Samorządy są zobowiązane do zabezpieczenia swoich sieci komputerowych

Przetwarzanie danych osobowych przy użyciu komputerów w urzędach jest dziś powszechną praktyką. Mniej powszechne jest stosowanie wymaganych przez prawo zabezpieczeń technicznych tego procesu i prawidłowe administrowanie nim. Tymczasem każda jednostka administracji publicznej, jeśli dysponuje zbiorem danych osobowych (zawartym np. w rejestrach handlowych, ewidencji działalności gospodarczej, rejestrach zastawów, księgach wieczystych itp.) i przetwarza go za pomocą komputerów, zobowiązana jest zastosować zabezpieczenia przewidziane w rozporządzeniu ministra spraw wewnętrznych i administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych.

Wymagania techniczne

Rodzaj stosowanych zabezpieczeń zależy od poziomu przetwarzania danych osobowych. Ze względu na możliwe zagrożenia danych i samą ich kategorię wspomniane rozporządzenie wyróżnia następujące poziomy przetwarzania danych:

• poziom podstawowy - ma miejsce wówczas, gdy system informatyczny nie przetwarza danych wrażliwych (np. o chorobach poszczególnych osób) i żaden z komputerów użytkowanych w urzędzie systemu nie jest połączony z siecią publiczną, w praktyce chodzi tu o połączenie z internetem),

• poziom podwyższony - gdy komputery przetwarzają dane wrażliwe, ale żaden z nich nie jest połączony z siecią publiczną,

• poziom wysoki - stosuje się niezależnie od rodzaju przetwarzanych danych, gdy przynajmniej jedno urządzenie urzędowego systemu informatycznego, służącego do przetwarzania danych osobowych, połączone jest z siecią publiczną.

Dziś w większości urzędów mamy w praktyce do czynienia z poziomem wysokim, gdyż przynajmniej jeden z komputerów jest tam połączony z internetem. Załącznik do wspomnianego rozporządzenia zawiera opis środków bezpieczeństwa sieci komputerów, jakie należy podjąć w każdym urzędzie, w celu należytej ochrony danych. Na poziomie podstawowym wymagane jest m.in. zabezpieczenie obszaru przetwarzania danych przed dostępem osób nieuprawnionych i samych danych przed ich zniszczeniem, wprowadzenie mechanizmów kontroli dostępu (identyfikatory), zachowanie szczególnej ostrożności przy transporcie urządzeń zawierających chronione dane (płyty CD, przenośne dyski pamięci, a także tradycyjne dyskietki). Na poziomie podwyższonym należy dodatkowo wprowadzić hasła dla użytkowników systemu zawierającego dane, a urządzenia przemieszczane poza obszar przetwarzania zabezpiecza się w sposób zapewniający poufność i integralność utrwalonych tam danym. Nie jest jednak wyjaśnione, w jaki konkretnie sposób to osiągnąć - istnieje tu interpretacyjna dowolność działania dla wyspecjalizowanych pracowników danej jednostki. Na poziomie wysokim, gdy zachodzi łączność systemu komputerowego w urzędzie z siecią publiczną, należy przede wszystkim wdrożyć fizyczne lub logiczne zabezpieczenia przed nieuprawnionym dostępem kogoś z zewnątrz i środki ochrony kryptograficznej (szyfrowanie).