Wdrożenie SZBI w jednostce publicznej krok po kroku

Krok 1. Ustal status i podstawy prawne

Sprawdź, czy jednostka jest podmiotem kluczowym, ważnym, czy ustawa o KSC jej nie obejmuje. Od tego zależy zakres: pełny katalog z art. 8 ust. 1 albo Załącznik nr 4. Publiczna szkoła i przedszkole prowadzone przez samorząd są podmiotami ważnymi (art. 5 ust. 2 pkt 8), a m.in. starostwo powiatowe i urząd gminy zatrudniający co najmniej 50 osób — kluczowymi.

Przy okazji sprawdź, czy jednostka dostała zawiadomienie o wpisie do wykazu podmiotów kluczowych i ważnych. Podmioty publiczne minister wpisuje z urzędu, a potem wzywa je do uzupełnienia danych (art. 7a ust. 2 pkt 3, art. 7b).

Krok 2. Wyznacz odpowiedzialnych i zaplanuj środki

Kierownik decyduje o systemie, planuje na niego środki finansowe, przydziela zadania i nadzoruje ich wykonanie (art. 8d). W praktyce to zarządzenie, które wskazuje koordynatora systemu, zakres zadań informatyka lub firmy serwisowej, oraz pozycja w planie finansowym.

Zanim ktokolwiek zacznie realizować zadania z art. 8 lub 11, przedstawia informację z Krajowego Rejestru Karnego o niekaralności za przestępstwa przeciwko ochronie informacji (art. 8f ust. 1). Przepis mówi o każdej osobie, która ma te zadania wykonywać — warto od razu ustalić, kogo to obejmuje, także po stronie firmy zewnętrznej.

Krok 3. Zrób inwentaryzację

Pierwszy punkt Załącznika nr 4 to inwentaryzacja produktów, usług i procesów ICT służących do przetwarzania informacji. Spisz sprzęt (komputery, laptopy, drukarki sieciowe, router, serwer), oprogramowanie z wersjami, usługi w chmurze (dziennik elektroniczny, poczta, dysk sieciowy, program kadrowo-płacowy) i to, kto z czego korzysta.

Ta lista jest podstawą następnych kroków: kontroli wersji i aktualizacji (pkt 2, 15 i 16), nadawania uprawnień (pkt 4–7) oraz kopii zapasowych (pkt 10 i 11).

Krok 4. Oceń ryzyko

Dla każdej grupy zasobów zadaj trzy pytania: co może się stać, jak bardzo jest to prawdopodobne i jak dotkliwe byłyby skutki dla zadań jednostki. Przykład: zaszyfrowanie komputera sekretariatu przez złośliwe oprogramowanie, gdy jedyna kopia leży na dysku podłączonym do tego samego komputera, oznacza utratę dokumentacji uczniów.

Podmiot kluczowy — także publiczny, jak starostwo — oraz podmiot ważny, który nie jest podmiotem publicznym, szacują ryzyko z mocy art. 8 ust. 1 pkt 1. Podmiot ważny publiczny, np. szkoła, ma ten obowiązek z § 19 ust. 2 pkt 3 rozporządzenia o KRI do 23 lutego 2027 r. Także po tej dacie ocena ryzyka pozostaje najprostszym uzasadnieniem wyboru zabezpieczeń.

Krok 5. Wdróż zabezpieczenia

Zabezpieczenia dobiera się do ryzyka, ale Załącznik nr 4 wyznacza minimum, którego jednostka publiczna nie może pominąć. Od tych punktów warto zacząć sprawdzanie stanu faktycznego:

• kopie zapasowe odseparowane logicznie i fizycznie od danych oraz test ich kompletności i odtwarzania (pkt 10 i 11),
• odbieranie uprawnień bez zwłoki, gdy dostęp przestaje być potrzebny, i zawieszanie ich, gdy pracownik nie wykonuje obowiązków co najmniej przez miesiąc (pkt 6),
• kontrola poczty elektronicznej z użyciem mechanizmów z art. 24 ust. 1 ustawy o zwalczaniu nadużyć w komunikacji elektronicznej (pkt 9),
• zasady pracy na urządzeniach mobilnych i na odległość (pkt 8),
• stabilne wersje oprogramowania bez informacji o krytycznych podatnościach i śledzenie cyklu życia produktów (pkt 15 i 16).

Krok 6. Przeszkol ludzi

Kierownik i osoba, której powierzył obowiązki kierownika w zakresie cyberbezpieczeństwa, przechodzą szkolenie raz w roku kalendarzowym, a udział jest udokumentowany (art. 8e). Pozostałych pracowników obejmują szkolenia z pkt 17 Załącznika nr 4: rodzaje cyberzagrożeń, zasady cyberhigieny, reagowanie na incydent i świadomość skutków naruszenia zasad bezpieczeństwa.

Krok 7. Przygotuj się na incydent

Załącznik nr 4 wymaga przygotowania i testowania procedury na wypadek awarii lub incydentu (pkt 12) oraz określenia zasad działania na wypadek cyberzagrożenia lub incydentu (pkt 18). Dobra procedura odpowiada na trzy pytania: kto decyduje, kogo i w jakim terminie trzeba zawiadomić, skąd odtworzyć dane.

Terminy zgłoszeń dla jednostki publicznej różnią się od terminów dla firmy — opisujemy je w osobnym artykule.

Krok 8. Przeglądaj i dokumentuj

Przegląd systemu odbywa się co najmniej raz w roku, a bezzwłocznie — po rekomendacji Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa dotyczącej systemów, produktów lub usług ICT jednostki albo gdy zmienią się okoliczności, które mogą wpłynąć na ryzyko incydentu poważnego (Załącznik nr 4, część III).

Przegląd, audyt wewnętrzny z § 19 rozporządzenia o KRI i coroczne szkolenie kierownika można zaplanować na ten sam okres. Wnioski z przeglądu stają się planem działań na następny rok.