W poprzednich wpisach z serii „KSC po nowelizacji w praktyce” uporządkowaliśmy dwa pierwsze kroki: ustalenie, czy organizacja spełnia przesłanki uznania za podmiot kluczowy albo podmiot ważny, oraz kwestie związane z Wykazem KSC i Systemem S46.
To jednak dopiero początek.
Po ustaleniu statusu i wpisie do wykazu pojawia się najważniejsze pytanie praktyczne: co właściwie trzeba wdrożyć?
Odpowiedź znajduje się przede wszystkim w art. 8 ustawy o krajowym systemie cyberbezpieczeństwa oraz w FAQ Ministerstwa Cyfryzacji. I choć zakres obowiązków jest szeroki, można go sprowadzić do jednego głównego założenia: podmiot kluczowy lub podmiot ważny ma wdrożyć system zarządzania bezpieczeństwem informacji w systemie informacyjnym wykorzystywanym w procesach wpływających na świadczenie usługi.
To ważne sformułowanie, bo ustawa nie mówi wyłącznie o pojedynczych zabezpieczeniach, dokumentach czy narzędziach. Mówi o systemie zarządzania bezpieczeństwem informacji, czyli uporządkowanym sposobie identyfikowania ryzyk, wdrażania środków bezpieczeństwa, monitorowania systemów, reagowania na zagrożenia i utrzymywania zdolności do świadczenia usług.
SZBI jako główny obowiązek
Podstawowym obowiązkiem podmiotu kluczowego lub ważnego jest wdrożenie systemu zarządzania bezpieczeństwem informacji, czyli SZBI.
Zgodnie z ustawą SZBI ma być wdrożony w systemie informacyjnym wykorzystywanym w procesach wpływających na świadczenie usługi przez dany podmiot. Nie chodzi więc o dowolny system w organizacji, ale o te systemy informacyjne, które mają znaczenie dla świadczenia usługi albo realizacji zadania publicznego.
FAQ Ministerstwa Cyfryzacji wyjaśnia, że przy identyfikacji systemów informacyjnych należy przeanalizować procesy świadczenia usług lub realizacji zadań publicznych i wskazać te systemy, które są wykorzystywane w procesach mających wpływ na świadczenie tych usług.
Co istotne, FAQ wskazuje również, że jeżeli u podmiotu występuje kilka albo większa liczba systemów informacyjnych, SZBI może zostać wdrożone na poziomie całego podmiotu, a poszczególne odwołania do systemów informacyjnych, z uwagi na ich specyfikę, mogą stanowić elementy tego SZBI.
To praktyczne wyjaśnienie, bo wiele organizacji zastanawia się, czy dla każdego systemu trzeba tworzyć odrębny system zarządzania. Z FAQ wynika, że ustawa nie wprowadza takiego wymogu. Istotne jest jednak, aby systemy wykorzystywane w procesach wpływających na świadczenie usług zostały zidentyfikowane i uwzględnione w SZBI.
Od analizy ryzyka zaczyna się reszta
Jednym z pierwszych elementów SZBI jest systematyczne szacowanie ryzyka wystąpienia incydentu oraz zarządzanie tym ryzykiem.
Ustawa wskazuje wprost, że podmiot kluczowy lub ważny ma zapewnić prowadzenie systematycznego szacowania ryzyka i zarządzania tym ryzykiem. FAQ Ministerstwa Cyfryzacji doprecyzowuje, że chodzi o regularne identyfikowanie, analizowanie i ocenianie ryzyka, a następnie podejmowanie decyzji dotyczących sposobu postępowania z tym ryzykiem.
To oznacza, że obowiązki z KSC nie powinny zaczynać się od przypadkowego dobierania zabezpieczeń. Najpierw trzeba zrozumieć, jakie usługi świadczy podmiot, jakie systemy informacyjne są z tym związane, jakie ryzyka dotyczą tych systemów i jakie skutki może mieć incydent.
Dopiero na tej podstawie można mówić o odpowiednich środkach technicznych i organizacyjnych.
Środki mają być odpowiednie i proporcjonalne
Ustawa wymaga wdrożenia odpowiednich i proporcjonalnych do oszacowanego ryzyka środków technicznych i organizacyjnych.
To jedno z najważniejszych pojęć w całym tym obszarze. Obowiązki nie są opisane jako jeden identyczny pakiet zabezpieczeń dla każdego podmiotu. Ustawa nakazuje uwzględniać m.in. najnowszy stan wiedzy, koszty wdrożenia, wielkość podmiotu, prawdopodobieństwo wystąpienia incydentów, narażenie podmiotu na ryzyka oraz skutki społeczne i gospodarcze.
FAQ Ministerstwa Cyfryzacji wyjaśnia to w bardzo praktyczny sposób. Każda usługa świadczona przez podmiot kluczowy lub ważny ma swoją specyfikę, dlatego środki techniczne i organizacyjne powinny być dopasowane do wielkości podmiotu, charakteru świadczonych usług, możliwości finansowych, aktualnej wiedzy technicznej i cyberzagrożeń. Jednocześnie te środki powinny pozostawać ze sobą we właściwej proporcji.
To oznacza, że dostosowanie do KSC nie polega na mechanicznym wdrożeniu wszystkiego „najwięcej jak się da”. Chodzi o dobranie takich środków, które odpowiadają realnemu ryzyku, charakterowi podmiotu i znaczeniu świadczonych usług.
Polityki, procedury i bezpieczeństwo systemu informacyjnego
Ustawa wskazuje, że środki techniczne i organizacyjne powinny obejmować m.in. polityki szacowania ryzyka oraz bezpieczeństwa systemu informacyjnego, w tym polityki tematyczne.
To oznacza, że SZBI powinien mieć swoją warstwę organizacyjną i dokumentacyjną. Nie wystarczy, że zabezpieczenia „jakoś działają” w praktyce. Podmiot powinien posiadać opisane zasady postępowania, odpowiedzialności i mechanizmy zarządzania bezpieczeństwem.
Jednocześnie ten temat będziemy szerzej omawiać w kolejnym wpisie poświęconym dokumentacji SZBI, bo ustawa i FAQ osobno odnoszą się do tego, co powinna zawierać dokumentacja oraz czy trzeba tworzyć nową, odrębną dokumentację systemu zarządzania bezpieczeństwem informacji.
Na tym etapie najważniejsze jest jedno: SZBI nie jest tylko narzędziem technicznym. To także zestaw zasad, polityk, procedur i odpowiedzialności, które mają porządkować bezpieczeństwo systemów informacyjnych.
Bezpieczeństwo nabywania, rozwoju, utrzymania i eksploatacji systemu
Ustawa wskazuje również na bezpieczeństwo w procesie nabywania, rozwoju, utrzymania i eksploatacji systemu informacyjnego, w tym testowanie systemu informacyjnego.
To oznacza, że obowiązki podmiotu nie ograniczają się do systemów już działających. Bezpieczeństwo powinno być uwzględnione także przy zakupie, rozwoju, utrzymaniu i eksploatacji systemów.
W praktyce chodzi o to, aby system informacyjny wykorzystywany do świadczenia usługi był objęty bezpieczeństwem w całym swoim cyklu życia. Ustawa wymienia w tym zakresie także testowanie systemu informacyjnego, co wskazuje, że podmiot powinien nie tylko wdrażać zabezpieczenia, ale również sprawdzać ich działanie.
Bezpieczeństwo fizyczne, środowiskowe i zasoby ludzkie
Wśród wymaganych środków ustawa wymienia także bezpieczeństwo fizyczne i środowiskowe uwzględniające kontrole dostępu oraz bezpieczeństwo zasobów ludzkich.
To ważne, bo KSC nie ogranicza cyberbezpieczeństwa wyłącznie do systemów informatycznych. System informacyjny działa w określonym środowisku fizycznym, jest obsługiwany przez ludzi, zależy od pomieszczeń, urządzeń, dostępu, procedur i odpowiedzialności pracowników.
W tym miejscu widać, że obowiązki z KSC mają charakter organizacyjny, a nie tylko techniczny. Trzeba uwzględnić nie tylko narzędzia IT, ale również ludzi, lokalizacje, dostęp fizyczny, role i odpowiedzialności.
Łańcuch dostaw też jest częścią obowiązków
Ustawa wymaga uwzględnienia bezpieczeństwa i ciągłości łańcucha dostaw produktów ICT, usług ICT i procesów ICT, od których zależy świadczenie usługi. Chodzi również o relacje pomiędzy bezpośrednim dostawcą sprzętu lub oprogramowania a podmiotem kluczowym lub ważnym.
FAQ Ministerstwa Cyfryzacji wskazuje, że w tym obszarze należy wdrożyć adekwatne i proporcjonalne środki techniczne i organizacyjne mające zapewnić bezpieczeństwo i ciągłość łańcucha dostaw. Należy uwzględniać m.in. podatności związane z dostawcą sprzętu lub oprogramowania oraz ogólną jakość produktów ICT, usług ICT i procesów ICT pochodzących od dostawcy.
To oznacza, że podmiot nie może patrzeć wyłącznie na własne systemy w oderwaniu od dostawców. Jeżeli świadczenie usługi zależy od produktu ICT, usługi ICT albo procesu ICT pochodzącego od dostawcy, ten obszar również powinien zostać objęty zarządzaniem bezpieczeństwem.
Ciągłość działania, plany awaryjne i odtworzeniowe
Ustawa wskazuje również na obowiązek wdrażania, dokumentowania, testowania i utrzymywania planów ciągłości działania, planów awaryjnych oraz planów odtworzenia działalności.
Celem tych planów jest umożliwienie ciągłego i niezakłóconego świadczenia usługi oraz zapewnienie poufności, integralności, dostępności i autentyczności informacji. Plany odtworzeniowe mają natomiast umożliwiać odtworzenie systemu informacyjnego po zdarzeniu, które spowodowało straty przekraczające zdolności podmiotu do odbudowy własnymi środkami.
FAQ Ministerstwa Cyfryzacji wskazuje, że należy mieć przygotowane i wdrożone procedury uruchomienia planów ciągłości działania. W kontekście reakcji na podatności lub cyberzagrożenia FAQ wskazuje także możliwość czasowego ograniczenia ruchu przychodzącego do infrastruktury podmiotu, z uwzględnieniem konieczności minimalizowania skutków ograniczenia dostępności usług.
To pokazuje, że ciągłość działania nie jest odrębnym, pobocznym dokumentem. Jest jednym z elementów SZBI i ma bezpośredni związek z możliwością utrzymania usługi mimo incydentu, podatności lub cyberzagrożenia.
Monitorowanie w trybie ciągłym
Jednym z obowiązków wskazanych w ustawie jest objęcie systemu informacyjnego wykorzystywanego do świadczenia usługi systemem monitorowania w trybie ciągłym.
FAQ Ministerstwa Cyfryzacji wyjaśnia, że należy to rozumieć jako monitorowanie wszelkich zdarzeń, które zaistniały w systemie informacyjnym. Celem jest nie tylko zapewnienie rozliczalności, ale również umożliwienie odtworzenia tego, co stało się w systemie informacyjnym w danym momencie.
To bardzo istotne wyjaśnienie. Monitoring nie jest wyłącznie „podglądem działania systemu”. Ma umożliwiać wykrywanie zdarzeń, analizę sytuacji i odtworzenie przebiegu tego, co miało miejsce.
Ocena skuteczności środków
Ustawa wymienia również polityki i procedury oceny skuteczności środków technicznych i organizacyjnych.
To oznacza, że podmiot nie powinien poprzestać na samym wdrożeniu zabezpieczeń. Powinien również posiadać mechanizmy pozwalające ocenić, czy wdrożone środki rzeczywiście działają i czy nadal odpowiadają ryzyku.
Ten element dobrze pokazuje, że KSC wymaga podejścia ciągłego. Nie chodzi o jednorazowe wdrożenie, ale o utrzymywanie, monitorowanie i ocenę skuteczności przyjętych rozwiązań.
Edukacja, cyberhigiena i szkolenia
Ustawa wskazuje jako element SZBI edukację z zakresu cyberbezpieczeństwa dla personelu podmiotu oraz podstawowe zasady cyberhigieny.
FAQ Ministerstwa Cyfryzacji odpowiada wprost, że podmiot musi edukować swój personel w obszarze cyberbezpieczeństwa. Edukacja powinna odbywać się na bieżąco i uwzględniać obowiązki personelu w ramach SZBI, istniejące procedury, cyberzagrożenia oraz przykłady incydentów, z jakimi mierzy się podmiot.
FAQ wskazuje także, że obowiązkowemu szkoleniu podlega kierownik podmiotu kluczowego lub podmiotu ważnego.
To ważny element całego systemu. Jeżeli personel nie zna swoich obowiązków, procedur i podstawowych zasad cyberhigieny, to nawet dobrze zaprojektowany SZBI będzie działał tylko na papierze.
Kryptografia, komunikacja i uwierzytelnianie
Ustawa wymienia również polityki i procedury stosowania kryptografii, w tym w stosownych przypadkach szyfrowania.
Dodatkowo wskazuje na stosowanie bezpiecznych środków komunikacji elektronicznej w ramach krajowego systemu cyberbezpieczeństwa oraz wewnątrz podmiotu, z uwzględnieniem uwierzytelniania wieloskładnikowego w stosownych przypadkach.
To oznacza, że podmiot powinien uwzględnić w SZBI sposób zabezpieczania komunikacji, stosowania kryptografii oraz mechanizmów uwierzytelniania tam, gdzie jest to uzasadnione i wymagane charakterem ryzyka.
Zarządzanie aktywami i dostępem
Kolejnymi elementami wskazanymi w ustawie są zarządzanie aktywami oraz kontrola dostępu i zarządzanie dostępem.
To oznacza, że podmiot powinien wiedzieć, jakie aktywa są istotne dla systemu informacyjnego i świadczenia usługi, a także kto ma do nich dostęp i na jakich zasadach.
Zarządzanie aktywami i dostępem ma bezpośredni związek z wcześniejszymi obowiązkami: analizą ryzyka, monitoringiem, ciągłością działania, bezpieczeństwem fizycznym, bezpieczeństwem personelu i ochroną informacji.
Nie da się skutecznie zarządzać bezpieczeństwem systemu informacyjnego, jeżeli organizacja nie wie, jakie aktywa są w nim wykorzystywane oraz kto może z nich korzystać.
Struktury wewnętrzne albo dostawca usług zarządzanych
Ustawa przewiduje również, że podmiot kluczowy lub podmiot ważny, w celu realizacji zadań wynikających m.in. z art. 8 oraz przepisów dotyczących incydentów, powołuje wewnętrzne struktury odpowiedzialne za cyberbezpieczeństwo albo zawiera umowę z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa.
To oznacza, że podmiot musi zapewnić realną zdolność organizacyjną do wykonywania obowiązków. Może robić to wewnętrznie albo korzystając z dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa.
Nie zmienia to jednak podstawowego założenia: obowiązki muszą być wykonywane, a odpowiedzialność za dostosowanie podmiotu do wymogów ustawy nie znika tylko dlatego, że część działań jest realizowana przy wsparciu zewnętrznym.
Podmioty publiczne ważne i załącznik nr 4
Ustawa przewiduje szczególne rozwiązanie dla podmiotu ważnego będącego podmiotem publicznym albo określonym podmiotem z obszaru szkolnictwa wyższego i nauki, niebędącym organizacją badawczą, w zakresie, w jakim realizuje zadania publiczne z wykorzystaniem systemów informacyjnych.
Taki podmiot nie stosuje art. 8 ust. 1 w pełnym zakresie, lecz opracowuje, wdraża, realizuje, monitoruje i utrzymuje w systemach informacyjnych kontrolowanych przez ten podmiot system zarządzania bezpieczeństwem informacji spełniający wymogi określone w załączniku nr 4 do ustawy.
To rozróżnienie jest ważne, szczególnie dla jednostek publicznych, ponieważ zakres obowiązków może wynikać z art. 8 ust. 1 albo z załącznika nr 4, w zależności od statusu podmiotu i rodzaju realizowanych zadań.
Co to oznacza w praktyce?
Na podstawie ustawy i FAQ można powiedzieć, że po ustaleniu statusu oraz wpisie do Wykazu KSC organizacja powinna przejść do uporządkowanego wdrożenia SZBI.
Nie chodzi o jedno działanie, jeden dokument albo jedno narzędzie. Chodzi o system obejmujący ryzyko, środki techniczne i organizacyjne, polityki, monitoring, ciągłość działania, edukację, cyberhigienę, kryptografię, komunikację, zarządzanie aktywami, kontrolę dostępu i łańcuch dostaw.
FAQ Ministerstwa Cyfryzacji wskazuje, że przygotowanie i wdrożenie SZBI powinno obejmować m.in. ustalenie kontekstu organizacji, opracowanie polityki bezpieczeństwa, przydzielenie ról w organizacji, wdrożenie zarządzania ryzykiem albo przegląd dotychczasowych polityk i procedur oraz wdrożenie proporcjonalnych środków technicznych i organizacyjnych.
To jest dobry punkt wyjścia: najpierw zrozumienie organizacji i jej usług, potem identyfikacja systemów informacyjnych, następnie ryzyko, role, polityki, środki bezpieczeństwa i monitoring.
Twoje bezpieczeństwo to nasza pasja! 🌐 Jeśli interesuje Cię ochrona danych osobowych, bezpieczeństwo informacji czy cyberbezpieczeństwo, zajrzyj na stronę CAB oraz Platformę Cyberbezpieczeństwa. Szukasz informacji o ochronie sygnalistów? 📢 Sprawdź stronę Kanału Zgłoszeniowego. Czekają tam praktyczne porady i ekspercka wiedza!
*Ten wpis porządkuje podstawowe obowiązki podmiotów kluczowych i ważnych wyłącznie na podstawie ustawy o krajowym systemie cyberbezpieczeństwa oraz FAQ Ministerstwa Cyfryzacji.