Audyt KRI w JST — zakres i przygotowanie urzędu

Podmioty realizujące zadania publiczne, w tym urzędy JST, powinny zapewnić coroczny audyt wewnętrzny bezpieczeństwa informacji. Podstawą jest § 19 ust. 2 pkt 14 obowiązującego rozporządzenia KRI z 21 maja 2024 r.. W tym artykule wyjaśniamy zakres audytu i sposób przygotowania dowodów, z których kierownictwo może ułożyć plan działań naprawczych.

Czym są Krajowe Ramy Interoperacyjności (KRI) i kogo obowiązują

Krajowe Ramy Interoperacyjności to zbiór wymagań technicznych i organizacyjnych zawartych w rozporządzeniu Rady Ministrów w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych. Mówiąc prościej — to katalog zasad, które muszą spełniać systemy informatyczne i procesy zarządzania informacją w podmiotach realizujących zadania publiczne, żeby te systemy były bezpieczne i potrafiły wymieniać dane między sobą.

Co to jest KRI w praktyce? Rozporządzenie określa zasady współpracy systemów, minimalne wymagania dla rejestrów publicznych i systemów teleinformatycznych. Z perspektywy bezpieczeństwa informacji kluczowy jest § 19 dotyczący SZBI. § 20 dotyczy dokumentowania działań w dziennikach systemowych, dlatego oba przepisy mogą być istotne dla zakresu konkretnego audytu.

Wymagania KRI w zakresie SZBI są w dużym stopniu inspirowane normą ISO/IEC 27001 i pokrywają takie obszary jak: inwentaryzacja aktywów informacyjnych, klasyfikacja informacji, zarządzanie ryzykiem, polityka bezpieczeństwa, zarządzanie dostępem, zabezpieczenia kryptograficzne, ciągłość działania, zarządzanie incydentami, edukacja pracowników, audyt wewnętrzny. Co oznacza skrót SZBI w kontekście KRI? Jest to System Zarządzania Bezpieczeństwem Informacji — rozumiany jako spójny, udokumentowany i regularnie weryfikowany zbiór polityk, procedur, ról i mechanizmów technicznych, który chroni informacje przetwarzane w urzędzie.

Audyt zgodności z KRI obowiązuje wszystkie podmioty realizujące zadania publiczne, w tym: urzędy gmin, miast i marszałkowskie, starostwa powiatowe, jednostki organizacyjne samorządu (OPS, ZUK, oświata, biblioteki), administrację rządową, sądy, jednostki służby zdrowia będące podmiotami publicznymi, państwowe i samorządowe osoby prawne. Nawet niewielka gmina wiejska, która ma kilkunastu pracowników, formalnie podlega tym samym wymaganiom co duże miasto. Różnica leży nie w obowiązku, ale w skali i sposobie wdrożenia.

Audyt zgodności z KRI — zakres, obowiązki i częstotliwość

§ 19 ust. 2 pkt 14 rozporządzenia KRI wymaga okresowego audytu wewnętrznego bezpieczeństwa informacji nie rzadziej niż raz na rok. Jednostka powinna określić zakres, kryteria i sposób zapewnienia bezstronności audytu. Sam przepis nie wskazuje jednego wymaganego certyfikatu audytora ani nie uzależnia obowiązku od wielkości urzędu.

Zakres należy odnieść do systemów i procesów jednostki oraz właściwych wymagań KRI, przede wszystkim § 19. W praktyce audytor może sprawdzić:

• Dokumentację SZBI — czy istnieje aktualna polityka bezpieczeństwa informacji, czy są procedury operacyjne (zarządzanie dostępem, zarządzanie incydentami, kopie zapasowe, zarządzanie zmianą), czy dokumenty są zatwierdzone przez kierownika jednostki i znane pracownikom.
• Inwentaryzację i klasyfikację aktywów — czy istnieje rejestr aktywów informacyjnych (sprzęt, oprogramowanie, dane, usługi), czy aktywa są zaklasyfikowane pod kątem poufności, integralności i dostępności, czy każdy aktyw ma przypisanego właściciela.
• Analizę ryzyka — czy została przeprowadzona, czy stosowana metodyka jest udokumentowana, czy zidentyfikowane ryzyka mają plan postępowania (akceptacja, redukcja, transfer, unikanie).
• Zarządzanie dostępem — czy istnieje proces nadawania, modyfikowania i odbierania uprawnień, czy jest stosowana zasada minimalnych uprawnień, czy konta są przeglądane okresowo, czy są zabezpieczenia kont uprzywilejowanych.
• Bezpieczeństwo techniczne — aktualność oprogramowania, zabezpieczenia antywirusowe i antyspamowe, segmentacja sieci, kopie zapasowe i ich testowanie, kryptografia.
• Bezpieczeństwo fizyczne — kontrola dostępu do serwerowni i pomieszczeń z dokumentami, monitoring, zabezpieczenia przeciwpożarowe i zasilania.
• Zarządzanie incydentami — czy istnieje procedura zgłaszania incydentów, czy prowadzony jest rejestr, czy są analizy poincydentowe.
• Ciągłość działania — czy istnieje plan ciągłości działania (BCP) i plan przywrócenia po awarii (DRP), czy są testowane.
• Edukację pracowników — czy odbywają się szkolenia z bezpieczeństwa informacji, czy nowi pracownicy są szkoleni przy zatrudnieniu, czy prowadzone są ćwiczenia (np. testy phishingowe).
• Współpracę z podmiotami zewnętrznymi — czy umowy z dostawcami zawierają klauzule bezpieczeństwa, czy jest weryfikowane bezpieczeństwo dostawców kluczowych.

Wynikiem audytu KRI jest raport audytora opisujący stan faktyczny, stwierdzone niezgodności (zwykle podzielone na krytyczne, wysokie, średnie, niskie), rekomendacje naprawcze i ocenę dojrzałości SZBI. Raport powinien trafić do kierownika jednostki — wójta, burmistrza, prezydenta, starosty — który podejmuje decyzję o wdrożeniu rekomendacji.

Audyt KRI pomaga kierownictwu sprawdzić działanie SZBI, ale nie zastępuje odrębnej oceny obowiązków wynikających z RODO ani ustawy o KSC. Zakres każdej takiej oceny wynika z właściwego przepisu i statusu organizacji.

Jak przygotować urząd do audytu KRI — praktyczna lista kontrolna

Każdy doświadczony audytor wie, że zgrana strona organizacyjna jest kluczem do sprawnego audytu. Oto krótka, praktyczna lista, która pozwoli urzędowi przygotować się do audytu zgodności z KRI bez paniki w ostatnim tygodniu.

Tydzień -4: porządki w dokumentach. Zbierz aktualne wersje dokumentacji SZBI: politykę bezpieczeństwa, procedury, instrukcje i regulaminy. Sprawdź, czy były przeglądane po zmianach w systemach, organizacji i otoczeniu prawnym. Sam wiek dokumentu nie przesądza o niezgodności; znaczenie ma jego aktualność i stosowanie w praktyce.

Tydzień -3: aktywa i ryzyko. Aktualizuj rejestr aktywów informacyjnych. Audytorzy często znajdują tu nieaktualne pozycje — sprzęt, który dawno wycofano, systemy, które nie działają. Przejrzyj analizę ryzyka — kiedy była ostatnio aktualizowana, czy uwzględnia nowe zagrożenia (AI, ransomware, łańcuchy dostaw), czy są nowe ryzyka po zmianach w systemach (np. wdrożeniu nowego systemu dziedzinowego).

Tydzień -2: dostępy i konta. Zrób przegląd kont użytkowników w kluczowych systemach. Sprawdź, czy są konta byłych pracowników, czy są konta serwisowe bez właściciela, czy hasła kont uprzywilejowanych są zabezpieczone. Zweryfikuj, kiedy ostatnio przeprowadzono przegląd uprawnień — jeśli nigdy, jest to klasyczna niezgodność z KRI.

Tydzień -1: dowody i artefakty. Audytor będzie chciał zobaczyć dowody, że procedury są stosowane: rejestr incydentów, listy obecności na szkoleniach, raporty z testów backupów, log z testowych odtworzeń systemów, raporty z poprzednich audytów wraz z dowodami wdrożenia rekomendacji. Przygotuj te materiały z wyprzedzeniem.

W trakcie audytu: transparentność. Najgorsze, co można zrobić w trakcie audytu KRI, to próbować ukryć problemy. Audytor w godzinę zorientuje się, że coś nie gra, a Twoja wiarygodność spadnie do zera. Lepsza strategia: pokazuj jak jest, a wszystkie znane Ci wcześniej braki przedstaw jako pozycje na liście planowanych działań naprawczych z konkretnym harmonogramem. Audytor ceni urząd, który zna swoje słabości, znacznie wyżej niż taki, który udaje doskonałość.

Po audycie: plan działań. Raport poaudytowy powinien być punktem wyjścia do planu działań korygujących, zatwierdzonego przez kierownika jednostki, z przypisanymi osobami odpowiedzialnymi i terminami. Bez tego audyt jest tylko zmarnowanym budżetem.

Jeśli urząd planuje coroczny przegląd, zobacz zakres audytu KRI oferowanego przez Idealdata albo skontaktuj się z nami, aby ustalić kryteria i granice badania.