Audyt SZBI w projekcie Cyberbezpieczny Samorząd – co sprawdzić?

Audyt w projekcie „Cyberbezpieczny Samorząd” powinien pokazać, czy urząd rzeczywiście poprawił zarządzanie bezpieczeństwem informacji i działanie zabezpieczeń. Samo zebranie dokumentów lub zakup sprzętu nie odpowiada na to pytanie. CPPC wymienia audyty SZBI jako jeden z rezultatów programu, obok aktualizacji polityk, zarządzania ryzykiem i szkoleń.

Od czego zacząć audyt?

Najpierw trzeba ustalić zakres projektu i kryteria oceny z umowy grantowej, aneksów oraz aktualnych dokumentów operatora. Następnie warto porównać ankietę i plan działań z tym, co faktycznie wdrożono. Audytor powinien mieć dostęp nie tylko do polityk, lecz także do osób odpowiedzialnych za procesy oraz dowodów działania zabezpieczeń.

Przykładowe dowody to aktualna analiza ryzyka, rejestr aktywów, przeglądy uprawnień, wyniki testów odtworzenia kopii zapasowych, zapisy szkoleń i obsługi incydentów. Ich zestaw zależy od zakresu projektu i systemów używanych przez JST. Wykryte braki powinny trafić do raportu z oceną znaczenia oraz planem działań naprawczych.

Audyt projektu a coroczny audyt KRI

To dwa różne punkty odniesienia. Rozporządzenie KRI wymaga od podmiotów realizujących zadania publiczne audytu wewnętrznego bezpieczeństwa informacji nie rzadziej niż raz w roku. Audyt projektu bada także wykonanie określonych działań grantowych. Prace można praktycznie skoordynować, ale zakres raportu musi jasno wskazywać, które kryteria zostały zbadane. Audyt SZBI nie jest automatycznie certyfikacją ISO/IEC 27001 ani potwierdzeniem zgodności z ustawą o KSC.

Co zrobić z raportem?

Raport powinien trafić do kierownictwa wraz z listą ustaleń, właścicieli działań i terminów. Warto zachować dowody usunięcia najważniejszych luk i zaplanować ponowny przegląd. Dokumenty finansowe i rozliczeniowe projektu są osobną częścią obowiązków grantobiorcy; sam wynik audytu ich nie zastępuje.

Nabór do „Cyberbezpiecznego Samorządu” zakończył się w 2023 r. CPPC umożliwiło wydłużenie realizacji grantów do 30 września 2026 r., zgodnie z aktualizacją dokumentacji i aneksami. Dla uczestniczących JST opisujemy wsparcie przy audycie SZBI i dokumentacji projektu. Zakres corocznego przeglądu przedstawiamy osobno na stronie audytu KRI.