i-SZBI — prowadźcie SZBI sami, w jednym portalu

Ustawa o krajowym systemie cyberbezpieczeństwa wymaga od samorządowej szkoły, przedszkola i ośrodka pomocy społecznej, a także od urzędu gminy i starostwa, systemu zarządzania bezpieczeństwem informacji (SZBI). Systemu nie wystarczy wdrożyć raz — trzeba go prowadzić przez cały rok. i-SZBI prowadzi Was przez ten obowiązek krok po kroku: mówi, co zrobić, pilnuje terminów i z bieżącej pracy składa dokumentację na kontrolę.

Mocne strony

Sami albo z firmą, którą wybierzecie. Koordynatorem może być Wasz pracownik — kreator startowy i podpowiedź przy każdym polu mówią, co wpisać i dlaczego. Możecie też powierzyć prowadzenie SZBI firmie informatycznej albo inspektorowi ochrony danych.
Wszystkie obowiązki w jednym miejscu. SZBI, ustawa o KSC, KRI i RODO: rejestry, analiza ryzyka, incydenty, szkolenia, kopie zapasowe, audyt i dokumenty w jednym portalu, a nie w segregatorze i dziesięciu plikach.
Tylko to, co Was dotyczy. Portal ustala status jednostki według ustawy i dopasowuje do niego menu: szkoła widzi 18 działań Załącznika nr 4, starostwo — pełny katalog z art. 8 ust. 1. Bez wymogów przewidzianych dla dużych firm.
Portal pilnuje terminów. Zegary zgłoszeń incydentów do CSIRT i UODO, przypomnienia o przeglądach, szkoleniach i testach kopii. Alert mówi, co trzeba zrobić i do kiedy.
Dokumentacja i wydruk w każdej chwili. Polityki i procedury z gotowych wzorów, raport na kontrolę, dowody z datami — powstają przy okazji codziennej pracy, a nie w ostatniej chwili.
Dane pod Waszą kontrolą. Każda jednostka widzi tylko swoje dane. Kopie danych jednostki powstają co miesiąc i na żądanie, a logowania i ważne czynności są zapisywane w rejestrze zdarzeń.
Przepisy na bieżąco. Portal codziennie sprawdza w bazie Sejmu, czy zmieniły się akty z Dziennika Ustaw, na których się opiera, i pokazuje zmiany z krótkim opisem.
Ktoś z zewnątrz może prowadzić SZBI w Waszym imieniu. Na podstawie umowy firma informatyczna albo inspektor ochrony danych dostaje dostęp w zakresie ustalonym przez Was. Każdy wpis jest podpisany nazwiskiem osoby i nazwą firmy, a dostęp cofacie jednym przyciskiem.

Dla kogo

Szkoły, przedszkola, ośrodki pomocy społecznej, poradnie i domy dziecka prowadzone przez gminę albo powiat. Samorządowa jednostka budżetowa, która nie jest podmiotem kluczowym, jest podmiotem ważnym (art. 5 ust. 2 pkt 8) i prowadzi SZBI według Załącznika nr 4: lista kontrolna, dowody, plan działań. Incydent poważny zgłasza w ciągu 72 godzin od wykrycia — bez wczesnego ostrzeżenia i sprawozdań (art. 12c).
Starostwa i urzędy gmin. Starostwo powiatowe — zawsze — i urząd gminy zatrudniający na 1 stycznia co najmniej 50 osób w przeliczeniu na pełne etaty na umowę o pracę to podmioty kluczowe. Obowiązuje je pełny katalog z art. 8 ust. 1 ustawy: systematyczne szacowanie ryzyka i środki bezpieczeństwa, wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie w ciągu 72 godzin i sprawozdanie końcowe, audyt bezpieczeństwa co najmniej raz na 3 lata (art. 15). W portalu: analiza ryzyka, Deklaracja Stosowania, audyt wewnętrzny. Mniejszy urząd gminy prowadzi SZBI według Załącznika nr 4.
Pakiet dla gmin i powiatów z jednostkami podległymi. Prowadzicie własny SZBI i w jednym panelu widzicie wszystkie swoje szkoły i ośrodki: zgodność, luki krytyczne, incydenty z terminem zgłoszenia. Jednostki zakładacie sami, a każdy dyrektor dostaje własne konto i widzi tylko swoją jednostkę. Dane jednostki czytacie dopiero po wpisaniu podstawy — uchwały o wspólnej obsłudze albo umowy.
Firmy prowadzące SZBI u klientów — zapraszamy do współpracy. Firmy informatyczne, inspektorzy ochrony danych, konsultanci: dostarczamy narzędzie, Wy prowadzicie SZBI u klientów. Panel klientów, wejście do jednostki w uzgodnionym zakresie, podpisane wpisy, konta dla całego zespołu. Wasza firma może sama podlegać ustawie o KSC — szczegóły w punkcie niżej.
Firmy obsługujące jednostki publiczne. Firma obsługująca jednostki ma wobec nich obowiązki z umowy, a gdy przetwarza dane osobowe — także z RODO. Rejestry, analizę ryzyka i dokumentację prowadzicie w tym samym portalu, a normę ISO/IEC 27001 możecie włączyć, jeśli chcecie. Firma może też sama podlegać ustawie o KSC (art. 5): świadcząca usługi z zakresu cyberbezpieczeństwa (obsługa incydentów, testy bezpieczeństwa, audyty, doradztwo) — jako podmiot kluczowy, już gdy jest małym przedsiębiorcą; świadcząca usługi zarządzane IT — jako podmiot ważny, gdy jest średnim przedsiębiorcą, a jako kluczowy, gdy jest dużym. Czy prowadzenie SZBI u klienta to usługa z zakresu cyberbezpieczeństwa i jaki status ma mikroprzedsiębiorca — sprawdźcie z prawnikiem.

Co działa już dziś

kalkulator statusu jednostki, ankieta i menu według statusu
lista kontrolna Załącznika nr 4
analiza luk: ustawa o KSC, KRI, RODO, ISO/IEC 27001
rejestr aktywów i analiza ryzyka
Deklaracja Stosowania — 93 zabezpieczenia ISO/IEC 27001
incydenty z zegarami i adresatem zgłoszeń
rejestr czynności przetwarzania i rejestr naruszeń ochrony danych osobowych
kopie zapasowe według zasady 3-2-1 i testy odtworzenia
ciągłość działania
dostawcy i umowy powierzenia
szkolenia z testem i potwierdzeniem udziału
symulacje phishingu
rejestr systemów sztucznej inteligencji
audyt wewnętrzny i plan działań naprawczych
wzory dokumentów i teczka SZBI do wydruku
alerty: co czeka na załatwienie
monitor zmian prawa
pakiety jednostek i dostęp dla firm prowadzących SZBI

Czego portal nie robi

Portal nie zastępuje audytu bezpieczeństwa, który podmiot kluczowy przeprowadza co najmniej raz na 3 lata, ani audytu nakazanego decyzją organu (art. 15 ustawy o KSC), ani certyfikacji ISO/IEC 27001. Nie wykona za Was prac technicznych: kopie, aktualizacje i konfigurację wykonuje informatyk, a portal przypomina, co i kiedy zrobić, i zapisuje wykonanie. Obowiązki ustawowe zostają przy jednostce.

Prowadzicie SZBI w swojej jednostce albo u klientów? Wszystko w jednym miejscu — z podpowiedzią na każdym kroku.