Słownik pojęć cyberbezpieczeństwa dla szkół i samorządu

Pojęcia z ustawy o krajowym systemie cyberbezpieczeństwa, rozporządzenia o KRI i RODO — wyjaśnione przystępnie, z podstawą prawną i przykładem z pracy szkoły lub urzędu. Każde hasło ma własną stronę.

A

Audyt wewnętrzny bezpieczeństwa informacji

Okresowe sprawdzenie, czy system zarządzania bezpieczeństwem informacji działa zgodnie z przepisami i przyjętymi zasadami. Rozporządzenie o KRI wymaga go nie rzadziej niż raz na rok i nie określa kwalifikacji audytora.

B

Bezpieczeństwo systemów informacyjnych

Odporność systemów informacyjnych — przy danym poziomie pewności — na zdarzenia, które naruszają poufność, integralność, dostępność i autentyczność przetwarzanych danych albo usług oferowanych przez te systemy.

C

CSIRT

Zespół reagowania na incydenty bezpieczeństwa komputerowego. Na poziomie krajowym działają CSIRT MON, CSIRT NASK i CSIRT GOV; CSIRT sektorowy ustanawia organ właściwy do spraw cyberbezpieczeństwa dla danego sektora lub podsektora.

Cyberhigiena

Ustawa o KSC używa tego pojęcia, ale go nie definiuje. W praktyce to podstawowe nawyki każdego użytkownika: silne i niepowtarzane hasła, uwierzytelnianie wieloskładnikowe, ostrożność wobec załączników i linków, blokowanie ekranu, aktualizowanie oprogramowania.

Cyberzagrożenie

Każda potencjalna okoliczność, zdarzenie lub działanie, które może zaszkodzić sieciom i systemom informatycznym, ich użytkownikom lub innym osobom, zakłócić ich działanie albo w inny sposób negatywnie na nie wpłynąć. Ustawa o KSC przejmuje definicję z unijnego aktu o cyberbezpieczeństwie.

D

Deklaracja stosowania (SoA)

Dokument z normy ISO/IEC 27001, który wymienia zabezpieczenia z jej załącznika A, wskazuje, które organizacja stosuje, i uzasadnia wyłączenia. Przepisy polskie nie nakazują go wprost; jest naturalnym dokumentem dla podmiotu, który buduje system na normie.

I

Incydent

Zdarzenie, które ma albo może mieć niekorzystny wpływ na bezpieczeństwo systemów informacyjnych. Wystarczy samo zagrożenie skutkiem — nie musi dojść do szkody.

Incydent krytyczny

Incydent, który powoduje znaczną szkodę dla bezpieczeństwa lub porządku publicznego, interesów międzynarodowych lub gospodarczych, działania instytucji publicznych, praw i wolności obywatelskich albo życia i zdrowia ludzi. Taką kwalifikację nadaje CSIRT MON, CSIRT NASK albo CSIRT GOV, a nie sama jednostka.

Incydent poważny

Incydent, który powoduje albo może spowodować poważne obniżenie jakości lub przerwanie świadczenia usługi, straty finansowe dla podmiotu albo poważną szkodę materialną lub niematerialną dla innych osób. Tylko taki incydent podmiot kluczowy i ważny musi zgłaszać do CSIRT.

Inspektor ochrony danych (IOD)

Osoba, którą administrator wyznacza do informowania i doradzania w sprawach ochrony danych osobowych oraz monitorowania przestrzegania RODO. Organ lub podmiot publiczny musi go wyznaczyć.

K

Kierownik podmiotu kluczowego lub ważnego

Kierownik jednostki w rozumieniu ustawy o rachunkowości, a w jednostce sektora finansów publicznych — kierownik tej jednostki w rozumieniu ustawy o finansach publicznych. To on odpowiada za wykonanie obowiązków z zakresu cyberbezpieczeństwa.

Krajowe Ramy Interoperacyjności (KRI)

Rozporządzenie Rady Ministrów określające minimalne wymagania dla rejestrów publicznych, wymiany informacji i systemów teleinformatycznych podmiotów realizujących zadania publiczne. Jego § 19 wymaga systemu zarządzania bezpieczeństwem informacji z 14 działaniami, w tym corocznego audytu wewnętrznego.

N

Naruszenie ochrony danych osobowych

Naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia danych osobowych albo nieuprawnionego dostępu do nich.

O

Obsługa incydentu

Czynności, które pozwalają incydent wykryć, zarejestrować, przeanalizować, sklasyfikować, ustalić jego priorytet, podjąć działania naprawcze i ograniczyć skutki.

P

Podatność

Właściwość produktu ICT lub usługi ICT, którą może wykorzystać cyberzagrożenie — najczęściej błąd w oprogramowaniu albo słaba konfiguracja.

Podmiot kluczowy

Kategoria podmiotów objętych najszerszymi obowiązkami ustawy o KSC. Należą do niej m.in. duże podmioty z sektorów wymienionych w załączniku nr 1 oraz — bez względu na wielkość — podmioty publiczne wskazane w tym załączniku, np. starostwo powiatowe i urząd gminy zatrudniający co najmniej 50 osób.

Podmiot publiczny

Podmiot wskazany w załączniku nr 1 lub 2 do ustawy o KSC w sektorze „podmioty publiczne”. Status podmiotu publicznego zmienia zakres obowiązków: podmiot ważny publiczny stosuje Załącznik nr 4 zamiast art. 8 ust. 1 i nie przekazuje wczesnego ostrzeżenia ani sprawozdań z incydentów.

Podmiot ważny

Druga kategoria podmiotów objętych ustawą o KSC. Należą do niej m.in. samorządowe jednostki budżetowe, zakłady budżetowe i instytucje kultury, które realizują zadania publiczne z wykorzystaniem systemów informacyjnych, a nie są podmiotami kluczowymi.

Potencjalne zdarzenie dla cyberbezpieczeństwa

Zdarzenie, które mogło niekorzystnie wpłynąć na bezpieczeństwo systemów informacyjnych, ale do niego nie doszło albo udało się mu zapobiec. W żargonie: „prawie wypadek”.

Poważne cyberzagrożenie

Cyberzagrożenie, które ze względu na swoje właściwości techniczne może poważnie wpłynąć na bezpieczeństwo systemów informacyjnych lub ich użytkowników, wywołując poważną szkodę materialną lub niematerialną.

Produkt, usługa i proces ICT

Produkt ICT to element lub grupa elementów sieci albo systemu informatycznego; usługa ICT polega w całości lub głównie na przekazywaniu, przechowywaniu, pobieraniu lub przetwarzaniu informacji przez sieci i systemy; proces ICT to działania związane z projektowaniem, rozwojem, dostarczaniem lub utrzymaniem produktu albo usługi ICT. Ustawa o KSC przejmuje te pojęcia z unijnego aktu o cyberbezpieczeństwie.

R

Ryzyko

Połączenie prawdopodobieństwa, że wystąpi zdarzenie niepożądane, i jego konsekwencji.

S

System informacyjny

System teleinformatyczny w rozumieniu ustawy o informatyzacji albo urządzenie lub grupa połączonych urządzeń z oprogramowaniem, które przetwarzają dane — razem z danymi przechowywanymi w postaci elektronicznej.

System zarządzania bezpieczeństwem informacji (SZBI)

Uporządkowany sposób zarządzania bezpieczeństwem informacji w jednostce: od inwentaryzacji i zasad dostępu, przez zabezpieczenia i reagowanie na incydenty, po przegląd i doskonalenie. Ustawa o KSC wymaga go od podmiotów kluczowych i ważnych.

Szacowanie ryzyka

Całościowy proces, w którym ryzyko się identyfikuje, analizuje i ocenia.

W

Wykaz podmiotów kluczowych i ważnych

Prowadzony przez ministra właściwego do spraw informatyzacji wykaz, w którym są dane podmiotów objętych ustawą. Podmioty publiczne minister wpisuje z urzędu, pozostałe składają wniosek o wpis.

Z

Załącznik nr 4 do ustawy o KSC

Wymogi dla systemu zarządzania bezpieczeństwem informacji podmiotu ważnego będącego podmiotem publicznym: 18 działań obowiązkowych (część I), 9 dodatkowych (część II), zasady przeglądu (część III) i obowiązek dokumentowania (część IV).

Zarządzanie incydentem

Obsługa incydentu poszerzona o szukanie powiązań między incydentami, usuwanie przyczyn ich występowania i wyciąganie wniosków.

Zarządzanie ryzykiem

Skoordynowane działania w zakresie zarządzania cyberbezpieczeństwem, podejmowane w odniesieniu do oszacowanego ryzyka.