Smernica na používanie prostriedkov pre spracovanie informácií a ochranu informácií

Obsah

Čl. 1. Úvod 3

Čl. 2. Použité pojmy a skratky 3

Čl. 3. Heslová politika 4

Čl. 4. Základné pravidlá používania 4

Čl. 5. Pravidlá pre používanie sieťových a komunikačných služieb 8

Čl. 6. Pravidlá pre používanie internetu 10

Čl. 7. Pravidlá pre používanie elektronickej pošty 11

Čl. 8. Zálohovanie 12

Čl. 9. Prevádzka a aktualizácia pracovných staníc 12

Čl. 10. Podpora používateľov 12

Čl. 11. Základné pravidlá pre ochranu informácií 13

Čl. 12. Zásady manipulácie s informáciami 13

Čl. 13. Prístup a výmena informácií s tretími stranami 13

Čl. 14. Nahlasovanie podozrenia na bezpečnostný incident a bezpečnostného incidentu 14

Čl. 15. Bezpečnostné povedomie 14

Čl. 16. Pravidlo čistého stola a čistej obrazovky (IS bez dozoru) 14

Čl. 17. Práca z domu 14

Čl. 18. Pravidlá monitorovania 15

Čl. 19. Pravidlá pre privilegovaných používateľov systémov a administrátorov monitorovania 15

Čl. 20. Súvisiace dokumenty 16

Čl. 21. História zmien 16

Úvod

Smernica pre používanie prostriedkov pre spracovanie informácií a ochranu informácií (ďalej aj Smernica) definuje pravidlá pre prípustné používanie prostriedkov pre spracovanie informácií (koncové zariadenia, komunikačné pracovné nástroje/SW/aplikácie, služby uvedené v tejto Smernici, atď.) a ochranu informácií v skupine Slovak Lines (ďalej len Spoločnosť alebo Spoločnosti), s cieľom zabezpečiť informačnú a kybernetickú bezpečnosť v Spoločnosti, t. j. zabezpečiť dôvernosť, integritu a dostupnosť informácií.

Smernica definuje základné pravidlá správania sa a dobrej praxe v oblasti informačnej a kybernetickej bezpečnosti a ochrany informácií.

Pravidlá definované touto Smernicou sú platné pre všetkých používateľov.

Porušenie týchto pravidiel je klasifikované ako bezpečnostný incident, ktorý musí byť nahlásený (v súlade s Čl. 14 tejto Smernice).

Použité pojmy a skratky

Smernica používa tieto pojmy a skratky:

Používateľ - zamestnanec (osoba v pracovnom pomere alebo obdobnom vzťahu) Spoločností, resp. používateľ tretej strany, ktorý má na základe zmluvy prístup k technologickým systémom Spoločností.

Vlastník informácie - vedúci zamestnanec, kompetentný pre definovanie procesu, v rámci ktorého sú informácie spracúvané.

Autentizačný prostriedok - slúži na overenie identity používateľa. Ide o pridelené prihlasovacie meno a heslo, prípadne PIN, šifrovací kľúč, čipová karta apod.

Technologický systém – informačný a komunikačný systém, aplikácia, databáza, operačný systém, sieťový komponent, atď. prevádzkovaný Spoločnosťou alebo využívaný v Spoločnosti na pracovné účely a poskytovanie služieb.

Osobný mail box - služobná Elektronická poštová schránka poskytnutá Spoločnosťou používateľovi.

Skupinový mailbox - slúži pre vzájomnú komunikáciu (výmenu informácií) v rámci skupiny užívateľov Elektronickej pošty.

Distribučné listy- slúžia pre zoskupenie dvoch a viacerých používateľov elektronickej pošty Spoločnosti za účelom zefektívnenia častého rozosielania správ v tejto skupine používateľov, alebo nastavenia prístupových práv.

Informácia - všetky dáta, výsledky tvorivej činnosti, duševné vlastníctvo (autorské práva a práva priemyselného vlastníctva), know-how, obchodné tajomstvo, informácie, ktoré nie sú dostupné verejnosti, skutočnosti, údaje, osobné údaje, poznatky, znalosti, vedomosti, výstupy rokovaní, postupy, procesy, ciele, tabuľky, grafy, náčrty, výkresy, dokumentácia, a pod. v akejkoľvek zmyslami vnímateľnej podobe (napr. listinná podoba, elektronická forma, informácia podaná ústnym podaním alebo formou pozorovania).

Integrita - vlastnosť informácie definujúca istotu, že informácia nebola neautorizovaným spôsobom zmenená ani nebola narušená jej celistvosť alebo úplnosť.

Intranet - je určený hlavne pre publikovanie oficiálnych, platných informácií a dokumentov s cieľom informovania všetkých používateľov.

Microsoft 365, OneDrive - každý používateľ Spoločnosti, ktorý prevzal koncové zariadenie, získal automaticky prístup k zdieľanému dátovému úložisku OneDrive. Používateľ je povinný využívať daný priestor na zálohu (backup) firemných dát na koncovom zariadení. Rovnako je dátový priestor určený pre zdieľanie súborov a informácii v rámci Spoločnosti. 

Heslová politika

Používatelia sú pri prístupe do technologických systémov overovaní pomocou mena (ID užívateľa) a hesla používateľa, resp. iným autentizačným prostriedkom (PIN, šifrovací kľúč, čipová karta apod.).

Používatelia sú povinní používať silné heslá. Za silné heslo sa považuje také heslo, ktoré má minimálne 14 znakov. Pre systémy, ktoré nie sú napojené na centrálnu správu prihlasovania a prístupov, musí obsahovať minimálne 3 znaky zo 4 typov znakov:

• Veľké písmená (A, B, C, ...)

• Malé písmena (a, b, c, ...)

• Číslice (1, 2, 3, ...)

• Špeciálne znaky (.,,:?!_*§)

Maximálna platnosť hesla je 12 mesiacov, minimálna platnosť hesla je 3 dni, história hesiel je 10.

Používateľ nesmie používať heslá, ktoré sa vzťahujú k jeho osobe alebo sú v spojitosti s ním ľahko uhádnuteľné (pracovné ID, mená členov rodiny, domácich miláčikov, dátumy narodení (jeho, resp. rodinných príslušníkov).

Používatelia sú povinní do každého technologického systému používať iné heslo (v pracovnom i súkromnom svete), okrem systémov, napojených na centrálnu správu prihlasovania a prístupov, kde sú prihlasovacie údaje synchronizované pre viacero systémov.

Pre technologické systémy, napojené na centrálnu správu prihlasovania a prístupov je automatizovane kontrolovaná sila a komplexita hesiel za účelom identifikácie a vynútenie zmeny zraniteľných hesiel.

Užívateľ je povinný si heslo okamžite zmeniť:

• ak ide o heslo vygenerované ako dočasné alebo jednorazové (prvotné),

• pri vyzradení alebo podozreniu na vyzradenie hesla,

• na vyzvanie pracovníka oddelenia informačných technológií

Je zakázané akékoľvek zdieľanie pridelených prístupových účtov a hesiel, resp. iných autentizačných prostriedkov.

Na heslá privilegovaných používateľov sa vzťahujú rovnaké pravidlá ako na účty bežných používateľov popísané vyššie, okrem minimálnej dĺžky hesla, ktorá sa zvyšuje na 17 znakov.

Heslá privilegovaných používateľov (administrátorský účet systému, databázy alebo aplikácie) pre zachovanie kontinuity činnosti musia byť k dispozícii priamemu nadriadenému privilegovaného používateľa. Každé heslo musí byť v osobitne zapečatenej a označenej obálke. Priamy nadriadený privilegovaného používateľa zabezpečí ich uloženie v trezore alebo v uzamykateľnej skrini.

Vyzradenie alebo podozrenie na vyzradenie hesla je používateľ povinný nahlásiť ako bezpečnostný incident podľa Čl. 14 tejto Smernice.

Systémy Spoločnosti sú nastavené tak, aby vyžadovali silné heslá a aplikovali ďalšie procedúry pre zaistenie bezpečnosti informácií. Z technických dôvodov môžu mať systémy na základe udelenej výnimky nastavenú inú politiku hesiel (napr. iná požadovaná dĺžka a komplexita hesla, exspirácia hesla) S takou politikou je užívateľ oboznámený pri prvej registrácii do systému a je povinný ju dodržiavať.

Základné pravidlá používania

Na používanie nástrojov a služieb elektronickej komunikácie, internetu a elektronickej pošty v prostredí Spoločnosti neexistuje právny ani iný nárok. Rozsah ich sprístupnenia je viazaný s konkrétnou pracovnou pozíciou.

Používateľ povinne ručí za dôvernosť a ochranu svojich autentizačných prostriedkov (vrátane pridelených autentizačných prostriedkov) pred stratou, krádežou alebo prezradením a zodpovedá za všetky udalosti a transakcie, ktoré sa s nimi uskutočnili v technologickom systéme.

Používateľ nesmie poskytnúť prístupové údaje (meno používateľa, heslo) inej osobe. Pokiaľ používateľ poskytne prístup inej osobe, nesie za konanie tejto osoby plnú zodpovednosť. Poskytnutie prístupových údajov inej osobe je považované za závažné porušenie pracovnej disciplíny používateľa.

V prípade kompromitácie, resp. podozrenia na kompromitáciu prostriedku autentifikácie (napr. strata autentifikačného predmetu, podozrenie na prezradenie hesla, atď.) je používateľ povinný túto skutočnosť okamžite nahlásiť v súlade s pozri Čl. 14 tejto Smernice a zabezpečiť zmenu hesla.

Používateľ je povinný:

• používať prostriedky pre spracovanie informácií, k plneniu pracovných úloh, a to v súlade s účelom, na ktorý boli určené a rozsahu vyplývajúceho z jeho pracovnej zmluvy a v súlade s pravidlami uvedenými v tejto Smernici a v ostatných interných predpisoch. Použitie pre súkromné účely je možné iba v odôvodnenej miere, pokiaľ je to nevyhnutné a pokiaľ sa tak deje bez dopadu na bezpečnosť, kvalitu a rozsah vykonávaných prác v súlade s dobrými mravmi a pri dodržaní legislatívy a interných predpisov spoločnosti.

• zabrániť prístupu neautorizovaným osobám k prostriedkom spracovania informácií a informáciám Spoločnosti (napr. pri telefonických hovoroch používať slúchadlá, natočiť monitor tak, aby nebolo možné odčítať informácie z neho, prípadne používať filter na monitore, pri videokonferenciách používať rozostrenie obrazu – ochrana osobných údajov)

• pre bežnú prácu s prostriedkami pre spracovanie informácií využívať len bežný účet, nie účet s právami administrátora,

• sa pri používaní elektronických služieb/prostriedkov chovať obozretne s cieľom chrániť prostredie a informácie Spoločnosti, zákazníkov a zmluvných partnerov,

• využívať iba štandardné elektronické nástroje a služby Spoločnosti, vrátane šifrovania, ktoré sú k dispozícii v rámci prideleného zariadenia a to v súlade s platnými internými predpismi.

Používateľ je povinný pri práci s koncovým zariadením:

• aktívne participovať pri aplikovaní bezpečnostných alebo iných aktualizácii a nesmie mariť alebo inak zamedzovať ich aplikácii,

• používať iba SW inštalovaný na koncové zariadenie zamestnancom oddelenia informačných technológií, resp. autorizovaný SW s predpripravenou inštaláciou,

  • v prípade zistenia inštalácie iného programu (vrátane prípadu zistenia akýchkoľvek zmien, doplnení a zásahov do inštalovaného SW) nesie daný používateľ zodpovednosť za inštaláciu,

  • v prípade zistenia výskytu neautorizovaného SW je používateľ povinný informovať oddelenie informačných technológií prostredníctvom e-mailu na adresu it@slovaklines.sk a zabezpečiť jeho odstránenie,

  • v prípade porušenia pravidiel na používanie SW má oddelenie informačných technológií právo prikázať používateľovi bezodkladne odinštalovať nelegálny SW, alebo ho sami odinštalovať.

• riadne hospodáriť s prideleným koncovým zariadením a chrániť ho pred poškodením, stratou, zničením a zneužitím a nekonať v rozpore s oprávnenými záujmami zamestnávateľa (koncové zariadenie je odovzdávané zamestnancovi spolu s Preberacím protokolom,

  • v prípade, ak dôjde ku škode na koncovom zariadení, zamestnávateľ bude uplatňovať právo na náhradu škody voči tým, ktorí úmyselne alebo z nedbanlivosti nesplnili svoje povinnosti,

  • pri strate, krádeži a v prípade poškodenia prideleného koncového zariadenia, je používateľ povinný

    • nahlásiť bezpečnostnú udalosť v súlade s Čl. 14 tejto Smernice v prípade, že v súvislosti v poškodením/zničením zariadenia dochádza k ohrozeniu bezpečnosti (informácií) – napr. pri strate notebooku, telefónu obsahujúceho informácie Spoločnosti,

    • nahlásiť škodovú udalosť na it@slovaklines.sk

• pracovné stanice pripájať do domény Spoločnosti, aby sa na zariadenie nainštalovali všetky potrebné softvérové aktualizácie a doplnky, ktoré sú prostredníctvom domény nasadzované,

• vypnúť pridelené koncové zariadenia (monitor, desktop, notebook, atď.) pri odchode z pracoviska:

  • táto povinnosť sa netýka koncových zariadení určených na dohľad alebo riadenie technológií, ktoré si jednoznačne vyžadujú, aby bolo koncové zariadenie zapnuté,

  • niektoré IT aktivity (vzdialený SW update, rekonfigurácie), ktoré sa vykonávajú cez noc alebo cez víkend, si vyžadujú zapnuté koncové zariadenia, v takýchto prípadoch budú užívatelia vyzvaní na ponechanie zapnutého koncového zariadenia,

• vytvoriť také podmienky pre prácu správcov technologických systémov a pracovníkov oddelenia informačných technológií, aby v prípade potreby neboli obmedzovaní pri svojej práci, ako aj:

  • byť na svojom pracovisku v čase dodávky a inštalácie HW a SW (o dodávke koncových zariadení bude používateľ vopred informovaný zo strany oddelenia informačných technológií),

  • umožniť správcovi technologického systému vykonávať priebežnú aj komplexnú kontrolu softvérových licencií na zverených koncových zariadeniach,

  • poskytnúť súčinnosť pri testovaní SW.

Používateľ nesmie najmä:

• ponechať pridelené koncové zariadenia bez dozoru na verejne prístupných miestach, v opustených dopravných prostriedkoch, neuzamknutých kanceláriách a podobne,

• používať akékoľvek vlastné SW vybavenie (SW vo vlastníctve používateľov, nie Spoločnosti),

• na koncových zariadeniach inštalovať, používať a poskytovať nelegálny SW, shareware, freeware a dáta (napr. multimediálne), t. j. programy a dáta získané v rozpore s platnými zákonmi vrátane autorského zákona, používateľovi nie je dovolené robiť nelegálne kópie materiálov, ktoré sú chránené autorskými právami, alebo sprístupniť takéto materiály ostatným používateľom ani iným osobám na skopírovanie,

• požičiavať pridelené koncové zariadenia neoprávneným tretím osobám (napr. členom rodiny, priateľom alebo zamestnancom iných Spoločností),

• akokoľvek meniť, dopĺňať, alebo akokoľvek zasahovať do inštalovaného SWu (nesmie meniť alebo zasahovať do nastavení BIOSu, resp. UEFI prideleného zariadenia, meniť SW nastavenia prideleného zariadenia (meniť členstvo v lokálnych skupinových politikách, modifikovať/blokovať služby operačného systému). Súčasne je zakázané mazanie logov ako aj zastavenie či iná deaktivácia agentov bežiacich na pozadí operačného systému (AV agent, SCCM klient a pod.). Používateľ je ďalej povinný dodržiavať základné pravidlá obsluhy koncových zariadení ako je napr. korektné ukončovanie aplikácií a vypínanie zariadenia a pod.,

• zhotovovať dočasné alebo trvalé, priame alebo nepriame kópie programového vybavenia (SW), alebo jeho časti, a to akýmikoľvek prostriedkami a v akejkoľvek forme,

• sprístupniť originál alebo kópiu SW vybavenia, a to v akejkoľvek forme, prostredníctvom koncového zariadenia prístupného tretím osobám, a to ani na účely priameho alebo nepriameho hospodárskeho alebo obchodného prospechu, napríklad poskytnutím originálu alebo kópie autorského diela,

• odstrániť akékoľvek informácie, označenie alebo zariadenie identifikujúce nositeľa alebo vykonávateľa autorských práv k počítačovým programom, autora alebo inú oprávnenú osobu, prepisovať údaje o aktuálnom dátume, o autorovi informácie, alebo inak pozmeňovať autenticitu informácií, neoprávnene meniť, prepisovať, pozmeňovať, upravovať informácie, t. j. akýmkoľvek neoprávneným spôsobom porušiť integritu informácie,

• kopírovať alebo inštalovať SW obstaraný Spoločnosťou na iné koncové zariadenie ako koncové zariadenia v majetku Spoločnosti, pokiaľ to licenčná zmluva výslovne neumožňuje a nebola k tomu udelená výnimka alebo písomný súhlas Spoločnosti,

• vytvárať alebo meniť počítačové programy a dáta s cieľom ovplyvniť kontrolu oprávnenosti používania počítačových programov,

• pripájať sa k výmenným sieťam ako aj používanie torrentov (resp. iných Peer to Peer (P2P) výmenných sietí) na zdieľanie dát a neschválených klientov pre instant messaging, ktoré sú v organizácii zakázané, zamestnanci oddelenia informačných technológií sú oprávnení vykonávať kontroly na zdieľanie multimediálnych dát a nepovolených pripojení do externých sietí,

• ukladať do koncového zariadenia (download) ani na pamäťové médiá audio ani video materiály, kde môže dôjsť k porušeniu autorských práv,

• pristupovať k webovým stránkam a materiálom ponúkajúcim nelegálny SW, nelegálne kópie zvukovo-obrazových a/alebo zvukových záznamov, ani ich používať akýmkoľvek spôsobom, vrátane vytvárania kópií tohto SW, zvukovo-obrazových záznamov a/alebo zvukových záznamov,

• pristupovať na rizikové webové stránky, ktoré sú častým hostiteľom škodlivého kódu (napr. vírusov a trójskych koní), najmä prehliadať a sťahovať obsah, ktorý je v rozpore s platnou legislatívou, propaguje sex a pornografiu, násilie, nenávisť, návykové látky, on-line a hazardné hry, slúži k obchádzaniu autorského zákona („warez“) či inak odporuje dobrým mravom a nesúvisí s pracovnými úlohami zamestnanca,

• vymazávať alebo inak likvidovať informácie uložené v koncových zariadeniach, ktoré je nutné a potrebné uchovávať v zmysle legislatívnych predpisov a  interných predpisov.

• pripojiť do prostredia Spoločnosti akékoľvek cudzie zariadenia a systémy (zo súkromných systémov vrátane NTB, telefónov, tabletov sa smie pristupovať k technologickým systémom Spoločnosti iba povoleným spôsobom),

• používať pridelené prostriedky a zdroje za účelom akýchkoľvek súkromných podnikateľských aktivít,

• používať na internete rovnaké prihlasovacie heslá ako sú heslá pre interné služby v sieti Spoločnosti,

• zúčastňovať sa akýmkoľvek spôsobom distribúcie ohovárania, hanlivých či iných nevyžiadaných a reťazových správ, ktorých obsah či rozširovanie je v rozpore s platnými právnymi predpismi, dobrými mravmi či záujmami Spoločnosti,

• akýmkoľvek spôsobom rušiť, obmedzovať či obťažovať ostatných používateľov siete Spoločnosti.

Súkromné pracovné stanice

Používanie súkromných pracovných staníc, ktoré neposkytla Spoločnosť používateľom, na pracovné aktivity Spoločnosti, je bez predchádzajúceho schválenia manažérom oddelenia informačných technológií zakázané. Zo súkromných pracovných staníc je zakázané zamestnancom Spoločnosti pripájať sa priamo do siete Spoločnosti.

Mobilné terminály (Tablety/Smartphony/mobilné telefóny)

Ak používateľ využíva na prístup k mailovej službe alebo na vzdialený prístup mobilný terminál, musí mobilný terminál spĺňať nasledovné podmienky:

• mať zapnutú a aktívnu ochranu zariadenia heslom, pričom heslo musí mať minimálne 6 znakov alebo odtlačkom prstu a Face ID. (vyžiadanie hesla pri odomknutí / zapnutí zariadenia),

• mať zapnuté automatické zamknutie po 10 minútach nečinnosti,

• mať vynútene resetovanie a vymazanie zariadenia po 10tich neúspešných zadaniach hesla na odomknutie zariadenia,

• mať nainštalovaný aktuálny operačný systém a aktualizácie aplikácií,

• nesmie byť vykonaný zásah do operačného systému (tzv. jailbreak / rooting).

Z mobilných terminálov je povolené pristupovať k technologickým systémom Spoločnosti iba povoleným spôsobom.

Antivírusová a sieťová (firewall) ochrana

Používateľ má zakázané akýmkoľvek spôsobom vypnúť antivírusový systém a sieťovú ochranu. V prípade podozrenia z napadnutia pracovnej stanice vírusom je potrebné túto stanicu okamžite odpojiť od siete, skutočnosť okamžite nahlásiť na podpora@slovaklines.sk. Do času vykonania opatrení je zakázané používať takúto pracovnú stanicu. Používatelia sa nesmú pokúšať vymazať alebo inak odstrániť podozrivý súbor.

V prípade nakazenia pracovnej stanice alebo počítačovej siete Spoločnosti, ktoré je dôsledkom nedodržania pravidiel uvedených v tejto smernici bude voči používateľovi vedené disciplinárne konanie.

Pravidlá pre používanie sieťových a komunikačných služieb

Medzi interné sieťové a komunikačné služby slúžiace ako pracovné nástroje, ktoré Spoločnosť poskytuje používateľom patrí: intranet, služba zdieľaný diskový priestor OneDrive, služba vzdialený prístup, komunikačná platforma Microsoft 365 (M365).

Medzi Spoločnosťou poskytované sieťové a komunikačné pracovné služby a nástroje používané v kontakte s externým prostredím patrí sieť internet a elektronická pošta.

Je zakázané pripájať do internej počítačovej siete iné zariadenia (napr. vlastné modemy, routre, alebo iné sieťové komponenty a pod.) ako tie, ktorých používanie bolo schválené.

Pri zadávaní hesiel alebo vypĺňaní akýchkoľvek formulárov na cudzích webových sídlach zvýšiť opatrnosť zameranú na preverenie toho, či ide o legitímnu webovú stránku s cieľom zvýšiť prevenciu pred phisingom.

Nevyužívať pri vykonávaní spracovateľských operácii s osobnými údajmi pochádzajúcimi z informačných systémov osobných údajov Spoločnosti žiadne služby cloud computingu bez toho, aby nebol poskytovateľ cloudovej služby Spoločnosťou preverený a povolený (nevzťahuje sa na M365),

Pri prenosoch osobných údajov vedených cez verejne prístupnú počítačovú sieť dbať na to, aby ku komunikácii medzi klientom (pracovnou stanicou používateľa osoby) a serverom (príjemcom osobných údajov) dochádzalo iba prostredníctvom SSL komunikačného protokolu (https), VPN alebo iného vhodného šifrovania tejto komunikácie.

Intranet

Používateľ pri využívaní intranetu a publikovaní textov prostredníctvom intranetových aplikácií koná v súlade so štandardami etického správania zamestnancov Spoločnosti.

Prístup k službám intranetu je viazaný na používateľské meno a heslo do domény.

Služba zdieľaný diskový priestor

O zriadenie služby s definovaním veľkosti diskového priestoru žiada používateľ prostredníctvom e-mailu na adresu podpora@slovaklines.sk. Obsahovú náplň a správu prideleného diskového priestoru zodpovedá určený používateľ (vlastník zdieľaného diskového priestoru) - prideľovanie práv prístupu na čítanie, zápis a mazanie pre používateľov.

Zdieľaný diskový priestor môže používateľ využívať výlučne na ukladanie súborov potrebných pre výkon práce v súlade s jeho pracovnou náplňou.

Vlastník zdieľaného diskového priestoru je zodpovedný za:

• nastavenie prístupov (použitie skupín „Everyone“ a „Authenticated Users“ je zakázané, použitie skupiny „Domain Users“ je možné len vo výnimočných prípadoch),

• prehodnotenie potreby existencie vytvoreného zdieľaného diskového priestoru a je povinný zažiadať o zrušenie v prípade, ak zanikla príčina jeho vzniku,

• prehodnotenie udelených prístupov v prípade:

  • akejkoľvek zmeny v zozname používateľov (nástup nového zamestnanca, ukončenie pracovného pomeru zamestnanca a pod.),

  • ostatných zmien, ktoré majú vplyv na zoznam používateľov (napr. zmena organizačnej štruktúry, zmena dodávateľa),

• odovzdanie potrebných informácií o ním vytvorenom zdieľanom diskovom priestore v prípade jeho odchodu/zmeny pracovnej pozície novému vlastníkovi.

Služba Vzdialený prístup

Služba vzdialený prístup do technologických systémov (alebo aj služba Remote Access či VPN) je určená oprávneným používateľom a administrátorom. Vzdialený prístup nie je nárokovateľná služba, jej zriadenie sa schvaľuje na základe žiadosti podanej prostredníctvom priameho nadriadeného zamestnanca, ktorý je nadriadený zamestnancovi, pričom tento zasiela požiadavku vo forme e-mailu na adresu podpora@slovaklines.sk .

Pri poskytnutí služby vzdialený prístup pre zamestnancov Spoločnosti musia zamestnanci Spoločnosti pri využívaní tejto služby používať len pracovné stanice Spoločnosti.

Každý používateľ môže využívať vzdialený prístup iba na definované činnosti napr. bežní používatelia pre prístup k Elektronickej pošte, k vybranej aplikácii, administrátori môžu využívať prístup pre vzdialenú správu systémov.

Služba vnútrofiremnej WiFi

Používateľ je povinný:

• primárne sa pripojovať do sietí, ktoré Spoločnosť určila ako dôveryhodné,

• v prípade, že nie je možné využívať dôveryhodnú sieť, používať pripojenie prostredníctvom VPN.

Používateľ je povinný v priestoroch Spoločnosti:

• využívať len autorizovanú WiFi sieť, ktorá je oficiálne vytvorená a prevádzkovaná Spoločnosťou,

• nevykonávať žiadne činnosti, vedúce k zriadeniu, resp. prevádzkovaniu vlastnej WiFi,

• nevykonávať žiadne činnosti, vedúce k prelomeniu nastavení WiFi prístupového bodu, najmä jeho zabezpečenia (z akýchkoľvek dôvodov),

• nahlásiť bezpečnostný incident (viď Čl. 14 tejto Smernice) ak zachytí sieť bez autentifikácie, resp. so slabou autentifikáciu, t. j., že prístupové heslo je prelomiteľné v krátkom čase (názov WiFi je súčasne heslom, heslo je iba krátky reťazec čísel a pod.).

WhatsApp

Používateľ môže používať túto aplikáciu na plnenie pracovných povinností za splnenia nasledovných pravidiel:

• používateľ nepoužíva aplikáciu na zdieľanie a ukladanie citlivých informácií a osobných údajov,

• používateľ môže vytvoriť skupinu v aplikácii na plnenie pracovných povinností

Vlastník skupiny WA (osoba, ktorá skupinu založila) je zodpovedný za:

• riadenie a prehodnocovanie udelených prístupov:

  1. minimálne raz mesačne;

  2. v prípade akejkoľvek zmeny v zozname používateľov (nástup nového zamestnanca, ukončenie pracovného pomeru zamestnanca a pod.);

  3. v prípade ostatných zmien, ktoré majú vplyv na zoznam používateľov (napr. zmena organizačnej štruktúry, zmena dodávateľa);

• prehodnotenie potreby existencie vytvorenej skupiny, prípadne zrušenie skupiny;

• odovzdanie potrebných informácií o skupine v prípade jeho odchodu/zmeny pracovnej pozície novému vlastníkovi skupiny,

Používanie aplikácie je dobrovoľné a nie je vynútiteľné.

M 365 (Microsoft 365)

Používateľ môže použiť aplikácie M 365 na získanie prístupu k informáciám nasledovne:

• Úplný prístup:

  1. použitím Spoločnosťou spravovaného zariadenia (PC/NB)

  2. použitím Mobilného terminálu

• Obmedzený prístup – použitím Spoločnosťou nespravovaného zariadenia (použitie Web aplikácií – Office Online)

Teams

• Používateľ používa túto aplikácia na krátkodobé zdieľanie informácií, komunikáciu, videohovory;

• Používateľ nesmie umožniť zdieľanie informácií Spoločnosti prostredníctvom aplikácie Teams pre tretie strany s výnimkou používateľov tretích strán v zmluvnom vzťahu.

• Používateľ pri zdieľaní súborov prostredníctvom tejto aplikácie využíva:

  1. úložisko OneDrive – pri zdieľaní v „Chat“ (ľavá ovládacia lišta aplikácie „Teams“)

  2. úložisko SharePoint – pri zdieľaní v „Teams“ (ľavá ovládacia lišta aplikácie „Teams“)

SharePoint Online

1. Používateľ môže spracovávať a ukladať na SharePoint Online iba informácie, ktoré Vlastník definoval v žiadosti o vytvorenie lokality,

2. Nová lokalita má pridelený príslušný limit GB. O zvýšenie limitu môže Vlastník lokality požiadať cez oddelenie informačných technológií;

3. Vlastník lokality SharePoint Online je zodpovedný za:

   1. požiadanie o vytvorenie lokality a vyplnenie všetkých požadovaných informácií v žiadosti o vytvorenie lokality,

   2. prehodnotenie potreby existencie vytvorenej lokality a je povinný zažiadať o zrušenie v prípade, ak zanikla príčina jej vzniku;

   3. prehodnotenie udelených prístupov v prípade:

   • akejkoľvek zmeny v zozname používateľov (nástup nového zamestnanca, ukončenie pracovného pomeru zamestnanca a pod.);

   • ostatných zmien, ktoré majú vplyv na zoznam používateľov (napr. zmena organizačnej štruktúry, zmena dodávateľa);

   4. odovzdanie potrebných informácií o jeho lokalitách v prípade jeho odchodu/zmeny pracovnej pozície novému vlastníkovi,

• Vlastník lokality je povinný informovať používateľov o rozsahu informácií, ktoré majú byť ukladané na konkrétnej lokalite.

• Vlastník lokality nesmie umožniť zdieľanie informácií Spoločnosti uložených na lokalite pre tretie strany s výnimkou používateľov, ktorí sú v zmluvnom vzťahu.

OneDrive

• Používateľ môže použiť aplikáciu OneDrive na spracúvanie, zálohovanie a krátkodobé ukladanie informácií spojených s plnením pracovných povinností,

• Používateľ nesmie umožniť zdieľanie informácií Spoločnosti prostredníctvom aplikácie OneDrive pre tretie strany,

• OneDrive je súčasťou licencie M 365.

Forms

• Používateľ môže využiť túto aplikáciu aj pre prácu s tretími stranami (anonymne a aj konkrétne),

• Používateľ môže odmietnuť vyplnenie formuláru (napr. v prípade, že nebude anonymný),

• Používateľ nesmie použiť túto aplikáciu na zber citlivých informácií.

Pravidlá pre používanie internetu

Je dovolené primerane využívať internet za účelom súkromného osobného rozvoja a súkromnej komunikácie zamestnanca, ale len mimo dobu určenú na plnenie pracovných úloh. Čas strávený touto činnosťou nie je plnením pracovných úloh a nemôže byť zahrnutý do pracovnej doby alebo považovaný za nadčasovú prácu.

Účasť na verejných internetových fórach s použitím adresy elektronickej pošty Spoločnosti alebo používateľského mena a informačného systému Spoločnosti je zakázaná, pokiaľ to nie je špecificky vyžadované pre pracovné účely.

Je zakázané súkromné sťahovanie veľkých súborov napr. filmov.

Počas pripojenia do počítačovej siete Spoločnosti je zakázané súčasne používať v rovnakom čase iné sieťové pripojenie (napr. pripojenie k sieti internet prostredníctvom lokálneho modemu, dátovej karty, WiFi).

Používatelia majú automaticky zamedzený prístup k webovým lokalitám (www stránky), ktoré uznali zodpovední zamestnanci oddelenia informačných technológií za nenáležité ako súčasť pracovného prostredia. Medzi takéto lokality patria: stránky s pornografickým alebo iným sexuálne explicitným obsahom, prejavmi nenávisti a inými potenciálne násilnými alebo inými trestne postihnuteľnými aktivitami a hazardnými hrami, anonymizačné portály (zoznam nie je možné považovať za úplný a je pravidelne aktualizovaný). Kategórie prístupu na internet sa v Spoločnosti delia na:

• povolená stránka,

• zakázaná stránka,

Pokiaľ používateľ poskytne prístup do siete internet prostredníctvom pracovnej stanice inej osobe nesie za jej konanie vo vzťahu k Spoločnosti plnú zodpovednosť a v prípade zisteného bezpečnostného incidentu môže byť takéto poskytnutie považované za porušenie pracovnej disciplíny.

Používateľ má zakázané zámerne zasahovať do infraštruktúry a prevádzky počítačovej siete Spoločnosti alebo túto sieť a jej zariadenia negatívnym spôsobom ovplyvňovať alebo monitorovať.

Akékoľvek konanie používateľa internetu narušujúce bezpečnosť počítačovej siete je považované za bezpečnostný incident.

Pravidlá pre používanie elektronickej pošty

Elektronická pošta a každá pridelená pracovná e-mailová adresa sú pracovnými nástrojmi zamestnanca, resp. externého spolupracovníka s príslušnou rolou/oprávnením a sú poskytované za účelom plnenia pracovných povinností. Je zakázané používať e-mailovú adresu pridelenú Spoločnosťou danému zamestnancovi k registrácii na verejných službách Internetu s výnimkou použitia v rámci služieb poskytovaných alebo sprostredkovaných zamestnancom Spoločnosti.

Elektronická pošta používaná Spoločnosťou štandardne nezaručuje dôvernosť prenášaných údajov. Pri zasielaní citlivých informácií prostredníctvom emailu, je používateľ tieto informácie ochrániť šifrovaním (napr. ZIP súbor chránený heslom spĺňajúcim heslovú politiku uvedenú v Čl.3 a zaslanie hesla iným kanálom napr. SMS ).

Každému používateľovi je štandardne pridelená príslušná mailová kvóta. Osobný mail box sa interným používateľom zriaďuje na základe zaevidovania požiadavky zamestnanca útvaru HR, pre externé subjekty platí, že za nich podáva žiadosť o vytvorenie príslušný interný zodpovedný používateľ.

Je zakázané:

• používať elektronickú poštu na šírenie rasizmu, pornografie, nevyžiadaných obchodných správ a útočiť prostredníctvom elektronickej pošty na používateľov, resp. iné osoby,

• zúčastňovať sa a prispievať k šíreniu reťazových správ a správ patriacich do kategórie SPAM,

• používať elektronickú poštu na posielanie veľkých súborov (50 MB a viac), v prípade potreby distribúcie veľkého súboru (50 MB a viac) odporúčame umiestniť súbor na OneDrive a informovať o ňom adresátov prostredníctvom zaslania aktívneho odkazu (hyperlink) v tele správy,

• vytvárať pravidlo o automatickom presmerovaní správ z interných emailových účtov Spoločnosti na iné verejné schránky (Gmail, Zoznam a pod.) alebo na účty zriadené tretími stranami,

• používať súkromné e-mailové kontá na obchodné aktivity Spoločnosti,

• akýmkoľvek spôsobom falšovať emailové správy alebo sa pokúšať o zmenu identity odosielateľa,

• spúšťať prílohy elektronickej pošty od neznámych odosielateľov, prílohy z nevyžiadaných e-mailov, podozrivé prílohy (napr.:386, abd, acm, asf, asp, avb, avi, bat, bin, cgi, chm, cla, class, cmd, cnv, com, dbx, dll, drv, exe, gms, hlp, hta, htm, html, htt, inf, ini, js*, lnk, m1v, mht*, mid, mov, mp2, mp3, mpd, mpe, mpeg, mpg, ocx, opo, ov*, php, pif, pl, prc, reg, scr, sh*, shs, sys, tbb, tlb, tsp, vbe, vbs, vxd, wab, wav, wbs, wbt, wiz, wmv, wsh a pod. ).

V počítačovej sieti je implementovaný systém, ktorý automaticky identifikuje a maže SPAMové maily (nevyžiadanú elektronickú komunikáciu) prichádzajúce do služobných mailových schránok používateľov. Môže sa ale stať, že niektoré SPAMové maily cez túto ochranu prejdú, v tomto prípade je používateľ je povinný nevyžiadané správy resp. správy od neznámych odosielateľov reportovať ako spam a okamžite zmazať. V prípade potreby spustenia alebo uloženia podozrivej prílohy musí byť nahlásené podozrenie (pozri Čl. 14 tejto smernice), na základe čoho bude zaistená kontrola na prítomnosť vírusov.

Distribučné listy a skupinové mailboxy

Žiadateľ žiada o vytvorenie distribučného listu alebo skupinového mailboxu prostredníctvom žiadosti cez podpora@slovaklines.sk a stáva sa vlastníkom požadovaného distribučného listu / skupinového mailboxu.

Vlastník spravuje zoznam členov distribučného listu / skupinového mailboxu. Využívanie distribučného listu / skupinového mailboxu musí byť v súlade s požiadavkami informačnej bezpečnosti.

Zálohovanie

Používateľ je povinný zabezpečiť zálohovanie tak, aby nedošlo k strate informácií, najmä informácie, pri ktorých je vyžadované zachovanie dostupnosti, musí v platnej verzii ukladať na odpovedajúce centrálne úložisko Spoločnosti, resp. na OneDrive.

Spoločnosť vykonáva pravidelné zálohovanie údajov na svojich produkčných informačných systémoch. Pracovné stanice sa Spoločnosťou automaticky nezálohujú.

Každý používateľ individuálne zodpovedá za bezpečné zálohovanie svojho kancelárskeho systému a za bezpečné nakladanie so zálohou. Zálohovanie koncových staníc (PC/NTB) sa vykonáva pomocou služby OneDrive.

Zálohovanie koncových staníc môže byť v prípade ohrozenia záujmu Spoločnosti (napr. riziko straty informácií, zachovanie ich integrity alebo dostupnosti) vykonané ako opatrenie vedúce na zmiernenie rizika. Pri výkone opatrení sa použijú vhodné prostriedky a je zohľadnené právo na súkromie zamestnancov. Výkon opatrenia môžu vykonávať len osoby poverené k tejto činnosti v rámci plnenia svojich pracovnoprávnych povinností.

Archiváciu dát z koncových staníc robí užívateľ manuálne na OneDrive. Iba vo výnimočných prípadoch na externé médium na základe výnimky.

Prevádzka a aktualizácia pracovných staníc

Na osobnom počítači (PC/NB) je v okamihu pridelenia užívateľovi nainštalovaný príslušný základný súbor programového vybavenia (software - SW). Používateľ nie je oprávnený samostatne inštalovať software bez predchádzajúceho schválenia (vrátanie „free“ SW).

Neoddeliteľnou súčasťou inštalácie software Spoločnosti je aj bezpečnostné nastavenie (napr. doménová politika, automatické aktualizácie, vynútenie politiky heslá a pod.), ktoré nesmú byť menené alebo odmietané.

Používatelia sú povinní zabezpečiť pripojenie pracovnej stanice do domény Spoločnosti podľa požiadaviek definovaných v tejto smernici.

Podpora používateľov

Ak pri štarte alebo počas prevádzky koncového zariadenia dôjde k chybovému stavu, ktorý je identifikovaný ako hlásenie oznamujúce poruchu HW (na monitore alebo zvukovým signálom), je používateľ povinný okamžite prerušiť prácu a ohlásiť chybový stav na podpora@slovaklines.sk.

V prípade problémov s koncovými zariadeniami užívateľ požiada o nápravu prostredníctvom podpora@slovaklines.sk. Podrobné informácie o podpore sú vypublikované a aktualizované na intranete.

základné pravidlá pre ochranu informácií

Pri používaní prostriedkov pre spracovanie informácií je používateľ povinný dodržiavať nasledovné princípy:

• Poskytovať informácie len oprávneným osobám, a to len do tej miery, ako je to nevyhnutné (princíp potrebné poznať alebo need-to-know).

• Uistiť sa, že nepovolané osoby nemôžu vidieť žiadne záznamy obsahujúce chránené informácie (princíp need-to-see. potrebné vidieť).

• Uchovávať citlivé informácie len v tom najnutnejšom množstve a v súlade s právnymi, zmluvnými a obchodnými podmienkami (princíp potrebné mať, need-to-have).

Zamestnanci majú zakázané neoprávnene meniť, prepisovať, pozmeňovať, upravovať informácie, t. j. akýmkoľvek spôsobom porušiť integritu informácie (uvedené sa nevzťahuje na plnenie pracovných úloh v súlade s platnými právnymi predpismi).

zásady manipulácie s informáciami

Na ochranu dokumentov alebo médií obsahujúcich  informácie sú zamestnanci Spoločnosti povinní dodržiavať najmä nasledujúce pravidlá:  

• používať skartovacie  zariadenie pre likvidáciu chybných, poškodených, nadbytočných alebo nepotrebných informačných aktív, tlačových výstupov a pod., v prípade magnetických médií musí byť ich obsah pred likvidáciou bezpečne zmazaný alebo prepísaný,  

• používať uzamykateľné skrine na bezpečné odkladanie informačných aktív počas neprítomnosti na pracovisku, kvôli ochrane pred poškodením alebo zničením informačných aktív a prezradením neoprávneným osobám.

V prípade pohybu informácií mimo priestorov spoločnosti (externe) sú tieto chránené vhodnými prepravnými obalmi. Obaly sú zapečatené, aby bolo možné ľahko identifikovať ich neoprávnené otvorenie alebo manipuláciu s obsahom. Obaly sú jednoznačne označené. V prípade prepravy bezpečnostných skríň alebo uzamykateľných  obalov sa kľúče od nich musia prepravovať oddelene. Po vyprázdnení priestorov musia byť tieto ešte dôkladne skontrolované.  

Pred opravou zariadení alebo pred rušením médií, na ktorých sú informácie uložené sa zabezpečuje odstránenie údajov. V prípade opakovaného použitia pamäťových médií musia byť z médií vymazané citlivé údaje alebo programové vybavenie. Vlastník média musí sám, alebo v spolupráci s administrátorom systému zabezpečiť dôkladné vymazanie údajov, aby nebolo možné vykonať obnovenie reziduálnych zostatkov neautorizovanou osobou. Bezpečnostné označenie záložných a archivačných médií musí vlastník média pred ich likvidáciou odstrániť.  

Pri likvidácií zariadení a médií zabezpečí ich Vlastník pred ekologickým zlikvidovaním nečitateľnosť údajov – bezpečné vymazanie, deštrukcia média.

Archivácia informácií sa vykonáva podľa požiadaviek príslušnej legislatívy a na základe ustanovení Registratúrneho poriadku.  

Archívne médiá sú uložené na bezpečnom mieste spravidla v inej lokalite ako je miesto spracovania, aby boli dostupné v prípade havárie.  

prístup a výmena informácií s tretími stranami

Pred povolením akéhokoľvek prístupu tretích strán k informáciám musia byť identifikované riziká a dôsledky z toho vyplývajúce. Na ich základe musia byť zavedené primerané opatrenia.

Za identifikáciu rizík vyplývajúcich z prístupu zamestnancov tretích strán k informáciám a za návrh aplikácie primeraných bezpečnostných opatrení zodpovedá Vlastník informácie.

Poskytovanie informácií musí byť pri poskytovaní:

• tretím stranám upravené v písomnej zmluve, resp. na základe písomnej dohody, alebo iným spôsobom v súlade s ustanoveniami platných právnych predpisov a musí byť preukázateľne schválené Vlastníkom informácie,

• iným ako oprávneným zamestnancom spoločnosti preukázateľne schválené Vlastníkom informácie.

  Podmienky výmeny informácií a požadované bezpečnostné opatrenia na ich ochranu musia byť zapracované priamo do zmlúv alebo dohôd s tretími stranami. Za zapracovanie bezpečnostných opatrení zodpovedá Vlastník informácie.

Nahlasovanie podozrenia na bezpečnostný incident a bezpečnostného incidentu

Používateľ musí podozrenie na bezpečnostný incident alebo bezpečnostný incident, ktorý spozoroval, prípadne mu bol oznámený (napr. dodávateľom, audítorom) ihneď ohlásiť prostredníctvom mailu podpora@slovaklines.sk .

Každý používateľ je povinný spolupracovať pri odstraňovaní incidentu a zdržať sa, pokiaľ to nie je nevyhnutné na zabránenie škodám, aktivít, ktoré by mohli viesť k poškodeniu nebo zničeniu dôkazov (t.j. ponechať stav alebo aspoň vytvoriť dokumentáciu stavu ako obraz či zálohu).

Bezpečnostné povedomie

Vzdelávacie aktivity vedúce k zvyšovaniu povedomia o informačnej a kybernetickej bezpečnosti v tejto oblasti zaisťuje manažér/vedúci oddelenia HR v spolupráci s manažérom/vedúcim oddelenia informačných technológií.

Každý používateľ je na základe rozhodnutia manažéra oddelenia HR povinný absolvovať školenie v oblasti používania prostriedkov pre spracovanie informácií z hľadiska informačnej a kybernetickej bezpečnosti v určenej periodicite a rozsahu.

Používateľ je zodpovedný za to, aby sa pred prvým prístupom do technologického systému oboznámil s pravidlami uvedenými v tejto Smernici v súlade s pracovným poriadkom.

Pravidlo čistého stola a čistej obrazovky (IS bez dozoru)

V záujme predchádzania krádežiam a neautorizovanému prístupu k zdrojom Spoločnosti pri odchode od svojej pracovnej stanice je používateľ povinný znemožniť prístup k IS použitím uzamknutia obrazovky počítača (terminálu), t.j. chrániť ho prístupovým heslom cez klávesovú skratku Windows + klávesa L alebo CTRL+ALT+DEL a Enter.

Pri odchode z pracoviska po ukončení práce je používateľ povinný pripraviť pracovisko na mimopracovný režim (v súlade s tzv. „clear desk policy“):

• odhlásiť sa z domény a vypnúť pracovnú stanicu (ak to dovoľuje charakter systému),

• zabezpečiť dokumenty a nosiče informácií na svojom pracovnom mieste pred neoprávneným prístupom.

Na staniciach i serveroch je nakonfigurovaný šetrič obrazovky s ochranou heslom (pokiaľ to dovoľuje ich charakter a účel), ktorý sa automaticky aktivuje najpozdejšie po 15 minútach nečinnosti.

Práca z domu

Zamestnanec pracujúci „z domu“ (nielen „Home office“, domov ale aj akékoľvek iné miesto, okrem bežného pracovného miesta, resp. priestorov Spoločnosti) je povinný:

• používať na výkon práce výhradne IT systémy, ktoré mu poskytuje Spoločnosť,

• používať pripojenie prostredníctvom VPN,

• mať chránený súkromný prístup do internetu,

• zabezpečiť zálohovanie výsledkov svojej práce tak, aby nedošlo k strate informácií (sharepoint, one drive a pod.),

• zabrániť prístup neautorizovaným osobám k systémom a informáciám Spoločnosti a to aj vrátane rodinným príslušníkom (napr. pri telefonických hovoroch používať slúchadlá, natočiť monitor tak, aby nebolo možné odčítať informácie z neho, prípadne používať filter na monitore, pri videokonferenciách používať rozostrenie obrazu – ochrana osobných údajov),

• zabrániť poškodeniu, resp. zničeniu zariadení, prostredníctvom ktorých spracúva informácie (či už neopatrnou manipuláciou, obliatím, poškodením rodinným príslušníkom a pod.

Zamestnanec nesmie pracovné zariadenia (NB) pripájať k zariadeniam, ktoré nie sú v správe Spoločnosti a ktoré predstavujú riziko úniku informácií (napr. servery, NAS).

Pravidlá monitorovania

Spoločnosť môže po predchádzajúcom informovaní používateľov, za účelom ochrany svojich oprávnených záujmov kontrolovať prácu zamestnancov a monitorovať bezpečné využívanie elektronických komunikácií, internetu a súvisiacich zdrojov. Za týmto účelom je Spoločnosť v súlade s legislatívou SR oprávnená:

• Monitorovať a uchovávať hlavičky prijímaných i odoslaných e-mailov zamestnancov, vrátane záznamov o adresátoch elektronickej pošty a množstva prenesených dát.

• Monitorovať požiadavky zamestnancov smerujúce na internet, vrátane URL adries prehliadaných webových stránok a množstva prenesených dát.

• Stanoviť a technicky vynútiť politiku zakázaných alebo povolených webových stránok alebo ich kategórií.

• Stanoviť a technicky vynútiť politiku proti elektronickému prenosu škodlivého alebo citlivého (tj. chráneného) obsahu.

Spoločnosť môže na tieto účely použiť špeciálny SW a to bez ďalšieho upozornenia. V odôvodnených prípadoch môže príslušný manažér alebo priamy nadriadený zamestnanca požiadať o súhrnný alebo detailný prehlaď o internetovej prevádzke zamestnanca.

Pravidlá pre privilegovaných používateľov systémov a administrátorov monitorovania

Privilegovaný používateľ a administrátor je povinný:

• využívať svoje privilegované prístupové oprávnenia len na základe svojich pracovných povinností (napr. pokyn priameho nadriadeného, vybavenie žiadosti užívateľa, akceptovaná žiadosť cez schvaľovací tok a pod. poznámka: zoznam nie je úplný) a každý vykonaný úkon pri spätnom preskúmaní musí mať evidentne preukázateľné a auditovateľné pracovné zdôvodnenie. Požiadavky musia byť evidované a spätne dohľadateľné.

• pristupovať na systém na účel administrácie iba využitím schválených vstupných brán a nevytvárať alternatívne možnosti prístupu.

• na ním spravovaných systémoch inštalovať a udržovať funkčné bezpečnostné nástroje a konfiguráciu, minimálne v rozsahu:

  1. Antivírus (tam, kde je to možné),

  2. Nastavenie pravidelnej kontroly a testovanie zálohovania

  3. Aplikovanie aktuálnych bezpečnostných patchov a aktualizácií (tam kde je to možné)

  4. Synchronizácia času

     Privilegovaný používateľ a administrátor nesmie:

• využívať neautorizované systémové programy a zariadenia schopné obísť opatrenia pre kontrolu prístupu,

• využívať privilegovaný účet pre bežné neprivilegované aktivity,

• využívať rozšírené práva do IS and rámec plnenia príslušných definovaných pracovných povinností,

• pristupovať k uloženým informáciám bez súhlasu alebo bez pridelenej servisnej požiadavky (výnimku predstavujú núdzové situácie, k ich riešeniu môže byť napr. oprávnený na základe servisnej zmluvy)

• deaktivovať, odinštalovať alebo inak narušiť monitorovacie nástroje a manipulovať s rozsahom informácií zhromaždených zo systémov a pracovných staníc,

  nastavovať bezpečnostné výnimky, ktoré neprešli schvaľovaním,

  Nadriadený privilegovaného používateľa a administrátora musí v prípade odchodu/ zmeny pracovného zaradenia zamestnanca zabezpečiť odovzdanie správy zverených systémov na iného privilegovaného používateľa, vrátane odovzdania prístupových údajov, systémovej dokumentácie atď.

Súvisiace dokumenty

História zmien