Dokumentacja SZBI w Cyberbezpiecznym Samorządzie: jak dopasować ją do JST?

W projekcie Cyberbezpieczny Samorząd można było sfinansować prace nad systemem zarządzania bezpieczeństwem informacji (SZBI). Po zakończeniu zakupów urząd zostaje jednak z pytaniem: czy przyjęte polityki i procedury opisują rzeczywiste systemy, osoby i sposób pracy? § 19 KRI wymaga od podmiotów realizujących zadania publiczne nie tylko ustanowienia SZBI, lecz także jego monitorowania, przeglądu, utrzymania i doskonalenia. Sam komplet podpisanych wzorów nie wykonuje tych działań.

Od czego zacząć dopasowanie dokumentacji?

Najpierw ustal zakres: urząd, jednostki objęte systemem, usługi publiczne, informacje, systemy i dostawców. Sprawdź własny wniosek, umowę grantową oraz aneksy; zakres projektu nie musi pokrywać całej działalności samorządu. Następnie zbierz obowiązujące już zarządzenia, rejestry i instrukcje. Dokument, który odpowiada praktyce, można zachować. Dokument opisujący wycofany system lub nieistniejącą rolę wymaga zmiany.

Przeprowadź rozmowy z właścicielami procesów, IT, kadrami i osobami odpowiedzialnymi za jednostki objęte SZBI. Porównaj opisane zasady z dowodami: nadanymi uprawnieniami, wynikami testów kopii zapasowych, zgłoszeniami incydentów i aktualną analizą ryzyka. To pokaże, które zapisy trzeba zmienić, zamiast tworzyć drugi zestaw podobnych polityk.

To przykłady sposobu sprawdzenia, a nie zamknięta lista dokumentów wymagana od każdej JST. Ogólną listę polityk, zapisów i dowodów opisaliśmy osobno w poradniku o dokumentacji SZBI.

Dlaczego gotowy wzór bywa niewystarczający?

Procedura może nakazywać codzienną kopię wszystkich systemów, choć urząd nie ma wykazu tych systemów ani osoby odpowiedzialnej za test odtworzenia. W takim przypadku podpisanie procedury nie naprawia luki. Trzeba ustalić rzeczywisty zakres, częstotliwość, odpowiedzialność i sposób dokumentowania wyników. Podobnie polityka uprawnień nie wystarcza, jeśli konta byłych pracowników pozostają aktywne.

NIK stwierdziła w ponad połowie skontrolowanych urzędów brak wdrożonego SZBI mimo udziału w projekcie. Wynik dotyczy badanej grupy, nie wszystkich samorządów. Pokazuje, dlaczego warto sprawdzać stosowanie zasad, a nie liczbę przygotowanych plików.

Co sprawdzić po zakończeniu grantu?

CPPC umożliwiło wydłużenie realizacji grantów do 30 września 2026 r.. Ta data już minęła. Sprawdź własną umowę, aneksy i aktualne instrukcje operatora, zanim wyciągniesz wniosek o terminie rozliczenia konkretnego projektu. Dokumentacja SZBI powinna pozostać w codziennym użyciu także po zamknięciu rozliczenia.

Ustal właściciela każdego ważnego dokumentu i zdarzenia, które uruchamia przegląd: nowy system, zmiana dostawcy, incydent, wynik audytu lub zmiana organizacyjna. Zaplanuj aktualizację inwentaryzacji i analizy ryzyka oraz wykonanie zaleceń z raportu. KRI przewiduje audyt wewnętrzny bezpieczeństwa informacji nie rzadziej niż raz w roku; jednorazowe rozliczenie grantu nie zastępuje tego obowiązku. Aktualne FAQ CPPC rozróżnia końcową ankietę dojrzałości od podpisanego raportu z audytu.

Jeżeli dokumenty nie odzwierciedlają pracy urzędu, wdrożenie lub aktualizacja SZBI może uporządkować zakres, ryzyka i odpowiedzialność. Audyt SZBI pozwoli sprawdzić, czy przyjęte zasady działają. Skontaktuj się z Idealdata, by omówić zakres dla Twojej jednostki. Szerszy kontekst projektu wyjaśnia poradnik o SZBI w Cyberbezpiecznym Samorządzie.