Cybersecurity Documentation in Hospital Setting - Best Practices for Data Protection

Dokumentacja Dokumentacja w obszarze cyberbezpiecze stwa cyberbezpiecze stwa w Szpitalu w Puszczykowie Szpitalu w Puszczykowie w obszarze w dr n med. El bieta Prussak Inspektor Ochrony Danych /Pe nomocnik ds. Cyberbezpiecze stwa Szpital w Puszczykowie Grudzie 2022

Kady pracownik ma obowizek chroni dane Ka dy pracownik ma obowi zek chroni dane osobowe przed dost pem do nich os b osobowe przed dost pem do nich os b nieupowa nionych nieupowa nionych Za prawid owy nadz r przetwarzania danych oraz zapewnienie im odpowiedniej ochrony odpowiada ka dy pracownik na swoim stanowisku pracy, zgodnie z obowi zkami pracowniczymi. Za nieprzestrzeganie procedur bezpiecze stwa i naruszenie ochrony danych grozi odpowiedzialno finansowa, odszkodowawcza, dyscyplinarna, a w skrajnych przypadkach nawet karna.

Definicja danych osobowych Dane osobowe oznaczaj informacje o zidentyfikowanej lub mo liwej do zidentyfikowania osobie fizycznej ( osobie, kt rej dane dotycz ); mo liwa do zidentyfikowania osoba fizyczna to osoba, kt r mo na bezpo rednio lub po rednio zidentyfikowa , w szczeg lno ci na podstawie identyfikatora takiego jak imi i nazwisko, adres, dane o lokalizacji, identyfikator internetowy lub jeden b d kilka szczeg lnych czynnik w okre laj cych fizyczn , fizjologiczn , genetyczn , psychiczn , ekonomiczn , kulturow lub spo eczn to samo osoby fizycznej.

Prawidowe postpowanie z danymi osobowymi Zamyka pomieszczenia, w kt rych s przetwarzane dane osobowe powinny na klucz. W przypadku pomieszcze , do kt rych dost p maj r wnie osoby nieupowa nione, mog przebywa w tych pomieszczeniach tylko w obecno ci os b upowa nionych i tylko w czasie wymaganym na wykonanie niezb dnych czynno ci. Dane w formie papierowej mog znajdowa si na biurkach tylko na czas niezb dny na dokonanie czynno ci s u bowych a nast pnie musz by chowane do szaf.

cd. Dost p do komputer w, na kt rych s przetwarzane dane maj tylko upowa nieni pracownicy. Monitory komputer w, na kt rych przetwarzane s dane s tak ustawione aby osoby nieupowa nione nie mia y wgl du w dane. Niezabezpieczonych danych osobowych nie nale y przesy a drog elektroniczn dane osobowe przesy amy w formie zaszyfrowanej wg obowi zuj cej Instrukcji. B dne lub nieaktualne wydruki i wersje papierowe zawieraj ce dane osobowe lub inne informacje chronione niszczone s za pomoc niszczarki lub w inny mechaniczny spos b uniemo liwiaj cy powt rne ich odtworzenie.

Przypadki zakwalifikowane jako naruszenie lub uzasadnione podejrzenie naruszenia zabezpieczenia danych osobowych to g wnie: awaria sprz tu lub oprogramowania, kt re wyra nie wskazuj na umy lne dzia anie w kierunku naruszenia ochrony danych lub wr cz sabota , a tak e niew a ciwe dzia anie serwisu, a w tym sam fakt pozostawienia serwisant w bez nadzoru, pojawienie si odpowiedniego komunikatu alarmowego od tej cz ci systemu, kt ra zapewnia ochron zasob w lub inny komunikat o podobnym znaczeniu, jako danych w systemie lub inne odst pstwo od stanu oczekiwanego wskazuj ce na zak cenia systemu lub inn nadzwyczajn i niepo dan modyfikacj w systemie

cd praca przy komputerze lub w sieci osoby, kt ra nie jest formalnie dopuszczona do jego obs ugi podmiana lub zniszczenie no nik w z danymi bez odpowiedniego upowa nienia lub w spos b niedozwolony skopiowanie danych osobowych, ra ce naruszenie dyscypliny pracy w zakresie przestrzegania procedur bezpiecze stwa informacji (nie wylogowanie si przed opuszczeniem stanowiska pracy, pozostawienie danych w drukarce, na ksero, nie zamkni cie pomieszczenia z komputerem, nie wykonanie w okre lonym terminie kopii bezpiecze stwa, prace na informacjach s u bowych w celach prywatnych, itp.) stwierdzone nieprawid owo ci w zakresie zabezpieczenia miejsc przechowywania informacji (otwarte szafy, biurka, rega y, urz dzenia archiwalne i inne) na no nikach tradycyjnych tj. na papierze (wydrukach), kliszy, folii, zdj ciach, p ytach CD w formie niezabezpieczonej itp.

Podstawy zarzdzania informacj w szpitalu Podstawy zarz dzania informacj w szpitalu dokumentacja dokumentacja - - cyberbezpiecze stwo cyberbezpiecze stwo 1. System Zarz dzania Jako ci ISO 9001. 2. Polityka Bezpiecze stwa Informacji (PBI) w tym Polityka ochrony danych 3. Procedura nadawania uprawnie do system w informatycznych dzia aj cych w Szpitalu 4. Regulaminy 5. Procedury 6. Instrukcje

Polityka Bezpieczestwa Informacji (PBI) Gestor systemu (Zarz d Szpitala) zapewnia w a ciwy nadz r nad Polityk Bezpiecze stwa Informacji, wraz z powi zanymi z ni dokumentami (za cznikami), stanowi cymi dokumentacj bezpiecze stwa informacji; zarz dzanie informacj jest dzia aniem zarz dczym, cyklicznym, polegaj cym na zebraniu danych dotycz cych stanu i poziomu bezpiecze stwa informacji w systemie oraz skuteczno ci ustanowionych i wdro onych rozwi za organizacyjnych i technicznych bezpiecze stwa, ocenie na ich podstawie luk, podatno ci i zagro e oraz niezgodno ci.

PBI zakres (dost p: www.szpitalwpuszczykowie.com.pl/akty-prawne ) Deklaracja stosowania Zarz dzanie Ryzykiem DPIA - Ocena skutk w ochrony danych osobowych (Data Protection Impact Assesment) Polityka Ochrony Danych Osobowych Procedury Bezpiecznej Eksploatacji System w Informatycznych Regulamin monitoringu wizyjnego Instrukcja zabezpieczenia pomieszcze (polityka kluczy) Rejestr Incydent w bezpiecze stwa Informacji Regulamin korzystania ze s u bowego konta poczty elektronicznej przez pracownik w Szpitala

Polityka Ochrony Danych Osobowych (PODO) Polityka Ochrony Danych Osobowych (PODO) Celem Polityki Ochrony Danych Osobowych jest opis zasad ochrony danych osobowych przetwarzanych w Szpitalu zar wno w formie tradycyjnej (papierowej) jak i z wykorzystaniem system w teleinformatycznych; obowi zuje wszystkich pracownik w Szpitala bez wzgl du na form zatrudnienia; dotyczy funkcjonowania ca ego Szpitala w Puszczykowie.

Zakres Polityki Ochrony Danych Osobowych Zakres Polityki Ochrony Danych Osobowych upowa nienie do przetwarzania danych osobowych Klauzula informacyjna o wiadczenie o zachowaniu poufno ci karta zapoznania z dokumentacj Instrukcja Ochrony Danych Osobowych rejestr narusze bezpiecze stwa ochrony danych osobowych rejestr czynno ci przetwarzania danych osobowych rejestr kategorii czynno ci przetwarzania rejestr um w powierzenia przetwarzania danych osobowych

Procedura nadawania uprawnie do systemw Procedura nadawania uprawnie do system w informatycznych dzia aj cych w Szpitalu informatycznych dzia aj cych w Szpitalu dost p: szpitalwpuszczykowie.com.pl/ dost p: szpitalwpuszczykowie.com.pl/wewnetrzne wewnetrzne/wykaz /wykaz- -procedur.html procedur.html Celem Procedury jest wprowadzenie jednolitego systemu nadawania uprawnie do system w informatycznych dzia aj cych w Szpitalu Dzia IT przy wsp pracy z Dzia em Kadr przyznaje uprawnienia w zakresie dost pu do system w na wniosek Kierownika kom rki organizacyjnej Kierownicy kom rek organizacyjnych zobowi zani s informowa Dzia IT drog mailow pod adres informatyk@szpitalwpuszczykowie.com.pl o ka dej zmianie dotycz cej podleg ych pracownik w maj cej wp yw na zakres posiadanych uprawnie w systemach informatycznych Szpitala

Regulamin monitoringu wizyjnego Regulamin monitoringu wizyjnego Okre la cel i zasady funkcjonowania systemu monitoringu wizyjnego w Szpitalu w Puszczykowie im. prof. S.T. D browskiego (dalej jako SZPITAL), w siedzibie Szpitala przy ul. J.I. Kraszewskiego 11, 62-041 Puszczykowo, wraz z terenem przylegaj cym, a tak e miejsca instalacji kamer, regu y rejestracji i zapisu informacji oraz spos b ich zabezpieczenia, a tak e mo liwo udost pniania zgromadzonych danych. Obowi zek informacyjny wzgl dem os b, kt rych dane osobowe mog zosta utrwalone przez system monitoringu jest realizowany za po rednictwem strony internetowej Szpitala (zak adka PACJENT) oraz poprzez udost pnienie stosownych informacji w widocznych miejscach w obiektach Szpitala obj tych monitoringiem.

Procedury Bezpiecznej Eksploatacji Systemw Procedury Bezpiecznej Eksploatacji System w Informatycznych (PBESI) Informatycznych (PBESI) Celem procedur jest zapewnienie jak najwy szego poziomu bezpiecze stwa informacji przetwarzanych w systemach teleinformatycznych eksploatowanych w Szpitalu. Zakres procedur obejmuje wszystkie wykorzystywane w Szpitalu. Zarz d Szpitala wyznaczy Administratora System w Informatycznych (ASI) jako osob odpowiedzialn za opracowanie, wdro enie i nadz r nad dokumentacj bezpiecze stwa system w teleinformatycznych. systemy teleinformatyczne

Instrukcja zabezpieczenia pomieszcze Instrukcja zabezpieczenia pomieszcze ( (polityka kluczy polityka kluczy) ) Budynki Szpitala w Puszczykowie im Prof. S.T. D browskiego S.A. podlegaj ochronie ca odobowej polegaj cej na dozorze, ochronie fizycznej oraz monitorowaniu przy wizyjnego przez podmiot zewn trzny post powania w trybie zam wie publicznych. wykorzystaniu wy oniony monitoringu w drodze

Odpowiedzialno klucze do pomieszcze wyci g z procedury Kierownik Dzia u Utrzymania Ruchu odpowiada za nale yte przechowywanie, zabezpieczenie oraz udost pnianie kluczy w tym kluczy zapasowych. Klucze od pomieszcze przechowuje si w szafach w portierni u pracownika ochrony. Osoby uprawnione do posiadania kluczy do pomieszcze s u bowych nie mog ich udost pnia innym osobom i s zobowi zane do osobistego ich zwrotu w dniu pobrania. Wydawanie i przyjmowanie kluczy jest odnotowywane przez pracownika ochrony w ksi ce wydawania i przyjmowania kluczy. Nie oddanie klucza po zako czeniu pracy powoduje wszcz cie przez pracownika ochrony poszukiwa osoby pobieraj cej klucze.

Rejestr Incydentw Rejestr Incydent w bezpiecze stwa Informacji bezpiecze stwa Informacji Zapewnienie skutecznego reagowania na incydenty zwi zane z bezpiecze stwem informacji oraz informowanie o zdarzeniach i s abo ciach jest podstawowym celem zarz dzania incydentami w Szpitalu Ka dy pracownik jest zobowi zany zg osi nieprawid owo ci prze o onemu lub ASI/IOD Procesy monitorowania, pomiaru, analizy i oceny na poziomie wykonawczym realizowane s przez ASI oraz IOD w trybie ci g ym dla zapewnienia aktualnych informacji niezb dnych do w a ciwej oceny sytuacji, podejmowania w a ciwych decyzji i dzia a odno nie funkcjonowania systemu. ASI oraz IOD konsultuj ocen systemu bezpiecze stwa z kierownikami kom rek organizacyjnych Szpitala.

Przykadowe zdarzenia, ktre powinny by traktowane, Przyk adowe zdarzenia, kt re powinny by traktowane, jako incydent bezpiecze stwa informacji jako incydent bezpiecze stwa informacji: : Zak cenie lub niemo no realizowania zada przez Szpital w zwi zku z awari system w informatycznych. Nieprawid owe dzia anie system w, aplikacji. Naruszenie bezpiecze stwa danych osobowych. Nieuprawnione skopiowanie i udostepnienie informacji ( w tym danych osobowych) Celowe lub nieumy lne zniszczenie informacji. Niezgodno ci z politykami, instrukcjami lub zaleceniami opisanymi w PBI. Naruszenia zasad zwi zanych z bezpiecze stwem fizycznym systemu informatycznego. Naruszenie fizycznych zabezpiecze danych, oznaki w amania. Niekontrolowane zmiany w systemie IT. Awaria sprz tu teleinformatycznego. Naruszenia dost pu do system w informatycznych.

Regulamin Regulamin korzystania ze s u bowego konta poczty korzystania ze s u bowego konta poczty elektronicznej przez pracownik w Szpitala elektronicznej przez pracownik w Szpitala Administrator System w Informacyjnych (ASI) ma obowi zek przyzna pracownikowi na czas zatrudnienia, s u bowe elektroniczne konto pocztowe na wniosek (DZW) kierownika kom rki organizacyjnej. zgodnie z nast puj cym wzorcem (stanowisko@szpitalwpuszczykowie.com.pl)

Zasady uytkowania subowej poczty elektronicznej wyci g z regulaminu Wszystkie wiadomo ci e-mail wytworzone lub przys ane do U ytkownika stanowi w asno Pracodawcy. U ytkownicy s u bowej poczty elektronicznej s zobowi zani do korzystania z poczty elektronicznej w taki spos b, aby minimalizowa ryzyka naruszenia bezpiecze stwa informacji i ochrony danych osobowych. U ytkownicy s u bowej poczty elektronicznej ponosz odpowiedzialno za dzia ania podejmowane z wykorzystaniem przydzielonego konta pocztowego

Procedura postepowania z dokumentacj medyczn dost p: szpitalwpuszczykowie.com.pl/ dost p: szpitalwpuszczykowie.com.pl/wewnetrzne wewnetrzne/wykaz /wykaz- -procedur.html procedur.html Cel: zgodnie z obowi zuj cymi w tym zakresie przepisami poprzez wykonywanie powierzonych zada w spos b zgodny z prawem, rzetelnie, przejrzy cie z zachowaniem integralno ci i poufno ci. obowi zuje wszystkie osoby zatrudnione, niezale nie od formy zatrudnienia. ustalenie jednolitych zasad post powania z dokumentacj medyczn , Kierownicy kom rek organizacyjnych odpowiadaj za wdro enie i nadz r nad stosowaniem procedury w obr bie kom rki organizacyjnej. W Szpitalu wdro ono mechanizmy zapewniaj ce regularn ocen zawarto ci, kompletno ci oraz autoryzacji dokumentacji medycznej. Zarz d Szpitala powo a Zesp ds. oceny dokumentacji medycznej.

Procedura archiwizowania dokumentacji Procedura archiwizowania dokumentacji dost p: szpitalwpuszczykowie.com.pl/wewnetrzne/wykaz-procedur.html Celem Procedury jest okre lenie zasad i trybu przechowywania dokumentacji wytworzonej w Szpitalu w Puszczykowie. Procedura dotyczy pracownik w Szpitala. Odpowiedzialno za prawid owe stosowanie Procedury ponosz kierownicy kom rek organizacyjnych Szpitala.

Zakres przechowywanej/archiwizowanej dokumentacji Zakres przechowywanej/archiwizowanej dokumentacji : : pisma wchodz ce i wychodz ce kadrowo-p acowa oraz finansowa dokumentacja w ramach zam wie publicznych dokumentacja projektowa dokumentacja dotycz ca wiadcze medycznych post powa ofertowych, umowy ze wiadczeniodawcami. Przechowywanie dokumentacji medycznej wg Procedury post powania z dokumentacj medyczn

Zaczniki do procedury archiwizowania Za czniki do procedury archiwizowania wytworzonej w szpitalu dokumentacji wytworzonej w szpitalu dokumentacji Protok zdawczo-odbiorczy Spis odbiorczy akt pisemne upowa nianie do korzystania z dokument w zarchiwizowanych Protok oceny dokumentacji niearchiwalnej spis dokumentacji niearchiwalnej protok zwrotu Schemat post powania z dokumentacj z archiwum zewn trznego

DZIKUJ DZI KUJ