Laboratorium 5

Głównym celem zadania jest opanowanie przez studentów praktycznych umiejętności przeprowadzenia audytu systemu tworzenia kopii zapasowych oraz procedur Disaster Recovery Plan (DRP) w podmiocie leczniczym ze szczególnym uwzględnieniem odporności na złośliwe oprogramowanie szyfrujące (ransomware). Zadanie koncentruje się na zidentyfikowaniu rażących luk w architekturze backupu szpitalnego (współdzielenie domeny z produkcją, brak izolacji logicznej i fizycznej kopii zapasowych, brak niezmienności - immutability), braku weryfikacji integralności danych oraz braku jakichkolwiek próbnych odtworzeń (restore tests) dla krytycznych systemów ratujących życie ludzkie.

Powiązanie z sylabusem i treściami programowymi:

• U2 Identyfikacja niezgodności (NC1/NC2/NC3), braków odporności kopii na zniszczenie oraz braku weryfikacji integralności w systemach kopii zapasowych placówki ochrony zdrowia.
• U1 Opracowanie założeń planu DRP, harmonogramu cyklicznych testów restore w odizolowanym środowisku oraz koncepcji bezpiecznej architektury kopii zapasowych.
• U3 Przeprowadzenie analizy ryzyka paraliżu szpitala, wstrzymania operacji i zgonów pacjentów w wyniku zablokowania danych przez atak ransomware z uwzględnieniem wskaźników RTO i RPO.
• U4 Opracowanie pisemnego referatu oraz ustrukturyzowanego raportu z audytu backupu dla Dyrekcji Szpitala i Inspektora Ochrony Danych.
• W1 Znajomość wymogów prawnych dotyczących ochrony danych medycznych i obowiązku zapewnienia ich stałej dostępności (art. 32 ust. 1 lit. b i c RODO).
• W2W3 Zrozumienie normy PN-EN ISO/IEC 27001:2022 (kontrole A.8.13 Tworzenie kopii zapasowych, A.5.29 i A.5.30 Ciągłość działania ICT), standardów Centrum e-Zdrowia (CeZ) oraz wymagań Krajowych Ram Interoperacyjności (par. 20 KRI).
• K1K2K3 Kształtowanie poczucia odpowiedzialności za ciągłość ratowania życia ludzkiego, bezstronności w ocenie zaniedbań informatycznych i rzetelności zawodowej.
• Powiązanie z wykładem: Wyk1 (Rola audytu w ochronie aktywów krytycznych), Wyk3 (Kontrole A.8.13 i A.5.30 ISO 27001), Wyk4 (RODO i KRI w sektorze ochrony zdrowia), Wyk6 (Metodyka badania logów i dowodów wykonania kopii).

Szpital Powiatowy w Starachowicach (SPZOZ) jest wielospecjalistycznym ośrodkiem leczniczym posiadającym 350 łóżek, Szpitalny Oddział Ratunkowy (SOR), 12 oddziałów łóżkowych, blok operacyjny z 6 salami oraz zakład diagnostyki obrazowej (rezonans, tomograf komputerowy, RTG). W szpitalu hospitalizowanych jest rocznie ponad 18 tysięcy pacjentów.

Stan faktyczny w obszarze tworzenia kopii zapasowych i odtwarzania awaryjnego:

• Kluczowymi systemami IT są: Szpitalny System Informacyjny (HIS - bazy danych Oracle/MSSQL przechowujące historie chorób, zlecenia leków, wpisy pielęgniarskie i wyniki badań) oraz system archiwizacji obrazów medycznych PACS (około 25 TB badań obrazowych DICOM).
• Kopie zapasowe wykonywane są automatycznie za pomocą oprogramowania backupowego zainstalowanego na serwerze fizycznym pracującym pod kontrolą systemu Windows Server. Oprogramowanie wykonuje codzienny backup przyrostowy oraz pełny backup w nocy z soboty na niedzielę.
• Dane kopiowane są na macierz dyskową NAS podłączoną za pośrednictwem standardowego protokołu sieciowego SMB/CIFS. Zarówno serwer backupu, jak i magazyn NAS są przyłączone do głównej produkcyjnej domeny Active Directory (domena "szpital.local").
• Do zarządzania serwerem backupu informatycy szpitalni używają tego samego konta "Administrator Domeny", którym logują się na stacje robocze personelu administracyjnego. Udział sieciowy na macierzy NAS posiada uprawnienia zapisu dla grupy "Domain Admins".
• W trakcie wywiadu z kierownikiem Działu IT audytorzy ustalili, że w szpitalu NIGDY nie przeprowadzono pełnego próbnego odtworzenia baz danych HIS ani archiwum PACS na środowisku zapasowym. Kierownik wyjaśnił to brakiem zapasowego sprzętu, brakiem czasu oraz przekonaniem, że "skoro zielone ikonki w oprogramowaniu backupu pokazują status Success, to kopia na pewno działa".
• Szczegółowa analiza logów systemowych z ostatnich 60 dni ujawniła, że w 14 przypadkach zadania backupu zakończyły się ostrzeżeniem "VSS snapshot freeze failed" (błąd kopiowania w tle), co oznacza, że zrzucone pliki baz danych Oracle były w stanie niespójnym i nie nadawały się do bezpośredniego uruchomienia.
• W szpitalu brak jest formalnego dokumentu Disaster Recovery Plan (DRP). Parametry RTO (maksymalny akceptowalny czas niedostępności) oraz RPO (maksymalna akceptowalna utrata danych) nigdy nie zostały zdefiniowane w porozumieniu z ordynatorami oddziałów ratunkowych i zabiegowych. W razie nagłego braku dostępu do HIS personel medyczny nie posiada procedur powrotu do papierowego obiegu zleceń leków i kart znieczuleń.

Dyrektor Szpitala, zaalarmowany serią głośnych ataków ransomware na polskie szpitale powiatowe, w wyniku których doszło do zablokowania pracowni diagnostycznych i konieczności ewakuacji pacjentów, zleca zespołowi audytorów pilną weryfikację gotowości szpitala do odtworzenia danych po katastrofie teleinformatycznej.

Praca w zespole 2-3 osobowym polega na wszechstronnym zbadaniu architektury backupu szpitalnego, weryfikacji podatności na złośliwe oprogramowanie oraz opracowaniu wytycznych do DRP:

• Krok 1 (Podział ról w zespole audytowym):

  Student 1 (Audytor Wiodący / Koordynator Zespołu): Odpowiada za analizę formalną procedur DRP i polityk bezpieczeństwa szpitala, przeprowadzenie wywiadów z kierownictwem i ordynatorem SOR, ocenę organizacyjnej gotowości personelu medycznego do pracy awaryjnej oraz koordynację wystąpienia referatowego.

  Student 2 (Audytor Techniczny ds. Systemów Backupowych): Bada techniczną architekturę repozytoriów kopii, konfigurację serwera backupu, uprawnienia w Active Directory, logi błędów usługi VSS, analizuje podatność zasobu SMB na ransomware oraz projektuje wdrożenie repozytorium z niezmiennymi kopiami (Immutability).

  Student 3 (Audytor Zgodności Prawnej i Analizy Ryzyka Medycznego): Weryfikuje spełnienie wymagań art. 32 RODO, normy ISO 27001 (kontrola A.8.13), wytycznych Centrum e-Zdrowia (CeZ) dla systemów HIS/PACS, oblicza wskaźniki RTO i RPO oraz sporządza kartę niezgodności. W zespole dwuosobowym obowiązki te dzielą Studenci 1 i 2.

• Krok 2 (Inwentaryzacja zasobów i badanie konfiguracji sieciowej):

  Zbadajcie schemat połączeń serwerów bazy danych HIS, PACS, serwera backupu oraz macierzy NAS. Zidentyfikujcie punkty styku z domeną Active Directory. Zwróćcie uwagę na fakt, że umieszczenie serwera backupu w tej samej domenie co stacje robocze umożliwia ransomware (po zainfekowaniu stacji pielęgniarki i eskalacji uprawnień domenowych) jednoczesne zaszyfrowanie bazy produkcyjnej i usunięcie wszystkich plików kopii na macierzy NAS.

• Krok 3 (Weryfikacja logów i stanu spójności kopii zapasowych):

  Przeanalizujcie raporty oprogramowania backupowego z ostatnich 3 miesięcy. Wyodrębnijcie zadania zakończone ostrzeżeniami (Warnings) i błędami (Errors). Sprawdźcie, czy oprogramowanie korzysta z dedykowanych wtyczek bazodanowych (Oracle RMAN, VSS Writer dla SQL), gwarantujących spójność transakcyjną kopii (tzw. Application-Aware Processing).

• Krok 4 (Klasyfikacja niezgodności):

  Sformułujcie ustalenia audytowe i zaklasyfikujcie luki:

  • Niezgodność krytyczna (NC1): Brak logicznej i fizycznej izolacji repozytorium kopii zapasowych od produkcyjnej domeny Active Directory oraz brak mechanizmu niezmienności danych (WORM/Immutability), co stwarza bezpośrednie zagrożenie całkowitego zniszczenia kopii przez atak ransomware (rażące naruszenie art. 32 ust. 1 lit. c RODO oraz par. 20 ust. 2 pkt 11 KRI).
  • Niezgodność większa (NC2): Całkowity brak przeprowadzania cyklicznych testów odzyskiwania danych (restore tests) oraz brak zatwierdzonego planu DRP ze zdefiniowanymi parametrami RTO i RPO (naruszenie kontroli ISO/IEC 27001:2022 A.8.13 oraz A.5.30).
  • Niezgodność mniejsza (NC3): Brak automatycznego systemu powiadamiania administratorów o błędach spójności VSS i ignorowanie ostrzeżeń w logach backupowych.
• Krok 5 (Opracowanie odpornej architektury backupu - Hardened Repository & Air Gap):

  Zaprojektujcie zmodernizowaną architekturę kopii:

  • Wdrożenie utwardzonego repozytorium opartego na systemie Linux (Hardened Linux Repository) z niezmiennym systemem plików (Immutable Flag) na okres 30 dni, bez możliwości skasowania nawet przez administratora.
  • Całkowite odłączenie serwera backupu i repozytorium od produkcyjnej domeny Active Directory (dedykowana grupa robocza z unikalnymi, lokalnymi hasłami o wysokiej entropii oraz uwierzytelnianiem wieloskładnikowym MFA).
  • Wydzielenie osobnego, izolowanego VLAN-u backupowego zabezpieczonego regułami zapory sieciowej (blokada połączeń inicjowanych z sieci produkcyjnej do serwera kopii).
• Krok 6 (Opracowanie procedury testów restore i wskaźników RTO/RPO):

  Sformułujcie standardową procedurę operacyjną (SOP) comiesięcznego automatycznego testowania odzyskiwania maszyn wirtualnych w odizolowanym środowisku wirtualnym (Virtual Sandbox) z automatyczną weryfikacją startu systemu operacyjnego, integralności bazy danych i działania portu aplikacji HIS. Zdefiniujcie docelowe parametry: dla HIS RTO = 2 godziny, RPO = 15 minut; dla PACS RTO = 6 godzin, RPO = 1 godzina.

Zespół przygotowuje 10-minutowe wystąpienie seminaryjne na zajęciach laboratoryjnych:

• Wprowadzenie i specyfika ciągłości działania w szpitalu (2 min): Przedstawienie struktury szpitala w Starachowicach, wagi systemów HIS i PACS dla bezpieczeństwa pacjentów na SOR i bloku operacyjnym (Student 1).
• Diagnoza techniczna: anatomia podatności na ransomware (3 min): Omówienie zagrożeń wynikających z obecności repozytorium NAS w domenie Active Directory, protokołu SMB, braku immutability i błędów VSS (Student 2).
• Konsekwencje prawne, medyczne i finansowe utraty danych (2 min): Analiza wymogów art. 32 RODO, ryzyka wstrzymania przyjęć pacjentów, odpowiedzialności cywilnej i kar finansowych (Student 3 lub Student 1).
• Koncepcja naprawcza: utwardzone repozytorium i sandbox testowy (2 min): Demonstracja architektury Hardened Linux Repository, mechanizmu blokady czasowej WORM oraz procedury testów restore (Student 2).
• Podsumowanie, analiza wad i zalet (1 min): Dyskusja nad kosztami zakupu serwera linuksowego i pamięci masowej w relacji do ochrony przed wielomilionowym okupem i paraliżem szpitala (cały zespół).

Raport składany przez grupę (4-6 stron A4) musi zawierać:

A. Odpowiedzi na pytania problemowe i opis sytuacyjny:

• Dlaczego nowoczesne warianty złośliwego oprogramowania ransomware w pierwszej kolejności wyszukują i niszczą repozytoria kopii zapasowych w sieci ofiary zanim rozpoczną szyfrowanie serwerów produkcyjnych?
• W jaki sposób podłączenie serwera backupu do tej samej domeny Active Directory oraz używanie wspólnego konta domenowego niweczy jakąkolwiek ochronę przed atakiem z zewnątrz?
• Dlaczego zielony status zakończenia zadania backupu w konsoli administratora nie daje żadnej gwarancji, że odtworzenie bazy danych Oracle/SQL zakończy się sukcesem bez wcześniejszego testu restore?

B. Wzorcowe rozwiązanie problemu (Dokumentacja poaudytowa):

• Karta ustaleń audytowych: Wykaz 3 zidentyfikowanych niezgodności (NC1, NC2, NC3) z dowodami z logów i konfiguracji sieciowej.
• Projekt architektury Hardened Backup Repository:
  • Serwer z systemem Linux (np. Ubuntu LTS / Rocky Linux) z systemem plików XFS obsługującym Fast Clone i atrybut niezmienności (chattr +i).
  • Uprawnienia jednorazowe wykorzystywane wyłącznie podczas konfiguracji, brak otwartych portów SSH po wdrożeniu.
  • Konfiguracja niezmienności na okres 30 dni: żadne polecenie z sieci ani z konsoli oprogramowania backupowego nie może zmodyfikować ani usunąć punktu przywracania.
• Standardowa Procedura Operacyjna (SOP) testowania kopii zapasowych:
  • Harmonogram: comiesięczny automatyczny test weryfikacji w sandboxie oraz półroczny test manualny z udziałem administratora bazy danych HIS.
  • Metodyka weryfikacji: sprawdzenie sumy kontrolnej wolumenu, start systemu w izolowanej sieci wirtualnej, wykonanie skryptu SQL badającego integralność logiczną tabel pacjentów (DBCC CHECKDB / RMAN validate).
• Tabela parametrów RTO i RPO: Zestawienie systemów (HIS, PACS, LIS, Apteka szpitalna, Kadry-Płace) z przypisanymi czasami odzyskiwania uzgodnionymi z Dyrektorem ds. Medycznych.

C. Analiza zalet i wad proponowanego rozwiązania:

• Zalety: Całkowita odporność kopii na ransomware (nawet w przypadku przejęcia pełnej kontroli nad domeną Active Directory atakujący nie może skasować backupów w repozytorium Linux WORM); gwarancja spójności baz danych dzięki regularnym testom; spełnienie wymogów RODO i standardów Centrum e-Zdrowia.
• Wady i ograniczenia: Konieczność posiadania przez szpitalny zespół IT kompetencji w zakresie administracji systemem Linux; zwiększone zapotrzebowanie na przestrzeń dyskową ze względu na sztywne okresy retencji bez możliwości przedwczesnego zwolnienia miejsca; dodatkowy narzut pracy przy comiesięcznej analizie raportów z testów sandboxowych.

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO): art. 32 (Bezpieczeństwo przetwarzania - w szczególności lit. b i c dotyczące dostępności i przywracania danych).
• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - A.8.13 (Tworzenie kopii zapasowych informacji), A.8.14 (Redundancja urządzeń przetwarzania informacji), A.5.29 (Gotowość bezpieczeństwa informacji w czasie zakłóceń), A.5.30 (Gotowość technologii informacyjnych i komunikacyjnych do ciągłości działania).
• Norma PN-EN ISO 22301:2020: Bezpieczeństwo i odporność - Systemy zarządzania ciągłością działania - Wymagania.
• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjnych, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (Dz.U. z 2024 r. poz. 773) - § 20 ust. 1-4 (rozliczalność, odnotowywanie zdarzeń oraz przechowywanie wpisów w dziennikach systemów).
• Centrum e-Zdrowia (CeZ): "Standardy cyberbezpieczeństwa dla podmiotów leczniczych", Warszawa 2023.
• CSIRT NASK / Zespół CERT Polska: "Zalecenia dotyczące zabezpieczania systemów backupu przed atakami złośliwego oprogramowania typu ransomware", Warszawa 2023.

• U2 Student potrafi zidentyfikować podatności środowiska kopii zapasowych na ataki ransomware oraz brak spójności logicznej zrzutów bazodanowych.
• U1 Student projektuje schemat utwardzonego repozytorium kopii z niezmiennością danych oraz procedurę regularnych testów odzyskiwania w sandboxie.
• U3 Student szacuje ryzyko przestoju placówki ochrony zdrowia i w oparciu o analizę BIA definiuje realistyczne wskaźniki RTO i RPO dla systemów medycznych.
• W1W3 Student rozumie wymagania art. 32 RODO oraz standardów CeZ w zakresie gwarantowania stałej dostępności dokumentacji medycznej.
• K1K2 Student wykazuje zrozumienie krytyczności ciągłości działania w szpitalu i potrafi łączyć rygory techniczne z bezpieczeństwem pacjentów.

Celem zadania jest wykształcenie u studentów umiejętności przeprowadzania audytu fizycznego i logicznego składowania kopii zapasowych w jednostce samorządu terytorialnego (JST). Studenci uczą się weryfikować realizację fundamentalnej w bezpieczeństwie informacji reguły 3-2-1 (posiadanie co najmniej 3 kopii danych, na 2 różnych rodzajach nośników, w tym co najmniej 1 kopii w innej lokalizacji fizycznej - off-site). Zadanie skupia się na ocenie zgodności z Krajowymi Ramami Interoperacyjności (KRI), badaniu zabezpieczeń przeciwpożarowych i przeciwwodnych serwerowni oraz ocenie procedur depozytu i szyfrowania nośników zewnętrznych.

Powiązanie z sylabusem i treściami programowymi:

• U2 Identyfikacja niezgodności w zakresie przechowywania kopii w tej samej lokalizacji fizycznej, braku atestowanych szaf ognioodpornych oraz niezaszyfrowanych nośników USB.
• U1 Opracowanie procedury bezpiecznego transportu i składowania nośników zewnętrznych w zewnętrznym punkcie depozytowym (off-site) oraz polityki rotacji nośników.
• U3 Przeprowadzenie analizy ryzyka jednoczesnego zniszczenia danych źródłowych i kopii zapasowych w wyniku katastrofy fizycznej (pożar, zalanie, kradzież).
• U4 Sporządzenie merytorycznego referatu seminaryjnego oraz raportu poaudytowego dla Starosty i Sekretarza Powiatu.
• W1 Znajomość wymogów ochrony rejestrów publicznych i tajemnic prawnie chronionych (ewidencja gruntów i budynków, rejestr pojazdów, ewidencja ludności).
• W2W3 Znajomość par. 20 ust. 2 pkt 11 i 12 rozporządzenia w sprawie Krajowych Ram Interoperacyjności (KRI) oraz normy ISO/IEC 27001 (kontrola A.8.13 i A.7.10).
• K1K2K3 Rozwijanie skrupulatności audytorskiej przy inspekcji warunków fizycznych serwerowni i depozytów oraz poszanowania dla mienia publicznego.
• Powiązanie z wykładem: Wyk1 (Audyt w administracji publicznej), Wyk3 (Kontrole środowiskowe i backupowe ISO 27001), Wyk4 (Zgodność z KRI i RODO), Wyk6 (Inspekcja fizyczna i badanie próbek nośników).

Starostwo Powiatowe w Jędrzejowie obsługuje 85 tysięcy mieszkańców powiatu, realizując zadania z zakresu rejestracji pojazdów, wydawania praw jazdy, prowadzenia powiatowego zasobu geodezyjnego i kartograficznego (system EGiB - Ewidencja Gruntów i Budynków), gospodarki nieruchomościami oraz obsługi korespondencji urzędowej w systemie Elektronicznego Zarządzania Dokumentacją (EZD RP).

Stan infrastruktury teleinformatycznej i składowania kopii:

• Główna serwerownia starostwa mieści się w piwnicy zabytkowego gmachu urzędu. Bezpośrednio nad szafami rack z serwerami i macierzami dyskowymi przebiegają rury głównej magistrali centralnego ogrzewania oraz rury kanalizacyjne. W pomieszczeniu brak jest czujników wycieku wody, a system klimatyzacji regularnie ulega awariom w okresie letnim (temperatura w serwerowni dochodzi do 32°C).
• W starostwie wdrożono procedurę wykonywania codziennych kopii zapasowych baz danych SQL systemów dziedzinowych na lokalną macierz dyskową w tej samej serwerowni.
• W celu realizacji wymogu posiadania kopii zewnętrznej, młodszy informatyk urzędu ma obowiązek zgrywania w każdy piątek pełnych zrzutów baz na przenośne dyski twarde USB (dyski 2,5 cala bez mechanizmu szyfrowania sprzętowego).
• Dyski te, po wykonaniu zrzutu, są przechowywane w szufladzie biurka informatyka w pokoju wydziału IT na parterze budynku lub odkładane na wierzch szafy serwerowej w piwnicy. Zgodnie z instrukcją kancelaryjną jeden dysk miał być deponowany w kasie pancernej w gabinecie Skarbnika Powiatu, jednak od ponad 8 miesięcy nikt tam dysków nie odnosił z powodu "braku czasu i skomplikowanej procedury kwitowania w księdze depozytowej".
• Żaden nośnik zewnętrzny nie jest wynoszony poza budynek starostwa (brak lokalizacji off-site). W starostwie brak jest szafy ognioodpornej przeznaczonej specjalnie dla nośników cyfrowych (klasa odporności DIS). Informatycy twierdzą, że zwykła blaszana szafa na akta papierowe jest wystarczającym zabezpieczeniem.
• Dyski USB nie posiadają włączonego szyfrowania programowego (brak BitLocker / VeraCrypt). Ewentualne wyniesienie lub zgubienie dysku oznacza ujawnienie numerów PESEL, danych majątkowych i numerów ksiąg wieczystych wszystkich mieszkańców powiatu.

Sekretarz Powiatu, po zapoznaniu się z raportem NIK dotyczącym stanu cyberbezpieczeństwa i ciągłości działania w samorządach, decyduje o przeprowadzeniu audytu procedur backupowych pod kątem zgodności z KRI.

Zadanie wymaga oceny środowiskowych warunków przechowywania danych oraz zgodności procesu tworzenia i zabezpieczania kopii zapasowych z regułą 3-2-1:

• Krok 1 (Podział ról w zespole audytowym):

  Student 1 (Audytor Wiodący / Analityk Procesów Administracji Publicznej): Bada formalne procedury bezpieczeństwa starostwa, instrukcję postępowania z nośnikami danych, rejestry depozytowe oraz koordynuje przygotowanie referatu.

  Student 2 (Audytor Techniczny ds. Infrastruktury Fizycznej i IT): Bada warunki środowiskowe serwerowni (trasy rur, klimatyzacja, zasilanie, czujniki), sprawdza konfigurację zadań backupu na dyski USB, stopień zapełnienia i stan techniczny nośników.

  Student 3 (Audytor Zgodności z KRI i Ochrony Danych Osobowych): Dokonuje analizy par. 20 KRI, art. 32 RODO, normy PN-EN 1047-1 (odporność ogniowa sejfów), szacuje ryzyka fizycznej utraty rejestrów publicznych i formułuje kartę niezgodności.

• Krok 2 (Inspekcja lokalizacji serwerowni i warunków przechowywania):

  Przeprowadźcie wizję lokalną w serwerowni piwnicznej. Zwróćcie uwagę na bliskość instalacji hydraulicznych i brak automatycznych zaworów odcinających oraz brak systemu sygnalizacji zalania. Zbadajcie klasę odporności ogniowej szafy, w której spoczywają nośniki (wyjaśnijcie różnicę między odpornością dla papieru - klasa P, dopuszczająca temp. do 170°C, a dla nośników cyfrowych - klasa DIS, gdzie temperatura wewnątrz nie może przekroczyć 52°C, aby nie doszło do rozmagnesowania i degradacji nośników).

• Krok 3 (Weryfikacja realizacji reguły 3-2-1):

  Skonfrontujcie stan faktyczny z regułą 3-2-1: (1) Trzy egzemplarze danych: oryginał na serwerze, kopia na macierzy lokalnej, kopia na dysku USB - spełnione częściowo; (2) Dwa różne nośniki: macierz dyskowa i dysk talerzowy USB - spełnione; (3) Jeden egzemplarz poza siedzibą (off-site): NIESPEŁNIONE (wszystkie kopie znajdują się w jednym budynku urzędu, a część wręcz w tym samym pomieszczeniu serwerowni).

• Krok 4 (Klasyfikacja niezgodności):

  Sformułujcie ustalenia audytowe:

  • Niezgodność krytyczna (NC1): Brak przechowywania kopii zapasowych w innej lokalizacji fizycznej (off-site) oraz składowanie ich w pomieszczeniu bezpośrednio zagrożonym zalaniem i pożarem, co rodzi ryzyko jednoczesnego zniszczenia wszystkich egzemplarzy rejestrów publicznych (naruszenie par. 20 ust. 2 pkt 11 KRI oraz ISO 27001 A.8.13).
  • Niezgodność większa (NC2): Przenoszenie i przechowywanie kopii zapasowych zawierających dane osobowe mieszkańców na niezaszyfrowanych nośnikach zewnętrznych USB bez ścisłej ewidencji i nadzoru (naruszenie art. 32 RODO i ISO 27001 A.7.10).
  • Niezgodność mniejsza (NC3): Nieskuteczny nadzór nad prowadzeniem księgi depozytowej nośników w kasie pancernej i brak atestowanego sejfu klasy DIS na nośniki magnetyczne.
• Krok 5 (Opracowanie koncepcji bezpiecznej lokalizacji Off-site):

  Zaprojektujcie schemat bezpiecznego składowania kopii zapasowych poza budynkiem głównym starostwa:

  • Wykorzystanie podległej jednostki organizacyjnej powiatu oddalonej geograficznie (np. budynek Powiatowego Zarządu Dróg lub Zespołu Szkół Ponadpodstawowych oddalony o 3 km), połączonego z urzędem dedykowanym łączem światłowodowym lub bezpiecznym tunelem VPN IPsec.
  • Automatyczna, szyfrowana replikacja nocna kopii zapasowych na mały serwer NAS zlokalizowany w serwerowni jednostki podległej, eliminująca konieczność ręcznego przenoszenia dysków USB.
• Krok 6 (Opracowanie procedury ewidencji i szyfrowania nośników wymiennych):

  W przypadku konieczności zachowania nośników fizycznych (offline air-gap) opracujcie procedurę: obowiązkowe szyfrowanie algorytmem AES-256 (np. BitLocker z kluczem odzyskiwania zapisanym w bezpiecznym repozytorium), oznakowanie dysków kodami kreskowymi, protokół przekazania do szafy ognioodpornej klasy S 60 DIS zlokalizowanej w wydzielonej strefie pożarowej.

Prezentacja zespołowa (10 minut) podczas laboratoriów:

• Ramy prawne i specyfika danych w samorządzie powiatowym (2 min): Rola systemów EZD i EGiB, wymogi Krajowych Ram Interoperacyjności i odpowiedzialność Starosty (Student 1).
• Ustalenia z audytu fizycznego i weryfikacji reguły 3-2-1 (3 min): Przedstawienie zagrożeń środowiskowych w serwerowni, patologii składowania dysków w szufladach i braku kopii off-site (Student 2).
• Ryzyka prawne, kary finansowe i konsekwencje utraty rejestrów publicznych (2 min): Analiza skutków pożaru lub kradzieży dysków USB w świetle RODO i odpowiedzialności urzędniczej (Student 3 lub Student 1).
• Architektura docelowa: replikacja do jednostki podległej i bezpieczny depozyt (2 min): Prezentacja rozwiązania opartego na łączu światłowodowym do PZD, sejfie klasy DIS i szyfrowaniu AES-256 (Student 2).
• Podsumowanie, wnioski i dyskusja nad kosztami (1 min): Bilans nakładów na wdrożenie sejfu i łącza zapasowego w zderzeniu z bezpieczeństwem prawnym powiatu (cały zespół).

Raport seminaryjny (4-6 stron A4) musi zawierać:

A. Odpowiedzi na pytania problemowe i opis sytuacyjny:

• Czym różni się szafa ognioodporna przeznaczona do ochrony dokumentacji papierowej (klasa P) od szafy na nośniki cyfrowe (klasa DIS) i dlaczego włożenie dysku USB do szafy na dokumenty papierowe podczas pożaru kończy się bezpowrotną utratą danych?
• W jaki sposób reguła kopii zapasowych 3-2-1 chroni organizację przed skutkami katastrof lokalnych (pożar, zalanie, wybuch gazu, kradzież z włamaniem)?
• Jakie konsekwencje prawne i administracyjne dla Starostwa rodzi zagubienie lub kradzież niezaszyfrowanego dysku zewnętrznego z bazą danych ewidencji gruntów i numerami PESEL mieszkańców?

B. Wzorcowe rozwiązanie problemu (Dokumentacja techniczno-organizacyjna):

• Karta ustaleń audytowych KRI: Zestawienie dowodów ze starostwa z odniesieniem do par. 20 ust. 2 pkt 11 i 12 KRI oraz kontroli ISO 27001:2022 A.8.13 i A.7.10.
• Projekt wdrożenia architektury 3-2-1 dla Starostwa Powiatowego:
  • Kopia 1 (Źródłowa): Serwery produkcyjne w starostwie (macierz SSD).
  • Kopia 2 (Lokalna): Dedykowany serwer backupu w starostwie z wolumenem dyskowym.
  • Kopia 3 (Off-site): Zdalna replikacja poprzez tunel IPsec do Powiatowego Zarządu Dróg na urządzenie NAS zlokalizowane w osobnym budynku oddalonym o 3 km.
  • Dodatkowa kopia Offline (Air-Gap): Kwartalna kopia archiwalna na taśmę LTO lub dysk RDX deponowana w atestowanym sejfie ognioodpornym klasy S 120 DIS w budynku starostwa.
• Instrukcja postępowania z informatycznymi nośnikami danych:
  • Bezwzględny nakaz szyfrowania wszystkich przenośnych dysków twardych i pendrive'ów kluczem AES-256.
  • Ewidencja nośników w Elektronicznej Księdze Nośników Backupowych (numer seryjny, pojemność, data wykonania kopii, podpis osoby przyjmującej i deponującej).
  • Zakaz wynoszenia nośników z terenu urzędu przez pracowników bez pisemnej zgody Sekretarza Powiatu.

C. Analiza zalet i wad proponowanego rozwiązania:

• Zalety: Pełna zgodność z wymaganiami KRI i RODO; całkowita eliminacja ryzyka utraty rejestrów publicznych w wyniku pożaru lub zalania serwerowni głównej; automatyzacja procesu replikacji off-site bez angażowania manualnej pracy informatyka; bezpieczeństwo kryptograficzne danych.
• Wady i ograniczenia: Konieczność poniesienia jednorazowego wydatku budżetowego na zakup atestowanego sejfu DIS oraz urządzeń sieciowych i pamięci masowej w PZD; konieczność bieżącego monitorowania przepustowości i stabilności łącza telekomunikacyjnego między budynkami.

• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjnych, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (Dz.U. z 2024 r. poz. 773) - § 20.
• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - A.7.10 (Nośniki pamięci), A.8.13 (Tworzenie kopii zapasowych informacji), A.8.14 (Redundancja).
• Norma PN-EN 1047-1: Pomieszczenia i urządzenia do przechowywania wartości - Klasyfikacja i metody badań odporności ogniowej - Część 1: Szafy na nośniki danych i dyskietki.
• Ustawa z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne (Dz.U. z 2023 r. poz. 57 z późn. zm.).
• Urząd Ochrony Danych Osobowych (UODO): "Wytyczne dotyczące bezpieczeństwa nośników wymiennych w jednostkach sektora publicznego", Warszawa 2022.
• Ministerstwo Cyfryzacji: "Podręcznik dobrych praktyk cyberbezpieczeństwa dla jednostek samorządu terytorialnego", Warszawa 2023.

• U2 Student potrafi zidentyfikować wady fizycznego i logicznego składowania kopii oraz luki w spełnieniu reguły 3-2-1 w administracji samorządowej.
• U1 Student projektuje schemat składowania kopii zapasowych off-site oraz procedurę bezpiecznego depozytu i szyfrowania nośników.
• U3 Student przeprowadza analizę ryzyka zniszczenia danych w wyniku awarii środowiskowych w budynku publicznym.
• W1W3 Student zna przepisy KRI i RODO dotyczące archiwizacji i zabezpieczania rejestrów publicznych.
• K1K2 Student wykazuje zrozumienie specyfiki jednostek publicznych i potrafi proponować rozwiązania oszczędne, a zarazem zgodne z prawem.

Celem zadania jest nabycie przez studentów praktycznych umiejętności audytu analizy wpływu na działalność biznesową (Business Impact Analysis - BIA), weryfikacji adekwatności wskaźników RTO (Recovery Time Objective) i RPO (Recovery Point Objective) oraz sprawności procedur przełączania awaryjnego na zapasowe centrum danych (Disaster Recovery Center - DRC). Zadanie osadzone jest w sektorze bankowości spółdzielczej i skupia się na weryfikacji zgodności ze standardem ISO 22301, Rekomendacją D Komisji Nadzoru Finansowego (KNF, rekomendacja 15 - ciągłość działania) oraz wymogami europejskiego rozporządzenia DORA (Digital Operational Resilience Act).

Powiązanie z sylabusem i treściami programowymi:

• U2 Identyfikacja rozbieżności między deklarowanymi wskaźnikami RTO/RPO a rzeczywistymi możliwościami technicznymi, wykrywanie opóźnień replikacji oraz braków w procedurach failover/failback.
• U1 Opracowanie założeń testów przełączania awaryjnego systemów bankowych, matrycy BIA oraz aktualizacji procedury Disaster Recovery Plan.
• U3 Przeprowadzenie analizy ryzyka przerwy w rozliczeniach międzybankowych, kar finansowych nakładanych przez KNF i utraty płynności finansowej banku.
• U4 Przygotowanie profesjonalnego referatu i raportu poaudytowego dla Zarządu Banku oraz Komitetu Ryzyka i Audytu.
• W1 Znajomość przepisów Prawa bankowego w zakresie ciągłości działania oraz ochrony tajemnicy bankowej i transakcji płatniczych.
• W2W3 Zrozumienie normy ISO 22301:2020, ISO/IEC 27001 (kontrole A.5.29, A.5.30, A.8.14), Rekomendacji D KNF (rekomendacja 15) oraz rozporządzenia DORA (UE 2022/2554, art. 11 i 12).
• K1K2K3 Kształtowanie odpowiedzialności za stabilność sektora finansowego, dociekliwości przy weryfikacji dowodów z testów technicznych i bezstronności ocen.
• Powiązanie z wykładem: Wyk1 (Audyt w instytucjach zaufania publicznego), Wyk3 (Kontrole ciągłości działania ISO 27001), Wyk4 (Regulacje sektorowe DORA i KNF), Wyk5 (Metodyka BIA i risk-based audit).

Spółdzielczy Bank Regionalny w Łowiczu posiada centralę oraz 25 placówek filialnych, obsługując 55 tysięcy klientów indywidualnych, rolników oraz podmiotów gospodarczych. Bank prowadzi rachunki bieżące, udziela kredytów, obsługuje transakcje kartowe, bankowość elektroniczną oraz realizuje rozliczenia w systemach ELIXIR, Express ELIXIR i Euro ELIXIR za pośrednictwem Krajowej Izby Rozliczeniowej (KIR).

Stan faktyczny w obszarze BCP, DRP i centrum zapasowego (DRC):

• Bank posiada podstawowe centrum przetwarzania danych (Primary Data Center - PDC) w siedzibie centrali w Łowiczu oraz zapasowe centrum danych (Disaster Recovery Center - DRC) typu Warm-Site wynajmowane w komercyjnym ośrodku kolokacyjnym w Łodzi (oddalonym o 65 km).
• W formalnym dokumencie "Polityka Ciągłości Działania Banku" zatwierdzonym przez Zarząd 4 lata temu zdefiniowano parametry dla kluczowego Systemu Bankowości Centralnej (Core Banking) oraz bankowości internetowej: Recovery Time Objective (RTO) = 2 godziny, Recovery Point Objective (RPO) = 15 minut, a Maksymalny Dopuszczalny Czas Przestoju (MTPD) = 4 godziny.
• W trakcie audytu ustalono, że ostatni pełny test przełączenia systemów bankowych na zapasowe centrum danych (failover test) został przeprowadzony 3 lata temu podczas odbioru technicznego infrastruktury. Od tego czasu testy ograniczały się wyłącznie do tzw. testów stolikowych (dyskusji przy stole z udziałem 2 osób).
• W ciągu ostatnich 3 lat w banku zaszły fundamentalne zmiany technologiczne: wdrożono płatności mobilne BLIK, zmodernizowano moduł autoryzacji kart płatniczych oraz przeniesiono część baz na klastry wysokiej dostępności. Żadna z tych zmian nie została uwzględniona w procedurach DRP ośrodka zapasowego DRC.
• Audyt techniczny logów replikacji baz danych między Łowiczem a Łodzią wykazał, że łącze podstawowe o przepustowości 100 Mbps w godzinach szczytu biznesowego (10:00 - 15:00) jest niemal w 100% nasycone ruchem biurowym. W rezultacie asynchroniczna replikacja bazy danych notuje ciągłe opóźnienia (replication lag) sięgające od 2,5 do 4 godzin.
• Oznacza to, że w przypadku fizycznego zniszczenia centrali banku w Łowiczu o godzinie 14:00 i przełączenia na centrum zapasowe w Łodzi, bank bezpowrotnie utraciłby wszystkie operacje finansowe, wpłaty, wypłaty i dyspozycje przelewów z ostatnich 3-4 godzin, co 16-krotnie przekracza dopuszczalny wskaźnik RPO (15 minut).
• Ponadto w procedurach banku całkowicie pominięto procedurę powrotu do ośrodka głównego (failback) po usunięciu awarii.

Zarząd Banku, stając w obliczu planowej inspekcji UKNF weryfikującej dostosowanie banku do rozporządzenia DORA, powołuje zespół audytorów w celu oceny realności planów BCP i DRP.

Audyt wymaga przeprowadzenia wnikliwej konfrontacji założeń biznesowych BIA z rzeczywistymi parametrami infrastruktury ICT:

• Krok 1 (Podział ról w zespole audytowym):

  Student 1 (Audytor Wiodący / Analityk Procesów Bankowych): Analizuje dokumentację BIA, politykę ciągłości działania, wywiady z członkiem Zarządu ds. Ryzyka i Głównym Księgowym, koordynuje wystąpienie referatowe.

  Student 2 (Audytor Techniczny ds. Systemów DRC i Replikacji): Analizuje konfigurację klastrów bazodanowych, mechanizmy replikacji bazy danych (synchronizacja, log shipping, mirroring), weryfikuje przepustowość łączy telekomunikacyjnych i logi opóźnień replikacji.

  Student 3 (Audytor Zgodności Regulacyjnej KNF i DORA): Bada spełnienie wymagań Rekomendacji D KNF (rekomendacje 15 i 22) oraz rozporządzenia DORA (art. 11, 12, 13), przygotowuje zestawienie ryzyk utraty płynności i kartę niezgodności.

• Krok 2 (Weryfikacja analizy wpływu na biznes - BIA):

  Przeanalizujcie powiązania między procesami biznesowymi (obsługa lokat, wypłaty w bankomatach, sesje rozliczeniowe KIR ELIXIR) a systemami IT. Zbadajcie, jakie straty finansowe i reputacyjne poniesie bank przy utracie danych z 3 godzin w szczycie sesji rozliczeniowej KIR (godz. 13:30).

• Krok 3 (Weryfikacja parametrów technicznych replikacji i łączy):

  Porównajcie zadeklarowane wskaźniki RTO/RPO ze stanem faktycznym. Zbadajcie konfigurację łącza WAN między Łowiczem a Łodzią. Sprawdźcie, czy wdrożono mechanizmy Quality of Service (QoS) gwarantujące pasmo dla ruchu replikacyjnego baz danych przed zwykłym ruchem internetowym pracowników.

• Krok 4 (Klasyfikacja niezgodności):

  Sformułujcie ustalenia audytowe:

  • Niezgodność krytyczna (NC1): Rzeczywisty wskaźnik utraty danych RPO wynoszący do 4 godzin przy deklarowanym wskaźniku 15 minut z powodu permanentnych lagów replikacji oraz brak testów przełączania do DRC od 3 lat (rażące naruszenie Rekomendacji D KNF - Rek. 15 i 22 oraz art. 11 ust. 2 i art. 12 ust. 1 rozporządzenia DORA).
  • Niezgodność większa (NC2): Brak aktualizacji planu DRP po wdrożeniu nowych usług finansowych (płatności BLIK, klastry wysokiej dostępności) i brak procedury powrotnego przełączania (failback) do ośrodka głównego (naruszenie normy ISO 22301:2020 p. 8.4 oraz ISO 27001 A.5.30).
  • Niezgodność mniejsza (NC3): Niewdrożenie mechanizmu priorytetyzacji ruchu QoS na łączu podstawowym między ośrodkami PDC i DRC.
• Krok 5 (Opracowanie ramowego programu testów przełączania do DRC):

  Zaprojektujcie cykliczny program testów ciągłości działania zgodnie z DORA:

  • Testy stolikowe (co 6 miesięcy) - weryfikacja aktualności kontaktów, ról i procedur decyzyjnych.
  • Testy symulacyjne w środowisku testowym (co 6 miesięcy) - weryfikacja integralności baz danych i poprawności skryptów startowych w DRC.
  • Pełny test przełączenia ruchu operacyjnego (failover test) raz w roku w weekendowym oknie serwisowym (sobota 22:00 - niedziela 06:00) z rzeczywistym przekierowaniem ruchu z sesji KIR do DRC oraz przetestowaniem procedury failback.
• Krok 6 (Rekomendacje optymalizacji architektury replikacji):

  Sformułujcie zalecenia techniczne: wydzielenie dedykowanego, szyfrowanego łącza światłowodowego tylko do replikacji (min. 500 Mbps) z rezerwowym łączem radiowym; wdrożenie zaawansowanego mechanizmu replikacji ciągłej (Continuous Data Protection / Active-Standby) z alarmowaniem w przypadku wzrostu opóźnienia powyżej 5 minut.

Prezentacja seminaryjna (10 minut) na zajęciach laboratoryjnych:

• Wprowadzenie: Wymogi stabilności operacyjnej banku w świetle DORA i KNF (2 min): Rola systemu bankowości centralnej, harmonogram sesji KIR i rygory nadzorcze (Student 1).
• Wyniki audytu technicznego: fikcja wskaźników RPO/RTO i luki w replikacji (3 min): Przedstawienie wykresów lagów replikacji, braku QoS, 3-letniego braku testów i pominięcia usług BLIK (Student 2).
• Skutki biznesowe, prawne i finansowe dla banku (2 min): Kary nakładane przez UKNF, ryzyko roszczeń klientów i zachwiania płynności rozliczeniowej banku (Student 3 lub Student 1).
• Plan naprawczy: architektura łączy, procedura testów i procedura failback (2 min): Omówienie nowego programu testów operacyjnych i automatyzacji monitoringu replikacji (Student 2).
• Podsumowanie i wnioski (1 min): Zestawienie kosztów łącza dedykowanego z kosztem potencjalnej utraty licencji bankowej lub wielomilionowych kar (cały zespół).

Raport składany przez grupę (4-6 stron A4) musi zawierać:

A. Odpowiedzi na pytania problemowe i opis sytuacyjny:

• Czym różnią się od siebie wskaźniki RTO (Recovery Time Objective), RPO (Recovery Point Objective) oraz MTPD (Maximum Tolerable Period of Disruption) i dlaczego ich ustalenie wymaga udziału strony biznesowej banku, a nie tylko działu IT?
• Dlaczego brak przetestowanej procedury powrotu (failback) z ośrodka zapasowego DRC do ośrodka podstawowego PDC paraliżuje decyzję o przeprowadzeniu testu przełączenia awaryjnego?
• Jakie są kluczowe wymagania rozporządzenia DORA (Digital Operational Resilience Act) w zakresie regularnego testowania planów ciągłości działania ICT i zarządzania centrami zapasowymi?

B. Wzorcowe rozwiązanie problemu (Dokumentacja poaudytowa):

• Karta ustaleń audytowych BCP/DRP: Zestawienie 3 niezgodności z odniesieniem do Rekomendacji D KNF i rozporządzenia DORA.
• Matryca BIA dla kluczowych procesów bankowych:
  • System Centralny (księga główna, rachunki): RTO = 2h, RPO = 15 min, MTPD = 4h.
  • Rozliczenia KIR (ELIXIR / Express ELIXIR): RTO = 1h, RPO = 0 min (replikacja synchroniczna), MTPD = 2h.
  • Płatności mobilne (BLIK): RTO = 1h, RPO = 5 min, MTPD = 2h.
  • Bankowość internetowa / mobilna: RTO = 2h, RPO = 15 min, MTPD = 6h.
  • Poczta elektroniczna i intranet: RTO = 12h, RPO = 24h, MTPD = 48h.
• Ramowy scenariusz dorocznego testu przełączenia awaryjnego (Failover & Failback SOP):
  • Faza 1 (Przygotowanie): Zgłoszenie okna serwisowego do KIR i operatorów kartowych, weryfikacja spójności danych przed testem.
  • Faza 2 (Przełączenie - Failover): Symulowane odcięcie PDC, zmiana wpisów DNS i routingu BGP, podniesienie usług w DRC, wykonanie próbnych transakcji testowych.
  • Faza 3 (Praca w DRC): Monitorowanie stabilności przez 2 godziny.
  • Faza 4 (Powrót - Failback): Synchronizacja danych narosłych w DRC z powrotem do PDC, przełączenie ruchu do centrali, weryfikacja kompletności księgowań.

C. Analiza zalet i wad proponowanego rozwiązania:

• Zalety: Pełna zgodność z rygorystycznymi wymogami DORA i wytycznymi KNF; rzeczywista gwarancja odtworzenia rozliczeń finansowych w 2 godziny bez utraty transakcji; uaktualnienie procedur dla modułu BLIK; eliminacja paniki w zespole IT podczas ewentualnej katastrofy.
• Wady i ograniczenia: Wysoki koszt dzierżawy dedykowanego łącza światłowodowego o wysokiej przepustowości; konieczność pracy zespołu bankowego w weekendowych godzinach nocnych podczas corocznego testu failover; ryzyko wystąpienia chwilowych błędów synchronizacji transakcji przy powrocie do ośrodka głównego.

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyfrowej sektora finansowego (DORA) - w szczególności art. 11 (Plany i procedury ciągłości działania ICT) oraz art. 12 (Procedury i plany przywracania danych i procedury DR).
• Komisja Nadzoru Finansowego: Wytyczne dotyczące zarządzania obszarami technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego w bankach (Rekomendacja D) - Rekomendacje 15 i 22 (ciągłość działania, audyty), Warszawa.
• Norma PN-EN ISO 22301:2020: Bezpieczeństwo i odporność - Systemy zarządzania ciągłością działania - Wymagania.
• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - A.5.29, A.5.30, A.8.14.
• Krajowa Izba Rozliczeniowa (KIR): "Zasady zapewnienia ciągłości działania przez banki uczestniczące w systemach rozliczeniowych ELIXIR i Express ELIXIR", Warszawa 2023.
• Związek Banków Polskich (ZBP): "Standardy zarządzania centrami zapasowymi i testowania DRP w bankach spółdzielczych", Warszawa 2023.

• U2 Student potrafi zdiagnozować rozbieżności między parametrami biznesowymi BIA a technicznymi parametrami replikacji i łączy telekomunikacyjnych.
• U1 Student opracowuje harmonogram i scenariusz kompleksowych testów failover i failback do zapasowego centrum danych.
• U3 Student szacuje ryzyko operacyjne, finansowe i prawne wynikające z braku gotowości DRC w instytucji finansowej.
• W2W3 Student zna regulacje rozporządzenia DORA oraz Rekomendacji D KNF w zakresie odporności cyfrowej i ciągłości działania.
• K1K2 Student wykazuje profesjonalizm i dbałość o rzetelność weryfikacji procedur krytycznych dla zaufania publicznego do sektora bankowego.

Celem zadania jest wykształcenie umiejętności audytowania planów ciągłości działania (BCP) oraz procedur tworzenia kopii zapasowych w specyficznym i wysoce krytycznym środowisku automatyki przemysłowej i technologii operacyjnych (OT/ICS/SCADA). Zadanie dotyczy przedsiębiorstwa użyteczności publicznej zaklasyfikowanego jako Podmiot Kluczowy w rozumieniu Ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC) i dyrektywy NIS2. Studenci uczą się weryfikować procedury archiwizacji konfiguracji sterowników PLC, oprogramowania stacji inżynierskich, projektów SCADA oraz audytować procedury awaryjnego sterowania ręcznego (Manual Fallback) na wypadek paraliżu telemetrii lub cyberataku.

Powiązanie z sylabusem i treściami programowymi:

• U2 Identyfikacja krytycznych luk w archiwizacji oprogramowania sterowników PLC, braku kontroli wersji projektów automatyki oraz nieprzetestowanych procedur sterowania ręcznego.
• U1 Opracowanie założeń procedury centralnej archiwizacji kodu i konfiguracji OT, polityki weryfikacji sum kontrolnych oraz procedury postępowania awaryjnego dyspozytorów.
• U3 Przeprowadzenie analizy ryzyka przerwy w dostawie wody pitnej dla aglomeracji miejskiej oraz skażenia środowiska ściekami komunalnymi w wyniku utraty sterowania.
• U4 Opracowanie profesjonalnego referatu i raportu audytowego dla Prezesa Zarządu MPWiK oraz Pełnomocnika ds. Cyberbezpieczeństwa podmiotu kluczowego.
• W1 Znajomość wymogów Ustawy o Krajowym Systemie Cyberbezpieczeństwa i Ustawy o zbiorowym zaopatrzeniu w wodę i zbiorowym odprowadzaniu ścieków.
• W2W3 Zrozumienie normy PN-EN ISO/IEC 27001:2022 (kontrole A.8.13, A.5.29, A.5.30), standardu bezpieczeństwa przemysłowego ISA/IEC 62443 oraz dyrektywy NIS2 (UE 2022/2555).
• K1K2K3 Kształtowanie odpowiedzialności za bezpieczeństwo infrastruktury krytycznej, ochronę zdrowia mieszkańców i stan środowiska naturalnego.
• Powiązanie z wykładem: Wyk1 (Audyt infrastruktury krytycznej), Wyk3 (Kontrole A.8.13 i A.5.29 w środowiskach przemysłowych), Wyk4 (Zgodność z Ustawą o KSC i NIS2), Wyk6 (Metodyka zbierania dowodów w sieciach OT).

Miejskie Przedsiębiorstwo Wodociągów i Kanalizacji (MPWiK) w Kielcach zaopatruje w wodę pitną 200 tysięcy mieszkańców oraz odprowadza i oczyszcza ścieki komunalne i przemysłowe. Infrastruktura technologiczna obejmuje 3 główne ujęcia głębinowe, centralną stację uzdatniania wody, 45 przepompowni ścieków oraz nowoczesną oczyszczalnię ścieków. MPWiK jest podmiotem kluczowym wpisanym do rejestru prowadzonego przez Ministra właściwego ds. gospodarki wodnej.

Stan środowiska automatyki przemysłowej (OT) i procedur ciągłości działania:

• Nadzór nad pracą pomp, zasuw, poziomami zbiorników retencyjnych i stężeniem chloru sprawuje Centralna Dyspozytornia za pośrednictwem nadrzędnego systemu SCADA. Sterowanie obiektami technologicznymi realizowane jest przez ponad 80 programowalnych sterowników logicznych (PLC) różnych producentów (Siemens Simatic S7-1200/1500, Schneider Electric Modicon, Allen Bradley).
• W trakcie badania audytowego ustalono, że ostatnia kompleksowa archiwizacja programów sterowników PLC oraz projektów wizualizacyjnych SCADA została wykonana 5 lat temu przez zewnętrznego integratora podczas odbioru końcowego modernizacji obiektów.
• Przez ostatnie 5 lat automatycy zakładowi wprowadzili ponad 120 modyfikacji w kodzie logicznym sterowników (zmieniono progi załączania pomp, czasy dawkowania koagulantów, parametry alarmowe ciśnienia w sieci), programując sterowniki bezpośrednio na obiektach z poziomu przenośnego laptopa inżynierskiego.
• Zmodyfikowane projekty i kody źródłowe nie były nigdzie archiwizowane centralnie. Wszystkie aktualne pliki źródłowe projektów TIA Portal i Unity Pro znajdują się wyłącznie na dysku twardym jednego, mocno wyeksploatowanego laptopa inżynierskiego trzymanego w szafie warsztatowej automatyków. Dysk laptopa nie posiada kopii zapasowej ani włączonego szyfrowania.
• W przedsiębiorstwie brak jest jakiejkolwiek kontroli wersji oprogramowania PLC (brak rejestracji zmian, brak weryfikacji sum kontrolnych hash SHA-256 programów wgranych do pamięci sterowników). W przypadku fizycznego uszkodzenia sterownika na ujęciu wody lub ataku złośliwego oprogramowania typu wiper/ransomware na sieć przemysłową, przywrócenie pracy obiektu z 5-letnich kopii doprowadzi do awarii hydraulicznej lub skażenia wody z powodu nieaktualnych parametrów technologicznych.
• Co więcej, w planie BCP spółki brakuje ustrukturyzowanej procedury awaryjnego sterowania ręcznego (Manual Fallback). Młodsi operatorzy i technicy nigdy nie byli szkoleni z ręcznego przełączania zasuw i załączania pomp bezpośrednio na szafach elektrycznych w przypadku utraty łączności ze stacją dyspozytorską.

W związku ze zbliżającym się zewnętrznym audytem cyberbezpieczeństwa wymaganym przez art. 15 Ustawy o KSC, Pełnomocnik ds. Cyberbezpieczeństwa MPWiK zleca zespołowi audytorskiemu szczegółową inspekcję obszaru kopii zapasowych i BCP w środowisku SCADA.

Zadanie wymaga oceny procedur archiwizacji kodu sterowników przemysłowych oraz zbadania procedur operacyjnych na wypadek awarii telemetrii:

• Krok 1 (Podział ról w zespole audytowym):

  Student 1 (Audytor Wiodący / Analityk Bezpieczeństwa Infrastruktury Krytycznej): Bada formalne procedury ciągłości działania MPWiK, spełnienie wymagań art. 8 i 15 Ustawy o KSC, regulaminy dyspozytorni, przeprowadza wywiady z Głównym Dyspozytorem i Dyrektorem Technicznym, koordynuje wystąpienie referatowe.

  Student 2 (Audytor Techniczny ds. Systemów Automatyki i OT): Bada zawartość laptopa inżynierskiego, środowiska programistyczne (TIA Portal / Schneider), weryfikuje kopie konfiguracji sterowników PLC, logi systemów SCADA oraz możliwości techniczne wdrożenia centralnego systemu kontroli wersji i backupu OT.

  Student 3 (Audytor Zgodności Regulacyjnej i Analizy Ryzyka Technologicznego): Weryfikuje zgodność z normami ISA/IEC 62443 i ISO 27001 (A.8.13, A.5.29), szacuje ryzyka zakłócenia dostaw wody dla miasta i skażeń chemicznych, sporządza kartę niezgodności KSC.

• Krok 2 (Inwentaryzacja aktywów OT i weryfikacja kopii programów):

  Zestawcie wykaz obiektów technologicznych (przepompownie, ujęcia wody) z bazą sterowników PLC. Sprawdźcie daty modyfikacji plików projektowych na laptopie inżynierskim. Wykażcie, że ponad 70% sterowników na obiektach pracuje na kodzie nowszym niż oficjalnie zarchiwizowane kopie z 2019 roku.

• Krok 3 (Weryfikacja procedur sterowania awaryjnego na obiektach):

  Przeprowadźcie wizję lokalną na Głównej Stacji Pomp. Sprawdźcie, czy przy szafach sterowniczych znajdują się aktualne schematy elektryczne, czy przełączniki trybu pracy (Auto / Ręczny) są sprawne oraz czy dyżurni dyspozytorzy posiadają czytelną procedurę uruchomienia tłoczenia wody bez wsparcia wizualizacji SCADA.

• Krok 4 (Klasyfikacja niezgodności):

  Sformułujcie ustalenia audytowe:

  • Niezgodność krytyczna (NC1): Brak aktualnych kopii zapasowych oprogramowania i konfiguracji sterowników PLC oraz projektów SCADA od 5 lat, połączony z przechowywaniem jedynej wersji roboczej na pojedynczym laptopie inżynierskim, co uniemożliwia odtworzenie pracy ujęć wody po cyberataku lub awarii sprzętowej (rażące naruszenie art. 8 pkt 1 i 2 Ustawy o KSC oraz kontroli ISO/IEC 27001 A.8.13 i standardu IEC 62443-4-2).
  • Niezgodność większa (NC2): Brak ustrukturyzowanej procedury awaryjnego sterowania ręcznego (Manual Fallback) oraz brak cyklicznych szkoleń i ćwiczeń praktycznych dla operatorów na wypadek całkowitego paraliżu sieci telemetrii SCADA (naruszenie art. 8 pkt 4 Ustawy o KSC i ISO 22301 p. 8.4).
  • Niezgodność mniejsza (NC3): Brak systemu kontroli wersji i weryfikacji sum kontrolnych (hash SHA-256) programów wgrywanych do pamięci sterowników PLC w podstacjach technologicznych.
• Krok 5 (Opracowanie architektury centralnego repozytorium backupu OT):

  Zaprojektujcie system zarządzania oprogramowaniem przemysłowym:

  • Wdrożenie dedykowanego serwera archiwizacji i zarządzania wersjami oprogramowania przemysłowego (np. klasy Versiondog / Octoplant / Rockwell FactoryTalk AssetCentre) w wydzielonej strefie stacji inżynierskich (zgodnie z modelem Purdue).
  • Automatyczne, cotygodniowe zadania harmonogramu łączące się przez sieć OT ze sterownikami PLC, pobierające bieżący program ze sterownika i porównujące go bajt po bajcie z projektem w repozytorium (wykrywanie nieautoryzowanych modyfikacji kodu bezpośrednio na obiekcie).
• Krok 6 (Opracowanie procedury awaryjnego sterowania ręcznego - SOP Manual Fallback):

  Przygotujcie Standardową Procedurę Operacyjną dla dyspozytorów i monterów pogotowia wodociągowego: laminowane karty operacyjne umieszczone wewnątrz każdej szafy sterowniczej na obiektach, instrukcja ręcznego ustawienia falowników pomp, harmonogram comiesięcznych ćwiczeń manualnego rozruchu tłoczenia wody przy odłączonej sieci telemetrycznej.

Prezentacja zespołowa (10 minut) podczas laboratoriów:

• Rola i rygory prawne Podmiotu Kluczowego (2 min): Przedstawienie infrastruktury MPWiK Kielce, odpowiedzialności z Ustawy o KSC i wagi ciągłości dostaw wody (Student 1).
• Wyniki audytu technologicznego OT: "bomba z opóźnionym zapłonem" (3 min): Omówienie 5-letnich braków kopii sterowników PLC, historii jednego laptopa inżynierskiego i braku kontroli wersji (Student 2).
• Skutki awarii i cyberataku na system SCADA (2 min): Analiza ryzyka zatrzymania dostaw wody dla miasta, skażenia sieci i sankcji finansowych nakładanych przez Ministra (Student 3 lub Student 1).
• System naprawczy: platforma Versiondog, cykliczne porównywanie kodu i procedury manualne (2 min): Demonstracja działania automatycznego audytu wersji sterowników i kart Manual Fallback (Student 2).
• Podsumowanie, analiza wad i zalet (1 min): Zestawienie kosztów zakupu platformy archiwizacji OT z ryzykiem paraliżu aglomeracji miejskiej (cały zespół).

Raport składany przez grupę (4-6 stron A4) musi zawierać:

A. Odpowiedzi na pytania problemowe i opis sytuacyjny:

• Dlaczego standardowe narzędzia backupu korporacyjnego IT (np. zrzuty obrazów maszyn, agenci backupowi na serwerach) są całkowicie bezużyteczne przy tworzeniu kopii programowalnych sterowników logicznych (PLC)?
• Czym grozi uruchomienie sterownika PLC pompowni wody z nieaktualnej kopii zapasowej sprzed kilku lat, w której nie uwzględniono zmian parametrów ciśnienia i progów alarmowych?
• Na czym polega i dlaczego jest krytyczna procedura "Manual Fallback" (sterowanie ręczne) w przedsiębiorstwach infrastruktury krytycznej i w jakich sytuacjach jest uruchamiana?

B. Wzorcowe rozwiązanie problemu (Dokumentacja techniczno-organizacyjna):

• Karta ustaleń audytowych podmiotu kluczowego: Zestawienie 3 niezgodności z odniesieniem do wymogów Ustawy o KSC, ISA/IEC 62443 oraz ISO 27001.
• Projekt architektury centralnego backupu i kontroli wersji OT:
  • Serwer archiwizacji OT w strefie DMZ przemysłowej (Poziom 3 modelu Purdue).
  • Protokół komunikacji: bezpieczne połączenia inżynierskie S7comm / Modbus TCP z autoryzacją.
  • Cykl operacyjny: automatyczny backup różnicowy co 24h; alert do dyspozytora w przypadku wykrycia zmiany kodu bez powiązanego zlecenia zmiany (Change Request).
• Standardowa Procedura Operacyjna (SOP) sterowania ręcznego ujęciem wody:
  • Krok 1: Identyfikacja utraty łączności telemetrycznej trwającej powyżej 30 minut.
  • Krok 2: Dyspozycja wyjazdu dwuosobowego patrolu pogotowia technicznego na obiekt.
  • Krok 3: Przełączenie stacyjki sterowania z pozycji "REMOTE/AUTO" na "LOCAL/MANUAL".
  • Krok 4: Weryfikacja wskazań analogowych manometrów i mierników poziomu wody w zbiorniku.
  • Krok 5: Ręczne stopniowe załączanie pomp wg tabeli nastaw awaryjnych z meldunkiem radiowym do dyspozytora.

C. Analiza zalet i wad proponowanego rozwiązania:

• Zalety: Odzyskanie pełnej kontroli nad kodem sterowników na 45 obiektach miejskich; natychmiastowe wykrywanie nieautoryzowanych modyfikacji lub infekcji malware w PLC; skrócenie czasu odtworzenia zniszczonego sterownika z kilku dni do 30 minut; zapewnienie ciągłości dostaw wody pitnej nawet przy całkowitym paraliżu sieci komputerowej.
• Wady i ograniczenia: Wysoki koszt licencji specjalistycznego oprogramowania archiwizacji OT dla 80 sterowników różnych producentów; konieczność przeszkolenia automatyków i dyspozytorów z nowych procedur; konieczność rygorystycznego utrzymywania łączności radiowej i fizycznych inspekcji obiektów.

• Ustawa z dnia 5 lipca 2018 r. o Krajowym Systemie Cyberbezpieczeństwa (tekst jedn. Dz.U. z 2026 r. poz. 20, zm. Dz.U. z 2026 r. poz. 252) - w szczególności art. 8 (obowiązki podmiotu kluczowego w zakresie zarządzania incydentami i ciągłości działania).
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii (Dyrektywa NIS2) - sektor ścieków i wody pitnej.
• Standard ISA/IEC 62443: Security for industrial automation and control systems - Część 4-2 (Technical security requirements for IACS components) oraz Część 2-1 (Security program requirements for IACS asset owners).
• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - A.8.13 (Tworzenie kopii zapasowych informacji), A.5.29 (Gotowość bezpieczeństwa informacji w czasie zakłóceń), A.5.30 (Gotowość ICT do ciągłości działania).
• Zespół CERT Polska / CSIRT NASK: "Zalecenia bezpieczeństwa dla systemów automatyki przemysłowej i sieci OT", Warszawa 2023.

• U2 Student potrafi zdiagnozować luki w procedurach backupu sterowników PLC i projektów SCADA oraz brak gotowości personelu do sterowania awaryjnego.
• U1 Student projektuje schemat centralnego systemu archiwizacji i kontroli wersji dla infrastruktury automatyki przemysłowej oraz procedurę Manual Fallback.
• U3 Student szacuje ryzyko przerw w dostawie wody dla aglomeracji miejskiej i skażeń komunalnych.
• W1W3 Student rozumie wymagania Ustawy o KSC i dyrektywy NIS2 dla Podmiotów Kluczowych w sektorze komunalnym.
• K1K2 Student przejawia odpowiedzialność za odporność infrastruktury krytycznej państwa i ochronę ludności.

Celem zadania jest opanowanie metodyki audytu strategii tworzenia i ochrony kopii zapasowych w środowisku chmury publicznej (Cloud IaaS/PaaS na przykładzie Amazon Web Services - AWS). Zadanie koncentruje się na weryfikacji wdrożenia technologii niezmiennych kopii zapasowych (Immutable Backups w standardzie WORM - Write Once, Read Many), badaniu separacji uprawnień dostępowych (oddzielenie ról produkcyjnych DevOps od ról zarządzania kopiami zapasowymi) oraz ocenie odporności organizacji na scenariusz kompromitacji tożsamości uprzywilejowanej lub działania złośliwego administratora (Rogue Admin / Insider Threat).

Powiązanie z sylabusem i treściami programowymi:

• U2 Identyfikacja krytycznych podatności w architekturze chmurowej, takich jak przechowywanie kopii w tym samym koncie AWS, brak blokady kasowania (Vault Lock / Object Lock) oraz nadmiarowe uprawnienia administratorów.
• U1 Opracowanie projektu bezpiecznej architektury kopii chmurowych z wykorzystaniem dedykowanego, odizolowanego konta backupowego (Isolated Backup Account) i mechanizmu AWS Organizations SCP.
• U3 Przeprowadzenie analizy ryzyka całkowitej likwidacji zasobów chmurowych sklepu, utraty przychodów ze sprzedaży internetowej oraz konsekwencji prawnych w świetle RODO.
• U4 Sporządzenie referatu seminaryjnego oraz technicznego raportu poaudytowego dla Zarządu Spółki i Dyrektora Technologii (CTO).
• W1 Znajomość wymogów RODO w zakresie zabezpieczenia danych osobowych setek tysięcy klientów e-commerce (art. 32).
• W2W3 Zrozumienie normy ISO/IEC 27001:2022 (kontrole A.8.13, A.8.14, A.8.2, A.8.5), standardów Center for Internet Security (CIS AWS Foundations Benchmark) oraz zasad współdzielonej odpowiedzialności w chmurze (Shared Responsibility Model).
• K1K2K3 Kształtowanie dociekliwości przy audycie polityk chmurowych JSON/IAM, bezstronności w ocenie pracy zespołów DevOps oraz etyki zawodowej.
• Powiązanie z wykładem: Wyk1 (Audyt środowisk nowoczesnych technologii), Wyk3 (Kontrole A.8.13 i A.8.2 w chmurze), Wyk4 (RODO i odpowiedzialność administratora danych w chmurze), Wyk5 (Analiza ryzyka przejęcia tożsamości uprzywilejowanej).

Spółka MebleSklep.pl S.A. jest jednym z wiodących polskich sklepów internetowych oferujących meble i wyposażenie wnętrz. Platforma generuje roczny obrót na poziomie 120 milionów PLN, obsługując w okresach promocyjnych do 30 tysięcy transakcji zakupowych na dobę. W bazie danych zarejestrowanych jest 1,4 miliona kont klientów wraz z historią transakcji i adresami dostaw.

Infrastruktura teleinformatyczna i mechanizmy tworzenia kopii w AWS:

• Całość infrastruktury platformy działa w chmurze Amazon Web Services (region eu-central-1 Frankfurt). System oparty jest na klastrze bazodanowym PostgreSQL w usłudze Amazon RDS (Multi-AZ), klastrach kontenerowych Amazon ECS oraz obiektowym magazynie plików Amazon S3, gdzie przechowywane są zdjęcia produktów, faktury PDF oraz dokumenty zamówień (ponad 15 TB danych).
• Do tworzenia kopii zapasowych wykorzystywana jest natywna usługa AWS Backup, która wykonuje codzienne automatyczne migawki baz RDS oraz harmonogram kopiowania zasobów S3.
• Audyt wykazał jednak kardynalną wadę architektoniczną: WSZYSTKIE zasoby produkcyjne, developerskie oraz magazyny kopii zapasowych (Backup Vaults) znajdują się wewnątrz JEDNEGO, tego samego konta AWS (Single AWS Account).
• Zespół inżynierów DevOps liczący 4 osoby posiada przypisaną politykę IAM AdministratorAccess dającą pełne, nieograniczone uprawnienia do wszystkich usług, w tym do kasowania instancji baz danych, usuwania zasobników S3 oraz ręcznego kasowania punktów przywracania w usłudze AWS Backup.
• Funkcja AWS Backup Vault Lock (mechanizm kryptograficznej blokady uniemożliwiający usunięcie kopii przed upływem zdefiniowanego czasu retencji) NIE została aktywowana. Inżynierowie DevOps wyjaśnili to obawą, że "zablokowanie kasowania mogłoby wygenerować dodatkowe koszty magazynowania, gdyby trzeba było pilnie wyczyścić przestrzeń".
• Ponadto dla zasobników Amazon S3 zawierających faktury i umowy wyłączona jest funkcja S3 Object Lock oraz wersjonowanie obiektów (Versioning).
• Audyt logów AWS CloudTrail ujawnił, że klucze dostępowe (Access Keys) konta root właściciela spółki zostały wygenerowane 3 lata temu, nie posiadają wymuszonego uwierzytelniania MFA i są zapisane w menedżerze haseł na laptopie CTO.
• W tym stanie rzeczy, w przypadku wycieku poświadczeń jednego inżyniera DevOps, ataku ransomware ukierunkowanego na chmurę lub wrogiego działania zwolnionego administratora, atakujący może jednym skryptem AWS CLI usunąć całą infrastrukturę produkcyjną i jednocześnie bezpowrotnie skasować wszystkie punkty przywracania AWS Backup, paraliżując spółkę i doprowadzając do jej upadłości.

Zarząd MebleSklep.pl, zaniepokojony serią głośnych incydentów destrukcji infrastruktury chmurowej w europejskim sektorze e-commerce, zleca audytorom weryfikację bezpieczeństwa i niezmienności kopii chmurowych.

Zadanie wymaga przeprowadzenia audytu architektury chmurowej, uprawnień IAM oraz mechanizmów blokad WORM:

• Krok 1 (Podział ról w zespole audytowym):

  Student 1 (Audytor Wiodący / Analityk Biznesowy E-Commerce): Analizuje ryzyka biznesowe przestoju sklepu, koszty utraconej sprzedaży na godzinę, polityki bezpieczeństwa spółki, przeprowadza wywiady z Zarządem i CTO, koordynuje wystąpienie referatowe.

  Student 2 (Audytor Techniczny ds. Bezpieczeństwa Chmury AWS): Analizuje konfigurację konta AWS, polityki IAM, role, weryfikuje konfigurację AWS Backup, polityki zasobników S3, logi CloudTrail i parametry KMS oraz projektuje architekturę Isolated Backup Account.

  Student 3 (Audytor Zgodności RODO i Standardów CIS Benchmark): Weryfikuje spełnienie wymagań art. 32 RODO, normy ISO 27001 (kontrole A.8.13, A.8.14, A.8.2) oraz zaleceń CIS AWS Foundations Benchmark, przygotowuje kartę niezgodności.

• Krok 2 (Analiza uprawnień IAM i podatności na Rogue Admin):

  Zbadajcie polityki uprawnień przypisane do inżynierów DevOps i użytkownika root. Sprawdźcie, czy użytkownicy z prawami administratora mogą wywołać akcje: aws backup delete-recovery-point oraz aws s3api delete-bucket. Wykażcie brak separacji ról i brak zasady najmniejszych uprawnień (Least Privilege).

• Krok 3 (Weryfikacja braku niezmienności - WORM i testów odtworzeniowych):

  Sprawdźcie status konfiguracji Vault Lock w magazynach AWS Backup. Zweryfikujcie, czy kiedykolwiek przeprowadzono próbne odtworzenie bazy RDS z migawki do nowej instancji oraz czy istnieje automatyzacja odtwarzania środowiska za pomocą kodu infrastruktury (Infrastructure as Code - Terraform / CloudFormation).

• Krok 4 (Klasyfikacja niezgodności):

  Sformułujcie ustalenia audytowe:

  • Niezgodność krytyczna (NC1): Przechowywanie kopii zapasowych w tym samym koncie chmurowym z uprawnieniami do ich natychmiastowego usunięcia dla inżynierów DevOps oraz brak blokady AWS Backup Vault Lock w trybie Compliance Mode, stwarzające ryzyko bezpowrotnej utylizacji wszystkich danych spółki przez pojedynczy skompromitowany klucz IAM (naruszenie ISO/IEC 27001 A.8.13, A.8.2 oraz art. 32 RODO).
  • Niezgodność większa (NC2): Wykorzystywanie kluczy dostępowych konta root bez wymuszenia MFA oraz brak wersjonowania i blokady S3 Object Lock na zasobnikach z dokumentacją transakcyjną (naruszenie zaleceń CIS AWS Benchmark p. 1.1 i 2.1).
  • Niezgodność mniejsza (NC3): Brak przetestowanych procedur odtwarzania środowiska chmurowego w innym regionie geograficznym AWS (Disaster Recovery Cross-Region).
• Krok 5 (Projekt wzorcowej architektury odseparowanego konta backupowego):

  Zaprojektujcie bezpieczną architekturę chmurową:

  • Wykorzystanie AWS Organizations do utworzenia dedykowanego, odizolowanego konta chmurowego: "MebleSklep-Backup-Account".
  • Wdrożenie zasad kontroli usług (Service Control Policy - SCP) na poziomie organizacji AWS, które bezwzględnie blokują akcje kasowania punktów przywracania (Deny backup:DeleteRecoveryPoint) dla wszystkich użytkowników, łącznie z kontami administratorów.
  • Konfiguracja automatycznej replikacji migawek RDS i obiektów S3 pomiędzy kontami chmurowymi (Cross-Account Backup) oraz pomiędzy regionami (np. eu-central-1 Frankfurt -> eu-west-1 Irlandia).
• Krok 6 (Wdrożenie blokady Vault Lock w trybie Compliance Mode):

  Opracujcie specyfikację wdrożenia AWS Backup Vault Lock w trybie zgodności (Compliance Mode) z minimalnym okresem retencji 14 dni i maksymalnym 90 dni. W tym trybie po upływie 3-dniowego okresu ochronnego (Grace Period) blokada staje się permanentna i żaden podmiot (włącznie z firmą Amazon i właścicielem konta) nie ma technicznej możliwości usunięcia kopii zapasowej przed upływem terminu retencji.

Prezentacja seminaryjna (10 minut) podczas laboratoriów:

• Specyfika ryzyka biznesowego w branży e-commerce (2 min): Model biznesowy MebleSklep.pl, koszty przestoju w handlu internetowym i mity na temat "automatycznego bezpieczeństwa w chmurze" (Student 1).
• Diagnoza techniczna podatności konta AWS (3 min): Omówienie pułapki pojedynczego konta chmurowego, braku Vault Lock, ryzyka Rogue Admin i braku immutability (Student 2).
• Zagrożenia prawne i zgodność z RODO oraz CIS Benchmark (2 min): Odpowiedzialność za utratę danych klientów, wymogi art. 32 RODO, kary finansowe i utrata zaufania rynku (Student 3 lub Student 1).
• Architektura docelowa: Isolated Backup Account i Vault Lock Compliance (2 min): Demonstracja działania polityki SCP, replikacji cross-account oraz mechanizmu kryptograficznego WORM (Student 2).
• Podsumowanie, analiza wad i zalet (1 min): Dyskusja nad kosztami utrzymania drugiego konta chmurowego i dodatkowej przestrzeni w relacji do gwarancji przetrwania firmy (cały zespół).

Raport składany przez grupę (4-6 stron A4) musi zawierać:

A. Odpowiedzi na pytania problemowe i opis sytuacyjny:

• Czym różni się model współdzielonej odpowiedzialności (Shared Responsibility Model) w chmurze publicznej od tradycyjnego IT i dlaczego dostawca chmury (np. AWS) nie odpowiada za utratę danych wykasowanych przez skompromitowane konto klienta?
• Jak działa mechanizm WORM (Write Once, Read Many) w usługach chmurowych (AWS Backup Vault Lock / S3 Object Lock) i czym różni się tryb Governance Mode od trybu Compliance Mode?
• Dlaczego w nowoczesnej architekturze cyberbezpieczeństwa repozytorium kopii zapasowych musi znajdować się w całkowicie oddzielnym koncie chmurowym (Isolated Account) zarządzanym przez odrębne tożsamości?

B. Wzorcowe rozwiązanie problemu (Dokumentacja techniczno-organizacyjna):

• Karta ustaleń audytowych: Wykaz 3 niezgodności z odniesieniem do ISO 27001, RODO i CIS AWS Foundations Benchmark.
• Polityka kontroli usług SCP (Service Control Policy) uniemożliwiająca skasowanie backupów:
  • Identyfikacja efektu Deny dla operacji: backup:DeleteRecoveryPoint, backup:DeleteBackupVault, backup:PutBackupVaultAccessPolicy.
  • Zastosowanie reguły do konta kopii zapasowych z wyłączeniem możliwości jej odpięcia przez lokalnych administratorów.
• Procedura automatycznego Disaster Recovery na bazie Infrastructure as Code (IaC):
  • Repozytorium szablonów Terraform w odrębnym repozytorium kodu.
  • Zautomatyzowany skrypt podnoszący klaster RDS z najnowszej migawki w regionie eu-west-1 oraz uruchamiający kontenery aplikacji w czasie poniżej 45 minut.

C. Analiza zalet i wad proponowanego rozwiązania:

• Zalety: Całkowita odporność na złośliwe działanie administratora (Rogue Admin) lub atak ransomware niszczący zasoby chmurowe; gwarancja niezmienności kopii (WORM) potwierdzona kryptograficznie; izolacja uprawnień i zgodność z normą ISO 27001 oraz CIS Benchmark; możliwość szybkiego wznowienia sprzedaży z zapasowego regionu AWS.
• Wady i ograniczenia: Sztywne związanie kosztowe z okresem retencji w trybie Compliance Mode (brak możliwości wcześniejszego zwolnienia przestrzeni i obniżenia rachunku w przypadku pomyłkowego zrzucenia zbyt dużej bazy); konieczność zarządzania strukturą AWS Organizations i rozliczania wielu powiązanych kont chmurowych.

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO): art. 32 (Bezpieczeństwo przetwarzania - w szczególności lit. b i c dotyczące ciągłości i odtwarzalności systemów).
• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - A.8.13 (Tworzenie kopii zapasowych informacji), A.8.14 (Redundancja urządzeń przetwarzania informacji), A.8.2 (Prawa dostępu uprzywilejowanego), A.8.5 (Bezpieczne uwierzytelnianie).
• Center for Internet Security (CIS): "CIS Amazon Web Services Foundations Benchmark v2.0.0", CIS Security 2023.
• Amazon Web Services: "AWS Backup Security and Compliance Best Practices Guide", AWS Documentation 2023.
• Cloud Security Alliance (CSA): "Security Guidance for Critical Areas of Focus in Cloud Computing v4.0", CSA 2021.

• U2 Student potrafi zidentyfikować luki w architekturze chmurowej, brak separacji kont i brak mechanizmów niezmienności kopii (WORM).
• U1 Student projektuje schemat odseparowanego konta backupowego oraz polityki SCP zabezpieczające przed skasowaniem danych.
• U3 Student szacuje ryzyka biznesowe i finansowe kompromitacji poświadczeń uprzywilejowanych w architekturze cloud.
• W2W3 Student zna standardy CIS Benchmark dla chmury publicznej oraz normę ISO 27001 w obszarze backupu i kontroli dostępu.
• K1K2 Student wykazuje zrozumienie specyfiki nowoczesnych architektur cyfrowych i potrafi chronić organizację przed zaawansowanymi zagrożeniami wewnętrznymi.

Celem zadania jest nabycie przez studentów umiejętności przeprowadzania audytu kryptograficznego zabezpieczenia kopii zapasowych danych szczególnych kategorii (dane o stanie zdrowia i dane genetyczne pacjentów w rozumieniu art. 9 RODO) oraz weryfikacji procedur bezpiecznego cyklu życia wymiennych nośników informacji (taśmy magnetyczne LTO) - od ich inicjalizacji, przez rotację, transport i depozyt, aż po wycofanie z eksploatacji, bezpieczną demagnetyzację (degaussing) i fizyczne zniszczenie zgodnie z normą DIN 66399 i kontrolami ISO/IEC 27001:2022 (A.7.10, A.7.14, A.8.13, A.8.24).

Powiązanie z sylabusem i treściami programowymi:

• U2 Identyfikacja krytycznych niezgodności w zakresie braku szyfrowania transportowanych nośników, nieprawidłowego zarządzania kluczami kryptograficznymi oraz nielegalnego wyrzucania nośników magnetycznych do odpadów komunalnych.
• U1 Opracowanie procedury bezpiecznego zarządzania kluczami szyfrującymi z mechanizmem Key Escrow oraz procedury bezpiecznego niszczenia nośników danych medycznych.
• U3 Przeprowadzenie analizy ryzyka masowego wycieku danych wrażliwych, naruszenia tajemnicy medycznej oraz sankcji nakładanych przez Prezesa Urzędu Ochrony Danych Osobowych (UODO).
• U4 Przygotowanie pisemnego referatu oraz raportu z audytu dla Zarządu Diagno-Med i Inspektora Ochrony Danych.
• W1 Znajomość przepisów RODO dotyczących przetwarzania danych szczególnych kategorii oraz Ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta.
• W2W3 Zrozumienie normy PN-EN ISO/IEC 27001:2022 (kontrole A.7.10, A.7.14, A.8.13, A.8.24), normy DIN 66399 (niszczenie nośników) oraz standardu protokołu zarządzania kluczami KMIP (Key Management Interoperability Protocol).
• K1K2K3 Kształtowanie bezwzględnego poszanowania prywatności i intymności pacjentów, etyki audytorskiej oraz bezstronności w ujawnianiu procedur pozornych.
• Powiązanie z wykładem: Wyk1 (Audyt ochrony tajemnic prawnie chronionych), Wyk3 (Kontrole kryptograficzne i nośnikowe ISO 27001), Wyk4 (RODO i odpowiedzialność administratora), Wyk6 (Inspekcja fizyczna i weryfikacja łańcucha dostaw nośników).

Spółka Diagno-Med Sp. z o.o. zarządza ogólnopolską siecią 40 laboratoriów analitycznych oraz 250 punktów pobrań krwi, wykonując rocznie ponad 5 milionów badań diagnostycznych, w tym badania biochemiczne, hematologiczne, serologiczne oraz specjalistyczne badania genetyczne (sekwencjonowanie DNA pod kątem mutacji nowotworowych). W centralnym Laboratoryjnym Systemie Informacyjnym (system LIS) przechowywana jest dokumentacja medyczna ponad 3 milionów pacjentów.

Infrastruktura kopii zapasowych i stan faktyczny postępowania z nośnikami:

• Ze względu na ogromny wolumen danych oraz wymóg 20-letniej retencji dokumentacji medycznej, centralna baza danych LIS oraz archiwa wyników backupowane są codziennie za pomocą automatycznej biblioteki taśmowej wykorzystującej napędy LTO-8 (o pojemności 12 TB na kasetę).
• Zgodnie z procedurą wewnętrzną taśmy z kopiami pełnymi są w każdy wtorek pakowane do plastikowych pojemników i przekazywane standardowej firmie kurierskiej w celu przewiezienia do zewnętrznego komercyjnego magazynu archiwum zlokalizowanego pod Warszawą.
• W trakcie badania technicznego audytorzy odkryli, że wbudowany w napędy LTO-8 sprzętowy moduł szyfrowania danych algorytmem AES-256 został trwale wyłączony przez administratorów 2 lata temu. Administratorzy tłumaczyli to incydentem z przeszłości: po awarii kontrolera biblioteki zgubiono hasło do lokalnego magazynu kluczy oprogramowania backupowego i "przez tydzień nie można było odczytać taśmy testowej, więc zrezygnowano z szyfrowania dla wygody".
• Oznacza to, że co tydzień kilkadziesiąt nieszyfrowanych taśm magnetycznych zawierających dane medyczne i genetyczne milionów Polaków jest transportowanych zwykłym samochodem dostawczym kuriera, bez konwoju, bez monitoringu GPS trasy, w pojemnikach zabezpieczonych jedynie plastikową plombą zaciskową.
• Co więcej, podczas inspekcji zaplecza gospodarczego centrali spółki audytorzy ujawnili, że partia 120 zużytych taśm starszej generacji (LTO-5), wycofanych z eksploatacji po upływie limitu odczytów, została wyrzucona bezpośrednio do kontenera na odpady komunalne. Taśmy nie zostały poddane demagnetyzacji (degaussingowi) ani mechanicznemu pocięciu. W aktach działu IT znajdował się fikcyjny "Protokół utylizacji nośników", podpisany przez kierownika działu IT bez przeprowadzenia jakiejkolwiek procedury zniszczenia.

Zarząd Spółki, powiadomiony nieoficjalnie o podejrzeniach nieprawidłowości, zleca zespołowi audytorów pilną i bezstronną kontrolę całego cyklu życia nośników backupowych.

Zadanie wymaga oceny konfiguracji kryptograficznej biblioteki taśmowej, weryfikacji łańcucha logistycznego oraz audytu procedur złomowania i niszczenia nośników:

• Krok 1 (Podział ról w zespole audytowym):

  Student 1 (Audytor Wiodący / Analityk Procesów Ochrony Zdrowia): Analizuje umowy powierzenia przetwarzania danych z firmą kurierską i magazynem archiwalnym, bada procedury wewnętrzne zarządzania dokumentacją medyczną, koordynuje wystąpienie seminaryjne.

  Student 2 (Audytor Techniczny ds. Kryptografii i Pamięci Masowych): Bada konfigurację biblioteki taśmowej LTO, weryfikuje status szyfrowania napędów, bada mechanizmy zarządzania kluczami (KMIP), procedury tworzenia kopii zapasowych kluczy szyfrujących (Key Escrow) oraz parametry techniczne demagnetyzacji.

  Student 3 (Audytor Zgodności z RODO i Normami Niszczenia Informacji): Analizuje naruszenia art. 9 i 32 RODO, bada normę DIN 66399 (wymagania dla nośników magnetycznych klasy T i H), ocenia ryzyko nałożenia kar przez UODO i sporządza kartę niezgodności.

• Krok 2 (Inspekcja kryptograficzna procesu zapisu taśm):

  Zweryfikujcie bezpośrednio na kontrolerze biblioteki taśmowej status parametru Drive-Level Encryption. Pobierzcie losową taśmę LTO-8 przygotowaną do transportu i sprawdźcie na stacji laboratoryjnej, czy strumień danych może zostać zidentyfikowany i odczytany bez podania klucza deszyfrującego.

• Krok 3 (Audyt procedur transportowych i magazynowych):

  Przeanalizujcie dokumentację przewozową (listy przewozowe). Sprawdźcie, czy w umowie z firmą kurierską znajdują się klauzule dotyczące przewozu nośników z danymi osobowymi (art. 28 RODO) oraz czy kierowcy podlegają procedurze weryfikacji tożsamości przy odbiorze przesyłki z dyspozytorni.

• Krok 4 (Klasyfikacja niezgodności):

  Sformułujcie ustalenia audytowe:

  • Niezgodność krytyczna (NC1): Przewożenie nieszyfrowanych nośników taśmowych zawierających dane szczególnych kategorii (medyczne i genetyczne) przez zewnętrznego przewoźnika oraz wyrzucenie wycofanych nośników LTO do śmieci komunalnych bez demagnetyzacji i zniszczenia, stwarzające bezpośrednie zagrożenie masowego wycieku danych (rażące naruszenie art. 9 i art. 32 ust. 1 lit. a RODO, kontroli ISO 27001 A.7.10, A.7.14, A.8.24 oraz przepisów Ustawy o prawach pacjenta).
  • Niezgodność większa (NC2): Całkowity brak scentralizowanego serwera zarządzania kluczami kryptograficznymi (KMS) oraz brak procedury bezpiecznego depozytu kluczy deszyfrujących (Key Escrow) prowadzący do samowolnego wyłączenia zabezpieczeń przez administratorów.
  • Niezgodność mniejsza (NC3): Fikcyjne podpisywanie protokołów utylizacji nośników bez udziału komisji likwidacyjnej i bez certyfikatu niszczenia.
• Krok 5 (Opracowanie architektury bezpiecznego zarządzania kluczami KMIP):

  Zaprojektujcie wdrożenie scentralizowanego menedżera kluczy zgodnego ze standardem KMIP (np. HashiCorp Vault / Thales CipherTrust):

  • Automatyczne generowanie unikalnego klucza AES-256 dla każdej sesji zapisu taśmy.
  • Przechowywanie kluczy głównych (Master Keys) w sprzętowym module bezpieczeństwa HSM lub w chronionym repozytorium z wieloosobowym podziałem sekretu (Shamir's Secret Sharing).
  • Procedura Key Escrow: zdeponowanie papierowego i cyfrowego klucza odzyskiwania w bezpiecznej skrytce bankowej na wypadek całkowitej awarii systemu KMS.
• Krok 6 (Opracowanie procedury bezpiecznego niszczenia nośników wg DIN 66399):

  Przygotujcie Standardową Procedurę Operacyjną (SOP) wycofywania nośników:

  • Krok 1: Wpisanie nośnika do rejestru wycofania z eksploatacji z podaniem numeru seryjnego i kodu kreskowego.
  • Krok 2: Poddanie nośnika magnetycznego działaniu degaussera (demagnetyzatora) o natężeniu pola min. 11 000 Gaussów (gwarantującego skasowanie danych w nośnikach LTO o wysokiej koercji).
  • Krok 3: Fizyczne mechaniczne zniszczenie nośnika w przemysłowej niszczarce wieloostrzowej do frakcji o powierzchni poniżej 0,5 mm2 (klasa bezpieczeństwa T-5 / H-5 wg normy DIN 66399).
  • Krok 4: Sporządzenie protokołu zniszczenia z podpisami minimum dwóch członków komisji i załączeniem nagrania wideo z procesu niszczenia.

Wystąpienie seminaryjne (10 minut) podczas laboratoriów:

• Wprowadzenie: Waga danych genetycznych i medycznych w świetle RODO (2 min): Specyfika działalności Diagno-Med, nieodwracalność skutków wycieku profilu genetycznego człowieka (Student 1).
• Porażające fakty z audytu: jawne taśmy w kurierskim busie i nośniki w śmietniku (3 min): Przedstawienie dowodów ze stacji taśmowej, brak szyfrowania AES, wyrzucenie 120 kaset LTO-5 (Student 2).
• Prawne konsekwencje dla spółki: kary UODO i roszczenia cywilne (2 min): Analiza art. 83 RODO (kary do 20 mln EUR lub 4% obrotu), odpowiedzialność karna z art. 107 ustawy o ochronie danych osobowych (Student 3 lub Student 1).
• Architektura naprawcza: serwer KMIP, procedura Key Escrow i standard DIN 66399 (2 min): Demonstracja działania protokołu KMIP, procedury podwójnej kontroli klucza oraz procesu degaussingu (Student 2).
• Podsumowanie, analiza wad i zalet (1 min): Bilans nakładów na certyfikowane niszczenie i moduł KMS w odniesieniu do reputacji sieci laboratoriów (cały zespół).

Raport składany przez grupę (4-6 stron A4) musi zawierać:

A. Odpowiedzi na pytania problemowe i opis sytuacyjny:

• Dlaczego wyciek danych genetycznych (np. sekwencji DNA) jest nieporównywalnie groźniejszy dla człowieka niż wyciek hasła do poczty lub numeru karty płatniczej?
• W jaki sposób standard KMIP (Key Management Interoperability Protocol) rozwiązuje problem bezpiecznego zarządzania kluczami szyfrującymi taśm LTO i eliminuje ryzyko utraty dostępu do kopii zapasowych?
• Dlaczego zwykłe fizyczne uszkodzenie taśmy magnetycznej (np. przecięcie nożyczkami lub zarysowanie) nie gwarantuje zniszczenia danych i wymaga zastosowania profesjonalnego demagnetyzatora (degaussera) o wysokim natężeniu pola?

B. Wzorcowe rozwiązanie problemu (Dokumentacja techniczno-organizacyjna):

• Karta ustaleń audytowych RODO/ISO: Wykaz 3 zidentyfikowanych niezgodności z powołaniem na konkretne punkty normy i przepisy prawa.
• Instrukcja wdrożenia szyfrowania napędów LTO i polityki zarządzania kluczami:
  • Konfiguracja biblioteki taśmowej w trybie Library-Managed Encryption (LME) powiązanej z klastrem KMIP.
  • Zasada rotacji kluczy szyfrujących: generowanie nowego klucza dla każdego kwartalnego cyklu rotacji taśm.
  • Procedura Key Escrow: podział klucza głównego na 3 części za pomocą algorytmu Shamira; złożenie części u Prezesa Zarządu, Głównego Prawnika i w skrytce bankowej; do odtworzenia wymagane jest połączenie co najmniej 2 części.
• Procedura wycofywania i niszczenia nośników danych medycznych wg DIN 66399:
  • Wymóg stosowania bezpiecznych bezpiecznych walizek transportowych z zamkami szyfrowymi i plombami numerowanymi podczas przewozu taśm.
  • Obowiązek korzystania wyłącznie z usług certyfikowanych firm utylizacyjnych posiadających normę DIN 66399 na poziomie min. T-5/H-5, z gwarancją niszczenia w obecności przedstawiciela Diagno-Med.

C. Analiza zalet i wad proponowanego rozwiązania:

• Zalety: Całkowite zabezpieczenie poufności danych medycznych milionów pacjentów; uodpornienie organizacji na wypadek kradzieży lub zgubienia nośnika w transporcie; pełna zgodność z RODO i uniknięcie wielomilionowych kar UODO; rygorystyczny i weryfikowalny proces niszczenia nośników.
• Wady i ograniczenia: Koszt wdrożenia profesjonalnego systemu KMS oraz zakupu usług certyfikowanego niszczenia; dodatkowy czas i czynności personelu IT związane z procedurami plombowania i ewidencjonowania kaset.

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO): art. 9 (Przetwarzanie szczególnych kategorii danych), art. 32 (Bezpieczeństwo przetwarzania - szyfrowanie i poufność), art. 33 i 34 (Zgłaszanie naruszeń).
• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - A.7.10 (Nośniki pamięci), A.7.14 (Bezpieczne usuwanie lub ponowne użycie sprzętu), A.8.13 (Kopie zapasowe), A.8.24 (Stosowanie kryptografii).
• Norma DIN 66399: Niszczenie nośników danych - Wymagania dla urządzeń i procesów niszczenia (poziomy ochrony od 1 do 7 dla nośników typu T i H).
• Oasis Open: "Key Management Interoperability Protocol (KMIP) Specification Version 2.1", OASIS Standard 2021.
• Ustawa z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta (Dz.U. z 2023 r. poz. 1545 z późn. zm.).
• Urząd Ochrony Danych Osobowych: "Zasady niszczenia nośników zawierających dane osobowe szczególnych kategorii", Biuletyn UODO 2023.

• U2 Student potrafi zidentyfikować krytyczne luki w procedurach szyfrowania nośników wymiennych oraz naruszenia zasad bezpiecznego niszczenia sprzętu IT.
• U1 Student projektuje schemat bezpiecznego zarządzania kluczami kryptograficznymi z procedurą Key Escrow oraz procedurę niszczenia nośników wg DIN 66399.
• U3 Student szacuje ryzyko prawne, reputacyjne i finansowe wycieku danych medycznych i genetycznych w oparciu o art. 9 i 83 RODO.
• W1W2 Student zna normę DIN 66399, kontrole ISO 27001 w obszarze nośników i kryptografii oraz standard protokołu KMIP.
• K1K3 Student przejawia bezwzględną postawę etyczną i dbałość o poszanowanie tajemnicy lekarskiej i praw pacjentów.

Celem zadania jest nabycie przez studentów umiejętności przeprowadzania audytu infrastruktury zasilania gwarantowanego (zasilacze UPS, stacjonarne zespoły prądotwórcze, układy Samoczynnego Załączania Rezerwy - SZR) oraz ciągłości łączności telekomunikacyjnej i procedur operacyjnych na wypadek rozległej awarii energetycznej (blackoutu). Zadanie osadzone jest w fabryce motoryzacyjnej działającej w reżimie dostaw zsynchronizowanych Just-In-Time (JIT), gdzie przestój linii produkcyjnej rodzi gigantyczne kary finansowe. Studenci uczą się weryfikować gotowość urządzeń wspierających zgodnie z kontrolą ISO/IEC 27001:2022 (A.7.11) oraz badać procedury fallbacku manualnego (pracy bez systemów komputerowych) zgodnie z normą ISO 22301.

Powiązanie z sylabusem i treściami programowymi:

• U2 Wykrywanie niesprawności technicznych urządzeń zasilania rezerwowego (zużycie baterii UPS, degradacja paliwa w agregacie, brak testów pod obciążeniem) oraz pojedynczych punktów awarii (SPOF) w łączach telekomunikacyjnych.
• U1 Opracowanie kompleksowego harmonogramu testów zasilania gwarantowanego pod sztucznym obciążeniem oraz procedury awaryjnego funkcjonowania magazynu i ekspedycji bez systemów ERP.
• U3 Przeprowadzenie analizy ryzyka finansowego i operacyjnego przestoju zakładu produkcyjnego w reżimie Just-In-Time w obliczu blackoutu sieci krajowej.
• U4 Sporządzenie merytorycznego referatu seminaryjnego oraz raportu poaudytowego dla Dyrektora Operacyjnego Fabryki i Managera Ciągłości Biznesu.
• W1 Znajomość uwarunkowań prawnych i kontraktowych w przemyśle produkcyjnym (kary umowne, reżim dostaw sekwencyjnych Just-In-Sequence).
• W2W3 Zrozumienie normy PN-EN ISO/IEC 27001:2022 (kontrole A.7.11 Urządzenia zasilające i wspierające, A.8.14 Redundancja), normy ISO 22301:2020 oraz wytycznych TIA-942 dla obiektów data center.
• K1K2K3 Kształtowanie postawy dociekliwej przy badaniu stanu technicznego infrastruktury budynkowej, dbałości o bezpieczeństwo pracy i rzetelności audytorskiej.
• Powiązanie z wykładem: Wyk1 (Audyt infrastruktury technicznej), Wyk3 (Kontrole środowiskowe A.7.11 i redundancja A.8.14), Wyk5 (Szacowanie strat biznesowych w relacji do czasu przestoju - BIA), Wyk6 (Metodyka inspekcji fizycznej i testów obciążeniowych).

Auto-Components Polska Sp. z o.o. w Gliwicach produkuje zaawansowane moduły zawieszenia i układy hamulcowe dla trzech wiodących koncernów motoryzacyjnych w Europie. Fabryka zatrudnia 800 pracowników na 3 zmiany i generuje miesięczny obrót rzędu 45 milionów PLN. Produkcja i wysyłka gotowych podzespołów odbywają się w rygorystycznym reżimie Just-In-Time (JIT) - ciężarówki z komponentami opuszczają doki fabryki co 90 minut, a jakikolwiek nieplanowany przestój linii montażowej odbiorcy skutkuje karami umownymi w wysokości 50 000 EUR za każdą rozpoczętą godzinę opóźnienia.

Stan faktyczny w obszarze zasilania, łączności i planów awaryjnych:

• Serwery zakładowe systemu ERP (SAP), sterowania produkcją (MES) oraz automatycznego magazynu wysokiego składowania (WMS) zlokalizowane są w zakładowej serwerowni.
• Serwerownia zasilana jest z jednego transformatora zakładowego, a ochronę przed przerwami w dostawie energii elektrycznej ma zapewniać centralny zasilacz awaryjny UPS o mocy 80 kVA oraz stacjonarny zespół prądotwórczy z silnikiem Diesla o mocy 150 kW ze zbiornikiem paliwa na 1000 litrów oleju napędowego.
• Audyt techniczny wykazał, że zestaw baterii kwasowo-ołowiowych w centralnym UPS ma ponad 8 lat (nigdy nie był wymieniany). Test rozładowania wykazał, że pojemność akumulatorów spadła do 15% wartości nominalnej - przy obecnym obciążeniu serwerowni UPS jest w stanie podtrzymać zasilanie zaledwie przez 2 minuty i 40 sekund (zamiast projektowanych 30 minut).
• Zespół prądotwórczy od 18 miesięcy nie był uruchamiany w warunkach rzeczywistego przejęcia obciążenia przez układ SZR (Samoczynnego Załączania Rezerwy). Informatycy raz na kwartał uruchamiali agregat na biegu jałowym na 5 minut, co nie daje żadnej gwarancji, że prądnica utrzyma napięcie pod skokowym obciążeniem serwerów i klimatyzacji.
• Pobranie próbki paliwa ze zbiornika agregatu ujawniło zaawansowany proces zanieczyszczenia biologicznego (tzw. zakażenie bakteryjne oleju napędowego z obecnością osadów i wody), co grozi natychmiastowym zablokowaniem filtrów paliwa i zatarciem pompy wtryskowej w ciągu kilkunastu minut pracy silnika.
• Spółka nie posiada zawartej umowy ramowej z dostawcą paliwa gwarantującej dostawę oleju napędowego w określonym czasie (SLA) w przypadku przedłużającego się blackoutu w regionie śląskim.
• W obszarze telekomunikacji fabryka posiada tylko jedno łącze światłowodowe od lokalnego operatora, zawieszone napowietrznie na słupach biegnących wzdłuż drogi leśnej (brak drugiego niezależnego operatora i brak redundancji radiowej).
• W procedurach BCP fabryki brak jest jakichkolwiek wytycznych dotyczących awaryjnej, papierowej obsługi przyjęć i wydań towarów z magazynu w przypadku wyłączenia systemu SAP/WMS (brak procedury fallbacku manualnego).

Dyrektor Operacyjny, po otrzymaniu ostrzeżenia od Polskich Sieci Elektroenergetycznych o możliwych stopniach zasilania w okresie zimowym, zleca audytorom weryfikację odporności fabryki na blackout.

Zadanie wymaga przeprowadzenia wnikliwego audytu instalacji elektroenergetycznej, infrastruktury zasilania awaryjnego oraz procedur operacyjnych magazynu i produkcji:

• Krok 1 (Podział ról w zespole audytowym):

  Student 1 (Audytor Wiodący / Analityk Ciągłości Biznesu JIT): Analizuje kontrakty handlowe z koncernami motoryzacyjnymi, strukturę kar umownych, polityki BCP spółki, przeprowadza wywiady z Dyrektorem Produkcji i Kierownikiem Logistyki, koordynuje przygotowanie referatu.

  Student 2 (Audytor Techniczny ds. Infrastruktury Energetycznej i Automatyki): Przeprowadza inspekcję techniczną zasilacza UPS, baterii, układu automatyki SZR, agregatu prądotwórczego, jakości paliwa oraz tras kablowych łączy telekomunikacyjnych.

  Student 3 (Audytor Zgodności Regulacyjnej i Analizy Ryzyka Technicznego): Bada spełnienie normy ISO 27001 (kontrole A.7.11 i A.8.14), normy ISO 22301, wytycznych TIA-942, szacuje straty finansowe wynikające z zatrzymania linii JIT i sporządza kartę niezgodności.

• Krok 2 (Inspekcja baterii UPS i układu automatyki SZR):

  Zbadajcie książkę serwisową zasilacza UPS. Sprawdźcie daty produkcji poszczególnych bloków akumulatorowych, obecność wycieków elektrolitu oraz temperaturę pracy baterii. Zbadajcie nastawy czasowe układu SZR - czas oczekiwania na ustabilizowanie napięcia z agregatu (zwykle 30-45 sekund), konfrontując go ze skróconym czasem podtrzymania zużytych baterii UPS (poniżej 3 minut).

• Krok 3 (Weryfikacja agregatu, paliwa i łączy telekomunikacyjnych):

  Przeanalizujcie protokoły testów agregatu prądotwórczego. Wykażcie, że testowanie bez obciążenia (dry run) jest kardynalnym błędem sztuki inżynierskiej. Sprawdźcie fizyczny przebieg światłowodu telekomunikacyjnego i zidentyfikujcie pojedynczy punkt awarii (SPOF) - ryzyko zerwania kabla przez przewracające się drzewo podczas wichury.

• Krok 4 (Klasyfikacja niezgodności):

  Sformułujcie ustalenia audytowe:

  • Niezgodność krytyczna (NC1): Brak sprawności technicznej infrastruktury zasilania gwarantowanego (skrajnie zużyte akumulatory UPS o czasie podtrzymania 2,5 minuty oraz zanieczyszczone paliwo agregatu prądotwórczego nieuruchamianego pod obciążeniem), stwarzające bezpośrednie zagrożenie nagłego wyłączenia serwerowni i linii produkcyjnej przy zaniku napięcia zewnętrznego (naruszenie kontroli ISO/IEC 27001:2022 A.7.11 oraz ISO 22301 p. 8.4).
  • Niezgodność większa (NC2): Brak redundancji łączy telekomunikacyjnych (pojedyncze łącze napowietrzne bez zapasowego łącza radiowego lub drugiego operatora) oraz brak umowy SLA na interwencyjne dostawy paliwa kryzysowego do agregatu (naruszenie kontroli ISO 27001 A.8.14 i wytycznych TIA-942).
  • Niezgodność mniejsza (NC3): Brak udokumentowanej i przetestowanej procedury fallbacku manualnego dla procesów magazynowych i wysyłkowych w reżimie Just-In-Time na wypadek całkowitego braku systemów IT.
• Krok 5 (Opracowanie planu modernizacji zasilania i redundancji):

  Zaprojektujcie pakiet naprawczy:

  • Bezzwłoczna wymiana zestawu akumulatorów UPS na nowoczesne baterie VRLA AGM lub litowo-żelazowo-fosforanowe (LiFePO4) o gwarantowanym czasie podtrzymania min. 30 minut, wyposażone w system monitoringu parametrów każdego ogniwa (BMS).
  • Czyszczenie zbiornika paliwa agregatu, utylizacja skażonego paliwa i zatankowanie świeżego oleju napędowego z dodatkiem biobójczym i antykoagulacyjnym; zawarcie umowy ramowej z dostawcą paliwa z gwarancją dostawy do 4 godzin w warunkach kryzysowych.
  • Wdrożenie zapasowego, bezprzewodowego łącza telekomunikacyjnego (radiolinia w paśmie licencjonowanym lub terminal satelitarny Starlink Business z publicznym adresem IP).
• Krok 6 (Opracowanie procedury testów obciążeniowych i procedury Manual Fallback):

  Opracujcie procedury operacyjne:

  • Harmonogram testów: cotygodniowy automatyczny rozruch agregatu na biegu jałowym oraz półroczny test pod pełnym obciążeniem zakładowym lub z wykorzystaniem wynajętej opornicy (Load Bank) przez minimum 2 godziny.
  • Procedura Manual Fallback dla logistyki: awaryjne papierowe wzory dokumentów wydania WZ z predefiniowanymi numerami seryjnymi palet, instrukcja ręcznego ładowania doków transportowych i późniejszej synchronizacji danych w SAP po ustąpieniu awarii.

Prezentacja seminaryjna (10 minut) podczas laboratoriów:

• Reżim Just-In-Time w motoryzacji i koszty przestoju (2 min): Struktura fabryki Auto-Components, rygor 90-minutowych okien transportowych i kary 50 000 EUR/h (Student 1).
• Anatomia katastrofy energetycznej: UPS bez baterii i agregat z osadem (3 min): Przedstawienie dowodów ze starych akumulatorów, wyników próbki paliwa, braku testów pod obciążeniem i pojedynczego kabla w lesie (Student 2).
• Skutki finansowe i operacyjne blackoutu (2 min): Analiza strat przy 6-godzinnym wyłączeniu fabryki, zerwanie kontraktów JIT i utrata kluczowych klientów OEM (Student 3 lub Student 1).
• Inżynieria naprawcza: nowe baterie, monitoring BMS, Load Bank i łącze satelitarne (2 min): Prezentacja planu wymiany zasilania, umowy na paliwo i procedur awaryjnego wydania towaru (Student 2).
• Podsumowanie, analiza wad i zalet (1 min): Zestawienie kosztu inwestycji w akumulatory i opornicę w zestawieniu z karą za 2 godziny przestoju fabryki (cały zespół).

Raport składany przez grupę (4-6 stron A4) musi zawierać:

A. Odpowiedzi na pytania problemowe i opis sytuacyjny:

• Dlaczego uruchomienie agregatu prądotwórczego na biegu jałowym (bez obciążenia) nie stanowi wiarygodnego dowodu jego sprawności i gotowości do przejęcia zasilania serwerowni w czasie awarii?
• Jakie procesy chemiczne i biologiczne zachodzą w oleju napędowym przechowywanym w zbiornikach powyżej 12 miesięcy i dlaczego zjawisko "diesel bug" unieruchamia agregaty prądotwórcze w warunkach kryzysowych?
• W jaki sposób zorganizować procedurę awaryjnego funkcjonowania magazynu wysokiego składowania (Manual Fallback), aby zapewnić terminową wysyłkę towarów JIT przy całkowitym braku prądu i systemów komputerowych?

B. Wzorcowe rozwiązanie problemu (Dokumentacja poaudytowa):

• Karta ustaleń audytowych: Zestawienie 3 niezgodności z normą ISO 27001 (A.7.11, A.8.14) oraz wytycznymi TIA-942.
• Standardowa Procedura Operacyjna (SOP) testów zasilania gwarantowanego:
  • Częstotliwość A (miesięczna): Przełączenie układu SZR na agregat w kontrolowanym oknie serwisowym na czas 30 minut z podtrzymaniem zasilania serwerowni.
  • Częstotliwość B (roczna): Podłączenie zewnętrznej opornicy (Load Bank) i testowanie generatora pod obciążeniem 100% mocy znamionowej przez 4 godziny z badaniem temperatury silnika i parametrów spalin.
  • Procedura badań laboratoryjnych paliwa: pobieranie próbek z dna zbiornika co 6 miesięcy i weryfikacja zawartości wody i mikroorganizmów.
• Procedura operacyjna awaryjnego wydawania wyrobów gotowych (JIT Fallback SOP):
  • Wdrożenie awaryjnych stanowisk magazynowych z zasilaniem z przenośnych generatorów walizkowych.
  • Zastosowanie papierowych kart załadunkowych z przygotowanymi wcześniej naklejkami kodów kreskowych.
  • Harmonogram zrzutu danych do systemu SAP po wznowieniu zasilania (zespół ds. uzupełniania danych pracujący w trybie nadgodzinowym).

C. Analiza zalet i wad proponowanego rozwiązania:

• Zalety: Zapewnienie pełnej odporności fabryki na regionalny blackout energetyczny; wyeliminowanie ryzyka wielomilionowych kar kontraktowych od koncernów samochodowych; wydłużenie czasu podtrzymania serwerowni na bateriach do 45 minut; dywersyfikacja łączności telekomunikacyjnej.
• Wady i ograniczenia: Znaczny koszt zakupu nowych baterii LiFePO4 oraz dzierżawy opornicy do testów obciążeniowych; konieczność comiesięcznych prac serwisowych i regularnej rotacji oleju napędowego; trudności logistyczne związane z ręczną obsługą magazynu podczas symulacji awarii.

• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - A.7.11 (Urządzenia zasilające i wspierające), A.8.14 (Redundancja urządzeń przetwarzania informacji), A.5.29 i A.5.30 (Ciągłość działania).
• Norma PN-EN ISO 22301:2020: Bezpieczeństwo i odporność - Systemy zarządzania ciągłością działania - Wymagania.
• Standard Telecommunications Industry Association TIA-942: Telecommunications Infrastructure Standard for Data Centers (wymagania dla poziomów Rated 2 / Rated 3 w zakresie zasilania i redundancji).
• Ustawa z dnia 10 kwietnia 1997 r. Prawo energetyczne (Dz.U. z 2024 r. poz. 266 z późn. zm.) - przepisy dotyczące stopni zasilania i ograniczeń w dostawach energii elektrycznej.
• Polskie Sieci Elektroenergetyczne (PSE): "Procedury postępowania podmiotów gospodarczych na wypadek wystąpienia zagrożenia bezpieczeństwa dostaw energii elektrycznej", Warszawa 2023.

• U2 Student potrafi zidentyfikować wady techniczne układów zasilania gwarantowanego (UPS, SZR, agregat) oraz pojedyncze punkty awarii w infrastrukturze telekomunikacyjnej.
• U1 Student projektuje program testów obciążeniowych zasilania awaryjnego oraz procedurę awaryjnego fallbacku manualnego dla procesów logistycznych.
• U3 Student szacuje straty finansowe i operacyjne wynikające z zatrzymania produkcji i łańcucha dostaw w warunkach blackoutu.
• W2W3 Student zna wymagania kontroli ISO 27001 A.7.11 i A.8.14 oraz wytyczne standardu TIA-942 dla serwerowni przemysłowych.
• K1K2 Student wykazuje praktyczne podejście inżynierskie i dbałość o realną sprawność urządzeń ratujących ciągłość przedsiębiorstwa.

Celem zadania jest wykształcenie umiejętności audytowania wielopoziomowej polityki retencji i rotacji kopii zapasowych w oparciu o schemat Dziadek-Ojciec-Syn (Grandfather-Father-Son - GFS), badania integralności kryptograficznej zarchiwizowanych plików multimedialnych oraz weryfikacji ochrony przed cichą degradacją danych (ang. Bit Rot). Zadanie osadzone jest w realiach sądownictwa powszechnego, gdzie cyfrowy zapis dźwięku i obrazu z sali rozpraw (system ReCourt) stanowi wyłączny i nadrzędny protokół elektroniczny posiedzenia sądu w sprawach cywilnych i gospodarczych, a jego utrata lub uszkodzenie unieważnia postępowanie procesowe.

Powiązanie z sylabusem i treściami programowymi:

• U2 Identyfikacja nieautoryzowanego skracania okresów retencji danych, braku weryfikacji sum kontrolnych nagrań procesowych oraz występowania uszkodzonych bloków danych (Bit Rot).
• U1 Opracowanie matematycznego modelu zapotrzebowania na pamięć masową dla schematu GFS, polityki cyklicznego hashowania plików oraz procedury archiwizacji wieczystej.
• U3 Przeprowadzenie analizy ryzyka uchylenia wyroków sądowych, wznowienia procesów i paraliżu wymiaru sprawiedliwości w wyniku utraty zapisu protokołu rozprawy.
• U4 Opracowanie profesjonalnego referatu i raportu poaudytowego dla Prezesa Sądu Okręgowego i Dyrektora Sądu.
• W1 Znajomość przepisów Kodeksu postępowania cywilnego i Kodeksu postępowania karnego w zakresie protokołu elektronicznego oraz ustawy o ustroju sądów powszechnych.
• W2W3 Zrozumienie normy PN-EN ISO/IEC 27001:2022 (kontrola A.8.13 Tworzenie kopii zapasowych informacji), wymagań KRI w zakresie archiwizacji elektronicznej oraz standardów Ministerstwa Sprawiedliwości dla systemów audio-video.
• K1K2K3 Kształtowanie bezstronności, poszanowania dla powagi wymiaru sprawiedliwości, skrupulatności w badaniu dowodów cyfrowych i etyki zawodowej.
• Powiązanie z wykładem: Wyk1 (Audyt w wymiarze sprawiedliwości), Wyk3 (Kontrola A.8.13 i integralność informacji), Wyk4 (Zgodność z KRI i przepisami procesowymi), Wyk6 (Techniki badania integralności danych i samplingu plików).

Sąd Okręgowy w Piotrkowie Trybunalskim posiada 5 wydziałów orzeczniczych (Cywilny, Karny, Pracy i Ubezpieczeń Społecznych, Gospodarczy oraz Wizytacyjny) i nadzoruje 6 podległych sądów rejonowych. W 18 salach rozpraw zainstalowany jest zintegrowany system rejestracji rozpraw sądowych ReCourt, który rejestruje obraz w jakości Full HD oraz wielościeżkowy dźwięk z mikrofonów sędziów, stron procesowych i świadków.

Dane multimedialne i stan procesu tworzenia kopii zapasowych:

• W sądzie rejestrowanych jest rocznie ponad 15 000 godzin nagrań rozpraw, co generuje przyrost danych rzędu 8 TB miesięcznie (blisko 100 TB rocznie).
• Zgodnie z zarządzeniem Ministra Sprawiedliwości oraz Polityką Bezpieczeństwa Informacji Sądu, nagrania rozpraw powinny być objęte rygorystycznym schematem rotacji GFS:
  • Syn (kopia codzienna przyrostowa): przechowywana przez 14 dni na lokalnej macierzy dyskowej;
  • Ojciec (kopia cotygodniowa pełna): przechowywana przez 8 tygodni na macierzy backupowej;
  • Dziadek (kopia comiesięczna pełna): archiwizowana w sposób trwały i nienaruszalny (WORM) przez minimum 10 lat (a w sprawach o zbrodnie i prawomocne wyroki wieczyste - przez 25 lat).
• W trakcie badania audytorzy ujawnili, że z powodu braku środków budżetowych na rozbudowę macierzy dyskowej, administratorzy IT sądu 6 miesięcy temu samowolnie zmodyfikowali reguły retencji w oprogramowaniu backupowym: kopie dzienne są kasowane po 4 dniach, kopie cotygodniowe po 14 dniach, a kopie comiesięczne są bezpowrotnie nadpisywane po 60 dniach.
• Sąd całkowicie zaprzestał tworzenia kopii długoterminowych na nośnikach trwałych (taśmy/WORM). Jedyne archiwum znajduje się na starej, 5-letniej macierzy produkcyjnej SATA, która pracuje na granicy zapełnienia (96% zajętości).
• Co najbardziej alarmujące: audyt techniczny integralności wykazał, że oprogramowanie backupu weryfikuje jedynie obecność pliku w katalogu, ale NIE SPRAWDZA jego sumy kontrolnej ani integralności wewnętrznej kontenera wideo (pliki MP4).
• Audytorzy pobrali losową próbkę 50 nagrań rozpraw z lat 2021-2023. Próba odtworzenia 4 plików zakończyła się błędem "nieprawidłowy nagłówek kontenera - plik uszkodzony". Na skutek cichej degradacji danych (zjawisko Bit Rot na starych dyskach magnetycznych) bezpowrotnie utracono zapis dźwiękowy z kluczowej rozprawy karnej w sprawie o zabójstwo, co uniemożliwia sporządzenie uzasadnienia wyroku i rozpoznanie apelacji przez Sąd Apelacyjny.

Prezes Sądu Okręgowego, powiadomiony przez przewodniczącego wydziału karnego o problemie z odtworzeniem nagrania rozprawy, powołuje zespół audytorów do przeprowadzenia pilnej kontroli procedur archiwizacji i weryfikacji integralności nagrań.

Zadanie wymaga oceny matematycznej schematu GFS, audytu polityki retencji oraz weryfikacji integralności kryptograficznej plików archiwalnych:

• Krok 1 (Podział ról w zespole audytowym):

  Student 1 (Audytor Wiodący / Analityk Procedur Sądowych): Bada przepisy prawa procesowego (KPC, KPK), zarządzenia Prezesa Sądu i instrukcję archiwalną, przeprowadza wywiady z Przewodniczącymi Wydziałów i Dyrektorem Sądu, koordynuje przygotowanie referatu.

  Student 2 (Audytor Techniczny ds. Pamięci Masowych i Systemów Multimedialnych): Analizuje konfigurację oprogramowania backupowego, schemat GFS, parametry macierzy dyskowej, zjawisko Bit Rot, przeprowadza analizę sum kontrolnych hash SHA-256 oraz weryfikuje mechanizmy samo-naprawy danych (scrubbing ZFS/ReFS).

  Student 3 (Audytor Zgodności z KRI i Retencją Prawną): Dokonuje analizy wymagań par. 20 KRI w zakresie trwałości rejestrów publicznych, normy ISO 27001 (kontrola A.8.13), ocenia ryzyko procesowe uchylenia wyroków i sporządza kartę niezgodności.

• Krok 2 (Weryfikacja schematu rotacji GFS i pojemności macierzy):

  Zbadajcie konfigurację zadań harmonogramu w oprogramowaniu backupu. Porównajcie oficjalną politykę retencji (wymóg 10 lat) ze stanem faktycznym w konsoli (60 dni). Obliczcie realne zapotrzebowanie na przestrzeń dyskową dla schematu GFS przy rocznym przyroście 100 TB danych z uwzględnieniem deduplikacji i kompresji.

• Krok 3 (Badanie próbki nagrań i wykrywanie cichej degradacji Bit Rot):

  Pobierzcie próbkę 50 plików wideo z bazy systemu ReCourt. Zweryfikujcie sumy kontrolne SHA-256 zapisane w bazie danych metadanych podczas rejestracji rozprawy z rzeczywistą sumą kontrolną wyliczoną z pliku na macierzy backupowej. Zidentyfikujcie uszkodzone pliki i przeanalizujcie przyczyny wystąpienia Bit Rot (błędy sektorów dysków SATA bez kontroli parzystości na poziomie systemu plików).

• Krok 4 (Klasyfikacja niezgodności):

  Sformułujcie ustalenia audytowe:

  • Niezgodność krytyczna (NC1): Samowolne skrócenie okresu retencji kopii comiesięcznych z wymaganych 10 lat do 60 dni oraz brak trwałego repozytorium archiwalnego, co doprowadziło do bezpowrotnej utraty nagrań rozpraw sądowych stanowiących protokoły elektroniczne (rażące naruszenie przepisów KPC, KPK, par. 20 ust. 2 pkt 11 KRI oraz kontroli ISO/IEC 27001 A.8.13).
  • Niezgodność większa (NC2): Brak automatycznej weryfikacji integralności kryptograficznej (sum kontrolnych hash SHA-256) zarchiwizowanych nagrań oraz brak mechanizmów ochrony przed zjawiskiem Bit Rot na macierzach dyskowych (naruszenie kontroli ISO 27001 A.8.13 i wytycznych KRI).
  • Niezgodność mniejsza (NC3): Zatajenie faktu krytycznego zapełnienia macierzy dyskowej przez informatyków i brak pisemnego zgłoszenia zapotrzebowania na pamięć masową do Dyrektora Sądu.
• Krok 5 (Opracowanie wzorcowej architektury repozytorium GFS i technologii WORM):

  Zaprojektujcie zmodernizowaną infrastrukturę pamięci masowej dla Sądu Okręgowego:

  • Wdrożenie dwupoziomowego systemu pamięci: Poziom 1 (Fast Storage) na potrzeby bieżących rozpraw i kopii dziennych/tygodniowych; Poziom 2 (Archive Storage) oparty na systemie plików z automatyczną ochroną przed Bit Rot (np. ZFS z macierzą RAID-Z2 i comiesięcznym automatycznym procesem scrubbingu, który sprawdza sumy kontrolne każdego bloku i automatycznie naprawia uszkodzone sektory z danych parzystości).
  • Wdrożenie niezmiennych magazynów obiektowych (WORM) uniemożliwiających modyfikację i skasowanie plików rozpraw przez okres wymagany przepisami prawa.
• Krok 6 (Opracowanie procedury weryfikacji sum kontrolnych i archiwizacji wieczystej):

  Sformułujcie procedurę operacyjną: automatyczny skrypt generujący sumę kontrolną SHA-256 w chwili zakończenia nagrania przez kodek na sali rozpraw, zapis hasha w bazie ReCourt i comiesięczna weryfikacja zgodności hasha w repozytorium backupowym z automatycznym raportem dla Przewodniczącego Wydziału.

Prezentacja seminaryjna (10 minut) podczas laboratoriów:

• Znaczenie prawne protokołu elektronicznego w sądzie (2 min): Rewolucja cyfrowa w wymiarze sprawiedliwości, rygory Kodeksu postępowania cywilnego i status nagrania jako dowodu nadrzędnego (Student 1).
• Wyniki audytu: samowolna redukcja retencji i zjawisko Bit Rot (3 min): Przedstawienie dowodów ze skróconych zadań backupu, brak miejsca na macierzy, demonstracja błędu odczytu pliku MP4 w sprawie o zabójstwo (Student 2).
• Konsekwencje procesowe i odpowiedzialność Skarbu Państwa (2 min): Analiza ryzyka uchylenia orzeczeń sądowych, wznowienia procesów od początku i odszkodowań za przewlekłość postępowania (Student 3 lub Student 1).
• Architektura naprawcza: model GFS, macierze ZFS z funkcją Data Scrubbing i WORM (2 min): Prezentacja obliczeń pojemnościowych, technologii samo-naprawy danych i hashowania SHA-256 (Student 2).
• Podsumowanie, analiza wad i zalet (1 min): Bilans nakładów na profesjonalne repozytorium archiwalne w relacji do powagi i zaufania do Rzeczypospolitej Polskiej (cały zespół).

Raport składany przez grupę (4-6 stron A4) musi zawierać:

A. Odpowiedzi na pytania problemowe i opis sytuacyjny:

• W jaki sposób schemat rotacji Dziadek-Ojciec-Syn (GFS) pozwala na optymalizację przestrzeni dyskowej przy jednoczesnym zachowaniu możliwości odtworzenia danych z różnych punktów w czasie (dni, tygodnie, miesiące, lata)?
• Czym jest zjawisko "cichej degradacji danych" (Silent Data Corruption / Bit Rot), dlaczego standardowe systemy plików (NTFS, ext4) nie potrafią go wykryć i jak przed tym zjawiskiem chroni system plików ZFS z mechanizmem Data Scrubbing?
• Jakie są skutki procesowe w polskim procesie cywilnym i karnym, gdy z powodu awarii systemu backupu bezpowrotnie zniszczony zostanie zapis dźwięku i obrazu z wielogodzinnej rozprawy, na której przesłuchiwano kluczowych świadków?

B. Wzorcowe rozwiązanie problemu (Dokumentacja techniczno-organizacyjna):

• Karta ustaleń audytowych: Zestawienie 3 niezgodności z odniesieniem do KPC, KPK, KRI oraz ISO 27001 A.8.13.
• Matematyczny model zapotrzebowania na pamięć masową GFS (na 5 lat):
  • Przyrost miesięczny: 8 TB danych wideo.
  • Kopie codzienne (Syn - 14 dni retencji): około 4 TB (przyrostowo).
  • Kopie tygodniowe (Ojciec - 8 tygodni retencji): około 64 TB.
  • Kopie comiesięczne (Dziadek - 60 miesięcy retencji z deduplikacją 1:1.5): około 320 TB.
  • Łączne zapotrzebowanie na przestrzeń brutto (z uwzględnieniem parzystości RAID-Z2 i rezerwy 25%): 550 TB pamięci masowej.
• Standardowa Procedura Operacyjna (SOP) weryfikacji integralności nagrań rozpraw:
  • Krok 1: Wyliczenie hasha SHA-256 w locie podczas zamykania sesji nagraniowej na stacji ReCourt.
  • Krok 2: Zapis hasha do nienaruszalnej tabeli w bazie danych metadanych.
  • Krok 3: Automatyczny comiesięczny audyt integralności: skrypt weryfikujący zgodność sumy kontrolnej każdego pliku w repozytorium GFS; w przypadku wykrycia niezgodności - natychmiastowe odtworzenie bloku z parzystości lub kopii zapasowej.

C. Analiza zalet i wad proponowanego rozwiązania:

• Zalety: Stuprocentowa gwarancja integralności i nienaruszalności cyfrowych protokołów sądowych przez 10-25 lat; pełna eliminacja zjawiska Bit Rot dzięki mechanizmowi Data Scrubbing; zgodność z wymogami KRI i prawa procesowego; wyeliminowanie ryzyka unieważnienia procesów sądowych.
• Wady i ograniczenia: Konieczność pozyskania znacznych środków budżetowych z Ministerstwa Sprawiedliwości na zakup macierzy o pojemności 550 TB; dodatkowe obciążenie kontrolerów macierzy podczas comiesięcznego procesu scrubbingu danych.

• Ustawa z dnia 17 listopada 1964 r. Kodeks postępowania cywilnego (Dz.U. z 2023 r. poz. 1550 z późn. zm.) - art. 157 i 158 (utrwalanie przebiegu posiedzenia za pomocą urządzenia rejestrującego dźwięk albo obraz i dźwięk).
• Ustawa z dnia 6 czerwca 1997 r. Kodeks postępowania karnego (Dz.U. z 2024 r. poz. 37 z późn. zm.) - art. 147 (rejestracja przebiegu czynności procesowych).
• Rozporządzenie Rady Ministrów w sprawie Krajowych Ram Interoperacyjności (Dz.U. z 2024 r. poz. 773) - par. 20 (zasady tworzenia i przechowywania kopii bezpieczeństwa rejestrów publicznych).
• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - A.8.13 (Tworzenie kopii zapasowych informacji), A.8.14 (Redundancja).
• Ministerstwo Sprawiedliwości: "Standardy techniczne i wytyczne bezpieczeństwa dla cyfrowych systemów rejestracji rozpraw sądowych", Warszawa 2022.
• OpenZFS Documentation: "Data Integrity, Checksums and Self-Healing Architecture in Enterprise Storage", OpenZFS 2023.

• U2 Student potrafi zidentyfikować wady w politykach retencji danych, nieuprawnione skracanie okresów przechowywania oraz zjawisko cichej degradacji danych Bit Rot.
• U1 Student projektuje schemat rotacji GFS, wylicza zapotrzebowanie na przestrzeń dyskową oraz opracowuje procedurę automatycznej weryfikacji sum kontrolnych SHA-256.
• U3 Student szacuje ryzyka procesowe i prawne wynikające z uszkodzenia lub utraty cyfrowych dowodów procesowych w wymiarze sprawiedliwości.
• W1W3 Student zna przepisy KPC, KPK i KRI w zakresie protokołu elektronicznego i retencji rejestrów publicznych.
• K1K3 Student przejawia skrupulatność, bezstronność i dbałość o zachowanie powagi i integralności instytucji państwa prawa.

Celem zadania jest opanowanie przez studentów umiejętności przeprowadzania audytu systemów tworzenia kopii zapasowych w nowoczesnych, zwirtualizowanych środowiskach serwerowych (na przykładzie platformy VMware vSphere / Microsoft Hyper-V). Zadanie koncentruje się na wyjaśnieniu i zbadaniu fundamentalnego błędu popełnianego w praktyce IT: utożsamiania migawek maszyn wirtualnych (ang. Snapshots / Checkpoints) z właściwymi, niezależnymi kopiami zapasowymi (Backups). Studenci uczą się weryfikować negatywne skutki zjawiska snapshot sprawl (utrzymywania długich łańcuchów migawek obciążających macierze SAN), audytować technologie szybkiego odtwarzania maszyn wirtualnych (Instant VM Recovery) oraz procedury odzyskiwania hiperwizorów i serwerów fizycznych po awarii sprzętowej (Bare-Metal Restore).

Powiązanie z sylabusem i treściami programowymi:

• U2 Wykrywanie błędów architektonicznych w postaci braku niezależnego repozytorium kopii, degradacji wydajności macierzy przez przeterminowane migawki maszyn oraz braku procedur odtworzeniowych typu bare-metal.
• U1 Opracowanie polityki cyklu życia migawek maszyn wirtualnych, projektu dedykowanego systemu backupu wirtualizacji z deduplikacją oraz procedury testów Instant VM Recovery.
• U3 Przeprowadzenie analizy ryzyka bezpowrotnej utraty wyników badań naukowych, symulacji reaktorowych oraz baz danych instytutu w przypadku awarii macierzy produkcyjnej SAN.
• U4 Sporządzenie merytorycznego referatu i raportu poaudytowego dla Dyrektora Naukowego Instytutu i Pełnomocnika ds. Bezpieczeństwa Informacji.
• W1 Znajomość uwarunkowań prawnych ochrony własności intelektualnej i wyników badań naukowych finansowanych ze środków publicznych (Ustawa o instytutach badawczych).
• W2W3 Zrozumienie normy PN-EN ISO/IEC 27001:2022 (kontrole A.8.13, A.8.14), wytycznych producentów systemów wirtualizacji (VMware Best Practices) oraz wymogów KRI.
• K1K2K3 Kształtowanie dociekliwości technicznej przy badaniu metadanych środowisk wirtualnych, bezstronności w konfrontacji z błędnymi przekonaniami personelu IT oraz odpowiedzialności za mienie naukowo-badawcze.
• Powiązanie z wykładem: Wyk1 (Audyt w jednostkach badawczo-rozwojowych), Wyk3 (Kontrole A.8.13 i redundancja A.8.14 w środowiskach wirtualnych), Wyk5 (Analiza ryzyka awarii storage'u SAN), Wyk6 (Analiza logów hiperwizorów i dowodów z konfiguracji wirtualizacji).

Państwowy Instytut Badawczy Energetyki Jądrowej w Otwocku prowadzi strategiczne badania w zakresie bezpieczeństwa reaktorów jądrowych, fizyki plazmy oraz produkcji radiofarmaceutyków dla onkologii. Instytut zatrudnia 450 naukowców, inżynierów i pracowników administracji, realizując projekty badawcze o wielomilionowych budżetach finansowane z funduszy krajowych i unijnych.

Infrastruktura teleinformatyczna i mechanizmy "ochrony" danych:

• Środowisko serwerowe instytutu jest niemal w 100% zwirtualizowane w oparciu o klaster 8 serwerów fizycznych pod kontrolą VMware vSphere ESXi zarządzany przez centralną instancję vCenter Server Appliance (VCSA).
• Na klastrze uruchomionych jest 65 maszyn wirtualnych (VM), w tym: klastry obliczeniowe symulacji hydrodynamicznych, serwery bazodanowe aparatury pomiarowej reaktora, system Elektronicznego Obiegu Dokumentów (EZD), system kadrowo-płacowy oraz repozytorium grantów naukowych.
• Wszystkie maszyny wirtualne przechowują swoje wirtualne dyski (pliki VMDK) na pojedynczej centralnej macierzy dyskowej SAN połączonej z serwerami za pośrednictwem sieci Fiber Channel (FC).
• W trakcie wywiadu audytowego główny administrator wirtualizacji oświadczył, że "instytut posiada doskonały, nowoczesny i bezkosztowy system backupu, ponieważ codziennie w nocy skrypt PowerShell tworzy migawkę (snapshot) każdej z 65 maszyn wirtualnych".
• Szczegółowy audyt techniczny pamięci masowych datastore VMFS ujawnił przerażający stan faktyczny:
  • Na macierzy produkcyjnej zidentyfikowano maszyny wirtualne posiadające łańcuchy migawek liczące po kilkadziesiąt poziomów, sięgające wstecz nawet 9 miesięcy (zjawisko tzw. snapshot sprawl).
  • Pliki delta snapshotów urosły do gigantycznych rozmiarów (niektóre osiągnęły 4 TB na pojedynczą maszynę), co doprowadziło do drastycznego spadku wydajności operacji wejścia/wyjścia (I/O) i wyczerpania przestrzeni na wolumenach dyskowych do krytycznego poziomu 98%.
  • Instytut NIE POSIADA ŻADNEJ niezależnej kopii zapasowej maszyn wirtualnych na zewnętrznym serwerze lub innej fizycznej pamięci masowej poza tą samą macierzą produkcyjną SAN.
  • Administratorzy nie rozumieją, że migawka nie jest kopią danych, lecz plikiem różnicowym zależnym w 100% od dysku bazowego. W przypadku awarii kontrolera macierzy SAN, fizycznego uszkodzenia dysków lub logicznego uszkodzenia systemu plików VMFS wszystkie 65 maszyn wirtualnych wraz ze wszystkimi swoimi migawkami ulegnie natychmiastowemu i bezpowrotnemu zniszczeniu.
  • Ponadto instytut nie posiada wyeksportowanej konfiguracji hostów ESXi, kopi vCenter (VCSA) ani procedury odtworzenia klastra po awarii fizycznej (brak procedury Bare-Metal Restore).

Dyrektor Naukowy Instytutu, zaniepokojony ciągłymi spadkami wydajności klastra obliczeniowego i ostrzeżeniami o braku miejsca na macierzy, zleca zespołowi audytorów kompleksową kontrolę środowiska wirtualizacji.

Zadanie wymaga oceny konfiguracji klastra wirtualizacji, analizy stanu migawek na datastore'ach oraz opracowania profesjonalnej architektury backupu VM:

• Krok 1 (Podział ról w zespole audytowym):

  Student 1 (Audytor Wiodący / Analityk Procesów Badawczo-Rozwojowych): Analizuje regulaminy instytutu, wywiady z kadrą naukową i Dyrektorem ds. Technicznych, ocenia wartość grantów naukowych i danych badawczych, koordynuje wystąpienie seminaryjne.

  Student 2 (Audytor Techniczny ds. Wirtualizacji i Pamięci Masowych): Przeprowadza inspekcję klastra vSphere za pomocą narzędzi diagnostycznych (PowerCLI), analizuje strukturę drzewa snapshotów maszyn, bada wskaźniki IOPS i latencji na macierzy SAN, weryfikuje konfigurację vCenter i projektuje architekturę deduplikowanego backupu maszyn.

  Student 3 (Audytor Zgodności z KRI i Analizy Ryzyka Technologicznego): Bada naruszenia normy ISO 27001 (kontrole A.8.13 i A.8.14), wytycznych KRI w zakresie trwałości danych publicznych, ocenia ryzyko katastrofalnej utraty dorobku naukowego instytutu i formułuje kartę niezgodności.

• Krok 2 (Inspekcja klastra vSphere i inwentaryzacja snapshotów):

  Uruchomcie skrypt audytowy w środowisku VMware wyszukujący maszyny wirtualne z aktywnymi migawkami: wyliczcie liczbę migawek, ich wiek oraz sumaryczny rozmiar plików delta (*-delta.vmdk) na poszczególnych magazynach datastore. Wykażcie, że najstarsza migawka istnieje od 270 dni, a łączna przestrzeń zajmowana przez pliki różnicowe przekracza 35 TB.

• Krok 3 (Weryfikacja braku niezależnego repozytorium i procedur Bare-Metal):

  Zbadajcie trasy danych i logiczną strukturę pamięci. Udowodnijcie administratorom, że uszkodzenie wolumenu VMFS na macierzy SAN oznacza natychmiastową utratę dysku bazowego i automatyczne unieważnienie wszystkich migawek zależnych. Sprawdźcie, czy istnieje zarchiwizowany backup bazy vCenter Server (VCSA) z harmonogramem wysyłki po protokole SFTP na zewnętrzny zasób.

• Krok 4 (Klasyfikacja niezgodności):

  Sformułujcie ustalenia audytowe:

  • Niezgodność krytyczna (NC1): Błędne traktowanie migawek maszyn wirtualnych (snapshots) jako pełnych kopii zapasowych oraz całkowity brak niezależnego repozytorium backupu poza produkcyjną macierzą SAN, co stwarza bezpośrednie ryzyko bezpowrotnej likwidacji wszystkich 65 maszyn wirtualnych instytutu przy pojedynczej awarii macierzy (rażące naruszenie kontroli ISO/IEC 27001:2022 A.8.13, A.8.14 oraz par. 20 KRI).
  • Niezgodność większa (NC2): Utrzymywanie łańcuchów migawek przez okres do 9 miesięcy (snapshot sprawl) skutkujące krytycznym wyczerpaniem pojemności pamięci masowej (98%) oraz degradacją wydajności operacji dyskowych klastra badawczego (naruszenie oficjalnych zaleceń VMware Best Practices).
  • Niezgodność mniejsza (NC3): Brak przetestowanej procedury instalacji i odtworzenia czystego hiperwizora po awarii sprzętowej (brak procedury Bare-Metal Restore dla hostów ESXi).
• Krok 5 (Opracowanie rygorystycznej polityki cyklu życia migawek - Snapshot Policy):

  Sformułujcie zasady eksploatacji wirtualizacji:

  • Migawka maszyny wirtualnej NIE JEST kopią zapasową i służy wyłącznie jako punkt powrotu na czas niebezpiecznych zmian (aktualizacja systemu, instalacja łatki).
  • Maksymalny dopuszczalny czas istnienia migawki w systemie produkcyjnym wynosi 72 godziny; po tym czasie migawka musi zostać bezwzględnie scalona (commited/deleted) lub automatycznie skasowana przez skrypt nadzorczy.
  • Zakaz tworzenia wielopoziomowych drzew migawek (maksymalnie 1 poziom migawki na maszynę).
• Krok 6 (Opracowanie architektury dedykowanego backupu VM i Instant VM Recovery):

  Zaprojektujcie profesjonalny system ochrony środowiska wirtualnego:

  • Wdrożenie dedykowanego serwera backupu wirtualizacji (np. Veeam Backup & Replication / Commvault) podłączonego do niezależnej fizycznie macierzy backupowej z mechanizmem deduplikacji i kompresji danych.
  • Wykorzystanie mechanizmu śledzenia zmienionych bloków (Changed Block Tracking - CBT) umożliwiającego szybkie wykonywanie kopii przyrostowych bez obciążania maszyn wirtualnych.
  • Wdrożenie technologii Instant VM Recovery (natychmiastowe uruchomienie maszyny wirtualnej bezpośrednio ze skompresowanego pliku backupu w czasie poniżej 2 minut poprzez zamontowanie wolumenu backupowego jako tymczasowego datastore NFS).
  • Procedura automatycznego eksportu konfiguracji hostów ESXi (Host Profiles) oraz codziennego backupu bazy vCenter (VCSA) na zewnętrzny serwer SFTP.

Prezentacja seminaryjna (10 minut) podczas laboratoriów:

• Specyfika badań jądrowych i waga danych obliczeniowych (2 min): Struktura instytutu w Otwocku, rygory grantów badawczych i koszty powtórzenia symulacji reaktorowych (Student 1).
• Iluzja bezpieczeństwa: dlaczego snapshot to nie backup (3 min): Szczegółowe wyjaśnienie mechanizmu działania plików delta, analiza 9-miesięcznego łańcucha migawek, zjawisko snapshot sprawl i ryzyko awarii macierzy SAN (Student 2).
• Zagrożenia formalne i naruszenie standardów KRI i ISO (2 min): Analiza wymagań kontroli ISO 27001 A.8.13, ryzyko utraty dofinansowania grantów i odpowiedzialność dyrekcji (Student 3 lub Student 1).
• Architektura docelowa: CBT, niezależny magazyn deduplikowany i Instant VM Recovery (2 min): Demonstracja działania mechanizmu Changed Block Tracking, scalenia starych migawek oraz startu maszyny w 90 sekund (Student 2).
• Podsumowanie, analiza wad i zalet (1 min): Bilans nakładów na serwer backupowy w zestawieniu z bezpieczeństwem strategicznych projektów naukowych (cały zespół).

Raport składany przez grupę (4-6 stron A4) musi zawierać:

A. Odpowiedzi na pytania problemowe i opis sytuacyjny:

• Dlaczego migawka maszyny wirtualnej (Snapshot w VMware / Checkpoint w Hyper-V) pod żadnym pozorem NIE MOŻE być uznawana za kopię zapasową (Backup) i jak działa mechanizm zapisu do pliku delta po utworzeniu migawki?
• W jaki sposób długie utrzymywanie migawek maszyn wirtualnych (powyżej kilku dni) degraduje wydajność całej macierzy dyskowej SAN i jakie ryzyka rodzi proces usuwania (scalania) ogromnej migawki o rozmiarze kilkuset gigabajtów?
• Na czym polega technologia Instant VM Recovery (błyskawiczne odtwarzanie maszyn wirtualnych) i dlaczego pozwala ona skrócić wskaźnik RTO z wielu godzin do pojedynczych minut?

B. Wzorcowe rozwiązanie problemu (Dokumentacja techniczno-organizacyjna):

• Karta ustaleń audytowych wirtualizacji: Zestawienie 3 niezgodności z odniesieniem do ISO 27001 A.8.13, A.8.14 oraz zaleceń VMware.
• Procedura operacyjna zarządzania cyklem życia migawek w klastrze vSphere:
  • Definicja celów: migawka jako zabezpieczenie krótkoterminowe przed modyfikacją systemu operacyjnego.
  • Automatyczny alert w vCenter po przekroczeniu przez migawkę wieku 24 godzin.
  • Bezwzględny automatyczny skrypt kasujący/scalający migawki starsze niż 72 godziny w każdą niedzielę w oknie serwisowym.
• Projekt wdrożenia dedykowanego systemu backupu maszyn wirtualnych:
  • Architektura: Serwer backupu z bezpośrednim dostępem do sieci SAN (Direct SAN Access) odczytujący dane z pominięciem sieci LAN i hiperwizorów.
  • Repozytorium docelowe: Niezależny serwer pamięci masowej z macierzą dyskową w konfiguracji RAID-6 z deduplikacją blokową.
  • Harmonogram: pełny backup syntetyczny co tydzień, kopie przyrostowe co 4 godziny z wykorzystaniem Changed Block Tracking (CBT).
  • Testy odtworzeniowe: wdrożenie procedury Instant VM Recovery z weryfikacją startu systemu i spójności bazy danych w izolowanym wirtualnym laboratorium.

C. Analiza zalet i wad proponowanego rozwiązania:

• Zalety: Całkowite oddzielenie środowiska kopii zapasowych od produkcyjnej macierzy SAN; odzyskanie ponad 35 TB przestrzeni dyskowej na macierzy produkcyjnej po scaleniu starych migawek; wzrost wydajności operacji I/O o 40%; skrócenie czasu odzyskania kluczowej maszyny VM do poniżej 3 minut dzięki Instant VM Recovery; pełna zgodność z normą ISO 27001 i KRI.
• Wady i ograniczenia: Konieczność zakupu licencji na profesjonalne oprogramowanie backupowe oraz dedykowanego serwera pamięci masowej; czasochłonny proces bezpiecznego scalania wielomiesięcznych migawek wymagający nadzoru administratorów w celu uniknięcia zapchania pamięci podręcznej macierzy.

• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - A.8.13 (Tworzenie kopii zapasowych informacji), A.8.14 (Redundancja urządzeń przetwarzania informacji), A.8.9 (Zarządzanie konfiguracją).
• VMware Corporation: "VMware vSphere Best Practices for Virtual Machine Snapshots", VMware Knowledge Base 2023.
• Microsoft Corporation: "Hyper-V Checkpoints Overview and Best Practices", Microsoft Learn 2023.
• Rozporządzenie Rady Ministrów w sprawie Krajowych Ram Interoperacyjności (Dz.U. z 2024 r. poz. 773) - § 20.
• Ustawa z dnia 30 kwietnia 2010 r. o instytutach badawczych (Dz.U. z 2022 r. poz. 498 z późn. zm.).
• Veeam Software: "VMware Backup Best Practices Guide - Architecture and Sizing", Veeam Whitepaper 2023.

• U2 Student potrafi odróżnić migawkę maszyny wirtualnej od pełnej kopii zapasowej oraz zdiagnozować zjawisko snapshot sprawl i jego wpływ na infrastrukturę IT.
• U1 Student projektuje politykę cyklu życia migawek, architekturę dedykowanego backupu z mechanizmem CBT oraz procedurę Instant VM Recovery.
• U3 Student szacuje ryzyko awarii centralnej pamięci masowej SAN i utraty dorobku naukowego instytutu badawczego.
• W2W3 Student zna wytyczne producentów wirtualizacji (VMware Best Practices), normę ISO 27001 i wymogi KRI w odniesieniu do środowisk zwirtualizowanych.
• K1K2 Student wykazuje krytycyzm technologiczny, zdolność demaskowania pozornych zabezpieczeń i dbałość o rzetelność audytorską.

Celem zadania jest nabycie przez studentów zaawansowanych umiejętności audytu organizacyjnej i zarządczej części Planu Ciągłości Działania (Business Continuity Plan - BCP) oraz procedur Zarządzania Kryzysowego (Crisis Management) w podmiocie o znaczeniu strategicznym dla bezpieczeństwa państwa. Zadanie dotyczy Operatora Systemu Dystrybucyjnego (OSD) elektroenergetycznego uznanego za obiekt infrastruktury krytycznej i podmiot kluczowy dyrektywy NIS2 / Ustawy o KSC. Studenci uczą się weryfikować strukturę łańcucha dowodzenia (Incident Command System), procedury powoływania i pracy Sztabu Kryzysowego, mechanizmy masowego ostrzegania i łączności awaryjnej, a także procedury komunikacji ze strukturami państwowymi (Rządowe Centrum Bezpieczeństwa - RCB, Wojewódzkie Centrum Zarządzania Kryzysowego, CSIRT GOV / CSIRT NASK) oraz mediami i opinią publiczną w obliczu klęski żywiołowej (katastrofalnej powodzi lub huraganu niszczącego centralny węzeł dyspozytorski).

Powiązanie z sylabusem i treściami programowymi:

• U2 Identyfikacja krytycznych luk w strukturach zarządzania kryzysowego, takich jak nieaktualne listy kontaktowe, brak wyznaczonych zastępców w łańcuchu dowodzenia, brak niezależnych środków łączności oraz brak ćwiczeń zgrywających.
• U1 Opracowanie regulaminu pracy Sztabu Kryzysowego OSD, matrycy eskalacji i decyzji kryzysowych, procedury masowego powiadamiania oraz programu ćwiczeń symulacyjnych typu Tabletop.
• U3 Przeprowadzenie analizy ryzyka paraliżu decyzyjnego, chaosu komunikacyjnego, dezinformacji medialnej oraz paniki społecznej w warunkach rozległego blackoutu wywołanego powodzią.
• U4 Opracowanie profesjonalnego referatu oraz raportu z audytu BCP dla Zarządu Pol-Energia OSD i Pełnomocnika ds. Ochrony Infrastruktury Krytycznej.
• W1 Znajomość przepisów Ustawy o zarządzaniu kryzysowym, Ustawy o Krajowym Systemie Cyberbezpieczeństwa oraz Ustawy Prawo energetyczne.
• W2W3 Zrozumienie normy PN-EN ISO 22301:2020 (Zarządzanie ciągłością działania - p. 8.4 Gotowość i reagowanie na incydenty), normy ISO/IEC 27001:2022 (kontrole A.5.29 i A.5.30) oraz wymagań dyrektywy NIS2 (UE 2022/2555).
• K1K2K3 Kształtowanie postawy przywódczej, opanowania w warunkach stresu i presji czasu, etyki odpowiedzialności publicznej oraz bezstronności w diagnozowaniu patologii organizacyjnych.
• Powiązanie z wykładem: Wyk1 (Rola audytu w strategicznych spółkach Skarbu Państwa), Wyk3 (Kontrole A.5.29 i A.5.30 w zarządzaniu kryzysowym), Wyk4 (Zgodność z NIS2 i Ustawą o zarządzaniu kryzysowym), Wyk7 (Ocena istotności niezgodności i raportowanie strategiczne).

Spółka Pol-Energia Dystrybucja S.A. jest regionalnym Operatorem Systemu Dystrybucyjnego (OSD) dostarczającym energię elektryczną do 1,2 miliona odbiorców (gospodarstw domowych, zakładów przemysłowych, szpitali, obiektów wojskowych i infrastruktury transportowej) na terenie województw świętokrzyskiego i małopolskiego. Spółka zarządza ponad 35 tysiącami kilometrów linii energetycznych, 180 Głównymi Punktami Zasilania (GPZ) oraz centralną dyspozycją mocy. Pol-Energia jest wpisana do jednolitego wykazu obiektów infrastruktury krytycznej prowadzonego przez Dyrektora Rządowego Centrum Bezpieczeństwa (RCB).

Infrastruktura krytyczna i stan faktyczny planów BCP i zarządzania kryzysowego:

• Centralny Ośrodek Dyspozytorski (COD) oraz główna serwerownia spółki mieszczą się w zabytkowej dzielnicy nadrzecznej w pobliżu wałów przeciwpowodziowych dużej rzeki.
• Spółka posiada formalny dokument "Plan Zarządzania Ciągłością Działania i Reagowania Kryzysowego na Wypadek Klęsk Żywiołowych" zatwierdzony przez Zarząd w 2018 roku.
• W trakcie szczegółowego audytu organizacyjnego i procedur kryzysowych audytorzy stwierdzili dramatyczny stan nieprzygotowania organizacyjnego:
  • Księga Zarządzania Kryzysowego zawiera nieaktualne dane kontaktowe członków Sztabu Kryzysowego: 4 z 7 kluczowych osób (w tym Główny Inżynier Ruchu i Pełnomocnik ds. Bezpieczeństwa) już nie pracuje w spółce, a podane w planie prywatne numery telefonów są nieaktywne lub należą do osób postronnych.
  • W strukturze łańcucha dowodzenia (Chain of Command) brak jest jednoznacznego wyznaczenia sukcesji: plan stanowi, że decyzję o ogłoszeniu stanu klęski, ewakuacji serwerowni i wyłączeniu zasilania zalewanych podstacji podejmuje wyłącznie Prezes Zarządu. W sytuacji, gdy Prezes przebywa na urlopie za granicą lub jest nieosiągalny, nikt w spółce nie posiada formalnego umocowania prawnego do podjęcia jednoosobowej decyzji ratunkowej.
  • Procedura alarmowego powiadamiania członków sztabu opiera się wyłącznie na wysłaniu grupowej wiadomości SMS z telefonu komórkowego dyspozytora dyżurnego przez publiczną sieć komórkową GSM. W warunkach katastrofalnej powodzi lub huraganu, gdy stacje bazowe telefonii komórkowej zostaną zalane lub pozbawione prądu, powiadomienie sztabu jest technicznie niemożliwe.
  • Spółka nie posiada dedykowanych środków łączności kryzysowej (brak radiotelefonów w standardzie TETRA lub DMR z własną infrastrukturą zasilania, brak telefonów satelitarnych Iridium dla członków sztabu).
  • W planie brak jest procedury komunikacji kryzysowej z mediami: podczas niedawnej lokalnej awarii brak oficjalnego rzecznika prasowego ds. kryzysowych doprowadził do powstania lawiny fałszywych informacji (fake news) w mediach społecznościowych o rzekomym "tygodniowym odcięciu prądu w całym regionie", co wywołało panikę i masowe wykupywanie paliwa na stacjach benzynowych.
  • Od 2018 roku w spółce NIGDY nie przeprowadzono pełnych ćwiczeń zgrywających Sztabu Kryzysowego (ani ćwiczeń symulacyjnych typu tabletop, ani ćwiczeń polowych) z udziałem Wojewody, Państwowej Straży Pożarnej, Policji, Wojsk Obrony Terytorialnej (WOT) czy CSIRT GOV.

Rada Nadzorcza Spółki, stając w obliczu wzrastającej liczby ekstremalnych zjawisk pogodowych oraz zaostrzenia rygorów dyrektywy NIS2, powołuje zewnętrzny zespół audytorów do przeprowadzenia bezwzględnej kontroli procedur ciągłości działania i sztabu kryzysowego.

Zadanie wymaga oceny procedur zarządczych, łańcucha decyzyjnego, systemów łączności alarmowej oraz opracowania programu ćwiczeń kryzysowych:

• Krok 1 (Podział ról w zespole audytowym):

  Student 1 (Audytor Wiodący / Analityk Zarządzania Kryzysowego): Bada strukturę organizacyjną spółki, regulaminy zarządu, łańcuch dowodzenia, przeprowadza wywiady z Wiceprezesem ds. Technicznych i Głównym Dyspozytorem Mocy, koordynuje przygotowanie referatu.

  Student 2 (Audytor Techniczny ds. Systemów Łączności i Ostrzegania): Analizuje infrastrukturę telekomunikacyjną, bada podatność sieci GSM na blackout, weryfikuje systemy łączności radiowej i satelitarnej, systemy masowego powiadamiania (mass notification systems) oraz projektuje architekturę łączności awaryjnej.

  Student 3 (Audytor Zgodności z Ustawą o Zarządzaniu Kryzysowym i NIS2): Weryfikuje spełnienie wymagań Ustawy o zarządzaniu kryzysowym, Ustawy o KSC, dyrektywy NIS2, normy ISO 22301 (p. 8.4), bada ścieżki raportowania incydentów krytycznych do RCB i CSIRT GOV oraz sporządza kartę niezgodności.

• Krok 2 (Audyt struktury łańcucha dowodzenia i procedury powołania sztabu):

  Zweryfikujcie listę kontaktową w Księdze BCP. Skonfrontujcie nazwiska i numery telefonów z aktualną bazą kadr. Zbadajcie schemat sukcesji stanowisk (kto jest Pierwszym Zastępcą, Drugim Zastępcą Kierownika Sztabu). Wykażcie lukę prawną w przypadku braku obecności Prezesa Zarządu.

• Krok 3 (Weryfikacja kanałów łączności alarmowej i procedur medialnych):

  Zbadajcie czas i skuteczność powiadomienia członków sztabu w godzinach nocnych (np. w niedzielę o godz. 02:00) przy założeniu awarii publicznych sieci komórkowych (scenariusz flood & blackout). Przeanalizujcie procedurę przygotowywania komunikatów prasowych dla Rządowego Centrum Bezpieczeństwa (komunikaty Alert RCB) i regionalnych mediów.

• Krok 4 (Klasyfikacja niezgodności):

  Sformułujcie ustalenia audytowe:

  • Niezgodność krytyczna (NC1): Posiadanie całkowicie fikcyjnego, nieaktualnego planu zarządzania kryzysowego (nieaktualne kontakty do 4 z 7 członków sztabu, brak sukcesji decyzyjnej pod nieobecność Prezesa), uniemożliwiającego podjęcie skoordynowanych działań ratunkowych w przypadku katastrofy powodziowej w obiekcie infrastruktury krytycznej (rażące naruszenie Ustawy o zarządzaniu kryzysowym, art. 8 Ustawy o KSC oraz normy PN-EN ISO 22301:2020 p. 8.4).
  • Niezgodność większa (NC2): Opieranie systemu powiadamiania i łączności kryzysowej wyłącznie na publicznej sieci telefonii komórkowej GSM bez redundancji radiowej (TETRA/DMR) i satelitarnej, co gwarantuje całkowitą utratę łączności w warunkach klęski żywiołowej (naruszenie kontroli ISO/IEC 27001:2022 A.5.29, A.5.30 i wytycznych RCB).
  • Niezgodność mniejsza (NC3): Brak przeprowadzania cyklicznych ćwiczeń symulacyjnych typu Tabletop oraz brak planu komunikacji kryzysowej i przeciwdziałania dezinformacji w mediach społecznościowych.
• Krok 5 (Opracowanie matrycy ról i regulaminu Sztabu Kryzysowego OSD):

  Zaprojektujcie strukturę Sztabu Kryzysowego zgodną ze standardem Incident Command System (ICS):

  • Kierownik Akcji Kryzysowej (Incident Commander): Prezes Zarządu -> w razie nieobecności: Członek Zarządu ds. Technicznych -> w razie nieobecności: Główny Dyspozytor Mocy (jednoosobowe prawo podejmowania decyzji o ewakuacji i wyłączeniach sieci).
  • Szef Sekcji Operacyjnej: koordynacja brygad pogotowia energetycznego w terenie.
  • Szef Sekcji Logistyki i Zaopatrzenia: dostawy paliwa do agregatów, łodzie, agregaty mobilne, wyżywienie.
  • Szef Sekcji Łączności i IT: utrzymanie systemów SCADA, łączności radiowej i zapasowego centrum dyspozytorskiego.
  • Oficer Prasowy ds. Kryzysowych: wyłączny kontakt z mediami, RCB, przygotowywanie oświadczeń co 60 minut, monitoring i dementowanie fake news w internecie.
  • Koordynator ds. Współpracy ze Służbami: stały oficer łącznikowy w Wojewódzkim Centrum Zarządzania Kryzysowego (kontakt z PSP, Policją, WOT).
• Krok 6 (Opracowanie procedury łączności kryzysowej i programu ćwiczeń):

  Przygotujcie procedury techniczno-operacyjne:

  • Wdrożenie autonomicznej sieci łączności dyspozytorskiej opartej na standardzie DMR Tier III / TETRA z własnym zasilaniem buforowym na masztach (minimum 72 godziny pracy bez prądu) oraz wyposażenie każdego członka sztabu w terminal satelitarny Iridium z funkcją przesyłania danych i głosu.
  • Program dorocznych ćwiczeń kryzysowych: ćwiczenia stolikowe (Tabletop) co 6 miesięcy z udziałem przedstawicieli Wojewody i RCB oraz ćwiczenia pełnoskalowe w terenie raz na 2 lata z udziałem jednostek Państwowej Straży Pożarnej i WOT (symulacja zalania stacji GPZ i przełączenia zasilania na stację kontenerową).

Prezentacja seminaryjna (10 minut) podczas laboratoriów:

• Rola Operatora Systemu Dystrybucyjnego jako infrastruktury krytycznej (2 min): Znaczenie spółki Pol-Energia, uzależnienie życia mieszkańców i szpitali od dostaw energii, rygory Ustawy o zarządzaniu kryzysowym i NIS2 (Student 1).
• Wyniki audytu: "sztab-widmo", martwe telefony i paraliż łańcucha dowodzenia (3 min): Przedstawienie dowodów z nieaktualnej księgi BCP, brak procedury sukcesji, uzależnienie od sieci GSM i chaos medialny (Student 2).
• Konsekwencje społeczne, prawne i karne braku gotowości kryzysowej (2 min): Analiza skutków niepodjęcia decyzji o wyłączeniach (zagrożenie porażeniem prądem ratowników i ludności), odpowiedzialność karna Zarządu (Student 3 lub Student 1).
• Architektura naprawcza: struktura ICS, łączność TETRA/satelitarna i oficer prasowy (2 min): Prezentacja nowego schematu łańcucha dowodzenia, systemu masowego powiadamiania i procedur anty-dezinformacyjnych (Student 2).
• Podsumowanie, analiza wad i zalet (1 min): Dyskusja nad kosztami zakupu łączności satelitarnej i ćwiczeń w relacji do bezpieczeństwa strategicznego państwa (cały zespół).

Raport składany przez grupę (4-6 stron A4) musi zawierać:

A. Odpowiedzi na pytania problemowe i opis sytuacyjny:

• Dlaczego w sytuacji kryzysowej (np. powódź zagrażająca zalaniem stacji energetycznej) tradycyjna hierarchia korporacyjna i kolegialne podejmowanie decyzji przez Zarząd muszą zostać bezwzględnie zastąpione jednoosobowym łańcuchem dowodzenia (Incident Command System)?
• W jaki sposób zorganizować procedurę alarmowego zwoływania personelu kryzysowego i łączności operacyjnej w sytuacji, gdy na skutek blackoutu i zalania stacji bazowych doszło do całkowitego paraliżu publicznych sieci komórkowych (GSM/LTE/5G)?
• Dlaczego brak profesjonalnego oficera prasowego ds. kryzysowych i brak natychmiastowej komunikacji ze społeczeństwem w dobie internetu potęguje skutki katastrofy naturalnej i wywołuje panikę społeczną?

B. Wzorcowe rozwiązanie problemu (Dokumentacja poaudytowa):

• Karta ustaleń audytowych BCP: Zestawienie 3 niezgodności z odniesieniem do Ustawy o zarządzaniu kryzysowym, Ustawy o KSC i normy ISO 22301.
• Schemat łańcucha dowodzenia Sztabu Kryzysowego Pol-Energia OSD (ICS Chart):
  • Poziom 1: Kierownik Akcji (Prezes -> Wiceprezes Techniczny -> Główny Dyspozytor).
  • Poziom 2: Sztab Doradczy (Oficer Prasowy, Radca Prawny, Oficer BHP/Środowiskowy).
  • Poziom 3: Szefowie Sekcji Zadaniowych (Sekcja Operacyjna, Sekcja Logistyki, Sekcja Łączności/IT, Sekcja Współpracy ze Służbami Mundurowymi).
• Standardowa Procedura Operacyjna (SOP) powiadamiania i zwoływania Sztabu:
  • Stopień 1 (Stan Ostrzegawczy - prognoza IMGW o fali powodziowej z wyprzedzeniem 48h): przejście członków sztabu w stan dyżuru domowego, weryfikacja naładowania terminali satelitarnych, test łączy radiowych.
  • Stopień 2 (Stan Alarmowy - przekroczenie stanu alarmowego na rzece o 50 cm): automatyczne uruchomienie systemu masowego powiadamiania wysyłającego jednoczesne komunikaty wielokanałowe (połączenie telefoniczne IVR, SMS, komunikat na radiotelefon, powiadomienie satelitarne Iridium Push-to-Talk) z wymogiem potwierdzenia gotowości kodem PIN w ciągu 15 minut.
  • Stopień 3 (Stan Klęski): fizyczne zebranie sztabu w Głównym Centrum Dowodzenia lub - w razie odcięcia dojazdu - w Zapasowym Ośrodku Dyspozytorskim zlokalizowanym na terenie bezpiecznym hydrologicznie.
• Ramowy scenariusz ćwiczeń symulacyjnych typu Tabletop (Scenariusz "Potop 2026"):
  • Założenie: przerwanie wału przeciwpowodziowego, zalanie stacji GPZ Powiśle, utrata zasilania serwerowni centralnej, brak sieci GSM, dezinformacja o pęknięciu zapory wodnej.
  • Czas trwania: 6 godzin symulacji czasu rzeczywistego z udziałem obserwatorów z RCB i Wojewody.

C. Analiza zalet i wad proponowanego rozwiązania:

• Zalety: Pełna i natychmiastowa gotowość decyzyjna spółki w obliczu klęski żywiołowej; wyeliminowanie paraliżu decyzyjnego dzięki precyzyjnemu łańcuchowi sukcesji stanowisk; uniezależnienie łączności dowodzenia od operatorów publicznych dzięki terminalom satelitarnym i radiowym; skuteczna ochrona przed dezinformacją i paniką społeczną; zgodność z dyrektywą NIS2 i wymogami RCB.
• Wady i ograniczenia: Wysoki koszt zakupu i utrzymania abonamentów telefonii satelitarnej oraz masztów radiowych TETRA; konieczność cyklicznego angażowania kadry kierowniczej w wielogodzinne ćwiczenia symulacyjne kosztem bieżącej pracy biznesowej.

• Ustawa z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym (Dz.U. z 2023 r. poz. 122 z późn. zm.) - zasady ochrony infrastruktury krytycznej i plany zarządzania kryzysowego.
• Ustawa z dnia 5 lipca 2018 r. o Krajowym Systemie Cyberbezpieczeństwa (tekst jedn. Dz.U. z 2026 r. poz. 20, zm. Dz.U. z 2026 r. poz. 252) - obowiązki podmiotów kluczowych i incydenty krytyczne.
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (Dyrektywa NIS2) - sektor energetyczny (energia elektryczna).
• Norma PN-EN ISO 22301:2020: Bezpieczeństwo i odporność - Systemy zarządzania ciągłością działania - Wymagania (punkt 8.4 Gotowość i reagowanie na incydenty).
• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - A.5.29 (Gotowość bezpieczeństwa informacji w czasie zakłóceń), A.5.30 (Gotowość technologii informacyjnych i komunikacyjnych do ciągłości działania).
• Rządowe Centrum Bezpieczeństwa (RCB): "Krajowy Plan Zarządzania Kryzysowego - Standardy procedur reagowania i komunikacji kryzysowej", Warszawa 2023.
• Federal Emergency Management Agency (FEMA): "National Incident Management System (NIMS) - Incident Command System (ICS) Guidelines", Washington 2022.

• U2 Student potrafi zidentyfikować wady organizacyjne w strukturach zarządzania kryzysowego, brak sukcesji stanowisk oraz brak redundancji łączności alarmowej.
• U1 Student projektuje schemat łańcucha dowodzenia (ICS), regulamin pracy Sztabu Kryzysowego oraz scenariusz ćwiczeń symulacyjnych typu Tabletop.
• U3 Student szacuje ryzyka paraliżu decyzyjnego, chaosu komunikacyjnego i dezinformacji w warunkach klęski żywiołowej i awarii energetycznej.
• W1W2W3 Student zna Ustawę o zarządzaniu kryzysowym, Ustawę o KSC, dyrektywę NIS2 oraz normę ISO 22301 w obszarze gotowości i reagowania na incydenty.
• K1K2K3 Student przejawia postawę przywódczą, odpowiedzialność za bezpieczeństwo obywateli i etykę służby publicznej.