Operator IKT sistema — javna uprava
Ilustrativan, potpuno fiktivan primer. Organizacija iz ovog profila ne postoji — nijedno stvarno ime firme, lice ili podatak nije korišćen. Dokumenti ispod nisu maketa: to su stvarni dokumenti koje je InstantAkt generisao za ovaj fiktivni test-nalog, nepromenjeni. Ovako, tačno u ovom formatu i obimu, izgleda ono što dobija pravi klijent sa sličnim profilom.
Fiktivan profil: „Opština“ — fiktivna opštinska uprava sa oko 70 zaposlenih, koja vodi matičnu knjigu, elektronsku pisarnicu i arhivu, i portal za usluge građanima. Kao i kod zdravstvene ustanove, ovo je naš interni test-nalog, kreiran da bismo proverili ceo InstantAkt proces sa realnim profilom javne uprave — nijedna stvarna opština, lice ili podatak nije korišćen.
Ispod su dva stvarna izvoda iz Akta o bezbednosti IKT sistema koji je InstantAkt pripremio za ovaj profil — svaka mera iz člana 10. stav 4. Zakona dobija svoj član, sa objašnjenjem obaveze i posebnim komentarom o stepenu usklađenosti. Zagrade poput [NAZIV FIRME] i [KLIJENT DA DOPUNI] nisu greška — to su mesta koja sistem svesno ostavlja vidljivim da klijent pre usvajanja pregleda i popuni tačnim podacima.
[NAZIV FIRME] ovim aktom uspostavlja organizacionu strukturu informacione bezbednosti kojom se za svaki IKT sistem i poslovni proces, uključujući vođenje matičnih knjiga, rad pisarnice i arhive, izdavanje uverenja i rešenja građanima i naplatu lokalnih javnih prihoda, određuje odgovorno lice zaduženo za njegovo bezbedno funkcionisanje. Nadzor nad informacionom bezbednošću na nivou višeg rukovodstva vrši [IME ODGOVORNOG LICA], koje je odgovorno i za praćenje usklađenosti sa propisima o informacionoj bezbednosti.
Mera trenutno nije ispunjena, s obzirom na to da odgovornost za pojedinačne sisteme i procese nije formalno definisana i da ne postoji formalno zaduženo lice ili tim za informacionu bezbednost. Odsustvo jasno definisanih nosilaca odgovornosti povećava rizik od neblagovremenog reagovanja na bezbednosne incidente, što je posebno značajno s obzirom na to da bi incident direktno ugrozio mogućnost izdavanja dokumenata i usluga građanima. [KLIJENT DA DOPUNI: rok do kog se očekuje formalno imenovanje i uspostavljanje organizacione strukture].
Pristup podacima i IKT sistemima u [NAZIV FIRME] dodeljuje se isključivo po principu neophodnog poslovnog opravdanja, u obimu koji je nužan za obavljanje konkretnih radnih zadataka, uključujući sisteme koji podržavaju vođenje matičnih knjiga, rad pisarnice i arhive, izdavanje uverenja i rešenja građanima i naplatu lokalnih javnih prihoda. Za odobravanje, periodičnu proveru i oduzimanje prava pristupa odgovorno je [IME ODGOVORNOG LICA].
Mera trenutno nije ispunjena, s obzirom na to da ne postoji uspostavljena periodična provera dodeljenih prava pristupa niti mehanizam za uklanjanje nepotrebnih ovlašćenja. Odsustvo ovih kontrola povećava rizik od neovlašćenog pristupa ličnim podacima građana i podacima iz matičnih knjiga. [KLIJENT DA DOPUNI: rok do kog se planira uspostavljanje periodične provere prava pristupa i kontrola integriteta/poverljivosti podataka].
Akt se ovako nastavlja kroz svih 37 mera iz člana 10. stav 4. Zakona, prilagođenih profilu konkretne organizacije, i zaključuje standardnim poljem za mesto, datum, pečat i potpis ovlašćenog lica. Uz Akt, InstantAkt iz istog ciklusa obrade priprema i Analizu rizika — povezanu sa Aktom tako da svaki nalaz iz jednog dokumenta ima odgovarajuću napomenu u drugom.
Isti, nepromenjen izlaz InstantAkt alata za ovaj fiktivni nalog — Akt, Analiza rizika i sve prateće politike i planovi. Dokumenti se preuzimaju i isporučuju klijentu u Word formatu (radi lakše dalje izmene); ovde su, radi lepšeg prikaza, konvertovani u PDF.
Pročitajte i: naš tekst o informacionoj bezbednosti u ovoj oblasti.
InstantAkt priprema ovakvu dokumentaciju prilagođenu baš vašoj organizaciji, na osnovu stvarnih odgovora iz upitnika.
Saznajte više o InstantAkt-u