Laboratorium 10

Powiązanie z sylabusem i treściami programowymi:

• U4 Opracowanie zaawansowanego, kompletnego raportu poaudytowego (8-12 stron A4) z matrycą ryzyka, kartami uchybień, analizą 5 Why i tabelą CAP oraz wygłoszenie 15-minutowego referatu seminaryjnego.
• U2 Identyfikacja, precyzyjny opis i formalna gradacja uchybień audytowych na Niezgodności Duże (NC1), Niezgodności Małe (NC2) oraz Szanse na doskonalenie (OFI) w administracji samorządowej.
• U1 Opracowanie zaawansowanych zaleceń inżynierskich i proceduralnych harmonizujących procesy ochrony danych (RODO), notyfikacji incydentów do CSIRT NASK (NIS2) oraz rozliczalności rejestrów publicznych (KRI).
• U3 Przeprowadzenie analizy ryzyka w podejściu risk-based audit z użyciem matrycy 3x3 dla 4 wektorów zagrożeń, wyliczając poziom ryzyka inherentnego (IR) oraz rezydualnego (RR).
• W1 Zaawansowana znajomość wymogów prawnych § 19 i § 20 rozporządzenia KRI, Ustawy o informatyzacji działalności podmiotów realizujących zadania publiczne, art. 21 i 23 NIS2, art. 32 i 33 RODO oraz Ustawy o samorządzie gminnym.
• W2W3 Rozumienie relacji pomiędzy wymaganiami normy ISO/IEC 27001:2022 (klauzule 9.2, 9.3 i 10.2), normy ISO 22301 (ciągłość działania) a standardami cyberbezpieczeństwa w samorządach.
• K1K2K3 Niezależność osądu audytorskiego, odpowiedzialność za bezpieczeństwo danych obywateli oraz profesjonalna komunikacja z organami wykonawczymi gminy.
• Powiązanie z wykładem: Wyk1 (Ład zarządczy SZBI w administracji), Wyk2 (Metodyka audytu ISO 19011), Wyk3 (Kontrole Załącznika A ISO 27001), Wyk4 (Triada RODO, NIS2 i KRI w sektorze publicznym), Wyk5 (Matryca ryzyka 3x3 ISO 27005), Wyk7 (Metoda 5 Why, Karty Niezgodności i Plan CAP).

Wybrane efekty uczenia się realizowane w tym zadaniu:

• U4 Opracowanie zaawansowanego raportu poaudytowego RODO/NIS2/KRI dla samorządu (8-12 stron A4).
• U2 Precyzyjna gradacja uchybień na NC1, NC2 i OFI wraz z referencją do normy ISO 27001 i ustaw.
• U1 Projekt inżynierski procedury DRP, automatyzacji cyklu życia tożsamości oraz zintegrowanej ścieżki incydentowej.
• U3 Zaawansowana analiza ryzyka w matrycy 3x3 dla 4 wektorów (IR vs RR).
• W1W2W3 Biegła znajomość zbieżności prawa (RODO, NIS2, KRI) i standardów zarządzania bezpieczeństwem.
• K1K2K3 Obiektywizm audytorski, profesjonalna komunikacja zarządcza i etyka zawodowa.

Podstawy prawne i normatywne zadania: RODO art. 5, 24, 32 i 33; dyrektywa NIS2 art. 21 i 23; ustawa o KSC art. 8, 10 i 11; rozporządzenie w sprawie KRI § 19 i § 20; ustawa o informatyzacji działalności podmiotów realizujących zadania publiczne; PN-EN ISO/IEC 27001:2022; PN-EN ISO 19011:2018

Temat zadania: ZAAWANSOWANY AUDYT ZGODNOŚCI URZĘDU SAMORZĄDOWEGO Z TRIADĄ REGULACYJNĄ: MATRYCA RYZYKA 3X3 DLA E-USŁUG I REJESTRÓW MIESZKAŃCÓW, GRADACJA NC1/NC2/OFI DLA EZD, DOCHODZENIE 5 WHY DLA BRAKU PROCEDUR INCYDENTOWYCH ORAZ PLAN CAP ZE WSKAŹNIKAMI KPI

Głównym celem zadania jest opanowanie przez studentów zaawansowanych umiejętności przeprowadzania zintegrowanego badania audytowego w jednostce samorządu terytorialnego podlegającej równolegle trzem komplementarnym reżimom prawnym: ogólnemu rozporządzeniu o ochronie danych (RODO), Dyrektywie NIS2 / Ustawie o Krajowym Systemie Cyberbezpieczeństwa (status podmiotu kluczowego sektora administracji publicznej) oraz Rozporządzeniu w sprawie Krajowych Ram Interoperacyjności (§ 19 i § 20 rozporządzenia KRI). Studenci badają stan bezpieczeństwa Urzędu Miasta i Gminy w Piasecznie, analizując wzajemne relacje pomiędzy ochroną prywatności mieszkańców, cyberodpornością systemów teleinformatycznych a ciągłością świadczenia e-usług publicznych.

Zadanie na ocenę 4.0 wymaga: opracowania wieloaspektowego Podsumowania Menedżerskiego (Executive Summary) dla Burmistrza i Skarbnika Gminy, przeprowadzenia sformalizowanej analizy ryzyka w matrycy 3x3 dla 4 wektorów zagrożeń (w ujęciu ryzyka inherentnego IR i rezydualnego RR), sporządzenia formalnych Kart Niezgodności (NC1/NC2/OFI) z powołaniem normy PN-EN ISO/IEC 27001:2022 oraz właściwych artykułów prawa, przeprowadzenia dochodzenia przyczyn źródłowych metodą 5 Why (Root Cause Analysis) dla braku procedur zgłaszania incydentów i nieautoryzowanych dostępów w systemie EZD, a także skonstruowania kompletnego Planu Działań Korygujących (CAP) ze wskaźnikami KPI i terminami 14-90 dni.

Kryterium zaliczenia zadania: sprawozdanie poaudytowe uznaje się za zaliczone, jeżeli zawiera dwupoziomowe Podsumowanie Menedżerskie, metrykę audytu, kartę organizacyjną, katalog uchybień sklasyfikowanych jako NC1, NC2 lub OFI z odwołaniem do przepisu lub kontrolki normatywnej, tabelę matrycy ryzyka 3 × 3 z wyliczeniem IR i RR dla czterech wektorów zagrożeń, protokół dochodzenia przyczyn źródłowych metodą 5 Why, jedną zintegrowaną procedurę reagowania na incydent z terminami 24/72/72 godzin, tabelę planu działań korygujących o sześciu kolumnach z terminami 14-90 dni i wskaźnikami KPI, analizę wad i zalet rozwiązania oraz bibliografię z numerami artykułów i paragrafów.

Karta organizacyjna analizowanej jednostki (na podstawie scenariusza):

Narracja scenariusza i stan faktyczny w obszarze zbadanym:

Urząd Miasta i Gminy w Piasecznie zatrudnia 180 pracowników, realizując zadania publiczne na rzecz 80 000 mieszkańców w zakresie ewidencji ludności, podatków i opłat lokalnych, gospodarki nieruchomościami oraz e-usług ePUAP i mObywatel. Infrastruktura IT urzędu obejmuje centralną serwerownię z 25 serwerami wirtualnymi, 210 stacji roboczych oraz system Elektronicznego Zarządzania Dokumentacją (EZD). Urząd jako podmiot prawa publicznego podlega równolegle przepisom RODO, Rozporządzenia w sprawie Krajowych Ram Interoperacyjności (KRI) oraz wdrożeniu Dyrektywy NIS2 jako podmiot kluczowy administracji publicznej.

Stan faktyczny w obszarze zbadanym i zidentyfikowane luki:

• Obszar RODO i KRI (Zarządzanie tożsamością i uprawnieniami w EZD): W toku audytu ujawniono, że 14 byłych pracowników urzędu nadal posiadało aktywne konta domenowe i pełny dostęp do rejestrów kancelaryjnych EZD zawierających dane wrażliwe mieszkańców (w tym dane o sytuacji materialnej i orzeczenia MOPS). Co więcej, logi systemowe wykazały, że jedno z kont byłego urzędnika było wykorzystywane do zdalnego logowania przez sieć VPN 2 miesiące po rozwiązaniu stosunku pracy. W EZD brak jest mechanizmu automatycznego wygaszania uprawnień po zakończeniu prowadzenia sprawy, co narusza art. 5 ust. 1 lit. c i f oraz art. 32 RODO, a także § 19 i § 20 rozporządzenia w sprawie KRI ust. 2 pkt 3 KRI.
• Obszar NIS2 i KRI (Ciągłość działania i reagowanie na incydenty): Urząd nie posiada sformalizowanej procedury reagowania na incydenty cyberbezpieczeństwa zintegrowanej z raportowaniem do CSIRT NASK w rygorze wczesnego ostrzeżenia w ciągu 24 godzin oraz zgłoszenia incydentu w ciągu 72 godzin (art. 23 NIS2 i art. 11 ustawy o KSC). W serwerowni brak jest przetestowanego planu odzyskiwania danych po katastrofie (Disaster Recovery Plan - DRP); kopie baz danych EZD są wykonywane, lecz testów odtworzeniowych nie przeprowadzono od ponad 3 lat (naruszenie § 19 i § 20 rozporządzenia w sprawie KRI ust. 2 pkt 10 KRI oraz art. 21 NIS2).
• Obszar Ładu Zarządczego (Governance): Ostatni formalny audyt SZBI przeprowadzono 18 miesięcy temu, co narusza roczny cykl audytowy z § 19 i § 20 rozporządzenia w sprawie KRI ust. 1 KRI. Dokumentacja Polityki Bezpieczeństwa Informacji (PBI) nie była aktualizowana od 2018 r. i nie uwzględnia nowej struktury zagrożeń teleinformatycznych ani przepisów NIS2.
• Szansa na doskonalenie (OFI): Brak centralnego klastra korelacji zdarzeń SIEM/SOC integrującego logi z zapór brzegowych, serwerów EZD i punktów końcowych.

Burmistrz Piaseczna oczekuje zaawansowanego raportu poaudytowego, który w sposób jednoznaczny wykaże luki w triadzie regulacyjnej, oceni ryzyko paraliżu urzędu w matrycy 3x3 oraz przedstawi Plan Działań Korygujących (CAP) ze wskaźnikami KPI możliwymi do ujęcia w budżecie gminy.

W skład zespołu wchodzą studenci realizujący następujące role:

• Rola 1: Audytor Wiodący / Governance i Zgodność KRI (Lead Auditor) - koordynuje prace zespołu, redaguje Executive Summary dla Burmistrza i Skarbnika, bada ład zarządczy urzędu, weryfikuje spełnienie § 19 i § 20 rozporządzenia KRI oraz procedury dystrybucji raportu wg ISO 19011.
• Rola 2: Audytor Techniczny Cyberbezpieczeństwa i NIS2 (Cybersecurity Specialist) - bada brak procedur DRP, luki w Active Directory, logi VPN, brak procedury notyfikacji do CSIRT NASK, projektuje architekturę odzyskiwania danych i formułuje zalecenia inżynierskie.
• Rola 3: Audytor Ochrony Danych Osobowych, Ryzyka i CAP (Privacy & Risk Specialist) - przeprowadza analizę ryzyka w matrycy 3x3, sporządza formalne karty niezgodności (NC1/NC2/OFI), prowadzi procedurę 5 Why oraz konstruuje kompletną tabelę Planu Działań Korygujących (CAP) z KPI. W zespole 2-osobowym zadania te dzielą Studenci 1 i 2.

Na co zwrócić uwagę przy analizie scenariusza:

• 1 Najpierw ustalcie, który z trzech reżimów regulacyjnych jest właściwy dla każdej uchybienia: ta sama okoliczność może być jednocześnie naruszeniem RODO, art. 21 dyrektywy NIS2 i wymogów § 19 rozporządzenia w sprawie KRI.
• 2 Rozróżnijcie objaw od przyczyny źródłowej: brak mechanizmu wygaszania uprawnień jest skutkiem, a przyczyną źródłową jest brak zintegrowanej polityki zarządzania tożsamością powiązanej z procesami kadrowymi.
• 3 Uzasadnijcie wagę każdej karty niezgodności liczbowo: dla każdego wektora podajcie wartości P i S w skali 1-3, iloczyn IR oraz RR po wdrożeniu kontroli, ponieważ priorytet uchybienia musi wynikać z tej arytmetyki, a nie z wrażeń audytora.
• 4 Każdy wiersz tabeli CAP musi domknąć pętlę weryfikacji: właściciel biznesowy, termin 14-90 dni, mieralny KPI z liczbą i datą graniczną oraz zaplanowany przegląd skuteczności działań naprawczych, który zostanie poddany monitoringowi i audytowi sprawdzającemu.

Odpowiedzcie w zespołach na poniższe pytania przed przystąpieniem do redagowania sprawozdania poaudytowego:

1. W jaki sposób audytor powinien sformułować uzasadnienie biznesowe i prawne dla Burmistrza gminy, aby wykazać konieczność sfinansowania procedury DRP i zapasowego węzła IT w obliczu ograniczonych środków budżetowych jednostki samorządu terytorialnego, opierając argumentację na § 19 ust. 2 pkt 10 rozporządzenia w sprawie KRI oraz art. 21 dyrektywy NIS2?
2. Jakie konkretne wymogi formalne nakłada § 19 rozporządzenia w sprawie KRI na proces okresowego przeglądu uprawnień w systemach teleinformatycznych i jak zintegrować ten proces z procedurami kadrowymi oraz z ewidencją czynności przetwarzania?
3. Czym różni się podejście audytowe oparte na spełnieniu checklisty zgodności od audytu opartego na ryzyku (Risk-Based Audit) w ocenie odporności urzędu na ataki ransomware w świetle art. 21 dyrektywy NIS2 i wymogów § 19 rozporządzenia w sprawie KRI?
4. Dla wektora nieuprawnionego dostępu do danych mieszkańców przez aktywne konta 14 byłych pracowników, ocenianego wobec art. 5 ust. 1 lit. c i f oraz art. 32 RODO, przypisz wartości P i S w skali 1-3, wylicz ryzyko inherentne IR jako iloczyn P i S, a następnie ryzyko rezydualne RR po wdrożeniu automatycznego wygaszania uprawnień, i uzasadnij każdą z czterech przyjętych wartości.
5. Rozwiń pełną sekwencję 5 Why dla karty NC1 o braku procedury weryfikacji i odbierania uprawnień po ustaniu zatrudnienia, opartej na kontroli A.5.18 normy PN-EN ISO/IEC 27001:2022 i art. 32 RODO, prowadząc od zdalnego logowania konta byłego urzędnika przez VPN aż do braku Zintegrowanej Polityki Zarządzania Tożsamością i Uprawnieniami, i wskaż przyczynę źródłową piątego poziomu.
6. Dla karty NC1 o braku planu DRP i testów odtwarzania, opartej na kontroli A.8.13 normy PN-EN ISO/IEC 27001:2022, złóż wiersz planu CAP z sześcioma kolumnami, wskaż właściciela biznesowego, termin z przedziału 14-90 dni oraz mieralny KPI z liczbą i datą graniczną, a także sposób weryfikacji skuteczności działania.

Pytania problemowe z zakresu raportu:

• W jaki sposób audytor powinien sformułować uzasadnienie biznesowe i prawne dla Burmistrza gminy, aby wykazać konieczność sfinansowania procedury DRP i zapasowego węzła IT w obliczu ograniczonych środków budżetowych JST?
• Jakie konkretne wymogi formalne nakłada paragraf 20 Rozporządzenia w sprawie Krajowych Ram Interoperacyjności na proces okresowego przeglądu uprawnień w systemach teleinformatycznych i jak zintegrować ten proces z procedurami kadrowymi?
• Czym różni się podejście audytowe oparte na spełnieniu checklisty zgodności od audytu opartego na ryzyku (Risk-Based Audit) w ocenie odporności urzędu na ataki ransomware w świetle Dyrektywy NIS2?

Uwaga: Każda odpowiedź musi odwoływać się do konkretnego kryterium audytowego: artykułu ustawy albo rozporządzenia, punktu kontrolnego normy PN-EN ISO/IEC 27001:2022 bądź numeru wektora zagrożenia w macierzy ryzyka 3x3. Podejście risk-based reporting wymaga, aby każdy wektor zagrożenia otrzymał wyliczone ryzyko inherentne IR jako iloczyn prawdopodobieństwa P i skutku S w skali 1-3 oraz ryzyko rezydualne RR po wdrożeniu kontroli naprawczej; sam opis zagrożenia bez obu wartości nie zalicza punktacji. Ustalenia graduj wyłącznie jako NC1, NC2 albo OFI, a do każdej karty dołącz pełną sekwencję 5 Why prowadzącą do przyczyny źródłowej. Odpowiedź bez odwołania do przepisu, normy lub mieralnego wskaźnika KPI z planu CAP nie zalicza punktacji.

Praca w zespole 2-3 osobowym polega na przeprowadzeniu zaawansowanego studium przypadku: audyt oparty na ryzyku (Risk-Based Audit), formalna gradacja uchybień do NC1, NC2 i OFI, dochodzenie przyczyn źródłowych metodą 5 Why oraz konstrukcja planu działań korygujących z wskaźnikami KPI i terminami 14-90 dni.

Zadanie realizowane jest przez 2-3 osobowy zespół audytorski w formule zaawansowanego studium przypadku:

• Krok 1 (Podział ról i integracja triady regulacyjnej):

  Student 1 (Audytor Wiodący): Tworzy metrykę audytu zintegrowanego, zakres przedmiotowy (RODO, NIS2, KRI) oraz redaguje dwupoziomowe Executive Summary dla Burmistrza z akcentem na odpowiedzialność prawną i finansową JST.

  Student 2 (Audytor Techniczny): Opracowuje techniczny opis luk w zarządzaniu kontami EZD, braku testów kopii zapasowych, braku planu DRP oraz procedur notyfikacji incydentów do CSIRT NASK.

  Student 3 (Audytor Ryzyka i CAP): Przeprowadza pełną analizę ryzyka w matrycy 3x3 dla 4 wektorów, sporządza karty niezgodności (NC1, NC2, OFI), przeprowadza sekwencję 5 Why oraz tworzy tabelę Planu CAP ze wskaźnikami KPI i terminami 14-90 dni.

• Krok 3 (Formalna kwalifikacja uchybień - Karty Niezgodności):

  Sformułujcie karty uchybień:

  • Niezgodność Duża (NC1): Brak planu Disaster Recovery (DRP) oraz brak okresowych testów odzyskiwania danych krytycznych rejestrów meldunkowych i EZD (naruszenie § 19 i § 20 rozporządzenia w sprawie KRI ust. 2 pkt 10 KRI, art. 21 NIS2 oraz kontroli ISO/IEC 27001:2022 A.8.13 i A.8.14).
  • Niezgodność Duża (NC1): Brak procedury weryfikacji i odbierania uprawnień użytkownikom po ustaniu zatrudnienia skutkujący logowaniem byłego pracownika (naruszenie § 19 i § 20 rozporządzenia w sprawie KRI ust. 2 pkt 3 KRI, art. 32 RODO oraz kontroli ISO 27001 A.5.18 i A.8.2).
  • Niezgodność Mała (NC2): Brak sformalizowanej i przetestowanej procedury zgłaszania incydentów poważnych do CSIRT NASK w rygorze 24h/72h (naruszenie art. 21 i 23 Dyrektywy NIS2).
  • Szansa na doskonalenie (OFI): Wdrożenie centralnego systemu korelacji logów SIEM/SOC w architekturze współdzielonej z powiatem piaseczyńskim.
• Krok 5 (Konstrukcja Planu Działań Korygujących - CAP):

  Opracujcie tabelę CAP z kolumnami: Lp., Identyfikacja uchybienia (NC1/NC2/OFI), Działanie naprawcze, Właściciel biznesowy, Termin (14-90 dni), Wskaźnik sukcesu (KPI).

• Krok 6 (Przygotowanie raportu i referatu):

  Zredagujcie kompletny raport poaudytowy (8-12 stron A4) i przygotujcie 15-minutową prezentację seminaryjną.

Uwaga: Krok 2 (analiza ryzyka w matrycy 3 × 3 dla czterech wektorów zagrożeń) oraz Krok 4 (protokół dochodzenia przyczyn źródłowych 5 Why) przedstawiono w sekcji „Wzorcowa koncepcja rozwiązania problemu” w postaci tabeli ryzyka z wyliczeniem IR i RR oraz tabeli pięciu poziomów przyczyn.

Interaktywny warsztat 5 Why, w którym prześledzicie przyczynę źródłową własnego zadania, znajduje się w sekcji Protokół 5 Why.

Podział ról w triadzie audytorskiej:

• Rola 1 - Audytor Wiodący metryka audytu zintegrowanego, zakres przedmiotowy (RODO, NIS2, KRI), dwupoziomowe Podsumowanie Menedżerskie dla władz samorządowych, koordynacja sprawozdania i obrony ustnej.
• Rola 2 - Audytor Techniczny opis luk w zarządzaniu kontami i uprawnieniami, odporność teleinformatyczna, zarządzanie podatnościami, separacja stref IT/OT/IoT, model 3-2-1 kopii zapasowych, ścieżka zgłaszania incydentów poważnych w terminach 24 i 72 godzin.
• Rola 3 - Audytor Ryzyka i CAP analiza ryzyka w matrycy 3 × 3, wyliczenie IR i RR dla czterech wektorów, karty NC1, NC2 i OFI, sekwencja 5 Why oraz tabela CAP z rolami, terminami 14-90 dni i wskaźnikami KPI.
• Rola 4 - Audytor Ochrony Danych Osobowych i Zgodności z RODO legalność przetwarzania, w tym art. 9 RODO, rejestry czynności, umowy powierzenia (art. 28), środki techniczne i organizacyjne (art. 32) oraz procedura zawiadamiania Prezesa UODO. W zespole trzyosobowym rolę tę realizują wspólnie osoby pełniące rolę 1 i rolę 2.

Pełny harmonogram ćwiczenia wraz z zegarem 4 × 45 minut, podziałem etapów między role i listą artefaktów znajduje się w sekcji Interaktywny harmonogram ćwiczeń. Wartości P, S, IR i RR dla wektorów zagrożeń wyliczacie w sekcji Interaktywny kalkulator ryzyka, ich sumaryczny bilans weryfikujecie w sekcji macierzy ryzyka 3 × 3, a sekwencję przyczyn źródłowych prowadzicie w sekcji protokole 5 Why.

Plan prezentacji referatu seminaryjnego (15 minut):

• Wprowadzenie do audytu zintegrowanego w Urzędzie Miasta i Gminy w Piasecznie (3 min): Podstawa prawna triady RODO, NIS2 i KRI, cel badania i profil gminy (Student 1).
• Podsumowanie Menedżerskie dla Burmistrza i analiza ryzyk 3x3 (3 min): Prezentacja profilu ryzyka gminy, 4 wektorów zagrożeń i wyliczeń IR vs RR (Student 1 lub Student 3).
• Szczegółowe ustalenia techniczne i dowody audytowe (3 min): Analiza logów VPN, braku DRP i stanu serwerowni oraz nadmiarowych uprawnień w EZD (Student 2).
• Karty niezgodności NC1/NC2/OFI, protokół 5 Why oraz Plan CAP (4 min): Dekonstrukcja przyczyn źródłowych, tabela planu naprawczego ze wskaźnikami KPI i terminami (Student 3 i Student 2).
• Podsumowanie, rekomendacje dla Rady Miejskiej i dyskusja (2 min): Odpowiedzi na pytania komisji laboratoryjnej (cały zespół).

Podczas wystąpienia seminaryjnego przedstawcie diagram przepływu informacji w przypadku wykrycia incydentu ransomware w węźle EZD urzędu: wskażcie, kto, w jakim terminie i w jakiej kolejności powiadamia Burmistrza, Zespół CSIRT NASK (w reżimie 24h NIS2) oraz Prezesa UODO (w reżimie 72h RODO) oraz jak zachować ciągłość e-usług publicznych zgodnie z KRI.

Wymagania formalne sprawozdania poaudytowego (ocena 4.0):

• Wymagane: sprawozdanie poaudytowe w formacie PDF o objętości 8-12 stron znormalizowanego maszynopisu A4 (2 400-3 600 słów), przekazane najpóźniej 24 godziny przed terminem zajęć;
• Wymagane: dwupoziomowe Podsumowanie Menedżerskie (Executive Summary) z syntezą zarządczą, technicznym aneksem dowodowym i co najmniej trzema decyzjami zarządczymi do podjęcia;
• Wymagane: wystąpienie seminaryjne trwające 15 minut, w którym każdy członek zespołu prezentuje własny fragment pracy i odpowiada na pytania kontrolne prowadzącego;
• Wymagane: strona tytułowa z nazwą jednostki, pełnym tytułem zadania, kodem Lab10 i składem zespołu z podziałem ról;
• Wymagane: metryka audytu: podstawa prawna, zakres, metoda, kryteria, dowody i uczestnicy;
• Wymagane: karta organizacyjna o co najmniej sześciu polach oraz katalog uchybień wraz ze skutkami operacyjnymi, prawnymi i reputacyjnymi;
• Wymagane: tabela matrycy ryzyka 3 × 3 dla czterech wektorów zagrożeń z wyliczeniem ryzyka inherentnego (IR = P × S), zaprojektowanych kontroli i ryzyka rezydualnego (RR);
• Wymagane: formalne karty niezgodności NC1 i NC2 oraz bilans OFI z precyzyjnym wskazaniem artykułu ustawy, paragrafu rozporządzenia lub punktu kontrolnego normy;
• Wymagane: protokół dochodzenia przyczyn źródłowych metodą 5 Why z przyczyną źródłową na poziomie zarządu, procesu lub systemu;
• Wymagane: jedna zintegrowana procedura reagowania na incydent obsługująca terminy 24/72/72 godzin;
• Wymagane: tabela planu działań korygujących (CAP) o sześciu kolumnach: Lp., identyfikacja uchybienia, działanie naprawcze, właściciel biznesowy, termin realizacji z przedziału 14-90 dni oraz mierzalny wskaźnik KPI;
• Wymagane: analiza wad i zalet własnego rozwiązania wraz z ograniczeniami przyjętych założeń;
• Wymagane: bibliografia z numerami artykułów i paragrafów oraz numerami kontrolek norm;
• Skutkuje niezaliczeniem: sprawozdanie krótsze niż 8 stron A4 albo dłuższe niż 12 stron, sprawozdanie bez procedury 5 Why, bez tabeli matrycy 3 × 3, bez planu CAP z KPI albo bez Podsumowania Menedżerskiego, referat bez bibliografii albo praca nieprzygotowana do obrony ustnej.

Szkic sprawozdania przygotowujecie w sekcji Formularz sprawozdania poaudytowego, a kompletność pracy sprawdzacie na czterech etapach ćwiczenia w sekcji checklistcie zgodności (licznik objętości wskazuje, czy tekst mieści się w wymaganych 8-12 stronach A4).

Uwaga: Najczęstsze błędy obniżające ocenę: przedstawienie scenariusza zamiast jego analizy, pominięcie wyliczenia IR i RR dla czterech wektorów w macierzy 3x3, urwana sekwencja 5 Why zamiast pełnych pięciu kroków, kwalifikowanie uchybień bez wskazania punktu kontrolnego normy i artykułu prawa, plan CAP bez właściciela biznesowego, terminu z przedziału 14-90 dni i mieralnego KPI, brak dwupoziomowego Podsumowania Menedżerskiego oraz sprawozdanie o objętości innej niż 8-12 stron A4 (2400-3600 słów przy 300 słów na stronę). Sprawozdanie musi zawierać Kartę organizacyjną o co najmniej 6 polach, karty NC1, NC2 i OFI, protokół 5 Why, analizę wad i zalet rozwiązania, co najmniej trzy konkretne decyzje zarządcze oraz co najmniej trzy wiersze planu CAP.

Wzorcowa tabela zaawansowanej analizy ryzyka – cztery wektory zagrożeń, ryzyko inherentne (IR) i rezydualne (RR) po projektowanych kontrolach (skala 1-3 × 1-3, strefy: 1-3 niskie, 4-6 średnie, 7-9 krytyczne):

Formalne karty niezgodności:

• Karta NC1 (Niezgodność Duża) - brak procedury DRP i testów odzyskiwania danych (§ 19 i § 20 rozporządzenia KRI, art. 21 NIS2, ISO 27001 A.8.13/A.8.14).
• Karta NC1 (Niezgodność Duża) - brak procedury wygaszania uprawnień i aktywne konta byłych urzędników (§ 19 i § 20 rozporządzenia KRI, art. 32 RODO, ISO 27001 A.5.18).
• Karta NC2 (Niezgodność Mała) - brak procedury zgłaszania incydentów do CSIRT NASK (art. 21 i 23 NIS2).
• Karta OFI (Szansa na doskonalenie) - integracja logów w klastrze SIEM/SOC.

Wzorcowy protokół dochodzenia przyczyn źródłowych metodą 5 Why:

Szczegółowe rozwiązanie inżynierskie i zarządcze:

• Projekt Zintegrowanej Procedury Zarządzania Incydentami i Naruszeniami Danych (ścieżka IOD-UODO oraz CISO-CSIRT NASK).
• Projekt procedury awaryjnego odzyskiwania danych po katastrofie (Disaster Recovery Plan) z modelem kopii zapasowych 3-2-1.
• Wzorcowa procedura elektronicznej karty odejścia pracownika (offboarding) sprzężona ze skryptem automatycznej deaktywacji w Active Directory.
• Wzór Zarządzenia Burmistrza w sprawie aktualizacji PBI i powołania Zespołu ds. Cyberbezpieczeństwa.

Wzorcowa tabela planu działań korygujących (CAP) z przypisaniem ról, terminów 14-90 dni i wskaźnikami KPI:

Bilans wdrożenia proponowanego rozwiązania dla tej jednostki:

Porównajcie koszt wdrożenia, liczbę zaangażowanych osób i ryzyko resztkowe. Rozwiązanie, które personel jest w stanie faktycznie stosować, jest skuteczniejsze niż rozbudowana procedura, której nikt nie przestrzega; uzasadnijcie wybrany wariant ryzyka, kosztu i obciążenia operacyjnego.

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 5, 24, 32, 33, 34.
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. (Dyrektywa NIS2) - art. 21, 23.
• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (Dz.U. z 2024 r. poz. 773) - § 19 (system zarządzania bezpieczeństwem informacji, w tym wymóg zapewnienia okresowego audytu wewnętrznego nie rzadziej niż raz na rok: § 19 ust. 2 pkt 14) oraz § 20 (rozliczalność i prowadzenie dzienników systemów, których zapisy przechowuje się co najmniej dwa lata, jeżeli przepisy odrębne nie stanowią inaczej). Rozporządzenie z dnia 12 kwietnia 2012 r. utraciło moc z dniem 23 maja 2024 r.
• Ustawa z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne (tekst jedn. Dz.U. z 2026 r. poz. 1241) - art. 18 jako podstawa prawna rozporządzenia w sprawie KRI.
• Norma PN-EN ISO/IEC 27001:2022: Systemy zarządzania bezpieczeństwem informacji - Wymagania i Załącznik A.
• Norma PN-EN ISO 19011:2018: Wytyczne dotyczące audytowania systemów zarządzania.
• Norma PN-EN ISO 22301:2020: Bezpieczeństwo powszechne - Systemy zarządzania ciągłością działania.
• Ministerstwo Cyfryzacji: "Wytyczne dotyczące cyberbezpieczeństwa w jednostkach samorządu terytorialnego", Warszawa 2023.

Podstawy prawne i normatywne obowiązujące w całym module (weryfikowany stan prawny):

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 5 (zasady przetwarzania, w tym minimalizacja, ograniczenie retencji i rozliczalność), art. 9 (dane szczególnych kategorii), art. 25 (ochrona danych z naturyry), art. 28 (przetwarzanie przez podmioty przetwarzające), art. 32 (bezpieczeństwo przetwarzania), art. 33 ust. 1 (zawiadomienie organu nadzorczego w terminie 72 godzin) oraz art. 34 (zawiadomienie osób, których dane dotyczą).
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (dyrektywa NIS2) - art. 21 (środki zarządzania ryzykiem, w tym bezpieczeństwo łańcucha dostaw) oraz art. 23 (wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie incydentu w ciągu 72 godzin, sprawozdanie końcowe w ciągu miesiąca).
• Ustawa z dnia 5 lipca 2018 r. o Krajowym Systemie Cyberbezpieczeństwa (tekst jedn. Dz.U. z 2026 r. poz. 20) - art. 8 (środki zapewniające poufność, integralność i dostępność oraz ograniczenie mechanizmów dostępu do systemów sterowania), art. 10 (dokumentacja), art. 11 (obsługa i zgłaszanie incydentów poważnych w ciągu 24 godzin) oraz art. 15 (audyt bezpieczeństwa co najmniej raz na 2 lata).
• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (Dz.U. z 2024 r. poz. 773) - § 19 (system zarządzania bezpieczeństwem informacji, w tym wymóg okresowego audytu wewnętrznego nie rzadziej niż raz na rok: § 19 ust. 2 pkt 14) oraz § 20 (rozliczalność i prowadzenie dzienników systemów, których zapisy przechowuje się co najmniej dwa lata). Rozporządzenie z dnia 12 kwietnia 2012 r. utraciło moc z dniem 23 maja 2024 r.
• Ustawa z dnia 17 lutnia 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne (tekst jedn. Dz.U. z 2026 r. poz. 1241) - art. 18 jako podstawa prawna rozporządzenia w sprawie KRI.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 (DORA) - art. 8 (zarządzanie ryzykiem operacyjnym ICT) oraz art. 9 i 10 (zdarzenia operacyjne ICT, ich zgłaszanie, ochrona i archiwizacja dzienników oraz testy ciągłości działania).
• PCI Security Standards Council 2024 - standard PCI DSS v4.0, w tym wymóg 6.2 (bezpieczne oprogramowanie dedykowane), 8.3.4 (ograniczenie nieudanych prób uwierzytelniania) oraz 10.5.1 (retencja dzienników: minimum 12 miesięcy, w tym 3 miesiące w trybie natychmiastowego dostępu online).
• Ustawa z dnia 26 czerwca 1974 r. - Kodeks pracy (Dz.U. z 2023 r. poz. 1465 z późn. zm.) - art. 22 ust. 1-2 (monitoring w zakładzie pracy: obowiązek poinformowania pracowników, uzasadnienia celu monitoringu i uregulowania zasad monitoringu w regulaminie pracy lub układzie zbiorowym).
• Norma PN-EN ISO 19011:2018 - wytyczne dotyczące audytowania systemów zarządzania, w tym treść raportu z auditu (pkt 6.5), zarządzanie rozbieżnościami i sporem audytowym (pkt 6.5.2), formalne zamknięcie audytu (pkt 6.6) oraz działania poaudytowe i weryfikacja skuteczności (pkt 6.7).
• Norma PN-EN ISO/IEC 27001:2022 - systemy zarządzania bezpieczeństwem informacji: klauzule 4.4, 6.1, 8.1, 9.2, 9.3, 10.1, 10.2 oraz kontrole Załącznika A.
• Norma PN-EN ISO/IEC 27005:2018 - zarządzanie ryzykiem bezpieczeństwa informacji: identyfikacja, analiza w matrycy prawdopodobieństwa i skutku, ocena oraz postępowanie z ryzykiem; podstawa metody risk-based z oceną ryzyka inherentnego (IR) i rezydualnego (RR).
• Norma PN-EN ISO 22301:2019 - systemy zarządzania ciągłością działania, stosowana jako uznana praktyka przy projektowaniu procedur ciągłości działania i testów odtworzeniowych.
• Wytyczne Europejskiej Rady Ochrony Danych 3/2019 w sprawie przetwarzania danych osobowych przez urządzenia wideo - uzasadnienie celu monitoringu, zasada minimalizacji i retencji nagrań.
• Rekomendacja D Komisji Nadzoru Finansowego dotycząca stosowania przez banki spółdzielcze dobrych praktyk w zakresie zarządzania ryzykiem operacyjnym oraz Rekomendacja M dotycząca zarządzania ryzykiem technologicznym - stosowane jako uznane praktyki i metody oceny.

Normy ISO, standardy branżowe (PCI DSS, DORA w zakresie praktyk nadzoru, Rekomendacje D i M KNF, IFC/BRC, IEC 62443-3-3) oraz wytyczne organów nadzorczych stosuje się jako uznane praktyki i metody oceny, a nie jako przepisy ustawowe; ich zastosowanie wymaga krótkiego uzasadnienia w sprawozdaniu.

Powiązanie z sylabusem i treściami programowymi:

• U4 Opracowanie zaawansowanego raportu poaudytowego (8-12 stron A4) dla dyrekcji szpitala z matrycą ryzyka, kartami uchybień, analizą 5 Why i tabelą CAP oraz wygłoszenie 15-minutowego referatu seminaryjnego.
• U2 Poprawna identyfikacja i gradacja uchybień na NC1, NC2 i OFI w środowisku podmiotu leczniczego podlegającego rygorystycznym regulacjom sektorowym.
• U1 Opracowanie zaleceń inżynierskich łączących rozliczalność dostępu z ergonomią pracy personelu medycznego (karty zbliżeniowe RFID, mikrosegmentacja sieci).
• U3 Szacowanie ryzyka w matrycy 3x3 dla praw i wolności pacjentów oraz ciągłości funkcjonowania oddziałów ratunkowych.
• W1W2W3 Zaawansowana znajomość przepisów art. 9 i 32 RODO, Dyrektywy NIS2 dla sektora zdrowia, § 19 i § 20 rozporządzenia KRI oraz Ustawy o systemie informacji w ochronie zdrowia.
• K1K2K3 Wrażliwość etyczna na kwestie ochrony danych pacjentów, konstruktywny dialog z personelem medycznym i etyka zawodowa.
• Powiązanie z wykładem: Wyk1 (SZBI w sektorze medycznym), Wyk2 (Zasady audytowania ISO 19011), Wyk3 (Kontrole Załącznika A ISO 27001), Wyk4 (RODO, NIS2 i KRI w ochronie zdrowia), Wyk5 (Matryca ryzyka 3x3), Wyk7 (Metoda 5 Why, Karty Niezgodności i Plan CAP).

Wybrane efekty uczenia się realizowane w tym zadaniu:

• U4 Opracowanie zaawansowanego raportu poaudytowego dla szpitala (8-12 stron A4).
• U2 Formalna gradacja niezgodności NC1/NC2/OFI w sektorze ochrony zdrowia.
• U1 Projekt inżynierski mikrosegmentacji sieci medycznej i szybkiego logowania RFID SSO.
• U3 Analiza ryzyka w matrycy 3x3 dla życia pacjentów i danych wrażliwych.
• W1W2W3 Zaawansowana wiedza o regulacjach RODO, NIS2, KRI i standardach zdrowotnych.
• K1K2K3 Etyka lekarska i audytorska, obiektywizm i kultura dialogu z personelem medycznym.

Podstawy prawne i normatywne zadania: RODO art. 5, 9, 24, 32 i 33; dyrektywa NIS2 art. 21 i 23; ustawa o KSC art. 8, 10 i 11; rozporządzenie w sprawie KRI § 19 i § 20; ustawa o systemie informacji w ochronie zdrowia; PN-EN ISO/IEC 27001:2022; PN-EN ISO 27799:2016

Temat zadania: ZAAWANSOWANY AUDYT SYSTEMU HIS I APARATURY MEDYCZNEJ: MATRYCA RYZYKA 3X3 DLA DANYCH SZCZEGÓLNYCH KATEGORII (ART. 9 RODO), KARTY NC1/NC2/OFI DLA BRAKU SEGMENTACJI OT/IT (NIS2), DOCHODZENIE 5 WHY DLA WSPÓŁDZIELENIA KONT ORAZ PLAN CAP Z WSKAŹNIKAMI KPI

Głównym celem zadania jest opanowanie przez studentów zaawansowanych umiejętności przeprowadzenia zintegrowanego audytu bezpieczeństwa informacji w podmiocie leczniczym, ze szczególnym uwzględnieniem ochrony danych o stanie zdrowia (art. 9 RODO), rygorów cyberodporności podmiotu kluczowego sektora zdrowia (Dyrektywa NIS2) oraz minimalnych wymagań ciągłości działania i interoperacyjności rejestrów medycznych (§ 19 i § 20 rozporządzenia KRI i integracja z platformą P1 Centrum e-Zdrowia). Studenci badają szpitalny system informatyczny (HIS) oraz urządzenia medyczne podłączone do sieci w Wojewódzkim Szpitalu Zespolonym w Kaliszu.

Zadanie na ocenę 4.0 wymaga: opracowania zaawansowanego Podsumowania Menedżerskiego dla Dyrekcji Szpitala i Ordynatorów, przeprowadzenia analizy ryzyka w matrycy 3x3 dla 4 wektorów zagrożeń zdrowotnych i teleinformatycznych (IR vs RR), sporządzenia formalnych Kart Niezgodności (NC1/NC2/OFI) z powołaniem normy PN-EN ISO/IEC 27001:2022 oraz właściwych artykułów prawa, przeprowadzenia dochodzenia przyczyn źródłowych metodą 5 Why dla powszechnego zjawiska współdzielenia kont przez personel medyczny na oddziałach zabiegowych, a także skonstruowania Planu Działań Korygujących (CAP) ze wskaźnikami KPI i terminami 14-90 dni.

Kryterium zaliczenia zadania: sprawozdanie poaudytowe uznaje się za zaliczone, jeżeli zawiera dwupoziomowe Podsumowanie Menedżerskie, metrykę audytu, kartę organizacyjną, katalog uchybień sklasyfikowanych jako NC1, NC2 lub OFI z odwołaniem do przepisu lub kontrolki normatywnej, tabelę matrycy ryzyka 3 × 3 z wyliczeniem IR i RR dla czterech wektorów zagrożeń, protokół dochodzenia przyczyn źródłowych metodą 5 Why, jedną zintegrowaną procedurę reagowania na incydent z terminami 24/72/72 godzin, tabelę planu działań korygujących o sześciu kolumnach z terminami 14-90 dni i wskaźnikami KPI, analizę wad i zalet rozwiązania oraz bibliografię z numerami artykułów i paragrafów.

Karta organizacyjna analizowanej jednostki (na podstawie scenariusza):

Narracja scenariusza i stan faktyczny w obszarze zbadanym:

Wojewódzki Szpital Zespolony w Kaliszu dysponuje 650 łóżkami, 18 oddziałami szpitalnymi oraz Szpitalnym Oddziałem Ratunkowym (SOR). Szpital przetwarza rocznie dane medyczne 45 000 hospitalizowanych pacjentów w zintegrowanym systemie HIS połączonym z centralną platformą P1 (e-Recepta, e-Skierowanie, e-Zwolnienie). Infrastruktura obejmuje 350 stacji roboczych, 40 serwerów oraz kilkaset urządzeń medycznych podłączonych do sieci LAN (kardiomonitory, aparaty USG, tomografy, pompy infuzyjne).

Stan faktyczny w obszarze zbadanym i zidentyfikowane luki:

• Obszar RODO i KRI (Dane szczególnych kategorii i rozliczalność): Na oddziałach zabiegowych i w dyżurkach pielęgniarskich powszechnie stosowane są wspólne konta użytkowników o uprawnieniach edycyjnych (pielegniarka_dyzur), a ekrany komputerów na korytarzach i w punktach przyjęć są widoczne dla osób postronnych (brak filtrów prywatyzujących). W systemie HIS nie można ustalić, który konkretnie pracownik dokonał wpisu lub modyfikacji dawkowania leków, co narusza art. 5 ust. 1 lit. f, art. 9 i art. 32 RODO oraz § 19 i § 20 rozporządzenia w sprawie KRI ust. 2 pkt 3 KRI.
• Obszar NIS2 (Architektura sieci i odporność podmiotu kluczowego): Aparatura medyczna (kardiomonitory na OIOM, tomografy) pracuje w tej samej płaskiej podsieci logicznej co komputery administracji i księgowości. W sieci szpitala brak jest całodobowego monitorowania incydentów (brak usługi SOC), a podatności na starych systemach operacyjnych urządzeń medycznych (Windows 7/XP Embedded) nie są izolowane regułami zapory sieciowej (naruszenie art. 21 NIS2).
• Obszar KRI i Ciągłości Działania: Procedury ciągłości działania nie uwzględniają scenariusza awarii łącza do platformy P1 CeZ ani paraliżu bazy HIS wskutek ataku ransomware. Kopie zapasowe bazy HIS są wykonywane, lecz testy ich odtwarzania nie były przeprowadzane od ponad 2 lat, co narusza § 19 rozporządzenia w sprawie KRI (wymagania dotyczące systemu zarządzania bezpieczeństwem informacji, w tym ciągłości działania, kopii zapasowych i testów odtworzeniowych).
• Szansa na doskonalenie (OFI): Wdrożenie technologii kart zbliżeniowych RFID do błyskawicznego logowania SSO (Single Sign-On) dla lekarzy i pielęgniarek.

W skład zespołu wchodzą studenci realizujący następujące role:

• Rola 1: Audytor Wiodący / Ekspert Bezpieczeństwa Zdrowotnego i KRI (Lead Auditor) - koordynuje prace, analizuje procedury ciągłości działania, interoperacyjność z platformą P1 oraz redaguje raport dla Dyrekcji.
• Rola 2: Audytor Techniczny Cyberbezpieczeństwa i NIS2 (Technical Auditor) - bada brak segmentacji aparatury medycznej OIOM, podatności systemów wbudowanych, projektuje mikrosegmentację VLAN i reguły firewall.
• Rola 3: Audytor Ochrony Danych Osobowych, Ryzyka i CAP (Compliance Officer) - przeprowadza analizę ryzyka 3x3, sporządza karty uchybień (NC1/NC2/OFI), prowadzi procedurę 5 Why dla współdzielenia kont oraz tworzy tabelę CAP z KPI. W zespole 2-osobowym zadania te dzielą Studenci 1 i 2.

Na co zwrócić uwagę przy analizie scenariusza:

• 1 Najpierw ustalcie, który z trzech reżimów regulacyjnych jest właściwy dla każdej uchybienia: ta sama okoliczność może być jednocześnie naruszeniem RODO, art. 21 dyrektywy NIS2 i wymogów § 19 rozporządzenia w sprawie KRI.
• 2 Rozróżnijcie objaw od przyczyny źródłowej: brak mechanizmu wygaszania uprawnień jest skutkiem, a przyczyną źródłową jest brak zintegrowanej polityki zarządzania tożsamością powiązanej z procesami kadrowymi.
• 3 Uzasadnijcie wagę każdej karty niezgodności liczbowo: dla każdego wektora podajcie wartości P i S w skali 1-3, iloczyn IR oraz RR po wdrożeniu kontroli, ponieważ priorytet uchybienia musi wynikać z tej arytmetyki, a nie z wrażeń audytora.
• 4 Każdy wiersz tabeli CAP musi domknąć pętlę weryfikacji: właściciel biznesowy, termin 14-90 dni, mieralny KPI z liczbą i datą graniczną oraz zaplanowany przegląd skuteczności działań naprawczych, który zostanie poddany monitoringowi i audytowi sprawdzającemu.

Odpowiedzcie w zespołach na poniższe pytania przed przystąpieniem do redagowania sprawozdania poaudytowego:

1. Jak pogodzić rygorystyczny wymóg indywidualnej rozliczalności dostępu do danych medycznych wynikający z art. 9 i art. 32 RODO z koniecznością natychmiastowego ratowania życia pacjenta na Szpitalnym Oddziale Ratunkowym i intensywnej terapii?
2. Jakie konkretne wymagania techniczne i organizacyjne nakłada art. 21 dyrektywy NIS2 na podmioty lecznicze w zakresie izolacji aparatury medycznej OT i IoT od sieci korporacyjnej oraz jak przełożyć je na mechanizmy mikrosegmentacji VLAN_MED i zapory NGFW?
3. W jaki sposób zorganizować procedurę awaryjną działania szpitala na wypadek całkowitej utraty łączności z węzłem platformy P1 Centrum e-Zdrowia, aby spełnić wymagania § 19 rozporządzenia w sprawie KRI i zapewnić wystawianie recept oraz zleceń lekowych?
4. Dla wektora przejęcia kontroli nad aparataturą medyczną OIOM przez oprogramowanie szyfrujące wskutek braku segmentacji sieci, ocenianego wobec art. 21 dyrektywy NIS2, przypisz wartości P i S w skali 1-3, wylicz ryzyko inherentne IR jako iloczyn P i S oraz ryzyko rezydualne RR po uruchomieniu strefy VLAN_MED za zaporą NGFW, i uzasadnij przyjęte wartości.
5. Rozwiń pełną sekwencję 5 Why dla karty NC1 o współdzieleniu konta pielegniarka_dyzur w systemie HIS, opartej na art. 9 i art. 32 RODO oraz kontroli A.5.18 normy PN-EN ISO/IEC 27001:2022, prowadząc od opóźnień przy podawaniu leków aż do braku strategii bezpieczeństwa uwzględniającej ergonomię pracy personelu, i wskaż przyczynę źródłową piątego poziomu.
6. Dla karty NC1 o braku segmentacji aparatury ratującej życie, opartej na kontroli A.8.20 normy PN-EN ISO/IEC 27001:2022, złóż wiersz planu CAP z sześcioma kolumnami, wskaż właściciela biznesowego, termin z przedziału 14-90 dni oraz mieralny KPI z liczbą i datą graniczną, a także sposób weryfikacji skuteczności działania naprawczego.

Pytania problemowe z zakresu raportu:

• Jak pogodzić rygorystyczny wymóg indywidualnej rozliczalności dostępu do danych medycznych (art. 9 i 32 RODO) z koniecznością natychmiastowego ratowania życia pacjenta na SOR i intensywnej terapii?
• Jakie konkretne wymagania techniczne i organizacyjne nakłada Dyrektywa NIS2 na podmioty lecznicze w zakresie izolacji aparatury medycznej (OT/IoT) od sieci korporacyjnej?
• W jaki sposób zorganizować procedurę awaryjną (Business Continuity Plan) szpitala na wypadek całkowitej utraty łączności z węzłem P1 Centrum e-Zdrowia zgodnie z § 19 i § 20 rozporządzenia KRI?

Uwaga: Każda odpowiedź musi odwoływać się do konkretnego kryterium audytowego: artykułu ustawy albo rozporządzenia, punktu kontrolnego normy PN-EN ISO/IEC 27001:2022 bądź numeru wektora zagrożenia w macierzy ryzyka 3x3. Podejście risk-based reporting wymaga, aby każdy wektor zagrożenia otrzymał wyliczone ryzyko inherentne IR jako iloczyn prawdopodobieństwa P i skutku S w skali 1-3 oraz ryzyko rezydualne RR po wdrożeniu kontroli naprawczej; sam opis zagrożenia bez obu wartości nie zalicza punktacji. Ustalenia graduj wyłącznie jako NC1, NC2 albo OFI, a do każdej karty dołącz pełną sekwencję 5 Why prowadzącą do przyczyny źródłowej. Odpowiedź bez odwołania do przepisu, normy lub mieralnego wskaźnika KPI z planu CAP nie zalicza punktacji.

Praca w zespole 2-3 osobowym polega na przeprowadzeniu zaawansowanego studium przypadku: audyt oparty na ryzyku (Risk-Based Audit), formalna gradacja uchybień do NC1, NC2 i OFI, dochodzenie przyczyn źródłowych metodą 5 Why oraz konstrukcja planu działań korygujących z wskaźnikami KPI i terminami 14-90 dni.

Zadanie realizowane jest przez 2-3 osobowy zespół audytorski w formule zaawansowanego studium przypadku:

• Krok 1 (Podział ról i specyfika podmiotu leczniczego):

  Podzielcie zadania w zespole. Przeanalizujcie uwarunkowania pracy szpitala: priorytet ratowania życia pacjentów i presję czasu personelu medycznego w zderzeniu z rygorami cyberbezpieczeństwa i rozliczalności RODO.

• Krok 3 (Formalna kwalifikacja uchybień - Karty Niezgodności):

  Sformułujcie karty uchybień:

  • Niezgodność Duża (NC1): Brak logicznej i fizycznej segmentacji sieci aparatury medycznej ratującej życie (OIOM) od sieci biurowo-administracyjnej (naruszenie art. 21 Dyrektywy NIS2 oraz kontroli ISO/IEC 27001:2022 A.8.20 i A.8.22).
  • Niezgodność Duża (NC1): Współdzielenie kont edycyjnych w systemie HIS na oddziałach szpitalnych uniemożliwiające rozliczalność modyfikacji dokumentacji medycznej (naruszenie art. 9 i art. 32 RODO, § 19 i § 20 rozporządzenia w sprawie KRI ust. 2 pkt 3 KRI oraz ISO 27001 A.5.18 i A.8.2).
  • Niezgodność Mała (NC2): Brak procedury cyklicznego testowania odzyskiwania bazy danych HIS z kopii zapasowych (naruszenie § 19 i § 20 rozporządzenia w sprawie KRI ust. 2 pkt 10 KRI).
  • Szansa na doskonalenie (OFI): Wdrożenie kart zbliżeniowych RFID sprzężonych z systemem SSO i automatycznym blokowaniem stacji po odejściu pracownika.
• Krok 5 (Konstrukcja Planu Działań Korygujących - CAP):

  Opracujcie tabelę CAP z kolumnami: Lp., Identyfikacja uchybienia (NC1/NC2/OFI), Działanie naprawcze, Właściciel biznesowy, Termin (14-90 dni), Wskaźnik sukcesu (KPI).

• Krok 6 (Przygotowanie raportu i referatu):

  Zredagujcie kompletny raport poaudytowy (8-12 stron A4) i przygotujcie 15-minutową prezentację seminaryjną.

Uwaga: Krok 2 (analiza ryzyka w matrycy 3 × 3 dla czterech wektorów zagrożeń) oraz Krok 4 (protokół dochodzenia przyczyn źródłowych 5 Why) przedstawiono w sekcji „Wzorcowa koncepcja rozwiązania problemu” w postaci tabeli ryzyka z wyliczeniem IR i RR oraz tabeli pięciu poziomów przyczyn.

Interaktywny warsztat 5 Why, w którym prześledzicie przyczynę źródłową własnego zadania, znajduje się w sekcji Protokół 5 Why.

Podział ról w triadzie audytorskiej:

• Rola 1 - Audytor Wiodący metryka audytu zintegrowanego, zakres przedmiotowy (RODO, NIS2, KRI), dwupoziomowe Podsumowanie Menedżerskie dla władz samorządowych, koordynacja sprawozdania i obrony ustnej.
• Rola 2 - Audytor Techniczny opis luk w zarządzaniu kontami i uprawnieniami, odporność teleinformatyczna, zarządzanie podatnościami, separacja stref IT/OT/IoT, model 3-2-1 kopii zapasowych, ścieżka zgłaszania incydentów poważnych w terminach 24 i 72 godzin.
• Rola 3 - Audytor Ryzyka i CAP analiza ryzyka w matrycy 3 × 3, wyliczenie IR i RR dla czterech wektorów, karty NC1, NC2 i OFI, sekwencja 5 Why oraz tabela CAP z rolami, terminami 14-90 dni i wskaźnikami KPI.
• Rola 4 - Audytor Ochrony Danych Osobowych i Zgodności z RODO legalność przetwarzania, w tym art. 9 RODO, rejestry czynności, umowy powierzenia (art. 28), środki techniczne i organizacyjne (art. 32) oraz procedura zawiadamiania Prezesa UODO. W zespole trzyosobowym rolę tę realizują wspólnie osoby pełniące rolę 1 i rolę 2.

Pełny harmonogram ćwiczenia wraz z zegarem 4 × 45 minut, podziałem etapów między role i listą artefaktów znajduje się w sekcji Interaktywny harmonogram ćwiczeń. Wartości P, S, IR i RR dla wektorów zagrożeń wyliczacie w sekcji Interaktywny kalkulator ryzyka, ich sumaryczny bilans weryfikujecie w sekcji macierzy ryzyka 3 × 3, a sekwencję przyczyn źródłowych prowadzicie w sekcji protokole 5 Why.

Plan prezentacji referatu seminaryjnego (15 minut):

• Specyfika audytu szpitala klinicznego w triadzie RODO, NIS2 i KRI (3 min): Wprowadzenie do problematyki ochrony danych medycznych i cyberodporności aparatury (Student 1).
• Podsumowanie zarządcze dla Dyrekcji Szpitala i analiza ryzyk 3x3 (3 min): Prezentacja profilu ryzyka dla życia pacjentów, 4 wektorów i wskaźników IR vs RR (Student 1 lub Student 3).
• Szczegółowe ustalenia techniczne i dowody audytowe (3 min): Analiza płaskiej sieci LAN, aparatury na OIOM, braku testów kopii HIS i ekranów bez filtrów (Student 2).
• Karty uchybień NC1/NC2/OFI, dochodzenie 5 Why i Plan CAP (4 min): Prezentacja przyczyn źródłowych, planu wdrożenia kart RFID, mikrosegmentacji VLAN i wskaźników KPI (Student 3 i Student 2).
• Podsumowanie i obrona koncepcji przed komisją (2 min): Odpowiedzi na pytania dotyczące ciągłości leczenia i procedur awaryjnych (cały zespół).

W referacie seminaryjnym przedstawcie symulację ataku typu Ransomware na sieć szpitala: wskażcie, w jaki sposób brak segmentacji sieci doprowadziłby do paraliżu kardiomonitorów na OIOM oraz w jaki sposób wdrożenie zaleceń audytowych (strefa VLAN_MED + filtracja L7) chroni ciągłość leczenia pacjentów.

Wymagania formalne sprawozdania poaudytowego (ocena 4.0):

• Wymagane: sprawozdanie poaudytowe w formacie PDF o objętości 8-12 stron znormalizowanego maszynopisu A4 (2 400-3 600 słów), przekazane najpóźniej 24 godziny przed terminem zajęć;
• Wymagane: dwupoziomowe Podsumowanie Menedżerskie (Executive Summary) z syntezą zarządczą, technicznym aneksem dowodowym i co najmniej trzema decyzjami zarządczymi do podjęcia;
• Wymagane: wystąpienie seminaryjne trwające 15 minut, w którym każdy członek zespołu prezentuje własny fragment pracy i odpowiada na pytania kontrolne prowadzącego;
• Wymagane: strona tytułowa z nazwą jednostki, pełnym tytułem zadania, kodem Lab10 i składem zespołu z podziałem ról;
• Wymagane: metryka audytu: podstawa prawna, zakres, metoda, kryteria, dowody i uczestnicy;
• Wymagane: karta organizacyjna o co najmniej sześciu polach oraz katalog uchybień wraz ze skutkami operacyjnymi, prawnymi i reputacyjnymi;
• Wymagane: tabela matrycy ryzyka 3 × 3 dla czterech wektorów zagrożeń z wyliczeniem ryzyka inherentnego (IR = P × S), zaprojektowanych kontroli i ryzyka rezydualnego (RR);
• Wymagane: formalne karty niezgodności NC1 i NC2 oraz bilans OFI z precyzyjnym wskazaniem artykułu ustawy, paragrafu rozporządzenia lub punktu kontrolnego normy;
• Wymagane: protokół dochodzenia przyczyn źródłowych metodą 5 Why z przyczyną źródłową na poziomie zarządu, procesu lub systemu;
• Wymagane: jedna zintegrowana procedura reagowania na incydent obsługująca terminy 24/72/72 godzin;
• Wymagane: tabela planu działań korygujących (CAP) o sześciu kolumnach: Lp., identyfikacja uchybienia, działanie naprawcze, właściciel biznesowy, termin realizacji z przedziału 14-90 dni oraz mierzalny wskaźnik KPI;
• Wymagane: analiza wad i zalet własnego rozwiązania wraz z ograniczeniami przyjętych założeń;
• Wymagane: bibliografia z numerami artykułów i paragrafów oraz numerami kontrolek norm;
• Skutkuje niezaliczeniem: sprawozdanie krótsze niż 8 stron A4 albo dłuższe niż 12 stron, sprawozdanie bez procedury 5 Why, bez tabeli matrycy 3 × 3, bez planu CAP z KPI albo bez Podsumowania Menedżerskiego, referat bez bibliografii albo praca nieprzygotowana do obrony ustnej.

Szkic sprawozdania przygotowujecie w sekcji Formularz sprawozdania poaudytowego, a kompletność pracy sprawdzacie na czterech etapach ćwiczenia w sekcji checklistcie zgodności (licznik objętości wskazuje, czy tekst mieści się w wymaganych 8-12 stronach A4).

Uwaga: Najczęstsze błędy obniżające ocenę: przedstawienie scenariusza zamiast jego analizy, pominięcie wyliczenia IR i RR dla czterech wektorów w macierzy 3x3, urwana sekwencja 5 Why zamiast pełnych pięciu kroków, kwalifikowanie uchybień bez wskazania punktu kontrolnego normy i artykułu prawa, plan CAP bez właściciela biznesowego, terminu z przedziału 14-90 dni i mieralnego KPI, brak dwupoziomowego Podsumowania Menedżerskiego oraz sprawozdanie o objętości innej niż 8-12 stron A4 (2400-3600 słów przy 300 słów na stronę). Sprawozdanie musi zawierać Kartę organizacyjną o co najmniej 6 polach, karty NC1, NC2 i OFI, protokół 5 Why, analizę wad i zalet rozwiązania, co najmniej trzy konkretne decyzje zarządcze oraz co najmniej trzy wiersze planu CAP.

Wzorcowa tabela zaawansowanej analizy ryzyka – cztery wektory zagrożeń, ryzyko inherentne (IR) i rezydualne (RR) po projektowanych kontrolach (skala 1-3 × 1-3, strefy: 1-3 niskie, 4-6 średnie, 7-9 krytyczne):

Formalne karty niezgodności:

• Karta NC1 (Niezgodność Duża) - brak segmentacji sieci aparatury medycznej OIOM (art. 21 NIS2, ISO 27001 A.8.20/A.8.22).
• Karta NC1 (Niezgodność Duża) - współdzielenie kont w systemie HIS na oddziałach szpitalnych (art. 9 i 32 RODO, § 19 i § 20 rozporządzenia KRI, ISO 27001 A.5.18).
• Karta NC2 (Niezgodność Mała) - brak procedury testowego odzyskiwania baz danych HIS z backupu (§ 19 i § 20 rozporządzenia KRI).
• Karta OFI (Szansa na doskonalenie) - wdrożenie logowania zbliżeniowego RFID z automatyczną blokadą sesji.

Wzorcowy protokół dochodzenia przyczyn źródłowych metodą 5 Why:

Szczegółowe rozwiązanie inżynierskie i zarządcze:

• Architektura mikrosegmentacji sieci szpitalnej z wydzieleniem strefy aparatury medycznej VLAN_MED za zaporą Next-Generation Firewall.
• Projekt wdrożenia kart zbliżeniowych RFID (Fast User Switching SSO) dla personelu medycznego.
• Procedura awaryjna działania szpitala w trybie offline na wypadek awarii węzła P1 CeZ.

Wzorcowa tabela planu działań korygujących (CAP) z przypisaniem ról, terminów 14-90 dni i wskaźnikami KPI:

Bilans wdrożenia proponowanego rozwiązania dla tej jednostki:

Porównajcie koszt wdrożenia, liczbę zaangażowanych osób i ryzyko resztkowe. Rozwiązanie, które personel jest w stanie faktycznie stosować, jest skuteczniejsze niż rozbudowana procedura, której nikt nie przestrzega; uzasadnijcie wybrany wariant ryzyka, kosztu i obciążenia operacyjnego.

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 5, 9, 24, 32, 33.
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (Dyrektywa NIS2) - sektor ochrony zdrowia (załącznik I).
• Ustawa z dnia 28 kwietnia 2011 r. o systemie informacji w ochronie zdrowia (tekst jedn. Dz.U. z 2026 r. poz. 208) - dokumentacja medyczna i systemy teleinformatyczne podmiotów leczniczych.
• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (Dz.U. z 2024 r. poz. 773) - § 19 (system zarządzania bezpieczeństwem informacji, w tym wymóg zapewnienia okresowego audytu wewnętrznego nie rzadziej niż raz na rok: § 19 ust. 2 pkt 14) oraz § 20 (rozliczalność i prowadzenie dzienników systemów, których zapisy przechowuje się co najmniej dwa lata, jeżeli przepisy odrębne nie stanowią inaczej). Rozporządzenie z dnia 12 kwietnia 2012 r. utraciło moc z dniem 23 maja 2024 r.
• Norma PN-EN ISO/IEC 27001:2022: Systemy zarządzania bezpieczeństwem informacji.
• Norma PN-EN ISO 27799:2016: Informatyka medyczna - Zarządzanie bezpieczeństwem informacji w ochronie zdrowia przy użyciu ISO/IEC 27002.
• Centrum e-Zdrowia (CeZ): "Standardy bezpieczeństwa teleinformatycznego dla podmiotów leczniczych", Warszawa 2023.

Podstawy prawne i normatywne obowiązujące w całym module (weryfikowany stan prawny):

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 5 (zasady przetwarzania, w tym minimalizacja, ograniczenie retencji i rozliczalność), art. 9 (dane szczególnych kategorii), art. 25 (ochrona danych z naturyry), art. 28 (przetwarzanie przez podmioty przetwarzające), art. 32 (bezpieczeństwo przetwarzania), art. 33 ust. 1 (zawiadomienie organu nadzorczego w terminie 72 godzin) oraz art. 34 (zawiadomienie osób, których dane dotyczą).
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (dyrektywa NIS2) - art. 21 (środki zarządzania ryzykiem, w tym bezpieczeństwo łańcucha dostaw) oraz art. 23 (wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie incydentu w ciągu 72 godzin, sprawozdanie końcowe w ciągu miesiąca).
• Ustawa z dnia 5 lipca 2018 r. o Krajowym Systemie Cyberbezpieczeństwa (tekst jedn. Dz.U. z 2026 r. poz. 20) - art. 8 (środki zapewniające poufność, integralność i dostępność oraz ograniczenie mechanizmów dostępu do systemów sterowania), art. 10 (dokumentacja), art. 11 (obsługa i zgłaszanie incydentów poważnych w ciągu 24 godzin) oraz art. 15 (audyt bezpieczeństwa co najmniej raz na 2 lata).
• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (Dz.U. z 2024 r. poz. 773) - § 19 (system zarządzania bezpieczeństwem informacji, w tym wymóg okresowego audytu wewnętrznego nie rzadziej niż raz na rok: § 19 ust. 2 pkt 14) oraz § 20 (rozliczalność i prowadzenie dzienników systemów, których zapisy przechowuje się co najmniej dwa lata). Rozporządzenie z dnia 12 kwietnia 2012 r. utraciło moc z dniem 23 maja 2024 r.
• Ustawa z dnia 17 lutnia 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne (tekst jedn. Dz.U. z 2026 r. poz. 1241) - art. 18 jako podstawa prawna rozporządzenia w sprawie KRI.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 (DORA) - art. 8 (zarządzanie ryzykiem operacyjnym ICT) oraz art. 9 i 10 (zdarzenia operacyjne ICT, ich zgłaszanie, ochrona i archiwizacja dzienników oraz testy ciągłości działania).
• PCI Security Standards Council 2024 - standard PCI DSS v4.0, w tym wymóg 6.2 (bezpieczne oprogramowanie dedykowane), 8.3.4 (ograniczenie nieudanych prób uwierzytelniania) oraz 10.5.1 (retencja dzienników: minimum 12 miesięcy, w tym 3 miesiące w trybie natychmiastowego dostępu online).
• Ustawa z dnia 26 czerwca 1974 r. - Kodeks pracy (Dz.U. z 2023 r. poz. 1465 z późn. zm.) - art. 22 ust. 1-2 (monitoring w zakładzie pracy: obowiązek poinformowania pracowników, uzasadnienia celu monitoringu i uregulowania zasad monitoringu w regulaminie pracy lub układzie zbiorowym).
• Norma PN-EN ISO 19011:2018 - wytyczne dotyczące audytowania systemów zarządzania, w tym treść raportu z auditu (pkt 6.5), zarządzanie rozbieżnościami i sporem audytowym (pkt 6.5.2), formalne zamknięcie audytu (pkt 6.6) oraz działania poaudytowe i weryfikacja skuteczności (pkt 6.7).
• Norma PN-EN ISO/IEC 27001:2022 - systemy zarządzania bezpieczeństwem informacji: klauzule 4.4, 6.1, 8.1, 9.2, 9.3, 10.1, 10.2 oraz kontrole Załącznika A.
• Norma PN-EN ISO/IEC 27005:2018 - zarządzanie ryzykiem bezpieczeństwa informacji: identyfikacja, analiza w matrycy prawdopodobieństwa i skutku, ocena oraz postępowanie z ryzykiem; podstawa metody risk-based z oceną ryzyka inherentnego (IR) i rezydualnego (RR).
• Norma PN-EN ISO 22301:2019 - systemy zarządzania ciągłością działania, stosowana jako uznana praktyka przy projektowaniu procedur ciągłości działania i testów odtworzeniowych.
• Wytyczne Europejskiej Rady Ochrony Danych 3/2019 w sprawie przetwarzania danych osobowych przez urządzenia wideo - uzasadnienie celu monitoringu, zasada minimalizacji i retencji nagrań.
• Rekomendacja D Komisji Nadzoru Finansowego dotycząca stosowania przez banki spółdzielcze dobrych praktyk w zakresie zarządzania ryzykiem operacyjnym oraz Rekomendacja M dotycząca zarządzania ryzykiem technologicznym - stosowane jako uznane praktyki i metody oceny.

Normy ISO, standardy branżowe (PCI DSS, DORA w zakresie praktyk nadzoru, Rekomendacje D i M KNF, IFC/BRC, IEC 62443-3-3) oraz wytyczne organów nadzorczych stosuje się jako uznane praktyki i metody oceny, a nie jako przepisy ustawowe; ich zastosowanie wymaga krótkiego uzasadnienia w sprawozdaniu.

Powiązanie z sylabusem i treściami programowymi:

• U4 Opracowanie zaawansowanego, kompletnego raportu poaudytowego (8-12 stron A4) z matrycą ryzyka, kartami uchybień, analizą 5 Why i tabelą CAP oraz wygłoszenie 15-minutowego referatu seminaryjnego.
• U2 Identyfikacja i precyzyjna gradacja niezgodności audytowych w bankowości na NC1, NC2 i OFI.
• U1 Opracowanie zaleceń inżynierskich w zakresie automatyzacji Patch Managementu, izolacji środowisk testowych i audytowalności dostawców IT (DORA).
• U3 Szacowanie ryzyka w matrycy 3x3 w odniesieniu do depozytów klientów, kar nadzorczych KNF i utraty płynności.
• W1W2W3 Biegła znajomość Rekomendacji D KNF, Rozporządzenia DORA, Ustawy Prawo bankowe, RODO oraz normy ISO 27001.
• K1K2K3 Niezależność audytorska, odporność na presję audytowanego Zarządu oraz rygorystyczna dbałość o tajemnicę bankową.
• Powiązanie z wykładem: Wyk1 (Audyt w sektorze finansowym), Wyk2 (Zasady audytowania ISO 19011), Wyk3 (Kontrole A.5 i A.8 ISO 27001), Wyk4 (DORA, KNF i RODO w bankach), Wyk5 (Matryca ryzyka 3x3), Wyk7 (Metoda 5 Why, Karty Niezgodności i Plan CAP).

Wybrane efekty uczenia się realizowane w tym zadaniu:

• U4 Opracowanie zaawansowanego raportu poaudytowego dla banku (8-12 stron A4).
• U2 Precyzyjna gradacja niezgodności NC1/NC2/OFI wg Rekomendacji D KNF i DORA.
• U1 Projekt inżynierski procedury Patch Managementu i syntetyzacji danych testowych.
• U3 Analiza ryzyka operacyjnego i prawnego w matrycy 3x3 dla depozytów i reputacji.
• W1W2W3 Biegła znajomość regulacji DORA, Rekomendacji D KNF, RODO i ISO 27001.
• K1K2K3 Niezależność audytorska, profesjonalizm w relacji z Zarządem i etyka bankowa.

Podstawy prawne i normatywne zadania: RODO art. 5, 28, 32 i 33; DORA art. 9, 10 i 28-30; dyrektywa NIS2 art. 21; Prawo bankowe art. 104; rozporządzenie w sprawie KRI § 19 i § 20; Rekomendacja D KNF; PN-EN ISO/IEC 27001:2022

Temat zadania: ZAAWANSOWANY AUDYT ZGODNOŚCI BANKOWOŚCI ELEKTRONICZNEJ: MATRYCA RYZYKA 3X3 DLA REKOMENDACJI D KNF I ROZPORZĄDZENIA DORA, KARTY NC1/NC2/OFI DLA OPÓŹNIEŃ W ŁATANIU SERWERÓW, DOCHODZENIE 5 WHY ORAZ PLAN CAP Z WSKAŹNIKAMI KPI

Głównym celem zadania jest nabycie przez studentów zaawansowanych umiejętności przeprowadzenia zintegrowanego badania audytowego w instytucji sektora bankowego, łączącego wymogi Rekomendacji D i M Komisji Nadzoru Finansowego (KNF), Rozporządzenia Parlamentu Europejskiego i Rady w sprawie operacyjnej odporności cyfrowej sektora finansowego (DORA), ogólnego rozporządzenia o ochronie danych (RODO) oraz Krajowych Ram Interoperacyjności (§ 19 i § 20 rozporządzenia KRI dla instytucji współpracujących z rejestrami publicznymi). Studenci badają system bankowości internetowej i mobilnej w Banku Spółdzielczym Ziemi Wielickiej.

Zadanie na ocenę 4.0 wymaga: przygotowania wieloaspektowego Podsumowania Menedżerskiego (Executive Summary) dla Zarządu Banku i Komitetu Audytu Rady Nadzorczej, przeprowadzenia sformalizowanej analizy ryzyka w matrycy 3x3 dla 4 wektorów zagrożeń teleinformatycznych i finansowych (IR vs RR), sporządzenia formalnych Kart Niezgodności (NC1/NC2/OFI) z powołaniem normy PN-EN ISO/IEC 27001:2022 oraz właściwych artykułów prawa i rekomendacji KNF, przeprowadzenia dochodzenia przyczyn źródłowych metodą 5 Why dla wielomiesięcznych opóźnień w instalacji poprawek bezpieczeństwa na serwerach styku z siecią Internet, a także skonstruowania Planu Działań Korygujących (CAP) ze wskaźnikami KPI i terminami 14-90 dni.

Kryterium zaliczenia zadania: sprawozdanie poaudytowe uznaje się za zaliczone, jeżeli zawiera dwupoziomowe Podsumowanie Menedżerskie, metrykę audytu, kartę organizacyjną, katalog uchybień sklasyfikowanych jako NC1, NC2 lub OFI z odwołaniem do przepisu lub kontrolki normatywnej, tabelę matrycy ryzyka 3 × 3 z wyliczeniem IR i RR dla czterech wektorów zagrożeń, protokół dochodzenia przyczyn źródłowych metodą 5 Why, jedną zintegrowaną procedurę reagowania na incydent z terminami 24/72/72 godzin, tabelę planu działań korygujących o sześciu kolumnach z terminami 14-90 dni i wskaźnikami KPI, analizę wad i zalet rozwiązania oraz bibliografię z numerami artykułów i paragrafów.

Karta organizacyjna analizowanej jednostki (na podstawie scenariusza):

Narracja scenariusza i stan faktyczny w obszarze zbadanym:

Bank Spółdzielczy Ziemi Wielickiej zrzeszony jest w banku aptekującym i prowadzi działalność operacyjną poprzez centralę oraz 14 oddziałów, obsługując 35 000 klientów indywidualnych i przedsiębiorstw. Bank świadczy usługi bankowości elektronicznej i mobilnej, procesując transakcje za pośrednictwem zewnętrznego dostawcy systemu centralnego (Core Banking SaaS).

Stan faktyczny w obszarze zbadanym i zidentyfikowane luki:

• Obszar NIS2 / DORA i Rekomendacja D KNF (Zarządzanie podatnościami): Na serwerach brzegowych obsługujących interfejs WWW bankowości ujawniono obecność 6 krytycznych podatności (CVSS powyżej 8.5), z których najstarsza oczekiwała na instalację łaty przez 9 miesięcy. Dostawca oprogramowania dostarczał pakiety poprawek, jednak bankowy zespół IT wstrzymywał ich instalację z obawy przed utratą kompatybilności z aplikacją mobilną (naruszenie art. 21 NIS2, art. 9 DORA, Rekomendacji D KNF oraz kontroli ISO 27001 A.8.8).
• Obszar RODO i Rekomendacja D KNF (Środowiska deweloperskie i testowe): Do testowania nowych funkcjonalności bankowości programiści wykorzystywali pełną kopię produkcyjnej bazy danych zawierającą imiona, nazwiska, numery PESEL, salda rachunków oraz historię przelewów 35 000 klientów bez jakiejkolwiek anonimizacji czy pseudonimizacji (naruszenie art. 5 ust. 1 lit. f i art. 32 RODO oraz kontroli ISO 27001 A.8.31).
• Obszar DORA i KRI (Łańcuch dostaw IT): Umowa z kluczowym dostawcą oprogramowania Core Banking nie zawierała precyzyjnych zapisów o prawie do przeprowadzenia audytu na miejscu (Right to Audit) ani wskaźników czasu reakcji w przypadku incydentu cyberbezpieczeństwa (SLA incydentowe) wymaganego przez Rozporządzenie DORA (naruszenie art. 28-30 DORA oraz § 19 i § 20 rozporządzenia KRI).
• Szansa na doskonalenie (OFI): Wdrożenie zautomatyzowanego narzędzia skanowania podatności w cyklu tygodniowym oraz integracja z portalem zgłoszeń CSIRT KNF.

Zarząd Banku oczekuje rygorystycznego raportu końcowego, który posłuży jako materiał dowodowy dla Inspekcji KNF oraz podstawa planu naprawczego.

W skład zespołu wchodzą studenci realizujący następujące role:

• Rola 1: Audytor Wiodący / Ekspert Zgodności Bankowej i KRI (Lead Auditor) - koordynuje prace, odpowiada za relacje z Zarządem, weryfikuje spełnienie Rekomendacji D KNF i DORA oraz redaguje Executive Summary.
• Rola 2: Audytor Techniczny Cyberbezpieczeństwa (Security Engineer) - analizuje podatności serwerów, proces Patch Managementu, luki w środowiskach testowych, brak anonimizacji i projektuje procedury inżynierskie.
• Rola 3: Audytor Ryzyka Operacyjnego, RODO i CAP (Risk & Privacy Specialist) - przeprowadza analizę ryzyka 3x3, sporządza karty uchybień (NC1/NC2/OFI), prowadzi procedurę 5 Why dla zaniechania łatania serwerów oraz tworzy tabelę CAP z KPI. W zespole 2-osobowym zadania te dzielą Studenci 1 i 2.

Na co zwrócić uwagę przy analizie scenariusza:

• 1 Najpierw ustalcie, który z trzech reżimów regulacyjnych jest właściwy dla każdej uchybienia: ta sama okoliczność może być jednocześnie naruszeniem RODO, art. 21 dyrektywy NIS2 i wymogów § 19 rozporządzenia w sprawie KRI.
• 2 Rozróżnijcie objaw od przyczyny źródłowej: brak mechanizmu wygaszania uprawnień jest skutkiem, a przyczyną źródłową jest brak zintegrowanej polityki zarządzania tożsamością powiązanej z procesami kadrowymi.
• 3 Uzasadnijcie wagę każdej karty niezgodności liczbowo: dla każdego wektora podajcie wartości P i S w skali 1-3, iloczyn IR oraz RR po wdrożeniu kontroli, ponieważ priorytet uchybienia musi wynikać z tej arytmetyki, a nie z wrażeń audytora.
• 4 Każdy wiersz tabeli CAP musi domknąć pętlę weryfikacji: właściciel biznesowy, termin 14-90 dni, mieralny KPI z liczbą i datą graniczną oraz zaplanowany przegląd skuteczności działań naprawczych, który zostanie poddany monitoringowi i audytowi sprawdzającemu.

Odpowiedzcie w zespołach na poniższe pytania przed przystąpieniem do redagowania sprawozdania poaudytowego:

1. W jaki sposób audytor powinien wykazać Zarządowi banku, że brak instalacji poprawek bezpieczeństwa generuje wyższe ryzyko biznesowe niż potencjalne zakłócenie działania aplikacji mobilnej, przywołując art. 21 dyrektywy NIS2, art. 9 DORA i Rekomendację D KNF?
2. Jakie konkretne techniki anonimizacji i maskowania danych (Data Masking) należy zastosować w bankowych środowiskach testowych, aby spełnić art. 32 RODO i Rekomendację D KNF oraz zachować wartość testową danych?
3. Jakie obligatoryjne klauzule umowne dotyczące łańcucha dostawców ICT wprowadzają art. 28-30 DORA i jak wyegzekwować je od dominującego dostawcy oprogramowania Core Banking, w tym prawo do przeprowadzenia audytu na miejscu, przy braku takich zapisów w dotychczasowej umowie?
4. Dla wektora eksploatacji 6 krytycznych podatności serwerów brzegowych bankowości online o ocenie CVSS powyżej 8,5, ocenianego wobec art. 21 dyrektywy NIS2 i art. 9 DORA, przypisz wartości P i S w skali 1-3, wylicz ryzyko inherentne IR jako iloczyn P i S oraz ryzyko rezydualne RR po wdrożeniu rygorystycznej polityki Patch Management, i uzasadnij przyjęte wartości.
5. Rozwiń pełną sekwencję 5 Why dla karty NC1 o 9-miesięcznym opóźnieniu w instalacji poprawek bezpieczeństwa, opartej na kontroli A.8.8 normy PN-EN ISO/IEC 27001:2022, prowadząc od decyzji administratora IT przez brak środowiska Staging i odmowę Zarządu aż do braku tłumaczenia wymogów cyberbezpieczeństwa na język ryzyka operacyjnego i regulacyjnego dla Zarządu.
6. Dla karty NC1 o braku pseudonimizacji danych w środowisku testowym, opartej na kontroli A.8.31 normy PN-EN ISO/IEC 27001:2022, złóż wiersz planu CAP z sześcioma kolumnami, wskaż właściciela biznesowego, termin z przedziału 14-90 dni oraz mieralny KPI z liczbą i datą graniczną, a także sposób weryfikacji skuteczności.

Pytania problemowe z zakresu raportu:

• W jaki sposób audytor powinien wykazać Zarządowi banku, że brak instalacji poprawek bezpieczeństwa generuje wyższe ryzyko biznesowe niż potencjalne zakłócenie działania aplikacji mobilnej?
• Jakie konkretne techniki anonimizacji i maskowania danych (Data Masking) należy zastosować w bankowych środowiskach testowych, aby spełnić art. 32 RODO i Rekomendację D KNF?
• Jakie obligatoryjne klauzule umowne dotyczące łańcucha dostawców ICT wprowadza Rozporządzenie DORA i jak wyegzekwować je od dominującego dostawcy oprogramowania Core Banking?

Uwaga: Każda odpowiedź musi odwoływać się do konkretnego kryterium audytowego: artykułu ustawy albo rozporządzenia, punktu kontrolnego normy PN-EN ISO/IEC 27001:2022 bądź numeru wektora zagrożenia w macierzy ryzyka 3x3. Podejście risk-based reporting wymaga, aby każdy wektor zagrożenia otrzymał wyliczone ryzyko inherentne IR jako iloczyn prawdopodobieństwa P i skutku S w skali 1-3 oraz ryzyko rezydualne RR po wdrożeniu kontroli naprawczej; sam opis zagrożenia bez obu wartości nie zalicza punktacji. Ustalenia graduj wyłącznie jako NC1, NC2 albo OFI, a do każdej karty dołącz pełną sekwencję 5 Why prowadzącą do przyczyny źródłowej. Odpowiedź bez odwołania do przepisu, normy lub mieralnego wskaźnika KPI z planu CAP nie zalicza punktacji.

Praca w zespole 2-3 osobowym polega na przeprowadzeniu zaawansowanego studium przypadku: audyt oparty na ryzyku (Risk-Based Audit), formalna gradacja uchybień do NC1, NC2 i OFI, dochodzenie przyczyn źródłowych metodą 5 Why oraz konstrukcja planu działań korygujących z wskaźnikami KPI i terminami 14-90 dni.

Zadanie realizowane jest przez 2-3 osobowy zespół audytorski w formule zaawansowanego studium przypadku:

• Krok 1 (Podział ról i analiza regulacji finansowych):

  Podzielcie zadania. Przeanalizujcie relacje pomiędzy Rekomendacją D KNF, Rozporządzeniem DORA, RODO oraz § 19 i § 20 rozporządzenia KRI w działalności banku spółdzielczego.

• Krok 3 (Formalna kwalifikacja uchybień - Karty Niezgodności):

  Sformułujcie karty uchybień:

  • Niezgodność Duża (NC1): Brak sformalizowanego i skutecznego procesu zarządzania podatnościami skutkujący 9-miesięcznym opóźnieniem w instalacji łatek na serwerach styku z Internetem (naruszenie art. 21 NIS2, art. 9 DORA, Rekomendacji D KNF oraz kontroli ISO/IEC 27001:2022 A.8.8).
  • Niezgodność Duża (NC1): Przetwarzanie rzeczywistych danych osobowych i bankowych klientów w środowisku testowym bez anonimizacji (naruszenie art. 5 ust. 1 lit. f i art. 32 RODO, Rekomendacji D KNF oraz ISO 27001 A.8.31).
  • Niezgodność Mała (NC2): Brak klauzul audytowych (Right to Audit) i SLA cyberbezpieczeństwa w umowie z dostawcą Core Banking (naruszenie art. 28-30 DORA oraz § 19 i § 20 rozporządzenia KRI).
  • Szansa na doskonalenie (OFI): Wdrożenie automatycznego skanera podatności Nessus/OpenVAS zintegrowanego z procesem wydawania wersji.
• Krok 5 (Konstrukcja Planu Działań Korygujących - CAP):

  Opracujcie tabelę CAP z kolumnami: Lp., Identyfikacja uchybienia (NC1/NC2/OFI), Działanie naprawcze, Właściciel biznesowy, Termin (14-90 dni), Wskaźnik sukcesu (KPI).

• Krok 6 (Przygotowanie raportu i referatu):

  Zredagujcie kompletny raport poaudytowy (8-12 stron A4) i przygotujcie 15-minutową prezentację seminaryjną.

Uwaga: Krok 2 (analiza ryzyka w matrycy 3 × 3 dla czterech wektorów zagrożeń) oraz Krok 4 (protokół dochodzenia przyczyn źródłowych 5 Why) przedstawiono w sekcji „Wzorcowa koncepcja rozwiązania problemu” w postaci tabeli ryzyka z wyliczeniem IR i RR oraz tabeli pięciu poziomów przyczyn.

Interaktywny warsztat 5 Why, w którym prześledzicie przyczynę źródłową własnego zadania, znajduje się w sekcji Protokół 5 Why.

Podział ról w triadzie audytorskiej:

• Rola 1 - Audytor Wiodący metryka audytu zintegrowanego, zakres przedmiotowy (RODO, NIS2, KRI), dwupoziomowe Podsumowanie Menedżerskie dla władz samorządowych, koordynacja sprawozdania i obrony ustnej.
• Rola 2 - Audytor Techniczny opis luk w zarządzaniu kontami i uprawnieniami, odporność teleinformatyczna, zarządzanie podatnościami, separacja stref IT/OT/IoT, model 3-2-1 kopii zapasowych, ścieżka zgłaszania incydentów poważnych w terminach 24 i 72 godzin.
• Rola 3 - Audytor Ryzyka i CAP analiza ryzyka w matrycy 3 × 3, wyliczenie IR i RR dla czterech wektorów, karty NC1, NC2 i OFI, sekwencja 5 Why oraz tabela CAP z rolami, terminami 14-90 dni i wskaźnikami KPI.
• Rola 4 - Audytor Ochrony Danych Osobowych i Zgodności z RODO legalność przetwarzania, w tym art. 9 RODO, rejestry czynności, umowy powierzenia (art. 28), środki techniczne i organizacyjne (art. 32) oraz procedura zawiadamiania Prezesa UODO. W zespole trzyosobowym rolę tę realizują wspólnie osoby pełniące rolę 1 i rolę 2.

Pełny harmonogram ćwiczenia wraz z zegarem 4 × 45 minut, podziałem etapów między role i listą artefaktów znajduje się w sekcji Interaktywny harmonogram ćwiczeń. Wartości P, S, IR i RR dla wektorów zagrożeń wyliczacie w sekcji Interaktywny kalkulator ryzyka, ich sumaryczny bilans weryfikujecie w sekcji macierzy ryzyka 3 × 3, a sekwencję przyczyn źródłowych prowadzicie w sekcji protokole 5 Why.

Plan prezentacji referatu seminaryjnego (15 minut):

• Ramy regulacyjne audytu bankowości spółdzielczej (3 min): Powiązanie Rekomendacji D KNF, Rozporządzenia DORA, RODO i KRI (Student 1).
• Podsumowanie Menedżerskie dla Zarządu Banku i analiza ryzyk 3x3 (3 min): Prezentacja macierzy ryzyka, zagrożenia kradzieżą depozytów i sankcjami KNF (Student 1 lub Student 3).
• Szczegółowe ustalenia techniczne i dowody audytowe (3 min): Analiza niezałatanych podatności CVSS, danych produkcyjnych w testach i luk w umowach SLA (Student 2).
• Karty uchybień NC1/NC2/OFI, protokół 5 Why i Plan CAP (4 min): Dekonstrukcja przyczyn zaniechania łatania, harmonogram naprawczy z KPI (Student 3 i Student 2).
• Wnioski, rekomendacje dla Rady Nadzorczej i obrona koncepcji (2 min): Odpowiedzi na pytania komisji laboratoryjnej (cały zespół).

Podczas obrony referatu przedstawcie procedurę awaryjną instalacji pilnej łaty bezpieczeństwa (Zero-Day Emergency Patching): wyjaśnijcie, jak Zarząd Banku powinien autoryzować natychmiastowe wdrożenie poprawki w oknie serwisowym z jednoczesnym zabezpieczeniem ciągłości transakcji klientów.

Wymagania formalne sprawozdania poaudytowego (ocena 4.0):

• Wymagane: sprawozdanie poaudytowe w formacie PDF o objętości 8-12 stron znormalizowanego maszynopisu A4 (2 400-3 600 słów), przekazane najpóźniej 24 godziny przed terminem zajęć;
• Wymagane: dwupoziomowe Podsumowanie Menedżerskie (Executive Summary) z syntezą zarządczą, technicznym aneksem dowodowym i co najmniej trzema decyzjami zarządczymi do podjęcia;
• Wymagane: wystąpienie seminaryjne trwające 15 minut, w którym każdy członek zespołu prezentuje własny fragment pracy i odpowiada na pytania kontrolne prowadzącego;
• Wymagane: strona tytułowa z nazwą jednostki, pełnym tytułem zadania, kodem Lab10 i składem zespołu z podziałem ról;
• Wymagane: metryka audytu: podstawa prawna, zakres, metoda, kryteria, dowody i uczestnicy;
• Wymagane: karta organizacyjna o co najmniej sześciu polach oraz katalog uchybień wraz ze skutkami operacyjnymi, prawnymi i reputacyjnymi;
• Wymagane: tabela matrycy ryzyka 3 × 3 dla czterech wektorów zagrożeń z wyliczeniem ryzyka inherentnego (IR = P × S), zaprojektowanych kontroli i ryzyka rezydualnego (RR);
• Wymagane: formalne karty niezgodności NC1 i NC2 oraz bilans OFI z precyzyjnym wskazaniem artykułu ustawy, paragrafu rozporządzenia lub punktu kontrolnego normy;
• Wymagane: protokół dochodzenia przyczyn źródłowych metodą 5 Why z przyczyną źródłową na poziomie zarządu, procesu lub systemu;
• Wymagane: jedna zintegrowana procedura reagowania na incydent obsługująca terminy 24/72/72 godzin;
• Wymagane: tabela planu działań korygujących (CAP) o sześciu kolumnach: Lp., identyfikacja uchybienia, działanie naprawcze, właściciel biznesowy, termin realizacji z przedziału 14-90 dni oraz mierzalny wskaźnik KPI;
• Wymagane: analiza wad i zalet własnego rozwiązania wraz z ograniczeniami przyjętych założeń;
• Wymagane: bibliografia z numerami artykułów i paragrafów oraz numerami kontrolek norm;
• Skutkuje niezaliczeniem: sprawozdanie krótsze niż 8 stron A4 albo dłuższe niż 12 stron, sprawozdanie bez procedury 5 Why, bez tabeli matrycy 3 × 3, bez planu CAP z KPI albo bez Podsumowania Menedżerskiego, referat bez bibliografii albo praca nieprzygotowana do obrony ustnej.

Szkic sprawozdania przygotowujecie w sekcji Formularz sprawozdania poaudytowego, a kompletność pracy sprawdzacie na czterech etapach ćwiczenia w sekcji checklistcie zgodności (licznik objętości wskazuje, czy tekst mieści się w wymaganych 8-12 stronach A4).

Uwaga: Najczęstsze błędy obniżające ocenę: przedstawienie scenariusza zamiast jego analizy, pominięcie wyliczenia IR i RR dla czterech wektorów w macierzy 3x3, urwana sekwencja 5 Why zamiast pełnych pięciu kroków, kwalifikowanie uchybień bez wskazania punktu kontrolnego normy i artykułu prawa, plan CAP bez właściciela biznesowego, terminu z przedziału 14-90 dni i mieralnego KPI, brak dwupoziomowego Podsumowania Menedżerskiego oraz sprawozdanie o objętości innej niż 8-12 stron A4 (2400-3600 słów przy 300 słów na stronę). Sprawozdanie musi zawierać Kartę organizacyjną o co najmniej 6 polach, karty NC1, NC2 i OFI, protokół 5 Why, analizę wad i zalet rozwiązania, co najmniej trzy konkretne decyzje zarządcze oraz co najmniej trzy wiersze planu CAP.

Wzorcowa tabela zaawansowanej analizy ryzyka – cztery wektory zagrożeń, ryzyko inherentne (IR) i rezydualne (RR) po projektowanych kontrolach (skala 1-3 × 1-3, strefy: 1-3 niskie, 4-6 średnie, 7-9 krytyczne):

Formalne karty niezgodności:

• Karta NC1 (Niezgodność Duża) - brak procesu Patch Managementu i 9-miesięczne opóźnienia w łataniu (art. 21 NIS2, DORA art. 9, Rekomendacja D KNF, ISO 27001 A.8.8).
• Karta NC1 (Niezgodność Duża) - brak anonimizacji danych w środowisku testowym (art. 32 RODO, Rekomendacja D, ISO 27001 A.8.31).
• Karta NC2 (Niezgodność Mała) - brak klauzul audytowych i SLA w umowie z dostawcą Core Banking (DORA art. 28, § 19 i § 20 rozporządzenia KRI).
• Karta OFI (Szansa na doskonalenie) - automatyzacja skanowania podatności w potoku CI/CD.

Wzorcowy protokół dochodzenia przyczyn źródłowych metodą 5 Why:

Szczegółowe rozwiązanie inżynierskie i zarządcze:

• Procedura zarządzania podatnościami i poprawkami (Patch Management Policy) z rygorem instalacji łat krytycznych w ciągu 72h.
• Projekt architektury środowiska testowo-walidacyjnego Staging z mechanizmem automatycznego syntetyzowania danych testowych.
• Wzorcowy aneks do umowy z dostawcą IT wprowadzający standardy DORA (Right to Audit, raportowanie incydentów w 4h).

Wzorcowa tabela planu działań korygujących (CAP) z przypisaniem ról, terminów 14-90 dni i wskaźnikami KPI:

Bilans wdrożenia proponowanego rozwiązania dla tej jednostki:

Porównajcie koszt wdrożenia, liczbę zaangażowanych osób i ryzyko resztkowe. Rozwiązanie, które personel jest w stanie faktycznie stosować, jest skuteczniejsze niż rozbudowana procedura, której nikt nie przestrzega; uzasadnijcie wybrany wariant ryzyka, kosztu i obciążenia operacyjnego.

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyfrowej sektora finansowego (DORA).
• Komisja Nadzoru Finansowego: Rekomendacja D dotycząca zarządzania obszarami technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego w bankach, Warszawa 2013.
• Komisja Nadzoru Finansowego: Rekomendacja M dotycząca zarządzania ryzykiem operacyjnym w bankach.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 5, 28, 32.
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (NIS2) - art. 21.
• Rozporządzenie Rady Ministrów w sprawie Krajowych Ram Interoperacyjności - § 19 i § 20 rozporządzenia w sprawie KRI.
• Norma PN-EN ISO/IEC 27001:2022: Systemy zarządzania bezpieczeństwem informacji.
• Norma PN-EN ISO 22301:2020: Systemy zarządzania ciągłością działania.

Podstawy prawne i normatywne obowiązujące w całym module (weryfikowany stan prawny):

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 5 (zasady przetwarzania, w tym minimalizacja, ograniczenie retencji i rozliczalność), art. 9 (dane szczególnych kategorii), art. 25 (ochrona danych z naturyry), art. 28 (przetwarzanie przez podmioty przetwarzające), art. 32 (bezpieczeństwo przetwarzania), art. 33 ust. 1 (zawiadomienie organu nadzorczego w terminie 72 godzin) oraz art. 34 (zawiadomienie osób, których dane dotyczą).
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (dyrektywa NIS2) - art. 21 (środki zarządzania ryzykiem, w tym bezpieczeństwo łańcucha dostaw) oraz art. 23 (wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie incydentu w ciągu 72 godzin, sprawozdanie końcowe w ciągu miesiąca).
• Ustawa z dnia 5 lipca 2018 r. o Krajowym Systemie Cyberbezpieczeństwa (tekst jedn. Dz.U. z 2026 r. poz. 20) - art. 8 (środki zapewniające poufność, integralność i dostępność oraz ograniczenie mechanizmów dostępu do systemów sterowania), art. 10 (dokumentacja), art. 11 (obsługa i zgłaszanie incydentów poważnych w ciągu 24 godzin) oraz art. 15 (audyt bezpieczeństwa co najmniej raz na 2 lata).
• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (Dz.U. z 2024 r. poz. 773) - § 19 (system zarządzania bezpieczeństwem informacji, w tym wymóg okresowego audytu wewnętrznego nie rzadziej niż raz na rok: § 19 ust. 2 pkt 14) oraz § 20 (rozliczalność i prowadzenie dzienników systemów, których zapisy przechowuje się co najmniej dwa lata). Rozporządzenie z dnia 12 kwietnia 2012 r. utraciło moc z dniem 23 maja 2024 r.
• Ustawa z dnia 17 lutnia 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne (tekst jedn. Dz.U. z 2026 r. poz. 1241) - art. 18 jako podstawa prawna rozporządzenia w sprawie KRI.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 (DORA) - art. 8 (zarządzanie ryzykiem operacyjnym ICT) oraz art. 9 i 10 (zdarzenia operacyjne ICT, ich zgłaszanie, ochrona i archiwizacja dzienników oraz testy ciągłości działania).
• PCI Security Standards Council 2024 - standard PCI DSS v4.0, w tym wymóg 6.2 (bezpieczne oprogramowanie dedykowane), 8.3.4 (ograniczenie nieudanych prób uwierzytelniania) oraz 10.5.1 (retencja dzienników: minimum 12 miesięcy, w tym 3 miesiące w trybie natychmiastowego dostępu online).
• Ustawa z dnia 26 czerwca 1974 r. - Kodeks pracy (Dz.U. z 2023 r. poz. 1465 z późn. zm.) - art. 22 ust. 1-2 (monitoring w zakładzie pracy: obowiązek poinformowania pracowników, uzasadnienia celu monitoringu i uregulowania zasad monitoringu w regulaminie pracy lub układzie zbiorowym).
• Norma PN-EN ISO 19011:2018 - wytyczne dotyczące audytowania systemów zarządzania, w tym treść raportu z auditu (pkt 6.5), zarządzanie rozbieżnościami i sporem audytowym (pkt 6.5.2), formalne zamknięcie audytu (pkt 6.6) oraz działania poaudytowe i weryfikacja skuteczności (pkt 6.7).
• Norma PN-EN ISO/IEC 27001:2022 - systemy zarządzania bezpieczeństwem informacji: klauzule 4.4, 6.1, 8.1, 9.2, 9.3, 10.1, 10.2 oraz kontrole Załącznika A.
• Norma PN-EN ISO/IEC 27005:2018 - zarządzanie ryzykiem bezpieczeństwa informacji: identyfikacja, analiza w matrycy prawdopodobieństwa i skutku, ocena oraz postępowanie z ryzykiem; podstawa metody risk-based z oceną ryzyka inherentnego (IR) i rezydualnego (RR).
• Norma PN-EN ISO 22301:2019 - systemy zarządzania ciągłością działania, stosowana jako uznana praktyka przy projektowaniu procedur ciągłości działania i testów odtworzeniowych.
• Wytyczne Europejskiej Rady Ochrony Danych 3/2019 w sprawie przetwarzania danych osobowych przez urządzenia wideo - uzasadnienie celu monitoringu, zasada minimalizacji i retencji nagrań.
• Rekomendacja D Komisji Nadzoru Finansowego dotycząca stosowania przez banki spółdzielcze dobrych praktyk w zakresie zarządzania ryzykiem operacyjnym oraz Rekomendacja M dotycząca zarządzania ryzykiem technologicznym - stosowane jako uznane praktyki i metody oceny.

Normy ISO, standardy branżowe (PCI DSS, DORA w zakresie praktyk nadzoru, Rekomendacje D i M KNF, IFC/BRC, IEC 62443-3-3) oraz wytyczne organów nadzorczych stosuje się jako uznane praktyki i metody oceny, a nie jako przepisy ustawowe; ich zastosowanie wymaga krótkiego uzasadnienia w sprawozdaniu.

Powiązanie z sylabusem i treściami programowymi:

• U4 Opracowanie zaawansowanego raportu poaudytowego (8-12 stron A4) dla operatora logistycznego z matrycą ryzyka, kartami uchybień, analizą 5 Why i tabelą CAP oraz wygłoszenie 15-minutowego referatu seminaryjnego.
• U2 Poprawna identyfikacja i formalna gradacja niezgodności na NC1, NC2 i OFI w relacjach z dostawcami IT i operatorami chmurowymi.
• U1 Opracowanie zaleceń inżynierskich w zakresie zabezpieczenia łączności z SENT (KRI), bezpiecznego Wi-Fi 802.1X na magazynie oraz klauzul powierzenia przetwarzania danych (art. 28 RODO).
• U3 Szacowanie ryzyka w matrycy 3x3 dla paraliżu wysyłek, kar finansowych KAS oraz wycieków baz adresowych odbiorców.
• W1W2W3 Zaawansowana wiedza o art. 28 i 32 RODO, Ustawie o systemie monitorowania drogowego i kolejowego przewozu towarów (SENT), § 19 i § 20 rozporządzenia KRI oraz wymogach NIS2 dla sektora transportu i logistyki.
• K1K2K3 Obiektywizm audytorski, zrozumienie realiów biznesowych logistyki just-in-time i profesjonalizm w audycie dostawców.
• Powiązanie z wykładem: Wyk1 (Zarządzanie bezpieczeństwem łańcucha dostaw), Wyk2 (Zasady audytowania ISO 19011), Wyk3 (Kontrole A.5.19-A.5.23 ISO 27001), Wyk4 (RODO, KRI i NIS2 w logistyce), Wyk5 (Matryca ryzyka 3x3), Wyk7 (Metoda 5 Why, Karty Niezgodności i Plan CAP).

Wybrane efekty uczenia się realizowane w tym zadaniu:

• U4 Opracowanie zaawansowanego raportu poaudytowego dla operatora logistycznego (8-12 stron A4).
• U2 Precyzyjna gradacja niezgodności NC1/NC2/OFI w łańcuchu dostaw IT.
• U1 Projekt architektury HA dla SENT i migracji Wi-Fi do certyfikatów 802.1X.
• U3 Analiza ryzyka operacyjnego i kar KAS w matrycy 3x3.
• W1W2W3 Biegła znajomość przepisów SENT, RODO art. 28, NIS2 i ISO 28000.
• K1K2K3 Obiektywizm audytorski, zrozumienie realiów biznesowych i wysoka kultura dialogu.

Podstawy prawne i normatywne zadania: RODO art. 5, 28 i 32; dyrektywa NIS2 art. 21 i 23; ustawa o systemie monitorowania drogowego i kolejowego przewozu towarów oraz obrotu paliwami opałowymi (SENT); rozporządzenie w sprawie KRI § 19 i § 20; PN-EN ISO/IEC 27001:2022; PN-EN ISO 28000:2022

Temat zadania: ZAAWANSOWANY AUDYT BEZPIECZEŃSTWA ŁAŃCUCHA DOSTAW IT I INTEROPERACYJNOŚCI SENT: MATRYCA RYZYKA 3X3 DLA UMÓW POWIERZENIA (ART. 28 RODO), KARTY NC1/NC2/OFI DLA CHMURY WMS I SYSTEMÓW SENT KRI, DOCHODZENIE 5 WHY ORAZ PLAN CAP Z WSKAŹNIKAMI KPI

Głównym celem zadania jest opanowanie przez studentów zaawansowanych umiejętności audytowania cyberbezpieczeństwa i zgodności prawnej w złożonych łańcuchach dostaw (Supply Chain Security). Studenci badają stan bezpieczeństwa Centrum Logistyczno-Magazynowego LogistykNet w Strykowie, łączącego funkcje operatora magazynowego, spedycji międzynarodowej oraz podmiotu raportującego do rejestru SENT w Krajowej Administracji Skarbowej.

Zadanie na ocenę 4.0 wymaga: przygotowania wieloaspektowego Podsumowania Menedżerskiego dla Dyrekcji Operacyjnej i Kluczowych Klientów (e-commerce), przeprowadzenia analizy ryzyka w matrycy 3x3 dla 4 wektorów zagrożeń operacyjnych i regulacyjnych (IR vs RR), sporządzenia formalnych Kart Niezgodności (NC1/NC2/OFI) z powołaniem normy PN-EN ISO/IEC 27001:2022 oraz właściwych artykułów prawa, przeprowadzenia dochodzenia przyczyn źródłowych metodą 5 Why dla braku prawa do audytu dostawcy chmurowego WMS i braku redundancji łącza do systemu SENT, a także skonstruowania Planu Działań Korygujących (CAP) ze wskaźnikami KPI i terminami 14-90 dni.

Kryterium zaliczenia zadania: sprawozdanie poaudytowe uznaje się za zaliczone, jeżeli zawiera dwupoziomowe Podsumowanie Menedżerskie, metrykę audytu, kartę organizacyjną, katalog uchybień sklasyfikowanych jako NC1, NC2 lub OFI z odwołaniem do przepisu lub kontrolki normatywnej, tabelę matrycy ryzyka 3 × 3 z wyliczeniem IR i RR dla czterech wektorów zagrożeń, protokół dochodzenia przyczyn źródłowych metodą 5 Why, jedną zintegrowaną procedurę reagowania na incydent z terminami 24/72/72 godzin, tabelę planu działań korygujących o sześciu kolumnach z terminami 14-90 dni i wskaźnikami KPI, analizę wad i zalet rozwiązania oraz bibliografię z numerami artykułów i paragrafów.

Karta organizacyjna analizowanej jednostki (na podstawie scenariusza):

Narracja scenariusza i stan faktyczny w obszarze zbadanym:

Centrum Logistyczno-Magazynowe LogistykNet w Strykowie dysponuje powierzchnią 50 000 m2 i obsługuje dziennie ponad 120 000 przesyłek dla największych platform e-commerce w Europie Środkowej. Spółka zarządza flotą 300 pojazdów ciężarowych i realizuje przewozy towarów wrażliwych (paliwa, alkohol skażony, susz tytoniowy) podlegających obowiązkowemu monitorowaniu w systemie SENT Krajowej Administracji Skarbowej. Operacje magazynowe opierają się na systemie WMS świadczonym w modelu SaaS przez zagranicznego dostawcę w chmurze AWS, z którym łączy się 200 terminali radiowych na hali.

Stan faktyczny w obszarze zbadanym i zidentyfikowane luki:

• Obszar RODO i Bezpieczeństwa Łańcucha Dostaw: W umowie powierzenia przetwarzania danych z dostawcą systemu WMS SaaS brakowało klauzuli o prawie do przeprowadzenia audytu (Right to Audit) przez zlecającego lub upoważnionego audytora. Dostawca odmówił przedstawienia aktualnego certyfikatu ISO/IEC 27001 lub raportu SOC 2 Type II, a w magazynie przetwarzane są dane adresowe ponad 500 000 odbiorców indywidualnych rocznie (naruszenie art. 28 ust. 3 lit. h i art. 32 RODO oraz kontroli ISO 27001 A.5.21 i A.5.22).
• Obszar KRI i Odporności SENT: Integracja z rejestrem SENT KAS opiera się na pojedynczym łączu światłowodowym bez automatycznego łącza zapasowego. W przypadku zaniku sygnału dyspozytorzy wprowadzają dane ręcznie z prywatnych telefonów, co w przeszłości spowodowało błędy w geolokalizacji GPS i nałożenie kar administracyjnych przez KAS (naruszenie § 19 i § 20 rozporządzenia w sprawie KRI ust. 2 pkt 10 KRI oraz art. 21 NIS2).
• Obszar Cyberbezpieczeństwa Sieci Magazynowej: 200 terminali kodów kreskowych i wózków widłowych łączy się z siecią Wi-Fi zabezpieczoną pojedynczym, statycznym hasłem WPA2-PreShared Key (PSK), które nie było zmieniane od 3 lat i jest znane wszystkim pracownikom agencyjnym (naruszenie kontroli ISO 27001 A.8.20 i A.8.24).
• Szansa na doskonalenie (OFI): Wdrożenie monitorowania bezpieczeństwa interfejsów API łączących system WMS z platformami sklepów internetowych w czasie rzeczywistym.

W skład zespołu wchodzą studenci realizujący następujące role:

• Rola 1: Audytor Wiodący / Łańcuch Dostaw i Zgodność KRI (Lead Auditor) - koordynuje prace, odpowiada za relacje z Dyrekcją Operacyjną, weryfikuje wymogi SENT i KRI oraz redaguje Executive Summary.
• Rola 2: Audytor Techniczny Cyberbezpieczeństwa i Sieci (Network & Cloud Auditor) - bada architekturę sieci bezprzewodowej na magazynie, konfigurację łącza do SENT, brak redundancji i projektuje standard 802.1X z łączem zapasowym LTE/5G.
• Rola 3: Audytor RODO, Ryzyka i CAP (Privacy & Compliance Specialist) - analizuje umowy powierzenia przetwarzania danych, przeprowadza analizę ryzyka 3x3, sporządza karty uchybień (NC1/NC2/OFI), prowadzi procedurę 5 Why oraz tworzy tabelę CAP z KPI. W zespole 2-osobowym zadania te dzielą Studenci 1 i 2.

Na co zwrócić uwagę przy analizie scenariusza:

• 1 Najpierw ustalcie, który z trzech reżimów regulacyjnych jest właściwy dla każdej uchybienia: ta sama okoliczność może być jednocześnie naruszeniem RODO, art. 21 dyrektywy NIS2 i wymogów § 19 rozporządzenia w sprawie KRI.
• 2 Rozróżnijcie objaw od przyczyny źródłowej: brak mechanizmu wygaszania uprawnień jest skutkiem, a przyczyną źródłową jest brak zintegrowanej polityki zarządzania tożsamością powiązanej z procesami kadrowymi.
• 3 Uzasadnijcie wagę każdej karty niezgodności liczbowo: dla każdego wektora podajcie wartości P i S w skali 1-3, iloczyn IR oraz RR po wdrożeniu kontroli, ponieważ priorytet uchybienia musi wynikać z tej arytmetyki, a nie z wrażeń audytora.
• 4 Każdy wiersz tabeli CAP musi domknąć pętlę weryfikacji: właściciel biznesowy, termin 14-90 dni, mieralny KPI z liczbą i datą graniczną oraz zaplanowany przegląd skuteczności działań naprawczych, który zostanie poddany monitoringowi i audytowi sprawdzającemu.

Odpowiedzcie w zespołach na poniższe pytania przed przystąpieniem do redagowania sprawozdania poaudytowego:

1. W jaki sposób skutecznie wynegocjować zapisy o prawie do audytu (Right to Audit) lub niezależnym raporcie atestacyjnym SOC 2 Type II z globalnym dostawcą chmurowym SaaS, wymagane przez art. 28 ust. 3 lit. h RODO, gdy powołuje się on na tajemnicę handlową?
2. Jakie środki techniczne i architektoniczne należy wdrożyć, aby zagwarantować pełną ciągłość raportowania geolokalizacji SENT do Krajowej Administracji Skarbowej zgodnie z § 19 ust. 2 pkt 10 rozporządzenia w sprawie KRI oraz art. 21 dyrektywy NIS2?
3. Jakie zagrożenia dla sieci magazynowej rodzi współdzielenie klucza WPA2-PSK przez pracowników agencyjnych wobec kontroli A.8.20 i A.8.24 normy PN-EN ISO/IEC 27001:2022 i jak wdrożyć bezpieczne uwierzytelnianie 802.1X na terminalach przemysłowych pracujących w hali magazynowej?
4. Dla wektora przejęcia sieci magazynowej Wi-Fi i manipulacji danymi magazynowymi przez jawne hasło WPA2-PSK, ocenianego wobec kontroli A.8.20 normy PN-EN ISO/IEC 27001:2022, przypisz wartości P i S w skali 1-3, wylicz ryzyko inherentne IR jako iloczyn P i S oraz ryzyko rezydualne RR po migracji do WPA3-Enterprise z uwierzytelnianiem certyfikatami 802.1X, i uzasadnij przyjęte wartości.
5. Rozwiń pełną sekwencję 5 Why dla karty NC1 o braku prawa do audytu dostawcy WMS SaaS, opartej na kontroli A.5.21 normy PN-EN ISO/IEC 27001:2022, prowadząc od jednostronnego wzorca umowy dostawcy przez zaniechania Działu Prawnego aż do braku ładu zarządzania ryzykiem łańcucha dostaw, i wskaż przyczynę źródłową piątego poziomu.
6. Dla karty NC1 o braku redundancji łącza do systemu SENT KAS, opartej na § 19 ust. 2 pkt 10 rozporządzenia w sprawie KRI, złóż wiersz planu CAP z sześcioma kolumnami, wskaż właściciela biznesowego, termin z przedziału 14-90 dni oraz mieralny KPI z liczbą i datą graniczną, a także sposób weryfikacji skuteczności działania naprawczego.

Pytania problemowe z zakresu raportu:

• W jaki sposób skutecznie wynegocjować zapisy o prawie do audytu (Right to Audit) lub niezależnym raporcie atestacyjnym (SOC 2 Type II / ISO 27001) z globalnym dostawcą chmurowym SaaS?
• Jakie środki techniczne i architektoniczne należy wdrożyć, aby zagwarantować 100% ciągłość raportowania geolokalizacji SENT do Krajowej Administracji Skarbowej zgodnie z § 19 i § 20 rozporządzenia KRI?
• Jakie zagrożenia dla sieci magazynowej rodzi współdzielenie klucza WPA2-PSK przez pracowników agencyjnych i jak wdrożyć bezpieczne uwierzytelnianie 802.1X na terminalach przemysłowych?

Uwaga: Każda odpowiedź musi odwoływać się do konkretnego kryterium audytowego: artykułu ustawy albo rozporządzenia, punktu kontrolnego normy PN-EN ISO/IEC 27001:2022 bądź numeru wektora zagrożenia w macierzy ryzyka 3x3. Podejście risk-based reporting wymaga, aby każdy wektor zagrożenia otrzymał wyliczone ryzyko inherentne IR jako iloczyn prawdopodobieństwa P i skutku S w skali 1-3 oraz ryzyko rezydualne RR po wdrożeniu kontroli naprawczej; sam opis zagrożenia bez obu wartości nie zalicza punktacji. Ustalenia graduj wyłącznie jako NC1, NC2 albo OFI, a do każdej karty dołącz pełną sekwencję 5 Why prowadzącą do przyczyny źródłowej. Odpowiedź bez odwołania do przepisu, normy lub mieralnego wskaźnika KPI z planu CAP nie zalicza punktacji.

Praca w zespole 2-3 osobowym polega na przeprowadzeniu zaawansowanego studium przypadku: audyt oparty na ryzyku (Risk-Based Audit), formalna gradacja uchybień do NC1, NC2 i OFI, dochodzenie przyczyn źródłowych metodą 5 Why oraz konstrukcja planu działań korygujących z wskaźnikami KPI i terminami 14-90 dni.

Zadanie realizowane jest przez 2-3 osobowy zespół audytorski w formule zaawansowanego studium przypadku:

• Krok 1 (Podział ról i specyfika łańcucha dostaw IT):

  Podzielcie zadania. Przeanalizujcie specyfikę pracy centrum logistycznego: wymóg natychmiastowej realizacji zleceń, rotację personelu agencyjnego oraz rygory ustawy SENT.

• Krok 3 (Formalna kwalifikacja uchybień - Karty Niezgodności):

  Sformułujcie karty uchybień:

  • Niezgodność Duża (NC1): Brak zagwarantowanego prawa do audytu (Right to Audit) oraz brak weryfikacji raportów bezpieczeństwa kluczowego dostawcy systemu WMS SaaS (naruszenie art. 28 ust. 3 lit. h RODO, art. 21 NIS2 oraz kontroli ISO/IEC 27001:2022 A.5.21 i A.5.22).
  • Niezgodność Duża (NC1): Brak redundancji łącza telekomunikacyjnego i procedury awaryjnego raportowania geolokalizacji do systemu SENT KAS (naruszenie § 19 i § 20 rozporządzenia w sprawie KRI ust. 2 pkt 10 KRI oraz przepisów Ustawy o systemie monitorowania przewozu towarów).
  • Niezgodność Mała (NC2): Używanie statycznego hasła WPA2-PSK w sieci Wi-Fi dla 200 terminali radiowych na hali magazynowej (naruszenie ISO 27001 A.8.20 i A.8.24).
  • Szansa na doskonalenie (OFI): Wdrożenie zautomatyzowanego monitorowania stanu interfejsów API w czasie rzeczywistym.
• Krok 5 (Konstrukcja Planu Działań Korygujących - CAP):

  Opracujcie tabelę CAP z kolumnami: Lp., Identyfikacja uchybienia (NC1/NC2/OFI), Działanie naprawcze, Właściciel biznesowy, Termin (14-90 dni), Wskaźnik sukcesu (KPI).

• Krok 6 (Przygotowanie raportu i referatu):

  Zredagujcie kompletny raport poaudytowy (8-12 stron A4) i przygotujcie 15-minutową prezentację seminaryjną.

Uwaga: Krok 2 (analiza ryzyka w matrycy 3 × 3 dla czterech wektorów zagrożeń) oraz Krok 4 (protokół dochodzenia przyczyn źródłowych 5 Why) przedstawiono w sekcji „Wzorcowa koncepcja rozwiązania problemu” w postaci tabeli ryzyka z wyliczeniem IR i RR oraz tabeli pięciu poziomów przyczyn.

Interaktywny warsztat 5 Why, w którym prześledzicie przyczynę źródłową własnego zadania, znajduje się w sekcji Protokół 5 Why.

Podział ról w triadzie audytorskiej:

• Rola 1 - Audytor Wiodący metryka audytu zintegrowanego, zakres przedmiotowy (RODO, NIS2, KRI), dwupoziomowe Podsumowanie Menedżerskie dla władz samorządowych, koordynacja sprawozdania i obrony ustnej.
• Rola 2 - Audytor Techniczny opis luk w zarządzaniu kontami i uprawnieniami, odporność teleinformatyczna, zarządzanie podatnościami, separacja stref IT/OT/IoT, model 3-2-1 kopii zapasowych, ścieżka zgłaszania incydentów poważnych w terminach 24 i 72 godzin.
• Rola 3 - Audytor Ryzyka i CAP analiza ryzyka w matrycy 3 × 3, wyliczenie IR i RR dla czterech wektorów, karty NC1, NC2 i OFI, sekwencja 5 Why oraz tabela CAP z rolami, terminami 14-90 dni i wskaźnikami KPI.
• Rola 4 - Audytor Ochrony Danych Osobowych i Zgodności z RODO legalność przetwarzania, w tym art. 9 RODO, rejestry czynności, umowy powierzenia (art. 28), środki techniczne i organizacyjne (art. 32) oraz procedura zawiadamiania Prezesa UODO. W zespole trzyosobowym rolę tę realizują wspólnie osoby pełniące rolę 1 i rolę 2.

Pełny harmonogram ćwiczenia wraz z zegarem 4 × 45 minut, podziałem etapów między role i listą artefaktów znajduje się w sekcji Interaktywny harmonogram ćwiczeń. Wartości P, S, IR i RR dla wektorów zagrożeń wyliczacie w sekcji Interaktywny kalkulator ryzyka, ich sumaryczny bilans weryfikujecie w sekcji macierzy ryzyka 3 × 3, a sekwencję przyczyn źródłowych prowadzicie w sekcji protokole 5 Why.

Plan prezentacji referatu seminaryjnego (15 minut):

• Wprowadzenie do audytu łańcucha dostaw IT w logistyce (3 min): Specyfika hubu w Strykowie, e-commerce, SENT i chmura WMS (Student 1).
• Podsumowanie zarządcze dla Dyrekcji i analiza ryzyk 3x3 (3 min): Macierz ryzyka, konsekwencje kar KAS i wycieków baz klientów (Student 1 lub Student 3).
• Szczegółowe ustalenia techniczne i dowody audytowe (3 min): Analiza braku redundancji SENT, haseł PSK na hali i wzorca umowy SaaS (Student 2).
• Karty uchybień NC1/NC2/OFI, dochodzenie 5 Why i Plan CAP (4 min): Przyczyna źródłowa w procesie zakupowym, migracja do 802.1X i wskaźniki KPI (Student 3 i Student 2).
• Podsumowanie i dyskusja seminaryjna (2 min): Odpowiedzi na pytania dotyczące ciągłości wysyłek i renegocjacji umów chmurowych (cały zespół).

W trakcie prezentacji referatu omówcie studium przypadku awarii łącza światłowodowego podczas transportu konwoju paliwowego: wskażcie, jak zaprojektowane łącze zapasowe 5G i buforowanie telemetrii zapobiegają nałożeniu kary administracyjnej przez KAS i zatrzymaniu pojazdów przez ITD.

Wymagania formalne sprawozdania poaudytowego (ocena 4.0):

• Wymagane: sprawozdanie poaudytowe w formacie PDF o objętości 8-12 stron znormalizowanego maszynopisu A4 (2 400-3 600 słów), przekazane najpóźniej 24 godziny przed terminem zajęć;
• Wymagane: dwupoziomowe Podsumowanie Menedżerskie (Executive Summary) z syntezą zarządczą, technicznym aneksem dowodowym i co najmniej trzema decyzjami zarządczymi do podjęcia;
• Wymagane: wystąpienie seminaryjne trwające 15 minut, w którym każdy członek zespołu prezentuje własny fragment pracy i odpowiada na pytania kontrolne prowadzącego;
• Wymagane: strona tytułowa z nazwą jednostki, pełnym tytułem zadania, kodem Lab10 i składem zespołu z podziałem ról;
• Wymagane: metryka audytu: podstawa prawna, zakres, metoda, kryteria, dowody i uczestnicy;
• Wymagane: karta organizacyjna o co najmniej sześciu polach oraz katalog uchybień wraz ze skutkami operacyjnymi, prawnymi i reputacyjnymi;
• Wymagane: tabela matrycy ryzyka 3 × 3 dla czterech wektorów zagrożeń z wyliczeniem ryzyka inherentnego (IR = P × S), zaprojektowanych kontroli i ryzyka rezydualnego (RR);
• Wymagane: formalne karty niezgodności NC1 i NC2 oraz bilans OFI z precyzyjnym wskazaniem artykułu ustawy, paragrafu rozporządzenia lub punktu kontrolnego normy;
• Wymagane: protokół dochodzenia przyczyn źródłowych metodą 5 Why z przyczyną źródłową na poziomie zarządu, procesu lub systemu;
• Wymagane: jedna zintegrowana procedura reagowania na incydent obsługująca terminy 24/72/72 godzin;
• Wymagane: tabela planu działań korygujących (CAP) o sześciu kolumnach: Lp., identyfikacja uchybienia, działanie naprawcze, właściciel biznesowy, termin realizacji z przedziału 14-90 dni oraz mierzalny wskaźnik KPI;
• Wymagane: analiza wad i zalet własnego rozwiązania wraz z ograniczeniami przyjętych założeń;
• Wymagane: bibliografia z numerami artykułów i paragrafów oraz numerami kontrolek norm;
• Skutkuje niezaliczeniem: sprawozdanie krótsze niż 8 stron A4 albo dłuższe niż 12 stron, sprawozdanie bez procedury 5 Why, bez tabeli matrycy 3 × 3, bez planu CAP z KPI albo bez Podsumowania Menedżerskiego, referat bez bibliografii albo praca nieprzygotowana do obrony ustnej.

Szkic sprawozdania przygotowujecie w sekcji Formularz sprawozdania poaudytowego, a kompletność pracy sprawdzacie na czterech etapach ćwiczenia w sekcji checklistcie zgodności (licznik objętości wskazuje, czy tekst mieści się w wymaganych 8-12 stronach A4).

Uwaga: Najczęstsze błędy obniżające ocenę: przedstawienie scenariusza zamiast jego analizy, pominięcie wyliczenia IR i RR dla czterech wektorów w macierzy 3x3, urwana sekwencja 5 Why zamiast pełnych pięciu kroków, kwalifikowanie uchybień bez wskazania punktu kontrolnego normy i artykułu prawa, plan CAP bez właściciela biznesowego, terminu z przedziału 14-90 dni i mieralnego KPI, brak dwupoziomowego Podsumowania Menedżerskiego oraz sprawozdanie o objętości innej niż 8-12 stron A4 (2400-3600 słów przy 300 słów na stronę). Sprawozdanie musi zawierać Kartę organizacyjną o co najmniej 6 polach, karty NC1, NC2 i OFI, protokół 5 Why, analizę wad i zalet rozwiązania, co najmniej trzy konkretne decyzje zarządcze oraz co najmniej trzy wiersze planu CAP.

Wzorcowa tabela zaawansowanej analizy ryzyka – cztery wektory zagrożeń, ryzyko inherentne (IR) i rezydualne (RR) po projektowanych kontrolach (skala 1-3 × 1-3, strefy: 1-3 niskie, 4-6 średnie, 7-9 krytyczne):

Formalne karty niezgodności:

• Karta NC1 (Niezgodność Duża) - brak prawa do audytu i weryfikacji dostawcy WMS SaaS (art. 28 RODO, art. 21 NIS2, ISO 27001 A.5.21).
• Karta NC1 (Niezgodność Duża) - brak redundancji łącza do systemu SENT KAS (§ 19 i § 20 rozporządzenia KRI, Ustawa o SENT).
• Karta NC2 (Niezgodność Mała) - statyczne hasło WPA2-PSK na 200 terminalach radiowych (ISO 27001 A.8.20).
• Karta OFI (Szansa na doskonalenie) - monitoring stanu API i telemetrii floty w czasie rzeczywistym.

Wzorcowy protokół dochodzenia przyczyn źródłowych metodą 5 Why:

Szczegółowe rozwiązanie inżynierskie i zarządcze:

• Wzorcowy aneks do umowy powierzenia przetwarzania danych w chmurze (DPA) ze standardem Right to Audit i raportami SOC 2.
• Projekt architektury High Availability dla interfejsu SENT z automatycznym przełączaniem na zapasowe łącze komórkowe 5G/LTE.
• Projekt migracji sieci bezprzewodowej magazynu do standardu WPA3-Enterprise z uwierzytelnianiem certyfikatami 802.1X.

Wzorcowa tabela planu działań korygujących (CAP) z przypisaniem ról, terminów 14-90 dni i wskaźnikami KPI:

Bilans wdrożenia proponowanego rozwiązania dla tej jednostki:

Porównajcie koszt wdrożenia, liczbę zaangażowanych osób i ryzyko resztkowe. Rozwiązanie, które personel jest w stanie faktycznie stosować, jest skuteczniejsze niż rozbudowana procedura, której nikt nie przestrzega; uzasadnijcie wybrany wariant ryzyka, kosztu i obciążenia operacyjnego.

• Ustawa z dnia 9 marca 2017 r. o systemie monitorowania drogowego i kolejowego przewozu towarów oraz obrotu paliwami opałowymi (SENT).
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 5, 28, 32.
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (Dyrektywa NIS2) - sektor transportu i łańcucha dostaw.
• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (Dz.U. z 2024 r. poz. 773) - § 19 oraz § 20.
• Norma PN-EN ISO/IEC 27001:2022: Systemy zarządzania bezpieczeństwem informacji - kontrole A.5.19-A.5.23, A.8.20.
• Norma PN-EN ISO 28000:2022: Bezpieczeństwo i odporność - Systemy zarządzania bezpieczeństwem łańcucha dostaw.
• Ministerstwo Finansów / KAS: "Specyfikacja techniczna interfejsu PUESC / SENT", Warszawa 2023.

Podstawy prawne i normatywne obowiązujące w całym module (weryfikowany stan prawny):

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 5 (zasady przetwarzania, w tym minimalizacja, ograniczenie retencji i rozliczalność), art. 9 (dane szczególnych kategorii), art. 25 (ochrona danych z naturyry), art. 28 (przetwarzanie przez podmioty przetwarzające), art. 32 (bezpieczeństwo przetwarzania), art. 33 ust. 1 (zawiadomienie organu nadzorczego w terminie 72 godzin) oraz art. 34 (zawiadomienie osób, których dane dotyczą).
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (dyrektywa NIS2) - art. 21 (środki zarządzania ryzykiem, w tym bezpieczeństwo łańcucha dostaw) oraz art. 23 (wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie incydentu w ciągu 72 godzin, sprawozdanie końcowe w ciągu miesiąca).
• Ustawa z dnia 5 lipca 2018 r. o Krajowym Systemie Cyberbezpieczeństwa (tekst jedn. Dz.U. z 2026 r. poz. 20) - art. 8 (środki zapewniające poufność, integralność i dostępność oraz ograniczenie mechanizmów dostępu do systemów sterowania), art. 10 (dokumentacja), art. 11 (obsługa i zgłaszanie incydentów poważnych w ciągu 24 godzin) oraz art. 15 (audyt bezpieczeństwa co najmniej raz na 2 lata).
• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (Dz.U. z 2024 r. poz. 773) - § 19 (system zarządzania bezpieczeństwem informacji, w tym wymóg okresowego audytu wewnętrznego nie rzadziej niż raz na rok: § 19 ust. 2 pkt 14) oraz § 20 (rozliczalność i prowadzenie dzienników systemów, których zapisy przechowuje się co najmniej dwa lata). Rozporządzenie z dnia 12 kwietnia 2012 r. utraciło moc z dniem 23 maja 2024 r.
• Ustawa z dnia 17 lutnia 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne (tekst jedn. Dz.U. z 2026 r. poz. 1241) - art. 18 jako podstawa prawna rozporządzenia w sprawie KRI.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 (DORA) - art. 8 (zarządzanie ryzykiem operacyjnym ICT) oraz art. 9 i 10 (zdarzenia operacyjne ICT, ich zgłaszanie, ochrona i archiwizacja dzienników oraz testy ciągłości działania).
• PCI Security Standards Council 2024 - standard PCI DSS v4.0, w tym wymóg 6.2 (bezpieczne oprogramowanie dedykowane), 8.3.4 (ograniczenie nieudanych prób uwierzytelniania) oraz 10.5.1 (retencja dzienników: minimum 12 miesięcy, w tym 3 miesiące w trybie natychmiastowego dostępu online).
• Ustawa z dnia 26 czerwca 1974 r. - Kodeks pracy (Dz.U. z 2023 r. poz. 1465 z późn. zm.) - art. 22 ust. 1-2 (monitoring w zakładzie pracy: obowiązek poinformowania pracowników, uzasadnienia celu monitoringu i uregulowania zasad monitoringu w regulaminie pracy lub układzie zbiorowym).
• Norma PN-EN ISO 19011:2018 - wytyczne dotyczące audytowania systemów zarządzania, w tym treść raportu z auditu (pkt 6.5), zarządzanie rozbieżnościami i sporem audytowym (pkt 6.5.2), formalne zamknięcie audytu (pkt 6.6) oraz działania poaudytowe i weryfikacja skuteczności (pkt 6.7).
• Norma PN-EN ISO/IEC 27001:2022 - systemy zarządzania bezpieczeństwem informacji: klauzule 4.4, 6.1, 8.1, 9.2, 9.3, 10.1, 10.2 oraz kontrole Załącznika A.
• Norma PN-EN ISO/IEC 27005:2018 - zarządzanie ryzykiem bezpieczeństwa informacji: identyfikacja, analiza w matrycy prawdopodobieństwa i skutku, ocena oraz postępowanie z ryzykiem; podstawa metody risk-based z oceną ryzyka inherentnego (IR) i rezydualnego (RR).
• Norma PN-EN ISO 22301:2019 - systemy zarządzania ciągłością działania, stosowana jako uznana praktyka przy projektowaniu procedur ciągłości działania i testów odtworzeniowych.
• Wytyczne Europejskiej Rady Ochrony Danych 3/2019 w sprawie przetwarzania danych osobowych przez urządzenia wideo - uzasadnienie celu monitoringu, zasada minimalizacji i retencji nagrań.
• Rekomendacja D Komisji Nadzoru Finansowego dotycząca stosowania przez banki spółdzielcze dobrych praktyk w zakresie zarządzania ryzykiem operacyjnym oraz Rekomendacja M dotycząca zarządzania ryzykiem technologicznym - stosowane jako uznane praktyki i metody oceny.

Normy ISO, standardy branżowe (PCI DSS, DORA w zakresie praktyk nadzoru, Rekomendacje D i M KNF, IFC/BRC, IEC 62443-3-3) oraz wytyczne organów nadzorczych stosuje się jako uznane praktyki i metody oceny, a nie jako przepisy ustawowe; ich zastosowanie wymaga krótkiego uzasadnienia w sprawozdaniu.

Powiązanie z sylabusem i treściami programowymi:

• U4 Opracowanie zaawansowanego sprawozdania z audytu OUK (8-12 stron A4) z matrycą ryzyka 3x3, kartami uchybień, protokołem 5 Why i tabelą CAP oraz wygłoszenie 15-minutowego referatu seminaryjnego.
• U2 Identyfikacja i profesjonalna gradacja uchybień na NC1, NC2 i OFI na styku technologii operacyjnych (OT) i informatycznych (IT).
• U1 Opracowanie zaleceń inżynierskich w oparciu o model Purdue (separacja stref za pomocą DMZ i Data Diode), bezpieczny zdalny dostęp serwisowy oraz pasywny monitoring IDS OT.
• U3 Szacowanie ryzyka w matrycy 3x3 w odniesieniu do blackoutu aglomeracji, zniszczenia infrastruktury turbin i kar finansowych regulatora (URE/CSIRT).
• W1W2W3 Zaawansowana znajomość Ustawy o KSC, Dyrektywy NIS2, normy ISA/IEC 62443, § 19 i § 20 rozporządzenia KRI oraz RODO w przedsiębiorstwie energetycznym.
• K1K2K3 Poczucie wysokiej odpowiedzialności za bezpieczeństwo narodowe i infrastrukturę krytyczną, bezstronność i rzetelność audytorska.
• Powiązanie z wykładem: Wyk1 (Audyt infrastruktury krytycznej), Wyk2 (Zasady audytowania ISO 19011), Wyk3 (Kontrole techniczne Załącznika A ISO 27001), Wyk4 (NIS2, KSC i KRI w energetyce), Wyk5 (Matryca ryzyka 3x3), Wyk7 (Metoda 5 Why, Karty Niezgodności i Plan CAP).

Wybrane efekty uczenia się realizowane w tym zadaniu:

• U4 Opracowanie zaawansowanego sprawozdania z audytu OUK w energetyce (8-12 stron A4).
• U2 Precyzyjna gradacja uchybień w środowiskach przemysłowych OT/SCADA wg ISA/IEC 62443.
• U1 Projekt inżynierski strefy Industrial DMZ, serwera PAM z MFA oraz monitorowania IDS OT.
• U3 Analiza ryzyka katastroficznego dla ciągłości dostaw ciepła i energii elektrycznej.
• W1W2W3 Biegła znajomość Ustawy o KSC, Dyrektywy NIS2, standardów przemysłowych i KRI.
• K1K2K3 Poczucie odpowiedzialności za infrastrukturę krytyczną, obiektywizm i profesjonalizm.

Podstawy prawne i normatywne zadania: Ustawa o KSC art. 8, 10 i 11; dyrektywa NIS2 art. 21 i 23; RODO art. 5, 32 i 33; rozporządzenie w sprawie KRI § 19 i § 20; PN-EN IEC 62443-2-1 i 3-3; PN-EN ISO/IEC 27001:2022

Temat zadania: ZAAWANSOWANY AUDYT BEZPIECZEŃSTWA INFRASTRUKTURY KRYTYCZNEJ OT/SCADA: MATRYCA RYZYKA 3X3 DLA DYREKTYWY NIS2 I MODELU PURDUE, KARTY NC1/NC2/OFI DLA BRAKU SEPARACJI SIECI, DOCHODZENIE 5 WHY ORAZ PLAN CAP Z WSKAŹNIKAMI KPI

Głównym celem zadania jest nabycie przez studentów zaawansowanych umiejętności audytowania środowisk automatyki przemysłowej (OT/ICS/SCADA) w podmiocie o statusie Operatora Usługi Kluczowej (OUK) oraz podmiotu kluczowego w rozumieniu Dyrektywy NIS2. Studenci badają stan bezpieczeństwa Elektrociepłowni EnergoDystrybucja w Opolu, która zasila w ciepło i energię elektryczną 130 000 mieszkańców oraz zakłady przemysłowe.

Zadanie na ocenę 4.0 wymaga: opracowania zaawansowanego Podsumowania Menedżerskiego dla Zarządu Spółki Energetycznej i Dyrektora Technicznego, przeprowadzenia sformalizowanej analizy ryzyka w matrycy 3x3 dla 4 wektorów cyberzagrożeń infrastruktury krytycznej (IR vs RR), sporządzenia formalnych Kart Niezgodności (NC1/NC2/OFI) z powołaniem normy PN-EN ISO/IEC 27001:2022, normy ISA/IEC 62443 oraz przepisów prawa, przeprowadzenia dochodzenia przyczyn źródłowych metodą 5 Why dla braku separacji strefy inżynierskiej SCADA od sieci korporacyjnej, a także skonstruowania Planu Działań Korygujących (CAP) ze wskaźnikami KPI i terminami 14-90 dni.

Kryterium zaliczenia zadania: sprawozdanie poaudytowe uznaje się za zaliczone, jeżeli zawiera dwupoziomowe Podsumowanie Menedżerskie, metrykę audytu, kartę organizacyjną, katalog uchybień sklasyfikowanych jako NC1, NC2 lub OFI z odwołaniem do przepisu lub kontrolki normatywnej, tabelę matrycy ryzyka 3 × 3 z wyliczeniem IR i RR dla czterech wektorów zagrożeń, protokół dochodzenia przyczyn źródłowych metodą 5 Why, jedną zintegrowaną procedurę reagowania na incydent z terminami 24/72/72 godzin, tabelę planu działań korygujących o sześciu kolumnach z terminami 14-90 dni i wskaźnikami KPI, analizę wad i zalet rozwiązania oraz bibliografię z numerami artykułów i paragrafów.

Karta organizacyjna analizowanej jednostki (na podstawie scenariusza):

Narracja scenariusza i stan faktyczny w obszarze zbadanym:

Elektrociepłownia EnergoDystrybucja w Opolu dysponuje 3 blokami energetycznymi o łącznej mocy cieplnej 450 MWt i elektrycznej 180 MWe, zaopatrując w ciepło systemowe ponad 130 000 mieszkańców aglomeracji opolskiej. System sterowania procesem technologicznym opiera się na rozproszonym systemie DCS/SCADA połączonym ze sterownikami PLC, stacjami operatorskimi HMI oraz systemem telemetrii dyspozycji mocy zintegrowanym z Polskimi Sieciami Elektroenergetycznymi (PSE). W sieci korporacyjnej przetwarzane są dane bilingowe 60 000 odbiorców indywidualnych.

Stan faktyczny w obszarze zbadanym i zidentyfikowane luki:

• Obszar NIS2 / KSC (Architektura sieci OT i model Purdue): W toku inspekcji technicznej ujawniono bezpośrednie połączenie logiczne pomiędzy stacjami inżynierskimi SCADA (poziom 2 i 3 modelu Purdue) a siecią korporacyjną IT (poziom 4), zrealizowane za pomocą pojedynczego przełącznika bez zapory sieciowej nowej generacji (NGFW) ani strefy demilitaryzowanej (DMZ). Co więcej, serwisanci zewnętrzni dostawcy turbin logowali się do stacji SCADA przez zwykły pulpit zdalny RDP z publicznego Internetu bez wieloskładnikowego uwierzytelniania (naruszenie art. 21 NIS2, art. 8-10 Ustawy o KSC oraz normy ISA/IEC 62443).
• Obszar KRI i Odporności Telemetrii PSE: Serwery telemetryczne wymieniające dane o przepływach mocy z PSE nie posiadały redundantnego zasilania UPS, a ich konfiguracja nie była weryfikowana pod kątem minimalnych wymagań bezpieczeństwa od 2 lat (naruszenie § 19 i § 20 rozporządzenia w sprawie KRI ust. 2 pkt 6 i 10 KRI).
• Obszar RODO (System bilingowy odbiorców): Rejestr uprawnień do bazy bilingowej odbiorców ciepła zawierał 22 nieaktywne konta byłych stażystów i pracowników działu obsługi klienta (naruszenie art. 32 RODO).
• Szansa na doskonalenie (OFI): Wdrożenie systemu pasywnego monitorowania ruchu przemysłowego (Network Detection and Response - NDR/IDS OT) zdolnego do wykrywania anomalii w protokołach Modbus TCP i DNP3.

W skład zespołu wchodzą studenci realizujący następujące role:

• Rola 1: Audytor Wiodący / Infrastruktura Krytyczna i Ład OUK (Lead Auditor) - koordynuje prace, odpowiada za relacje z Zarządem i Dyrektorem Technicznym, bada zgodność z Ustawą o KSC i KRI oraz redaguje sprawozdanie.
• Rola 2: Audytor Techniczny Automatyki Przemysłowej i OT (Industrial Cybersecurity Auditor) - analizuje model Purdue, bezpośrednie połączenia IT/OT, zdalny dostęp RDP serwisantów, brak DMZ i projektuje zaporę przemysłową.
• Rola 3: Audytor Ryzyka Katastroficznego, Zgodności i CAP (Critical Risk Specialist) - przeprowadza analizę ryzyka 3x3 dla paraliżu dostaw ciepła, sporządza karty uchybień (NC1/NC2/OFI), prowadzi procedurę 5 Why oraz tworzy tabelę CAP z KPI. W zespole 2-osobowym zadania te dzielą Studenci 1 i 2.

Na co zwrócić uwagę przy analizie scenariusza:

• 1 Najpierw ustalcie, który z trzech reżimów regulacyjnych jest właściwy dla każdej uchybienia: ta sama okoliczność może być jednocześnie naruszeniem RODO, art. 21 dyrektywy NIS2 i wymogów § 19 rozporządzenia w sprawie KRI.
• 2 Rozróżnijcie objaw od przyczyny źródłowej: brak mechanizmu wygaszania uprawnień jest skutkiem, a przyczyną źródłową jest brak zintegrowanej polityki zarządzania tożsamością powiązanej z procesami kadrowymi.
• 3 Uzasadnijcie wagę każdej karty niezgodności liczbowo: dla każdego wektora podajcie wartości P i S w skali 1-3, iloczyn IR oraz RR po wdrożeniu kontroli, ponieważ priorytet uchybienia musi wynikać z tej arytmetyki, a nie z wrażeń audytora.
• 4 Każdy wiersz tabeli CAP musi domknąć pętlę weryfikacji: właściciel biznesowy, termin 14-90 dni, mieralny KPI z liczbą i datą graniczną oraz zaplanowany przegląd skuteczności działań naprawczych, który zostanie poddany monitoringowi i audytowi sprawdzającemu.

Odpowiedzcie w zespołach na poniższe pytania przed przystąpieniem do redagowania sprawozdania poaudytowego:

1. W jaki sposób zaimplementować model stref i kanałów (Zones and Conduits) normy PN-EN IEC 62443 na styku sieci IT i OT, aby zagwarantować pełną ochronę SCADA bez opóźnień w telemetrii mocy i przy spełnieniu art. 21 dyrektywy NIS2?
2. Jakie rygorystyczne wymagania stawia art. 21 dyrektywy NIS2 wraz z art. 11 ustawy o KSC przed operatorami usług kluczowych w zakresie zgłoszenia incydentu cyberbezpieczeństwa w ciągu 24 godzin i kto jest do tego zobowiązany?
3. Jak zorganizować bezpieczny dostęp zdalny dla zewnętrznych serwisantów automatyki przemysłowej zgodnie z kontrolą A.8.2 normy PN-EN ISO/IEC 27001:2022, eliminując bezpośrednie logowanie do stacji SCADA przez pulpit RDP z publicznego Internetu?
4. Dla wektora cyberataku na stacje inżynierskie SCADA przez pulpit RDP prowadzącego do zatrzymania kotłów i blackoutu cieplnego, ocenianego wobec art. 21 dyrektywy NIS2, przypisz wartości P i S w skali 1-3, wylicz ryzyko inherentne IR jako iloczyn P i S oraz ryzyko rezydualne RR po wdrożeniu strefy Industrial DMZ z serwerem PAM i MFA, i uzasadnij przyjęte wartości.
5. Rozwiń pełną sekwencję 5 Why dla karty NC1 o braku separacji strefy inżynierskiej SCADA od sieci korporacyjnej, opartej na kontroli A.8.20 normy PN-EN ISO/IEC 27001:2022, prowadząc od potrzeby podglądu parametrów kotłów aż do braku zintegrowanego ładu OT/IT Cyber Governance, i wskaż przyczynę źródłową piątego poziomu.
6. Dla karty NC1 o braku rejestrowania i korelacji logów ze stacji SCADA oraz sterowników PLC, opartej na kontroli A.8.15 normy PN-EN ISO/IEC 27001:2022, złóż wiersz planu CAP z sześcioma kolumnami, wskaż właściciela biznesowego, termin z przedziału 14-90 dni oraz mieralny KPI z liczbą i datą graniczną, a także sposób weryfikacji skuteczności działania naprawczego.

Pytania problemowe z zakresu raportu:

• W jaki sposób zaimplementować model stref i kanałów (Zones & Conduits) normy ISA/IEC 62443 na styku sieci IT i OT, aby zagwarantować pełną ochronę SCADA bez opóźnień w telemetrii?
• Jakie rygorystyczne wymagania stawia Dyrektywa NIS2 i Ustawa o KSC przed Operatorami Usług Kluczowych w zakresie procedury zgłaszania incydentu cyberbezpieczeństwa w ciągu 24h?
• Jak zorganizować bezpieczny dostęp zdalny dla zewnętrznych serwisantów automatyki przemysłowej, eliminując bezpośrednie połączenia RDP?

Uwaga: Każda odpowiedź musi odwoływać się do konkretnego kryterium audytowego: artykułu ustawy albo rozporządzenia, punktu kontrolnego normy PN-EN ISO/IEC 27001:2022 bądź numeru wektora zagrożenia w macierzy ryzyka 3x3. Podejście risk-based reporting wymaga, aby każdy wektor zagrożenia otrzymał wyliczone ryzyko inherentne IR jako iloczyn prawdopodobieństwa P i skutku S w skali 1-3 oraz ryzyko rezydualne RR po wdrożeniu kontroli naprawczej; sam opis zagrożenia bez obu wartości nie zalicza punktacji. Ustalenia graduj wyłącznie jako NC1, NC2 albo OFI, a do każdej karty dołącz pełną sekwencję 5 Why prowadzącą do przyczyny źródłowej. Odpowiedź bez odwołania do przepisu, normy lub mieralnego wskaźnika KPI z planu CAP nie zalicza punktacji.

Praca w zespole 2-3 osobowym polega na przeprowadzeniu zaawansowanego studium przypadku: audyt oparty na ryzyku (Risk-Based Audit), formalna gradacja uchybień do NC1, NC2 i OFI, dochodzenie przyczyn źródłowych metodą 5 Why oraz konstrukcja planu działań korygujących z wskaźnikami KPI i terminami 14-90 dni.

Zadanie realizowane jest przez 2-3 osobowy zespół audytorski w formule zaawansowanego studium przypadku:

• Krok 1 (Podział ról i specyfika infrastruktury krytycznej OUK):

  Podzielcie zadania. Zapoznajcie się z architekturą modelu Purdue (poziomy 0-5) oraz wymogami Ustawy o KSC i Dyrektywy NIS2 dla sektora energetycznego.

• Krok 3 (Formalna kwalifikacja uchybień - Karty Niezgodności):

  Sformułujcie karty uchybień:

  • Niezgodność Duża (NC1): Brak logicznej i fizycznej separacji sieci przemysłowej OT od sieci korporacyjnej IT oraz niezabezpieczony dostęp zdalny RDP bez MFA (naruszenie art. 21 NIS2, art. 8-10 Ustawy o KSC, normy ISA/IEC 62443 oraz kontroli ISO/IEC 27001:2022 A.8.20 i A.8.22).
  • Niezgodność Duża (NC1): Brak rejestrowania, korelacji i analizy logów zdarzeń bezpieczeństwa ze stacji operatorskich SCADA i sterowników PLC (naruszenie art. 21 NIS2, § 19 i § 20 rozporządzenia KRI oraz kontroli ISO 27001 A.8.15).
  • Niezgodność Mała (NC2): Brak procedury cyklicznej weryfikacji i odbierania uprawnień w systemie bilingowym odbiorców ciepła (naruszenie art. 32 RODO).
  • Szansa na doskonalenie (OFI): Wdrożenie systemu pasywnego monitorowania anomalii przemysłowych IDS OT (np. Nozomi Networks lub Claroty).
• Krok 5 (Konstrukcja Planu Działań Korygujących - CAP):

  Opracujcie tabelę CAP z kolumnami: Lp., Identyfikacja uchybienia (NC1/NC2/OFI), Działanie naprawcze, Właściciel biznesowy, Termin (14-90 dni), Wskaźnik sukcesu (KPI).

• Krok 6 (Przygotowanie raportu i referatu):

  Zredagujcie kompletny raport poaudytowy (8-12 stron A4) i przygotujcie 15-minutową prezentację seminaryjną.

Uwaga: Krok 2 (analiza ryzyka w matrycy 3 × 3 dla czterech wektorów zagrożeń) oraz Krok 4 (protokół dochodzenia przyczyn źródłowych 5 Why) przedstawiono w sekcji „Wzorcowa koncepcja rozwiązania problemu” w postaci tabeli ryzyka z wyliczeniem IR i RR oraz tabeli pięciu poziomów przyczyn.

Interaktywny warsztat 5 Why, w którym prześledzicie przyczynę źródłową własnego zadania, znajduje się w sekcji Protokół 5 Why.

Podział ról w triadzie audytorskiej:

• Rola 1 - Audytor Wiodący metryka audytu zintegrowanego, zakres przedmiotowy (RODO, NIS2, KRI), dwupoziomowe Podsumowanie Menedżerskie dla władz samorządowych, koordynacja sprawozdania i obrony ustnej.
• Rola 2 - Audytor Techniczny opis luk w zarządzaniu kontami i uprawnieniami, odporność teleinformatyczna, zarządzanie podatnościami, separacja stref IT/OT/IoT, model 3-2-1 kopii zapasowych, ścieżka zgłaszania incydentów poważnych w terminach 24 i 72 godzin.
• Rola 3 - Audytor Ryzyka i CAP analiza ryzyka w matrycy 3 × 3, wyliczenie IR i RR dla czterech wektorów, karty NC1, NC2 i OFI, sekwencja 5 Why oraz tabela CAP z rolami, terminami 14-90 dni i wskaźnikami KPI.
• Rola 4 - Audytor Ochrony Danych Osobowych i Zgodności z RODO legalność przetwarzania, w tym art. 9 RODO, rejestry czynności, umowy powierzenia (art. 28), środki techniczne i organizacyjne (art. 32) oraz procedura zawiadamiania Prezesa UODO. W zespole trzyosobowym rolę tę realizują wspólnie osoby pełniące rolę 1 i rolę 2.

Pełny harmonogram ćwiczenia wraz z zegarem 4 × 45 minut, podziałem etapów między role i listą artefaktów znajduje się w sekcji Interaktywny harmonogram ćwiczeń. Wartości P, S, IR i RR dla wektorów zagrożeń wyliczacie w sekcji Interaktywny kalkulator ryzyka, ich sumaryczny bilans weryfikujecie w sekcji macierzy ryzyka 3 × 3, a sekwencję przyczyn źródłowych prowadzicie w sekcji protokole 5 Why.

Plan prezentacji referatu seminaryjnego (15 minut):

• Ramy audytu bezpieczeństwa OUK w energetyce (3 min): Podstawa prawna NIS2, KSC, model Purdue i specyfika wytwarzania ciepła (Student 1).
• Podsumowanie zarządcze dla Zarządu i analiza ryzyk 3x3 (3 min): Zagrożenie blackoutem cieplnym, profil ryzyka katastroficznego i wyliczenia IR vs RR (Student 1 lub Student 3).
• Ustalenia inżynierskie w sieci SCADA i dowody audytowe (3 min): Prezentacja bezpośredniego styku IT/OT, analiza logów RDP i podatności protokołów przemysłowych (Student 2).
• Karty uchybień NC1/NC2/OFI, dochodzenie 5 Why i Plan CAP (4 min): Przyczyna źródłowa w silosowości organizacyjnej, wdrożenie DMZ i wskaźniki KPI (Student 3 i Student 2).
• Wnioski, rekomendacje dla Dyrekcji Technicznej i obrona koncepcji (2 min): Odpowiedzi na pytania o ciągłość zasilania i procedury awaryjne (cały zespół).

Podczas wystąpienia seminaryjnego przedstawcie schemat ataku na sterownik PLC kotła energetycznego przeprowadzonego z przejętego laptopa pracownika biurowego: wskażcie, w jaki sposób brak strefy Industrial DMZ umożliwił ruch boczny (Lateral Movement) oraz jak proponowane zalecenia audytowe skutecznie blokują ten wektor.

Wymagania formalne sprawozdania poaudytowego (ocena 4.0):

• Wymagane: sprawozdanie poaudytowe w formacie PDF o objętości 8-12 stron znormalizowanego maszynopisu A4 (2 400-3 600 słów), przekazane najpóźniej 24 godziny przed terminem zajęć;
• Wymagane: dwupoziomowe Podsumowanie Menedżerskie (Executive Summary) z syntezą zarządczą, technicznym aneksem dowodowym i co najmniej trzema decyzjami zarządczymi do podjęcia;
• Wymagane: wystąpienie seminaryjne trwające 15 minut, w którym każdy członek zespołu prezentuje własny fragment pracy i odpowiada na pytania kontrolne prowadzącego;
• Wymagane: strona tytułowa z nazwą jednostki, pełnym tytułem zadania, kodem Lab10 i składem zespołu z podziałem ról;
• Wymagane: metryka audytu: podstawa prawna, zakres, metoda, kryteria, dowody i uczestnicy;
• Wymagane: karta organizacyjna o co najmniej sześciu polach oraz katalog uchybień wraz ze skutkami operacyjnymi, prawnymi i reputacyjnymi;
• Wymagane: tabela matrycy ryzyka 3 × 3 dla czterech wektorów zagrożeń z wyliczeniem ryzyka inherentnego (IR = P × S), zaprojektowanych kontroli i ryzyka rezydualnego (RR);
• Wymagane: formalne karty niezgodności NC1 i NC2 oraz bilans OFI z precyzyjnym wskazaniem artykułu ustawy, paragrafu rozporządzenia lub punktu kontrolnego normy;
• Wymagane: protokół dochodzenia przyczyn źródłowych metodą 5 Why z przyczyną źródłową na poziomie zarządu, procesu lub systemu;
• Wymagane: jedna zintegrowana procedura reagowania na incydent obsługująca terminy 24/72/72 godzin;
• Wymagane: tabela planu działań korygujących (CAP) o sześciu kolumnach: Lp., identyfikacja uchybienia, działanie naprawcze, właściciel biznesowy, termin realizacji z przedziału 14-90 dni oraz mierzalny wskaźnik KPI;
• Wymagane: analiza wad i zalet własnego rozwiązania wraz z ograniczeniami przyjętych założeń;
• Wymagane: bibliografia z numerami artykułów i paragrafów oraz numerami kontrolek norm;
• Skutkuje niezaliczeniem: sprawozdanie krótsze niż 8 stron A4 albo dłuższe niż 12 stron, sprawozdanie bez procedury 5 Why, bez tabeli matrycy 3 × 3, bez planu CAP z KPI albo bez Podsumowania Menedżerskiego, referat bez bibliografii albo praca nieprzygotowana do obrony ustnej.

Szkic sprawozdania przygotowujecie w sekcji Formularz sprawozdania poaudytowego, a kompletność pracy sprawdzacie na czterech etapach ćwiczenia w sekcji checklistcie zgodności (licznik objętości wskazuje, czy tekst mieści się w wymaganych 8-12 stronach A4).

Uwaga: Najczęstsze błędy obniżające ocenę: przedstawienie scenariusza zamiast jego analizy, pominięcie wyliczenia IR i RR dla czterech wektorów w macierzy 3x3, urwana sekwencja 5 Why zamiast pełnych pięciu kroków, kwalifikowanie uchybień bez wskazania punktu kontrolnego normy i artykułu prawa, plan CAP bez właściciela biznesowego, terminu z przedziału 14-90 dni i mieralnego KPI, brak dwupoziomowego Podsumowania Menedżerskiego oraz sprawozdanie o objętości innej niż 8-12 stron A4 (2400-3600 słów przy 300 słów na stronę). Sprawozdanie musi zawierać Kartę organizacyjną o co najmniej 6 polach, karty NC1, NC2 i OFI, protokół 5 Why, analizę wad i zalet rozwiązania, co najmniej trzy konkretne decyzje zarządcze oraz co najmniej trzy wiersze planu CAP.

Wzorcowa tabela zaawansowanej analizy ryzyka – cztery wektory zagrożeń, ryzyko inherentne (IR) i rezydualne (RR) po projektowanych kontrolach (skala 1-3 × 1-3, strefy: 1-3 niskie, 4-6 średnie, 7-9 krytyczne):

Formalne karty niezgodności:

• Karta NC1 (Niezgodność Duża) - brak separacji sieci OT/IT i niezabezpieczony dostęp zdalny RDP (art. 21 NIS2, Ustawa o KSC, ISA/IEC 62443, ISO 27001 A.8.20).
• Karta NC1 (Niezgodność Duża) - brak monitorowania i rejestrowania logów ze stacji SCADA (art. 21 NIS2, § 19 i § 20 rozporządzenia KRI, ISO 27001 A.8.15).
• Karta NC2 (Niezgodność Mała) - nieaktywne konta w systemie bilingowym odbiorców ciepła (art. 32 RODO).
• Karta OFI (Szansa na doskonalenie) - wdrożenie systemu pasywnego monitorowania anomalii przemysłowych IDS OT.

Wzorcowy protokół dochodzenia przyczyn źródłowych metodą 5 Why:

Szczegółowe rozwiązanie inżynierskie i zarządcze:

• Projekt przemysłowej strefy demilitaryzowanej (Industrial DMZ - poziom 3.5 Purdue) z zaporą Next-Generation Firewall i serwerem przesiadkowym PAM (Privileged Access Management) z MFA.
• Projekt scentralizowanego gromadzenia logów ze środowiska OT w dedykowanym klastrze SIEM OT.
• Wzór Zarządzenia Prezesa Zarządu powołującego Zespół Reagowania na Incydenty Cyberbezpieczeństwa CSIRT Elektrociepłowni.

Wzorcowa tabela planu działań korygujących (CAP) z przypisaniem ról, terminów 14-90 dni i wskaźnikami KPI:

Bilans wdrożenia proponowanego rozwiązania dla tej jednostki:

Porównajcie koszt wdrożenia, liczbę zaangażowanych osób i ryzyko resztkowe. Rozwiązanie, które personel jest w stanie faktycznie stosować, jest skuteczniejsze niż rozbudowana procedura, której nikt nie przestrzega; uzasadnijcie wybrany wariant ryzyka, kosztu i obciążenia operacyjnego.

• Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (Dz.U. z 2023 r. poz. 913 z późn. zm.).
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. (Dyrektywa NIS2) - sektor energetyczny.
• Norma PN-EN IEC 62443-2-1 / 3-3: Cyberbezpieczeństwo sieci i systemów sterowania przemysłowego.
• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (Dz.U. z 2024 r. poz. 773) - § 19 oraz § 20.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 32.
• Norma PN-EN ISO/IEC 27001:2022: Systemy zarządzania bezpieczeństwem informacji.
• Rządowe Centrum Bezpieczeństwa: "Narodowy Program Ochrony Infrastruktury Krytycznej", Warszawa 2023.

Podstawy prawne i normatywne obowiązujące w całym module (weryfikowany stan prawny):

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 5 (zasady przetwarzania, w tym minimalizacja, ograniczenie retencji i rozliczalność), art. 9 (dane szczególnych kategorii), art. 25 (ochrona danych z naturyry), art. 28 (przetwarzanie przez podmioty przetwarzające), art. 32 (bezpieczeństwo przetwarzania), art. 33 ust. 1 (zawiadomienie organu nadzorczego w terminie 72 godzin) oraz art. 34 (zawiadomienie osób, których dane dotyczą).
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (dyrektywa NIS2) - art. 21 (środki zarządzania ryzykiem, w tym bezpieczeństwo łańcucha dostaw) oraz art. 23 (wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie incydentu w ciągu 72 godzin, sprawozdanie końcowe w ciągu miesiąca).
• Ustawa z dnia 5 lipca 2018 r. o Krajowym Systemie Cyberbezpieczeństwa (tekst jedn. Dz.U. z 2026 r. poz. 20) - art. 8 (środki zapewniające poufność, integralność i dostępność oraz ograniczenie mechanizmów dostępu do systemów sterowania), art. 10 (dokumentacja), art. 11 (obsługa i zgłaszanie incydentów poważnych w ciągu 24 godzin) oraz art. 15 (audyt bezpieczeństwa co najmniej raz na 2 lata).
• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (Dz.U. z 2024 r. poz. 773) - § 19 (system zarządzania bezpieczeństwem informacji, w tym wymóg okresowego audytu wewnętrznego nie rzadziej niż raz na rok: § 19 ust. 2 pkt 14) oraz § 20 (rozliczalność i prowadzenie dzienników systemów, których zapisy przechowuje się co najmniej dwa lata). Rozporządzenie z dnia 12 kwietnia 2012 r. utraciło moc z dniem 23 maja 2024 r.
• Ustawa z dnia 17 lutnia 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne (tekst jedn. Dz.U. z 2026 r. poz. 1241) - art. 18 jako podstawa prawna rozporządzenia w sprawie KRI.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 (DORA) - art. 8 (zarządzanie ryzykiem operacyjnym ICT) oraz art. 9 i 10 (zdarzenia operacyjne ICT, ich zgłaszanie, ochrona i archiwizacja dzienników oraz testy ciągłości działania).
• PCI Security Standards Council 2024 - standard PCI DSS v4.0, w tym wymóg 6.2 (bezpieczne oprogramowanie dedykowane), 8.3.4 (ograniczenie nieudanych prób uwierzytelniania) oraz 10.5.1 (retencja dzienników: minimum 12 miesięcy, w tym 3 miesiące w trybie natychmiastowego dostępu online).
• Ustawa z dnia 26 czerwca 1974 r. - Kodeks pracy (Dz.U. z 2023 r. poz. 1465 z późn. zm.) - art. 22 ust. 1-2 (monitoring w zakładzie pracy: obowiązek poinformowania pracowników, uzasadnienia celu monitoringu i uregulowania zasad monitoringu w regulaminie pracy lub układzie zbiorowym).
• Norma PN-EN ISO 19011:2018 - wytyczne dotyczące audytowania systemów zarządzania, w tym treść raportu z auditu (pkt 6.5), zarządzanie rozbieżnościami i sporem audytowym (pkt 6.5.2), formalne zamknięcie audytu (pkt 6.6) oraz działania poaudytowe i weryfikacja skuteczności (pkt 6.7).
• Norma PN-EN ISO/IEC 27001:2022 - systemy zarządzania bezpieczeństwem informacji: klauzule 4.4, 6.1, 8.1, 9.2, 9.3, 10.1, 10.2 oraz kontrole Załącznika A.
• Norma PN-EN ISO/IEC 27005:2018 - zarządzanie ryzykiem bezpieczeństwa informacji: identyfikacja, analiza w matrycy prawdopodobieństwa i skutku, ocena oraz postępowanie z ryzykiem; podstawa metody risk-based z oceną ryzyka inherentnego (IR) i rezydualnego (RR).
• Norma PN-EN ISO 22301:2019 - systemy zarządzania ciągłością działania, stosowana jako uznana praktyka przy projektowaniu procedur ciągłości działania i testów odtworzeniowych.
• Wytyczne Europejskiej Rady Ochrony Danych 3/2019 w sprawie przetwarzania danych osobowych przez urządzenia wideo - uzasadnienie celu monitoringu, zasada minimalizacji i retencji nagrań.
• Rekomendacja D Komisji Nadzoru Finansowego dotycząca stosowania przez banki spółdzielcze dobrych praktyk w zakresie zarządzania ryzykiem operacyjnym oraz Rekomendacja M dotycząca zarządzania ryzykiem technologicznym - stosowane jako uznane praktyki i metody oceny.

Normy ISO, standardy branżowe (PCI DSS, DORA w zakresie praktyk nadzoru, Rekomendacje D i M KNF, IFC/BRC, IEC 62443-3-3) oraz wytyczne organów nadzorczych stosuje się jako uznane praktyki i metody oceny, a nie jako przepisy ustawowe; ich zastosowanie wymaga krótkiego uzasadnienia w sprawozdaniu.

Powiązanie z sylabusem i treściami programowymi:

• U4 Opracowanie zaawansowanego raportu poaudytowego (8-12 stron A4) dla władz uczelni z matrycą ryzyka, kartami uchybień, analizą 5 Why i tabelą CAP oraz wygłoszenie 15-minutowego referatu seminaryjnego.
• U2 Identyfikacja i formalna gradacja uchybień na NC1, NC2 i OFI w akademickim środowisku rozproszonym.
• U1 Opracowanie zaleceń inżynierskich w zakresie centralnego zarządzania tożsamością IAM, automatyzacji offboardingu oraz bezpiecznej integracji z rejestrem POL-on (KRI).
• U3 Szacowanie ryzyka w matrycy 3x3 w odniesieniu do wycieku danych szczególnych kategorii (orzeczenia o niepełnosprawności, stypendia), fałszowania ocen i sankcji ministerialnych.
• W1W2W3 Zaawansowana wiedza o przepisach RODO (art. 9 i 32), § 19 i § 20 rozporządzenia KRI, Dyrektywie NIS2 w sektorze edukacji oraz Ustawie Prawo o szkolnictwie wyższym i nauce.
• K1K2K3 Obiektywizm audytorski, wrażliwość na autonomię akademicką i kultura dialogu ze społecznością akademicką.
• Powiązanie z wykładem: Wyk1 (Zarządzanie bezpieczeństwem w uczelniach), Wyk2 (Zasady audytowania ISO 19011), Wyk3 (Kontrole A.5 i A.8 ISO 27001), Wyk4 (RODO, KRI i NIS2 w sektorze publicznym), Wyk5 (Matryca ryzyka 3x3), Wyk7 (Metoda 5 Why, Karty Niezgodności i Plan CAP).

Wybrane efekty uczenia się realizowane w tym zadaniu:

• U4 Opracowanie zaawansowanego raportu poaudytowego dla uczelni wyższej (8-12 stron A4).
• U2 Formalna gradacja uchybień NC1/NC2/OFI w środowisku akademickim.
• U1 Projekt inżynierski centralnego systemu tożsamości IAM i szyfrowania baz danych.
• U3 Analiza ryzyka w matrycy 3x3 dla danych wrażliwych i reputacji akademickiej.
• W1W2W3 Biegła znajomość przepisów prawa o szkolnictwie wyższym, RODO, NIS2 i KRI.
• K1K2K3 Obiektywizm, poszanowanie specyfiki badań naukowych i etyka zawodowa.

Podstawy prawne i normatywne zadania: RODO art. 5 ust. 1 lit. f, art. 9, 32 i 33; ustawa o KSC art. 8 i 10; rozporządzenie w sprawie KRI § 19 i § 20; Prawo o szkolnictwie wyższym i nauce; PN-EN ISO/IEC 27001:2022 (A.5.18, A.8.24)

Temat zadania: ZAAWANSOWANY AUDYT SYSTEMÓW USOS, MOODLE I POL-ON: MATRYCA RYZYKA 3X3 DLA DANYCH WRAŻLIWYCH STUDENTÓW (ART. 9 RODO), KARTY NC1/NC2/OFI DLA MARTWYCH KONT WYKŁADOWCÓW, DOCHODZENIE 5 WHY ORAZ PLAN CAP Z WSKAŹNIKAMI KPI

Głównym celem zadania jest opanowanie przez studentów zaawansowanych umiejętności przeprowadzenia zintegrowanego audytu bezpieczeństwa informacji w uczelni wyższej, podlegającej reżimom Ustawy - Prawo o szkolnictwie wyższym i nauce, ogólnego rozporządzenia o ochronie danych (RODO), Dyrektywy NIS2 (jako podmiot kluczowy sektora edukacji i badań naukowych) oraz Rozporządzenia w sprawie Krajowych Ram Interoperacyjności (§ 19 i § 20 rozporządzenia KRI dla zintegrowanych rejestrów USOS i POL-on). Studenci badają stan bezpieczeństwa Akademii Mazowieckiej w Płocku.

Zadanie na ocenę 4.0 wymaga: opracowania zaawansowanego Podsumowania Menedżerskiego dla Rektora, Kanclerza i Senatu Uczelni, przeprowadzenia sformalizowanej analizy ryzyka w matrycy 3x3 dla 4 wektorów zagrożeń akademickich i teleinformatycznych (IR vs RR), sporządzenia formalnych Kart Niezgodności (NC1/NC2/OFI) z powołaniem normy PN-EN ISO/IEC 27001:2022 oraz właściwych artykułów prawa, przeprowadzenia dochodzenia przyczyn źródłowych metodą 5 Why dla wieloletniego zalegania nieaktywnych kont byłych pracowników akademickich w systemie USOS, a także skonstruowania Planu Działań Korygujących (CAP) ze wskaźnikami KPI i terminami 14-90 dni.

Kryterium zaliczenia zadania: sprawozdanie poaudytowe uznaje się za zaliczone, jeżeli zawiera dwupoziomowe Podsumowanie Menedżerskie, metrykę audytu, kartę organizacyjną, katalog uchybień sklasyfikowanych jako NC1, NC2 lub OFI z odwołaniem do przepisu lub kontrolki normatywnej, tabelę matrycy ryzyka 3 × 3 z wyliczeniem IR i RR dla czterech wektorów zagrożeń, protokół dochodzenia przyczyn źródłowych metodą 5 Why, jedną zintegrowaną procedurę reagowania na incydent z terminami 24/72/72 godzin, tabelę planu działań korygujących o sześciu kolumnach z terminami 14-90 dni i wskaźnikami KPI, analizę wad i zalet rozwiązania oraz bibliografię z numerami artykułów i paragrafów.

Karta organizacyjna analizowanej jednostki (na podstawie scenariusza):

Narracja scenariusza i stan faktyczny w obszarze zbadanym:

Akademia Mazowiecka w Płocku kształci 8 000 studentów na 4 wydziałach i zatrudnia 450 pracowników naukowo-dydaktycznych oraz 150 pracowników administracyjnych. Głównym systemem dziekanatowym jest Uniwersytecki System Obsługi Studiów (USOS), zintegrowany z platformą e-learningową Moodle, systemem bibliotecznym oraz centralnym rejestrem ministerialnym POL-on. W bazach USOS przetwarzane są dane szczególnych kategorii (art. 9 RODO), w tym orzeczenia o stopniu niepełnosprawności, zaświadczenia lekarskie studentów ubiegających się o urlopy zdrowotne oraz szczegółowa dokumentacja sytuacji materialnej wnioskodawców stypendiów socjalnych.

Stan faktyczny w obszarze zbadanym i zidentyfikowane luki:

• Obszar RODO i KRI (Zarządzanie tożsamością i uprawnieniami w USOS): Podczas audytu technicznego ujawniono obecność 126 aktywnych kont byłych wykładowców, doktorantów i pracowników administracji, którzy zakończyli współpracę z uczelnią w latach 2019-2023. Konta te dysponowały pełnym uprawnieniem do wpisywania i modyfikacji ocen w protokołach egzaminacyjnych oraz podglądu danych osobowych studentów. W systemie USOS brak jest automatycznej korelacji z bazą kadrową ERP (naruszenie art. 5 ust. 1 lit. f, art. 9 i 32 RODO oraz § 19 i § 20 rozporządzenia w sprawie KRI ust. 2 pkt 3 KRI).
• Obszar NIS2 i Bezpieczeństwa Transmisji: Bazy danych systemu Moodle oraz lokalne kopie zapasowe USOS były przechowywane na serwerach bez wdrożonego szyfrowania spoczynkowego (Data-at-Rest). Transmisja danych pomiędzy serwerami wydziałowymi a centralą uczelni dopuszczała przestarzałe protokoły TLS 1.0/1.1 (naruszenie art. 21 NIS2 oraz kontroli ISO 27001 A.8.24).
• Obszar KRI i Odporności POL-on: Interfejs synchronizacji z centralną bazą POL-on OPI PIB nie posiadał sformalizowanego monitorowania błędów transakcyjnych ani procedury awaryjnego odtwarzania stanu w przypadku przerw łączności, co w przeszłości skutkowało opóźnieniami w sprawozdawczości do Ministerstwa Nauki i Szkolnictwa Wyższego (naruszenie § 19 i § 20 rozporządzenia w sprawie KRI ust. 2 pkt 10 KRI).
• Szansa na doskonalenie (OFI): Wdrożenie scentralizowanego systemu Identity and Access Management (IAM) zintegrowanego z uczelnianą siecią Eduroam i federacją eduGAIN.

W skład zespołu wchodzą studenci realizujący następujące role:

• Rola 1: Audytor Wiodący / Ład Akademicki i Zgodność KRI (Lead Auditor) - koordynuje prace, odpowiada za relacje z Rektorem i Kanclerzem, analizuje integrację z POL-on i redaguje sprawozdanie.
• Rola 2: Audytor Techniczny Cyberbezpieczeństwa i Aplikacji (Application Security Specialist) - analizuje bazy danych USOS i Moodle, brak szyfrowania, przestarzałe protokoły TLS i projektuje centralne IAM.
• Rola 3: Audytor RODO, Ryzyka i CAP (Privacy Officer) - przeprowadza analizę ryzyka 3x3 dla danych wrażliwych studentów, sporządza karty uchybień (NC1/NC2/OFI), prowadzi procedurę 5 Why oraz tworzy tabelę CAP z KPI. W zespole 2-osobowym zadania te dzielą Studenci 1 i 2.

Na co zwrócić uwagę przy analizie scenariusza:

• 1 Najpierw ustalcie, który z trzech reżimów regulacyjnych jest właściwy dla każdej uchybienia: ta sama okoliczność może być jednocześnie naruszeniem RODO, art. 21 dyrektywy NIS2 i wymogów § 19 rozporządzenia w sprawie KRI.
• 2 Rozróżnijcie objaw od przyczyny źródłowej: brak mechanizmu wygaszania uprawnień jest skutkiem, a przyczyną źródłową jest brak zintegrowanej polityki zarządzania tożsamością powiązanej z procesami kadrowymi.
• 3 Uzasadnijcie wagę każdej karty niezgodności liczbowo: dla każdego wektora podajcie wartości P i S w skali 1-3, iloczyn IR oraz RR po wdrożeniu kontroli, ponieważ priorytet uchybienia musi wynikać z tej arytmetyki, a nie z wrażeń audytora.
• 4 Każdy wiersz tabeli CAP musi domknąć pętlę weryfikacji: właściciel biznesowy, termin 14-90 dni, mieralny KPI z liczbą i datą graniczną oraz zaplanowany przegląd skuteczności działań naprawczych, który zostanie poddany monitoringowi i audytowi sprawdzającemu.

Odpowiedzcie w zespołach na poniższe pytania przed przystąpieniem do redagowania sprawozdania poaudytowego:

1. Jak pogodzić autonomiczną strukturę 4 wydziałów uczelni i swobodę pracy dydaktycznej z rygorystycznymi wymogami kontroli dostępu do danych szczególnych kategorii studentów (art. 9 i 32 RODO), udokumentowanymi w polityce retencji i w planie minimalizacji danych?
2. Jakie konkretne wymagania stawia § 19 i § 20 rozporządzenia w sprawie KRI przed integracją systemu USOS z centralnym repozytorium POL-on, w zakresie systemu zarządzania bezpieczeństwem informacji, dzienników transakcyjnych i ciągłości działania?
3. W jaki sposób zaprojektować centralną platformę zarządzania tożsamością, aby automatycznie integrowała bazę kadrową ERP, system dziekanatowy USOS i sieć Eduroam oraz wymuszała wygasanie ról po wygaśnięciu umowy?
4. Dla wektora ryzyka nieuprawnionej modyfikacji ocen i fałszowania protokołów egzaminacyjnych w USOS i Moodle wyznaczcie w skali 1-3 wartości prawdopodobieństwa i skutku dla ryzyka inherentnego (plan podaje IR: P=3, S=3, R=9) oraz ryzyka rezydualnego po wdrożeniu planu CAP (RR: P=1, S=2, R=2) i uzasadnijcie obniżenie obu parametrów.
5. Dla karty NC1 dotyczącej 126 aktywnych kont byłych pracowników przedstawcie pełny łańcuch 5 Why: brak dyspozycji blokady z dziekanatów i kadr, nieformalne pozostawianie dostępów, papierowa karta obiegowa, obawa przed skargami na blokadę przed sesją poprawkową, a następnie przyczynę źródłową, czyli brak ładu zarządzania tożsamością (Identity Governance).
6. Jak zaprojektować Plan Działań Korygujących dla karty NC1, aby każde działanie miało przypisanego właściciela spośród Rektora, Kanclerza Uczelni, Kierownika Działu Informatyki i inspektora ochrony danych, termin z przedziału 14-90 dni oraz mierzalny wskaźnik KPI, np. zerową liczbę aktywnych kont byłych pracowników w USOS?

Pytania problemowe z zakresu raportu:

• Jak pogodzić autonomiczną strukturę wydziałów uczelni i swobodę pracy dydaktycznej z rygorystycznymi wymogami kontroli dostępu do danych osobowych studentów (art. 9 i 32 RODO)?
• Jakie konkretne wymagania stawia § 19 i § 20 rozporządzenia w sprawie KRI Rozporządzenia w sprawie Krajowych Ram Interoperacyjności przed integracją uczelnianego systemu USOS z centralnym repozytorium POL-on?
• W jaki sposób zaprojektować centralną platformę zarządzania tożsamością (IAM) na uczelni, aby automatycznie integrowała system kadrowy, dziekanatowy i sieć Eduroam?

Uwaga: Każda odpowiedź musi odwoływać się do konkretnego kryterium audytowego: artykułu ustawy albo rozporządzenia, punktu kontrolnego normy PN-EN ISO/IEC 27001:2022 bądź numeru wektora zagrożenia w macierzy ryzyka 3x3. Podejście risk-based reporting wymaga, aby każdy wektor zagrożenia otrzymał wyliczone ryzyko inherentne IR jako iloczyn prawdopodobieństwa P i skutku S w skali 1-3 oraz ryzyko rezydualne RR po wdrożeniu kontroli naprawczej; sam opis zagrożenia bez obu wartości nie zalicza punktacji. Ustalenia graduj wyłącznie jako NC1, NC2 albo OFI, a do każdej karty dołącz pełną sekwencję 5 Why prowadzącą do przyczyny źródłowej. Odpowiedź bez odwołania do przepisu, normy lub mieralnego wskaźnika KPI z planu CAP nie zalicza punktacji.

Praca w zespole 2-3 osobowym polega na przeprowadzeniu zaawansowanego studium przypadku: audyt oparty na ryzyku (Risk-Based Audit), formalna gradacja uchybień do NC1, NC2 i OFI, dochodzenie przyczyn źródłowych metodą 5 Why oraz konstrukcja planu działań korygujących z wskaźnikami KPI i terminami 14-90 dni.

Zadanie realizowane jest przez 2-3 osobowy zespół audytorski w formule zaawansowanego studium przypadku:

• Krok 1 (Podział ról i specyfika uczelni wyższej):

  Podzielcie zadania. Przeanalizujcie specyfikę środowiska akademickiego: wymianę kadry dydaktycznej (umowy cywilnoprawne), autonomię wydziałów oraz wymogi integracji z rejestrami państwowymi POL-on.

• Krok 3 (Formalna kwalifikacja uchybień - Karty Niezgodności):

  Sformułujcie karty uchybień:

  • Niezgodność Duża (NC1): Brak procedury weryfikacji i odbierania uprawnień użytkownikom USOS skutkujący obecnością 126 aktywnych kont byłych pracowników dydaktycznych (naruszenie art. 5 ust. 1 lit. f, art. 9 i 32 RODO, § 19 i § 20 rozporządzenia w sprawie KRI ust. 2 pkt 3 KRI oraz kontroli ISO/IEC 27001:2022 A.5.18).
  • Niezgodność Duża (NC1): Brak szyfrowania baz danych i kopii zapasowych systemów dziekanatowych oraz stosowanie przestarzałych protokołów TLS (naruszenie art. 32 RODO, art. 21 NIS2 oraz ISO 27001 A.8.24).
  • Niezgodność Mała (NC2): Brak sformalizowanej procedury monitorowania i odzyskiwania błędów transmisji do systemu POL-on OPI PIB (naruszenie § 19 i § 20 rozporządzenia w sprawie KRI ust. 2 pkt 10 KRI).
  • Szansa na doskonalenie (OFI): Wdrożenie zintegrowanego systemu zarządzania tożsamością IAM z automatycznym wygaszaniem ról na podstawie umów kadrowych.
• Krok 5 (Konstrukcja Planu Działań Korygujących - CAP):

  Opracujcie tabelę CAP z kolumnami: Lp., Identyfikacja uchybienia (NC1/NC2/OFI), Działanie naprawcze, Właściciel biznesowy, Termin (14-90 dni), Wskaźnik sukcesu (KPI).

• Krok 6 (Przygotowanie raportu i referatu):

  Zredagujcie kompletny raport poaudytowy (8-12 stron A4) i przygotujcie 15-minutową prezentację seminaryjną.

Uwaga: Krok 2 (analiza ryzyka w matrycy 3 × 3 dla czterech wektorów zagrożeń) oraz Krok 4 (protokół dochodzenia przyczyn źródłowych 5 Why) przedstawiono w sekcji „Wzorcowa koncepcja rozwiązania problemu” w postaci tabeli ryzyka z wyliczeniem IR i RR oraz tabeli pięciu poziomów przyczyn.

Interaktywny warsztat 5 Why, w którym prześledzicie przyczynę źródłową własnego zadania, znajduje się w sekcji Protokół 5 Why.

Podział ról w triadzie audytorskiej:

• Rola 1 - Audytor Wiodący metryka audytu zintegrowanego, zakres przedmiotowy (RODO, NIS2, KRI), dwupoziomowe Podsumowanie Menedżerskie dla władz samorządowych, koordynacja sprawozdania i obrony ustnej.
• Rola 2 - Audytor Techniczny opis luk w zarządzaniu kontami i uprawnieniami, odporność teleinformatyczna, zarządzanie podatnościami, separacja stref IT/OT/IoT, model 3-2-1 kopii zapasowych, ścieżka zgłaszania incydentów poważnych w terminach 24 i 72 godzin.
• Rola 3 - Audytor Ryzyka i CAP analiza ryzyka w matrycy 3 × 3, wyliczenie IR i RR dla czterech wektorów, karty NC1, NC2 i OFI, sekwencja 5 Why oraz tabela CAP z rolami, terminami 14-90 dni i wskaźnikami KPI.
• Rola 4 - Audytor Ochrony Danych Osobowych i Zgodności z RODO legalność przetwarzania, w tym art. 9 RODO, rejestry czynności, umowy powierzenia (art. 28), środki techniczne i organizacyjne (art. 32) oraz procedura zawiadamiania Prezesa UODO. W zespole trzyosobowym rolę tę realizują wspólnie osoby pełniące rolę 1 i rolę 2.

Pełny harmonogram ćwiczenia wraz z zegarem 4 × 45 minut, podziałem etapów między role i listą artefaktów znajduje się w sekcji Interaktywny harmonogram ćwiczeń. Wartości P, S, IR i RR dla wektorów zagrożeń wyliczacie w sekcji Interaktywny kalkulator ryzyka, ich sumaryczny bilans weryfikujecie w sekcji macierzy ryzyka 3 × 3, a sekwencję przyczyn źródłowych prowadzicie w sekcji protokole 5 Why.

Plan prezentacji referatu seminaryjnego (15 minut):

• Wprowadzenie do audytu uczelni wyższej w triadzie RODO, NIS2 i KRI (3 min): Specyfika danych studenckich, USOS, Moodle i rejestr POL-on (Student 1).
• Podsumowanie zarządcze dla Władz Uczelni i analiza ryzyk 3x3 (3 min): Zagrożenia wyciekiem orzeczeń lekarskich, fałszowaniem ocen i utratą dotacji (Student 1 lub Student 3).
• Szczegółowe ustalenia techniczne i dowody audytowe (3 min): Analiza logów USOS, kont byłych pracowników, stanu szyfrowania i protokołów TLS (Student 2).
• Karty uchybień NC1/NC2/OFI, dochodzenie 5 Why i Plan CAP (4 min): Prezentacja przyczyn źródłowych, planu wdrożenia systemu IAM i wskaźników KPI (Student 3 i Student 2).
• Wnioski, rekomendacje dla Senatu i dyskusja seminaryjna (2 min): Odpowiedzi na pytania dotyczące równowagi między bezpieczeństwem a otwartością akademicką (cały zespół).

W referacie seminaryjnym omówcie mechanizm działania zautomatyzowanej elektronicznej karty obiegowej pracownika dydaktycznego: wyjaśnijcie, w jaki sposób integracja z systemem kadrowym natychmiast po wygaśnięciu umowy blokuje uprawnienia w systemie USOS i Moodle, uniemożliwiając nieautoryzowaną modyfikację ocen.

Wymagania formalne sprawozdania poaudytowego (ocena 4.0):

• Wymagane: sprawozdanie poaudytowe w formacie PDF o objętości 8-12 stron znormalizowanego maszynopisu A4 (2 400-3 600 słów), przekazane najpóźniej 24 godziny przed terminem zajęć;
• Wymagane: dwupoziomowe Podsumowanie Menedżerskie (Executive Summary) z syntezą zarządczą, technicznym aneksem dowodowym i co najmniej trzema decyzjami zarządczymi do podjęcia;
• Wymagane: wystąpienie seminaryjne trwające 15 minut, w którym każdy członek zespołu prezentuje własny fragment pracy i odpowiada na pytania kontrolne prowadzącego;
• Wymagane: strona tytułowa z nazwą jednostki, pełnym tytułem zadania, kodem Lab10 i składem zespołu z podziałem ról;
• Wymagane: metryka audytu: podstawa prawna, zakres, metoda, kryteria, dowody i uczestnicy;
• Wymagane: karta organizacyjna o co najmniej sześciu polach oraz katalog uchybień wraz ze skutkami operacyjnymi, prawnymi i reputacyjnymi;
• Wymagane: tabela matrycy ryzyka 3 × 3 dla czterech wektorów zagrożeń z wyliczeniem ryzyka inherentnego (IR = P × S), zaprojektowanych kontroli i ryzyka rezydualnego (RR);
• Wymagane: formalne karty niezgodności NC1 i NC2 oraz bilans OFI z precyzyjnym wskazaniem artykułu ustawy, paragrafu rozporządzenia lub punktu kontrolnego normy;
• Wymagane: protokół dochodzenia przyczyn źródłowych metodą 5 Why z przyczyną źródłową na poziomie zarządu, procesu lub systemu;
• Wymagane: jedna zintegrowana procedura reagowania na incydent obsługująca terminy 24/72/72 godzin;
• Wymagane: tabela planu działań korygujących (CAP) o sześciu kolumnach: Lp., identyfikacja uchybienia, działanie naprawcze, właściciel biznesowy, termin realizacji z przedziału 14-90 dni oraz mierzalny wskaźnik KPI;
• Wymagane: analiza wad i zalet własnego rozwiązania wraz z ograniczeniami przyjętych założeń;
• Wymagane: bibliografia z numerami artykułów i paragrafów oraz numerami kontrolek norm;
• Skutkuje niezaliczeniem: sprawozdanie krótsze niż 8 stron A4 albo dłuższe niż 12 stron, sprawozdanie bez procedury 5 Why, bez tabeli matrycy 3 × 3, bez planu CAP z KPI albo bez Podsumowania Menedżerskiego, referat bez bibliografii albo praca nieprzygotowana do obrony ustnej.

Szkic sprawozdania przygotowujecie w sekcji Formularz sprawozdania poaudytowego, a kompletność pracy sprawdzacie na czterech etapach ćwiczenia w sekcji checklistcie zgodności (licznik objętości wskazuje, czy tekst mieści się w wymaganych 8-12 stronach A4).

Uwaga: Najczęstsze błędy obniżające ocenę: przedstawienie scenariusza zamiast jego analizy, pominięcie wyliczenia IR i RR dla czterech wektorów w macierzy 3x3, urwana sekwencja 5 Why zamiast pełnych pięciu kroków, kwalifikowanie uchybień bez wskazania punktu kontrolnego normy i artykułu prawa, plan CAP bez właściciela biznesowego, terminu z przedziału 14-90 dni i mieralnego KPI, brak dwupoziomowego Podsumowania Menedżerskiego oraz sprawozdanie o objętości innej niż 8-12 stron A4 (2400-3600 słów przy 300 słów na stronę). Sprawozdanie musi zawierać Kartę organizacyjną o co najmniej 6 polach, karty NC1, NC2 i OFI, protokół 5 Why, analizę wad i zalet rozwiązania, co najmniej trzy konkretne decyzje zarządcze oraz co najmniej trzy wiersze planu CAP.

Wzorcowa tabela zaawansowanej analizy ryzyka – cztery wektory zagrożeń, ryzyko inherentne (IR) i rezydualne (RR) po projektowanych kontrolach (skala 1-3 × 1-3, strefy: 1-3 niskie, 4-6 średnie, 7-9 krytyczne):

Formalne karty niezgodności:

• Karta NC1 (Niezgodność Duża) - brak procedury wygaszania uprawnień i aktywne konta byłych pracowników w USOS (art. 9 i 32 RODO, § 19 i § 20 rozporządzenia KRI, ISO 27001 A.5.18).
• Karta NC1 (Niezgodność Duża) - brak szyfrowania baz danych i kopii zapasowych oraz stosowanie przestarzałych protokołów TLS (art. 32 RODO, art. 21 NIS2, ISO 27001 A.8.24).
• Karta NC2 (Niezgodność Mała) - brak monitorowania błędów synchronizacji z rejestrem POL-on (§ 19 i § 20 rozporządzenia KRI).
• Karta OFI (Szansa na doskonalenie) - integracja tożsamości w standardzie eduGAIN z uwierzytelnianiem MFA.

Wzorcowy protokół dochodzenia przyczyn źródłowych metodą 5 Why:

Szczegółowe rozwiązanie inżynierskie i zarządcze:

• Architektura centralnego systemu tożsamości IAM sprzężonego ze skryptami automatycznej synchronizacji z bazą kadrową.
• Projekt wdrożenia szyfrowania spoczynkowego baz danych USOS i Moodle przy użyciu kluczy zarządzanych w bezpiecznym module HSM/KMS.
• Wzorcowa procedura elektronicznej obiegówki dydaktyka gwarantująca natychmiastowe odebranie praw do USOS po zakończeniu semestru.

Wzorcowa tabela planu działań korygujących (CAP) z przypisaniem ról, terminów 14-90 dni i wskaźnikami KPI:

Bilans wdrożenia proponowanego rozwiązania dla tej jednostki:

Porównajcie koszt wdrożenia, liczbę zaangażowanych osób i ryzyko resztkowe. Rozwiązanie, które personel jest w stanie faktycznie stosować, jest skuteczniejsze niż rozbudowana procedura, której nikt nie przestrzega; uzasadnijcie wybrany wariant ryzyka, kosztu i obciążenia operacyjnego.

• Ustawa z dnia 20 lipca 2018 r. - Prawo o szkolnictwie wyższym i nauce (tekst jedn. Dz.U. z 2024 r. poz. 1571) - dokumentacja przebiegu studiów i system POL-on.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 5, 9, 32.
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (Dyrektywa NIS2) - sektor edukacji i badań naukowych.
• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (Dz.U. z 2024 r. poz. 773) - § 19 oraz § 20.
• Norma PN-EN ISO/IEC 27001:2022: Systemy zarządzania bezpieczeństwem informacji.
• Ośrodek Przetwarzania Informacji (OPI PIB): "Specyfikacja techniczna interfejsu wymiany danych z systemem POL-on", Warszawa 2023.

Podstawy prawne i normatywne obowiązujące w całym module (weryfikowany stan prawny):

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 5 (zasady przetwarzania, w tym minimalizacja, ograniczenie retencji i rozliczalność), art. 9 (dane szczególnych kategorii), art. 25 (ochrona danych z naturyry), art. 28 (przetwarzanie przez podmioty przetwarzające), art. 32 (bezpieczeństwo przetwarzania), art. 33 ust. 1 (zawiadomienie organu nadzorczego w terminie 72 godzin) oraz art. 34 (zawiadomienie osób, których dane dotyczą).
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (dyrektywa NIS2) - art. 21 (środki zarządzania ryzykiem, w tym bezpieczeństwo łańcucha dostaw) oraz art. 23 (wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie incydentu w ciągu 72 godzin, sprawozdanie końcowe w ciągu miesiąca).
• Ustawa z dnia 5 lipca 2018 r. o Krajowym Systemie Cyberbezpieczeństwa (tekst jedn. Dz.U. z 2026 r. poz. 20) - art. 8 (środki zapewniające poufność, integralność i dostępność oraz ograniczenie mechanizmów dostępu do systemów sterowania), art. 10 (dokumentacja), art. 11 (obsługa i zgłaszanie incydentów poważnych w ciągu 24 godzin) oraz art. 15 (audyt bezpieczeństwa co najmniej raz na 2 lata).
• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (Dz.U. z 2024 r. poz. 773) - § 19 (system zarządzania bezpieczeństwem informacji, w tym wymóg okresowego audytu wewnętrznego nie rzadziej niż raz na rok: § 19 ust. 2 pkt 14) oraz § 20 (rozliczalność i prowadzenie dzienników systemów, których zapisy przechowuje się co najmniej dwa lata). Rozporządzenie z dnia 12 kwietnia 2012 r. utraciło moc z dniem 23 maja 2024 r.
• Ustawa z dnia 17 lutnia 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne (tekst jedn. Dz.U. z 2026 r. poz. 1241) - art. 18 jako podstawa prawna rozporządzenia w sprawie KRI.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 (DORA) - art. 8 (zarządzanie ryzykiem operacyjnym ICT) oraz art. 9 i 10 (zdarzenia operacyjne ICT, ich zgłaszanie, ochrona i archiwizacja dzienników oraz testy ciągłości działania).
• PCI Security Standards Council 2024 - standard PCI DSS v4.0, w tym wymóg 6.2 (bezpieczne oprogramowanie dedykowane), 8.3.4 (ograniczenie nieudanych prób uwierzytelniania) oraz 10.5.1 (retencja dzienników: minimum 12 miesięcy, w tym 3 miesiące w trybie natychmiastowego dostępu online).
• Ustawa z dnia 26 czerwca 1974 r. - Kodeks pracy (Dz.U. z 2023 r. poz. 1465 z późn. zm.) - art. 22 ust. 1-2 (monitoring w zakładzie pracy: obowiązek poinformowania pracowników, uzasadnienia celu monitoringu i uregulowania zasad monitoringu w regulaminie pracy lub układzie zbiorowym).
• Norma PN-EN ISO 19011:2018 - wytyczne dotyczące audytowania systemów zarządzania, w tym treść raportu z auditu (pkt 6.5), zarządzanie rozbieżnościami i sporem audytowym (pkt 6.5.2), formalne zamknięcie audytu (pkt 6.6) oraz działania poaudytowe i weryfikacja skuteczności (pkt 6.7).
• Norma PN-EN ISO/IEC 27001:2022 - systemy zarządzania bezpieczeństwem informacji: klauzule 4.4, 6.1, 8.1, 9.2, 9.3, 10.1, 10.2 oraz kontrole Załącznika A.
• Norma PN-EN ISO/IEC 27005:2018 - zarządzanie ryzykiem bezpieczeństwa informacji: identyfikacja, analiza w matrycy prawdopodobieństwa i skutku, ocena oraz postępowanie z ryzykiem; podstawa metody risk-based z oceną ryzyka inherentnego (IR) i rezydualnego (RR).
• Norma PN-EN ISO 22301:2019 - systemy zarządzania ciągłością działania, stosowana jako uznana praktyka przy projektowaniu procedur ciągłości działania i testów odtworzeniowych.
• Wytyczne Europejskiej Rady Ochrony Danych 3/2019 w sprawie przetwarzania danych osobowych przez urządzenia wideo - uzasadnienie celu monitoringu, zasada minimalizacji i retencji nagrań.
• Rekomendacja D Komisji Nadzoru Finansowego dotycząca stosowania przez banki spółdzielcze dobrych praktyk w zakresie zarządzania ryzykiem operacyjnym oraz Rekomendacja M dotycząca zarządzania ryzykiem technologicznym - stosowane jako uznane praktyki i metody oceny.

Normy ISO, standardy branżowe (PCI DSS, DORA w zakresie praktyk nadzoru, Rekomendacje D i M KNF, IFC/BRC, IEC 62443-3-3) oraz wytyczne organów nadzorczych stosuje się jako uznane praktyki i metody oceny, a nie jako przepisy ustawowe; ich zastosowanie wymaga krótkiego uzasadnienia w sprawozdaniu.

Powiązanie z sylabusem i treściami programowymi:

• U4 Opracowanie zaawansowanego raportu poaudytowego (8-12 stron A4) dla zakładu produkcyjnego z matrycą ryzyka, kartami uchybień, analizą 5 Why i tabelą CAP oraz wygłoszenie 15-minutowego referatu seminaryjnego.
• U2 Precyzyjna gradacja niezgodności na NC1, NC2 i OFI w zintegrowanym środowisku ERP/MES/SCADA.
• U1 Opracowanie zaleceń inżynierskich w zakresie uwierzytelniania w trudnych warunkach przemysłowych (karty RFID, terminale dotykowe), mikrosegmentacji sieci produkcyjnej oraz audytu umów z agencjami pracy tymczasowej.
• U3 Szacowanie ryzyka w matrycy 3x3 w odniesieniu do paraliżu linii ubojowej, zepsucia surowca, utraty certyfikatów eksportowych IFS/BRC i sankcji PIW.
• W1W2W3 Zaawansowana wiedza o przepisach NIS2 dla łańcucha żywnościowego, § 19 i § 20 rozporządzenia KRI, art. 28 i 32 RODO oraz Ustawy o produktach pochodzenia zwierzęcego.
• K1K2K3 Obiektywizm audytorski, zrozumienie reżimów sanitarno-higienicznych oraz profesjonalizm w kontakcie z kadrą inżynierską.
• Powiązanie z wykładem: Wyk1 (Audyt w przemyśle produkcyjnym), Wyk2 (Zasady audytowania ISO 19011), Wyk3 (Kontrole Załącznika A ISO 27001), Wyk4 (NIS2 w łańcuchu dostaw żywności), Wyk5 (Matryca ryzyka 3x3), Wyk7 (Metoda 5 Why, Karty Niezgodności i Plan CAP).

Wybrane efekty uczenia się realizowane w tym zadaniu:

• U4 Opracowanie zaawansowanego raportu poaudytowego dla zakładu produkcyjnego (8-12 stron A4).
• U2 Formalna gradacja uchybień NC1/NC2/OFI na styku automatyki przemysłowej i IT.
• U1 Projekt inżynierski wdrożenia czytników RFID IP68 i mikrosegmentacji sieci OT.
• U3 Analiza ryzyka w matrycy 3x3 dla ciągłości produkcji i certyfikacji eksportowych.
• W1W2W3 Biegła znajomość przepisów NIS2, norm żywnościowych IFS/BRC, RODO i KRI.
• K1K2K3 Obiektywizm, poszanowanie reżimów sanitarnych i profesjonalizm inżynierski.

Podstawy prawne i normatywne zadania: RODO art. 5, 28 ust. 3, 32 i 33; NIS2 art. 21 i 23; rozporządzenie w sprawie KRI § 19 i § 20; ustawa o produktach pochodzenia zwierzęcego; PN-EN ISO/IEC 27001:2022 (A.8.5, A.8.20, A.8.22); IFS Food v8 i BRC Global Standard

Temat zadania: ZAAWANSOWANY AUDYT SIECI AUTOMATYKI PRZEMYSŁOWEJ I TRACEABILITY WETERYNARYJNEGO: MATRYCA RYZYKA 3X3 DLA ŁAŃCUCHA DOSTAW ŻYWNOŚCI (NIS2), KARTY NC1/NC2/OFI DLA JAWNYCH HASEŁ WAG, DOCHODZENIE 5 WHY ORAZ PLAN CAP Z WSKAŹNIKAMI KPI

Głównym celem zadania jest nabycie przez studentów zaawansowanych umiejętności przeprowadzenia zintegrowanego audytu bezpieczeństwa informacji w przedsiębiorstwie produkcyjnym sektora spożywczego, podlegającym rygorom Dyrektywy NIS2 (jako podmiot ważny w łańcuchu dostaw żywności), ogólnego rozporządzenia o ochronie danych (RODO) oraz minimalnych wymagań teleinformatycznych (§ 19 i § 20 rozporządzenia KRI w zakresie cyfrowej integracji z Powiatowym Inspektoratem Weterynarii i systemami traceability). Studenci badają stan bezpieczeństwa Zakładów Przetwórstwa Rybnego Dolina Baryczy w Miliczu.

Zadanie na ocenę 4.0 wymaga: przygotowania wieloaspektowego Podsumowania Menedżerskiego dla Zarządu Spółki i Głównego Technologa Produkcji, przeprowadzenia analizy ryzyka w matrycy 3x3 dla 4 wektorów zagrożeń przemysłowych i prawnych (IR vs RR), sporządzenia formalnych Kart Niezgodności (NC1/NC2/OFI) z powołaniem normy PN-EN ISO/IEC 27001:2022 oraz właściwych artykułów prawa, przeprowadzenia dochodzenia przyczyn źródłowych metodą 5 Why dla jawnych haseł przyklejonych na terminalach wagowych i braku separacji sieci produkcyjnej PLC od biurowej, a także skonstruowania Planu Działań Korygujących (CAP) ze wskaźnikami KPI i terminami 14-90 dni.

Kryterium zaliczenia zadania: sprawozdanie poaudytowe uznaje się za zaliczone, jeżeli zawiera dwupoziomowe Podsumowanie Menedżerskie, metrykę audytu, kartę organizacyjną, katalog uchybień sklasyfikowanych jako NC1, NC2 lub OFI z odwołaniem do przepisu lub kontrolki normatywnej, tabelę matrycy ryzyka 3 × 3 z wyliczeniem IR i RR dla czterech wektorów zagrożeń, protokół dochodzenia przyczyn źródłowych metodą 5 Why, jedną zintegrowaną procedurę reagowania na incydent z terminami 24/72/72 godzin, tabelę planu działań korygujących o sześciu kolumnach z terminami 14-90 dni i wskaźnikami KPI, analizę wad i zalet rozwiązania oraz bibliografię z numerami artykułów i paragrafów.

Karta organizacyjna analizowanej jednostki (na podstawie scenariusza):

Narracja scenariusza i stan faktyczny w obszarze zbadanym:

Zakłady Przetwórstwa Rybnego Dolina Baryczy w Miliczu zatrudniają 350 pracowników (w tym 120 pracowników tymczasowych pochodzących z agencji pracy) i eksportują przetwory rybne do 12 krajów Unii Europejskiej. Proces produkcyjny jest w pełni zautomatyzowany i opiera się na systemie klasy MES/SCADA połączonym ze sterownikami PLC linii filetowania i pakowania oraz 30 przemysłowymi terminalami wagowo-etykietującymi. Przedsiębiorstwo przekazuje dane o partiach surowca i certyfikatach weterynaryjnych (traceability) bezpośrednio do systemów teleinformatycznych Powiatowego Inspektoratu Weterynarii (PIW).

Stan faktyczny w obszarze zbadanym i zidentyfikowane luki:

• Obszar NIS2 i Bezpieczeństwa Urządzeń Brzegowych OT: Na terminalach wagowych hali przetwórczej ujawniono obecność żółtych kartek samoprzylepnych z jawnymi loginami i hasłami administratora (admin / waga2020). Każdy pracownik fizyczny miał możliwość modyfikacji parametrów tarowania wag oraz zmiany partii surowca w systemie traceability. Sieć sterowników PLC linii przetwórczych pracowała w tej samej podsieci co biurowe komputery działu marketingu i sprzedaży (naruszenie art. 21 NIS2, § 19 i § 20 rozporządzenia KRI oraz kontroli ISO 27001 A.8.5 i A.8.20).
• Obszar KRI i Spójności Rejestrów Weterynaryjnych: Brak mechanizmów integralności i cyfrowego podpisywania paczek danych wysyłanych do PIW stwarza ryzyko manipulacji danymi o pochodzeniu ryb, co w przypadku kontroli weterynaryjnej grozi natychmiastowym wstrzymaniem certyfikatów eksportowych IFS/BRC (naruszenie § 19 i § 20 rozporządzenia w sprawie KRI ust. 2 pkt 8 KRI).
• Obszar RODO i Agencji Pracy: Przedsiębiorstwo nie posiadało aktualnych umów powierzenia przetwarzania danych osobowych (art. 28 RODO) z dwiema agencjami pracy tymczasowej, które dostarczały dane pracowników bez stosownych klauzul bezpieczeństwa (naruszenie art. 28 i 32 RODO).
• Szansa na doskonalenie (OFI): Wdrożenie kart zbliżeniowych RFID wbudowanych w identyfikatory sanitarne pracowników, umożliwiających logowanie do wag bez konieczności zdejmowania gumowych rękawic ochronnych.

W skład zespołu wchodzą studenci realizujący następujące role:

• Rola 1: Audytor Wiodący / Łańcuch Żywnościowy i Zgodność KRI (Lead Auditor) - koordynuje prace, odpowiada za relacje z Zarządem i Głównym Technologiem, weryfikuje wymogi traceability i redaguje raport.
• Rola 2: Audytor Techniczny Cyberbezpieczeństwa Przemysłowego (OT Security Specialist) - analizuje terminale wagowe, sieć PLC, brak separacji VLAN, projektuje mikrosegmentację i czytniki RFID.
• Rola 3: Audytor RODO, Ryzyka i CAP (Privacy & Compliance Officer) - przeprowadza analizę ryzyka 3x3, sporządza karty uchybień (NC1/NC2/OFI), prowadzi procedurę 5 Why oraz tworzy tabelę CAP z KPI. W zespole 2-osobowym zadania te dzielą Studenci 1 i 2.

Na co zwrócić uwagę przy analizie scenariusza:

• 1 Najpierw ustalcie, który z trzech reżimów regulacyjnych jest właściwy dla każdej uchybienia: ta sama okoliczność może być jednocześnie naruszeniem RODO, art. 21 dyrektywy NIS2 i wymogów § 19 rozporządzenia w sprawie KRI.
• 2 Rozróżnijcie objaw od przyczyny źródłowej: brak mechanizmu wygaszania uprawnień jest skutkiem, a przyczyną źródłową jest brak zintegrowanej polityki zarządzania tożsamością powiązanej z procesami kadrowymi.
• 3 Uzasadnijcie wagę każdej karty niezgodności liczbowo: dla każdego wektora podajcie wartości P i S w skali 1-3, iloczyn IR oraz RR po wdrożeniu kontroli, ponieważ priorytet uchybienia musi wynikać z tej arytmetyki, a nie z wrażeń audytora.
• 4 Każdy wiersz tabeli CAP musi domknąć pętlę weryfikacji: właściciel biznesowy, termin 14-90 dni, mieralny KPI z liczbą i datą graniczną oraz zaplanowany przegląd skuteczności działań naprawczych, który zostanie poddany monitoringowi i audytowi sprawdzającemu.

Odpowiedzcie w zespołach na poniższe pytania przed przystąpieniem do redagowania sprawozdania poaudytowego:

1. W jaki sposób zorganizować bezpieczne i ergonomiczne uwierzytelnianie operatorów maszyn w strefie mokrej i zimnej przemysłu spożywczego, aby wyeliminować jawne poświadczenia admin / waga2020 bez spowolnienia pracy hali i przy zachowaniu rygorów sanitarnych?
2. Jakie konkretne wymagania dotyczące integralności danych i prowadzenia dzienników nakładają § 19 i § 20 rozporządzenia w sprawie KRI na systemy traceability współpracujące z Powiatowym Inspektoratem Weterynarii oraz jakie są skutki ich braku dla certyfikatów eksportowych IFS/BRC?
3. W jaki sposób dyrektywa NIS2, w szczególności art. 21, definiuje odpowiedzialność podmiotów sektora produkcji i dystrybucji żywności za bezpieczeństwo łańcucha dostaw, skoro podsieć sterowników PLC w hali przetwórczej współdzielona jest ze stacjami biurowymi bez zapory przemysłowej?
4. Dla wektora ryzyka zafałszowania danych traceability i utraty unijnych certyfikatów eksportowych przez jawne hasła do wag wyznaczcie w skali 1-3 wartości prawdopodobieństwa i skutku dla ryzyka inherentnego (plan podaje IR: P=3, S=3, R=9) oraz ryzyka rezydualnego po wdrożeniu planu CAP (RR: P=1, S=3, R=3) i uzasadnijcie, dlaczego mimo kontroli skutek pozostaje wysoki.
5. Dla karty NC1 o jawnych hasłach administratora na terminalach wagowych przedstawicie łańcuch 5 Why: wielokrotne logowanie podczas zmiany, brak kont imiennych z powodu rotacji personelu agencyjnego, wymagane uprawnienia administratora do zatwierdzenia zmiany partii, obawa przed wstrzymaniem produkcji, a następnie przyczynę źródłową: brak strategii bezpieczeństwa automatyki przemysłowej (OT Security) i niedostosowanie narzędzi uwierzytelniania do ergonomii środowiska.
6. Jak zaprojektować Plan Działań Korygujących dla kart NC1 i NC2, przypisując każdej pozycji właściciela spośród Prezesa Zarządu, Dyrektora Produkcji, Głównego Technologa i inspektora ochrony danych, wyznaczając terminy 14-90 dni oraz mierzalne KPI, np. 100 procent terminali wagowych z uwierzytelnianiem indywidualnym?

Pytania problemowe z zakresu raportu:

• W jaki sposób zorganizować bezpieczne i ergonomiczne uwierzytelnianie operatorów maszyn w strefie mokrej i zimnej przemysłu spożywczego, eliminując jawne hasła?
• Jakie konkretne wymagania techniczne dotyczące integralności danych nakłada § 19 i § 20 rozporządzenia KRI na systemy traceability współpracujące z Inspekcją Weterynaryjną?
• W jaki sposób Dyrektywa NIS2 definiuje odpowiedzialność podmiotów sektora produkcji i dystrybucji żywności za bezpieczeństwo łańcucha dostaw?

Uwaga: Każda odpowiedź musi odwoływać się do konkretnego kryterium audytowego: artykułu ustawy albo rozporządzenia, punktu kontrolnego normy PN-EN ISO/IEC 27001:2022 bądź numeru wektora zagrożenia w macierzy ryzyka 3x3. Podejście risk-based reporting wymaga, aby każdy wektor zagrożenia otrzymał wyliczone ryzyko inherentne IR jako iloczyn prawdopodobieństwa P i skutku S w skali 1-3 oraz ryzyko rezydualne RR po wdrożeniu kontroli naprawczej; sam opis zagrożenia bez obu wartości nie zalicza punktacji. Ustalenia graduj wyłącznie jako NC1, NC2 albo OFI, a do każdej karty dołącz pełną sekwencję 5 Why prowadzącą do przyczyny źródłowej. Odpowiedź bez odwołania do przepisu, normy lub mieralnego wskaźnika KPI z planu CAP nie zalicza punktacji.

Praca w zespole 2-3 osobowym polega na przeprowadzeniu zaawansowanego studium przypadku: audyt oparty na ryzyku (Risk-Based Audit), formalna gradacja uchybień do NC1, NC2 i OFI, dochodzenie przyczyn źródłowych metodą 5 Why oraz konstrukcja planu działań korygujących z wskaźnikami KPI i terminami 14-90 dni.

Zadanie realizowane jest przez 2-3 osobowy zespół audytorski w formule zaawansowanego studium przypadku:

• Krok 1 (Podział ról i uwarunkowania przetwórstwa żywności):

  Podzielcie zadania. Przeanalizujcie uwarunkowania pracy w hali rybnej: wilgotność, niskie temperatury, konieczność pracy w rękawicach sanitarnych oraz rygory weterynaryjne traceability.

• Krok 3 (Formalna kwalifikacja uchybień - Karty Niezgodności):

  Sformułujcie karty uchybień:

  • Niezgodność Duża (NC1): Brak indywidualnego uwierzytelniania operatorów i stosowanie jawnych, uniwersalnych poświadczeń administratora na terminalach wagowych hali produkcyjnej (naruszenie art. 21 NIS2, § 19 i § 20 rozporządzenia w sprawie KRI ust. 2 pkt 3 KRI oraz kontroli ISO/IEC 27001:2022 A.8.5).
  • Niezgodność Duża (NC1): Brak logicznej separacji sieci sterowania produkcją (PLC/MES) od sieci korporacyjnej ERP (naruszenie art. 21 NIS2 oraz kontroli ISO 27001 A.8.20 i A.8.22).
  • Niezgodność Mała (NC2): Brak aktualnych umów powierzenia przetwarzania danych osobowych z agencjami pracy tymczasowej (naruszenie art. 28 ust. 3 RODO).
  • Szansa na doskonalenie (OFI): Wdrożenie przemysłowych czytników RFID zintegrowanych z odzieżą ochronną i systemem rejestracji czasu pracy.
• Krok 5 (Konstrukcja Planu Działań Korygujących - CAP):

  Opracujcie tabelę CAP z kolumnami: Lp., Identyfikacja uchybienia (NC1/NC2/OFI), Działanie naprawcze, Właściciel biznesowy, Termin (14-90 dni), Wskaźnik sukcesu (KPI).

• Krok 6 (Przygotowanie raportu i referatu):

  Zredagujcie kompletny raport poaudytowy (8-12 stron A4) i przygotujcie 15-minutową prezentację seminaryjną.

Uwaga: Krok 2 (analiza ryzyka w matrycy 3 × 3 dla czterech wektorów zagrożeń) oraz Krok 4 (protokół dochodzenia przyczyn źródłowych 5 Why) przedstawiono w sekcji „Wzorcowa koncepcja rozwiązania problemu” w postaci tabeli ryzyka z wyliczeniem IR i RR oraz tabeli pięciu poziomów przyczyn.

Interaktywny warsztat 5 Why, w którym prześledzicie przyczynę źródłową własnego zadania, znajduje się w sekcji Protokół 5 Why.

Podział ról w triadzie audytorskiej:

• Rola 1 - Audytor Wiodący metryka audytu zintegrowanego, zakres przedmiotowy (RODO, NIS2, KRI), dwupoziomowe Podsumowanie Menedżerskie dla władz samorządowych, koordynacja sprawozdania i obrony ustnej.
• Rola 2 - Audytor Techniczny opis luk w zarządzaniu kontami i uprawnieniami, odporność teleinformatyczna, zarządzanie podatnościami, separacja stref IT/OT/IoT, model 3-2-1 kopii zapasowych, ścieżka zgłaszania incydentów poważnych w terminach 24 i 72 godzin.
• Rola 3 - Audytor Ryzyka i CAP analiza ryzyka w matrycy 3 × 3, wyliczenie IR i RR dla czterech wektorów, karty NC1, NC2 i OFI, sekwencja 5 Why oraz tabela CAP z rolami, terminami 14-90 dni i wskaźnikami KPI.
• Rola 4 - Audytor Ochrony Danych Osobowych i Zgodności z RODO legalność przetwarzania, w tym art. 9 RODO, rejestry czynności, umowy powierzenia (art. 28), środki techniczne i organizacyjne (art. 32) oraz procedura zawiadamiania Prezesa UODO. W zespole trzyosobowym rolę tę realizują wspólnie osoby pełniące rolę 1 i rolę 2.

Pełny harmonogram ćwiczenia wraz z zegarem 4 × 45 minut, podziałem etapów między role i listą artefaktów znajduje się w sekcji Interaktywny harmonogram ćwiczeń. Wartości P, S, IR i RR dla wektorów zagrożeń wyliczacie w sekcji Interaktywny kalkulator ryzyka, ich sumaryczny bilans weryfikujecie w sekcji macierzy ryzyka 3 × 3, a sekwencję przyczyn źródłowych prowadzicie w sekcji protokole 5 Why.

Plan prezentacji referatu seminaryjnego (15 minut):

• Specyfika audytu zakładu przetwórstwa żywności w świetle NIS2 i KRI (3 min): Wprowadzenie do profilu firmy, wymogi weterynaryjne traceability i normy IFS/BRC (Student 1).
• Podsumowanie zarządcze dla Zarządu i analiza ryzyk 3x3 (3 min): Prezentacja macierzy ryzyka dla ciągłości produkcji, zepsucia ryb i sankcji PIW (Student 1 lub Student 3).
• Szczegółowe ustalenia techniczne i dowody audytowe (3 min): Prezentacja zdjęć karteczek z hasłami, analiza braku separacji sieci PLC i umów z agencjami (Student 2).
• Karty uchybień NC1/NC2/OFI, dochodzenie 5 Why i Plan CAP (4 min): Prezentacja przyczyn źródłowych, planu wdrożenia kart RFID i mikrosegmentacji sieci (Student 3 i Student 2).
• Podsumowanie, rekomendacje inżynierskie i obrona koncepcji (2 min): Odpowiedzi na pytania dotyczące higieny pracy i ergonomii zabezpieczeń (cały zespół).

W prezentacji referatu zademonstrujcie, jak wdrożenie przemysłowych identyfikatorów zbliżeniowych RFID (klasa IP68) eliminuje problem żółtych kartek z hasłami, przyspieszając pracę operatorów wag o 40% i gwarantując pełną rozliczalność partii surowca w systemie traceability.

Wymagania formalne sprawozdania poaudytowego (ocena 4.0):

• Wymagane: sprawozdanie poaudytowe w formacie PDF o objętości 8-12 stron znormalizowanego maszynopisu A4 (2 400-3 600 słów), przekazane najpóźniej 24 godziny przed terminem zajęć;
• Wymagane: dwupoziomowe Podsumowanie Menedżerskie (Executive Summary) z syntezą zarządczą, technicznym aneksem dowodowym i co najmniej trzema decyzjami zarządczymi do podjęcia;
• Wymagane: wystąpienie seminaryjne trwające 15 minut, w którym każdy członek zespołu prezentuje własny fragment pracy i odpowiada na pytania kontrolne prowadzącego;
• Wymagane: strona tytułowa z nazwą jednostki, pełnym tytułem zadania, kodem Lab10 i składem zespołu z podziałem ról;
• Wymagane: metryka audytu: podstawa prawna, zakres, metoda, kryteria, dowody i uczestnicy;
• Wymagane: karta organizacyjna o co najmniej sześciu polach oraz katalog uchybień wraz ze skutkami operacyjnymi, prawnymi i reputacyjnymi;
• Wymagane: tabela matrycy ryzyka 3 × 3 dla czterech wektorów zagrożeń z wyliczeniem ryzyka inherentnego (IR = P × S), zaprojektowanych kontroli i ryzyka rezydualnego (RR);
• Wymagane: formalne karty niezgodności NC1 i NC2 oraz bilans OFI z precyzyjnym wskazaniem artykułu ustawy, paragrafu rozporządzenia lub punktu kontrolnego normy;
• Wymagane: protokół dochodzenia przyczyn źródłowych metodą 5 Why z przyczyną źródłową na poziomie zarządu, procesu lub systemu;
• Wymagane: jedna zintegrowana procedura reagowania na incydent obsługująca terminy 24/72/72 godzin;
• Wymagane: tabela planu działań korygujących (CAP) o sześciu kolumnach: Lp., identyfikacja uchybienia, działanie naprawcze, właściciel biznesowy, termin realizacji z przedziału 14-90 dni oraz mierzalny wskaźnik KPI;
• Wymagane: analiza wad i zalet własnego rozwiązania wraz z ograniczeniami przyjętych założeń;
• Wymagane: bibliografia z numerami artykułów i paragrafów oraz numerami kontrolek norm;
• Skutkuje niezaliczeniem: sprawozdanie krótsze niż 8 stron A4 albo dłuższe niż 12 stron, sprawozdanie bez procedury 5 Why, bez tabeli matrycy 3 × 3, bez planu CAP z KPI albo bez Podsumowania Menedżerskiego, referat bez bibliografii albo praca nieprzygotowana do obrony ustnej.

Szkic sprawozdania przygotowujecie w sekcji Formularz sprawozdania poaudytowego, a kompletność pracy sprawdzacie na czterech etapach ćwiczenia w sekcji checklistcie zgodności (licznik objętości wskazuje, czy tekst mieści się w wymaganych 8-12 stronach A4).

Uwaga: Najczęstsze błędy obniżające ocenę: przedstawienie scenariusza zamiast jego analizy, pominięcie wyliczenia IR i RR dla czterech wektorów w macierzy 3x3, urwana sekwencja 5 Why zamiast pełnych pięciu kroków, kwalifikowanie uchybień bez wskazania punktu kontrolnego normy i artykułu prawa, plan CAP bez właściciela biznesowego, terminu z przedziału 14-90 dni i mieralnego KPI, brak dwupoziomowego Podsumowania Menedżerskiego oraz sprawozdanie o objętości innej niż 8-12 stron A4 (2400-3600 słów przy 300 słów na stronę). Sprawozdanie musi zawierać Kartę organizacyjną o co najmniej 6 polach, karty NC1, NC2 i OFI, protokół 5 Why, analizę wad i zalet rozwiązania, co najmniej trzy konkretne decyzje zarządcze oraz co najmniej trzy wiersze planu CAP.

Wzorcowa tabela zaawansowanej analizy ryzyka – cztery wektory zagrożeń, ryzyko inherentne (IR) i rezydualne (RR) po projektowanych kontrolach (skala 1-3 × 1-3, strefy: 1-3 niskie, 4-6 średnie, 7-9 krytyczne):

Formalne karty niezgodności:

• Karta NC1 (Niezgodność Duża) - uniwersalne jawne hasła administratora na terminalach wagowych (art. 21 NIS2, § 19 i § 20 rozporządzenia KRI, ISO 27001 A.8.5).
• Karta NC1 (Niezgodność Duża) - brak separacji sieci sterowania produkcją PLC od sieci biurowej (art. 21 NIS2, ISO 27001 A.8.20/A.8.22).
• Karta NC2 (Niezgodność Mała) - brak umów powierzenia przetwarzania danych z agencjami pracy (art. 28 RODO).
• Karta OFI (Szansa na doskonalenie) - wdrożenie przemysłowych identyfikatorów zbliżeniowych RFID IP68.

Wzorcowy protokół dochodzenia przyczyn źródłowych metodą 5 Why:

Szczegółowe rozwiązanie inżynierskie i zarządcze:

• Projekt wdrożenia wodoszczelnych czytników RFID (klasa szczelności IP68) przy terminalach wagowych z logowaniem jednym dotknięciem.
• Projekt podziału sieci na wirtualne sieci lokalne (VLAN_PROD, VLAN_BIURO, VLAN_PIW) zabezpieczone zaporą przemysłową.
• Wzorcowy aneks do umowy z agencją pracy tymczasowej regulujący powierzenie danych osobowych i procedury bezpieczeństwa.

Wzorcowa tabela planu działań korygujących (CAP) z przypisaniem ról, terminów 14-90 dni i wskaźnikami KPI:

Bilans wdrożenia proponowanego rozwiązania dla tej jednostki:

Porównajcie koszt wdrożenia, liczbę zaangażowanych osób i ryzyko resztkowe. Rozwiązanie, które personel jest w stanie faktycznie stosować, jest skuteczniejsze niż rozbudowana procedura, której nikt nie przestrzega; uzasadnijcie wybrany wariant ryzyka, kosztu i obciążenia operacyjnego.

• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (Dyrektywa NIS2) - podmioty ważne w produkcji i przetwórstwie żywności.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 5, 28, 32.
• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (Dz.U. z 2024 r. poz. 773) - § 19 oraz § 20.
• Ustawa z dnia 16 grudnia 2005 r. o produktach pochodzenia zwierzęcego (Dz.U. z 2023 r. poz. 872 z późn. zm.).
• Norma PN-EN ISO/IEC 27001:2022: Systemy zarządzania bezpieczeństwem informacji.
• Standard IFS Food v8 / BRC Global Standard for Food Safety: Wymagania dotyczące obrony żywności (Food Defense) i cyberbezpieczeństwa.

Podstawy prawne i normatywne obowiązujące w całym module (weryfikowany stan prawny):

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 5 (zasady przetwarzania, w tym minimalizacja, ograniczenie retencji i rozliczalność), art. 9 (dane szczególnych kategorii), art. 25 (ochrona danych z naturyry), art. 28 (przetwarzanie przez podmioty przetwarzające), art. 32 (bezpieczeństwo przetwarzania), art. 33 ust. 1 (zawiadomienie organu nadzorczego w terminie 72 godzin) oraz art. 34 (zawiadomienie osób, których dane dotyczą).
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (dyrektywa NIS2) - art. 21 (środki zarządzania ryzykiem, w tym bezpieczeństwo łańcucha dostaw) oraz art. 23 (wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie incydentu w ciągu 72 godzin, sprawozdanie końcowe w ciągu miesiąca).
• Ustawa z dnia 5 lipca 2018 r. o Krajowym Systemie Cyberbezpieczeństwa (tekst jedn. Dz.U. z 2026 r. poz. 20) - art. 8 (środki zapewniające poufność, integralność i dostępność oraz ograniczenie mechanizmów dostępu do systemów sterowania), art. 10 (dokumentacja), art. 11 (obsługa i zgłaszanie incydentów poważnych w ciągu 24 godzin) oraz art. 15 (audyt bezpieczeństwa co najmniej raz na 2 lata).
• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (Dz.U. z 2024 r. poz. 773) - § 19 (system zarządzania bezpieczeństwem informacji, w tym wymóg okresowego audytu wewnętrznego nie rzadziej niż raz na rok: § 19 ust. 2 pkt 14) oraz § 20 (rozliczalność i prowadzenie dzienników systemów, których zapisy przechowuje się co najmniej dwa lata). Rozporządzenie z dnia 12 kwietnia 2012 r. utraciło moc z dniem 23 maja 2024 r.
• Ustawa z dnia 17 lutnia 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne (tekst jedn. Dz.U. z 2026 r. poz. 1241) - art. 18 jako podstawa prawna rozporządzenia w sprawie KRI.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 (DORA) - art. 8 (zarządzanie ryzykiem operacyjnym ICT) oraz art. 9 i 10 (zdarzenia operacyjne ICT, ich zgłaszanie, ochrona i archiwizacja dzienników oraz testy ciągłości działania).
• PCI Security Standards Council 2024 - standard PCI DSS v4.0, w tym wymóg 6.2 (bezpieczne oprogramowanie dedykowane), 8.3.4 (ograniczenie nieudanych prób uwierzytelniania) oraz 10.5.1 (retencja dzienników: minimum 12 miesięcy, w tym 3 miesiące w trybie natychmiastowego dostępu online).
• Ustawa z dnia 26 czerwca 1974 r. - Kodeks pracy (Dz.U. z 2023 r. poz. 1465 z późn. zm.) - art. 22 ust. 1-2 (monitoring w zakładzie pracy: obowiązek poinformowania pracowników, uzasadnienia celu monitoringu i uregulowania zasad monitoringu w regulaminie pracy lub układzie zbiorowym).
• Norma PN-EN ISO 19011:2018 - wytyczne dotyczące audytowania systemów zarządzania, w tym treść raportu z auditu (pkt 6.5), zarządzanie rozbieżnościami i sporem audytowym (pkt 6.5.2), formalne zamknięcie audytu (pkt 6.6) oraz działania poaudytowe i weryfikacja skuteczności (pkt 6.7).
• Norma PN-EN ISO/IEC 27001:2022 - systemy zarządzania bezpieczeństwem informacji: klauzule 4.4, 6.1, 8.1, 9.2, 9.3, 10.1, 10.2 oraz kontrole Załącznika A.
• Norma PN-EN ISO/IEC 27005:2018 - zarządzanie ryzykiem bezpieczeństwa informacji: identyfikacja, analiza w matrycy prawdopodobieństwa i skutku, ocena oraz postępowanie z ryzykiem; podstawa metody risk-based z oceną ryzyka inherentnego (IR) i rezydualnego (RR).
• Norma PN-EN ISO 22301:2019 - systemy zarządzania ciągłością działania, stosowana jako uznana praktyka przy projektowaniu procedur ciągłości działania i testów odtworzeniowych.
• Wytyczne Europejskiej Rady Ochrony Danych 3/2019 w sprawie przetwarzania danych osobowych przez urządzenia wideo - uzasadnienie celu monitoringu, zasada minimalizacji i retencji nagrań.
• Rekomendacja D Komisji Nadzoru Finansowego dotycząca stosowania przez banki spółdzielcze dobrych praktyk w zakresie zarządzania ryzykiem operacyjnym oraz Rekomendacja M dotycząca zarządzania ryzykiem technologicznym - stosowane jako uznane praktyki i metody oceny.

Normy ISO, standardy branżowe (PCI DSS, DORA w zakresie praktyk nadzoru, Rekomendacje D i M KNF, IFC/BRC, IEC 62443-3-3) oraz wytyczne organów nadzorczych stosuje się jako uznane praktyki i metody oceny, a nie jako przepisy ustawowe; ich zastosowanie wymaga krótkiego uzasadnienia w sprawozdaniu.

Powiązanie z sylabusem i treściami programowymi:

• U4 Opracowanie zaawansowanego raportu poaudytowego (8-12 stron A4) dla fintechu z matrycą ryzyka, kartami uchybień, analizą 5 Why i tabelą CAP oraz wygłoszenie 15-minutowego referatu seminaryjnego.
• U2 Precyzyjna identyfikacja i formalna gradacja niezgodności na NC1, NC2 i OFI w potokach CI/CD i bramkach API.
• U1 Opracowanie zaleceń inżynierskich w zakresie bezpiecznego cyklu wytwarzania oprogramowania (DevSecOps), autoryzacji obiektowej OAuth2/OIDC oraz szyfrowania danych KYC w chmurze przy użyciu HSM.
• U3 Szacowanie ryzyka w matrycy 3x3 w odniesieniu do kradzieży środków finansowych, utraty licencji KIP nadanej przez KNF oraz kar nadzorczych.
• W1W2W3 Zaawansowana wiedza o przepisach DORA, standardzie PCI DSS 4.0, Ustawie o usługach płatniczych, art. 32 RODO i § 19 i § 20 rozporządzenia KRI.
• K1K2K3 Niezależność audytorska, odporność na presję biznesową rynku finansowego i wysokie standardy etyki zawodowej.
• Powiązanie z wykładem: Wyk1 (Audyt w fintechu i instytucjach płatniczych), Wyk2 (Zasady audytowania ISO 19011), Wyk3 (Kontrole Załącznika A ISO 27001), Wyk4 (DORA, PCI DSS i RODO w płatnościach), Wyk5 (Matryca ryzyka 3x3), Wyk7 (Metoda 5 Why, Karty Niezgodności i Plan CAP).

Wybrane efekty uczenia się realizowane w tym zadaniu:

• U4 Opracowanie zaawansowanego raportu poaudytowego dla fintechu (8-12 stron A4).
• U2 Precyzyjna gradacja niezgodności NC1/NC2/OFI wg PCI DSS 4.0 i DORA.
• U1 Projekt inżynierski zabezpieczenia bramki API i szyfrowania KMS/HSM w chmurze.
• U3 Analiza ryzyka w matrycy 3x3 dla utraty licencji KIP i reputacji finansowej.
• W1W2W3 Biegła znajomość regulacji PCI DSS, DORA, RODO i usług płatniczych.
• K1K2K3 Niezależność audytorska, profesjonalizm w relacji z sektorem FinTech i etyka.

Podstawy prawne i normatywne zadania: RODO art. 5, 32 i 33; NIS2 art. 21 i 23; PCI DSS 4.0 (wymogi 3.4, 6.2 i 8.3.4); DORA art. 9 i 10; ustawa o usługach płatniczych; PN-EN ISO/IEC 27001:2022 (A.8.24, A.8.28, A.8.29)

Temat zadania: ZAAWANSOWANY AUDYT BRAMKI PŁATNOŚCI I API: MATRYCA RYZYKA 3X3 DLA PODATNOŚCI IDOR (PCI DSS 4.0 I DORA), KARTY NC1/NC2/OFI DLA NIESZYFROWANEGO MAGAZYNU S3 (RODO), DOCHODZENIE 5 WHY ORAZ PLAN CAP Z WSKAŹNIKAMI KPI

Głównym celem zadania jest opanowanie przez studentów zaawansowanych umiejętności audytowania innowacyjnych instytucji finansowych (FinTech / Krajowa Instytucja Płatnicza) podlegających równolegle standardowi PCI DSS 4.0, Rozporządzeniu DORA / Dyrektywie NIS2, ogólnemu rozporządzeniu o ochronie danych (RODO) oraz wymogom interoperacyjności rejestrów finansowych (§ 19 i § 20 rozporządzenia KRI dla instytucji współpracujących z KNF i KIR). Studenci badają stan bezpieczeństwa FinTech PayQuick Sp. z o.o. w Warszawie.

Zadanie na ocenę 4.0 wymaga: przygotowania dwupoziomowego Podsumowania Menedżerskiego dla Zarządu Spółki i Komitetu Bezpieczeństwa Płatności, przeprowadzenia sformalizowanej analizy ryzyka w matrycy 3x3 dla 4 wektorów zagrożeń kryptograficznych i transakcyjnych (IR vs RR), sporządzenia formalnych Kart Niezgodności (NC1/NC2/OFI) z powołaniem normy PN-EN ISO/IEC 27001:2022, wymagań PCI DSS 4.0 i Rozporządzenia DORA, przeprowadzenia dochodzenia przyczyn źródłowych metodą 5 Why dla krytycznej podatności IDOR/BOLA w otwartym API płatniczym oraz braku szyfrowania skanów dowodów tożsamości, a także skonstruowania Planu Działań Korygujących (CAP) ze wskaźnikami KPI i terminami 14-90 dni.

Kryterium zaliczenia zadania: sprawozdanie poaudytowe uznaje się za zaliczone, jeżeli zawiera dwupoziomowe Podsumowanie Menedżerskie, metrykę audytu, kartę organizacyjną, katalog uchybień sklasyfikowanych jako NC1, NC2 lub OFI z odwołaniem do przepisu lub kontrolki normatywnej, tabelę matrycy ryzyka 3 × 3 z wyliczeniem IR i RR dla czterech wektorów zagrożeń, protokół dochodzenia przyczyn źródłowych metodą 5 Why, jedną zintegrowaną procedurę reagowania na incydent z terminami 24/72/72 godzin, tabelę planu działań korygujących o sześciu kolumnach z terminami 14-90 dni i wskaźnikami KPI, analizę wad i zalet rozwiązania oraz bibliografię z numerami artykułów i paragrafów.

Karta organizacyjna analizowanej jednostki (na podstawie scenariusza):

Narracja scenariusza i stan faktyczny w obszarze zbadanym:

FinTech PayQuick Sp. z o.o. w Warszawie posiada status Krajowej Instytucji Płatniczej (KIP) pod nadzorem Urzędu Komisji Nadzoru Finansowego (UKNF) i świadczy usługi bramki płatności internetowych dla ponad 4 000 sklepów e-commerce, procesując miesięcznie 2 miliony transakcji o wartości przekraczającej 350 milionów złotych. Architektura spółki oparta jest na mikroserwisach w chmurze publicznej AWS, a integracja ze sklepami odbywa się poprzez publiczne REST API.

Stan faktyczny w obszarze zbadanym i zidentyfikowane luki:

• Obszar PCI DSS 4.0 i DORA (Bezpieczeństwo API i autoryzacja): Podczas testów penetracyjnych w endpointach API transakcyjnego ujawniono podatność Broken Object Level Authorization (BOLA / IDOR). Poprzez zmianę identyfikatora transakcji transaction_id w żądaniu HTTP GET nieautoryzowany użytkownik mógł pobrać szczegółowe dane transakcji innych klientów, w tym zamaskowany numer PAN, datę ważności karty, imię i nazwisko oraz kwotę płatności (naruszenie art. 21 NIS2, art. 9 DORA, wymogu 6.2 standardu PCI DSS 4.0 oraz kontroli ISO 27001 A.8.28).
• Obszar RODO i KNF (Dane tożsamości KYC w chmurze): W procedurze weryfikacji tożsamości klientów (KYC/AML) skany dowodów osobistych i paszportów były zapisywane w chmurowym zasobniku Amazon S3 bez wdrożonego szyfrowania kluczem zarządzanym przez klienta (KMS/HSM) i z publicznie dostępnym punktem końcowym chronionym jedynie statycznym tokenem API (naruszenie art. 32 RODO oraz kontroli ISO 27001 A.8.24).
• Obszar KRI i Zgłaszania Incydentów: Brak sformalizowanej procedury automatycznego powiadamiania CSIRT KNF i UODO w przypadku incydentów bezpieczeństwa procesowanych w chmurze (naruszenie art. 23 NIS2 oraz § 19 i § 20 rozporządzenia KRI).
• Szansa na doskonalenie (OFI): Wdrożenie zautomatyzowanego skanera bezpieczeństwa kodu (SAST/DAST) bezpośrednio w potoku wdrażania GitLab CI/CD (DevSecOps).

W skład zespołu wchodzą studenci realizujący następujące role:

• Rola 1: Audytor Wiodący / Ład FinTech i Zgodność KIP (Lead Auditor) - koordynuje prace, odpowiada za relacje z Zarządem i KNF, weryfikuje wymogi DORA i PCI DSS oraz redaguje raport.
• Rola 2: Audytor Techniczny Bezpieczeństwa Aplikacji i Chmury (Cloud & AppSec Auditor) - bada podatność IDOR w API, konfigurację AWS S3, brak szyfrowania KMS i projektuje architekturę autoryzacji OAuth2.
• Rola 3: Audytor RODO, Ryzyka i CAP (Risk & Compliance Specialist) - przeprowadza analizę ryzyka 3x3, sporządza karty uchybień (NC1/NC2/OFI), prowadzi procedurę 5 Why dla luki w API oraz tworzy tabelę CAP z KPI. W zespole 2-osobowym zadania te dzielą Studenci 1 i 2.

Na co zwrócić uwagę przy analizie scenariusza:

• 1 Najpierw ustalcie, który z trzech reżimów regulacyjnych jest właściwy dla każdej uchybienia: ta sama okoliczność może być jednocześnie naruszeniem RODO, art. 21 dyrektywy NIS2 i wymogów § 19 rozporządzenia w sprawie KRI.
• 2 Rozróżnijcie objaw od przyczyny źródłowej: brak mechanizmu wygaszania uprawnień jest skutkiem, a przyczyną źródłową jest brak zintegrowanej polityki zarządzania tożsamością powiązanej z procesami kadrowymi.
• 3 Uzasadnijcie wagę każdej karty niezgodności liczbowo: dla każdego wektora podajcie wartości P i S w skali 1-3, iloczyn IR oraz RR po wdrożeniu kontroli, ponieważ priorytet uchybienia musi wynikać z tej arytmetyki, a nie z wrażeń audytora.
• 4 Każdy wiersz tabeli CAP musi domknąć pętlę weryfikacji: właściciel biznesowy, termin 14-90 dni, mieralny KPI z liczbą i datą graniczną oraz zaplanowany przegląd skuteczności działań naprawczych, który zostanie poddany monitoringowi i audytowi sprawdzającemu.

Odpowiedzcie w zespołach na poniższe pytania przed przystąpieniem do redagowania sprawozdania poaudytowego:

1. W jaki sposób zaimplementować architekturę autoryzacji obiektowej w środowisku rozproszonych mikroserwisów bramki płatniczej, aby trwale wyeliminować podatność IDOR/BOLA, i jaką rolę odgrywa w tym walidacja praw tokenu oraz podpis tokenu w bramce API?
2. Jakie wymagania dotyczące zarządzania kluczami kryptograficznymi stawia PCI DSS 4.0 (wymóg 3.4) i jak zrealizować je w chmurze AWS przy użyciu szyfrowania kluczami klienta KMS/HSM oraz wymuszonego protokołu TLS 1.3 dla danych KYC?
3. W jaki sposób rozporządzenie DORA, w szczególności art. 9 i 10, wymusza integrację testów bezpieczeństwa ICT z procesami ciągłej integracji i wdrażania oprogramowania (CI/CD) oraz zapisywanie i ochronę zdarzeń?
4. Dla wektora ryzyka eksploatacji luki IDOR w API płatniczym i kradzieży danych kartowych wyznaczcie w skali 1-3 wartości prawdopodobieństwa i skutku dla ryzyka inherentnego (plan podaje IR: P=3, S=3, R=9) oraz ryzyka rezydualnego po wdrożeniu planu CAP (RR: P=1, S=3, R=3), wskazując związek z utratą certyfikacji PCI DSS i licencji Krajowej Instytucji Płatniczej.
5. Dla karty NC1 o podatności IDOR przedstawicie łańcuch 5 Why: programista uznał, że identyfikator transakcji jest trudny do odgadnięcia, brak testów bezpieczeństwa API i przeglądu kodu, skrócony harmonogram sprintu z powodu presji inwestorów, brak bramek SAST i DAST w CI/CD, a następnie przyczynę źródłową: brak kultury SSDLC i dominacja celów biznesowych nad zgodnością z DORA i PCI DSS 4.0.
6. Jak zaprojektować Plan Działań Korygujących dla kart NC1 i NC2, przypisując właścicieli spośród Prezesa Zarządu, Dyrektora ds. Technologii, CISO i inspektora ochrony danych, wyznaczając terminy 14-90 dni oraz mierzalne KPI, np. 100 procent endpointów API objętych autoryzacją obiektową?

Pytania problemowe z zakresu raportu:

• W jaki sposób zaimplementować architekturę autoryzacji obiektowej (Object-Level Authorization) w środowisku rozproszonych mikroserwisów, aby trwale wyeliminować podatności IDOR/BOLA?
• Jakie konkretne wymagania techniczne dotyczące zarządzania kluczami kryptograficznymi stawia standard PCI DSS 4.0 i jak zrealizować je w chmurze AWS przy użyciu dedykowanego modułu HSM?
• W jaki sposób Rozporządzenie DORA wymusza integrację testów bezpieczeństwa ICT z procesami ciągłej integracji i wdrażania oprogramowania (CI/CD)?

Uwaga: Każda odpowiedź musi odwoływać się do konkretnego kryterium audytowego: artykułu ustawy albo rozporządzenia, punktu kontrolnego normy PN-EN ISO/IEC 27001:2022 bądź numeru wektora zagrożenia w macierzy ryzyka 3x3. Podejście risk-based reporting wymaga, aby każdy wektor zagrożenia otrzymał wyliczone ryzyko inherentne IR jako iloczyn prawdopodobieństwa P i skutku S w skali 1-3 oraz ryzyko rezydualne RR po wdrożeniu kontroli naprawczej; sam opis zagrożenia bez obu wartości nie zalicza punktacji. Ustalenia graduj wyłącznie jako NC1, NC2 albo OFI, a do każdej karty dołącz pełną sekwencję 5 Why prowadzącą do przyczyny źródłowej. Odpowiedź bez odwołania do przepisu, normy lub mieralnego wskaźnika KPI z planu CAP nie zalicza punktacji.

Praca w zespole 2-3 osobowym polega na przeprowadzeniu zaawansowanego studium przypadku: audyt oparty na ryzyku (Risk-Based Audit), formalna gradacja uchybień do NC1, NC2 i OFI, dochodzenie przyczyn źródłowych metodą 5 Why oraz konstrukcja planu działań korygujących z wskaźnikami KPI i terminami 14-90 dni.

Zadanie realizowane jest przez 2-3 osobowy zespół audytorski w formule zaawansowanego studium przypadku:

• Krok 1 (Podział ról i specyfika instytucji płatniczej):

  Podzielcie zadania. Przeanalizujcie zbieżność regulacyjną standardu PCI DSS 4.0, Rozporządzenia DORA, RODO oraz Ustawy o usługach płatniczych.

• Krok 3 (Formalna kwalifikacja uchybień - Karty Niezgodności):

  Sformułujcie karty uchybień:

  • Niezgodność Duża (NC1): Podatność Broken Object Level Authorization (IDOR) w publicznym API płatniczym umożliwiająca dostęp do danych transakcyjnych osób trzecich (naruszenie art. 21 NIS2, art. 9 DORA, wymogu 6.2 PCI DSS 4.0 oraz ISO/IEC 27001:2022 A.8.28).
  • Niezgodność Duża (NC1): Przechowywanie skanów dokumentów tożsamości KYC w chmurze bez szyfrowania spoczynkowego kluczami klienta KMS/HSM (naruszenie art. 32 RODO, wymogu 3.4 PCI DSS oraz ISO 27001 A.8.24).
  • Niezgodność Mała (NC2): Brak procedury cyklicznego przeglądu kodu źródłowego i automatycznych testów bezpieczeństwa w potoku CI/CD (naruszenie ISO 27001 A.8.29).
  • Szansa na doskonalenie (OFI): Wdrożenie zautomatyzowanego potoku DevSecOps z bramkami jakościowymi SonarQube i OWASP Dependency-Check.
• Krok 5 (Konstrukcja Planu Działań Korygujących - CAP):

  Opracujcie tabelę CAP z kolumnami: Lp., Identyfikacja uchybienia (NC1/NC2/OFI), Działanie naprawcze, Właściciel biznesowy, Termin (14-90 dni), Wskaźnik sukcesu (KPI).

• Krok 6 (Przygotowanie raportu i referatu):

  Zredagujcie kompletny raport poaudytowy (8-12 stron A4) i przygotujcie 15-minutową prezentację seminaryjną.

Uwaga: Krok 2 (analiza ryzyka w matrycy 3 × 3 dla czterech wektorów zagrożeń) oraz Krok 4 (protokół dochodzenia przyczyn źródłowych 5 Why) przedstawiono w sekcji „Wzorcowa koncepcja rozwiązania problemu” w postaci tabeli ryzyka z wyliczeniem IR i RR oraz tabeli pięciu poziomów przyczyn.

Interaktywny warsztat 5 Why, w którym prześledzicie przyczynę źródłową własnego zadania, znajduje się w sekcji Protokół 5 Why.

Podział ról w triadzie audytorskiej:

• Rola 1 - Audytor Wiodący metryka audytu zintegrowanego, zakres przedmiotowy (RODO, NIS2, KRI), dwupoziomowe Podsumowanie Menedżerskie dla władz samorządowych, koordynacja sprawozdania i obrony ustnej.
• Rola 2 - Audytor Techniczny opis luk w zarządzaniu kontami i uprawnieniami, odporność teleinformatyczna, zarządzanie podatnościami, separacja stref IT/OT/IoT, model 3-2-1 kopii zapasowych, ścieżka zgłaszania incydentów poważnych w terminach 24 i 72 godzin.
• Rola 3 - Audytor Ryzyka i CAP analiza ryzyka w matrycy 3 × 3, wyliczenie IR i RR dla czterech wektorów, karty NC1, NC2 i OFI, sekwencja 5 Why oraz tabela CAP z rolami, terminami 14-90 dni i wskaźnikami KPI.
• Rola 4 - Audytor Ochrony Danych Osobowych i Zgodności z RODO legalność przetwarzania, w tym art. 9 RODO, rejestry czynności, umowy powierzenia (art. 28), środki techniczne i organizacyjne (art. 32) oraz procedura zawiadamiania Prezesa UODO. W zespole trzyosobowym rolę tę realizują wspólnie osoby pełniące rolę 1 i rolę 2.

Pełny harmonogram ćwiczenia wraz z zegarem 4 × 45 minut, podziałem etapów między role i listą artefaktów znajduje się w sekcji Interaktywny harmonogram ćwiczeń. Wartości P, S, IR i RR dla wektorów zagrożeń wyliczacie w sekcji Interaktywny kalkulator ryzyka, ich sumaryczny bilans weryfikujecie w sekcji macierzy ryzyka 3 × 3, a sekwencję przyczyn źródłowych prowadzicie w sekcji protokole 5 Why.

Plan prezentacji referatu seminaryjnego (15 minut):

• Ramy regulacyjne audytu Krajowej Instytucji Płatniczej (3 min): Standard PCI DSS 4.0, Rozporządzenie DORA, RODO i nadzór KNF (Student 1).
• Podsumowanie zarządcze dla Zarządu i analiza ryzyk 3x3 (3 min): Zagrożenie utratą licencji KIP, sankcjami KNF i karami organizacji płatniczych Visa/Mastercard (Student 1 lub Student 3).
• Szczegółowe ustalenia techniczne i dowody audytowe (3 min): Prezentacja wektora ataku IDOR w żądaniach API, luki w magazynie AWS S3 i analizy logów (Student 2).
• Karty uchybień NC1/NC2/OFI, dochodzenie 5 Why i Plan CAP (4 min): Prezentacja przyczyn pośpiechu wdrożeniowego, architektury SSDLC i wskaźników KPI (Student 3 i Student 2).
• Wnioski, rekomendacje dla Komitetu Bezpieczeństwa i dyskusja (2 min): Odpowiedzi na pytania dotyczące równowagi pomiędzy zwinnością DevOps a rygorami DORA (cały zespół).

Podczas wystąpienia seminaryjnego przedstawcie demonstrację podatności IDOR na poziomie zapytań HTTP: pokażcie, jak manipulacja nagłówkiem żądania pozwalała na podgląd obcej transakcji oraz w jaki sposób wdrożenie walidacji tokenu w bramce API trwale neutralizuje ten wektor ataku.

Wymagania formalne sprawozdania poaudytowego (ocena 4.0):

• Wymagane: sprawozdanie poaudytowe w formacie PDF o objętości 8-12 stron znormalizowanego maszynopisu A4 (2 400-3 600 słów), przekazane najpóźniej 24 godziny przed terminem zajęć;
• Wymagane: dwupoziomowe Podsumowanie Menedżerskie (Executive Summary) z syntezą zarządczą, technicznym aneksem dowodowym i co najmniej trzema decyzjami zarządczymi do podjęcia;
• Wymagane: wystąpienie seminaryjne trwające 15 minut, w którym każdy członek zespołu prezentuje własny fragment pracy i odpowiada na pytania kontrolne prowadzącego;
• Wymagane: strona tytułowa z nazwą jednostki, pełnym tytułem zadania, kodem Lab10 i składem zespołu z podziałem ról;
• Wymagane: metryka audytu: podstawa prawna, zakres, metoda, kryteria, dowody i uczestnicy;
• Wymagane: karta organizacyjna o co najmniej sześciu polach oraz katalog uchybień wraz ze skutkami operacyjnymi, prawnymi i reputacyjnymi;
• Wymagane: tabela matrycy ryzyka 3 × 3 dla czterech wektorów zagrożeń z wyliczeniem ryzyka inherentnego (IR = P × S), zaprojektowanych kontroli i ryzyka rezydualnego (RR);
• Wymagane: formalne karty niezgodności NC1 i NC2 oraz bilans OFI z precyzyjnym wskazaniem artykułu ustawy, paragrafu rozporządzenia lub punktu kontrolnego normy;
• Wymagane: protokół dochodzenia przyczyn źródłowych metodą 5 Why z przyczyną źródłową na poziomie zarządu, procesu lub systemu;
• Wymagane: jedna zintegrowana procedura reagowania na incydent obsługująca terminy 24/72/72 godzin;
• Wymagane: tabela planu działań korygujących (CAP) o sześciu kolumnach: Lp., identyfikacja uchybienia, działanie naprawcze, właściciel biznesowy, termin realizacji z przedziału 14-90 dni oraz mierzalny wskaźnik KPI;
• Wymagane: analiza wad i zalet własnego rozwiązania wraz z ograniczeniami przyjętych założeń;
• Wymagane: bibliografia z numerami artykułów i paragrafów oraz numerami kontrolek norm;
• Skutkuje niezaliczeniem: sprawozdanie krótsze niż 8 stron A4 albo dłuższe niż 12 stron, sprawozdanie bez procedury 5 Why, bez tabeli matrycy 3 × 3, bez planu CAP z KPI albo bez Podsumowania Menedżerskiego, referat bez bibliografii albo praca nieprzygotowana do obrony ustnej.

Szkic sprawozdania przygotowujecie w sekcji Formularz sprawozdania poaudytowego, a kompletność pracy sprawdzacie na czterech etapach ćwiczenia w sekcji checklistcie zgodności (licznik objętości wskazuje, czy tekst mieści się w wymaganych 8-12 stronach A4).

Uwaga: Najczęstsze błędy obniżające ocenę: przedstawienie scenariusza zamiast jego analizy, pominięcie wyliczenia IR i RR dla czterech wektorów w macierzy 3x3, urwana sekwencja 5 Why zamiast pełnych pięciu kroków, kwalifikowanie uchybień bez wskazania punktu kontrolnego normy i artykułu prawa, plan CAP bez właściciela biznesowego, terminu z przedziału 14-90 dni i mieralnego KPI, brak dwupoziomowego Podsumowania Menedżerskiego oraz sprawozdanie o objętości innej niż 8-12 stron A4 (2400-3600 słów przy 300 słów na stronę). Sprawozdanie musi zawierać Kartę organizacyjną o co najmniej 6 polach, karty NC1, NC2 i OFI, protokół 5 Why, analizę wad i zalet rozwiązania, co najmniej trzy konkretne decyzje zarządcze oraz co najmniej trzy wiersze planu CAP.

Wzorcowa tabela zaawansowanej analizy ryzyka – cztery wektory zagrożeń, ryzyko inherentne (IR) i rezydualne (RR) po projektowanych kontrolach (skala 1-3 × 1-3, strefy: 1-3 niskie, 4-6 średnie, 7-9 krytyczne):

Formalne karty niezgodności:

• Karta NC1 (Niezgodność Duża) - luka IDOR w publicznym API płatniczym (art. 21 NIS2, DORA art. 9, PCI DSS wymóg 6.2, ISO 27001 A.8.28).
• Karta NC1 (Niezgodność Duża) - brak szyfrowania spoczynkowego magazynu danych KYC w AWS S3 (art. 32 RODO, PCI DSS wymóg 3.4, ISO 27001 A.8.24).
• Karta NC2 (Niezgodność Mała) - brak automatycznych bramek bezpieczeństwa w potoku CI/CD (ISO 27001 A.8.29).
• Karta OFI (Szansa na doskonalenie) - wdrożenie polityki zerowego zaufania (Zero Trust) dla komunikacji między mikroserwisami.

Wzorcowy protokół dochodzenia przyczyn źródłowych metodą 5 Why:

Szczegółowe rozwiązanie inżynierskie i zarządcze:

• Architektura walidacji uprawnień obiektowych z wykorzystaniem filtrów API Gateway i tokenów JWT podpisanych asymetrycznie.
• Projekt migracji magazynu danych KYC do zasobnika AWS S3 z automatycznym szyfrowaniem AWS KMS (Customer Managed Keys) i wymuszeniem protokołu TLS 1.3.
• Wdrożenie procedury Secure Software Development Lifecycle (SSDLC) z obligatoryjnymi testami SAST/DAST i weryfikacją zależności.

Wzorcowa tabela planu działań korygujących (CAP) z przypisaniem ról, terminów 14-90 dni i wskaźnikami KPI:

Bilans wdrożenia proponowanego rozwiązania dla tej jednostki:

Porównajcie koszt wdrożenia, liczbę zaangażowanych osób i ryzyko resztkowe. Rozwiązanie, które personel jest w stanie faktycznie stosować, jest skuteczniejsze niż rozbudowana procedura, której nikt nie przestrzega; uzasadnijcie wybrany wariant ryzyka, kosztu i obciążenia operacyjnego.

• PCI Security Standards Council: Payment Card Industry Data Security Standard (PCI DSS) v4.0, 2022.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 w sprawie operacyjnej odporności cyfrowej sektora finansowego (DORA).
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (Dyrektywa NIS2) - sektor bankowości i infrastruktury finansowej.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 5, 32.
• Ustawa z dnia 19 sierpnia 2011 r. o usługach płatniczych (tekst jedn. Dz.U. z 2026 r. poz. 623).
• Norma PN-EN ISO/IEC 27001:2022: Systemy zarządzania bezpieczeństwem informacji.
• OWASP: "API Security Top 10", 2023.

Podstawy prawne i normatywne obowiązujące w całym module (weryfikowany stan prawny):

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 5 (zasady przetwarzania, w tym minimalizacja, ograniczenie retencji i rozliczalność), art. 9 (dane szczególnych kategorii), art. 25 (ochrona danych z naturyry), art. 28 (przetwarzanie przez podmioty przetwarzające), art. 32 (bezpieczeństwo przetwarzania), art. 33 ust. 1 (zawiadomienie organu nadzorczego w terminie 72 godzin) oraz art. 34 (zawiadomienie osób, których dane dotyczą).
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (dyrektywa NIS2) - art. 21 (środki zarządzania ryzykiem, w tym bezpieczeństwo łańcucha dostaw) oraz art. 23 (wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie incydentu w ciągu 72 godzin, sprawozdanie końcowe w ciągu miesiąca).
• Ustawa z dnia 5 lipca 2018 r. o Krajowym Systemie Cyberbezpieczeństwa (tekst jedn. Dz.U. z 2026 r. poz. 20) - art. 8 (środki zapewniające poufność, integralność i dostępność oraz ograniczenie mechanizmów dostępu do systemów sterowania), art. 10 (dokumentacja), art. 11 (obsługa i zgłaszanie incydentów poważnych w ciągu 24 godzin) oraz art. 15 (audyt bezpieczeństwa co najmniej raz na 2 lata).
• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (Dz.U. z 2024 r. poz. 773) - § 19 (system zarządzania bezpieczeństwem informacji, w tym wymóg okresowego audytu wewnętrznego nie rzadziej niż raz na rok: § 19 ust. 2 pkt 14) oraz § 20 (rozliczalność i prowadzenie dzienników systemów, których zapisy przechowuje się co najmniej dwa lata). Rozporządzenie z dnia 12 kwietnia 2012 r. utraciło moc z dniem 23 maja 2024 r.
• Ustawa z dnia 17 lutnia 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne (tekst jedn. Dz.U. z 2026 r. poz. 1241) - art. 18 jako podstawa prawna rozporządzenia w sprawie KRI.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 (DORA) - art. 8 (zarządzanie ryzykiem operacyjnym ICT) oraz art. 9 i 10 (zdarzenia operacyjne ICT, ich zgłaszanie, ochrona i archiwizacja dzienników oraz testy ciągłości działania).
• PCI Security Standards Council 2024 - standard PCI DSS v4.0, w tym wymóg 6.2 (bezpieczne oprogramowanie dedykowane), 8.3.4 (ograniczenie nieudanych prób uwierzytelniania) oraz 10.5.1 (retencja dzienników: minimum 12 miesięcy, w tym 3 miesiące w trybie natychmiastowego dostępu online).
• Ustawa z dnia 26 czerwca 1974 r. - Kodeks pracy (Dz.U. z 2023 r. poz. 1465 z późn. zm.) - art. 22 ust. 1-2 (monitoring w zakładzie pracy: obowiązek poinformowania pracowników, uzasadnienia celu monitoringu i uregulowania zasad monitoringu w regulaminie pracy lub układzie zbiorowym).
• Norma PN-EN ISO 19011:2018 - wytyczne dotyczące audytowania systemów zarządzania, w tym treść raportu z auditu (pkt 6.5), zarządzanie rozbieżnościami i sporem audytowym (pkt 6.5.2), formalne zamknięcie audytu (pkt 6.6) oraz działania poaudytowe i weryfikacja skuteczności (pkt 6.7).
• Norma PN-EN ISO/IEC 27001:2022 - systemy zarządzania bezpieczeństwem informacji: klauzule 4.4, 6.1, 8.1, 9.2, 9.3, 10.1, 10.2 oraz kontrole Załącznika A.
• Norma PN-EN ISO/IEC 27005:2018 - zarządzanie ryzykiem bezpieczeństwa informacji: identyfikacja, analiza w matrycy prawdopodobieństwa i skutku, ocena oraz postępowanie z ryzykiem; podstawa metody risk-based z oceną ryzyka inherentnego (IR) i rezydualnego (RR).
• Norma PN-EN ISO 22301:2019 - systemy zarządzania ciągłością działania, stosowana jako uznana praktyka przy projektowaniu procedur ciągłości działania i testów odtworzeniowych.
• Wytyczne Europejskiej Rady Ochrony Danych 3/2019 w sprawie przetwarzania danych osobowych przez urządzenia wideo - uzasadnienie celu monitoringu, zasada minimalizacji i retencji nagrań.
• Rekomendacja D Komisji Nadzoru Finansowego dotycząca stosowania przez banki spółdzielcze dobrych praktyk w zakresie zarządzania ryzykiem operacyjnym oraz Rekomendacja M dotycząca zarządzania ryzykiem technologicznym - stosowane jako uznane praktyki i metody oceny.

Normy ISO, standardy branżowe (PCI DSS, DORA w zakresie praktyk nadzoru, Rekomendacje D i M KNF, IFC/BRC, IEC 62443-3-3) oraz wytyczne organów nadzorczych stosuje się jako uznane praktyki i metody oceny, a nie jako przepisy ustawowe; ich zastosowanie wymaga krótkiego uzasadnienia w sprawozdaniu.

Powiązanie z sylabusem i treściami programowymi:

• U4 Opracowanie zaawansowanego raportu poaudytowego (8-12 stron A4) dla kancelarii prawnej z matrycą ryzyka, kartami uchybień, analizą 5 Why i tabelą CAP oraz wygłoszenie 15-minutowego referatu seminaryjnego.
• U2 Poprawna identyfikacja i gradacja uchybień na NC1, NC2 i OFI w działalności podlegającej tajemnicy zawodowej.
• U1 Opracowanie zaleceń inżynierskich w zakresie centralnego zarządzania szyfrowaniem BitLocker/FileVault, bezpiecznej platformy wymiany plików z szyfrowaniem end-to-end oraz wymuszenia MFA dla portali sądowych.
• U3 Szacowanie ryzyka w matrycy 3x3 w odniesieniu do odpowiedzialności karnej (art. 266 KK), dyscyplinarnej (ORA/OIRP), odszkodowawczej i utraty reputacji.
• W1W2W3 Zaawansowana znajomość przepisów Ustawy - Prawo o adwokaturze, Kodeksu karnego, RODO (art. 9 i 32), § 19 i § 20 rozporządzenia KRI i NIS2.
• K1K2K3 Etyka zawodowa, bezstronność audytorska, dbałość o zachowanie bezwzględnej poufności informacji o klientach kancelarii.
• Powiązanie z wykładem: Wyk1 (Poufność informacji w usługach profesjonalnych), Wyk2 (Zasady audytowania ISO 19011), Wyk3 (Kontrole A.5.14, A.8.1 i A.8.24 ISO 27001), Wyk4 (RODO i ochrona tajemnic prawnie chronionych), Wyk5 (Matryca ryzyka 3x3), Wyk7 (Metoda 5 Why, Karty Niezgodności i Plan CAP).

Wybrane efekty uczenia się realizowane w tym zadaniu:

• U4 Opracowanie zaawansowanego raportu poaudytowego dla kancelarii prawnej (8-12 stron A4).
• U2 Precyzyjna gradacja niezgodności NC1/NC2/OFI w kontekście tajemnicy adwokackiej.
• U1 Projekt inżynierski wdrożenia centralnego BitLockera, platformy chmurowej E2EE i MFA.
• U3 Analiza ryzyka w matrycy 3x3 dla odpowiedzialności karnej i dyscyplinarnej.
• W1W2W3 Biegła znajomość prawa o adwokaturze, Kodeksu karnego, RODO i standardów ISO 27001.
• K1K2K3 Bezwzględna etyka, kultura zachowania poufności i profesjonalizm audytorski.

Podstawy prawne i normatywne zadania: RODO art. 5, 9, 28, 32 i 33; Kodeks karny art. 266; Prawo o adwokaturze art. 19; ustawa o radcach prawnych; NIS2 art. 21 i 23; rozporządzenie w sprawie KRI § 19 i § 20; PN-EN ISO/IEC 27001:2022 (A.5.14, A.8.1, A.8.24)

Temat zadania: ZAAWANSOWANY AUDYT POUFNOŚCI I PRACY HYBRYDOWEJ: MATRYCA RYZYKA 3X3 DLA TAJEMNICY ZAWODOWEJ (ART. 266 KK I ART. 9 RODO), KARTY NC1/NC2/OFI DLA NIESZYFROWANYCH LAPTOPÓW, DOCHODZENIE 5 WHY ORAZ PLAN CAP Z WSKAŹNIKAMI KPI

Głównym celem zadania jest opanowanie przez studentów zaawansowanych umiejętności przeprowadzenia audytu bezpieczeństwa informacji w podmiocie przetwarzającym dane objęte tajemnicą prawnie chronioną (tajemnica adwokacka, radcowska i obrończa wg art. 266 Kodeksu karnego), podlegającym ogólnemu rozporządzeniu o ochronie danych (RODO), Dyrektywie NIS2 (jako podmiot kluczowy w łańcuchu usług doradczych dla spółek strategicznych) oraz wymogom bezpiecznej komunikacji z portalami sądownictwa powszechnego (§ 19 i § 20 rozporządzenia KRI). Studenci badają stan bezpieczeństwa Kancelarii Prawnej ProKancelaria w Katowicach.

Zadanie na ocenę 4.0 wymaga: opracowania zaawansowanego Podsumowania Menedżerskiego dla Partnerów Zarządzających Kancelarii, przeprowadzenia analizy ryzyka w matrycy 3x3 dla 4 wektorów zagrożeń prawnych i teleinformatycznych (IR vs RR), sporządzenia formalnych Kart Niezgodności (NC1/NC2/OFI) z powołaniem normy PN-EN ISO/IEC 27001:2022 oraz właściwych artykułów prawa, przeprowadzenia dochodzenia przyczyn źródłowych metodą 5 Why dla powszechnego braku szyfrowania dysków twardych w laptopach mobilnych prawników i stosowania prywatnych dysków chmurowych, a także skonstruowania Planu Działań Korygujących (CAP) ze wskaźnikami KPI i terminami 14-90 dni.

Kryterium zaliczenia zadania: sprawozdanie poaudytowe uznaje się za zaliczone, jeżeli zawiera dwupoziomowe Podsumowanie Menedżerskie, metrykę audytu, kartę organizacyjną, katalog uchybień sklasyfikowanych jako NC1, NC2 lub OFI z odwołaniem do przepisu lub kontrolki normatywnej, tabelę matrycy ryzyka 3 × 3 z wyliczeniem IR i RR dla czterech wektorów zagrożeń, protokół dochodzenia przyczyn źródłowych metodą 5 Why, jedną zintegrowaną procedurę reagowania na incydent z terminami 24/72/72 godzin, tabelę planu działań korygujących o sześciu kolumnach z terminami 14-90 dni i wskaźnikami KPI, analizę wad i zalet rozwiązania oraz bibliografię z numerami artykułów i paragrafów.

Karta organizacyjna analizowanej jednostki (na podstawie scenariusza):

Narracja scenariusza i stan faktyczny w obszarze zbadanym:

Kancelaria Prawna ProKancelaria w Katowicach zrzesza 45 adwokatów, radców prawnych i aplikantów, specjalizując się w obsłudze procesowej fuzji i przejęć (M&A), spraw karno-gospodarczych oraz sporów korporacyjnych spółek giełdowych. Prawnicy świadczą pracę w modelu hybrydowym, korzystając z laptopów służbowych w podróżach służbowych, sądach i domach. W codziennej pracy kancelaria wykorzystuje Portal Informacyjny Sądów Powszechnych, Krajowy Rejestr Sądowy oraz centralne repozytorium akt spraw.

Stan faktyczny w obszarze zbadanym i zidentyfikowane luki:

• Obszar RODO i Tajemnicy Adwokackiej (Mobilność i szyfrowanie urządzeń): W toku audytu fizycznego i technicznego ujawniono, że na 32 spośród 45 laptopów służbowych funkcja pełnego szyfrowania dysków (BitLocker / FileVault) była wyłączona. Prawnicy transportowali laptopy bez haseł BIOS/UEFI, a na pulpitach znajdowały się niezaszyfrowane akta spraw karnych zawierające dane szczególnych kategorii (art. 9 RODO) oraz materiały objęte bezwzględną tajemnicą obrończą (art. 266 Kodeksu karnego i art. 32 RODO).
• Obszar Bezpieczeństwa Komunikacji i Pracy Chmurowej: Ze względu na ograniczenia rozmiaru załączników w poczcie e-mail, prawnicy masowo przesyłali tomy akt procesowych za pośrednictwem bezpłatnych, publicznych dysków chmurowych (WeTransfer, Google Drive, Dropbox) z prywatnych kont, bez zawierania umów powierzenia przetwarzania danych i bez szyfrowania plików kluczem hasłowym (naruszenie art. 28 i 32 RODO oraz kontroli ISO 27001 A.5.14 i A.8.12).
• Obszar KRI i Uwierzytelniania: Dostęp do Portalu Informacyjnego Sądów Powszechnych oraz uczelnianej bazy akt odbywał się za pomocą pojedynczego hasła o długości 8 znaków bez wymuszenia wieloskładnikowego uwierzytelniania (MFA) (naruszenie § 19 i § 20 rozporządzenia w sprawie KRI ust. 2 pkt 3 KRI oraz art. 21 NIS2).
• Szansa na doskonalenie (OFI): Wdrożenie systemu klasy Mobile Device Management (MDM / Microsoft Intune) umożliwiającego zdalne wymuszenie polityk bezpieczeństwa oraz natychmiastowe wyczyszczenie pamięci skradzionego laptopa (Remote Wipe).

W skład zespołu wchodzą studenci realizujący następujące role:

• Rola 1: Audytor Wiodący / Tajemnica Zawodowa i Ład Kancelarii (Lead Auditor) - koordynuje prace, odpowiada za relacje z Partnerami Zarządzającymi, weryfikuje przepisy korporacyjne i redaguje raport.
• Rola 2: Audytor Techniczny Cyberbezpieczeństwa Punktów Końcowych (Endpoint Security Auditor) - analizuje brak BitLockera, luki w pracy hybrydowej, logi systemowe i projektuje centralne zarządzanie szyfrowaniem i MFA.
• Rola 3: Audytor RODO, Ryzyka i CAP (Privacy & Ethics Specialist) - przeprowadza analizę ryzyka 3x3 pod kątem art. 266 KK, sporządza karty uchybień (NC1/NC2/OFI), prowadzi procedurę 5 Why oraz tworzy tabelę CAP z KPI. W zespole 2-osobowym zadania te dzielą Studenci 1 i 2.

Na co zwrócić uwagę przy analizie scenariusza:

• 1 Najpierw ustalcie, który z trzech reżimów regulacyjnych jest właściwy dla każdej uchybienia: ta sama okoliczność może być jednocześnie naruszeniem RODO, art. 21 dyrektywy NIS2 i wymogów § 19 rozporządzenia w sprawie KRI.
• 2 Rozróżnijcie objaw od przyczyny źródłowej: brak mechanizmu wygaszania uprawnień jest skutkiem, a przyczyną źródłową jest brak zintegrowanej polityki zarządzania tożsamością powiązanej z procesami kadrowymi.
• 3 Uzasadnijcie wagę każdej karty niezgodności liczbowo: dla każdego wektora podajcie wartości P i S w skali 1-3, iloczyn IR oraz RR po wdrożeniu kontroli, ponieważ priorytet uchybienia musi wynikać z tej arytmetyki, a nie z wrażeń audytora.
• 4 Każdy wiersz tabeli CAP musi domknąć pętlę weryfikacji: właściciel biznesowy, termin 14-90 dni, mieralny KPI z liczbą i datą graniczną oraz zaplanowany przegląd skuteczności działań naprawczych, który zostanie poddany monitoringowi i audytowi sprawdzającemu.

Odpowiedzcie w zespołach na poniższe pytania przed przystąpieniem do redagowania sprawozdania poaudytowego:

1. W jaki sposób wykazać adwokatom i radcom prawnym, że brak szyfrowania dysku laptopa stanowi bezpośrednie naruszenie tajemnicy zawodowej podlegające sankcjom karnym z art. 266 Kodeksu karnego, i jakie obowiązki wynikające z art. 19 Prawa o adwokaturze oraz z art. 178 KPK wspierają to stanowisko?
2. Jakie rozwiązania technologiczne, na przykład chmura dedykowana z szyfrowaniem end-to-end i kluczem sprzętowym, pozwalają bezpiecznie wymieniać wielogigabajtowe akta procesowe zgodnie z art. 32 RODO, skoro serwer pocztowy odrzuca załączniki większe niż 20 MB?
3. W jaki sposób wymusić wieloskładnikowe uwierzytelnianie MFA w pracy mobilnej na salach sądowych, zachowując wysoką ergonomię pracy prawnika, a zarazem spełniając wymagania § 19 i § 20 rozporządzenia w sprawie KRI oraz art. 21 NIS2?
4. Dla wektora ryzyka kradzieży niezaszyfrowanego laptopa z aktami spraw karnych, prowadzącej do ujawnienia tajemnicy obrończej, wyznaczcie w skali 1-3 wartości prawdopodobieństwa i skutku dla ryzyka inherentnego (plan podaje IR: P=3, S=3, R=9) oraz ryzyka rezydualnego po wdrożeniu planu CAP (RR: P=1, S=2, R=2), wskazując odpowiedzialność karną, dyscyplinarną i odszkodowawczą.
5. Dla karty NC1 o braku szyfrowania laptopów przedstawicie łańcuch 5 Why: laptopy kupowane przez partnerów i konfigurowane bez administratora IT, brak ujednoliconego standardu stacji roboczej, przekonanie o pełnej swobodzie wyboru sprzętu, odrzucanie załączników powyżej 20 MB przez serwer pocztowy, a następnie przyczynę źródłową: brak świadomości ryzyka cybernetycznego w kadrze zarządzającej i brak ładu bezpieczeństwa informacji (Security Governance).
6. Jak zaprojektować Plan Działań Korygujących dla kart NC1 i NC2, przypisując właścicieli spośród Partnerów Zarządzających, Administratora IT, Pełnomocnika ds. Ochrony Danych Kancelarii i Okręgowej Rady Adwokackiej, wyznaczając terminy 14-90 dni oraz mierzalne KPI, np. 45 laptopów z włączonym szyfrowaniem BitLocker?

Pytania problemowe z zakresu raportu:

• W jaki sposób audytor powinien wykazać adwokatom i radcom prawnym, że brak szyfrowania laptopa stanowi bezpośrednie naruszenie tajemnicy zawodowej podlegające sankcjom karnym z art. 266 KK?
• Jakie konkretne rozwiązania technologiczne (np. chmura dedykowana z szyfrowaniem kluczem sprzętowym) pozwalają na bezpieczną wymianę wielogigabajtowych akt procesowych zgodnie z art. 32 RODO?
• W jaki sposób wymusić wieloskładnikowe uwierzytelnianie MFA w pracy mobilnej, zachowując wysoką ergonomię pracy prawników na salach sądowych?

Uwaga: Każda odpowiedź musi odwoływać się do konkretnego kryterium audytowego: artykułu ustawy albo rozporządzenia, punktu kontrolnego normy PN-EN ISO/IEC 27001:2022 bądź numeru wektora zagrożenia w macierzy ryzyka 3x3. Podejście risk-based reporting wymaga, aby każdy wektor zagrożenia otrzymał wyliczone ryzyko inherentne IR jako iloczyn prawdopodobieństwa P i skutku S w skali 1-3 oraz ryzyko rezydualne RR po wdrożeniu kontroli naprawczej; sam opis zagrożenia bez obu wartości nie zalicza punktacji. Ustalenia graduj wyłącznie jako NC1, NC2 albo OFI, a do każdej karty dołącz pełną sekwencję 5 Why prowadzącą do przyczyny źródłowej. Odpowiedź bez odwołania do przepisu, normy lub mieralnego wskaźnika KPI z planu CAP nie zalicza punktacji.

Praca w zespole 2-3 osobowym polega na przeprowadzeniu zaawansowanego studium przypadku: audyt oparty na ryzyku (Risk-Based Audit), formalna gradacja uchybień do NC1, NC2 i OFI, dochodzenie przyczyn źródłowych metodą 5 Why oraz konstrukcja planu działań korygujących z wskaźnikami KPI i terminami 14-90 dni.

Zadanie realizowane jest przez 2-3 osobowy zespół audytorski w formule zaawansowanego studium przypadku:

• Krok 1 (Podział ról i specyfika tajemnicy zawodowej):

  Podzielcie zadania. Przeanalizujcie uwarunkowania pracy kancelarii prawnej: bezwzględny charakter tajemnicy obrończej, mobilność prawników i specyfikę postępowań sądowych.

• Krok 3 (Formalna kwalifikacja uchybień - Karty Niezgodności):

  Sformułujcie karty uchybień:

  • Niezgodność Duża (NC1): Brak pełnego szyfrowania dysków twardych na laptopach służbowych wykorzystywanych w pracy mobilnej poza siedzibą kancelarii (naruszenie art. 32 RODO, art. 266 Kodeksu karnego oraz kontroli ISO/IEC 27001:2022 A.8.1 i A.8.24).
  • Niezgodność Duża (NC1): Wykorzystywanie publicznych, bezpłatnych serwisów chmurowych bez umów powierzenia do transmisji poufnych akt procesowych (naruszenie art. 28 i 32 RODO oraz kontroli ISO 27001 A.5.14 i A.8.12).
  • Niezgodność Mała (NC2): Brak wymuszenia wieloskładnikowego uwierzytelniania MFA przy logowaniu do poczty kancelaryjnej i portali sądowych (naruszenie § 19 i § 20 rozporządzenia w sprawie KRI ust. 2 pkt 3 KRI oraz art. 21 NIS2).
  • Szansa na doskonalenie (OFI): Wdrożenie systemu MDM (Microsoft Intune) z polityką warunkowego dostępu (Conditional Access).
• Krok 5 (Konstrukcja Planu Działań Korygujących - CAP):

  Opracujcie tabelę CAP z kolumnami: Lp., Identyfikacja uchybienia (NC1/NC2/OFI), Działanie naprawcze, Właściciel biznesowy, Termin (14-90 dni), Wskaźnik sukcesu (KPI).

• Krok 6 (Przygotowanie raportu i referatu):

  Zredagujcie kompletny raport poaudytowy (8-12 stron A4) i przygotujcie 15-minutową prezentację seminaryjną.

Uwaga: Krok 2 (analiza ryzyka w matrycy 3 × 3 dla czterech wektorów zagrożeń) oraz Krok 4 (protokół dochodzenia przyczyn źródłowych 5 Why) przedstawiono w sekcji „Wzorcowa koncepcja rozwiązania problemu” w postaci tabeli ryzyka z wyliczeniem IR i RR oraz tabeli pięciu poziomów przyczyn.

Interaktywny warsztat 5 Why, w którym prześledzicie przyczynę źródłową własnego zadania, znajduje się w sekcji Protokół 5 Why.

Podział ról w triadzie audytorskiej:

• Rola 1 - Audytor Wiodący metryka audytu zintegrowanego, zakres przedmiotowy (RODO, NIS2, KRI), dwupoziomowe Podsumowanie Menedżerskie dla władz samorządowych, koordynacja sprawozdania i obrony ustnej.
• Rola 2 - Audytor Techniczny opis luk w zarządzaniu kontami i uprawnieniami, odporność teleinformatyczna, zarządzanie podatnościami, separacja stref IT/OT/IoT, model 3-2-1 kopii zapasowych, ścieżka zgłaszania incydentów poważnych w terminach 24 i 72 godzin.
• Rola 3 - Audytor Ryzyka i CAP analiza ryzyka w matrycy 3 × 3, wyliczenie IR i RR dla czterech wektorów, karty NC1, NC2 i OFI, sekwencja 5 Why oraz tabela CAP z rolami, terminami 14-90 dni i wskaźnikami KPI.
• Rola 4 - Audytor Ochrony Danych Osobowych i Zgodności z RODO legalność przetwarzania, w tym art. 9 RODO, rejestry czynności, umowy powierzenia (art. 28), środki techniczne i organizacyjne (art. 32) oraz procedura zawiadamiania Prezesa UODO. W zespole trzyosobowym rolę tę realizują wspólnie osoby pełniące rolę 1 i rolę 2.

Pełny harmonogram ćwiczenia wraz z zegarem 4 × 45 minut, podziałem etapów między role i listą artefaktów znajduje się w sekcji Interaktywny harmonogram ćwiczeń. Wartości P, S, IR i RR dla wektorów zagrożeń wyliczacie w sekcji Interaktywny kalkulator ryzyka, ich sumaryczny bilans weryfikujecie w sekcji macierzy ryzyka 3 × 3, a sekwencję przyczyn źródłowych prowadzicie w sekcji protokole 5 Why.

Plan prezentacji referatu seminaryjnego (15 minut):

• Ramy audytu poufności w kancelarii prawnej (3 min): Wprowadzenie do problematyki tajemnicy obrończej, art. 266 KK, RODO i portali sądowych (Student 1).
• Podsumowanie zarządcze dla Partnerów Kancelarii i analiza ryzyk 3x3 (3 min): Macierz ryzyka dla reputacji, kar ORA i procesów odszkodowawczych (Student 1 lub Student 3).
• Szczegółowe ustalenia techniczne i dowody audytowe (3 min): Prezentacja wyników inspekcji laptopów, braku BitLockera i logów transferów w chmurach konsumenckich (Student 2).
• Karty uchybień NC1/NC2/OFI, dochodzenie 5 Why i Plan CAP (4 min): Prezentacja przyczyn źródłowych, planu wdrożenia BitLockera, platformy bezpiecznej wymiany i wskaźników KPI (Student 3 i Student 2).
• Wnioski, rekomendacje i obrona koncepcji (2 min): Odpowiedzi na pytania o równowagę między wygodą pracy adwokata a bezwzględną ochroną tajemnicy klienta (cały zespół).

W referacie seminaryjnym omówcie procedurę postępowania w przypadku zgubienia lub kradzieży laptopa adwokata w pociągu: wskażcie, w jaki sposób aktywne szyfrowanie BitLocker oraz system MDM (zdalny Remote Wipe) zapobiegają naruszeniu tajemnicy obrończej z art. 266 KK i wykluczają obowiązek zgłoszenia naruszenia do Prezesa UODO.

Wymagania formalne sprawozdania poaudytowego (ocena 4.0):

• Wymagane: sprawozdanie poaudytowe w formacie PDF o objętości 8-12 stron znormalizowanego maszynopisu A4 (2 400-3 600 słów), przekazane najpóźniej 24 godziny przed terminem zajęć;
• Wymagane: dwupoziomowe Podsumowanie Menedżerskie (Executive Summary) z syntezą zarządczą, technicznym aneksem dowodowym i co najmniej trzema decyzjami zarządczymi do podjęcia;
• Wymagane: wystąpienie seminaryjne trwające 15 minut, w którym każdy członek zespołu prezentuje własny fragment pracy i odpowiada na pytania kontrolne prowadzącego;
• Wymagane: strona tytułowa z nazwą jednostki, pełnym tytułem zadania, kodem Lab10 i składem zespołu z podziałem ról;
• Wymagane: metryka audytu: podstawa prawna, zakres, metoda, kryteria, dowody i uczestnicy;
• Wymagane: karta organizacyjna o co najmniej sześciu polach oraz katalog uchybień wraz ze skutkami operacyjnymi, prawnymi i reputacyjnymi;
• Wymagane: tabela matrycy ryzyka 3 × 3 dla czterech wektorów zagrożeń z wyliczeniem ryzyka inherentnego (IR = P × S), zaprojektowanych kontroli i ryzyka rezydualnego (RR);
• Wymagane: formalne karty niezgodności NC1 i NC2 oraz bilans OFI z precyzyjnym wskazaniem artykułu ustawy, paragrafu rozporządzenia lub punktu kontrolnego normy;
• Wymagane: protokół dochodzenia przyczyn źródłowych metodą 5 Why z przyczyną źródłową na poziomie zarządu, procesu lub systemu;
• Wymagane: jedna zintegrowana procedura reagowania na incydent obsługująca terminy 24/72/72 godzin;
• Wymagane: tabela planu działań korygujących (CAP) o sześciu kolumnach: Lp., identyfikacja uchybienia, działanie naprawcze, właściciel biznesowy, termin realizacji z przedziału 14-90 dni oraz mierzalny wskaźnik KPI;
• Wymagane: analiza wad i zalet własnego rozwiązania wraz z ograniczeniami przyjętych założeń;
• Wymagane: bibliografia z numerami artykułów i paragrafów oraz numerami kontrolek norm;
• Skutkuje niezaliczeniem: sprawozdanie krótsze niż 8 stron A4 albo dłuższe niż 12 stron, sprawozdanie bez procedury 5 Why, bez tabeli matrycy 3 × 3, bez planu CAP z KPI albo bez Podsumowania Menedżerskiego, referat bez bibliografii albo praca nieprzygotowana do obrony ustnej.

Szkic sprawozdania przygotowujecie w sekcji Formularz sprawozdania poaudytowego, a kompletność pracy sprawdzacie na czterech etapach ćwiczenia w sekcji checklistcie zgodności (licznik objętości wskazuje, czy tekst mieści się w wymaganych 8-12 stronach A4).

Uwaga: Najczęstsze błędy obniżające ocenę: przedstawienie scenariusza zamiast jego analizy, pominięcie wyliczenia IR i RR dla czterech wektorów w macierzy 3x3, urwana sekwencja 5 Why zamiast pełnych pięciu kroków, kwalifikowanie uchybień bez wskazania punktu kontrolnego normy i artykułu prawa, plan CAP bez właściciela biznesowego, terminu z przedziału 14-90 dni i mieralnego KPI, brak dwupoziomowego Podsumowania Menedżerskiego oraz sprawozdanie o objętości innej niż 8-12 stron A4 (2400-3600 słów przy 300 słów na stronę). Sprawozdanie musi zawierać Kartę organizacyjną o co najmniej 6 polach, karty NC1, NC2 i OFI, protokół 5 Why, analizę wad i zalet rozwiązania, co najmniej trzy konkretne decyzje zarządcze oraz co najmniej trzy wiersze planu CAP.

Wzorcowa tabela zaawansowanej analizy ryzyka – cztery wektory zagrożeń, ryzyko inherentne (IR) i rezydualne (RR) po projektowanych kontrolach (skala 1-3 × 1-3, strefy: 1-3 niskie, 4-6 średnie, 7-9 krytyczne):

Formalne karty niezgodności:

• Karta NC1 (Niezgodność Duża) - brak szyfrowania BitLocker na 32 laptopach mobilnych (art. 32 RODO, art. 266 KK, ISO 27001 A.8.1/A.8.24).
• Karta NC1 (Niezgodność Duża) - transfer akt przez publiczne serwisy bez umów DPA (art. 28 i 32 RODO, ISO 27001 A.5.14).
• Karta NC2 (Niezgodność Mała) - brak MFA przy logowaniu do poczty i portali sądowych (§ 19 i § 20 rozporządzenia KRI, art. 21 NIS2).
• Karta OFI (Szansa na doskonalenie) - wdrożenie centralnego zarządzania MDM (Microsoft Intune).

Wzorcowy protokół dochodzenia przyczyn źródłowych metodą 5 Why:

Szczegółowe rozwiązanie inżynierskie i zarządcze:

• Projekt centralnego wdrożenia szyfrowania BitLocker z bezpiecznym przechowywaniem kluczy odzyskiwania w chmurze Microsoft Entra ID.
• Wdrożenie firmowej platformy bezpiecznej wymiany plików (np. Nextcloud Enterprise z szyfrowaniem End-to-End).
• Polityka Bezpieczeństwa Pracy Hybrydowej i Mobilnej Kancelarii z bezwzględnym nakazem stosowania MFA.

Wzorcowa tabela planu działań korygujących (CAP) z przypisaniem ról, terminów 14-90 dni i wskaźnikami KPI:

Bilans wdrożenia proponowanego rozwiązania dla tej jednostki:

Porównajcie koszt wdrożenia, liczbę zaangażowanych osób i ryzyko resztkowe. Rozwiązanie, które personel jest w stanie faktycznie stosować, jest skuteczniejsze niż rozbudowana procedura, której nikt nie przestrzega; uzasadnijcie wybrany wariant ryzyka, kosztu i obciążenia operacyjnego.

• Ustawa z dnia 26 maja 1982 r. - Prawo o adwokaturze (Dz.U. z 2022 r. poz. 2600 z późn. zm.).
• Ustawa z dnia 6 lipca 1982 r. o radcach prawnych (Dz.U. z 2022 r. poz. 1166 z późn. zm.).
• Ustawa z dnia 6 czerwca 1997 r. - Kodeks karny (art. 266 - naruszenie tajemnicy zawodowej).
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 5, 9, 28, 32.
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (Dyrektywa NIS2) - usługi profesjonalne i doradcze.
• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (Dz.U. z 2024 r. poz. 773) - § 19 oraz § 20.
• Naczelna Rada Adwokacka: "Wytyczne w sprawie korzystania z narzędzi IT i chmury obliczeniowej w pracy adwokata", Warszawa 2023.

Podstawy prawne i normatywne obowiązujące w całym module (weryfikowany stan prawny):

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 5 (zasady przetwarzania, w tym minimalizacja, ograniczenie retencji i rozliczalność), art. 9 (dane szczególnych kategorii), art. 25 (ochrona danych z naturyry), art. 28 (przetwarzanie przez podmioty przetwarzające), art. 32 (bezpieczeństwo przetwarzania), art. 33 ust. 1 (zawiadomienie organu nadzorczego w terminie 72 godzin) oraz art. 34 (zawiadomienie osób, których dane dotyczą).
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (dyrektywa NIS2) - art. 21 (środki zarządzania ryzykiem, w tym bezpieczeństwo łańcucha dostaw) oraz art. 23 (wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie incydentu w ciągu 72 godzin, sprawozdanie końcowe w ciągu miesiąca).
• Ustawa z dnia 5 lipca 2018 r. o Krajowym Systemie Cyberbezpieczeństwa (tekst jedn. Dz.U. z 2026 r. poz. 20) - art. 8 (środki zapewniające poufność, integralność i dostępność oraz ograniczenie mechanizmów dostępu do systemów sterowania), art. 10 (dokumentacja), art. 11 (obsługa i zgłaszanie incydentów poważnych w ciągu 24 godzin) oraz art. 15 (audyt bezpieczeństwa co najmniej raz na 2 lata).
• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (Dz.U. z 2024 r. poz. 773) - § 19 (system zarządzania bezpieczeństwem informacji, w tym wymóg okresowego audytu wewnętrznego nie rzadziej niż raz na rok: § 19 ust. 2 pkt 14) oraz § 20 (rozliczalność i prowadzenie dzienników systemów, których zapisy przechowuje się co najmniej dwa lata). Rozporządzenie z dnia 12 kwietnia 2012 r. utraciło moc z dniem 23 maja 2024 r.
• Ustawa z dnia 17 lutnia 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne (tekst jedn. Dz.U. z 2026 r. poz. 1241) - art. 18 jako podstawa prawna rozporządzenia w sprawie KRI.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 (DORA) - art. 8 (zarządzanie ryzykiem operacyjnym ICT) oraz art. 9 i 10 (zdarzenia operacyjne ICT, ich zgłaszanie, ochrona i archiwizacja dzienników oraz testy ciągłości działania).
• PCI Security Standards Council 2024 - standard PCI DSS v4.0, w tym wymóg 6.2 (bezpieczne oprogramowanie dedykowane), 8.3.4 (ograniczenie nieudanych prób uwierzytelniania) oraz 10.5.1 (retencja dzienników: minimum 12 miesięcy, w tym 3 miesiące w trybie natychmiastowego dostępu online).
• Ustawa z dnia 26 czerwca 1974 r. - Kodeks pracy (Dz.U. z 2023 r. poz. 1465 z późn. zm.) - art. 22 ust. 1-2 (monitoring w zakładzie pracy: obowiązek poinformowania pracowników, uzasadnienia celu monitoringu i uregulowania zasad monitoringu w regulaminie pracy lub układzie zbiorowym).
• Norma PN-EN ISO 19011:2018 - wytyczne dotyczące audytowania systemów zarządzania, w tym treść raportu z auditu (pkt 6.5), zarządzanie rozbieżnościami i sporem audytowym (pkt 6.5.2), formalne zamknięcie audytu (pkt 6.6) oraz działania poaudytowe i weryfikacja skuteczności (pkt 6.7).
• Norma PN-EN ISO/IEC 27001:2022 - systemy zarządzania bezpieczeństwem informacji: klauzule 4.4, 6.1, 8.1, 9.2, 9.3, 10.1, 10.2 oraz kontrole Załącznika A.
• Norma PN-EN ISO/IEC 27005:2018 - zarządzanie ryzykiem bezpieczeństwa informacji: identyfikacja, analiza w matrycy prawdopodobieństwa i skutku, ocena oraz postępowanie z ryzykiem; podstawa metody risk-based z oceną ryzyka inherentnego (IR) i rezydualnego (RR).
• Norma PN-EN ISO 22301:2019 - systemy zarządzania ciągłością działania, stosowana jako uznana praktyka przy projektowaniu procedur ciągłości działania i testów odtworzeniowych.
• Wytyczne Europejskiej Rady Ochrony Danych 3/2019 w sprawie przetwarzania danych osobowych przez urządzenia wideo - uzasadnienie celu monitoringu, zasada minimalizacji i retencji nagrań.
• Rekomendacja D Komisji Nadzoru Finansowego dotycząca stosowania przez banki spółdzielcze dobrych praktyk w zakresie zarządzania ryzykiem operacyjnym oraz Rekomendacja M dotycząca zarządzania ryzykiem technologicznym - stosowane jako uznane praktyki i metody oceny.

Normy ISO, standardy branżowe (PCI DSS, DORA w zakresie praktyk nadzoru, Rekomendacje D i M KNF, IFC/BRC, IEC 62443-3-3) oraz wytyczne organów nadzorczych stosuje się jako uznane praktyki i metody oceny, a nie jako przepisy ustawowe; ich zastosowanie wymaga krótkiego uzasadnienia w sprawozdaniu.

Powiązanie z sylabusem i treściami programowymi:

• U4 Opracowanie zaawansowanego sprawozdania z audytu transportu miejskiego (8-12 stron A4) z matrycą ryzyka, kartami uchybień, analizą 5 Why i tabelą CAP oraz wygłoszenie 15-minutowego referatu seminaryjnego.
• U2 Precyzyjna gradacja niezgodności na NC1, NC2 i OFI w urządzeniach Internetu Rzeczy (IoT) i systemach wideo.
• U1 Opracowanie zaleceń inżynierskich w zakresie automatyzacji rotacji haseł urządzeń pokładowych, sprzętowego szyfrowania rejestratorów CCTV oraz bezpiecznego pobierania danych w zajezdniach (Wi-Fi 802.1X).
• U3 Szacowanie ryzyka w matrycy 3x3 w odniesieniu do paraliżu sprzedaży biletów, wycieku nagrań monitoringu i kar administracyjnych UODO.
• W1W2W3 Zaawansowana znajomość wytycznych EROD 3/2019, Ustawy o publicznym transporcie zbiorowym, Dyrektywy NIS2, § 19 i § 20 rozporządzenia KRI i RODO.
• K1K2K3 Obiektywizm audytorski, zrozumienie misji publicznej transportu zbiorowego i etyka zawodowa.
• Powiązanie z wykładem: Wyk1 (Audyt w transporcie publicznym i IoT), Wyk2 (Zasady audytowania ISO 19011), Wyk3 (Kontrole Załącznika A ISO 27001), Wyk4 (NIS2 i RODO w infrastrukturze miejskiej), Wyk5 (Matryca ryzyka 3x3), Wyk7 (Metoda 5 Why, Karty Niezgodności i Plan CAP).

Wybrane efekty uczenia się realizowane w tym zadaniu:

• U4 Opracowanie zaawansowanego sprawozdania z audytu transportu miejskiego (8-12 stron A4).
• U2 Precyzyjna gradacja niezgodności NC1/NC2/OFI w urządzeniach pokładowych IoT i monitoringu wideo.
• U1 Projekt inżynierski procedury rotacji poświadczeń, szyfrowania CCTV i sieci Wi-Fi 802.1X.
• U3 Analiza ryzyka w matrycy 3x3 dla paraliżu taboru, kar UODO i utraty zaufania mieszkańców.
• W1W2W3 Biegła znajomość wytycznych EROD 3/2019, przepisów transportowych, NIS2 i KRI.
• K1K2K3 Obiektywizm, świadomość wagi usług użyteczności publicznej i etyka zawodowa.

Podstawy prawne i normatywne zadania: RODO art. 5 ust. 1 lit. e, 32 i 33; ustawa o KSC art. 8 i 11; NIS2 art. 21 i 23 (sektor transportu); rozporządzenie w sprawie KRI § 19 i § 20; ustawa o publicznym transporcie zbiorowym; wytyczne EROD 3/2019; PN-EN ISO/IEC 27001:2022 (A.8.1, A.8.2, A.8.5)

Temat zadania: ZAAWANSOWANY AUDYT URZĄDZEŃ POKŁADOWYCH I MONITORINGU CCTV: MATRYCA RYZYKA 3X3 DLA BILETOMATÓW IOT (NIS2), KARTY NC1/NC2/OFI DLA FABRYCZNYCH HASEŁ, DOCHODZENIE 5 WHY ORAZ PLAN CAP Z WSKAŹNIKAMI KPI

Głównym celem zadania jest nabycie przez studentów zaawansowanych umiejętności przeprowadzenia zintegrowanego badania audytowego w przedsiębiorstwie użyteczności publicznej sektora transportu miejskiego, podlegającym rygorom Dyrektywy NIS2 (jako podmiot kluczowy sektora transportu), ogólnego rozporządzenia o ochronie danych (RODO - przetwarzanie wizerunku pasażerów w systemach monitoringu wizyjnego) oraz Krajowych Ram Interoperacyjności (§ 19 i § 20 rozporządzenia KRI dla miejskich systemów zarządzania ruchem ITS i dystrybucji biletów). Studenci badają stan bezpieczeństwa Zakładu Komunikacji Miejskiej w Bydgoszczy.

Zadanie na ocenę 4.0 wymaga: przygotowania wieloaspektowego Podsumowania Menedżerskiego dla Zarządu Spółki Komunalnej i Dyrektora ds. Eksploatacji, przeprowadzenia sformalizowanej analizy ryzyka w matrycy 3x3 dla 4 wektorów cyberzagrożeń w taborze (IR vs RR), sporządzenia formalnych Kart Niezgodności (NC1/NC2/OFI) z powołaniem normy PN-EN ISO/IEC 27001:2022 oraz właściwych artykułów prawa i wytycznych Europejskiej Rady Ochrony Danych (EROD 3/2019), przeprowadzenia dochodzenia przyczyn źródłowych metodą 5 Why dla pozostawienia domyślnych danych logowania producenta w biletomatach pokładowych 240 pojazdów, a także skonstruowania Planu Działań Korygujących (CAP) ze wskaźnikami KPI i terminami 14-90 dni.

Kryterium zaliczenia zadania: sprawozdanie poaudytowe uznaje się za zaliczone, jeżeli zawiera dwupoziomowe Podsumowanie Menedżerskie, metrykę audytu, kartę organizacyjną, katalog uchybień sklasyfikowanych jako NC1, NC2 lub OFI z odwołaniem do przepisu lub kontrolki normatywnej, tabelę matrycy ryzyka 3 × 3 z wyliczeniem IR i RR dla czterech wektorów zagrożeń, protokół dochodzenia przyczyn źródłowych metodą 5 Why, jedną zintegrowaną procedurę reagowania na incydent z terminami 24/72/72 godzin, tabelę planu działań korygujących o sześciu kolumnach z terminami 14-90 dni i wskaźnikami KPI, analizę wad i zalet rozwiązania oraz bibliografię z numerami artykułów i paragrafów.

Karta organizacyjna analizowanej jednostki (na podstawie scenariusza):

Narracja scenariusza i stan faktyczny w obszarze zbadanym:

Zakład Komunikacji Miejskiej w Bydgoszczy obsługuje flotę 240 pojazdów (autobusów i tramwajów), przewożąc rocznie ponad 70 milionów pasażerów na terenie miasta i gmin ościennych. Każdy pojazd wyposażony jest w komputer pokładowy zintegrowany z systemem ITS (Inteligentne Systemy Transportowe), biletomat pokładowy z obsługą płatności zbliżeniowych oraz system monitoringu wizyjnego CCTV liczący od 5 do 8 kamer wysokiej rozdzielczości na pojazd. W zajezdniach pojazdy łączą się z centralnymi serwerami spółki w celu wymiany danych telemetrycznych i rozliczeń finansowych.

Stan faktyczny w obszarze zbadanym i zidentyfikowane luki:

• Obszar NIS2 i Bezpieczeństwa Urządzeń IoT: Podczas badania technicznego ujawniono, że we wszystkich 240 biletomatach pokładowych i komputerach pokładowych zainstalowane było fabryczne, domyślne konto serwisowe producenta z jawnym hasłem (service / tech2018). Urządzenia te podłączone były do publicznego modemu 4G LTE ze stałym publicznym adresem IP, co umożliwiało każdemu użytkownikowi Internetu próbę zdalnego logowania przez protokół Telnet/SSH (naruszenie art. 21 NIS2, § 19 i § 20 rozporządzenia KRI oraz kontroli ISO 27001 A.8.2 i A.8.5).
• Obszar RODO i Monitoringu Wizyjnego: Dyski twarde w rejestratorach CCTV w pojazdach nie były zaszyfrowane, a nagrania wideo wizerunku pasażerów były przechowywane przez okres 90 dni (zamiast dopuszczalnych prawem 14-30 dni) bez jakiegokolwiek uzasadnienia prawnego. Zgrywanie nagrań na wniosek policji odbywało się na prywatne pendrive'y dyspozytorów ruchu bez rejestrowania w książce wydań (naruszenie art. 5 ust. 1 lit. e i art. 32 RODO oraz wytycznych EROD 3/2019).
• Obszar KRI i Ciągłości ITS: Centralny serwer dyspozytorski ITS nie posiadał zasilania redundantnego, co w trakcie burzy spowodowało 4-godzinną utratę łączności z pojazdami i brak informacji na tablicach przystankowych (naruszenie § 19 i § 20 rozporządzenia w sprawie KRI ust. 2 pkt 10 KRI).
• Szansa na doskonalenie (OFI): Wdrożenie automatycznego pobierania materiałów CCTV i logów telemetrycznych po wjeździe pojazdu do zajezdni za pośrednictwem szyfrowanej sieci Wi-Fi 6 w standardzie WPA3-Enterprise (802.1X).

W skład zespołu wchodzą studenci realizujący następujące role:

• Rola 1: Audytor Wiodący / Transport Miejski i Zgodność KRI (Lead Auditor) - koordynuje prace, odpowiada za relacje z Zarządem ZKM i Wydziałem Transportu Urzędu Miasta oraz redaguje raport.
• Rola 2: Audytor Techniczny Cyberbezpieczeństwa Urządzeń IoT i Sieci (IoT & Network Auditor) - bada biletomaty pokładowe, fabryczne hasła, brak szyfrowania dysków CCTV i projektuje bezpieczną sieć w zajezdniach.
• Rola 3: Audytor RODO, Ryzyka i CAP (Privacy & Video Surveillance Specialist) - przeprowadza analizę ryzyka 3x3 pod kątem wytycznych EROD 3/2019, sporządza karty uchybień (NC1/NC2/OFI), prowadzi procedurę 5 Why oraz tworzy tabelę CAP z KPI. W zespole 2-osobowym zadania te dzielą Studenci 1 i 2.

Na co zwrócić uwagę przy analizie scenariusza:

• 1 Najpierw ustalcie, który z trzech reżimów regulacyjnych jest właściwy dla każdej uchybienia: ta sama okoliczność może być jednocześnie naruszeniem RODO, art. 21 dyrektywy NIS2 i wymogów § 19 rozporządzenia w sprawie KRI.
• 2 Rozróżnijcie objaw od przyczyny źródłowej: brak mechanizmu wygaszania uprawnień jest skutkiem, a przyczyną źródłową jest brak zintegrowanej polityki zarządzania tożsamością powiązanej z procesami kadrowymi.
• 3 Uzasadnijcie wagę każdej karty niezgodności liczbowo: dla każdego wektora podajcie wartości P i S w skali 1-3, iloczyn IR oraz RR po wdrożeniu kontroli, ponieważ priorytet uchybienia musi wynikać z tej arytmetyki, a nie z wrażeń audytora.
• 4 Każdy wiersz tabeli CAP musi domknąć pętlę weryfikacji: właściciel biznesowy, termin 14-90 dni, mieralny KPI z liczbą i datą graniczną oraz zaplanowany przegląd skuteczności działań naprawczych, który zostanie poddany monitoringowi i audytowi sprawdzającemu.

Odpowiedzcie w zespołach na poniższe pytania przed przystąpieniem do redagowania sprawozdania poaudytowego:

1. W jaki sposób zaimplementować zarządzanie poświadczeniami (Credential Management) w 240 rozproszonych urządzeniach IoT poruszających się po mieście, aby wyeliminować fabryczne konto serwisowe service / tech2018 oraz wyłączyć nadmiarowe protokoły Telnet i SSH z ekspozycji w publicznym Internecie?
2. Jakie wymogi wynikające z art. 32 RODO i wytycznych EROD 3/2019 należy spełnić przy instalacji i eksploatacji monitoringu wizyjnego w pojazdach, w zakresie szyfrowania rejestratorów, retencji nagrań oraz ewidencji zgrywanego materiału wideo na nośniki prywatne?
3. W jaki sposób zabezpieczyć transmisję danych między pojazdami a zajezdnią, eliminując ryzyko podsłuchu i modyfikacji telemetrii, oraz zapewnić redundancję zasilania centralnego serwera ITS, po której awarii podczas burzy nastąpiła 4-godzinna utrata łączności z pojazdami i brak informacji na tablicach przystankowych?
4. Dla wektora ryzyka zdalnego przejęcia biletomatów pokładowych przez hakerów z powodu haseł domyślnych i manipulacji taryfami wyznaczcie w skali 1-3 wartości prawdopodobieństwa i skutku dla ryzyka inherentnego (plan podaje IR: P=3, S=3, R=9) oraz ryzyka rezydualnego po wdrożeniu planu CAP (RR: P=1, S=3, R=3) i uzasadnijcie, dlaczego mimo kontroli skutek pozostaje wysoki.
5. Dla karty NC1 o fabrycznych poświadczeniach serwisowych przedstawicie łańcuch 5 Why: monterzy nie zmienili haseł przy odbiorze technicznym pojazdów, SIWZ nie zawierało wymogu zmiany haseł ani generowania unikalnych kluczy, specyfikację przygotowali wyłącznie mechanicy i elektrycy, cyberbezpieczeństwo traktowano jako sprawę administracji biurowej, a następnie przyczynę źródłową: brak ładu zarządzania cyberbezpieczeństwem infrastruktury transportowej i brak odbioru Security-by-Design przy zakupach taboru.
6. Jak zaprojektować Plan Działań Korygujących dla kart NC1 i NC2, przypisując właścicieli spośród Prezesa Zarządu, Dyrektora ds. Eksploatacji, Dyrektora ds. Technicznych i Miejskiego Inżyniera Ruchu, wyznaczając terminy 14-90 dni oraz mierzalne KPI, np. 240 biletomatów z unikalnymi poświadczeniami?

Pytania problemowe z zakresu raportu:

• W jaki sposób zaimplementować architekturę bezpiecznego zarządzania poświadczeniami (Credential Management) w setkach rozproszonych urządzeń IoT poruszających się po mieście?
• Jakie konkretne wymogi prawne i techniczne wynikające z wytycznych EROD 3/2019 oraz art. 32 RODO należy spełnić przy instalacji i eksploatacji monitoringu CCTV w pojazdach komunikacji miejskiej?
• W jaki sposób zabezpieczyć transmisję danych pomiędzy pojazdami a zajezdnią, eliminując ryzyko podsłuchu i modyfikacji danych telemetrycznych?

Uwaga: Każda odpowiedź musi odwoływać się do konkretnego kryterium audytowego: artykułu ustawy albo rozporządzenia, punktu kontrolnego normy PN-EN ISO/IEC 27001:2022 bądź numeru wektora zagrożenia w macierzy ryzyka 3x3. Podejście risk-based reporting wymaga, aby każdy wektor zagrożenia otrzymał wyliczone ryzyko inherentne IR jako iloczyn prawdopodobieństwa P i skutku S w skali 1-3 oraz ryzyko rezydualne RR po wdrożeniu kontroli naprawczej; sam opis zagrożenia bez obu wartości nie zalicza punktacji. Ustalenia graduj wyłącznie jako NC1, NC2 albo OFI, a do każdej karty dołącz pełną sekwencję 5 Why prowadzącą do przyczyny źródłowej. Odpowiedź bez odwołania do przepisu, normy lub mieralnego wskaźnika KPI z planu CAP nie zalicza punktacji.

Praca w zespole 2-3 osobowym polega na przeprowadzeniu zaawansowanego studium przypadku: audyt oparty na ryzyku (Risk-Based Audit), formalna gradacja uchybień do NC1, NC2 i OFI, dochodzenie przyczyn źródłowych metodą 5 Why oraz konstrukcja planu działań korygujących z wskaźnikami KPI i terminami 14-90 dni.

Zadanie realizowane jest przez 2-3 osobowy zespół audytorski w formule zaawansowanego studium przypadku:

• Krok 1 (Podział ról i uwarunkowania transportu miejskiego):

  Podzielcie zadania. Przeanalizujcie uwarunkowania pracy taboru miejskiego: rozproszenie pojazdów, łączność komórkową 4G/5G, biletomaty płatnicze oraz rygory monitoringu wizyjnego RODO.

• Krok 3 (Formalna kwalifikacja uchybień - Karty Niezgodności):

  Sformułujcie karty uchybień:

  • Niezgodność Duża (NC1): Pozostawienie domyślnych poświadczeń serwisowych producenta na urządzeniach pokładowych IoT dostępnych z publicznego Internetu (naruszenie art. 21 NIS2, § 19 i § 20 rozporządzenia w sprawie KRI ust. 2 pkt 3 KRI oraz kontroli ISO/IEC 27001:2022 A.8.2 i A.8.5).
  • Niezgodność Duża (NC1): Brak szyfrowania dysków twardych w rejestratorach CCTV oraz brak procedur ewidencji i nadzoru nad zgrywaniem materiału wideo (naruszenie art. 32 RODO, wytycznych EROD 3/2019 oraz ISO 27001 A.8.1 i A.8.24).
  • Niezgodność Mała (NC2): Przechowywanie nagrań monitoringu wizyjnego przez okres 90 dni z naruszeniem zasady ograniczenia przechowywania (naruszenie art. 5 ust. 1 lit. e RODO).
  • Szansa na doskonalenie (OFI): Wdrożenie bezpiecznej sieci bezprzewodowej Wi-Fi 6 z certyfikatami 802.1X w zajezdniach autobusowych i tramwajowych.
• Krok 5 (Konstrukcja Planu Działań Korygujących - CAP):

  Opracujcie tabelę CAP z kolumnami: Lp., Identyfikacja uchybienia (NC1/NC2/OFI), Działanie naprawcze, Właściciel biznesowy, Termin (14-90 dni), Wskaźnik sukcesu (KPI).

• Krok 6 (Przygotowanie raportu i referatu):

  Zredagujcie kompletny raport poaudytowy (8-12 stron A4) i przygotujcie 15-minutową prezentację seminaryjną.

Uwaga: Krok 2 (analiza ryzyka w matrycy 3 × 3 dla czterech wektorów zagrożeń) oraz Krok 4 (protokół dochodzenia przyczyn źródłowych 5 Why) przedstawiono w sekcji „Wzorcowa koncepcja rozwiązania problemu” w postaci tabeli ryzyka z wyliczeniem IR i RR oraz tabeli pięciu poziomów przyczyn.

Interaktywny warsztat 5 Why, w którym prześledzicie przyczynę źródłową własnego zadania, znajduje się w sekcji Protokół 5 Why.

Podział ról w triadzie audytorskiej:

• Rola 1 - Audytor Wiodący metryka audytu zintegrowanego, zakres przedmiotowy (RODO, NIS2, KRI), dwupoziomowe Podsumowanie Menedżerskie dla władz samorządowych, koordynacja sprawozdania i obrony ustnej.
• Rola 2 - Audytor Techniczny opis luk w zarządzaniu kontami i uprawnieniami, odporność teleinformatyczna, zarządzanie podatnościami, separacja stref IT/OT/IoT, model 3-2-1 kopii zapasowych, ścieżka zgłaszania incydentów poważnych w terminach 24 i 72 godzin.
• Rola 3 - Audytor Ryzyka i CAP analiza ryzyka w matrycy 3 × 3, wyliczenie IR i RR dla czterech wektorów, karty NC1, NC2 i OFI, sekwencja 5 Why oraz tabela CAP z rolami, terminami 14-90 dni i wskaźnikami KPI.
• Rola 4 - Audytor Ochrony Danych Osobowych i Zgodności z RODO legalność przetwarzania, w tym art. 9 RODO, rejestry czynności, umowy powierzenia (art. 28), środki techniczne i organizacyjne (art. 32) oraz procedura zawiadamiania Prezesa UODO. W zespole trzyosobowym rolę tę realizują wspólnie osoby pełniące rolę 1 i rolę 2.

Pełny harmonogram ćwiczenia wraz z zegarem 4 × 45 minut, podziałem etapów między role i listą artefaktów znajduje się w sekcji Interaktywny harmonogram ćwiczeń. Wartości P, S, IR i RR dla wektorów zagrożeń wyliczacie w sekcji Interaktywny kalkulator ryzyka, ich sumaryczny bilans weryfikujecie w sekcji macierzy ryzyka 3 × 3, a sekwencję przyczyn źródłowych prowadzicie w sekcji protokole 5 Why.

Plan prezentacji referatu seminaryjnego (15 minut):

• Ramy audytu bezpieczeństwa transportu publicznego (3 min): Wprowadzenie do profilu ZKM, technologie pokładowe IoT, NIS2 i wytyczne EROD 3/2019 (Student 1).
• Podsumowanie zarządcze dla Zarządu Spółki i analiza ryzyk 3x3 (3 min): Zagrożenia paraliżem biletomatów, wyciekami wizerunku pasażerów i karami UODO (Student 1 lub Student 3).
• Szczegółowe ustalenia techniczne i dowody audytowe (3 min): Prezentacja domyślnych loginów serwisowych, otwartych portów Telnet/SSH i rejestratorów CCTV (Student 2).
• Karty uchybień NC1/NC2/OFI, dochodzenie 5 Why i Plan CAP (4 min): Przyczyna źródłowa w procedurach przetargowych, akcja serwisowa rotacji haseł i wskaźniki KPI (Student 3 i Student 2).
• Wnioski, rekomendacje dla Wydziału Transportu i obrona koncepcji (2 min): Odpowiedzi na pytania dotyczące ciągłości sprzedaży biletów i ochrony prywatności pasażerów (cały zespół).

W referacie seminaryjnym przedstawcie architekturę bezpiecznego APN (Access Point Name) w sieci komórkowej: wyjaśnijcie, w jaki sposób odizolowanie biletomatów i komputerów pokładowych od publicznego Internetu w prywatnym tunelu VPN eliminuje ryzyko zdalnego ataku na fabryczne poświadczenia serwisowe.

Wymagania formalne sprawozdania poaudytowego (ocena 4.0):

• Wymagane: sprawozdanie poaudytowe w formacie PDF o objętości 8-12 stron znormalizowanego maszynopisu A4 (2 400-3 600 słów), przekazane najpóźniej 24 godziny przed terminem zajęć;
• Wymagane: dwupoziomowe Podsumowanie Menedżerskie (Executive Summary) z syntezą zarządczą, technicznym aneksem dowodowym i co najmniej trzema decyzjami zarządczymi do podjęcia;
• Wymagane: wystąpienie seminaryjne trwające 15 minut, w którym każdy członek zespołu prezentuje własny fragment pracy i odpowiada na pytania kontrolne prowadzącego;
• Wymagane: strona tytułowa z nazwą jednostki, pełnym tytułem zadania, kodem Lab10 i składem zespołu z podziałem ról;
• Wymagane: metryka audytu: podstawa prawna, zakres, metoda, kryteria, dowody i uczestnicy;
• Wymagane: karta organizacyjna o co najmniej sześciu polach oraz katalog uchybień wraz ze skutkami operacyjnymi, prawnymi i reputacyjnymi;
• Wymagane: tabela matrycy ryzyka 3 × 3 dla czterech wektorów zagrożeń z wyliczeniem ryzyka inherentnego (IR = P × S), zaprojektowanych kontroli i ryzyka rezydualnego (RR);
• Wymagane: formalne karty niezgodności NC1 i NC2 oraz bilans OFI z precyzyjnym wskazaniem artykułu ustawy, paragrafu rozporządzenia lub punktu kontrolnego normy;
• Wymagane: protokół dochodzenia przyczyn źródłowych metodą 5 Why z przyczyną źródłową na poziomie zarządu, procesu lub systemu;
• Wymagane: jedna zintegrowana procedura reagowania na incydent obsługująca terminy 24/72/72 godzin;
• Wymagane: tabela planu działań korygujących (CAP) o sześciu kolumnach: Lp., identyfikacja uchybienia, działanie naprawcze, właściciel biznesowy, termin realizacji z przedziału 14-90 dni oraz mierzalny wskaźnik KPI;
• Wymagane: analiza wad i zalet własnego rozwiązania wraz z ograniczeniami przyjętych założeń;
• Wymagane: bibliografia z numerami artykułów i paragrafów oraz numerami kontrolek norm;
• Skutkuje niezaliczeniem: sprawozdanie krótsze niż 8 stron A4 albo dłuższe niż 12 stron, sprawozdanie bez procedury 5 Why, bez tabeli matrycy 3 × 3, bez planu CAP z KPI albo bez Podsumowania Menedżerskiego, referat bez bibliografii albo praca nieprzygotowana do obrony ustnej.

Szkic sprawozdania przygotowujecie w sekcji Formularz sprawozdania poaudytowego, a kompletność pracy sprawdzacie na czterech etapach ćwiczenia w sekcji checklistcie zgodności (licznik objętości wskazuje, czy tekst mieści się w wymaganych 8-12 stronach A4).

Uwaga: Najczęstsze błędy obniżające ocenę: przedstawienie scenariusza zamiast jego analizy, pominięcie wyliczenia IR i RR dla czterech wektorów w macierzy 3x3, urwana sekwencja 5 Why zamiast pełnych pięciu kroków, kwalifikowanie uchybień bez wskazania punktu kontrolnego normy i artykułu prawa, plan CAP bez właściciela biznesowego, terminu z przedziału 14-90 dni i mieralnego KPI, brak dwupoziomowego Podsumowania Menedżerskiego oraz sprawozdanie o objętości innej niż 8-12 stron A4 (2400-3600 słów przy 300 słów na stronę). Sprawozdanie musi zawierać Kartę organizacyjną o co najmniej 6 polach, karty NC1, NC2 i OFI, protokół 5 Why, analizę wad i zalet rozwiązania, co najmniej trzy konkretne decyzje zarządcze oraz co najmniej trzy wiersze planu CAP.

Wzorcowa tabela zaawansowanej analizy ryzyka – cztery wektory zagrożeń, ryzyko inherentne (IR) i rezydualne (RR) po projektowanych kontrolach (skala 1-3 × 1-3, strefy: 1-3 niskie, 4-6 średnie, 7-9 krytyczne):

Formalne karty niezgodności:

• Karta NC1 (Niezgodność Duża) - fabryczne poświadczenia na 240 biletomatach i komputerach pokładowych (art. 21 NIS2, § 19 i § 20 rozporządzenia KRI, ISO 27001 A.8.2/A.8.5).
• Karta NC1 (Niezgodność Duża) - brak szyfrowania dysków CCTV i brak ewidencji zgrywania nagrań (art. 32 RODO, wytyczne EROD 3/2019, ISO 27001 A.8.1/A.8.24).
• Karta NC2 (Niezgodność Mała) - 90-dniowy okres przechowywania nagrań wideo (art. 5 ust. 1 lit. e RODO).
• Karta OFI (Szansa na doskonalenie) - automatyzacja zrzutu danych po Wi-Fi 802.1X w zajezdniach.

Wzorcowy protokół dochodzenia przyczyn źródłowych metodą 5 Why:

Szczegółowe rozwiązanie inżynierskie i zarządcze:

• Procedura masowej rotacji haseł i wyłączenia zbędnych protokołów (Telnet, HTTP) na urządzeniach pokładowych z wymuszeniem VPN APN.
• Projekt wdrożenia rejestratorów wideo ze sprzętowym szyfrowaniem dysków (AES-256) oraz sformalizowaną procedurą zgrywania materiału wideo z cyfrowym podpisem.
• Wzorcowy regulamin monitoringu wizyjnego ZKM skracający czas retencji do 14 dni i regulujący współpracę z Policją.

Wzorcowa tabela planu działań korygujących (CAP) z przypisaniem ról, terminów 14-90 dni i wskaźnikami KPI:

Bilans wdrożenia proponowanego rozwiązania dla tej jednostki:

Porównajcie koszt wdrożenia, liczbę zaangażowanych osób i ryzyko resztkowe. Rozwiązanie, które personel jest w stanie faktycznie stosować, jest skuteczniejsze niż rozbudowana procedura, której nikt nie przestrzega; uzasadnijcie wybrany wariant ryzyka, kosztu i obciążenia operacyjnego.

• Europejska Rada Ochrony Danych (EROD): Wytyczne 3/2019 w sprawie przetwarzania danych osobowych za pomocą urządzeń wideo.
• Ustawa z dnia 16 grudnia 2010 r. o publicznym transporcie zbiorowym (tekst jedn. Dz.U. z 2026 r. poz. 1231).
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (Dyrektywa NIS2) - sektor transportu.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 5, 32.
• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (Dz.U. z 2024 r. poz. 773) - § 19 oraz § 20.
• Norma PN-EN ISO/IEC 27001:2022: Systemy zarządzania bezpieczeństwem informacji - kontrole A.8.1, A.8.2, A.8.5, A.8.20.
• Urząd Ochrony Danych Osobowych: "Wskazówki dotyczące stosowania monitoringu wizyjnego", Warszawa 2022.

Podstawy prawne i normatywne obowiązujące w całym module (weryfikowany stan prawny):

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 5 (zasady przetwarzania, w tym minimalizacja, ograniczenie retencji i rozliczalność), art. 9 (dane szczególnych kategorii), art. 25 (ochrona danych z naturyry), art. 28 (przetwarzanie przez podmioty przetwarzające), art. 32 (bezpieczeństwo przetwarzania), art. 33 ust. 1 (zawiadomienie organu nadzorczego w terminie 72 godzin) oraz art. 34 (zawiadomienie osób, których dane dotyczą).
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (dyrektywa NIS2) - art. 21 (środki zarządzania ryzykiem, w tym bezpieczeństwo łańcucha dostaw) oraz art. 23 (wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie incydentu w ciągu 72 godzin, sprawozdanie końcowe w ciągu miesiąca).
• Ustawa z dnia 5 lipca 2018 r. o Krajowym Systemie Cyberbezpieczeństwa (tekst jedn. Dz.U. z 2026 r. poz. 20) - art. 8 (środki zapewniające poufność, integralność i dostępność oraz ograniczenie mechanizmów dostępu do systemów sterowania), art. 10 (dokumentacja), art. 11 (obsługa i zgłaszanie incydentów poważnych w ciągu 24 godzin) oraz art. 15 (audyt bezpieczeństwa co najmniej raz na 2 lata).
• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (Dz.U. z 2024 r. poz. 773) - § 19 (system zarządzania bezpieczeństwem informacji, w tym wymóg okresowego audytu wewnętrznego nie rzadziej niż raz na rok: § 19 ust. 2 pkt 14) oraz § 20 (rozliczalność i prowadzenie dzienników systemów, których zapisy przechowuje się co najmniej dwa lata). Rozporządzenie z dnia 12 kwietnia 2012 r. utraciło moc z dniem 23 maja 2024 r.
• Ustawa z dnia 17 lutnia 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne (tekst jedn. Dz.U. z 2026 r. poz. 1241) - art. 18 jako podstawa prawna rozporządzenia w sprawie KRI.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 (DORA) - art. 8 (zarządzanie ryzykiem operacyjnym ICT) oraz art. 9 i 10 (zdarzenia operacyjne ICT, ich zgłaszanie, ochrona i archiwizacja dzienników oraz testy ciągłości działania).
• PCI Security Standards Council 2024 - standard PCI DSS v4.0, w tym wymóg 6.2 (bezpieczne oprogramowanie dedykowane), 8.3.4 (ograniczenie nieudanych prób uwierzytelniania) oraz 10.5.1 (retencja dzienników: minimum 12 miesięcy, w tym 3 miesiące w trybie natychmiastowego dostępu online).
• Ustawa z dnia 26 czerwca 1974 r. - Kodeks pracy (Dz.U. z 2023 r. poz. 1465 z późn. zm.) - art. 22 ust. 1-2 (monitoring w zakładzie pracy: obowiązek poinformowania pracowników, uzasadnienia celu monitoringu i uregulowania zasad monitoringu w regulaminie pracy lub układzie zbiorowym).
• Norma PN-EN ISO 19011:2018 - wytyczne dotyczące audytowania systemów zarządzania, w tym treść raportu z auditu (pkt 6.5), zarządzanie rozbieżnościami i sporem audytowym (pkt 6.5.2), formalne zamknięcie audytu (pkt 6.6) oraz działania poaudytowe i weryfikacja skuteczności (pkt 6.7).
• Norma PN-EN ISO/IEC 27001:2022 - systemy zarządzania bezpieczeństwem informacji: klauzule 4.4, 6.1, 8.1, 9.2, 9.3, 10.1, 10.2 oraz kontrole Załącznika A.
• Norma PN-EN ISO/IEC 27005:2018 - zarządzanie ryzykiem bezpieczeństwa informacji: identyfikacja, analiza w matrycy prawdopodobieństwa i skutku, ocena oraz postępowanie z ryzykiem; podstawa metody risk-based z oceną ryzyka inherentnego (IR) i rezydualnego (RR).
• Norma PN-EN ISO 22301:2019 - systemy zarządzania ciągłością działania, stosowana jako uznana praktyka przy projektowaniu procedur ciągłości działania i testów odtworzeniowych.
• Wytyczne Europejskiej Rady Ochrony Danych 3/2019 w sprawie przetwarzania danych osobowych przez urządzenia wideo - uzasadnienie celu monitoringu, zasada minimalizacji i retencji nagrań.
• Rekomendacja D Komisji Nadzoru Finansowego dotycząca stosowania przez banki spółdzielcze dobrych praktyk w zakresie zarządzania ryzykiem operacyjnym oraz Rekomendacja M dotycząca zarządzania ryzykiem technologicznym - stosowane jako uznane praktyki i metody oceny.

Normy ISO, standardy branżowe (PCI DSS, DORA w zakresie praktyk nadzoru, Rekomendacje D i M KNF, IFC/BRC, IEC 62443-3-3) oraz wytyczne organów nadzorczych stosuje się jako uznane praktyki i metody oceny, a nie jako przepisy ustawowe; ich zastosowanie wymaga krótkiego uzasadnienia w sprawozdaniu.