1. Oświadczenie o polityce
Celem niniejszej polityki jest zapewnienie ram bezpieczeństwa, które zapewnią ochronę Informacji Uniwersyteckich przed nieautoryzowanym dostępem, utratą lub uszkodzeniem, przy jednoczesnym wspieraniu otwartych, dzielących się informacjami potrzeb naszej kultury akademickiej. Informacje Uniwersyteckie mogą mieć postać słowną, cyfrową i/lub papierową, mogą być indywidualnie kontrolowane lub współdzielone, samodzielne lub połączone w sieć, wykorzystywane do celów administracyjnych, badawczych, dydaktycznych lub innych. Standardy i procedury związane z niniejszą Polityką Bezpieczeństwa Informacji zostaną opracowane i opublikowane oddzielnie.
Nieprzestrzeganie tej polityki może być podstawą do podjęcia działań dyscyplinarnych i potencjalnych kar opisanych w punkcie 1.1.7 Praw, Zasad, Obowiązków.
2. Kogo dotyczy niniejsza polityka
Polityka Bezpieczeństwa Informacji obowiązuje wszystkich pracowników i wykładowców Uniwersytetu, a także studentów działających w imieniu Princeton University poprzez pracę w organach uczelni, takich jak zespoły zadaniowe, rady i komisje (np. Wydziałowo-Studencka Komisja Dyscyplinarna). Polityka ta dotyczy również wszystkich innych osób i podmiotów, którym zezwolono na korzystanie z Informacji Uczelni, w tym między innymi wykonawców, pracowników tymczasowych i wolontariuszy.
3. Definicje
Autoryzacja – funkcja polegająca na ustaleniu poziomu uprawnień danej osoby do dostępu do informacji i/lub posługiwania się nimi.
Dostępność – zapewnienie, że informacje są gotowe i nadają się do użycia.
Poufność – zapewnienie, że informacje są przechowywane w ścisłej prywatności.
Integralność – zapewnienie dokładności, kompletności i spójności informacji.
Nieupoważniony dostęp – przeglądanie, recenzowanie, kopiowanie, modyfikowanie, usuwanie, analizowanie lub posługiwanie się informacjami bez odpowiedniego upoważnienia i uzasadnionej potrzeby biznesowej.
Informacje uniwersyteckie – informacje, które Princeton University gromadzi, posiada lub do których ma dostęp, niezależnie od ich źródła. Obejmują one informacje zawarte w dokumentach papierowych lub na innych nośnikach, przekazywane za pośrednictwem sieci głosowych lub sieci danych, a także wymieniane w rozmowach.
4. Polityka
Uniwersytet Princeton odpowiednio zabezpiecza swoje informacje przed nieautoryzowanym dostępem, utratą lub uszkodzeniem, jednocześnie wspierając otwarte, dzielące się informacjami potrzeby naszej kultury akademickiej.
A. Poziomy klasyfikacji
Wszystkie informacje Uniwersytetu są klasyfikowane na jednym z czterech poziomów w oparciu o ich wrażliwość i ryzyko związane z ujawnieniem. Poziom klasyfikacji określa zabezpieczenia, które muszą być zastosowane dla danej informacji.
Przy łączeniu informacji, poziom klasyfikacji informacji wynikowej musi być ponownie oceniony niezależnie od klasyfikacji informacji źródłowej w celu zarządzania ryzykiem.
Dodatkowe wymagania dotyczące ochrony informacji na każdym poziomie klasyfikacji są określone w Standardach i Procedurach Ochrony Informacji Princeton.
Poziomy klasyfikacji są następujące:
1. Zastrzeżone
Następujące informacje uniwersyteckie są sklasyfikowane jako zastrzeżone:
- Numer ubezpieczenia społecznego
- Numer konta bankowego
- Numer prawa jazdy
- Numer stanowego dowodu tożsamości
- Numer karty kredytowej
- Ochronione informacje zdrowotne (zgodnie z definicją HIPAA)
Prawo stanowe i federalne wymaga, aby nieautoryzowany dostęp do pewnych Zastrzeżonych informacji został zgłoszony do odpowiedniej agencji lub agencji. Wszystkie raporty tego rodzaju do stron zewnętrznych muszą być dokonywane przez lub w porozumieniu z Biurem Radcy Prawnego (patrz: Biuro Radcy Prawnego/Prywatność/Technologia Informacyjna).
Wspólne korzystanie z informacji Zastrzeżonych w ramach Uniwersytetu może być dopuszczalne, jeśli jest to konieczne do spełnienia uzasadnionych potrzeb biznesowych Uniwersytetu. Z wyjątkiem sytuacji wymaganych przez prawo (lub w celu udostępnienia podmiotom egzekwującym prawo), żadne Informacje zastrzeżone nie mogą być ujawniane stronom spoza Uniwersytetu, w tym wykonawcom, bez uprzedniej pisemnej zgody proponowanego odbiorcy (i) na podjęcie odpowiednich środków w celu zabezpieczenia poufności Informacji zastrzeżonych; (ii) nieujawniania Zastrzeżonych informacji żadnej innej stronie w jakimkolwiek celu bez uprzedniej pisemnej zgody Uniwersytetu lub ważnego nakazu sądowego lub wezwania do sądu; oraz (iii) powiadomienia Uniwersytetu z wyprzedzeniem o jakimkolwiek ujawnieniu informacji na mocy nakazu sądowego lub wezwania do sądu, chyba że nakaz lub wezwanie do sądu wyraźnie zabrania takiego powiadomienia. Ponadto, proponowany odbiorca musi przestrzegać wymogów niniejszej polityki. Udostępnianie informacji zastrzeżonych na terenie Uczelni musi odbywać się zgodnie z zasadami obowiązującymi na Uczelni, w tym z zasadami dotyczącymi praw, zasad i obowiązków oraz zasadami dopuszczalnego użytkowania technologii informacyjnej i zasobów cyfrowych Uniwersytetu Princeton.
2. Informacje poufne
Informacje ogólnouczelniane są klasyfikowane jako poufne, jeżeli nie mieszczą się w kategorii informacji zastrzeżonych, ale nie są przeznaczone do swobodnego udostępniania na terenie Uczelni lub poza nią ze względu na ich poufny charakter i/lub zobowiązania umowne lub prawne. Przykłady Informacji Poufnych obejmują wszystkie informacje niezastrzeżone zawarte w aktach osobowych, aktach postępowań dotyczących wykroczeń i dochodzeń organów ścigania, wewnętrznych danych finansowych, aktach darczyńców i aktach edukacyjnych (zgodnie z definicją FERPA).
Udostępnianie informacji Poufnych może być dopuszczalne, jeśli jest konieczne do spełnienia uzasadnionych potrzeb biznesowych Uniwersytetu. O ile ujawnienie informacji nie jest wymagane przez prawo (lub dla celów wymiany informacji między organami ścigania), ujawniając informacje Poufne stronom spoza Uniwersytetu, proponowany odbiorca musi wyrazić zgodę na (i) podjęcie odpowiednich środków w celu zabezpieczenia poufności informacji: (ii) nieujawnianie informacji żadnej innej stronie w jakimkolwiek celu bez uprzedniej pisemnej zgody Uniwersytetu lub ważnego nakazu sądowego lub wezwania do sądu; oraz (iii) powiadomienie Uniwersytetu z wyprzedzeniem o jakimkolwiek ujawnieniu informacji zgodnie z nakazem sądowym lub wezwaniem do sądu, chyba że nakaz lub wezwanie do sądu wyraźnie zabrania takiego powiadomienia. Ponadto, proponowany odbiorca musi stosować się do wymogów niniejszej polityki. Udostępnianie informacji poufnych w obrębie Uniwersytetu musi odbywać się zgodnie z zasadami Uniwersytetu, w tym z Zasadami, regułami i obowiązkami oraz Zasadami dopuszczalnego użytkowania technologii informacyjnej i zasobów cyfrowych Uniwersytetu Princeton.
3. Informacje nieobjęte ograniczeniami w Princeton (UWP)
Informacje uniwersyteckie klasyfikuje się jako nieobjęte ograniczeniami w Princeton (UWP), jeżeli nie mieszczą się one w zakresie klasyfikacji zastrzeżonych i poufnych, ale nie są przeznaczone do swobodnego udostępniania poza Uniwersytetem. Jednym z przykładów jest Facebook wydziałowy.
Zakłada się, że informacje UWP pozostają w obrębie Uniwersytetu Princeton. Informacje te mogą być jednak udostępniane poza Princeton, jeżeli jest to konieczne dla zaspokojenia uzasadnionych potrzeb biznesowych Uniwersytetu, a proponowany odbiorca zgadza się nie ujawniać ich ponownie bez zgody Uniwersytetu.
4. Publicznie dostępne
Informacje uniwersyteckie klasyfikuje się jako publicznie dostępne, jeżeli są one przeznaczone do udostępnienia każdemu wewnątrz i na zewnątrz Princeton University.
B. Ochrona, postępowanie z informacjami i ich klasyfikacja
- W zależności od klasyfikacji, Informacje Uczelni muszą być odpowiednio chronione przed nieupoważnionym dostępem, utratą i uszkodzeniem. Szczegółowe wymogi bezpieczeństwa dla każdej klasyfikacji można znaleźć w Standardach i procedurach ochrony informacji w Princeton.
- Postępowanie z Informacjami Uczelnianymi pochodzącymi z innego źródła niż Princeton University może wymagać przestrzegania zarówno niniejszej polityki, jak i wymogów osoby lub jednostki, która stworzyła, dostarczyła lub kontroluje te informacje. W razie wątpliwości co do możliwości spełnienia tych wymogów należy skonsultować się z odpowiednim kierownikiem wyższego szczebla oraz Biurem Radcy Prawnego.
- Gdy uzna się to za stosowne, można podnieść poziom klauzuli tajności lub nałożyć dodatkowe wymogi bezpieczeństwa, wykraczające poza wymagania Polityki Bezpieczeństwa Informacji oraz Standardów i Procedur Ochrony Informacji Princeton.
- Jeśli otrzymujesz Controlled Unclassified Information (CUI) lub sam je tworzysz, skontaktuj się z Biurem Bezpieczeństwa Informacji (ISO), aby upewnić się, że w stosunku do danych zastosowano odpowiednie środki bezpieczeństwa. Jeśli nie jesteś pewien, czy są to informacje niejawne, skontaktuj się z Biurem Administracji Projektów Badawczych lub ISO.
5. Obowiązki
Wszyscy wykładowcy, pracownicy, studenci (działający w imieniu Uniwersytetu poprzez służbę w organach Uniwersytetu) oraz inne osoby, którym zezwolono na korzystanie z informacji uniwersyteckich, powinni:
- Zrozumieć poziomy klasyfikacji informacji określone w Polityce Bezpieczeństwa Informacji.
- W stosownych przypadkach odpowiednio klasyfikować informacje, za które jest się odpowiedzialnym.
- Dostęp do informacji tylko w zakresie niezbędnym do spełnienia uzasadnionych potrzeb biznesowych.
- Nie ujawniać, nie kopiować, nie udostępniać, nie sprzedawać, nie wypożyczać, nie zmieniać ani nie niszczyć żadnych Informacji Uniwersytetu bez ważnego celu biznesowego i/lub upoważnienia.
- Chronić poufność, integralność i dostępność Informacji Uniwersytetu w sposób zgodny z poziomem klasyfikacji i rodzajem informacji.
- Postępować z informacjami zgodnie ze Standardami i Procedurami Ochrony Informacji Princeton oraz wszelkimi innymi obowiązującymi standardami i zasadami Uniwersytetu.
- Zabezpieczać wszelkie klucze fizyczne, karty identyfikacyjne, konta komputerowe i sieciowe umożliwiające dostęp do Informacji Princeton.
- Usuwać nośniki zawierające informacje Princeton University w sposób zgodny z ich klauzulą tajności, rodzajem i obowiązującymi na Uniwersytecie wymogami dotyczącymi ich przechowywania. Dotyczy to informacji zawartych w dowolnym dokumencie papierowym (np. notatce lub raporcie) lub na dowolnym nośniku elektronicznym, magnetycznym lub optycznym (np. pendrive, płyta CD, dysk twardy, taśma magnetyczna lub dysk).
- Kontakt z Biurem Radcy Prawnego przed ujawnieniem informacji wygenerowanych przez to Biuro lub przed odpowiedzią na wszelkie wezwania sądowe lub egzekucyjne, nakazy sądowe i inne prośby o informacje od prywatnych stron procesowych i agencji rządowych.
- Kontakt z odpowiednim biurem Uniwersytetu przed odpowiedzią na prośby o informacje od agencji regulacyjnych, inspektorów, egzaminatorów i/lub audytorów.
6. Powiązane polityki, procedury, standardy i szablony Princeton
Prawa, zasady, Obowiązki
Polityka dopuszczalnego korzystania z technologii informacyjnej i zasobów cyfrowych Uniwersytetu Princeton
Polityka przetwarzania kart kredytowych w punktach handlowych Uniwersytetu
Polityka kontroli eksportu
Wytyczne dotyczące bezpieczeństwa danych badawczych
Wytyczne dotyczące bezpieczeństwa danych badawczych Guidelines
Identity Theft Prevention Policy
Procedure for Responding to a Possible Exposure of Sensitive University Data
Princeton Information Protection Standards and Procedures
Confidentiality Information Agreement Template
7. Przegląd Polityki
Przynajmniej raz na 12 miesięcy Polityka Bezpieczeństwa Informacji będzie poddawana przeglądowi.
8. Dziennik aktualizacji
Maj, 21, 2004 – Polityka wydana.
Rok 5, 2015 – Zatwierdzona przez ECC.
Sierpień 31, 2017 – Zaktualizowana.
Styczeń 6, 2020 – Dodano język CUI.
Luty 7, 2020 – Dodano sekcję B.4.. w sprawie informacji niejawnych objętych kontrolą.