Audyt KRI — Krajowe Ramy Interoperacyjności w jednostkach samorządu terytorialnego

Audyt KRI to obowiązkowe zadanie w każdej jednostce samorządu terytorialnego oraz w pozostałych podmiotach realizujących zadania publiczne. Krajowe Ramy Interoperacyjności (KRI) stanowią najstarszy i wciąż obowiązujący filar systemu zarządzania bezpieczeństwem informacji w polskiej administracji publicznej. Od momentu wejścia w życie rozporządzenia w 2012 roku każdy urząd ma obowiązek prowadzić, dokumentować i corocznie audytować system zarządzania bezpieczeństwem informacji. W tym artykule wyjaśniamy, czym dokładnie są KRI, jaki jest zakres audytu zgodności z KRI oraz jak praktycznie przygotować urząd do takiej kontroli.

Czym są Krajowe Ramy Interoperacyjności (KRI) i kogo obowiązują

Krajowe Ramy Interoperacyjności to zbiór wymagań technicznych i organizacyjnych zawartych w rozporządzeniu Rady Ministrów w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych. Mówiąc prościej — to katalog zasad, które muszą spełniać systemy informatyczne i procesy zarządzania informacją w podmiotach realizujących zadania publiczne, żeby te systemy były bezpieczne i potrafiły wymieniać dane między sobą.

Co to jest KRI w praktyce? Rozporządzenie nakłada konkretne wymagania w trzech głównych obszarach. Po pierwsze — interoperacyjność, czyli zdolność systemów do współdziałania (formaty danych, standardy, profile). Po drugie — minimalne wymagania dla systemów teleinformatycznych: dostępność, neutralność technologiczna, zarządzanie usługami. Po trzecie, najważniejsze z perspektywy bezpieczeństwa — wymagania dotyczące Systemu Zarządzania Bezpieczeństwem Informacji (SZBI). To ten paragraf 20 rozporządzenia, do którego odwołuje się większość wszystkich audytów KRI.

Wymagania KRI w zakresie SZBI są w dużym stopniu inspirowane normą ISO/IEC 27001 i pokrywają takie obszary jak: inwentaryzacja aktywów informacyjnych, klasyfikacja informacji, zarządzanie ryzykiem, polityka bezpieczeństwa, zarządzanie dostępem, zabezpieczenia kryptograficzne, ciągłość działania, zarządzanie incydentami, edukacja pracowników, audyt wewnętrzny. Co oznacza skrót SZBI w kontekście KRI? Jest to System Zarządzania Bezpieczeństwem Informacji — rozumiany jako spójny, udokumentowany i regularnie weryfikowany zbiór polityk, procedur, ról i mechanizmów technicznych, który chroni informacje przetwarzane w urzędzie.

Audyt zgodności z KRI obowiązuje wszystkie podmioty realizujące zadania publiczne, w tym: urzędy gmin, miast i marszałkowskie, starostwa powiatowe, jednostki organizacyjne samorządu (OPS, ZUK, oświata, biblioteki), administrację rządową, sądy, jednostki służby zdrowia będące podmiotami publicznymi, państwowe i samorządowe osoby prawne. Nawet niewielka gmina wiejska, która ma kilkunastu pracowników, formalnie podlega tym samym wymaganiom co duże miasto. Różnica leży nie w obowiązku, ale w skali i sposobie wdrożenia.

Audyt zgodności z KRI — zakres, obowiązki i częstotliwość

Paragraf 20 ust. 2 pkt 14 rozporządzenia KRI wprowadza obowiązek przeprowadzania okresowego audytu wewnętrznego z zakresu bezpieczeństwa informacji nie rzadziej niż raz w roku. Co ważne — przepis wymaga, żeby audyt był audytem wewnętrznym, ale nic nie stoi na przeszkodzie, żeby był wykonywany przez podmiot zewnętrzny działający na zlecenie kierownika jednostki. W praktyce w mniejszych JST własnych audytorów najzwyczajniej nie ma — i wtedy outsourcing jest jedynym realnym rozwiązaniem.

Zakres audytu zgodności z KRI obejmuje wszystkie wymagania paragrafu 20 rozporządzenia. W praktyce audytor sprawdza:

• Dokumentację SZBI — czy istnieje aktualna polityka bezpieczeństwa informacji, czy są procedury operacyjne (zarządzanie dostępem, zarządzanie incydentami, kopie zapasowe, zarządzanie zmianą), czy dokumenty są zatwierdzone przez kierownika jednostki i znane pracownikom.
• Inwentaryzację i klasyfikację aktywów — czy istnieje rejestr aktywów informacyjnych (sprzęt, oprogramowanie, dane, usługi), czy aktywa są zaklasyfikowane pod kątem poufności, integralności i dostępności, czy każdy aktyw ma przypisanego właściciela.
• Analizę ryzyka — czy została przeprowadzona, czy stosowana metodyka jest udokumentowana, czy zidentyfikowane ryzyka mają plan postępowania (akceptacja, redukcja, transfer, unikanie).
• Zarządzanie dostępem — czy istnieje proces nadawania, modyfikowania i odbierania uprawnień, czy jest stosowana zasada minimalnych uprawnień, czy konta są przeglądane okresowo, czy są zabezpieczenia kont uprzywilejowanych.
• Bezpieczeństwo techniczne — aktualność oprogramowania, zabezpieczenia antywirusowe i antyspamowe, segmentacja sieci, kopie zapasowe i ich testowanie, kryptografia.
• Bezpieczeństwo fizyczne — kontrola dostępu do serwerowni i pomieszczeń z dokumentami, monitoring, zabezpieczenia przeciwpożarowe i zasilania.
• Zarządzanie incydentami — czy istnieje procedura zgłaszania incydentów, czy prowadzony jest rejestr, czy są analizy poincydentowe.
• Ciągłość działania — czy istnieje plan ciągłości działania (BCP) i plan przywrócenia po awarii (DRP), czy są testowane.
• Edukację pracowników — czy odbywają się szkolenia z bezpieczeństwa informacji, czy nowi pracownicy są szkoleni przy zatrudnieniu, czy prowadzone są ćwiczenia (np. testy phishingowe).
• Współpracę z podmiotami zewnętrznymi — czy umowy z dostawcami zawierają klauzule bezpieczeństwa, czy jest weryfikowane bezpieczeństwo dostawców kluczowych.

Wynikiem audytu KRI jest raport audytora opisujący stan faktyczny, stwierdzone niezgodności (zwykle podzielone na krytyczne, wysokie, średnie, niskie), rekomendacje naprawcze i ocenę dojrzałości SZBI. Raport powinien trafić do kierownika jednostki — wójta, burmistrza, prezydenta, starosty — który podejmuje decyzję o wdrożeniu rekomendacji.

Warto pamiętać, że poza obowiązkowym audytem rocznym, urząd może być skontrolowany przez zewnętrzne organy: NIK, służby specjalne (w zakresie ochrony informacji niejawnych), CSIRT NASK i CSIRT GOV w trybie reagowania, Prezesa UODO w zakresie zgodności z RODO, organy nadzorcze właściwe dla NIS2. Dobrze przeprowadzony audyt wewnętrzny jest najlepszą polisą, jaką urząd może mieć przed taką kontrolą.

Jak przygotować urząd do audytu KRI — praktyczna lista kontrolna

Każdy doświadczony audytor wie, że zgrana strona organizacyjna jest kluczem do sprawnego audytu. Oto krótka, praktyczna lista, która pozwoli urzędowi przygotować się do audytu zgodności z KRI bez paniki w ostatnim tygodniu.

Tydzień -4: porządki w dokumentach. Zbierz w jednym miejscu wszystkie aktualne wersje dokumentacji SZBI: politykę bezpieczeństwa, polityki szczegółowe, procedury, instrukcje, regulaminy. Sprawdź daty zatwierdzenia — jeśli któryś dokument ma więcej niż dwa lata i nie był aktualizowany, to czerwona flaga. Zweryfikuj, czy klauzule informacyjne RODO są aktualne, czy upoważnienia do przetwarzania danych są podpisane, czy rejestr czynności przetwarzania jest prowadzony.

Tydzień -3: aktywa i ryzyko. Aktualizuj rejestr aktywów informacyjnych. Audytorzy często znajdują tu nieaktualne pozycje — sprzęt, który dawno wycofano, systemy, które nie działają. Przejrzyj analizę ryzyka — kiedy była ostatnio aktualizowana, czy uwzględnia nowe zagrożenia (AI, ransomware, łańcuchy dostaw), czy są nowe ryzyka po zmianach w systemach (np. wdrożeniu nowego systemu dziedzinowego).

Tydzień -2: dostępy i konta. Zrób przegląd kont użytkowników w kluczowych systemach. Sprawdź, czy są konta byłych pracowników, czy są konta serwisowe bez właściciela, czy hasła kont uprzywilejowanych są zabezpieczone. Zweryfikuj, kiedy ostatnio przeprowadzono przegląd uprawnień — jeśli nigdy, jest to klasyczna niezgodność z KRI.

Tydzień -1: dowody i artefakty. Audytor będzie chciał zobaczyć dowody, że procedury są stosowane: rejestr incydentów, listy obecności na szkoleniach, raporty z testów backupów, log z testowych odtworzeń systemów, raporty z poprzednich audytów wraz z dowodami wdrożenia rekomendacji. Przygotuj te materiały z wyprzedzeniem.

W trakcie audytu: transparentność. Najgorsze, co można zrobić w trakcie audytu KRI, to próbować ukryć problemy. Audytor w godzinę zorientuje się, że coś nie gra, a Twoja wiarygodność spadnie do zera. Lepsza strategia: pokazuj jak jest, a wszystkie znane Ci wcześniej braki przedstaw jako pozycje na liście planowanych działań naprawczych z konkretnym harmonogramem. Audytor ceni urząd, który zna swoje słabości, znacznie wyżej niż taki, który udaje doskonałość.

Po audycie: plan działań. Raport poaudytowy powinien być punktem wyjścia do planu działań korygujących, zatwierdzonego przez kierownika jednostki, z przypisanymi osobami odpowiedzialnymi i terminami. Bez tego audyt jest tylko zmarnowanym budżetem.

Jeśli Twój urząd potrzebuje wsparcia w przeprowadzeniu audytu zgodności z KRI lub chce uporządkować dokumentację SZBI przed audytem, skontaktuj się z nami. Specjalizujemy się w audytach dla jednostek samorządu terytorialnego i znamy realia polskiej administracji — wiemy, jak prowadzić projekty bezpieczeństwa w warunkach ograniczonego budżetu i zasobów.