Wdrożenie Systemu Zarządzania Bezpieczeństwem Informacji w urzędzie może wydawać się dużym przedsięwzięciem. Trzeba uporządkować dokumentację, określić odpowiedzialność, przeanalizować zagrożenia i przygotować pracowników do nowych zasad. Od czego zacząć, aby nie pogubić się w obowiązkach? Pomocne może być podzielenie prac na kilka prostych etapów.
Dlaczego nie warto wdrażać wszystkiego jednocześnie?
Wyobraźmy sobie urząd, który postanawia w ciągu miesiąca przygotować całą dokumentację SZBI, przeprowadzić analizę ryzyka, zaktualizować systemy informatyczne i przeszkolić wszystkich pracowników.
Taki plan może wyglądać ambitnie, ale w praktyce łatwo doprowadzić do przeciążenia zespołu. Pracownicy mają przecież swoje codzienne obowiązki związane z obsługą mieszkańców i realizacją zadań publicznych.
Znacznie rozsądniejsze jest stopniowe wdrażanie zmian. Pozwala to ustalić, co wymaga pilnego działania, a co można przygotować w dalszej kolejności.
Pierwsze 90 dni warto potraktować jako okres organizowania podstaw SZBI. Nie oznacza to, że po trzech miesiącach każdy urząd osiągnie pełną zgodność ze wszystkimi wymaganiami. To raczej czas na uruchomienie najważniejszych procesów i przygotowanie dalszego planu.
Pierwsze dwa tygodnie – ustalenie odpowiedzialności
Na początku należy określić, kto będzie koordynował wdrożenie oraz jakie osoby powinny uczestniczyć w pracach.
W małym urzędzie może to być niewielki zespół składający się z przedstawiciela kierownictwa, koordynatora SZBI, informatyka i wybranych kierowników referatów. W razie potrzeby należy włączyć również inspektora ochrony danych oraz inne osoby posiadające wiedzę o ważnych procesach.
Trzeba także ustalić, jakich obszarów dotyczy wdrożenie i jakie obowiązki wynikają z aktualnych przepisów. Szczególnie ważne jest zweryfikowanie, czy i w jakim zakresie jednostka podlega wymaganiom ustawy o krajowym systemie cyberbezpieczeństwa.
Już na tym etapie warto sprawdzić istniejące dokumenty. Możliwe, że urząd posiada część wymaganych zasad i nie ma potrzeby tworzenia ich od początku.
Dni 16–30 – rozpoznanie obecnej sytuacji
Kolejnym etapem jest ustalenie, z jakich informacji, systemów i usług korzysta urząd oraz jakie zabezpieczenia już funkcjonują.
Warto porozmawiać z kierownikami referatów. Ich wiedza pozwala ustalić, które systemy są szczególnie ważne i jakie problemy mogą pojawić się podczas awarii.
Należy również przyjrzeć się współpracy z zewnętrznymi dostawcami. W wielu samorządach część oprogramowania i infrastruktury jest obsługiwana przez firmy zewnętrzne. Trzeba więc wiedzieć, za jakie działania odpowiada dostawca, a jakie obowiązki pozostają po stronie urzędu.
Efektem tego etapu powinien być obraz aktualnego stanu bezpieczeństwa i najważniejszych braków. Nie musi to być od razu obszerny raport. Ważniejsze jest zrozumienie, jakie problemy wymagają rozwiązania.
Dni 31–45 – rozpoznanie zagrożeń i ustalenie priorytetów
Kiedy urząd wie już, jakie zasoby i procesy posiada, może przejść do analizy ryzyka.
Na tym etapie należy zastanowić się, jakie sytuacje mogłyby zakłócić pracę urzędu. Czy istnieje ryzyko utraty ważnych danych? Co stanie się w przypadku niedostępności systemu finansowego? Czy osoby nieuprawnione mogą uzyskać dostęp do informacji?
Nie wszystkie problemy da się rozwiązać natychmiast. Dlatego należy ocenić ich znaczenie i wybrać te, którymi trzeba zająć się w pierwszej kolejności.
Jeżeli okaże się, że urząd nie posiada sprawdzonych kopii zapasowych kluczowych danych, zabezpieczenie tego obszaru może wymagać natychmiastowego działania, bez czekania na zakończenie całego projektu.
Dni 46–60 – przygotowanie pierwszych procedur
Po ustaleniu odpowiedzialności i najważniejszych zagrożeń przychodzi czas na przygotowanie dokumentacji.
W pierwszej kolejności warto uporządkować politykę bezpieczeństwa informacji oraz procedury dotyczące nadawania uprawnień, zgłaszania incydentów, wykonywania kopii zapasowych i postępowania podczas awarii.
Nie chodzi o tworzenie jak największej liczby dokumentów. Każda procedura powinna odpowiadać na rzeczywiste potrzeby jednostki i być możliwa do zastosowania.
Warto również ustalić, kto odpowiada za aktualizację poszczególnych dokumentów. Nawet dobrze opracowana procedura przestaje być przydatna, jeśli opisuje nieaktualne systemy albo osoby, które nie pracują już w urzędzie.
Dni 61–75 – przekazanie zasad pracownikom
Samo zatwierdzenie dokumentacji nie oznacza jeszcze, że SZBI działa. Pracownicy muszą dowiedzieć się, jakie zasady ich dotyczą i jak stosować je podczas codziennych obowiązków.
Warto zorganizować krótkie szkolenia oparte na sytuacjach, z którymi rzeczywiście mogą się spotkać. Mogą to być podejrzane wiadomości e-mail, przypadkowe wysłanie dokumentu do niewłaściwej osoby czy utrata służbowego urządzenia.
Szkolenie nie powinno polegać wyłącznie na przedstawieniu przepisów. Znacznie ważniejsze jest to, aby pracownik wiedział, jak rozpoznać problem i komu go zgłosić.
Na tym etapie należy również rozpocząć stosowanie procedur oraz wdrażanie zabezpieczeń wynikających z analizy ryzyka. Dzięki temu dokumentacja przestaje być teorią i zaczyna wpływać na codzienną pracę urzędu.
Dni 76–90 – sprawdzenie, co rzeczywiście działa
Ostatni etap początkowego harmonogramu powinien służyć weryfikacji efektów.
Można na przykład przeprowadzić próbę odtworzenia danych z kopii zapasowej, sprawdzić, czy uprawnienia pracowników są aktualne, albo zorganizować krótkie ćwiczenie dotyczące zgłaszania incydentu.
Takie działania pozwalają wykryć problemy, których nie widać podczas czytania procedur. Może się okazać, że pracownicy nie znają ustalonego sposobu zgłaszania zdarzeń albo że przywrócenie danych trwa dłużej, niż zakładano.
Wyniki weryfikacji powinny posłużyć do przygotowania dalszego planu. Niektóre zadania będą wymagały zmian organizacyjnych, inne dodatkowych szkoleń lub inwestycji technicznych.
Co dalej po pierwszych 90 dniach?
Wdrożenie SZBI nie kończy się w momencie przygotowania podstawowej dokumentacji. System wymaga regularnego monitorowania, przeglądów i doskonalenia.
Należy aktualizować analizę ryzyka, sprawdzać skuteczność zabezpieczeń, organizować szkolenia i przeprowadzać wymagane audyty. Wymagania KRI przewidują audyt wewnętrzny bezpieczeństwa informacji co najmniej raz w roku. Odrębne obowiązki audytowe mogą wynikać z ustawy o KSC.
Ważne jest także reagowanie na zmiany. Uruchomienie nowego systemu, reorganizacja referatu czy zmiana dostawcy usług mogą wpływać na bezpieczeństwo informacji i wymagać dostosowania procedur.
Najważniejsze jest, aby SZBI nie stał się jednorazowym projektem przygotowanym na potrzeby kontroli. Powinien być częścią codziennego zarządzania urzędem.
Dobrze zorganizowany system nie musi być skomplikowany. Musi natomiast odpowiadać na rzeczywiste zagrożenia, jasno określać odpowiedzialność i pomagać pracownikom działać właściwie.
To właśnie takie podejście pozwala budować bezpieczeństwo informacji stopniowo, bez niepotrzebnego chaosu i nadmiernego obciążania zespołu.
Źródła
Krajowe Ramy Interoperacyjności — rozporządzenie z 21 maja 2024 r.