Bezpieczeństwo informacji w urzędzie kojarzy się często z informatyką, hasłami do komputerów i programami antywirusowymi. Tymczasem jest to znacznie szersze zagadnienie. Dotyczy każdego pracownika, który korzysta z dokumentów, obsługuje mieszkańców lub ma dostęp do danych. Właśnie dlatego w urzędach wdraża się System Zarządzania Bezpieczeństwem Informacji, czyli SZBI.
Co się stanie, jeśli urząd straci dostęp do swoich danych?
Wyobraźmy sobie zwyczajny poniedziałek w urzędzie gminy. Mieszkańcy przychodzą załatwić swoje sprawy, pracownicy odbierają korespondencję, a referat finansowy przygotowuje dokumenty i przelewy. Wszystko przebiega normalnie do momentu, kiedy jeden z systemów informatycznych przestaje działać.
Pracownicy nie mogą sprawdzić potrzebnych informacji, pojawiają się problemy z obsługą mieszkańców, a informatyk próbuje ustalić przyczynę awarii. Szybko pojawiają się kolejne pytania. Kto powinien podjąć decyzję o dalszym sposobie pracy? Czy istnieje możliwość przywrócenia danych? Czy trzeba poinformować mieszkańców o utrudnieniach?
Takie sytuacje dobrze pokazują, dlaczego bezpieczeństwo informacji nie jest wyłącznie problemem informatycznym. Awaria jednego systemu może wpłynąć na pracę wielu osób i utrudnić realizację zadań publicznych.
Dobrze zorganizowany urząd powinien być przygotowany na podobne zdarzenia. Nie da się całkowicie wyeliminować awarii, pomyłek czy cyberataków, ale można ograniczyć ich skutki. Właśnie temu służy SZBI.
Czym właściwie jest SZBI?
Skrót SZBI oznacza System Zarządzania Bezpieczeństwem Informacji. Choć nazwa brzmi technicznie, sama idea jest stosunkowo prosta.
SZBI to zbiór zasad określających, jak urząd powinien chronić informacje, kto odpowiada za ich bezpieczeństwo i co należy zrobić, kiedy pojawi się problem.
Nie jest to jeden program komputerowy ani dokument przygotowany wyłącznie na potrzeby kontroli. To sposób organizowania pracy, który pomaga zapobiegać błędom i odpowiednio reagować na zagrożenia.
Przykładowo SZBI powinien określać, kto może uzyskać dostęp do dokumentacji podatkowej, jak zabezpiecza się komputery, w jaki sposób zgłasza się zagubienie służbowego laptopa oraz kto podejmuje decyzję o przywróceniu działania systemu po awarii.
Jakie informacje wymagają ochrony?
W urzędzie codziennie przetwarza się wiele różnych informacji. Część z nich dotyczy mieszkańców, inne odnoszą się do finansów, pracowników, nieruchomości lub funkcjonowania jednostki.
Nie wszystkie informacje są równie wrażliwe, ale każda powinna być chroniona stosownie do swojego znaczenia i możliwych konsekwencji utraty, zmiany lub ujawnienia.
Dobrze obrazuje to przykład dokumentacji podatkowej. Nie powinna ona trafiać do osób nieuprawnionych. Jednocześnie musi pozostawać dostępna dla pracowników, którzy wykonują swoje obowiązki. Należy też zadbać, aby zawarte w niej informacje nie zostały przypadkowo zmienione lub usunięte.
W języku bezpieczeństwa mówi się o trzech podstawowych cechach informacji: poufności, integralności i dostępności. W praktyce oznaczają one, że informacje trafiają tylko do właściwych osób, są prawidłowe i można z nich korzystać wtedy, gdy są potrzebne.
Czy wdrożenie SZBI jest obowiązkowe?
Tak. Podstawowe obowiązki dotyczące zarządzania bezpieczeństwem informacji w podmiotach realizujących zadania publiczne wynikają między innymi z Krajowych Ram Interoperacyjności, nazywanych w skrócie KRI.
Rozporządzenie w sprawie KRI wymaga, aby podmioty publiczne opracowały, wdrożyły, utrzymywały i doskonaliły system zarządzania bezpieczeństwem informacji. Oznacza to, że nie wystarczy jednorazowo przygotować dokumentację. Należy również sprawdzać, czy przyjęte zasady są stosowane.
Ważne zmiany przyniosła również nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, która weszła w życie 3 kwietnia 2026 roku i wdraża dyrektywę NIS2. Wprowadza ona dodatkowe wymagania dla podmiotów uznanych za kluczowe lub ważne. Dlatego każda jednostka powinna ustalić, jakie konkretnie obowiązki jej dotyczą.
Nie oznacza to jednak, że każdy urząd musi uzyskać certyfikat ISO 27001. Norma ta może być przydatnym punktem odniesienia, ale samo posiadanie certyfikatu i realizacja obowiązków prawnych to dwie różne kwestie.
Dlaczego warto potraktować SZBI jako coś więcej niż formalność?
Największą korzyścią z wdrożenia SZBI jest uporządkowanie zasad, które często funkcjonują w urzędzie jedynie zwyczajowo.
W jednym referacie pracownicy mogą zgłaszać problemy bezpośrednio informatykowi. W innym najpierw informują kierownika. Jeszcze gdzie indziej nie ma ustalonego sposobu postępowania. Dopóki wszystko działa, różnice te mogą wydawać się nieistotne. Kiedy jednak pojawia się poważny problem, brak wspólnych zasad utrudnia szybką reakcję.
SZBI pomaga takie sytuacje uporządkować. Określa odpowiedzialność, sposób zgłaszania problemów i podstawowe zasady ochrony danych. Ułatwia również planowanie wydatków na bezpieczeństwo, ponieważ pozwala ustalić, które zagrożenia są naprawdę istotne.
Dobrze wdrożony system nie powinien utrudniać pracy urzędu. Przeciwnie, jego zadaniem jest zapewnienie, aby nawet w trudnych sytuacjach urząd mógł realizować swoje obowiązki.
Od czego zacząć?
Pierwszym krokiem nie powinien być zakup kolejnego programu ani zamówienie obszernego zestawu dokumentów. Na początku warto ustalić, jakie informacje i systemy są najważniejsze oraz kto odpowiada za ich ochronę.
Równie istotne jest zaangażowanie kierownictwa. Bezpieczeństwo informacji wymaga bowiem podejmowania decyzji organizacyjnych, zapewnienia odpowiednich środków i współpracy poszczególnych komórek.
Wdrożenie SZBI najlepiej traktować jako stopniowe porządkowanie pracy urzędu. Najpierw ustala się odpowiedzialność, później rozpoznaje zagrożenia i przygotowuje potrzebne zasady. Następnie sprawdza się, czy rzeczywiście działają.
W kolejnej części cyklu wyjaśnimy, kto powinien odpowiadać za SZBI w urzędzie i dlaczego bezpieczeństwo informacji nie może być zadaniem wyłącznie informatyka.
Źródła
Krajowe Ramy Interoperacyjności — rozporządzenie z 21 maja 2024 r.