Pravilnik o čuvanju, zaštiti i sigurnosti podataka u okviru informacionog sistema Centralnog registra obaveznog socijalnog osiguranja

Član 1 Sadržina Pravilnika

Ovim pravilnikom uređuju se procedure čuvanja, zaštite i sigurnosti podataka u okviru informacionog sistema Centralnog registra obaveznog socijalnog osiguranja (u daljem tekstu: informacioni sistem Centralnog registra).

Član 2 Ciljevi zaštite informacionog sistema

(1) Ciljevi zaštite informacionog sistema Centralnog registra su:

1. 1) očuvanje poverljivosti podataka, čime se onemogućava neautorizovan uvid i korišćenje podataka iz informacionog sistema Centralnog registra;
2. 2) zaštita integriteta podataka, čime se onemogućava izmena podataka i garantuje autentičnost podataka;
3. 3) očuvanje raspoloživosti podataka, čime se omogućava rekonstrukcija podataka u slučaju njihovog namernog ili nenamernog oštećenja.

(2) Zaštita iz stava 1. ovog člana obezbeđuje se kroz zaštitu pristupa računarskoj opremi i mreži, koja se realizuje na mrežnom nivou kroz specijalizovane hardverske komponente i uz upotrebu protokola zaštite, kao i kroz zaštitu pristupa podacima.

Član 3 Čuvanje, zaštita i sigurnost podataka Centralnog registra

Centralni registar je odgovoran za čuvanje, zaštitu i sigurnost podataka u okviru informacionog sistema Centralnog registra, što podrazumeva:

1. 1) zaštitu od neovlašćenog pristupa resursima koji su predmet zaštite, njihovo neovlašćeno korišćenje ili manipulacije bazom podataka informacionog sistema od strane internih i eksternih korisnika;
2. 2) zaštitu integriteta podataka, njihovu raspoloživost i neovlašćeni uvid u poverljive podatke;
3. 3) zaštitu baze podataka od virusa i ostalih oblika malicioznih kodova;
4. 4) osiguranje prenosa podataka iz Jedinstvene baze internim i eksternim korisnicima;
5. 5) čuvanje podataka i upravljanje sigurnosnim kopijama baze podataka u okviru informacionog sistema;
6. 6) politiku prenosnih računara u pogledu pristupa bazi podataka Jedinstvene baze i čuvanja podataka u jedinstvenoj bazi;
7. 7) osiguranje kontinuiteta aktivnosti u slučaju požara, poplave, zemljotresa ili druge nepogode koja se smatra rezultatom više sile i koja dovodi do neuobičajenog prekida u radu informacionog sistema;
8. 8) povraćaj sačuvanih podataka u slučaju gubitka, oštećenja ili uništenja računarske opreme informacionog sistema;
9. 9) testiranje jedinstvene baze podataka radi otkrivanja sigurnosnih problema na redovnoj osnovi i nakon instaliranja novih verzija Jedinstvene baze podataka;
10. 10) instaliranje softverske nadogradnje radi uklanjanja sigurnosnih problema koji se ustanove na Jedinstvenoj bazi u okviru informacionog sistema ili na povezanom softveru;
11. 11) praćenje sigurnosnih incidenata u bazi podataka informacionog sistema radi preduzimanja korektivnih mera;
12. 12) upravljanje sigurnosnim incidentima, edukacija i obuka svih ovlašćenih lica radi sticanja potrebnih znanja o čuvanju i sigurnosti podataka;
13. 13) fizički pristup i zaštita baze podataka u okviru informacionog sistema i računarske opreme;
14. 14) održavanje računarske opreme informacionog sistema.

Član 4 Mere zaštite pristupa informacionom sistemu

(1) Mere zaštite pristupa informacionom sistemu Centralnog registra su:

1. 1) autentifikacija – koja predstavlja proces utvrđivanja identiteta lica koje želi da pristupi informacionom sistemu Centralnog registra;
2. 2) autorizacija – koja predstavlja pravo pristupa i dozvoljenih operacija za autentifikovano lice;
3. 3) zaštita tajnosti – što podrazumeva šifrovanje podataka u cilju sprečavanja neovlašćenog uvida;
4. 4) neporicanje odgovornosti – što podrazumeva obezbeđenje dokaza da je neko izvršio određenu radnju, odnosno transakciju.

(2) Realizacija sistema zaštite informacionog sistema Centralnog registra podrazumeva obaveznu primenu kvalifikovanih elektronskih sertifikata za pristup preko Portala i autentifikaciju transakcija, kao i za autentifikaciju pristupa Veb servisima.

(3) Autentifikacija pristupa servisima od strane državnih organa i organizacija, sa kojima Centralni registar vrši razmenu podataka podrazumeva i obaveznu primenu serverskih sertifikata.

(4) Izuzetno, osiguranici i osigurana lica, koji imaju pravo uvida u lične podatke koji se odnose na osiguranje, mogu pristupiti informacionim sistemu Centralnog registra na osnovu jedinstvenog broja i lozinke, koje dodeljuje Centralni registar.

Član 5 Pristup informacionom sistemu Centralnog registra

(1) Centralni registar upravlja korisničkim nalozima, pravima pristupa i korisničkim lozinkama za interne i eksterne korisnike jedinstvene baze Centralnog registra.

(2) Centralni registar dužan je da obezbedi pristup podacima u okviru informacionog sistema samo od strane ovlašćenih lica.

(3) Svaki pristup informacionom sistemu mora biti automatski zabeležen jedinstvenim identifikatorom lica u bazi podataka jedinstvenog sistema, sa tačnim vremenom pristupa.

(4) O saznanjima u vezi sa pokušajima neovlašćenog pristupa informacionom sistemu Centralnog registra, administratori Jedinstvene baze podataka dužni su da obaveste ovlašćeno lice.

Član 6 Fizička zaštita podataka informacionog sistema i čuvanje bezbednosnih kopija

(1) Radi obezbeđenja neprekidnog funkcionisanja informacionog sistema, Centralni registar obezbeđuje fizičku zaštitu podataka primarnog informacionog sistema, formiranjem sekundarne baze podataka i sekundarnog računarskog sistema.

(2) Sekundarna baza podataka i sekundarni računarski sistem moraju biti udaljeni od mesta na kome se nalazi primarni informacioni sistem.

(3) Lokacije iz st. 1. i 2. ovog člana moraju biti na adekvatan način zaštićene od požara i poplava, kao i imati 24-satni bezbednosni sistem.

(4) Pristup lokacijama na kojima se nalaze baze podataka informacionog sistema i čuvaju bezbednosne kopije imaju samo ovlašćena lica.

Član 7 Održavanje, popravka i povlačenje iz upotrebe opreme za informacioni sistem

(1) Centralni registar obezbeđuje održavanje računarske opreme za informacioni sistem a, u slučaju popravki, prethodno sprema bezbednosne kopije podataka, kako bi se sprečio gubitak podataka.

(2) Održavanje i popravka računarske opreme, vrši se isključivo pod nadzorom ovlašćenih zaposlenih u Centralnom registru.

(3) U slučaju povlačenja računarske opreme iz informacionog sistema, svi podaci prethodno moraju biti trajno i sigurno izbrisani.

Član 8 Prestanak važenja ranijeg propisa

Danom stupanja na snagu ovog pravilnika prestaje da važi Pravilnik o čuvanju, zaštiti i sigurnosti podataka u okviru informacionog sistema Centralnog registra obaveznog socijalnog osiguranja („Službeni glasnik RS”, broj 29/13)

Član 9 Stupanje na snagu

(1) Ovaj pravilnik stupa na snagu osmog dana od dana objavljivanja u „Službenom glasniku Republike Srbije”.

(2) Broj 110-00-00375/2019-03

(3) U Beogradu, 26. juna 2019. godine.

(4) Ministar,

(5) dr Siniša Mali, s.r.