Institutul de Boli Cardiovasculare Timisoara Aprobat MANAGER

Str. Gh. Adam nr. 13A, Timisoara

Tel 0256207355 ; Fax 0256207362

Nr.Reg………………/…………………..

REGULAMENT

Privind utilizarea şi securitatea Resurselor Informatice şi de Comunicaţii

din cadrul reţelei cardiologie a Instutul de Boli Cardiovasculare Timisoara

Capitolul 1. INTRODUCERE

În accord cu prevederile din prezentul regulament, Resursele Informatice şi de Comunicaţii

puseladispozitie şi administrate de către Serviciul de Informatica sunt bunuri strategice ale Institutului de Boli
Cardiovasculare Timisoara care trebuie administrate ca resurse ale statului român.

Compromiterea securităţii acestor resurse poate afecta capacitatea IBCVTM de a oferi servicii
informatice şi de comunicaţii, poate conduce la fraude sau distrugerea datelor, la violarea clauzelor
contractuale, divulgarea secretelor, la afectarea credibilităţii instituţiei în faţa partenerilor săi.

Prin urmare, prezentul regulament este motivate tehnic de necesitatea menţinerii în funcţiune, încondiţii
de securitate, a reţelei cardiologie ,precum şi de necesitatea dezvoltării normale a unei resurse de informare.

Reţeaua cardiologie

Reţeaua de calculatoarea IBCVTM (numită cardiologie în cele ce urmează) cuprinde totalitatea Resurselor
Informatice şi de Comunicaţie ale IBCVTM cu sau fără acces la reţeaua Internet/Intranet.

Orice activitate care se desfăşoară prin intermediul reţelei cardiologie trebuie să respecte legislaţia în
vigoare (internă şi internaţională): Legeanr.64/2004,Legeanr.285/2004,Legeanr.451/2004,Legeanr.496/2004,
Legeanr.506/2004,Legea nr.51/2003, Legea nr.161/2003, Legea
nr.196/2003,Legea365/2002,Legeanr.455/2001,Legeanr.677/2001,Legeanr.8/1996,HGnr.1308/2002, Convenţia
privind Criminalitatea Informatică a Consiliului Europei, Declaraţia privind libertatea comunicării pe Internet a
Consiliului Europei ,etc.),regulamentul de funcţionare s i o r g a n i z a r e ale IBCVTM, precum şi prezentul
Regulament. Definiţii şi termeni

1
 Internet=reţeaua internaţională de calculatoare. Reguli ale acestei reţele se regăsesc în prevederile
Inter NIC,RIPE,etc.

Cont=o entitate specificată printr-un identificator şi/sau parolă pentru accesul la sistemul de
comunicaţie şi/sau la o resursă de calcul.

Administrator de reţea=o persoană calificată şi autorizată, responsabilă pentru gestionarea şi operarea

unor resurse de calcul şi/sau de comunicaţie pentru uzul altor persoane.

Resurse Informatice şi de Comunicaţii(RIC)=toate dispozitivele de tipărire/imprimare, dispositive de

afişare, unităţi de stocare, şi toate activităţile asociate calculatorului care implică utilizarea oricărui dispozitiv
capabil să recepţioneze email, să navigheze pe site-uride Web, cu alte cuvinte ,capabil să transmită, stocheze,
administreze date electronice, incluzând, dar nu limita la:servere, calculatoare personale, calculatoare-agendă
(notebookuri,laptop-uri), calculatoare de buzunar, sisteme de procesare distribuită, echipament de laborator şi
medical conectat la reţea şi controlat prin calculator (tehnologie în capsulată), medii de reţea, imprimante şi alte
accesorii. La acestea se adaugă procedurile, echipamentul, facilităţile, programele şi datele care sunt proiectate,
construite, puse în funcţiune (operaţionale) şi menţinute pentru a crea, colecta, înregistra, procesa, stoca, primi,
afişa şi transmite informaţia.

Utilizator=o persoană, o aplicaţie automatizată sau process utilizator autoriza IBCVTM în conformitate
cu procedurile şi regulamentele în vigoare, să folosească Resursele Informatice şi de Comunicaţii ale
cardiologie).

Abuz de privilegii= orice acţiune întreprinsă în mod voit de un utilizator, care vine în contradicţie cu
IBCVTM /sau legile învigoare, inclusive cazul în care, din punct de vedere tehnic, nu se poate preveni înfăptuirea
de către utilizator a acţiunii respective.

Capitolul 2. POLITICA DE SECURITATE

Politica de securitate este alcătuită astfel încât să fie în conformitate cu statutul, regulamentele, legile şi
alte documente oficiale în vigoare privind administrarea resurselor informatice publice, să stabilească practice
prudente şi acceptabile privind utilizarea Resursele Informatice şi de Comunicaţiiale IBCVTM şi să instruiască
utilizatorii careau dreptul de folosirea Resurselor Informatice şi de Comunicaţii privind responsabilităţile
associate unei astfel de utilizări.

Audienţă

Politica de securitate a Resurselor Informatice şi de Comunicaţii aleIBCVTM se aplică nediscriminatoriu

tuturor persoanelor cărora lis-a permis accesul la orice RIC ainstituţiei. Nu există nici un fel conotaţii politice,
religioase, rasiale legate de prevederile politicii de securitate. Trebuie privită doar ca un instrument de protecţie
a datelor din sistemul informatic şi nu ca un element restrictiv.

2
 Scop

Scopul urmărit de politica de securitate este acela de asigurarea integrităţii, confidenţialităţii şi

disponibilităţii informaţiei, precum şi stabilirea cadrului necesar pentru elaborarea regulilor şi procedurilor de
securitate

Confidenţialitatea se referă la protecţia datelor împotriva accesului neautorizat.Fişierele electronice

create, trimise, primate sau stocate pe sistemele de calcul aflate în proprietatea, administrarea sau în custodia şi
sub controlul IBCVTM în condiţiile legilor în vigoare. Utilizatorul răspunde personal de confidenţialitatea datelor
încredinţate prin procedurile de acces la Resursele Informatice şi de Comunicaţii.

Integritatea se referă la măsurile şi procedurile utilizate pentru protecţia datelor împotriva modificărilor
sau distrugerii neautorizate.

Disponibilitatea se asigură prinfuncţionarea continuă a tuturor componentelor Resurselor Informatice şi

de Comunicaţii. Diverse aplicaţii au nevoie de nivele diferite de disponibilitate în funcţie de impactul sau
daunele produse ca urmare a nefuncţionării corespunzătoare a Resurselor Informatice şi de Comunicaţii.

Clasificarea informaţiilor

Clasificarea informaţiilor este necesară pentru a permite atât alocarea resurselor necesare protejării
acestora, cât şi pentru a determina pierderile potenţiale cau rmare a modificărilor, pierderii/distrugerii sau
divulgării acestora.

Pentru a asigura securitatea şi integritatea in formaţiilor, acestea se impart în trei categorii principale:
publice, secrete şi strict secrete.

Publice: Acestea sunt informaţiile accesibile oricărui utilizator din interiorul sau exterior IBCVTM.
Divulgarea, utilizarea neautorizată sau distrugerea acestora nu produce efecte asupra instituţiei sau aceste
efecte sunt nesemnificative. Utilizatorii care furnizează aceste informaţii sunt responsabili de asigurarea
integrităţii şi disponibilităţii acestora în raport cu cerinţele IBCVTM.

Exemple: Informaţiile de pe aviziere, servere web publice, ştirile depresă, anunturile publice.

Secrete: În această categorie se include informaţiile care datorită valorii economice nu trebuie făcute
publice. Se include aici şi informaţiile pe IBCVTM trebuie să le protejeze conform legislaţiei în vigoare. Datorită
valorii economice asociate, aceste date trebuie distruse dacă au fost făcute publice. Aceste date vor fi copiate şi
distribuite în cadrul IBCVTM doar utilizatorilor autorizaţi. Distribuirea acestor informaţii de către utilizatorii
autorizaţi trebuie să se facă pe baza unei clause de confidenţialitate.

Exemple: clause contractuale, conturi si parole folosite pe serverele sistemului informatic.

Strict Secrete sau Confidenţiale: În această categorie se include toate informaţiile care datorită valorii
economice nu trebuie făcute publice. Divulgarea, utilizarea sau distrugerea acestor date poate intra sub
incidenţa Codului Civil, Penal sau legislaţiei fiscale. Accesul la aceste informaţii va fi restricţionat. Dateles trict
secrete nu pot fi copiate, distribuite sau şterse fără acordul scris al conducerii IBCVTM.

Exemple: cheile criptografice, conturi administrative de pe serverele de gestiune a sistemului informatic.

3
 Atribuţi iş iresponsabilităţi

Atribuţii manageriale

Orice angajat sau ompartiment al IBCVTM

Trebuie să se asigure că managementul respect prevederile prezentei Politici şi aregulamentelor sau

procedurilor asociate.

Administratoriidereţea/sistem/bazededatetrebuiesăasigureexistenţajurnalelorşiatraseeloraudităriipentru
oricetipdeaccesînsistemconformregulilorsauprocedurilorasociate.

Administratorii de reţea/sistem/baze de date trebuie să asigure activarea tuturor mecanismelor

desecuritate.

Atribuţii şi obligaţii alea dministratorilor reţelei cardiologiel

Administratorul reţelei cardiologie este Serviciul de Informatica. DesemnareaServiciului de Informatica ca

administrator are ca scop stabilirea înmod clar a responsabilităţii privind administrarea şi buna funcţionare a
Resurselor Informatice şi de Comunicaţii din cadrul reţelei cardiologie ,precum şi a responsabilităţi iprivind
crearea, modificarea şi a probarea regulilor şi politicilor referitoare la activităţile de administrare şi utilizarea
Resurselor Informaticeşi de Comunicaţii.

Atribuţiileşiobligaţiile Serviciului de Informaticainclud:

Elaborarea şi propunerea de modificăriale politicii de securitate a sistemului RIC;

Elaborarea şi propunerea pentru aprobarea planului de securitate (acesta conţine o listă a tuturor
regulilor şi procedurilor de securitate aplicabile las istemul de RIC;

Elaborarea procedurilo pentru identificare a utilizatorilor RIC;

Tratarea incidentelor de securitate în scopul minimizării efectului distructiv al acestora asupra RIC.

Facilitarea evaluărilor legale, a cerinţelor de tip„ cele mai bune practici" pe măsură ce acestea devin
recunoscute.

Atribuţii şi obligaţii ale utilizatorilor reţelei cardiologie

Utilizatorii reţelei cardiologie pot fi reprezentaţi de: cadre medicale, personal administrativ, alti angajati
ai IBCVTM care solicit calitatea de utilizator.

Utilizatorii standard nu au drept de administrare a reţelei şi pot folosi numai acele RIC pentru care sunt
autorizaţi, indifferent dacă sunt resurse locale sau resurse accesibile în Internet. Atribuţiile şi obligaţiile
utilizatorilor sunt următoarele:

4
 Să cunoască ş isă respecte prevederile politicii de securitatea RIC;

Să cunoascăşi să respecteprevederile tuturorregulilor şi procedurilor privindsecuritatea RIC(veziAnexe);

Să răspundă direct desecuritate aşi conţinutul informaţiilor şi resursele informatice şi de comunicaţii

încredinţate direct sau indirect.

Politica de securitate a IBCVTM impune dezvoltarea, gestionarea şi punerea în practică de procedure

şi/saureguli specific care să asigure integritatea,confidențialitatea și disponibilitatea informației înutilizarea
RIC.Toate procedurile şi/sau regulile aplicabile în sistemul Resurselo rInformatice şi de Comunicaţii ale
cardiologie fac parte din Planul de Securitate(vezicapitolul3)şi sunt obligatorii pentru toţi utilizatorii.

Se recomandă ca prevederile politicii de securitate să fie incluse în contractual de muncă şi toate

contractile cu terţi(dacă activitatea acestora are legătură cu sistemul Informatic şi de Comunicaţii al IBCVTM).

Întreg personalul este responsabil privind modul deutilizare a RICşi nutrebuie să facă abuz de
privilegii;fiecare utilizator este direct responsabil pentru acţiunile care pot afecta securitatea Resurselor
Informatice şi de Comunicaţii.

Utilizatorii sunt responsabil inediscriminatoriu privind raportarea oricărei suspiciuni sau confirmări de
încălcare a politicii de securitate.

Nu există nicio asigurare a confidenţialităţii datelor personale saua accesului la informaţii folosind
protocoale de genul,dar nu numai, mesagerie electronică, navigare Web,conversaţi telefonice, transmisie fax-
uri şi alte instrumente de conversaţie electronică.Utilizarea acestor instrumente de comunicaţie electronic poate
fi monitorizată în scopul uno rinvestigaţii sau al rezolvării unor plângeri în condiţiile legilor învigoare.

Departamentele şi Sectiile sunt responsabile de autorizare a utilizatorilor pentru folosirea adecvată a RIC.

Orice informaţie folosită în sistemul RIC trebuie să fie păstrată confidenţială şi în siguranţă decăt
reutilizator. Faptul că informaţiile pot fi stocate electronic nu schimbă cu nimic obligativitatea de a le păstra
confidenţiale şi în siguranţă ,tipul informaţiei sau chiar informaţia în sine stau la baza determinării gradului de
siguranţă necesar.

Toate programele de calculator, aplicaţiile, codul sursă, codul obiect, documentaţia şi datele sunt
proprietatea IBCVTM şi trebuie să fie protejate.

Departamentele şi Sectiile trebuie să ofere facilităţi corespunzătoare de control al accesului în scopul

monitorizării RIC, protejării datelor şi programelor împotriva întrebuinţării greşite, în concordanţă cu necesităţile
stabilite de acestea. Accesul trebuie să fie documentat ,autorizat şi controlat în mod corespunzător. Orice
program commercial utilizat în cadrul RIC trebuie să fie însoţit de Licenţă care să specific clar drepturile de
utilizare şi restricţiile produsului. Personalul trebuie să respecte prevederile Licenţelor si nu este permisă
copierea ilegală a programelor comerciale. Serviciul de Informatica,direct sau prin intermediul Departamentelor
şi Sectiilor, îşi rezervă dreptul de a şterge orice produs fără licenţă de pe orice system din cadrul Resurselor
Informatice şi de Comunicaţii.

Serviciul de Informatica,direct sau prin intermediul Departamentelor şi Sectiilor,îşi rezervă dreptul de a

şterge, de pe orice sistem, orice program sau fişier care nu are legătură cu scopul muncii respective.
5
 Domeniul electronic cardiologie.ro şi subdomeniile acestuia sunt gestionate de IBCVTM ca
domenii proprii, în conformitate cu înregistrarea corespunzătoare a IBCVTM ca proprietar al acestui
domeniu la autoritatea românească în materie de nume de domenii (RNC). Drepturile de utilizare ale
domeniului cardiologie.ro sunt rezervate pentru IBCVTM. Informaţiile publicate electronic de către IBCVTM
pe site-ul propriu www.cardiologie.ro şi în subdomeniile acestuia sunt proprietate a IBCVTM. Caracterul
public al acestora reflectă faptul că ele sunt puse la dispoziţie de către IBCVTM în beneficiul comunităţii
publice, în scop de informare asupra programelor academice şi a activităţii IBCVTM.

Informaţiile depuse pe site-urile publice ale IBCVTM aparţin IBCVTM. Orice utilizare a
informaţiilor de pe site-urile publice ale IBCVTM în domeniul cardiologie.ro de către persoane
particulare sau organizaţii în alte scopuri decât cele în care au fost oferite, se face pe propria răspundere
a acestora. Într-o asemenea eventualitate, IBCVTM îşi rezervă dreptul de a solicita aplicarea prevederilor
legale în vigoare.

Fişierele electronice create, trimise, primite sau stocate folosind Resursele Informatice şi de
Comunicaţii administrate sau în custodia şi sub controlul IBCVTM nu au caracter personal şi pot fi accesate
oricând de către angajaţii autorizaţi din cadrul Serviciului de Informatica, Departamente şi Sectii fără
înştiinţarea utilizatorului.

În scopul administrării RIC şi pentru asigurarea securităţii acestora, personalul autorizat poate revizui
sau utiliza orice informaţie stocată pe sau transportată prin sistemele Resurselor Informatice şi de
Comunicaţii în conformitate cu legile în vigoare. În aceleaşi scopuri, este posibilă monitorizarea activităţii
utilizatorilor (de exemplu: pagini web vizitate).

Utilizatorii trebuie să raporteze orice slăbiciune în sistemul de securitate al calculatoarelor din cadrul
IBCVTM , orice incident de posibilă întrebuinţare greşită sau încălcare a acestui regulament (prin
contactarea Serviciului de Informatica).

Un mare număr de utilizatori, pot accesa informaţii din exteriorul sistemului de comunicaţii al
IBCVTM . În aceste condiţii este obligatorie păstrarea confidenţialităţii informaţiilor transmise din exteriorul
IBCVTM şi a informaţiilor obţinute din interiorul institiţiei.

Utilizatorii nu trebuie să încerce să acceseze informaţii sau programe de pe sistemele IBCVTM

pentru care nu au autorizaţie sau consimţământ explicit.

Niciun utilizator al Resurselor Informatice şi de Comunicaţii IBCVTM nu poate divulga informaţiile la

care are acces

sau la care a avut acces ca urmare a unei vulnerabilităţi a sistemelor ce compun Resursele Informatice şi de
Comunicaţii. Această regulă se extinde şi după ce utilizatorul a încheiat relaţiile cu IBCVTM .

Confidenţialitatea informaţiilor transmise prin intermediul resurselor de comunicaţii ale terţilor

nu poate fi asigurată. Pentru aceste situaţii, confidenţialitatea şi integritatea informaţiilor se poate asigura
folosind tehnici de criptare. Utilizatorii sunt obligaţi să se asigure că toate informaţiile confidenţiale ale
IBCVTM se transmit în aşa fel încât să se asigure confidenţialitatea şi integritatea acestora.

Capitolul 3. PLANUL DE SECURITATE

3.1. Introducere
6
 Planul de securitate conţine toate regulile şi procedurile aplicabile în sistemul Resurselor Informatice
şi de Comunicaţii a cardiologie.

Acestea sunt elaborate pentru a stabili un cadru corect, legal şi eficient de utilizare a
tehnologiei informaţiei şi comunicaţiilor în IBCVTM .

3.2. Scop
În acord cu legislaţia în vigoare în România şi Regulamentele de ordine interioară ale IBCVTM
, Resursele Informatice şi de Comunicaţii sunt valori ale IBCVTM care trebuie exploatate şi administrate ca
resurse publice în proprietatea statului român.

Planul de securitate are ca scop principal protejarea utilizatorilor şi colaboratorilor împotriva

atacurilor de orice tip (cu sau fără intenţie). De asemenea, acesta are ca scop protejarea imaginii IBCVTM
şi a investiţiilor acesteia pentru dezvoltarea sistemului informatic şi de comunicaţii, protejarea
proprietăţii intelectuale şi a tuturor informaţiilor stocate şi transportate cu ajutorul Resurselor
Informatice şi de Comunicaţii ale utilizatorilor autorizaţi: cadre medicale, personal administrativ,
colaboratori etc.

Regulile (vezi anexele prezentului Regulament) au fost elaborate pentru fiecare activitate
specifică domeniului şi au fost concepute în aşa fel încât fiecare să poată fi folosită cvasi- independent de
celelalte

Regulile şi procedurile din planul de securitate au rolul:

- de a fi corecte, echitabile şi eficiente pentru folosirea RIC în vederea sprijinirii procesului

educaţional şi al cercetării ştiinţifice.
- de a educa utilizatorii RIC în ceea ce priveşte responsabilităţile asociate cu utilizarea
acestora.
- de a fi compatibile cu regulamentele, statutul şi atribuţiile stabilite pentru administrarea
resurselor informatice şi de comunicaţii.

3.3. Audienţă
Regulile de utilizare a Resurselor Informatice şi de Comunicaţii ale IBCVTM se aplică
nediscriminatoriu tuturor persoanelor cărora li s-a permis accesul la acestea.

3.4. Proceduri şi Reguli specifice

Aceasta este lista tuturor regulilor sau procedurilor aplicabile în sistemul Resurselor
Informatice şi de Comunicaţii:

1. Reguli de Utilizare a Resurselor Informatice şi de Comunicaţii (Anexa 1)

2. Reguli de acces la reţeaua de comunicaţii (Anexa 2)
3. Reguli de acces administrativ (Anexa 3)
4. Reguli privind configurarea sistemelor informatice pentru acces la reţeaua de comunicaţii (Anexa 4)
5. Reguli de tratare a incidentelor de securitate (Anexa 5)
6. Reguli de monitorizare a Resurselor Informatice şi de Comunicaţii (Anexa 6)
7. Reguli pentru detectarea accesului neautorizat (Anexa 7)
8. Reguli privind securitatea informaţiilor în cazul utilizării calculatoarelor portabile (Anexa 8)
9. Reguli pentru parolele de acces (Anexa 9)
7
 10. Reguli de administrare a conturilor de email (Anexa 10)
11. Reguli privind sistemul de mesagerie electronică (Anexa 11)
12. Reguli de detectare a viruşilor (Anexa 12)
13. Reguli pentru modificări şi modernizări ale RIC (Anexa 13)
14. Procedură pentru alocarea unei adrese de email. Cerere tip (Anexa 14)
15. Procedură pentru conectarea la reţea. Cerere tip (Anexa 15)
16. Proces verbal de constatare (Anexa 16)
17. Exemple de activităţi interzise (Anexa 17)

Capitolul 4. MASURI DISCIPLINARE

Administratorul reţelei cardiologie are dreptul să ia măsuri de restricţionare (blocare parţială sau
totală), fără notificare, a accesului la Resursele Informatice şi de Comunicaţii în cazul utilizatorilor care încalcă
prevederile politicii de securitate şi regulile aplicabile în sistemul de RIC (din planul de securitate) sau
legislaţia în vigoare şi care, astfel, pun în pericol funcţionarea şi/sau securitatea reţelei cardiologie.

- Toate acţiunile care contravin legilor vor fi raportate organelor competente.

Capitolul 5. REFERINŢE
- RFC 1244 – Site Security Handbook: www.ietf.org/rfc/rfc1244.txt ;
- Legea nr. 676 din 21 noiembrie 2001 privind prelucrarea datelor cu caracter personal şi protecţia
vieţii private în sectorul telecomunicaţiilor;
- Legea nr. 544 din 12 octombrie 2001 privind liberul acces la informaţiile de interes public.
- Hotărârea nr. 1259 din 13 decembrie 2001 privind aprobarea Normelor tehnice şi metodologice
pentru aplicarea Legii nr. 455 din 2001 privind semnătura electronică;
- Ordinul nr. 52 din 18 aprilie 2002 privind aprobarea Cerinţelor minime de securitate a
prelucrărilor de date cu caracter personal;
- Ordinul nr. 53 din 18 aprilie 2002 privind aprobarea formularelor tipizate ale notificărilor
prevăzute de Legea nr. 677/2001 pentru protecţia persoanelor cu privire la prelucrarea datelor cu caracter
personal şi libera circulaţie a acestor date;
- Hotărârea nr. 781 din 25 iulie 2002 privind protecţia informaţiilor secrete de serviciu;
- Legea nr. 182 din 12 aprilie 2002 privind protecţia informaţiilor clasificate;
- Legea nr. 161 din 19 aprilie 2003 privind unele măsuri pentru asigurarea transparenţei în
exercitarea demnităţilor publice, a funcţiilor publice şi în mediul de afaceri, prevenirea şi sancţionarea
corupţiei.

Capitolul 6. DISPOZIŢII FINALE

Regulamentul va fi disponibil în format electronic pe site-ul web al IBCVTM .

Modificarea prevederilor Regulamentului se face numai cu aprobarea conducerii IBCVTM . Fiecare

modificare a conţinutului va conduce la modificarea versiunii documentului şi a informaţiilor de
identificare. Versiunea anterioară rămâne valabilă până în momentul în care noua versiune intră în vigoare.