Wzór SZBI i zarządzenie wprowadzające system: szkielet dla szkoły i gminy

Zarządzenie wprowadzające SZBI: szkielet do wykorzystania

Kierownik jednostki decyduje o systemie, planuje na niego środki, przydziela zadania i nadzoruje ich wykonanie (art. 8d ustawy o KSC), a za jego wprowadzenie odpowiada (art. 8c). Zarządzenie dyrektora szkoły, wójta, burmistrza albo kierownika ośrodka to dokument, który to porządkuje.

1. § 1. Wprowadza się system zarządzania bezpieczeństwem informacji na podstawie ustawy o krajowym systemie cyberbezpieczeństwa.
2. § 2. Koordynatorem systemu wyznacza się (imię, nazwisko, stanowisko), a jego zastępcą (imię, nazwisko).
3. § 3. Zakres zadań informatyka lub firmy serwisowej określa załącznik.
4. § 4. Osobami do kontaktu z podmiotami krajowego systemu cyberbezpieczeństwa są (art. 9 ust. 1 pkt 1 i ust. 3 ustawy o KSC): …
5. § 5. Wprowadza się politykę bezpieczeństwa informacji i procedury stanowiące załączniki.
6. § 6. Pracownicy zapoznają się z dokumentami i potwierdzają to w terminie …
7. § 7. Przegląd systemu odbywa się co najmniej raz w roku. Zarządzenie wchodzi w życie z dniem podpisania.

Zarządzenie wypełnione w portalu i-SZBI

Portal i-SZBI wypełnia ten szkielet danymi jednostki: nazwiskami, systemami i dostawcami, i drukuje zarządzenie gotowe do podpisu.

Jakie dokumenty składają się na SZBI

Ustawa dzieli dokumentację na normatywną, czyli zasady, i operacyjną, czyli zapisy z wykonania (art. 10 ust. 3 i 4). Zasady to zwykle polityka bezpieczeństwa informacji i kilka procedur. Zapisy to rejestry: aktywów, uprawnień, incydentów, szkoleń, testów kopii, przeglądów. Bez zapisów polityka pokazuje tylko zamiar.

Na co uważać przy pobieraniu wzoru

• odwołania do § 20 dawnego rozporządzenia o KRI zamiast § 19 obecnego (Dz.U. 2024 poz. 773),
• procedury pisane dla dużej firmy: dyżury całodobowe, własne centrum monitorowania, 93 zabezpieczenia,
• wczesne ostrzeżenie w ciągu 24 godzin i sprawozdania, z których art. 12c zwalnia podmiot ważny publiczny,
• puste miejsca na nazwy systemów i osób, których nikt potem nie uzupełnia,
• brak rejestrów: wzór kończy się na politykach, a kontrola pyta o zapisy.

SZBI bez wzoru: jak to działa w portalu i-SZBI

W portalu wpisujesz dane jednostki raz, z podpowiedzią przy każdym polu. Portal ustala status jednostki według ustawy i pokazuje tylko obowiązki, które jej dotyczą. Z tych danych generuje zarządzenie, politykę, procedury i teczkę SZBI do wydruku.

SZBI trzeba prowadzić cały rok, nie tylko wdrożyć. W portalu zmieniasz i dodajesz dane, a dokumenty aktualizują się z nimi, z historią wersji. Wydruki i raport na kontrolę masz na żądanie. Prowadzić system może Twój pracownik albo zaprzyjaźniona firma informatyczna, której dajesz dostęp do portalu.

Portal ma też szkolenia online z testem i zaświadczeniem dla pracowników i kierownika oraz kampanie phishingowe. Ich wyniki same trafiają do dokumentacji SZBI.

Gmina może kupić pakiet: w jednym panelu prowadzi SZBI urzędu i widzi stan wszystkich swoich szkół i ośrodków, a każdy dyrektor ma własne konto i widzi tylko swoją jednostkę.