Wdrożenie SZBI w JST krok po kroku

Wdrożenie systemu zarządzania bezpieczeństwem informacji (SZBI) w JST oznacza ustalenie odpowiedzialności, ocenę ryzyka, przyjęcie zasad ochrony i sprawdzenie, czy są stosowane. Nie kończy się na dostarczeniu segregatora polityk. § 19 rozporządzenia KRI wymaga od podmiotów realizujących zadania publiczne ustanowienia, utrzymywania i doskonalenia SZBI. Norma ISO/IEC 27001:2022 może służyć jako dodatkowy punkt odniesienia; samo KRI nie nakazuje uzyskania certyfikatu ISO.

1. Ustal zakres i właścicieli

Zacznij od wskazania procesów i informacji, które ma objąć SZBI: obsługa mieszkańców, systemy dziedzinowe, poczta, kopie zapasowe, usługi dostawców i jednostki organizacyjne. Nie zakładaj automatycznie, że jedna dokumentacja urzędu opisuje wszystkie jednostki podległe. Ustal z kierownictwem zakres prac oraz osoby odpowiedzialne za systemy, ryzyko, dokumenty i decyzje.

Wynik etapu: zatwierdzony zakres, mapa kluczowych procesów i lista właścicieli. Dzięki temu analiza ryzyka dotyczy rzeczywistych usług, a nie przykładowego urzędu z szablonu.

2. Zbierz stan obecny i oceń ryzyko

Sprawdź aktualne zasoby, uprawnienia, umowy z dostawcami, incydenty, kopie zapasowe i wcześniejsze ustalenia audytowe. § 19 KRI wskazuje m.in. aktualną inwentaryzację sprzętu i oprogramowania oraz okresową analizę ryzyka dla poufności, integralności i dostępności informacji. W badaniu warto uwzględnić także zależność usług urzędu od systemów zewnętrznych.

Nie każde ryzyko wymaga zakupu nowego narzędzia. Wynikiem powinien być rejestr ryzyk z decyzjami kierownictwa: które ryzyka ograniczyć, kto odpowiada za działanie, do kiedy i jak zostanie sprawdzona jego skuteczność.

3. Opracuj zasady, których można przestrzegać

Polityka bezpieczeństwa, reguły nadawania uprawnień, obsługa incydentów, kopii zapasowych i zmian powinny odpowiadać temu, jak działają urząd oraz jego dostawcy. Przed zatwierdzeniem dokumentów sprawdź z pracownikami, czy procedury są wykonalne. Osobny poradnik o dokumentacji SZBI pokazuje, jakie dokumenty i zapisy warto powiązać z ryzykami oraz wymaganiami.

Wynik etapu: uzgodnione dokumenty, wskazani właściciele i dowody zatwierdzenia. Samo skopiowanie wzoru polityki nie potwierdza wdrożenia.

4. Uruchom zabezpieczenia i przeszkol zespół

Dobierz środki do oceny ryzyka: mogą to być przeglądy uprawnień, uwierzytelnianie wieloskładnikowe, testy odtwarzania kopii, rejestrowanie zdarzeń, ochrona urządzeń i uzgodnione wymagania dla dostawców. Nie każda JST potrzebuje identycznego zestawu IDS, DLP czy SIEM. Ważne jest, czy wybrane środki działają w systemach objętych zakresem SZBI.

Pracownicy powinni wiedzieć, jak rozpoznać incydent i komu go zgłosić; administratorzy i kierownictwo potrzebują instrukcji odpowiadających ich rolom. Zapisz, kto został przeszkolony i jakie procedury ćwiczono. Zakres szkoleń Idealdata można dopasować do ról w urzędzie.

5. Sprawdź działanie i zaplanuj utrzymanie

Po wdrożeniu zbierz dowody: wyniki testów kopii, przeglądów dostępu, obsługi incydentów, realizacji planu ryzyka i szkoleń. § 19 ust. 2 pkt 14 KRI wymaga okresowego audytu wewnętrznego bezpieczeństwa informacji nie rzadziej niż raz na rok. Raport z audytu powinien wskazać ustalenia, działania naprawcze i osoby odpowiedzialne. Audyt nie zastępuje bieżącego utrzymania SZBI.

Jeśli JST uczestniczyła w projekcie Cyberbezpieczny Samorząd, oddziel wymagania umowy grantowej i instrukcji operatora od corocznego obowiązku KRI. CPPC umożliwiło wydłużenie realizacji grantów do 30 września 2026 r.; zakres zamknięcia i utrzymania efektów trzeba sprawdzić w dokumentach konkretnej JST. Wsparcie dla uczestników programu obejmuje audyt, dokumentację i uporządkowanie dalszych działań.

Co JST powinna otrzymać po wdrożeniu?

• Uzgodniony zakres SZBI i podział odpowiedzialności.
• Aktualną inwentaryzację, ocenę ryzyka i plan postępowania z ryzykiem.
• Zatwierdzone zasady oraz zapisy potwierdzające ich stosowanie.
• Wyniki uruchomienia i testów wybranych zabezpieczeń.
• Plan szkoleń, audytów, przeglądów i działań korygujących.

Przed zakupem usługi ustal, które z tych wyników istnieją już w urzędzie, a które mają powstać. Zobacz zakres wdrożenia SZBI przez Idealdata albo skontaktuj się z nami, aby omówić zakres dla swojej JST. Przekrojowy opis ról i utrzymania znajdziesz też w artykule SZBI w samorządzie.