§ 26

1. Dokument procedur bezpiecznej eksploatacji:

1) opracowuje się na etapie wdrażania systemu teleinformatycznego, po przeprowadzeniu szacowania ryzyka dla bezpieczeństwa informacji niejawnych z uwzględnieniem wprowadzonych zabezpieczeń;

2) uaktualnia się na etapie eksploatacji systemu teleinformatycznego, przed dokonaniem zmian w systemie teleinformatycznym.

2. W dokumencie procedur bezpiecznej eksploatacji określa się szczegółowy wykaz procedur bezpieczeństwa wraz z dokładnym opisem sposobu ich wykonania, realizowanych przez osoby odpowiedzialne za bezpieczeństwo teleinformatyczne oraz osoby uprawnione do pracy w systemie teleinformatycznym, obejmujący:

1) administrowanie systemem teleinformatycznym oraz zastosowanymi środkami zabezpieczającymi;

2) bezpieczeństwo urządzeń;

3) bezpieczeństwo oprogramowania;

4) zarządzanie konfiguracją sprzętowo-programową, w tym zasady serwisowania lub modernizacji oraz wycofywania z użycia elementów systemu teleinformatycznego;

5) plany awaryjne;

6) monitorowanie i audyt systemu teleinformatycznego;

7) zarządzanie nośnikami;

8) zarządzanie materiałami kryptograficznymi;

9) stosowanie ochrony elektromagnetycznej;

10) reagowanie na incydenty bezpieczeństwa teleinformatycznego;

11) szkolenia użytkowników systemu teleinformatycznego dotyczące zasad korzystania z systemu teleinformatycznego;

12) wprowadzanie danych do systemu i ich wyprowadzanie z systemu.