Obowiązki przedsiębiorcy telekomunikacyjnego w zakresie ochrony informacji i bezpieczeństwa narodowego Andrzej Jasik PIN Consulting Sp. z o.o.

Prezentacja na temat: "Obowiązki przedsiębiorcy telekomunikacyjnego w zakresie ochrony informacji i bezpieczeństwa narodowego Andrzej Jasik PIN Consulting Sp. z o.o."— Zapis prezentacji:

1 Obowiązki przedsiębiorcy telekomunikacyjnego w zakresie ochrony informacji i bezpieczeństwa narodowego Andrzej Jasik PIN Consulting Sp. z o.o.

2 WSTĘP Prelegent Andrzej Jasik - PIN Consulting Sp. z o.o.
Czas prezentacji 10: :15 Prośba o wypełnienie prostej ankiety Cel prezentacji Omówienie wymagań nakładanych przez polskie prawo na przedsiębiorców telekomunikacyjnych w zakresie bezpieczeństwa informacji (tajemnica telekomunikacyjna, ochrona danych osobowych, informacje niejawne, bezpieczeństwo narodowe) 2

3 AGENDA Retencja danych
Bezpieczeństwo informacji podczas realizacji zadań na rzecz obronności kraju i porządku publicznego Tajemnica telekomunikacyjna Bezpieczeństwo danych osobowych Zapewnienie ciągłości działania w sytuacjach szczególnych zagrożeń 3

4 PODSTAWY PRAWNE ORAZ STOSOWANE SKRÓTY
Ustawa o Ochronie Informacji Niejawnych (OIN) Dz.U Ustawa Prawo Telekomunikacyjne (PT) Dz.U Ustawa o Ochronie Danych Osobowych (UODO) Dz.U Rozporządzenie Rady Ministrów z dnia 13 września 2005 r. w sprawie wypełniania przez przedsiębiorców telekomunikacyjnych zadań i obowiązków na rzecz obronności, bezpieczeństwa państwa oraz bezpieczeństwa i porządku publicznego Rozporządzenie Ministra Infrastruktury z dnia 16 czerwca 2005 r. w sprawie planu działań przedsiębiorcy telekomunikacyjnego w sytuacjach szczególnych zagrożeń Rozporządzenie Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych 4

5 BEZPIECZEŃSTWO INFORMACJI
DOBRE PRAKTYKI I NORMY PRAWO INOVA TELECOM KLIENT 5

6 RETENCJA DANYCH Użytkownik INOVA TELECOM 6

7 O JAKIE INFORMACJE CHODZI? (ART. 159 ust. 1 pkt 3)
Dane transmisyjne dotyczące abonentów i użytkowników końcowych Co to są dane transmisyjne? Dane o ruchu Dane o lokalizacji Dotyczy telefonii oraz usług IP Muszą być bezpośrednio powiązane z przekazywaniem komunikatów i naliczaniem opłat 7

8 PO CO RETENCJA? Dane powinny być dostępne dla uprawnionych służb w celu realizacji zadań na rzecz bezpieczeństwa, obronności, porządku publicznego oraz zwalczania przestępstw kryminalnych 8

9 DANE POWINNY BYĆ NALEŻYCIE CHRONIONE
Obowiązuje tajemnica telekomunikacyjna (Art. 165 ust. 1 PT) oraz ochrona danych osobowych (UODO) Przechowywane przez 2 lata Dane powinny być należycie chronione 9

10 JAKIE BŁĘDY POPEŁNIONO?
Dane były przechowywane za krótko Nie przechowywano wszystkich wymaganych danych Nie wdrożono zasad ochrony danych osobowych dla zbiorów retencyjnych 10

11 Uprawnione podmioty Użytkownik INOVA TELECOM RETENCJA
BEZPIECZEŃSTWO NARODOWE ORAZ OCHRONA INFORMACJI NIEJAWNYCH Uprawnione podmioty Użytkownik INOVA TELECOM 11

12 O JAKIE INFORMACJE CHODZI?
Uprawnione podmioty mogą zwrócić się do przedsiębiorcy telekomunikacyjnego o następujące informacje: ustalenie danych abonenta numeru telefonu ustalenie użytkownika adresu IP zlecić wykonanie kontroli operacyjnej treści Dane są przekazywane w celu wykonywania zadań na rzecz obronności, bezpieczeństwa państwa oraz bezpieczeństwa i porządku publicznego (Art. 179 PT) 12

13 JAKIE TO SĄ UPRAWNIONE PODMIOTY WEDŁUG PT?
Jednostki organizacyjne podległe Ministrowi Obrony Narodowej lub przez niego nadzorowane Uprawnione organy i jednostki organizacyjne nadzorowane lub podległe ministrowi właściwemu do spraw wewnętrznych Podległe Ministrowi właściwemu do: spraw finansów publicznych Szefowi Agencji Bezpieczeństwa Wewnętrznego Szefowi Agencji Wywiadu Szefowi Centralnego Biura Antykorupcyjnego Jakie to są uprawnione służby? 13

14 DLACZEGO OCHRONA INFORMACJI NIEJAWNYCH?
Otrzymanie zapytania od uprawnionej służby i przekazanie odpowiedzi może wiązać się z zachowaniem bezpieczeństwa dla informacji niejawnej - sprawa wagi służbowej (zastrzeżone i poufne) lub państwowej (tajne, ściśle tajne) Rozporządzenie Rady Ministrów z dnia 13/09/ akt wykonawczy Art. 179 PT 14

15 Wymogiem jest posiadanie Certyfikatu Bezpieczeństwa Przemysłowego do poziomu ściśle tajne I, II lub III stopnia Pion Ochrony Pełnomocnik ds. Ochrony Informacji Niejawnych Inspektor Bezpieczeństwa Teleinformatycznego Administrator Systemu Teleinformatycznego Kierownik Kancelarii Tajnej Kancelaria Tajna Certyfikowany system informatyczny 15

16 JAKIE BŁĘDY POPEŁNIONO?
Koperta z informacją niejawną oznaczona klauzulą 'tajne" została otwarta w sekretariacie firmy Uzyskano certyfikat bezpieczeństwa przemysłowego nie odpowiedni do wielkości przedsiębiorstwa Udzielono odpowiedzi do służby, ale nie uprawnionej (komendzie miejskiej policji) 16

17 OCHRONA INFORMACJI NIEJAWNYCH
RETENCJA OCHRONA INFORMACJI NIEJAWNYCH TAJEMNICA TELEKOMUNIKACYJNA Użytkownik INOVA TELECOM 17

18 Dane dotyczące użytkowników Treść komunikatów Dane transmisyjne
JAKIE INFORMACJE OBJĘTE SĄ TAJEMNICĄ TELEKOMUNIKACYJNĄ? (ART. 159 UST. 1 PT) Dane dotyczące użytkowników Treść komunikatów Dane transmisyjne Dane o próbach uzyskania połączeń Jakie informacje objęte są tajemnica telekomunikacyjną? (Art. 159 ust. 1 PT) 18

19 NA CZYM POLEGA TEJEMNICA TELEKOMUNIKACYJNA? (ART. 159 UST. 2 PT)
Jeżeli, nie jest się, ani nadawcą, ani odbiorcą informacji to zakazane jest: zapoznawanie się utrwalanie przechowywanie przekazywanie lub inne wykorzystywanie informacji Operator tylko w celu świadczenia usługi 19

20 ZAKRES DANYCH, KTÓRE MOŻNA PRZETWARZAĆ (ART. 161 PT). 1)
ZAKRES DANYCH, KTÓRE MOŻNA PRZETWARZAĆ (ART PT) 1) nazwiska i imiona; 2) imiona rodziców; 3) miejsce i datę urodzenia; 4) adres miejsca zameldowania na pobyt stały; 5) numer ewidencyjny PESEL; 6) nazwy, serie i numery dokumentów potwierdzających tożsamość. Zakres danych, które można przetwarzać 20

21 JAKIE BŁĘDY POPEŁNIONO?
Niedostatecznie chroniono poufność danych objętych tajemnica telekomunikacyjną - dane zostały pozyskane przez postronne osoby Podczas zawierania umowy od użytkowników pozyskiwano zbyt dużo danych (nazwisko panieńskie matki) 21

22 Użytkownik INOVA TELECOM RETENCJA OCHRONA INFORMACJI NIEJAWNYCH
TAJEMNICA TELEKOMUNIKACYJNA OCHRONA DANYCH OSOBOWYCH Użytkownik INOVA TELECOM 22

23 W CELU SPEŁNIENIA WYMOGÓW UODO NALEŻY (1):
Posiadać wymaganą dokumentację, na którą składa się: polityka bezpieczeństwa instrukcja zarządzania systemem informatycznym rejestr osób uprawnionych do przetwarzania danych osobowych upoważnienia osób uprawnionych do przetwarzania danych osobowych dziennik backupów 23

24 W CELU SPEŁNIENIA WYMOGÓW UODO NALEŻY (2):
Zabezpieczyć system informatycznego przetwarzający dane osobowe, w szczególności system powinien posiadać: zasilanie awaryjne indywidualne hasła użytkowników backup danych szyfrowanie połączeń firewall 24

25 W CELU SPEŁNIENIA WYMOGÓW UODO NALEŻY (3):
Zarejestrować zbiór w GIODO Zabezpieczyć fizycznie dane przetwarzane w wersji papierowej Przeszkolić osoby biorące udział w przetwarzaniu danych osobowych 25

26 JAKIE BŁĘDY POPEŁNIONO?
Przetwarzano dane osobowe bez rejestracji zbioru Przetwarzano dane bez prowadzenia odpowiedniej dokumentacji Nie zabezpieczono zbiorów papierowych 26

27 Użytkownik INOVA TELECOM OCHRONA INFORMACJI NIEJAWNYCH RETENCJA
TAJEMNICA TELEKOMUNIKACYJNA OCHRONA DANYCH OSOBOWYCH PLAN DZIAŁAŃ W SYTUACJACH SZCZEGÓLNYCH ZAGROŻEŃ Użytkownik INOVA TELECOM 27

28 Uwzględnienie możliwości wystąpienia sytuacji szczególnych zagrożeń przy planowaniu, budowie, rozbudowie infrastruktury oraz sporządzenie planu działań (Art. 176 PT ) W sytuacjach szczególnych zagrożeń, jeżeli zwykłe środki konstytucyjne są niewystarczające, może zostać wprowadzony odpowiedni stan nadzwyczajny: stan wojenny, stan wyjątkowy lub stan klęski żywiołowej. (Art. 228 ust. 1 Konstytucji RP) 28

29 ZAWARTOŚĆ PLANU Analiza i oceny ryzyka, ocena wpływu szczególnych zagrożeń na własną infrastrukturę oraz zdolność do ciągłości prowadzonej działalności Analiza potrzeb i uzgodnienia m.in. z UKE, MON, MSWiA, ABW, Wojewodami Zabezpieczenia publicznych sieci telekomunikacyjnych i urządzeń telekomunikacyjnych przed zakłóceniami, skutkami katastrof i klęsk żywiołowych oraz nieuprawnionym dostępem Plan zawiera opisy wdrożonych systemów zabezpieczeń oraz procedur i środków wdrażanych w sytuacjach szczególnych zagrożeń 29

30 ZAWARTOŚĆ PLANU Plan może występować w wersjach: Plan lokalny
Plan rejonowy Plan ogólny Wersja planu jest uzależniona od obszaru działania przedsiębiorcy telekomunikacyjnego Planu nie wykonują przedsiębiorcy działający na obszarze nie przekraczającym jednej gminy Plan ogólny wykonują przedsiębiorcy, którzy są umieszczeni w załączniku do rozporządzenia Rady Ministrów z dnia 20 sierpnia 2004 r. w sprawie wykazu przedsiębiorców o szczególnym znaczeniu gospodarczo-obronnym (Dz. U. Nr 192, poz. 1965), 30

31 JAKIE BŁĘDY POPEŁNIONO?
Nie wykonano planu Nie przekazano planu do UKE i Ministerstwa Infrastruktury Plan był nieaktualny (należy wykonywać aktualizacje bieżące planu oraz maksymalnie raz na 3 lata aktualizację pełną) 31

32 PODSUMOWANIE Użytkownik INOVA TELECOM OCHRONA INFORMACJI NIEJAWNYCH
RETENCJA TAJEMNICA TELEKOMUNIKACYJNA OCHRONA DANYCH OSOBOWYCH PLAN DZIAŁAŃ W SYTUACJACH SZCZEGÓLNYCH ZAGROŻEŃ Użytkownik INOVA TELECOM 32

33 PIN Consulting Sp. z o.o. Jesteśmy firmą specjalizującą się w zagadnieniach bezpieczeństwa w biznesie. Działamy w obszarze: Ochrony informacji niejawnych; Doradztwa dla przedsiębiorców telekomunikacyjnych; Ochrony danych osobowych; Nasz zespół. Doświadczenia. Nasze propozycje dla telekomunikacji. Copyright © PIN Consulting Sp. z o.o.

34 DZIĘKUJĘ ZA UWAGĘ! PYTANIA?
Andrzej Jasik 34