Laboratorium 4

Głównym celem zadania jest opanowanie przez studentów praktycznych umiejętności przeprowadzenia audytu kontroli dostępu w podmiocie leczniczym przetwarzającym szczególne kategorie danych osobowych (dane o stanie zdrowia pacjentów). Zadanie koncentruje się na zidentyfikowaniu rażących uchybień w postaci stosowania wspólnych, generycznych kont użytkowników na oddziałowych stacjach roboczych (dyżurki pielęgniarskie, gabinety zabiegowe, izba przyjęć), braku rozliczalności wpisów w szpitalnym systemie informacyjnym (HIS) oraz braku procedur weryfikacji uprawnień lekarzy dyżurnych i rezydentów.

Powiązanie z sylabusem i treściami programowymi:

• U2 Identyfikacja niezgodności (NC1/NC2/NC3), braków rozliczalności oraz obserwacji w systemach zarządzania tożsamością i uprawnieniami w ochronie zdrowia.
• U1 Opracowanie założeń procedury bezpiecznego logowania, szybkiej zmiany użytkownika (Fast User Switching) oraz matrycy uprawnień personelu medycznego.
• U3 Przeprowadzenie analizy ryzyka nieautoryzowanego wglądu do Elektronicznej Dokumentacji Medycznej (EDM) oraz fałszowania historii leczenia.
• U4 Opracowanie pisemnego referatu oraz ustrukturyzowanego raportu z audytu IAM dla Dyrekcji Szpitala i Inspektora Ochrony Danych.
• W1 Znajomość wymagań dotyczących ochrony danych medycznych (art. 9 RODO) oraz tajemnicy lekarskiej i pielęgniarskiej.
• W2W3 Zrozumienie normy PN-EN ISO/IEC 27001:2022 (kontrole A.5.15-A.5.18, A.8.5) oraz Rozporządzenia Ministra Zdrowia w sprawie rodzajów, zakresu i wzorów dokumentacji medycznej.
• K1K2K3 Kształtowanie postawy etycznej, poszanowania prywatności pacjentów oraz zrozumienia realiów pracy personelu medycznego w warunkach presji czasu.
• Powiązanie z wykładem: Wyk1 (Rola audytu w ochronie aktywów), Wyk3 (Kontrole dostępowe ISO 27001/27002), Wyk4 (RODO i KRI w ochronie zdrowia), Wyk6 (Analiza logów dostępowych).

Wojewódzki Szpital Zespolony posiada 650 łóżek, 22 oddziały specjalistyczne, Szpitalny Oddział Ratunkowy (SOR) oraz blok operacyjny. W szpitalu zatrudnionych jest na stałe 210 lekarzy, 480 pielęgniarek i położnych, 75 ratowników medycznych oraz około 90 lekarzy rezydentów i stażystów. Dodatkowo w ramach nocnej i świątecznej opieki zdrowotnej dyżuruje kilkudziesięciu lekarzy na umowach cywilnoprawnych (kontraktach).

Infrastruktura teleinformatyczna i stan kontroli dostępu:

• Podstawowym narzędziem pracy personelu medycznego jest Szpitalny System Informacyjny (HIS) zintegrowany z systemem archiwizacji obrazów PACS oraz laboratoryjnym LIS.
• W dyżurkach pielęgniarskich oraz punktach przyjęć pacjentów stacje robocze pracują na jednym, współdzielonym koncie domenowym w Active Directory (np. konto "pielegniarki_chirurgia" lub "sor_rejestracja"). Hasła do tych kont są powszechnie znane, nie były zmieniane od dwóch lat i często wiszą na obudowie monitora na żółtych karteczkach.
• W samym systemie HIS personel loguje się wprawdzie na konta imienne, jednak ze względu na czasochłonność procedury logowania (trwającej około 45 sekund) stacje pozostają permanentnie zalogowane na konto pielęgniarki oddziałowej lub dyżurującego lekarza przez całą 12-godzinną zmianę. Każdy pracownik wchodzący do dyżurki dokonuje wpisów zleceń leków i obserwacji parametrów życiowych na konto osoby aktualnie zalogowanej w systemie.
• Lekarze rezydenci oraz dyżuranci zewnętrzni otrzymują dostęp do systemu HIS często po tygodniu od rozpoczęcia dyżurów, co zmusza ich do korzystania z kont starszych kolegów lub ordynatora oddziału. Z kolei po zakończeniu rezydentury lub wygaśnięciu kontraktu konta pozostają aktywne w systemie przez wiele miesięcy (audyt wstępny ujawnił 34 aktywne konta lekarzy, którzy nie pracują w szpitalu od ponad pół roku).
• W logach systemowych HIS oraz Active Directory brak jest możliwości jednoznacznego powiązania wykonanej operacji (np. wydania leku narkotycznego, wypisu pacjenta, zlecenia badań TK) z konkretną osobą fizyczną, co uniemożliwia realizację zasady rozliczalności.

Dyrekcja Szpitala, w związku z toczącym się postępowaniem wyjaśniającym przed Rzecznikiem Praw Pacjenta oraz planowanym audytem akredytacyjnym Centrum Monitorowania Jakości w Ochronie Zdrowia (CMJ), zleca zespołowi audytorów przeprowadzenie audytu IAM.

Praca w zespole 2-3 osobowym polega na wszechstronnym zbadaniu procesów uwierzytelniania i autoryzacji w szpitalu oraz zaproponowaniu rozwiązań eliminujących anonimowość pracy personelu:

• Krok 1 (Podział ról w zespole audytowym):

  Student 1 (Audytor Wiodący / Koordynator): Analizuje formalne procedury nadawania uprawnień, regulamin pracy personelu medycznego, porozumienia z uczelnią medyczną dotyczące rezydentów oraz kieruje przygotowaniem referatu seminaryjnego.

  Student 2 (Audytor Techniczny IAM/AD): Bada konfigurację kontrolera domeny Active Directory, zasady blokowania stacji roboczych, mechanizmy SSO/przełączania sesji, logi zdarzeń logowania w systemie HIS oraz techniczne możliwości wdrożenia kart zbliżeniowych RFID/kryptograficznych.

  Student 3 (Audytor Zgodności Prawnej i RODO): Analizuje naruszenia art. 5 ust. 1 lit. f oraz art. 32 RODO, Ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta, Ustawy o systemie informacji w ochronie zdrowia oraz formułuje kartę niezgodności. W grupie 2-osobowej zadania te dzielą Studenci 1 i 2.

• Krok 2 (Inwentaryzacja kont i badanie próbki logowań):

  Pobierzcie i przeanalizujcie wykaz kont użytkowników z Active Directory oraz bazy HIS. Zestawcie liczbę aktywnych kont lekarskich z aktualną listą płac kadr medycznych. Wytypujcie próbkę 5 stacji roboczych z oddziałów o najwyższej rotacji pacjentów (SOR, Chirurgia, Kardiologia) i przeanalizujcie czasy trwania pojedynczych sesji użytkowników.

• Krok 3 (Weryfikacja rozliczalności i autoryzacji wpisów medycznych):

  Sprawdźcie mechanizmy podpisywania i zatwierdzania zleceń lekarskich oraz wpisów pielęgniarskich w systemie HIS. Zidentyfikujcie sytuacje, w których wpisy dotyczące procedur medycznych były rejestrowane w czasie, gdy przypisany użytkownik nie przebywał na dyżurze (konfrontacja grafiku dyżurów z sygnaturami czasowymi w logach bazy danych).

• Krok 4 (Klasyfikacja niezgodności):

  Sformułujcie i sklasyfikujcie zidentyfikowane uchybienia:

  • Niezgodność krytyczna (NC1): Powszechne stosowanie kont współdzielonych w Active Directory na stacjach pielęgniarskich oraz praca wielu osób na jednej sesji HIS, co całkowicie znosi rozliczalność przetwarzania danych medycznych (naruszenie art. 5 ust. 2 i art. 32 RODO oraz par. 20 ust. 2 pkt 7 KRI).
  • Niezgodność większa (NC2): Brak procedury terminowego blokowania i usuwania kont lekarzy rezydentów i kontraktowych po ustaniu współpracy (brak kontroli cyklu życia tożsamości, ISO 27001 Załącznik A.5.18).
  • Niezgodność mniejsza (NC3): Brak automatycznej blokady ekranu stacji roboczych w dyżurkach lekarskich po krótkim czasie bezczynności (naruszenie zasady czystego ekranu, ISO 27001 Załącznik A.7.7).
• Krok 5 (Opracowanie modelu naprawczego IAM dla szpitala):

  Zaprojektujcie rozwiązanie dostosowane do specyfiki pracy oddziału szpitalnego: wyeliminowanie kont grupowych, wdrożenie indywidualnych kart zbliżeniowych pracownika (np. technologia RFID/Mifare sprzężona z legitymacją służbową lub identyfikatorem medycznym), mechanizm Fast User Switching (błyskawiczne zawieszanie i wznawianie sesji HIS po przyłożeniu karty i wprowadzeniu krótkiego kodu PIN).

• Krok 6 (Opracowanie procedury zarządzania kontami rezydentów i stażystów):

  Przygotujcie ramową procedurę wnioskowania, tymczasowego nadawania i automatycznego wygaszania uprawnień dla personelu rotacyjnego zintegrowaną z Działem Kadr i Szkolenia Szpitala.

Zespół przygotowuje 10-minutowe wystąpienie seminaryjne na zajęciach laboratoryjnych:

• Wprowadzenie i specyfika podmiotu leczniczego (2 min): Przedstawienie struktury Wojewódzkiego Szpitala Zespolonego, rygorów prawnych ochrony danych medycznych i wagi czasu reakcji personelu (Student 1).
• Wyniki audytu IAM i zidentyfikowane patologie dostępowe (3 min): Omówienie zjawiska współdzielenia sesji, braku rozliczalności wpisów, obecności kont martwych lekarzy oraz wniosków z analizy logów (Student 2).
• Prawne i medyczne konsekwencje braku rozliczalności (2 min): Analiza ryzyka błędów medycznych, postępowań odszkodowawczych i kar nakładanych przez UODO (Student 3 lub Student 1).
• Prezentacja rozwiązań techniczno-organizacyjnych (2 min): Demonstracja koncepcji logowania kartami zbliżeniowymi, procedury szybkiej zmiany użytkownika oraz nowej matrycy uprawnień (Student 2).
• Podsumowanie, analiza wad i zalet (1 min): Dyskusja nad kosztami wdrożenia czytników RFID a zyskami w postaci bezpieczeństwa i ergonomii pracy lekarzy i pielęgniarek (cały zespół).

Raport składany przez grupę (4-6 stron A4) musi zawierać:

A. Odpowiedzi na pytania problemowe i opis sytuacyjny:

• W jaki sposób stosowanie kont współdzielonych narusza zasadę rozliczalności określoną w art. 5 ust. 2 RODO i uniemożliwia ustalenie sprawcy błędu w sztuce medycznej?
• Dlaczego wymuszanie długich, skomplikowanych haseł wpisywanych manualnie na klawiaturze w warunkach szpitalnych prowadzi do obchodzenia zabezpieczeń przez personel (tzw. zjawisko oporu ergonomicznego)?
• Jakie ryzyka prawne i procesowe dla szpitala rodzi fakt pozostawienia aktywnych kont lekarzy rezydentów po zakończeniu ich szkolenia specjalizacyjnego?

B. Wzorcowe rozwiązanie problemu (Dokumentacja poaudytowa):

• Karta ustaleń audytowych IAM: Zestawienie dowodów ze stacji roboczych, logów HIS i wykazów kadrowych z odniesieniem do kontroli ISO/IEC 27001:2022 (A.5.15, A.5.16, A.5.17, A.5.18, A.8.5).
• Projekt procedury uwierzytelniania w oparciu o identyfikatory zbliżeniowe:
  • Rejestracja unikalnego numeru karty RFID w Active Directory przypisanego wyłącznie do jednego pracownika.
  • Konfiguracja stacji roboczej: logowanie pierwotne kartą + PIN; odejście od stacji powoduje natychmiastowe zablokowanie sesji; przyłożenie karty przez innego pracownika przełącza aplikację HIS na jego profil w czasie poniżej 3 sekund.
• Wzorcowa instrukcja obiegu wniosków o uprawnienia dla personelu rotacyjnego (onboarding i offboarding rezydentów z automatycznym terminem ważności konta zgodnym z okresem umowy).

C. Analiza zalet i wad proponowanego rozwiązania:

• Zalety: Pełna rozliczalność każdego wpisu w dokumentacji medycznej; zgodność z RODO i wymogami akredytacyjnymi CMJ; skrócenie czasu logowania z 45 do 3 sekund (zwiększenie komfortu personelu); eliminacja haseł na kartkach.
• Wady i ograniczenia: Koszt zakupu czytników RFID i kart zbliżeniowych dla całego personelu szpitala; konieczność konfiguracji oprogramowania middleware do obsługi kart; ryzyko gubienia lub pożyczania kart przez personel wymagające rygorystycznego egzekwowania regulaminu pracy.

• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - A.5.15 (Zarządzanie tożsamością), A.5.16 (Uwierzytelnianie tożsamości), A.5.17 (Prawa dostępu), A.5.18 (Prawa dostępu do informacji i innych powiązanych aktywów), A.8.5 (Bezpieczne uwierzytelnianie).
• Norma PN-EN ISO/IEC 27002:2022: Praktyczne zasady kontroli bezpieczeństwa informacji - sekcje dotyczące kontroli dostępu personelu medycznego.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO): art. 5 (zasady przetwarzania), art. 9 (przetwarzanie szczególnych kategorii danych), art. 32 (bezpieczeństwo przetwarzania).
• Ustawa z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta (Dz.U. z 2023 r. poz. 1545 z późn. zm.) - zasady prowadzenia i udostępniania dokumentacji medycznej.
• Ustawa z dnia 28 kwietnia 2011 r. o systemie informacji w ochronie zdrowia (Dz.U. z 2023 r. poz. 246 z późn. zm.).
• Rozporządzenie Ministra Zdrowia z dnia 6 kwietnia 2020 r. w sprawie rodzajów, zakresu i wzorów dokumentacji medycznej oraz sposobu jej przetwarzania (Dz.U. z 2022 r. poz. 1304 z późn. zm.).
• Centrum e-Zdrowia (CeZ): "Standardy bezpieczeństwa dla podmiotów leczniczych w zakresie prowadzenia Elektronicznej Dokumentacji Medycznej", Warszawa 2023.
• NIST Special Publication 800-63B: Digital Identity Guidelines - Authentication and Lifecycle Management.

• U2 Student potrafi zidentyfikować luki w rozliczalności i konta współdzielone w podmiocie leczniczym.
• U1 Student projektuje schemat uwierzytelniania dwuskładnikowego i ergonomicznego przełączania ról dla personelu medycznego.
• U3 Student szacuje ryzyko naruszenia tajemnicy lekarskiej i błędów w sztuce wynikających z anonimowości wpisów.
• W1W3 Student rozumie rygory prawne ochrony danych szczególnych kategorii oraz standardy CeZ dla systemów HIS.
• K1K2 Student wykazuje zrozumienie specyfiki pracy ratującej życie i potrafi łączyć bezpieczeństwo z ergonomią personelu szpitala.

Celem zadania jest nabycie przez studentów umiejętności przeprowadzania audytu rozdziału obowiązków (ang. Segregation of Duties - SoD) oraz zasady podwójnej autoryzacji ("zasada czterech oczu") w instytucji finansowej. Studenci uczą się weryfikować matryce uprawnień w systemie bankowości centralnej (Core Banking), identyfikować niebezpieczne kumulacje ról (np. jednoczesne prawo do wprowadzania dyspozycji płatniczej, zatwierdzania przelewu i modyfikacji limitu kredytowego klienta) oraz badać zgodność środowiska IAM z wytycznymi Rekomendacji D Komisji Nadzoru Finansowego (KNF) i rozporządzenia DORA.

Powiązanie z sylabusem i treściami programowymi:

• U2 Wykrywanie konfliktów ról (SoD conflicts), nadmiernych uprawnień transakcyjnych i uchybień w logach autoryzacji operacji finansowych.
• U1 Opracowanie formalnej matrycy rozdziału obowiązków oraz reguł blokad wzajemnie wykluczających się uprawnień w systemie transakcyjnym.
• U3 Szacowanie ryzyka nadużyć wewnętrznych (fraud), kradzieży środków finansowych i utraty reputacji banku.
• U4 Sporządzenie merytorycznego referatu seminaryjnego oraz raportu audytowego z wnioskami dla Zarządu Banku i Komitetu Audytu.
• W1 Znajomość przepisów Prawa bankowego w zakresie tajemnicy bankowej oraz bezpieczeństwa przetwarzania operacji finansowych.
• W2W3 Znajomość normy ISO/IEC 27001 (kontrola A.5.3 Rozdział obowiązków), Rekomendacji D KNF (obszary zarządzania uprawnieniami) oraz wymogów rozporządzenia DORA (UE 2022/2554).
• K1K2K3 Rozwijanie dociekliwości audytorskiej, bezstronności, bezwzględnego przestrzegania etyki zawodowej i odporności na presję operacyjną.
• Powiązanie z wykładem: Wyk1 (Rola audytu w instytucjach zaufania publicznego), Wyk3 (Kontrole zarządcze i techniczne ISO 27001), Wyk4 (Regulacje sektorowe KNF i DORA), Wyk7 (Raportowanie niezgodności).

Regionalny Bank Spółdzielczy zrzeszony w banku apeksowym posiada centralę oraz 14 oddziałów i filii zlokalizowanych w sąsiednich powiatach. Bank obsługuje 40 tysięcy klientów indywidualnych, gospodarstw rolnych oraz lokalnych przedsiębiorstw. W banku zatrudnionych jest 115 pracowników, z czego większość stanowią dysponenci, doradcy klienta oraz pracownicy kasowi w placówkach.

Stan faktyczny w obszarze zarządzania uprawnieniami w systemie centralnym (Core Banking):

• W małych placówkach filialnych pracują zaledwie 2-3 osoby (kierownik filii i 1-2 dysponentów). Ze względu na urlopy, zwolnienia lekarskie oraz konieczność zachowania płynności obsługi klienta, w systemie bankowym nadano wielu pracownikom szerokie, uniwersalne profile uprawnień (tzw. super-profile placówkowe).
• W trakcie wstępnej analizy danych audytowych z systemu transakcyjnego stwierdzono, że 12 dysponentów posiada jednocześnie aktywne uprawnienia do: (1) definiowania nowego beneficjenta przelewu, (2) wprowadzania dyspozycji przelewu wychodzącego ELIXIR/SORBNET, (3) ostatecznej autoryzacji i zatwierdzania przelewu do realizacji, oraz (4) ręcznej modyfikacji salda lub limitu debetowego na rachunku klienta.
• Zgodnie z regulacjami wewnętrznymi banku transakcje powyżej kwoty 20 000 PLN wymagają zatwierdzenia przez drugiego pracownika ("zasada 4 oczu"). Audytorzy odkryli jednak, że mechanizm ten jest systematycznie obchodzony w małych oddziałach: pracownicy logują się na terminale kolegów opuszczających biurko lub pożyczają tokeny sprzętowe i karty autoryzacyjne, dokonując podwójnego zatwierdzenia przelewu przez tę samą osobę fizyczną.
• W systemie bankowym brak jest automatycznej blokady uniemożliwiającej zatwierdzenie dyspozycji przez osobę, która ją utworzyła (tzw. Self-Approval). Co więcej, główny administrator systemu bankowości centralnej posiada jednocześnie konto z uprawnieniami księgowania operacji w planie kont banku, co łączy funkcję techniczną z operacyjną.

Zarząd Banku, w obliczu zbliżającej się planowej inspekcji Urzędu Komisji Nadzoru Finansowego (UKNF) badającej realizację zaleceń Rekomendacji D, zleca zespołowi audytorów pilną weryfikację matrycy SoD.

Zadanie wymaga systematycznej weryfikacji architektury uprawnień transakcyjnych oraz mechanizmów kontroli wewnętrznej:

• Krok 1 (Podział ról w zespole audytowym):

  Student 1 (Audytor Wiodący / Analityk Procesów Bankowych): Bada polityki bezpieczeństwa informacji banku, regulaminy kontroli wewnętrznej, schematy zastępstw w oddziałach oraz strukturę organizacyjną.

  Student 2 (Audytor Techniczny IAM / Bezpieczeństwa Systemów Bankowych): Bada strukturę ról i profili w systemie bankowym, wyciąga konfigurację reguł zatwierdzania transakcji, analizuje mechanizmy kryptograficzne tokenów autoryzacyjnych i logi zdarzeń transakcyjnych.

  Student 3 (Audytor Zgodności Regulacyjnej KNF i DORA): Weryfikuje spełnienie wytycznych Rekomendacji D KNF (zwłaszcza rekomendacji 11 (kontrola dostępu logicznego i fizycznego) oraz 9 (zarządzanie infrastrukturą teleinformatyczną)) oraz art. 9 i 10 rozporządzenia DORA; opracowuje wykaz ryzyk nadużyć finansowych.

• Krok 2 (Opracowanie matrycy konfliktów SoD):

  Zidentyfikujcie i stwórzcie tabelaryczną matrycę operacji bankowych wysoce toksycznych, które pod żadnym pozorem nie mogą być przypisane do jednej osoby ani wykonywane w ramach jednej sesji (np. Wprowadzanie dyspozycji vs Zatwierdzanie dyspozycji; Zmiana limitu kredytowego vs Uruchomienie kredytu; Wprowadzanie danych klienta vs Autoryzacja umowy; Uprawnienia administratora bazy vs Uprawnienia transakcyjne).

• Krok 3 (Próbkowanie i analiza logów transakcyjnych):

  Wybierzcie próbkę 100 transakcji o wartości przekraczającej 50 000 PLN z ostatnich 6 miesięcy. Zweryfikujcie adresy IP, identyfikatory stacji roboczych oraz znaczniki czasowe operacji wprowadzenia i autoryzacji. Poszukajcie anomalii świadczących o obejściu zasady czterech oczu (np. autoryzacja z tego samego adresu MAC w odstępie 2 sekund).

• Krok 4 (Klasyfikacja niezgodności):

  Przypiszcie wykryte luki do właściwych kategorii:

  • Niezgodność krytyczna (NC1): Brak technicznej blokady "Self-Approval" w systemie bankowym umożliwiający jednoosobowe zatwierdzanie wysokokwotowych transferów finansowych przez dysponentów (rażące naruszenie Rekomendacji D KNF oraz kontroli ISO 27001 A.5.3).
  • Niezgodność większa (NC2): Połączenie uprawnień administratora systemowego z rolą księgowego u Głównego Informatyka banku (brak separacji funkcji IT i biznesu).
  • Niezgodność mniejsza (NC3): Nieskuteczna procedura przekazywania uprawnień na czas zastępstw urlopowych, skutkująca stałym nadawaniem nadmiarowych ról zamiast uprawnień czasowych z automatycznym wygaśnięciem.
• Krok 5 (Opracowanie planu naprawczego i rekomendacji):

  Sformułujcie wymagania wdrożenia bezwzględnych blokad w kodzie/konfiguracji systemu bankowości centralnej (blokada akceptacji własnych wpisów), wprowadzenie dynamicznego przydziału zadań do autoryzacji losowo wybieranym innym oddziałom (centralny pooling autoryzacji) w przypadku małych placówek 2-osobowych.

• Krok 6 (Opracowanie polityki zarządzania zastępstwami):

  Zaprojektujcie bezpieczny obieg wniosków o uprawnienia czasowe z wymogiem zatwierdzenia przez Dyrektora Departamentu Ryzyka i zgodnością z zasadą najmniejszych uprawnień.

Prezentacja zespołowa (10 minut) podczas laboratoriów:

• Specyfika ryzyka operacyjnego w banku spółdzielczym (2 min): Uwarunkowania małych placówek terenowych, konflikt między ciągłością obsługi klienta a rygorami bezpieczeństwa (Student 1).
• Wyniki analizy uprawnień i wykryte kumulacje ról toksycznych (3 min): Przedstawienie dowodów audytowych, matrycy konfliktów SoD oraz anomalii w logach zasady czterech oczu (Student 2).
• Wymagania nadzorcze KNF i DORA w zakresie IAM (2 min): Analiza konsekwencji prawnych, ryzyka kar finansowych nakładanych przez KNF oraz odpowiedzialności członków zarządu (Student 3 lub Student 1).
• Rozwiązanie problemu i reorganizacja procesów (2 min): Przedstawienie koncepcji centralnego poolingu autoryzacji dla małych oddziałów oraz konfiguracji blokad systemowych (Student 2).
• Podsumowanie, wnioski i analiza ograniczeń (1 min): Ocena wpływu proponowanych zmian na czas obsługi klienta i koszty operacyjne banku (cały zespół).

Raport seminaryjny (4-6 stron A4) musi zawierać:

A. Odpowiedzi na pytania problemowe i opis sytuacyjny:

• Na czym polega zasada rozdziału obowiązków (Segregation of Duties) i dlaczego jej złamanie stanowi najczęstszą przyczynę nadużyć finansowych (fraudów) w sektorze bankowym?
• W jaki sposób zasada "czterech oczu" powinna być zabezpieczona na poziomie technicznym, aby uniemożliwić jej obejście za pomocą pożyczania tokenów autoryzacyjnych?
• Jak rozwiązać problem braku wystarczającej liczby personelu w 2-osobowej placówce filialnej bez łamania reguł SoD i wytycznych Rekomendacji D KNF?

B. Wzorcowe rozwiązanie problemu (Dokumentacja audytowa):

• Karta konfliktu ról (Matryca SoD dla Banku): Tabela zestawiająca 8 kluczowych ról biznesowych w bankowości z oznaczeniem par dopuszczalnych, warunkowych i bezwzględnie zakazanych (czerwonych).
• Projekt procedury "Centralnego Poolingu Zadań Autoryzacyjnych":
  • Wprowadzenie przez pracownika filii dyspozycji powyżej limitu trafia do ogólnobankowej kolejki zadań oczekujących na zatwierdzenie.
  • Dyspozycja jest losowo przydzielana do zatwierdzenia pracownikowi centrali lub innej placówki banku posiadającemu odpowiedni limit autoryzacyjny, wykluczając fizyczną możliwość porozumienia pracowników w małym oddziale.
• Zestawienie zaleceń poaudytowych z przypisaniem wag ryzyka, terminów realizacji i osób odpowiedzialnych (Zarząd, Departament IT, Dział Kadr).

C. Analiza zalet i wad proponowanego rozwiązania:

• Zalety: Wyeliminowanie ryzyka nadużyć wewnętrznych; 100% zgodność z Rekomendacją D KNF i wymogami DORA; transparentność procesów transakcyjnych; zachowanie rozliczalności.
• Wady i ograniczenia: Wydłużenie czasu realizacji transakcji w oddziale o kilka minut ze względu na oczekiwanie na autoryzację z centrali; konieczność modyfikacji oprogramowania bankowego przez dostawcę; potencjalne niezadowolenie klientów przyzwyczajonych do natychmiastowej obsługi.

• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - A.5.3 (Rozdział obowiązków), A.5.15 (Zarządzanie tożsamością), A.5.17 (Prawa dostępu), A.8.5 (Bezpieczne uwierzytelnianie).
• Komisja Nadzoru Finansowego: Rekomendacja D dotycząca zarządzania obszarami technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego w bankach (zwłaszcza Rekomendacja 11 i 12), Warszawa.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyfrowej sektora finansowego (DORA) - art. 9 i 10.
• Ustawa z dnia 29 sierpnia 1997 r. - Prawo bankowe (Dz.U. z 2023 r. poz. 2488 z późn. zm.) - art. 104 (tajemnica bankowa) i art. 105a.
• Wytyczne Europejskiego Urzędu Nadzoru Bankowego (EBA) w sprawie zarządzania ryzykiem technologii informacyjno-komunikacyjnych (ICT) i bezpieczeństwa (EBA/GL/2019/04).
• ISACA: Segregation of Duties Control Matrix and Audit Guidelines, 2022.

• U2 Student wykrywa kumulacje uprawnień toksycznych i uchybienia w realizacji zasady podwójnej autoryzacji.
• U1 Student projektuje funkcjonalną matrycę SoD oraz procedury kontrolne dla systemu bankowości centralnej.
• U3 Student przeprowadza szacowanie ryzyka finansowego i operacyjnego wynikającego z braku rozdziału ról.
• W1W3 Student zna wytyczne Rekomendacji D KNF, rozporządzenia DORA oraz prawa bankowego w obszarze kontroli dostępu.
• K1K3 Student rozumie wagę bezstronności i dyscypliny procedur audytowych w instytucjach rynku kapitałowego i finansowego.

Głównym celem zadania jest wykształcenie u studentów umiejętności badania i oceny kompletnego cyklu życia tożsamości użytkowników (ang. Identity Lifecycle Management) w jednostce samorządu terytorialnego. Zadanie obejmuje audyt procedur przyjęcia pracownika do urzędu (onboarding), zmiany stanowiska lub wydziału (transfer), a przede wszystkim procesu rozwiązania stosunku pracy (offboarding). Studenci uczą się wykrywać tzw. konta widma (zombie accounts) oraz konta nieaktywne byłych pracowników w usługach katalogowych Active Directory, systemie Elektronicznego Zarządzania Dokumentacją (EZD RP) oraz rejestrach państwowych (ŹRÓDŁO, PESEL, CEIDG), weryfikując zgodność z Rozporządzeniem w sprawie Krajowych Ram Interoperacyjności (KRI).

Powiązanie z sylabusem i treściami programowymi:

• U2 Identyfikacja kont osieroconych, kont nieaktywnych oraz luk w procedurach odbierania uprawnień przy odejściu pracowników.
• U1 Opracowanie procedury sformalizowanego i automatycznego wygaszania uprawnień (karta obiegowa IT / integracja kadr z Active Directory).
• U3 Szacowanie ryzyka nieuprawnionego dostępu do danych osobowych mieszkańców miasta przez byłych urzędników.
• U4 Opracowanie referatu laboratoryjnego oraz protokołu niezgodności audytowej dla Prezydenta Miasta i Sekretarza Urzędu.
• W1 Znajomość przepisów RODO (art. 5, 24, 32) w kontekście ochrony danych obywateli przetwarzanych w urzędach miejskich.
• W2W3 Zrozumienie normy ISO/IEC 27001 (kontrole A.5.15 Zarządzanie tożsamością, A.5.18 Prawa dostępu) oraz par. 20 ust. 2 pkt 7 Rozporządzenia w sprawie KRI.
• K1K2K3 Rozwijanie skrupulatności, dyscypliny dokumentacyjnej oraz świadomości zagrożeń wynikających z zaniedbań kadrowo-informatycznych w administracji publicznej.
• Powiązanie z wykładem: Wyk2 (Zasady badania dokumentacji i zapisów), Wyk3 (Kontrole dostępowe i zarządzanie aktywami ISO 27001), Wyk4 (Audyt zgodności z KRI i RODO), Wyk6 (Sampling i techniki krzyżowego porównywania danych).

Urząd Miasta na Prawach Powiatu zatrudnia 320 pracowników etatowych w 18 wydziałach i biurach (m.in. Wydział Spraw Obywatelskich, Wydział Geodezji i Gospodarki Nieruchomościami, Wydział Komunikacji, Urząd Stanu Cywilnego, Wydział Finansowy). W urzędzie corocznie odbywa staże i praktyki absolwenckie około 60 osób, a rotacja na stanowiskach pomocniczych i urzędniczych wynosi około 15% w skali roku.

Stan faktyczny w obszarze procesów zarządzania tożsamością i kontami:

• Za sprawy zatrudnienia i zwalniania pracowników odpowiada Wydział Kadr i Płac, natomiast tworzeniem kont w domenie urzędu zajmuje się dwuosobowy Zespół Obsługi Informatycznej (ZOI).
• Obieg informacji między Kadrami a ZOI opiera się na papierowych notatkach lub sporadycznych wiadomościach e-mail. W urzędzie nie funkcjonuje formalny, elektroniczny system zgłoszeń ani ustandaryzowana elektroniczna "karta obiegowa".
• W trakcie wstępnego porównania listy aktualnie zatrudnionych urzędników (przekazanej przez Wydział Kadr) z bazą kont użytkowników wyeksportowaną z Active Directory audytorzy stwierdzili obecność 45 aktywnych kont użytkowników należących do osób, które zakończyły pracę w urzędzie w ciągu ostatnich 3 lat.
• Dwanaście spośród tych nieaktywnych tożsamości to konta byłych urzędników Wydziału Spraw Obywatelskich i Urzędu Stanu Cywilnego, którzy posiadali uprawnienia do modyfikacji aktów stanu cywilnego oraz wglądu do rejestru PESEL.
• Analiza logów serwera VPN wykazała, że jedno z kont należące do byłego inspektora Wydziału Geodezji (zwolnionego 8 miesięcy temu) było wykorzystywane do zdalnego logowania do sieci urzędu w godzinach nocnych na przestrzeni ostatnich dwóch miesięcy.
• Brak jest jakiejkolwiek procedury cyklicznego przeglądu kont i uprawnień (brak audytów wewnętrznych IAM), a konta stażystów i praktykantów tworzone są bez daty wygaśnięcia konta (atrybut "AccountExpires" w Active Directory ustawiony jest na wartość: "Nigdy").

Sekretarz Miasta, zaniepokojony doniesieniami o nocnych logowaniach i przygotowując urząd do rocznego audytu KRI, powołuje zespół audytorski w celu natychmiastowego zbadania procedur zarządzania tożsamością.

Audyt wymaga przeprowadzenia weryfikacji krzyżowej między danymi kadrowymi a konfiguracją systemów IT:

• Krok 1 (Podział ról w zespole audytowym):

  Student 1 (Audytor Wiodący / Analityk Procesów Administracyjnych): Przeprowadza wywiady z Naczelnikiem Wydziału Kadr, Sekretarzem Miasta i kierownikiem ZOI; analizuje regulamin organizacyjny urzędu oraz obieg dokumentacji pracowniczej.

  Student 2 (Audytor Techniczny IAM / Usług Katalogowych): Dokonuje ekstrakcji danych z Active Directory za pomocą skryptów PowerShell (pobranie atrybutów: SamAccountName, Enabled, LastLogonTimestamp, PasswordLastSet, AccountExpires, MemberOf); analizuje logi systemowe i logi połączeń VPN.

  Student 3 (Audytor Zgodności z KRI i RODO): Bada zgodność procesów z par. 20 ust. 2 pkt 7 Rozporządzenia w sprawie KRI oraz art. 32 RODO; weryfikuje ryzyka naruszenia ochrony danych osobowych obywateli; sporządza protokół niezgodności.

• Krok 2 (Triangulacja i porównanie krzyżowe baz danych):

  Zestawcie w arkuszu analitycznym trzy źródła danych: (1) ewidencję kadrową pracowników z datami rozwiązania umów, (2) zrzut kont z Active Directory z datami ostatniego udanego logowania, (3) rejestr użytkowników systemu EZD RP. Zidentyfikujcie konta aktywne po dacie zwolnienia (tzw. Zombie Accounts).

• Krok 3 (Weryfikacja incydentu bezpieczeństwa - badanie logów):

  Przeanalizujcie szczegółowe logi zdarzeń bezpieczeństwa (Windows Security Event Log) dla konta byłego inspektora geodezji: identyfikatory zdarzeń 4624 (udane logowanie), 4672 (przypisanie uprawnień specjalnych), logi zapory sieciowej i bramy VPN. Sprawdźcie, jakie pliki i katalogi sieciowe były otwierane podczas nocnych sesji.

• Krok 4 (Klasyfikacja niezgodności):

  Sformułujcie i uzasadnijcie niezgodności audytowe:

  • Niezgodność krytyczna (NC1): Brak procedury natychmiastowego odbierania uprawnień i blokowania kont w dniu rozwiązania stosunku pracy, skutkujący obecnością 45 aktywnych kont byłych pracowników i nieautoryzowanym dostępem zdalnym do zasobów urzędu (naruszenie art. 32 RODO oraz par. 20 ust. 2 pkt 7 KRI).
  • Niezgodność większa (NC2): Brak określania terminu wygaśnięcia kont dla stażystów i praktykantów oraz brak procedury powiadamiania ZOI przez Wydział Kadr o zmianach kadrowych.
  • Niezgodność mniejsza (NC3): Nieskuteczna polityka haseł w Active Directory - brak wymuszenia zmiany hasła przy pierwszym logowaniu nowego pracownika.
• Krok 5 (Opracowanie elektronicznej karty obiegowej i integracji procesów):

  Zaprojektujcie nową procedurę obiegówki: natychmiastowe automatyczne powiadomienie z systemu kadrowego do ZOI na 3 dni przed planowanym rozwiązaniem umowy oraz obowiązek blokady konta z godziną zakończenia ostatniego dnia pracy.

• Krok 6 (Opracowanie wytycznych automatyzacji IAM w oparciu o skrypty kontrolne):

  Przygotujcie wytyczne dla administratorów dotyczące wdrożenia comiesięcznego automatycznego raportu o kontach nieużywanych przez ponad 30 dni z automatyczną blokadą po 45 dniach bezczynności.

Wystąpienie seminaryjne (10 minut) przed grupą:

• Wprowadzenie do specyfiki urzędu administracji samorządowej (2 min): Struktura zatrudnienia, rodzaje rejestrów publicznych i waga ochrony tożsamości urzędnika (Student 1).
• Skala zjawiska "kont widm" i analiza dowodów audytowych (3 min): Zestawienie wyników porównania kadr z Active Directory, omówienie incydentu nocnych logowań byłego pracownika (Student 2).
• Skutki prawne naruszenia KRI i RODO w jednostce publicznej (2 min): Obowiązki wójta/burmistrza/prezydenta, ryzyko sankcji administracyjnych i utraty zaufania mieszkańców (Student 3 lub Student 1).
• Koncepcja zreformowanego cyklu życia tożsamości (2 min): Przedstawienie procedury elektronicznej karty obiegowej, automatyzacji blokad i harmonogramu przeglądów kont (Student 2).
• Podsumowanie, analiza wad i zalet (1 min): Dyskusja na temat barier współpracy między wydziałem kadr a informatykami oraz propozycja rozwiązań organizacyjnych (cały zespół).

Struktura raportu z audytu (4-6 stron A4):

A. Odpowiedzi na pytania problemowe i opis sytuacyjny:

• Dlaczego brak synchronizacji informacji między działem kadr a działem informatyki stanowi jedną z najgroźniejszych luk organizacyjnych w administracji publicznej?
• Jakie są prawne konsekwencje nieuprawnionego pobrania danych z rejestru publicznego (np. PESEL lub ewidencji gruntów) przez byłego pracownika, którego konto nie zostało zablokowane?
• W jaki sposób administratorzy domeny Active Directory powinni konfigurować konta pracowników tymczasowych, stażystów i zleceniobiorców?

B. Wzorcowe rozwiązanie problemu (Dokumentacja procedur IAM):

• Karta ustaleń audytowych: Tabela identyfikująca konta nieaktywne, daty ustania zatrudnienia, daty ostatnich logowań oraz stopień uprzywilejowania kont.
• Wzorcowa procedura "Zarządzanie Cyklem Życia Kont Użytkowników w Urzędzie Miasta":
  • Etap Onboardingu: Wniosek kierownika wydziału -> zatwierdzenie uprawnień przez IOD -> utworzenie konta w AD z przypisaniem grup bezpieczeństwa ściśle według stanowiska -> wymuszenie zmiany hasła i MFA.
  • Etap Transferu: Zmiana wydziału powoduje odebranie dotychczasowych uprawnień i nadanie nowych na podstawie nowego zakresu obowiązków (brak kumulacji uprawnień).
  • Etap Offboardingu: Wypowiedzenie umowy w kadrach generuje automatyczny bilet serwisowy IT; w ostatnim dniu pracy o godz. 15:30 następuje zablokowanie konta w AD, wygaszenie skrzynek e-mail, zablokowanie dostępu VPN oraz odebranie uprawnień w EZD RP i rejestrach zewnętrznych; usunięcie konta po 90 dniach archiwizacji.
• Wytyczne techniczne dla ZOI: Wdrożenie cyklicznego audytu kont nieaktywnych (analiza atrybutu lastLogonTimestamp).

C. Analiza zalet i wad proponowanego rozwiązania:

• Zalety: Całkowita eliminacja kont nieaktywnych; natychmiastowe odcięcie dostępu w dniu odejścia pracownika; pełna zgodność z par. 20 KRI i ISO 27001; transparentna odpowiedzialność kadr i IT.
• Wady i ograniczenia: Konieczność wdrożenia dyscypliny organizacyjnej w kadrach; niewielki nakład pracy administracyjnej przy obsłudze elektronicznych wniosków; ryzyko zablokowania konta w przypadku błędnego wprowadzenia daty rozwiązania umowy przez kadry.

• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - A.5.15 (Zarządzanie tożsamością), A.5.18 (Prawa dostępu do informacji i innych powiązanych aktywów), A.6.5 (Odpowiedzialność po rozwiązaniu lub zmianie zatrudnienia).
• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (Dz.U. z 2024 r. poz. 773) - par. 20 ust. 2 pkt 6, 7 i 8.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO): art. 5 ust. 1 lit. f, art. 24, art. 32.
• Ustawa z dnia 21 listopada 2008 r. o pracownikach samorządowych (Dz.U. z 2022 r. poz. 530 z późn. zm.).
• Urząd Ochrony Danych Osobowych: "Zarządzanie uprawnieniami pracowników i odwoływanie dostępów po ustaniu zatrudnienia - poradnik dla administratorów", Warszawa 2021.
• Microsoft TechNet: "Active Directory Account Lifecycle Management Best Practices", 2023.

• U2 Student wykrywa konta osierocone (zombie accounts) i brak synchronizacji między ewidencją HR a Active Directory.
• U1 Student projektuje zintegrowaną procedurę onboardingu i offboardingu urzędników samorządowych.
• U3 Student ocenia ryzyko wycieku rejestrów publicznych wynikające z zaniedbań w procesie odbierania uprawnień.
• W1W3 Student rozumie wymagania KRI w odniesieniu do okresowej kontroli uprawnień i rozliczalności personelu urzędu.
• K1K2 Student kształtuje umiejętność diagnozowania luk komunikacyjnych między działami administracyjnymi a służbami IT.

Głównym celem zadania jest opanowanie przez studentów umiejętności badania i audytowania zarządzania dostępem uprzywilejowanym (ang. Privileged Access Management - PAM) w nowoczesnym środowisku wytwórczym oprogramowania chmurowego (Cloud Native). Zadanie skupia się na identyfikacji niebezpiecznych praktyk posługiwania się stałymi kontami administratorskimi (Root / AWS AdministratorAccess), współdzielonymi kluczami prywatnymi SSH, braku rejestracji i monitorowania sesji uprzywilejowanych oraz braku wdrożenia mechanizmów dostępu na żądanie (Just-In-Time - JIT) do produkcyjnych baz danych zawierających dane finansowe i transakcyjne klientów.

Powiązanie z sylabusem i treściami programowymi:

• U2 Identyfikacja krytycznych luk w konfiguracji dostępów uprzywilejowanych do środowiska produkcyjnego i kont chmurowych.
• U1 Opracowanie projektu architektury bezpiecznego dostępu uprzywilejowanego (sejf poświadczeń PAM, bastion host, sesje tymczasowe STS).
• U3 Szacowanie ryzyka zniszczenia lub wycieku danych produkcyjnych przez przejęcie stałych poświadczeń programistów (Credential Theft).
• U4 Opracowanie pisemnego referatu oraz technicznego raportu poaudytowego z zaleceniami dla Dyrektora Technicznego (CTO) i Oficera Bezpieczeństwa (CISO).
• W1 Znajomość wymagań standardu PCI DSS oraz normy ISO 27001 dotyczących ochrony danych kartowych i tożsamości uprzywilejowanych.
• W2W3 Rozumienie wytycznych ISO/IEC 27001 (kontrole A.8.2 Prawa dostępu uprzywilejowanego, A.8.5 Bezpieczne uwierzytelnianie) oraz NIST SP 800-63B i CIS AWS Foundations Benchmark.
• K1K2K3 Kształtowanie kultury dyscypliny operacyjnej w środowiskach DevOps (DevSecOps) oraz etycznej odpowiedzialności za integralność systemów finansowych.
• Powiązanie z wykładem: Wyk1 (Audyt aktywów krytycznych), Wyk3 (Kontrole techniczne ISO 27001), Wyk5 (Risk-based audit w chmurze), Wyk6 (Analiza logów AWS CloudTrail i SIEM).

Spółka FinTech Cloud Solutions rozwija i utrzymuje w modelu Software-as-a-Service (SaaS) chmurową platformę pośrednictwa płatności internetowych. Z usług platformy korzysta ponad 300 sklepów internetowych, a miesięczny wolumen transakcji przekracza 80 milionów złotych. Zespół inżynierski liczy 45 programistów, 8 inżynierów DevOps oraz 5 administratorów baz danych pracujących w trybie hybrydowym.

Środowisko chmurowe i stan zarządzania dostępem uprzywilejowanym:

• Cała infrastruktura produkcyjna, testowa i deweloperska utrzymywana jest w chmurze publicznej Amazon Web Services (AWS) oraz klastrach orkiestracji kontenerów Kubernetes (EKS).
• W trakcie wstępnej inwentaryzacji audytorzy stwierdzili, że 18 starszych programistów (Senior Developers) oraz wszyscy inżynierowie DevOps posiadają stałe konta IAM z przypisaną nadrzędną polisą "AdministratorAccess", dającą nieograniczone prawa niszczenia i modyfikacji dowolnych zasobów w chmurze.
• Do serwerów produkcyjnych (instancji EC2 i węzłów Kubernetes) programiści logują się bezpośrednio przez protokół SSH z prywatnych komputerów, wykorzystując jeden współdzielony klucz prywatny przekazywany sobie w komunikatorze firmowym bez hasła zabezpieczającego (passphrase).
• Dostęp do relacyjnych produkcyjnych baz danych PostgreSQL, przechowujących historię transakcji, salda klientów i skróty numerów kart, odbywa się przy użyciu wspólnego konta "pg_master". Hasło do bazy danych zapisane jest otwartym tekstem w repozytorium kodu w pliku konfiguracyjnym aplikacji.
• Główne konto korporacyjne AWS (tzw. Root Account) nie posiada włączonego uwierzytelniania wieloskładnikowego (MFA) ze sprzętowym kluczem U2F/FIDO2, a hasło do niego zna trzech założycieli spółki.
• W organizacji brak jest sejfu haseł (Password Vault) oraz serwera sesyjnego (Bastion Host / Privileged Session Gateway). Czynności wykonywane przez inżynierów na produkcji nie są nagrywane ani rozliczane w czasie rzeczywistym.

Inwestor strategiczny planujący wejście kapitałowe do spółki zażądał przeprowadzenia audytu bezpieczeństwa IAM przed podpisaniem umowy inwestycyjnej.

Audyt wymaga przeprowadzenia weryfikacji konfiguracji IAM w chmurze, logów telemetrycznych i praktyk inżynierskich:

• Krok 1 (Podział ról w zespole audytowym):

  Student 1 (Audytor Wiodący / Architekt Bezpieczeństwa): Bada polityki bezpieczeństwa dostępu do środowisk chmurowych, procedury reagowania na incydenty, umowy SLA z klientami oraz koordynuje przygotowanie referatu.

  Student 2 (Audytor Techniczny PAM / Cloud Security): Analizuje polisy IAM w AWS, bada logi CloudTrail i CloudWatch pod kątem wykorzystania uprawnień administracyjnych, weryfikuje konfigurację klastrów Kubernetes oraz stan rotacji kluczy dostępowych (Access Keys).

  Student 3 (Audytor Zgodności ze Standardami FinTech): Weryfikuje spełnienie wytycznych normy ISO 27001 (kontrola A.8.2) oraz standardu PCI DSS (wymóg 7 i 8 dotyczący ograniczania dostępu do danych posiadaczy kart); opracowuje zestawienie ryzyk i niezgodności.

• Krok 2 (Inwentaryzacja i analiza nadmiarowości uprawnień):

  Pobierzcie i przeanalizujcie raport poświadczeń IAM (AWS Credential Report). Zidentyfikujcie nieużywane klucze dostępowe starsze niż 90 dni, konta bez wymuszonego MFA oraz użytkowników posiadających uprawnienia wykraczające poza bieżące zadania projektowe (naruszenie zasady Least Privilege).

• Krok 3 (Weryfikacja logów audytowych AWS CloudTrail):

  Przeanalizujcie zdarzenia zarejestrowane w usłudze CloudTrail z ostatnich 30 dni. Wyszukajcie wywołania z konta Root (eventSource: "signin.amazonaws.com", userIdentity.type: "Root"), wywołania komend tworzenia polityk administracyjnych oraz operacje pobierania zrzutów baz danych (rds:CreateDBSnapshot).

• Krok 4 (Klasyfikacja niezgodności):

  Sformułujcie ustalenia audytowe:

  • Niezgodność krytyczna (NC1): Brak uwierzytelniania wieloskładnikowego (MFA) na koncie AWS Root oraz współdzielenie stałych kluczy SSH do środowiska produkcyjnego przez 18 programistów (bezpośrednie zagrożenie całkowitego przejęcia platformy płatniczej, ISO 27001 A.8.2, A.8.5).
  • Niezgodność większa (NC2): Stałe uprawnienia AdministratorAccess dla inżynierów w środowisku produkcyjnym zamiast ról tymczasowych (brak implementacji Least Privilege i JIT).
  • Niezgodność mniejsza (NC3): Zapisywanie haseł do bazy danych produkcyjnej otwartym tekstem w konfiguracji aplikacji w repozytorium Git (naruszenie dobrych praktyk DevSecOps).
• Krok 5 (Opracowanie modelu docelowego PAM w chmurze):

  Zaprojektujcie architekturę Privileged Access Management: wdrożenie centralnego sejfu tożsamości (np. HashiCorp Vault lub AWS Secrets Manager), wyeliminowanie bezpośredniego dostępu SSH na rzecz sesji za pośrednictwem AWS Systems Manager Session Manager (bez otwartych portów SSH i bez kluczy prywatnych).

• Krok 6 (Opracowanie procedury dostępu na żądanie - Just-In-Time):

  Sformułujcie procedurę JIT: programista zgłasza potrzebę dostępu do produkcji w systemie biletowym; po zatwierdzeniu przez Team Leada otrzymuje tymczasowy token STS ważny maksymalnie 60 minut, a jego sesja terminalowa i wpisywane zapytania SQL są rejestrowane w logu audytowym.

Prezentacja seminaryjna (10 minut) na forum laboratorium:

• Wprowadzenie do problematyki dostępu uprzywilejowanego w chmurze (2 min): Specyfika środowiska Cloud Native, wektory ataków na poświadczenia administracyjne w FinTechu (Student 1).
• Wyniki audytu IAM/PAM i analiza zidentyfikowanych uchybień (3 min): Przedstawienie faktów z raportu poświadczeń AWS, omówienie zjawiska współdzielonych kluczy SSH i konta Root (Student 2).
• Ryzyka biznesowe, regulacyjne i prawne (2 min): Zgodność z PCI DSS, odpowiedzialność za wyciek danych finansowych i konsekwencje dla procesu inwestycyjnego (Student 3 lub Student 1).
• Architektura docelowa: Sejf haseł, sesje JIT i eliminacja stałych uprawnień (2 min): Przedstawienie nowej koncepcji dostępu opartej na tokenach tymczasowych i AWS SSM (Student 2).
• Podsumowanie, wnioski oraz bilans zysków i strat (1 min): Dyskusja nad kosztami licencyjnymi PAM a zapewnieniem odporności krytycznej platformy (cały zespół).

Raport seminaryjny (4-6 stron A4) musi obejmować:

A. Odpowiedzi na pytania problemowe i opis sytuacyjny:

• Czym różni się zarządzanie tożsamościami standardowymi od zarządzania dostępem uprzywilejowanym (PAM) i dlaczego konta administratorskie wymagają odrębnego reżimu nadzoru?
• Dlaczego posiadanie stałych (statycznych) kluczy dostępowych AWS Access Keys na stacjach roboczych inżynierów stanowi jedno z największych zagrożeń w ekosystemie chmurowym?
• Na czym polega koncepcja dostępu Just-In-Time (JIT) i w jaki sposób eliminuje ona ryzyko nadużyć ze strony uprawnionych pracowników?

B. Wzorcowe rozwiązanie problemu (Projekt poaudytowy):

• Karta ustaleń audytowych PAM: Zestawienie kont uprzywilejowanych, rodzajów powiązań i ryzyk kompromitacji.
• Projekt architektury bezpiecznego dostępu do środowisk chmurowych:
  • Bezpieczeństwo konta Root: Blokada fizycznym kluczem bezpieczeństwa FIDO2 (YubiKey) przechowywanym w sejfie pancernym; zakaz logowania do bieżących operacji; alarmowanie na e-mail CISO przy każdym logowaniu.
  • Eliminacja kluczy SSH: Zastąpienie bezpośredniego SSH usługą AWS Systems Manager Session Manager zintegrowaną z centralnym dostawcą tożsamości (IdP) i MFA.
  • Wdrożenie sejfu poświadczeń: Bazy danych i mikroserwisy pobierają poświadczenia dynamiczne generowane przez HashiCorp Vault z czasem życia (TTL) wynoszącym 4 godziny.
• Procedura awaryjnego dostępu uprzywilejowanego (Break-Glass): Szczegółowy algorytm postępowania w przypadku awarii krytycznej platformy w nocy (autoryzacja jednoosobowa z natychmiastowym audytem post-factum).

C. Analiza zalet i wad proponowanego rozwiązania:

• Zalety: Likwidacja statycznych haseł i kluczy SSH; pełna rozliczalność i nagrywanie sesji administratorskich; zgodność z PCI DSS i ISO 27001; podniesienie wartości spółki w oczach inwestora.
• Wady i ograniczenia: Początkowe spowolnienie pracy inżynierów DevOps przyzwyczajonych do natychmiastowego dostępu do produkcji; narzut administracyjny związany z utrzymaniem sejfu Vault; konieczność przeszkolenia zespołu programistów.

• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - A.8.2 (Prawa dostępu uprzywilejowanego), A.8.5 (Bezpieczne uwierzytelnianie), A.8.7 (Ochrona przed złośliwym oprogramowaniem), A.8.9 (Zarządzanie konfiguracją).
• PCI Security Standards Council: Payment Card Industry Data Security Standard (PCI DSS) v4.0 - Wymagania 7 i 8 (Ograniczenie dostępu do danych posiadaczy kart, identyfikacja i uwierzytelnianie).
• Center for Internet Security: CIS Amazon Web Services Foundations Benchmark v2.0.0, 2023.
• NIST Special Publication 800-207: Zero Trust Architecture, National Institute of Standards and Technology, 2020.
• Cloud Security Alliance (CSA): "Security Guidance for Critical Areas of Focus in Cloud Computing v4.0".
• CSIRT NASK: "Dobre praktyki bezpieczeństwa środowisk chmurowych i kontenerowych", Warszawa 2023.

• U2 Student identyfikuje błędy i krytyczne luki w zarządzaniu uprawnieniami uprzywilejowanymi w chmurze AWS.
• U1 Student projektuje architekturę PAM, sesji Just-In-Time oraz sejfu poświadczeń dla środowiska produkcyjnego.
• U3 Student szacuje ryzyko kompromitacji platformy płatniczej na skutek kradzieży statycznych kluczy dostępowych.
• W1W2 Student zna wymagania standardu PCI DSS oraz normy ISO 27001 dotyczące kontroli dostępu uprzywilejowanego.
• K1K3 Student rozumie wagę dyscypliny w procesach DevSecOps i etycznej postawy przy dostępie do krytycznych danych klientów.

Celem zadania jest nabycie przez studentów umiejętności przeprowadzania audytu zarządzania tożsamościami i prawami dostępu (IAM) w otwartym, dynamicznym i heterogenicznym środowisku uczelni wyższej. Zadanie koncentruje się na specyfice rozgraniczania uprawnień dla różnych grup użytkowników (studenci, doktoranci, nauczyciele akademiccy, pracownicy administracji, goście i słuchacze kursów), badaniu spójności centralnego systemu obsługi toku studiów (USOS / USOSweb) z uczelnianą usługą katalogową (LDAP / Active Directory) oraz ocenie bezpieczeństwa federacji tożsamości akademickich (Eduroam / eduGAIN) i stacji w laboratoriach komputerowych.

Powiązanie z sylabusem i treściami programowymi:

• U2 Identyfikacja błędów separacji ról, niekontrolowanych kont gościnnych oraz nadmiarowych uprawnień studentów-pracowników.
• U1 Opracowanie projektu zintegrowanego modelu RBAC dla społeczności akademickiej oraz zasad bezpiecznej izolacji sieciowej laboratoriów.
• U3 Szacowanie ryzyka fałszowania ocen, kradzieży danych osobowych studentów i pracowników oraz nadużyć w sieci naukowej.
• U4 Opracowanie referatu seminaryjnego i raportu z audytu IAM dla Rektora oraz Kanclerza Uczelni.
• W1 Znajomość przepisów Ustawy - Prawo o szkolnictwie wyższym i nauce oraz wymogów RODO w kontekście przetwarzania danych osobowych studentów.
• W2W3 Zrozumienie normy ISO/IEC 27001 (kontrole A.5.15-A.5.18) oraz par. 20 Rozporządzenia w sprawie KRI dla jednostek sektora finansów publicznych.
• K1K2K3 Rozwijanie postawy odpowiedzialności za integralność procesu dydaktycznego, bezstronności w ocenie systemów uczelnianych i kultury cyberbezpieczeństwa.
• Powiązanie z wykładem: Wyk1 (Audyt procesów organizacyjnych), Wyk3 (Kontrole dostępu ISO 27001), Wyk4 (RODO i KRI na uczelni), Wyk6 (Analiza logów serwerów RADIUS i LDAP).

Państwowa Akademia Nauk Stosowanych kształci 4 200 studentów na 12 kierunkach technicznych, ekonomicznych i medycznych. Na uczelni zatrudnionych jest 260 nauczycieli akademickich, 95 pracowników administracji, biblioteki i obsługi oraz kształci się 40 doktorantów. W infrastrukturze uczelni funkcjonuje 18 pracowni komputerowych z 450 stacjami roboczymi, sieć bezprzewodowa Eduroam oraz centralny system dziekanatowy USOS.

Stan zastały kontroli dostępu i tożsamości na uczelni:

• W uczelni funkcjonują niezależne bazy tożsamości: uczelniana usługa Active Directory (obsługująca komputery w laboratoriach i domeny administracyjnej), baza OpenLDAP (uwierzytelniająca pocztę i Eduroam) oraz odrębna baza bazy danych Oracle dla systemu USOS.
• Doktoranci oraz studenci ostatnich lat zatrudnieni na umowach zleceniach do prowadzenia zajęć laboratoryjnych posiadają jedno uniwersalne konto studenckie. W rezultacie po zalogowaniu do systemu USOSweb doktorant prowadzący zajęcia widzi jednocześnie moduł wprowadzania ocen dla swoich grup ćwiczeniowych oraz moduł sprawdzania własnych ocen i wnioskowania o stypendia rektorskie. Weryfikacja audytowa wykazała, że 4 doktorantów miało przypisane uprawnienia koordynatora przedmiotu, co umożliwiało im edycję ocen własnych oraz kolegów z roku.
• W pracowniach komputerowych logowanie odbywa się przy użyciu jednego konta lokalnego "student" bez hasła. Każdy użytkownik siadający przy komputerze ma pełne uprawnienia administratora lokalnego (Local Administrator), co pozwala studentom na instalowanie dowolnego oprogramowania, modyfikację rejestru systemowego i sniffing ruchu sieciowego.
• Sieć bezprzewodowa Eduroam nie posiada skutecznej segmentacji VLAN: student logujący się do Eduroam ma bezpośrednią łączność sieciową z podsiecią serwerów dziekanatowych oraz stacjami roboczymi kwestury i działu kadr.
• Konta gościnne dla uczestników konferencji i wykładowców wizytujących tworzone są przez portiernię uczelni na podstawie papierowego formularza, bez określenia daty wygaśnięcia konta (w bazie RADIUS odnaleziono 320 aktywnych kont gości z ostatnich 4 lat).

Rektor uczelni, po anonimowym zgłoszeniu o próbie manipulacji ocenami w protokole zaliczeniowym z egzaminu z matematyki, zleca audytorom pilną kontrolę systemów IAM.

Zadanie wymaga zbadania relacji między różnymi rolami w środowisku akademickim i weryfikacji izolacji uprawnień:

• Krok 1 (Podział ról w zespole audytowym):

  Student 1 (Audytor Wiodący / Analityk Procesów Dydaktycznych): Bada regulamin studiów, obieg protokołów ocen, procedury zatrudniania doktorantów i asystentów oraz przygotowuje plan referatu.

  Student 2 (Audytor Techniczny IAM / Systemów Akademickich): Bada powiązania baz LDAP, AD i USOS, analizuje uprawnienia grupowe w USOSweb, weryfikuje konfigurację sieci Eduroam i serwera RADIUS oraz polityki stacji laboratoryjnych.

  Student 3 (Audytor Zgodności z KRI i RODO na Uczelni): Weryfikuje spełnienie wymagań par. 20 KRI dla uczelni publicznej, analizuje ryzyka naruszenia prywatności studentów (ujawnianie danych wrażliwych, stypendiów socjalnych); sporządza kartę niezgodności.

• Krok 2 (Analiza zjawiska dualizmu tożsamości - studenci i dydaktycy):

  Zbadajcie strukturę ról dla osób posiadających jednocześnie status studenta/doktoranta i prowadzącego zajęcia. Sprawdźcie, czy w systemie USOS istnieje techniczna separacja tożsamości dydaktycznej (konto pracownicze) od tożsamości beneficjenta kształcenia (konto studenckie).

• Krok 3 (Inspekcja stacji laboratoryjnych i sieci Eduroam):

  Przeprowadźcie audyt techniczny w losowo wybranej pracowni komputerowej: sprawdźcie uprawnienia konta "student", obecność oprogramowania do zamrażania stanu dysku (np. Deep Freeze) oraz przetestujcie widoczność sieci administracyjnej za pomocą poleceń testowych (ping, traceroute).

• Krok 4 (Klasyfikacja niezgodności):

  Przypiszcie zidentyfikowane luki do właściwych kategorii:

  • Niezgodność krytyczna (NC1): Brak rozdzielenia uprawnień studenckich i dydaktycznych u doktorantów w systemie USOSweb, umożliwiający potencjalną nieuprawnioną modyfikację ocen i protokołów zaliczeniowych (naruszenie integralności procesu dyplomowania, ISO 27001 A.5.17 oraz KRI).
  • Niezgodność większa (NC2): Brak indywidualnych kont użytkowników w pracowniach laboratoryjnych (praca na koncie lokalnym z prawami administratora) oraz brak segmentacji sieci Eduroam od strefy administracji uczelni.
  • Niezgodność mniejsza (NC3): Niezarządzane konta gościnne w serwerze RADIUS bez automatycznego terminu wygasania po zakończeniu wizyty.
• Krok 5 (Opracowanie modelu separacji tożsamości akademickich):

  Zaprojektujcie zasadę "Dwie role - dwa konta": doktorant posiada konto studenckie (login: nr_albumu@student.pans.pl) wyłącznie do spraw własnych oraz odrębne konto pracownicze (login: imie.nazwisko@pans.pl) z wymuszonym MFA do wprowadzania ocen i obsługi zajęć.

• Krok 6 (Opracowanie architektury bezpiecznych pracowni i sieci WiFi):

  Sformułujcie zalecenia: logowanie do komputerów laboratoryjnych indywidualnym kontem studenckim z uprawnieniami ograniczonego użytkownika; izolacja sieci studentów do dedykowanego VLAN z dostępem wyłącznie do Internetu i serwerów dydaktycznych.

Wystąpienie seminaryjne (10 minut) podczas laboratoriów:

• Specyfika i wyzwania otwartego środowiska uczelnianego (2 min): Heterogeniczność użytkowników, tradycja autonomii akademickiej a rygory cyberbezpieczeństwa (Student 1).
• Luki w zarządzaniu tożsamościami w systemie USOS i laboratoriach (3 min): Omówienie wyników audytu kont doktorantów, anonimowości w laboratoriach i zagrożeń integralności ocen (Student 2).
• Aspekty prawne i konsekwencje naruszenia wiarygodności uczelni (2 min): Analiza skutków prawnych podrobienia protokołu ocen, odpowiedzialność dyscyplinarna i karna, wymogi KRI (Student 3 lub Student 1).
• Koncepcja naprawcza: Separacja kont, centralny katalog IAM i segmentacja (2 min): Przedstawienie architektury integracji LDAP-AD-USOS i nowych zasad dostępu (Student 2).
• Podsumowanie, analiza wad i zalet (1 min): Dyskusja na temat wygody studentów i doktorantów w konfrontacji z koniecznością logowania na dwa odrębne profile (cały zespół).

Raport składany przez zespół (4-6 stron A4):

A. Odpowiedzi na pytania problemowe i opis sytuacyjny:

• W jaki sposób zjawisko kumulacji ról studenckiej i dydaktycznej u jednego użytkownika może doprowadzić do utraty zaufania publicznego do wydawanych przez uczelnię dyplomów?
• Dlaczego praca na anonimowym koncie lokalnym administratora w pracowniach komputerowych stanowi poważne zagrożenie dla stabilności infrastruktury uczelni?
• Jakie środki techniczne i organizacyjne należy zastosować, aby goście konferencyjni mogli korzystać z Internetu bez ryzyka penetracji zasobów uczelnianych?

B. Wzorcowe rozwiązanie problemu (Dokumentacja poaudytowa):

• Karta ustaleń audytowych IAM: Zestawienie zidentyfikowanych uchybień w USOS, Active Directory i Eduroam wraz z oceną ryzyka.
• Projekt matrycy RBAC dla społeczności akademickiej PANS:
  • Rola Student: Dostęp do USOSweb w trybie odczytu własnych danych, rejestracja na przedmioty, poczta studencka, Eduroam (VLAN Student), stacje laboratoryjne (profil standardowy).
  • Rola Dydaktyk / Doktorant-Nauczyciel: Dostęp do USOSweb w trybie wystawiania ocen (wymagane MFA), poczta pracownicza, Eduroam (VLAN Staff), brak uprawnień administracyjnych na stacjach.
  • Rola Administracja: Dostęp do systemów finansowo-kadrowych z wydzielonego VLAN Administracja z pełną rejestracją operacji.
  • Rola Gość: Dostęp ograniczony wyłącznie do Internetu przez captive portal z czasem życia konta maksymalnie 7 dni.
• Wytyczne techniczne dla Uczelnianego Centrum Informatycznego: Konfiguracja polityk GPO dla pracowni komputerowych (restrykcje Software Restriction Policies / AppLocker).

C. Analiza zalet i wad proponowanego rozwiązania:

• Zalety: Bezpieczeństwo i integralność ocen w systemie USOS; pełna rozliczalność studentów w laboratoriach; zgodność z KRI i RODO; uporządkowanie cyklu życia tożsamości.
• Wady i ograniczenia: Konieczność pamiętania dwóch loginów i haseł przez doktorantów; konieczność logowania się każdego studenta na indywidualne konto w pracowni (może wydłużyć początek zajęć o 1-2 minuty); koszty konfiguracji sieciowej VLAN i reguł firewall.

• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - A.5.15 (Zarządzanie tożsamością), A.5.16 (Uwierzytelnianie tożsamości), A.5.17 (Prawa dostępu), A.8.20 (Bezpieczeństwo sieci).
• Ustawa z dnia 20 lipca 2018 r. - Prawo o szkolnictwie wyższym i nauce (Dz.U. z 2023 r. poz. 742 z późn. zm.).
• Rozporządzenie Ministra Nauki i Szkolnictwa Wyższego z dnia 27 września 2018 r. w sprawie studiów (Dz.U. z 2021 r. poz. 661 z późn. zm.) - dokumentowanie toku studiów.
• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności (Dz.U. z 2024 r. poz. 773) - par. 20 (wymagania bezpieczeństwa teleinformatycznego dla uczelni publicznych).
• Stowarzyszenie Eduroam Polska / PIONIER: Zasady i polityka bezpiecznego korzystania z sieci eduroam w polskich instytucjach akademickich, 2023.
• MUCI (Międzyuniwersyteckie Centrum Informatyzacji): Dokumentacja techniczna i zalecenia bezpieczeństwa dla Uniwersyteckiego Systemu Obsługi Studiów (USOS).

• U2 Student potrafi zdiagnozować niebezpieczne powiązania ról i brak separacji uprawnień w systemach uczelnianych.
• U1 Student projektuje schemat RBAC dla heterogenicznego środowiska akademickiego oraz reguły izolacji pracowni.
• U3 Student szacuje ryzyko fałszowania toku studiów wynikające z błędów w konfiguracji profili USOS.
• W1W3 Student rozumie regulacje prawne w szkolnictwie wyższym oraz par. 20 KRI dla instytucji publicznych.
• K1K2 Student przejawia etyczną postawę i dbałość o rzetelność procesów akademickich i dydaktycznych.

Głównym celem zadania jest opanowanie przez studentów umiejętności badania i audytowania kontroli dostępu w dynamicznym środowisku logistyczno-przemysłowym o wysokiej fluktuacji kadr. Zadanie skupia się na zidentyfikowaniu przyczyn i skutków stosowania kont współdzielonych na mobilnych terminalach radiowych (skanerach kodów kreskowych) i wózkach widłowych w systemie zarządzania magazynem (Warehouse Management System - WMS). Studenci uczą się wykrywać luki w rozliczalności operacji magazynowych (przyjęcia, przesunięcia, kompletacja, wysyłka), analizować umowy powierzenia przetwarzania danych z agencjami pracy tymczasowej oraz projektować szybkie i ergonomiczne metody indywidualnej identyfikacji pracowników fizycznych.

Powiązanie z sylabusem i treściami programowymi:

• U2 Identyfikacja naruszeń zasady rozliczalności (accountability), stosowania kont grupowych oraz luk w nadzorze nad pracownikami agencji pracy.
• U1 Opracowanie procedury indywidualnego logowania na terminalach mobilnych opartej na kodach kreskowych lub identyfikatorach RFID.
• U3 Szacowanie ryzyka strat materialnych, kradzieży towarów, sabotażu logistycznego oraz kar za naruszenie RODO w relacjach z agencjami.
• U4 Opracowanie referatu seminaryjnego i raportu z audytu IAM dla Dyrektora Logistyki i Kierownika Bezpieczeństwa Obiektu.
• W1 Znajomość przepisów Kodeksu pracy (odpowiedzialność materialna pracowników) oraz art. 5 ust. 2 i art. 28 RODO.
• W2W3 Zrozumienie normy ISO/IEC 27001 (kontrole A.5.15 Zarządzanie tożsamością, A.5.16 Uwierzytelnianie, A.8.5 Bezpieczne uwierzytelnianie).
• K1K2K3 Kształtowanie umiejętności łączenia wymogów bezpieczeństwa informacji z realiami wydajnościowymi i presją czasową w procesach logistycznych.
• Powiązanie z wykładem: Wyk1 (Audyt w procesach logistycznych), Wyk3 (Kontrole zabezpieczeń fizycznych i technicznych ISO 27001), Wyk4 (RODO i umowy powierzenia), Wyk6 (Analiza logów transakcyjnych WMS).

Centrum Dystrybucyjne obsługuje sieć 250 supermarketów spożywczych oraz ogólnopolski sklep internetowy. Obiekt o powierzchni 45 000 m² pracuje w trybie ciągłym (3 zmiany, 7 dni w tygodniu). W centrum pracuje 80 pracowników stałych (kierownicy zmian, dyspozytorzy, operatorzy WMS) oraz od 120 do 200 pracowników magazynowych (kompletatorzy, operatorzy wózków wysokiego składu) rekrutowanych przez 3 zewnętrzne agencje pracy tymczasowej. Średni czas zatrudnienia pracownika agencyjnego wynosi zaledwie 3-5 tygodni, a fluktuacja dobowa sięga kilkunastu osób.

Stan zastały kontroli dostępu w systemie magazynowym WMS:

• Na wyposażeniu magazynu znajduje się 160 bezprzewodowych terminali mobilnych (kolektorów danych z czytnikami kodów) z systemem Android oraz 30 terminali zamontowanych na wózkach widłowych.
• W celu maksymalnego uproszczenia procedury rozpoczęcia zmiany, wszystkie terminale mobilne pracują na zaledwie czterech generycznych kontach systemowych: "KOMPLETACJA_1", "KOMPLETACJA_2", "PRZYJECIA" oraz "WYSYLKA". Hasła do tych kont są identyczne z loginami i są automatycznie zapamiętane w konfiguracji urządzeń.
• Pracownik agencyjny rozpoczynający pracę pobiera dowolny wolny terminal ze stacji dokującej, uruchamia aplikację WMS bez konieczności wpisywania jakichkolwiek poświadczeń i natychmiast przystępuje do pobierania towarów z regałów.
• W ciągu ostatnich dwóch miesięcy w magazynie odnotowano zaginięcie sprzętu elektronicznego i alkoholi o łącznej wartości 140 000 PLN oraz wysłanie 15 błędnych palet do niewłaściwych sklepów. W logach systemu WMS wszystkie operacje figurują pod loginem "KOMPLETACJA_1", co uniemożliwia ustalenie, który z pracowników fizycznie pobrał brakujący asortyment lub dokonał błędnej wysyłki.
• Pracownicy agencji pracy nie posiadają imiennych upoważnień do przetwarzania danych osobowych odbiorców przesyłek e-commerce (etykiety adresowe na paczkach zawierają imiona, nazwiska, adresy i numery telefonów klientów).

Dyrektor ds. Logistyki, ponoszący osobistą odpowiedzialność za bilans strat magazynowych, zleca zespołowi audytorów przeprowadzenie audytu IAM w strefie operacyjnej.

Praca w zespole polega na zbadaniu przepływu tożsamości na hali magazynowej i opracowaniu ergonomicznego mechanizmu logowania:

• Krok 1 (Podział ról w zespole audytowym):

  Student 1 (Audytor Wiodący / Analityk Procesów Magazynowych): Bada organizację pracy zmianowej, umowy z agencjami pracy tymczasowej, procedury rozliczania strat materialnych oraz moderuje referat seminaryjny.

  Student 2 (Audytor Techniczny IAM / Systemów Mobilnych WMS): Bada konfigurację aplikacji WMS, logi transakcyjne na serwerze baz danych, możliwości techniczne czytników kodów i identyfikatorów RFID oraz procedury zarządzania urządzeniami mobilnymi (MDM).

  Student 3 (Audytor Zgodności z Prawem Pracy i RODO): Analizuje przepisy Kodeksu pracy o odpowiedzialności materialnej, art. 5 i art. 28 RODO dotyczące ochrony danych klientów e-commerce na etykietach logistycznych; sporządza protokół niezgodności.

• Krok 2 (Inwentaryzacja terminali i badanie anonimowości logowań):

  Sprawdźcie 10 losowo wybranych terminali na hali. Zweryfikujcie pliki konfiguracyjne aplikacji WMS, czasy wygaszania sesji oraz sprawdźcie, czy w logach bazy danych WMS rejestrowany jest unikalny identyfikator urządzenia (MAC/IP/DeviceID) obok loginu konta współdzielonego.

• Krok 3 (Weryfikacja umów z agencjami pracy tymczasowej):

  Przeanalizujcie zapisy umów pod kątem klauzul zachowania poufności, procedur zgłaszania listy pracowników delegowanych na daną zmianę oraz zasad powierzania przetwarzania danych osobowych klientów sklepu internetowego.

• Krok 4 (Klasyfikacja niezgodności):

  Sformułujcie ustalenia audytowe:

  • Niezgodność krytyczna (NC1): Całkowity brak rozliczalności operacji magazynowych na skutek stosowania generycznych kont współdzielonych na terminalach WMS, uniemożliwiający ustalenie odpowiedzialności materialnej za straty towarowe i naruszenia danych (ISO 27001 A.5.15, Kodeks pracy, art. 5 ust. 2 RODO).
  • Niezgodność większa (NC2): Dostęp pracowników tymczasowych do danych osobowych klientów e-commerce na etykietach kurierskich bez imiennych upoważnień i bez uregulowania statusu powierzenia w umowach z agencjami pracy.
  • Niezgodność mniejsza (NC3): Brak systemu zarządzania urządzeniami mobilnymi (MDM), co umożliwia pracownikom swobodne modyfikowanie ustawień sieciowych i aplikacji na terminalach.
• Krok 5 (Opracowanie szybkiego mechanizmu logowania za pomocą kodów kreskowych):

  Zaprojektujcie rozwiązanie uwzględniające presję czasu: przy wejściu na zmianę pracownik agencyjny otrzymuje imienny identyfikator z unikalnym kodem kreskowym logowania (Personal Badge Code); logowanie do terminala polega na jednokrotnym zeskanowaniu kodu z identyfikatora, co trwa 1 sekundę i natychmiast przypisuje terminal do konkretnej osoby na czas zmiany.

• Krok 6 (Integracja systemu przepustkowego z systemem WMS):

  Opracujcie procedurę automatycznego generowania tymczasowej tożsamości w WMS na podstawie danych z listy obecności przesyłanej przez agencję pracy przed rozpoczęciem zmiany i automatycznego blokowania profilu po zakończeniu zlecenia.

Prezentacja seminaryjna (10 minut) podczas laboratoriów:

• Wprowadzenie: Magazyn wysokiego składu jako krytyczne ogniwo łańcucha dostaw (2 min): Presja wydajnościowa (normy pobrań na godzinę) a wymagania bezpieczeństwa tożsamości (Student 1).
• Wyniki audytu: Konta współdzielone i straty finansowe w Centrum Dystrybucyjnym (3 min): Przedstawienie skali strat towarowych, dowodów z logów WMS i przyczyn braku rozliczalności (Student 2).
• Prawne aspekty odpowiedzialności pracowniczej i ochrony danych (2 min): Kodeks pracy, umowy z agencjami pracy tymczasowej, problem danych na paczkach e-commerce (Student 3 lub Student 1).
• Rozwiązanie problemu: Logowanie skanowaniem identyfikatora i integracja IAM (2 min): Demonstracja koncepcji logowania kodem kreskowym/RFID, architektura zarządzania terminalami MDM (Student 2).
• Podsumowanie, analiza wad i zalet (1 min): Dyskusja na temat kosztów wdrożenia a eliminacji strat magazynowych (cały zespół).

Struktura raportu z audytu (4-6 stron A4):

A. Odpowiedzi na pytania problemowe i opis sytuacyjny:

• W jaki sposób brak indywidualnej rozliczalności w systemie informatycznym uniemożliwia pociągnięcie pracownika do odpowiedzialności materialnej na podstawie przepisów Kodeksu pracy?
• Dlaczego w środowisku przemysłowo-magazynowym tradycyjne logowanie za pomocą loginu i skomplikowanego hasła z klawiatury ekranowej jest skazane na porażkę operacyjną?
• Jakie obowiązki ciążą na administratorze danych (sklepie internetowym) w przypadku, gdy do danych osobowych odbiorców paczek mają dostęp pracownicy zewnętrznej agencji pracy tymczasowej?

B. Wzorcowe rozwiązanie problemu (Dokumentacja wdrożeniowa IAM):

• Karta ustaleń audytowych IAM: Analiza podatności terminali mobilnych i tabeli logowań WMS.
• Projekt procedury "Szybkiej Identyfikacji i Autoryzacji Pracowników Magazynowych":
  • Agencja pracy przesyła listę pracowników na 2 godziny przed zmianą przez bezpieczny formularz elektroniczny.
  • Koordynator zmiany drukuje imienne identyfikatory z kodami 2D (DataMatrix / QR) zawierającymi zaszyfrowany identyfikator tożsamości tymczasowej.
  • Pobranie terminala: Pracownik skanuje swój identyfikator czytnikiem terminala -> terminal odblokowuje się i łączy sesję WMS z nazwiskiem pracownika; po 5 minutach bezczynności terminal wymaga ponownego zeskanowania identyfikatora.
  • Zdanie terminala: O godzinie zakończenia zmiany system WMS automatycznie zamyka wszystkie aktywne sesje i wygasza uprawnienia tożsamości tymczasowych.
• Wytyczne wdrożenia systemu Mobile Device Management (MDM): Zablokowanie dostępu do pulpitu Androida (tryb Kiosk), centralna dystrybucja konfiguracji.

C. Analiza zalet i wad proponowanego rozwiązania:

• Zalety: 100% rozliczalność każdej operacji magazynowej; natychmiastowe wskazanie osoby odpowiedzialnej za pomyłkę lub brak towaru; logowanie trwające ułamek sekundy; eliminacja kont współdzielonych; legalność przetwarzania danych paczek e-commerce.
• Wady i ograniczenia: Konieczność drukowania identyfikatorów przed każdą zmianą; ryzyko przekazania identyfikatora innej osobie (konieczność nadzoru przez brygadzistów); koszty zakupu licencji na oprogramowanie MDM dla 160 terminali.

• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - A.5.15 (Zarządzanie tożsamością), A.5.16 (Uwierzytelnianie tożsamości), A.5.17 (Prawa dostępu), A.8.5 (Bezpieczne uwierzytelnianie).
• Ustawa z dnia 26 czerwca 1974 r. - Kodeks pracy (Dz.U. z 2026 r. poz. 1245) - Dział V: Odpowiedzialność materialna pracowników (art. 114-127).
• Ustawa z dnia 9 lipca 2003 r. o zatrudnianiu pracowników tymczasowych (Dz.U. z 2023 r. poz. 1110 z późn. zm.).
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO): art. 5 ust. 1 lit. f, art. 5 ust. 2 (rozliczalność), art. 28 (powierzenie przetwarzania), art. 29 (upoważnienia).
• GS1 Polska: Standardy kodów kreskowych i automatycznej identyfikacji w logistyce magazynowej, Poznań 2022.
• Instytut Logistyki i Magazynowania (Łukasiewicz - ILiM): Bezpieczeństwo i rozliczalność w nowoczesnych systemach WMS, Poznań 2021.

• U2 Student potrafi zdiagnozować przyczyny i konsekwencje stosowania kont współdzielonych w środowisku logistycznym.
• U1 Student projektuje ergonomiczny schemat uwierzytelniania kodami kreskowymi/RFID eliminujący anonimowość na magazynie.
• U3 Student szacuje ryzyka strat finansowych i prawnych wynikających z braku rozliczalności personelu tymczasowego.
• W1W3 Student rozumie przepisy Kodeksu pracy i RODO dotyczące rozliczalności działań pracowników agencji pracy.
• K1K2 Student wykazuje zrozumienie ograniczeń operacyjnych personelu wykonawczego i potrafi projektować zabezpieczenia nieutrudniające pracy fizycznej.

Głównym celem zadania jest opanowanie przez studentów umiejętności badania i audytowania modelu kontroli dostępu opartej na rolach (ang. Role-Based Access Control - RBAC) oraz bezwzględnego egzekwowania zasady najmniejszych uprawnień (ang. Principle of Least Privilege - PoLP) w jednostce wymiaru sprawiedliwości. Zadanie koncentruje się na wykrywaniu nadmiarowych uprawnień do akt spraw sądowych (sprawy karne, rozwodowe, opiekuńcze, gospodarcze), weryfikacji granulacji uprawnień w systemach repertoryjnych (np. Currenda, Sędzia 2, Portal Informacyjny Sądów Powszechnych) oraz eliminacji nieuprawnionego wglądu personelu pomocniczego do materiałów objętych klauzulami tajności lub wyłączeniem jawności.

Powiązanie z sylabusem i treściami programowymi:

• U2 Identyfikacja nieprawidłowości w przypisywaniu ról użytkowników, nadmiarowych dostępów do spraw poza właściwością wydziałową oraz braku kontroli nad sprawami niejawnymi.
• U1 Opracowanie zrestrukturyzowanej matrycy ról RBAC dla personelu orzeczniczego i urzędniczego sądu oraz procedur wnioskowania o dostęp.
• U3 Szacowanie ryzyka wycieku tajemnicy śledztwa, naruszenia dóbr osobistych stron procesu oraz odpowiedzialności dyscyplinarnej i karnej pracowników sądu.
• U4 Opracowanie referatu seminaryjnego i oficjalnego protokołu audytowego dla Prezesa i Dyrektora Sądu Rejonowego.
• W1 Znajomość przepisów Ustawy o ochronie informacji niejawnych, Kodeksu postępowania karnego, Kodeksu postępowania cywilnego oraz art. 9 RODO.
• W2W3 Zrozumienie normy ISO/IEC 27001 (kontrole A.5.15-A.5.18 Prawa dostępu) oraz par. 20 Rozporządzenia w sprawie KRI dla organów władzy sądowniczej.
• K1K2K3 Rozwijanie postawy poszanowania prawa do prywatności stron procesowych, etyki zawodowej oraz bezkompromisowości w ochronie tajemnicy sądowej.
• Powiązanie z wykładem: Wyk1 (Audyt w administracji państwowej), Wyk3 (Kontrole dostępowe i klasyfikacja aktywów ISO 27001), Wyk4 (RODO i ochrona tajemnic prawnie chronionych), Wyk6 (Sampling spraw i analiza uprawnień).

Sąd Rejonowy w 120-tysięcznym mieście obejmuje swoją właściwością 5 wydziałów: I Wydział Cywilny, II Wydział Karny, III Wydział Rodzinny i Nieletnich, IV Wydział Pracy i Ubezpieczeń Społecznych oraz V Wydział Ksiąg Wieczystych. W sądzie orzeka 24 sędziów i 6 asesorów, którym pomaga 18 asystentów sędziego, 8 referendarzy sądowych oraz 65 urzędników sekretariatów (protokolanci, starsi sekretarze sądowi, kierownicy sekretariatów).

Stan zastały kontroli dostępu w systemie informatycznym sądu:

• Podstawowym narzędziem obsługi biurowości sądowej jest zintegrowany system informatyczny obsługujący repertoria i księgi pomocnicze (system Currenda/Sędzia).
• W trakcie wdrażania systemu kilka lat wcześniej, aby zapobiec opóźnieniom w pracy sekretariatów i konieczności ciągłego modyfikowania profili, utworzono zaledwie trzy uniwersalne role dostępowe: "SĘDZIA", "ASYSTENT" oraz "SEKRETARIAT".
• Audyt wykazał, że rola "SEKRETARIAT" posiada pełne uprawnienia do wglądu, edycji i usuwania wpisów we wszystkich repertoriach wszystkich wydziałów sądu. Protokolant zatrudniony w Wydziale Pracy ma swobodny dostęp do elektronicznych akt spraw karnych o zabójstwa, spraw rozwodowych ze szczegółowymi materiałami obyczajowymi czy spraw nieletnich prowadzonych w Wydziale Rodzinnym.
• Asystenci sędziów posiadają uprawnienia do edycji projektów orzeczeń i uzasadnień w referatach wszystkich sędziów sądu, a nie tylko sędziego, do którego zostali oficjalnie przydzieleni zarządzeniem Prezesa Sądu.
• W systemie brak jest mechanizmu blokady dostępu do spraw, w których wyłączono jawność posiedzenia lub wyłączono jawność orzeczenia. Co więcej, w przypadku gdy pracownik sądu staje się stroną postępowania (np. sprawa rozwodowa pracownicy sekretariatu), system nie blokuje jej dostępu do akt własnej sprawy, co stwarza bezpośrednie ryzyko usuwania niewygodnych dowodów i manipulacji terminami posiedzeń.
• Logi audytowe systemu odnotowują wprawdzie fakt otwarcia karty sprawy (ID sprawy, login, data i godzina), jednak nikt w sądzie nie prowadzi analizy ani przeglądu tych logów pod kątem sprawdzania, czy pracownicy nie przeglądają akt spraw znanych osób, celebrytów czy sąsiadów z ciekawości (tzw. nieuprawnione przeglądanie rekreacyjne).

Prezes Sądu Rejonowego, po otrzymaniu skargi od pełnomocnika strony o wycieku poufnych opinii biegłych z akt sprawy opiekuńczej, powołuje zespół audytorów do zbadania architektury uprawnień.

Zadanie wymaga przeprowadzenia dekompozycji ról systemowych oraz opracowania matrycy uprawnień opartej na wydziałach i referatach orzeczniczych:

• Krok 1 (Podział ról w zespole audytowym):

  Student 1 (Audytor Wiodący / Analityk Procedur Sądowych): Bada Regulamin urzędowania sądów powszechnych, zarządzenia Prezesa Sądu o podziale czynności, strukturę wydziałów oraz koordynuje wystąpienie referatowe.

  Student 2 (Audytor Techniczny IAM / Bezpieczeństwa Baz Danych): Bada konfigurację ról i tabel uprawnień w systemie biurowości sądowej, analizuje logi dostępowe do akt spraw (kwerendy SELECT do tabel spraw wrażliwych), bada powiązania z Active Directory.

  Student 3 (Audytor Zgodności z Prawem i RODO): Analizuje przepisy o ochronie tajemnicy postępowania, Kodeksu postępowania karnego, art. 9 RODO oraz par. 20 KRI; sporządza protokół niezgodności i ryzyk naruszenia praworządności.

• Krok 2 (Badanie próbki dostępu do spraw wrażliwych):

  Wytypujcie próbkę 20 spraw wysoce wrażliwych (sprawy o przestępstwa przeciwko wolności seksualnej, sprawy o ubezwłasnowolnienie, sprawy rozwodowe osób publicznych). Wyciągnijcie z logów systemu listę wszystkich użytkowników, którzy wyświetlali akta tych spraw w ciągu ostatnich 6 miesięcy. Skonfrontujcie te dane ze składem orzekającym i protokolantami wyznaczonymi do tych spraw.

• Krok 3 (Identyfikacja naruszeń zasady Least Privilege i konfliktów interesów):

  Zidentyfikujcie przypadki dostępu do spraw przez pracowników nieposiadających uzasadnienia służbowego (brak powiązania ze sprawą w zarządzeniu o podziale czynności). Sprawdźcie, czy pracownicy będący stronami postępowań logowali się do swoich teczek aktowych.

• Krok 4 (Klasyfikacja niezgodności):

  Sformułujcie i skategoryzujcie niezgodności:

  • Niezgodność krytyczna (NC1): Płaska struktura uprawnień (brak separacji wydziałowej i referatowej) umożliwiająca każdemu urzędnikowi wgląd do wszystkich spraw w sądzie, w tym spraw o wyłączonej jawności i spraw własnych (rażące naruszenie zasady Least Privilege, art. 32 RODO oraz Regulaminu urzędowania sądów).
  • Niezgodność większa (NC2): Brak automatycznej procedury wyłączania dostępu pracownika do akt sprawy w przypadku zaistnienia konfliktu interesów (gdy pracownik, jego krewni lub powinowaci są stroną procesu).
  • Niezgodność mniejsza (NC3): Brak systematycznego monitorowania logów przeglądania akt i brak mechanizmów alarmowania o masowym otwieraniu spraw karnych przez pracowników innych wydziałów.
• Krok 5 (Opracowanie wielopoziomowej matrycy RBAC dla sądu):

  Zaprojektujcie hierarchiczny model kontroli dostępu:

  • Podział horyzontalny: Użytkownik widzi wyłącznie sprawy ze swojego macierzystego wydziału (VLAN i uprawnienia bazy ograniczone do wydziału).
  • Podział wertykalny: Uprawnienia edycyjne do sprawy przysługują wyłącznie sędziemu referentowi, asystentowi przydzielonemu do tego sędziego oraz protokolantowi wyznaczonemu na wokandę w danej sprawie.
• Krok 6 (Opracowanie procedury "Flagowania Spraw Wrażliwych i Konfliktów"):

  Sformułujcie procedurę oznaczania spraw niejawnych i spraw pracowniczych ze specjalnym reżimem dostępowym (dostęp wymaga podania uzasadnienia służbowego i generuje automatyczne powiadomienie do Prezesa Sądu i IOD).

Prezentacja seminaryjna (10 minut) na zajęciach:

• Specyfika wymiaru sprawiedliwości i rygory ochrony tajemnicy sądowej (2 min): Hierarchia aktów prawnych, powaga sądu a ryzyka nieuprawnionego wycieku informacji procesowych (Student 1).
• Wyniki audytu IAM: Płaska struktura ról i "ciekawość pracowników" w aktach wrażliwych (3 min): Przedstawienie faktów z analizy logów, wykrytych wglądów do spraw obcych i braków kontroli (Student 2).
• Prawne konsekwencje naruszenia poufności postępowań sądowych (2 min): Nieważność postępowania, odpowiedzialność karna (art. 266 KK - ujawnienie tajemnicy służbowej), kary UODO (Student 3 lub Student 1).
• Koncepcja modelu RBAC: Granulacja wydziałowa, referatowa i spraw wrażliwych (2 min): Prezentacja nowej matrycy ról oraz mechanizmu automatycznego wykrywania konfliktów interesów (Student 2).
• Podsumowanie, analiza wad i zalet (1 min): Dyskusja na temat konieczności zapewnienia elastyczności zastępstw sekretarskich w konfrontacji z rygorystycznym odcięciem dostępów (cały zespół).

Raport audytowy grupy (4-6 stron A4):

A. Odpowiedzi na pytania problemowe i opis sytuacyjny:

• W jaki sposób zasada najmniejszych uprawnień (Principle of Least Privilege) powinna być interpretowana w odniesieniu do akt spraw sądowych o charakterze poufnym i niejawnym?
• Jakie środki kontrolne należy wdrożyć w systemie teleinformatycznym sądu, aby uniemożliwić pracownikowi sekretariatu manipulację przy aktach sprawy, w której występuje on jako strona lub świadek?
• Dlaczego brak analizy logów dostępowych (odczytu) w systemach zawierających dane wrażliwe stanowi naruszenie standardu staranności administratora danych osobowych?

B. Wzorcowe rozwiązanie problemu (Dokumentacja reorganizacji IAM):

• Karta ustaleń audytowych: Wykaz uchybień w konfiguracji ról systemowych z odniesieniem do ISO/IEC 27001 (A.5.15-A.5.18).
• Model kontroli dostępu RBAC dla Sądu Rejonowego:
  • Rola Sędzia Referent: Pełne prawa odczytu i edycji do spraw we własnym referacie orzeczniczym; prawo wglądu do innych spraw w wydziale wyłącznie w celu analizy orzecznictwa z rejestracją celu wglądu.
  • Rola Asystent Sędziego: Prawa edycyjne wyłącznie do projektów orzeczeń w sprawach przydzielonych przez sędziego patrona; zakaz dostępu do spraw pozostałych sędziów.
  • Rola Protokolant Wydziałowy: Prawa edycji protokołów i zarządzania terminami posiedzeń wyłącznie w sprawach wyznaczonych na wokandę w danym miesiącu; brak wglądu do spraw innych wydziałów.
  • Klauzula Wyłączenia (Conflict of Interest Lockout): Automatyczne blokowanie dostępu pracownika do akt sprawy w przypadku zbieżności numeru PESEL pracownika z uczestnikiem postępowania.
• Wytyczne wdrożenia modułu audytowego w systemie repertoryjnym (raportowanie anomalii wglądów poza godzinami urzędowania).

C. Analiza zalet i wad proponowanego rozwiązania:

• Zalety: Całkowite zabezpieczenie tajemnicy narady sędziowskiej i danych wrażliwych obywateli; wyeliminowanie nieuprawnionego przeglądania akt; zgodność z RODO i standardami sądownictwa; bezstronność procesowa.
• Wady i ograniczenia: Konieczność częstszego wnioskowania o uprawnienia tymczasowe w przypadku nagłych zastępstw protokolantów na wokandzie; koszty przeprogramowania systemu repertoryjnego przez dostawcę oprogramowania; opór części pracowników przyzwyczajonych do swobodnego wglądu w sprawy.

• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - A.5.15 (Zarządzanie tożsamością), A.5.17 (Prawa dostępu), A.5.18 (Prawa dostępu do informacji), A.8.2 (Prawa dostępu uprzywilejowanego).
• Ustawa z dnia 27 lipca 2001 r. - Prawo o ustroju sądów powszechnych (Dz.U. z 2023 r. poz. 217 z późn. zm.).
• Rozporządzenie Ministra Sprawiedliwości z dnia 18 czerwca 2019 r. - Regulamin urzędowania sądów powszechnych (Dz.U. z 2021 r. poz. 2046 z późn. zm.).
• Ustawa z dnia 5 sierpnia 2010 r. o ochronie informacji niejawnych (Dz.U. z 2024 r. poz. 632 z późn. zm.).
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO): art. 5 ust. 1 lit. f, art. 9 (szczególne kategorie danych), art. 32.
• Ministerstwo Sprawiedliwości: Standardy bezpieczeństwa teleinformatycznego w sądach powszechnych, Warszawa 2022.
• NIST Special Publication 800-162: Guide to Attribute Based Access Control (ABAC) and Role-Based Access Control (RBAC) Definition and Considerations.

• U2 Student potrafi zidentyfikować luki w granulacji uprawnień i brak separacji ról w instytucji wymiaru sprawiedliwości.
• U1 Student projektuje matrycę RBAC uwzględniającą właściwość rzeczową, miejscową i referatową w sądzie.
• U3 Student szacuje ryzyka prawne i procesowe wynikające z nieuprawnionego dostępu do akt spraw o wyłączonej jawności.
• W1W3 Student rozumie regulacje dotyczące ochrony tajemnicy sądowej oraz normy bezpieczeństwa informacji w administracji publicznej.
• K1K3 Student przejawia postawę bezstronności, poszanowania praworządności i etyki zawodowej audytora.

Celem zadania jest wykształcenie u studentów umiejętności badania i audytowania mechanizmów uwierzytelniania wieloskładnikowego (ang. Multi-Factor Authentication - MFA) oraz procedur bezpiecznego zdalnego dostępu serwisowego w przedsiębiorstwie infrastruktury krytycznej i u Podmiotu Kluczowego. Zadanie koncentruje się na stykach między siecią korporacyjną (IT) a siecią automatyki przemysłowej i sterowania technologicznego (OT / SCADA), audycie połączeń zewnętrznych integratorów i serwisantów automatyki oraz weryfikacji zgodności z rygorystycznymi wymaganiami Ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC) i dyrektywy NIS2.

Powiązanie z sylabusem i treściami programowymi:

• U2 Identyfikacja krytycznych luk w uwierzytelnianiu do sieci technologicznej, braku MFA przy dostępie zdalnym VPN oraz niekontrolowanych sesji dostawców.
• U1 Opracowanie projektu bezpiecznego dostępu zdalnego do sieci OT w oparciu o MFA, model strefowy Purdue i serwery skokowe (Jump Host).
• U3 Szacowanie ryzyka paraliżu dostaw ciepła dla miasta na skutek cyberataku na sterowniki PLC (incydent typu Industroyer / Stuxnet).
• U4 Opracowanie referatu laboratoryjnego oraz raportu audytowego z zaleceniami w reżimie KSC dla Zarządu Spółki i Dyrektora Technicznego.
• W1 Znajomość przepisów Ustawy o Krajowym Systemie Cyberbezpieczeństwa oraz dyrektywy NIS2 w odniesieniu do podmiotów kluczowych.
• W2W3 Zrozumienie normy PN-EN ISO/IEC 27001 (kontrole A.8.5 Bezpieczne uwierzytelnianie, A.8.20 Bezpieczeństwo sieci), normy IEC 62443 oraz wytycznych NIST SP 800-63B i NIST SP 800-82 (bezpieczeństwo systemów ICS/SCADA).
• K1K2K3 Rozwijanie świadomości wagi bezpieczeństwa infrastruktury krytycznej dla życia i zdrowia mieszkańców aglomeracji miejskiej.
• Powiązanie z wykładem: Wyk1 (Audyt w infrastrukturze krytycznej), Wyk3 (Kontrole techniczne ISO 27001 i IEC 62443), Wyk4 (Ustawa o KSC i NIS2), Wyk6 (Analiza logów VPN i zapór sieciowych).

Miejskie Przedsiębiorstwo Energetyki Cieplnej (MPEC Sp. z o.o.) zapewnia zaopatrzenie w ciepło i ciepłą wodę użytkową dla 180-tysięcznego miasta. Przedsiębiorstwo eksploatuje 2 ciepłownie rejonowe oraz sieć przesyłową o długości 240 km z 1 800 węzłami cieplnymi. Decyzją Ministra Klimatu i Środowiska MPEC został wpisany do rejestru Podmiotów Kluczowych w sektorze energii.

Infrastruktura sterowania technologicznego i stan kontroli dostępu:

• Nadzór nad pracą ciepłowni i węzłów sprawuje Centralna Dyspozycja Mocy przy użyciu nadrzędnego systemu dyspozytorskiego SCADA połączonego ze sterownikami programowalnymi PLC w podstacjach.
• Ze względu na konieczność szybkiej reakcji na awarie hydrauliczne i kotłowe w nocy, 6 inżynierów dyspozytorów oraz 4 zewnętrznych inżynierów serwisu z firmy integrującej automatykę posiada dostęp zdalny do stacji inżynierskich SCADA.
• Dostęp zdalny realizowany jest przez starą bramę VPN zainstalowaną na styku sieci korporacyjnej. Uwierzytelnianie opiera się wyłącznie na statycznym loginie i haśle (jednoskładnikowe uwierzytelnianie - brak MFA). Hasła nie były zmieniane od ponad roku.
• Po zestawieniu tunelu VPN użytkownik zewnętrzny otrzymuje bezpośredni dostęp routowalny na poziomie warstwy IP do całej sieci technologicznej OT (brak strefy DMZ przemysłowej, brak zapory ogniowej separującej IT od OT, brak serwera bastionowego / Jump Host).
• Serwisanci zewnętrzni logują się na stacje inżynierskie SCADA za pomocą wspólnego konta "serwis_scada" ze statycznym hasłem zapisanym w dokumentacji odbiorowej instalacji.
• Podczas sesji zdalnych serwisanci mogą dokonywać bezpośredniego przeprogramowania logiki sterowników PLC odpowiedzialnych za sterowanie zaworami bezpieczeństwa i pompami obiegowymi wysokiego ciśnienia. Sesje zdalne nie są rejestrowane w logach wideo ani audytowane, a logi zapory VPN są nadpisywane po 7 dniach.

W związku z nałożonym przez Ustawę o KSC obowiązkiem przeprowadzenia audytu bezpieczeństwa systemu informacyjnego wykorzystywanego do świadczenia usługi co najmniej raz na 3 lata, Zarząd MPEC zleca zespołowi audytorów kompleksową weryfikację zdalnego dostępu i MFA.

Audyt wymaga zbadania konfiguracji sieciowej styku IT/OT oraz mechanizmów kryptograficznych uwierzytelniania:

• Krok 1 (Podział ról w zespole audytowym):

  Student 1 (Audytor Wiodący / Analityk Infrastruktury Krytycznej): Analizuje dokumentację podmiotu kluczowego, politykę bezpieczeństwa strefy przemysłowej, umowy serwisowe SLA z integratorem automatyki i moderuje wystąpienie referatowe.

  Student 2 (Audytor Techniczny IAM / Bezpieczeństwa OT i SCADA): Bada konfigurację bramy VPN, analizuje brak MFA, bada reguły firewall rozdzielające IT i OT, sprawdza konfigurację stacji dyspozytorskich SCADA i metody uwierzytelniania w sieci przemysłowej.

  Student 3 (Audytor Zgodności z KSC i NIS2): Weryfikuje spełnienie wymagań art. 8-15 Ustawy o KSC, wymogów dyrektywy NIS2 dotyczących cyberbezpieczeństwa łańcucha dostaw oraz normy IEC 62443; sporządza kartę niezgodności.

• Krok 2 (Analiza podatności połączeń zdalnych VPN):

  Przeanalizujcie konfigurację protokołów na bramie VPN (sprawdźcie wersję protokołu, siłę algorytmów szyfrowania oraz brak drugiego składnika uwierzytelniania). Zweryfikujcie wykaz kont uprawnionych do łączenia się przez VPN pod kątem obecności kont zewnętrznych kontrahentów.

• Krok 3 (Weryfikacja braku separacji stref IT i OT):

  Zbadajcie tablice routingu i reguły filtracji ruchu. Sprawdźcie, czy z komputera podłączonego przez VPN istnieje bezpośredni dostęp do portów przemysłowych sterowników PLC (np. port 502 Modbus TCP, port 102 ISO-on-TCP).

• Krok 4 (Klasyfikacja niezgodności):

  Sformułujcie i uzasadnijcie ustalenia audytowe:

  • Niezgodność krytyczna (NC1): Brak wieloskładnikowego uwierzytelniania (MFA) przy zdalnym dostępie do sieci sterowania technologicznego SCADA/OT oraz bezpośrednia łączność routowalna do sterowników PLC dla podmiotów zewnętrznych (rażące naruszenie art. 8 Ustawy o KSC, ISO 27001 A.8.5 oraz IEC 62443).
  • Niezgodność większa (NC2): Stosowanie wspólnego konta serwisowego "serwis_scada" dla zewnętrznych inżynierów automatyki bez indywidualnej rozliczalności i bez nagrywania sesji uprzywilejowanych.
  • Niezgodność mniejsza (NC3): Zbyt krótki okres retencji logów z bramy VPN i zapór sieciowych (7 dni zamiast wymaganego przez KSC okresu co najmniej 12 miesięcy).
• Krok 5 (Opracowanie architektury strefowej z bramą Industrial PAM):

  Zaprojektujcie nową architekturę dostępu zdalnego zgodną z modelem Purdue (Industrial Demilitarized Zone - iDMZ):

  • Wymuszenie sprzętowego MFA: Każdy inżynier i serwisant musi posiadać fizyczny klucz U2F/FIDO2 lub aplikację autoryzacyjną z kodem TOTP i potwierdzeniem push z powiązaniem kontekstowym (Number Matching).
  • Wdrożenie Serwera Skokowego (Jump Host / Industrial PAM) w strefie iDMZ: Brak bezpośredniej łączności do PLC; serwisant loguje się do serwera bastionowego, a cała sesja graficzna RDP/VNC jest w 100% rejestrowana i archiwizowana.
• Krok 6 (Opracowanie procedury dostępu serwisowego za zgodą dyspozytora):

  Sformułujcie procedurę "Dostęp Serwisowy na Żądanie": serwisant zewnętrzny nie może połączyć się z siecią w dowolnym momencie; dostęp jest otwierany na zdefiniowany czas (np. 2 godziny) przez Głównego Dyspozytora po formalnym zgłoszeniu awarii.

Prezentacja seminaryjna (10 minut) podczas laboratoriów:

• Bezpieczeństwo systemów przemysłowych OT w sektorze komunalnym (2 min): Różnice między priorytetami IT (poufność) a OT (dostępność i bezpieczeństwo fizyczne), status podmiotu kluczowego (Student 1).
• Ustalenia audytowe: Dostęp zdalny bez MFA i ryzyko ataku na sieć ciepłowniczą (3 min): Omówienie podatności bramy VPN, konta współdzielonego i braku strefy iDMZ (Student 2).
• Wymogi prawne Ustawy o KSC, dyrektywy NIS2 i odpowiedzialność zarządu (2 min): Kary finansowe do 20 mln euro lub 2% obrotu, obowiązek powiadamiania CSIRT MON/GOV/NASK (Student 3 lub Student 1).
• Koncepcja modelu iDMZ, MFA i serwera bastionowego Jump Host (2 min): Demonstracja schematu strefowego Purdue i procedury dostępu na żądanie (Student 2).
• Podsumowanie, analiza wad i zalet (1 min): Bilans kosztów wdrożenia mechanizmów PAM/MFA w zderzeniu z ryzykiem braku ogrzewania w środku zimy (cały zespół).

Raport składany na zaliczenie (4-6 stron A4):

A. Odpowiedzi na pytania problemowe i opis sytuacyjny:

• Dlaczego brak uwierzytelniania wieloskładnikowego (MFA) w dostępie zdalnym do sieci przemysłowej stanowi krytyczny wektor ataku typu ransomware w infrastrukturze krytycznej?
• W jaki sposób model strefowy Purdue i koncepcja przemysłowej strefy zdemilitaryzowanej (iDMZ) chronią sieć OT przed zagrożeniami pochodzącymi z sieci korporacyjnej IT lub Internetu?
• Jakie warunki organizacyjno-prawne musi spełnić przedsiębiorstwo energetyczne, aby umożliwić zewnętrznemu integratorowi oprogramowania bezpieczny zdalny serwis sterowników PLC?

B. Wzorcowe rozwiązanie problemu (Dokumentacja poaudytowa):

• Karta niezgodności KSC/ISO 27001: Zestawienie zidentyfikowanych uchybień z przypisaniem do artykułów Ustawy o KSC i kontroli ISO 27001 (A.8.5, A.8.20, A.8.22).
• Projekt techniczny "Bezpieczny Zdalny Dostęp do Sieci OT w MPEC Sp. z o.o.":
  • Warstwa uwierzytelniania: Integracja bramy dostępowej z centralnym systemem IAM wymuszającym MFA (certyfikaty klienta + klucz U2F/FIDO2).
  • Warstwa separacji sieciowej: Utworzenie strefy iDMZ odseparowanej podwójną zaporą ogniową od IT i właściwego OT.
  • Warstwa sesyjna (Privileged Access Management): Sesje serwisowe realizowane wyłącznie przez serwer bastionowy Jump Host w trybie proxy; izolacja protokołowa; nagrywanie sesji wideo; automatyczne rozłączanie po 15 minutach bezczynności.
• Regulamin zdalnego serwisu technicznego: Obowiązek każdorazowej autoryzacji sesji przez Dyżurnego Dyspozytora Mocy; zakaz przechowywania kopii programów PLC na komputerach domowych serwisantów.

C. Analiza zalet i wad proponowanego rozwiązania:

• Zalety: Całkowite wyeliminowanie ryzyka przejęcia sterowników przez skradzione hasło jednoskładnikowe; pełna zgodność z KSC, dyrektywą NIS2 i IEC 62443; rejestracja każdego polecenia wydawanego do sterowników PLC; ochrona ciągłości dostaw ciepła.
• Wady i ograniczenia: Wydłużenie procedury podłączania serwisu w sytuacjach awarii nocnych o kilka minut; koszt zakupu profesjonalnego rozwiązania PAM dla środowisk przemysłowych; konieczność wyposażenia zewnętrznych serwisantów w klucze sprzętowe FIDO2.

• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - A.5.15 (Zarządzanie tożsamością), A.5.16 (Uwierzytelnianie tożsamości), A.8.5 (Bezpieczne uwierzytelnianie), A.8.20 (Bezpieczeństwo sieci).
• Ustawa z dnia 5 lipca 2018 r. o Krajowym Systemie Cyberbezpieczeństwa (tekst jedn. Dz.U. z 2026 r. poz. 20, zm. Dz.U. z 2026 r. poz. 252) - obowiązki Podmiotów Kluczowych.
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii (Dyrektywa NIS2).
• Norma ISA/IEC 62443: Security for industrial automation and control systems (Części: 62443-2-1, 62443-3-3).
• NIST Special Publication 800-82 Rev. 3: Guide to Industrial Control Systems (ICS) Security, 2023.
• CSIRT NASK / CSIRT GOV: "Rekomendacje dotyczące bezpiecznego zdalnego dostępu i uwierzytelniania w sieciach OT", Warszawa 2023.

• U2 Student potrafi zdiagnozować brak MFA i zagrożenia zdalnego dostępu do sieci automatyki przemysłowej OT.
• U1 Student projektuje schemat bezpiecznego zdalnego dostępu z MFA i serwerem Jump Host w standardzie strefowym Purdue.
• U3 Student szacuje ryzyko cyberataku na infrastrukturę krytyczną i paraliżu dostaw energii.
• W1W3 Student zna obowiązki prawne podmiotów kluczowych wynikające z Ustawy o KSC i dyrektywy NIS2.
• K1K3 Student przejawia najwyższą odpowiedzialność za bezpieczeństwo systemów wpływających bezpośrednio na bezpieczeństwo publiczne.

Głównym celem zadania jest opanowanie przez studentów praktycznych umiejętności planowania, przeprowadzania i audytowania procesu okresowego przeglądu uprawnień użytkowników (ang. User Access Review - UAR / User Access Certification). Zadanie skupia się na identyfikacji i zwalczaniu powszechnego w korporacjach zjawiska niekontrolowanej akumulacji uprawnień (ang. Privilege Creep), wynikającego z awansów, zmian działów lub udziału w projektach tymczasowych bez odbierania uprawnień historycznych. Studenci uczą się weryfikować rzetelność kampanii atestacji uprawnień w systemach klasy ERP (np. SAP ERP) oraz eliminować patologię tzw. bezrefleksyjnego zatwierdzania (Rubber Stamping) przez kadrę menedżerską.

Powiązanie z sylabusem i treściami programowymi:

• U2 Identyfikacja kont o nadmiernych uprawnieniach, ról historycznych oraz dowodów na pozorne zatwierdzanie przeglądów dostępu.
• U1 Opracowanie procedury okresowej atestacji uprawnień z wymogiem uzasadnienia biznesowego oraz matrycy recertyfikacji.
• U3 Szacowanie ryzyka nadużyć gospodarczych, wycieku danych finansowych klientów korporacyjnych oraz niespełnienia wymogów audytu zewnętrznego (np. SOX, ISAE 3402).
• U4 Opracowanie referatu seminaryjnego i raportu z audytu IAM dla Dyrektora Zarządzającego Centrum Usług Wspólnych i Audytu Wewnętrznego.
• W1 Znajomość wymagań dotyczących ochrony tajemnicy przedsiębiorstwa, danych osobowych i poufnych danych finansowych spółek grupy kapitałowej.
• W2W3 Zrozumienie normy ISO/IEC 27001 (kontrola A.5.18 Prawa dostępu - przegląd uprawnień) oraz standardów atestacyjnych ISAE 3402 / SOC 1 Type II.
• K1K2K3 Kształtowanie dociekliwości analitycznej, umiejętności konfrontowania deklaracji menedżerów z logami systemowymi oraz odporności na zjawisko pozorowania kontroli.
• Powiązanie z wykładem: Wyk2 (Zasady audytowania dowodów), Wyk3 (Kontrole zarządcze ISO 27001), Wyk5 (Risk-based approach w środowiskach ERP), Wyk6 (Sampling kont pracowniczych i analiza uprawnień).

Centrum Usług Wspólnych (Shared Services Center - SSC) międzynarodowej grupy kapitałowej zlokalizowane w Polsce zatrudnia 450 specjalistów. Centrum świadczy scentralizowane usługi księgowe, kadrowo-płacowe, zakupowe (Procure-to-Pay) oraz zarządzania należnościami (Order-to-Cash) dla 12 spółek zależnych w Europie Środkowo-Wschodniej. W organizacji panuje wysoka dynamika zmian stanowiskowych: pracownicy często awansują, przechodzą między zespołami obsługującymi różne kraje lub są delegowani do tymczasowych projektów wdrożeniowych.

Stan faktyczny w obszarze okresowych przeglądów uprawnień:

• Kluczowym systemem przetwarzania operacji gospodarczych jest system SAP S/4HANA.
• Zgodnie z procedurą wewnętrzną raz w roku Zespół IT Security generuje z SAP wykaz uprawnień użytkowników w pliku arkusza kalkulacyjnego i przesyła go do 25 menedżerów liniowych z prośbą o potwierdzenie, czy pracownicy nadal potrzebują przypisanych ról transakcyjnych.
• Audytorzy poddali badaniu dokumentację z ostatniej kampanii UAR: stwierdzono, że wszyscy 25 menedżerowie odesłali arkusze zatwierdzone w 100% bez zgłoszenia ani jednej modyfikacji, przy czym średni czas od odebrania e-maila do jego odesłania z akceptacją wyniósł zaledwie 8 minut na arkusz zawierający kilkaset pozycji (klasyczny symptom tzw. Rubber Stampingu).
• W celu weryfikacji rzetelności przeglądu audytorzy pobrali próbkę 30 pracowników o stażu pracy powyżej 3 lat, którzy w tym okresie zmieniali działy lub awansowali.
• Wyniki analizy próbki okazały się druzgocące: u 26 z 30 pracowników wykryto zjawisko kumulacji uprawnień (Privilege Creep). Przykładowo, pracownica, która rozpoczynała pracę w Dziale Płatności (Payment Team), następnie przeszła do Działu Księgi Głównej (General Ledger), a obecnie jest Starszym Analitykiem w Dziale Kontrolingu, nadal posiadała aktywne role transakcyjne ze wszystkich swoich poprzednich stanowisk (łącznie 42 role w SAP, w tym prawo do zlecania płatności, wprowadzania faktur korygujących i zamykania okresów obrachunkowych).
• Pracownicy ci posiadali techniczne możliwości samodzielnego przeprowadzenia pełnego łańcucha operacji gospodarczych bez wiedzy i zgody swoich obecnych przełożonych.

Komitet Audytu Grupy Kapitałowej, zaniepokojony ryzykiem nieuzyskania certyfikacji ISAE 3402 niezbędnej dla klientów korporacyjnych, zarządza audyt procesu UAR.

Audyt polega na weryfikacji procesu recertyfikacji oraz szczegółowej analizie próbki ról użytkowników:

• Krok 1 (Podział ról w zespole audytowym):

  Student 1 (Audytor Wiodący / Analityk Procesów Korporacyjnych): Bada procedury kontroli wewnętrznej, regulamin kampanii UAR, strukturę organizacyjną SSC oraz koordynuje przygotowanie referatu.

  Student 2 (Audytor Techniczny IAM / Bezpieczeństwa ERP): Dokonuje analizy ról użytkowników w SAP (tabela AGR_USERS, USR02), weryfikuje historię zmian uprawnień, bada logi użycia transakcji (transakcja ST03N / SM20) oraz projektuje techniczne mechanizmy wsparcia recertyfikacji.

  Student 3 (Audytor Zgodności ze Standardami ISAE 3402 i ISO 27001): Analizuje spełnienie wymagań kontroli ISO 27001 A.5.18 oraz standardów kontroli wewnętrznej SOC 1 / SOX; sporządza kartę niezgodności i ryzyk finansowych.

• Krok 2 (Analiza zjawiska Rubber Stampingu):

  Przeanalizujcie dowody z ostatniej kampanii UAR (wymianę korespondencji e-mail, znaczniki czasu akceptacji arkuszy kalkulacyjnych). Wykażcie, że menedżerowie fizycznie nie byli w stanie rzetelnie przeanalizować ról swoich podwładnych w czasie, w jakim odesłali odpowiedzi.

• Krok 3 (Badanie próbki użytkowników pod kątem Privilege Creep):

  Zestawcie dla wybranej próbki 30 pracowników historię zatrudnienia (z systemu kadrowego) z aktualnie przypisanymi rolami SAP. Porównajcie listę ról z faktycznie wykonywanymi transakcjami w ciągu ostatnich 6 miesięcy (analiza logów użycia - wykażcie, ile ról jest "martwych", ale nadal aktywnych).

• Krok 4 (Klasyfikacja niezgodności):

  Sformułujcie ustalenia audytowe:

  • Niezgodność krytyczna (NC1): Fikcyjny proces okresowego przeglądu uprawnień (Rubber Stamping) skutkujący masową kumulacją uprawnień transakcyjnych u 86% badanych pracowników po transferach wewnętrznych (naruszenie kontroli ISO 27001 A.5.18 oraz standardu ISAE 3402).
  • Niezgodność większa (NC2): Brak procedury automatycznego odbierania dotychczasowych ról aplikacyjnych przy zmianie stanowiska pracownika w systemie HR (brak czyszczenia profilu przy transferze).
  • Niezgodność mniejsza (NC3): Prowadzenie kampanii UAR za pomocą nieczytelnych arkuszy kalkulacyjnych z technicznymi kodami ról SAP (np. Z_FI_AP_INVOICE_POST), co uniemożliwia menedżerom biznesowym zrozumienie faktycznych uprawnień podwładnych.
• Krok 5 (Opracowanie nowoczesnej procedury UAR):

  Zaprojektujcie zreformowany proces przeglądu uprawnień: wprowadzenie kwartalnych mikrokampanii UAR, przetłumaczenie kodów technicznych na role biznesowe (Business Friendly Names), wymuszenie w procedurze konieczności zaznaczenia opcji "Potwierdzam" lub "Odbieram" przy każdym uprawnieniu z osobna (zakaz opcji "Zatwierdź wszystko").

• Krok 6 (Opracowanie zasady czyszczenia uprawnień przy transferze):

  Sformułujcie procedurę "Zero-Based Transfer": przy przejściu pracownika do nowego zespołu wszystkie jego dotychczasowe uprawnienia są automatycznie wygaszane w dniu transferu, a nowy menedżer musi zawnioskować od zera wyłącznie o uprawnienia niezbędne na nowym stanowisku.

Prezentacja seminaryjna (10 minut) na forum laboratorium:

• Rola i wyzwania kontroli dostępu w centrach usług wspólnych SSC/BPO (2 min): Skala operacji, dynamika rotacji kadr i presja na ciągłość rozliczeń finansowych (Student 1).
• Zjawisko Privilege Creep i anatomia Rubber Stampingu (3 min): Przedstawienie dowodów audytowych z SAP, analiza próbki 30 pracowników i przyczyn pozorowania kontroli przez menedżerów (Student 2).
• Konsekwencje biznesowe i utrata certyfikacji ISAE 3402 (2 min): Ryzyko nadużyć finansowych (fraudów), odpowiedzialność prawna i koszty powtórnych audytów zewnętrznych (Student 3 lub Student 1).
• Nowy model UAR: Automatyzacja, Business Roles i reguła Zero-Based Transfer (2 min): Demonstracja zreformowanego przepływu recertyfikacji i eliminacji ról technicznych (Student 2).
• Podsumowanie, analiza wad i zalet (1 min): Dyskusja na temat obciążenia menedżerów nowymi obowiązkami w konfrontacji z realnym bezpieczeństwem spółki (cały zespół).

Raport składany na zaliczenie (4-6 stron A4):

A. Odpowiedzi na pytania problemowe i opis sytuacyjny:

• Na czym polega zjawisko "akumulacji uprawnień" (Privilege Creep) i w jaki sposób prowadzi ono do całkowitej utraty kontroli nad dostępem do systemów finansowych?
• Czym charakteryzuje się patologia tzw. "Rubber Stampingu" w procesie przeglądu uprawnień i jakie mechanizmy systemowe pozwalają jej skutecznie zapobiegać?
• Dlaczego prezentowanie menedżerom technicznym kodów ról systemowych zamiast opisów ról biznesowych gwarantuje niepowodzenie kampanii recertyfikacji dostępu?

B. Wzorcowe rozwiązanie problemu (Dokumentacja procedury UAR):

• Karta ustaleń audytowych: Tabela zestawiająca wyniki analizy próbki 30 pracowników, ich stanowiska, liczbę przypisanych ról oraz liczbę ról nieużywanych od ponad 180 dni.
• Projekt procedury "Okresowy Przegląd i Recertyfikacja Uprawnień w Centrum Usług Wspólnych":
  • Harmonogram: Przeglądy kwartalne dla ról krytycznych i finansowych; przeglądy półroczne dla pozostałych użytkowników.
  • Warstwa prezentacji: Agregacja ról SAP w czytelne profile biznesowe (np. "Księgowy Faktur Zakupowych PL").
  • Wymóg atestacji pozytywnej: Menedżer musi dokonać wyboru dla każdego uprawnienia z osobna; brak reakcji w ciągu 14 dni skutkuje automatycznym zawieszeniem niepotwierdzonych uprawnień (tzw. Default Deny).
  • Zasada Zero-Based Transfer: Zmiana kodu stanowiska w systemie kadrowym powoduje automatyczne odebranie uprawnień z poprzedniego działu z końcem miesiąca.
• Wytyczne wdrożenia narzędzia klasy IGA (Identity Governance and Administration) automatyzującego proces recertyfikacji.

C. Analiza zalet i wad proponowanego rozwiązania:

• Zalety: Całkowita likwidacja niepotrzebnych uprawnień historycznych; realna kontrola menedżerów nad dostępem; 100% zgodność z wymogami audytu ISAE 3402 i ISO 27001; transparentność ról w ERP.
• Wady i ograniczenia: Czasochłonność pierwszej kampanii czyszczenia uprawnień (wymaga zaangażowania kadry kierowniczej); konieczność zmapowania setek ról technicznych na profile biznesowe; ewentualny opór pracowników tracących szerokie uprawnienia.

• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - A.5.15 (Zarządzanie tożsamością), A.5.18 (Prawa dostępu do informacji i innych powiązanych aktywów - przegląd uprawnień dostępu).
• Standard ISAE 3402 (International Standard on Assurance Engagements): Assurance Reports on Controls at a Service Organization.
• AICPA: SOC 1 Type II (Service Organization Control) - kryteria kontroli dostępu logicznego.
• Ustawa z dnia 29 września 1994 r. o rachunkowości (Dz.U. z 2023 r. poz. 120 z późn. zm.) - rzetelność i bezbłędność ksiąg rachunkowych.
• ISACA: User Access Review Best Practices and Audit Program, 2022.
• SAP SE: Security and Authorizations in SAP S/4HANA - Guidelines for Access Governance, Walldorf 2023.

• U2 Student wykrywa zjawisko akumulacji uprawnień (privilege creep) oraz dowody na pozorne zatwierdzanie przeglądów (rubber stamping).
• U1 Student projektuje proces okresowej recertyfikacji dostępu zorientowany na role biznesowe i zasadę Zero-Based Transfer.
• U3 Student szacuje ryzyka gospodarcze i utraty atestacji ISAE 3402 wynikające z braku kontroli uprawnień w ERP.
• W1W2 Student zna wymagania normy ISO 27001 (A.5.18) oraz standardów atestacyjnych dla centrów usług wspólnych.
• K1K2 Student wykazuje krytycyzm wobec formalnych deklaracji kierownictwa i weryfikuje je na podstawie twardych danych systemowych.

Głównym celem zadania jest opanowanie przez studentów umiejętności badania i audytowania zarządzania tożsamościami nieosobowymi (ang. Non-Human Identities - NHI), ze szczególnym uwzględnieniem kont serwisowych (Service Accounts), zadań wsadowych (Batch Jobs), kont integracyjnych API oraz robotów programowych (Robotic Process Automation - RPA). Zadanie koncentruje się na wykrywaniu powszechnych zagrożeń: przypisywaniu kontom technicznym stałych uprawnień domenowych administratora (Domain Admins), stosowaniu haseł bezterminowych (PasswordNeverExpires), zapisywaniu poświadczeń jawnym tekstem w skryptach i plikach konfiguracyjnych, braku przypisanych właścicieli kont oraz podatności na zaawansowane techniki kradzieży poświadczeń (np. ataki typu Kerberoasting).

Powiązanie z sylabusem i treściami programowymi:

• U2 Identyfikacja kont technicznych o nadmiernych uprawnieniach domenowych, kont osieroconych oraz braku rotacji haseł serwisowych.
• U1 Opracowanie rejestru tożsamości nieosobowych, procedury bezpiecznego zarządzania kontami usługowymi oraz koncepcji migracji do kont gMSA.
• U3 Szacowanie ryzyka przejęcia kontroli nad całą domeną korporacyjną poprzez kompromitację jednego konta serwisowego.
• U4 Opracowanie referatu seminaryjnego i technicznego raportu poaudytowego dla Głównego Informatyka i Inspektora Bezpieczeństwa Informacji.
• W1 Znajomość przepisów Ustawy o działalności ubezpieczeniowej i reasekuracyjnej oraz wytycznych KNF w zakresie bezpieczeństwa teleinformatycznego.
• W2W3 Zrozumienie normy ISO/IEC 27001 (kontrole A.5.15 Zarządzanie tożsamością, A.8.5 Bezpieczne uwierzytelnianie, A.8.9 Zarządzanie konfiguracją) oraz NIST SP 800-63B.
• K1K2K3 Kształtowanie odpowiedzialności technicznej, precyzji w badaniu złożonych środowisk katalogowych oraz etycznej postawy przy wykrywaniu krytycznych podatności.
• Powiązanie z wykładem: Wyk1 (Audyt infrastruktury teleinformatycznej), Wyk3 (Kontrole techniczne ISO 27001), Wyk5 (Risk-based audit w Active Directory), Wyk6 (Analiza logów Kerberos i ekstrakcja danych z AD).

Towarzystwo Ubezpieczeń Wzajemnych (TUW) obsługuje 120 000 polis komunikacyjnych, majątkowych i rolniczych. Centralny system ubezpieczeniowy współpracuje z wieloma aplikacjami pomocniczymi: systemem likwidacji szkód, bazą Ubezpieczeniowego Funduszu Gwarancyjnego (UFG), bankami oraz systemem obiegu dokumentów. Aby przyspieszyć przetwarzanie wniosków i kalkulację składek, w spółce wdrożono 15 robotów programowych klasy RPA (oprogramowanie UiPath).

Stan faktyczny w obszarze zarządzania kontami serwisowymi w Active Directory:

• W domenie korporacyjnej funkcjonuje 65 kont użytkowników sklasyfikowanych jako konta techniczne, systemowe i serwisowe (np. "svc_backup", "svc_sql", "rpa_szkody", "api_ufg", "skrypt_czyszczacy").
• Konta te były tworzone ad-hoc przez różnych administratorów i programistów na przestrzeni ostatnich 8 lat. W organizacji nie istnieje żaden centralny rejestr kont serwisowych - nikt w dziale IT nie jest w stanie wskazać, kto odpowiada za poszczególne konta ani jakie procesy biznesowe są przez nie realizowane.
• Audyt techniczny wykazał, że wszystkie 65 kont posiada zaznaczony w Active Directory atrybut "PasswordNeverExpires" (hasło nigdy nie wygasa). Średni wiek hasła dla tych kont wynosi 1 450 dni (prawie 4 lata bez zmiany poświadczeń).
• Aż 14 kont serwisowych (w tym konta botów RPA oraz konta integracji z drukarkami sieciowymi) ma przypisane nadrzędne członkostwo w grupie "Domain Admins". Administratorzy tłumaczyli to faktem, że "z mniejszymi uprawnieniami skrypty i roboty zgłaszały błędy dostępu, więc dla świętego spokoju dano im prawa administratora domeny".
• Analiza stacji roboczych i serwerów aplikacyjnych wykazała, że hasła do tych kont serwisowych są zaszyte otwartym tekstem (Plain Text) w plikach konfiguracyjnych XML, skryptach PowerShell (.ps1) oraz plikach wsadowych (.bat) leżących na ogólnodostępnych zasobach sieciowych.
• Ponadto 18 kont posiada zarejestrowane nazwy główne usług (Service Principal Names - SPN) z użyciem słabego algorytmu szyfrowania RC4, co czyni środowisko skrajnie podatnym na automatyczny atak typu Kerberoasting (pobranie biletu Kerberos TGS z pamięci i złamanie hasła konta serwisowego metodą offline brute-force).

Zarząd Towarzystwa Ubezpieczeń, po otrzymaniu zaleceń poinspekcyjnych z Urzędu Komisji Nadzoru Finansowego dotyczących ochrony systemów przetwarzania polis, zleca audytorom pilną kontrolę kont serwisowych i tożsamości RPA.

Audyt wymaga przeprowadzenia dogłębnej inspekcji obiektów Active Directory oraz analizy konfiguracji usług:

• Krok 1 (Podział ról w zespole audytowym):

  Student 1 (Audytor Wiodący / Analityk Bezpieczeństwa IT): Bada polityki haseł w organizacji, regulacje dotyczące tożsamości nieludzkich (NHI), procedury ciągłości działania oraz koordynuje wystąpienie seminaryjne.

  Student 2 (Audytor Techniczny IAM / Bezpieczeństwa Active Directory): Dokonuje ekstrakcji danych z Active Directory za pomocą modułu ActiveDirectory w PowerShell (skanowanie kont z PasswordNeverExpires, filtrowanie członków Domain Admins, analiza SPN pod kątem podatności na Kerberoasting).

  Student 3 (Audytor Zgodności z Wytycznymi KNF i RODO): Weryfikuje spełnienie wymagań Wytycznych KNF dotyczących zarządzania obszarami IT w zakładach ubezpieczeń oraz normy ISO 27001; sporządza zestawienie ryzyk przejęcia infrastruktury.

• Krok 2 (Ekstrakcja i identyfikacja kont serwisowych):

  Uruchomcie kwerendę badawczą w Active Directory wyszukującą konta spełniające kryteria: PasswordNeverExpires = True, AdminCount = 1 oraz ServicePrincipalNames NOT NULL. Zestawcie liczbę zidentyfikowanych kont z oficjalną wiedzą administratorów.

• Krok 3 (Weryfikacja skryptów i konfiguracji botów RPA):

  Przeanalizujcie próbkę 10 plików konfiguracyjnych robotów RPA i skryptów harmonogramu zadań (Task Scheduler). Sprawdźcie, czy poświadczenia są zapisane w postaci jawnej, czy wykorzystywany jest mechanizm Windows Credential Manager lub dedykowany sejf tożsamości (CyberArk / HashiCorp Vault / UiPath Orchestrator Assets).

• Krok 4 (Klasyfikacja niezgodności):

  Sformułujcie ustalenia audytowe:

  • Niezgodność krytyczna (NC1): Nadanie 14 kontom serwisowym i botom RPA uprawnień Domain Admins oraz brak rotacji haseł od 4 lat, co umożliwia całkowite przejęcie kontroli nad domeną ubezpieczeniową w przypadku kompromitacji pojedynczego skryptu (ISO 27001 A.8.2, A.8.5, wytyczne KNF).
  • Niezgodność większa (NC2): Przechowywanie haseł do kont serwisowych otwartym tekstem w ogólnodostępnych plikach konfiguracyjnych i skryptach automatyzacji.
  • Niezgodność mniejsza (NC3): Brak centralnego rejestru tożsamości nieosobowych (NHI) i brak przypisania imiennych właścicieli biznesowo-technicznych do kont usługowych.
• Krok 5 (Opracowanie strategii wdrożenia kont gMSA):

  Zaprojektujcie migrację ze zwykłych kont użytkowników na zarządzane konta usługowe grupy (Group Managed Service Accounts - gMSA):

  • Automatyczne zarządzanie hasłem: System Windows automatycznie generuje 128-znakowe, skomplikowane hasło i rotuje je bezobsługowo co 30 dni.
  • Eliminacja poświadczeń w skryptach: Aplikacje i boty korzystają z tożsamości gMSA bez konieczności znajomości hasła przez człowieka.
• Krok 6 (Opracowanie procedury zarządzania tożsamościami nieosobowymi):

  Sformułujcie procedurę rejestracji każdego nowego konta serwisowego: obowiązek wskazania właściciela, celu biznesowego, systemów docelowych oraz corocznej recertyfikacji konieczności istnienia konta.

Wystąpienie seminaryjne (10 minut) podczas laboratoriów:

• Wprowadzenie: Tożsamości nieosobowe (NHI) jako "cichy zabójca" bezpieczeństwa IT (2 min): Eksplozja liczby kont serwisowych, API i botów RPA w nowoczesnych przedsiębiorstwach (Student 1).
• Wyniki audytu kont serwisowych w TUW: Porażające fakty z Active Directory (3 min): Przedstawienie skali kont w Domain Admins, braku rotacji haseł, podatności Kerberoasting i haseł w skryptach (Student 2).
• Wymogi nadzorcze KNF i ryzyka dla działalności ubezpieczeniowej (2 min): Odpowiedzialność za poufność danych ubezpieczonych, ryzyka ransomware i wytyczne KNF (Student 3 lub Student 1).
• Architektura naprawcza: Konta gMSA, sejf haseł i rejestr tożsamości (2 min): Prezentacja technologii gMSA, bezpiecznego wstrzykiwania poświadczeń i likwidacji kont statycznych (Student 2).
• Podsumowanie, analiza wad i zalet (1 min): Bilans nakładów pracy inżynierskiej przy migracji kont serwisowych w zderzeniu z radykalnym podniesieniem poziomu cyberbezpieczeństwa (cały zespół).

Raport seminaryjny (4-6 stron A4) musi zawierać:

A. Odpowiedzi na pytania problemowe i opis sytuacyjny:

• Czym różnią się tożsamości nieludzkie (Non-Human Identities) od kont użytkowników osobowych i dlaczego ich audyt jest często zaniedbywany w organizacjach?
• W jaki sposób atakujący może wykorzystać konto serwisowe z uprawnieniami Domain Admins i zarejestrowaną nazwą SPN do natychmiastowego przejęcia kontroli nad całą siecią korporacyjną (atak Kerberoasting)?
• Jak technologia zarządzanych kont usługowych grupy (gMSA) w środowisku Windows Server eliminuje problem haseł zapisywanych otwartym tekstem w skryptach?

B. Wzorcowe rozwiązanie problemu (Dokumentacja techniczno-organizacyjna):

• Karta ustaleń audytowych: Rejestr 65 zidentyfikowanych kont serwisowych z oznaczeniem poziomu uprawnień, wieku hasła i ryzyk technicznych.
• Wzorcowy "Rejestr Tożsamości Nieosobowych (NHI Registry)":
  • Pola obowiązkowe: Nazwa konta, Typ (gMSA / Standard / API / RPA), Właściciel techniczny, Właściciel biznesowy, Serwery na których jest używane, Wymagane uprawnienia minimalne (odebranie z Domain Admins), Data utworzenia, Data przeglądu.
• Plan migracji do Group Managed Service Accounts (gMSA):
  • Krok 1: Wdrożenie infrastruktury klucza KDS w domenie Active Directory.
  • Krok 2: Zastąpienie kont statycznych obiektami gMSA dla usług bazodanowych SQL i zadań harmonogramu.
  • Krok 3: Wdrożenie bezpiecznego sejfu w orkiestratorze RPA (UiPath Orchestrator Credential Store) z szyfrowaniem AES-256 dla botów operacyjnych.
  • Krok 4: Wdrożenie monitoringu zdarzeń logowania kont serwisowych (Event ID 4624 z typem logowania Service - Logon Type 5).
• Procedura zarządzania tożsamościami serwisowymi: Zakaz tworzenia kont bezterminowych; bezwzględny zakaz nadawania praw Domain Admins kontom aplikacyjnym.

C. Analiza zalet i wad proponowanego rozwiązania:

• Zalety: Wyeliminowanie 14 administratorów domeny z kont automatycznych; automatyczna rotacja haseł co 30 dni; likwidacja haseł z plików tekstowych; uodpornienie na ataki Kerberoasting; pełna zgodność z KNF i ISO 27001.
• Wady i ograniczenia: Trudność w migracji starszych aplikacji nieobsługujących kont gMSA; konieczność drobiazgowego przetestowania wszystkich procesów biznesowych i botów RPA po zmianie uprawnień, aby zapobiec przerwom w obsłudze polis.

• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - A.5.15 (Zarządzanie tożsamością), A.8.2 (Prawa dostępu uprzywilejowanego), A.8.5 (Bezpieczne uwierzytelnianie), A.8.9 (Zarządzanie konfiguracją).
• Komisja Nadzoru Finansowego: Wytyczne dotyczące zarządzania obszarami technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego w zakładach ubezpieczeń i zakładach reasekuracji (Wytyczna 11 i 12), Warszawa.
• Ustawa z dnia 11 września 2015 r. o działalności ubezpieczeniowej i reasekuracyjnej (Dz.U. z 2023 r. poz. 656 z późn. zm.).
• Microsoft Corporation: "Group Managed Service Accounts Overview and Security Planning", Microsoft Learn 2023.
• MITRE ATT&CK Framework: Technika T1558.003 (Steal or Forge Kerberos Tickets: Kerberoasting) oraz T1078.002 (Valid Accounts: Domain Accounts).
• CSIRT NASK: "Zarządzanie poświadczeniami i bezpieczeństwo tożsamości technicznych w Active Directory", Warszawa 2023.

• U2 Student potrafi wykryć nadmiarowe uprawnienia kont serwisowych, brak rotacji haseł oraz podatności Kerberoasting.
• U1 Student projektuje rejestr tożsamości nieosobowych oraz plan migracji usług na konta gMSA.
• U3 Student szacuje ryzyko kompromitacji całej domeny Active Directory poprzez poświadczenia zaszyte w skryptach i botach RPA.
• W1W2 Student zna wytyczne KNF dla sektora ubezpieczeń oraz standardy bezpieczeństwa tożsamości technicznych.
• K1K3 Student przejawia dociekliwość techniczną i etyczną odpowiedzialność przy badaniu krytycznych poświadczeń infrastruktury.