Baza wiedzy

Wdrażanie skutecznego Systemu Zarządzania Bezpieczeństwem Informacji w sektorze publicznym przestało być kwestią wyboru standardu organizacyjnego. Aktualnie jest on ustawowym wymogiem wynikającym z implementacji dyrektywy NIS2 w znowelizowanej UoKSC. Zgodnie z Art. 8 ustawy, podmioty kluczowe i ważne zobligowane są do wdrożenia technicznych i organizacyjnych środków zarządzania ryzykiem. Najbardziej efektywnym narzędziem do realizacji tego celu jest międzynarodowa norma ISO/IEC 27001:2022, stanowiąca strukturalny fundament ekosystemu cyberbezpieczeństwa. System Zarządzania Bezpieczeństwem Informacji, czyli SZBI, staje się zatem strategicznym wymogiem dla sektora publicznego.

Struktura normy a ramy ustawowe

Norma ISO/IEC 27001:2022 składa się z dwóch integralnych części: 10 głównych rozdziałów, w tym klauzul 4-10 opartych na strukturze High-Level Structure (HLS) oraz Załącznika A, który zwiera skatalogowane środki kontroli. Architektura ta wymusza funkcjonowanie cyklu PDCA (Plan-Do-Check-Act), co przekłada się bezpośrednio na wymagania legislacyjne: Oczywiście cykl PDCA jest kluczowym filarem SZBI.

• Planuj (Plan): Kontekst organizacji, przywództwo najwyższego kierownictwa i metodyka szacowania ryzyka.
• Wykonaj (Do): Wdrożenie zabezpieczeń technicznych, zarządzanie aktywami i ciągłością działania.
• Sprawdź (Check): Monitorowanie wskaźników KPI, logów systemowych oraz audyty wewnętrzne. 
• Działaj (Act): Ciągłe doskonalenie i eliminacja zidentyfikowanych podatności.

W nowej edycji normy z 2022 roku katalog zabezpieczeń w Załączniku A został zoptymalizowany do 93 środków kontroli pogrupowanych w 4 domeny tematyczne: organizacyjną (A.5), personalną (A.6), fizyczną (A.7) oraz technologiczną (A.8). Należy podkreślić, że SZBI obejmuje wszystkie wyżej wymienione domeny w kontekście bezpieczeństwa informacji.

Role i personalna odpowiedzialność w SZBI

• Najwyższe Kierownictwo: Odpowiada za zabezpieczenie zasobów finansowych i ludzkich, zatwierdzanie polityk oraz promowanie kultury bezpieczeństwa. Ponosi ostateczną, osobistą odpowiedzialność za skuteczność systemu SZBI.
• Pełnomocnik ds. SZBI: Realizuje operacyjne zarządzanie systemem, nadzoruje dokumentację, inicjuje audyty oraz raportuje stan zabezpieczeń do kierownictwa.
• Właściciele Aktywów: Kierownicy działów merytorycznych (np. Dyrektor HR dla baz danych pracowników). To oni klasyfikują informacje, nadają uprawnienia dostępu i decydują o akceptowalności ryzyka dla podległych im procesów w ramach SZBI.
• Zespół IT / Administratorzy systemów: Pełnią rolę wyłącznie wykonawczą, jak również techniczną. Należy podkreślić, iż IT nie jest właścicielem danych – zabezpiecza je technicznie (firewalle, kopie zapasowe, szyfrowanie) na bezpośrednie zlecenie Właścicieli Aktywów.

Aspekt Prawny (Art. 8e UoKSC): Kierownik Jednostki sektora finansów publicznych ponosi odpowiedzialność osobistą oraz finansową za realizację obowiązków ustawowych. Odpowiedzialność ta nie ulega wyłączeniu ani przeniesieniu w przypadku powierzenia zadań zewnętrznym podmiotom lub pracownikom. Dodatkowo kierownicy mają ustawowy obowiązek przechodzenia corocznych szkoleń z zakresu cyberbezpieczeństwa, co podkreśla wagę SZBI dla podmiotów publicznych.