Kto może zostać administratorem bezpieczeństwa informacji?

Dzisiejsze czasy cechuje nieustanny rozwój technologiczny. Przepływ wszelkiego rodzaju informacji, w tym danych wrażliwych wymaga ścisłej kontroli i zabezpieczenia przed naruszeniem, kradzieżą, a także nieprawnym wykorzystaniem.

Przedsiębiorstwa, instytucje i inne działalności, które zajmują się ich obracaniem, powierzają opiekę nad nimi administratorom bezpieczeństwa informacji. Kto może nim zostać oraz co właściwie należy do jego ścisłych obowiązków?

Kim jest administrator bezpieczeństwa informacji?

Administrator bezpieczeństwa informacji, w skrócie ABI to osoba wyznaczona przez administratora danych do kontrolowania sposobu przetwarzania danych osobowych. ABI zapewnia bezpieczeństwo przepływu informacji oraz jest odpowiedzialny za optymalizację działań mających na celu zwiększenie ich ochrony.

Administrator bezpieczeństwa informacji musi być osobą fizyczną, zapisaną w ewidencji pracowników jako osoba upoważniona do nadzorowania przetwarzanych danych. Nie może zdradzać osobom trzecim procedur bezpieczeństwa. Ma za zadanie również nie dopuszczać osób postronnych do dostępu do tzw. danych wrażliwych.

Powołanie na to stanowisko powinno zostać potwierdzone umową pisemną. Nie jest jednak wymagane, aby ABI odpowiadał przed administratorem danych ani zdawał mu raportów ze stosowanych działań. Może także pełnić inne funkcje pracownicze w danym przedsiębiorstwie, jednak obowiązki te nie powinny kolidować z zadaniami administratora bezpieczeństwa informacji. Stanowiska nie mogą również powodować konfliktu interesów. ABI podlega bezpośrednio kierownikowi danej jednostki.

Jakie obowiązki ma administrator bezpieczeństwa informacji?

Podstawowym i zarazem głównym obowiązkiem administratora bezpieczeństwa informacji jest zapewnienie ochrony przetwarzanym danym osobowym. Na to zadanie składa się wiele czynników. Do działań koniecznych w tym zakresie wymagane jest między innymi:

• Monitorowanie użytkowników, a konkretnie ich uprawnień do konkretnych danych.
• Podejmowanie czynności mających na celu zablokowanie dostępu do danych przez osoby do tego nieupoważnione.
• Nadzorowanie procedur bezpieczeństwa, porównywanie ich z aktualnymi sposobami ochrony danych oraz wdrażanie nowych inicjatyw w tym zakresie.
• Kontrolowanie listy osób upoważnionych do przeglądania, także przetwarzania danych oraz eliminacja tych, które są nieupoważnione.
• Kontrolowanie aktualnych wymagań co do systemów bezpieczeństwa regulowanych rozporządzeniami.
• Działanie w zgodzie z Ustawą o ochronie danych.
• Przeprowadzanie oraz branie udziału w szkoleniach z bezpieczeństwa informacji.
• Wdrażanie nowych środków ochrony danych oraz stała kontrola nad rezultatami.
• Nadzorowanie całego systemu bezpieczeństwa informacji oraz wprowadzanie poprawek i korekt w razie ewentualnych usterek tudzież awarii.
• Wykrywanie naruszeń bezpieczeństwa oraz podejmowanie działań mających na celu zminimalizować przyszłe naruszenia.
• Prowadzenie zintegrowanego z systemem rejestru danych.

Działania ABI regulowane i szczegółowo opisane zostały w art. 51 ustawy o ochronie danych osobowych z 1997 roku oraz jej nowelizacji z 2015 roku. Wszelkie naruszenia ze strony administratora takie jak udzielenie dostępu do danych wrażliwych jednostki osobom niepowołanym do tego skutkować może nałożeniem grzywny finansowej, zerwaniem umowy lub w najgorszym przypadku – karą pozbawienia wolności.

Wymagania edukacyjne oraz umiejętności

Administrator bezpieczeństwa informacji musi być osobą fizyczną, która ma pełną zdolność do czynności prawnych i praw publicznych oraz nie była nigdy karana oraz skazana za przestępstwo, zwłaszcza z dziedziny ochrony danych. ABI musi również posiadać odpowiednią wiedzę z przepisów prawa dotyczących ochrony danych oraz umiejętności z zakresu systemów i procedur zarządzania bezpieczeństwem informacji.

Prawo nie reguluje konkretnych certyfikacji i kwalifikacji koniecznych do podjęcia się pracy ABI. Kompetencje wymagane do podjęcia się tak istotnego stanowiska można nabyć podczas szkolenia z bezpieczeństwa informacji.

Szkolenia takie lub kurs pomagają uzyskać wiedzę merytoryczną z zakresu ochrony danych oraz praktykę we wcielaniu jej w życie. Pozwalają zrozumieć działanie systemów bezpieczeństwa, ich standardów, procesów i procedur koniecznych do zapewnienia ochrony przetwarzanym przez daną jednostkę informacji wrażliwych z ograniczonym dostępem.

Wdrożenie w działanie polityki bezpieczeństwa w poszczególnych przedsiębiorstwach oraz instytucjach pozwala na całościowe zrozumienie tematu oraz utrzymywanie rejestru danych w należytym porządku. Szkolenie z bezpieczeństwa informacji jest zatem warunkiem niemal koniecznym w celu uzyskania odpowiedniej wiedzy oraz umiejętności do pracy na tego typu stanowisku.

W 2018 roku, zgodnie z Rozporządzeniem o ochronie danych RODO, urząd administratora bezpieczeństwa informacji przemianowano na inspektora ochrony danych, pozostawiając w jego gestii te same obowiązki i zadania.