§ 7

W celu zabezpieczenia danych osobowych zgromadzonych w systemie administrator:

1) opracowuje instrukcję, określającą sposób zarządzania systemem z uwzględnieniem wymogów bezpieczeństwa informacji, zawierającą w szczególności:

a) procedury nadawania użytkownikom systemu uprawnień do przetwarzania danych i rejestrowania tych uprawnień w systemie oraz wskazanie osoby odpowiedzialnej za wykonywanie tych czynności,

b) metody i środki uwierzytelniania oraz procedury związane z ich zarządzaniem i użytkowaniem,

c) procedury rozpoczęcia, zawieszenia i zakończenia pracy przeznaczone dla użytkowników systemu,

d) procedury tworzenia kopii zapasowych zbiorów danych oraz programów i narzędzi programowych służących do ich przetwarzania,

e) sposób, miejsce i okres przechowywania elektronicznych nośników informacji zawierających dane osobowe oraz kopii zapasowych, o których mowa w lit. d,

f) sposób zabezpieczenia systemu przed działalnością oprogramowania, którego celem jest uzyskanie nieuprawnionego dostępu do systemu,

g) procedury wykonywania przeglądów i konserwacji systemu oraz nośników informacji służących do przetwarzania danych;

2) identyfikuje i analizuje zagrożenia i ryzyko, na które może być narażone przetwarzanie danych zgromadzonych w systemie;

3) określa potrzeby w zakresie zabezpieczenia systemu;

4) określa sposoby zabezpieczenia danych osobowych adekwatnie do zagrożeń i ryzyka;

5) monitoruje działanie zabezpieczeń wdrożonych w celu ochrony danych osobowych i ich przetwarzania;

6) wykrywa i reaguje na przypadki naruszenia bezpieczeństwa danych zgromadzonych w systemie.