Защита на личните данни

Основни принципи при обработката на лични данни:

Обработка в съответствие със закона и правилото за добросъвестност

Нашата компания действа при обработката на лични данни в съответствие с принципите, наложени от юридическите разпоредби, и според общото правило за доверие и честност.

Точност и Актуалност при Необходимост

Относно личните данни, обработвани от компанията, се предприемат необходимите мерки, за да бъдат те точни и актуални, и се предоставят необходимите възможности на притежателите на данни, включително чрез информиране, с цел данните, които се обработват, да отразяват действителното състояние.

Обработване за определени, ясни и законни цели

Нашата компания ясно и категорично определя легитимната и законна цел на обработката на лични данни. Нашата компания обработва лични данни, свързани с предоставяната услуга и само в необходимия обем за това. Целите, за които личните данни ще бъдат обработвани от нашата компания, се определят преди започването на дейността по обработка на лични данни.

Свързаност с целта, ограниченост и измеримост

Данните се обработват от Компанията в съответствие с KVKK и другите приложими закони, съгласно категориите данни, с цел постигане на определените цели, във връзка с изпълнението на тези цели и пропорционално, като се избягва обработването на ненужни лични данни.

Съхраняване за срока, предвиден в съответното законодателство или необходим за целта, за която са обработвани

Личните данни, обработвани от компанията, се съхраняват само за периода, предвиден в съответното законодателство или необходим за целта, за която са обработвани. В този контекст, компанията се придържа към периода, предвиден в съответното законодателство за съхраняване на данни; ако такъв срок не съществува, данните се съхраняват само за периода, необходим за целта, за която са обработвани. Компанията не съхранява данни, позовавайки се на възможността за бъдещо използване.

• В рамките на мерките за физическа сигурност (входни и изходни врати, офис помещения, зони за доставка на продукти, сигурността на складове и използването на идентификационни карти на персонала и др.) всички служители се придържат към установените правила.
• Защитата от вируси и атакуващи е на отговорността на Информационния мениджър. Отговорният уведомява висшето ръководство за необходимия хардуер и софтуер за защита от вируси и атакуващи и предприема необходимите мерки. Тези мерки включват минималните условия, изисквани от министерството на здравеопазването, които обхващат хардуерни и софтуерни средства като антивирусни програми и защитна стена. Актуализирането на този софтуер е отговорност на Мениджъра на информационните системи. Когато настъпи време за актуализация, той уведомява висшето ръководство и извършва актуализациите.

Извършване на дейности по обработка на лични данни в съответствие с KVKK

KVKK регулира условията за обработка на лични данни, като компанията обработва личните данни в съответствие с условията, посочени по-долу.

С изключение на изброените в Закона изключения, Компанията обработва лични данни само чрез получаване на изричното съгласие на субектите на данни. В случаи на изброените по-долу обстоятелства в Закона обаче, личните данни могат да се обработват, дори ако субектът на данни няма изрично съгласие.

• Ясно предвиждане в законите,
• Необходимост за защита на собствения или чужд живот или телесна неприкосновеност за лице, което поради фактическа невъзможност не може да даде съгласие или чието съгласие не е признато законно валидно
• Обработката на лични данни на страните по договор е необходима само когато е пряко свързана с сключването или изпълнението на този договор.
• Необходимо е администраторът на данни да изпълни своята правна задължителност.
• Публичното оповестяване от самия собственик на данните,
• Обработката на данни е необходима за учредяване, използване или защита на едно право,
• Обработването на данни е необходимо за законния интерес на администратора на данни, при условие че не вреди на основните права и свободи на собственика на данните.
• Компанията проявява специална чувствителност при обработката на специални категории лични данни, чието защитаване се смята за особено важно от гледна точка на притежателите на данни. В този контекст, при условие че са взети достатъчни мерки, определени от отдела по управление на качеството, такива данни не се обработват без изрично съгласие на притежателите на данни. Въпреки това, специални категории лични данни, с изключение на данни, свързани със здравето и сексуалния живот, могат да се обработват и без изричното съгласие на притежателя на данните в случаите, предвидени в законите.

Данните, свързани със здравето и сексуалния живот, могат да се обработват без изричното му съгласие при условие, че се вземат достатъчни мерки и съществуват изброените по-долу причини:

• Защита на обществото здраве,
• Превантивна медицина,
• Медицинска диагностика,
• Извършване на услуги по лечение и грижи,
• Планиране и управление на здравните услуги и тяхното финансиране.

Да дава обяснения относно дейностите по обработка на лични данни, извършвани от Дружеството в съответствие със закона и системите, приети за защита на личните данни, и в този контекст да осигури прозрачност чрез информиране на лицата, чиито лични данни се обработват от нашата компания, особено нашите клиенти, потенциални клиенти, служители, кандидати за служители, служители на компанията, посетители, служители, служители на институциите, с които си сътрудничим, и трети страни, чиито лични данни се обработват.

• Съгласно BY.YD.002 „Институционална политика за системата за управление на информацията“ в медицинския център е създадена домейн структура и всички компютри работят с „login“ в домейн структурата. Компютрите, които не са свързани с домейна, се изваждат от локалната мрежа и между устройствата в локалната мрежа не се обменя информация.
• Не е разрешено обмен на файлове чрез компютри, освен официални документи, програми и учебни материали.
• Достъпът до интернет и връзките за използване на електронна поща се контролират от защитната стена, намираща се в Медицинския център.
• На всички упълномощени служители, започващи работа в медицинския център, се създава корпоративен имейл адрес.
• Имейли и пароли се предоставят на съответния персонал по време на обучение.
• Потребителят приема, че всички изрази, изказани от него по време на електронната поща, принадлежат на него. Потребителят носи отговорност за изпращането на съобщения, които могат да представляват престъпление; заплашителни, незаконни, обидни, съдържащи ругатни или клевета, аморални.
• Потребителят не може да включва материали и документи в акаунта си, които юридически представляват престъпление, и не може да използва приложения, които вредят на собствениците на лични акаунти.
• Не може да се използва сървърът на друга система или акаунтът на друг потребител за изпращане на съобщения без разрешението на съответното лице.
• Потребителят не може да използва акаунта си за търговски и печалбарски цели. Той не може да изпраща масово електронна поща до множество потребители за рекламни, промоционални, информационни и други цели (СПАМ).
• Потребителят носи отговорност за всякаква правна отговорност, произтичаща от публикуването на информацията, съдържаща се в акаунта му.

Осведомяване и информиране на субекта на личните данни

Нашата компания, съгласно член 10 от Закона за защита на личните данни, информира собствениците на лични данни по време на тяхното събиране. В този контекст компанията дава информация за целите на обработка на личните данни, на кои и за какви цели могат да бъдат предадени обработените лични данни, метода и правното основание за събиране на лични данни, както и за правата, които притежава собственикът на личните данни.

В член 20 от Конституцията се посочва, че всеки има право да бъде информиран за личните си данни. В съответствие с това, член 11 от Закона за защита на личните данни включва сред правата на притежателя на лични данни и „искане на информация“. В този контекст нашата компания предоставя необходимата информация на притежателя на лични данни при поискване, съгласно член 20 от Конституцията и член 11 от Закона за защита на личните данни.

Цели на обработка на личните данни

Вашите здравни данни, както и специални категории лични данни и лични данни, могат да бъдат обработвани от Компанията по ограничен и пропорционален начин във връзка с целите, изброени по-долу, включително, но не само, следните цели;

• Вашето име, фамилия, турски личен номер, временен турски личен номер, паспортен номер, място и дата на раждане, семейно положение, пол, номер на застраховка или пациентски протокол и други идентификационни данни, характеризиращи ви.
• Вашият адрес, телефонен номер, електронна поща
• Вашите резултати от тестове, лабораторни и образни изследвания, данни от прегледи, информация за рецепти и други данни, свързани с извършването на медицински диагностики, лечение и грижи, включително данни за здравето и сексуалния живот и без да се изчерпва само с тези, вашите здравни данни,
• Вашият IBAN номер, информация за кредитната карта,
• Докато посещавате нашия медицински център, вашите изображения и аудио записи от системата за затворена телевизионна мрежа,
• Вашите записани гласови разговори, ако се свържете с Отдела за прием/информация,
• Вашите данни, свързани с частното здравно осигуряване, за целите на финансирането и планирането на здравните услуги

Нашата компания обработва лични данни в рамките на целите и условията, посочени в разпоредбите на член 5, алинея 2 и член 6, алинея 3 от Закона за защита на личните данни № 6698.

Тези цели и условия;

• Ясно предвиждане в законите за извършването на съответни дейности от нашето дружество по обработката на вашите лични данни.
• Обработването на вашите лични данни от нашата Компания е пряко свързано и необходимо за сключване или изпълнение на договор,
• Обработването на вашите лични данни е задължително, за да може нашата Компания да изпълни своите законови задължения,
• Обработването на вашите лични данни от нашата Компания е допустимо при условие, че те са били огласени от вас и само за ограничена цел на огласяване,
• Обработването на вашите лични данни от нашата Компания е необходимо за установяване, използване или защита на правата на нашата Компания, на вас или на трети лица,
• При условие че не се нарушават вашите основни права и свободи, Компанията ще обработва лични данни за своите законни интереси, ако това е необходимо.
• Обработка на лични данни от нашата компания се извършва когато това е необходимо за защита на живота или телесната цялост на субекта на данните или на друг човек, и в този случай субектът на данните е в състояние да не може да даде съгласието си поради фактическа невъзможност или юридическа недействителност.
• Предвиждането в законите на обработка на специални категории лични данни, с изключение на здравето и сексуалния живот на собственика на личните данни,
• Обработката на лични данни с особен характер, свързани със здравето и сексуалния живот на субекта на данни, се извършва за целите на защитата на общественото здраве, профилактичната медицина, медицинската диагноза, лечение и грижи, както и за планирането и управлението на здравните услуги и финансирането им, от лица, обвързани с тайна, или от оторизирани институции и организации.

При посочените по-горе условия; Нашата компания може да обработва лични данни за следните цели, без да се ограничава само до тях:

• Защита на общественото здраве, профилактична медицина, провеждане на медицинска диагностика, лечение и грижи,
• С цел планиране и управление на здравните услуги и тяхното финансиране
• Потвърждаване на идентичността ви
• В случай че имате назначен час, да можете да бъдете уведомени за срещата.
• Потвърждаване на вашата връзка с институциите, с които медицинският център има споразумение
• Спазване на законовите и регулаторните изисквания
• Отделите за обслужване на пациенти, финансови дела и маркетинг ще се погрижат за финансирането на вашите здравни услуги, покриването на разходи за изследвания, диагностика и лечение,
• Споделянето на поисканата информация с Министерството на здравеопазването и други държавни институции и организации съгласно приложимите законови разпоредби,
• Споделяне на всякаква информация, поискана от частни застрахователни компании в рамките на финансирането на здравните услуги
• За да подобрим предоставяните услуги, анализ на използването на здравните услуги
• За изпълнението на търговските дейности на Компанията, нашите съответни бизнес единици извършват необходимите действия и съответните бизнес процеси.
• Планиране и изпълнение на дейности за осигуряване на бизнес операции и непрекъснатост на бизнеса,
• Проследяване на финансови и/или счетоводни дейности
• Предоставяне на информация на упълномощени институции по законодателство,
• Планиране и изпълнение на дейности по корпоративна комуникация,
• Осигуряване на прилагането на политиките на човешките ресурси на нашата компания;
• Осигуряване на юридическата и търговска сигурност на нашата компания и на лицата, които имат бизнес отношения с нашата компания;
• Провеждане на дейности по оценка на удовлетвореността за нашите съществуващи клиенти, организация и управление на събития,
• Провеждане на дейности по здраве и безопасност при работа,
• Изпълнение на процесите за информационна и физическа сигурност
• Потвърждаване на информацията за лицето, извършващо операции чрез корпоративния ни уебсайт и мобилни приложения,

Изтриване, унищожаване или анонимизиране на лични данни

С изключение на разпоредбите, предвидени в други закони относно изтриването, унищожаването или анонимизирането на личните данни, дружеството, въпреки че е обработвало личните данни в съответствие с този Закон и разпоредбите на другите закони, когато отпаднат основанията за тяхната обработка, по собствено усмотрение или по искане на Субекта на лични данни/Съответното лице изтрива, унищожава или анонимизира личните данни в рамките на принципите, посочени в BY.PR.004 „Процедура за информационна сигурност и защита на личните данни“.

Изтриването на лични данни е процес на правене на личните данни напълно недостъпни и неизползваеми за съответните потребители.

Изтриването на данните е процесът, при който Личните данни стават недостъпни, невъзстановими и не могат да бъдат използвани от никого по никакъв начин.

С анонимизирането на данните се гарантира, че Личните данни, дори да бъдат съпоставени с други данни, по никакъв начин не могат да бъдат свързани с конкретно или определяемо физическо лице.

Прехвърляне на лични данни

Личните ви данни, обработвани в рамките на обявените цели; съгласно основните принципи, предвидени в ЗЗЛД, и в условията и целите на обработка на лични данни, посочени в членове 8 и 9 на ЗЗЛД,

• Министерството на здравеопазването и неговите подчинени подразделения,
• Вашите упълномощени представители,
• Частните застрахователни компании,
• Социалноосигурителна институция,
• Главна дирекция на полицията и други правоохранителни органи,
• Главна дирекция по гражданско състояние,
• Съюз на фармацевтите на Турция,
• Съдилища и всякакви съдебни органи, централни и други трети лица,
• Адвокати,
• Лабораториите, медицинските центрове, линейките, медицинските устройства и институциите, предоставящи здравни услуги, с които си сътрудничим за медицинска диагностика и лечение,
• За ограничена цел за предоставяне на услугите нашите доставчици,

може да бъде споделено.

Прехвърляне на лични данни в чужбина

Нашата компания може да прехвърля личните данни и специалните категории лични данни на собственикa на данните на трети лица в чужбина, като взема необходимите мерки за сигурност в съответствие с целите за обработка на лични данни, разрешени от закона. Личните данни на нашата компания се прехвърлят към чужди държави, за които КОНД е обявила, че имат достатъчна защита ("Чужда държава с достатъчна защита"), или, при липса на достатъчна защита, към чужди държави, в които администраторите на данните в Турция и в съответната чужда държава писмено се ангажират да осигурят достатъчна защита и при които КОНД има разрешение ("Чужда държава с администратор на данни, който се ангажира за достатъчна защита"). Нашата компания действа в съответствие с разпоредбите на член 9 на Закона за защита на личните данни.

Сграда, достъп до съоръжения и дейности по обработка на лични данни вътре в тях, както и посетители на интернет сайта

• Дейностите по обработка на лични данни, извършвани от Компанията на входовете на сградата и в рамките на съоръжението, се извършват в съответствие с Конституцията, Закона на КВК и друго приложимо законодателство.
• С цел осигуряване на сигурността, нашата Компания извършва обработка на лични данни чрез наблюдение с охранителни камери в сградите и съоръженията на Компанията, както и чрез проследяване на входящия и изходящия поток на посетителите.
• С използването на охранителни камери и записване на входовете и изходите на посетителите нашата компания извършва обработка на лични данни.
• Дейността по наблюдение чрез охранителни камери на Компанията има за цел защитата на интересите, свързани с осигуряване на безопасността на компанията и други лица, и в този контекст нашата Компания действа в съответствие с Конституцията, Закона за защита на личните данни и другите приложими закони.
• В нашата компания на входовете на сгради и съоръжения, както и вътре в съоръженията, се правят видеозаписи на посетителите чрез система за наблюдение с камери.
• Нашата компания в рамките на дейностите по наблюдение с охранителни камери има за цел да увеличи качеството на предоставяната услуга, да осигури нейната надеждност, да гарантира безопасността на компанията, клиентите и други лица и да защити интересите на клиентите, свързани с получаваната от тях услуга.
• Нашата компания провежда дейност по видеонаблюдение с камери за целите на сигурността в съответствие с разпоредбите на Закона за защита на личните данни (KVK). Дейността по видеонаблюдение, осъществявана от нашата компания, се извършва в съответствие със Закона за частната охранителна дейност и свързаното законодателство.
• Само ограничен брой служители на Компанията имат достъп до записите, съхранявани и поддържани в цифров формат. Лицата с достъп до записите декларират със задължение за поверителност, че ще защитят поверителността на данните, до които имат достъп.
• В съответствие с чл. 12 на Закона за защита на личните данни, нашата компания предприема необходимите технически и административни мерки за осигуряване на сигурността на личните данни, получени в резултат на дейността по видеонаблюдение.

Освен посоченото записване чрез камери, нашата Компания извършва обработка на лични данни с цел осигуряване на сигурността и за целите, посочени в тази Политика, за проследяване на входа и изхода на посетители в сградите и съоръженията на Компанията.

• При набирането на имената и фамилиите на лицата, които идват като гости в сградите на нашата компания, или чрез текстове, които са закачени в компанията или по друг начин предоставени за достъп на гостите, съответните собственици на лични данни се информират в този контекст. Данните, събрани за целите на проследяване на влизането и излизането на гости, се обработват само за тази цел или съответните лични данни се записват в система за регистрация на данни във физическа форма.
• С цел осигуряване на сигурността и за целите, посочени в тази Процедура; на посетителите, които го поискат, може да бъде предоставен интернет достъп за времето, което прекарват в сградите и съоръженията на Нашата Компания. В този случай регистрите на логовете на интернет достъпите се записват в съответствие с член 5651 на Закона и наредбите, регулирани според този закон; тези записи се обработват само когато бъдат поискани от упълномощени обществени институции или по време на вътрешни одити на Компанията с цел изпълнение на съответните правни задължения.
• До регистрите на логове, получени в тази рамка, имат достъп само ограничен брой служители на Компанията. Служителите на Компанията, които имат достъп до тези регистри, използват тези записи само за искания или процеси на одит, и и ги споделят с лице или орган, който има законово право. Ограниченият брой лица с достъп до регистрите декларира, чрез подписване на декларация за поверителност, че ще пазят поверителността на данните, до които имат достъп.
• Посетителите на интернет сайта се информират чрез Политиката за бисквитки.

Категории лични данни

• Лични данни (име и фамилия, име на майката и бащата, девическо име на майката, дата на раждане, място на раждане, семейно положение, сериен номер на личната карта, турски личен идентификационен номер и др.)
• Контакт (адресен номер, имейл адрес, адрес за контакт, регистриран електронен пощенски адрес (KEP), телефонен номер и т.н.)
• Локация (информация за местоположението)
• Лични (данни от заплата, дисциплинарно разследване, записи за започване и напускане на работа, данни за деклариране на имущество, автобиография, доклади за оценка на представянето и др.)
• Правна процедура (като информация в кореспонденцията с съдебните органи, информация в съдебното дело)
• Информация за клиентски операции (като записи от кол център, фактури, бележки, информация за чекове, информация от касови квитанции, информация за поръчки, информация за заявки)
• Физическа сигурност на пространството (информация за вход и изход на служители и посетители, записите от камери и др.)
• Сигурност на операции (информация за IP адреси, информация за посещения на уебсайтове, информация за пароли и кодове и др.)
• Управление на риска (например обработвана информация за управление на търговски, технически и административни рискове)
• Финанси (информация за баланса, информация за финансовите резултати, информация за кредити и рискове, информация за имуществото и т.н.)
• Професионален опит (информация за дипломи, посещавани курсове, служебно обучение, сертификати, информация за транскрипти и други)
• Маркетинг (информация за история на покупки, анкети, бисквитки, данни, получени чрез кампании)
• Визуални и звукови записи (като визуални и звукови записи)
• Расова и етническа принадлежност (като информация за раса и етнически произход)
• Информация за политическите възгледи (информация, указваща политическите възгледи, информация за членство в политическа партия и подобни)
• Философски убеждения, религия, конфесия и други убеждения (информация относно религиозната принадлежност, информация относно философските убеждения, информация относно конфесионалната принадлежност, информация относно другите убеждения и т.н.)
• Облекло (информация относно облеклото)
• Членство в сдружение (например информация за членство в сдружение)
• Членство във фондация (като информация за членство във фондация)
• Членство в синдикат (информация за членство в синдикат и подобни)
• Здравна информация (информация относно инвалидност, кръвна група, лична здравна информация, използвани устройства и протези и др.)
• Сексуален живот (информация относно сексуалния живот и др.)
• Наказателно осъждане и мерки за сигурност (информация относно наказателното осъждане, информация относно мерките за сигурност и др.)
• Биометрични данни (данни за дланта на ръката, отпечатъци от пръст, сканиране на ретината, данни за разпознаване на лице и др.)
• Генетични данни (като генетични данни)
• Други информация (като типове данни, определени от потребителя)

Групи лица, към които се отнасят данните

• Кандидат за работа
• Служител
• Субект
• Лице, за което става дума в новината
• Акционер/Партньор
• Потенциален купувач на продукт или услуга
• Кандидат за изпит
• Стажант
• Служител на доставчика
• Упълномощено лице на доставчика
• Лице, което получава продукт или услуга
• Родител / Попечител / Представител
• Посетител
• Друго

Технически и административни мерки за обработка и защита на лични данни

Компанията предприема всички необходими технически и административни мерки за осигуряване на подходящо ниво на сигурност за защита на личните данни. Мерките, предвидени в член 12 на ЗЗЛД, са следните:

• Да се предотврати незаконна обработка на лични данни,
• Да се предотврати незаконен достъп до лични данни,
• Осигуряване на съхранението на личните данни

Като администратор на данни, Компанията е започнала необходимия процес за прилагане на следните технически и административни мерки с цел подобряване на процеса на съответствие с KVKK.

• Матрица на правата на достъп
• Контрол на правата на достъп
• Логове на достъпа
• Управление на потребителски акаунти
• Приложение за мрежова сигурност
• Сигурност Криптиране Пробив
• Маскиране на записи в лог
• Софтуер за предотвратяване на загуба на данни
• Резервни защитни стени
• Актуални антивирусни системи
• Ключово управление за изтриване, унищожаване или анонимизиране
• Изготвяне на инвентар на обработката на лични данни
• Корпоративни политики (Достъп, Сигурност на информацията, Използване, Съхранение и унищожаване и др.) Договори (Между Администратор на данни - Администратор на данни, Администратор на данни - Обработващ данни)
• Декларации за поверителност
• Вътрешни периодични и/или случайни проверки на институцията
• Анализи на рисковете
• Трудов договор, Правила за дисциплината (Добавяне на разпоредби в съответствие със закона) Корпоративна комуникация (управление на кризи, комитет и процеси за уведомяване на съответното лице, управление на репутацията и др.)
• Образователни и осведомителни дейности (Сигурност на информацията и закон) Уведомяване в Системата за регистриране на отговорните лица за данни (VERBİS)

Права на субекта на лични данни по член 11 на Закона за защита на личните данни

Като собственици на лични данни, ако предадете исканията си относно правата си на нашата компания чрез посочените по-долу методи в Текста за информираност относно Закона за защита на личните данни, нашата компания ще изпълни искането безплатно в срок до 30 (тридесет) дни в зависимост от естеството на искането. Въпреки това, ако Съветът за защита на личните данни предвиди такса, ще се събира такса по тарифа, определена от нашата компания.

В този контекст притежателите на лични данни;

• Научаване дали се обработват лични данни,
• Да се поиска информация дали личните данни са били обработвани,
• Да се научи целта на обработката на личните данни и дали те се използват по предназначение,
• Запознаване с трети лица, на които личните данни се прехвърлят в страната или в чужбина,
• В случай че личните данни са обработени непълно или неправилно, да се поиска тяхното коригиране и в този контекст да се поиска уведомяване на трети лица, на които са били предадени личните данни,
• Въпреки че обработката е извършена в съответствие с Закона за защита на личните данни (KVKK) и другите приложими закони, лицето има право да поиска изтриване или унищожаване на личните данни, ако причините, изискващи тяхната обработка, отпаднат, и да поиска уведомяване на третите лица, на които са предоставени личните данни за извършената операция,
• Възражение срещу извеждането на резултат, неблагоприятен за лицето, чрез анализ на обработваните данни единствено чрез автоматизирани системи,
• Има право да иска обезщетение, ако претърпи вреда поради незаконна обработка на личните данни.

Като засегнато лице, трябва да предадете исканията си за права на нашата Компания писмено. В този контекст, за да могат заявленията, които ще направите на нашата Компания в рамките на член 11 от Закона за защита на личните данни (KVK), да бъдат управлявани здраво и бързо, препоръчваме да използвате документа „Форма за заявка на информация за засегнатото лице“, който се намира на нашия уебсайт под заглавие „Защита на личните данни“, като също така предоставите необходимите документи/информация и документи за установяване на самоличността си и подадете заявката лично или с препоръчано писмо с обратна разписка. Освен това, формата за заявка на информация за засегнатото лице можете да подадете и онлайн като потребител (с електронната поща, която сте предоставили на нашата Компания и е регистрирана в системата на компанията) чрез .............................com.tr.

Установяване

Персоналът на институцията извършва уведомление за инциденти при подозрителни ситуации като несъзнателно изгубени или появили се файлове, проблеми с работата на антивирусния агент, програми или прозорци, стартирани без желание, присъствие на неоторизиран персонал в критични информационни съоръжения, откритост на поверителни файлове за външна намеса, неправилно изпълнение на процедурите и др.

Оценка и изготвяне на доклади

Когато инцидентите със нарушаване на информационната сигурност се съобщават на отдела по управление на качеството чрез İO.FR.001 „Формуляр за уведомяване за нежелани инциденти“, отделът по управление на качеството оценява инцидента и ако реши, че има нарушение, информира висшето ръководство чрез доклад.

В отчета се включват поне следните заглавия;

• Събраните доказателства.
• Вид на доказателството.
• Място за съхранение на доказателства.
• Дата и време на доказателството.
• Ако е започнало корективно действие по случая, формуляр за корективно действие
• Дата и час на установяване на нарушението.

Следните въпроси трябва да бъдат взети предвид при докладване на инциденти със нарушаване на информационната сигурност:

• Физически мерки за сигурност и информация за достъпа до среди.
• Неефективен контрол на сигурността.
• Нарушение на състоянието на поверителност, цялостност и достъпност на информацията.
• Човешки грешки.
• Неконтролирани промени в софтуерни или хардуерни системи.
• Повреди.
• Контрол на достъпа.
• Несъответствие с политики и процедури.
• Уязвимости, открити от системни софтуери за сигурност.

Регистърите, открити за гореспоменатите теми, се оценяват на срещите за оценка на управлението на качеството. Нарушенията се измерват в рамките на оценката на риска.

Механизмът за оценка е както следва:

• При оценяване на нарушенията се вземат предвид броят на инцидентите и тяхното въздействие.
• Данните за нарушенията се използват като мярка при оценката на риска.
• Стойността на въздействието се обсъжда на срещите по информационна сигурност и се отразява в вероятностите за риск според броя на записите и въздействието им.
• В случай на увеличение от 7% до 10% в броя на регистрите в края на годината, на потребителите се предоставят допълнителни обучения за повишаване на осведомеността.
• Ако в края на годината броят на записите се увеличи с 11% до 30%, се организира допълнителна среща за преглед на процедурите.
• В случай на увеличение от 31% или повече в броя на регистрите в края на годината, се вземат решения за обучения за повишаване на осведомеността, актуализиране на процедури, инвестиции и структурни промени.

Интервенция

• Не се извършва закриване за никаква уязвимост, която би могла да унищожи или наруши доказателствата.
• За всички случаи, установени чрез проверки или съобщени състояния и за които са събрани доказателства, преди извършването на други действия се коригира уязвимостта, която е причинила инцидента.
• Когато се счита за необходимо за интервенция, се прилага BY.PR.001 Процедура за непрекъснатост на дейността.

Вземане на предпазни мерки и натрупване на опит

Необходимите мерки се предприемат, за да се предотврати повторното възникване на установените и събрани доказателства за инциденти с нарушение на информационната сигурност. Всички настъпили инциденти с нарушаване на информационната сигурност се преглеждат с цел придобиване на опит и научените уроци се записват. Придобиването на опит има за цел да предотврати повторението на какъвто и да е инцидент или при повторно възникване да се намери решение на проблема за по-кратко време.

За предотвратяване на инцидент за нарушаване на сигурността може да се приложи някоя от следните процедури:

• Създадените записи се преглеждат и необходимата информация за решенията се записва.
• За инциденти, причинени от неправилни приложения, задължително се създават писмени процедури.
• За инциденти, произтичащи от процедурите, процедурите се преглеждат и коригират отново.
• Проверява се дали съществува запис за риска от настъпилото събитие за информационна сигурност, ако съществува рискът се преоценява, ако не съществува се създава запис за риск за последваща оценка.
• При проблеми, свързани с достъпа, достъпите се проверяват отново, а другите сходни права за достъп също се контролират.
• При инциденти, произтичащи от софтуер и приложения, се проверяват актуализациите, а събитието се закрива чрез методи като закриване на уязвимостта, актуализация или разработване на пач.
• Предприетите мерки за проблеми, произтичащи от физическо оборудване, се прилагат и за други подобни оборудвания.
• При събития, причинени от вреден код, се определя източникът на проблема и се проверява адекватността на защитния софтуер. Намерените мерки задължително се прилагат към всички системи.

Запис и Събиране на доказателства

• По време на етапа на запис и събиране на доказателства се проверява първо дали целостта на записите, които могат да установят инцидента и отговорника, не е нарушена.
• За доказателства се използват само записи с непокътнатa цялост.
• Събраният доказателствен материал за инциденти със нарушаване на информационната сигурност се съхранява в продължение на 3 години.
• В случаите на установяване на инциденти със нарушаване на информационната сигурност, ако има налични камери, достъпни записи, контролни записи, записи, водени от системния софтуер за сигурност, записи за разходите, необходими за разрешаване на проблемите, записи, които могат да са необходими за оценка на инцидентите със нарушаване на информационната сигурност и които ще определят честотата, щетите и границите на разходите за бъдещи инциденти, се съхраняват.

Подобряване

• На служителите се предоставя обучение за осведоменост относно информационната сигурност и защитата на личните данни.
• Паролите, използвани в системата за управление на информацията, са съвместими с политиките за пароли на Министерството.
• На отговорните за системата за управление на информацията и на потребителите се подписва споразумение за поверителност.
• Извършва се оценка на риска по отношение на физическите опасности за системата за управление на информацията, проблемите със софтуера и хардуера, информационната сигурност, поверителността на информацията, защитата на личните данни, както и грешките на потребителите.
• При нарушения на информационната сигурност се извършва оценка на ситуацията чрез коригиращи действия, правят се подобрения и след това висшето ръководство и служителите се информират.