POLITICA DE SECURITATE PRIVIND INFORMATIA FINANCIAR-CONTABILA CONFIDENTIALA

POLITICA DE

SECURITATE PRIVIND

INFORMATIA

FINANCIAR-CONTABILA

CONFIDENTIALA

"Paza buna trece primejdia rea"este o zicala ce se potriveste extrem de bine companiilor care isi stocheaza date confidentiale pe suport electronic. Problema e ca "obrazul subtire(virtual)cu cheltuiala(nevirtuala)se tine"

1. STAREA DE FAPT IN DOMENIUL APLICARII POLITICII

In conditiile economiei de piata, o parte din informatiile contabile devin transparente. Ele privesc situatia patrimoniala, rezultatele si situatia financiara, relatiile unitatii cu tertii si sunt produsul contabilitatii financiare. Cealalta parte a informatiilor contabile sunt confidentiale , privesc numai conducerea unitatii si sunt produsul contabilitatii de gestiune. Separarea celor doua categorii de informatii contabile genereaza dualismul in contabilitate.

Pentru a-si indeplini functiile, contabilitatea trebuie sa satisfaca anumite cerinte: sa fie organizata si condusa in mod corespunzator normelor legale, sa fie tinuta la zi, sa fie clara si precisa, sa cuprinda date complete care sa fie furnizate la timp conducerii unitatii si celor interesati in cunoasterea rezultatelor obtinute si gestionarea patrimoniului.

Rolul politicii de securitate este de a informa pe toti cei ce activeaza intr-o organizatie asupra modului in care trebuie sa se comporte in ceea ce priveste informatiile financiar-contabile, in special cele confidentiale; care ar trebui sa fie pozitia managementului referitor la aceasta tema si care sunt actiunile specifice pe care organizatia trebuie sa le intreprinda in functie de situatiile aparute.

2. SCOPUL POLITICII DE SECURITATE

Informatia este un bun de valoare care trebuie protejat, mai cu seama in lumina cresterii semnificatiei e-businessului si e- comunicatiei. Securitatea informatiei este un program de succes pentru orice organizatie. Din aceasta cauza este necesar sa se minimalizeze riscurile cauzate de aflarea informatiilor confidentiale, de pierderea partiala sau incompleta ori de utilizarea abuziva a acestor date.

Scopul politicii este cel de a proteja informatiile organizatiei impotriva unei game variate de amenintari, fraude electronice, spionaj, sabotaj, vandalism, sau dezastre naturale in scopul asigurarii continuitatii activitatii, minimizarii daunelor posibile si pastrarii avantajului competitiv, profitabilitatii, si chiar a legalitatii. Totodata se doreste sensibilizarea intregului personal sa participe la securitatea informatiilor intrucat acestea reprezinta o posibila tinta din cauza informatiilor detinute,  indiferent de postul pe care il ocupa.

Politica de securitate poate fi catalogata ca o "lege" interna a fiecarei organizatii menita sa impuna vointa administratorului (asociatilor) de a proteja resursele informationale confidentiale. O astfel de "lege" trebuie dedicata activitatii fiecarei organizatii in parte, explicata intregului personal, mentinuta si permanent adaptata activitatilor specifice organizatiei respective. Aceasta trebuie sa aiba in vedere toate activitatile din cadrul organizatiei; ea reglementeaza modul in care sunt tratate datele si informatiile sensibile atat la modul general cat si in fiecare departament pentru fiecare post de lucru.

3. AUTORII POLITICII

Autorul politicii este administratorul de sistem sau alta persoana autorizata de catre acesta de a realiza prezenta politica de securitate. Persoana in cauza este responsabila cu optimizarea conditiilor de pastare a suporturilor de memorare a informatiilor, protejarea calculatoarelor firmei, sa se ocupe de actualizarea elementelor care securizeaza sistemul informatic: firewall, antivirus, antispyware, instrumente de criptare.

4. PERSOANELE RESPONSABILE CU  CONTROLUL APLICARII POLITICII

Protectia informatiilor reprezinta o obligatie ce revine tuturor persoanelor autorizate care le emit, le gestioneaza sau care intra in posesia lor. De aplicarea masurilor de protectie a informatiilor sunt raspunzatori conducatorii unitatilor detinatoare de informatii clasificate. Obligatiile conducatorilor unitatilor care gestioneaza informatii clasificate sunt prevazute la art. 86 alin. (1) din HG 585/2002.

Orice angajat sau compartiment din cadrul firmei trebuie sa se asigure ca sunt respectate prevederile prezentei politici de securitate a informatiilor financiar contabile.Administratorul precum si sefii compartimentelor din cadrul societatii trebuie sa aiba in vedere toate modalitatile posibile pentru a se asigura confidentialitatea informatiilor.

Contabilul-sef poarta raspundere pentru indeplinirea stricta de catre toate subdiviziunile si serviciile conform cerintelor legale fata de prezentarea informatiilor financiar-contabile astfel incat acestea sa nu fie divulgate in mod necorespunzator.

5.PERIOADA DE CONTROL AL APLICARII POLITICII SI ACTUALIZARE A POLITICII DE SECURITATE

Politica de securitate in ceea ce priveste utilizarea informatiilor contabile este controlata permanent, asigurand datele confidentiale impotriva divulgarii necorespunzatoare a acestora.

Actualizarea politicii se realizeaza ori de cate ori se descopera sustragerea frauduloasa de informatii, distrugerea acestora accidental sau intentionat, furtul unor echipamente de stocare a informatiilor sensibile; aceasta mai are loc si atunci cand se actualizeaza reglementarile legislative in domeniu, ca urmare a progresului inregistrat printre tehnologiile de stocare, de prelucrare, de stergere a informatiilor. O data la sase luni administratorul de sistem reciteste si aduce modificari politicii in functie de contextul existent in intreprindere in momentul respectiv.

6. CONSECINTELE NERESPECTARII POLITICII

Consecintele nerespectarii politicii sunt reprezentate de sustrageri de date si informatii strict secrete care prejudiciaza intreprinderea, de perturbari ale desfasurarii normale a activitatii. In cazul in care se constata nerespectarea acestei politici in randul angajatilor, intr-o prima faza se aplica un avertisment persoanei in cauza, la a doua abatere va fi sanctionat cu o scadere de salariu urmand ca la a treia abatere sa fie concediat. Orice abatere de la reglementarile legale va fi semnalata ogranelor competente. Obligatia nedivulgarii datelor sensibile pentru a aduce prejudicii firmei se regaseste si printre dispozitiilor Legii contabilitatii nr. 82/1991, atrage, dupa caz, raspunderea contraventionala, civila sau penala.

7. SITUATIILE DE EXCEPTIE

Intreprinderea va avea dreptul sa dezvaluie informatia confidentiala in urmatoarele cazuri:
a) in cazul unei dispozitii legale care prevede acest lucru;
b) in cazul in care are acordul partii vizate(beneficiarul);
c) in cazul declansarii unei proceduri legale fata de beneficiar, la cererea instantelor judecatoresti sau a altor organe abilitate conform legii.

In cazul unui control efectuat de Garda Financiara, organul de control va avea acces la toate informatiile, inclusiv la cele depozitate in seifuri, avand obligatia sa pastreze confidentialitatea datelor verificate.

8. RECOMANDARI

Transmiterea informatiilor in interiorul unitatii se va face prin posta electronica a unitatii, retea, prin distributie directa, cu semnatura si eticheta ce delimiteaza caracterul confidential al datelor; informatiile sunt expediate doar destinatarilor aprobati (confirmati) de sistemul intern.

Transmiterea in exteriorul firmei se va face prin e-mail cu semnatura electronica, transportori privati legitimati (informatia fiind stocata pe cd-uri sau dischete criptate) si alte metode aprobate de transmisie electronica a fisierelor.

Stocarea informatiilor se face prin pastrarea in locuri neaccesibile persoanelor neautorizate, pe suporturi magnetice sau pe hartie, in arhiva, in seif, in fisiere parolate.

Distrugerea informatiilor se face: pentru cele invechite si pastrate pe hartie, prin arderea dosarelor sau taiere cu echipamente moderne de dezintegrare;  pentru cele electronice, prin stergere (prin formatare) sau distrugere fizica prin casare. Aceste procese sunt supravegheate de doua persoane si sunt confirmate prin eliberarea unui raport de distrugere a documentelor.

Nu trebuie difuzate informatii sensibile non-criptate prin intermediul e-mail-ului, al retelei sau alte metode aprobate.

Monitorul computerului trebuie amplasat departe de fereastra pentru a feri informatiile sensibile de privirile indiscrete ale curiosilor. Seiful nu va fi deschis in prezenta unei persoane straine si nici nu se va mentiona in discutiile purtate cu diverse persoane din exteriorul firmei de existenta acestuia. Cifrul cu care se securizeaza seiful este o informatie secreta care nu trebuie cunoscuta decat de persoana care are acces permanent.

Angajatii trebuie sa fie foarte atenti la informatiile transmise prin intermediul convorbirilor telefonice cu persoane cunoscute sau necunoscute, pentru a nu fi furnizate informatii confidentiale tertilor neautorizati.

Utilizatorii trebuie sa foloseasca programe antivirus si firewall deoarece unii virusi  pot fura datele contului prin inregistrarea tastelor care sunt apasate. Din acest motiv, e recomandabila instalarea unui anti-virus si actualizarea acestuia in mod frecvent.

Protejarea informatiei impotriva accesului neautorizat se va realiza prin criptare. Odata criptate, datele nu vor putea fi accesate decat folosindu-se un certificat digital corespunzator. Criptarea datelor la nivelul statiei de lucru se va realiza in doua feluri: criptarea la nivel de fisier si criptarea la nivel de partitie a hard disk-ului.

Sistemul informatic trebuie sa dispuna de capacitate de cautare dupa cuvinte/siruri cheie si trimiterea de alerte ajuts la protejarea informatiilor sensibile ale organizatiei. In momentul in care un angajat trimite un e-mail cu un document continand cuvantul "confidential", acel e-mail poate fi blocat si o alerta corespunzatoare este trimisa administratorului petru certificare.

Elaborarea unui plan de recuperare in caz de dezastru (incendiu, inundatie, cutremur, cresteri de tensiune) are o importanta deosebita in desfasurarea optima a activitatii si in protejarea informatiilor. In vederea protectiei si confidentialitatii datelor acestea se vor copia pe diverse medii (CD, CD-RW, DVD, DVD+/-RW, DDS, banda magnetica, dicuri optice, etc) urmand ca mediile sa fie ulterior stocate intr-un loc sigur (seiful).

Angajatii care manipuleaza aceasta categorie de informatii sunt obligati sa nu modifice, distribuie, transmita, afiseze, publice, reproduca, sa transfere sau sa vanda orice fel de informatii obtinute in urma prelucrarilor care sa prejudicieze activitatea firmei.

Inainte de parasirea biroului, persoana care isi desfasoara activitatea in acel loc trebuie sa verifice daca geamurile sunt bine inchise, daca documentele si suporturile magnetice de stocare cu informatiile sensibile sunt depuse in seif, daca computerul si celelalte echipamente (imprimanta, fax-ul, copiatorul) sunt inchise, daca sistemul de alarma este activat, usa este incuiata cu cheia.

In timpul calatoriilor de afaceri, informatiile sensibile trebuie tinute la purtator, sub nici o forma nu vor fi depozitate in valiza. Mai exista si posibilitatea pastrarii in seiful hotelului la care se cazeaza, dar din cauza riscului sustragerii de catre personalul hotelului, este preferabila pastrarea lor asupra persoanei.

In cazul in care o persoana cade victima unui furt de informatii, acest incident trebuie raportat imediat administratorului intreprinderii care va face demersurile necesare la autoritatile competente.

Partea care a fost prejudiciata, in orice mod, prin nerespectarea obligatiilor de confidentialitate, se va putea adresa cu plangere instantei competente pentru repararea prejudiciului.

Transmiterea informatiilor clasificate catre alti utilizatori se va efectua numai daca acestia detin certificate de securitate sau autorizatii de acces corespunzator nivelului de secretizare. Conform art.6 din HG 781/2002 "accesul persoanelor la informatiile secrete de serviciu este permis numai in baza autorizatiei scrise, emisa de conducatorul unitatii -anexa 1- a caror evidenta se tine centralizat de structura/functionarul de securitate in Registrul pentru evidenta autorizatiilor -anexa 2

In vederea eliberarii autorizatiei de acces la informatii secrete de serviciu, persoana care urmeaza sa ocupe o functie ce presupune accesul la astfel de informatii, prezinta structurii/functionarului de securitate recomandari si referinte asupra onestitatii si profesionalismului, care va prezenta conducatorului unitatii propuneri privind oportunitatea eliberarii autorizatiei de acces la informatiile secrete de serviciu, iar persoana va semna si un angajament de confidentialitate - anexa 3.

Pentru identificarea documentelor cu caracter secret de serviciu, numarul de inregistrare al acestora va fi precedat de litera S, iar pe fiecare pagina se va inscrie "secret de serviciu".

Evidenta documentelor secrete de serviciu se tine separat de cea a documentelor secrete de stat si nesecrete, intr-un registru special destinat acestui scop.

Anual, documentele se claseaza in dosare, potrivit problematicii si termenelor de pastrare stabilite in nomenclatoarele arhivistice, potrivit legii. Clasarea documentelor sau materialelor care contin informatii clasificate se face separat, in functie de suportul si formatul acestora, cu folosirea mijloacelor de pastrare si protejare adecvate.

Multiplicarea documentelor clasificate se face numai de catre persoane autorizate sa aiba acces la astfel de informatii, in incaperi special destinate, pe baza aprobarii conducatorului unitatii detinatoare, cu avizul structurii de securitate, ambele inscrise pe cererea de multiplicare.

Conform art. 81 din HG 585/2002 "documentele si materialele ce contin informatii clasificate se transporta prin intermediul unitatii specializate a Serviciului Roman de Informatii", fiind "interzisa expedierea documentelor si materialelor ce contin informatii clasificate prin Posta Romana". Colectarea, transportul, distribuirea si protectia, pe teritoriul Romaniei a corespondentei clasificate se realizeaza conform prevederilor HG 1349/2002.

Incalcarea de catre oricare dintre parti a oricarora dintre termenii, conditiile sau dispozitiile acestei politici de confidentialitate, nu se va interpreta ca o renuntare la aceasta sau ca drept al partii de a eluda dispozitiile politicii de confidentialitate.

In cazul in care una sau mai multe dintre dispozitiile acestei politici de confidentialitatea vor deveni nule, ilegale sau lipsite de valabilitate juridica, legalitatea, validitatea si eficienta juridica a restului dispozitiilor acesteia nu vor fi afectate sau diminuate in nici un fel.

Baza legala:

Legea 182/2002 - Lege privind protectia informatiilor clasificate;

HG 585/2002 - Hotarare pentru aprobarea Standardelor nationale de protectie a informatiilor clasificate in Romania;

HG 781/2002 - Hotarare privind protectia informatiilor secrete de serviciu;

HG 1349/2002 - Hotarare privind colectarea, transportul, distribuirea si protectia, pe teritoriul Romaniei, a corespondentei clasificate.