Jak audyt cyberbezpieczeństwa pomaga samorządom?

Audyt pomaga urzędowi ustalić, które zabezpieczenia działają, a które istnieją tylko w dokumentacji. Jego wartość zależy od zakresu, jakości dowodów i tego, czy kierownictwo wdroży zalecenia. Sam raport nie zapobiega incydentowi; jest podstawą do podjęcia decyzji o zmianach.

Jakie pytania powinien rozstrzygnąć audyt?

• Czy konta osób, które zmieniły rolę lub zakończyły pracę, zostały odebrane w odpowiednim czasie?
• Czy kopie zapasowe pozwalają odtworzyć potrzebne systemy i czy przeprowadzono test odtworzenia?
• Czy urząd zna swoje najważniejsze systemy i zależności od dostawców?
• Czy zgłoszenie incydentu ma właściciela, jasną ścieżkę i dowody wykonanych działań?
• Czy pracownicy znają zasady ochrony informacji odpowiednie do swoich zadań?

Odpowiedzi wymagają przeglądu dokumentów, rozmów i sprawdzenia wybranych dowodów technicznych. Zakres techniczny należy uzgodnić przed rozpoczęciem prac. Audyt organizacyjny nie jest automatycznie testem penetracyjnym całej infrastruktury.

Od ustalenia do planu naprawczego

Dobry raport opisuje kryterium oceny, stan faktyczny, dowód, ryzyko i zalecenie. Kierownictwo może następnie wyznaczyć osobę odpowiedzialną, termin oraz sposób sprawdzenia skuteczności poprawki. Najpierw warto zająć się lukami, które mogą przerwać usługi dla mieszkańców lub narazić wrażliwe informacje; kolejność powinna wynikać z analizy ryzyka danej JST.

Przykładowo brak potwierdzonego odtworzenia kopii zapasowej prowadzi do konkretnego zadania: wykonać test, zapisać wynik i poprawić procedurę, jeśli odzyskanie systemu trwa zbyt długo. Taki zapis jest użyteczniejszy niż ogólna ocena „backup do poprawy”.

Który audyt wybrać?

Rozporządzenie KRI wymaga od podmiotów realizujących zadania publiczne audytu wewnętrznego bezpieczeństwa informacji nie rzadziej niż raz w roku. Jeśli celem jest ocena tego obowiązku, zobacz zakres audytu KRI. Gdy potrzebna jest szersza ocena zabezpieczeń i ryzyk w uzgodnionych systemach, punktem wyjścia może być audyt cyberbezpieczeństwa. Zakres audytu SZBI lub projektu „Cyberbezpieczny Samorząd” trzeba określić odrębnie.