Laboratorium 1

Powiązanie z wykładem: Wykład 1 (Rola audytu w systemie bezpieczeństwa informacji) oraz Wykład 3 (ISO/IEC 27001 i 27002: wymagania i kontrole).

W1 Znajomość wymogów ochrony danych wrażliwych pacjentów.

W3 Zrozumienie art. 9 i art. 32 rozporządzenia RODO oraz ustawy o prawach pacjenta.

U1 Opracowanie zarysu polityki bezpieczeństwa dla przychodni.

U2 Wykrycie rażących uchybień w rejestracji i gabinetach lekarskich.

K2 K3 Wrażliwość etyczna na prywatność pacjentów i zachowanie tajemnicy lekarskiej.

Efekty uczenia się zadania (spodziewane osiągnięcia):

• Identyfikuje zagrożenia związane z przetwarzaniem danych o zdrowiu i ocenia ich ryzyko dla małej placówki ochrony zdrowia.
• Dobiera organizacyjne i techniczne środki ochrony adokwatne do rozmiaru i profilu działalności przychodni.
• Formułuje zwięzły, egzekwowalny zestaw reguł polityki bezpieczeństwa informacji.
• Przygotowuje referat z diagnozą stanu zastanego, propozycją zmian i bibliografią.

Głównym celem zadania jest zapoznanie studentów z podstawowymi zasadami tworzenia i wdrażania Polityki Bezpieczeństwa Informacji w placówce ochrony zdrowia przetwarzającej szczególne kategorie danych osobowych (dane o stanie zdrowia). Zadanie przygotowuje do identyfikacji podstawowych zagrożeń w bezpośrednim kontakcie z pacjentem oraz uczy projektowania elementarnych reguł organizacyjnych dla personelu medycznego i administracyjnego.

Cele szczegółowe:

• Nauczyć się rozróżniać zagrożenia poufności, integralności i dostępności danych medycznych.
• Przećwiczyć tworzenie minimalnego, ale spójnego zestawu reguł dla placówki medycznej.
• Nauczyć się wiązać obserwowane uchybienia z konkretnymi zabezpieczeniami: kontrolą dostępu, filtrem prywatyzającym, szyfrowaniem, kopią zapasową.
• Przygotować wzór oświadczenia o zachowaniu poufności dla personelu.
• Nauczyć się formułować procedurę zgłaszania incydentów z naruszeniem ochrony danych.

Kryterium zaliczenia zadania: referat uznaje się za zaliczone, jeżeli zawiera diagnozę co najmniej ośmiu uchybień ze scenariusza, sześć reguł polityki z przypisaniem odpowiedzialności, ocenę ryzyka dla trzech najpoważniejszych zagrożeń oraz bibliografię z co najmniej pięcioma pozycjami.

Karta organizacyjna analizowanej jednostki (do uzupełnienia na podstawie scenariusza):

Samodzielny Publiczny Zakład Opieki Zdrowotnej „Zdrowie i Rodzina” obsługuje 18 000 zarejestrowanych pacjentów. W przychodni zatrudnionych jest 14 lekarzy, 18 pielęgniarek oraz 6 pracowników rejestracji i administracji. Przychodnia korzysta z lokalnego systemu Elektronicznej Dokumentacji Medycznej (EDM) zainstalowanego na serwerze umieszczonym w wentylowanym schowku pod schodami, do którego klucz wisi w ogólnodostępnej dyżurce pielęgniarek.

W toku wstępnej wizytacji zaobserwowano następujący stan faktyczny:

• Rejestracja pacjentów: pracownice rejestracji zapisują dane pacjentów (PESEL, adres, objawy) na głos przy obecności kolejki innych oczekujących. Kartoteki papierowe z historią chorób stoją na otwartych półkach za plecami rejestratorek, bez zamykanych szaf.
• Ekrany komputerów: monitory w rejestracji i w gabinetach lekarskich są ustawione bokiem do pacjentów, co pozwala osobom stojącym przy biurku swobodnie czytać dane poprzednich pacjentów.
• Logowanie i hasła: wszyscy lekarze w danym gabinecie logują się na wspólne konto o nazwie „gabinet3” z hasłem „Lekarz2024”, przyklejonym na żółtej karteczce pod monitorem, aby zmiennicy nie musieli pamiętać własnych haseł.
• Nośniki przenośne: lekarze zgrywają bazy badań USG i EKG na prywatne pamięci pendrive, aby analizować je w domu na prywatnych laptopach.
• Sprzątanie: personel sprzątający ma swobodny dostęp do wszystkich gabinetów po godzinie 19:00, kiedy w przychodni nie ma już pracowników ochrony ani personelu medycznego.

Przebieg procesu objętego zadaniem:

1. Rejestracja: pacjent podaje dane osobowe i powód wizyty; pracownik rejestracji wpisuje je do systemu i do kartoteki papierowej.
2. Przyjęcie w gabinecie: lekarz loguje się na wspólne konto i otwiera dokumentację pacjenta z poprzednich wizyt.
3. Badania diagnostyczne: lekarz zleca USG lub EKG, wyniki trafiają do systemu albo na przenośny nośnik.
4. Recepta i skierowanie: lekarz drukuje dokumenty i wręcza je pacjentowi.
5. Zakończenie wizyty: pacjent wychodzi, a kartoteka wraca na otwartą półkę za plecami rejestratorki.
6. Po godz. 19:00: personel sprzątający ma swobodny dostęp do gabinetów, a dokumenty i aktywne sesje systemowe pozostają w pomieszczeniach.

Na co zwrócić uwagę przy analizie scenariusza:

• Oddziel zagrożenia poufności, czyli ujawnienie danych sąsiadowi, od zagrożeń integralności, czyli błędnej dokumentacji, i od zagrożeń dostępności, czyli utraty serwera lub kartotek.
• Wspólne konto uniemożliwia ustalenie osoby odpowiedzialnej za naruszenie, więc jest problemem nie tylko poufności, lecz także odpowiedzialności prawnej.
• Dokumentacja medyczna jest trudna do odtworzenia, dlatego utrata nośnika lub zniszczenie kartoteki jest zdarzeniem o znaczeniu krytycznym.
• Kwestie fizyczne, czyli schowek na serwer, klucze na dyżurce i godzina sprzątania, są w tym zadaniu równie istotne jak hasła.
• Filtr prywatyzujący na monitorze i linia dyskrecji kosztują niewiele, a usuwają najbardziej widoczne naruszenie poufności.

Odpowiedzcie w zespołach na poniższe pytania przed przystąpieniem do redagowania polityki:

1. Które z zaobserwowanych okoliczności stanowią naruszenie art. 32 RODO, a które są wyłącznie uchybieniem porządkowym? Uzasadnij odpowiedź.
2. Dlaczego konto współdzielone „gabinet3” uniemożliwia ustalenie sprawcy naruszenia i jakiego środka technicznego wymaga polityka?
3. Jakie zagrożenie stwarza klucz do serwowni wiszący na ogólnodostępnej dyżurce i jak je ograniczyć bez zatrzymywania pracy przychodni?
4. Które dane pacjenta mogą zostać ujawnione osobom postronnym podczas rejestracji i jak temu zapobiec bez budowania barier dla pacjentów?
5. Dlaczego kopia zapasowa na pendrive leżącym obok komputera nie spełnia swojej funkcji i jakie rozwiązanie zastosować?
6. Jak zaprojektować procedurę zgłaszania incydentu, aby pracownik nie obawiał się jej użycia?

Uwaga: każda odpowiedź powinna wskazywać konkretne zabezpieczenie z artykułu 32 RODO, a nie ogólne hasło typu „szkolenie personelu”.

Praca w zespole 2–3 osobowym polega na przeanalizowaniu powyższego scenariusza i przygotowaniu spójnej koncepcji polityki bezpieczeństwa.

Krok 1 (podział ról w zespole):

• Rola 1 – Koordynator i analityk procesowy Identyfikuje obieg dokumentacji pacjenta od rejestracji, przez gabinet lekarski, po archiwum. Opracowuje ramy organizacyjne dokumentu polityki.
• Rola 2 – Specjalista ds. zabezpieczeń technicznych Analizuje bezpieczeństwo stacji roboczych, serwera w schowku, kont użytkowników, haseł i nośników USB.
• Rola 3 – Audytor zgodności prawnej i bezpieczeństwa Analizuje naruszenia przepisów RODO, tajemnicy medycznej i projektuje procedurę zgłaszania incydentów. W zespole 2-osobowym rolę tę realizują wspólnie obaj studenci.

Krok 2 (inwentaryzacja nieprawidłowości): sporządźcie listę co najmniej 5 krytycznych uchybień w przychodni wraz ze wskazaniem, jakie zagrożenie wywołują (np. ujawnienie chorób sąsiadowi, zaszyfrowanie serwera przez złośliwe oprogramowanie).

Krok 3 (opracowanie zasad organizacyjnych): zaprojektujcie prosty zbiór 6 podstawowych reguł dla personelu: zasada czystego biurka, zasada czystego ekranu, zasada indywidualnych kont, zakaz stosowania prywatnych nośników pendrive, zasada dyskrecji w rejestracji oraz zasada zabezpieczenia serwera.

Krok 4 (formułowanie oświadczenia personelu): zredagujcie jednostronicowy wzór oświadczenia o zapoznaniu się z polityką i zachowaniu poufności danych medycznych, który podpisze każdy pracownik.

Krok 5 (ocena ryzyka): dla każdego z trzech najpoważniejszych zagrożeń uzupełnij ocenę ryzyka, korzystając z kalkulatora ryzyka w sekcji „Kalkulator ryzyka” na górze strony.

• Wskaż zagrożenie, zdarzenie i zagrożony zasób na podstawie opisu ze scenariusza.
• Oceń prawdopodobieństwo wystąpienia zdarzenia i skutek dla praw pacjenta, korzystając z modułu kalkulatora ryzyka.
• Dla ryzyka wysokiego lub krytycznego wskaż zabezpieczenie obniżające ryzyko do poziomu akceptowalnego oraz zapisz jego koszt i odpowiedzialnego.

Krok 6 (obrona referatu przed grupą): przedstawcie referat w 10 minutach, odpowiadając na pytania kontrolne z sekcji „Pytania kontrolne do analizy scenariusza”.

• Wskażcie trzy decyzje organizacyjne, które kosztują najwięcej i dają największy efekt bezpieczeństwa.
• Uzasadnijcie wybór zabezpieczeń technicznych wskazanych w tabeli reguł: które obniżają ryzyko, a które jedynie porządkują pracę.
• Wskażcie jeden element polityki, który wymagałby w Waszej ocenie największego nakładu i dlaczego.

Sugerowany przebieg 180-minutowego ćwiczenia:

Studenci przygotowują pisemny referat (objętość 4–6 stron A4 w formie opisowej) oraz 10-minutowe wystąpienie ustne. Struktura referatu powinna obejmować:

1. Tytuł referatu: Koncepcja Polityki Bezpieczeństwa Informacji dla SPZOZ „Zdrowie i Rodzina”.
2. Wprowadzenie: rola ochrony danych medycznych w zaufaniu społecznym do służby zdrowia.
3. Diagnoza stanu zastanego: szczegółowe omówienie zaobserwowanych luk ze wskazaniem ryzyk operacyjnych i prawnych.
4. Przedstawienie koncepcji polityki: spójny opis procedur organizacyjnych i technicznych dedykowanych małej przychodni.
5. Praktyczny plan wdrożenia: jak przekonać lekarzy i pielęgniarki do nowych zasad bez paraliżowania obsługi pacjentów.

Szablon układu referatu:

Wymagania formalne:

• Zachowaj układ zgodny ze szablonem; każdy element ma mieć wyraźny nagłówek i numerację.
• Odnoś każdą proponowaną regułę do obserwacji ze scenariusza, a nie do ogólnej teorii.
• Cytuj akty prawne i normy w formie przypisu końcowego, podając numer artykułu.
• Dołącz spis tabel i krótkie streszczenie własnymi słowami na początku referatu.

Uwaga: najczęstsze błędy obniżające ocenę to przytoczenie ogólników z definicji RODO bez odniesienia do konkretnych uchybień ze scenariusza, pominięcie kryterium zaliczenia, przekroczenie limitu objętości oraz podanie w bibliografii tytułu normy bez numeru artykułu.

Wzorcowa polityka bezpieczeństwa dla przychodni powinna zawierać następujące elementy:

• Postanowienia ogólne: określenie celu dokumentu, wskazanie Dyrektora SPZOZ jako osoby odpowiedzialnej oraz wyznaczenie Inspektora Ochrony Danych (IOD).
• Strefa obsługi pacjenta (rejestracja):
  • Wprowadzenie linii dyskrecji (czerwona taśma na podłodze w odległości 1,5 m od lady rejestracyjnej).
  • Zamontowanie na monitorach filtrów prywatyzujących (nakładek polaryzacyjnych), uniemożliwiających odczyt danych pod kątem.
  • Obowiązek zamykania kartotek papierowych w szafach z zamkiem na klucz po zakończeniu dyżuru.
• Bezpieczeństwo stacji roboczych i gabinetów:
  • Likwidacja kont współdzielonych – każdy lekarz i pielęgniarka otrzymuje imienne konto z wymogiem hasła o długości min. 10 znaków.
  • Automatyczna blokada ekranu po 3 minutach bezczynności.
  • Bezwzględny zakaz podłączania prywatnych pamięci pendrive – zablokowanie portów USB w systemie operacyjnym lub wdrożenie szyfrowanych nośników służbowych.
• Bezpieczeństwo fizyczne serwera: przeniesienie serwera EDM do zamykanego pomieszczenia technicznego z ewidencją wejść i kluczem wydawanym wyłącznie administratorowi IT.
• Szkolenia i sankcje: obowiązkowe szkolenie stanowiskowe dla wszystkich pracowników i podpisanie klauzul poufności.

Wzorcowy zestaw reguł polityki (fragment tabeli reguł):

Wzorcowa procedura zgłaszania incydentu:

1. Pracownik, który zauważył incydent, w ciągu 1 godziny melduje dyrektorowi przychodni i inspektorowi ochrony danych.
2. Do czasu oceny nie wolno kasować logów, usuwać nośników ani zapisywać kolejnych pacjentów na zagrożonej stacji.
3. Osoba prowadząca ustala zakres naruszenia: jakie dane, ilu pacjentów, jak długo trwało i czy dane trafiły do osób nieuprawnionych.
4. Jeżeli naruszenie może skutkować wysokim ryzykiem dla praw pacjentów, kierownik zawiadamia organ nadzorczy w terminie 72 godzin od momentu wykrycia.
5. Dla pacjentów, których dane zostały ujawnione, wysyła się pisemną informację o charakterze naruszenia i zastosowanych środkach ograniczających.
6. Po zakończeniu działań sporządza się notatkę z wnioskami, a wnioski te trafiają do kolejnej wersji polityki.

Zalety rozwiązania:

• Natychmiastowe podniesienie poziomu poufności i prywatności pacjentów przy minimalnych nakładach finansowych (filtry na ekran, linia dyskrecji, blokady ekranu).
• Usunięcie ryzyka odpowiedzialności karnej i finansowej z tytułu naruszeń RODO (kary do 20 mln euro lub 4% obrotu).
• Przypisanie odpowiedzialności do konkretnych osób dzięki indywidualnym kontom w systemie medycznym.

Wady i trudności wdrożeniowe:

• Ryzyko oporu starszego personelu medycznego przyzwyczajonego do wieloletnich nawyków (wspólne hasła, kartoteki na wierzchu).
• Drobne spowolnienie procesu logowania przy częstej zmianie gabinetów przez lekarzy dyżurnych.
• Konieczność wygospodarowania środków na filtry prywatyzujące i szafy zamykane na klucz.

Bilans wdrożenia proponowanej polityki:

Kryteria wyboru wariantu polityki: zdecydowanie najlepszy jest wariant prosty: sześć do ośmiu reguł, które personel faktycznie stosuje, jest skuteczniejszy niż rozbudowana polityka, której nikt nie czyta. Wybierając rozwiązanie, porównajcie koszt wdrożenia, liczbę zaangażowanych osób i realne ryzyko, które pozostaje po wdrożeniu.

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO): art. 5 (zasady przetwarzania), art. 9 (dane o zdrowiu), art. 32 (bezpieczeństwo przetwarzania).
• Ustawa z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta (Dz.U. z 2024 r. poz. 581) – rozdział 7: Prawo do dokumentacji medycznej.
• Ustawa z dnia 28 kwietnia 2011 r. o systemie informacji w ochronie zdrowia (Dz.U. z 2026 r. poz. 208).
• Norma PN-EN ISO/IEC 27001:2022 – Załącznik A: A.5.1 (Polityki bezpieczeństwa), A.7.7 (Czyste biurko i czysty ekran), A.8.5 (Bezpieczne uwierzytelnianie).
• Poradnik Urzędu Ochrony Danych Osobowych: „Bezpieczeństwo danych osobowych w placówkach medycznych”, Warszawa 2021.
• Norma ISO/IEC 27002:2022 – międzynarodowa norma zawierająca zestaw zabezpieczeń organizacyjnych, fizycznych i komunikacyjnych.
• Norma ISO/IEC 27005:2022 – zarządzanie ryzykiem bezpieczeństwa informacji: identyfikacja, analiza, ocena i postępowanie z ryzykiem.
• Kodeks pracy, czyli ustawa z dnia 26 czerwca 1974 r., art. 22² (szczególny nadzór nad pracownikiem, obowiązek zachowania w tajemnicy informacji) oraz art. 207 § 1 (odpowiedzialność za stan bezpieczeństwa i higieny pracy).
• Ustawa z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta (Dz.U. z 2024 r. poz. 581), art. 24 ust. 1 w zw. z rozdziałem 7 – prowadzenie, przechowywanie i udostępnianie dokumentacji medycznej przez podmiot udzielający świadczeń zdrowotnych.

Powiązanie z wykładem: Wykład 1 (Rola audytu w systemie bezpieczeństwa informacji) oraz Wykład 3 (ISO/IEC 27001 i 27002: wymagania i kontrole).

W1 Ochrona danych mieszkańców przetwarzanych w rejestrach samorządowych.

W2 W3 Wymogi Rozporządzenia Rady Ministrów w sprawie Krajowych Ram Interoperacyjności (KRI).

U1 Konstrukcja ramowej polityki bezpieczeństwa urzędu.

U2 Identyfikacja luk na styku urząd–petent oraz w obsłudze poczty elektronicznej.

K1 K3 Świadomość odpowiedzialności urzędnika państwowego za powierzone dane obywateli.

Efekty uczenia się zadania (spodziewane osiągnięcia):

• Charakteryzuje zagrożenia związane z obsługą mieszkańców i obiegiem dokumentacji w samorządzie.
• Dobiera zabezpieczenia uwzględniające jawność informacji publicznej i ochronę danych niejawnych.
• Tworzy reguły, które da się egzekwować w urzędzie bez wykształconego działu informatycznego.
• Przygotowuje referat wraz z oceną ryzyka i planem wdrożenia.

Celem zadania jest zapoznanie studentów ze specyfiką polityki bezpieczeństwa w jednostce samorządu terytorialnego podlegającej rygorom Krajowych Ram Interoperacyjności (KRI) oraz ustawy o doręczeniach elektronicznych. Studenci uczą się definiować zasady ochrony rejestrów publicznych (PESEL, ewidencja podatków, ewidencja gruntów) oraz procedury bezpiecznej obsługi interesantów.

Cele szczegółowe:

• Nauczyć się rozróżniać informacje publiczne, dane osobowe i dokumenty niejawne.
• Przećwiczyć zabezpieczanie stref obsługi mieszkańców, w których dochodzi do bezpośredniego kontaktu z interesentami.
• Nauczyć się reagowania na phishing i na niekontrolowane nośniki zewnętrzne.
• Przygotować zestaw reguł obowiązujących w referatach i w strefie obsługi.

Kryterium zaliczenia zadania: referat uznaje się za zaliczone, jeżeli rozróżnia informacje publiczne od danych niejawnych, obejmuje wszystkie trzy opisane obszary uchybień, zawiera sześć reguł z odpowiedzialnymi oraz bibliografię z co najmniej pięcioma pozycjami.

Karta organizacyjna analizowanej jednostki (do uzupełnienia na podstawie scenariusza):

Urząd Gminy „Dębina” zatrudnia 45 pracowników w 6 referatach (Finansowy, Gospodarki Nieruchomościami, Ochrony Środowiska, Spraw Obywatelskich i USC, Inwestycji, Kadr). W urzędzie funkcjonuje sieć lokalna LAN z 50 komputerami stacjonarnymi, serwerem bazodanowym SQL oraz systemem Elektronicznego Zarządzania Dokumentacją (EZD). Urząd posiada Salę Obsługi Mieszkańców (parter), gdzie petenci składają wnioski o dowody osobiste, odpisy stanu cywilnego i zezwolenia.

Podczas audytu zerowego stwierdzono następujące fakty:

• Strefa obsługi mieszkańców: petenci podchodzą bezpośrednio do biurek urzędników. Na biurkach leżą akta podatkowe innych mieszkańców ze szczegółami majątkowymi. Drukarka sieciowa stoi na korytarzu obok toalety i tam spływają wszystkie wydruki z urzędu, w tym zaświadczenia o dochodach i odpisy aktów zgonu.
• Poczta elektroniczna i phishing: urzędnicy korzystają ze skrzynek pocztowych na darmowym portalu internetowym (np. urzad_debina_podatki@onet.pl), otwierają załączniki w niezweryfikowanych e-mailach od rzekomych komorników i kurierów.
• Nośniki petentów: pracownicy referatu gospodarki przestrzennej wpinają do komputerów służbowych prywatne pendrive przynoszone przez mieszkańców z mapami geodezyjnymi, nie skanując ich programem antywirusowym.
• Hasła i dostęp: hasła do systemu podatkowego nie wygasają nigdy, a część pracowników nie blokuje stacji roboczej, wychodząc na 30-minutową przerwę śniadaniową.

Przebieg procesu objętego zadaniem:

1. Mieszkaniec przychodzi do sali obsługi i zostawia wniosek oraz dokumenty tożsamości.
2. Urzędnik weryfikuje dokument i wprowadza dane do systemu lub zakłada sprawę w systemie dokumentacyjnym.
3. Urzędnik w trakcie pracy drukuje dokumenty, w tym zaświadczenia o dochodach i odpisy aktów.
4. Gotowe dokumenty i akta są przekazywane mieszkańcowi albo odkładane na biurku do czasu późniejszego odbioru.
5. Pracownicy przekazują sobie dokumentację i skany między referatami oraz wysyłają je pocztą elektroniczną.
6. Kancelaria i referaty przechowują dokumenty w szafach i na komputerach biurkowych do końca dnia pracy.

Na co zwrócić uwagę przy analizie scenariusza:

• Wynik wydruku na drukarce obok toalety to najprostszy przykład naruszenia poufności, który można usunąć jednym zapisem w regulaminie.
• Skrzynka na darmowym portalu pocztowym oznacza, że dostęp do skrzynki może uzyskać osoba trzecia, a kandydat ma słabe rozdzielenie obowiązków.
• Niezweryfikowany załącznik i pendrive dostarczony przez mieszkańca to dwa wejścia dla złośliwego oprogramowania.
• Informacja publiczna nie znaczy, że może leżeć na widoku; liczy się sposób udostępniania i zabezpieczenia nośnika.
• Blokada stacji po 3 minutach jest minimalnym standardem, który można włączyć bez nakładów i bez spowolnienia pracy.

Odpowiedzcie w zespołach na poniższe pytania przed przystąpieniem do redagowania polityki:

1. Które rodzaje dokumentów w urzędzie są informacją publiczną, a które podlegają ochronie i dlaczego?
2. Jak zaprojektować strefę obsługi mieszkańców, aby zachować dostępność urzędu dla osób z niepełnosprawnościami, a jednocześnie ograniczyć podglądanie akt?
3. Jakie zabezpieczenia zastosować dla drukarki sieciowej znajdującej się w miejscu ogólnodostępnym?
4. Co zmieni przejście z darmowego portalu pocztowego na pocztę na domenie urzędu i jak to zrobić, aby nie stracić historii korespondencji?
5. Jaką procedurę przyjąć dla nośników przynoszonych przez mieszkańców, aby nie blokować obsługi geodezyjnej?
6. Kiedy urząd ma obowiązek zawiadomić osobę, której dane zostały ujawnione, i jakie informacje musi podać?

Uwaga: każdą propozycję rozwiązania zapiszcie w formie reguły, którą da się wpisać do regulaminu pracy, a nie jako ogólne zalecenie.

Krok 1 (podział ról w zespole):

• Rola 1 – Koordynator Definiuje strukturę nadrzędnej Polityki Bezpieczeństwa Urzędu Gminy oraz regulamin obsługi interesanta.
• Rola 2 – Specjalista IT Opracowuje reguły dotyczące bezpiecznej poczty elektronicznej, polityki haseł, ochrony przed złośliwym oprogramowaniem i zabezpieczenia drukarek sieciowych.
• Rola 3 – Audytor KRI/RODO Analizuje zgodność procedur z paragrafem 20 Rozporządzenia w sprawie Krajowych Ram Interoperacyjności oraz projektuje zasady postępowania z wnioskami obywateli.

Krok 2 (analiza ryzyk jednostki publicznej): wskażcie zagrożenia dla ciągłości działania urzędu (np. atak złośliwego oprogramowania blokującego bazy podatkowe, wyciek danych mieszkańców do sieci).

Krok 3 (opracowanie procedur wykonawczych): zaprojektujcie 4 załączniki do polityki: Procedura czystego biurka i bezpiecznego drukowania, Polityka haseł i blokady stacji, Procedura bezpiecznego korzystania z poczty e-mail, Instrukcja postępowania z nośnikami zewnętrznymi.

Krok 4 (plan szkoleń urzędników): zaproponujcie ramowy program 1-godzinnego szkolenia wstępnego dla nowo zatrudnionego pracownika samorządowego.

Krok 5 (ocena ryzyka): oceń ryzyko dla trzech zagrożeń: ujawnienia danych mieszkańca na wydruku, przejęcia skrzynki urzędowej oraz wprowadzenia złośliwego oprogramowania przez załącznik pocztowy.

• Dla każdego zagrożenia wskaż zdarzenie, zasób i skutek prawny, finansowy lub wizerunkowy.
• Skorzystaj z kalkulatora ryzyka w górnej części strony i zapisz wynik dla trzech zagrożeń.
• Wskaż zabezpieczenia zmniejszające ryzyko, ich koszt i osobę odpowiedzialną.

Krok 6 (obrona referatu przed grupą): przedstawcie referat w 10 minutach, odnosząc propozycje do pytań kontrolnych z sekcji „Pytania kontrolne do analizy scenariusza”.

• Uzasadnijcie wybór zabezpieczeń, które chronią informacje niejawne, a nie tylko zapewniają jawność informacji publicznej.
• Wskażcie jeden przepis wymagający zmiany organizacyjnej i podajcie koszt jego wdrożenia.
• Opiszcie, jak przekonać mieszkańców do nowych zasad bez ograniczania dostępu do urzędu.

Sugerowany przebieg 180-minutowego ćwiczenia:

Studenci przygotowują referat pisemny (4–6 stron A4) i prezentację problemową:

1. Wstęp: status prawny jednostki samorządu terytorialnego i rygory ochrony informacji w sektorze publicznym.
2. Raport o stanie bezpieczeństwa Urzędu Gminy: wskazanie uchybień organizacyjnych, technicznych i prawnych.
3. Projekt Zarządzenia Wójta Gminy w sprawie wprowadzenia Polityki Bezpieczeństwa Informacji.
4. Szczegółowe zasady bezpiecznej pracy urzędnika samorządowego.
5. Wnioski i rekomendacje: jak podnieść cyberodporność urzędu bez angażowania wielkich funduszy.

Szablon układu referatu:

Wymagania formalne:

• Zaznacz w tabeli reguł, której referatu dotyczy propozycja i kto ma ją stosować.
• Każdą regułę sformułuj w formie nakazu, wskazując wyjątki i sposób kontroli.
• Wyjaśnij, dlaczego dana informacja jest jawna, powołując się na przepis, a nie na ogólną deklarację.
• Dołącz krótkie streszczenie własnymi słowami i listę tabel.

Uwaga: najczęstsze błędy obniżające ocenę to mylenie informacji publicznej z jawnością dokumentu, brak sposobu kontroli reguły, wskazywanie rozporządzeń zamiast ustaw przy obowiązkach urzędu oraz pominięcie planu wdrożenia etapami.

Wzorcowy plan polityki bezpieczeństwa dla Urzędu Gminy obejmuje:

• Wydanie oficjalnego Zarządzenia Wójta Gminy wprowadzającego dokumentację SZBI.
• Bezpieczeństwo Sali Obsługi Mieszkańców:
  • Przeniesienie drukarek sieciowych z korytarza do zamykanych pokoi biurowych lub wdrożenie drukowania podążającego (wydruk startuje po przyłożeniu karty pracowniczej / wpisaniu PIN).
  • Wydzielenie strefy petenta od strefy pracy urzędnika za pomocą barierek i osłon pleksi.
  • Obowiązek chowania teczek spraw podatkowych do szuflad podczas obecności petenta.
• Poczta elektroniczna i teleinformatyka:
  • Bezwzględny zakaz korzystania z darmowych kont pocztowych komercyjnych – migracja wszystkich skrzynek do domeny urzędowej @debina.ug.gov.pl.
  • Wdrożenie centralnego filtra antyspamowego i antywirusowego na serwerze pocztowym.
  • Zablokowanie automatycznego uruchamiania makr w dokumentach pakietu biurowego.
• Bezpieczeństwo nośników: wyznaczenie jednej, odizolowanej stacji komputerowej (kiosku weryfikacyjnego) do sprawdzania pendrive petentów przed wgraniem plików do sieci urzędu.
• Polityka haseł: wymuszenie haseł o długości minimum 12 znaków (duże/małe litery, cyfry, znaki specjalne) i wymiana co 90 dni, blokada stacji roboczej po 5 minutach bezczynności.

Wzorcowy zestaw reguł polityki (fragment tabeli reguł):

Wzorcowa procedura zgłaszania incydentu:

1. Pracownik informuje kierownika referatu i administratora systemów najpóźniej w ciągu 2 godzin od wykrycia.
2. Nie wolno usuwać skrzynki, kasować poczty ani wyłączać drukarki, dopóki nie ustalono zakresu naruszenia.
3. Administrator ustala, czy doszło do ujawnienia danych, jakich osób dotyczy i jak długo trwało naruszenie.
4. Kierownik ocenia konieczność zawiadomienia organu nadzorczego w terminie 72 godzin i przekazuje decyzję wraz z uzasadnieniem.
5. Jeżeli naruszenie dotyczy informacji publicznej, urząd ocenia także, czy wymaga ono ograniczenia sposobu udostępniania tej informacji.
6. Po zakończeniu działań sporządza się notatkę z wnioskami i aktualizuje procedury oraz szkolenia.

Zalety rozwiązania:

• Spełnienie formalnych wymogów prawnych Rozporządzenia KRI i uniknięcie kar od organów nadzorczych (UODO, NIK).
• Znaczne ograniczenie ryzyka infekcji sieci urzędowej złośliwym oprogramowaniem typu ransomware.
• Profesjonalizacja wizerunku urzędu w oczach mieszkańców dzięki domenie urzędowej i porządkowi na biurkach.

Wady i trudności wdrożeniowe:

• Konieczność zakupu licencji na bezpieczny serwer pocztowy lub usługę chmurową dla administracji publicznej.
• Niezadowolenie urzędników z konieczności częstej zmiany skomplikowanych haseł i pamiętania o blokowaniu ekranu.
• Wydłużenie czasu obsługi petenta przynoszącego mapy na pendrive z uwagi na procedurę kwarantanny.

Bilans wdrożenia proponowanej polityki:

Kryteria wyboru wariantu polityki: wariant praktyczny, oparty na regułach możliwych do egzekwowania w istniejącym układzie urzędu, jest lepszy niż system wymagający nowego działu informatycznego. Porównując warianty, oceńcie jednocześnie wpływ na dostęp mieszkańców do usługi, bo urząd ma obowiązek obsługiwać interesantów w sposób nieutrudniający.

• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności (Dz.U. z 2024 r. poz. 773) – paragraf 19 (zarządzanie bezpieczeństwem informacji) oraz paragraf 20 (rozliczalność działań i rejestry zdarzeń).
• Ustawa z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne (Dz.U. z 2026 r. poz. 1241).
• Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2019 r. poz. 1781).
• Norma PN-EN ISO/IEC 27001:2022 – Załącznik A: A.5.15 (Kontrola dostępu), A.8.7 (Ochrona przed złośliwym oprogramowaniem), A.8.9 (Zarządzanie konfiguracją).
• Wytyczne Ministerstwa Cyfryzacji i CSIRT NASK: „Standardy cyberbezpieczeństwa dla jednostek samorządu terytorialnego”, Warszawa 2023.
• Ustawa z dnia 6 września 2001 r. o dostępie do informacji publicznej – zasady udostępniania informacji i sposób oznaczania dokumentów.
• Ustawa z dnia 4 kwietnia 2019 r. o dostępności cyfrowej stron internetowych i aplikacji mobilnych podmiotów publicznych – wymagania dla usług cyfrowych urzędu.
• Norma ISO/IEC 27002:2022 oraz ISO/IEC 27005:2022 – zabezpieczenia organizacyjne, techniczne i metodyka oceny ryzyka.
• Ustawa z dnia 5 sierpnia 2010 r. o ochronie informacji niejawnych (Dz.U. z 2025 r. poz. 1209) wraz z rozporządzeniem Prezesa Rady Ministrów z dnia 22 grudnia 2011 r. w sprawie sposobu oznaczania materiałów i umieszczania na nich klauzul tajności – wzorzec klasyfikacji i oznaczania informacji niejawnych w urzędzie.

Powiązanie z wykładem: Wykład 1 (Rola audytu w systemie bezpieczeństwa informacji) oraz Wykład 3 (ISO/IEC 27001 i 27002: wymagania i kontrole).

W1 Ochrona danych dzieci jako grupy podlegającej szczególnej ochronie prawnej.

W3 Znajomość przepisów prawa oświatowego i art. 8 RODO.

U1 Stworzenie przejrzystych reguł bezpieczeństwa dla kadry pedagogicznej.

U2 Rozpoznanie ryzyk związanych z dziennikiem elektronicznym i wizerunkiem uczniów.

K2 K3 Wrażliwość na ochronę tożsamości małoletnich i etyka zawodu nauczyciela.

Efekty uczenia się zadania (spodziewane osiągnięcia):

• Charakteryzuje zagrożenia wynikające z przetwarzania danych dzieci i uczniów w placówce oświatowej.
• Ocenia ryzyko związane z monitoringiem wizyjnym, publikacją wizerunku i dostępem do systemów szkolnych.
• Dobiera zabezpieczenia uwzględniające obowiązki dyrektora szkoły i ochronę praw dzieci.
• Tworzy kompletny zestaw reguł dla nauczycieli, dyrekcji i pracowników administracji.

Celem zadania jest przygotowanie studentów do opracowania prostej i skutecznej Polityki Bezpieczeństwa Informacji w placówce oświatowej. Studenci uczą się reguł ochrony danych osobowych uczniów i rodziców, zasad korzystania z elektronicznego dziennika lekcyjnego, bezpiecznego wykorzystania monitoringu wizyjnego (CCTV) oraz zasad postępowania z urządzeniami prywatnymi nauczycieli (BYOD).

Cele szczegółowe:

• Nauczyć się uwzględniać w polityce bezpieczeństwa szczególną pozycję dziecka i danych o jego zdrowiu.
• Przećwiczyć zabezpieczanie monitoringu wizyjnego: retencja, dostęp, cel i podstawa przetwarzania.
• Nauczyć się porządkować publikację wizerunku dzieci w mediach społecznościowych i w prasie lokalnej.
• Nauczyć się zabezpieczania kartotek pedagoga i psychologa oraz konta dziennika elektronicznego.

Kryterium zaliczenia zadania: referat uznaje się za zaliczone, jeżeli obejmuje wszystkie cztery opisane uchybienia, zawiera propozycję retencji nagrań z uzasadnieniem, sześć reguł polityki dla szkoły oraz bibliografię z co najmniej pięcioma pozycjami.

Karta organizacyjna analizowanej jednostki (do uzupełnienia na podstawie scenariusza):

Szkoła Podstawowa nr 5 kształci 650 uczniów i zatrudnia 55 nauczycieli oraz 15 pracowników administracji i obsługi. W szkole wdrożono dziennik elektroniczny w chmurze komercyjnej oraz monitoring wizyjny składający się z 32 kamer (korytarze, wejścia, boisko). Szkoła posiada 2 pracownie komputerowe po 16 stanowisk oraz sieć Wi-Fi.

W trakcie audytu wstępnego ujawniono następujące okoliczności:

• Dziennik elektroniczny: nauczyciele logują się do dziennika ze smartfonów prywatnych, często zapamiętując hasło w przeglądarce telefonu. Podczas przerw nauczyciele zostawiają otwarte laptopy w pokoju nauczycielskim, gdzie przebywają również dyżurujący uczniowie i petenci.
• Monitoring wizyjny (CCTV): podgląd na żywo ze wszystkich kamer jest wyświetlany na dużym telewizorze w dyżurce woźnego, widocznym dla każdego rodzica i gościa wchodzącego do szkoły. Nagrania z monitoringu nie posiadają określonego czasu retencji i są zgrywane na żądanie rodziców na ich prywatne pendrive bez zgody dyrektora.
• Publikacja wizerunku: zdjęcia uczniów ze szkolnych wycieczek i zawodów sportowych są publikowane na profilu szkoły w mediach społecznościowych (Facebook) bez weryfikacji, czy rodzice wyrazili pisemną zgodę na rozpowszechnianie wizerunku dziecka.
• Kartoteki pedagoga i psychologa: notatki z wywiadów środowiskowych i orzeczenia poradni psychologiczno-pedagogicznej przechowywane są w niezamkniętej szufladzie w gabinecie pedagoga.

Przebieg procesu objętego zadaniem:

1. Rodzic lub uczeń loguje się do dziennika elektronicznego, najczęściej z prywatnego telefonu.
2. Nauczyciel wprowadza oceny i uwagi do dziennika, a w pokoju nauczycielskim zostawia laptopa z otwartą sesją.
3. Pracownik ochrony lub dyżurny sprawdza podgląd kamer na telewizorze w dyżurce.
4. W razie zdarzenia kamera zapisuje materiał, a dyrektor zleca zgranie go na nośnik prywatny na potrzeby rodzica.
5. Fotografie z wycieczek są publikowane na profilu szkoły w mediach społecznościowych.
6. Pedagog i psycholog prowadzą wywiady środowiskowe i przechowują notatki w gabinecie pedagogicznym.

Na co zwrócić uwagę przy analizie scenariusza:

• Dane o zdrowiu, oceny i wizerunek dziecka wymagają szczególnej ochrony, a także podstawy prawnej przetwarzania i zgody opiekuna.
• Monitoring wizyjny musi mieć określony cel i retencję, a dostęp do podglądu powinien być ograniczony do osób upoważnionych.
• Telewizor w dyżurce to ujawnienie obrazu z kamer przypadkowym osobom, czyli naruszenie poufności monitoringu.
• Wychowawca potrzebuje prostego trybu blokady ekranu, inaczej dokumentacja ucznia jest dostępna dla uczniów i rodziców.
• Rotacja kadry nie zmniejsza ryzyka: każdy nowy pracownik, stażysta i wolontariusz potrzebuje tej samej ścieżki dostępu i oświadczenia.

Odpowiedzcie w zespołach na poniższe pytania przed przystąpieniem do redagowania polityki:

1. Które z opisanych praktyk stanowią przetwarzanie danych wizerunkowych dzieci i jakiej podstawy prawnej oraz zgody wymagają?
2. Jak długo powinny być przechowywane nagrania z monitoringu w szkole i kto powinien mieć do nich dostęp?
3. Jak rozwiązać problem monitoringu wyświetlanego w dyżurce widocznej dla rodziców i gości?
4. Jakie zabezpieczenia zastosować dla dziennika elektronicznego używanego z prywatnych telefonów?
5. Jak rozwiązać problem kartotek pedagoga i psychologa, jeżeli gabinet musi pozostać dostępny dla uczniów?
6. Kto i w jaki sposób powinien wyrazić zgodę na publikację wizerunku dziecka, aby zgoda była ważna i weryfikowalna?

Uwaga: przy każdej odpowiedzi wskaż konkretny środek: upoważnienie, zabezpieczenie techniczne, procedurę albo korektę organizacyjną.

Krok 1 (podział ról w zespole):

• Rola 1 – Koordynator Projektuje strukturę Polityki Bezpieczeństwa Szkoły oraz zasady ochrony wizerunku dzieci w Internecie.
• Rola 2 – Specjalista IT Opracowuje procedurę bezpiecznego logowania do dziennika elektronicznego, zabezpieczenia sieci szkolnej i zasady monitoringu CCTV.
• Rola 3 – Audytor RODO Opracowuje rejestr zgód rodziców, procedurę zabezpieczenia dokumentacji psychologicznej oraz zasady udostępniania nagrań wideo policji i rodzicom.

Krok 2 (analiza specyfiki danych uczniów): wskażcie, jakie dane ucznia podlegają bezwzględnej ochronie i jakie konsekwencje grożą szkole za publikację wizerunku dziecka bez zgody rodzica.

Krok 3 (konstrukcja procedur szczegółowych): opracujcie: Regulamin korzystania z dziennika elektronicznego, Instrukcję obsługi monitoringu wizyjnego oraz Zbiór zasad bezpiecznego korzystania ze szkolnego Wi-Fi.

Krok 4 (formularz zgody rodziców): zredagujcie przejrzysty, zrozumiały formularz zgody rodzica na przetwarzanie danych i wizerunku dziecka (z opcją dobrowolnego wyboru celów).

Krok 5 (ocena ryzyka): oceń ryzyko dla czterech zagrożeń: ujawnienia monitoringu, niekontrolowanej publikacji wizerunku, dostępu do dziennika na współdzielonym sprzęcie i utraty kartotek pedagogicznych.

• Dla każdego zagrożenia określ zdarzenie, zasób, czyli dane dziecka lub obraz z kamer, oraz skutek dla praw dziecka.
• Skorzystaj z kalkulatora ryzyka w górnej części strony i zapisz ocenę oraz poziom ryzyka.
• Wskaż zabezpieczenie obniżające ryzyko i wyznacz odpowiedzialnego, najlepiej z grona dyrekcji.

Krok 6 (obrona referatu przed grupą): przedstawcie referat w 10 minutach, odnosząc propozycje do pytań kontrolnych z sekcji „Pytania kontrolne do analizy scenariusza”.

• Wyjaśnijcie, dlaczego część proponowanych reguł wymaga decyzji dyrektora, a część może obowiązywać od zaraz.
• Wskażcie rozwiązanie, które nie utrudnia pracy nauczyciela w trakcie lekcji.
• Podajcie jeden element polityki, który wymagałby konsultacji z radą rodziców lub samorządem uczniowskim.

Sugerowany przebieg 180-minutowego ćwiczenia:

Studenci przygotowują referat pisemny (4–6 stron A4) i prezentację:

1. Wprowadzenie: ochrona prywatności dziecka w erze cyfryzacji szkoły.
2. Diagnoza zagrożeń w Szkole Podstawowej nr 5: omówienie incydentów związanych z dziennikiem, kamerami i mediami społecznościowymi.
3. Projekt szkolnej polityki bezpieczeństwa: zasady dla nauczycieli, personelu administracji, rodziców i uczniów.
4. Wdrażanie zasad: jak przeszkolić radę pedagogiczną w sposób przystępny i pozbawiony zbędnego żargonu technicznego.

Szablon układu referatu:

Wymagania formalne:

• Rozróżnij dane o uczniu, dane o zdrowiu i dane wizerunkowe oraz wskaż dla każdej kategorii podstawę przetwarzania.
• Opisz dokładnie, kto, w jakim celu i jak długo przetwarza nagrania z monitoringu.
• Zawrzyj w referacie propozycję wzoru zgody rodzica na publikację wizerunku dziecka.
• W bibliografii podaj tytuły aktów i norm wraz z artykułami, których dotyczy rozwiązanie.

Uwaga: najczęstsze błędy obniżające ocenę to brak rozróżnienia monitoringu od publikacji wizerunku, podawanie retencji bez uzasadnienia, pomijanie roli rodzica w wyrażaniu zgody oraz traktowanie mediów społecznościowych szkoły jako darmowego kanału bez ograniczeń.

Wzorcowa polityka bezpieczeństwa w szkole podstawowej wprowadza:

• Zasady korzystania z dziennika elektronicznego:
  • Obowiązek stosowania uwierzytelniania dwuskładnikowego (hasło + kod SMS lub aplikacja uwierzytelniająca) przy logowaniu nauczycieli.
  • Bezwzględny zakaz zapamiętywania haseł na urządzeniach współdzielonych i prywatnych.
  • Obowiązek ręcznego wylogowania lub blokowania ekranu przy każdym opuszczeniu stanowiska w pokoju nauczycielskim.
• Regulamin monitoringu wizyjnego:
  • Ograniczenie dostępu do podglądu kamer – monitor w dyżurce woźnego musi być odwrócony od wzroku osób trzecich lub zlikwidowany na rzecz podglądu w gabinecie dyrektora.
  • Ustalenie okresu przechowywania nagrań na maksymalnie 14–21 dni, po czym następuje automatyczne nadpisywanie.
  • Zakaz wydawania nagrań rodzicom – udostępnienie nagrania możliwe jest wyłącznie na pisemny wniosek policji lub sądu.
• Ochrona dokumentacji wrażliwej (pedagog/psycholog): wymóg przechowywania opinii psychologicznych w zamykanej szafie metalowej o klasie odporności A, z kluczem w wyłącznej dyspozycji pedagoga.
• Publikacja wizerunku uczniów: wdrożenie centralnego rejestru zgód – koordynator ds. mediów przed publikacją zdjęcia weryfikuje obecność pisemnej zgody obojga rodziców każdego widocznego dziecka.

Wzorcowy zestaw reguł polityki (fragment tabeli reguł):

Wzorcowa procedura zgłaszania incydentu:

1. Osoba, która zauważyła sytuację, niezwłocznie zgłasza ją dyrektorowi lub wicedyrektorowi, nie wynosząc materiału na korytarz.
2. Dyrektor zabezpiecza dowód: zachowuje nagranie z monitoringu, zrzut ekranu lub wiadomość, nie kasując danych.
3. Ocenia się, czy doszło do ujawnienia danych dziecka, wizerunku lub nagrania z monitoringu i jak długo trwało naruszenie.
4. W razie wysokiego ryzyka dla praw dzieci kierownik zawiadamia organ nadzorczy w terminie 72 godzin.
5. Jeżeli sprawa dotyczy wizerunku dziecka, szkoła ustala sposób usunięcia publikacji i informuje rodzica.
6. Po zakończeniu działań sporządza się notatkę z wnioskami i aktualizuje politykę oraz szkolenie.

Zalety rozwiązania:

• Ochrona uczniów przed cyberzagrożeniami, hejtem rówieśniczym i kradzieżą tożsamości.
• Pełna zgodność z wytycznymi UODO i MEN dotyczącymi przetwarzania danych w szkołach.
• Jasne procedury chroniące dyrektora i nauczycieli przed zarzutami bezprawnego udostępnienia wizerunku.

Wady i trudności wdrożeniowe:

• Konieczność żmudnego zebrania i zewidencjonowania setek formularzy zgód od rodziców na początku roku szkolnego.
• Dodatkowe czynności dla nauczycieli związane z logowaniem dwuskładnikowym podczas krótkich przerw lekcyjnych.
• Ograniczenie spontaniczności w promocji sukcesów szkoły na portalach społecznościowych.

Bilans wdrożenia proponowanej polityki:

Kryteria wyboru wariantu polityki: najlepszy jest wariant, w którym dostęp do monitoringu jest ograniczony do dyrekcji, retencja jest krótka i uzasadniona, a publikacja wizerunku uzależniona od weryfikacji zgód. Wybierając wariant, uwzględnijcie potrzebę ochrony dzieci, koszt wdrożenia i realne możliwości personelu szkoły.

• Ustawa z dnia 14 grudnia 2016 r. – Prawo oświatowe (Dz.U. z 2026 r. poz. 820) – art. 108a (zasady stosowania monitoringu wizyjnego w szkołach).
• Rozporządzenie RODO: art. 6 ust. 1 lit. a i c, art. 8 (warunki wyrażenia zgody przez dziecko).
• Ustawa z dnia 4 lutego 1994 r. o prawie autorskim i prawach pokrewnych (Dz.U. z 2025 r. poz. 24) – art. 81 (ochrona wizerunku).
• Norma PN-EN ISO/IEC 27001:2022 – Załącznik A: A.5.10 (Dopuszczalne użytkowanie aktywów), A.7.4 (Fizyczne monitorowanie bezpieczeństwa).
• Poradnik Urzędu Ochrony Danych Osobowych: „Dane osobowe bezpieczne w szkole. Poradnik dla dyrektorów i nauczycieli”, Warszawa 2020.
• Ustawa z dnia 6 czerwca 1997 r. – Kodeks karny, art. 190a (stalking) oraz art. 267 (bezprawne uzyskanie informacji) i art. 268 (utrudnianie zapoznania się z informacją osobie uprawnionej) – ochrona wizerunku uczniów i kartotek wychowawczych.
• Norma ISO/IEC 27002:2022 – zabezpieczenia organizacyjne, fizyczne i komunikacyjne dla placówek z monitoringiem i systemami dziennika.
• Norma ISO/IEC 27005:2022 – zarządzanie ryzykiem bezpieczeństwa informacji jako podstawa oceny ryzyka w szkole.
• Wytyczne Europejskiej Rady Ochrony Danych (EROD) 3/2019 w sprawie przetwarzania danych osobowych za pomocą urządzeń wideo (monitoring wizyjny).

Powiązanie z wykładem: Wykład 1 (Rola audytu w systemie bezpieczeństwa informacji) oraz Wykład 3 (ISO/IEC 27001 i 27002: wymagania i kontrole).

W1 Ochrona danych finansowych, podatkowych i pracowniczych wielu klientów.

W3 Zrozumienie art. 28 RODO (umowa powierzenia przetwarzania danych osobowych).

U1 Opracowanie zasad ochrony danych dla małego przedsiębiorstwa usługowego.

U2 Wskazanie uchybień w kopiach zapasowych i pracy zdalnej personelu.

K2 K3 Budowa zaufania biznesowego i przestrzeganie tajemnicy zawodowej.

Efekty uczenia się zadania (spodziewane osiągnięcia):

• Charakteryzuje zagrożenia związane z przetwarzaniem danych klientów i płac w imieniu podmiotów zewnętrznych.
• Stosuje pojęcia procesora i podmiotu przetwarzającego oraz wymagania umowy powierzenia.
• Dobiera zabezpieczenia dla pracy hybrydowej, nośników i kopii zapasowych adekwatne do skali biura.
• Przygotowuje referat z analizą ryzyka, tabelą reguł i procedurą incydentu.

Celem zadania jest wykształcenie umiejętności projektowania polityki bezpieczeństwa dla podmiotu świadczącego usługi księgowe i kadrowo-płacowe (procesor danych w rozumieniu RODO). Studenci zapoznają się z problematyką ochrony tajemnicy przedsiębiorstwa klientów, bezpieczeństwem baz danych finansowych, wymogami umów powierzenia przetwarzania danych oraz specyfiką pracy hybrydowej księgowych.

Cele szczegółowe:

• Nauczyć się rozróżniać dane klienta biura i dane jego pracowników oraz podstawy ich przetwarzania.
• Nauczyć się przygotować zapis umowy powierzenia przetwarzania danych osobowych.
• Przećwiczyć zabezpieczanie pracy zdalnej i wymiany dokumentów z klientami.
• Nauczyć się projektować kopie zapasowe wraz z testem odtworzenia.

Kryterium zaliczenia zadania: referat uznaje się za zaliczone, jeżeli zawiera propozycję klauzul umowy powierzenia, analizę czterech uchybień ze scenariusza, sześć reguł polityki dla pracy hybrydowej oraz bibliografię z co najmniej pięcioma pozycjami.

Karta organizacyjna analizowanej jednostki (do uzupełnienia na podstawie scenariusza):

Biuro Rachunkowe „Fiskus-Pro” sp. z o.o. świadczy kompleksowe usługi księgowe, podatkowe i kadrowo-płacowe dla 60 podmiotów gospodarczych (spółki z o.o., jednoosobowe działalności gospodarcze, spółki cywilne). W biurze pracuje 8 księgowych oraz 2 specjalistki ds. kadr i płac. Część pracowników pracuje w modelu hybrydowym (3 dni w biurze, 2 dni w domu). Firma korzysta ze stacjonarnych programów finansowo-księgowych, modułu kadrowo-płacowego oraz aplikacji ZUS Płatnik.

Audyt organizacyjny wykazał:

• Umowy z klientami: w umowach o obsługę księgową brak jest formalnych umów powierzenia przetwarzania danych osobowych (DPA) zgodnych z art. 28 RODO – biuro przetwarza dane pracowników swoich klientów bez wymaganych upoważnień.
• Wymiana dokumentów: klienci przesyłają skany faktur, umów o pracę, zwolnień lekarskich ZUS ZLA oraz list płac jako otwarte, niezaszyfrowane załączniki w wiadomościach e-mail lub przekazują papierowe faktury w kartonach pozostawianych w korytarzu biura.
• Praca zdalna: księgowe kopiują bazy danych klientów na prywatne dyski twarde laptopów domowych przez niezabezpieczony protokół FTP lub przenoszą je na pendrive. Laptopy domowe są współdzielone z dziećmi i małżonkami.
• Kopie zapasowe: administrator biura wykonuje kopię zapasową raz w miesiącu na zewnętrzny dysk USB, który leży na parapecie obok okna w pokoju księgowych. Nigdy nie przeprowadzono próbnego odtworzenia danych z tej kopii.

Przebieg procesu objętego zadaniem:

1. Klient przesyła dokumenty do biura, najczęściej jako otwarte załączniki w poczcie elektronicznej albo w kartonie na korytarzu.
2. Księgowa wprowadza dokumenty do programu księgowego i sprawdza poprawność danych.
3. Specjalistka ds. kadr i płac przygotowuje listy płac, wnioski do ZUS i dokumenty kadrowe pracowników klienta.
4. Kopie baz danych klientów są zapisywane na prywatnych dyskach laptopów domowych, aby móc pracować z domu.
5. Administrator wykonuje kopię zapasową raz w miesiącu na zewnętrzny dysk USB przechowywany w pokoju księgowych.
6. Dokumenty w wersji papierowej pozostają w biurku, na korytarzu lub przy wspólnej drukarce do czasu archiwizacji.

Na co zwrócić uwagę przy analizie scenariusza:

• Biuro jest przetwarzającym, a klienci administratorami danych, dlatego umowa powierzenia jest warunkiem legalności przetwarzania.
• Zwolnienia lekarskie pracowników to dane o zdrowiu, czyli dane szczególnej kategorii wymagające dodatkowej ostrożności.
• Kopia zapasowa, której nikt nie próbował odtworzyć, daje pozorne bezpieczeństwo; test odtworzenia jest częścią procesu.
• Praca hybrydowa wymaga zasad, które zastępują kontrolę fizyczną biura: szyfrowanie dysku, osobne konta, zakaz współdzielenia laptopa.
• Nieużywany dysk USB leżący na parapecie to dostęp fizyczny do danych wszystkich klientów dla każdej osoby w biurze.

Odpowiedzcie w zespołach na poniższe pytania przed przystąpieniem do redagowania polityki:

1. Które elementy umowy powierzenia są niezbędne, aby przetwarzanie danych klientów przez biuro było zgodne z RODO?
2. Jak zorganizować bezpieczną wymianę dokumentów z klientem, który nie korzysta z bezpiecznego transferu?
3. Jakie zabezpieczenia są konieczne przy pracy z danymi klienta na prywatnym laptopie w domu?
4. Dlaczego comiesięczna kopia na pendrive jest niewystarczająca i jak zorganizować kopię w małym biurze?
5. Jak rozwiązać problem przechowywania dokumentów w korytarzu bez utrudniania pracy i bez utraty dowodu doręczenia?
6. Kiedy biuro musi zawiadomić klienta, a kiedy organ nadzorczy po zgłoszeniu przez klienta naruszenia?

Uwaga: rozdzielajcie zadania administratora danych i przetwarzającego, bo od tego zależy, kto właściwie decyduje o sposobie zabezpieczenia.

Krok 1 (podział ról w zespole):

• Rola 1 – Koordynator Definiuje nadrzędną politykę bezpieczeństwa biura rachunkowego oraz standardową umowę powierzenia przetwarzania danych (art. 28 RODO).
• Rola 2 – Specjalista IT Opracowuje procedurę bezpiecznej pracy zdalnej (VPN, szyfrowanie dysków, zakaz współdzielenia sprzętu) oraz harmonogram i testy kopii zapasowych (backup).
• Rola 3 – Audytor procesowy Opracowuje procedurę bezpiecznego przyjmowania i archiwizowania dokumentów księgowych od klientów oraz zasady niszczenia dokumentacji przeterminowanej.

Krok 2 (analiza ryzyk procesora danych): zidentyfikujcie konsekwencje utraty lub wycieku danych kadrowo-płacowych (np. zarobki, zajęcia komornicze, numery PESEL i kont bankowych) dla klientów biura i samego biura.

Krok 3 (zaprojektowanie polityki transferu danych): opiszcie bezpieczny kanał komunikacji z klientem (np. szyfrowany portal klienta lub szyfrowanie plików programem 7-Zip hasłem przesyłanym SMS-em).

Krok 4 (zasady pracy hybrydowej): zredagujcie 5 żelaznych reguł dla pracownika wykonującego pracę księgową z domu.

Krok 5 (ocena ryzyka): oceń ryzyko dla czterech zagrożeń: braku umowy powierzenia, niezaszyfrowanej wymiany dokumentów, niekontrolowanego dostępu do kopii baz na laptopach domowych i braku działającej kopii zapasowej.

• Dla każdego zagrożenia określ zdarzenie, zasób, np. listę płac, i skutek dla administratora danych, czyli klienta.
• Skorzystaj z kalkulatora ryzyka w górnej części strony i zapisz ocenę.
• Wskaż zabezpieczenie, jego koszt oraz to, kto je wdraża: biuro czy klient.

Krok 6 (obrona referatu przed grupą): przedstawcie referat w 10 minutach, odnosząc propozycje do pytań kontrolnych z sekcji „Pytania kontrolne do analizy scenariusza”.

• Wyjaśnijcie, które z proponowanych zabezpieczeń spoczywają na biurze, a które należy zapisać w umowie powierzenia.
• Opiszcie, jak zminimalizować wpływ wdrożenia na codzienną pracę księgowej.
• Wskażcie rozwiązanie, które podnosi bezpieczeństwo bez nakładów finansowych.

Sugerowany przebieg 180-minutowego ćwiczenia:

Studenci przygotowują referat pisemny (4–6 stron A4) i wystąpienie:

1. Wprowadzenie: rola biura rachunkowego jako zaufanego powiernika tajemnic handlowych i danych osobowych.
2. Ocena ryzyka w biurze „Fiskus-Pro”: wskazanie uchybień w zakresie RODO, backupu i pracy zdalnej.
3. Przedstawienie Polityki Bezpieczeństwa Informacji: architektura bezpieczeństwa procesora danych.
4. Wzór umowy powierzenia i instrukcji pracy zdalnej.
5. Podsumowanie: korzyści rynkowe wynikające z certyfikowanego bezpieczeństwa w pozyskiwaniu nowych klientów biznesowych.

Szablon układu referatu:

Wymagania formalne:

• Rozróżnij w referacie obowiązki biura jako przetwarzającego i klienta jako administratora danych.
• Proponowane klauzule umowy formułuj językiem zobowiązań, wskazując podstawę prawną i sposób weryfikacji.
• Opisz sposób realizacji praw osoby, której dane dotyczy, przez biuro jako przetwarzającego.
• W bibliografii wyróżnij akty prawne, normy i źródła praktyczne.

Uwaga: najczęstsze błędy obniżające ocenę to pominięcie umowy powierzenia, utożsamienie kopii zapasowej z zabezpieczeniem bez testu odtworzenia, brak rozróżnienia odpowiedzialności klienta i biura oraz żądanie zabezpieczeń, na które klient nie wyraził zgody.

Wzorcowa polityka bezpieczeństwa biura rachunkowego zawiera:

• Uregulowanie relacji kontraktowych: wprowadzenie obligatoryjnego aneksu do każdej umowy z klientem – Umowy Powierzenia Przetwarzania Danych Osobowych określającej cel, zakres i czas przetwarzania danych.
• Bezpieczeństwo wymiany informacji: likwidacja przesyłania danych kadrowych w jawnych e-mailach – wdrożenie dedykowanego portalu klienta z szyfrowaniem SSL/TLS lub bezwzględny wymóg szyfrowania paczek zip silnym algorytmem AES-256 z przekazywaniem hasła osobnym kanałem (SMS).
• Standardy pracy zdalnej i mobilnej:
  • Zakaz pracy na prywatnym sprzęcie domowym (eliminacja niekontrolowanego BYOD) – wydanie służbowych laptopów z zaszyfrowanym dyskiem (BitLocker / LUKS).
  • Łączenie z bazami biura wyłącznie przez szyfrowany tunel VPN z uwierzytelnianiem dwuskładnikowym.
  • Zakaz logowania się innych domowników na służbowy profil użytkownika.
• Zarządzanie kopiami zapasowymi (Zasada 3-2-1):
  • Wykonywanie codziennych automatycznych kopii przyrostowych i cotygodniowych pełnych na zaszyfrowany dysk sieciowy NAS oraz kopię w bezpiecznej chmurze.
  • Kwartalowy test odtworzeniowy bazy na maszynie testowej z wpisem do protokołu.

Wzorcowy zestaw reguł polityki (fragment tabeli reguł):

Wzorcowa procedura zgłaszania incydentu:

1. Pracownik zgłasza zdarzenie kierownikowi i administratorowi w ciągu 2 godzin, wskazując klienta, system i rodzaj danych.
2. Jeżeli zdarzenie dotyczy baz klienta, biuro wstrzymuje dalsze przetwarzanie dla tego klienta do czasu oceny.
3. Ustala się, jakie dane i jakich osób dotyczy zdarzenie, jak długo trwało i czy nastąpiło przekazanie danych poza biuro.
4. Biuro informuje administratora danych, czyli klienta, bo to on decyduje o zawiadomieniu organu nadzorczego w terminie 72 godzin.
5. W razie konieczności zmienia się hasła lub klucze, a uszkodzone nośniki są natychmiast wycofywane z użytku.
6. Po zakończeniu działań sporządza się notatkę z wnioskami i informuje klienta o podjętych środkach.

Zalety rozwiązania:

• Zabezpieczenie biura przed roszczeniami odszkodowawczymi klientów w razie wycieku danych lub utraty ksiąg handlowych.
• Odporność na ataki typu ransomware dzięki odseparowanym kopiom zapasowym.
• Zwiększenie prestiżu i przewagi konkurencyjnej biura rachunkowego na rynku usług finansowych.

Wady i trudności wdrożeniowe:

• Koszt zakupu służbowych laptopów dla pracowników pracujących hybrydowo oraz licencji na oprogramowanie VPN i backup.
• Konieczność wyedukowania klientów biura w zakresie szyfrowania przesyłanych dokumentów.
• Dodatkowy nakład czasu administratora na monitorowanie i testowanie kopii zapasowych.

Bilans wdrożenia proponowanej polityki:

Kryteria wyboru wariantu polityki: wariant zgodny z literą przepisów, czyli umowa powierzenia, szyfrowany dostęp zdalny i testowana kopia, jest lepszy niż rozwiązanie pozornie tańsze. Porównując warianty, uwzględnijcie koszt wdrożenia i realne możliwości małego biura, w którym nie ma pełnoetatowego administratora.

• Rozporządzenie RODO: art. 28 (podmiot przetwarzający), art. 29 (przetwarzanie z upoważnienia), art. 32 (środki techniczne i organizacyjne).
• Ustawa z dnia 29 września 1994 r. o rachunkowości (Dz.U. z 2026 r. poz. 522) – rozdział 8: Ochrona danych.
• Ustawa z dnia 16 kwietnia 1993 r. o zwalczaniu nieuczciwej konkurencji (Dz.U. z 2026 r. poz. 85) – art. 11 (tajemnica przedsiębiorstwa).
• Norma PN-EN ISO/IEC 27001:2022 – Załącznik A: A.5.19 (Bezpieczeństwo w relacjach z dostawcami), A.6.7 (Praca zdalna), A.8.13 (Kopie zapasowe informacji).
• Wytyczne Europejskiej Rady Ochrony Danych (EROD): Wytyczne 07/2020 w sprawie pojęć administratora i podmiotu przetwarzającego w RODO.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO): art. 5 ust. 1 lit. c i f (minimalizm i poufność), art. 24 (obowiązki administratora) oraz art. 33 i 34 (reakcja na naruszenie).
• Ustawa z dnia 4 października 2019 r. o pracy zdalnej – obowiązki pracodawcy dotyczące ochrony danych pracowanych spoza siedziby.
• Norma ISO/IEC 27002:2022 oraz ISO/IEC 27005:2022 – zabezpieczenia dla pracy zdalnej i metodyka oceny ryzyka.
• Kodeks pracy, czyli ustawa z dnia 26 czerwca 1974 r., art. 67¹⁸–67²⁰ (praca zdalna) oraz art. 207 § 1 (odpowiedzialność za stan bezpieczeństwa i higieny pracy).

Powiązanie z wykładem: Wykład 1 (Rola audytu w systemie bezpieczeństwa informacji) oraz Wykład 3 (ISO/IEC 27001 i 27002: wymagania i kontrole).

W1 Ochrona danych konsumentów i historii transakcji zakupowych.

W2 W3 Wymogi bezpieczeństwa handlu cyfrowego i standardów płatniczych.

U1 Opracowanie procedur bezpieczeństwa platformy internetowej.

U2 Wykrycie podatności organizacyjnych i technicznych w obsłudze zamówień.

K2 K3 Odpowiedzialność za ochronę środków finansowych i tożsamości konsumentów.

Efekty uczenia się zadania (spodziewane osiągnięcia):

• Charakteryzuje zagrożenia związane z przetwarzaniem danych klientów sklepu internetowego i obsługą zamówień.
• Stosuje zasadę minimalnych uprawnień w systemie sklepu i w magazynie.
• Dobiera zabezpieczenia dla panelu administracyjnego, płatności i danych kart klientów.
• Przygotowuje referat wraz z procedurą reagowania na włamanie i powiadamiania klientów.

Celem zadania jest zaznajomienie studentów z architekturą polityki bezpieczeństwa w sektorze handlu elektronicznego (E-commerce). Zadanie koncentruje się na ochronie bazy kont klientów, bezpieczeństwie transakcji płatniczych, zarządzaniu dostępem personelu infolinii i magazynu oraz procedurach postępowania w razie wykrycia luki w aplikacji sklepowej.

Cele szczegółowe:

• Nauczyć się projektować model uprawnień dla personelu biura obsługi klienta i magazynu.
• Nauczyć się zabezpieczać panel administracyjny sklepu, w tym uwierzytelnianie dwuskładnikowe i dostęp z zewnątrz.
• Przećwiczyć reagowanie na prośby klientów o dane karty i wyjaśnić, dlaczego takich próśb nie wolno realizować.
• Nauczyć się przygotować procedurę awarii oraz plan powiadamiania klientów i organu nadzorczego.

Kryterium zaliczenia zadania: referat uznaje się za zaliczone, jeżeli zawiera model uprawnień personelu, analizę wszystkich czterech opisanych obszarów uchybień, sześć reguł polityki oraz procedurę reagowania na włamanie z podaniem terminu zgłoszenia.

Karta organizacyjna analizowanej jednostki (do uzupełnienia na podstawie scenariusza):

Sklep internetowy „Trendy-Wear.pl” sprzedaje odzież i obuwie. Posiada zarejestrowaną bazę 120 000 klientów oraz realizuje średnio 800 zamówień dziennie. Platforma e-sklepu oparta jest na popularnym systemie zarządzania treścią w chmurze zewnętrznej. W firmie pracuje 12 konsultantów biura obsługi klienta (BOK), 8 pracowników magazynu pakujących paczki oraz 2 administratorów e-commerce.

W toku audytu ujawniono krytyczne nieprawidłowości:

• Nadmiarowe uprawnienia personelu BOK: każdy z 12 konsultantów infolinii posiada pełne uprawnienia administratora sklepu – może jednym kliknięciem wyeksportować całą bazę 120 000 klientów do pliku Excel na swój dysk.
• Bezpieczeństwo magazynu: etykiety adresowe z numerami telefonów i adresami klientów leżą w stosach przy taśmie pakowania, a kurierzy różnych korporacji mają swobodny dostęp do hali magazynowej.
• Hasła i dostęp administracyjny: do głównego panelu zarządzania sklepem logowanie odbywa się wyłącznie za pomocą loginu „admin” i hasła składającego się z 8 liter, bez zabezpieczenia dwuetapowego (2FA). Adres panelu (/admin) jest publicznie dostępny z każdego miejsca w sieci.
• Płatności i karty: klienci zgłaszają reklamacje mailowo, a konsultanci proszą ich w odpowiedzi o przesłanie skanu karty płatniczej z widocznym kodem CVV w celu „weryfikacji wpłaty”.
• Brak procedury awarii: sklep nie posiada procedury reagowania na wypadek włamania na serwer ani planu powiadamiania klientów i Prezesa UODO o naruszeniu ochrony danych.

Przebieg procesu objętego zadaniem:

1. Klient składa zamówienie w sklepie internetowym, a system generuje list przewozowy i etykietę adresową.
2. Konsultant obsługuje zapytania klientów przez telefon, czat i pocztę e-mail, mając dostęp do pełnego panelu administracyjnego.
3. Pracownik magazynu wybiera towar, pakuje go i nakleja etykietę z adresem oraz telefonem klienta na paczce.
4. Kurier odbiera paczkę w hali magazynowej, a w godzinach wysyłki mają dostęp do hali także inni kurierzy.
5. Obsługa reklamacji odbywa się mailowo, a konsultanci w odpowiedziach proszą o przesłanie skanu karty z kodem CVV.
6. W razie włamania lub awarii nikt nie ma przygotowanego planu działania ani obowiązku zgłoszenia naruszenia.

Na co zwrócić uwagę przy analizie scenariusza:

• Wspólne uprawnienia administratora przy 12 konsultantach oznaczają, że jedna osoba może wyeksportować całą bazę klientów.
• Dane karty płatniczej nigdy nie powinny być zbierane przez obsługę klienta; poprawnym rozwiązaniem jest odesłanie klienta do bezpiecznego kanału płatności.
• Etykiety z adresami i telefonami leżące w hali, do której wchodzą kurierzy, ujawniają dane osobowe osobom postronnym.
• Panel dostępny z Internetu bez uwierzytelniania dwuskładnikowego jest pierwszym celem ataku, dlatego ograniczenie dostępu ma pierwsze znaczenie.
• Brak procedury awarii oznacza, że w pierwszych godzinach po incydencie nikt nie wie, kto powiadamia klientów i organ nadzorczy.

Odpowiedzcie w zespołach na poniższe pytania przed przystąpieniem do redagowania polityki:

1. Jak powinien wyglądać model uprawnień dla konsultanta biura obsługi klienta, pracownika magazynu i administratora?
2. Dlaczego konsultant nie może prosić klienta o skan karty z kodem CVV, co mu odpowiedzieć i gdzie skierować klienta?
3. Jak zabezpieczyć panel administracyjny, aby był dostępny dla administracji, a niedostępny dla osób postronnych?
4. Co zrobić, aby kurierzy nie widzieli danych innych klientów podczas odbioru paczek?
5. Kto powiadamia klientów po naruszeniu, w jakim terminie i o czym powinno zawiadomić?
6. Jakie dane sklep może przekazać operatorowi płatności, a jakich nie powinien przechowywać samodzielnie?

Uwaga: przy każdej odpowiedzi wskaż, kto jest administratorem danych, kto przetwarza w jego imieniu i kto odpowiada za zgłoszenie naruszenia.

Krok 1 (podział ról w zespole):

• Rola 1 – Koordynator Tworzy zarys Polityki Bezpieczeństwa E-commerce oraz politykę zarządzania tożsamością i uprawnieniami (zasada najmniejszych uprawnień).
• Rola 2 – Specjalista IT Opracowuje wymogi techniczne panelu administracyjnego (2FA, ograniczenie po adresach IP, blokada eksportu baz) oraz zasady integracji z bramkami płatniczymi.
• Rola 3 – Audytor RODO Analizuje procedurę powiadamiania o incydencie naruszenia danych w 72 godziny (art. 33 RODO) oraz zasady ochrony danych na etykietach kurierskich.

Krok 2 (analiza wektorów ataku): wskażcie 3 najbardziej prawdopodobne scenariusze ataku na sklep (np. przejęcie konta administratora, kradzież bazy przez niezadowolonego pracownika, wyciek danych kartowych).

Krok 3 (projekt matrycy uprawnień): zaprojektujcie tabelę ról: Konsultant BOK, Magazynier, Kierownik, Administrator techniczny – wskazując, do jakich danych dana rola ma wgląd, a do jakich nie.

Krok 4 (plan reakcji na incydent wycieku danych): opiszcie w 5 krokach, co robi właściciel sklepu od momentu zorientowania się, że baza klientów została pobrana przez nieuprawnioną osobę.

Krok 5 (ocena ryzyka): oceń ryzyko dla czterech zagrożeń: nadmiernych uprawnień konsultantów, widocznych etykiet w hali, braku uwierzytelniania dwuskładnikowego oraz żądań danych karty.

• Dla każdego zagrożenia określ zdarzenie, zasób i skutek: utrata poufności, oszustwo czy kara finansowa.
• Skorzystaj z kalkulatora ryzyka w górnej części strony i zapisz poziom ryzyka.
• Wskaż zabezpieczenie, jego koszt i osobę odpowiedzialną, preferencyjnie jedną z dwóch osób administracyjnych.

Krok 6 (obrona referatu przed grupą): przedstawcie referat w 10 minutach, odnosząc propozycje do pytań kontrolnych z sekcji „Pytania kontrolne do analizy scenariusza”.

• Uzasadnijcie wybór modelu uprawnień i wskażcie, jak wdrożyć go w sklepie, w którym platforma należy do dostawcy chmurowego.
• Opiszcie, jak zakomunikować konsultantom zmianę procedury, żeby nie została zignorowana.
• Wskażcie jeden element polityki, który wymaga współpracy z operatorem płatności lub operatorem logistyki.

Sugerowany przebieg 180-minutowego ćwiczenia:

Studenci przygotowują referat pisemny (4–6 stron A4) i wystąpienie:

1. Wprowadzenie: cyberzagrożenia w handlu internetowym i zaufanie konsumenta jako waluta e-biznesu.
2. Analiza stanu zastanego w sklepie „Trendy-Wear.pl”: wykazanie luk technicznych i rażących błędów procedur płatniczych.
3. Propozycja Polityki Bezpieczeństwa Informacji E-commerce: nowe reguły dla BOK, magazynu i administratorów.
4. Procedura zgłaszania naruszeń do organu nadzorczego (UODO) i komunikacji kryzysowej z klientami.
5. Podsumowanie: wpływ wdrożonych zabezpieczeń na wskaźnik konwersji i wiarygodność marki.

Szablon układu referatu:

Wymagania formalne:

• Opisz platformę jako system zewnętrzny i wskaż, które zabezpieczenia zależą od dostawcy, a które od sklepu.
• W każdej regule wskaż osobę odpowiedzialną i sposób sprawdzenia jej wykonania.
• Podaj w procedurze awarii konkretne terminy, w tym 72 godziny na zgłoszenie naruszenia.
• Powołuj się na przepisy o płatnościach i o usługach drogą elektroniczną, a nie wyłącznie na RODO.

Uwaga: najczęstsze błędy obniżające ocenę to proponowanie zabezpieczeń niemożliwych do wdrożenia w platformie wynajmowanej, brak rozróżnienia danych operatora płatności od danych sklepu, pominięcie komunikacji kryzysowej oraz utożsamienie uwierzytelniania dwuskładnikowego z pełnym bezpieczeństwem.

Wzorcowa polityka bezpieczeństwa e-sklepu wprowadza:

• Zasadę minimalnych uprawnień (Need-to-Know / Least Privilege):
  • Odebranie konsultantom BOK uprawnień administratorskich – dostęp wyłącznie do podglądu pojedynczego zamówienia (imię, nazwisko, status przesyłki), z zamaskowanym numerem PESEL i zamaskowanymi danymi karty.
  • Całkowite zablokowanie możliwości eksportu zbiorczego bazy danych klientów dla ról innych niż Główny Administrator.
• Bezpieczeństwo panelu administracyjnego:
  • Wymuszenie wieloskładnikowego uwierzytelniania (2FA) z użyciem klucza sprzętowego U2F lub aplikacji TOTP.
  • Ograniczenie dostępu do panelu administracyjnego wyłącznie z autoryzowanych adresów IP biura lub przez firmowy VPN.
• Bezpieczeństwo operacji finansowych: bezwzględny zakaz żądania i przetwarzania kodów CVV/CVC kart płatniczych przez personel – rozliczenia wyłącznie przez certyfikowane bramki płatnicze (standard PCI DSS).
• Bezpieczeństwo fizyczne w strefie logistyki: etykiety adresowe drukowane pojedynczo tuż przed naklejeniem na paczkę, zakaz wstępu kurierów w głąb strefy pakowania towaru.
• Procedura zarządzania incydentami: wdrożenie rejestru incydentów oraz procedury powiadomienia Prezesa UODO w ciągu 72 godzin od stwierdzenia naruszenia.

Wzorcowy zestaw reguł polityki (fragment tabeli reguł):

Wzorcowa procedura zgłaszania incydentu:

1. Osoba, która zauważyła nieprawidłowość, melduje natychmiast administratorowi e-commerce i nie zmienia konfiguracji ani haseł.
2. Administratorzy wstrzymują dostęp do panelu, blokują wskazane konta i zabezpieczają logi oraz kopie bazy.
3. Ocenia się zakres naruszenia: liczba rekordów, rodzaj danych, czas ekspozycji i czy dane trafiły poza sklep.
4. Prezes zarządu zawiadamia organ nadzorczy w terminie 72 godzin od wykrycia, gdy ryzyko dla praw osób jest wysokie.
5. Klienci otrzymują zrozumiały komunikat o rodzaju naruszenia, podjętych środkach i sposobie zgłoszenia sprawy.
6. Po zakończeniu działań powstaje notatka z wnioskami, a zespół wdraża zmiany w polityce i w konfiguracji platformy.

Zalety rozwiązania:

• Uniemożliwienie masowej kradzieży bazy klientów przez nielojalnego pracownika lub z użyciem prostego ataku phishingowego.
• Zgodność z międzynarodowymi standardami bezpieczeństwa płatności bezgotówkowych PCI DSS.
• Zminimalizowanie ryzyka gigantycznych kar finansowych nakładanych przez UODO i UOKiK za naruszenie praw konsumentów.

Wady i trudności wdrożeniowe:

• Koszt wdrożenia kluczy sprzętowych 2FA oraz rekonfiguracji oprogramowania sklepu.
• Drobne spowolnienie pracy konsultantów infolinii przy konieczności autoryzacji niestandardowych operacji przez kierownika.
• Konieczność przeszkolenia zespołu magazynowego w zakresie dbałości o dokumenty przewozowe.

Bilans wdrożenia proponowanej polityki:

Kryteria wyboru wariantu polityki: zdecydowanie najlepszy jest wariant prosty i technicznie możliwy do wdrożenia przez dwie osoby administracyjne, a nie system klasy korporacyjnej. Porównując warianty, sprawdźcie, ile kosztuje każde zabezpieczenie i jak szybko da się je wdrożyć, bo sklep działa codziennie i nie może przestać realizować zamówień.

• Rozporządzenie RODO: art. 32 (bezpieczeństwo przetwarzania), art. 33 (zgłaszanie naruszeń do organu nadzorczego), art. 34 (zawiadamianie osoby o naruszeniu).
• Ustawa z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną (Dz.U. z 2024 r. poz. 1513).
• Standard bezpieczeństwa danych w branży kart płatniczych PCI DSS (Payment Card Industry Data Security Standard) v4.0.
• Norma PN-EN ISO/IEC 27001:2022 – Załącznik A: A.8.2 (Prawa dostępu uprzywilejowanego), A.8.12 (Zapobieganie wyciekowi danych), A.8.16 (Monitorowanie aktywności).
• Wytyczne EROD 01/2021 w sprawie przykładów dotyczących zgłaszania naruszeń ochrony danych osobowych.
• Ustawa z dnia 23 kwietnia 1964 r. – Kodeks cywilny, art. 556–558 (odstąpienie od umowy i rękojmia w umowach zawartych z konsumentem zdalnie) – zwroty i reklamacje w sklepie internetowym.
• Ustawa z dnia 19 sierpnia 2011 r. o usługach płatniczych – zasady bezpieczeństwa i odpowiedzialności w obsłudze płatności.
• Norma ISO/IEC 27002:2022 oraz ISO/IEC 27005:2022 – model uprawnień, uwierzytelnianie, zarządzanie incydentami i ocena ryzyka.
• Wytyczne Europejskiej Rady Ochrony Danych (EROD) 4/2019 w sprawie artykułu 25 RODO (ochrona danych w fazie projektowania i domyślna ochrona danych).

Powiązanie z wykładem: Wykład 1 (Rola audytu w systemie bezpieczeństwa informacji) oraz Wykład 3 (ISO/IEC 27001 i 27002: wymagania i kontrole).

W1 Ochrona tajemnicy bankowej i danych finansowych klientów.

W2 W3 Rozporządzenie DORA (UE 2022/2554) oraz ustawy Prawo bankowe.

U1 Opracowanie zintegrowanej polityki bezpieczeństwa fizycznego i cyfrowego.

U2 Identyfikacja luk w strefie kasowej, archiwum i stacjach doradców.

K2 K3 Zrozumienie krytycznego znaczenia zaufania i rygoryzmu procedur w sektorze bankowym.

Efekty uczenia się zadania (spodziewane osiągnięcia):

• Charakteryzuje zagrożenia typowe dla placówki finansowej obsługującej klientów indywidualnych i rolników.
• Dobiera zabezpieczenia dla strefy doradców, archiwum, kluczy i systemu transakcyjnego.
• Tworzy reguły uwzględniające obowiązki banku wobec klienta i wymogi nadzoru.
• Przygotowuje referat z oceną ryzyka i procedurą reagowania na incydent.

Celem zadania jest zapoznanie studentów ze specyfiką polityki bezpieczeństwa w instytucji zaufania publicznego podlegającej nadzorowi Komisji Nadzoru Finansowego (KNF). Studenci poznają elementarne zasady bezpieczeństwa fizycznego i teleinformatycznego w obsłudze operacji gotówkowych i bezgotówkowych, wymogi DORA, ochronę tajemnicy bankowej oraz procedury autoryzacji dyspozycji finansowych.

Cele szczegółowe:

• Nauczyć się chronić dokumentację kredytową i dane klientów w placówce bez stałej obsługi informatycznej.
• Przećwiczyć zabezpieczanie pomieszczeń, kluczy i zasady czystego biurka.
• Nauczyć się projektować bezpieczne zarządzanie hasłami i dostępem do systemu transakcyjnego.
• Nauczyć się porządkować sieć bezprzewodową i telekomunikacyjną w placówce.

Kryterium zaliczenia zadania: referat uznaje się za zaliczone, jeżeli zawiera diagnozę wszystkich opisanych uchybień, sześć reguł polityki z odpowiedzialnymi, ocenę ryzyka dla czterech zagrożeń oraz bibliografię z co najmniej pięcioma pozycjami.

Karta organizacyjna analizowanej jednostki (do uzupełnienia na podstawie scenariusza):

Oddział Banku Spółdzielczego „Ziemia Nadwiślańska” obsługuje 4 500 klientów indywidualnych oraz 350 lokalnych rolników i przedsiębiorców. W oddziale zatrudnionych jest 8 osób: Dyrektor oddziału, 2 kasjerki, 4 doradców klienta oraz 1 informatyk dochodzący na 1/4 etatu. Oddział mieści się w zabytkowej kamienicy i posiada salę operacyjną z dwoma stanowiskami kasowymi, strefę doradców oraz skarbiec podręczny.

Audyt bezpieczeństwa wykazał następujące uchybienia:

• Strefa doradców klienta: doradcy przyjmują wnioski kredytowe ze szczegółowymi zaświadczeniami o dochodach, wyciągami z kont i numerami dowodów osobistych. Podczas gdy doradca idzie do ksero na drugim końcu korytarza, klient siedzi sam przy biurku z otwartym systemem bankowym i dokumentami innych kredytobiorców.
• Hasła do systemu centralnego: hasła do systemu transakcyjnego są zmieniane co 30 dni, ale pracownicy stosują schemat: „Styczen2024!”, „Luty2024!” itd., a informatyk zna hasła wszystkich pracowników, aby „móc pomóc przy awariach”.
• Klucze do archiwum i serwerowni: klucze do pomieszczenia serwerowni i archiwum papierowego wiszą w szafce na zapleczu socjalnym, obok ekspresu do kawy, dostępne dla personelu sprzątającego.
• Zasada czystego biurka: na koniec dnia pracy na biurkach doradców leżą podpisane weksle in blanco, umowy kredytowe i pieczęcie bankowe.
• Wi-Fi w oddziale: w oddziale działa jeden router Wi-Fi bez podziału na sieci – doradcy, kamery monitoringu oraz klienci czekający w kolejce łączą się z tą samą siecią z hasłem „Bank1234”.

Przebieg procesu objętego zadaniem:

1. Klient przychodzi do doradcy i przedstawia wniosek kredytowy wraz z dokumentami źródłowymi.
2. Doradca zakłada sprawę w systemie, kopiuje dokumenty i weryfikuje tożsamość klienta.
3. Klient oczekuje w kolejce, a dokumenty wniosku pozostają na biurku lub przy systemie.
4. Doradca przechodzi do sali operacyjnej lub ksero, zostawiając klienta przy włączonym systemie.
5. Pod koniec dnia dokumenty podpisane i pieczęcie pozostają na biurku, a klucze do serwerowni i archiwum leżą w zapleczu socjalnym.
6. Klienci i personel łączą się z tą samą siecią bezprzewodową, a kamery monitoringu działają w tej samej sieci.

Na co zwrócić uwagę przy analizie scenariusza:

• Dokumenty kredytowe i zabezpieczenia mają wysoką wartość, dlatego ich utrata lub ujawnienie jest zdarzeniem krytycznym.
• Bank jest instytucją zaufania publicznego, więc ocena wizerunkowa zagrożeń jest równie istotna jak finansowa.
• Informacja o klientach podlega ochronie także wtedy, gdy klient wyraził zgodę na jej przetwarzanie w celu oceny zdolności kredytowej.
• Jeden router bez podziału na sieci oznacza, że zagrożenie po stronie gości może dotrzeć do stanowisk bankowych.
• Znajomość haseł wszystkich pracowników przez informatyka to zaprzeczenie odpowiedzialności za dostęp i utrudnia odtwarzanie zdarzeń.

Odpowiedzcie w zespołach na poniższe pytania przed przystąpieniem do redagowania polityki:

1. Które z przedmiotów pozostawionych na biurku doradcy stanowią najwyższe ryzyko i dlaczego?
2. Jak zorganizować pracę w strefie doradców, aby klient nie pozostawał sam przy włączonym systemie i dokumentach?
3. Jakie zabezpieczenia zastosować dla kluczy do serwerowni i archiwum, zachowując dostęp personelu w godzinach pracy?
4. Dlaczego informatyk nie powinien znać haseł pracowników i jak zorganizować dostęp awaryjny do systemu?
5. Jak podzielić sieć bezprzewodową, aby osoby postronne nie miały dostępu do systemów bankowych?
6. Kto i w jaki sposób może zgłosić podejrzenie ujawnienia danych klienta, aby nie doszło do zatarcia śladów?

Uwaga: przy każdej odpowiedzi wskaż środek, który działa bez udziału klienta, ponieważ bank nie może odmówić obsługi z powodu zabezpieczeń.

Krok 1 (podział ról w zespole):

• Rola 1 – Koordynator Definiuje nadrzędną Politykę Bezpieczeństwa Informacji Oddziału Banku oraz regulamin strefy operacyjnej.
• Rola 2 – Specjalista IT Opracowuje procedurę segmentacji sieci (VLAN), politykę zarządzania hasłami i uprawnieniami oraz zasady ochrony stacji roboczych.
• Rola 3 – Audytor prawny/KNF Analizuje wymogi DORA, tajemnicy bankowej (art. 104 Prawa bankowego) oraz procedurę bezpiecznego przechowywania weksli i pieczęci.

Krok 2 (analiza stref bezpieczeństwa): podzielcie placówkę na 3 strefy: Strefa ogólnodostępna (sala obsługi), Strefa o ograniczonym dostępie (strefa doradców i zaplecze) oraz Strefa zastrzeżona (serwerownia, skarbiec, kasa pancerna).

Krok 3 (opracowanie procedur wykonawczych): zaprojektujcie: Instrukcję czystego biurka i szafy zamykanej na noc, Zbiór reguł haseł i zakazu współdzielenia poświadczeń, Procedurę postępowania z pieczęciami bankowymi i wekslami.

Krok 4 (schemat postępowania w razie awarii): opiszcie, co robi kasjerka, gdy zawiesi się system transakcyjny w trakcie wypłaty gotówki, aby uniknąć oszustwa.

Krok 5 (ocena ryzyka): oceń ryzyko dla czterech zagrożeń: dostępu do dokumentów kredytowych przez osoby postronne, utraty dokumentów pod zabezpieczeniem, przejęcia konta w systemie transakcyjnym i niekontrolowanego dostępu do sieci bezprzewodowej.

• Dla każdego zagrożenia określ zdarzenie, zasób i skutek dla klienta oraz dla banku.
• Skorzystaj z kalkulatora ryzyka w górnej części strony i zapisz poziom ryzyka.
• Wskaż zabezpieczenie, koszt i odpowiedzialnego, biorąc pod uwagę, że w oddziale pracuje jedna osoba informatyczna.

Krok 6 (obrona referatu przed grupą): przedstawcie referat w 10 minutach, odnosząc propozycje do pytań kontrolnych z sekcji „Pytania kontrolne do analizy scenariusza”.

• Uzasadnijcie wybór zabezpieczeń, które można wdrożyć bez angażowania centrali banku.
• Opiszcie, jak zachować dostęp klienta do stanowiska doradcy przy wprowadzeniu zasady czystego biurka.
• Wskażcie jeden element polityki, który wymaga decyzji zarządu oddziału lub centrali.

Sugerowany przebieg 180-minutowego ćwiczenia:

Studenci przygotowują referat pisemny (4–6 stron A4) i wystąpienie ustne:

1. Wprowadzenie: tajemnica bankowa i rygoryzacja procedur w instytucjach finansowych.
2. Diagnoza ryzyk w Oddziale Banku Spółdzielczego: zestawienie luk fizycznych, sieciowych i behawioralnych.
3. Projekt Polityki Bezpieczeństwa Informacji Banku Spółdzielczego zgodnej z DORA.
4. Podział placówki na strefy bezpieczeństwa i wytyczne zarządzania kluczami.
5. Wnioski: dlaczego bezpieczeństwo w banku zależy w 80% od dyscypliny personelu, a w 20% od technologii.

Szablon układu referatu:

Wymagania formalne:

• Rozróżnij zagrożenia dla danych klienta i zagrożenia dla reputacji banku.
• W każdej regule wskaż osobę odpowiedzialną oraz sposób kontroli realizowany w oddziale lub centrali.
• Opisz dostęp awaryjny do systemu, który nie wymaga znajomości haseł pracowników.
• W bibliografii wyróżnij akty prawne, wytyczne nadzoru bankowego i normy.

Uwaga: najczęstsze błędy obniżające ocenę to proponowanie rozwiązań możliwych tylko do wdrożenia przez centralę, brak wyjaśnienia dostawu awaryjnego, pominięcie ochrony wizerunku instytucji zaufania oraz utożsamienie kontroli dostępu z kontrolą wizerunku klienta.

Wzorcowa polityka bankowa wprowadza:

• Fizyczny i logiczny podział na strefy bezpieczeństwa:
  • Strefa 1 (Publiczna): sala obsługi – monitoring CCTV, brak wglądu w monitory doradców.
  • Strefa 2 (Służbowa): dostęp wyłącznie za pomocą kart zbliżeniowych lub zamków szyfrowych dla uprawnionych pracowników.
  • Strefa 3 (Ściśle chroniona): serwerownia i archiwum – drzwi antywłamaniowe klasy RC4, zamek na kod i klucz imienny, monitoring wejścia z rejestrem papierowym i elektronicznym.
• Procedura czystego biurka i ochrony dokumentów wartościowych:
  • Bezwzględny zakaz pozostawiania klienta samego przy stanowisku z odblokowanym komputerem.
  • Wszystkie weksle, umowy i pieczęcie bankowe po zakończeniu obsługi klienta muszą być natychmiast chowane do zamykanych szuflad, a na koniec dnia do sejfu ogniotrwałego.
• Bezpieczeństwo sieciowe i tożsamości:
  • Separacja sieci za pomocą VLAN: VLAN transakcyjny (stacje doradców i serwer), VLAN monitoringu CCTV oraz odizolowany VLAN gościnny Wi-Fi dla klientów z ograniczeniem pasma i odcięciem od sieci wewnętrznej.
  • Likwidacja wiedzy informatyka o hasłach – hasła generowane losowo przez system, zakaz stosowania sekwencji miesięcy.

Wzorcowy zestaw reguł polityki (fragment tabeli reguł):

Wzorcowa procedura zgłaszania incydentu:

1. Pracownik, który zauważył zdarzenie, informuje dyrektora oddziału niezwłocznie, nie powtarzając go innym klientom.
2. Nie wolno oddawać dokumentów, resetować haseł ani kasować logów do czasu ustalenia zakresu naruszenia.
3. Dyrektor ustala, jakie dokumenty i dane klientów były dostępne, komu i jak długo.
4. Ocenia się potrzebę zgłoszenia naruszenia do organu nadzorczego i do centrali banku, wnosząc o blokadę kont i utratę dokumentów.
5. Klienta, którego dane mogły zostać ujawnione, informuje się o charakterze zdarzenia i podjętych środkach.
6. Po zakończeniu działań powstaje notatka z wnioskami, a polityka i szkolenie są aktualizowane.

Zalety rozwiązania:

• Pełna zgodność z zaleceniami Komisji Nadzoru Finansowego i uniknięcie sankcji regulacyjnych.
• Całkowite wyeliminowanie ryzyka podejrzenia danych finansowych przez niepowołane osoby trzecie.
• Ochrona zarządu i pracowników banku przed odpowiedzialnością karną za naruszenie tajemnicy bankowej.

Wady i trudności wdrożeniowe:

• Koszt zakupu zamków szyfrowych, kart zbliżeniowych i nowego routera zarządzalnego.
• Konieczność wyrobienia przez doradców automatycznego nawyku blokowania ekranu przy każdym wstaniu z fotela.
• Początkowy dyskomfort klientów związany z brakiem możliwości swobodnego poruszania się po zapleczu placówki.

Bilans wdrożenia proponowanej polityki:

Kryteria wyboru wariantu polityki: wariant, który da się wdrożyć w oddziale jednym informatykiem i jednym dyrektorem, jest lepszy niż rozwiązanie wymagające decyzji centrali. Porównując warianty, uwzględnijcie wpływ na komfort obsługi klienta, ponieważ dostępność usługi jest w banku częścią jakości.

• Ustawa z dnia 29 sierpnia 1997 r. – Prawo bankowe (Dz.U. z 2026 r. poz. 38) – art. 104 i 105 (tajemnica bankowa).
• Uchwała Komisji Nadzoru Finansowego nr 6/2025 z dnia 10 stycznia 2025 r. w sprawie uchylenia uchwały nr 7/2013 z dnia 8 stycznia 2013 r. (Rekomendacja D) – od 17 stycznia 2025 r. obowiązuje DORA.
• Wytyczne KNF dotyczące zarządzania obszarami technologii informacyjnej zostały uchylone z dniem 17 stycznia 2025 r. (uchwała KNF nr 8/2025); dla banków obowiązuje DORA.
• Norma PN-EN ISO/IEC 27001:2022 – Załącznik A: A.7.1 (Granice fizyczne bezpieczeństwa), A.7.2 (Zabezpieczenia wejść fizycznych), A.8.20 (Bezpieczeństwo sieci).
• Zasady Dobrych Praktyk Związku Banków Polskich w zakresie „Przetwarzania i ochrony danych osobowych w sektorze bankowym”.
• Ustawa z dnia 29 lipca 2005 r. o obrocie instrumentami finansowymi – obowiązki banku w zakresie ochrony informacji i dokumentów klienta.
• Ustawa z dnia 7 grudnia 2000 r. o funkcjonowaniu banków spółdzielczych, ich zrzeszaniu się i bankach zrzeszających (tekst jedn. Dz.U. z 2026 r. poz. 618) – zakres działalności placówki banku spółdzielczego.
• Norma ISO/IEC 27002:2022 oraz ISO/IEC 27005:2022 – zabezpieczenia fizyczne, uwierzytelnianie i ocena ryzyka.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyfrowego sektora finansowego (DORA) – zarządzanie ryzykiem operacyjnym, w tym ryzykiem outsourcingu i dostawców usług.

Powiązanie z wykładem: Wykład 1 (Rola audytu w systemie bezpieczeństwa informacji) oraz Wykład 3 (ISO/IEC 27001 i 27002: wymagania i kontrole).

W1 Ochrona danych kontrahentów, tras przewozowych i zawartości przesyłek.

W2 Normy ISO 27001 w odniesieniu do ciągłości działania (BCM) i fizycznej kontroli dostępu.

U1 Stworzenie procedur bezpieczeństwa dla środowiska biurowo-magazynowego.

U2 Identyfikacja luk na styku logistyka-IT oraz w sieciach bezprzewodowych hali.

K2 K3 Zrozumienie roli bezpieczeństwa w zapobieganiu stratom materialnym i paraliżowi łańcucha dostaw.

Efekty uczenia się zadania (spodziewane osiągnięcia):

• Charakteryzuje zagrożenia centrum dystrybucyjnego z ruchem ciężarówek i terminalami magazynowymi.
• Dobiera zabezpieczenia dla strefy załadunku, dyspozytorni, terminali i sieci bezprzewodowej na hali.
• Tworzy reguły uwzględniające dokumenty przewozowe i monitoring bram wjazdowych.
• Przygotowuje referat z oceną ryzyka i procedurą reagowania na incydent.

Celem zadania jest nauczenie studentów projektowania polityki bezpieczeństwa dla średniego przedsiębiorstwa produkcyjno-magazynowego. Zadanie skupia się na zabezpieczeniu ciągłości dostaw, ochronie systemu zarządzania magazynem (WMS/ERP), kontroli dostępu personelu zewnętrznego (kierowcy, serwisanci) oraz ochronie urządzeń mobilnych (skanery magazynowe, tablety wózkowe) działających w sieci bezprzewodowej.

Cele szczegółowe:

• Nauczyć się oddzielać strefy o różnym poziomie dostępu w obiekcie przekraczającym 12 tys. m kw.
• Przećwiczyć zabezpieczanie urządzeń mobilnych pracujących w systemie trójzmianowym.
• Nauczyć się zabezpieczania sieci bezprzewodowej na hali magazynowej.
• Nauczyć się porządkowania dokumentów przewozowych i monitoringu bram wjazdowych.

Kryterium zaliczenia zadania: referat uznaje się za zaliczone, jeżeli zawiera diagnozę wszystkich opisanych uchybień, sześć reguł polityki, ocenę ryzyka dla czterech zagrożeń oraz bibliografię z co najmniej pięcioma pozycjami.

Karta organizacyjna analizowanej jednostki (do uzupełnienia na podstawie scenariusza):

Firma logistyczna „Trans-Cargo Logistics” sp. z o.o. zarządza centrum dystrybucyjnym o powierzchni 12 000 m kw. Zatrudnia 30 pracowników biurowych (spedycja, księgowość, dyspozytornia) oraz 70 magazynierów pracujących w systemie 3-zmianowym. Codziennie przez centrum przewija się około 150 kierowców ciężarówek z firm zewnętrznych. Magazynierzy posługują się 50 terminalami radiowymi (kolektorami kodów kreskowych z systemem Android) połączonymi przez sieć Wi-Fi z systemem WMS.

Podczas inspekcji zaobserwowano następujące problemy:

• Dostęp kierowców zewnętrznych: kierowcy wchodzą bezpośrednio do dyspozytorni przez rampę rozładunkową, aby podpisać listy przewozowe. Często stoją za plecami dyspozytora wpatrując się w ekran systemu ze spisem ładunków, adresami odbiorców i wartością towarów.
• Terminale magazynowe: terminale leżą po zmianie na półkach w strefie ładowania. Nie są zabezpieczone żadnym hasłem ani kodem PIN. Magazynierzy instalują na nich z pamięci USB prywatne gry i aplikacje społecznościowe.
• Sieć Wi-Fi na hali magazynowej: sieć radiowa magazynu nie posiada szyfrowania WPA3-Enterprise, lecz proste hasło współdzielone „Magazyn2023”, które znają także wszyscy kierowcy i pracownicy tymczasowi.
• Dokumenty przewozowe CMR: wydrukowane międzynarodowe listy przewozowe CMR zawierające dane kierowców (numery dowodów, PESEL) oraz kontrahentów leżą w otwartych kuwetach przy wyjściu z hali.
• Monitoring bram wjazdowych: kamery rejestrujące tablice rejestracyjne pojazdów wjeżdżających nie nagrywają obrazu w nocy z powodu braku doświetlenia podczerwienią.

Przebieg procesu objętego zadaniem:

1. Kierowca przyjeżdża do bramy, jest rejestrowany w systemie i otrzymuje polecenie załadunku.
2. Kierowca wchodzi do dyspozytorni, aby podpisać listy przewozowe, i stoi za dyspozytorem przy ekranie systemu.
3. Magazynier odbiera zlecenie na terminalu radiowym, kompletuje ładunek i skanuje kody produktów.
4. Dokumenty przewozowe trafiają do kuwet przy wyjściu z hali, gdzie mogą pozostać po zakończeniu zmiany.
5. Po zmianie terminale odkłada się na półki w strefie ładowania i podłącza do nich prywatne nośniki.
6. Kamery bramowe rejestrują tablice rejestracyjne i dane kierowców, a kopie nagrań trafiają do pamięci urządzenia bez ustalonej retencji.

Na co zwrócić uwagę przy analizie scenariusza:

• Rampa rozładunkowa łącząca się z dyspozytornią to granica stref, którą można zamknąć drzwiami i kontrolą dostępu.
• Dokumenty przewozowe zawierają dane osobowe kierowców i wartość towaru, więc leżenie w otwartych kuwetach to ujawnienie danych.
• Terminaly bez blokady i bez aktualizacji to najszybsza droga dostępu do systemu magazynowego, także dla osoby postronnej.
• Jedno hasło do sieci znane wszystkim kierowcom i pracownikom czasowym oznacza, że sieć nie ma granic zaufania.
• Monitoring bram bez retencji i bez kontroli dostępu jest kosztowny, ale nie dostarcza dowodów, gdy zajdzie potrzeba ich użycia.

Odpowiedzcie w zespołach na poniższe pytania przed przystąpieniem do redagowania polityki:

1. Jak rozdzielić strefę publiczną dla kierowców od strefy personelu bez utrudniania pracy rampy?
2. Co zrobić, aby kierowca nie widział ekranu dyspozytora i danych o ładunkach oraz odbiorcach?
3. Jak zabezpieczyć terminale magazynowe, aby nie mogły służyć do instalowania aplikacji i przenoszenia danych na prywatne nośniki?
4. Jak skonfigurować sieć bezprzewodową na hali, aby kierowcy i pracownicy czasowi nie mogli korzystać z systemu WMS?
5. Jak zorganizować obieg i przechowywanie list przewozowych, aby nie pozostawały na wyjściu z hali?
6. Jakie zasady ustalić dla monitoringu bram, w tym kto ma dostęp do nagrań i jak długo są przechowywane?

Uwaga: każde rozwiązanie musi być realne dla pracy trójzmianowej, więc przy ocenie wskażcie koszt i osobę odpowiedzialną za każdą zmianę.

Krok 1 (podział ról w zespole):

• Rola 1 – Koordynator Tworzy zarys Polityki Bezpieczeństwa Informacji Centrum Dystrybucyjnego oraz regulamin poruszania się kierowców i gości po terenie obiektu.
• Rola 2 – Specjalista IT Opracowuje procedury zabezpieczenia terminali magazynowych (system MDM, blokada instalacji aplikacji), zabezpieczenia sieci Wi-Fi i backupu bazy WMS.
• Rola 3 – Audytor procesowy Projektuje bezpieczny obieg listów przewozowych CMR, procedurę weryfikacji kierowców oraz zasady monitoringu stref przeładunku.

Krok 2 (analiza ryzyk operacyjnych): zidentyfikujcie skutki przejęcia kontroli nad siecią Wi-Fi magazynu przez konkurencję lub grupy przestępcze (np. sabotaż wysyłek, kradzież towarów luksusowych).

Krok 3 (opracowanie wytycznych dla personelu magazynowego): sformułujcie 5 prostych reguł bezpiecznego posługiwania się terminalem kodów i dokumentami przewozowymi.

Krok 4 (zabezpieczenie dyspozytorni): zaprojektujcie fizyczną barierę oddzielającą kierowców od komputerów dyspozytorów (np. okienko podawcze, strefa buforowa).

Krok 5 (ocena ryzyka): oceń ryzyko dla czterech zagrożeń: dostępu kierowców do danych dyspozytorni, utraty kontroli nad terminalami, niekontrolowanego dostępu do sieci magazynowej i ujawnienia danych z list przewozowych.

• Dla każdego zagrożenia określ zdarzenie, zasób i skutek operacyjny oraz finansowy.
• Skorzystaj z kalkulatora ryzyka w górnej części strony i zapisz ocenę.
• Wskaż zabezpieczenie, koszt oraz odpowiedzialnego, uwzględniając system zmianowy.

Krok 6 (obrona referatu przed grupą): przedstawcie referat w 10 minutach, odnosząc propozycje do pytań kontrolnych z sekcji „Pytania kontrolne do analizy scenariusza”.

• Uzasadnijcie wybór zabezpieczeń, które można wdrożyć w systemie 3-zmianowym bez zatrzymywania pracy hali.
• Opiszcie, jak zachować płynność obsługi rampy przy wprowadzeniu kontroli dostępu.
• Wskażcie jeden element polityki, który wymaga współpracy z przewoźnikami lub operatorem systemu WMS.

Sugerowany przebieg 180-minutowego ćwiczenia:

Studenci przygotowują referat pisemny (4–6 stron A4) i prezentację:

1. Wprowadzenie: znaczenie bezpieczeństwa informacji w nowoczesnych łańcuchach dostaw (Supply Chain Security).
2. Diagnoza podatności w „Trans-Cargo Logistics”: omówienie słabych punktów w dyspozytorni, sieci Wi-Fi i na terminalach.
3. Projekt Polityki Bezpieczeństwa Informacji dla Centrum Logistycznego: wytyczne techniczne i organizacyjne.
4. Procedura zarządzania tożsamością i ruchem osób z zewnątrz (kierowcy, kurierzy).
5. Podsumowanie: jak polityka bezpieczeństwa zapobiega przestępczości gospodarczej i chroni przed stratami logistycznymi.

Szablon układu referatu:

Wymagania formalne:

• Narysuj lub opisz podział obiektu na strefy i wskaż, które z nich wymagają kontroli dostępu.
• W każdej regule wskaż osobę odpowiedzialną oraz sposób kontroli realizowany w systemie zmianowym.
• Opisz sposób postępowania z dokumentami przewozowymi i z nagraniami z monitoringu.
• W bibliografii wyróżnij przepisy o transporcie drogowym, konwencje przewozowe i normy.

Uwaga: najczęstsze błędy obniżające ocenę to proponowanie rozwiązań zakładających stałą obecność ochrony, brak uwzględnienia systemu trójzmianowego, pomijanie nadzoru nad przewoźnikami zewnętrznymi oraz utożsamienie kontroli dostępu z kontrolą całej hali.

Wzorcowa polityka logistyczna wprowadza:

• Reorganizację fizycznej obsługi kierowców:
  • Całkowity zakaz wstępu kierowców zewnętrznych do wnętrza dyspozytorni – wydzielenie dedykowanego Punktu Obsługi Kierowców z wejściem wyłącznie z zewnątrz budynku i obsługą przez okienko podawcze.
  • Obowiązek noszenia kamizelek z napisem „GOŚĆ” i identyfikatorów przez wszystkie osoby z zewnątrz przebywające na rampie.
• Zabezpieczenie urządzeń mobilnych (MDM):
  • Wdrożenie oprogramowania Mobile Device Management (MDM) na wszystkich 50 terminalach – tryb kiosku (zablokowany pulpit), uniemożliwiający instalację jakichkolwiek programów poza systemem WMS.
  • Logowanie magazyniera do terminala kodem PIN przypisanym do identyfikatora pracowniczego.
• Modernizację sieci bezprzewodowej Wi-Fi:
  • Wdrożenie uwierzytelniania WPA3-Enterprise z serwerem RADIUS i unikalnymi certyfikatami dla każdego terminala.
  • Ukrycie rozgłaszania SSID sieci magazynowej oraz całkowite odcięcie jej od publicznego Internetu.
• Bezpieczeństwo dokumentacji przewozowej: przeniesienie kuwet z listami przewozowymi CMR do zamykanego pokoju dyspozytora – wydawanie dokumentów kierowcy bezpośrednio do rąk własnych po okazaniu zlecenia transportowego.

Wzorcowy zestaw reguł polityki (fragment tabeli reguł):

Wzorcowa procedura zgłaszania incydentu:

1. Osoba, która zauważyła zdarzenie, zgłasza je kierownikowi logistyki lub dyrektorowi centrum niezwłocznie.
2. Nie wolno usuwać nagrań, resetować terminali ani oddawać dokumentów przewozowych do czasu ustalenia zakresu zdarzenia.
3. Ustala się, jakie dane i jakie terminale były dostępne, komu i jak długo.
4. Dyrektor ocenia potrzebę zgłoszenia naruszenia, blokady urządzeń oraz powiadomienia przewoźników i odbiorców.
5. W razie utraty danych o ładunkach lub odbiorcach informuje się zainteresowane strony zgodnie z przepisami i umowami.
6. Po zakończeniu działań powstaje notatka z wnioskami, a reguły i szkolenie są aktualizowane.

Zalety rozwiązania:

• Zabezpieczenie danych handlowych przedsiębiorstwa przed wyciekiem do konkurencji i grup przestępczych zajmujących się wyłudzaniem ładunków.
• Zwiększenie niezawodności pracy magazynu dzięki zablokowaniu instalowania gier i złośliwych aplikacji na skanerach.
• Ochrona danych osobowych kierowców zgodnie z wymogami RODO.

Wady i trudności wdrożeniowe:

• Koszt licencji oprogramowania MDM do zarządzania flotą terminali magazynowych.
• Opór kierowców wobec konieczności oczekiwania przed okienkiem podawczym na zewnątrz dyspozytorni.
• Czas potrzebny na konfigurację serwera RADIUS i certyfikatów na wszystkich urządzeniach radiowych.

Bilans wdrożenia proponowanej polityki:

Kryteria wyboru wariantu polityki: najlepszy jest wariant, który porządkuje obiekt bez przebudowy: zamknięta dyspozytornia, wyznaczony punkt dla kierowców, zabezpieczenie terminali i oddzielenie sieci. Porównując warianty, uwzględnijcie, że praca trwa w systemie trójzmianowym i nie może zostać zatrzymana.

• Konwencja o umowie międzynarodowego przewozu drogowego towarów (CMR) z dnia 19 maja 1956 r. (Dz.U. z 1962 r. Nr 49, poz. 238).
• Rozporządzenie RODO: art. 5 (integralność i poufność), art. 32 (środki ochrony fizycznej i technicznej).
• Norma PN-EN ISO/IEC 27001:2022 – Załącznik A: A.7.6 (Praca w obszarach bezpiecznych), A.8.1 (Urządzenia końcowe użytkowników), A.8.24 (Użycie kryptografii).
• Standard TAPA FSR (Transported Asset Protection Association – Facility Security Requirements) – wymagania bezpieczeństwa obiektów logistycznych.
• Raport Polskiego Instytutu Transportu Drogowego: „Cyberbezpieczeństwo w sektorze Transport-Spedycja-Logistyka”, Warszawa 2023.
• Ustawa z dnia 6 września 2001 r. o transporcie drogowym – obowiązki przewoźnika i przewoziciela dotyczące dokumentów i danych kierowców.
• Ustawa z dnia 23 kwietnia 1964 r. – Kodeks cywilny, art. 405 (odpowiedzialność przewoźnika za szkodę w przewozie) w związku z konwencją CMR – utrata list przewozowych z danymi kierowców.
• Norma ISO/IEC 27002:2022 oraz ISO/IEC 27005:2022 – zabezpieczenia fizyczne, zarządzanie urządzeniami mobilnymi i ocena ryzyka.
• Ustawa z dnia 22 sierpnia 1997 r. o ochronie osób i mienia – dopuszczalność zabezpieczeń technicznych, zakaz wstępu osób nieuprawnionych na teren zakładu pracy i odpowiedzialność za wyrządzoną szkodę.

Powiązanie z wykładem: Wykład 1 (Rola audytu w systemie bezpieczeństwa informacji) oraz Wykład 3 (ISO/IEC 27001 i 27002: wymagania i kontrole).

W1 Ochrona tajemnicy przedsiębiorstwa, kodów źródłowych i baz produkcyjnych klientów.

W2 Standardy ISO 27001 Załącznik A.8.25–A.8.31 (Bezpieczne tworzenie oprogramowania).

U1 Zaprojektowanie polityki bezpieczeństwa dla zespołu pracującego w modelu zdalnym.

U2 Identyfikacja wycieków sekretów w repozytoriach i błędów w uprawnieniach.

K1 K3 Profesjonalizm i etyka inżynierska w dostarczaniu bezpiecznego kodu dla klientów.

Efekty uczenia się zadania (spodziewane osiągnięcia):

• Charakteryzuje zagrożenia związane z tworzeniem oprogramowania i pracą rozproszoną.
• Rozpoznaje ryzyka związane z sekretami w kodzie, danymi produkcyjnymi i dostępem po zakończeniu współpracy.
• Dobiera zabezpieczenia dla prywatnych laptopów, repozytoriów i komunikatorów.
• Przygotowuje referat z oceną ryzyka i procedurą reagowania na incydent.

Celem zadania jest wykształcenie umiejętności opracowania polityki bezpieczeństwa dla przedsiębiorstwa tworzącego dedykowane oprogramowanie na zamówienie (Software House). Zadanie kładzie nacisk na ochronę własności intelektualnej i kodów źródłowych, zarządzanie kluczami API i sekretami, procedury bezpiecznego wytwarzania oprogramowania (DevSecOps), zasady korzystania z prywatnych stacji roboczych (BYOD) oraz bezpieczną separację środowisk deweloperskich od produkcyjnych.

Cele szczegółowe:

• Nauczyć się rozpoznawać poświadczenia i klucze API pozostawione w kodzie źródłowym.
• Nauczyć się projektować bezpieczny dostęp do danych produkcyjnych na potrzeby testów.
• Przećwiczyć procedurę wyłączania dostępu po zakończeniu współpracy.
• Nauczyć się zabezpieczać pracę w miejscach publicznych i na różnych urządzeniach.

Kryterium zaliczenia zadania: referat uznaje się za zaliczone, jeżeli zawiera diagnozę wszystkich opisanych uchybień, sześć reguł polityki dla firmy programistycznej, ocenę ryzyka dla czterech zagrożeń oraz bibliografię z co najmniej pięcioma pozycjami.

Karta organizacyjna analizowanej jednostki (do uzupełnienia na podstawie scenariusza):

Firma „CodeCraft Solutions” sp. z o.o. zatrudnia 35 programistów, 5 testerów QA, 4 kierowników projektów oraz 3 administratorów DevOps. 80% zespołu pracuje w trybie pełnej pracy zdalnej z różnych miast w Polsce. Firma tworzy aplikacje webowe i mobilne m.in. dla banków, firm ubezpieczeniowych i sieci handlowych. Programiści korzystają z prywatnych laptopów (model BYOD), chmurowych repozytoriów Git oraz komunikatora Slack.

Audyt bezpieczeństwa wykazał następujące rażące zagrożenia:

• Sekrety w repozytoriach kodu: programiści umieszczają w kodzie źródłowym jawnym tekstem hasła do baz danych, prywatne klucze SSH oraz tokeny dostępu do chmury AWS (tzw. hardcoded secrets). Repozytoria kilku projektów były przez pomyłkę skonfigurowane jako publiczne w serwisie GitHub.
• Prawdziwe dane klientów na stacjach programistów: aby „dokładnie przetestować działanie funkcji”, programiści pobrali na swoje prywatne laptopy kopie produkcyjnych baz danych klientów z numerami PESEL, kartami płatniczymi i adresami tysięcy użytkowników. Laptopy te nie posiadają szyfrowania dysków.
• Dostęp do kont i offboarding: trzech byłych programistów, którzy zakończyli współpracę 4 miesiące temu, nadal posiada aktywne konta w firmowym repozytorium kodu, na Slacku oraz w konsoli serwerów deweloperskich.
• Praca w miejscach publicznych: programiści pracują w kawiarniach i pociągach, łącząc się z otwartymi sieciami Wi-Fi bez użycia firmowego tunelu VPN i nie stosując filtrów prywatyzujących na ekranach laptopów.

Przebieg procesu objętego zadaniem:

1. Programista pobiera środowisko deweloperskie i klonuje repozytorium na własny laptop.
2. Do kodu i plików konfiguracyjnych trafiają klucze dostępu do baz danych i chmury.
3. W celu testów funkcji programiści pobierają kopię produkcyjnej bazy danych klienta na laptop prywatny.
4. Zespół pracuje nad zmianami, a dostęp do kodu i systemów nadawany jest na podstawie ról projektowych.
5. Po zakończeniu współpracy dostęp jest odbierany, a laptop jest zwracany lub pozostaje u pracownika.
6. Praca odbywa się w kawiarniach i w podróży, często na otwartych sieciach bezprzewodowych.

Na co zwrócić uwagę przy analizie scenariusza:

• Sekret w kodzie źródłowym pozostaje tam także po usunięciu z bieżącej gałęzi, więc jest widoczny w historii repozytorium.
• Publicznie skonfigurowane repozytorium oznacza natychmiastowe ujawnienie kodu i historii zmian.
• Kopia produkcyjnej bazy na prywatnym laptopie łączy dane osobowe z urządzeniem bez szyfrowania i bez kontroli firmy.
• Dostęp byłych pracowników to najprostsza ścieżka dostępu do kodu i danych klientów, a koszt jego usunięcia jest niski.
• Filtrowanie ekranu i szyfrowanie dysku są szczególnie istotne, gdy zespół pracuje w 80 procentach zdalnie.

Odpowiedzcie w zespołach na poniższe pytania przed przystąpieniem do redagowania polityki:

1. Jakie kroki należy wykonać, gdy sekret zostanie wypchnięty do publicznego repozytorium, zanim zmieni się hasło?
2. Jak zapewnić programistom dane testowe bez udostępniania im danych produkcyjnych?
3. Jak zaprojektować dostęp do środowisk klientów, aby można było przypisać osobę odpowiedzialną za każdą operację?
4. Jak wygląda procedura wyłączania dostępu po zakończeniu współpracy i jak ją egzekwować technicznie?
5. Jakie zabezpieczenia zastosować dla prywatnych laptopów pracujących poza biurem?
6. Jak rozwiązać problem pracy w miejscach publicznych, w których sieć jest otwarta?

Uwaga: przy każdej odpowiedzi wskaż, czy rozwiązanie jest techniczne, organizacyjne, czy umowne, bo w tej firmie część zabezpieczeń wynika z umów z klientami.

Krok 1 (podział ról w zespole):

• Rola 1 – Koordynator Definiuje ogólne ramy Polityki Bezpieczeństwa Informacji Software House oraz procedurę natychmiastowego odbierania uprawnień przy odejściu pracownika (Offboarding).
• Rola 2 – Specjalista DevOps/IT Opracowuje wymogi techniczne dla stacji roboczych (szyfrowanie dysków, antywirus, VPN), zasady zarządzania kluczami w repozytoriach (skanery sekretów) oraz anonimizację danych testowych.
• Rola 3 – Audytor prawny i umowny Analizuje zapisy umów o zachowaniu poufności (NDA) z klientami, ochronę praw autorskich do kodu oraz wymogi RODO dotyczące zakazu testowania na danych produkcyjnych.

Krok 2 (analiza ryzyk wytwarzania oprogramowania): zidentyfikujcie skutki prawne, odszkodowawcze i wizerunkowe wycieku bazy produkcyjnej klienta z prywatnego laptopa programisty.

Krok 3 (procedura zarządzania sekretami): opiszcie, w jaki sposób programiści powinni przekazywać i wstrzykiwać zmienne środowiskowe i klucze API bez wpisywania ich w plikach kodu źródłowego.

Krok 4 (checklista bezpiecznej stacji roboczej): opracujcie 6-punktową listę kontrolną, którą musi spełnić komputer programisty przed dopuszczeniem do pracy z kodem firmowym.

Krok 5 (ocena ryzyka): oceń ryzyko dla czterech zagrożeń: ujawnienia sekretów w repozytorium, kradzieży kopii bazy produkcyjnej, dostępu byłych pracowników i pracy w miejscu publicznym.

• Dla każdego zagrożenia określ zdarzenie, zasób i skutek dla klienta końcowego oraz dla firmy.
• Skorzystaj z kalkulatora ryzyka w górnej części strony i zapisz poziom ryzyka.
• Wskaż zabezpieczenie, koszt i odpowiedzialnego, uwzględniając zdalny charakter zespołu.

Krok 6 (obrona referatu przed grupą): przedstawcie referat w 10 minutach, odnosząc propozycje do pytań kontrolnych z sekcji „Pytania kontrolne do analizy scenariusza”.

• Uzasadnijcie wybór sposobu dystrybucji danych testowych zamiast kopiowania danych produkcyjnych.
• Opiszcie, jak przekonać zespół do zmiany sposobu pracy bez spowolnienia realizacji projektów.
• Wskażcie jeden element polityki, który wymaga renegocjacji umowy z klientem.

Sugerowany przebieg 180-minutowego ćwiczenia:

Studenci przygotowują referat pisemny (4–6 stron A4) i wystąpienie:

1. Wprowadzenie: własność intelektualna i cyberbezpieczeństwo jako fundament rentowności Software House.
2. Diagnoza ryzyk w „CodeCraft Solutions”: omówienie zagrożeń wynikających z hardcoded secrets, braku procedury offboardingu i pracy na danych produkcyjnych.
3. Prezentacja Polityki Bezpieczeństwa Wytwarzania Oprogramowania i Pracy Zdalnej.
4. Wdrożenie procedury anonimizacji danych do celów testowych oraz automatycznego skanowania repozytoriów.
5. Wnioski: jak pogodzić zwinność programowania (Agile) ze sztywnymi regułami polityki bezpieczeństwa.

Szablon układu referatu:

Wymagania formalne:

• Opisz, które zabezpieczenia wynikają z umów z klientami, a które są wewnętrzną decyzją firmy.
• W każdej regule wskaż osobę odpowiedzialną i techniczny sposób jej egzekwowania.
• Opisz procedurę reagowania na ujawnienie sekretu, w tym kolejność działań w pierwszych godzinach.
• W bibliografii wyróżnij akty prawne, normy i dokumentację dobrych praktyk.

Uwaga: najczęstsze błędy obniżające ocenę to proponowanie rozwiązań możliwych tylko w biurze, pomijanie historii repozytorium jako źródła dowodu, brak opisu procedury wyłączania dostępu oraz utożsamienie szyfrowania dysku z ochroną danych w pamięci.

Wzorcowa polityka dla Software House wprowadza:

• Bezwzględny zakaz testowania na danych produkcyjnych: wprowadzenie procedury syntetyzacji i anonimizacji danych – środowiska testowe mogą korzystać wyłącznie ze sztucznie wygenerowanych rekordów (tzw. mock data) lub danych zanonimizowanych nieodwracalnie.
• Bezpieczeństwo kodu źródłowego i zarządzanie sekretami:
  • Całkowity zakaz umieszczania haseł i kluczy w repozytoriach – wdrożenie centralnego menedżera sekretów (np. HashiCorp Vault, AWS Secrets Manager).
  • Wdrożenie automatycznych skanerów w potoku CI/CD (np. GitGuardian, TruffleHog), które blokują zatwierdzenie kodu (git commit/push) w razie wykrycia formatu klucza API lub hasła.
• Standard bezpiecznej stacji roboczej i pracy zdalnej:
  • Wymóg pełnego szyfrowania dysków na wszystkich maszynach (BitLocker / FileVault / LUKS).
  • Obowiązek korzystania z firmowego tunelu VPN z uwierzytelnianiem wieloskładnikowym (MFA) przy każdym połączeniu z zasobami firmowymi z sieci obcej.
• Rygorystyczna procedura Offboardingu: automatyzacja odbierania uprawnień – powiązanie konta programisty z centralnym katalogiem tożsamości (IdP), co pozwala na natychmiastowe zablokowanie dostępu do Git, Slacka i chmury jednym kliknięciem w dniu rozwiązania umowy.

Wzorcowy zestaw reguł polityki (fragment tabeli reguł):

Wzorcowa procedura zgłaszania incydentu:

1. Osoba, która zauważyła zdarzenie, zgłasza je bez zwłoki do administratora DevOps, nie publikując szczegółów w komunikatorze.
2. Nie kasuje się historii repozytorium ani logów, ponieważ zawierają dowód czasu i źródło ujawnienia.
3. Natychmiast unieważnia się ujawniony klucz i zmienia hasła, zabezpieczając kolejne podmiany w trybie awaryjnym.
4. Ocenia się, czy ujawniono dane osobowe klientów, i w razie wysokiego ryzyka zawiadamia się organ nadzorczy w terminie 72 godzin oraz klienta.
5. Blokuje się publiczny dostęp do repozytorium i ustala pełną listę osób, które miały do niego dostęp.
6. Po zakończeniu działań powstaje notatka z wnioskami, a polityka, szkolenie i potok wdrożenia są aktualizowane.

Zalety rozwiązania:

• Ochrona firmy przed wielomilionowymi pozwami ze strony klientów bankowych i korporacyjnych za wyciek danych lub kodu.
• Zbudowanie reputacji bezpiecznego dostawcy oprogramowania, co umożliwia wygrywanie przetargów w sektorze finansowym i publicznym.
• Uporządkowanie architektury systemowej dzięki profesjonalnemu zarządzaniu sekretami.

Wady i trudności wdrożeniowe:

• Konieczność zmiany nawyków programistów i rezygnacja z wygody bezpośredniego kopiowania danych produkcyjnych do debugowania błędów.
• Dodatkowy czas potrzebny na generowanie sztucznych baz testowych.
• Koszty subskrypcji profesjonalnych narzędzi do zarządzania sekretami i skanowania kodu.

Bilans wdrożenia proponowanej polityki:

Kryteria wyboru wariantu polityki: najlepszy jest wariant, który daje programistom szybkie, bezpieczne środowisko testowe, zamiast zakazywać im pracy z danymi produkcyjnymi. Porównując warianty, uwzględnijcie, że w pełni zdalny zespół nie da się objąć nadzorem fizycznym, dlatego liczy się automatyzacja i umowy.

• Ustawa z dnia 4 lutego 1994 r. o prawie autorskim i prawach pokrewnych (Dz.U. z 2025 r. poz. 24) – ochrona programów komputerowych.
• Rozporządzenie RODO: art. 25 (ochrona danych w fazie projektowania i domyślna ochrona danych – Privacy by Design).
• Norma PN-EN ISO/IEC 27001:2022 – Załącznik A: A.8.25 (Cykl życia bezpiecznego rozwoju), A.8.28 (Bezpieczne kodowanie), A.8.31 (Separacja środowisk deweloperskich, testowych i produkcyjnych).
• Wytyczne OWASP (Open Web Application Security Project): OWASP Top 10 Proactive Controls for Developers.
• Standard NIST SP 800-218: Secure Software Development Framework (SSDF).
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO): art. 28, art. 32 i art. 33 w zakresie danych klientów przetwarzanych w imieniu klienta.
• Ustawa z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną oraz ustawa z dnia 4 lutego 1994 r. o prawie autorskim i prawach pokrewnych w zakresie ochrony programów i baz danych klienta.
• Norma ISO/IEC 27002:2022 oraz ISO/IEC 27005:2022 – zabezpieczenia dla środowiska programistycznego, zarządzanie dostępem i ocena ryzyka.
• Dokumentacja i dobra praktyka producentów platform chmurowych dotycząca magazynu sekretów i ochrony kluczy API.

Powiązanie z wykładem: Wykład 1 (Rola audytu w systemie bezpieczeństwa informacji) oraz Wykład 3 (ISO/IEC 27001 i 27002: wymagania i kontrole).

W1 Ochrona danych osobowych czytelników (w tym dzieci i seniorów).

W2 W3 Wymogi KRI dla instytucji samorządowych oraz standardy separacji sieci.

U1 Opracowanie regulaminu bezpiecznego korzystania z publicznych zasobów IT.

U2 Identyfikacja podatności w otwartych sieciach Wi-Fi i kafejkach internetowych.

K2 K3 Równowaga między otwartością społeczną a dyscypliną ochrony danych.

Efekty uczenia się zadania (spodziewane osiągnięcia):

• Charakteryzuje zagrożenia związane z publicznym dostępem do stanowisk komputerowych i zbiorów danych.
• Potrafi zaprojektować podział sieci biblioteki na warstwy o różnych poziomach dostępu.
• Dobiera zabezpieczenia dla stanowisk czytelni, lad i sieci otwartej.
• Przygotowuje referat z oceną ryzyka i procedurą reagowania na incydent.

Celem zadania jest przygotowanie studentów do opracowania wyważonej polityki bezpieczeństwa w instytucji kultury o charakterze otwartym. Studenci mierzą się z wyzwaniem pogodzenia powszechnej dostępności zasobów i publicznych stanowisk komputerowych dla mieszkańców z koniecznością ochrony bazy danych czytelników, wewnętrznej sieci administracyjnej oraz przeciwdziałania wykorzystywaniu infrastruktury bibliotecznej do celów niezgodnych z prawem.

Cele szczegółowe:

• Nauczyć się oddzielać sieć stanowisk czytelni od sieci pracowników i systemów bibliotecznych.
• Przećwiczyć zabezpieczanie stanowisk współdzielonych przez czytelników.
• Nauczyć się zabezpieczać dostęp do kont czytelników i do historii wypożyczeń.
• Nauczyć się porządkować otwartą sieć bezprzewodową i korzystanie z niej.

Kryterium zaliczenia zadania: referat uznaje się za zaliczone, jeżeli zawiera diagnozę wszystkich opisanych uchybień, sześć reguł polityki, ocenę ryzyka dla czterech zagrożeń oraz bibliografię z co najmniej pięcioma pozycjami.

Karta organizacyjna analizowanej jednostki (do uzupełnienia na podstawie scenariusza):

Miejska Biblioteka Publiczna posiada gmach główny oraz 4 filie osiedlowe. Zarejestrowanych jest 25 000 czytelników. W bibliotece pracuje 22 bibliotekarzy oraz 3 pracowników administracyjno-księgowych. W gmachu głównym znajduje się czytelnia internetowa z 15 stanowiskami komputerowymi dla czytelników oraz otwarta sieć Wi-Fi „Biblioteka-Free”. Biblioteka korzysta ze zintegrowanego systemu bibliotecznego obsługującego wypożyczenia i ewidencję zbiorów.

W toku audytu wstępnego ujawniono następujące okoliczności:

• Wspólna sieć lokalna: komputery czytelników w czytelni internetowej, komputery bibliotekarek przy ladzie wypożyczeń oraz komputer głównej księgowej pracują w tej samej podsieci IP (192.168.1.0/24). Z komputera czytelnika można swobodnie pingować i próbować logować się na serwer bazy czytelników oraz stację księgowej.
• Publiczne stanowiska komputerowe: po wylogowaniu się jednego czytelnika kolejny użytkownik siada do komputera i ma wgląd w historię przeglądarki, zapamiętane hasła, pobrane pliki PDF (np. CV, dokumenty bankowe, pisma urzędowe) swojego poprzednika.
• Dostęp do kont czytelników: bibliotekarki zostawiają włączony system wypożyczeń na ladzie, wychodząc między regały odnieść książki. Każdy stojący przy ladzie czytelnik może podejrzeć historię wypożyczeń innych osób lub dopisać komuś książkę.
• Otwarta sieć Wi-Fi: sieć Wi-Fi nie posiada żadnego mechanizmu filtrowania treści ani logowania użytkowników – odnotowano przypadek wykorzystania szkolnego/bibliotecznego łącza do pobierania pirackich materiałów i rozsyłania złośliwych wiadomości.

Przebieg procesu objętego zadaniem:

1. Czytelnik rejestruje się i zakłada konto w systemie bibliotecznym.
2. Czyta na stanowisku w czytelni internetowej, logując się na komputerze, a po zakończeniu korzysta z plików na dysku.
3. Wychodzi ze stanowiska bez wylogowania, a kolejny użytkownik przejmuje komputer wraz z historią przeglądarki i plikami.
4. Wypożycza książki na ladzie, a bibliotekarka wychodzi między regały, pozostawiając włączony system.
5. Czytelnik oczekujący przy ladzie widzi historię wypożyczeń innych osób i może dopisać komuś pozycję.
6. Korzysta z otwartej sieci bezprzewodowej, logując się do różnych serwisów z publicznego adresu biblioteki.

Na co zwrócić uwagę przy analizie scenariusza:

• Wspólna podsieć oznacza, że atak lub pomyłka czytelnika może objąć system biblioteczny i stację księgowej.
• Stanowisko współdzielone wymaga automatycznego wylogowania i usuwania plików lokalnych po zakończeniu sesji.
• Historia wypożyczeń to dane o zwyczajach czytelniczych, które mogą być ujawnione przypadkowo lub złośliwie.
• Otwarta sieć bez logowania jest wygodna, ale utrudnia rozliczenie użytkownika i ograniczenie dostępu do zasobów wewnętrznych.
• Biblioteka przechowuje także dokumenty użytkowników z nośników prywatnych, dlatego własne pliki na stanowisku są realnym zagrożeniem.

Odpowiedzcie w zespołach na poniższe pytania przed przystąpieniem do redagowania polityki:

1. Jak podzielić jedną sieć fizyczną na sieci o różnych poziomach dostępu, aby użytkownik nie doszedł do systemu bibliotecznego?
2. Jakie ustawienia zapewnić na stanowiskach czytelni, aby po zakończeniu sesji nie zostały dane poprzedniego użytkownika?
3. Jak zabezpieczyć system wypożyczeń na ladzie, aby bibliotekarka mogła odejść od stanowiska?
4. Jak połączyć wygodę otwartej sieci z możliwością rozliczenia użytkownika i ograniczenia ruchu do zasobów wewnętrznych?
5. Kto i jak powinien reagować na sytuację, w której czytelnik widzi dane innego czytelnika?
6. Jak rozwiązać problem plików osobistych pozostawionych na stanowiskach, nie naruszając prywatności użytkowników?

Uwaga: każde rozwiązanie musi zachować dostęp czytelnika do stanowiska, bo ograniczanie dostępu do internetu w bibliotece narusza jej podstawową funkcję.

Krok 1 (podział ról w zespole):

• Rola 1 – Koordynator Opracowuje strukturę Polityki Bezpieczeństwa Biblioteki oraz Regulamin korzystania z czytelni internetowej i sieci Wi-Fi dla mieszkańców.
• Rola 2 – Specjalista IT Projektuje fizyczną i logiczną separację sieci (VLAN dla administracji, VLAN dla czytelników, VLAN dla Wi-Fi) oraz automatyczne czyszczenie stanowisk publicznych (oprogramowanie typu Deep Freeze lub skrypty czyszczące).
• Rola 3 – Audytor RODO Analizuje ochronę bazy czytelników, procedurę zabezpieczenia lad wypożyczeń oraz zasady retencji danych o historii czytelnictwa.

Krok 2 (analiza wektorów zagrożeń na publicznych stacjach): opiszcie ryzyka związane z pozostawianiem danych przez mieszkańców (kradzież tożsamości, przejęcie kont bankowych seniorów korzystających z biblioteki).

Krok 3 (zasady izolacji sieci): zaprojektujcie schemat blokowy pokazujący, w jaki sposób router odcina czytelników od stacji księgowej i serwera bibliotecznego.

Krok 4 (regulamin dla użytkowników): sformułujcie 5 jasnych punktów regulaminu czytelni internetowej (czego nie wolno robić na komputerach bibliotecznych).

Krok 5 (ocena ryzyka): oceń ryzyko dla czterech zagrożeń: dostępu do systemu bibliotecznego z sieci czytelni, przejęcia danych pozostawionych na stanowisku, ujawnienia historii wypożyczeń i wykorzystania wspólnej podsieci do podszycia się pod stacje pracowników.

• Dla każdego zagrożenia określ zdarzenie, zasób i skutek dla czytelnika oraz dla biblioteki.
• Skorzystaj z kalkulatora ryzyka w górnej części strony i zapisz poziom ryzyka.
• Wskaż zabezpieczenie, koszt i odpowiedzialnego, biorąc pod uwagę ograniczoną obsadę biblioteki.

Krok 6 (obrona referatu przed grupą): przedstawcie referat w 10 minutach, odnosząc propozycje do pytań kontrolnych z sekcji „Pytania kontrolne do analizy scenariusza”.

• Uzasadnijcie wybór podziału sieci, który nie utrudnia korzystania z czytelni.
• Opiszcie, jak wdrożyć automatyczne wylogowanie bez angażowania personelu technicznego.
• Wskażcie jeden element polityki wymagający decyzji dyrektora instytucji.

Sugerowany przebieg 180-minutowego ćwiczenia:

Studenci przygotowują referat pisemny (4–6 stron A4) i wystąpienie:

1. Wprowadzenie: misja biblioteki publicznej a wyzwania cyberbezpieczeństwa w dobie powszechnej cyfryzacji.
2. Analiza stanu faktycznego: zagrożenia wynikające z braku segmentacji sieci i braku higieny cyfrowej na stanowiskach otwartych.
3. Przedstawienie Polityki Bezpieczeństwa Informacji Miejskiej Biblioteki Publicznej.
4. Wdrożenie rozwiązań technicznych: segmentacja sieci, filtry treści i ochrona prywatności użytkowników publicznych stacji.
5. Podsumowanie: jak biblioteka może bezpiecznie pełnić rolę lokalnego centrum integracji cyfrowej dla mieszkańców.

Szablon układu referatu:

Wymagania formalne:

• Opisz podział sieci na warstwy i wskaż, które urządzenia mają do nich dostęp.
• W każdej regule wskaż osobę odpowiedzialną oraz sposób kontroli, który da się wykonać w placówce.
• Opisz sposób postępowania z plikami pozostawionymi przez czytelników na stanowiskach.
• W bibliografii wyróżnij przepisy o bibliotekach, przepisy o ochronie danych i normy.

Uwaga: najczęstsze błędy obniżające ocenę to proponowanie zamknięcia internetu czytelnikom, pomijanie automatycznego wylogowania, brak rozróżnienia danych czytelnika od danych pracownika biblioteki oraz utożsamienie podziału sieci z pełnym bezpieczeństwem.

Wzorcowa polityka dla biblioteki publicznej obejmuje:

• Bezwzględną segmentację sieci lokalnej (VLAN):
  • VLAN Administracyjny: komputery dyrekcji, kadr, księgowości i serwer biblioteczny – dostęp wyłącznie dla uprawnionych pracowników, zabezpieczony zaporą ogniową (firewall).
  • VLAN Czytelnia: publiczne komputery stacjonarne – odcięte od sieci administracyjnej, z dostępem wyłącznie do portów internetowych (HTTP/HTTPS/DNS).
  • VLAN Goście Wi-Fi: odizolowana podsieć bezprzewodowa z włączoną funkcją Client Isolation (urządzenia gości nie widzą się nawzajem).
• Automatyczną higienę stacji publicznych (ochrona przed zapamiętywaniem danych):
  • Wdrożenie mechanizmu automatycznego resetowania stanu systemu operacyjnego (np. restart do czystego obrazu z użyciem narzędzi Reboot-to-Restore) po każdym zakończeniu sesji użytkownika.
  • Automatyczne czyszczenie pamięci podręcznej przeglądarek, plików cookies i folderu „Pobrane” przy wylogowaniu.
• Zabezpieczenie lady wypożyczalni:
  • Zastosowanie filtrów prywatyzujących na monitorach bibliotekarzy oraz automatyczna blokada ekranu po 1 minucie bezczynności.
  • Obowiązek zablokowania stacji klawiszem Windows+L przy każdym odejściu od lady do regałów.
• Filtrowanie treści i bezpieczne korzystanie z Internetu: wdrożenie filtra DNS blokującego dostęp do stron ze złośliwym oprogramowaniem, treściami pornograficznymi i nielegalnymi.

Wzorcowy zestaw reguł polityki (fragment tabeli reguł):

Wzorcowa procedura zgłaszania incydentu:

1. Bibliotekarz, który zauważył sytuację, zgłasza ją dyrektorowi lub administratorowi sieci, nie omawiając jej w obecności czytelników.
2. Nie kasuje się logów i nie formatuje stanowiska, dopóki nie ustalono zakresu zdarzenia.
3. Ustala się, czy dane czytelnika lub pracownika były dostępne dla osoby nieuprawnionej i jak długo.
4. Dyrektor ocenia potrzebę zawiadomienia osoby, której dane dotyczy, oraz organu nadzorczego w terminie 72 godzin.
5. W razie ujawnienia danych czytelnika przywraca się dostęp do konta i wymusza zmianę hasła lub unieważnia konto.
6. Po zakończeniu działań powstaje notatka z wnioskami, a polityka i instrukcje dla czytelników są aktualizowane.

Zalety rozwiązania:

• Pełna ochrona danych mieszkańców korzystających z komputerów bibliotecznych przed kradzieżą tożsamości.
• Uniemożliwienie ataków hakerskich z komputerów czytelni na serwery bazy bibliotecznej i stacje księgowości.
• Zgodność z wymogami Krajowych Ram Interoperacyjności dla samorządowych instytucji kultury.

Wady i trudności wdrożeniowe:

• Koszt zakupu przełącznika zarządzalnego (obsługującego VLAN) oraz ewentualnych licencji na oprogramowanie przywracające stan dysków.
• Konieczność cierpliwego tłumaczenia seniorom, dlaczego pobrane pliki nie są trwale zapisywane na pulpicie komputera.
• Sporadyczne fałszywe zablokowania bezpiecznych stron edukacyjnych przez filtry treści.

Bilans wdrożenia proponowanej polityki:

Kryteria wyboru wariantu polityki: najlepszy jest wariant, który zachowuje pełny dostęp czytelników do internetu, a jednocześnie oddziela ich od systemów bibliotecznych. Porównując warianty, uwzględnijcie, że biblioteka działa z ograniczoną obsadą i nie ma administratora pełnoetatowego.

• Ustawa z dnia 27 czerwca 1997 r. o bibliotekach (Dz.U. z 2022 r. poz. 2393).
• Rozporządzenie Rady Ministrów w sprawie Krajowych Ram Interoperacyjności (Dz.U. z 2024 r. poz. 773) – minimalne wymagania dla systemów instytucji publicznych.
• Rozporządzenie RODO: art. 5 ust. 1 lit. f (integralność i poufność), art. 32 (bezpieczeństwo przetwarzania).
• Norma PN-EN ISO/IEC 27001:2022 – Załącznik A: A.8.20 (Bezpieczeństwo sieci), A.8.22 (Segregacja sieci), A.8.23 (Filtrowanie stron internetowych).
• Poradnik Stowarzyszenia Bibliotekarzy Polskich: „Ochrona danych osobowych i bezpieczeństwo teleinformatyczne w bibliotece publicznej”, Warszawa 2021.
• Ustawa z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne (Dz.U. z 2026 r. poz. 1241) – obowiązki podmiotu publicznego w zakresie systemów teleinformatycznych i e-usług.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO): art. 25 (ochrona danych w fazie projektowania), art. 28 (umowa powierzenia) i art. 33 (zgłaszanie naruszeń) w zakresie danych czytelników i pracowników.
• Norma ISO/IEC 27002:2022 oraz ISO/IEC 27005:2022 – zabezpieczenia dla stanowisk współdzielonych, sieci i ocena ryzyka.
• Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych, art. 24 (obowiązki administratora), art. 28 (umowa powierzenia) i art. 32 (środki bezpieczeństwa) – administrator danych czytelników i pracowników biblioteki.

Powiązanie z wykładem: Wykład 1 (Rola audytu w systemie bezpieczeństwa informacji) oraz Wykład 3 (ISO/IEC 27001 i 27002: wymagania i kontrole).

W1 Ochrona wizerunku rynkowego, haseł do mediów społecznościowych i baz subskrybentów.

W3 Wymogi prawne dotyczące marketingu bezpośredniego (ustawa o świadczeniu usług drogą elektroniczną, Prawo telekomunikacyjne / Prawo komunikacji elektronicznej).

U1 Opracowanie procedur dostępowych dla agencji kreatywnej.

U2 Rozpoznanie ryzyk związanych z przejęciem profili społecznościowych marek.

K2 K3 Etyka biznesowa i ochrona tajemnicy kampanii reklamowych przed premierą rynkową.

Efekty uczenia się zadania (spodziewane osiągnięcia):

• Charakteryzuje zagrożenia związane z dostępem do kont klientów w mediach społecznościowych.
• Rozpoznaje ryzyka związane z rotacją personelu, materiałami przedpremierowymi i bazami mailingowymi.
• Dobiera zabezpieczenia dla haseł, uwierzytelniania dwuskładnikowego i obiegu plików.
• Przygotowuje referat z oceną ryzyka i procedurą reagowania na incydent.

Celem zadania jest przygotowanie studentów do stworzenia polityki bezpieczeństwa w dynamicznym środowisku agencji marketingowej i public relations. Zadanie koncentruje się na ochronie dostępów do kont społecznościowych i reklamowych klientów (Meta Business Suite, Google Ads, TikTok Ads, LinkedIn), bezpiecznym zarządzaniu bazami mailingowymi (newslettery), procedurach współpracy z podwykonawcami zewnętrznymi (freelancerzy, influencerzy) oraz natychmiastowym odbieraniu uprawnień przy wysokiej rotacji stażystów.

Cele szczegółowe:

• Nauczyć się bezpiecznie przechowywać dostępy do kont klientów i zarządzać dostępem w czasie rotacji personelu.
• Nauczyć się wdrażać uwierzytelnianie dwuskładnikowe i unikać przekazywania kodów w komunikacji.
• Przećwiczyć zabezpieczanie materiałów przedpremierowych przekazywanych na zewnątrz.
• Nauczyć się chronić bazy mailingowe i dane osobowe klientów oraz użytkowników.

Kryterium zaliczenia zadania: referat uznaje się za zaliczone, jeżeli zawiera diagnozę wszystkich opisanych uchybień, sześć reguł polityki dla agencji, ocenę ryzyka dla czterech zagrożeń oraz bibliografię z co najmniej pięcioma pozycjami.

Karta organizacyjna analizowanej jednostki (do uzupełnienia na podstawie scenariusza):

Agencja reklamowa „Digital Hype Agency” sp. z o.o. prowadzi kampanie marketingowe i obsługuje profile w mediach społecznościowych dla 40 marek z branży modowej, kosmetycznej i technologicznej. W agencji pracuje 15 osób na etacie oraz około 20 współpracowników na umowach zlecenie i B2B (graficy, copywriterzy, montażyści wideo, stażyści studenci). Rotacja personelu projektowego wynosi około 40% w skali roku.

Audyt zerowy ujawnił krytyczne luki w zabezpieczeniach:

• Hasła do kont społecznościowych klientów: wszystkie hasła do kont na Instagramie, Facebooku i TikToku klientów są zapisane w otwartym dokumencie Google Sheets, do którego link ma każdy pracownik, stażysta oraz byli współpracownicy posiadający prywatny link.
• Brak dwuetapowej weryfikacji: kody SMS do weryfikacji dwuetapowej przychodzą na prywatny telefon jednej z account managerek, która w razie urlopu podaje kod na wspólnym czacie na komunikatorze Messenger.
• Wyciek materiałów przedpremierowych: niezabezpieczone projekty graficzne nowej kampanii luksusowej marki odzieżowej zostały przesłane do zewnętrznego montażysty przez darmowy serwis WeTransfer bez hasła – link do pobrania plików trafił do przypadkowych osób.
• Bazy mailingowe: agencja przechowuje na dyskach lokalnych bazy newsletterowe klientów (setki tysięcy adresów e-mail z historią zakupów) w nieszyfrowanych plikach CSV, a stażyści przesyłają je między sobą pocztą prywatną.
• Byli współpracownicy: pięciu byłych stażystów nadal posiada status administratora na stronach firmowych (fanpage’ach) trzech kluczowych klientów na Facebooku.

Przebieg procesu objętego zadaniem:

1. Account manager otrzymuje dostęp do profili klienta na portalu społecznościowym i zapisuje go we wspólnym arkuszu.
2. Projekt graficzny i montażysta przygotowują materiały kampanii na dysku współdzielonym.
3. Materiały przedpremierowe są przekazywane zewnętrznemu montażyście przez bezpłatny serwis udostępniający pliki.
4. Kody weryfikacji dwuetapowej przychodzą na prywatny telefon jednej z osób i bywają przekazywane na czacie.
5. Bazy mailingowe są przechowywane w plikach na dyskach lokalnych i przesyłane między osobami pocztą prywatną.
6. Po zakończeniu współpracy dostęp do arkusza z dostępami pozostaje u byłych stażystów i współpracowników.

Na co zwrócić uwagę przy analizie scenariusza:

• Dostęp do konta klienta w mediach społecznościowych daje wpływ na markę, dlatego jest traktowany jak dostęp administracyjny do systemu klienta.
• Przekazywanie kodu weryfikacji innym osobom oznacza, że uwierzytelnianie dwuskładnikowe przestaje chronić dostęp.
• Bezhasłowy link do materiałów przedpremierowych udostępnia projekt osobom, którym nie wolno go zobaczyć.
• Rotacja personelu jest w agencji normalna, więc proces odbierania dostępu musi działać automatycznie, a nie pamięciowo.
• Baza mailingowa z historią zakupów to dane profilujące, wymagające ograniczenia dostępu i szyfrowania.

Odpowiedzcie w zespołach na poniższe pytania przed przystąpieniem do redagowania polityki:

1. Jak bezpiecznie przechowywać dostępy do 40 kont klientów i jak zapewnić ich szybkie przekazanie nowemu pracownikowi?
2. Jak wdrożyć uwierzytelnianie dwuskładnikowe, aby kody nie trafiały na prywatne telefony i do czatu?
3. Jak przekazać materiały przedpremierowe zewnętrznemu wykonawcy, zachowując kontrolę nad tym, kto je pobiera?
4. Jak zabezpieczyć bazy mailingowe na dyskach lokalnych, skoro pracownicy pracują zdalnie i na różnych systemach?
5. Jak zorganizować odbieranie dostępu po zakończeniu współpracy, skoro rotacja wynosi około 40 procent rocznie?
6. Kto decyduje o powiadomieniu klienta, jeżeli materiały przedpremierowe zostały ujawnione osobom trzecim?

Uwaga: każde rozwiązanie musi uwzględniać rotację personelu, bo rozwiązanie zależne od pamięci jednej osoby przestanie działać po jej odejściu.

Krok 1 (podział ról w zespole):

• Rola 1 – Koordynator Projektuje nadrzędną Politykę Bezpieczeństwa Informacji Agencji oraz Procedurę Zarządzania Dostępem do Kont Klientów.
• Rola 2 – Specjalista IT Opracowuje wdrożenie profesjonalnego menedżera haseł dla zespołów (np. 1Password, Bitwarden Teams), reguły 2FA oparte na aplikacji oraz bezpieczne repozytorium plików w chmurze z linkami zabezpieczonymi hasłem i datą wygaśnięcia.
• Rola 3 – Audytor prawny Analizuje umowy powierzenia przetwarzania baz mailingowych (art. 28 RODO), klauzule kar umownych za wyciek materiałów reklamowych przed premierą (NDA) oraz procedurę natychmiastowego Offboardingu stażystów.

Krok 2 (analiza ryzyk agencji marketingowej): opiszcie, jakie straty finansowe i reputacyjne poniesie agencja, jeśli przejęty przez hakerów fanpage klienta zacznie publikować treści kompromitujące markę lub uruchomi złośliwe reklamy obciążające kartę kredytową klienta.

Krok 3 (procedura zarządzania dostępami w ekosystemach reklamowych): wyjaśnijcie, dlaczego należy korzystać z narzędzi typu Meta Business Manager i logowania imiennego zamiast podawania sobie wspólnego loginu i hasła do konta.

Krok 4 (zasady współpracy z freelancerami): sformułujcie 4 zasady bezpiecznego przekazywania materiałów graficznych i wideo podwykonawcom zewnętrznym.

Krok 5 (ocena ryzyka): oceń ryzyko dla czterech zagrożeń: przejęcia kont klienta przez osobę nieuprawnioną, ujawnienia materiałów przedpremierowych, wycieku bazy mailingowej i utrzymania dostępów po odejściu współpracownika.

• Dla każdego zagrożenia określ zdarzenie, zasób i skutek dla klienta oraz dla marki agencji.
• Skorzystaj z kalkulatora ryzyka w górnej części strony i zapisz poziom ryzyka.
• Wskaż zabezpieczenie, koszt i odpowiedzialnego, uwzględniając rotację personelu.

Krok 6 (obrona referatu przed grupą): przedstawcie referat w 10 minutach, odnosząc propozycje do pytań kontrolnych z sekcji „Pytania kontrolne do analizy scenariusza”.

• Uzasadnijcie wybór sposobu przechowywania dostępów i wyjaśnijcie, jak rozwiązać sytuację pilnej zmiany obsługi klienta.
• Opiszcie, jak zakomunikować zmianę procedury współpracownikom i stażystom, aby nie została obejściem.
• Wskażcie jeden element polityki wymagający zgody klienta, czyli zmianę w umowie lub warunkach współpracy.

Sugerowany przebieg 180-minutowego ćwiczenia:

Studenci przygotowują referat pisemny (4–6 stron A4) i wystąpienie:

1. Wprowadzenie: znaczenie bezpieczeństwa cyfrowego w dobie mediów społecznościowych i marketingu wielokanałowego.
2. Diagnoza stanu faktycznego w „Digital Hype Agency”: skrajne ryzyka operacyjne, finansowe i wizerunkowe związane z arkuszem Google Sheets i brakiem 2FA.
3. Propozycja Polityki Bezpieczeństwa Informacji dla Agencji Kreatywnej: nowe procedury zarządzania kontami, transferu plików i baz danych.
4. Procedura onboardingu i offboardingu współpracowników i stażystów.
5. Podsumowanie: jak kultura cyberbezpieczeństwa chroni agencję przed utratą zaufania kluczowych klientów.

Szablon układu referatu:

Wymagania formalne:

• Opisz model przechowywania dostępów wraz z osobą odpowiedzialną i sposobem kontroli.
• W każdej regule wskaż osobę odpowiedzialną oraz sposób jej egzekwowania wobec współpracowników i stażystów.
• Opisz procedurę obowiązującą w razie ujawnienia materiałów klienta, w tym kto informuje klienta.
• W bibliografii wyróżnij przepisy o ochronie danych, prawach autorskich i dostarczaniu usług drogą elektroniczną.

Uwaga: najczęstsze błędy obniżające ocenę to proponowanie rozwiązań zależnych od jednego pracownika, brak opisu odbierania dostępu po odejściu współpracownika, pomijanie kwestii praw autorskich do materiałów oraz utożsamienie usługi z bezpłatnym narzędziem zewnętrznym.

Wzorcowa polityka agencji reklamowej wprowadza:

• Całkowitą likwidację współdzielonych haseł w plikach tekstowych i arkuszach:
  • Wdrożenie firmowego Menedżera Haseł (klasy Enterprise) z szyfrowaniem end-to-end – pracownicy otrzymują dostęp do logowania bez możliwości podejrzenia jawnego hasła, a uprawnienia są przydzielane do grup projektowych.
  • Wymuszenie korzystania z platformy Meta Business Manager, Google Marketing Platform i LinkedIn Business Manager – dostęp przydzielany imiennie na służbowy e-mail pracownika z określeniem minimalnej roli (analityk, twórca treści), bez praw do zarządzania finansami i usuwania profili.
• Obowiązkowe wieloskładnikowe uwierzytelnianie (MFA): zakaz autoryzacji kodami SMS przesyłanymi na prywatne telefony – wdrożenie firmowych aplikacji uwierzytelniających (TOTP) zintegrowanych z menedżerem haseł lub kluczy sprzętowych.
• Bezpieczny transfer materiałów projektowych i baz mailingowych:
  • Zakaz korzystania z darmowych serwisów hostingowych bez autoryzacji – wdrożenie służbowego dysku chmurowego z wymogiem hasła dostępu do każdego linku zewnętrznego oraz automatyczną datą wygaśnięcia linku po 7 dniach.
  • Bazy mailingowe klientów mogą być wgrywane wyłącznie bezpośrednio do certyfikowanych platform wysyłkowych przez uprawnionego specjalistę, bez prawa do pobierania kopii na lokalne komputery.
• Procedurę automatycznego wygaszania uprawnień (Offboarding): wprowadzenie zasady: dostęp do kont klienta jest odbierany w systemie centralnym w ciągu maksymalnie 2 godzin od zakończenia współpracy z pracownikiem lub stażystą.

Wzorcowy zestaw reguł polityki (fragment tabeli reguł):

Wzorcowa procedura zgłaszania incydentu:

1. Osoba, która zauważyła zdarzenie, zgłasza je kierownikowi projektu i administratorowi systemów bez publikowania szczegółów w czacie.
2. Nie usuwa się arkusza z dostępami ani nie zmienia haseł w pośpiechu, aby zachować możliwość ustalenia źródła zdarzenia.
3. Natychmiast odbiera się dostęp osoby, która mogła mieć nieuprawniony dostęp, i unieważnia podejrzane sesje.
4. Ocenia się, czy ujawniono dane osobowe klientów lub materiały objęte prawem autorskim, i kto musi zostać poinformowany.
5. Klient jest informowany o charakterze zdarzenia i podjętych środkach, a w razie wysokiego ryzyka zawiadamiany jest organ nadzorczy w terminie 72 godzin.
6. Po zakończeniu działań powstaje notatka z wnioskami, a polityka, szkolenie i umowy są aktualizowane.

Zalety rozwiązania:

• Wyeliminowanie ryzyka paraliżu profili społecznościowych klientów i kradzieży budżetów reklamowych przez cyberprzestępców.
• Pełna kontrola nad tym, kto i kiedy posiada dostęp do zasobów poszczególnych marek.
• Zabezpieczenie agencji przed karami umownymi za zerwanie embarga informacyjnego na przedpremierowe kampanie.

Wady i trudności wdrożeniowe:

• Miesięczny koszt subskrypcji biznesowego menedżera haseł i bezpiecznej chmury dla kilkudziesięciu użytkowników.
• Konieczność pokonania oporu stażystów i podwykonawców przyzwyczajonych do nieformalnego przesyłania haseł na komunikatorach.
• Skomplikowana procedura konfiguracji uprawnień w panelach biznesowych mediów społecznościowych.

Bilans wdrożenia proponowanej polityki:

Kryteria wyboru wariantu polityki: najlepszy jest wariant, który działa przy dużej rotacji personelu, czyli magazyn haseł, obowiązkowe uwierzytelnianie dwuskładnikowe i automatyczne odbieranie dostępów. Porównując warianty, uwzględnijcie, że część współpracowników to studenci i stażyści, dla których dostęp powinien być ograniczony od początku.

• Ustawa z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną (Dz.U. z 2024 r. poz. 1513) – art. 10 pkt 8 (zakaz przesyłania niezamówionej informacji handlowej).
• Ustawa z dnia 12 lipca 2024 r. – Prawo komunikacji elektronicznej (Dz.U. z 2024 r. poz. 1221) – regulacje dotyczące marketingu bezpośredniego.
• Rozporządzenie RODO: art. 28 (powierzenie danych baz mailingowych), art. 32 (ochrona przed nieuprawnionym dostępem).
• Norma PN-EN ISO/IEC 27001:2022 – Załącznik A: A.5.18 (Prawa dostępu), A.6.5 (Odpowiedzialność po ustaniu zatrudnienia), A.8.5 (Bezpieczne uwierzytelnianie).
• Wytyczne Meta for Business i Google Safety Center dotyczące bezpiecznego zarządzania kontami agencyjnymi.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO): art. 5 ust. 1 lit. a–c (minimalizm i ograniczenie celów), art. 33 (zgłaszanie naruszeń) oraz art. 34 (zawiadamianie osoby o naruszeniu) – dane klientów i współpracowników.
• Kodeks pracy, czyli ustawa z dnia 26 czerwca 1974 r., art. 22² (ochrona informacji przedsiębiorstwa objętej tajemnicą przedsiębiorstwa) oraz art. 207 § 1 (odpowiedzialność za stan bezpieczeństwa i higieny pracy).
• Ustawa z dnia 4 lutego 1994 r. o prawie autorskim i prawach pokrewnych – przekazywanie materiałów klienta, licencje na ich wykorzystanie i odpowiedzialność za naruszenie praw autorskich.
• Norma ISO/IEC 27002:2022 oraz ISO/IEC 27005:2022 – zabezpieczenia dla pracy zdalnej, zarządzanie dostępem i ocena ryzyka.