Laboratorium 8

Głównym celem strategicznego zadania laboratoryjnego na ocenę 5.0 jest przeprowadzenie zaawansowanego audytu dochodzeniowego (Forensic & Data Protection Audit) w warunkach krytycznego incydentu cybernetycznego w podmiocie leczniczym o statusie Operatora Usługi Kluczowej (Dyrektywa NIS2 / KSC). Studenci badają wieloaspektowe naruszenie ochrony danych szczególnych kategorii (art. 9 RODO) spowodowane atakiem grupy cyberprzestępczej Ransomware (Double Extortion), w wyniku którego doszło do eksfiltracji oraz zaszyfrowania 42 000 rekordów elektronicznej dokumentacji medycznej (EDM) w Szpitalnym Systemie Informacyjnym (HIS), unieruchomienia modułu analizy radiologicznej opartego na sztucznej inteligencji (AI-DIAG) oraz zablokowania przyjęć na Szpitalnym Oddziale Ratunkowym (SOR). Zadanie wymaga zastosowania kanonicznego modelu 4C (Condition, Criteria, Cause, Consequence), wyliczenia ryzyka w 25-stopniowej matrycy 5x5 powiązanej z parametrami BCM (RTO=15m, RPO=0s, MTPD=1h), skonstruowania Trójfazowego Planu Działań Korygujących (CAP) ze wskaźnikami KPI i KRI, opracowania sformalizowanego Załącznika Wykonawczego (SOP) definiującego reguły kryptoizolacji danych medycznych oraz przygotowania jednostronicowego Podsumowania Zarządczego (Executive Summary - "Pitch to Board") dla Dyrekcji Szpitala i organów nadzorczych.

Powiązanie z sylabusem i efektami kształcenia na ocenę 5.0:

• W1 Zaawansowana znajomość ochrony danych wrażliwych (art. 9 RODO), tajemnicy lekarskiej, przepisów Ustawy o prawach pacjenta oraz odpowiedzialności karnej z art. 160 KK (narażenie na niebezpieczeństwo utraty życia) i art. 231 KK.
• W2W3 Rygorystyczna synteza wymagań Dyrektywy NIS2 (art. 21 - cyberbezpieczeństwo w sektorze zdrowia), Rozporządzenia AI Act (systemy AI wysokiego ryzyka w medycynie), normy PN-EN ISO/IEC 27001:2022 (kontrole A.5.24-A.5.28, A.8.14, A.8.24), normy ISO 27799 oraz standardów akredytacyjnych Centrum Monitorowania Jakości (CMJ).
• U1 Projekt architektury Zero-Trust dla szpitalnej sieci medycznej, wdrożenie kryptoizolacji bazy Oracle RAC z użyciem Oracle TDE i zewnętrznego modułu HSM, niezmiennych kopii zapasowych Immutable Backup WORM oraz mikrosegmentacji sieci VLAN.
• U2 Bezbłędna kwalifikacja uchybień w kanonicznym modelu 4C z precyzyjnym wskazaniem artykułów prawa, orzecznictwa UODO i norm ISO.
• U3 Kwantyfikacja ryzyka w matrycy 5x5 dla wektorów paraliżu EDM, eksfiltracji danych onkologicznych i manipulacji algorytmem AI (IR=25 -> RR=5, powiązanie z parametrami BCM).
• U4 Opracowanie Trójfazowego Planu CAP z macierzą RACI, metrykami KPI/KRI, projektu procedury SOP oraz briefingu dla Zarządu.
• K1K2K3 Niezależność audytorska, wysoka etyka w obliczu zagrożenia życia pacjentów, odporność na presję autorytetu medycznego i profesjonalizm prezentacji.
• Powiązanie z wykładem: Wyk1 (Ład korporacyjny w ochronie danych), Wyk2 (Zasady audytowania ISO 19011), Wyk3 (Kontrole A.5.24 i A.8.24 ISO 27001), Wyk4 (RODO art. 9 i NIS2), Wyk5 (Matryca ryzyka 5x5 i BCM), Wyk6 (Analiza logów bazodanowych i SIEM), Wyk7 (Model 4C, 5 Why, Diagram Ishikawy, Trójfazowy CAP i Pitch to Board).

Samodzielny Publiczny Szpital Kliniczny nr 4 w Lublinie jest wysokospecjalistycznym podmiotem leczniczym dysponującym 950 łóżkami, 28 klinikami oraz centrum urazowym. Jako Operator Usługi Kluczowej w rozumieniu Ustawy o KSC i Dyrektywy NIS2 szpital przetwarza w systemie HIS (opartym na bazie Oracle 19c RAC) pełną dokumentację 42 000 pacjentów rocznie, w tym dane onkologiczne, kardiologiczne, psychiatryczne oraz dane genetyczne. Dodatkowo w Zakładzie Radiologii wdrożono certyfikowany system AI-DIAG (klasa wyrobu medycznego IIa), który przetwarza skany tomografii komputerowej w celu automatycznego wykrywania krwotoków śródczaszkowych i udarów.

Stan faktyczny w obszarze incydentu bezpieczeństwa i naruszenia danych:

• W piątek o godzinie 02:14 stacja robocza pielęgniarki na oddziale kardiologii została zainfekowana złośliwym oprogramowaniem typu infostealer w wyniku ataku spear-phishing (wiadomość podszywająca się pod komunikat NFZ). Stacja nie posiadała zainstalowanego agenta EDR, a konto pielęgniarki miało lokalne uprawnienia administratora.
• Z powodu braku fizycznej i logicznej segmentacji sieci medycznej (wspólna podsieć 10.10.0.0/16 dla stacji personelu, aparatury medycznej i serwerów bazodanowych HIS) napastnicy przeprowadzili ruch boczny (Lateral Movement) przy użyciu narzędzia Cobalt Strike, wykorzystując podatność MS17-010 (EternalBlue) na niezałatanych serwerach pomocniczych.
• Przed uruchomieniem procedury szyfrowania napastnicy przez 4 dni prowadzili cichą eksfiltrację danych. Skompromitowali konto domenowe administratora bazy danych (brak MFA, hasło współdzielone) i wykonali zrzut tabel `PACJENCI`, `HISTORIA_CHOROBY`, `WYNIKI_LAB` oraz obrazów PACS, przesyłając 140 GB zaszyfrowanych archiwów do chmurowego serwera w Szwajcarii (protokół Mega.nz przez port HTTPS).
• W poniedziałek o godzinie 04:30 uruchomiono ransomware LockBit 3.0, szyfrując wolumeny SAN serwerów bazy Oracle HIS, stacje robocze lekarzy oraz serwery replikacji zapasowej, które znajdowały się w tej samej domenie Active Directory i nie posiadały ochrony WORM (Write Once, Read Many).
• Paraliż szpitala był całkowity: wstrzymano planowe operacje, SOR przestał przyjmować pacjentów w stanie zagrożenia życia (przekierowania do oddalonego o 80 km szpitala), a lekarze stracili dostęp do historii leczenia i grup krwi. Na pulpitach wyświetlono żądanie okupu w wysokości 50 BTC (ok. 14 mln PLN) pod groźbą opublikowania danych pacjentów w sieci Darknet.
• Podczas dochodzenia IOD ustalił, że szpital nie przeprowadził wymaganej analizy DPIA przed wdrożeniem systemu AI-DIAG, nie wdrożył szyfrowania bazy danych at-rest (Oracle TDE), a kopie zapasowe nie były testowane pod kątem odzyskiwania od 18 miesięcy.

Dyrektor Szpitala, stając w obliczu kontroli UODO, śledztwa Prokuratury Okręgowej z art. 160 KK i art. 231 KK oraz audytu CSIRT MON/NASK, powołuje Triadę Audytorską do przeprowadzenia strategicznego audytu w formule 90 minut.

Zadanie realizowane jest w ścisłym reżimie warsztatowym (formuła 90 minut) przez 2-3 osobową Triadę Audytorską:

• Krok 1 (Podział ról w Triadzie Audytorskiej i triage dowodowy - Minuty 00-15):

  Student A (Lead Auditor / Reprezentant CISO): Odpowiada za ład zarządczy (Data Protection Governance), analizę zgodności z Dyrektywą NIS2, RODO art. 9 i 33/34, relacje z Dyrekcją, CSIRT NASK i UODO oraz przygotowanie 1-stronicowego Executive Summary ("Pitch to Board").

  Student B (Technical SecOps Auditor / Architekt Bezpieczeństwa Systemów Medycznych): Dekonstruuje wektory ataku ransomware i eksfiltracji danych, analizuje logi bazy Oracle RAC, brak segmentacji sieci VLAN, projektuje architekturę mikrosegmentacji, wdrożenie Oracle TDE z HSM oraz niezmienne kopie zapasowe Immutable Backup WORM.

  Student C (Governance, Risk & Compliance Auditor): Przeprowadza dekompozycję uchybienia w kanonicznym modelu 4C, wylicza ryzyko w matrycy 5x5 skorelowane ze wskaźnikami BCM (RTO=15m, RPO=0s, MTPD=1h), prowadzi sekwencję 5 Why oraz konstruuje Trójfazowy Plan CAP z przypisaniem ról RACI i metryk KPI/KRI. W zespole dwuosobowym zadania te dzielą Studenci A i B.

• Krok 2 (Opracowanie Kanonicznej Karty Niezgodności 4C - Minuty 15-40):

  Sformułujcie kartę uchybienia krytycznego w modelu 4C:

• Krok 3 (Zaawansowana Matryca Ryzyka 5x5 i Wskaźniki BCM - Minuty 15-40):

  Skwantyfikujcie 4 wektory zagrożeń w skali 25-stopniowej (P 1-5 x S 1-5):

• Krok 4 (Konstrukcja Trójfazowego Planu Działań Korygujących - CAP - Minuty 40-70):

  Opracujcie tabelę CAP w 3 horyzontach czasowych:

• Krok 5 (Sformalizowany Projekt Załącznika Wykonawczego SOP - Minuty 40-70):

  Zredagujcie akt normatywny: "Standard Kryptoizolacji Danych Medycznych, Niezmienności Kopii Zapasowych i Reagowania na Incydenty Ransomware w SPSK nr 4 w Lublinie" z artykułami § 1 do § 6.

• Krok 6 (Opracowanie Podsumowania Zarządczego - Pitch to Board - Minuty 70-90):

  Przygotujcie 1-stronicowy dokument dla Dyrekcji: bilans ryzyk (redukcja 4 ryzyk ekstremalnych IR>=20 do poziomu akceptowalnego RR<=5), ekspozycja na sankcje (do 30 mln EUR łącznie), budżet Planu CAP (650 000 PLN) oraz stopa zwrotu z inwestycji (ROSI: ochrona kontraktu NFZ o wartości 220 mln PLN i uniknięcie kar UODO/NIS2).

Plan obrony seminaryjnej przed komisją laboratoryjną (15 minut):

• Wprowadzenie i Podsumowanie Zarządcze dla Dyrekcji Szpitala (3 min): Przedstawienie skali incydentu Ransomware, paraliżu SOR, ekspozycji finansowej i karnej oraz bilansu ryzyk przed i po wdrożeniu Planu CAP (Student A - Lead Auditor).
• Dekonstrukcja techniczna ataku i architektura kryptoizolacji (4 min): Analiza wektora infekcji, ruch boczny, kompromitacja Active Directory, brak segmentacji, demonstracja wdrożenia Oracle TDE z HSM i backupów WORM (Student B - Technical SecOps Auditor).
• Prezentacja Kanonicznej Karty Niezgodności 4C, analizy 5 Why / Ishikawy i matrycy ryzyka 5x5 (4 min): Uzasadnienie kwalifikacji uchybienia, korelacja z RODO art. 9 i 32, NIS2 art. 21, art. 160 KK oraz wyliczenie redukcji ryzyka z IR=25 do RR=5 (Student C - Compliance Auditor).
• Prezentacja Trójfazowego Planu CAP i Załącznika Wykonawczego SOP (3 min): Szczegółowe omówienie działań w horyzoncie 0-7, 30 i 90 dni, macierzy RACI, metryk KPI/KRI oraz zasad kryptoizolacji (Student B i Student C).
• Dyskusja z komisją i obrona rekomendacji (1 min): Odpowiedzi na pytania prowadzącego i obrona realności budżetowej w warunkach szpitala klinicznego (cała Triada Audytorska).

Struktura raportu strategicznego na ocenę 5.0 (objętość 12-16 stron A4):

A. Podsumowanie Zarządcze (Executive Summary - "Pitch to Board") - 1 strona A4:

• Bilans ryzyk (4 wektory skwantyfikowane w matrycy 5x5 przed i po CAP).
• Analiza ekspozycji prawnej, finansowej i karnej (UODO, NIS2, art. 160 i 231 KK, roszczenia pacjentów).
• Kosztorys Planu CAP (650 000 PLN) vs Return on Security Investment (ROSI).

B. Odpowiedzi na zaawansowane pytania problemowe i opis sytuacji kryzysowej:

1. W jaki sposób wdrożyć mechanizm kryptoizolacji (Oracle TDE + HSM) oraz niezmienne repozytoria kopii zapasowych (Immutable Storage WORM), aby wykluczyć możliwość zaszyfrowania lub skasowania danych medycznych przez napastnika posiadającego uprawnienia Domain Admin?

2. Jakie obowiązki ciążą na szpitalu klinicznym w świetle jednoczesnego zbiegu przepisów art. 33 i 34 RODO, art. 23 Dyrektywy NIS2 (zgłoszenie incydentu wczesnego ostrzeżenia w ciągu 24h) oraz art. 160 Kodeksu Karnego w przypadku paraliżu oddziału ratunkowego?

3. Jakie rygory narzuca Rozporządzenie AI Act oraz norma ISO 27799 na algorytmy sztucznej inteligencji wykorzystywane do diagnozy pacjentów (AI-DIAG) w kontekście integralności danych treningowych i odporności na cyberataki?

C. Kanoniczna Karta Ustaleń Audytowych w Modelu 4C (Condition, Criteria, Cause [5 Why + Diagram Ishikawy], Consequence).

D. Zaawansowana Matryca Ryzyka 5x5 i Wskaźniki BCM (IR vs RR, parametry RTO=15m, RPO=0s, MTPD=1h).

E. Trójfazowy Plan Działań Korygujących (CAP) (tabela z podziałem na Fazę 1 [0-7 dni], Fazę 2 [30 dni], Fazę 3 [90 dni], macierz RACI, metryki KPI i KRI).

F. Sformalizowany Projekt Załącznika Wykonawczego (SOP) - Standard Kryptoizolacji Danych Medycznych (§ 1 do § 6).

G. Analiza kompromisów inżynierskich (Trade-offs: narzut wydajnościowy szyfrowania TDE/HSM i mikrosegmentacji sieci vs gwarancja nienaruszalności danych pacjentów).

H. Bibliografia, netografia i regulacje prawne.

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 9, 25, 32, 33, 34, 82, 83.
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (Dyrektywa NIS2) - art. 21, 23.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 (Artificial Intelligence Act) - wymagania dla systemów wysokiego ryzyka.
• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - kontrole A.5.24-A.5.28, A.8.14, A.8.20, A.8.24.
• Norma PN-EN ISO 27799:2016: Informatyka medyczna - Zarządzanie bezpieczeństwem informacji w zdrowiu przy użyciu ISO/IEC 27002.
• Europejska Rada Ochrony Danych (EROD): Wytyczne 9/2022 w sprawie zgłaszania naruszeń ochrony danych na mocy RODO.
• Europejska Rada Ochrony Danych (EROD): Wytyczne 01/2021 w sprawie przykładów dotyczących zgłaszania naruszeń ochrony danych (Przykłady Ransomware).
• Kodeks Karny (Dz.U. z 1997 r. nr 88 poz. 553 z późn. zm.) - art. 160, 231, 267, 268a.
• Centrum Monitorowania Jakości w Ochronie Zdrowia (CMJ): Zestaw standardów akredytacyjnych dla szpitali (Obszar Informacja i Dokumentacja).

• U2 Bezbłędna dekompozycja uchybień w modelu 4C i przeprowadzenie analizy przyczyn źródłowych 5 Why oraz diagramu Ishikawy w szpitalu klinicznym.
• U1 Projekt architektury Zero-Trust, mikrosegmentacji sieci medycznej, wdrożenia Oracle TDE z modułem HSM oraz niezmiennych kopii Immutable Backup WORM.
• U3 Kwantyfikacja ryzyka w 25-stopniowej matrycy 5x5 w ujęciu inherentnym i rezydualnym z powiązaniem ze wskaźnikami BCM (RTO/RPO/MTPD).
• U4 Opracowanie Trójfazowego Planu CAP, sformalizowanego aktu SOP oraz 1-stronicowego briefingu dla Dyrekcji Szpitala (Pitch to Board).

Podczas wystąpienia przed komisją studenci powinni wykazać się postawą profesjonalną i stanowczością w obronie zaleceń audytowych. Kluczowe jest udowodnienie, że koszty proponowanych zabezpieczeń (650 000 PLN) są znikome w porównaniu z ryzykiem utraty życia pacjentów (art. 160 KK), karami UODO/NIS2 sięgającymi 30 mln EUR oraz utratą wielomilionowego kontraktu NFZ. Student wcielający się w rolę Lead Auditora musi zachować spokój w obliczu trudnych pytań komisji wcielającej się w rolę sceptycznej Dyrekcji Szpitala.

Głównym celem strategicznego zadania laboratoryjnego na ocenę 5.0 jest przeprowadzenie zaawansowanego audytu powłamaniowego w ogólnopolskiej spółce e-commerce i podmiocie sektora fintech, w której doszło do katastrofalnego naruszenia ochrony danych osobowych 185 000 klientów. Naruszenie powstało w wyniku kaskadowego połączenia luki BOLA/IDOR w interfejsie REST API koszyka zakupowego z wyciekiem uprzywilejowanych tokenów chmurowych AWS IAM z publicznego repozytorium GitHub. Intruzi uzyskali dostęp do historii transakcji, adresów dostaw, numerów telefonów, profili preferencji konsumenckich oraz zamaskowanych danych kart płatniczych (PAN/Tokeny). Zadanie wymaga zastosowania kanonicznego modelu 4C, wyliczenia ryzyka w 25-stopniowej matrycy 5x5 powiązanej ze wskaźnikami BCM (RTO=30m, RPO=0s, MTPD=2h), opracowania Trójfazowego Planu CAP z rolami RACI i metrykami KPI/KRI, stworzenia projektu procedury wykonawczej (SOP) dla bezpiecznego cyklu DevSecOps i zarządzania API oraz przygotowania jednostronicowego Podsumowania Zarządczego (Pitch to Board) dla Zarządu i CFO.

Powiązanie z sylabusem i efektami kształcenia na ocenę 5.0:

• W1 Ochrona danych konsumenckich, tajemnicy handlowej, przepisów Ustawy o prawach konsumenta, standardu PCI DSS v4.0 oraz odpowiedzialności cywilnej i administracyjnej z art. 82 i 83 RODO.
• W2W3 Rygorystyczna synteza wymagań Dyrektywy NIS2 (duzi dostawcy usług cyfrowych), normy ISO/IEC 27001:2022 (kontrole A.8.2, A.8.26, A.8.28, A.5.19), standardu OWASP ASVS v4.0.3 L3, standardu OWASP API Security Top 10 oraz wytycznych EROD.
• U1 Projekt architektury Zero-Trust dla bramy API Gateway, wdrożenie scentralizowanego zarządzania sekretami w HashiCorp Vault, automatycznych skanerów SAST/DAST i Secret Detection w potokach GitLab CI/CD oraz Row-Level Security.
• U2 Bezbłędne sformułowanie Karty Niezgodności w modelu 4C z precyzyjną kwalifikacją prawną i techniczną.
• U3 Kwantyfikacja ryzyka w matrycy 5x5 dla wektorów eksfiltracji bazy transakcyjnej, kradzieży tokenów AWS i kar regulacyjnych (IR=25 -> RR=4, korelacja z BCM).
• U4 Opracowanie Trójfazowego Planu CAP, procedury SOP i briefingu zarządczego.
• K1K2K3 Profesjonalizm audytorski, niezależność, zdolność do obrony rekomendacji przed Zarządem i inwestorami funduszu venture capital.
• Powiązanie z wykładem: Wyk1 (Web Application Governance), Wyk2 (Zasady audytowania ISO 19011), Wyk3 (Kontrole A.8.2 i A.8.28 ISO 27001), Wyk4 (RODO art. 32/33 i NIS2), Wyk5 (Matryca 5x5 i BCM), Wyk6 (Analiza ruchu API i logów chmurowych AWS CloudTrail), Wyk7 (Model 4C, 5 Why, Ishikawa, CAP i Pitch to Board).

Megasklep S.A. jest jedną z największych platform e-commerce w Polsce, generującą roczny obrót na poziomie 850 mln PLN i obsługującą ponad 1,2 mln zarejestrowanych kont użytkowników. Infrastruktura platformy działa w chmurze AWS z wykorzystaniem klastrów Kubernetes (EKS), bazy Amazon Aurora PostgreSQL oraz bramy API Kong Gateway. W ramach nowej wersji aplikacji mobilnej i webowej zespół programistyczny wdrożył mikroserwis koszyka zamówień oraz rekomendacji zakupowych oparty na sztucznej inteligencji.

Stan faktyczny w obszarze luki bezpieczeństwa i wycieku danych:

• W trakcie prac wdrożeniowych zewnętrzny programista zatrudniony przez podwykonawcę (software house) omyłkowo umieścił plik `.env` zawierający stałe poświadczenia AWS IAM z uprawnieniami `AdministratorAccess` w publicznym repozytorium GitHub. Klucze te nie zostały unieważnione przez 14 dni z powodu braku procedur skanowania wycieków sekretów (Secret Scanning).
• Równolegle w nowo opublikowanym endpointzie REST API koszyka (`GET /api/v2/cart/{cart_id}/summary`) popełniono krytyczny błąd autoryzacji obiektowej (BOLA / IDOR). Endpoint weryfikował jedynie ważność podpisu tokena JWT, nie sprawdzając, czy `user_id` zawarty w tokenie odpowiada właścicielowi koszyka `cart_id`. Wartość `cart_id` była sekwencyjną liczbą całkowitą.
• Napastnicy, po odnalezieniu kluczy AWS na GitHubie, użyli ich do wylistowania zasobów chmurowych i zidentyfikowania publicznych endpointów API. Następnie uruchomili rozproszony skrypt, który iterując po identyfikatorach koszyków z prędkością 250 zapytań na sekundę, pobrał pełne dane 185 000 profili konsumenckich z ostatnich 2 lat.
• Pobrany zbiór danych obejmował: imię, nazwisko, adres zamieszkania i dostawy, numer telefonu, adres e-mail, pełną historię zakupów (w tym towary intymne i farmaceutyki), łączną kwotę wydatków oraz stokenizowane identyfikatory kart płatniczych powiązane z bramką PayU.
• Brama API Kong miała wyłączone wtyczki Rate Limiting i Bot Detection, a logi zapytań HTTP były przechowywane zaledwie przez 48 godzin ze względów oszczędnościowych na przestrzeni dyskowej Amazon CloudWatch.
• Informacja o wycieku pojawiła się na forum hakerskim BreachForums, gdzie wystawiono próbkę danych 10 000 klientów z żądaniem 150 000 EUR w kryptowalucie Monero za nieujawnienie całości.

Prezes Zarządu zwołuje posiedzenie sztabu kryzysowego i powołuje Triadę Audytorską do przeprowadzenia strategicznego audytu dochodzeniowego w formule 90 minut.

Zadanie realizowane jest w ścisłym reżimie warsztatowym (formuła 90 minut) przez 2-3 osobową Triadę Audytorską:

• Krok 1 (Podział ról w Triadzie Audytorskiej i triage dowodowy - Minuty 00-15):

  Student A (Lead Auditor / Reprezentant CISO): Odpowiada za ład zarządczy w e-commerce, analizę ekspozycji na kary UODO (art. 83) i NIS2, nadzór nad powiadomieniem 185 000 klientów (art. 34 RODO) oraz przygotowanie Executive Summary dla Zarządu.

  Student B (Technical SecOps Auditor / Architekt Bezpieczeństwa Chmury): Dekonstruuje żądania REST API, bada lukę BOLA/IDOR, analizuje logi AWS CloudTrail dotyczące użycia klucza IAM, projektuje wdrożenie HashiCorp Vault, wymuszenie UUID v4, mechanizmy Rate Limitingu i WAF w chmurze AWS.

  Student C (Governance, Risk & Compliance Auditor): Przeprowadza dekompozycję uchybienia w kanonicznym modelu 4C, wylicza ryzyko w matrycy 5x5 skorelowane ze wskaźnikami BCM (RTO=30m, RPO=0s, MTPD=2h), prowadzi sekwencję 5 Why oraz konstruuje Trójfazowy Plan CAP z przypisaniem ról RACI i metryk KPI/KRI. W zespole dwuosobowym zadania te dzielą Studenci A i B.

• Krok 2 (Opracowanie Kanonicznej Karty Niezgodności 4C - Minuty 15-40):

  Sformułujcie kartę uchybienia w modelu 4C:

• Krok 3 (Zaawansowana Matryca Ryzyka 5x5 i Wskaźniki BCM - Minuty 15-40):

  Skwantyfikujcie 4 wektory zagrożeń w skali 25-stopniowej (P 1-5 x S 1-5):

• Krok 4 (Konstrukcja Trójfazowego Planu Działań Korygujących - CAP - Minuty 40-70):

• Krok 5 (Sformalizowany Projekt Załącznika Wykonawczego SOP - Minuty 40-70):

  Zredagujcie akt normatywny: "Standard Bezpiecznego Cyklu Rozwoju Oprogramowania (Secure SDLC), Ochrony Interfejsów API i Zarządzania Sekretami Chmurowymi w Megasklep S.A." z artykułami § 1 do § 6.

• Krok 6 (Opracowanie Podsumowania Zarządczego - Pitch to Board - Minuty 70-90):

  Przygotujcie 1-stronicowy briefing dla Zarządu: redukcja ryzyk IR=25 -> RR<=4, kalkulacja ekspozycji na kary (do 34 mln PLN UODO + 10 mln EUR NIS2), budżet Planu CAP (420 000 PLN) oraz stopa zwrotu ROSI (ochrona 850 mln PLN rocznego obrotu i odzyskanie reputacji).

Plan obrony seminaryjnej przed komisją laboratoryjną (15 minut):

• Prezentacja Podsumowania Zarządczego (Pitch to Board) dla Zarządu (3 min): Skala wycieku 185 000 profili, ekspozycja na kary UODO/NIS2, ryzyko utraty licencji płatniczej i bilans ryzyk (Student A - Lead Auditor).
• Dekonstrukcja wektora technicznego BOLA/IDOR i wycieku kluczy AWS (4 min): Analiza zapytań HTTP, dekompozycja logów CloudTrail, brak Rate Limitingu, demonstracja architektury HashiCorp Vault i Open Policy Agent (Student B - Technical SecOps Auditor).
• Prezentacja Kanonicznej Karty Niezgodności 4C, analizy 5 Why / Ishikawy i matrycy ryzyka 5x5 (4 min): Uzasadnienie kwalifikacji naruszenia, wyliczenie parametrów BCM i redukcji ryzyka z IR=25 do RR=4 (Student C - Compliance Auditor).
• Prezentacja Trójfazowego Planu CAP i Załącznika Wykonawczego SOP (3 min): Harmonogram 0-7, 30, 90 dni, wskaźniki KPI/KRI, reguły bramkowania potoków CI/CD i nadzór nad dostawcami ICT (Student B i Student C).
• Dyskusja z komisją i obrona rekomendacji (1 min): Odpowiedzi na pytania o kompromis pomiędzy szybkością wypuszczania nowych funkcji a rygorem bezpieczeństwa DevSecOps (cała Triada Audytorska).

Struktura raportu strategicznego na ocenę 5.0 (objętość 12-16 stron A4):

A. Podsumowanie Zarządcze (Executive Summary - "Pitch to Board") - 1 strona A4:

• Bilans ryzyk przed i po CAP w matrycy 5x5.
• Ekspozycja prawno-finansowa (RODO art. 83, NIS2, PCI DSS, roszczenia konsumentów).
• Kosztorys Planu CAP (420 000 PLN) vs ROSI.

B. Odpowiedzi na zaawansowane pytania problemowe i opis sytuacji kryzysowej:

1. W jaki sposób zintegrować mechanizmy wykrywania wycieków sekretów (GitGuardian, Trufflehog) oraz dynamicznego wydawania poświadczeń (HashiCorp Vault AWS Secrets Engine) w potokach GitLab CI/CD, aby całkowicie uniemożliwić wyciek stałych kluczy chmurowych?

2. Jakie wymagania nakłada standard PCI DSS v4.0 (Wymóg 6) oraz norma ISO/IEC 27001:2022 (kontrola A.8.28) na walidację uprawnień obiektowych (BOLA/IDOR) w interfejsach API przetwarzających dane transakcyjne?

3. Jak prawidłowo przeprowadzić i udokumentować powiadomienie 185 000 osób, których dane dotyczą (art. 34 RODO), w sytuacji, gdy wyciekły informacje o zakupach towarów intymnych i farmaceutyków, stwarzając wysokie ryzyko dyskryminacji i szantażu?

C. Kanoniczna Karta Ustaleń Audytowych w Modelu 4C (Condition, Criteria, Cause [5 Why + Diagram Ishikawy], Consequence).

D. Zaawansowana Matryca Ryzyka 5x5 i Wskaźniki BCM (IR vs RR, RTO=30m, RPO=0s, MTPD=2h).

E. Trójfazowy Plan Działań Korygujących (CAP) (tabela Faza 1, 2, 3 z macierzą RACI i KPI/KRI).

F. Sformalizowany Projekt Załącznika Wykonawczego (SOP) - Standard Bezpiecznego Cyklu DevSecOps i Ochrony API (§ 1 do § 6).

G. Analiza kompromisów inżynierskich (Trade-offs: opóźnienie wdrożeń biznesowych przez bramki Quality Gates vs eliminacja incydentów kompromitacji).

H. Bibliografia, netografia i regulacje prawne.

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 5, 24, 25, 32, 33, 34, 82, 83.
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (Dyrektywa NIS2) - art. 21.
• PCI Security Standards Council: Payment Card Industry Data Security Standard (PCI DSS) v4.0.
• OWASP Foundation: OWASP API Security Top 10:2023 - API1:2023 Broken Object Level Authorization.
• OWASP Foundation: Application Security Verification Standard (ASVS) v4.0.3 Poziom L3.
• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - kontrole A.5.19, A.8.2, A.8.26, A.8.28.
• Urząd Ochrony Danych Osobowych: Decyzja DKN.5130.2215.2020 (Kara za brak odpowiednich środków technicznych i organizacyjnych w sklepie internetowym).
• Kodeks Karny (Dz.U. z 1997 r. nr 88 poz. 553 z późn. zm.) - art. 267.

• U2 Identyfikacja i formalna dekompozycja uchybień autoryzacyjnych w modelu 4C oraz analiza 5 Why w architekturze chmurowej.
• U1 Projekt architektury Zero-Trust dla interfejsów API, wdrożenie HashiCorp Vault oraz zautomatyzowanych bramek DevSecOps.
• U3 Kwantyfikacja ryzyka w matrycy 5x5 i korelacja z parametrami BCM dla platformy wysokiej dostępności.
• U4 Opracowanie Trójfazowego Planu CAP, procedury wykonawczej SOP oraz strategicznego briefingu dla Zarządu.

Podczas referatu studenci powinni położyć nacisk na realia biznesowe e-commerce: Zarządy spółek handlowych często traktują bezpieczeństwo jako koszt spowalniający wdrożenia. Zadaniem Triady Audytorskiej jest wykazanie za pomocą wskaźnika ROSI i wyliczenia matrycy 5x5, że brak bramek DevSecOps i luki w API niosą za sobą ryzyko likwidacji biznesu na skutek kar UODO i utraty licencji płatniczej PCI DSS.

Głównym celem strategicznego zadania laboratoryjnego na ocenę 5.0 jest przeprowadzenie pogłębionego audytu śledczego i proceduralnego w jednostce samorządu terytorialnego realizującej zadania pomocy społecznej, w której doszło do utraty poufności danych prawnie chronionych o najwyższym stopniu wrażliwości (dane z art. 9 i 10 RODO). Incydent powstał w wyniku zagubienia przez pracownika socjalnego niezaszyfrowanego przenośnego dysku twardego USB, na którym znajdowały się nieprzetworzone bazy danych 1 200 rodzin objętych procedurą 'Niebieskiej Karty', wywiady środowiskowe, orzeczenia sądów rodzinnych o odebraniu władzy rodzicielskiej, dane o chorobach psychicznych, uzależnieniach oraz numery PESEL i adresy ofiar przemocy domowej. Zadanie wymaga zastosowania kanonicznego modelu 4C, przeprowadzenia analizy ryzyka w matrycy 5x5 skorelowanej z parametrami BCM (RTO=1h, RPO=0s, MTPD=4h), skonstruowania Trójfazowego Planu CAP z rolami RACI i metrykami KPI/KRI, opracowania sformalizowanego Załącznika Wykonawczego (SOP) regulującego kontrolę nośników i kryptografię stacji roboczych oraz przygotowania Podsumowania Zarządczego (Pitch to Board) dla Prezydenta Miasta i Dyrekcji MOPR.

Powiązanie z sylabusem i efektami kształcenia na ocenę 5.0:

• W1 Zaawansowana znajomość ochrony danych szczególnych kategorii (art. 9 RODO) oraz danych dotyczących wyroków skazujących i naruszeń prawa (art. 10 RODO), przepisów Ustawy o pomocy społecznej, Ustawy o przeciwdziałaniu przemocy domowej oraz odpowiedzialności karnej urzędnika z art. 231 KK (niedopełnienie obowiązków).
• W2W3 Rygorystyczne zestawienie Krajowych Ram Interoperacyjności (par. 20 KRI - obowiązek szyfrowania nośników przenośnych), normy PN-EN ISO/IEC 27001:2022 (kontrole A.7.10, A.7.14, A.8.1, A.8.24) oraz orzecznictwa Prezesa UODO w sektorze publicznym.
• U1 Projekt techniczny centralnego zarządzania kryptografią dysków BitLocker TPM 2.0 przez Microsoft Intune / GPO, wdrożenie blokady portów USB na poziomie rejestru i systemu EDR z mechanizmem białych list nośników sprzętowo szyfrowanych (XTS-AES 256).
• U2 Bezbłędne sformułowanie Karty 4C i przeprowadzenie analizy przyczyn źródłowych 5 Why oraz Diagramu Ishikawy.
• U3 Kwantyfikacja ryzyka w matrycy 5x5 dla wektorów zagrożenia zdrowia/życia ofiar przemocy, szantażu i kar administracyjnych (IR=20 -> RR=4).
• U4 Opracowanie Trójfazowego Planu CAP, procedury SOP i briefingu dla władz samorządowych.
• K1K2K3 Wrażliwość społeczna, wysoka etyka zawodowa, odporność na presję polityczną władz miasta i obiektywizm audytorski.
• Powiązanie z wykładem: Wyk1 (Ład zarządczy w administracji publicznej), Wyk2 (Zasady audytowania ISO 19011), Wyk3 (Kontrole A.7.10 i A.8.24 ISO 27001), Wyk4 (RODO art. 9/10 i KRI), Wyk5 (Matryca 5x5 i BCM), Wyk6 (Inspekcja konfiguracji GPO i logów zdarzeń Windows), Wyk7 (Model 4C, 5 Why, Ishikawa, CAP i Pitch to Board).

Miejski Ośrodek Pomocy Rodzinie (MOPR) w Kielcach jest jednostką budżetową miasta zatrudniającą 180 pracowników, w tym 95 pracowników socjalnych realizujących zadania w terenie. Ośrodek prowadzi postępowania w sprawach świadczeń socjalnych, pieczy zastępczej oraz procedury przeciwdziałania przemocy domowej.

Stan faktyczny w obszarze incydentu bezpieczeństwa i naruszenia danych:

• Starszy pracownik socjalny, chcąc przygotować sprawozdania roczne w domu podczas weekendu, skopiował ze służbowego komputera na prywatny, niezaszyfrowany dysk zewnętrzny USB (Seagate 2TB) foldery zawierające pełną bazę danych Zespołu ds. Przeciwdziałania Przemocy Domowej.
• Zbiór danych obejmował 1 200 kompletnych teczek spraw rodzinnych z lat 2021-2025, w tym: protokoły posiedzeń grup diagnostyczno-pomocowych, formularze 'Niebieska Karta - A i C', imiona, nazwiska, numery PESEL, adresy zamieszkania oraz nowe adresy ukrycia ofiar przemocy, drastyczne opisy aktów przemocy fizycznej i seksualnej, dokumentację medyczną obdukcji lekarskich, dane o leczeniu psychiatrycznym i odwykowym oraz wyroki sądów karnych i rodzinnych.
• Pracownik przewoził dysk w torbie służbowej komunikacją miejską. W trakcie powrotu do domu torba została skradziona lub zagubiona. Pracownik z obawy przed konsekwencjami dyscyplinarnymi zwlekał z powiadomieniem przełożonych przez 5 dni, podejmując próby odnalezienia torby na własną rękę.
• Audyt wykazał, że:

  1. Na stacjach roboczych MOPR porty USB były całkowicie odblokowane i umożliwiały swobodny zapis danych bez autoryzacji administratora.

  2. Służbowy dysk komputera nie posiadał aktywnego szyfrowania BitLocker TPM.

  3. W jednostce nie wdrożono żadnego systemu DLP (Data Loss Prevention) ani centralnego monitorowania operacji kopiowania plików masowych na nośniki wymienne.

  4. Polityka Bezpieczeństwa Informacji formalnie zakazywała wynoszenia danych poza ośrodek, jednak zapis ten był martwy i powszechnie ignorowany z powodu braku technicznych środków wymuszenia oraz braku laptopów służbowych z bezpiecznym VPN.

  5. IOD ośrodka pełnił swoją funkcję na 1/8 etatu, łącząc ją z funkcją IOD w 12 innych placówkach oświatowych, i od 2 lat nie przeprowadził żadnego audytu w MOPR.

Prezydent Miasta Kielce powołuje Triadę Audytorską do przeprowadzenia natychmiastowego audytu śledczego w formule 90 minut.

Zadanie realizowane jest w ścisłym reżimie warsztatowym (formuła 90 minut) przez 2-3 osobową Triadę Audytorską:

• Krok 1 (Podział ról w Triadzie Audytorskiej i triage dowodowy - Minuty 00-15):

  Student A (Lead Auditor / Reprezentant CISO): Odpowiada za ład zarządczy w administracji, analizę zbieżności RODO art. 9/10, KRI par. 20 i art. 231 KK, kontakty z Prezydentem Miasta, Policją i Prezesem UODO oraz przygotowanie Executive Summary ("Pitch to Board").

  Student B (Technical SecOps Auditor / Architekt Bezpieczeństwa Endpointów): Analizuje konfigurację stacji roboczych, logi zdarzeń Windows Event Log (Event ID 4663, 6416), brak polityk GPO, projektuje wdrożenie BitLocker TPM 2.0 przez Intune, techniczne blokady portów USB i białe listy nośników szyfrowanych Kingston IronKey.

  Student C (Governance, Risk & Compliance Auditor): Przeprowadza dekompozycję uchybienia w kanonicznym modelu 4C, wylicza ryzyko w matrycy 5x5 skorelowane ze wskaźnikami BCM (RTO=1h, RPO=0s, MTPD=4h), prowadzi sekwencję 5 Why oraz konstruuje Trójfazowy Plan CAP z przypisaniem ról RACI i metryk KPI/KRI. W zespole dwuosobowym zadania te dzielą Studenci A i B.

• Krok 2 (Opracowanie Kanonicznej Karty Niezgodności 4C - Minuty 15-40):

  Sformułujcie kartę uchybienia w modelu 4C:

• Krok 3 (Zaawansowana Matryca Ryzyka 5x5 i Wskaźniki BCM - Minuty 15-40):

  Skwantyfikujcie 4 wektory zagrożeń w skali 25-stopniowej (P 1-5 x S 1-5):

• Krok 4 (Konstrukcja Trójfazowego Planu Działań Korygujących - CAP - Minuty 40-70):

• Krok 5 (Sformalizowany Projekt Załącznika Wykonawczego SOP - Minuty 40-70):

  Zredagujcie akt normatywny: "Standard Bezpieczeństwa Urządzeń Końcowych, Kontroli Nośników Przenośnych i Kryptograficznej Ochrony Danych Prawnie Chronionych w Miejskim Ośrodku Pomocy Rodzinie w Kielcach" z artykułami § 1 do § 6.

• Krok 6 (Opracowanie Podsumowania Zarządczego - Pitch to Board - Minuty 70-90):

  Przygotujcie 1-stronicowy dokument dla Prezydenta Miasta i Dyrekcji: bilans ryzyk (redukcja IR=20 do RR<=4), analiza odpowiedzialności karnej z art. 231 KK, budżet Planu CAP (145 000 PLN) oraz stopa zwrotu ROSI (zapobieżenie tragediom ludzkim, uniknięcie odszkodowań miejskich rzędu milionów PLN i przywrócenie wiarygodności samorządu).

Plan obrony seminaryjnej przed komisją laboratoryjną (15 minut):

• Prezentacja Podsumowania Zarządczego dla Prezydenta Miasta (3 min): Przedstawienie skali incydentu zagubienia danych Niebieskiej Karty, ekspozycji prawnej i karnej z art. 231 KK oraz bilansu ryzyk przed i po CAP (Student A - Lead Auditor).
• Dekonstrukcja techniczna braku zabezpieczeń stacji i architektura BitLocker/USB (4 min): Analiza braku blokad rejestru, demonstracja centralnej polityki Intune, wymuszenie szyfrowania BitLocker TPM 2.0 i białych list IronKey (Student B - Technical SecOps Auditor).
• Prezentacja Kanonicznej Karty Niezgodności 4C, analizy 5 Why / Ishikawy i matrycy 5x5 (4 min): Uzasadnienie uchybienia w świetle art. 9 i 10 RODO, par. 20 KRI oraz wyliczenie redukcji ryzyka z IR=20 do RR=4 (Student C - Compliance Auditor).
• Prezentacja Trójfazowego Planu CAP i Załącznika Wykonawczego SOP (3 min): Harmonogram 0-7, 30, 90 dni, macierz RACI, metryki KPI/KRI oraz zasady bezpiecznej pracy socjalnej w terenie (Student B i Student C).
• Dyskusja z komisją i obrona rekomendacji (1 min): Odpowiedzi na pytania o realność wdrożenia restrykcyjnych procedur IT wśród pracowników socjalnych (cała Triada Audytorska).

Struktura raportu strategicznego na ocenę 5.0 (objętość 12-16 stron A4):

A. Podsumowanie Zarządcze (Executive Summary - "Pitch to Board") - 1 strona A4:

• Bilans ryzyk przed i po CAP w matrycy 5x5.
• Ekspozycja prawna, finansowa i karna (art. 9/10 RODO, KRI par. 20, art. 231 KK).
• Kosztorys Planu CAP (145 000 PLN) vs ROSI.

B. Odpowiedzi na zaawansowane pytania problemowe i opis sytuacji kryzysowej:

1. W jaki sposób skonfigurować mechanizmy kontroli urządzeń przenośnych w systemie Microsoft Intune / GPO, aby całkowicie zablokować nieautoryzowane nośniki USB, dopuszczając wyłącznie pamięci masowe posiadające certyfikat FIPS 140-2 Level 3 i sprzętowy numer seryjny z białej listy organizacji?

2. Jakie szczególne środki ostrożności i obowiązki prawne wynikają z art. 10 RODO oraz Ustawy o przeciwdziałaniu przemocy domowej przy przetwarzaniu danych dotyczących sprawców i ofiar przemocy w jednostkach samorządowych?

3. Jakie przesłanki decydują o zaistnieniu bezpośredniego niebezpieczeństwa dla życia lub zdrowia osób (art. 34 RODO) w przypadku wycieku danych z procedury Niebieskiej Karty i jakie konkretne działania osłonowe jednostka musi zaoferować poszkodowanym?

C. Kanoniczna Karta Ustaleń Audytowych w Modelu 4C (Condition, Criteria, Cause [5 Why + Diagram Ishikawy], Consequence).

D. Zaawansowana Matryca Ryzyka 5x5 i Wskaźniki BCM (IR vs RR, RTO=1h, RPO=0s, MTPD=4h).

E. Trójfazowy Plan Działań Korygujących (CAP) (tabela Faza 1, 2, 3 z macierzą RACI i KPI/KRI).

F. Sformalizowany Projekt Załącznika Wykonawczego (SOP) - Standard Bezpieczeństwa Urządzeń Końcowych i Nośników USB (§ 1 do § 6).

G. Analiza kompromisów inżynierskich (Trade-offs: wygoda pracy socjalnej w terenie vs rygorystyczne blokady techniczne i kryptografia).

H. Bibliografia, netografia i regulacje prawne.

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 5, 9, 10, 24, 32, 33, 34, 82, 83.
• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności (KRI) - par. 20.
• Ustawa z dnia 29 lipca 2005 r. o przeciwdziałaniu przemocy domowej (Dz.U. z 2023 r. poz. 535 z późn. zm.).
• Ustawa z dnia 12 marca 2004 r. o pomocy społecznej (Dz.U. z 2023 r. poz. 901 z późn. zm.).
• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - kontrole A.7.10, A.7.14, A.8.1, A.8.24.
• Europejska Rada Ochrony Danych (EROD): Wytyczne 01/2021 w sprawie przykładów dotyczących zgłaszania naruszeń ochrony danych (Przykłady utraty nośników).
• Kodeks Karny (Dz.U. z 1997 r. nr 88 poz. 553 z późn. zm.) - art. 231 (Niedopełnienie obowiązków przez funkcjonariusza publicznego).
• Urząd Ochrony Danych Osobowych: Decyzja ZSPR.421.2.2019 (Kara za brak szyfrowania nośników i procedur kontroli w jednostce samorządowej).

• U2 Dekompozycja uchybień w modelu 4C oraz analiza przyczyn źródłowych 5 Why w administracji publicznej.
• U1 Projekt techniczny centralnego wymuszenia BitLocker TPM 2.0 i białych list USB w Microsoft Intune.
• U3 Kwantyfikacja ryzyka w matrycy 5x5 dla danych art. 9 i 10 RODO z powiązaniem ze wskaźnikami BCM.
• U4 Opracowanie Trójfazowego Planu CAP, procedury SOP oraz strategicznego briefingu dla Prezydenta Miasta.

W trakcie referatu studenci powinni wykazać zrozumienie specyfiki jednostek samorządowych: brak budżetów i niska świadomość personelu nie zwalniają kierownictwa z odpowiedzialności prawnej. Kluczowe jest wykazanie, że wdrożenie BitLockera i blokady USB jest możliwe bezkosztowo przy użyciu istniejących licencji Microsoft oraz że brak tych kontroli naraża Dyrektora na odpowiedzialność karną z art. 231 KK.

Głównym celem strategicznego zadania laboratoryjnego na ocenę 5.0 jest przeprowadzenie zaawansowanego audytu powłamaniowego i chmurowego (Cloud Security Audit) w ogólnopolskiej sieci laboratoriów medycznych przetwarzającej dane szczególnej kategorii (art. 9 RODO: dane genetyczne i onkologiczne). Incydent polegał na publicznym ujawnieniu w sieci Internet zasobu chmurowego Amazon S3 (`medicsilesia-patient-results-prod`), zawierającego 65 000 niezaszyfrowanych skanów badań genetycznych (sekwencjonowanie genów BRCA1/BRCA2, mutacje predysponujące do nowotworów) oraz opisów biopsji histopatologicznych wraz z pełnymi danymi identyfikacyjnymi pacjentów. Naruszenie powstało na skutek samowolnej zmiany uprawnień bucket policy przez inżyniera DevOps podczas prac migracyjnych. Zadanie wymaga zastosowania kanonicznego modelu 4C, wyliczenia ryzyka w 25-stopniowej matrycy 5x5 powiązanej z BCM (RTO=15m, RPO=0s, MTPD=1h), skonstruowania Trójfazowego Planu CAP z rolami RACI i metrykami KPI/KRI, opracowania sformalizowanego Załącznika Wykonawczego (SOP) definiującego twarde reguły Cloud Governance (S3 Block Public Access, AWS KMS, AWS Config) oraz przygotowania Podsumowania Zarządczego (Pitch to Board) dla Zarządu i Rady Nadzorczej spółki.

Powiązanie z sylabusem i efektami kształcenia na ocenę 5.0:

• W1 Zaawansowana ochrona danych genetycznych i zdrowotnych (art. 9 RODO), tajemnicy medycznej, przepisów Ustawy o prawach pacjenta oraz odpowiedzialności cywilnej z art. 82 RODO.
• W2W3 Rygorystyczna synteza wymagań Dyrektywy NIS2 (sektor ochrony zdrowia), norm ISO/IEC 27001:2022 (kontrole A.8.9, A.8.12, A.8.24), ISO/IEC 27017 (bezpieczeństwo w chmurze), ISO/IEC 27018 (ochrona danych osobowych w chmurze) oraz rekomendacji CIS AWS Foundations Benchmark v3.0.
• U1 Projekt architektury bezpieczeństwa w chmurze AWS: wymuszenie organizacji AWS Control Tower z Service Control Policies (SCP), aktywacja S3 Block Public Access na poziomie konta, automatyczne szyfrowanie AWS KMS z kluczami zarządzanymi przez klienta (CMK) i automatyczną rotacją.
• U2 Bezbłędne sformułowanie Karty 4C i przeprowadzenie analizy przyczyn źródłowych 5 Why oraz Diagramu Ishikawy.
• U3 Kwantyfikacja ryzyka w matrycy 5x5 dla wektorów szantażu danymi genetycznymi, wykluczenia ubezpieczeniowego pacjentów i sankcji UODO (IR=25 -> RR=4).
• U4 Opracowanie Trójfazowego Planu CAP, procedury wykonawczej SOP oraz briefingu dla Zarządu.
• K1K2K3 Niezależność audytorska, wysoki poziom etyki wobec danych genetycznych, profesjonalizm w kontakcie z kadrą inżynierską chmury.
• Powiązanie z wykładem: Wyk1 (Cloud Security Governance), Wyk2 (Zasady audytowania ISO 19011), Wyk3 (Kontrole A.8.9 i A.8.24 ISO 27001), Wyk4 (RODO art. 9 i NIS2), Wyk5 (Matryca 5x5 i BCM), Wyk6 (Analiza logów AWS CloudTrail, GuardDuty i VPC Flow Logs), Wyk7 (Model 4C, 5 Why, Ishikawa, CAP i Pitch to Board).

Medic-Silesia S.A. jest prywatną siecią laboratoriów medycznych posiadającą 45 punktów pobrań i centralne laboratorium genetyczne w Katowicach. Spółka wykonuje rocznie ponad 500 000 badań, w tym zaawansowane panele genetyczne nowotworów dziedzicznych oraz badania prenatalne. W celu obniżenia kosztów utrzymania lokalnych serwerów NAS zarząd podjął decyzję o migracji cyfrowego archiwum wyników badań do chmury publicznej Amazon Web Services (AWS).

Stan faktyczny w obszarze incydentu chmurowego i wycieku danych:

• Podczas wdrażania nowej aplikacji mobilnej dla pacjentów zewnętrzny inżynier DevOps, napotkawszy błąd autoryzacji HTTP 403 Forbidden przy generowaniu linków pre-signed URL, samowolnie zmodyfikował politykę zasobu S3 (`Bucket Policy`). Wstawił regułę z parametrem `"Principal": "*"` oraz akcją `"Action": "s3:GetObject"`, a także wyłączył na poziomie zasobu flagę `Block Public Access`.
• W wyniku tej modyfikacji cały zasób `medicsilesia-patient-results-prod` stał się publicznie dostępny dla dowolnego użytkownika Internetu bez konieczności uwierzytelnienia.
• W zasobie znajdowało się 65 000 plików PDF zawierających: pełne imię i nazwisko pacjenta, numer PESEL, datę urodzenia, dokładny adres zamieszkania, opis mutacji genetycznych (np. patogenne mutacje w genach BRCA1, TP53, predyspozycje do stwardnienia rozsianego), prawdopodobieństwo zachorowania na nowotwory złośliwe oraz dane lekarza zlecającego.
• Publiczny zasób został przeskanowany i zaindeksowany przez komercyjne boty skanujące przestrzeń adresową chmur (GrayhatWarfare, Shodan). Przez 28 dni dowolna osoba mogła pobrać dowolny wynik badania. W logach AWS CloudTrail odnotowano ponad 42 000 pobrań z adresów IP zlokalizowanych w Rosji, Chinach i Niemczech.
• Pliki w buckecie nie były szyfrowane przy użyciu kluczy KMS (brak SSE-KMS), a w organizacji nie włączono usług AWS GuardDuty, AWS Config ani AWS Security Hub, które natychmiast zaalarmowałyby o publicznej ekspozycji zasobu.
• Sprawa wyszła na jaw, gdy niezależny badacz bezpieczeństwa opublikował na portalu LinkedIn informację o wycieku, oznaczając konto spółki.

Zarząd Medic-Silesia S.A. powołuje Triadę Audytorską do przeprowadzenia natychmiastowego audytu powłamaniowego w formule 90 minut.

Zadanie realizowane jest w ścisłym reżimie warsztatowym (formuła 90 minut) przez 2-3 osobową Triadę Audytorską:

• Krok 1 (Podział ról w Triadzie Audytorskiej i triage dowodowy - Minuty 00-15):

  Student A (Lead Auditor / Reprezentant CISO): Odpowiada za ład zarządczy w ochronie zdrowia, analizę naruszenia art. 9 RODO i Dyrektywy NIS2, koordynację zgłoszenia do UODO i zawiadomienia 65 000 pacjentów oraz przygotowanie Executive Summary ("Pitch to Board").

  Student B (Technical SecOps Auditor / Architekt Bezpieczeństwa Chmury AWS): Analizuje konfigurację AWS S3 Bucket Policy, logi CloudTrail i S3 Server Access Logs, brak SSE-KMS, projektuje wdrożenie AWS Control Tower, reguł SCP blokujących publiczne zasoby oraz automatyczną remediację przez AWS Config i Lambda.

  Student C (Governance, Risk & Compliance Auditor): Przeprowadza dekompozycję uchybienia w kanonicznym modelu 4C, wylicza ryzyko w matrycy 5x5 skorelowane ze wskaźnikami BCM (RTO=15m, RPO=0s, MTPD=1h), prowadzi sekwencję 5 Why oraz konstruuje Trójfazowy Plan CAP z przypisaniem ról RACI i metryk KPI/KRI. W zespole dwuosobowym zadania te dzielą Studenci A i B.

• Krok 2 (Opracowanie Kanonicznej Karty Niezgodności 4C - Minuty 15-40):

  Sformułujcie kartę uchybienia w modelu 4C:

• Krok 3 (Zaawansowana Matryca Ryzyka 5x5 i Wskaźniki BCM - Minuty 15-40):

  Skwantyfikujcie 4 wektory zagrożeń w skali 25-stopniowej (P 1-5 x S 1-5):

• Krok 4 (Konstrukcja Trójfazowego Planu Działań Korygujących - CAP - Minuty 40-70):

• Krok 5 (Sformalizowany Projekt Załącznika Wykonawczego SOP - Minuty 40-70):

  Zredagujcie akt normatywny: "Standard Bezpieczeństwa Chmury Publicznej AWS, Ochrony Danych Genetycznych i Zarządzania Pamięcią Masową S3 w Medic-Silesia S.A." z artykułami § 1 do § 6.

• Krok 6 (Opracowanie Podsumowania Zarządczego - Pitch to Board - Minuty 70-90):

  Przygotujcie 1-stronicowy briefing dla Zarządu: redukcja ryzyk IR=25 -> RR<=4, kalkulacja ekspozycji na kary (do 20 mln EUR UODO + 10 mln EUR NIS2 + pozwy 30 mln PLN), budżet Planu CAP (310 000 PLN) oraz stopa zwrotu ROSI (ochrona kontraktów o wartości 80 mln PLN rocznie i ocalenie reputacji medycznej spółki).

Plan obrony seminaryjnej przed komisją laboratoryjną (15 minut):

• Prezentacja Podsumowania Zarządczego (Pitch to Board) dla Zarządu (3 min): Przedstawienie skali wycieku 65 000 badań genetycznych, ekspozycji finansowej i bilansu ryzyk przed i po CAP (Student A - Lead Auditor).
• Dekonstrukcja techniczna konfiguracji AWS S3 i telemetrii CloudTrail (4 min): Analiza błędnej Bucket Policy, brak SSE-KMS, demonstracja wdrożenia SCP w AWS Organizations, reguł AWS Config i pre-signed URLs (Student B - Technical SecOps Auditor).
• Prezentacja Kanonicznej Karty Niezgodności 4C, analizy 5 Why / Ishikawy i matrycy 5x5 (4 min): Uzasadnienie kwalifikacji uchybienia w świetle art. 9 RODO, CIS AWS Benchmark, ISO 27017/27018 oraz wyliczenie redukcji ryzyka z IR=25 do RR=4 (Student C - Compliance Auditor).
• Prezentacja Trójfazowego Planu CAP i Załącznika Wykonawczego SOP (3 min): Harmonogram 0-7, 30, 90 dni, macierz RACI, metryki KPI/KRI oraz reguły Cloud Governance (Student B i Student C).
• Dyskusja z komisją i obrona rekomendacji (1 min): Odpowiedzi na pytania o kompromis pomiędzy elastycznością inżynierów DevOps a twardą blokadą SCP w chmurze AWS (cała Triada Audytorska).

Struktura raportu strategicznego na ocenę 5.0 (objętość 12-16 stron A4):

A. Podsumowanie Zarządcze (Executive Summary - "Pitch to Board") - 1 strona A4:

• Bilans ryzyk przed i po CAP w matrycy 5x5.
• Ekspozycja prawno-finansowa (RODO art. 9 i 83, NIS2, pozwy zbiorowe).
• Kosztorys Planu CAP (310 000 PLN) vs ROSI.

B. Odpowiedzi na zaawansowane pytania problemowe i opis sytuacji kryzysowej:

1. W jaki sposób skonstruować polisy Service Control Policies (SCP) w usłudze AWS Organizations, aby programowo i bezwzględnie zablokować możliwość modyfikacji flagi `S3 Block Public Access` oraz tworzenia publicznych Bucket Policies na wszystkich kontach członkowskich?

2. Jakie szczególne ryzyka dla praw i wolności osób fizycznych (art. 35 i 34 RODO) wiążą się z nieodwracalnym ujawnieniem danych genetycznych (BRCA1/2) i w jaki sposób administrator musi sformułować zawiadomienie dla pacjentów?

3. W jaki sposób zaimplementować architekturę automatycznej remediacji opartej na AWS Config Rule `s3-bucket-public-read-prohibited` i funkcji AWS Lambda, aby skasować nieuprawnioną Bucket Policy w czasie poniżej 5 sekund od jej zatwierdzenia?

C. Kanoniczna Karta Ustaleń Audytowych w Modelu 4C (Condition, Criteria, Cause [5 Why + Diagram Ishikawy], Consequence).

D. Zaawansowana Matryca Ryzyka 5x5 i Wskaźniki BCM (IR vs RR, RTO=15m, RPO=0s, MTPD=1h).

E. Trójfazowy Plan Działań Korygujących (CAP) (tabela Faza 1, 2, 3 z macierzą RACI i KPI/KRI).

F. Sformalizowany Projekt Załącznika Wykonawczego (SOP) - Standard Bezpieczeństwa Chmury AWS i Ochrony Danych Genetycznych (§ 1 do § 6).

G. Analiza kompromisów inżynierskich (Trade-offs: automatyczna remediacja blokująca błędy inżynierów vs ryzyko przerwania działania aplikacji produkcyjnej).

H. Bibliografia, netografia i regulacje prawne.

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 9, 25, 32, 33, 34, 82, 83.
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (Dyrektywa NIS2) - art. 21.
• Center for Internet Security (CIS): CIS Amazon Web Services Foundations Benchmark v3.0 (Sekcja 2: Storage).
• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - kontrole A.8.9, A.8.12, A.8.24.
• Norma PN-EN ISO/IEC 27017:2021: Technika informatyczna - Zabezpieczenia - Kodeks postępowania w zakresie zabezpieczeń usług w chmurze.
• Norma PN-EN ISO/IEC 27018:2020: Ochrona danych osobowych (PII) w chmurach publicznych przetwarzających dane osobowe.
• Europejska Rada Ochrony Danych (EROD): Wytyczne 07/2020 w sprawie pojęć administratora i podmiotu przetwarzającego w RODO (aspekty chmurowe).
• Urząd Ochrony Danych Osobowych: Wytyczne dotyczące bezpieczeństwa przetwarzania danych w chmurze obliczeniowej.

• U2 Dekompozycja uchybień w modelu 4C oraz analiza 5 Why dla incydentu w chmurze publicznej AWS.
• U1 Projekt architektury Cloud Governance z AWS Control Tower, SCP, KMS CMK i automatyczną remediacją AWS Config.
• U3 Kwantyfikacja ryzyka w matrycy 5x5 dla danych genetycznych z powiązaniem ze wskaźnikami BCM.
• U4 Opracowanie Trójfazowego Planu CAP, procedury SOP oraz strategicznego briefingu dla Zarządu spółki.

Podczas wystąpienia studenci powinni podkreślić specyfikę danych genetycznych: w odróżnieniu od haseł czy numerów kart, danych genetycznych nie można zmienić ani zresetować. Ich ujawnienie stanowi nieodwracalne naruszenie godności i prywatności człowieka na całe życie. Dlatego tolerancja audytorska na błędy konfiguracyjne w chmurze w tym obszarze wynosi zero, a proponowane mechanizmy SCP i automatycznej remediacji muszą mieć charakter bezwzględny.

Głównym celem strategicznego zadania laboratoryjnego na ocenę 5.0 jest przeprowadzenie zaawansowanego audytu śledczego w instytucji sektora bankowo-finansowego w sytuacji poważnego naruszenia bezpieczeństwa wywołanego przez zagrożenie wewnętrzne (Insider Threat / Malicious Insider). Dochodzenie dotyczy bezprawnego wyeksportowania pełnej bazy danych 38 000 klientów zamożnych (Private Banking i Wealth Management) przez odchodzącego dyrektora departamentu CRM, który podjął pracę w konkurencyjnej grupie finansowej. Wyeksportowane dane obejmowały: numery PESEL, numery rachunków IBAN, salda depozytów, strukturę portfeli inwestycyjnych, umowy kredytowe, numery telefonów oraz poufne notatki bankierów o sytuacji rodzinnej klientów. Naruszenie obnażyło krytyczne braki w systemach DLP (Data Loss Prevention), brak zasady podwójnej kontroli (Dual Control / 4-Eyes Principle) przy masowych eksportach oraz brak analizy behawioralnej anomalii (UEBA). Zadanie wymaga zastosowania kanonicznego modelu 4C, wyliczenia ryzyka w 25-stopniowej matrycy 5x5 powiązanej z BCM (RTO=15m, RPO=0s, MTPD=30m), skonstruowania Trójfazowego Planu CAP z rolami RACI i metrykami KPI/KRI, opracowania sformalizowanego Załącznika Wykonawczego (SOP) regulującego ochronę przed zagrożeniami wewnętrznymi i kontrolę eksportu oraz przygotowania Podsumowania Zarządczego (Pitch to Board) dla Zarządu Banku i Komisji Nadzoru Finansowego (KNF).

Powiązanie z sylabusem i efektami kształcenia na ocenę 5.0:

• W1 Ochrona tajemnicy bankowej (art. 104 Prawa bankowego), przepisów RODO (art. 5, 24, 32, 33, 82), odpowiedzialności karnej z art. 266 KK (ujawnienie tajemnicy zawodowej) i art. 267 KK.
• W2W3 Rygorystyczna synteza wymagań Rozporządzenia DORA (art. 9, 10 - odporność operacyjna cyfrowa sektora finansowego), Rekomendacji D i M KNF (zarządzanie obszarami technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego), normy ISO/IEC 27001:2022 (kontrole A.5.10, A.8.2, A.8.3, A.8.7, A.8.16) oraz wytycznych EBA.
• U1 Projekt architektury detekcji zagrożeń wewnętrznych: wdrożenie silnika User and Entity Behavior Analytics (UEBA), twardego mechanizmu Dual Control z podpisem kryptograficznym dla masowych operacji w CRM, blokad exfiltracji w chmurowym CASB/DLP oraz znakowania dokumentów (Watermarking i Information Rights Management - Purview).
• U2 Bezbłędne sformułowanie Karty 4C i przeprowadzenie analizy przyczyn źródłowych 5 Why oraz Diagramu Ishikawy.
• U3 Kwantyfikacja ryzyka w matrycy 5x5 dla wektorów utraty depozytów, szantażu klientów VIP, sankcji KNF i UODO (IR=25 -> RR=5).
• U4 Opracowanie Trójfazowego Planu CAP, procedury SOP oraz briefingu dla Zarządu Banku.
• K1K2K3 Profesjonalizm audytorski, niezależność, odporność na presję korporacyjną kadry wyższego szczebla i etyka śledcza.
• Powiązanie z wykładem: Wyk1 (Ład korporacyjny w bankowości), Wyk2 (Zasady audytowania ISO 19011), Wyk3 (Kontrole A.5.10 i A.8.16 ISO 27001), Wyk4 (RODO i DORA w sektorze finansowym), Wyk5 (Matryca 5x5 i BCM), Wyk6 (Analiza logów aplikacyjnych CRM i telemetrii DLP), Wyk7 (Model 4C, 5 Why, Ishikawa, CAP i Pitch to Board).

Korporacyjny Bank Inwestycyjno-Spółdzielczy w Warszawie jest wyspecjalizowaną instytucją finansową zrzeszającą 42 banki spółdzielcze oraz prowadzącą dedykowaną obsługę 38 000 klientów zamożnych w departamencie Private Banking & Wealth Management. Aktywa zarządzane przez bank przekraczają 14 mld PLN.

Stan faktyczny w obszarze incydentu bezpieczeństwa i naruszenia danych:

• Dyrektor Departamentu Klientów Zamożnych, będący w 3-miesięcznym okresie wypowiedzenia umowy o pracę w związku z przejściem do konkurencyjnego banku zagranicznego, zachował pełne uprawnienia administracyjne do produkcyjnego systemu CRM (Salesforce Financial Services Cloud).
• W ciągu ostatnich dwóch tygodni pracy dyrektor wykonał 14 odrębnych operacji eksportu danych, pobierając pełne zestawienia klientów z segmentu VIP w formacie plików CSV.
• Pobrana baza obejmowała 38 000 klientów i zawierała: imię, nazwisko, numer PESEL, serię i numer dowodu osobistego, adres zamieszkania, numer telefonu komórkowego, stan środków na rachunkach bieżących, strukturę lokat i funduszy inwestycyjnych, salda zadłużenia hipotecznego, numery kont IBAN oraz poufne notatki doradców (np. informacje o rozwodach, podziale majątku, planowanych transakcjach biznesowych).
• Dyrektor przesłał pobrane pliki ze stacji służbowej na swój prywatny adres e-mail (usługa ProtonMail) w formie zaszyfrowanych archiwów 7-Zip, a część zgrał na nośnik USB.
• Audyt wykazał, że:

  1. System CRM nie posiadał limitu pobierania danych (Throttling) ani wymogu zatwierdzenia masowego eksportu przez drugą osobę (brak zasady Dual Control).

  2. Agent DLP zainstalowany na stacji roboczej traktował ruch szyfrowany do ProtonMaila jako "ruch zaufany TLS" bez deszyfracji SSL Inspection ze względu na politykę prywatności kadry menedżerskiej.

  3. Porty USB dla dyrektorów były odblokowane na mocy "specjalnego wyjątku zarządu" sprzed 3 lat.

  4. W organizacji wdrożono system SIEM, lecz nie posiadał on reguł korelacyjnych UEBA wykrywających nietypowy wolumen eksportu danych przez osoby będące w okresie wypowiedzenia.

  5. Oficer Bezpieczeństwa Informacji (CISO) dowiedział się o incydencie dopiero po 10 dniach, gdy jeden z kluczowych klientów VIP zgłosił telefon od konkurencji z ofertą dokładnie dopasowaną do jego portfela depozytowego w banku.

Zarząd Banku, stając w obliczu kontroli KNF, UODO i zawiadomienia prokuratury, powołuje Triadę Audytorską do przeprowadzenia strategicznego audytu dochodzeniowego w formule 90 minut.

Zadanie realizowane jest w ścisłym reżimie warsztatowym (formuła 90 minut) przez 2-3 osobową Triadę Audytorską:

• Krok 1 (Podział ról w Triadzie Audytorskiej i triage dowodowy - Minuty 00-15):

  Student A (Lead Auditor / Reprezentant CISO): Odpowiada za ład zarządczy w banku, zgodność z DORA, art. 104 Prawa bankowego i RODO art. 33/34, relacje z KNF i Prokuraturą oraz przygotowanie Executive Summary ("Pitch to Board").

  Student B (Technical SecOps Auditor / Architekt Bezpieczeństwa Informacji Finansowej): Analizuje logi CRM Salesforce, logi agenta DLP i zapory brzegowej, brak SSL Inspection, projektuje wdrożenie mechanizmu Dual Control w CRM, reguły Microsoft Purview IRM, integrację UEBA w SIEM oraz restrykcyjne odcięcie USB.

  Student C (Governance, Risk & Compliance Auditor): Przeprowadza dekompozycję uchybienia w kanonicznym modelu 4C, wylicza ryzyko w matrycy 5x5 skorelowane ze wskaźnikami BCM (RTO=15m, RPO=0s, MTPD=30m), prowadzi sekwencję 5 Why oraz konstruuje Trójfazowy Plan CAP z przypisaniem ról RACI i metryk KPI/KRI. W zespole dwuosobowym zadania te dzielą Studenci A i B.

• Krok 2 (Opracowanie Kanonicznej Karty Niezgodności 4C - Minuty 15-40):

  Sformułujcie kartę uchybienia w modelu 4C:

• Krok 3 (Zaawansowana Matryca Ryzyka 5x5 i Wskaźniki BCM - Minuty 15-40):

  Skwantyfikujcie 4 wektory zagrożeń w skali 25-stopniowej (P 1-5 x S 1-5):

• Krok 4 (Konstrukcja Trójfazowego Planu Działań Korygujących - CAP - Minuty 40-70):

• Krok 5 (Sformalizowany Projekt Załącznika Wykonawczego SOP - Minuty 40-70):

  Zredagujcie akt normatywny: "Standard Zapobiegania Zagrożeniom Wewnętrznym (Insider Threat), Kontroli Ekstrakcji Danych Finansowych i Procedury Dual Control w Korporacyjnym Banku Inwestycyjno-Spółdzielczym" z artykułami § 1 do § 6.

• Krok 6 (Opracowanie Podsumowania Zarządczego - Pitch to Board - Minuty 70-90):

  Przygotujcie 1-stronicowy briefing dla Zarządu Banku: redukcja ryzyk IR=25 -> RR<=5, ekspozycja prawna (kary UODO/KNF, roszczenia VIP), budżet Planu CAP (540 000 PLN) oraz stopa zwrotu ROSI (zapobieżenie odpływowi 1,2 mld PLN w depozytach, obrona licencji bankowej i przywrócenie wiarygodności instytucji).

Plan obrony seminaryjnej przed komisją laboratoryjną (15 minut):

• Prezentacja Podsumowania Zarządczego (Pitch to Board) dla Zarządu Banku (3 min): Przedstawienie skali incydentu kradzieży bazy 38 000 klientów VIP, ekspozycji finansowej, utraty tajemnicy bankowej i bilansu ryzyk przed i po CAP (Student A - Lead Auditor).
• Dekonstrukcja techniczna wektora Insider Threat i architektura Dual Control/UEBA (4 min): Analiza logów CRM Salesforce, ominięcie DLP, demonstracja architektury Dual Control, inspekcji SSL i reguł UEBA (Student B - Technical SecOps Auditor).
• Prezentacja Kanonicznej Karty Niezgodności 4C, analizy 5 Why / Ishikawy i matrycy 5x5 (4 min): Uzasadnienie kwalifikacji uchybienia w świetle DORA, Rekomendacji D KNF, art. 104 Prawa bankowego i art. 266 KK oraz wyliczenie redukcji ryzyka z IR=25 do RR=5 (Student C - Compliance Auditor).
• Prezentacja Trójfazowego Planu CAP i Załącznika Wykonawczego SOP (3 min): Harmonogram 0-7, 30, 90 dni, macierz RACI, metryki KPI/KRI oraz zasady zarządzania personelem odchodzącym (Student B i Student C).
• Dyskusja z komisją i obrona rekomendacji (1 min): Odpowiedzi na pytania o wyważenie kontroli pracownika a prawa pracownicze w sektorze bankowym (cała Triada Audytorska).

Struktura raportu strategicznego na ocenę 5.0 (objętość 12-16 stron A4):

A. Podsumowanie Zarządcze (Executive Summary - "Pitch to Board") - 1 strona A4:

• Bilans ryzyk przed i po CAP w matrycy 5x5.
• Ekspozycja prawno-finansowa (Tajemnica bankowa, DORA, RODO art. 83, KNF).
• Kosztorys Planu CAP (540 000 PLN) vs ROSI.

B. Odpowiedzi na zaawansowane pytania problemowe i opis sytuacji kryzysowej:

1. W jaki sposób zaimplementować zasadę podwójnej kontroli (Dual Control / 4-Eyes Principle) oraz kryptograficzny podpis cyfrowy dla operacji masowego eksportu danych w systemie CRM, aby całkowicie wykluczyć samowolne pobranie bazy przez uprawnionego menedżera?

2. Jakie rygorystyczne obowiązki w zakresie zgłaszania poważnych incydentów operacyjnych lub bezpieczeństwa nakłada Rozporządzenie DORA (art. 19) na instytucje finansowe w porównaniu ze standardowym terminem 72h z art. 33 RODO?

3. Jakie techniczne środki korelacji danych (User and Entity Behavior Analytics - UEBA) oraz integracji systemów SIEM z systemem kadrowym HR pozwalają na automatyczne wykrywanie i blokowanie anomalii w transferze danych u pracowników w okresie wypowiedzenia?

C. Kanoniczna Karta Ustaleń Audytowych w Modelu 4C (Condition, Criteria, Cause [5 Why + Diagram Ishikawy], Consequence).

D. Zaawansowana Matryca Ryzyka 5x5 i Wskaźniki BCM (IR vs RR, RTO=15m, RPO=0s, MTPD=30m).

E. Trójfazowy Plan Działań Korygujących (CAP) (tabela Faza 1, 2, 3 z macierzą RACI i KPI/KRI).

F. Sformalizowany Projekt Załącznika Wykonawczego (SOP) - Standard Ochrony Przed Zagrożeniami Wewnętrznymi i Kontroli Ekstrakcji Danych (§ 1 do § 6).

G. Analiza kompromisów inżynierskich (Trade-offs: inwigilacja personelu i narzut procesowy Dual Control vs gwarancja nienaruszalności tajemnicy bankowej).

H. Bibliografia, netografia i regulacje prawne.

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. (Rozporządzenie DORA) - art. 9, 10, 19.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 5, 24, 25, 32, 33, 34, 82, 83.
• Ustawa z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz.U. z 2023 r. poz. 2488 z późn. zm.) - art. 104, 105 (Tajemnica bankowa).
• Komisja Nadzoru Finansowego (KNF): Rekomendacja D dotycząca zarządzania obszarami technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego w bankach.
• Komisja Nadzoru Finansowego (KNF): Rekomendacja M dotycząca zarządzania ryzykiem operacyjnym w bankach.
• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - kontrole A.5.10, A.8.2, A.8.3, A.8.7, A.8.16.
• Carnegie Mellon University Software Engineering Institute (SEI): Common Sense Guide to Mitigating Insider Threats (7th Edition).
• Kodeks Karny (Dz.U. z 1997 r. nr 88 poz. 553 z późn. zm.) - art. 266 (Ujawnienie tajemnicy zawodowej), art. 267 (Bezprawne uzyskanie informacji).

• U2 Dekompozycja uchybień w modelu 4C oraz analiza przyczyn źródłowych 5 Why dla incydentu Insider Threat w bankowości.
• U1 Projekt architektury detekcji zagrożeń wewnętrznych z silnikiem UEBA, zasadą Dual Control oraz inspekcją DLP/CASB.
• U3 Kwantyfikacja ryzyka w matrycy 5x5 dla danych objętych tajemnicą bankową z powiązaniem ze wskaźnikami BCM.
• U4 Opracowanie Trójfazowego Planu CAP, procedury SOP oraz strategicznego briefingu dla Zarządu Banku.

Podczas wystąpienia studenci powinni zwrócić uwagę na psychologiczny i kulturowy aspekt incydentu: kadra zarządzająca często uważa, że zasady bezpieczeństwa dotyczą tylko szeregowych pracowników. Zadaniem Triady Audytorskiej jest bezkompromisowe wykazanie Zarządowi, że brak kontroli nad dyrektorami stanowił największe pojedyncze zagrożenie egzystencjalne dla banku, a wdrożenie procedury Dual Control i UEBA jest bezpośrednim wymogiem Rozporządzenia DORA i Rekomendacji D KNF.

Głównym celem strategicznego zadania laboratoryjnego na ocenę 5.0 jest przeprowadzenie zaawansowanego audytu dochodzeniowego w relacji Administrator - Podmiot Przetwarzający (art. 28 RODO) w sektorze telekomunikacyjnym i łańcuchu dostawców ICT (Supply Chain Security). Audyt dotyczy kompromitacji serwera telefonii VoIP/PBX (Asterisk) u zewnętrznego podwykonawcy realizującego obsługę infolinii windykacyjnej. W wyniku zdalnej eksploatacji podatności w interfejsie zarządzania SIP/HTTP intruzi pobrali 12 000 niezaszyfrowanych nagrań rozmów windykacyjnych w formacie WAV/MP3. Nagrania zawierały skrajnie wrażliwe dane: imiona, nazwiska, numery PESEL, wysokość zadłużenia, szczegółowe informacje o stanie majątkowym, chorobach dłużników, problemach rodzinnych i numerach rachunków bankowych. Naruszenie ujawniło brak weryfikacji podwykonawcy, brak szyfrowania nagrań (SRTP / AES-256) oraz naruszenie tajemnicy telekomunikacyjnej. Zadanie wymaga zastosowania kanonicznego modelu 4C, wyliczenia ryzyka w 25-stopniowej matrycy 5x5 powiązanej z BCM (RTO=20m, RPO=0s, MTPD=1h), skonstruowania Trójfazowego Planu CAP z rolami RACI i metrykami KPI/KRI, opracowania sformalizowanego Załącznika Wykonawczego (SOP) regulującego audyty podwykonawców i bezpieczeństwo VoIP oraz przygotowania Podsumowania Zarządczego (Pitch to Board) dla Zarządu Operatora i Prezesa UKE.

Powiązanie z sylabusem i efektami kształcenia na ocenę 5.0:

• W1 Ochrona tajemnicy telekomunikacyjnej (art. 159 Prawa telekomunikacyjnego / Prawo Komunikacji Elektronicznej), przepisów RODO (art. 5, 24, 28, 32, 33), odpowiedzialności solidarnej administratora i procesora oraz art. 267 KK.
• W2W3 Rygorystyczna synteza wymagań Dyrektywy NIS2 (bezpieczeństwo w łańcuchu dostaw ICT art. 21 ust. 2 lit. d), normy PN-EN ISO/IEC 27001:2022 (kontrole A.5.19, A.5.20, A.5.21, A.8.24), standardów niszczenia i retencji danych oraz wytycznych EROD 07/2020.
• U1 Projekt architektury bezpieczeństwa komunikacji VoIP: szyfrowanie sygnalizacji SIP over TLS, szyfrowanie strumieni głosowych SRTP, centralne repozytorium nagrań z szyfrowaniem AES-256 GCM i kluczami w HSM, wdrożenie platformy ciągłego audytu procesorów (Third-Party Risk Management - TPRM).
• U2 Bezbłędne sformułowanie Karty 4C i przeprowadzenie analizy przyczyn źródłowych 5 Why oraz Diagramu Ishikawy.
• U3 Kwantyfikacja ryzyka w matrycy 5x5 dla wektorów szantażu dłużników, naruszenia tajemnicy telekomunikacyjnej i kar UODO/UKE (IR=25 -> RR=4).
• U4 Opracowanie Trójfazowego Planu CAP, procedury SOP i briefingu zarządczego.
• K1K2K3 Profesjonalizm audytorski, niezależność, zdolność do egzekwowania rygorów bezpieczeństwa od partnerów biznesowych.
• Powiązanie z wykładem: Wyk1 (Ład zarządczy i łańcuch dostaw ICT), Wyk2 (Zasady audytowania dostawców ISO 19011), Wyk3 (Kontrole A.5.19-A.5.21 ISO 27001), Wyk4 (RODO art. 28 i NIS2), Wyk5 (Matryca 5x5 i BCM), Wyk6 (Analiza ruchu SIP/RTP i logów PBX Asterisk), Wyk7 (Model 4C, 5 Why, Ishikawa, CAP i Pitch to Board).

GlobalCom Polska S.A. jest ogólnopolskim operatorem telekomunikacyjnym obsługującym ponad 3 mln abonentów. Obsługę procesów windykacji przedsądowej operator powierzył wyspecjalizowanej spółce zewnętrznej ContactCenter Sp. z o.o. na podstawie umowy powierzenia przetwarzania danych osobowych (DPA) zawartej w 2021 roku.

Stan faktyczny w obszarze incydentu bezpieczeństwa i naruszenia danych:

• Podmiot przetwarzający ContactCenter Sp. z o.o. wykorzystywał do obsługi kampanii wychodzących serwer telefonii IP Asterisk PBX z panelem webowym FreePBX w wersji 14. Serwer ten był wystawiony bezpośrednio do publicznej sieci Internet bez zapory aplikacyjnej (WAF) ani ograniczenia dostępu do zaufanych adresów IP.
• Wersja panelu FreePBX posiadała znaną podatność zdalnego wykonania kodu (RCE - CVE-2019-19006). Z powodu braku polityki zarządzania podatnościami serwer nie był aktualizowany od 3 lat.
• W nocy z środy na czwartek zautomatyzowany skaner intruza wykrył podatność i przejął uprawnienia roota na serwerze Asterisk.
• Intruzi uzyskali bezpośredni dostęp do lokalnego katalogu `/var/spool/asterisk/monitor/`, w którym przechowywano 12 000 nagrań rozmów telefonicznych z ostatnich 6 miesięcy. Nagrania nie były zaszyfrowane i miały nazwy zawierające numery PESEL dłużników oraz znaczniki czasu.
• Skrypt intruza dokonał eksfiltracji 92 GB nieskompresowanych nagrań audio. W treści rozmów konsultanci wymuszali podanie numeru PESEL, adresu zamieszkania, wysokości zadłużenia, numeru dowodu osobistego, a dłużnicy tłumaczyli brak spłaty ciężkimi chorobami (np. nowotwory, depresja), utratą pracy, rozwodami lub problemami alkoholowymi.
• Audyt przeprowadzony przez GlobalCom Polska S.A. po ujawnieniu wycieku wykazał, że:

  1. Operator przez 4 lata trwania umowy nigdy nie przeprowadził audytu bezpieczeństwa u procesora (art. 28 ust. 3 lit. h RODO), polegając wyłącznie na jednostronicowym oświadczeniu podwykonawcy.

  2. W umowie DPA nie określono standardów szyfrowania transmisji SIP/SRTP ani szyfrowania nagrań at-rest.

  3. Procesor bez wiedzy i zgody operatora podpowierzył hosting serwera PBX nielicencjonowanemu dostawcy tanich usług VPS.

  4. Część nagrań została opublikowana w serwisie YouTube z linkami do zrzutek internetowych dłużników.

Prezes Zarządu GlobalCom Polska S.A. powołuje Triadę Audytorską do przeprowadzenia strategicznego audytu powłamaniowego w formule 90 minut.

Zadanie realizowane jest w ścisłym reżimie warsztatowym (formuła 90 minut) przez 2-3 osobową Triadę Audytorską:

• Krok 1 (Podział ról w Triadzie Audytorskiej i triage dowodowy - Minuty 00-15):

  Student A (Lead Auditor / Reprezentant CISO): Odpowiada za ład zarządczy w relacjach z procesorami, analizę zbieżności art. 28 RODO, tajemnicy telekomunikacyjnej i Dyrektywy NIS2, relacje z Prezesem UODO i UKE oraz przygotowanie Executive Summary ("Pitch to Board").

  Student B (Technical SecOps Auditor / Architekt Bezpieczeństwa Telekomunikacji): Analizuje podatność FreePBX CVE-2019-19006, zrzuty pakietów SIP/RTP, brak szyfrowania SRTP, projektuje architekturę bezpiecznego PBX w chmurze z SIP over TLS, szyfrowanie nagrań AES-256 z HSM oraz zaporę SBC (Session Border Controller).

  Student C (Governance, Risk & Compliance Auditor): Przeprowadza dekompozycję uchybienia w kanonicznym modelu 4C, wylicza ryzyko w matrycy 5x5 skorelowane ze wskaźnikami BCM (RTO=20m, RPO=0s, MTPD=1h), prowadzi sekwencję 5 Why oraz konstruuje Trójfazowy Plan CAP z przypisaniem ról RACI i metryk KPI/KRI. W zespole dwuosobowym zadania te dzielą Studenci A i B.

• Krok 2 (Opracowanie Kanonicznej Karty Niezgodności 4C - Minuty 15-40):

  Sformułujcie kartę uchybienia w modelu 4C:

• Krok 3 (Zaawansowana Matryca Ryzyka 5x5 i Wskaźniki BCM - Minuty 15-40):

  Skwantyfikujcie 4 wektory zagrożeń w skali 25-stopniowej (P 1-5 x S 1-5):

• Krok 4 (Konstrukcja Trójfazowego Planu Działań Korygujących - CAP - Minuty 40-70):

• Krok 5 (Sformalizowany Projekt Załącznika Wykonawczego SOP - Minuty 40-70):

  Zredagujcie akt normatywny: "Standard Bezpieczeństwa Łańcucha Dostawców ICT, Nadzoru nad Podmiotami Przetwarzającymi i Ochrony Infrastruktury Telefonii VoIP w GlobalCom Polska S.A." z artykułami § 1 do § 6.

• Krok 6 (Opracowanie Podsumowania Zarządczego - Pitch to Board - Minuty 70-90):

  Przygotujcie 1-stronicowy briefing dla Zarządu: redukcja ryzyk IR=25 -> RR<=4, ekspozycja na sankcje (do 20 mln EUR UODO + 3% obrotu UKE), budżet Planu CAP (480 000 PLN) oraz stopa zwrotu ROSI (uniknięcie gigantycznych odszkodowań od dłużników i ocalenie marki operatora).

Plan obrony seminaryjnej przed komisją laboratoryjną (15 minut):

• Prezentacja Podsumowania Zarządczego dla Zarządu Operatora (3 min): Skala wycieku 12 000 nagrań dłużników, odpowiedzialność solidarna z procesorem, ekspozycja na kary UODO/UKE i bilans ryzyk (Student A - Lead Auditor).
• Dekonstrukcja techniczna podatności PBX i architektura bezpiecznego VoIP (4 min): Analiza luki RCE we FreePBX, dekompozycja braku szyfrowania SRTP, demonstracja bezpiecznej architektury SBC, SIP over TLS i szyfrowania nagrań AES-256 (Student B - Technical SecOps Auditor).
• Prezentacja Kanonicznej Karty Niezgodności 4C, analizy 5 Why / Ishikawy i matrycy 5x5 (4 min): Uzasadnienie uchybienia w świetle art. 28 RODO, tajemnicy telekomunikacyjnej i NIS2 oraz wyliczenie redukcji ryzyka z IR=25 do RR=4 (Student C - Compliance Auditor).
• Prezentacja Trójfazowego Planu CAP i Załącznika Wykonawczego SOP (3 min): Harmonogram 0-7, 30, 90 dni, macierz RACI, metryki KPI/KRI oraz platforma monitorowania dostawców TPRM (Student B i Student C).
• Dyskusja z komisją i obrona rekomendacji (1 min): Odpowiedzi na pytania o egzekwowanie audytów u małych podwykonawców bez niszczenia relacji biznesowych (cała Triada Audytorska).

Struktura raportu strategicznego na ocenę 5.0 (objętość 12-16 stron A4):

A. Podsumowanie Zarządcze (Executive Summary - "Pitch to Board") - 1 strona A4:

• Bilans ryzyk przed i po CAP w matrycy 5x5.
• Ekspozycja prawno-finansowa (Tajemnica telekomunikacyjna, RODO art. 28/83, NIS2, UKE).
• Kosztorys Planu CAP (480 000 PLN) vs ROSI.

B. Odpowiedzi na zaawansowane pytania problemowe i opis sytuacji kryzysowej:

1. W jaki sposób skonstruować umowę powierzenia przetwarzania danych (DPA) oraz procedury audytowe (art. 28 RODO), aby zapewnić realne prawo do przeprowadzania niezapowiedzianych audytów technicznych i testów penetracyjnych w infrastrukturze procesora?

2. Jakie wymagania techniczne w zakresie szyfrowania sygnalizacji (SIP over TLS) oraz strumieni audio (SRTP z AES-GCM) nakłada norma ISO/IEC 27001:2022 oraz Dyrektywa NIS2 na systemy call center przetwarzające dane wrażliwe?

3. Na czym polega solidarna odpowiedzialność odszkodowawcza administratora i podmiotu przetwarzającego na gruncie art. 82 RODO w przypadku wycieku danych z winy podwykonawcy i w jaki sposób operator może zabezpieczyć roszczenia regresowe?

C. Kanoniczna Karta Ustaleń Audytowych w Modelu 4C (Condition, Criteria, Cause [5 Why + Diagram Ishikawy], Consequence).

D. Zaawansowana Matryca Ryzyka 5x5 i Wskaźniki BCM (IR vs RR, RTO=20m, RPO=0s, MTPD=1h).

E. Trójfazowy Plan Działań Korygujących (CAP) (tabela Faza 1, 2, 3 z macierzą RACI i KPI/KRI).

F. Sformalizowany Projekt Załącznika Wykonawczego (SOP) - Standard Bezpieczeństwa Łańcucha Dostawców ICT i Telefonii VoIP (§ 1 do § 6).

G. Analiza kompromisów inżynierskich (Trade-offs: koszty audytowania dostawców vs ryzyko katastrofalnego wycieku w łańcuchu dostaw).

H. Bibliografia, netografia i regulacje prawne.

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 5, 24, 28, 32, 33, 34, 82, 83.
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (Dyrektywa NIS2) - art. 21 (Zarządzanie ryzykiem w łańcuchu dostaw).
• Ustawa z dnia 16 lipca 2004 r. Prawo telekomunikacyjne (Dz.U. z 2022 r. poz. 1648 z późn. zm.) - art. 159, 160 (Tajemnica telekomunikacyjna) oraz projekt ustawy Prawo Komunikacji Elektronicznej.
• Europejska Rada Ochrony Danych (EROD): Wytyczne 07/2020 w sprawie pojęć administratora i podmiotu przetwarzającego na mocy RODO.
• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - kontrole A.5.19, A.5.20, A.5.21, A.8.24.
• Urząd Ochrony Danych Osobowych: Decyzja DKN.5131.2.2021 (Kara za brak nadzoru nad podmiotem przetwarzającym).
• Urząd Komunikacji Elektronicznej (UKE): Wytyczne dotyczące bezpieczeństwa sieci i usług telekomunikacyjnych.
• Kodeks Karny (Dz.U. z 1997 r. nr 88 poz. 553 z późn. zm.) - art. 267.

• U2 Dekompozycja uchybień w modelu 4C oraz analiza 5 Why w relacji z zewnętrznym procesorem danych.
• U1 Projekt architektury bezpiecznego VoIP z szyfrowaniem SIP over TLS/SRTP oraz wdrożenie platformy TPRM.
• U3 Kwantyfikacja ryzyka w matrycy 5x5 dla danych objętych tajemnicą telekomunikacyjną z powiązaniem z BCM.
• U4 Opracowanie Trójfazowego Planu CAP, procedury SOP oraz strategicznego briefingu dla Zarządu Operatora.

W trakcie wystąpienia studenci powinni położyć nacisk na fakt, że administrator nie może uciec od odpowiedzialności, zrzucając winę na podwykonawcę. Zgodnie z orzecznictwem UODO i EROD wybór procesora niezapewniającego odpowiednich gwarancji technicznych (art. 28 ust. 1 RODO) stanowi bezpośrednią winę w wyborze (culpa in eligendo) oraz w nadzorze (culpa in custodiendo) administratora.

Głównym celem strategicznego zadania laboratoryjnego na ocenę 5.0 jest przeprowadzenie zaawansowanego audytu śledczego w jednostce samorządu terytorialnego w warunkach krytycznego incydentu cybernetycznego łączącego przestępstwo finansowe z masowym naruszeniem ochrony danych osobowych obywateli. Dochodzenie dotyczy wyrafinowanego ataku typu Business Email Compromise (BEC / Man-in-the-Middle) wymierzonego w Skarbnika Gminy. W wyniku kliknięcia w link w wiadomości spear-phishingowej podszywającej się pod Regionalną Izbę Obrachunkową (RIO) oraz przejęcia sesji uwierzytelniania wieloskładnikowego przez framework Evilginx (omijający tradycyjne kody SMS MFA), napastnicy uzyskali pełny dostęp do skrzynki pocztowej Microsoft 365 Skarbnika. Doprowadziło to do wyłudzenia środków publicznych w kwocie 420 000 PLN (fałszywa faktura za budowę kanalizacji) oraz eksfiltracji 4 500 wiadomości zawierających dane petentów: numery PESEL, numery kont, deklaracje podatkowe od nieruchomości, wnioski o zapomogi celowe i dane o zajęciach komorniczych. Zadanie wymaga zastosowania kanonicznego modelu 4C, wyliczenia ryzyka w matrycy 5x5 powiązanej z BCM (RTO=30m, RPO=0s, MTPD=2h), skonstruowania Trójfazowego Planu CAP z rolami RACI i metrykami KPI/KRI, opracowania sformalizowanego Załącznika Wykonawczego (SOP) regulującego odporne na phishing uwierzytelnianie FIDO2 oraz procedury weryfikacji płatności (Dual Control) i przygotowania Podsumowania Zarządczego (Pitch to Board) dla Burmistrza i Rady Miejskiej.

Powiązanie z sylabusem i efektami kształcenia na ocenę 5.0:

• W1 Ochrona danych osobowych mieszkańców (art. 5, 6, 9, 32 RODO), tajemnicy skarbowej, Ustawy o finansach publicznych oraz odpowiedzialności karnej z art. 231 KK (niedopełnienie obowiązków służbowych).
• W2W3 Rygorystyczna synteza Krajowych Ram Interoperacyjności (par. 20 KRI), normy PN-EN ISO/IEC 27001:2022 (kontrole A.5.24, A.8.5, A.8.20, A.8.23), wytycznych CSIRT NASK dotyczących ataków BEC i AiTM oraz standardu uwierzytelniania FIDO2 / WebAuthn.
• U1 Projekt architektury bezpieczeństwa poczty elektronicznej: wymuszenie bezwzględnego uwierzytelniania odpornego na phishing (Phishing-Resistant MFA: klucze sprzętowe FIDO2 / YubiKey), wdrożenie restrykcyjnych polityk Conditional Access w Entra ID, reguł transportowych blokujących automatyczne reguły przekazywania poczty oraz protokołów DMARC (p=reject), DKIM i SPF.
• U2 Bezbłędne sformułowanie Karty 4C i przeprowadzenie analizy przyczyn źródłowych 5 Why oraz Diagramu Ishikawy.
• U3 Kwantyfikacja ryzyka w matrycy 5x5 dla wektorów straty środków publicznych, wycieku danych podatkowych i odpowiedzialności karnej (IR=25 -> RR=5).
• U4 Opracowanie Trójfazowego Planu CAP, procedury SOP oraz briefingu dla Burmistrza i Rady Miejskiej.
• K1K2K3 Obiektywizm audytorski, odporność na presję lokalnych układów politycznych, wysoka kultura komunikacji urzędowej.
• Powiązanie z wykładem: Wyk1 (Ład zarządczy w administracji samorządowej), Wyk2 (Zasady audytowania ISO 19011), Wyk3 (Kontrole A.8.5 i A.8.23 ISO 27001), Wyk4 (RODO i KRI par. 20), Wyk5 (Matryca 5x5 i BCM), Wyk6 (Analiza nagłówków SMTP, logów logowania Microsoft Entra ID Sign-in Logs i Unified Audit Log), Wyk7 (Model 4C, 5 Why, Ishikawa, CAP i Pitch to Board).

Urząd Miasta i Gminy Wieliczka jest jednostką samorządu terytorialnego obsługującą 60 000 mieszkańców. Urząd zatrudnia 140 urzędników i zarządza budżetem rocznym przekraczającym 190 mln PLN. System pocztowy i obieg dokumentów oparty jest na platformie Microsoft 365 Business Premium.

Stan faktyczny w obszarze incydentu bezpieczeństwa i naruszenia danych:

• Skarbnik Gminy otrzymał na służbową skrzynkę e-mail wiadomość zatytułowaną "Pilne: Nowe wytyczne RIO w sprawie sprawozdawczości Rb-28S", zawierającą link do rzekomego portalu logowania Regionalnej Izby Obrachunkowej. Wiadomość przeszła przez filtry pocztowe z powodu braku wdrożonego mechanizmu DMARC u nadawcy oraz braku zaawansowanej ochrony linków (Safe Links).
• Skarbnik kliknął w odnośnik, który przekierował go na serwer pośredniczący Adversary-in-the-Middle (AiTM oparty na Evilginx2). Urzędnik wpisał login, hasło oraz przepisał jednorazowy kod SMS otrzymany na telefon. Serwer napastnika przechwycił ciasteczko sesyjne `ESTSAUTH` / `ESTSAUTHPERSISTENT`, omijając mechanizm MFA.
• Posiadając aktywną sesję, napastnicy zalogowali się do konta Skarbnika z adresu IP w Holandii. Natychmiast utworzyli ukrytą regułę skrzynki odbiorczej (Inbox Rule), która automatycznie przenosiła wszystkie wiadomości zawierające słowa "faktura", "płatność", "przelew", "RIO" do folderu "Elementy usunięte" oraz przekazywała kopie na zewnętrzny adres e-mail napastników.
• Przez 12 dni napastnicy analizowali bieżącą korespondencję gminy. Gdy wykonawca rozbudowy kanalizacji przesłał fakturę częściową na kwotę 420 000 PLN, napastnicy podmienili załącznik PDF, zmieniając numer rachunku bankowego na konto tzw. "słupa" w banku komercyjnym. Skarbnik, nie weryfikując numeru konta z Białą Listą Podatników VAT ani telefonicznie z wykonawcą, podpisał i zrealizował przelew.
• Ponadto w trakcie 12 dni nieautoryzowanego dostępu napastnicy dokonali eksfiltracji 4 500 wiadomości ze skrzynki Skarbnika, zawierających: zestawienia podatników podatku od nieruchomości z numerami PESEL i adresami, wnioski mieszkańców o zapomogi losowe z opisami sytuacji życiowej i chorób, zaświadczenia o dochodach oraz pisma od komorników sądowych.
• Audyt wykazał, że w urzędzie stosowano najprostszą formę MFA (SMS), nie wdrożono polityki dostępu warunkowego blokującej logowania z zagranicy (Conditional Access Geo-Blocking), a IOD urzędu nie został poinformowany o wdrożeniu chmury M365 i nie przeprowadził analizy ryzyka.

Burmistrz Wieliczki zwołuje sesję Rady Miejskiej i powołuje Triadę Audytorską do przeprowadzenia strategicznego audytu powłamaniowego w formule 90 minut.

Zadanie realizowane jest w ścisłym reżimie warsztatowym (formuła 90 minut) przez 2-3 osobową Triadę Audytorską:

• Krok 1 (Podział ról w Triadzie Audytorskiej i triage dowodowy - Minuty 00-15):

  Student A (Lead Auditor / Reprezentant CISO): Odpowiada za ład zarządczy w urzędzie gminy, analizę zbieżności par. 20 KRI, art. 32 RODO i art. 231 KK (dyscyplina finansów publicznych), kontakty z Burmistrzem, CSIRT NASK i Policją oraz przygotowanie Executive Summary ("Pitch to Board").

  Student B (Technical SecOps Auditor / Architekt Bezpieczeństwa Microsoft 365): Analizuje logi Entra ID Sign-in Logs (kradzież sesji AiTM), logi Unified Audit Log (dodanie reguły skrzynki), projektuje wdrożenie Phishing-Resistant MFA (klucze FIDO2 YubiKey), polityki Conditional Access i wymuszenie Białej Listy VAT w procedurach finansowych.

  Student C (Governance, Risk & Compliance Auditor): Przeprowadza dekompozycję uchybienia w kanonicznym modelu 4C, wylicza ryzyko w matrycy 5x5 skorelowane ze wskaźnikami BCM (RTO=30m, RPO=0s, MTPD=2h), prowadzi sekwencję 5 Why oraz konstruuje Trójfazowy Plan CAP z przypisaniem ról RACI i metryk KPI/KRI. W zespole dwuosobowym zadania te dzielą Studenci A i B.

• Krok 2 (Opracowanie Kanonicznej Karty Niezgodności 4C - Minuty 15-40):

  Sformułujcie kartę uchybienia w modelu 4C:

• Krok 3 (Zaawansowana Matryca Ryzyka 5x5 i Wskaźniki BCM - Minuty 15-40):

  Skwantyfikujcie 4 wektory zagrożeń w skali 25-stopniowej (P 1-5 x S 1-5):

• Krok 4 (Konstrukcja Trójfazowego Planu Działań Korygujących - CAP - Minuty 40-70):

• Krok 5 (Sformalizowany Projekt Załącznika Wykonawczego SOP - Minuty 40-70):

  Zredagujcie akt normatywny: "Standard Bezpieczeństwa Poczty Elektronicznej, Uwierzytelniania Odpornego na Phishing (FIDO2) oraz Weryfikacji Transakcji Płatniczych w Urzędzie Miasta i Gminy Wieliczka" z artykułami § 1 do § 6.

• Krok 6 (Opracowanie Podsumowania Zarządczego - Pitch to Board - Minuty 70-90):

  Przygotujcie 1-stronicowy briefing dla Burmistrza i Rady Miejskiej: redukcja ryzyk IR=25 -> RR<=4, analiza odpowiedzialności karnej z art. 231 KK, budżet Planu CAP (185 000 PLN) oraz stopa zwrotu ROSI (odzyskanie lub zabezpieczenie budżetu inwestycyjnego gminy i ochrona mieszkańców przed oszustwami).

Plan obrony seminaryjnej przed komisją laboratoryjną (15 minut):

• Prezentacja Podsumowania Zarządczego dla Burmistrza i Radnych (3 min): Przedstawienie przebiegu ataku BEC, kradzieży 420 000 PLN, wycieku 4 500 maili petentów i bilansu ryzyk przed i po CAP (Student A - Lead Auditor).
• Dekonstrukcja techniczna ataku AiTM i architektura FIDO2 (4 min): Demonstracja działania Evilginx2, kradzież ciasteczka sesyjnego pomimo SMS MFA, prezentacja logów Entra ID oraz wdrożenia kluczy FIDO2 YubiKey i Conditional Access (Student B - Technical SecOps Auditor).
• Prezentacja Kanonicznej Karty Niezgodności 4C, analizy 5 Why / Ishikawy i matrycy 5x5 (4 min): Uzasadnienie uchybienia w świetle par. 20 KRI, art. 32 RODO i art. 231 KK oraz wyliczenie redukcji ryzyka z IR=25 do RR=4 (Student C - Compliance Auditor).
• Prezentacja Trójfazowego Planu CAP i Załącznika Wykonawczego SOP (3 min): Harmonogram 0-7, 30, 90 dni, macierz RACI, metryki KPI/KRI oraz zasady procedury 4-Eyes dla przelewów budżetowych (Student B i Student C).
• Dyskusja z komisją i obrona rekomendacji (1 min): Odpowiedzi na pytania o przełamanie oporu personelu urzędowego przed noszeniem fizycznych kluczy sprzętowych (cała Triada Audytorska).

Struktura raportu strategicznego na ocenę 5.0 (objętość 12-16 stron A4):

A. Podsumowanie Zarządcze (Executive Summary - "Pitch to Board") - 1 strona A4:

• Bilans ryzyk przed i po CAP w matrycy 5x5.
• Ekspozycja prawno-finansowa (Dyscyplina finansów publicznych, art. 231 KK, RODO art. 32/83, KRI).
• Kosztorys Planu CAP (185 000 PLN) vs ROSI.

B. Odpowiedzi na zaawansowane pytania problemowe i opis sytuacji kryzysowej:

1. W jaki sposób technologia kluczy sprzętowych FIDO2 / WebAuthn eliminuje podatność na ataki Adversary-in-the-Middle (AiTM / Evilginx) i dlaczego tradycyjne kody SMS MFA lub powiadomienia push w aplikacji nie zapewniają ochrony przed przejęciem sesji?

2. Jakie obowiązki ciążą na wójcie/burmistrzu jako kierowniku jednostki sektora finansów publicznych na gruncie par. 20 KRI oraz art. 231 Kodeksu Karnego w przypadku zaniechania wdrożenia procedur weryfikacji tożsamości i ochrony poczty elektronicznej?

3. Jakie rygorystyczne kryteria musi spełniać procedura powiadamiania mieszkańców o wycieku ich deklaracji podatkowych i danych majątkowych (art. 34 RODO), aby zminimalizować ryzyko wyłudzeń pożyczek 'na odległość'?

C. Kanoniczna Karta Ustaleń Audytowych w Modelu 4C (Condition, Criteria, Cause [5 Why + Diagram Ishikawy], Consequence).

D. Zaawansowana Matryca Ryzyka 5x5 i Wskaźniki BCM (IR vs RR, RTO=30m, RPO=0s, MTPD=2h).

E. Trójfazowy Plan Działań Korygujących (CAP) (tabela Faza 1, 2, 3 z macierzą RACI i KPI/KRI).

F. Sformalizowany Projekt Załącznika Wykonawczego (SOP) - Standard Ochrony Poczty i Uwierzytelniania FIDO2 (§ 1 do § 6).

G. Analiza kompromisów inżynierskich (Trade-offs: wygoda urzędników vs rygorystyczne blokady Conditional Access i koszty kluczy sprzętowych).

H. Bibliografia, netografia i regulacje prawne.

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 5, 24, 25, 32, 33, 34, 82, 83.
• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności (KRI) - par. 20.
• CSIRT NASK: Raport o zagrożeniach bezpieczeństwa - Ataki typu Business Email Compromise (BEC) i phishing z ominięciem MFA.
• FIDO Alliance: FIDO2 Authentication Standard & WebAuthn Specifications.
• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - kontrole A.5.24, A.8.5, A.8.20, A.8.23.
• Ustawa z dnia 27 sierpnia 2009 r. o finansach publicznych (Dz.U. z 2023 r. poz. 1270 z późn. zm.).
• Kodeks Karny (Dz.U. z 1997 r. nr 88 poz. 553 z późn. zm.) - art. 231 (Niedopełnienie obowiązków), art. 286 (Oszustwo).
• Urząd Ochrony Danych Osobowych: Poradnik dla sektora publicznego w zakresie reagowania na incydenty cyberbezpieczeństwa.

• U2 Dekompozycja uchybień w modelu 4C oraz analiza 5 Why dla incydentu BEC w samorządzie terytorialnym.
• U1 Projekt architektury Phishing-Resistant MFA opartej na FIDO2, Conditional Access oraz DMARC p=reject.
• U3 Kwantyfikacja ryzyka w matrycy 5x5 dla przestępstwa finansowego i wycieku danych z powiązaniem z BCM.
• U4 Opracowanie Trójfazowego Planu CAP, procedury SOP oraz strategicznego briefingu dla Burmistrza i Rady Miejskiej.

Podczas wystąpienia studenci powinni wykazać się znakomitą znajomością mechanizmu ataku AiTM: błędem wielu urzędów jest przekonanie, że jakiekolwiek MFA (np. SMS) w 100% chroni przed włamaniem. Triada Audytorska musi przekonująco wyjaśnić komisji, w jaki sposób napastnicy przechwytują ciasteczka sesyjne oraz dlaczego wyłącznie klucze kryptograficzne FIDO2 (wiążące domenę origin z certyfikatem) stanowią skuteczną barierę obronną.

Głównym celem strategicznego zadania laboratoryjnego na ocenę 5.0 jest przeprowadzenie zaawansowanego audytu bezpieczeństwa systemów IoT, telematyki pojazdowej i prywatności pracowników w międzynarodowej firmie logistycznej podlegającej Dyrektywie NIS2 (sektor transportu towarowego i infrastruktura kluczowa). Dochodzenie dotyczy publicznej ekspozycji serwera telematyki GPS (Traccar / platforma IoT) monitorującego w czasie rzeczywistym flotę 450 ciągników siodłowych przewożących chemikalia, paliwa i materiały wybuchowe (ładunki ADR). Wskutek rażącego błędu konfiguracyjnego interfejs REST API oraz mapa telemetryczna były dostępne bez jakiejkolwiek autoryzacji pod publicznym adresem IP. Ujawniono geolokalizację pojazdów z dokładnością do 1 metra, prędkość, styl jazdy, czas pracy kierowców z tachografów cyfrowych oraz bazę danych kierowców zawierającą: imiona, nazwiska, numery PESEL, numery praw jazdy, serie paszportów, numery telefonów oraz poufne trasy przewozu ładunków niebezpiecznych. Zadanie wymaga zastosowania kanonicznego modelu 4C, wyliczenia ryzyka w 25-stopniowej matrycy 5x5 powiązanej z BCM (RTO=15m, RPO=0s, MTPD=1h), skonstruowania Trójfazowego Planu CAP z rolami RACI i metrykami KPI/KRI, opracowania sformalizowanego Załącznika Wykonawczego (SOP) regulującego prywatność telematyczną wg art. 22^3 Kodeksu pracy oraz bezpieczeństwo IoT i przygotowania Podsumowania Zarządczego (Pitch to Board) dla Zarządu i Głównego Inspektoratu Transportu Drogowego (GITD).

Powiązanie z sylabusem i efektami kształcenia na ocenę 5.0:

• W1 Ochrona danych osobowych pracowników, zasady legalności monitoringu GPS (art. 22^3 Kodeksu pracy), przepisów RODO (art. 5 - minimalizacja i ograniczenie celu, art. 25, 32), przepisów umowy ADR (bezpieczeństwo przewozu towarów niebezpiecznych) oraz odpowiedzialności karnej z art. 267 KK.
• W2W3 Rygorystyczna synteza wymagań Dyrektywy NIS2 (sektor transportu), normy PN-EN ISO/IEC 27001:2022 (kontrole A.8.8, A.8.9, A.8.20, A.8.24), wytycznych EROD dotyczących przetwarzania danych w pojazdach podłączonych do sieci oraz standardów bezpieczeństwa IoT/M2M.
• U1 Projekt architektury bezpieczeństwa telematyki IoT: izolacja transmisyjna urządzeń pokładowych OBU w dedykowanym APN z tunelem IPsec do centrali, mutualne uwierzytelnianie mTLS z certyfikatami X.509, wdrożenie Privacy by Default (maskowanie pozycji pojazdu poza godzinami pracy i w trakcie odpoczynku kierowcy).
• U2 Bezbłędne sformułowanie Karty 4C i przeprowadzenie analizy przyczyn źródłowych 5 Why oraz Diagramu Ishikawy.
• U3 Kwantyfikacja ryzyka w matrycy 5x5 dla wektorów terroryzmu/kradzieży ładunków ADR, inwigilacji pracowników i kar UODO/NIS2 (IR=25 -> RR=4).
• U4 Opracowanie Trójfazowego Planu CAP, procedury SOP oraz briefingu dla Zarządu spółki logistycznej.
• K1K2K3 Profesjonalizm audytorski, wrażliwość na prawa pracownicze kierowców i obiektywizm w ocenie ryzyka fizycznego.
• Powiązanie z wykładem: Wyk1 (Ład zarządczy w logistyce i NIS2), Wyk2 (Zasady audytowania ISO 19011), Wyk3 (Kontrole A.8.8 i A.8.20 ISO 27001), Wyk4 (RODO i monitoring pracowniczy w Kodeksie pracy), Wyk5 (Matryca 5x5 i BCM), Wyk6 (Analiza ruchu telemetrycznego IoT, zapytań API i logów GPS), Wyk7 (Model 4C, 5 Why, Ishikawa, CAP i Pitch to Board).

Trans-Logistics S.A. jest wiodącym operatorem logistycznym specjalizującym się w międzynarodowym transporcie materiałów niebezpiecznych klas 1-9 ADR (paliwa płynne, gazy techniczne, toksyczne chemikalia przemysłowe). Flota spółki liczy 450 ciągników siodłowych z naczepami cysternowymi operującymi w całej Europie. Zgodnie z Dyrektywą NIS2 spółka jest podmiotem kluczowym w sektorze transportu.

Stan faktyczny w obszarze incydentu IoT i wycieku danych:

• W celu optymalizacji tras i monitorowania zużycia paliwa dział IT wdrożył otwartoźródłowy serwer telematyki GPS Traccar na maszynie wirtualnej w chmurze Hetzner.
• Administrator systemów IT, chcąc umożliwić dyspozytorom pracującym zdalnie dostęp do mapy bez konieczności uruchamiania klienta VPN, wyłączył zaporę sieciową (iptables) i wystawił porty 8082 (panel webowy) oraz 5055 (odbiornik danych z urządzeń pokładowych) bezpośrednio na publiczny adres IP.
• Dodatkowo w konfiguracji Traccar włączono domyślną flagę `registration.default=true`, co sprawiło, że dowolna osoba wchodząca na adres IP serwera uzyskiwała natychmiastowy dostęp gościa z uprawnieniami do podglądu całej floty na żywo.
• Publiczny interfejs ujawniał w czasie rzeczywistym: aktualną pozycję geograficzną 450 ciężarówek (odświeżaną co 5 sekund), prędkość, trasę docelową, rodzaj przewożonego ładunku ADR (np. 30 ton ciekłego chloru lub paliwa lotniczego), poziom paliwa oraz numery rejestracyjne.
• W panelu znajdowała się również baza kierowców powiązana z pojazdami, zawierająca: imię, nazwisko, PESEL, numer telefonu, numer prawa jazdy, serię dowodu/paszportu oraz szczegółowe zapisy z tachografów (czas ciągłej jazdy, przerwy, odpoczynki nocne).
• Co więcej, system telematyczny rejestrował pozycję GPS pojazdów przez 24 godziny na dobę, również wtedy, gdy kierowca przebywał na urlopie lub wykorzystywał ciągnik w celach prywatnych, co stanowiło drastyczne złamanie art. 22^3 Kodeksu pracy.
• Serwer został odkryty przez analityka wywiadu gospodarczego za pomocą wyszukiwarki Shodan. Informacja o niezabezpieczonym monitoringu transportów chemikaliów i danych kierowców trafiła do mediów branżowych oraz Rządowego Centrum Bezpieczeństwa (RCB).

Prezes Zarządu Trans-Logistics S.A. zwołuje posiedzenie sztabu kryzysowego i powołuje Triadę Audytorską do przeprowadzenia strategicznego audytu w formule 90 minut.

Zadanie realizowane jest w ścisłym reżimie warsztatowym (formuła 90 minut) przez 2-3 osobową Triadę Audytorską:

• Krok 1 (Podział ról w Triadzie Audytorskiej i triage dowodowy - Minuty 00-15):

  Student A (Lead Auditor / Reprezentant CISO): Odpowiada za ład zarządczy w transporcie kluczowym (NIS2), zgodność monitoringu GPS z art. 22^3 Kodeksu pracy i RODO art. 5/25, relacje z RCB, GITD i Prezesem UODO oraz przygotowanie Executive Summary ("Pitch to Board").

  Student B (Technical SecOps Auditor / Architekt Bezpieczeństwa IoT i Sieci): Analizuje podatność konfiguracji Traccar, zrzuty pakietów telemetrycznych, brak uwierzytelniania API, projektuje architekturę prywatnego APN w sieci komórkowej, mutualne uwierzytelnianie mTLS certyfikatami X.509 oraz mechanizm technicznego wyłącznika prywatności (Privacy Switch) dla kierowców.

  Student C (Governance, Risk & Compliance Auditor): Przeprowadza dekompozycję uchybienia w kanonicznym modelu 4C, wylicza ryzyko w matrycy 5x5 skorelowane ze wskaźnikami BCM (RTO=15m, RPO=0s, MTPD=1h), prowadzi sekwencję 5 Why oraz konstruuje Trójfazowy Plan CAP z przypisaniem ról RACI i metryk KPI/KRI. W zespole dwuosobowym zadania te dzielą Studenci A i B.

• Krok 2 (Opracowanie Kanonicznej Karty Niezgodności 4C - Minuty 15-40):

  Sformułujcie kartę uchybienia w modelu 4C:

• Krok 3 (Zaawansowana Matryca Ryzyka 5x5 i Wskaźniki BCM - Minuty 15-40):

  Skwantyfikujcie 4 wektory zagrożeń w skali 25-stopniowej (P 1-5 x S 1-5):

• Krok 4 (Konstrukcja Trójfazowego Planu Działań Korygujących - CAP - Minuty 40-70):

• Krok 5 (Sformalizowany Projekt Załącznika Wykonawczego SOP - Minuty 40-70):

  Zredagujcie akt normatywny: "Standard Bezpieczeństwa Systemów Telematyki IoT, Ochrony Danych Geolokalizacyjnych i Prywatności Pracowników Mobilnych w Trans-Logistics S.A." z artykułami § 1 do § 6.

• Krok 6 (Opracowanie Podsumowania Zarządczego - Pitch to Board - Minuty 70-90):

  Przygotujcie 1-stronicowy briefing dla Zarządu: redukcja ryzyk IR=25 -> RR<=5, ekspozycja na kary UODO i NIS2, budżet Planu CAP (360 000 PLN) oraz stopa zwrotu ROSI (zapobieżenie katastrofie chemicznej/terroryzmowi, ochrona kontraktów chemicznych o wartości 150 mln PLN i uniknięcie sporów zbiorowych z kierowcami).

Plan obrony seminaryjnej przed komisją laboratoryjną (15 minut):

• Prezentacja Podsumowania Zarządczego dla Zarządu (3 min): Przedstawienie zagrożeń wynikających z publicznej ekspozycji 450 cystern z chemikaliami ADR, naruszenia praw pracowniczych i bilansu ryzyk przed i po CAP (Student A - Lead Auditor).
• Dekonstrukcja techniczna konfiguracji IoT i architektura prywatnego APN/mTLS (4 min): Analiza zapytań Traccar API, brak zapory sieciowej, demonstracja wdrożenia prywatnego APN, mTLS oraz funkcji Privacy Switch (Student B - Technical SecOps Auditor).
• Prezentacja Kanonicznej Karty Niezgodności 4C, analizy 5 Why / Ishikawy i matrycy 5x5 (4 min): Uzasadnienie uchybienia w świetle art. 22^3 Kodeksu pracy, przepisów ADR i NIS2 oraz wyliczenie redukcji ryzyka z IR=25 do RR=5 (Student C - Compliance Auditor).
• Prezentacja Trójfazowego Planu CAP i Załącznika Wykonawczego SOP (3 min): Harmonogram 0-7, 30, 90 dni, macierz RACI, metryki KPI/KRI oraz zasady minimalizacji danych geolokalizacyjnych (Student B i Student C).
• Dyskusja z komisją i obrona rekomendacji (1 min): Odpowiedzi na pytania o wyważenie wymogów bezpieczeństwa fizycznego ADR a prawem do prywatności kierowcy (cała Triada Audytorska).

Struktura raportu strategicznego na ocenę 5.0 (objętość 12-16 stron A4):

A. Podsumowanie Zarządcze (Executive Summary - "Pitch to Board") - 1 strona A4:

• Bilans ryzyk przed i po CAP w matrycy 5x5.
• Ekspozycja prawno-finansowa (RODO art. 5/25/83, Kodeks pracy art. 22^3, NIS2, ADR).
• Kosztorys Planu CAP (360 000 PLN) vs ROSI.

B. Odpowiedzi na zaawansowane pytania problemowe i opis sytuacji kryzysowej:

1. W jaki sposób zaprojektować architekturę sieciową dla urządzeń pokładowych IoT (prywatny APN, tunele IPsec VPN, brak publicznego routingu), aby całkowicie wykluczyć możliwość bezpośredniego kontaktu urządzenia z siecią publiczną?

2. Jakie ograniczenia prawne nakłada art. 22^3 Kodeksu pracy na pracodawcę stosującego monitoring geolokalizacyjny GPS pojazdów służbowych i w jaki sposób wdrożyć zasadę Privacy by Design w czasie odpoczynku i przerw kierowcy?

3. Jakie szczególne środki bezpieczeństwa fizycznego i teleinformatycznego wynikają z rozdziału 1.10 umowy ADR w odniesieniu do transportu towarów niebezpiecznych dużego ryzyka (TNDR) w podmiotach kluczowych NIS2?

C. Kanoniczna Karta Ustaleń Audytowych w Modelu 4C (Condition, Criteria, Cause [5 Why + Diagram Ishikawy], Consequence).

D. Zaawansowana Matryca Ryzyka 5x5 i Wskaźniki BCM (IR vs RR, RTO=15m, RPO=0s, MTPD=1h).

E. Trójfazowy Plan Działań Korygujących (CAP) (tabela Faza 1, 2, 3 z macierzą RACI i KPI/KRI).

F. Sformalizowany Projekt Załącznika Wykonawczego (SOP) - Standard Bezpieczeństwa Telematyki IoT i Ochrony Prywatności Kierowców (§ 1 do § 6).

G. Analiza kompromisów inżynierskich (Trade-offs: ciągłość nadzoru nad ładunkiem niebezpiecznym vs prywatność pracownika i wyłączenie GPS w czasie przerw).

H. Bibliografia, netografia i regulacje prawne.

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 5, 6, 24, 25, 32, 33, 34, 35, 82, 83.
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (Dyrektywa NIS2) - art. 21 (Zarządzanie ryzykiem cyberbezpieczeństwa w sektorze transportu).
• Ustawa z dnia 26 czerwca 1974 r. Kodeks pracy (Dz.U. z 2023 r. poz. 1465 z późn. zm.) - art. 22^3 (Monitoring poczty elektronicznej i inne formy monitoringu).
• Umowa europejska dotycząca międzynarodowego przewozu drogowego towarów niebezpiecznych (ADR) - Dział 1.10 (Przepisy dotyczące ochrony).
• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - kontrole A.8.8, A.8.9, A.8.20, A.8.24.
• Europejska Rada Ochrony Danych (EROD): Wytyczne 1/2020 w sprawie przetwarzania danych osobowych w kontekście pojazdów podłączonych do sieci i aplikacji związanych z mobilnością.
• Urząd Ochrony Danych Osobowych: Wytyczne dotyczące monitoringu w miejscu pracy.
• Kodeks Karny (Dz.U. z 1997 r. nr 88 poz. 553 z późn. zm.) - art. 267.

• U2 Dekompozycja uchybień w modelu 4C oraz analiza 5 Why dla incydentu w systemie telematyki IoT.
• U1 Projekt architektury bezpieczeństwa IoT z prywatnym APN, mTLS oraz technicznym wyłącznikiem prywatności.
• U3 Kwantyfikacja ryzyka w matrycy 5x5 dla danych geolokalizacyjnych i towarów niebezpiecznych z BCM.
• U4 Opracowanie Trójfazowego Planu CAP, procedury SOP oraz strategicznego briefingu dla Zarządu spółki.

Podczas wystąpienia studenci powinni zwrócić uwagę na unikalny styk cyberbezpieczeństwa z bezpieczeństwem fizycznym i antyterrorystycznym: ujawnienie geolokalizacji cysterny z ciekłym chlorem stwarza ryzyko zamachu masowego, natomiast śledzenie kierowcy w kabinie podczas snu narusza prawo pracy. Triada Audytorska musi zaprezentować rozwiązanie inżynierskie (Privacy Switch / reguły geofencingu), które perfekcyjnie godzi te dwa sprzeczne interesy.

Głównym celem strategicznego zadania laboratoryjnego na ocenę 5.0 jest przeprowadzenie zaawansowanego audytu śledczego i architektury zarządzania kopiami zapasowymi w szkole wyższej, w której doszło do katastrofalnego naruszenia ochrony danych osobowych całej społeczności akademickiej. Naruszenie polegało na bezpośredniej ekspozycji w publicznej przestrzeni serwera WWW Apache (`/var/www/html/`) nieszyfrowanego archiwum bazy danych MySQL `backup_student_db_2025.sql.gz` o wadze 18 GB. Plik został tam umieszczony przez automatyczny skrypt cron administratora w celu "szybkiego pobrania przez zewnętrznego wykonawcę nowego portalu rekrutacyjnego". Zbiór danych został zindeksowany przez wyszukiwarki internetowe i pobrany przez ponad 60 niezależnych botów i użytkowników. Baza zawierała pełne dane 8 500 studentów, absolwentów i pracowników: imiona, nazwiska, numery PESEL, numery dowodów, adresy zamieszkania, hasła do Wirtualnego Dziekanatu (haszowane archaicznym algorytmem MD5 bez soli), numery kont bankowych, oceny, a także dane szczególnej kategorii (art. 9 RODO): wnioski o stypendia socjalne ze szczegółowymi dochodami rodzin oraz orzeczenia o stopniu niepełnosprawności z kodami chorób psychicznych i neurologicznych. Zadanie wymaga zastosowania kanonicznego modelu 4C, wyliczenia ryzyka w matrycy 5x5 powiązanej z BCM (RTO=20m, RPO=0s, MTPD=1h), skonstruowania Trójfazowego Planu CAP z rolami RACI i metrykami KPI/KRI, opracowania sformalizowanego Załącznika Wykonawczego (SOP) regulującego tworzenie i szyfrowanie kopii zapasowych oraz przygotowania Podsumowania Zarządczego (Pitch to Board) dla Rektora i Senatu Uczelni.

Powiązanie z sylabusem i efektami kształcenia na ocenę 5.0:

• W1 Ochrona danych akademickich, danych wrażliwych studentów (art. 9 RODO: zdrowie, niepełnosprawność), Ustawy - Prawo o szkolnictwie wyższym i nauce, zasad odpowiedzialności cywilnej i administracyjnej z art. 82 i 83 RODO oraz art. 268a KK (naruszenie integralności i poufności danych).
• W2W3 Rygorystyczna synteza Krajowych Ram Interoperacyjności (par. 20 KRI), normy PN-EN ISO/IEC 27001:2022 (kontrole A.8.10, A.8.12, A.8.13, A.8.24), standardu niszczenia i bezpiecznego składowania kopii oraz orzecznictwa Prezesa UODO nakładającego kary na uczelnie wyższe.
• U1 Projekt architektury bezpiecznego backupu: całkowite odseparowanie repozytoriów kopii zapasowych od środowisk webowych, szyfrowanie kopii kluczem asymetrycznym GPG/AES-256 przed zapisem, wdrożenie dedykowanego serwera SFTP z uwierzytelnianiem kluczami SSH dla wykonawców oraz bezpiecznego haszowania haseł Argon2id.
• U2 Bezbłędne sformułowanie Karty 4C i przeprowadzenie analizy przyczyn źródłowych 5 Why oraz Diagramu Ishikawy.
• U3 Kwantyfikacja ryzyka w matrycy 5x5 dla wektorów wyłudzeń kredytów na PESEL studentów, stygmatyzacji orzeczeniami o niepełnosprawności i kar UODO (IR=25 -> RR=4).
• U4 Opracowanie Trójfazowego Planu CAP, procedury SOP oraz briefingu dla władz rektorskich.
• K1K2K3 Obiektywizm audytorski, wysoka kultura akademicka, stanowczość w eliminacji praktyk "partyzantki informatycznej" na uczelni.
• Powiązanie z wykładem: Wyk1 (Ład zarządczy w szkolnictwie wyższym), Wyk2 (Zasady audytowania ISO 19011), Wyk3 (Kontrole A.8.13 i A.8.24 ISO 27001), Wyk4 (RODO i KRI par. 20), Wyk5 (Matryca 5x5 i BCM), Wyk6 (Analiza logów serwera Apache access_log i zrzutów bazy SQL), Wyk7 (Model 4C, 5 Why, Ishikawa, CAP i Pitch to Board).

Niepubliczna Szkoła Wyższa 'Academia Futura' w Krakowie kształci 6 500 studentów na 12 kierunkach oraz zatrudnia 450 pracowników naukowo-dydaktycznych i administracyjnych. Głównym systemem obsługi toku studiów jest Wirtualny Dziekanat oparty na serwerze Linux Debian, silniku bazodanowym MySQL oraz serwerze WWW Apache.

Stan faktyczny w obszarze incydentu bezpieczeństwa i naruszenia danych:

• W związku z planowaną migracją do nowego portalu rekrutacyjnego administrator uczelniany, na prośbę zewnętrznego programisty, napisał skrypt bash `daily_dump.sh` w harmonogramie cron: `mysqldump -u root dziekanat_db | gzip > /var/www/html/backup_student_db_2025.sql.gz`.
• Skrypt generował nieszyfrowany zrzut pełnej bazy danych do głównego katalogu publicznego serwera WWW codziennie o 01:00 w nocy. Administrator planował usunąć skrypt po tygodniu, jednak zapomniał o nim na 4 miesiące.
• W konfiguracji serwera Apache włączona była opcja `Options Indexes`, co powodowało wyświetlanie zawartości katalogu w przypadku braku pliku index.html w podkatalogach, a sam plik backupu nie był chroniony żadnym hasłem ani plikiem `.htaccess`.
• Pozycję zindeksowały roboty wyszukiwarki Google oraz wyspecjalizowane wyszukiwarki wycieków baz danych. Plik o wadze 18 GB został pobrany 64 razy z różnych adresów IP na całym świecie.
• Zrzut bazy zawierał pełne dane 8 500 studentów i wykładowców: imię, nazwisko, PESEL, serię i numer dowodu osobistego, adres stały i korespondencyjny, numer telefonu, e-mail, numery rachunków bankowych (do wypłaty stypendiów), hasła użytkowników haszowane przestarzałą funkcją MD5 bez soli, a także dane wrażliwe z art. 9 RODO: wnioski o stypendia socjalne ze szczegółowym wykazem dochodów i problemów majątkowych oraz orzeczenia lekarskie o niepełnosprawności (w tym zaburzenia psychiatryczne, padaczka, wady rozwojowe).
• W sieci pojawiły się próby wyłudzenia pożyczek gotówkowych na dane studentów, a jeden z wykładowców poinformował Rektora, że jego hasło z dziekanatu posłużyło do włamania na jego prywatną skrzynkę pocztową.
• IOD uczelni, zatrudniony na umowę zlecenie w wymiarze 10 godzin miesięcznie, dowiedział się o sprawie od dziennikarza portalu Niebezpiecznik.pl.

Rektor Uczelni powołuje Triadę Audytorską do przeprowadzenia strategicznego audytu powłamaniowego w formule 90 minut.

Zadanie realizowane jest w ścisłym reżimie warsztatowym (formuła 90 minut) przez 2-3 osobową Triadę Audytorską:

• Krok 1 (Podział ról w Triadzie Audytorskiej i triage dowodowy - Minuty 00-15):

  Student A (Lead Auditor / Reprezentant CISO): Odpowiada za ład zarządczy w szkolnictwie wyższym, zgodność z RODO art. 9 i 32, par. 20 KRI, relacje z Rektorem, Senatem Uczelni i Prezesem UODO oraz przygotowanie Executive Summary ("Pitch to Board").

  Student B (Technical SecOps Auditor / Architekt Bezpieczeństwa Baz Danych i WWW): Analizuje logi Apache access_log, skrypt crona, konfigurację Options Indexes, dekomponuje słabość MD5, projektuje bezpieczną architekturę backupu (izolacja, szyfrowanie GPG AES-256), bezpieczny transfer SFTP oraz migrację haseł na Argon2id.

  Student C (Governance, Risk & Compliance Auditor): Przeprowadza dekompozycję uchybienia w kanonicznym modelu 4C, wylicza ryzyko w matrycy 5x5 skorelowane ze wskaźnikami BCM (RTO=20m, RPO=0s, MTPD=1h), prowadzi sekwencję 5 Why oraz konstruuje Trójfazowy Plan CAP z przypisaniem ról RACI i metryk KPI/KRI. W zespole dwuosobowym zadania te dzielą Studenci A i B.

• Krok 2 (Opracowanie Kanonicznej Karty Niezgodności 4C - Minuty 15-40):

  Sformułujcie kartę uchybienia w modelu 4C:

• Krok 3 (Zaawansowana Matryca Ryzyka 5x5 i Wskaźniki BCM - Minuty 15-40):

  Skwantyfikujcie 4 wektory zagrożeń w skali 25-stopniowej (P 1-5 x S 1-5):

• Krok 4 (Konstrukcja Trójfazowego Planu Działań Korygujących - CAP - Minuty 40-70):

• Krok 5 (Sformalizowany Projekt Załącznika Wykonawczego SOP - Minuty 40-70):

  Zredagujcie akt normatywny: "Standard Tworzenia, Szyfrowania i Przechowywania Kopii Zapasowych oraz Bezpiecznego Udostępniania Danych Wykonawcom w Niepublicznej Szkole Wyższej Academia Futura" z artykułami § 1 do § 6.

• Krok 6 (Opracowanie Podsumowania Zarządczego - Pitch to Board - Minuty 70-90):

  Przygotujcie 1-stronicowy briefing dla Rektora i Senatu: redukcja ryzyk IR=25 -> RR<=4, ekspozycja na kary UODO (do kilkuset tysięcy PLN) i pozwy studentów, budżet Planu CAP (160 000 PLN) oraz stopa zwrotu ROSI (uratowanie naboru na studia, uniknięcie odszkodowań i ochrona reputacji akademickiej uczelni).

Plan obrony seminaryjnej przed komisją laboratoryjną (15 minut):

• Prezentacja Podsumowania Zarządczego dla Rektora i Senatu Uczelni (3 min): Przedstawienie skali incydentu ekspozycji bazy 8 500 studentów, wycieku danych wrażliwych, ekspozycji finansowej i bilansu ryzyk przed i po CAP (Student A - Lead Auditor).
• Dekonstrukcja techniczna błędu crona i architektura bezpiecznego backupu (4 min): Analiza konfiguracji Apache, podatność MD5, demonstracja szyfrowania GPG AES-256, izolacji VLAN dla serwerów backupowych i haszowania Argon2id (Student B - Technical SecOps Auditor).
• Prezentacja Kanonicznej Karty Niezgodności 4C, analizy 5 Why / Ishikawy i matrycy 5x5 (4 min): Uzasadnienie uchybienia w świetle art. 9 RODO, par. 20 KRI i art. 268a KK oraz wyliczenie redukcji ryzyka z IR=25 do RR=4 (Student C - Compliance Auditor).
• Prezentacja Trójfazowego Planu CAP i Załącznika Wykonawczego SOP (3 min): Harmonogram 0-7, 30, 90 dni, macierz RACI, metryki KPI/KRI oraz zasady bezpiecznego udostępniania zasobów podwykonawcom (Student B i Student C).
• Dyskusja z komisją i obrona rekomendacji (1 min): Odpowiedzi na pytania o przezwyciężenie ograniczeń budżetowych na uczelni niepublicznej (cała Triada Audytorska).

Struktura raportu strategicznego na ocenę 5.0 (objętość 12-16 stron A4):

A. Podsumowanie Zarządcze (Executive Summary - "Pitch to Board") - 1 strona A4:

• Bilans ryzyk przed i po CAP w matrycy 5x5.
• Ekspozycja prawno-finansowa (RODO art. 9/83, KRI par. 20, Prawo o szkolnictwie wyższym, pozwy cywilne).
• Kosztorys Planu CAP (160 000 PLN) vs ROSI.

B. Odpowiedzi na zaawansowane pytania problemowe i opis sytuacji kryzysowej:

1. W jaki sposób zaprojektować zautomatyzowany potok tworzenia kopii zapasowych baz danych (z użyciem asymetrycznego szyfrowania GPG/OpenSSL), aby klucz prywatny niezbędny do odszyfrowania znajdował się wyłącznie w sejfie offline, a serwer backupowy posiadał wyłącznie klucz publiczny?

2. Jakie obowiązki informacyjne wobec poszkodowanych (art. 34 RODO) powstają w przypadku wycieku danych studentów o ich orzeczeniach o niepełnosprawności i stypendiach socjalnych i jak zapobiec ich wtórnej wiktymizacji?

3. Czym różnią się funkcje skrótu MD5, SHA-256 oraz Argon2id pod kątem odporności na ataki słownikowe i łamanie przy użyciu układów GPU w kontekście przechowywania haseł w relacyjnych bazach danych?

C. Kanoniczna Karta Ustaleń Audytowych w Modelu 4C (Condition, Criteria, Cause [5 Why + Diagram Ishikawy], Consequence).

D. Zaawansowana Matryca Ryzyka 5x5 i Wskaźniki BCM (IR vs RR, RTO=20m, RPO=0s, MTPD=1h).

E. Trójfazowy Plan Działań Korygujących (CAP) (tabela Faza 1, 2, 3 z macierzą RACI i KPI/KRI).

F. Sformalizowany Projekt Załącznika Wykonawczego (SOP) - Standard Zarządzania Kopiami Zapasowymi i Ochrony Danych Akademickich (§ 1 do § 6).

G. Analiza kompromisów inżynierskich (Trade-offs: wygoda pracy programistów zewnętrznych vs rygorystyczne procedury SFTP i szyfrowania).

H. Bibliografia, netografia i regulacje prawne.

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 5, 9, 24, 25, 32, 33, 34, 82, 83.
• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności (KRI) - par. 20.
• Ustawa z dnia 20 lipca 2018 r. Prawo o szkolnictwie wyższym i nauce (Dz.U. z 2023 r. poz. 742 z późn. zm.).
• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - kontrole A.8.10, A.8.12, A.8.13, A.8.24.
• Urząd Ochrony Danych Osobowych: Decyzja DKN.5130.2215.2020 (Kary dla uczelni wyższych za nieodpowiednie zabezpieczenie danych studentów).
• Open Web Application Security Project (OWASP): Password Storage Cheat Sheet (Rekomendacje Argon2id / bcrypt).
• Kodeks Karny (Dz.U. z 1997 r. nr 88 poz. 553 z późn. zm.) - art. 268a (Naruszenie integralności zapisu danych).

• U2 Dekompozycja uchybień w modelu 4C oraz analiza 5 Why dla błędu ekspozycji backupu na serwerze Apache.
• U1 Projekt architektury bezpiecznego backupu z szyfrowaniem asymetrycznym GPG oraz haszowaniem Argon2id.
• U3 Kwantyfikacja ryzyka w matrycy 5x5 dla danych akademickich i medycznych z powiązaniem z BCM.
• U4 Opracowanie Trójfazowego Planu CAP, procedury SOP oraz strategicznego briefingu dla Rektora i Senatu.

Podczas obrony studenci powinni wykazać się realizmem: w wielu instytucjach akademickich zrzuty baz danych są traktowane jako "pliki robocze" i bezmyślnie kopiowane na serwery WWW. Triada Audytorska musi bezkompromisowo obnażyć ten proceder przed komisją wcielającą się w rolę Rektora, dowodząc, że tego typu niedbalstwo stanowi przestępstwo z art. 268a KK i bezpośrednią podstawę do nałożenia kary przez UODO.

Głównym celem strategicznego zadania laboratoryjnego na ocenę 5.0 jest przeprowadzenie zaawansowanego audytu dochodzeniowego w ogólnopolskiej sieci obiektów sportowo-rekreacyjnych, w której doszło do bezprecedensowego wycieku danych szczególnych kategorii (art. 9 RODO: dane biometryczne oraz dane o stanie zdrowia). Incydent dotyczy kompromitacji centralnego serwera kontroli dostępu turnikietów oraz stacji bramkowych w 60 klubach fitness. Spółka wymusiła na 78 000 klientów rejestrację biometryczną (skanowanie geometrii twarzy i generowanie 512-wymiarowych szablonów biometrycznych do bezdotykowego wejścia), uzależniając od tego możliwość korzystania z karnetu. Wraz z danymi biometrycznymi wyciekła baza ankiet zdrowotnych wypełnianych obowiązkowo przed wstępem na siłownię (informacje o chorobach układu krążenia, przebytych zawałach, cukrzycy, urazach kręgosłupa i wadach serca). Dane były przechowywane w nieszyfrowanych bazach SQLite na urządzeniach bramkowych z domyślnym hasłem roota. Intruzi pobrali bazę i wystawili ją na sprzedaż w Darknecie. Zadanie wymaga zastosowania kanonicznego modelu 4C, wyliczenia ryzyka w 25-stopniowej matrycy 5x5 powiązanej z BCM (RTO=30m, RPO=0s, MTPD=2h), skonstruowania Trójfazowego Planu CAP z rolami RACI i metrykami KPI/KRI, opracowania sformalizowanego Załącznika Wykonawczego (SOP) regulującego natychmiastowe wycofanie biometrii, wdrożenie alternatywnych metod dostępu (karty RFID/NFC/QR) i kryptoizolacji oraz przygotowania Podsumowania Zarządczego (Pitch to Board) dla Zarządu i Prezesa UOKiK.

Powiązanie z sylabusem i efektami kształcenia na ocenę 5.0:

• W1 Ochrona danych biometrycznych przetwarzanych w celu jednoznacznej identyfikacji (art. 9 ust. 1 RODO), danych o zdrowiu, warunków ważności zgody (art. 7 RODO - zakaz wymuszania zgody), przepisów Ustawy o prawach konsumenta oraz odpowiedzialności cywilnej i karnej z art. 267 KK.
• W2W3 Rygorystyczna synteza Wytycznych EROD 3/2019 w sprawie przetwarzania danych osobowych za pomocą urządzeń wideo i biometrii, normy PN-EN ISO/IEC 27001:2022 (kontrole A.8.1, A.8.2, A.8.24), standardów niszczenia szablonów biometrycznych oraz orzecznictwa Prezesa UODO (kary za nielegalną biometrię w szkołach i fitnessie).
• U1 Projekt architektury kontroli dostępu zgodnej z Privacy by Design: natychmiastowa likwidacja centralnej bazy szablonów twarzy, bezpieczne niszczenie wektorów cech biometrycznych wg NIST SP 800-88, wdrożenie kart RFID Desfire EV3 z szyfrowaniem AES-128 oraz bezpiecznych kodów dynamicznych QR w aplikacji.
• U2 Bezbłędne sformułowanie Karty 4C i przeprowadzenie analizy przyczyn źródłowych 5 Why oraz Diagramu Ishikawy.
• U3 Kwantyfikacja ryzyka w matrycy 5x5 dla wektorów nieodwracalnej kradzieży tożsamości biometrycznej, szantażu danymi zdrowotnymi i kar regulacyjnych (IR=25 -> RR=4).
• U4 Opracowanie Trójfazowego Planu CAP, procedury SOP oraz briefingu dla Zarządu spółki.
• K1K2K3 Wrażliwość etyczna na kwestie inwigilacji biometrycznej, obiektywizm audytorski, bezkompromisowość w ochronie praw konsumentów.
• Powiązanie z wykładem: Wyk1 (Ład zarządczy i etyka w cyberbezpieczeństwie), Wyk2 (Zasady audytowania ISO 19011), Wyk3 (Kontrole A.8.1 i A.8.24 ISO 27001), Wyk4 (RODO art. 7 i 9 oraz wytyczne EROD), Wyk5 (Matryca 5x5 i BCM), Wyk6 (Analiza urządzeń IoT/bramkowych, logów SQLite i zapytań API), Wyk7 (Model 4C, 5 Why, Ishikawa, CAP i Pitch to Board).

Aquafit Polska S.A. jest ogólnopolską siecią klubów fitness i basenów posiadającą 60 obiektów w największych miastach Polski oraz bazę ponad 110 000 aktywnych subskrybentów. W ramach redukcji kosztów obsługi recepcji spółka wdrożyła w 2024 roku w pełni zautomatyzowane bramki dostępowe (turnikiety) wyposażone w kamery rozpoznawania twarzy (Face Recognition Terminal).

Stan faktyczny w obszarze incydentu biometrycznego i wycieku danych:

• Przy zakupie karnetu spółka wymuszała na klientach poddanie się skanowaniu biometrycznemu twarzy. Klient, który odmawiał zgody, nie mógł kupić karnetu (brak alternatywnych metod wejścia, takich jak karta zbliżeniowa czy kod QR).
• System biometryczny konwertował obraz twarzy na 512-wymiarowy wektor cech (szablon biometryczny) i zapisywał go w centralnej bazie danych oraz replikował do lokalnych pamięci urządzeń bramkowych opartych na systemie Linux Embedded.
• Równocześnie w aplikacji mobilnej wymuszano wypełnienie kwestionariusza medycznego obejmującego pytania o: przebyte zawały serca, nadciśnienie, wady kręgosłupa, epilepsję, przyjmowane leki nasercowe oraz ciążę.
• W trakcie prac serwisowych okazało się, że:

  1. Urządzenia bramkowe we wszystkich 60 klubach miały otwarty port SSH (22) z domyślnym hasłem fabrycznym `admin/admin123`.

  2. Baza szablonów biometrycznych oraz dane medyczne były przechowywane w nieszyfrowanym pliku SQLite `access_biometrics.db`.

  3. Sieć Wi-Fi dla klientów w klubach była połączona z siecią bramek kontroli dostępu (brak separacji VLAN).

• W lutym 2026 r. intruz podłączony do klubowego Wi-Fi przeprowadził skanowanie podsieci, połączył się przez SSH z bramką turnikietu, a następnie wyekstrahował bazę SQLite zawierającą dane 78 000 klientów: imię, nazwisko, PESEL, numer telefonu, adres e-mail, wektory cech biometrycznych twarzy oraz szczegółowe odpowiedzi z ankiet medycznych.
• Próbka bazy z wizerunkami i danymi o chorobach serca znanych celebrytów i polityków trenujących w klubach pojawiła się na aukcji w sieci Darknet z ceną wywoławczą 5 BTC.
• UOKiK oraz Prezes UODO wszczęły z urzędu postępowania kontrolne przeciwko spółce.

Zarząd Aquafit Polska S.A. powołuje Triadę Audytorską do przeprowadzenia natychmiastowego audytu strategicznego w formule 90 minut.

Zadanie realizowane jest w ścisłym reżimie warsztatowym (formuła 90 minut) przez 2-3 osobową Triadę Audytorską:

• Krok 1 (Podział ról w Triadzie Audytorskiej i triage dowodowy - Minuty 00-15):

  Student A (Lead Auditor / Reprezentant CISO): Odpowiada za ład zarządczy w ochronie danych konsumenckich, analizę nielegalności przetwarzania biometrii (art. 9 ust. 1 i art. 7 RODO, wytyczne EROD 3/2019), relacje z UODO i UOKiK oraz przygotowanie Executive Summary ("Pitch to Board").

  Student B (Technical SecOps Auditor / Architekt Bezpieczeństwa Systemów Kontroli Dostępu): Analizuje podatności urządzeń bramkowych IoT, otwarte porty SSH, domyślne hasła, brak szyfrowania SQLite, projektuje natychmiastowe zablokowanie biometrii, wdrożenie bezpiecznych kart RFID MIFARE DESFire EV3 z szyfrowaniem AES-128 oraz procedurę sanityzacji nośników wg NIST SP 800-88.

  Student C (Governance, Risk & Compliance Auditor): Przeprowadza dekompozycję uchybienia w kanonicznym modelu 4C, wylicza ryzyko w matrycy 5x5 skorelowane ze wskaźnikami BCM (RTO=30m, RPO=0s, MTPD=2h), prowadzi sekwencję 5 Why oraz konstruuje Trójfazowy Plan CAP z przypisaniem ról RACI i metryk KPI/KRI. W zespole dwuosobowym zadania te dzielą Studenci A i B.

• Krok 2 (Opracowanie Kanonicznej Karty Niezgodności 4C - Minuty 15-40):

  Sformułujcie kartę uchybienia w modelu 4C:

• Krok 3 (Zaawansowana Matryca Ryzyka 5x5 i Wskaźniki BCM - Minuty 15-40):

  Skwantyfikujcie 4 wektory zagrożeń w skali 25-stopniowej (P 1-5 x S 1-5):

• Krok 4 (Konstrukcja Trójfazowego Planu Działań Korygujących - CAP - Minuty 40-70):

• Krok 5 (Sformalizowany Projekt Załącznika Wykonawczego SOP - Minuty 40-70):

  Zredagujcie akt normatywny: "Standard Bezpieczeństwa Systemów Kontroli Dostępu, Zakazu Przetwarzania Biometrii i Ochrony Prywatności Klientów w Sieci Klubów Aquafit Polska S.A." z artykułami § 1 do § 6.

• Krok 6 (Opracowanie Podsumowania Zarządczego - Pitch to Board - Minuty 70-90):

  Przygotujcie 1-stronicowy briefing dla Zarządu: redukcja ryzyk IR=25 -> RR<=4, kalkulacja ekspozycji na kary (do 20 mln EUR UODO + 10% obrotu UOKiK + pozwy zbiorowe), budżet Planu CAP (390 000 PLN) oraz stopa zwrotu ROSI (zapobieżenie likwidacji spółki przez regulatory, ocalenie 110 000 subskrybentów i przywrócenie wizerunku nowoczesnej, bezpiecznej marki).

Plan obrony seminaryjnej przed komisją laboratoryjną (15 minut):

• Prezentacja Podsumowania Zarządczego dla Zarządu Spółki (3 min): Skala wycieku biometrii i danych zdrowotnych 78 000 osób, odpowiedzialność przed UODO i UOKiK, ekspozycja finansowa i bilans ryzyk przed i po CAP (Student A - Lead Auditor).
• Dekonstrukcja techniczna podatności urządzeń bramkowych i architektura bezpiecznego RFID (4 min): Analiza braku szyfrowania bazy SQLite, domyślne hasła SSH, demonstracja procedury niszczenia szablonów wg NIST SP 800-88 oraz wdrożenia kart DESFire EV3 i dynamicznych kodów QR (Student B - Technical SecOps Auditor).
• Prezentacja Kanonicznej Karty Niezgodności 4C, analizy 5 Why / Ishikawy i matrycy 5x5 (4 min): Uzasadnienie uchybienia w świetle art. 9 ust. 1 RODO, wytycznych EROD 3/2019, prawa konsumenckiego oraz wyliczenie redukcji ryzyka z IR=25 do RR=4 (Student C - Compliance Auditor).
• Prezentacja Trójfazowego Planu CAP i Załącznika Wykonawczego SOP (3 min): Harmonogram 0-7, 30, 90 dni, macierz RACI, metryki KPI/KRI oraz zasady minimalizacji danych medycznych (Student B i Student C).
• Dyskusja z komisją i obrona rekomendacji (1 min): Odpowiedzi na pytania o ekonomiczne uzasadnienie odejścia od biometrii na rzecz kart zbliżeniowych i kodów QR (cała Triada Audytorska).

Struktura raportu strategicznego na ocenę 5.0 (objętość 12-16 stron A4):

A. Podsumowanie Zarządcze (Executive Summary - "Pitch to Board") - 1 strona A4:

• Bilans ryzyk przed i po CAP w matrycy 5x5.
• Ekspozycja prawno-finansowa (RODO art. 9/83, UOKiK, pozwy zbiorowe konsumentów).
• Kosztorys Planu CAP (390 000 PLN) vs ROSI.

B. Odpowiedzi na zaawansowane pytania problemowe i opis sytuacji kryzysowej:

1. Dlaczego uzależnienie możliwości zakupu karnetu na siłownię od wyrażenia zgody na przetwarzanie danych biometrycznych stanowi rażące naruszenie art. 7 ust. 4 oraz art. 9 ust. 1 RODO w świetle Wytycznych EROD 3/2019 i orzecznictwa sądów administracyjnych?

2. W jaki sposób przeprowadzić procedurę bezpiecznego i nieodwracalnego zniszczenia bazy szablonów biometrycznych oraz obrazów twarzy z dysków i pamięci flash urządzeń IoT zgodnie ze standardem NIST SP 800-88 Rev. 1?

3. Jakie bezpieczne pod względem kryptograficznym i prywatnościowym technologie kontroli dostępu (karty zbliżeniowe MIFARE DESFire EV3, dynamiczne tokeny QR z kodami jednorazowymi TOTP) stanowią adekwatną alternatywę dla inwazyjnych systemów biometrycznych?

C. Kanoniczna Karta Ustaleń Audytowych w Modelu 4C (Condition, Criteria, Cause [5 Why + Diagram Ishikawy], Consequence).

D. Zaawansowana Matryca Ryzyka 5x5 i Wskaźniki BCM (IR vs RR, RTO=30m, RPO=0s, MTPD=2h).

E. Trójfazowy Plan Działań Korygujących (CAP) (tabela Faza 1, 2, 3 z macierzą RACI i KPI/KRI).

F. Sformalizowany Projekt Załącznika Wykonawczego (SOP) - Standard Bezpieczeństwa Kontroli Dostępu i Ochrony Prywatności (§ 1 do § 6).

G. Analiza kompromisów inżynierskich (Trade-offs: wygoda bezdotykowej biometrii vs katastrofalne ryzyko kradzieży tożsamości i sankcji UODO).

H. Bibliografia, netografia i regulacje prawne.

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 5, 7, 9, 24, 25, 32, 33, 34, 82, 83.
• Europejska Rada Ochrony Danych (EROD): Wytyczne 3/2019 w sprawie przetwarzania danych osobowych przez urządzenia wideo (w tym biometria).
• Europejska Rada Ochrony Danych (EROD): Wytyczne 05/2020 w sprawie zgody na mocy rozporządzenia 2016/679.
• National Institute of Standards and Technology (NIST): NIST SP 800-88 Rev. 1 - Guidelines for Media Sanitization.
• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - kontrole A.8.1, A.8.2, A.8.20, A.8.24.
• Urząd Ochrony Danych Osobowych: Decyzja ZSZZS.440.3.2019 (Kara za stosowanie biometrii uczniów w szkole).
• Ustawa z dnia 16 lutego 2007 r. o ochronie konkurencji i konsumentów (Dz.U. z 2023 r. poz. 1689 z późn. zm.).
• Kodeks Karny (Dz.U. z 1997 r. nr 88 poz. 553 z późn. zm.) - art. 267.

• U2 Dekompozycja uchybień w modelu 4C oraz analiza 5 Why dla nielegalnego wdrożenia biometrii konsumenckiej.
• U1 Projekt architektury kontroli dostępu Privacy by Design z kartami DESFire EV3, tokenami QR i niszczeniem danych wg NIST SP 800-88.
• U3 Kwantyfikacja ryzyka w matrycy 5x5 dla danych biometrycznych i medycznych z powiązaniem z BCM.
• U4 Opracowanie Trójfazowego Planu CAP, procedury SOP oraz strategicznego briefingu dla Zarządu spółki.

Podczas wystąpienia studenci powinni wykazać się bezkompromisowością: dane biometryczne to nieodwracalny cyfrowy odcisk człowieka. Przedsiębiorcy nie wolno zmuszać konsumenta do oddania biometrii w zamian za usługę rekreacyjną. Triada Audytorska musi dobitnie udowodnić Zarządowi, że dalsze brnięcie w biometrię twarzy grozi likwidacją firmy wskutek kar UODO i UOKiK, a bezpieczne technologie zbliżeniowe w 100% zaspokajają potrzeby biznesowe kontroli wejść.