SZBI w JST — przewodnik po wymaganiach
Załącznik nr 4 do ustawy o krajowym systemie cyberbezpieczeństwa (KSC) określa uproszczone wymagania dotyczące systemu zarządzania bezpieczeństwem informacji (SZBI) dla podmiotu ważnego będącego podmiotem publicznym. W praktyce z tego zestawu wymagań korzysta wiele jednostek samorządu terytorialnego.
Celem SZBI jest ochrona poufności, integralności i dostępności przetwarzanych informacji oraz zapewnienie, że zadania publiczne są realizowane w sposób ciągły i bezpieczny.
Kogo dotyczy Załącznik nr 4?
Uproszczone wymagania z Załącznika nr 4 stosuje wyłącznie podmiot ważny będący podmiotem publicznym. Nie obejmują one podmiotów kluczowych. JST zakwalifikowana jako podmiot kluczowy musi wdrożyć pełny SZBI zgodnie z art. 8 ust. 1 KSC, w tym środki techniczne i organizacyjne wskazane w art. 8 ust. 1 pkt 2 lit. a–n.
Wymagania Załącznika nr 4 są zgodne z podejściem opisanym w normie PN-EN ISO/IEC 27001, ale nie nakładają obowiązku uzyskania certyfikatu. Norma może być przydatnym punktem odniesienia podczas organizowania SZBI.
Charakter wymagań i dokumentacja
Załącznik nr 4 ma charakter listy minimalnych wymagań. Obejmuje między innymi inwentaryzację produktów i usług ICT, zarządzanie dostępem, wykonywanie kopii zapasowych, ochronę przed złośliwym oprogramowaniem oraz zasady cyberhigieny.
W odróżnieniu od pełnego reżimu KSC, Załącznik nr 4 nie wymaga formalnego szacowania ryzyka. Nie oznacza to jednak, że analiza ryzyka jest zabroniona albo nieprzydatna. Podmiot może stosować dodatkowe środki, jeśli uzna je za konieczne, a obowiązek oceny ryzyka może wynikać z innych przepisów — na przykład z RODO.
Wymagania podzielono na części:
- Część I zawiera obowiązkowe środki techniczne i organizacyjne.
- Część II wskazuje dodatkowe środki do rozważenia, zależnie od możliwości organizacyjnych, finansowych i kadrowych jednostki.
- Część III wymaga regularnego przeglądu SZBI, co najmniej raz w roku, oraz jego weryfikacji w określonych sytuacjach nadzwyczajnych.
- Część IV wymaga dokumentowania realizacji działań związanych z SZBI.
W praktyce dokumentacja jednostki powinna obejmować w szczególności:
- politykę bezpieczeństwa informacji zatwierdzoną przez kierownika jednostki;
- rejestr aktywów informacyjnych wraz ze wskazaniem ich właścicieli;
- dokumentację potwierdzającą realizację działań wymaganych w SZBI;
- procedury zarządzania incydentami bezpieczeństwa;
- zasady kontroli dostępu do systemów informatycznych;
- plan szkoleń z zakresu bezpieczeństwa informacji.
Jeśli jednostka prowadzi analizę ryzyka, powinna również zachować dokumentację z jej przeprowadzenia.
Wymagane środki techniczne i organizacyjne
Część I Załącznika nr 4 określa środki, które podmiot ważny będący podmiotem publicznym musi wdrożyć. Dotyczą one m.in. dostępu i uprawnień, bezpieczeństwa fizycznego, aktualizacji oprogramowania, kopii zapasowych oraz ochrony przed złośliwym oprogramowaniem.
| Obszar | Wymagania i dobre praktyki |
|---|---|
| Kontrola dostępu | Należy zarządzać dostępem i uprawnieniami do systemów. Dobrą praktyką jest stosowanie zasady najmniejszych uprawnień, uwierzytelniania wieloskładnikowego w systemach krytycznych oraz przegląd uprawnień co sześć miesięcy. |
| Bezpieczeństwo fizyczne | Należy chronić pomieszczenia i infrastrukturę przed dostępem osób nieuprawnionych oraz zagrożeniami środowiskowymi. Dodatkowe zabezpieczenia mogą obejmować monitoring i zasilanie awaryjne. |
| Zarządzanie systemami IT | Należy dbać o aktualność oprogramowania, wykonywać kopie zapasowe i stosować ochronę przed złośliwym oprogramowaniem. Dobrą praktyką jest również segmentacja sieci i szyfrowanie danych. |
| Zarządzanie podatnościami | Należy monitorować informacje o zagrożeniach i określić sposób wdrażania poprawek. Dodatkowym zabezpieczeniem może być okresowe skanowanie podatności, np. raz na kwartał. |
| Szkolenia | Personel należy szkolić z bezpieczeństwa informacji. Dobrą praktyką są szkolenia wstępne i okresowe, ćwiczenia reagowania na incydenty oraz sprawdzanie poziomu świadomości pracowników. |
Kopie zapasowe powinny być odseparowane logicznie i fizycznie od chronionych zasobów. Nie oznacza to konieczności przechowywania ich w innym budynku — miejsce przechowywania ma jednak zapewniać, że kopie będą mogły spełnić swoją funkcję.
Brak wdrożenia wymaganych środków może skutkować karą pieniężną nałożoną przez właściwy organ. Dla JST istotne jest również ryzyko odpowiedzialności kierownika jednostki.
Ciągłość działania i odtwarzanie danych
Załącznik wymaga wykonywania kopii zapasowych, sprawdzania ich kompletności i możliwości odtworzenia danych oraz przygotowania i testowania procedury postępowania w razie awarii lub incydentu. Jednostka powinna również określić zasady działania na wypadek cyberzagrożenia lub incydentu.
Przepisy nie wskazują częstotliwości testów kopii ani procedur awaryjnych. Jako dobrą praktykę można przyjąć próbne odtwarzanie danych co najmniej raz na kwartał oraz testowanie procedur awaryjnych co najmniej raz w roku.
Pełne plany ciągłości działania, plany awaryjne i plany odtworzenia, o których mowa w art. 8 ust. 1 pkt 2 lit. f KSC, dotyczą podmiotów stosujących art. 8 ust. 1. Nie są częścią uproszczonych wymagań z Załącznika nr 4. Warto jednak, by procedury JST uwzględniały utratę dostępności kluczowych systemów, przejście na rozwiązania zapasowe, komunikację kryzysową i odtwarzanie danych.
Przegląd i doskonalenie SZBI
JST powinna przeglądać SZBI co najmniej raz w roku. Przegląd należy przeprowadzić również bezzwłocznie po otrzymaniu rekomendacji Pełnomocnika Rządu dotyczącej systemów jednostki albo po wystąpieniu okoliczności mogących wpłynąć na ryzyko poważnego incydentu.
Warto, aby w przeglądzie uczestniczyło kierownictwo jednostki. Pomocne jest także dokumentowanie incydentów, wyciąganie wniosków z ich obsługi oraz sprawdzanie, czy szkolenia skutecznie podnoszą świadomość pracowników.
Dobrą praktyką jest wyznaczenie Inspektora ds. Bezpieczeństwa Informacji (IBI), który koordynuje funkcjonowanie SZBI i raportuje bezpośrednio kierownikowi JST.
Zgłaszanie incydentów
Podmiot ważny będący podmiotem publicznym stosuje przepisy dotyczące obsługi i zgłaszania incydentów wskazane w art. 11 i 12 KSC. Zgodnie z art. 12c jest jednak zwolniony z obowiązku przekazywania wczesnego ostrzeżenia, sprawozdania okresowego, sprawozdania z postępu obsługi incydentu oraz sprawozdania końcowego. Oznacza to uproszczony zakres raportowania, ale nie zwalnia jednostki z obowiązku właściwej obsługi incydentów.
