Laboratorium 8

Głównym celem zadania jest opanowanie przez studentów zaawansowanych umiejętności audytowania poważnych incydentów naruszenia ochrony danych osobowych szczególnych kategorii (danych o stanie zdrowia, diagnozach onkologicznych i kwalifikacjach do przeszczepów w myśl art. 9 RODO) w wielospecjalistycznym szpitalu klinicznym. Studenci badają incydent zagubienia przez lekarza dyżurnego niezaszyfrowanego nośnika USB zawierającego bazy danych 1 200 pacjentów Oddziału Onkologii i Transplantologii. Zadanie wymaga przeprowadzenia formalnej analizy ryzyka w matrycy 3x3 (w ujęciu ryzyka inherentnego i rezydualnego) dla 4 zidentyfikowanych wektorów zagrożeń, sporządzenia kart niezgodności (NC1/NC2/OFI) z powołaniem normy ISO/IEC 27001:2022 oraz przepisów prawa, przeprowadzenia dochodzenia przyczyn źródłowych metodą 5 Why (Root Cause Analysis), a także skonstruowania kompletnego Planu Działań Korygujących (CAP) z przypisaniem ról biznesowych, terminów realizacji (14-90 dni) i mierzalnych wskaźników KPI.

Powiązanie z sylabusem i treściami programowymi:

• U2 Identyfikacja i formalna gradacja uchybień na Niezgodności Duże (NC1), Niezgodności Małe (NC2) oraz Szanse na poprawę (OFI) w obszarze zarządzania nośnikami wymiennymi i incydentami medycznymi.
• U1 Opracowanie zaawansowanego projektu procedury bezpiecznego korzystania z nośników danych, polityk centralnego szyfrowania BitLocker to Go, blokad portów USB w domenie AD oraz systemu DLP.
• U3 Zastosowanie zaawansowanej analizy ryzyka metodą 3x3 dla 4 wektorów zagrożeń, wyliczając poziom ryzyka inherentnego (IR) oraz rezydualnego (RR) po wdrożeniu planowanych zabezpieczeń.
• U4 Opracowanie kompletnego raportu poaudytowego (8-12 stron A4) z tabelą analizy ryzyka, kartami niezgodności, protokołem 5 Why, tabelą CAP oraz wygłoszenie 15-minutowego referatu seminaryjnego.
• W1 Zaawansowana znajomość rygorów prawnych ochrony danych medycznych (art. 9 i 32 RODO), tajemnicy lekarskiej, Ustawy o prawach pacjenta oraz zasad odpowiedzialności cywilnej i karnej za naruszenia.
• W2W3 Biegłość w stosowaniu wytycznych EROD 9/2022 i 01/2021, normy PN-EN ISO/IEC 27001:2022 (kontrole A.8.10, A.8.24, A.5.24-A.5.28), normy ISO 27799 oraz przepisów Krajowych Ram Interoperacyjności.
• K1K2K3 Niezależność osądu audytorskiego, wysoka kultura etyczna w ochronie intymności pacjentów onkologicznych i profesjonalizm prezentacji ustnej.
• Powiązanie z wykładem: Wyk1 (Audyt w ochronie zdrowia), Wyk2 (Zasady audytowania ISO 19011), Wyk3 (Kontrole A.8.10 i A.8.24 ISO 27001), Wyk4 (RODO i KRI w szpitalnictwie), Wyk5 (Risk-based audit w matrycy 3x3), Wyk6 (Triangulacja dowodów i logi HIS), Wyk7 (Procedura 5 Why, matryca NC1/NC2/OFI i Plan CAP).

Samodzielny Publiczny Szpital Kliniczny nr 4 w Lublinie jest wysokospecjalistycznym podmiotem leczniczym dysponującym 900 łóżkami, 28 klinikami i zatrudniającym 1 800 pracowników personelu medycznego. Na Oddziale Onkologii Klinicznej i Transplantologii lekarz dyżurny, realizując projekt badawczo-naukowy finansowany z grantu Narodowego Centrum Nauki oraz przygotowując dokumentację do konsyliów transplantacyjnych, skopiował na prywatny, niezaszyfrowany nośnik USB bazę danych 1 200 pacjentów leczonych w latach 2022-2024.

Stan faktyczny w obszarze incydentu i stanu zabezpieczeń:

• Zestawienie miało postać pliku 'onkologia_transplantacje_lublin_2024.xlsx' i zawierało: imię, nazwisko, numer PESEL, adres zamieszkania, telefon, rozpoznanie nowotworu (kod ICD-10), stadium TNM, historię chemioterapii, typowanie tkankowe HLA, status nosicielstwa wirusów HBV/HCV/HIV oraz kwalifikację do pilnego przeszczepu szpiku kostnego.
• Pendrive nie posiadał żadnego zabezpieczenia hasłem ani sprzętowego/programowego szyfrowania danych (brak BitLocker, brak VeraCrypt).
• W trakcie powrotu z dyżuru lekarz zgubił nośnik pamięci na dworcu kolejowym w Lublinie. O utracie nośnika zorientował się w piątek o godzinie 21:00, lecz z obawy przed konsekwencjami dyscyplinarnymi powiadomił IOD dopiero w poniedziałek o godzinie 11:30 (po upływie ponad 62 godzin od zdarzenia).
• Inspekcja stacji roboczych na oddziale szpitalnym wykazała, że porty USB w komputerach lekarskich nie posiadają żadnych blokad technicznych (brak polityk GPO ograniczających nośniki wymienne), a system antywirusowy nie monitoruje kopiowania wolumenów danych (brak agenta DLP).
• W toku audytu ujawniono ponadto, że system szpitalny HIS pozwalał na nielimitowany eksport dowolnych danych pacjentów do formatu Excel bez autoryzacji ordynatora i bez automatycznego logowania faktu masowego eksportu w centralnym systemie SIEM.
• Ostatnie szkolenie personelu medycznego z zakresu procedur reagowania na incydenty odbyło się 3 lata wcześniej, a regulamin ochrony danych szpitala nie precyzował ścieżki awaryjnego zgłaszania incydentów poza godzinami pracy administracji.

Dyrekcja Szpitala Klinicznego, stając w obliczu kontroli Prezesa UODO, zawiadomienia prokuratury oraz kar finansowych mogących zagrozić realizacji świadczeń ratujących życie, powołuje zespół audytorski z zadaniem przeprowadzenia zaawansowanego audytu na ocenę 4.0.

W skład zespołu wchodzą studenci realizujący następujące role:

• Rola 1: Audytor Wiodący / Governance i Zgodność Strategiczna (Lead Auditor) - koordynuje prace zespołu, bada procedury organizacyjne szpitala, weryfikuje przepływ informacji o incydencie pod kątem przekroczenia limitu 72 godzin, analizuje odpowiedzialność kierownictwa i koordynuje strukturę referatu.
• Rola 2: Audytor Techniczny i Bezpieczeństwa Systemów IT (Architekt Bezpieczeństwa) - bada konfigurację stacji roboczych HIS, analizuje brak technicznych blokad portów USB w Active Directory, weryfikuje logi systemowe i bazodanowe, projektuje wdrożenie centralnego szyfrowania nośników BitLocker to Go oraz architekturę systemu DLP.
• Rola 3: Audytor Zgodności Regulacyjnej, Ryzyka i Jakości CAP (Oficer Ryzyka / Asystent IOD) - przeprowadza zaawansowaną analizę ryzyka w matrycy 3x3, sporządza formalne karty niezgodności (NC1/NC2/OFI), prowadzi dochodzenie 5 Why oraz konstruuje kompletną tabelę Planu Działań Korygujących (CAP) ze wskaźnikami KPI. W zespole 2-osobowym zadania te dzielą Studenci 1 i 2.

Zadanie realizowane jest przez 2-3 osobowy zespół audytorski w formule studium przypadku:

• Krok 1 (Podział ról w grupie audytowej):

  Student 1 (Audytor Wiodący): Bada strukturę organizacyjną szpitala klinicznego, procedury ochrony danych, chronologię zdarzenia i przyczyny zwłoki w powiadomieniu IOD, formułuje wnioski zarządcze.

  Student 2 (Audytor Techniczny IT): Analizuje podatność stacji roboczych, brak ograniczeń GPO dla pamięci masowych USB, brak audytu operacji eksportu danych w HIS oraz projektuje techniczne mechanizmy kontroli urządzeń i szyfrowania wymuszonego przez domenę.

  Student 3 (Audytor Ryzyka i CAP): Przeprowadza pełną analizę ryzyka w matrycy 3x3, sporządza karty niezgodności (NC1, NC2, OFI), przeprowadza sekwencję 5 Why oraz tworzy tabelę Planu CAP ze wskaźnikami KPI i terminami 14-90 dni.

• Krok 2 (Zaawansowana analiza ryzyka metodą 3x3):

  Oszacujcie prawdopodobieństwo (P: 1-3) i skutek (S: 1-3) w skali 9-stopniowej dla 4 wektorów zagrożeń (ryzyko inherentne IR vs. rezydualne RR po kontrolach):

  1. Kradzież tożsamości i wyłudzenia na numer PESEL 1 200 pacjentów (P=3, S=3 → R=9: Ryzyko Krytyczne; po kontrolach kompensacyjnych: P=1, S=2 → R=2: Ryzyko Niskie/Akceptowalne).

  2. Dyskryminacja ubezpieczeniowa, społeczna i szantaż ujawnieniem danych onkologicznych/HIV (P=3, S=3 → R=9; po kontrolach: P=1, S=3 → R=3: Ryzyko Niskie).

  3. Nałożenie administracyjnej kary pieniężnej przez Prezesa UODO za brak zabezpieczeń i opóźnienie notyfikacji (P=3, S=3 → R=9; po kontrolach: P=1, S=2 → R=2).

  4. Brak rozliczalności i niewykrycie masowego kopiowania danych z systemu HIS (P=3, S=2 → R=6; po kontrolach: P=1, S=1 → R=1).

• Krok 3 (Formalna kwalifikacja uchybień - Karty Niezgodności):

  Sformułujcie karty uchybień z podziałem na:

  • Niezgodność Duża (NC1): Brak technicznych środków ochrony nośników wymiennych (brak szyfrowania BitLocker / brak blokady USB) na stacjach przetwarzających dane medyczne (naruszenie kontroli ISO/IEC 27001:2022 A.8.24 Krypto-zabezpieczenia, A.8.10 Usuwanie danych oraz art. 9 i art. 32 ust. 1 lit. a RODO).
  • Niezgodność Mała (NC2): Przekroczenie terminu 72 godzin na powiadomienie Prezesa UODO z powodu braku całodobowej procedury eskalacji incydentów poza godzinami pracy administracji (naruszenie art. 33 ust. 1 RODO oraz kontroli ISO 27001 A.5.24 i A.5.25).
  • Szansa na doskonalenie (OFI): Wdrożenie systemu klasy Data Loss Prevention (DLP) oraz automatycznej integracji logów eksportu z systemu HIS do centralnego klastra SIEM.
• Krok 4 (Dochodzenie przyczyn źródłowych metodą 5 Why):

  Przeprowadźcie pełną sekwencję 5 pytań dochodzeniowych:

  1. Dlaczego dane 1 200 pacjentów znalazły się na zagubionym pendrive? (Lekarz skopiował bazę w celu dokończenia analiz naukowych w domu).

  2. Dlaczego lekarz mógł swobodnie skopiować bazę na prywatny pendrive? (Stacja robocza nie posiadała blokady portów USB ani wymuszonego szyfrowania nośników).

  3. Dlaczego dział IT nie zablokował portów USB ani nie wdrożył szyfrowania? (Kierownictwo IT uznało, że blokada utrudni wymianę danych z aparaturą diagnostyczną, a nie wdrożono polityki białych list nośników).

  4. Dlaczego lekarz nie skorzystał z bezpiecznego zdalnego dostępu VPN do szpitala? (Szpital nie zapewnił lekarzom bezpiecznych narzędzi telepracy ani szyfrowanych nośników służbowych).

  5. Root Cause (Przyczyna źródłowa): Brak całościowej Polityki Bezpieczeństwa Urządzeń Mobilnych i Pracy Zdalnej, brak procedur pseudonimizacji danych naukowych oraz brak okresowych szkoleń uświadamiających odpowiedzialność prawną personelu medycznego.

• Krok 5 (Konstrukcja Planu Działań Korygujących - CAP):

  Opracujcie tabelę CAP z kolumnami: Lp., Identyfikacja niezgodności (NC1/NC2/OFI), Działanie korygujące / zapobiegawcze, Właściciel biznesowy (rola), Termin realizacji (14-90 dni), Mierzalny wskaźnik sukcesu (KPI).

• Krok 6 (Przygotowanie raportu i dokumentacji):

  Zredagujcie raport poaudytowy (8-12 stron A4) z pełnymi załącznikami (analiza ryzyka, formularz UODO, pismo do pacjentów, tabela CAP) i przygotujcie 15-minutową prezentację referatową.

Plan prezentacji referatu seminaryjnego (15 minut):

• Wprowadzenie i zarys incydentu w SPSK nr 4 w Lublinie (3 min): Profil szpitala klinicznego, specyfika danych transplantacyjnych i onkologicznych, chronologia ujawnienia zdarzenia (Student 1).
• Analiza techniczna podatności stacji roboczych i nośników USB (3 min): Brak blokad GPO, swoboda eksportu z HIS, demonstracja architektury BitLocker to Go i agenta DLP (Student 2).
• Zaawansowana analiza ryzyka 3x3 oraz karty niezgodności NC1/NC2/OFI (3 min): Omówienie 4 wektorów zagrożeń, wyliczenia IR i RR, kwalifikacja prawna art. 9 i 32 RODO (Student 3 lub Student 1).
• Prezentacja protokołu 5 Why oraz Planu Działań Korygujących CAP (4 min): Dekonstrukcja przyczyn źródłowych, tabela CAP ze wskaźnikami KPI i terminami oraz procedury pseudonimizacji badań naukowych (Student 2 i Student 3).
• Podsumowanie, rekomendacje strategiczne i dyskusja z komisją (2 min): Odpowiedzi na pytania prowadzącego i obrona realności budżetowej zaleceń (cały zespół).

Wymagana struktura raportu poaudytowego na ocenę 4.0 (objętość 8-12 stron A4):

1. Podsumowanie zarządcze (Executive Summary) dla Dyrektora Szpitala Klinicznego i Inspektora Ochrony Danych.

2. Odpowiedzi na zaawansowane pytania problemowe:

• W jaki sposób zorganizować bezpieczne przetwarzanie danych medycznych do celów badań naukowych i publikacji akademickich, aby spełnić rygory art. 9 ust. 2 lit. j oraz art. 89 RODO (mechanizmy k-anomizowania i pseudonimizacji)?
• Jakie wymogi technologiczne musi spełniać centralnie zarządzana polityka szyfrowania nośników wymiennych (BitLocker to Go / FIPS 140-2), aby utrata nośnika fizycznego nie stanowiła naruszenia poufności danych w świetle Motywu 83 RODO?
• W jaki sposób administrator danych w ochronie zdrowia powinien reagować na opóźnienie w zgłoszeniu incydentu przez pracownika, aby zminimalizować ryzyko nałożenia maksymalnych kar finansowych przez Prezesa UODO?

3. Opis stanu faktycznego, charakterystyka zasobów informacyjnych i chronologia postępowania powypadkowego w SPSK nr 4.

4. Tabela Zaawansowanej Analizy Ryzyka w matrycy 3x3 (4 wektory zagrożeń, ryzyko inherentne vs. rezydualne).

5. Formalne Karty Niezgodności:

• Karta NC1 (Niezgodność Duża) - brak zabezpieczeń technicznych nośników wymiennych USB (ISO 27001 A.8.24, A.8.10, art. 9 i 32 RODO).
• Karta NC2 (Niezgodność Mała) - opóźnienie notyfikacji UODO z powodu braku całodobowej ścieżki eskalacji (art. 33 RODO, ISO 27001 A.5.24).
• Karta OFI (Szansa na poprawę) - wdrożenie systemu klasy DLP i automatycznych alertów eksportu z systemu HIS.

6. Protokół dochodzenia przyczyn źródłowych (Root Cause Analysis - 5 Why).

7. Szczegółowe rozwiązanie techniczne i proceduralne:

• Szpitalna procedura pseudonimizacji danych medycznych przed wykorzystaniem do prac naukowych.
• Wzorcowa konfiguracja GPO blokująca niezaufane nośniki pamięci i wymuszająca szyfrowanie XTS-AES 256.
• Formularz zgłoszenia naruszenia do Prezesa UODO oraz wzór imiennego listu do pacjentów z zaleceniem zastrzeżenia numeru PESEL.

8. Tabela Planu Działań Korygujących (CAP) z przypisaniem ról, terminów (14-90 dni) i wskaźników KPI.

9. Analiza zalet i wad (kompromisów inżynierskich i organizacyjnych) proponowanych rozwiązań.

10. Bibliografia, netografia i odnośniki do norm i aktów prawnych.

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 9 (Szczególne kategorie danych), art. 32 (Bezpieczeństwo przetwarzania), art. 33 (Zgłaszanie naruszeń), art. 34 (Zawiadamianie osób), art. 89 (Przetwarzanie do celów naukowych).
• Europejska Rada Ochrony Danych (EROD): "Wytyczne 9/2022 w sprawie zgłaszania naruszeń ochrony danych na mocy rozporządzenia 2016/679", wersja 2.0, 2023.
• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - kontrole A.5.24 (Planowanie zarządzania incydentami), A.5.25 (Ocena zdarzeń), A.8.10 (Usuwanie danych), A.8.24 (Krypto-zabezpieczenia).
• Norma PN-EN ISO 27799:2016: Informatyka medyczna - Zarządzanie bezpieczeństwem informacji w dziedzinie zdrowia przy użyciu ISO/IEC 27002.
• Ustawa z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta (Dz.U. z 2022 r. poz. 1876 z późn. zm.).
• Decyzje Prezesa Urzędu Ochrony Danych Osobowych w sprawach naruszeń danych w podmiotach leczniczych (m.in. decyzja DKN.5101.19.2020).

• U2 Profesjonalna identyfikacja i formalna gradacja uchybień (NC1/NC2/OFI) w szpitalu klinicznym.
• U1 Projekt procedury pseudonimizacji badań naukowych, blokady portów USB i polityk BitLocker.
• U3 Przeprowadzenie analizy ryzyka 3x3 w ujęciu inherentnym i rezydualnym dla danych medycznych.
• U4 Opracowanie pełnego Planu Działań Korygujących (CAP) ze wskaźnikami KPI oraz raportu 8-12 stron.
• W1W2W3 Głęboka znajomość RODO art. 9, 32, 33, normy ISO 27001/ISO 27799 i wytycznych EROD.
• K1K2K3 Niezależność audytorska, wysoka etyka zawodowa i rzetelność obrony koncepcji.

W trakcie obrony referatu przedstawcie szczegółowo mechanizm pseudonimizacji danych medycznych w badaniach klinicznych oraz wyjaśnijcie, w jaki sposób wdrożenie centralnego zarządzania kluczami BitLocker w Active Directory pozwala na bezpieczne odzyskanie dostępu do nośnika służbowego.

Głównym celem zadania jest nabycie przez studentów zaawansowanych umiejętności badania masowych incydentów naruszenia poufności danych osobowych wywołanych błędami operacyjnymi personelu i brakiem automatyzacji w komunikacji elektronicznej (naruszenie art. 5 ust. 1 lit. f oraz art. 32 RODO). Studenci analizują studium przypadku ogólnopolskiej platformy e-commerce Megasklep S.A., w której pracownik działu wsparcia wysłał powiadomienie o opóźnieniach przesyłek oraz bonach rabatowych do grupy 8 500 klientów, umieszczając całą listę adresatów w jawnym polu DW zamiast w polu UDW. Doprowadziło to do ujawnienia tożsamości, adresów e-mail oraz historii zakupów drogiej elektroniki i artykułów intymnych tysiącom obcych osób oraz wywołało paraliżującą lawinę odpowiedzi 'Reply-All Storm'. Zadanie wymaga przeprowadzenia formalnej analizy ryzyka w matrycy 3x3 dla 4 wektorów zagrożeń, opracowania kart niezgodności (NC1/NC2/OFI), przeprowadzenia dochodzenia przyczyn źródłowych metodą 5 Why (Root Cause Analysis) oraz skonstruowania Planu Działań Korygujących (CAP) opartego na architekturze dedykowanego API mailingowego z rygorystycznymi regułami transportowymi serwerów pocztowych.

Powiązanie z sylabusem i treściami programowymi:

• U2 Identyfikacja i formalna gradacja uchybień (NC1/NC2/OFI) w systemie komunikacji elektronicznej platformy e-commerce.
• U1 Opracowanie zaawansowanego projektu architektury transakcyjnej wysyłki e-maili przez API, reguł transportowych serwera pocztowego oraz procedury weryfikacji kampanii seryjnych.
• U3 Przeprowadzenie zaawansowanej analizy ryzyka metodą 3x3 w relacji do ataków spear-phishingowych, kradzieży tożsamości i naruszenia dóbr osobistych konsumentów.
• U4 Opracowanie ustrukturyzowanego raportu poaudytowego (8-12 stron A4) z tabelą CAP, kartami niezgodności i procedurą 5 Why oraz wygłoszenie 15-minutowego referatu seminaryjnego.
• W1 Zaawansowana znajomość zasad odpowiedzialności administratora (art. 24 RODO), orzecznictwa Prezesa UODO w sprawach kar za błędy UDW oraz praw konsumentów.
• W2W3 Biegłość w stosowaniu normy PN-EN ISO/IEC 27001:2022 (kontrole A.8.12 Zapobieganie wyciekowi danych, A.8.20 Bezpieczeństwo sieci, A.8.26 Wymagania bezpieczeństwa aplikacji) oraz wytycznych EROD 01/2021.
• K1K2K3 Zrozumienie wagi higieny operacyjnej w systemach informatycznych i profesjonalizm w kontakcie z poszkodowanymi konsumentami.
• Powiązanie z wykładem: Wyk1 (Audyt w e-commerce), Wyk2 (Zasady audytowania ISO 19011), Wyk3 (Kontrola A.8.12 ISO 27001), Wyk4 (RODO i odpowiedzialność administratora), Wyk5 (Risk-based audit w matrycy 3x3), Wyk6 (Analiza logów serwerów pocztowych), Wyk7 (Procedura 5 Why, matryca NC1/NC2/OFI i Plan CAP).

Megasklep S.A. prowadzi jedną z największych polskich platform e-commerce, obsługując miesięcznie ponad 250 000 zamówień. W okresie szczytu przedświątecznego wystąpiła awaria w centralnym węźle dystrybucyjnym, skutkująca opóźnieniem w dostawie zamówień dla 8 500 klientów.

Stan faktyczny w obszarze wysyłki korespondencji i incydentu:

• Koordynator ds. relacji z klientami otrzymał polecenie natychmiastowego poinformowania poszkodowanych klientów o przyczynach opóźnienia i przyznaniu rekompensaty w wysokości 100 zł.
• Pracownik wyeksportował listę 8 500 adresów e-mail z bazy zamówień do pliku CSV, a następnie skopiował całą listę odbiorców bezpośrednio w pole 'DW' (kopia jawna) w programie pocztowym Microsoft Outlook.
• Serwer Microsoft Exchange zrealizował wysyłkę bez jakiejkolwiek blokady wolumetrycznej. Każdy z 8 500 odbiorców otrzymał wiadomość zawierającą nagłówek 'Cc:' z pełną listą imion, nazwisk i prywatnych adresów e-mail pozostałych klientów.
• Wśród odbiorców wybuchła panika i agresja – ponad 400 osób użyło funkcji 'Odpowiedz wszystkim' (Reply-All), wysyłając kolejne maile z wulgaryzmami, groźbami pozwów i skarg do UODO, co doprowadziło do paraliżu serwerów pocztowych spółki (Reply-All Storm) i zablokowania komunikacji biznesowej na 18 godzin.
• W wiadomościach ujawniono również numery zamówień, co w powiązaniu z publiczną numeracją pozwoliło niektórym klientom na podejrzenie zawartości koszyków innych osób w systemie śledzenia paczek (w tym zakupów testów ciążowych, leków bez recepty, suplementów intymnych oraz drogiej biżuterii).
• Dochodzenie audytowe wykazało, że Megasklep S.A. posiadał nowoczesną platformę marketingową API (Salesforce Marketing Cloud), jednak pracownicy działu reklamacji nie mieli do niej dostępu, ponieważ zarząd nie wykupił dodatkowych licencji stanowiskowych, zmuszając pracowników do korzystania z lokalnych klientów pocztowych.
• W serwerze pocztowym Exchange administratorzy nie wdrożyli reguł transportowych (Mail Flow Rules) ograniczających liczbę odbiorców zewnętrznych, a procedury wysyłki korespondencji masowej nie były aktualizowane od 4 lat.

Zarząd Megasklep S.A. powołuje zespół audytorski w celu oszacowania ekspozycji prawnej, przygotowania notyfikacji do Prezesa UODO i zawiadomień klientów oraz opracowania zaawansowanego Planu Działań Korygujących.

W skład zespołu wchodzą studenci realizujący następujące role:

• Rola 1: Audytor Wiodący / Governance E-Commerce i Komunikacja Kryzysowa (Lead Auditor) - koordynuje prace zespołu, bada polityki komunikacji spółki, analizuje odpowiedzialność zarządu za brak narzędzi operacyjnych, ocenia roszczenia konsumenckie i koordynuje strukturę referatu.
• Rola 2: Audytor Techniczny ds. Systemów Pocztowych i Architektury API (Architekt Bezpieczeństwa) - analizuje architekturę serwera pocztowego Exchange, mechanizm Reply-All Storm, konfiguruje reguły transportowe ograniczające pole DW oraz projektuje architekturę automatycznej wysyłki transakcyjnej zintegrowanej z API.
• Rola 3: Audytor Zgodności Regulacyjnej, Ryzyka i Jakości CAP (Oficer Ryzyka / Asystent IOD) - przeprowadza analizę ryzyka 3x3 dla 4 wektorów zagrożeń, sporządza formalne karty niezgodności (NC1/NC2/OFI), prowadzi procedurę 5 Why oraz konstruuje kompletną tabelę Planu CAP ze wskaźnikami KPI. W zespole 2-osobowym zadania te dzielą Studenci 1 i 2.

Zadanie realizowane jest przez 2-3 osobowy zespół audytorski w formule studium przypadku:

• Krok 1 (Podział ról w grupie audytowej):

  Student 1 (Audytor Wiodący): Bada procedury obsługi klienta w e-commerce, przyczyny podjęcia ręcznej wysyłki przez pracownika, ryzyko kar administracyjnych UODO oraz koordynuje przygotowanie referatu.

  Student 2 (Audytor Techniczny IT): Bada techniczne przyczyny braku separacji adresatów w protokole SMTP, dekonstruuje zjawisko Reply-All Storm w systemie Exchange, projektuje reguły transportowe (Transport Rules) blokujące wysyłkę e-maili z więcej niż 1 odbiorcą zewnętrznym w polach To/Cc oraz projektuje architekturę API transakcyjnego z indywidualnym generowaniem wiadomości.

  Student 3 (Audytor Ryzyka i CAP): Przeprowadza pełną analizę ryzyka w matrycy 3x3, sporządza karty niezgodności (NC1, NC2, OFI), przeprowadza procedurę 5 Why oraz tworzy tabelę Planu CAP ze wskaźnikami KPI i terminami 14-90 dni.

• Krok 2 (Zaawansowana analiza ryzyka metodą 3x3):

  Oszacujcie prawdopodobieństwo (P: 1-3) i skutek (S: 1-3) w skali 9-stopniowej dla 4 wektorów zagrożeń:

  1. Ukierunkowane ataki spear-phishingowe na 8 500 klientów po ujawnieniu ich adresów i faktu zakupów (P=3, S=3 → R=9: Ryzyko Krytyczne; po kontrolach kompensacyjnych: P=1, S=2 → R=2: Ryzyko Niskie).

  2. Ujawnienie intymnych preferencji zakupowych i naruszenie dóbr osobistych (P=3, S=3 → R=9; po kontrolach: P=1, S=2 → R=2).

  3. Paraliż operacyjny serwerów pocztowych w wyniku zjawiska Reply-All Storm (P=3, S=2 → R=6; po kontrolach: P=1, S=1 → R=1).

  4. Nałożenie wysokiej administracyjnej kary pieniężnej przez Prezesa UODO (P=3, S=3 → R=9; po kontrolach: P=1, S=2 → R=2).

• Krok 3 (Formalna kwalifikacja uchybień - Karty Niezgodności):

  Sformułujcie karty uchybień z podziałem na:

  • Niezgodność Duża (NC1): Brak technicznych środków ochrony zapobiegających ujawnieniu danych odbiorców w komunikacji masowej (naruszenie zasady poufności art. 5 ust. 1 lit. f, art. 24 i art. 32 RODO oraz kontroli ISO/IEC 27001:2022 A.8.12 Zapobieganie wyciekowi danych).
  • Niezgodność Mała (NC2): Brak reguł transportowych w serwerze pocztowym blokujących masową korespondencję zewnętrzną z poziomu klientów pocztowych pracowników (naruszenie kontroli ISO 27001 A.8.20 Bezpieczeństwo sieci).
  • Szansa na doskonalenie (OFI): Wdrożenie zautomatyzowanego potoku komunikacji transakcyjnej opartego na dedykowanej bramce API z mechanizmem Rate Limiting i kolejkowaniem wiadomości.
• Krok 4 (Dochodzenie przyczyn źródłowych metodą 5 Why):

  Przeprowadźcie pełną sekwencję 5 pytań dochodzeniowych:

  1. Dlaczego ujawniono adresy e-mail 8 500 klientów? (Pracownik wkleił adresy w pole DW zamiast UDW w programie Outlook).

  2. Dlaczego pracownik wysyłał maile masowe z lokalnego programu pocztowego? (Nie posiadał dostępu do korporacyjnego systemu automatyzacji marketingu).

  3. Dlaczego nie przyznano pracownikom działu obsługi dostępu do systemu marketingowego? (Zarząd uznał zakup dodatkowych licencji za nieuzasadniony koszt operacyjny).

  4. Dlaczego serwer Exchange nie zablokował wysyłki do 8 500 odbiorców zewnętrznych w polu DW? (Administratorzy poczty nigdy nie wdrożyli reguł sprawdzających liczbę zewnętrznych adresatów w nagłówku Cc).

  5. Root Cause (Przyczyna źródłowa): Błędne założenia ładu korporacyjnego przedkładające pozorne oszczędności licencyjne nad bezpieczeństwo danych, brak technicznych reguł kontrolnych w infrastrukturze pocztowej oraz brak procedur komunikacji kryzysowej z klientami.

• Krok 5 (Konstrukcja Planu Działań Korygujących - CAP):

  Opracujcie tabelę CAP z kolumnami: Lp., Identyfikacja niezgodności (NC1/NC2/OFI), Działanie korygujące / zapobiegawcze, Właściciel biznesowy (rola), Termin realizacji (14-90 dni), Mierzalny wskaźnik sukcesu (KPI).

• Krok 6 (Przygotowanie raportu i dokumentacji):

  Zredagujcie raport poaudytowy (8-12 stron A4) z pełnymi załącznikami i przygotujcie 15-minutową prezentację referatową.

Plan prezentacji referatu seminaryjnego (15 minut):

• Prezentacja kontekstu biznesowego Megasklep S.A. i mechanizmu incydentu DW (3 min): Presja czasu przedświątecznego, charakter ujawnionych danych i skala naruszenia (Student 1).
• Analiza techniczna infrastruktury pocztowej i mechanizmu Reply-All Storm (4 min): Ograniczenia klientów MUA, dekonstrukcja nagłówków SMTP, konfiguracja reguł Exchange Mail Flow i architektura API transakcyjnego (Student 2).
• Zaawansowana analiza ryzyka w matrycy 3x3 oraz karty niezgodności NC1/NC2/OFI (3 min): Omówienie wektorów phishingu, naruszenia dóbr osobistych, kary UODO i punktów normy ISO 27001 (Student 3 lub Student 1).
• Prezentacja protokołu 5 Why oraz Planu Działań Korygujących CAP (3 min): Przedstawienie przyczyn źródłowych, tabela CAP z terminami i wskaźnikami KPI oraz procedury komunikacji transakcyjnej (Student 2 i Student 3).
• Podsumowanie, rekomendacje dla rynku e-commerce i dyskusja z komisją (2 min): Odpowiedzi na pytania prowadzącego i obrona koncepcji (cały zespół).

Wymagana struktura raportu poaudytowego na ocenę 4.0 (objętość 8-12 stron A4):

1. Podsumowanie zarządcze (Executive Summary) dla Zarządu Megasklep S.A. i IOD.

2. Odpowiedzi na zaawansowane pytania problemowe:

• W jaki sposób technologia transakcyjnych bramek mailingowych (np. SendGrid, Amazon SES) gwarantuje izolację danych odbiorców w porównaniu z wysyłką przez nagłówek Bcc w tradycyjnym serwerze SMTP?
• Czym charakteryzuje się zjawisko 'Reply-All Storm' w środowiskach pocztowych i jakie zaawansowane reguły transportowe (np. w Exchange Online) pozwalają na jego automatyczne zablokowanie?
• Jakie kryteria oceny wagi naruszenia stosuje Prezes UODO przy nakładaniu kar finansowych za błędy operacyjne personelu w świetle art. 83 ust. 2 RODO?

3. Opis stanu faktycznego, wykaz wolumenu ujawnionych rekordów i przebieg awarii pocztowej.

4. Tabela Zaawansowanej Analizy Ryzyka w matrycy 3x3 (4 wektory zagrożeń, ryzyko inherentne vs. rezydualne).

5. Formalne Karty Niezgodności:

• Karta NC1 (Niezgodność Duża) - brak technicznych zabezpieczeń przed wyciekiem danych w korespondencji masowej (art. 5 ust. 1 lit. f, art. 32 RODO, ISO 27001 A.8.12).
• Karta NC2 (Niezgodność Mała) - brak reguł transportowych poczty ograniczających liczbę adresatów (ISO 27001 A.8.20).
• Karta OFI (Szansa na poprawę) - integracja platformy sklepowej z dedykowanym silnikiem Marketing Automation API.

6. Protokół dochodzenia przyczyn źródłowych (Root Cause Analysis - 5 Why).

7. Szczegółowe rozwiązanie techniczne i proceduralne:

• Wzorcowa reguła transportowa w Microsoft Exchange odrzucająca wiadomości z więcej niż 1 odbiorcą zewnętrznym w polu DW/To.
• Schemat architektury kolejkowania wiadomości transakcyjnych w modelu asynchronicznym (RabbitMQ/Kafka + worker SMTP).
• Wzór formalnego zgłoszenia do Prezesa UODO oraz wzór spersonalizowanego komunikatu z przeprosinami i instrukcją antyphishingową dla klientów.

8. Tabela Planu Działań Korygujących (CAP) z przypisaniem ról, terminów (14-90 dni) i wskaźników KPI.

9. Analiza zalet i wad (kompromisów inżynierskich i kosztowych) proponowanych rozwiązań.

10. Bibliografia, netografia i odnośniki do decyzji Prezesa UODO i norm ISO.

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 5 ust. 1 lit. f (Integralność i poufność), art. 24 (Odpowiedzialność administratora), art. 32 (Bezpieczeństwo przetwarzania), art. 33 (Zgłaszanie naruszeń).
• Decyzje Prezesa Urzędu Ochrony Danych Osobowych w sprawach błędów UDW (m.in. decyzje DKN.5101.33.2021 oraz ZSPU.421.2.2019).
• Europejska Rada Ochrony Danych (EROD): "Wytyczne 01/2021 w sprawie przykładów dotyczących zgłaszania naruszeń ochrony danych", 2021.
• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - kontrole A.8.12 (Zapobieganie wyciekowi danych), A.8.20 (Bezpieczeństwo sieci), A.8.26 (Wymagania bezpieczeństwa aplikacji).
• Internet Engineering Task Force (IETF): RFC 5322 "Internet Message Format" - specyfikacja nagłówków pocztowych.

• U2 Profesjonalna identyfikacja i formalna gradacja uchybień (NC1/NC2/OFI) w systemie mailingowym e-commerce.
• U1 Projekt architektury zautomatyzowanego API pocztowego i reguł transportowych serwera pocztowego.
• U3 Zastosowanie zaawansowanej analizy ryzyka 3x3 w ujęciu inherentnym i rezydualnym dla konsumentów.
• U4 Opracowanie pełnego Planu Działań Korygujących (CAP) ze wskaźnikami KPI oraz raportu 8-12 stron.
• W1W2W3 Głęboka znajomość RODO art. 5, 24, 32, normy ISO 27001 i orzecznictwa UODO w e-commerce.
• K1K2K3 Profesjonalizm inżynierski, etyka w zarządzaniu relacjami z konsumentami i wysoka kultura referatu.

Podczas wystąpienia seminaryjnego przedstawcie schemat nagłówków SMTP wiadomości przed incydentem i po wdrożeniu API oraz wyjaśnijcie, w jaki sposób funkcja Exchange 'Reply-All Storm Protection' automatycznie wykrywa i blokuje lawiny odpowiedzi.

Głównym celem zadania jest opanowanie przez studentów zaawansowanych umiejętności audytowania fizycznego i organizacyjnego bezpieczeństwa dokumentacji tradycyjnej (kartoteki, teczki spraw podopiecznych) oraz procesów jej brakowania i utylizacji w jednostkach sektora finansów publicznych (w świetle art. 5 ust. 1 lit. f, art. 9 i art. 32 RODO). Studenci badają incydent w Miejskim Ośrodku Pomocy Rodzinie (MOPR), w którym w trakcie prac remontowych porzucono w ogólnodostępnym kontenerze budowlanym 140 kompletnych teczek podopiecznych zawierających procedury 'Niebieskie Karty' (przemoc w rodzinie), wywiady środowiskowe, orzeczenia o niepełnosprawności i zaświadczenia lekarskie. Zadanie wymaga przeprowadzenia formalnej analizy ryzyka w matrycy 3x3 dla 4 wektorów zagrożeń, sporządzenia kart niezgodności (NC1/NC2/OFI) z powołaniem normy ISO/IEC 27001:2022 oraz normy niszczenia DIN 66399, przeprowadzenia dochodzenia przyczyn źródłowych metodą 5 Why (Root Cause Analysis) oraz skonstruowania Planu Działań Korygujących (CAP) obejmującego wdrożenie bezpiecznego repozytorium fizycznego, procedury komisyjnego brakowania akt oraz wdrożenia systemu Elektronicznego Zarządzania Dokumentacją (EZD).

Powiązanie z sylabusem i treściami programowymi:

• U2 Identyfikacja i formalna gradacja uchybień (NC1/NC2/OFI) w obszarze bezpieczeństwa fizycznego i archiwizacji dokumentacji wrażliwej.
• U1 Opracowanie zaawansowanego projektu procedury komisyjnego brakowania dokumentacji, specyfikacji niszczarek klasy DIN 66399 (P-4/P-5), bezpiecznych pojemników depozytowych oraz umowy powierzenia utylizacji DPA.
• U3 Przeprowadzenie analizy ryzyka metodą 3x3 w odniesieniu do stygmatyzacji, przemocy odwetowej wobec ofiar oraz odpowiedzialności karnej kierownictwa jednostki.
• U4 Opracowanie ustrukturyzowanego raportu poaudytowego (8-12 stron A4) z tabelą CAP, kartami niezgodności i protokołem 5 Why oraz wygłoszenie 15-minutowego referatu seminaryjnego.
• W1 Zaawansowana znajomość przepisów Ustawy o pomocy społecznej, Ustawy o przeciwdziałaniu przemocy domowej, Ustawy o narodowym zasobie archiwalnym i RODO.
• W2W3 Biegłość w stosowaniu normy DIN 66399, normy PN-EN ISO/IEC 27001:2022 (kontrole A.7.1 Perymetr fizyczny, A.7.10 Nośniki danych, A.7.14 Bezpieczne pozbywanie się sprzętu i nośników) oraz wytycznych UODO.
• K1K2K3 Głęboka wrażliwość etyczna na ochronę ofiar przemocy domowej, poszanowanie godności ludzkiej i profesjonalizm w pracy audytora administracji publicznej.
• Powiązanie z wykładem: Wyk1 (Audyt w administracji i pomocy społecznej), Wyk2 (Zasady audytowania ISO 19011 i oględziny), Wyk3 (Kontrole fizyczne A.7 ISO 27001), Wyk4 (RODO i ochrona danych wrażliwych), Wyk5 (Risk-based audit w matrycy 3x3), Wyk6 (Triangulacja dowodów i protokoły brakowania), Wyk7 (Procedura 5 Why, matryca NC1/NC2/OFI i Plan CAP).

Miejski Ośrodek Pomocy Rodzinie w Kielcach jest jednostką budżetową miasta realizującą zadania z zakresu pomocy społecznej, pieczy zastępczej, świadczeń rodzinnych oraz koordynacji procedury 'Niebieskie Karty'. Ośrodek przetwarza dane ponad 12 000 rodzin.

Stan faktyczny w obszarze incydentu i stanu zabezpieczeń:

• W związku z modernizacją budynku Dyrektor MOPR polecił kierownikowi administracyjnemu 'opróżnienie i uporządkowanie pomieszczenia archiwum podręcznego' przed wejściem ekipy budowlanej.
• Pracownicy gospodarczy, nie posiadając przeszkolenia ani upoważnień do brakowania akt, zapakowali dokumenty w worki na odpady i wrzucili je do otwartego kontenera na gruz i odpady komunalne ustawionego na niestrzeżonym parkingu ośrodka.
• W kontenerze znalazło się 140 kompletnych teczek spraw z lat 2017-2023. Teczki zawierały: formularze Niebieska Karta - A i C (szczegółowe opisy aktów przemocy fizycznej i seksualnej, dane sprawców i ofiar), kwestionariusze rodzinnych wywiadów środowiskowych, orzeczenia o niepełnosprawności dzieci, zaświadczenia psychiatryczne, zaświadczenia o leczeniu odwykowym oraz wyciągi z kont bankowych i numery PESEL całych rodzin.
• Dokumenty zostały odnalezione przez osoby postronne, a część akt została rozwiana przez wiatr po sąsiednich ulicach. Sprawa została nagłośniona przez media ogólnopolskie po tym, jak przechodzień przekazał znalezione teczki z danymi ofiar przemocy redakcji lokalnej telewizji.
• Interwencja policji i prokuratury doprowadziła do zabezpieczenia pozostałości akt, jednak co najmniej 30 teczek zostało bezpowrotnie utraconych lub trafiło w ręce nieuprawnione.
• Dochodzenie audytowe wykazało całkowity brak sprawowania nadzoru przez Inspektora Ochrony Danych nad archiwum zakładowym, brak powołania komisji ds. brakowania dokumentacji, brak zgody Archiwum Państwowego na zniszczenie dokumentów oraz brak niszczarek o odpowiednim poziomie tajności (w całym ośrodku znajdowały się jedynie 2 niszczarki tnące w paski klasy DIN P-1).

Prezydent Miasta Kielce powołuje niezależny zespół audytorów śledczych w celu ustalenia odpowiedzialności, sformułowania wniosków dla organów ścigania i Prezesa UODO oraz przygotowania całościowego Planu Działań Korygujących.

W skład zespołu wchodzą studenci realizujący następujące role:

• Rola 1: Audytor Wiodący / Prawo Administracyjne i Archiwalne (Lead Auditor) - bada procedury kancelaryjne i archiwalne MOPR, wywiady z dyrekcją, naruszenie przepisów ustawy o narodowym zasobie archiwalnym i koordynuje strukturę referatu.
• Rola 2: Audytor Techniczny i Bezpieczeństwa Fizycznego Nośników (Architekt Bezpieczeństwa) - przeprowadza audyt fizyczny archiwum, weryfikuje wyposażenie placówki pod kątem normy DIN 66399, projektuje system szaf pancernych, bezpiecznych kontenerów depozytowych oraz architekturę systemu EZD.
• Rola 3: Audytor Zgodności Regulacyjnej, Ryzyka i Jakości CAP (Oficer Ryzyka / Asystent IOD) - przeprowadza analizę ryzyka 3x3 dla 4 wektorów zagrożeń, sporządza formalne karty niezgodności (NC1/NC2/OFI), prowadzi procedurę 5 Why oraz konstruuje kompletną tabelę Planu CAP ze wskaźnikami KPI. W zespole 2-osobowym zadania te dzielą Studenci 1 i 2.

Zadanie realizowane jest przez 2-3 osobowy zespół audytorski w formule studium przypadku:

• Krok 1 (Podział ról w grupie audytowej):

  Student 1 (Audytor Wiodący): Bada organizację archiwum MOPR, brak procedur komisyjnego brakowania akt, odpowiedzialność kierownika jednostki z art. 107 Ustawy o ochronie danych osobowych oraz koordynuje przygotowanie referatu.

  Student 2 (Audytor Techniczny IT): Analizuje wymagania normy DIN 66399 dla dokumentacji medycznej i wrażliwej (wymóg poziomu co najmniej P-4: cząstka <= 160 mm2 lub P-5: cząstka <= 30 mm2), projektuje procedurę bezpiecznych pojemników aluminiowych zamykanych na zamek bębenkowy oraz plan wdrożenia systemu EZD.

  Student 3 (Audytor Ryzyka i CAP): Przeprowadza pełną analizę ryzyka w matrycy 3x3, sporządza karty niezgodności (NC1, NC2, OFI), przeprowadza procedurę 5 Why oraz tworzy tabelę Planu CAP ze wskaźnikami KPI i terminami 14-90 dni.

• Krok 2 (Zaawansowana analiza ryzyka metodą 3x3):

  Oszacujcie prawdopodobieństwo (P: 1-3) i skutek (S: 1-3) w skali 9-stopniowej dla 4 wektorów zagrożeń:

  1. Przemoc odwetowa, załamanie psychiczne i zagrożenie życia ofiar przemocy domowej po ujawnieniu Niebieskich Kart (P=3, S=3 → R=9: Ryzyko Krytyczne; po kontrolach kompensacyjnych: P=1, S=3 → R=3: Ryzyko Niskie).

  2. Masowe wyłudzenia pożyczek i kradzież tożsamości na numery PESEL podopiecznych (P=3, S=3 → R=9; po kontrolach: P=1, S=2 → R=2).

  3. Odpowiedzialność karna i dyscyplinarna dyrekcji oraz pracowników MOPR (P=3, S=3 → R=9; po kontrolach: P=1, S=2 → R=2).

  4. Trwała utrata materiałów archiwalnych podlegających wieczystemu przechowywaniu (P=3, S=2 → R=6; po kontrolach: P=1, S=1 → R=1).

• Krok 3 (Formalna kwalifikacja uchybień - Karty Niezgodności):

  Sformułujcie karty uchybień z podziałem na:

  • Niezgodność Duża (NC1): Brak zapewnienia bezpieczeństwa fizycznego i poufności dokumentacji tradycyjnej podopiecznych skutkujący porzuceniem akt wrażliwych w otwartym kontenerze (naruszenie art. 5 ust. 1 lit. f, art. 9 i art. 32 RODO oraz kontroli ISO/IEC 27001:2022 A.7.1, A.7.10, A.7.14).
  • Niezgodność Mała (NC2): Brak procedury komisyjnego brakowania dokumentacji niearchiwalnej i brak wymaganej zgody Archiwum Państwowego (naruszenie ustawy o narodowym zasobie archiwalnym oraz kontroli ISO 27001 A.5.34).
  • Szansa na doskonalenie (OFI): Wdrożenie systemu Elektronicznego Zarządzania Dokumentacją (EZD RP) i stopniowa eliminacja obiegu papierowego w ośrodku pomocy społecznej.
• Krok 4 (Dochodzenie przyczyn źródłowych metodą 5 Why):

  Przeprowadźcie pełną sekwencję 5 pytań dochodzeniowych:

  1. Dlaczego akta 140 rodzin znalazły się w kontenerze na śmieci? (Pracownicy gospodarczy wyrzucili teczki podczas opróżniania pomieszczenia archiwum).

  2. Dlaczego pracownicy gospodarczy wyrzucili akta do śmieci? (Otrzymali ustne polecenie 'posprzątania archiwum' i uznali stare teczki za makulaturę).

  3. Dlaczego w ośrodku nie zniszczono dokumentów w niszczarkach? (Ośrodek nie posiadał niszczarek o odpowiedniej wydajności i poziomie tajności).

  4. Dlaczego nie powołano komisji ds. brakowania akt i nie zatrudniono certyfikowanej firmy utylizacyjnej? (Kierownictwo nie znało procedur archiwalnych i nie zaplanowało w budżecie środków na profesjonalną utylizację).

  5. Root Cause (Przyczyna źródłowa): Całkowity brak ładu zarządczego w obszarze bezpieczeństwa fizycznego i archiwizacji, brak nadzoru IOD nad dokumentacją papierową oraz brak świadomości prawnej w zakresie ochrony tajemnicy zawodowej pracownika socjalnego.

• Krok 5 (Konstrukcja Planu Działań Korygujących - CAP):

  Opracujcie tabelę CAP z kolumnami: Lp., Identyfikacja niezgodności (NC1/NC2/OFI), Działanie korygujące / zapobiegawcze, Właściciel biznesowy (rola), Termin realizacji (14-90 dni), Mierzalny wskaźnik sukcesu (KPI).

• Krok 6 (Przygotowanie raportu i dokumentacji):

  Zredagujcie raport poaudytowy (8-12 stron A4) z pełnymi załącznikami i przygotujcie 15-minutową prezentację referatową.

Plan prezentacji referatu seminaryjnego (15 minut):

• Wprowadzenie do specyfiki ochrony danych w pomocy społecznej i opis incydentu w MOPR Kielce (3 min): Waga Niebieskich Kart, profil podopiecznych i okoliczności porzucenia akt (Student 1).
• Standardy techniczne niszczenia dokumentacji DIN 66399 i bezpieczeństwo fizyczne (4 min): Poziomy P-1 do P-7, wymogi dla niszczarek P-4/P-5, bezpieczne pojemniki depozytowe i architektura EZD (Student 2).
• Zaawansowana analiza ryzyka w matrycy 3x3 oraz karty niezgodności NC1/NC2/OFI (3 min): Omówienie wektorów przemocy odwetowej, kradzieży tożsamości, odpowiedzialności karnej z art. 107 UODO (Student 3 lub Student 1).
• Prezentacja protokołu 5 Why oraz Planu Działań Korygujących CAP (3 min): Dekonstrukcja przyczyn źródłowych, tabela CAP z terminami i wskaźnikami KPI oraz procedury komisyjnego brakowania (Student 2 i Student 3).
• Podsumowanie, wnioski dla sektora samorządowego i dyskusja z komisją (2 min): Odpowiedzi na pytania prowadzącego (cały zespół).

Wymagana struktura raportu poaudytowego na ocenę 4.0 (objętość 8-12 stron A4):

1. Podsumowanie zarządcze (Executive Summary) dla Prezydenta Miasta i Dyrektora MOPR.

2. Odpowiedzi na zaawansowane pytania problemowe:

• Jakie rygory prawne i organizacyjne nakłada procedura 'Niebieskie Karty' na administratora danych w kontekście ochrony tożsamości osób doznających przemocy domowej (art. 9 RODO i Ustawa o przeciwdziałaniu przemocy domowej)?
• W jaki sposób norma DIN 66399 definiuje klasy ochrony (1-3) oraz poziomy niszczenia (P-1 do P-7) nośników papierowych i jakie parametry ścinki są wymagane dla dokumentacji socjalnej i medycznej?
• Jakie przesłanki decydują o pociągnięciu kierownika jednostki samorządowej do odpowiedzialności karnej na podstawie art. 107 Ustawy o ochronie danych osobowych za udaremnienie lub utrudnienie kontroli albo przetwarzanie danych bez uprawnienia?

3. Opis stanu faktycznego, wykaz utraconych teczek i chronologia interwencji organów ścigania.

4. Tabela Zaawansowanej Analizy Ryzyka w matrycy 3x3 (4 wektory zagrożeń, ryzyko inherentne vs. rezydualne).

5. Formalne Karty Niezgodności:

• Karta NC1 (Niezgodność Duża) - porzucenie akt wrażliwych w otwartym kontenerze (art. 5 ust. 1 lit. f, art. 9, art. 32 RODO, ISO 27001 A.7.1, A.7.14).
• Karta NC2 (Niezgodność Mała) - brak formalnej procedury brakowania dokumentacji (ustawa o narodowym zasobie archiwalnym, ISO 27001 A.5.34).
• Karta OFI (Szansa na poprawę) - wdrożenie systemu EZD RP i digitalizacja archiwum.

6. Protokół dochodzenia przyczyn źródłowych (Root Cause Analysis - 5 Why).

7. Szczegółowe rozwiązanie techniczne i proceduralne:

• Wzorcowy regulamin komisyjnego brakowania dokumentacji niearchiwalnej w MOPR.
• Wymogi techniczne dla szaf atestowanych klasy A/B i bezpiecznych pojemników depozytowych (zabezpieczenie DIN 66399).
• Wzór formalnego zgłoszenia do Prezesa UODO oraz wzór imiennego pisma do podopiecznych z zapewnieniem wsparcia prawnego i psychologicznego.

8. Tabela Planu Działań Korygujących (CAP) z przypisaniem ról, terminów (14-90 dni) i wskaźników KPI.

9. Analiza zalet i wad (kompromisów inżynierskich i budżetowych) proponowanych rozwiązań.

10. Bibliografia, netografia i odnośniki do norm i aktów prawnych.

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 5 ust. 1 lit. f (Integralność i poufność), art. 9 (Szczególne kategorie danych), art. 32 (Bezpieczeństwo przetwarzania).
• Norma DIN 66399: "Niszczenie nośników danych" - Części 1-3 (Wymagania dla niszczarek i poziomów bezpieczeństwa).
• Ustawa z dnia 29 lipca 2005 r. o przeciwdziałaniu przemocy domowej (Dz.U. z 2023 r. poz. 535 z późn. zm.) - przepisy o procedurze Niebieskie Karty.
• Ustawa z dnia 14 lipca 1983 r. o narodowym zasobie archiwalnym i archiwach (Dz.U. z 2020 r. poz. 164 z późn. zm.).
• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - kontrole A.7.1 (Perymetr fizyczny), A.7.10 (Nośniki danych), A.7.14 (Bezpieczne pozbywanie się lub ponowne użycie sprzętu).
• Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2019 r. poz. 1781) - art. 107 (Przepisy karne).

• U2 Profesjonalna identyfikacja i formalna gradacja uchybień (NC1/NC2/OFI) w obszarze bezpieczeństwa fizycznego i tradycyjnego.
• U1 Projekt procedury niszczenia dokumentów wg DIN 66399, komisyjnego brakowania i wdrożenia EZD.
• U3 Zastosowanie zaawansowanej analizy ryzyka 3x3 w odniesieniu do ofiar przemocy domowej i odpowiedzialności karnej.
• U4 Opracowanie pełnego Planu Działań Korygujących (CAP) ze wskaźnikami KPI oraz raportu 8-12 stron.
• W1W2W3 Głęboka znajomość przepisów RODO, normy DIN 66399, ISO 27001 i ustawy o przeciwdziałaniu przemocy.
• K1K2K3 Wrażliwość społeczna, poszanowanie tajemnicy zawodowej i wysoka etyka postępowania audytorskiego.

W trakcie obrony referatu zaprezentujcie schemat procesu komisyjnego brakowania dokumentacji z uwzględnieniem roli Archiwum Państwowego oraz wykażcie, dlaczego zniszczenie dokumentacji Niebieskich Kart wymaga niszczarki o poziomie minimum DIN P-4.

Głównym celem zadania jest opanowanie przez studentów zaawansowanych umiejętności audytowania krytycznych incydentów cyberbezpieczeństwa wywołanych atakami złośliwego oprogramowania szyfrującego (Ransomware) w operatorach usług kluczowych i podmiotach ochrony zdrowia (w reżimie art. 32 ust. 1 lit. b i c RODO, Ustawy o KSC oraz Dyrektywy NIS2). Studenci badają studium przypadku sieci szpitali Medic-Silesia S.A., w której doszło do zaszyfrowania centralnego klastra baz danych Elektronicznej Dokumentacji Medycznej (120 000 pacjentów) oraz sieciowych kopii zapasowych podłączonych przez protokół SMB, połączonego z szantażem podwójnego wymuszenia (Double Extortion — groźba upublicznienia historii chorób onkologicznych w darknecie w przypadku nieopłacenia okupu). Zadanie wymaga przeprowadzenia formalnej analizy ryzyka w matrycy 3x3 dla 4 wektorów zagrożeń, sporządzenia kart niezgodności (NC1/NC2/OFI) z powołaniem norm ISO/IEC 27001:2022 i ISO 22301, przeprowadzenia dochodzenia przyczyn źródłowych metodą 5 Why (Root Cause Analysis) oraz skonstruowania Planu Działań Korygujących (CAP) opartego na architekturze niezmiennych kopii zapasowych (Immutable Backup / Linux Hardened Repository z flagą WORM), mikrosegmentacji sieci i politykach Disaster Recovery.

Powiązanie z sylabusem i treściami programowymi:

• U2 Identyfikacja i formalna gradacja uchybień (NC1/NC2/OFI) w obszarze ciągłości działania, redundancji i odporności systemów medycznych.
• U1 Opracowanie zaawansowanego projektu architektury kopii zapasowych w modelu 3-2-1-1-0, procedur reagowania na incydenty ransomware, izolacji Air-Gap oraz planów ciągłości działania (BCP/DRP).
• U3 Przeprowadzenie analizy ryzyka metodą 3x3 dla zagrożenia życia pacjentów, utraty poufności w mechanizmie Double Extortion oraz kar administracyjnych.
• U4 Opracowanie ustrukturyzowanego raportu poaudytowego (8-12 stron A4) z tabelą CAP, kartami niezgodności i protokołem 5 Why oraz wygłoszenie 15-minutowego referatu seminaryjnego.
• W1 Zaawansowana znajomość wymogów RODO dotyczących dostępności i odporności (art. 32), Ustawy o krajowym systemie cyberbezpieczeństwa (KSC) i dyrektywy NIS2.
• W2W3 Biegłość w stosowaniu norm PN-EN ISO/IEC 27001:2022 (kontrole A.8.8, A.8.13, A.8.14, A.5.29, A.5.30), normy ISO 22301, zaleceń CSIRT NASK/CERT Polska oraz wytycznych EROD 01/2021.
• K1K2K3 Zdolność do podejmowania decyzji w warunkach kryzysowych, wysoka odporność na presję szantażu cybernetycznego i etyka zawodowa.
• Powiązanie z wykładem: Wyk1 (Audyt w infrastrukturze krytycznej), Wyk2 (Zasady audytowania ISO 19011), Wyk3 (Kontrole A.8.13 i A.5.29 ISO 27001), Wyk4 (RODO i KSC/NIS2 w medycynie), Wyk5 (Risk-based audit w matrycy 3x3), Wyk6 (Analiza powłamaniowa i logi NetFlow), Wyk7 (Procedura 5 Why, matryca NC1/NC2/OFI i Plan CAP).

Medic-Silesia S.A. zarządza 6 szpitalami wielospecjalistycznymi oraz 20 centrami diagnostycznymi na terenie Górnego Śląska i Małopolski, przetwarzając dane medyczne ponad 120 000 aktywnych pacjentów. Główna baza danych EDM (Oracle RAC) zlokalizowana jest w prywatnym centrum danych w Katowicach.

Stan faktyczny w obszarze incydentu ransomware i infrastruktury:

• Grupa cyberprzestępcza uzyskała dostęp do sieci szpitalnej poprzez sforsowanie podatnej i niezałatanej bramy SSL-VPN (znana luka w urządzeniu brzegowym niewspieranym od roku).
• W ciągu 48 godzin od przełamania perymetru intruzi rozpoznali strukturę Active Directory, wykradli skróty haseł z kontrolera domeny za pomocą ataku DCSync i uzyskali uprawnienia administratora domeny.
• Napastnicy przed zainicjowaniem procedury szyfrowania dokonali cichej eksfiltracji 80 GB skompresowanych danych zawierających kartoteki 12 000 pacjentów onkologicznych i psychiatrycznych na zewnętrzny serwer chmurowy (Mega.nz).
• W nocy z piątku na sobotę ransomware 'BlackCat/ALPHV' zaszyfrował 55 serwerów wirtualnych VMware ESXi, w tym produkcyjną bazę danych EDM oraz centralną pamięć masową NAS.
• Pamięć masowa NAS, dedykowana do przechowywania kopii zapasowych, była stale podłączona do sieci produkcyjnej przez protokół SMB na prawach tego samego konta administratora domeny. W rezultacie wszystkie pliki kopii z ostatnich 90 dni zostały całkowicie zaszyfrowane.
• Na pulpitach stacji roboczych pojawiła się notatka z żądaniem okupu w wysokości 1,5 mln USD pod groźbą opublikowania wykradzionych baz pacjentów w sieci Tor (Double Extortion).
• W szpitalach doszło do paraliżu: odwołano 140 planowych operacji chirurgicznych, izby przyjęć nie mogły zweryfikować grup krwi i alergii pacjentów z wypadków, a system dystrybucji leków został unieruchomiony.
• Dochodzenie powłamaniowe ujawniło, że spółka nie posiadała odizolowanych kopii offline (Air-Gap) ani pamięci masowych z blokadą WORM, a ostatnia nienaruszona kopia na taśmach magnetycznych LTO pochodziła sprzed 8 miesięcy, gdyż zrezygnowano z rotacji taśm ze względów oszczędnościowych.

Zarząd Medic-Silesia S.A. odrzuca żądania szantażystów, powiadamia CSIRT NASK, Prokuraturę i Prezesa UODO oraz powołuje zewnętrzny zespół audytorów do przeprowadzenia zaawansowanego audytu powłamaniowego na ocenę 4.0.

W skład zespołu wchodzą studenci realizujący następujące role:

• Rola 1: Audytor Wiodący / Zarządzanie Ciągłością Działania i BCP (Lead Auditor) - koordynuje prace zespołu, bada procedury zarządzania kryzysowego szpitala, umowy SLA, zgodność z Ustawą o KSC i Dyrektywą NIS2 oraz koordynuje strukturę referatu.
• Rola 2: Audytor Techniczny ds. Cyberbezpieczeństwa i Architektury Backup (Architekt Bezpieczeństwa) - analizuje wektor infiltracji przez VPN, zjawisko eksfiltracji danych NetFlow, dekonstruuje podatność backupów SMB i projektuje architekturę niezmiennych kopii zapasowych Immutable Backup z blokadą WORM i mikrosegmentacją sieci.
• Rola 3: Audytor Zgodności Regulacyjnej, Ryzyka i Jakości CAP (Oficer Ryzyka / Asystent IOD) - przeprowadza analizę ryzyka 3x3 dla 4 wektorów zagrożeń, sporządza formalne karty niezgodności (NC1/NC2/OFI), prowadzi procedurę 5 Why oraz konstruuje kompletną tabelę Planu CAP ze wskaźnikami KPI. W zespole 2-osobowym zadania te dzielą Studenci 1 i 2.

Zadanie realizowane jest przez 2-3 osobowy zespół audytorski w formule studium przypadku:

• Krok 1 (Podział ról w grupie audytowej):

  Student 1 (Audytor Wiodący): Bada strukturę zarządzania ciągłością działania (BCP/DRP) w szpitalach spółki, procedury postępowania z incydentami krytycznymi KSC/NIS2, wywiady z zarządem i koordynację referatu.

  Student 2 (Audytor Techniczny IT): Analizuje architekturę sieci i pamięci masowych. Wykazuje błędy: brak segmentacji sieci backupowej, podatność protokołu SMB na ransomware, brak uwierzytelniania wieloskładnikowego (MFA) na bramie VPN. Projektuje architekturę modelu 3-2-1-1-0: 3 kopie danych, 2 różne nośniki, 1 kopia w chmurze, 1 kopia offline/niezmienna (Linux Hardened Repository z blokadą WORM/Object Lock) oraz 0 błędów w testach odzyskiwania.

  Student 3 (Audytor Ryzyka i CAP): Przeprowadza pełną analizę ryzyka w matrycy 3x3, sporządza karty niezgodności (NC1, NC2, OFI), przeprowadza procedurę 5 Why oraz tworzy tabelę Planu CAP ze wskaźnikami KPI i terminami 14-90 dni.

• Krok 2 (Zaawansowana analiza ryzyka metodą 3x3):

  Oszacujcie prawdopodobieństwo (P: 1-3) i skutek (S: 1-3) w skali 9-stopniowej dla 4 wektorów zagrożeń:

  1. Bezpośrednie zagrożenie utraty życia lub zdrowia pacjentów w wyniku braku dostępu do EDM (P=3, S=3 → R=9: Ryzyko Krytyczne; po kontrolach kompensacyjnych: P=1, S=3 → R=3: Ryzyko Niskie).

  2. Masowy wyciek danych wrażliwych do sieci Tor w mechanizmie podwójnego wymuszenia (P=3, S=3 → R=9; po kontrolach: P=1, S=2 → R=2).

  3. Paraliż finansowy i operacyjny placówki medycznej (P=3, S=3 → R=9; po kontrolach: P=1, S=2 → R=2).

  4. Kary administracyjne Prezesa UODO za brak adekwatnych kopii zapasowych i odporności (P=3, S=3 → R=9; po kontrolach: P=1, S=2 → R=2).

• Krok 3 (Formalna kwalifikacja uchybień - Karty Niezgodności):

  Sformułujcie karty uchybień z podziałem na:

  • Niezgodność Duża (NC1): Brak zapewnienia ciągłości działania, odporności i zdolności do szybkiego przywrócenia dostępności danych osobowych w wyniku zainfekowania kopii zapasowych (naruszenie art. 32 ust. 1 lit. b i c RODO oraz kontroli ISO/IEC 27001:2022 A.8.13 Kopie zapasowe, A.8.14 Redundancja, A.5.29 Bezpieczeństwo informacji podczas zakłóceń).
  • Niezgodność Mała (NC2): Brak segmentacji sieciowej pomiędzy siecią produkcyjną a serwerami backupu oraz brak łatania podatności bramy VPN (naruszenie kontroli ISO 27001 A.8.8 i A.8.20).
  • Szansa na doskonalenie (OFI): Wdrożenie zautomatyzowanego potoku testowego Disaster Recovery (z symulacją pełnego odtworzenia maszyn wirtualnych w izolowanym piaskownicy sandbox).
• Krok 4 (Dochodzenie przyczyn źródłowych metodą 5 Why):

  Przeprowadźcie pełną sekwencję 5 pytań dochodzeniowych:

  1. Dlaczego szpital nie mógł odtworzyć danych z backupu po ataku ransomware? (Pamięć NAS z kopiami została w całości zaszyfrowana przez napastników).

  2. Dlaczego ransomware zaszyfrował serwer backupu NAS? (Serwer był podłączony na stałe przez protokół SMB z uprawnieniami administratora domeny).

  3. Dlaczego konto administratora domeny miało pełne prawa do repozytorium kopii? (Infrastruktura backupowa nie została wydzielona do niezależnego lasu domenowego ani nie zastosowano repozytorium immutable).

  4. Dlaczego szpital zrezygnował z wykonywania kopii offline na taśmach LTO? (Zarząd uznał zakup nowych napędów taśmowych i rotację nośników za zbędny koszt operacyjny).

  5. Root Cause (Przyczyna źródłowa): Ignorowanie zasad inżynierii bezpieczeństwa odporności na ransomware, brak ładu korporacyjnego w zakresie BCP/DRP oraz brak niezależnych audytów architektury kopii zapasowych w podmiocie leczniczym.

• Krok 5 (Konstrukcja Planu Działań Korygujących - CAP):

  Opracujcie tabelę CAP z kolumnami: Lp., Identyfikacja niezgodności (NC1/NC2/OFI), Działanie korygujące / zapobiegawcze, Właściciel biznesowy (rola), Termin realizacji (14-90 dni), Mierzalny wskaźnik sukcesu (KPI).

• Krok 6 (Przygotowanie raportu i dokumentacji):

  Zredagujcie raport poaudytowy (8-12 stron A4) z pełnymi załącznikami i przygotujcie 15-minutową prezentację referatową.

Plan prezentacji referatu seminaryjnego (15 minut):

• Przedstawienie skali sieci Medic-Silesia S.A. i anatomii ataku ransomware BlackCat (3 min): Wektor wejścia przez VPN, zjawisko Double Extortion i paraliż 6 szpitali (Student 1).
• Analiza techniczna podatności infrastruktury backupu i architektura 3-2-1-1-0 (4 min): Błędy integracji SMB z Active Directory, demonstracja technologii Linux Hardened Repository z blokadą WORM i mikrosegmentacja (Student 2).
• Zaawansowana analiza ryzyka w matrycy 3x3 oraz karty niezgodności NC1/NC2/OFI (3 min): Omówienie wektorów zagrożenia życia pacjentów, wycieku do darknetu, normy ISO 27001 i art. 32 RODO (Student 3 lub Student 1).
• Prezentacja protokołu 5 Why oraz Planu Działań Korygujących CAP (3 min): Dochodzenie przyczyn źródłowych, tabela CAP z terminami i wskaźnikami KPI oraz procedury awaryjnego funkcjonowania szpitali (Student 2 i Student 3).
• Podsumowanie, wnioski strategiczne dla sektora zdrowia i dyskusja z komisją (2 min): Odpowiedzi na pytania prowadzącego (cały zespół).

Wymagana struktura raportu poaudytowego na ocenę 4.0 (objętość 8-12 stron A4):

1. Podsumowanie zarządcze (Executive Summary) dla Zarządu Medic-Silesia S.A., CSIRT NASK i UODO.

2. Odpowiedzi na zaawansowane pytania problemowe:

• W jaki sposób technologia niezmiennych kopii zapasowych (Immutable Storage / WORM / S3 Object Lock) zabezpiecza organizację przed atakami ransomware posiadającymi uprawnienia administratora domeny?
• Czym charakteryzuje się strategia podwójnego wymuszenia (Double Extortion) i jakie dylematy prawne, etyczne i finansowe stawia przed administratorem danych medycznych (kwestia płacenia okupu a sankcje międzynarodowe)?
• W jaki sposób zdefiniować i zweryfikować wskaźniki RTO (Recovery Time Objective) oraz RPO (Recovery Point Objective) dla krytycznych systemów szpitalnych w świetle normy ISO 22301?

3. Opis stanu faktycznego, wykaz skompromitowanych serwerów i chronologia paraliżu operacyjnego.

4. Tabela Zaawansowanej Analizy Ryzyka w matrycy 3x3 (4 wektory zagrożeń, ryzyko inherentne vs. rezydualne).

5. Formalne Karty Niezgodności:

• Karta NC1 (Niezgodność Duża) - brak odporności i brak zdolności do szybkiego przywrócenia dostępności danych z backupu (art. 32 ust. 1 lit. b i c RODO, ISO 27001 A.8.13, A.8.14, A.5.29).
• Karta NC2 (Niezgodność Mała) - brak segmentacji sieci i podatna brama VPN bez MFA (ISO 27001 A.8.8, A.8.20).
• Karta OFI (Szansa na poprawę) - automatyzacja testów Disaster Recovery w odizolowanym środowisku wirtualnym.

6. Protokół dochodzenia przyczyn źródłowych (Root Cause Analysis - 5 Why).

7. Szczegółowe rozwiązanie techniczne i proceduralne:

• Projekt wdrożenia repozytorium Linux Hardened Repository z blokadą WORM na okres 30 dni, uniemożliwiającą usunięcie danych nawet przez root/admina.
• Wdrożenie mikrosegmentacji sieciowej (VLAN/firewall) całkowicie odcinającej ruch SMB do serwerów kopii zapasowych.
• Wzór formalnego zgłoszenia do Prezesa UODO oraz Zespołu Reagowania CSIRT NASK oraz wzór komunikatu kryzysowego dla pacjentów.

8. Tabela Planu Działań Korygujących (CAP) z przypisaniem ról, terminów (14-90 dni) i wskaźników KPI.

9. Analiza zalet i wad (kompromisów inżynierskich i kosztowych) proponowanych rozwiązań.

10. Bibliografia, netografia i odnośniki do norm i aktów prawnych.

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 32 ust. 1 lit. b i c (Ciągłość, odporność i szybkie przywrócenie dostępności), art. 33, art. 34.
• Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (Dz.U. z 2023 r. poz. 913 z późn. zm.) - obowiązki operatorów usług kluczowych.
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (NIS2) - zarządzanie ryzykiem cyberbezpieczeństwa w sektorze zdrowia.
• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - kontrole A.8.8 (Zarządzanie podatnościami), A.8.13 (Kopie zapasowe), A.8.14 (Redundancja), A.5.29 (Bezpieczeństwo podczas zakłóceń), A.5.30 (Gotowość ICT do ciągłości działania).
• Norma PN-EN ISO 22301:2020: Systemy zarządzania ciągłością działania.
• CSIRT NASK / CERT Polska: "Ransomware w ochronie zdrowia - poradnik dla administratorów", Warszawa 2023.

• U2 Profesjonalna identyfikacja i formalna gradacja uchybień (NC1/NC2/OFI) w obszarze ciągłości działania i cyberodporności.
• U1 Projekt architektury niezmiennych kopii zapasowych Immutable Backup oraz procedur Disaster Recovery.
• U3 Zastosowanie zaawansowanej analizy ryzyka 3x3 w ujęciu inherentnym i rezydualnym dla incydentu ransomware.
• U4 Opracowanie pełnego Planu Działań Korygujących (CAP) ze wskaźnikami KPI oraz raportu 8-12 stron.
• W1W2W3 Głęboka znajomość RODO art. 32, Ustawy o KSC, dyrektywy NIS2, norm ISO 27001/22301 i wytycznych CSIRT.
• K1K2K3 Odporność na presję szantażu, profesjonalizm w reagowaniu na incydenty i wysoka kultura referatu.

Podczas referatu seminaryjnego zademonstrujcie architekturę Immutable Backup z wykorzystaniem Linux Hardened Repository i flagi WORM oraz uzasadnijcie, dlaczego płacenie okupu grupom cyberprzestępczym jest nieskuteczne i prawnie nieakceptowalne.

Głównym celem zadania jest wykształcenie u studentów zaawansowanych umiejętności badania skomplikowanych incydentów wewnętrznych (Insider Threats / Employee Snooping) polegających na wielomiesięcznym, celowym nadużywaniu uprawnień służbowych przez pracowników instytucji finansowych w celu nieuprawnionego wglądu w dane o stanie majątkowym klientów (w świetle art. 29 i art. 32 RODO, art. 104 Prawa bankowego oraz Rekomendacji D i M KNF). Studenci badają studium przypadku Korporacyjnego Banku Inwestycyjno-Spółdzielczego w Warszawie, w którym starszy analityk kredytowy przez 14 miesięcy bez jakiegokolwiek uzasadnienia biznesowego otwierał kartoteki rachunków, historię przelewów, salda oszczędności oraz wnioski kredytowe 320 osób – w tym osób publicznie znanych (VIP), polityków, członków organów spółek giełdowych oraz swoich znajomych. Zadanie wymaga przeprowadzenia formalnej analizy ryzyka w matrycy 3x3 dla 4 wektorów zagrożeń, sporządzenia kart niezgodności (NC1/NC2/OFI) z powołaniem normy ISO/IEC 27001:2022 oraz wytycznych KNF, przeprowadzenia dochodzenia przyczyn źródłowych metodą 5 Why (Root Cause Analysis) oraz skonstruowania Planu Działań Korygujących (CAP) opartego na wdrożeniu modułu analityki behawioralnej SIEM/UEBA, procedury 'Reason for Access' oraz kontroli dostępu opartej na atrybutach (ABAC).

Powiązanie z sylabusem i treściami programowymi:

• U2 Identyfikacja i formalna gradacja uchybień (NC1/NC2/OFI) w systemie kontroli dostępu, zarządzania uprawnieniami oraz nadzoru nad logami audytowymi.
• U1 Opracowanie zaawansowanego projektu procedury Reason for Access, reguł korelacyjnych w systemie SIEM/UEBA alarmujących o wglądach bez aktywnej sprawy biznesowej oraz polityki User Access Review.
• U3 Przeprowadzenie analizy ryzyka metodą 3x3 dla szantażu, utraty tajemnicy bankowej, naruszenia zaufania publicznego i sankcji KNF/UODO.
• U4 Opracowanie ustrukturyzowanego raportu poaudytowego (8-12 stron A4) z tabelą CAP, kartami niezgodności i protokołem 5 Why oraz wygłoszenie 15-minutowego referatu seminaryjnego.
• W1 Zaawansowana znajomość przepisów Ustawy - Prawo bankowe (art. 104 i 105), Kodeksu pracy, RODO (art. 29, 32, 33, 34) oraz przepisów o przeciwdziałaniu praniu pieniędzy (AML).
• W2W3 Biegłość w stosowaniu Rekomendacji D i M KNF, normy PN-EN ISO/IEC 27001:2022 (kontrole A.8.2, A.8.3, A.8.15, A.8.16) oraz wytycznych EROD.
• K1K2K3 Bezkompromisowość wobec nadużyć wewnętrznych, rygorystyczna etyka bankowa i wysoka kultura dowodowa audytu śledczego.
• Powiązanie z wykładem: Wyk1 (Audyt w sektorze bankowym), Wyk2 (Zasady audytowania ISO 19011), Wyk3 (Kontrole dostępowe i logowanie ISO 27001), Wyk4 (RODO i Rekomendacja D KNF), Wyk5 (Risk-based audit w matrycy 3x3), Wyk6 (Analiza logów bazodanowych Oracle Audit Vault), Wyk7 (Procedura 5 Why, matryca NC1/NC2/OFI i Plan CAP).

Korporacyjny Bank Inwestycyjno-Spółdzielczy w Warszawie prowadzi działalność depozytowo-kredytową dla klientów zamożnych (Private Banking), przedsiębiorstw oraz jednostek samorządu, obsługując aktywa o wartości 12 mld zł. W banku eksploatowany jest centralny system bankowości transakcyjnej 'CoreBank-Enterprise' oparty na bazie Oracle.

Stan faktyczny w obszarze incydentu wewnętrznego i mechanizmów nadzoru:

• Starszy analityk departamentu oceny ryzyka kredytowego posiadał w systemie szeroki profil uprawnień 'Credit-SuperUser', umożliwiający wyszukanie dowolnego klienta banku w całej Polsce i wyświetlenie pełnej historii rachunków, lokat, wpływów wynagrodzeń, numerów PESEL i sald kart kredytowych.
• Incydent został ujawniony w toku zewnętrznego śledztwa prowadzonego przez Centralne Biuro Śledcze Policji (CBŚP) w sprawie próby wyłudzenia okupu od znanego warszawskiego dewelopera, u którego sprawcy dysponowali dokładnymi informacjami o zdeponowanych na rachunku 15 mln zł ze sprzedaży obligacji.
• Audyt śledczy logów dostępowych serwera aplikacyjnego i bazy danych Oracle za okres ostatnich 14 miesięcy ujawnił, że analityk kredytowy w godzinach wieczornych oraz w weekendy systematycznie wyświetlał kartoteki finansowe 320 klientów banku, z którymi nie łączyły go żadne relacje służbowe (brak przypisanych wniosków kredytowych, brak audytu transakcji).
• Wśród przeglądanych podmiotów znajdowali się: parlamentarzyści, radni m.st. Warszawy, prezesi spółek notowanych na GPW, celebryci, lekarze oraz bezpośredni sąsiedzi pracownika. Co więcej, w przypadku 45 kont analityk wykonał zrzuty ekranu i wyeksportował historię przelewów do formatu PDF.
• Dochodzenie wykazało, że system CoreBank rejestrował każde otwarcie kartoteki w tabeli audytowej `sys_access_log`, jednak w banku nie wdrożono żadnego narzędzia analitycznego SIEM/UEBA, nikt nie weryfikował zasadności wglądów ani nie konfigurował reguł alarmowych.
• W banku nie wdrożono wymogu podawania uzasadnienia biznesowego (Reason for Access) przed otwarciem kartoteki klienta, okresowe przeglądy uprawnień (User Access Review) były fikcją polegającą na automatycznym podpisywaniu list przez dyrektora departamentu, a profile uprawnień nie uwzględniały zasady segregacji obowiązków (SoD) ani zasady wiedzy koniecznej (Need-to-Know).

Zarząd Banku zwalnia dyscyplinarnie pracownika, kieruje zawiadomienie do Prokuratury, powiadamia Komisję Nadzoru Finansowego i Prezesa UODO oraz powołuje zespół audytorski w celu przeprowadzenia zaawansowanego audytu na ocenę 4.0.

W skład zespołu wchodzą studenci realizujący następujące role:

• Rola 1: Audytor Wiodący / Governance Bankowy i Nadzór KNF (Lead Auditor) - koordynuje prace zespołu, bada procedury nadawania uprawnień, zgodność z Rekomendacją D i M KNF, ład korporacyjny w zakresie bezpieczeństwa informacji oraz koordynuje strukturę referatu.
• Rola 2: Audytor Techniczny ds. Bezpieczeństwa Baz Danych i Architektury SIEM (Architekt Bezpieczeństwa) - analizuje logi audytowe Oracle Audit Vault, dekonstruuje profil 'Credit-SuperUser', projektuje wdrożenie reguł korelacyjnych w systemie SIEM oraz zaawansowanego modułu analityki behawioralnej UEBA z mechanizmem Reason for Access.
• Rola 3: Audytor Zgodności Regulacyjnej, Ryzyka i Jakości CAP (Oficer Ryzyka / Asystent IOD) - przeprowadza analizę ryzyka 3x3 dla 4 wektorów zagrożeń, sporządza formalne karty niezgodności (NC1/NC2/OFI), prowadzi procedurę 5 Why oraz konstruuje kompletną tabelę Planu CAP ze wskaźnikami KPI. W zespole 2-osobowym zadania te dzielą Studenci 1 i 2.

Zadanie realizowane jest przez 2-3 osobowy zespół audytorski w formule studium przypadku:

• Krok 1 (Podział ról w grupie audytowej):

  Student 1 (Audytor Wiodący): Bada strukturę zarządzania tożsamością i dostępem (IAM) w banku, przyczyny tolerowania szerokich uprawnień, odpowiedzialność kierownictwa za fikcyjny przegląd uprawnień oraz koordynuje przygotowanie referatu.

  Student 2 (Audytor Techniczny IT): Analizuje architekturę bazy danych i logów. Wskazuje błędy: brak dynamicznego ograniczania uprawnień (ABAC), brak integracji logów z systemem SIEM w czasie rzeczywistym. Projektuje mechanizm 'Reason for Access prompt' (wymóg wskazania numeru aktywnej sprawy kredytowej z weryfikacją w CRM) oraz reguły korelacyjne UEBA wykrywające nieuzasadnione wglądy w konta VIP i konta rodzinne.

  Student 3 (Audytor Ryzyka i CAP): Przeprowadza pełną analizę ryzyka w matrycy 3x3, sporządza karty niezgodności (NC1, NC2, OFI), przeprowadza procedurę 5 Why oraz tworzy tabelę Planu CAP ze wskaźnikami KPI i terminami 14-90 dni.

• Krok 2 (Zaawansowana analiza ryzyka metodą 3x3):

  Oszacujcie prawdopodobieństwo (P: 1-3) i skutek (S: 1-3) w skali 9-stopniowej dla 4 wektorów zagrożeń:

  1. Wykorzystanie danych majątkowych do szantażu, wymuszeń i naruszenia dóbr osobistych klientów (P=3, S=3 → R=9: Ryzyko Krytyczne; po kontrolach kompensacyjnych: P=1, S=2 → R=2: Ryzyko Niskie).

  2. Utrata statusu instytucji zaufania publicznego, odpływ depozytów i pozwy cywilne o odszkodowanie (P=3, S=3 → R=9; po kontrolach: P=1, S=2 → R=2).

  3. Sankcje nadzorcze KNF i kary administracyjne Prezesa UODO za brak nadzoru nad personelem (P=3, S=3 → R=9; po kontrolach: P=1, S=2 → R=2).

  4. Wykorzystanie informacji o płynności finansowej spółek do przestępstw giełdowych Insider Trading (P=2, S=3 → R=6; po kontrolach: P=1, S=1 → R=1).

• Krok 3 (Formalna kwalifikacja uchybień - Karty Niezgodności):

  Sformułujcie karty uchybień z podziałem na:

  • Niezgodność Duża (NC1): Przetwarzanie danych osobowych i tajemnicy bankowej bez upoważnienia administratora wskutek braku nadzoru nad uprawnieniami uprzywilejowanymi (naruszenie art. 29, art. 32 ust. 1 lit. b RODO, art. 104 Prawa bankowego oraz kontroli ISO/IEC 27001:2022 A.8.2 Rozsądny dostęp, A.8.3 Zarządzanie uprawnieniami).
  • Niezgodność Mała (NC2): Brak aktywnego monitorowania logów audytowych w systemie transakcyjnym i fikcyjne procedury User Access Review (naruszenie kontroli ISO 27001 A.8.15 Rejestrowanie zdarzeń, A.8.16 Monitorowanie aktywności oraz Rekomendacji D KNF).
  • Szansa na doskonalenie (OFI): Wdrożenie zaawansowanego modułu analityki behawioralnej użytkowników (UEBA) opartego na uczeniu maszynowym do predykcyjnego wykrywania anomalii dostępowych.
• Krok 4 (Dochodzenie przyczyn źródłowych metodą 5 Why):

  Przeprowadźcie pełną sekwencję 5 pytań dochodzeniowych:

  1. Dlaczego pracownik przeglądał salda i przelewy 320 osób bez spraw kredytowych? (Posiadał techniczne uprawnienia w systemie CoreBank pozwalające na wyszukanie dowolnego klienta).

  2. Dlaczego analityk posiadał uprawnienia do podglądu klientów spoza swojego portfela? (Profil 'Credit-SuperUser' został skopiowany z szablonu wdrożeniowego bez ograniczeń terytorialnych i kwotowych).

  3. Dlaczego przełożony nie odebrał zbędnych uprawnień podczas kwartalnych przeglądów? (Procedura User Access Review była wykonywana automatycznie bez analizy faktycznych potrzeb biznesowych).

  4. Dlaczego system nie wygenerował alertu o wielokrotnym otwieraniu kont polityków i celebrytów w weekendy? (W banku nie wdrożono reguł korelacyjnych SIEM ani modułu detekcji anomalii UEBA).

  5. Root Cause (Przyczyna źródłowa): Rażące załamanie ładu zarządzania tożsamością i dostępem (IAM), fikcyjny charakter kontroli wewnętrznej oraz zaniechanie realizacji wytycznych Rekomendacji D KNF w obszarze monitorowania wglądów w tajemnicę bankową.

• Krok 5 (Konstrukcja Planu Działań Korygujących - CAP):

  Opracujcie tabelę CAP z kolumnami: Lp., Identyfikacja niezgodności (NC1/NC2/OFI), Działanie korygujące / zapobiegawcze, Właściciel biznesowy (rola), Termin realizacji (14-90 dni), Mierzalny wskaźnik sukcesu (KPI).

• Krok 6 (Przygotowanie raportu i dokumentacji):

  Zredagujcie raport poaudytowy (8-12 stron A4) z pełnymi załącznikami i przygotujcie 15-minutową prezentację referatową.

Plan prezentacji referatu seminaryjnego (15 minut):

• Wprowadzenie do specyfiki zagrożeń wewnętrznych w sektorze bankowym i opis incydentu (3 min): Profil banku, charakter ujawnionych danych majątkowych i okoliczności ujawnienia (Student 1).
• Analiza techniczna logów bazy Oracle, mechanizmów IAM i architektury SIEM/UEBA (4 min): Wady profilu Credit-SuperUser, dekonstrukcja logów audytowych i demonstracja działania modułu Reason for Access (Student 2).
• Zaawansowana analiza ryzyka w matrycy 3x3 oraz karty niezgodności NC1/NC2/OFI (3 min): Omówienie 4 wektorów zagrożeń, wyliczenia IR i RR, wymogi Rekomendacji D KNF i art. 29 RODO (Student 3 lub Student 1).
• Prezentacja protokołu 5 Why oraz Planu Działań Korygujących CAP (3 min): Dekonstrukcja przyczyn źródłowych, tabela CAP z terminami i wskaźnikami KPI oraz procedury kontroli krzyżowych IOD (Student 2 i Student 3).
• Podsumowanie, rekomendacje dla sektora finansowego i dyskusja z komisją (2 min): Odpowiedzi na pytania prowadzącego (cały zespół).

Wymagana struktura raportu poaudytowego na ocenę 4.0 (objętość 8-12 stron A4):

1. Podsumowanie zarządcze (Executive Summary) dla Zarządu Banku, KNF i Prezesa UODO.

2. Odpowiedzi na zaawansowane pytania problemowe:

• W jaki sposób zaimplementować model kontroli dostępu opartej na atrybutach (Attribute-Based Access Control - ABAC) w systemie bankowym, aby uzależnić wgląd w kartotekę klienta od istnienia aktywnej relacji biznesowej?
• Czym charakteryzują się systemy UEBA (User and Entity Behavior Analytics) i jakie algorytmy uczenia maszynowego pozwalają na odróżnienie rutynowej pracy analityka od nieuprawnionego wglądu w dane majątkowe?
• Jakie sankcje dyscyplinarne, cywilne i karne grożą pracownikowi banku oraz członkom zarządu za naruszenie tajemnicy bankowej z art. 104 Prawa bankowego w świetle orzecznictwa sądowego?

3. Opis stanu faktycznego, wykaz nieuprawnionych wglądów i chronologia dochodzenia powypadkowego.

4. Tabela Zaawansowanej Analizy Ryzyka w matrycy 3x3 (4 wektory zagrożeń, ryzyko inherentne vs. rezydualne).

5. Formalne Karty Niezgodności:

• Karta NC1 (Niezgodność Duża) - przetwarzanie danych majątkowych bez upoważnienia (art. 29, 32 RODO, art. 104 Prawa bankowego, ISO 27001 A.8.2, A.8.3).
• Karta NC2 (Niezgodność Mała) - brak aktywnego monitorowania logów i fikcyjny przegląd uprawnień (Rekomendacja D KNF, ISO 27001 A.8.15, A.8.16).
• Karta OFI (Szansa na poprawę) - wdrożenie sztucznej inteligencji UEBA do analizy anomalii.

6. Protokół dochodzenia przyczyn źródłowych (Root Cause Analysis - 5 Why).

7. Szczegółowe rozwiązanie techniczne i proceduralne:

• Architektura mechanizmu 'Reason for Access prompt' z wymogiem powiązania sesji z otwartym wnioskiem kredytowym.
• Reguły korelacyjne w SIEM generujące natychmiastowy alert przy otwarciu kont VIP lub >20 kont w ciągu godziny.
• Wzór formalnego zgłoszenia do Prezesa UODO i Komisji Nadzoru Finansowego oraz wzór imiennego pisma do 320 klientów.

8. Tabela Planu Działań Korygujących (CAP) z przypisaniem ról, terminów (14-90 dni) i wskaźników KPI.

9. Analiza zalet i wad (kompromisów inżynierskich i operacyjnych) proponowanych rozwiązań.

10. Bibliografia, netografia i odnośniki do norm i aktów prawnych.

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 29 (Przetwarzanie z upoważnienia), art. 32 (Bezpieczeństwo przetwarzania), art. 33, art. 34.
• Ustawa z dnia 29 sierpnia 1997 r. - Prawo bankowe (Dz.U. z 2023 r. poz. 2488 z późn. zm.) - art. 104 i art. 105 (Tajemnica bankowa).
• Komisja Nadzoru Finansowego (KNF): "Rekomendacja D dotycząca zarządzania obszarami technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego w bankach", Warszawa 2013.
• Komisja Nadzoru Finansowego (KNF): "Rekomendacja M dotycząca zarządzania ryzykiem operacyjnym w bankach", Warszawa 2013.
• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - kontrole A.8.2 (Prawa dostępu uprzywilejowanego), A.8.3 (Zarządzanie uprawnieniami), A.8.15 (Rejestrowanie zdarzeń), A.8.16 (Monitorowanie aktywności).
• Europejska Rada Ochrony Danych (EROD): "Wytyczne 9/2022 w sprawie zgłaszania naruszeń ochrony danych", 2023.

• U2 Profesjonalna identyfikacja i formalna gradacja uchybień (NC1/NC2/OFI) w obszarze zagrożeń wewnętrznych w banku.
• U1 Projekt procedury Reason for Access, reguł korelacyjnych SIEM/UEBA i restrykcyjnych profili uprawnień.
• U3 Zastosowanie zaawansowanej analizy ryzyka 3x3 w odniesieniu do tajemnicy bankowej i reputacji instytucji finansowej.
• U4 Opracowanie pełnego Planu Działań Korygujących (CAP) ze wskaźnikami KPI oraz raportu 8-12 stron.
• W1W2W3 Głęboka znajomość Prawa bankowego, Rekomendacji D KNF, normy ISO 27001 i przepisów RODO.
• K1K2K3 Bezwzględna etyka bankowa, dociekliwość audytorska i wysoka kultura prezentacji.

W trakcie obrony referatu zaprezentujcie architekturę systemu UEBA wykrywającą odchylenia behawioralne od profilu bazowego (Peer Group Profiling) oraz wyjaśnijcie, w jaki sposób zaimplementować mechanizm 'Reason for Access' bez paraliżowania rutynowej pracy doradców bankowych.

Głównym celem zadania jest opanowanie przez studentów zaawansowanych umiejętności audytowania wielopodmiotowych relacji kontraktowych w łańcuchu dostawców usług cyfrowych (Vendor Risk Management) w świetle art. 28 RODO, ze szczególnym uwzględnieniem nielegalnego dalszego powierzania przetwarzania (sub-processing) oraz międzynarodowych transferów danych do państw trzecich (Rozdział V RODO). Studenci badają studium przypadku ogólnopolskiego operatora telekomunikacyjnego GlobalCom Polska S.A., którego procesor ContactCenter Sp. z o.o. samowolnie, bez pisemnej zgody administratora i bez wdrożenia Standardowych Klauzul Umownych (SCC), przekazał bazę danych 90 000 abonentów podwykonawcy w Serbii (państwo trzecie bez decyzji KE). W wyniku błędnej konfiguracji publicznego kontenera Azure Blob Storage doszło do wycieku danych abonentów, a procesor zataił incydent przed administratorem przez 10 dni. Zadanie wymaga przeprowadzenia formalnej analizy ryzyka w matrycy 3x3 dla 4 wektorów zagrożeń, sporządzenia kart niezgodności (NC1/NC2/OFI) z powołaniem normy ISO/IEC 27001:2022 oraz przepisów prawa, przeprowadzenia dochodzenia przyczyn źródłowych metodą 5 Why (Root Cause Analysis) oraz skonstruowania Planu Działań Korygujących (CAP) opartego na wdrożeniu restrykcyjnych procedur nadzoru nad łańcuchem dostaw ICT, klauzul audytowych Right to Audit oraz odizolowanych środowisk VDI.

Powiązanie z sylabusem i treściami programowymi:

• U2 Identyfikacja i formalna gradacja uchybień (NC1/NC2/OFI) w obszarze relacji z dostawcami usług ICT oraz transferu transgranicznego.
• U1 Opracowanie zaawansowanego projektu umowy DPA z klauzulami kar umownych, procedur weryfikacji podwykonawców (Vendor Due Diligence) oraz bezpiecznej architektury VDI eliminującej transfer surowych baz danych.
• U3 Przeprowadzenie analizy ryzyka metodą 3x3 w odniesieniu do kradzieży tożsamości abonentów (SIM Swap), kar administracyjnych do 20 mln EUR oraz pozwów zbiorowych na mocy art. 82 RODO.
• U4 Opracowanie ustrukturyzowanego raportu poaudytowego (8-12 stron A4) z tabelą CAP, kartami niezgodności i protokołem 5 Why oraz wygłoszenie 15-minutowego referatu seminaryjnego.
• W1 Zaawansowana znajomość przepisów RODO dotyczących relacji administrator-procesor (art. 28), transferu danych do państw trzecich (art. 44-46) oraz zasad odpowiedzialności cywilnej (art. 82).
• W2W3 Biegłość w stosowaniu normy PN-EN ISO/IEC 27001:2022 (kontrole A.5.19, A.5.20, A.5.21 Bezpieczeństwo w łańcuchu dostaw ICT), decyzji wykonawczych Komisji Europejskiej dotyczących SCC oraz wytycznych EROD 07/2020.
• K1K2K3 Niezależność audytorska w rozstrzyganiu sporów kontraktowych, odporność na presję korporacyjną i wysoka kultura dowodowa.
• Powiązanie z wykładem: Wyk1 (Audyt w łańcuchu dostaw ICT), Wyk2 (Zasady audytowania stron trzecich ISO 19011), Wyk3 (Kontrole dostawców A.5.19-A.5.21 ISO 27001), Wyk4 (RODO art. 28 i transfery międzynarodowe), Wyk5 (Risk-based audit w matrycy 3x3), Wyk6 (Analiza logów chmurowych Azure Storage), Wyk7 (Procedura 5 Why, matryca NC1/NC2/OFI i Plan CAP).

GlobalCom Polska S.A. jest jednym z wiodących operatorów telekomunikacyjnych w Polsce, obsługującym ponad 4 mln aktywnych kart SIM. Spółka zawarła umowę powierzenia przetwarzania danych (DPA) z agencją outsourcingową ContactCenter Sp. z o.o. na obsługę infolinii sprzedażowej i kampanii dosprzedażowych.

Stan faktyczny w obszarze łańcucha dostawców i incydentu:

• W umowie DPA administrator (GlobalCom) zastrzegł, że wszelkie podpowierzenie operacji przetwarzania danych wymaga uprzedniej szczegółowej zgody pisemnej administratora, a przetwarzanie danych może odbywać się wyłącznie na terytorium Europejskiego Obszaru Gospodarczego (EOG).
• W obliczu zbliżającego się końca roku zarząd ContactCenter Sp. z o.o., dążąc do zrealizowania targetów sprzedażowych, podpisał porozumienie o podwykonawstwie ze spółką Balkan-Call d.o.o. z siedzibą w Nowym Sadzie (Serbia).
• Agencja przekazała serbskiemu podwykonawcy bazę danych 90 000 aktywnych abonentów GlobalCom zawierającą: imiona, nazwiska, numery PESEL, numery telefonów, adresy zamieszkania, numery seryjne kart SIM oraz średnie miesięczne wydatki na telekomunikację.
• Transfer danych zrealizowano poprzez umieszczenie nieszyfrowanego pliku bazy danych w usłudze chmurowej Microsoft Azure Blob Storage. Pracownik serbskiego partnera omyłkowo ustawił poziom dostępu do kontenera jako 'Public read access for blobs'.
• Plik został wykryty przez automatyczne skanery cyberprzestępcze i pobrany przez nieznanych sprawców, którzy opublikowali próbkę 5 000 rekordów na rosyjskojęzycznym forum BreachForums z ofertą sprzedaży całości za kwotę 25 000 USD.
• ContactCenter Sp. z o.o. dowiedziała się o wycieku od swojego serbskiego partnera, jednak przez 10 dni zatajała ten fakt przed administratorem GlobalCom, podejmując bezskuteczne próby usunięcia linków z internetu.
• GlobalCom powziął wiedzę o wycieku dopiero po otrzymaniu oficjalnego pisma ostrzegawczego z Departamentu Cyberbezpieczeństwa CSIRT NASK.
• Pomiędzy ContactCenter a podwykonawcą serbskim nie zawarto Standardowych Klauzul Umownych UE (SCC), nie przeprowadzono analizy ryzyka prawnego transferu (Transfer Impact Assessment - TIA), a GlobalCom nigdy nie przeprowadził audytu bezpieczeństwa u swojego procesora.

Zarząd GlobalCom Polska S.A. natychmiast rozwiązuje umowę z agencją ze skutkiem natychmiastowym, składa zawiadomienie do Prokuratury i UODO oraz powołuje zespół audytorski z zadaniem przeprowadzenia zaawansowanego audytu na ocenę 4.0.

W skład zespołu wchodzą studenci realizujący następujące role:

• Rola 1: Audytor Wiodący / Prawo Kontraktowe i Vendor Management (Lead Auditor) - koordynuje prace zespołu, bada zapisy umowy głównej i DPA, analizuje bezprawne podpowierzenie, weryfikuje odpowiedzialność regresową z art. 82 RODO i koordynuje strukturę referatu.
• Rola 2: Audytor Techniczny ds. Bezpieczeństwa Chmury i Architektury VDI (Architekt Bezpieczeństwa) - analizuje konfigurację uprawnień kontenera Azure Blob Storage, logi Azure Storage Analytics, brak szyfrowania w spoczynku oraz projektuje bezpieczną architekturę dostępu do danych przez odizolowane terminale wirtualne VDI.
• Rola 3: Audytor Zgodności Regulacyjnej, Ryzyka i Jakości CAP (Oficer Ryzyka / Asystent IOD) - przeprowadza analizę ryzyka 3x3 dla 4 wektorów zagrożeń, sporządza formalne karty niezgodności (NC1/NC2/OFI), prowadzi procedurę 5 Why oraz konstruuje kompletną tabelę Planu CAP ze wskaźnikami KPI. W zespole 2-osobowym zadania te dzielą Studenci 1 i 2.

Zadanie realizowane jest przez 2-3 osobowy zespół audytorski w formule studium przypadku:

• Krok 1 (Podział ról w grupie audytowej):

  Student 1 (Audytor Wiodący): Bada relację kontraktową GlobalCom - ContactCenter, rażące naruszenie klauzuli podpowierzenia (art. 28 ust. 2 RODO), zatajenie incydentu przez procesora (art. 33 ust. 2 RODO) oraz odpowiedzialność odszkodowawczą in solidum.

  Student 2 (Audytor Techniczny IT): Analizuje architekturę chmurową Azure Blob Storage. Wykazuje błędy: brak prywatnych endpointów (Private Endpoints), brak szyfrowania po stronie klienta, brak wymuszenia tokenów SAS z krótkim czasem życia. Projektuje architekturę bezpiecznego call center opartą na Azure Virtual Desktop (AVD) z blokadą kopiowania danych i schowka.

  Student 3 (Audytor Ryzyka i CAP): Przeprowadza pełną analizę ryzyka w matrycy 3x3, sporządza karty niezgodności (NC1, NC2, OFI), przeprowadza procedurę 5 Why oraz tworzy tabelę Planu CAP ze wskaźnikami KPI i terminami 14-90 dni.

• Krok 2 (Zaawansowana analiza ryzyka metodą 3x3):

  Oszacujcie prawdopodobieństwo (P: 1-3) i skutek (S: 1-3) w skali 9-stopniowej dla 4 wektorów zagrożeń:

  1. Kradzież tożsamości, wyłudzenia duplikatów kart SIM (SIM Swap) i przejęcia rachunków bankowych abonentów (P=3, S=3 → R=9: Ryzyko Krytyczne; po kontrolach kompensacyjnych: P=1, S=2 → R=2: Ryzyko Niskie).

  2. Nałożenie administracyjnej kary pieniężnej przez Prezesa UODO za nielegalny transfer danych poza EOG (P=3, S=3 → R=9; po kontrolach: P=1, S=2 → R=2).

  3. Pozwy zbiorowe abonentów o zadośćuczynienie na podstawie art. 82 RODO przeciwko operatorowi (P=3, S=3 → R=9; po kontrolach: P=1, S=2 → R=2).

  4. Utrata reputacji rynkowej operatora telekomunikacyjnego i masowa migracja klientów do konkurencji (P=3, S=3 → R=9; po kontrolach: P=1, S=2 → R=2).

• Krok 3 (Formalna kwalifikacja uchybień - Karty Niezgodności):

  Sformułujcie karty uchybień z podziałem na:

  • Niezgodność Duża (NC1): Bezprawne podpowierzenie przetwarzania danych osobowych oraz nielegalny transfer danych poza Europejski Obszar Gospodarczy bez podstawy prawnej i bez zgody administratora (naruszenie art. 28 ust. 2, art. 44-46 RODO oraz kontroli ISO/IEC 27001:2022 A.5.19, A.5.20, A.5.21 Zarządzanie bezpieczeństwem w łańcuchu dostaw ICT).
  • Niezgodność Mała (NC2): Rażące przekroczenie terminu powiadomienia administratora o zaistniałym naruszeniu przez podmiot przetwarzający (naruszenie art. 33 ust. 2 RODO oraz kontroli ISO 27001 A.5.24).
  • Szansa na doskonalenie (OFI): Wdrożenie zautomatyzowanej platformy Vendor Management do ciągłej oceny ryzyka dostawców i monitorowania konfiguracji chmurowych (Cloud Security Posture Management - CSPM).
• Krok 4 (Dochodzenie przyczyn źródłowych metodą 5 Why):

  Przeprowadźcie pełną sekwencję 5 pytań dochodzeniowych:

  1. Dlaczego baza 90 000 abonentów wyciekła do sieci? (Plik bazy został umieszczony w publicznie dostępnym kontenerze Azure Blob podwykonawcy w Serbii).

  2. Dlaczego serbski podwykonawca dysponował pełną bazą abonentów? (Agencja ContactCenter przekazała bazę w celu realizacji kampanii sprzedażowej).

  3. Dlaczego agencja przekazała dane bez zgody GlobalCom i bez klauzul SCC? (Kierownictwo agencji dążyło do obniżenia kosztów i zignorowało zapisy umowy DPA).

  4. Dlaczego GlobalCom nie wykrył samowolnego podpowierzenia na wcześniejszym etapie? (Operator nigdy nie skorzystał z prawa do przeprowadzenia audytu dostawcy zapisanego w umowie DPA).

  5. Root Cause (Przyczyna źródłowa): Całkowity brak procesu nadzoru nad łańcuchem dostawców ICT (Vendor Risk Management), brak audytów stron trzecich oraz brak technicznych barier uniemożliwiających eksport baz danych poza infrastrukturę operatora.

• Krok 5 (Konstrukcja Planu Działań Korygujących - CAP):

  Opracujcie tabelę CAP z kolumnami: Lp., Identyfikacja niezgodności (NC1/NC2/OFI), Działanie korygujące / zapobiegawcze, Właściciel biznesowy (rola), Termin realizacji (14-90 dni), Mierzalny wskaźnik sukcesu (KPI).

• Krok 6 (Przygotowanie raportu i dokumentacji):

  Zredagujcie raport poaudytowy (8-12 stron A4) z pełnymi załącznikami i przygotujcie 15-minutową prezentację referatową.

Plan prezentacji referatu seminaryjnego (15 minut):

• Prezentacja kontekstu GlobalCom Polska i relacji z procesorem ContactCenter (3 min): Skala operatora, mechanizm nielegalnego podpowierzenia i transferu do Serbii (Student 1).
• Analiza techniczna podatności Azure Blob Storage i architektura VDI (4 min): Błędy publicznego kontenera, brak tokenów SAS, demonstracja architektury Azure Virtual Desktop z blokadą pobierania danych (Student 2).
• Zaawansowana analiza ryzyka w matrycy 3x3 oraz karty niezgodności NC1/NC2/OFI (3 min): Omówienie wektorów SIM Swap, sankcji za transfer poza EOG, odpowiedzialności solidarnej z art. 82 RODO (Student 3 lub Student 1).
• Prezentacja protokołu 5 Why oraz Planu Działań Korygujących CAP (3 min): Dochodzenie przyczyn źródłowych, tabela CAP z terminami i wskaźnikami KPI oraz procedura Vendor Risk Management (Student 2 i Student 3).
• Podsumowanie, wnioski dla sektora telekomunikacyjnego i dyskusja z komisją (2 min): Odpowiedzi na pytania prowadzącego (cały zespół).

Wymagana struktura raportu poaudytowego na ocenę 4.0 (objętość 8-12 stron A4):

1. Podsumowanie zarządcze (Executive Summary) dla Zarządu GlobalCom Polska S.A. i organów nadzorczych.

2. Odpowiedzi na zaawansowane pytania problemowe:

• Jakie warunki prawne i techniczne wynikające z orzeczenia TSUE w sprawie Schrems II (sprawa C-311/18) muszą zostać spełnione przy transferze danych osobowych do państw trzecich za pomocą Standardowych Klauzul Umownych (SCC)?
• W jaki sposób ukształtowana jest odpowiedzialność solidarna administratora i podmiotu przetwarzającego na gruncie art. 82 ust. 1-4 RODO i jakie dowody zwalniają administratora z odpowiedzialności za winę procesora?
• Czym charakteryzuje się nowoczesna procedura Vendor Due Diligence w normie ISO/IEC 27001:2022 i jak zweryfikować bezpieczeństwo chmurowe podwykonawcy przed podpisaniem umowy DPA?

3. Opis stanu faktycznego, wykaz skompromitowanych rekordów i chronologia zatajenia incydentu.

4. Tabela Zaawansowanej Analizy Ryzyka w matrycy 3x3 (4 wektory zagrożeń, ryzyko inherentne vs. rezydualne).

5. Formalne Karty Niezgodności:

• Karta NC1 (Niezgodność Duża) - bezprawne podpowierzenie i transfer do Serbii bez SCC (art. 28 ust. 2, art. 44-46 RODO, ISO 27001 A.5.19, A.5.20, A.5.21).
• Karta NC2 (Niezgodność Mała) - 10-dniowe opóźnienie w zgłoszeniu incydentu przez procesora (art. 33 ust. 2 RODO, ISO 27001 A.5.24).
• Karta OFI (Szansa na poprawę) - wdrożenie platformy CSPM i okresowych testów penetracyjnych dostawców.

6. Protokół dochodzenia przyczyn źródłowych (Root Cause Analysis - 5 Why).

7. Szczegółowe rozwiązanie techniczne i proceduralne:

• Wzorcowy regulamin weryfikacji i audytowania dostawców ICT (Vendor Risk Management Policy).
• Architektura odizolowanego środowiska Azure Virtual Desktop z całkowitą blokadą pobierania plików, drukowania i schowka dla zewnętrznych call center.
• Wzór formalnego zgłoszenia do Prezesa UODO oraz wzór zawiadomienia 90 000 abonentów z ostrzeżeniem przed atakami SIM Swap.

8. Tabela Planu Działań Korygujących (CAP) z przypisaniem ról, terminów (14-90 dni) i wskaźników KPI.

9. Analiza zalet i wad (kompromisów inżynierskich i kontraktowych) proponowanych rozwiązań.

10. Bibliografia, netografia i odnośniki do norm i aktów prawnych.

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 28 (Podmiot przetwarzający), art. 33 ust. 2 (Zgłaszanie naruszeń przez procesora), Rozdział V art. 44-46 (Przekazywanie do państw trzecich), art. 82 (Odpowiedzialność odszkodowawcza).
• Decyzja wykonawcza Komisji (UE) 2021/914 w sprawie standardowych klauzul umownych (SCC).
• Wyrok Trybunału Sprawiedliwości UE z dnia 16 lipca 2020 r. w sprawie C-311/18 (Data Protection Commissioner przeciwko Facebook Ireland Ltd i Maximillian Schrems - Schrems II).
• Europejska Rada Ochrony Danych (EROD): "Wytyczne 07/2020 w sprawie pojęć administratora i podmiotu przetwarzającego", wersja 2.1, 2021.
• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - kontrole A.5.19 (Bezpieczeństwo w relacjach z dostawcami), A.5.20 (Uwzględnianie bezpieczeństwa w umowach), A.5.21 (Zarządzanie bezpieczeństwem w łańcuchu dostaw ICT).

• U2 Profesjonalna identyfikacja i formalna gradacja uchybień (NC1/NC2/OFI) w obszarze zarządzania dostawcami i transferów międzynarodowych.
• U1 Projekt procedury audytu dostawców, wzorcowych umów DPA i bezpiecznej architektury VDI.
• U3 Zastosowanie zaawansowanej analizy ryzyka 3x3 w odniesieniu do ataków SIM Swap i odpowiedzialności solidarnej.
• U4 Opracowanie pełnego Planu Działań Korygujących (CAP) ze wskaźnikami KPI oraz raportu 8-12 stron.
• W1W2W3 Głęboka znajomość RODO art. 28, 44-46, 82, wyroku Schrems II, decyzji KE o SCC i normy ISO 27001.
• K1K2K3 Obiektywizm audytorski w rozstrzyganiu sporów kontraktowych i wysoka kultura obrony koncepcji.

Podczas referatu seminaryjnego przedstawcie schemat prawny i techniczny transferu danych w łańcuchu Administrator-Procesor-Podprocesor oraz wyjaśnijcie, w jaki sposób architektura VDI eliminuje fizyczny transfer danych do państwa trzeciego.

Głównym celem zadania jest wykształcenie u studentów zaawansowanych umiejętności audytowania procesów publikacyjnych w urzędowych publikatorach cyfrowych (Biuletyn Informacji Publicznej - BIP) ze szczególnym uwzględnieniem technicznych błędów pozornej anonimizacji dokumentów elektronicznych oraz kolizji pomiędzy jawnością działania organów władzy a ochroną prywatności obywateli (w świetle art. 5 ust. 1 lit. c i f, art. 32 oraz art. 34 RODO). Studenci badają incydent w Urzędzie Miasta i Gminy Wieliczka, w którym opublikowano uchwałę budżetową z załącznikami dotyczącymi umorzeń podatków od nieruchomości i opłat śmieciowych dla 620 mieszkańców. Pracownik urzędu nałożył na dokument cyfrowy czarne paski graficzne w prostym programie graficznym, pozostawiając nienaruszoną warstwę tekstową OCR pod spodem, co umożliwiło skopiowanie pełnych danych (imiona, nazwiska, numery PESEL, adresy, numery ksiąg wieczystych i kwoty długów) za pomocą kombinacji Ctrl+C lub przez roboty indeksujące Google. Zadanie wymaga przeprowadzenia formalnej analizy ryzyka w matrycy 3x3 dla 4 wektorów zagrożeń, sporządzenia kart niezgodności (NC1/NC2/OFI) z powołaniem normy ISO/IEC 27001:2022 oraz przepisów prawa, przeprowadzenia dochodzenia przyczyn źródłowych metodą 5 Why (Root Cause Analysis) oraz skonstruowania Planu Działań Korygujących (CAP) obejmującego wdrożenie procedury 'zasady czterech oczu', profesjonalnych narzędzi Permanent Redaction oraz procedury czyszczenia pamięci podręcznej wyszukiwarek (Cache Purge).

Powiązanie z sylabusem i treściami programowymi:

• U2 Identyfikacja i formalna gradacja uchybień (NC1/NC2/OFI) w systemie publikacji elektronicznej administracji samorządowej.
• U1 Opracowanie zaawansowanego projektu procedury weryfikacji i trwałej redakcji cyfrowej dokumentów PDF (Permanent Redaction), instrukcji redakcyjnej BIP oraz zarządzania pamięcią podręczną wyszukiwarek.
• U3 Przeprowadzenie analizy ryzyka metodą 3x3 dla masowej kradzieży tożsamości, wyłudzeń kredytów na PESEL i naruszenia dóbr osobistych mieszkańców.
• U4 Opracowanie ustrukturyzowanego raportu poaudytowego (8-12 stron A4) z tabelą CAP, kartami niezgodności i protokołem 5 Why oraz wygłoszenie 15-minutowego referatu seminaryjnego.
• W1 Zaawansowana znajomość relacji pomiędzy RODO a Ustawą o dostępie do informacji publicznej, Ustawą o samorządzie gminnym oraz przepisami Kodeksu postępowania administracyjnego.
• W2W3 Biegłość w stosowaniu normy PN-EN ISO/IEC 27001:2022 (kontrole A.8.11 Maskowanie danych, A.5.15 Kontrola dostępu), orzecznictwa NSA i WSA oraz wytycznych Prezesa UODO dotyczących BIP.
• K1K2K3 Poszanowanie godności i prywatności mieszkańców, obiektywizm audytora samorządowego i wysoka kultura prawna.
• Powiązanie z wykładem: Wyk1 (Audyt w administracji samorządowej), Wyk2 (Zasady audytowania procedur urzędowych), Wyk3 (Kontrola A.8.11 Maskowanie danych ISO 27001), Wyk4 (RODO a jawność życia publicznego), Wyk5 (Risk-based audit w matrycy 3x3), Wyk6 (Analiza logów serwerów WWW i pamięci Google Cache), Wyk7 (Procedura 5 Why, matryca NC1/NC2/OFI i Plan CAP).

Urząd Miasta i Gminy Wieliczka prowadzi urzędowy Biuletyn Informacji Publicznej (BIP), w którym udostępniane są akty prawa miejscowego, protokoły sesji Rady Miejskiej oraz rejestry umów.

Stan faktyczny w obszarze publikacji BIP i incydentu:

• Rada Miejska podjęła uchwałę w sprawie restrukturyzacji zadłużenia mieszkańców z tytułu podatku od nieruchomości i opłat za odpady komunalne. Do uchwały sporządzono szczegółowy załącznik zawierający wykaz 620 mieszkańców objętych ulgami.
• Młodszy inspektor ds. obsługi organów gminy otrzymał polecenie 'zanonimizowania załącznika i wstawienia go do BIP'.
• Pracownik otworzył wielostronicowy dokument PDF w darmowym programie graficznym i za pomocą narzędzia 'pędzel/prostokąt' zamalował czarnym kolorem kolumny zawierające imiona, nazwiska, numery PESEL, adresy zamieszkania, numery ksiąg wieczystych i kwoty zadłużenia.
• W rzeczywistości zabieg ten stworzył jedynie czarne prostokąty w warstwie graficznej (View Layer), natomiast cała warstwa tekstowa generowana przez moduł OCR (Optical Character Recognition) oraz metadane dokumentu pozostały nienaruszone.
• Plik PDF o nazwie `uchwala_podatkowa_zalacznik_anonim.pdf` został opublikowany w BIP i pozostawał dostępny publicznie przez 32 dni. Każdy użytkownik mógł zaznaczyć 'czarne paski', skopiować tekst do schowka (Ctrl+C) i wkleić do notatnika jawne numery PESEL i dane wrażliwe mieszkańców.
• Co gorsza, roboty indeksujące wyszukiwarki Google i Bing zaindeksowały warstwę OCR, w wyniku czego po wpisaniu w wyszukiwarkę nazwiska mieszkańca i słowa 'Wieliczka' w wynikach wyszukiwania pojawiały się fragmenty uchwały z jawnym adresem i kwotą długu.
• Do urzędu wpłynęły skargi od zbulwersowanych mieszkańców, u których banki i firmy pożyczkowe odnotowały próby wyłudzenia kredytów z wykorzystaniem ujawnionych numerów PESEL.
• Dochodzenie audytowe wykazało, że w urzędzie nie było formalnej instrukcji redakcyjnej BIP, nikt nie weryfikował pracy młodszego inspektora (brak zasady czterech oczu), urzędnicy nie dysponowali licencjami na profesjonalne programy do redakcji cyfrowej (Redaction Tools), a Inspektor Ochrony Danych nie brał udziału w procedurze publikacyjnej.

Burmistrz Miasta i Gminy Wieliczka powołuje zespół audytorski w celu ustalenia odpowiedzialności, sformułowania notyfikacji do Prezesa UODO i zawiadomień mieszkańców oraz opracowania całościowego Planu Działań Korygujących.

W skład zespołu wchodzą studenci realizujący następujące role:

• Rola 1: Audytor Wiodący / Prawo Samorządowe i Dostęp do Informacji Publicznej (Lead Auditor) - koordynuje prace zespołu, bada procedury kancelaryjne, analizuje konflikt ustawy o dostępie do informacji publicznej z RODO i koordynuje strukturę referatu.
• Rola 2: Audytor Techniczny ds. Bezpieczeństwa Informacji Cyfrowej i SEO (Architekt Bezpieczeństwa) - analizuje strukturę obiektową plików PDF, warstwę OCR i metadane, procedurę natychmiastowego usunięcia kopii z Google Cache (Google Search Console Removal Tool) oraz projektuje architekturę narzędzi Permanent Redaction.
• Rola 3: Audytor Zgodności Regulacyjnej, Ryzyka i Jakości CAP (Oficer Ryzyka / Asystent IOD) - przeprowadza analizę ryzyka 3x3 dla 4 wektorów zagrożeń, sporządza formalne karty niezgodności (NC1/NC2/OFI), prowadzi procedurę 5 Why oraz konstruuje kompletną tabelę Planu CAP ze wskaźnikami KPI. W zespole 2-osobowym zadania te dzielą Studenci 1 i 2.

Zadanie realizowane jest przez 2-3 osobowy zespół audytorski w formule studium przypadku:

• Krok 1 (Podział ról w grupie audytowej):

  Student 1 (Audytor Wiodący): Bada organizację biura rady miejskiej, brak procedury weryfikacji publikacji BIP, analizuje orzecznictwo sądów administracyjnych dotyczące granic jawności załączników finansowych oraz koordynuje referat.

  Student 2 (Audytor Techniczny IT): Analizuje technologię formatu PDF (podział na strumienie obiektów Content Streams, XObjects i Text Elements). Wykazuje, że nałożenie warstwy graficznej nie usuwa tekstu pod spodem. Opracowuje specyfikację wdrożenia narzędzi typu Adobe Acrobat Pro Redaction Tool, które fizycznie wycinają bajty danych ze strumienia pliku, usuwają metadane XMP i spłaszczają dokument (Flattening).

  Student 3 (Audytor Ryzyka i CAP): Przeprowadza pełną analizę ryzyka w matrycy 3x3, sporządza karty niezgodności (NC1, NC2, OFI), przeprowadza procedurę 5 Why oraz tworzy tabelę Planu CAP ze wskaźnikami KPI i terminami 14-90 dni.

• Krok 2 (Zaawansowana analiza ryzyka metodą 3x3):

  Oszacujcie prawdopodobieństwo (P: 1-3) i skutek (S: 1-3) w skali 9-stopniowej dla 4 wektorów zagrożeń:

  1. Wyłudzenia kredytów i kradzież tożsamości z wykorzystaniem numerów PESEL 620 mieszkańców (P=3, S=3 → R=9: Ryzyko Krytyczne; po kontrolach kompensacyjnych: P=1, S=2 → R=2: Ryzyko Niskie).

  2. Naruszenie dóbr osobistych, stygmatyzacja majątkowa i pozwy cywilne o odszkodowanie przeciwko gminie (P=3, S=3 → R=9; po kontrolach: P=1, S=2 → R=2).

  3. Trwałe utrwalenie danych mieszkańców w pamięci podręcznej Google Cache i archiwach internetowych (P=3, S=2 → R=6; po kontrolach: P=1, S=1 → R=1).

  4. Kary administracyjne Prezesa UODO dla jednostki samorządu terytorialnego (P=3, S=2 → R=6; po kontrolach: P=1, S=1 → R=1).

• Krok 3 (Formalna kwalifikacja uchybień - Karty Niezgodności):

  Sformułujcie karty uchybień z podziałem na:

  • Niezgodność Duża (NC1): Rażące naruszenie zasady minimalizacji danych i poufności w kanale publikacyjnym urzędu wskutek zastosowania pozornej anonimizacji pliku PDF (naruszenie art. 5 ust. 1 lit. c i f, art. 32 RODO oraz kontroli ISO/IEC 27001:2022 A.8.11 Maskowanie danych).
  • Niezgodność Mała (NC2): Brak sformalizowanej procedury kontroli publikacji w BIP i brak 'zasady czterech oczu' (naruszenie kontroli ISO 27001 A.5.15).
  • Szansa na doskonalenie (OFI): Wdrożenie automatycznego modułu skanowania antywyciekowego w systemie CMS BIP, który przed publikacją pliku sprawdza obecność numerów PESEL za pomocą wyrażeń regularnych (RegEx).
• Krok 4 (Dochodzenie przyczyn źródłowych metodą 5 Why):

  Przeprowadźcie pełną sekwencję 5 pytań dochodzeniowych:

  1. Dlaczego numery PESEL i dane dłużników były dostępne w internecie? (Warstwa tekstowa OCR pod czarnymi paskami w pliku PDF była w pełni czytelna).

  2. Dlaczego pracownik zamalował tekst w edytorze graficznym zamiast dokonać trwałej redakcji? (Nie posiadał specjalistycznego oprogramowania ani wiedzy o budowie plików PDF).

  3. Dlaczego urząd nie zakupił profesjonalnych narzędzi do anonimizacji dokumentów PDF? (Kierownictwo urzędu uznało darmowe programy za wystarczające do celów biurowych).

  4. Dlaczego nikt nie sprawdził pliku przed kliknięciem 'Publikuj w BIP'? (W urzędzie nie obowiązywała procedura podwójnej weryfikacji ani akceptacji przez IOD).

  5. Root Cause (Przyczyna źródłowa): Brak świadomości technologicznej w zakresie formatów plików cyfrowych, brak inwestycji w profesjonalne narzędzia ochrony danych oraz brak instrukcji redagowania Biuletynu Informacji Publicznej.

• Krok 5 (Konstrukcja Planu Działań Korygujących - CAP):

  Opracujcie tabelę CAP z kolumnami: Lp., Identyfikacja niezgodności (NC1/NC2/OFI), Działanie korygujące / zapobiegawcze, Właściciel biznesowy (rola), Termin realizacji (14-90 dni), Mierzalny wskaźnik sukcesu (KPI).

• Krok 6 (Przygotowanie raportu i dokumentacji):

  Zredagujcie raport poaudytowy (8-12 stron A4) z pełnymi załącznikami i przygotujcie 15-minutową prezentację referatową.

Plan prezentacji referatu seminaryjnego (15 minut):

• Wprowadzenie do problematyki jawności BIP a ochrony danych w gminie Wieliczka (3 min): Opis incydentu, skala publikacji danych dłużników i chronologia zdarzenia (Student 1).
• Analiza techniczna formatu PDF, pozornej anonimizacji i mechanizmów indeksowania Google (4 min): Różnica między warstwą View a OCR, demonstracja wyciągania tekstu i technologia Permanent Redaction (Student 2).
• Zaawansowana analiza ryzyka w matrycy 3x3 oraz karty niezgodności NC1/NC2/OFI (3 min): Omówienie 4 wektorów zagrożeń, wyliczenia IR i RR, granice ustawy o dostępie do informacji publicznej (Student 3 lub Student 1).
• Prezentacja protokołu 5 Why oraz Planu Działań Korygujących CAP (3 min): Dochodzenie przyczyn źródłowych, tabela CAP z terminami i wskaźnikami KPI oraz procedura zasady czterech oczu (Student 2 i Student 3).
• Podsumowanie, rekomendacje dla administracji samorządowej i dyskusja z komisją (2 min): Odpowiedzi na pytania prowadzącego (cały zespół).

Wymagana struktura raportu poaudytowego na ocenę 4.0 (objętość 8-12 stron A4):

1. Podsumowanie zarządcze (Executive Summary) dla Burmistrza, Sekretarza Gminy i IOD.

2. Odpowiedzi na zaawansowane pytania problemowe:

• W jaki sposób struktura wewnętrzna formatu PDF (strumienie obiektów, metadane XMP, warstwy OCR) decyduje o nieskuteczności prostego zaczernienia tekstu i jakie standardy techniczne definiują poprawną anonimizację (ISO 14289 / PDF/UA)?
• Jak przeprowadzić awaryjną procedurę wyindeksowania i usunięcia kopii pamięci podręcznej z wyszukiwarki Google (narzędzie Google Search Console URL Removal) w przypadku publikacji danych wrażliwych w BIP?
• W jaki sposób sformułować zarządzenie wójta/burmistrza wprowadzające procedurę 'zasady czterech oczu' przy publikacji dokumentów urzędowych, aby zapewnić pełną rozliczalność procesu?

3. Opis stanu faktycznego, wykaz kategorii ujawnionych danych i czas ekspozycji pliku w BIP.

4. Tabela Zaawansowanej Analizy Ryzyka w matrycy 3x3 (4 wektory zagrożeń, ryzyko inherentne vs. rezydualne).

5. Formalne Karty Niezgodności:

• Karta NC1 (Niezgodność Duża) - pozorna anonimizacja i publikacja danych dłużników w BIP (art. 5 ust. 1 lit. c i f, art. 32 RODO, ISO 27001 A.8.11).
• Karta NC2 (Niezgodność Mała) - brak procedury kontroli publikacji i zasady czterech oczu (ISO 27001 A.5.15).
• Karta OFI (Szansa na poprawę) - automatyczny skaner RegEx weryfikujący obecność numerów PESEL w CMS BIP.

6. Protokół dochodzenia przyczyn źródłowych (Root Cause Analysis - 5 Why).

7. Szczegółowe rozwiązanie techniczne i proceduralne:

• Wzorcowa instrukcja redakcyjna Biuletynu Informacji Publicznej z kartą kontroli publikacji.
• Wymogi techniczne dla certyfikowanego oprogramowania do trwałej redakcji dokumentów (Permanent Redaction Tool).
• Wzór formalnego zgłoszenia do Prezesa UODO oraz wzór imiennego pisma do 620 mieszkańców z instrukcją zastrzeżenia numeru PESEL w rejestrze państwowym.

8. Tabela Planu Działań Korygujących (CAP) z przypisaniem ról, terminów (14-90 dni) i wskaźników KPI.

9. Analiza zalet i wad (kompromisów inżynierskich i organizacyjnych) proponowanych rozwiązań.

10. Bibliografia, netografia i odnośniki do norm i aktów prawnych.

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 5 ust. 1 lit. c (Minimalizacja danych), art. 5 ust. 1 lit. f (Poufność), art. 32, art. 33, art. 34.
• Ustawa z dnia 6 września 2001 r. o dostępie do informacji publicznej (Dz.U. z 2022 r. poz. 902 z późn. zm.) - art. 5 ust. 2 (Prywatność osób fizycznych).
• Ustawa z dnia 8 marca 1990 r. o samorządzie gminnym (Dz.U. z 2023 r. poz. 40 z późn. zm.).
• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - kontrole A.8.11 (Maskowanie danych), A.5.15 (Kontrola dostępu).
• Urząd Ochrony Danych Osobowych: "Biuletyn Informacji Publicznej a ochrona danych osobowych - poradnik dla podmiotów publicznych", Warszawa 2021.
• Wyrok Naczelnego Sądu Administracyjnego z dnia 14 marca 2018 r. (sygn. akt I OSK 2412/17).

• U2 Profesjonalna identyfikacja i formalna gradacja uchybień (NC1/NC2/OFI) w obszarze publikacji BIP i anonimizacji cyfrowej.
• U1 Projekt procedury trwałej redakcji PDF, instrukcji redakcyjnej BIP i zarządzania pamięcią Google Cache.
• U3 Zastosowanie zaawansowanej analizy ryzyka 3x3 w odniesieniu do masowej ekspozycji numerów PESEL.
• U4 Opracowanie pełnego Planu Działań Korygujących (CAP) ze wskaźnikami KPI oraz raportu 8-12 stron.
• W1W2W3 Głęboka znajomość RODO, ustawy o dostępie do informacji publicznej, normy ISO 27001 i orzecznictwa sądów.
• K1K2K3 Poszanowanie prywatności obywateli, wysoka kultura urzędnicza i odpowiedzialność za słowo.

W trakcie wystąpienia seminaryjnego zademonstrujcie na żywo różnicę pomiędzy pozornym zamazaniem tekstu w edytorze a profesjonalną funkcją Redaction w Adobe Acrobat Pro oraz wyjaśnijcie działanie narzędzia do usuwania adresów URL w Google Search Console.

Głównym celem zadania jest opanowanie przez studentów zaawansowanych umiejętności audytowania procesów zarządzania cyklem życia aktywów teleinformatycznych (IT Asset Disposal - ITAD), procedur wycofywania z eksploatacji, bezpiecznego usuwania danych (Data Sanitization) oraz komisyjnej likwidacji nośników pamięci (w świetle art. 32 RODO oraz międzynarodowego standardu NIST SP 800-88 Rev. 1). Studenci badają studium przypadku ogólnopolskiej korporacji transportowej Trans-Logistics S.A., w której podczas wymiany floty komputerowej zaginęła paleta transportowa zawierająca 85 laptopów poleasingowych przekazanych firmie recyklingowej bez uprzedniego wymazania dysków SSD NVMe i magnetycznych HDD oraz bez wdrożonego szyfrowania dysków BitLocker. Na dyskach znajdowały się dane 4 500 kierowców (PESEL, dowody osobiste, konta bankowe, zaświadczenia o niekaralności), umowy handlowe z 15 000 klientów oraz niezabezpieczone hasła dostępowe do centralnego systemu spedycyjnego zapisane w przeglądarkach. Zadanie wymaga przeprowadzenia formalnej analizy ryzyka w matrycy 3x3 dla 4 wektorów zagrożeń, sporządzenia kart niezgodności (NC1/NC2/OFI) z powołaniem normy ISO/IEC 27001:2022 oraz standardu NIST 800-88, przeprowadzenia dochodzenia przyczyn źródłowych metodą 5 Why (Root Cause Analysis) oraz skonstruowania Planu Działań Korygujących (CAP) obejmującego stworzenie stacji laboratoryjnej do certyfikowanej sanityzacji nośników, wdrożenie centralnego szyfrowania BitLocker TPM oraz procedury komisyjnego nadzoru nad recyklingiem.

Powiązanie z sylabusem i treściami programowymi:

• U2 Identyfikacja i formalna gradacja uchybień (NC1/NC2/OFI) w obszarze zarządzania aktywami IT, nośnikami pamięci masowej i łańcuchem utylizacji.
• U1 Opracowanie zaawansowanego projektu procedury IT Asset Disposal zgodnej ze standardem NIST SP 800-88 (poziomy Clear, Purge, Destroy), wdrożenia centralnego BitLocker FDE z kluczami TPM oraz procedur komisyjnego zniszczenia.
• U3 Przeprowadzenie analizy ryzyka metodą 3x3 dla masowej kradzieży tożsamości kierowców, kompromitacji sieci korporacyjnej przez skradzione hasła oraz kar administracyjnych UODO.
• U4 Opracowanie ustrukturyzowanego raportu poaudytowego (8-12 stron A4) z tabelą CAP, kartami niezgodności i protokołem 5 Why oraz wygłoszenie 15-minutowego referatu seminaryjnego.
• W1 Zaawansowana znajomość wymogów RODO w sferze nośników fizycznych (art. 32), odpowiedzialności za wybór podwykonawców (art. 28) oraz praw pracowników i kontrahentów.
• W2W3 Biegłość w stosowaniu wytycznych NIST SP 800-88 Rev. 1, normy IEEE 2883-2022, normy PN-EN ISO/IEC 27001:2022 (kontrole A.8.10 Usuwanie danych, A.8.14 Bezpieczne pozbywanie się sprzętu, A.8.24 Krypto-zabezpieczenia) oraz wytycznych EROD.
• K1K2K3 Poczucie odpowiedzialności za cykl życia sprzętu, rzetelność audytorska w ocenie procedur logistycznych i etyka postępowania.
• Powiązanie z wykładem: Wyk1 (Audyt w korporacji logistycznej), Wyk2 (Zasady audytowania inwentaryzacji sprzętu), Wyk3 (Kontrole A.8.10 i A.8.14 ISO 27001), Wyk4 (RODO i odpowiedzialność za sprzęt), Wyk5 (Risk-based audit w matrycy 3x3), Wyk6 (Analiza numerów seryjnych i protokołów KPO), Wyk7 (Procedura 5 Why, matryca NC1/NC2/OFI i Plan CAP).

Trans-Logistics S.A. jest jednym z największych operatorów logistycznych w Europie Środkowej, zatrudniającym 6 000 pracowników i współpracującym z 4 500 kierowcami na kontraktach B2B. Dział IT spółki w ramach 3-letniego cyklu wymiany sprzętu podjął decyzję o wycofaniu 85 laptopów Lenovo ThinkPad użytkowanych przez dyspozytorów transportu w 12 oddziałach regionalnych.

Stan faktyczny w obszarze wycofania sprzętu i zaistniałego incydentu:

• Sprzęt zwieziono do magazynu centralnego w Strykowie, skąd po spakowaniu na europaletę nadano go przesyłką drobnicową do firmy złomowej 'Metal-Recykling' w celu utylizacji.
• Przesyłka paletowa zaginęła podczas przeładunku w węźle logistycznym. Wewnętrzne śledztwo wykazało kradzież z udziałem zorganizowanej grupy przestępczej specjalizującej się w kradzieżach elektroniki poleasingowej.
• Audyt doraźny ujawnił, że pracownicy Działu Wsparcia IT przed spakowaniem laptopów nie dokonali żadnego czyszczenia dysków twardych – ani wymazania programowego, ani demontażu fizycznego.
• Co gorsza, na laptopach nie było wdrożonego pełnego szyfrowania dysków (BitLocker FDE), a komputery posiadały sprawne dyski NVMe SSD o pojemności 512 GB z zainstalowanym systemem operacyjnym Windows.
• Na dyskach znajdowały się: pełna baza 4 500 kierowców (skany dowodów osobistych, numery PESEL, numery prawa jazdy z kodem 95, numery rachunków bankowych, zaświadczenia o niekaralności z KRK), baza 15 000 klientów z umowami handlowymi i cennikami, a także wyeksportowane lokalnie bazy aplikacji dyspozytorskiej.
• Ponadto na 18 laptopach analitycy bezpieczeństwa po analizie obrazów wzorcowych potwierdzili obecność zapisanych w pamięci przeglądarek Chrome poświadczeń administracyjnych (hasła i tokeny sesyjne) do centralnego portalu zarządzania flotą i bazy CRM.
• Umowa z firmą 'Metal-Recykling' była standardowym zleceniem odbioru odpadów o kodzie 16 02 14 i nie zawierała żadnej umowy powierzenia DPA, klauzul poufności ani wymogu certyfikowanego niszczenia nośników.

Zarząd Trans-Logistics S.A. powołuje zespół audytorów śledczych w celu ustalenia ryzyka kompromitacji infrastruktury, zgłoszenia naruszenia do Prezesa UODO i zawiadomienia kierowców oraz opracowania całościowego Planu Działań Korygujących.

W skład zespołu wchodzą studenci realizujący następujące role:

• Rola 1: Audytor Wiodący / Zarządzanie Aktywami IT i Łańcuch Dostaw (Lead Auditor) - koordynuje prace zespołu, bada procedury inwentaryzacyjne, umowy z firmami utylizacyjnymi, ład korporacyjny w IT i koordynuje strukturę referatu.
• Rola 2: Audytor Techniczny ds. Bezpieczeństwa Nośników i Sanityzacji Danych (Architekt Bezpieczeństwa) - analizuje specyfikę usuwania danych z dysków półprzewodnikowych NVMe SSD wg standardu NIST SP 800-88 Rev. 1 (komendy ATA/NVMe Secure Erase vs. Cryptographic Erase), weryfikuje brak BitLocker TPM i projektuje architekturę stacji laboratoryjnej ITAD.
• Rola 3: Audytor Zgodności Regulacyjnej, Ryzyka i Jakości CAP (Oficer Ryzyka / Asystent IOD) - przeprowadza analizę ryzyka 3x3 dla 4 wektorów zagrożeń, sporządza formalne karty niezgodności (NC1/NC2/OFI), prowadzi procedurę 5 Why oraz konstruuje kompletną tabelę Planu CAP ze wskaźnikami KPI. W zespole 2-osobowym zadania te dzielą Studenci 1 i 2.

Zadanie realizowane jest przez 2-3 osobowy zespół audytorski w formule studium przypadku:

• Krok 1 (Podział ról w grupie audytowej):

  Student 1 (Audytor Wiodący): Bada procedury likwidacji majątku IT w spółce, brak nadzoru nad przekazywaniem nośników z danymi na zewnątrz, brak umowy DPA z odbiorcą odpadów oraz koordynuje referat.

  Student 2 (Audytor Techniczny IT): Analizuje standard NIST SP 800-88 Rev. 1 oraz IEEE 2883-2022. Wykazuje, dlaczego zwykły format dysku SSD nie usuwa danych z komórek Flash (mechanizm Wear Leveling i Overprovisioning). Projektuje procedurę Cryptographic Erase i NVMe Format oraz wdrożenie centralnego BitLocker (XTS-AES 256) z TPM 2.0 na 100% stacji roboczych.

  Student 3 (Audytor Ryzyka i CAP): Przeprowadza pełną analizę ryzyka w matrycy 3x3, sporządza karty niezgodności (NC1, NC2, OFI), przeprowadza procedurę 5 Why oraz tworzy tabelę Planu CAP ze wskaźnikami KPI i terminami 14-90 dni.

• Krok 2 (Zaawansowana analiza ryzyka metodą 3x3):

  Oszacujcie prawdopodobieństwo (P: 1-3) i skutek (S: 1-3) w skali 9-stopniowej dla 4 wektorów zagrożeń:

  1. Masowa kradzież tożsamości i wyłudzenia kredytów na numery PESEL i dowody 4 500 kierowców (P=3, S=3 → R=9: Ryzyko Krytyczne; po kontrolach kompensacyjnych: P=1, S=2 → R=2: Ryzyko Niskie).

  2. Kompromitacja centralnych systemów spedycyjnych przez przejęcie haseł i tokenów z dysków (P=3, S=3 → R=9; po kontrolach: P=1, S=2 → R=2).

  3. Wyciek tajemnicy przedsiębiorstwa, stawek frachtowych i umów handlowych do konkurencji (P=3, S=3 → R=9; po kontrolach: P=1, S=1 → R=1).

  4. Kary administracyjne Prezesa UODO za brak szyfrowania i brak nadzoru nad nośnikami (P=3, S=3 → R=9; po kontrolach: P=1, S=2 → R=2).

• Krok 3 (Formalna kwalifikacja uchybień - Karty Niezgodności):

  Sformułujcie karty uchybień z podziałem na:

  • Niezgodność Duża (NC1): Brak wdrożenia procedur bezpiecznego usuwania i niszczenia danych na wycofywanych nośnikach teleinformatycznych przed przekazaniem sprzętu podmiotom zewnętrznym (naruszenie art. 32 RODO oraz kontroli ISO/IEC 27001:2022 A.8.10 Usuwanie danych, A.8.14 Bezpieczne pozbywanie się lub ponowne użycie sprzętu).
  • Niezgodność Mała (NC2): Brak wdrożenia pełnego szyfrowania dysków (BitLocker FDE) na laptopach służbowych (naruszenie art. 32 ust. 1 lit. a RODO oraz kontroli ISO 27001 A.8.24).
  • Szansa na doskonalenie (OFI): Wdrożenie zautomatyzowanego systemu zarządzania aktywami IT (ITAM) zintegrowanego z generatorem kryptograficznych certyfikatów zniszczenia danych.
• Krok 4 (Dochodzenie przyczyn źródłowych metodą 5 Why):

  Przeprowadźcie pełną sekwencję 5 pytań dochodzeniowych:

  1. Dlaczego skradzione laptopy zawierały jawne dane 4 500 kierowców? (Dyski twarde nie zostały wyczyszczone przed spakowaniem na paletę).

  2. Dlaczego pracownicy IT nie wyczyścili dysków? (Nie posiadali procedury nakazującej sanityzację ani narzędzi do masowego wymazywania dysków NVMe).

  3. Dlaczego złodzieje mogli odczytać dane z dysków bez znajomości haseł użytkowników? (Na komputerach nie włączono szyfrowania dysków BitLocker).

  4. Dlaczego laptopy wydano firmie złomowej bez protokołu weryfikacji nośników? (Dział IT traktował wycofany sprzęt jako odpad komunalny/złom, a nie jako nośnik poufnych informacji).

  5. Root Cause (Przyczyna źródłowa): Całkowity brak Polityki Bezpiecznego Wycofywania Aktywów IT (ITAD), brak technicznych standardów sanityzacji danych zgodnych z NIST SP 800-88 oraz brak nadzoru IOD nad procesem likwidacji środków trwałych.

• Krok 5 (Konstrukcja Planu Działań Korygujących - CAP):

  Opracujcie tabelę CAP z kolumnami: Lp., Identyfikacja niezgodności (NC1/NC2/OFI), Działanie korygujące / zapobiegawcze, Właściciel biznesowy (rola), Termin realizacji (14-90 dni), Mierzalny wskaźnik sukcesu (KPI).

• Krok 6 (Przygotowanie raportu i dokumentacji):

  Zredagujcie raport poaudytowy (8-12 stron A4) z pełnymi załącznikami i przygotujcie 15-minutową prezentację referatową.

Plan prezentacji referatu seminaryjnego (15 minut):

• Przedstawienie specyfiki logistyki korporacyjnej i anatomii zagubienia 85 laptopów (3 min): Skala Trans-Logistics S.A., kategorie utraconych danych kierowców i klientów (Student 1).
• Analiza techniczna standardu NIST SP 800-88 Rev. 1 i specyfika dysków SSD NVMe (4 min): Poziomy Clear, Purge, Destroy, komendy Secure Erase, pułapki Wear Levelingu i wdrożenie BitLocker TPM (Student 2).
• Zaawansowana analiza ryzyka w matrycy 3x3 oraz karty niezgodności NC1/NC2/OFI (3 min): Omówienie wektorów kradzieży tożsamości, kompromitacji haseł, normy ISO 27001 i art. 32 RODO (Student 3 lub Student 1).
• Prezentacja protokołu 5 Why oraz Planu Działań Korygujących CAP (3 min): Dochodzenie przyczyn źródłowych, tabela CAP z terminami i wskaźnikami KPI oraz polityka ITAD (Student 2 i Student 3).
• Podsumowanie, rekomendacje dla przedsiębiorstw transportowych i dyskusja z komisją (2 min): Odpowiedzi na pytania prowadzącego (cały zespół).

Wymagana struktura raportu poaudytowego na ocenę 4.0 (objętość 8-12 stron A4):

1. Podsumowanie zarządcze (Executive Summary) dla Zarządu Trans-Logistics S.A. i IOD.

2. Odpowiedzi na zaawansowane pytania problemowe:

• Czym różnią się metody usuwania danych 'Clear' (np. jednokrotne nadpisanie zerami) od metod 'Purge' (np. komenda ATA/NVMe Cryptographic Erase) zdefiniowanych w normie NIST SP 800-88 Rev. 1 w odniesieniu do nowoczesnych nośników półprzewodnikowych?
• W jaki sposób zaimplementować architekturę pełnego szyfrowania dysków (BitLocker FDE) z kluczem TPM 2.0 i kodem PIN przedstartowym, aby zabezpieczyć dane przed odczytem w przypadku kradzieży nośnika fizycznego?
• Jakie obligatoryjne klauzule powinna zawierać umowa DPA z profesjonalnym operatorem utylizacji sprzętu komputerowego (ITAD), aby administrator spełnił zasadę rozliczalności z art. 5 ust. 2 RODO?

3. Opis stanu faktycznego, wykaz numerów seryjnych skradzionych laptopów i przebieg postępowania wyjaśniającego.

4. Tabela Zaawansowanej Analizy Ryzyka w matrycy 3x3 (4 wektory zagrożeń, ryzyko inherentne vs. rezydualne).

5. Formalne Karty Niezgodności:

• Karta NC1 (Niezgodność Duża) - brak procedur bezpiecznej sanityzacji nośników ITAD (art. 32 RODO, ISO 27001 A.8.10, A.8.14, NIST 800-88).
• Karta NC2 (Niezgodność Mała) - brak pełnego szyfrowania BitLocker FDE na komputerach przenośnych (ISO 27001 A.8.24).
• Karta OFI (Szansa na poprawę) - wdrożenie systemu ITAM z automatyczną ewidencją certyfikatów zniszczenia dysków.

6. Protokół dochodzenia przyczyn źródłowych (Root Cause Analysis - 5 Why).

7. Szczegółowe rozwiązanie techniczne i proceduralne:

• Procedura Bezpiecznego Wycofywania i Utylizacji Sprzętu IT (Polityka ITAD) z protokołem komisyjnym.
• Specyfikacja techniczna stacji laboratoryjnej do wymazywania dysków NVMe/SSD za pomocą certyfikowanego oprogramowania (np. Blancco / Parted Magic).
• Wzór formalnego zgłoszenia do Prezesa UODO oraz wzór imiennego listu ostrzegawczego do 4 500 kierowców z zaleceniem natychmiastowego zastrzeżenia numeru PESEL.

8. Tabela Planu Działań Korygujących (CAP) z przypisaniem ról, terminów (14-90 dni) i wskaźników KPI.

9. Analiza zalet i wad (kompromisów inżynierskich i budżetowych) proponowanych rozwiązań.

10. Bibliografia, netografia i odnośniki do norm i aktów prawnych.

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 32 (Bezpieczeństwo przetwarzania), art. 33, art. 34.
• National Institute of Standards and Technology (NIST): "Guidelines for Media Sanitization", NIST Special Publication 800-88 Revision 1, Gaithersburg 2014.
• Norma IEEE 2883-2022: "IEEE Standard for Sanitizing Storage".
• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - kontrole A.8.10 (Usuwanie danych), A.8.14 (Bezpieczne pozbywanie się lub ponowne użycie sprzętu), A.8.24 (Krypto-zabezpieczenia).
• Decyzje Prezesa Urzędu Ochrony Danych Osobowych nakładające kary za utratę nieszyfrowanych komputerów (m.in. decyzja DKN.5101.19.2020).

• U2 Profesjonalna identyfikacja i formalna gradacja uchybień (NC1/NC2/OFI) w procesach ITAD i wycofywania nośników pamięci masowej.
• U1 Projekt procedury sanityzacji nośników NIST 800-88, centralnego szyfrowania BitLocker i stacji wymazywania.
• U3 Zastosowanie zaawansowanej analizy ryzyka 3x3 w odniesieniu do kompromitacji tożsamości i systemów spedycyjnych.
• U4 Opracowanie pełnego Planu Działań Korygujących (CAP) ze wskaźnikami KPI oraz raportu 8-12 stron.
• W1W2W3 Głęboka znajomość wytycznych NIST 800-88, IEEE 2883, normy ISO 27001 i przepisów RODO.
• K1K2K3 Profesjonalizm inżynierski, dociekliwość audytorska i wysoka dyscyplina w obronie wniosków.

W wystąpieniu seminaryjnym wyjaśnijcie różnicę pomiędzy komendą ATA Secure Erase a metodą Cryptographic Erase na dyskach NVMe SSD oraz wyjaśnijcie, dlaczego raport z sanityzacji musi zawierać zweryfikowany kryptograficznie skrót SHA-256 z numerem seryjnym dysku.

Głównym celem zadania jest opanowanie przez studentów zaawansowanych umiejętności audytowania krytycznych naruszeń ochrony danych osobowych osób małoletnich (dzieci podlegających szczególnej ochronie prawnej na gruncie Motywu 38 RODO) w środowiskach edukacji chmurowej (Microsoft 365 for Education) w wyniku cyberataków socjotechnicznych nowej generacji (Adversary-in-the-Middle - AitM Phishing / Credential Harvesting). Studenci badają studium przypadku elitarnego zespołu szkół Academia Futura w Krakowie, w którym w wyniku ataku socjotechnicznego doszło do przejęcia konta pocztowego i dysku chmurowego pedagoga oraz psychologa szkolnego z powodu braku wdrożenia uwierzytelniania wieloskładnikowego (MFA) i reguł dostępu warunkowego (Conditional Access). Napastnicy pobrali 450 szczegółowych orzeczeń psychologiczno-pedagogicznych, dokumentację terapii zaburzeń lękowych, prób samobójczych dzieci, opisy przemocy rówieśniczej i konfliktów rozwodowych rodziców, po czym podjęli próbę szantażu dyrekcji szkoły. Zadanie wymaga przeprowadzenia formalnej analizy ryzyka w matrycy 3x3 dla 4 wektorów zagrożeń, sporządzenia kart niezgodności (NC1/NC2/OFI) z powołaniem normy ISO/IEC 27001:2022 oraz przepisów prawa, przeprowadzenia dochodzenia przyczyn źródłowych metodą 5 Why (Root Cause Analysis) oraz skonstruowania Planu Działań Korygujących (CAP) obejmującego wdrożenie odpornego na phishing uwierzytelniania sprzętowego FIDO2 (klucze YubiKey), polityk dostępu warunkowego oraz etykietowania i szyfrowania plików Microsoft Purview Information Protection (MPIP).

Powiązanie z sylabusem i treściami programowymi:

• U2 Identyfikacja i formalna gradacja uchybień (NC1/NC2/OFI) w obszarze zarządzania tożsamością w chmurze edukacyjnej i ochrony danych wrażliwych dzieci.
• U1 Opracowanie zaawansowanego projektu wdrożenia uwierzytelniania wieloskładnikowego opartego na FIDO2/WebAuthn, polityk Conditional Access (blokada logowań spoza RP) oraz szyfrowania dokumentów MPIP.
• U3 Przeprowadzenie analizy ryzyka metodą 3x3 w odniesieniu do katastrofalnych szkód psychicznych dzieci, cyberprzemocy rówieśniczej i utraty reputacji placówki oświatowej.
• U4 Opracowanie ustrukturyzowanego raportu poaudytowego (8-12 stron A4) z tabelą CAP, kartami niezgodności i protokołem 5 Why oraz wygłoszenie 15-minutowego referatu seminaryjnego.
• W1 Zaawansowana znajomość przepisów Prawa oświatowego, RODO (w tym szczególnego statusu dziecka - Motyw 38 i art. 9) oraz orzecznictwa Prezesa UODO w sektorze oświaty.
• W2W3 Biegłość w stosowaniu normy PN-EN ISO/IEC 27001:2022 (kontrole A.8.5 Bezpieczne uwierzytelnianie, A.5.10 Poprawne korzystanie z informacji, A.8.16 Monitorowanie aktywności), wytycznych CSIRT NASK i zaleceń EROD.
• K1K2K3 Najwyższy stopień empatii, taktu zawodowego i etyki w kontakcie z poszkodowanymi dziećmi i rodzicami oraz profesjonalizm prezentacji.
• Powiązanie z wykładem: Wyk1 (Audyt w oświacie i instytucjach publicznych), Wyk2 (Zasady audytowania chmury edukacyjnej), Wyk3 (Kontrola A.8.5 Bezpieczne uwierzytelnianie ISO 27001), Wyk4 (RODO i ochrona danych dzieci), Wyk5 (Risk-based audit w matrycy 3x3), Wyk6 (Analiza logów Entra ID Sign-in Logs), Wyk7 (Procedura 5 Why, matryca NC1/NC2/OFI i Plan CAP).

Zespół Szkół Ogólnokształcących i Międzynarodowych 'Academia Futura' w Krakowie kształci 750 uczniów z Polski i z zagranicy (program matury międzynarodowej IB). Szkoła eksploatuje środowisko chmurowe Microsoft 365 A3 for Education.

Stan faktyczny w obszarze incydentu phishingowego i architektury tożsamości:

• Pedagog szkolny otrzymał wiadomość e-mail podszywającą się pod alert bezpieczeństwa platformy e-dziennika z wezwaniem do potwierdzenia tożsamości w celu 'uniknięcia zablokowania konta nauczycielskiego'. Wiadomość zawierała link kierujący do fałszywego portalu logowania wykorzystującego zestaw narzędzi phishingowych Evilginx2 (atak typu Adversary-in-the-Middle).
• Pedagog wprowadził swój login i hasło. Ponieważ w szkole nie wdrożono uwierzytelniania dwuskładnikowego (MFA) – dyrekcja uznała, że 'nauczyciele mają trudności z obsługą aplikacji na telefonach' – napastnicy natychmiast uzyskali pełny dostęp do konta pocztowego oraz repozytorium plików w usłudze Microsoft OneDrive.
• Cyberprzestępcy z adresu IP zlokalizowanego w Ameryce Południowej zalogowali się na konto pedagoga i pobrali w ciągu 3 godzin całą zawartość skrzynki oraz 450 poufnych dokumentów z folderu 'Poradnia_Psychologiczna_Orzeczenia'.
• Dokumenty zawierały: szczegółowe orzeczenia publicznych poradni psychologiczno-pedagogicznych, historie leczenia psychiatrycznego, diagnozy depresji dziecięcej, zaburzeń odżywiania, udokumentowane przypadki samookaleczeń i prób samobójczych uczniów, a także protokoły wywiadów w sprawach o odebranie praw rodzicielskich i przemocy seksualnej w rodzinach.
• Po 5 dniach od ataku na skrzynkę Dyrektora Szkoły wpłynęła wiadomość z żądaniem wpłaty 100 000 EUR pod groźbą opublikowania listy uczniów z problemami psychicznymi na forum internetowym krakowskiej młodzieży.
• Dochodzenie powłamaniowe wykazało, że w usłudze Microsoft Entra ID (Azure AD) administratorzy nie wdrożyli reguł dostępu warunkowego (Conditional Access) blokujących logowania z zagranicy, nie włączono alertów o niemożliwych podróżach (Impossible Travel), a dokumenty wrażliwe nie były chronione za pomocą etykiet poufności ani szyfrowania (brak Microsoft Information Protection).

Dyrektor Szkoły powiadamia Policję, Prezesa UODO i Kuratorium Oświaty oraz powołuje zespół audytorski z zadaniem przeprowadzenia zaawansowanego audytu powłamaniowego na ocenę 4.0.

W skład zespołu wchodzą studenci realizujący następujące role:

• Rola 1: Audytor Wiodący / Prawo Oświatowe i Etyka Edukacyjna (Lead Auditor) - koordynuje prace zespołu, bada procedury ochrony danych uczniów w szkole, wywiady z kadrą pedagogiczną, organizację pomocy psychologicznej i koordynuje strukturę referatu.
• Rola 2: Audytor Techniczny ds. Bezpieczeństwa Tożsamości Chmurowej (Architekt Bezpieczeństwa) - analizuje logi Microsoft Entra ID Sign-ins, dekonstruuje wektor ataku AitM (Evilginx2), projektuje wdrożenie bezhasłowego uwierzytelniania sprzętowego FIDO2 (YubiKey), reguł Conditional Access oraz szyfrowania Microsoft Purview.
• Rola 3: Audytor Zgodności Regulacyjnej, Ryzyka i Jakości CAP (Oficer Ryzyka / Asystent IOD) - przeprowadza analizę ryzyka 3x3 dla 4 wektorów zagrożeń, sporządza formalne karty niezgodności (NC1/NC2/OFI), prowadzi procedurę 5 Why oraz konstruuje kompletną tabelę Planu CAP ze wskaźnikami KPI. W zespole 2-osobowym zadania te dzielą Studenci 1 i 2.

Zadanie realizowane jest przez 2-3 osobowy zespół audytorski w formule studium przypadku:

• Krok 1 (Podział ról w grupie audytowej):

  Student 1 (Audytor Wiodący): Bada strukturę organizacyjną szkoły, procedury postępowania z dokumentacją psychologiczną, analizuje szczególny status dziecka w RODO (Motyw 38) oraz koordynuje referat.

  Student 2 (Audytor Techniczny IT): Analizuje architekturę chmury Microsoft 365. Wykazuje, że standardowe hasła są bezbronne wobec phishingu AitM, a tradycyjne kody SMS są podatne na przechwycenie. Projektuje wdrożenie sprzętowych kluczy bezpieczeństwa FIDO2 (WebAuthn/YubiKey) odpornych na phishing, reguł Conditional Access (blokada logowań spoza Polski, wymóg urządzenia zarządzanego Intune) oraz polityk etykietowania wrażliwości w Microsoft Purview.

  Student 3 (Audytor Ryzyka i CAP): Przeprowadza pełną analizę ryzyka w matrycy 3x3, sporządza karty niezgodności (NC1, NC2, OFI), przeprowadza procedurę 5 Why oraz tworzy tabelę Planu CAP ze wskaźnikami KPI i terminami 14-90 dni.

• Krok 2 (Zaawansowana analiza ryzyka metodą 3x3):

  Oszacujcie prawdopodobieństwo (P: 1-3) i skutek (S: 1-3) w skali 9-stopniowej dla 4 wektorów zagrożeń:

  1. Katastrofalne szkody psychiczne, trauma, cyberprzemoc rówieśnicza i ryzyko prób samobójczych dzieci po ujawnieniu orzeczeń (P=3, S=3 → R=9: Ryzyko Krytyczne; po kontrolach kompensacyjnych: P=1, S=3 → R=3: Ryzyko Niskie).

  2. Szantaż finansowy rodzin i szkoły groźbą publikacji dokumentacji intymnej w internecie (P=3, S=3 → R=9; po kontrolach: P=1, S=2 → R=2).

  3. Trwała utrata renomy elitarnej placówki edukacyjnej i masowe rezygnacje uczniów (P=3, S=3 → R=9; po kontrolach: P=1, S=2 → R=2).

  4. Kary administracyjne Prezesa UODO za brak adekwatnych zabezpieczeń tożsamości i danych dzieci (P=3, S=3 → R=9; po kontrolach: P=1, S=2 → R=2).

• Krok 3 (Formalna kwalifikacja uchybień - Karty Niezgodności):

  Sformułujcie karty uchybień z podziałem na:

  • Niezgodność Duża (NC1): Brak wdrożenia odpowiednich środków technicznych kontroli dostępu do chmury (brak uwierzytelniania wieloskładnikowego MFA) dla kont przetwarzających dane szczególnych kategorii dzieci (naruszenie art. 9, art. 32 RODO, Motywu 38 oraz kontroli ISO/IEC 27001:2022 A.8.5 Bezpieczne uwierzytelnianie, A.5.10 Poprawne korzystanie z informacji).
  • Niezgodność Mała (NC2): Brak wdrożenia polityk dostępu warunkowego (Conditional Access) oraz brak monitorowania niemożliwych podróży w konsoli Entra ID (naruszenie kontroli ISO 27001 A.8.16 Monitorowanie aktywności).
  • Szansa na doskonalenie (OFI): Wdrożenie etykietowania wrażliwości i szyfrowania praw dostępu Microsoft Purview Information Protection dla wszelkiej dokumentacji poradni psychologicznej.
• Krok 4 (Dochodzenie przyczyn źródłowych metodą 5 Why):

  Przeprowadźcie pełną sekwencję 5 pytań dochodzeniowych:

  1. Dlaczego cyberprzestępcy pobrali 450 orzeczeń psychologicznych dzieci? (Zalogowali się na konto chmurowe pedagoga szkolnego).

  2. Dlaczego intruzi mogli zalogować się z obcego kraju bez przeszkód? (Na koncie pedagoga nie włączono uwierzytelniania dwuskładnikowego ani blokady geolokalizacyjnej).

  3. Dlaczego szkoła nie wdrożyła MFA dla kadry pedagogicznej? (Dyrekcja uznała wpisywanie kodów z aplikacji za zbyt trudne i uciążliwe dla nauczycieli).

  4. Dlaczego pedagog wpisał hasło na fałszywej stronie? (Nie potrafił rozpoznać ataku phishingowego, a szkoła nie prowadziła szkoleń Security Awareness).

  5. Root Cause (Przyczyna źródłowa): Lekceważenie elementarnych zasad higieny cyberbezpieczeństwa tożsamości chmurowej, brak polityki MFA i brak szkoleń kadry w placówce przetwarzającej dane szczególnej kategorii małoletnich.

• Krok 5 (Konstrukcja Planu Działań Korygujących - CAP):

  Opracujcie tabelę CAP z kolumnami: Lp., Identyfikacja niezgodności (NC1/NC2/OFI), Działanie korygujące / zapobiegawcze, Właściciel biznesowy (rola), Termin realizacji (14-90 dni), Mierzalny wskaźnik sukcesu (KPI).

• Krok 6 (Przygotowanie raportu i dokumentacji):

  Zredagujcie raport poaudytowy (8-12 stron A4) z pełnymi załącznikami i przygotujcie 15-minutową prezentację referatową.

Plan prezentacji referatu seminaryjnego (15 minut):

• Przedstawienie specyfiki ochrony danych dzieci w szkole i anatomii ataku phishingowego AitM (3 min): Wrażliwość danych psychologicznych, wektor Evilginx2 i skala wycieku (Student 1).
• Analiza techniczna tożsamości Microsoft Entra ID i odporność standardu FIDO2 (4 min): Dlaczego same hasła i kody SMS zawodzą w atakach AitM, demonstracja kluczy FIDO2 i reguł Conditional Access (Student 2).
• Zaawansowana analiza ryzyka w matrycy 3x3 oraz karty niezgodności NC1/NC2/OFI (3 min): Omówienie 4 wektorów zagrożeń, wyliczenia IR i RR, status prawny dziecka w RODO (Student 3 lub Student 1).
• Prezentacja protokołu 5 Why oraz Planu Działań Korygujących CAP (3 min): Dochodzenie przyczyn źródłowych, tabela CAP z terminami i wskaźnikami KPI oraz procedury wsparcia psychologicznego rodzin (Student 2 i Student 3).
• Podsumowanie, rekomendacje dla placówek oświatowych i dyskusja z komisją (2 min): Odpowiedzi na pytania prowadzącego (cały zespół).

Wymagana struktura raportu poaudytowego na ocenę 4.0 (objętość 8-12 stron A4):

1. Podsumowanie zarządcze (Executive Summary) dla Dyrekcji Szkoły, Kuratorium i Prezesa UODO.

2. Odpowiedzi na zaawansowane pytania problemowe:

• W jaki sposób standard FIDO2/WebAuthn z powiązaniem kryptograficznym do domeny (Origin Binding) całkowicie uniemożliwia przejęcie sesji użytkownika w zaawansowanych atakach typu Adversary-in-the-Middle (np. z użyciem narzędzia Evilginx2)?
• Jakie szczególne gwarancje prawne nakłada RODO na przetwarzanie danych osobowych dzieci w świetle Motywu 38 oraz w jaki sposób administrator powinien komunikować się z rodzicami o wycieku danych intymnych?
• Czym charakteryzuje się usługa Microsoft Purview Information Protection i jak skonfigurować etykiety poufności (Sensitivity Labels) z automatycznym szyfrowaniem, aby uniemożliwić otwarcie pliku orzeczenia poza domeną szkolną?

3. Opis stanu faktycznego, wykaz kategorii skompromitowanych orzeczeń i chronologia ataku phishingowego.

4. Tabela Zaawansowanej Analizy Ryzyka w matrycy 3x3 (4 wektory zagrożeń, ryzyko inherentne vs. rezydualne).

5. Formalne Karty Niezgodności:

• Karta NC1 (Niezgodność Duża) - brak uwierzytelniania wieloskładnikowego MFA dla kont przetwarzających dane wrażliwe dzieci (art. 9, 32 RODO, Motyw 38, ISO 27001 A.8.5).
• Karta NC2 (Niezgodność Mała) - brak polityk dostępu warunkowego i brak monitorowania anomalii logowań w Entra ID (ISO 27001 A.8.16).
• Karta OFI (Szansa na poprawę) - wdrożenie etykietowania i szyfrowania plików Microsoft Purview.

6. Protokół dochodzenia przyczyn źródłowych (Root Cause Analysis - 5 Why).

7. Szczegółowe rozwiązanie techniczne i proceduralne:

• Projekt wdrożenia bezhasłowego uwierzytelniania opartego na fizycznych kluczach FIDO2 (YubiKey) dla 100% kadry pedagogicznej.
• Konfiguracja polityk Conditional Access (wymóg zgodnego urządzenia, blokada logowań spoza RP, blokada przeglądarek bez wsparcia FIDO2).
• Wzór formalnego zgłoszenia do Prezesa UODO oraz wzór delikatnego i profesjonalnego pisma do rodziców poszkodowanych uczniów wraz z zapewnieniem bezpłatnej opieki psychologicznej i prawnej.

8. Tabela Planu Działań Korygujących (CAP) z przypisaniem ról, terminów (14-90 dni) i wskaźników KPI.

9. Analiza zalet i wad (kompromisów inżynierskich i organizacyjnych) proponowanych rozwiązań.

10. Bibliografia, netografia i odnośniki do norm i aktów prawnych.

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - Motyw 38 (Szczególna ochrona danych dzieci), art. 9 (Dane szczególnych kategorii), art. 32 (Bezpieczeństwo przetwarzania), art. 33, art. 34.
• Ustawa z dnia 14 grudnia 2016 r. - Prawo oświatowe (Dz.U. z 2023 r. poz. 900 z późn. zm.).
• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - kontrole A.8.5 (Bezpieczne uwierzytelnianie), A.5.10 (Poprawne korzystanie z informacji), A.8.16 (Monitorowanie aktywności).
• Zespół Reagowania na Incydenty Bezpieczeństwa Komputerowego CSIRT NASK / CERT Polska: "Krajobraz bezpieczeństwa polskiego internetu - ataki phishingowe nowej generacji", Warszawa 2023.
• Urząd Ochrony Danych Osobowych: "Ochrona danych osobowych w szkołach i placówkach oświatowych - poradnik", Warszawa 2020.

• U2 Profesjonalna identyfikacja i formalna gradacja uchybień (NC1/NC2/OFI) w systemach tożsamości chmurowej w edukacji.
• U1 Projekt architektury uwierzytelniania odpornego na phishing (FIDO2), polityk Conditional Access i szyfrowania plików Purview.
• U3 Zastosowanie zaawansowanej analizy ryzyka 3x3 w odniesieniu do szkód niematerialnych i psychicznych dzieci.
• U4 Opracowanie pełnego Planu Działań Korygujących (CAP) ze wskaźnikami KPI oraz raportu 8-12 stron.
• W1W2W3 Głęboka znajomość RODO (Motyw 38, art. 9), Prawa oświatowego, norm ISO 27001 i standardów FIDO2.
• K1K2K3 Najwyższy poziom empatii, etyki zawodowej i kultury prowadzenia trudnych dochodzeń poaudytowych.

Podczas referatu seminaryjnego zaprezentujcie diagram ataku Adversary-in-the-Middle z wykorzystaniem serwera proxy przechwytującego ciasteczka sesyjne oraz wyjaśnijcie, w jaki sposób standard FIDO2 całkowicie neutralizuje ten wektor ataku.

Głównym celem zadania jest opanowanie przez studentów zaawansowanych umiejętności audytowania zgodności z prawem nowoczesnych technologii identyfikacji biometrycznej (w świetle art. 4 pkt 14, art. 9 ust. 1 i 2 lit. a oraz art. 7 ust. 4 RODO), rygorów przeprowadzania Oceny Skutków dla Ochrony Danych (DPIA na mocy art. 35 RODO) oraz badania skutków nieodwracalnej kompromitacji cech biometrycznych człowieka w relacjach B2C. Studenci badają studium przypadku ogólnopolskiej sieci parków wodnych i obiektów fitness Aquafit Polska S.A., w której na 180 bramkach kołowrotowych wdrożono biometryczne czytniki linii papilarnych jako wyłączny warunek wstępu do obiektów, bez zapewnienia jakiejkolwiek metody alternatywnej (karty zbliżeniowej lub kodu QR) i bez przeprowadzenia obligatoryjnej oceny DPIA. W wyniku krytycznej podatności w chmurowym panelu webowym dostawcy systemu kontroli dostępu doszło do wycieku bazy danych zawierającej 110 000 cyfrowych wzorców biometrycznych (Biometric Templates) powiązanych z danymi identyfikacyjnymi klientów. Zadanie wymaga przeprowadzenia formalnej analizy ryzyka w matrycy 3x3 dla 4 wektorów zagrożeń, sporządzenia kart niezgodności (NC1/NC2/OFI) z powołaniem normy ISO/IEC 27001:2022 oraz orzecznictwa sądów europejskich i Prezesa UODO, przeprowadzenia dochodzenia przyczyn źródłowych metodą 5 Why (Root Cause Analysis) oraz skonstruowania Planu Działań Korygujących (CAP) obejmującego natychmiastowe wyłączenie czytników, komisyjne zniszczenie szablonów biometrycznych oraz wdrożenie bezpiecznych kart zbliżeniowych RFID Mifare DESFire EV3.

Powiązanie z sylabusem i treściami programowymi:

• U2 Identyfikacja i formalna gradacja uchybień (NC1/NC2/OFI) w obszarze przetwarzania danych biometrycznych szczególnej kategorii bez ważnej podstawy prawnej oraz braku analizy DPIA.
• U1 Opracowanie zaawansowanego projektu procedury wycofania technologii biometrycznej, komisyjnego usuwania baz szablonów (Secure Wipe) oraz wdrożenia alternatywnego systemu kontroli dostępu opartego na RFID Mifare DESFire EV3 i dynamicznych kodach QR.
• U3 Przeprowadzenie analizy ryzyka metodą 3x3 dla nieodwracalnej utraty cech biometrycznych, kar administracyjnych Prezesa UODO do 20 mln EUR oraz pozwów konsumenckich.
• U4 Opracowanie ustrukturyzowanego raportu poaudytowego (8-12 stron A4) z tabelą CAP, kartami niezgodności i protokołem 5 Why oraz wygłoszenie 15-minutowego referatu seminaryjnego.
• W1 Zaawansowana znajomość definicji danych biometrycznych (art. 4 pkt 14), przesłanek legalizujących (art. 9 ust. 2), warunków dobrowolności zgody (art. 7 ust. 4) oraz zasad DPIA (art. 35).
• W2W3 Biegłość w stosowaniu normy PN-EN ISO/IEC 27001:2022 (kontrole A.5.34 Prywatność i ochrona danych osobowych, A.8.2 Prawa dostępu uprzywilejowanego), Wytycznych EROD 3/2019 oraz decyzji Prezesa UODO nakładających kary za biometrię.
• K1K2K3 Zdolność do przeciwstawienia się technologicznemu 'zachwytowi inwigilacyjnemu', obrona praw człowieka i wysoka kultura dowodowa audytu.
• Powiązanie z wykładem: Wyk1 (Audyt innowacyjnych technologii i biometrii), Wyk2 (Zasady audytowania zgodności prawnej), Wyk3 (Kontrola A.5.34 ISO 27001), Wyk4 (RODO art. 9 i art. 35 DPIA), Wyk5 (Risk-based audit w matrycy 3x3), Wyk6 (Analiza szablonów biometrycznych i podatności API), Wyk7 (Procedura 5 Why, matryca NC1/NC2/OFI i Plan CAP).

Aquafit Polska S.A. prowadzi sieć 40 nowoczesnych kompleksów rekreacyjno-sportowych (aquaparki, siłownie, saunaria) na terenie całego kraju, zrzeszając ponad 110 000 posiadaczy karnetów abonamentowych. W celu zwalczania zjawiska 'dzielenia się karnetami' Zarząd spółki podjął decyzję o instalacji na 180 bramkach kołowrotowych czytników linii papilarnych.

Stan faktyczny w obszarze wdrożenia biometrii i incydentu:

• W umowie członkowskiej zawarto klauzulę: 'Klient wyraża zgodę na pobranie i przetwarzanie danych biometrycznych w postaci cyfrowego szablonu odcisku palca w celu weryfikacji uprawnienia do wejścia na teren obiektu. Podanie danych jest warunkiem zawarcia umowy'. Osobom, które odmawiały skanowania palca, odmawiano wydania karnetu.
• Spółka nie wdrożyła żadnej metody alternatywnej (np. tradycyjnej karty zbliżeniowej RFID, legitymacji ze zdjęciem czy weryfikacji tożsamości przez obsługę recepcji).
• Przed uruchomieniem systemu Zarząd nie przeprowadził formalnej Oceny Skutków dla Ochrony Danych (DPIA) wymaganej art. 35 ust. 1 i ust. 3 lit. b RODO, powołując się na błędną opinię zatrudnionego doradcy IT, że 'szablon matematyczny minucji nie stanowi danych osobowych, ponieważ nie pozwala na odtworzenie obrazu linii papilarnych'.
• Szablony biometryczne 110 000 klientów wraz z ich numerami PESEL, telefonami i zdjęciami były składowane w chmurze zewnętrznego dostawcy oprogramowania 'AquaAccess Cloud'.
• W panelu administracyjnym dostawcy wykryto krytyczną podatność Broken Object Level Authorization (BOLA / IDOR), w wyniku której nieautoryzowany badacz bezpieczeństwa pobrał z otwartego endpointu API pełny zrzut bazy szablonów biometrycznych i powiadomił media.
• Wyciek wywołał panikę wśród klientów, którzy zaczęli masowo wypowiadać umowy, obawiając się wykorzystania ich danych biometrycznych do kompromitacji czytników w smartfonach i aplikacjach bankowych.
• Kontrola wewnętrzna wykazała, że Inspektor Ochrony Danych spółki zgłaszał pisemne weto wobec planu wdrożenia biometrii, jednak Zarząd zignorował jego rekomendacje, kierując się chęcią zaoszczędzenia na kosztach druku kart plastikowych.

Zarząd Aquafit Polska S.A., stając w obliczu postępowania Prezesa UODO grożącego karą do 20 mln EUR oraz pozwów zbiorowych, powołuje zespół audytorski z zadaniem przeprowadzenia zaawansowanego audytu na ocenę 4.0.

W skład zespołu wchodzą studenci realizujący następujące role:

• Rola 1: Audytor Wiodący / Governance Korporacyjny i Zgodność Produktowa (Lead Auditor) - koordynuje prace zespołu, bada procedury zawierania umów, regulaminy obiektów, ignorowanie zaleceń IOD przez Zarząd i koordynuje strukturę referatu.
• Rola 2: Audytor Techniczny ds. Biometrii i Kontroli Dostępu (Architekt Bezpieczeństwa) - analizuje technologię szablonów biometrycznych (ANSI/NIST-ITL), lukę API dostawcy chmurowego, projektuje procedurę bezpiecznego usuwania danych (Wipe) oraz architekturę nowego systemu opartego na kartach RFID Mifare DESFire EV3.
• Rola 3: Audytor Zgodności Regulacyjnej, Ryzyka i Jakości CAP (Oficer Ryzyka / Asystent IOD) - przeprowadza analizę ryzyka 3x3 dla 4 wektorów zagrożeń, sporządza formalne karty niezgodności (NC1/NC2/OFI), prowadzi procedurę 5 Why oraz konstruuje kompletną tabelę Planu CAP ze wskaźnikami KPI. W zespole 2-osobowym zadania te dzielą Studenci 1 i 2.

Zadanie realizowane jest przez 2-3 osobowy zespół audytorski w formule studium przypadku:

• Krok 1 (Podział ról w grupie audytowej):

  Student 1 (Audytor Wiodący): Bada legalność podstawy przetwarzania biometrii. Wykazuje rażące naruszenie warunku dobrowolności zgody (art. 7 ust. 4 RODO - zakaz powiązania), co oznacza, że przetwarzanie danych na mocy art. 9 ust. 2 lit. a RODO było nielegalne od pierwszego dnia.

  Student 2 (Audytor Techniczny IT): Analizuje architekturę szablonów biometrycznych. Wykazuje błąd twierdzenia o 'nieidentyfikowalności' – szablon jest unikalnym deskryptorem człowieka i stanowi dane biometryczne w myśl art. 4 pkt 14 RODO. Projektuje procedurę komisyjnego, nieodwracalnego skasowania wszystkich baz danych szablonów oraz zastąpienie czytników biometrycznych szyfrowanymi kartami zbliżeniowymi RFID Mifare DESFire EV3 lub dynamicznymi kodami QR w aplikacji mobilnej.

  Student 3 (Audytor Ryzyka i CAP): Przeprowadza pełną analizę ryzyka w matrycy 3x3, sporządza karty niezgodności (NC1, NC2, OFI), przeprowadza procedurę 5 Why oraz tworzy tabelę Planu CAP ze wskaźnikami KPI i terminami 14-90 dni.

• Krok 2 (Zaawansowana analiza ryzyka metodą 3x3):

  Oszacujcie prawdopodobieństwo (P: 1-3) i skutek (S: 1-3) w skali 9-stopniowej dla 4 wektorów zagrożeń:

  1. Nieodwracalna kompromitacja cech biometrycznych 110 000 klientów (brak możliwości 'zmiany' odcisku palca jak hasła) (P=3, S=3 → R=9: Ryzyko Krytyczne; po kontrolach kompensacyjnych: P=1, S=3 → R=3: Ryzyko Niskie).

  2. Nałożenie maksymalnych kar administracyjnych przez Prezesa UODO (do 20 mln EUR) za naruszenie art. 9 i art. 35 RODO (P=3, S=3 → R=9; po kontrolach: P=1, S=2 → R=2).

  3. Pozwy zbiorowe klientów o zadośćuczynienie z art. 82 RODO za bezprawne pobieranie biometrii (P=3, S=3 → R=9; po kontrolach: P=1, S=2 → R=2).

  4. Masowe odpływy członków sieci i bojkot konsumencki obiektów sportowych (P=3, S=3 → R=9; po kontrolach: P=1, S=2 → R=2).

• Krok 3 (Formalna kwalifikacja uchybień - Karty Niezgodności):

  Sformułujcie karty uchybień z podziałem na:

  • Niezgodność Duża (NC1): Przetwarzanie danych biometrycznych szczególnej kategorii bez ważnej podstawy prawnej (wymuszona zgoda) oraz brak przeprowadzenia obligatoryjnej Oceny Skutków dla Ochrony Danych (naruszenie art. 9 ust. 1 i 2, art. 7 ust. 4, art. 35 RODO oraz kontroli ISO/IEC 27001:2022 A.5.34 Ochrona prywatności i danych osobowych).
  • Niezgodność Mała (NC2): Brak weryfikacji adekwatności zabezpieczeń API chmurowego dostawcy systemu kontroli dostępu przed zawarciem umowy powierzenia (naruszenie art. 28 RODO i kontroli ISO 27001 A.5.19).
  • Szansa na doskonalenie (OFI): Wdrożenie weryfikacji uprawnień wejściowych opartej na wirtualnych kartach członkowskich w portfelach Apple Wallet i Google Wallet z wykorzystaniem technologii NFC.
• Krok 4 (Dochodzenie przyczyn źródłowych metodą 5 Why):

  Przeprowadźcie pełną sekwencję 5 pytań dochodzeniowych:

  1. Dlaczego szablony biometryczne 110 000 klientów wyciekły do sieci? (Panel API dostawcy chmurowego posiadał podatność BOLA/IDOR).

  2. Dlaczego w ogóle pobierano odciski palców od klientów aquaparków? (Zarząd wdrożył czytniki biometryczne na bramkach w celu uniemożliwienia pożyczania karnetów).

  3. Dlaczego odmówiono klientom prawa wejścia na podstawie zwykłych kart zbliżeniowych? (Zarząd dążył do zaoszczędzenia na kosztach zakupu kart i wdrożył biometrię jako warunek konieczny).

  4. Dlaczego nie przeprowadzono analizy DPIA przed wdrożeniem biometrii na masową skalę? (Zarząd zignorował pisemne ostrzeżenia IOD, uznając wymogi prawne za nieistotne).

  5. Root Cause (Przyczyna źródłowa): Rażące załamanie ładu korporacyjnego, ignorowanie funkcji IOD w organizacji, przedkładanie interesu ekonomicznego nad fundamentalne prawa i wolności obywateli oraz brak kultury zgodności z RODO.

• Krok 5 (Konstrukcja Planu Działań Korygujących - CAP):

  Opracujcie tabelę CAP z kolumnami: Lp., Identyfikacja niezgodności (NC1/NC2/OFI), Działanie korygujące / zapobiegawcze, Właściciel biznesowy (rola), Termin realizacji (14-90 dni), Mierzalny wskaźnik sukcesu (KPI).

• Krok 6 (Przygotowanie raportu i dokumentacji):

  Zredagujcie raport poaudytowy (8-12 stron A4) z pełnymi załącznikami i przygotujcie 15-minutową prezentację referatową.

Plan prezentacji referatu seminaryjnego (15 minut):

• Wprowadzenie do specyfiki danych biometrycznych i anatomia kryzysu w Aquafit Polska (3 min): Skala sieci 40 obiektów, charakterystyka szablonów minucji i okoliczności wycieku (Student 1).
• Analiza techniczna danych biometrycznych, luki API i architektura RFID DESFire EV3 (4 min): Dlaczego szablon to dane biometryczne, dekonstrukcja luki BOLA, projekt wymiany bramek na karty RFID i Apple/Google Wallet (Student 2).
• Zaawansowana analiza ryzyka w matrycy 3x3 oraz karty niezgodności NC1/NC2/OFI (3 min): Omówienie nieodwracalności kompromitacji biometrii, sankcji do 20 mln EUR, nieważności wymuszonej zgody art. 7 ust. 4 (Student 3 lub Student 1).
• Prezentacja protokołu 5 Why oraz Planu Działań Korygujących CAP (3 min): Dochodzenie przyczyn źródłowych, tabela CAP z terminami i wskaźnikami KPI oraz procedura komisyjnego niszczenia szablonów (Student 2 i Student 3).
• Podsumowanie, wnioski dla sektora usług konsumenckich i dyskusja z komisją (2 min): Odpowiedzi na pytania prowadzącego (cały zespół).

Wymagana struktura raportu poaudytowego na ocenę 4.0 (objętość 8-12 stron A4):

1. Podsumowanie zarządcze (Executive Summary) dla Zarządu Aquafit Polska S.A. i Prezesa UODO.

2. Odpowiedzi na zaawansowane pytania problemowe:

• Dlaczego uzależnienie zawarcia umowy o świadczenie usług konsumenckich od wyrażenia zgody na pobranie danych biometrycznych narusza warunek dobrowolności z art. 7 ust. 4 RODO i czyni przetwarzanie nielegalnym (doktryna 'unbundled consent')?
• Czym charakteryzuje się Ocena Skutków dla Ochrony Danych (DPIA na mocy art. 35 RODO) i jakie obligatoryjne kryteria z Wytycznych Grupy Roboczej Art. 29 (WP 248) kwalifikują system biometryczny do obowiązkowego audytu DPIA?
• W jaki sposób technologia kart zbliżeniowych RFID Mifare DESFire EV3 z szyfrowaniem AES-128 eliminuje ryzyko klonowania kart bez konieczności przetwarzania danych biometrycznych klientów?

3. Opis stanu faktycznego, wykaz naruszonych przepisów i przebieg kompromitacji bazy szablonów biometrycznych.

4. Tabela Zaawansowanej Analizy Ryzyka w matrycy 3x3 (4 wektory zagrożeń, ryzyko inherentne vs. rezydualne).

5. Formalne Karty Niezgodności:

• Karta NC1 (Niezgodność Duża) - nielegalne przetwarzanie danych biometrycznych bez ważnej zgody i brak DPIA (art. 9, art. 7 ust. 4, art. 35 RODO, ISO 27001 A.5.34).
• Karta NC2 (Niezgodność Mała) - brak weryfikacji bezpieczeństwa panelu webowego dostawcy kontroli dostępu (art. 28 RODO, ISO 27001 A.5.19).
• Karta OFI (Szansa na poprawę) - wdrożenie wirtualnych kart członkowskich w portfelach Apple Wallet i Google Wallet.

6. Protokół dochodzenia przyczyn źródłowych (Root Cause Analysis - 5 Why).

7. Szczegółowe rozwiązanie techniczne i proceduralne:

• Plan wycofania czytników biometrycznych i specyfikacja techniczna montażu czytników RFID Mifare DESFire EV3 na 180 bramkach kołowrotowych.
• Protokół komisyjnego, nieodwracalnego usunięcia i nadpisania (Wipe) baz szablonów biometrycznych z chmury dostawcy i pamięci bramek.
• Wzór formalnego zgłoszenia do Prezesa UODO oraz wzór imiennego komunikatu kryzysowego do 110 000 klientów z ofertą bezpłatnej wymiany nośników.

8. Tabela Planu Działań Korygujących (CAP) z przypisaniem ról, terminów (14-90 dni) i wskaźników KPI.

9. Analiza zalet i wad (kompromisów inżynierskich, kosztowych i wizerunkowych) proponowanych rozwiązań.

10. Bibliografia, netografia i odnośniki do norm i aktów prawnych.

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 4 pkt 14 (Dane biometryczne), art. 7 ust. 4 (Warunki wyrażenia zgody), art. 9 (Przetwarzanie szczególnych kategorii danych), art. 35 (Ocena skutków dla ochrony danych - DPIA), art. 83 (Kary administracyjne).
• Decyzja Prezesa Urzędu Ochrony Danych Osobowych z dnia 18 lutego 2020 r. nakładająca karę za przetwarzanie danych biometrycznych (sygn. ZSZZS.440.768.2018).
• Europejska Rada Ochrony Danych (EROD): "Wytyczne 3/2019 w sprawie przetwarzania danych osobowych przez urządzenia wideo i biometrię", 2020.
• Grupa Robocza Art. 29: "Wytyczne dotyczące oceny skutków dla ochrony danych (DPIA)" (WP 248 rev.01).
• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - kontrole A.5.34 (Prywatność i ochrona danych osobowych), A.8.2 (Prawa dostępu uprzywilejowanego).
• Wyrok Europejskiego Trybunału Praw Człowieka w sprawie S. i Marper przeciwko Wielkiej Brytanii (skargi nr 30562/04 i 30566/04).

• U2 Profesjonalna identyfikacja i formalna gradacja uchybień (NC1/NC2/OFI) w systemach biometrii konsumenckiej.
• U1 Projekt procedury wycofania technologii biometrycznej, komisyjnego niszczenia baz i wdrożenia kart RFID DESFire.
• U3 Zastosowanie zaawansowanej analizy ryzyka 3x3 w odniesieniu do nieodwracalnej utraty cech biometrycznych i kar do 20 mln EUR.
• U4 Opracowanie pełnego Planu Działań Korygujących (CAP) ze wskaźnikami KPI oraz raportu 8-12 stron.
• W1W2W3 Głęboka znajomość przepisów RODO (art. 9, 35, 7 ust. 4), wytycznych EROD, WP 248 i normy ISO 27001.
• K1K2K3 Odwaga audytorska w obronie praw człowieka, etyka technologiczna i profesjonalizm prezentacji ustnej.

W trakcie wystąpienia seminaryjnego przedstawcie analizę prawną i techniczną, dlaczego pobieranie danych biometrycznych w celach komercyjnej kontroli dostępu narusza zasadę proporcjonalności i minimalizacji danych oraz wyjaśnijcie, w jaki sposób zorganizować komisyjne niszczenie baz danych potwierdzone protokołem.