Audyt KRI – bezpieczeństwo informacji

Audyt KRI pomaga jednostce realizującej zadania publiczne ocenić zarządzanie bezpieczeństwem informacji oraz działanie uzgodnionych procedur i zabezpieczeń. Wyniki przedstawiamy jako konkretne ustalenia oraz zalecenia. Badanie realizujemy w całej Polsce zdalnie, stacjonarnie lub hybrydowo.

Zapytaj o zakres i wycenę

Bezpieczeństwo informacji w jednostce publicznej

Informacje są podstawą obsługi spraw, podejmowania decyzji i współpracy z mieszkańcami oraz innymi instytucjami. Ich ochrona wymaga udziału kierownictwa, właścicieli procesów i zespołów utrzymania. Audyt pomaga ocenić, czy zasady obejmują rzeczywiste środowisko i czy jednostka potrafi potwierdzić wykonanie ważnych czynności. Zakres dopasowujemy do zadań, systemów i ryzyk jednostki.

Podstawa i granice audytu KRI

Punktem odniesienia jest rozporządzenie Rady Ministrów z 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, Dz.U. 2024 poz. 773. W § 19 ust. 2 pkt 14 przewidziano okresowy audyt wewnętrzny bezpieczeństwa informacji nie rzadziej niż raz w roku. Zakres badania ustalamy w odniesieniu do aktualnych wymagań oraz sytuacji jednostki. Audyt bezpieczeństwa informacji nie jest automatycznie pełnym przeglądem wszystkich rejestrów, formatów wymiany i zagadnień interoperacyjności. Nie jest również certyfikacją ISO 27001 ani samodzielnym potwierdzeniem zgodności ze wszystkimi obowiązkami ochrony danych.

Zakres, odpowiedzialność i dokumentacja

Cel audytu bezpieczeństwa informacji

Audyt KRI służy ocenie bezpieczeństwa informacji w jednostce realizującej zadania publiczne, w odniesieniu do uzgodnionych kryteriów. Ważne jest połączenie wymagań z codzienną obsługą spraw, utrzymaniem systemów i obiegiem dokumentów. Badanie powinno pokazywać, jak przyjęte zasady działają w praktyce.

Zakres może obejmować zarządzanie bezpieczeństwem oraz wybrane procesy i systemy. Rozróżniamy audyt bezpieczeństwa od pełnego przeglądu wszystkich zagadnień interoperacyjności, dostępności cyfrowej i ochrony danych osobowych. Dodatkowe obszary wymagają wskazania w ofercie. Czytelna granica pozwala jednostce właściwie wykorzystać raport i zaplanować dalszą pracę.

Dobrze sformułowany cel może dotyczyć na przykład sprawdzenia, czy jednostka potrafi utrzymać aktualny dostęp i wyjaśnić zdarzenie w systemie obsługi spraw. Jest bardziej użyteczny niż ogólne żądanie oceny całej informatyzacji. Zakres powinien wskazywać zadania, okres i kryteria. Jeśli kierownik potrzebuje szerszego obrazu, plan może łączyć kilka procesów, zachowując czytelne granice między bezpieczeństwem informacji i innymi wymaganiami dotyczącymi usług publicznych.

Zakres jednostki i zadania publiczne

Przed badaniem identyfikujemy zadania, komórki organizacyjne, lokalizacje oraz systemy wykorzystywane do ich realizacji. W jednostce publicznej podobna aplikacja może wspierać wiele odmiennych spraw. Znaczenie informacji wynika z celu, uprawnionych odbiorców i konsekwencji braku dostępu.

Przydatne są schemat organizacyjny, wykaz procesów i opis usług. Sprawdzamy, czy zakres obejmuje wspólne zasoby oraz jednostki obsługiwane przez ten sam zespół informatyczny. Rekomendacje mogą dotyczyć doprecyzowania odpowiedzialności i granic. Wspólna infrastruktura nie oznacza automatycznie wspólnego właściciela wszystkich przetwarzanych informacji.

Mapę jednostki można przygotować od strony spraw obsługiwanych dla mieszkańców. Dla wybranego zadania ustalamy, gdzie przyjmowana jest informacja, kto ją ocenia i w jakim systemie zapisuje wynik. Pozwala to dostrzec zależności między sekretariatem, komórką merytoryczną i archiwum. Wykaz samych komputerów nie pokaże tych połączeń. Jeżeli kilka podmiotów korzysta ze wspólnej obsługi, trzeba wskazać odrębnych właścicieli informacji oraz wspólne mechanizmy utrzymania.

Nadzór kierownika jednostki

Bezpieczeństwo wymaga decyzji organizacyjnych, czasu i środków. Administrator wykonuje czynności techniczne, lecz kierownik oraz właściciele procesów podejmują decyzje dotyczące priorytetów i dopuszczalnego ryzyka. Warto ustalić, jak problemy trafiają do osób mających możliwość zapewnienia właściwych warunków.

Oceniamy zakresy zadań, decyzje i sposób monitorowania bezpieczeństwa. Przydatne są informacje o zatwierdzaniu zasad oraz nadzorze nad zaleceniami. Rekomendacje mogą uporządkować raportowanie i zastępstwa. Przegląd nie powinien sprowadzać całej odpowiedzialności za informację do jednej osoby utrzymującej urządzenia.

Kierownikowi potrzebna jest informacja, które ograniczenia wpływają na realizację zadań jednostki. Przykładowo brak zastępstwa administratora albo przedłużające się wsparcie starego systemu mogą wymagać decyzji organizacyjnej. Przegląd może sprawdzić, czy taki problem był przedstawiony i jaki otrzymał status. Dowodem nadzoru nie jest sam podpis pod polityką, lecz również sposób reagowania na aktualne ryzyka i zapewnienia warunków do wykonania przyjętych zasad.

Polityka bezpieczeństwa informacji

Polityka powinna opisywać zasady, które jednostka jest w stanie stosować. Dokument skopiowany z innej organizacji może zawierać role i narzędzia, których w rzeczywistości nie ma. Ważne są zatwierdzenie, aktualność oraz powiązanie z instrukcjami wykorzystywanymi przez pracowników.

Badamy wersję obowiązującą, sposób komunikowania zmian i przykłady zastosowania. Rekomendacje mogą dotyczyć usunięcia sprzeczności, określenia właściciela dokumentacji i dostosowania języka. Dobrze uporządkowane zasady ułatwiają obsługę spraw i wyjaśniają użytkownikowi, co powinien zrobić w codziennej lub nietypowej sytuacji.

Politykę można sprawdzić na podstawie pytania pracownika przyjmującego dokument: jak przekazać go właściwej komórce i gdzie przechować kopię? Jeśli odpowiedź wymaga odnalezienia wielu sprzecznych zapisów, dokumentacja nie wspiera zadania. Warto połączyć ogólną zasadę z krótką instrukcją dla roli. Podczas przeglądu istotne są także kanały publikacji zmian, aby pracownicy nie korzystali nadal z lokalnej kopii wycofanego dokumentu.

Inwentaryzacja sprzętu i oprogramowania

Wykaz zasobów powinien pozwalać zidentyfikować urządzenia i oprogramowanie służące przetwarzaniu informacji. W praktyce ważne są również usługi chmurowe, urządzenia mobilne i systemy utrzymywane przez dostawcę. Brak wpisu utrudnia aktualizację, analizę ryzyka i ustalenie odpowiedzialności.

Przeglądamy sposób utrzymywania wykazu oraz próbę zgodności z rzeczywistym środowiskiem. Przydatne są informacje o lokalizacji, właścicielu, wersji i wsparciu. Rekomendacje mogą powiązać aktualizację inwentaryzacji z zakupem, zmianą i wycofaniem. Rejestr księgowy nie zawsze zawiera wszystkie dane potrzebne do zarządzania bezpieczeństwem.

Zasób używany w jednostce może nie figurować w głównym wykazie IT, jeśli został dostarczony w ramach projektu albo funkcjonuje jako usługa internetowa. Przydatne jest porównanie inwentaryzacji z umowami i informacjami od właścicieli procesów. Ujawniony brak powinien prowadzić do ustalenia właściciela, konfiguracji i warunków utrzymania. Celem nie jest wyłącznie rozszerzenie tabeli, lecz objęcie zasobu procesem bezpieczeństwa oraz nadzoru nad zmianą.

Zasoby, ryzyko i uprawnienia

Właściciele informacji i systemów

Jednostka powinna wiedzieć, kto określa potrzeby dotyczące dostępu, poprawności i dostępności informacji. Właściciel procesu może wskazać, jakie dane są potrzebne do obsługi sprawy, a administrator realizuje uzgodnione warunki techniczne. Rozróżnienie tych ról pomaga uniknąć nadmiernych uprawnień.

Ocena obejmuje zakresy obowiązków, wnioski i przykłady zatwierdzenia dostępu. Rekomendacje mogą wskazać właścicieli zasobów oraz reguły uzgadniania zmian. Dotyczy to również systemów wspólnych dla kilku komórek. W takim przypadku potrzebny jest sposób rozstrzygania odmiennych potrzeb i przekazywania informacji o zmianie.

W systemie wspólnym dla kilku wydziałów trzeba ustalić, kto zatwierdza role i rozstrzyga dostęp do zbiorów. Administrator może znać ustawienia, ale nie znać wszystkich merytorycznych powodów udostępnienia danych. Przegląd wybranego wniosku pokazuje, czy decyzja pochodzi od właściwej osoby. Jeśli jeden formularz obejmuje różne informacje, można potrzebować kilku akceptacji właścicieli, a nie jednego ogólnego polecenia przyznania dostępu do całej aplikacji.

Analiza ryzyka dla zadań jednostki

Analiza ryzyka powinna uwzględniać konsekwencje utraty poufności, integralności i dostępności w konkretnych procesach. Skutek może dotyczyć ujawnienia informacji, błędnej decyzji lub opóźnienia obsługi mieszkańca. Ogólny rejestr zagrożeń informatycznych nie pokazuje całego wpływu na zadania publiczne.

Badamy metodykę, aktualność i decyzje o działaniach. Przydatne jest połączenie ryzyka z zasobem, właścicielem i zabezpieczeniem. Rekomendacje mogą uwzględnić dokumenty papierowe, współpracę z dostawcami i nieobecność personelu. Analiza powinna pomagać kierownikowi wybrać priorytety, a nie jedynie wypełniać obowiązek posiadania arkusza.

Scenariusz ryzyka warto odnieść do konkretnego zadania: utrata dokumentacji w toku sprawy, zmiana danych bez akceptacji albo brak dostępu przed terminem. Zespół może wtedy wskazać konsekwencje i istniejące środki. Ocena nie powinna kończyć się na nazwie zagrożenia. Potrzebne jest rozstrzygnięcie, czy ograniczenie jest wystarczające i kto podejmie dalsze działanie. W jednostce istotny może być także wpływ na jakość oraz terminowość obsługi mieszkańca.

Nadawanie uprawnień

Dostęp powinien odpowiadać obowiązkom pracownika i zadaniom komórki. Formalne upoważnienie nie wystarcza, jeżeli zakres techniczny jest szerszy. Należy uwzględnić aplikacje dziedzinowe, foldery, pocztę, archiwa i usługi zewnętrzne, z których użytkownik korzysta w pracy.

Sprawdzamy próbę wniosków, akceptacji i konfiguracji. Przydatne są zasady wskazujące, kto określa potrzebę i kto wykonuje zmianę. Rekomendacje mogą dotyczyć uporządkowania formularza wniosku, przeglądu ról i ograniczenia dostępu przyznawanego na zasadzie kopiowania uprawnień poprzedniego pracownika bez oceny potrzeb.

Porównanie upoważnienia z rolą techniczną może ujawnić, że użytkownik posiada szerszy dostęp niż wynika z zadań. Warto sprawdzić, czy właściciel procesu zna znaczenie wybieranej roli. Nazwa profilu w aplikacji może być niejasna albo obejmować wiele funkcji. Rekomendacja może dotyczyć prostego opisu ról i sposobu akceptacji, dzięki któremu osoba podejmująca decyzję rozumie zakres udostępnienia informacji bez konieczności znajomości konfiguracji.

Zmiana stanowiska i odejście pracownika

Zmiana zadań powinna prowadzić do przeglądu dostępu. Pracownik przeniesiony do innej komórki nie powinien zachowywać niepotrzebnych uprawnień wyłącznie dlatego, że nadal pracuje w tej samej jednostce. Zakończenie współpracy wymaga uwzględnienia wszystkich systemów, a nie tylko głównego konta.

Oceniamy przepływ informacji z kadr do administratorów i właścicieli aplikacji. Przydatne są przykłady odebrania dostępu oraz rozliczenia urządzeń. Rekomendacje mogą wskazać termin, kontrolę wykonania i zasady przekazania dokumentacji służbowej. Przy nieobecności długotrwałej również warto ustalić warunki utrzymania oraz czasowego ograniczenia dostępu.

Przy zmianie stanowiska trzeba uwzględnić dokumenty i uprawnienia w różnych miejscach. Pracownik może stracić rolę w aplikacji, ale zachować dostęp do folderu poprzedniego wydziału lub skrzynki zespołowej. Pomocna jest lista elementów związanych z rolą, przekazywana razem z informacją kadrową. Audyt może sprawdzić zakończenie procesu w kilku systemach. Takie podejście bada działanie obiegu informacji, zamiast oceniać wyłącznie pojedynczą listę kont.

Uprawnienia uprzywilejowane

Kontrola kont administracyjnych pomaga zachować rozliczalność zmian i ograniczać skutki błędu. Ważne jest, kto może tworzyć konta, zmieniać konfigurację i odczytywać informacje poza swoim zwykłym zakresem. Szczególnej uwagi wymagają konta współdzielone i dostęp dostawcy.

Badamy wykaz kont, zasady używania oraz rejestry wykonanych czynności. Rekomendacje mogą dotyczyć oddzielenia kont codziennych od administracyjnych, dostępu czasowego i dokumentowania wyjątków. Rozwiązanie powinno uwzględniać zastępstwo i możliwość działania w sytuacji awaryjnej. Ograniczenie dostępu nie może pozostawić jednostki bez możliwości przywrócenia usługi.

Dostęp administratora zewnętrznego może być potrzebny do usunięcia awarii, ale powinien pozostawać pod kontrolą jednostki. Przydatny jest przykład przyznania dostępu na określony czas i potwierdzenia jego zakończenia. Jeżeli partner korzysta ze stałego konta, trzeba znać jego zakres i zasady nadzoru. Jednostka powinna mieć możliwość ustalenia wykonanych zmian, niezależnie od tego, czy zadanie realizował własny pracownik czy firma obsługująca system.

Rozliczalność, personel i utrzymanie

Dzienniki zdarzeń i rozliczalność

Zapisy zdarzeń pomagają odtworzyć czynności w systemie i wyjaśnić nieprawidłowość. Trzeba ustalić, które działania są rejestrowane, jak identyfikowany jest użytkownik oraz kto ma dostęp do logów. Wspólne konto może ograniczać wartość zapisu, nawet gdy system generuje wiele informacji.

Przeglądamy uzgodnione przykłady logów, źródła czasu i zasady ochrony. Okres przechowywania należy ustalić według aktualnych wymagań i właściwych przepisów odrębnych. Zalecenia mogą dotyczyć zakresu rejestrowania, czytelności danych oraz sposobu bezpiecznego pozyskania informacji potrzebnej do wyjaśnienia zdarzenia. Sama aktywacja logowania nie rozwiązuje całego procesu.

Próbę logów można prześledzić od zgłoszenia do wskazania zdarzenia. Czy zapis pozwala ustalić użytkownika, czas i rodzaj czynności? Czy osoba uprawniona potrafi go odnaleźć bez wsparcia niedostępnego dostawcy? Wynik pokazuje praktyczną wartość rozliczalności. Przy systemie bez możliwości samodzielnego odczytu potrzebne jest ustalenie trybu pozyskania materiału. Warto również sprawdzić, czy różne źródła mają zgodny czas, aby można było połączyć przebieg zdarzenia.

Monitorowanie i reakcja na nieprawidłowości

Zbieranie informacji ma sens, jeśli jednostka określa, kto analizuje wynik i jak reaguje. Problem może ujawnić się jako alert, zgłoszenie użytkownika lub błąd w realizacji zadania. Ważne jest połączenie tych sygnałów z procesem oceny i eskalacji.

Oceniamy przykłady przeglądów oraz reakcję na wykryte zdarzenia. Rekomendacje mogą wskazać zakres informacji wymagających regularnej analizy i sposób zastępstwa. Mała jednostka może korzystać z prostszej organizacji nadzoru, ale powinna rozumieć jej ograniczenia. Nie zakładamy automatycznie ciągłego monitorowania ani wdrożenia konkretnego produktu.

Pracownik komórki merytorycznej może jako pierwszy zauważyć błędną zmianę danych. Procedura powinna umożliwiać przekazanie sygnału do oceny technicznej i właściciela procesu. Nie każdy problem zgłoszony jako awaria jest wyłącznie kwestią eksploatacji. Przegląd przykładów może pokazać, czy system zgłoszeń pozwala rozpoznać możliwe naruszenie oraz zachować potrzebne informacje. Odpowiedzialność za rozstrzygnięcie powinna być wskazana, zamiast pozostawiona osobie przyjmującej telefon.

Szkolenia pracowników

Pracownicy potrzebują praktycznej wiedzy związanej z przetwarzaniem informacji. Obejmuje ona rozpoznawanie zagrożeń, bezpieczne przekazywanie dokumentów i zgłaszanie zdarzeń. Program powinien odnosić się do rzeczywistych zadań sekretariatu, obsługi mieszkańców, finansów i administracji systemów.

Badamy materiały, harmonogram oraz sposób przygotowania nowych osób. Przydatne są dowody udziału i przykłady przypominania zasad. Rekomendacje mogą uprościć instrukcje i wskazać tematy wymagające aktualizacji. Długi wykład nie zastępuje jasnej odpowiedzi na pytanie, gdzie zgłosić podejrzaną wiadomość lub utratę dokumentu.

Dla osoby obsługującej mieszkańców przydatne są zasady sprawdzania adresata i zabezpieczania wydruku. Dla administratora potrzebne są instrukcje dotyczące zmian i dostępu uprzywilejowanego. Jeden program szkolenia dla obu ról może pomijać część potrzeb. Audyt może sprawdzić, czy zakres wynika z zadań oraz czy nowa osoba otrzymuje wiedzę przed rozpoczęciem samodzielnej pracy. Krótkie przypomnienie po zmianie procesu może być bardziej użyteczne niż powtarzanie ogólnej prezentacji.

Bezpieczeństwo stanowisk pracy

Stanowisko może zawierać dokumenty, lokalne kopie danych i zapisane dostępy. Ważne są konfiguracja, aktualizacje, uprawnienia oraz sposób blokowania sesji. Urządzenie wykorzystywane do obsługi mieszkańców wymaga również uwzględnienia widoczności ekranu i dokumentów dla osób postronnych.

Przeglądamy zasady przygotowania urządzeń oraz wybraną próbę ustawień w uzgodnionym zakresie. Rekomendacje mogą dotyczyć standardowej konfiguracji, kontroli lokalnych administratorów i zabezpieczenia wydruków. Nie zakładamy, że wszystkie stanowiska mają identyczne potrzeby; wyjątki powinny jednak mieć uzasadnienie i właściciela.

Oględziny stanowiska obsługi mogą uwzględnić widoczność monitora, miejsce odkładania dokumentów i sposób odbioru wydruku. Te elementy nie wynikają z samego raportu konfiguracji komputera. Warto ustalić, czy użytkownik ma możliwość zastosowania zasad w rzeczywistym układzie pomieszczenia. Zalecenie może dotyczyć organizacji przestrzeni lub obiegu dokumentów. Nie powinno obciążać pracownika za warunki, których nie może sam zmienić.

Aktualizacje i utrzymanie systemów

Aktualność oprogramowania wiąże się z możliwością otrzymywania poprawek i wsparcia. System dziedzinowy może wymagać współpracy z dostawcą, a jego modernizacja zależeć od kompatybilności z innymi usługami. Takie ograniczenia powinny być widoczne w analizie ryzyka.

Oceniamy harmonogramy, listy wersji, przykłady wdrożeń i wyjątki. Rekomendacje mogą dotyczyć ustalenia priorytetów, testowania oraz dokumentowania przyczyn odroczenia. Brak wsparcia nie powinien pozostawać nieformalną wiedzą administratora. Potrzebny jest plan ograniczenia ryzyka i decyzja osoby mającej wpływ na warunki działania.

W systemie dziedzinowym poprawka może wymagać udziału dostawcy i przerwy w obsłudze. Przydatne jest sprawdzenie, kto planuje zmianę, informuje użytkowników i potwierdza jej rezultat. Jeśli poprawki są odkładane, należy rozpoznać przyczynę i ryzyko. Rekomendacja może dotyczyć uzgodnienia okna serwisowego lub nadzoru nad wersją. Sam komunikat producenta nie pokazuje, że aktualizacja dotarła do środowiska używanego przez jednostkę.

Ochrona informacji i odporność

Kryptografia i bezpieczne przekazywanie danych

Dobór ochrony transmisji i przechowywania powinien odpowiadać rodzajowi informacji oraz zagrożeniom. W praktyce ważne są dokumenty przesyłane poza jednostkę, urządzenia mobilne i nośniki. Należy uwzględnić także sposób przekazania klucza oraz możliwość odzyskania danych przez uprawnioną osobę.

Przydatne są zasady korzystania z kanałów komunikacji, ustawienia wybranych usług i przykłady obiegu plików. Rekomendacje mogą wskazać dozwolone metody oraz ograniczyć rozwiązania stosowane przypadkowo przez poszczególne komórki. Sama nazwa techniki szyfrowania nie pokazuje, czy cały proces przekazania informacji jest bezpieczny.

Przekazywanie pliku chronionego hasłem nie zamyka całego procesu. Trzeba ustalić adresata, sposób dostarczenia hasła i dostępność danych dla uprawnionych osób po zmianie personelu. Instrukcja powinna być wykonalna dla pracownika realizującego zadanie. Audyt może sprawdzić przykład obiegu informacji poza jednostkę oraz zasady korzystania z dozwolonych kanałów. Nie należy przesyłać kluczy prywatnych lub działających danych dostępowych jako materiału w zwykłym zgłoszeniu audytowym.

Praca na odległość i mobilność

Zadania wykonywane poza siedzibą mogą obejmować dostęp do akt, spotkania i korzystanie z urządzeń mobilnych. Jednostka powinna określić warunki pracy, dozwolone narzędzia oraz reakcję na utratę sprzętu. Ważne jest również przechowywanie dokumentów poza kontrolowanym pomieszczeniem.

Oceniamy instrukcje, sposób udzielania dostępu i wsparcie dla użytkownika. Rekomendacje mogą dotyczyć ochrony lokalnych kopii, zasad korzystania z sieci i zgłaszania problemów. Powinny uwzględniać realną możliwość wykonania obowiązków. Niejasne ograniczenia sprzyjają używaniu nieformalnych kanałów, których jednostka nie nadzoruje.

Praca terenowa może wymagać dostępu do informacji na urządzeniu mobilnym i wykonania czynności bez stałego połączenia. Potrzebne są zasady przechowywania lokalnej kopii i późniejszego przekazania wyniku. Warto sprawdzić, czy użytkownik zna sposób zgłoszenia utraty sprzętu oraz ma kontakt do pomocy. Ocena powinna uwzględnić realny przebieg zadania, zamiast przyjmować, że każda praca poza budynkiem wygląda tak samo jak obsługa przy biurku.

Bezpieczeństwo fizyczne i dokumenty

Bezpieczeństwo informacji obejmuje również akta, wydruki, nośniki i urządzenia w pomieszczeniach. Dostęp gości, serwisu oraz personelu pomocniczego powinien odpowiadać potrzebom i zasadom jednostki. Szczególne znaczenie mają miejsca, w których dokumenty pozostają dostępne po zakończeniu obsługi.

Podczas uzgodnionej wizyty można sprawdzić warunki przechowywania, strefy i zasady wydawania kluczy. Rekomendacje mogą dotyczyć obiegu wydruków, zabezpieczenia archiwum i niszczenia materiałów. Oględziny obejmują wcześniej ustalony zakres, z poszanowaniem ciągłości pracy oraz ochrony danych przetwarzanych w jednostce.

Dokument może pozostawać w kilku miejscach: pokoju obsługi, drukarce i archiwum. Przejście przez obieg pomaga ustalić momenty, w których traci kontrolę właściciela. Ważna jest także obsługa kluczy i dostęp osób wykonujących serwis. Rekomendacja może ograniczyć niepotrzebne kopie albo uporządkować odkładanie materiałów. Audyt nie zastępuje pełnej inwentaryzacji akt; bada uzgodnione mechanizmy i przykłady ich zastosowania w jednostce.

Umowy serwisowe i dostawcy

Umowa z dostawcą powinna opisywać wymagania dotyczące ochrony informacji i wykonywania usług. Ważne są zakres dostępu, poufność, kontakt podczas awarii oraz możliwość uzyskania dowodów wykonanych czynności. Jednostka potrzebuje wiedzy o własnym środowisku nawet przy pełnym outsourcingu.

Oceniamy wybrane umowy i sposób nadzoru nad usługą. Rekomendacje mogą dotyczyć zasad dostępu czasowego, dokumentowania zmian i odzyskania danych po zakończeniu współpracy. Przegląd obejmuje uzgodnione elementy bezpieczeństwa, a nie pełną ocenę prawną wszystkich postanowień. Tematy wymagające zmiany kontraktu przekazujemy jako konkretne obszary do uzgodnienia.

Po zakończeniu współpracy z dostawcą jednostka potrzebuje danych i informacji o konfiguracji, aby kontynuować zadania. Warunki wyjścia warto sprawdzić, zanim pojawi się awaria lub spór. Umowa może nie opisywać sposobu przekazania dokumentacji albo usunięcia dostępu partnera. W badaniu można wskazać takie zależności oraz tematy do doprecyzowania. Zmiana umowy należy do właściwych osób, a audyt przedstawia potrzebę bezpieczeństwa i możliwy skutek braku uzgodnienia.

Kopie zapasowe i odtwarzanie

Kopie powinny umożliwiać odzyskanie informacji potrzebnej do wykonania zadań. Ważne jest uwzględnienie systemów dziedzinowych, konfiguracji i zależności. Brak przetestowanego sposobu odtworzenia może ujawnić się dopiero wtedy, gdy jednostka traci dostęp do aktywnego środowiska.

Przeglądamy zakres kopii, wyniki zadań i protokoły prób. Rekomendacje mogą określić priorytety, ochronę zasobów oraz sposób dokumentowania testów. Próba powinna pokazać rezultat zrozumiały dla właściciela procesu: możliwość wykorzystania danych i wykonania zadania. Samo odtworzenie pliku nie zawsze potwierdza działanie aplikacji.

Test kopii systemu obsługi spraw powinien uwzględnić nie tylko bazę, ale też dokumenty i połączenia. Właściciel procesu może potwierdzić, czy odzyskany zakres umożliwia dalszą pracę. Jeśli test ograniczono do odczytu jednego pliku, raport powinien wyraźnie wskazywać tę granicę. Przydatne jest zapisanie czasu, warunków i napotkanych przeszkód. Dzięki temu jednostka wie, co rzeczywiście sprawdzono oraz czego jeszcze nie potwierdzono.

Obsługa zdarzeń, ciągłość i doskonalenie

Incydenty i sposób zgłaszania

Pracownik powinien znać prosty kanał zgłoszenia podejrzenia naruszenia bezpieczeństwa. Nie musi sam oceniać wszystkich konsekwencji prawnych i technicznych. Jednostka potrzebuje natomiast sposobu rejestracji, oceny, eskalacji oraz udokumentowania działań.

Badamy procedurę, kontakty i przykłady obsługi zdarzeń. Rekomendacje mogą rozdzielić reakcję operacyjną od obowiązków informacyjnych wynikających z właściwych przepisów. W razie potrzeby ustalamy, jak współpracują administratorzy, kierownictwo i osoby odpowiedzialne za ochronę danych. Jedno zdarzenie może wymagać kilku równoległych ocen.

Podejrzenie naruszenia może rozpocząć się od zagubionego dokumentu, błędnego adresata lub nietypowej czynności w aplikacji. Kanał zgłoszenia powinien działać dla pracownika niezależnie od tego, czy zdarzenie jest techniczne. Osoba przyjmująca informację potrzebuje zasad zachowania materiałów i przekazania do oceny. Przy zdarzeniu dotyczącym danych osobowych może być potrzebna współpraca z właściwymi osobami. Audyt bada organizację przepływu, bez automatycznego przejmowania prowadzenia incydentu.

Ciągłość obsługi spraw

Niedostępność aplikacji może wpływać na terminy, obsługę mieszkańców i współpracę z innymi instytucjami. Plan ciągłości powinien określać najważniejsze zadania, dopuszczalny czas przerwy oraz sposób pracy zastępczej. Potrzebne są również zasady uporządkowania danych po powrocie do normalnego działania.

Przeglądamy plany i doświadczenia z awarii. Rekomendacje mogą dotyczyć kontaktów, priorytetów i testów wybranych scenariuszy. Warto uwzględnić niedostępność personelu, budynku oraz łączności. Ciągłość nie ogranicza się do kopii zapasowej: dotyczy zdolności całej jednostki do realizacji zadań.

W trybie zastępczym jednostka może przyjmować informacje w innym formacie, ale musi później odtworzyć pełny przebieg sprawy. Warto zaplanować identyfikację dokumentów, kontrolę kompletności i wprowadzenie do systemu po przywróceniu usługi. Ten etap bywa pomijany w planie awarii. Przegląd może ustalić, czy właściciel procesu zna sposób powrotu do pracy i jak uniknie zagubienia spraw lub podwójnego wykonania tej samej czynności.

Wymiana informacji i interoperacyjność

Przy przekazywaniu informacji innym podmiotom ważne są znaczenie danych, sposób komunikacji i poziom ochrony. Błąd mapowania pola lub niejasna odpowiedzialność może powodować nieprawidłowość mimo poprawnej transmisji. Warto rozpoznać integracje używane w podstawowych zadaniach.

Jeżeli obszar zostanie objęty zleceniem, przeglądamy opisy wymiany, odpowiedzialność i uzgodnione przykłady. Pełna ocena wszystkich formatów, rejestrów i wymagań interoperacyjności stanowi szerszy zakres niż sam audyt bezpieczeństwa. Rekomendacje mogą wskazać potrzebę aktualnej dokumentacji połączeń oraz kontroli, jakie informacje są faktycznie przekazywane.

Przy integracji trzeba znać znaczenie przekazywanego pola i właściciela odpowiedzialnego za jego poprawność. Zgodny format nie wyklucza błędnej interpretacji danych. Można prześledzić przykład informacji od źródła do odbiorcy oraz sposób obsługi odrzuconego komunikatu. Jeżeli badanie dotyczy bezpieczeństwa, nie należy bez dodatkowych czynności rozszerzać wniosku na całą interoperacyjność. Raport może wskazać potrzebę odrębnego przeglądu zagadnienia ujawnionego podczas analizy.

Cykl audytowy i monitorowanie zaleceń

Audyt okresowy powinien obejmować także wcześniejsze ustalenia. Warto sprawdzić, czy rozwiązano przyczynę problemu i czy efekt utrzymał się po zmianie personelu lub systemu. Powtarzanie tego samego zalecenia bez decyzji może wskazywać na problem organizacji nadzoru.

Oceniamy raporty, rejestr działań i dowody wykonania. Rekomendacje mogą dotyczyć właścicieli, terminów i kryteriów zakończenia. Roczny cykl nie oznacza, że wszystkie procesy należy badać identycznie każdego roku. Plan powinien uwzględniać ryzyko, istotne zmiany i zakres wcześniejszych prac, zgodnie z właściwymi wymaganiami jednostki.

Porównanie kolejnych raportów może pokazać powtarzanie jednego problemu pod różnymi nazwami. Warto ustalić, czy zmieniono przyczynę, czy wykonano tylko pojedynczą czynność porządkującą. Rejestr powinien zachować odniesienie do wcześniejszego ustalenia i dowodu zakończenia. Przy zaległym zadaniu potrzebna jest decyzja o dalszym postępowaniu. Taki nadzór pozwala ocenić postęp między audytami bez uznawania każdej deklaracji wykonania za ostateczne rozwiązanie.

Spójność z innymi obowiązkami

Jednostka może równolegle realizować wymagania ochrony danych, cyberbezpieczeństwa, dostępności i kontroli zarządczej. Warto wykorzystywać wspólne informacje o zasobach, ryzykach i odpowiedzialności, zamiast tworzyć niezależne rejestry o różnej aktualności. Każdy obszar zachowuje jednak własny cel i właściwe kryteria.

Ocena może wskazać miejsca współpracy oraz powielania czynności. Audyt KRI nie jest automatycznie pełnym audytem RODO, NIS2 ani dostępności cyfrowej. Dodatkowy zakres ustalamy osobno. Rekomendacje pomagają uporządkować nadzór, tak aby zespoły korzystały ze spójnych danych i rozumiały, które obowiązki zostały rzeczywiście zbadane.

Jedno zdarzenie może uruchomić proces bezpieczeństwa, analizę ochrony danych i działania ciągłościowe. Warto ustalić wspólny identyfikator sprawy oraz zasady korzystania z materiałów, aby zespoły nie tworzyły sprzecznych opisów. Każdy obszar zachowuje właściwe kryteria i odbiorców. Audyt może wskazać miejsce współpracy, lecz raport powinien wyjaśniać, która ocena została rzeczywiście wykonana. To ogranicza powielanie pracy przy zachowaniu granic poszczególnych obowiązków.

Jak przygotować organizację do badania?

Koordynator jednostki powinien rozpocząć przygotowanie od listy zadań i komórek objętych audytem. Warto określić, kto zna obieg spraw, kto odpowiada za system i gdzie znajdują się dokumenty. Jeżeli jednostka korzysta z centrum usług wspólnych, potrzebne jest rozdzielenie materiałów własnych i tych przechowywanych w podmiocie obsługującym. Pozwala to właściwie zaplanować kontakty.

Do listy dokumentów należy dołączyć informacje o wersjach i okresie obowiązywania. Audyt może dotyczyć bieżącego stanu lub czynności z wcześniejszego okresu. Stara instrukcja przedstawiona bez oznaczenia może prowadzić do nieporozumienia. Jeżeli system został zmieniony, warto wskazać, jakie rejestry zachowano i kto umożliwi odczyt danych. Wczesne rozpoznanie dostępności materiału ogranicza opóźnienia.

Udział pracowników dobieramy do obszarów: administracji systemów, właścicieli informacji, kadr, obsługi mieszkańców i innych właściwych ról. Koordynator porządkuje współpracę, lecz nie musi odpowiadać za wszystkie szczegóły. Warto przedstawić znane trudności, takie jak nieaktualna umowa serwisowa lub ograniczona dokumentacja. Dzięki temu plan obejmuje rzeczywiste warunki jednostki, zamiast koncentrować się na idealnym opisie.

Dokumenty i dowody: co pokazuje rzeczywisty stan?

W audycie jednostki publicznej potrzebne jest powiązanie dokumentu z konkretną czynnością. Wniosek o dostęp, akceptacja właściciela oraz zapis wykonania razem pokazują przebieg procesu. Sama instrukcja wskazuje jedynie oczekiwany sposób działania. Podobnie protokół szkolenia i materiał dla nowego pracownika mogą potwierdzać różne części przygotowania personelu.

Ważna jest kompletność kontekstu. Dowód z jednego systemu może nie obejmować folderów, poczty lub aplikacji dziedzinowej. Warto wskazać, które elementy uwzględniono i które pozostają poza materiałem. Jeśli rejestr przechowuje podmiot obsługujący, jednostka powinna znać sposób jego uzyskania. Brak dostępu do dowodu może ograniczać rozliczalność, nawet jeżeli czynność faktycznie wykonywano.

Materiały można ograniczyć do niezbędnych informacji. Zamiast przekazywać pełne akta mieszkańca, można pokazać przebieg operacji z usuniętymi identyfikatorami. Zapis powinien zachować elementy potrzebne do oceny: datę, rolę, status i powiązanie z czynnością. Przy informacjach wymagających szczególnej ochrony ustalamy wgląd w środowisku jednostki. Audyt nie powinien tworzyć niekontrolowanego zbioru kopii bez związku z celem badania.

Jak przebiega współpraca krok po kroku?

Przed rozpoczęciem ustalamy, czy zlecenie dotyczy okresowej oceny bezpieczeństwa, wybranych procesów czy dodatkowych zagadnień informatyzacji. Kryteria i granice powinny być opisane w ofercie. Jeśli jednostka oczekuje przeglądu interoperacyjności lub ochrony danych, trzeba wskazać te obszary odrębnie. Dzięki temu rezultat odpowiada faktycznie wykonanym czynnościom.

Plan obejmuje dokumentację, rozmowy i uzgodnione prezentacje działania. Możemy przejść przez nadanie dostępu, zgłoszenie zdarzenia lub odtworzenie informacji, aby zrozumieć role i dostępne dowody. Część badania może wymagać oględzin warunków fizycznych. Ich termin i zakres ustalamy z jednostką, uwzględniając obsługę mieszkańców oraz dostępność właściwych pracowników.

Po analizie przedstawiamy fakty do wyjaśnienia. Dodatkowy dokument może potwierdzić czynność albo wskazać różnicę między komórkami. Ocena nie opiera się na domyśle, że brak przedstawionego dowodu oznacza automatycznie brak działania. Raport opisuje ustalenia i ograniczenia. Spotkanie końcowe pomaga wskazać osoby odpowiedzialne za zalecenia oraz sposób kontroli wykonania w cyklu funkcjonowania jednostki.

Próbkowanie i granice oceny

Próba w jednostce publicznej powinna uwzględniać różne zadania i role. Można sprawdzić pracownika rozpoczynającego pracę, osobę przeniesioną do innej komórki oraz konto dostawcy. W systemach warto rozróżnić usługi wspólne i dziedzinowe. Taki dobór pomaga ocenić przepływ informacji pomiędzy kadrami, właścicielami procesów i administratorami.

Niektóre dowody wymagają uwzględnienia okresu obowiązywania zasad. Jeśli procedura zmieniła się w trakcie roku, wcześniejszy przypadek trzeba odnieść do właściwej wersji. Jeżeli dokumentacja dotyczy wyłącznie centrali, należy wskazać granicę wniosku. Brak błędów w wybranych przykładach nie jest dowodem prawidłowości każdej operacji w całej jednostce.

Ujawniona rozbieżność może wymagać dodatkowego sprawdzenia. Na przykład nieaktualny dostęp do folderu może wynikać z pojedynczego przeoczenia albo z braku przekazywania zmian stanowiska. Raport powinien rozróżniać te sytuacje i wskazywać podstawę oceny. Jeśli nie ma możliwości wyjaśnienia, zalecenie może przewidywać rozszerzoną kontrolę wykonywaną przez jednostkę, bez przypisywania niepotwierdzonego charakteru całemu procesowi.

Raport, priorytety i rekomendacje

Wynik audytu KRI powinien być powiązany z zadaniami jednostki. Ustalenie dotyczące dostępu warto opisać jako możliwość odczytu lub zmiany informacji poza potrzebą służbową. Problem odtwarzania może wpływać na terminową obsługę spraw. Takie sformułowanie pomaga kierownikowi zrozumieć znaczenie, bez konieczności interpretowania samej listy technicznych parametrów.

Rekomendacja powinna wskazywać przyczynę oraz oczekiwany stan. Przy nieaktualnych kontach potrzebne może być powiązanie informacji kadrowej z listą systemów, a nie jednorazowe usunięcie kilku wpisów. Przy umowie serwisowej problem może dotyczyć braku dostępu do dowodów. Wtedy rozwiązanie wymaga uzgodnienia z partnerem i wskazania osoby nadzorującej.

Raport może zawierać podsumowanie dla kierownictwa i szczegółowe ustalenia dla wykonawców. Odbiorców określamy odpowiednio do wrażliwości informacji. Wskazujemy objęte badaniem kryteria, okres i ograniczenia. Dokument nie powinien być interpretowany jako certyfikat wszystkich systemów jednostki ani pełne potwierdzenie obowiązków poza uzgodnionym zakresem. Przejrzysty rezultat ułatwia dalsze planowanie audytów i działań organizacyjnych.

Od ustaleń do działań naprawczych

Rejestr zaleceń w jednostce warto połączyć z rzeczywistą odpowiedzialnością. Zadanie może wymagać udziału komórki merytorycznej, administratora i zamówień. Należy wskazać właściciela koordynującego całość, a nie pozostawiać kilku równorzędnych nazw bez rozstrzygnięcia. Termin powinien uwzględniać uzgodnienia, zakup lub zmianę umowy, jeśli są potrzebne.

Kryterium zakończenia zależy od treści zalecenia. Aktualizacja instrukcji wymaga zatwierdzenia i przekazania użytkownikom. Poprawa dostępu wymaga przeglądu oraz wyjaśnienia rozbieżności. Plan odtwarzania powinien zostać sprawdzony w odpowiednim zakresie. Nie każda czynność wymaga pełnego ponownego audytu, ale każda powinna pozostawić dowód odpowiadający oczekiwanemu rezultatowi.

Jeżeli wykonanie jest odroczone, rejestr powinien pokazywać przyczynę, decyzję i rozwiązanie przejściowe. Przy kolejnym audycie można sprawdzić, czy problem nadal ma ten sam zakres oraz czy zmiana warunków nie zwiększyła ryzyka. Dzięki temu cykl zaleceń nie ogranicza się do corocznego kopiowania statusów. Jednostka otrzymuje aktualny obraz wykonanych prac i zadań wymagających dalszej decyzji.

Audyty w całej Polsce: zdalnie, stacjonarnie lub hybrydowo

Audyty KRI realizujemy dla jednostek w całej Polsce, zdalnie, stacjonarnie lub hybrydowo. Wybór zależy od zadań, lokalizacji i dostępności dowodów. Przy wspólnej obsłudze można analizować część materiałów centralnie, a lokalne praktyki potwierdzić w wybranych jednostkach. Plan powinien wskazywać, które miejsca objęto czynnościami, aby granice raportu były czytelne.

Zdalnie można przeprowadzić rozmowy z właścicielami procesów i prezentacje rejestrów. Dokumenty wymagające ochrony nie muszą opuszczać środowiska jednostki. Ustalamy sposób wglądu, osoby uczestniczące i zakres utrwalania informacji. Ważne jest zachowanie możliwości potwierdzenia przebiegu czynności oraz ograniczenie danych mieszkańców i pracowników do niezbędnego zakresu.

Wizyta pozwala ocenić warunki stanowisk, przechowywanie dokumentów i wybrane pomieszczenia. Uzgadniamy ją tak, aby nie utrudniać obsługi spraw. Model hybrydowy może połączyć te działania z wcześniejszą analizą. Przy kilku lokalizacjach uwzględniamy różnice organizacji pracy i dostępności administratorów. Forma współpracy służy pozyskaniu właściwych dowodów; nie zastępuje ustalenia zakresu oraz kryteriów badania.

Co wpływa na koszt i termin audytu?

Wycena dla jednostki zależy od liczby systemów, komórek i lokalizacji oraz zakresu wymaganej oceny. Znaczenie ma udział podmiotu obsługującego IT i dostępność dokumentów. Audyt samej organizacji bezpieczeństwa wymaga innego planu niż dodatkowy przegląd techniczny lub zagadnienia interoperacyjności. Te elementy powinny zostać rozdzielone przed ustaleniem warunków.

W zapytaniu warto wskazać rodzaj jednostki, liczbę miejsc pracy i najważniejsze aplikacje dziedzinowe. Przydatna jest informacja o poprzednim audycie, otwartych zaleceniach oraz zmianach w ciągu ostatniego okresu. Jeśli istnieje szczegółowy opis wymagań zamawiającego, należy określić, jaki rezultat przewiduje. Materiały wrażliwe przekazujemy dopiero po ustaleniu zasad.

Oferta opisuje czynności, dokument końcowy i model realizacji. Dodatkowa weryfikacja wykonania zaleceń może stanowić osobny etap. Przy terminie wynikającym z planu jednostki warto uwzględnić dostępność pracowników i partnera serwisowego. Szybkie przygotowanie listy kontaktów oraz właściwych wersji materiałów pomaga sprawniej rozpocząć pracę bez ograniczania zakresu do dokumentów, które przypadkowo są najłatwiejsze do odnalezienia.

Poufność i bezpieczna współpraca

W audycie jednostki należy chronić zarówno informacje o zabezpieczeniach, jak i dane dotyczące spraw. Warto ustalić, które materiały można przekazać, a które wymagają wglądu na miejscu lub w kontrolowanym środowisku. Zakres dostępu powinien wynikać z celu czynności. Nie ma potrzeby kopiowania całych akt, jeśli wystarczy przykład pokazujący przebieg procesu.

Raport może wymagać różnych poziomów obiegu. Kierownictwo potrzebuje obrazu ryzyka i priorytetów, administrator szczegółów konfiguracji, a właściciel procesu zadań organizacyjnych. Dostawcy można przekazać wydzielone ustalenia dotyczące jego usługi. Takie rozdzielenie pozwala wykonać zalecenia bez niepotrzebnego ujawniania pełnej mapy problemów wszystkim uczestnikom.

Zasady przechowywania i przekazania materiałów powinny być ustalone przed badaniem. Ważne jest zachowanie ścieżki dowodowej oraz kontroli odbiorców. Jeżeli do przykładu usunięto dane identyfikujące osoby, trzeba pozostawić elementy potrzebne do oceny czynności. Poufność nie polega na rezygnacji z dowodów, ale na dobraniu bezpiecznego i adekwatnego sposobu ich udostępnienia.

Jak przekazać zapytanie o audyt?

W formularzu opisz zadania jednostki i potrzebny zakres audytu. Wskaż, czy chodzi o ocenę okresową, wybrany obszar czy sprawdzenie wcześniejszych zaleceń. Przy wielu lokalizacjach podaj ich liczbę i sposób obsługi informatycznej. Informacja o centrum usług wspólnych lub dostawcy pozwala ustalić, kto powinien uczestniczyć w pierwszej rozmowie.

Możesz również wskazać zmiany: wdrożenie aplikacji, przeniesienie zasobów lub reorganizację. Pomaga to zaplanować dowody i okres oceny. Nie wysyłaj akt spraw, danych mieszkańców ani haseł. Szczegółowe materiały omawiamy i przekazujemy w uzgodnionym kanale po określeniu warunków współpracy.

Po rozpoznaniu przedstawiamy kryteria, czynności i potrzebne materiały. Jeśli opis zamówienia używa szerokiego określenia „KRI”, doprecyzowujemy, czy obejmuje sam audyt bezpieczeństwa czy także inne wymagania rozporządzenia. Czytelne granice ułatwiają porównanie ofert i wykorzystanie wyniku. Jednostka może wtedy planować dalsze działania na podstawie obszarów rzeczywiście zbadanych, bez przypisywania raportowi szerszego znaczenia.

Lista kontrolna dla koordynatora w jednostce

Przed rozpoczęciem wskaż komórki i systemy objęte badaniem. Dla każdego obszaru ustal osobę, która zna proces oraz ma możliwość przekazania właściwych materiałów. Koordynator nie powinien zastępować wszystkich właścicieli: jego rolą jest uporządkowanie współpracy i kompletności informacji. Jeśli jednostka korzysta ze wspólnej obsługi, trzeba wyjaśnić, gdzie znajdują się decyzje i dowody.

Następnie przygotuj listę obowiązujących dokumentów. Ważne są wersje, daty i zakres. Stara instrukcja może pozostać w folderze obok aktualnej i zostać omyłkowo przedstawiona jako dowód. Uporządkowanie tych informacji ogranicza czas poświęcony na wyjaśnienia. Dla dokumentów projektowanych wskaż, że nie zostały jeszcze wdrożone.

Zbierz wybrane przykłady: nadanie dostępu, zmiana stanowiska, odejście, obsługa zgłoszenia i test odtwarzania. Przykład powinien pokazywać przebieg, odpowiedzialność i wynik bez zbędnych danych osobowych. Jeżeli czynności nie dokumentowano, warto wskazać ten fakt i opisać sposób jej wykonywania. Pozwala to sformułować właściwe ustalenie zamiast traktować wszystkie braki jako identyczne.

Przejrzyj wcześniejsze zalecenia. Wskaż zadania zakończone, otwarte i odroczone wraz z uzasadnieniem. Jeżeli zmienił się system lub właściciel, potrzebna jest aktualizacja odpowiedzialności. Przy zadaniu zakończonym przygotuj materiał potwierdzający rezultat. Informacja o zakupie nie zawsze potwierdza uruchomienie mechanizmu i jego wykorzystanie.

Na koniec ustal sposób omówienia wyników z kierownictwem i właścicielami procesów. Spotkanie podsumowujące powinno pomóc rozdzielić zadania, wskazać priorytety i określić sposób nadzoru. Utrzymanie rejestru zaleceń z terminami oraz kryteriami zakończenia pozwala wykorzystać audyt do poprawy działania jednostki, a nie tylko do odłożenia raportu w archiwum.

Najczęściej zadawane pytania

Czy audyt KRI jest tylko przeglądem komputerów?

Nie. Bezpieczeństwo informacji obejmuje odpowiedzialność, procedury, personel i sposób korzystania z systemów. Przegląd techniczny może być elementem, ale nie zastępuje oceny organizacji procesów. Potrzebne są informacje o zadaniach jednostki, dostępie, ryzykach i obsłudze zdarzeń. Zakres uzgadniamy tak, aby wynik pokazywał rzeczywisty stan badanych obszarów, a nie tylko parametry sprzętu w dniu wykonania oględzin.

Jak często przepisy przewidują audyt bezpieczeństwa informacji?

Rozporządzenie KRI z 21 maja 2024 r. w § 19 ust. 2 pkt 14 wskazuje okresowy audyt wewnętrzny bezpieczeństwa informacji nie rzadziej niż raz w roku. Przy planowaniu należy sprawdzić aktualną podstawę i sytuację jednostki. Plan powinien uwzględniać ryzyko, istotne zmiany i wcześniejsze ustalenia. Częstotliwość nie przesądza sama o identycznym zakresie każdej edycji ani o wykonaniu pełnego przeglądu wszystkich zagadnień informatyzacji.

Czy wystarczy mieć politykę bezpieczeństwa?

Polityka jest ważna, ale trzeba sprawdzić jej wdrożenie i utrzymanie. Przydatne są przykłady wniosków o dostęp, przeglądów, testów i obsługi zdarzeń. Audyt ocenia, czy zapisy odnoszą się do rzeczywistego środowiska oraz czy użytkownicy potrafią je zastosować. Dokument nieaktualny lub zawierający nieistniejące role może utrudniać pracę. Rekomendacja może dotyczyć uproszczenia zasad i połączenia ich z wykonywanymi czynnościami.

Czy dokumentacja RODO zastępuje audyt KRI?

Nie automatycznie. Ochrona danych osobowych i bezpieczeństwo informacji mają wspólne elementy, ale zakresy oraz kryteria nie są tożsame. KRI może obejmować informacje inne niż dane osobowe i organizację systemów wykorzystywanych do zadań publicznych. Warto wykorzystać wspólne wykazy oraz analizy, unikając duplikatów. Raport powinien jasno wskazać, co zbadano, zamiast sugerować, że jeden przegląd potwierdza wszystkie obowiązki jednostki.

Czy audyt KRI jest certyfikacją ISO 27001?

Nie. Audyt odnoszący się do wymagań KRI i certyfikacja systemu zarządzania mają odrębny charakter. Istniejąca dokumentacja oparta na normach może być przydatna, lecz trzeba sprawdzić jej zakres oraz działanie. Nie obiecujemy wydania certyfikatu ISO w ramach tej usługi. Jeżeli jednostka oczekuje przygotowania do odrębnej procedury, powinno to zostać przedstawione jako osobny cel i odpowiednio opisany zakres zlecenia.

Jakie materiały przygotować na początku?

Przydatne są polityki, wykaz systemów, inwentaryzacja, analiza ryzyka, zasady zarządzania dostępem i wcześniejsze raporty. Warto dodać przykłady wykonanych czynności oraz informacje o dostawcach. Nie trzeba przekazywać wszystkiego od razu; listę dopasowujemy do zakresu. Materiały powinny mieć wersję i datę, a projekty być oznaczone. Dzięki temu można odróżnić planowane rozwiązanie od zasady rzeczywiście obowiązującej w jednostce.

Co zrobić, jeśli dostawca posiada dokumentację techniczną?

Warto wcześniej ustalić udział dostawcy i dostępność potrzebnych informacji. Część dowodów można uzyskać jako raport, prezentację lub wyjaśnienie, bez przekazywania pełnej dokumentacji infrastruktury. Jednostka powinna wiedzieć, jakie materiały może otrzymać na podstawie umowy. Jeżeli dowodu nie da się pozyskać, ograniczenie powinno być opisane. Audyt może wskazać temat do uzupełnienia warunków współpracy, zamiast zakładać niepotwierdzony stan zabezpieczeń.

Czy trzeba przekazać dane mieszkańców?

Nie należy zakładać takiej potrzeby. Często można ocenić proces na podstawie przykładów pozbawionych danych identyfikujących osoby. Zachowujemy elementy potrzebne do potwierdzenia czynności, na przykład datę, rolę i status. Jeżeli materiał wymaga szczególnej ochrony, ustalamy kontrolowaną formę wglądu. Formularz kontaktowy służy do zgłoszenia potrzeby audytu, a nie przekazywania akt spraw, pełnych baz czy haseł do systemów.

Czy audyt można przeprowadzić bez przerywania obsługi?

Plan organizujemy tak, aby ograniczyć obciążenie komórek. Rozmowy mają ustalonych uczestników, a przegląd dokumentów może odbywać się niezależnie od spotkań. Oględziny i prezentacje uzgadniamy z osobami odpowiedzialnymi. Czynności potencjalnie wpływające na usługi wymagają odrębnych warunków. Audyt nie oznacza samodzielnego wyłączania aplikacji ani ingerencji w konfigurację. Przygotowanie materiałów i kontaktów z wyprzedzeniem ułatwia płynny przebieg.

Czy audyt obejmie wszystkie jednostki podległe?

Zakres należy ustalić wprost. Wspólna obsługa IT nie oznacza automatycznie objęcia wszystkich procesów i lokalizacji. Warto wskazać jednostki, ich systemy oraz sposób odpowiedzialności za informacje. Możliwe jest zastosowanie próby odpowiadającej ryzyku i celowi badania. Raport powinien określać granice, tak aby odbiorca nie traktował wniosków z jednej lokalizacji jako pełnej oceny miejsc, których nie sprawdzono.

Czy realizujecie audyty na terenie całego kraju?

Tak. Badania realizujemy w całej Polsce zdalnie, stacjonarnie lub hybrydowo. Model dobieramy do dowodów i warunków jednostki. Dokumenty oraz rozmowy często można analizować na odległość, a ocenę warunków fizycznych przeprowadzić podczas wizyty. Przy jednostce wielolokalizacyjnej ustalamy plan udziału komórek i dobór miejsc. Forma pracy powinna zapewniać możliwość rzetelnej oceny, z poszanowaniem ciągłości zadań i zasad ochrony informacji.

Czy wcześniejsze zalecenia będą uwzględnione?

Tak, jeżeli ten element jest objęty zleceniem i jednostka udostępnia odpowiednie materiały. Warto sprawdzić rezultat, nie tylko status w rejestrze. Nowa procedura może wymagać dowodu zastosowania, a zmiana techniczna potwierdzenia konfiguracji lub testu. Powracające ustalenie może wskazywać, że nie usunięto przyczyny. Przegląd wcześniejszych zaleceń pomaga ustalić priorytety i ocenić skuteczność nadzoru między kolejnymi badaniami.

Czy pozytywny wynik oznacza pełną zgodność jednostki?

Wynik dotyczy uzgodnionego zakresu, czasu i dostępnych dowodów. Nie jest gwarancją zgodności z wszystkimi regulacjami ani braku przyszłych zdarzeń. Badanie może korzystać z próby, a część obszarów pozostawać poza zleceniem. Dlatego raport powinien opisywać ograniczenia oraz podstawę ustaleń. Odpowiednie korzystanie z wyniku pozwala kierownikowi zaplanować działania i zdecydować, gdzie potrzebna jest dodatkowa weryfikacja.

Oficjalne źródła i wymagania

Tekst rozporządzenia jest punktem odniesienia dla kryteriów KRI. Przed planowaniem badania sprawdzamy aktualny stan oraz zakres dotyczący jednostki. Warunki zlecenia rozróżniają audyt bezpieczeństwa i dodatkowe zagadnienia interoperacyjności.

• Rozporządzenie KRI z 21 maja 2024 r., Dz.U. 2024 poz. 773