SADRŽAJ | ŽUPANIJA | GRADOVI | OPĆINE | OSTALO | ARHIVA | TRAŽILICA | IMPRESSUM


 
Godina XI. - broj 32. Petak, 19. prosinca 2003.
GRAD RIJEKA
76

76.

Na osnovi članka 61. Statuta Grada Rijeke (»Službene novine« Primorsko-goranske županije broj 23/01, 4/02, 13/ 02 i 12/03) Poglavarstvo Grada Rijeke, na sjednici 18. studenoga 2003. godine, donijelo je

PRAVILNIK
o sigurnosti informacijskog sustava Grada Rijeke

I. OPĆE ODREDBE

Članak 1.

Ovim se Pravilnikom utvrđuju:

- ciljevi zaštite sigurnosti Informacijskog sustava (u daljnjem tekstu: IS) Grada Rijeke,

- organizacija zaštite sigurnosti,

- mjere i sredstva zaštite sigurnosti,

- provedba mjera i sredstava zaštite sigurnosti,

- odgovornost zbog nepridržavanja mjera i sredstava zaštite sigurnosti,

- završne odredbe.

Članak 2.

Pojedini pojmovi koji se koriste u ovom Pravilniku imaju sljedeće značenje:

1. Autentifikacija podataka - postupak kod kojega se ispituje da li je korisnik (njegova poruka) autentična, tj. da li se radi upravo o poruci koja se očekuje. Potvrda da nitko nije nešto dodavao u poruku niti mijenjao poruku. Postupak je takav da se na strani pošiljatelja dodaje dodatna informacija poruci koja ovisi o sadržaju poruke, a na prijemnoj strani se to verificira.

2. Autorizacija - postupak kod kojega najčešće programska podrška (software) ispituje da li je oprema ili korisnik koji pristupa autoriziran, tj. da li mu je dozvoljen pristup.

3. Autorizirani korisnik - korisnik koji je uspješno »prošao« postupak autorizacije, tj. korisnik kojemu je sustav autorizacije dozvolio pristup.

4. Lozinka (password) - jedinstveni red znakova koje zna samo korisnik.

5. Account - mrežno ime ili identitet korisnika koji radi na računalu priključenom na mrežu računala.

6. Korisnik - korisnik informacijskog sustava je osoba koja koristi računalnu opremu, računalne programe i baze podataka, koja razvija programe i aplikacije za podršku poslovnom procesu, koja kreira, organizira i održava baze podataka te koja koristi računalo kao samostalnu radnu stanicu ili kao radnu stanicu na mreži.

7. Administrator - autorizirani korisnik sa specijalnim ovlastima za rad sa računalom, računalnim programima, bazama podataka, s ovlastima pristupa do računala kao samostalne radne jedinice ili kao jedinice na mreži, a za potrebe administriranja i nadzora nad bazama podataka te administriranja, nadzora i upravljanja računalnom i mrežnom opremom.

8. Kriptiranje podataka - postupak kod kojega se osigurava tajnost podataka korištenjem algoritma za kriptiranje. Samo željeni korisnik na prijemnoj strani koji ima odgovarajući binarni broj koji se naziva ključ može dekriptirati podatke i doći do originalnog teksta.

9. Kriptografija - matematički algoritmi i procesi kojima se dobivaju nečitljive poruke, kao i konverzija tih poruka u čitljivi tekst.

10. Enkripcija podataka - postupak pretvaranja čitljivih podataka u nečitljive (cypher text).

11. Dekriptiranje podataka - proces kod kojega se kodirani tekst vraća u prvobitno originalno stanje.

12. Vatrozid (firewall) - sigurnosna zaštita, filter koji ograničava pristup/prolaz neautoriziranim korisnicima za zaštitu lokalne mreže od neovlaštenog pristupa iz vanjskog svijeta te za sprečavanje nedozvoljenog prometa mrežom iznutra prema van.

13. Elektronička pošta (e-mail) - protokol na Internetu, koji omogućuje korisnicima slanje tekstualnih poruka s računala na računalo. Kao dodatak tekstualnoj poruci mogu se poslati sve vrste dokumenata u elektronskom formatu: kolor fotografije, filmovi, animacije, dokumenti itd.

14. Elektronički zapis - je cjelovit skup podataka koji su elektronički generirani, poslati, primljeni ili sačuvani na elektroničkom, magnetnom, optičkom ili drugom mediju. Sadržaj elektroničkog zapisa uključuje sve oblike pisanog i drugog teksta, podatke, slike i crteže, karte, zvuk, glazbu, govor te računalne baze podataka.

15. Elektronički potpis - znači skup podataka u elektroničkom obliku koji su pridruženi ili su logički povezani s drugim podacima u elektroničkom obliku i koji služe za identifikaciju potpisnika i vjerodostojnost potpisanog elektroničkog dokumenta.

16. Napredan elektronički potpis - znači elektronički potpis koji pouzdano jamči identitet potpisnika i koji je povezan isključivo s potpisnikom, nedvojbeno identificira potpisnika, nastaje korištenjem sredstava kojima potpisnik može samostalno upravljati i koja su isključivo pod nadzorom potpisnika te sadržava izravnu povezanost s podacima na koje se odnosi i to na način koji nedvojbeno omogućava uvid u bilo koju izmjenu izvornih podataka. Napredan elektronički potpis ima istu pravnu snagu i zamjenjuje vlastoručni potpis, odnosno vlastoručni potpis i otisak pečata ako je izrađen u skladu s odredbama Zakona o elektroničkom potpisu.

17. Digitalni certifikat - znači potvrdu u elektroničkom obliku koji povezuje podatke za verificiranje elektroničkog potpisa s nekom osobom i potvrđuje identitet te osobe. Certifikat je, u smislu Zakona o elektroničkom potpisu, svaka elektronička potvrda kojom se potvrđuje identitet potpisnika u postupcima razmjene elektroničkih zapisa. Kvalificirani certifikat je svaka elektronička potvrda kojom davatelj usluga izdavanja kvalificiranih certifikata potvrđuje napredni elektronički potpis.

18. Virus - kompjuterski virusi su kratki programi, čija je odlika brzo razmnožavanje, odnosno multipliciranje i izvršavanje određenih primarnih komandi, a virusi novije generacije prilikom kopiranja još i mutiraju, mijenjajući svoj osnovni source, odnosno prave štetu po sistemu.

19. Softver - softver ili programska podrška za rad računala je niz instrukcija i podataka pohranjenih u elektroničkom obliku u računalu.

20. Operacijski sustav - operacijski sustav je skup osnovnih programa i alata koji pokreću računalo, upravljaju svim procesima u računalu, fizičkim i programskim dijelovima računala te uređuju njihovu komunikaciju.

21. Aplikacija - aplikacija je program ili skup programa dizajniranih za pružanje podrške poslovnom procesu.

22. Mreža - mrežna infrastruktura za podršku informacijskom sustavu obuhvaća sve mrežne poslužitelje (poslužitelje baza podataka, web poslužitelje, poslužitelje za administriranje i nadzor mreže, za primanje i slanje elektroničke pošte, ...), radne stanice s pripadajućom perifernom opremom, mrežnu i komunikacijsku opremu za povezivanje lokalnih radnih stanica u lokalne mreže i izdvojenih, dislociranih radnih stanica kojima se omogućuje pristup do zajednički baza podataka.

23. Radna stanica - računalo s pripadajućom perifernom opremom na kojem korisnik koristi računalne programe i baze podataka, razvija programe i aplikacije za podršku poslovnom procesu, kreira, organizira i održava baze podataka, bez obzira da li ga koristi kao samostalnu radnu stanicu ili kao radnu stanicu na mreži.

24. Poslužitelji - poslužitelji su računala ili programski paketi koji omogućavaju specifičnu vrstu usluge za klijent programe koji se vrte na drugim računalima.

25. Klijent - klijent je računalo koje otvara i koristi programe i aplikacije sa servera ili preuzima s njega programe i podatke.

II. CILJEVI ZAŠTITE SIGURNOSTI IS-a

Članak 3.

Ciljevi zaštite sigurnosti IS-a u smislu ovoga Pravilnika su:

- očuvanje i zaštita integriteta IS-a Grada Rijeke,

- reguliranje dostupnosti podacima,

- zaštita povjerljivosti podataka, i

- čuvanje poslovne tajne.

Članak 4.

IS Grada Rijeke potrebno je štititi od:

- elementarnih nepogoda,

- požara,

- prekida ili neurednog napajanja električnom energijom,

- neovlaštenog pristupa i korištenja podataka i/ili programa,

- krađe opreme,

- krađe podataka i/ili programa,

- namjernog uništenja opreme i/ili podataka i/ili programa,

- zaraze računalnim virusom,

- neovlaštenog korištenja resursa,

- sprečavanja drugih u korištenju resursa,

- slučajnog gubitka podataka i/ili programa,

- kvara opreme.

Otklanjanje opasnosti iz stavka 1 ovoga članka osigurava se utvrđivanjem organizacije zaštite sigurnosti, mjera i sredstva zaštite sigurnosti, provedbe mjera i sredstava zaštite sigurnosti te utvrđivanja odgovornosti zbog nepridržavanja mjera i sredstava zaštite sigurnosti.

Članak 5.

IS Grada Rijeke, u smislu ovoga Pravilnika, obuhvaća informacijske sustave odjela gradske uprave na svim lokacijama i zajedničke baze podataka IS-a Grada Rijeke i informacijskih sustava komunalnih i trgovačkih društava i ustanova u vlasništvu/suvlasništvu Grada Rijeke postavljene na središnjem mrežnom poslužitelju.

Očuvanje i zaštitu integriteta IS-a Grad Rijeka osigurava primjenom ovoga Pravilnika nad svim informacijskim sustavima i bazama podataka iz stavka 1. ovoga članka.

Članak 6.

Dostupnost podacima IS-a Grada Rijeke utvrđuje se organizacijom, mjerama i sredstvima zaštite sigurnosti utvrđenim ovim Pravilnikom.

Podaci, u smislu ovoga Pravilnika, su elektronički zapisi, dokumenti, njihovi sadržaji i prilozi, kao i usmena priopćenja i informacije povjerljive naravi, iznijeti u radu odjela gradske uprave Grada Rijeke te komunalnih i trgovačkih društava i ustanova u vlasništvu/suvlasništvu Grada Rijeke.

Dokumenti, u smislu ovoga Pravilnika, su svi pisani sastavci (akti, tablice, grafikoni, nacrti, crteži, i slično).

Članak 7.

Tajna je podatak koji je zakonom, drugim propisom ili općim aktom Grada Rijeke određen kao tajni.

Podaci iz stavka 1. ovoga članka smatraju se tajnim bez obzira jesu li napisani rukom, osobnim računalom, strojem, tiskani, stenografirani, šifrirani, filmirani, fotokopirani, snimljeni na magnetnoj vrpci, disketi i drugim magnetnim medijima.

Prije usmenog priopćavanja tajnih podataka daje se prethodno upozorenje o tajnosti koje ima istu važnost kao i pisano utvrđena vrsta tajne i stupanj tajnosti.

Poslovnu tajnu predstavljaju podaci koji su kao poslovna tajna određeni zakonom, drugim propisom ili općim aktom Grada Rijeke.

Članak 8.

Tajne podatke su dužni čuvati svi dužnosnici i djelatnici Grada Rijeke, zaposleni u komunalnim i trgovačkim društvima i ustanovama u vlasništvu/suvlasništvu Grada Rijeke koji imaju pristup podacima iz članka 7. ovoga Pravilnika.

Dužnost čuvanja tajnih podataka odnosi se na sve osobe iz prethodnog stavka ovoga članka i nakon isteka njihova mandata, prestanka radnog odnosa ili prestanka obavljanja poslova.

Članak 9.

Za neovlašteno priopćavanje tajnih podataka u smislu odredaba ovoga Pravilnika Grad Rijeka će postupiti u skladu sa Zakonom i općim aktom Grada Rijeke kojim se uređuje zaštita tajnosti podataka.

III. ORGANIZACIJA ZAŠTITE SIGURNOSTI

1. Područje obuhvata zaštite

Članak 10.

Organizacijom zaštite sigurnosti, u smislu ovoga Pravilnika, obuhvaćeni su:

- zgrade,

- prostorije,

- mrežna infrastruktura,

- poslužitelji,

- radne stanice,

- operacijski sustavi,

- aplikacije,

- podaci i baze podataka i

- neumreženi sustavi IS-a Grada Rijeke.

Članak 11.

Mjere i sredstva zaštite sigurnosti IS-a Grada Rijeke utvrđene ovim Pravilnikom primjenjuju se nad svim objektima iz članka 10. ovoga Pravilnika.

2. Načini korištenja IS-a

Članak 12.

Osobna računala, samostojeća ili povezana u lokalne mreže, s pripadajućim programima i podacima, kao i ostala informatička oprema smiju se koristiti isključivo za potrebe posla i u okviru ovlaštenja za obavljanje poslova.

Zabranjeno je koristiti osobna računala i ostalu informatičku opremu, aplikacije i podatke izvan Grada Rijeke bez pisanog naloga ovlaštene osobe.

Članak 13.

Korisnici informatičke opreme dužni su pridržavati se pravila za korištenje informatičke opreme i provoditi sve predviđene procedure i tehničke upute za korištenje informatičke opreme.

Članak 14.

Tehničke zahvate na informatičkoj opremi (promjena konfiguracije, zamjena pojedinih dijelova opreme) smiju obavljati samo za to ovlaštene osobe Zavoda za informatičku djelatnost ili ovlašteni serviseri uz nadzor djelatnika Zavoda za informatičku djelatnost, uz pisani nalog.

Korisnicima informatičke opreme je zabranjeno obavljati tehničke zahvate iz prethodnog stavka ovoga članka.

Članak 15.

Korisnik smije koristiti samo odgovarajući potrošni materijal (diskete, papir, trake, tinte za pisače i slično) i poštivati propisane procedure kod nabave i zamjene kako ne bi nastale štete na informatičkoj opremi.

Procedure iz prethodnog stavka ovoga članka propisuje Zavod za informatičku djelatnost.

3. Ažurna evidencija svih računalnih i mrežnih resursa

Članak 16.

Zavod za informatičku djelatnost nadležan je za vođenje ažurne evidencije o računalnim i mrežnim resursima IS-a Grada Rijeke.

Svako premještanje računala ili njihovih perifernih uređaja s jedne lokacije na drugu odobrava, izvodi i evidentira ovlaštena osoba Zavoda za informatičku djelatnost.

Zastarjela oprema može se zamijeniti ili staviti izvan upotrebe samo od strane ovlaštene osobe Zavoda za informatičku djelatnost.

Članak 17.

Premještanje računala i zamjenu zastarjele opreme izvodi ovlaštena osoba Zavoda za informatičku djelatnost.

4. Korisnici IS-a

Članak 18.

Korisnik IS-a Grada Rijeke je svaka osoba koja koristi računalnu opremu, računalne programe i baze podataka, koja razvija programe i aplikacije za podršku poslovnom procesu, koja kreira, organizira i održava baze podataka te koristi računalo kao samostalnu radnu stanicu ili kao radnu stanicu na mreži.

Zavod za informatičku djelatnost je dužan voditi evidenciju o korisnicima IS-a Grada Rijeke.

Članak 19.

Korisnicima IS-a Grada Rijeke iz članka 18. ovoga Pravilnika Zavod za informatičku djelatnost dodjeljuje ovlasti za korištenje IS-a primjereno zahtjevima posla kojeg obavljaju.

5. Administratori IS-a

Članak 20.

Administrator IS-a Grada Rijeke je autorizirani korisnik sa specijalnim ovlastima za rad sa računalom, računalnim programima, bazama podataka, s ovlastima pristupa do računala kao samostalne radne jedinice ili kao jedinice na mreži, a za potrebe administriranja i nadzora nad bazama podataka te administriranja, nadzora i upravljanja računalnom i mrežnom opremom.

Zavod za informatičku djelatnost je dužan voditi evidenciju o administratorima IS-a Grada Rijeke.

Članak 21.

Administratoru IS-a Grada Rijeke iz članka 20. ovoga Pravilnika Zavod za informatičku djelatnost dodjeljuje ovlasti za korištenje IS-a primjereno zahtjevima posla kojeg obavlja.

6. Instalacija strojne i programske opreme

Članak 22.

Sva nabava i instalacija strojne i programske informatičke opreme obavlja se isključivo uz odobrenje Zavoda za informatičku djelatnost Grada Rijeke.

Zavod za informatičku djelatnost propisuje tehničke i radne karakteristike koje treba zadovoljiti informatička oprema i standardni uvjeti okoline sa stanovišta sigurnosti, gdje se ona instalira.

Članak 23.

Instaliranje novih programa i izmjene postojećih programa smiju obavljati samo za to ovlaštene osobe Zavoda za informatičku djelatnost ili ovlašteni serviseri uz nadzor djelatnika Zavoda za informatičku djelatnost, uz pisani nalog.

Na poslužitelje ili osobna računala smije se instalirati samo programska podrška i podaci koje odobri ili nabavi Zavod za informatičku djelatnost.

7. Održavanje sustava od strane vanjskih organizacija

Članak 24.

Održavanje sustava od strane drugih pravnih osoba provodi se uz odobrenje Zavoda za informatičku djelatnost.

Svaka osoba koja po bilo kojoj osnovi obavlja u Gradu Rijeci privremene ili povremene poslove, ili poslove temeljem posebnog ugovora, dužna je pridržavati se odredaba ovoga Pravilnika. Zaposleni u pravnim osobama koji obavljaju određene poslove za Grad Rijeku, za vrijeme obavljanja tih poslova, dužni su provoditi mjere zaštite sigurnosti utvrđene ovim Pravilnikom.

Komunalna i trgovačka društva i ustanove u vlasništvu/ suvlasništvu Grada Rijeke koja koriste resurse IS-a Grada Rijeke dužna su provoditi mjere zaštite sigurnosti utvrđene ovim Pravilnikom.

Članak 25.

Zavod za informatičku djelatnost dužan je upoznati osobe navedene u članku 24. s odredbama ovoga Pravilnika pri davanju odobrenja za korištenje resursa IS-a Grada Rijeke.

8. Priključivanje i isključivanje poslužitelja i radnih stanica na mrežu

Članak 26.

Korisnicima je zabranjeno priključivanje i isključivanje poslužitelja i radnih stanica na lokalnu mrežu bez ovlaštenja Zavoda za informatičku djelatnost.

9. Rad na daljinu (teleworking)

Članak 27.

Bez prethodnog odobrenja Zavoda za informatičku djelatnost korisnicima je zabranjeno:

- povezivanje osobnih računala na Internet ili na neku drugu mrežu ili komunikacijski priključak izvan IS-a Grada Rijeke,

- spajanje računala izvan IS-a Grada Rijeke na računala i računalne sustave Grada Rijeke.

Članak 28.

O svim uočenim nepravilnostima u radu i korištenju informatičke opreme djelatnik Grada Rijeke je dužan odmah izvijestiti nadležnu direkciju Zavoda za informatičku djelatnost ili osobu odgovornu za provedbu mjera zaštite sigurnosti i provedbu sigurnosne politike.

IV. MJERE I SREDSTVA ZAŠTITE SIGURNOSTI

Članak 29.

Prijetnje IS-u Grada Rijeke imaju za posljedicu smanjenje resursa, ograničavanje resursa, privremeni prestanak rada IS-a, gubitak podataka, gubitak programa i podataka ili potpuni gubitak IS-a.

1. Pristupna prava korisnika

Članak 30.

Dodjela pristupnih prava korisnika provodi se s ciljem omogućavanja ispravnog korištenja programa, podataka i resursa IS-a Grada Rijeke.

Radi provođenja mjere dodjele pristupnih prava korisnicima mreže, aplikacija i baza podataka IS-a Grada Rijeke pohranjenih u računalima, potrebno je provoditi sljedeće radnje:

- Zavod za informatičku djelatnost je dužan organizirati i provjeravati autentičnost korisnika koji pristupaju mreži računalnih sustava,

- Zavod za informatičku djelatnost je dužan organizirati pristup i provesti kontrolu pristupa svim računalnim sustavima Grada Rijeke samo ovlaštenim djelatnicima primjereno zahtjevima posla kojeg obavljaju,

- Zavod za informatičku djelatnost je dužan omogućiti uređaje i softver za autentifikaciju za korisnike koji imaju velika ovlaštenja pristupa mreži i podacima,

- Zavod za informatičku djelatnost je dužan provesti sve nadopune, brisanja i promjene u organizaciji i kontroli pristupa računalnim sustavima u skladu s odobrenim zahtjevom krajnjeg korisnika,

- Zavod za informatičku djelatnost je dužan voditi i održavati ažurnim popis administrativnih pristupnih kodova i lozinki te čuvati taj popis na sigurnom mjestu,

- Zavod za informatičku djelatnost je dužan onemogućiti anonimni pristup bilo koje vrste do radnih stanica,

- Zavod za informatičku djelatnost je dužan kontrolirati modemske i slične priključke na mrežu a instalaciju novih modema odobrava Zavod za informatičku djelatnost,

- Zavod za informatičku djelatnost je dužan pratiti sva događanja na mreži,

- korisnik računalnog sustava je odgovoran za sve računalne transakcije izvršene uz uporabu njegove korisničke identifikacije i lozinke,

- zabranjeno je obznanjivati lozinke drugima te se lozinka mora promptno promijeniti ako postoji sumnja da je postala poznata drugima,

- zabranjeno je pohranjivati lozinku na mjesto gdje je do nje lako doći,

- lozinka se mora mijenjati u roku ne dužem od 90 dana,

- ne smiju se koristiti lozinke koje se mogu lako pamtiti, lako odgonetnuti ili probiti od strane drugih,

- lozinke moraju sadržavati najmanje sedam znakova i to kombinaciju slova, brojki i simbola,

- korisnik mora odjaviti svoj account kada prestaje s radom na računalu na duže vrijeme,

- kadrovska služba Grada Rijeke je dužna promptno obavijestiti Zavod za informatičku djelatnost o tome da li nekom djelatniku prestaje radni odnos u Gradu Rijeci ili se raspoređuje na rad u drugi odjel gradske uprave, kako bi se mogla opozvati njegova ovlaštenja za pristup resursima,

- radna stanica se mora ugasiti kada nije u upotrebi (npr. preko noći).

2. Vatrozid

Članak 31.

Vatrozid se primjenjuje s ciljem organizacije i kontrole prometa mrežom te sprječavanja nedozvoljenog prometa mrežom.

Radi provođenja mjera organizacije, kontrole i zaštite prometa mrežom potrebno je provoditi sljedeće radnje:

- Zavod za informatičku djelatnost je dužan primijeniti vatrozid za organizaciju i kontrolu prometa podacima između vanjskog svijeta i unutrašnjeg dijela mreže,

- Zavod za informatičku djelatnost je dužan primijeniti vatrozid za sprječavanje nedozvoljenog prometa mrežom iznutra prema van,

- Zavod za informatičku djelatnost je dužan primijeniti vatrozid za sprječavanje nedozvoljenog prometa mrežom iz vanjskog svijeta prema unutrašnjem dijelu mreže,

- Zavod za informatičku djelatnost je dužan primijeniti vatrozid za sprečavanje nedozvoljenog prometa zaštićenim segmentom lokalne mreže od ostale lokalne mreže.

3. Kriptiranje, digitalni certifikati i digitalni potpis

Članak 32.

Kriptiranje, digitalni certifikati i digitalni potpis provode se u cilju sprečavanja slučajnog gubitka programa i/ili podataka, krađe programa i/ili podataka, neovlaštenog pristupa i korištenja podataka i/ili programa, neovlaštenih izmjena podataka i/ili programa, neovlaštenog korištenja resursa, sprečavanja drugih u korištenju resursa te namjernog uništenja opreme i/ili programa i/ili podataka.

Radi provođenja mjere zaštite povjerljivosti i integriteta podataka potrebno je provoditi sljedeće radnje:

- Zavod za informatičku djelatnost je dužan omogućiti korisnicima korištenje programa za kriptiranje podataka na disku i kriptiranje/dekriptiranje elektroničke pošte,

- Zavod za informatičku djelatnost je dužan primijeniti virtualnu privatnu kriptiranu vezu (VPN) za prijenos podataka za korisnike vezane base-band i dial-up modemima na mrežu,

- Zavod za informatičku djelatnost je dužan omogućiti korisnicima korištenje računalne opreme ili programa za izradu i verificiranje elektroničkog potpisa za identifikaciju potpisnika i vjerodostojnost potpisanog elektroničkog dokumenta,

- Zavod za informatičku djelatnost je dužan osigurati davatelja usluga certificiranja koji izdaje elektroničku potvrdu kojom se potvrđuje identitet potpisnika u postupcima razmjene elektroničkog zapisa (certifikat) za sigurnu provedbu usluga certificiranja,

- za čuvanje povjerljivih i tajnih podataka korisnik je dužan koristiti programe za kriptiranje podataka spremljenih na radnim stanicama,

- pri slanju povjerljivih i tajnih podataka elektroničkom poštom pošiljatelj je dužan koristiti mail program koji podržava kriptiranje poruka,

- korisnik elektroničkog potpisa je dužan koristiti elektronički potpis u skladu sa propisima kojima se uređuje elektronički potpis.

4. Internet i elektronička pošta

Članak 33.

Sigurno korištenje Interneta i elektroničke pošte provodi se u cilju sprečavanja zaraze računalnim virusom, slučajnog gubitka programa i/ili podataka, krađe programa i/ili podataka, neovlaštenog pristupa i korištenja podataka i/ili programa, neovlaštenog korištenja resursa, sprečavanja drugih u korištenju resursa te namjernog uništenja opreme i/ili programa i/ili podataka.

Radi sigurnog korištenja Interneta i elektroničke pošte potrebno je provoditi sljedeće radnje:

- dozvoljena je komunikacija putem Interneta koja se obavlja iz profesionalnih razloga i koja ne utječe negativno na produktivnost,

- dozvoljeno je korištenje web preglednika za prikupljanje poslovnih informacija s komercijalnih web adresa,

- dozvoljeno je korištenje Interneta za pristup bazama podataka radi pronalaženja poslovnih informacija,

- dozvoljeno je korištenje elektroničke pošte u svrhu ostvarivanja poslovnih kontakata,

- obavezno je čuvanje elektroničke pošte koja je značajna za poslovni proces,

- korisnik Interneta i elektroničke pošte snosi odgovornost za sadržaj svih tekstova, zvučnih zapisa ili slika koje objavljuje ili šalje putem Interneta,

- uz svaku komunikaciju putem Interneta mora biti naznačeno ime djelatnika koji je obavlja,

- zabranjeno je slanje i prosljeđivanje lančane elektroničke pošte, tj. poruka koje uključuju naputke za prosljeđivanje poruka drugima,

- zabranjeno je slanje iste poruke na više od deset (10) prijamnih adresa ili na više od jedne dostavne (distribucijske) liste,

- zabranjeno je obavljanje privatnih i osobnih poslova uz korištenje resursa IS-a Grada Rijeke,

- zabranjeno je slanje bilo kakvog sadržaja koji je ofanzivan, koji primatelju može stvoriti neprilike ili štetu, ili je obmanjujući,

- antivirusna zaštita mora biti obavezno aktivirana kod prijama elektroničke pošte i pridruženih datoteka,

- zabranjeno je pokretanje izvršnih datoteka ako se ne zna o čemu se radi i da li je izvor pouzdan.

5. Protuvirusna zaštita

Članak 34.

Protuvirusna zaštita provodi se u cilju sprečavanja zaraze računalnim virusom, slučajnog gubitka programa i/ili podataka, krađe programa i/ili podataka, neovlaštenog pristupa i korištenja podataka i/ili programa, neovlaštenog korištenja resursa, sprečavanja drugih u korištenju resursa te namjernog uništenja opreme i/ili programa i/ili podataka.

Radi provođenja protuvirusne zaštite potrebno je provoditi sljedeće radnje:

- Zavod za informatičku djelatnost je dužan instalirati i održavati antivirusne programe na svim poslužiteljima i radnim stanicama Grada Rijeke redovitim ažuriranjem u pogledu novih vrsta virusa,

- Zavod za informatičku djelatnost je dužan konfigurirati antivirusni program tako da vrši antivirusno skeniranje svih ulaznih objekata,

- Zavod za informatičku djelatnost je dužan odgovoriti na sve napade računalnih virusa, uništiti svaki otkriveni virus te dokumentirati svaki incident,

- zabranjeno je namjerno unositi računalne viruse u računala Grada Rijeke,

- svatko tko sumnja da je njegovo računalo zaraženo virusom mora odmah isključiti računalo i o tome obavijestiti odgovornu osobu za provedbu mjera zaštite sigurnosti.

6. Korištenje softvera

Članak 35.

Sigurno korištenje softvera provodi se u cilju sprečavanja zaraze računalnim virusom, slučajnog gubitka programa i/ili podataka, krađe programa i/ili podataka, neovlaštenog pristupa i korištenja podataka i/ili programa, neovlaštenog korištenja resursa, sprečavanja drugih u korištenju resursa te namjernog uništenja opreme i/ili programa i/ili podataka.

Radi provođenja zaštite softvera potrebno je provoditi sljedeće radnje:

- pridržavati se odredbi Zakona o autorskom pravu i srodnim pravima,

- pridržavati se licencnih ugovora o korištenju autorski zaštićenog softvera,

- Zavod za informatičku djelatnost je dužan voditi evidenciju o svim licencama softvera u posjedu Grada Rijeke,

- Zavod za informatičku djelatnost je dužan periodično, a najmanje jednom godišnje, izvršiti uvid u računala u posjedu Grada Rijeke kako bi verificirao da je instaliran samo softver za čije korištenje je Grad Rijeka ovlašten,

- samo licencirani softver i softver u vlasništvu Grada Rijeke smije se instalirati na računalima Grada Rijeke,

- zabranjena je instalacija bilo kakvog softvera za koji se nema dozvola Zavoda za informatičku djelatnost,

- zabranjena je izmjena bilo kakvog softvera za koju se nema dozvola Zavoda za informatičku djelatnost,

- zabranjena je deinstalacija bilo kojeg softvera instaliranog na računalu bez dozvole Zavoda za informatičku djelatnost.

7. Zaštita podataka

Članak 36.

Zaštita podataka provodi se u cilju sprečavanja zaraze računalnim virusom, slučajnog gubitka programa i/ili podataka, krađe programa i/ili podataka, neovlaštenog pristupa i korištenja podataka i/ili programa, neovlaštenog korištenja resursa, sprečavanja drugih u korištenju resursa te namjernog uništenja opreme i/ili programa i/ili podataka.

Radi provođenja zaštite podataka potrebno je provoditi sljedeće radnje:

- magnetni mediji s podacima se moraju pohranjivati pod ključem,

- magnetne medije treba pohranjivati na mjestima na kojima nisu izloženi vanjskim rizicima, kao što su toplina, izravna sunčeva svjetlost i magnetska polja,

- Zavod za informatičku djelatnost je dužan svakodnevno pohranjivati korisničke podatke sa poslužitelja na odvojene magnetne medije i čuvati ih u vodootpornim i vatrootpornim ormarima udaljeno od poslužitelja, uz obaveznu provjeru kvalitete izrađenih kopija probnim čitanjem,

- Zavod za informatičku djelatnost je dužan nakon svake instalacije ili modifikacije sistemskih datoteka pohraniti sistemski softver i sistemske podatke sa poslužitelja na odvojene magnetne medije i čuvati ih u vodootpornim i vatrootpornim ormarima udaljeno od poslužitelja,

- Zavod za informatičku djelatnost je dužan samostalne radne stanice koje nemaju ugrađenu jedinicu za pohranjivanje podataka na drugi magnetni medij spojiti na mrežu kako bi se omogućila automatizirana centralizirana zaštita podataka preko mreže,

- svi poslovni podaci po instaliranju diskovnog podsistema pohranjuju se na diskovni podsistem i osiguravaju se od strane Zavoda za informatičku djelatnost.

8. Fizička zaštita prostorija s opremom

Članak 37.

Fizička zaštita prostorija s opremom provodi se u cilju sprečavanja kvara opreme, krađe opreme, prekida ili neurednog napajanja električnom energijom, požara ili elementarnih nepogoda, krađe programa i/ili podataka, neovlaštenog pristupa i korištenja podataka i/ili programa, neovlaštenog korištenja resursa, sprečavanja drugih u korištenju resursa te namjernog uništenja opreme i/ili programa i/ili podataka.

Radi provođenja fizičke zaštite prostorija s opremom potrebno je provoditi sljedeće radnje:

- poslužitelji i aktivna mrežna oprema se moraju smjestiti u sigurnim i čvrstim zgradama koje nisu izložene poplavi,

- poslužitelji i mrežna oprema se moraju štititi stalnim izvorom energije (UPS), a ostala računalna oprema štiti se od strujnih udara stabilizatorima napona,

- prostorije s poslužiteljima se moraju štititi od visoke ili niske vlažnosti zraka te ekstremne topline ili hladnoće klimatizacijskim uređajima,

- prostorije s računalnom opremom moraju biti zaštićene od požara u skladu s Pravilnikom o zaštiti od požara,

- prostorija s glavnim komunikacijskim čvorom i telefonskom centralom mora biti zaključana i pristup dozvoljen samo uz prisustvo ovlaštene osobe,

- u trenucima kada nitko ne boravi u prostorijama s računalnom opremom, vrata moraju biti zaključavana, a prozori zatvarani,

- u slučaju krađe ili gubitka ključa od prostorije s računalnom opremom treba obavijestiti odgovornu osobu i zamijeniti bravu,

- na sva vanjska vrata i prozore moraju biti instalirani uređaji za dojavu nasilnog ulaza i moraju se redovito kontrolirati,

- oprema koja mora biti smještena na javno pristupnom prostoru mora biti zaštićena, a javni pristup nadziran,

- portiri, odnosno čuvari na ulazu u zgradu moraju pratiti kretanje svih osoba na ulazu,

- nepoznate osobe moraju pružiti dokaze o svojem identitetu,

- prije dozvole ulaska posjetitelju potrebno je verificirati posjetu kod osobe kojoj se posjetitelj upućuje,

- portiri, odnosno čuvari na ulazu u zgradu moraju voditi evidenciju o datumu i vremenu ulaza i izlaza posjetitelja,

- pristup do uređaja za obradu podataka mora biti kontroliran i dozvoljen samo ovlaštenim osobama,

- područje na kojem se obavlja isporuka i preuzimanje opreme ili potrošnog materijala mora biti kontrolirano i po mogućnosti odvojeno od područja gdje se nalaze sredstva za obradu podataka.

V. PROVEDBA MJERA I SREDSTAVA ZAŠTITE SIGURNOSTI

1. Načini provedbe

Članak 38.

Poduzimanje i provođenje propisanih mjera i sredstava zaštite sigurnosti IS-a Grada Rijeke provodi se u skladu s odredbama ovoga Pravilnika.

Članak 39.

Zavod za informatičku djelatnost neposredno organizira i nadzire provođenje mjera i sredstava zaštite sigurnosti utvrđenih ovim Pravilnikom.

U cilju unapređenja zaštite sigurnosti IS-a odgovorna osoba za provedbu mjera i sredstava zaštite sigurnosti predlaže, osim mjera i sredstava utvrđenih ovim Pravilnikom, provedbu drugih mjera zaštite sigurnosti u skladu sa zakonom i opće prihvaćenim pravilima struke.

Članak 40.

Odgovorna osoba za provedbu mjera i sredstava zaštite sigurnosti pri obavljanju kontrole i nadzora nad provedbom mjera zaštite sigurnosti dužna je izvijestiti neposrednog rukovoditelja kod kojeg je nadzor obavljen o rezultatima kontrole i unijeti ih u redovna izvješća.

Ako odgovorna osoba za provedbu mjera zaštite sigurnosti pristupa rješavanju složenijih problema s područja zaštite sigurnosti IS-a surađivat će sa svim stručnim službama u tijelima gradske uprave Grada Rijeke.

Članak 41.

Odgovorna osoba za provedbu mjera zaštite sigurnosti obavlja sljedeće poslove:

- obavlja redovitu kontrolu provedbe mjera zaštite sigurnosti utvrđenih ovim Pravilnikom,

- surađuje i koordinira rad na izradi uputa za zaštitu sigurnosti IS-a,

- vodi brigu o pravovremenom osposobljavanju djelatnika za zaštitu sigurnosti IS-a te vodi brigu o tome,

- izvješćuje pojedine pročelnike odjela gradske uprave o utvrđenim nepravilnostima glede sigurnosnih uvjeta i predlaže mjere za otklanjanje istih.

Članak 42.

Prigodom obavljanja kontrole provedbe mjera zaštite sigurnosti IS-a Grada Rijeke propisanih ovim Pravilnikom, odgovorna osoba ima sljedeća ovlaštenja:

- narediti prekid obavljanja posla ili radnje kojom se neposredno ugrožava sigurnost IS-a te o tome izvijestiti neposrednog rukovoditelja,

- udaljiti s radnog mjesta djelatnika koji svojim postupkom neposredno ugrožava sigurnost IS-a Grada Rijeke te o tome izvijestiti njegovog neposrednog rukovoditelja,

- izvijestiti pročelnika pojedinog odjela gradske uprave o neprovođenju propisanih mjera zaštite sigurnosti.

2. Subjekti provedbe

Članak 43.

Svaki djelatnik zaposlen u tijelima gradske uprave Grada Rijeke dužan je poduzimati i provoditi propisane mjere i sredstva zaštite sigurnosti IS-a Grada Rijeke u skladu s ovim Pravilnikom.

Članak 44.

Pročelnici odjela gradske uprave, ravnatelji direkcija i voditelji službi obvezni su:

- provoditi i nadzirati provođenje propisanih mjera zaštite sigurnosti,

- upoznati novog djelatnika s opasnostima od ugrožavanja sigurnosti IS-a Grada Rijeke,

- poduzeti mjere da se nedostaci koji mogu utjecati na sigurnost IS-a, a utvrđeni su pregledom ili prijavljeni od strane odgovorne osobe za provedbu zaštite sigurnosti, odmah uklone,

- izvijestiti odgovornu osobu za zaštitu sigurnosti i provođenje mjera zaštite sigurnosti o svakom nastalom problemu ili mogućoj opasnosti za sigurnost IS-a,

- udaljiti svakog djelatnika koji pri obavljanju poslova ne provodi i ne primjenjuje mjere zaštite sigurnosti sustava,

- provjeriti da li su poduzete potrebne mjere zaštite sigurnosti sustava nakon završetka rada, a prije odlaska iz radnih prostora,

- prekinuti rad na radnom mjestu, u tehnološkom procesu, na sredstvu rada i u radnoj okolini ako utvrdi da postoji izravna opasnost za ugrožavanje sigurnosti sustava ili se poslovi izvode suprotno pravilima zaštite.

Članak 45.

Djelatnik zaposlen u tijelima gradske uprave Grada Rijeke dužan je:

- upoznati se s odredbama ovog Pravilnika prije stupanja na rad i samostalnog obavljanja poslova na radnom mjestu, kao i svladati osposobljavanje za provedbu mjera zaštite sigurnosti,

- poduzimati i provoditi propisane mjere zaštite sigurnosti na radnom mjestu i u radnom prostoru,

- svaku uočenu opasnost koja bi mogla biti prijetnja ugrožavanju sigurnosti sustava odmah prijaviti neposrednom rukovoditelju ili osobi odgovornoj za provođenje mjera zaštite sigurnosti.

3. Edukacija korisnika i administratora

Članak 46.

Odgovorna osoba za provedbu mjera i sredstava zaštite sigurnosti dužna je osigurati osposobljavanje djelatnika gradske uprave Grada Rijeke za provedbu mjera i sredstava zaštite propisanih ovim Pravilnikom.

Obveza iz stavka 1 ovoga članka odnosi se i na djelatnike koji su zaposleni na određeno vrijeme.

4. Korisnički i administratorski priručnici

Članak 47.

Odgovorna osoba za provedbu mjera i sredstava zaštite sigurnosti dužna je osigurati korisničke i administratorske priručnike.

Korisnički i administratorski priručnici sadrže upute za korisnike i administratore IS-a za korištenje resursa IS-a Grada Rijeke u skladu s odredbama ovoga Pravilnika.

5. Postupanje u incidentnim situacijama

Članak 48.

U slučaju havarije ili incidentne situacije djelatnik Grada Rijeke je dužan odmah izvijestiti odgovornu osobu za provedbu mjera zaštite sigurnosti.

Pod havarijom u smislu ovoga Pravilnika smatra se:

- potpuni gubitak sustava,

- gubitak programa,

- gubitak podataka.

Pod incidentnim situacijama u smislu ovoga Pravilnika smatraju se:

- privremeni prestanak rada sustava,

- gubitak opreme,

- ograničavanje resursa u radu,

- smanjenje resursa,

- kvar opreme.

6. Nadzor

Članak 49.

Nadzor nad primjenom mjera i sredstava zaštite sigurnosti IS-a Grada Rijeke obavlja se sukladno odredbama ovoga Pravilnika.

Nadzor na primjenom mjera i sredstava zaštite sigurnosti organizira i provodi odgovorna osoba za provedbu mjera i sredstava zaštite sigurnosti.

7. Stalna i povremena revizija

Članak 50.

Odgovorna osoba za provedbu mjera i sredstava zaštite sigurnosti dužna je provoditi stalnu i povremenu reviziju provedbe mjera i sredstava zaštite propisanih ovim Pravilnikom.

VI. ODGOVORNOST ZBOG NEPRIDRŽAVANJA MJERA I SREDSTAVA ZAŠTITE SIGURNOSTI

Članak 51.

Osoba odgovorna za provedbu mjera zaštite sigurnosti i provedbu sigurnosne politike u skladu s ovim Pravilnikom je pročelnik Zavoda za informatičku djelatnost Grada Rijeke.

Odgovorna osoba za provedbu mjera zaštite sigurnosti redovito obavlja kontrolu provedbe mjera zaštite utvrđenih ovim Pravilnikom i odgovorna je za provedbu tih mjera.

Članak 52.

Korisnik IS-a Grada Rijeke je dužan pridržavati se svih mjera i sredstava zaštite propisanih ovim Pravilnikom.

Ako korisnik nepridržavanjem odredaba ovoga Pravilnika nanese štetu Gradu Rijeci, odgovara za pričinjenu štetu sukladno Zakonu i općem aktu Grada Rijeke.

VII. ZAVRŠNE ODREDBE

Članak 53.

Svaki korisnik IS-a Grada Rijeke dužan je potpisati Izjavu o prihvaćanju sigurnosne politike IS-a Grada Rijeke.

Obrazac Izjave iz stavka 1. ovoga članka nalazi se u privitku (Prilog 1) i čini sastavni dio ovoga Pravilnika.

Članak 54.

O potpisivanju Izjave iz članka 53. ovoga Pravilnika vodi se očevidnik.

Očevidnik iz prethodnog stavka ovoga članka vodi odgovorna osoba za provedbu mjera zaštite sigurnosti IS-a Grada Rijeke.

Članak 55.

Poglavarstvo Grada Rijeke donijet će u roku od jedne godine dana od dana stupanja na snagu ovoga Pravilnika skup pravila, i to:

- Plan oporavka u slučaju havarije,

- Plan zaštite i povrata podataka,

- Plan provođenja protuvirusne zaštite,

- Plan postupanja u incidentnim situacijama,

- Oblici suradnje informatičara s korisnikom.

Članak 56.

Ovaj Pravilnik stupa na snagu osmoga dana od dana objave u »Službenim novinama« Primorsko-goranske županije.

Klasa: 022-05/03-01/50

Ur. broj: 2170-01-10-03-2

Rijeka, 18. studenoga 2003.

POGLAVARSTVO GRADA RIJEKE

Predsjednik Poglavarstva

mr. sc. Vojko Obersnel, v. r.

Prilog 1.

I Z J A V A
O PRIHVAĆANJU SIGURNOSNE POLITIKE IS-a

Potpisivanjem ove Izjave izjavljujem da sam:

1. Primio i pročitao Pravilnik o sigurnosti Integralnog informacijskog sustava Grada Rijeke i razumio ga.

2. Razumio sam i slažem se da svako računalo, softver i memorijski medij koji mi je pribavio Grad Rijeka sadrži vlasništvom zaštićene i povjerljive informacije o Gradu Rijeci i njenim poslovnim partnerima te da one jesu i ostaju vlasništvo Grada Rijeke u svim svojim dijelovima i trajno.

3. Slažem se da neću kopirati, umnožavati (s izuzetkom sigurnosnog kopiranja kao dijela mojih radnih obveza u Gradu Rijeci), na bilo koji način objavljivati i omogućiti bilo kome drugome da kopira bilo koji dio tih informacija ili softvera.

4. Slažem se da ću, prestankom radnog odnosa u Gradu Rijeci iz bilo kojeg razloga, odmah vratiti izvorni primjerak i sve kopije svog softvera, računalnog materijala i računalne opreme koje sam primio od Grada Rijeke, a koji su u mome posjedu ili na bilo koji drugi način pod mojom izravnom ili neizravnom kontrolom.

Potpis zaposlenika: _____________________________________________________________________

Ime i prezime zaposlenika: ______________________________________________________________

Datum: _______________________________________________________________________________

Odjel gradske uprave: __________________________________________________________________

 


© Primorsko-goranska županija 2002.-2003. Sva prava pridržana.
Obratite se webmasteru s pitanjima i komentarima.
Programska podrška
www.netcom.hr