Laboratorium 3

Głównym celem zadania jest opanowanie przez studentów praktycznych umiejętności krytycznej analizy i oceny istniejącej, przestarzałej Polityki Bezpieczeństwa Informacji w samorządowej jednostce pomocy społecznej. Studenci uczą się identyfikować martwe procedury, rozbieżności między treścią dokumentu a aktualnym stanem prawnym (RODO, Rozporządzenie w sprawie Krajowych Ram Interoperacyjności) oraz oceniać stopień zabezpieczenia szczególnych kategorii danych osobowych (dane o sytuacji rodzinnej, zdrowiu podopiecznych, przemocy w rodzinie i pieczy zastępczej).

Powiązanie z sylabusem i treściami programowymi:

• U2 Identyfikacja niezgodności (NC1/NC2/NC3), braków, uchybień formalnych i obserwacji w zastałej dokumentacji polityki bezpieczeństwa.
• U1 Opracowanie założeń nowelizacji polityki bezpieczeństwa informacji zgodnie z normą ISO/IEC 27001.
• U3 Przeprowadzenie wstępnej analizy ryzyka prawnego i operacyjnego wynikającego ze stosowania nieaktualnych regulacji.
• U4 Opracowanie pisemnego referatu oraz zestawienia luk (Gap Analysis) dla kierownictwa jednostki.
• W1 Znajomość wymagań dotyczących ochrony danych osobowych szczególnych kategorii (art. 9 RODO) i informacji prawnie chronionych.
• W2W3 Zrozumienie normy PN-EN ISO/IEC 27001:2022 oraz przepisów Rozporządzenia Rady Ministrów w sprawie Krajowych Ram Interoperacyjności (KRI).
• K1K2K3 Kształtowanie postawy rzetelności, odpowiedzialności za poufność informacji o osobach w kryzysie życiowym oraz etyki audytorskiej.
• Powiązanie z wykładem: Wyk1 (Rola polityki w ISMS), Wyk3 (Kontrole dokumentacyjne ISO 27001/27002), Wyk4 (RODO i KRI w audycie zgodności), Wyk7 (Klasyfikacja niezgodności).

Powiatowe Centrum Pomocy Rodzinie (PCPR) w 80-tysięcznym powiecie zatrudnia 28 pracowników merytorycznych (pracownicy socjalni, koordynatorzy pieczy zastępczej, psycholodzy, prawnicy, specjaliści ds. rehabilitacji osób niepełnosprawnych) oraz 6 pracowników administracyjno-księgowych. Jednostka przetwarza wysoce wrażliwe dane osobowe podopiecznych: wyroki sądów opiekuńczych, wywiady środowiskowe, orzeczenia o stopniu niepełnosprawności, dokumentację wypłat świadczeń oraz rejestry rodzin zastępczych.

Stan zastały dokumentacji bezpieczeństwa informacji:

• Obowiązujący dokument nosi tytuł "Polityka Bezpieczeństwa Informacji i Instrukcja Zarządzania Systemem Informatycznym PCPR", został wprowadzony zarządzeniem Dyrektora w marcu 2015 roku i od tamtej pory nie był ani razu nowelizowany.
• Podstawą prawną wskazaną w preambule polityki jest uchylona Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych oraz Rozporządzenie MSWiA z 2004 r. w sprawie dokumentacji przetwarzania danych osobowych. Dokument całkowicie pomija Rozporządzenie RODO oraz Rozporządzenie w sprawie Krajowych Ram Interoperacyjności.
• W rozdziale technicznym polityki widnieją kuriozalne zapisy nakazujące: "tworzenie comiesięcznych kopii zapasowych na dyskietkach magnetycznych 3,5 cala lub płytach CD-R i przechowywanie ich w biurku kierownika", "zmianę hasła co 30 dni z wymogiem minimum 8 znaków", a także "obowiązek wyłączania monitorów kineskopowych po zakończeniu pracy".
• W jednostce brak jest jakiejkolwiek procedury zgłaszania naruszeń ochrony danych osobowych do Prezesa UODO w terminie 72 godzin, brak rejestru czynności przetwarzania oraz brak wyznaczonego oficjalnie Inspektora Ochrony Danych (funkcję tę nieformalnie przypisano informatykowi zatrudnionemu na 1/4 etatu).
• W praktyce pracownicy korzystają ze scentralizowanego systemu dziedzinowego POMOST, przenoszą akta spraw w teczkach papierowych na spotkania w terenie, a w biurze powszechnie stosują wspólne hasła do komputerów stacjonarnych, argumentując to koniecznością szybkiego zastępowania nieobecnych kolegów.

Dyrektor PCPR, przygotowując się do kontroli ze strony Wydziału Polityki Społecznej Urzędu Wojewódzkiego, zleca zespołowi studentów-audytorów przeprowadzenie gruntownej analizy polityki bezpieczeństwa i przygotowanie propozycji jej radykalnej reformy.

Praca w zespole 2-3 osobowym polega na przeprowadzeniu systematycznej analizy tekstu zastałej polityki i sformułowaniu zaleceń:

• Krok 1 (Podział ról w grupie analitycznej):

  Student 1 (Audytor Wiodący / Analityk Procesów): Bada strukturę formalną dokumentu, spójność z celami statutowymi PCPR, podział odpowiedzialności kierownictwa oraz przygotowuje wystąpienie referatowe.

  Student 2 (Audytor Bezpieczeństwa Technicznego i IT): Dokonuje analizy rozdziałów technicznych (kopie zapasowe, zarządzanie hasłami, nośniki danych, ochrona stacji roboczych, system POMOST) i konfrontuje je z realiami współczesnych zagrożeń cybernetycznych.

  Student 3 (Audytor Zgodności Prawnej i RODO): Weryfikuje zgodność polityki z przepisami RODO (art. 5, 9, 24, 32, 33) oraz par. 20 KRI; sporządza listę niezgodności prawnych. W grupie 2-osobowej zadania te dzielą Studenci 1 i 2.

• Krok 2 (Inwentaryzacja i analiza formalna polityki):

  Sprawdźcie metrykę dokumentu: datę uchwalenia, cykl przeglądów (brak przeglądów od 2015 r. stanowi rażące naruszenie klauzuli 9.3 normy ISO/IEC 27001), powołane podstawy prawne oraz zakres podmiotowy i przedmiotowy.

• Krok 3 (Identyfikacja martwych i szkodliwych zapisów):

  Wskażcie w tabeli analitycznej wszystkie zapisy przestarzałe technicznie (np. dyskietki 3,5 cala, wymóg rotacji haseł co 30 dni sprzeczny z aktualnymi wytycznymi NIST SP 800-63B i CSIRT NASK) oraz procedury fikcyjne, których pracownicy nie są w stanie zrealizować.

• Krok 4 (Konfrontacja z wymaganiami par. 20 KRI):

  Zweryfikujcie, czy polityka zawiera 20 obowiązkowych elementów określonych w par. 20 ust. 2 Rozporządzenia KRI (m.in. inwentaryzacja sprzętu i oprogramowania, okresowa analiza ryzyka, zasady minimalizacji uprawnień, procedury postępowania z incydentami, zasady telepracy).

• Krok 5 (Klasyfikacja wykrytych uchybień):

  Przypiszcie wykryte luki do odpowiednich kategorii niezgodności:

  • Niezgodność krytyczna (NC1): Brak procedury obsługi naruszeń ochrony danych i brak powołania IOD w podmiocie publicznym.
  • Niezgodność większa (NC2): Całkowity brak aktualizacji polityki od 9 lat, brak procedur tworzenia kopii zapasowych dla systemu POMOST.
  • Niezgodność mniejsza (NC3): Przestarzałe wytyczne dotyczące długości haseł i monitorów.
• Krok 6 (Opracowanie projektu nowelizacji polityki):

  Sformułujcie propozycję nowego spisu treści Polityki Bezpieczeństwa Informacji PCPR oraz zredagujcie 3 kluczowe procedury wykonawcze: procedurę ochrony danych wrażliwych w terenie, procedurę tworzenia kopii zapasowych w chmurze samorządowej oraz procedurę zgłaszania incydentów.

Studenci przygotowują 10-minutowy referat zespołowy do wygłoszenia na forum grupy laboratoryjnej. Układ wystąpienia:

• Wprowadzenie (2 min): Prezentacja profilu PCPR, charakterystyka przetwarzanych danych podopiecznych oraz skala ryzyka prawnego wynikającego ze stosowania uchylonych ustaw (Student 1).
• Wyniki analizy polityki bezpieczeństwa (3 min): Zestawienie zidentyfikowanych uchybień, martwych procedur technicznych i rażących luk w świetle RODO i KRI (Student 3 lub Student 1).
• Propozycja nowego modelu polityki i procedur naprawczych (3 min): Przedstawienie znowelizowanej struktury dokumentacji ISMS, zasad bezpiecznej pracy w terenie oraz harmonogramu wdrożenia (Student 2).
• Podsumowanie, analiza wad i zalet (2 min): Ocena szans i barier wdrożeniowych w małej jednostce samorządowej, dyskusja nad kosztami i oporem pracowników (wszyscy członkowie zespołu).

Raport seminaryjny składany na zaliczenie (objętość 4-6 stron A4) musi zawierać:

A. Odpowiedzi na pytania problemowe i opis sytuacyjny:

• Dlaczego funkcjonowanie na bazie uchylonej ustawy o ochronie danych osobowych z 1997 r. stanowi bezpośrednie zagrożenie nałożenia administracyjnych kar finansowych lub sankcji przez Prezesa UODO?
• W jaki sposób zmuszanie pracowników do rotacji haseł co 30 dni bez kontroli złożoności prowadzi w praktyce do obniżenia bezpieczeństwa (tzw. syndrom hasła na żółtej karteczce)?
• Jakie zagrożenia dla poufności i integralności wywołuje brak procedury postępowania z papierowymi aktami spraw zabieranymi przez pracowników socjalnych w teren?

B. Wzorcowe rozwiązanie problemu (Raport z analizy i projekt nowelizacji):

• Metryka audytowa: Tytuł dokumentu poddanego analizie, data przeglądu, skład zespołu audytowego.
• Karta luki prawnej i systemowej: Tabela zestawiająca zapisy zastałej polityki z wymogami normy ISO/IEC 27001:2022 oraz par. 20 KRI.
• Projekt znowelizowanej struktury Polityki Bezpieczeństwa Informacji PCPR:
  • Rozdział 1: Cel i zakres stosowania polityki ISMS.
  • Rozdział 2: Struktura organizacyjna bezpieczeństwa (rola Dyrektora, zadania Inspektora Ochrony Danych, odpowiedzialność personelu).
  • Rozdział 3: Klasyfikacja informacji i zasady ochrony danych wrażliwych podopiecznych.
  • Rozdział 4: Bezpieczeństwo teleinformatyczne (system POMOST, uwierzytelnianie dwuskładnikowe, nowoczesna polityka haseł).
  • Rozdział 5: Procedura bezpiecznej pracy mobilnej i terenowej pracowników socjalnych.
  • Rozdział 6: Zarządzanie kopiami bezpieczeństwa i ciągłość działania.
  • Rozdział 7: Zgłaszanie i obsługa incydentów bezpieczeństwa oraz naruszeń ochrony danych.
• Wzorcowy projekt procedury zgłaszania incydentu naruszenia ochrony danych osobowych do IOD w czasie do 2 godzin od powzięcia wiedzy.

C. Analiza zalet i wad proponowanego rozwiązania:

• Zalety: Pełna zgodność z obowiązującym prawem (RODO, KRI); eliminacja kompromitujących martwych zapisów; realna ochrona osób w kryzysie; przejrzysty podział obowiązków.
• Wady i ograniczenia: Ograniczone zasoby finansowe PCPR na wdrożenie nowoczesnych systemów DLP; konieczność przełamania wieloletnich nawyków pracowników socjalnych; konieczność zwiększenia wymiaru etatu informatyka lub zakupu usług zewnętrznego IOD.

• Norma PN-EN ISO/IEC 27001:2022 - Systemy zarządzania bezpieczeństwem informacji - Wymagania (klauzule 4.3, 5.2, 7.5, 9.2, 9.3 oraz Załącznik A: A.5.1, A.5.24, A.8.1).
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO): art. 5 (zasady przetwarzania), art. 9 (szczególne kategorie danych), art. 32 (bezpieczeństwo), art. 33 (zgłaszanie naruszeń do organu).
• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (Dz.U. z 2024 r. poz. 773) - § 20.
• Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2019 r. poz. 1781).
• Ustawa z dnia 12 marca 2004 r. o pomocy społecznej (Dz.U. z 2023 r. poz. 901 z późn. zm.).
• Urząd Ochrony Danych Osobowych: "Wskazówki dla jednostek pomocy społecznej w zakresie stosowania RODO", Warszawa 2022.
• CSIRT NASK: "Zalecenia dotyczące tworzenia i utrzymywania haseł w jednostkach sektora publicznego", Warszawa 2023.

• U2 Student potrafi bezbłędnie zidentyfikować uchybienia formalne, martwe przepisy i luki prawne w polityce bezpieczeństwa jednostki publicznej.
• U1 Student umie zaprojektować strukturę nowoczesnej polityki bezpieczeństwa zgodnej z ISO 27001:2022 i KRI.
• U3 Student szacuje ryzyko wynikające ze stosowania nieaktualnych regulacji w odniesieniu do danych szczególnych kategorii.
• W1W3 Student rozumie specyfikę ochrony danych socjalnych w reżimie RODO oraz par. 20 Rozporządzenia KRI.
• K1K2 Student wykazuje empatię, dyskrecję i świadomość etyczną niezbędną przy audytowaniu systemów pomocy społecznej.

Celem zadania jest wykształcenie u studentów umiejętności przeprowadzania profesjonalnej analizy luki (ang. Gap Analysis) w dokumentacji Polityki Bezpieczeństwa Informacji dużego szpitala specjalistycznego. Zadanie koncentruje się na zidentyfikowaniu braków wynikających z przejścia ze starego wydania normy ISO/IEC 27001:2013 na standard PN-EN ISO/IEC 27001:2022 (ze szczególnym uwzględnieniem 11 nowych kontroli z Załącznika A) oraz dostosowaniu zapisów do rygorystycznych wymogów ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC) i dyrektywy NIS2 dla podmiotów kluczowych w sektorze ochrony zdrowia.

Powiązanie z sylabusem i treściami programowymi:

• U2 Wykrywanie braków regulacyjnych i luk systemowych w polityce bezpieczeństwa według ustrukturyzowanej metodologii Gap Analysis.
• U1 Opracowanie zaleceń transformacyjnych dla systemu zarządzania bezpieczeństwem informacji w podmiocie leczniczym.
• U3 Ocena wpływu braku nowych zabezpieczeń technicznych i organizacyjnych na odporność cyfrową szpitala.
• U4 Sporządzenie mapy przejścia (transition matrix) oraz merytorycznego referatu laboratoryjnego.
• W2 Dogłębna znajomość różnic między normą ISO/IEC 27001:2013 a ISO/IEC 27001:2022/ISO 27002:2022.
• W3 Zrozumienie obowiązków podmiotu kluczowego wynikających z ustawy o KSC (zgłaszanie incydentów w 24h, audyty co najmniej raz na 3 lata, szacowanie ryzyka).
• K1K3 Odpowiedzialność za bezpieczeństwo systemów ratujących życie ludzkie, rzetelność naukowa i etyka zawodowa.
• Powiązanie z wykładem: Wyk2 (Zasady audytowania), Wyk3 (Kontrole ISO 27001:2022), Wyk4 (NIS2 i KSC w zdrowiu), Wyk7 (Ocena istotności niezgodności).

Regionalny Szpital Specjalistyczny dysponuje 650 łóżkami, blokiem operacyjnym, oddziałem intensywnej terapii, lądowiskiem LPR oraz rozbudowaną diagnostyką obrazową (rezonans, tomograf, angiograf). Szpital został decyzją Ministra Zdrowia wyznaczony jako Podmiot Kluczowy w rozumieniu ustawy o KSC. W szpitalu wdrożono ISMS certyfikowany na zgodność z normą ISO/IEC 27001:2013 w 2018 roku.

Aktualny stan dokumentacji i infrastruktury:

• Obowiązująca Polityka Bezpieczeństwa Informacji Szpitala opiera się wprost na układzie 114 kontroli z normy ISO/IEC 27001:2013 podzielonych na 14 domen. Deklaracja Stosowania (SoA) nie była aktualizowana od 4 lat.
• W szpitalu nie wdrożono ani nie opisano w polityce 11 nowych kontroli wprowadzonych w wydaniu normy z 2022 roku, w tym w szczególności: A.5.7 (Wywiad o zagrożeniach - Threat Intelligence), A.5.23 (Bezpieczeństwo informacji przy korzystaniu z usług chmurowych), A.5.30 (Gotowość teleinformatyczna do zapewnienia ciągłości działania), A.8.9 (Zarządzanie konfiguracją), A.8.10 (Usuwanie informacji), A.8.12 (Zapobieganie wyciekowi danych - DLP), A.8.16 (Monitorowanie aktywności), A.8.23 (Filtrowanie sieci) oraz A.8.28 (Bezpieczne kodowanie).
• W rozdziale dotyczącym zarządzania incydentami polityka nakazuje: "powiadomienie administratora sieci w ciągu 48 godzin od wystąpienia awarii", co stoi w jaskrawej sprzeczności z art. 12 ustawy o KSC nakazującym zgłoszenie incydentu poważnego do właściwego CSIRT MON/NASK w czasie nie dłuższym niż 24 godziny od momentu wykrycia.
• W polityce brakuje jakichkolwiek regulacji dotyczących bezpieczeństwa urządzeń biomedycznych podłączonych do sieci szpitalnej (Internet Rzeczy Medycznych - IoMT), takich jak kardiomonitory czy pompy infuzyjne.

Zespół audytorów otrzymuje zadanie przeprowadzenia analizy luki (Gap Analysis) polityki szpitala i opracowania planu migracji dokumentacji do standardu ISO/IEC 27001:2022 z uwzględnieniem rygorów KSC.

Praca w zespole 2-3 osobowym polega na sporządzeniu szczegółowej analizy luki i opracowaniu matrycy transformacji:

• Krok 1 (Podział ról w grupie audytowej):

  Student 1 (Audytor Wiodący / Architekt ISMS): Odpowiada za analizę zgodności klauzul głównych normy (klauzule 4-10 ISO/IEC 27001:2022) oraz ogólną architekturę dokumentacji polityki.

  Student 2 (Audytor Zabezpieczeń Technicznych i Cyberbezpieczeństwa): Bada wdrożenie kontroli technicznych z Załącznika A (szczególnie atrybuty kontroli, konfiguracja A.8.9, filtrowanie A.8.23, wyciek danych A.8.12 oraz bezpieczeństwo urządzeń medycznych IoMT).

  Student 3 (Audytor Zgodności Regulacyjnej KSC/NIS2): Weryfikuje wymogi prawne ustawy o KSC (czasy zgłaszania incydentów, współpraca z CSIRT sektorowym, szacowanie ryzyka dla usługi kluczowej). W zespole 2-osobowym rolę tę przejmują Studenci 1 i 2.

• Krok 2 (Opracowanie matrycy analizy luki - Gap Analysis Matrix):

  Przygotujcie tabelę analityczną zawierającą kolumny: Wymóg ISO/IEC 27001:2022 i KSC | Zapis w zastałej polityce szpitala | Zidentyfikowana luka (brak/niezgodność) | Wpływ na bezpieczeństwo pacjentów i usługi | Zalecane działanie naprawcze.

• Krok 3 (Analiza 11 nowych kontroli ISO 27002:2022):

  Dla każdej z 11 nowych kontroli wskażcie, w którym miejscu polityki szpitala należy dodać stosowne regulacje. Zwróćcie szczególną uwagę na kontrolę A.5.23 w związku z migracją części wyników badań do chmury publicznej.

• Krok 4 (Dostosowanie procedury incydentów do rygorów KSC):

  Zredagujcie nowy schemat procedury eskalacji incydentów teleinformatycznych: wykrycie -> kwalifikacja (incydent zwykły, incydent poważny, incydent krytyczny) -> zgłoszenie wewnętrzne (do 1h) -> zgłoszenie do CSIRT NASK/CSIRT Gov (do 24h) -> wdrożenie środków ograniczających.

• Krok 5 (Klasyfikacja niezgodności):

  Sklasyfikujcie uchybienia: brak procedury zgłaszania incydentów do CSIRT w 24h zakwalifikujcie jako Niezgodność Krytyczną (NC1 - bezpośrednie naruszenie prawa), brak 11 kontroli normy z 2022 r. jako Niezgodność Większą (NC2 - utrata certyfikacji), brak zasad dla urządzeń IoMT jako Niezgodność Większą (NC2 - ryzyko dla życia pacjentów).

• Krok 6 (Opracowanie planu migracji polityki):

  Sformułujcie harmonogram 6-miesięcznego programu dostosowawczego, obejmującego przegląd Deklaracji Stosowania (SoA), aktualizację polityki nadrzędnej, szkolenia personelu medycznego oraz testy łączności z CSIRT.

Struktura 10-minutowego referatu zespołowego na forum laboratorium:

• Wprowadzenie (2 min): Rola szpitala jako Podmiotu Kluczowego i znaczenie normy ISO/IEC 27001:2022 dla ochrony zdrowia (Student 1).
• Prezentacja wyników Gap Analysis (3 min): Omówienie zidentyfikowanych luk, braku 11 nowych kontroli oraz rozbieżności z ustawą o KSC (Student 3 lub Student 1).
• Nowa architektura procedur i matryca kontroli (3 min): Prezentacja znowelizowanej procedury obsługi incydentów (24h) oraz wytycznych dla systemów IoMT i chmury (Student 2).
• Wnioski, bilans korzyści i ryzyk (2 min): Wady i zalety migracji do standardu 2022, koszty utrzymania zgodności oraz dyskusja (cały zespół).

Pisemny raport laboratoryjny (objętość 4-6 stron A4) musi zawierać:

A. Odpowiedzi na pytania problemowe i opis kontekstu:

• Czym różni się podejście do kontroli w normie ISO/IEC 27001:2022 (układ 4 domen i atrybuty kontroli) od wersji 2013 (14 domen) i jakie ułatwienia przynosi to w zarządzaniu polityką?
• Jakie konsekwencje prawne i finansowe grożą szpitalowi za niezgłoszenie incydentu poważnego do CSIRT w ustawowym terminie 24 godzin zgodnie z ustawą o KSC?
• Dlaczego urządzenia biomedyczne (IoMT) stanowią specyficzny wektor ataku i dlaczego tradycyjna polityka bezpieczeństwa IT jest dla nich niewystarczająca?

B. Wzorcowy dokument analityczny i plan działań korygujących:

• Tabela Gap Analysis: Szczegółowe zestawienie 11 nowych kontroli ISO 27002:2022 z oceną stopnia wdrożenia w szpitalu (0% - brak wdrożenia).
• Nowy rozdział Polityki Bezpieczeństwa: "Zasady zarządzania incydentami cyberbezpieczeństwa u Podmiotu Kluczowego":
  • Definicje poziomów incydentów zgodnie z KSC (zwykły, poważny, krytyczny).
  • Ścieżka powiadamiania z bezpośrednim wskazaniem formularza zgłoszeniowego do CSIRT.
  • Obowiązek zabezpieczenia śladów cyfrowych (dowodów) bez wyłączania aparatury medycznej.
• Zaktualizowana Deklaracja Stosowania (SoA) - wzorcowy fragment obejmujący kontrole A.5.7, A.5.23, A.8.9 i A.8.12.

C. Wady i zalety proponowanego rozwiązania:

• Zalety: Pełna kompatybilność z wymogami KSC i normą 2022; wysoka odporność na ataki typu ransomware na infrastrukturę medyczną; gotowość do audytu certyfikującego; ochrona ciągłości świadczeń zdrowotnych.
• Wady i trudności: Wysoki koszt zakupu licencji na oprogramowanie klasy DLP i Threat Intelligence; obciążenie personelu medycznego nowymi procedurami; konieczność ciągłego szkolenia rotujących kadr lekarskich.

• Norma PN-EN ISO/IEC 27001:2022 - Bezpieczeństwo informacji, cyberbezpieczeństwo i ochrona prywatności - Systemy zarządzania bezpieczeństwem informacji - Wymagania.
• Norma PN-EN ISO/IEC 27002:2022 - Kontrole bezpieczeństwa informacji (rozdziały 5, 6, 7 i 8).
• Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (tekst jedn. Dz.U. z 2026 r. poz. 20, zm. Dz.U. z 2026 r. poz. 252) - art. 8-16.
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii (Dyrektywa NIS2).
• Ministerstwo Cyfryzacji / CSIRT NASK: "Wytyczne w zakresie reagowania na incydenty w podmiotach leczniczych", Warszawa 2023.
• Centrum e-Zdrowia (CeZ): "Standardy cyberbezpieczeństwa w szpitalach i placówkach ochrony zdrowia", Warszawa 2023.

• U2 Student przeprowadza profesjonalną analizę luki (Gap Analysis) dokumentacji bezpieczeństwa w odniesieniu do normy ISO/IEC 27001:2022.
• U1 Student potrafi przekształcić przestarzałe procedury w spójny zestaw regulacji dla Podmiotu Kluczowego.
• U3 Student szacuje ryzyko cybernetyczne dla infrastruktury medycznej i systemów podtrzymywania życia.
• W2W3 Student rozumie ewolucję standardów ISO serii 27000 oraz bezbłędnie operuje przepisami ustawy o KSC i NIS2.
• K1K3 Student wykazuje najwyższą staranność badawczą i etyczną przy ocenie bezpieczeństwa systemów ratujących życie.

Celem zadania jest nabycie przez studentów umiejętności przeprowadzania analizy spójności i kompletności Polityki Bezpieczeństwa Informacji w przedsiębiorstwie komunalnym łączącym tradycyjne środowisko biurowe IT z infrastrukturą technologii operacyjnych (OT) i automatyki przemysłowej (SCADA). Studenci uczą się wykrywać niebezpieczne luki w zapisach polityki na styku tych dwóch światów, weryfikować zasady separacji sieci oraz dostosowywać procedury do wymagań normy IEC 62443 i ISO/IEC 27001.

Powiązanie z sylabusem i treściami programowymi:

• U2 Identyfikacja niespójności, sprzeczności i luk krytycznych między procedurami IT a wymaganiami bezpieczeństwa środowiska przemysłowego OT.
• U1 Zaprojektowanie zintegrowanego aneksu do polityki bezpieczeństwa dedykowanego systemom sterowania i telemetrii.
• U3 Przeprowadzenie analizy ryzyka przeniknięcia złośliwego oprogramowania z sieci biurowej do sieci sterowania kotłami i pompami ciepła.
• U4 Opracowanie pisemnego raportu i wygłoszenie referatu z analizy polityki bezpieczeństwa infrastruktury krytycznej.
• W2 Znajomość kontroli ISO/IEC 27001:2022 oraz podstawowych zasad bezpieczeństwa przemysłowego wg serii norm ISA/IEC 62443.
• W3 Zrozumienie przepisów ustawy o KSC w odniesieniu do podmiotów sektora energii i ciepłownictwa.
• K1K2 Świadomość odpowiedzialności społecznej za bezpieczeństwo dostaw ciepła dla ludności w sezonie zimowym.
• Powiązanie z wykładem: Wyk1 (ISMS w przemyśle), Wyk3 (Kontrole dostępowe i separacja sieci), Wyk4 (KSC w sektorze energii), Wyk5 (Risk-based approach).

Miejskie Przedsiębiorstwo Energetyki Cieplnej (MPEC Sp. z o.o.) w mieście liczącym 120 tysięcy mieszkańców zaopatruje w ciepło systemowe i ciepłą wodę ponad 80% zasobów mieszkaniowych, szpitale oraz obiekty użyteczności publicznej. Spółka eksploatuje elektrociepłownię węglowo-gazową, 3 ciepłownie rejonowe oraz 450 węzłów cieplnych połączonych łączami radiowymi i komórkowymi (LTE) z centralną dyspozytornią mocy.

Stan zastały polityki i organizacji bezpieczeństwa:

• W spółce obowiązuje dokument "Polityka Bezpieczeństwa Informacji MPEC", opracowany 3 lata temu przez zewnętrzną firmę doradczą. Dokument ten w 100% skupia się na środowisku biurowym dyrekcji: księgowości, kadrach, obsłudze klienta i poczcie elektronicznej.
• W całej polityce ani razu nie padają pojęcia: "sieć przemysłowa", "OT", "SCADA", "sterownik PLC", "dyspozytornia" ani "węzeł cieplny". Polityka całkowicie przemilcza technologiczne serce przedsiębiorstwa.
• Zapisy polityki nakazują m.in. "instalację oprogramowania antywirusowego na każdym komputerze i automatyczną instalację aktualizacji systemu operacyjnego Windows w każdy wtorek w nocy po restarcie stacji". Zastosowanie się do tego zapisu na stacjach inżynierskich SCADA spowodowało w przeszłości samoczynny restart stacji dyspozytorskiej i chwilową utratę kontroli nad ciśnieniem w magistrali ciepłowniczej.
• W dyspozytorni technicy korzystają z prywatnych modemów USB i smartfonów podłączanych do stacji operatorskich w celu uzyskania dostępu do Internetu, a zewnętrzny serwisant turbiny loguje się zdalnie przez nieszyfrowany program do zdalnego pulpitu bez uwierzytelniania wieloskładnikowego.
• W sieci przedsiębiorstwa brak jest fizycznej lub logicznej separacji (brak strefy DMZ i zapory ogniowej) między biurową siecią LAN (gdzie pracownicy odbierają e-maile z załącznikami) a siecią przemysłową dyspozytorni.

Zarząd spółki, obawiając się incydentów o charakterze sabotażu cybernetycznego, powierza zespołowi audytorskiemu analizę zastałej polityki i stworzenie dedykowanych procedur dla sieci przemysłowej.

Praca w zespole 2-3 osobowym polega na krytycznym zbadaniu braku spójności polityki i sformułowaniu rozwiązań:

• Krok 1 (Podział ról w zespole analitycznym):

  Student 1 (Audytor Wiodący): Bada relacje organizacyjne między działem IT a działem automatyki i eksploatacji sieci, weryfikuje zakres podmiotowy polityki i kieruje pracami.

  Student 2 (Audytor Bezpieczeństwa OT/SCADA): Analizuje architekturę techniczną sieci, model stref i przewodów (ang. Zones and Conduits wg IEC 62443), procedury wgrywania poprawek (Patch Management) na sterowniki i stacje SCADA.

  Student 3 (Audytor Zgodności i Ciągłości Działania): Bada procedury reagowania na incydenty przemysłowe, zgodność z wytycznymi KSC dla sektora energetycznego oraz procedury dostępu zdalnego dostawców zewnętrznych. W grupie 2-osobowej zadania te dzielą Studenci 1 i 2.

• Krok 2 (Analiza dysonansu i sprzeczności IT vs OT):

  Wypiszcie w punktach wszystkie zapisy zastałej polityki IT, które w środowisku przemysłowym są niemożliwe do wdrożenia lub stwarzają bezpośrednie zagrożenie katastrofą techniczną (np. automatyczne restarty, skanowanie podatności skanerami sieciowymi powodujące zawieszenie sterowników PLC).

• Krok 3 (Identyfikacja luki w zakresie separacji środowisk):

  Zidentyfikujcie brak reguł kontroli ruchu sieciowego między IT i OT w świetle kontroli A.8.20 (Bezpieczeństwo sieci) i A.8.22 (Separacja sieci) normy ISO/IEC 27001:2022 oraz modelu Purdue (ANSI/ISA-95).

• Krok 4 (Ocena procedur dostępu osób trzecich):

  Zbadajcie zapisy polityki pod kątem nadzoru nad zewnętrznymi serwisantami automatyki (kontrola A.5.19-A.5.22): wykażcie brak wymogu MFA, brak rejestracji sesji zdalnych i brak zgody dyspozytora na rozpoczęcie prac serwisowych.

• Krok 5 (Klasyfikacja niezgodności):

  Zakwalifikujcie brak objęcia polityką systemów OT jako Niezgodność Krytyczną (NC1 - bezpośrednie zagrożenie ciągłości dostaw ciepła dla miasta), bezpośrednie połączenie LAN biurowego z siecią SCADA jako Niezgodność Krytyczną (NC1), a brak procedury testowania poprawek w OT jako Niezgodność Większą (NC2).

• Krok 6 (Projekt Aneksu Bezpieczeństwa Technologii Operacyjnych):

  Zredagujcie projekt "Szczególnej Polityki Bezpieczeństwa Środowiska OT/SCADA MPEC", zawierający zasady separacji przez przemysłowy DMZ, procedurę autoryzowanego dostępu serwisowego z MFA oraz zasady konserwacji systemów automatyki.

Plan wystąpienia seminaryjnego (10 minut):

• Wprowadzenie (2 min): Czym różni się paradygmat CIA w IT (priorytet Poufności) od OT (priorytet Dostępności i Bezpieczeństwa Fizycznego - Safety) w ciepłownictwie (Student 1).
• Diagnoza zastałej polityki (3 min): Omówienie dramatycznych luk w polityce MPEC - zignorowanie SCADA i zagrożenia wynikające ze ślepego stosowania reguł biurowych (Student 2).
• Architektura rozwiązania naprawczego (3 min): Prezentacja założeń Aneksu OT, modelu strefowego IEC 62443, bezpiecznego zdalnego dostępu dla serwisu oraz strefy DMZ (Student 3 lub Student 2).
• Podsumowanie i bilans wdrożeniowy (2 min): Analiza wad i zalet rozdzielenia polityk IT i OT, koszty organizacyjne i szkolenie dyspozytorów (wszyscy studenci).

Raport pisemny z analizy polityki (4-6 stron A4) musi zawierać:

A. Odpowiedzi na pytania problemowe i opis uwarunkowań:

• Dlaczego bezpośrednie przeniesienie standardowej korporacyjnej polityki bezpieczeństwa IT do środowiska sterowania procesami przemysłowymi (OT) grozi awarią fizyczną urządzeń ciepłowniczych?
• W jaki sposób brak separacji między siecią biurową a dyspozytornią ułatwia atakującym przeprowadzenie ataku typu ransomware z szyfrowaniem stacji operatorskich SCADA?
• Jakie warunki techniczne i proceduralne muszą zostać spełnione w polityce, aby zewnętrzny producent kotła mógł bezpiecznie świadczyć zdalny serwis gwarancyjny?

B. Wzorcowe rozwiązanie problemu (Raport analityczny i Załącznik OT do Polityki):

• Karta niezgodności: Zestawienie 6 fundamentalnych braków w polityce MPEC wraz z przypisaniem ryzyka operacyjnego.
• Projekt dokumentu: "Załącznik nr 1 do PBI: Polityka Bezpieczeństwa Technologii Operacyjnych i Systemów SCADA":
  • Rozdział I: Granice i zakres systemów OT podlegających ochronie (stacje dyspozytorskie, serwery telemetryczne, sterowniki PLC węzłów cieplnych).
  • Rozdział II: Zasada bezwzględnej separacji sieci biurowej i przemysłowej (przemysłowa zapora sieciowa, strefa DMZ z serwerami skoku - jump host).
  • Rozdział III: Zarządzanie podatnościami i poprawkami w OT (zakaz automatycznych restartów, obowiązek testów na środowisku symulacyjnym, okna serwisowe).
  • Rozdział IV: Zasady zdalnego dostępu serwisowego (jednorazowe hasła MFA, zgoda Dyspozytora Głównego, nagrywanie sesji RDP/SSH, automatyczne rozłączanie po 60 min).
  • Rozdział V: Bezpieczeństwo nośników wymiennych (dedykowana stacja dekontaminacyjna do skanowania pendrive serwisowych przed wpięciem do SCADA).

C. Analiza zalet i wad przyjętej koncepcji:

• Zalety: Skuteczne zabezpieczenie miejskiej infrastruktury krytycznej przed cyberatakiem; poszanowanie specyfiki pracy inżynierów automatyków; spełnienie rygorów KSC i normy IEC 62443; eliminacja ryzyka paraliżu ogrzewania miasta.
• Wady i trudności: Koszt zakupu przemysłowych zapór sieciowych i bramek bezpiecznego dostępu zdalnego; konieczność przeszkolenia personelu technicznego; wydłużenie czasu reakcji serwisu zewnętrznego przez wymóg procedur autoryzacyjnych.

• Norma PN-EN ISO/IEC 27001:2022 - Systemy zarządzania bezpieczeństwem informacji (kontrole A.8.20, A.8.22, A.5.19, A.5.20).
• Seria norm PN-EN IEC 62443 - Bezpieczeństwo sieci i systemów do celów sterowania procesami przemysłowymi (części 2-1, 3-3).
• Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (tekst jedn. Dz.U. z 2026 r. poz. 20, zm. Dz.U. z 2026 r. poz. 252) - wymagania dla sektora energii.
• Rządowe Centrum Bezpieczeństwa (RCB): "Standardy ochrony infrastruktury krytycznej w sektorze ciepłowniczym", Warszawa 2023.
• CSIRT NASK / CSIRT KNF: "Rekomendacje dotyczące bezpieczeństwa systemów automatyki przemysłowej (OT/ICS)", Warszawa 2023.
• Urząd Regulacji Energetyki (URE): "Wytyczne w zakresie cyberbezpieczeństwa dla przedsiębiorstw ciepłowniczych", Warszawa 2022.

• U2 Student bezbłędnie wykrywa krytyczne luki i niespójności w politykach bezpieczeństwa łączących obszary IT i OT.
• U1 Student opracowuje specjalistyczne reguły polityki dedykowane systemom automatyki przemysłowej i telemetrii.
• U3 Student szacuje ryzyko przeniesienia wektorów ataku z sieci korporacyjnej do strefy sterowania fizycznymi procesami.
• W2W3 Student rozumie interdyscyplinarne powiązania normy ISO 27001 ze standardem bezpieczeństwa przemysłowego IEC 62443 i polskim prawem energetycznym.
• K1K2 Student wykazuje postawę etyczną i wysoką świadomość wagi niezawodności infrastruktury krytycznej dla społeczności lokalnej.

Celem zadania jest wykształcenie u studentów umiejętności identyfikowania i analizowania tzw. martwej polityki bezpieczeństwa (ang. paper policy) oraz rozbieżności między oficjalnymi zapisami formalnymi a rzeczywistym modelem operacyjnym firmy medycznej. Zadanie skupia się na krytycznym przeglądzie zapisów dotyczących telepracy lekarzy, korzystania z prywatnych smartfonów i laptopów (Bring Your Own Device - BYOD) oraz masowego przetwarzania elektronicznej dokumentacji pacjentów w chmurze publicznej (SaaS), w konfrontacji z rygorami normy ISO/IEC 27001:2022 i art. 32 RODO.

Powiązanie z sylabusem i treściami programowymi:

• U2 Identyfikacja fikcyjnych, niemożliwych do wyegzekwowania zapisów polityki oraz luk w nadzorze nad telepracownikami i urządzeniami mobilnymi.
• U1 Zaprojektowanie realistycznej, możliwej do wdrożenia polityki bezpiecznej pracy zdalnej, procedury BYOD oraz wytycznych dla usług SaaS.
• U3 Ocena ryzyka naruszenia poufności danych medycznych przy pracy na niezabezpieczonych łączach domowych i urządzeniach prywatnych.
• U4 Sformułowanie referatu laboratoryjnego oraz kart niezgodności dla Zarządu spółki.
• W1 Znajomość wymogów ochrony danych szczególnych kategorii (art. 9 RODO) przy świadczeniu usług telemedycznych.
• W2 Znajomość kontroli ISO/IEC 27001:2022 dotyczących pracy zdalnej (A.6.7), urządzeń mobilnych (A.8.1) oraz usług chmurowych (A.5.23).
• K1K3 Wrażliwość na zachowanie tajemnicy lekarskiej i prywatności pacjentów w dobie powszechnej cyfryzacji medycyny.
• Powiązanie z wykładem: Wyk1 (Polityka a praktyka), Wyk3 (Kontrole pracy zdalnej i chmury), Wyk4 (RODO w telemedycynie), Wyk7 (Raportowanie niezgodności).

Spółka "Tele-Medica Sp. z o.o." prowadzi 4 placówki stacjonarne oraz ogólnopolską platformę telemedyczną oferującą e-recepty, e-zwolnienia i konsultacje wideo z lekarzami 24/7. Ze spółką współpracuje na podstawie umów B2B ponad 140 lekarzy specjalistów z całego kraju, którzy udzielają porad ze swoich domów, prywatnych gabinetów lub będąc w podróży. Spółka przetwarza miesięcznie ponad 35 000 konsultacji medycznych.

Zastała polityka bezpieczeństwa i stan faktyczny:

• Obowiązująca w spółce "Polityka Bezpieczeństwa Danych Osobowych i Informacji" pochodzi z 2019 roku. W rozdziale IV zawiera ona kategoryczny zapis: "Zabrania się wszelkiej pracy poza siedzibą przychodni. Przetwarzanie danych pacjentów na komputerach przenośnych oraz urządzeniach prywatnych personelu jest bezwzględnie zakazane pod rygorem rozwiązania umowy i odpowiedzialności karnej".
• Zapis ten jest całkowicie martwy i ignorowany przez Zarząd spółki, który sam wyposażył lekarzy w dostępy do chmurowego systemu EDM w modelu SaaS (aplikacja internetowa uruchamiana w przeglądarce).
• Lekarze logują się do platformy ze swoich prywatnych laptopów, tabletów i telefonów (BYOD). Na urządzeniach tych nie zainstalowano żadnego oprogramowania zarządzającego (MDM), nie jest wymuszone szyfrowanie dysków (BitLocker/FileVault), a komputery te są współdzielone z domownikami i dziećmi pobierającymi gry.
• Uwierzytelnianie do platformy chmurowej opiera się na pojedynczym statycznym haśle bez mechanizmu wieloskładnikowego (MFA). Lekarze często przesyłają sobie zdjęcia zmian skórnych pacjentów lub wyniki badań krwi za pośrednictwem popularnych publicznych komunikatorów internetowych (np. WhatsApp).
• Spółka nie posiada żadnej spisanej procedury weryfikacji dostawców chmurowych ani oceny poziomu bezpieczeństwa serwerów dostawcy platformy SaaS (zlokalizowanych w zagranicznym centrum danych).

Prezes Zarządu, obawiając się kontroli UODO po głośnym w mediach wycieku danych z innej firmy telemedycznej, zleca audytorom analizę obecnej polityki i stworzenie rzetelnych ram dla telepracy.

Praca w zespole 2-3 osobowym polega na obnażeniu fikcji zastałej polityki i sformułowaniu profesjonalnych zasad telemedycyny:

• Krok 1 (Podział ról w grupie analitycznej):

  Student 1 (Audytor Wiodący / Analityk Regulacji Biznesowych): Bada niespójność modelu biznesowego Tele-Medica z zapisami zakazującymi telepracy, weryfikuje umowy B2B z lekarzami i przygotowuje prezentację.

  Student 2 (Audytor Zabezpieczeń Mobilnych i Chmury): Bada ryzyka techniczne związane z BYOD, brakiem MFA, brakiem MDM oraz analizuje bezpieczeństwo aplikacji chmurowej SaaS zgodnie z normą ISO/IEC 27017 i kontrolą A.5.23.

  Student 3 (Audytor Zgodności z RODO): Analizuje naruszenia art. 9 i 32 RODO (brak adekwatnych środków technicznych i organizacyjnych) oraz projektuje procedurę bezpiecznego obiegu dokumentacji medycznej. W grupie 2-osobowej rolę tę realizują Studenci 1 i 2.

• Krok 2 (Analiza zjawiska "papierowej polityki"):

  Sformułujcie diagnozę, dlaczego kategoryczny zakaz pracy zdalnej przy jednoczesnym rozwijaniu platformy telemedycznej doprowadził do całkowitej utraty kontroli nad bezpieczeństwem i ucieczki personelu w tzw. Shadow IT (korzystanie z prywatnych komunikatorów).

• Krok 3 (Weryfikacja kontroli ISO/IEC 27001:2022):

  Porównajcie zastały stan z trzema kluczowymi kontrolami: A.6.7 (Praca zdalna - wymóg zabezpieczenia miejsca telepracy), A.8.1 (Urządzenia końcowe użytkowników - kontrola urządzeń prywatnych) oraz A.5.23 (Bezpieczeństwo informacji w usługach chmurowych).

• Krok 4 (Klasyfikacja niezgodności):

  Zaklasyfikujcie: całkowity brak regulacji dla telepracy i BYOD przy faktycznym ich stosowaniu jako Niezgodność Krytyczną (NC1), brak uwierzytelniania dwuskładnikowego (MFA) dla lekarzy jako Niezgodność Krytyczną (NC1), a brak weryfikacji dostawcy chmury SaaS jako Niezgodność Większą (NC2).

• Krok 5 (Opracowanie nowej Polityki Telepracy i Standardu BYOD):

  Zamiast nierealistycznego zakazu opracujcie zasady dopuszczenia urządzenia prywatnego do pracy:

  • Obowiązek instalacji certyfikowanego agenta bezpieczeństwa (MDM/EDR).
  • Wymóg pełnego szyfrowania nośnika danych (AES-256) i blokady ekranu po 2 minutach.
  • Bezwzględne wdrożenie logowania wieloskładnikowego (MFA) z tokenem sprzętowym lub aplikacją.
  • Zakaz zapisu plików medycznych na lokalnych dyskach (praca wyłącznie w bezpiecznej sesji przeglądarkowej w piaskownicy - sandboxing).
  • Zakaz przesyłania danych pacjentów przez nieszyfrowane i prywatne komunikatory komercyjne.

Układ wystąpienia seminaryjnego (10 minut):

• Wprowadzenie (2 min): Przedstawienie profilu Tele-Medica i fenomenu fikcyjnej polityki bezpieczeństwa - dlaczego zakazywanie zjawisk nieuchronnych obraca się przeciw bezpieczeństwu (Student 1).
• Krytyczna analiza zastałej dokumentacji (3 min): Zestawienie zapisów zabraniających telepracy z codziennością lekarzy pracujących na telefonach komórkowych, brak MFA i Shadow IT (Student 2).
• Propozycja zintegrowanego pakietu procedur telemedycznych (3 min): Omówienie nowych standardów: polityki BYOD, wymagań MFA, weryfikacji dostawców chmurowych SaaS i bezpiecznych kanałów konsultacji (Student 3 lub Student 2).
• Podsumowanie, analiza wad i zalet (2 min): Korzyści z urealnienia polityki, koszty licencji MDM/MFA, reakcja lekarzy kontraktowych na wymogi techniczne (cały zespół).

Pisemne opracowanie referatu (4-6 stron A4) obejmuje:

A. Odpowiedzi na pytania problemowe i diagnoza:

• W jaki sposób istnienie w dokumentacji zakazu pracy zdalnej, przy jednoczesnym świadczeniu przez spółkę usług telemedycznych, wpływa na odpowiedzialność prawną Zarządu przed UODO i sądami w razie wycieku danych?
• Jakie są kluczowe wektory kompromitacji danych pacjenta na prywatnym komputerze lekarza nieobjętym centralnym nadzorem (np. złośliwe oprogramowanie kradnące ciasteczka sesyjne - Infostealers)?
• Dlaczego brak MFA przy dostępie do danych medycznych w chmurze stanowi rażące niedopełnienie obowiązku zapewnienia stopnia bezpieczeństwa odpowiadającego ryzyku (art. 32 RODO)?

B. Wzorcowy Raport z Analizy i Projekt Nowych Regulacji:

• Matryca oceny spójności polityki z modelem biznesowym (wykazanie 100% rozbieżności w obszarze pracy zdalnej).
• Projekt "Polityki Bezpiecznej Telepracy i Urządzeń Końcowych (BYOD) w Tele-Medica":
  • Warunki dopuszczenia urządzenia prywatnego (certyfikacja techniczna przez dział IT, wdrożenie kontenera korporacyjnego izolującego dane medyczne od prywatnych).
  • Standard uwierzytelniania: wdrożenie protokołu FIDO2 / Passkeys lub aplikacji uwierzytelniającej MFA.
  • Standard czystego ekranu i poufności w warunkach domowych (zakaz obecności osób trzecich w pokoju podczas wideokonsultacji z pacjentem).
  • Procedura postępowania w przypadku zgubienia lub kradzieży urządzenia (zdalne czyszczenie kontenera firmowego - Remote Wipe).
• Wymagania wobec dostawców chmury medycznej (kontrola A.5.23 - wymóg certyfikatu ISO 27001/ISO 27018 dostawcy, lokalizacja danych w EOG, szyfrowanie bazy w spoczynku i w tranzycie).

C. Wady i zalety proponowanego rozwiązania:

• Zalety: Likwidacja hipokryzji organizacyjnej i urealnienie procedur; wysoki poziom bezpieczeństwa danych medycznych bez utraty elastyczności biznesowej; ochrona spółki przed gigantycznymi karami finansowymi UODO; zaufanie pacjentów.
• Wady i trudności: Część lekarzy może sprzeciwiać się instalacji agenta MDM na swoich prywatnych telefonach (konieczność rozważenia zakupu służbowych smartfonów dla kluczowych specjalistów); koszty zakupu subskrypcji rozwiązań zabezpieczających.

• Norma PN-EN ISO/IEC 27001:2022 - Systemy zarządzania bezpieczeństwem informacji (kontrole A.5.23, A.6.7, A.8.1, A.8.5).
• Norma PN-EN ISO/IEC 27017:2021 - Wytyczne dotyczące zabezpieczeń informacji w usługach w chmurze.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO): art. 9 (dane o zdrowiu), art. 32 (środki techniczne i organizacyjne).
• Ustawa z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta (Dz.U. z 2024 r. poz. 581) - tajemnica informacji o stanie zdrowia.
• Naczelna Izba Lekarska (NIL): "Wytyczne w zakresie bezpiecznego udzielania świadczeń zdrowotnych za pośrednictwem systemów teleinformatycznych", Warszawa 2022.
• Urząd Ochrony Danych Osobowych: "Bezpieczeństwo danych osobowych podczas pracy zdalnej - poradnik dla administratorów", Warszawa 2023.

• U2 Student rozpoznaje dysonans między fikcyjnymi zapisami na papierze a praktyką operacyjną i klasyfikuje wynikające z tego niezgodności.
• U1 Student projektuje nowoczesną i realistyczną politykę pracy zdalnej, procedury BYOD oraz zasady korzystania z usług chmurowych.
• U3 Student szacuje ryzyka telemedyczne i dobiera adekwatne środki kontrolne (MFA, konteneryzacja, zdalne czyszczenie).
• W1W2 Student zna szczegółowe wymagania kontroli ISO 27001 i 27017 dotyczące mobilności i przetwarzania danych w chmurze.
• K1K3 Student rozumie etyczny wymiar bezwzględnej ochrony intymności i prywatności pacjentów korzystających ze zdalnych porad lekarskich.

Głównym celem zadania jest opanowanie przez studentów umiejętności przeprowadzania zaawansowanej analizy zgodności (ang. Compliance Audit) Polityki Bezpieczeństwa Informacji w podmiocie sektora finansowego podlegającym nadzorowi Komisji Nadzoru Finansowego (KNF). Zadanie kładzie nacisk na konfrontację wewnętrznych regulacji spółki z przełomowymi wymogami Rozporządzenia DORA (Digital Operational Resilience Act), standardem branży kart płatniczych PCI DSS v4.0 oraz wytycznymi dotyczącymi zarządzania ryzykiem technologicznym i stronami trzecimi (ICT Third-Party Risk).

Powiązanie z sylabusem i treściami programowymi:

• U2 Identyfikacja luk prawno-regulacyjnych i niezgodności systemowych z europejskimi przepisami odporności operacyjnej (DORA).
• U1 Zaprojektowanie zmian w polityce bezpieczeństwa uwzględniających ramy zarządzania ryzykiem ICT, testowanie odporności i nadzór nad podwykonawcami.
• U3 Szacowanie ryzyka systemowego i operacyjnego w procesowaniu płatności bezgotówkowych i transakcji internetowych.
• U4 Opracowanie zwięzłego raportu z analizy zgodności dla Komitetu Audytu i Zarządu instytucji płatniczej.
• W2 Znajomość standardu ISO/IEC 27001:2022 oraz globalnego standardu bezpieczeństwa kart płatniczych PCI DSS.
• W3 Biegłe rozumienie struktury unijnego Rozporządzenia DORA (UE 2022/2554) oraz Rekomendacji KNF dotyczących IT.
• K1K3 Profesjonalizm audytorski, bezstronność oraz rygorystyczne zachowanie tajemnicy zawodowej sektora finansowego.
• Powiązanie z wykładem: Wyk1 (Zarządzanie bezpieczeństwem w finansach), Wyk3 (Kontrole ISO 27001/27002), Wyk4 (Audyt zgodności z DORA i KNF), Wyk7 (Klasyfikacja niezgodności).

Spółka "PaySystem Sp. z o.o." działa jako licencjonowana przez KNF Krajowa Instytucja Płatnicza (KIP). Dostarcza bramki płatnicze dla ponad 1 800 sklepów internetowych, procesuje transakcje kartowe (Visa, Mastercard), przelewy natychmiastowe oraz płatności mobilne (BLIK). Rocznie spółka przetwarza ponad 40 milionów transakcji finansowych o łącznej wartości przekraczającej 3 miliardy złotych.

Zastała polityka bezpieczeństwa i wyzwania regulacyjne:

• W spółce funkcjonuje "Zintegrowana Polityka Bezpieczeństwa Informacji PaySystem", certyfikowana na zgodność z normą ISO/IEC 27001 w 2020 roku. Dokument skupia się głównie na tradycyjnych kontrolach poufności i bezpieczeństwa stacji roboczych.
• W polityce brakuje kompleksowych ram zarządzania ryzykiem technologii informacyjno-komunikacyjnych (ICT), wymaganych wprost przez art. 5-16 Rozporządzenia DORA (obowiązującego od stycznia 2025 roku). Polityka nie określa tolerancji na ryzyko ICT, nie definiuje kluczowych wskaźników ryzyka (KRI) ani strategii cyfrowej odporności operacyjnej.
• Obszar zarządzania ryzykiem zewnętrznych dostawców usług ICT (Third-Party Risk Management wg art. 28-44 DORA) jest w polityce potraktowany pobieżnie: zawiera jedynie ogólny zapis o "weryfikacji wiarygodności kontrahentów", podczas gdy spółka utrzymuje całą infrastrukturę płatniczą w chmurze publicznej zagranicznego dostawcy, nie posiadając strategii wyjścia (ang. Exit Strategy) ani planu awaryjnego na wypadek upadłości lub wycofania się dostawcy chmury.
• W rozdziale dotyczącym testowania bezpieczeństwa polityka przewiduje jedynie: "wykonywanie skanowania podatności raz w roku", co stoi w rażącej sprzeczności z wymogami zaawansowanego testowania penetracyjnego opartego na scenariuszach zagrożeń (TLPT - Threat-Led Penetration Testing) nakazanego przez DORA dla kluczowych instytucji.
• W odniesieniu do standardu PCI DSS v4.0 polityka nie odzwierciedla nowych wymogów dotyczących zapobiegania atakom typu e-skimming na stronach płatniczych (kontrola skryptów JavaScript dostawców zewnętrznych).

Komitet Audytu PaySystem zleca zespołowi audytorów pilną analizę zastałej polityki i sformułowanie pakietu zmian niezbędnych do osiągnięcia pełnej zgodności regulacyjnej.

Praca w zespole 2-3 osobowym polega na wszechstronnym audycie zgodności dokumentacji z nowymi regulacjami finansowymi:

• Krok 1 (Podział ról w zespole compliance):

  Student 1 (Audytor Wiodący / Oficer ds. Odporności Cyfrowej): Analizuje nadrzędne ramy zarządzania ryzykiem ICT, strategię odporności operacyjnej oraz zasady ładu korporacyjnego zgodnie z DORA (Rozdział II).

  Student 2 (Audytor Bezpieczeństwa Płatności i Chmury): Bada zgodność procedur z rygorami PCI DSS v4.0 (zarządzanie kryptografią, e-skimming, segmentacja) oraz zapisy umowne i plany wyjścia dla dostawców chmury (DORA Rozdział V).

  Student 3 (Audytor Incydentów i Testowania Odporności): Analizuje procedury klasyfikacji i raportowania poważnych incydentów powiązanych z ICT do organów nadzorczych (KNF, CSIRT) w reżimie DORA (Rozdział III) oraz program testów penetracyjnych TLPT (Rozdział IV). W grupie 2-osobowej rolę tę dzielą Studenci 1 i 2.

• Krok 2 (Mapowanie wymogów Rozporządzenia DORA na strukturę polityki):

  Opracujcie macierz korelacji zestawiającą 5 filarów Rozporządzenia DORA z aktualnymi rozdziałami polityki PaySystem:

  • Filar 1: Zarządzanie ryzykiem ICT (art. 5-16).
  • Filar 2: Zarządzanie incydentami i ich zgłaszanie (art. 17-23).
  • Filar 3: Testowanie cyfrowej odporności operacyjnej (art. 24-27).
  • Filar 4: Zarządzanie ryzykiem ze strony zewnętrznych dostawców usług ICT (art. 28-44).
  • Filar 5: Ustalenia dotyczące wymiany informacji o zagrożeniach (art. 45).
• Krok 3 (Weryfikacja procedur nadzoru nad łańcuchem dostaw):

  Wskażcie brakujące klauzule umowne w polityce: brak prawa do pełnego audytu dostawcy chmurowego, brak gwarancji minimalnych poziomów jakości (SLA), brak udokumentowanej strategii wyjścia (Exit Strategy) i migracji do innego dostawcy.

• Krok 4 (Klasyfikacja luk regulacyjnych):

  Brak procedur DORA w zakresie zarządzania ryzykiem stron trzecich i brak planów wyjścia zakwalifikujcie jako Niezgodność Krytyczną (NC1 - bezpośrednie ryzyko sankcji KNF i utraty licencji KIP), brak rygorów zgłaszania incydentów do KNF jako Niezgodność Krytyczną (NC1), a brak programu testów TLPT jako Niezgodność Większą (NC2).

• Krok 5 (Zredagowanie projektów procedur naprawczych):

  Opracujcie projekt znowelizowanego rozdziału polityki poświęconego odporności operacyjnej oraz sformułujcie procedurę postępowania z zewnętrznymi dostawcami usług chmurowych wspierających funkcje krytyczne instytucji płatniczej.

Plan wystąpienia seminaryjnego (10 minut):

• Wprowadzenie (2 min): Rewolucja regulacyjna DORA w europejskim sektorze finansowym - od tradycyjnego bezpieczeństwa informacji do kompleksowej odporności operacyjnej (Student 1).
• Wyniki analizy polityki PaySystem (3 min): Przedstawienie zidentyfikowanych luk w 5 filarach DORA, wykazanie uchybień w nadzorze nad chmurą i standardzie PCI DSS (Student 3 lub Student 1).
• Pakiet propozycji nowelizacyjnych (3 min): Zarys nowej Polityki Odporności Operacyjnej ICT, procedura oceny ryzyka dostawców i ramowy plan testów TLPT (Student 2).
• Podsumowanie, bilans korzyści i trudności (2 min): Analiza wad i zalet, koszty wdrożenia, perspektywa relacji z nadzorcą KNF (cały zespół).

Pisemny raport laboratoryjny (objętość 4-6 stron A4) zawiera:

A. Odpowiedzi na pytania problemowe i kontekst prawno-biznesowy:

• Czym różni się podejście do ryzyka w Rozporządzeniu DORA od podejścia zawartego w normie ISO/IEC 27001 i dlaczego certyfikat ISO 27001 nie gwarantuje automatycznej zgodności z DORA?
• Jakie surowe sankcje finansowe i osobiste (dla członków Zarządu) przewiduje Rozporządzenie DORA i ustawa wdrażająca za rażące naruszenie obowiązków odporności operacyjnej?
• Na czym polega wymóg posiadania strategii wyjścia (Exit Strategy) dla krytycznego dostawcy usług chmurowych w instytucji płatniczej i jak zapobiegać zjawisku uzależnienia od jednego dostawcy (ang. Vendor Lock-in)?

B. Wzorcowe rozwiązanie problemu (Raport z audytu zgodności i projekt klauzul DORA):

• Macierz zgodności polityki z normą ISO 27001, standardem PCI DSS v4.0 oraz Rozporządzeniem DORA (tabela 10 kluczowych obszarów).
• Wzorcowy projekt rozdziału Polityki: "Ramy Zarządzania Ryzykiem ICT i Cyfrowej Odporności Operacyjnej":
  • Określenie ról i odpowiedzialności organu zarządzającego (Zarząd ponosi ostateczną i osobistą odpowiedzialność za ryzyko ICT).
  • Metodyka ciągłej identyfikacji funkcji krytycznych instytucji płatniczej.
  • Zasady zgłaszania poważnych incydentów ICT do KNF: wstępne powiadomienie (do 4h od zaklasyfikowania lub 24h od wykrycia), raport pośredni i raport końcowy.
  • Polityka korzystania z usług ICT świadczonych przez osoby trzecie: obowiązkowy audyt przedkontraktowy, rejestr powiązań umownych, testowanie scenariuszy awaryjnych dostawcy.

C. Wady i zalety proponowanego rozwiązania:

• Zalety: Pełna zgodność z unijnymi rygorami DORA i KNF; zabezpieczenie ciągłości działania transakcji milionów obywateli; ochrona reputacji i licencji KIP; podniesienie odporności na zaawansowane ataki cybernetyczne.
• Wady i koszty: Znaczne koszty finansowe związane z zatrudnieniem niezależnych audytorów do testów penetracyjnych TLPT; skomplikowane negocjacje aneksów umownych z globalnymi gigantami chmurowymi (AWS/Microsoft/Google); konieczność rozbudowy komórki zarządzania ryzykiem w spółce.

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyfrowej sektora finansowego (Rozporządzenie DORA).
• Norma PN-EN ISO/IEC 27001:2022 - Systemy zarządzania bezpieczeństwem informacji (kontrole A.5.19, A.5.20, A.5.21, A.5.22, A.5.23, A.5.29, A.5.30).
• PCI Security Standards Council: "Payment Card Industry Data Security Standard (PCI DSS) Requirements and Testing Procedures v4.0", 2022.
• Urząd Komisji Nadzoru Finansowego (UKNF): "Komunikat w sprawie wdrożenia Rozporządzenia DORA w podmiotach rynku finansowego", Warszawa 2024.
• Wytyczne Europejskich Urzędów Nadzoru (EBA, EIOPA, ESMA) dotyczące zarządzania ryzykiem ICT i bezpieczeństwa informacji.
• Ustawa z dnia 19 sierpnia 2011 r. o usługach płatniczych (Dz.U. z 2024 r. poz. 30 z późn. zm.).

• U2 Student identyfikuje luki w politykach bezpieczeństwa instytucji finansowych w świetle unijnych przepisów sektorowych (DORA).
• U1 Student projektuje ramy polityki zarządzania ryzykiem technologicznym i stronami trzecimi (ICT Third-Party Risk).
• U3 Student szacuje ryzyko systemowe i ciągłości działania w infrastrukturze transakcyjnej wysokiej dostępności.
• W2W3 Student wykazuje zaawansowane zrozumienie współzależności między normami ISO serii 27000, standardem PCI DSS a prawem bankowym i unijnym.
• K1K3 Student działa z najwyższym poczuciem etyki, odpowiedzialności i dyskrecji wymaganej od audytora instytucji zaufania publicznego.

Celem zadania jest wykształcenie u studentów umiejętności przeprowadzania szczegółowej analizy zapisów Polityki Bezpieczeństwa Informacji w obszarze bezpieczeństwa zasobów ludzkich (Human Resource Security) oraz zarządzania tożsamością i dostępem (IAM) w organizacji charakteryzującej się masową rotacją personelu i stosowaniem elastycznych form zatrudnienia. Studenci uczą się wykrywać luki proceduralne w procesach przyjmowania pracowników (onboarding), modyfikacji ról oraz natychmiastowego odbierania uprawnień (offboarding), w odniesieniu do kontroli domeny A.6 normy PN-EN ISO/IEC 27001:2022 oraz art. 28 i 32 RODO.

Powiązanie z sylabusem i treściami programowymi:

• U2 Wykrywanie luk proceduralnych, braku rozliczalności i martwych przepisów w obszarze zarządzania tożsamością i rotacją pracowników.
• U1 Zaprojektowanie spójnych, kompletnych i wykonalnych procedur onboarding/offboarding w ramach polityki bezpieczeństwa.
• U3 Ocena ryzyka nieuprawnionego dostępu byłych pracowników do systemów kadrowo-płacowych i baz danych kontrahentów.
• U4 Sporządzenie merytorycznego referatu i prezentacja wniosków przed zespołem laboratoryjnym.
• W1 Znajomość wymagań prawnych dotyczących ochrony danych pracowniczych (Kodeks pracy, art. 88a-88f, RODO).
• W2 Znajomość kontroli ISO/IEC 27001:2022 w zakresie bezpieczeństwa zasobów ludzkich (A.6.1-A.6.8) oraz zarządzania tożsamością (A.5.15-A.5.18).
• K1K2 Wrażliwość na etyczne i prawne aspekty kontroli pracowników oraz poszanowanie prywatności kandydatów do pracy.
• Powiązanie z wykładem: Wyk1 (Zarządzanie bezpieczeństwem zasobów ludzkich), Wyk3 (Kontrole A.6 i dostępowe A.5), Wyk4 (RODO w HR), Wyk7 (Niezgodności w procesach personalnych).

Spółka "HR-Partner Sp. z o.o." jest jedną z wiodących agencji pracy tymczasowej i outsourcingu procesów biznesowych w zachodniej Polsce. W biurze centralnym oraz 6 oddziałach regionalnych zatrudnia 85 stałych pracowników (rekruterzy, kadrowcy, prawnicy, koordynatorzy projektów). Jednocześnie agencja deleguje do pracy u ponad 120 klientów zewnętrznych (zakłady produkcyjne, centra logistyczne, sieci handlowe) średnio 3 500 pracowników tymczasowych miesięcznie, z czego ponad 60% stanowią cudzoziemcy. Miesięczna rotacja personelu tymczasowego sięga 35%, a rotacja młodszych rekruterów w biurach przekracza 40% w skali roku.

Stan zastałej dokumentacji i praktyki operacyjnej:

• W spółce obowiązuje "Polityka Ochrony Danych i Bezpieczeństwa Informacji HR-Partner" przyjęta w 2021 roku. Rozdział poświęcony pracownikom liczy zaledwie dwie strony i zawiera ogólnikowe stwierdzenie: "Każdy nowo zatrudniony pracownik podpisuje oświadczenie o zachowaniu poufności i zapoznaje się z regulaminem pracy".
• W polityce całkowicie pominięto formalną procedurę odbierania uprawnień przy rozwiązaniu stosunku pracy (offboarding). W praktyce powiadomienie działu IT o odejściu rekrutera następuje często po kilkunastu dniach od faktycznego rozstania, gdy kierownik oddziału przesyła zbiorcze zestawienie do kadr.
• Audyt wstępny wykazał istnienie ponad 40 aktywnych kont pocztowych i kont w systemie rekrutacyjnym CRM należących do osób, które nie pracują w firmie od ponad 6 miesięcy. Byli rekruterzy, przechodząc do konkurencyjnych agencji, wciąż posiadali możliwość logowania się do bazy CV z domu.
• Umowy cywilnoprawne (zlecenia) zawierane z koordynatorami i rekruterami nie zawierają klauzul o karach umownych za naruszenie poufności baz kandydatów, a polityka nie przewiduje żadnych cyklicznych szkoleń z zakresu cyberbezpieczeństwa i phishingu.
• W oddziałach regionalnych powszechne jest współdzielenie kont administracyjnych do portali ogłoszeniowych (np. Pracuj.pl, OLX) przez rotujących stażystów.

Zarząd spółki, zaniepokojony skargami klientów na wycieki baz danych kandydatów do konkurencji, zleca zespołowi audytorów kompleksową analizę polityki i opracowanie szczelnych procedur zarządzania tożsamością.

Praca w zespole 2-3 osobowym polega na zbadaniu luk w obszarze kadrowo-dostępwym i zaprojektowaniu procedur naprawczych:

• Krok 1 (Podział ról w grupie analitycznej):

  Student 1 (Audytor Wiodący / Analityk Procesów Personalnych): Bada cykl życia pracownika w organizacji (od rekrutacji po odejście), weryfikuje zakres formalny umów i oświadczeń o poufności (NDA).

  Student 2 (Audytor Systemów Tożsamości i Dostępów IT): Analizuje architekturę IAM, weryfikuje techniczne procedury blokowania kont w Active Directory, skrzynkach pocztowych i systemie CRM oraz reguły haseł.

  Student 3 (Audytor Prawno-Regulacyjny RODO): Bada zgodność procesów kadrowych z art. 28, 29 i 32 RODO, weryfikuje upoważnienia do przetwarzania danych i odpowiedzialność prawną za kradzież bazy CV. W zespole 2-osobowym rolę tę realizują Studenci 1 i 2.

• Krok 2 (Analiza luki w cyklu życia tożsamości):

  Zestawcie zastałą politykę z wytycznymi normy ISO/IEC 27001:2022: kontrola A.6.1 (Weryfikacja kandydatów), A.6.2 (Warunki zatrudnienia), A.6.3 (Świadomość i szkolenia), A.6.5 (Odpowiedzialność po zakończeniu zatrudnienia) oraz A.5.18 (Zarządzanie prawami dostępu).

• Krok 3 (Identyfikacja ryzyka "kont duchów" - Orphan Accounts):

  Wskażcie mechanizm powstawania martwych, lecz wciąż aktywnych uprawnień byłych pracowników. Oszacujcie ryzyko szpiegostwa gospodarczego, kradzieży tożsamości oraz naruszenia dóbr osobistych kandydatów.

• Krok 4 (Klasyfikacja niezgodności):

  Zaklasyfikujcie brak procedury natychmiastowego odbierania uprawnień (offboarding) jako Niezgodność Krytyczną (NC1 - bezpośredni wyciek danych wrażliwych i tajemnicy handlowej), istnienie aktywnych kont byłych pracowników jako Niezgodność Krytyczną (NC1), brak weryfikacji tożsamości rotujących pracowników tymczasowych jako Niezgodność Większą (NC2).

• Krok 5 (Opracowanie Kompleksowej Procedury Onboarding/Offboarding):

  Zaprojektujcie:

  • Standardową kartę obiegową pracownika (elektroniczny workflow z podpisem kierownika, działu IT i kadr).
  • Zasadę automatycznego blokowania kont w ciągu maksymalnie 2 godzin od decyzji o rozwiązaniu umowy (z natychmiastowym odcięciem dostępu zdalnego i unieważnieniem sesji chmurowych).
  • Obowiązkowe szkolenie wstępne z cyberzagrożeń zakończone testem wiedzy przed nadaniem uprawnień do CRM.
  • Kwartalny, zautomatyzowany przegląd i rekoncyliację kont (weryfikacja aktywnych loginów w IT z listą płac z kadr).

Plan wystąpienia seminaryjnego (10 minut):

• Wprowadzenie (2 min): Specyfika branży agencji pracy tymczasowej - gigantyczna rotacja kadr jako fundamentalny wektor zagrożeń dla bezpieczeństwa informacji (Student 1).
• Krytyczny audyt zastałej polityki HR-Partner (3 min): Wykazanie kompromitujących luk w procedurze offboardingu, istnienie "kont duchów", brak sankcji w umowach cywilnoprawnych (Student 3 lub Student 1).
• Projekt nowych procedur IAM i bezpieczeństwa zasobów ludzkich (3 min): Przedstawienie elektronicznego obiegu karty obiegowej, automatyzacji blokowania kont w AD/CRM oraz kwartalnych przeglądów uprawnień (Student 2).
• Wnioski, bilans wad i zalet (2 min): Analiza kosztów integracji systemów HR i IT, korzyści biznesowe z ochrony bazy klientów i kandydatów (cały zespół).

Pisemne opracowanie referatu (4-6 stron A4) obejmuje:

A. Odpowiedzi na pytania problemowe i diagnoza:

• W jaki sposób zjawisko nieusuniętych kont byłych pracowników (tzw. Zombie Accounts) narusza zasadę rozliczalności i poufności określoną w art. 5 ust. 1 lit. f RODO?
• Jakie techniczne środki (np. integracja systemu kadrowego HR z kontrolerem domeny Active Directory poprzez protokół SCIM/LDAP) pozwalają zautomatyzować wygaszanie tożsamości cyfrowej?
• Jakie klauzule dotyczące ochrony tajemnicy przedsiębiorstwa (art. 11 Ustawy o zwalczaniu nieuczciwej konkurencji) oraz kar umownych należy obligatoryjnie wdrożyć do umów cywilnoprawnych z rekruterami?

B. Wzorcowy Raport z Analizy i Projekt Nowej Procedury:

• Tabela oceny ryzyka dla 5 faz zatrudnienia: rekrutacja, zatrudnienie, awans/zmiana stanowiska, zwolnienie, po ustaniu zatrudnienia.
• Projekt dokumentu: "Procedura Zarządzania Tożsamością i Dostępem Pracowników w Cyklu Zatrudnienia":
  • Dzień 0 (Onboarding): Weryfikacja tożsamości, podpisanie zobowiązania do poufności z klauzulą kary umownej (50 000 zł za wyniesienie bazy), zaliczenie szkolenia z phishingu, utworzenie imiennego konta (zakaz kont funkcyjnych).
  • Zmiana ról: Weryfikacja uprawnień i natychmiastowe odebranie dostępów do zasobów z poprzedniego stanowiska (zasada Least Privilege).
  • Offboarding standardowy: Zgłoszenie planowanego odejścia przez HR do IT na 3 dni robocze przed końcem umowy; blokada kont dokładnie o godzinie 17:00 w ostatnim dniu pracy; zdalne wyczyszczenie poczty służbowej z prywatnego telefonu.
  • Offboarding dyscyplinarny (w trybie natychmiastowym): Blokada kont we wszystkich systemach (poczta, CRM, VPN, AD) w czasie do 15 minut od polecenia Dyrektora HR, przed fizycznym poinformowaniem pracownika o zwolnieniu.
  • Rekoncyliacja kwartalna: Zestawienie aktywnych kont z listą zatrudnionych; konta nieprzypisane do aktywnego pracownika są natychmiastowo kasowane.

C. Wady i zalety proponowanego rozwiązania:

• Zalety: Całkowita eliminacja ryzyka kradzieży baz danych przez odchodzących pracowników; pełna rozliczalność operacji w CRM; zgodność z ISO 27001 i RODO; ochrona przewagi rynkowej agencji.
• Wady i trudności: Dodatkowe obciążenie administracyjne dla kadrowców i informatyków; konieczność dyscypliny w zgłaszaniu zmian kadrowych przez kierowników oddziałów w całej Polsce.

• Norma PN-EN ISO/IEC 27001:2022 - Systemy zarządzania bezpieczeństwem informacji (domena A.6: Bezpieczeństwo osób oraz kontrole A.5.15-A.5.18).
• Norma PN-EN ISO/IEC 27002:2022 - Bezpieczeństwo informacji, cyberbezpieczeństwo i ochrona prywatności (rozdziały 5.15-5.18 oraz 6.1-6.8).
• Ustawa z dnia 26 czerwca 1974 r. - Kodeks pracy (Dz.U. z 2026 r. poz. 1245) - w szczególności przepisy o ochronie danych pracowników i monitoringu poczty.
• Ustawa z dnia 16 kwietnia 2004 r. o promocji zatrudnienia i instytucjach rynku pracy (Dz.U. z 2024 r. poz. 475).
• Ustawa z dnia 16 kwietnia 1993 r. o zwalczaniu nieuczciwej konkurencji (Dz.U. z 2022 r. poz. 1233) - tajemnica przedsiębiorstwa (art. 11).
• Urząd Ochrony Danych Osobowych: "Ochrona danych osobowych w miejscu pracy. Poradnik dla pracodawców", Warszawa 2023.

• U2 Student trafnie diagnozuje luki organizacyjne i techniczne w procesach zarządzania cyklem życia tożsamości (IAM) i rotacji kadr.
• U1 Student konstruuje kompleksowe procedury onboarding/offboarding odporne na błędy ludzkie i opóźnienia komunikacyjne.
• U3 Student ocenia ryzyko kradzieży tajemnic przedsiębiorstwa i naruszenia RODO przez byłych współpracowników.
• W1W2 Student zna normatywne wymagania kontroli ISO 27001 dotyczące bezpieczeństwa zasobów ludzkich i polskiego prawa pracy.
• K1K2 Student wykazuje zrozumienie konieczności zrównoważenia rygorów bezpieczeństwa z kulturą zaufania i szacunku dla pracowników.

Głównym celem zadania jest nabycie przez studentów umiejętności przeprowadzania analizy krytycznej Polityki Bezpieczeństwa Informacji w jednostce wymiaru sprawiedliwości ze szczególnym uwzględnieniem zasad klasyfikacji aktywów informacyjnych, ochrony tajemnic prawnie chronionych (tajemnica narady sędziowskiej, dane wrażliwe z postępowań rodzinnych i karnych) oraz bezpieczeństwa hybrydowego obiegu akt sądowych (dokumentacja papierowa a systemy elektroniczne). Studenci uczą się weryfikować spójność regulacji wewnętrznych z przepisami Ustawy o ochronie informacji niejawnych, Rozporządzenia w sprawie Krajowych Ram Interoperacyjności oraz Regulaminu urzędowania sądów powszechnych.

Powiązanie z sylabusem i treściami programowymi:

• U2 Identyfikacja braków w schematach klasyfikacji informacji, procedurach oznaczania dokumentów i fizycznym nadzorze nad aktami spraw.
• U1 Opracowanie zunifikowanej matrycy klasyfikacji informacji oraz procedur postępowania z materiałami wrażliwymi dla sądu.
• U3 Ocena ryzyka nieuprawnionego ujawnienia danych ze śledztw, orzeczeń w sprawach o alimenty czy danych świadków koronnych/anonimowych.
• U4 Przygotowanie referatu i merytorycznej ekspertyzy audytowej dla Prezesa i Dyrektora Sądu.
• W1 Zaawansowana znajomość przepisów o tajemnicach ustawowo chronionych, informacji niejawnych oraz art. 9 i 10 RODO.
• W2 Znajomość kontroli normy PN-EN ISO/IEC 27001:2022 w zakresie klasyfikacji informacji (A.5.12, A.5.13) oraz nośników danych (A.7.10, A.7.14).
• K1K3 Poczucie powagi wymiaru sprawiedliwości, bezwzględna dyskrecja i poszanowanie godności uczestników postępowań sądowych.
• Powiązanie z wykładem: Wyk1 (Klasyfikacja i tajemnice w audycie), Wyk3 (Kontrole A.5.12-A.5.14), Wyk4 (Ochrona informacji niejawnych i KRI), Wyk7 (Ocena ryzyka ujawnienia).

Sąd Rejonowy obejmuje swoją jurysdykcją 4 gminy i liczy 5 wydziałów: Wydział I Cywilny, Wydział II Karny, Wydział III Rodzinny i Nieletnich, Wydział IV Pracy i Ubezpieczeń Społecznych oraz Wydział V Ksiąg Wieczystych. W sądzie orzeka 24 sędziów i asesorów, pracuje 18 referendarzy, 35 asystentów sędziów, 60 pracowników sekretariatów sądowych i biura obsługi interesantów oraz 4 informatyków. Rocznie przez sąd przewija się ponad 45 000 spraw.

Stan zastały dokumentacji i infrastruktury:

• W sądzie obowiązuje "Instrukcja Bezpieczeństwa Informacji Sądu Rejonowego", wprowadzona zarządzeniem Prezesa Sądu w 2017 roku. Dokument ten powołuje się na ogólne zasady i w dużej mierze powiela przepisy Regulaminu urzędowania sądów, nie tworząc spójnego systemu ISMS.
• W instrukcji całkowicie brakuje schematu klasyfikacji informacji (Information Classification Scheme). Wszystkie dokumenty traktowane są w sposób jednolity, bez podziału na informacje jawne, służbowe, wrażliwe czy niejawne (zastrzeżone, poufne).
• W praktyce sekretariatów akta spraw karnych (zawierające dane z Krajowego Rejestru Karnego, protokoły przesłuchań ofiar gwałtów, opinie psychiatryczne) leżą na korytarzach na wózkach aktowych przed salami rozpraw bez jakiegokolwiek dozoru fizycznego podczas przerw w wokandzie.
• W systemie informatycznym wspomagania wydziałów (Currenda/Sędzia-2) oraz portalu informacyjnym brak jest mechanizmów znakowania elektronicznych dokumentów znakami wodnymi lub klauzulami poufności przy ich eksporcie do formatu PDF. Asystenci sędziów wynoszą projekty wyroków na prywatnych pamięciach USB w celu pisania uzasadnień w domach.
• Brak jest spisanej procedury bezpiecznego niszczenia brudnopisów orzeczeń, notatek z narad sędziowskich oraz uszkodzonych płyt CD/DVD z nagraniami z podsłuchów procesowych (płyty są wyrzucane do zwykłych koszy biurowych).

Prezes Sądu Rejonowego, po incydencie sfotografowania przez dziennikarza leżących na korytarzu akt sprawy rozwodowej znanego samorządowca, powołuje zespół audytorski w celu gruntownej analizy polityki ochrony informacji i stworzenia procedury klasyfikacji danych.

Praca w zespole 2-3 osobowym polega na krytycznej analizie procedur obrotu informacją w sądzie i zaprojektowaniu standardów klasyfikacji:

• Krok 1 (Podział ról w grupie analitycznej):

  Student 1 (Audytor Wiodący / Analityk Organizacji Wymiaru Sprawiedliwości): Bada zgodność procedur z Regulaminem urzędowania sądów powszechnych, ustawą Prawo o ustroju sądów powszechnych i kieruje pracami.

  Student 2 (Audytor Bezpieczeństwa Technicznego i Teleinformatyki Sądowej): Analizuje bezpieczeństwo systemów informatycznych sądu (Currenda, Portale Orzeczeń, nagrywanie rozpraw ReCourt, ochrona nośników CD/DVD z materiałami dowodowymi).

  Student 3 (Audytor Informacji Prawnie Chronionych i Informacji Niejawnych): Weryfikuje wymogi Ustawy o ochronie informacji niejawnych, tajemnic zawodowych i RODO (dane dotyczące wyroków skazujących - art. 10 RODO). W grupie 2-osobowej rolę tę realizują Studenci 1 i 2.

• Krok 2 (Analiza braku schematu klasyfikacji):

  Wskażcie konsekwencje braku formalnej klasyfikacji informacji (kontrola A.5.12 normy ISO/IEC 27001:2022). Wykażcie, dlaczego traktowanie wszystkich danych jednakowo prowadzi do nadmiernych rygorów dla danych błahych i niedopuszczalnego braku ochrony dla danych krytycznych.

• Krok 3 (Identyfikacja naruszeń fizycznych i operacyjnych):

  Zestawcie zastałą praktykę z kontrolami A.7.10 (Nośniki danych) i A.7.14 (Bezpieczne usuwanie aktywów): wykażcie brak niszczarek klasy DIN 66399 (poziom P-4/P-5 dla papieru i O-3/T-4 dla płyt CD) oraz brak nadzoru nad wózkami aktowymi na korytarzach sądowych.

• Krok 4 (Klasyfikacja niezgodności):

  Sklasyfikujcie: brak schematu klasyfikacji informacji jako Niezgodność Większą (NC2), pozostawianie akt spraw karnych i rodzinnych bez dozoru na korytarzach publicznych jako Niezgodność Krytyczną (NC1 - rażące naruszenie tajemnicy i art. 9/10 RODO), brak niszczenia nośników dowodowych jako Niezgodność Krytyczną (NC1).

• Krok 5 (Opracowanie Matrycy Klasyfikacji Informacji dla Sądu Rejonowego):

  Zaprojektujcie 4-stopniowy schemat klasyfikacji:

  • Poziom 1: Informacje Publiczne / Jawne (wokandy, jawne sentencje orzeczeń, komunikaty prasowe).
  • Poziom 2: Informacje Wewnętrzne / Służbowe (grafiki dyżurów, wewnętrzne zarządzenia Prezesa, sprawy gospodarcze bez tajemnic).
  • Poziom 3: Informacje Poufne / Wrażliwe (akta spraw rodzinnych, dane ofiar przestępstw, wyroki skazujące, dane medyczne z opinii biegłych, oświadczenia majątkowe sędziów).
  • Poziom 4: Informacje Niejawne / Ściśle Chronione (materiały z klauzulą Zastrzeżone/Poufne/Tajne, tajemnica narady sędziowskiej, dane świadków incognito - podlegające odrębnym rygorom Kancelarii Tajnej).
• Krok 6 (Projekt procedury postępowania z aktami spraw):

  Opracujcie zasady transportu i zabezpieczenia akt w trakcie wokand oraz standard niszczenia dokumentów roboczych.

Plan wystąpienia seminaryjnego (10 minut):

• Wprowadzenie (2 min): Specyfika informacji w wymiarze sprawiedliwości - kolizja między konstytucyjną jawnością rozpraw a bezwzględną ochroną dóbr osobistych uczestników procesu (Student 1).
• Diagnoza patologii organizacyjnych w sądzie (3 min): Omówienie luk w instrukcji bezpieczeństwa, bezpańskie akta na korytarzach, brak niszczenia brudnopisów i płyt dowodowych (Student 3 lub Student 1).
• Schemat klasyfikacji i standard ochrony akt (3 min): Prezentacja nowej matrycy 4-poziomowej, zasad obiegu akt w sekretariatach i zabezpieczenia nośników optycznych (Student 2).
• Podsumowanie, analiza wad i zalet (2 min): Ocena wykonalności procedur przez przeciążonych sekretarzy sądowych, koszty niszczarek i szaf pancernych (cały zespół).

Pisemne opracowanie referatu (4-6 stron A4) obejmuje:

A. Odpowiedzi na pytania problemowe i uwarunkowania prawne:

• Czym różni się reżim prawny ochrony informacji niejawnych (Ustawa o ochronie informacji niejawnych) od ochrony danych osobowych podlegających RODO w toku postępowań sądowych?
• W jaki sposób brak klasyfikacji informacji w sądzie wpływa na ryzyko naruszenia tajemnicy narady sędziowskiej (art. 108 Kodeksu postępowania karnego) i jakie rodzi to skutki dla ważności wyroku?
• Jakie normy niszczenia nośników (np. norma DIN 66399) powinny być bezwzględnie stosowane do akt spraw z danymi o karalności i podsłuchach procesowych?

B. Wzorcowy Raport z Analizy i Polityka Klasyfikacji Informacji:

• Wykaz 8 zidentyfikowanych luk w zastałej Instrukcji Bezpieczeństwa Informacji Sądu Rejonowego.
• Projekt Regulacji: "Procedura Klasyfikacji, Znakowania i Ochrony Informacji Prawnie Chronionych w Sądzie Rejonowym":
  • Tabela definicji poziomów wrażliwości (Jawne, Służbowe, Poufne, Niejawne).
  • Zasady znakowania: obowiązek nanoszenia klauzuli "POUFNE - WYŁĄCZNIE DO UŻYTKU SŁUŻBOWEGO" na projektach orzeczeń i protokołach z posiedzeń niejawnych.
  • Standard obrotu aktami: zakaz pozostawiania wózków z aktami na korytarzu bez obecności protokolanta; obowiązek zamykania sal rozpraw na klucz podczas przerw w wokandzie.
  • Zasady postępowania z nośnikami elektronicznymi: zakaz zgrywania akt na prywatne pendrive; rejestracja służbowych, szyfrowanych nośników danych (AES-256); protokolarne niszczenie płyt CD/DVD w niszczarce optycznej klasy O-3.

C. Wady i zalety proponowanego rozwiązania:

• Zalety: Odzyskanie pełnej kontroli nad aktami spraw; wyeliminowanie ryzyka skandali medialnych i pozwów o odszkodowania za ujawnienie danych wrażliwych; pełna zgodność z KRI i ISO 27001; podniesienie powagi instytucji sądu.
• Wady i trudności: Zwiększenie obciążenia sekretariatów sądowych dodatkowymi czynnościami rejestracyjnymi; opór części sędziów przed rezygnacją z wynoszenia akt do domu; konieczność zakupu atestowanych niszczarek i bezpiecznych szaf.

• Norma PN-EN ISO/IEC 27001:2022 - Systemy zarządzania bezpieczeństwem informacji (kontrole A.5.12 Klasyfikacja informacji, A.5.13 Znakowanie informacji, A.7.10 Nośniki danych).
• Ustawa z dnia 27 lipca 2001 r. - Prawo o ustroju sądów powszechnych (Dz.U. z 2024 r. poz. 334 z późn. zm.).
• Ustawa z dnia 5 sierpnia 2010 r. o ochronie informacji niejawnych (Dz.U. z 2024 r. poz. 632).
• Rozporządzenie Ministra Sprawiedliwości z dnia 18 czerwca 2019 r. - Regulamin urzędowania sądów powszechnych (Dz.U. z 2024 r. poz. 867).
• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności (...) (Dz.U. z 2024 r. poz. 773) - § 20.
• Norma DIN 66399 - Technika biurowa: Niszczenie nośników danych (klasy ochrony 1-3, stopnie bezpieczeństwa P-1 do P-7).

• U2 Student bezbłędnie identyfikuje luki w systemach klasyfikacji danych i procedurach ochrony informacji wrażliwych.
• U1 Student umie zaprojektować 4-stopniowy schemat klasyfikacji informacji dopasowany do specyfiki wymiaru sprawiedliwości.
• U3 Student szacuje ryzyko procesowe i prawne wynikające z nienależytego zabezpieczenia akt postępowań sądowych.
• W1W3 Student rozumie zawiłości prawne dotyczące tajemnicy sędziowskiej, informacji niejawnych, ochrony danych z rejestrów karnych i RODO.
• K1K3 Student cechuje się wysoką kulturą prawną, etyką i szacunkiem dla praw obywatela do rzetelnego i poufnego procesu.

Celem zadania jest opanowanie przez studentów umiejętności przeprowadzania analizy adekwatności i funkcjonalności (ang. Usability vs Security Analysis) Polityki Bezpieczeństwa Informacji w publicznej szkole wyższej. Zadanie koncentruje się na zbadaniu problemu tzw. polityki nadmiernie restrykcyjnej (ang. over-restrictive policy), która na skutek bezrefleksyjnego przekopiowania reguł z sektora bankowego stała się całkowicie dysfunkcyjna w specyficznym, otwartym środowisku uczelni wyższej, prowadząc do masowego obchodzenia zabezpieczeń przez wykładowców, badaczy i studentów.

Powiązanie z sylabusem i treściami programowymi:

• U2 Identyfikacja martwych, sprzecznych z misją akademicką zapisów polityki oraz niebezpiecznych zjawisk omijania reguł (Shadow IT).
• U1 Zaprojektowanie zrównoważonej architektury polityki bezpieczeństwa dzielącej zasoby na strefę otwartą (eduroam, laboratoria) i strefę chronioną (dziekanaty, USOS, SAP, rekrutacja).
• U3 Przeprowadzenie analizy ryzyka kompromitacji centralnych baz danych studentów przy jednoczesnym zachowaniu wolności badań naukowych.
• U4 Opracowanie zwięzłego raportu i wygłoszenie referatu przed audytorium laboratoryjnym.
• W1W3 Znajomość przepisów Ustawy - Prawo o szkolnictwie wyższym i nauce, RODO oraz Rozporządzenia w sprawie KRI.
• W2 Znajomość kontroli ISO/IEC 27001:2022 dotyczących separacji sieci (A.8.22), segmentacji i zarządzania dostępem.
• K1K2 Zdolność do poszukiwania kompromisu między rygorami bezpieczeństwa teleinformatycznego a wolnością akademicką i edukacyjną.
• Powiązanie z wykładem: Wyk1 (Adekwatność polityki do celów biznesowych), Wyk3 (Separacja stref i kontrole dostępowe), Wyk4 (KRI w szkolnictwie wyższym), Wyk7 (Ocena efektywności zabezpieczeń).

Akademia Nauk Stosowanych (ANS) kształci 4 200 studentów na kierunkach technicznych, medycznych i ekonomicznych. Zatrudnia 260 nauczycieli akademickich oraz 110 pracowników administracji i obsługi. Uczelnia posiada rozległą infrastrukturę: 3 kampusy, sieć bezprzewodową eduroam, 18 laboratoriów komputerowych, serwerownię z systemem dziekanatowym USOS, systemem finansowo-księgowym SAP oraz platformą e-learningową Moodle.

Stan zastały polityki i patologie organizacyjne:

• Przed dwoma laty nowy Pełnomocnik Rektora ds. Cyberbezpieczeństwa (wcześniej pracujący w audycie bankowym) wdrożył dokument: "Totalna Polityka Bezpieczeństwa Informacji ANS". Polityka ta wprowadziła drakońskie zakazy: bezwzględny zakaz podłączania jakichkolwiek urządzeń zewnętrznych (pendrive, dyski USB) do wszystkich komputerów na uczelni, całkowite zablokowanie pobierania jakichkolwiek bibliotek programistycznych (np. repozytoriów PyPi, GitHub, npm) w laboratoriach, wymóg zatwierdzania każdego instalowanego skryptu lub oprogramowania przez Rektora oraz blokadę portów wyjściowych poza portami 80 i 443.
• Skutkiem tej polityki był natychmiastowy paraliż dydaktyki na kierunku Informatyka (studenci nie mogli realizować projektów programistycznych) oraz badań naukowych.
• W reakcji na absurdalne ograniczenia społeczność akademicka zaczęła powszechnie omijać zabezpieczenia: wykładowcy instalują prywatne routery Wi-Fi z modemami LTE pod biurkami w katedrach, studenci zestawiają nielegalne tunele VPN i hotspoty komórkowe w salach laboratoryjnych, a prace dyplomowe i dane studentów przesyłane są przez publiczne dyski Google i WeTransfer.
• Jednocześnie w strefie administracyjnej pracownice dziekanatów, sfrustrowane ciągłymi blokadami komputerów, współdzielą hasła do systemu USOS i przesyłają wyciągi z ocen studentów na prywatne skrzynki pocztowe na portalu Onet, aby móc pracować w domach.

Rektor Uczelni, widząc całkowity chaos i upadek kultury bezpieczeństwa, odwołuje Pełnomocnika i nakazuje zespołowi audytorów studentów opracowanie zrównoważonej i realistycznej polityki bezpieczeństwa.

Praca w zespole 2-3 osobowym polega na zdiagnozowaniu przyczyn fiaska dotychczasowej polityki i stworzeniu modelu zrównoważonego:

• Krok 1 (Podział ról w grupie analitycznej):

  Student 1 (Audytor Wiodący / Analityk Procesów Akademickich): Bada specyfikę misji uczelni, potrzeby procesu dydaktycznego i badawczego oraz kieruje opracowaniem koncepcji.

  Student 2 (Audytor Architektury Sieciowej i Bezpieczeństwa IT): Analizuje segmentację sieci uczelnianej, zasady funkcjonowania eduroam, laboratoriów IT i platformy Moodle, projektuje reguły firewall i dostęp do repozytoriów open-source.

  Student 3 (Audytor Zgodności Danych Osobowych i Administracji): Bada ochronę systemów USOS i SAP, zgodność z RODO i KRI oraz projektuje ramy bezpieczeństwa danych osobowych studentów i pracowników. W grupie 2-osobowej zadania te dzielą Studenci 1 i 2.

• Krok 2 (Analiza problemu "Security vs Usability"):

  Wykażcie na konkretnych przykładach, jak zbyt rygorystyczna polityka zniszczyła bezpieczeństwo uczelni zamiast je poprawić (koncepcja: gdy reguły uniemożliwiają pracę, pracownicy i studenci zawsze znajdą drogę obejścia - zjawisko Shadow IT).

• Krok 3 (Koncepcja strefowania i separacji bezpieczeństwa):

  Zamiast jednolitej, restrykcyjnej polityki dla całej uczelni, opracujcie podział na 3 strefy o odmiennych profilach bezpieczeństwa (kontrole A.8.20 i A.8.22 ISO/IEC 27001:2022):

  • Strefa Czerwona (Krytyczna Administracja): USOS, SAP, płace, rekrutacja - wysokie zabezpieczenia, brak dostępu z zewnątrz bez VPN z MFA, blokada USB, monitorowanie DLP.
  • Strefa Żółta (Dydaktyka i Badania): Laboratoria studenckie, serwery badawcze - swobodny dostęp do narzędzi programistycznych, repozytoriów kodu, praca w izolowanych VLAN-ach, automatyczne przywracanie stanu maszyn po restarcie (np. Deep Freeze).
  • Strefa Zielona (Otwarta): Sieć Wi-Fi eduroam, strefy relaksu, biblioteka - dostęp do Internetu dla urządzeń BYOD studentów, odizolowana od sieci uczelnianej, ochrona przed atakami wewnątrz sieci.
• Krok 4 (Klasyfikacja niezgodności):

  Sklasyfikujcie: istnienie nieautoryzowanych urządzeń sieciowych (prywatne routery LTE w katedrach) jako Niezgodność Krytyczną (NC1), przetwarzanie danych studentów na prywatnych skrzynkach pocztowych jako Niezgodność Krytyczną (NC1), a brak separacji VLAN między laboratoriami a dziekanatem jako Niezgodność Większą (NC2).

• Krok 5 (Opracowanie nowej Polityki Bezpieczeństwa Informacji ANS):

  Zredagujcie manifest nowej polityki opartej na zaufaniu i segmentacji strefowej, znoszącej absurdalne zakazy w dydaktyce przy jednoczesnym uszczelnieniu administracji.

Plan wystąpienia seminaryjnego (10 minut):

• Wprowadzenie (2 min): Równowaga między bezpieczeństwem a funkcjonalnością - dlaczego model bankowy nie działa na uczelni wyższej (Student 1).
• Studium przypadku klęski "Totalnej Polityki ANS" (3 min): Przedstawienie skali zjawiska Shadow IT (prywatne modemy, omijanie blokad, skrzynki komercyjne w dziekanatach) i wynikających z tego ryzyk (Student 2).
• Model strefowy architektury bezpieczeństwa (3 min): Omówienie podziału na strefę czerwoną, żółtą i zieloną oraz urealnionych procedur dla dydaktyki i administracji (Student 3 lub Student 2).
• Podsumowanie i dyskusja (2 min): Wady i zalety modelu strefowego, odbudowa kultury zaufania i cyberhigieny wśród studentów i naukowców (cały zespół).

Pisemne opracowanie referatu (4-6 stron A4) obejmuje:

A. Odpowiedzi na pytania problemowe i diagnoza:

• W jaki sposób zjawisko psychologiczne reaktancji (oporu przeciw nadmiernym restrykcjom) prowadzi w organizacji do powstawania niekontrolowanego środowiska Shadow IT?
• Dlaczego separacja logiczna i fizyczna sieci dydaktycznej od administracyjnej jest najskuteczniejszym środkiem umożliwiającym studentom swobodę eksperymentowania bez narażania danych uczelni?
• Jakie wymogi prawne nakłada par. 20 KRI na uczelnię publiczną w zakresie inwentaryzacji oprogramowania i analizy ryzyka systemów obsługi toku studiów?

B. Wzorcowy Raport z Analizy i Projekt Nowej Polityki:

• Karta oceny adekwatności zapisów: Analiza 10 restrykcji dotychczasowej polityki z oceną ich wpływu na dydaktykę i bezpieczeństwo.
• Nowa Architektura Polityki Bezpieczeństwa Informacji ANS:
  • Filozofia działania: "Bezpieczeństwo przez segmentację, a nie przez powszechny zakaz".
  • Regulamin bezpiecznego korzystania ze Strefy Dydaktycznej: swobodny dostęp do Internetu i narzędzi programistycznych; izolacja stacji laboratoryjnych; prawo studenta do pobierania bibliotek; mechanizm przywracania czystego obrazu systemu przy każdym wylogowaniu.
  • Regulamin Bezpieczeństwa Danych w Strefie Administracyjnej (USOS/SAP): imienne konta z wymogiem MFA; bezwzględny zakaz eksportu baz studentów na prywatne skrzynki; szyfrowane laptopy służbowe dla pracowników dziekanatu pracujących hybrydowo.
  • Zasady dla sieci gościnnej i eduroam: uwierzytelnianie standardem 802.1X, izolacja klientów sieci bezprzewodowej (Client Isolation), blokada ruchu w stronę podsieci administracyjnej.

C. Wady i zalety proponowanego rozwiązania:

• Zalety: Przywrócenie możliwości normalnego prowadzenia zajęć dydaktycznych i badań; likwidacja nielegalnych routerów LTE i powrót personelu do oficjalnych kanałów; rzetelna ochrona danych osobowych studentów w USOS; budowa partnerskiej kultury bezpieczeństwa.
• Wady i koszty: Konieczność rekonfiguracji przełączników sieciowych i wdrożenia zaawansowanego routingu z regułami firewall dla wielu VLAN; koszty zakupu oprogramowania do automatycznego resetowania stacji laboratoryjnych.

• Norma PN-EN ISO/IEC 27001:2022 - Systemy zarządzania bezpieczeństwem informacji (kontrole A.8.20 Bezpieczeństwo sieci, A.8.22 Separacja sieci, A.5.1 Polityki bezpieczeństwa).
• Ustawa z dnia 20 lipca 2018 r. - Prawo o szkolnictwie wyższym i nauce (Dz.U. z 2023 r. poz. 742 z późn. zm.).
• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności (...) (Dz.U. z 2024 r. poz. 773).
• Porozumienie eduroam Polska / Poznańskie Centrum Superkomputerowo-Sieciowe (PCSS): "Zasady bezpiecznego korzystania z ogólnopolskiej sieci akademickiej eduroam", Poznań 2023.
• Urząd Ochrony Danych Osobowych: "Przetwarzanie danych osobowych w uczelniach wyższych. Praktyczny przewodnik", Warszawa 2022.
• NIST Special Publication 800-162: "Guide to Attribute Based Access Control (ABAC) Definition and Considerations".

• U2 Student potrafi zdiagnozować dysfunkcje wynikające z nadmiernie rygorystycznej polityki bezpieczeństwa i zjawisko Shadow IT.
• U1 Student projektuje architekturę bezpieczeństwa opartą na segmentacji strefowej dostosowaną do specyfiki środowiska akademickiego.
• U3 Student szacuje ryzyka i równoważy potrzeby dydaktyczno-naukowe z koniecznością rygorystycznej ochrony systemów bazodanowych (USOS/SAP).
• W2W3 Student rozumie zasady separacji sieci i kontroli dostępu wg ISO 27001 oraz wymogi prawne stawiane uczelniom publicznym.
• K1K2 Student rozwija umiejętność konstruktywnego dialogu ze społecznością organizacji w celu budowy skutecznych i akceptowanych reguł bezpieczeństwa.

Celem zadania jest nabycie przez studentów umiejętności przeprowadzania specjalistycznej analizy Polityki Bezpieczeństwa Informacji w firmie programistycznej (Software House) tworzącej oprogramowanie dla sektora medycznego. Studenci uczą się weryfikować procedury bezpiecznego cyklu wytwarzania oprogramowania (Secure Software Development Life Cycle - Secure SDLC), zarządzać bezpieczeństwem repozytoriów kodu źródłowego, secret managementem oraz procedurami testowania podatności i audytu komponentów open-source (Software Bill of Materials - SBOM), w świetle wymagań normy PN-EN ISO/IEC 27001:2022 (kontrole A.8.25-A.8.32) oraz standardu OWASP SAMM.

Powiązanie z sylabusem i treściami programowymi:

• U2 Identyfikacja krytycznych luk w procedurach tworzenia oprogramowania, zarządzania zmianą (Change Management) i ochronie repozytoriów kodu.
• U1 Opracowanie kompleksowej Polityki Bezpiecznego Cyklu Wytwarzania Oprogramowania (Secure SDLC Policy) dla zespołów developerskich.
• U3 Przeprowadzenie analizy ryzyka wprowadzenia podatności i luk bezpieczeństwa (np. SQL Injection, backdoor) do aplikacji szpitalnych.
• U4 Przygotowanie referatu i prezentacja założeń modelu DevSecOps przed grupą laboratoryjną.
• W2 Dogłębna znajomość kontroli technicznych ISO/IEC 27001:2022 dotyczących rozwoju aplikacji (A.8.25-A.8.32) oraz wytycznych normy ISO/IEC 27034.
• W3 Zrozumienie europejskich regulacji Cyber Resilience Act (CRA) oraz dyrektywy NIS2 w odniesieniu do dostawców produktów cyfrowych.
• K1K3 Profesjonalizm inżynierski i odpowiedzialność za bezpieczeństwo kodu ratującego zdrowie i życie pacjentów.
• Powiązanie z wykładem: Wyk1 (Zarządzanie bezpieczeństwem w IT), Wyk3 (Kontrole A.8 - Bezpieczeństwo aplikacji), Wyk6 (Analiza podatności kodu), Wyk7 (Niezgodności w procesach wytwórczych).

Firma "MedSoft Healthcare Solutions Sp. z o.o." tworzy i wdraża oprogramowanie medyczne dla ponad 40 polskich szpitali i 150 laboratoriów analitycznych (systemy klasy HIS, LIS i PACS). Firma zatrudnia 60 inżynierów oprogramowania, testerów, architektów chmury i specjalistów DevOps. Kod źródłowy aplikacji rozwijany jest w chmurowych repozytoriach GitHub Enterprise i wdrażany na serwery klientów przez automatyczne potoki CI/CD.

Stan zastałej dokumentacji i praktyk deweloperskich:

• W spółce obowiązuje dokument "Polityka Bezpieczeństwa Informacji MedSoft", przyjęty 4 lata temu. Podobnie jak w typowych firmach handlowych, 80% polityki poświęcono zasadom ochrony biura, zamykaniu szaf, niszczeniu dokumentów papierowych oraz zasadom noszenia identyfikatorów.
• W całej polityce znajduje się zaledwie jeden ogólnikowy paragraf dotyczący tworzenia oprogramowania: "Programiści zobowiązani są pisać kod starannie, zgodnie z najlepszą wiedzą inżynierską, i unikać błędów".
• Polityka nie zawiera żadnych wymogów dotyczących bezpiecznego cyklu wytwarzania (Secure SDLC): brak standardu bezpiecznego kodowania (np. wytycznych OWASP Top 10), brak wymogu automatycznych testów bezpieczeństwa kodu (SAST/DAST) w potokach CI/CD, brak procedury weryfikacji podatności w zewnętrznych bibliotekach open-source (SCA/SBOM).
• W toku wstępnej inspekcji wykryto, że programiści wklejają na sztywno klucze API do baz produkcyjnych i hasła roota (ang. Hardcoded Secrets) bezpośrednio do kodu w repozytoriach, a w środowiskach testowych powszechnie wykorzystuje się rzeczywiste bazy danych z PESEL-ami i historią chorób skopiowane z wdrożeń w szpitalach bez anonimizacji.
• W repozytoriach brak jest wymogu przeglądu kodu przez drugiego programistę (Code Review) przed scaleniem zmian do gałęzi produkcyjnej (Branch Protection Rules).

Dyrektor R&D, po zablokowaniu instalacji aktualizacji w jednym ze szpitali przez system EDR wykrywający podejrzane podatności w bibliotekach MedSoft, zleca audytorom gruntowną analizę polityki i opracowanie standardu Secure SDLC.

Praca w zespole 2-3 osobowym polega na audycie procesu programistycznego i zaprojektowaniu standardu DevSecOps:

• Krok 1 (Podział ról w grupie analitycznej):

  Student 1 (Audytor Wiodący / Architekt Procesów Wytwórczych): Bada organizację procesu wytwarzania (Scrum/Agile), strukturę ról w zespołach deweloperskich i zgodność z normą ISO/IEC 27034.

  Student 2 (Audytor Bezpieczeństwa Aplikacji i Potoków CI/CD): Analizuje bezpieczeństwo repozytoriów kodu, testy statyczne i dynamiczne (SAST/DAST), zarządzanie sekretami (Vault) oraz ochronę potoków CI/CD.

  Student 3 (Audytor Zgodności Regulacyjnej i Łańcucha Dostaw): Bada zgodność z kontrolami A.8.25-A.8.32 normy ISO 27001, wymogi Cyber Resilience Act (CRA), zarządzanie bibliotekami zewnętrznymi (SBOM) i anonimizację danych testowych (art. 32 RODO). W grupie 2-osobowej zadania te dzielą Studenci 1 i 2.

• Krok 2 (Analiza zastałej polityki w odniesieniu do Załącznika A normy ISO/IEC 27001:2022):

  Zestawcie zastały dokument z 8 specyficznymi kontrolami wytwórczymi:

  • A.8.25: Bezpieczny cykl życia systemów.
  • A.8.26: Wymagania bezpieczeństwa aplikacji.
  • A.8.27: Architektura i zasady inżynierii bezpiecznych systemów.
  • A.8.28: Bezpieczne kodowanie.
  • A.8.29: Testowanie bezpieczeństwa przy wdrażaniu.
  • A.8.30: Rozwój outsourcingowy.
  • A.8.31: Rozdzielenie środowisk deweloperskich, testowych i produkcyjnych.
  • A.8.32: Zarządzanie zmianą.
• Krok 3 (Identyfikacja krytycznych zagrożeń w kodzie):

  Wykażcie ryzyko wynikające z używania prawdziwych danych pacjentów w testach (rażące naruszenie RODO) oraz przechowywania haseł w repozytorium (ryzyko przejęcia bazy szpitala w razie wycieku kodu).

• Krok 4 (Klasyfikacja niezgodności):

  Wykorzystywanie niezaanonimizowanych danych medycznych w testach zaklasyfikujcie jako Niezgodność Krytyczną (NC1), brak kontroli i ochrony gałęzi produkcyjnych repozytorium jako Niezgodność Krytyczną (NC1), brak automatycznych testów bezpieczeństwa SAST/SCA jako Niezgodność Większą (NC2).

• Krok 5 (Opracowanie Polityki Bezpiecznego Cyklu Wytwarzania Oprogramowania):

  Zaprojektujcie ramy standardu DevSecOps:

  • Obowiązek stosowania wytycznych OWASP Top 10 i OWASP ASVS na etapie projektowania.
  • Wdrożenie automatycznego skanowania kodu narzędziami SAST i wykrywania sekretów (Secret Scanning) przed każdym commitem (pre-commit hooks).
  • Zasada 4 oczu (Peer Code Review) i blokada bezpośredniego pusha do gałęzi main.
  • Generowanie i weryfikacja Software Bill of Materials (SBOM) pod kątem znanych podatności CVE.
  • Obowiązek syntetyzowania lub bezwzględnej anonimizacji danych używanych w testach.

Plan wystąpienia seminaryjnego (10 minut):

• Wprowadzenie (2 min): Rola bezpieczeństwa oprogramowania w ochronie zdrowia - dlaczego błąd w kodzie HIS może bezpośrednio zagrozić życiu pacjenta (Student 1).
• Diagnoza patologii deweloperskich w MedSoft (3 min): Przedstawienie rażących braków w polityce: brak wytycznych kodowania, sekrety w repozytoriach, żywe dane pacjentów w testach (Student 2).
• Prezentacja nowej Polityki Secure SDLC (3 min): Omówienie integracji bezpieczeństwa z potokami CI/CD (DevSecOps), zasad ochrony gałęzi repozytoriów i standardu SBOM (Student 3 lub Student 2).
• Podsumowanie, bilans korzyści i trudności (2 min): Analiza wad i zalet, koszty wdrożenia narzędzi SAST/SCA, perspektywa spełnienia unijnego aktu CRA (cały zespół).

Pisemne opracowanie referatu (4-6 stron A4) obejmuje:

A. Odpowiedzi na pytania problemowe i diagnoza:

• W jaki sposób brak procedur Secure SDLC w firmie programistycznej przenosi bezpośrednie ryzyko cyberataku (np. Supply Chain Attack) na szpitale korzystające z jej aplikacji?
• Dlaczego wykorzystywanie rzeczywistych danych pacjentów ze szpitali w środowiskach testowych stanowi rażące naruszenie zasad celowości i minimalizacji danych (art. 5 RODO) i jak generować syntetyczne dane testowe?
• Czym jest Software Bill of Materials (SBOM) i dlaczego unijny akt Cyber Resilience Act nakazuje producentom oprogramowania ciągłe zarządzanie podatnościami w komponentach zewnętrznych?

B. Wzorcowy Raport z Analizy i Projekt Polityki Secure SDLC:

• Macierz analizy luki dla kontroli A.8.25-A.8.32 normy ISO/IEC 27001:2022 w MedSoft.
• Projekt dokumentu: "Polityka Bezpiecznego Cyklu Życia Oprogramowania i Ochrony Kodu Źródłowego":
  • Faza Wymagań i Architektury: Modelowanie zagrożeń (Threat Modeling) dla każdego nowego modułu medycznego.
  • Faza Implementacji: Zakaz umieszczania danych uwierzytelniających w kodzie (obowiązek korzystania z dedykowanych menedżerów sekretów); obowiązkowe szkolenia z bezpiecznego kodowania OWASP.
  • Faza Weryfikacji: Automatyczne bramki jakościowe w CI/CD (Quality Gates): testy SAST (brak podatności o krytyczności High/Critical), testy SCA (brak bibliotek z podatnościami o CVSS > 7.0), testy jednostkowe z pokryciem min. 75%.
  • Bezpieczeństwo Repozytorium: Wymuszenie MFA dla wszystkich deweloperów, zasada zatwierdzania Pull Requestów przez minimum jednego senior developera, ochrona gałęzi release/main.
  • Zarządzanie Środowiskami: Bezwzględny zakaz kopiowania danych produkcyjnych do środowisk deweloperskich; generator danych syntetycznych.

C. Wady i zalety proponowanego rozwiązania:

• Zalety: Wyeliminowanie podatności na wczesnym etapie tworzenia oprogramowania (Shift-Left Security); redukcja kosztów usuwania błędów; ochrona renomy dostawcy i bezpieczeństwa szpitali; zgodność z ISO 27001 i europejskim aktem CRA.
• Wady i trudności: Początkowe spowolnienie tempa wypuszczania nowych funkcji (Time-to-Market); koszty zakupu zaawansowanych skanerów kodu i sekretów; konieczność przeszkolenia i przełamania oporu programistów.

• Norma PN-EN ISO/IEC 27001:2022 - Systemy zarządzania bezpieczeństwem informacji (kontrole A.8.25, A.8.26, A.8.27, A.8.28, A.8.29, A.8.30, A.8.31, A.8.32).
• Norma PN-EN ISO/IEC 27034-1:2011, ISO/IEC 27034-2:2015, ISO/IEC 27034-3:2018, ISO/IEC 27034-5:2017 - Bezpieczeństwo aplikacji (części 1, 2, 3 i 5).
• OWASP (Open Web Application Security Project): "Software Assurance Maturity Model (SAMM) v2.0", 2020.
• OWASP Top 10: "The Ten Most Critical Web Application Security Risks", 2021.
• Rozporządzenie Parlamentu Europejskiego i Rady w sprawie horyzontalnych wymogów cyberbezpieczeństwa dla produktów z elementami cyfrowymi (Cyber Resilience Act - CRA), 2024.
• NIST Special Publication 800-218: "Secure Software Development Framework (SSDF) Version 1.1", 2022.

• U2 Student trafnie diagnozuje luki proceduralne w cyklu wytwarzania oprogramowania i zarządzania repozytoriami kodu.
• U1 Student umie zaprojektować kompleksową politykę Secure SDLC integrującą bramki bezpieczeństwa z potokami CI/CD.
• U3 Student szacuje ryzyka związane z podatnościami w kodzie źródłowym i bibliotekach firm trzecich w kontekście oprogramowania medycznego.
• W2W3 Student rozumie szczegółowe wymagania kontroli deweloperskich normy ISO 27001, standardów OWASP oraz unijnego aktu CRA.
• K1K3 Student rozwija profesjonalną etykę inżynierską i odpowiedzialność za jakość oraz odporność systemów IT.

Głównym celem zadania jest wykształcenie u studentów umiejętności przeprowadzania wszechstronnej analizy Polityki Bezpieczeństwa Informacji miejskiej spółki komunalnej w kluczowych domenach reagowania na incydenty bezpieczeństwa informacji (Incident Management) oraz zarządzania ciągłością działania (Business Continuity Planning - BCP) i awaryjnego odzyskiwania danych po katastrofie (Disaster Recovery Planning - DRP). Zadanie przygotowuje do identyfikacji braków proceduralnych uniemożliwiających terminowe wywiązanie się z obowiązków zgłaszania naruszeń ochrony danych do Prezesa UODO (art. 33-34 RODO) oraz paraliżujących funkcjonowanie miasta w przypadku ataku typu ransomware.

Powiązanie z sylabusem i treściami programowymi:

• U2 Identyfikacja braków definicyjnych, braku procedur eskalacji, braku planów awaryjnych i testów ciągłości działania w polityce.
• U1 Zaprojektowanie kompletnej procedury zarządzania incydentami bezpieczeństwa informacji i ramowego planu BCP/DRP.
• U3 Ocena ryzyka operacyjnego, finansowego i prawnego w przypadku paraliżu systemów billingowych i logistycznych spółki komunalnej.
• U4 Opracowanie referatu oraz raportu analitycznego prezentowanego w ramach zaliczenia laboratoryjnego.
• W1 Biegła znajomość art. 33 i 34 RODO (zgłaszanie naruszeń w 72h, zawiadamianie osób, których dane dotyczą).
• W2 Znajomość kontroli ISO/IEC 27001:2022 dotyczących incydentów (A.5.24-A.5.28) oraz ciągłości działania (A.5.29, A.5.30), a także normy ISO 22301.
• K1K2 Świadomość wagi ciągłości świadczenia usług komunalnych dla codziennego funkcjonowania mieszkańców i higieny publicznej.
• Powiązanie z wykładem: Wyk1 (Incydenty w ISMS), Wyk3 (Kontrole A.5.24-A.5.30), Wyk4 (RODO i KRI - zgłaszanie naruszeń), Wyk7 (Raportowanie incydentów i wnioski poincydentalne).

Przedsiębiorstwo Usług Komunalnych "Eko-Miasto Sp. z o.o." w 100-tysięcznym mieście odpowiada za odbiór odpadów komunalnych, utrzymanie czystości ulic, zarządzanie wysypiskiem i sortownią śmieci, administrowanie cmentarzami komunalnymi oraz prowadzenie schroniska dla zwierząt. Spółka zatrudnia 240 pracowników (w tym 45 pracowników biurowych, dyspozytorów i logistyków). Obsługuje bazy danych ponad 35 000 gospodarstw domowych i przedsiębiorstw (dane billingowe, numery kont, numery PESEL, zaległości płatnicze) oraz zarządza flotą 60 pojazdów specjalistycznych wyposażonych w systemy lokalizacji GPS i wagi elektroniczne.

Stan zastałej dokumentacji i infrastruktury:

• Obowiązująca w spółce "Polityka Bezpieczeństwa Informacji Eko-Miasto" została opracowana 5 lat temu. Rozdział dotyczący incydentów składa się z zaledwie jednego zdania: "W przypadku wystąpienia nieprawidłowości, wirusa komputerowego lub awarii sprzętu, pracownik ma obowiązek niezwłocznie poinformować o tym fakcie informatyka spółki telefonicznie lub ustnie".
• W całej dokumentacji brak jest jakiejkolwiek definicji incydentu bezpieczeństwa informacji, brak kryteriów kategoryzacji (np. incydent niski, średni, krytyczny), brak formularza zgłoszeniowego, brak wyznaczonego Zespołu Reagowania na Incydenty oraz całkowity brak rejestru incydentów i naruszeń.
• Spółka nie posiada żadnego planu ciągłości działania (BCP) ani procedury odtwarzania systemów po katastrofie (DRP). Kopie zapasowe baz billingowych i logistycznych wykonywane są wprawdzie codziennie, ale zapisywane na dysku NAS stojącym w tym samym pokoju co główny serwer, spiętym z nim w jedną sieć logiczną bez separacji. W spółce nigdy nie przeprowadzono próbnego odtworzenia danych z kopii zapasowej.
• W trakcie symulowanego wywiadu z jedynym zatrudnionym informatykiem okazało się, że nie zna on ustawowego terminu 72 godzin na zgłoszenie naruszenia do UODO, a w razie zaszyfrowania dysków przez ransomware zamierzałby "zrobić format i sprawdzić, co da się uratować".

Prezes Zarządu, po fali doniesień o atakach ransomware na polskie przedsiębiorstwa komunalne paraliżujących wywóz śmieci w sąsiednich miastach, zleca audytorom analizę obecnej polityki i stworzenie profesjonalnych ram zarządzania incydentami i ciągłością działania.

Praca w zespole 2-3 osobowym polega na wszechstronnym audycie luk w procedurach awaryjnych i sformułowaniu planu BCP/DRP:

• Krok 1 (Podział ról w grupie analitycznej):

  Student 1 (Audytor Wiodący / Analityk Ciągłości Biznesowej): Bada procesy biznesowe spółki, przeprowadza analizę wpływu na biznes (Business Impact Analysis - BIA) i kieruje pracami.

  Student 2 (Audytor Zabezpieczeń Technicznych i Odzyskiwania Danych): Analizuje architekturę kopii zapasowych (reguła 3-2-1), procedury Disaster Recovery (DRP), wskaźniki RTO i RPO oraz zabezpieczenie kopii przed ransomware (kopie niezmienne - WORM / offline).

  Student 3 (Audytor Incydentów i Zgodności Prawnej RODO): Projektuje procedurę klasyfikacji incydentów, rejestr naruszeń ochrony danych osobowych oraz ścieżkę powiadamiania Prezesa UODO w terminie 72 godzin. W grupie 2-osobowej rolę tę realizują Studenci 1 i 2.

• Krok 2 (Analiza dysfunkcji zastałej polityki incydentów):

  Wypiszcie w punktach konsekwencje braku formalnej procedury incydentowej w świetle kontroli A.5.24-A.5.28 normy ISO/IEC 27001:2022: brak możliwości oceny ryzyka dla praw i wolności osób, utrata dowodów cyfrowych, przekroczenie 72-godzinnego terminu zgłoszenia naruszenia do UODO.

• Krok 3 (Identyfikacja luki w kopiach zapasowych i BCP):

  Zbadajcie stan kopii zapasowych w świetle kontroli A.8.13 (Kopie zapasowe) i A.5.29-A.5.30 (Ciągłość ICT): wykażcie, dlaczego trzymanie backupu na wspólnym dysku NAS w tej samej sieci gwarantuje, że ransomware zaszyfruje równocześnie serwer produkcyjny i kopię zapasową.

• Krok 4 (Klasyfikacja niezgodności):

  Sklasyfikujcie: brak procedury zgłaszania naruszeń do UODO w 72h jako Niezgodność Krytyczną (NC1), podatność systemu kopii zapasowych na całkowite zniszczenie w jednym ataku jako Niezgodność Krytyczną (NC1), brak planu BCP/DRP i wskaźników RTO/RPO jako Niezgodność Większą (NC2).

• Krok 5 (Opracowanie Kompleksowej Procedury Zarządzania Incydentami i Planu BCP):

  Zaprojektujcie:

  • 5-etapowy proces obsługi incydentu: Wykrycie -> Wstępna ocena i izolacja -> Analiza i powiadomienia (w tym formularz UODO w 72h) -> Usunięcie skutków i przywrócenie systemów -> Wnioski poincydentalne (Lessons Learned).
  • Rejestr incydentów bezpieczeństwa informacji i naruszeń ochrony danych.
  • Strategię kopii zapasowych w regule 3-2-1-1-0 (3 kopie, 2 różne nośniki, 1 poza siedzibą, 1 niezmienna/offline, 0 błędów weryfikacji).
  • Ramowy plan ciągłości działania (BCP) dla procesu odbioru odpadów: procedura ręcznego dysponowania śmieciarkami w razie awarii GPS/IT.

Plan wystąpienia seminaryjnego (10 minut):

• Wprowadzenie (2 min): Rola przedsiębiorstwa komunalnego w infrastrukturze miejskiej - dlaczego paraliż IT w Eko-Miasto może doprowadzić do kryzysu sanitarnego w mieście (Student 1).
• Krytyczny audyt procedur awaryjnych (3 min): Przedstawienie fikcyjnego "jednozdaniowego" zapisu polityki, iluzji kopii zapasowych na wspólnym NAS i braku świadomości RODO (Student 3 lub Student 1).
• Prezentacja nowej Procedury Incydentowej i Planu DRP/BCP (3 min): Omówienie 5 faz reakcji na incydent, wskaźników RTO/RPO, reguły backupu odpornej na ransomware oraz planu ręcznego sterowania flotą (Student 2).
• Podsumowanie, analiza wad i zalet (2 min): Bilans korzyści z odporności operacyjnej, koszty wdrożenia chmurowego backupu offline i regularnych ćwiczeń symulacyjnych (cały zespół).

Pisemne opracowanie referatu (4-6 stron A4) obejmuje:

A. Odpowiedzi na pytania problemowe i uwarunkowania prawne:

• W jakich okolicznościach administrator danych ma obowiązek powiadomić o naruszeniu ochrony danych osobowych nie tylko Prezesa UODO (w 72h), lecz także bezpośrednio osoby, których dane dotyczą (art. 34 RODO)?
• Czym różnią się od siebie wskaźniki RTO (Recovery Time Objective) oraz RPO (Recovery Point Objective) i jakie wartości tych parametrów są realistyczne i krytyczne dla spółki komunalnej?
• Dlaczego tradycyjny backup podłączony na stałe do sieci nie stanowi skutecznego zabezpieczenia przed nowoczesnymi atakami typu Ransomware operowanymi przez człowieka (Human-Operated Ransomware)?

B. Wzorcowy Raport z Analizy i Projekt Nowych Procedur Awaryjnych:

• Tabela oceny dojrzałości zarządzania incydentami i ciągłością działania wg skali CMMI (ocena poziomu zastałego: 1 - początkowy/chaotyczny).
• Projekt dokumentu: "Procedura Zarządzania Incydentami Bezpieczeństwa Informacji i Naruszeniami Ochrony Danych w Eko-Miasto":
  • Kategoryzacja incydentów: P1 - Krytyczny (atak ransomware, wyciek bazy klientów, pożar serwerowni), P2 - Poważny (niedostępność modułu billingowego, utrata jednego serwera), P3 - Zwykły (infekcja pojedynczej stacji, spam/phishing bez kliknięcia).
  • Skład i uprawnienia Zespołu Reagowania na Incydenty (Informatyk, IOD, Radca Prawny, Rzecznik Prasowy pod przewodnictwem Członka Zarządu).
  • Karta zgłoszenia incydentu i matryca decyzyjna zgłoszenia do UODO.
• Projekt dokumentu: "Plan Ciągłości Działania (BCP) i Odtwarzania Awaryjnego (DRP) Kluczowych Procesów":
  • Zdefiniowanie RTO = 8 godzin oraz RPO = 4 godziny dla bazy billingowo-logistycznej.
  • Wdrożenie reguły backupu 3-2-1 z kopią w chmurze z mechanizmem blokady zapisu (Object Lock - WORM) uniemożliwiającym skasowanie danych przez ransomware.
  • Procedura działania awaryjnego (Fall-back): wydrukowane raz na dobę trasy śmieciarek i listy adresowe umożliwiające wywóz odpadów bez działającego systemu informatycznego.
  • Harmonogram testów: obowiązkowy test odtworzenia danych z kopii zapasowej co kwartał oraz symulacja ataku ransomware raz w roku.

C. Wady i zalety proponowanego rozwiązania:

• Zalety: Pełne zabezpieczenie ciągłości odbioru odpadów w mieście; eliminacja ryzyka milionowych kar od UODO za zatajenie lub spóźnione zgłoszenie wycieku; wysoka odporność na szantaż ransomware; przejrzyste procedury dla załogi.
• Wady i koszty: Koszt dzierżawy bezpiecznej przestrzeni chmurowej na backup niezmienny (immutable backup); konieczność poświęcenia czasu pracy personelu na cykliczne ćwiczenia i testy odzyskiwania danych.

• Norma PN-EN ISO/IEC 27001:2022 - Systemy zarządzania bezpieczeństwem informacji (kontrole A.5.24-A.5.28 Zarządzanie incydentami oraz A.5.29-A.5.30 Ciągłość działania).
• Norma PN-EN ISO/IEC 27035-1:2023 i ISO/IEC 27035-2:2023 - Zarządzanie incydentami bezpieczeństwa informacji.
• Norma PN-EN ISO 22301:2020 - Bezpieczeństwo powszechne i operacyjne - Systemy zarządzania ciągłością działania - Wymagania.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO): art. 33 (zgłaszanie naruszenia organowi nadzorczemu), art. 34 (zawiadamianie osoby).
• Urząd Ochrony Danych Osobowych: "Wytyczne dotyczące zgłaszania naruszeń ochrony danych osobowych na podstawie przepisów RODO", Warszawa 2023.
• CSIRT NASK: "Ransomware - poradnik zapobiegania i reagowania na ataki szyfrujące dla podmiotów komunalnych", Warszawa 2023.

• U2 Student bezbłędnie identyfikuje luki w planach ciągłości działania oraz procedurach reagowania na incydenty bezpieczeństwa.
• U1 Student projektuje wieloetapową procedurę reagowania na incydenty oraz ramowy plan BCP/DRP ze wskaźnikami RTO/RPO.
• U3 Student szacuje ryzyka przestoju usług komunalnych i konsekwencje ataku ransomware na bazy danych mieszkańców.
• W1W2 Student zna szczegółowe rygory prawne powiadamiania o naruszeniach w reżimie RODO oraz standardy ISO 27001 i ISO 22301.
• K1K2 Student wykazuje determinację, profesjonalizm i opanowanie niezbędne do sprawnego zarządzania sytuacją kryzysową w podmiocie użyteczności publicznej.