cd. ZASADY BEZPIECZEŃSTWA (Organizacja dostępu do pomieszczeń)

1. SIMIKSystem Informatyczny Monitoringu i Kontroli finansowej Funduszy Strukturalnych i Funduszu Spójnościdr Jolanta CiakToruń,Bydgoszcz,Włocławek 4.10.2005r.

2. Simik umożliwia wszystkim zainteresowanym partnerom zarządzanie, monitorowanie, kontrolę i ocenę sektorowych programów operacyjnych oraz regionalnego programu operacyjnego, współfinansowanych z europejskich funduszy strukturalnych. System ten ma być narzędziem wielofunduszowym, stosowanym przez wszystkich zainteresowanych.

3. System ten, pozwala monitorować i zarządzać całością projektów, od chwili złożenia wniosku aplikacyjnego, poprzez ocenę formalną i merytoryczną, zbierać informacje niezbędne do prowadzenia prac związanych z ewaluacją, monitorować działania kontrolne, a ponadto zapewniać oddzielne monitorowanie każdego z funduszów i programów.

4. Cele operacyjne SIMIK-a1. Zapewnienie właściwego, skutecznego i przejrzystego zarządzania środkami europejskimi w ramach programów współfinansowanych przez Unię Europejską.2. Oddanie do dyspozycji jednostek zarządzających i płatniczych narzędzia informatycznego pozwalającego na:a/ monitorowanie wskaźników finansowych i efektów zadań realizowanych w ramach Podstaw Wsparcia Wspólnoty i Programów Operacyjnychb/ zapewnienie wymaganej sprawozdawczości dla Komisji Europejskiej,c/ monitorowanie i zarządzanie projektami, od momentu złożenia wniosku, poprzez kolejne etapy, aż do jego zakończenia.

5. Podstawowe wymagania:- zgodność z rozporządzeniami Komisji Europejskiej,- generowanie plików zgodne z definicja interfejsu wymiany danych,- praca w sieci rozległej obejmującej lokalizacje centralne i regionalne do szczebla urzędów wojewódzkich i marszałkowskich, - współpraca z wybranymi instytucjami nieobjętymi siecią rozległą.

6. Etapy w systemie SIMIK:I. Programowanie,II. Zarządzanie projektem,III. Monitorowanie wdrażania,IV. Zobowiązania i płatności,V. Kontrolowanie,VI. Raportowanie.

7. Programowanie- ewidencja ostatecznych limitów finansowych ustalonych z Komisja Europejską w rozbiciu na PO, priorytety i działania,- ewidencjonowanie docelowych wartości wskaźników, które powinny być osiągnięte w wyniku realizacji PO,- system nie będzie wspierał procesu tworzenia i uzgadniania limitów finansowych dla poziomów operacyjnych.

8. II. Zarządzanie projektem- ewidencja wniosków,- weryfikacja formalna i merytoryczna wniosków,- obsługa wyboru wniosku,- ewidencja umów finansowych,- ewidencja przetargów na realizacje projektu,- ewidencja aneksów do umów,- ewidencja kontaktów z wykonawcą projektu.

9. III. Monitorowanie wdrażania- umożliwienie dostępu do danych, na wszystkich poziomach wdrażania, w dowolnym układzie i zakresie informacyjnym, poprzez generowanie raportów,- wskaźniki monitoringowe – uniwersalny mechanizm definiowania dedykowanych zestawów wskaźników.

10. IV. Zobowiązania i płatności- wspieranie tworzenia harmonogramów,- wnioskowanie o płatność,- przekazywanie środków na wypłaty,- zarządzanie środkami,- analizy przepływów pieniężnych.

11. V. Kontrolowanie- ewidencja podstawowych danych dotyczących przeprowadzonych kontroli,- zakres informacji taki sam dla kontroli wszystkich typów,- raporty dotyczące kontroli,- wykaz nieprawidłowości (podlegających raportowaniu do KE i niepodlegających raportowaniu),- raporty nieprawidłowości.

12. VI. Raportowanie- Sprawozdawczość obligatoryjna: * interfejs wymiany danych z Komisją Europejską, * raporty kwartalne, roczne i końcowe.- Raporty pomocnicze: * informacyjne, * ostrzegawcze, * dotyczące monitorowania wdrażania.

13. Architektura systemu SIMIKW systemie SIMIK funkcje serwera aplikacji będą realizowane przez serwer bazy danych (procedury wbudowane) oraz aplikacje użytkownika uruchomioną na serwerach usług terminalowych.

14. SERWER BAZY DANYCHSERWER APLIKACJISERWER USŁUG TERMINALOWYCHWAN SERWER DOSTĘPOWYSTACJE ROBOCZE STACJE ROBOCZE

15. ROZWÓJ SYSTEMU SIMIK- Program Operacyjny „Pomoc Techniczna” 2004 – 2006- Priorytet 2/3 „Wsparcie systemu informatycznego SIMIK”- 5 działań

16. Działanie 1: Rozwój i utrzymanie systemu SIMIK i sieci rozległej wykorzystywanej dla potrzeb SIMIK- CEL DZIAŁANIA: * zapewnienie sprawnego, bieżącego działania SIMIK, * poprawa jego skuteczności i funkcjonalności, * bieżące utrzymywanie i rozbudowa sieci SIMIK – NET w celu zapewnienia efektywnej komunikacji pomiędzy wszystkimi użytkownikami oraz * dostępu użytkowników do niezbędnych danych.

17. OPIS działania:- rozwój organizacyjny,- administracyjny,- funkcjonalny,- techniczny,- bieżące utrzymanie systemu,- bieżące utrzymanie sieci SIMIK-NET,- bieżące utrzymywanie łączy komutowych,- przyłączanie użytkowników do sieci SIMIK-NET,- zwiększenie przepustowości SIMIK-NET.

18. Działanie 2: SzkoleniaCel działania:- zapewnienie wysokiej jakości obsługi systemu SIMIK,- zapewnienie optymalnego wykorzystania systemu SIMIK.

19. Opis działania:- szkolenia ogólne dla administratorów, koordynatorów i użytkowników,- szkolenia specjalistyczne,- szkolenia prowadzone przez trenerów,- opracowywanie materiałów szkoleniowych,- opracowywanie przewodników i podręczników użytkownika.

20. Działanie 3: Działania informacyjne i public relationsCel działania:- dystrybucja informacji na temat systemu i jego stosowania,- usprawnienie komunikacji pomiędzy operatorami a użytkownikami.

21. Opis działania:- organizowanie cyklicznych spotkań w celu wymiany doświadczeń,- organizowanie seminariów i konferencji,- organizacja pomocy 0n-line w formie info-linii telefonicznej,- emisja i dystrybucja materiałów informacyjnych,- organizacja internetowych serwisów informacyjnych.

22. Działanie 4: Zasoby ludzkieCel działania:- zapewnienie zasobów ludzkich, niezbędnych dla własciwej obsługi, monitoringu i serwisowania systemu informatycznego SIMIK

23. Opis działania:- finansowanie etatów personelu odpowiedzialnego za zarządzanie i koordynowanie prac związanych z funkcjonowaniem systemu SIMIK,- finansowanie etatów personelu technicznego.

24. Działanie 5: Wyposażenie:Cel działania:- rozbudowa sprzętowa systemu informatycznego SIMIKOpis działania:- umożliwienie rozszerzenia grona użytkowników SIMIK,- zastępowanie zamortyzowanych elementów sprzętowych,- upgrade oprogramowania

25. Budżet Priorytetu II: Wsparcie systemu informatycznego SIMIK1. Rozwój i utrzymanie systemu SIMIK 7.819.821 PLN,2. Szkolenia: 366.870 PLN,3. Działania informacyjne: 595.569 PLN,4. Zasoby ludzkie: 5.026.602 PLN,5. Wyposażenie: 1.191.138 PLN.RAZEM: 15.000.000 PLN

26. Siec SIMIK-NET- nie może mieć żadnych połączeń, nawet chwilowych z innymi sieciami IP (siec internetowa i sieć wewnętrzna Urzędu),- niedopuszczalne są także nawet czasowe dołączenia tych stacji do innych sieci,- stacje komputerowe mogą być wyposażone tylko w pojedynczą kartę sieciową, dołączoną do oddzielnego okablowania sieci komputerowej,- do portów przełączników sieciowych dołączone są za pomocą wydzielonego okablowania tylko i wyłącznie stacje komputerowe systemu SIMIK, a porty niewykorzystywane pozostają wolne,

27. Interfejs LAN(sieci wewnętrznej) reutera systemu SIMIK dołączony jest bezpośrednio do przełącznika sieciowego systemu SIMIK, a port WAN (zewnętrzna sieć) ma zdefiniowane połączenie tylko do systemu SIMIK; niedozwolone jest wykorzystywanie tego reutera do innych celów,- dopuszczalne jest wydzielenie sieci VLAN,- zabronione jest instalowanie na tych stacjach innego oprogramowania,- zabronione jest również przenoszenie plików z innych aplikacji.

28. Zasady bezpiecznego korzystania z sieci SIMIK-NETKażde wdrożenie zasad polityki bezpieczeństwa jest postrzegane jako działania represyjne wobec użytkowników systemu informatycznego i jego administratorów.Należy zdawać sobie jednak sprawę, że działania te mają za zadanie ochronić sieć i system SIMIK przed zagrożeniami.W wyniku zastosowania zasad bezpieczeństwa możliwe będzie prawidłowe i sprawne działanie sieci i systemu SIMIK.

29. Zachowana zostanie również poufność danych przetwarzanych w systemie.Pośrednio uświadomi to użytkownikom konieczność przestrzegania zasad bezpieczeństwa i zdyscyplinowanego korzystania z innych serwerów i sieci w Urzędach.Wszyscy użytkownicy sieci i systemu SIMIK muszą zostać zapoznani ze swoimi uprawnieniami i obowiązkami wynikającymi z wytycznych bezpiecznego korzystania z sieci i systemu SIMIK.

30. Fakt przyjęcia wymagań do wiadomości powinien zostać przez nich potwierdzony podpisem na dokumencie opisującym ich uprawnienia i obowiązki.Zobowiązanie się do przestrzegania wymagań jest warunkiem koniecznym do wprowadzenia przez administratorów systemu informatycznego danych umożliwiających logowanie pracownika.

32. Ochrona informacji:- Wszyscy użytkownicy, koordynatorzy, pracownicy, konsultanci, pracownicy kontraktowi i stażyści muszą podpisać oświadczenie o zachowaniu tajemnicy informacji,- udostępnianie osobom trzecim jakiejkolwiek dokumentacji opisującej systemy i procedury związane z siecią i systemem SIMIK może odbywać się jedynie za zgodą administratorów systemu SIMIK w Ministerstwie Finansów,- Każda kopia jakiejkolwiek dokumentacji dotyczącej sieci lub systemu SIMIK, zarówno jej całość, jak i część, musi być ewidencjonowana przez koordynatora. Dokumentacja niepotrzebna musi zostać właściwie zniszczona lub przekazana MF,

33. Jeśli dojdzie do ujawnienia, utraty bądź istnieje podejrzenie wobec poufnych lub prywatnych informacji, należy niezwłocznie zawiadomić o tym właściciela informacji, koordynatora systemu w Urzędzie, który z kolei musi zawiadomić administratorów sieci i systemu SIMIK w MF,- Koordynator musi dokonać przeglądu plików i dokumentów po zakończeniu pracy Użytkownika w systemie SIMIK, w celu ich rozdysponowania. Osoby odpowiedzialne za uprawnienia użytkowników powinny natychmiast uaktualnić informacje dotyczące odpowiedzialności za informacje, za które odpowiadał poprzedni użytkownik,

34. Wszelkie informacje wewnętrzne sieci i systemu SIMIK muszą być w sposób domyślny zabezpieczone przed ujawnieniem osobom trzecim,- Użytkownicy nie mogą ujawniać komukolwiek spoza sieci i systemu SIMIK informacji o wykorzystywanych systemach kontroli i sposobach ich implementacji sieci i systemu SIMIK,- Użytkownicy i koordynatorzy nie mogą upubliczniać uzyskanych z sieci i systemu SIMIK informacji o osobach, organizacjach i systemach, które stały się przedmiotem przestępstw komputerowych,

35. - Użytkownicy i koordynatorzy nie mogą testować lub też usiłować ominąć wewnętrznego systemu zabezpieczeń, chyba że jest to zamierzone zadanie polecone przez administratorów sieci i systemu SIMIK,- wszelkie stwierdzone w czasie pracy luki i braki w zabezpieczeniach należy zgłaszać natychmiast do koordynatorów w Urzędzie, który z kolei musi to przekazać do administratorów sieci i systemu SIMIK w MF.

36. Zabronione jest pozostawianie komputera bez zablokowania dostępu innych osób do informacji,- Użytkownicy i koordynatorzy w Urzędach, oraz inny personel techniczny nie może instalować nieautoryzowanych obejść systemu kontroli zmian działających w systemach operacyjnych i/lub oprogramowaniu kontroli dostępu,- Użytkownicy nie mogą wykorzystywać jakiegokolwiek oprogramowania, które nie uzyskało akceptacji administratora sieci i systemu SIMIK lub administratora sieci lokalnej w Urzędzie.

37. ZASADY BEZPIECZEŃSTWA (Organizacja dostępu do pomieszczeń)- wskazane jest, aby w pomieszczeniach, w których rozmieszczone zostały stacje robocze sieci i systemu SIMIK pracowały wyłącznie osoby, które są uprawnione do pracy w systemie SIMIK,- wskazane jest również, aby w pomieszczeniach nie byli przyjmowani interesanci. Jeśli jest to niewykonalne, to pomieszczenia muszą być podzielone (ladą) na część dostępna i niedostępna dla interesantów,

38. cd. ZASADY BEZPIECZEŃSTWA (Organizacja dostępu do pomieszczeń) • W pomieszczeniach tych nawet na chwilę nie mogą samodzielnie przebywać osoby inne niż użytkownicy sieci i systemu SIMIK lub pracownicy Urzędu. Na czas nieobecności, nawet chwilowej, użytkowników lub pracowników Urzędu pomieszczenia muszą być bezwzględnie zamykane, • Stacje robocze w pomieszczeniach powinny być ustawione tak, aby ich ekrany nie były dostępne dla osób postronnych. Komputery powinny być ustawione tak, aby osoby postronne miały utrudniony dostęp do portów zewnętrznych: stacji dyskietek, portów USB i innych,

39. cd. ZASADY BEZPIECZEŃSTWA (Organizacja dostępu do pomieszczeń) • Wskazane jest, aby pomieszczenia, w których rozmieszczono stacje robocze sieci i systemu SIMIK, wyposażone były w systemy kontroli dostępu, • Wskazane jest również, aby karta kontroli dostępu stanowiła jednocześnie identyfikator, uprawniający do swobodnego poruszania się po Urzędzie i aby była kompatybilna z systemem silnego uwierzytelniania, jaki przewidywany jest w sieci i systemie SIMIK.

40. Kontrola dostępu do danych • W systemie informatycznym służącym przetwarzaniu danych osobowych stosuje się mechanizmy kontroli dostępu do tych danych, • Jeżeli dostęp do danych przetwarzanych w systemie informatycznym posiadają co najmniej dwie osoby, wówczas zapewnia się, aby: • W systemie tym rejestrowany był dla każdego użytkownika odrębny identyfikator; • Dostęp do danych był możliwy wyłącznie po wprowadzeniu identyfikatora i dokonania uwierzytelnienia.

41. cd. Kontrola dostępu do danych • Identyfikator użytkownika, który stracił uprawnienia do przetwarzania danych, nie może być przydzielony innej osobie, • W przypadku, gdy do uwierzytelnienia użytkowników używa się hasła, jego zmiana następuje nie rzadziej niż co 30 dni. Hasło składa się co najmniej z 8 znaków, zawiera małe i wielkie litery oraz cyfry i znaki specjalne, • Administrator danych stosuje środki kryptografii ochrony wobec danych wykorzystywanych do uwierzytelnienia, które są przesyłane w sieci publicznej,

42. Zagrożenia systemu SIMIK- zasoby SIMIK-NET:dokumenty w postaci elektronicznej: wnioski o uzyskanie dofinansowania z funduszy strukturalnych, informacje monitorujące i kontrolne w systemie SIMIK, informacje o przydzielonych środkach finansowych i przepływach finansowych. -

43. Zagrożenie fałszowaniem danych:- bezpośrednie korzyści finansowe (fałszywe wnioski) – praktycznie niemożliwe;- podmiana danych elektronicznych (konta beneficjentów) na fałszywe w momencie generowania przelewów bankowych – trudne.

44. Zagrożenie kradzieżą danych:- fundusze strukturalne to publiczne środki finansowe- informacje jawne,- wiele informacji związanych (dane osobowe) –podlegaja ochronie z mocy prawa,- zbycie informacji o przepływach finansowych, o osobach, firmach,- zbycie informacji o strukturze sieci i zabezpieczeniach (dostęp do sieci i baz danych).

45. Zagrożenie kasowaniem danych:-wirusy i robaki: zniszczenia w danych lub blokowanie sieci (losowe i ukierunkowane)- ataki w celu usunięcia/przełamania systemów zabezpieczenia sieci i opanowania sieci.

46. Zasoby sieci Ministerstwa Finansów:- systemy komputerowe i bazy danych Izb i Urzędów Skarbowych,- systemy komputerowe i bazy danych Departamentów Ministerstwa Finansów,- wirusy niszczące zawartość dysków,- fałszowanie danych przez organizacje przestępcze (wywiadowcze i terrorystyczne),- ataki w celu zburzenia struktur państwowych,