiedzę z tego zakresu. Skoro ABI ma być bardzo wysoko, musi znać podstawowy biznes który chroni, tak, aby rozwiązania były dostosowane do niego. (...)
Umocowanie w zarządzie lub obok ABI - tak zgadzam się, przy dużej organizacji ma sens. Ale to również determinuje pozyskanie wiedzy o procesach biznesowych, żeby mimo wszystko ABI wiedział, co i jak zabezpieczyć.

Zgadzam się i z tego co można wyczytać to jest to kierunek rozporządzenia UE.

Z innej strony, czy ABI lub IOD to mają być jedyne osoby od bezpieczeństwa danych osobowych? Z jednej strony - może tak być, bo wdrożony prawidłowo system wymaga do jego obsługi minimalnych nakładów czasowych w miesiącu i nie jest to etat. Z drugiej strony, skupienie w jednej osobie działań - też nie jest za bardzo sensowne, bo wyjdzie znowu pan Miecio z BHP.

Ja uważam tak jak napisałem, czyli podobnie jakw rozporzadzeniu. Jeśli duża organizacja z dużą ilością przetwarzanych do. to tak, IDO jest konieczny bo może mieć na prawdę sporo pracy i musi byc włączany w wiele procesów. W przypadku mniejszych rozporządzenie UE daje możliwość jednego IDO dla kilku ado. Generalnie IDO jest potrzebny i ważne aby miał szacunek, jak i każdy, bo czasami i od niego coś może zależeć.

Temat: ABI - jak ustawa powinna definiować zadania i uprawnienia...

Michał L.:
Ale do rzeczy, wspominasz, że masz kilkanaście wzorów polityk i udało się zejść do 15 stron plus instrukcje/procedury. Założę się, że także w tych politykach nie ma odpowiedzi na wszystkie pytania i nie ma opisanych wszystkich sytuacji, bo taki dokument musiałby mieć kilkadziesiąt stron, jak nie wiecej ;-)

Polityka ma 15 stron. Instrukcje łącznie około 70. Nie ma potrzeby, żeby zwykły pracownik czytał co zrobić, w przypadku zmian w zbiorze, czy tworzeniu nowego. Nie interesują go też sposoby prowadzenia zmiany w aranżacji pomieszczeń, ani zmiana biura - co wpływa na obszar przetwarzania. Ma dostać informację, że się zmieniło.

I tak - przewidziana są praktycznie wszystkie przypadki. Niektóre e-numeratywnie wyliczone, inne mniej prawdopodobne, jako skutki.

Zresztą taki dokument jak polityka często jest dokumentem dość ogólnym a dopiero instrukcje, itp. zawierają szczegółowe infromacje. Jest to jak najbardziej zasadne, bo w wielu dużych firmach (czy urzędach), takie polityki bezpieczeństwa zna może kilka osób na kilkaset. W korporacjach "na wejściu" otrzymuje się kilkanaście różnych polityk, procedur, zasad, technik, kodeksów, itp. i sprzedażowiec raczej będzie zgłębiał politykę sprzedaży, premiowania i bonusów, używania samochodu służbowego i komórki, niż kilkadziesiąt stron naszej polityki. Stąd lepszym jest przygotowywanie mniejszego dokumentu ale treściwego i szkolenie na którym w bezpośredniej rozmowie można wiele wyjaśnić. Jest to lepsze niż rzucenie "w folderze xyz masz polityki i sobie poczytaj" ;-)

Na pewno jest tak, że dostaje się na wejściu i ma się czas przeczytać? Śmiem wątpić. A nawet nie śmiem - stawiam zupełnie odwrotną tezę, większość takich dokumentów nie jest czytana.

Przykład z twojej dawnej firmy - pamiętasz kartę zapoznania się z aktem prawnym?

Więc z jakiego powodu w korporacjach miałoby być inaczej?

Na wejściu, robiąc audyt w jednej z firm, nie wiem, czy już można ją do korporacji czy nie, wyszło, że w ciągu 8 godzin na induction day - czyli dniu wprowadzenia w firmę człowiek miał przeczytać 700 stron łącznie wszystkich zasad i regulaminów.

Może inaczej. Jakie obowiązki ciążą na ado? Podstawowy - zabezpieczania. W jaki sposób? Zgodnie z ustawą a ustawa odsyła do rozporządzenia. Jeśli zatem ado naruszy swój obowiązek (także nieumyślnie), to grozi mu kara. I teraz o ile wg art. 52 karalne jest naruszenie obowiązku to wg 51 już samo stworzenie możliwości dostępu dla osoby nieupoważnionej.

Możliwość dostępu, a nie zapisy rozporządzenia. Pisałem już o tym, które to są, nie będę się powtarzał. Nadal sankcje są na zasadzie interpretacyjnej, a prosiłem bez interpretacji.

Tak przy okazji "stwarzania możliwości", to podczas dyskusji ACTA był spór o słowo "domniemane naruszenie" i te same słowa pojawiają się w rozporządzeniu unijnym o.d.o. Z tym, że porównując wersje angielską, niemiecką i francuską, moim zdaniem właściwsze jest "zarzucane naruszenie". Zarzucać komuś czyn zabroniony a domniemywać jego popełnienie, to jest różnica.

Zdaje się domniemanie w prawie nieco inaczej jest rozumiane jak w języku potocznym.

Dwie kwestie zasadnicze:
1. Specjaliści od bezpieczeństwa są specjalistami a nie zarządzającymi firmą. Czyli nie oni są od podejmowania decyzji i orzekania, które z ryzyk jest istotniejsze. Są od przedstawienia ryzyk, omówienia i uzyskania jasnej informacji od zarządzającego - w którym kierunku iść. Co do ISO. Niespełnienie wymagań któregokolwiek ISO może spowodować wykreślenie z listy dostawców, nawet globalnych. Strata może być kilka, kilkanaście a nawet kilkadziesiąt razy większa niż kara nałożona przez jakikolwiek organ. Więc z tymi porównaniami mimo wszystko bym uważał. Kara od GIODO - to kasa. Kara od odbiorcy, za brak certyfikatu (oczywiście uproszczenie) - smutne zakończenie działania firmy lub bardzo poważne ograniczenie (oczywiście przy spełnieniu pewnych okoliczności).

Również dwie zasadnicze kwestie:
1. język niestety ale często nie oddaje sensu. Zwłaszcza polski. Mówisz o "specjaliście od bezpieczeństwa", jako stanowisku konkretnej osoby, czy o konkretnej osobie wykazującej się wiedzą specjalistyczną/ekspercką, bo to nie zawsze idzie w parze ;-)

Język polski jest bardzo czytelny. Tylko nie trzeba szukać drugich i ukrytych znaczeń. Odpowiedź na twoje pytanie jest w treści. Który z tych rodzajów, które sobie utworzyłeś będzie tym "specjalistą" który przedstawi wynik szacowania ryzyka?

To tak jak z bezpieczeństwem informacji w większości dotyczącym wyłącznie strony informatycznej a różnica jest poważna. Słowo "informacja" jest pojęciem znacznie szerszym i starszym od "informatyczny", bowiem informacje to nie tylko dane informatyczne.
Według Słownika Wyrazów Obcych: „łac. informatio – pomysł, wyobrażenie, wizerunek, pot. wiadomość; od łac. informare – wymyśleć, spisać, formować”. Słownik Psychologii definiuje informacje jako: „jakikolwiek materiał, zawierający jakąkolwiek treść”. Natomiast według Leksykonu Menedżera informacje to: „gromadzone i rozpowszechniane w organizacji dane o określonych zjawiskach, niezbędne do określenia celów organizacji, jej zadań oraz podejmowania decyzji”.
Wystarczy też sięgnąć do ustawy o usługach detektywistycznych, w której w art. 2 definuje się usługi detektywistyczne jako, cyt.: "czynności polegające na uzyskiwaniu, przetwarzaniu i przekazywaniu informacji o osobach, przedmiotach i zdarzeniach".
Zatem nasz specjalista bezpieczeństwa informacji w odróżnieniu od specjalisty bezpieczeństwa systemu informatycznego będzie odpowiadał za bezpieczeństwo wszelkich informacji przekazywanych w każdej formie. I tu dochodzimy do ochrony danych osobowych, które także mogą być w dowolnej formie przetwarzane (poza przekazem ustnym bez odnotowania) a nie tylko w systemie informatycznym. Przykładem mogą być sterty segregatorów np. ze szkoleń BHP lub karty wypadkowe.

Całkowicie nie rozumiem tego wywodu. Z bezpieczeństwem informacji pracuję od 12 lat, zaczynając od niejawnych, zaraz po zmianie ustawy, dane osobowe robię od czasów pierwszej kadencji pani Kuleszy. A to były czasy, gdzie komputery... cóż, w bardzo małym stopniu funkcjonowały, a do tego do niejawnych prawie że nie było szans żeby któryś dostał dopuszczenie bez klatki Faradaya. Więc jeśli ta wrzutka do dyskusji, to chyba tak sobie w kosmos, albo jako nowy wątek tworzysz.

Dam ci jeszcze jeden argument, którego używam, jak mi IT za bardzo zaczyna ustawiać bezpieczeństwo informacyjne (nie tylko informacji naszych) w firmie. Sprawdź który komitet w ISO i w naszym PKN odpowiedzialny jest za rodzinę norm 27000. I prościej i bardziej dla zarządów przekonywujące - co jest w każdym tytule tej normy: "Technika informatyczna".

Z tego powodu uważam, ze dawne dyskusje - ABI lepszy prawnik, czy IT, w tak postawionym pytaniu - zawsze prawnik.

2. Przepraszam ale czy dostawca, który dowie się o karze np. 1 mln eur lub 2% rocznego globalnego obrotu, nałożonej na kontrahenta za nieprzestrzeganie zasad bezpieczeństwa danych osobowych (w pewnym sensie i informacji), także takiego skreślenia nie może dokonać? Wskazane w rozporządzeniu kary np. te 2% rocznego globalnego obrotu może być porównywalną stratą ale to nie jest wszystko. Publikując dane o karze ale i o wycieku danych, cierpi takze wizerunek firmy więc i dodatkowe potężne straty. Piszesz o karze od GIODO ale to nie jedyne kary na jakie się taka firma może narazić, włączając w to koszty odszkodowania dla osoby lub osób poszkodowanych.
Ale to nie wyścigi o wyższości ISO nad ochroną prywatności, która i tak jest wyższym dobrem, bo zapisanym w Konstytucji ;-) Wracajmy do tematu.

Żaden wyścig. Norma mówi o spełnieniu trzech zakresów wymagań:
1. Wymagań klienta - i to jest to co jest na audytach referencyjnych (drugiej strony)
2. wymagań organizacji - bo ona jest do generowania zysku.
3. Wymagań ... prawnych.

I to jest to co pisałem wcześniej. Uświadomienie. A o normach, zwłaszcza ISO 9001 powinniśmy dyskutować, bo są sojusznikiem w zakresie zgodności z UODO. Widać to jest w momencie jak się nieco pochylimy z nowym klientem, z jego zarządem nad deklaracjami z polityce jakości, zgodnej z wymaganiami normy i dojdziemy do punktu - wymagania.

Nacisk zarządów na natychmiastowe uregulowanie kwestii danych osobowych jest wprost proporcjonalny do czasu jaki pozostał do audytu nadzoru, audytu certyfikacyjnego, czy recertyfikacji. Ponieważ brak spełnienia tych wymagań może skutkować cofnięciem już przyznanego, a w przypadku certyfikacji lub recertyfikacji, wykazaniem niezgodności, która uniemożliwia uzyskanie "kwitka".

Sojuszników nigdy za wiele.

Z innej strony, czy ABI lub IOD to mają być jedyne osoby od bezpieczeństwa danych osobowych? Z jednej strony - może tak być, bo wdrożony prawidłowo system wymaga do jego obsługi minimalnych nakładów czasowych w miesiącu i nie jest to etat. Z drugiej strony, skupienie w jednej osobie działań - też nie jest za bardzo sensowne, bo wyjdzie znowu pan Miecio z BHP.

Ja uważam tak jak napisałem, czyli podobnie jakw rozporzadzeniu. Jeśli duża organizacja z dużą ilością przetwarzanych do. to tak, IDO jest konieczny bo może mieć na prawdę sporo pracy i musi byc włączany w wiele procesów. W przypadku mniejszych rozporządzenie UE daje możliwość jednego IDO dla kilku ado. Generalnie IDO jest potrzebny i ważne aby miał szacunek, jak i każdy, bo czasami i od niego coś może zależeć.

Cóż. Ja jednak pozostanę przy swoim stwierdzeniu, że ADO i IDO nie powinny być jedynymi osobami, na których spoczywają obowiązki związane z utrzymaniem systemu ochrony danych osobowych. Bo taka była treść mojej wypowiedzi. Teraz rozwinę.

Tworzenie zewnętrznych działów, do nadzoru, przestrzegania etc moim zdaniem nie sprawdza się. Nie wiem, czy to kwestia genów w naszym narodzie, czy kwestia czegoś innego.

Analogia - ograniczenie prędkości. Polska to kraj absurdów w tym kontekście. Znak drogowy nie jest wystarczającym bo jak widać z prawa, jak już się fotoradar tam ustawi to nagle musi być oznaczenie że jest pomiar prędkości. Absurdalne tłumaczenie przy tym, że powoduje to zagrożenie w ruchu drogowym - bo... jak ktoś radar zobaczy, to nagle będzie gwałtownie hamował. A mi się wydawało, że hamować powinien - jak zobaczy znak z ograniczeniem prędkości.

Drugi absurd to jazda po wszystkich strażach miejskich a obecnie po ITD za wystawianie mandatów z foto. Przecież odwracając sytuację - gdyby kierowcy stosowali się do znaków, to by nie było w ogóle takich dyskusji. Bo mandatu nie dostaje niewinny, tylko sprawca wykroczenia. Ale jak widać - tym złym jest nadzorca. A i kiedyś - jazdy za chowanie się po krzakach drogówki policyjnej. Kolejny absurd.

Tutaj ten model kontrolno-nadzorujący w bezpieczeństwie informacji moim zdaniem też nie ma sensu. Jak wielkie działy musiałby być, żeby utrzymać bezpieczeństwo na określonym poziomie? I ile takich dodatkowych oznaczeń, fotoradarów etc musi być? Bo same zapisy polityki mogą nie wystarczyć - co pokazuje przykład z foto.

Przekładając na ochronę danych osobowych - audyt wewnętrzny powinien być właściwie oznakowany, a jeszcze wcześniej miejsce jego wykonania (dział, wydział) uzgodniony.

I pytanie bardziej istotne - ilu tych kontrolujących i nadzorujących powinno być, żeby utrzymać na zasadzie kontroli system?

Co do samej organizacji, IDO, czy ABI to nie są jedyni ludzie, którzy mają działania w zakresie bezpieczeństwa danych osobowych. Jest już ten powołany wcześniej BHP. Co prawda nie za dużo, ale od niego też informacje w sprawie ekspozycji na niektóre czynniki które szkodzą ludziom, ale szkodzić będą również nośnikom danych osobowych. Czy taśm z serwerów (miejsce backupu), czy nośników tradycyjnych - nie ma znaczenia. Rozpoznanie miejsca ekspozycji na np wilgoć powyżej określonej wartości jest zabójcze dla papieru. Konsultacje warto wykonać z archiwum państwowym czy z gościem od tego archiwum w organizacji - jak jest.

Ale jest też człowiek odpowiedzialny za ochronę fizyczną, która tworzy w wielu miejscach kontrole dostępu do obszaru przetwarzania. Jeśli ABI miałby to poznać - duża ustawa, plus kilka rozporządzeń, do tego kwit stosowny na pisanie planów (jakby to w obowiązkowej było). Kwestie znajomości techniki już pomijam, ale kolejna wielka pajda etc. I trzeba pamiętać, że to pracownicy ochrony są tymi, którzy ustawowo mogą reagować na próbę nieuprawnionego wejścia na zastrzeżony teren.

Jest też pożarówka i opisane w IBP zagrożenia wystąpienia pożaru oraz innych zagrożeń miejscowych. Razem z wymienioną fizyczną - jest to praktycznie komplet (taka podstawa) w zakresie rozpoznania zagrożeń zniszczenia lub uszkodzenia danych osobowych. Nie chce wchodzić za dużo w kwestie szczegółowe - ale prosty przykład, jak serwer lub archiwum znajdują się w tej samej strefie pożarowej co magazyn wysokiego składowania, w magazynie duże obciążenie ogniowe, a nie zastosujemy spec pojemników czy urządzeń na ochronę przed pożarem i ... przed wodą (w takich miejscach standardem są instalacje tryskaczowe) lub nie wyłączymy sekcji takiego systemu - wprost wpadamy pod przepis o nieumyślnym niezabezpieczeniu przed zniszczeniem lub uszkodzeniem. A materiał... na Kongres FM zrobiłem szybki przegląd. Około 700 stron ustawy o ochronie ppoż, rozporządzeń, od warunków ochrony, przez zaopatrzenie wodne obiektów po współpracę. Nie sądzę żeby ABI lub IDO, czy jakikolwiek inny spec od ochrony informacji też chciał w tym grzebać na poziomie specjalistycznym.

Kolejne - bezpieczeństwo techniczne. Znowu ryzyka zniszczenia, uszkodzenia danych. Bo przecież zabór czy nieuprawniony dostęp to tylko to co "z człowieka". Zostają przecież z natury i z techniki.

Książka obiektu budowlanego plus przeglądy w zależności od powierzchni - roczne lub półroczne. Znowu informacje o bezpośrednich wręcz zagrożeniach dla DO czy na serwerach, czy na kompach, nośnikach tradycyjnych czy optycznych. Przeciek w dachu, nieszczelne okna, rynny przeciekające. to wszystko tam jest. A do tego podstawy - pajda w postaci prawa budowlanego oraz ponad 100 stronnicowe rozporządzenie w sprawie warunków technicznych. Przenikające się z pozarówka, bo kategorie budynków ze względu na wysokość czy ze względu na klasę zagrożenia - to właśnie tam. A do tego instalacje odgromowe, odprowadzenia wody, etc... Czyli na naturę.

Dodajmy jeszcze zagrożenia okresowe, wynikające już dla konkretnych pomieszczeń, w których są przetwarzane DO, głównie w zakresie ich przechowywania. Plan remontów i ich wykonanie, robiony np przez służby utrzymania ruchu (SUR). Ci też się z pozarówką przenikają, ale od nich tych zagrożeń jest sporo i nie jest to tylko pożar, choć ten jest najczęstszy. Według informacji z EC Żerań, przyczyna pożaru z początku września było zaprószenie ognia w trakcie tzw prac niebezpiecznych pod względem pożarowym. Sporo takich jest, a wyobrazić sobie spalenie działu kadr nie jest trundo - pan Zdzisio (postać fikcyjna) musi pospawać grzejniczek, bo pani Krysi cieknie. Ot heftnie tylko... I jak odchodzi - jest ok, ale iskra padła na materiał żarzący, który do końca dnia pracy nie rozwinął się w pożar. Praca nieskontrolowana zgodnie z IBP np w 2, 4 i 8 godzin po zakończeniu i mieliśmy dane osobowe w teczkach osobowych.... I niezależnie czy dlatego że spłonęły, czy dlatego, że strażacy, z wrodzoną sobie ułańską fantazją wszystko zatopili.

Oczywiście w tych działaniach warto jeszcze dodać prace zewnętrznych podmiotów i standardową przepychankę kto ma ich nadzorować. BHP - które powinno poinformować o ryzykach, ppoż, który winien zapoznać z IBP, ABI, który powinien poinformowawszy, że maja tu czy tam sami nie włazić, HR który czesto odpowiada za kontraktorów? Kto ma w jakim zakresie odpowiadać za zakres bezpieczeństwa danych osobowych w odniesieniu do ryzyk z ludzi - obcych?

Podsumuję, bo mi się znowu wywód zrobił.

Mam nieprzeparte wrażenie, że dyskusja o bezpieczeństwie danych osobowych skupia się ciągle i wciąż wokół systemu organizacji, na zgodność z przepisami, a głównymi ryzykami jakie są rozpatrywane, to te z zagrożeń z katalogu "ludzie".

Podczas gdy moim zdaniem bardzo istotnym jest również rozpatrzenie ryzyk z natury i z techniki. A to wymaga nieco więcej niż ABI, czy IDO którzy są biegłymi prawnikami, dobrymi informatykami. To jest kwestia całego dużego zespołu bezpieczeństwa informacji, w którym wiele osób dostarcza informacji okresowych (przeglądy budowlane, sprzętu i instalacji ppoż,) bieżących (naprawy i remonty - zarówno w miejscach gdzie generowane są wprost zagrożenia dla DO jak i tych, gdzie remontowane lub przeglądane są elementy systemu zabezpieczeń - bo w tym czasie on nie działa). Dlatego sprzeciwiam się rozbudowie działów stricte poświęconych bezpieczeństwu, bo może to być często kopia kompetencji zadań już realizowanych w organizacjach.

Natomiast byłbym za tym, żeby ABI czy IDO miał możliwość korzystania z całego zespołu bezpieczników z innych zakresów i żeby to było zapisane w przepisie. Bo w tym momencie nawet idąc nurtem zgodnościowym, na sprawdzenie tylko wymogów z automatu "przypomni i zmusi" do rozpatrzenia zagrożeń i ustanowienia systemu ochrony danych osobowych zgodnie z art 36 ustawy.

I to jest moja odpowiedź, czemu nie piony bezpieczeństwa dla DO.Grzegorz K. edytował(a) ten post dnia 16.10.12 o godzinie 08:46