Audyt KRI dla podmiotów publicznych
Podmiot realizujący zadania publiczne powinien zapewniać okresowy audyt wewnętrzny bezpieczeństwa informacji nie rzadziej niż raz w roku.
Wynika to z § 19 ust. 2 pkt 14 rozporządzenia w sprawie Krajowych Ram Interoperacyjności (Dz.U. 2024 poz. 773). Audyt KRI pozwala sprawdzić, czy system zarządzania bezpieczeństwem informacji, procedury i zabezpieczenia działają w praktyce oraz jakie działania trzeba podjąć po stwierdzeniu niezgodności.
Zakres ustalamy przed rozpoczęciem badania. Może on obejmować dokumentację SZBI, analizę ryzyka, zarządzanie uprawnieniami, bezpieczeństwo fizyczne, kopie zapasowe i ciągłość działania. Porównujemy zapisy procedur z dowodami ich stosowania oraz rozmawiamy z osobami odpowiedzialnymi za procesy i systemy. Tam, gdzie zlecenie tego wymaga, uwzględniamy techniczną weryfikację uzgodnionych systemów.
Po audycie przekazujemy raport z ustaleniami, oceną ryzyka i zaleceniami ułożonymi według ważności. Dzięki temu kierownictwo może zaplanować działania naprawcze, odpowiedzialność i terminy, a przy kolejnym przeglądzie sprawdzić postęp. Audyt KRI może być także punktem wyjścia do aktualizacji SZBI lub prac prowadzonych w projekcie „Cyberbezpieczny Samorząd”.
Krajowe Ramy Interoperacyjności
Zakres audytu KRI w Idealdata
- 01Weryfikacja SZBISprawdzenie, czy wdrożony System Zarządzania Bezpieczeństwem Informacji jest aktualny, kompletny i realnie stosowany przez pracowników.
- 02Analiza dokumentacjiPrzegląd polityk bezpieczeństwa, instrukcji zarządzania systemami informatycznymi oraz procedur ochrony danych osobowych.
- 03Bezpieczeństwo fizyczne i środowiskoweKontrola dostępu do serwerowni, biur oraz zabezpieczeń przed czynnikami losowymi (pożar, zalanie, brak zasilania).
- 04Audyt techniczny i uprawnieńWeryfikacja poprawności nadawania dostępów do systemów, jakości haseł oraz zabezpieczeń sieciowych.
- 05Zarządzanie ciągłością działaniaSprawdzenie planów awaryjnych oraz procedur tworzenia i odtwarzania kopii zapasowych (backup).
- 06Świadomość personeluWywiady z pracownikami w celu oceny znajomości procedur bezpieczeństwa.
Podstawa prawna: rozporządzenie w sprawie Krajowych Ram Interoperacyjności, § 19 ust. 2 pkt 14.
Audyt KRI a audyt ISO/IEC 27001 — porównanie
| Kryterium | Audyt KRI | Audyt ISO/IEC 27001 |
|---|---|---|
| Podstawa prawna | Rozporządzenie w sprawie Krajowych Ram Interoperacyjności | Norma ISO/IEC 27001:2022; certyfikacja jest osobną decyzją |
| Dla kogo | Podmioty realizujące zadania publiczne (JST, urzędy) | Każda organizacja — firmy, instytucje, samorządy |
| Obowiązkowość | Obowiązkowy | Audyt wewnętrzny jest częścią SZBI zgodnego z normą; certyfikacja jest dobrowolna, chyba że wymaga jej umowa |
| Częstotliwość | Nie rzadziej niż raz w roku | Audyt wewnętrzny w zaplanowanych odstępach; audyty certyfikacyjne mają odrębny cykl |
| Zakres | SZBI i działania wymagane przez § 19 KRI w zakresie właściwym dla jednostki | Wymagania SZBI, ocenione ryzyka i zabezpieczenia wybrane oraz uzasadnione w deklaracji stosowania |
| Efekt | Raport dla kierownictwa i organów kontrolnych | Raport z audytu wewnętrznego; certyfikat dopiero po odrębnej ocenie jednostki certyfikującej |
| Kto przeprowadza | Audytor wewnętrzny lub podmiot zewnętrzny | Audyt wewnętrzny: obiektywny audytor; certyfikacyjny: niezależna jednostka certyfikująca |
Audyt KRI
Najczęściej zadawane pytania
Kto musi przeprowadzić audyt KRI?
Jak często należy wykonywać audyt KRI?
Co zawiera raport z audytu KRI?
Czym różni się audyt KRI od audytu ISO/IEC 27001?
Audyt KRI
Umów się na konsultację
Opisz krótko swoją sytuację — odpowiemy z propozycją zakresu i terminu. Konsultacja wstępna jest bezpłatna i do niczego nie zobowiązuje.