Audyt cyberbezpieczeństwa w JST: KRI, KSC i zakres prac

Urząd, jednostka organizacyjna i spółka komunalna mogą potrzebować różnych audytów. Nazwa „audyt cyberbezpieczeństwa” sama nie wskazuje podstawy prawnej ani tego, co zostanie sprawdzone. Przed zamówieniem prac warto ustalić podmiot, systemy, kryteria i oczekiwany raport. Pozwoli to uniknąć sytuacji, w której badanie konfiguracji sieci zostanie uznane za pełną ocenę systemu zarządzania bezpieczeństwem informacji.

Który audyt dotyczy JST?

To odrębne podstawy i cele. Samo położenie jednostki w samorządzie nie wystarcza, by przypisać jej status podmiotu kluczowego w KSC. Ministerstwo Cyfryzacji wskazuje, że kwalifikację trzeba przeprowadzić według działalności i kryteriów ustawowych. Jeżeli jednostka ma kilka obowiązków, jeden harmonogram prac może pomóc zebrać dowody, lecz raport powinien jasno wskazywać, które kryteria sprawdzono. Audyt projektu grantowego także wymaga odniesienia do jego własnych dokumentów.

Co powinno znaleźć się w zakresie?

Audyt rozpoczyna się od listy usług i systemów, właścicieli procesów oraz ostatnich zmian. W JST zwykle warto sprawdzić:

• zarządzanie ryzykiem i zasobami: inwentaryzację, klasyfikację informacji, aktualność oceny ryzyka i decyzje o postępowaniu z nim;
• tożsamość i dostęp: nadawanie i odbieranie uprawnień, konta uprzywilejowane, dostęp dostawców oraz ślady przeglądów;
• utrzymanie usług: aktualizacje, kopie zapasowe, testy odtworzenia, monitoring i sposób obsługi zmian;
• incydenty i ciągłość działania: kanały zgłoszeń, odpowiedzialność, ćwiczenia i wnioski z rzeczywistych zdarzeń;
• nadzór kierownictwa: polityki, wyniki poprzednich audytów, działania naprawcze oraz potwierdzenie ich zakończenia.

To lista do ustalenia zakresu, a nie automatyczna lista wymagań dla każdej organizacji. Test penetracyjny może być częścią badania technicznego, ale sam nie zastępuje audytu SZBI. Analogicznie komplet polityk nie dowodzi, że pracownicy stosują opisane zasady.

Jak przygotować dowody i odebrać raport?

Przed audytem wyznacz osobę koordynującą, zbierz aktualne wersje dokumentów i wskaż właścicieli systemów. Poproś o plan badania z kryteriami, metodą doboru próby oraz zasadą bezpiecznego dostępu do dowodów. Audytor powinien móc porównać deklarację z praktyką: na przykład procedurę kopii z wynikiem ostatniego testu odtworzenia albo zasadę usuwania kont z wybraną próbką zmian kadrowych.

Użyteczny raport rozróżnia ustalenie, dowód, ryzyko, zalecenie, osobę odpowiedzialną i termin. Kierownictwo powinno otrzymać krótką listę decyzji, a zespoły techniczne szczegóły potrzebne do poprawy. Po wykonaniu działań trzeba zachować dowód ich zamknięcia. Raport bez właścicieli i terminów łatwo staje się dokumentem, do którego nikt nie wraca.

Jeśli potrzebujesz corocznego badania wymaganego przez KRI, zobacz audyt KRI. Dla szerszej oceny procesów i zabezpieczeń opisana jest usługa audytu cyberbezpieczeństwa. Gdy przedmiotem oceny jest działający SZBI, właściwym punktem wyjścia może być audyt SZBI. Skontaktuj się z Idealdata, aby ustalić kryteria i zakres bez mieszania różnych obowiązków.