Laboratorium 10

Schemat strategicznego audytu samorządu terytorialnego: zbieżność KRI, RODO i NIS2 w kanonicznym modelu 4C, matryca ryzyka 5x5 z parametrami BCM, trójfazowy Plan CAP, procedura DRP oraz Executive Summary Pitch to Board.

Głównym celem zadania na ocenę bardzo dobrą (5.0) jest opanowanie przez studentów mistrzowskich kompetencji w zakresie przeprowadzania strategicznego audytu bezpieczeństwa informacji w jednostce samorządu terytorialnego o statusie podmiotu kluczowego (Urząd Miasta i Gminy w Piasecznie). Badanie koncentruje się na przecięciu trzech równoległych reżimów prawno-standardowych: Rozporządzenia w sprawie Krajowych Ram Interoperacyjności (§ 19 i § 20 rozporządzenia KRI), ogólnego rozporządzenia o ochronie danych (RODO), Dyrektywy NIS2 / Ustawy o KSC oraz normy PN-EN ISO/IEC 27001:2022. Zadanie wymaga: sporządzenia kanonicznej Karty Ustaleń Audytowych w modelu 4C (Condition, Criteria, Cause z dochodzeniem 5 Why i Diagramem Ishikawy dla 6 osi, Consequence), wyliczenia ryzyka w 25-stopniowej matrycy 5x5 powiązanej ze wskaźnikami BCM (RTO=2h, RPO=1h, MTPD=8h), opracowania wiążącego Trójfazowego Planu Działań Korygujących (CAP) ze zdefiniowanymi rolami RACI i metrykami KPI/KRI, sformułowania pełnego projektu Załącznika Wykonawczego (SOP) regulującego procedurę Disaster Recovery Plan i zarządzanie uprawnieniami w systemie EZD, a także zredagowania 1-stronicowego Executive Summary ("Pitch to Board") dla Burmistrza i Skarbnika z kalkulacją zwrotu z inwestycji w bezpieczeństwo (ROSI). Powiązanie z sylabusem i efektami kształcenia na ocenę 5.0: - Efekt W1: Zaawansowana znajomość wymogów prawnych § 19 i § 20 rozporządzenia KRI, art. 32 i 83 RODO, art. 21 i 23 Dyrektywy NIS2, Ustawy o informatyzacji, Ustawy o samorządzie gminnym oraz przepisów Kodeksu Karnego (art. 231 KK - niedopełnienie obowiązków służbowych przez funkcjonariusza publicznego). - Efekt W2, W3: Wyczerpująca synteza wymagań normy PN-EN ISO/IEC 27001:2022 (klauzule 9.2, 9.3, 10.1, 10.2 oraz kontrole A.5.15, A.5.18, A.8.13, A.8.14), normy PN-EN ISO 19011:2018 (punkty 6.5, 6.6 i 6.7), standardu ISO 22301 (ciągłość działania) oraz wytycznych ENISA dla administracji publicznej. - Efekt U1: Projekt inżynierski i proceduralny architektury odzyskiwania awaryjnego (DRP) opartej na replikacji danych do chmury rządowej oraz automatyzacji cyklu życia tożsamości (IAM) w urzędzie. - Efekt U2: Bezbłędna dekompozycja uchybień w kanonicznym modelu 4C z precyzyjnym wykazaniem wielowymiarowych skutków prawnych, finansowych i operacyjnych. - Efekt U3: Kwantyfikacja ryzyka w matrycy 5x5 dla wektorów paraliżu rejestrów meldunkowych, infekcji ransomware i utraty danych podatkowych z wyznaczeniem parametrów BCM. - Efekt U4: Opracowanie kompletnego raportu poaudytowego (12-16 stron A4) z Trójfazowym Planem CAP (Fazy 0-7, 30, 90 dni), procedurą SOP (§ 1 do § 6) oraz Executive Summary "Pitch to Board". - Efekt K1, K2, K3: Profesjonalizm, niezależność audytorska, wysoka kultura argumentacji perswazyjnej wobec władz samorządowych i etyka w zarządzaniu sporem poaudytowym. - Powiązanie z wykładem: Wyk1 (Ład zarządczy SZBI w JST), Wyk2 (Zasady raportowania ISO 19011), Wyk3 (Kontrole A.5 i A.8 ISO 27001), Wyk4 (Zbieżność KRI, RODO i NIS2), Wyk5 (Matryca ryzyka 5x5 i BCM), Wyk6 (Analiza logów AD i konfiguracji serwerowni), Wyk7 (Model 4C, 5 Why, Diagram Ishikawy, Trójfazowy CAP i Pitch to Board).

Każda odpowiedź musi odwoływać się do kryterium audytowego: artykułu ustawy lub rozporządzenia, wytycznej organu nadzoru albo punktu kontrolnego normy. Podejście risk-based wymaga, aby każdy wektor zagrożenia otrzymał wyliczone ryzyko inherentne IR jako iloczyn P i S w skali 1-5 oraz ryzyko rezydualne RR po wdrożeniu kontroli planu CAP. Opis zagrożenia bez obu wartości, bez przypisania parametrów BCM i bez wskazania przyczyny źródłowej w analizie 5 Why nie zalicza punktacji. Ustalenia graduj wyłącznie jako NC1, NC2 albo OFI.

• Brak procedury i infrastruktury Disaster Recovery Plan (DRP): Bazy danych EZD oraz systemów podatkowych archiwizowane są raz na dobę na przestarzałą bibliotekę taśmową LTO-6. Od ponad 36 miesięcy nie przeprowadzono żadnego testu odtworzeniowego (Disaster Recovery Drill). W serwerowni zainstalowany jest pojedynczy, 9-letni agregat prądotwórczy z niesprawnym układem SZR (Samoczynne Załączanie Rezerwy), a klimatyzacja precyzyjna nie posiada redundancji N+1, pracując na granicy wydajności termicznej.
• Krytyczne luki w zarządzaniu tożsamością i uprawnieniami (IAM): W rejestrach Active Directory wykryto 16 kont byłych pracowników o statusie aktywnym, z czego konto byłego inspektora wydziału geodezji było wykorzystywane do wielokrotnych logowań przez tunel VPN w godzinach nocnych (2 miesiące po rozwiązaniu stosunku pracy). Ponadto 11 urzędników wydziału finansowego posiada stałe, niekontrolowane uprawnienia administratora lokalnego.
• Brak zintegrowanej procedury zgłaszania incydentów cyberbezpieczeństwa: Urząd nie posiada sformalizowanej ścieżki eskalacji incydentów łączącej obowiązek notyfikacji do Zespołu CSIRT NASK w rygorze 24h (wczesne ostrzeżenie) i 72h (pełne zgłoszenie) zgodnie z Dyrektywą NIS2 z jednoczesnym powiadamianiem Prezesa UODO w terminie 72h (art. 33 RODO).
• Szansa na doskonalenie (OFI): Brak integracji logów systemowych urzędu z regionalnym Centrum Operacji Bezpieczeństwa (SOC) szczebla powiatowego lub wojewódzkiego.

Pytania problemowe wymagające odpowiedzi w raporcie

1. W jaki sposób audytor powinien uzasadnić Burmistrzowi konieczność wydatkowania środków budżetowych na DRP i chmurę rządową w świetle odpowiedzialności karnej z art. 231 KK?
2. Jakie formalne mechanizmy integracji pomiędzy systemem kadrowym a usługą katalogową Active Directory eliminują ryzyko "kont widm" zgodnie z § 19 i § 20 rozporządzenia KRI i art. 32 RODO?
3. Czym różni się podejście audytowe oparte na spełnieniu checklisty zgodności od audytu opartego na ryzyku (Risk-Based Audit) w samorządzie terytorialnym?

Pytania kontrolne do weryfikacji ustaleń

• Uzasadnijcie wobec Burmistrza wysokość nakładu na procedurę DRP i chmurę rządową, wykorzystując wyliczone ryzyko inherentne i rezydualne czterech wektorów oraz przypisane im parametry RTO, RPO i MTPD.
• Opiszcie mechanizm integracji systemu kadrowego z usługą katalogową Active Directory, który eliminuje ryzyko kont widm, i wskażcie, które z sześciu osi Ishikawy zostanie naruszone bez tego mechanizmu.
• Ustalcie tryb sporu audytowego: czy spór zostaje uznany, czy odstępujecie od sporu, i jakie skutki ma każdy z tych wariantów dla odbioru raportu przez Zarząd.
• Przedstawicie trzy decyzje zarządcze wraz z kwotą, terminem i wskaźnikiem sukcesu, które podnoszą zwrot z inwestycji ROSI w horyzoncie 90 dni.

Każda odpowiedź musi odwoływać się do kryterium audytowego: artykułu ustawy lub rozporządzenia, wytycznej organu nadzoru albo punktu kontrolnego normy. Podejście risk-based wymaga, aby każdy wektor zagrożenia otrzymał wyliczone ryzyko inherentne IR jako iloczyn P i S w skali 1-5 oraz ryzyko rezydualne RR po wdrożeniu kontroli planu CAP. Opis zagrożenia bez obu wartości, bez przypisania parametrów BCM i bez wskazania przyczyny źródłowej w analizie 5 Why nie zalicza punktacji. Ustalenia graduj wyłącznie jako NC1, NC2 albo OFI.

Najczęstsze błędy obniżające ocenę: powierzchowne zdefiniowanie modelu 4C, zatrzymanie analizy przyczyn na poziomie objawu technicznego bez 5 Why i diagramu Ishikawy, brak wyliczenia ryzyka rezydualnego RR w matrycy 5 × 5, pominięcie parametrów BCM (RTO, RPO, MTPD), plan CAP bez podziału trójfazowego (0-7, 30 i 90 dni) bez mierzalnych KPI i KRI, SOP zredagowany jako notatka zamiast projektu załącznika wykonawczego z ponumerowanymi paragrafami, Executive Summary bez kalkulacji ROSI albo sprawozdanie o objętości innej niż 12-16 stron A4 (3600-4800 słów przy 300 słów na stronę) i pasywne uczestnictwo w obronie przed Zarządem.

• Jednostronicowy Executive Summary "Pitch to Board" z co najmniej trzema decyzjami zarządczymi i kalkulacją ROSI.
• Karta organizacyjna analizowanej jednostki o co najmniej sześciu polach.
• Kanoniczna Karta Niezgodności 4C dla co najmniej trzech ustaleń, z rozdzieleniem Condition, Criteria, Cause i Consequence.
• Tabela matrycy ryzyka 5 × 5 z czterema wektorami, wartościami P, S, IR, P’, S’, RR oraz przypisaniem parametrów RTO, RPO i MTPD.
• Przypisanie każdemu wektorowi parametrów BCM, dla których ryzyko rezydualne RR zejmuje do strefy zielonej (1-7).
• Analiza przyczyn metodą 5 Why z wskazaniem przyczyny źródłowej oraz diagram Ishikawy z przypisaniem przyczyn do sześciu osi.
• Trójfazowy Plan Działań Korygujących CAP: Faza 1 (0-7 dni), Faza 2 (30 dni) i Faza 3 (90 dni) z matrycą RACI, właścicielami biznesowymi, KPI i KRI.
• Projekt załącznika wykonawczego (SOP) z sześcioma ponumerowanymi paragrafami i trybem sporu audytowego.
• Analiza kompromisów inżynierskich i biznesowych wraz z bilansem kosztu, obciążenia operacyjnego i ryzyka resztkowego.
• Bibliografia z numerami artykułów, paragrafów i punktów kontrolnych norm.
• Sprawozdanie o objętości 4-8 stron zamiast wymaganych 12-16 stron A4.
• Executive Summary zredagowane językiem czysto technicznym bez kalkulacji ryzyka biznesowego, finansowego i zwrotu z inwestycji.
• Plan CAP bez podziału trójfazowego albo bez mierzalnych wskaźników weryfikacji wdrożenia.
• Przypisanie przyczyn wyłącznie do kategorii „czynnik ludzki” z pominięciem decyzji zarządczych i systemowych.

Kanoniczna karta ustaleń w modelu 4C

Tabela zaawansowanej analizy ryzyka w matrycy 5 × 5

Parametry BCM powiązane z wektorami zagrożeń

Trójfazowy plan działań korygujących (CAP) z matrycą RACI

Projekt załącznika wykonawczego (SOP) z sześcioma paragrafami

1. § 1.Cel i zakres procedury DRP
2. § 2.Parametry odpornościowe BCM (RTO, RPO, MTPD)
3. § 3.Harmonogram i metodyka testowania scenariuszy awaryjnych (próby kwartalne i roczne)
4. § 4.Procedura przełączania zasilania i redundancji serwerowni
5. § 5.Replikacja danych do chmury rządowej i zasada kopii 3-2-1 WORM
6. § 6.Odpowiedzialność służbowa, sankcje dyscyplinarne i raportowanie do Burmistrza.

Zamknięcie audytu wymaga wskazania trybu sporu audytowego: spór uznany albo odstąpienie od sporu z uzasadnieniem, zanim raport trafi do Zarządu.

Jednostronicowe Podsumowanie Zarządcze (Executive Summary - "Pitch to Board") z wyliczeniem ROSI i bilansu ryzyk.

Dane wejściowe kalkulacji ROSI dla tego zadania

Kalkulator ROSI w module Executive Summary przyjmuje te wartości jako punkt wyjścia; skuteczność kontroli CAP i horyzont analizy student uzupełnia samodzielnie.

Najczęstsze błędy obniżające ocenę: powierzchowne zdefiniowanie modelu 4C, zatrzymanie analizy przyczyn na poziomie objawu technicznego bez 5 Why i diagramu Ishikawy, brak wyliczenia ryzyka rezydualnego RR w matrycy 5 × 5, pominięcie parametrów BCM (RTO, RPO, MTPD), plan CAP bez podziału trójfazowego (0-7, 30 i 90 dni) bez mierzalnych KPI i KRI, SOP zredagowany jako notatka zamiast projektu załącznika wykonawczego z ponumerowanymi paragrafami, Executive Summary bez kalkulacji ROSI albo sprawozdanie o objętości innej niż 12-16 stron A4 (3600-4800 słów przy 300 słów na stronę) i pasywne uczestnictwo w obronie przed Zarządem.

• Rozporządzenie Rady Ministrów z dnia 12 kwietnia 2012 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (tekst jedn. Dz.U. z 2024 r. poz. 773) - § 19 (wymagania dotyczące systemu zarządzania bezpieczeństwem informacji, w tym okresowy audyt wewnętrzny nie rzadziej niż raz na rok: § 19 ust. 2 pkt 14) oraz § 20 (rozliczalność i dzienniki systemów, przechowywane co najmniej dwa lata). Rozporządzenie z dnia 12 kwietnia 2012 r. utraciło moc z dniem 23 maja 2024 r.
• Norma PN-EN ISO 19011:2018: Wytyczne dotyczące audytowania systemów zarządzania - punkty 6.5, 6.6 i 6.7.
• Norma PN-EN ISO/IEC 27001:2022: Systemy zarządzania bezpieczeństwem informacji - Wymagania: klauzule 9.2, 9.3, 10.1, 10.2 oraz Załącznik A.
• Norma PN-EN ISO 22301:2020: Bezpieczeństwo i odporność - Systemy zarządzania ciągłością działania.
• Ustawa z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne (tekst jedn. Dz.U. z 2026 r. poz. 1241) - art. 18 jako podstawa prawna rozporządzenia w sprawie KRI.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 32, 33, 34, 82, 83.
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii (Dyrektywa NIS2).
• Ustawa z dnia 6 czerwca 1997 r. - Kodeks Karny (tekst jedn. Dz.U. z 2025 r. poz. 383) - art. 231 (Niedopełnienie obowiązków służbowych).
• Ministerstwo Cyfryzacji: "Standardy Cyberbezpieczeństwa dla Jednostek Samorządu Terytorialnego", Warszawa 2023.

Wspólna bibliografia wariantu 5.0

• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjnych, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (tekst jedn. Dz.U. z 2024 r. poz. 773) – § 19 (wymagania dotyczące systemu zarządzania bezpieczeństwem informacji, w tym okresowy audyt wewnętrzny nie rzadziej niż raz na rok) oraz § 20 (rozliczalność i dzienniki systemów).
• Ustawa z dnia 6 czerwca 1997 r. – Kodeks karny (tekst jedn. Dz.U. z 2025 r. poz. 383) – art. 98, art. 160, art. 231, art. 266, art. 268a, art. 269a i art. 270.
• Ustawa z dnia 12 listopada 2017 r. o Krajowym Systemie Cyberbezpieczeństwa (tekst jedn. Dz.U. z 2026 r. poz. 20) – art. 8 (środki zarządzania ryzykiem i zabezpieczenia) oraz art. 15 (audyt bezpieczeństwa).
• Ustawa z dnia 15 maja 2019 r. – Prawo o adwokaturze (tekst jedn. Dz.U. z 2024 r. poz. 1564) – art. 19 (tajemnica adwokacka).
• Ustawa z dnia 15 września 2000 r. o radcach prawnych (tekst jedn. Dz.U. z 2024 r. poz. 499) – art. 3 (tajemnica zawodowa radcy prawnego).
• Ustawa z dnia 11 maja 2017 r. o zwalczaniu nieuczciwej konkurencji (tekst jedn. Dz.U. z 2026 r. poz. 85) – art. 11 (tajemnica przedsiębiorstwa).
• Ustawa z dnia 19 sierpnia 2011 r. o usługach płatniczych (tekst jedn. Dz.U. z 2026 r. poz. 623) – art. 50 (system zarządzania ryzykiem operacyjnym).
• Ustawa z dnia 6 września 2001 r. – Prawo bankowe (tekst jedn. Dz.U. z 2026 r. poz. 38) – art. 104 (zarządzanie ryzykiem).
• Ustawa z dnia 13 października 2022 r. o obrocie paliwami opałowymi (tekst jedn. Dz.U. z 2024 r. poz. 1218) – obowiązki operatora infrastruktury paliwowej i systemu teleinformatycznego. W logistyce sENT oznacza System Elektronicznego Transportu Drogowego, a nie system nadzoru nad obrotem paliwami.
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. (dyrektywa NIS2) – art. 21, art. 21 ust. 2 lit. c i d oraz art. 23.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) – art. 5, 9, 11, 28, 32, 33, 34, 82 i 83.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyjrowego sektora finansowego (DORA) – art. 5, 8 i 35.
• Standard PCI DSS v4.0.1 – wymagania 3.3, 6.4 i 11.3 (szyfrowanie transmisji uwierzytelniającej i zarządzanie dostępem do aplikacji bramki płatniczej).
• Norma ISO/IEC 27001:2022 – Załącznik A: 5.1, 5.15, 5.18, 5.23, 8.12, 8.13, 8.14 i 8.15.

Schemat strategicznego audytu szpitala: protokół sporu audytowego, ochrona danych o zdrowiu, model 4C, matryca ryzyka 5x5 z BCM, uwierzytelnianie RFID i obrona raportu przed dyrekcją.

Głównym celem zadania na ocenę bardzo dobrą (5.0) jest opanowanie przez studentów zaawansowanych kompetencji audytowania strategicznego cyberbezpieczeństwa i ochrony danych w szpitalu wieloprofilowym o statusie podmiotu kluczowego sektora ochrony zdrowia. Audyt łączy rygory Dyrektywy NIS2, art. 9 i 32 RODO (dane o stanie zdrowia pacjentów), § 19 i § 20 rozporządzenia KRI (integracja z węzłem P1 Centrum e-Zdrowia) oraz normy PN-EN ISO/IEC 27001:2022 i standardu ISO 27799. Zadanie wymaga: sporządzenia kanonicznej Karty Ustaleń Audytowych w modelu 4C dla krytycznego braku segmentacji sieci aparatury ratującej życie (OIOM/SOR) i powszechnego współdzielenia kont przez personel medyczny, wyliczenia ryzyka w 25-stopniowej matrycy 5x5 powiązanej ze wskaźnikami BCM (RTO=15m dla OIOM, RPO=5m, MTPD=2h), opracowania Trójfazowego Planu Działań Korygujących (CAP) ze wskaźnikami KPI i KRI, sformułowania pełnego projektu Załącznika Wykonawczego (SOP) regulującego uwierzytelnianie kartami zbliżeniowymi RFID Mifare DESFire EV3 i mikrosegmentację VLAN_MED, a także zredagowania 1-stronicowego Executive Summary ("Pitch to Board") dla Dyrektora Szpitala z kalkulacją zwrotu z inwestycji (ROSI) i oceną ryzyka z art. 160 KK. Powiązanie z sylabusem i efektami kształcenia na ocenę 5.0: - Efekt W1: Zaawansowana znajomość art. 9, 32, 82 i 83 RODO, Dyrektywy NIS2 w ochronie zdrowia, § 19 i § 20 rozporządzenia KRI, Ustawy o prawach pacjenta oraz art. 160 Kodeksu Karnego (Narażenie człowieka na bezpośrednie niebezpieczeństwo utraty życia lub ciężkiego uszczerbku na zdrowiu). - Efekt W2, W3: Wyczerpująca znajomość norm ISO 27001 (kontrole A.5.18, A.8.2, A.8.20, A.8.22), ISO 27799, ISO 22301 oraz wytycznych Centrum e-Zdrowia (CeZ). - Efekt U1: Projekt inżynierski mikrosegmentacji sieci szpitalnej z dedykowaną strefą VLAN_MED za zaporą Next-Generation Firewall oraz wdrożenia szybkiego logowania Fast User Switching RFID. - Efekt U2: Dekompozycja uchybień w kanonicznym modelu 4C i RCA 5 Why powiązanym z Diagramem Ishikawy dla 6 osi. - Efekt U3: Kwantyfikacja ryzyka w matrycy 5x5 dla wektorów ataku ransomware na aparaturę OIOM, wycieku danych medycznych i awarii węzła P1. - Efekt U4: Opracowanie kompletnego raportu poaudytowego (12-16 stron A4) z Trójfazowym Planem CAP, procedurą SOP (§ 1 do § 6) oraz Executive Summary "Pitch to Board". - Efekt K1, K2, K3: Wrażliwość etyczna na ratowanie życia pacjentów, odporność na presję ordynatorów i wysoka kultura dialogu medycznego. - Powiązanie z wykładem: Wyk1 (Audyt w ochronie zdrowia), Wyk2 (ISO 19011), Wyk3 (Kontrole A.5 i A.8 ISO 27001), Wyk4 (RODO i NIS2 w szpitalnictwie), Wyk5 (Matryca ryzyka 5x5 i BCM), Wyk7 (Model 4C, 5 Why, Ishikawa, CAP i ROSI).

Każda odpowiedź musi odwoływać się do kryterium audytowego: artykułu ustawy lub rozporządzenia, wytycznej organu nadzoru albo punktu kontrolnego normy. Podejście risk-based wymaga, aby każdy wektor zagrożenia otrzymał wyliczone ryzyko inherentne IR jako iloczyn P i S w skali 1-5 oraz ryzyko rezydualne RR po wdrożeniu kontroli planu CAP. Opis zagrożenia bez obu wartości, bez przypisania parametrów BCM i bez wskazania przyczyny źródłowej w analizie 5 Why nie zalicza punktacji. Ustalenia graduj wyłącznie jako NC1, NC2 albo OFI.

• Brak separacji logicznej i fizycznej aparatury medycznej: Kardiomonitory pacjentów na OIOM oraz tomograf komputerowy pracują w tej samej płaskiej podsieci 192.168.1.0/24 co stacje robocze administracji, kadr i księgowości. W sieci brak jest zapory NGFW z inspekcją protokołów medycznych DICOM i HL7, co umożliwia niekontrolowany ruch poprzeczny (Lateral Movement).
• Powszechne współdzielenie kont przez personel medyczny: Na oddziałach zabiegowych i SOR powszechnie stosowane jest jedno wspólne konto edycyjne `pielegniarka_dyzur` ze stałym hasłem przyklejonym pod klawiaturą. Logi systemowe wykazały 420 logowań z tego konta w trakcie jednego dyżuru nocnego, co uniemożliwia ustalenie tożsamości osoby modyfikującej historię leczenia i zlecenia lekowe.
• Brak przetestowanych procedur ciągłości działania i testów kopii zapasowych: Od ponad 2 lat nie przeprowadzono próbnego odtworzenia bazy danych HIS z kopii zapasowych. W przypadku awarii łącza do platformy P1 szpital nie dysponuje procedurą pracy offline gwarantującą ciągłość wypisów i ordynacji leków.
• Szansa na doskonalenie (OFI): Wdrożenie całodobowego monitorowania telemetrycznego urządzeń medycznych (IoT Security Monitoring).

Pytania problemowe wymagające odpowiedzi w raporcie

1. W jaki sposób audytor powinien zbilansować wymóg indywidualnej rozliczalności dostępu (art. 9 i 32 RODO) z koniecznością natychmiastowego ratowania życia pacjenta na SOR w świetle art. 160 KK?
2. Jakie konkretne wymagania techniczne i architektoniczne stawia Dyrektywa NIS2 przed podmiotami leczniczymi w zakresie izolacji aparatury medycznej IoT od sieci biurowej?
3. W jaki sposób zorganizować procedurę awaryjną (Business Continuity Plan) szpitala na wypadek całkowitej utraty łączności z węzłem P1 Centrum e-Zdrowia zgodnie z § 19 i § 20 rozporządzenia KRI?

Pytania kontrolne do weryfikacji ustaleń

• Wyważcie w karcie 4C wymóg indywidualnej rozliczalności dostępu (art. 9 i 32 RODO) z koniecznością natychmiastowej reakcji klinicznej na OIOM i wskażcie, które kontrole normy PN-EN ISO/IEC 27001:2022 to rozstrzygają.
• Zaprojektujcie mikrosegmentację aparatury medycznej i uzasadnijcie, dlaczego dedykowana strefa VLAN_MED z zaporą NGFW oraz inspekcją HL7 i DICOM obniża ryzyko z wektora o najwyższym IR.
• Policzcie RTO, RPO i MTPD dla wypadku utraty łączności z węzłem P1 Centrum e-Zdrowia i wskażcie, które usługi mogą zostać przełączone na tryb papierowy.
• Uzasadnijcie wybór trybu sporu audytowego wobec Dyrektora szpitala, biorąc pod uwagę odpowiedzialność osobistą personelu medycznego za dostęp do danych pacjentów.

Każda odpowiedź musi odwoływać się do kryterium audytowego: artykułu ustawy lub rozporządzenia, wytycznej organu nadzoru albo punktu kontrolnego normy. Podejście risk-based wymaga, aby każdy wektor zagrożenia otrzymał wyliczone ryzyko inherentne IR jako iloczyn P i S w skali 1-5 oraz ryzyko rezydualne RR po wdrożeniu kontroli planu CAP. Opis zagrożenia bez obu wartości, bez przypisania parametrów BCM i bez wskazania przyczyny źródłowej w analizie 5 Why nie zalicza punktacji. Ustalenia graduj wyłącznie jako NC1, NC2 albo OFI.

Najczęstsze błędy obniżające ocenę: powierzchowne zdefiniowanie modelu 4C, zatrzymanie analizy przyczyn na poziomie objawu technicznego bez 5 Why i diagramu Ishikawy, brak wyliczenia ryzyka rezydualnego RR w matrycy 5 × 5, pominięcie parametrów BCM (RTO, RPO, MTPD), plan CAP bez podziału trójfazowego (0-7, 30 i 90 dni) bez mierzalnych KPI i KRI, SOP zredagowany jako notatka zamiast projektu załącznika wykonawczego z ponumerowanymi paragrafami, Executive Summary bez kalkulacji ROSI albo sprawozdanie o objętości innej niż 12-16 stron A4 (3600-4800 słów przy 300 słów na stronę) i pasywne uczestnictwo w obronie przed Zarządem.

• Jednostronicowy Executive Summary "Pitch to Board" z co najmniej trzema decyzjami zarządczymi i kalkulacją ROSI.
• Karta organizacyjna analizowanej jednostki o co najmniej sześciu polach.
• Kanoniczna Karta Niezgodności 4C dla co najmniej trzech ustaleń, z rozdzieleniem Condition, Criteria, Cause i Consequence.
• Tabela matrycy ryzyka 5 × 5 z czterema wektorami, wartościami P, S, IR, P’, S’, RR oraz przypisaniem parametrów RTO, RPO i MTPD.
• Przypisanie każdemu wektorowi parametrów BCM, dla których ryzyko rezydualne RR zejmuje do strefy zielonej (1-7).
• Analiza przyczyn metodą 5 Why z wskazaniem przyczyny źródłowej oraz diagram Ishikawy z przypisaniem przyczyn do sześciu osi.
• Trójfazowy Plan Działań Korygujących CAP: Faza 1 (0-7 dni), Faza 2 (30 dni) i Faza 3 (90 dni) z matrycą RACI, właścicielami biznesowymi, KPI i KRI.
• Projekt załącznika wykonawczego (SOP) z sześcioma ponumerowanymi paragrafami i trybem sporu audytowego.
• Analiza kompromisów inżynierskich i biznesowych wraz z bilansem kosztu, obciążenia operacyjnego i ryzyka resztkowego.
• Bibliografia z numerami artykułów, paragrafów i punktów kontrolnych norm.
• Sprawozdanie o objętości 4-8 stron zamiast wymaganych 12-16 stron A4.
• Executive Summary zredagowane językiem czysto technicznym bez kalkulacji ryzyka biznesowego, finansowego i zwrotu z inwestycji.
• Plan CAP bez podziału trójfazowego albo bez mierzalnych wskaźników weryfikacji wdrożenia.
• Przypisanie przyczyn wyłącznie do kategorii „czynnik ludzki” z pominięciem decyzji zarządczych i systemowych.

Kanoniczna karta ustaleń w modelu 4C

Tabela zaawansowanej analizy ryzyka w matrycy 5 × 5

Parametry BCM powiązane z wektorami zagrożeń

Trójfazowy plan działań korygujących (CAP) z matrycą RACI

Projekt załącznika wykonawczego (SOP) z sześcioma paragrafami

1. § 1.Cel i zakres procedury kliniczno-technicznej
2. § 2.Parametry odpornościowe BCM dla oddziałów ratunkowych i zabiegowych
3. § 3.Zasady uwierzytelniania zbliżeniowego kartami RFID Mifare DESFire EV3 (Fast User Switching)
4. § 4.Mikrosegmentacja sieci aparatury medycznej VLAN_MED i reguły zapory NGFW
5. § 5.Procedura postępowania w przypadku awarii węzła P1 CeZ (tryb offline)
6. § 6.Odpowiedzialność dyscyplinarna i prawno-karna za udostępnianie poświadczeń.

Zamknięcie audytu wymaga wskazania trybu sporu audytowego: spór uznany albo odstąpienie od sporu z uzasadnieniem, zanim raport trafi do Zarządu.

Jednostronicowe Podsumowanie Zarządcze (Executive Summary - "Pitch to Board") z wyliczeniem ROSI i bilansu ryzyk.

Dane wejściowe kalkulacji ROSI dla tego zadania

Kalkulator ROSI w module Executive Summary przyjmuje te wartości jako punkt wyjścia; skuteczność kontroli CAP i horyzont analizy student uzupełnia samodzielnie.

Najczęstsze błędy obniżające ocenę: powierzchowne zdefiniowanie modelu 4C, zatrzymanie analizy przyczyn na poziomie objawu technicznego bez 5 Why i diagramu Ishikawy, brak wyliczenia ryzyka rezydualnego RR w matrycy 5 × 5, pominięcie parametrów BCM (RTO, RPO, MTPD), plan CAP bez podziału trójfazowego (0-7, 30 i 90 dni) bez mierzalnych KPI i KRI, SOP zredagowany jako notatka zamiast projektu załącznika wykonawczego z ponumerowanymi paragrafami, Executive Summary bez kalkulacji ROSI albo sprawozdanie o objętości innej niż 12-16 stron A4 (3600-4800 słów przy 300 słów na stronę) i pasywne uczestnictwo w obronie przed Zarządem.

• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (Dyrektywa NIS2) - sektor ochrony zdrowia (Załącznik I).
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 9, 32, 82, 83.
• Ustawa z dnia 6 czerwca 1997 r. - Kodeks Karny (tekst jedn. Dz.U. z 2025 r. poz. 383) - art. 160 (Narażenie na niebezpieczeństwo utraty życia).
• Ustawa z dnia 28 kwietnia 2011 r. o systemie informacji w ochronie zdrowia (tekst jedn. Dz.U. z 2026 r. poz. 208) - dokumentacja medyczna i systemy teleinformatyczne podmiotów leczniczych.
• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (Dz.U. z 2024 r. poz. 773) - § 19 oraz § 20.
• Norma PN-EN ISO/IEC 27001:2022: Systemy zarządzania bezpieczeństwem informacji.
• Norma PN-EN ISO 27799:2016: Informatyka medyczna - Zarządzanie bezpieczeństwem informacji w ochronie zdrowia.
• Centrum e-Zdrowia (CeZ): "Standardy cyberbezpieczeństwa dla szpitali i podmiotów leczniczych", Warszawa 2023.

Wspólna bibliografia wariantu 5.0

• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjnych, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (tekst jedn. Dz.U. z 2024 r. poz. 773) – § 19 (wymagania dotyczące systemu zarządzania bezpieczeństwem informacji, w tym okresowy audyt wewnętrzny nie rzadziej niż raz na rok) oraz § 20 (rozliczalność i dzienniki systemów).
• Ustawa z dnia 6 czerwca 1997 r. – Kodeks karny (tekst jedn. Dz.U. z 2025 r. poz. 383) – art. 98, art. 160, art. 231, art. 266, art. 268a, art. 269a i art. 270.
• Ustawa z dnia 12 listopada 2017 r. o Krajowym Systemie Cyberbezpieczeństwa (tekst jedn. Dz.U. z 2026 r. poz. 20) – art. 8 (środki zarządzania ryzykiem i zabezpieczenia) oraz art. 15 (audyt bezpieczeństwa).
• Ustawa z dnia 15 maja 2019 r. – Prawo o adwokaturze (tekst jedn. Dz.U. z 2024 r. poz. 1564) – art. 19 (tajemnica adwokacka).
• Ustawa z dnia 15 września 2000 r. o radcach prawnych (tekst jedn. Dz.U. z 2024 r. poz. 499) – art. 3 (tajemnica zawodowa radcy prawnego).
• Ustawa z dnia 11 maja 2017 r. o zwalczaniu nieuczciwej konkurencji (tekst jedn. Dz.U. z 2026 r. poz. 85) – art. 11 (tajemnica przedsiębiorstwa).
• Ustawa z dnia 19 sierpnia 2011 r. o usługach płatniczych (tekst jedn. Dz.U. z 2026 r. poz. 623) – art. 50 (system zarządzania ryzykiem operacyjnym).
• Ustawa z dnia 6 września 2001 r. – Prawo bankowe (tekst jedn. Dz.U. z 2026 r. poz. 38) – art. 104 (zarządzanie ryzykiem).
• Ustawa z dnia 13 października 2022 r. o obrocie paliwami opałowymi (tekst jedn. Dz.U. z 2024 r. poz. 1218) – obowiązki operatora infrastruktury paliwowej i systemu teleinformatycznego. W logistyce sENT oznacza System Elektronicznego Transportu Drogowego, a nie system nadzoru nad obrotem paliwami.
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. (dyrektywa NIS2) – art. 21, art. 21 ust. 2 lit. c i d oraz art. 23.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) – art. 5, 9, 11, 28, 32, 33, 34, 82 i 83.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyjrowego sektora finansowego (DORA) – art. 5, 8 i 35.
• Standard PCI DSS v4.0.1 – wymagania 3.3, 6.4 i 11.3 (szyfrowanie transmisji uwierzytelniającej i zarządzanie dostępem do aplikacji bramki płatniczej).
• Norma ISO/IEC 27001:2022 – Załącznik A: 5.1, 5.15, 5.18, 5.23, 8.12, 8.13, 8.14 i 8.15.

Schemat strategicznego audytu bankowości elektronicznej: odporność DORA, zarządzanie podatnościami, model 4C, matryca ryzyka 5x5 z BCM oraz obrona raportu przed Zarządem.

Głównym celem zadania na ocenę bardzo dobrą (5.0) jest opanowanie przez studentów zaawansowanych umiejętności audytowania odporności operacyjnej i cyberbezpieczeństwa instytucji sektora bankowego w świetle Rozporządzenia DORA (Digital Operational Resilience Act), Rekomendacji D i M KNF, ogólnego rozporządzenia o ochronie danych (RODO) oraz Krajowych Ram Interoperacyjności (§ 19 i § 20 rozporządzenia KRI dla instytucji współpracujących z rejestrami publicznymi). Studenci badają stan bezpieczeństwa Banku Spółdzielczego Ziemi Wielickiej. Zadanie wymaga: sporządzenia kanonicznej Karty Ustaleń Audytowych w modelu 4C dla krytycznych podatności CVE niezałatanych od 9 miesięcy na serwerach bankowości internetowej oraz przetwarzania rzeczywistych danych klientów w środowisku testowym bez anonimizacji, wyliczenia ryzyka w 25-stopniowej matrycy 5x5 powiązanej ze wskaźnikami BCM (RTO=30m dla transakcji, RPO=0s, MTPD=4h), opracowania Trójfazowego Planu Działań Korygujących (CAP) ze wskaźnikami KPI i KRI, sformułowania pełnego projektu Załącznika Wykonawczego (SOP) regulującego proces Emergency Patching w rygorze 72h oraz bezpieczne testowanie danych z syntetyzacją, a także zredagowania 1-stronicowego Executive Summary ("Pitch to Board") dla Zarządu Banku z kalkulacją zwrotu z inwestycji (ROSI). Powiązanie z sylabusem i efektami kształcenia na ocenę 5.0: - Efekt W1: Zaawansowana znajomość Rozporządzenia DORA, Rekomendacji D i M KNF, art. 32 RODO, Ustawy Prawo bankowe (art. 104 - tajemnica bankowa) oraz § 19 i § 20 rozporządzenia KRI. - Efekt W2, W3: Wyczerpująca znajomość norm ISO/IEC 27001:2022 (kontrole A.5.21, A.8.8, A.8.31), ISO 22301 oraz wytycznych Europejskiego Urzędu Nadzoru Bankowego (EBA). - Efekt U1: Projekt inżynierski procedury awaryjnego łatania podatności (Zero-Day Emergency Patching), syntetyzacji danych testowych oraz audytowalności dostawców IT (Right to Audit). - Efekt U2: Dekompozycja uchybień w kanonicznym modelu 4C i analiza RCA 5 Why powiązana z Diagramem Ishikawy dla 6 osi. - Efekt U3: Kwantyfikacja ryzyka w matrycy 5x5 dla kradzieży depozytów, wycieku tajemnicy bankowej i sankcji nadzorczych KNF. - Efekt U4: Opracowanie kompletnego raportu poaudytowego (12-16 stron A4) z Trójfazowym Planem CAP, procedurą SOP (§ 1 do § 6) oraz Executive Summary "Pitch to Board". - Efekt K1, K2, K3: Niezależność audytorska, odporność na presję Zarządu Banku i bezkompromisowa dbałość o tajemnicę bankową. - Powiązanie z wykładem: Wyk1 (Audyt w bankowości), Wyk2 (ISO 19011), Wyk3 (Kontrole Załącznika A ISO 27001), Wyk4 (DORA, KNF i RODO w finansach), Wyk5 (Matryca ryzyka 5x5 i BCM), Wyk7 (Model 4C, 5 Why, Ishikawa, CAP i ROSI).

Każda odpowiedź musi odwoływać się do kryterium audytowego: artykułu ustawy lub rozporządzenia, wytycznej organu nadzoru albo punktu kontrolnego normy. Podejście risk-based wymaga, aby każdy wektor zagrożenia otrzymał wyliczone ryzyko inherentne IR jako iloczyn P i S w skali 1-5 oraz ryzyko rezydualne RR po wdrożeniu kontroli planu CAP. Opis zagrożenia bez obu wartości, bez przypisania parametrów BCM i bez wskazania przyczyny źródłowej w analizie 5 Why nie zalicza punktacji. Ustalenia graduj wyłącznie jako NC1, NC2 albo OFI.

• Krytyczne podatności na serwerach styku z siecią Internet: Na zewnętrznych serwerach bankowości ujawniono obecność 6 krytycznych podatności CVE (CVSS od 8.8 do 9.8), z których najstarsza oczekiwała na instalację łaty przez 9 miesięcy. Dział IT banku celowo wstrzymywał instalację poprawek, obawiając się utraty kompatybilności z aplikacją mobilną, nie dysponując środowiskiem testowym Staging.
• Przetwarzanie rzeczywistych danych klientów w środowisku deweloperskim: Do testowania nowych funkcji programiści zewnętrzni wykorzystywali pełną, niezaszyfrowaną kopię produkcyjnej bazy danych zawierającą imiona, nazwiska, numery PESEL, salda rachunków i historię transakcji 35 000 klientów (naruszenie tajemnicy bankowej i art. 32 RODO).
• Brak procedur i uprawnień audytowych w umowie z dostawcą Core Banking: Umowa z dostawcą systemu centralnego nie gwarantowała bankowi prawa do audytu na miejscu (Right to Audit) ani wskaźników czasu powiadomienia o incydencie (SLA incydentowe) wymaganego przez art. 28-30 DORA.
• Szansa na doskonalenie (OFI): Wdrożenie zautomatyzowanego skanera podatności Nessus/OpenVAS zintegrowanego z procesem wydawniczym.

Pytania problemowe wymagające odpowiedzi w raporcie

1. W jaki sposób audytor powinien wykazać Zarządowi banku, że brak instalacji poprawek bezpieczeństwa generuje wyższe ryzyko biznesowe niż potencjalne zakłócenie działania aplikacji mobilnej?
2. Jakie konkretne techniki anonimizacji i maskowania danych (Data Masking) należy zastosować w bankowych środowiskach testowych, aby spełnić art. 32 RODO i Rekomendację D KNF?
3. Jakie obligatoryjne klauzule umowne dotyczące łańcucha dostawców ICT wprowadza Rozporządzenie DORA i jak wyegzekwować je od dominującego dostawcy oprogramowania Core Banking?

Pytania kontrolne do weryfikacji ustaleń

• Wykażcie Zarządowi, w jaki sposób brak instalacji poprawek bezpieczeństwa na serwerach styku generuje wyższe ryzyko biznesowe niż koszt okna serwisowego i planu awaryjnego.
• Zastosujcie syntetyzację i maskowanie danych w środowiskach testowych i uzasadnijcie zgodność z art. 32 RODO oraz z kontrolą A.5.23 normy PN-EN ISO/IEC 27001:2022.
• Sformułujcie klauzule umowne dla dostawcy Core Banking: prawo do audytu, terminy zgłaszania incydentów, prawo do inspekcji i możliwość żądania planu ciągłości dostawcy zgodnie z DORA art. 28 i 30.
• Policzcie ROSI dla scenariusza naruszenia integralności systemu płatniczego i przedstawcie komitetowi audytu trzy decyzje z kwotami oraz terminami.

Każda odpowiedź musi odwoływać się do kryterium audytowego: artykułu ustawy lub rozporządzenia, wytycznej organu nadzoru albo punktu kontrolnego normy. Podejście risk-based wymaga, aby każdy wektor zagrożenia otrzymał wyliczone ryzyko inherentne IR jako iloczyn P i S w skali 1-5 oraz ryzyko rezydualne RR po wdrożeniu kontroli planu CAP. Opis zagrożenia bez obu wartości, bez przypisania parametrów BCM i bez wskazania przyczyny źródłowej w analizie 5 Why nie zalicza punktacji. Ustalenia graduj wyłącznie jako NC1, NC2 albo OFI.

Najczęstsze błędy obniżające ocenę: powierzchowne zdefiniowanie modelu 4C, zatrzymanie analizy przyczyn na poziomie objawu technicznego bez 5 Why i diagramu Ishikawy, brak wyliczenia ryzyka rezydualnego RR w matrycy 5 × 5, pominięcie parametrów BCM (RTO, RPO, MTPD), plan CAP bez podziału trójfazowego (0-7, 30 i 90 dni) bez mierzalnych KPI i KRI, SOP zredagowany jako notatka zamiast projektu załącznika wykonawczego z ponumerowanymi paragrafami, Executive Summary bez kalkulacji ROSI albo sprawozdanie o objętości innej niż 12-16 stron A4 (3600-4800 słów przy 300 słów na stronę) i pasywne uczestnictwo w obronie przed Zarządem.

• Jednostronicowy Executive Summary "Pitch to Board" z co najmniej trzema decyzjami zarządczymi i kalkulacją ROSI.
• Karta organizacyjna analizowanej jednostki o co najmniej sześciu polach.
• Kanoniczna Karta Niezgodności 4C dla co najmniej trzech ustaleń, z rozdzieleniem Condition, Criteria, Cause i Consequence.
• Tabela matrycy ryzyka 5 × 5 z czterema wektorami, wartościami P, S, IR, P’, S’, RR oraz przypisaniem parametrów RTO, RPO i MTPD.
• Przypisanie każdemu wektorowi parametrów BCM, dla których ryzyko rezydualne RR zejmuje do strefy zielonej (1-7).
• Analiza przyczyn metodą 5 Why z wskazaniem przyczyny źródłowej oraz diagram Ishikawy z przypisaniem przyczyn do sześciu osi.
• Trójfazowy Plan Działań Korygujących CAP: Faza 1 (0-7 dni), Faza 2 (30 dni) i Faza 3 (90 dni) z matrycą RACI, właścicielami biznesowymi, KPI i KRI.
• Projekt załącznika wykonawczego (SOP) z sześcioma ponumerowanymi paragrafami i trybem sporu audytowego.
• Analiza kompromisów inżynierskich i biznesowych wraz z bilansem kosztu, obciążenia operacyjnego i ryzyka resztkowego.
• Bibliografia z numerami artykułów, paragrafów i punktów kontrolnych norm.
• Sprawozdanie o objętości 4-8 stron zamiast wymaganych 12-16 stron A4.
• Executive Summary zredagowane językiem czysto technicznym bez kalkulacji ryzyka biznesowego, finansowego i zwrotu z inwestycji.
• Plan CAP bez podziału trójfazowego albo bez mierzalnych wskaźników weryfikacji wdrożenia.
• Przypisanie przyczyn wyłącznie do kategorii „czynnik ludzki” z pominięciem decyzji zarządczych i systemowych.

Kanoniczna karta ustaleń w modelu 4C

Tabela zaawansowanej analizy ryzyka w matrycy 5 × 5

Parametry BCM powiązane z wektorami zagrożeń

Rozwinięcie parametrów z planu: RTO=30m dla transakcji, RPO=0s, MTPD=4h

Trójfazowy plan działań korygujących (CAP) z matrycą RACI

Projekt załącznika wykonawczego (SOP) z sześcioma paragrafami

1. § 1.Cel i zakres procedury bankowej
2. § 2.Parametry odpornościowe BCM dla systemów bankowości elektronicznej
3. § 3.Procedura Emergency Patching dla luk krytycznych CVSS > 8.0 (rygor 72h)
4. § 4.Zasady izolacji środowisk testowych i bezwzględnej syntetyzacji danych
5. § 5.Wymagania wobec dostawców oprogramowania bankowego (klauzule DORA)
6. § 6.Odpowiedzialność służbowa i raportowanie do Komitetu Audytu.

Zamknięcie audytu wymaga wskazania trybu sporu audytowego: spór uznany albo odstąpienie od sporu z uzasadnieniem, zanim raport trafi do Zarządu.

Jednostronicowe Podsumowanie Zarządcze (Executive Summary - "Pitch to Board") z wyliczeniem ROSI i bilansu ryzyk.

Dane wejściowe kalkulacji ROSI dla tego zadania

Kalkulator ROSI w module Executive Summary przyjmuje te wartości jako punkt wyjścia; skuteczność kontroli CAP i horyzont analizy student uzupełnia samodzielnie.

Najczęstsze błędy obniżające ocenę: powierzchowne zdefiniowanie modelu 4C, zatrzymanie analizy przyczyn na poziomie objawu technicznego bez 5 Why i diagramu Ishikawy, brak wyliczenia ryzyka rezydualnego RR w matrycy 5 × 5, pominięcie parametrów BCM (RTO, RPO, MTPD), plan CAP bez podziału trójfazowego (0-7, 30 i 90 dni) bez mierzalnych KPI i KRI, SOP zredagowany jako notatka zamiast projektu załącznika wykonawczego z ponumerowanymi paragrafami, Executive Summary bez kalkulacji ROSI albo sprawozdanie o objętości innej niż 12-16 stron A4 (3600-4800 słów przy 300 słów na stronę) i pasywne uczestnictwo w obronie przed Zarządem.

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 w sprawie operacyjnej odporności cyfrowej sektora finansowego (DORA).
• Komisja Nadzoru Finansowego: Rekomendacja D dotycząca zarządzania obszarami technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego w bankach, Warszawa 2013.
• Komisja Nadzoru Finansowego: Rekomendacja M dotycząca zarządzania ryzykiem operacyjnym w bankach.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 5, 28, 32, 82, 83.
• Ustawa z dnia 29 sierpnia 1997 r. - Prawo bankowe (tekst jedn. Dz.U. z 2026 r. poz. 38) - art. 104 (Tajemnica bankowa).
• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (Dz.U. z 2024 r. poz. 773) - § 19 oraz § 20.
• Norma PN-EN ISO/IEC 27001:2022: Systemy zarządzania bezpieczeństwem informacji.
• Norma PN-EN ISO 22301:2020: Systemy zarządzania ciągłością działania.

Wspólna bibliografia wariantu 5.0

• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjnych, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (tekst jedn. Dz.U. z 2024 r. poz. 773) – § 19 (wymagania dotyczące systemu zarządzania bezpieczeństwem informacji, w tym okresowy audyt wewnętrzny nie rzadziej niż raz na rok) oraz § 20 (rozliczalność i dzienniki systemów).
• Ustawa z dnia 6 czerwca 1997 r. – Kodeks karny (tekst jedn. Dz.U. z 2025 r. poz. 383) – art. 98, art. 160, art. 231, art. 266, art. 268a, art. 269a i art. 270.
• Ustawa z dnia 12 listopada 2017 r. o Krajowym Systemie Cyberbezpieczeństwa (tekst jedn. Dz.U. z 2026 r. poz. 20) – art. 8 (środki zarządzania ryzykiem i zabezpieczenia) oraz art. 15 (audyt bezpieczeństwa).
• Ustawa z dnia 15 maja 2019 r. – Prawo o adwokaturze (tekst jedn. Dz.U. z 2024 r. poz. 1564) – art. 19 (tajemnica adwokacka).
• Ustawa z dnia 15 września 2000 r. o radcach prawnych (tekst jedn. Dz.U. z 2024 r. poz. 499) – art. 3 (tajemnica zawodowa radcy prawnego).
• Ustawa z dnia 11 maja 2017 r. o zwalczaniu nieuczciwej konkurencji (tekst jedn. Dz.U. z 2026 r. poz. 85) – art. 11 (tajemnica przedsiębiorstwa).
• Ustawa z dnia 19 sierpnia 2011 r. o usługach płatniczych (tekst jedn. Dz.U. z 2026 r. poz. 623) – art. 50 (system zarządzania ryzykiem operacyjnym).
• Ustawa z dnia 6 września 2001 r. – Prawo bankowe (tekst jedn. Dz.U. z 2026 r. poz. 38) – art. 104 (zarządzanie ryzykiem).
• Ustawa z dnia 13 października 2022 r. o obrocie paliwami opałowymi (tekst jedn. Dz.U. z 2024 r. poz. 1218) – obowiązki operatora infrastruktury paliwowej i systemu teleinformatycznego. W logistyce sENT oznacza System Elektronicznego Transportu Drogowego, a nie system nadzoru nad obrotem paliwami.
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. (dyrektywa NIS2) – art. 21, art. 21 ust. 2 lit. c i d oraz art. 23.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) – art. 5, 9, 11, 28, 32, 33, 34, 82 i 83.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyjrowego sektora finansowego (DORA) – art. 5, 8 i 35.
• Standard PCI DSS v4.0.1 – wymagania 3.3, 6.4 i 11.3 (szyfrowanie transmisji uwierzytelniającej i zarządzanie dostępem do aplikacji bramki płatniczej).
• Norma ISO/IEC 27001:2022 – Załącznik A: 5.1, 5.15, 5.18, 5.23, 8.12, 8.13, 8.14 i 8.15.

Schemat strategicznego audytu łańcucha dostaw: integracja z KAS, sENT, model 4C, matryca ryzyka 5x5 z BCM, klauzula right to audit i Pitch to Board.

Głównym celem zadania na ocenę bardzo dobrą (5.0) jest opanowanie przez studentów zaawansowanych kompetencji w zakresie audytowania bezpieczeństwa cybernetycznego w złożonych łańcuchach dostaw (Supply Chain Security) podmiotów sektora transportu i logistyki o statusie podmiotu ważnego w rozumieniu Dyrektywy NIS2. Audyt łączy rygory art. 28 i 32 RODO (powierzenie danych odbiorców przesyłek), Ustawy o systemie monitorowania drogowego i kolejowego przewozu towarów (SENT), § 19 i § 20 rozporządzenia KRI (integracja z węzłem PUESC KAS) oraz standardu atestacyjnego AICPA SOC 2 Type II i normy ISO/IEC 27001:2022. Zadanie wymaga: sporządzenia kanonicznej Karty Ustaleń Audytowych w modelu 4C dla odmowy prawa do audytu (Right to Audit) przez zagranicznego dostawcę chmury WMS SaaS oraz braku redundancji łącza do systemu SENT skutkującego przestojami w odprawach i karami KAS, wyliczenia ryzyka w 25-stopniowej matrycy 5x5 powiązanej ze wskaźnikami BCM (RTO=1h dla wysyłek, RPO=15m, MTPD=4h), opracowania Trójfazowego Planu Działań Korygujących (CAP) ze wskaźnikami KPI i KRI, sformułowania pełnego projektu Załącznika Wykonawczego (SOP) regulującego weryfikację dostawców chmurowych (Third-Party Risk Management) oraz zabezpieczenie sieci Wi-Fi 802.1X na hali, a także zredagowania 1-stronicowego Executive Summary ("Pitch to Board") dla Dyrekcji Operacyjnej z kalkulacją zwrotu z inwestycji (ROSI). Powiązanie z sylabusem i efektami kształcenia na ocenę 5.0: - Efekt W1: Zaawansowana znajomość przepisów Ustawy o SENT, art. 28 i 32 RODO, Dyrektywy NIS2 dla łańcucha dostaw, § 19 i § 20 rozporządzenia KRI oraz standardów atestacyjnych SOC 2. - Efekt W2, W3: Wyczerpująca znajomość norm ISO 27001 (kontrole A.5.19-A.5.23, A.8.20), ISO 28000 (bezpieczeństwo łańcucha dostaw) oraz ISO 22301. - Efekt U1: Projekt inżynierski architektury High Availability dla interfejsu SENT z automatycznym przełączaniem SD-WAN 5G/LTE oraz migracji sieci Wi-Fi na magazynie do WPA3-Enterprise 802.1X. - Efekt U2: Dekompozycja uchybień w kanonicznym modelu 4C i analiza RCA 5 Why powiązana z Diagramem Ishikawy dla 6 osi. - Efekt U3: Kwantyfikacja ryzyka w matrycy 5x5 dla zablokowania wysyłek, kar KAS i wycieku bazy adresowej 500 000 odbiorców. - Efekt U4: Opracowanie kompletnego raportu poaudytowego (12-16 stron A4) z Trójfazowym Planem CAP, procedurą SOP (§ 1 do § 6) oraz Executive Summary "Pitch to Board". - Efekt K1, K2, K3: Obiektywizm audytorski, zrozumienie presji czasu w logistyce just-in-time i profesjonalizm w negocjacjach z dostawcami IT. - Powiązanie z wykładem: Wyk1 (Audyt łańcucha dostaw IT), Wyk2 (ISO 19011), Wyk3 (Kontrole A.5.19-A.5.23 ISO 27001), Wyk4 (SENT, RODO i NIS2 w logistyce), Wyk5 (Matryca ryzyka 5x5 i BCM), Wyk7 (Model 4C, 5 Why, Ishikawa, CAP i ROSI).

Każda odpowiedź musi odwoływać się do kryterium audytowego: artykułu ustawy lub rozporządzenia, wytycznej organu nadzoru albo punktu kontrolnego normy. Podejście risk-based wymaga, aby każdy wektor zagrożenia otrzymał wyliczone ryzyko inherentne IR jako iloczyn P i S w skali 1-5 oraz ryzyko rezydualne RR po wdrożeniu kontroli planu CAP. Opis zagrożenia bez obu wartości, bez przypisania parametrów BCM i bez wskazania przyczyny źródłowej w analizie 5 Why nie zalicza punktacji. Ustalenia graduj wyłącznie jako NC1, NC2 albo OFI.

• Odmowa prawa do audytu i brak certyfikacji dostawcy WMS SaaS: W umowie powierzenia przetwarzania danych osobowych dostawca WMS SaaS wykreślił zapis o prawie do przeprowadzenia audytu na miejscu (Right to Audit) oraz odmówił przedstawienia aktualnego raportu SOC 2 Type II lub certyfikatu ISO 27001, mimo przetwarzania danych adresowych ponad 500 000 odbiorców rocznie.
• Brak redundancji łączności i przestoje w rejestrze SENT KAS: Hub logistyczny posiada pojedyncze łącze światłowodowe do węzła PUESC SENT. W ciągu ostatnich 6 miesięcy odnotowano 3 awarie łącza, które skutkowały opóźnieniami w zgłoszeniach przewozów i nałożeniem przez KAS kar administracyjnych w łącznej wysokości 140 000 PLN.
• Płaska i podatna sieć bezprzewodowa na magazynie: 200 skanerów kodów i terminali wózków widłowych łączy się z siecią Wi-Fi zabezpieczoną pojedynczym statycznym kluczem WPA2-PSK, znanym kilkuset pracownikom agencyjnym i gościom.
• Szansa na doskonalenie (OFI): Wdrożenie monitorowania stanu i bezpieczeństwa interfejsów API łączących system WMS ze sklepami internetowymi w czasie rzeczywistym.

Pytania problemowe wymagające odpowiedzi w raporcie

1. W jaki sposób skutecznie wynegocjować zapisy o prawie do audytu (Right to Audit) lub niezależnym raporcie atestacyjnym (SOC 2 Type II / ISO 27001) z globalnym dostawcą chmurowym SaaS?
2. Jakie środki techniczne i architektoniczne należy wdrożyć, aby zagwarantować 100% ciągłość raportowania geolokalizacji SENT do Krajowej Administracji Skarbowej zgodnie z § 19 i § 20 rozporządzenia KRI?
3. Jakie zagrożenia dla sieci magazynowej rodzi współdzielenie klucza WPA2-PSK przez pracowników agencyjnych i jak wdrożyć bezpieczne uwierzytelnianie 802.1X na terminalach przemysłowych?

Pytania kontrolne do weryfikacji ustaleń

• Sformułujcie klauzulę umowy powierzenia z dostawcą WMS SaaS obejmującą prawo do audytu, certyfikację dostawcy, terminy powiadamiania o incydencie oraz prawo zwrotu danych po zakończeniu usługi.
• Uzasadnijcie wybór redundancji łączności z punktu widzenia parametrów RTO, RPO i MTPD oraz ryzyka przerwij w rejestrze transakcji SENT KAS.
• Zaprojektujcie uwierzytelnianie stacji wózkowych i skanerów w sieci bezprzewodowej magazynu, wskazując oś Ishikawy, którą ta kontrola redukuje.
• Przedstawcie Prezesowi zarządu trzy decyzje ochronne wraz z kalkulacją ROSI i wskazaniem, które z nich są warunkiem utrzymania klauzuli ubezpieczenia.

Każda odpowiedź musi odwoływać się do kryterium audytowego: artykułu ustawy lub rozporządzenia, wytycznej organu nadzoru albo punktu kontrolnego normy. Podejście risk-based wymaga, aby każdy wektor zagrożenia otrzymał wyliczone ryzyko inherentne IR jako iloczyn P i S w skali 1-5 oraz ryzyko rezydualne RR po wdrożeniu kontroli planu CAP. Opis zagrożenia bez obu wartości, bez przypisania parametrów BCM i bez wskazania przyczyny źródłowej w analizie 5 Why nie zalicza punktacji. Ustalenia graduj wyłącznie jako NC1, NC2 albo OFI.

Najczęstsze błędy obniżające ocenę: powierzchowne zdefiniowanie modelu 4C, zatrzymanie analizy przyczyn na poziomie objawu technicznego bez 5 Why i diagramu Ishikawy, brak wyliczenia ryzyka rezydualnego RR w matrycy 5 × 5, pominięcie parametrów BCM (RTO, RPO, MTPD), plan CAP bez podziału trójfazowego (0-7, 30 i 90 dni) bez mierzalnych KPI i KRI, SOP zredagowany jako notatka zamiast projektu załącznika wykonawczego z ponumerowanymi paragrafami, Executive Summary bez kalkulacji ROSI albo sprawozdanie o objętości innej niż 12-16 stron A4 (3600-4800 słów przy 300 słów na stronę) i pasywne uczestnictwo w obronie przed Zarządem.

• Jednostronicowy Executive Summary "Pitch to Board" z co najmniej trzema decyzjami zarządczymi i kalkulacją ROSI.
• Karta organizacyjna analizowanej jednostki o co najmniej sześciu polach.
• Kanoniczna Karta Niezgodności 4C dla co najmniej trzech ustaleń, z rozdzieleniem Condition, Criteria, Cause i Consequence.
• Tabela matrycy ryzyka 5 × 5 z czterema wektorami, wartościami P, S, IR, P’, S’, RR oraz przypisaniem parametrów RTO, RPO i MTPD.
• Przypisanie każdemu wektorowi parametrów BCM, dla których ryzyko rezydualne RR zejmuje do strefy zielonej (1-7).
• Analiza przyczyn metodą 5 Why z wskazaniem przyczyny źródłowej oraz diagram Ishikawy z przypisaniem przyczyn do sześciu osi.
• Trójfazowy Plan Działań Korygujących CAP: Faza 1 (0-7 dni), Faza 2 (30 dni) i Faza 3 (90 dni) z matrycą RACI, właścicielami biznesowymi, KPI i KRI.
• Projekt załącznika wykonawczego (SOP) z sześcioma ponumerowanymi paragrafami i trybem sporu audytowego.
• Analiza kompromisów inżynierskich i biznesowych wraz z bilansem kosztu, obciążenia operacyjnego i ryzyka resztkowego.
• Bibliografia z numerami artykułów, paragrafów i punktów kontrolnych norm.
• Sprawozdanie o objętości 4-8 stron zamiast wymaganych 12-16 stron A4.
• Executive Summary zredagowane językiem czysto technicznym bez kalkulacji ryzyka biznesowego, finansowego i zwrotu z inwestycji.
• Plan CAP bez podziału trójfazowego albo bez mierzalnych wskaźników weryfikacji wdrożenia.
• Przypisanie przyczyn wyłącznie do kategorii „czynnik ludzki” z pominięciem decyzji zarządczych i systemowych.

Kanoniczna karta ustaleń w modelu 4C

Tabela zaawansowanej analizy ryzyka w matrycy 5 × 5

Parametry BCM powiązane z wektorami zagrożeń

Rozwinięcie parametrów z planu: RTO=1h dla wysyłek, RPO=15m, MTPD=4h

Trójfazowy plan działań korygujących (CAP) z matrycą RACI

Projekt załącznika wykonawczego (SOP) z sześcioma paragrafami

1. § 1.Cel i zakres procedury logistycznej
2. § 2.Parametry odpornościowe BCM dla wysyłek magazynowych i zgłoszeń SENT
3. § 3.Obligatoryjne klauzule bezpieczeństwa w umowach z dostawcami IT (Right to Audit, SOC 2)
4. § 4.Procedura redundancji łącza telekomunikacyjnego SD-WAN dla rejestru SENT KAS
5. § 5.Zasady uwierzytelniania w sieci bezprzewodowej magazynu (WPA3-Enterprise 802.1X)
6. § 6.Odpowiedzialność służbowa, sankcje dyscyplinarne i raportowanie do Dyrekcji.

Zamknięcie audytu wymaga wskazania trybu sporu audytowego: spór uznany albo odstąpienie od sporu z uzasadnieniem, zanim raport trafi do Zarządu.

Jednostronicowe Podsumowanie Zarządcze (Executive Summary - "Pitch to Board") z wyliczeniem ROSI i bilansu ryzyk.

Dane wejściowe kalkulacji ROSI dla tego zadania

Kalkulator ROSI w module Executive Summary przyjmuje te wartości jako punkt wyjścia; skuteczność kontroli CAP i horyzont analizy student uzupełnia samodzielnie.

Najczęstsze błędy obniżające ocenę: powierzchowne zdefiniowanie modelu 4C, zatrzymanie analizy przyczyn na poziomie objawu technicznego bez 5 Why i diagramu Ishikawy, brak wyliczenia ryzyka rezydualnego RR w matrycy 5 × 5, pominięcie parametrów BCM (RTO, RPO, MTPD), plan CAP bez podziału trójfazowego (0-7, 30 i 90 dni) bez mierzalnych KPI i KRI, SOP zredagowany jako notatka zamiast projektu załącznika wykonawczego z ponumerowanymi paragrafami, Executive Summary bez kalkulacji ROSI albo sprawozdanie o objętości innej niż 12-16 stron A4 (3600-4800 słów przy 300 słów na stronę) i pasywne uczestnictwo w obronie przed Zarządem.

• Ustawa z dnia 9 marca 2017 r. o systemie monitorowania drogowego i kolejowego przewozu towarów oraz obrotu paliwami opałowymi (tekst jedn. Dz.U. z 2024 r. poz. 1218) - system SENT.
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (Dyrektywa NIS2) - sektor transportu i zarządzanie ryzykiem łańcucha dostaw.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 5, 28, 32, 82, 83.
• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (Dz.U. z 2024 r. poz. 773) - § 19 oraz § 20.
• Norma PN-EN ISO/IEC 27001:2022: Systemy zarządzania bezpieczeństwem informacji - kontrole A.5.19-A.5.23, A.8.20.
• Norma PN-EN ISO 28000:2022: Bezpieczeństwo i odporność - Systemy zarządzania bezpieczeństwem łańcucha dostaw.
• AICPA: "Trust Services Criteria for Security, Availability, and Confidentiality (SOC 2)", 2020.

Wspólna bibliografia wariantu 5.0

• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjnych, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (tekst jedn. Dz.U. z 2024 r. poz. 773) – § 19 (wymagania dotyczące systemu zarządzania bezpieczeństwem informacji, w tym okresowy audyt wewnętrzny nie rzadziej niż raz na rok) oraz § 20 (rozliczalność i dzienniki systemów).
• Ustawa z dnia 6 czerwca 1997 r. – Kodeks karny (tekst jedn. Dz.U. z 2025 r. poz. 383) – art. 98, art. 160, art. 231, art. 266, art. 268a, art. 269a i art. 270.
• Ustawa z dnia 12 listopada 2017 r. o Krajowym Systemie Cyberbezpieczeństwa (tekst jedn. Dz.U. z 2026 r. poz. 20) – art. 8 (środki zarządzania ryzykiem i zabezpieczenia) oraz art. 15 (audyt bezpieczeństwa).
• Ustawa z dnia 15 maja 2019 r. – Prawo o adwokaturze (tekst jedn. Dz.U. z 2024 r. poz. 1564) – art. 19 (tajemnica adwokacka).
• Ustawa z dnia 15 września 2000 r. o radcach prawnych (tekst jedn. Dz.U. z 2024 r. poz. 499) – art. 3 (tajemnica zawodowa radcy prawnego).
• Ustawa z dnia 11 maja 2017 r. o zwalczaniu nieuczciwej konkurencji (tekst jedn. Dz.U. z 2026 r. poz. 85) – art. 11 (tajemnica przedsiębiorstwa).
• Ustawa z dnia 19 sierpnia 2011 r. o usługach płatniczych (tekst jedn. Dz.U. z 2026 r. poz. 623) – art. 50 (system zarządzania ryzykiem operacyjnym).
• Ustawa z dnia 6 września 2001 r. – Prawo bankowe (tekst jedn. Dz.U. z 2026 r. poz. 38) – art. 104 (zarządzanie ryzykiem).
• Ustawa z dnia 13 października 2022 r. o obrocie paliwami opałowymi (tekst jedn. Dz.U. z 2024 r. poz. 1218) – obowiązki operatora infrastruktury paliwowej i systemu teleinformatycznego. W logistyce sENT oznacza System Elektronicznego Transportu Drogowego, a nie system nadzoru nad obrotem paliwami.
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. (dyrektywa NIS2) – art. 21, art. 21 ust. 2 lit. c i d oraz art. 23.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) – art. 5, 9, 11, 28, 32, 33, 34, 82 i 83.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyjrowego sektora finansowego (DORA) – art. 5, 8 i 35.
• Standard PCI DSS v4.0.1 – wymagania 3.3, 6.4 i 11.3 (szyfrowanie transmisji uwierzytelniającej i zarządzanie dostępem do aplikacji bramki płatniczej).
• Norma ISO/IEC 27001:2022 – Załącznik A: 5.1, 5.15, 5.18, 5.23, 8.12, 8.13, 8.14 i 8.15.

Schemat strategicznego audytu infrastruktury krytycznej OT/SCADA: model 4C, matryca ryzyka 5x5 z BCM, przemysłowa strefa zdemilitaryzowana, SOP i obrona przed Zarządem.

Głównym celem zadania na ocenę bardzo dobrą (5.0) jest opanowanie przez studentów mistrzowskich umiejętności audytowania cyberbezpieczeństwa strategicznej infrastruktury krytycznej i automatyki przemysłowej (OT/ICS/SCADA) w podmiocie o statusie Operatora Usługi Kluczowej (OUK) oraz podmiotu kluczowego w rozumieniu Dyrektywy NIS2. Audyt łączy rygory Ustawy o KSC, Dyrektywy NIS2, międzynarodowej normy cyberbezpieczeństwa przemysłowego ANSI/ISA/IEC 62443, § 19 i § 20 rozporządzenia KRI (telemetria PSE), art. 32 RODO (systemy bilingowe odbiorców) oraz art. 268a Kodeksu Karnego. Zadanie wymaga: sporządzenia kanonicznej Karty Ustaleń Audytowych w modelu 4C dla bezpośredniego połączenia stacji inżynierskich SCADA z siecią korporacyjną IT oraz niezabezpieczonego dostępu zdalnego RDP z Internetu bez MFA, wyliczenia ryzyka w 25-stopniowej matrycy 5x5 powiązanej ze wskaźnikami BCM (RTO=0s fail-safe / 15m telemetria, RPO=0s, MTPD=1h blackout), opracowania Trójfazowego Planu Działań Korygujących (CAP) ze wskaźnikami KPI i KRI, sformułowania pełnego projektu Załącznika Wykonawczego (SOP) regulującego wdrożenie strefy Industrial DMZ (poziom 3.5 modelu Purdue), serwera PAM z MFA oraz pasywnego monitoringu IDS OT, a także zredagowania 1-stronicowego Executive Summary ("Pitch to Board") dla Zarządu Spółki z kalkulacją zwrotu z inwestycji (ROSI). Powiązanie z sylabusem i efektami kształcenia na ocenę 5.0: - Efekt W1: Zaawansowana znajomość Ustawy o KSC, Dyrektywy NIS2 w energetyce, normy IEC 62443, § 19 i § 20 rozporządzenia KRI oraz art. 268a Kodeksu Karnego (Niszczenie lub zakłócanie danych o szczególnym znaczeniu dla obronności lub bezpieczeństwa państwa). - Efekt W2, W3: Wyczerpująca znajomość norm ISO 27001 (kontrole A.8.20, A.8.22, A.8.24), IEC 62443-2-1/3-3, ISO 22301 oraz wytycznych Pełnomocnika Rządu ds. Cyberbezpieczeństwa. - Efekt U1: Projekt inżynierski przemysłowej strefy demilitaryzowanej (IDMZ) wg modelu Purdue z zaporami jednokierunkowymi (Data Diode), serwerem przesiadkowym PAM oraz pasywnym systemem IDS OT (Nozomi/Claroty). - Efekt U2: Dekompozycja uchybień w kanonicznym modelu 4C i analiza RCA 5 Why powiązana z Diagramem Ishikawy dla 6 osi. - Efekt U3: Kwantyfikacja ryzyka w matrycy 5x5 dla blackoutu aglomeracji, zniszczenia turbin parowych i sankcji regulatora. - Efekt U4: Opracowanie kompletnego raportu poaudytowego (12-16 stron A4) z Trójfazowym Planem CAP, procedurą SOP (§ 1 do § 6) oraz Executive Summary "Pitch to Board". - Efekt K1, K2, K3: Poczucie odpowiedzialności za bezpieczeństwo państwa i obywateli, bezstronność audytorska i wysokie standardy etyki zawodowej. - Powiązanie z wykładem: Wyk1 (Audyt infrastruktury krytycznej), Wyk2 (ISO 19011), Wyk3 (Kontrole A.8 ISO 27001), Wyk4 (KSC, NIS2 i IEC 62443 w energetyce), Wyk5 (Matryca ryzyka 5x5 i BCM), Wyk7 (Model 4C, 5 Why, Ishikawa, CAP i ROSI).

Każda odpowiedź musi odwoływać się do kryterium audytowego: artykułu ustawy lub rozporządzenia, wytycznej organu nadzoru albo punktu kontrolnego normy. Podejście risk-based wymaga, aby każdy wektor zagrożenia otrzymał wyliczone ryzyko inherentne IR jako iloczyn P i S w skali 1-5 oraz ryzyko rezydualne RR po wdrożeniu kontroli planu CAP. Opis zagrożenia bez obu wartości, bez przypisania parametrów BCM i bez wskazania przyczyny źródłowej w analizie 5 Why nie zalicza punktacji. Ustalenia graduj wyłącznie jako NC1, NC2 albo OFI.

• Bezpośredni styk sieci przemysłowej OT z siecią korporacyjną IT: Stacje inżynierskie SCADA (poziomy 2 i 3 Purdue) połączone są z siecią biurową IT (poziom 4) poprzez pojedynczy niezarządzalny przełącznik bez zapory ogniowej NGFW ani strefy DMZ.
• Niezabezpieczony dostęp zdalny serwisantów zewnętrznych: Serwisanci zagranicznego producenta turbin logują się bezpośrednio do stacji inżynierskich SCADA przez protokół RDP z publicznego Internetu bez wieloskładnikowego uwierzytelniania (MFA) i bez nagrywania sesji uprzywilejowanych.
• Całkowity brak rejestrowania logów ze sterowników PLC: Zdarzenia bezpieczeństwa ze stacji SCADA i sterowników PLC nie są przekazywane do centralnego klastra SIEM ani analizowane pod kątem anomalii w protokołach Modbus TCP i DNP3.
• Szansa na doskonalenie (OFI): Wdrożenie systemu pasywnego wykrywania anomalii przemysłowych (Network Detection and Response - NDR OT).

Pytania problemowe wymagające odpowiedzi w raporcie

1. W jaki sposób zaimplementować model stref i kanałów (Zones & Conduits) normy ISA/IEC 62443 na styku sieci IT i OT, aby zagwarantować pełną ochronę SCADA bez opóźnień w telemetrii?
2. Jakie rygorystyczne wymagania stawia Dyrektywa NIS2 i Ustawa o KSC przed Operatorami Usług Kluczowych w zakresie procedury zgłaszania incydentu cyberbezpieczeństwa w ciągu 24h?
3. Jak zorganizować bezpieczny dostęp zdalny dla zewnętrznych serwisantów automatyki przemysłowej, eliminując bezpośrednie połączenia RDP?

Pytania kontrolne do weryfikacji ustaleń

• Uzasadnijcie architektonicznie separację stref OT i IT z uwzględnieniem wymogu zerowej drogi transmisyjnej z sieci przemysłowej do biurowej oraz strefy zdemilitaryzowanej na poziomie OT.
• Zaprojektujcie dostęp zdalny dla serwisantów zewnętrznych: brokera sesji, uwierzytelnianie wieloskładnikowe, zatwierdzanie jednorazowe i rejestrowanie pełnego przebiegu sesji.
• Wyjaśnijcie, dlaczego dla sterowania kotłami przyjmujecie RTO równe 0 sekund w trybie fail-safe, a dla telemetrii PSE 15 minut, i jak to przekłada się na ryzyko rezydualne.
• Sformułujcie wniosek o zakresie obwiedni sterowania instalacją, który zachowuje ciągłość dostarczania ciepła zimą przy jednoczesnym zamknięciu luki w sieci OT.

Każda odpowiedź musi odwoływać się do kryterium audytowego: artykułu ustawy lub rozporządzenia, wytycznej organu nadzoru albo punktu kontrolnego normy. Podejście risk-based wymaga, aby każdy wektor zagrożenia otrzymał wyliczone ryzyko inherentne IR jako iloczyn P i S w skali 1-5 oraz ryzyko rezydualne RR po wdrożeniu kontroli planu CAP. Opis zagrożenia bez obu wartości, bez przypisania parametrów BCM i bez wskazania przyczyny źródłowej w analizie 5 Why nie zalicza punktacji. Ustalenia graduj wyłącznie jako NC1, NC2 albo OFI.

Najczęstsze błędy obniżające ocenę: powierzchowne zdefiniowanie modelu 4C, zatrzymanie analizy przyczyn na poziomie objawu technicznego bez 5 Why i diagramu Ishikawy, brak wyliczenia ryzyka rezydualnego RR w matrycy 5 × 5, pominięcie parametrów BCM (RTO, RPO, MTPD), plan CAP bez podziału trójfazowego (0-7, 30 i 90 dni) bez mierzalnych KPI i KRI, SOP zredagowany jako notatka zamiast projektu załącznika wykonawczego z ponumerowanymi paragrafami, Executive Summary bez kalkulacji ROSI albo sprawozdanie o objętości innej niż 12-16 stron A4 (3600-4800 słów przy 300 słów na stronę) i pasywne uczestnictwo w obronie przed Zarządem.

• Jednostronicowy Executive Summary "Pitch to Board" z co najmniej trzema decyzjami zarządczymi i kalkulacją ROSI.
• Karta organizacyjna analizowanej jednostki o co najmniej sześciu polach.
• Kanoniczna Karta Niezgodności 4C dla co najmniej trzech ustaleń, z rozdzieleniem Condition, Criteria, Cause i Consequence.
• Tabela matrycy ryzyka 5 × 5 z czterema wektorami, wartościami P, S, IR, P’, S’, RR oraz przypisaniem parametrów RTO, RPO i MTPD.
• Przypisanie każdemu wektorowi parametrów BCM, dla których ryzyko rezydualne RR zejmuje do strefy zielonej (1-7).
• Analiza przyczyn metodą 5 Why z wskazaniem przyczyny źródłowej oraz diagram Ishikawy z przypisaniem przyczyn do sześciu osi.
• Trójfazowy Plan Działań Korygujących CAP: Faza 1 (0-7 dni), Faza 2 (30 dni) i Faza 3 (90 dni) z matrycą RACI, właścicielami biznesowymi, KPI i KRI.
• Projekt załącznika wykonawczego (SOP) z sześcioma ponumerowanymi paragrafami i trybem sporu audytowego.
• Analiza kompromisów inżynierskich i biznesowych wraz z bilansem kosztu, obciążenia operacyjnego i ryzyka resztkowego.
• Bibliografia z numerami artykułów, paragrafów i punktów kontrolnych norm.
• Sprawozdanie o objętości 4-8 stron zamiast wymaganych 12-16 stron A4.
• Executive Summary zredagowane językiem czysto technicznym bez kalkulacji ryzyka biznesowego, finansowego i zwrotu z inwestycji.
• Plan CAP bez podziału trójfazowego albo bez mierzalnych wskaźników weryfikacji wdrożenia.
• Przypisanie przyczyn wyłącznie do kategorii „czynnik ludzki” z pominięciem decyzji zarządczych i systemowych.

Kanoniczna karta ustaleń w modelu 4C

Tabela zaawansowanej analizy ryzyka w matrycy 5 × 5

Parametry BCM powiązane z wektorami zagrożeń

Rozwinięcie parametrów z planu: RTO=15 minut dla telemetrii PSE, RPO=0 sekund, MTPD=1 godzina (krytyczny czas przed zamarznięciem sieci

Trójfazowy plan działań korygujących (CAP) z matrycą RACI

Projekt załącznika wykonawczego (SOP) z sześcioma paragrafami

1. § 1.Cel i zakres procedury przemysłowej
2. § 2.Architektura stref i kanałów (Zones & Conduits) wg IEC 62443 i modelu Purdue
3. § 3.Wymagania techniczne strefy Industrial DMZ (poziom 3.5)
4. § 4.Procedura bezpiecznego dostępu zdalnego serwisantów (PAM, MFA, rejestracja wideo)
5. § 5.Rejestrowanie logów zdarzeń bezpieczeństwa i ciągłość telemetrii PSE
6. § 6.Odpowiedzialność służbowa, sankcje dyscyplinarne i raportowanie do Zarządu.

Zamknięcie audytu wymaga wskazania trybu sporu audytowego: spór uznany albo odstąpienie od sporu z uzasadnieniem, zanim raport trafi do Zarządu.

Jednostronicowe Podsumowanie Zarządcze (Executive Summary - "Pitch to Board") z wyliczeniem ROSI i bilansu ryzyk.

Dane wejściowe kalkulacji ROSI dla tego zadania

Kalkulator ROSI w module Executive Summary przyjmuje te wartości jako punkt wyjścia; skuteczność kontroli CAP i horyzont analizy student uzupełnia samodzielnie.

Najczęstsze błędy obniżające ocenę: powierzchowne zdefiniowanie modelu 4C, zatrzymanie analizy przyczyn na poziomie objawu technicznego bez 5 Why i diagramu Ishikawy, brak wyliczenia ryzyka rezydualnego RR w matrycy 5 × 5, pominięcie parametrów BCM (RTO, RPO, MTPD), plan CAP bez podziału trójfazowego (0-7, 30 i 90 dni) bez mierzalnych KPI i KRI, SOP zredagowany jako notatka zamiast projektu załącznika wykonawczego z ponumerowanymi paragrafami, Executive Summary bez kalkulacji ROSI albo sprawozdanie o objętości innej niż 12-16 stron A4 (3600-4800 słów przy 300 słów na stronę) i pasywne uczestnictwo w obronie przed Zarządem.

• Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (tekst jedn. Dz.U. z 2026 r. poz. 20) - art. 8 (środki zarządzania ryzykiem i zabezpieczenia) oraz art. 15 (audyt bezpieczeństwa); status Operatora Usługi Kluczowej.
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. (Dyrektywa NIS2) - sektor energetyczny.
• Norma PN-EN IEC 62443-2-1 / 3-3: Cyberbezpieczeństwo przemysłowych systemów sterowania i automatyki (IACS).
• Ustawa z dnia 6 czerwca 1997 r. - Kodeks Karny (tekst jedn. Dz.U. z 2025 r. poz. 383) - art. 268a (Niszczenie, uszkadzanie, usuwanie, zmienianie lub utrudnianie dostępu do danych informatycznych) oraz art. 269a (zakłócanie pracy systemu informatycznego).
• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (Dz.U. z 2024 r. poz. 773) - § 19 oraz § 20.
• Norma PN-EN ISO/IEC 27001:2022: Systemy zarządzania bezpieczeństwem informacji.
• Rządowe Centrum Bezpieczeństwa: "Narodowy Program Ochrony Infrastruktury Krytycznej", Warszawa 2023.

Wspólna bibliografia wariantu 5.0

• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjnych, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (tekst jedn. Dz.U. z 2024 r. poz. 773) – § 19 (wymagania dotyczące systemu zarządzania bezpieczeństwem informacji, w tym okresowy audyt wewnętrzny nie rzadziej niż raz na rok) oraz § 20 (rozliczalność i dzienniki systemów).
• Ustawa z dnia 6 czerwca 1997 r. – Kodeks karny (tekst jedn. Dz.U. z 2025 r. poz. 383) – art. 98, art. 160, art. 231, art. 266, art. 268a, art. 269a i art. 270.
• Ustawa z dnia 12 listopada 2017 r. o Krajowym Systemie Cyberbezpieczeństwa (tekst jedn. Dz.U. z 2026 r. poz. 20) – art. 8 (środki zarządzania ryzykiem i zabezpieczenia) oraz art. 15 (audyt bezpieczeństwa).
• Ustawa z dnia 15 maja 2019 r. – Prawo o adwokaturze (tekst jedn. Dz.U. z 2024 r. poz. 1564) – art. 19 (tajemnica adwokacka).
• Ustawa z dnia 15 września 2000 r. o radcach prawnych (tekst jedn. Dz.U. z 2024 r. poz. 499) – art. 3 (tajemnica zawodowa radcy prawnego).
• Ustawa z dnia 11 maja 2017 r. o zwalczaniu nieuczciwej konkurencji (tekst jedn. Dz.U. z 2026 r. poz. 85) – art. 11 (tajemnica przedsiębiorstwa).
• Ustawa z dnia 19 sierpnia 2011 r. o usługach płatniczych (tekst jedn. Dz.U. z 2026 r. poz. 623) – art. 50 (system zarządzania ryzykiem operacyjnym).
• Ustawa z dnia 6 września 2001 r. – Prawo bankowe (tekst jedn. Dz.U. z 2026 r. poz. 38) – art. 104 (zarządzanie ryzykiem).
• Ustawa z dnia 13 października 2022 r. o obrocie paliwami opałowymi (tekst jedn. Dz.U. z 2024 r. poz. 1218) – obowiązki operatora infrastruktury paliwowej i systemu teleinformatycznego. W logistyce sENT oznacza System Elektronicznego Transportu Drogowego, a nie system nadzoru nad obrotem paliwami.
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. (dyrektywa NIS2) – art. 21, art. 21 ust. 2 lit. c i d oraz art. 23.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) – art. 5, 9, 11, 28, 32, 33, 34, 82 i 83.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyjrowego sektora finansowego (DORA) – art. 5, 8 i 35.
• Standard PCI DSS v4.0.1 – wymagania 3.3, 6.4 i 11.3 (szyfrowanie transmisji uwierzytelniającej i zarządzanie dostępem do aplikacji bramki płatniczej).
• Norma ISO/IEC 27001:2022 – Załącznik A: 5.1, 5.15, 5.18, 5.23, 8.12, 8.13, 8.14 i 8.15.

Schemat strategicznego audytu uczelni: cykl życia tożsamości IAM, model 4C, matryca ryzyka 5x5 z BCM, SOP i obrona przed Senatem uczelni.

Głównym celem zadania na ocenę bardzo dobrą (5.0) jest opanowanie przez studentów zaawansowanych kompetencji audytowania strategicznego ładu bezpieczeństwa informacji i odporności cyfrowej w publicznej uczelni akademickiej o statusie podmiotu kluczowego sektora edukacji i badań naukowych. Audyt łączy rygory Ustawy - Prawo o szkolnictwie wyższym i nauce, art. 9 i 32 RODO (dane wrażliwe studentów: orzeczenia o niepełnosprawności, zaświadczenia lekarskie, sytuacja materialna), Dyrektywy NIS2, § 19 i § 20 rozporządzenia KRI (integracja uczelnianego USOS z ministerialnym repozytorium POL-on) oraz art. 270 Kodeksu Karnego (fałszowanie dokumentów i protokołów egzaminacyjnych). Zadanie wymaga: sporządzenia kanonicznej Karty Ustaleń Audytowych w modelu 4C dla 126 nieaktywnych kont byłych pracowników dydaktycznych i doktorantów z uprawnieniami edycyjnymi w USOS oraz braku szyfrowania baz danych Moodle/USOS (Data-at-Rest), wyliczenia ryzyka w 25-stopniowej matrycy 5x5 powiązanej ze wskaźnikami BCM (RTO=4h, RPO=1h, MTPD=24h), opracowania Trójfazowego Planu Działań Korygujących (CAP) ze wskaźnikami KPI i KRI, sformułowania pełnego projektu Załącznika Wykonawczego (SOP) regulującego cykl życia tożsamości akademickiej IAM, federację eduGAIN z MFA oraz bezpieczną wymianę danych z POL-on, a także zredagowania 1-stronicowego Executive Summary ("Pitch to Board") dla Rektora i Senatu Uczelni z kalkulacją zwrotu z inwestycji (ROSI). Powiązanie z sylabusem i efektami kształcenia na ocenę 5.0: - Efekt W1: Zaawansowana znajomość Prawa o szkolnictwie wyższym i nauce, art. 9 i 32 RODO, Dyrektywy NIS2 dla edukacji, § 19 i § 20 rozporządzenia KRI oraz art. 270 Kodeksu Karnego. - Efekt W2, W3: Wyczerpująca znajomość norm ISO/IEC 27001:2022 (kontrole A.5.18, A.8.2, A.8.24), ISO 22301 oraz wytycznych Ośrodka Przetwarzania Informacji (OPI PIB). - Efekt U1: Projekt inżynierski wdrożenia centralnego brokera tożsamości IAM sprzężonego z systemem kadrowym ERP, szyfrowania baz danych KMS oraz bezpiecznej integracji z POL-on. - Efekt U2: Dekompozycja uchybień w kanonicznym modelu 4C i analiza RCA 5 Why powiązana z Diagramem Ishikawy dla 6 osi. - Efekt U3: Kwantyfikacja ryzyka w matrycy 5x5 dla kradzieży danych wrażliwych studentów, fałszowania ocen i utraty dotacji ministerialnej. - Efekt U4: Opracowanie kompletnego raportu poaudytowego (12-16 stron A4) z Trójfazowym Planem CAP, procedurą SOP (§ 1 do § 6) oraz Executive Summary "Pitch to Board". - Efekt K1, K2, K3: Poszanowanie autonomii akademickiej, niezależność audytorska i wysoka kultura perswazji wobec ciał kolegialnych uczelni. - Powiązanie z wykładem: Wyk1 (Zarządzanie bezpieczeństwem na uczelniach), Wyk2 (ISO 19011), Wyk3 (Kontrole A.5 i A.8 ISO 27001), Wyk4 (RODO i KRI w szkolnictwie wyższym), Wyk5 (Matryca ryzyka 5x5 i BCM), Wyk7 (Model 4C, 5 Why, Ishikawa, CAP i ROSI).

Każda odpowiedź musi odwoływać się do kryterium audytowego: artykułu ustawy lub rozporządzenia, wytycznej organu nadzoru albo punktu kontrolnego normy. Podejście risk-based wymaga, aby każdy wektor zagrożenia otrzymał wyliczone ryzyko inherentne IR jako iloczyn P i S w skali 1-5 oraz ryzyko rezydualne RR po wdrożeniu kontroli planu CAP. Opis zagrożenia bez obu wartości, bez przypisania parametrów BCM i bez wskazania przyczyny źródłowej w analizie 5 Why nie zalicza punktacji. Ustalenia graduj wyłącznie jako NC1, NC2 albo OFI.

• Brak procedury formalnego offboardingu kadry akademickiej: W systemie USOS ujawniono 126 aktywnych kont byłych wykładowców, promotorów i doktorantów, którzy zakończyli pracę w uczelni od 1 do 4 lat temu. Konta te zachowały uprawnienia do zatwierdzania protokołów ocen, wystawiania zaliczeń oraz wglądu w dane osobowe i numery PESEL studentów.
• Brak kryptoizolacji baz danych i transmisji: Bazy danych Moodle oraz lokalne instancje USOS nie były szyfrowane na poziomie dysków (Data-at-Rest). Transmisja danych pomiędzy serwerami wydziałowymi dopuszczała przestarzały protokół TLS 1.0/1.1 bez wymuszenia protokołu TLS 1.3 i bez certyfikatów maszynowych mTLS.
• Podatność interfejsu ministerialnego POL-on: Wymiana danych o toku studiów i kadrze naukowej z centralnym rejestrem POL-on opierała się na skryptach wsadowych bez automatycznej weryfikacji sum kontrolnych i bez monitorowania błędów synchronizacji, co stwarzało ryzyko utraty spójności danych sprawozdawczych.
• Szansa na doskonalenie (OFI): Wdrożenie centralnego systemu tożsamości IAM zintegrowanego z federacją eduGAIN i siecią Eduroam.

Pytania problemowe wymagające odpowiedzi w raporcie

1. Jak pogodzić autonomiczną strukturę wydziałów uczelni i swobodę pracy dydaktycznej z rygorystycznymi wymogami kontroli dostępu do danych osobowych studentów (art. 9 i 32 RODO)?
2. Jakie konkretne wymagania stawia § 19 i § 20 rozporządzenia w sprawie Krajowych Ram Interoperacyjnych przed integracją uczelnianego systemu USOS z centralnym repozytorium POL-on?
3. W jaki sposób zaprojektować centralną platformę zarządzania tożsamością (IAM) na uczelni, aby automatycznie integrowała system kadrowy, dziekanatowy i sieć Eduroam?

Pytania kontrolne do weryfikacji ustaleń

• Opracujcie cykl życia tożsamości IAM od przyjęcia do pracy do odstawienia ze stanowiska i wskażcie, gdzie przebiega granica odpowiedzialności między dziekanatem a centrum informatycznym.
• Uzasadnijcie kryptoizolację baz Moodle i USOS oraz sposób ochrony transmisji do rejestru POL-on przed nieautoryzowaną modyfikacją ocen.
• Wyjaśnijcie, dlaczego wątek uczelniany do ZUS i rejestru kadrowego wymaga odrębnej kategorii danych i odrębnych kontroli niż oceny w systemie dziekanatowym.
• Sformułujcie trzy decyzje dla Rektora i Senatu z podaniem kwoty, terminu i mieralnego wskaźnika sukcesu wpływającego na dotacje i ranking.

Każda odpowiedź musi odwoływać się do kryterium audytowego: artykułu ustawy lub rozporządzenia, wytycznej organu nadzoru albo punktu kontrolnego normy. Podejście risk-based wymaga, aby każdy wektor zagrożenia otrzymał wyliczone ryzyko inherentne IR jako iloczyn P i S w skali 1-5 oraz ryzyko rezydualne RR po wdrożeniu kontroli planu CAP. Opis zagrożenia bez obu wartości, bez przypisania parametrów BCM i bez wskazania przyczyny źródłowej w analizie 5 Why nie zalicza punktacji. Ustalenia graduj wyłącznie jako NC1, NC2 albo OFI.

Najczęstsze błędy obniżające ocenę: powierzchowne zdefiniowanie modelu 4C, zatrzymanie analizy przyczyn na poziomie objawu technicznego bez 5 Why i diagramu Ishikawy, brak wyliczenia ryzyka rezydualnego RR w matrycy 5 × 5, pominięcie parametrów BCM (RTO, RPO, MTPD), plan CAP bez podziału trójfazowego (0-7, 30 i 90 dni) bez mierzalnych KPI i KRI, SOP zredagowany jako notatka zamiast projektu załącznika wykonawczego z ponumerowanymi paragrafami, Executive Summary bez kalkulacji ROSI albo sprawozdanie o objętości innej niż 12-16 stron A4 (3600-4800 słów przy 300 słów na stronę) i pasywne uczestnictwo w obronie przed Zarządem.

• Jednostronicowy Executive Summary "Pitch to Board" z co najmniej trzema decyzjami zarządczymi i kalkulacją ROSI.
• Karta organizacyjna analizowanej jednostki o co najmniej sześciu polach.
• Kanoniczna Karta Niezgodności 4C dla co najmniej trzech ustaleń, z rozdzieleniem Condition, Criteria, Cause i Consequence.
• Tabela matrycy ryzyka 5 × 5 z czterema wektorami, wartościami P, S, IR, P’, S’, RR oraz przypisaniem parametrów RTO, RPO i MTPD.
• Przypisanie każdemu wektorowi parametrów BCM, dla których ryzyko rezydualne RR zejmuje do strefy zielonej (1-7).
• Analiza przyczyn metodą 5 Why z wskazaniem przyczyny źródłowej oraz diagram Ishikawy z przypisaniem przyczyn do sześciu osi.
• Trójfazowy Plan Działań Korygujących CAP: Faza 1 (0-7 dni), Faza 2 (30 dni) i Faza 3 (90 dni) z matrycą RACI, właścicielami biznesowymi, KPI i KRI.
• Projekt załącznika wykonawczego (SOP) z sześcioma ponumerowanymi paragrafami i trybem sporu audytowego.
• Analiza kompromisów inżynierskich i biznesowych wraz z bilansem kosztu, obciążenia operacyjnego i ryzyka resztkowego.
• Bibliografia z numerami artykułów, paragrafów i punktów kontrolnych norm.
• Sprawozdanie o objętości 4-8 stron zamiast wymaganych 12-16 stron A4.
• Executive Summary zredagowane językiem czysto technicznym bez kalkulacji ryzyka biznesowego, finansowego i zwrotu z inwestycji.
• Plan CAP bez podziału trójfazowego albo bez mierzalnych wskaźników weryfikacji wdrożenia.
• Przypisanie przyczyn wyłącznie do kategorii „czynnik ludzki” z pominięciem decyzji zarządczych i systemowych.

Kanoniczna karta ustaleń w modelu 4C

Tabela zaawansowanej analizy ryzyka w matrycy 5 × 5

Parametry BCM powiązane z wektorami zagrożeń

Trójfazowy plan działań korygujących (CAP) z matrycą RACI

Projekt załącznika wykonawczego (SOP) z sześcioma paragrafami

1. § 1.Cel i zakres procedury akademickiej
2. § 2.Cykl życia konta dydaktyka i studenta (automatyczny provisioning i deprovisioning)
3. § 3.Wymagania techniczne wieloskładnikowego uwierzytelniania MFA i federacji eduGAIN
4. § 4.Zasady szyfrowania spoczynkowego baz dziekanatowych i protokołów egzaminacyjnych
5. § 5.Procedura automatycznej synchronizacji i kontroli integralności danych z rejestrem POL-on OPI PIB
6. § 6.Odpowiedzialność dyscyplinarna i karna (art. 270 KK) za nieuprawnione modyfikacje ocen.

Zamknięcie audytu wymaga wskazania trybu sporu audytowego: spór uznany albo odstąpienie od sporu z uzasadnieniem, zanim raport trafi do Zarządu.

Jednostronicowe Podsumowanie Zarządcze (Executive Summary - "Pitch to Board") z wyliczeniem ROSI i bilansu ryzyk.

Dane wejściowe kalkulacji ROSI dla tego zadania

Kalkulator ROSI w module Executive Summary przyjmuje te wartości jako punkt wyjścia; skuteczność kontroli CAP i horyzont analizy student uzupełnia samodzielnie.

Najczęstsze błędy obniżające ocenę: powierzchowne zdefiniowanie modelu 4C, zatrzymanie analizy przyczyn na poziomie objawu technicznego bez 5 Why i diagramu Ishikawy, brak wyliczenia ryzyka rezydualnego RR w matrycy 5 × 5, pominięcie parametrów BCM (RTO, RPO, MTPD), plan CAP bez podziału trójfazowego (0-7, 30 i 90 dni) bez mierzalnych KPI i KRI, SOP zredagowany jako notatka zamiast projektu załącznika wykonawczego z ponumerowanymi paragrafami, Executive Summary bez kalkulacji ROSI albo sprawozdanie o objętości innej niż 12-16 stron A4 (3600-4800 słów przy 300 słów na stronę) i pasywne uczestnictwo w obronie przed Zarządem.

• Ustawa z dnia 20 lipca 2018 r. - Prawo o szkolnictwie wyższym i nauce (tekst jedn. Dz.U. z 2024 r. poz. 1571) - dokumentacja przebiegu studiów i system POL-on.
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (Dyrektywa NIS2) - sektor edukacji i badań naukowych.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 9, 32, 82, 83.
• Ustawa z dnia 6 czerwca 1997 r. - Kodeks Karny (tekst jedn. Dz.U. z 2025 r. poz. 383) - art. 270 (Fałszowanie dokumentów).
• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (Dz.U. z 2024 r. poz. 773) - § 19 oraz § 20.
• Norma PN-EN ISO/IEC 27001:2022: Systemy zarządzania bezpieczeństwem informacji.
• Ośrodek Przetwarzania Informacji (OPI PIB): "Specyfikacja techniczna integracji API z systemem POL-on", Warszawa 2023.

Wspólna bibliografia wariantu 5.0

• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjnych, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (tekst jedn. Dz.U. z 2024 r. poz. 773) – § 19 (wymagania dotyczące systemu zarządzania bezpieczeństwem informacji, w tym okresowy audyt wewnętrzny nie rzadziej niż raz na rok) oraz § 20 (rozliczalność i dzienniki systemów).
• Ustawa z dnia 6 czerwca 1997 r. – Kodeks karny (tekst jedn. Dz.U. z 2025 r. poz. 383) – art. 98, art. 160, art. 231, art. 266, art. 268a, art. 269a i art. 270.
• Ustawa z dnia 12 listopada 2017 r. o Krajowym Systemie Cyberbezpieczeństwa (tekst jedn. Dz.U. z 2026 r. poz. 20) – art. 8 (środki zarządzania ryzykiem i zabezpieczenia) oraz art. 15 (audyt bezpieczeństwa).
• Ustawa z dnia 15 maja 2019 r. – Prawo o adwokaturze (tekst jedn. Dz.U. z 2024 r. poz. 1564) – art. 19 (tajemnica adwokacka).
• Ustawa z dnia 15 września 2000 r. o radcach prawnych (tekst jedn. Dz.U. z 2024 r. poz. 499) – art. 3 (tajemnica zawodowa radcy prawnego).
• Ustawa z dnia 11 maja 2017 r. o zwalczaniu nieuczciwej konkurencji (tekst jedn. Dz.U. z 2026 r. poz. 85) – art. 11 (tajemnica przedsiębiorstwa).
• Ustawa z dnia 19 sierpnia 2011 r. o usługach płatniczych (tekst jedn. Dz.U. z 2026 r. poz. 623) – art. 50 (system zarządzania ryzykiem operacyjnym).
• Ustawa z dnia 6 września 2001 r. – Prawo bankowe (tekst jedn. Dz.U. z 2026 r. poz. 38) – art. 104 (zarządzanie ryzykiem).
• Ustawa z dnia 13 października 2022 r. o obrocie paliwami opałowymi (tekst jedn. Dz.U. z 2024 r. poz. 1218) – obowiązki operatora infrastruktury paliwowej i systemu teleinformatycznego. W logistyce sENT oznacza System Elektronicznego Transportu Drogowego, a nie system nadzoru nad obrotem paliwami.
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. (dyrektywa NIS2) – art. 21, art. 21 ust. 2 lit. c i d oraz art. 23.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) – art. 5, 9, 11, 28, 32, 33, 34, 82 i 83.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyjrowego sektora finansowego (DORA) – art. 5, 8 i 35.
• Standard PCI DSS v4.0.1 – wymagania 3.3, 6.4 i 11.3 (szyfrowanie transmisji uwierzytelniającej i zarządzanie dostępem do aplikacji bramki płatniczej).
• Norma ISO/IEC 27001:2022 – Załącznik A: 5.1, 5.15, 5.18, 5.23, 8.12, 8.13, 8.14 i 8.15.

Schemat strategicznego audytu przemysłu spożywczego: traceability weterynaryjne, cyberodporność automatyki, model 4C, matryca ryzyka 5x5 z BCM i czytniki RFID IP68.

Głównym celem zadania na ocenę bardzo dobrą (5.0) jest opanowanie przez studentów zaawansowanych umiejętności audytowania cyberbezpieczeństwa automatyki przemysłowej (OT) i zgodności prawnej w przedsiębiorstwie przetwórstwa spożywczego o statusie podmiotu ważnego w łańcuchu dostaw żywności (Dyrektywa NIS2). Audyt łączy wymogi Ustawy o produktach pochodzenia zwierzęcego, § 19 i § 20 rozporządzenia KRI (elektroniczna integracja z systemem traceability Powiatowego Inspektoratu Weterynarii), art. 28 i 32 RODO (dane pracowników agencyjnych), art. 11 Ustawy o zwalczaniu nieuczciwej konkurencji (ochrona tajemnicy receptur i technologii) oraz standardów IFS Food v8 i BRC Food. Zadanie wymaga: sporządzenia kanonicznej Karty Ustaleń Audytowych w modelu 4C dla jawnych haseł administratora na 30 terminalach wagowych hali przetwórczej oraz braku separacji sieci PLC od sieci korporacyjnej ERP, wyliczenia ryzyka w 25-stopniowej matrycy 5x5 powiązanej ze wskaźnikami BCM (RTO=1h dla linii ubojowej, RPO=15m, MTPD=6h dla chłodni), opracowania Trójfazowego Planu Działań Korygujących (CAP) ze wskaźnikami KPI i KRI, sformułowania pełnego projektu Załącznika Wykonawczego (SOP) regulującego uwierzytelnianie kartami RFID IP68 w trudnych warunkach środowiskowych i mikrosegmentację sieci OT, a także zredagowania 1-stronicowego Executive Summary ("Pitch to Board") dla Zarządu Spółki z kalkulacją zwrotu z inwestycji (ROSI). Powiązanie z sylabusem i efektami kształcenia na ocenę 5.0: - Efekt W1: Zaawansowana znajomość Dyrektywy NIS2 dla łańcucha żywnościowego, Ustawy o produktach pochodzenia zwierzęcego, § 19 i § 20 rozporządzenia KRI, art. 28 i 32 RODO oraz art. 11 ZNKP. - Efekt W2, W3: Wyczerpująca znajomość norm ISO/IEC 27001:2022 (kontrole A.8.5, A.8.20, A.8.22), ISO 22301, standardów IFS Food v8 / BRC Food (Food Defense) oraz wytycznych PIW. - Efekt U1: Projekt inżynierski wdrożenia wodoszczelnych czytników zbliżeniowych RFID IP68 przy wagach, podziału sieci na VLAN_PROD i VLAN_BIURO oraz aneksowania umów DPA. - Efekt U2: Dekompozycja uchybień w kanonicznym modelu 4C i analiza RCA 5 Why powiązana z Diagramem Ishikawy dla 6 osi. - Efekt U3: Kwantyfikacja ryzyka w matrycy 5x5 dla zepsucia surowca w chłodni, cofnięcia certyfikacji IFS i utraty rynków eksportowych. - Efekt U4: Opracowanie kompletnego raportu poaudytowego (12-16 stron A4) z Trójfazowym Planem CAP, procedurą SOP (§ 1 do § 6) oraz Executive Summary "Pitch to Board". - Efekt K1, K2, K3: Obiektywizm, poszanowanie reżimów sanitarno-higienicznych i wysoka kultura argumentacji inżynierskiej przed Zarządem. - Powiązanie z wykładem: Wyk1 (Audyt w przemyśle spożywczym), Wyk2 (ISO 19011), Wyk3 (Kontrole A.8 ISO 27001), Wyk4 (NIS2 i KRI w łańcuchu żywności), Wyk5 (Matryca ryzyka 5x5 i BCM), Wyk7 (Model 4C, 5 Why, Ishikawa, CAP i ROSI).

Każda odpowiedź musi odwoływać się do kryterium audytowego: artykułu ustawy lub rozporządzenia, wytycznej organu nadzoru albo punktu kontrolnego normy. Podejście risk-based wymaga, aby każdy wektor zagrożenia otrzymał wyliczone ryzyko inherentne IR jako iloczyn P i S w skali 1-5 oraz ryzyko rezydualne RR po wdrożeniu kontroli planu CAP. Opis zagrożenia bez obu wartości, bez przypisania parametrów BCM i bez wskazania przyczyny źródłowej w analizie 5 Why nie zalicza punktacji. Ustalenia graduj wyłącznie jako NC1, NC2 albo OFI.

• Jawne hasła administratora na terminalach wagowych hali: Na obudowach 30 terminali wagowych w strefie mokrej i zimnej przyklejone były żółte karteczki samoprzylepne z loginem i hasłem administratora (`admin / waga2020`). Każdy pracownik fizyczny mógł dokonać modyfikacji tarowania wag oraz ingerować w numerację partii surowca w rejestrze traceability PIW.
• Brak separacji sieci automatyki od sieci biurowej: Sieć sterowników PLC linii przetwórczych pracowała w tej samej przestrzeni adresowej co komputery działu marketingu, kadr i fakturowania bez zapory sieciowej.
• Brak umów powierzenia przetwarzania danych z agencjami pracy: Przedsiębiorstwo nie posiadało aktualnych umów DPA (art. 28 RODO) z dwoma agencjami pracy tymczasowej, co stwarzało ryzyko odpowiedzialności za nielegalne przetwarzanie danych setek pracowników fizycznych.
• Szansa na doskonalenie (OFI): Wdrożenie przemysłowych identyfikatorów zbliżeniowych RFID IP68 zintegrowanych z odzieżą ochronną i systemem rejestracji czasu pracy.

Pytania problemowe wymagające odpowiedzi w raporcie

1. W jaki sposób zorganizować bezpieczne i ergonomiczne uwierzytelnianie operatorów maszyn w strefie mokrej i zimnej przemysłu spożywczego, eliminując jawne hasła?
2. Jakie konkretne wymagania techniczne dotyczące integralności danych nakłada § 19 i § 20 rozporządzenia KRI na systemy traceability współpracujące z Inspekcją Weterynaryjną?
3. W jaki sposób Dyrektywa NIS2 definiuje odpowiedzialność podmiotów sektora produkcji i dystrybucji żywności za bezpieczeństwo łańcucha dostaw?

Pytania kontrolne do weryfikacji ustaleń

• Uzasadnijcie, dlaczego ochrona tajemnicy receptur i parametrów technologicznych powinna być kwalifikowana jako kryterium odrębne od ochrony danych pracowników zatrudnianych sezonowo.
• Zaprojektujcie segregację sieci automatyki linii przetwórczych od sieci biurowej oraz sposób nadzorowanego dostępu serwisowego do sterowników.
• Wyliczcie RTO i RPO dla utraty zimnej łańcuch dostaw surowca rybnego i wskażcie, które partie należy zablokować proceduralnie.
• Sformułujcie trzy decyzje dla zarządu zakładu z podaniem kwoty, terminu w horyzoncie trzech faz CAP i wskaźnika KPI właściciela biznesowego.

Każda odpowiedź musi odwoływać się do kryterium audytowego: artykułu ustawy lub rozporządzenia, wytycznej organu nadzoru albo punktu kontrolnego normy. Podejście risk-based wymaga, aby każdy wektor zagrożenia otrzymał wyliczone ryzyko inherentne IR jako iloczyn P i S w skali 1-5 oraz ryzyko rezydualne RR po wdrożeniu kontroli planu CAP. Opis zagrożenia bez obu wartości, bez przypisania parametrów BCM i bez wskazania przyczyny źródłowej w analizie 5 Why nie zalicza punktacji. Ustalenia graduj wyłącznie jako NC1, NC2 albo OFI.

Najczęstsze błędy obniżające ocenę: powierzchowne zdefiniowanie modelu 4C, zatrzymanie analizy przyczyn na poziomie objawu technicznego bez 5 Why i diagramu Ishikawy, brak wyliczenia ryzyka rezydualnego RR w matrycy 5 × 5, pominięcie parametrów BCM (RTO, RPO, MTPD), plan CAP bez podziału trójfazowego (0-7, 30 i 90 dni) bez mierzalnych KPI i KRI, SOP zredagowany jako notatka zamiast projektu załącznika wykonawczego z ponumerowanymi paragrafami, Executive Summary bez kalkulacji ROSI albo sprawozdanie o objętości innej niż 12-16 stron A4 (3600-4800 słów przy 300 słów na stronę) i pasywne uczestnictwo w obronie przed Zarządem.

• Jednostronicowy Executive Summary "Pitch to Board" z co najmniej trzema decyzjami zarządczymi i kalkulacją ROSI.
• Karta organizacyjna analizowanej jednostki o co najmniej sześciu polach.
• Kanoniczna Karta Niezgodności 4C dla co najmniej trzech ustaleń, z rozdzieleniem Condition, Criteria, Cause i Consequence.
• Tabela matrycy ryzyka 5 × 5 z czterema wektorami, wartościami P, S, IR, P’, S’, RR oraz przypisaniem parametrów RTO, RPO i MTPD.
• Przypisanie każdemu wektorowi parametrów BCM, dla których ryzyko rezydualne RR zejmuje do strefy zielonej (1-7).
• Analiza przyczyn metodą 5 Why z wskazaniem przyczyny źródłowej oraz diagram Ishikawy z przypisaniem przyczyn do sześciu osi.
• Trójfazowy Plan Działań Korygujących CAP: Faza 1 (0-7 dni), Faza 2 (30 dni) i Faza 3 (90 dni) z matrycą RACI, właścicielami biznesowymi, KPI i KRI.
• Projekt załącznika wykonawczego (SOP) z sześcioma ponumerowanymi paragrafami i trybem sporu audytowego.
• Analiza kompromisów inżynierskich i biznesowych wraz z bilansem kosztu, obciążenia operacyjnego i ryzyka resztkowego.
• Bibliografia z numerami artykułów, paragrafów i punktów kontrolnych norm.
• Sprawozdanie o objętości 4-8 stron zamiast wymaganych 12-16 stron A4.
• Executive Summary zredagowane językiem czysto technicznym bez kalkulacji ryzyka biznesowego, finansowego i zwrotu z inwestycji.
• Plan CAP bez podziału trójfazowego albo bez mierzalnych wskaźników weryfikacji wdrożenia.
• Przypisanie przyczyn wyłącznie do kategorii „czynnik ludzki” z pominięciem decyzji zarządczych i systemowych.

Kanoniczna karta ustaleń w modelu 4C

Tabela zaawansowanej analizy ryzyka w matrycy 5 × 5

Parametry BCM powiązane z wektorami zagrożeń

Rozwinięcie parametrów z planu: RTO=1h dla linii ubojowej, RPO=15m, MTPD=6h dla chłodni

Trójfazowy plan działań korygujących (CAP) z matrycą RACI

Projekt załącznika wykonawczego (SOP) z sześcioma paragrafami

1. § 1.Cel i zakres procedury produkcyjnej
2. § 2.Parametry odpornościowe BCM dla linii przetwórczych i ciągłości chłodniczej
3. § 3.Zasady uwierzytelniania zbliżeniowego kartami RFID IP68 w odzieży sanitarno-ochronnej
4. § 4.Mikrosegmentacja sieci przemysłowej PLC/MES i reguły zapory NGFW
5. § 5.Procedura kontroli integralności danych wysyłanych do Powiatowego Inspektoratu Weterynarii
6. § 6.Odpowiedzialność dyscyplinarna i sankcje za udostępnianie kart RFID.

Zamknięcie audytu wymaga wskazania trybu sporu audytowego: spór uznany albo odstąpienie od sporu z uzasadnieniem, zanim raport trafi do Zarządu.

Jednostronicowe Podsumowanie Zarządcze (Executive Summary - "Pitch to Board") z wyliczeniem ROSI i bilansu ryzyk.

Dane wejściowe kalkulacji ROSI dla tego zadania

Kalkulator ROSI w module Executive Summary przyjmuje te wartości jako punkt wyjścia; skuteczność kontroli CAP i horyzont analizy student uzupełnia samodzielnie.

Najczęstsze błędy obniżające ocenę: powierzchowne zdefiniowanie modelu 4C, zatrzymanie analizy przyczyn na poziomie objawu technicznego bez 5 Why i diagramu Ishikawy, brak wyliczenia ryzyka rezydualnego RR w matrycy 5 × 5, pominięcie parametrów BCM (RTO, RPO, MTPD), plan CAP bez podziału trójfazowego (0-7, 30 i 90 dni) bez mierzalnych KPI i KRI, SOP zredagowany jako notatka zamiast projektu załącznika wykonawczego z ponumerowanymi paragrafami, Executive Summary bez kalkulacji ROSI albo sprawozdanie o objętości innej niż 12-16 stron A4 (3600-4800 słów przy 300 słów na stronę) i pasywne uczestnictwo w obronie przed Zarządem.

• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (Dyrektywa NIS2) - podmioty ważne w produkcji i przetwórstwie żywności.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 5, 28, 32, 82, 83.
• Ustawa z dnia 16 grudnia 2005 r. o produktach pochodzenia zwierzęcego (Dz.U. z 2023 r. poz. 872 z późn. zm.) - traceability weterynaryjne.
• Ustawa z dnia 16 kwietnia 1993 r. o zwalczaniu nieuczciwej konkurencji (tekst jedn. Dz.U. z 2026 r. poz. 85) - art. 11 (tajemnica przedsiębiorstwa) - art. 11 (Tajemnica przedsiębiorstwa).
• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (Dz.U. z 2024 r. poz. 773) - § 19 oraz § 20.
• Norma PN-EN ISO/IEC 27001:2022: Systemy zarządzania bezpieczeństwem informacji.
• IFS Management GmbH: "IFS Food Standard version 8 - Audit Requirements for Food Defense and Cybersecurity", Berlin 2023.

Wspólna bibliografia wariantu 5.0

• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjnych, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (tekst jedn. Dz.U. z 2024 r. poz. 773) – § 19 (wymagania dotyczące systemu zarządzania bezpieczeństwem informacji, w tym okresowy audyt wewnętrzny nie rzadziej niż raz na rok) oraz § 20 (rozliczalność i dzienniki systemów).
• Ustawa z dnia 6 czerwca 1997 r. – Kodeks karny (tekst jedn. Dz.U. z 2025 r. poz. 383) – art. 98, art. 160, art. 231, art. 266, art. 268a, art. 269a i art. 270.
• Ustawa z dnia 12 listopada 2017 r. o Krajowym Systemie Cyberbezpieczeństwa (tekst jedn. Dz.U. z 2026 r. poz. 20) – art. 8 (środki zarządzania ryzykiem i zabezpieczenia) oraz art. 15 (audyt bezpieczeństwa).
• Ustawa z dnia 15 maja 2019 r. – Prawo o adwokaturze (tekst jedn. Dz.U. z 2024 r. poz. 1564) – art. 19 (tajemnica adwokacka).
• Ustawa z dnia 15 września 2000 r. o radcach prawnych (tekst jedn. Dz.U. z 2024 r. poz. 499) – art. 3 (tajemnica zawodowa radcy prawnego).
• Ustawa z dnia 11 maja 2017 r. o zwalczaniu nieuczciwej konkurencji (tekst jedn. Dz.U. z 2026 r. poz. 85) – art. 11 (tajemnica przedsiębiorstwa).
• Ustawa z dnia 19 sierpnia 2011 r. o usługach płatniczych (tekst jedn. Dz.U. z 2026 r. poz. 623) – art. 50 (system zarządzania ryzykiem operacyjnym).
• Ustawa z dnia 6 września 2001 r. – Prawo bankowe (tekst jedn. Dz.U. z 2026 r. poz. 38) – art. 104 (zarządzanie ryzykiem).
• Ustawa z dnia 13 października 2022 r. o obrocie paliwami opałowymi (tekst jedn. Dz.U. z 2024 r. poz. 1218) – obowiązki operatora infrastruktury paliwowej i systemu teleinformatycznego. W logistyce sENT oznacza System Elektronicznego Transportu Drogowego, a nie system nadzoru nad obrotem paliwami.
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. (dyrektywa NIS2) – art. 21, art. 21 ust. 2 lit. c i d oraz art. 23.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) – art. 5, 9, 11, 28, 32, 33, 34, 82 i 83.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyjrowego sektora finansowego (DORA) – art. 5, 8 i 35.
• Standard PCI DSS v4.0.1 – wymagania 3.3, 6.4 i 11.3 (szyfrowanie transmisji uwierzytelniającej i zarządzanie dostępem do aplikacji bramki płatniczej).
• Norma ISO/IEC 27001:2022 – Załącznik A: 5.1, 5.15, 5.18, 5.23, 8.12, 8.13, 8.14 i 8.15.

Schemat strategicznego audytu instytucji płatniczej: bramka płatności i kryptoizolacja API, kryptoizolacja API, model 4C, matryca ryzyka 5x5 z BCM, cykl SSDLC i obrona przed Zarządem.

Głównym celem zadania na ocenę bardzo dobrą (5.0) jest opanowanie przez studentów zaawansowanych kompetencji w zakresie audytowania strategicznej odporności operacyjnej i bezpieczeństwa kryptograficznego w licencjonowanej Krajowej Instytucji Płatniczej (KIP) podlegającej równolegle Rozporządzeniu DORA, standardowi bezpieczeństwa danych kartowych PCI DSS v4.0, ogólnemu rozporządzeniu o ochronie danych (RODO) oraz wymogom Krajowych Ram Interoperacyjności (§ 19 i § 20 rozporządzenia KRI dla instytucji integrujących rejestry publiczne z systemami płatności). Studenci badają stan bezpieczeństwa FinTech PayQuick Sp. z o.o. w Warszawie. Zadanie wymaga: sporządzenia kanonicznej Karty Ustaleń Audytowych w modelu 4C dla krytycznej podatności Broken Object Level Authorization (BOLA / IDOR CVSS 8.5) w publicznym API transakcyjnym oraz przechowywania niezaszyfrowanych skanów dowodów tożsamości KYC w zasobniku AWS S3, wyliczenia ryzyka w 25-stopniowej matrycy 5x5 powiązanej ze wskaźnikami BCM (RTO=15m dla bramki, RPO=0s, MTPD=1h), opracowania Trójfazowego Planu Działań Korygujących (CAP) ze wskaźnikami KPI i KRI, sformułowania pełnego projektu Załącznika Wykonawczego (SOP) regulującego bezpieczny cyklu wytwarzania oprogramowania (Secure SDLC), autoryzację obiektową OAuth2/OIDC oraz szyfrowanie danych KYC kluczem AWS KMS HSM, a także zredagowania 1-stronicowego Executive Summary ("Pitch to Board") dla Zarządu i Inwestorów z kalkulacją zwrotu z inwestycji (ROSI). Powiązanie z sylabusem i efektami kształcenia na ocenę 5.0: - Efekt W1: Zaawansowana znajomość Rozporządzenia DORA, standardu PCI DSS v4.0, Ustawy o usługach płatniczych, art. 32 RODO, Ustawy o przeciwdziałaniu praniu pieniędzy (AML/KYC) oraz § 19 i § 20 rozporządzenia KRI. - Efekt W2, W3: Wyczerpująca znajomość norm ISO/IEC 27001:2022 (kontrole A.8.24, A.8.28, A.8.29), ISO 22301, wytycznych OWASP API Security Top 10 oraz wytycznych KNF dla fintechów. - Efekt U1: Projekt inżynierski architektury autoryzacji obiektowej na bramce API Gateway, potoku DevSecOps z bramkami SAST/DAST oraz bezpiecznego magazynu KYC w chmurze AWS z HSM. - Efekt U2: Dekompozycja uchybień w kanonicznym modelu 4C i analiza RCA 5 Why powiązana z Diagramem Ishikawy dla 6 osi. - Efekt U3: Kwantyfikacja ryzyka w matrycy 5x5 dla kradzieży danych kartowych, utraty licencji KIP nadanej przez KNF i kar nadzorczych. - Efekt U4: Opracowanie kompletnego raportu poaudytowego (12-16 stron A4) z Trójfazowym Planem CAP, procedurą SOP (§ 1 do § 6) oraz Executive Summary "Pitch to Board". - Efekt K1, K2, K3: Niezależność audytorska, odporność na presję inwestorów venture capital i bezkompromisowa dbałość o standardy finansowe. - Powiązanie z wykładem: Wyk1 (Audyt w fintechu), Wyk2 (ISO 19011), Wyk3 (Kontrole A.8 ISO 27001), Wyk4 (DORA, PCI DSS i RODO w płatnościach), Wyk5 (Matryca ryzyka 5x5 i BCM), Wyk7 (Model 4C, 5 Why, Ishikawa, CAP i ROSI).

Każda odpowiedź musi odwoływać się do kryterium audytowego: artykułu ustawy lub rozporządzenia, wytycznej organu nadzoru albo punktu kontrolnego normy. Podejście risk-based wymaga, aby każdy wektor zagrożenia otrzymał wyliczone ryzyko inherentne IR jako iloczyn P i S w skali 1-5 oraz ryzyko rezydualne RR po wdrożeniu kontroli planu CAP. Opis zagrożenia bez obu wartości, bez przypisania parametrów BCM i bez wskazania przyczyny źródłowej w analizie 5 Why nie zalicza punktacji. Ustalenia graduj wyłącznie jako NC1, NC2 albo OFI.

• Krytyczna podatność Broken Object Level Authorization (BOLA / IDOR CVSS 8.5) w produkcyjnym API płatniczym: Podczas audytu technicznego ujawniono, że manipulacja parametrem `transaction_id` w zapytaniu HTTP GET `/api/v2/transactions/{id}` pozwalała uwierzytelnionemu użytkownikowi na odczyt pełnych danych obcych transakcji kartowych (zamaskowany PAN, dane posiadacza karty, data ważności, kwota i adres e-mail).
• Nieszyfrowany magazyn skanów dokumentów tożsamości KYC w AWS S3: Skany dowodów osobistych i paszportów klientów gromadzone w ramach procedury Anti-Money Laundering (AML) przechowywane były w zasobniku Amazon S3 bez wdrożonego szyfrowania kluczem zarządzanym w sprzętowym module HSM (AWS KMS) i z publicznie dostępnym punktem końcowym chronionym jedynie statycznym tokenem API.
• Brak automatycznych bramek bezpieczeństwa w potoku wdrożeniowym CI/CD: W zespole deweloperskim wdrożenia nowych wersji oprogramowania odbywały się bez automatycznych testów bezpieczeństwa kodu (SAST) oraz bez weryfikacji znanych podatności w bibliotekach open-source (SCA), co skutkowało trafianiem podatności bezpośrednio na produkcję.
• Szansa na doskonalenie (OFI): Wdrożenie polityki zerowego zaufania (Zero Trust Architecture) oraz mTLS w komunikacji pomiędzy mikroserwisami.

Pytania problemowe wymagające odpowiedzi w raporcie

1. W jaki sposób zaimplementować architekturę autoryzacji obiektowej (Object-Level Authorization) w środowisku rozproszonych mikroserwisów, aby trwale wyeliminować podatności IDOR/BOLA?
2. Jakie konkretne wymagania techniczne dotyczące zarządzania kluczami kryptograficznymi stawia standard PCI DSS 4.0 i jak zrealizować je w chmurze AWS przy użyciu dedykowanego modułu HSM?
3. W jaki sposób Rozporządzenie DORA wymusza integrację testów bezpieczeństwa ICT z procesami ciągłej integracji i wdrażania oprogramowania (CI/CD)?

Pytania kontrolne do weryfikacji ustaleń

• Przetłumaczcie podatność BOLA/IDOR w produkcyjnym API płatniczym na ryzyko utraty licencji instytucji płatniczej, nadając wartości P, S, IR i RR oraz wskazując kontrole redukujące ryzyko do strefy zielonej.
• Uzasadnijcie kryptoizolację skanów KYC w chmurze i wskażcie, dlaczego brak kontroli szyfrowania w miejscu narusza obowiązki wynikające z art. 32 RODO oraz PCI DSS.
• Zaprojektujcie bramki bezpieczeństwa w potoku CI/CD, które blokują wdrożenie z podatnością krytyczną, i określcie ich wpływ na tempo wydań produktowych.
• Policzcie ROSI dla scenariusza utraty licencji i przedstawicie komitetowi audytu trzy decyzje z terminami w fazach 0-7, 30 i 90 dni.

Każda odpowiedź musi odwoływać się do kryterium audytowego: artykułu ustawy lub rozporządzenia, wytycznej organu nadzoru albo punktu kontrolnego normy. Podejście risk-based wymaga, aby każdy wektor zagrożenia otrzymał wyliczone ryzyko inherentne IR jako iloczyn P i S w skali 1-5 oraz ryzyko rezydualne RR po wdrożeniu kontroli planu CAP. Opis zagrożenia bez obu wartości, bez przypisania parametrów BCM i bez wskazania przyczyny źródłowej w analizie 5 Why nie zalicza punktacji. Ustalenia graduj wyłącznie jako NC1, NC2 albo OFI.

Najczęstsze błędy obniżające ocenę: powierzchowne zdefiniowanie modelu 4C, zatrzymanie analizy przyczyn na poziomie objawu technicznego bez 5 Why i diagramu Ishikawy, brak wyliczenia ryzyka rezydualnego RR w matrycy 5 × 5, pominięcie parametrów BCM (RTO, RPO, MTPD), plan CAP bez podziału trójfazowego (0-7, 30 i 90 dni) bez mierzalnych KPI i KRI, SOP zredagowany jako notatka zamiast projektu załącznika wykonawczego z ponumerowanymi paragrafami, Executive Summary bez kalkulacji ROSI albo sprawozdanie o objętości innej niż 12-16 stron A4 (3600-4800 słów przy 300 słów na stronę) i pasywne uczestnictwo w obronie przed Zarządem.

• Jednostronicowy Executive Summary "Pitch to Board" z co najmniej trzema decyzjami zarządczymi i kalkulacją ROSI.
• Karta organizacyjna analizowanej jednostki o co najmniej sześciu polach.
• Kanoniczna Karta Niezgodności 4C dla co najmniej trzech ustaleń, z rozdzieleniem Condition, Criteria, Cause i Consequence.
• Tabela matrycy ryzyka 5 × 5 z czterema wektorami, wartościami P, S, IR, P’, S’, RR oraz przypisaniem parametrów RTO, RPO i MTPD.
• Przypisanie każdemu wektorowi parametrów BCM, dla których ryzyko rezydualne RR zejmuje do strefy zielonej (1-7).
• Analiza przyczyn metodą 5 Why z wskazaniem przyczyny źródłowej oraz diagram Ishikawy z przypisaniem przyczyn do sześciu osi.
• Trójfazowy Plan Działań Korygujących CAP: Faza 1 (0-7 dni), Faza 2 (30 dni) i Faza 3 (90 dni) z matrycą RACI, właścicielami biznesowymi, KPI i KRI.
• Projekt załącznika wykonawczego (SOP) z sześcioma ponumerowanymi paragrafami i trybem sporu audytowego.
• Analiza kompromisów inżynierskich i biznesowych wraz z bilansem kosztu, obciążenia operacyjnego i ryzyka resztkowego.
• Bibliografia z numerami artykułów, paragrafów i punktów kontrolnych norm.
• Sprawozdanie o objętości 4-8 stron zamiast wymaganych 12-16 stron A4.
• Executive Summary zredagowane językiem czysto technicznym bez kalkulacji ryzyka biznesowego, finansowego i zwrotu z inwestycji.
• Plan CAP bez podziału trójfazowego albo bez mierzalnych wskaźników weryfikacji wdrożenia.
• Przypisanie przyczyn wyłącznie do kategorii „czynnik ludzki” z pominięciem decyzji zarządczych i systemowych.

Kanoniczna karta ustaleń w modelu 4C

Tabela zaawansowanej analizy ryzyka w matrycy 5 × 5

Parametry BCM powiązane z wektorami zagrożeń

Rozwinięcie parametrów z planu: RTO=15m dla bramki, RPO=0s, MTPD=1h

Trójfazowy plan działań korygujących (CAP) z matrycą RACI

Projekt załącznika wykonawczego (SOP) z sześcioma paragrafami

1. § 1.Cel i zakres procedury technologicznej
2. § 2.Parametry odpornościowe BCM dla procesowania płatności online
3. § 3.Obowiązkowe etapy i bramki jakościowe bezpieczeństwa w potoku CI/CD (SAST/DAST/SCA)
4. § 4.Standardy autoryzacji obiektowej API Gateway (OAuth2, OIDC, walidacja JWT)
5. § 5.Zasady kryptoizolacji danych tożsamości KYC w chmurze AWS przy użyciu KMS HSM
6. § 6.Odpowiedzialność dyscyplinarna i nadzór Komitetu Bezpieczeństwa Płatności.

Zamknięcie audytu wymaga wskazania trybu sporu audytowego: spór uznany albo odstąpienie od sporu z uzasadnieniem, zanim raport trafi do Zarządu.

Jednostronicowe Podsumowanie Zarządcze (Executive Summary - "Pitch to Board") z wyliczeniem ROSI i bilansu ryzyk.

Dane wejściowe kalkulacji ROSI dla tego zadania

Kalkulator ROSI w module Executive Summary przyjmuje te wartości jako punkt wyjścia; skuteczność kontroli CAP i horyzont analizy student uzupełnia samodzielnie.

Najczęstsze błędy obniżające ocenę: powierzchowne zdefiniowanie modelu 4C, zatrzymanie analizy przyczyn na poziomie objawu technicznego bez 5 Why i diagramu Ishikawy, brak wyliczenia ryzyka rezydualnego RR w matrycy 5 × 5, pominięcie parametrów BCM (RTO, RPO, MTPD), plan CAP bez podziału trójfazowego (0-7, 30 i 90 dni) bez mierzalnych KPI i KRI, SOP zredagowany jako notatka zamiast projektu załącznika wykonawczego z ponumerowanymi paragrafami, Executive Summary bez kalkulacji ROSI albo sprawozdanie o objętości innej niż 12-16 stron A4 (3600-4800 słów przy 300 słów na stronę) i pasywne uczestnictwo w obronie przed Zarządem.

• PCI Security Standards Council: Payment Card Industry Data Security Standard (PCI DSS) Requirements and Testing Procedures v4.0, 2022.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 w sprawie operacyjnej odporności cyfrowej sektora finansowego (DORA).
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (Dyrektywa NIS2) - sektor infrastruktury rynków finansowych.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 32, 82, 83.
• Ustawa z dnia 19 sierpnia 2011 r. o usługach płatniczych (tekst jedn. Dz.U. z 2026 r. poz. 623) - status Krajowej Instytucji Płatniczej.
• Norma PN-EN ISO/IEC 27001:2022: Systemy zarządzania bezpieczeństwem informacji.
• OWASP Foundation: "OWASP API Security Top 10", 2023.

Wspólna bibliografia wariantu 5.0

• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjnych, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (tekst jedn. Dz.U. z 2024 r. poz. 773) – § 19 (wymagania dotyczące systemu zarządzania bezpieczeństwem informacji, w tym okresowy audyt wewnętrzny nie rzadziej niż raz na rok) oraz § 20 (rozliczalność i dzienniki systemów).
• Ustawa z dnia 6 czerwca 1997 r. – Kodeks karny (tekst jedn. Dz.U. z 2025 r. poz. 383) – art. 98, art. 160, art. 231, art. 266, art. 268a, art. 269a i art. 270.
• Ustawa z dnia 12 listopada 2017 r. o Krajowym Systemie Cyberbezpieczeństwa (tekst jedn. Dz.U. z 2026 r. poz. 20) – art. 8 (środki zarządzania ryzykiem i zabezpieczenia) oraz art. 15 (audyt bezpieczeństwa).
• Ustawa z dnia 15 maja 2019 r. – Prawo o adwokaturze (tekst jedn. Dz.U. z 2024 r. poz. 1564) – art. 19 (tajemnica adwokacka).
• Ustawa z dnia 15 września 2000 r. o radcach prawnych (tekst jedn. Dz.U. z 2024 r. poz. 499) – art. 3 (tajemnica zawodowa radcy prawnego).
• Ustawa z dnia 11 maja 2017 r. o zwalczaniu nieuczciwej konkurencji (tekst jedn. Dz.U. z 2026 r. poz. 85) – art. 11 (tajemnica przedsiębiorstwa).
• Ustawa z dnia 19 sierpnia 2011 r. o usługach płatniczych (tekst jedn. Dz.U. z 2026 r. poz. 623) – art. 50 (system zarządzania ryzykiem operacyjnym).
• Ustawa z dnia 6 września 2001 r. – Prawo bankowe (tekst jedn. Dz.U. z 2026 r. poz. 38) – art. 104 (zarządzanie ryzykiem).
• Ustawa z dnia 13 października 2022 r. o obrocie paliwami opałowymi (tekst jedn. Dz.U. z 2024 r. poz. 1218) – obowiązki operatora infrastruktury paliwowej i systemu teleinformatycznego. W logistyce sENT oznacza System Elektronicznego Transportu Drogowego, a nie system nadzoru nad obrotem paliwami.
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. (dyrektywa NIS2) – art. 21, art. 21 ust. 2 lit. c i d oraz art. 23.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) – art. 5, 9, 11, 28, 32, 33, 34, 82 i 83.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyjrowego sektora finansowego (DORA) – art. 5, 8 i 35.
• Standard PCI DSS v4.0.1 – wymagania 3.3, 6.4 i 11.3 (szyfrowanie transmisji uwierzytelniającej i zarządzanie dostępem do aplikacji bramki płatniczej).
• Norma ISO/IEC 27001:2022 – Załącznik A: 5.1, 5.15, 5.18, 5.23, 8.12, 8.13, 8.14 i 8.15.

Schemat strategicznego audytu kancelarii prawnej: ochrona tajemnicy zawodowej i pracy hybrydowej, model 4C, matryca ryzyka 5x5 z BCM, kryptoizolacja akt i obrona przed Partnerami.

Głównym celem zadania na ocenę bardzo dobrą (5.0) jest opanowanie przez studentów zaawansowanych kompetencji audytowania bezpieczeństwa informacji w podmiocie przetwarzającym dane objęte tajemnicą prawnie chronioną (tajemnica adwokacka, radcowska i obrończa) w świetle przepisów Ustawy - Prawo o adwokaturze, art. 266 Kodeksu Karnego, ogólnego rozporządzenia o ochronie danych (RODO), Dyrektywy NIS2 (jako kluczowy podmiot łańcucha doradczego spółek strategicznych) oraz wymogów bezpiecznej komunikacji z portalami sądów powszechnych (§ 19 i § 20 rozporządzenia KRI). Studenci badają stan bezpieczeństwa Kancelarii Prawnej ProKancelaria w Katowicach. Zadanie wymaga: sporządzenia kanonicznej Karty Ustaleń Audytowych w modelu 4C dla braku szyfrowania dysków twardych BitLocker/FileVault na 32 laptopach mobilnych przewożących akta spraw karnych oraz przesyłania dokumentów przez konsumenckie chmury (WeTransfer, Google Drive) bez umów DPA, wyliczenia ryzyka w 25-stopniowej matrycy 5x5 powiązanej ze wskaźnikami BCM (RTO=2h, RPO=1h, MTPD=12h), opracowania Trójfazowego Planu Działań Korygujących (CAP) ze wskaźnikami KPI i KRI, sformułowania pełnego projektu Załącznika Wykonawczego (SOP) regulującego kryptoizolację akt, bezpieczną platformę wymiany plików z szyfrowaniem end-to-end (E2EE) oraz zarządzanie urządzeniami mobilnymi MDM z funkcją Remote Wipe, a także zredagowania 1-stronicowego Executive Summary ("Pitch to Board") dla Partnerów Zarządzających z kalkulacją zwrotu z inwestycji (ROSI) i analizą odpowiedzialności karnej z art. 266 KK. Powiązanie z sylabusem i efektami kształcenia na ocenę 5.0: - Efekt W1: Zaawansowana znajomość Prawa o adwokaturze, art. 266 KK (naruszenie tajemnicy zawodowej), art. 9 i 32 RODO, Dyrektywy NIS2 dla usług profesjonalnych oraz § 19 i § 20 rozporządzenia KRI. - Efekt W2, W3: Wyczerpująca znajomość norm ISO/IEC 27001:2022 (kontrole A.5.14, A.8.1, A.8.24), ISO 22301 oraz Kodeksu Etyki Adwokackiej. - Efekt U1: Projekt inżynierski centralnego wdrażania szyfrowania BitLocker z kluczami w Microsoft Entra ID, firmowej chmury Nextcloud z E2EE oraz wymuszenia wieloskładnikowego uwierzytelniania MFA. - Efekt U2: Dekompozycja uchybień w kanonicznym modelu 4C i analiza RCA 5 Why powiązana z Diagramem Ishikawy dla 6 osi. - Efekt U3: Kwantyfikacja ryzyka w matrycy 5x5 dla kradzieży akt spraw fuzji giełdowych (Insider Trading), odpowiedzialności dyscyplinarnej ORA i kar UODO. - Efekt U4: Opracowanie kompletnego raportu poaudytowego (12-16 stron A4) z Trójfazowym Planem CAP, procedurą SOP (§ 1 do § 6) oraz Executive Summary "Pitch to Board". - Efekt K1, K2, K3: Bezwzględna etyka, kultura zachowania poufności, niezależność audytorska i wysoka kultura perswazji prawniczej. - Powiązanie z wykładem: Wyk1 (Poufność w usługach prawnych), Wyk2 (ISO 19011), Wyk3 (Kontrole A.5 i A.8 ISO 27001), Wyk4 (RODO i ochrona tajemnic zawodowych), Wyk5 (Matryca ryzyka 5x5 i BCM), Wyk7 (Model 4C, 5 Why, Ishikawa, CAP i ROSI).

Każda odpowiedź musi odwoływać się do kryterium audytowego: artykułu ustawy lub rozporządzenia, wytycznej organu nadzoru albo punktu kontrolnego normy. Podejście risk-based wymaga, aby każdy wektor zagrożenia otrzymał wyliczone ryzyko inherentne IR jako iloczyn P i S w skali 1-5 oraz ryzyko rezydualne RR po wdrożeniu kontroli planu CAP. Opis zagrożenia bez obu wartości, bez przypisania parametrów BCM i bez wskazania przyczyny źródłowej w analizie 5 Why nie zalicza punktacji. Ustalenia graduj wyłącznie jako NC1, NC2 albo OFI.

• Brak pełnego szyfrowania dysków twardych na laptopach mobilnych: Na 32 spośród 45 laptopów służbowych funkcja BitLocker/FileVault była wyłączona. Prawnicy transportowali laptopy bez haseł BIOS/UEFI, a na pulpitach znajdowały się niezaszyfrowane akta spraw karnych zawierające dane szczególnych kategorii (art. 9 RODO) oraz materiały objęte bezwzględną tajemnicą obrończą.
• Masowe przesyłanie akt procesowych przez konsumenckie dyski chmurowe: Z powodu ograniczeń rozmiaru załączników poczty e-mail (limit 20 MB), prawnicy przesyłali tomy akt procesowych o wielkości kilkunastu gigabajtów przez bezpłatne serwisy WeTransfer i Dropbox z prywatnych kont, bez zawierania umów powierzenia przetwarzania danych i bez haseł szyfrujących.
• Brak wieloskładnikowego uwierzytelniania w pracy zdalnej: Logowanie do poczty kancelaryjnej i bazy akt odbywało się za pomocą pojedynczego hasła o długości 8 znaków bez MFA, co umożliwiło przejęcie konta jednego z aplikantów przez atak credential stuffing.
• Szansa na doskonalenie (OFI): Wdrożenie systemu klasy Mobile Device Management (MDM / Microsoft Intune) umożliwiającego zdalne wyczyszczenie pamięci skradzionego laptopa (Remote Wipe).

Pytania problemowe wymagające odpowiedzi w raporcie

1. W jaki sposób audytor powinien wykazać adwokatom i radcom prawnym, że brak szyfrowania laptopa stanowi bezpośrednie naruszenie tajemnicy zawodowej podlegające sankcjom karnym z art. 266 KK?
2. Jakie konkretne rozwiązania technologiczne (np. chmura dedykowana z szyfrowaniem kluczem sprzętowym) pozwalają na bezpieczną wymianę wielogigabajtowych akt procesowych zgodnie z art. 32 RODO?
3. W jaki sposób wymusić wieloskładnikowe uwierzytelnianie MFA w pracy mobilnej, zachowując wysoką ergonomię pracy prawników na salach sądowych?

Pytania kontrolne do weryfikacji ustaleń

• Wyjaśnijcie, dlaczego bezwzględna tajemnica obrotu kancelaryjnego wzmacnia obowiązki wynikające z art. 32 RODO, i jak to przełożyć na wymagania wobec dostawców usług przetwarzania.
• Uzasadnijcie kryptoizolację akt procesowych na nośnikach zewnętrznych i wskażcie mechanizm egzekwowania zakazu przechowywania akt w konsumenckich usługach chmurowych.
• Opracujcie politykę pracy hybrydowej z klasyfikacją spraw i poziomem ochrony każdej kategorii, uwzględniając obowiązek zachowania tajemnicy zawodowej.
• Przedstawicie trzy decyzje dla Partnera zarządzającego z podaniem kosztu, terminu i wskaźnika potwierdzającego skuteczność wdrożenia.

Każda odpowiedź musi odwoływać się do kryterium audytowego: artykułu ustawy lub rozporządzenia, wytycznej organu nadzoru albo punktu kontrolnego normy. Podejście risk-based wymaga, aby każdy wektor zagrożenia otrzymał wyliczone ryzyko inherentne IR jako iloczyn P i S w skali 1-5 oraz ryzyko rezydualne RR po wdrożeniu kontroli planu CAP. Opis zagrożenia bez obu wartości, bez przypisania parametrów BCM i bez wskazania przyczyny źródłowej w analizie 5 Why nie zalicza punktacji. Ustalenia graduj wyłącznie jako NC1, NC2 albo OFI.

Najczęstsze błędy obniżające ocenę: powierzchowne zdefiniowanie modelu 4C, zatrzymanie analizy przyczyn na poziomie objawu technicznego bez 5 Why i diagramu Ishikawy, brak wyliczenia ryzyka rezydualnego RR w matrycy 5 × 5, pominięcie parametrów BCM (RTO, RPO, MTPD), plan CAP bez podziału trójfazowego (0-7, 30 i 90 dni) bez mierzalnych KPI i KRI, SOP zredagowany jako notatka zamiast projektu załącznika wykonawczego z ponumerowanymi paragrafami, Executive Summary bez kalkulacji ROSI albo sprawozdanie o objętości innej niż 12-16 stron A4 (3600-4800 słów przy 300 słów na stronę) i pasywne uczestnictwo w obronie przed Zarządem.

• Jednostronicowy Executive Summary "Pitch to Board" z co najmniej trzema decyzjami zarządczymi i kalkulacją ROSI.
• Karta organizacyjna analizowanej jednostki o co najmniej sześciu polach.
• Kanoniczna Karta Niezgodności 4C dla co najmniej trzech ustaleń, z rozdzieleniem Condition, Criteria, Cause i Consequence.
• Tabela matrycy ryzyka 5 × 5 z czterema wektorami, wartościami P, S, IR, P’, S’, RR oraz przypisaniem parametrów RTO, RPO i MTPD.
• Przypisanie każdemu wektorowi parametrów BCM, dla których ryzyko rezydualne RR zejmuje do strefy zielonej (1-7).
• Analiza przyczyn metodą 5 Why z wskazaniem przyczyny źródłowej oraz diagram Ishikawy z przypisaniem przyczyn do sześciu osi.
• Trójfazowy Plan Działań Korygujących CAP: Faza 1 (0-7 dni), Faza 2 (30 dni) i Faza 3 (90 dni) z matrycą RACI, właścicielami biznesowymi, KPI i KRI.
• Projekt załącznika wykonawczego (SOP) z sześcioma ponumerowanymi paragrafami i trybem sporu audytowego.
• Analiza kompromisów inżynierskich i biznesowych wraz z bilansem kosztu, obciążenia operacyjnego i ryzyka resztkowego.
• Bibliografia z numerami artykułów, paragrafów i punktów kontrolnych norm.
• Sprawozdanie o objętości 4-8 stron zamiast wymaganych 12-16 stron A4.
• Executive Summary zredagowane językiem czysto technicznym bez kalkulacji ryzyka biznesowego, finansowego i zwrotu z inwestycji.
• Plan CAP bez podziału trójfazowego albo bez mierzalnych wskaźników weryfikacji wdrożenia.
• Przypisanie przyczyn wyłącznie do kategorii „czynnik ludzki” z pominięciem decyzji zarządczych i systemowych.

Kanoniczna karta ustaleń w modelu 4C

Tabela zaawansowanej analizy ryzyka w matrycy 5 × 5

Parametry BCM powiązane z wektorami zagrożeń

Trójfazowy plan działań korygujących (CAP) z matrycą RACI

Projekt załącznika wykonawczego (SOP) z sześcioma paragrafami

1. § 1.Cel i zakres procedury korporacyjno-prawnej
2. § 2.Bezwzględny obowiązek pełnego szyfrowania nośników (BitLocker/FileVault)
3. § 3.Zasady bezpiecznej transmisji pism procesowych (zakaz konsumenckich chmur, platforma E2EE)
4. § 4.Wymagania wieloskładnikowego uwierzytelniania MFA i procedury pracy w sądach i podróży
5. § 5.Procedura postępowania w przypadku utraty urządzenia (zgłoszenie w 1h, zdalny Remote Wipe)
6. § 6.Odpowiedzialność korporacyjna, dyscyplinarna i karna z art. 266 KK.

Zamknięcie audytu wymaga wskazania trybu sporu audytowego: spór uznany albo odstąpienie od sporu z uzasadnieniem, zanim raport trafi do Zarządu.

Jednostronicowe Podsumowanie Zarządcze (Executive Summary - "Pitch to Board") z wyliczeniem ROSI i bilansu ryzyk.

Dane wejściowe kalkulacji ROSI dla tego zadania

Kalkulator ROSI w module Executive Summary przyjmuje te wartości jako punkt wyjścia; skuteczność kontroli CAP i horyzont analizy student uzupełnia samodzielnie.

Najczęstsze błędy obniżające ocenę: powierzchowne zdefiniowanie modelu 4C, zatrzymanie analizy przyczyn na poziomie objawu technicznego bez 5 Why i diagramu Ishikawy, brak wyliczenia ryzyka rezydualnego RR w matrycy 5 × 5, pominięcie parametrów BCM (RTO, RPO, MTPD), plan CAP bez podziału trójfazowego (0-7, 30 i 90 dni) bez mierzalnych KPI i KRI, SOP zredagowany jako notatka zamiast projektu załącznika wykonawczego z ponumerowanymi paragrafami, Executive Summary bez kalkulacji ROSI albo sprawozdanie o objętości innej niż 12-16 stron A4 (3600-4800 słów przy 300 słów na stronę) i pasywne uczestnictwo w obronie przed Zarządem.

• Ustawa z dnia 26 maja 1982 r. - Prawo o adwokaturze (tekst jedn. Dz.U. z 2024 r. poz. 1564) - art. 19 (tajemnica adwokacka).
• Ustawa z dnia 6 lipca 1982 r. o radcach prawnych (tekst jedn. Dz.U. z 2024 r. poz. 499) - art. 3 (tajemnica zawodowa radcy prawnego).
• Ustawa z dnia 6 czerwca 1997 r. - Kodeks Karny (tekst jedn. Dz.U. z 2025 r. poz. 383) - art. 266 (Naruszenie tajemnicy zawodowej).
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 5, 9, 28, 32, 82, 83.
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (Dyrektywa NIS2) - sektor usług profesjonalnych.
• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (Dz.U. z 2024 r. poz. 773) - § 19 oraz § 20.
• Norma PN-EN ISO/IEC 27001:2022: Systemy zarządzania bezpieczeństwem informacji.
• Naczelna Rada Adwokacka: "Zbiór Zasad Etyki Adwokackiej i Godności Zawodu (Kodeks Etyki Adwokackiej)", Warszawa 2023.

Wspólna bibliografia wariantu 5.0

• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjnych, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (tekst jedn. Dz.U. z 2024 r. poz. 773) – § 19 (wymagania dotyczące systemu zarządzania bezpieczeństwem informacji, w tym okresowy audyt wewnętrzny nie rzadziej niż raz na rok) oraz § 20 (rozliczalność i dzienniki systemów).
• Ustawa z dnia 6 czerwca 1997 r. – Kodeks karny (tekst jedn. Dz.U. z 2025 r. poz. 383) – art. 98, art. 160, art. 231, art. 266, art. 268a, art. 269a i art. 270.
• Ustawa z dnia 12 listopada 2017 r. o Krajowym Systemie Cyberbezpieczeństwa (tekst jedn. Dz.U. z 2026 r. poz. 20) – art. 8 (środki zarządzania ryzykiem i zabezpieczenia) oraz art. 15 (audyt bezpieczeństwa).
• Ustawa z dnia 15 maja 2019 r. – Prawo o adwokaturze (tekst jedn. Dz.U. z 2024 r. poz. 1564) – art. 19 (tajemnica adwokacka).
• Ustawa z dnia 15 września 2000 r. o radcach prawnych (tekst jedn. Dz.U. z 2024 r. poz. 499) – art. 3 (tajemnica zawodowa radcy prawnego).
• Ustawa z dnia 11 maja 2017 r. o zwalczaniu nieuczciwej konkurencji (tekst jedn. Dz.U. z 2026 r. poz. 85) – art. 11 (tajemnica przedsiębiorstwa).
• Ustawa z dnia 19 sierpnia 2011 r. o usługach płatniczych (tekst jedn. Dz.U. z 2026 r. poz. 623) – art. 50 (system zarządzania ryzykiem operacyjnym).
• Ustawa z dnia 6 września 2001 r. – Prawo bankowe (tekst jedn. Dz.U. z 2026 r. poz. 38) – art. 104 (zarządzanie ryzykiem).
• Ustawa z dnia 13 października 2022 r. o obrocie paliwami opałowymi (tekst jedn. Dz.U. z 2024 r. poz. 1218) – obowiązki operatora infrastruktury paliwowej i systemu teleinformatycznego. W logistyce sENT oznacza System Elektronicznego Transportu Drogowego, a nie system nadzoru nad obrotem paliwami.
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. (dyrektywa NIS2) – art. 21, art. 21 ust. 2 lit. c i d oraz art. 23.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) – art. 5, 9, 11, 28, 32, 33, 34, 82 i 83.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyjrowego sektora finansowego (DORA) – art. 5, 8 i 35.
• Standard PCI DSS v4.0.1 – wymagania 3.3, 6.4 i 11.3 (szyfrowanie transmisji uwierzytelniającej i zarządzanie dostępem do aplikacji bramki płatniczej).
• Norma ISO/IEC 27001:2022 – Załącznik A: 5.1, 5.15, 5.18, 5.23, 8.12, 8.13, 8.14 i 8.15.

Schemat strategicznego audytu transportu miejskiego: monitoring CCTV i tabor, model 4C, matryca ryzyka 5x5 z BCM, cyfrowa retencja wideo i Pitch to Board.

Głównym celem zadania na ocenę bardzo dobrą (5.0) jest opanowanie przez studentów zaawansowanych kompetencji audytowania strategicznej odporności teleinformatycznej urządzeń Internetu Rzeczy (IoT) oraz zgodności przetwarzania danych telemetrycznych i wizerunku w przedsiębiorstwie użyteczności publicznej transportu miejskiego o statusie podmiotu kluczowego (Dyrektywa NIS2). Audyt łączy rygory art. 5 i 32 RODO, wiążących wytycznych Europejskiej Rady Ochrony Danych (EROD 3/2019 w sprawie przetwarzania danych osobowych za pomocą urządzeń wideo), § 19 i § 20 rozporządzenia KRI (miejskie systemy ITS i zasilanie dyspozytorni) oraz Ustawy o publicznym transporcie zbiorowym. Zadanie wymaga: sporządzenia kanonicznej Karty Ustaleń Audytowych w modelu 4C dla fabrycznych danych logowania serwisowego na 240 biletomatach pokładowych i komputerach pokładowych wystawionych do Internetu przez modemy 4G LTE oraz niezaszyfrowanych dysków CCTV z 90-dniowym okresem retencji wizerunku pasażerów, wyliczenia ryzyka w 25-stopniowej matrycy 5x5 powiązanej ze wskaźnikami BCM (RTO=30m dla biletomatów / 1h dla ITS, RPO=15m, MTPD=4h), opracowania Trójfazowego Planu Działań Korygujących (CAP) ze wskaźnikami KPI i KRI, sformułowania pełnego projektu Załącznika Wykonawczego (SOP) regulującego prywatny tunel VPN APN dla taboru, sprzętowe szyfrowanie dysków CCTV AES-256 oraz retencję nagrań skróconą do 14 dni, a także zredagowania 1-stronicowego Executive Summary ("Pitch to Board") dla Prezydenta Miasta i Zarządu ZKM z kalkulacją zwrotu z inwestycji (ROSI). Powiązanie z sylabusem i efektami kształcenia na ocenę 5.0: - Efekt W1: Zaawansowana znajomość wytycznych EROD 3/2019, Dyrektywy NIS2 w sektorze transportu, art. 5 i 32 RODO, § 19 i § 20 rozporządzenia KRI oraz Ustawy o publicznym transporcie zbiorowym. - Efekt W2, W3: Wyczerpująca znajomość norm ISO/IEC 27001:2022 (kontrole A.8.1, A.8.2, A.8.5, A.8.20, A.8.24), ISO 22301 oraz zaleceń UODO dla monitoringu wizyjnego. - Efekt U1: Projekt inżynierski dedykowanego APN z tunelem IPsec VPN w sieci komórkowej, sprzętowego szyfrowania rejestratorów taboru oraz bezpiecznego zrzutu Wi-Fi 6 WPA3 w zajezdniach. - Efekt U2: Dekompozycja uchybień w kanonicznym modelu 4C i analiza RCA 5 Why powiązana z Diagramem Ishikawy dla 6 osi. - Efekt U3: Kwantyfikacja ryzyka w matrycy 5x5 dla przejęcia biletomatów, wycieku wizerunku pasażerów i paraliżu dyspozytorni ITS. - Efekt U4: Opracowanie kompletnego raportu poaudytowego (12-16 stron A4) z Trójfazowym Planem CAP, procedurą SOP (§ 1 do § 6) oraz Executive Summary "Pitch to Board". - Efekt K1, K2, K3: Obiektywizm, wysokie poczucie misji publicznej transportu zbiorowego i kultura perswazji zarządczej. - Powiązanie z wykładem: Wyk1 (Audyt w transporcie publicznym i IoT), Wyk2 (ISO 19011), Wyk3 (Kontrole A.8 ISO 27001), Wyk4 (NIS2 i RODO w infrastrukturze miejskiej), Wyk5 (Matryca ryzyka 5x5 i BCM), Wyk7 (Model 4C, 5 Why, Ishikawa, CAP i ROSI).

Każda odpowiedź musi odwoływać się do kryterium audytowego: artykułu ustawy lub rozporządzenia, wytycznej organu nadzoru albo punktu kontrolnego normy. Podejście risk-based wymaga, aby każdy wektor zagrożenia otrzymał wyliczone ryzyko inherentne IR jako iloczyn P i S w skali 1-5 oraz ryzyko rezydualne RR po wdrożeniu kontroli planu CAP. Opis zagrożenia bez obu wartości, bez przypisania parametrów BCM i bez wskazania przyczyny źródłowej w analizie 5 Why nie zalicza punktacji. Ustalenia graduj wyłącznie jako NC1, NC2 albo OFI.

• Fabryczne, domyślne poświadczenia w 240 biletomatach pokładowych: We wszystkich 240 pojazdach biletomaty pokładowe i komputery ITS posiadały aktywne fabryczne konto serwisowe producenta z jawnym hasłem (`service / tech2018`). Urządzenia łączyły się z Internetem przez publiczny modem 4G LTE ze stałym publicznym adresem IP, co umożliwiało każdemu użytkownikowi sieci próbę logowania przez niezabezpieczony protokół Telnet/SSH.
• Niezaszyfrowane rejestratory CCTV i nielegalna retencja wizerunku: Dyski twarde SATA w rejestratorach wideo w pojazdach nie były zaszyfrowane. Nagrania wizerunku pasażerów były przetrzymywane przez okres 90 dni (podczas gdy wytyczne EROD i cel monitoringu dopuszczają maksymalnie 14-30 dni). Ponadto zgrywanie nagrań na wniosek organów ścigania odbywało się na prywatne pamięci USB dyspozytorów bez rejestracji w książce wydań.
• Brak redundancji zasilania centrali dyspozytorskiej ITS: Centralny serwer dyspozytorski ITS nie posiadał sprawnego zasilacza UPS ani agregatu, co podczas gwałtownej burzy wywołało 4-godzinny paraliż lokalizacji tramwajów i awarię tablic przystankowych.
• Szansa na doskonalenie (OFI): Wdrożenie automatycznego bezprzewodowego pobierania logów telemetrycznych i materiałów CCTV po wjeździe pojazdu do zajezdni w standardzie Wi-Fi 6 z certyfikatami 802.1X.

Pytania problemowe wymagające odpowiedzi w raporcie

1. W jaki sposób zaimplementować architekturę bezpiecznego zarządzania poświadczeniami (Credential Management) w setkach rozproszonych urządzeń IoT poruszających się po mieście?
2. Jakie konkretne wymogi prawne i techniczne wynikające z wytycznych EROD 3/2019 oraz art. 32 RODO należy spełnić przy instalacji i eksploatacji monitoringu CCTV w pojazdach komunikacji miejskiej?
3. W jaki sposób zabezpieczyć transmisję danych pomiędzy pojazdami a zajezdnią, eliminując ryzyko podsłuchu i modyfikacji danych telemetrycznych?

Pytania kontrolne do weryfikacji ustaleń

• Zaprojektujcie zmianę poświadczeń fabrycznych w 240 biletomatach w sposób, który nie zablokuje sprzedaży biletów w trakcie trwającej usługi przewozowej.
• Uzasadnijcie skrócenie retencji nagrań CCTV do 7 dni roboczych z automatycznym zabezpieczeniem materiałów wykorzystanych w postępowaniach wyjaśniających.
• Wykażcie, dlaczego brak redundancji zasilania centrali ITS skutkuje ryzykiem rezydualnym powyżej strefy zielonej, i zaproponujcie rozwiązanie zasilania awaryjnego.
• Przedstawicie Prezydentowi Miasta trzy decyzje z kalkulacją ROSI, wskazując wpływ każdej na wskaźnik dostępności usługi przewozowej.

Każda odpowiedź musi odwoływać się do kryterium audytowego: artykułu ustawy lub rozporządzenia, wytycznej organu nadzoru albo punktu kontrolnego normy. Podejście risk-based wymaga, aby każdy wektor zagrożenia otrzymał wyliczone ryzyko inherentne IR jako iloczyn P i S w skali 1-5 oraz ryzyko rezydualne RR po wdrożeniu kontroli planu CAP. Opis zagrożenia bez obu wartości, bez przypisania parametrów BCM i bez wskazania przyczyny źródłowej w analizie 5 Why nie zalicza punktacji. Ustalenia graduj wyłącznie jako NC1, NC2 albo OFI.

Najczęstsze błędy obniżające ocenę: powierzchowne zdefiniowanie modelu 4C, zatrzymanie analizy przyczyn na poziomie objawu technicznego bez 5 Why i diagramu Ishikawy, brak wyliczenia ryzyka rezydualnego RR w matrycy 5 × 5, pominięcie parametrów BCM (RTO, RPO, MTPD), plan CAP bez podziału trójfazowego (0-7, 30 i 90 dni) bez mierzalnych KPI i KRI, SOP zredagowany jako notatka zamiast projektu załącznika wykonawczego z ponumerowanymi paragrafami, Executive Summary bez kalkulacji ROSI albo sprawozdanie o objętości innej niż 12-16 stron A4 (3600-4800 słów przy 300 słów na stronę) i pasywne uczestnictwo w obronie przed Zarządem.

• Jednostronicowy Executive Summary "Pitch to Board" z co najmniej trzema decyzjami zarządczymi i kalkulacją ROSI.
• Karta organizacyjna analizowanej jednostki o co najmniej sześciu polach.
• Kanoniczna Karta Niezgodności 4C dla co najmniej trzech ustaleń, z rozdzieleniem Condition, Criteria, Cause i Consequence.
• Tabela matrycy ryzyka 5 × 5 z czterema wektorami, wartościami P, S, IR, P’, S’, RR oraz przypisaniem parametrów RTO, RPO i MTPD.
• Przypisanie każdemu wektorowi parametrów BCM, dla których ryzyko rezydualne RR zejmuje do strefy zielonej (1-7).
• Analiza przyczyn metodą 5 Why z wskazaniem przyczyny źródłowej oraz diagram Ishikawy z przypisaniem przyczyn do sześciu osi.
• Trójfazowy Plan Działań Korygujących CAP: Faza 1 (0-7 dni), Faza 2 (30 dni) i Faza 3 (90 dni) z matrycą RACI, właścicielami biznesowymi, KPI i KRI.
• Projekt załącznika wykonawczego (SOP) z sześcioma ponumerowanymi paragrafami i trybem sporu audytowego.
• Analiza kompromisów inżynierskich i biznesowych wraz z bilansem kosztu, obciążenia operacyjnego i ryzyka resztkowego.
• Bibliografia z numerami artykułów, paragrafów i punktów kontrolnych norm.
• Sprawozdanie o objętości 4-8 stron zamiast wymaganych 12-16 stron A4.
• Executive Summary zredagowane językiem czysto technicznym bez kalkulacji ryzyka biznesowego, finansowego i zwrotu z inwestycji.
• Plan CAP bez podziału trójfazowego albo bez mierzalnych wskaźników weryfikacji wdrożenia.
• Przypisanie przyczyn wyłącznie do kategorii „czynnik ludzki” z pominięciem decyzji zarządczych i systemowych.

Kanoniczna karta ustaleń w modelu 4C

Tabela zaawansowanej analizy ryzyka w matrycy 5 × 5

Parametry BCM powiązane z wektorami zagrożeń

Trójfazowy plan działań korygujących (CAP) z matrycą RACI

Projekt załącznika wykonawczego (SOP) z sześcioma paragrafami

1. § 1.Cel i zakres procedury transportowej
2. § 2.Parametry odpornościowe BCM dla biletomatów i łączności ITS
3. § 3.Wymagania techniczne izolacji sieciowej urządzeń pokładowych (prywatny APN, IPsec VPN, zakaz publicznych IP)
4. § 4.Zasady sprzętowego szyfrowania rejestratorów CCTV i ewidencja zgrywania nagrań
5. § 5.Rygorystyczny okres retencji nagrań wideo (maksymalnie 14 dni) zgodny z wytycznymi EROD 3/2019
6. § 6.Odpowiedzialność służbowa, sankcje dyscyplinarne i raportowanie do Zarządu.

Zamknięcie audytu wymaga wskazania trybu sporu audytowego: spór uznany albo odstąpienie od sporu z uzasadnieniem, zanim raport trafi do Zarządu.

Jednostronicowe Podsumowanie Zarządcze (Executive Summary - "Pitch to Board") z wyliczeniem ROSI i bilansu ryzyk.

Dane wejściowe kalkulacji ROSI dla tego zadania

Kalkulator ROSI w module Executive Summary przyjmuje te wartości jako punkt wyjścia; skuteczność kontroli CAP i horyzont analizy student uzupełnia samodzielnie.

Najczęstsze błędy obniżające ocenę: powierzchowne zdefiniowanie modelu 4C, zatrzymanie analizy przyczyn na poziomie objawu technicznego bez 5 Why i diagramu Ishikawy, brak wyliczenia ryzyka rezydualnego RR w matrycy 5 × 5, pominięcie parametrów BCM (RTO, RPO, MTPD), plan CAP bez podziału trójfazowego (0-7, 30 i 90 dni) bez mierzalnych KPI i KRI, SOP zredagowany jako notatka zamiast projektu załącznika wykonawczego z ponumerowanymi paragrafami, Executive Summary bez kalkulacji ROSI albo sprawozdanie o objętości innej niż 12-16 stron A4 (3600-4800 słów przy 300 słów na stronę) i pasywne uczestnictwo w obronie przed Zarządem.

• Europejska Rada Ochrony Danych (EROD): Wytyczne 3/2019 w sprawie przetwarzania danych osobowych za pomocą urządzeń wideo, Bruksela 2020.
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (Dyrektywa NIS2) - podmioty kluczowe w sektorze transportu.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 5, 32, 82, 83.
• Ustawa z dnia 16 grudnia 2010 r. o publicznym transporcie zbiorowym (tekst jedn. Dz.U. z 2026 r. poz. 1231).
• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (Dz.U. z 2024 r. poz. 773) - § 19 oraz § 20.
• Norma PN-EN ISO/IEC 27001:2022: Systemy zarządzania bezpieczeństwem informacji - kontrole A.8.1, A.8.2, A.8.5, A.8.20, A.8.24.
• Urząd Ochrony Danych Osobowych: "Wskazówki Prezesa UODO dotyczące stosowania monitoringu wizyjnego", Warszawa 2022.

Wspólna bibliografia wariantu 5.0

• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjnych, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (tekst jedn. Dz.U. z 2024 r. poz. 773) – § 19 (wymagania dotyczące systemu zarządzania bezpieczeństwem informacji, w tym okresowy audyt wewnętrzny nie rzadziej niż raz na rok) oraz § 20 (rozliczalność i dzienniki systemów).
• Ustawa z dnia 6 czerwca 1997 r. – Kodeks karny (tekst jedn. Dz.U. z 2025 r. poz. 383) – art. 98, art. 160, art. 231, art. 266, art. 268a, art. 269a i art. 270.
• Ustawa z dnia 12 listopada 2017 r. o Krajowym Systemie Cyberbezpieczeństwa (tekst jedn. Dz.U. z 2026 r. poz. 20) – art. 8 (środki zarządzania ryzykiem i zabezpieczenia) oraz art. 15 (audyt bezpieczeństwa).
• Ustawa z dnia 15 maja 2019 r. – Prawo o adwokaturze (tekst jedn. Dz.U. z 2024 r. poz. 1564) – art. 19 (tajemnica adwokacka).
• Ustawa z dnia 15 września 2000 r. o radcach prawnych (tekst jedn. Dz.U. z 2024 r. poz. 499) – art. 3 (tajemnica zawodowa radcy prawnego).
• Ustawa z dnia 11 maja 2017 r. o zwalczaniu nieuczciwej konkurencji (tekst jedn. Dz.U. z 2026 r. poz. 85) – art. 11 (tajemnica przedsiębiorstwa).
• Ustawa z dnia 19 sierpnia 2011 r. o usługach płatniczych (tekst jedn. Dz.U. z 2026 r. poz. 623) – art. 50 (system zarządzania ryzykiem operacyjnym).
• Ustawa z dnia 6 września 2001 r. – Prawo bankowe (tekst jedn. Dz.U. z 2026 r. poz. 38) – art. 104 (zarządzanie ryzykiem).
• Ustawa z dnia 13 października 2022 r. o obrocie paliwami opałowymi (tekst jedn. Dz.U. z 2024 r. poz. 1218) – obowiązki operatora infrastruktury paliwowej i systemu teleinformatycznego. W logistyce sENT oznacza System Elektronicznego Transportu Drogowego, a nie system nadzoru nad obrotem paliwami.
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. (dyrektywa NIS2) – art. 21, art. 21 ust. 2 lit. c i d oraz art. 23.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) – art. 5, 9, 11, 28, 32, 33, 34, 82 i 83.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyjrowego sektora finansowego (DORA) – art. 5, 8 i 35.
• Standard PCI DSS v4.0.1 – wymagania 3.3, 6.4 i 11.3 (szyfrowanie transmisji uwierzytelniającej i zarządzanie dostępem do aplikacji bramki płatniczej).
• Norma ISO/IEC 27001:2022 – Załącznik A: 5.1, 5.15, 5.18, 5.23, 8.12, 8.13, 8.14 i 8.15.