SZBI w projekcie Cyberbezpieczny Samorząd: co trzeba wdrożyć i sprawdzić?

System zarządzania bezpieczeństwem informacji (SZBI) ma pomóc urzędowi utrzymać kontrolę nad informacjami i usługami. W projekcie Cyberbezpieczny Samorząd finansowano między innymi opracowanie lub aktualizację dokumentacji SZBI, analizę ryzyka oraz audyt wdrożonego systemu. Regulamin konkursu grantowego CPPC rozdziela te działania od zakupów technicznych i szkoleń.

Co składa się na działający SZBI w JST?

Punktem wyjścia są procesy i informacje, za które odpowiada urząd, oraz systemy wykorzystywane do realizacji zadań. Następnie trzeba ustalić ryzyka, właścicieli działań i sposób sprawdzania, czy zabezpieczenia działają. Przydatne dowody to na przykład:

• aktualna inwentaryzacja sprzętu, oprogramowania i usług;
• ocena ryzyka oraz decyzje o jego ograniczeniu lub akceptacji;
• zasady dostępu, kopii zapasowych, obsługi incydentów i współpracy z dostawcami;
• zapisy przeglądów uprawnień, testów odtwarzania, szkoleń i działań korygujących.

§ 19 obowiązującego rozporządzenia KRI wymaga od podmiotów realizujących zadania publiczne opracowania, wdrożenia, utrzymywania i doskonalenia SZBI. Dokumenty powinny opisywać faktyczny sposób działania, a przeglądy prowadzić do decyzji o zmianach.

Jaki audyt jest wymagany na zakończenie projektu?

Regulamin CPPC wymaga audytu wdrożonego SZBI i przekazania raportu przy rozliczeniu grantu. Przewiduje audytora wewnętrznego albo zewnętrznego spełniającego wskazane warunki kwalifikacyjne. Nie ustanawia powszechnego wymogu zewnętrznej certyfikacji ISO/IEC 27001. Zakres audytu projektu, wymagane dokumenty i termin rozliczenia należy odczytać łącznie z umową oraz aktualnymi instrukcjami operatora.

Osobno KRI wymaga okresowego audytu wewnętrznego bezpieczeństwa informacji co najmniej raz w roku. Raport końcowy projektu i coroczny obowiązek KRI mają różne cele; sposób ich połączenia zależy od zakresu i daty konkretnego badania.

Co po zamknięciu grantu?

Aktualizacja CPPC dopuściła wydłużenie realizacji grantów do 30 września 2026 r.. Ten termin już minął. JST powinna sprawdzić własną umowę, aneksy, rozliczenie i zasady utrzymania efektów. Samo przyjęcie raportu nie zastępuje późniejszych przeglądów ryzyka, dokumentacji, uprawnień i zabezpieczeń.

Idealdata może pomóc w uporządkowaniu i utrzymaniu SZBI, audycie SZBI oraz pracach związanych z projektem Cyberbezpieczny Samorząd. Zakres ustalamy na podstawie dokumentów i stanu konkretnej jednostki.