Laboratorium 9

Głównym celem zadania jest opanowanie przez studentów praktycznych umiejętności opracowywania kompletnego raportu końcowego z audytu bezpieczeństwa informacji w jednostce administracji samorządowej, ze szczególnym uwzględnieniem wymogów paragrafu 20 Rozporządzenia Rady Ministrów w sprawie Krajowych Ram Interoperacyjności (KRI). Studenci wcielają się w rolę zespołu audytorskiego, który zakończył badanie zgodności systemów teleinformatycznych Urzędu Miasta i Gminy w Piasecznie i musi przekształcić zebrane dowody techniczne oraz proceduralne w formalny dokument sprawozdawczy dla Burmistrza oraz Rady Miejskiej. Zadanie obejmuje: skonstruowanie przejrzystej metryki audytu i określenie jego zakresu, sformułowanie syntetycznego podsumowania dla kadry zarządzającej (Executive Summary) napisanego językiem korzyści i ryzyk zarządczych, sklasyfikowanie ustaleń audytowych (niezgodności zasadnicze NC2, drobne NC3 oraz szanse na doskonalenie OFI), sformułowanie zaleceń poaudytowych w metodyce SMART/5W2H oraz opracowanie realistycznego planu działań korygujących (CAP - Corrective Action Plan).

Powiązanie z sylabusem i treściami programowymi:

• U4 Opracowanie profesjonalnego, ustrukturyzowanego raportu poaudytowego zgodnie z wytycznymi normy PN-EN ISO 19011:2018 (punkt 6.5) oraz przepisami prawa krajowego.
• U2 Identyfikacja, precyzyjny opis i poprawna klasyfikacja formalna niezgodności audytowych w relacji do wymagań paragrafu 20 KRI oraz normy PN-EN ISO/IEC 27001:2022.
• U1 Opracowanie zaleceń inżynierskich i proceduralnych oraz całościowego planu audytu i wdrożenia działań naprawczych.
• U3 Przeprowadzenie analizy ryzyka wykrytych uchybień w celu ustalenia priorytetów realizacyjnych dla kierownictwa urzędu.
• W1 Znajomość wymagań prawnych dotyczących audytowania podmiotów publicznych realizujących zadania publiczne w oparciu o systemy teleinformatyczne (KRI, RODO, Ustawa o informatyzacji działalności podmiotów realizujących zadania publiczne).
• W2W3 Rozumie relacje pomiędzy wymaganiami normy ISO/IEC 27001 (klauzule 9.2, 9.3 i 10.2) a krajowymi wytycznymi cyberbezpieczeństwa administracji samorządowej.
• K1K2K3 Kształtowanie profesjonalnej postawy audytora, dbałość o kulturę raportowania bezstronnego i konstruktywnego, budowanie zaufania pomiędzy audytorem a audytowanym kierownictwem urzędu.
• Powiązanie z wykładem: Wyk1 (Rola raportu w SZBI), Wyk2 (Zasady sporządzania i dystrybucji raportu ISO 19011), Wyk3 (Wymagania klauzuli 9.2 i Załącznika A ISO 27001), Wyk4 (Audyt zgodności KRI i RODO), Wyk7 (Niezgodności, podsumowanie menedżerskie i plan CAP).

Urząd Miasta i Gminy w Piasecznie zatrudnia 180 urzędników, obsługując rocznie ponad 80 000 mieszkańców. W urzędzie funkcjonuje Elektroniczny Obieg Dokumentów (EZD), Zintegrowany System Finansowo-Księgowy oraz lokalna serwerownia obsługująca 25 fizycznych i wirtualnych serwerów. Coroczny audyt KRI, przeprowadzony przez zewnętrzny zespół audytorski, wykazał następujący stan faktyczny:

Stan faktyczny w obszarze audytowanym i zidentyfikowane luki:

• Brak procedury formalnego, okresowego przeglądu uprawnień w systemie EZD: Kontrola wykazała, że 14 byłych pracowników urzędu (rozwiązanie umowy o pracę w okresie ostatnich 18 miesięcy) nadal posiadało aktywne konta w domenie i dostęp do rejestrów kancelaryjnych, a 8 pracowników wydziału geodezji dysponowało nienależnymi uprawnieniami administratora lokalnego na swoich stacjach roboczych.
• Brak udokumentowanej procedury awaryjnego odzyskiwania danych (Disaster Recovery Plan - DRP) dla lokalnej serwerowni oraz brak przeprowadzania cyklicznych testów odtwarzania kopii zapasowych: Kopie zapasowe baz danych EZD i rejestrów meldunkowych wykonywano codziennie na bibliotekę taśmową, jednak ostatnia próba odtworzenia danych miała miejsce ponad 3 lata temu, a administratorzy nie posiadają spisanej instrukcji krok po kroku na wypadek zalania lub pożaru węzła serwerowego.
• Niespójność Polityki Bezpieczeństwa Informacji z aktualnym stanem prawnym: Dokumentacja bezpieczeństwa urzędu powołuje się na nieobowiązujące akty prawne (Ustawę o ochronie danych osobowych z 1997 r.) oraz nie uwzględnia procedur zarządzania incydentami teleinformatycznymi wynikających z Ustawy o Krajowym Systemie Cyberbezpieczeństwa.
• Szansa na doskonalenie (OFI): Pomimo braku formalnego wymogu prawnego, urząd nie posiada zautomatyzowanego systemu centralnego zbierania i analizy logów zdarzeń (SIEM), co uniemożliwia bieżącą detekcję anomalii w ruchu sieciowym.

Burmistrz Piaseczna oczekuje raportu końcowego, który nie będzie suchym wykazem technicznych paragrafów, lecz wskaże konkretne ryzyka dla funkcjonowania gminy, koszty organizacyjne i finansowe wdrożenia napraw oraz da podstawę do zaplanowania budżetu na kolejny rok budżetowy.

W skład zespołu wchodzą studenci realizujący następujące role:

• Rola 1: Audytor Wiodący / Główny Redaktor Raportu (Lead Auditor) - odpowiada za opracowanie struktury formalnej raportu, napisanie Podsumowania Menedżerskiego (Executive Summary) dla Burmistrza, przygotowanie metryki audytu, koordynację całego dokumentu oraz przeprowadzenie wprowadzenia i podsumowania w referacie.
• Rola 2: Audytor Techniczny i Bezpieczeństwa IT (Technical Auditor) - odpowiada za techniczny opis ustaleń dotyczących kont użytkowników, uprawnień Active Directory, kopii zapasowych i procedur Disaster Recovery, sformułowanie precyzyjnych zaleceń inżynierskich w formule SMART oraz weryfikację ich wykonalności.
• Rola 3: Audytor Zgodności Regulacyjnej i Zarządzania Ryzykiem (Compliance & Risk Specialist) - odpowiada za kwalifikację prawną uchybień w odniesieniu do paragrafu 20 KRI, art. 32 RODO i normy ISO 27001, przypisanie kategorii uchybień (NC2, NC3, OFI), opracowanie tabelarycznego planu działań korygujących (CAP) oraz prezentację harmonogramu w referacie. W zespole dwuosobowym zadania te dzielą Studenci 1 i 2.

Praca w zespole 2-3 osobowym polega na kompleksowym opracowaniu koncepcji i struktury raportu końcowego, który łączy rygorystyczne wymagania metodyczne normy ISO 19011 z czytelnym językiem komunikacji menedżerskiej:

• Krok 1 (Podział ról i ustalenie harmonogramu redakcji):

  Student 1 (Audytor Wiodący): Tworzy metrykę audytu (podstawa prawna, cel, zakres podmiotowy i przedmiotowy, okres audytu, skład zespołu audytowego, kryteria oceny). Następnie przygotowuje koncepcję jednotonowego Executive Summary skierowanego do Burmistrza Miasta i Gminy.

  Student 2 (Audytor Techniczny): Opracowuje szczegółowy opis stanu faktycznego dla obszaru uprawnień w EZD i kopii zapasowych. Konfrontuje stan zbadany z dobrymi praktykami technicznymi i formułuje rekomendacje SMART (np. automatyzacja deaktywacji kont powiązana z systemem kadrowo-płacowym HR, harmonogram cyklicznych próbnych odtworzeń backupu).

  Student 3 (Audytor Regulacji i Ryzyka): Dokonuje mapowania stwierdzonych uchybień na konkretne ustępy paragrafu 20 KRI oraz Załącznik A ISO/IEC 27001:2022 (A.5.15, A.8.2, A.8.13). Tworzy matrycę planu działań korygujących (CAP) z polami: Niezgodność, Działanie korygujące, Właściciel zadania, Termin realizacji, Wskaźnik sukcesu.

• Krok 2 (Triangulacja dowodów i weryfikacja obiektywności):

  Zestawcie dowody z wywiadów z informatykiem urzędu, zrzuty ekranu z konsoli Active Directory potwierdzające daty ostatniego logowania 14 kont byłych pracowników, rejestr kopii zapasowych oraz obowiązujące Zarządzenie Burmistrza w sprawie Polityki Bezpieczeństwa Informacji z 2017 roku.

• Krok 3 (Kwalifikacja niezgodności i ocena istotności):

  Sformułujcie kartę niezgodności:

  1. Niezgodność zasadnicza (NC2): Brak procedury weryfikacji i odbierania uprawnień użytkownikom w systemach teleinformatycznych (naruszenie § 19 ust. 2 pkt 4 rozporządzenia w sprawie KRI oraz kontroli ISO 27001 A.5.18 i A.8.2).

  2. Niezgodność zasadnicza (NC2): Brak udokumentowanego planu DRP oraz brak okresowych testów odtwarzalności kopii zapasowych (naruszenie § 19 ust. 2 pkt 12 lit. b oraz § 20 ust. 4 rozporządzenia w sprawie KRI oraz kontroli ISO 27001 A.8.13 i A.8.14).

  3. Niezgodność drobna (NC3): Przestarzała dokumentacja Polityki Bezpieczeństwa Informacji nieodzwierciedlająca obowiązującego porządku prawnego (naruszenie § 19 ust. 1 i ust. 2 rozporządzenia w sprawie KRI).

  4. Szansa na doskonalenie (OFI): Rekomendacja wdrożenia scentralizowanego systemu monitorowania i korelacji logów SIEM/SOC w architekturze współdzielonej z powiatem.

• Krok 4 (Konstrukcja Podsumowania Menedżerskiego i planu CAP):

  Opracujcie Podsumowanie Menedżerskie: syntetyczna tabela wyników (stan ogólny: umiarkowany z obszarami podwyższonego ryzyka ciągłości działania i poufności), wykres/matryca ryzyk oraz 3 priorytetowe działania o charakterze bezinwestycyjnym lub niskokosztowym. W planie CAP przypiszcie konkretne role urzędowe (np. Kierownik Referatu Informatyki, Kierownik Referatu Kadr).

• Krok 5 (Przygotowanie referatu i dokumentacji poaudytowej):

  Przygotujcie spójne wystąpienie seminaryjne prezentujące strukturę raportu, uzasadnienie klasyfikacji niezgodności, treść zaleceń i bilans korzyści dla funkcjonowania samorządu terytorialnego.

Plan prezentacji referatu seminaryjnego (10-15 minut):

• Wprowadzenie do audytu KRI w Urzędzie Miasta i Gminy w Piasecznie (2 min): Podstawa prawna audytu (§ 19 rozporządzenia w sprawie KRI), cel badania i charakterystyka badanej jednostki samorządu (Student 1).
• Podsumowanie Menedżerskie dla Burmistrza - synteza zarządcza (3 min): Przedstawienie ogólnego profilu bezpieczeństwa urzędu, głównych zagrożeń operacyjnych i wizerunkowych oraz rekomendacji strategicznych (Student 1).
• Omówienie ustaleń technicznych i dowodów audytowych (4 min): Szczegółowa analiza luk w zarządzaniu uprawnieniami w domenie i EZD, braków procedur Disaster Recovery i testów backupu (Student 2).
• Kwalifikacja niezgodności, zalecenia SMART i harmonogram CAP (4 min): Prezentacja kart niezgodności NC2/NC3, propozycji działań korygujących, podziału odpowiedzialności i terminów w urzędzie (Student 3 lub Student 2).
• Podsumowanie, analiza wad i zalet raportu oraz dyskusja (2 min): Odpowiedzi na pytania prowadzącego i grupy audytowej (cały zespół).

Wymagana treść pisemnego raportu i referatu studenckiego:

1. Odpowiedzi na pytania problemowe:

• Czym różni się Podsumowanie Menedżerskie (Executive Summary) od szczegółowego opisu ustaleń technicznych w raporcie z audytu bezpieczeństwa i dlaczego kierownik jednostki (Burmistrz) nie powinien otrzymywać wyłącznie wykazu szczegółowych logów?
• Na czym polega różnica pomiędzy niezgodnością zasadniczą (NC2) a szansą na doskonalenie (OFI) w kontekście paragrafu 20 Rozporządzenia w sprawie Krajowych Ram Interoperacyjności?
• Jakie kryteria musi spełniać prawidłowo sformułowane zalecenie poaudytowe według metodyki SMART (Specific, Measurable, Achievable, Relevant, Time-bound)?

2. Opis stanu faktycznego jednostki samorządowej, schemat infrastruktury teleinformatycznej Urzędu w Piasecznie oraz wykaz badanych systemów (EZD, FK, Active Directory).

3. Kompletna karta ustaleń audytowych z kwalifikacją niezgodności NC2 (konta byłych pracowników i brak testów DRP), NC3 (nieaktualna polityka) oraz OFI (system SIEM).

4. Szczegółowe rozwiązanie problemu - projekt raportu końcowego:

• Rozdział 1: Metryka audytu, podstawa formalno-prawna i cele badania.
• Rozdział 2: Podsumowanie Menedżerskie (Executive Summary) dedykowane dla Burmistrza i Skarbnika Gminy.
• Rozdział 3: Metodyka audytu, techniki zbierania dowodów i próbkowanie.
• Rozdział 4: Szczegółowe ustalenia audytowe w podziale na obszary: organizacyjny, techniczny, ciągłości działania.
• Rozdział 5: Plan Działań Korygujących (CAP - Corrective Action Plan) w formie tabeli: Ustalenie, Działanie naprawcze, Osoba odpowiedzialna, Termin, Szacowany koszt, Wskaźnik weryfikacji.

5. Analiza zalet i wad zaproponowanego raportu i planu naprawczego:

• Zalety: wysoka przejrzystość dla decydentów nieposiadających wiedzy technicznej, powiązanie zaleceń z realnymi terminami budżetowymi gminy, eliminacja ryzyka paraliżu urzędu po awarii, pełna zgodność z § 19 rozporządzenia w sprawie KRI.
• Wady/wyzwania: opór pracowników przed zaostrzeniem procedury nadawania uprawnień, konieczność wygospodarowania środków na dodatkowe nośniki pamięci i procedury testowe, obciążenie czasowe kadry informatycznej urzędu.

6. Bibliografia, netografia i odnośniki do aktów prawnych (Rozporządzenie KRI, Ustawa o informatyzacji, norma ISO 19011, norma ISO 27001).

• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (Dz.U. z 2024 r. poz. 773) - § 19 (system zarządzania bezpieczeństwem informacji, w tym wymóg zapewnienia okresowego audytu wewnętrznego nie rzadziej niż raz na rok - § 19 ust. 2 pkt 14) oraz § 20 (rozliczalność i prowadzenie dzienników systemów, których zapisy przechowuje się co najmniej dwa lata, jeżeli przepisy odrębne nie stanowią inaczej). Rozporządzenie z dnia 12 kwietnia 2012 r. utraciło moc z dniem 23 maja 2024 r.
• Norma PN-EN ISO 19011:2018: Wytyczne dotyczące audytowania systemów zarządzania - punkt 6.5 (Przygotowywanie i dystrybucja raportu z audytu), punkt 6.6 (Zakończenie audytu), punkt 6.7 (Przeprowadzanie działań poaudytowych).
• Norma PN-EN ISO/IEC 27001:2022: Systemy zarządzania bezpieczeństwem informacji - Wymagania: klauzula 9.2 (Audyt wewnętrzny), klauzula 9.3 (Przegląd zarządzania), klauzula 10.2 (Niezgodności i działania korygujące).
• Ustawa z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne (tekst jedn. Dz.U. z 2026 r. poz. 1241).
• Ministerstwo Cyfryzacji: "Standardy Cyberbezpieczeństwa dla Jednostek Samorządu Terytorialnego - Poradnik wdrażania KRI i SZBI w samorządzie", Warszawa 2023.
• Urząd Ochrony Danych Osobowych: "Wskazówki dla podmiotów publicznych w zakresie zarządzania uprawnieniami użytkowników w systemach teleinformatycznych", Warszawa 2022.

• U4 Opracowanie kompletnego raportu poaudytowego z audytu KRI z podsumowaniem menedżerskim.
• U2 Precyzyjna klasyfikacja uchybień audytowych jako niezgodności NC2, NC3 oraz obserwacji OFI.
• U1 Konstrukcja tabelarycznego planu działań korygujących (CAP) oraz zaleceń inżynierskich.
• U3 Szacowanie ryzyka biznesowego i ciągłości działania w samorządzie terytorialnym.
• W1W2W3 Znajomość wymagań § 19 rozporządzenia w sprawie KRI, normy ISO 19011 i ISO 27001 w administracji.
• K1K2K3 Profesjonalizm i konstruktywny styl komunikacji z kierownictwem administracji publicznej.

W trakcie referatu seminaryjnego zaprezentujcie pierwszą stronę Podsumowania Menedżerskiego: wyjaśnijcie, w jaki sposób przekładać parametry czysto techniczne (np. brak testu odtworzenia bazy z taśmy LTO) na argumenty zarządcze, które zrozumie Burmistrz (ryzyko wstrzymania wydawania dowodów osobistych i decyzji podatkowych na okres 2 tygodni).

Celem zadania jest opanowanie przez studentów umiejętności formułowania profesjonalnych zaleceń poaudytowych oraz stosowania procedury zarządzania rozbieżnościami i sporami audytowymi zgodnie z normą PN-EN ISO 19011:2018 (punkt 6.5.2 lit. e). Studenci wcielają się w zespół audytorów badających stan bezpieczeństwa szpitalnego systemu informatycznego (HIS) oraz infrastruktury telemedycznej w Wojewódzkim Szpitalu Zespolonym w Kaliszu. Podczas prezentacji ustaleń roboczych dochodzi do ostrego sporu pomiędzy zespołem audytorskim a Kierownikiem Działu Teleinformatyki Szpitala, który składa formalne wotum separatum (zastrzeżenia do protokołu), podważając zasadność zakwalifikowania współdzielenia kont pielęgniarskich jako niezgodności krytycznej i powołując się na specyfikę ratowania życia ludzkiego oraz chroniczny brak etatów. Zadaniem grupy jest: obiektywne udokumentowanie dowodów w raporcie końcowym, profesjonalne ujęcie stanowiska audytowanego bez zniekształceń, wykazanie nadrzędności wymagań prawa i norm bezpieczeństwa (RODO art. 9 i 32, ISO 27001), sformułowanie kompromisowych, a zarazem bezpiecznych zaleceń w metodyce SMART oraz przygotowanie raportu końcowego dla Dyrektora Naczelnego Szpitala.

Powiązanie z sylabusem i treściami programowymi:

• U4 Opracowanie raportu z audytu uwzględniającego protokół rozbieżności i formalne ustosunkowanie się do zastrzeżeń audytowanego.
• U2 Prawidłowa kwalifikacja uchybienia (niezgodność krytyczna NC1 / zasadnicza NC2) w warunkach presji ze strony personelu audytowanego.
• U1 Opracowanie zaleceń inżynierskich i organizacyjnych rozwiązujących konflikt pomiędzy ergonomiczną ciągłością opieki medycznej a wymogami rozliczalności dostępu.
• U3 Przeprowadzenie analizy ryzyka kompromitacji danych pacjentów i sfałszowania historii zleceń leków w systemie HIS.
• W1 Znajomość zasad odpowiedzialności kierownika podmiotu leczniczego oraz wymagań prawnych ochrony danych medycznych (RODO, Ustawa o systemie informacji w ochronie zdrowia).
• W2W3 Rozumienie wytycznych ISO 19011:2018 w zakresie bezstronności, zarządzania dowodami i procedowania nierozstrzygniętych rozbieżności.
• K1K2K3 Rozwijanie asertywności audytorskiej, etyki zawodowej, odporności na presję emocjonalną oraz umiejętności prowadzenia negocjacji poaudytowych w duchu obiektywizmu.
• Powiązanie z wykładem: Wyk1 (Rola audytu w ochronie zdrowia), Wyk2 (Zasady audytowania, bezstronność i procedury sporów ISO 19011), Wyk3 (Kontrole A.5 i A.8 ISO 27001), Wyk4 (RODO i KRI w szpitalnictwie), Wyk7 (Raportowanie zaawansowane, rozstrzyganie rozbieżności i zalecenia naprawcze).

Wojewódzki Szpital Zespolony w Kaliszu posiada 650 łóżek na 18 oddziałach i zatrudnia 1 200 pracowników (lekarzy, pielęgniarek, diagnostów, personelu administracyjnego). Szpital wykorzystuje zintegrowany system HIS do ewidencji historii chorób, zleceń leków, operacji i wyników badań laboratoryjnych.

Stan faktyczny w obszarze audytowanym i zarzewie konfliktu:

• Zespół audytorski podczas wizytacji oddziałów chirurgii, kardiologii i SOR ujawnił powszechną praktykę logowania się personelu pielęgniarskiego na wspólne konto o loginie 'pielegniarka_dyzur' z hasłem przyklejonym na żółtej karteczce na monitorze stacji dyżurnej. Na jednym zalogowanym profilu wykonywano w ciągu doby wpisy zleceń farmakologicznych dla dziesiątek pacjentów.
• Inspekcja sieciowa wykazała, że kardiomonitory oraz aparaty USG z interfejsem Wi-Fi pracują w tej samej podsieci co komputery administracyjne i stacje personelu medycznego (brak segmentacji VLAN i brak firewalli aplikacyjnych).
• Na spotkaniu zamykającym audytorzy przedstawili projekt ustalenia: Niezgodność krytyczna (NC1) w zakresie braku rozliczalności operacji w systemie HIS (naruszenie art. 5 ust. 2 i art. 32 RODO oraz kontroli ISO 27001 A.8.2) oraz Niezgodność zasadnicza (NC2) w zakresie braku segmentacji sieciowej aparatury medycznej IoT.
• Reakcja Kierownika IT Szpitala: Kierownik IT odmówił podpisania karty ustaleń roboczych, oskarżając audytorów o brak zrozumienia specyfiki szpitalnej: 'Pielęgniarki na SOR nie mają czasu wpisywać 12-znakowych haseł co 5 minut, gdy pacjent umiera! Jeżeli zablokujemy te konta, ludzie będą umierać w kolejkach, a wy bierzecie za to odpowiedzialność. Szpital nie ma 200 tysięcy na nowe kardiomonitory z autoryzacją 802.1X'. Kierownik złożył formalne zastrzeżenie do protokołu audytu.

Dyrektor Naczelny Szpitala oczekuje raportu końcowego, który rzetelnie przedstawi stan faktyczny, odniesie się merytorycznie do zastrzeżeń Kierownika IT, wskaże rozwiązania bezkompromisowe dla bezpieczeństwa danych, ale realne operacyjnie dla personelu medycznego.

W skład zespołu wchodzą studenci realizujący następujące role:

• Rola 1: Audytor Wiodący (Lead Auditor) - koordynuje strukturę raportu końcowego, redaguje rozdział poświęcony procedurze rozstrzygania rozbieżności zgodnie z ISO 19011 (punkt 6.5.2 lit. e), formułuje podsumowanie menedżerskie dla Dyrektora Szpitala i prowadzi referat.
• Rola 2: Audytor Techniczny ds. Bezpieczeństwa HIS i Infrastruktury IT - analizuje architekturę systemu HIS pod kątem szybkiego logowania (technologie kart zbliżeniowych RFID/NFC typu 'Tap-in/Tap-out' oraz Single Sign-On), projektuje logiczną segmentację sieci medycznej (VLAN z listami ACL) i formułuje zalecenia techniczne SMART.
• Rola 3: Audytor Zgodności Regulacyjnej i Etyki Audytowej - opracowuje analizę prawną odpowiedzialności cywilnej i karnej szpitala za brak rozliczalności wpisów medycznych (Ustawa o prawach pacjenta, RODO), formułuje pisemną odpowiedź zespołu audytorskiego na zastrzeżenia Kierownika IT oraz konstruuje plan CAP. W zespole dwuosobowym zadania te dzielą Studenci 1 i 2.

Praca w zespole 2-3 osobowym polega na profesjonalnym zarządzeniu sytuacją sporną i przygotowaniu bezstronnego raportu końcowego z audytu:

• Krok 1 (Podział ról i analiza formalna sporu):

  Student 1: Bada wymogi normy ISO 19011:2018 dotyczące sytuacji spornych. Przypomina, że audytor nie ma prawa zataić zastrzeżeń audytowanego ani ulegać presji: raport musi zawierać obiektywne ustalenia, treść zastrzeżeń Kierownika IT oraz pisemną replikę zespołu audytorskiego z uzasadnieniem.

  Student 2: Szuka rozwiązań inżynierskich, które eliminują uciążliwość logowania dla pielęgniarek. Projektuje wdrożenie czytników kart zbliżeniowych RFID kompatybilnych ze szpitalnymi legitymacjami pracowniczymi (logowanie dotykowe w czasie 1 sekundy zamiast ręcznego wpisywania haseł) oraz wydzielenie sieci VLAN dla aparatury IoT z routingiem przez zapórę ogniową.

  Student 3: Analizuje orzecznictwo sądowe w sprawach błędów medycznych. Wykazuje, że współdzielenie kont uniemożliwia ustalenie, kto podał pacjentowi błędny lek, co naraża szpital na gigantyczne odszkodowania i zarzuty prokuratorskie.

• Krok 2 (Triangulacja dowodów i dokumentacja zastrzeżeń):

  Zbierzcie i zestawcie: zrzuty ekranu ze stacji dyżurnych z otwartym profilem 'pielegniarka_dyzur', wyciąg z logów bazy HIS wykazujący równoczesne wpisy w trzech różnych skrzydłach szpitala z tego samego konta w odstępie 20 sekund, pisemne oświadczenie Kierownika IT oraz treść umowy o pracę personelu medycznego.

• Krok 3 (Kwalifikacja niezgodności i zredagowanie protokołu rozbieżności):

  Sformułujcie kartę niezgodności NC1 (naruszenie zasady rozliczalności art. 5 ust. 2 RODO oraz § 20 ust. 1 i 2 rozporządzenia w sprawie KRI (obowiązek wiarygodnego dokumentowania zdarzeń w dziennikach systemów)). Zredagujcie oficjalny rozdział raportu: 'Protokół rozbieżności i nierozstrzygniętych kwestii spornych' zawierający:

  1. Stanowisko audytorów (dowody i kwalifikacja uchybienia).

  2. Pisemne zastrzeżenia audytowanego (argumenty Kierownika IT).

  3. Końcowe stanowisko zespołu audytowego i rekomendacja dla Dyrekcji.

• Krok 4 (Formułowanie zaleceń w metodyce SMART/5W2H):

  Przekształćcie zalecenia z ogólnikowych w konkretne:

  • Zamiast: 'Należy poprawić logowanie pielęgniarek' -> Wdrożyć system szybkiego uwierzytelniania kartami RFID Mifare zintegrowany z Active Directory i systemem HIS na 45 stacjach pielęgniarskich w terminie do 31 grudnia 2026 r. (odpowiedzialny: Kierownik IT, budżet: 35 000 zł).
  • Zamiast: 'Należy zabezpieczyć kardiomonitory' -> Przeprowadzić rekonfigurację przełączników sieciowych i wydzielić dedykowany VLAN 120 z blokadą dostępu do stacji roboczych personelu w terminie 60 dni.
• Krok 5 (Przygotowanie referatu i dokumentacji poaudytowej):

  Skompletujcie projekt raportu dla Dyrektora Naczelnego, zaplanujcie prezentację argumentacji na zajęciach oraz przygotujcie się do obrony przed kontrargumentami sali.

Plan prezentacji referatu seminaryjnego (10-15 minut):

• Wprowadzenie i zarys audytu w Wojewódzkim Szpitalu Zespolonym w Kaliszu (2 min): Profil placówki, zakres badania systemów HIS i infrastruktury sieci medycznej (Student 1).
• Istota sporu audytowego - współdzielenie kont a bezpieczeństwo pacjenta (3 min): Przedstawienie stanu faktycznego, argumentacji Kierownika IT oraz zasad postępowania z rozbieżnościami wg ISO 19011 (Student 1).
• Rozwiązanie techniczne SMART: architektura RFID Tap-in i segmentacja VLAN (4 min): Prezentacja technologii eliminujących konflikt między ergonomią a rozliczalnością oraz koncepcji izolacji urządzeń IoT (Student 2).
• Analiza prawna, podsumowanie protokołu rozbieżności i plan CAP (4 min): Ryzyko prawne braku rozliczalności, analiza wad i zalet inwestycji w czytniki RFID oraz harmonogram wdrożenia dla Dyrekcji (Student 3 lub Student 2).
• Wnioski końcowe, pytania kontrolne i dyskusja (2 min): Odpowiedzi na pytania słuchaczy i prowadzącego (cały zespół).

Wymagana treść pisemnego raportu i referatu studenckiego:

1. Odpowiedzi na pytania problemowe:

• Jak norma ISO 19011:2018 (punkt 6.5.2) nakazuje audytorom postępować w przypadku zgłoszenia formalnych rozbieżności i braku zgody audytowanego z wnioskami raportu?
• Dlaczego zasada rozliczalności (art. 5 ust. 2 RODO) w systemach medycznych ma charakter nadrzędny i jak brak indywidualnych kont personelu wpływa na odpowiedzialność prawną szpitala w procesach o błędy w sztuce lekarskiej?
• Jak zastosować metodykę SMART i 5W2H do sformułowania zalecenia wdrożenia kart zbliżeniowych i segmentacji sieci medycznej, aby nie paraliżować pracy oddziałów intensywnej terapii?

2. Opis stanu faktycznego i infrastruktury HIS szpitala w Kaliszu.

3. Karta niezgodności krytycznej (NC1) z art. 32 RODO oraz § 20 rozporządzenia w sprawie KRI wraz z oficjalnym Protokołem Rozbieżności zawierającym stanowisko Kierownika IT i replikę audytorów.

4. Szczegółowe rozwiązanie problemu - projekt raportu końcowego:

• Rozdział 1: Cel, podstawa prawna i zakres podmiotowy audytu szpitalnego.
• Rozdział 2: Podsumowanie dla Dyrektora Naczelnego (synteza zarządcza z wyceną ryzyk odszkodowawczych).
• Rozdział 3: Szczegółowe ustalenia audytowe (HIS, stacje dyżurne, sieć aparatury medycznej).
• Rozdział 4: Protokół rozbieżności i nierozstrzygniętych kwestii spornych (zgodnie z ISO 19011).
• Rozdział 5: Rekomendacje poaudytowe SMART (system kart RFID, architektura sieci medycznej VLAN).
• Rozdział 6: Plan Działań Korygujących (CAP) z harmonogramem, budżetem i miernikami efektywności.

5. Analiza zalet i wad wybranego rozwiązania:

• Zalety: natychmiastowe logowanie personelu (oszczędność czasu na dyżurze), pełna rozliczalność prawna wpisów medycznych, odizolowanie aparatury ratującej życie od sieci publicznej, bezstronność i transparentność raportu.
• Wady/wyzwania: jednorazowy koszt zakupu czytników RFID i kart pracowniczych, konieczność przekonania personelu pielęgniarskiego do noszenia kart, czasowa konfiguracja VLAN na 40 przełącznikach sieciowych.

6. Bibliografia, netografia i odnośniki do aktów prawnych (RODO, KRI, Ustawa o prawach pacjenta, norma ISO 19011, norma ISO 27001).

• Norma PN-EN ISO 19011:2018: Wytyczne dotyczące audytowania systemów zarządzania - punkt 6.5.2 (Treść raportu z audytu i rozbieżności), punkt 4 (Zasady audytowania: bezstronność i rzetelne przedstawianie).
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 5 ust. 2 (Zasada rozliczalności), art. 9 (Przetwarzanie szczególnych kategorii danych), art. 32 (Bezpieczeństwo przetwarzania).
• Ustawa z dnia 28 kwietnia 2011 r. o systemie informacji w ochronie zdrowia (tekst jedn. Dz.U. z 2026 r. poz. 208).
• Ustawa z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta (tekst jedn. Dz.U. z 2024 r. poz. 581) - dokumentacja medyczna i odpowiedzialność za wpisy.
• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - kontrole A.5.15 (Zarządzanie dostępem), A.8.2 (Dostęp uprzywilejowany), A.8.3 (Ograniczenie dostępu do informacji), A.8.20 (Bezpieczeństwo sieci), A.8.22 (Segmentacja sieci).
• Centrum e-Zdrowia (CeZ): "Wytyczne w zakresie cyberbezpieczeństwa podmiotów leczniczych", Warszawa 2023.

• U4 Opracowanie raportu z audytu z profesjonalnym ujęciem protokołu rozbieżności.
• U1 Projekt zaleceń inżynierskich SMART dotyczących uwierzytelniania RFID i segmentacji sieci.
• U2 Poprawna identyfikacja i obrona kwalifikacji niezgodności krytycznej (NC1).
• U3 Szacowanie ryzyka prawnego, operacyjnego i medycznego w działalności szpitala.
• W1W2W3 Znajomość zasad ISO 19011 w zakresie sporów, przepisów RODO i normy ISO 27001 w ochronie zdrowia.
• K1K2K3 Asertywność, wysoka kultura dyskusji i bezstronność w warunkach presji audytowanego.

W trakcie wystąpienia seminaryjnego przedstawcie symulację dialogu audytora z dyrektorem szpitala: pokażcie, jak w sposób wyważony, bez agresji, ale ze stanowczością merytoryczną odrzucić zarzut 'blokowania pracy lekarzy' i udowodnić, że wdrożenie kart zbliżeniowych RFID jest w rzeczywistości szybsze i bezpieczniejsze niż przepisywanie haseł z karteczek.

Głównym celem zadania jest nabycie przez studentów umiejętności opracowywania zaawansowanego raportu poaudytowego dla instytucji sektora finansowego, łączącego wymogi normy ISO/IEC 27001 z wytycznymi Rekomendacji D Komisji Nadzoru Finansowego (KNF) dotyczącej zarządzania obszarami technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego w bankach. Studenci analizują studium przypadku Małopolskiego Banku Spółdzielczego w Wieliczce. Celem jest skonstruowanie raportu końcowego, który porządkuje zidentyfikowane luki w systemach bankowości elektronicznej i centralnym systemie transakcyjnym za pomocą dwuwymiarowej matrycy ryzyka (prawdopodobieństwo x wpływ biznesowy), dokonuje rygorystycznej hierarchizacji zaleceń na działania natychmiastowe (do 30 dni), krótkoterminowe (do 90 dni) oraz strategiczne (do 12 miesięcy), a także definiuje kluczowe wskaźniki ryzyka (KRI) prezentowane przed Zarządem i Radą Nadzorczą Banku.

Powiązanie z sylabusem i treściami programowymi:

• U4 Opracowanie profesjonalnego raportu poaudytowego spełniającego rygory sprawozdawczości dla organów nadzorczych sektora finansowego (KNF).
• U3 Zastosowanie ilościowej i jakościowej analizy ryzyka (risk-based audit) w oparciu o ISO 27005 w celu ustalenia hierarchii zaleceń poaudytowych.
• U2 Identyfikacja i klasyfikacja niezgodności z wytycznymi Rekomendacji D KNF oraz normy ISO/IEC 27001:2022.
• U1 Opracowanie kompleksowego planu naprawczego uwzględniającego ograniczenia budżetowe i kadrowe banku spółdzielczego.
• W1 Znajomość regulacji prawnych i sektorowych dotyczących bezpieczeństwa bankowości (Prawo bankowe, Rekomendacja D KNF, rozporządzenie DORA, RODO).
• W2W3 Zrozumienie relacji pomiędzy audytem zgodności a audytem opartym na ryzyku w instytucjach zaufania publicznego.
• K1K2K3 Kształtowanie poczucia odpowiedzialności za stabilność finansową i ochronę depozytów klientów, rzetelność w prezentowaniu ryzyk kadrze zarządczej.
• Powiązanie z wykładem: Wyk1 (Audyt w sektorze bankowym), Wyk2 (Zasady audytowania ISO 19011), Wyk3 (Kontrole A.8 ISO 27001), Wyk4 (Rekomendacja D KNF i DORA), Wyk5 (Audyt risk-based i matryce ryzyka ISO 27005), Wyk7 (Raport zaawansowany i hierarchizacja rekomendacji).

Małopolski Bank Spółdzielczy w Wieliczce posiada centralę, 8 oddziałów terenowych, zatrudnia 95 pracowników i obsługuje 28 000 klientów indywidualnych oraz firmowych. Bank wykorzystuje zintegrowany system bankowy (Core Banking) hostowany w lokalnym data center oraz platformę bankowości elektronicznej i mobilnej.

Stan faktyczny w obszarze audytowanym i zidentyfikowane luki:

• Opóźnienia w zarządzaniu podatnościami i łatami bezpieczeństwa (Patch Management): Serwery aplikacyjne bankowości internetowej pracują pod kontrolą systemu operacyjnego Linux, na którym od 9 miesięcy nie instalowano krytycznych poprawek jądra ani pakietów OpenSSL. Zewnętrzny skan podatności ujawnił obecność 3 znanych podatności CVE o ocenie CVSS powyżej 8.5 umożliwiających potencjalne wykonanie kodu na serwerze pośredniczącym.
• Brak regularnych, udokumentowanych testów przełączania na zapasowe łącza telekomunikacyjne i ośrodek zapasowy (DRC): Zgodnie z Rekomendacją D KNF bank posiada umowę z drugim operatorem telekomunikacyjnym na łącze zapasowe, jednak audyt wykazał, że w ciągu ostatnich 2 lat nie przeprowadzono ani jednego testu symulacji zerwania łącza głównego, a router brzegowy ma nieprawidłowo skonfigurowany protokół BGP (brak automatycznego przełączenia ruchu transakcyjnego).
• Zarządzanie dostępem uprzywilejowanym: Administratorzy baz danych Oracle korzystają z bezpośrednich kont systemowych z uprawnieniami DBA bez użycia rejestratora sesji uprzywilejowanych (brak rozwiązania PAM - Privileged Access Management).
• Czynniki pozytywne: Bank posiada doskonale zorganizowane procedury fizycznej ochrony skarbców i serwerowni oraz cyklicznie szkoli kasjerów z rozpoznawania fałszywych banknotów i ataków socjotechnicznych.

Zarząd Banku oczekuje raportu końcowego, który w sposób precyzyjny uporządkuje zalecenia wg priorytetów ryzyka, wskaże które kwestie muszą być usunięte natychmiast pod groźbą sankcji KNF, a które mogą być sfinansowane w ramach planu inwestycyjnego na kolejny rok.

W skład zespołu wchodzą studenci realizujący następujące role:

• Rola 1: Audytor Wiodący / Ekspert ds. Raportowania Bankowego - opracowuje strukturę dokumentu, tworzy syntezę zarządczą dla Zarządu i Rady Nadzorczej z akcentem na wymogi nadzorcze KNF i DORA oraz koordynuje wystąpienie referatowe.
• Rola 2: Audytor Techniczny i Architektury Teleinformatycznej - analizuje podatności serwerów WWW/API, błędy konfiguracji protokołów routingu łączy zapasowych i brak systemu PAM, formułuje zalecenia inżynierskie SMART i weryfikuje ich wykonalność.
• Rola 3: Audytor Ryzyka Operacyjnego i Zgodności KNF - konstruuje dwuwymiarową matrycę ryzyka (macierz 5x5: prawdopodobieństwo vs wpływ finansowy/reputacyjny), kategoryzuje ustalenia na grupy czasowe (30/90/365 dni) i buduje plan CAP. W zespole dwuosobowym zadania te dzielą Studenci 1 i 2.

Praca w zespole 2-3 osobowym polega na skonstruowaniu profesjonalnego raportu audytowego dopasowanego do standardów sektora finansowego:

• Krok 1 (Podział ról i analiza kryteriów audytowych):

  Student 1: Zapoznaje się z wymaganiami Rekomendacji D KNF (szczególnie obszary: zarządzanie bezpieczeństwem, rozwój i utrzymanie środowiska teleinformatycznego, ciągłość działania). Definiuje ramy raportu zgodnie z ISO 19011.

  Student 2: Dokonuje analizy technicznej ustaleń: ocenia stopień trudności wdrożenia zautomatyzowanego repozytorium łatek (np. Ansible, Spacewalk) oraz rekonfiguracji routingu BGP na routerach Cisco.

  Student 3: Przygotowuje metodologię oceny ryzyka ISO 27005: przypisuje wagi wagowe dla utraty poufności bazy transakcyjnej, utraty dostępności bankowości internetowej (przestój powyżej 2 godzin narusza wskaźniki KNF) i buduje macierz ryzyka.

• Krok 2 (Triangulacja dowodów audytowych):

  Zestawcie raporty ze skanera podatności Nessus/OpenVAS, wyciągi z tabel routingu routerów brzegowych, logi braku przełączeń, kopię Polityki Zarządzania Ciągłością Działania (BCP) banku oraz protokoły posiedzeń Komitetu Audytu z ostatnich 2 lat.

• Krok 3 (Konstrukcja Matrycy Ryzyka i Kwalifikacja Niezgodności):

  Sformułujcie ustalenia w podziale na poziomy ryzyka:

  1. Ryzyko Wysokie / Niezgodność NC1: Niezałatane krytyczne podatności serwerów bankowości internetowej (Rekomendacja D pkt 12, ISO 27001 A.8.8) - zalecenie natychmiastowe (termin: 14-30 dni).

  2. Ryzyko Średnie / Niezgodność NC2: Brak testów przełączania łączy zapasowych i błędy routingu BGP (Rekomendacja D pkt 15, ISO 27001 A.8.14) - zalecenie krótkoterminowe (termin: 60-90 dni).

  3. Ryzyko Średnie / Niezgodność NC2: Brak rejestracji i kontroli sesji uprzywilejowanych administratorów baz danych DBA (Rekomendacja D pkt 11, ISO 27001 A.8.2) - zalecenie średnioterminowe (termin: 180 dni).

  4. Szansa na doskonalenie (OFI): Wdrożenie zautomatyzowanego narzędzia do ciągłego monitorowania podatności zewnętrznych (EASM).

• Krok 4 (Strukturyzacja zaleceń i planu działań korygujących CAP):

  Opracujcie tabelę zaleceń poaudytowych z wyraźnym podziałem na:

  • Faza 1: Działania bezzwłoczne (Quick Wins & Critical Fixes) - aktualizacja pakietów bezpieczeństwa w oknie serwisowym, konfiguracja testowa routingu.
  • Faza 2: Działania systemowe - formalny harmonogram testów BCP/DRP z udziałem dostawców telekomunikacyjnych, wdrożenie procedury Patch Management.
  • Faza 3: Działania strategiczne - zakup i wdrożenie dedykowanego rozwiązania PAM dla administratorów.
• Krok 5 (Przygotowanie referatu i dokumentacji poaudytowej):

  Zintegrujcie dokument w spójną całość, przygotujcie slajdy z matrycą ryzyk i planem CAP, przeprowadźcie próbę czasową prezentacji przed grupą.

Plan prezentacji referatu seminaryjnego (10-15 minut):

• Wprowadzenie i ramy audytu w Małopolskim Banku Spółdzielczym (2 min): Status prawny banku, ramy regulacyjne KNF i DORA oraz zakres badania teleinformatycznego (Student 1).
• Podsumowanie zarządcze i prezentacja Matrycy Ryzyka Operacyjnego (3 min): Omówienie profilu ryzyka banku, prezentacja macierzy 5x5 i uzasadnienie priorytetów dla Zarządu (Student 1 lub Student 3).
• Omówienie ustaleń technicznych i dowodów podatności (4 min): Szczegółowa analiza luki w aktualizacjach serwerów bankowości, podatności BGP łączy zapasowych oraz braku nadzoru PAM (Student 2).
• Hierarchizacja zaleceń poaudytowych i plan naprawczy CAP (4 min): Prezentacja zaleceń bezzwłocznych, krótkoterminowych i strategicznych, kalkulacja nakładów i terminy wdrożeń (Student 3 i Student 2).
• Podsumowanie, wnioski dla sektora bankowości spółdzielczej i dyskusja (2 min): Odpowiedzi na pytania kontrolne (cały zespół).

Wymagana treść pisemnego raportu i referatu studenckiego:

1. Odpowiedzi na pytania problemowe:

• Jakie kluczowe wymagania w zakresie zarządzania podatnościami teleinformatycznymi i ciągłością działania nakłada na banki Rekomendacja D Komisji Nadzoru Finansowego?
• W jaki sposób dwuwymiarowa matryca ryzyka (wpływ x prawdopodobieństwo) ułatwia Zarządowi Banku podejmowanie decyzji o alokacji ograniczonych środków finansowych na bezpieczeństwo IT?
• Czym różnią się zalecenia o priorytecie bezzwłocznym (do 30 dni) od zaleceń strategicznych (do 12 miesięcy) i jakie konsekwencje rodzi niewykonanie zaleceń KNF w terminie?

2. Opis stanu faktycznego środowiska IT banku w Wieliczce, struktura sieci i systemów bankowych.

3. Dwuwymiarowa matryca oceny ryzyka operacyjnego (macierz 5x5) wraz z mapowaniem zidentyfikowanych uchybień.

4. Szczegółowe rozwiązanie problemu - projekt raportu końcowego:

• Rozdział 1: Metryka audytu i ramy zgodności z Rekomendacją D KNF oraz ISO/IEC 27001:2022.
• Rozdział 2: Podsumowanie Menedżerskie (Executive Summary) dla Zarządu i Rady Nadzorczej Banku.
• Rozdział 3: Matryca ryzyka i szczegółowy opis ustaleń audytowych z dowodami technicznymi.
• Rozdział 4: Zhierarchizowany katalog zaleceń poaudytowych w podziale na 3 horyzonty czasowe.
• Rozdział 5: Plan Działań Korygujących (CAP) z przypisaniem osób odpowiedzialnych (np. Główny Informatyk, Oficer Bezpieczeństwa Informacji), budżetów i mierników KRI.

5. Analiza zalet i wad zaproponowanego rozwiązania:

• Zalety: natychmiastowe zażegnanie krytycznych ryzyk cyberataku na bankowość online, pełna zgodność z oczekiwaniami KNF, transparentność budżetowa dla Zarządu, realny plan naprawczy.
• Wady/wyzwania: ryzyko przestoju bankowości podczas instalacji łatek jądra systemu, konieczność przeprowadzenia testów łączy zapasowych w nocy, koszty zakupu licencji oprogramowania klasy PAM.

6. Bibliografia, netografia i odnośniki do regulacji KNF, prawa bankowego i norm ISO.

• Komisja Nadzoru Finansowego: "Rekomendacja D dotycząca zarządzania obszarami technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego w bankach", Warszawa 2013 (z późn. akt.).
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyfrowej sektora finansowego (DORA).
• Ustawa z dnia 29 sierpnia 1997 r. - Prawo bankowe (tekst jedn. Dz.U. z 2026 r. poz. 38) - art. 104 ust. 1 (obowiązek zachowania tajemnicy bankowej) i art. 105 (przesłanki ujawnienia informacji objętych tajemnicą bankową); art. 9 ustawy dotyczy systemu zarządzania w banku.
• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - kontrole A.8.8 (Zarządzanie podatnościami technicznymi), A.8.14 (Redundancja), A.8.2 (Prawa dostępu uprzywilejowanego).
• Norma PN-ISO/IEC 27005:2022: Zarządzanie ryzykiem w bezpieczeństwie informacji - metodyki matrycowe.
• Związek Banków Polskich (ZBP): "Standardy bezpieczeństwa bankowości elektronicznej w bankach spółdzielczych", Warszawa 2022.

• U4 Opracowanie zaawansowanego raportu poaudytowego dla sektora bankowego.
• U3 Konstrukcja dwuwymiarowej matrycy ryzyka i hierarchizacja zaleceń poaudytowych.
• U2 Precyzyjna klasyfikacja uchybień w odniesieniu do Rekomendacji D KNF i normy ISO 27001.
• U1 Opracowanie zaleceń inżynierskich i harmonogramu planu działań korygujących (CAP).
• W1W2W3 Znajomość wymogów KNF, DORA, Prawa bankowego i normy ISO 27005.
• K1K2K3 Świadomość wagi stabilności finansowej i etyczna postawa w audycie bankowym.

W wystąpieniu seminaryjnym szczególną uwagę zwróćcie na prezentację matrycy ryzyk: objaśnijcie słuchaczom, dlaczego audytor w banku musi umieć powiązać podatność czysto techniczną (brak łatki OpenSSL) z potencjalną stratą finansową i wizerunkową oraz sankcjami nakładanymi przez Urząd KNF.

Celem zadania jest opanowanie przez studentów umiejętności konsolidacji wyników cząstkowych z audytów wielu podmiotów zewnętrznych i opracowania zbiorczego raportu końcowego z audytu bezpieczeństwa łańcucha dostaw IT (Supply Chain Security). Studenci analizują studium przypadku ogólnopolskiego operatora logistycznego LogistykNet S.A. w Strykowie, który w ramach audytu wewnętrznego poddał weryfikacji 5 kluczowych dostawców usług teleinformatycznych (dostawca chmurowego systemu zarządzania magazynem WMS SaaS, zewnętrzny dostawca hostingu chmurowego IaaS, firma serwisująca stacje robocze, dostawca bramek integracyjnych API dla kurierów oraz firma ochrony fizycznej centrów dystrybucyjnych). Wyzwaniem zadania jest: scalenie różnorodnych ustaleń cząstkowych w jednolity, spójny raport końcowy, rozstrzygnięcie problemu braku audytowalności jednego z dostawców SaaS (odmowa wglądu w logi z powołaniem na tajemnicę przedsiębiorstwa), sformułowanie wzorcowych klauzul bezpieczeństwa i prawa do audytu (Right to Audit) w umowach powierzenia i SLA oraz przygotowanie zaleceń zarządzania ryzykiem relacji z dostawcami zgodnie z normą PN-EN ISO/IEC 27001:2022 (kontrole A.5.19 do A.5.23).

Powiązanie z sylabusem i treściami programowymi:

• U4 Opracowanie skonsolidowanego raportu końcowego integrującego ustalenia z audytów wielu podmiotów zewnętrznych.
• U1 Opracowanie zaleceń inżynierskich i proceduralnych dotyczących bezpiecznej integracji API oraz wzorcowych zapisów umownych SLA/DPA z dostawcami.
• U2 Identyfikacja luk prawno-organizacyjnych i technicznych w relacjach z podwykonawcami oraz klasyfikacja niezgodności (NC2/NC3/OFI).
• U3 Przeprowadzenie analizy ryzyka przerwania łańcucha dostaw logistycznych i wycieku danych przesyłkowych przez podmioty trzecie.
• W1 Znajomość zasad odpowiedzialności administratora za dobór podwykonawców (art. 28 RODO - powierzenie przetwarzania) oraz przepisów o tajemnicy przedsiębiorstwa.
• W2W3 Rozumienie wymagań normy PN-EN ISO/IEC 27001:2022 w obszarze bezpieczeństwa relacji z dostawcami (kontrole A.5.19 - A.5.23) oraz standardów raportowania SOC 2 / ISAE 3402.
• K1K2K3 Świadomość współzależności bezpieczeństwa organizacji od jej partnerów biznesowych, rzetelność w ocenie ryzyka zewnętrznego.
• Powiązanie z wykładem: Wyk1 (Audyt w łańcuchu dostaw), Wyk2 (Zasady audytowania stron trzecich ISO 19011), Wyk3 (Kontrole A.5.19-A.5.23 ISO 27001), Wyk4 (RODO art. 28 i NIS2 w łańcuchu dostaw), Wyk6 (Weryfikacja certyfikacji i raportów audytowych SOC 2), Wyk7 (Konsolidacja ustaleń w raporcie zaawansowanym).

LogistykNet S.A. zarządza centralnym hubem logistycznym w Strykowie oraz 12 centrami przeładunkowymi w Polsce, obsługując dziennie ponad 250 000 paczek dla czołowych platform e-commerce. Działalność operacyjna spółki jest całkowicie uzależniona od systemów teleinformatycznych dostarczanych przez podmioty zewnętrzne.

Stan faktyczny w obszarze audytu 5 kluczowych dostawców IT:

• Dostawca 1 (System WMS w chmurze SaaS - firma CloudLog Sp. z o.o.): Dostawca obsługuje stany magazynowe i lokalizacje paczek. W trakcie audytu dostawca odmówił udostępnienia logów dostępu do bazy oraz wyników ostatnich testów penetracyjnych, powołując się na tajemnicę handlową i oświadczając, że 'posiada certyfikat ISO 9001'. Brak w umowie klauzuli uprawniającej LogistykNet do przeprowadzenia audytu na miejscu (brak zapisu Right to Audit).
• Dostawca 2 (Infrastruktura chmurowa IaaS - dostawca serwerów w Warszawie): Przedstawił aktualny certyfikat ISO/IEC 27001 oraz niezależny raport SOC 2 Typ II. Stan zabezpieczeń oceniono jako wzorowy (OFI: wdrożenie wspólnego monitoringu ruchu sieciowego).
• Dostawca 3 (Integrator bramek API dla kurierów - firma ApiTrans Sp. z o.o.): Analiza techniczna wykazała, że komunikacja pomiędzy serwerami LogistykNet a bramką dostawcy odbywa się przy użyciu przestarzałego protokołu TLS 1.1 z nieszyfrowanymi kluczami API przekazywanymi w parametrach adresu URL (Query String), co stwarza ryzyko przechwycenia tokenów w logach serwerów proxy.
• Dostawca 4 (Firma serwisująca komputery i drukarki etykiet): Pracownicy serwisu posiadają uniwersalne konta domenowe z uprawnieniami administratora lokalnego na stacjach w magazynie, a ich działania nie są ewidencjonowane w żadnym rejestrze.
• Dostawca 5 (Ochrona fizyczna obiektów magazynowych): Prawidłowe procedury kontroli dostępu do bram, jednak brak formalnej instrukcji postępowania ze znalezionymi nośnikami danych i zagubionymi skanerami kodów kreskowych.

Zarząd LogistykNet S.A. oczekuje skonsolidowanego raportu końcowego, który dokona syntetycznego podsumowania audytów cząstkowych, wskaże profile dojrzałości każdego dostawcy oraz zarekomenduje jednolite zasady aneksowania umów i egzekwowania standardów bezpieczeństwa.

W skład zespołu wchodzą studenci realizujący następujące role:

• Rola 1: Audytor Wiodący / Koordynator Audytu Łańcucha Dostaw - odpowiada za konsolidację ustaleń cząstkowych, opracowanie rozdziału menedżerskiego z rankingiem dojrzałości dostawców, przygotowanie metryki audytu i poprowadzenie referatu.
• Rola 2: Audytor Techniczny Integracji Chmurowych i API - analizuje podatności kryptograficzne w komunikacji API z Dostawcą 3, weryfikuje brak nadzoru nad Dostawcą 4, projektuje techniczne wymagania bezpieczeństwa dla interfejsów programistycznych (TLS 1.3, mTLS, rotacja kluczy API) i formułuje zalecenia SMART.
• Rola 3: Audytor Zgodności Umownej i Ryzyka Regulacyjnego - bada umowy powierzenia przetwarzania danych (art. 28 RODO) i umowy SLA, formułuje wzorcowe klauzule 'Right to Audit' oraz procedurę weryfikacji raportów SOC 2/ISO 27001 dla Dostawcy 1 i pozostałych podmiotów, konstruuje plan CAP. W zespole dwuosobowym zadania te dzielą Studenci 1 i 2.

Praca w zespole 2-3 osobowym polega na scaleniu rozproszonych danych audytowych w spójny dokument zbiorczy:

• Krok 1 (Podział ról i agregacja danych cząstkowych):

  Student 1: Tworzy matrycę oceny dostawców (Vendor Risk Matrix) zestawiającą 5 podmiotów wg kryteriów: krytyczność dla biznesu, stan zabezpieczeń technicznych, zgodność umowna, audytowalność.

  Student 2: Przeprowadza dogłębną analizę techniczną luki w bramce API (Dostawca 3) oraz praw dostępu serwisantów (Dostawca 4). Opisuje ryzyka ataku Man-in-the-Middle (MitM) i kradzieży tożsamości kurierskich.

  Student 3: Analizuje aspekty formalno-prawne odmowy Dostawcy 1. Wykazuje, że certyfikat ISO 9001 dotyczy zarządzania jakością, a nie bezpieczeństwa informacji, a brak zapisu o prawie do audytu uniemożliwia realizację obowiązków administratora z art. 28 RODO i wymogów ISO 27001 A.5.19-A.5.21.

• Krok 2 (Triangulacja dowodów z audytów cząstkowych):

  Zestawcie: korespondencję odmowną z Dostawcą 1, certyfikat SOC 2 Dostawcy 2, zrzuty ruchu sieciowego Wireshark wykazujące tokeny API w jawnym URL Dostawcy 3 oraz logi logowań serwisantów Dostawcy 4.

• Krok 3 (Kwalifikacja niezgodności w raporcie zbiorczym):

  Sformułujcie karty ustaleń:

  1. Niezgodność zasadnicza (NC2): Brak możliwości weryfikacji i audytowalności dostawcy chmurowego WMS z powodu luk w umowie powierzenia (naruszenie art. 28 ust. 3 lit. h RODO oraz kontroli ISO 27001 A.5.19 i A.5.20).

  2. Niezgodność zasadnicza (NC2): Stosowanie niebezpiecznych standardów kryptograficznych i przesyłanie kluczy API w adresach URL przez Dostawcę 3 (naruszenie kontroli ISO 27001 A.8.20 i A.8.24).

  3. Niezgodność drobna (NC3): Brak nadzoru nad uprawnieniami administracyjnymi zewnętrznego serwisu stacji roboczych (Dostawca 4).

  4. Szansa na doskonalenie (OFI): Wykorzystanie raportów SOC 2 Typ II i wdrożenie portalu samoobsługowej oceny dostawców (Vendor Portal).

• Krok 4 (Konstrukcja zaleceń i planu działań korygujących CAP):

  Opracujcie trójstopniowy plan naprawczy:

  • Etap natychmiastowy: rekonfiguracja integracji API z Dostawcą 3 (wymuszenie nagłówków Authorization Bearer oraz protokołu TLS 1.3).
  • Etap prawno-umowny: przygotowanie i przesłanie aneksów do umów ze wszystkimi dostawcami zawierających obowiązkową klauzulę Right to Audit, wymóg posiadania ISO 27001 lub raportu SOC 2 oraz kary umowne za niepowiadomienie o incydencie w 24h.
  • Etap operacyjny: odebranie stałych uprawnień administratora lokalnego serwisantom Dostawcy 4 i wdrożenie kont tymczasowych (Just-In-Time Access).
• Krok 5 (Przygotowanie referatu i dokumentacji poaudytowej):

  Zredagujcie raport końcowy, przygotujcie syntetyczną tabelę porównawczą do prezentacji i przećwiczcie wystąpienie ustne.

Plan prezentacji referatu seminaryjnego (10-15 minut):

• Wprowadzenie i ramy audytu łańcucha dostaw w LogistykNet S.A. (2 min): Zależność logistyki od usług IT i charakterystyka 5 badanych dostawców (Student 1).
• Zbiorcze podsumowanie menedżerskie i matryca dojrzałości dostawców (3 min): Prezentacja syntetycznego rankingu podwykonawców i kluczowych ryzyk ciągłości biznesowej dla Zarządu (Student 1).
• Analiza techniczna luk w integracji API i dostępie serwisowym (4 min): Omówienie podatności API Dostawcy 3, wycieku tokenów w URL oraz niekontrolowanych uprawnień serwisantów Dostawcy 4 (Student 2).
• Rozwiązania umowne, klauzule Right to Audit i plan CAP (4 min): Przedstawienie aneksów do umów powierzenia (art. 28 RODO), wymogów raportowania SOC 2 oraz harmonogramu naprawczego (Student 3 lub Student 2).
• Podsumowanie, rekomendacje dla branży TSL i dyskusja (2 min): Odpowiedzi na pytania słuchaczy (cały zespół).

Wymagana treść pisemnego raportu i referatu studenckiego:

1. Odpowiedzi na pytania problemowe:

• W jaki sposób audytor powinien przeprowadzić konsolidację ustaleń z audytów kilku niezależnych podmiotów zewnętrznych, aby raport końcowy był czytelny dla Zarządu spółki macierzystej?
• Czym jest klauzula 'Right to Audit' (prawo do audytu) w umowach z dostawcami usług chmurowych i jakie uprawnienia daje administratorowi danych w świetle art. 28 ust. 3 lit. h RODO?
• Czym różni się raport atestacyjny SOC 2 Typ II (lub ISAE 3402) od certyfikatu ISO/IEC 27001 i w jaki sposób audytor może wykorzystać te dokumenty zamiast osobistej inspekcji serwerowni poddostawcy?

2. Opis stanu faktycznego, architektura powiązań LogistykNet S.A. z 5 badanymi dostawcami IT.

3. Zbiorcza tabela ustaleń audytowych z rankingiem dojrzałości dostawców i kartami niezgodności NC2/NC3/OFI.

4. Szczegółowe rozwiązanie problemu - projekt skonsolidowanego raportu końcowego:

• Rozdział 1: Metryka, zakres i cel audytu łańcucha dostaw teleinformatycznych.
• Rozdział 2: Podsumowanie zarządcze z matrycą ryzyka dostawców (Vendor Risk Matrix).
• Rozdział 3: Szczegółowe ustalenia z audytów cząstkowych Dostawców 1 - 5.
• Rozdział 4: Analiza prawno-regulacyjna umów powierzenia i wzorcowe klauzule bezpieczeństwa (Right to Audit, SLA, zgłaszanie incydentów w 24h, certyfikacje SOC2/ISO27001).
• Rozdział 5: Zbiorczy Plan Działań Korygujących (CAP) z podziałem na działania techniczne, procedury zakupowe i renegocjacje umów.

5. Analiza zalet i wad zaproponowanego rozwiązania:

• Zalety: całościowy wgląd Zarządu w słabe ogniwa łańcucha logistycznego, wzmocnienie pozycji negocjacyjnej wobec dostawców SaaS, eliminacja krytycznych luk w transmisji API, zgodność z RODO i ISO 27001.
• Wady/wyzwania: opór rynkowy dużych dostawców oprogramowania przed zmianą umów, potencjalny wzrost kosztów abonamentu za wprowadzenie rygorystycznych SLA, czasochłonny proces renegocjacji 5 kontraktów.

6. Bibliografia, netografia i odnośniki do normy ISO 27001, standardów AICPA SOC 2 i przepisów RODO.

• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - kontrole A.5.19 (Bezpieczeństwo informacji w relacjach z dostawcami), A.5.20 (Uwzględnianie bezpieczeństwa informacji w umowach z dostawcami), A.5.21 (Zarządzanie bezpieczeństwem informacji w łańcuchu dostaw), A.5.22 (Monitorowanie i przegląd usług dostawców), A.5.23 (Bezpieczeństwo informacji przy korzystaniu z usług chmurowych).
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 28 (Podmiot przetwarzający i prawo do audytu), art. 32 (Bezpieczeństwo przetwarzania).
• American Institute of CPAs (AICPA): "SOC for Service Organizations: Trust Services Criteria (SOC 2 Type II Reporting)", Nowy Jork 2022.
• Norma PN-EN ISO 19011:2018: Wytyczne dotyczące audytowania systemów zarządzania - punkt 6.5 (Raportowanie audytu wielopodmiotowego).
• Agencja Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA): "Threat Landscape for Supply Chain Attacks", Bruksela 2021.
• Urząd Ochrony Danych Osobowych: "Jak prawidłowo konstruować umowy powierzenia przetwarzania danych osobowych - poradnik", Warszawa 2020.

• U4 Opracowanie skonsolidowanego raportu z audytu wielu dostawców zewnętrznych.
• U1 Projekt zaleceń inżynierskich i wzorcowych klauzul umownych Right to Audit.
• U2 Identyfikacja i klasyfikacja niezgodności w relacjach z podwykonawcami IT.
• U3 Szacowanie ryzyka operacyjnego i prawnego w łańcuchu dostaw e-commerce.
• W1W2W3 Znajomość kontroli ISO 27001 A.5.19-A.5.23, art. 28 RODO i raportów SOC 2.
• K1K2K3 Zrozumienie roli partnerstwa biznesowego i rzetelności w relacjach z dostawcami.

W trakcie referatu seminaryjnego zaprezentujcie tabelaryczną matrycę dojrzałości 5 dostawców (kolory: zielony, żółty, czerwony) i wyjaśnijcie, w jaki sposób audytor powinien zareagować, gdy dostawca oprogramowania chmurowego powołuje się na certyfikat ISO 9001, udowadniając dlaczego certyfikacja jakości nie jest tożsama z audytowalnością bezpieczeństwa informacji.

Głównym celem zadania jest opanowanie przez studentów umiejętności opracowywania oficjalnego, urzędowego sprawozdania z audytu cyberbezpieczeństwa zgodnie z wymogami Ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC) oraz dyrektywy NIS2 dla podmiotów kluczowych i podmiotów kluczowych. Studenci analizują studium przypadku regionalnego dystrybutora energii elektrycznej EnergoDystrybucja Sp. z o.o. w Opolu. Audyt obejmował zarówno klasyczne środowisko biurowe IT, jak i środowisko technologii operacyjnej (OT/SCADA) zarządzające stacjami elektroenergetycznymi wysokiego i średniego napięcia. Wyzwaniem zadania jest: sporządzenie sprawozdania spełniającego wymagania art. 15 ustawy o KSC, w tym obowiązek sporządzenia pisemnego sprawozdania na podstawie zebranych dowodów (art. 15 ust. 5) oraz wymogu posiadania przez audytorów certyfikatów z wykazu określonego w rozporządzeniu Ministra Cyfryzacji (art. 15 ust. 8), dokonanie syntezy dowodów technicznych z trudnego środowiska automatyki przemysłowej bez ujawniania informacji niejawnych i wrażliwych w sposób zagrażający bezpieczeństwu państwa, przypisanie formalnych poziomów zgodności i podatności według skali CVSS/KSC oraz przeprowadzenie formalnego zamknięcia audytu zgodnie z normą PN-EN ISO 19011:2018 (punkt 6.6).

Powiązanie z sylabusem i treściami programowymi:

• U4 Opracowanie oficjalnego, zgodnego z ustawą sprawozdania z audytu cyberbezpieczeństwa podmiotu kluczowego przekazywanego organowi właściwemu ds. cyberbezpieczeństwa oraz CSIRT poziomu krajowego.
• U2 Identyfikacja i klasyfikacja niezgodności w systemach automatyki przemysłowej OT/ICS oraz sieciach teleinformatycznych IT.
• U3 Przeprowadzenie analizy ryzyka zakłócenia ciągłości dostaw energii elektrycznej dla ludności i przemysłu w oparciu o normy ISO 27005 i ISA/IEC 62443.
• U1 Opracowanie zaleceń inżynierskich dotyczących separacji stref sieciowych, wdrożenia bramek diodowych (Data Diode) oraz uwierzytelniania wieloskładnikowego (MFA) dla dostępu serwisowego.
• W1 Znajomość przepisów Ustawy o Krajowym Systemie Cyberbezpieczeństwa, dyrektywy NIS2, Rozporządzenia w sprawie audytów KSC oraz wymogów ochrony infrastruktury krytycznej.
• W2W3 Rozumienie relacji pomiędzy standardami IT (ISO 27001) a standardami automatyki przemysłowej (PN-EN IEC 62443, NIST SP 800-82).
• K1K2K3 Świadomość wagi ochrony infrastruktury krytycznej dla bezpieczeństwa narodowego, rygorystyczne przestrzeganie poufności i klauzulowania materiałów poaudytowych.
• Powiązanie z wykładem: Wyk1 (Audyt w infrastrukturze krytycznej), Wyk2 (Zamykanie procesu audytowego ISO 19011), Wyk3 (Kontrole techniczne ISO 27001), Wyk4 (Ustawa o KSC i dyrektywa NIS2), Wyk5 (Risk-based audit w systemach OT/SCADA), Wyk6 (Dowody audytowe w automatyce przemysłowej), Wyk7 (Oficjalne raporty dla organów nadzorczych).

EnergoDystrybucja Sp. z o.o. w Opolu zasila w energię elektryczną ponad 400 000 odbiorców, w tym strategiczne zakłady chemiczne, szpitale i węzły kolejowe. Spółka jest wpisana do rejestru Podmiotów Kluczowych w rozumieniu Ustawy o KSC. System dyspozytorski SCADA nadzoruje pracę 48 Głównych Punktów Zasilania (GPZ).

Stan faktyczny w obszarze audytowanym i wykryte uchybienia:

• Brak pełnej separacji sieciowej pomiędzy korporacyjną siecią IT a przemysłową siecią sterowania OT: Audytorzy ujawnili, że stacje inżynierskie SCADA w podstacjach są bezpośrednio połączone z korporacyjną domeną Active Directory w celu pobierania aktualizacji antywirusowych, a ruch sieciowy pomiędzy strefami biurową i przemysłową nie przechodzi przez przemysłowy firewall aplikacyjny (brak wdrożenia architektury stref i kanałów Purdue Model / IEC 62443).
• Niezabezpieczony dostęp zdalny dostawców automatyki: Serwisanci zewnętrznego producenta sterowników PLC (firma z siedzibą w Niemczech) łączą się z urządzeniami wykonawczymi w sieci OT za pomocą stałego tunelu VPN z wykorzystaniem pojedynczego hasła o niskiej złożoności, bez wymuszenia uwierzytelniania wieloskładnikowego (MFA) i bez konieczności każdorazowej autoryzacji sesji przez dyspozytora mocy.
• Luki w zarządzaniu podatnościami urządzeń brzegowych: Routery telemetryczne LTE zainstalowane na GPZ posiadają niezałatane podatności o statusie krytycznym (CVSS 9.8) umożliwiające nieautoryzowaną modyfikację firmware'u.
• Procedury powiadamiania o incydentach: Spółka posiada opracowany schemat zgłaszania incydentów poważnych i krytycznych do właściwego CSIRT sektorowego (CSIRT Energetyka), jednak brakowało weryfikacji czasów reakcji w praktycznych ćwiczeniach cybernetycznych.

Prezes Zarządu oraz Pełnomocnik ds. Cyberbezpieczeństwa oczekują sporządzenia oficjalnego 'Sprawozdania z audytu bezpieczeństwa systemu teleinformatycznego podmiotu kluczowego' zgodnie z art. 15 ustawy o KSC. Sprawozdanie zostaje przekazane podmiotowi kluczowemu wraz z dokumentacją audytu (art. 15 ust. 5), a kopię sprawozdania podmiot kluczowy przekazuje na uzasadniony wniosek organu właściwego do spraw cyberbezpieczeństwa, dyrektora Rządowego Centrum Bezpieczeństwa albo Szefa Agencji Bezpieczeństwa Wewnętrznego (art. 15 ust. 7). Dostęp do sprawozdania zależy więc od wniosku właściwego organu, a nie od automatycznego przekazania ministrowi właściwemu dla sektora ani zespołowi CSIRT. Opracowywany jest również wewnętrzny plan działań korygujących dla inżynierów.

W skład zespołu wchodzą studenci realizujący następujące role:

• Rola 1: Audytor Wiodący KSC / Główny Sprawozdawca - odpowiada za formalną strukturę sprawozdania zgodnie z art. 15 ustawy o KSC, zredagowanie syntezy dla organu właściwego ds. cyberbezpieczeństwa, procedurę formalnego zamknięcia audytu wg ISO 19011 i koordynację referatu.
• Rola 2: Audytor Techniczny Cyberbezpieczeństwa OT/SCADA - analizuje architekturę sieci przemysłowej, podatności sterowników PLC i routerów LTE wg Purdue Model i normy IEC 62443, projektuje wdrożenie przemysłowych firewalli i bramek diodowych oraz formułuje zalecenia techniczne.
• Rola 3: Audytor Zgodności Regulacyjnej i Reżimu Poufności KSC - odpowiada za kwalifikację prawną uchybień w odniesieniu do art. 8 (system zarządzania bezpieczeństwem i środki zabezpieczające), art. 10 (dokumentacja cyberbezpieczeństwa), art. 11 (obsługa i zgłaszanie incydentów poważnych) oraz art. 15 (audyt bezpieczeństwa) Ustawy o KSC, przypisanie kategorii podatności, opracowanie zasad klauzulowania sprawozdania (tajemnica przedsiębiorstwa / informacje prawnie chronione) oraz budowę harmonogramu CAP. W zespole dwuosobowym zadania te dzielą Studenci 1 i 2.

Praca w zespole 2-3 osobowym polega na przygotowaniu oficjalnego dokumentu urzędowego o podwyższonym rygorze formalnym:

• Krok 1 (Podział ról i analiza wymogów formalnych KSC):

  Student 1: Analizuje art. 15 ustawy o KSC: wymóg przeprowadzania audytu bezpieczeństwa co najmniej raz na 3 lata, dopuszczalne podmioty prowadzące audyt, obowiązek zachowania tajemnicy przez audytora, wymagane elementy sprawozdania i dokumentacji audytu oraz wykaz certyfikatów uprawniających, o którym mowa w art. 15 ust. 8. Ustala zakres sprawozdania (dane jednostki audytującej i kwalifikacje audytorów, cele i zakres audytu, metodyka, wykaz zbadanych systemów usługi kluczowej, opis ustaleń, ocena poziomu dojrzałości, rekomendacje).

  Student 2: Przekłada ustalenia techniczne na model stref bezpieczeństwa Purdue: Strefa 4 (IT korporacyjne), Strefa 3.5 (DMZ przemysłowe), Strefa 3 (Zarządzanie operacjami OT), Strefa 2 (Sterowanie procesem - SCADA), Strefa 1 (Sterowniki PLC/RTU). Wskazuje konieczność wdrożenia zapory przemysłowej z głęboką inspekcją pakietów protokołów przemysłowych (DPI dla Modbus TCP, DNP3, IEC 60870-5-104).

  Student 3: Bada wymogi formalnego zamknięcia audytu zgodnie z ISO 19011 punkt 6.6. Przygotowuje protokół spotkania zamykającego, procedurę dystrybucji egzemplarzy numerowanych oraz klauzule poufności sprawozdania.

• Krok 2 (Triangulacja dowodów audytowych w środowisku przemysłowym):

  Zestawcie: schematy logiczne sieci przemysłowej, konfiguracje reguł zapory ogniowej, wykaz aktywnych kont VPN serwisantów zewnętrznych, raporty ze skanerów pasywnych OT (brak inwazyjnego skanowania aktywnego ze względu na ryzyko awarii sterowników PLC) oraz rejestry incydentów dyspozytorni mocy.

• Krok 3 (Kwalifikacja niezgodności i ocena istotności w reżimie KSC):

  Sformułujcie karty ustaleń:

  1. Niezgodność krytyczna (NC1): Brak logicznej i fizycznej separacji strefy OT/SCADA od strefy korporacyjnej IT (naruszenie art. 8 ust. 1 pkt 2 lit. a oraz pkt 5 lit. a Ustawy o KSC (brak środków zapewniających poufność, integralność i dostępność danych oraz mechanizmów ograniczających dostęp do systemów sterowania) oraz IEC 62443-3-3).

  2. Niezgodność krytyczna (NC1): Dostęp zdalny podmiotów serwisowych do sieci przemysłowej bez uwierzytelniania wieloskładnikowego MFA i bez nadzoru sesji (naruszenie art. 8 ust. 1 pkt 2 lit. b Ustawy o KSC (bezpieczeństwo fizyczne i środowiskowe, w tym kontrola dostępu) oraz kontroli ISO 27001 A.8.5).

  3. Niezgodność zasadnicza (NC2): Brak procesu bezpiecznego zarządzania podatnościami routerów brzegowych LTE na podstacjach GPZ (naruszenie art. 8 ust. 1 pkt 2 lit. a oraz pkt 5 lit. b i d Ustawy o KSC (utrzymanie i bezpieczna eksploatacja systemu informacyjnego, aktualizacja oprogramowania oraz niezwłoczne reagowanie na dostrzegone podatności i zagrożenia)).

  4. Szansa na doskonalenie (OFI): Utworzenie dedykowanego wewnętrznego SOC/OT monitorującego specyficzne anomalie protokołów przemysłowych.

• Krok 4 (Konstrukcja sprawozdania urzędowego i planu działań korygujących CAP):

  Zredagujcie oficjalne sprawozdanie:

  • Część A: Metryka urzędowa i oświadczenia audytorów o bezstronności.
  • Część B: Ocena stopnia spełnienia wymagań Ustawy o KSC (ocena syntetyczna: poziom warunkowo zgodny z koniecznością natychmiastowych działań korygujących).
  • Część C: Szczegółowy rejestr niezgodności wraz z analizą wektorów zagrożeń (np. ryzyko ataku typu BlackEnergy/Industroyer).
  • Część D: Plan Działań Korygujących (CAP) z harmonogramem przyjętym przez kierownictwo spółki (np. 30 dni na usunięcie luk krytycznych, 90 dni na separację strefową); ustawa o KSC nie narzuca tych terminów, a ich źródłem są wewnętrzne standardy zarządzania incydentami oraz zalecenia właściwego CSIRT.
  • Część E: Protokół formalnego zamknięcia audytu podpisany przez Głównych Audytorów i Prezesa EnergoDystrybucji.
• Krok 5 (Przygotowanie referatu i dokumentacji poaudytowej):

  Zintegrujcie dokumenty, przygotujcie prezentację z diagramem Purdue Model oraz planem naprawczym dla podmiotu kluczowego, przećwiczcie wystąpienie ustne.

Plan prezentacji referatu seminaryjnego (10-15 minut):

• Wprowadzenie i ramy prawne audytu KSC w EnergoDystrybucji Sp. z o.o. (2 min): Rola podmiotu kluczowego, ramy Ustawy o KSC i dyrektywy NIS2 oraz formalne cele audytu (Student 1).
• Urzędowe sprawozdanie z audytu i ocena dojrzałości cyberbezpieczeństwa (3 min): Prezentacja syntetycznej oceny zgodności dla organu właściwego ds. cyberbezpieczeństwa i CSIRT (Student 1).
• Analiza techniczna ustaleń w strefie OT/SCADA i Purdue Model (4 min): Szczegółowe omówienie braku separacji IT/OT, niebezpiecznych dostępów VPN serwisantów i podatności routerów LTE (Student 2).
• Zalecenia inżynierskie, plan CAP i formalne zamknięcie audytu wg ISO 19011 (4 min): Architektura strefowa IEC 62443, bramki diodowe, zasady MFA i protokół zamknięcia audytu (Student 3 lub Student 2).
• Podsumowanie, wnioski dla sektora elektroenergetycznego i dyskusja (2 min): Odpowiedzi na pytania słuchaczy i prowadzącego (cały zespół).

Wymagana treść pisemnego raportu i referatu studenckiego:

1. Odpowiedzi na pytania problemowe:

• Jakie obligatoryjne elementy formalne musi zawierać oficjalne sprawozdanie z audytu cyberbezpieczeństwa podmiotu kluczowego przekazywane organowi właściwemu zgodnie z art. 15 Ustawy o Krajowym Systemie Cyberbezpieczeństwa, z uwzględnieniem art. 15 ust. 5 oraz ust. 1a i 1c (sprawozdanie trafia do podmiotu kluczowego, a jego kopia do organu właściwego do spraw cyberbezpieczeństwa w terminie 3 dni roboczych)?
• Dlaczego w audytowaniu systemów automatyki przemysłowej OT/SCADA zabronione jest stosowanie agresywnych, aktywnych skanerów podatności IT i jakie obiektywne techniki zbierania dowodów powinien zastosować audytor?
• Na czym polega formalne zamknięcie audytu zgodnie z punktem 6.6 i 6.7 normy ISO 19011:2018 i w jakich okolicznościach proces audytowy uznaje się za ostatecznie zakończony?

2. Opis stanu faktycznego infrastruktury teleinformatycznej i dyspozytorskiej EnergoDystrybucji Sp. z o.o.

3. Schemat architektury strefowej Purdue Model z naniesionymi punktami podatności i brakiem separacji logicznej.

4. Szczegółowe rozwiązanie problemu - projekt oficjalnego sprawozdania poaudytowego KSC:

• Część 1: Metryka formalna, podstawa prawna (art. 15 KSC), dane zespołu audytorskiego i oświadczenie o bezstronności.
• Część 2: Podsumowanie dla Prezesa Zarządu oraz organu właściwego ds. cyberbezpieczeństwa (Ministerstwo Klimatu i Środowiska).
• Część 3: Szczegółowy opis zbadanych systemów i ustalenia audytowe (sieć IT, strefa OT/SCADA, routery LTE, dostęp VPN).
• Część 4: Karty niezgodności krytycznych (NC1) i zasadniczych (NC2) z odniesieniem do Ustawy o KSC i normy IEC 62443.
• Część 5: Plan Działań Korygujących (CAP) z harmonogramem naprawczym i budżetem inwestycyjnym.
• Część 6: Protokół formalnego zamknięcia audytu zgodnie z wytycznymi ISO 19011 (klauzula 6.6).

5. Analiza zalet i wad wybranego rozwiązania:

• Zalety: spełnienie ustawowych obowiązków podmiotu kluczowego i uniknięcie kar finansowych ze strony organu nadzorczego (do 200 000 zł), drastyczny spadek ryzyka paraliżu sieci energetycznej wskutek cyberataku, bezpieczna architektura strefowa.
• Wady/wyzwania: wysoki koszt przemysłowych zapór sieciowych (Next-Generation Firewalls OT), konieczność rekonfiguracji tuneli VPN dla dostawców zagranicznych, rygorystyczne procedury autoryzacji wydłużające czas serwisu awarii.

6. Bibliografia, netografia i odnośniki do Ustawy o KSC, dyrektywy NIS2, norm IEC 62443 i ISO 27001.

• Ustawa z dnia 5 lipca 2018 r. o Krajowym Systemie Cyberbezpieczeństwa (tekst jedn. Dz.U. z 2026 r. poz. 20, zm. Dz.U. z 2026 r. poz. 252) - art. 8 (system zarządzania bezpieczeństwem i środki zabezpieczające), art. 10 (dokumentacja cyberbezpieczeństwa), art. 11 (obsługa i zgłaszanie incydentów poważnych w ciągu 24 godzin) oraz art. 15 (audyt bezpieczeństwa co najmniej raz na 3 lata; art. 15 ust. 1a - przekazanie kopii raportu organowi właściwemu do spraw cyberbezpieczeństwa w terminie 3 dni roboczych).
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii (dyrektywa NIS2).
• Rozporządzenie Ministra Cyfryzacji z dnia 12 października 2018 r. w sprawie wykazu certyfikatów uprawniających do przeprowadzenia audytu (Dz.U. z 2018 r. poz. 1999), wydane na podstawie art. 15 ust. 8 ustawy o KSC.
• Norma PN-EN IEC 62443-3-3:2019: Bezpieczeństwo systemów automatyki przemysłowej i sterowania - Wymagania dotyczące bezpieczeństwa systemu i poziomy bezpieczeństwa.
• Norma PN-EN ISO 19011:2018: Wytyczne dotyczące audytowania systemów zarządzania - punkt 6.6 (Zakończenie audytu) oraz punkt 6.5 (Raport z audytu).
• NIST Special Publication 800-82 Rev. 3: "Guide to Operational Technology (OT) Security", National Institute of Standards and Technology 2023.

• U4 Sporządzenie oficjalnego sprawozdania z audytu cyberbezpieczeństwa KSC i protokołu zamknięcia audytu.
• U2 Precyzyjna klasyfikacja niezgodności w systemach automatyki przemysłowej OT/SCADA.
• U1 Opracowanie zaleceń inżynierskich dotyczących separacji sieciowej wg modelu Purdue i normy IEC 62443.
• U3 Szacowanie ryzyka ciągłości dostaw energii elektrycznej i skutków awarii infrastruktury krytycznej.
• W1W2W3 Znajomość wymogów Ustawy o KSC, dyrektywy NIS2, norm IEC 62443, ISO 27001 i ISO 19011.
• K1K2K3 Zrozumienie wagi bezpieczeństwa infrastruktury krytycznej i najwyższa dbałość o poufność audytu.

W prezentacji referatu wyjaśnijcie słuchaczom specyfikę prawną sprawozdania z audytu podmiotu kluczowego: wskażcie, czym różni się raport wewnętrzny sporządzany dla Zarządu od oficjalnego sprawozdania przekazywanego organowi właściwemu do spraw cyberbezpieczeństwa (a na uzasadniony wniosek także dyrektorowi RCB albo Szefowi ABW) oraz w jaki sposób chronić informacje niejawne i tajemnice handlowe zawarte w takim dokumencie.

Celem zadania jest nabycie przez studentów umiejętności opracowywania ustrukturyzowanego raportu poaudytowego dla władz instytucji akademickiej, kładącego nacisk na przejrzystą gradację ustaleń, konstrukcję kart niezgodności (NC2/NC3), wyodrębnienie konstruktywnych szans na doskonalenie (OFI) oraz opracowanie wskaźników dojrzałości bezpieczeństwa (KPI/KRI) prezentowanych przed Rektorem i Senatem Uczelni. Studenci badają stan bezpieczeństwa teleinformatycznego Akademii Mazowieckiej w Płocku, ze szczególnym uwzględnieniem Zintegrowanego Systemu Obsługi Studentów (USOS), platformy zdalnego kształcenia (Moodle) oraz poczty elektronicznej. Wyzwaniem jest sformułowanie raportu końcowego, który unaoczni Kolegium Rektorskiemu realne ryzyka wycieku danych wrażliwych studentów i ocen akademickich oraz uzasadni konieczność wdrożenia zintegrowanego systemu zarządzania tożsamością (IAM), jednocześnie proponując szereg bezkosztowych szans na doskonalenie organizacyjnego obiegu informacji naukowej.

Powiązanie z sylabusem i treściami programowymi:

• U4 Opracowanie raportu z audytu bezpieczeństwa informacji w instytucji szkolnictwa wyższego z bilansem niezgodności i szans na doskonalenie (OFI).
• U2 Prawidłowa identyfikacja, opis i klasyfikacja uchybień audytowych z odniesieniem do kontroli Załącznika A normy ISO/IEC 27001:2022 oraz przepisów RODO i KRI.
• U1 Opracowanie zaleceń inżynierskich dotyczących centralizacji zarządzania tożsamością i uprawnieniami (Identity and Access Management - IAM).
• U3 Przeprowadzenie analizy ryzyka reputacyjnego, prawnego i operacyjnego uczelni w przypadku naruszenia integralności protokołów egzaminacyjnych.
• W1 Znajomość przepisów Ustawy - Prawo o szkolnictwie wyższym i nauce, zasad ochrony danych osobowych studentów (RODO) oraz wymogów KRI dla uczelni publicznych.
• W2W3 Zrozumienie struktury raportu audytowego zgodnego z ISO 19011:2018 (punkt 6.5) oraz roli szans na doskonalenie (OFI) w ciągłym doskonaleniu SZBI (klauzula 10.1 ISO 27001).
• K1K2K3 Wrażliwość na etykę akademicką, poszanowanie prywatności społeczności akademickiej oraz kultura dialogu z kadrą dydaktyczno-naukową.
• Powiązanie z wykładem: Wyk1 (Rola audytu w sektorze edukacji), Wyk2 (Zasady raportowania ISO 19011), Wyk3 (Kontrole dostępowe A.5.15-A.5.18 ISO 27001), Wyk4 (RODO i KRI w uczelniach), Wyk7 (Karty niezgodności, bilans OFI i wskaźniki dojrzałości).

Akademia Mazowiecka w Płocku kształci 4 500 studentów na 12 kierunkach i zatrudnia 320 pracowników naukowo-dydaktycznych oraz 110 pracowników administracji i biblioteki. Uczelnia opiera swoje procesy dydaktyczne na systemie USOS (w tym USOSweb) oraz uczelnianej platformie e-learningowej Moodle.

Stan faktyczny w obszarze audytowanym i zidentyfikowane luki:

• Brak automatyzacji cyklu życia tożsamości użytkowników (Lifecycle Management): Audyt ujawnił, że w systemie USOSweb aktywnych pozostawało 185 kont absolwentów, którzy ukończyli studia w latach 2021-2023, a także 9 kont byłych wykładowców, których umowy wygasły ponad rok temu. Konta te posiadały wgląd w historyczne protokoły ocen oraz dane osobowe studentów (imiona, nazwiska, numery albumu, numery PESEL, adresy zamieszkania).
• Błędy w konfiguracji haseł i kont w platformie Moodle: Na serwerze platformy e-learningowej nie wdrożono polityki wymuszania minimalnej złożoności haseł ani mechanizmu blokady konta po nieudanych próbach logowania (brak ochrony przed atakami brute-force). Co więcej, hasła dostępowe do bazy danych MySQL były zapisane w pliku konfiguracyjnym 'config.php' w postaci jawnego tekstu z prawami do odczytu dla wszystkich lokalnych użytkowników serwera.
• Brak regularnych przeglądów uprawnień w dziekanatach: Pracownicy dziekanatów posiadali nienależne, zbyt szerokie uprawnienia edycyjne do wszystkich wydziałów uczelni, zamiast wyłącznie do macierzystego instytutu (naruszenie zasady wiedzy koniecznej i najmniejszych uprawnień).
• Szanse na doskonalenie (OFI): Uczelnia posiada bardzo dobrze oceniane przez studentów procedury anonimizacji prac dyplomowych w Jednolitym Systemie Antyplagiatowym (JSA), jednak brakuje formalnej procedury bezpiecznego udostępniania zanonimizowanych zbiorów danych badawczych w ramach Otwartej Nauki (Open Science).

Rektor i Senat Akademii Mazowieckiej oczekują raportu końcowego, który wskaże zwięzłe wskaźniki dojrzałości bezpieczeństwa, precyzyjnie rozdzieli niezgodności formalne od konstruktywnych szans na doskonalenie oraz zarekomenduje wdrożenie centralnego systemu IAM.

W skład zespołu wchodzą studenci realizujący następujące role:

• Rola 1: Audytor Wiodący / Redaktor Raportu Akademickiego - odpowiada za metrykę audytu, zredagowanie syntezy zarządczej dla Kolegium Rektorskiego i Senatu z pulpitem wskaźników dojrzałości, koordynację całego dokumentu i poprowadzenie referatu.
• Rola 2: Audytor Techniczny Systemów Dziekanatowych i E-Learningu - analizuje podatności haseł w systemie Moodle, brak ochrony brute-force, uprawnienia do pliku config.php i architekturę centralnego uwierzytelniania SAML/OAuth2, formułuje zalecenia inżynierskie SMART.
• Rola 3: Audytor Zgodności Prawnej i Analizy Dojrzałości - sporządza karty niezgodności (NC2/NC3), kataloguje szanse na doskonalenie (OFI), bada zgodność z Ustawą - Prawo o szkolnictwie wyższym, KRI i RODO oraz opracowuje tabelaryczny plan CAP. W zespole dwuosobowym zadania te dzielą Studenci 1 i 2.

Praca w zespole 2-3 osobowym polega na opracowaniu zrównoważonego raportu łączącego dyscyplinę kryteriów formalnych z kulturową specyfiką środowiska akademickiego:

• Krok 1 (Podział ról i ustalenie struktury raportu):

  Student 1: Projektuje strukturę raportu z wyodrębnieniem dwóch kluczowych sekcji: 'Ustalenia negatywne (Niezgodności NC)' oraz 'Ustalenia pozytywne i Szanse na doskonalenie (OFI)'. Opracowuje zestaw wskaźników dojrzałości (np. procent kont nieaktywnych, wskaźnik zgodności haseł).

  Student 2: Przeprowadza inspekcję techniczną konfiguracji Moodle i bazy danych. Wskazuje, że uprawnienia pliku konfiguracyjnego powinny być ograniczone wyłącznie do użytkownika serwera WWW (chmod 640), a dane uwierzytelniające do bazy powinny być pobierane ze zmiennych środowiskowych. Projektuje integrację USOS i Moodle z centralną usługą katalogową FreeIPA/Active Directory poprzez bezpieczny protokół LDAP/SAML.

  Student 3: Analizuje orzecznictwo Prezesa UODO w sprawach kar nakładanych na uczelnie za brak nadzoru nad kontami studentów i absolwentów. Formułuje karty niezgodności oraz opisuje szansę na doskonalenie w zakresie polityki Open Data.

• Krok 2 (Triangulacja dowodów audytowych):

  Zestawcie: rejestr studentów skreślonych z listy i absolwentów z lat 2021-2023, zrzuty z konsoli administracyjnej USOS wykazujące aktywne sesje kont absolwentów, zawartość pliku 'config.php' z serwera Moodle, treść Regulaminu Studiów oraz Zarządzenie Rektora w sprawie ochrony informacji.

• Krok 3 (Kwalifikacja ustaleń: Niezgodności i Szanse na doskonalenie):

  Sformułujcie karty ustaleń:

  1. Niezgodność zasadnicza (NC2): Brak procedury wygaszania uprawnień i kont absolwentów oraz byłych pracowników w USOSweb (naruszenie art. 5 ust. 1 lit. e i f RODO oraz kontroli ISO 27001 A.5.18).

  2. Niezgodność drobna (NC3): Niewłaściwe zabezpieczenie praw dostępu do plików konfiguracyjnych i brak polityki blokady kont na platformie Moodle (naruszenie kontroli ISO 27001 A.8.5 i A.8.9).

  3. Niezgodność drobna (NC3): Zbyt szerokie uprawnienia edycyjne pracowników dziekanatów przekraczające zakres obowiązków służbowych (naruszenie zasady najmniejszych uprawnień ISO 27001 A.8.2).

  4. Szansa na doskonalenie (OFI 1): Wdrożenie jednokrotnego logowania (Single Sign-On - SSO) opartego na protokole SAML/OpenID Connect dla wszystkich usług cyfrowych uczelni.

  5. Szansa na doskonalenie (OFI 2): Opracowanie wytycznych bezpiecznego udostępniania surowych danych badawczych w repozytorium naukowym.

• Krok 4 (Konstrukcja raportu końcowego i planu CAP):

  Zredagujcie raport końcowy zawierający:

  • Podsumowanie zarządcze dla Senatu z wykresem radarowym dojrzałości cyberbezpieczeństwa.
  • Katalog niezgodności i szans na doskonalenie.
  • Plan Działań Korygujących (CAP) z podziałem zadań pomiędzy Centrum Informatyczne Uczelni, Dział Kadr i Dział Nauczania.
• Krok 5 (Przygotowanie referatu i dokumentacji poaudytowej):

  Zintegrujcie materiał, przygotujcie prezentację z wykresem radarowym i objaśnieniem zaleceń, przeprowadźcie próbę generalną wystąpienia.

Plan prezentacji referatu seminaryjnego (10-15 minut):

• Wprowadzenie do audytu bezpieczeństwa w Akademii Mazowieckiej w Płocku (2 min): Specyfika środowiska akademickiego, badane systemy (USOS, Moodle) i cele audytu (Student 1).
• Podsumowanie menedżerskie dla Rektora i Senatu - wskaźniki dojrzałości (3 min): Prezentacja wykresu radarowego dojrzałości, głównych ryzyk wycieku danych studentów i zaleceń strategicznych (Student 1).
• Szczegółowe ustalenia techniczne w USOS i Moodle (4 min): Analiza martwych kont absolwentów, haseł w plikach konfiguracyjnych i braków ochrony brute-force (Student 2).
• Kwalifikacja niezgodności NC2/NC3, bilans OFI i harmonogram planu CAP (4 min): Przedstawienie kart niezgodności, konstruktywnych szans na doskonalenie, koncepcji IAM i terminów naprawczych (Student 3 lub Student 2).
• Podsumowanie, rekomendacje dla szkolnictwa wyższego i dyskusja (2 min): Odpowiedzi na pytania sali (cały zespół).

Wymagana treść pisemnego raportu i referatu studenckiego:

1. Odpowiedzi na pytania problemowe:

• Czym w metodyce ISO 19011:2018 różni się Niezgodność (Nonconformity) od Szansy na Doskonalenie (Opportunity for Improvement - OFI) i dlaczego formułowanie OFI jest kluczowe dla budowania dojrzałości SZBI?
• Jakie zagrożenia dla integralności procesu dydaktycznego i poufności danych osobowych stwarza brak automatycznego odbierania dostępów do systemów dziekanatowych po ukończeniu studiów przez studenta lub odejściu pracownika?
• W jaki sposób audytor powinien zaprezentować wyniki audytu przed organem kolegialnym (Senatem Uczelni), aby zrównoważyć wymogi bezpieczeństwa z tradycyjną autonomią i swobodą akademicką?

2. Opis stanu faktycznego infrastruktury teleinformatycznej Akademii Mazowieckiej, wykaz systemów i grup użytkowników.

3. Wykres radarowy poziomu dojrzałości bezpieczeństwa w 5 domenach (Zarządzanie tożsamością, Bezpieczeństwo serwerów, Procedury dziekanatowe, Ochrona danych osobowych, Ciągłość działania).

4. Szczegółowe rozwiązanie problemu - projekt raportu końcowego:

• Rozdział 1: Metryka audytu uczelnianego, cele i badane zasoby informacyjne.
• Rozdział 2: Podsumowanie Menedżerskie dedykowane dla Rektora i Dziekanów.
• Rozdział 3: Karty formalnych niezgodności audytowych (NC2 i NC3) z dowodami.
• Rozdział 4: Rejestr szans na doskonalenie (OFI) wraz z rekomendacjami technologii IAM/SSO.
• Rozdział 5: Plan Działań Korygujących (CAP) z harmonogramem wdrożenia, szacunkiem kosztów i podziałem ról organizacyjnych.

5. Analiza zalet i wad zaproponowanego rozwiązania:

• Zalety: natychmiastowe zablokowanie 194 nieuprawnionych kont w USOS, zabezpieczenie platformy e-learningowej przed włamaniami, podniesienie kultury ochrony danych na uczelni, ułatwienie logowania przez wdrożenie SSO.
• Wady/wyzwania: konieczność zintegrowania bazy kadrowej i dziekanatowej z usługą katalogową, nakłady pracy administratorów na rekonfigurację Moodle, przejściowy opór wykładowców przed zmianą nawyków haseł.

6. Bibliografia, netografia i odnośniki do Ustawy - Prawo o szkolnictwie wyższym, RODO, KRI i norm ISO.

• Ustawa z dnia 20 lipca 2018 r. - Prawo o szkolnictwie wyższym i nauce (tekst jedn. Dz.U. z 2024 r. poz. 1571) - przepisy o dokumentacji przebiegu studiów i systemie POL-on.
• Norma PN-EN ISO 19011:2018: Wytyczne dotyczące audytowania systemów zarządzania - punkt 6.5 (Ustalenia audytu, niezgodności i szanse na doskonalenie OFI).
• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - kontrole A.5.15 (Zarządzanie dostępem), A.5.18 (Prawa dostępu użytkowników), A.8.5 (Bezpieczne uwierzytelnianie), A.8.9 (Zarządzanie konfiguracją).
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 5 ust. 1 lit. e (Ograniczenie przechowywania), art. 32 (Bezpieczeństwo przetwarzania).
• Porozumienie Uczelni Polskich (MUCI): "Standardy bezpieczeństwa teleinformatycznego systemu USOS", Warszawa 2022.
• Urząd Ochrony Danych Osobowych: "Ochrona danych osobowych w szkołach wyższych - poradnik sektorowy", Warszawa 2021.

• U4 Opracowanie zrównoważonego raportu poaudytowego z niezgodnościami i bilansem OFI.
• U2 Poprawne definiowanie i rozróżnianie niezgodności audytowych od szans na doskonalenie.
• U1 Projekt zaleceń inżynierskich centralizacji zarządzania tożsamością IAM/SSO na uczelni.
• U3 Szacowanie ryzyk prawnych i reputacyjnych w sektorze szkolnictwa wyższego.
• W1W2W3 Znajomość wymogów prawa o szkolnictwie wyższym, RODO i norm ISO 27001/ISO 19011.
• K1K2K3 Szacunek dla etyki akademickiej, wysoka kultura formułowania zaleceń poaudytowych.

W trakcie wystąpienia seminaryjnego omówcie ideę szans na doskonalenie (OFI): pokażcie, dlaczego profesjonalny audytor nie może ograniczać się wyłącznie do krytykowania i wytykania błędów, lecz powinien pełnić rolę zaufanego doradcy wskazującego organizacji pozytywne kierunki rozwoju technologicznego i organizacyjnego.

Głównym celem zadania jest opanowanie przez studentów umiejętności przygotowywania raportu z pierwszego w historii przedsiębiorstwa audytu wewnętrznego Systemu Zarządzania Bezpieczeństwem Informacji (SZBI) zgodnie z normą PN-EN ISO/IEC 27001:2022 (klauzula 9.2). Studenci badają studium przypadku średniego przedsiębiorstwa produkcyjnego Zakłady Mięsne Dolina Baryczy Sp. z o.o. w Miliczu, które podjęło decyzję o wdrożeniu SZBI pod presją kluczowych klientów (duże międzynarodowe sieci handlowe wymagające certyfikacji ISO 27001 jako warunku kontynuacji dostaw). Wyzwaniem zadania jest: przetłumaczenie surowych, technicznych ustaleń z hal produkcyjnych, magazynów chłodniczych i biur na przystępny dla Właściciela firmy język biznesowy, sformułowanie kompletnego, ustrukturyzowanego Planu Działań Korygujących (CAP - Corrective Action Plan) z podziałem na 4 kwartały, przypisanie konkretnych właścicieli ryzyk i zadań (Kierownik Produkcji, Główny Księgowy, Administrator IT), określenie realistycznych budżetów wdrożeniowych oraz sformułowanie wniosków końcowych przygotowujących firmę do audytu certyfikującego.

Powiązanie z sylabusem i treściami programowymi:

• U4 Opracowanie profesjonalnego, ustrukturyzowanego raportu z pierwszego audytu wewnętrznego SZBI wraz z operacyjnym planem CAP.
• U1 Opracowanie procedur organizacyjnych i technicznych zaleceń inżynierskich dostosowanych do specyfiki środowiska hal produkcyjnych (wilgoć, niska temperatura, praca w rękawicach).
• U2 Identyfikacja luk zgodności ze standardem ISO/IEC 27001:2022 (badanie luk - Gap Analysis) i kwalifikacja niezgodności NC1/NC2/NC3.
• U3 Przeprowadzenie analizy ryzyka biznesowego związanego z utratą kontraktów handlowych na rzecz konkurencji w przypadku braku certyfikatu.
• W1 Znajomość zasad audytowania przedsiębiorstw produkcyjnych, tajemnicy przedsiębiorstwa (receptury, łańcuchy dostaw) oraz przepisów RODO.
• W2W3 Rozumienie wymagań klauzul 9.2, 9.3 i 10.2 normy ISO/IEC 27001 oraz zasad budowy planów działań korygujących w oparciu o ISO 19011.
• K1K2K3 Zdolność do nawiązywania partnerskiego dialogu z kadrą nietechniczną, pragmatyzm inżynierski i poszanowanie realiów biznesowych sektora MŚP.
• Powiązanie z wykładem: Wyk1 (Rola audytu w MŚP i łańcuchach dostaw), Wyk2 (Zasady audytowania ISO 19011), Wyk3 (Klauzule 4-10 i Załącznik A ISO 27001), Wyk5 (Risk-based audit w produkcji), Wyk7 (Plan CAP, właściciele ryzyk i przygotowanie do certyfikacji).

Zakłady Mięsne Dolina Baryczy Sp. z o.o. zatrudniają 220 pracowników, generują 85 mln zł rocznego przychodu i dostarczają wyroby wędliniarskie do sieci dyskontów w Polsce i Niemczech. Firma otrzymała oficjalne pismo od głównego kontrahenta (generującego 60% obrotów) z żądaniem przedstawienia do końca przyszłego roku certyfikatu zgodności SZBI z normą ISO/IEC 27001 pod rygorem zerwania kontraktu handlowego.

Stan faktyczny w obszarze zbadanym podczas pierwszego audytu wewnętrznego:

• Brak formalnej inwentaryzacji aktywów i brak klasyfikacji informacji: Firma nie posiadała ewidencji sprzętu komputerowego ani oprogramowania. Na halach rozbioru i pakowania działa 18 przemysłowych terminali wagowo-etykietujących połączonych z centralnym systemem ERP, z których korzysta rotacyjny personel produkcyjny.
• Hasła dostępowe przyklejone do urządzeń na hali produkcyjnej: Na obudowach wag przemysłowych oraz terminali magazynowych naklejone były taśmy malarskie z zapisanymi uniwersalnymi loginami i hasłami ('waga1/1234', 'magazyn/start'). Pracownicy tłumaczyli, że pracują w grubych rękawicach ochronnych w temperaturze +4 stopni C i nie są w stanie każdorazowo wpisywać skomplikowanych haseł.
• Bezpieczeństwo receptur i tajemnicy przedsiębiorstwa: Ściśle strzeżone receptury mieszanek przyprawowych i technologii wędzenia były przechowywane na niezabezpieczonym dysku sieciowym w folderze ogólnodostępnym dla wszystkich pracowników biurowych, bez kontroli uprawnień i bez szyfrowania.
• Kopie zapasowe: Kopie bazy ERP wykonywano raz w tygodniu na zewnętrzny dysk USB podłączony na stałe do serwera, bez wynoszenia kopii poza budynek i bez szyfrowania nośnika.

Właściciel i Prezes Zarządu spółki oczekuje raportu końcowego, który nie będzie teoretycznym traktatem o cyberbezpieczeństwie, lecz wskaże konkretny, kwartalny harmonogram naprawczy (CAP), precyzyjnie przypisze zadania kierownikom działów i oszacuje łączne koszty wdrożenia przed audytem certyfikującym.

W skład zespołu wchodzą studenci realizujący następujące role:

• Rola 1: Audytor Wiodący / Konsultant Wdrożeniowy SZBI - odpowiada za strukturę raportu końcowego z pierwszego audytu wewnętrznego, syntezę zarządczą dla Właściciela firmy, ocenę gotowości certyfikacyjnej i koordynację referatu.
• Rola 2: Audytor Techniczny Infrastruktury Przemysłowej i IT - analizuje ograniczenia ergonomiczne hal produkcyjnych, projektuje rozwiązania techniczne przyjazne dla pracowników w rękawicach (czytniki kodów kreskowych/kart RFID na opaskach nadgarstkowych zamiast klawiatur), zabezpieczenie folderów z recepturami oraz backup offline 3-2-1.
• Rola 3: Audytor Zgodności ISO 27001 i Projektant Planu CAP - odpowiada za mapowanie luk na normę ISO/IEC 27001:2022 (klauzule 4-10 oraz Załącznik A), opracowanie tabelarycznego planu CAP z podziałem na 4 kwartały (Q1-Q4), budżetowanie i przypisanie właścicieli ryzyk. W zespole dwuosobowym zadania te dzielą Studenci 1 i 2.

Praca w zespole 2-3 osobowym polega na opracowaniu pragmatycznego raportu poaudytowego, który przekona zarząd przedsiębiorstwa produkcyjnego do inwestycji w bezpieczeństwo:

• Krok 1 (Podział ról i analiza wyników badania luk - Gap Analysis):

  Student 1: Definiuje profil wyjściowy organizacji: stopień spełnienia wymagań normy ISO/IEC 27001 wynosi zaledwie 28% (stan początkowy). Opracowuje strukturę raportu z akcentem na ścieżkę dojścia do 100% gotowości certyfikacyjnej w ciągu 12 miesięcy.

  Student 2: Rozwiązuje problem hal produkcyjnych. Zamiast nierealnego nakazu wpisywania 12-znakowych haseł przez pracowników rozbioru, projektuje logowanie za pomocą zbliżeniowych breloków RFID umieszczonych w wodoodpornych opaskach silikonowych na nadgarstku. Projektuje odizolowanie folderu 'Receptury' na serwerze z dostępem wyłącznie dla Technologa i Prezesa (szyfrowanie BitLocker/AES-256).

  Student 3: Buduje matrycę Planu Działań Korygujących (CAP) podzieloną na 4 etapy kwartalne: Q1 (Inwentaryzacja i organizacja), Q2 (Zabezpieczenia techniczne hal i biur), Q3 (Polityki, szkolenia i procedury), Q4 (Audyt certyfikacyjny i przegląd zarządzania).

• Krok 2 (Triangulacja dowodów audytowych):

  Zestawcie: zdjęcia terminali wagowych z naklejonymi hasłami, zrzuty uprawnień z serwera plików wykazujące pełny dostęp grupy 'Wszyscy' do receptur zakładowych, faktury za dyski USB i rejestr umów handlowych z sieciami handlowymi.

• Krok 3 (Kwalifikacja niezgodności ze standardem ISO 27001):

  Sformułujcie karty uchybień:

  1. Niezgodność krytyczna (NC1): Brak identyfikacji i kontroli dostępu do terminali ERP na halach produkcyjnych (naruszenie kontroli ISO 27001 A.8.2 i A.8.5).

  2. Niezgodność krytyczna (NC1): Brak ochrony aktywów krytycznych i tajemnicy przedsiębiorstwa - otwarty dostęp do receptur wędliniarskich (naruszenie kontroli ISO 27001 A.5.12 i A.8.3).

  3. Niezgodność zasadnicza (NC2): Brak inwentaryzacji aktywów teleinformatycznych i brak właścicieli aktywów (naruszenie klauzuli 9.2 oraz kontroli ISO 27001 A.5.9).

  4. Niezgodność zasadnicza (NC2): Brak odporności kopii zapasowych na atak ransomware - dysk USB podłączony na stałe online (naruszenie kontroli ISO 27001 A.8.13).

• Krok 4 (Konstrukcja planu CAP i budżetowanie napraw):

  Opracujcie operacyjny plan CAP zawierający:

  • Kolumny: Numer uchybienia, Zadanie naprawcze, Właściciel ryzyka (np. Kierownik Produkcji, Główny Technolog, Informatyk), Kwartał realizacji, Szacowany koszt (np. 15 opasek RFID z czytnikami - 4 500 zł; dysk NAS z migawkami niezmiennymi - 8 000 zł), Wskaźnik zakończenia.
• Krok 5 (Przygotowanie referatu i dokumentacji poaudytowej):

  Zredagujcie raport końcowy, przygotujcie przejrzysty harmonogram Ganta do prezentacji seminaryjnej i przeprowadźcie próbę obrony koncepcji.

Plan prezentacji referatu seminaryjnego (10-15 minut):

• Wprowadzenie i kontekst biznesowy audytu w Dolinie Baryczy (2 min): Presja sieci handlowych na wdrożenie ISO 27001, profil średniego przedsiębiorstwa spożywczego i cel pierwszego audytu (Student 1).
• Podsumowanie zarządcze dla Właściciela - bilans dojrzałości i ryzyko biznesowe (3 min): Prezentacja wyników Gap Analysis (28% dojrzałości), zagrożenia utratą 60% obrotów i strategiczne cele projektu (Student 1).
• Analiza techniczna ustaleń z hal produkcyjnych i biur (4 min): Odręczne hasła na wagach, brak ochrony receptur zakładowych, luki w kopiach zapasowych i demonstracja ergonomicznego rozwiązania RFID (Student 2).
• Czterokwartalny Plan Działań Korygujących (CAP), budżet i role (4 min): Szczegółowe omówienie etapów Q1-Q4, przypisanie odpowiedzialności kierownikom, kalkulacja kosztów (ok. 25 000 zł) i wskaźniki (Student 3 lub Student 2).
• Podsumowanie, wnioski dla sektora produkcyjnego MŚP i dyskusja (2 min): Odpowiedzi na pytania słuchaczy (cały zespół).

Wymagana treść pisemnego raportu i referatu studenckiego:

1. Odpowiedzi na pytania problemowe:

• Jakie specyficzne wyzwania wiążą się z przeprowadzaniem i raportowaniem pierwszego audytu wewnętrznego SZBI w organizacji, która nigdy wcześniej nie posiadała formalnych procedur bezpieczeństwa informacji?
• W jaki sposób audytor powinien dostosować zalecenia techniczne dotyczące kontroli dostępu do specyfiki hal produkcyjnych (temperatura chłodnicza, praca fizyczna w rękawicach), aby zalecenia były wykonalne i nie hamowały wydajności pracy?
• Jak prawidłowo skonstruować tabelaryczny Plan Działań Korygujących (CAP), aby stanowił dla Właściciela firmy realną mapę drogową (Roadmap) prowadzącą do uzyskania certyfikatu ISO/IEC 27001?

2. Opis stanu faktycznego Zakładów Mięsnych w Miliczu, schemat linii produkcyjnych, magazynów i sieci biurowej.

3. Wykres wskaźnika zgodności z normą ISO/IEC 27001:2022 (Gap Analysis) z rozbiciem na 4 domeny Załącznika A (Organizacyjne, Ludzie, Fizyczne, Technologiczne).

4. Szczegółowe rozwiązanie problemu - projekt raportu końcowego:

• Rozdział 1: Metryka audytu wewnętrznego SZBI i ramy metodyczne audytu zgodności.
• Rozdział 2: Podsumowanie Menedżerskie dla Zarządu (język korzyści biznesowych i obrony kontraktów handlowych).
• Rozdział 3: Szczegółowe ustalenia z audytu w halach produkcyjnych, dziale technologicznym i serwerowni.
• Rozdział 4: Karty niezgodności NC1/NC2 z mapowaniem na klauzule i kontrole normy ISO 27001.
• Rozdział 5: Czterokwartalny Plan Działań Korygujących (CAP) w formie harmonogramu z przypisaniem właścicieli ryzyk, budżetów i mierników.
• Rozdział 6: Wytyczne przygotowania firmy do audytu certyfikującego przez akredytowaną jednostkę certyfikującą.

5. Analiza zalet i wad zaproponowanego rozwiązania:

• Zalety: obrona kluczowych kontraktów z sieciami handlowymi, zabezpieczenie receptur będących największą wartością spółki, ergonomiczne logowanie brelokami RFID bez utraty tempa produkcji, pełna kontrola nad kosztami.
• Wady/wyzwania: konieczność zmiany nawyków pracowników fizycznych, nakład pracy technologa na sklasyfikowanie dokumentacji, dodatkowe obowiązki organizacyjne dla kierowników działów.

6. Bibliografia, netografia i odnośniki do normy PN-EN ISO/IEC 27001:2022, ISO 19011, Ustawy o zwalczaniu nieuczciwej konkurencji (tajemnica przedsiębiorstwa) i RODO.

• Norma PN-EN ISO/IEC 27001:2022: Systemy zarządzania bezpieczeństwem informacji - Wymagania: klauzula 9.2 (Audyt wewnętrzny), klauzula 9.3 (Przegląd zarządzania), klauzula 10.2 (Niezgodności i działania korygujące).
• Norma PN-EN ISO 19011:2018: Wytyczne dotyczące audytowania systemów zarządzania - punkt 6.5 (Raport z audytu), punkt 6.7 (Działania poaudytowe).
• Norma PN-EN ISO/IEC 27002:2022: Zabezpieczenia bezpieczeństwa informacji - kontrole A.5.9 (Inwentaryzacja informacji), A.5.12 (Klasyfikacja informacji), A.8.2 (Dostęp uprzywilejowany), A.8.5 (Uwierzytelnianie), A.8.13 (Kopie zapasowe).
• Ustawa z dnia 16 kwietnia 1993 r. o zwalczaniu nieuczciwej konkurencji (tekst jedn. Dz.U. z 2026 r. poz. 85) - art. 11 (tajemnica przedsiębiorstwa).
• Polska Izba Handlu: "Wymogi bezpieczeństwa łańcucha dostaw dla dostawców sieci handlowych", Warszawa 2023.
• Ministerstwo Rozwoju i Technologii: "Przewodnik po cyberbezpieczeństwie dla małych i średnich przedsiębiorstw produkcyjnych", Warszawa 2022.

• U4 Opracowanie pierwszego raportu z audytu wewnętrznego SZBI dla średniego przedsiębiorstwa.
• U1 Konstrukcja ustrukturyzowanego planu działań korygujących (CAP) i zaleceń inżynierskich RFID.
• U2 Przeprowadzenie analizy luk (Gap Analysis) i kwalifikacja niezgodności ISO 27001.
• U3 Szacowanie ryzyka biznesowego utraty kontraktów handlowych i kradzieży tajemnicy firmy.
• W1W2W3 Znajomość klauzul 9.2, 9.3 i 10.2 normy ISO 27001, tajemnicy przedsiębiorstwa i ISO 19011.
• K1K2K3 Pragmatyzm inżynierski, umiejętność komunikacji z przedsiębiorcami i kultura organizacyjna MŚP.

W trakcie wystąpienia seminaryjnego przedstawcie harmonogram CAP w ujęciu kwartalnym: wyjaśnijcie, dlaczego wdrożenie SZBI w firmie produkcyjnej nie może odbyć się 'z dnia na dzień' i dlaczego precyzyjne przypisanie zadań do konkretnych kierowników liniowych (a nie tylko do informatyka) decyduje o powodzeniu audytu certyfikującego.

Celem zadania jest wykształcenie u studentów umiejętności dokonywania translacji wysoce specjalistycznych ustaleń technicznych (pochodzących z testów penetracyjnych, automatycznych skanerów podatności oraz inspekcji kodu źródłowego) na język ryzyka operacyjnego, finansowego i regulacyjnego w raporcie końcowym kierowanym do Komitetu Audytu i Rady Nadzorczej instytucji płatniczej. Studenci analizują studium przypadku dynamicznie rosnącego fintechu PayQuick S.A. w Warszawie, oferującego aplikację mobilną oraz bramkę płatności internetowych dla sklepów online. Raport końcowy musi zintegrować wyniki technicznych testów bezpieczeństwa z nowymi wymogami unijnego Rozporządzenia w sprawie operacyjnej odporności cyfrowej sektora finansowego (DORA) oraz rygorystycznymi standardami bezpieczeństwa danych kart płatniczych (PCI DSS w wersji 4.0). Zadaniem grupy jest: sformułowanie przejrzystego raportu menedżerskiego, który wyjaśni członkom Komitetu Audytu (osobom o profilu finansowo-prawnym) konsekwencje wykrytych podatności API i braków retencji logów, stworzenie technicznego załącznika dowodowego dla inżynierów DevOps oraz opracowanie zaleceń poaudytowych chroniących spółkę przed utratą licencji Krajowej Instytucji Płatniczej (KIP).

Powiązanie z sylabusem i treściami programowymi:

• U4 Opracowanie zaawansowanego raportu poaudytowego integrującego techniczne wyniki testów penetracyjnych z biznesowym raportem zarządczym.
• U3 Szacowanie ryzyka operacyjnego i odporności cyfrowej w oparciu o wytyczne rozporządzenia DORA oraz metodykę scoringową CVSS v3.1.
• U2 Prawidłowa identyfikacja i kwalifikacja niezgodności ze standardem PCI DSS 4.0 oraz kontrolami Załącznika A normy ISO/IEC 27001:2022.
• U1 Opracowanie zaleceń inżynierskich dotyczących bezpiecznej architektury mikroserwisów, bramek API Gateway i retencji logów audytowych.
• W1 Znajomość regulacji prawnych sektora płatniczego (Ustawa o usługach płatniczych, rozporządzenie DORA, standardy PCI SSC).
• W2W3 Rozumienie relacji pomiędzy testami technicznymi (pentesty) a całościowym raportem z audytu bezpieczeństwa informacji zgodnie z ISO 19011.
• K1K2K3 Zdolność do precyzyjnej i odpowiedzialnej komunikacji ryzyk technologicznych organom nadzorczym spółki kapitałowej.
• Powiązanie z wykładem: Wyk1 (Audyt w sektorze FinTech), Wyk2 (Zasady raportowania ISO 19011), Wyk3 (Kontrole A.8 ISO 27001), Wyk4 (Rozporządzenie DORA i PCI DSS), Wyk6 (Dowody audytowe z testów technicznych i logów), Wyk7 (Raport dla Komitetu Audytu i translacja ustaleń technicznych).

PayQuick S.A. to licencjonowana Krajowa Instytucja Płatnicza (KIP) nadzorowana przez KNF, obsługująca miesięcznie 3,5 miliona transakcji płatniczych o wartości ponad 400 mln zł. Spółka eksploatuje chmurową architekturę mikroserwisową (Kubernetes w chmurze AWS) oraz aplikację mobilną dla systemów Android i iOS.

Stan faktyczny w obszarze technicznym zbadanym przez zespół audytorski:

• Podatność krytyczna w interfejsie programistycznym API bramki płatniczej: Testy penetracyjne ujawniły obecność luki typu BOLA/IDOR (Broken Object Level Authorization) w mikroserwisie płatności. Zmiana parametru identyfikatora transakcji ('transaction_id') w nagłówku zapytania HTTP pozwalała zalogowanemu użytkownikowi na podejrzenie szczegółów transakcji innego klienta (w tym zamaskowanego numeru karty PAN, imienia, nazwiska i kwoty płatności). Luka została sklasyfikowana jako CVSS 8.5 (High).
• Niezgodność w obszarze retencji logów zdarzeń bezpieczeństwa: Zgodnie z wymogiem 10.5.1 standardu PCI DSS 4.0 instytucja płatnicza musi przechowywać pełną historię logów zdarzeń przez minimum 12 miesięcy, przy czym 3 miesiące logów musi być natychmiast dostępnych do analizy. Rozporządzenie DORA wymaga natomiast odpowiednich mechanizmów zapisywania zdarzeń, ich monitorowania i ochrony (art. 9 ust. 4, art. 10) oraz właściwej polityki kopii zapasowych (art. 12), ale nie narzuca sztywnego dwunastomiesięcznego okresu retencji. Audyt wykazał, że z powodu oszczędności na przestrzeni dyskowej logi z klastrów Kubernetes były automatycznie kasowane po upływie zaledwie 14 dni, co uniemożliwia jakąkolwiek analizę retrospektywną po ewentualnym incydencie.
• Brak mechanizmów ograniczania liczby żądań (Rate Limiting): Punkty końcowe logowania do aplikacji mobilnej nie posiadały blokady liczby prób, co umożliwiało przeprowadzanie zautomatyzowanych ataków typu Credential Stuffing.

Komitet Audytu przy Radzie Nadzorczej PayQuick S.A. oczekuje raportu końcowego, który w sposób wolny od żargonu informatycznego wyjaśni, czy fintech jest narażony na kary KNF z tytułu DORA oraz utratę certyfikatu PCI DSS, przedstawiając jednocześnie precyzyjny załącznik techniczny dla programistów i architektów chmury.

W skład zespołu wchodzą studenci realizujący następujące role:

• Rola 1: Audytor Wiodący / Sprawozdawca dla Komitetu Audytu - odpowiada za przygotowanie części menedżerskiej raportu, translację pojęć technicznych na kategorie ryzyka operacyjnego i reputacyjnego, analizę konsekwencji w świetle DORA i poprowadzenie referatu.
• Rola 2: Audytor Techniczny Cyberbezpieczeństwa Aplikacji i Chmury - analizuje luki IDOR w API, brak retencji logów w klastrach chmurowych i podatności Rate Limiting, opracowuje techniczny aneks do raportu (Proof of Concept, zrzuty żądań HTTP, konfiguracje API Gateway) i formułuje zalecenia SMART dla inżynierów.
• Rola 3: Audytor Zgodności Regulacyjnej FinTech (DORA & PCI DSS) - odpowiada za formalną kwalifikację uchybień w odniesieniu do wymagań PCI DSS 4.0 (wymóg 6 i 10), rozporządzenia DORA (art. 8-12) oraz Ustawy o usługach płatniczych, opracowuje harmonogram CAP i mierniki KRI. W zespole dwuosobowym zadania te dzielą Studenci 1 i 2.

Praca w zespole 2-3 osobowym polega na skonstruowaniu dwupoziomowego raportu łączącego syntetyczny język menedżerski z precyzją inżynierii oprogramowania:

• Krok 1 (Podział ról i koncepcja dwupoziomowego raportu):

  Student 1: Bada profil odbiorcy: członkowie Komitetu Audytu to bankowcy i prawnicy. Tworzy słownik translacji (np. zamiast pisać o luce BOLA/IDOR, wyjaśnia: 'Luka w autoryzacji pozwalająca na nieautoryzowany wgląd w dane transakcyjne obcych klientów, skutkująca naruszeniem tajemnicy bankowej i karami UODO/KNF').

  Student 2: Przygotowuje techniczny załącznik audytowy dla programistów: opis wektora ataku, zanonimizowane wycinki kodu źródłowego, rekomendację wdrożenia bibliotek weryfikacji tokenów JWT oraz konfiguracji mechanizmu Rate Limiting na poziomie AWS WAF i API Gateway (np. max 5 żądań na minutę na adres IP).

  Student 3: Dokonuje formalnego mapowania uchybień na konkretne artykuły DORA (operacyjna odporność cyfrowa) oraz punkty kontrolne PCI DSS 4.0. Przygotowuje wycenę ryzyk prawnych i plan CAP.

• Krok 2 (Triangulacja dowodów audytowych):

  Zestawcie: raport z testów penetracyjnych API, zrzuty żądań HTTP Burp Suite, pliki konfiguracyjne retencji logów Amazon CloudWatch (retention policy = 14 days), umowę licencyjną z organizacjami płatniczymi Visa/Mastercard oraz rejestr incydentów fintechu.

• Krok 3 (Kwalifikacja niezgodności i ocena ryzyka CVSS/DORA):

  Sformułujcie karty ustaleń audytowych:

  1. Niezgodność krytyczna (NC1): Podatność BOLA/IDOR w API transakcyjnym (PCI DSS 4.0 wymóg 6.2.4, ISO 27001 A.8.26 i A.8.28, CVSS 8.5) - ryzyko wycieku danych kartowych.

  2. Niezgodność zasadnicza (NC2): Naruszenie wymogu retencji i dostępności logów audytowych (PCI DSS 4.0 wymóg 10.5.1, DORA art. 9 ust. 4 i art. 10 - zapisywanie i monitorowanie zdarzeń, oraz art. 12 - kopie zapasowe i odtwarzanie, ISO 27001 A.8.15).

  3. Niezgodność zasadnicza (NC2): Brak mechanizmów ograniczania liczby nieudanych prób uwierzytelniania i blokady konta po ich przekroczeniu oraz brak ograniczania dostępu do zasobów (PCI DSS 4.0 wymóg 8.3.4, DORA art. 9 ust. 4).

  4. Szansa na doskonalenie (OFI): Wdrożenie automatycznego skanowania kodu SAST/DAST w pipeline CI/CD przed każdym wdrożeniem produkcyjnym.

• Krok 4 (Strukturyzacja raportu poaudytowego i planu CAP):

  Zredagujcie raport składający się z:

  • Części I: Menedżerskie sprawozdanie dla Komitetu Audytu (wpływ na licencję KIP, ryzyko sankcji administracyjnych wynikających z art. 50 rozporządzenia DORA oraz z ustawy o usługach płatniczych, wskaźniki KRI).
  • Części II: Szczegółowe ustalenia regulacyjne (PCI DSS i DORA).
  • Części III: Techniczny Aneks Inżynierski (Proof of Concept, wytyczne bezpiecznego kodowania, konfiguracja AWS S3 Glacier do taniej retencji logów przez 365 dni).
  • Części IV: Plan Działań Korygujących (CAP) ze sztywnym terminem 14 dni na poprawkę API (Hotfix).
• Krok 5 (Przygotowanie referatu i dokumentacji poaudytowej):

  Zintegrujcie dokument, opracujcie slajdy prezentujące translację techniczną na ryzyko biznesowe i przećwiczcie wystąpienie.

Plan prezentacji referatu seminaryjnego (10-15 minut):

• Wprowadzenie i ramy regulacyjne audytu w PayQuick S.A. (2 min): Rola instytucji płatniczej, wymagania DORA i PCI DSS 4.0 oraz cele badania odporności cyfrowej (Student 1).
• Sprawozdanie dla Komitetu Audytu - translacja zagrożeń technicznych (3 min): Przedstawienie wykrytych luk w języku ryzyk operacyjnych, prawnych i biznesowych (Student 1).
• Techniczna analiza podatności: luka BOLA w API, retencja logów i brak Rate Limitingu (4 min): Szczegółowe omówienie wektorów ataku, zrzutów żądań HTTP i konfiguracji chmurowych AWS (Student 2).
• Zgodność regulacyjna, plan naprawczy CAP i architektura bezpieczeństwa (4 min): Wdrożenie nagłówków autoryzacyjnych, tania archiwizacja logów w S3 Glacier, harmonogram CAP i mierniki KRI (Student 3 lub Student 2).
• Podsumowanie, wnioski dla sektora FinTech i dyskusja (2 min): Odpowiedzi na pytania słuchaczy (cały zespół).

Wymagana treść pisemnego raportu i referatu studenckiego:

1. Odpowiedzi na pytania problemowe:

• Na czym polega umiejętność dokonywania translacji wysoce specjalistycznych ustaleń z testów penetracyjnych (np. luki IDOR/BOLA o wskaźniku CVSS 8.5) na język ryzyka biznesowego zrozumiałego dla członków Rady Nadzorczej i Komitetu Audytu?
• Jakie rygorystyczne wymagania w zakresie retencji logów zdarzeń teleinformatycznych nakłada na instytucje finansowe rozporządzenie DORA oraz standard PCI DSS 4.0 i jak zoptymalizować koszty takiego składowania w chmurze?
• Czym różni się raport poaudytowy sporządzany dla organów statutowych spółki od technicznego raportu z testów penetracyjnych przekazywanego zespołowi programistów DevOps?

2. Opis stanu faktycznego architektury chmurowej PayQuick S.A. i wolumenu przetwarzanych transakcji.

3. Tabela translacji pojęć technicznych na kategorie ryzyka operacyjnego i biznesowego.

4. Szczegółowe rozwiązanie problemu - projekt dwupoziomowego raportu końcowego:

• Część Menedżerska: Podsumowanie dla Komitetu Audytu, profil ryzyka odporności cyfrowej DORA, ocena zgodności ze standardem PCI DSS 4.0.
• Część Analityczna: Karty niezgodności NC1/NC2 z dokładnym mapowaniem na wymogi DORA i PCI DSS.
• Aneks Inżynierski: Opis podatności IDOR wraz z zalecanym kodem naprawczym weryfikacji tokenów sesyjnych, konfiguracja polityk retencji AWS S3 Glacier (12 miesięcy logów) oraz reguły Rate Limitingu.
• Plan Działań Korygujących (CAP): Harmonogram prac naprawczych z trybem pilnym (Hotfix 14 dni na lukę API).

5. Analiza zalet i wad zaproponowanego rozwiązania:

• Zalety: natychmiastowa likwidacja luki grożącej utratą licencji KIP i certyfikatu PCI DSS, pełna transparentność przed Komitetem Audytu, tania i bezpieczna archiwizacja logów w chmurze, odporność na ataki brute-force.
• Wady/wyzwania: konieczność zatrzymania części nowych prac rozwojowych na rzecz załatania długu technologicznego w API, koszty konfiguracji reguł AWS WAF, wymóg przeprowadzenia retestów bezpieczeństwa.

6. Bibliografia, netografia i odnośniki do rozporządzenia DORA, standardu PCI DSS 4.0, Ustawy o usługach płatniczych i metodyki CVSS.

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyfrowej sektora finansowego (DORA) - art. 8 (Identyfikacja), art. 9 (Ochrona i zapobieganie), art. 10 (Wykrywanie), art. 11 (Reagowanie i odzyskiwanie) oraz art. 12 (Polityka kopii zapasowych oraz procedury, metody i sposoby odtwarzania).
• Payment Card Industry Security Standards Council (PCI SSC): "Payment Card Industry Data Security Standard (PCI DSS) Requirements and Testing Procedures v4.0", Wakefield 2022 - wymogi 6, 8 i 10.
• Ustawa z dnia 19 sierpnia 2011 r. o usługach płatniczych (tekst jedn. Dz.U. z 2026 r. poz. 623).
• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - kontrole A.8.15 (Rejestrowanie zdarzeń), A.8.26 (Wymagania bezpieczeństwa aplikacji), A.8.28 (Bezpieczne kodowanie).
• OWASP Top 10 API Security Risks (edycja 2023): API1:2023 - Broken Object Level Authorization (BOLA).
• First: "Common Vulnerability Scoring System v3.1: Specification Document", FIRST.Org 2019.

• U4 Opracowanie zaawansowanego raportu poaudytowego z dwupoziomową strukturą odbiorców.
• U3 Szacowanie ryzyka operacyjnego i punktacja podatności technicznych wg skali CVSS v3.1.
• U2 Precyzyjna klasyfikacja niezgodności w odniesieniu do PCI DSS 4.0 i rozporządzenia DORA.
• U1 Opracowanie zaleceń inżynierskich dotyczących bezpiecznego API i długoterminowej retencji logów.
• W1W2W3 Znajomość wymogów DORA, standardu PCI DSS, prawa usług płatniczych i normy ISO 27001.
• K1K2K3 Odpowiedzialność za komunikację ryzyk technologicznych organom nadzorczym spółki.

W trakcie wystąpienia seminaryjnego zaprezentujcie tabelę 'słownika translacji': pokażcie na konkretnym przykładzie, jak audytor powinien opisać lukę BOLA/IDOR, aby członek Komitetu Audytu nieznający programowania zrozumiał, że grozi ona natychmiastowym wyciekiem danych kartowych i sankcjami finansowymi ze strony KNF i UODO.

Głównym celem zadania jest nabycie przez studentów umiejętności opracowywania raportu końcowego z audytu bezpieczeństwa informacji w podmiocie świadczącym profesjonalne usługi prawnicze, w którym kluczowym kryterium jest ochrona tajemnicy zawodowej (adwokackiej, radcowskiej i obrończej). Studenci badają studium przypadku renomowanej kancelarii prawnej ProKancelaria Adwokacka i Radcowska w Katowicach, w której po pandemii utrwalił się model pracy hybrydowej (częściowo w biurze, częściowo w domach prawników i w podróżach do sądów). Wyzwaniem zadania jest: sformułowanie raportu poaudytowego, który w sposób wyważony połączy rygoryzm ochrony informacji poufnych (wynikający z Kodeksu Etyki Adwokackiej, ustawy - Prawo o adwokaturze, ustawy o radcach prawnych oraz RODO) z dużą dynamiką i mobilnością pracy prawników procesowych, opracowanie zaleceń inżynierskich i organizacyjnych (szyfrowanie dysków i poczty, polityka czystego biurka i czystego ekranu, bezpieczna chmura firmowa zamiast darmowych dysków prywatnych) oraz przedstawienie wspólnikom zarządzającym raportu końcowego budującego kulturę bezpieczeństwa kancelarii.

Powiązanie z sylabusem i treściami programowymi:

• U4 Opracowanie profesjonalnego, ustrukturyzowanego raportu z audytu poufności informacji dla wspólników kancelarii prawnej.
• U2 Identyfikacja i klasyfikacja niezgodności organizacyjnych, proceduralnych i technicznych w oparciu o normę PN-EN ISO/IEC 27001:2022 oraz przepisy o tajemnicach zawodowych.
• U1 Opracowanie zaleceń inżynierskich wdrożenia bezpiecznych narzędzi kryptograficznych (szyfrowanie BitLocker/FileVault, bezpieczny komunikator Signal/Element, poczta szyfrowana S/MIME).
• U3 Przeprowadzenie analizy ryzyka ujawnienia tajemnicy obrończej, utraty reputacji kancelarii oraz odpowiedzialności dyscyplinarnej i odszkodowawczej prawników.
• W1 Znajomość przepisów prawnych dotyczących tajemnicy adwokackiej i radcowskiej (art. 6 Prawa o adwokaturze, art. 3 Ustawy o radcach prawnych, Kodeks postępowania karnego) oraz art. 9 i 32 RODO.
• W2W3 Rozumienie relacji pomiędzy wymaganiami normy ISO/IEC 27001:2022 (kontrole A.7.7 Czyste biurko i ekran, A.8.24 Krypto-zabezpieczenia, A.6.7 Praca zdalna) a etyką prawniczą.
• K1K2K3 Poszanowanie tajemnicy zawodowej, wysoka kultura słowa, etyczna postawa audytora w kontakcie z dokumentacją procesową objętą klauzulami poufności.
• Powiązanie z wykładem: Wyk1 (Audyt ochrony tajemnic prawnie chronionych), Wyk2 (Zasady audytowania ISO 19011), Wyk3 (Kontrole A.6, A.7 i A.8 ISO 27001), Wyk4 (RODO i tajemnice zawodowe), Wyk7 (Raport dla wspólników i kultura bezpieczeństwa).

ProKancelaria zatrudnia 18 adwokatów i radców prawnych, 8 aplikantów oraz 4 pracowników sekretariatu, obsługując skomplikowane procesy karne gospodarcze (White-Collar Crime), transakcje fuzji i przejęć (M&A) oraz spory korporacyjne o wielomilionowej wartości. W kancelarii wprowadzono pełną elastyczność pracy hybrydowej.

Stan faktyczny w obszarze zbadanym przez zespół audytorski:

• Przechowywanie akt spraw na prywatnych, darmowych dyskach chmurowych: Prawnicy i aplikanci, aby mieć dostęp do pism procesowych w sądach i w domach, masowo kopiowali akta spraw, skany dowodów oraz projekty umów na prywatne konta w usługach Dropbox, Google Drive i OneDrive, bez zgody administratora i bez zawarcia umów powierzenia przetwarzania danych (art. 28 RODO).
• Brak szyfrowania nośników i komputerów przenośnych: Laptopy służbowe używane przez prawników w podróżach służbowych (pociągi, hotele, sale sądowe) nie posiadały włączonego szyfrowania dysków twardych (brak BitLocker/FileVault). Prawnicy korzystali z otwartych, publicznych sieci Wi-Fi w sądach i kawiarniach bez zestawiania tunelu VPN do kancelarii.
• Rażące naruszenia polityki czystego biurka w siedzibie kancelarii: Inspekcja wieczorna w siedzibie biura ujawniła, że w sekretariacie oraz w pokojach mecenasów na biurkach pozostawiono otwarte akta spraw karnych z jawnymi nazwiskami świadków i oskarżonych, a sale konferencyjne, w których przyjmowani są klienci, nie były zamykane na klucz, pozostawiając swobodny dostęp do szaf z dokumentami archiwalnymi.
• Korespondencja z klientami: Poufne opinie prawne i projekty ugód przesyłano za pośrednictwem standardowej, nieszyfrowanej poczty e-mail, nierzadko z prywatnych skrzynek pocztowych prawników w portalach komercyjnych (np. wp.pl, gmail.com).

Wspólnicy Zarządzający ProKancelarii oczekują raportu poaudytowego, który wskaże konkretne rozwiązania technologiczne i organizacyjne chroniące tajemnicę adwokacką i radcowską, a jednocześnie nie ograniczy elastyczności niezbędnej w pracy procesowej mecenasów.

W skład zespołu wchodzą studenci realizujący następujące role:

• Rola 1: Audytor Wiodący / Doradca ds. Bezpieczeństwa Korporacji Prawniczych - odpowiada za metrykę audytu, zredagowanie syntezy zarządczej dla Wspólników Zarządzających z analizą odpowiedzialności dyscyplinarnej i odszkodowawczej mecenasów oraz koordynację referatu.
• Rola 2: Audytor Techniczny Mobilności i Kryptografii - analizuje zagrożenia związane z darmowymi chmurami konsumenckimi, publicznym Wi-Fi i nieszyfrowanymi dyskami, projektuje wdrożenie bezpiecznej chmury kancelaryjnej z szyfrowaniem end-to-end, wymuszenie BitLocker/FileVault, konfigurację VPN i formułuje zalecenia SMART.
• Rola 3: Audytor Zgodności Etyczno-Prawnej i Organizacyjnej - odpowiada za kwalifikację prawną uchybień w świetle Prawa o adwokaturze, Kodeksu Etyki Adwokackiej, RODO i ISO 27001 (kontrole A.7.7, A.6.7), redaguje Politykę Czystego Biurka i Ekranu oraz tworzy plan CAP. W zespole dwuosobowym zadania te dzielą Studenci 1 i 2.

Praca w zespole 2-3 osobowym polega na przygotowaniu raportu końcowego, który pogodzi wysokie wymogi bezpieczeństwa informacji z realiami codziennej pracy prawnika procesowego:

• Krok 1 (Podział ról i analiza uwarunkowań prawniczych):

  Student 1: Bada specyfikę tajemnicy adwokackiej (art. 6 Prawa o adwokaturze - tajemnica jest nieograniczona w czasie i nikt nie może z niej zwolnić adwokata co do faktów powierzonych w obronie). Tworzy wstęp raportu akcentujący ryzyko immunitetu zawodowego.

  Student 2: Projektuje architekturę techniczną: zastąpienie prywatnych dysków Dropbox wdrożeniem bezpiecznej, audytowanej chmury korporacyjnej Nextcloud/Microsoft 365 for Legal z polskim/unijnym data center, wdrożenie centralnego zarządzania urządzeniami mobilnymi (MDM - Microsoft Intune) wymuszającego szyfrowanie dysków i kod PIN, wdrożenie automatycznego tunelu Always-On VPN.

  Student 3: Opracowuje procedury organizacyjne: Politykę Czystego Biurka i Czystego Ekranu (zamykanie akt w szafach pancernych przed opuszczeniem kancelarii, blokowanie ekranu Win+L), procedurę niszczenia brudnopisów pism procesowych w niszczarkach klasy DIN 66399 P-4 oraz harmonogram CAP.

• Krok 2 (Triangulacja dowodów audytowych):

  Zestawcie: dokumentację fotograficzną pozostawionych akt na biurkach po godzinach pracy, zrzuty ekranu z laptopów wykazujące status braku szyfrowania dysków (manage-bde -status), listę aplikacji zainstalowanych na stacjach mecenasów (obecność prywatnych klientów chmurowych) oraz wykaz skrzynek pocztowych, z których wysyłano pisma do sądów.

• Krok 3 (Kwalifikacja niezgodności i ocena ryzyka):

  Sformułujcie karty ustaleń audytowych:

  1. Niezgodność krytyczna (NC1): Przetwarzanie dokumentów objętych bezwzględną tajemnicą obrończą w darmowych, konsumenckich chmurach publicznych bez umów powierzenia (naruszenie art. 6 Prawa o adwokaturze, art. 28 i 32 RODO, kontroli ISO 27001 A.5.23).

  2. Niezgodność krytyczna (NC1): Brak szyfrowania dysków twardych laptopów używanych poza kancelarią oraz brak ochrony transmisji w sieciach otwartych (naruszenie art. 32 RODO, kontroli ISO 27001 A.8.24 i A.6.7).

  3. Niezgodność zasadnicza (NC2): Rażący brak stosowania polityki czystego biurka i otwarty dostęp do akt spraw w biurze (naruszenie kontroli ISO 27001 A.7.7).

  4. Niezgodność drobna (NC3): Brak standaryzacji bezpiecznej poczty elektronicznej i wysyłka korespondencji z prywatnych kont e-mail.

  5. Szansa na doskonalenie (OFI): Wdrożenie podpisu kwalifikowanego i bezpiecznego repozytorium wymiany dokumentów z klientami z uwierzytelnianiem MFA.

• Krok 4 (Strukturyzacja zaleceń i planu działań korygujących CAP):

  Zredagujcie raport końcowy z podziałem na:

  • Zalecenia natychmiastowe (wymuszenie BitLocker przez skrypt GPO/MDM w 7 dni, zakup zamykanych szaf na akta).
  • Zalecenia systemowe (wdrożenie bezpiecznej chmury, migracja danych, regulamin pracy hybrydowej).
  • Szkolenie i warsztat dla adwokatów i aplikantów z zakresu bezpiecznej pracy zdalnej.
• Krok 5 (Przygotowanie referatu i dokumentacji poaudytowej):

  Zintegrujcie dokumenty, przygotujcie wystąpienie ustne i przećwiczcie argumentację przed salą.

Plan prezentacji referatu seminaryjnego (10-15 minut):

• Wprowadzenie i ramy etyczno-prawne audytu w ProKancelarii (2 min): Status tajemnicy adwokackiej i radcowskiej, model pracy hybrydowej i cele audytu (Student 1).
• Podsumowanie zarządcze dla Wspólników Kancelarii (3 min): Ryzyko odpowiedzialności dyscyplinarnej mecenasów, utraty immunitetu tajemnicy obrończej i szkód reputacyjnych (Student 1).
• Szczegółowe ustalenia techniczne i organizacyjne (4 min): Prywatne dyski chmurowe, brak szyfrowania laptopów w podróżach, naruszenia czystego biurka (Student 2).
• Zalecenia inżynierskie i organizacyjne, polityka czystego biurka oraz plan CAP (4 min): Wdrożenie bezpiecznej chmury, MDM/BitLocker, procedury ochrony akt i harmonogram naprawczy (Student 3 lub Student 2).
• Podsumowanie, wnioski dla sektora prawniczego i dyskusja (2 min): Odpowiedzi na pytania słuchaczy i prowadzącego (cały zespół).

Wymagana treść pisemnego raportu i referatu studenckiego:

1. Odpowiedzi na pytania problemowe:

• Jakie konsekwencje prawne, dyscyplinarne i procesowe rodzi naruszenie tajemnicy adwokackiej lub obrończej w wyniku kradzieży niezaszyfrowanego laptopa prawnika z aktami sprawy karnej?
• Dlaczego korzystanie przez prawników z darmowych, komercyjnych dysków chmurowych (Dropbox, Google Drive) narusza zarówno przepisy RODO (brak umowy art. 28), jak i podstawowe zasady etyki zawodowej?
• W jaki sposób sformułować Politykę Czystego Biurka i Czystego Ekranu (ISO 27001 A.7.7), aby była realna do stosowania w dynamicznie funkcjonującej kancelarii prawnej i nie paraliżowała przygotowywania pism procesowych?

2. Opis stanu faktycznego ProKancelarii, struktura personelu i profil prowadzonych spraw.

3. Dokumentacja fotograficzna i techniczna stwierdzonych uchybień audytowych.

4. Szczegółowe rozwiązanie problemu - projekt raportu końcowego:

• Rozdział 1: Metryka audytu, podstawa formalna i specyfika badania ochrony tajemnic prawnie chronionych.
• Rozdział 2: Podsumowanie dla Wspólników Zarządzających (ujęcie biznesowe, wizerunkowe i etyczne).
• Rozdział 3: Karty niezgodności NC1/NC2/NC3 z odniesieniem do ISO 27001, RODO i Kodeksu Etyki Adwokackiej.
• Rozdział 4: Projekt techniczny: korporacyjna chmura kancelaryjna, centralny system MDM, obowiązkowe szyfrowanie BitLocker/FileVault i Always-On VPN.
• Rozdział 5: Projekt procedury organizacyjnej: Polityka Czystego Biurka, Czystego Ekranu oraz Bezpiecznego Obiegu Akt.
• Rozdział 6: Plan Działań Korygujących (CAP) z harmonogramem wdrożeń, budżetem i szkoleniami personelu.

5. Analiza zalet i wad zaproponowanego rozwiązania:

• Zalety: bezwzględna ochrona tajemnicy obrończej i radcowskiej, prestiż i bezpieczeństwo klientów korporacyjnych, legalna i wygodna praca hybrydowa na certyfikowanych narzędziach, zgodność z RODO i ISO 27001.
• Wady/wyzwania: konieczność rezygnacji prawników z prywatnych przyzwyczajeń i darmowych narzędzi, koszt zakupu licencji chmurowych i systemu MDM, dyscyplina chowania akt do szaf przed wyjściem z biura.

6. Bibliografia, netografia i odnośniki do Prawa o adwokaturze, Kodeksu Etyki Adwokackiej, RODO i norm ISO.

• Ustawa z dnia 26 maja 1982 r. - Prawo o adwokaturze (tekst jedn. Dz.U. z 2024 r. poz. 1564) - art. 6 (tajemnica adwokacka).
• Ustawa z dnia 6 lipca 1982 r. o radcach prawnych (tekst jedn. Dz.U. z 2024 r. poz. 499) - art. 3 (tajemnica zawodowa radcy prawnego).
• Naczelna Rada Adwokacka: "Zbiór Zasad Etyki Adwokackiej i Godności Zawodu (Kodeks Etyki Adwokackiej)", Warszawa 2021.
• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - kontrole A.6.7 (Praca zdalna), A.7.7 (Czyste biurko i czysty ekran), A.8.24 (Krypto-zabezpieczenia), A.5.23 (Bezpieczeństwo informacji w usługach chmurowych).
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 9 (Przetwarzanie szczególnych kategorii danych), art. 28 (Powierzenie przetwarzania), art. 32 (Bezpieczeństwo przetwarzania).
• Krajowa Izba Radców Prawnych: "Rekomendacje dotyczące cyberbezpieczeństwa kancelarii radcowskich", Warszawa 2022.

• U4 Opracowanie raportu z audytu poufności informacji w sektorze usług prawnych.
• U1 Projekt zaleceń inżynierskich kryptografii, bezpiecznej chmury i polityki czystego biurka.
• U2 Precyzyjna kwalifikacja uchybień w odniesieniu do tajemnic zawodowych i normy ISO 27001.
• U3 Szacowanie ryzyka utraty immunitetu tajemnicy adwokackiej i roszczeń odszkodowawczych.
• W1W2W3 Znajomość przepisów prawa o adwokaturze, etyki zawodowej, RODO i norm ISO 27001/ISO 19011.
• K1K2K3 Najwyższy szacunek dla tajemnicy zawodowej, profesjonalizm i etyka audytorska.

W prezentacji referatu zwróćcie uwagę na konflikt pomiędzy wygodą pracy mecenasów a bezwzględnym charakterem tajemnicy adwokackiej: pokażcie, jak profesjonalny raport audytowy przekonuje prawników, że nowoczesne narzędzia kryptograficzne (BitLocker, chmura z szyfrowaniem end-to-end) nie utrudniają pracy, lecz chronią ich przed utratą prawa do wykonywania zawodu.

Głównym celem zadania jest opanowanie przez studentów umiejętności opracowywania raportu z audytu weryfikacyjnego (Follow-up Audit / audyt sprawdzający) zgodnie z wytycznymi normy PN-EN ISO 19011:2018 (punkt 6.7) oraz formalnego zamykania procesu audytowego (punkt 6.6). Studenci wcielają się w zespół audytorski powracający po 6 miesiącach do Zakładu Komunikacji Miejskiej w Bydgoszczy (spółka komunalna) w celu zweryfikowania stopnia i skuteczności realizacji zaleceń poaudytowych wydanych w audycie pierwotnym. Badaniem objęto infrastrukturę teleinformatyczną zainstalowaną w 200 pojazdach (autobusach i tramwajach), obejmującą: mobilne biletomaty bezgotówkowe, kasowniki z funkcją płatności kartą (Open Payment System), komputery pokładowe oraz kamery monitoringu wizyjnego (CCTV). Zadanie wymaga: obiektywnej oceny stanu realizacji 8 pierwotnych zaleceń (zidentyfikowanie zaleceń wdrożonych w pełni, wdrożonych częściowo oraz niewdrożonych), ponownego oszacowania poziomu ryzyka rezydualnego (ryzyka szczątkowego), sformułowania ostatecznego Protokołu Zamknięcia Audytu oraz przygotowania sprawozdania dla Prezydenta Miasta Bydgoszczy i Rady Nadzorczej spółki.

Powiązanie z sylabusem i treściami programowymi:

• U4 Opracowanie profesjonalnego raportu z audytu weryfikacyjnego (Follow-up Audit Report) oraz protokołu formalnego zamknięcia audytu.
• U2 Ocena skuteczności podjętych działań korygujących, weryfikacja dowodów wdrożenia zaleceń oraz kwalifikacja ryzyk rezydualnych.
• U3 Przeprowadzenie analizy ryzyka rezydualnego (Residual Risk) w relacji do pierwotnego profilu ryzyka organizacji zgodnie z ISO 27005.
• U1 Opracowanie zaleceń uzupełniających dla zadań wdrożonych częściowo lub niewdrożonych w systemach mobilnych IoT/OT transportu.
• W1 Znajomość zasad funkcjonowania podmiotów użyteczności publicznej, przepisów Ustawy o publicznym transporcie zbiorowym, RODO i standardów płatności EMV.
• W2W3 Rozumienie pełnego cyklu audytowego według ISO 19011:2018 (od planowania, przez audyt pierwotny, działania poaudytowe, po audyt weryfikacyjny i zamknięcie procesu - punkty 6.6 i 6.7).
• K1K2K3 Obiektywizm, rzetelność i nieustępliwość audytorska w ocenie rzeczywistego stanu wdrożenia zaleceń, odporność na próby powierzchownego zamykania ustaleń.
• Powiązanie z wykładem: Wyk1 (Rola audytu w infrastrukturze komunalnej), Wyk2 (Zasady audytowania, audyty Follow-up i zamknięcie audytu ISO 19011), Wyk3 (Kontrole A.8 ISO 27001), Wyk5 (Szacowanie ryzyka rezydualnego ISO 27005), Wyk7 (Raportowanie zaawansowane, ocena skuteczności działań korygujących).

Zakład Komunikacji Miejskiej w Bydgoszczy Sp. z o.o. przewozi rocznie 75 milionów pasażerów, eksploatując flotę 160 autobusów i 40 tramwajów. Sześć miesięcy wcześniej zewnętrzny audyt bezpieczeństwa teleinformatycznego wykazał liczne uchybienia w mobilnych systemach pokładowych i sformułował 8 zaleceń naprawczych.

Stan faktyczny stwierdzony podczas audytu weryfikacyjnego (Follow-up):

• Zalecenie 1 (Wymuszenie szyfrowania transmisji danych transakcyjnych z biletomatów do centrum rozliczeniowego protokołem TLS 1.3): Zweryfikowano pozytywnie - wdrożono w 100% pojazdów (Status: Zamknięte).
• Zalecenie 2 (Segmentacja sieci pokładowej pojazdu na VLAN-y: odizolowanie kamer monitoringu CCTV od terminali płatniczych kasowników): Zweryfikowano pozytywnie - na wszystkich routerach pokładowych wdrożono separację stref sieciowych (Status: Zamknięte).
• Zalecenie 3 (Wdrożenie centralnego systemu zarządzania poprawkami i oprogramowaniem komputerów pokładowych MDM): Zweryfikowano pozytywnie - wdrożono agenta zarządzającego we flocie (Status: Zamknięte).
• Zalecenie 4 (Zabezpieczenie fizyczne portów USB i Ethernet w biletomatach przed podłączeniem nakładek skimmerów): Zweryfikowano pozytywnie - zamontowano plomby mechaniczne i czujniki otwarcia obudowy (Status: Zamknięte).
• Zalecenie 5 (Wdrożenie automatycznej retencji nagrań monitoringu CCTV do maksymalnie 30 dni zgodnie z RODO): Zweryfikowano pozytywnie - skrócono czas nadpisywania dysków rejestratorów (Status: Zamknięte).
• Zalecenie 6 (Wdrożenie pokładowych zapór sieciowych Firewall z blokadą nieautoryzowanego ruchu zewnętrznego): Wdrożono częściowo - nowe zapory zainstalowano jedynie w 50 najnowszych tramwajach i autobusach; w 150 starszych pojazdach ze względu na ograniczenia sprzętowe routerów prace zawieszono (Status: Częściowo wdrożone / W toku).
• Zalecenie 7 (Wdrożenie procedury bezpiecznego wgrywania rozkładów jazdy przez Wi-Fi w zajezdni z certyfikatem WPA3-Enterprise): Wdrożono częściowo - sieć Wi-Fi skonfigurowano w zajezdni tramwajowej, lecz w zajezdni autobusowej nadal działa otwarte Wi-Fi bez szyfrowania (Status: Częściowo wdrożone / W toku).
• Zalecenie 8 (Cykliczna, comiesięczna zmiana unikalnych haseł serwisowych do komputerów pokładowych): Niewdrożone - we wszystkich 200 pojazdach nadal funkcjonuje jedno, domyślne hasło fabryczne 'admin123' udostępnione technikom serwisowym (Status: Niewdrożone / Otwarte).

Prezydent Miasta Bydgoszczy oraz Rada Nadzorcza ZKM oczekują raportu weryfikacyjnego, który w sposób obiektywny podsumuje postępy, oceni poziom ryzyka rezydualnego wynikającego z niedokończonych zadań oraz określi, czy audyt może zostać formalnie zamknięty.

W skład zespołu wchodzą studenci realizujący następujące role:

• Rola 1: Audytor Wiodący / Główny Sprawozdawca Audytu Weryfikacyjnego - koordynuje badanie follow-up, sporządza podsumowanie menedżerskie dla Władz Miasta i Rady Nadzorczej, redaguje ostateczny Protokół Zamknięcia Audytu wg ISO 19011 (klauzula 6.6) i prowadzi referat.
• Rola 2: Audytor Techniczny Urządzeń Pokładowych i Mobilnego IoT - weryfikuje dowody techniczne w pojazdach (badanie próbki 20 autobusów i 10 tramwajów), testuje konfigurację biletomatów, brak zapór w starszych pojazdach oraz domyślne hasła serwisowe, formułuje techniczne zalecenia korygujące.
• Rola 3: Audytor Ryzyka Rezydualnego i Zgodności Kontraktowej - oblicza poziom ryzyka rezydualnego (porównanie profilu ryzyka przed i po wdrożeniu zaleceń), kwalifikuje uchybienia otwarte (Zalecenia 6, 7 i 8) i buduje aneks do planu CAP. W zespole dwuosobowym zadania te dzielą Studenci 1 i 2.

Praca w zespole 2-3 osobowym polega na rzetelnej ocenie wykonania zaleceń i sformułowaniu profesjonalnego raportu follow-up:

• Krok 1 (Podział ról i metodyka audytu weryfikacyjnego ISO 19011 punkt 6.7):

  Student 1: Przygotowuje matrycę weryfikacji działań korygujących (Status Matrix): 8 zaleceń z kolumnami: Treść zalecenia pierwotnego, Planowany termin, Stan faktyczny stwierdzony podczas wizji lokalnej, Kwalifikacja (Zamknięte / W toku / Niewdrożone), Wpływ na ryzyko rezydualne.

  Student 2: Przeprowadza próbkowanie techniczne: weryfikuje 30 pojazdów w zajezdniach. Wykazuje, że pozostawienie hasła 'admin123' na komputerach pokładowych umożliwia każdemu pasażerowi podłączającemu się do lokalnego portu RJ45 przejęcie kontroli nad kasownikami.

  Student 3: Analizuje poziom ryzyka rezydualnego: wykazuje spadek ogólnego poziomu ryzyka z 'Wysokiego' (audyt pierwotny) do 'Umiarkowanego', jednak obecność niewdrożonego Zalecenia 8 generuje nieakceptowalne ryzyko sabotażu systemu poboru opłat.

• Krok 2 (Triangulacja dowodów w audycie follow-up):

  Zestawcie: protokoły odbioru prac instalacyjnych od dostawców IT, zrzuty konfiguracji przełączników VLAN z przebadanych tramwajów, skany sieciowe w zajezdni autobusowej potwierdzające otwarte Wi-Fi, zrzut ekranu z komputera pokładowego logującego się na hasło fabryczne 'admin123' oraz oświadczenie Dyrektora ds. Eksploatacji ZKM.

• Krok 3 (Ocena ryzyka rezydualnego i kwalifikacja zaleceń):

  Sformułujcie bilans wykonania:

  • Stopień realizacji zaleceń: 5 z 8 zaleceń zrealizowano w 100% (62,5% pełnej realizacji), 2 zalecenia wdrożono częściowo (25%), 1 zalecenie niewdrożone (12,5%).
  • Ryzyko rezydualne: w obszarze biletomatów i CCTV ryzyko spadło do poziomu akceptowalnego (Niskie); w obszarze dostępu serwisowego i zapór starszych pojazdów ryzyko rezydualne pozostaje na poziomie Średnim/Podwyższonym.
• Krok 4 (Konstrukcja Protokołu Zamknięcia i Rekomendacji Uzupełniających):

  Zredagujcie dokumenty końcowe:

  • Raport z audytu weryfikacyjnego dla Prezydenta Bydgoszczy z wykresem porównawczym ryzyka (stan pierwotny vs stan obecny).
  • Warunkowy Protokół Zamknięcia Audytu: formalne zamknięcie audytu w 5 zrealizowanych obszarach oraz wyznaczenie ostatecznego, 30-dniowego terminu naprawczego na zmianę haseł i dokończenie konfiguracji Wi-Fi/Firewall.
• Krok 5 (Przygotowanie referatu i dokumentacji poaudytowej):

  Zintegrujcie raport, przygotujcie przejrzyste zestawienie statusów do prezentacji i przećwiczcie wystąpienie ustne.

Plan prezentacji referatu seminaryjnego (10-15 minut):

• Wprowadzenie i cel audytu weryfikacyjnego Follow-up w ZKM Bydgoszcz (2 min): Ramy normy ISO 19011 (punkt 6.7), specyfika infrastruktury transportowej i 8 badanych zaleceń (Student 1).
• Podsumowanie zarządcze dla Władz Miasta - bilans postępów i wskaźniki (3 min): Przedstawienie stopnia realizacji (62,5% zamkniętych), sukcesów w ochronie biletomatów i CCTV oraz ryzyk otwartych (Student 1).
• Wyniki próbkowania technicznego we flocie pojazdów (4 min): Szczegółowa analiza wdrożenia VLAN-ów, braku zapór w 150 starszych pojazdach i krytycznego uchybienia z hasłem 'admin123' (Student 2).
• Analiza ryzyka rezydualnego, aneks do planu CAP i Warunkowy Protokół Zamknięcia (4 min): Wykres ryzyka pierwotnego vs rezydualnego, ostateczne terminy dla ZKM i formalne procedury ISO 19011 (Student 3 lub Student 2).
• Podsumowanie, wnioski dla sektora transportu komunalnego i dyskusja (2 min): Odpowiedzi na pytania słuchaczy i prowadzącego (cały zespół).

Wymagana treść pisemnego raportu i referatu studenckiego:

1. Odpowiedzi na pytania problemowe:

• Na czym polega cel i specyfika metodyczna audytu weryfikacyjnego (Follow-up Audit) zgodnie z punktem 6.7 normy ISO 19011:2018 i w jaki sposób audytor weryfikuje dowody skuteczności działań korygujących?
• Czym jest ryzyko rezydualne (ryzyko szczątkowe) w audycie bezpieczeństwa informacji i dlaczego po wdrożeniu większości zaleceń poziom ryzyka nigdy nie spada do zera?
• W jakich warunkach zespół audytorski może podpisać formalny Protokół Zamknięcia Audytu (punkt 6.6 ISO 19011), a kiedy należy zastosować zamknięcie warunkowe lub odmówić zamknięcia procesu audytowego?

2. Opis stanu faktycznego taboru i infrastruktury IT ZKM w Bydgoszczy, wielkość badanej próby pojazdów (sampling).

3. Tabelaryczna matryca weryfikacji 8 zaleceń poaudytowych ze statusem realizacji i dowodami.

4. Szczegółowe rozwiązanie problemu - projekt raportu z audytu weryfikacyjnego:

• Rozdział 1: Metryka audytu sprawdzającego, podstawa prawna i cele badania follow-up.
• Rozdział 2: Podsumowanie Menedżerskie dla Prezydenta Miasta i Rady Nadzorczej (ujęcie syntetyczne).
• Rozdział 3: Szczegółowa ocena każdego z 8 zaleceń (opis stanu pierwotnego, podjęte działania, obiektywne dowody, ocena skuteczności).
• Rozdział 4: Analiza ryzyka rezydualnego z wykresem porównawczym (profil ryzyka pierwotnego vs ryzyko rezydualne).
• Rozdział 5: Aneks do Planu Działań Korygujących (CAP) dla zaleceń 6, 7 i 8 z twardym terminem 30 dni.
• Rozdział 6: Warunkowy Protokół Zamknięcia Audytu zgodnie z normą ISO 19011:2018.

5. Analiza zalet i wad zaproponowanego rozwiązania:

• Zalety: rzetelna ocena realnego stanu wdrożeń bez ulegania deklaracjom zarządu, zabezpieczenie płatności bezgotówkowych pasażerów, wymuszenie likwidacji krytycznej luki z domyślnym hasłem, przejrzystość przed władzami miasta.
• Wady/wyzwania: konieczność wygospodarowania dodatkowych środków na wymianę routerów w 150 starszych pojazdach, opór techników przed koniecznością zarządzania unikalnymi hasłami, przedłużenie procesu audytowego o dodatkowy miesiąc.

6. Bibliografia, netografia i odnośniki do normy PN-EN ISO 19011:2018, ISO/IEC 27001:2022, ISO 27005, Ustawy o publicznym transporcie zbiorowym i standardów płatności mobilnych.

• Norma PN-EN ISO 19011:2018: Wytyczne dotyczące audytowania systemów zarządzania - punkt 6.6 (Zakończenie audytu) oraz punkt 6.7 (Przeprowadzanie działań poaudytowych - audyt follow-up).
• Norma PN-EN ISO/IEC 27001:2022: Systemy zarządzania bezpieczeństwem informacji - Wymagania: klauzula 9.2 (Audyt wewnętrzny), klauzula 10.2 (Niezgodności i działania korygujące).
• Norma PN-ISO/IEC 27005:2022: Zarządzanie ryzykiem w bezpieczeństwie informacji - szacowanie ryzyka rezydualnego (Residual Risk).
• Ustawa z dnia 16 grudnia 2010 r. o publicznym transporcie zbiorowym (tekst jedn. Dz.U. z 2026 r. poz. 1231).
• Payment Card Industry Security Standards Council (PCI SSC): "PCI Contactless Payments on Commercial Off-the-Shelf (CPOC) Standard", Wakefield 2021.
• Urząd Ochrony Danych Osobowych: "Wykorzystanie monitoringu wizyjnego w pojazdach komunikacji miejskiej - wytyczne", Warszawa 2020.

• U4 Opracowanie kompletnego raportu z audytu weryfikacyjnego i protokołu zamknięcia audytu.
• U2 Obiektywna ocena skuteczności wdrożonych działań korygujących i weryfikacja dowodów.
• U3 Szacowanie i interpretacja ryzyka rezydualnego (szczątkowego) w infrastrukturze transportowej.
• U1 Opracowanie zaleceń uzupełniających dla otwartych kwestii bezpieczeństwa mobilnego IoT.
• W1W2W3 Zrozumienie pełnego cyklu audytowego ISO 19011, norm ISO 27001 i ISO 27005.
• K1K2K3 Obiektywizm, bezkompromisowość w ocenie dowodów i odpowiedzialność za bezpieczeństwo publiczne.

W trakcie wystąpienia seminaryjnego przedstawcie ideę Warunkowego Protokołu Zamknięcia Audytu: objaśnijcie słuchaczom, dlaczego audytor nie może zamknąć audytu 'na kredyt zaufania' w sytuacji, gdy w 200 pojazdach nadal obowiązuje domyślne hasło fabryczne 'admin123', oraz jak wyznaczyć dyscyplinujący, krótki termin naprawczy (30 dni) z ponowną weryfikacją próby kontrolnej.