Testy penetracyjne w projekcie Cyberbezpieczny Samorząd: kiedy mają sens?

Test penetracyjny nie był obowiązkowym elementem każdego projektu „Cyberbezpieczny Samorząd”. Regulamin konkursu grantowego CPPC dopuszczał zakup testów i badań bezpieczeństwa w obszarze technicznym. Osobno wymagał audytu wdrożonego systemu zarządzania bezpieczeństwem informacji (SZBI) na zakończenie projektu. O tym, czy dana JST miała wykonać pentest, decydowały jej potrzeby, zatwierdzony zakres projektu i umowa grantowa.

Czym różni się pentest od audytu SZBI?

Test penetracyjny bada uzgodnione aplikacje, usługi lub segmenty sieci, aby sprawdzić możliwość wykorzystania określonych słabości. Wymaga wyraźnego upoważnienia, granic testu i zasad postępowania w razie ryzyka zakłócenia usług.

Audyt SZBI ocenia system zarządzania: odpowiedzialność, analizę ryzyka, dokumentację, stosowane zabezpieczenia i dowody ich działania. Może wykorzystywać wyniki testów technicznych, ale sam pentest nie zastępuje raportu z audytu wymaganego przez regulamin projektu. Coroczny audyt wewnętrzny bezpieczeństwa informacji wynikający z § 19 KRI jest jeszcze odrębnym obowiązkiem podmiotu realizującego zadania publiczne.

Jak zaplanować testy w urzędzie?

1. Ustal cel i aktywa. Wskaż systemy i procesy, których ryzyko chcesz sprawdzić, oraz właścicieli tych systemów.
2. Uzgodnij zakres i zasady. Zapisz adresy i środowiska objęte badaniem, termin, osoby kontaktowe, wyłączenia oraz sposób bezpiecznego przerwania testu.
3. Zadbaj o wynik przydatny zespołowi. Raport powinien opisać sprawdzony zakres, potwierdzone ustalenia, znaczenie dla usług urzędu i kolejność działań naprawczych.
4. Sprawdź poprawki. Po usunięciu usterek warto zweryfikować, czy ryzyko rzeczywiście zostało ograniczone, i zachować dowody tej weryfikacji.

Zakres testów trzeba dobrać do środowiska. Skan podatności, przegląd konfiguracji i pentest dają różne rodzaje dowodów. Żaden pojedynczy test nie potwierdza, że wszystkie systemy urzędu są bezpieczne.

Co z terminem projektu?

CPPC umożliwiło wydłużenie realizacji grantów do 30 września 2026 r.. Po tej dacie należy opierać się na własnej umowie, aneksach i dokumentach rozliczeniowych, zamiast na dawnych terminach naboru. Wyniki wykonanych testów mogą nadal służyć do planowania napraw i kolejnych przeglądów.

Jeśli chcesz ustalić właściwy zakres badania, zobacz audyt cyberbezpieczeństwa Idealdata oraz wsparcie dla JST w obszarze SZBI. Przed testem technicznym uzgadniamy jego granice i upoważnienie.