Laboratorium 3

Wymagania ogólne i zasady zaliczenia (ocena 5.0)

Przedmiot zadań

Zgodnie z sylabusem przedmiotu Audyt bezpieczeństwa informacji (kierunek Informatyka i ekonometria, specjalność Bezpieczeństwo informacji, studia pierwszego stopnia, semestr 7; wykład 15 godz., laboratorium 24 godz., 5 pkt ECTS) zaliczenie zadania laboratoryjnego na ocenę 5.0 wymaga: strategicznej dekompozycji zastanej dokumentacji polityki bezpieczeństwa na wymagania atomowe i zmapowania ich na obowiązujące regulacje, wykrycia luk oraz sprzeczności, oszacowania ryzyka w 25-stopniowej matrycy 5 × 5 (ryzyko inherentne IR i rezydualne RR), sformalizowania ustaleń w modelu 4C (Condition, Criteria, Cause, Consequence) z dochodzeniem przyczyny źródłowej metodą 5 Why, wyznaczenia wskaźników ciągłości działania (RTO, RPO, MTPD), skonstruowania trójfazowego Planu Działań Korygujących (CAP) w fazach 0–7, 30 i 90 dni z właścicielami RACI, mierzalnymi wskaźnikami KPI/KRI i budżetem, a także opracowania sformalizowanego projektu nowelizacji polityki lub procedury oraz jednostronicowego Podsumowania Zarządcze w formacie Pitch to Board.

Praca odbywa się w zespołach 2–3 osobowych, które tworzą Triadę Audytorską: Rola A – Audytor wiodący (ład prawny i dekompozycja polityki), Rola B – Audytor zabezpieczeń technicznych (weryfikacja wykonalności zapisów), Rola C – Audytor ryzyka i zgodności (luki, plan działań i wskaźniki). W zespole dwuosobowym zadania Roli C przejmują wspólnie studenci pełniący Role A i B. Wszystkie dziesięć studiów przypadku różni się branżą i reżimem regulacyjnym — od podmiotu kluczowego NIS2 w ochronie zdrowia, przez samorząd objęty KRI, bank spółdzielczy podlegający DORA, operatora infrastruktury krytycznej, logistykę z automatyką i IoT, bankowość jako usługę (BaaS), HPC i badania Dual-Use, koncern farmaceutyczny i produkcję specjalną, aż po biuro informacji gospodarczej — ale ma tę samą strukturę analityczną i ten sam układ dowodowy. Zespół wybiera jedno studium przypadku i pracuje nad nim przez cały czas ćwiczeń.

Wymogi formalne raportu

Dokument PDF o objętości 12–16 stron znormalizowanego maszynopisu A4 (przy założeniu 300 słów na stronę, czyli 3600–4800 słów), zawierający stronę tytułową z nazwą uczelni i wydziału, kierunkiem i specjalnością, nazwą przedmiotu, kodem Lab3, numerem i pełnym tytułem wybranego zadania oraz składem zespołu z przydzielonymi rolami analitycznymi, a w szczególności:

jednostronicowe Podsumowanie Zarządcze (Pitch to Board) z decyzjami, o które zespół wnosi, i uzasadnieniem inwestycji;
charakterystykę badanego podmiotu oraz inwentaryzację zastanej dokumentacji polityki z oznaczeniem wersji, właścicieli i dat;
dekompozycję polityki na wymagania atomowe oraz macierz mapowania każdego wymagania na NIS2, ustawę o KSC, RODO, AI Act, DORA, rozporządzenie KRI i normę ISO/IEC 27001:2022;
rejestr luk, sprzeczności i braków wraz z macierzą ryzyka 5 × 5 — ryzyko inherentne (IR) i rezydualne (RR) — z uzasadnieniem przyznanych wartości P i S oraz opisem kontroli mitygujących;
karty ustaleń w modelu 4C z referencją do przepisów i norm oraz protokołem dochodzenia przyczyny metodą 5 Why dla każdego uchybienia krytycznego;
projekt nowelizacji polityki lub specjalistycznej procedury operacyjnej — nowe brzmienie zapisów, zakres odpowiedzialności i uzasadnienie każdej zmiany;
trójfazowy Plan Działań Korygujących (CAP) w fazach 0–7, 30 i 90 dni w ujęciu tabelarycznym: działanie, właściciel RACI, wskaźnik KPI/KRI, termin i budżet, wraz z parametrami BCM (RTO, RPO, MTPD) dla zasobów krytycznych;
analizę zalet, wad, ryzyk wdrożeniowych i kosztów TCO oraz wykaz źródeł normatywnych, prawnych i literaturowych.

Referat kończy się 15-minutową ustną obroną koncepcji przed komisją symulującą Zarząd podmiotu, w której aktywny udział bierze każdy członek zespołu. Zespół odpowiada następnie na 3–4 dociekliwe pytania kontrolne prowadzącego: o uzasadnienie wag w matrycy 5 × 5, o parametry BCM, o wykonalność planu CAP oraz o reakcję na potencjalne spory interpretacyjne.

Kryteria oceny merytorycznej raportu i obrony

Kryterium	Waga	Co jest oceniane
Poprawność dekompozycji i analizy ryzyka 5 × 5	25%	Trafność rozbicia dokumentacji na wymagania atomowe, kompletność macierzy mapowania na regulacje, uzasadnienie wartości P i S, wyliczenie ryzyka inherentnego i rezydualnego oraz trafne wyznaczenie parametrów RTO, RPO i MTPD dla zasobów krytycznych.
Jakość kart ustaleń 4C i analizy przyczyn 5 Why	25%	Rozróżnienie stanu faktycznego od objawu, wskazanie podstawy normatywnej lub prawnej każdego ustalenia oraz dotarcie w analizie przyczyn do przyczyny źródłowej w ładzie korporacyjnym, a nie do objawu technicznego.
Jakość planu CAP i projektu nowelizacji	25%	Czy projekt nowelizacji wynika wprost z przyczyn źródłowych, czy plan działań ma realne terminy 0–7, 30 i 90 dni, właścicieli wskazanych stanowiskami, mierzalne KPI/KRI oraz budżet, a koszty TCO są oszacowane.
Poziom Podsumowania Zarządczego i obrony ustnej	25%	Czy Podsumowanie Zarządcze wskazuje decyzję do podjęcia, koszt i termin, a w obronie zespół posługuje się terminologią normatywną, zachowuje kulturę słowa i odpiera obiekcje prowadzącego.

Co odróżnia ocenę 5.0 od ocen niższych

Zespół dekomponuje politykę do wymagań atomowych, a nie do ogólnych haseł: każdy zapis ma właściciela, wersję i wskazane powiązanie z konkretnym obowiązkiem prawnym.
Wagi w matrycy 5 × 5 są uzasadnione, a ryzyko rezydualne policzone po zastosowaniu kontroli mitygujących, których skuteczność zweryfikowano, a nie zadeklarowano.
Analiza 5 Why dochodzi do przyczyny w ładzie korporacyjnym, a projekt nowelizacji wynika wprost z tej przyczyny — nie jest listą życzeń oderwaną od ustaleń.
Plan CAP ma mierzalne KPI/KRI sprawdzalne przez osobę inną niż wykonawca, a Podsumowanie Zarządcze jest napisane językiem decyzji: co się stanie, ile to kosztuje, kiedy i kto o tym decyduje.

Typowe błędy dyskwalifikujące lub obniżające ocenę

brak strategicznej dekompozycji polityki i powierzchowna analiza dokumentów zamiast rozbicia ich na wymagania atomowe;
matryca ryzyka bez uzasadnienia wag lub pomylenie stref ryzyka;
karta ustalenia bez kompletnego modelu 4C albo analiza 5 Why zatrzymana na objawach technicznych zamiast dotarcia do przyczyny źródłowej;
Plan CAP bez wskaźników KPI/KRI, bez właścicieli RACI albo z nierealistycznymi terminami;
brak parametrów RTO, RPO i MTPD dla zasobów krytycznych;
Podsumowanie Zarządcze niespełniające standardu dokumentu zarządczego albo raport krótszy niż 12 stron maszynopisu;
dominacja prezentacji jednego studenta i brak znajomości szczegółów przez pozostałych członków zespołu;
rażące błędy merytoryczne i prawne, w tym powoływanie się na akt prawny nieobowiązujący.

Organizacja czasu ćwiczenia (90 minut)

00–15 min: inwentaryzacja dokumentacji polityki i ustalenie zakresu dekompozycji. 15–40 min: rozbicie polityki na wymagania atomowe i mapowanie na regulacje. 40–70 min: rejestr luk, karty ustaleń w modelu 4C, analiza 5 Why i kwantyfikacja ryzyka w matrycy 5 × 5 wraz z parametrami BCM. 70–90 min: projekt nowelizacji, trójfazowy plan działań z KPI/KRI i budżetem, redakcja Podsumowania Zarządcego oraz obrona ustaleń. Zegar w sekcji „Harmonogram dekompozycji i nowelizacji polityki bezpieczeństwa (90 minut)” odlicza te cztery etapy.

Harmonogram dekompozycji i nowelizacji polityki bezpieczeństwa (90 minut)

Zespół rozbiera zastaną politykę bezpieczeństwa na wymagania atomowe, mapuje je na obowiązujące regulacje, wykrywa luki i sprzeczności, a następnie projektuje nowelizację wraz z planem działań. Cztery fazy kończą się obroną projektu przed komisją symulującą zarząd.

90:00

Pozostały czas ćwiczenia (cztery fazy)

Faza 1 (00-15): Inwentaryzacja dokumentacji i ustalenie zakresu deko

Przedział	Etap pracy audytorskiej	Artefakt wyjściowy
Minuty 00-15	Inwentaryzacja dokumentacji i ustalenie zakresu dekompozycji	Wykaz dokumentów polityki z oznaczeniem wersji, właścicieli, dat wejścia w życie i luk dokumentacyjnych
Minuty 15-40	Dekompozycja na wymagania atomowe i mapowanie na regulacje	Rejestr wymagań atomowych oraz macierz mapowania na NIS2, KSC, KRI, DORA, RODO i ISO/IEC 27001:2022
Minuty 40-70	Analiza luk, sprzeczności i ryzyka w matrycy 5 × 5	Karty ustaleń w modelu 4C, analiza przyczyn metodą pięciu pytań oraz matryca ryzyka wartością inherentną i rezydualną
Minuty 70-90	Projekt nowelizacji, plan działań i obrona przed zarządem	Projekt nowelizacji polityki, trójfazowy plan działań korygujących oraz jednostronicowe podsumowanie zarządcze

Triada Audytorska (podział ról) – poziom 5.0

Rola A

Audytor wiodący — ład prawny i dekompozycja polityki – Odpowiada za inwentaryzację dokumentów, rozbiór zapisów na wymagania atomowe oraz mapowanie ich na obowiązujące regulacje. Przygotowuje projekt nowelizacji i jednostronicowe podsumowanie zarządcze dla kierownictwa podmiotu.

Rola B

Audytor zabezpieczeń technicznych — weryfikacja wykonalności – Sprawdza, czy zapisane wymagania odpowiadają stanowi faktycznemu technicznemu, i wykazuje rozbieżności między polityką a konfiguracją systemów. Odpowiada za ocenę mierzalności kontroli i wskazanie zapisów niemożliwych do wyegzekwowania.

Rola C

Audytor ryzyka i zgodności — luki, plan działań i wskaźniki – Buduje macierz mapowania i rejestr luk, wycenia ryzyko w skali pięciu na pięć oraz ustala wskaźniki realizacji działań korygujących. Odpowiada za spójność projektu nowelizacji z planem działań, budżetem i terminami.

Kalkulator ryzyka luk w polityce — rejestr zagrożeń 5 × 5

Kalkulator służy do zbudowania rejestru luk i zagrożeń wynikających z dekompozycji polityki. Dla każdego wpisu zespół podaje prawdopodobieństwo i skutek przed mitygacją oraz po mitygacji, dzięki czemu porównanie wartości jest możliwe dla każdej luki.

Wymaganie atomowe lub luka w polityce (opis, nie objaw) Zagrożenie, proces lub zasób objęty wymaganiem Kontrola mitygująca wpisywana do projektu nowelizacji

Przed zastosowaniem kontroli (ryzyko inherentne, IR)

Prawdopodobieństwo P: 3 Skutek S: 3

9 Ryzyko 9/25 – strefa żółta (warunkowo akceptowalne)

Po zastosowaniu kontroli (ryzyko rezydualne, RR)

Prawdopodobieństwo P: 1 Skutek S: 3

3 Ryzyko 3/25 – strefa zielona (akceptowalne)

Wpisz zagrożenie, ustaw suwakiem prawdopodobieństwo i skutek, opisz kontrolę mitygującą, a następnie dodaj wpis do rejestru. Każdy wpis oznaczony jest w interaktywnej matrycy ryzyka w następnej sekcji.

0 zagrożeń w rejestrze

0 z ryzykiem rezydualnym w strefie czerwonej

0/25 najwyższe ryzyko inherentne

0/25 najwyższe ryzyko rezydualne

Zagrożenie	Aktyw krytyczny	P	S	IR	Kontrola mitygująca	P po	S po	RR	Usuń
Rejestr jest pusty. Dodaj pierwsze zagrożenie przyciskiem powyżej.

Skala jest wspólna dla wszystkich studiów przypadku. Prawdopodobieństwo: 1 – zdarzenie nie wystąpiło w podmiocie i nie występuje w zbliżonych podmiotach; 2 – zdarzenie pojedyncze w ostatnich dwóch latach; 3 – zdarzenie występowało kilka razy w ostatnich dwóch latach; 4 – zdarzenie występuje regularnie; 5 – zdarzenie trwa lub jest niemal pewne. Skutek mierzy się w skali pięciu poziomów od pomijalnego (1) do katastrofalnego (5), przy czym poziom 5 oznacza zagrożenie dla życia ludzkiego, przerwania usługi kluczowej lub utraty suwerenności danych. Sumowanie wartości P i S zamiast iloczynu zaburza porównywalność ryzyka, dlatego poziom ryzyka liczy się jako iloczyn.

Matryca ryzyka 5 × 5 luk dokumentacyjnych i zapisów polityki

Matryca porządkuje luki wykryte w polityce według częstotliwości naruszeń i wpływu na decyzje zarządcze. Kliknięcie komórki lub przesunięcie suwaków ujawnia poziom ryzyka i przypisaną strefę, a uzasadnienie wag zapisuje się w karcie ryzyka.

Matryca ryzyka 5 × 5: iloczyn prawdopodobieństwa (P) i skutku (S)
Skutek S \ P	P = 1	P = 2	P = 3	P = 4	P = 5
S = 5	5	10	15	20	25
S = 4	4	8	12	16	20
S = 3	3	6	9	12	15
S = 2	2	4	6	8	10
S = 1	1	2	3	4	5

13–25 – strefa czerwona (niedopuszczalne) 5–12 – strefa żółta (warunkowo akceptowalne) 1–4 – strefa zielona (akceptowalne)

Prawdopodobieństwo P: 3

Skutek S: 3

9 Ryzyko 9/25 – strefa żółta (warunkowo akceptowalne)

Przesuń suwaki lub kliknij komórkę matrycy, aby zobaczyć interpretację wybranego pola ryzyka.

Znaczenie pól matrycy w tym module

Pola wymagające decyzji zarządczej

13–25 (strefa czerwona): Ryzyko niedopuszczalne. Działanie mitygujące jest obowiązkowe, a jego wdrożenie wchodzi do pierwszej fazy planu CAP. Jeżeli ryzyko wynika z zagrożenia z listy incydentów o znaczeniu strategicznym, decyzję podejmuje najwyższe kierownictwo podmiotu.
5–12 (strefa żółta): Ryzyko warunkowo akceptowalne. Wymaga udokumentowanego uzasadnienia akceptacji oraz wyznaczenia terminu ponownej oceny nie dłuższego niż 90 dni.
1–4 (strefa zielona): Ryzyko akceptowalne. Wymaga udokumentowanej decyzji o akceptacji przez właściciela procesu; nie oznacza braku działań.

Skala prawdopodobieństwa

1 – rzadkie: Zapis jest egzekwowany, a naruszenia nie wystąpiły w ostatnich dwóch latach.
2 – mało prawdopodobne: Zapis obowiązuje, lecz punktualnie egzekwowano go, pojawiały się pojedyncze odstępstwa.
3 – możliwe: Wymaganie jest ogólne i różnie interpretowane, odstępstwa pojawiają się kilka razy w roku.
4 – prawdopodobne: Zapis jest nieaktualny lub sprzeczny z procedurą, naruszenia występują w każdym roku.
5 – częste: Zapisu brak albo jest ignorowany; naruszenia trwają i nie są rejestrowane w rejestrze zdarzeń.

Skala skutku

1 – znikomy: Luka ma znaczenie wyłącznie porządkowe i nie zmienia decyzji zarządczych ani budżetu.
2 – mały: Skutek ogranicza się do poprawki redakcyjnej lub szkolenia, bez wpływu na działanie podmiotu.
3 – średni: Luka wydłuża reakcję na incydent i wymaga decyzji o przydziale dodatkowych zasobów.
4 – poważny: Luka zagraża realizacji usługi kluczowej i wymaga decyzji zarządu o budżecie i terminie.
5 – katastrofalny: Luka skutkuje naruszeniem prawa, utratą danych albo zagrożeniem życia i zdrowia.

Formularz raportu z dekompozycji i projektu nowelizacji polityki

Formularz składa się z dwóch części. Pierwsza służy do zredagowania jednostronicowego podsumowania zarządczego, druga podaje strukturę raportu wraz z udziałem rozdziałów w objętości. Wygenerowany szkic jest punktem wyjścia do redakcji, a nie tekstem gotowym do oddania.

Podsumowanie zarządcze (Pitch to Board) – wersja jednostronicowa

Jednostronicowe Podsumowanie Zarządcze jest finałowym artefaktem ćwiczenia (Faza 4, minuty 70-90). Wybierz zadanie i uzupełnij pola, a następnie wygeneruj wersję roboczą do dalszej edycji.

Zadanie laboratoryjne: Skład Triady Audytorskiej (imiona/nazwiska i role A/B/C): Nazwa jednostki / podmiotu audytowanego:

Najważniejsze ustalenia (synteza 4C) Rekomendacje priorytetowe (Quick Wins vs inwestycje strategiczne)

Struktura raportu i budżet stron (10–15 stron)

Rozdział raportu	Strony	Co musi się w nim znaleźć
Metryka podmiotu i uwarunkowania prawne	1–2	Status podmiotu kluczowego lub operatora usługi kluczowej, zakres audytu, wyłączenia, podstawy prawne i normatywne oraz mapa obowiązków zarządu, kierownictwa i dostawców.
Inwentaryzacja i dekompozycja polityki bezpieczeństwa	2–3	Wykaz dokumentów z wersjami i właścicielami, rozbiór zapisów na wymagania atomowe, oznaczenie zapisów niespójnych, niejednoznacznych i niemierzalnych.
Macierz mapowania wymagań na regulacje	1–2	Zestawienie każdego wymagania atomowego z odpowiednikiem w NIS2, ustawie o KSC, rozporządzeniu KRI, DORA, RODO i ISO/IEC 27001:2022 wraz z numerem przepisu.
Rejestr luk, sprzeczności i braków dokumentacyjnych	2	Wykaz luk z oceną istotności, wskazanie zapisów wzajemnie sprzecznych oraz luk wynikających z braku dokumentu, niezaświadczenia lub nieaktualności.
Analiza ryzyka w matrycy 5 × 5	2–3	Karty ryzyka dla co najmniej czterech luk: opis, uzasadnienie wartości P i S, ryzyko inherentne, kontrola mitygująca, ryzyko rezydualne oraz RTO, RPO i MTPD.
Karty ustaleń w modelu 4C	2	Stan faktyczny, kryterium, przyczyna źródłowa wyprowadzona metodą pięciu pytań, konsekwencja, podstawa normatywna i kwalifikacja ustalenia: niezgodność istotna, mała lub szansa na poprawę.
Projekt nowelizacji polityki i procedur wykonawczych	1–2	Nowe brzmienie zapisów, zakres odpowiedzialności, wymagane narzędzia i terminy, procedura przełączenia awaryjnego oraz sposób komunikacji kryzysowej.
Plan działań korygujących z wskaźnikami	1–2	Tabela działań w trzech fazach: do 7, do 30 i do 90 dni, z właścicielem wskazanym stanowiskiem, kosztem, wskaźnikiem skuteczności i osobą weryfikującą.
Podsumowanie zarządcze i wnioski decyzyjne	1	Decyzje, o które zespół wnosi, koszt i termin, ryzyko zaniechania działań oraz pytanie wymagające rozstrzygnięcia przez kierownictwo.

Generator planu działań korygujących po dekompozycji polityki

Generator prowadzi przez każdą lukę i wymaga podania przyczyny źródłowej, działania naprawiającego przyczynę, właściciela wskazanego stanowiskiem, terminu z przedziału 14 do 90 dni oraz mierzalnego kryterium skuteczności. Narzędzie wskazuje typowe błędy, między innymi działanie objawowe zamiast przyczynowego.

Numer ustalenia Kwalifikacja Termin realizacji Faza planu

Ustalony stan (opis faktu, nie objawu i nie oceny)

Analiza przyczyny źródłowej – pięć pytań „dlaczego”

Dlaczego 1? Dlaczego 2? Dlaczego 3? Dlaczego 4? Dlaczego 5?

Przyczyna źródłowa (pkt 4C: przyczyna) Działanie naprawcze (pkt 4C: stan pożądany)

Właściciel działania (stanowisko, nie imię) Osoba weryfikująca skuteczność (inny stanowisko)

Kryterium skuteczności (mierzalne) Działanie zapobiegawcze (kontrola systemowa na przyszłość)

Wpisz ustalony stan, uzupełnij pięć pytań „dlaczego” i dodaj działanie do planu. Generator podpowiada, jeśli przyczyna źródłowa brzmi jak powtórzenie ustalonego stanu zamiast jego wyjaśnienia.

Plan jest pusty.

0 działań w planie

0 działań bez kryterium skuteczności

0 działań bez właściciela

0 terminów spoza przedziału 14–90 dni

Nr	Kwalifikacja	Ustalony stan i przyczyna źródłowa	Działanie naprawcze i zapobiegawcze	Właściciel i weryfikacja	Termin i faza	Kryterium skuteczności	Usuń
Plan jest pusty. Dodaj pierwsze działanie przyciskiem powyżej.

Jak poprawnie sformułować plan działań

Działanie naprawiające przyczynę, a nie objaw. Zamiast „wyłączyć konto serwisanta” zespół wpisuje „zablokować dostęp do strefy OT przez niezatwierdzone urządzenia i wprowadzić stację serwisową w strefie bezpiecznej”.
Właściciel wskazany stanowiskiem, które istnieje w strukturze organizacyjnej podmiotu. Imię i nazwisko podaje się w załączniku do planu, bo struktura kadrowa się zmienia.
Termin z przedziału 14–90 dni, przy czym ryzyko rezydualne w strefie czerwonej nie może czekać na fazę trzecią.
Kryterium skuteczności policzalne i sprawdzalne przez osobę inną niż wykonawca działania, z podaniem źródła danych.
Jedno działanie, jedna przyczyna. Jeśli opis przekracza dwa zdania, zespół dzieli wpis na dwa działania z osobnymi właścicielami i terminami.

Nawigator kotwicowy – 10 studiów przypadków (ocena 5.0)

Wybierz studium przypadku, aby przejść do karty zadania. Filtr sektorów działa jednocześnie na kafelki i na karty zadań poniżej; karty z innych sektorów zostają ukryte, a ich treść pozostaje w dokumencie. Kafelki zwężają wybór do jednej gałęzi gospodarki, ale metodyka audytu, matryca ryzyka i układ raportu są we wszystkich przypadkach takie same.

Wojewódzki Szpital Zespolony i Centrum Onkologii

Dekompozycja polityki bezpieczeństwa wokół diagnostyki onkologicznej AI i telemetrii IoMT; model 4C, ryzyko 5x5 i plan CAP.

NIS2 RODO art. 9 AI Act IoMT Model 4C

Urząd Marszałkowski i Regionalne Centrum Usług Wspólnych IT

Chmura RCUW dla 30 jednostek samorządowych; spójność wymagań KRI i KSC, model 4C i trójfazowy plan CAP.

KRI KSC RODO Chmura publiczna Model 4C

Bank Spółdzielczy zrzeszony w grupie bankowej

Analiza luki polityki bezpieczeństwa pod kątem rozporządzenia DORA, wytycznych KNF i wyników testów TLPT.

DORA Rekomendacja d KNF TLPT Core banking Model 4C

Operator Gazociągów Przesyłowych

Dekompozycja polityki bezpieczeństwa infrastruktury OT/SCADA w modelu PURDUE; IEC 62443 i NIS2.

OT/SCADA IEC 62443 NIS2 PURDUE KSC

LogiXpress S.A. – logistyka e-commerce

Rozproszony ekosystem IoT i chmura hybrydowa; ochrona danych osobowych w całym łańcuchu dostaw.

IoT Chmura hybrydowa RODO Łańcuch dostaw

FinBaaS Solutions – FinTech Software House

Audyt polityki Secure SDLC, DevSecOps, potoków CI/CD oraz orkiestracji Kubernetes.

Secure SDLC DevSecOps CI/CD Kubernetes PCI DSS

Politechnika i Regionalne Centrum Superkomputerowo-Sieciowe

Środowisko obliczeń wielkiej skali (HPC) i badań dual-use; separacja stref, model 4C i plan CAP.

HPC Dual-Use NIS2 KRI Model 4C

PharmaGlobal Polska S.A. – koncern farmaceutyczny

Integralność danych ALCOA+, walidacja GAMP 5 i zgodność z FDA 21 CFR Part 11.

ALCOA+ GAMP 5 FDA 21 CFR Part 11 GMP RODO

PGZ – Zakład Optyki i Rakiet

Ochrona informacji niejawnych, strefy Tempest i systemy air-gap w produkcji specjalnej.

Informacje niejawne Tempest Air-gap WSK KRI

InfoVeritas S.A. – Biuro Informacji Gospodarczej

Profilowanie algorytmiczne, tajemnica gospodarcza i bezpieczeństwo API w scoringu kredytowym.

Scoring Tajemnica gospodarcza API RODO Fintech

Spis zadań laboratoryjnych (ocena 5.0)

01Wojewódzki Szpital Zespolony i Centrum Onkologii (podmiot kluczowy NIS2)
02Urząd Marszałkowski i Regionalne Centrum Usług Wspólnych IT (samorząd / KRI / KSC)
03Bank Spółdzielczy zrzeszony w grupie bankowej (sektor finansowy, DORA)
04Operator Gazociągów Przesyłowych (infrastruktura krytyczna państwa)
05LogiXpress S.A. – logistyka e-commerce, automaty paczkowe i IoT
06FinBaaS Solutions – FinTech Software House, bankowość jako usługa (BaaS)
07Politechnika i Regionalne Centrum Superkomputerowo-Sieciowe (HPC / R&D / Dual-Use)
08PharmaGlobal Polska S.A. – koncern farmaceutyczny i badania kliniczne
09PGZ – Zakład Optyki i Rakiet (produkcja specjalna / informacje niejawne)
10InfoVeritas S.A. – Biuro Informacji Gospodarczej i scoring kredytowy

Kliknij nagłówek zadania, aby je rozwinąć lub zwinąć. Przyciski poniżej rozwijają lub zwijają wszystkie karty. Numery w kolorze czerwonym odsyłają do poszczególnych zadań. Wewnątrz każdej karty sekcje tabelaryczne można ukryć przyciskiem „Ukryj tabelę”.

Wojewódzki Szpital Zespolony i Centrum Onkologii (podmiot kluczowy NIS2)

Zwiń

Temat: Strategiczna Analiza i Dekompozycja Polityki Bezpieczeństwa: Diagnostyka Onkologiczna AI, Telemetria IoMT, Model 4C, Ryzyko 5X5 i Plan CAP w Modelu Triady Audytorskiej

Schemat strategicznej dekompozycji polityki bezpieczeństwa szpitala onkologicznego pod kątem NIS2, AI Act i telemetrii IoMT

Cel zadania i powiązanie z efektami kształcenia na ocenę 5.0

Głównym celem zadania na ocenę 5.0 jest wykształcenie u studentów najwyższych kompetencji analitycznych i inżynierskich w zakresie strategicznej dekompozycji i nowelizacji Polityki Bezpieczeństwa Informacji (PBI / ISMS) w podmiocie leczniczym o najwyższym stopniu krytyczności dla zdrowia publicznego. Szpital posiada status Podmiotu Kluczowego w rozumieniu Dyrektywy NIS2 oraz Ustawy o KSC, wdraża innowacyjne modele sztucznej inteligencji (AI/ML) wysokiego ryzyka do analizy badań obrazowych (tomografia PET/CT, rezonans, histopatologia) w chmurze hybrydowej oraz eksploatuje rozległą sieć urządzeń Internetu Rzeczy Medycznych (IoMT - pompy infuzyjne, respiratory, systemy monitorowania funkcji życiowych). Zadanie wymaga zastosowania metodyki Triady Audytorskiej, sformułowania ustaleń audytowych w kanonicznym modelu 4C (Condition, Criteria, Cause, Consequence), przeprowadzenia analizy ryzyka luk w dokumentacji w 25-stopniowej matrycy 5x5 z wyliczeniem Ryzyka Inherentnego (IR) i Ryzyka Rezydualnego (RR), powiązania luk ze wskaźnikami ciągłości działania (RTO/RPO/MTPD), skonstruowania trójfazowego Planu Działań Korygujących (CAP) ze wskaźnikami KPI/KRI, zredagowania projektu nowelizacji procedury AI/IoMT oraz opracowania 1-stronicowego Podsumowania Zarządczego (Executive Summary - "Pitch to Board").

Powiązanie z sylabusem i treściami programowymi na ocenę 5.0:

Umiejętności U1: Opracowanie zintegrowanego projektu zaawansowanej Polityki Bezpieczeństwa dla technologii AI wysokiego ryzyka i telemetrii medycznej IoMT w architekturze Zero Trust.
Umiejętności U2: Identyfikacja i dokumentowanie złożonych niezgodności w kanonicznym modelu 4C z analizą przyczyn źródłowych Root Cause Analysis (ciąg 5 Why).
Umiejętności U3: Kwantyfikacja ryzyka w matrycy 5x5 przed i po zastosowaniu kontroli mitygujących oraz wyznaczenie wskaźników BCM: RTO (1 godzina) i RPO (15 minut) dla bazy PACS.
Umiejętności U4: Przygotowanie trójfazowego Planu CAP (0-7, 30, 90 dni) z metrykami KPI i KRI oraz jednostronicowego Executive Summary dla Dyrekcji Szpitala.
Wiedza W1, W2, W3: Ekspercka znajomość rygorów NIS2 (art. 21, 23), Aktu o Sztucznej Inteligencji (AI Act - wymogi dla systemów wysokiego ryzyka), RODO (art. 9, 32, 35 DPIA), normy PN-EN ISO/IEC 27001:2022 (nowe kontrole A.5.23, A.5.7, A.8.11, A.8.12, A.8.23), ISO/IEC 42001 (system zarządzania AI) oraz ISO 27799.
Kompetencje społeczne K1, K2, K3: Niezależność osądu audytorskiego, bezkompromisowa ochrona życia i prywatności pacjentów, etyka zawodowa i zdolność do obrony rekomendacji przed kadrą medyczną i zarządczą.
Treści programowe: Wyk1 (Ład SZBI), Wyk3 (Kontrole Załącznika A ISO 27001:2022), Wyk4 (Zbieżność regulacyjna NIS2/RODO/AI Act), Wyk5 (Risk-based audit ISO 27005 i BCM), Wyk6 (Zaawansowana triangulacja dowodów), Wyk7 (Kanoniczny model 4C i trójfazowy CAP).

Scenariusz sytuacyjny i ujawnione luki w polityce bezpieczeństwa

Wojewódzki Szpital Zespolony i Centrum Onkologii dysponuje 900 łóżkami, 16 salami operacyjnymi, oddziałami chemioterapii, radioterapii i przeszczepów szpiku. Rocznie placówka hospitalizuje 60 000 pacjentów oraz wykonuje 180 000 badań obrazowych. Infrastruktura IT/IoMT obejmuje centralny system HIS (Szpitalny System Informacyjny), bazę PACS/RIS (archiwum obrazów radiologicznych o wolumenie 1,2 PB), klaster obliczeniowy do rekonstrukcji dawek promieniowania oraz ponad 500 telemetrycznych pomp infuzyjnych i kardiomonitorów podłączonych przez Wi-Fi. W ramach innowacji klinicznych szpital zawarł umowę z zagranicznym dostawcą oprogramowania diagnostycznego opartego na głębokich sieciach splotowych (AI High-Risk) do wykrywania mikroprzerzutów w badaniach PET/CT.

Krytyczne ustalenia audytu zerowego i luki w polityce bezpieczeństwa:

Ekosystem AI bez nadzoru i zjawisko Shadow IT: Obowiązująca w szpitalu "Księga Polityki Bezpieczeństwa Informacji" pochodzi z 2019 roku i nie była aktualizowana do normy ISO/IEC 27001:2022 ani wymogów NIS2. W dokumentacji brak jakichkolwiek regulacji dotyczących sztucznej inteligencji (brak zasad weryfikacji dryfu modeli AI, ochrony danych treningowych, zakazu uczenia modeli na danych pacjentów bez zgody, procedur Human-in-the-Loop). Co gorsza, skrypt eksportujący badania do chmury dostawcy AI wyłącza anonimizację nagłówków DICOM w celu "zachowania korelacji klinicznej", przesyłając do publicznej chmury nieszyfrowane numery PESEL, kody genetyczne oraz historię terapii onkologicznej.
Zagrożenie życia przez brak segmentacji IoMT: Pompy infuzyjne na oddziałach intensywnej terapii działają w tej samej podsieci co komputery administracyjne i szpitalna sieć gościnna dla pacjentów (SSID "Pacjent-Guest"). Urządzenia posiadają fabryczne poświadczenia dostępowe (login: admin, hasło: default), a w Polityce Bezpieczeństwa brak procedury zarządzania podatnościami i poprawkami dla sprzętu medycznego (firmware pomp nie był aktualizowany od 4 lat, zawierając podatności umożliwiające zdalne nadpisanie dawek leków przez sieć Wi-Fi).
Skrajna niezgodność procedury incydentowej z dyrektywą NIS2: Szpitalna instrukcja reagowania na incydenty przewiduje, że administrator ma 7 dni roboczych na poinformowanie Dyrektora, a kontakt z organami zewnętrznymi następuje "w miarę możliwości". Stanowi to rażące naruszenie art. 23 Dyrektywy NIS2 oraz projektowanych przepisów krajowych nakazujących przesłanie wczesnego ostrzeżenia (Early Warning) do właściwego CSIRT w ciągu 24 godzin od wykrycia poważnego incydentu oraz pełnego raportu w ciągu 72 godzin.
Ciągłość działania i brak ochrony przed Ransomware: Baza PACS nie posiada kopii niemodyfikowalnych (WORM / Immutable Backup). W polityce kopii zapasowych brak zdefiniowanych parametrów RTO i RPO dla procedur radioterapii, co w przypadku ataku szyfrującego oznacza natychmiastowe przerwanie naświetlań 140 pacjentów onkologicznych z bezpośrednim zagrożeniem zgonu.

Wskazówki wykonania krok po kroku w formule Triady Audytorskiej (matryca ryzyka 5x5, karta 4C, dochodzenie 5 Why, parametry BCM, trójfazowy Plan CAP)

Praca w zespole laboratoryjnym (2-3 studentów) opiera się na zaawansowanej symulacji Triady Audytorskiej:

Krok 1 (Podział ról w Triadzie Audytorskiej):
- Rola A (Lead Auditor / CISO Representative): Kieruje audytem, analizuje ład zarządczy (Governance), zbieżność regulacyjną (NIS2, RODO art. 9, AI Act), odpowiada za 1-stronicowe Executive Summary ("Pitch to Board") i przewodniczy obronie przed komisją.
- Rola B (Technical SecOps Auditor): Przeprowadza dekonstrukcję wektorów technicznych w polityce: protokoły DICOM, potoki integracji chmurowej AI, konfigurację mikro-segmentacji sieci IoMT, kryptografię TLS 1.3 i kontrole A.5.23, A.8.11, A.8.12 normy ISO/IEC 27001:2022.
- Rola C (BCM & Compliance Auditor): Buduje matrycę ryzyka 5x5, wyznacza wskaźniki RTO/RPO/MTPD dla aparatury onkologicznej, formułuje karty uchybień w modelu 4C z dochodzeniem przyczyn źródłowych 5 Why oraz konstruuje trójfazowy Plan CAP ze wskaźnikami KPI i KRI.
Krok 2 (Dekompozycja architektury polityk i Cross-Framework Mapping):
Zestawcie zastałą PBI z tabelą wymagań zbieżnych: NIS2 (art. 21 - środki techniczne i organizacyjne), ISO/IEC 27001:2022 (Załącznik A), AI Act (art. 10 - dane i zarządzanie danymi, art. 14 - nadzór ludzki), ISO/IEC 42001 (klauzule 6-8) oraz RODO (art. 9, 32, 35 DPIA). Wykażcie całkowity brak załączników wykonawczych dla nowych technologii.
Krok 3 (Szacowanie ryzyka luk w 25-stopniowej matrycy 5x5):
Oceńcie Prawdopodobieństwo (P: 1-Bardzo niskie, 2-Niskie, 3-Średnie, 4-Wysokie, 5-Prawie pewne/Ciągłe) oraz Skutek (S: 1-Znikomy, 2-Niski, 3-Umiarkowany, 4-Poważny, 5-Katastrofalny/Zagrożenie życia i zdrowia):
- Zagrożenie 1: Wyciek danych genomowych i onkologicznych z metadanych DICOM do publicznej chmury AI. Ryzyko inherentne: P=4, S=5 -> IR = 20/25 (Strefa Krytyczna). Zastosowane kontrole: wdrożenie lokalnej bramki dekontaminacyjnej DICOM z automatyczną anonimizacją, audyt mTLS, Data Clean Room. Ryzyko rezydualne: P=1, S=3 -> RR = 3/25 (Strefa Akceptowalna).
- Zagrożenie 2: Atak ransomware szyfrujący bazę PACS i wstrzymujący sesje radioterapii. Ryzyko inherentne: P=4, S=5 -> IR = 20/25 (Strefa Krytyczna). Kontrole: kopie niemodyfikowalne WORM w AWS S3 Object Lock, odizolowana strefa Air-Gap, testy DRP. Ryzyko rezydualne: P=1, S=2 -> RR = 2/25.
- Zagrożenie 3: Zdalna manipulacja parametrami pomp infuzyjnych przez podatności i brak segmentacji. Ryzyko inherentne: P=4, S=5 -> IR = 20/25. Kontrole: mikro-segmentacja sieci (VLAN 40 IoMT z zapaporowaniem NGFW i 802.1X), zmiana haseł na unikalne certyfikaty sprzętowe, inspekcja EDR. Ryzyko rezydualne: P=1, S=2 -> RR = 2/25.
- Zagrożenie 4: Niezgłoszenie incydentu poważnego do CSIRT w 24h z powodu błędnej procedury. Ryzyko inherentne: P=5, S=4 -> IR = 20/25. Kontrole: automatyzacja SOAR zintegrowana z API CSIRT, nowa procedura eskalacji NIS2. Ryzyko rezydualne: P=1, S=2 -> RR = 2/25.
Wyznaczenie wskaźników BCM: RTO = 1 godzina (maksymalny czas przywrócenia bazy PACS), RPO = 15 minut (maksymalna akceptowalna utrata danych z badań), MTPD = 3 godziny (próg krytyczny dla sesji naświetlań onkologicznych).
Krok 4 (Formułowanie Karty Ustalenia w kanonicznym modelu 4C):
Opracujcie pełną kartę 4C dla krytycznego uchybienia (niekontrolowany transfer danych wrażliwych do chmury AI):
- Condition (Stan zastany / dowód audytowy): Eksfiltracja 120 000 badań PET/CT zawierających metadane PESEL i sekwencje genetyczne do chmury dostawcy algorytmu AI; brak bramek filtrujących.
- Criteria (Kryteria formalno-prawne): ISO/IEC 27001:2022 A.5.23, A.8.11, A.8.12; RODO art. 9 ust. 1, art. 32 ust. 1 lit. a; Dyrektywa NIS2 art. 21 ust. 2 lit. d (bezpieczeństwo łańcucha dostaw); AI Act art. 10 ust. 2-5; ISO/IEC 42001 klauzula 8.2.
- Cause (Przyczyna źródłowa - dochodzenie 5 Why):
  1. Dlaczego wrażliwe dane onkologiczne trafiły do komercyjnej chmury? -> Ponieważ skrypt wysyłający nie czyścił nagłówków DICOM.
  
  2. Dlaczego nagłówki nie były czyszczone? -> Ponieważ szpital nie zakupił i nie skonfigurował bramki deidentyfikacyjnej.
  
  3. Dlaczego nie wdrożono bramki deidentyfikacyjnej? -> Ponieważ w Polityce Bezpieczeństwa brakowało wymagań dotyczących przetwarzania chmurowego i technologii uczenia maszynowego.
  
  4. Dlaczego polityka nie zawierała takich wymagań? -> Ponieważ Zakład Radiologii zawarł umowę ze startupem technologicznym w trybie eksperymentu medycznego bez powiadomienia Działu IT i Inspektora Ochrony Danych (zjawisko Shadow IT).
  
  5. Dlaczego dopuszczono do zakupu i integracji systemu medycznego bez wiedzy IT i IOD? (PRZYCZYNA ŹRÓDŁOWA): Brak w szpitalu nadrzędnego ładu zarządczego nad innowacjami cyfrowymi i brak obligatoryjnej bramki decyzyjnej Security & Privacy Gate w procedurze zamówień publicznych i badawczych.
- Consequence (Wielowymiarowy skutek): Ryzyko sankcji finansowej z RODO do 20 mln EUR lub 4% obrotu oraz z NIS2 do 10 mln EUR lub 2% obrotu; utrata zaufania pacjentów onkologicznych; ryzyko szantażu pacjentów przez grupy cyberprzestępcze; odpowiedzialność karna i dyscyplinarna Dyrekcji Szpitala.
Krok 5 (Konstrukcja Trójfazowego Planu Działań Korygujących - CAP):
Zestawcie tabelę CAP w podziale na fazy: natychmiastową (0-7 dni), krótkoterminową (30 dni) i systemową (90 dni), przypisując role RACI, budżet oraz metryki KPI i KRI.
Krok 6 (Projekt Nowelizacji Polityki Bezpieczeństwa):
Zredagujcie sformalizowany akt wewnętrzny: "Załącznik Wykonawczy nr 5 do PBI: Polityka Bezpiecznego Wykorzystania Sztucznej Inteligencji i Urządzeń Internetu Rzeczy Medycznych (IoMT)".

Plan referatu, Executive Summary i obrony przed zarządem

Struktura 15-minutowego wystąpienia seminaryjnego przed komisją:

Wprowadzenie i Pitch to Board - Executive Summary (3 min): Zwięzłe przedstawienie skali zagrożeń dla Zarządu Szpitala: ryzyko kar do 10 mln EUR z NIS2, paraliż naświetlań onkologicznych, ekspozycja danych 120 000 pacjentów, wnioskowany budżet naprawczy CAP (Lead Auditor).
Prezentacja Matrycy Ryzyka 5x5 i parametrów BCM (4 min): Omówienie redukcji ryzyka krytycznego z poziomu IR=20/25 do RR=2-3/25 oraz wyliczenia RTO=1h, RPO=15min i MTPD=3h dla bazy PACS (BCM Auditor).
Dekonstrukcja wektorów technicznych i Karta 4C (4 min): Dowody audytowe z podsłuchu DICOM, podatności protokołów IoMT, przebieg procedury 5 Why ujawniającej zjawisko Shadow IT w radiologii (Technical SecOps Auditor).
Trójfazowy Plan CAP i Projekt Nowelizacji Polityki (3 min): Harmonogram działań 0-7, 30, 90 dni, wskaźniki KPI (100% zanonimizowanych obrazów, zero haseł fabrycznych), prezentacja nowej procedury eskalacji incydentów NIS2 w 24h (cały zespół).
Symulacja obrony ustaleń i odpowiedzi na zarzuty ordynatorów (1 min): Merytoryczne odparcie zarzutów lekarzy o "blokowanie innowacji ratujących życie" poprzez wykazanie, że bezpieczna architektura Data Clean Room i mikro-segmentacja chronią szpital przed przestojem i kompromitacją danych.

Wzorcowy zakres raportu (Executive Summary, matryca ryzyka 5x5, model 4C, tabela CAP, projekt nowelizacji polityki)

Raport laboratoryjny (objętość 12-16 stron A4 znormalizowanego maszynopisu) musi zawierać:

A. Jednostronicowe Podsumowanie Zarządcze (Executive Summary - "Pitch to Board"):

Adresat: Dyrektor Naczelny, Dyrektor ds. Medycznych, Główny Księgowy WSZ i Centrum Onkologii.
Tytuł: Raport Zarządczy z Audytu Dekompozycyjnego Polityki Bezpieczeństwa Informacji pod kątem NIS2, AI Act i Ochrony Życia Pacjentów.
Kluczowy komunikat strategiczny: Dotychczasowa polityka bezpieczeństwa szpitala z 2019 roku stwarza krytyczne ryzyko katastrofalne (IR = 20/25) w obszarze diagnostyki onkologicznej AI oraz aparatury podtrzymującej życie IoMT. Wykazano zjawisko Shadow IT, eksfiltrację danych 120 000 pacjentów do chmury zagranicznej bez anonimizacji oraz możliwość sabotażu 500 pomp infuzyjnych.
Ekspozycja prawno-finansowa: Szpital jest bezpośrednio narażony na kary administracyjne do 10 000 000 EUR z tytułu Dyrektywy NIS2 oraz do 20 000 000 EUR z RODO, a także roszczenia cywilnoprawne rodzin pacjentów.
Wnioskowany program naprawczy: Wdrożenie Trójfazowego Planu CAP o budżecie 420 000 PLN (zakup bramek deidentyfikacyjnych, wdrożenie mikro-segmentacji 802.1X, licencje WORM). Zwrot z inwestycji (ROSI): 100% uniknięcia kar regulacyjnych, zagwarantowanie ciągłości naświetlań onkologicznych (RTO=1h) i certyfikacja ISO/IEC 27001:2022 oraz ISO/IEC 42001.

B. Wzorcowe rozwiązanie problemu (Raport analityczny, Matryca 5x5, Karta 4C i Plan CAP):

Tabela Matrycy Ryzyka 5x5:

ID zagrożenia / luki w polityce	P	S	IR (Inherent)	Zastosowane kontrole kompensacyjne	P	S	RR (Residual)
Z1: Wyciek danych DICOM/PESEL do chmury dostawcy AI	4	5	20 (Krytyczne)	Bramka anonimizująca, Data Clean Room	1	3	3 (Niskie)
Z2: Atak ransomware paraliżujący bazę PACS	4	5	20 (Krytyczne)	Niezmienny backup WORM, AWS S3 Lock	1	2	2 (Niskie)
Z3: Przejęcie kontroli nad pompami infuzyjnymi IoMT	4	5	20 (Krytyczne)	VLAN 40 IoMT, 802.1X, brak haseł domyśl.	1	2	2 (Niskie)
Z4: Naruszenie rygoru 24h zgłaszania do CSIRT (NIS2)	5	4	20 (Krytyczne)	Automatyzacja SOAR, nowa procedura 24h	1	2	2 (Niskie)
Z5: Brak nadzoru ludzkiego nad modelem AI (AI Act)	3	4	12 (Wysokie)	Procedura Human-in-the-Loop, podwójny odczyt	1	2	2 (Niskie)

Metryki BCM: RTO = 1 godzina (przywrócenie PACS z kopii WORM), RPO = 15 minut, MTPD = 3 godziny (maksymalna przerwa w naświetlaniach).

Karta Niezgodności w kanonicznym modelu 4C:
- Condition: Przesyłanie niezaanonimizowanych badań PET/CT zawierających metadane pacjentów (PESEL, historia leczenia, data urodzenia) do chmury publicznej dostawcy AI bez szyfrowania i bez kontroli dostępu.
- Criteria: ISO/IEC 27001:2022 A.5.23 (Bezpieczeństwo chmurowe), A.8.11 (Maskowanie danych), A.8.12 (DLP); Dyrektywa NIS2 art. 21 ust. 2 lit. d; RODO art. 9 ust. 1, art. 32; AI Act art. 10.
- Cause (5 Why): Ujawniono brak bramki anonimizującej -> brak wymagań chmurowych w PBI -> wdrożenie przez radiologię bez wiedzy IT -> brak procedury Security by Design w zakupach medycznych (Root Cause: brak ładu zarządczego nad innowacjami AI).
- Consequence: Zagrożenie karami do 10 mln EUR z NIS2 i 20 mln EUR z RODO, utrata zaufania publicznego, bezpośrednie zagrożenie szantażem pacjentów onkologicznych.
Tabela Trójfazowego Planu Działań Korygujących (CAP):

Faza	Zadanie naprawcze	Odpowiedzialny (RACI)	Termin	Wskaźnik KPI / KRI
Faza 1 (0-7 dni)	CAP-1: Natychmiastowe zablokowanie nieszyfrowanego eksportu badań do chmury AI i audyt połączeń VPN.	R: Architekt Sieci A: CISO Szpitala	48 godz.	100% zablokowanych transferów DICOM bez certyfikowanego mTLS; 0 transferów z PESEL.
Faza 1 (0-7 dni)	CAP-2: Wprowadzenie tymczasowej izolacji sieci pomp infuzyjnych na dedykowany vLAN z blokadą Internetu.	R: Administrator IT A: Główny Inż. Med.	7 dni	100% pomp odciętych od sieci ogólnej; wymuszenie zmiany haseł domyślnych.
Faza 2 (30 dni)	CAP-3: Wdrożenie lokalnej bramki dekontaminacyjnej DICOM usuwającej wszystkie prywatne tagi pacjenta.	R: Inżynier Systemów A: CISO / IOD	30 dni	100% zanonimizowanych nagłówków DICOM; błąd walidacji wstrzymuje eksport pliku.
Faza 2 (30 dni)	CAP-4: Uruchomienie niezmiennego backupu WORM dla bazy PACS w technologii AWS S3 Object Lock.	R: Administrator SAN A: Dyrektor Pionu IT	30 dni	Pomyślny test odzyskania bazy PACS w czasie poniżej 45 minut (spełnienie RTO < 1h).
Faza 3 (90 dni)	CAP-5: Wdrożenie "Polityki Bezpieczeństwa AI i IoMT" oraz procedury bramki Security & Privacy Gate w zamówieniach publicznych na aparaturę medyczną.	R: Pełnomocnik SZBI A: Dyrektor Naczelny	90 dni	Uchwała Zarządu Szpitala; 100% personelu medycznego przeszkolonego z wymogów NIS2; 0 projektów Shadow IT w szpitalu.

Sformalizowany Projekt Nowelizacji Polityki Bezpieczeństwa:
"Załącznik Wykonawczy nr 5 do Polityki Bezpieczeństwa Informacji WSZ:

Polityka bezpiecznego wykorzystania sztucznej inteligencji i urządzeń IOMT

§ 1. Zakres i cel regulacji: Niniejszy dokument normuje procesy wdrożenia, eksploatacji i nadzoru nad algorytmami AI oraz telemetryczną aparaturą medyczną podłączoną do sieci IP Szpitala.

§ 2. Zasada Bezwzględnej Deidentyfikacji: Wszelkie dane obrazowe (DICOM) przekazywane do zewnętrznych modeli uczenia maszynowego podlegają obowiązkowej anonimizacji sprzętowej przed opuszczeniem strefy bezpiecznej Szpitala. Zabrania się przesyłania atrybutów zawierających PESEL, imię, nazwisko, dokładną datę urodzenia i adres.

§ 3. Zasada Nadzoru Ludzkiego (Human-in-the-Loop): Wynik analizy algorytmu AI stanowi wyłącznie opinię doradczą. Ostateczną diagnozę i zatwierdzenie planu radioterapii podpisuje lekarz specjalista z użyciem kwalifikowanego podpisu elektronicznego.

§ 4. Standardy Sieciowe Urządzeń IoMT: Urządzenia IoMT mogą pracować wyłącznie w dedykowanej strefie VLAN 40 z uwierzytelnianiem 802.1X (EAP-TLS). Zabrania się stosowania haseł domyślnych. Każde urządzenie musi posiadać unikalny certyfikat kryptograficzny.

§ 5. Incydenty NIS2: W przypadku wykrycia anomali w pracy pomp infuzyjnych lub nieautoryzowanego transferu danych, CISO zobowiązany jest wysłać wczesne ostrzeżenie do CSIRT w ciągu 24 godzin".

C. Analiza zalet, wad, ryzyk wdrożeniowych i kosztów TCO:

Zalety: Całkowite wyeliminowanie ryzyka katastrofalnych kar z NIS2/RODO; gwarancja ciągłości naświetlań onkologicznych (RTO=1h); ochrona życia pacjentów przed atakami hakerskimi na pompy infuzyjne; pozycjonowanie szpitala jako europejskiego lidera bezpiecznej medycyny cyfrowej.
Wady i trudności operacyjne: Koszt inwestycyjny 420 000 PLN; konieczność rekonfiguracji 500 pomp w trakcie bieżącej pracy oddziałów intensywnej terapii; początkowy opór lekarzy radiologów przed sformalizowanym procesem weryfikacji zakupów badawczych.

Bibliografia, netografia i regulacje prawne

Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (Dyrektywa NIS2) - art. 21, 23 (Dz.Urz. UE L 333 z 27.12.2022).
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 (Akt o sztucznej inteligencji - AI Act) - systemy wysokiego ryzyka.
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 9, 32, 35, 83.
Norma PN-EN ISO/IEC 27001:2022 - Systemy zarządzania bezpieczeństwem informacji - Wymagania.
Norma ISO/IEC 42001:2023 - Information technology - Artificial intelligence - Management system.
Norma PN-EN ISO 27799:2016 - Zarządzanie bezpieczeństwem informacji w dziedzinie zdrowia przy użyciu ISO/IEC 27002.
Norma PN-EN ISO 22301:2020 - Bezpieczeństwo i odporność - Systemy zarządzania ciągłością działania.

Przypisanie do efektów uczenia się z sylabusa na ocenę 5.0

U1 Student projektuje kompleksową architekturę polityk bezpieczeństwa dla technologii AI i IoMT w podmiocie kluczowym.
U2 Student bezbłędnie identyfikuje i dokumentuje uchybienia w kanonicznym modelu 4C z analizą 5 Why.
U3 Student wykonuje precyzyjną kwantyfikację ryzyka w 25-stopniowej matrycy 5x5 i wyznacza metryki BCM (RTO/RPO/MTPD).
U4 Student przygotowuje trójfazowy Plan CAP oraz profesjonalne Executive Summary w formacie "Pitch to Board".
W1W2W3 Student demonstruje pogłębioną wiedzę z zakresu NIS2, AI Act, RODO, ISO 27001, ISO 42001 i ochrony zdrowia.
K1K2K3 Student wykazuje najwyższą postawę etyczną, odpowiedzialność za życie ludzkie i zdolność obrony ustaleń przed zarządem.
--------------------------------------------------------------------------------

Urząd Marszałkowski i Regionalne Centrum Usług Wspólnych IT (samorząd / KRI / KSC)

Zwiń

Temat: Strategiczna Dekompozycja Polityki w Modelu Wielopodmiotowej Chmury RCUW dla 30 Jednostek Samorządowych: Spójność KRI, Model 4C, Ryzyko 5X5 i Trójfazowy Plan CAP

Schemat strategicznej dekompozycji polityki bezpieczeństwa regionalnego centrum usług wspólnych dla jednostek samorządowych pod kątem KRI i NIS2

Cel zadania i powiązanie z efektami kształcenia na ocenę 5.0

Celem zadania na ocenę 5.0 jest opanowanie zaawansowanych umiejętności audytu dekompozycyjnego i harmonizacji Polityki Bezpieczeństwa Informacji w scentralizowanym, wielopodmiotowym środowisku samorządowym. Regionalne Centrum Usług Wspólnych Informatyki (RCUWI) świadczy usługi chmury prywatnej, poczty elektronicznej, elektronicznego zarządzania dokumentacją (system EZD) oraz centralnego magazynu kopii zapasowych (800 TB) dla Urzędu Marszałkowskiego oraz 30 rozproszonych jednostek podległych (szpitale wojewódzkie, zarząd dróg, teatry, muzea, wojewódzkie urzędy pracy). Zadanie wymaga zbadania zgodności z 20 obligatoryjnymi wymogami par. 20 Krajowych Ram Interoperacyjności (KRI), rozstrzygnięcia relacji współadministrowania i powierzenia przetwarzania danych (RODO art. 26 i 28), oszacowania ryzyka awarii centralnej infrastruktury w matrycy 5x5, sformułowania ustaleń w kanonicznym modelu 4C, opracowania trójfazowego Planu CAP ze wskaźnikami KPI oraz zredagowania Polityki Współdzielenia Zasobów Chmurowych i Usług IT.

Powiązanie z sylabusem i treściami programowymi na ocenę 5.0:

Umiejętności U1: Opracowanie nadrzędnej samorządowej Polityki Współdzielonych Usług IT i Chmury Prywatnej dla 30 jednostek.
Umiejętności U2: Identyfikacja niespójności regulacyjnych i sformułowanie uchybień w modelu 4C z analizą 5 Why.
Umiejętności U3: Analiza ryzyka w matrycy 5x5 przed i po mitygacji oraz określenie parametrów BCM (RTO=4h, RPO=1h, MTPD=12h) dla centralnego systemu EZD.
Umiejętności U4: Skonstruowanie trójfazowego Planu CAP z metrykami KPI i przygotowanie Executive Summary dla Marszałka Województwa.
Wiedza W1, W2, W3: Biegła znajomość Rozporządzenia w sprawie Krajowych Ram Interoperacyjności (KRI), Ustawy o KSC, Dyrektywy NIS2 (jednostki administracji regionalnej), RODO (art. 24, 26, 28, 32) oraz norm ISO/IEC 27001:2022, ISO/IEC 27017, ISO/IEC 27018 i ISO 22301.
Kompetencje społeczne K1, K2, K3: Obiektywizm audytorski, umiejętność rozwiązywania konfliktów kompetencyjnych pomiędzy jednostkami samorządowymi oraz etyka w dysponowaniu środkami publicznymi.
Treści programowe: Wyk2 (Hierarchia procedur ISMS), Wyk3 (Kontrole A.5.8, A.5.23, A.8.13), Wyk4 (Zgodność z KRI i RODO w sektorze publicznym), Wyk5 (Matryca 5x5 i BCM), Wyk7 (Model 4C i trójfazowy CAP).

Scenariusz sytuacyjny i ujawnione luki w polityce bezpieczeństwa

Regionalne Centrum Usług Wspólnych Informatyki (RCUWI) powstało w celu obniżenia kosztów utrzymania infrastruktury teleinformatycznej w województwie. Centrum hostuje w certyfikowanym data center centralny system Elektronicznego Zarządzania Dokumentacją (EZD RP), z którego korzysta 4 500 urzędników, wojewódzki węzeł informacji przestrzennej (GIS), centralną pocztę elektroniczną oraz skonsolidowaną macierz backupu przechowującą 800 TB danych z 30 jednostek.

Ujawnione krytyczne luki w dokumentacji i organizacji bezpieczeństwa:

Asymetria regulacyjna i brak rozgraniczenia ról: W RCUWI obowiązuje wewnętrzna polityka bezpieczeństwa z 2021 roku, która nie uwzględnia specyfiki jednostek korzystających. Żadna z 30 jednostek nie zawarła z RCUWI formalnego porozumienia o poziomie świadczenia usług (SLA) ani precyzyjnej umowy powierzenia przetwarzania danych osobowych (DPA wg art. 28 RODO). Nie określono, kto odpowiada za usuwanie uprawnień zwolnionych urzędników, co doprowadziło do istnienia 420 aktywnych kont "widm" w centralnym systemie EZD.
Naruszenie poufności i brak izolacji najemców (Multi-Tenancy Flaw): W centralnej bazie EZD brak logicznej separacji danych poszczególnych podmiotów. Wskutek błędów w regułach dostępowych (RBAC), audytorzy wewnętrzni z Teatru Wielkiego oraz Zarządu Dróg Wojewódzkich mieli pełny wgląd do dokumentów niejawnych i protokołów kontroli korupcyjnych prowadzonych przez Wydział Kontroli Urzędu Marszałkowskiego.
Katastrofalne uchybienia w procedurze kopii zapasowych (SPOF): Polityka backupu RCUWI zakłada codzienne migawki maszyn wirtualnych, jednak kopie te są składowane w tej samej lokalizacji fizycznej, bez separacji logicznej i bez kopii niezmiennych (brak ochrony przed atakami ransomware). W ciągu ostatnich 3 lat nie przeprowadzono ani jednego testowego odtworzenia danych, co stanowi bezpośrednie naruszenie § 20 ust. 2 pkt 9 Rozporządzenia KRI.
Współdzielenie uprawnień administracyjnych w terenie: W jednostkach podległych administratorzy lokalni logują się na serwery centralne za pomocą współdzielonych kont `rcuw_admin_pomoc` bez imiennej rozliczalności i bez wymuszenia uwierzytelniania wieloskładnikowego (MFA).

Wskazówki wykonania krok po kroku w formule Triady Audytorskiej (matryca ryzyka 5x5, karta 4C, dochodzenie 5 Why, parametry BCM, trójfazowy Plan CAP)

Krok 1 (Podział zadań w Triadzie Audytorskiej):
- Rola A (Lead Auditor / Ekspert Sektora Publicznego): Analizuje ład prawno-organizacyjny RCUWI, porozumienia SLA, umowy DPA (art. 28 RODO), zgodność z Ustawą o KSC i Dyrektywą NIS2, przygotowuje 1-stronicowe Executive Summary dla Marszałka Województwa.
- Rola B (Technical SecOps Auditor): Przeprowadza techniczny audyt architektury Active Directory (wielodomenowość), uprawnień RBAC w systemie EZD, konfiguracji macierzy pamięci masowej, szyfrowania TLS oraz kontroli A.5.23, A.8.13 i A.8.18 normy ISO/IEC 27001:2022.
- Rola C (BCM & Compliance Auditor): Weryfikuje spełnienie 20 punktów § 20 Rozporządzenia KRI, buduje matrycę ryzyka 5x5, ustala wskaźniki BCM (RTO=4h, RPO=1h), formułuje kartę 4C z analizą 5 Why oraz konstruuje trójfazowy Plan CAP ze wskaźnikami KPI.
Krok 2 (Audyt zgodności z § 20 Rozporządzenia KRI):
Dokonajcie formalnego przeglądu spełnienia 20 wymagań KRI. Wykażcie uchybienia krytyczne w punktach: pkt 7 (zarządzanie uprawnieniami), pkt 9 (kopie zapasowe i ich testowanie), pkt 14 (podnoszenie kwalifikacji personelu) oraz pkt 18 (okresowe audyty bezpieczeństwa).
Krok 3 (Szacowanie ryzyka w matrycy 5x5 i parametry BCM):
Oceńcie Prawdopodobieństwo (1-5) i Skutek (1-5) dla kluczowych ryzyk:
- Zagrożenie 1: Brak logicznej izolacji najemców w EZD i wyciek dokumentów kontrolnych do nieuprawnionych jednostek. P=4, S=5 -> IR = 20/25 (Strefa Krytyczna). Kontrole: Re-architektura ról RBAC, separacja domenowa jednostek, wdrożenie mTLS i audytu sesji. Ryzyko rezydualne: P=1, S=2 -> RR = 2/25.
- Zagrożenie 2: Atak ransomware niszczący dane produkcyjne oraz lokalny magazyn 800 TB backupu. P=4, S=5 -> IR = 20/25. Kontrole: Wdrożenie niezmiennych kopii WORM w odległej lokalizacji (Air-Gap DR), kwartalne testy odzyskiwania. Ryzyko rezydualne: P=1, S=2 -> RR = 2/25.
- Zagrożenie 3: Nieautoryzowane modyfikacje konfiguracji przez współdzielone konto serwisowe `rcuw_admin_pomoc`. P=5, S=4 -> IR = 20/25. Kontrole: Wdrożenie systemu Privileged Access Management (PAM) z kluczami FIDO2 i imiennymi poświadczeniami. Ryzyko rezydualne: P=1, S=2 -> RR = 2/25.
- Zagrożenie 4: Sankcje finansowe i unieważnienie postępowań z powodu braku umów DPA (art. 28 RODO) z 30 podmiotami. P=5, S=3 -> IR = 15/25 (Strefa Wysoka). Kontrole: Standaryzacja umów powierzenia i SLA. Ryzyko rezydualne: P=1, S=1 -> RR = 1/25.
Wskaźniki BCM: RTO = 4 godziny (przywrócenie systemu EZD dla 30 jednostek), RPO = 1 godzina (maksymalna utrata korespondencji urzędowej), MTPD = 12 godzin (dopuszczalny przestój administracji publicznej).
Krok 4 (Formułowanie Karty Ustalenia w kanonicznym modelu 4C):
Opracujcie pełną kartę 4C dla uchybienia dotyczącego braku separacji i współdzielenia uprawnień:
- Condition: 420 aktywnych kont byłych pracowników w systemie EZD; dostęp audytorów teatrów i szpitali do akt Wydziału Kontroli Urzędu Marszałkowskiego; brak umów DPA między RCUWI a jednostkami.
- Criteria: Rozporządzenie KRI § 20 ust. 2 pkt 7 i 12; RODO art. 24, 28, 32; ISO/IEC 27001:2022 A.5.8, A.5.15, A.5.23; Dyrektywa NIS2 art. 21 ust. 2 lit. i.
- Cause (5 Why): Użytkownicy widzą dokumenty innych jednostek -> brak ról organizacyjnych w EZD -> migracja do chmury RCUWI bez analizy uprawnień -> brak porozumień SLA i podziału odpowiedzialności -> (Root Cause): Brak nadrzędnego ładu korporacyjnego IT w Samorządzie Województwa i traktowanie powołania RCUWI wyłącznie jako operacji czysto technicznej, bez dostosowania procedur prawno-organizacyjnych.
- Consequence: Ryzyko paraliżu decyzyjnego województwa, naruszenie tajemnic prawnie chronionych (tajemnica skarbowa, dane osobowe wrażliwe), unieważnienie postępowań przetargowych, kary finansowe od Prezesa UODO, odpowiedzialność dyscyplinarna Marszałka i dyrektorów jednostek.
Krok 5 (Konstrukcja Trójfazowego Planu CAP):
Opracujcie tabelę z podziałem na działania natychmiastowe (0-7 dni), krótkoterminowe (30 dni) i systemowe (90 dni).
Krok 6 (Projekt Nowelizacji Polityki Bezpieczeństwa):
Zredagujcie sformalizowaną procedurę: "Polityka Świadczenia Współdzielonych Usług Chmurowych i Bezpieczeństwa Informacji w Regionalnym Centrum Usług Wspólnych Informatyki".

Plan referatu, Executive Summary i obrony przed zarządem

Struktura 15-minutowego wystąpienia seminaryjnego:

Pitch to Board - Executive Summary (3 min): Zwięzła prezentacja dla Marszałka i Zarządu Województwa: ekspozycja prawna 30 jednostek, ryzyko wycieku tajemnic kontrolnych, brak odporności na ransomware, koszty i harmonogram wdrożenia CAP (Lead Auditor).
Prezentacja Matrycy 5x5 i wskaźników BCM (4 min): Uzasadnienie redukcji ryzyka z 20/25 do 2/25 oraz wykazanie parametrów RTO=4h i RPO=1h dla centralnego EZD (BCM Auditor).
Dekonstrukcja wektorów technicznych i Model 4C (4 min): Przedstawienie dowodów braku separacji w EZD, kont widm, analiza 5 Why wykazująca brak ładu korporacyjnego (Technical SecOps Auditor).
Trójfazowy Plan CAP i Projekt Polityki RCUWI (3 min): Omówienie etapów 0-7, 30, 90 dni, wskaźniki KPI (100% podpisanych DPA, zero kont współdzielonych, pomyślny test odzyskania 800 TB danych z backupu) (cały zespół).
Obrona ustaleń audytu (1 min): Odpowiedź na pytania Zarządu Województwa dotyczące oporów dyrektorów jednostek przed centralizacją uprawnień w systemie PAM.

Wzorcowy zakres raportu (Executive Summary, matryca ryzyka 5x5, model 4C, tabela CAP, projekt nowelizacji polityki)

Raport laboratoryjny (objętość 12-16 stron A4 znormalizowanego maszynopisu) musi obejmować:

A. Jednostronicowe Podsumowanie Zarządcze (Executive Summary - "Pitch to Board"):

Adresat: Marszałek Województwa, Skarbnik Województwa, Dyrektorzy 30 Jednostek Podległych.
Tytuł: Raport Zarządczy z Audytu Dekompozycyjnego Bezpieczeństwa Informacji w Modelu Centrum Usług Wspólnych RCUWI.
Kluczowy wniosek zarządczy: Projekt konsolidacji IT w województwie został zrealizowany bez niezbędnych fundamentów prawnych i kontroli bezpieczeństwa, generując skrajne ryzyko operacyjne (IR = 20/25). Ujawniono 420 aktywnych kont byłych pracowników, brak separacji danych kontrolnych oraz całkowity brak przetestowanych kopii zapasowych dla 800 TB danych urzędowych.
Zagrożenia sankcyjne i finansowe: Ryzyko kar finansowych od Prezesa UODO, zakwestionowanie legalności decyzji administracyjnych wydawanych w systemie EZD oraz paraliż funkcjonowania szpitali i zarządu dróg w razie infekcji ransomware.
Rekomendacja strategiczna: Natychmiastowe wdrożenie Trójfazowego Planu CAP o budżecie 380 000 PLN (wdrożenie modułu PAM, centralne zarządzanie tożsamością IAM/MFA, niezmienne repozytorium kopii zapasowych WORM oraz standaryzacja umów SLA/DPA).

B. Wzorcowe rozwiązanie problemu (Raport, Matryca 5x5, Model 4C i Plan CAP):

Tabela Matrycy Ryzyka 5x5:

ID zagrożenia / luki w polityce	P	S	IR (Inherent)	Zastosowane kontrole kompensacyjne	P	S	RR (Residual)
Z1: Brak izolacji najemców w centralnym EZD	4	5	20 (Krytyczne)	Segmentacja uprawnień RBAC, mTLS, audyt	1	2	2 (Niskie)
Z2: Brak przetestowanych kopii zapasowych (SPOF)	4	5	20 (Krytyczne)	Repozytorium WORM, Disaster Recovery Site	1	2	2 (Niskie)
Z3: Współdzielone konto administracyjne w terenie	5	4	20 (Krytyczne)	Wdrożenie PAM, FIDO2, imienne konta	1	2	2 (Niskie)
Z4: Brak umów DPA (art. 28 RODO) i regulaminów SLA	5	3	15 (Wysokie)	Wdrożenie pakietu SLA/DPA dla 30 jednostek	1	1	1 (Niskie)
Z5: 420 kont "widm" zwolnionych urzędników w AD	4	4	16 (Wysokie)	Integracja z systemami kadrowymi HR	1	2	2 (Niskie)

Parametry BCM: RTO = 4 godziny, RPO = 1 godzina, MTPD = 12 godzin.

Karta Niezgodności w kanonicznym modelu 4C:
- Condition: Brak mechanizmu logicznego rozdzielenia danych pomiędzy jednostkami w EZD; brak procedury likwidacji kont po ustaniu zatrudnienia (420 kont nieaktywnych); brak przeprowadzonych testów odtwarzania kopii zapasowych 800 TB od 36 miesięcy.
- Criteria: Rozporządzenie KRI § 20 ust. 2 pkt 7, 9, 12; RODO art. 28, 32; ISO/IEC 27001:2022 A.5.8, A.8.13, A.8.18; NIS2 art. 21.
- Cause (5 Why): Użytkownicy posiadają nadmiarowe uprawnienia -> role konfigurowane globalnie -> brak specyfikacji wymagań przy zakupie EZD -> brak analizy prawnej RODO przy tworzeniu RCUWI -> (Root Cause): Brak ładu zarządczego nad współdzielonymi usługami IT i brak zintegrowanej polityki bezpieczeństwa dla podmiotów zależnych.
- Consequence: Wyciek wrażliwych danych urzędowych, ryzyko kar od UODO do 100 tys. PLN dla jednostek sektora finansów publicznych za każde naruszenie, utrata ciągłości działania administracji wojewódzkiej.
Tabela Trójfazowego Planu Działań Korygujących (CAP):

Faza	Zadanie naprawcze	Odpowiedzialny (RACI)	Termin	Wskaźnik KPI / KRI
Faza 1 (0-7 dni)	CAP-1: Natychmiastowa blokada 420 kont "widm" w Active Directory oraz wyłączenie konta pomocniczego.	R: Administrator AD A: Dyrektor RCUWI	72 godz.	100% zablokowanych kont nieaktywnych; 0 wspólnych logowań serwisowych.
Faza 1 (0-7 dni)	CAP-2: Wdrożenie tymczasowych restrykcji ACL w EZD.	R: Inżynier EZD	7 dni	0 incydentów nieuprawnionego wglądu w akta.
Faza 2 (30 dni)	CAP-3: Wdrożenie systemu PAM z kluczami FIDO2 dla wszystkich 30 administratorów lokalnych jednostek.	R: Architekt SecOps A: CISO Województwa	30 dni	100% sesji administracyjnych nagrywanych; wymuszone logowanie dwuskładnikowe (MFA).
Faza 2 (30 dni)	CAP-4: Przeprowadzenie pełnego testu odtworzeniowego 800 TB backupu w środowisku zapasowym (DR).	R: Administrator SAN A: Dyrektor RCUWI	30 dni	Pomyślny test odzyskania baz EZD i poczty z czasem RTO poniżej 3,5 godziny.
Faza 3 (90 dni)	CAP-5: Podpisanie umów SLA oraz umów powierzenia DPA z wszystkimi 30 jednostkami; uchwalenie nadrzędnej "Polityki Świadczenia Usług Wspólnych RCUWI".	R: Radca Prawny UMW A: Marszałek Wojew.	90 dni	100% (30/30) podpisanych umów SLA i DPA; wdrożenie zautomatyzowanego audytu KRI.

Sformalizowany Projekt Nowelizacji Polityki Bezpieczeństwa:
"Uchwała Zarządu Województwa w sprawie:

Polityki świadczenia współdzielonych usług chmurowych i zarządzania bezpieczeństwem w RCUWI

§ 1. Przedmiot regulacji: Niniejsza polityka określa ramowe zasady bezpiecznego korzystania z infrastruktury teleinformatycznej RCUWI przez Urząd Marszałkowski oraz jednostki podległe.

§ 2. Zasada Ścisłej Izolacji Najemców (Tenant Separation): Każda jednostka samorządowa stanowi odrębny podmiot logiczny w systemach teleinformatycznych RCUWI. Zabrania się konfigurowania ról o charakterze globalnym, umożliwiających wgląd w rejestry spraw innych jednostek bez odrębnego upoważnienia Marszałka.

§ 3. Cykl Życia Tożsamości: Wygaśnięcie stosunku pracy pracownika w jednostce podległej skutkuje automatyczną blokadą konta domenowego w czasie nie dłuższym niż 60 minut od zgłoszenia przez system kadrowy jednostki.

§ 4. Dostęp Uprzywilejowany (PAM): Wszelkie czynności administracyjne w węzłach centralnych mogą być wykonywane wyłącznie za pośrednictwem serwera pośredniczącego (Bastion Host / PAM) z rejestracją sesji wideo i uwierzytelnianiem MFA.

§ 5. Niezmienność Kopii Zapasowych: Kopie bezpieczeństwa danych urzędowych podlegają replikacji do odizolowanej lokalizacji geograficznej (DRC) z blokadą modyfikacji (Object Lock / WORM). Testowe odtworzenie całego środowiska przeprowadza się obligatoryjnie raz na kwartał".

C. Analiza zalet, wad, ryzyk wdrożeniowych i kosztów TCO:

Zalety: Spełnienie 100% wymogów § 20 Rozporządzenia KRI; usunięcie ryzyka paraliżu urzędów w razie ataku ransomware; przejrzysty podział odpowiedzialności między RCUWI a jednostkami; zabezpieczenie tajemnic kontrolnych przed wyciekiem.
Wady i trudności: Koszt wdrożenia PAM i licencji WORM (380 000 PLN); opór lokalnych informatyków w jednostkach terenowych przed utratą bezpośrednich uprawnień administracyjnych; skomplikowany proces negocjacji 30 umów SLA/DPA.

Bibliografia, netografia i regulacje prawne

Rozporządzenie Rady Ministrów z dnia 12 kwietnia 2012 r. w sprawie Krajowych Ram Interoperacyjności (KRI) - § 20 (Dz.U. z 2017 r. poz. 2247).
Dyrektywa NIS2 (UE) 2022/2555 - art. 21 (administracja publiczna szczebla regionalnego).
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 24, 26, 28, 32.
Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (KSC).
Norma PN-EN ISO/IEC 27001:2022 - Systemy zarządzania bezpieczeństwem informacji.
Norma ISO/IEC 27017:2015 - Zabezpieczenia w usługach przetwarzania w chmurze.
Norma PN-EN ISO 22301:2020 - Zarządzanie ciągłością działania.

Przypisanie do efektów uczenia się z sylabusa na ocenę 5.0

U1 Student projektuje kompleksową architekturę polityk dla wielopodmiotowego centrum usług wspólnych.
U2 Student dokumentuje luki i uchybienia regulacyjne w modelu 4C z analizą przyczyn źródłowych 5 Why.
U3 Student wykonuje analizę ryzyka w matrycy 5x5 i parametryzuje wskaźniki BCM dla administracji publicznej.
U4 Student przygotowuje trójfazowy Plan CAP oraz zwięzłe Executive Summary dla Marszałka Województwa.
W1W2W3 Student wykazuje ekspercką wiedzę w zakresie KRI, RODO, NIS2 i zarządzania tożsamością w chmurze samorządowej.
K1K2K3 Student demonstruje postawę profesjonalną, asertywność wobec dyrektorów jednostek i dbałość o interes publiczny.
--------------------------------------------------------------------------------

Bank Spółdzielczy zrzeszony w grupie bankowej (sektor finansowy, DORA)

Zwiń

Temat: Strategiczna Analiza Luki Polityki pod Kątem Rozporządzenia DORA, Wytycznych KNF, Testów TLPT, Modelu 4C, Ryzyka 5X5 i Trójfazowego Planu CAP

Schemat strategicznej analizy luki polityki bezpieczeństwa banku spółdzielczego pod kątem Rozporządzenia DORA i Rekomendacji D KNF

Cel zadania i powiązanie z efektami kształcenia na ocenę 5.0

Głównym celem zadania na ocenę 5.0 jest wykształcenie u studentów najwyższych kompetencji audytorskich w obszarze bankowości i odporności cyfrowej sektora finansowego. Przedmiotem audytu jest Polityka Bezpieczeństwa Informacji oraz Zarządzania Ryzykiem ICT w regionalnym Banku Spółdzielczym o sumie bilansowej 1,8 mld PLN, zrzeszonym w ogólnopolskim Banku Zrzeszającym. Bank podlega bezpośrednio reżimowi unijnego Rozporządzenia DORA (Digital Operational Resilience Act), Rekomendacji D i M Komisji Nadzoru Finansowego (KNF), standardowi bezpieczeństwa danych kartowych PCI DSS v4.0 oraz Prawu bankowemu. Zadanie wymaga dekompozycji polityki pod kątem zaawansowanego zarządzania ryzykiem stron trzecich (ICT Third-Party Risk), weryfikacji procedur testowania odporności (testy TLPT / TIBER-EU), szacowania ryzyka w matrycy 5x5, sformułowania ustaleń w kanonicznym modelu 4C z analizą 5 Why, opracowania trójfazowego Planu Działań Korygujących (CAP) oraz przygotowania 1-stronicowego Executive Summary ("Pitch to Board") dla Zarządu i Rady Nadzorczej Banku.

Powiązanie z sylabusem i treściami programowymi na ocenę 5.0:

Umiejętności U1: Opracowanie zintegrowanej Polityki Odporności Cyfrowej Operacyjnej i Nadzoru nad Dostawcami ICT dla instytucji finansowej.
Umiejętności U2: Identyfikacja krytycznych luk w nadzorze nad łańcuchem dostaw ICT i sformułowanie uchybień w modelu 4C z procedurą 5 Why.
Umiejętności U3: Kwantyfikacja ryzyka w matrycy 5x5 przed i po mitygacji oraz określenie bezwzględnych parametrów ciągłości: RTO=2 godziny, RPO=0 minut (zerowa utrata transakcji księgowych), MTPD=4 godziny.
Umiejętności U4: Przygotowanie trójfazowego Planu CAP z metrykami KPI i przygotowanie Executive Summary dla Zarządu Banku.
Wiedza W1, W2, W3: Ekspercka znajomość Rozporządzenia DORA (UE 2022/2554), Rekomendacji D i M KNF, standardu PCI DSS v4.0, Prawa bankowego (art. 104 - tajemnica bankowa) oraz normy ISO/IEC 27001:2022 (A.5.19 - A.5.23).
Kompetencje społeczne K1, K2, K3: Niezależność audytorska, odporność na presję Zarządu dążącego do redukcji kosztów IT, etyka zawodowa i ochrona depozytów obywateli.
Treści programowe: Wyk1 (Ład korporacyjny w bankowości), Wyk3 (Kontrole łańcucha dostaw ISO 27001), Wyk4 (Rozporządzenie DORA i nadzór KNF), Wyk5 (Matryca 5x5 i odporność operacyjna BCM), Wyk7 (Kanoniczny model 4C i trójfazowy CAP).

Scenariusz sytuacyjny i ujawnione luki w polityce bezpieczeństwa

Bank Spółdzielczy prowadzi działalność operacyjną poprzez sieć 42 oddziałów i filii, obsługując ponad 75 000 klientów indywidualnych, rolników i przedsiębiorstw. Bank posiada własną sieć 60 bankomatów i wpłatomatów oraz przetwarza transakcje w systemie ELIXIR, Express Elixir i SWIFT. Rdzeń informatyczny banku stanowi Zintegrowany System Bankowy (core-banking), który jest w 100% utrzymywany, rozwijany i hostowany w modelu chmurowym SaaS przez zewnętrznego dostawcę oprogramowania finansowego (FinTech Solutions Sp. z o.o.).

Ujawnione krytyczne luki w dokumentacji i organizacji bezpieczeństwa:

Całkowity brak nadzoru nad kluczowym dostawcą ICT (Luka w DORA): W obowiązującej w banku "Polityce Zarządzania Bezpieczeństwem Informacji" (zatwierdzonej w 2020 r.) brak rozdziału dotyczącego zarządzania ryzykiem ze strony zewnętrznych dostawców usług ICT. Umowa z FinTech Solutions Sp. z o.o. nie zawiera obligatoryjnych klauzul wymaganych przez art. 30 Rozporządzenia DORA: brak prawa banku do przeprowadzenia pełnego audytu w siedzibie i centrach danych dostawcy, brak gwarancji udziału dostawcy w testach TLPT (Threat-Led Penetration Testing), brak minimalnych poziomów SLA w sytuacjach kryzysowych oraz całkowity brak strategii wyjścia (Exit Strategy / Transition Plan) na wypadek upadłości dostawcy.
Współdzielone poświadczenia API do autoryzacji przelewów wysokokwotowych: W procedurze operacyjnej obsługi płatności masowych ujawniono, że klucz prywatny API oraz tokeny uwierzytelniające do węzła rozliczeniowego były przechowywane w nieszyfrowanym pliku konfiguracyjnym na wspólnym dysku sieciowym banku, do którego uprawnienia odczytu posiadało 60 pracowników back-office.
Brak procedury testowania podatności i testów penetracyjnych opartych na zagrożeniach: W polityce bezpieczeństwa testy penetracyjne zdefiniowano jako "badanie podatności przeprowadzane w miarę dostępności budżetu, nie rzadziej niż raz na 3 lata". Zgodnie z art. 26 i 27 DORA podmioty finansowe zobowiązane są do regularnego testowania systemów ICT, a kluczowe podmioty do testów TLPT co najmniej raz na 3 lata z udziałem niezależnych audytorów (Red Teaming).
Brak uwierzytelniania MFA dla bankowości korporacyjnej w trybie administracyjnym: Klienci korporacyjni zarządzający subkontami z milionowymi obrotami mogli autoryzować logowanie wyłącznie za pomocą statycznego hasła bez wymuszenia klucza sprzętowego U2F/FIDO2 lub powiadomienia push, co narusza Rekomendację D KNF i standard PCI DSS v4.0.

Wskazówki wykonania krok po kroku w formule Triady Audytorskiej (matryca ryzyka 5x5, karta 4C, dochodzenie 5 Why, parametry BCM, trójfazowy Plan CAP)

Krok 1 (Podział ról w Triadzie Audytorskiej):
- Rola A (Lead Auditor / Ekspert Bankowości i DORA): Odpowiada za analizę ładu zarządczego banku, umów outsourcingowych z FinTech Solutions, strategii wyjścia, zgodności z art. 28-30 DORA oraz przygotowanie 1-stronicowego Executive Summary ("Pitch to Board") dla Rady Nadzorczej.
- Rola B (Technical SecOps Auditor): Analizuje architekturę API płatniczych, kryptografię kluczy prywatnych (HSM / KMS), uwierzytelnianie MFA, testy podatności, konfigurację sieci bankomatowej i kontrole ISO/IEC 27001:2022 (A.5.19, A.8.8, A.8.20, A.8.24).
- Rola C (BCM & Compliance Auditor): Buduje matrycę ryzyka 5x5, ustala wskaźniki BCM (RTO=2h, RPO=0 transakcji), formułuje uchybienia w modelu 4C z analizą 5 Why, tworzy trójfazowy Plan CAP ze wskaźnikami KPI i KRI.
Krok 2 (Dekompozycja polityki i analiza luki DORA / Rekomendacja D KNF):
Zestawcie zastałą dokumentację banku z wymaganiami Rozporządzenia DORA: Rozdział II (Zarządzanie ryzykiem ICT), Rozdział IV (Testowanie operacyjnej odporności cyfrowej) oraz Rozdział V (Zarządzanie ryzykiem ze strony zewnętrznych dostawców usług ICT).
Krok 3 (Szacowanie ryzyka w matrycy 5x5 i parametry BCM):
Oceńcie Prawdopodobieństwo (1-5) i Skutek (1-5) dla kluczowych ryzyk:
- Zagrożenie 1: Upadłość lub atak ransomware na zewnętrznego dostawcę core-banking (brak Exit Strategy i prawa do audytu). P=4, S=5 -> IR = 20/25 (Strefa Krytyczna). Kontrole: Aneksowanie umowy z FinTech zgodnie z art. 30 DORA, depozyt kodu źródłowego w escrow, kopia danych off-site w niezależnej chmurze. Ryzyko rezydualne: P=1, S=3 -> RR = 3/25 (Akceptowalne).
- Zagrożenie 2: Kradzież klucza API ze wspólnego dysku i fałszowanie masowych przelewów wychodzących. P=4, S=5 -> IR = 20/25. Kontrole: Przeniesienie kluczy do sprzętowego modułu bezpieczeństwa HSM z autoryzacją mTLS i zasadą 4 oczu (Dual Control). Ryzyko rezydualne: P=1, S=2 -> RR = 2/25.
- Zagrożenie 3: Przejęcie kont korporacyjnych przez phishing wskutek braku MFA. P=4, S=4 -> IR = 16/25 (Strefa Wysoka). Kontrole: Wymuszenie kluczy FIDO2 / aplikacji mobilnej z biometrią dla 100% klientów biznesowych. Ryzyko rezydualne: P=1, S=2 -> RR = 2/25.
- Zagrożenie 4: Sankcje KNF i zawieszenie działalności wskutek braku testów odporności DORA. P=5, S=4 -> IR = 20/25. Kontrole: Wdrożenie 3-letniego programu testów TLPT i corocznych testów penetracyjnych. Ryzyko rezydualne: P=1, S=2 -> RR = 2/25.
Wskaźniki BCM: RTO = 2 godziny (uruchomienie awaryjnego systemu rozliczeń), RPO = 0 minut (bezwzględny wymóg replikacji synchronicznej transakcji finansowych), MTPD = 4 godziny (próg utraty płynności międzybankowej).
Krok 4 (Karta Ustalenia w kanonicznym modelu 4C):
Opracujcie pełną kartę 4C dla uchybienia w obszarze nadzoru nad dostawcą core-banking:
- Condition: Bank nie posiada prawa do audytu dostawcy core-banking, umowa nie definiuje strategii wyjścia, brak udziału dostawcy w testach ciągłości działania i testach penetracyjnych TLPT.
- Criteria: Rozporządzenie DORA art. 28, 29, 30; Rekomendacja D KNF (obszar Zarządzanie relacjami z dostawcami); ISO/IEC 27001:2022 A.5.19, A.5.20, A.5.21; PCI DSS v4.0 Wymóg 12.8.
- Cause (5 Why): Brak klauzul w umowie -> podpisanie standardowego wzorca dostawcy bez negocjacji -> traktowanie IT jako zagadnienia czysto operacyjnego -> brak zaangażowania IOD i CISO w proces zakupowy -> (Root Cause): Brak zintegrowanego ładu korporacyjnego zarządzania ryzykiem ICT i zaniechanie dostosowania procedur bankowych do Rozporządzenia DORA przez Zarząd Banku.
- Consequence: Zagrożenie karami finansowymi ze strony KNF (do 10% rocznego obrotu instytucji), natychmiastowy paraliż działalności operacyjnej w razie kompromitacji dostawcy, ryzyko utraty licencji bankowej, utrata płynności finansowej.
Krok 5 (Trójfazowy Plan Działań Korygujących - CAP):
Zestawcie tabelę CAP z podziałem na działania natychmiastowe (0-7 dni), krótkoterminowe (30 dni) i systemowe (90 dni).
Krok 6 (Projekt Nowelizacji Polityki Bezpieczeństwa):
Zredagujcie sformalizowaną procedurę: "Polityka Zarządzania Ryzykiem ICT Ze Strony Zewnętrznych Dostawców i Cyfrowej Odporności Operacyjnej Zgodnie z Rozporządzeniem DORA".

Plan referatu, Executive Summary i obrony przed zarządem

Struktura 15-minutowego wystąpienia seminaryjnego:

Pitch to Board - Executive Summary (3 min): Zwięzłe przedstawienie sytuacji Zarządowi i Radzie Nadzorczej: luka DORA grożąca karami KNF do 10% obrotu, podatność kluczy API, brak kontroli nad zewnętrznym dostawcą SaaS, budżet i ROI programu naprawczego (Lead Auditor).
Prezentacja Matrycy Ryzyka 5x5 i BCM (4 min): Uzasadnienie redukcji ryzyka krytycznego z 20/25 do 2-3/25, wymóg RPO=0 min dla transakcji księgowych i RTO=2h dla core-bankingu (BCM Auditor).
Dekonstrukcja techniczna i Karta 4C (4 min): Dowody audytowe dotyczące nieszyfrowanych kluczy API, brak MFA, procedura 5 Why wykazująca zaniechania Zarządu w nadzorze nad FinTechem (Technical SecOps Auditor).
Trójfazowy Plan CAP i Projekt Polityki DORA (3 min): Harmonogram 0-7, 30, 90 dni, wskaźniki KPI (100% kluczy w HSM, 100% klientów korporacyjnych z FIDO2, renegocjacja umowy z FinTechem) (cały zespół).
Obrona ustaleń audytu (1 min): Odpowiedź na zarzuty Wiceprezesa ds. Finansowych dotyczące "wysokich kosztów HSM i audytu zewnętrznego dostawcy".

Wzorcowy zakres raportu (Executive Summary, matryca ryzyka 5x5, model 4C, tabela CAP, projekt nowelizacji polityki)

Raport laboratoryjny (objętość 12-16 stron A4 znormalizowanego maszynopisu) musi obejmować:

A. Jednostronicowe Podsumowanie Zarządcze (Executive Summary - "Pitch to Board"):

Adresat: Prezes Zarządu, Członkowie Zarządu, Przewodniczący Rady Nadzorczej Banku Spółdzielczego.
Tytuł: Raport Zarządczy z Audytu Dekompozycyjnego Odporności Cyfrowej i Zgodności z Rozporządzeniem DORA.
Kluczowy komunikat: Bank znajduje się w stanie krytycznej ekspozycji na ryzyko operacyjne i regulacyjne (IR = 20/25). Prowadzenie działalności bez prawa do audytu dostawcy core-banking oraz bez strategii wyjścia stanowi bezpośrednie złamanie Rozporządzenia DORA. Ujawniono ponadto przechowywanie kluczy API do płatności masowych na otwartym dysku sieciowym oraz brak MFA dla klientów korporacyjnych.
Zagrożenia finansowe: Sankcje KNF do 10% obrotu lub zawieszenie organów statutowych; bezpośrednie ryzyko kradzieży milionowych środków z rachunków bankowych; utrata reputacji w zrzeszeniu bankowym.
Rekomendacja strategiczna: Przyjęcie Trójfazowego Planu CAP o budżecie 450 000 PLN (wdrożenie modułu HSM, klucze FIDO2, aneksowanie umowy z dostawcą SaaS i audyt trzeciej strony). Zwrot z inwestycji: zachowanie licencji bankowej, uniknięcie wielomilionowych kar i pełna odporność cyfrowa.

B. Wzorcowe rozwiązanie problemu (Raport, Matryca 5x5, Model 4C i Plan CAP):

Tabela Matrycy Ryzyka 5x5:

ID zagrożenia / luki w polityce	P	S	IR (Inherent)	Zastosowane kontrole kompensacyjne	P	S	RR (Residual)
Z1: Brak klauzul audytowych i wyjścia w umowie SaaS	4	5	20 (Krytyczne)	Aneks DORA art. 30, escrow, multi-cloud	1	3	3 (Niskie)
Z2: Nieszyfrowany klucz API na dysku sieciowym	4	5	20 (Krytyczne)	Moduł HSM, mTLS, zasada 4 oczu (PAM)	1	2	2 (Niskie)
Z3: Brak MFA dla bankowości korporacyjnej	4	4	16 (Wysokie)	Wymuszenie FIDO2 / tokenów sprzętowych	1	2	2 (Niskie)
Z4: Brak programu testów odporności TLPT	5	4	20 (Krytyczne)	Wdrożenie metodyki TIBER-EU i Red Teaming	1	2	2 (Niskie)
Z5: Brak synchronicznej replikacji bazy transakcyjnej	3	5	15 (Wysokie)	Zestawienie łącza DWDM i replikacji RPO=0	1	2	2 (Niskie)

Metryki BCM: RTO = 2 godziny, RPO = 0 minut, MTPD = 4 godziny.

Karta Niezgodności w kanonicznym modelu 4C:
- Condition: Przechowywanie kluczy prywatnych i tokenów do API płatności masowych w jawnym pliku `.env` na współdzielonym zasobie sieciowym; dostęp 60 pracowników bez imiennej rejestracji operacji.
- Criteria: Rozporządzenie DORA art. 9 (Ochrona i zapobieganie); PCI DSS v4.0 Wymóg 3.5 i 8.3; Rekomendacja D KNF § 10; ISO/IEC 27001:2022 A.8.24 (Stosowanie kryptografii).
- Cause (5 Why): Klucz w jawnym pliku -> skrypt integracyjny napisany ad-hoc -> brak procedury bezpiecznego zarządzania sekretami -> brak wymogu HSM w polityce banku -> (Root Cause): Brak procedur Secure SDLC oraz brak technicznego nadzoru CISO nad integracjami systemowymi.
- Consequence: Ryzyko wysłania fałszywych paczek przelewów na miliony złotych, utrata płynności, odpowiedzialność odszkodowawcza banku wobec klientów, zawiadomienie prokuratury i KNF.
Tabela Trójfazowego Planu Działań Korygujących (CAP):

Faza	Zadanie naprawcze	Odpowiedzialny (RACI)	Termin	Wskaźnik KPI / KRI
Faza 1 (0-7 dni)	CAP-1: Natychmiastowe unieważnienie skompromitowanego klucza API, rotacja certyfikatów i przeniesienie do bezpiecznego magazynu tymczasowego.	R: Główny Programista A: CISO Banku	24 godz.	100% zrotowanych kluczy; usunięcie pliku z dysku; wdrożenie tymczasowego ACL.
Faza 1 (0-7 dni)	CAP-2: Wprowadzenie obowiązku logowania MFA dla 100 kont korporacyjnych o najwyższych limitach.	R: Administrator IT A: Dyrektor Operacji	7 dni	100% kont korporacyjnych zabezpieczonych powiadomieniem push z biometrią.
Faza 2 (30 dni)	CAP-3: Wdrożenie sprzętowego modułu bezpieczeństwa HSM dla operacji podpisywania paczek przelewów.	R: Architekt Bezp. A: CISO Banku	30 dni	100% operacji kryptograficznych w HSM; wdrożenie zasady podwójnej autoryzacji.
Faza 2 (30 dni)	CAP-4: Wdrożenie procedury testów podatności DORA oraz audyt zewnętrzny systemów bankowości mobilnej.	R: SecOps / Pentester A: Dyrektor Pionu IT	30 dni	Wykonanie testów penetracyjnych API; usunięcie 100% podatności krytycznych.
Faza 3 (90 dni)	CAP-5: Podpisanie aneksu DORA do umowy z dostawcą SaaS (klauzule audytu, SLA, exit strategy, escrow); uchwalenie Polityki Odporności Cyfrowej Banku.	R: Radca Prawny A: Prezes Zarządu	90 dni	100% zgodności umowy z art. 30 DORA; zatwierdzenie Planu Wyjścia przez Radę Nadzorczą; wdrożenie testów TLPT.

Sformalizowany Projekt Nowelizacji Polityki Bezpieczeństwa:
"Uchwała Zarządu Banku Spółdzielczego w sprawie:

Polityki zarządzania ryzykiem ICT stron trzecich i cyfrowej odporności operacyjnej (DORA)

§ 1. Cel i zakres: Polityka określa jednolite ramy identyfikacji, monitorowania i mitygacji ryzyka operacyjnego wynikającego z korzystania z usług ICT dostawców zewnętrznych.

§ 2. Klauzule Obligatoryjne w Umowach Outsourcingowych: Każda umowa z dostawcą usług kluczowych ICT musi zawierać bezwarunkowe prawo Banku, KNF oraz Europejskich Urzędów Nadzoru (ESA) do przeprowadzania audytów i inspekcji na miejscu, gwarancję wsparcia w testach TLPT oraz szczegółowe wskaźniki SLA.

§ 3. Strategia Wyjścia (Exit Strategy): Dla każdego systemu krytycznego Bank utrzymuje zaktualizowany plan przejścia do alternatywnego dostawcy lub reintegracji usług w ramach własnej infrastruktury w czasie nieprzekraczającym MTPD = 4 godziny. Kod źródłowy oprogramowania podlega comiesięcznemu deponowaniu w kancelarii notarialnej (Escrow).

§ 4. Ochrona Kluczy Kryptograficznych: Zabrania się przechowywania materiału kryptograficznego w postaci jawnej. Wszelkie klucze prywatne wykorzystywane do autoryzacji transakcji finansowych muszą być generowane i przetwarzane wyłącznie w certyfikowanych modułach HSM (FIPS 140-3 Level 3)".

C. Analiza zalet, wad, ryzyk wdrożeniowych i kosztów TCO:

Zalety: Pełna zgodność z Rozporządzeniem DORA i Rekomendacją D KNF; eliminacja ryzyka paraliżu finansowego banku; ochrona depozytów klientów przed kradzieżą; podniesienie ratingu wiarygodności w grupie bankowej.
Wady i trudności: Koszt zakupu modułów HSM i oprogramowania PAM (ok. 450 000 PLN); trudne negocjacje handlowe z monopolistycznym dostawcą core-banking w zakresie klauzul DORA i escrow.

Bibliografia, netografia i regulacje prawne

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 w sprawie operacyjnej odporności cyfrowej sektora finansowego (DORA).
Urząd Komisji Nadzoru Finansowego (UKNF): Rekomendacja D dotycząca zarządzania obszarami technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego w bankach.
Norma PN-EN ISO/IEC 27001:2022 - Systemy zarządzania bezpieczeństwem informacji.
Payment Card Industry Data Security Standard (PCI DSS) v4.0.
Europejski Bank Centralny: "TIBER-EU Framework - Threat Intelligence-based Ethical Red Teaming", Frankfurt 2020.

Przypisanie do efektów uczenia się z sylabusa na ocenę 5.0

U1 Student projektuje ramy polityki odporności cyfrowej dla instytucji bankowej w warunkach reżimu DORA.
U2 Student precyzyjnie identyfikuje luki w łańcuchu dostaw ICT w kanonicznym modelu 4C z analizą 5 Why.
U3 Student wykonuje kwantyfikację ryzyka w matrycy 5x5 i wyznacza wskaźniki RTO/RPO dla systemów rozliczeniowych.
U4 Student przygotowuje trójfazowy Plan CAP oraz profesjonalne Executive Summary dla Zarządu i Rady Nadzorczej.
W1W2W3 Student demonstruje wiedzę z zakresu DORA, Rekomendacji D KNF, PCI DSS v4.0 i prawa bankowego.
K1K2K3 Student przejawia postawę bezkompromisowej obrony stabilności sektora finansowego i depozytów obywateli.
--------------------------------------------------------------------------------

Operator Gazociągów Przesyłowych (infrastruktura krytyczna państwa)

Zwiń

Temat: Dekompozycja Polityki Bezpieczeństwa Infrastruktury OT/SCADA: Model PURDUE, IEC 62443, NIS2, Model 4C, Ryzyko 5X5 i Trójfazowy Plan CAP

Schemat strategicznej dekompozycji polityki bezpieczeństwa infrastruktury krytycznej przesyłu gazu pod kątem normy IEC 62443 i dyrektywy NIS2

Cel zadania i powiązanie z efektami kształcenia na ocenę 5.0

Celem zadania na ocenę 5.0 jest wykształcenie u studentów najwyższych kompetencji audytorsko-inżynierskich w obszarze ochrony infrastruktury krytycznej państwa i systemów automatyki przemysłowej (Operational Technology - OT/SCADA). Przedmiotem audytu jest Polityka Bezpieczeństwa Informacji i Systemów Sterowania strategicznego Operatora Gazociągów Przesyłowych, zarządzającego siecią 11 000 km gazociągów wysokiego ciśnienia, 14 tłoczniami gazu, 58 stacjami węzłowymi oraz podziemnymi magazynami gazu. Spółka posiada status Operatora Usługi Kluczowej (OUK) wg Ustawy o KSC, Podmiotu Kluczowego Dyrektywy NIS2 oraz podlega pod rygor Dyrektywy w sprawie odporności podmiotów krytycznych (Dyrektywa CER). Zadanie koncentruje się na dekompozycji polityki pod kątem normy PN-EN IEC 62443, weryfikacji segmentacji sieci wg Modelu Purdue (poziomy 0-4), eliminacji niekontrolowanej konwergencji IT/OT, szacowaniu ryzyka w matrycy 5x5 przed i po zastosowaniu diod danych, sformułowaniu uchybień w modelu 4C, opracowaniu trójfazowego Planu CAP oraz przygotowaniu 1-stronicowego Executive Summary ("Pitch to Board") dla Zarządu Operatora i Pełnomocnika Rządu ds. Strategicznej Infrastruktury Energetycznej.

Powiązanie z sylabusem i treściami programowymi na ocenę 5.0:

Umiejętności U1: Projektowanie zaawansowanej Polityki Bezpieczeństwa Stref i Przewodów OT/SCADA w oparciu o normę PN-EN IEC 62443 i model Purdue.
Umiejętności U2: Identyfikacja niebezpiecznych pomostów IT/OT i sformułowanie uchybień w kanonicznym modelu 4C z analizą 5 Why.
Umiejętności U3: Przeprowadzenie analizy ryzyka sabotażu przemysłowego w matrycy 5x5 przed i po wdrożeniu diod danych oraz ustalenie parametrów BCM: RTO=15 minut, RPO=0 sekund, MTPD=1 godzina.
Umiejętności U4: Przygotowanie trójfazowego Planu CAP z metrykami KPI/KRI oraz zredagowanie Executive Summary dla Zarządu Spółki.
Wiedza W1, W2, W3: Ekspercka znajomość Ustawy o KSC, Dyrektywy NIS2, Dyrektywy CER, Ustawy o zarządzaniu kryzysowym, rodziny norm PN-EN IEC 62443 (części 2-1, 3-2, 3-3), normy ISO/IEC 27001:2022 oraz protokołów telemetrycznych (Modbus TCP, IEC 60870-5-104, OPC UA).
Kompetencje społeczne K1, K2, K3: Najwyższa odpowiedzialność za bezpieczeństwo energetyczne państwa, odporność na presję ciągłości eksploatacji kosztem bezpieczeństwa i etyka inżynierska.
Treści programowe: Wyk1 (ISMS w infrastrukturze krytycznej), Wyk3 (Kontrole A.8.20-A.8.24 ISO 27001), Wyk4 (NIS2 i ochrona obiektów strategicznych), Wyk5 (Risk-based audit IEC 62443 i BCM), Wyk6 (Zaawansowana inspekcja OT), Wyk7 (Model 4C i trójfazowy CAP).

Scenariusz sytuacyjny i ujawnione luki w polityce bezpieczeństwa

Operator Gazociągów Przesyłowych odpowiada za bezpieczeństwo dostaw błękitnego paliwa do elektrowni gazowych, zakładów chemicznych oraz 15 milionów odbiorców w kraju. System sterowania dyspozytorskiego SCADA/EMS zbiera dane telemetryczne z tysięcy czujników ciśnienia, temperatury, zaworów odcinających oraz turbosprężarek na tłoczniach gazu.

Krytyczne ustalenia audytu zerowego i luki w dokumentacji bezpieczeństwa:

Niedozwolony most technologiczny IT/OT z pominięciem modelu Purdue: W obowiązującej "Zintegrowanej Polityce Bezpieczeństwa PBI" z 2020 roku stwierdzono ogólny zapis o "konieczności logicznego rozdzielania sieci". W praktyce inżynierowie eksploatacji zestawili bezpośrednie połączenie sieciowe pomiędzy siecią korporacyjną IT (Poziom 4/5 modelu Purdue - komputery biurowe, serwery ERP) a siecią stacyjną sterowania tłoczni (Poziom 2 i 3 - serwery SCADA i sterowniki PLC). Zestawiono nielicencjonowane tunele zdalnego pulpitu (RDP / AnyDesk) z pominięciem strefy DMZ i bez zapór przemysłowych, aby "umożliwić inżynierom podgląd ciśnienia z domu podczas dyżurów".
Brak diod danych dla transmisji do systemów bilingowych i zarządczych: Dane telemetryczne o przepływach gazu były przesyłane do systemów handlowych w chmurze za pomocą dwukierunkowych połączeń IP, co stwarza bezpośredni wektor ataku z Internetu na sterowniki zaworów gazowych.
Brak uwierzytelniania i szyfrowania w komunikacji ze sterownikami PLC: Sterowniki PLC na tłoczniach komunikują się ze stacjami operatorskimi HMI przy użyciu archaicznego protokołu Modbus TCP bez jakiegokolwiek uwierzytelnienia i bez szyfrowania. Dowolne urządzenie wpięte do sieci stacyjnej może wysłać pakiet `Force Multiple Coils`, powodując awaryjne zamknięcie zaworów lub rozszczelnienie gazociągu.
Fizyczny dostęp do portów inżynierskich bez kontroli: Na 58 niestrzeżonych stacjach redukcyjno-pomiarowych w terenie szafy telemetryczne z portami Ethernet sterowników PLC były zabezpieczone powszechnie dostępnym kluczem trójkątnym, a w polityce bezpieczeństwa brakowało procedury ewidencji i plombowania portów serwisowych.

Wskazówki wykonania krok po kroku w formule Triady Audytorskiej (matryca ryzyka 5x5, karta 4C, dochodzenie 5 Why, parametry BCM, trójfazowy Plan CAP)

Krok 1 (Podział ról w Triadzie Audytorskiej):
- Rola A (Lead Auditor / Ekspert Infrastruktury Krytycznej): Prowadzi audyt, bada zgodność z Ustawą o KSC, Dyrektywą NIS2 i Dyrektywą CER, odpowiada za 1-stronicowe Executive Summary dla Zarządu i Rządowego Centrum Bezpieczeństwa (RCB).
- Rola B (Technical SecOps Auditor): Przeprowadza dekonstrukcję architektury sieci OT, weryfikuje strefy i przewody wg IEC 62443-3-2, model Purdue, konfigurację sprzętowych diod danych, protokoły przemysłowe (Modbus, IEC 104) i kontrole ISO/IEC 27001:2022 (A.8.20, A.8.22).
- Rola C (BCM & Compliance Auditor): Buduje matrycę ryzyka 5x5 dla scenariusza ataku cyberterrorystycznego APT, wyznacza parametry BCM (RTO=15 min, RPO=0 s), formułuje kartę 4C z analizą 5 Why oraz konstruuje trójfazowy Plan CAP ze wskaźnikami KPI i KRI.
Krok 2 (Wyznaczenie stref i przewodów zgodnie z PN-EN IEC 62443):
Dokonajcie formalnego podziału architektury na strefy bezpieczeństwa (Security Zones): Strefa Sterowania Polowego (Poziom 1/0), Strefa HMI/SCADA Tłoczni (Poziom 2), Strefa Zarządzania Operacyjnego OT (Poziom 3), Przemysłowa Strefa DMZ (Poziom 3.5) oraz Sieć Korporacyjna (Poziom 4). Zdefiniujcie przewody (Conduits) i bezwzględne reguły filtracji.
Krok 3 (Szacowanie ryzyka w matrycy 5x5 i parametry BCM):
Oceńcie Prawdopodobieństwo (1-5) i Skutek (1-5) dla kluczowych ryzyk:
- Zagrożenie 1: Przejęcie kontroli nad sterownikami PLC tłoczni przez atakujący zespół APT via most RDP z sieci biurowej (sabotaż fizyczny, eksplozja lub wstrzymanie przesyłu). P=5, S=5 -> IR = 25/25 (Strefa Katastrofalna). Kontrole: Całkowita likwidacja mostów RDP, budowa strefy IDMZ, wdrożenie sprzętowej diody danych dla eksportu telemetrii, zapory przemysłowe NGFW z Deep Packet Inspection (DPI) dla Modbus. Ryzyko rezydualne: P=1, S=2 -> RR = 2/25 (Strefa Akceptowalna).
- Zagrożenie 2: Fałszowanie komend sterujących do zaworów na niestrzeżonych stacjach węzłowych. P=4, S=5 -> IR = 20/25. Kontrole: Wymiana protokołu Modbus na bezpieczny OPC UA z mTLS / IEC 62351, monitoring wideo i kontrola dostępu do szaf telemetrycznych. Ryzyko rezydualne: P=1, S=2 -> RR = 2/25.
- Zagrożenie 3: Infekcja stacji operatorskiej HMI z nośnika USB podłączonego przez serwisanta. P=4, S=4 -> IR = 16/25 (Strefa Wysoka). Kontrole: Stacja czyszcząca USB (Kiosk dekontaminacyjny), blokada portów USB na poziomie rejestru i systemu EDR. Ryzyko rezydualne: P=1, S=2 -> RR = 2/25.
- Zagrożenie 4: Sankcje z Ustawy o KSC za brak zgłoszenia incydentu krytycznego do CSIRT GOV w czasie 24h. P=4, S=4 -> IR = 16/25. Kontrole: Nowa procedura incydentowa zintegrowana z dyspozytornią krajową. Ryzyko rezydualne: P=1, S=1 -> RR = 1/25.
Parametry BCM: RTO = 15 minut (przełączenie na zapasową Krajową Dyspozycję Gazu w centrum zapasowym), RPO = 0 sekund (zerowa utrata stanu zaworów i telemetrii), MTPD = 1 godzina (maksymalny czas bezpiecznej pracy gazociągu bez nadzoru telemetrycznego).
Krok 4 (Karta Ustalenia w kanonicznym modelu 4C):
Opracujcie pełną kartę 4C dla bezpośredniego połączenia IT/OT:
- Condition: Istnienie nieszyfrowanych i nienadzorowanych tuneli zdalnego pulpitu RDP/AnyDesk łączących komputery sieci biurowej ze stacjami SCADA tłoczni gazu; brak przemysłowej strefy DMZ i brak diod danych.
- Criteria: Norma PN-EN IEC 62443-3-3 Wymogi SR 5.1 (Separacja sieci), SR 5.2 (Izolacja stref); Dyrektywa NIS2 art. 21 ust. 2 lit. e (bezpieczeństwo sieci i systemów); Ustawa o KSC art. 8-10; ISO/IEC 27001:2022 A.8.20, A.8.22.
- Cause (5 Why): Inżynierowie logują się przez RDP z domu -> brak procedury bezpiecznego dostępu zdalnego -> presja na szybkie usuwanie awarii bez wyjazdu w teren -> brak sprzętu do strefowania DMZ i diod danych -> (Root Cause): Brak odrębnej Polityki Bezpieczeństwa Przemysłowego OT i brak świadomości kierownictwa technicznego na temat wektorów ataków APT na infrastrukturę krytyczną.
- Consequence: Ryzyko katastrofy przemysłowej (eksplozja gazociągu, pożar tłoczni), wstrzymanie dostaw gazu do strategicznych elektrowni i odbiorców przemysłowych, straty gospodarcze szacowane na setki milionów złotych dziennie, kary finansowe do 10 mln EUR z NIS2.
Krok 5 (Trójfazowy Plan Działań Korygujących - CAP):
Zestawcie tabelę CAP z podziałem na działania natychmiastowe (0-7 dni), krótkoterminowe (30 dni) i systemowe (90 dni).
Krok 6 (Projekt Nowelizacji Polityki Bezpieczeństwa):
Zredagujcie sformalizowany akt: "Załącznik Wykonawczy do PBI: Polityka Bezpieczeństwa Systemów Sterowania Przemysłowego OT/SCADA, Strefowania wg IEC 62443 i Bezwzględnej Jednokierunkowej Transmisji Danych".

Plan referatu, Executive Summary i obrony przed zarządem

Struktura 15-minutowego wystąpienia seminaryjnego:

Pitch to Board - Executive Summary (3 min): Zwięzłe przedstawienie sytuacji Zarządowi Spółki: stan skrajnego zagrożenia infrastruktury krytycznej (IR = 25/25), bezpośredni most RDP z biura do tłoczni gazu, zagrożenie sabotażem państwowym APT, wnioskowany budżet inwestycyjny CAP (Lead Auditor).
Prezentacja Matrycy 5x5 i parametrów BCM (4 min): Uzasadnienie redukcji ryzyka z 25/25 do 2/25, wymogi RTO=15 min i RPO=0 s oraz architektura stref i przewodów IEC 62443 (BCM Auditor).
Dekonstrukcja wektorów technicznych i Model 4C (4 min): Dowody audytowe połączeń RDP, demonstracja braku uwierzytelniania w protokole Modbus, procedura 5 Why wykazująca brak ładu OT (Technical SecOps Auditor).
Trójfazowy Plan CAP i Projekt Polityki OT (3 min): Harmonogram 0-7, 30, 90 dni, wskaźniki KPI (100% zlikwidowanych mostów RDP, instalacja sprzętowych diod danych, wdrożenie stacji DMZ z certyfikowanym PAM) (cały zespół).
Obrona ustaleń audytu (1 min): Odpowiedź na zarzuty Dyrektora ds. Eksploatacji Gazociągów dotyczące "utrudnienia pracy inżynierom przez likwidację pulpitów zdalnych".

Wzorcowy zakres raportu (Executive Summary, matryca ryzyka 5x5, model 4C, tabela CAP, projekt nowelizacji polityki)

Raport laboratoryjny (objętość 12-16 stron A4 znormalizowanego maszynopisu) musi obejmować:

A. Jednostronicowe Podsumowanie Zarządcze (Executive Summary - "Pitch to Board"):

Adresat: Prezes Zarządu, Wiceprezes ds. Technicznych Operatora Gazociągów Przesyłowych, Pełnomocnik Rządu ds. Strategicznej Infrastruktury Energetycznej.
Tytuł: Raport Zarządczy z Audytu Dekompozycyjnego Bezpieczeństwa Przemysłowego OT/SCADA Infrastruktury Przesyłu Gazu.
Kluczowy komunikat: System sterowania gazociągami przesyłowymi znajduje się w stanie katastrofalnego ryzyka sabotażu cybernetycznego (IR = 25/25). Stwierdzono bezpośrednie połączenia RDP pomiędzy siecią biurową a sterownikami zaworów tłoczni gazu oraz całkowity brak szyfrowania telemetrii. W razie kompromitacji stacji roboczej pracownika biurowego, obcy aktor państwowy (APT) posiada możliwość natychmiastowego otwarcia lub zamknięcia zaworów wysokiego ciśnienia.
Zagrożenia strategiczne i finansowe: Ryzyko rozszczelnienia sieci gazowej, wstrzymania pracy elektrowni systemowych, gigantycznych strat gospodarczych oraz kar do 10 mln EUR z NIS2 i odpowiedzialności karnej zarządu.
Rekomendacja strategiczna: Przyjęcie Trójfazowego Planu CAP o budżecie 850 000 PLN (zakup i montaż sprzętowych diod danych, wdrożenie przemysłowej strefy IDMZ z PAM, instalacja zapór przemysłowych z inspekcją DPI oraz wdrożenie monitoringu sieci OT przez dedykowany SOC/OT).

B. Wzorcowe rozwiązanie problemu (Raport, Matryca 5x5, Model 4C i Plan CAP):

Tabela Matrycy Ryzyka 5x5:

ID zagrożenia / luki w polityce	P	S	IR (Inherent)	Zastosowane kontrole kompensacyjne	P	S	RR (Residual)
Z1: Most RDP między siecią IT a sterownikami tłoczni	5	5	25 (Katastrofa)	Natychmiastowe odcięcie, IDMZ, PAM OT	1	2	2 (Niskie)
Z2: Brak diody danych dla eksportu telemetrii	5	5	25 (Katastrofa)	Sprzętowa jednokierunkowa dioda danych	1	2	2 (Niskie)
Z3: Brak uwierzytelniania w protokole Modbus TCP	4	5	20 (Krytyczne)	Zapory NGFW z inspekcją DPI, migracja OPC	1	2	2 (Niskie)
Z4: Niekontrolowane nośniki USB na stacjach HMI	4	4	16 (Wysokie)	Kioski dekontaminacyjne, blokada USB	1	2	2 (Niskie)
Z5: Swobodny dostęp fizyczny do szaf na stacjach	4	4	16 (Wysokie)	Wymiana zamków na system mechatroniczny	1	1	1 (Niskie)

Parametry BCM: RTO = 15 minut, RPO = 0 sekund, MTPD = 1 godzina.

Karta Niezgodności w kanonicznym modelu 4C:
- Condition: Bezpośrednie trasowanie ruchu IP i aktywne sesje RDP pomiędzy stacjami roboczymi w sieci biurowej a serwerami SCADA i sterownikami PLC na tłoczniach gazu z pominięciem zapory ogniowej i strefy DMZ.
- Criteria: Norma PN-EN IEC 62443-3-3 Wymogi SR 5.1 i SR 5.2; Dyrektywa NIS2 art. 21 ust. 2 lit. e; Ustawa o KSC art. 8 i 9; ISO/IEC 27001:2022 A.8.20, A.8.22.
- Cause (5 Why): Sesje RDP aktywne -> inżynierowie chcą pracować zdalnie -> brak autoryzowanego rozwiązania dostępu VPN dla OT -> brak dedykowanych zapór IDMZ -> (Root Cause): Brak wydzielonej polityki bezpieczeństwa dla sieci przemysłowych OT i brak egzekwowania modelu Purdue przez Dział Bezpieczeństwa IT.
- Consequence: Bezpośrednie zagrożenie sabotażem fizycznym gazociągów przesyłowych, ryzyko wybuchu i ofiar śmiertelnych, wielomiliardowe straty dla gospodarki narodowej, sankcje finansowe z Ustawy o KSC.
Tabela Trójfazowego Planu Działań Korygujących (CAP):

Faza	Zadanie naprawcze	Odpowiedzialny (RACI)	Termin	Wskaźnik KPI / KRI
Faza 1 (0-7 dni)	CAP-1: Bezwzględna fizyczna i logiczna likwidacja mostów RDP oraz odcięcie bezpośredniego routingu.	R: Główny Inżynier OT A: Dyrektor Bezpiecz.	24 godz.	0 aktywnych sesji RDP między IT i OT; 100% zablokowanego ruchu bezpośredniego.
Faza 1 (0-7 dni)	CAP-2: Wdrożenie tymczasowej procedury zakazu pracy zdalnej na systemach sterowania tłoczni.	R: Administrator SCADA A: CISO Spółki	48 godz.	100% inżynierów powiadomionych; wprowadzenie weryfikacji dwuosobowej.
Faza 2 (30 dni)	CAP-3: Wdrożenie sprzętowych diod danych (Data Diodes) dla eksportu danych z poziomu 3 OT do IT.	R: Architekt Sieci OT A: Wiceprezes Techn.	30 dni	100% ruchu telemetrycznego do systemów IT przepływa wyłącznie przez diody danych.
Faza 2 (30 dni)	CAP-4: Budowa przemysłowej strefy IDMZ z systemem PAM, rejestracją wideo i uwierzytelnianiem MFA.	R: Inżynier SecOps A: CISO Spółki	30 dni	100% połączeń zdalnych przez bastion z wymuszonym MFA i kluczem sprzętowym.
Faza 3 (90 dni)	CAP-5: Wdrożenie zapór przemysłowych NGFW z DPI dla protokołów Modbus/IEC 104 oraz wdrożenie monitoringu sieci OT w trybie ciągłym (24/7/365).	R: Kierownik Zespołu A: Dyrektor Pionu IT	90 dni	Pełna segmentacja wg normy IEC 62443; integracja logów OT z dedykowanym SOC; 0 nieautoryzowanych komend sterujących.

Sformalizowany Projekt Nowelizacji Polityki Bezpieczeństwa:
"Zarządzenie Prezesa Zarządu w sprawie:

Polityki bezpieczeństwa systemów sterowania przemysłowego OT/SCADA i separacji stref wg IEC 62443

§ 1. Zakres obowiązywania: Przepisy niniejszego dokumentu stosuje się bezwzględnie we wszystkich obiektach technologicznych, tłoczniach gazu, stacjach węzłowych i dyspozytorniach Operatora.

§ 2. Wdrożenie Modelu Purdue i Bezwzględna Separacja: Zabrania się zestawiania jakichkolwiek bezpośrednich połączeń sieciowych pomiędzy siecią biurową (IT Poziom 4) a strefą sterowania i aparatury obiektowej (OT Poziomy 0-2). Całość wymiany danych musi odbywać się za pośrednictwem Przemysłowej Strefy Zdemilitaryzowanej (IDMZ Poziom 3.5).

§ 3. Obowiązek Stosowania Sprzętowych Diod Danych: Wszelka telemetria przesyłana z systemów OT do systemów handlowych, zarządczych i chmurowych IT musi przechodzić przez fizyczne diody danych (Hardware Data Diode) uniemożliwiające powrotny przepływ jakichkolwiek pakietów do sieci przemysłowej.

§ 4. Dostęp Serwisowy i Praca Zdalna: Dostęp do stacji inżynierskich i serwerów SCADA w celach serwisowych dozwolony jest wyłącznie z dedykowanych stacji skokowych w strefie IDMZ z rejestracją sesji, autoryzacją CISO oraz uwierzytelnianiem MFA na kluczach sprzętowych FIDO2. Zabrania się stosowania narzędzi AnyDesk, TeamViewer itp.".

C. Analiza zalet, wad, ryzyk wdrożeniowych i kosztów TCO:

Zalety: Całkowite uodpornienie infrastruktury przesyłowej na ataki państwowe APT; spełnienie normy PN-EN IEC 62443 i Dyrektywy NIS2; gwarancja ciągłości przesyłu gazu dla państwa (RTO=15 min, RPO=0 s); eliminacja ryzyka sabotażu i wybuchu tłoczni.
Wady i trudności: Wysoki koszt inwestycyjny (850 000 PLN na diody danych, zapory NGFW i mechatronikę); konieczność prowadzenia prac wdrożeniowych bez wyłączania tłoczni gazu; konieczność przeszkolenia inżynierów automatyki z rygorów cyberbezpieczeństwa.

Bibliografia, netografia i regulacje prawne

Norma PN-EN IEC 62443-3-2:2020 - Bezpieczeństwo systemów automatyki przemysłowej - Ocena ryzyka i projektowanie stref.
Norma PN-EN IEC 62443-3-3:2019 - Wymagania dotyczące bezpieczeństwa systemu i poziomy bezpieczeństwa.
Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (NIS2) - sektor energii.
Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2557 w sprawie odporności podmiotów krytycznych (Dyrektywa CER).
Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (Dz.U. z 2024 r. poz. 1077).
CISA / NSA: "Control System Defense: Know the Opponent and Protect the Purdue Model", Washington 2022.

Przypisanie do efektów uczenia się z sylabusa na ocenę 5.0

U1 Student projektuje zaawansowaną architekturę polityk dla systemów OT/SCADA w oparciu o IEC 62443 i model Purdue.
U2 Student bezbłędnie identyfikuje niebezpieczne mosty technologiczne IT/OT w modelu 4C z analizą 5 Why.
U3 Student wykonuje kwantyfikację ryzyka w matrycy 5x5 przed i po zastosowaniu diod danych oraz ustala parametry BCM.
U4 Student przygotowuje trójfazowy Plan CAP oraz jednostronicowy Pitch to Board dla Zarządu spółki strategicznej.
W1W2W3 Student wykazuje dogłębną znajomość normy IEC 62443, NIS2, KSC, protokołów przemysłowych i ochrony obiektów krytycznych.
K1K2K3 Student demonstruje postawę najwyższej odpowiedzialności za bezpieczeństwo narodowe i odporność energetyczną państwa.
--------------------------------------------------------------------------------

LogiXpress S.A. – logistyka e-commerce, automaty paczkowe i IoT

Zwiń

Temat: Strategiczny Audyt Polityki Bezpieczeństwa w Rozproszonym Ekosystemie IoT i Chmurze Hybrydowej: Ochrona Danych RODO, Model 4C, Ryzyko 5X5 i Plan CAP

Schemat strategicznej analizy polityki bezpieczeństwa ekosystemu IoT automatów paczkowych pod kątem RODO i NIS2

Cel zadania i powiązanie z efektami kształcenia na ocenę 5.0

Celem zadania na ocenę 5.0 jest opanowanie umiejętności audytu strategicznego i zaawansowanej nowelizacji Polityki Bezpieczeństwa Informacji u wiodącego operatora pocztowo-logistycznego, eksploatującego rozproszoną sieć 18 000 autonomicznych automatów paczkowych (APM), 35 zautomatyzowanych centrów dystrybucyjnych (hubów) oraz flotę 12 000 kurierów wyposażonych w terminale mobilne PDA. Spółka przetwarza dane osobowe i geolokalizacyjne ponad 14 milionów użytkowników aplikacji mobilnej, podlega pod przepisy Dyrektywy NIS2 w sektorze usług pocztowych i kurierskich (podmiot ważny/kluczowy), Prawo pocztowe (tajemnica pocztowa) oraz RODO (art. 25 Privacy by Design, art. 32). Zadanie wymaga dekompozycji polityki pod kątem bezpieczeństwa urządzeń brzegowych IoT, weryfikacji kryptograficznej tożsamości maszyn (Machine Identity / PKI), szacowania ryzyka w matrycy 5x5, sformułowania ustaleń w modelu 4C z dochodzeniem przyczyn źródłowych 5 Why, skonstruowania trójfazowego Planu CAP oraz opracowania 1-stronicowego Executive Summary ("Pitch to Board") dla Zarządu LogiXpress S.A.

Powiązanie z sylabusem i treściami programowymi na ocenę 5.0:

Umiejętności U1: Opracowanie zintegrowanej Polityki Bezpieczeństwa Ekosystemu IoT, Urządzeń Brzegowych i Przetwarzania Danych w Chmurze Hybrydowej.
Umiejętności U2: Identyfikacja krytycznych podatności w warstwie fizycznej i logicznej IoT oraz sformułowanie uchybień w modelu 4C z analizą 5 Why.
Umiejętności U3: Kwantyfikacja ryzyka w matrycy 5x5 przed i po zastosowaniu mTLS i modułów TPM oraz wyznaczenie wskaźników BCM: RTO=1 godzina, RPO=5 minut, MTPD=3 godziny dla platformy logistycznej.
Umiejętności U4: Przygotowanie trójfazowego Planu CAP ze wskaźnikami KPI i KRI oraz zredagowanie Executive Summary dla Zarządu Operatora.
Wiedza W1, W2, W3: Ekspercka znajomość Dyrektywy NIS2 (sektor pocztowy), RODO (art. 5, 25, 32, 33), Prawa pocztowego (art. 41 - tajemnica pocztowa), normy ISO/IEC 27001:2022 (kontrole A.5.34, A.8.12, A.8.20, A.8.24) oraz norm chmurowych ISO/IEC 27017 i ISO/IEC 27018.
Kompetencje społeczne K1, K2, K3: Obiektywizm inżynierski, odporność na presję optymalizacji kosztów produkcji maszyn kosztem kryptografii oraz ochrona prywatności milionów obywateli.
Treści programowe: Wyk1 (Zarządzanie bezpieczeństwem w łańcuchu logistycznym), Wyk3 (Kontrole IoT i chmury ISO 27001), Wyk4 (NIS2 i RODO), Wyk5 (Matryca 5x5 i BCM), Wyk6 (Analiza firmware i logów telemetrii), Wyk7 (Model 4C i trójfazowy CAP).

Scenariusz sytuacyjny i ujawnione luki w polityce bezpieczeństwa

LogiXpress S.A. obsługuje dziennie 2,2 miliona przesyłek e-commerce. Ekosystem technologiczny spółki opiera się na automatach paczkowych sterowanych przez przemysłowe komputery jednopłytkowe (SBC) z systemem Embedded Linux, połączone z centralnym backendem w chmurze AWS za pośrednictwem modemów komórkowych LTE/5G. Każdy automat wyposażony jest w moduł sterowania zamkami elektromagnetycznymi skrytek, terminal płatniczy POS, skaner kodów oraz 3 kamery monitoringu wizyjnego CCTV.

Krytyczne luki w dokumentacji i zastałej architekturze bezpieczeństwa:

Brak wzajemnego uwierzytelniania maszyn (mTLS) i współdzielony klucz API: W obowiązującej "Instrukcji Eksploatacji Urządzeń Paczkowych" z 2021 r. stwierdzono, że komunikacja pomiędzy automatem a backendem chmurowym zabezpieczona jest statycznym tokenem API, który jest identyczny dla wszystkich 18 000 automatów w Polsce i zaszyty w nieszyfrowanym pliku konfiguracyjnym w pamięci flash. Brak wzajemnego uwierzytelniania certyfikatami mTLS umożliwia napastnikowi sfałszowanie komunikatu z automatu i zdalne otwarcie wszystkich skrytek w danej maszynie bez autoryzacji w chmurze.
Niezabezpieczone porty debugowania i brak sprzętowego Secure Boot: Analiza techniczna wykazała, że na płytach głównych sterowników automatów wyprowadzone są aktywne interfejsy UART i JTAG z prawami roota bez hasła. Fizyczne otwarcie panelu serwisowego maszyny pozwala w ciągu 3 minut wgrać złośliwy firmware, który może podsłuchiwać numery telefonów i kody odbioru wpisywane przez klientów lub przekształcić sieć 18 000 maszyn w potężny botnet IoT zdolny do sparaliżowania infrastruktury państwowej atakiem DDoS.
Nieszyfrowana transmisja strumieni wideo z kamer CCTV: Strumienie wideo z kamer monitoringu automatów (rejestrujące wizerunki milionów klientów oraz otoczenie uliczne) są przesyłane do chmury dostawcy analityki wideo za pomocą jawnego protokołu RTSP bez tunelu VPN i bez szyfrowania TLS, co stanowi rażące naruszenie art. 32 RODO.
Brak procedury zarządzania podatnościami firmware OTA (Over-The-Air): W polityce brakuje procedur kryptograficznej weryfikacji paczek aktualizacyjnych firmware, co w przeszłości doprowadziło do błędu aktualizacji i paraliżu 2 400 maszyn w okresie przedświątecznym na 36 godzin.

Wskazówki wykonania krok po kroku w formule Triady Audytorskiej (matryca ryzyka 5x5, karta 4C, dochodzenie 5 Why, parametry BCM, trójfazowy Plan CAP)

Krok 1 (Podział ról w Triadzie Audytorskiej):
- Rola A (Lead Auditor / Ekspert Sektora Logistycznego): Bada zgodność z Dyrektywą NIS2, RODO (art. 25 Privacy by Design), Prawem pocztowym, analizuje umowy z operatorami telekomunikacyjnymi i dostawcami chmury AWS, przygotowuje 1-stronicowe Executive Summary dla Zarządu.
- Rola B (Technical SecOps Auditor): Analizuje architekturę urządzeń IoT, proces Secure Boot, moduły TPM 2.0, kryptografię mTLS (PKI maszynowe), zabezpieczenie portów fizycznych UART/JTAG oraz szyfrowanie strumieni wideo RTSP/SRTP.
- Rola C (BCM & Compliance Auditor): Buduje matrycę ryzyka 5x5, ustala parametry BCM (RTO=1h, RPO=5 min), formułuje uchybienia w modelu 4C z analizą 5 Why oraz konstruuje trójfazowy Plan CAP ze wskaźnikami KPI i KRI.
Krok 2 (Dekompozycja polityki pod kątem normy ISO/IEC 27001:2022 i RODO):
Zestawcie zastałą dokumentację z kontrolami ISO 27001:2022 (A.8.12 DLP, A.8.20 Bezpieczeństwo sieci, A.8.24 Stosowanie kryptografii, A.8.31 Rozdział środowisk) oraz wytycznymi ENISA w zakresie bezpieczeństwa łańcucha dostaw IoT.
Krok 3 (Szacowanie ryzyka w matrycy 5x5 i parametry BCM):
Oceńcie Prawdopodobieństwo (1-5) i Skutek (1-5) dla kluczowych ryzyk:
- Zagrożenie 1: Przejęcie kontroli nad siecią 18 000 automatów przez uniwersalny token API i masowe otwarcie skrytek (kradzież setek tysięcy paczek). P=4, S=5 -> IR = 20/25 (Strefa Krytyczna). Kontrole: Likwidacja statycznego tokenu, wdrożenie infrastruktury PKI z unikalnymi certyfikatami mTLS powiązanymi z modułem TPM w każdej maszynie. Ryzyko rezydualne: P=1, S=3 -> RR = 3/25 (Akceptowalne).
- Zagrożenie 2: Podsłuch wizerunków klientów z nieszyfrowanych strumieni kamer RTSP (wyciek danych RODO). P=5, S=4 -> IR = 20/25. Kontrole: Wdrożenie protokołu SRTP z szyfrowaniem AES-256 oraz tuneli WireGuard/IPsec do chmury. Ryzyko rezydualne: P=1, S=2 -> RR = 2/25.
- Zagrożenie 3: Podłączenie urządzenia podsłuchowego przez otwarty port UART na płycie sterownika maszyny. P=3, S=4 -> IR = 12/25 (Strefa Wysoka). Kontrole: Fizyczna dezaktywacja złącz UART na etapie produkcji płyt, sensory sabotażu obudowy (Tamper Detection). Ryzyko rezydualne: P=1, S=1 -> RR = 1/25.
- Zagrożenie 4: Wdrożenie złośliwego firmware przez niepodpisane paczki aktualizacyjne OTA. P=3, S=5 -> IR = 15/25. Kontrole: Kryptograficzne podpisywanie aktualizacji kluczem RSA-4096 / Ed25519 z weryfikacją w Secure Boot. Ryzyko rezydualne: P=1, S=2 -> RR = 2/25.
Parametry BCM: RTO = 1 godzina (przywrócenie łączności z siecią automatów), RPO = 5 minut (maksymalna utrata logów zdarzeń otwarcia skrytek), MTPD = 3 godziny (maksymalny próg paraliżu logistycznego).
Krok 4 (Karta Ustalenia w kanonicznym modelu 4C):
Opracujcie pełną kartę 4C dla uniwersalnego klucza API i braku mTLS:
- Condition: Wykorzystywanie jednego, statycznego tokenu API zapisanego jawnym tekstem we wszystkich 18 000 automatach paczkowych do autoryzacji poleceń otwarcia skrytek i potwierdzania odbioru.
- Criteria: ISO/IEC 27001:2022 A.8.20, A.8.24; Dyrektywa NIS2 art. 21 ust. 2 lit. e i f (kryptografia i bezpieczeństwo dostępu); RODO art. 32; Prawo pocztowe art. 41.
- Cause (5 Why): Statyczny token w pliku -> programiści użyli go na etapie testów 5 lat temu -> nikt nie zmigrował do indywidualnych certyfikatów -> brak infrastruktury PKI w spółce -> (Root Cause): Brak nadrzędnej Polityki Bezpieczeństwa Urządzeń IoT i brak wymogów Security by Design przy projektowaniu architektury maszyn paczkowych.
- Consequence: Ryzyko zdalnego otwarcia tysięcy skrytek w całym kraju przez grupy przestępcze, gigantyczne straty odszkodowawcze, utrata reputacji, kary finansowe od Prezesa UODO (do 20 mln EUR) oraz Prezesa UKE za naruszenie tajemnicy pocztowej.
Krok 5 (Trójfazowy Plan Działań Korygujących - CAP):
Zestawcie tabelę CAP z podziałem na fazy: natychmiastową (0-7 dni), krótkoterminową (30 dni) i systemową (90 dni).
Krok 6 (Projekt Nowelizacji Polityki Bezpieczeństwa):
Zredagujcie sformalizowaną procedurę: "Załącznik Wykonawczy do PBI: Polityka Bezpieczeństwa Urządzeń Brzegowych IoT, Tożsamości Maszynowej i Ochrony Prywatności w Sieci Automatów Paczkowych".

Plan referatu, Executive Summary i obrony przed zarządem

Struktura 15-minutowego wystąpienia seminaryjnego:

Pitch to Board - Executive Summary (3 min): Zwięzłe przedstawienie sytuacji Zarządowi Spółki: stan skrajnego zagrożenia kradzieżą milionów przesyłek (IR = 20/25) przez jeden statyczny klucz API, wyciek wizerunków klientów z kamer, budżet i ROI programu naprawczego (Lead Auditor).
Prezentacja Matrycy Ryzyka 5x5 i parametrów BCM (4 min): Uzasadnienie redukcji ryzyka z 20/25 do 2-3/25, wymóg RTO=1h i RPO=5 min oraz architektura tożsamości maszynowej PKI/mTLS (BCM Auditor).
Dekonstrukcja wektorów technicznych i Model 4C (4 min): Dowody audytowe podsłuchu kamer RTSP, analiza firmware IoT, procedura 5 Why wykazująca zaniechania architektoniczne (Technical SecOps Auditor).
Trójfazowy Plan CAP i Projekt Polityki IoT (3 min): Harmonogram 0-7, 30, 90 dni, wskaźniki KPI (100% maszyn z certyfikatem mTLS w TPM, wdrożenie szyfrowania SRTP, bezpieczne aktualizacje OTA z Secure Boot) (cały zespół).
Obrona ustaleń audytu (1 min): Odpowiedź na zarzuty Dyrektora Operacyjnego dotyczące "ryzyka wstrzymania nadań paczek podczas rekonfiguracji oprogramowania".

Wzorcowy zakres raportu (Executive Summary, matryca ryzyka 5x5, model 4C, tabela CAP, projekt nowelizacji polityki)

Raport laboratoryjny (objętość 12-16 stron A4 znormalizowanego maszynopisu) musi obejmować:

A. Jednostronicowe Podsumowanie Zarządcze (Executive Summary - "Pitch to Board"):

Adresat: Prezes Zarządu, Wiceprezes ds. Technologii i Rozwoju, Dyrektor Bezpieczeństwa LogiXpress S.A.
Tytuł: Raport Zarządczy z Audytu Dekompozycyjnego Bezpieczeństwa Ekosystemu IoT i Ochrony Danych Osobowych.
Kluczowy komunikat strategiczny: Flota 18 000 automatów paczkowych funkcjonuje w warunkach krytycznej podatności na ataki hakerskie (IR = 20/25). Zidentyfikowano jeden uniwersalny klucz API sterujący otwieraniem skrytek w całym kraju oraz nieszyfrowaną transmisję obrazu z kamer monitoringu. Złamanie tokenu grozi masowym rabunkiem zawartości skrytek i kompromitacją wizerunku firmy.
Zagrożenia regulacyjne i finansowe: Ryzyko kar finansowych od UODO (do 20 mln EUR) oraz UKE; roszczenia odszkodowawcze platform e-commerce i klientów szacowane na 50-80 mln PLN; ryzyko unieruchomienia sieci logistycznej.
Rekomendacja strategiczna: Przyjęcie Trójfazowego Planu CAP o budżecie 580 000 PLN (uruchomienie własnego CA do certyfikacji maszyn, wdrożenie mTLS na bazie modułów TPM, szyfrowanie strumieni wideo SRTP i mechanizm Secure Boot dla aktualizacji OTA). Zwrot z inwestycji: bezwzględna ochrona przesyłek, spełnienie NIS2 i certyfikacja ISO/IEC 27001.

B. Wzorcowe rozwiązanie problemu (Raport, Matryca 5x5, Model 4C i Plan CAP):

Tabela Matrycy Ryzyka 5x5:

ID zagrożenia / luki w polityce	P	S	IR (Inherent)	Zastosowane kontrole kompensacyjne	P	S	RR (Residual)
Z1: Statyczny token API dla 18 000 automatów	4	5	20 (Krytyczne)	PKI maszynowe, unikalny certyfikat mTLS	1	3	3 (Niskie)
Z2: Nieszyfrowany strumień wideo RTSP z kamer	5	4	20 (Krytyczne)	Szyfrowanie SRTP, dedykowany tunel VPN	1	2	2 (Niskie)
Z3: Otwarte złącza UART/JTAG na płycie sterownika	3	4	12 (Wysokie)	Odcięcie ścieżek UART, czujniki Tamper	1	1	1 (Niskie)
Z4: Niepodpisane paczki aktualizacyjne firmware OTA	3	5	15 (Wysokie)	Secure Boot, kryptograficzny podpis RSA	1	2	2 (Niskie)
Z5: Brak retencji logów operacji na skrytkach	4	3	12 (Wysokie)	Centralny SIEM, buforowanie lokalne WORM	1	1	1 (Niskie)

Parametry BCM: RTO = 1 godzina, RPO = 5 minut, MTPD = 3 godziny.

Karta Niezgodności w kanonicznym modelu 4C:
- Condition: Statyczny, niezmieniany od 5 lat token API zaszyty w kodzie oprogramowania sterującego wszystkimi 18 000 automatami paczkowymi; możliwość wywołania polecenia otwarcia dowolnej skrytki przez sfingowany request HTTP.
- Criteria: ISO/IEC 27001:2022 A.8.20, A.8.24; Dyrektywa NIS2 art. 21 ust. 2 lit. e; RODO art. 32 ust. 1 lit. d; Prawo pocztowe art. 41.
- Cause (5 Why): Token wpisany na stałe -> ułatwienie masowego wdrażania maszyn przez monterów -> brak automatyzacji rejestracji urządzeń -> brak korporacyjnego PKI -> (Root Cause): Brak nadrzędnej architektury tożsamości maszynowej (Machine Identity Management) i brak nadzoru bezpieczeństwa nad cyklem życia urządzeń brzegowych.
- Consequence: Zagrożenie masową kradzieżą paczek o wartości dziesiątek milionów złotych, kary do 20 mln EUR z RODO, odpowiedzialność karna zarządu za zaniechanie ochrony tajemnicy pocztowej.
Tabela Trójfazowego Planu Działań Korygujących (CAP):

Faza	Zadanie naprawcze	Odpowiedzialny (RACI)	Termin	Wskaźnik KPI / KRI
Faza 1 (0-7 dni)	CAP-1: Wdrożenie reguł WAF w chmurze blokujących podejrzane pakiety API oraz rotacja klucza głównego.	R: Architekt Chmury A: CISO Spółki	48 godz.	100% zablokowanych podejrzanych zapytań z adresów IP spoza sieci APN operatora.
Faza 1 (0-7 dni)	CAP-2: Wdrożenie tuneli IPsec dla kamer CCTV.	R: Administrator Sieci	7 dni	0 nieszyfrowanych strumieni RTSP w sieci.
Faza 2 (30 dni)	CAP-3: Wdrożenie wewnętrznego centrum certyfikacji (Private CA) i dystrybucja certyfikatów mTLS do TPM.	R: Architekt PKI A: Dyrektor Pionu IT	30 dni	Wygenerowanie 18 000 unikalnych par kluczy w modułach TPM automatów paczkowych.
Faza 2 (30 dni)	CAP-4: Uruchomienie mechanizmu bezpiecznego Secure Boot dla paczek aktualizacji oprogramowania maszyn.	R: Główny Programista A: Dyrektor Bezp. IoT	30 dni	100% aktualizacji OTA podpisywanych kluczem RSA-4096 z weryfikacją skrótu.
Faza 3 (90 dni)	CAP-5: Wdrożenie nadrzędnej "Polityki Bezpieczeństwa Urządzeń IoT", eliminacja portów UART w nowych partiach maszyn oraz integracja logów z SIEM.	R: Pełnomocnik SZBI A: Prezes Zarządu	90 dni	100% maszyn z włączonym mTLS i czujnikami sabotażu; audyt zgodności z NIS2 i RODO.

Sformalizowany Projekt Nowelizacji Polityki Bezpieczeństwa:
"Zarządzenie Zarządu LogiXpress S.A. w sprawie:

Polityki bezpieczeństwa urządzeń brzegowych IoT i tożsamości maszynowej w sieci automatów paczkowych

§ 1. Zakres stosowania: Niniejsza procedura normuje standardy konstrukcyjne, konfiguracyjne i operacyjne wszystkich urządzeń brzegowych, w szczególności automatów paczkowych APM.

§ 2. Wzajemne Uwierzytelnianie i Tożsamość Maszynowa: Każde urządzenie APM musi posiadać unikalny certyfikat kryptograficzny x.509 wygenerowany w sprzętowym module TPM 2.0. Zabrania się stosowania statycznych tokenów API oraz wspólnych poświadczeń dla więcej niż jednej maszyny. Całość komunikacji z chmurą odbywa się z wymuszeniem mTLS 1.3.

§ 3. Ochrona Strumieni Wizyjnych: Sygnał wideo z kamer monitoringu podlega obowiązkowemu szyfrowaniu na poziomie urządzenia za pomocą protokołu SRTP z kluczem AES-256. Przesyłanie strumieni otwartym protokołem RTSP jest kategorycznie zabronione.

§ 4. Zabezpieczenie Fizyczne Płyt Sterujących: Wszelkie interfejsy programistyczne i diagnostyczne (UART, JTAG) na płytach głównych muszą być trwale dezaktywowane (odcięte ścieżki lub spalone bezpieczniki konfiguracyjne) przed montażem maszyny w terenie. Otwarcie panelu serwisowego musi generować natychmiastowy alarm sabotażowy (Tamper Alert) do centralnego SOC".

C. Analiza zalet, wad, ryzyk wdrożeniowych i kosztów TCO:

Zalety: Wyeliminowanie ryzyka masowego rabunku skrytek; pełna zgodność z RODO i NIS2; ochrona prywatności klientów; podniesienie niezawodności sieci maszyn (RTO=1h, RPO=5 min).
Wady i trudności: Koszt wdrożenia PKI i rekonfiguracji oprogramowania (580 000 PLN); wyzwanie operacyjne związane z bezpieczną aktualizacją OTA dla 18 000 urządzeń w zróżnicowanych warunkach zasięgu komórkowego.

Bibliografia, netografia i regulacje prawne

Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (NIS2) - usługi pocztowe i kurierskie.
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 25, 32.
Ustawa z dnia 23 listopada 2012 r. - Prawo pocztowe (Dz.U. z 2023 r. poz. 1640).
ENISA: "Good Practices for Security of IoT - Secure Software Development Lifecycle", Ateny 2021.
Norma PN-EN ISO/IEC 27001:2022 - Systemy zarządzania bezpieczeństwem informacji.
NIST SP 800-213: "IoT Device Cybersecurity Guidance for the Federal Government".

Przypisanie do efektów uczenia się z sylabusa na ocenę 5.0

U1 Student projektuje kompleksową architekturę polityk dla wielkoskalowego, rozproszonego ekosystemu IoT.
U2 Student identyfikuje krytyczne uchybienia w architekturze tożsamości urządzeń w modelu 4C z analizą 5 Why.
U3 Student wykonuje kwantyfikację ryzyka w matrycy 5x5 i wyznacza metryki BCM dla sieci logistycznej.
U4 Student przygotowuje trójfazowy Plan CAP oraz jednostronicowe Executive Summary dla Zarządu.
W1W2W3 Student demonstruje wiedzę z zakresu kryptografii IoT (TPM, mTLS), RODO, NIS2 i prawa pocztowego.
K1K2K3 Student przejawia postawę dbałości o bezpieczeństwo danych obywateli i niezawodność łańcucha logistycznego.
--------------------------------------------------------------------------------

FinBaaS Solutions – FinTech Software House, bankowość jako usługa (BaaS)

Zwiń

Temat: Strategiczna Analiza Polityki Secure SDLC, DevSecOps, Potoków CI/CD, Kubernetes, Modelu 4C, Ryzyka 5X5 i Trójfazowego Planu CAP

Schemat strategicznej dekompozycji polityki Secure SDLC i DevSecOps w bankowym software house pod kątem DORA i PCI DSS

Cel zadania i powiązanie z efektami kształcenia na ocenę 5.0

Głównym celem zadania na ocenę 5.0 jest wykształcenie u studentów najwyższych kompetencji audytorsko-architektonicznych w zakresie dekompozycji i nowelizacji Polityki Bezpiecznego Wytwarzania Oprogramowania (Secure SDLC / DevSecOps) w wyspecjalizowanym software house świadczącym usługi Bankowości jako Usługi (Banking-as-a-Service - BaaS) oraz tworzącym oprogramowanie Open Banking API dla 12 banków komercyjnych w Unii Europejskiej. Środowisko wytwórcze opiera się na mikroserwisach w kontenerach Kubernetes (AWS EKS), automatycznych potokach GitLab CI/CD oraz obsłudze 2,5 miliona zapytań API na godzinę. Spółka podlega bezpośrednio rygorom Rozporządzenia DORA (zarządzanie ryzykiem ICT i bezpieczeństwo oprogramowania), standardowi kartowemu PCI DSS v4.0 (Rozdział 6: Bezpieczne wytwarzanie i utrzymanie systemów), normie PN-EN ISO/IEC 27001:2022 (kontrole A.8.25-A.8.34) oraz wytycznym OWASP SAMM i ASVS. Zadanie wymaga identyfikacji luk w potokach wdrożeniowych, sformułowania uchybień w kanonicznym modelu 4C z analizą przyczyn źródłowych 5 Why, oszacowania ryzyka w matrycy 5x5, opracowania trójfazowego Planu CAP ze wskaźnikami KPI oraz zredagowania Polityki Secure SDLC i Bramek DevSecOps wraz z 1-stronicowym Executive Summary dla Zarządu.

Powiązanie z sylabusem i treściami programowymi na ocenę 5.0:

Umiejętności U1: Projektowanie zaawansowanej Polityki Secure SDLC integrującej bramki bezpieczeństwa w potokach DevSecOps.
Umiejętności U2: Identyfikacja podatności łańcucha dostaw kodu (Supply Chain Security) i sformułowanie uchybień w modelu 4C z analizą 5 Why.
Umiejętności U3: Analiza ryzyka w matrycy 5x5 przed i po zastosowaniu narzędzi SAST/DAST/SCA oraz wyznaczenie wskaźników BCM: RTO=30 minut, RPO=0 minut dla bazy transakcyjnej core-bankingu.
Umiejętności U4: Przygotowanie trójfazowego Planu CAP z metrykami KPI/KRI oraz zredagowanie Executive Summary dla Zarządu i Rady Dyrektorów.
Wiedza W1, W2, W3: Ekspercka znajomość Rozporządzenia DORA (art. 9, 26, 27), standardu PCI DSS v4.0 (Wymóg 6), normy PN-EN ISO/IEC 27001:2022 (kontrole A.8.25-A.8.34), wytycznych OWASP Top 10 API Security oraz normy NIST SP 800-218 (Secure Software Development Framework).
Kompetencje społeczne K1, K2, K3: Niezależność audytorska, asertywność wobec presji terminów release'ów narzucanych przez Product Ownerów oraz etyka w inżynierii oprogramowania finansowego.
Treści programowe: Wyk2 (Zasady badania procesów IT), Wyk3 (Kontrole Secure Coding ISO 27001), Wyk4 (DORA w łańcuchu dostaw oprogramowania), Wyk5 (Matryca 5x5 i BCM), Wyk6 (Analiza logów CI/CD i artefaktów), Wyk7 (Model 4C i trójfazowy CAP).

Scenariusz sytuacyjny i ujawnione luki w polityce bezpieczeństwa

FinTech Software House rozwija i utrzymuje chmurową platformę BaaS, integrującą bramki płatnicze, rachunki wirtualne oraz moduły scoringu kredytowego. Nad kodem pracuje 80 programistów w 8 zespołach Scrumowych. Wdrożenia na środowisko produkcyjne odbywają się w modelu Continuous Deployment (średnio 25 wydań dziennie).

Krytyczne ustalenia audytu zerowego i luki w polityce wytwórczej:

Wyciek sekretów i poświadczeń produkcyjnych w repozytoriach git: W obowiązującej "Instrukcji Pracy Programisty" z 2021 r. brakuje zakazu wprowadzania poświadczeń do repozytoriów. W trakcie audytu w historii commitów publicznego repozytorium GitLab odnaleziono produkcyjne klucze AWS Access Keys z uprawnieniami AdministratorAccess oraz prywatny klucz do certyfikatu podpisującego tokeny JWT bankowości otwartej.
Brak bramek bezpieczeństwa (Quality Gates) w potokach CI/CD: W potokach wdrożeniowych całkowicie wyłączono automatyczne skanery statyczne (SAST) oraz analizę podatności bibliotek open source (SCA / SBOM), ponieważ "spowalniały proces budowania kontenerów". W rezultacie wdrożono mikroserwis autoryzacyjny zawierający 4 krytyczne podatności zero-day (w tym podatną bibliotekę logującą z możliwością zdalnego wykonania kodu RCE) oraz podatność typu BOLA (Broken Object Level Authorization), umożliwiającą pobranie historii transakcji dowolnego klienta banku poprzez zmianę identyfikatora `account_id` w zapytaniu REST API.
Brak separacji uprawnień w klastrach Kubernetes: Deweloperzy posiadają bezpośredni dostęp administracyjny (uprawnienia `cluster-admin`) do produkcyjnych klastrów AWS EKS za pośrednictwem lokalnych plików `kubeconfig` na laptopach, co uniemożliwia jakąkolwiek imienną rozliczalność i łamie wymóg separacji środowisk deweloperskich od produkcyjnych (PCI DSS Wymóg 6.4.1).
Brak audytowalności i testów ciągłości działania (BCM): W polityce brak zdefiniowanych parametrów RTO i RPO dla platformy transakcyjnej. Klastry EKS są skonfigurowane w jednym Regionie AWS bez zautomatyzowanego planu Disaster Recovery w drugim regionie.

Wskazówki wykonania krok po kroku w formule Triady Audytorskiej (matryca ryzyka 5x5, karta 4C, dochodzenie 5 Why, parametry BCM, trójfazowy Plan CAP)

Krok 1 (Podział ról w Triadzie Audytorskiej):
- Rola A (Lead Auditor / Ekspert DevSecOps i DORA): Odpowiada za ład zarządczy oprogramowania, zgodność z DORA art. 9 i 26, PCI DSS v4.0 Wymóg 6, przygotowuje 1-stronicowe Executive Summary ("Pitch to Board") dla Zarządu FinTechu i banków partnerskich.
- Rola B (Technical SecOps Auditor): Przeprowadza techniczny audyt skryptów potoków `.gitlab-ci.yml`, konfiguracji klastrów Kubernetes (RBAC, Network Policies, Pod Security Standards), narzędzi Secret Detection (TruffleHog), skanerów SAST/SCA oraz testów podatności API (OWASP API Top 10).
- Rola C (BCM & Compliance Auditor): Buduje matrycę ryzyka 5x5, ustala parametry BCM (RTO=30 min, RPO=0 min dla bazy transakcyjnej), formułuje kartę uchybienia w modelu 4C z analizą 5 Why oraz konstruuje trójfazowy Plan CAP ze wskaźnikami KPI.
Krok 2 (Przegląd zastałej dokumentacji pod kątem ISO/IEC 27001:2022):
Zweryfikujcie procedury pod kątem nowych kontroli Załącznika A: A.8.25 (Cykl życia rozwoju), A.8.26 (Wymagania bezpieczeństwa aplikacji), A.8.27 (Architektura bezpiecznych systemów), A.8.28 (Bezpieczne kodowanie), A.8.31 (Separacja środowisk deweloperskich i produkcyjnych) oraz A.8.32 (Zarządzanie zmianą).
Krok 3 (Szacowanie ryzyka w matrycy 5x5 i parametry BCM):
Oceńcie Prawdopodobieństwo (1-5) i Skutek (1-5) dla kluczowych ryzyk:
- Zagrożenie 1: Wyciek kluczy AWS z repozytorium i przejęcie bazy transakcyjnej banku przez napastnika. P=5, S=5 -> IR = 25/25 (Strefa Katastrofalna). Kontrole: Narzędzia pre-commit hook (Secret Scanning), HashiCorp Vault / AWS Secrets Manager, rotacja kluczy, likwidacja uprawnień stałych. Ryzyko rezydualne: P=1, S=2 -> RR = 2/25 (Akceptowalne).
- Zagrożenie 2: Podatność BOLA w API pozwalająca na masową eksfiltrację sald i historii rachunków klientów. P=4, S=5 -> IR = 20/25. Kontrole: Bramki DAST w CI/CD, testy kontraktowe autoryzacji w API, WAF z modułem API Protection. Ryzyko rezydualne: P=1, S=2 -> RR = 2/25.
- Zagrożenie 3: Wstrzyknięcie złośliwego kodu do kontenerów przez podatne zależności open source (brak SBOM). P=4, S=4 -> IR = 16/25 (Strefa Wysoka). Kontrole: Obowiązkowe generowanie SBOM (CycloneDX) i automatyczna blokada potoku przy podatnościach CVE High/Critical. Ryzyko rezydualne: P=1, S=2 -> RR = 2/25.
- Zagrożenie 4: Awaria klastra Kubernetes i brak procedury DR w drugim regionie chmurowym. P=3, S=5 -> IR = 15/25. Kontrole: Architektura Multi-Region z automatycznym failoverem i replikacją synchroniczną baz danych. Ryzyko rezydualne: P=1, S=2 -> RR = 2/25.
Parametry BCM: RTO = 30 minut (pełne odtworzenie klastrów mikroserwisów z kodu IaC), RPO = 0 minut (zerowa utrata transakcji księgowych), MTPD = 2 godziny (maksymalny akceptowalny czas niedostępności bankowości).
Krok 4 (Karta Ustalenia w kanonicznym modelu 4C):
Opracujcie pełną kartę 4C dla wycieku sekretów i braku bramek w CI/CD:
- Condition: Produkcyjne klucze AWS i klucz do podpisywania tokenów JWT zdeponowane w jawnym tekście w repozytorium kodu; brak automatycznych testów bezpieczeństwa SAST/SCA w potokach GitLab CI/CD.
- Criteria: ISO/IEC 27001:2022 A.8.28, A.8.31; Rozporządzenie DORA art. 9 i art. 26; PCI DSS v4.0 Wymóg 6.3.2 i 6.4.1; wytyczne NIST SSDF.
- Cause (5 Why): Klucze w repozytorium -> deweloperzy potrzebowali szybkiego dostępu do testów -> brak centralnego magazynu sekretów (Vault) -> brak egzekwowania reguł pre-commit w polityce -> (Root Cause): Brak zintegrowanej Polityki Secure SDLC, brak kultury DevSecOps oraz przedkładanie szybkości dostarczania funkcji biznesowych nad elementarne wymogi bezpieczeństwa oprogramowania finansowego.
- Consequence: Ryzyko całkowitej kompromitacji platformy bankowej, kradzież tożsamości setek tysięcy użytkowników, utrata kontraktów z 12 bankami komercyjnymi, gigantyczne kary finansowe z PCI DSS (do 100 tys. USD miesięcznie) i DORA (do 10% obrotu).
Krok 5 (Trójfazowy Plan Działań Korygujących - CAP):
Zestawcie tabelę CAP z podziałem na działania natychmiastowe (0-7 dni), krótkoterminowe (30 dni) i systemowe (90 dni).
Krok 6 (Projekt Nowelizacji Polityki Bezpieczeństwa):
Zredagujcie sformalizowaną procedurę: "Polityka Bezpiecznego Cyklu Życia Wytwarzania Oprogramowania (Secure SDLC) i Standardów Bramek Bezpieczeństwa DevSecOps".

Plan referatu, Executive Summary i obrony przed zarządem

Struktura 15-minutowego wystąpienia seminaryjnego:

Pitch to Board - Executive Summary (3 min): Zwięzłe przedstawienie sytuacji Zarządowi i Dyrektorowi Technicznemu (CTO): krytyczne ryzyko kompromitacji banków partnerskich (IR = 25/25) przez wyciek kluczy w git, podatności BOLA, budżet i harmonogram wdrożenia DevSecOps (Lead Auditor).
Prezentacja Matrycy Ryzyka 5x5 i parametrów BCM (4 min): Uzasadnienie redukcji ryzyka z 25/25 do 2/25, spełnienie RTO=30 min i RPO=0 min dla klastrów EKS oraz integracja z modelem DORA (BCM Auditor).
Dekonstrukcja wektorów technicznych i Model 4C (4 min): Dowody audytowe z commitów git, analiza podatności BOLA w Open Banking API, procedura 5 Why wykazująca brak ładu DevSecOps (Technical SecOps Auditor).
Trójfazowy Plan CAP i Projekt Polityki Secure SDLC (3 min): Harmonogram 0-7, 30, 90 dni, wskaźniki KPI (100% commitów skanowanych przez pre-commit hook, zero sekretów w repozytoriach, 100% zablokowanych podatności CVE Critical w potokach CI/CD) (cały zespół).
Obrona ustaleń audytu (1 min): Odpowiedź na zarzuty Product Ownerów dotyczące rzekomego "spowolnienia procesu wydawniczego przez bramki bezpieczeństwa".

Wzorcowy zakres raportu (Executive Summary, matryca ryzyka 5x5, model 4C, tabela CAP, projekt nowelizacji polityki)

Raport laboratoryjny (objętość 12-16 stron A4 znormalizowanego maszynopisu) musi obejmować:

A. Jednostronicowe Podsumowanie Zarządcze (Executive Summary - "Pitch to Board"):

Adresat: Prezes Zarządu, Członkowie Zarządu ds. Technologii (CTO), Dyrektor ds. Zgodności (Compliance) FinTech Software House.
Tytuł: Raport Zarządczy z Audytu Dekompozycyjnego Bezpieczeństwa Wytwarzania Oprogramowania Bankowego i Architektury DevSecOps.
Kluczowy komunikat strategiczny: Platforma BaaS obarczona jest stanem katastrofalnego ryzyka kompromitacji (IR = 25/25). Zidentyfikowano produkcyjne klucze AWS i klucz do tokenów JWT w otwartym repozytorium kodu, wyłączenie automatycznych testów bezpieczeństwa oraz podatności BOLA w API bankowym. Taki stan zagraża natychmiastowym zerwaniem umów przez 12 partnerskich banków komercyjnych.
Zagrożenia finansowe i kontraktowe: Kary z tytułu naruszenia standardu PCI DSS (do 500 000 USD) oraz DORA; roszczenia odszkodowawcze banków z tytułu przestoju i wycieku danych; ryzyko utraty certyfikatu ISO/IEC 27001.
Rekomendacja strategiczna: Przyjęcie Trójfazowego Planu CAP o budżecie 360 000 PLN (wdrożenie centralnego magazynu sekretów HashiCorp Vault, integracja narzędzi SAST/DAST/SCA w potokach CI/CD, likwidacja uprawnień administracyjnych programistów do produkcji i wdrożenie GitOps). Zwrot z inwestycji: zachowanie kontraktów bankowych i pełna zgodność z DORA.

B. Wzorcowe rozwiązanie problemu (Raport, Matryca 5x5, Model 4C i Plan CAP):

Tabela Matrycy Ryzyka 5x5:

ID zagrożenia / luki w polityce	P	S	IR (Inherent)	Zastosowane kontrole kompensacyjne	P	S	RR (Residual)
Z1: Wyciek sekretów produkcyjnych w repozytorium git	5	5	25 (Katastrofa)	HashiCorp Vault, pre-commit, rotacja	1	2	2 (Niskie)
Z2: Podatność BOLA w Open Banking API	4	5	20 (Krytyczne)	Bramki DAST w CI/CD, testy kontraktowe	1	2	2 (Niskie)
Z3: Podatności zero-day w komponentach open source	4	4	16 (Wysokie)	Generowanie SBOM, blokada potoku przy CVE	1	2	2 (Niskie)
Z4: Dostęp `cluster-admin` programistów do K8s prod	4	4	16 (Wysokie)	Likwidacja dostępu, wdrożenie ArgoCD	1	1	1 (Niskie)
Z5: Brak redundancji multi-region klastrów EKS	3	5	15 (Wysokie)	Architektura Active-Passive w chmurze AWS	1	2	2 (Niskie)

Parametry BCM: RTO = 30 minut, RPO = 0 minut, MTPD = 2 godziny.

Karta Niezgodności w kanonicznym modelu 4C:
- Condition: Przechowywanie kluczy AWS oraz prywatnego klucza certyfikatu JWT w publicznym pliku konfiguracyjnym w repozytorium kodu; brak automatycznych testów SAST/SCA w potokach GitLab CI/CD.
- Criteria: ISO/IEC 27001:2022 A.8.28, A.8.31; Rozporządzenie DORA art. 9 i 26; PCI DSS v4.0 Wymóg 6.3.2 i 6.4.1.
- Cause (5 Why): Klucze w kodzie -> brak wymuszonego magazynu sekretów -> presja na szybkie wdrożenia -> wyłączenie skanerów w potokach -> (Root Cause): Brak nadrzędnej Polityki Secure SDLC i podporządkowanie procedur bezpieczeństwa presji czasowej zespołów deweloperskich.
- Consequence: Możliwość przejęcia infrastruktury chmurowej banków, sfałszowania autoryzacji milionów transakcji, utrata licencji dostawcy BaaS, kary z DORA do 10% obrotu.
Tabela Trójfazowego Planu Działań Korygujących (CAP):

Faza	Zadanie naprawcze	Odpowiedzialny (RACI)	Termin	Wskaźnik KPI / KRI
Faza 1 (0-7 dni)	CAP-1: Natychmiastowa rotacja wszystkich ujawnionych poświadczeń AWS i certyfikatu JWT; usunięcie historii commitów za pomocą narzędzia BFG Repo-Cleaner.	R: Inżynier SecOps A: CISO FinTechu	24 godz.	100% unieważnionych starych kluczy; 0 sekretów w historii commitów git.
Faza 1 (0-7 dni)	CAP-2: Odebranie uprawnień `cluster-admin` do produkcyjnych klastrów EKS wszystkim deweloperom.	R: Administrator K8s A: Dyrektor Pionu IT	48 godz.	0 bezpośrednich dostępów do produkcji; wdrożenie tymczasowego dostępu Break-Glass.
Faza 2 (30 dni)	CAP-3: Wdrożenie centralnego magazynu sekretów HashiCorp Vault ze zautomatyzowaną rotacją kluczy.	R: Architekt Chmury A: CTO	30 dni	100% aplikacji pobiera poświadczenia dynamicznie; czas życia tokenu < 1h.
Faza 2 (30 dni)	CAP-4: Wdrożenie obowiązkowych bramek DevSecOps (SAST, SCA, Secret Detection) w potokach GitLab.	R: Lider Zespołu QA A: Główny Architekt	30 dni	100% potoków CI/CD z testami SAST/SCA; 0 podatności CVE Critical/High w wydaniach.
Faza 3 (90 dni)	CAP-5: Wdrożenie nadrzędnej "Polityki Bezpiecznego Wytwarzania Oprogramowania (Secure SDLC)", wdrożenie GitOps (ArgoCD) oraz szkolenia programistów	R: Pełnomocnik SZBI A: Prezes Zarządu	90 dni	Zatwierdzenie polityki przez Zarząd; certyfikacja zgodności z DORA i PCI DSS; 100% deweloperów przeszkolonych z OWASP.

Sformalizowany Projekt Nowelizacji Polityki Bezpieczeństwa:
"Uchwała Zarządu w sprawie:

Polityki bezpiecznego cyklu życia wytwarzania oprogramowania (secure SDLC) i standardów DevSecOps

§ 1. Postanowienia ogólne: Polityka określa obligatoryjne wymagania bezpieczeństwa dla wszystkich etapów cyklu życia oprogramowania finansowego (projektowanie, programowanie, testowanie, wdrażanie i utrzymanie).

§ 2. Bezwzględny Zakaz Zapisywania Sekretów w Kodzie: Zabrania się umieszczania jakichkolwiek kluczy dostępowych, haseł, certyfikatów i tokenów w plikach źródłowych lub repozytoriach kodu. Wszelkie poświadczenia muszą być pobierane w czasie działania kontenera ze scentralizowanego magazynu sekretów (Vault) z wykorzystaniem tożsamości maszynowej IAM.

§ 3. Obowiązkowe Bramki Bezpieczeństwa (Quality Gates): Każdy potok CI/CD musi zawierać zautomatyzowane etapy weryfikacji: Secret Detection, SAST, SCA z generowaniem SBOM (CycloneDX) oraz DAST dla interfejsów API. Wykrycie podatności o poziomie CVSS >= 7.0 (High/Critical) skutkuje automatycznym przerwaniem budowania i zablokowaniem wdrożenia.

§ 4. Separacja Środowisk i Model GitOps: Dostęp do środowisk produkcyjnych przysługuje wyłącznie zautomatyzowanym narzędziom GitOps (ArgoCD). Programiści nie mają prawa bezpośredniego dostępu do klastrów produkcyjnych. Dostęp awaryjny (Break-Glass) wymaga autoryzacji CISO i jest rejestrowany w SIEM".

C. Analiza zalet, wad, ryzyk wdrożeniowych i kosztów TCO:

Zalety: Całkowita eliminacja ryzyka kompromitacji platformy BaaS; zachowanie kontraktów z bankami partnerskimi; pełna zgodność z DORA i PCI DSS v4.0; skrócenie czasu usuwania podatności (Mean Time to Remediate) o 80%.
Wady i koszty operacyjne: Koszt licencji HashiCorp Vault i narzędzi SAST/DAST szacowany na 360 000 PLN; konieczność przeszkolenia 80 deweloperów; początkowe wydłużenie czasu wykonywania potoków CI/CD o 8-12 minut.

Bibliografia, netografia i regulacje prawne

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 (DORA) - art. 9, 26, 27.
Payment Card Industry Data Security Standard (PCI DSS) Requirements and Security Assessment Procedures, v4.0 - Requirement 6.
Norma PN-EN ISO/IEC 27001:2022 - Załącznik A: A.8.25-A.8.34.
NIST Special Publication 800-218: "Secure Software Development Framework (SSDF) Version 1.1", Gaithersburg 2022.
OWASP Top 10 API Security Risks 2023 (w szczególności API1:2023 Broken Object Level Authorization).

Przypisanie do efektów uczenia się z sylabusa na ocenę 5.0

U1 Student projektuje zaawansowaną politykę Secure SDLC dla bankowego software house'u w standardzie DevSecOps.
U2 Student bezbłędnie identyfikuje luki w łańcuchu dostaw kodu w modelu 4C z analizą 5 Why.
U3 Student wykonuje kwantyfikację ryzyka w matrycy 5x5 i parametryzuje wskaźniki BCM dla platformy finansowej.
U4 Student przygotowuje trójfazowy Plan CAP oraz jednostronicowy Pitch to Board dla Zarządu FinTechu.
W1W2W3 Student demonstruje wiedzę z zakresu DORA, PCI DSS v4.0, ISO 27001, OWASP API i bezpieczeństwa Kubernetes.
K1K2K3 Student przejawia postawę asertywności inżynierskiej, odporność na presję czasu i bezkompromisowość w ochronie kodu.
--------------------------------------------------------------------------------

Politechnika i Regionalne Centrum Superkomputerowo-Sieciowe (HPC / R&D / Dual-Use)

Zwiń

Temat: Strategiczna Dekompozycja Polityki Bezpieczeństwa w Środowisku Obliczeń Wielkiej Skali (HPC), Badań Dual-use, Modelu 4C, Ryzyka 5X5 i Planu CAP

Schemat strategicznej dekompozycji polityki bezpieczeństwa centrum superkomputerowego HPC i badań technologii podwójnego zastosowania pod kątem ISO 27001 i Dual-Use

Cel zadania i powiązanie z efektami kształcenia na ocenę 5.0

Głównym celem zadania na ocenę 5.0 jest opanowanie przez studentów zaawansowanych umiejętności audytu i przebudowy Polityki Bezpieczeństwa Informacji w środowisku akademickim i badawczo-rozwojowym o wysokim znaczeniu strategicznym dla bezpieczeństwa państwa. Przedmiotem analizy jest Centrum Superkomputerowo-Sieciowe czołowej Politechniki, eksploatujące klaster High Performance Computing (HPC) o mocy 4 PFLOPS, połączony z ogólnopolską siecią optyczną PIONIER. W centrum realizowane są granty strategiczne z zakresu technologii podwójnego zastosowania (Dual-Use): badania nad kryptografią postkwantową (PQC), modelowaniem aerodynamiki pocisków naddźwiękowych oraz fuzją termojądrową, w których uczestniczą międzynarodowe konsorcja naukowe oraz doktoranci z państw trzecich wysokiego ryzyka. Zadanie wymaga audytu zgodności z unijnym rozporządzeniem o kontroli wywozu produktów podwójnego zastosowania (Rozporządzenie UE 2021/821), Rozporządzeniem KRI, Ustawą o ochronie informacji niejawnych, normą PN-EN ISO/IEC 27001:2022 (A.5.10, A.8.12, A.8.24) oraz wytycznymi kontrwywiadowczymi ABW. Zadanie obejmuje dekompozycję polityki klastra HPC, sformułowanie uchybień w kanonicznym modelu 4C z analizą 5 Why, oszacowanie ryzyka w matrycy 5x5 przed i po mitygacji, opracowanie trójfazowego Planu CAP oraz przygotowanie 1-stronicowego Executive Summary ("Pitch to Board") dla Kolegium Rektorskiego.

Powiązanie z sylabusem i treściami programowymi na ocenę 5.0:

Umiejętności U1: Opracowanie zintegrowanej Polityki Bezpieczeństwa Badań Strategicznych i Obliczeń Wielkiej Skali (HPC) w środowisku międzynarodowym.
Umiejętności U2: Identyfikacja luk prawnych i technologicznych umożliwiających niekontrolowany transfer własności intelektualnej i sformułowanie uchybień w modelu 4C z analizą 5 Why.
Umiejętności U3: Analiza ryzyka szpiegostwa naukowo-przemysłowego w matrycy 5x5 oraz ustalenie parametrów BCM: RTO=8 godzin, RPO=1 godzina, MTPD=24 godziny dla infrastruktury klastra HPC.
Umiejętności U4: Przygotowanie trójfazowego Planu CAP z metrykami KPI/KRI oraz zredagowanie Executive Summary dla Rektora i Senatu Uczelni.
Wiedza W1, W2, W3: Ekspercka znajomość reżimu kontroli produktów i technologii podwójnego zastosowania (Dual-Use), ochrony własności intelektualnej (prawo patentowe, tajemnica przedsiębiorstwa), Rozporządzenia KRI, Dyrektywy NIS2 oraz norm ISO/IEC 27001:2022 i ISO 27005.
Kompetencje społeczne K1, K2, K3: Świadomość zagrożeń ze strony obcych wywiadów technologicznych (APT), odporność na zarzuty naukowców o "ograniczanie wolności akademickiej" oraz bezkompromisowa obrona interesu bezpieczeństwa narodowego.
Treści programowe: Wyk1 (Zarządzanie bezpieczeństwem badań naukowych), Wyk3 (Kontrole A.5.10, A.8.12 ISO 27001), Wyk4 (Dual-Use i regulacje sektorowe), Wyk5 (Matryca 5x5 i BCM), Wyk6 (Zaawansowana inspekcja klastrów HPC), Wyk7 (Model 4C i trójfazowy CAP).

Scenariusz sytuacyjny i ujawnione luki w polityce bezpieczeństwa

Centrum Superkomputerowo-Sieciowe Politechniki świadczy usługi obliczeniowe dla ponad 1 200 naukowców z 18 wydziałów oraz partnerów przemysłowych (w tym zakładów lotniczych i obronnych). Klaster składa się z 800 węzłów obliczeniowych z akceleratorami GPU, połączonych magistralą InfiniBand oraz macierzy równoległej Lustre o pojemności 6 PB.

Krytyczne ustalenia audytu zerowego i zastałe luki w polityce bezpieczeństwa:

Otwarty i nieweryfikowany dostęp SSH do węzłów klastra HPC: W obowiązującym "Regulaminie Użytkownika Klastra HPC" z 2018 r. dostęp do kont powłoki powiązany jest wyłącznie z posiadaniem uczelnianego adresu e-mail. Dostęp SSH na port 22 był otwarty bezpośrednio z całego Internetu bez konieczności stosowania VPN i bez uwierzytelniania dwuskładnikowego (MFA). W trakcie inspekcji wykazano, że 42 zagranicznych stażystów i doktorantów logowało się do klastra z adresów IP państw objętych embargiem technologicznym.
Całkowity brak izolacji zadań obliczeniowych w zarządcy SLURM (Brak Strefowania): W konfiguracji harmonogramu zadań SLURM brak logicznej separacji środowisk uruchomieniowych. Badania komercyjne z zakładów zbrojeniowych (projekt kadłuba bezzałogowego aparatu latającego) były uruchamiane na tych samych węzłach fizycznych co otwarte projekty studenckie, a partycje pamięci dzielonej `/dev/shm` oraz pliki tymczasowe `/tmp` pozostawały dostępne dla kolejnych użytkowników z prawami odczytu (możliwość kradzieży danych z pamięci operacyjnej po zakończeniu zadania).
Niekontrolowana eksfiltracja surowych wyników na prywatne dyski chmurowe: W polityce brak jakichkolwiek regulacji DLP (Data Loss Prevention) zabraniających transferu wyników symulacji. Naukowcy masowo synchronizowali gigabajty danych badawczych z publicznymi serwisami chmurowymi (Google Drive, Dropbox, Baidu Wangpan) za pomocą narzędzia `rclone`.
Brak procedury weryfikacji Dual-Use: W uczelnianej procedurze rejestracji projektów badawczych brakowało obowiązkowej bramki weryfikacji zgodności z Rozporządzeniem UE 2021/821 pod kątem technologii podwójnego zastosowania, co stwarza bezpośrednie ryzyko sankcji międzynarodowych i konfiskaty grantów.

Wskazówki wykonania krok po kroku w formule Triady Audytorskiej (matryca ryzyka 5x5, karta 4C, dochodzenie 5 Why, parametry BCM, trójfazowy Plan CAP)

Krok 1 (Podział ról w Triadzie Audytorskiej):
- Rola A (Lead Auditor / Ekspert Bezpieczeństwa Narodowego i R&D): Kieruje audytem, analizuje ład prawny uczelni, procedury grantowe, zgodność z przepisami Dual-Use i wytycznymi ABW, sporządza 1-stronicowe Executive Summary dla Kolegium Rektorskiego.
- Rola B (Technical SecOps Auditor): Przeprowadza dekonstrukcję architektury klastra HPC, analizuje konfigurację harmonogramu SLURM, uprawnienia POSIX/ACL w systemie Lustre, szyfrowanie InfiniBand, mechanizmy PAM/MFA dla SSH oraz kontrole ISO/IEC 27001:2022 (A.5.10, A.8.12, A.8.24).
- Rola C (BCM & Compliance Auditor): Buduje matrycę ryzyka 5x5, ustala wskaźniki BCM (RTO=8h, RPO=1h), formułuje kartę uchybienia w modelu 4C z analizą 5 Why oraz konstruuje trójfazowy Plan CAP ze wskaźnikami KPI i KRI.
Krok 2 (Dekompozycja polityki i analiza zbieżności prawnej Dual-Use):
Zestawcie zastały regulamin klastra z Rozporządzeniem UE 2021/821, Wytycznymi Komisji Europejskiej dotyczącymi kontroli badań naukowych (Recommendation EU 2021/1700) oraz Rozporządzeniem KRI. Wykażcie brak jakiejkolwiek kontroli nad transferem wiedzy niematerialnej (Intangible Technology Transfer - ITT).
Krok 3 (Szacowanie ryzyka w matrycy 5x5 i parametry BCM):
Oceńcie Prawdopodobieństwo (1-5) i Skutek (1-5) dla kluczowych ryzyk:
- Zagrożenie 1: Nielegalny transfer technologii wojskowej i kryptograficznej (Dual-Use) do obcego państwa via rclone/SSH. P=5, S=5 -> IR = 25/25 (Strefa Katastrofalna). Kontrole: Całkowite zablokowanie bezpośredniego SSH z Internetu, wdrożenie stacji skokowych (Bastion) z kluczami FIDO2, blokada protokołów chmurowych, inspekcja DLP. Ryzyko rezydualne: P=1, S=3 -> RR = 3/25 (Akceptowalne).
- Zagrożenie 2: Przechwycenie parametrów badań zbrojeniowych z pamięci `/dev/shm` przez złośliwy skrypt w SLURM. P=4, S=5 -> IR = 20/25. Kontrole: Wdrożenie izolacji kontenerowej w węzłach HPC (Apptainer / Singularity) oraz czyszczenie pamięci (Memory Zeroing) po każdym zadaniu. Ryzyko rezydualne: P=1, S=2 -> RR = 2/25.
- Zagrożenie 3: Utrata zaufania przemysłu zbrojeniowego i zerwanie kontraktów strategicznych. P=4, S=4 -> IR = 16/25 (Strefa Wysoka). Kontrole: Certyfikacja strefy bezpiecznej klastra wg ISO/IEC 27001 i audyt ABW. Ryzyko rezydualne: P=1, S=2 -> RR = 2/25.
- Zagrożenie 4: Awaria macierzy Lustre i utrata wyników symulacji z 6 miesięcy (brak testów backupu). P=3, S=4 -> IR = 12/25. Kontrole: Wdrożenie snapshotów ZFS z replikacją do niezależnej lokalizacji. Ryzyko rezydualne: P=1, S=2 -> RR = 2/25.
Parametry BCM: RTO = 8 godzin (pełne przywrócenie środowiska zarządczego i SLURM), RPO = 1 godzina (maksymalna utrata danych z punktów kontrolnych symulacji - Checkpoints), MTPD = 24 godziny.
Krok 4 (Karta Ustalenia w kanonicznym modelu 4C):
Opracujcie pełną kartę 4C dla bezpośredniego dostępu SSH i transferu Dual-Use:
- Condition: Bezpośredni, nieszyfrowany dostęp SSH na port 22 z całego świata do węzłów obliczeniowych klastra HPC; brak uwierzytelniania wieloskładnikowego; swobodna synchronizacja wyników badań Dual-Use na zagraniczne dyski chmurowe.
- Criteria: Rozporządzenie UE 2021/821 art. 3 i 4; ISO/IEC 27001:2022 A.5.10, A.8.12, A.8.20; Rozporządzenie KRI § 20 ust. 2 pkt 7 i 14.
- Cause (5 Why): Naukowcy logują się z całego świata bez MFA -> administratorzy nie wdrożyli restrykcji sieciowych -> brak wymogów w regulaminie klastra z 2018 r. -> brak świadomości prawnej w Dziale Badań Naukowych w zakresie Dual-Use -> (Root Cause): Brak nadrzędnego nadzoru Rektora nad cyberbezpieczeństwem strategicznych projektów badawczych i fałszywe przekonanie, że "środowisko akademickie musi być całkowicie otwarte".
- Consequence: Zagrożenie sankcjami karnymi z Ustawy o obrocie z zagranicą towarami, technologiami i usługami o znaczeniu strategicznym (kary do 10 lat pozbawienia wolności dla osób decyzyjnych), utrata grantów z NCBiR i Horyzont Europa, zerwanie kontraktów obronnych, naruszenie bezpieczeństwa RP.
Krok 5 (Trójfazowy Plan Działań Korygujących - CAP):
Zestawcie tabelę CAP z podziałem na działania natychmiastowe (0-7 dni), krótkoterminowe (30 dni) i systemowe (90 dni).
Krok 6 (Projekt Nowelizacji Polityki Bezpieczeństwa):
Zredagujcie sformalizowaną procedurę: "Polityka Bezpieczeństwa Informacji i Obliczeń w Centrum Superkomputerowym: Ochrona Własności Intelektualnej, Kontrola Technologii Dual-Use i Izolacja Zadań HPC".

Plan referatu, Executive Summary i obrony przed zarządem

Struktura 15-minutowego wystąpienia seminaryjnego:

Pitch to Board - Executive Summary (3 min): Zwięzłe przedstawienie sytuacji Rektorowi i Senatowi Uczelni: stan katastrofalnego ryzyka szpiegowskiego (IR = 25/25) w klastrze HPC, niekontrolowany transfer badań rakietowych i kryptograficznych, odpowiedzialność karna kierownictwa, plan naprawczy CAP (Lead Auditor).
Prezentacja Matrycy Ryzyka 5x5 i BCM (4 min): Uzasadnienie redukcji ryzyka z 25/25 do 2-3/25, spełnienie RTO=8h i RPO=1h oraz koncepcja podziału klastra na strefę otwartą i strefę strategiczną (BCM Auditor).
Dekonstrukcja wektorów technicznych i Model 4C (4 min): Dowody audytowe z logów SSH, transfery rclone do zagranicznych chmur, procedura 5 Why demaskująca brak ładu nad projektami Dual-Use (Technical SecOps Auditor).
Trójfazowy Plan CAP i Projekt Polityki HPC (3 min): Harmonogram 0-7, 30, 90 dni, wskaźniki KPI (100% połączeń przez Bastion z MFA FIDO2, blokada dysków chmurowych, czyszczenie pamięci `/dev/shm` w SLURM) (cały zespół).
Obrona ustaleń audytu (1 min): Merytoryczne odparcie zarzutów Dziekanów o "krępowanie wolności badań naukowych przez audytorów".

Wzorcowy zakres raportu (Executive Summary, matryca ryzyka 5x5, model 4C, tabela CAP, projekt nowelizacji polityki)

Raport laboratoryjny (objętość 12-16 stron A4 znormalizowanego maszynopisu) musi obejmować:

A. Jednostronicowe Podsumowanie Zarządcze (Executive Summary - "Pitch to Board"):

Adresat: Rektor Politechniki, Prorektor ds. Nauki, Dyrektor Centrum Superkomputerowego.
Tytuł: Raport Zarządczy z Audytu Dekompozycyjnego Bezpieczeństwa Obliczeń HPC i Ochrony Badań Strategicznych (Dual-Use).
Kluczowy komunikat: Klaster superkomputerowy uczelni funkcjonuje w warunkach krytycznego zagrożenia szpiegostwem technologicznym (IR = 25/25). Zidentyfikowano bezpośredni dostęp SSH z całego świata bez MFA, brak izolacji zadań o charakterze wojskowym w harmonogramie SLURM oraz masowy transfer surowych wyników symulacji na komercyjne dyski chmurowe przez zagranicznych stażystów.
Zagrożenia prawno-karne i reputacyjne: Odpowiedzialność karna władz uczelni za nielegalny transfer technologii Dual-Use (do 10 lat więzienia); zerwanie kontraktów przemysłowych z sektorem lotniczym i zbrojeniowym; ryzyko wpisania uczelni na listy sankcyjne partnerów międzynarodowych.
Rekomendacja strategiczna: Przyjęcie Trójfazowego Planu CAP o budżecie 410 000 PLN (wdrożenie strefy bezpiecznej klastra z bastionami i kluczami FIDO2, wdrożenie kontenerowej izolacji zadań SLURM, system DLP dla sieci optycznej PIONIER oraz audyt kontrwywiadowczy projektów badawczych). Zwrot z inwestycji: zachowanie wielomilionowych grantów i certyfikacja ISO/IEC 27001.

B. Wzorcowe rozwiązanie problemu (Raport, Matryca 5x5, Model 4C i Plan CAP):

Tabela Matrycy Ryzyka 5x5:

ID zagrożenia / luki w polityce	P	S	IR (Inherent)	Zastosowane kontrole kompensacyjne	P	S	RR (Residual)
Z1: Niekontrolowany transfer Dual-Use via SSH/rclone	5	5	25 (Katastrofa)	Blokada publicznego SSH, Bastion, DLP	1	3	3 (Niskie)
Z2: Przechwycenie danych z pamięci współdzielonej	4	5	20 (Krytyczne)	Konteneryzacja Apptainer, czyszczenie mem	1	2	2 (Niskie)
Z3: Brak procedury weryfikacji personelu zagraniczn.	4	4	16 (Wysokie)	Weryfikacja kontrwywiadowcza, umowy NDA	1	2	2 (Niskie)
Z4: Utrata danych badawczych wskutek awarii Lustre	3	4	12 (Wysokie)	Snapshoty, kopie off-site w PIONIER DR	1	2	2 (Niskie)
Z5: Złamanie przepisów KRI w zakresie uprawnień	4	3	12 (Wysokie)	Wdrożenie centralnego IAM i cyklu kont	1	1	1 (Niskie)

Parametry BCM: RTO = 8 godzin, RPO = 1 godzina, MTPD = 24 godziny.

Karta Niezgodności w kanonicznym modelu 4C:
- Condition: Otwarty port SSH 22 na węzłach wejściowych klastra HPC; brak MFA; brak rejestracji transferów danych na zewnątrz; 42 użytkowników logujących się z państw wysokiego ryzyka.
- Criteria: Rozporządzenie UE 2021/821 art. 3 i 4; ISO/IEC 27001:2022 A.5.10, A.8.12, A.8.20; Rozporządzenie KRI § 20 ust. 2 pkt 7.
- Cause (5 Why): Otwarty dostęp SSH -> wygoda pracy naukowców z domu i zagranicy -> brak wymogów w regulaminie z 2018 r. -> brak analizy prawnej projektów Dual-Use -> (Root Cause): Brak ładu zarządczego nad bezpieczeństwem technologii podwójnego zastosowania i brak polityki ochrony własności intelektualnej w infrastrukturze badawczej.
- Consequence: Kradzież strategicznego know-how z zakresu kryptografii i rakiet, sankcje karne dla kierownictwa uczelni, utrata statusu uczelni badawczej.
Tabela Trójfazowego Planu Działań Korygujących (CAP):

Faza	Zadanie naprawcze	Odpowiedzialny (RACI)	Termin	Wskaźnik KPI / KRI
Faza 1 (0-7 dni)	CAP-1: Natychmiastowe zamknięcie otwartego portu SSH z Internetu i wymuszenie dostępu przez VPN ucz.	R: Administrator HPC A: Dyrektor Centrum	24 godz.	0 bezpośrednich połączeń SSH z Internetu; 100% sesji kierowanych przez zaporę NGFW.
Faza 1 (0-7 dni)	CAP-2: Wdrożenie tymczasowej blokady domen dysków chmurowych (Google Drive, Dropbox, Baidu) na zaporze	R: Administrator Sieci A: CISO Uczelni	48 godz.	100% zablokowanych transferów do serwisów chmurowych z węzłów klastra HPC.
Faza 2 (30 dni)	CAP-3: Wdrożenie stacji skokowych (Bastion Hosts) z uwierzytelnianiem MFA opartym na kluczach FIDO2.	R: Architekt SecOps A: CISO Uczelni	30 dni	100% użytkowników klastra loguje się z użyciem klucza sprzętowego i certyfikatu.
Faza 2 (30 dni)	CAP-4: Wdrożenie skryptów `epilog` w SLURM niszczą- cych dane w `/dev/shm` oraz izolacji w Apptainer.	R: Inżynier HPC A: Kierownik Klastra	30 dni	100% pamięci `/dev/shm` zerowane po zakończeniu każdego zadania obliczeniowego.
Faza 3 (90 dni)	CAP-5: Uchwalenie przez Senat "Polityki Bezpieczeń- stwa Badań Strategicznych i Kontroli Dual-Use"; utworzenie wydzielonej, certyfikowanej strefy HPC.	R: Radca Prawny A: Rektor Uczelni	90 dni	Uchwała Senatu; wdrożenie procedury weryfikacji projektów przed ich uruchomieniem; 100% kierowników grantów przeszkolonych.

Sformalizowany Projekt Nowelizacji Polityki Bezpieczeństwa:
"Zarządzenie Rektora w sprawie:

Polityki bezpieczeństwa obliczeń wielkiej skali (HPC) i ochrony badań podwójnego zastosowania (dual-use)

§ 1. Przedmiot regulacji: Niniejsza polityka określa ramowe zasady ochrony infrastruktury obliczeniowej oraz własności intelektualnej i technologii strategicznych w Centrum Superkomputerowo-Sieciowym.

§ 2. Procedura Weryfikacji Projektów (Dual-Use Gate): Każdy wniosek o przydział mocy obliczeniowej podlega obligatoryjnej weryfikacji pod kątem obecności w wykazie towarów i technologii podwójnego zastosowania (Rozporządzenie UE 2021/821). W przypadku projektów strategicznych, dostęp cudzoziemców wymaga pozytywnej opinii Pełnomocnika ds. Ochrony Informacji Niejawnych.

§ 3. Dostęp do Zasobów Obliczeniowych: Dostęp do węzłów klastra odbywa się wyłącznie za pośrednictwem serwerów pośredniczących (Bastion Hosts) z uwierzytelnianiem wieloskładnikowym (MFA) opartym na protokole FIDO2. Bezpośrednie logowanie SSH z sieci Internet jest technicznie zablokowane.

§ 4. Bezwzględna Izolacja Zadań w SLURM: Zadania badawcze realizowane na rzecz sektora obronnego i przemysłu strategicznego muszą być uruchamiane w odrębnej, fizycznie i logicznie odizolowanej partycji klastra (Strefa Bezpieczna). Po zakończeniu każdego zadania system automatycznie zeruje przydzielone zasoby pamięci współdzielonej oraz czyści tymczasowe katalogi robocze".

C. Analiza zalet, wad, ryzyk wdrożeniowych i kosztów TCO:

Zalety: Całkowite wyeliminowanie ryzyka wycieku technologii Dual-Use; ochrona uczelni przed sankcjami międzynarodowymi i karnymi; budowa zaufania partnerów z przemysłu obronnego; spełnienie wymogów KRI i ISO 27001.
Wady i trudności operacyjne: Koszt zakupu bastionów i kluczy FIDO2 (ok. 410 000 PLN); konieczność zmiany przyzwyczajeń naukowców przyzwyczajonych do bezpośredniego logowania SSH; konieczność wdrożenia formalnych procedur weryfikacji stażystów zagranicznych.

Bibliografia, netografia i regulacje prawne

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2021/821 ustanawiające unijny system kontroli wywozu, pośrednictwa, pomocy technicznej, tranzytu i transferu produktów podwójnego zastosowania.
Rekomendacja Komisji (UE) 2021/1700 w sprawie wewnętrznych programów zgodności w zakresie kontroli badań z udziałem produktów podwójnego zastosowania.
Rozporządzenie Rady Ministrów z dnia 12 kwietnia 2012 r. w sprawie Krajowych Ram Interoperacyjności (KRI).
Ustawa z dnia 29 listopada 2000 r. o obrocie z zagranicą towarami, technologiami i usługami o znaczeniu strategicznym dla bezpieczeństwa państwa.
Norma PN-EN ISO/IEC 27001:2022 - Załącznik A (kontrole A.5.10, A.8.12, A.8.20, A.8.24).

Przypisanie do efektów uczenia się z sylabusa na ocenę 5.0

U1 Student projektuje zaawansowane procedury bezpieczeństwa dla infrastruktury obliczeniowej wysokiej wydajności (HPC).
U2 Student dokumentuje uchybienia w ochronie technologii strategicznych w modelu 4C z analizą 5 Why.
U3 Student wykonuje analizę ryzyka szpiegostwa w matrycy 5x5 i parametryzuje wskaźniki BCM dla superkomputera.
U4 Student przygotowuje trójfazowy Plan CAP oraz jednostronicowe Executive Summary dla Kolegium Rektorskiego.
W1W2W3 Student wykazuje ekspercką wiedzę w zakresie regulacji Dual-Use, normy ISO 27001, KRI i ochrony własności intelektualnej.
K1K2K3 Student demonstruje postawę najwyższej odpowiedzialności za bezpieczeństwo państwa i ochronę polskiej myśli technicznej.
--------------------------------------------------------------------------------

PharmaGlobal Polska S.A. – koncern farmaceutyczny i badania kliniczne

Zwiń

Temat: Strategiczny Audyt Polityki Integralności Danych ALCOA+, Walidacji GAMP 5, FDA 21 CFR Part 11, Modelu 4C, Ryzyka 5X5 i Trójfazowego Planu CAP

Schemat strategicznej analizy polityki bezpieczeństwa koncernu farmaceutycznego pod kątem integralności danych ALCOA+, walidacji GAMP 5 i FDA 21 CFR Part 11

Cel zadania i powiązanie z efektami kształcenia na ocenę 5.0

Głównym celem zadania na ocenę 5.0 jest wykształcenie u studentów najwyższych kompetencji audytorsko-walidacyjnych w wysoce regulowanym sektorze biofarmaceutycznym. Przedmiotem audytu jest Polityka Bezpieczeństwa Informacji i Integralności Danych w międzynarodowym koncernie farmaceutycznym PharmaGlobal Polska S.A., wytwarzającym leki onkologiczne i szczepionki w strefach czystych (Cleanroom Class A/B) oraz prowadzącym fazę III badań klinicznych. Środowisko technologiczne obejmuje system laboratoryjny LIMS, chromatografy cieczowe (HPLC), bioreaktory sterowane systemem DCS/SCADA oraz archiwa badań klinicznych. Spółka podlega pod rygorystyczne przepisy Dobrych Praktyk Produkcyjnych (GMP / Annex 11), amerykańskie regulacje FDA 21 CFR Part 11 (podpisy elektroniczne i ścieżki audytowe), wytyczne walidacji systemów GAMP 5, zasady integralności danych ALCOA+ (Attributable, Legible, Contemporaneous, Original, Accurate), Dyrektywę NIS2 (podmiot kluczowy sektora farmacji) oraz RODO (art. 9). Zadanie wymaga dekompozycji polityki pod kątem integralności danych pomiarowych, sformułowania uchybień w kanonicznym modelu 4C z analizą przyczyn źródłowych 5 Why, oszacowania ryzyka w matrycy 5x5, opracowania trójfazowego Planu CAP ze wskaźnikami KPI oraz zredagowania Korporacyjnej Polityki Integralności Danych ALCOA+ i Walidacji Systemów GxP wraz z Executive Summary dla Zarządu i Osoby Wykwalifikowanej (Qualified Person).

Powiązanie z sylabusem i treściami programowymi na ocenę 5.0:

Umiejętności U1: Opracowanie zintegrowanej Polityki Integralności Danych Farmaceutycznych i Walidacji Systemów Skomputeryzowanych w oparciu o ALCOA+ i GAMP 5.
Umiejętności U2: Identyfikacja krytycznych manipulacji w ścieżkach audytowych i sformułowanie uchybień w modelu 4C z analizą 5 Why.
Umiejętności U3: Analiza ryzyka wypuszczenia skażonej partii leków w matrycy 5x5 przed i po zastosowaniu kontroli oraz ustalenie parametrów BCM: RTO=2 godziny, RPO=0 minut dla parametrów sterylizacji, MTPD=4 godziny.
Umiejętności U4: Przygotowanie trójfazowego Planu CAP z metrykami KPI/KRI oraz zredagowanie Executive Summary dla Zarządu Koncernu i Głównego Inspektora Farmaceutycznego (GIF).
Wiedza W1, W2, W3: Ekspercka znajomość regulacji FDA 21 CFR Part 11, GMP Annex 11, GAMP 5, zasad ALCOA+, Dyrektywy NIS2, RODO (art. 9) oraz normy PN-EN ISO/IEC 27001:2022 (A.8.15 Ścieżki audytowe, A.8.18 Zarządzanie konfiguracją).
Kompetencje społeczne K1, K2, K3: Bezwzględna etyka w ochronie zdrowia pacjentów przyjmujących leki ratujące życie, asertywność wobec presji planów produkcyjnych i odwaga cywilna w ujawnianiu fałszowania wyników badań.
Treści programowe: Wyk1 (Zarządzanie bezpieczeństwem w sektorach GxP), Wyk3 (Kontrole A.8.15 i A.8.18 ISO 27001), Wyk4 (Zbieżność regulacyjna FDA/GMP/NIS2), Wyk5 (Matryca 5x5 i BCM w produkcji ciągłej), Wyk6 (Analiza ścieżek Audit Trail), Wyk7 (Model 4C i trójfazowy CAP).

Scenariusz sytuacyjny i ujawnione luki w polityce bezpieczeństwa

PharmaGlobal Polska S.A. produkuje rocznie 40 milionów dawek leków biologicznych na rynek europejski i amerykański oraz koordynuje międzynarodowe badania kliniczne nowego leku immunosupresyjnego. Zakład produkcyjny pracuje w trybie ciągłym (24/7), a parametry sterylizacji i fermentacji w bioreaktorach są rejestrowane co sekundę w bazie danych procesowych.

Krytyczne ustalenia audytu zerowego i zastałe uchybienia w dokumentacji:

Wyłączenie rejestracji ścieżki audytowej (Audit Trail) w systemach laboratoryjnych HPLC: W obowiązującej "Instrukcji Eksploatacji Sprzętu Laboratoryjnego" z 2019 r. dopuszczono możliwość pracy na wspólnym koncie `lab_technician` bez hasła. W trakcie audytu odkryto, że analitycy kontroli jakości regularnie wyłączali funkcję zapisu ścieżki audytowej (Audit Trail) w stacjach roboczych chromatografów HPLC przed wykonaniem badań czystości leków, aby w razie uzyskania wyniku poza specyfikacją (OOS - Out of Specification) skasować surowe pliki i powtórzyć badanie bez pozostawiania śladu (zjawisko testing into compliance).
Niewalidowane zmiany w kodzie sterowników PLC sterylizacji parowej: W polityce zarządzania zmianą brakowało wymogu rewalidacji systemów GxP zgodnie z GAMP 5 po modyfikacji oprogramowania. Dwa miesiące przed audytem inżynier automatyki skrócił czas sterylizacji parowej autoklawu o 4 minuty, aby zwiększyć wydajność linii, modyfikując kod w sterowniku PLC bezpośrednio z laptopa serwisowego bez procedury Change Control i bez testów kwalifikacji operacyjnej (OQ).
Współdzielenie poświadczeń do bioreaktorów na hali produkcyjnej: Przy 12 bioreaktorach panele operatorskie HMI logowały operatorów za pomocą jednego, ogólnodostępnego kodu PIN wywieszonego na kartce obok ekranu dotykowego. Uniemożliwia to przypisanie odpowiedzialności za nastawy temperatury i pH (złamanie zasady Attributable z reguły ALCOA+).
Brak niezmiennego backupu surowych danych z badań klinicznych (WORM): Surowe dane z badań klinicznych fazy III były składowane na standardowym dysku sieciowym bez ochrony przed nadpisaniem, a ostatnia weryfikacja sum kontrolnych wykazała niespójność 14% rekordów pacjentów.

Wskazówki wykonania krok po kroku w formule Triady Audytorskiej (matryca ryzyka 5x5, karta 4C, dochodzenie 5 Why, parametry BCM, trójfazowy Plan CAP)

Krok 1 (Podział ról w Triadzie Audytorskiej):
- Rola A (Lead Auditor / Ekspert Zgodności Farmaceutycznej GxP): Analizuje ład korporacyjny jakości, relacje z Osobą Wykwalifikowaną (QP), zgodność z prawem farmaceutycznym, FDA 21 CFR Part 11 i GMP Annex 11, sporządza 1-stronicowe Executive Summary dla Zarządu.
- Rola B (Technical SecOps Auditor): Przeprowadza techniczny audyt konfiguracji ścieżek audytowych (Audit Trails) w LIMS i oprogramowaniu Empower, weryfikuje podpisy elektroniczne, systemy DCS/SCADA, uprawnienia w systemach operacyjnych stacji chromatografów i kontrole ISO/IEC 27001:2022 (A.8.15, A.8.18).
- Rola C (BCM & Compliance Auditor): Buduje matrycę ryzyka 5x5 dla scenariusza wycofania leku z rynku (Product Recall), ustala wskaźniki BCM (RTO=2h, RPO=0 min dla sterylizacji), formułuje uchybienia w modelu 4C z analizą 5 Why oraz konstruuje trójfazowy Plan CAP ze wskaźnikami KPI.
Krok 2 (Dekompozycja polityki pod kątem 10 zasad ALCOA+ i FDA 21 CFR Part 11):
Zestawcie zastałą dokumentację z zasadami ALCOA+: Attributable (kto wykonał badanie), Legible (czytelność), Contemporaneous (zapis w czasie rzeczywistym), Original (dane surowe), Accurate (dokładność), Complete (kompletność), Consistent (spójność), Enduring (trwałość), Available (dostępność). Wykażcie naruszenie aż 7 z 9 kryteriów.
Krok 3 (Szacowanie ryzyka w matrycy 5x5 i parametry BCM):
Oceńcie Prawdopodobieństwo (1-5) i Skutek (1-5) dla kluczowych ryzyk:
- Zagrożenie 1: Fałszowanie wyników czystości leków przez wyłączanie Audit Trail (wypuszczenie partii toksycznej leku na rynek). P=4, S=5 -> IR = 20/25 (Strefa Krytyczna). Kontrole: Permanentna blokada możliwości wyłączenia Audit Trail na poziomie uprawnień administratora globalnego, centralizacja logów w SIEM, wdrożenie niezmiennych dysków WORM, weryfikacja przez QP. Ryzyko rezydualne: P=1, S=2 -> RR = 2/25 (Akceptowalne).
- Zagrożenie 2: Wypuszczenie niesterylnej partii szczepionek wskutek niewalidowanej zmiany w PLC. P=4, S=5 -> IR = 20/25. Kontrole: Wdrożenie systemu kontroli wersji sterowników (Versiondog) z blokadą portów inżynierskich i rewalidacją GAMP 5. Ryzyko rezydualne: P=1, S=2 -> RR = 2/25.
- Zagrożenie 3: Współdzielenie PIN-ów przy bioreaktorach i brak rozliczalności (unieważnienie badań przez FDA/EMA). P=5, S=4 -> IR = 20/25. Kontrole: Wdrożenie czytników kart zbliżeniowych RFID/MFA zintegrowanych z Active Directory dla każdego operatora. Ryzyko rezydualne: P=1, S=1 -> RR = 1/25.
- Zagrożenie 4: Sankcje organów nadzorczych (Warning Letter od FDA, cofnięcie certyfikatu GMP przez GIF). P=5, S=5 -> IR = 25/25 (Strefa Katastrofalna). Kontrole: Całkowita nowelizacja polityki integralności danych i powołanie Oficera ds. Integralności Danych (Data Integrity Officer). Ryzyko rezydualne: P=1, S=2 -> RR = 2/25.
Parametry BCM: RTO = 2 godziny (pełne przywrócenie systemów sterowania bioreaktorami), RPO = 0 minut (zerowa akceptowalna utrata parametrów procesowych krytycznych dla jakości - CQA), MTPD = 4 godziny (maksymalny czas przestoju przed zepsuciem wsadu biologicznego).
Krok 4 (Karta Ustalenia w kanonicznym modelu 4C):
Opracujcie pełną kartę 4C dla uchybienia wyłączania Audit Trail w chromatografach:
- Condition: Możliwość lokalnego wyłączenia rejestracji ścieżki audytowej (Audit Trail) przez techników laboratoryjnych w oprogramowaniu stacji chromatograficznych; powszechne kasowanie i nadpisywanie surowych plików pomiarowych bez uzasadnienia i bez autoryzacji QP.
- Criteria: FDA 21 CFR Part 11 § 11.10 (e); EudraLex Volume 4 GMP Annex 11 pkt 9; ISO/IEC 27001:2022 A.8.15 (Rejestrowanie zdarzeń); Zasada ALCOA+ (Contemporaneous & Original).
- Cause (5 Why): Technicy wyłączają logowanie -> chcą uniknąć procedury badania odchyleń OOS -> presja na terminowe zwolnienie partii leków -> brak zabezpieczeń technicznych w konfiguracji stacji roboczych -> (Root Cause): Brak nadrzędnej Korporacyjnej Polityki Integralności Danych i brak kultury jakości (Quality Culture), która tolerowała praktyki fałszowania danych pomiarowych kosztem rygorów bezpieczeństwa pacjentów.
- Consequence: Zagrożenie zdrowia i życia tysięcy pacjentów onkologicznych przyjmujących zanieczyszczone leki; natychmiastowe wstrzymanie dystrybucji i wycofanie leków z rynku (Product Recall); utrata licencji wytwórczej GMP; wielomilionowe kary i pozwy odszkodowawcze; odpowiedzialność karna kierowników produkcji.
Krok 5 (Trójfazowy Plan Działań Korygujących - CAP):
Zestawcie tabelę CAP z podziałem na działania natychmiastowe (0-7 dni), krótkoterminowe (30 dni) i systemowe (90 dni).
Krok 6 (Projekt Nowelizacji Polityki Bezpieczeństwa):
Zredagujcie sformalizowaną procedurę: "Korporacyjna Polityka Integralności Danych (Data Integrity ALCOA+), Ścieżek Audytowych i Walidacji Systemów GxP Zgodnie z FDA 21 CFR Part 11 i GAMP 5".

Plan referatu, Executive Summary i obrony przed zarządem

Struktura 15-minutowego wystąpienia seminaryjnego:

Pitch to Board - Executive Summary (3 min): Zwięzłe przedstawienie sytuacji Zarządowi i Osobie Wykwalifikowanej: stan bezpośredniego zagrożenia utratą licencji GMP (IR = 25/25), dowody wyłączania Audit Trail na chromatografach, nielegalne modyfikacje parametrów sterylizacji, plan naprawczy CAP (Lead Auditor).
Prezentacja Matrycy Ryzyka 5x5 i BCM (4 min): Uzasadnienie redukcji ryzyka z 25/25 do 1-2/25, spełnienie RTO=2h i RPO=0 min dla procesów ciągłych oraz koncepcja architektury ALCOA+ (BCM Auditor).
Dekonstrukcja wektorów technicznych i Model 4C (4 min): Dowody manipulacji plikami surowymi, analiza luk w sterownikach PLC autoklawów, procedura 5 Why demaskująca patologie w kulturze jakości laboratorium (Technical SecOps Auditor).
Trójfazowy Plan CAP i Projekt Polityki ALCOA+ (3 min): Harmonogram 0-7, 30, 90 dni, wskaźniki KPI (100% stacji z permanentnym Audit Trail, wdrożenie czytników RFID przy bioreaktorach, 100% zrewalidowanych systemów PLC wg GAMP 5) (cały zespół).
Obrona ustaleń audytu (1 min): Odpowiedź na zarzuty Dyrektora Produkcji dotyczące "konieczności chwilowego spowolnienia linii produkcyjnych na czas rewalidacji".

Wzorcowy zakres raportu (Executive Summary, matryca ryzyka 5x5, model 4C, tabela CAP, projekt nowelizacji polityki)

Raport laboratoryjny (objętość 12-16 stron A4 znormalizowanego maszynopisu) musi obejmować:

A. Jednostronicowe Podsumowanie Zarządcze (Executive Summary - "Pitch to Board"):

Adresat: Prezes Zarządu, Członkowie Zarządu, Osoba Wykwalifikowana (QP), Dyrektor Zapewnienia Jakości (QA) PharmaGlobal Polska S.A.
Tytuł: Raport Zarządczy z Audytu Dekompozycyjnego Integralności Danych Farmaceutycznych i Bezpieczeństwa Systemów GxP.
Kluczowy komunikat strategiczny: Zakład produkcyjny znajduje się w stanie skrajnego ryzyka regulacyjnego i operacyjnego (IR = 25/25). Zidentyfikowano celowe wyłączanie ścieżek audytowych (Audit Trail) w laboratoriach kontroli jakości, nieweryfikowane skrócenie cyklu sterylizacji leków oraz powszechne współdzielenie poświadczeń do bioreaktorów. W razie inspekcji FDA lub GIF spółce grozi natychmiastowe zatrzymanie produkcji i wycofanie leków z rynku.
Zagrożenia finansowe i prawne: Straty z tytułu zatrzymania fabryki szacowane na 1,5 mln PLN dziennie; bezpośrednia odpowiedzialność karna Osoby Wykwalifikowanej za zwolnienie sfałszowanych partii leków; ryzyko trwałej utraty certyfikacji FDA na rynek USA.
Rekomendacja strategiczna: Przyjęcie Trójfazowego Planu CAP o budżecie 620 000 PLN (blokada systemowa wyłączania Audit Trail, wdrożenie kart zbliżeniowych RFID do maszyn, wdrożenie niezmiennej macierzy WORM na dane surowe oraz pełna rewalidacja sterowników PLC wg GAMP 5). Zwrot z inwestycji: zachowanie licencji GMP, uniknięcie katastrofy wizerunkowej i gwarancja bezpieczeństwa pacjentów.

B. Wzorcowe rozwiązanie problemu (Raport, Matryca 5x5, Model 4C i Plan CAP):

Tabela Matrycy Ryzyka 5x5:

ID zagrożenia / luki w polityce	P	S	IR (Inherent)	Zastosowane kontrole kompensacyjne	P	S	RR (Residual)
Z1: Wyłączanie Audit Trail w chromatografach HPLC	4	5	20 (Krytyczne)	Blokada uprawnień w Empower, WORM, SIEM	1	2	2 (Niskie)
Z2: Niewalidowana zmiana czasu sterylizacji w PLC	4	5	20 (Krytyczne)	Versiondog, procedura Change Control GAMP	1	2	2 (Niskie)
Z3: Współdzielone kody PIN przy bioreaktorach	5	4	20 (Krytyczne)	Karty RFID z PKI, integracja z AD	1	1	1 (Niskie)
Z4: Cofnięcie certyfikatu GMP przez FDA/GIF	5	5	25 (Katastrofa)	Nowa polityka ALCOA+, audyt niezależny	1	2	2 (Niskie)
Z5: Brak ochrony WORM danych surowych badań klinicz.	4	4	16 (Wysokie)	Wdrożenie macierzy WORM Object Lock	1	2	2 (Niskie)

Parametry BCM: RTO = 2 godziny, RPO = 0 minut (parametry sterylizacji), MTPD = 4 godziny.

Karta Niezgodności w kanonicznym modelu 4C:
- Condition: Funkcja Audit Trail wyłączana na stacjach pomiarowych HPLC; brak imiennej rejestracji modyfikacji danych; kasowanie plików z wynikami niespełniającymi norm; niewalidowane zmiany w kodzie PLC autoklawu.
- Criteria: FDA 21 CFR Part 11 § 11.10 (e); EudraLex Volume 4 GMP Annex 11; ISO/IEC 27001:2022 A.8.15, A.8.18; zasady ALCOA+.
- Cause (5 Why): Audit Trail wyłączany -> unikanie zgłoszeń OOS -> nacisk na szybkie wyniki badań -> brak technicznych blokad w oprogramowaniu laboratoryjnym -> (Root Cause): Brak nadrzędnej Korporacyjnej Polityki Integralności Danych i tolerowanie nagannych praktyk manipulacji danymi przez kierownictwo kontroli jakości.
- Consequence: Zagrożenie zdrowia i życia pacjentów, wycofanie leków z rynku (Product Recall), utrata licencji GMP, wielomilionowe straty finansowe i odpowiedzialność karna zarządu.
Tabela Trójfazowego Planu Działań Korygujących (CAP):

Faza	Zadanie naprawcze	Odpowiedzialny (RACI)	Termin	Wskaźnik KPI / KRI
Faza 1 (0-7 dni)	CAP-1: Natychmiastowa blokada możliwości wyłączenia Audit Trail w oprogramowaniu chromatografów; audyt uprawnień w systemie Empower i LIMS.	R: Administrator LIMS A: Dyrektor QA	24 godz.	100% stacji badawczych z wymuszonym ciągłym rejestrowaniem Audit Trail.
Faza 1 (0-7 dni)	CAP-2: Wycofanie kodu PIN do bioreaktorów i montaż tymczasowych poświadczeń imiennych dla operatorów.	R: Kierownik Utrzym. A: Dyrektor Produkcji	48 godz.	0 kart z PIN-ami na hali produkcyjnej; 100% logowań imiennych do maszyn.
Faza 2 (30 dni)	CAP-3: Wdrożenie czytników RFID zintegrowanych z Active Directory przy wszystkich 12 bioreaktorach.	R: Inżynier Automatyk A: CISO Koncernu	30 dni	100% operatorów loguje się kartą RFID; automatyczne wylogowanie po 2 min bezczynności.
Faza 2 (30 dni)	CAP-4: Pełna rewalidacja oprogramowania PLC autoklawu sterylizacji parowej i wdrożenie systemu Versiondog.	R: Walidator GAMP A: Osoba Wykwalifik.	30 dni	Pozytywny protokół kwalifikacji IQ/OQ/PQ; blokada portów inżynierskich sterowników.
Faza 3 (90 dni)	CAP-5: Wdrożenie korporacyjnej "Polityki Integral- ności Danych (ALCOA+)" oraz niezmiennej macierzy backupu WORM dla surowych danych z badań klinicznych.	R: Pełnomocnik SZBI A: Prezes Zarządu	90 dni	Uchwała Zarządu; powołanie Oficera ds. Integralności Danych; 100% personelu przeszkolonego z wymogów FDA 21 CFR Part 11.

Sformalizowany Projekt Nowelizacji Polityki Bezpieczeństwa:
"Zarządzenie Zarządu PharmaGlobal Polska S.A. w sprawie:

Korporacyjnej polityki integralności danych farmaceutycznych (ALCOA+) i walidacji systemów GxP

§ 1. Cel i zasada nadrzędna: Niniejsza polityka ustanawia bezwzględny priorytet integralności danych pomiarowych i procesowych nad wszelkimi celami produkcyjnymi i terminowymi.

§ 2. Wdrożenie Standardu ALCOA+: Każdy zapis danych w systemach laboratoryjnych (LIMS) i produkcyjnych (SCADA) musi bezwzględnie spełniać wymogi: przypisywalności do imiennej osoby (Attributable), czytelności (Legible), zapisu w czasie rzeczywistym (Contemporaneous), pierwotności (Original) oraz dokładności (Accurate).

§ 3. Bezwzględny Zakaz Wyłączania Ścieżek Audytowych (Audit Trails): Funkcja Audit Trail we wszystkich systemach skomputeryzowanych musi pozostać włączona w trybie ciągłym. Wyłączenie lub próba modyfikacji ścieżki audytowej traktowana jest jako ciężkie naruszenie obowiązków pracowniczych skutkujące natychmiastowym rozwiązaniem umowy o pracę i powiadomieniem organów ścigania.

§ 4. Walidacja Zmian wg GAMP 5: Wszelkie modyfikacje parametrów pracy sterowników PLC, systemów DCS oraz stacji badawczych podlegają sformalizowanej procedurze Change Control i wymagają ponownej kwalifikacji walidacyjnej (IQ/OQ/PQ) zatwierdzonej przez Osobę Wykwalifikowaną (QP)".

C. Analiza zalet, wad, ryzyk wdrożeniowych i kosztów TCO:

Zalety: Całkowite wyeliminowanie ryzyka utraty licencji GMP i wstrzymania eksportu leków do USA/UE; gwarancja bezpieczeństwa pacjentów onkologicznych; pełna zgodność z FDA 21 CFR Part 11 i Dyrektywą NIS2; ochrona wartości badań klinicznych nowego leku.
Wady i koszty operacyjne: Koszt inwestycyjny 620 000 PLN; konieczność chwilowego wstrzymania poszczególnych linii produkcyjnych na czas rewalidacji GAMP 5; rygorystyczny reżim sprawozdawczy dla analityków laboratoryjnych.

Bibliografia, netografia i regulacje prawne

US FDA: Code of Federal Regulations Title 21, Part 11: "Electronic Records; Electronic Signatures".
EudraLex - Volume 4 - Good Manufacturing Practice (GMP) Guidelines: "Annex 11: Computerised Systems".
ISPE GAMP 5 Second Edition: "A Risk-Based Approach to Compliant GxP Computerized Systems", 2022.
WHO: "Guidance on Good Data and Record Management Practices", Technical Report Series No. 996, 2016.
Dyrektywa NIS2 (UE) 2022/2555 - sektor produkcji farmaceutycznej i wyrobów medycznych.
Norma PN-EN ISO/IEC 27001:2022 - Załącznik A (kontrole A.8.15, A.8.18).

Przypisanie do efektów uczenia się z sylabusa na ocenę 5.0

U1 Student projektuje zaawansowane procedury bezpieczeństwa i integralności danych dla przemysłu farmaceutycznego.
U2 Student bezbłędnie identyfikuje manipulacje w ścieżkach audytowych w modelu 4C z analizą 5 Why.
U3 Student wykonuje kwantyfikację ryzyka w matrycy 5x5 i wyznacza wskaźniki BCM dla produkcji leków ciągłych.
U4 Student przygotowuje trójfazowy Plan CAP oraz jednostronicowe Executive Summary dla Zarządu i Osoby Wykwalifikowanej.
W1W2W3 Student demonstruje wiedzę z zakresu FDA 21 CFR Part 11, GAMP 5, GMP Annex 11, ALCOA+ i NIS2.
K1K2K3 Student przejawia bezkompromisową postawę etyczną w ochronie zdrowia i życia pacjentów.
--------------------------------------------------------------------------------

PGZ – Zakład Optyki i Rakiet (produkcja specjalna / informacje niejawne)

Zwiń

Temat: Strategiczna Dekompozycja Polityki Ochrony Informacji Niejawnych, Stref Tempest, Systemów Air-gap, Modelu 4C, Ryzyka 5X5 i Planu CAP

Schemat strategicznej dekompozycji polityki bezpieczeństwa zakładu przemysłu obronnego pod kątem ochrony informacji niejawnych, TEMPEST i norm NATO AQAP

Cel zadania i powiązanie z efektami kształcenia na ocenę 5.0

Głównym celem zadania na ocenę 5.0 jest opanowanie przez studentów najwyższych kompetencji audytorsko-analitycznych w zakresie bezpieczeństwa militarnego, przemysłu zbrojeniowego i ochrony informacji niejawnych. Przedmiotem audytu jest Polityka Bezpieczeństwa Informacji Niejawnych i Teleinformatycznych w strategicznym zakładzie zbrojeniowym Polskiej Grupy Zbrojeniowej, produkującym laserowe głowice naprowadzające dla pocisków przeciwlotniczych oraz optoelektronikę termowizyjną dla czołgów i pojazdów opancerzonych. Zakład przetwarza informacje o klauzulach ŚCIŚLE TAJNE, NATO SECRET oraz OCCAR. Podlega pod rygor Ustawy z dnia 5 sierpnia 2010 r. o ochronie informacji niejawnych, standardów sojuszniczych NATO (AQAP 2110, AC/322), wymagań Wewnętrznego Systemu Kontroli (WSK), zarządzeń Szefa Służby Kontrwywiadu Wojskowego (SKW) i Agencji Bezpieczeństwa Wewnętrznego (ABW) w zakresie ochrony elektromagnetycznej TEMPEST oraz normy PN-EN ISO/IEC 27001:2022 (kontrole A.7 Bezpieczeństwo fizyczne i środowiskowe, A.8.14 Redundancja i Air-Gap). Zadanie wymaga dekompozycji polityki pod kątem integralności odizolowanych stref Air-Gap, sformułowania uchybień w modelu 4C z analizą przyczyn źródłowych 5 Why, oszacowania ryzyka sabotażu i szpiegostwa w matrycy 5x5, opracowania trójfazowego Planu CAP oraz przygotowania 1-stronicowego Executive Summary ("Pitch to Board") dla Prezesa Zarządu i Pełnomocnika ds. Ochrony Informacji Niejawnych (Pełnomocnika OIN).

Powiązanie z sylabusem i treściami programowymi na ocenę 5.0:

Umiejętności U1: Projektowanie zaawansowanej Polityki Ochrony Informacji Niejawnych i Bezpieczeństwa Teleinformatycznego w odizolowanych strefach Air-Gap i TEMPEST.
Umiejętności U2: Identyfikacja nieuprawnionych pomostów telekomunikacyjnych i naruszeń stref bezpieczeństwa przemysłowego w modelu 4C z analizą 5 Why.
Umiejętności U3: Analiza ryzyka obcego szpiegostwa wojskowego (APT) w matrycy 5x5 przed i po zastosowaniu ekranowania i procedur OIN oraz ustalenie parametrów BCM: RTO=24 godziny, RPO=0 minut dla dokumentacji konstrukcyjnej, MTPD=48 godzin.
Umiejętności U4: Przygotowanie trójfazowego Planu CAP z metrykami KPI i KRI oraz zredagowanie Executive Summary dla Zarządu i Wojskowego Dozoru Technicznego.
Wiedza W1, W2, W3: Ekspercka znajomość Ustawy o ochronie informacji niejawnych, norm AQAP 2110, wymagań TEMPEST (Zarządzenie Szefa SKW), Wewnętrznego Systemu Kontroli (WSK), Dyrektywy NIS2 oraz normy ISO/IEC 27001:2022.
Kompetencje społeczne K1, K2, K3: Bezwzględna postawa patriotyczna, dyskrecja, odporność na próby werbunku i nacisków obcych służb wywiadowczych oraz najwyższa kultura prawna.
Treści programowe: Wyk1 (Zarządzanie bezpieczeństwem informacji niejawnych), Wyk3 (Kontrole fizyczne i sieciowe ISO 27001), Wyk4 (Uregulowania wojskowe i kontrwywiadowcze), Wyk5 (Matryca 5x5 w obronności), Wyk6 (Zaawansowana inspekcja stref TEMPEST i emisji ujawniającej), Wyk7 (Model 4C i trójfazowy CAP).

Scenariusz sytuacyjny i ujawnione luki w polityce bezpieczeństwa

Zakład Optyki i Rakiet zatrudnia 850 inżynierów i pracowników technicznych. Produkcja głowic rakietowych odbywa się na 4-osiowych obrabiarkach CNC sterowanych numerycznie, zintegrowanych w odizolowanej od Internetu sieci przemysłowej (Air-Gap). Dokumentacja projektowa CAD/CAM przetwarzana jest na stacjach roboczych w Strefie Bezpieczeństwa Klasy I (Kancelaria Tajna i Laboratorium Optyczne).

Krytyczne ustalenia audytu zerowego i zastałe luki w dokumentacji:

Naruszenie zasady Air-Gap przez serwisanta maszyny CNC: W "Instrukcji Bezpieczeństwa Teleinformatycznego Systemu Niejawnego" z 2019 r. zabroniono podłączania urządzeń komercyjnych do sieci wytwórczej. Mimo to, w trakcie audytu fizycznego w hali montażu głowic rakietowych wykryto, że serwisant zagranicznego producenta obrabiarek CNC zamontował wewnątrz szafy sterowniczej miniaturowy router z modemem LTE/Wi-Fi podłączony do szyny Ethernet obrabiarki, aby "prowadzić zdalną diagnostykę serwisową z fabryki w Szwajcarii bez konieczności przyjazdu do Polski". Spowodowało to całkowite przerwanie bariery Air-Gap i bezpośrednie wystawienie sieci produkującej uzbrojenie na penetrację przez obce służby specjalne.
Brak aktualnych certyfikatów ochrony elektromagnetycznej TEMPEST: Stacje robocze CAD/CAM przetwarzające dokumentację o klauzuli ŚCIŚLE TAJNE posiadały certyfikaty ochrony przed emisją ujawniającą (TEMPEST Poziom A), których ważność wygasła 2 lata temu. Pomiary radiowe wykazały obecność pasożytniczej emisji elektromagnetycznej na częstotliwości 433 MHz, umożliwiającej odtworzenie obrazu z monitorów inżynierów z odległości do 120 metrów od budynku za pomocą odbiornika SDR.
Niekontrolowana obecność urządzeń mobilnych w Strefie Bezpieczeństwa: W polityce brak procedury rygorystycznego depozytowania smartfonów i smartwatchy przed wejściem do Strefy Klasy I. Inżynierowie wnosili prywatne telefony komórkowe z aktywnymi modułami Bluetooth i dyktafonami na narady techniczne dotyczące systemów naprowadzania rakiet.
Chaos w ewidencji nośników kryptograficznych: W Kancelarii Tajnej wykazano brak 6 dysków SSD wycofanych ze stacji projektowych, które nie zostały protokolarnie zniszczone w atestowanym niszczycielu magnetycznym (degausserze), lecz leżały w niezamkniętej szafie magazynowej.

Wskazówki wykonania krok po kroku w formule Triady Audytorskiej (matryca ryzyka 5x5, karta 4C, dochodzenie 5 Why, parametry BCM, trójfazowy Plan CAP)

Krok 1 (Podział ról w Triadzie Audytorskiej):
- Rola A (Lead Auditor / Ekspert Bezpieczeństwa Przemysłowego OIN): Kieruje audytem, analizuje zgodność z Ustawą o ochronie informacji niejawnych, normami AQAP 2110 i wymaganiami NATO, sporządza 1-stronicowe Executive Summary dla Prezesa Zarządu i Pełnomocnika OIN.
- Rola B (Technical SecOps Auditor): Przeprowadza techniczny audyt izolacji sieci Air-Gap, analizę emisji elektromagnetycznej TEMPEST, detekcję sygnałów RF/Wi-Fi/LTE za pomocą analizatora widma, inspekcję szaf sterowniczych maszyn CNC i kontrole ISO/IEC 27001:2022 (A.7.1-A.7.14, A.8.14).
- Rola C (BCM & Compliance Auditor): Buduje matrycę ryzyka 5x5 dla scenariusza szpiegostwa militarnego APT, ustala parametry BCM (RTO=24h, RPO=0 min dla dokumentacji rakietowej), formułuje uchybienia w modelu 4C z analizą 5 Why oraz konstruuje trójfazowy Plan CAP ze wskaźnikami KPI.
Krok 2 (Dekompozycja procedur pod kątem wymagań SKW i NATO AC/322):
Zweryfikujcie procedury ochrony stref bezpieczeństwa (Strefa I i II), procedury niszczenia nośników niejawnych oraz zasady nadzoru nad serwisantami zewnętrznymi (tzw. procedura unescorted access).
Krok 3 (Szacowanie ryzyka w matrycy 5x5 i parametry BCM):
Oceńcie Prawdopodobieństwo (1-5) i Skutek (1-5) dla kluczowych ryzyk:
- Zagrożenie 1: Przejęcie planów głowic rakietowych przez obcy wywiad wojskowy via nieautoryzowany modem LTE w obrabiarce CNC. P=5, S=5 -> IR = 25/25 (Strefa Katastrofalna). Kontrole: Natychmiastowy demontaż modemu, fizyczna inspekcja wszystkich szaf CNC, wdrożenie bramki detekcji RF, audyt kontrwywiadowczy SKW. Ryzyko rezydualne: P=1, S=1 -> RR = 1/25 (Akceptowalne).
- Zagrożenie 2: Podsłuch elektromagnetyczny stacji roboczych CAD/CAM (emisja ujawniająca TEMPEST). P=4, S=5 -> IR = 20/25 (Strefa Krytyczna). Kontrole: Wymiana stacji na fabrycznie certyfikowany sprzęt TEMPEST Klasy A, klatki Faradaya dla laboratoriów. Ryzyko rezydualne: P=1, S=2 -> RR = 2/25.
- Zagrożenie 3: Nagranie parametrów głowicy smartfonem wniesionym do Strefy I. P=4, S=4 -> IR = 16/25 (Strefa Wysoka). Kontrole: Śluza z wykrywaczem nieliniowym NLJD i komorami depozytowymi RF. Ryzyko rezydualne: P=1, S=1 -> RR = 1/25.
- Zagrożenie 4: Wyciek danych ze skradzionych dysków SSD z Kancelarii Tajnej. P=3, S=5 -> IR = 15/25. Kontrole: Protokolarne niszczenie degausserem z rejestracją wideo i weryfikacją komisyjną. Ryzyko rezydualne: P=1, S=1 -> RR = 1/25.
Parametry BCM: RTO = 24 godziny (odtworzenie linii produkcyjnej z bezpiecznych nośników w razie sabotażu), RPO = 0 minut (bezwzględny brak utraty wersji dokumentacji konstrukcyjnej), MTPD = 48 godzin.
Krok 4 (Karta Ustalenia w kanonicznym modelu 4C):
Opracujcie pełną kartę 4C dla zainstalowanego modemu LTE w sieci maszyn CNC:
- Condition: Nieautoryzowany router z aktywnym modemem LTE/Wi-Fi podłączony do magistrali sieciowej obrabiarek CNC produkujących głowice rakietowe; transmisja danych do zewnętrznego adresu IP w Szwajcarii bez wiedzy OIN i SKW.
- Criteria: Ustawa o ochronie informacji niejawnych art. 48 i 49; Norma NATO AQAP 2110 pkt 5.4; ISO/IEC 27001:2022 A.7.4, A.8.14, A.8.20; Instrukcja Bezpieczeństwa Przemysłowego Zakładu.
- Cause (5 Why): Modem podłączony do maszyny -> serwisant chciał mieć zdalny dostęp serwisowy -> monterzy wpuścili serwisanta bez asysty OIN -> w polityce brakowało procedury kontroli zagranicznego serwisu maszyn -> (Root Cause): Brak zintegrowanego nadzoru kontrwywiadowczego nad łańcuchem dostaw maszyn technologicznych oraz rażące zaniedbanie obowiązków przez pion Pełnomocnika OIN w zakresie kontroli fizycznej urządzeń w strefie produkcji specjalnej.
- Consequence: Bezpośrednie zagrożenie obronności państwa i sojuszu NATO, ryzyko skopiowania technologii rakietowej przez wrogie państwa, natychmiastowe cofnięcie Świadectwa Bezpieczeństwa Przemysłowego I Stopnia przez SKW, wstrzymanie produkcji rakiet, zarzuty szpiegostwa i zdrady stanu dla winnych zaniechań.
Krok 5 (Trójfazowy Plan Działań Korygujących - CAP):
Zestawcie tabelę CAP z podziałem na działania natychmiastowe (0-7 dni), krótkoterminowe (30 dni) i systemowe (90 dni).
Krok 6 (Projekt Nowelizacji Polityki Bezpieczeństwa):
Zredagujcie sformalizowaną procedurę: "Instrukcja Bezpieczeństwa Teleinformatycznego dla Systemów Przetwarzających Informacje Niejawne: Bezwzględna Izolacja Air-Gap, Nadzór nad Serwisem Zewnętrznym i Ochrona Przed Emisją Ujawniającą TEMPEST".

Plan referatu, Executive Summary i obrony przed zarządem

Struktura 15-minutowego wystąpienia seminaryjnego:

Pitch to Board - Executive Summary (3 min): Zwięzłe przedstawienie sytuacji Prezesowi Zarządu i Pełnomocnikowi OIN: stan krytycznego zagrożenia szpiegowskiego (IR = 25/25), wykrycie nielegalnego modemu LTE w maszynie rakietowej, wygaśnięcie atestów TEMPEST, wnioskowany budżet naprawczy CAP (Lead Auditor).
Prezentacja Matrycy Ryzyka 5x5 i BCM (4 min): Uzasadnienie redukcji ryzyka z 25/25 do 1/25, spełnienie RTO=24h i RPO=0 min dla linii zbrojeniowej oraz rygory norm NATO AQAP (BCM Auditor).
Dekonstrukcja wektorów technicznych i Model 4C (4 min): Dowody techniczne z analizatora widma RF, analiza pakietów wychodzących z modemu LTE, procedura 5 Why obnażająca zaniechania pionu ochrony (Technical SecOps Auditor).
Trójfazowy Plan CAP i Projekt Instrukcji OIN (3 min): Harmonogram 0-7, 30, 90 dni, wskaźniki KPI (100% zdemontowanych urządzeń bezprzewodowych, ponowna certyfikacja TEMPEST stacji CAD/CAM, wdrożenie procedury asysty kontrwywiadowczej przy każdym serwisie) (cały zespół).
Obrona ustaleń audytu (1 min): Odpowiedź na zarzuty Dyrektora Produkcji dotyczące "utrudnień w realizacji harmonogramu dostaw rakiet dla Wojska Polskiego".

Wzorcowy zakres raportu (Executive Summary, matryca ryzyka 5x5, model 4C, tabela CAP, projekt nowelizacji polityki)

Raport laboratoryjny (objętość 12-16 stron A4 znormalizowanego maszynopisu) musi obejmować:

A. Jednostronicowe Podsumowanie Zarządcze (Executive Summary - "Pitch to Board"):

Adresat: Prezes Zarządu Zakładu Optyki i Rakiet, Pełnomocnik ds. Ochrony Informacji Niejawnych, Szef Służby Kontrwywiadu Wojskowego (do wiadomości).
Tytuł: Raport Zarządczy z Audytu Dekompozycyjnego Bezpieczeństwa Informacji Niejawnych, Stref Air-Gap i Emisji TEMPEST.
Kluczowy komunikat: W zakładzie ujawniono stan katastrofalnego naruszenia bezpieczeństwa państwa i sojuszu NATO (IR = 25/25). Wykryto aktywny modem LTE szwajcarskiego producenta w obrabiarce CNC produkującej głowice rakietowe, co całkowicie przerwało barierę Air-Gap. Ponadto stacje robocze CAD/CAM emitują sygnały ujawniające TEMPEST umożliwiające odczyt planów rakiet z zewnątrz budynku.
Zagrożenia militarne i prawne: Natychmiastowa utrata Świadectwa Bezpieczeństwa Przemysłowego I Stopnia; wstrzymanie wielomiliardowych kontraktów zbrojeniowych dla Sił Zbrojnych RP; postępowanie prokuratorskie z art. 130 Kodeksu karnego (szpiegostwo).
Rekomendacja strategiczna: Przyjęcie Trójfazowego Planu CAP o budżecie 780 000 PLN (natychmiastowe zabezpieczenie materiałów dowodowych dla SKW, zakup nowej generacji certyfikowanych stacji TEMPEST Klasy A, instalacja śluz z detektorami nieliniowymi NLJD oraz całkowity zakaz niekontrolowanego wstępu zagranicznego serwisu).

B. Wzorcowe rozwiązanie problemu (Raport, Matryca 5x5, Model 4C i Plan CAP):

Tabela Matrycy Ryzyka 5x5:

ID zagrożenia / luki w polityce	P	S	IR (Inherent)	Zastosowane kontrole kompensacyjne	P	S	RR (Residual)
Z1: Przerwanie Air-Gap przez modem LTE w maszynie	5	5	25 (Katastrofa)	Fizyczny demontaż, plomby, śluzy RF	1	1	1 (Niskie)
Z2: Podsłuch elektromagnetyczny stacji CAD/CAM	4	5	20 (Krytyczne)	Wymiana stacji na certyfikowane TEMPEST A	1	2	2 (Niskie)
Z3: Smartfony i moduły Bluetooth w Strefie Klasy I	4	4	16 (Wysokie)	Śluzy NLJD, depozytory ekranowane RF	1	1	1 (Niskie)
Z4: Porzucone dyski SSD w szafie Kancelarii Tajnej	3	5	15 (Wysokie)	Protokolarne niszczenie degausserem	1	1	1 (Niskie)
Z5: Brak asysty OIN podczas serwisu maszyn	5	4	20 (Krytyczne)	Procedura obowiązkowej asysty oficera OIN	1	1	1 (Niskie)

Parametry BCM: RTO = 24 godziny, RPO = 0 minut (dokumentacja rakiet), MTPD = 48 godzin.

Karta Niezgodności w kanonicznym modelu 4C:
- Condition: Obecność modułu bezprzewodowego LTE/Wi-Fi podłączonego do sieci produkcyjnej obrabiarek CNC wytwarzających elementy pocisków przeciwlotniczych; aktywne połączenie z zewnętrznym serwerem za granicą.
- Criteria: Ustawa o ochronie informacji niejawnych art. 48; Norma NATO AQAP 2110; ISO/IEC 27001:2022 A.7.4, A.8.14; Zarządzenie Szefa SKW w sprawie ochrony teleinformatycznej.
- Cause (5 Why): Modem zamontowany przez serwis -> chęć zdalnej diagnostyki producenta CNC -> brak nadzoru fizycznego personelu fabryki nad serwisantem -> brak procedury kontroli technicznej urządzeń obcych -> (Root Cause): Brak ładu kontrwywiadowczego w pionie OIN i tolerowanie obecności zagranicznego serwisu w strefie produkcji specjalnej bez asysty służb ochrony.
- Consequence: Zagrożenie ujawnieniem tajemnic obronności RP, utrata certyfikatów NATO SECRET, zarzuty karne dla kierownictwa, wstrzymanie dostaw uzbrojenia dla wojska.
Tabela Trójfazowego Planu Działań Korygujących (CAP):

Faza	Zadanie naprawcze	Odpowiedzialny (RACI)	Termin	Wskaźnik KPI / KRI
Faza 1 (0-7 dni)	CAP-1: Zabezpieczenie dowodowe i natychmiastowy demontaż modemu LTE; powiadomienie SKW; audyt RF.	R: Pełnomocnik OIN A: Prezes Zarządu	6 godz.	Protokolarne zabezpieczenie modemu; 0 emisji radiowych w hali produkcyjnej.
Faza 1 (0-7 dni)	CAP-2: Wprowadzenie bezwzględnego zakazu wnoszenia jakiejkolwiek elektroniki do Strefy Klasy I.	R: Szef Straży Zakł. A: Pełnomocnik OIN	24 godz.	100% pracowników i gości przechodzących przez bramkę wykrywacza metali i NLJD.
Faza 2 (30 dni)	CAP-3: Zakup i instalacja 15 atestowanych stacji roboczych CAD/CAM z certyfikatem TEMPEST Poziom A.	R: Główny Informatyk A: Pełnomocnik OIN	30 dni	100% stacji w Kancelarii Tajnej z ważnym certyfikatem SKW (ochrona przed emisją).
Faza 2 (30 dni)	CAP-4: Wdrożenie mechatronicznego plombowania szaf sterowniczych CNC z rejestracją otwarcia w OIN.	R: Główny Mechanik A: Dyrektor Produkcji	30 dni	100% szaf sterowniczych maszyn CNC zaplombowanych plombami numerowanymi.
Faza 3 (90 dni)	CAP-5: Wdrożenie nowej "Instrukcji Bezpieczeństwa Przemysłowego", certyfikacja AQAP 2110 przez WDT oraz pomyślna weryfikacja kontrwywiadowcza SKW.	R: Radca Prawny OIN A: Prezes Zarządu	90 dni	Podpisanie zarządzenia; 100% personelu inżynieryjnego przeszkolonego z przepisów ustawy o ochronie informacji niejawnych.

Sformalizowany Projekt Nowelizacji Polityki Bezpieczeństwa:
"Zarządzenie Prezesa Zarządu w sprawie:

Instrukcji bezpieczeństwa teleinformatycznego systemów air-gap i ochrony informacji niejawnych w produkcji specjalnej

§ 1. Zasada Nienaruszalności Bariery Air-Gap: Sieci teleinformatyczne i sterowniki maszyn w strefach produkcji uzbrojenia muszą pozostać trwale, fizycznie i galwanicznie odizolowane od jakichkolwiek sieci publicznych, komercyjnych i Internetu. Zabrania się stosowania interfejsów bezprzewodowych (Wi-Fi, Bluetooth, LTE, 5G, Zigbee).

§ 2. Procedura Nadzoru nad Serwisem Maszyn: Wszelkie prace serwisowe wykonywane przez podmioty zewnętrzne mogą odbywać się wyłącznie w obecności wyznaczonego oficera pionu Pełnomocnika OIN posiadającego poświadczenie bezpieczeństwa odpowiedniej klauzuli. Przed i po zakończeniu prac serwisowych szafy sterownicze podlegają inspekcji radiowej i plombowaniu.

§ 3. Standardy Sprzętowe TEMPEST: Wszelkie urządzenia przetwarzające informacje niejawne o klauzuli POUFNE i wyższej muszą posiadać aktualne świadectwo atestacji elektromagnetycznej TEMPEST wydane przez SKW lub ABW.

§ 4. Odpowiedzialność Pracownicza: Wniesienie urządzenia rejestrującego dźwięk lub obraz do Strefy Bezpieczeństwa Klasy I stanowi przestępstwo przeciwko ochronie informacji i skutkuje natychmiastowym rozwiązaniem umowy o pracę bez wypowiedzenia oraz skierowaniem zawiadomienia do Prokuratury Wojskowej".

C. Analiza zalet, wad, ryzyk wdrożeniowych i kosztów TCO:

Zalety: Całkowita eliminacja ryzyka szpiegostwa wojskowego; utrzymanie Świadectwa Bezpieczeństwa Przemysłowego I Stopnia; ochrona tajemnic technologii rakietowej; zachowanie kontraktów z MON i partnerami z NATO.
Wady i koszty inwestycyjne: Wysoki koszt zakupu certyfikowanego sprzętu TEMPEST i śluz NLJD (780 000 PLN); spowolnienie procedur serwisowych maszyn CNC z uwagi na wymóg ciągłej asysty oficera OIN.

Bibliografia, netografia i regulacje prawne

Ustawa z dnia 5 sierpnia 2010 r. o ochronie informacji niejawnych (Dz.U. z 2024 r. poz. 632).
NATO Standardization Agreement (STANAG) 4107 oraz publikacja sojusznicza AQAP 2110.
Służba Kontrwywiadu Wojskowego: "Zalecenia dotyczące ochrony elektromagnetycznej obiektów i systemów teleinformatycznych (TEMPEST)", Warszawa 2022.
Ustawa z dnia 29 listopada 2000 r. o obrocie z zagranicą towarami, technologiami i usługami o znaczeniu strategicznym dla bezpieczeństwa państwa.
Norma PN-EN ISO/IEC 27001:2022 - Załącznik A (kontrole A.7.1-A.7.14, A.8.14).

Przypisanie do efektów uczenia się z sylabusa na ocenę 5.0

U1 Student projektuje zaawansowane procedury ochrony informacji niejawnych dla stref Air-Gap i TEMPEST w przemyśle obronnym.
U2 Student bezbłędnie identyfikuje nieautoryzowane mosty telekomunikacyjne w modelu 4C z analizą 5 Why.
U3 Student wykonuje analizę ryzyka szpiegowskiego w matrycy 5x5 i parametryzuje wskaźniki BCM dla produkcji zbrojeniowej.
U4 Student przygotowuje trójfazowy Plan CAP oraz jednostronicowe Executive Summary dla Prezesa Zarządu i Pełnomocnika OIN.
W1W2W3 Student demonstruje ekspercką wiedzę z zakresu ochrony informacji niejawnych, norm NATO AQAP i wymogów SKW.
K1K2K3 Student przejawia postawę najwyższego patriotyzmu, odpowiedzialności za obronność ojczyzny i bezkompromisowej dyskrecji.
--------------------------------------------------------------------------------

InfoVeritas S.A. – Biuro Informacji Gospodarczej i scoring kredytowy

Zwiń

Temat: Strategiczny Audyt Polityki Bezpieczeństwa Profilowania Algorytmicznego, Tajemnicy Gospodarczej, Bezpieczeństwa API, Modelu 4C, Ryzyka 5X5 i Planu CAP

Schemat strategicznej analizy polityki bezpieczeństwa biura informacji gospodarczej pod kątem profilowania RODO art. 22 i bezpieczeństwa interfejsów API

Cel zadania i powiązanie z efektami kształcenia na ocenę 5.0

Celem zadania na ocenę 5.0 jest wykształcenie u studentów najwyższych kompetencji audytorsko-architektonicznych w zakresie zautomatyzowanego przetwarzania danych finansowych, profilowania algorytmicznego (AI/ML) oraz bezpieczeństwa interfejsów API w instytucji zaufania publicznego. Przedmiotem audytu jest Polityka Bezpieczeństwa Informacji i Ochrony Danych w InfoVeritas S.A. - wiodącym Biurze Informacji Gospodarczej przetwarzającym bazy dłużników oraz generującym oceny scoringowe dla 45 banków, firm pożyczkowych i operatorów telekomunikacyjnych. Spółka przetwarza dane gospodarcze i historię kredytową ponad 22 milionów obywateli i podmiotów gospodarczych, obsługując 10 milionów zapytań API na dobę. Podlega bezpośrednio pod rygory RODO (art. 22 - zautomatyzowane podejmowanie decyzji i profilowanie, art. 35 DPIA), Ustawy o udostępnianiu informacji gospodarczych i wymianie danych gospodarczych, Prawa bankowego (art. 105 i nast.), Dyrektywy NIS2 (podmiot kluczowy usług cyfrowych), normy PN-EN ISO/IEC 27001:2022 oraz standardu OWASP API Security Top 10. Zadanie obejmuje dekompozycję polityki pod kątem bezpieczeństwa interfejsów wymiany danych, wyjaśnialności algorytmów AI (XAI), sformułowanie uchybień w modelu 4C z analizą 5 Why, oszacowanie ryzyka w matrycy 5x5 przed i po mitygacji, opracowanie trójfazowego Planu CAP oraz przygotowanie 1-stronicowego Executive Summary ("Pitch to Board") dla Zarządu InfoVeritas S.A. i Prezesa Urzędu Ochrony Danych Osobowych.

Powiązanie z sylabusem i treściami programowymi na ocenę 5.0:

Umiejętności U1: Opracowanie zintegrowanej Polityki Bezpieczeństwa Interfejsów API, Nadzoru Algorytmicznego i Ochrony Prywatności w Masowym Profilowaniu.
Umiejętności U2: Identyfikacja krytycznych podatności autoryzacji w API i sformułowanie uchybień w modelu 4C z analizą przyczyn źródłowych 5 Why.
Umiejętności U3: Analiza ryzyka wycieku bazy danych i dyskryminacji algorytmicznej w matrycy 5x5 oraz ustalenie parametrów BCM: RTO=30 minut, RPO=1 minuta dla bazy zapytań scoringowych, MTPD=2 godziny.
Umiejętności U4: Przygotowanie trójfazowego Planu CAP z metrykami KPI/KRI oraz zredagowanie Executive Summary dla Zarządu Spółki.
Wiedza W1, W2, W3: Ekspercka znajomość RODO (art. 22, 25, 32, 35), Ustawy o BIG, Prawa bankowego, Dyrektywy NIS2, Aktu o Sztucznej Inteligencji (AI Act - ocena zdolności kredytowej jako High-Risk AI) oraz norm ISO/IEC 27001:2022 i ISO/IEC 42001.
Kompetencje społeczne K1, K2, K3: Etyka inżynierii danych, bezkompromisowa ochrona praw obywateli przed niesłusznym wykluczeniem finansowym, obiektywizm i odporność na presję komercyjną banków.
Treści programowe: Wyk1 (Zarządzanie bezpieczeństwem w masowym profilowaniu), Wyk3 (Kontrole A.8.2, A.8.24, A.8.28 ISO 27001), Wyk4 (RODO art. 22 i AI Act), Wyk5 (Matryca 5x5 i BCM), Wyk6 (Zaawansowana inspekcja API), Wyk7 (Model 4C i trójfazowy CAP).

Scenariusz sytuacyjny i ujawnione luki w polityce bezpieczeństwa

InfoVeritas S.A. utrzymuje bazę danych o wolumenie 150 TB w chmurze hybrydowej. Banki i instytucje finansowe przesyłają zapytania scoringowe za pośrednictwem dedykowanych interfejsów RESTful API. Czas odpowiedzi na zapytanie o scoring scoringowy obywatela wynosi średnio 120 milisekund.

Krytyczne ustalenia audytu zerowego i luki w zastałej dokumentacji:

Krytyczne podatności autoryzacji w interfejsie API scoringowego (BOLA / IDOR): W "Polityce Udostępniania Interfejsów Programistycznych" z 2021 r. stwierdzono ogólny zapis o "konieczności stosowania tokenów dostępowych". Testy penetracyjne ujawniły podatność typu Broken Object Level Authorization (BOLA / IDOR): zewnętrzny klient posiadający ważny token API instytucji pożyczkowej mógł w zapytaniu `GET /api/v2/scoring/{pesel}` podać dowolny, nieswoisty numer PESEL obywatela i otrzymać pełny profil finansowy (wysokość dochodów, zadłużenie, scoring punktowy) bez weryfikacji uprawnień instytucji do odpytania o daną osobę. Brak walidacji relacji pomiędzy zapytaniem a udzieloną przez klienta zgodą (naruszenie art. 6 i 32 RODO).
Algorytmiczna "czarna skrzynka" i naruszenie art. 22 RODO: Model wyliczania scoringu oparty jest na sieci neuronowej typu Deep Learning, której decyzje odmawiające przyznania kredytu nie posiadają ścieżki wyjaśnialności (Explainable AI - XAI). W polityce brak procedury zapewniającej obywatelowi prawo do uzyskania interwencji ludzkiej (Human Oversight), wyrażenia własnego stanowiska i zakwestionowania decyzji (złamanie art. 22 ust. 3 RODO oraz przepisów AI Act klasyfikujących scoring kredytowy jako AI wysokiego ryzyka).
Nieszyfrowana baza danych w spoczynku i brak rotacji tokenów JWT: Główna relacyjna baza danych zawierająca rejestr 22 milionów numerów PESEL nie posiada włączonego szyfrowania na poziomie dyskowym (Transparent Data Encryption - TDE), a tokeny uwierzytelniające JWT dla banków wydawane są bezterminowo (brak rotacji kluczy kryptograficznych i brak wymuszenia mTLS).
Brak procedury ciągłości działania dla węzła wymiany danych: W polityce kopii zapasowych brak uwzględnienia replikacji bazy zapytań w czasie rzeczywistym, co w przypadku awarii węzła centralnego paraliżuje proces udzielania kredytów w 45 bankach w Polsce.

Wskazówki wykonania krok po kroku w formule Triady Audytorskiej (matryca ryzyka 5x5, karta 4C, dochodzenie 5 Why, parametry BCM, trójfazowy Plan CAP)

Krok 1 (Podział ról w Triadzie Audytorskiej):
- Rola A (Lead Auditor / Ekspert Prawa Ochrony Danych i RODO): Analizuje zgodność profilowania z art. 22 i 35 RODO, Prawem bankowym, wymogami AI Act, przygotowuje 1-stronicowe Executive Summary ("Pitch to Board") dla Zarządu i Rady Nadzorczej.
- Rola B (Technical SecOps Auditor): Przeprowadza techniczny audyt specyfikacji OpenAPI/Swagger, weryfikuje podatności OWASP API (BOLA, Mass Assignment), konfigurację API Gateway, szyfrowanie bazy TDE/KMS, implementację mTLS i tokenów JWT oraz kontrole ISO/IEC 27001:2022 (A.8.2, A.8.24, A.8.28).
- Rola C (BCM & Compliance Auditor): Buduje matrycę ryzyka 5x5, ustala wskaźniki BCM (RTO=30 min, RPO=1 min), formułuje uchybienia w modelu 4C z analizą 5 Why oraz konstruuje trójfazowy Plan CAP ze wskaźnikami KPI i KRI.
Krok 2 (Dekompozycja polityki pod kątem OWASP API Security Top 10 i AI Act):
Zestawcie zastałą dokumentację z 10 kluczowymi zagrożeniami API (API1: BOLA, API2: Broken Authentication, API3: Broken Object Property Level Authorization) oraz wymogami AI Act dotyczącymi dokładności, solidności i wyjaśnialności systemów High-Risk AI.
Krok 3 (Szacowanie ryzyka w matrycy 5x5 i parametry BCM):
Oceńcie Prawdopodobieństwo (1-5) i Skutek (1-5) dla kluczowych ryzyk:
- Zagrożenie 1: Masowy wyciek historii finansowej 22 mln obywateli przez podatność BOLA w API. P=5, S=5 -> IR = 25/25 (Strefa Katastrofalna). Kontrole: Wdrożenie autoryzacji na poziomie obiektów w API Gateway, mTLS z bankami, weryfikacja sum kontrolnych zgód w czasie rzeczywistym. Ryzyko rezydualne: P=1, S=3 -> RR = 3/25 (Akceptowalne).
- Zagrożenie 2: Kary z RODO i pozwy zbiorowe za nielegalne zautomatyzowane profilowanie bez prawa do interwencji ludzkiej (art. 22 RODO). P=4, S=5 -> IR = 20/25 (Strefa Krytyczna). Kontrole: Wdrożenie modułu XAI (SHAP/LIME), nowa procedura reklamacyjna z udziałem analityka ludzkiego. Ryzyko rezydualne: P=1, S=2 -> RR = 2/25.
- Zagrożenie 3: Wykradzenie bazy danych z nieszyfrowanej macierzy dyskowej (brak TDE). P=3, S=5 -> IR = 15/25 (Strefa Wysoka). Kontrole: Wymuszenie TDE z kluczami HSM, mikro-segmentacja baz danych. Ryzyko rezydualne: P=1, S=2 -> RR = 2/25.
- Zagrożenie 4: Paraliż akcji kredytowej w bankach partnerskich wskutek awarii API (brak BCM). P=4, S=4 -> IR = 16/25. Kontrole: Multi-Region Active-Active API Gateway z RTO < 30 min. Ryzyko rezydualne: P=1, S=2 -> RR = 2/25.
Parametry BCM: RTO = 30 minut (przywrócenie działania API scoringowego), RPO = 1 minuta (maksymalna utrata logów zapytań), MTPD = 2 godziny.
Krok 4 (Karta Ustalenia w kanonicznym modelu 4C):
Opracujcie pełną kartę 4C dla krytycznej podatności BOLA w API:
- Condition: Możliwość pobrania danych finansowych dowolnego obywatela na podstawie numeru PESEL przez wywołanie endpointu REST API bez weryfikacji uprawnień i bez sprawdzenia ważności zgody RODO.
- Criteria: RODO art. 5 ust. 1 lit. f, art. 32; OWASP API Security Top 10 (API1:2023 BOLA); ISO/IEC 27001:2022 A.8.2, A.8.28; Ustawa o udostępnianiu informacji gospodarczych art. 24.
- Cause (5 Why): Zapytanie zwraca dane dowolnego PESEL -> brak logiki sprawdzającej prawo klienta do danego rekordu -> programiści zaimplementowali prosty kontroler bazy bez warstwy autoryzacji obiektowej -> brak testów bezpieczeństwa API przed wdrożeniem -> (Root Cause): Brak nadrzędnej Polityki Bezpieczeństwa API i brak architektury Zero Trust w relacjach integracyjnych z instytucjami finansowymi.
- Consequence: Ryzyko masowego szpiegostwa gospodarczego, nieuprawnionego wyciągania danych majątkowych milionów Polaków, kary od Prezesa UODO do 20 mln EUR lub 4% globalnego obrotu, utrata zaufania sektora bankowego, odpowiedzialność odszkodowawcza.
Krok 5 (Trójfazowy Plan Działań Korygujących - CAP):
Zestawcie tabelę CAP z podziałem na działania natychmiastowe (0-7 dni), krótkoterminowe (30 dni) i systemowe (90 dni).
Krok 6 (Projekt Nowelizacji Polityki Bezpieczeństwa):
Zredagujcie sformalizowaną procedurę: "Polityka Bezpieczeństwa Interfejsów API, Ochrony Danych Finansowych i Nadzoru nad Profilowaniem Algorytmicznym Zgodnie z RODO i AI Act".

Plan referatu, Executive Summary i obrony przed zarządem

Struktura 15-minutowego wystąpienia seminaryjnego:

Pitch to Board - Executive Summary (3 min): Zwięzłe przedstawienie sytuacji Zarządowi Spółki: stan skrajnego zagrożenia katastrofą regulacyjną (IR = 25/25), podatność BOLA pozwalająca na pobranie bazy majątkowej Polaków, brak wyjaśnialności scoringu AI, plan CAP (Lead Auditor).
Prezentacja Matrycy Ryzyka 5x5 i BCM (4 min): Uzasadnienie redukcji ryzyka z 25/25 do 2-3/25, spełnienie RTO=30 min i RPO=1 min oraz architektura mTLS z bankami (BCM Auditor).
Dekonstrukcja wektorów technicznych i Model 4C (4 min): Dowody audytowe z testów zapytań API, analiza nagłówków JWT, procedura 5 Why wykazująca brak procedur Secure Coding (Technical SecOps Auditor).
Trójfazowy Plan CAP i Projekt Polityki API/AI (3 min): Harmonogram 0-7, 30, 90 dni, wskaźniki KPI (100% endpointów z autoryzacją BOLA, wdrożenie mTLS, moduł XAI wyjaśniający scoring w 100% przypadków reklamacji) (cały zespół).
Obrona ustaleń audytu (1 min): Odpowiedź na zarzuty Dyrektora ds. Sprzedaży dotyczące "możliwego spowolnienia integracji z nowymi firmami pożyczkowymi przez restrykcyjne mTLS".

Wzorcowy zakres raportu (Executive Summary, matryca ryzyka 5x5, model 4C, tabela CAP, projekt nowelizacji polityki)

Raport laboratoryjny (objętość 12-16 stron A4 znormalizowanego maszynopisu) musi obejmować:

A. Jednostronicowe Podsumowanie Zarządcze (Executive Summary - "Pitch to Board"):

Adresat: Prezes Zarządu, Wiceprezes ds. Rozwoju Systemów, Główny Architekt Oprogramowania InfoVeritas S.A.
Tytuł: Raport Zarządczy z Audytu Dekompozycyjnego Bezpieczeństwa API Scoringowego i Zgodności Profilowania Algorytmicznego z RODO.
Kluczowy komunikat: Główny interfejs API spółki generuje stan katastrofalnego ryzyka prawnego i bezpieczeństwa (IR = 25/25). Zidentyfikowano krytyczną podatność BOLA, umożliwiającą dowolnemu klientowi API pobranie pełnych danych finansowych każdego obywatela RP bez weryfikacji uprawnień. Ponadto model scoringu AI działa w trybie "czarnej skrzynki", co łamie art. 22 RODO i naraża firmę na pozwy o dyskryminację algorytmiczną.
Zagrożenia regulacyjne i finansowe: Ryzyko kar finansowych od UODO do 20 mln EUR; utrata licencji BIG; masowe pozwy cywilne o naruszenie dóbr osobistych i tajemnicy finansowej.
Rekomendacja strategiczna: Przyjęcie Trójfazowego Planu CAP o budżecie 490 000 PLN (wdrożenie API Gateway z weryfikacją autoryzacji obiektowej, wymuszenie mTLS dla 45 banków, szyfrowanie bazy TDE oraz wdrożenie silnika Explainable AI). Zwrot z inwestycji: zachowanie pozycji lidera rynku scoringowego i pełna zgodność z AI Act i RODO.

B. Wzorcowe rozwiązanie problemu (Raport, Matryca 5x5, Model 4C i Plan CAP):

Tabela Matrycy Ryzyka 5x5:

ID zagrożenia / luki w polityce	P	S	IR (Inherent)	Zastosowane kontrole kompensacyjne	P	S	RR (Residual)
Z1: Podatność BOLA w API scoringowym (wyciek PESEL)	5	5	25 (Katastrofa)	Weryfikacja zgody w API Gateway, mTLS	1	3	3 (Niskie)
Z2: Brak wyjaśnialności scoringu AI (art. 22 RODO)	4	5	20 (Krytyczne)	Silnik XAI (SHAP/LIME), Human-in-the-Loop	1	2	2 (Niskie)
Z3: Nieszyfrowana baza danych dłużników w spoczynku	3	5	15 (Wysokie)	Wdrożenie TDE z kluczami HSM	1	2	2 (Niskie)
Z4: Bezterminowe tokeny JWT bez rotacji kluczy	4	4	16 (Wysokie)	Krótkotrwałe tokeny (15 min), rotacja KMS	1	1	1 (Niskie)
Z5: Przestój API paraliżujący akcję kredytową banków	4	4	16 (Wysokie)	Replikacja Active-Active, RTO < 30 min	1	2	2 (Niskie)

Parametry BCM: RTO = 30 minut, RPO = 1 minuta, MTPD = 2 godziny.

Karta Niezgodności w kanonicznym modelu 4C:
- Condition: Możliwość odpytania API o dowolny numer PESEL z użyciem tokenu innego podmiotu i brak weryfikacji ważności zgody klienta w rejestrze bazy danych; brak rejestracji nieuprawnionych prób odpytań.
- Criteria: RODO art. 5 ust. 1 lit. f, art. 32; OWASP API Security Top 10 Wymóg API1:2023; ISO/IEC 27001:2022 A.8.28; Ustawa o BIG art. 24.
- Cause (5 Why): Endpoint API zwraca profil po samym PESEL -> brak powiązania tokenu z upoważnieniem do danej osoby -> architektura zoptymalizowana na czas odpowiedzi 120 ms -> pominięcie walidacji bezpieczeństwa w bazie -> (Root Cause): Brak nadrzędnej Polityki Bezpieczeństwa API i brak traktowania bezpieczeństwa danych majątkowych jako wymogu nadrzędnego nad wydajnością zapytań.
- Consequence: Masowy wyciek profili majątkowych milionów obywateli, gigantyczne kary od Prezesa UODO (do 20 mln EUR), natychmiastowe zerwanie kontraktów przez banki komercyjne, zapaść reputacyjna.
Tabela Trójfazowego Planu Działań Korygujących (CAP):

Faza	Zadanie naprawcze	Odpowiedzialny (RACI)	Termin	Wskaźnik KPI / KRI
Faza 1 (0-7 dni)	CAP-1: Natychmiastowe wdrożenie walidacji uprawnień na poziomie API Gateway (blokada podatności BOLA).	R: Architekt API A: CISO Spółki	24 godz.	100% zapytań API weryfikowanych pod kątem uprawnienia do PESEL; 0 nieautoryz. odpowiedzi.
Faza 1 (0-7 dni)	CAP-2: Skrócenie czasu ważności tokenów JWT do 15 min oraz unieważnienie tokenów bezterminowych.	R: Administrator IT A: Główny Programista	48 godz.	100% tokenów krótkotrwałych z wymuszeniem odświeżania przez OAuth 2.0 / mTLS.
Faza 2 (30 dni)	CAP-3: Wdrożenie szyfrowania TDE dla całej bazy danych z zarządzaniem kluczami w chmurowym KMS/HSM.	R: Administrator DBA A: Dyrektor Pionu IT	30 dni	100% tabel scoringowych zaszyfrowanych algorytmem AES-256; audyt wydajności.
Faza 2 (30 dni)	CAP-4: Wdrożenie silnika Explainable AI (XAI) do generowania uzasadnienia decyzji scoringowej.	R: Lead Data Scien. A: CISO / IOD	30 dni	Każda negatywna decyzja scoringowa posiada listę 3 głównych czynników wpływających.
Faza 3 (90 dni)	CAP-5: Wdrożenie nadrzędnej "Polityki Bezpieczeństwa Interfejsów API i Nadzoru Algorytmicznego"; wdrożenie procedury Human-in-the-Loop wg art. 22 RODO	R: Pełnomocnik SZBI A: Prezes Zarządu	90 dni	Zatwierdzenie polityki przez Zarząd; 100% banków partnerskich zintegrowanych za pośrednictwem wzajemnego mTLS.

Sformalizowany Projekt Nowelizacji Polityki Bezpieczeństwa:
"Uchwała Zarządu InfoVeritas S.A. w sprawie:

Polityki bezpieczeństwa interfejsów API, ochrony danych finansowych i nadzoru nad profilowaniem algorytmicznym

§ 1. Cel i zakres regulacji: Niniejsza polityka ustanawia wiążące zasady techniczne i prawne wymiany informacji gospodarczych przez interfejsy API oraz nadzoru nad algorytmicznym profilowaniem scoringowym.

§ 2. Standardy Bezpieczeństwa Interfejsów API: Wszelka komunikacja przez interfejsy API musi odbywać się za pośrednictwem bramki API Gateway z wymuszeniem wzajemnego uwierzytelniania kryptograficznego mTLS 1.3. Każde zapytanie scoringowe podlega weryfikacji uprawnień w czasie rzeczywistym pod kątem istnienia ważnej podstawy prawnej (zgody klienta). Zapytania niespełniające kryteriów autoryzacji obiektowej (BOLA) są natychmiast blokowane z rejestracją w SIEM.

§ 3. Prawa Podmiotu Danych w Profilowaniu (RODO art. 22): Obywatel, wobec którego wydano negatywną ocenę scoringową, ma zagwarantowane prawo do: uzyskania zrozumiałego wyjaśnienia kluczowych parametrów, które zaważyły na ocenie (Explainable AI); zakwestionowania decyzji; oraz żądania ponownego rozpatrzenia sprawy przez analityka kredytowego (Human-in-the-Loop).

§ 4. Szyfrowanie Danych w Spoczynku i Tranzycie: Baza danych informacji gospodarczych podlega permanentnemu szyfrowaniu na poziomie tabel i dysków (TDE) z kluczem zarządzanym w sprzętowym module HSM. Czas życia tokenów dostępowych wynosi maksymalnie 15 minut".

C. Analiza zalet, wad, ryzyk wdrożeniowych i kosztów TCO:

Zalety: Całkowite usunięcie ryzyka masowego wycieku danych finansowych 22 mln Polaków; pełna zgodność z RODO i wymogami AI Act dla systemów wysokiego ryzyka; ugruntowanie pozycji InfoVeritas jako zaufanego partnera sektora bankowego; gwarancja ciągłości działania (RTO=30 min).
Wady i koszty operacyjne: Koszt inwestycyjny 490 000 PLN; konieczność dostosowania oprogramowania klienckiego w 45 instytucjach finansowych do wymogów mTLS i tokenów krótkotrwałych; niewielki wzrost narzutu obliczeniowego (latency) przy generowaniu wyjaśnień XAI.

Bibliografia, netografia i regulacje prawne

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 22, 25, 32, 35.
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 (AI Act) - systemy oceny zdolności kredytowej jako High-Risk AI.
Ustawa z dnia 9 kwietnia 2010 r. o udostępnianiu informacji gospodarczych i wymianie danych gospodarczych.
Ustawa z dnia 29 sierpnia 1997 r. - Prawo bankowe (art. 105 i nast.).
OWASP Top 10 API Security Risks 2023.
Norma PN-EN ISO/IEC 27001:2022 - Załącznik A (kontrole A.8.2, A.8.24, A.8.28).
Norma ISO/IEC 42001:2023 - Artificial Intelligence Management System.

Przypisanie do efektów uczenia się z sylabusa na ocenę 5.0

U1 Student projektuje zaawansowane ramy polityki bezpieczeństwa dla interfejsów API i algorytmicznego profilowania.
U2 Student bezbłędnie identyfikuje podatności BOLA i naruszenia art. 22 RODO w modelu 4C z analizą 5 Why.
U3 Student wykonuje analizę ryzyka w matrycy 5x5 i parametryzuje wskaźniki BCM dla platformy wymiany danych.
U4 Student przygotowuje trójfazowy Plan CAP oraz jednostronicowe Executive Summary dla Zarządu i Prezesa UODO.
W1W2W3 Student demonstruje wiedzę z zakresu RODO, AI Act, Prawa bankowego, OWASP API i normy ISO 42001.
K1K2K3 Student przejawia postawę etyczną, odpowiedzialność za ochronę praw obywateli i obiektywizm inżynierski.

Strategiczna dekompozycja i nowelizacja polityki bezpieczeństwa

Wymagania ogólne i zasady zaliczenia (ocena 5.0)

Przedmiot zadań

Wymogi formalne raportu

Kryteria oceny merytorycznej raportu i obrony

Co odróżnia ocenę 5.0 od ocen niższych

Typowe błędy dyskwalifikujące lub obniżające ocenę

Organizacja czasu ćwiczenia (90 minut)

Harmonogram dekompozycji i nowelizacji polityki bezpieczeństwa (90 minut)

Rola A

Rola B

Rola C

Kalkulator ryzyka luk w polityce — rejestr zagrożeń 5 × 5

Matryca ryzyka 5 × 5 luk dokumentacyjnych i zapisów polityki

Znaczenie pól matrycy w tym module

Formularz raportu z dekompozycji i projektu nowelizacji polityki

Podsumowanie zarządcze (Pitch to Board) – wersja jednostronicowa

Struktura raportu i budżet stron (10–15 stron)

Generator planu działań korygujących po dekompozycji polityki

Jak poprawnie sformułować plan działań

Checklista kompletności dekompozycji i projektu nowelizacji (20 punktów)

Nawigator kotwicowy – 10 studiów przypadków (ocena 5.0)

Spis zadań laboratoryjnych (ocena 5.0)