Laboratorium 2

Głównym celem zadania jest nabycie przez studentów praktycznej umiejętności opracowania ramowego planu audytu Systemu Zarządzania Bezpieczeństwem Informacji (ISMS) dla szpitala miejskiego przetwarzającego szczególne kategorie danych osobowych (dane o stanie zdrowia pacjentów) w systemie Elektronicznej Dokumentacji Medycznej (EDM). Zadanie kładzie szczególny nacisk na precyzyjne wyznaczenie granic i zakresu audytu, uwzględnienie specyfiki ciągłości udzielania świadczeń medycznych oraz zapewnienie zgodności z normą ISO/IEC 27001 i przepisami sektorowymi.

Powiązanie z sylabusem i treściami programowymi:

• U1 Opracowanie kompletnego, ramowego planu audytu ISMS w podmiocie leczniczym.
• U2 Rozróżnienie kryteriów audytowych i identyfikacja obszarów wysokiego ryzyka wystąpienia niezgodności.
• U3 Zastosowanie podejścia opartego na ryzyku (risk-based audit) wobec systemów ratujących życie.
• W1 Znajomość wymagań dotyczących ochrony danych medycznych (art. 9 RODO, ustawa o prawach pacjenta).
• W2W3 Wykorzystanie wytycznych normy ISO 19011:2018, wymagań ISO/IEC 27001:2022 oraz ustawy o Krajowym Systemie Cyberbezpieczeństwa (szpital jako podmiot kluczowy).
• K1K2K3 Postawa etyczna, dyskrecja oraz umiejętność bezkonfliktowego planowania audytu w placówce ratującej życie.
• Powiązanie z wykładem: Wyk2 (Zasady audytowania wg ISO 19011), Wyk3 (Kontrole ISO 27001/27002), Wyk4 (RODO i KSC w zdrowiu).

Szpital Miejski im. dr. Władysława Biegańskiego w mieście powiatowym liczy 280 łóżek na 8 oddziałach stacjonarnych (w tym Szpitalny Oddział Ratunkowy, Chirurgia, Kardiologia, Pediatria), prowadzi 12 poradni specjalistycznych oraz laboratorium analityczne. W placówce zatrudnionych jest 110 lekarzy, 190 pielęgniarek i położnych, 45 pracowników diagnostyki i apteki szpitalnej oraz 35 pracowników administracji.

Infrastruktura teleinformatyczna szpitala obejmuje:

• Centralny zintegrowany system Elektronicznej Dokumentacji Medycznej (EDM) zainstalowany na klastrze serwerów w lokalnej serwerowni w piwnicy budynku głównego.
• System archiwizacji obrazów medycznych PACS (rezonans, tomografia, RTG) połączony z siecią szpitalną i stacjami lekarskimi.
• Ponad 220 komputerów stacjonarnych i laptopów na oddziałach, w dyżurkach pielęgniarskich oraz w rejestracji.
• Sieć bezprzewodową Wi-Fi obejmującą sale chorych (dostęp dla pacjentów) oraz wydzielony kanał dla tabletów lekarskich na obchodach.

Podczas wywiadu wstępnego z Dyrektorem ds. Lecznictwa i Inspektorem Ochrony Danych odnotowano następujące wyzwania:

• Lekarze zgłaszają, że system EDM działa zbyt wolno, co skłania ich do zapisywania wyników badań na prywatnych pendrive i uzupełniania dokumentacji w domach.
• W dyżurkach pielęgniarskich komputery są stale zalogowane na jedno wspólne konto oddziałowe, aby nie tracić czasu na logowanie podczas nagłych interwencji.
• Do serwerowni w piwnicy ma dostęp firma zewnętrzna serwisująca klimatyzację bez asysty pracownika działu IT szpitala.
• Szpital przygotowuje się do certyfikacji na zgodność z normą ISO/IEC 27001 oraz musi spełnić rygory ustawy o KSC. Dyrekcja oczekuje od zespołu audytorskiego profesjonalnego planu audytu, który wskaże newralgiczne punkty bez tamowania pracy lekarzy.

Zespół studencki (2-3 osoby) wciela się w zespół audytorów wewnętrznych i opracowuje koncepcję planu audytu:

• Krok 1 (Podział ról w grupie audytowej):

  Student 1 (Audytor Wiodący): Formułuje cele i ogólny zakres audytu, ustala zasady komunikacji z dyrekcją szpitala, opracowuje harmonogram czasowy, koordynuje spotkanie otwierające i zamykające.

  Student 2 (Audytor Techniczny): Ustala metody audytu infrastruktury IT (serwerownia, stacje robocze, sieć Wi-Fi, system EDM i PACS, kopie zapasowe, polityka haseł).

  Student 3 (Audytor Prawno-Organizacyjny): Definiuje kryteria audytowe w oparciu o RODO (dane wrażliwe), ustawę o prawach pacjenta i KSC; przygotowuje listę pytań kontrolnych do personelu medycznego i administracji. W zespole 2-osobowym zadania te dzielą między siebie Studenci 1 i 2.

• Krok 2 (Określenie zakresu, granic i wyłączeń audytu):

  Precyzyjnie wskażcie granice audytu ISMS: system EDM, stacje medyczne, serwerownia, procedury przetwarzania danych pacjentów na oddziałach. Jasno zdefiniujcie wyłączenia (np. wyłączenie bezpośredniej aparatury podtrzymującej życie z inwazyjnych testów technicznych ze względów bezpieczeństwa pacjenta).

• Krok 3 (Ustalenie kryteriów audytowych):

  Wypiszcie kryteria audytu: norma PN-EN ISO/IEC 27001:2022 (szczególnie Załącznik A: kontrole dostępu A.5.15, A.8.2, bezpieczeństwo fizyczne A.7.1, zarządzanie kopiami A.8.13), art. 9 i 32 RODO, ustawa o systemie informacji w ochronie zdrowia oraz wewnętrzna Polityka Bezpieczeństwa Informacji szpitala.

• Krok 4 (Dobór metod i technik zbierania dowodów):

  Zaplanujcie techniki triangulacji: wywiad z personelem medycznym (ordynator, pielęgniarka oddziałowa) połączony z obserwacją pracy na dyżurce oraz analizą logów dostępu do EDM i przeglądem pisemnych procedur. Określcie metodę próbkowania (np. audyt 3 wybranych oddziałów z 8: SOR, Kardiologia, Pediatria).

• Krok 5 (Opracowanie harmonogramu i alokacji zasobów):

  Rozpiszcie 3-dniowy audyt: Dzień 1 (Spotkanie otwierające z dyrekcją, przegląd dokumentacji, audyt serwerowni i działu IT); Dzień 2 (Audyt na oddziałach: wywiady, obserwacja stacji medycznych, badanie procedur awaryjnych); Dzień 3 (Weryfikacja apteki i laboratorium, analiza zebranych dowodów, spotkanie zamykające).

• Krok 6 (Opracowanie pytań kontrolnych - checklisty):

  Przygotujcie po 2-3 konkretne pytania kontrolne dla każdego badanego obszaru (dział IT, dyżurka lekarska, rejestracja).

Studenci przygotowują 10-minutowy referat zespołowy do wygłoszenia na forum grupy laboratoryjnej. Układ wystąpienia:

• Wprowadzenie (2 min): Przedstawienie profilu Szpitala Miejskiego, specyfiki danych medycznych oraz głównego celu audytu ISMS (Student 1).
• Zakres, kryteria i podejście oparte na ryzyku (3 min): Uzasadnienie granic audytu, dobór kryteriów (ISO 27001, RODO) oraz wyjaśnienie, dlaczego audyt nie może zakłócać procedur ratunkowych (Student 3 lub Student 1).
• Metodyka badań i harmonogram (3 min): Prezentacja doboru próby oddziałów, technik triangulacji dowodów oraz rozkładu prac audytorów dzień po dniu (Student 2).
• Wnioski i ocena wykonalności planu (2 min): Wady i zalety przygotowanego planu audytu oraz sposób postępowania w przypadku napotkania oporu ordynatorów (wszyscy członkowie zespołu).

Raport studencki składany na zaliczenie (objętość 4-6 stron A4) musi zawierać:

A. Odpowiedzi na pytania problemowe i opis sytuacyjny:

• Analiza specyfiki szpitala jako organizacji o krytycznym znaczeniu społecznym.
• Wyjaśnienie, dlaczego współdzielenie kont w dyżurkach narusza zasadę rozliczalności (ISO 27001 A.5.15) i jakie ryzyka rodzi przenoszenie danych medycznych na pendrive.

B. Wzorcowy ramowy plan audytu ISMS:

• Tytuł: Plan Audytu Wewnętrznego ISMS w Szpitalu Miejskim im. dr. W. Biegańskiego.
• Cel audytu: Ocena zgodności procesów przetwarzania danych w systemie EDM z normą ISO/IEC 27001:2022 oraz wymogami RODO i ustawy o KSC.
• Zakres audytu: Lokalizacja główna szpitala, system EDM, system PACS, infrastruktura serwerowa, sieć Wi-Fi, procesy obsługi pacjenta na oddziałach SOR, Kardiologii i Pediatrii oraz w rejestracji.
• Wyłączenia: Bezpośrednie urządzenia elektromedyczne podtrzymujące funkcje życiowe (brak testów sieciowych na żywym organizmie aparatury).
• Kryteria audytowe: ISO/IEC 27001:2022 (klauzule 4-10 oraz Załącznik A), Rozporządzenie RODO (art. 5, 9, 32), Ustawa o prawach pacjenta i Rzeczniku Praw Pacjenta, Polityka Bezpieczeństwa Informacji Szpitala.
• Harmonogram szczegółowy:
  • Dzień 1, godz. 08:30-09:30: Spotkanie otwierające z Dyrekcją, IOD i Kierownikiem IT (Audytorzy 1, 2, 3).
  • Dzień 1, godz. 09:45-12:30: Audyt Działu IT i serwerowni - kontrola dostępu fizycznego, zasilania, kopii zapasowych, zarządzania uprawnieniami (Audytor 2). Równolegle: Przegląd polityk i umów powierzenia z dostawcą EDM (Audytor 1 i 3).
  • Dzień 1, godz. 13:15-15:30: Weryfikacja konfiguracji sieci szpitalnej, separacji sieci gościnnej Wi-Fi od sieci medycznej (Audytor 2).
  • Dzień 2, godz. 08:30-11:30: Audyt na oddziale SOR i Kardiologii - wywiady z lekarzem dyżurnym i oddziałową, inspekcja stanowisk pracy, kontrola blokowania stacji i nośników USB (Audytor 1 i 3).
  • Dzień 2, godz. 12:15-14:45: Audyt rejestracji centralnej i archiwum dokumentacji papierowej (Audytor 3).
  • Dzień 3, godz. 08:30-11:00: Triangulacja dowodów - konfrontacja relacji personelu z logami logowań w systemie EDM przy udziale administratora (Audytor 1 i 2).
  • Dzień 3, godz. 11:30-13:00: Narada zespołu audytowego, klasyfikacja ustaleń, przygotowanie wstępnych spostrzeżeń.
  • Dzień 3, godz. 13:30-14:30: Spotkanie zamykające z Dyrekcją szpitala i przedstawienie wstępnych wniosków (Audytorzy 1, 2, 3).

C. Analiza zalet i wad przyjętej koncepcji planu:

• Zalety: Metodyczne objęcie kluczowych ryzyk bez zakłócania pracy oddziałów; zastosowanie triangulacji zapobiega opieraniu się na samych deklaracjach personelu; wysokie poszanowanie bezpieczeństwa pacjentów.
• Wady i ograniczenia: Próbkowanie tylko 3 oddziałów może pominąć uchybienia na pozostałych 5 oddziałach; konieczność elastycznego przerywania wywiadów w razie nagłych stanów zagrożenia życia pacjenta.

• Norma PN-EN ISO 19011:2018 - Wytyczne dotyczące audytowania systemów zarządzania (rozdział 6: Przeprowadzanie audytu).
• Norma PN-EN ISO/IEC 27001:2022 - Systemy zarządzania bezpieczeństwem informacji - Wymagania.
• Norma PN-EN ISO/IEC 27002:2022 - Zabezpieczenia informacji, cyberbezpieczeństwa i ochrony prywatności.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO): art. 9 (przetwarzanie szczególnych kategorii danych), art. 32 (bezpieczeństwo przetwarzania).
• Ustawa z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta (Dz.U. z 2024 r. poz. 581).
• Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (tekst jedn. Dz.U. z 2026 r. poz. 20, zm. Dz.U. z 2026 r. poz. 252).
• Centrum e-Zdrowia (CeZ): "Wytyczne w zakresie bezpieczeństwa informacji w podmiotach leczniczych", Warszawa 2023.

• U1 Student umie zaplanować poszczególne etapy audytu ISMS w szpitalu, definiując cel, zakres i harmonogram.
• U2 Student potrafi zdefiniować kryteria audytowe i przewidzieć typowe niezgodności (współdzielone konta, brak nadzoru nad nośnikami).
• U3 Student wdraża podejście risk-based, skupiając badania na systemie EDM i stacjach lekarskich, eliminując ryzyko przestojów medycznych.
• W1W2W3 Student rozumie powiązania między normą ISO 27001, wytycznymi ISO 19011 a polskim prawem medycznym i RODO.
• K1K2K3 Student działa z poszanowaniem etyki zawodowej, zachowuje poufność danych wrażliwych i współpracuje w zespole.

Celem zadania jest nauczenie studentów planowania audytu ISMS w jednostce administracji samorządowej ze szczególnym uwzględnieniem obowiązkowych wymagań prawnych wynikających z Rozporządzenia w sprawie Krajowych Ram Interoperacyjności (KRI). Zadanie koncentruje się na metodyce doboru próby referatów urzędowych, audycie elektronicznego obiegu dokumentów (EZD) oraz weryfikacji ochrony rejestrów państwowych (PESEL, ewidencja podatkowa, akta stanu cywilnego).

Powiązanie z sylabusem i treściami programowymi:

• U1 Opracowanie zintegrowanego planu audytu zgodności ISMS i KRI dla urzędu samorządowego.
• U2 Sformułowanie pytań kontrolnych sprawdzających realizację 20 szczegółowych wymogów par. 20 KRI.
• U3 Priorytetyzacja obszarów audytu według ryzyka naruszenia praw obywateli i zakłócenia ciągłości urzędu.
• W1W2 Znajomość standardu ISO/IEC 27001 i jego relacji z polskimi przepisami samorządowymi.
• W3 Biegłe zrozumienie wymogów Rozporządzenia Rady Ministrów w sprawie Krajowych Ram Interoperacyjności oraz Ustawy o informatyzacji podmiotów realizujących zadania publiczne.
• K1K2 Świadomość roli audytu publicznego w budowaniu zaufania mieszkańców do państwa prawa.
• Powiązanie z wykładem: Wyk2 (ISO 19011 - planowanie audytu), Wyk4 (Audyt zgodności z KRI i RODO).

Urząd Miasta i Gminy "Dębina" obsługuje 35 000 mieszkańców. W urzędzie zatrudnionych jest 85 pracowników urzędowych rozmieszczonych w 7 wydziałach: Wydział Spraw Obywatelskich i USC, Wydział Finansowo-Podatkowy, Wydział Gospodarki Nieruchomościami i Geodezji, Wydział Ochrony Środowiska, Wydział Inwestycji i Rozwoju, Wydział Organizacyjny i Kadr oraz Referat Informatyki (3 informatyków).

Warunki techniczno-organizacyjne:

• Urząd wdrożył system Elektronicznego Zarządzania Dokumentacją (EZD) oraz zintegrowany system podatkowo-finansowy.
• W sali obsługi interesantów (parter) znajduje się 10 otwartych stanowisk obsługi, gdzie mieszkańcy składają wnioski o dowody osobiste, rejestrują pojazdy i zgłaszają działalność gospodarczą.
• W urzędzie przetwarza się bazy danych z rejestrów państwowych (PESEL, RDO, CEIDG, ewidencja gruntów i budynków).
• Zgodnie z par. 20 Rozporządzenia KRI kierownik podmiotu publicznego jest zobowiązany do przeprowadzania okresowego audytu bezpieczeństwa informacji nie rzadziej niż raz w roku. Burmistrz wydał zarządzenie o przeprowadzeniu audytu i oczekuje przejrzystego planu audytu od zespołu audytorów.

Wstępny rekonesans wykazał:

• Brak aktualnej inwentaryzacji sprzętu i oprogramowania; część pracowników korzysta ze starych pendrive do przenoszenia plików między pokojami.
• Pracownicy biur mają zwyczaj pozostawiania nieprzeprowadzonych akt spraw na biurkach podczas przerw obiadowych.
• Urzędnicy korzystają ze wspólnych skrzynek funkcyjnych bez imiennej identyfikacji nadawcy wiadomości wychodzącej.

Zespół audytorski (2-3 studentów) opracowuje kompletny plan audytu rocznego KRI:

• Krok 1 (Podział ról w zespole audytowym):

  Student 1 (Audytor Wiodący): Opracowuje strukturę planu audytu, harmonogram spotkań z Burmistrzem, Sekretarzem Miasta i kierownikami wydziałów, odpowiada za spójność raportowania.

  Student 2 (Audytor Systemów Teleinformatycznych): Planuje audyt zabezpieczeń technicznych serwerowni, stacji roboczych, kopii zapasowych, sieci LAN/Wi-Fi oraz podatności oprogramowania.

  Student 3 (Audytor Procedur i KRI): Opracowuje checklistę wymogów formalnych KRI (§ 20), planuje wywiady z urzędnikami i dobór próby teczek spraw do audytu czystego biurka.

• Krok 2 (Określenie celów, zakresu i kryteriów audytu):

  Cel: Ocena spełniania przez Urząd Miasta i Gminy minimalnych wymagań dla systemów teleinformatycznych określonych w KRI oraz normie ISO 27001. Zakres: Wszystkie wydziały urzędu, system EZD, sieć teleinformatyczna, sala obsługi interesantów, serwerownia. Kryteria: Rozporządzenie KRI (Dz.U. z 2024 r. poz. 773), RODO, ustawa o informatyzacji, wewnętrzne zarządzenia Burmistrza.

• Krok 3 (Metodyka doboru próby - sampling):

  Ze względu na dużą liczbę spraw (tysiące wniosków rocznie), zaplanujcie próbkowanie: weryfikacja 20 losowo wybranych spraw w systemie EZD, inspekcja 5 stanowisk w Sali Obsługi Mieszkańców, audyt 10 stacji roboczych w różnych referatach.

• Krok 4 (Techniki zbierania dowodów):

  Zaplanujcie wywiady z: Sekretarzem Miasta (nadzór organizacyjny), Kierownikiem Referatu IT (infrastruktura, hasła, backupy), 3 kierownikami wydziałów (obieg dokumentów), pracownikiem kancelarii i sali obsługi. Uzupełnijcie to o przegląd fizyczny serwerowni i testy blokowania ekranów.

• Krok 5 (Harmonogram audytu - 3 dni robocze):

  Dzień 1: Spotkanie otwierające z Burmistrzem, audyt procedur ogólnych, badanie Referatu IT i infrastruktury. Dzień 2: Audyt wydziałów merytorycznych, sali obsługi petentów, przegląd spraw w systemie EZD. Dzień 3: Weryfikacja planów ciągłości działania, narada audytorów, spotkanie zamykające z kierownictwem.

• Krok 6 (Lista kontrolna pytań audytowych):

  Sformułujcie pytania oparte o par. 20 ust. 2 KRI (np. posiadanie inwentaryzacji aktywów, okresowe analizy ryzyka, szkolenia pracowników, procedury reagowania na incydenty).

Studenci przygotowują referat ustny (10 minut) wsparty prezentacją:

• Wprowadzenie (2 min): Prawne podstawy audytu w samorządzie terytorialnym - dlaczego KRI nakazuje coroczny audyt (Student 1).
• Zakres i kryteria planowanego audytu (3 min): Zestawienie wymogów KRI z normą ISO/IEC 27001 oraz omówienie metody doboru próby urzędników i dokumentów (Student 3).
• Przebieg audytu i plan działań kontrolnych (3 min): Szczegółowy harmonogram 3 dni audytu, podział zadań między audytorów, techniki badania sali obsługi i EZD (Student 2).
• Refleksja i podsumowanie (2 min): Potencjalne trudności w audycie urzędu (opór urzędników, obawa przed kontrolą) i sposoby ich łagodzenia w duchu ISO 19011 (cały zespół).

Raport pisemny (4-6 stron maszynopisu) musi obejmować:

A. Opis kontekstu sytuacyjnego i uwarunkowań prawnych samorządu.

B. Wzorcowy Plan Audytu ISMS/KRI w Urzędzie Miasta i Gminy:

• Dane organizacyjne: Zleceniodawca (Burmistrz Miasta i Gminy), Zespół audytowy (3 audytorów), Termin realizacji.
• Cel audytu: Weryfikacja spełnienia wymogów par. 20 Rozporządzenia Rady Ministrów w sprawie KRI oraz wybranych kontroli ISO/IEC 27001:2022.
• Zakres audytu: Siedziba Urzędu Miasta i Gminy (budynek główny i oficyna), sieć LAN, serwerownia, system EZD, procedura obsługi interesantów, 7 wydziałów merytorycznych.
• Kryteria audytowe: Rozporządzenie KRI (Dz.U. z 2024 r. poz. 773, par. 20), Ustawa z 17 lutego 2005 r. o informatyzacji (...), norma ISO/IEC 27001:2022, Polityka Bezpieczeństwa Informacji UMiG.
• Tabela harmonogramu audytu (przebieg krok po kroku):
  • Dzień 1, 09:00-09:45: Spotkanie otwierające z Burmistrzem, Sekretarzem i Kierownikami (omówienie celów, potwierdzenie kanałów łączności i poufności).
  • Dzień 1, 10:00-12:30: Audyt Referatu Informatyki - zarządzanie tożsamością, konfiguracja zapór sieciowych, procedury backupu, testy odzyskiwania danych po awarii.
  • Dzień 1, 13:15-15:30: Inspekcja serwerowni (kontrola dostępu fizycznego, klimatyzacji, zasilania awaryjnego UPS, systemu przeciwpożarowego) oraz przegląd umów z dostawcami IT.
  • Dzień 2, 08:30-11:00: Audyt Sali Obsługi Mieszkańców i USC - weryfikacja ochrony danych osobowych petentów, zasada czystego biurka, czystego ekranu, bezpieczne drukowanie zaświadczeń.
  • Dzień 2, 11:30-14:30: Audyt Wydziału Finansowo-Podatkowego i Geodezji - próbkowanie spraw w EZD, kontrola uprawnień do rejestrów PESEL i baz podatkowych.
  • Dzień 3, 08:30-10:30: Audyt Wydziału Kadr - umowy pracowników, szkolenia z cyberbezpieczeństwa, odbieranie uprawnień odchodzącym pracownikom.
  • Dzień 3, 11:00-12:30: Narada zespołu audytowego - zestawienie dowodów, formułowanie wstępnych ustaleń i kart niezgodności.
  • Dzień 3, 13:30-14:30: Spotkanie zamykające z kierownictwem Urzędu - podsumowanie ustaleń, wskazanie mocnych stron i obszarów wymagających poprawy.

C. Analiza mocnych i słabych stron koncepcji:

• Zalety: Pełna zgodność z polskim prawem samorządowym; zrównoważone rozłożenie ciężaru kontroli; skupienie na realnych zagrożeniach dla danych obywateli.
• Trudności: Presja czasu urzędników podczas dni przyjęć interesantów; konieczność zachowania szczególnej ostrożności przy weryfikacji danych objętych tajemnicą skarbową.

• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (Dz.U. z 2024 r. poz. 773) - w szczególności par. 20.
• Norma PN-EN ISO 19011:2018 - Wytyczne dotyczące audytowania systemów zarządzania.
• Norma PN-EN ISO/IEC 27001:2022 - Systemy zarządzania bezpieczeństwem informacji.
• Ustawa z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne (Dz.U. z 2024 r. poz. 307).
• Ministerstwo Cyfryzacji: "Standardy cyberbezpieczeństwa dla jednostek samorządu terytorialnego", Warszawa 2023.
• Urząd Ochrony Danych Osobowych: "Wskazówki dla sektora publicznego w zakresie wdrażania RODO", Warszawa 2022.

• U1 Student umie zaplanować metodyczny audyt jednostki administracji samorządowej zgodnie z ISO 19011.
• U2 Student poprawnie przypisuje kryteria par. 20 KRI do procesów urzędowych.
• U3 Student planuje kontrolę z uwzględnieniem priorytetów ochrony danych osobowych obywateli i ciągłości obsługi petentów.
• W2W3 Student wykazuje zrozumienie zależności między ISO 27001 a specyfiką polskiego prawa administracyjnego.
• K1K2 Student kształtuje postawę rzetelności, profesjonalizmu i szacunku dla służby publicznej.

Celem zadania jest opanowanie przez studentów umiejętności projektowania planu audytu ISMS z zastosowaniem podejścia opartego na ryzyku (risk-based audit) zgodnie z wytycznymi normy ISO 27005 oraz zasadami ISO 19011 w dynamicznie rozwijającej się instytucji finansowej typu FinTech. Studenci uczą się koncentrować ograniczone zasoby audytowe na procesach o najwyższym profilu ryzyka operacyjnego, regulacyjnego i technologicznego (bramki płatnicze, interfejsy programistyczne API, bezpieczeństwo transakcji internetowych).

Powiązanie z sylabusem i treściami programowymi:

• U1 Opracowanie zaawansowanego koncepcyjnie planu audytu ISMS dla instytucji rynku finansowego.
• U3 Praktyczne wdrożenie metodyki risk-based audit (ISO 27005) do hierarchizacji celów i alokacji czasu audytorów.
• U2 Identyfikacja podatności w interfejsach cyfrowych i projektowanie pytań audytowych weryfikujących mechanizmy kontrolne.
• W2 Znajomość standardu ISO/IEC 27001:2022, ISO/IEC 27005:2022 oraz standardu bezpieczeństwa danych kart płatniczych PCI DSS.
• W3 Zrozumienie regulacji sektorowych: Wytyczne Komisji Nadzoru Finansowego (KNF) dotyczące zarządzania obszarami IT i bezpieczeństwa środowiska teleinformatycznego oraz Rozporządzenie DORA (Digital Operational Resilience Act).
• K1K3 Profesjonalizm i rygorystyczne zachowanie poufności informacji o architekturze krytycznych systemów finansowych.
• Powiązanie z wykładem: Wyk2 (Zasady audytowania), Wyk3 (Kontrole techniczne ISO 27001), Wyk5 (Audyt risk-based - ISO 27005).

Spółka "PayQuick S.A." jest licencjonowaną przez KNF Krajową Instytucją Płatniczą. Świadczy usługi bramki płatniczej dla ponad 2 500 sklepów internetowych, procesuje transakcje kartowe, płatności ekspresowe oraz płatności mobilne (BLIK). Średni wolumen dzienny wynosi 180 000 transakcji o wartości przekraczającej 15 mln złotych. Spółka zatrudnia 70 osób (w tym 35 inżynierów oprogramowania, architektów chmury i analityków bezpieczeństwa SOC).

Środowisko technologiczne i operacyjne:

• Systemy przetwarzania transakcji osadzone są w architekturze chmury hybrydowej (część wrażliwa transakcyjna w certyfikowanym centrum danych w Warszawie, środowiska analityczne w chmurze publicznej).
• Kluczowym punktem styku z klientami są interfejsy API, przez które sklepy internetowe przesyłają żądania obciążenia kart i rachunków.
• W ciągu ostatnich 6 miesięcy odnotowano: gwałtowny wzrost liczby prób ataków typu Credential Stuffing i DDoS na bramkę API, zgłoszenie przez klienta podejrzenia wycieku danych z testowego środowiska deweloperskiego oraz wymóg dostosowania procesów do unijnego rozporządzenia DORA.

Zarząd PayQuick S.A. zleca zespołowi audytorów opracowanie rocznego planu audytu ISMS. Czas audytu jest ograniczony do 4 dni roboczych, dlatego kluczowe jest podejście risk-based - audytorzy nie mogą marnować czasu na obszary o niskim ryzyku, lecz muszą uderzyć w punkty o krytycznym znaczeniu dla bezpieczeństwa pieniędzy i danych klientów.

Zespół studencki (2-3 osoby) przygotowuje plan audytu risk-based:

• Krok 1 (Podział ról w zespole audytowym):

  Student 1 (Audytor Wiodący / Analityk Ryzyka): Przeprowadza wstępną hierarchizację ryzyk biznesowych, formułuje cele audytu, uzgadnia kryteria audytowe z Zarządem i Oficerem Bezpieczeństwa (CISO), koordynuje przebieg prac.

  Student 2 (Audytor Bezpieczeństwa Aplikacji i Chmury): Planuje szczegółowe badania techniczne: bezpieczeństwo interfejsów API, zarządzanie kluczami kryptograficznymi (HSM), mechanizmy zapobiegania oszustwom (Anti-Fraud) oraz separację środowisk produkcyjnych i testowych.

  Student 3 (Audytor Zgodności Finansowej / Compliance): Ustala kryteria badania zgodności z Rekomendacjami KNF, standardem PCI DSS, unijnym rozporządzeniem DORA oraz procedurami zgłaszania incydentów do organów nadzoru (CSIRT KNF).

• Krok 2 (Analiza ryzyka na potrzeby planu audytu - ISO 27005):

  Oceńcie ryzyka i przypiszcie im wagi:

  • Obszar A: Interfejsy API i uwierzytelnianie transakcji - Ryzyko BARDZO WYSOKIE (potencjalny bezpośredni rabunek środków lub paraliż transakcji) -> Alokacja: 40% czasu audytu.
  • Obszar B: Zarządzanie kluczami szyfrującymi i modułami HSM - Ryzyko WYSOKIE (utrata poufności kart) -> Alokacja: 25% czasu audytu.
  • Obszar C: Separacja środowisk deweloperskich i zarządzanie zmianą w chmurze - Ryzyko ŚREDNIO-WYSOKIE -> Alokacja: 20% czasu audytu.
  • Obszar D: Bezpieczeństwo fizyczne biura i szkolenia pracowników biurowych - Ryzyko NISKIE/ŚREDNIE -> Alokacja: 15% czasu audytu.
• Krok 3 (Ustalenie kryteriów audytowych):

  Kryteria: Norma PN-EN ISO/IEC 27001:2022 (wymagania 6.1, 8.1 oraz Załącznik A: A.8.24 Użycie kryptografii, A.8.26 Bezpieczeństwo aplikacji), Wytyczne KNF dotyczące bezpiecznego świadczenia usług płatniczych, Rozporządzenie DORA (zarządzanie ryzykiem ICT).

• Krok 4 (Dobór technik audytowych):

  Zastosujcie próbkowanie celowe (ang. judgmental sampling) oparte na incydentach: weryfikacja 15 najpoważniejszych alarmów bezpieczeństwa SOC z ostatnich 3 miesięcy, inspekcja konfiguracji bramek API (tokeny JWT, rate limiting) oraz wywiady z architektami oprogramowania.

• Krok 5 (Harmonogram audytu 4-dniowego):

  Dzień 1: Spotkanie otwierające, audyt zarządzania ryzykiem ISMS i procedur Incident Management. Dzień 2: Głęboki audyt techniczny API, mechanizmów antyfraudowych i kryptografii HSM. Dzień 3: Audyt procesu wytwórczego CI/CD, separacji chmury produkcyjnej od deweloperskiej i dostawców chmurowych. Dzień 4: Weryfikacja planów ciągłości działania (BCP/DRP), narada zespołu, spotkanie zamykające z Zarządem.

Struktura referatu ustnego (10 minut) wygłaszanego przed grupą:

• Wprowadzenie (2 min): Czym różni się tradycyjny audyt zgodności od audytu opartego na ryzyku (risk-based audit) w branży FinTech (Student 1).
• Matryca ryzyk a harmonogram audytu (3 min): Jak wstępna ocena zagrożeń (API, fraudy, chmura) zadecydowała o podziale godzin pracy audytorów (Student 1 i 3).
• Techniczne aspekty badania mechanizmów kontrolnych (3 min): Sposób weryfikacji API, kryptografii i separacji chmurowej bez ingerowania w transakcje klientów na żywo (Student 2).
• Ocena efektywności planu (2 min): Wady i zalety podejścia risk-based, korzyści biznesowe dla zarządu PayQuick S.A. (wszyscy członkowie zespołu).

Raport seminaryjny (4-6 stron A4) musi zawierać:

A. Wstępna ocena ryzyka operacyjnego i regulacyjnego FinTechu.

B. Wzorcowy Plan Audytu ISMS (Risk-Based):

• Metryka audytu: Zleceniodawca (Komitet Audytu PayQuick S.A.), Zespół audytorów, Czas trwania: 4 dni robocze.
• Cel nadrzędny: Zweryfikowanie skuteczności wdrożonych zabezpieczeń technicznych i organizacyjnych ISMS w odniesieniu do procesów krytycznych o najwyższym poziomie ryzyka operacyjnego i technologicznego.
• Zakres audytu:
  • System bramki płatniczej PayQuick Gateway (komponenty API, silnik autoryzacyjny).
  • Moduły kryptograficzne HSM i procedury zarządzania kluczami transakcyjnymi.
  • Środowisko chmurowe AWS/Azure w zakresie procesowania transakcji i bazy danych kartowych.
  • Centrum Bezpieczeństwa SOC i procedury reagowania na incydenty cyberbezpieczeństwa.
• Wyłączenia: Kwestie rachunkowości i księgowości ogólnej (audytowane odrębnym audytem finansowym).
• Szczegółowa macierz planu audytu (alokacja czasu i zasobów):
  • Moduł 1 (Dzień 1, 6 godz.): Architektura bezpieczeństwa ISMS i zarządzanie incydentami teleinformatycznymi. Kryteria: ISO 27001 klauzula 6.1, A.5.24-A.5.28; DORA art. 9-11. Metoda: Wywiad z CISO, analiza 10 raportów z incydentów, inspekcja procedur eskalacji do KNF. Audytor: Wiodący i Compliance.
  • Moduł 2 (Dzień 2, 7 godz.): Bezpieczeństwo interfejsów API, mechanizmy uwierzytelniania i kryptografia transakcyjna. Kryteria: ISO 27001 A.8.24, A.8.26; PCI DSS wymóg 3 i 6. Metoda: Przegląd konfiguracji bramy API, weryfikacja rotacji kluczy w HSM, analiza logów prób nieautoryzowanego dostępu. Audytor: Techniczny.
  • Moduł 3 (Dzień 3, 7 godz.): Zarządzanie środowiskiem chmurowym, proces CI/CD i separacja danych produkcyjnych. Kryteria: ISO 27001 A.8.31, A.8.32; Rekomendacja KNF D. Metoda: Inspekcja uprawnień IAM w konsoli chmurowej, weryfikacja braku rzeczywistych danych kartowych w środowiskach testowych. Audytor: Techniczny i Wiodący.
  • Moduł 4 (Dzień 4, 5 godz.): Odporność operacyjna (DORA) i testy ciągłości działania DRP. Kryteria: ISO 27001 A.5.29, A.5.30. Metoda: Przegląd wyników ostatnich testów przełączania do zapasowego centrum danych. Audytor: Cały zespół.
  • Podsumowanie i raportowanie (Dzień 4, 3 godz.): Narada zespołu audytowego, sporządzenie wykazu spostrzeżeń, oficjalne spotkanie zamykające z Zarządem.

C. Analiza wad i zalet rozwiązania:

• Zalety: Maksymalna efektywność kosztowa audytu; skupienie uwagi na elementach decydujących o przetrwaniu rynkowym spółki; spełnienie oczekiwań regulatora KNF.
• Wady i ryzyka: Ryzyko pominięcia drobnych uchybień w obszarach zaklasyfikowanych jako niskie ryzyko (np. procedury kadrowe, bezpieczeństwo recepcji), co przy rygorystycznej kontroli zewnętrznej może skutkować uwagami formalnymi.

• Norma PN-EN ISO/IEC 27005:2022 - Zarządzanie ryzykiem w bezpieczeństwie informacji.
• Norma PN-EN ISO 19011:2018 - Wytyczne dotyczące audytowania systemów zarządzania (punkt 5.4.2: Ustalanie celów programu audytu w oparciu o ryzyko).
• Norma PN-EN ISO/IEC 27001:2022 - Systemy zarządzania bezpieczeństwem informacji.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyfrowej sektora finansowego (DORA).
• Urząd Komisji Nadzoru Finansowego (UKNF): "Komunikat w sprawie wytycznych dotyczących zarządzania obszarami technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego", Warszawa.
• PCI Security Standards Council: "Payment Card Industry Data Security Standard (PCI DSS) v4.0", 2022.

• U3 Student bezbłędnie stosuje zasady risk-based audit, różnicując zaangażowanie audytorów w zależności od wagi ryzyka.
• U1 Student konstruuje kompleksowy plan audytu dla nowoczesnej instytucji technologiczno-finansowej.
• U2 Student potrafi zidentyfikować specyficzne zagrożenia cyfrowe (podatności API, zarządzanie kluczami HSM) i dobrać do nich kryteria kontrolne.
• W2W3 Student rozumie międzynarodowe standardy finansowe (PCI DSS, DORA, KNF) oraz ich korespondencję z normą ISO 27001.
• K1K3 Student wykazuje zrozumienie odpowiedzialności zawodowej za stabilność sektora płatności elektronicznych.

Celem zadania jest wykształcenie u studentów umiejętności opracowania planu audytu ISMS dla przedsiębiorstwa użyteczności publicznej będącego Podmiotem Kluczowym w rozumieniu ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC) i dyrektywy NIS2. Kluczowym wyzwaniem dydaktycznym jest prawidłowe metodyczne rozgraniczenie audytu klasycznego środowiska biurowego IT od środowiska automatyki przemysłowej (OT/SCADA) przy bezwzględnym zachowaniu ciągłości dostaw wody dla ludności oraz zakazie stosowania inwazyjnych metod badania sieci technologicznej.

Powiązanie z sylabusem i treściami programowymi:

• U1 Opracowanie zintegrowanego planu audytu ISMS uwzględniającego specyfikę infrastruktury krytycznej i automatyki przemysłowej.
• U2 Rozróżnienie kryteriów audytowych dla systemów IT (poufność, integralność) oraz systemów OT (dostępność, bezpieczeństwo procesowe, odporność).
• U3 Zastosowanie analizy ryzyka do zaplanowania bezinwazyjnych technik weryfikacji sterowników przemysłowych PLC.
• W1W3 Znajomość wymagań ustawy o KSC, dyrektywy NIS2 oraz rygorów bezpieczeństwa obiektów infrastruktury krytycznej.
• W2 Wykorzystanie wytycznych norm ISO/IEC 27001:2022, ISO 19011:2018 oraz standardów bezpieczeństwa systemów sterowania przemysłowego (seria IEC 62443 / ISO 27019).
• K1K3 Poczucie odpowiedzialności za bezpieczeństwo publiczne i rygorystyczne przestrzeganie zasad BHP oraz reżimu technologicznego.
• Powiązanie z wykładem: Wyk2 (Zasady audytowania wg ISO 19011), Wyk4 (Audyt zgodności z KSC i NIS2), Wyk6 (Techniki zbierania dowodów w środowiskach nietypowych).

Miejskie Przedsiębiorstwo Wodociągów i Kanalizacji Sp. z o.o. (MPWiK) zaopatruje w wodę pitną i odbiera ścieki od 160 000 mieszkańców aglomeracji miejskiej. Przedsiębiorstwo zatrudnia 180 pracowników i zarządza centralną stacją uzdatniania wody, 4 ujęciami głębinowymi, 12 przepompowniami oraz oczyszczalnią ścieków. Decyzją właściwego ministra spółka została uznana za Podmiotu Kluczowego.

Infrastruktura techniczna dzieli się na dwa odrębne segmenty:

• Środowisko IT (Corporate Network): 70 komputerów biurowych, system bilingowy i księgowy, poczta elektroniczna, serwer plików, zintegrowany system GIS do zarządzania siecią wodociągową.
• Środowisko OT (Operational Technology / SCADA): Dyspozytornia główna z systemem wizualizacji SCADA, redundantne sterowniki PLC Siemens i Schneider na ujęciach, radiomodemy i łącza telemetryczne łączące obiekty bezzałogowe z centralą, sensory jakości wody i stacje dozowania chemii uzdatniającej (chlor, koagulanty).

Podczas wstępnego wywiadu audytorzy ustalili:

• Dwa lata temu połączono sieć SCADA z siecią biurową IT, aby dyrektor techniczny mógł na swoim laptopie podglądać wykresy ciśnienia w sieci, jednak reguły na zaporze ogniowej (firewall) nie były weryfikowane od czasu instalacji.
• Serwisanci zewnętrzni sterowników PLC łączą się z urządzeniami przez komercyjne oprogramowanie do zdalnego pulpitu bez dwuskładnikowego uwierzytelniania.
• Przedsiębiorstwo musi przeprowadzić audyt bezpieczeństwa wynikający z art. 15 ustawy o KSC. Zarząd obawia się, że audytorzy doprowadzą do zatrzymania pomp lub rozkalibrowania dozowników chloru.

Zespół audytorów (2-3 studentów) opracowuje bezpieczny i metodyczny plan audytu:

• Krok 1 (Podział ról w grupie audytowej):

  Student 1 (Audytor Wiodący): Formułuje ramy formalne audytu, protokoły bezpieczeństwa i BHP, uzgadnia harmonogram z Głównym Dyspozytorem i Prezesem Zarządu, prowadzi spotkania otwierające i zamykające.

  Student 2 (Audytor Systemów Przemysłowych i IT): Opracowuje bezinwazyjny plan badania sieci OT/SCADA oraz środowiska biurowego IT (architektura sieciowa, separacja DMZ, reguły zapór ogniowych, zdalny dostęp serwisowy, kopie konfiguracji PLC).

  Student 3 (Audytor Zgodności z Ustawą o KSC i Bezpieczeństwa Fizycznego): Opracowuje checklistę wymogów art. 8-15 ustawy o KSC, planuje audyt ochrony fizycznej ujęć wody i dyspozytorni oraz procedur zgłaszania incydentów poważnych do właściwego CSIRT sektorowego.

• Krok 2 (Wytyczenie granic audytu i bezwzględnych ograniczeń):

  Jasno zdefiniujcie w planie:

  • Granice: Centrala spółki, dyspozytornia SCADA, główna stacja uzdatniania wody oraz reprezentatywna próbka 2 obiektów bezzałogowych (1 przepompownia i 1 ujęcie).
  • Zakazy metodyczne: Bezwzględny zakaz aktywnego skanowania podatności portów sterowników PLC będących pod napięciem i sterujących procesem tłoczenia wody; zakaz jakichkolwiek prób przełączania urządzeń wykonawczych przez audytorów; weryfikacja wyłącznie metodami pasywnymi (przegląd konfiguracji off-line, analiza reguł zapory ogniowej, wywiady, inspekcja wzrokowa).
• Krok 3 (Ustalenie kryteriów audytowych):

  Kryteria: Norma ISO/IEC 27001:2022 (szczególnie kontrole A.5.8 Bezpieczeństwo informacji w zarządzaniu projektami, A.8.20 Bezpieczeństwo sieci, A.8.22 Segregacja sieci), Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (art. 8 - środki techniczne i organizacyjne, art. 9 - obsługa incydentów, art. 15 - audyt), wytyczne normy PN-EN IEC 62443.

• Krok 4 (Dobór technik zbierania dowodów):

  Planowanie triangulacji: wywiad z operatorem dyspozytorni -> obserwacja fizyczna konsoli SCADA i pulpitu sterowniczego -> analiza zrzutów konfiguracji zapory sieciowej rozdzielającej IT i OT -> weryfikacja rejestru umów serwisowych z dostawcami automatyki.

• Krok 5 (Harmonogram audytu - 3 dni robocze):

  Dzień 1: Spotkanie otwierające, audyt procedur bezpieczeństwa KSC, audyt biurowej sieci IT i serwerowni centralnej. Dzień 2: Inspekcja dyspozytorni głównej SCADA, analiza separacji sieci technologicznej, weryfikacja zdalnego dostępu serwisowego. Dzień 3: Wyjazd na stację uzdatniania wody i przepompownię (ochrona fizyczna, zasilanie awaryjne agregatów), narada zespołu, spotkanie zamykające z Zarządem.

Układ wystąpienia zespołowego (10 minut):

• Wprowadzenie (2 min): Specyfika infrastruktury krytycznej i konsekwencje cyberataku na systemy wodociągowe (Student 1).
• Granice audytu i bezpieczeństwo operacyjne procesu (3 min): Dlaczego audyt OT wymaga innego podejścia niż IT i jak zapewniono brak zakłóceń w dostawie wody (Student 2).
• Zgodność z KSC oraz plan inspekcji obiektów rozproszonych (3 min): Omówienie kryteriów prawnych, doboru próby obiektów i weryfikacji ochrony fizycznej ujęć (Student 3).
• Wnioski i podsumowanie (2 min): Ocena ryzyka i korzyści z przeprowadzenia audytu podmiotu kluczowego (cały zespół).

Raport składany na zaliczenie (4-6 stron A4) musi zawierać:

A. Charakterystyka uwarunkowań prawno-technicznych Podmiotu Kluczowego.

B. Wzorcowy Plan Audytu ISMS / KSC dla MPWiK Sp. z o.o.:

• Metryka audytu: Zleceniodawca (Zarząd MPWiK Sp. z o.o.), Podstawa prawna (art. 15 ustawy o KSC), Zespół audytorów (3 osoby).
• Cel audytu: Weryfikacja zgodności wdrożonych zabezpieczeń w systemach świadczenia usługi kluczowej z wymogami ustawy o KSC oraz normą ISO/IEC 27001:2022.
• Zakres podmiotowo-przedmiotowy:
  • Systemy teleinformatyczne IT wspierające zarządzanie (ERP, GIS, poczta).
  • Systemy sterowania technologicznego SCADA oraz sieć telemetryczna łącząca stację uzdatniania i przepompownie.
  • Obiekty fizyczne: Budynek dyrekcji, serwerownia centralna, stacja uzdatniania wody "Północ", przepompownia ścieków nr 3.
• Zastrzeżenia bezpieczeństwa: Wszelkie czynności w strefie SCADA odbywają się w stałej asyście Głównego Automatyka; zabronione jest wpinanie obcych urządzeń pomiarowych do magistrali przemysłowej.
• Matryca harmonogramu audytu:
  • Dzień 1, 09:00-10:00: Spotkanie otwierające z udziałem Prezesa, Dyrektora Technicznego, IOD i Głównego Automatyka.
  • Dzień 1, 10:15-13:00: Audyt biurowego środowiska IT - serwerownia biurowa, system backupów, polityka uprawnień, procedury antymalware (Audytor 2). Równolegle: Przegląd dokumentacji SZBI, planu ciągłości działania i procedur zgłaszania incydentów do CSIRT NASK/GOV (Audytor 1 i 3).
  • Dzień 1, 13:45-15:30: Weryfikacja punktu styku IT/OT - analiza reguł zapory ogniowej, strefy DMZ i bezpiecznego przesyłu telemetrii do systemu GIS (Audytor 2).
  • Dzień 2, 08:30-12:00: Audyt dyspozytorni głównej SCADA - wywiad z dyspozytorami, zasady logowania do paneli HMI, weryfikacja procedur zdalnego dostępu serwisantów zewnętrznych (Audytor 1 i 2).
  • Dzień 2, 12:45-15:00: Weryfikacja planów zarządzania kryzysowego, procedur przełączania na sterowanie ręczne w przypadku awarii SCADA (Audytor 3).
  • Dzień 3, 08:30-11:30: Wizytacja ujęcia wody i przepompowni - audyt ochrony fizycznej (ogrodzenia, system CCTV, kontrola dostępu do szaf sterowniczych PLC) oraz zasilania gwarantowanego UPS i agregatów (Audytor 2 i 3).
  • Dzień 3, 12:00-13:30: Narada zespołu audytowego, zestawienie dowodów, wstępna kwalifikacja spostrzeżeń i niezgodności.
  • Dzień 3, 14:00-15:00: Spotkanie zamykające z Zarządem i omówienie wstępnych rezultatów audytu.

C. Analiza zalet i wad przyjętej koncepcji planu:

• Zalety: Wyeliminowanie ryzyka zaburzenia procesu technologicznego dzięki metodom pasywnym; precyzyjne zaadresowanie wymogów ustawy o KSC; objęcie kluczowych punktów styku IT i OT.
• Wady: Brak możliwości wykonania automatycznych testów penetracyjnych na sterownikach PLC ogranicza ocenę podatności urządzeń brzegowych do analizy dokumentacji i deklaracji producenta.

• Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (tekst jedn. Dz.U. z 2026 r. poz. 20, zm. Dz.U. z 2026 r. poz. 252) - art. 8-15.
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii (Dyrektywa NIS2).
• Norma PN-EN ISO/IEC 27001:2022 - Systemy zarządzania bezpieczeństwem informacji.
• Norma PN-EN ISO 19011:2018 - Wytyczne dotyczące audytowania systemów zarządzania.
• Norma PN-EN IEC 62443 - Bezpieczeństwo sieci i systemów w przemysłowych procesach pomiarowych i sterowania.
• CSIRT NASK / Rządowe Centrum Bezpieczeństwa: "Dobre praktyki ochrony systemów automatyki przemysłowej w sektorze komunalnym", Warszawa 2023.

• U1 Student potrafi zaplanować audyt ISMS w warunkach podwyższonego reżimu bezpieczeństwa i ciągłości działania infrastruktury krytycznej.
• U2 Student rozróżnia specyfikę kryteriów audytowych dla środowiska biurowego IT i przemysłowego OT.
• U3 Student właściwie stosuje zasady zarządzania ryzykiem, wykluczając techniki inwazyjne zagrażające procesom technologicznym.
• W1W3 Student wykazuje znajomość przepisów ustawy o KSC i statusu Podmiotu Kluczowego.
• K1K3 Student działa z odpowiedzialnością za bezpieczeństwo mieszkańców i przestrzega reguł BHP.

Głównym celem zadania jest opanowanie przez studentów zaawansowanych technik planowania zbierania dowodów audytowych w Systemie Zarządzania Bezpieczeństwem Informacji zgodnie z wytycznymi normy ISO 19011:2018 (rozdział 6.4) w warunkach dynamicznej platformy handlu elektronicznego (E-commerce). Zadanie koncentruje się na metodycznym zaplanowaniu doboru próby (sampling statystyczny i osądu audytorskiego), triangulacji dowodów (krzyżowej weryfikacji wywiadów, dokumentów i logów) oraz weryfikacji ochrony danych osobowych klientów i integracji płatności internetowych.

Powiązanie z sylabusem i treściami programowymi:

• U1 Opracowanie kompletnego planu audytu ISMS z rozbudowanym warsztatem metodycznym pozyskiwania dowodów.
• U2 Identyfikacja luk i nieprawidłowości w masowym przetwarzaniu danych konsumentów.
• U3 Zastosowanie technik audytowych minimalizujących zakłócenia sprzedaży w szczycie zakupowym.
• W2 Znajomość wytycznych normy ISO 19011 w zakresie próbkowania dowodów audytowych oraz normy ISO/IEC 27001:2022 (Załącznik A: kontrole rejestrowania i monitorowania A.8.15, A.8.16).
• W1W3 Znajomość wymogów RODO (zgody marketingowe, profilowanie, powierzenie danych kurierom) oraz prawa komunikacji elektronicznej.
• K1K2 Rzetelność dowodowa, obiektywizm i precyzja w dokumentowaniu ustaleń audytowych.
• Powiązanie z wykładem: Wyk2 (Zasady audytowania), Wyk6 (Dowody audytowe i techniki: triangulacja, sampling, analiza logów).

Spółka "ModaPolska Online Sp. z o.o." prowadzi ogólnopolski sklep internetowy z odzieżą i obuwiem. W bazie zarejestrowanych jest 450 000 klientów, a miesięcznie realizowanych jest około 50 000 zamówień. Przedsiębiorstwo zatrudnia 45 pracowników w centrali (działy marketingu, obsługi klienta, finansów, grafików i IT) oraz 80 pracowników w centrum logistyczno-magazynowym pod Poznaniem.

Charakterystyka systemu i procesów:

• Platforma sklepu działa w oparciu o silnik Magento w chmurze dedykowanej, zintegrowany z zewnętrzną bramką płatniczą, systemem magazynowym WMS oraz usługami 4 firm kurierskich (API).
• Klienci zakładają konta, zapisują się do newsletterów, korzystają z programów lojalnościowych i opłacają zakupy kartami lub przelewami ekspresowymi.
• Dział marketingu prowadzi intensywne kampanie retargetingowe i przetwarza dane o preferencjach zakupowych.

Dotychczasowe sygnały ostrzegawcze:

• Odnotowano przypadki reklamacji klientów, którzy twierdzili, że po usunięciu konta nadal otrzymywali maile promocyjne (potencjalne naruszenie art. 17 RODO - prawo do bycia zapomnianym).
• Zewnętrzna agencja reklamowa miała bezpośredni dostęp do bazy produkcyjnej przez konto administratora bez umowy powierzenia.
• Audyt zaplanowano na 3 dni w listopadzie, tuż przed festiwalem wyprzedaży "Black Friday". Zarząd wymaga, aby audyt dowiódł odporności platformy i zgodności z przepisami, nie wpływając negatywnie na procesowanie zamówień.

Zespół audytorów (2-3 studentów) opracowuje plan audytu z akcentem na metodykę zbierania dowodów:

• Krok 1 (Podział ról w zespole audytowym):

  Student 1 (Audytor Wiodący / Metodolog): Opracowuje strukturę planu, protokoły doboru próby audytowej (sampling) oraz macierz triangulacji dowodów; nadzoruje harmonogram i spotkania z zarządem.

  Student 2 (Audytor Techniczny i Analityk Logów): Planuje metody weryfikacji konfiguracji chmury, integralności bazy danych, analizy logów logowania i uprawnień administracyjnych (kontrole A.8.15-A.8.18 ISO 27001).

  Student 3 (Audytor Procesów Biznesowych i RODO): Planuje weryfikację próby zgód marketingowych, procedury realizacji praw osób (usunięcie danych), audyt umów powierzenia z kurierami i agencją reklamową.

• Krok 2 (Projektowanie metodyki doboru próby - sampling):

  Zgodnie z wytycznymi ISO 19011 (załącznik A.6) zdefiniujcie dwie metody doboru próby:

  • Próbkowanie oparte na osądzie (ang. judgmental sampling): Celowy dobór 10 kont użytkowników, którzy złożyli żądanie usunięcia danych w ostatnich 6 miesiącach; weryfikacja 3 umów powierzenia przetwarzania z operatorami logistycznymi i marketingowymi.
  • Próbkowanie reprezentatywne / statystyczne: Losowy wybór 50 transakcji z ostatniego miesiąca w celu sprawdzenia kompletności wpisów w logach zdarzeń (czas, identyfikator transakcji, status autoryzacji).
• Krok 3 (Projektowanie mechanizmu triangulacji dowodów):

  Zaplanujcie w planie audytu konkretną procedurę krzyżowej weryfikacji faktów dla procesu nadawania uprawnień administracyjnych:

  • Źródło 1 (Deklaracja ustna): Wywiad z Kierownikiem Działu IT na temat procedury nadawania kont z dostępem do bazy.
  • Źródło 2 (Dokumentacja formalna): Przegląd pisemnego wniosku o nadanie uprawnień i zatwierdzenia przez Dyrektora Operacyjnego.
  • Źródło 3 (Dowód techniczny / zapis w systemie): Inspekcja faktycznej listy kont i ról w konsoli bazodanowej oraz logów dostępu z ostatnich 30 dni.
• Krok 4 (Harmonogram audytu - 3 dni robocze):

  Dzień 1: Spotkanie otwierające, audyt nadrzędnych zasad ISMS, przegląd umów z dostawcami i agencją reklamową. Dzień 2: Pobranie próbek danych, weryfikacja logów systemowych, triangulacja procedury usuwania kont klientów, audyt konsoli administratorskiej. Dzień 3: Audyt procedur magazynowych (WMS) pod kątem ochrony danych na etykietach przesyłek, analiza dowodów, spotkanie zamykające.

• Krok 5 (Opracowanie listy pytań kontrolnych):

  Przygotujcie precyzyjne pytania sprawdzające mechanizmy rejestrowania zdarzeń, archiwizację logów i ochronę przed ich modyfikacją przez administratorów.

Struktura referatu ustnego (10 minut):

• Wprowadzenie (2 min): Wyzwania audytu platformy E-commerce w szczycie sprzedażowym i rola dowodów audytowych (Student 1).
• Zastosowanie technik próbkowania w praktyce (3 min): Wyjaśnienie różnicy między próbkowaniem celowym a losowym na przykładzie zgód marketingowych i logów (Student 3).
• Zasada triangulacji dowodów (3 min): Praktyczna prezentacja, w jaki sposób audytorzy konfrontują słowa administratora z zapisami w logach i dokumentami (Student 2).
• Ocena planu i wnioski (2 min): Analiza ograniczeń audytu opartego na próbie oraz rekomendacje dla zarządu ModaPolska Online (cały zespół).

Pisemny raport seminaryjny (4-6 stron maszynopisu) musi obejmować:

A. Kontekst biznesowy i analiza ryzyka w handlu elektronicznym.

B. Wzorcowy Plan Audytu ISMS ze szczegółowym warsztatem dowodowym:

• Tytuł: Plan Audytu Wewnętrznego ISMS i Zgodności RODO w ModaPolska Online Sp. z o.o.
• Cel audytu: Weryfikacja skuteczności zabezpieczeń ISMS w procesach e-commerce, rzetelności rejestrowania logów zdarzeń oraz zgodności realizacji praw klientów z normą ISO/IEC 27001:2022 i RODO.
• Zakres audytu: Platforma Magento, system WMS, integracje API z kurierami i bramkami płatności, działy: IT, Marketing, Obsługa Klienta, Magazyn Centralny.
• Kryteria audytowe: Norma PN-EN ISO/IEC 27001:2022 (A.5.18 Prawa dostępu, A.8.15 Rejestrowanie zdarzeń, A.8.16 Monitorowanie aktywności, A.8.20 Bezpieczeństwo sieci), art. 6, 17, 28, 32 RODO, wytyczne ISO 19011:2018.
• Harmonogram szczegółowy z metodami pozyskiwania dowodów:
  • Dzień 1, 09:00-09:45: Spotkanie otwierające z Zarządem, Kierownikiem IT i Inspektorem Ochrony Danych.
  • Dzień 1, 10:00-12:30: Audyt Działu Marketingu - wywiady z pracownikami, pobranie próby 30 zgód marketingowych, przegląd procedur profilowania klientów. (Metoda: wywiad + próbkowanie osądu).
  • Dzień 1, 13:30-15:30: Audyt umów powierzenia przetwarzania danych (art. 28 RODO) z firmami kurierskimi i zewnętrzną agencją reklamową. (Metoda: przegląd 100% umów kluczowych).
  • Dzień 2, 08:30-11:30: Audyt Działu IT i infrastruktury chmurowej - inspekcja konfiguracji rejestrowania logów (syslog), weryfikacja uprawnień uprzywilejowanych. Triangulacja procedury nadawania dostępu do bazy. (Metoda: analiza konfiguracji + triangulacja dowodów).
  • Dzień 2, 12:15-14:45: Audyt procedury usuwania danych (prawo do bycia zapomnianym) - pobranie próby 10 zgłoszeń klientów i sprawdzenie, czy ich dane zniknęły z baz produkcyjnych, kopii zapasowych i narzędzi mailingowych. (Metoda: sampling celowy + inspekcja baz).
  • Dzień 3, 08:30-11:00: Wizytacja centrum logistycznego - obserwacja procesu drukowania listów przewozowych i pakowania zamówień, zabezpieczenie stacji roboczych na magazynie. (Metoda: bezpośrednia obserwacja).
  • Dzień 3, 11:30-13:00: Narada zespołu audytowego, synteza ustaleń z triangulacji, zamknięcie kart dowodowych.
  • Dzień 3, 13:30-14:30: Spotkanie zamykające z Zarządem spółki.

C. Analiza wad i zalet przyjętej koncepcji:

• Zalety: Wysoka wiarygodność ustaleń dzięki triangulacji; precyzyjny dobór próbek nieobciążający pracowników; brak wpływu na wydajność serwerów w okresie przedświątecznym.
• Ograniczenia i ryzyka: Ryzyko błędu próbkowania (ang. sampling risk) - prawdopodobieństwo, że zbadana próba 50 transakcji nie ujawni incydentu występującego sporadycznie w masowej skali.

• Norma PN-EN ISO 19011:2018 - Wytyczne dotyczące audytowania systemów zarządzania (rozdział 6.4.6: Zbieranie i weryfikowanie informacji, Załącznik A.6: Próbkowanie).
• Norma PN-EN ISO/IEC 27001:2022 - Systemy zarządzania bezpieczeństwem informacji.
• Norma PN-EN ISO/IEC 27002:2022 - Zabezpieczenia informacji (kontrole: A.8.15 Rejestrowanie zdarzeń, A.8.16 Monitorowanie aktywności).
• Rozporządzenie RODO (UE 2016/679) - art. 17 (prawo do usunięcia danych), art. 28 (podmiot przetwarzający), art. 32 (bezpieczeństwo przetwarzania).
• Ustawa z dnia 12 lipca 2024 r. - Prawo komunikacji elektronicznej (Dz.U. z 2024 r. poz. 1221).
• Prezes Urzędu Ochrony Danych Osobowych: "Zasady prawidłowego doboru próby podczas kontroli przestrzegania przepisów o ochronie danych", Biuletyn UODO.

• U1 Student umie skonstruować plan audytu kładący nacisk na techniki pozyskiwania wiarygodnych dowodów.
• U2 Student potrafi powiązać braki w logach i procedurach z konkretnymi niezgodnościami z ISO 27001 i RODO.
• U3 Student rozumie i minimalizuje ryzyko próbkowania (sampling risk) w audycie masowych systemów transakcyjnych.
• W2 Student dogłębnie zna metodyczne wytyczne normy ISO 19011 dotyczące triangulacji i samplingu.
• K1K2 Student wykazuje skrupulatność badawczą i umiejętność obiektywnej oceny stanu faktycznego na podstawie wieloźródłowych dowodów.

Celem zadania jest przygotowanie studentów do opracowania planu audytu ISMS w przedsiębiorstwie informatycznym wytwarzającym aplikacje w modelu Software as a Service (SaaS). Zadanie koncentruje się na audycie bezpieczeństwa procesu wytwórczego (Secure Software Development Life Cycle - Secure SDLC), kontroli łańcucha dostaw oprogramowania (biblioteki open-source, zarządzanie podatnościami), bezpieczeństwie repozytoriów kodu oraz audycie dostawców infrastruktury chmurowej w oparciu o wytyczne norm ISO/IEC 27001:2022 oraz ISO/IEC 27017.

Powiązanie z sylabusem i treściami programowymi:

• U1 Opracowanie specjalistycznego planu audytu ISMS dla procesów deweloperskich i operacyjnych (DevSecOps).
• U2 Formułowanie pytań audytowych badających zabezpieczenia w potokach integracji ciągłej (CI/CD) i zarządzaniu sekretami.
• U3 Priorytetyzacja ryzyk związanych z wyciekiem kodu źródłowego i wprowadzeniem podatności do wersji produkcyjnej.
• W2 Znajomość wymagań ISO/IEC 27001:2022 (szczególnie Załącznik A: A.8.25 Bezpieczny cykl życia oprogramowania, A.8.27 Bezpieczna inżynieria systemów, A.8.28 Bezpieczne kodowanie, A.8.30 Testowanie bezpieczeństwa) oraz normy ISO/IEC 27017 (bezpieczeństwo w chmurze).
• W1 Ochrona własności intelektualnej i tajemnicy przedsiębiorstwa w projektach programistycznych.
• K1K2 Zrozumienie roli audytora jako partnera wspierającego jakość i odporność oprogramowania biznesowego.
• Powiązanie z wykładem: Wyk2 (Planowanie audytu), Wyk3 (Kontrole techniczne ISO 27001/27002), Wyk6 (Analiza logów i konfiguracji repozytoriów).

Spółka "CloudSoft Solutions Sp. z o.o." tworzy i udostępnia w modelu subskrypcyjnym (SaaS) chmurową platformę CRM i ERP dla 600 małych i średnich przedsiębiorstw w Polsce i Europie Środkowej. Spółka zatrudnia 65 osób: 35 programistów (backend, frontend), 8 inżynierów DevOps i bezpieczeństwa, 6 testerów QA, 8 wdrożeniowców i 8 pracowników administracyjno-handlowych.

Model operacyjny i technologiczny:

• Kod źródłowy przechowywany jest w chmurowym repozytorium GitLab Enterprise. Wdrożenia na produkcję realizowane są przez zautomatyzowane potoki CI/CD w chmurze AWS.
• Zespoły programistyczne pracują w metodyce zwinnej (Scrum) w 2-tygodniowych sprintach.
• Aplikacje intensywnie wykorzystują zewnętrzne biblioteki i pakiety open-source (Node.js, Python, Docker).

Zidentyfikowane incydenty i ryzyka:

• Dwa miesiące temu jeden z młodszych programistów przypadkowo wypchnął do publicznego repozytorium kod zawierający produkcyjny klucz API do bazy danych AWS (incydent wykryto po 4 godzinach i klucz unieważniono).
• Klienci biznesowi wymagają od CloudSoft przedstawienia certyfikatu ISO/IEC 27001 oraz raportu z niezależnego audytu bezpieczeństwa ich cyklu wytwórczego przed podpisaniem kontraktów korporacyjnych.
• Zarząd spółki zleca opracowanie planu audytu ISMS, który zweryfikuje dojrzałość procesów programistycznych i chmurowych bez paraliżowania bieżących wydań (release) nowych funkcji oprogramowania.

Zespół audytorski (2-3 studentów) opracowuje plan audytu dedykowany branży oprogramowania:

• Krok 1 (Podział ról w zespole audytowym):

  Student 1 (Audytor Wiodący / Analityk Procesów): Definiuje ramy audytu, harmonogram wywiadów z Product Ownerami, Scrum Masterami i Zarządem; odpowiada za weryfikację ogólnych polityk ISMS i procedur zarządzania zmianą (Change Management).

  Student 2 (Audytor Bezpieczeństwa Aplikacji i DevSecOps): Planuje audyt potoków CI/CD, kontrolę narzędzi statycznej analizy kodu (SAST), analizy komponentów open-source (SCA), zarządzania sekretami (narzędzia typu Vault) i uprawnień w repozytoriach.

  Student 3 (Audytor Infrastruktury Chmurowej i Zgodności Kontraktowej): Planuje audyt konfiguracji chmury AWS pod kątem ISO 27017, procedur izolacji danych klientów (multi-tenancy) oraz umów SLA i NDA z pracownikami i podwykonawcami B2B.

• Krok 2 (Wyznaczenie zakresu i granic audytu):

  Zakres: Proces wytwórczy platformy SaaS, środowiska programistyczne, testowe i produkcyjne w chmurze AWS, repozytoria kodu GitLab, procedury zarządzania podatnościami i wydaniami. Wyłączenia: Sprawy księgowe i marketing tradycyjny.

• Krok 3 (Ustalenie kryteriów audytowych):

  Kryteria: ISO/IEC 27001:2022 (wymagania klauzul 6, 8 oraz Załącznik A: A.8.25-A.8.32 dotyczące rozwoju oprogramowania), norma ISO/IEC 27017 (zabezpieczenia usług w chmurze), standard OWASP Software Assurance Maturity Model (SAMM), wewnętrzna Polityka Bezpieczeństwa Rozwoju Oprogramowania CloudSoft.

• Krok 4 (Metody zbierania dowodów w środowisku IT):

  Zaplanujcie techniki audytu dostosowane do specyfiki IT:

  • Próbkowanie zmian w kodzie: Wybór 10 ostatnich pull requestów (żądań włączenia kodu) pod kątem dowodu wykonania obowiązkowego code review (weryfikacji przez drugiego programistę) przed wdrożeniem.
  • Inspekcja konfiguracji potoku CI/CD: Weryfikacja, czy skanery podatności blokują automatycznie wdrożenie w przypadku wykrycia krytycznych luk w bibliotekach.
  • Wywiady techniczne z Lead Developerem, Architektem Bezpieczeństwa i Inżynierem DevOps.
• Krok 5 (Harmonogram audytu - 3 dni robocze):

  Dzień 1: Spotkanie otwierające z Zarządem i CTO, audyt procedur ogólnych, zarządzania incydentami i umów z programistami. Dzień 2: Audyt środowiska wytwórczego - repozytoria GitLab, potoki CI/CD, testy bezpieczeństwa, zarządzanie sekretami. Dzień 3: Audyt chmury produkcyjnej AWS, procedur odzyskiwania po awarii (DRP), narada zespołu audytowego, spotkanie zamykające.

• Krok 6 (Opracowanie listy pytań kontrolnych):

  Przygotujcie szczegółowe pytania dotyczące m.in. rotacji kluczy kryptograficznych, stosowania kont ze specjalnymi uprawnieniami oraz izolacji baz poszczególnych klientów SaaS.

Układ wystąpienia zespołowego (10 minut):

• Wprowadzenie (2 min): Wyzwania bezpieczeństwa w nowoczesnym modelu SaaS i specyfika podejścia DevSecOps (Student 1).
• Zakres audytu Secure SDLC i kryteria normatywne (3 min): Wyjaśnienie, jak kontrole ISO 27001:2022 (A.8.25-A.8.32) przekładają się na codzienną pracę programisty (Student 2).
• Plan badań technicznych i weryfikacji chmury (3 min): Przedstawienie metod badania pull requestów, potoków CI/CD i konfiguracji chmury AWS (Student 3).
• Wnioski i wdrożenie ustaleń audytu (2 min): Jak prezentować ustalenia programistom, aby nie zniechęcić ich do bezpieczeństwa (cały zespół).

Raport seminaryjny (4-6 stron maszynopisu) musi zawierać:

A. Charakterystyka modelu biznesowego SaaS i wektorów ataków na łańcuch dostaw oprogramowania (Supply Chain Attacks).

B. Wzorcowy Plan Audytu ISMS w CloudSoft Solutions Sp. z o.o.:

• Metryka: Zleceniodawca (Zarząd CloudSoft Solutions), Zespół audytorów (3 osoby), Czas trwania: 3 dni robocze.
• Cel nadrzędny: Ocena zgodności procesów wytwarzania i utrzymania platformy SaaS z normą ISO/IEC 27001:2022 i wytycznymi ISO/IEC 27017 w celu potwierdzenia bezpieczeństwa danych klientów.
• Zakres audytu: Zespół inżynierski (Dev, DevOps, QA), repozytoria kodu GitLab, narzędzia CI/CD, infrastruktura chmurowa AWS (środowiska testowe i produkcyjne), procedury obsługi zgłoszeń błędów.
• Kryteria audytowe: ISO/IEC 27001:2022 (Załącznik A: A.8.25 Bezpieczny cykl życia oprogramowania, A.8.28 Bezpieczne kodowanie, A.8.31 Rozdzielenie środowisk, A.8.32 Zarządzanie zmianą), ISO/IEC 27017:2015, Polityka Bezpieczeństwa Informacji CloudSoft.
• Matryca harmonogramu działań audytowych:
  • Dzień 1, 09:00-09:45: Spotkanie otwierające z udziałem CTO, CISO, Lead Architekta i IOD.
  • Dzień 1, 10:00-12:30: Audyt procesu zarządzania wymaganiami i zmianą - wywiad z Product Ownerem i Scrum Masterami; weryfikacja uwzględniania wymagań bezpieczeństwa na etapie projektowania funkcji (Security by Design).
  • Dzień 1, 13:30-15:30: Audyt procedur personalnych i bezpieczeństwa stacji roboczych programistów (szyfrowanie dysków, blokady portów USB, polityka pracy zdalnej, umowy poufności i IP).
  • Dzień 2, 08:30-11:30: Audyt repozytoriów GitLab i potoków CI/CD - badanie uprawnień dostępu do gałęzi master/production, weryfikacja automatycznych testów SAST i skanowania zależności open-source; analiza próbki 10 commitów i pull requestów.
  • Dzień 2, 12:15-15:00: Audyt zarządzania sekretami i kluczami API - weryfikacja narzędzia Vault, zakaz zapisywania haseł w plikach konfiguracyjnych, procedury natychmiastowej rotacji skompromitowanych poświadczeń.
  • Dzień 3, 08:30-11:30: Audyt środowiska chmurowego AWS - weryfikacja reguł sieciowych Security Groups, separacji środowiska deweloperskiego od produkcyjnego, konfiguracji kont z uprawnieniami roota i wieloskładnikowego uwierzytelniania (MFA).
  • Dzień 3, 12:00-13:30: Narada zespołu audytorów, klasyfikacja zidentyfikowanych luk (spostrzeżenia, szanse na poprawę, niezgodności).
  • Dzień 3, 14:00-15:00: Spotkanie zamykające z Zarządem i liderami technicznymi; podsumowanie audytu.

C. Analiza wad i zalet rozwiązania:

• Zalety: Nowoczesne ujęcie łączące wymogi formalne ISO z realiami inżynierii oprogramowania; budowa przewagi rynkowej spółki przed klientami enterprise; eliminacja ryzyk prawnych i kar za wycieki danych w modelu multi-tenant.
• Ograniczenia: Konieczność wysokich kompetencji technicznych po stronie audytorów (znajomość CI/CD, Git, AWS); ryzyko oporu inżynierów obawiających się spowolnienia tempa wdrożeń.

• Norma PN-EN ISO/IEC 27001:2022 - Systemy zarządzania bezpieczeństwem informacji (Załącznik A: kontrole sekcji 8).
• Norma ISO/IEC 27017:2015 - Wytyczne dotyczące zabezpieczeń bezpieczeństwa informacji w usługach w chmurze.
• Norma PN-EN ISO 19011:2018 - Wytyczne dotyczące audytowania systemów zarządzania.
• OWASP Foundation: "OWASP Top 10 Web Application Security Risks", 2021.
• OWASP Software Assurance Maturity Model (SAMM) v2.0, 2020.
• Ustawa z dnia 4 lutego 1994 r. o prawie autorskim i prawach pokrewnych (Dz.U. z 2022 r. poz. 2509) - aspekty ochrony kodu i praw majątkowych.

• U1 Student umie opracować plan audytu procesu programistycznego i środowiska chmurowego.
• U2 Student potrafi powiązać kontrole Załącznika A normy ISO 27001 z narzędziami automatyzacji DevSecOps (Git, CI/CD, Vault).
• U3 Student stosuje analizę ryzyka wobec łańcucha dostaw kodu i zależności open-source.
• W2 Student wykazuje znajomość standardów ISO 27001, ISO 27017 oraz wytycznych OWASP.
• K1K2 Student rozwija umiejętność merytorycznego dialogu z kadrą inżynierską i rozumie znaczenie cyberhigieny w tworzeniu oprogramowania.

Głównym celem zadania jest nauczenie studentów projektowania realistycznego, ekonomicznego planu audytu ISMS w publicznej placówce oświatowej dysponującej skromnym budżetem i brakiem dedykowanego personelu ds. bezpieczeństwa informacji. Zadanie kładzie szczególny nacisk na kulturę komunikacji z audytowanym (pedagodzy, dyrekcja), właściwe przeprowadzenie spotkania otwierającego i zamykającego zgodnie z normą ISO 19011:2018, audyt ochrony danych osobowych uczniów i rodziców w chmurowym dzienniku elektronicznym oraz zasady korzystania z prywatnego sprzętu nauczycieli (BYOD).

Powiązanie z sylabusem i treściami programowymi:

• U1 Opracowanie zwięzłego i wykonalnego planu audytu ISMS dla placówki oświatowej w reżimie 2-dniowym.
• U2 Przygotowanie prostych i precyzyjnych list kontrolnych (checklists) dla personelu nietechnicznego.
• U3 Priorytetyzacja obszarów kontrolnych w oparciu o ryzyko naruszenia prywatności małoletnich uczniów.
• W1 Ochrona danych dzieci jako grupy szczególnego ryzyka (art. 8 RODO, ustawa Prawo oświatowe).
• W2W3 Zasady audytowania według ISO 19011, kontrole ISO/IEC 27001:2022 oraz wytyczne Ministerstwa Edukacji Narodowej i UODO dla szkół.
• K1K3 Wrażliwość społeczna, takt pedagogiczny i etyczna postawa w kontakcie ze środowiskiem szkolnym.
• Powiązanie z wykładem: Wyk2 (ISO 19011 - komunikacja audytowa, spotkanie otwierające i zamykające), Wyk4 (RODO w edukacji).

Zespół Szkół Ogólnokształcących i Technicznych nr 3 w mieście średniej wielkości kształci 920 uczniów w 34 oddziałach (liceum oraz technikum informatyczne i mechatroniczne). W szkole zatrudnionych jest 82 nauczycieli oraz 18 pracowników administracji i obsługi (sekretariat, księgowość, pielęgniarka szkolna, woźni).

Infrastruktura techniczna szkoły:

• Dziennik elektroniczny prowadzony jest w modelu chmurowym przez ogólnopolskiego operatora komercyjnego. Nauczyciele logują się do niego ze służbowych komputerów w pokoju nauczycielskim oraz ze swoich prywatnych smartfonów i laptopów domowych (model Bring Your Own Device - BYOD).
• Szkoła posiada 3 pracownie komputerowe (po 18 stanowisk), bibliotekę z czytelnią multimedialną oraz sieć Wi-Fi z osobnym pasmem dla uczniów.
• Budynki i boisko objęte są systemem 28 kamer monitoringu wizyjnego (CCTV), z rejestratorem umieszczonym w gabinecie wicedyrektora.

Uwarunkowania organizacyjne i zasygnalizowane problemy:

• Szkoła nie posiada etatu informatyka – wsparcie techniczne realizuje nauczyciel informatyki w ramach 4 godzin zniżki pensum tygodniowo.
• Podczas zebrań z rodzicami nauczyciele wyświetlają dziennik elektroniczny na projektorach w klasach, co niekiedy pozwala rodzicom dostrzec oceny i uwagi dotyczące innych dzieci.
• Dyrektor szkoły, zobowiązany przepisami samorządowymi do przeprowadzenia audytu bezpieczeństwa, dysponuje budżetem pozwalającym na maksymalnie 2 dni prac zespołu audytorskiego na miejscu. Dyrektor prosi o plan audytu, który nie sparaliżuje zajęć lekcyjnych.

Zespół audytorski (2-3 studentów) opracowuje plan audytu skrojony na miarę szkoły:

• Krok 1 (Podział ról w zespole audytowym):

  Student 1 (Audytor Wiodący / Moderator Dialogu): Odpowiada za plan komunikacji, scenariusz spotkania otwierającego z Dyrekcją i zamykającego z Radą Pedagogiczną, harmonogram audytu dostosowany do przerw lekcyjnych.

  Student 2 (Audytor Zabezpieczeń Technicznych i Sieci): Planuje audyt pracowni komputerowych, rejestratora monitoringu wizyjnego, sieci Wi-Fi i bezpieczeństwa stacji w sekretariacie i pokoju nauczycielskim.

  Student 3 (Audytor RODO i Procedur Szkolnych): Opracowuje checklistę ochrony danych uczniów (zgody na wizerunek, orzeczenia psychologiczne, procedury BYOD dla nauczycieli, umowy powierzenia z dostawcą e-dziennika).

• Krok 2 (Wyznaczenie zakresu i ograniczeń czasowych):

  Zakres: Siedziba szkoły, dziennik elektroniczny, sekretariat uczniowski, pokój nauczycielski, monitoring CCTV, wybrane 2 pracownie komputerowe. Czas audytu: Ściśle ograniczony do 2 dni roboczych (16 godzin zegarowych).

• Krok 3 (Ustalenie kryteriów audytowych):

  Kryteria: Norma ISO/IEC 27001:2022 (wybrane kontrole organizacyjne i techniczne Załącznika A: A.5.10, A.7.7, A.8.1), Rozporządzenie RODO (art. 5, 8, 32), Ustawa z dnia 14 grudnia 2016 r. - Prawo oświatowe, szkolny Regulamin Ochrony Danych Osobowych.

• Krok 4 (Planowanie protokołu komunikacji wg ISO 19011):

  Opracujcie szczegółowy ramowy przebieg:

  • Spotkania otwierającego (30 min): Przedstawienie celu audytu, potwierdzenie braku intencji "karania" nauczycieli, ustalenie, że wywiady odbywają się wyłącznie w okienkach lekcyjnych lub podczas przerw.
  • Spotkania zamykającego (45 min): Przekazanie wniosków w sposób konstruktywny, wskazanie szans na poprawę (OFI), które szkoła może wdrożyć bezkosztowo.
• Krok 5 (Harmonogram audytu 2-dniowego):

  Dzień 1: Spotkanie otwierające, audyt sekretariatu i gabinetu dyrektora, inspekcja rejestratora CCTV, wywiady z nauczycielem pełniącym rolę administratora szkolnej sieci. Dzień 2: Wywiady z próbną grupą 6 nauczycieli w pokoju nauczycielskim, inspekcja pracowni komputerowych, analiza umowy powierzenia e-dziennika, narada audytorów, spotkanie zamykające.

• Krok 6 (Opracowanie prostej checklisty audytowej):

  Sformułujcie zrozumiałe pytania sprawdzające m.in. przechowywanie dzienników papierowych (jeśli występują), zabezpieczenie haseł do e-dziennika, nadzór nad gabinetem pedagoga.

Układ wystąpienia zespołowego (10 minut):

• Wprowadzenie (2 min): Specyfika audytu w placówce oświatowej i psychologiczne bariery personelu (Student 1).
• Protokół komunikacji i rola spotkań otwierającego i zamykającego (3 min): Jak budować atmosferę współpracy audytowej według normy ISO 19011 (Student 1 i 3).
• Plan kontroli procedur BYOD i dziennika elektronicznego (3 min): Rozwiązania audytowe dla rozproszonego logowania nauczycieli i pracowni uczniowskich (Student 2).
• Wnioski i podsumowanie (2 min): Analiza kosztów i korzyści zwięzłego planu audytu (cały zespół).

Raport seminaryjny (4-6 stron maszynopisu) musi obejmować:

A. Diagnoza uwarunkowań organizacyjno-budżetowych szkoły publicznej.

B. Wzorcowy Plan Audytu ISMS w Zespole Szkół Ogólnokształcących i Technicznych nr 3:

• Metryka: Zleceniodawca (Dyrektor ZSOT nr 3), Zespół audytorów (3 osoby), Czas audytu: 2 dni robocze.
• Cel audytu: Ocena poprawności zabezpieczenia danych uczniów i rodziców w e-dzienniku oraz weryfikacja podstawowych środków kontroli ISMS wg ISO/IEC 27001.
• Zakres: Budynek szkoły, gabinety dyrekcji, sekretariat, pokój nauczycielski, gabinet pedagoga szkolnego, 2 pracownie komputerowe, rejestrator monitoringu CCTV.
• Kryteria audytowe: Wybrane kontrole ISO/IEC 27001:2022, art. 6, 8, 32 RODO, Ustawa z 14 grudnia 2016 r. - Prawo oświatowe (art. 108a dot. monitoringu), Szkolna Polityka Ochrony Danych.
• Ramowy harmonogram i alokacja czasu audytorów:
  • Dzień 1, 08:30-09:00: Spotkanie otwierające z Dyrekcją, pedagogiem szkolnym i administratorem sieci (przedstawienie zasad, potwierdzenie poufności).
  • Dzień 1, 09:15-11:30: Audyt Sekretariatu i Gabinetu Dyrektora - weryfikacja akt osobowych uczniów i nauczycieli, zabezpieczenie ksiąg ocen, archiwum szkolne, zasada czystego biurka. (Audytor 1 i 3).
  • Dzień 1, 11:45-13:30: Audyt techniczny infrastruktury - inspekcja szafy krosowej, punktów dostępowych Wi-Fi, pracowni komputerowych (izolacja sieci uczniów od sieci administracji), rejestratora CCTV. (Audytor 2).
  • Dzień 1, 13:45-15:00: Wywiad z nauczycielem pełniącym funkcję informatyka szkolnego - procedury kopii zapasowych, ochrona antywirusowa, zarządzanie kontami uczniów. (Audytor 2 i 1).
  • Dzień 2, 08:30-10:45: Audyt Pokoju Nauczycielskiego i procedur BYOD - wywiady z losową próbą 6 nauczycieli (różne przedmioty) w czasie ich przerw; badanie sposobu logowania do e-dziennika i zabezpieczenia ekranów. (Audytor 1 i 3).
  • Dzień 2, 11:00-12:30: Audyt gabinetu pedagoga i psychologa szkolnego - weryfikacja szaf pancernych z orzeczeniami poradni psychologiczno-pedagogicznych, zasady poufności notatek. (Audytor 3).
  • Dzień 2, 13:00-14:00: Narada zespołu audytorów, synteza ustaleń, sporządzenie listy zaleceń niskokosztowych.
  • Dzień 2, 14:15-15:00: Spotkanie zamykające z Dyrekcją szkoły - podsumowanie wyników, omówienie mocnych stron i propozycji usprawnień.

C. Analiza zalet i ograniczeń planu:

• Zalety: Niski koszt audytu; brak zakłóceń w planie lekcji; nacisk na bezkosztowe usprawnienia organizacyjne podnoszące bezpieczeństwo dzieci.
• Ograniczenia: Krótki czas (2 dni) uniemożliwia przeprowadzenie wywiadów ze wszystkimi nauczycielami; poleganie na próbie 6 osób niesie ryzyko nieujawnienia złych praktyk pojedynczych pedagogów.

• Norma PN-EN ISO 19011:2018 - Wytyczne dotyczące audytowania systemów zarządzania (punkty 6.4.2: Spotkanie otwierające, 6.4.10: Spotkanie zamykające).
• Norma PN-EN ISO/IEC 27001:2022 - Systemy zarządzania bezpieczeństwem informacji.
• Ustawa z dnia 14 grudnia 2016 r. - Prawo oświatowe (Dz.U. z 2024 r. poz. 737) - w szczególności art. 108a (monitoring w szkole).
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 8 i 32.
• Urząd Ochrony Danych Osobowych: "Ochrona danych osobowych w szkołach i placówkach oświatowych. Poradnik", Warszawa 2020.
• Ministerstwo Cyfryzacji / NASK: "Ogólnopolska Sieć Edukacyjna (OSE) - poradnik bezpiecznego korzystania z Internetu w szkole".

• U1 Student umie zaplanować zwięzły, wykonalny audyt w jednostce o minimalnym budżecie i skromnych zasobach.
• U2 Student konstruuje przejrzyste narzędzia audytowe (checklista) zrozumiałe dla kadry pedagogicznej.
• U3 Student trafnie koncentruje audyt na ochronie dóbr osobistych i danych wrażliwych małoletnich uczniów.
• W2W3 Student rozumie specyfikę przepisów oświatowych i ich relację z normą ISO 27001.
• K1K3 Student demonstruje umiejętności interpersonalne i etyczne niezbędne w pracy audytorskiej w edukacji.

Celem zadania jest wykształcenie umiejętności opracowania planu audytu ISMS w wyspecjalizowanej kancelarii prawnej i doradztwa podatkowego, gdzie bezpieczeństwo informacji decyduje o fundamentalnym bycie rynkowym jednostki oraz stanowi bezwzględny obowiązek ustawowy (tajemnica adwokacka, radcowska, tajemnica doradcy podatkowego). Zadanie skupia się na metodyce badania obiegu dokumentów klauzulowanych i poufnych, kontroli szyfrowania urządzeń mobilnych prawników, audycie umów powierzenia przetwarzania danych oraz weryfikacji procedur bezpiecznego niszczenia nośników i dokumentów papierowych.

Powiązanie z sylabusem i treściami programowymi:

• U1 Opracowanie rygorystycznego planu audytu ISMS dedykowanego podmiotom przetwarzającym tajemnice prawnie chronione.
• U2 Formułowanie pytań kontrolnych sprawdzających odporność tajemnicy zawodowej przed nieuprawnionym ujawnieniem.
• U3 Priorytetyzacja ryzyk utraty poufności w modelu pracy hybrydowej i mobilnej prawników.
• W1 Dogłębna znajomość regulacji dotyczących tajemnic zawodowych (Kodeks postępowania karnego, ustawy o radcach prawnych i adwokaturze, ustawa o doradztwie podatkowym).
• W2W3 Zastosowanie kontroli normy ISO/IEC 27001:2022 w zakresie kryptografii, urządzeń użytkownika i umów powierzenia RODO (art. 28).
• K1K3 Bezwzględne poszanowanie etyki, dyskrecji i tajemnicy zawodowej podczas realizacji czynności audytowych.
• Powiązanie z wykładem: Wyk2 (Zasady audytowania), Wyk3 (Kontrole organizacyjne i kryptograficzne ISO 27001), Wyk4 (RODO i tajemnice prawnie chronione).

Kancelaria Prawno-Podatkowa "Lex & Tax Partners Sp.p." zatrudnia 30 prawników (radcowie prawni, adwokaci, doradcy podatkowi, aplikanci) oraz 10 pracowników administracji i sekretariatu. Kancelaria specjalizuje się w obsłudze wielomilionowych transakcji fuzji i przejęć spółek (M&A), optymalizacji podatkowej grup kapitałowych oraz reprezentacji przed sądami gospodarczymi.

Infrastruktura i organizacja pracy:

• Kancelaria posiada nowoczesne biuro w centrum Warszawy (parter: recepcja i 4 sale konferencyjne dla klientów; 1. piętro: gabinety partnerów, open space dla aplikantów, sekretariat, kancelaria tajna/archiwum).
• Wszyscy prawnicy pracują w modelu hybrydowym na służbowych laptopach i smartfonach, korzystając z chmurowego systemu zarządzania sprawami prawnymi oraz poczty w chmurze Microsoft 365.
• Wymiana dokumentacji transakcyjnej (często zawierającej tajemnice przedsiębiorstw klientów o wartości setek milionów złotych) odbywa się za pośrednictwem wirtualnych pokoi danych (Virtual Data Room - VDR).

Sygnały ostrzegawcze i ryzyka:

• Jeden z prawników zgubił służbowy telefon w pociągu relacji Warszawa-Kraków; nie ma pewności, czy aparat był skutecznie zaszyfrowany i czy wdrożono zdalne czyszczenie pamięci (Remote Wipe).
• W salach konferencyjnych po spotkaniach z klientami zdarza się, że na tablicach suchościeralnych pozostają szkice struktur podatkowych z nazwami spółek.
• Klienci korporacyjni wymagają przedstawienia niezależnego raportu z audytu bezpieczeństwa informacji potwierdzającego zgodność kancelarii ze standardem ISO/IEC 27001 przed powierzeniem kolejnych projektów.

Zespół audytorów (2-3 studentów) projektuje specjalistyczny plan audytu:

• Krok 1 (Podział ról w zespole audytowym):

  Student 1 (Audytor Wiodący): Opracowuje ramy formalne, porozumienie o zachowaniu bezwzględnej poufności (NDA) dla audytorów, harmonogram wywiadów z Partnerami Zarządzającymi i Koordynatorem Biura.

  Student 2 (Audytor Bezpieczeństwa IT i Urządzeń Mobilnych): Planuje metody weryfikacji szyfrowania laptopów (BitLocker), systemów zarządzania urządzeniami mobilnymi (MDM/Intune), procedur Remote Wipe, konfiguracji chmury M365 i systemów VDR.

  Student 3 (Audytor Zgodności Prawnej i Procedur Fizycznych): Planuje audyt archiwum papierowego, niszczarek dokumentów (norma DIN 66399), umów powierzenia RODO oraz procedur czystego biurka w salach konferencyjnych.

• Krok 2 (Wyznaczenie zakresu i granic audytu):

  Zakres: Siedziba kancelarii (sale spotkań, gabinety, archiwum), flota urządzeń mobilnych (laptopy, telefony), platforma chmurowa M365, wirtualne pokoje danych VDR, proces niszczenia dokumentacji poufnej. Zastrzeżenie: Audytorzy weryfikują mechanizmy ochronne, nie czytając treści merytorycznych akt procesowych klientów (ochrona tajemnicy adwokackiej).

• Krok 3 (Ustalenie kryteriów audytowych):

  Kryteria: Norma PN-EN ISO/IEC 27001:2022 (kontrole: A.5.10 Akceptowalne użycie aktywów, A.6.7 Praca zdalna, A.7.7 Czyste biurko i czysty ekran, A.8.1 Urządzenia użytkowników, A.8.24 Kryptografia), Kodeks Etyki Radcy Prawnego / Adwokackiej, art. 28 RODO.

• Krok 4 (Metody zbierania dowodów):

  Zaplanujcie próbkowanie urządzeń: losowy wybór 8 laptopów i 6 smartfonów prawników do weryfikacji szyfrowania dysków i polityki haseł; bezpośrednia inspekcja sal konferencyjnych i koszy na śmieci po zakończeniu dnia pracy; przegląd logów administracyjnych konsoli chmurowej pod kątem pobrań plików z platformy VDR.

• Krok 5 (Harmonogram audytu - 2,5 dnia):

  Dzień 1: Spotkanie otwierające, audyt procedur ogólnych, badanie konsoli MDM i konfiguracji chmury M365. Dzień 2: Pobranie próbek laptopów, wywiady z prawnikami pracującymi zdalnie, inspekcja kancelarii papierowej, archiwum i procedury niszczenia dokumentów. Dzień 3 (pół dnia): Narada zespołu, sformułowanie wniosków, spotkanie zamykające z Partnerami Kancelarii.

Układ wystąpienia zespołowego (10 minut):

• Wprowadzenie (2 min): Prawny i biznesowy wymiar ochrony tajemnicy zawodowej w kancelarii prawnej (Student 1).
• Granice audytu a tajemnica adwokacka (3 min): Jak badać bezpieczeństwo informacji nie naruszając tajemnicy obrończej i radcowskiej (Student 3).
• Plan technicznej weryfikacji pracy hybrydowej i urządzeń mobilnych (3 min): Przedstawienie metod sprawdzania szyfrowania, MDM i VDR (Student 2).
• Wnioski i ocena wykonalności (2 min): Analiza korzyści dla klientów kancelarii i ocena planu audytu (cały zespół).

Raport składany na zaliczenie (4-6 stron maszynopisu) musi zawierać:

A. Kontekst prawny funkcjonowania kancelarii i rygory ochrony tajemnicy zawodowej.

B. Wzorcowy Plan Audytu ISMS w Kancelarii Lex & Tax Partners Sp.p.:

• Metryka: Zleceniodawca (Partnerzy Zarządzający Lex & Tax Partners), Zespół audytorów (3 osoby z podpisanym rygorystycznym NDA), Czas trwania: 2,5 dnia.
• Cel nadrzędny: Ocena skuteczności wdrożonych środków bezpieczeństwa ISMS w zapobieganiu wyciekom informacji objętych tajemnicą adwokacką, radcowską i doradcy podatkowego zgodnie z normą ISO/IEC 27001:2022.
• Zakres audytu: Infrastruktura biurowa (sale spotkań, archiwum, sekretariat), platforma chmurowa M365 i system VDR, procedury pracy hybrydowej, flota urządzeń przenośnych prawników.
• Wyłączenie: Zespół audytorów bada procedury techniczne i organizacyjne; zabronione jest otwieranie i analizowanie merytorycznej zawartości pism procesowych i opinii podatkowych.
• Matryca harmonogramu prac audytowych:
  • Dzień 1, 09:00-09:45: Spotkanie otwierające z Partnerami Zarządzającymi i Oficerem Bezpieczeństwa; podpisanie klauzul bezwzględnej poufności przez audytorów.
  • Dzień 1, 10:00-12:30: Audyt Działu Administracji i Sekretariatu - procedury przyjmowania korespondencji, rejestracji spraw, weryfikacji tożsamości gości wchodzących do strefy gabinetów; audyt umów powierzenia RODO z dostawcami usług IT i niszczenia dokumentów.
  • Dzień 1, 13:30-16:00: Audyt infrastruktury chmurowej M365 i konsoli MDM (Microsoft Intune) - weryfikacja wymuszenia szyfrowania BitLocker, reguł warunkowego dostępu, uwierzytelniania wieloskładnikowego (MFA) oraz procedur natychmiastowego blokowania i czyszczenia utraconych urządzeń (Remote Wipe).
  • Dzień 2, 09:00-12:00: Próbkowanie stacji roboczych i smartfonów - inspekcja 8 laptopów i 6 telefonów prawników (sprawdzenie obecności oprogramowania antywirusowego, blokad ekranu po 3 minutach, braku zapamiętanych haseł w otwartych plikach).
  • Dzień 2, 12:45-14:30: Audyt archiwum papierowego i strefy spotkań z klientami - inspekcja sal konferencyjnych pod kątem zasady czystej tablicy i czystego biurka, weryfikacja klasy niszczarek dokumentów (DIN P-4 / P-5).
  • Dzień 2, 14:45-16:00: Wywiady z 3 partnerami i 3 aplikantami na temat praktyk bezpiecznego przesyłania plików klientom (korzystanie z VDR zamiast prywatnych komunikatorów).
  • Dzień 3, 09:00-10:30: Narada zespołu audytorów, synteza ustaleń, ocena ryzyk i opracowanie spostrzeżeń.
  • Dzień 3, 11:00-12:00: Spotkanie zamykające z Partnerami Zarządzającymi i przedstawienie rekomendacji.

C. Analiza mocnych stron i ograniczeń koncepcji:

• Zalety: Ścisła ochrona tajemnicy zawodowej przy jednoczesnej rzetelnej weryfikacji technicznej; precyzyjna kontrola urządzeń mobilnych (najczęstsze źródło wycieków w pracy hybrydowej); eliminacja ryzyka reputacyjnego kancelarii.
• Trudności i wady: Konieczność koordynacji wywiadów z napiętym kalendarzem rozpraw sądowych partnerów; brak wglądu w treść dokumentów utrudnia pełną weryfikację prawidłowości ich klasyfikacji i klauzulowania.

• Norma PN-EN ISO/IEC 27001:2022 - Systemy zarządzania bezpieczeństwem informacji (kontrole Załącznika A: A.5.14, A.6.7, A.7.7, A.8.1, A.8.24).
• Norma PN-EN ISO 19011:2018 - Wytyczne dotyczące audytowania systemów zarządzania.
• Ustawa z dnia 26 maja 1982 r. - Prawo o adwokaturze (Dz.U. z 2024 r. poz. 1564) - art. 6 (tajemnica adwokacka).
• Ustawa z dnia 6 lipca 1982 r. o radcach prawnych (Dz.U. z 2024 r. poz. 499) - art. 3 (tajemnica radcowska).
• Ustawa z dnia 5 lipca 1996 r. o doradztwie podatkowym (Dz.U. z 2023 r. poz. 559) - art. 37.
• Norma DIN 66399 - Niszczenie nośników danych i dokumentacji.
• Naczelna Rada Adwokacka / Krajowa Izba Radców Prawnych: "Wytyczne w sprawie korzystania z narzędzi chmurowych i urządzeń mobilnych w wykonywaniu zawodu prawnika".

• U1 Student potrafi zaplanować audyt ISMS w warunkach bezwzględnego rygoru ochrony tajemnic ustawowo chronionych.
• U2 Student formułuje kryteria kontrolne dla pracy hybrydowej i weryfikacji urządzeń przenośnych.
• U3 Student priorytetyzuje ryzyka utraty poufności danych biznesowych i procesowych klientów.
• W1W2 Student zna regulacje dotyczące tajemnic zawodowych i łączy je z wymaganiami ISO 27001.
• K1K3 Student zachowuje najwyższe standardy etyczne, dyskrecję i świadomość prawną audytora.

Celem zadania jest opanowanie przez studentów umiejętności precyzyjnej alokacji zadań i kompetencji w zespole audytorskim podczas planowania audytu ISMS w dużym zakładzie produkcyjnym przemysłu motoryzacyjnego (Automotive Tier-2). Zadanie kładzie szczególny akcent na podział ról w zespole wielodyscyplinarnym (audytor wiodący, inżynier IT/CAD, audytor ochrony fizycznej i logistyki), audyt bezpieczeństwa łańcucha dostaw i ochrony własności intelektualnej kontrahentów zagranicznych (pliki projektowe CAD/CAM) oraz powiązanie normy ISO/IEC 27001:2022 ze standardami sektora motoryzacyjnego (TISAX/VDA ISA).

Powiązanie z sylabusem i treściami programowymi:

• U1 Opracowanie zintegrowanego planu audytu ISMS z drobiazgową matrycą alokacji ról audytorów.
• U2 Formułowanie pytań audytowych dotyczących ochrony tajemnicy przedsiębiorstwa, stacji inżynierskich i sieci przemysłowej.
• U3 Przeprowadzenie analizy ryzyka wycieku planów technologicznych i przestojów linii produkcyjnej.
• W1 Ochrona tajemnicy przedsiębiorstwa (ustawa o zwalczaniu nieuczciwej konkurencji) oraz przepisów o własności przemysłowej.
• W2W3 Wymagania ISO/IEC 27001:2022 (szczególnie kontrole A.5.19-A.5.23 dotyczące łańcucha dostaw), wytyczne ISO 19011 (rozdział 5.5: Przypisywanie ról w zespole audytowym) oraz wytyczne motoryzacyjne VDA ISA.
• K1K2 Umiejętność harmonijnego współdziałania w zespole specjalistów i poszanowania procedur bezpieczeństwa przemysłowego.
• Powiązanie z wykładem: Wyk2 (ISO 19011 - zespół audytowy i role), Wyk3 (Kontrole łańcucha dostaw ISO 27001), Wyk5 (Risk-based audit).

Przedsiębiorstwo "AutoParts Silesia Sp. z o.o." w Gliwicach produkuje precyzyjne moduły elektroniczne i elementy układów kierowniczych dla wiodących koncernów motoryzacyjnych (dostawca poziomu Tier-2). Zakład zatrudnia 320 pracowników w halach produkcyjnych, magazynie wysokiego składowania oraz w dziale badawczo-rozwojowym (R&D).

Struktura techniczno-operacyjna:

• Dział R&D (25 inżynierów) projektuje podzespoły w oprogramowaniu CAD/CAM/CATIA. Pliki z modelami 3D prototypów są wymieniane z koncernami w Niemczech i Szwecji przez dedykowane łącza szyfrowane VPN.
• Hala produkcyjna posiada 12 zautomatyzowanych linii montażowych zintegrowanych z systemem realizacji produkcji MES i systemem magazynowym ERP.
• W fabryce regularnie przebywają zewnętrzni serwisanci obrabiarek CNC, podwykonawcy oprogramowania robotów oraz kierowcy firm spedycyjnych.

Wyzwania audytowe i wymagania kontrahentów:

• Główny odbiorca niemiecki zażądał przedstawienia akredytowanego certyfikatu ISO/IEC 27001 oraz spełnienia wymagań standardu TISAX (poziom AL2 - wysokie bezpieczeństwo prototypów) pod rygorem zerwania kontraktu.
• Odnotowano niepokojący incydent: na hali produkcyjnej kierowca firmy logistycznej robił zdjęcia smartfonem nowej linii montażowej przed jej oficjalną premierą.
• Dyrektor Zakładu oczekuje szczegółowego planu 3-dniowego audytu ISMS, który precyzyjnie przydzieli zadania audytorom tak, aby jednocześnie sprawdzić bezpieczeństwo serwerów, poufność projektów w R&D oraz reżim wejść na hale fabryczne.

Zespół studencki (2-3 osoby) opracowuje plan audytu z akcentem na alokację zadań w zespole:

• Krok 1 (Szczegółowy podział ról i kompetencji w zespole):

  Student 1 (Audytor Wiodący / Koordynator Organizacyjny): Odpowiada za kierowanie audytem, kontakty z Zarządem i Dyrektorem Jakości, nadzór nad harmonogramem, audyt procedur nadrzędnych ISMS, zarządzania ryzykiem i ciągłości działania (BCP).

  Student 2 (Audytor Techniczny / Ekspert CAD i Cyberbezpieczeństwa): Odpowiada za audyt Działu R&D, bezpieczeństwa stacji inżynierskich, ochrony plików CAD przed wyciekiem (DLP), separacji sieci biurowej i sieci linii montażowych MES/CNC oraz bezpieczeństwa łączy VPN do koncernów.

  Student 3 (Audytor Ochrony Fizycznej i Łańcucha Dostaw): Odpowiada za audyt ochrony obwodowej fabryki, kontroli dostępu do hal i stref prototypowych, weryfikacji kontrahentów, procedur wjazdu dostawców i magazynu.

• Krok 2 (Wyznaczenie zakresu i podziału na strefy bezpieczeństwa):

  Zakres: Siedziba fabryki, biura dyrekcji, strefa R&D (strefa o podwyższonym rygorze), hale produkcyjne A i B, magazyn wysokiego składowania, serwerownia zakładowa, łącza komunikacji z klientami OEM.

• Krok 3 (Ustalenie kryteriów audytowych):

  Kryteria: Norma PN-EN ISO/IEC 27001:2022 (szczególnie kontrole A.5.19 Bezpieczeństwo informacji w łańcuchu dostaw, A.7.1-A.7.4 Bezpieczeństwo fizyczne, A.8.12 Zapobieganie wyciekowi danych), katalog wymagań motoryzacyjnych VDA ISA / TISAX, ustawa o zwalczaniu nieuczciwej konkurencji (tajemnica przedsiębiorstwa).

• Krok 4 (Projektowanie równoległych strumieni audytowych):

  W celu optymalizacji 3-dniowego audytu zaplanujcie równoległe działania audytorów (np. w Dniu 2 Audytor 2 bada stacje CAD w R&D, podczas gdy Audytor 3 kontroluje procedury ochrony fizycznej i wjazdu na magazyn).

• Krok 5 (Harmonogram audytu - 3 dni robocze):

  Dzień 1: Spotkanie otwierające z Dyrekcją Fabryki, wspólny przegląd nadrzędnych procedur ISMS, audyt działu zakupów i umów z dostawcami komponentów. Dzień 2 (strumienie równoległe): Strumień A (Audytor 2) - audyt R&D i systemów CAD; Strumień B (Audytor 3) - audyt hal fabrycznych, magazynu i ochrony fizycznej; Strumień C (Audytor 1) - audyt działu HR i serwerowni. Dzień 3: Zestawienie dowodów, weryfikacja planów awaryjnych, narada zespołu, spotkanie zamykające z Zarządem.

• Krok 6 (Opracowanie listy pytań kontrolnych):

  Sformułujcie pytania badające m.in. zakaz wnoszenia smartfonów do strefy prototypów, blokadę portów USB w komputerach inżynierów oraz klauzule poufności z przewoźnikami.

Układ wystąpienia zespołowego (10 minut):

• Wprowadzenie (2 min): Rola łańcucha dostaw i ochrony prototypów w globalnym przemyśle motoryzacyjnym (Student 1).
• Metodyka alokacji zadań w zespole audytowym wg ISO 19011 (3 min): Jak podzielono kompetencje i zorganizowano równoległe strumienie badawcze (Student 1 i 3).
• Plan weryfikacji strefy R&D i hal produkcyjnych (3 min): Przedstawienie metod kontroli ochrony fizycznej, plików CAD i sieci przemysłowej (Student 2).
• Podsumowanie i wnioski (2 min): Analiza efektywności planu i gotowości fabryki do audytu TISAX (cały zespół).

Raport seminaryjny (4-6 stron maszynopisu) musi obejmować:

A. Analiza otoczenia biznesowego dostawcy Tier-2 i wymogów bezpieczeństwa przemysłowego.

B. Wzorcowy Plan Audytu ISMS z matrycą alokacji zadań w AutoParts Silesia Sp. z o.o.:

• Metryka: Zleceniodawca (Dyrektor Zakładu AutoParts Silesia), Zespół audytorów (3 specjalistów o zróżnicowanych kompetencjach), Czas: 3 dni.
• Cel nadrzędny: Weryfikacja spełnienia wymagań normy ISO/IEC 27001:2022 oraz standardu TISAX w zakresie ochrony prototypów, projektów inżynierskich i bezpieczeństwa dostaw.
• Zakres audytu: Kompleks przemysłowy w Gliwicach: Dział R&D, Dział Zakupów i Logistyki, Hale Montażowe, Serwerownia, Infrastruktura Ochrony Fizycznej.
• Tabela matrycy kompetencji i alokacji ról w zespole audytowym:
  • Audytor 1 (Wiodący): Kompetencje z ISO 19011 i ISO 27001; alokacja do: Zarząd, Dział HR, Polityka Bezpieczeństwa, ciągłość działania BCP, moderacja spotkań.
  • Audytor 2 (Techniczny / CAD): Kompetencje w inżynierii IT, bezpieczeństwie sieci i systemach CAD; alokacja do: Dział R&D, Serwerownia, łącza VPN do kontrahentów, kontrola DLP i pamięci USB.
  • Audytor 3 (Logistyka / Bezpieczeństwo Fizyczne): Kompetencje w ochronie fizycznej i audycie łańcucha dostaw; alokacja do: Bramy wjazdowe, portiernia, strefy magazynowe, system CCTV, umowy powierzenia i NDA z przewoźnikami.
• Szczegółowy harmonogram audytu krok po kroku:
  • Dzień 1, 09:00-10:00: Spotkanie otwierające z Zarządem, Dyrektorem Produkcji, Szefem R&D i Kierownikiem Bezpieczeństwa Zakładu (Audytorzy 1, 2, 3).
  • Dzień 1, 10:15-12:30: Audyt Działu Zakupów i Łańcucha Dostaw - weryfikacja procedur doboru poddostawców komponentów, umów o poufności (NDA) oraz audytów u kooperantów (Audytor 1 i 3). Równolegle: Audyt serwerowni i kopii zapasowych systemów ERP i MES (Audytor 2).
  • Dzień 1, 13:30-15:30: Audyt procedur personalnych w Dziale HR - klauzule lojalnościowe inżynierów, szkolenia z cyberbezpieczeństwa (Audytor 1).
  • Dzień 2, 08:30-12:30 [Działania równoległe]:
    • Strumień A: Audyt strefy R&D - kontrola dostępu za pomocą kart zbliżeniowych, weryfikacja blokad portów USB w stacjach roboczych inżynierów, procedury szyfrowania przesyłanych plików CAD/CAM, zasada czystego biurka w biurze konstrukcyjnym (Audytor 2).
    • Strumień B: Audyt ochrony obwodowej i strefy logistyki - inspekcja portierni, procedury weryfikacji tożsamości kierowców zewnętrznych, audyt strefy przeładunku i zabezpieczenia etykiet z kodami kreskowymi prototypów (Audytor 3).
  • Dzień 2, 13:30-15:30: Audyt hal produkcyjnych - inspekcja terminali produkcyjnych linii montażowych, weryfikacja zakazu wnoszenia telefonów prywatnych i aparatów fotograficznych w rejon prototypów (Audytor 1 i 3).
  • Dzień 3, 08:30-11:00: Weryfikacja planów ciągłości działania fabryki na wypadek awarii zasilania lub ataku ransomware na system MES (Audytor 1 i 2).
  • Dzień 3, 11:30-13:00: Narada zespołu audytowego, zestawienie dowodów ze strumieni równoległych, formułowanie raportu wstępnego.
  • Dzień 3, 13:30-14:30: Spotkanie zamykające z kierownictwem fabryki.

C. Analiza zalet i trudności rozwiązania:

• Zalety: Wysoce efektywne wykorzystanie czasu dzięki równoległym strumieniom badawczym; idealne dopasowanie specjalistów do specyfiki badanego obszaru (inżynier w R&D, specjalista ochrony na magazynie); bezpośrednie wsparcie celów certyfikacji TISAX.
• Trudności i ryzyka: Konieczność sprawnej koordynacji przez Audytora Wiodącego, aby uniknąć rozbieżności w ocenie dowodów; wymóg rygorystycznego przestrzegania przepisów BHP na halach przemysłowych przez audytorów.

• Norma PN-EN ISO 19011:2018 - Wytyczne dotyczące audytowania systemów zarządzania (punkt 5.5.4: Wybór członków zespołu audytującego i przypisywanie zadań).
• Norma PN-EN ISO/IEC 27001:2022 - Systemy zarządzania bezpieczeństwem informacji (kontrole Załącznika A: A.5.19-A.5.23 Łańcuch dostaw, A.7.1-A.7.4 Bezpieczeństwo fizyczne, A.8.12 Ochrona danych).
• Verband der Automobilindustrie (VDA): "Information Security Assessment (VDA ISA / TISAX) Katalog wymagań v5.1", 2023.
• Ustawa z dnia 16 kwietnia 1993 r. o zwalczaniu nieuczciwej konkurencji (Dz.U. z 2022 r. poz. 1233) - art. 11 (ochrona tajemnicy przedsiębiorstwa).
• Polski Komitet Normalizacyjny: "Zapewnienie bezpieczeństwa łańcucha dostaw w przemyśle wytwórczym", Warszawa.

• U1 Student umie opracować plan audytu dla przedsiębiorstwa produkcyjnego z zaawansowaną matrycą ról i zadań.
• U2 Student formułuje pytania audytowe sprawdzające newralgiczne punkty ochrony własności intelektualnej i stref prototypowych.
• U3 Student wdraża analizę ryzyka w łańcuchu dostaw przemysłu motoryzacyjnego.
• W1W2 Student rozumie powiązania normy ISO 27001 ze specyficznymi wymaganiami sektora automotive (TISAX).
• K1K2 Student wykazuje umiejętność pracy zespołowej w wielodyscyplinarnej grupie audytorów.

Głównym celem zadania jest wykształcenie umiejętności opracowania planu audytu ISMS w organizacji pełniącej rolę podmiotu przetwarzającego (procesora) na masową skalę w rozumieniu art. 28 RODO. Zadanie koncentruje się na specyfice audytu centrum usług wspólnych (agencji outsourcingu payroll i HR), które zarządza wrażliwymi danymi finansowymi, płacowymi i zdrowotnymi tysięcy pracowników wielu niezależnych klientów biznesowych. Studenci uczą się planować weryfikację separacji danych klientów, audyt procedur rotacji kadrowej i odbierania uprawnień (onboarding i offboarding) oraz zaawansowaną triangulację dowodów w systemach kadrowo-płacowych.

Powiązanie z sylabusem i treściami programowymi:

• U1 Opracowanie kompleksowego planu audytu ISMS u zewnętrznego dostawcy usług przetwarzania danych.
• U2 Formułowanie pytań audytowych badających skuteczność separacji danych wielu administratorów (multi-tenancy) oraz kontrolę uprawnień.
• U3 Priorytetyzacja ryzyk nieuprawnionego wglądu w zarobki, zajęcia komornicze i dane medyczne pracowników klientów.
• W1W3 Dogłębna znajomość art. 28 i art. 32 RODO (obowiązki procesora, prawo administratora do audytu), Kodeksu pracy i ustawy o systemie ubezpieczeń społecznych.
• W2 Wymagania normy ISO/IEC 27001:2022 (szczególnie Załącznik A: A.5.15-A.5.18 Kontrola dostępu, A.6.1-A.6.5 Bezpieczeństwo zasobów ludzkich, A.8.11 Maskowanie danych).
• K1K2K3 Profesjonalizm audytorski, bezstronność i świadomość odpowiedzialności cywilnej i kontraktowej procesora.
• Powiązanie z wykładem: Wyk2 (Zasady audytowania), Wyk3 (Kontrole dostępowe i personalne ISO 27001), Wyk4 (Audyt zgodności z art. 28 RODO), Wyk6 (Triangulacja dowodów).

Spółka "Kadry & Płace Pro Sp. z o.o." działa jako wyspecjalizowane Centrum Usług Wspólnych. Świadczy kompleksowe usługi naliczania wynagrodzeń, rozliczania ZUS, obsługi Urzędów Skarbowych oraz prowadzenia ewidencji pracowniczej dla 45 przedsiębiorstw z terenu całego kraju. Baza obejmuje łącznie dane 28 000 pracowników klientów. Spółka zatrudnia 50 specjalistów ds. kadr i płac, 5 informatyków oraz 5 pracowników księgowości i zarządu.

Architektura i model operacyjny:

• Centralny system kadrowo-płacowy (enova365) zainstalowany w prywatnym środowisku serwerowym w centrum danych w Poznaniu, z dostępem przez terminale wirtualne.
• Bazy poszczególnych klientów są formalnie odseparowane na poziomie logicznym w systemie bazodanowym SQL.
• Co miesiąc specjaliści generują i przesyłają tysiące plików przelewów płacowych, deklaracji ZUS DRA i plików podatkowych.

Wyzwania organizacyjne i sygnały ostrzegawcze:

• W branży payroll występuje wysoka rotacja pracowników – w ciągu ostatniego roku odeszło 15 specjalistek, a zatrudniono 18 nowych osób.
• Jeden z klientów biznesowych złożył reklamację: nowo zatrudniona specjalistka ds. płac przez pomyłkę wysłała zestawienie wynagrodzeń zarządu klienta A na adres mailowy księgowości klienta B.
• Zgodnie z art. 28 ust. 3 lit. h RODO administratorzy danych (klienci) mają prawo do przeprowadzania audytów u podmiotu przetwarzającego. Największy klient korporacyjny zapowiedział przeprowadzenie audytu drugiej strony (audyt u dostawcy) w oparciu o normę ISO/IEC 27001. Zarząd Kadry & Płace Pro zleca zespołowi audytorów przygotowanie wewnętrznego planu audytu ISMS, który zweryfikuje stan faktyczny przed kontrolą klienta.

Zespół audytorów (2-3 studentów) opracowuje plan audytu skupiony na procedurach procesora:

• Krok 1 (Podział ról w zespole audytowym):

  Student 1 (Audytor Wiodący / Analityk Umów): Odpowiada za koordynację audytu, harmonogram wywiadów z Zarządem, Kierownikiem Operacyjnym i IOD; planuje audyt umów powierzenia przetwarzania danych (DPA) ze wszystkimi 45 klientami.

  Student 2 (Audytor Systemów Bazodanowych i Bezpieczeństwa IT): Planuje weryfikację separacji logicznej baz klientów w SQL, mechanizmów maskowania danych (kontrola A.8.11), analizę logów uprawnień administratorskich i procedur bezpiecznego generowania paczek bankowych.

  Student 3 (Audytor Procesów Personalnych i Uprawnień): Planuje drobiazgową weryfikację procedur zatrudniania i zwalniania pracowników (Onboarding/Offboarding), terminowości odbierania dostępów po rozwiązaniu umowy oraz zasad wysyłki plików z wrażliwą zawartością.

• Krok 2 (Wyznaczenie zakresu i granic audytu):

  Zakres: Siedziba spółki, system kadrowo-płacowy enova365, bazy SQL, procedury zarządzania uprawnieniami, procesy transferu plików płacowych do banków i klientów, umowy powierzenia przetwarzania danych.

• Krok 3 (Ustalenie kryteriów audytowych):

  Kryteria: Norma PN-EN ISO/IEC 27001:2022 (szczególnie kontrole Załącznika A: A.5.18 Prawa dostępu, A.6.1-A.6.5 Bezpieczeństwo personalne, A.8.11 Maskowanie danych, A.8.20 Bezpieczeństwo sieci), art. 28 i art. 32 RODO, Kodeks pracy (tajemnica wynagrodzeń), wewnętrzna Polityka Uprawnień i Instrukcja Zarządzania Systemem Kadrowym.

• Krok 4 (Zastosowanie techniki triangulacji dowodowej w procedurze Offboarding):

  Zaprojektujcie w planie krzyżową weryfikację dla próby 5 pracowników, którzy odeszli ze spółki w ostatnich 6 miesiącach:

  • Źródło 1 (Akta osobowe): Przegląd daty rozwiązania umowy o pracę w Dziale Kadr.
  • Źródło 2 (Obiegówka / wniosek): Weryfikacja papierowej lub elektronicznej karty obiegowej ze stemplem informatyka potwierdzającym odebranie uprawnień w dniu odejścia pracownika.
  • Źródło 3 (Logi systemowe Active Directory i ERP): Sprawdzenie rzeczywistej daty i godziny dezaktywacji konta w domenie i bazie SQL (porównanie, czy konto nie było aktywne po ustaniu zatrudnienia).
• Krok 5 (Harmonogram audytu - 3 dni robocze):

  Dzień 1: Spotkanie otwierające, audyt nadrzędnych polityk ISMS, analiza rejestru umów powierzenia przetwarzania danych (art. 28 RODO) z klientami. Dzień 2: Audyt techniczny separacji baz danych SQL, badanie procedur generowania plików bankowych, triangulacja procedur Offboardingu. Dzień 3: Audyt bezpiecznej komunikacji z klientami (szyfrowanie maili z paskami płacowymi, portale pracownicze), narada audytorów, spotkanie zamykające z Zarządem.

• Krok 6 (Opracowanie listy pytań kontrolnych):

  Przygotujcie pytania dotyczące m.in. zakazu wysyłania haseł do plików w tej samej wiadomości co zaszyfrowany plik Excel oraz procedury postępowania w przypadku pomyłkowego wysłania danych do niewłaściwego odbiorcy.

Układ wystąpienia zespołowego (10 minut):

• Wprowadzenie (2 min): Rola podmiotu przetwarzającego (procesora) w relacjach B2B i rygory audytowe z art. 28 RODO (Student 1).
• Metodyka audytu separacji danych i ochrony tajemnicy wynagrodzeń (3 min): Przedstawienie metod badania baz SQL i maskowania danych (Student 2).
• Praktyczne zastosowanie triangulacji w audycie rotacji kadr (Offboarding) (3 min): Jak wykazać uchybienia w odbieraniu uprawnień poprzez zestawienie dokumentów z logami (Student 3).
• Wnioski i ocena przygotowania spółki do audytu klienta (2 min): Analiza wad i zalet planu audytu (cały zespół).

Raport pisemny (4-6 stron maszynopisu) musi zawierać:

A. Kontekst prawny działalności procesora kadrowo-płacowego i ryzyka kontraktowe.

B. Wzorcowy Plan Audytu ISMS w Kadry & Płace Pro Sp. z o.o.:

• Metryka: Zleceniodawca (Zarząd Kadry & Płace Pro), Zespół audytorów (3 osoby), Czas trwania: 3 dni robocze.
• Cel nadrzędny: Ocena gotowości organizacyjnej i technicznej spółki do pomyślnego przejścia audytu drugiej strony przeprowadzanego przez klienta oraz potwierdzenie spełniania wymogów art. 28 RODO i normy ISO/IEC 27001:2022.
• Zakres audytu: System kadrowo-płacowy enova365, bazy danych SQL 45 klientów, procedury zarządzania tożsamością i uprawnieniami, procesy transferu zestawień płacowych, kanały komunikacji z klientami.
• Kryteria audytowe: Norma PN-EN ISO/IEC 27001:2022 (kontrole Załącznika A: A.5.15, A.5.18, A.6.1-A.6.5, A.8.11, A.8.24), Rozporządzenie RODO (art. 28, art. 32), Ustawa - Kodeks pracy, procedury wewnętrzne spółki.
• Szczegółowy harmonogram audytu:
  • Dzień 1, 09:00-09:45: Spotkanie otwierające z udziałem Prezesa Zarządu, Dyrektora Operacyjnego, Głównego Administratora IT oraz IOD.
  • Dzień 1, 10:00-12:30: Audyt Działu Prawnego i Compliance - weryfikacja kompletności 45 umów powierzenia przetwarzania danych; sprawdzenie, czy umowy precyzyjnie określają przedmiot, czas trwania, charakter i cel przetwarzania oraz kategorie danych.
  • Dzień 1, 13:30-15:30: Audyt procedur wysyłki dokumentów płacowych - wywiady z liderami zespołów płacowych, sprawdzenie mechanizmów szyfrowania plików PDF z paskami wynagrodzeń wysyłanymi do pracowników klientów.
  • Dzień 2, 08:30-11:30: Audyt środowiska bazodanowego SQL - weryfikacja logicznej separacji danych poszczególnych klientów; badanie, czy użytkownik przypisany do obsługi klienta A ma technicznie zablokowaną możliwość wglądu w bazę klienta B; kontrola mechanizmów maskowania numerów PESEL i rachunków bankowych (Audytor 2).
  • Dzień 2, 12:15-15:00: Triangulacja procedury zwolnień (Offboarding) - pobranie próby 5 byłych pracowników z Działu Kadr; zestawienie daty rozwiązania umowy z papierową kartą obiegową oraz z rzeczywistymi logami systemowymi Active Directory i bazy SQL (Audytor 3 i 2).
  • Dzień 3, 08:30-11:00: Audyt procedur tworzenia i autoryzacji paczek przelewowych - inspekcja procesu generowania plików Elixir/XML do systemów bankowości elektronicznej, kontrola uprawnień do zmiany numerów kont bankowych.
  • Dzień 3, 11:30-13:00: Narada zespołu audytowego, zestawienie dowodów, kwalifikacja stwierdzonych niezgodności.
  • Dzień 3, 13:30-14:30: Spotkanie zamykające z Zarządem spółki; podsumowanie wyników audytu.

C. Analiza wad i zalet rozwiązania:

• Zalety: Bezpośrednie przygotowanie organizacji do audytu certyfikującego i audytu klienta korporacyjnego; precyzyjna identyfikacja uchybień w procedurach kadrowych (Offboarding) dzięki triangulacji; zabezpieczenie przed gigantycznymi karami za naruszenie RODO i utratę zaufania klientów.
• Ograniczenia i ryzyka: Konieczność zachowania szczególnych środków ostrożności przez audytorów podczas przeglądania realnych baz danych klientów; duża liczba umów powierzenia wymusza zastosowanie próbkowania formalnego.

• Norma PN-EN ISO/IEC 27001:2022 - Systemy zarządzania bezpieczeństwem informacji (Załącznik A: kontrole sekcji 5, 6 i 8).
• Norma PN-EN ISO 19011:2018 - Wytyczne dotyczące audytowania systemów zarządzania (rozdział 6: Przeprowadzanie audytu).
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 28 (podmiot przetwarzający), art. 32 (bezpieczeństwo przetwarzania), art. 33-34 (obsługa incydentów).
• Ustawa z dnia 26 czerwca 1974 r. - Kodeks pracy (Dz.U. z 2026 r. poz. 1245) - przepisy dotyczące ochrony dóbr osobistych pracownika i tajemnicy wynagrodzeń.
• Urząd Ochrony Danych Osobowych: "Przewodnik po audycie podmiotów przetwarzających zgodnie z art. 28 RODO", Warszawa 2021.
• Związek Liderów Sektora Usług Biznesowych (ABSL): "Standardy cyberbezpieczeństwa i ochrony danych w centrach usług wspólnych", Raport branżowy.

• U1 Student potrafi sporządzić plan audytu ISMS dedykowany relacji procesor-administrator w outsourcingu biznesowym.
• U2 Student trafnie formułuje pytania audytowe weryfikujące separację danych wielu podmiotów i uprawnienia użytkowników.
• U3 Student bezbłędnie stosuje metodykę triangulacji dowodów do badania rzetelności procesów personalnych (Offboarding).
• W1W3 Student rozumie rygory prawne wynikające z art. 28 RODO i prawa pracy w obszarze payroll.
• K1K2 Student wykazuje wysoki poziom profesjonalizmu i etyki w badaniu poufnych danych płacowych.
• ================================================================================