Laboratorium 5

Celem zadania laboratoryjnego na ocenę 5.0 jest przeprowadzenie strategicznego, symulowanego audytu cyberodporności procedur tworzenia kopii zapasowych oraz planu odtwarzania awaryjnego (DRP/BCP) w wielospecjalistycznym szpitalu klinicznym o statusie Podmiotu Kluczowego w rozumieniu Dyrektywy NIS2 oraz operatora infrastruktury krytycznej ochrony zdrowia. Placówka zarządza wielopetabajtowymi zbiorami wrażliwych danych medycznych, histopatologicznych i genetycznych (art. 9 RODO), systemami szpitalnymi HIS/PACS ratującymi życie oraz algorytmami AI wysokiego ryzyka wspomagającymi radioterapię. Studenci wcielają się w rolę audytorów badających stan krytyczny po incydencie ataku ransomware z podwójnym wymuszeniem (double extortion), który doprowadził do zaszyfrowania podstawowej bazy Oracle HIS, ujawniając niespójność "gorących" zrzutów RMAN wykonywanych bez archivelogów, brak izolacji sieciowej pamięci masowej oraz brak procedury awaryjnego odzyskiwania danych w trybie Break-Glass na bloku operacyjnym i SOR. Zadanie rozwija biegłość w realizacji audytu w formule Triady Audytorskiej, sformułowania ustaleń w kanonicznym modelu 4C, kwantyfikacji ryzyka w 25-stopniowej matrycy 5x5 skorelowanej ze wskaźnikami BCM (RTO/RPO/MTPD), skonstruowania trójfazowego Planu CAP oraz przygotowania Podsumowania Zarządczego (Executive Summary - "Pitch to Board") dla Dyrekcji Szpitala.

Powiązanie z sylabusem i treściami programowymi na ocenę 5.0:

• W1 Zaawansowana ochrona danych szczególnej kategorii (art. 9 RODO), tajemnicy lekarskiej oraz odpowiedzialności prawnej i karnej za narażenie życia pacjentów w wyniku paraliżu systemów klinicznych.
• W2W3 Rygorystyczna korelacja wymagań Dyrektywy NIS2 (art. 21 - zarządzanie ciągłością działania, bezpieczeństwo łańcucha dostaw), normy ISO/IEC 27001:2022 (A.8.13, A.8.14, A.5.29, A.5.30), normy ISO 22301:2020, ISO 27799 oraz standardów akredytacyjnych CMJ.
• U1 Opracowanie zintegrowanego Standardu Architektury Backupów i DRP dla szpitala onkologicznego opartego na utwardzonym repozytorium WORM (Hardened Linux Repository z immutability), regule 3-2-1-1-0 oraz izolowanym łączu światłowodowym do Zapasowego Centrum Danych (DRC).
• U2 Profesjonalna identyfikacja i formalna gradacja uchybień w kanonicznym modelu 4C (Condition, Criteria, Cause, Consequence) z analizą przyczyn źródłowych Root Cause Analysis (ciąg 5 Why).
• U3 Przeprowadzenie analizy ryzyka risk-based w 25-stopniowej matrycy 5x5 przed i po zastosowaniu kontroli mitygujących, wyznaczenie parametrów BCM: RTO (15 minut dla HIS/PACS), RPO (0 sekund dla transakcji lekowych) oraz MTPD (1 godzina).
• U4 Opracowanie trójfazowego Planu Działań Korygujących (CAP) ze wskaźnikami KPI i KRI oraz Podsumowania Zarządczego w formacie Pitch to Board.
• K1K2K3 Niezależność osądu audytorskiego, bezkompromisowa ochrona życia i prywatności pacjentów, odporność na presję kliniczną i obrona ustaleń przed Dyrekcją i Wojewódzkim Koordynatorem Ratownictwa Medycznego.
• Powiązanie z wykładem: Wyk1 (Ład SZBI w podmiotach kluczowych), Wyk3 (Kontrole A.8.13 i A.5.30), Wyk4 (Zbieżność NIS2 i RODO), Wyk5 (Risk-based audit ISO 27005 i BCM), Wyk6 (Sampling zadań backupowych i logów RMAN/Veeam), Wyk7 (Model 4C, 5 Why i trójfazowy CAP).

Wojewódzki Szpital Zespolony i Centrum Onkologii dysponuje bazą 1 100 łóżek, 18 salami operacyjnymi, oddziałami transplantologii szpiku, chemioterapii dziennej, radioterapii i SOR oraz własnym lądowiskiem LPR. Placówka rocznie hospitalizuje 70 000 chorych i przetwarza ponad 1,8 PB danych obrazowych PET/CT i badań histopatologicznych.

Infrastruktura teleinformatyczna i stan krytyczny systemów backupowych:

• Podstawą funkcjonowania szpitala jest baza danych Oracle 19c Enterprise Edition obsługująca zintegrowany system HIS (Szpitalny System Informacyjny) oraz archiwum PACS powiązane z chmurowym modelem AI do planowania naświetlań onkologicznych.
• Przebieg incydentu i uchybienia audytowe: O godzinie 02:40 w nocy nastąpiła infekcja oprogramowaniem ransomware z grupy Akira, które przeniknęło przez podatność w nieaktualizowanym serwerze VPN dostawcy zewnętrznego. Złośliwe oprogramowanie zaszyfrowało główną macierz bazodanową HIS oraz serwer backupu Veeam. W trakcie próby natychmiastowego odtworzenia bazy HIS okazało się, że skrypty RMAN od 14 miesięcy wykonywały backup bazy w trybie "hot backup" na udział sieciowy NAS (SMB v1) bez włączonego trybu ARCHIVELOG. Kopie były niespójne transakcyjnie (inconsistent cold/hot image), a próba otwarcia bazy zgłaszała błąd ORA-01113 i ORA-01110.
• Ponadto udział NAS znajdował się w tej samej domenie Active Directory, co pozwoliło intruzowi na skasowanie wszystkich migawek i plików kopii za pomocą przejętych poświadczeń Domain Admins.
• Brak procedury Break-Glass i procedury papierowej: Z powodu braku dostępu do historii dawek cytostatyków i radioterapii, 42 pacjentów zostało odesłanych z oddziału chemioterapii, a 3 operacje onkologiczne wstrzymano na etapie znieczulenia z powodu niemożności weryfikacji grupy krwi i alergii na leki. Brak sformalizowanej procedury DRP i brak alternatywnego ośrodka DRC doprowadził do ogłoszenia ewakuacji pacjentów w stanie krytycznym do szpitali ościennych.
• Ostatni pełny test odtworzeniowy (Disaster Recovery Drill) wykonano 3 lata temu na czystej maszynie wirtualnej o pojemności 100 GB, podczas gdy obecna baza HIS przekracza 14 TB.

Dyrekcja Szpitala powołuje zespół audytorów do przeprowadzenia strategicznego audytu DRP/BCP w formule 90 minut, sformułowania ustaleń w modelu 4C, wyliczenia ryzyka 5x5 i opracowania trójfazowego Planu CAP.

Zadanie laboratoryjne realizowane jest w 2-3 osobowej Triadzie Audytorskiej w ściśle kontrolowanym reżimie czasowym:

• Faza 1 (Minuty 00-15): Triada audytorska, podział ról i triage dowodowy.
  • Wyznaczenie ról w zespole:
    • Rola A: Lead Auditor / CISO Representative (odpowiada za ład BCP/DRP, spójność z NIS2/RODO/CMJ, redaguje Executive Summary, moderuje obronę przed Dyrekcją).
    • Rola B: Technical SecOps Auditor (analizuje konfigurację RMAN, skrypty backupowe, udziały storage NAS/SAN, podatności domeny AD i projektuje Hardened Linux Repository WORM).
    • Rola C: BCM & Compliance Auditor (konstruuje matrycę ryzyka 5x5, wyznacza metryki RTO/RPO/MTPD, prowadzi analizę 5 Why dla błędu bazodanowego, opracowuje trójfazowy Plan CAP).
  • Triage dowodów: Analiza logów błędów Oracle ORA-01113, konfiguracji Veeam, uprawnień domenowych udziału NAS i raportu z incydentu ransomware.
• Faza 2 (Minuty 15-40): Karta Niezgodności 4C, Analiza Ryzyka 5x5 i Root Cause Analysis.
  • Sformułowanie Karty Niezgodności Dużej (NC1) w modelu 4C dla niespójności kopii Oracle HIS i podatności repozytoriów na atak ransomware.
  • Przeprowadzenie pełnego dochodzenia 5 Why dochodzącego do zaniechań w ładzie korporacyjnym i braku testów odtworzeniowych pod obciążeniem.
  • Skonstruowanie zaawansowanej matrycy ryzyka 5x5 dla 4 kluczowych wektorów (zaszyfrowanie HIS i backupów, utrata życia chorych przez brak procedury Break-Glass, wyciek danych genetycznych art. 9 RODO, sabotaż poświadczeń domenowych).
  • Wyznaczenie parametrów BCM: RTO = 15 minut dla systemów krytycznych podtrzymania życia, RPO = 0 sekund dla zleceń lekowych, MTPD = 1 godzina.
• Faza 3 (Minuty 40-70): Architektura odporności backupów i Trójfazowy Plan CAP.
  • Projekt utwardzonej architektury backupu: wdrożenie Veeam Hardened Repository na dedykowanym serwerze Linux z immutability (WORM) poza domeną Active Directory, blokada protokołu SMB v1 na rzecz bezpiecznego transportu agentowego, wymuszenie trybu ARCHIVELOG w Oracle z backupem logów transakcyjnych co 5 minut.
  • Opracowanie Procedury DRP i Trybu Ratunkowego Break-Glass: natychmiastowe uruchomienie bazy HIS w trybie Instant VM Recovery bezpośrednio z pamięci masowej WORM w czasie poniżej 12 minut.
  • Harmonogramowanie Planu CAP: Faza 1 (0-7 dni - natychmiastowa izolacja i WORM), Faza 2 (30 dni - automatyzacja testów SureBackup i procedury DRC), Faza 3 (90 dni - pełna certyfikacja ISO 22301 i integracja z Krajowym Rejestrem Nowotworów).
• Faza 4 (Minuty 70-90): Synteza Executive Summary i obrona ustna przed Dyrekcją.
  • Opracowanie 1-stronicowego Podsumowania Zarządczego (Executive Summary - "Pitch to Board") dla Dyrektora Szpitala i Pełnomocnika Wojewody.
  • 5-minutowa obrona ustna z udziałem komisji oceniającej.

Końcowy raport z audytu (objętość 12-16 stron A4) musi zawierać następujące rozdziały:

• Strona tytułowa i Metryka Audytu (skład Triady Audytorskiej, role A/B/C, data audytu, klauzule poufności).
• Rozdział 1: Podsumowanie Zarządcze (Executive Summary - 1 strona A4: syntetyczna diagnoza, ekspozycja prawno-finansowa, wnioskowany budżet CAP, matryca priorytetów).
• Rozdział 2: Profil podmiotu i wielowymiarowa matryca zbieżności regulacyjnej (korelacja wymogów: NIS2 Podmiot Kluczowy, RODO art. 9 i art. 32, standardy CMJ, ISO/IEC 27001:2022 A.8.13/A.5.30, ISO 22301).
• Rozdział 3: Zaawansowana Matryca Ryzyka 5x5 i Metryki Ciągłości Działania:
  • Skala prawdopodobieństwa (1-5) i skutku (1-5) w skali 25-punktowej.
  • Analiza ryzyka inherentnego (IR) oraz rezydualnego (RR) wraz z metrykami BCM (RTO, RPO, MTPD).
• Rozdział 4: Projekt Załącznika Wykonawczego do PBI: "Standard Architektury Niezmiennych Kopii Zapasowych (WORM), Ochrony Przed Ransomware i Planu Odtwarzania Awaryjnego (DRP) w Szpitalu Onkologicznym".
• Rozdział 5: Rejestr Ustaleń w Modelu 4C z Analizą Przyczyn Źródłowych 5 Why oraz Trójfazowy Plan CAP ze wskaźnikami KPI i KRI.
• Rozdział 6: Analiza wad, zalet, kosztów TCO oraz bilansu korzyści wdrożenia architektury odpornościowej.

Wzorcowe rozwiązanie poziomu 5.0 obejmuje:

A. Karta Niezgodności Dużej (NC1) w kanonicznym modelu 4C dla Incydentu Niespójności Kopii HIS i Zniszczenia Backupów przez Ransomware:

• Condition (Stan faktyczny): Baza Oracle HIS o wolumenie 14 TB pracowała bez trybu ARCHIVELOG, wykonując niespójne kopie na serwer NAS połączony z domeną Active Directory. Atak ransomware doprowadził do zaszyfrowania bazy produkcyjnej oraz skasowania udziałów backupowych na NAS przy użyciu skompromitowanych poświadczeń Domain Admins. Baza była niemożliwa do uruchomienia (błędy ORA-01113 i ORA-01110), wstrzymano 3 operacje i odwołano chemioterapię 42 pacjentów z powodu braku procedury Break-Glass i braku testów odtworzeniowych od 3 lat.
• Criteria (Kryterium): ISO/IEC 27001:2022 Załącznik A.8.13 (Tworzenie kopii zapasowych informacji), A.8.14 (Redundancja), A.5.29, A.5.30 (Gotowość ICT do ciągłości działania), RODO art. 32 ust. 1 lit. b i c (zdolność do szybkiego przywrócenia dostępności danych osobowych w razie incydentu), Dyrektywa NIS2 art. 21 ust. 2 lit. c (zarządzanie ciągłością działania i kopie zapasowe), Standardy Akredytacyjne CMJ (Ciągłość opieki medycznej).
• Cause (Przyczyna źródłowa - analiza 5 Why):

  1. Dlaczego baza Oracle nie mogła zostać otwarta po odzyskaniu plików danych? Ponieważ kopia została wykonana w stanie gorącym bez zarchiwizowanych dzienników redo (brak ARCHIVELOG) i brakowało wektorów zmian do konsolidacji transakcji.

  2. Dlaczego baza pracowała w trybie NOARCHIVELOG? Ponieważ administratorzy baz danych wyłączyli generowanie archivelogów z powodu braku wolnego miejsca na dyskach macierzy bazodanowej.

  3. Dlaczego nie rozbudowano przestrzeni dyskowej na archivelogi i niezmienne repozytoria kopii? Ponieważ wnioski Działu IT o zakup dedykowanej macierzy i serwerów WORM były trzykrotnie odrzucane przez Dyrekcję Finansową jako "koszt niegenerujący przychodów medycznych".

  4. Dlaczego repozytorium backupu NAS zostało zaszyfrowane razem ze środowiskiem produkcyjnym? Ponieważ zasób backupowy został włączony do głównej domeny Active Directory, a poświadczenia administratora backupu były współdzielone z poświadczeniami stacji roboczych.

  5. Dlaczego nie wdrożono separacji domenowej, zasady 3-2-1-1-0 i regularnych ćwiczeń DRP? (PRZYCZYNA ŹRÓDŁOWA): Brak w szpitalu dojrzałego Systemu Zarządzania Ciągłością Działania (BCMS zgodnego z ISO 22301) oraz brak integracji analizy ryzyka klinicznego z budżetowaniem cyberbezpieczeństwa, co skutkowało traktowaniem kopii zapasowych jako pasywnego skryptu nocnego zamiast krytycznego filaru bezpieczeństwa pacjentów.

• Consequence (Wielowymiarowy skutek): Bezpośrednie zagrożenie życia i zdrowia hospitalizowanych pacjentów onkologicznych; paraliż 18 sal operacyjnych i konieczność ewakuacji oddziałów; śledztwo prokuratorskie z art. 160 Kodeksu karnego (narażenie na utratę życia); kara finansowa od Prezesa UODO (do 20 mln EUR) za brak wdrożenia odpowiednich środków technicznych gwarantujących dostępność danych art. 9 RODO; sankcje z Dyrektywy NIS2 (do 10 mln EUR lub 2% obrotu); utrata kontraktu onkologicznego z NFZ o wartości 95 mln PLN rocznie.

B. Zaawansowana Matryca Ryzyka 5x5 i Metryki Ciągłości Działania (BCM):

(IR = Ryzyko Inherentne w skali 1-25; RR = Ryzyko Rezydualne w skali 1-25).

C. Trójfazowy Plan Działań Korygujących (CAP):

D. Sformalizowany Projekt Załącznika do PBI:

"Załącznik nr 5 do Polityki Bezpieczeństwa Informacji: Standard Zarządzania Kopiami Zapasowymi, Ochrony Przed Ransomware i Procedur Ciągłości Działania (DRP) w Wojewódzkim Szpitalu Zespolonym":

• Par. 1: Zasada nienaruszalności i niezmienności kopii (WORM): Każda kopia zapasowa baz produkcyjnych HIS, PACS i LIS musi trafiać do utwardzonego repozytorium z blokadą czasową (immutability) na minimum 30 dni, uniemożliwiającą modyfikację lub usunięcie nawet przez administratora root.
• Par. 2: Izolacja architektury kopii: Serwery zarządzające kopiami, repozytoria danych oraz interfejsy zarządzające (iLO/iDRAC) muszą funkcjonować w odrębnej podsieci OOB (Out-of-Band) bez routingu do sieci stacji roboczych oraz bez przynależności do domeny Active Directory.
• Par. 3: Reżim transakcyjny baz medycznych: Bazy danych Oracle muszą pracować bezwzględnie w trybie ARCHIVELOG. Kopie dzienników transakcyjnych muszą być wykonywane w interwale nie dłuższym niż 5 minut, gwarantując parametr RPO = 0 dla zleceń lekowych i zabiegowych.
• Par. 4: Procedura Break-Glass w awarii całkowitej: W przypadku niedostępności systemu centralnego HIS na oddziałach intensywnej terapii i salach operacyjnych aktywowane są lokalne, zaszyfrowane stacje awaryjne zawierające zbuforowane dane o alergiach i schematach leczenia pacjentów z ostatnich 72 godzin.

E. Podsumowanie Zarządcze (Executive Summary - "Pitch to Board"):

• Ekspozycja na ryzyko: Poziom krytyczny (25/25) w obszarze odpowiedzialności cywilnej i karnej za narażenie życia pacjentów oraz paraliż bloku operacyjnego w wyniku niespójności kopii zapasowych.
• Zagrożenia regulacyjne: Kary finansowe Prezesa UODO (do 20 mln EUR) z art. 32 RODO, sankcje Dyrektywy NIS2 (do 10 mln EUR), utrata akredytacji CMJ i kontraktu NFZ o wartości 95 mln PLN rocznie.
• Wnioskowany budżet CAP: 580 000 PLN (zakup utwardzonych serwerów z dyskami NVMe dla repozytorium Linux WORM, przełączniki OOB, rozbudowa licencji Veeam z SureBackup i wdrożenie procedury Break-Glass).
• Matryca Priorytetów:
  • Quick Wins (0-7 dni): Włączenie trybu ARCHIVELOG, natychmiastowa izolacja repozytoriów NAS z domeny AD, awaryjne stacje z buforem medycznym (koszt: 0 PLN).
  • Projekty Strategiczne (30-90 dni): Wdrożenie niezmiennego storage WORM, budowa zapasowego łącza światłowodowego do DRC, wdrożenie normy ISO 22301 (koszt: 580 000 PLN, TCO 3-letnie: 740 000 PLN).

F. Analiza zalet, wad i kosztów TCO:

• Zalety: Całkowita odporność kopii zapasowych na ataki ransomware i kompromitację poświadczeń administratora; zagwarantowanie ciągłości terapii onkologicznej bez ryzyka utraty zleceń lekowych (RPO=0); pełna zgodność z Dyrektywą NIS2 i wymogami akredytacyjnymi CMJ.
• Wady i trudności: Zwiększone zapotrzebowanie na przestrzeń dyskową w trybie ARCHIVELOG; konieczność przeszkolenia zespołu IT z administracji systemami Linux i storage'em niemutowalnym; reżim rygorystycznych testów odtworzeniowych w nocy.

• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - A.8.13 (Tworzenie kopii zapasowych), A.8.14 (Redundancja urządzeń), A.5.29, A.5.30 (Gotowość ICT do ciągłości działania).
• Norma PN-EN ISO 22301:2020: Bezpieczeństwo i odporność - Systemy zarządzania ciągłością działania - Wymagania.
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (Dyrektywa NIS2) - art. 21 (Środki zarządzania ryzykiem w cyberbezpieczeństwie).
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 9 (Dane szczególnych kategorii), art. 32 ust. 1 lit. b i c (Dostępność i odtwarzalność).
• Centrum Monitorowania Jakości w Ochronie Zdrowia (CMJ): "Zestaw standardów akredytacyjnych dla szpitali", Kraków.
• NIST Special Publication 800-34 Rev. 1: Contingency Planning Guide for Federal Information Systems.

• U1 Student projektuje zaawansowaną architekturę repozytoriów WORM i procedurę DRP dla szpitalnego środowiska bazodanowego.
• U2 Student dokumentuje uchybienia w kanonicznym modelu 4C i przeprowadza pełne dochodzenie 5 Why dla awarii RMAN.
• U3 Student wykonuje analizę ryzyka w matrycy 5x5 i parametryzuje wskaźniki BCM (RTO/RPO/MTPD).
• U4 Student sporządza trójfazowy Plan CAP z metrykami KPI/KRI oraz Executive Summary w formacie Pitch to Board.
• W1W2W3 Student wykazuje ekspercką wiedzę z zakresu NIS2, RODO art. 9, ISO 27001, ISO 22301 i specyfiki danych medycznych.
• K1K2K3 Student cechuje się bezkompromisowością w ochronie życia pacjentów, etyką inżynierską i zdolnością obrony inwestycji przed Dyrekcją.

Celem zadania laboratoryjnego na ocenę 5.0 jest przeprowadzenie strategicznego audytu procedur backupowych, odporności infrastruktury fizycznej oraz planu odtwarzania awaryjnego (DRP) w Samorządowym Centrum Usług Wspólnych IT (CUW) obsługującym Starostwo Powiatowe oraz 24 podległe jednostki organizacyjne. Środowisko przetwarza strategiczne rejestry państwowe: Ewidencję Gruntów i Budynków (EGiB), rejestry Wydziału Komunikacji (Kierowca/Pojazd) oraz Elektroniczne Zarządzanie Dokumentacją (EZD RP). Audyt stawia studentów w roli zespołu badającego katastrofalne zalanie piwnicznej serwerowni w wyniku awarii magistrali ciepłowniczej, które zniszczyło macierze dyskowe, wolnostojące dyski USB oraz nieatestowane szafy pancerne z taśmami LTO. Zadanie wymaga wdrożenia reguły 3-2-1-1-0, certyfikowanych sejfów termicznych klasy S 120 DIS (PN-EN 1047-1), bezpiecznego szyfrowania nośników BitLocker AES-256 z procedurą depozytową kluczy (Key Escrow), kwantyfikacji ryzyka w matrycy 5x5 ze wskaźnikami BCM, sformułowania ustaleń w modelu 4C z analizą 5 Why, opracowania trójfazowego Planu CAP oraz przygotowania Executive Summary dla Starosty i Zarządu Powiatu.

Powiązanie z sylabusem i treściami programowymi na ocenę 5.0:

• W1 Zaawansowana znajomość regulacji Krajowych Ram Interoperacyjności (KRI par. 20), przepisów o ewidencji gruntów i budynków, tajemnic skarbowych i danych osobowych obywateli.
• W2W3 Rygorystyczna analiza normy PN-EN ISO/IEC 27001:2022 (A.7.10 Nośniki pamięci, A.7.11 Bezpieczeństwo fizyczne, A.8.13, A.5.30), normy PN-EN 1047-1 (sejfowa odporność termiczna dla nośników magnetycznych DIS do 52 st. C), normy ISO 22301 oraz Dyrektywy NIS2 dla administracji publicznej.
• U1 Opracowanie zintegrowanego Standardu Fizycznego i Logicznego Składowania Kopii Zapasowych, łączącego atestowane sejfy S 120 DIS, zautomatyzowaną rotację nośników LTO, szyfrowanie AES-256 z kluczami depozytowymi HSM oraz replikację światłowodową off-site do Powiatowego Zarządu Dróg (PZD).
• U2 Profesjonalne udokumentowanie ustaleń w kanonicznym modelu 4C z dogłębną analizą przyczyn źródłowych (Root Cause Analysis - 5 Why).
• U3 Przeprowadzenie analizy ryzyka w 25-stopniowej matrycy 5x5 przed i po zastosowaniu kontroli mitygujących z wyznaczeniem parametrów BCM (RTO=2h, RPO=1h, MTPD=4h).
• U4 Opracowanie trójfazowego Planu Działań Korygujących (CAP) ze wskaźnikami KPI i KRI oraz Podsumowania Zarządczego w formacie Pitch to Board.
• K1K2K3 Profesjonalizm audytorski w jednostkach samorządu terytorialnego, dbałość o interes publiczny i odporność na polityczne naciski lokalnych decydentów.
• Powiązanie z wykładem: Wyk1 (Ład SZBI w samorządzie), Wyk3 (Kontrole fizyczne A.7 i A.8.13), Wyk4 (Rozporządzenie KRI par. 20), Wyk5 (Risk-based audit i matryca 5x5), Wyk6 (Inspekcja fizyczna nośników i atestów sejfowych), Wyk7 (Model 4C, 5 Why i trójfazowy CAP).

Starostwo Powiatowe i Samorządowe Centrum Usług Wspólnych IT (CUW) obsługuje powiat zamieszkany przez 140 000 mieszkańców. CUW konsoliduje infrastrukturę teleinformatyczną Starostwa, Powiatowego Urzędu Pracy, Powiatowego Inspektoratu Nadzoru Budowlanego, Powiatowego Centrum Pomocy Rodzinie oraz 18 szkół i jednostek oświatowych. W centralnej serwerowni CUW przetwarzane są bazy danych EGiB (geodezja i mapy katastralne), bazy Pojazd/Kierowca oraz system EZD RP zawierający 1,2 mln spraw urzędowych.

Przebieg incydentu i uchybienia ujawnione w trakcie audytu:

• W nocy z niedzieli na poniedziałek doszło do pęknięcia rury magistrali ciepłowniczej biegnącej w szachcie technicznym nad główną serwerownią CUW, zlokalizowaną w piwnicy budynku Starostwa pod węzłem hydroforowym.
• Woda o temperaturze 85 stopni Celsjusza zalała szafy rackowe do wysokości 60 cm, powodując zwarcie elektryczne, zniszczenie macierzy produkcyjnej oraz zalanie wolnostojących dysków USB, na które codziennie kopiowano bazy danych EZD RP.
• Taśmy LTO-8 z miesięcznymi kopiami archiwalnymi były przechowywane w biurowej szafie pancernej na dokumenty papierowe (klasa A wg normy MSWiA). W szafie panowała temperatura przekraczająca 90 stopni Celsjusza oraz wilgotność 100%, co doprowadziło do bezpowrotnego rozwarstwienia taśm magnetycznych i rozpuszczenia nośnika poliestrowego.
• Audyt wykazał, że Dział IT nie posiadał podpisanej umowy z żadnym zewnętrznym ośrodkiem zapasowym (brak drugiego ośrodka fizycznego, naruszenie reguły 3-2-1), a kopie "off-site" polegały na tym, że informatyk wynosił nieszyfrowany dysk USB do domu w plecaku bez ewidencji i protokołu przekazania.
• Brak procedury szyfrowania: Na wynoszonych dyskach USB bazy EGiB i dane PCPR (dane wrażliwe dzieci z pieczy zastępczej) nie były szyfrowane, co stanowi rażące naruszenie art. 32 RODO i par. 20 KRI.
• Ostatni test odtworzenia baz wykonano 28 miesięcy temu, a próba uruchomienia EZD RP na prowizorycznym serwerze w urzędzie gminy trwała 9 dni roboczych, paraliżując wydawanie praw jazdy, rejestrację pojazdów i transakcje notarialne na terenie całego powiatu.

Starosta Powiatu powołuje audytorów do przeprowadzenia strategicznego audytu DRP/BCP w formule 90 minut, dekompozycji uchybień w modelu 4C, wyliczenia ryzyka 5x5 i przygotowania trójfazowego Planu CAP.

Zadanie laboratoryjne realizowane jest w 2-3 osobowej Triadzie Audytorskiej:

• Faza 1 (Minuty 00-15): Triada audytorska, podział ról i triage dowodowy.
  • Wyznaczenie ról w zespole:
    • Rola A: Lead Auditor / CISO Representative (ład zarządczy CUW, zgodność z KRI par. 20 i RODO, redakcja Executive Summary dla Starosty).
    • Rola B: Technical SecOps Auditor (analiza fizycznej lokalizacji serwerowni, certyfikatów sejfowych PN-EN 1047-1, szyfrowania BitLocker AES-256 z Key Escrow i łącza światłowodowego do PZD).
    • Rola C: BCM & Compliance Auditor (matryca ryzyka 5x5, wyznaczenie parametrów RTO/RPO/MTPD dla rejestrów powiatowych, analiza 5 Why dla zalania serwerowni, harmonogram Planu CAP).
  • Triage dowodów: Inspekcja protokołów budowlanych węzła cieplnego, certyfikatu szafy pancernej, logów zadań backupowych i ewidencji nośników zewnętrznych.
• Faza 2 (Minuty 15-40): Karta Niezgodności 4C, Analiza Ryzyka 5x5 i Root Cause Analysis.
  • Opracowanie Karty Niezgodności Dużej (NC1) w modelu 4C dla katastrofalnej utraty nośników w wyniku zalania i braku atestowanego sejfu S 120 DIS.
  • Przeprowadzenie dochodzenia 5 Why dochodzącego do zaniechania alokacji budżetowej na infrastrukturę serwerową i lekceważenia wymogów prawa budowlanego.
  • Skonstruowanie matrycy ryzyka 5x5 dla 4 kluczowych zagrożeń (zniszczenie nośników przez zalanie/pożar, kradzież/zgubienie nieszyfrowanego dysku USB przez pracownika, przestój rejestrów urzędowych powyżej 7 dni, kary UODO za utratę danych wrażliwych PCPR).
  • Wyznaczenie parametrów BCM: RTO = 2 godziny dla EGiB/Pojazd, RPO = 1 godzina dla EZD RP, MTPD = 4 godziny.
• Faza 3 (Minuty 40-70): Architektura odpornościowa i Trójfazowy Plan CAP.
  • Standard Bezpiecznego Składowania i Replikacji: zakup sejfu atestowanego klasy S 120 DIS (gwarantującego temperaturę wewnętrzną < 52 st. C i wilgotność < 85% przez 120 minut pożaru), wdrożenie automatycznego szyfrowania nośników taśmowych LTO AES-256 z modułem Key Escrow, uruchomienie replikacji asynchronicznej po dedykowanym dark fiber do Powiatowego Zarządu Dróg (oddalonego o 4,5 km poza strefą zalewową).
  • Harmonogramowanie Planu CAP: Faza 1 (0-7 dni - natychmiastowe sejfy i szyfrowanie USB BitLockerem), Faza 2 (30 dni - uruchomienie WORM i łącza do PZD), Faza 3 (90 dni - przeniesienie głównej serwerowni z piwnicy na I piętro i pełne DRP).
• Faza 4 (Minuty 70-90): Synteza Executive Summary i obrona ustna przed Starostą.
  • Opracowanie 1-stronicowego Podsumowania Zarządczego (Executive Summary - "Pitch to Board") dla Starosty i Skarbnika Powiatu.
  • 5-minutowa obrona ustna ustaleń przed komisją.

Końcowy raport z audytu (objętość 12-16 stron A4) musi zawierać następujące rozdziały:

• Strona tytułowa i Metryka Audytu (skład Triady Audytorskiej, role A/B/C, data audytu, oświadczenie o bezstronności).
• Rozdział 1: Podsumowanie Zarządcze (Executive Summary - 1 strona A4: stan faktyczny, ryzyka paraliżu powiatu, sankcje prawne, budżet CAP, matryca priorytetów).
• Rozdział 2: Profil podmiotu i wielowymiarowa matryca zbieżności regulacyjnej (korelacja wymogów: Rozporządzenie KRI par. 20, RODO art. 32, ISO/IEC 27001:2022 A.7.10/A.8.13, norma PN-EN 1047-1, wytyczne Ministerstwa Cyfryzacji dla EZD RP).
• Rozdział 3: Zaawansowana Matryca Ryzyka 5x5 i Metryki Ciągłości Działania:
  • Skala prawdopodobieństwa (1-5) i skutku (1-5) w skali 25-punktowej.
  • Analiza ryzyka inherentnego (IR) oraz rezydualnego (RR) wraz z metrykami BCM (RTO, RPO, MTPD).
• Rozdział 4: Projekt Załącznika Wykonawczego do PBI: "Instrukcja Bezpiecznego Tworzenia, Szyfrowania, Transportu i Fizycznego Przechowywania Kopii Zapasowych w Samorządowym Centrum Usług Wspólnych".
• Rozdział 5: Rejestr Ustaleń w Modelu 4C z Analizą Przyczyn Źródłowych 5 Why oraz Trójfazowy Plan CAP ze wskaźnikami KPI i KRI.
• Rozdział 6: Analiza wad, zalet, kosztów TCO oraz bilansu korzyści inwestycji w odporność infrastruktury samorządowej.

Wzorcowe rozwiązanie poziomu 5.0 obejmuje:

A. Karta Niezgodności Dużej (NC1) w kanonicznym modelu 4C dla Katastrofalnego Zniszczenia Nośników Kopii w Serwerowni Piwnicznej:

• Condition (Stan faktyczny): Główna serwerownia CUW zlokalizowana w piwnicy pod rurami ciepłowniczymi uległa zalaniu wrzątkiem, niszcząc macierz dyskową i wolnostojące dyski USB z kopiami EZD RP. Taśmy LTO przechowywane w zwykłej szafie biurowej uległy termicznemu zniszczeniu (temperatura > 90 st. C). Kopie off-site wynosił informatyk na nieszyfrowanym dysku USB do domu. Brak drugiego ośrodka danych, brak testów odtworzeniowych od 28 miesięcy, paraliż wydawania decyzji administracyjnych na 9 dni roboczych.
• Criteria (Kryterium): Rozporządzenie Rady Ministrów w sprawie Krajowych Ram Interoperacyjności (KRI) par. 20 ust. 2 pkt 4 i 11 (obowiązek posiadania kopii zapasowych, ich okresowego testowania oraz przechowywania w warunkach zapewniających fizyczne bezpieczeństwo), ISO/IEC 27001:2022 Załącznik A.7.10, A.7.11, A.8.13, RODO art. 32 ust. 1 lit. a, b i c, Norma PN-EN 1047-1 dla sejfów nośników magnetycznych.
• Cause (Przyczyna źródłowa - analiza 5 Why):

  1. Dlaczego taśmy magnetyczne LTO roztopiły się i uległy bezpowrotnej degradacji? Ponieważ szafa pancerna, w której je trzymano, nie posiadała atestu odporności termicznej dla nośników danych (klasa DIS), lecz była zwykłą szafą na dokumenty papierowe klasy A.

  2. Dlaczego zakupiono szafę na dokumenty zamiast specjalistycznego sejfu data safe? Ponieważ w specyfikacji przetargowej wpisano ogólne hasło "szafa ognioodporna", nie precyzując kryteriów temperatury krytycznej dla nośników magnetycznych (max 52 st. C).

  3. Dlaczego serwerownię ulokowano w piwnicy pod magistralą ciepłowniczą i hydrofornią? Ponieważ podczas remontu Starostwa wyższe kondygnacje przeznaczono w całości na biura obsługi mieszkańców, spychając infrastrukturę IT do pomieszczeń technicznych o wysokim ryzyku awarii hydraulicznej.

  4. Dlaczego kopie off-site były wynoszone prywatnie przez informatyka na nieszyfrowanym USB? Ponieważ CUW nie dysponowało budżetem na łącze światłowodowe do Powiatowego Zarządu Dróg ani na profesjonalne usługi depozytowe.

  5. Dlaczego dopuszczono do tak rażących uchybień w ciągłości działania administracji publicznej? (PRZYCZYNA ŹRÓDŁOWA): Brak w Starostwie zintegrowanego ładu bezpieczeństwa informacji i ciągłości działania (KRI/ISO 22301), co skutkowało całkowitym ignorowaniem ryzyka infrastrukturalnego przez Zarząd Powiatu i traktowaniem CUW jako pionu czysto technicznego, a nie strategicznego dla funkcjonowania państwa.

• Consequence (Wielowymiarowy skutek): 9-dniowy paraliż administracyjny Starostwa i 24 jednostek podległych; zablokowanie 1 800 transakcji obrotu nieruchomościami w EGiB; ryzyko kary do 100 000 PLN z ustawy o KSC oraz kar finansowych Prezesa UODO (do 100 000 PLN dla jednostki sektora finansów publicznych) za rażące naruszenie art. 32 RODO; utrata zaufania społecznego mieszkańców powiatu.

B. Zaawansowana Matryca Ryzyka 5x5 i Metryki Ciągłości Działania (BCM):

(IR = Ryzyko Inherentne w skali 1-25; RR = Ryzyko Rezydualne w skali 1-25).

C. Trójfazowy Plan Działań Korygujących (CAP):

D. Sformalizowany Projekt Załącznika do PBI:

"Załącznik nr 3 do Polityki Bezpieczeństwa Informacji CUW: Standard Fizycznego i Logicznego Zarządzania Kopiami Zapasowymi Oraz Rotacji Nośników w Samorządowym Centrum Usług Wspólnych":

• Par. 1: Wymagania dotyczące przechowywania fizycznego: Nośniki magnetyczne zawierające kopie zapasowe baz rejestrów publicznych muszą być składowane w certyfikowanym sejfie klasy S 120 DIS (zgodnym z normą PN-EN 1047-1), gwarantującym utrzymanie temperatury wewnętrznej poniżej 52 stopni Celsjusza w warunkach pożaru przez minimum 120 minut.
• Par. 2: Bezwzględny zakaz lokalizowania serwerowni i składnic kopii w pomieszczeniach zagrożonych zalaniem (pod hydroforniami, węzłami cieplnymi, kanalizacją).
• Par. 3: Rygor kryptograficzny: Wszelkie kopie wynoszone poza główny ośrodek obliczeniowy muszą być zaszyfrowane algorytmem AES-256. Klucze szyfrujące podlegają obowiązkowemu depozytowi w bezpiecznym module Key Escrow nadzorowanym przez Dyrektora CUW i IOD.
• Par. 4: Replikacja międzyośrodkowa: Rejestry EGiB i EZD RP podlegają asynchronicznej replikacji do Zapasowego Węzła Teleinformatycznego w Powiatowym Zarządzie Dróg z maksymalnym oknem opóźnienia RPO = 1 godzina.

E. Podsumowanie Zarządcze (Executive Summary - "Pitch to Board"):

• Ekspozycja na ryzyko: Poziom skrajny (25/25) - całkowita utrata ciągłości działania administracji publicznej i zniszczenie państwowych rejestrów ewidencji gruntów na skutek zaniedbań budowlano-technologicznych.
• Zagrożenia regulacyjne: Kary finansowe UODO (do 100 000 PLN), sankcje z ustawy o KSC (do 100 000 PLN), osobista odpowiedzialność dyscyplinarna i karna kierownika jednostki z ustawy o finansach publicznych.
• Wnioskowany budżet CAP: 240 000 PLN (sejf S 120 DIS: 45 000 PLN, uruchomienie łącza światłowodowego do PZD: 65 000 PLN, adaptacja pomieszczenia serwerowni na I piętrze: 130 000 PLN).
• Matryca Priorytetów:
  • Quick Wins (0-7 dni): Szyfrowanie BitLocker na nośnikach przenośnych, zakup sejfu termicznego, wdrożenie księgi rotacji nośników (koszt: 45 000 PLN).
  • Projekty Strategiczne (30-90 dni): Uruchomienie światłowodowego DRC w PZD, relokacja serwerowni z piwnicy, pełne wdrożenie KRI (koszt: 195 000 PLN).

F. Analiza zalet, wad i kosztów TCO:

• Zalety: Całkowite uodpornienie rejestrów samorządowych na zalania i pożary; eliminacja ryzyka kradzieży danych mieszkańców na nośnikach fizycznych; skrócenie czasu odzyskania EZD RP z 9 dni do 2 godzin.
• Wady i trudności: Konieczność przeprowadzenia uciążliwych prac budowlanych na I piętrze budynku Starostwa; konieczność dyscypliny w comiesięcznej rotacji nośników przez personel.

• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności (Dz.U. z 2024 r. poz. 773) - par. 20.
• Norma PN-EN 1047-1: Pomieszczenia i szafy do przechowywania danych - Klasyfikacja i metody badań odporności ogniowej - Część 1: Szafy na nośniki danych.
• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - A.7.10 (Nośniki pamięci), A.7.11 (Bezpieczeństwo fizyczne), A.8.13 (Kopie zapasowe), A.5.30 (Gotowość ICT).
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 32.
• Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (Dz.U. z 2024 r. poz. 1077).
• Wytyczne NASK-PIB i Centralnego Ośrodka Informatyki dla wdrażania EZD RP w administracji samorządowej.

• U1 Student projektuje architekturę backupu łączącą sejfy klasy S 120 DIS z replikacją światłowodową off-site.
• U2 Student dokumentuje uchybienia w modelu 4C i prowadzi analizę 5 Why dla awarii fizycznej infrastruktury IT.
• U3 Student szacuje ryzyko w matrycy 5x5 i wyznacza parametry BCM dla usług samorządowych.
• U4 Student opracowuje trójfazowy Plan CAP oraz Executive Summary w formacie Pitch to Board.
• W1W2W3 Student wykazuje znajomość normy PN-EN 1047-1, par. 20 KRI, RODO i ISO 27001.
• K1K2K3 Student cechuje się odpowiedzialnością za interes publiczny i odpornością na lokalne naciski budżetowe.

Celem zadania laboratoryjnego na ocenę 5.0 jest przeprowadzenie zaawansowanego, strategicznego audytu odporności operacyjnej, replikacji transakcyjnej oraz procedur przełączania awaryjnego (Failover/Failback) w centralnym systemie bankowości (Core Banking - Oracle FLEXCUBE) banku komercyjnego o znaczeniu systemowym, podlegającego rygorom Rozporządzenia DORA, Rekomendacji D i M Komisji Nadzoru Finansowego (KNF) oraz standardu PCI DSS v4.0. Audyt koncentruje się wokół symulacji awarii zasilania w Podstawowym Centrum Danych (PDC Warszawa) w trakcie szczytu popołudniowej sesji rozliczeniowej Krajowej Izby Rozliczeniowej (KIR - system ELIXIR i Express ELIXIR). Zespół audytorski analizuje krytyczny incydent wystąpienia niekontrolowanego lagu replikacyjnego (Replication Lag wynoszący 3 godziny i 15 minut) w klastrze Oracle Data Guard pracującym w nieprawidłowo skonfigurowanym trybie asynchronicznym (Maximum Performance zamiast Maximum Availability), brak procedury powrotu (failback) z DRC Radom, niespójność księgowania 48 000 przelewów oraz brak testów klastrowych pod pełnym obciążeniem. Zadanie wymaga parametryzacji wskaźników BCM (RTO=15m, RPO=0s, MTPD=30m), sformułowania ustaleń w modelu 4C z analizą 5 Why, opracowania trójfazowego Planu CAP oraz przygotowania Executive Summary dla Komitetu Audytu i Zarządu Banku.

Powiązanie z sylabusem i treściami programowymi na ocenę 5.0:

• W1 Ekspercka znajomość Prawa bankowego, tajemnicy bankowej, ustawy o usługach płatniczych oraz rygorów odpowiedzialności odszkodowawczej za zablokowanie płynności międzybankowej.
• W2W3 Głęboka synteza wymagań Rozporządzenia DORA (art. 11 - kopie zapasowe i procedury odzyskiwania, art. 12 - testowanie planów ciągłości), Rekomendacji D KNF (Rekomendacja 14 i 15 - plany awaryjne i DRP), normy ISO/IEC 27001:2022 (A.8.13, A.8.14, A.5.29, A.5.30), ISO 22301 oraz PCI DSS v4.0.
• U1 Opracowanie zintegrowanego Standardu Architektury Odporności Transakcyjnej Core Banking, opartego na synchronicznej replikacji Oracle Data Guard w trybie Maximum Availability (Zero Data Loss), automatycznym przełączaniu Fast-Start Failover (FSFO) z niezależnym arbitrem w trzeciej strefie dostępności oraz przetestowanej procedurze Reverse Resynchronization (Failback).
• U2 Profesjonalne sformułowanie Karty Niezgodności Dużej w modelu 4C z dogłębnym dochodzeniem przyczyn źródłowych (Root Cause Analysis - 5 Why).
• U3 Przeprowadzenie analizy ryzyka w matrycy 5x5 przed i po zastosowaniu kontroli mitygujących z wyznaczeniem wskaźników BCM (RTO, RPO, MTPD).
• U4 Opracowanie trójfazowego Planu Działań Korygujących (CAP) ze wskaźnikami KPI i KRI oraz Podsumowania Zarządczego w formule Pitch to Board.
• K1K2K3 Bezwzględna precyzja i odporność na presję kadry zarządzającej banku, najwyższy profesjonalizm w ocenie stabilności finansowej państwa.
• Powiązanie z wykładem: Wyk1 (Audyt w bankowości), Wyk3 (Kontrole A.8.14 i A.5.30), Wyk4 (DORA i Rekomendacja D KNF), Wyk5 (Risk-based audit i BIA), Wyk6 (Analiza logów Data Guard v$dataguard_stats i testów przełączeń), Wyk7 (Model 4C, 5 Why i trójfazowy CAP).

Ogólnopolski Bank Komercyjny obsługuje 2,8 mln klientów indywidualnych oraz 140 000 przedsiębiorstw, generując średnio 450 transakcji na sekundę (TPS) w szczycie rozliczeniowym.

Architektura i stan krytyczny ujawniony podczas incydentu:

• System Core Banking (Oracle FLEXCUBE) przetwarza operacje w oparciu o klaster Oracle RAC zlokalizowany w Podstawowym Centrum Danych (PDC Warszawa) oraz Zapasowym Centrum Danych (DRC Radom, odległość 105 km).
• Przebieg incydentu: O godzinie 14:10, podczas zamykania drugiej sesji rozliczeniowej KIR (wolumen 1,4 mld PLN), doszło do pożaru rozdzielnicy głównej UPS w PDC Warszawa. Zasilanie padło całkowicie, a agregaty prądotwórcze nie zsynchronizowały się z automatyką SZR.
• Zespół IT podjął natychmiastową decyzję o wymuszeniu przełączenia awaryjnego (Failover) na ośrodek zapasowy DRC Radom. W trakcie przełączania okazało się, że klaster Oracle Data Guard został 6 miesięcy wcześniej przestawiony przez administratorów z trybu Maximum Availability na tryb Maximum Performance (asynchroniczny transport redo), aby "zmniejszyć opóźnienia sieciowe zgłaszane przez dealerów walutowych".
• W momencie awarii lag replikacji (transport/apply lag) wynosił 3 godziny i 15 minut. Wymuszony failover komendą ALTER DATABASE RECOVER MANAGED STANDBY DATABASE FINISH doprowadził do bezpowrotnej utraty 48 000 transakcji międzybankowych i depozytowych wprowadzonych między godziną 10:55 a 14:10 o łącznej wartości 142 mln PLN (Split-Brain i utrata spójności księgi głównej).
• Brak procedury Failback: Po przywróceniu zasilania w PDC Warszawa okazało się, że bank nie posiada opracowanej ani przetestowanej procedury powrotu (failback / resynchronization). Baza produkcyjna w Warszawie i baza standby w Radomiu rozbiegły się pod kątem numerów SCN (System Change Number), co uniemożliwiło automatyczną resynchronizację i wymusiło ręczne uzgadnianie sald przez 4 doby robocze.
• Zgodnie z raportem audytu, bank nie przeprowadził pełnego testu DRP dla Core Banking od 4 lat, zgłaszając do KNF jedynie testy cząstkowe systemów pomocniczych (intranet i poczta elektroniczna).

KNF i EBA wszczęły doraźną kontrolę nadzorczą. Zarząd Banku powołuje niezależny zespół audytorów do przeprowadzenia strategicznego audytu DRP w formule 90 minut, dekompozycji problemu w modelu 4C, wyliczenia ryzyka 5x5 i opracowania trójfazowego Planu CAP.

Zadanie realizowane jest w Triadzie Audytorskiej w ściśle kontrolowanym reżimie:

• Faza 1 (Minuty 00-15): Triada audytorska, podział ról i triage dowodowy.
  • Wyznaczenie ról w zespole:
    • Rola A: Lead Auditor / CISO Representative (odpowiada za compliance z DORA i Rekomendacją D KNF, relacje z KNF, redakcję Executive Summary dla Zarządu i Rady Nadzorczej).
    • Rola B: Technical SecOps Auditor (analizuje widoki v$dataguard_stats, konfigurację brokerów Data Guard, protokoły transportu Redo, architekturę FSFO i procedurę Flashback Database).
    • Rola C: BCM & Compliance Auditor (konstruuje matrycę ryzyka 5x5, parametryzuje wskaźniki RTO/RPO/MTPD dla rozliczeń KIR/SWIFT, prowadzi analizę 5 Why dla split-brainu, harmonogramuje CAP).
  • Triage dowodów: Analiza logów alert.log z Warszawy i Radomia, parametrów log_archive_dest_2, historii zgłoszeń serwisowych dotyczących opóźnień sieciowych oraz protokołów komitetu BCM.
• Faza 2 (Minuty 15-40): Karta Niezgodności 4C, Analiza Ryzyka 5x5 i Root Cause Analysis.
  • Sformułowanie Karty Niezgodności Dużej (NC1) w modelu 4C dla 3-godzinnego lagu replikacji, utraty transakcji ELIXIR i braku procedury failback.
  • Przeprowadzenie pełnego dochodzenia 5 Why dochodzącego do samowolnej zmiany trybu replikacji pod presją biznesową traderów bez analizy ryzyka BCM.
  • Skonstruowanie matrycy ryzyka 5x5 dla 4 kluczowych wektorów (utrata spójności księgi głównej i transakcji KIR, zablokowanie płynności międzybankowej, sankcje finansowe KNF/EBA, paraliż operacyjny podczas braku failbacku).
  • Wyznaczenie parametrów BCM: RTO = 15 minut dla Core Banking, RPO = 0 sekund dla transakcji finansowych, MTPD = 30 minut.
• Faza 3 (Minuty 40-70): Architektura odpornościowa i Trójfazowy Plan CAP.
  • Standard Architektury Odporności Data Guard: wymuszenie trybu Maximum Availability z synchronicznym zapisem SYNC AFFIRM, wdrożenie Fast-Start Failover (FSFO) z niezależnym Observerem w chmurze lub trzecim centrum kolokacyjnym w Łodzi, włączenie technologii Flashback Database w celu natychmiastowej resynchronizacji (reinstate) węzła podstawowego po awarii.
  • Harmonogramowanie Planu CAP: Faza 1 (0-7 dni - natychmiastowy powrót do Maximum Availability i wdrożenie monitoringu lagów z alarmem > 5s), Faza 2 (30 dni - wdrożenie FSFO i procedury Flashback Failback), Faza 3 (90 dni - pełny test odtworzeniowy na żywej produkcji Core Banking w nocy weekendowej pod nadzorem KNF).
• Faza 4 (Minuty 70-90): Synteza Executive Summary i obrona ustna przed Zarządem.
  • Opracowanie 1-stronicowego Podsumowania Zarządczego (Executive Summary - "Pitch to Board") dla Prezesa Zarządu Banku i Przewodniczącego Komitetu Audytu.
  • 5-minutowa obrona ustna ustaleń.

Końcowy raport z audytu (objętość 12-16 stron A4) musi zawierać następujące rozdziały:

• Strona tytułowa i Metryka Audytu (skład Triady Audytorskiej, role A/B/C, data audytu, klauzule poufności bankowej).
• Rozdział 1: Podsumowanie Zarządcze (Executive Summary - 1 strona A4: ekspozycja ryzyka, skutki finansowe luki replikacyjnej, sankcje KNF/DORA, budżet CAP, priorytety).
• Rozdział 2: Profil podmiotu i wielowymiarowa matryca zbieżności regulacyjnej (Rozporządzenie DORA art. 11/12, Rekomendacja D KNF Rek. 14/15, Rekomendacja M, PCI DSS v4.0, ISO/IEC 27001:2022 A.8.14/A.5.30).
• Rozdział 3: Zaawansowana Matryca Ryzyka 5x5 i Metryki Ciągłości Działania:
  • Skala prawdopodobieństwa (1-5) i skutku (1-5) w skali 25-punktowej.
  • Analiza ryzyka inherentnego (IR) oraz rezydualnego (RR) wraz z metrykami BCM (RTO, RPO, MTPD).
• Rozdział 4: Projekt Załącznika Wykonawczego do Polityki Bezpieczeństwa Informacji i BCP: "Standard Zapewnienia Odporności Transakcyjnej, Synchronicznej Replikacji i Przełączania Awaryjnego Systemu Core Banking".
• Rozdział 5: Rejestr Ustaleń w Modelu 4C z Analizą Przyczyn Źródłowych 5 Why oraz Trójfazowy Plan CAP ze wskaźnikami KPI i KRI.
• Rozdział 6: Analiza wad, zalet, kosztów TCO oraz bilansu korzyści wdrożenia trybu Maximum Availability z arbitrem zewnętrznym.

Wzorcowe rozwiązanie poziomu 5.0 obejmuje:

A. Karta Niezgodności Dużej (NC1) w kanonicznym modelu 4C dla Lagu Replikacyjnego i Utraty Transakcji w Core Banking:

• Condition (Stan faktyczny): System Core Banking Oracle FLEXCUBE pracował w asynchronicznym trybie Maximum Performance ze względu na zminimalizowanie opóźnień sieciowych dla dealerów. Podczas awarii zasilania w PDC Warszawa lag replikacji wynosił 3h 15m, co przy wymuszonym failoverze do DRC Radom doprowadziło do bezpowrotnej utraty 48 000 transakcji o wartości 142 mln PLN. Brak procedury powrotu (failback) wymusił ręczne uzgadnianie ksiąg przez 4 dni robocze. Brak testów klastra od 4 lat.
• Criteria (Kryterium): Rozporządzenie DORA art. 11 ust. 1, 2 i 5 (obowiązek zapewnienia RTO i RPO na minimalnym poziomie oraz ciągłego działania krytycznych funkcji ICT), Rekomendacja D KNF (Rekomendacja 14 pkt 14.1-14.4 - plany ciągłości działania i testy odtworzeniowe), ISO/IEC 27001:2022 Załącznik A.8.14, A.5.29, A.5.30.
• Cause (Przyczyna źródłowa - analiza 5 Why):

  1. Dlaczego podczas failoveru doszło do utraty 48 000 transakcji z sesji rozliczeniowej KIR? Ponieważ baza danych standby w Radomiu posiadała niezaaplikowane dzienniki zmian z ponad 3 godzin w stosunku do bazy podstawowej w Warszawie.

  2. Dlaczego replikacja Data Guard pracowała z 3-godzinnym opóźnieniem w trybie asynchronicznym? Ponieważ administratorzy baz danych wyłączyli tryb synchroniczny Maximum Availability, reagując na skargi Departamentu Skarbu dotyczące 15-milisekundowych opóźnień zatwierdzania transakcji walutowych.

  3. Dlaczego zmiana krytycznego parametru replikacji została wdrożona bez zgody Komitetu Bezpieczeństwa i bez analizy wpływu na BIA? Ponieważ w banku brakowało sformalizowanej procedury Change Management dla parametrów klastrowych oraz brakowało mechanizmów technicznej weryfikacji architektury odpornościowej.

  4. Dlaczego bank nie posiadał procedury failback i nie wykrył braku możliwości automatycznego powrotu? Ponieważ testy DRP były realizowane wyłącznie w formie "papierowej" (tabletop) na systemach niekrytycznych, bez odważenia się na fizyczne przełączenie Core Banking w warunkach produkcyjnych.

  5. Dlaczego dopuszczono do przedłożenia wygody biznesowej nad stabilność operacyjną i bezpieczeństwo depozytów? (PRZYCZYNA ŹRÓDŁOWA): Całkowite załamanie ładu zarządzania ryzykiem operacyjnym ICT (ICT Governance zgodnego z DORA), przejawiające się brakiem nadrzędnej kontroli CISO/CRO nad konfiguracją bazodanową oraz brakiem kultury organizacyjnej testowania scenariuszy ekstremalnych (severe business disruption).

• Consequence (Wielowymiarowy skutek): Utrata 142 mln PLN w transakcjach klientów i konieczność wielomilionowych rekompensat odszkodowawczych; nałożenie kary finansowej przez KNF (do 10% rocznego obrotu na podstawie DORA) oraz sankcji personalnych na Członków Zarządu; wszczęcie postępowania dyscyplinarnego przez Radę Nadzorczą; utrata reputacji i spadek wyceny giełdowej banku o 12% w ciągu 48 godzin od incydentu.

B. Zaawansowana Matryca Ryzyka 5x5 i Metryki Ciągłości Działania (BCM):

(IR = Ryzyko Inherentne w skali 1-25; RR = Ryzyko Rezydualne w skali 1-25).

C. Trójfazowy Plan Działań Korygujących (CAP):

D. Sformalizowany Projekt Załącznika do PBI:

"Załącznik nr 7 do Polityki Ciągłości Działania Banku: Standard Konfiguracji Replikacji Baz Danych Core Banking, Automatycznego Przełączania Awaryjnego (FSFO) i Procedury Powrotu (Failback)":

• Par. 1: Wymóg bezwzględnej spójności transakcyjnej (Zero Data Loss): Produkcyjne bazy danych Core Banking muszą funkcjonować wyłącznie w trybie Oracle Data Guard Maximum Availability z synchronicznym zapisem do dzienników standby (SYNC AFFIRM). Zabrania się przełączania w tryb asynchroniczny pod rygorem odpowiedzialności dyscyplinarnej i zawiadomienia Komitetu Audytu.
• Par. 2: Automatyzacja przełączania (Fast-Start Failover): Architektura musi wykorzystywać brokera Data Guard z zewnętrznym procesem Observera zlokalizowanym w niezależnej, trzeciej strefie dostępności (DC3 Łódź). Czas automatycznego przełączenia na węzeł zapasowy nie może przekraczać 60 sekund.
• Par. 3: Obowiązkowe wykorzystanie Flashback Database: Na wszystkich węzłach produkcyjnych i standby technologia Flashback Database musi być permanentnie włączona z retencją minimum 48 godzin, gwarantując możliwość wykonania operacji Fast Re-instatement (Failback) bez konieczności ponownego zrzutu danych.
• Par. 4: Rygor testów z odcięciem zasilania: Minimum raz na 12 miesięcy w nocy weekendowej przeprowadza się pełne, techniczne przełączenie ruchu transakcyjnego Core Banking na ośrodek zapasowy z fizycznym odcięciem zasilania w ośrodku podstawowym.

E. Podsumowanie Zarządcze (Executive Summary - "Pitch to Board"):

• Ekspozycja na ryzyko: Skrajna (25/25) - bezpośrednie zagrożenie stabilności finansowej banku, ryzyko utraty płynności w izbie rozliczeniowej KIR oraz sankcji nadzorczych zagrażających licencji bankowej.
• Zagrożenia regulacyjne: Kary pieniężne KNF na mocy DORA (do 10% rocznego obrotu), odpowiedzialność osobista Członków Zarządu, wykluczenie z systemów rozliczeniowych KIR/SWIFT.
• Wnioskowany budżet CAP: 1 850 000 PLN (optymalizacja łączy niskolatencyjnych DWDM Warszawa-Radom, wdrożenie trzeciego węzła Observera w Łodzi, audyt i modernizacja rozdzielnic UPS/SZR w PDC, wdrożenie licencji Oracle Active Data Guard z Flashback).
• Matryca Priorytetów:
  • Quick Wins (0-7 dni): Powrót do trybu Maximum Availability, zablokowanie możliwości samowolnej zmiany parametrów bazy, wdrożenie alertingu lagów (koszt: 0 PLN).
  • Projekty Strategiczne (30-90 dni): Uruchomienie FSFO w trzeciej lokalizacji, modernizacja torów zasilania 2N, pełny test live-fire DRP (koszt: 1 850 000 PLN, TCO 3-letnie: 2 400 000 PLN).

F. Analiza zalet, wad i kosztów TCO:

• Zalety: Wyeliminowanie ryzyka utraty transakcji finansowych (RPO=0); automatyzacja procesu przełączenia redukująca czas przestoju z 4 dni do 15 minut; pełna ochrona przed karami regulatora DORA/KNF.
• Wady i trudności: Wzrost opóźnień aplikacyjnych o 2-4 ms z powodu konieczności synchronicznego potwierdzenia zapisu w Radomiu; konieczność rygorystycznego zarządzania pojemnością łączy DWDM; wysokie koszty licencyjne i infrastrukturalne.

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 w sprawie operacyjnej odporności cyfrowej sektora finansowego (DORA) - art. 11, 12, 13.
• Urząd Komisji Nadzoru Finansowego: Rekomendacja D dotycząca zarządzania obszarami technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego w bankach (Rekomendacje 14, 15).
• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - A.8.14 (Redundancja), A.5.29, A.5.30 (Gotowość ICT).
• Norma PN-EN ISO 22301:2020: Systemy zarządzania ciągłością działania.
• Oracle Corporation: "Oracle Data Guard Best Practices for High Availability and Maximum Availability Architecture (MAA)".
• Standard PCI DSS v4.0 - Wymaganie 9 i 12 (Ciągłość operacyjna i ochrona danych transakcyjnych).

• U1 Student projektuje architekturę Maximum Availability z Fast-Start Failover i Flashback Database dla bankowego systemu Core Banking.
• U2 Student dokumentuje uchybienia w modelu 4C i prowadzi analizę 5 Why dla awarii transakcyjnej i lagu replikacji.
• U3 Student wykonuje analizę ryzyka w matrycy 5x5 i parametryzuje wskaźniki BCM dla rozliczeń międzybankowych.
• U4 Student sporządza trójfazowy Plan CAP oraz Executive Summary w formacie Pitch to Board dla Zarządu Banku.
• W1W2W3 Student wykazuje ekspercką wiedzę z zakresu DORA, Rekomendacji D KNF, ISO 22301 i architektury bazodanowej.
• K1K2K3 Student zachowuje bezkompromisowość wobec presji biznesowej, dbając o stabilność systemu bankowego.

Celem zadania laboratoryjnego na ocenę 5.0 jest przeprowadzenie strategicznego, symulowanego audytu ciągłości działania, procedur tworzenia kopii zapasowych oraz planu odtwarzania awaryjnego (DRP/BCP) w Miejskim Przedsiębiorstwie Wodociągów i Kanalizacji (MPWiK), będącym Operatorem Usługi Kluczowej (OUK) w rozumieniu ustawy o KSC oraz podmiotem kluczowym Dyrektywy NIS2 i Dyrektywy CER (odporność podmiotów krytycznych). Przedsiębiorstwo zaopatruje w wodę aglomerację liczącą 650 000 mieszkańców. Audyt koncentruje się wokół krytycznego incydentu cybernetycznego w sieci przemysłowej OT (Operational Technology) Stacji Uzdatniania Wody (SUW), gdzie doszło do zmanipulowania nastaw stężenia dwutlenku chloru i koagulantów oraz nadpisania firmware'u sterowników PLC Siemens S7-1500 i Schneider Modicon. Dochodzenie audytorskie ujawnia całkowity brak kopii zapasowych kodu logiki 85 sterowników PLC, brak kontroli wersji oprogramowania inżynierskiego, brak procedury Manual Fallback (ręcznego sterowania zastawek i pomp) oraz brak separacji kopii pomiędzy poziomem Purdue 2/3 a korporacyjnym IT. Zadanie wymaga parametryzacji wskaźników BCM (RTO=30m, RPO=0s, MTPD=2h), sformułowania ustaleń w modelu 4C z analizą 5 Why, opracowania trójfazowego Planu CAP oraz przygotowania Executive Summary dla Zarządu Spółki i Wydziału Bezpieczeństwa i Zarządzania Kryzysowego Urzędu Miasta.

Powiązanie z sylabusem i treściami programowymi na ocenę 5.0:

• W1 Ekspercka znajomość przepisów ustawy o krajowym systemie cyberbezpieczeństwa (KSC), ustawy o zbiorowym zaopatrzeniu w wodę, przepisów o ochronie infrastruktury krytycznej oraz Dyrektywy CER.
• W2W3 Rygorystyczna analiza normy PN-EN IEC 62443 (części 2-1, 3-3, 4-2 - bezpieczeństwo przemysłowych systemów automatyki), normy ISO/IEC 27001:2022 (A.8.13, A.8.14, A.5.29, A.5.30), ISO 22301 oraz wytycznych CSIRT NASK/GOV dla sektora wodno-kanalizacyjnego.
• U1 Opracowanie zintegrowanego Standardu Zarządzania Kopiami Zapasowymi Logiki PLC i DRP dla Sieci Przemysłowej, opartego na zautomatyzowanej platformie kontroli wersji i backupu OT (np. AUVESY-MDT Octoplant), odizolowanym repozytorium na poziomie Purdue 3.5 (Industrial DMZ) oraz procedurze bezpiecznego rozsprzęglenia automatyki i przejścia na manualne sterowanie pneumatyczno-hydrauliczne (Manual Fallback).
• U2 Profesjonalne udokumentowanie uchybień w kanonicznym modelu 4C z dogłębnym dochodzeniem przyczyn źródłowych (Root Cause Analysis - 5 Why).
• U3 Przeprowadzenie analizy ryzyka w 25-stopniowej matrycy 5x5 przed i po zastosowaniu kontroli mitygujących ze wskaźnikami BCM (RTO, RPO, MTPD).
• U4 Opracowanie trójfazowego Planu Działań Korygujących (CAP) ze wskaźnikami KPI i KRI oraz Podsumowania Zarządczego w formule Pitch to Board.
• K1K2K3 Poczucie odpowiedzialności za zdrowie i życie setek tysięcy obywateli, odporność na rutynę personelu utrzymania ruchu i zdolność obrony inwestycji przed Zarządem.
• Powiązanie z wykładem: Wyk1 (Ład SZBI w infrastrukturze krytycznej), Wyk3 (Kontrole A.8.13 i A.5.30 w OT), Wyk4 (NIS2, KSC i norma IEC 62443), Wyk5 (Risk-based audit i matryca 5x5 w SCADA), Wyk6 (Inspekcja logów PLC i stacji inżynierskich), Wyk7 (Model 4C, 5 Why i trójfazowy CAP).

Miejskie Przedsiębiorstwo Wodociągów i Kanalizacji (MPWiK) zarządza 2 Głównymi Stacjami Uzdatniania Wody, 45 przepompowniami strefowymi oraz siecią wodociągową o długości 1 350 km.

Architektura automatyki i stan krytyczny ujawniony podczas incydentu:

• System sterowania oparty jest na oprogramowaniu SCADA (Wonderware InTouch / AVEVA System Platform) komunikującym się po protokołach Modbus TCP, Profinet i OPC UA z 85 sterownikami PLC (Programmable Logic Controllers) sterującymi procesami ozonowania, filtracji na węglu aktywnym, dozowania koagulantów i tłoczenia wody czystej.
• Przebieg incydentu: W trakcie weekendu w sieci SCADA pojawiły się fałszywe sygnały telemetryczne, a stężenie dwutlenku chloru na wylocie do sieci miejskiej wzrosło do poziomu stwarzającego bezpośrednie zagrożenie chemiczne dla mieszkańców. Jednocześnie intruz wgrał zmodyfikowany kod binarny do 12 głównych sterowników PLC Siemens S7-1500 sterujących pompami wysokiego ciśnienia, blokując możliwość komunikacji po porcie 102.
• Reakcja zespołu i usterki audytowe: Inżynierowie automatyki podjęli próbę przywrócenia oryginalnych programów PLC. Okazało się, że Dział Automatyki nie posiadał centralnego repozytorium backupu programów sterowników. Jedyne kopie znajdowały się na 4 przenośnych laptopach inżynierskich techników, którzy byli na urlopach lub posiadali nieaktualne wersje projektów sprzed 18 miesięcy (brak kontroli wersji, brak zrzutu nastaw DB).
• Brak procedury Manual Fallback: Operatorzy SUW nie potrafili uruchomić ręcznego sterowania zasuwami i pompami z szaf sterowniczych, ponieważ od 8 lat obiekt pracował w pełnej automatyce, a mechaniczne cięgna i bypassy hydrauliczne były zablokowane i niesprawdzane.
• Wstrzymanie dostaw wody: Aby uniknąć skażenia chemicznego sieci miejskiej, Główny Inżynier podjął decyzję o całkowitym zamknięciu magistrali wylotowej. Przez 34 godziny 650 000 mieszkańców, 4 szpitale kliniczne oraz zakłady przemysłowe były pozbawione bieżącej wody, co wywołało panikę społeczną i konieczność uruchomienia dowozu wody beczkowozami przez wojsko (WOT).
• Ostatni przegląd planów awaryjnych przeprowadzono w 2019 roku, a testów odtworzeniowych PLC z wgrywaniem backupu bare-metal nie przeprowadzono nigdy w obawie przed "zatrzymaniem procesu technologicznego".

Prezydent Miasta i Wojewoda powołują zespół audytorów do przeprowadzenia strategicznego audytu DRP/BCP w formule 90 minut, dekompozycji w modelu 4C, wyliczenia ryzyka 5x5 i opracowania trójfazowego Planu CAP.

Zadanie realizowane jest w Triadzie Audytorskiej:

• Faza 1 (Minuty 00-15): Triada audytorska, podział ról i triage dowodowy.
  • Wyznaczenie ról w zespole:
    • Rola A: Lead Auditor / CISO Representative (ład BCM w infrastrukturze krytycznej, relacje z RCB i Urzędem Miasta, wymogi KSC i CER, redakcja Executive Summary dla Zarządu).
    • Rola B: Technical SecOps Auditor (analiza architektury Purdue Model, protokołów Profinet/Modbus, stacji inżynierskich TIA Portal, repozytoriów Octoplant i procedur bare-metal restore PLC).
    • Rola C: BCM & Compliance Auditor (matryca ryzyka 5x5, parametryzacja RTO/RPO/MTPD dla dostaw wody pitnej, analiza 5 Why dla awarii automatyki, harmonogram CAP ze wskaźnikami KPI).
  • Triage dowodów: Analiza zrzutów pamięci sterowników PLC, logów sieci przemysłowej, wersji projektów z laptopów serwisowych oraz instrukcji stanowiskowych operatorów SUW.
• Faza 2 (Minuty 15-40): Karta Niezgodności 4C, Analiza Ryzyka 5x5 i Root Cause Analysis.
  • Opracowanie Karty Niezgodności Dużej (NC1) w modelu 4C dla braku centralnego backupu logiki PLC, manipulacji procesem chemicznym i paraliżu dostaw wody.
  • Przeprowadzenie pełnego dochodzenia 5 Why dochodzącego do silosowego podziału IT/OT i lekceważenia procedur ciągłości w pionie automatyki.
  • Skonstruowanie matrycy ryzyka 5x5 dla 4 kluczowych wektorów (zatrucie wody chemią uzdatniającą, zniszczenie pomp wysokiego ciśnienia, 34-godzinny przestój aglomeracji, kary z KSC/NIS2).
  • Wyznaczenie parametrów BCM: RTO = 30 minut dla krytycznych węzłów tłoczenia, RPO = 0 sekund dla nastaw chemicznych, MTPD = 2 godziny (bufor w zbiornikach retencyjnych).
• Faza 3 (Minuty 40-70): Architektura odpornościowa i Trójfazowy Plan CAP.
  • Standard Architektury Odporności OT: wdrożenie dedykowanego serwera backupu i wersjonowania logiki PLC (Octoplant) w strefie DMZ przemysłowej (Purdue 3.5), zautomatyzowany cykliczny backup konfiguracji i bloków DB z porównywaniem sum kontrolnych (SmartCompare) co 24h, wdrożenie procedury Manual Fallback (ćwiczenia ręcznego sterowania armaturą co kwartał).
  • Harmonogramowanie Planu CAP: Faza 1 (0-7 dni - inwentaryzacja i zrzut kodu wszystkich 85 PLC do bezpiecznego sejfu offline, rozruszanie zasuw manualnych), Faza 2 (30 dni - wdrożenie serwera Octoplant i procedury Manual Fallback), Faza 3 (90 dni - pełna segmentacja sieci OT wg IEC 62443 i certyfikacja ISO 22301).
• Faza 4 (Minuty 70-90): Synteza Executive Summary i obrona ustna przed Zarządem MPWiK.
  • Opracowanie 1-stronicowego Podsumowania Zarządczego (Executive Summary - "Pitch to Board") dla Prezesa MPWiK i Dyrektora Bezpieczeństwa Urzędu Miasta.
  • 5-minutowa obrona ustna ustaleń.

Końcowy raport z audytu (objętość 12-16 stron A4) musi zawierać następujące rozdziały:

• Strona tytułowa i Metryka Audytu (skład Triady Audytorskiej, role A/B/C, data audytu, klauzule tajemnicy przedsiębiorstwa i infrastruktury krytycznej).
• Rozdział 1: Podsumowanie Zarządcze (Executive Summary - 1 strona A4: syntetyczna diagnoza, ekspozycja ryzyka zdrowotnego, sankcje KSC/NIS2, budżet CAP, priorytety).
• Rozdział 2: Profil podmiotu i wielowymiarowa matryca zbieżności regulacyjnej (korelacja wymogów: Ustawa o KSC OUK, Dyrektywa NIS2, Dyrektywa CER, norma PN-EN IEC 62443, ISO/IEC 27001:2022 A.8.13/A.5.30, ISO 22301).
• Rozdział 3: Zaawansowana Matryca Ryzyka 5x5 i Metryki Ciągłości Działania:
  • Skala prawdopodobieństwa (1-5) i skutku (1-5) w skali 25-punktowej.
  • Analiza ryzyka inherentnego (IR) oraz rezydualnego (RR) wraz z metrykami BCM (RTO, RPO, MTPD).
• Rozdział 4: Projekt Załącznika Wykonawczego do Polityki Bezpieczeństwa: "Standard Tworzenia Kopii Zapasowych, Kontroli Wersji Logiki Sterowników Przemysłowych (PLC) Oraz Procedury Przejścia na Sterowanie Awaryjne (Manual Fallback) w SUW".
• Rozdział 5: Rejestr Ustaleń w Modelu 4C z Analizą Przyczyn Źródłowych 5 Why oraz Trójfazowy Plan CAP ze wskaźnikami KPI i KRI.
• Rozdział 6: Analiza wad, zalet, kosztów TCO oraz bilansu korzyści wdrożenia platformy wersjonowania OT i procedur odpornościowych.

Wzorcowe rozwiązanie poziomu 5.0 obejmuje:

A. Karta Niezgodności Dużej (NC1) w kanonicznym modelu 4C dla Braku Kopii Logiki Sterowników PLC i Zatrzymania Dostaw Wody:

• Condition (Stan faktyczny): W Stacji Uzdatniania Wody doszło do nadpisania kodu w 12 sterownikach PLC Siemens S7-1500 i zmanipulowania dozowania dwutlenku chloru. MPWiK nie posiadało centralnego repozytorium kopii logiki dla 85 sterowników PLC (nieaktualne kopie znajdowały się rozproszone na laptopach automatyków). Operatorzy nie potrafili przejść na sterowanie ręczne z powodu braku procedury Manual Fallback i zastania mechanizmów zasuwnicowych. Wstrzymano dostawy wody dla 650 000 mieszkańców na 34 godziny. Brak testów odtworzeniowych w historii spółki.
• Criteria (Kryterium): Ustawa o krajowym systemie cyberbezpieczeństwa (KSC) art. 8, 9, 10 (utrzymanie i testowanie planów ciągłości działania OUK), Dyrektywa NIS2 art. 21 ust. 2 lit. c, Norma PN-EN IEC 62443-2-1 i IEC 62443-3-3 (Wymagania dotyczące zarządzania kopiami zapasowymi i odpornością w środowiskach IACS), ISO/IEC 27001:2022 Załącznik A.8.13, A.5.29, A.5.30.
• Cause (Przyczyna źródłowa - analiza 5 Why):

  1. Dlaczego po nadpisaniu kodu PLC inżynierowie nie mogli natychmiast przywrócić pierwotnego oprogramowania pomp i dozowników? Ponieważ na stacji uzdatniania brakowało aktualnych plików projektowych (.ap16/.ap17) sterowników z zapisanymi nastawami bloków danych.

  2. Dlaczego kopie projektów były rozproszone na prywatnych laptopach inżynierów i nieaktualne od 18 miesięcy? Ponieważ Dział Automatyki nie posiadał centralnego systemu zarządzania oprogramowaniem przemysłowym ani procedury wymuszającej archiwizację po każdej zmianie technologicznej.

  3. Dlaczego Dział IT nie wdrożył firmowego systemu backupowego dla sieci sterowania OT? Ponieważ automatycy traktowali sieć OT jako "własny, odrębny świat technologiczny" i zabraniali informatykom instalowania jakichkolwiek agentów backupowych na stacjach roboczych w obawie przed zakłóceniem procesu tłoczenia.

  4. Dlaczego personel nie potrafił wdrożyć procedury sterowania ręcznego z pominięciem sterowników PLC? Ponieważ MPWiK zredukowało obsadę operatorów fizycznych po wdrożeniu pełnej automatyzacji, zaniechano comiesięcznych prób manualnych, a bypassy zardzewiały.

  5. Dlaczego dopuszczono do braku przygotowania na awarię automatyki w obiekcie infrastruktury krytycznej? (PRZYCZYNA ŹRÓDŁOWA): Całkowity brak zintegrowanego ładu bezpieczeństwa IT/OT (OT Security Governance zgodnego z IEC 62443), brak nadzoru CISO nad pionem automatyki przemysłowej oraz brak alokacji środków na platformy automatycznego backupu OT i ćwiczenia blackoutowe.

• Consequence (Wielowymiarowy skutek): 34-godzinny brak wody dla 650 000 mieszkańców i 4 szpitali; zagrożenie epidemiologiczne i chemiczne; interwencja wojska (WOT) i Rządowego Zespołu Zarządzania Kryzysowego; ryzyko kary do 200 000 PLN z ustawy o KSC oraz do 10 mln EUR z Dyrektywy NIS2; utrata zaufania społecznego i pozwy odszkodowawcze od przedsiębiorstw przemysłowych na kwotę przekraczającą 12 mln PLN.

B. Zaawansowana Matryca Ryzyka 5x5 i Metryki Ciągłości Działania (BCM):

(IR = Ryzyko Inherentne w skali 1-25; RR = Ryzyko Rezydualne w skali 1-25).

C. Trójfazowy Plan Działań Korygujących (CAP):

D. Sformalizowany Projekt Załącznika do PBI:

"Załącznik nr 6 do Polityki Bezpieczeństwa MPWiK: Standard Tworzenia Kopii Zapasowych Przemysłowych Systemów Sterowania (OT), Kontroli Zmian Logiki PLC Oraz Procedury Przejścia na Sterowanie Awaryjne (Manual Fallback)":

• Par. 1: Centralne repozytorium programów PLC: Każdy program aplikacyjny, konfiguracja sprzętowa oraz bloki danych (DB) sterowników PLC pracujących na obiektach technologicznych muszą być zarchiwizowane w centralnym systemie wersjonowania kopii zapasowych zlokalizowanym w przemysłowej strefie DMZ (poziom Purdue 3.5).
• Par. 2: Automatyczna detekcja rozbieżności (Disaster Recovery Check): System wersjonowania wykonuje codzienny, automatyczny zrzut zawartości pamięci sterowników i porównuje sumę kontrolną programu działającego w urządzeniu z autoryzowaną wersją referencyjną. Wykrycie jakiejkolwiek rozbieżności generuje natychmiastowy alarm do CSIRT i blokuje możliwość wprowadzania zmian.
• Par. 3: Procedura Manual Fallback (Awaryjne Sterowanie Ręczne): Na każdej Stacji Uzdatniania Wody i Głównym Punkcie Zasilania obowiązuje procedura awaryjnego przejścia na sterowanie ręczne z poziomu szaf lokalnych (sterowanie burtowe) oraz za pośrednictwem napędów mechaniczno-hydraulicznych z pominięciem sieci Ethernet/SCADA. Czas przejścia nie może przekraczać 15 minut.
• Par. 4: Obowiązkowe ćwiczenia z rozsprzęglenia: W każdym kwartale przeprowadza się techniczne ćwiczenie polegające na symulowanym odcięciu zasilania szaf automatyki i ręcznym utrzymaniu ciśnienia w sieci przez 120 minut.

E. Podsumowanie Zarządcze (Executive Summary - "Pitch to Board"):

• Ekspozycja na ryzyko: Poziom skrajny (25/25) - bezpośrednie zagrożenie bezpieczeństwa publicznego, zdrowia i życia mieszkańców z powodu możliwości skażenia chemicznego wody oraz paraliżu zaopatrzenia aglomeracji.
• Zagrożenia regulacyjne: Kary finansowe z ustawy o KSC (do 200 000 PLN), sankcje Dyrektywy NIS2 (do 10 mln EUR), odszkodowania cywilne od szpitali i przedsiębiorstw (szacowane na 12-18 mln PLN).
• Wnioskowany budżet CAP: 620 000 PLN (oprogramowanie i wdrożenie systemu Octoplant: 180 000 PLN, modernizacja szaf sterowniczych i siłowników ręcznych: 240 000 PLN, budowa zapasowego stanowiska SCADA w SUW Północ: 200 000 PLN).
• Matryca Priorytetów:
  • Quick Wins (0-7 dni): Zrzut kodów PLC do sejfu offline, przegląd i nasmarowanie armatury ręcznej, procedury stanowiskowe Manual Fallback (koszt: 15 000 PLN).
  • Projekty Strategiczne (30-90 dni): Wdrożenie platformy wersjonowania Octoplant, pełna segmentacja sieci OT wg IEC 62443, budowa ośrodka DRC (koszt: 605 000 PLN, TCO 3-letnie: 780 000 PLN).

F. Analiza zalet, wad i kosztów TCO:

• Zalety: Całkowite zabezpieczenie procesu uzdatniania przed nieautoryzowaną modyfikacją kodu PLC; gwarancja utrzymania dostaw wody nawet w przypadku całkowitego paraliżu cybernetycznego sieci SCADA (Manual Fallback); pełna zgodność z KSC, NIS2 i CER.
• Wady i trudności: Konieczność przełamania oporu inżynierów automatyki przed ujednoliceniem procedur z IT; dodatkowe obciążenie personelu comiesięcznymi ćwiczeniami manualnymi.

• Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (Dz.U. z 2024 r. poz. 1077) - wymagania dla OUK.
• Norma PN-EN IEC 62443: Security for industrial automation and control systems (części 2-1, 3-3).
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (Dyrektywa NIS2) oraz Dyrektywa (UE) 2022/2557 (Dyrektywa CER).
• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - A.8.13, A.8.14, A.5.29, A.5.30.
• NIST Special Publication 800-82 Rev. 3: Guide to Operational Technology (OT) Security.
• Wytyczne CSIRT NASK / CSIRT GOV dotyczące ochrony przemysłowych systemów sterowania (ICS/SCADA).

• U1 Student projektuje architekturę backupu sterowników PLC opartą na platformie wersjonowania i Purdue Model oraz procedurę Manual Fallback.
• U2 Student dokumentuje uchybienia w modelu 4C i prowadzi analizę 5 Why dla awarii i zatrucia w stacji uzdatniania wody.
• U3 Student wykonuje analizę ryzyka w matrycy 5x5 i parametryzuje wskaźniki BCM dla infrastruktury krytycznej.
• U4 Student sporządza trójfazowy Plan CAP oraz Executive Summary w formule Pitch to Board dla Zarządu MPWiK.
• W1W2W3 Student wykazuje ekspercką wiedzę z zakresu IEC 62443, KSC, NIS2, CER i specyfiki systemów OT/SCADA.
• K1K2K3 Student cechuje się odpowiedzialnością za zdrowie publiczne i zdolnością dialogu na styku inżynierii procesowej i IT.

Celem zadania laboratoryjnego na ocenę 5.0 jest przeprowadzenie strategicznego audytu architektury tworzenia kopii zapasowych, odporności na ataki wewnętrzne (Insider Threat / Rogue Admin) oraz planu Disaster Recovery w chmurze publicznej Amazon Web Services (AWS) dla wiodącej platformy e-commerce (MebleSklep S.A.), podlegającej rygorom standardu PCI DSS v4.0, certyfikacji SOC 2 Type II oraz RODO. Platforma generuje roczny obrót na poziomie 850 mln PLN i obsługuje 4,5 mln aktywnych konsumentów. Audyt stawia studentów w roli audytorów śledczych badających katastrofalny incydent sabotażu, w którym zwolniony dyscyplinarnie starszy inżynier DevOps, wykorzystując stałe uprawnienia AdministratorAccess w pojedynczym koncie produkcyjnym AWS, skasował produkcyjne klastry bazodanowe Amazon Aurora MySQL oraz usunął wszystkie punkty przywracania w usłudze AWS Backup i zasobniki Amazon S3 (w tym usunął wersje obiektów i wyłączył Versioning). Zadanie wymaga zaprojektowania odpornej architektury multi-account z dedykowanym kontem Isolated Backup Account w ramach AWS Organizations, wdrożenia AWS Backup Vault Lock w trybie nieodwracalnym (Compliance Mode z WORM), zastosowania twardych blokad Service Control Policies (SCP Deny Delete) uniemożliwiających usunięcie kopii nawet użytkownikowi root, kwantyfikacji ryzyka w matrycy 5x5 ze wskaźnikami BCM, sformułowania ustaleń w modelu 4C z analizą 5 Why, opracowania trójfazowego Planu CAP oraz przygotowania Executive Summary dla Zarządu Spółki.

Powiązanie z sylabusem i treściami programowymi na ocenę 5.0:

• W1 Ekspercka znajomość standardu PCI DSS v4.0 (Wymaganie 9, 10, 12 - ochrona danych posiadaczy kart PAN i logów transakcyjnych), kryteriów SOC 2 Type II (Trust Services Criteria: Security, Availability) oraz RODO (art. 32).
• W2W3 Głęboka analiza normy PN-EN ISO/IEC 27001:2022 (A.8.13, A.8.14, A.5.29, A.5.30), normy ISO/IEC 27017 (bezpieczeństwo w chmurze), ISO 22301 oraz AWS Well-Architected Framework (Reliability and Security Pillars).
• U1 Opracowanie zintegrowanego Standardu Architektury Odporności Chmurowej, łączącego dedykowane konto Isolated Backup Account, asynchroniczną replikację międzyregionową (Cross-Region Copy: eu-central-1 Frankfurt -> eu-west-1 Irlandia), blokadę AWS Backup Vault Lock w trybie Compliance Mode, szyfrowanie kluczami KMS CMK z separacją ról (KMS Key Policy) oraz polityki SCP zabraniające kasowania backupów.
• U2 Profesjonalne sformułowanie Karty Niezgodności Dużej w modelu 4C z dogłębnym dochodzeniem przyczyn źródłowych (Root Cause Analysis - 5 Why).
• U3 Przeprowadzenie analizy ryzyka w 25-stopniowej matrycy 5x5 przed i po zastosowaniu kontroli mitygujących ze wskaźnikami BCM (RTO=15m, RPO=5m, MTPD=1h).
• U4 Opracowanie trójfazowego Planu Działań Korygujących (CAP) ze wskaźnikami KPI i KRI oraz Podsumowania Zarządczego w formule Pitch to Board.
• K1K2K3 Profesjonalizm audytorski w środowiskach Cloud Native, bezkompromisowa ocena architektury chmurowej i zdolność przekonania Zarządu do inwestycji w ład multi-account.
• Powiązanie z wykładem: Wyk1 (Ład SZBI w chmurze), Wyk3 (Kontrole A.8.13 i A.8.14 w AWS), Wyk4 (PCI DSS v4.0, SOC 2 i RODO), Wyk5 (Risk-based audit i BIA w e-commerce), Wyk6 (Analiza logów AWS CloudTrail, AWS Config i EventBridge), Wyk7 (Model 4C, 5 Why i trójfazowy CAP).

MebleSklep S.A. jest jednym z największych internetowych dystrybutorów mebli i artykułów wyposażenia wnętrz w Europie Środkowo-Wschodniej. Środowisko aplikacyjne bazuje na architekturze mikroserwisowej uruchomionej w klastrach Amazon EKS (Kubernetes) oraz bezserwerowych bazach danych Amazon Aurora Serverless v2 (MySQL) i hurtowni Amazon Redshift. W bazie przechowywane są profile 4,5 mln klientów, historia zamówień oraz zanonimizowane dane transakcyjne kart płatniczych podlegające PCI DSS v4.0.

Architektura chmurowa i stan krytyczny ujawniony podczas incydentu:

• Całość infrastruktury produkcyjnej, deweloperskiej i kopii zapasowych funkcjonowała w ramach jednego konta AWS (Single Account Architecture) w regionie eu-central-1 (Frankfurt).
• Przebieg incydentu: W piątek o godzinie 16:30 starszy inżynier DevOps otrzymał pocztą kurierską oświadczenie o rozwiązaniu umowy o pracę z winy pracownika w trybie dyscyplinarnym. W odwecie inżynier, który posiadał stałą rolę AdministratorAccess w konsoli AWS oraz aktywne klucze AccessKey/SecretKey na prywatnym laptopie, uruchomił przygotowany skrypt w Pythonie (boto3).
• Skrypt w ciągu 180 sekund: (a) wyłączył polityki retencji w usłudze AWS Backup, (b) usunął wszystkie punkty przywracania (Recovery Points) bazy Aurora i dysków EBS, (c) skasował zasobniki Amazon S3 zawierające faktury i logi transakcyjne, omijając brak blokady MFA Delete, (d) wydał komendę usunięcia klastra Aurora RDS z parametrem --skip-final-snapshot.
• Paraliż biznesowy: O godzinie 16:35 serwis meblesklep.pl przestał działać, zgłaszając błąd 502 Bad Gateway. Próba odtworzenia środowiska przez pozostałych inżynierów ujawniła, że w koncie AWS nie pozostał ani jeden snapshot bazy danych, a w regionie alternatywnym nie prowadzono żadnej replikacji.
• Przywracanie danych: Dział IT musiał odtwarzać bazę ze zrzutu logicznego wykonanego przypadkowo 3 tygodnie wcześniej na prywatnym serwerze testowym jednego z programistów. W wyniku sabotażu bezpowrotnie utracono zamówienia, płatności i dane adresowe klientów z ostatnich 21 dni o szacowanej wartości 42 mln PLN.
• Firma utraciła certyfikat PCI DSS v4.0 (audytor QSA cofnął raport ROC), a audytorzy SOC 2 wydali negatywną opinię (Adverse Opinion) z powodu braku kontroli nad niszczeniem danych i braku segregacji obowiązków w chmurze.

Rada Nadzorcza MebleSklep S.A. powołuje niezależny zespół audytorów do przeprowadzenia strategicznego audytu architektury chmurowej w formule 90 minut, dekompozycji w modelu 4C, wyliczenia ryzyka 5x5 i przygotowania trójfazowego Planu CAP.

Zadanie realizowane jest w Triadzie Audytorskiej w ściśle kontrolowanym reżimie czasowym:

• Faza 1 (Minuty 00-15): Triada audytorska, podział ról i triage dowodowy.
  • Wyznaczenie ról w zespole:
    • Rola A: Lead Auditor / CISO Representative (odpowiada za compliance z PCI DSS v4.0, SOC 2 Type II i RODO, relacje z bankami acquirerami, redakcję Executive Summary dla Zarządu).
    • Rola B: Technical SecOps Auditor (analizuje logi AWS CloudTrail, konfigurację AWS Organizations, polityki IAM i SCP, AWS Backup Vault Lock w trybie Compliance Mode i replikację międzyregionową).
    • Rola C: BCM & Compliance Auditor (konstruuje matrycę ryzyka 5x5, parametryzuje wskaźniki BCM dla e-commerce, prowadzi analizę 5 Why dla sabotażu DevOps, harmonogramuje CAP ze wskaźnikami KPI).
  • Triage dowodów: Analiza zdarzeń CloudTrail (DeleteRecoveryPoint, DeleteDBCluster), ról IAM, konfiguracji AWS Backup oraz historii incydentu sabotażowego.
• Faza 2 (Minuty 15-40): Karta Niezgodności 4C, Analiza Ryzyka 5x5 i Root Cause Analysis.
  • Sformułowanie Karty Niezgodności Dużej (NC1) w modelu 4C dla braku odporności chmurowej, pojedynczego konta AWS i skasowania kopii przez administratora.
  • Przeprowadzenie dochodzenia 5 Why dochodzącego do zaniechania architektury multi-account i braku mechanizmów WORM w chmurze.
  • Skonstruowanie matrycy ryzyka 5x5 dla 4 kluczowych wektorów (skasowanie danych przez Rogue Admina, utrata certyfikacji PCI DSS i zablokowanie płatności kartami, utrata reputacji i 21-dniowych przychodów, kary UODO za utratę danych).
  • Wyznaczenie parametrów BCM: RTO = 15 minut dla platformy sprzedażowej, RPO = 5 minut dla koszyków i zamówień, MTPD = 1 godzina.
• Faza 3 (Minuty 40-70): Architektura odpornościowa i Trójfazowy Plan CAP.
  • Standard Architektury Odporności Chmurowej: wdrożenie AWS Organizations i odizolowanego konta Isolated Backup Account z dostępem ograniczonym wyłącznie dla automatycznych ról serwisowych, aktywacja AWS Backup Vault Lock w trybie Compliance Mode (WORM bez możliwości skrócenia retencji lub usunięcia nawet przez root), automatyczna replikacja Cross-Region Copy do regionu eu-west-1, nałożenie Service Control Policy (SCP Deny Delete).
  • Harmonogramowanie Planu CAP: Faza 1 (0-7 dni - natychmiastowe utworzenie drugiego konta backupowego i włączenie S3 Object Lock), Faza 2 (30 dni - wdrożenie Vault Lock Compliance Mode i skryptów Terraform DR), Faza 3 (90 dni - pełna automatyzacja failoveru multi-region i re-certyfikacja PCI DSS v4.0).
• Faza 4 (Minuty 70-90): Synteza Executive Summary i obrona ustna przed Zarządem.
  • Opracowanie 1-stronicowego Podsumowania Zarządczego (Executive Summary - "Pitch to Board") dla Prezesa Zarządu MebleSklep S.A.
  • 5-minutowa obrona ustna ustaleń.

Końcowy raport z audytu (objętość 12-16 stron A4) musi zawierać następujące rozdziały:

• Strona tytułowa i Metryka Audytu (skład Triady Audytorskiej, role A/B/C, data audytu, oświadczenie o poufności).
• Rozdział 1: Podsumowanie Zarządcze (Executive Summary - 1 strona A4: syntetyczna diagnoza sabotażu, straty biznesowe, ekspozycja PCI DSS/SOC 2, budżet CAP, priorytety).
• Rozdział 2: Profil podmiotu i wielowymiarowa matryca zbieżności regulacyjnej (PCI DSS v4.0, SOC 2 Type II, RODO art. 32, ISO/IEC 27001:2022 A.8.13/A.8.14, AWS Well-Architected Reliability Pillar).
• Rozdział 3: Zaawansowana Matryca Ryzyka 5x5 i Metryki Ciągłości Działania:
  • Skala prawdopodobieństwa (1-5) i skutku (1-5) w skali 25-punktowej.
  • Analiza ryzyka inherentnego (IR) oraz rezydualnego (RR) wraz z metrykami BCM (RTO, RPO, MTPD).
• Rozdział 4: Projekt Załącznika Wykonawczego do Polityki Bezpieczeństwa Informacji: "Standard Architektury Odpornych Kopii Zapasowych (WORM), Kontroli Multi-Account Oraz Ochrony Przed Sabotażem Wewnętrznym w Chmurze AWS".
• Rozdział 5: Rejestr Ustaleń w Modelu 4C z Analizą Przyczyn Źródłowych 5 Why oraz Trójfazowy Plan CAP ze wskaźnikami KPI i KRI.
• Rozdział 6: Analiza wad, zalet, kosztów TCO oraz bilansu korzyści wdrożenia architektury AWS Isolated Backup z Vault Lock.

Wzorcowe rozwiązanie poziomu 5.0 obejmuje:

A. Karta Niezgodności Dużej (NC1) w kanonicznym modelu 4C dla Katastrofalnego Skasowania Bazy Danych i Kopii w AWS przez Rogue Admina:

• Condition (Stan faktyczny): Całość środowiska produkcyjnego i kopii zapasowych funkcjonowała w pojedynczym koncie AWS bez blokad immutability. Zwolniony inżynier DevOps, wykorzystując uprawnienia administratora i stałe klucze dostępu, w 180 sekund skasował bazę Aurora RDS oraz wszystkie recovery points w AWS Backup i zasobnikach S3. Firma utraciła dane transakcyjne z 21 dni o wartości 42 mln PLN, utraciła certyfikat PCI DSS v4.0 oraz otrzymała negatywną opinię z audytu SOC 2.
• Criteria (Kryterium): PCI DSS v4.0 Wymaganie 9.5, 10.5, 12.10 (ochrona integralności kopii zapasowych i rozliczalność administratorów), SOC 2 Trust Services Criteria CC6.1, CC6.3, A1.2 (zarządzanie dostępem i ochrona przed nieautoryzowanym usunięciem danych), ISO/IEC 27001:2022 Załącznik A.8.13, A.8.14, A.5.29, A.5.30, RODO art. 32 ust. 1 lit. c.
• Cause (Przyczyna źródłowa - analiza 5 Why):

  1. Dlaczego skrypt uruchomiony przez inżyniera zdołał usunąć wszystkie punkty przywracania w usłudze AWS Backup? Ponieważ sejf kopii zapasowych (Backup Vault) nie posiadał włączonej blokady AWS Backup Vault Lock w trybie Compliance Mode.

  2. Dlaczego backupy znajdowały się w tym samym koncie AWS co produkcja i były dostępne dla uprawnień administratora DevOps? Ponieważ Dział IT wdrożył architekturę jedno-kontową (Single Account) w celu ograniczenia narzutu administracyjnego i nie wyodrębnił konta Isolated Backup Account.

  3. Dlaczego inżynier posiadał stałe, długoterminowe klucze IAM (AccessKey) na prywatnym komputerze zamiast sesji tymczasowych z MFA? Ponieważ w firmie nie wdrożono federacji tożsamości z dostawcą IdP ani modelu Zero Standing Privileges (ZSP).

  4. Dlaczego HR i Dział Bezpieczeństwa nie zablokowały uprawnień inżyniera przed doręczeniem wypowiedzenia? Ponieważ w spółce nie istniała zintegrowana procedura dyscyplinarnego offboardingu (brak koordynacji kadr, prawników i SecOps).

  5. Dlaczego dopuszczono do braku odporności na sabotaż wewnętrzny w spółce przetwarzającej transakcje o wartości setek milionów złotych? (PRZYCZYNA ŹRÓDŁOWA): Brak dojrzałego ładu cyberbezpieczeństwa chmurowego (Cloud Governance) oraz ignorowanie zaleceń AWS Well-Architected Framework, wynikające z priorytetyzowania szybkości wdrażania funkcji biznesowych kosztem odporności operacyjnej i kontroli dostępu uprzywilejowanego.

• Consequence (Wielowymiarowy skutek): Bezpowrotna utrata przychodów i zamówień o wartości 42 mln PLN; cofnięcie certyfikacji PCI DSS v4.0 i zablokowanie bramki płatności kartowych przez banki acquirerskie; negatywny raport SOC 2 Type II uniemożliwiający pozyskanie finansowania bankowego; ryzyko kary do 20 mln EUR od Prezesa UODO za naruszenie art. 32 RODO; spadek wyceny spółki przed planowanym debiutem giełdowym (IPO).

B. Zaawansowana Matryca Ryzyka 5x5 i Metryki Ciągłości Działania (BCM):

(IR = Ryzyko Inherentne w skali 1-25; RR = Ryzyko Rezydualne w skali 1-25).

C. Trójfazowy Plan Działań Korygujących (CAP):

D. Sformalizowany Projekt Załącznika do PBI:

"Załącznik nr 8 do Polityki Bezpieczeństwa Informacji: Standard Zarządzania Odpornością Kopii Zapasowych, Kontroli Multi-Account Oraz Zabezpieczenia Przed Sabotażem w Chmurze AWS w MebleSklep S.A.":

• Par. 1: Separacja kont w architekturze AWS Organizations: Wszystkie kopie zapasowe baz danych, zasobników obiektowych i wolumenów dyskowych muszą być automatycznie replikowane do dedykowanego konta Isolated Backup Account. Żaden użytkownik ani rola z konta produkcyjnego nie może posiadać uprawnień administracyjnych w koncie backupowym.
• Par. 2: Bezwzględna niezmienność kopii (AWS Backup Vault Lock): Sejfy kopii zapasowych muszą mieć permanentnie aktywowaną blokadę Vault Lock w trybie Compliance Mode z minimalnym okresem retencji wynoszącym 90 dni. Po upływie okresu karencji (Grace Period) żadna jednostka, włączając konto AWS Root, wsparcie AWS Support czy audytora, nie ma możliwości skasowania punktu przywracania ani skrócenia okresu retencji.
• Par. 3: Blokady organizacyjne Service Control Policies (SCP): Na poziomie jednostki organizacyjnej (OU) nakłada się politykę SCP zabraniającą wywoływania operacji: backup:DeleteRecoveryPoint, backup:DeleteBackupVault, backup:PutBackupVaultAccessPolicy, s3:DeleteBucket oraz rds:DeleteDBCluster bez zgody trzech członków Komitetu Bezpieczeństwa (Quorum).
• Par. 4: Replikacja międzyregionowa (Cross-Region Disaster Recovery): Każda krytyczna baza transakcyjna podlega asynchronicznej replikacji snapshotów z regionu podstawowego (eu-central-1 Frankfurt) do regionu zapasowego (eu-west-1 Dublin) z zachowaniem wskaźnika RPO <= 5 minut.

E. Podsumowanie Zarządcze (Executive Summary - "Pitch to Board"):

• Ekspozycja na ryzyko: Poziom skrajny (25/25) - paraliż działalności operacyjnej spółki, utrata zamówień o wartości 42 mln PLN, zablokowanie płatności bezgotówkowych i kryzys reputacyjny w przededniu wejścia na giełdę.
• Zagrożenia regulacyjne: Utrata certyfikacji PCI DSS v4.0 (kary bankowe do 100 000 USD miesięcznie), sankcje z RODO (do 20 mln EUR), utrata poświadczenia SOC 2 Type II.
• Wnioskowany budżet CAP: 350 000 PLN (wdrożenie architektury AWS Organizations z Control Tower, wdrożenie AWS Backup Vault Lock, przygotowanie skryptów Terraform Multi-Region DR, ponowny audyt PCI DSS QSA).
• Matryca Priorytetów:
  • Quick Wins (0-7 dni): Likwidacja kluczy stałych IAM, utworzenie odrębnego konta Isolated Backup, zablokowanie usuwania kopii przez polityki SCP (koszt: 10 000 PLN).
  • Projekty Strategiczne (30-90 dni): Vault Lock Compliance Mode, automatyzacja failoveru multi-region z Terraform, audyt PCI DSS i SOC 2 (koszt: 340 000 PLN, TCO 3-letnie: 490 000 PLN).

F. Analiza zalet, wad i kosztów TCO:

• Zalety: Matematyczna i kryptograficzna niemożliwość skasowania kopii zapasowych nawet przez skompromitowanego administratora root; pełna odporność na regionalną awarię AWS; odzyskanie certyfikacji PCI DSS i SOC 2.
• Wady i trudności: Dodatkowy koszt przechowywania kopii w drugim regionie AWS (wzrost rachunku AWS o ok. 18%); sztywność trybu Compliance Mode (błędnie skonfigurowana retencja nie może zostać skrócona, generując koszty storage).

• PCI Security Standards Council: Payment Card Industry Data Security Standard (PCI DSS) v4.0.
• American Institute of CPAs (AICPA): SOC 2 Trust Services Criteria (Security, Availability, Confidentiality).
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 32.
• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - A.8.13, A.8.14, A.5.29, A.5.30.
• Norma ISO/IEC 27017:2015: Information technology - Security techniques - Code of practice for information security controls based on ISO/IEC 27002 for cloud services.
• Amazon Web Services: "AWS Well-Architected Framework - Reliability Pillar" oraz "AWS Backup Vault Lock Documentation".

• U1 Student projektuje odporną architekturę multi-account z AWS Backup Vault Lock w trybie Compliance Mode i replikacją międzyregionową.
• U2 Student dokumentuje uchybienia w modelu 4C i przeprowadza pełną analizę 5 Why dla sabotażu Rogue Admina.
• U3 Student szacuje ryzyko w matrycy 5x5 i parametryzuje wskaźniki BCM dla chmurowej platformy e-commerce.
• U4 Student opracowuje trójfazowy Plan CAP oraz Executive Summary w formule Pitch to Board dla Zarządu spółki.
• W1W2W3 Student wykazuje ekspercką wiedzę z zakresu PCI DSS v4.0, SOC 2, RODO i architektury Cloud Security AWS.
• K1K2K3 Student cechuje się krytycznym myśleniem w ocenie uprawnień uprzywilejowanych i odpornością na presję korporacyjną.

Celem zadania laboratoryjnego na ocenę 5.0 jest przeprowadzenie strategicznego audytu procedur zarządzania cyklem życia fizycznych nośników kopii zapasowych, architektury zarządzania kluczami kryptograficznymi oraz bezpiecznej utylizacji danych w ogólnopolskiej sieci laboratoriów diagnostycznych (Diagno-Med S.A.), będącej podmiotem kluczowym w rozumieniu Dyrektywy NIS2 oraz administratorem wrażliwych danych medycznych i genetycznych (art. 9 RODO). Laboratorium przetwarza profile DNA pacjentów onkologicznych, wyniki sekwencjonowania genomowego oraz rejestry badań nosicielstwa mutacji genetycznych. Audyt stawia studentów w roli audytorów śledczych badających dwa powiązane incydenty krytyczne: zaginięcie podczas transportu zwykłą przesyłką kurierską walizki z nieszyfrowanymi taśmami LTO-7 zawierającymi profile DNA 85 000 pacjentów oraz ujawnienie w ogólnodostępnym kontenerze na odpady komunalne 120 wycofanych z eksploatacji taśm magnetycznych z pełnymi bazami laboratoryjnymi. Zadanie wymaga zaprojektowania zintegrowanej architektury szyfrowania opartej na protokole KMIP (Key Management Interoperability Protocol) ze sprzętowym modułem HSM, wdrożenia standardu niszczenia nośników DIN 66399 (degaussing polem minimum 11 000 Gaussów oraz fizyczne rozdrobnienie do poziomu T-5/H-5), parametryzacji matrycy ryzyka 5x5 ze wskaźnikami BCM, sformułowania ustaleń w modelu 4C z analizą 5 Why, opracowania trójfazowego Planu CAP oraz przygotowania Executive Summary dla Zarządu Spółki.

Powiązanie z sylabusem i treściami programowymi na ocenę 5.0:

• W1 Ekspercka znajomość przepisów RODO (art. 9, art. 32, art. 33/34 - zgłaszanie naruszeń danych genetycznych), tajemnicy medycznej i laboratoryjnej oraz ustawy o diagnostyce laboratoryjnej.
• W2W3 Rygorystyczna analiza normy DIN 66399 (części 1, 2, 3 - poziomy bezpieczeństwa niszczenia nośników magnetycznych i optycznych), normy PN-EN ISO/IEC 27001:2022 (A.7.10 Nośniki pamięci, A.7.14 Bezpieczna utylizacja, A.8.13, A.8.24 Kryptografia), standardu NIST SP 800-88 Rev. 1 oraz Dyrektywy NIS2.
• U1 Opracowanie zintegrowanego Standardu Cyklu Życia Fizycznych Nośników Kopii Zapasowych, łączącego protokół KMIP z modułem HSM (Thales Luna), bezpieczny transport konwojowany z geolokalizacją GPS i plombami tamper-evident oraz certyfikowany proces utylizacji na miejscu (On-Site Degaussing & Shredding).
• U2 Profesjonalne sformułowanie Karty Niezgodności Dużej w modelu 4C z dogłębnym dochodzeniem przyczyn źródłowych (Root Cause Analysis - 5 Why).
• U3 Przeprowadzenie analizy ryzyka w 25-stopniowej matrycy 5x5 przed i po zastosowaniu kontroli mitygujących ze wskaźnikami BCM (RTO=4h, RPO=1h, MTPD=12h).
• U4 Opracowanie trójfazowego Planu Działań Korygujących (CAP) ze wskaźnikami KPI i KRI oraz Podsumowania Zarządczego w formule Pitch to Board.
• K1K2K3 Etyka zawodowa, bezkompromisowość w ochronie godności i prywatności genetycznej obywateli, odporność na presję zarządu sieci laboratoriów.
• Powiązanie z wykładem: Wyk1 (Ład SZBI w diagnostyce medycznej), Wyk3 (Kontrole A.7.10, A.7.14, A.8.24 i A.8.13), Wyk4 (RODO art. 9 i DIN 66399), Wyk5 (Risk-based audit i matryca 5x5), Wyk6 (Fizyczna inspekcja nośników, demagnetyzerów i certyfikatów utylizacji), Wyk7 (Model 4C, 5 Why i trójfazowy CAP).

Diagno-Med S.A. zarządza siecią 65 laboratoriów medycznych i 280 punktów pobrań w całej Polsce, wykonując ponad 20 mln oznaczeń rocznie. Centralne Laboratorium Genetyczne wykonuje zaawansowane badania onkogenetyki (BRCA1/BRCA2) i sekwencjonowania nowej generacji (NGS).

Przebieg incydentu i uchybienia ujawnione w trakcie inspekcji audytowej:

• W centralnej serwerowni w Warszawie kopie zapasowe baz laboratoryjnych (LIS) oraz surowych danych sekwencjonowania NGS (pliki FASTQ/BAM o wolumenie 850 TB) zapisywane są na taśmach LTO-7 i LTO-8. Zgodnie z wewnętrzną instrukcją taśmy z kopiami pełnymi powinny trafiać do Zapasowej Składnicy Nośników w Katowicach.
• Incydent 1 (Utrata w transporcie): Dział IT, dążąc do optymalizacji kosztów transportu specjalistycznego, nadał skrzynię z 40 taśmami LTO-7 zawierającymi profile genetyczne 85 000 pacjentów za pośrednictwem standardowej firmy kurierskiej w usłudze paczki standardowej bez deklaracji wartości i bez plomb zabezpieczających. Przesyłka zaginęła w sortowni kurierskiej i do chwili obecnej nie została odnaleziona.
• Analiza kryptograficzna wykazała, że szyfrowanie sprzętowe taśm (Drive-Level Encryption) nie było aktywne, ponieważ administratorzy nie wdrożyli serwera zarządzania kluczami KMIP, a hasło szyfrujące w aplikacji backupowej "spowalniało proces zapisu taśm". Dane genetyczne były zapisane otwartym tekstem (Plaintext).
• Incydent 2 (Nielegalne wyrzucenie nośników): Podczas audytu fizycznego na zapleczu serwerowni audytorzy ujawnili w ogólnodostępnym kontenerze na odpady komunalne 120 taśm LTO-5 i LTO-6 wycofanych z eksploatacji. Taśmy nie zostały poddane demagnetyzacji ani fizycznemu zniszczeniu, a na etykietach widniały nazwy: "Baza LIS_FULL_2022" oraz "Sekwencje_Onko_Krakow".
• Dochodzenie wykazało, że pracownik techniczny otrzymał polecenie "posprzątania magazynu", a spółka nie posiadała podpisanej umowy z certyfikowaną firmą utylizacyjną spełniającą normę DIN 66399, nie posiadała degaussera ani niszczarki nośników.

Sprawą zajęła się Prokuratura Regionalna oraz Prezes UODO. Zarząd Diagno-Med S.A. powołuje audytorów do przeprowadzenia strategicznego audytu procedur backupowych i niszczenia danych w formule 90 minut, wyliczenia ryzyka 5x5, sporządzenia karty 4C i opracowania trójfazowego Planu CAP.

Zadanie realizowane jest w Triadzie Audytorskiej w ściśle kontrolowanym reżimie:

• Faza 1 (Minuty 00-15): Triada audytorska, podział ról i triage dowodowy.
  • Wyznaczenie ról w zespole:
    • Rola A: Lead Auditor / CISO Representative (odpowiada za compliance z RODO art. 9 i NIS2, kontakt z UODO, redakcję Executive Summary dla Zarządu i Rady Nadzorczej).
    • Rola B: Technical SecOps Auditor (analizuje protokoły KMIP, moduły HSM Thales Luna, konfigurację LTO Drive Encryption AES-256, procedury degaussingu 11 000 Gaussów i shreddingu DIN 66399).
    • Rola C: BCM & Compliance Auditor (matryca ryzyka 5x5, parametryzacja RTO/RPO/MTPD dla diagnostyki laboratoryjnej, analiza 5 Why dla incydentu kurierskiego, harmonogram CAP).
  • Triage dowodów: Analiza listu przewozowego zaginionej przesyłki kurierskiej, logów napędów taśmowych LTO, dokumentacji magazynowej wycofanych nośników i protokołów UODO.
• Faza 2 (Minuty 15-40): Karta Niezgodności 4C, Analiza Ryzyka 5x5 i Root Cause Analysis.
  • Sformułowanie Karty Niezgodności Dużej (NC1) w modelu 4C dla utraty nieszyfrowanych danych genetycznych w transporcie i wyrzucenia taśm do śmieci.
  • Przeprowadzenie pełnego dochodzenia 5 Why dochodzącego do systemowego lekceważenia procedur fizycznych i kryptograficznych przez zarząd spółki.
  • Skonstruowanie matrycy ryzyka 5x5 dla 4 kluczowych wektorów (wyciek profili genetycznych pacjentów, szantaż bio-ubezpieczeniowy, rekordowe kary UODO art. 9, utrata licencji medycznej).
  • Wyznaczenie parametrów BCM: RTO = 4 godziny dla systemów laboratoryjnych, RPO = 1 godzina dla wyników badań, MTPD = 12 godzin.
• Faza 3 (Minuty 40-70): Architektura odpornościowa i Trójfazowy Plan CAP.
  • Standard Bezpiecznego Cyklu Życia Nośników: wdrożenie klastra KMIP zintegrowanego z modułem HSM FIPS 140-3 Level 3 wymuszającego sprzętowe szyfrowanie AES-GCM-256 każdej taśmy LTO, procedura transportu wyłącznie konwojem bankowym z monitoringiem satelitarnym i walizkami z niszczeniem pirotechnicznym w razie otwarcia, zakup degaussera laboratoryjnego generującego impuls 11 000 Gaussów oraz niszczarki mechanicznej o klasie cięcia T-5/H-5.
  • Harmonogramowanie Planu CAP: Faza 1 (0-7 dni - natychmiastowe zawiadomienie UODO i pacjentów, wstrzymanie transportu kurierskiego, plombowanie magazynów), Faza 2 (30 dni - wdrożenie klastra KMIP/HSM i zakup degaussera), Faza 3 (90 dni - pełna certyfikacja ISO 27001 i DIN 66399 oraz wdrożenie procedury Dual Custody).
• Faza 4 (Minuty 70-90): Synteza Executive Summary i obrona ustna przed Zarządem.
  • Opracowanie 1-stronicowego Podsumowania Zarządczego (Executive Summary - "Pitch to Board") dla Prezesa Zarządu Diagno-Med S.A.
  • 5-minutowa obrona ustna ustaleń.

Końcowy raport z audytu (objętość 12-16 stron A4) musi zawierać następujące rozdziały:

• Strona tytułowa i Metryka Audytu (skład Triady Audytorskiej, role A/B/C, data audytu, klauzule poufności medycznej).
• Rozdział 1: Podsumowanie Zarządcze (Executive Summary - 1 strona A4: syntetyczna diagnoza naruszenia danych genetycznych, sankcje UODO, budżet CAP, priorytety).
• Rozdział 2: Profil podmiotu i wielowymiarowa matryca zbieżności regulacyjnej (korelacja wymogów: RODO art. 9 i art. 32, Dyrektywa NIS2, norma DIN 66399 poziomy T-5/H-5, ISO/IEC 27001:2022 A.7.10/A.7.14/A.8.24, NIST SP 800-88).
• Rozdział 3: Zaawansowana Matryca Ryzyka 5x5 i Metryki Ciągłości Działania:
  • Skala prawdopodobieństwa (1-5) i skutku (1-5) w skali 25-punktowej.
  • Analiza ryzyka inherentnego (IR) oraz rezydualnego (RR) wraz z metrykami BCM (RTO, RPO, MTPD).
• Rozdział 4: Projekt Załącznika Wykonawczego do Polityki Bezpieczeństwa: "Standard Szyfrowania, Transportu Konwojowanego Oraz Certyfikowanej Utylizacji Nośników Danych Medycznych i Genetycznych w Diagno-Med S.A.".
• Rozdział 5: Rejestr Ustaleń w Modelu 4C z Analizą Przyczyn Źródłowych 5 Why oraz Trójfazowy Plan CAP ze wskaźnikami KPI i KRI.
• Rozdział 6: Analiza wad, zalet, kosztów TCO oraz bilansu korzyści wdrożenia klastra HSM i procedur DIN 66399.

Wzorcowe rozwiązanie poziomu 5.0 obejmuje:

A. Karta Niezgodności Dużej (NC1) w kanonicznym modelu 4C dla Zaginięcia Nieszyfrowanych Taśm z Profilami DNA i Wyrzucenia Nośników do Śmieci:

• Condition (Stan faktyczny): Diagno-Med nadał przesyłką kurierską 40 nieszyfrowanych taśm LTO-7 z profilami DNA 85 000 pacjentów bez konwoju i plomb; paczka zaginęła w sortowni. Podczas audytu ujawniono w otwartym kontenerze komunalnym 120 wycofanych taśm LTO z bazami LIS i sekwencjami nowotworowymi bez wcześniejszego degaussingu czy zniszczenia mechanicznego. W firmie nie wdrożono klastra KMIP, nośniki nie były szyfrowane, brakowało procedury niszczenia wg DIN 66399.
• Criteria (Kryterium): Rozporządzenie RODO art. 9 (ochrona danych genetycznych), art. 32 ust. 1 lit. a i b (szyfrowanie i poufność), art. 33/34 (obowiązek notyfikacji naruszeń), ISO/IEC 27001:2022 Załącznik A.7.10 (Nośniki pamięci), A.7.14 (Bezpieczne usuwanie lub ponowne użycie sprzętu), A.8.24 (Stosowanie kryptografii), Norma DIN 66399 (Wymagania dla niszczenia nośników magnetycznych poziom T-5/H-5).
• Cause (Przyczyna źródłowa - analiza 5 Why):

  1. Dlaczego taśmy magnetyczne zaginęły w transporcie i trafiły do rąk nieuprawnionych w postaci jawnej? Ponieważ wysłano je zwykłą przesyłką kurierską bez szyfrowania sprzętowego napędów LTO.

  2. Dlaczego szyfrowanie sprzętowe taśm nie było aktywne w bibliotece taśmowej? Ponieważ Dział IT nie zakupił licencji na serwer zarządzania kluczami KMIP i obawiał się utraty dostępu do taśm w przypadku awarii aplikacji backupowej.

  3. Dlaczego 120 wycofanych taśm wyrzucono bezpośrednio do kontenera na odpady komunalne? Ponieważ personel techniczny nie posiadał urządzeń do niszczenia danych (degausser, niszczarka), a spółka nie zawarła umowy z certyfikowaną firmą utylizacyjną.

  4. Dlaczego Zarząd przeznaczył środki na ekspansję punktów pobrań, pomijając zakupy urządzeń do ochrony i niszczenia danych? Ponieważ w strategii spółki priorytetem był agresywny wzrost przychodów i liczby badań laboratoryjnych, a obszar bezpieczeństwa traktowano jako koszt administracyjny.

  5. Dlaczego dopuszczono do całkowitego braku nadzoru nad nośnikami z najwrażliwszymi danymi genetycznymi obywateli? (PRZYCZYNA ŹRÓDŁOWA): Brak zintegrowanego ładu compliance i bezpieczeństwa informacji (Information Governance), brak wdrożonych norm ISO 27001 i DIN 66399 oraz ignorowanie ryzyk prawnych związanych z przetwarzaniem danych szczególnych kategorii (art. 9 RODO).

• Consequence (Wielowymiarowy skutek): Katastrofalny wyciek profili genetycznych 85 000 osób, stwarzający ryzyko dyskryminacji genetycznej, szantażu i utraty prywatności; maksymalna kara finansowa od Prezesa UODO (do 20 mln EUR lub 4% globalnego obrotu); pozwy zbiorowe poszkodowanych pacjentów opiewające na ponad 40 mln PLN; cofnięcie akredytacji diagnostycznej przez Krajową Radę Diagnostów Laboratoryjnych; upadłość wizerunkowa i załamanie kursu akcji spółki.

B. Zaawansowana Matryca Ryzyka 5x5 i Metryki Ciągłości Działania (BCM):

(IR = Ryzyko Inherentne w skali 1-25; RR = Ryzyko Rezydualne w skali 1-25).

C. Trójfazowy Plan Działań Korygujących (CAP):

D. Sformalizowany Projekt Załącznika do PBI:

"Załącznik nr 9 do Polityki Bezpieczeństwa Informacji: Standard Zarządzania Kluczami Szyfrującymi (KMIP/HSM), Bezpiecznego Transportu Konwojowanego Oraz Niszczenia Nośników Danych Medycznych i Genetycznych (DIN 66399) w Diagno-Med S.A.":

• Par. 1: Wymóg sprzętowego szyfrowania kopii taśmowych: Wszystkie biblioteki taśmowe LTO muszą realizować sprzętowe szyfrowanie AES-256 z wykorzystaniem scentralizowanego serwera kluczy zgodnego ze standardem KMIP, zabezpieczonego sprzętowym modułem bezpieczeństwa HSM (certyfikat FIPS 140-3 Level 3). Zabrania się zapisu danych genetycznych i medycznych otwartym tekstem.
• Par. 2: Procedura depozytu kluczy (Key Escrow): Klucz główny klastra HSM podlega podziałowi na 5 komponentów kryptograficznych przy użyciu schematu Shamir's Secret Sharing. Do odzyskania klucza w procedurze DRP wymagana jest obecność minimum 3 uprawnionych osób (Prezes Zarządu, CISO, Główny Architekt).
• Par. 3: Transport nośników archiwalnych: Przewóz fizycznych nośników danych może odbywać się wyłącznie za pośrednictwem certyfikowanych służb ochrony (konwój bankowy) w atestowanych, plombowanych walizkach telemetrycznych wyposażonych w moduł geolokalizacji GPS, czujnik sabotażowy oraz automatyczny rejestrator wilgotności i wstrząsów.
• Par. 4: Procedura certyfikowanego niszczenia nośników (DIN 66399): Każdy wycofywany magnetyczny nośnik danych musi zostać poddany procesowi demagnetyzacji w degausserze o natężeniu pola minimum 11 000 Gaussów (poziom T-4), a następnie fizycznemu zniszczeniu mechanicznemu w niszczarce wieloostrzowej do frakcji ścinka nie większej niż 30 mm2 (poziom T-5/H-5). Z procesu sporządza się protokół z rejestracją wideo i numerami seryjnymi nośników.

E. Podsumowanie Zarządcze (Executive Summary - "Pitch to Board"):

• Ekspozycja na ryzyko: Poziom katastrofalny (25/25) - utrata danych genetycznych podlegających szczególnej ochronie prawnej, groźba likwidacji spółki w wyniku kar regulatora i pozwów cywilnych.
• Zagrożenia regulacyjne: Kary UODO (do 20 mln EUR), odpowiedzialność karna Zarządu z art. 107 ustawy o ochronie danych osobowych, utrata wpisu do rejestru laboratoriów diagnostycznych.
• Wnioskowany budżet CAP: 480 000 PLN (klaster serwerów KMIP i moduł HSM Thales: 220 000 PLN, degausser impulsowy i niszczarka DIN 66399: 160 000 PLN, atestowane walizki transportowe i wdrożenie procedur: 100 000 PLN).
• Matryca Priorytetów:
  • Quick Wins (0-7 dni): Zgłoszenie naruszenia do UODO, zabezpieczenie magazynów nośników, bezwzględny zakaz nadawania przesyłek kurierskich (koszt: 0 PLN).
  • Projekty Strategiczne (30-90 dni): Wdrożenie klastra HSM/KMIP, zakup urządzeń niszczących, certyfikacja DIN 66399 (koszt: 480 000 PLN, TCO 3-letnie: 620 000 PLN).

F. Analiza zalet, wad i kosztów TCO:

• Zalety: Całkowita kryptograficzna ochrona danych pacjentów na wypadek kradzieży nośnika (bez klucza HSM dane są nieodczytywalne); bezsporne dowody audytowe niszczenia nośników zgodnie z normą DIN 66399 chroniące przed sankcjami UODO.
• Wady i trudności: Wysokie koszty sprzętu kryptograficznego i demagnetyzatorów; rygorystyczne procedury administracyjne wydłużające czas rotacji nośników.

• Norma DIN 66399: Główne zasady i wymagania dotyczące niszczenia nośników informacji (części 1, 2, 3 - klasy ochrony i poziomy bezpieczeństwa).
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 9 (Dane genetyczne), art. 32, art. 33, art. 34.
• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - A.7.10, A.7.14, A.8.13, A.8.24.
• NIST Special Publication 800-88 Rev. 1: Guidelines for Media Sanitization.
• OASIS Standard: Key Management Interoperability Protocol (KMIP) Specification v2.1.
• Ustawa z dnia 15 września 2022 r. o medycynie laboratoryjnej (Dz.U. z 2023 r. poz. 2161).

• U1 Student projektuje architekturę sprzętowego szyfrowania kopii taśmowych z protokołem KMIP i modułem HSM oraz proces DIN 66399.
• U2 Student dokumentuje uchybienia w modelu 4C i prowadzi analizę 5 Why dla incydentu utraty danych genetycznych.
• U3 Student wykonuje analizę ryzyka w matrycy 5x5 i parametryzuje wskaźniki BCM dla laboratoriów diagnostycznych.
• U4 Student opracowuje trójfazowy Plan CAP oraz Executive Summary w formacie Pitch to Board dla Zarządu spółki medycznej.
• W1W2W3 Student wykazuje ekspercką wiedzę z zakresu RODO art. 9, DIN 66399, NIST 800-88, KMIP i ISO 27001.
• K1K2K3 Student cechuje się bezkompromisowością w ochronie prywatności biologicznej pacjentów i etyką zawodową.

Celem zadania laboratoryjnego na ocenę 5.0 jest przeprowadzenie strategicznego audytu odporności infrastruktury zasilania gwarantowanego (Data Center / Hala Produkcyjna), planów ciągłości działania (BCP) oraz procedur awaryjnego funkcjonowania w reżimie dostaw Just-in-Time (JIT) w fabryce komponentów układów hamulcowych i kierowniczych (Auto-Components Polska Sp. z o.o.), będącej dostawcą poziomu pierwszego (Tier-1 Supplier) dla wiodących koncernów motoryzacyjnych w Europie. Audyt stawia studentów w roli audytorów badających katastrofalny incydent przestoju fabryki wywołany regionalnym blackoutem sieci elektroenergetycznej po burzy śnieżnej. W trakcie awarii doszło do załamania zasilania awaryjnego: baterie UPS oparte na technologii kwasowo-ołowiowej (AGM) podtrzymały zasilanie serwerowni MES/ERP jedynie przez 2,5 minuty zamiast deklarowanych 60 minut, a stacjonarny generator prądotwórczy o mocy 1,2 MW nie podjął pracy z powodu skażenia biologicznego paliwa w podziemnym zbiorniku (zjawisko "diesel bug" / namnożenie bakterii i grzybów węglowodorowych blokujących filtry paliwa). Przestój fabryki trwał 18 godzin, doprowadzając do zatrzymania taśm montażowych u dwóch producentów OEM i naliczenia kar umownych w wysokości 120 000 EUR za każdą godzinę opóźnienia. Zadanie wymaga parametryzacji wskaźników BCM (RTO=30m, RPO=0s, MTPD=1h), wdrożenia standardu zasilania TIA-942 Rated-3, wymiany baterii na litowo-żelazowo-fosforanowe (LiFePO4) z systemem BMS, wdrożenia testów pod sztucznym obciążeniem (Load Bank Testing), procedury oczyszczania paliwa (Fuel Polishing), zapasowej łączności satelitarnej Starlink Business oraz manualnej procedury dyspozytorskiej JIT Paper Fallback, sformułowania ustaleń w modelu 4C z analizą 5 Why, opracowania trójfazowego Planu CAP oraz przygotowania Executive Summary dla Dyrekcji Operacyjnej koncernu.

Powiązanie z sylabusem i treściami programowymi na ocenę 5.0:

• W1 Zaawansowana znajomość rygorów łańcucha dostaw Just-in-Time, normy IATF 16949 (wymagania dla sektora automotive), odpowiedzialności kontraktowej SLA oraz rygorów Dyrektywy NIS2 dla łańcuchów dostaw przemysłu krytycznego.
• W2W3 Rygorystyczna analiza normy PN-EN ISO 22301:2020 (Zarządzanie ciągłością działania), standardu TIA-942 (Telecommunications Infrastructure Standard for Data Centers - architektura Rated-3 N+1), normy PN-EN ISO/IEC 27001:2022 (A.7.11 Bezpieczeństwo fizyczne i środowiskowe, A.8.14 Redundancja, A.5.29, A.5.30).
• U1 Opracowanie zintegrowanego Standardu Ciągłości Zasilania i Odporności Logistycznej JIT, łączącego zasilanie redundantne 2N z bateriami LiFePO4, automatyczną filtrację paliwa (Fuel Polishing Unit), cykliczne testy z rezystorem obciążeniowym (Load Bank) oraz procedurę awaryjnej wysyłki komponentów w trybie papierowo-satelitarnym (JIT Paper Fallback via Starlink).
• U2 Profesjonalne sformułowanie Karty Niezgodności Dużej w modelu 4C z dogłębnym dochodzeniem przyczyn źródłowych (Root Cause Analysis - 5 Why).
• U3 Przeprowadzenie analizy ryzyka w 25-stopniowej matrycy 5x5 przed i po zastosowaniu kontroli mitygujących ze wskaźnikami BCM (RTO, RPO, MTPD).
• U4 Opracowanie trójfazowego Planu Działań Korygujących (CAP) ze wskaźnikami KPI i KRI oraz Podsumowania Zarządczego w formule Pitch to Board.
• K1K2K3 Zdolność podejmowania decyzji w warunkach kryzysu produkcyjnego, precyzja inżynierska i asertywność wobec dyrekcji fabryki dążącej do cięcia kosztów utrzymania ruchu.
• Powiązanie z wykładem: Wyk1 (Ład SZBI w przemyśle produkcyjnym), Wyk3 (Kontrole A.7.11, A.8.14 i A.5.30), Wyk4 (ISO 22301 i łańcuch dostaw NIS2), Wyk5 (Risk-based audit, BIA i matryca 5x5 w JIT), Wyk6 (Inspekcja układów zasilania, testów SZR i próbek paliwa), Wyk7 (Model 4C, 5 Why i trójfazowy CAP).

Auto-Components Polska zatrudnia 1 200 pracowników i produkuje na trzech zmianach 45 000 zespołów hamulcowych na dobę. Wysyłka podzespołów do fabryk samochodów w Niemczech i Czechach odbywa się co 2 godziny w trybie Just-in-Time; opóźnienie dostawy przekraczające 90 minut skutkuje natychmiastowym zatrzymaniem linii montażowej odbiorcy OEM z karą umowną wynoszącą 120 000 EUR za każdą rozpoczętą godzinę przestoju.

Architektura infrastruktury krytycznej i stan katastrofy ujawniony podczas incydentu:

• Serwerownia fabryczna obsługuje system ERP (SAP S/4HANA) oraz system sterowania produkcją MES (Manufacturing Execution System), zintegrowany z 14 zrobotyzowanymi liniami spawalniczymi i obróbczymi.
• Przebieg incydentu: W czwartek o 21:15 regionalna sieć energetyczna 110 kV uległa awarii wskutek zerwania linii przesyłowych pod ciężarem mokrego śniegu (blackout objął 3 powiaty). W fabryce natychmiast zgasło oświetlenie i stanęły linie technologiczne.
• Awaria UPS: Centralny UPS modułowy o mocy 300 kVA zasilający serwerownię MES/ERP wyłączył się awaryjnie po zaledwie 2 minutach i 30 sekundach (choć karta katalogowa gwarantowała 60 minut). Przyczyną była skrajna degradacja 120 akumulatorów AGM (7-letnie akumulatory nigdy nie były badane pod kątem rezystancji wewnętrznej, a 18 ogniw było spuchniętych i rozlanych).
• Awaria agregatu prądotwórczego: Stacjonarny generator prądotwórczy Cummins 1200 kVA podjął próbę rozruchu, lecz po 45 sekundach zgasł z powodu błędu niskiego ciśnienia paliwa. Paliwo w podziemnym zbiorniku o pojemności 8 000 litrów nie było poddawane badaniom ani filtracji od 5 lat. W zbiorniku rozwinęła się biomasa bakteryjna (tzw. diesel bug - bakterie beztlenowe i grzyby przetwarzające węglowodory), która utworzyła gęsty, czarny szlam, całkowicie zatykając filtry wstępne i wtryskiwacze silnika Diesla.
• Skutki biznesowe i paraliż logistyczny: Blackout trwał 18 godzin. W serwerowni doszło do uszkodzenia wolumenów macierzy dyskowej SAN z powodu nagłego odcięcia zasilania. Co więcej, brak łączności internetowej (lokalny węzeł światłowodowy operatora padł po 4 godzinach z powodu wyczerpania baterii) uniemożliwił wygenerowanie dokumentów przewozowych i listów przewozowych CMR.
• Koncerny OEM wstrzymały produkcję samochodów na 12 godzin, obciążając Auto-Components Polska karami umownymi w wysokości 2,16 mln EUR (ok. 9,3 mln PLN) oraz grożąc natychmiastowym zerwaniem wieloletnich kontraktów dostawczych.

Zarząd Grupy w Stuttgarcie deleguje zespół audytorski do przeprowadzenia strategicznego audytu odporności zasilania i DRP w formule 90 minut, dekompozycji w modelu 4C, wyliczenia ryzyka 5x5 i opracowania trójfazowego Planu CAP.

Zadanie realizowane jest w Triadzie Audytorskiej:

• Faza 1 (Minuty 00-15): Triada audytorska, podział ról i triage dowodowy.
  • Wyznaczenie ról w zespole:
    • Rola A: Lead Auditor / CISO Representative (ład BCM wg ISO 22301, relacje z odbiorcami OEM, analiza umów SLA i kar JIT, redakcja Executive Summary dla Zarządu Grupy).
    • Rola B: Technical SecOps Auditor (analiza architektury TIA-942, baterii LiFePO4 z BMS, filtracji paliwa Fuel Polishing, testów Load Bank oraz łącza satelitarnego Starlink).
    • Rola C: BCM & Compliance Auditor (matryca ryzyka 5x5, parametryzacja RTO/RPO/MTPD dla linii JIT, analiza 5 Why dla awarii UPS/agregatu, harmonogram CAP ze wskaźnikami KPI/KRI).
  • Triage dowodów: Analiza raportów serwisowych UPS, próbek paliwa ze zbiornika generatora, logów macierzy SAN i wezwań do zapłaty kar umownych od koncernów motoryzacyjnych.
• Faza 2 (Minuty 15-40): Karta Niezgodności 4C, Analiza Ryzyka 5x5 i Root Cause Analysis.
  • Sformułowanie Karty Niezgodności Dużej (NC1) w modelu 4C dla załamania toru zasilania awaryjnego (degradacja baterii UPS, skażenie paliwa diesel bug) i braku procedury JIT Paper Fallback.
  • Przeprowadzenie pełnego dochodzenia 5 Why dochodzącego do zaniechania prewencyjnego utrzymania infrastruktury krytycznej i pozorowanych testów rozruchowych bez obciążenia.
  • Skonstruowanie matrycy ryzyka 5x5 dla 4 kluczowych wektorów (zatrzymanie taśm OEM i kary JIT, uszkodzenie danych w macierzy SAN po nagłym zaniku zasilania, zerwanie łączności z przewoźnikami, utrata kontraktów Tier-1).
  • Wyznaczenie parametrów BCM: RTO = 30 minut dla systemów MES/ERP, RPO = 0 sekund dla statusów produkcyjnych, MTPD = 1 godzina (okno tolerancji bufora magazynowego OEM).
• Faza 3 (Minuty 40-70): Architektura odpornościowa i Trójfazowy Plan CAP.
  • Standard Odporności Zasilania i Logistyki JIT: wymiana akumulatorów AGM na baterie litowo-żelazowo-fosforanowe (LiFePO4) z zaawansowanym systemem zarządzania ogniwami BMS i gwarancją 10-letniej żywotności, montaż automatycznego układu ciągłej filtracji i recyrkulacji paliwa (Fuel Polishing Unit z separatorem wody i biocydem), wprowadzenie comiesięcznych testów generatora pod 100% sztucznym obciążeniem opornicą (Load Bank Testing przez minimum 4 godziny), wdrożenie terminala satelitarnego Starlink Business z automatycznym przełączaniem (SD-WAN Failover) oraz papierowej procedury awaryjnej odprawy transportów JIT Paper Fallback.
  • Harmonogramowanie Planu CAP: Faza 1 (0-7 dni - czyszczenie zbiornika paliwa, wymiana filtrów, zakup biocydów, wdrożenie procedury JIT Paper Fallback), Faza 2 (30 dni - montaż baterii LiFePO4 i instalacja Starlinka), Faza 3 (90 dni - certyfikacja ISO 22301 i pełny test blackoutowy pod obciążeniem całej fabryki).
• Faza 4 (Minuty 70-90): Synteza Executive Summary i obrona ustna przed Zarządem.
  • Opracowanie 1-stronicowego Podsumowania Zarządczego (Executive Summary - "Pitch to Board") dla Dyrektora Operacyjnego i Rady Nadzorczej.
  • 5-minutowa obrona ustna ustaleń.

Końcowy raport z audytu (objętość 12-16 stron A4) musi zawierać następujące rozdziały:

• Strona tytułowa i Metryka Audytu (skład Triady Audytorskiej, role A/B/C, data audytu, klauzule poufności automotive).
• Rozdział 1: Podsumowanie Zarządcze (Executive Summary - 1 strona A4: syntetyczna diagnoza blackoutu, kary umowne JIT, wnioskowany budżet CAP, priorytety).
• Rozdział 2: Profil podmiotu i wielowymiarowa matryca zbieżności regulacyjnej (korelacja wymogów: ISO 22301:2020, IATF 16949, standard TIA-942 Rated-3, ISO/IEC 27001:2022 A.7.11/A.8.14/A.5.30, wytyczne VDA dotyczące odporności łańcucha dostaw).
• Rozdział 3: Zaawansowana Matryca Ryzyka 5x5 i Metryki Ciągłości Działania:
  • Skala prawdopodobieństwa (1-5) i skutku (1-5) w skali 25-punktowej.
  • Analiza ryzyka inherentnego (IR) oraz rezydualnego (RR) wraz z metrykami BCM (RTO, RPO, MTPD).
• Rozdział 4: Projekt Załącznika Wykonawczego do Polityki Ciągłości Działania: "Standard Zapewnienia Ciągłości Zasilania Gwarantowanego, Jakości Paliw Agregatów Oraz Procedury Awaryjnej Wysyłki Just-in-Time (JIT Paper Fallback)".
• Rozdział 5: Rejestr Ustaleń w Modelu 4C z Analizą Przyczyn Źródłowych 5 Why oraz Trójfazowy Plan CAP ze wskaźnikami KPI i KRI.
• Rozdział 6: Analiza wad, zalet, kosztów TCO oraz bilansu korzyści przejścia na technologię LiFePO4 i automatyczną filtrację paliwa.

Wzorcowe rozwiązanie poziomu 5.0 obejmuje:

A. Karta Niezgodności Dużej (NC1) w kanonicznym modelu 4C dla Załamania Zasilania Gwarantowanego, Skażenia Paliwa Diesel Bug i Przestoju JIT:

• Condition (Stan faktyczny): W trakcie 18-godzinnego regionalnego blackoutu baterie UPS serwerowni wyczerpały się po 2,5 minutach (zamiast 60 minut) z powodu skrajnej degradacji akumulatorów AGM. Generator Cummins 1200 kVA wyłączył się po 45 sekundach w wyniku zablokowania filtrów paliwa biologicznym szlamem (diesel bug w 5-letnim paliwie). Brak łącza zapasowego i brak procedury JIT Paper Fallback uniemożliwił wysyłkę podzespołów, co spowodowało zatrzymanie linii montażowych OEM, nałożenie kar w wysokości 2,16 mln EUR oraz uszkodzenie bazy produkcyjnej na macierzy SAN.
• Criteria (Kryterium): Norma PN-EN ISO 22301:2020 punkt 8.2 (Analiza wpływu na biznes i ocena ryzyka), punkt 8.4 (Plany i procedury ciągłości działania), Standard TIA-942 (Wymagania dla redundancji zasilania Data Center), ISO/IEC 27001:2022 Załącznik A.7.11 (Zabezpieczenia fizyczne i środowiskowe), A.8.14 (Redundancja), Standard IATF 16949 punkt 6.1.2.3 (Plany awaryjne dostawcy w łańcuchu automotive).
• Cause (Przyczyna źródłowa - analiza 5 Why):

  1. Dlaczego agregat prądotwórczy zgasł po kilkudziesięciu sekundach od startu? Ponieważ filtry paliwa uległy całkowitemu zatkaniu gęstym osadem biologicznym uniemożliwiającym przepływ oleju napędowego do pompy wtryskowej.

  2. Dlaczego w zbiorniku paliwa rozwinął się osad diesel bug? Ponieważ paliwo nie było badane laboratoryjnie, nie stosowano biocydów, a woda skraplająca się na ściankach podziemnego zbiornika stworzyła idealne środowisko dla rozwoju mikroorganizmów beztlenowych.

  3. Dlaczego baterie UPS nie utrzymały zasilania przez deklarowaną godzinę, pozwalając na bezpieczne zamknięcie systemów lub restart generatora? Ponieważ baterie kwasowo-ołowiowe AGM pracowały w serwerowni od 7 lat bez wymiany, a serwis fabryczny ograniczał się do powierzchownych pomiarów napięcia bez badania konduktancji i testów pojemnościowych pod obciążeniem.

  4. Dlaczego comiesięczne testy generatora nie ujawniły awarii filtrów paliwa? Ponieważ testy prowadzono w trybie "biegu jałowego" (bez obciążenia) przez 5 minut, co zużywało minimalne ilości paliwa znajdujące się w przewodach i nie pobierało zanieczyszczeń ze spodu zbiornika.

  5. Dlaczego dopuszczono do pozorowanych testów i braku modernizacji zasilania w fabryce obciążonej wielomilionowymi karami JIT? (PRZYCZYNA ŹRÓDŁOWA): Brak wdrożonego Systemu Zarządzania Ciągłością Działania (BCMS zgodnego z ISO 22301), silosowe zarządzanie utrzymaniem ruchu bez integracji z IT i logistyką oraz fałszywe poczucie bezpieczeństwa oparte na papierowych protokołach serwisowych.

• Consequence (Wielowymiarowy skutek): Bezpośrednie straty finansowe z kar umownych od koncernów samochodowych w kwocie 2,16 mln EUR (9,3 mln PLN); ryzyko natychmiastowego zerwania kontraktów Tier-1 i przeniesienia zleceń do konkurencji; uszkodzenie integralności danych w systemie ERP SAP S/4HANA po twardym wyłączeniu macierzy SAN; utrata wiarygodności kredytowej i obniżenie ratingu IATF 16949.

B. Zaawansowana Matryca Ryzyka 5x5 i Metryki Ciągłości Działania (BCM):

(IR = Ryzyko Inherentne w skali 1-25; RR = Ryzyko Rezydualne w skali 1-25).

C. Trójfazowy Plan Działań Korygujących (CAP):

D. Sformalizowany Projekt Załącznika do PBI:

"Załącznik nr 10 do Księgi Ciągłości Działania (BCP): Standard Utrzymania Systemów Zasilania Gwarantowanego, Monitorowania Jakości Paliw Oraz Procedury Awaryjnej Wysyłki Just-in-Time (JIT Paper Fallback)":

• Par. 1: Standardy zasilania bezprzerwowego (UPS): Wszystkie systemy krytyczne IT i OT (serwery ERP, MES, macierze SAN, sterowniki nadrzędne) muszą być zasilane z redundantnego układu UPS w topologii 2N opartego na bezobsługowych ogniwach litowo-żelazowo-fosforanowych (LiFePO4) wyposażonych w zintegrowany system BMS z telemetrią każdego ogniwa w czasie rzeczywistym. Czas autonomii bateryjnej nie może być krótszy niż 45 minut przy 100% obciążeniu.
• Par. 2: Reżim utrzymania generatorów i paliwa: Paliwo w zbiornikach agregatów musi być poddawane ciągłej recyrkulacji przez stacjonarny układ filtracji magnetyczno-koalescencyjnej (Fuel Polishing Unit). Raz na 6 miesięcy pobiera się próbki paliwa do akredytowanego laboratorium w celu weryfikacji liczby cząstek stałych (zgodnie z ISO 4406) oraz braku zanieczyszczeń mikrobiologicznych.
• Par. 3: Testy z obciążeniem rzeczywistym (Load Bank Testing): Zabrania się zaliczania testów generatora na biegu jałowym. W każdym kwartale przeprowadza się 4-godzinny test generatora pod obciążeniem minimum 80-100% mocy znamionowej przy użyciu mobilnej opornicy obciążeniowej (Load Bank).
• Par. 4: Procedura JIT Paper Fallback i łączność satelitarna: W przypadku całkowitej awarii systemów informatycznych lub łączy telekomunikacyjnych dyspozytorzy logistyki przechodzą na tryb pracy papierowej. Odprawa transportów odbywa się na numerowanych formularzach samokopiujących CMR z bufora awaryjnego, a potwierdzenia wysyłki do fabryk OEM transmitowane są za pośrednictwem niezależnego łącza satelitarnego Starlink Business zasilanego z dedykowanego banku energii.

E. Podsumowanie Zarządcze (Executive Summary - "Pitch to Board"):

• Ekspozycja na ryzyko: Poziom skrajny (25/25) - bezpośrednie zagrożenie bytu spółki w wyniku kar umownych (120 000 EUR/h) i zerwania kontraktów Tier-1 przez globalne koncerny motoryzacyjne.
• Zagrożenia regulacyjne: Utrata certyfikatu IATF 16949, roszczenia regresowe przewoźników i poddostawców, sankcje z NIS2 za brak zarządzania ryzykiem w łańcuchu dostaw.
• Wnioskowany budżet CAP: 520 000 PLN (baterie LiFePO4 300 kVA z BMS: 260 000 PLN, automatyczny system Fuel Polishing i czyszczenie zbiornika: 85 000 PLN, terminal satelitarny Starlink z osprzętem SD-WAN: 25 000 PLN, stanowisko Load Bank i modernizacja SZR: 150 000 PLN).
• Matryca Priorytetów:
  • Quick Wins (0-7 dni): Czyszczenie chemiczne paliwa w generatorze, wymiana filtrów, awaryjna instrukcja JIT Paper Fallback (koszt: 18 000 PLN).
  • Projekty Strategiczne (30-90 dni): Wdrożenie baterii LiFePO4, montaż Fuel Polishingu, instalacja Starlinka, certyfikacja ISO 22301 (koszt: 502 000 PLN, TCO 3-letnie: 640 000 PLN).

F. Analiza zalet, wad i kosztów TCO:

• Zalety: Wyeliminowanie ryzyka przestoju zasilania w serwerowni i na bramach spedycyjnych; gwarancja podtrzymania wysyłek JIT w warunkach całkowitego blackoutu miejskiego; obniżenie kosztów serwisu baterii o 70% w cyklu 10-letnim dzięki technologii LiFePO4.
• Wady i trudności: Wysoki jednostkowy koszt inwestycyjny zakupu baterii litowych i stacji filtracji; konieczność okresowego organizowania uciążliwych ćwiczeń blackoutowych.

• Norma PN-EN ISO 22301:2020: Bezpieczeństwo i odporność - Systemy zarządzania ciągłością działania.
• Standard IATF 16949:2016: Wymagania wobec systemów zarządzania jakością w przemyśle motoryzacyjnym.
• Standard TIA-942-B: Telecommunications Infrastructure Standard for Data Centers.
• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - A.7.11, A.8.14, A.5.29, A.5.30.
• Norma ISO 4406: Płyny hydrauliczne - Kodowanie poziomu zanieczyszczenia cząstkami stałymi.
• The Uptime Institute: "Data Center Site Infrastructure Tier Standard: Topology and Operational Sustainability".

• U1 Student projektuje odporną infrastrukturę zasilania gwarantowanego z bateriami LiFePO4, filtracją paliwa i łącznością satelitarną Starlink.
• U2 Student dokumentuje uchybienia w modelu 4C i prowadzi analizę 5 Why dla awarii toru zasilania i agregatu prądotwórczego.
• U3 Student szacuje ryzyko w matrycy 5x5 i parametryzuje wskaźniki BCM dla łańcucha dostaw Just-in-Time.
• U4 Student sporządza trójfazowy Plan CAP oraz Executive Summary w formacie Pitch to Board dla Dyrekcji fabryki.
• W1W2W3 Student wykazuje ekspercką wiedzę z zakresu ISO 22301, IATF 16949, TIA-942, technologii magazynowania energii i zjawiska diesel bug.
• K1K2K3 Student cechuje się pragmatyzmem inżynierskim, asertywnością w egzekwowaniu testów obciążeniowych i dbałością o odporność łańcucha dostaw.

Celem zadania laboratoryjnego na ocenę 5.0 jest przeprowadzenie strategicznego audytu procedur zarządzania kopiami zapasowymi, długoterminowej retencji archiwalnej oraz mechanizmów kontroli integralności danych dowodowych w Sądzie Apelacyjnym i Sądowym Centrum Informatyki (SCI), podlegającym rygorom Krajowych Ram Interoperacyjności (KRI par. 20), Kodeksu postępowania cywilnego (KPC), Kodeksu postępowania karnego (KPK) oraz normy ISO/IEC 27001:2022. Środowisko przechowuje ponad 2,4 PB cyfrowych nagrań audiowizualnych rozpraw sądowych (system ReCourt) stanowiących oficjalny protokół sądowy o randze dokumentu urzędowego podlegającego obowiązkowej retencji przez 10 do 20 lat. Audyt stawia studentów w roli audytorów badających krytyczny incydent procesowy: podczas rozprawy apelacyjnej w procesie o wielomilionowe wyłudzenia gospodarcze okazało się, że 14 kluczowych plików wideo z zeznaniami świadków uległo cichej korupcji danych (zjawisko Silent Data Corruption / Bit Rot - przekłamania pojedynczych bitów na poziomie bloków dyskowych macierzy NTFS bez zgłoszenia błędu I/O przez kontroler), uniemożliwiając ich odtworzenie. Dochodzenie ujawnia, że administratorzy macierzy storage'owej, borykając się z wyczerpaniem wolumenów dyskowych, samowolnie skrócili politykę retencji kopii zapasowych w systemie backupowym z wymaganych prawem 10 lat do zaledwie 90 dni, a w całym środowisku nie prowadzono żadnej weryfikacji sum kontrolnych SHA-256 ani procedur Data Scrubbing. Zadanie wymaga parametryzacji wskaźników BCM (RTO=2h, RPO=0s, MTPD=6h), wdrożenia architektury pamięci masowej opartej na samonaprawiającym się systemie plików ZFS z pulami RAID-Z2, zautomatyzowanego harmonogramu Data Scrubbing, kryptograficznego pieczętowania nagrań podpisem kwalifikowanym oraz długoterminowej archiwizacji na nośnikach LTO WORM, sformułowania ustaleń w modelu 4C z analizą 5 Why, opracowania trójfazowego Planu CAP oraz przygotowania Executive Summary dla Prezesa Sądu Apelacyjnego i Departamentu Informatyzacji Ministerstwa Sprawiedliwości.

Powiązanie z sylabusem i treściami programowymi na ocenę 5.0:

• W1 Ekspercka znajomość przepisów prawa procesowego (art. 157 KPC, art. 147 KPK - protokół elektroniczny), przepisów archiwalnych o narodowym zasobie archiwalnym oraz rygorów KRI par. 20 w zakresie integralności i rozliczalności rejestrów publicznych.
• W2W3 Rygorystyczna analiza normy PN-EN ISO/IEC 27001:2022 (A.8.13 Tworzenie kopii zapasowych, A.8.14 Redundancja, A.8.24 Kryptografia, A.5.33 Ochrona dokumentacji archiwalnej), normy ISO 22301 oraz standardu OAIS (Open Archival Information System - ISO 14721).
• U1 Opracowanie zintegrowanego Standardu Długoterminowej Archiwizacji i Weryfikacji Integralności Protokołów Sądowych, łączącego pamięć masową ZFS z RAID-Z2, automatyczny Data Scrubbing co 14 dni, generowanie drzew skrótów Merkle Tree i sum kontrolnych SHA-256 oraz replikację do niezmiennego archiwum LTO-9 WORM.
• U2 Profesjonalne sformułowanie Karty Niezgodności Dużej w modelu 4C z dogłębnym dochodzeniem przyczyn źródłowych (Root Cause Analysis - 5 Why).
• U3 Przeprowadzenie analizy ryzyka w 25-stopniowej matrycy 5x5 przed i po zastosowaniu kontroli mitygujących ze wskaźnikami BCM (RTO, RPO, MTPD).
• U4 Opracowanie trójfazowego Planu Działań Korygujących (CAP) ze wskaźnikami KPI i KRI oraz Podsumowania Zarządczego w formule Pitch to Board.
• K1K2K3 Niezależność audytorska, dbałość o powagę wymiaru sprawiedliwości, odporność na hierarchię urzędniczą i bezstronność w dochodzeniu uchybień.
• Powiązanie z wykładem: Wyk1 (Ład SZBI w sądownictwie), Wyk3 (Kontrole A.8.13 i A.5.33), Wyk4 (KRI par. 20, KPC i KPK), Wyk5 (Risk-based audit i matryca 5x5 w archiwistyce), Wyk6 (Weryfikacja sum kontrolnych, logów ZFS zpool status i polityk GFS), Wyk7 (Model 4C, 5 Why i trójfazowy CAP).

Sąd Apelacyjny wraz z podległymi 6 sądami okręgowymi i 28 sądami rejonowymi rocznie proceduje ponad 450 000 spraw. W 180 salach rozpraw zainstalowany jest zintegrowany system cyfrowej rejestracji ReCourt, rejestrujący obraz w jakości Full HD oraz 4 ścieżki audio z mikrofonów sędziowskich i stron. Miesięczny przyrost danych audiowizualnych wynosi 45 TB.

Przebieg incydentu i uchybienia ujawnione w trakcie audytu:

• W trakcie głośnego procesu apelacyjnego dotyczącego afery finansowej o wartości 280 mln PLN Sąd postanowił odtworzyć nagranie kluczowego świadka koronnego złożone przed Sądem Okręgowym 3 lata wcześniej. Plik wideo .mp4 o rozmiarze 18 GB odmówił odtworzenia, zgłaszając błąd uszkodzonego nagłówka i niespójności klatek kluczowych (błąd korupcji strumienia wideo).
• Dochodzenie techniczne: Biegły sądowy ds. informatyki wykazał zjawisko cichej korupcji danych (Silent Data Corruption / Bit Rot) na dyskach macierzy produkcyjnej SAN (system plików NTFS w macierzy RAID-5). Błędy bitowe powstały wskutek degradacji magnetycznej talerzy dyskowych (bit flippage), a kontroler macierzy nie zgłosił błędu I/O, ponieważ błąd dotyczył danych wewnątrz sektora, a nie awarii fizycznej sektora.
• Ujawnienie samowolnego skrócenia retencji: Sekretariat Sądu zwrócił się do Sądowego Centrum Informatyki o odtworzenie pliku z kopii zapasowej. Wówczas okazało się, że plik z kopii nie istnieje. Kierownik Sekcji Pamięci Masowych SCI, zmagając się z brakiem budżetu na nowe półki dyskowe i nie chcąc dopuścić do zatrzymania rejestracji bieżących rozpraw, 11 miesięcy wcześniej samowolnie zmodyfikował harmonogram Grandfather-Father-Son (GFS) w oprogramowaniu backupowym, skracając retencję kopii pełnych z 10 lat (wymóg prawny) do zaledwie 90 dni.
• Brak weryfikacji integralności i brak sum kontrolnych: W całym systemie ReCourt nie implementowano mechanizmu automatycznego generowania sum kontrolnych (SHA-256) w momencie zakończenia sesji rozprawy. Oprogramowanie backupowe nie weryfikowało spójności odczytywanych danych (brak testów restore, brak Data Scrubbing).
• Skutki procesowe: W wyniku utraty materiału dowodowego Sąd Apelacyjny musiał uchylić wyrok i skierować sprawę do ponownego rozpoznania, co naraziło Skarb Państwa na wielomilionowe koszty przedłużenia tymczasowych aresztowań oraz zarzut naruszenia Europejskiej Konwencji Praw Człowieka (prawo do rzetelnego procesu w rozsądnym terminie).

Kolegium Sądu Apelacyjnego powołuje audytorów do przeprowadzenia strategicznego audytu DRP/BCP w formule 90 minut, dekompozycji w modelu 4C, wyliczenia ryzyka 5x5 i opracowania trójfazowego Planu CAP.

Zadanie realizowane jest w Triadzie Audytorskiej w ściśle kontrolowanym reżimie:

• Faza 1 (Minuty 00-15): Triada audytorska, podział ról i triage dowodowy.
  • Wyznaczenie ról w zespole:
    • Rola A: Lead Auditor / CISO Representative (odpowiada za compliance z KRI par. 20, KPC/KPK, procedury sądowe, redakcję Executive Summary dla Prezesa Sądu i Ministerstwa Sprawiedliwości).
    • Rola B: Technical SecOps Auditor (analizuje architekturę ZFS/RAID-Z2, mechanizmy zpool scrub, drzewa Merkle'a, sumy SHA-256, biblioteki LTO WORM i procedury walidacji integralności).
    • Rola C: BCM & Compliance Auditor (matryca ryzyka 5x5, parametryzacja RTO/RPO/MTPD dla wymiaru sprawiedliwości, analiza 5 Why dla cichej korupcji i cięcia retencji, harmonogram CAP).
  • Triage dowodów: Analiza uszkodzonych plików .mp4, historii zmian konfiguracji polityk retencji w systemie backupowym, logów kontrolerów dyskowych i akt sprawy sądowej.
• Faza 2 (Minuty 15-40): Karta Niezgodności 4C, Analiza Ryzyka 5x5 i Root Cause Analysis.
  • Sformułowanie Karty Niezgodności Dużej (NC1) w modelu 4C dla cichej korupcji nagrań sądowych, samowolnego skrócenia retencji do 90 dni i braku mechanizmów sum kontrolnych.
  • Przeprowadzenie pełnego dochodzenia 5 Why dochodzącego do strukturalnego niedofinansowania infrastruktury storage'owej i braku procedur Change Management w sądownictwie.
  • Skonstruowanie matrycy ryzyka 5x5 dla 4 kluczowych wektorów (utrata dowodów i uchylenie wyroków w procesach karnych, cicha degradacja tysięcy godzin nagrań, kary i odszkodowania z ETPCz, sabotaż polityk retencji przez administratora).
  • Wyznaczenie parametrów BCM: RTO = 2 godziny dla dostępu do nagrań archiwalnych, RPO = 0 sekund dla trwającej rozprawy, MTPD = 6 godzin.
• Faza 3 (Minuty 40-70): Architektura odpornościowa i Trójfazowy Plan CAP.
  • Standard Bezpiecznego Cyklu Archiwizacji Danych Sądowych: migracja repozytoriów archiwalnych na samonaprawiający się system plików ZFS z pulami RAID-Z2 (podwójna parzystość bloków), wdrożenie zautomatyzowanego procesu Data Scrubbing (cykliczne skanowanie i naprawa bitów w tle co 14 dni), generowanie kryptograficznego skrótu SHA-256 z pieczęcią elektroniczną Sądu w chwili zamknięcia protokołu rozprawy, wdrożenie reguły 3-2-1-1-0 z długoterminowym zapisem na taśmach LTO-9 WORM składowanych w zewnętrznym archiwum państwowym.
  • Harmonogramowanie Planu CAP: Faza 1 (0-7 dni - natychmiastowe przywrócenie retencji 10 lat, blokada zmian konfiguracji, awaryjny audyt integralności nagrań z ostatnich 12 miesięcy), Faza 2 (30 dni - wdrożenie klastra ZFS i procedury Data Scrubbing), Faza 3 (90 dni - biblioteka LTO WORM, pełne wdrożenie KRI par. 20 i ISO 27001).
• Faza 4 (Minuty 70-90): Synteza Executive Summary i obrona ustna przed Prezesem Sądu.
  • Opracowanie 1-stronicowego Podsumowania Zarządczego (Executive Summary - "Pitch to Board") dla Prezesa Sądu Apelacyjnego i Dyrektora Sądu.
  • 5-minutowa obrona ustna ustaleń.

Końcowy raport z audytu (objętość 12-16 stron A4) musi zawierać następujące rozdziały:

• Strona tytułowa i Metryka Audytu (skład Triady Audytorskiej, role A/B/C, data audytu, oświadczenie o bezstronności).
• Rozdział 1: Podsumowanie Zarządcze (Executive Summary - 1 strona A4: syntetyczna diagnoza naruszenia integralności dowodów, skutki procesowe, budżet CAP, priorytety).
• Rozdział 2: Profil podmiotu i wielowymiarowa matryca zbieżności regulacyjnej (korelacja wymogów: KRI par. 20, art. 157 KPC, art. 147 KPK, ISO/IEC 27001:2022 A.8.13/A.8.24/A.5.33, standard OAIS ISO 14721).
• Rozdział 3: Zaawansowana Matryca Ryzyka 5x5 i Metryki Ciągłości Działania:
  • Skala prawdopodobieństwa (1-5) i skutku (1-5) w skali 25-punktowej.
  • Analiza ryzyka inherentnego (IR) oraz rezydualnego (RR) wraz z metrykami BCM (RTO, RPO, MTPD).
• Rozdział 4: Projekt Załącznika Wykonawczego do Polityki Bezpieczeństwa Informacji Sądu: "Standard Długoterminowej Archiwizacji, Zabezpieczenia Przed Cichą Korupcją Danych (Bit Rot) Oraz Weryfikacji Integralności Elektronicznych Protokołów Sądowych".
• Rozdział 5: Rejestr Ustaleń w Modelu 4C z Analizą Przyczyn Źródłowych 5 Why oraz Trójfazowy Plan CAP ze wskaźnikami KPI i KRI.
• Rozdział 6: Analiza wad, zalet, kosztów TCO oraz bilansu korzyści wdrożenia systemu ZFS RAID-Z2 i archiwum LTO WORM.

Wzorcowe rozwiązanie poziomu 5.0 obejmuje:

A. Karta Niezgodności Dużej (NC1) w kanonicznym modelu 4C dla Cichej Korupcji Nagrań Sądowych i Samowolnego Skrócenia Retencji:

• Condition (Stan faktyczny): W Sądzie Apelacyjnym doszło do utraty 14 nagrań wideo rozpraw wskutek cichej korupcji danych (Bit Rot) na dyskach NTFS/RAID-5 bez wykrycia przez kontroler macierzy. Odtworzenie z kopii zapasowej było niemożliwe, ponieważ kierownik pamięci masowych samowolnie skrócił retencję w systemie backupu z wymaganych prawem 10 lat do 90 dni z powodu braku miejsca na dyskach. Brak mechanizmu generowania sum kontrolnych SHA-256 i brak testów odzyskiwania, co doprowadziło do uchylenia wyroku w procesie karnym o wartości 280 mln PLN.
• Criteria (Kryterium): Rozporządzenie Rady Ministrów w sprawie Krajowych Ram Interoperacyjności (KRI) par. 20 ust. 2 pkt 4, 11 i 14 (obowiązek zachowania integralności, rozliczalności i ochrony przed nieuprawnionym zniszczeniem zasobów archiwalnych), Kodeks postępowania cywilnego art. 157 par. 1 (elektroniczny protokół posiedzenia), Kodeks postępowania karnego art. 147, ISO/IEC 27001:2022 Załącznik A.8.13, A.8.24, A.5.33.
• Cause (Przyczyna źródłowa - analiza 5 Why):

  1. Dlaczego nagranie rozprawy z zeznaniami świadka koronnego odmówiło odtworzenia na sali sądowej? Ponieważ bity danych wewnątrz pliku uległy samoistnemu przekłamaniu (Bit Rot), co uszkodziło strukturę kontenera MP4 i nagłówek strumienia audio/wideo.

  2. Dlaczego macierz dyskowa nie skorygowała błędnych bitów w locie? Ponieważ tradycyjny system plików NTFS oraz kontroler sprzętowy RAID-5 nie weryfikują sum kontrolnych danych przy odczycie, jeśli dysk fizyczny nie zgłosi błędu sektora (brak funkcji Self-Healing).

  3. Dlaczego plik nie został przywrócony z 10-letniego archiwum kopii zapasowych? Ponieważ administrator pamięci masowych skrócił czas retencji kopii w systemie backupowym do 90 dni, usuwając starsze punkty przywracania.

  4. Dlaczego administrator podjął samowolną decyzję o drastycznym skróceniu retencji bez zgody Prezesa Sądu i IOD? Ponieważ przestrzeń dyskowa macierzy backupowej była zapełniona w 98%, a wnioski budżetowe o rozbudowę biblioteki taśmowej były odrzucane przez Ministerstwo Sprawiedliwości.

  5. Dlaczego w sądzie brakowało procedur kontroli integralności danych i zarządzania zmianą? (PRZYCZYNA ŹRÓDŁOWA): Brak w strukturach sądownictwa zintegrowanego ładu zarządzania jakością danych (Data Governance zgodnego z KRI i ISO 27001), brak mechanizmów automatycznej kontroli zmian konfiguracji (Change Management) oraz brak technologicznej świadomości specyfiki cichej degradacji nośników cyfrowych.

• Consequence (Wielowymiarowy skutek): Uchylenie wyroku i paraliż procesu karnego dużej wagi; konieczność ponownego przesłuchania świadków (część z nich zmarła lub odmówiła zeznań); kompromitacja wizerunku wymiaru sprawiedliwości; ryzyko pozwów odszkodowawczych przeciwko Skarbowi Państwa za przewlekłość postępowania i bezprawne aresztowanie; odpowiedzialność dyscyplinarna i karna urzędników z art. 231 Kodeksu karnego (niedopełnienie obowiązków).

B. Zaawansowana Matryca Ryzyka 5x5 i Metryki Ciągłości Działania (BCM):

(IR = Ryzyko Inherentne w skali 1-25; RR = Ryzyko Rezydualne w skali 1-25).

C. Trójfazowy Plan Działań Korygujących (CAP):

D. Sformalizowany Projekt Załącznika do PBI:

"Załącznik nr 11 do Polityki Bezpieczeństwa Informacji Sądu Apelacyjnego: Standard Długoterminowego Przechowywania, Zabezpieczenia Przed Degradacją Bitową (Bit Rot) Oraz Integralności Protokołów Elektronicznych ReCourt":

• Par. 1: Wymóg weryfikacji integralności i samonaprawy (Self-Healing Storage): Wszystkie zasoby audiowizualne rejestracji rozpraw sądowych muszą być przechowywane na pamięciach masowych zarządzanych przez system plików z automatyczną kontrolą sum kontrolnych każdego bloku (np. ZFS lub Ceph) zorganizowanych w pulach z podwójną parzystością (RAID-Z2 / Erasure Coding 8+2). System musi automatycznie korygować wykryte przekłamania bitowe (Bit Rot) w locie bez przerywania dostępu do danych.
• Par. 2: Obowiązek cyklicznego skanowania integralności (Data Scrubbing): Administratorzy pamięci masowych mają obowiązek skonfigurowania zautomatyzowanego harmonogramu pełnego odczytu i weryfikacji wszystkich bloków danych (zpool scrub) w interwale nie dłuższym niż 14 dni. Wykrycie jakiegokolwiek trwałego błędu sumy kontrolnej skutkuje natychmiastowym alarmem do CISO i wszczęciem procedury naprawczej z nośnika zapasowego.
• Par. 3: Kryptograficzne pieczętowanie dowodów: Każdy plik multimedialny po zakończeniu rejestracji rozprawy zostaje automatycznie opatrzony sumą kontrolną SHA-256 oraz kwalifikowanym znacznikiem czasu (zgodnym z rozporządzeniem eIDAS), uniemożliwiając niezauważoną modyfikację materiału procesowego.
• Par. 4: Retencja i niezmienność nośników WORM: Kopie archiwalne nagrań podlegają eksportowi na nośniki taśmowe LTO-9 WORM (Write Once, Read Many) z okresem retencji minimum 10 lat (dla spraw cywilnych) oraz 20 lat (dla spraw karnych). Zabrania się skracania okresu retencji bez prawomocnego zarządzenia Prezesa Sądu i zgody Archiwum Państwowego.

E. Podsumowanie Zarządcze (Executive Summary - "Pitch to Board"):

• Ekspozycja na ryzyko: Poziom skrajny (25/25) - utrata mocy dowodowej protokołów sądowych, uchylanie wyroków w procesach karnych i cywilnych, ryzyko wielomilionowych odszkodowań od Skarbu Państwa.
• Zagrożenia regulacyjne: Rażące naruszenie par. 20 KRI, art. 157 KPC i art. 147 KPK; odpowiedzialność karna i dyscyplinarna pracowników SCI za zniszczenie dokumentacji procesowej.
• Wnioskowany budżet CAP: 490 000 PLN (serwery pamięci masowej ZFS z dyskami SAS Enterprise: 210 000 PLN, rozbudowa biblioteki taśmowej o napędy i taśmy LTO-9 WORM: 190 000 PLN, moduł kryptograficznego pieczętowania eIDAS: 90 000 PLN).
• Matryca Priorytetów:
  • Quick Wins (0-7 dni): Zablokowanie uprawnień do skracania retencji, wdrożenie hashowania SHA-256, inwentaryzacja uszkodzonych plików (koszt: 0 PLN).
  • Projekty Strategiczne (30-90 dni): Wdrożenie klastra ZFS z procedurą Data Scrubbing, zakup biblioteki taśmowej WORM, pełne wdrożenie ładu KRI (koszt: 490 000 PLN, TCO 3-letnie: 610 000 PLN).

F. Analiza zalet, wad i kosztów TCO:

• Zalety: Całkowite wyeliminowanie ryzyka utraty dowodów procesowych na skutek cichej korupcji dysków (ZFS samoczynnie koryguje bity); matematyczna gwarancja nienaruszalności nagrań (SHA-256 + WORM); pełna zgodność z KRI i kodeksami procesowymi.
• Wady i trudności: Duże narzuty obliczeniowe i wejścia/wyjścia (I/O) podczas operacji Data Scrubbing (konieczność prowadzenia scrubbingu w nocy i w weekendy); wzrost kosztów zakupu dedykowanych nośników taśmowych WORM.

• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności (Dz.U. z 2024 r. poz. 773) - par. 20.
• Ustawa z dnia 17 listopada 1964 r. - Kodeks postępowania cywilnego (Dz.U. z 2023 r. poz. 1550) - art. 157.
• Ustawa z dnia 6 czerwca 1997 r. - Kodeks postępowania karnego (Dz.U. z 2024 r. poz. 37) - art. 147.
• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - A.8.13, A.8.24, A.5.33.
• Standard ISO 14721:2012: Space data and information transfer systems - Open archival information system (OAIS) - Reference model.
• Bonwick J. et al.: "ZFS: The Last Word in File Systems", Sun Microsystems / OpenZFS Documentation.

• U1 Student projektuje architekturę samonaprawiającego się storage'u ZFS z RAID-Z2, Data Scrubbing i archiwizacją LTO WORM.
• U2 Student dokumentuje uchybienia w modelu 4C i przeprowadza dochodzenie 5 Why dla zjawiska cichej korupcji i cięcia retencji.
• U3 Student wykonuje analizę ryzyka w matrycy 5x5 i parametryzuje wskaźniki BCM dla wymiaru sprawiedliwości.
• U4 Student sporządza trójfazowy Plan CAP oraz Executive Summary w formule Pitch to Board dla Prezesa Sądu.
• W1W2W3 Student wykazuje ekspercką wiedzę z zakresu KRI par. 20, KPC, KPK, ISO 27001, kryptografii i inżynierii systemów plików.
• K1K2K3 Student wykazuje etykę urzędniczą, bezkompromisowość w ochronie praworządności i odporność na presję administracyjną.

Celem zadania laboratoryjnego na ocenę 5.0 jest przeprowadzenie strategicznego audytu architektury backupu wirtualnego i fizycznego, procedur Disaster Recovery oraz wydajności pamięci masowych SAN w Państwowym Instytucie Badawczym Energetyki Jądrowej (PIB-EJ), eksploatującym badawczy reaktor jądrowy, podlegającym ścisłemu nadzorowi Państwowej Agencji Atomistyki (PAA), Europejskiej Wspólnoty Energii Atomowej (EURATOM), Międzynarodowej Agencji Energii Atomowej (MAEA/IAEA) oraz normie ISO/IEC 27001:2022. Instytut przetwarza strategiczne modele matematyczne termohydrauliki rdzenia reaktora, dane dozymetryczne promieniowania oraz kody sterowania prętami kontrolnymi. Audyt stawia studentów w roli audytorów badających krytyczny incydent wydajnościowo-operacyjny: załamanie klastra wirtualizacji VMware vSphere wywołane zjawiskiem niekontrolowanego rozrostu migawek maszyn wirtualnych (tzw. Snapshot Sprawl). Zespół IT instytutu od 9 miesięcy utożsamiał tworzenie migawek hiperwizora z pełnoprawną kopią zapasową, nie wykonując rzeczywistych kopii bazodanowych ani kopii fizycznych Bare-Metal. Niekasowane pliki różnicowe delta (-delta.vmdk) rozrosły się do wolumenu 35 TB, powodując wyczerpanie przestrzeni LUN macierzy Fibre Channel (SAN), gwałtowny wzrost opóźnień dyskowych (latencja I/O wzrosła z 3 ms do 85 ms), a próba konsolidacji migawek zamroziła wirtualne maszyny symulacji bezpieczeństwa reaktora na 14 godzin. Ponadto fizyczne serwery systemu wczesnego ostrzegania przed promieniowaniem nie posiadały żadnej kopii umożliwiającej odtworzenie typu Bare-Metal Restore. Zadanie wymaga parametryzacji wskaźników BCM (RTO=15m, RPO=15m, MTPD=1h), wdrożenia dedykowanego serwera backupowego w architekturze Direct SAN z mechanizmem śledzenia zmienionych bloków CBT (Changed Block Tracking), automatycznego mechanizmu Instant VM Recovery (< 90 sekund) oraz procedury Bare-Metal Restore dla serwerów fizycznych, sformułowania ustaleń w modelu 4C z analizą 5 Why, opracowania trójfazowego Planu CAP oraz przygotowania Executive Summary dla Dyrektora Instytutu i Głównego Inspektora Dozoru Jądrowego.

Powiązanie z sylabusem i treściami programowymi na ocenę 5.0:

• W1 Ekspercka znajomość Prawa atomowego, wymogów bezpieczeństwa jądrowego i ochrony radiologicznej, rygorów MAEA (IAEA Nuclear Security Series) oraz traktatu EURATOM.
• W2W3 Rygorystyczna analiza normy PN-EN ISO/IEC 27001:2022 (A.8.13 Kopie zapasowe, A.8.14 Redundancja, A.5.29, A.5.30 Gotowość ICT), ISO 22301 oraz wytycznych NIST SP 800-34 i VMware Storage Best Practices.
• U1 Opracowanie zintegrowanego Standardu Architektury Kopiowania i Odtwarzania Środowisk Wirtualnych i Fizycznych, łączącego transport Direct SAN (Fibre Channel), technologię Changed Block Tracking (CBT), blokadę tworzenia niespójnych migawek, odzyskiwanie Instant VM Recovery bezpośrednio ze skompresowanego repozytorium backupu oraz obrazy Bare-Metal dla węzłów dozymetrycznych.
• U2 Profesjonalne sformułowanie Karty Niezgodności Dużej w modelu 4C z dogłębnym dochodzeniem przyczyn źródłowych (Root Cause Analysis - 5 Why).
• U3 Przeprowadzenie analizy ryzyka w 25-stopniowej matrycy 5x5 przed i po zastosowaniu kontroli mitygujących ze wskaźnikami BCM (RTO, RPO, MTPD).
• U4 Opracowanie trójfazowego Planu Działań Korygujących (CAP) ze wskaźnikami KPI i KRI oraz Podsumowania Zarządczego w formule Pitch to Board.
• K1K2K3 Najwyższy rygor inżynierski, bezkompromisowość w kwestiach bezpieczeństwa nuklearnego, odporność na rutynę personelu naukowego i badawczego.
• Powiązanie z wykładem: Wyk1 (Ład SZBI w sektorze jądrowym i R&D), Wyk3 (Kontrole A.8.13 i A.8.14 w wirtualizacji), Wyk4 (Prawo atomowe i EURATOM), Wyk5 (Risk-based audit i matryca 5x5), Wyk6 (Analiza logów vmkernel.log, metryk I/O storage'u SAN i łańcuchów vmdk), Wyk7 (Model 4C, 5 Why i trójfazowy CAP).

Państwowy Instytut Badawczy Energetyki Jądrowej eksploatuje reaktor MARIA o mocy termicznej 30 MW, wykorzystywany do produkcji radioizotopów medycznych (m.in. molibden-99 do diagnostyki onkologicznej) oraz badań materiałowych.

Architektura teleinformatyczna i stan krytyczny ujawniony podczas incydentu:

• Środowisko IT dzieli się na strefę obliczeń symulacyjnych (klaster VMware vSphere z 24 węzłami ESXi podłączonymi siecią SAN FC 32 Gbps do macierzy All-Flash) oraz dedykowane serwery fizyczne podłączone do układów dozymetrii radiacyjnej i automatyki prętów bezpieczeństwa.
• Przebieg incydentu i uchybienia audytowe: W poniedziałek o godzinie 08:30 operatorzy klastra symulacji termohydrauliki zgłosili całkowity brak odpowiedzi maszyn wirtualnych. Analiza wykazała, że 8 wolumenów VMFS na macierzy SAN uległo zablokowaniu (status 100% full, latencja zapisu na poziomie 85-120 ms).
• Ujawnienie Snapshot Sprawl: Zamiast wdrożenia profesjonalnego systemu backupowego (np. Veeam/Commvault z agentami bazodanowymi), administratorzy wirtualizacji uznali, że tworzenie codziennych migawek maszyn wirtualnych (VMware Snapshots) za pomocą skryptu PowerCLI jest "wystarczającym i tanim backupem". Migawek nie kasowano przez 9 miesięcy. W klastrze odnaleziono 180 maszyn wirtualnych posiadających łańcuchy po 15-25 zagnieżdżonych migawek. Pliki -delta.vmdk osiągnęły rozmiar 35 TB, pochłaniając cały bufor bezpieczeństwa macierzy.
• Paraliż podczas konsolidacji: Gdy administratorzy uruchomili procedurę "Delete All Snapshots", operacja konsolidacji spowodowała zablokowanie operacji wejścia/wyjścia (I/O stun / VM freeze trwający do 40 minut na maszynę). Dwie krytyczne bazy danych uległy uszkodzeniu logicznemu, a serwery wirtualne monitorujące parametry chłodzenia rdzenia były niedostępne przez 14 godzin.
• Brak kopii Bare-Metal: W trakcie dochodzenia okazało się, że 6 fizycznych serwerów Hewlett Packard rejestrujących sygnały z czujników dozymetrycznych w halach reaktora nie posiadało żadnej kopii zapasowej obrazu systemu. W przypadku awarii dysku instalacja systemu i ponowna kalibracja przetworników telemetrycznych trwałaby 7 dni roboczych, co zgodnie z przepisami Dozoru Jądrowego wymagałoby natychmiastowego wygaszenia reaktora.

Państwowa Agencja Atomistyki nakazała przeprowadzenie natychmiastowego audytu strategicznego DRP/BCP w formule 90 minut, sformułowania ustaleń w modelu 4C, wyliczenia ryzyka 5x5 i przygotowania trójfazowego Planu CAP.

Zadanie realizowane jest w Triadzie Audytorskiej w ściśle kontrolowanym reżimie:

• Faza 1 (Minuty 00-15): Triada audytorska, podział ról i triage dowodowy.
  • Wyznaczenie ról w zespole:
    • Rola A: Lead Auditor / CISO Representative (odpowiada za compliance z Prawem atomowym, MAEA i ISO 27001, kontakty z Dozorem Jądrowym, redakcję Executive Summary dla Dyrektora Instytutu).
    • Rola B: Technical SecOps Auditor (analizuje architekturę pamięci masowej SAN, łańcuchy migawek vSphere, mechanizmy CBT, architekturę transportu Direct SAN, Instant VM Recovery i obrazy Bare-Metal).
    • Rola C: BCM & Compliance Auditor (matryca ryzyka 5x5, parametryzacja RTO/RPO/MTPD dla bezpieczeństwa jądrowego, analiza 5 Why dla snapshot sprawl, harmonogram CAP ze wskaźnikami KPI/KRI).
  • Triage dowodów: Analiza logów vmware.log i vmkernel.log, raportów pojemnościowych LUN macierzy SAN, skryptów PowerCLI i protokołów inspekcji PAA.
• Faza 2 (Minuty 15-40): Karta Niezgodności 4C, Analiza Ryzyka 5x5 i Root Cause Analysis.
  • Sformułowanie Karty Niezgodności Dużej (NC1) w modelu 4C dla błędnego utożsamiania migawek z backupem, zjawiska Snapshot Sprawl, paraliżu macierzy i braku kopii bare-metal.
  • Przeprowadzenie pełnego dochodzenia 5 Why dochodzącego do braku wiedzy inżynierskiej o architekturze hiperwizora i braku budżetu na oprogramowanie backupowe.
  • Skonstruowanie matrycy ryzyka 5x5 dla 4 kluczowych wektorów (zatrzymanie reaktora z powodu braku telemetrii, uszkodzenie baz symulacyjnych podczas konsolidacji snapshotów, utrata danych dozymetrycznych, sankcje PAA/EURATOM).
  • Wyznaczenie parametrów BCM: RTO = 15 minut dla serwerów monitorowania rdzenia, RPO = 15 minut dla symulacji obliczeniowych, MTPD = 1 godzina.
• Faza 3 (Minuty 40-70): Architektura odpornościowa i Trójfazowy Plan CAP.
  • Standard Architektury Odporności Wirtualizacji i Fizycznych Węzłów Jądrowych: bezwzględny zakaz utrzymywania migawek wirtualnych dłużej niż 72 godziny z automatycznym alarmem i blokadą tworzenia migawek kaskadowych, wdrożenie dedykowanego serwera backupowego w trybie transportu Direct SAN z wykorzystaniem protokołu Changed Block Tracking (CBT) bez obciążania hostów ESXi, wdrożenie technologii Instant VM Recovery (uruchomienie maszyny wirtualnej bezpośrednio ze skompresowanego backupu w czasie < 90 sekund), wdrożenie zautomatyzowanego tworzenia obrazów Bare-Metal Restore (obrazy ISO/VHDX) dla serwerów fizycznych dozymetrii.
  • Harmonogramowanie Planu CAP: Faza 1 (0-7 dni - bezpieczna konsolidacja pozostałych migawek w oknie serwisowym, ręczny zrzut obrazów Bare-Metal serwerów dozymetrii), Faza 2 (30 dni - wdrożenie oprogramowania backupowego Direct SAN i blokad Snapshot Sprawl), Faza 3 (90 dni - pełne ćwiczenia DRP z odtworzeniem reaktora MARIA i certyfikacja ISO 22301).
• Faza 4 (Minuty 70-90): Synteza Executive Summary i obrona ustna przed Dyrekcją.
  • Opracowanie 1-stronicowego Podsumowania Zarządczego (Executive Summary - "Pitch to Board") dla Dyrektora PIB-EJ i Głównego Inspektora Dozoru Jądrowego.
  • 5-minutowa obrona ustna ustaleń.

Końcowy raport z audytu (objętość 12-16 stron A4) musi zawierać następujące rozdziały:

• Strona tytułowa i Metryka Audytu (skład Triady Audytorskiej, role A/B/C, data audytu, klauzule poufności dozoru jądrowego).
• Rozdział 1: Podsumowanie Zarządcze (Executive Summary - 1 strona A4: syntetyczna diagnoza załamania I/O, ryzyka radiologiczne, sankcje PAA, budżet CAP, priorytety).
• Rozdział 2: Profil podmiotu i wielowymiarowa matryca zbieżności regulacyjnej (korelacja wymogów: Ustawa - Prawo atomowe, wytyczne MAEA/IAEA NSS, traktat EURATOM, ISO/IEC 27001:2022 A.8.13/A.8.14/A.5.30, wytyczne VMware vSphere).
• Rozdział 3: Zaawansowana Matryca Ryzyka 5x5 i Metryki Ciągłości Działania:
  • Skala prawdopodobieństwa (1-5) i skutku (1-5) w skali 25-punktowej.
  • Analiza ryzyka inherentnego (IR) oraz rezydualnego (RR) wraz z metrykami BCM (RTO, RPO, MTPD).
• Rozdział 4: Projekt Załącznika Wykonawczego do Polityki Bezpieczeństwa Informacji: "Standard Zarządzania Kopiami Zapasowymi Środowisk Wirtualnych, Likwidacji Zjawiska Snapshot Sprawl Oraz Procedury Odtwarzania Maszyn Fizycznych (Bare-Metal Restore) w Instytucie Jądrowym".
• Rozdział 5: Rejestr Ustaleń w Modelu 4C z Analizą Przyczyn Źródłowych 5 Why oraz Trójfazowy Plan CAP ze wskaźnikami KPI i KRI.
• Rozdział 6: Analiza wad, zalet, kosztów TCO oraz bilansu korzyści wdrożenia trybu Direct SAN z CBT i Instant VM Recovery.

Wzorcowe rozwiązanie poziomu 5.0 obejmuje:

A. Karta Niezgodności Dużej (NC1) w kanonicznym modelu 4C dla Zjawiska Snapshot Sprawl, Paraliżu SAN i Braku Kopii Bare-Metal:

• Condition (Stan faktyczny): Instytut Jądrowy przez 9 miesięcy stosował nieskasowane migawki VMware (Snapshot Sprawl - 35 TB plików delta) jako zamiennik kopii zapasowej, co wyczerpało przestrzeń LUN macierzy SAN, podbiło opóźnienia I/O do 85 ms i doprowadziło do 14-godzinnego zamrożenia maszyn symulacyjnych podczas próby konsolidacji. Dodatkowo 6 fizycznych serwerów dozymetrycznych reaktora MARIA nie posiadało kopii zapasowych Bare-Metal Restore, stwarzając ryzyko konieczności zatrzymania reaktora w razie awarii sprzętowej.
• Criteria (Kryterium): Ustawa z dnia 29 listopada 2000 r. - Prawo atomowe (art. 36 - zapewnienie bezpieczeństwa jądrowego i ochrony radiologicznej), Wymagania MAEA/IAEA NSS 17 (Bezpieczeństwo komputerowe obiektów jądrowych), ISO/IEC 27001:2022 Załącznik A.8.13 (Tworzenie kopii zapasowych), A.8.14 (Redundancja), A.5.29, A.5.30 (Gotowość ICT do ciągłości działania).
• Cause (Przyczyna źródłowa - analiza 5 Why):

  1. Dlaczego macierz SAN uległa zablokowaniu, a maszyny wirtualne przestały odpowiadać? Ponieważ wolumeny VMFS zostały zapełnione w 100% przez rozrastające się pliki różnicowe migawek (-delta.vmdk).

  2. Dlaczego migawki nie były usuwane i pozostawały aktywne przez ponad 270 dni? Ponieważ zespół IT instytutu traktował migawkę jako trwałą, historyczną kopię zapasową maszyny wirtualnej, nie rozumiejąc zasady działania zapisu różnicowego typu copy-on-write.

  3. Dlaczego instytut nie zakupił profesjonalnego systemu backupu korzystającego z API vStorage (VADP) i Changed Block Tracking? Ponieważ dyrekcja instytutu uznała, że komercyjne licencje backupowe są zbyt drogie i zasugerowała "wykorzystanie wbudowanych mechanizmów wirtualizacji".

  4. Dlaczego serwery fizyczne dozymetrii nie posiadały kopii obrazu bare-metal? Ponieważ informatycy skupili się wyłącznie na klastrze wirtualnym, traktując komputery fizyczne w halach reaktora jako "aparatury pomiarowe podlegające pod fizyków reaktorowych".

  5. Dlaczego dopuszczono do tak krytycznych błędów architektonicznych w obiekcie jądrowym? (PRZYCZYNA ŹRÓDŁOWA): Brak nadrzędnego, zintegrowanego ładu cyberbezpieczeństwa (Nuclear Cybersecurity Governance zgodnego z wytycznymi MAEA i ISO 27001) oraz brak niezależnego audytu technologicznego infrastruktury teleinformatycznej przez Państwową Agencję Atomistyki.

• Consequence (Wielowymiarowy skutek): 14-godzinny paraliż obliczeń bezpieczeństwa reaktora MARIA; bezpośrednie zagrożenie nakazem natychmiastowego wygaszenia reaktora badawczego przez PAA (koszt zatrzymania i ponownego rozruchu reaktora szacowany na 3,5 mln PLN); wstrzymanie produkcji radioizotopów medycznych dla 15 szpitali onkologicznych w Europie; sankcje międzynarodowe EURATOM i MAEA.

B. Zaawansowana Matryca Ryzyka 5x5 i Metryki Ciągłości Działania (BCM):

(IR = Ryzyko Inherentne w skali 1-25; RR = Ryzyko Rezydualne w skali 1-25).

C. Trójfazowy Plan Działań Korygujących (CAP):

D. Sformalizowany Projekt Załącznika do PBI:

"Załącznik nr 12 do Polityki Bezpieczeństwa Informacji PIB-EJ: Standard Tworzenia Kopii Zapasowych Środowisk Wirtualnych, Ograniczania Czasu Życia Migawek Oraz Procedur Bare-Metal Restore Serwerów Fizycznych Reaktora MARIA":

• Par. 1: Bezwzględny zakaz utożsamiania migawek z kopią zapasową: Migawki maszyn wirtualnych (Virtual Machine Snapshots) stanowią wyłącznie krótkoterminowy stan zamrożenia dysków przed ryzykowną aktualizacją oprogramowania i nie mogą być traktowane jako kopia zapasowa. Maksymalny dopuszczalny czas życia migawki wynosi 72 godziny. Po przekroczeniu tego czasu system vCenter generuje alert o priorytecie krytycznym i wymusza automatyczną konsolidację danych.
• Par. 2: Architektura kopiowania Direct SAN z technologią CBT: Wszystkie wirtualne maszyny instytutu muszą być archiwizowane za pośrednictwem dedykowanego serwera backupu połączonego bezpośrednio z siecią Fibre Channel (tryb Direct SAN Access) z wykorzystaniem mechanizmu VMware Changed Block Tracking (CBT). Kopiowanie nie może obciążać procesorów hostów ESXi ani sieci produkcyjnej.
• Par. 3: Standard Instant VM Recovery: W przypadku awarii krytycznej maszyny wirtualnej system backupu musi zapewniać możliwość natychmiastowego uruchomienia maszyny bezpośrednio z deduplikowanego i skompresowanego pliku kopii zapasowej w czasie nieprzekraczającym 90 sekund (technologia Instant VM Recovery), z późniejszą migracją w tle (Storage vMotion) na macierz produkcyjną.
• Par. 4: Reżim Bare-Metal Restore dla węzłów fizycznych: Serwery fizyczne podłączone do układów pomiarowych reaktora podlegają cotygodniowemu tworzeniu pełnego obrazu dysku (Bare-Metal Image). Obrazy przechowywane są w bezpiecznym repozytorium sieciowym oraz na zewnętrznym nośniku USB w sejfie dozymetrycznym.

E. Podsumowanie Zarządcze (Executive Summary - "Pitch to Board"):

• Ekspozycja na ryzyko: Poziom skrajny (25/25) - bezpośrednie zagrożenie bezpieczeństwa jądrowego i radiologicznego, groźba cofnięcia zgody na eksploatację reaktora MARIA przez Dozór Jądrowy.
• Zagrożenia regulacyjne: Kary i nakazy wstrzymania działalności od PAA, utrata autoryzacji EURATOM/MAEA, straty z tytułu zerwania dostaw radioizotopów (ponad 3,5 mln PLN miesięcznie).
• Wnioskowany budżet CAP: 380 000 PLN (oprogramowanie backupowe klasy enterprise z Direct SAN i Instant VM Recovery: 160 000 PLN, dedykowany serwer backupu z kartami HBA 32 Gbps i dyskami NVMe: 140 000 PLN, oprogramowanie i procedury Bare-Metal dla serwerów fizycznych: 80 000 PLN).
• Matryca Priorytetów:
  • Quick Wins (0-7 dni): Konsolidacja starych migawek, zrzut obrazów ISO serwerów dozymetrii, blokada tworzenia migawek > 72h (koszt: 0 PLN).
  • Projekty Strategiczne (30-90 dni): Wdrożenie klastra backupu Direct SAN z CBT, wdrożenie Instant Recovery, audyt MAEA NSS 17 (koszt: 380 000 PLN, TCO 3-letnie: 490 000 PLN).

F. Analiza zalet, wad i kosztów TCO:

• Zalety: Całkowite wyeliminowanie ryzyka zablokowania macierzy SAN przez pliki delta; skrócenie czasu odzyskania maszyny wirtualnej z 14 godzin do 90 sekund; zagwarantowanie ciągłości telemetrii reaktora jądrowego.
• Wady i trudności: Konieczność alokacji dedykowanych portów przełączników Fibre Channel dla serwera backupowego; reżim rygorystycznego zarządzania oknami konsolidacji.

• Ustawa z dnia 29 listopada 2000 r. - Prawo atomowe (Dz.U. z 2024 r. poz. 1277).
• International Atomic Energy Agency (IAEA): "Computer Security at Nuclear Facilities", Nuclear Security Series No. 17.
• Traktat ustanawiający Europejską Wspólnotę Energii Atomowej (EURATOM).
• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - A.8.13, A.8.14, A.5.29, A.5.30.
• VMware by Broadcom: "VMware vSphere Storage Guide - Managing Virtual Machine Snapshots and Performance Best Practices".
• NIST Special Publication 800-34 Rev. 1: Contingency Planning Guide for Federal Information Systems.

• U1 Student projektuje architekturę backupu wirtualnego Direct SAN z CBT, Instant VM Recovery oraz procedurę Bare-Metal Restore.
• U2 Student dokumentuje uchybienia w modelu 4C i przeprowadza pełną analizę 5 Why dla zjawiska Snapshot Sprawl.
• U3 Student szacuje ryzyko w matrycy 5x5 i parametryzuje wskaźniki BCM dla obiektu jądrowego.
• U4 Student sporządza trójfazowy Plan CAP oraz Executive Summary w formule Pitch to Board dla Dozoru Jądrowego.
• W1W2W3 Student wykazuje ekspercką wiedzę z zakresu Prawa atomowego, wytycznych MAEA, wirtualizacji vSphere i ISO 27001.
• K1K2K3 Student cechuje się odpowiedzialnością za bezpieczeństwo radiologiczne, rygorem badawczym i asertywnością techniczną.

Celem zadania laboratoryjnego na ocenę 5.0 jest przeprowadzenie strategicznego audytu nadrzędnego planu ciągłości działania (Business Continuity Plan - BCP), struktur dowodzenia w kryzysie (Incident Command System - ICS), procedur sukcesji kierownictwa oraz łączności awaryjnej u Regionalnego Dystrybutora Energii Elektrycznej (Pol-Energia OSD S.A.), będącego operatorem infrastruktury krytycznej, podmiotem kluczowym w rozumieniu Dyrektywy NIS2 oraz kluczowym elementem Krajowego Systemu Elektroenergetycznego (KSE). Dystrybutor zasila w energię 1,6 mln odbiorców, węzły kolejowe, szpitale oraz stacje pomp przeciwpowodziowych. Audyt stawia studentów w roli audytorów badających stan organizacyjny i technologiczny po katastrofalnej powodzi stulecia, która zalała 3 Główne Punkty Zasilania (GPZ) oraz Główne Stanowisko Dyspozytorskie (GSD). Podczas kryzysu ujawniono całkowite załamanie ładu BCP: Księga Ciągłości Działania nie była aktualizowana od 6 lat i zawierała numery telefonów do osób niepracujących lub zmarłych; pod nieobecność Prezesa Zarządu nikt nie posiadał pełnomocnictw do podejmowania strategicznych decyzji o wyłączeniu zalewanych stacji; publiczna sieć komórkowa GSM/LTE uległa całkowitemu zniszczeniu na zalanym obszarze, a spółka nie posiadała radiotelefonów TETRA ani telefonii satelitarnej Iridium PTT. Dodatkowo w mediach społecznościowych wybuchła panika wywołana dezinformacją i fałszywymi komunikatami (fake news) o rzekomym skażeniu i niekontrolowanych zrzutach wody ze zbiorników retencyjnych, a spółka nie posiadała procedur komunikacji kryzysowej ani wyznaczonego rzecznika BCP. Zadanie wymaga wdrożenia struktury Incident Command System (ICS), planu sukcesji ról kryzysowych, budowy niezależnej sieci łączności TETRA i satelitarnej, wdrożenia strategii walki z dezinformacją, przeprowadzenia symulacji Tabletop "Potop-2026", sformułowania ustaleń w modelu 4C z analizą 5 Why, opracowania trójfazowego Planu CAP oraz przygotowania Executive Summary dla Rady Nadzorczej i Rządowego Centrum Bezpieczeństwa (RCB).

Powiązanie z sylabusem i treściami programowymi na ocenę 5.0:

• W1 Ekspercka znajomość ustawy o zarządzaniu kryzysowym, ustawy o krajowym systemie cyberbezpieczeństwa (KSC), Prawa energetycznego oraz Dyrektywy CER (odporność podmiotów krytycznych).
• W2W3 Rygorystyczna analiza normy PN-EN ISO 22301:2020 (Zarządzanie ciągłością działania - klauzule 5, 7, 8), normy PN-EN ISO/IEC 27001:2022 (A.5.29, A.5.30, A.8.14), wytycznych Rządowego Centrum Bezpieczeństwa (RCB) oraz standardu FEMA Incident Command System (ICS-100/ICS-700).
• U1 Opracowanie zintegrowanego Standardu Ładu Ciągłości Działania i Dowodzenia Kryzysowego, łączącego strukturę Incident Command System, procedury sukcesji zarządczej (Chain of Succession), autonomiczną sieć radiową TETRA/DMR ze stacjami przewoźnymi, łączność satelitarną Iridium PTT oraz sformalizowaną procedurę Crisis PR z weryfikacją dezinformacji.
• U2 Profesjonalne sformułowanie Karty Niezgodności Dużej w modelu 4C z dogłębnym dochodzeniem przyczyn źródłowych (Root Cause Analysis - 5 Why).
• U3 Przeprowadzenie analizy ryzyka w 25-stopniowej matrycy 5x5 przed i po zastosowaniu kontroli mitygujących ze wskaźnikami BCM (RTO=1h, RPO=0s, MTPD=4h).
• U4 Opracowanie trójfazowego Planu Działań Korygujących (CAP) ze wskaźnikami KPI i KRI oraz Podsumowania Zarządczego w formule Pitch to Board.
• K1K2K3 Zdolność przywództwa w skrajnych warunkach klęski żywiołowej, odporność na chaos informacyjny i bezstronność w ocenie błędów kadry zarządzającej.
• Powiązanie z wykładem: Wyk1 (Ład SZBI i zarządzanie kryzysowe w energetyce), Wyk3 (Kontrole A.5.29, A.5.30 i A.8.14), Wyk4 (Ustawa o zarządzaniu kryzysowym, KSC i CER), Wyk5 (Risk-based audit, BIA i matryca 5x5), Wyk6 (Inspekcja ksiąg BCP, ćwiczeń Tabletop i łączności radiowej), Wyk7 (Model 4C, 5 Why i trójfazowy CAP).

Pol-Energia OSD S.A. zarządza 45 000 km linii napowietrznych i kablowych średniego i niskiego napięcia oraz 112 Głównymi Punktami Zasilania (GPZ 110/15 kV) na obszarze dwóch województw.

Przebieg kryzysu powodziowego i uchybienia ujawnione w trakcie audytu:

• W wyniku fali wezbraniowej rzeki doszło do przerwania wałów przeciwpowodziowych i zalania doliny przemysłowej. Woda zalała 3 stacje GPZ oraz Główne Stanowisko Dyspozytorskie (GSD) zlokalizowane w parterowym budynku w strefie zalewowej rzeki.
• Paraliż decyzyjny i brak sukcesji: Prezes Zarządu przebywał w podróży międzykontynentalnej bez dostępu do telefonu. W spółce nikt z wiceprezesów ani dyrektorów technicznych nie posiadał formalnego pełnomocnictwa do ogłoszenia stanu kryzysowego BCP ani wydania dyspozycji o celowym odłączeniu zasilania zalewanych transformatorów. Wskutek wahania decyzyjnego doszło do serii wybuchów transformatorów zanurzonych w wodzie, co spowodowało straty sprzętowe na kwotę 48 mln PLN i rozszerzenie blackoutu na 450 000 gospodarstw domowych i pompownie odwadniające.
• Załamanie łączności: Woda zalała stacje bazowe telefonii komórkowej (BTS) wszystkich operatorów komercyjnych. Zespół dyspozytorów i brygady pogotowia energetycznego w terenie straciły ze sobą łączność (dysponowali jedynie prywatnymi telefonami komórkowymi). Spółka 4 lata wcześniej wycofała z użytku system radiowy VHF/EDACS jako "przestarzały i generujący koszty abonamentu UKE", nie wdrażając w zamian systemu cyfrowego TETRA. Telefony satelitarne leżały w szafie centrali bez opłaconych kart SIM i z rozładowanymi akumulatorami.
• Przestarzała Księga BCP: Księga Ciągłości Działania znaleziona w sejfie pochodziła z 2020 roku. Na 18 osób wymienionych w Sztabie Kryzysowym, 7 nie pracowało w spółce, a 2 zmarły. Procedury odnosiły się do nieistniejących serwerów i starych schematów sieciowych.
• Kryzys dezinformacyjny (Infodemia): Wobec milczenia spółki w mediach społecznościowych zaczęły krążyć fałszywe komunikaty o rzekomym całkowitym wyłączeniu prądu na 3 miesiące, zanieczyszczeniu promieniotwórczym oraz planowanym zalaniu sąsiedniego miasta. Wywołało to panikę ludności, masowy wykup paliwa i blokadę dróg ewakuacyjnych. Rzecznik spółki nie miał upoważnienia do wypowiedzi ani dostępu do kanałów komunikacji kryzysowej.

Wojewoda, Minister Klimatu i Środowiska oraz Rządowe Centrum Bezpieczeństwa powołują komisję audytową do przeprowadzenia strategicznego audytu ładu BCP w formule 90 minut, dekompozycji w modelu 4C, wyliczenia ryzyka 5x5 i opracowania trójfazowego Planu CAP.

Zadanie realizowane jest w Triadzie Audytorskiej:

• Faza 1 (Minuty 00-15): Triada audytorska, podział ról i triage dowodowy.
  • Wyznaczenie ról w zespole:
    • Rola A: Lead Auditor / CISO Representative (odpowiada za ład zarządczy BCP/ISO 22301, relacje z RCB, Wojewodą i URE, strukturę ICS, redakcję Executive Summary dla Rady Nadzorczej).
    • Rola B: Technical SecOps Auditor (analizuje architekturę SCADA, łączność dyspozytorską TETRA/DMR, terminale Iridium PTT, zasilanie obiektów GPZ i procedury awaryjnego odłączania).
    • Rola C: BCM & Compliance Auditor (matryca ryzyka 5x5, parametryzacja RTO/RPO/MTPD dla dostaw energii i pomp przeciwpowodziowych, analiza 5 Why dla paraliżu decyzyjnego, harmonogram CAP).
  • Triage dowodów: Analiza nieaktualnej księgi BCP z 2020 roku, rejestru awarii transformatorów GPZ, protokołów posiedzeń Wojewódzkiego Zespołu Zarządzania Kryzysowego i analizy mediów społecznościowych.
• Faza 2 (Minuty 15-40): Karta Niezgodności 4C, Analiza Ryzyka 5x5 i Root Cause Analysis.
  • Sformułowanie Karty Niezgodności Dużej (NC1) w modelu 4C dla załamania ładu BCP, braku sukcesji kierownictwa, upadku łączności dyspozytorskiej i braku zarządzania kryzysem medialnym.
  • Przeprowadzenie pełnego dochodzenia 5 Why dochodzącego do zaniechania ćwiczeń ciągłości działania i traktowania BCP jako martwego dokumentu "pod audyt".
  • Skonstruowanie matrycy ryzyka 5x5 dla 4 kluczowych wektorów (zniszczenie infrastruktury energetycznej i straty 48 mln PLN, śmierć mieszkańców i zalanie szpitali przez brak prądu w pompach, panika społeczna wywołana dezinformacją, kary URE i utrata koncesji OSD).
  • Wyznaczenie parametrów BCM: RTO = 1 godzina dla zasilania obiektów ratowniczych, RPO = 0 sekund dla telemetrii SCADA, MTPD = 4 godziny.
• Faza 3 (Minuty 40-70): Architektura odpornościowa i Trójfazowy Plan CAP.
  • Standard Odporności BCP, Dowodzenia i Łączności: wdrożenie struktury Incident Command System (ICS) z jednoznaczną matrycą delegacji uprawnień (Chain of Succession), budowa niezależnej sieci radiowej TETRA ze stacjami bazowymi o zasilaniu bateryjno-solarnym na wzniesieniach poza strefami zalewowymi, wyposażenie brygad pogotowia w telefony satelitarne Iridium Push-To-Talk (PTT), wdrożenie procedury Crisis PR z automatycznym monitoringiem dezinformacji i dedykowanym portalem kryzysowym, program corocznych ćwiczeń symulacyjnych Tabletop i Live-Drill "Potop-2026".
  • Harmonogramowanie Planu CAP: Faza 1 (0-7 dni - natychmiastowa aktualizacja kontaktów BCP, ustanowienie pełnomocnictw zastępców, uruchomienie kart SIM w telefonach satelitarnych), Faza 2 (30 dni - wdrożenie struktury ICS i zakup 80 radiotelefonów TETRA/Iridium), Faza 3 (90 dni - pełne ćwiczenia symulacyjne Tabletop "Potop-2026" i certyfikacja ISO 22301).
• Faza 4 (Minuty 70-90): Synteza Executive Summary i obrona ustna przed Radą Nadzorczą.
  • Opracowanie 1-stronicowego Podsumowania Zarządczego (Executive Summary - "Pitch to Board") dla Rady Nadzorczej Pol-Energia OSD i Dyrektora RCB.
  • 5-minutowa obrona ustna ustaleń.

Końcowy raport z audytu (objętość 12-16 stron A4) musi zawierać następujące rozdziały:

• Strona tytułowa i Metryka Audytu (skład Triady Audytorskiej, role A/B/C, data audytu, klauzule tajemnicy przedsiębiorstwa krytycznego).
• Rozdział 1: Podsumowanie Zarządcze (Executive Summary - 1 strona A4: syntetyczna diagnoza paraliżu dowodzenia, straty majątkowe, budżet CAP, priorytety).
• Rozdział 2: Profil podmiotu i wielowymiarowa matryca zbieżności regulacyjnej (korelacja wymogów: Ustawa o zarządzaniu kryzysowym, Ustawa o KSC, Dyrektywa NIS2, Dyrektywa CER, norma PN-EN ISO 22301:2020, standard FEMA ICS).
• Rozdział 3: Zaawansowana Matryca Ryzyka 5x5 i Metryki Ciągłości Działania:
  • Skala prawdopodobieństwa (1-5) i skutku (1-5) w skali 25-punktowej.
  • Analiza ryzyka inherentnego (IR) oraz rezydualnego (RR) wraz z metrykami BCM (RTO, RPO, MTPD).
• Rozdział 4: Projekt Załącznika Wykonawczego do Księgi Ciągłości Działania: "Standard Struktury Dowodzenia Kryzysowego (Incident Command System), Łączności Niezależnej (TETRA/Iridium) Oraz Procedury Reagowania na Dezinformację Medialną w Pol-Energia OSD".
• Rozdział 5: Rejestr Ustaleń w Modelu 4C z Analizą Przyczyn Źródłowych 5 Why oraz Trójfazowy Plan CAP ze wskaźnikami KPI i KRI.
• Rozdział 6: Analiza wad, zalet, kosztów TCO oraz bilansu korzyści wdrożenia systemu TETRA i ćwiczeń Tabletop.

Wzorcowe rozwiązanie poziomu 5.0 obejmuje:

A. Karta Niezgodności Dużej (NC1) w kanonicznym modelu 4C dla Załamania Ładu BCP, Braku Łączności i Paraliżu Decyzyjnego w Czasie Powodzi:

• Condition (Stan faktyczny): W trakcie powodzi doszło do zniszczenia 3 stacji GPZ i wybuchu transformatorów (straty 48 mln PLN), ponieważ pod nieobecność Prezesa nikt nie posiadał pełnomocnictwa do wyłączenia zasilania. Księga BCP była nieaktualna od 6 lat (zawierała nazwiska osób zmarłych i byłych pracowników). Upadek sieci GSM odciął łączność dyspozytorów z brygadami terenowymi z powodu braku radiotelefonów TETRA i braku aktywnych kart w telefonach satelitarnych. Brak strategii PR wywołał panikę społeczną w mediach na skutek dezinformacji.
• Criteria (Kryterium): Ustawa z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym (obowiązek posiadania i aktualizacji planów ochrony infrastruktury krytycznej), Dyrektywa NIS2 art. 21 ust. 2 lit. c (zarządzanie ciągłością działania), Dyrektywa CER (odporność podmiotów krytycznych), Norma PN-EN ISO 22301:2020 punkt 5 (Przywództwo i zobowiązanie), punkt 7.4 (Komunikacja), punkt 8.4 (Procedury ciągłości działania).
• Cause (Przyczyna źródłowa - analiza 5 Why):

  1. Dlaczego transformatory w zalewanych stacjach GPZ nie zostały odłączone na czas, co doprowadziło do ich eksplozji i zniszczenia? Ponieważ dyspozytorzy mocy czekali na pisemną zgodę Zarządu, a wiceprezesi bali się podjąć samodzielną decyzję bez upoważnienia Prezesa.

  2. Dlaczego w spółce nie funkcjonowała procedura sukcesji decyzyjnej pod nieobecność Prezesa? Ponieważ w Pol-Energia OSD panował silnie scentralizowany model zarządzania, a procedury BCP nigdy nie zdefiniowały formalnego łańcucha sukcesji (Chain of Succession).

  3. Dlaczego dyspozytorzy nie mogli skontaktować się z brygadami technicznymi przy użyciu łączności radiowej po padzie sieci komórkowej? Ponieważ spółka zlikwidowała starą sieć radiową ze względów oszczędnościowych, a zakup cyfrowego systemu TETRA był corocznie odkładany.

  4. Dlaczego Księga Ciągłości Działania zawierała dane osób niepracujących i zmarłych? Ponieważ Dział BCM traktował księgę jako dokument formalny "na półkę" i nie prowadził okresowych przeglądów ani ćwiczeń sprawdzających.

  5. Dlaczego dopuszczono do całkowitej degradacji ładu ciągłości działania w spółce infrastruktury krytycznej? (PRZYCZYNA ŹRÓDŁOWA): Brak dojrzałego ładu korporacyjnego BCM (Business Continuity Governance zgodnego z ISO 22301), brak nadzoru Rady Nadzorczej nad odpornością operacyjną oraz brak alokacji środków na niezależną łączność i regularne ćwiczenia symulacyjne (Tabletop Drills).

• Consequence (Wielowymiarowy skutek): Straty majątkowe w urządzeniach GPZ na kwotę 48 mln PLN; 450 000 gospodarstw domowych i pompownie przeciwpowodziowe bez prądu przez 4 doby; zalanie 1 200 domów w wyniku zatrzymania pomp; panika ludności wywołana dezinformacją; kara finansowa Prezesa URE (do 15% rocznego przychodu); dymisja całego Zarządu Spółki; śledztwo prokuratorskie z art. 163 KK (sprowadzenie zdarzenia powszechnie niebezpiecznego).

B. Zaawansowana Matryca Ryzyka 5x5 i Metryki Ciągłości Działania (BCM):

(IR = Ryzyko Inherentne w skali 1-25; RR = Ryzyko Rezydualne w skali 1-25).

C. Trójfazowy Plan Działań Korygujących (CAP):

D. Sformalizowany Projekt Załącznika do PBI:

"Załącznik nr 13 do Księgi Zarządzania Ciągłością Działania (BCP) Pol-Energia OSD: Standard Funkcjonowania Incident Command System (ICS), Łączności Niezależnej TETRA/Satelitarnej Oraz Komunikacji Kryzysowej":

• Par. 1: Struktura Dowodzenia Kryzysowego (Incident Command System): W sytuacji wystąpienia zdarzenia katastrofalnego władzę operacyjną nad spółką przejmuje Dowódca Incydentu (Incident Commander). Ustala się sztywny łańcuch sukcesji: w przypadku nieobecności Prezesa uprawnienia automatycznie przechodzą na: (1) Wiceprezesa ds. Operacyjnych, (2) Głównego Dyspozytora Mocy, (3) Dyrektora Departamentu Sieci. Decyzje o wyłączeniu urządzeń w strefie bezpośredniego zagrożenia życia podejmowane są jednoosobowo w czasie nie dłuższym niż 15 minut.
• Par. 2: Niezależna łączność operacyjna (TETRA i Iridium): Spółka utrzymuje autonomiczną sieć radiową standardu cyfrowego TETRA z szyfrowaniem TEA2. Stacje bazowe muszą posiadać zasilanie gwarantowane (akumulatory + generatory z zapasem paliwa na 14 dni). Wszystkie pojazdy pogotowia technicznego oraz sztab kryzysowy wyposaża się w radiotelefony TETRA oraz zapasowe telefony satelitarne Iridium PTT.
• Par. 3: Obowiązek corocznych ćwiczeń symulacyjnych: Minimum raz w roku przeprowadza się pełnoskalowe ćwiczenie ciągłości działania typu Tabletop oraz Live-Drill z udziałem Wojewody, Państwowej Straży Pożarnej, Policji i RCB, weryfikujące procedury ewakuacji, przełączania mocy i łączności radiowej.
• Par. 4: Procedura walki z dezinformacją i komunikacji kryzysowej: Wszelkie oficjalne komunikaty publikowane są wyłącznie przez wyznaczonego Rzecznika BCP w autoryzowanym kanale kryzysowym. Zespół monitoringu mediów w trybie 24/7 analizuje przestrzeń informacyjną, a każdy zidentyfikowany fake news dotyczący pracy sieci elektroenergetycznej musi zostać publicznie zdementowany w czasie nie dłuższym niż 30 minut od momentu publikacji.

E. Podsumowanie Zarządcze (Executive Summary - "Pitch to Board"):

• Ekspozycja na ryzyko: Poziom katastrofalny (25/25) - bezpośrednie zagrożenie bytu spółki, gigantyczne straty majątkowe (48 mln PLN), paraliż regionu i ryzyko utraty koncesji OSD.
• Zagrożenia regulacyjne: Kary Prezesa URE (do 15% obrotu), sankcje z ustawy o zarządzaniu kryzysowym i NIS2, odpowiedzialność karna Zarządu z art. 163 KK.
• Wnioskowany budżet CAP: 1 450 000 PLN (budowa 3 stacji bazowych TETRA z zasilaniem solarno-bateryjnym: 750 000 PLN, zakup 80 radiotelefonów TETRA i 30 terminali Iridium: 320 000 PLN, wdrożenie platformy monitoringu dezinformacji i szkolenia ICS: 180 000 PLN, organizacja manewrów "Potop-2026": 200 000 PLN).
• Matryca Priorytetów:
  • Quick Wins (0-7 dni): Aktualizacja matrycy sukcesji decyzyjnej, aktywacja kart SIM telefonii satelitarnej, wdrożenie zasad Crisis PR (koszt: 15 000 PLN).
  • Projekty Strategiczne (30-90 dni): Uruchomienie sieci TETRA, pełne wdrożenie Incident Command System, ćwiczenia "Potop-2026", certyfikacja ISO 22301 (koszt: 1 435 000 PLN, TCO 3-letnie: 1 780 000 PLN).

F. Analiza zalet, wad i kosztów TCO:

• Zalety: Zdolność do natychmiastowego podejmowania strategicznych decyzji bez paraliżu korporacyjnego; pełna łączność dyspozytorska niezależna od operatorów publicznych; skuteczna ochrona przed atakami infodemicznymi i fałszywymi wiadomościami.
• Wady i trudności: Wysoki koszt inwestycyjny w sieć radiową TETRA i opłaty za częstotliwości UKE; konieczność przełamania barier mentalnych kadry kierowniczej w przekazywaniu uprawnień decyzyjnych w dół struktury ICS.

• Ustawa z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym (Dz.U. z 2023 r. poz. 122).
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (Dyrektywa NIS2) oraz Dyrektywa (UE) 2022/2557 (Dyrektywa CER).
• Norma PN-EN ISO 22301:2020: Bezpieczeństwo i odporność - Systemy zarządzania ciągłością działania.
• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - A.5.29, A.5.30, A.8.14.
• Federal Emergency Management Agency (FEMA): "Incident Command System Resources" (ICS-100, ICS-700).
• Rządowe Centrum Bezpieczeństwa (RCB): "Krajowy Plan Zarządzania Kryzysowego - Ochrona Infrastruktury Krytycznej".

• U1 Student projektuje strukturę dowodzenia kryzysowego Incident Command System, sieć łączności TETRA/Iridium oraz strategię Crisis PR.
• U2 Student dokumentuje uchybienia w modelu 4C i prowadzi dochodzenie 5 Why dla paraliżu decyzyjnego w czasie klęski żywiołowej.
• U3 Student wykonuje analizę ryzyka w matrycy 5x5 i parametryzuje wskaźniki BCM dla operatora systemu dystrybucyjnego energii.
• U4 Student sporządza trójfazowy Plan CAP oraz Executive Summary w formacie Pitch to Board dla Rady Nadzorczej i RCB.
• W1W2W3 Student wykazuje ekspercką wiedzę z zakresu ustawy o zarządzaniu kryzysowym, NIS2, CER, ISO 22301 i standardu ICS.
• K1K2K3 Student cechuje się przywództwem kryzysowym, odpornością na dezinformację i odpowiedzialnością za bezpieczeństwo obywateli.