Laboratorium 9

Głównym celem zadania jest opanowanie przez studentów zaawansowanych umiejętności opracowywania formalnego, ustrukturyzowanego raportu końcowego z audytu Krajowych Ram Interoperacyjności (KRI) oraz SZBI dla kierownictwa jednostki samorządu terytorialnego. Studenci badają stan bezpieczeństwa Urzędu Miasta i Gminy w Piasecznie po przeprowadzeniu kompleksowych badań audytowych systemów Elektronicznego Obiegu Dokumentów (EZD), podatkowego oraz serwerowni. Zadanie na ocenę 4.0 wymaga: opracowania wieloaspektowego Podsumowania Menedżerskiego (Executive Summary) łączącego wymogi prawne z realiami budżetowymi gminy, przeprowadzenia sformalizowanej analizy ryzyka w matrycy 3x3 dla 4 wektorów zagrożeń (w ujęciu ryzyka inherentnego i rezydualnego), sporządzenia formalnych Kart Niezgodności (NC1/NC2/OFI) z powołaniem normy PN-EN ISO/IEC 27001:2022 oraz paragrafu 20 KRI, przeprowadzenia dochodzenia przyczyn źródłowych metodą 5 Why (Root Cause Analysis) dla braku planu Disaster Recovery i procedur uprawnień, a także skonstruowania kompletnego Planu Działań Korygujących (CAP) ze wskaźnikami KPI i terminami 14-90 dni.

Powiązanie z sylabusem i treściami programowymi:

• U4 Opracowanie zaawansowanego, kompletnego raportu poaudytowego (8-12 stron A4) z matrycą ryzyka, kartami niezgodności, protokołem 5 Why i tabelą CAP oraz wygłoszenie 15-minutowego referatu seminaryjnego.
• U2 Identyfikacja, precyzyjny opis i formalna gradacja uchybień audytowych na Niezgodności Duże (NC1), Niezgodności Małe (NC2) oraz Szanse na doskonalenie (OFI) w administracji samorządowej.
• U1 Opracowanie zaawansowanych zaleceń inżynierskich i proceduralnych dotyczących procedury DRP, automatyzacji cyklu życia tożsamości w EZD oraz polityk kopii zapasowych 3-2-1.
• U3 Przeprowadzenie analizy ryzyka w podejściu risk-based audit z użyciem matrycy 3x3 dla 4 wektorów zagrożeń, wyliczając poziom ryzyka inherentnego (IR) oraz rezydualnego (RR).
• W1 Zaawansowana znajomość wymogów prawnych par. 20 KRI, Ustawy o informatyzacji działalności podmiotów realizujących zadania publiczne, art. 32 RODO oraz Ustawy o samorządzie gminnym.
• W2W3 Rozumienie relacji pomiędzy wymaganiami normy ISO/IEC 27001:2022 (klauzule 9.2, 9.3 i 10.2), normy ISO 22301 (ciągłość działania) a standardami cyberbezpieczeństwa w samorządach.
• K1K2K3 Niezależność osądu audytorskiego, odpowiedzialność za ciągłość świadczenia e-usług dla mieszkańców oraz etyka w komunikacji z Burmistrzem i Radą Miejską.
• Powiązanie z wykładem: Wyk1 (Ład zarządczy SZBI w administracji), Wyk2 (Zasady audytowania ISO 19011), Wyk3 (Kontrole A.5 i A.8 ISO 27001), Wyk4 (Audyt KRI i RODO), Wyk5 (Matryca ryzyka 3x3 ISO 27005), Wyk7 (Metoda 5 Why, Karty Niezgodności i Plan CAP).

Urząd Miasta i Gminy w Piasecznie zatrudnia 180 urzędników, obsługując rocznie ponad 80 000 mieszkańców w zakresie ewidencji ludności, podatków lokalnych, gospodarki przestrzennej i e-usług ePUAP. Infrastruktura urzędu obejmuje 25 serwerów w lokalnej serwerowni oraz 210 stacji roboczych.

Stan faktyczny w obszarze zbadanym i zidentyfikowane luki:

• Brak procedury formalnego, okresowego przeglądu i odbierania uprawnień: W toku audytu ujawniono, że 14 byłych pracowników urzędu nadal posiadało aktywne konta domenowe i pełny dostęp do rejestrów kancelaryjnych EZD, a 8 pracowników wydziału geodezji dysponowało stałymi uprawnieniami administratora lokalnego. Co więcej, logi systemowe wykazały, że jedno z kont byłego urzędnika było wykorzystywane do logowania przez sieć VPN 2 miesiące po rozwiązaniu stosunku pracy.
• Całkowity brak udokumentowanej procedury Disaster Recovery Plan (DRP) oraz brak testów odzyskiwania danych: Kopie zapasowe baz danych EZD i rejestrów meldunkowych zapisywano codziennie na taśmy LTO, jednak od ponad 3 lat nie przeprowadzono ani jednej próby testowego odtworzenia danych na maszynie zapasowej. W serwerowni brakowało systemu automatycznego gaszenia gazem (jedynie gaśnice proszkowe na korytarzu), a klimatyzacja nie posiadała redundancji N+1.
• Niespójność i archaiczność Polityki Bezpieczeństwa Informacji: Dokumentacja PBI nie była aktualizowana od 2017 r., powołując się na nieistniejące przepisy GIODO i nie uwzględniając wymogów Ustawy o KSC ani procedur zgłaszania incydentów.
• Szansa na doskonalenie (OFI): Brak centralnego klastra korelacji zdarzeń SIEM/SOC, co uniemożliwia automatyczną detekcję anomalii w ruchu wychodzącym z sieci urzędu.

Burmistrz Piaseczna oczekuje zaawansowanego raportu poaudytowego, który w sposób precyzyjny wskaże przyczyny źródłowe uchybień, oceni poziom ryzyka paraliżu urzędu w matrycy 3x3 oraz przedstawi zhierarchizowany Plan Działań Korygujących (CAP) ze wskaźnikami KPI możliwymi do wpisania w uchwałę budżetową Rady Miejskiej.

W skład zespołu wchodzą studenci realizujący następujące role:

• Rola 1: Audytor Wiodący / Governance i Zgodność Samorządowa (Lead Auditor) - koordynuje prace zespołu, redaguje Podsumowanie Menedżerskie dla Burmistrza i Skarbnika, bada ład korporacyjny i procedury kadrowe, weryfikuje odpowiedzialność kierownictwa i prowadzi referat.
• Rola 2: Audytor Techniczny i Architektury IT (Architekt Bezpieczeństwa) - analizuje brak procedur DRP, luki w Active Directory i konfiguracji stacji geodezji, weryfikuje logi VPN, projektuje architekturę odzyskiwania danych po awarii i formułuje zalecenia SMART.
• Rola 3: Audytor Zgodności Regulacyjnej, Ryzyka i Jakości CAP (Oficer Ryzyka / Asystent IOD) - przeprowadza analizę ryzyka w matrycy 3x3, sporządza formalne karty niezgodności (NC1/NC2/OFI), prowadzi procedurę 5 Why oraz konstruuje kompletną tabelę Planu Działań Korygujących (CAP) z KPI. W zespole 2-osobowym zadania te dzielą Studenci 1 i 2.

Zadanie realizowane jest przez 2-3 osobowy zespół audytorski w formule studium przypadku:

• Krok 1 (Podział ról i harmonogram redakcji raportu):

  Student 1 (Audytor Wiodący): Tworzy ramy raportu końcowego, metrykę audytu KRI oraz redaguje jednotonowe Executive Summary dla Burmistrza z akcentem na ryzyko paraliżu e-usług.

  Student 2 (Audytor Techniczny): Opracowuje techniczny opis luk w zarządzaniu kontami i kopiami zapasowymi, analizuje brak procedury DRP i redundancji klimatyzacji, projektuje techniczne rozwiązania wdrożenia migracji kopii do modelu 3-2-1 z chmurą rządową.

  Student 3 (Audytor Ryzyka i CAP): Przeprowadza pełną analizę ryzyka w matrycy 3x3, sporządza karty niezgodności (NC1, NC2, OFI), przeprowadza sekwencję 5 Why oraz tworzy tabelę Planu CAP ze wskaźnikami KPI i terminami 14-90 dni.

• Krok 2 (Zaawansowana analiza ryzyka metodą 3x3):

  Oszacujcie prawdopodobieństwo (P: 1-3) i skutek (S: 1-3) w skali 9-stopniowej dla 4 wektorów zagrożeń (ryzyko inherentne IR vs. rezydualne RR po kontrolach):

  1. Nieuprawniony dostęp do rejestrów meldunkowych przez konta byłych pracowników (P=3, S=3 → R=9: Krytyczne; po kontrolach: P=1, S=2 → R=2: Niskie).

  2. Utrata ciągłości działania e-usług i paraliż urzędu wskutek awarii serwerowni bez procedury DRP (P=3, S=3 → R=9; po kontrolach: P=1, S=3 → R=3: Niskie).

  3. Nałożenie administracyjnej kary pieniężnej przez UODO lub MSWiA za niezgodność z par. 20 KRI i art. 32 RODO (P=3, S=2 → R=6: Średnie; po kontrolach: P=1, S=2 → R=2: Niskie).

  4. Brak detekcji anomalii sieciowych i niewykrycie infekcji ransomware w węźle EZD (P=3, S=3 → R=9; po kontrolach: P=1, S=2 → R=2: Niskie).

• Krok 3 (Formalna kwalifikacja uchybień - Karty Niezgodności):

  Sformułujcie karty uchybień:

  • Niezgodność Duża (NC1): Brak planu Disaster Recovery (DRP) oraz brak okresowych testów odzyskiwania danych krytycznych systemów ewidencji ludności i EZD (naruszenie par. 20 ust. 2 pkt 10 KRI oraz kontroli ISO/IEC 27001:2022 A.8.13 i A.8.14).
  • Niezgodność Duża (NC1): Brak procedury weryfikacji i bezzwłocznego odbierania uprawnień użytkownikom po ustaniu zatrudnienia skutkujący logowaniem byłego pracownika (naruszenie par. 20 ust. 2 pkt 3 KRI, art. 32 RODO oraz kontroli ISO 27001 A.5.18 i A.8.2).
  • Niezgodność Mała (NC2): Przestarzała dokumentacja PBI nieodzwierciedlająca aktualnego porządku prawnego (naruszenie par. 20 ust. 1 KRI).
  • Szansa na doskonalenie (OFI): Wdrożenie centralnego systemu korelacji logów SIEM/SOC w architekturze współdzielonej z powiatem.
• Krok 4 (Dochodzenie przyczyn źródłowych metodą 5 Why):

  Przeprowadźcie pełną sekwencję 5 pytań dochodzeniowych:

  1. Dlaczego konto byłego pracownika pozostało aktywne przez 2 miesiące po rozwiązaniu umowy? (Referat Informatyki nie otrzymał powiadomienia o odejściu pracownika).

  2. Dlaczego Referat Kadr nie powiadomił informatyków o zwolnieniu pracownika? (W urzędzie nie funkcjonuje sformalizowana obiegówka elektroniczna ani pisemna procedura offboardingu).

  3. Dlaczego informatycy nie weryfikują cyklicznie aktywności kont w Active Directory? (Brak harmonogramu okresowych przeglądów kont i brak automatycznych skryptów wygaszających konta nieaktywne powyżej 30 dni).

  4. Dlaczego Kierownik Referatu Informatyki nie wdrożył takich procedur? (Uznano, że brak formalnego zarządzenia Burmistrza zwalnia dział z obowiązku tworzenia procedur wewnętrznych).

  5. Root Cause (Przyczyna źródłowa): Brak ładu zarządczego (Governance) i brak całościowej Polityki Zarządzania Tożsamością i Dostępem integrującej procesy kadrowe z administracją IT urzędu.

• Krok 5 (Konstrukcja Planu Działań Korygujących - CAP):

  Opracujcie tabelę CAP z kolumnami: Lp., Identyfikacja uchybienia (NC1/NC2/OFI), Działanie naprawcze, Właściciel biznesowy, Termin (14-90 dni), Wskaźnik sukcesu (KPI).

• Krok 6 (Przygotowanie raportu i referatu):

  Zredagujcie kompletny raport poaudytowy (8-12 stron A4) i przygotujcie 15-minutową prezentację seminaryjną.

Plan prezentacji referatu seminaryjnego (15 minut):

• Wprowadzenie do audytu KRI w Urzędzie Miasta i Gminy w Piasecznie (3 min): Podstawa prawna, zakres podmiotowy i cel badania bezpieczeństwa e-usług (Student 1).
• Podsumowanie Menedżerskie dla Burmistrza i analiza ryzyk 3x3 (3 min): Prezentacja profilu ryzyka gminy, 4 wektorów zagrożeń i wyliczeń IR vs RR (Student 1 lub Student 3).
• Szczegółowe ustalenia techniczne i dowody audytowe (3 min): Analiza logów VPN, braku DRP i stanu serwerowni oraz uprawnień geodetów (Student 2).
• Karty niezgodności NC1/NC2/OFI, protokół 5 Why oraz Plan CAP (4 min): Dekonstrukcja przyczyn źródłowych, tabela planu naprawczego ze wskaźnikami KPI i terminami (Student 3 i Student 2).
• Podsumowanie, rekomendacje dla Rady Miejskiej i dyskusja (2 min): Odpowiedzi na pytania komisji laboratoryjnej (cały zespół).

Wymagana struktura raportu poaudytowego na ocenę 4.0 (objętość 8-12 stron A4):

1. Podsumowanie zarządcze (Executive Summary) dla Burmistrza Miasta i Gminy oraz Skarbnika.

2. Odpowiedzi na zaawansowane pytania problemowe:

• W jaki sposób audytor powinien sformułować uzasadnienie biznesowe i prawne dla Burmistrza gminy, aby wykazać konieczność sfinansowania procedury DRP i zapasowego węzła IT w obliczu ograniczonych środków budżetowych JST?
• Jakie konkretne wymogi formalne nakłada paragraf 20 Rozporządzenia w sprawie Krajowych Ram Interoperacyjności na proces okresowego przeglądu uprawnień w systemach teleinformatycznych i jak zintegrować ten proces z procedurami kadrowymi?
• Czym różni się podejście audytowe oparte na spełnieniu checklisty zgodności od audytu opartego na ryzyku (Risk-Based Audit) w ocenie odporności urzędu na ataki ransomware?

3. Opis stanu faktycznego, schemat sieci teleinformatycznej urzędu i wykaz badanych systemów.

4. Tabela Zaawansowanej Analizy Ryzyka w matrycy 3x3 (4 wektory zagrożeń, ryzyko inherentne vs. rezydualne).

5. Formalne Karty Niezgodności:

• Karta NC1 (Niezgodność Duża) - brak procedury DRP i testów odzyskiwania danych (par. 20 KRI, ISO 27001 A.8.13/A.8.14).
• Karta NC1 (Niezgodność Duża) - brak procedury wygaszania uprawnień i aktywne konta byłych urzędników (par. 20 KRI, art. 32 RODO, ISO 27001 A.5.18).
• Karta NC2 (Niezgodność Mała) - nieaktualna dokumentacja Polityki Bezpieczeństwa Informacji z 2017 r. (par. 20 KRI).
• Karta OFI (Szansa na doskonalenie) - integracja logów w klastrze SIEM/SOC.

6. Protokół dochodzenia przyczyn źródłowych (Root Cause Analysis - 5 Why).

7. Szczegółowe rozwiązanie inżynierskie i zarządcze:

• Projekt procedury awaryjnego odzyskiwania danych po katastrofie (Disaster Recovery Plan).
• Wzorcowa procedura obiegu karty odejścia pracownika (offboarding) sprzężona ze skryptem automatycznej deaktywacji w Active Directory.
• Wzór Zarządzenia Burmistrza w sprawie aktualizacji PBI i powołania Zespołu ds. Cyberbezpieczeństwa.

8. Tabela Planu Działań Korygujących (CAP) z przypisaniem ról, terminów (14-90 dni) i wskaźników KPI.

9. Analiza zalet i wad (kompromisów inżynierskich i organizacyjnych) proponowanych rozwiązań.

10. Bibliografia, netografia i odnośniki do norm i aktów prawnych.

• Rozporządzenie Rady Ministrów z dnia 12 kwietnia 2012 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (Dz.U. z 2024 r. poz. 733 z późn. zm.) - par. 20.
• Norma PN-EN ISO 19011:2018: Wytyczne dotyczące audytowania systemów zarządzania - punkt 6.5 (Raport z audytu), punkt 6.7 (Działania poaudytowe).
• Norma PN-EN ISO/IEC 27001:2022: Systemy zarządzania bezpieczeństwem informacji - Wymagania: klauzula 9.2, klauzula 10.2 oraz Załącznik A (kontrole A.5.15, A.5.18, A.8.13, A.8.14).
• Ustawa z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne (Dz.U. z 2023 r. poz. 57 z późn. zm.).
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 32 (Bezpieczeństwo przetwarzania).
• Ministerstwo Cyfryzacji: "Standardy Cyberbezpieczeństwa dla Jednostek Samorządu Terytorialnego", Warszawa 2023.

• U4 Opracowanie zaawansowanego raportu poaudytowego KRI z matrycą ryzyka 3x3 i planem CAP.
• U2 Formalna gradacja uchybień audytowych na NC1, NC2 i OFI z precyzyjną referencją prawną.
• U1 Projekt inżynierski procedury Disaster Recovery Plan (DRP) i automatyzacji offboardingu.
• U3 Szacowanie ryzyka w podejściu risk-based audit dla e-usług publicznych gminy.
• W1W2W3 Znajomość wymogów par. 20 KRI, Ustawy o informatyzacji, normy ISO 27001 i RODO.
• K1K2K3 Profesjonalizm, niezależność audytorska i odpowiedzialność za ciągłość zadań publicznych.

W trakcie obrony referatu seminaryjnego zaprezentujcie symulację wystąpienia przed Burmistrzem i Skarbnikiem Gminy: wyjaśnijcie, w jaki sposób zinterpretować wyniki analizy ryzyka 3x3 oraz dochodzenia 5 Why, aby przekonać władze samorządowe do sfinansowania procedury Disaster Recovery Plan (DRP) i automatyzacji offboardingu w uchwale budżetowej Rady Miejskiej.

Głównym celem zadania jest nabycie przez studentów zaawansowanych umiejętności zarządzania procesem rozstrzygania sporów audytowych i procedowania rozbieżności zgodnie z normą PN-EN ISO 19011:2018 (punkt 6.5.2 lit. e) w złożonym środowisku podmiotu leczniczego. Studenci wcielają się w zespół audytorów, który w Wojewódzkim Szpitalu Zespolonym w Kaliszu bada stan bezpieczeństwa szpitalnego systemu informatycznego (HIS) oraz infrastruktury telemedycznej. W trakcie formułowania raportu końcowego dochodzi do formalnego sporu z Kierownikiem Działu IT, który odrzuca ustalenia dotyczące współdzielenia kont pielęgniarskich oraz braku segmentacji aparatury medycznej IoT, składając pisemne wotum separatum powołujące się na specyfikę stanów nagłych. Zadanie na ocenę 4.0 wymaga: skonstruowania bezstronnego raportu końcowego zawierającego formalny Protokół Rozbieżności wraz z pisemną repliką audytorów, przeprowadzenia analizy ryzyka 3x3 dla bezpieczeństwa pacjentów i odpowiedzialności szpitala, sporządzenia kart niezgodności (NC1/NC2/OFI), przeprowadzenia dochodzenia 5 Why oraz opracowania kompromisowego, a zarazem bezpiecznego Planu CAP opartego na technologii kart zbliżeniowych RFID Tap-in i segmentacji VLAN.

Powiązanie z sylabusem i treściami programowymi:

• U4 Opracowanie zaawansowanego raportu poaudytowego (8-12 stron A4) z oficjalnym Protokołem Rozbieżności wg ISO 19011 i wygłoszenie 15-minutowego referatu seminaryjnego.
• U2 Poprawna identyfikacja i obrona kwalifikacji Niezgodności Dużej (NC1) w warunkach presji ze strony audytowanego personelu szpitala.
• U1 Opracowanie zaleceń inżynierskich łączących rygor rozliczalności dostępu z ergonomiczną specyfiką ratowania życia na SOR i oddziałach intensywnej terapii.
• U3 Przeprowadzenie analizy ryzyka metodą 3x3 w ujęciu inherentnym (IR) i rezydualnym (RR) dla wektorów fałszerstwa zleceń leków i kompromitacji kardiomonitorów.
• W1 Zaawansowana znajomość zasad odpowiedzialności cywilnej i karnej podmiotu leczniczego (art. 160 Kodeksu Karnego, Ustawa o prawach pacjenta, art. 9 i 32 RODO).
• W2W3 Rozumienie wytycznych normy ISO 19011 w zakresie bezstronności, zarządzania dowodami oraz normy PN-EN ISO/IEC 27001:2022 (kontrole A.8.2, A.8.5, A.8.20, A.8.22).
• K1K2K3 Asertywność audytorska, odporność na argumentację emocjonalną i kultura profesjonalnego dialogu z kadrą medyczną.
• Powiązanie z wykładem: Wyk1 (Audyt w ochronie zdrowia), Wyk2 (Zarządzanie sporem i rozbieżnościami ISO 19011), Wyk3 (Kontrole dostępowe i sieciowe ISO 27001), Wyk4 (RODO i KRI w szpitalnictwie), Wyk5 (Risk-based audit w medycynie), Wyk7 (Protokół rozbieżności, 5 Why i Plan CAP).

Wojewódzki Szpital Zespolony w Kaliszu dysponuje 650 łóżkami, 18 oddziałami i zatrudnia 1 200 pracowników personelu medycznego i pomocniczego. Szpital opiera proces leczenia na zintegrowanym systemie HIS.

Stan faktyczny w obszarze zbadanym i zarzewie sporu audytowego:

• Współdzielenie kont personelu na oddziałach zabiegowych i SOR: Pielęgniarki i lekarze dyżurni powszechnie logują się na wspólne konto 'pielegniarka_dyzur' z hasłem zapisanym na naklejce na monitorze stacji dyżurnej. Na jednym koncie realizowane są dziesiątki zleceń leków narkotycznych i wpisów procedur zabiegowych, co uniemożliwia rozliczalność czynności medycznych.
• Brak segmentacji sieci aparatury medycznej: Kardiomonitory, pompy infuzyjne oraz aparaty USG z modułami Wi-Fi pracują w tej samej domenie rozgłoszeniowej co stacje administracyjne i publiczne Wi-Fi dla pacjentów (brak VLAN, brak list kontroli dostępu ACL).
• Stanowisko i wotum separatum Kierownika Działu IT: Kierownik IT odmówił podpisania karty ustaleń roboczych i złożył formalne wotum separatum do Dyrekcji: 'Audytorzy ignorują realia ratownictwa medycznego. Wprowadzenie indywidualnych 12-znakowych haseł na SOR doprowadzi do zgonów pacjentów z powodu opóźnień w obsłudze systemu. Szpital nie ma 200 000 zł na wymianę kardiomonitorów'.

Dyrektor Naczelny Szpitala oczekuje zaawansowanego raportu poaudytowego, który w sposób obiektywny ukaże stanowiska obu stron, oceni ryzyka prawne i kliniczne w matrycy 3x3, wykaże błędy w argumentacji Kierownika IT za pomocą analizy 5 Why oraz przedstawi Plan CAP z rozwiązaniami typu RFID Tap-in i izolacją VLAN.

W skład zespołu wchodzą studenci realizujący następujące role:

• Rola 1: Audytor Wiodący / Mediator Audytowy (Lead Auditor) - odpowiada za formalną strukturę raportu, zredagowanie rozdziału Protokołu Rozbieżności wg ISO 19011 (punkt 6.5.2 lit. e), syntezę zarządczą dla Dyrekcji i poprowadzenie referatu.
• Rola 2: Audytor Techniczny Bezpieczeństwa Medycznego IT (Architekt Systemów HIS) - analizuje architekturę uwierzytelniania w HIS, projektuje logowanie dotykowe kartami zbliżeniowymi RFID na legitymacjach personelu (Single Sign-On w 1 sekundę) oraz konfigurację logicznej separacji VLAN dla aparatury IoT.
• Rola 3: Audytor Zgodności Regulacyjnej, Ryzyka i Jakości CAP (Oficer Ryzyka / Prawnik Medyczny) - przeprowadza analizę ryzyka 3x3, sporządza karty niezgodności (NC1/NC2/OFI), prowadzi dochodzenie 5 Why dla przyczyn współdzielenia kont oraz buduje tabelę Planu CAP. W zespole 2-osobowym zadania te dzielą Studenci 1 i 2.

Zadanie realizowane jest przez 2-3 osobowy zespół audytorski w formule studium przypadku:

• Krok 1 (Podział ról i analiza procedury rozbieżności wg ISO 19011):

  Student 1 (Audytor Wiodący): Bada punkt 6.5.2 normy ISO 19011:2018 nakazujący bezwzględne odnotowanie w raporcie wszelkich nierozstrzygniętych rozbieżności poglądów pomiędzy zespołem audytującym a audytowanym. Przygotowuje formalną replikę zespołu audytorskiego.

  Student 2 (Audytor Techniczny): Rozwiązuje fałszywy dylemat 'bezpieczeństwo albo życie pacjenta'. Wskazuje technologie czytników RFID Mifare DESFire montowanych na klawiaturach stacji HIS, pozwalające pielęgniarce zalogować się w 1 sekundę przyłożeniem identyfikatora oraz automatycznie wylogować stację po odejściu (Tap-out). Projektuje wydzielenie VLAN 120 z blokadą ruchu z innych podsieci.

  Student 3 (Audytor Ryzyka i CAP): Przeprowadza analizę ryzyka 3x3 (odpowiedzialność karna z art. 160 KK za niemożność ustalenia osoby podającej lek), sporządza karty niezgodności, prowadzi 5 Why oraz konstruuje Plan CAP.

• Krok 2 (Zaawansowana analiza ryzyka metodą 3x3):

  Oszacujcie prawdopodobieństwo (P: 1-3) i skutek (S: 1-3) w skali 9-stopniowej dla 4 wektorów zagrożeń (ryzyko inherentne IR vs. rezydualne RR po kontrolach):

  1. Błąd w podaniu leku i brak możliwości ustalenia sprawcy z powodu wspólnego konta (P=3, S=3 → R=9: Krytyczne; po kontrolach: P=1, S=2 → R=2: Niskie).

  2. Atak sieciowy lub ransomware na niesegmentowaną aparaturę medyczną kardiomonitorów (P=2, S=3 → R=6: Średnie; po kontrolach: P=1, S=2 → R=2: Niskie).

  3. Kary finansowe UODO i roszczenia cywilne pacjentów za brak rozliczalności danych art. 9 RODO (P=3, S=3 → R=9; po kontrolach: P=1, S=2 → R=2: Niskie).

  4. Fałszowanie dokumentacji medycznej i manipulacje historią zleceń w systemie HIS (P=3, S=3 → R=9; po kontrolach: P=1, S=2 → R=2: Niskie).

• Krok 3 (Formalna kwalifikacja uchybień - Karty Niezgodności):

  Sformułujcie karty uchybień:

  • Niezgodność Duża (NC1): Całkowity brak rozliczalności czynności personelu medycznego w systemie HIS wskutek współdzielenia kont (naruszenie art. 5 ust. 2, art. 32 RODO, par. 20 KRI oraz kontroli ISO/IEC 27001:2022 A.5.15 i A.8.2).
  • Niezgodność Duża (NC1): Brak segmentacji sieciowej aparatury ratującej życie i kardiomonitorów IoT (naruszenie kontroli ISO 27001 A.8.20 i A.8.22).
  • Niezgodność Mała (NC2): Brak procedury cyklicznego przeglądu uprawnień personelu kontraktowego w systemie HIS (kontrola ISO 27001 A.5.18).
  • Szansa na doskonalenie (OFI): Wdrożenie systemu lokalizacji aparatury medycznej w czasie rzeczywistym (RTLS) zintegrowanego z kontrolą dostępu.
• Krok 4 (Dochodzenie przyczyn źródłowych metodą 5 Why):

  Przeprowadźcie pełną sekwencję 5 pytań dochodzeniowych:

  1. Dlaczego pielęgniarki logują się na wspólne konto 'pielegniarka_dyzur'? (Ręczne wpisywanie skomplikowanego hasła trwa zbyt długo w warunkach nagłych).

  2. Dlaczego szpital wymagał ręcznego wpisywania haseł na stacjach dyżurnych? (Nie wdrożono żadnego mechanizmu szybkiej identyfikacji zbliżeniowej ani biometrycznej).

  3. Dlaczego Dział IT nie zakupił czytników zbliżeniowych RFID do stacji HIS? (Kierownik IT założył, że standardowe klawiatury są wystarczające i nie badał ergonomii pracy oddziałowej).

  4. Dlaczego Kierownik IT złożył wotum separatum zamiast poszukać kompromisu inżynierskiego? (W szpitalu brakowało forum dialogu pomiędzy personelem medycznym a pionem technicznym).

  5. Root Cause (Przyczyna źródłowa): Projektowanie systemów bezpieczeństwa IT w oderwaniu od ergonomii pracy personelu medycznego oraz brak ładu zarządczego godzącego wymagania prawa z realiami klinicznymi.

• Krok 5 (Konstrukcja Planu Działań Korygujących - CAP):

  Opracujcie tabelę CAP z rolami, terminami (14-90 dni) i wskaźnikami KPI.

• Krok 6 (Przygotowanie raportu i obrony referatowej):

  Zredagujcie raport poaudytowy z oficjalnym Protokołem Rozbieżności i przygotujcie 15-minutową prezentację.

Plan prezentacji referatu seminaryjnego (15 minut):

• Wprowadzenie i zarys audytu w Wojewódzkim Szpitalu Zespolonym w Kaliszu (3 min): Profil placówki, ramy prawne i specyfika danych medycznych (Student 1).
• Istota sporu audytowego i Protokół Rozbieżności wg ISO 19011 (3 min): Prezentacja wotum separatum Kierownika IT oraz obiektywnej repliki audytorów (Student 1).
• Techniczne rozwiązanie inżynierskie: RFID Tap-in i segmentacja VLAN (3 min): Prezentacja architektury szybkiego logowania w 1s oraz izolacji IoT (Student 2).
• Matryca ryzyk 3x3, karty NC1/NC2/OFI, dochodzenie 5 Why i Plan CAP (4 min): Analiza ryzyk kliniczno-prawnych, dekonstrukcja przyczyn i harmonogram wdrożenia (Student 3 lub Student 2).
• Podsumowanie, wnioski dla dyrekcji szpitali i dyskusja z komisją (2 min): Odpowiedzi na pytania prowadzącego (cały zespół).

Wymagana struktura raportu poaudytowego na ocenę 4.0 (objętość 8-12 stron A4):

1. Podsumowanie zarządcze (Executive Summary) dla Dyrektora Naczelnego i Dyrektora ds. Medycznych.

2. Odpowiedzi na zaawansowane pytania problemowe:

• W jaki sposób norma ISO 19011:2018 (punkt 6.5.2 lit. e) nakazuje audytorom dokumentować i procedować formalne rozbieżności zdań i wota separatum składane przez audytowane kierownictwo?
• Jakie konsekwencje w procesach sądowych o błędy medyczne oraz w świetle art. 160 Kodeksu Karnego rodzi brak możliwości przypisania konkretnego wpisu farmakologicznego do osoby fizycznej?
• W jaki sposób zaprojektować architekturę szybkiego uwierzytelniania w systemie szpitalnym, aby osiągnąć czas logowania poniżej 2 sekund bez obniżenia poziomu bezpieczeństwa?

3. Opis stanu faktycznego, architektura HIS i sieci aparatury medycznej szpitala w Kaliszu.

4. Tabela Zaawansowanej Analizy Ryzyka w matrycy 3x3 (4 wektory zagrożeń, ryzyko inherentne vs. rezydualne).

5. Formalny Protokół Rozbieżności i Spraw Spornych:

• Stanowisko i argumentacja Kierownika Działu IT (treść wotum separatum).
• Merytoryczna replika zespołu audytorskiego z dowodami z logów i orzecznictwem sądowym.
• Rekomendacja ostateczna dla Dyrektora Naczelnego.

6. Formalne Karty Niezgodności (NC1 - brak rozliczalności HIS; NC1 - brak segmentacji IoT; NC2 - brak przeglądu uprawnień; OFI - system RTLS).

7. Protokół dochodzenia przyczyn źródłowych (Root Cause Analysis - 5 Why).

8. Szczegółowe rozwiązanie inżynierskie i organizacyjne (specyfikacja czytników RFID, konfiguracja VLAN 120, regulamin korzystania z kart identyfikacyjnych).

9. Tabela Planu Działań Korygujących (CAP) z przypisaniem ról, terminów (14-90 dni) i wskaźników KPI.

10. Analiza zalet i wad zaproponowanego rozwiązania kompromisowego.

11. Bibliografia, netografia i regulacje prawne.

• Norma PN-EN ISO 19011:2018: Wytyczne dotyczące audytowania systemów zarządzania - punkt 6.5.2 lit. e (Rozbieżności poglądów i ich dokumentowanie).
• Ustawa z dnia 6 czerwca 1997 r. - Kodeks Karny (Dz.U. z 2024 r. poz. 17 z późn. zm.) - art. 160 (Narażenie na niebezpieczeństwo utraty życia lub ciężkiego uszczerbku na zdrowiu).
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 5 ust. 2 (Zasada rozliczalności), art. 9 i art. 32.
• Ustawa z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta (Dz.U. z 2022 r. poz. 1876 z późn. zm.).
• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - kontrole A.5.15, A.8.2, A.8.5, A.8.20, A.8.22.
• Centrum e-Zdrowia (CeZ): "Wytyczne cyberbezpieczeństwa dla szpitali", Warszawa 2023.

• U4 Opracowanie zaawansowanego raportu poaudytowego z oficjalnym Protokołem Rozbieżności wg ISO 19011.
• U2 Poprawna identyfikacja i obrona kwalifikacji Niezgodności Dużej w warunkach sporu.
• U1 Projekt inżynierski architektury szybkiego logowania RFID i segmentacji sieci medycznej VLAN.
• U3 Przeprowadzenie analizy ryzyka 3x3 w ujęciu prawnym, klinicznym i finansowym.
• W1W2W3 Znajomość zasad ISO 19011 ws. sporów, art. 160 KK, RODO i normy ISO 27001 w ochronie zdrowia.
• K1K2K3 Asertywność, odporność na presję audytowanego i wysoka kultura negocjacji poaudytowych.

W trakcie wystąpienia seminaryjnego przedstawcie symulację formalnej procedury zarządzania rozbieżnościami (punkt 6.5.2 ISO 19011) z Dyrektorem ds. Lecznictwa: zademonstrujcie, jak za pomocą twardych dowodów z matrycy ryzyka 3x3 oraz dochodzenia 5 Why wykazać, że współdzielenie haseł i blokowanie kont na oddziałach intensywnej terapii można bezpiecznie zastąpić kartami RFID Mifare DESFire EV3 bez spowalniania procedur ratunkowych.

Głównym celem zadania jest opanowanie przez studentów umiejętności opracowywania zaawansowanego raportu poaudytowego dla instytucji sektora finansowego, integrującego wymogi Rekomendacji D Komisji Nadzoru Finansowego (KNF), rozporządzenia DORA oraz normy PN-EN ISO/IEC 27001:2022. Studenci analizują studium przypadku Małopolskiego Banku Spółdzielczego w Wieliczce. Zadanie na ocenę 4.0 wymaga: przeprowadzenia ilościowej i jakościowej analizy ryzyka operacyjnego i cybernetycznego w matrycy 3x3 dla 4 wektorów zagrożeń (w ujęciu ryzyka inherentnego IR i rezydualnego RR), sporządzenia kart niezgodności (NC1/NC2/OFI), przeprowadzenia dochodzenia przyczyn źródłowych metodą 5 Why dla chronicznych opóźnień w procesie zarządzania podatnościami, opracowania zhierarchizowanego Planu Działań Korygujących (CAP) z podziałem na horyzonty czasowe (14, 30, 90 dni) i wskaźniki KRI/KPI, a także zredagowania przejrzystego raportu końcowego dla Zarządu i Rady Nadzorczej Banku.

Powiązanie z sylabusem i treściami programowymi:

• U4 Opracowanie profesjonalnego, ustrukturyzowanego raportu poaudytowego (8-12 stron A4) spełniającego rygory sprawozdawczości bankowej przed KNF oraz wygłoszenie 15-minutowego referatu seminaryjnego.
• U2 Identyfikacja, precyzyjne sformułowanie i formalna gradacja niezgodności (NC1/NC2/OFI) w obszarze zarządzania podatnościami, ciągłości działania i dostępu uprzywilejowanego.
• U1 Opracowanie zaleceń inżynierskich dotyczących zautomatyzowanego repozytorium łatek, redundantnego routingu BGP oraz wdrożenia systemu Privileged Access Management (PAM).
• U3 Zastosowanie zaawansowanej analizy ryzyka metodą 3x3 dla 4 wektorów zagrożeń, uzasadniającej konieczność alokacji kapitału na bezpieczeństwo IT.
• W1 Zaawansowana znajomość regulacji bankowych (Prawo bankowe art. 9 i 105, Rekomendacja D KNF, rozporządzenie DORA, art. 32 RODO).
• W2W3 Rozumienie relacji pomiędzy audytem zgodności z Rekomendacją D KNF a audytem SZBI wg normy ISO/IEC 27001:2022 i metodykami zarządzania ryzykiem ISO 27005.
• K1K2K3 Świadomość roli audytora w zapewnieniu stabilności finansowej, rzetelność w prezentowaniu ryzyk Zarządowi oraz dyscyplina zawodowa.
• Powiązanie z wykładem: Wyk1 (Audyt w bankowości), Wyk2 (Zasady audytowania ISO 19011), Wyk3 (Kontrole techniczne ISO 27001), Wyk4 (Rekomendacja D KNF i DORA), Wyk5 (Matryce ryzyka ISO 27005), Wyk7 (Dochodzenie 5 Why, Karty Niezgodności i Plan CAP).

Małopolski Bank Spółdzielczy w Wieliczce zrzeszony jest w ogólnopolskiej strukturze bankowości spółdzielczej, posiada 8 oddziałów, zatrudnia 95 pracowników i prowadzi rachunki 28 000 klientów indywidualnych oraz małych i średnich przedsiębiorstw. Środowisko IT opiera się na centralnym systemie transakcyjnym (Core Banking) oraz bankowości elektronicznej i mobilnej.

Stan faktyczny w obszarze zbadanym i zidentyfikowane luki:

• Krytyczne opóźnienia w procesie Patch Management: Serwery aplikacyjne bankowości internetowej pracują pod kontrolą systemu Linux, na którym od 9 miesięcy nie instalowano łatek bezpieczeństwa jądra ani pakietów OpenSSL. Skaner Nessus wykazał obecność podatności CVE o punktacji CVSS powyżej 8.5 umożliwiających zdalne wykonanie kodu (RCE).
• Brak regularnych testów przełączania na łącza zapasowe i DRC: Bank posiada drugie łącze internetowe od alternatywnego operatora, jednak audyt ujawnił, że w ciągu ostatnich 2 lat nie przeprowadzono żadnego testu awaryjnego przełączenia ruchu. Inspekcja konfiguracji routerów brzegowych wykazała błąd w anonsowaniu prefiksów BGP, który w przypadku awarii łącza głównego doprowadziłby do całkowitej utraty łączności bankowości z Internetem.
• Niekontrolowany dostęp uprzywilejowany administratorów DBA: Trzech wewnętrznych administratorów baz Oracle posiada nielimitowany dostęp do bazy produkcyjnej z bezpośrednich kont systemowych 'sysdba', bez rejestracji sesji uprzywilejowanych (brak PAM) i bez powiązania sesji z numerem zgłoszenia w systemie Helpdesk.
• Szansa na doskonalenie (OFI): Wdrożenie ciągłego monitoringu powierzchni ataku zewnętrznego (External Attack Surface Management - EASM).

Zarząd Banku oczekuje raportu końcowego, który wskaże przyczyny źródłowe powstałych zaległości, skwantyfikuje ryzyka operacyjne w matrycy 3x3 oraz przedstawi zhierarchizowany Plan CAP podzielony na działania bezzwłoczne (do 14 dni), krótkoterminowe (do 30 dni) i systemowe (do 90 dni).

W skład zespołu wchodzą studenci realizujący następujące role:

• Rola 1: Audytor Wiodący / Ekspert ds. Nadzoru Finansowego (Lead Auditor) - koordynuje prace zespołu, przygotowuje Podsumowanie Menedżerskie dla Zarządu i Rady Nadzorczej, analizuje zgodność z DORA i Rekomendacją D KNF oraz prowadzi referat.
• Rola 2: Audytor Techniczny i Architektury Sieciowo-Bazodanowej (Architekt Bezpieczeństwa) - analizuje podatności serwerów WWW/API, błędy konfiguracji routingu BGP routerów Cisco, projektuje architekturę rozwiązania PAM i harmonogram testów BCP/DRC.
• Rola 3: Audytor Ryzyka Operacyjnego i Jakości CAP (Oficer Ryzyka / Compliance) - przeprowadza analizę ryzyka w matrycy 3x3, sporządza formalne karty niezgodności (NC1/NC2/OFI), prowadzi procedurę 5 Why oraz konstruuje Plan Działań Korygujących (CAP) ze wskaźnikami KRI/KPI. W zespole 2-osobowym zadania te dzielą Studenci 1 i 2.

Zadanie realizowane jest przez 2-3 osobowy zespół audytorski w formule studium przypadku:

• Krok 1 (Podział ról i analiza wymogów Rekomendacji D KNF i DORA):

  Student 1 (Audytor Wiodący): Zapoznaje się z Rekomendacją D (obszary 9, 10, 14) oraz rozporządzeniem DORA (art. 9, 11, 12). Przygotowuje ramy Executive Summary akcentujące ryzyko utraty reputacji i kar KNF.

  Student 2 (Audytor Techniczny): Przygotowuje analizę techniczną: określa procedurę bezpiecznego łatania serwerów Linux w oknie serwisowym z użyciem migawek maszyn wirtualnych, projektuje rekonfigurację protokołu BGP (wagi i as-path) oraz architekturę PAM (CyberArk/Wallix) z nagrywaniem sesji SSH/RDP.

  Student 3 (Audytor Ryzyka i CAP): Przeprowadza zaawansowaną analizę ryzyka w matrycy 3x3 dla 4 wektorów, sporządza karty niezgodności (NC1/NC2/OFI), przeprowadza procedurę 5 Why oraz tworzy tabelę Planu CAP.

• Krok 2 (Zaawansowana analiza ryzyka metodą 3x3):

  Oszacujcie prawdopodobieństwo (P: 1-3) i skutek (S: 1-3) w skali 9-stopniowej dla 4 wektorów zagrożeń (ryzyko inherentne IR vs. rezydualne RR po kontrolach):

  1. Przełamanie zabezpieczeń serwera bankowości internetowej poprzez znaną lukę OpenSSL (P=3, S=3 → R=9: Krytyczne; po kontrolach: P=1, S=2 → R=2: Niskie).

  2. Utrata dostępności platformy transakcyjnej z powodu awarii łącza i błędu konfiguracji BGP (P=3, S=3 → R=9; po kontrolach: P=1, S=2 → R=2: Niskie).

  3. Nieautoryzowane modyfikacje bazy produkcyjnej przez administratora DBA bez nadzoru PAM (P=2, S=3 → R=6: Średnie; po kontrolach: P=1, S=2 → R=2: Niskie).

  4. Kary finansowe i zalecenia nakazowe Urzędu KNF z tytułu naruszenia Rekomendacji D i DORA (P=3, S=3 → R=9; po kontrolach: P=1, S=2 → R=2: Niskie).

• Krok 3 (Formalna kwalifikacja uchybień - Karty Niezgodności):

  Sformułujcie karty uchybień:

  • Niezgodność Duża (NC1): Brak systemowego procesu instalacji krytycznych poprawek bezpieczeństwa na serwerach bankowości (naruszenie Rekomendacji D pkt 10.3, DORA art. 9 oraz kontroli ISO/IEC 27001:2022 A.8.8 Zarządzanie podatnościami technicznymi).
  • Niezgodność Duża (NC1): Brak weryfikacji i testów procedur awaryjnego przełączania łączy telekomunikacyjnych oraz błędy konfiguracji BGP (naruszenie Rekomendacji D pkt 14.2, DORA art. 11 oraz kontroli ISO 27001 A.8.14 Redundancja).
  • Niezgodność Mała (NC2): Brak rejestracji sesji i kontroli dostępu uprzywilejowanego administratorów baz Oracle (naruszenie Rekomendacji D pkt 9.4 oraz kontroli ISO 27001 A.8.2).
  • Szansa na doskonalenie (OFI): Wdrożenie automatycznego skanowania zewnętrznej powierzchni ataku EASM.
• Krok 4 (Dochodzenie przyczyn źródłowych metodą 5 Why):

  Przeprowadźcie pełną sekwencję 5 pytań dochodzeniowych:

  1. Dlaczego serwery bankowości internetowej nie były aktualizowane od 9 miesięcy? (Administratorzy odkładali instalację łatek z obawy przed awarią aplikacji produkcyjnej).

  2. Dlaczego istniała obawa o awarię aplikacji po instalacji łatek? (Bank nie posiadał wiernego środowiska testowego/stagingowego do weryfikacji poprawek).

  3. Dlaczego bank nie wdrożył środowiska stagingowego? (Wniosek budżetowy Działu IT na serwery testowe został odrzucony przez Zarząd w zeszłym roku).

  4. Dlaczego Zarząd odrzucił wniosek budżetowy na środowisko testowe? (Kierownik IT przedstawił zakup w żargonie technicznym, bez wykazania wymogów Rekomendacji D i ryzyka kar KNF).

  5. Root Cause (Przyczyna źródłowa): Brak sformalizowanego procesu Patch & Vulnerability Management opartego na oknach serwisowych oraz brak kultury komunikacji ryzyka teleinformatycznego w kategoriach regulacyjnych i biznesowych przed Zarządem.

• Krok 5 (Konstrukcja Planu Działań Korygujących - CAP):

  Opracujcie tabelę CAP z podziałem na horyzonty czasowe (14, 30, 90 dni), rolami i wskaźnikami KRI/KPI.

• Krok 6 (Przygotowanie raportu i referatu):

  Zredagujcie kompletny raport poaudytowy (8-12 stron A4) i przygotujcie 15-minutową prezentację seminaryjną.

Plan prezentacji referatu seminaryjnego (15 minut):

• Wprowadzenie i ramy regulacyjne audytu w Małopolskim Banku Spółdzielczym (3 min): Wymogi Rekomendacji D KNF, rozporządzenie DORA i cele badania (Student 1).
• Podsumowanie Menedżerskie dla Zarządu i analiza ryzyk 3x3 (3 min): Profil ryzyka operacyjnego banku, 4 wektory zagrożeń i wyliczenia IR vs RR (Student 1 lub Student 3).
• Szczegółowe ustalenia techniczne i dowody audytowe (3 min): Analiza podatności OpenSSL, konfiguracja BGP łączy zapasowych i brak systemu PAM (Student 2).
• Karty niezgodności NC1/NC2/OFI, protokół 5 Why oraz Plan CAP (4 min): Dekonstrukcja przyczyn źródłowych, zhierarchizowany plan naprawczy z terminami i miernikami KRI/KPI (Student 3 i Student 2).
• Podsumowanie, wnioski dla sektora bankowości spółdzielczej i dyskusja (2 min): Odpowiedzi na pytania komisji laboratoryjnej (cały zespół).

Wymagana struktura raportu poaudytowego na ocenę 4.0 (objętość 8-12 stron A4):

1. Podsumowanie zarządcze (Executive Summary) dla Zarządu i Rady Nadzorczej Banku.

2. Odpowiedzi na zaawansowane pytania problemowe:

• Jakie obligatoryjne mechanizmy zarządzania podatnościami technicznymi i środowiskami testowymi nakłada na banki Rekomendacja D KNF oraz rozporządzenie DORA?
• W jaki sposób brak testów ciągłości działania łączy zapasowych i błędna konfiguracja routingu BGP wpływa na ocenę profilu ryzyka operacyjnego instytucji finansowej w badaniu BION prowadzonym przez Urząd KNF?
• Czym różni się zarządzanie kontami administratorów baz danych w modelu tradycyjnym od modelu zintegrowanego z rozwiązaniem klasy Privileged Access Management (PAM)?

3. Opis stanu faktycznego środowiska IT banku w Wieliczce, architektura sieciowa i wykaz systemów transakcyjnych.

4. Tabela Zaawansowanej Analizy Ryzyka w matrycy 3x3 (4 wektory zagrożeń, ryzyko inherentne vs. rezydualne).

5. Formalne Karty Niezgodności:

• Karta NC1 (Niezgodność Duża) - brak procesu Patch Management i niezałatane serwery bankowości (Rekomendacja D pkt 10.3, DORA art. 9, ISO 27001 A.8.8).
• Karta NC1 (Niezgodność Duża) - brak testów przełączania łączy i błędy routingu BGP (Rekomendacja D pkt 14.2, DORA art. 11, ISO 27001 A.8.14).
• Karta NC2 (Niezgodność Mała) - brak rejestracji sesji i kontroli kont uprzywilejowanych DBA (Rekomendacja D pkt 9.4, ISO 27001 A.8.2).
• Karta OFI (Szansa na doskonalenie) - wdrożenie monitoringu powierzchni ataku EASM.

6. Protokół dochodzenia przyczyn źródłowych (Root Cause Analysis - 5 Why).

7. Szczegółowe rozwiązanie inżynierskie i organizacyjne (polityka okien serwisowych, specyfikacja klastra stagingowego, konfiguracja zapasowego routingu BGP, specyfikacja PAM).

8. Tabela Planu Działań Korygujących (CAP) z przypisaniem ról, terminów (14-90 dni) i wskaźników KPI/KRI.

9. Analiza zalet i wad (kompromisów inżynierskich i kosztowych) proponowanych rozwiązań.

10. Bibliografia, netografia i odnośniki do regulacji KNF, DORA i norm ISO.

• Komisja Nadzoru Finansowego: "Rekomendacja D dotycząca zarządzania obszarami technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego w bankach", Warszawa 2013 (z późn. zm.).
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyfrowej sektora finansowego (DORA).
• Ustawa z dnia 29 sierpnia 1997 r. - Prawo bankowe (Dz.U. z 2023 r. poz. 2488 z późn. zm.) - art. 9 i 105.
• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - kontrole A.8.2, A.8.8, A.8.14.
• Norma PN-ISO/IEC 27005:2022: Zarządzanie ryzykiem w bezpieczeństwie informacji.
• Związek Banków Polskich: "Katalog dobrych praktyk zarządzania podatnościami w bankowości spółdzielczej", Warszawa 2023.

• U4 Opracowanie zaawansowanego raportu poaudytowego zgodności z Rekomendacją D KNF i DORA.
• U2 Precyzyjna gradacja niezgodności NC1/NC2/OFI w sektorze bankowości spółdzielczej.
• U1 Projekt inżynierski procedury okien serwisowych, routingu BGP oraz wdrożenia PAM.
• U3 Szacowanie ryzyka operacyjnego i teleinformatycznego w matrycy 3x3 z wyliczeniem IR i RR.
• W1W2W3 Głęboka znajomość prawa bankowego, Rekomendacji D, DORA i normy ISO 27001.
• K1K2K3 Profesjonalizm, odpowiedzialność za stabilność depozytów i etyka zawodowa audytora bankowego.

Podczas wystąpienia seminaryjnego zademonstrujcie sposób prezentacji raportu dla Komitetu Audytu i Zarządu Banku: wyjaśnijcie, jak połączyć wyniki analizy technicznej podatności CVSS z matrycą ryzyka 3x3 oraz kluczowymi wskaźnikami ryzyka (KRI), aby udowodnić konieczność natychmiastowego wdrożenia automatycznego repozytorium łatek (WSUS) i środowiska testowego UAT w reżimie DORA.

Głównym celem zadania jest opanowanie przez studentów umiejętności konsolidowania rozproszonych ustaleń audytowych z audytów wielu podmiotów zewnętrznych oraz sporządzania zaawansowanego zbiorczego raportu poaudytowego bezpieczeństwa łańcucha dostaw teleinformatycznych (Supply Chain Security). Studenci badają studium przypadku ogólnopolskiego operatora logistycznego LogistykNet S.A. w Strykowie, który poddał weryfikacji 5 kluczowych dostawców IT (chmurowy WMS SaaS, hosting IaaS, serwis stacji roboczych, bramka integracji API kurierów, ochrona fizyczna magazynów). Zadanie na ocenę 4.0 wymaga: zaawansowanej syntezy wyników cząstkowych w ujednolicony raport zbiorczy, przeprowadzenia analizy ryzyka łańcucha dostaw w matrycy 3x3 dla 4 wektorów zagrożeń (w ujęciu ryzyka inherentnego IR i rezydualnego RR), sporządzenia formalnych kart niezgodności (NC1/NC2/OFI) ze szczególnym uwzględnieniem odmowy poddania się audytowi przez dostawcę WMS, przeprowadzenia dochodzenia przyczyn źródłowych 5 Why dla luk w umowach powierzenia i SLA, a także opracowania operacyjnego Planu Działań Korygujących (CAP) ze wskaźnikami KPI i wzorcowymi zapisami klauzul Right to Audit.

Powiązanie z sylabusem i treściami programowymi:

• U4 Opracowanie zaawansowanego, skonsolidowanego raportu poaudytowego (8-12 stron A4) integrującego audyty 5 dostawców zewnętrznych oraz wygłoszenie 15-minutowego referatu seminaryjnego.
• U2 Identyfikacja i formalna gradacja niezgodności (NC1/NC2/OFI) w obszarze bezpieczeństwa relacji z dostawcami wg Załącznika A normy PN-EN ISO/IEC 27001:2022 oraz art. 28 RODO.
• U1 Opracowanie zaleceń inżynierskich dotyczących bezpiecznej integracji API (TLS 1.3, mTLS, nagłówki Authorization) oraz wzorcowych klauzul umownych Right to Audit i raportowania SOC 2.
• U3 Zastosowanie analizy ryzyka w matrycy 3x3 dla relacji z dostawcami ICT, szacującej wpływ kompromitacji podwykonawcy na ciągłość operacji logistycznych.
• W1 Zaawansowana znajomość przepisów art. 28 RODO (odpowiedzialność administratora za procesorów), przepisów Dyrektywy NIS2 w łańcuchu dostaw oraz prawa umów gospodarczych.
• W2W3 Rozumienie wymagań kontroli A.5.19 - A.5.23 normy ISO/IEC 27001:2022 oraz standardów raportowania atestacyjnego AICPA SOC 2 Typ II i ISAE 3402.
• K1K2K3 Obiektywizm audytorski, umiejętność negocjowania standardów bezpieczeństwa z partnerami rynkowymi oraz profesjonalizm w relacjach B2B.
• Powiązanie z wykładem: Wyk1 (Audyt w łańcuchu dostaw), Wyk2 (Zasady audytowania stron trzecich ISO 19011), Wyk3 (Kontrole dostawców ISO 27001), Wyk4 (RODO i NIS2 w łańcuchu dostaw), Wyk6 (Weryfikacja certyfikatów i raportów SOC 2), Wyk7 (Konsolidacja ustaleń, 5 Why i Plan CAP).

LogistykNet S.A. zarządza centralnym hubem logistycznym w Strykowie oraz 12 centrami przeładunkowymi, przetwarzając dziennie 250 000 paczek dla największych platform e-commerce. Płynność operacyjna spółki jest całkowicie uzależniona od 5 kluczowych dostawców teleinformatycznych.

Stan faktyczny stwierdzony w toku audytu łańcucha dostawców:

• Dostawca 1 (CloudLog Sp. z o.o. - system magazynowy WMS w chmurze SaaS): Kluczowy partner obsługujący stany magazynowe i lokalizację przesyłek. Dostawca kategorycznie odmówił wglądu w logi dostępu oraz udostępnienia wyników testów penetracyjnych, powołując się na tajemnicę przedsiębiorstwa i oświadczając, że posiada 'certyfikat ISO 9001'. Analiza umowy powierzenia wykazała, że dział zakupów LogistykNet podpisał standardowy regulamin dostawcy pozbawiony klauzuli prawa do audytu (Right to Audit).
• Dostawca 2 (Centrum Danych IaaS w Warszawie): Dostawca infrastruktury serwerowej przedstawił aktualny certyfikat ISO/IEC 27001 oraz raport SOC 2 Typ II. Stan zabezpieczeń oceniono wzorowo (OFI: wdrożenie wspólnego SIEM).
• Dostawca 3 (ApiTrans Sp. z o.o. - bramka integracyjna API dla firm kurierskich): Analiza ruchu sieciowego wykazała, że komunikacja API odbywa się z użyciem przestarzałego protokołu TLS 1.1, a tajne klucze autoryzacyjne API przekazywane są jako jawny parametr adresu URL (Query String), co ujawnia tokeny w logach serwerów pośredniczących proxy.
• Dostawca 4 (Firma serwisująca stacje robocze i drukarki kodów kreskowych): Technicy serwisu posiadają stałe konta domenowe z uprawnieniami administratora lokalnego na stacjach w hubie logistycznym, a ich aktywność nie podlega żadnemu logowaniu ani rejestracji.
• Dostawca 5 (Agencja ochrony fizycznej magazynów): Prawidłowe procedury bramowe, jednak brak procedury postępowania z zagubionymi skanerami magazynowymi.

Zarząd LogistykNet S.A. oczekuje zaawansowanego skonsolidowanego raportu, który uszereguje dostawców w matrycy ryzyka 3x3, przeprowadzi dochodzenie 5 Why dla błędu umownego z CloudLog oraz przedstawi Plan CAP z wzorcowymi aneksami bezpieczeństwa do umów SLA.

W skład zespołu wchodzą studenci realizujący następujące role:

• Rola 1: Audytor Wiodący / Koordynator Audytu Łańcucha Dostaw (Lead Auditor) - odpowiada za konsolidację ustaleń, sporządzenie Podsumowania Menedżerskiego z rankingiem dojrzałości dostawców, analizę ryzyk biznesowych i poprowadzenie referatu.
• Rola 2: Audytor Techniczny Integracji Chmurowych i API (Architekt Bezpieczeństwa) - analizuje podatności transmisji API Dostawcy 3, niekontrolowany dostęp administracyjny Dostawcy 4, projektuje architekturę mTLS, rotację kluczy API i formułuje zalecenia inżynierskie SMART.
• Rola 3: Audytor Zgodności Umownej i Ryzyka Regulacyjnego (Oficer Ryzyka / Prawnik Kontraktowy) - przeprowadza analizę ryzyka 3x3, sporządza karty niezgodności (NC1/NC2/OFI), prowadzi dochodzenie 5 Why dla luki w umowie WMS oraz buduje Plan CAP z aneksami Right to Audit. W zespole 2-osobowym zadania te dzielą Studenci 1 i 2.

Zadanie realizowane jest przez 2-3 osobowy zespół audytorski w formule studium przypadku:

• Krok 1 (Podział ról i konsolidacja wyników 5 audytów cząstkowych):

  Student 1 (Audytor Wiodący): Agreguje dane z 5 audytów cząstkowych, tworzy profil dojrzałości każdego dostawcy i redaguje Executive Summary dla Zarządu.

  Student 2 (Audytor Techniczny): Przygotowuje analizę podatności API Dostawcy 3: opisuje ryzyko ataku Man-in-the-Middle (MitM) i przechwycenia tokenów kurierskich, projektuje wymuszenie nagłówków Authorization Bearer i protokołu TLS 1.3. Opracowuje procedurę odbierania uprawnień stałych administratora serwisantom Dostawcy 4 na rzecz kont Just-In-Time.

  Student 3 (Audytor Ryzyka i CAP): Przeprowadza analizę ryzyka 3x3 dla łańcucha dostaw, sporządza karty niezgodności (NC1/NC2/OFI), prowadzi procedurę 5 Why dla braku klauzuli Right to Audit oraz konstruuje tabelę Planu CAP z wzorcowymi zapisami umownymi.

• Krok 2 (Zaawansowana analiza ryzyka metodą 3x3):

  Oszacujcie prawdopodobieństwo (P: 1-3) i skutek (S: 1-3) w skali 9-stopniowej dla 4 wektorów zagrożeń (ryzyko inherentne IR vs. rezydualne RR po kontrolach):

  1. Przechwycenie kluczy API Dostawcy 3 i modyfikacja danych przesyłek e-commerce (P=3, S=3 → R=9: Krytyczne; po kontrolach: P=1, S=2 → R=2: Niskie).

  2. Niewykryty wyciek danych lub awaria w chmurze WMS z powodu odmowy audytowalności Dostawcy 1 (P=3, S=3 → R=9; po kontrolach: P=1, S=3 → R=3: Niskie).

  3. Infekcja stacji w hubie logistycznym przez niekontrolowane konta serwisantów Dostawcy 4 (P=2, S=3 → R=6: Średnie; po kontrolach: P=1, S=2 → R=2: Niskie).

  4. Kary umowne od platform e-commerce i sankcje UODO z art. 28 RODO za brak nadzoru nad podwykonawcami (P=3, S=3 → R=9; po kontrolach: P=1, S=2 → R=2: Niskie).

• Krok 3 (Formalna kwalifikacja uchybień - Karty Niezgodności):

  Sformułujcie karty uchybień:

  • Niezgodność Duża (NC1): Brak zapewnienia audytowalności dostawcy chmurowego WMS i brak klauzuli prawa do audytu w umowie powierzenia (naruszenie art. 28 ust. 3 lit. h RODO oraz kontroli ISO/IEC 27001:2022 A.5.19 i A.5.20).
  • Niezgodność Duża (NC1): Przesyłanie poufnych kluczy autoryzacyjnych w adresie URL i stosowanie podatnego protokołu TLS 1.1 przez Dostawcę 3 (naruszenie kontroli ISO 27001 A.8.20 i A.8.24).
  • Niezgodność Mała (NC2): Brak kontroli uprawnień i stałe uprawnienia administratora lokalnego dla techników serwisu zewnętrznego Dostawcy 4 (naruszenie kontroli ISO 27001 A.8.2).
  • Szansa na doskonalenie (OFI): Wdrożenie zautomatyzowanego portalu samoobsługowej weryfikacji dostawców (Vendor Assessment Portal) i integracja raportów SOC 2.
• Krok 4 (Dochodzenie przyczyn źródłowych metodą 5 Why):

  Przeprowadźcie pełną sekwencję 5 pytań dochodzeniowych:

  1. Dlaczego dostawca CloudLog mógł legalnie odmówić poddania się audytowi bezpieczeństwa? (W podpisanej umowie powierzenia przetwarzania danych brakowało klauzuli Right to Audit).

  2. Dlaczego umowa powierzenia nie zawierała klauzuli prawa do audytu? (Dział zakupów podpisał standardowy wzorzec umowny narzucony przez dostawcę oprogramowania).

  3. Dlaczego dział zakupów podpisał wzorzec bez konsultacji z prawnikiem i IOD? (Procedura zakupowa w spółce nie przewidywała obowiązkowej weryfikacji umów IT pod kątem bezpieczeństwa).

  4. Dlaczego wdrożenie WMS było realizowane bez procedury weryfikacji bezpieczeństwa? (Zarząd narzucił 3-miesięczny termin uruchomienia hubu, traktując wymogi bezpieczeństwa jako przeszkodę biznesową).

  5. Root Cause (Przyczyna źródłowa): Brak ładu zarządczego w obszarze Vendor Risk Management oraz brak procedury Security by Procurement wymuszającej audytowalność każdego dostawcy ICT przed podpisaniem kontraktu.

• Krok 5 (Konstrukcja Planu Działań Korygujących - CAP):

  Opracujcie tabelę CAP z rolami, terminami (14-90 dni), wskaźnikami KPI i projektami aneksów umownych.

• Krok 6 (Przygotowanie raportu i obrony):

  Zredagujcie skonsolidowany raport poaudytowy (8-12 stron A4) i przygotujcie 15-minutową prezentację.

Plan prezentacji referatu seminaryjnego (15 minut):

• Wprowadzenie do audytu łańcucha dostaw w LogistykNet S.A. (3 min): Rola hubu w Strykowie, zależność od podwykonawców IT i cel audytu (Student 1).
• Skonsolidowane Podsumowanie Menedżerskie i analiza ryzyk 3x3 (3 min): Prezentacja matrycy dojrzałości dostawców, 4 wektorów zagrożeń i ryzyk IR vs RR (Student 1 lub Student 3).
• Szczegółowe ustalenia techniczne w integracjach API i stacjach roboczych (3 min): Luki API Dostawcy 3, wyciek tokenów w URL i niekontrolowane uprawnienia Dostawcy 4 (Student 2).
• Problem audytowalności SaaS, dochodzenie 5 Why i Plan CAP (4 min): Analiza odmowy Dostawcy 1, dekonstrukcja przyczyn braku Right to Audit i tabela CAP z KPI (Student 3 i Student 2).
• Podsumowanie, rekomendacje kontraktowe dla branży TSL i dyskusja (2 min): Odpowiedzi na pytania komisji laboratoryjnej (cały zespół).

Wymagana struktura raportu poaudytowego na ocenę 4.0 (objętość 8-12 stron A4):

1. Podsumowanie zarządcze (Executive Summary) dla Zarządu LogistykNet S.A. z rankingiem dojrzałości 5 dostawców.

2. Odpowiedzi na zaawansowane pytania problemowe:

• W jaki sposób audytor powinien zareagować, gdy dostawca chmurowego systemu krytycznego odmawia poddania się audytowi, powołując się na certyfikat ISO 9001 i tajemnicę przedsiębiorstwa?
• Jakie zapisy umowne dotyczące prawa do audytu (Right to Audit), raportów atestacyjnych SOC 2 Typ II oraz kar umownych za brak notyfikacji o incydencie w 24h powinny znaleźć się we wzorcowej umowie powierzenia z dostawcą ICT?
• Czym różnią się ryzyka integracji interfejsów API w modelu uwierzytelniania w adresie URL od modelu opartego na mTLS i nagłówkach Authorization Bearer?

3. Opis stanu faktycznego, architektura integracji hubu logistycznego z 5 dostawcami teleinformatycznymi.

4. Tabela Zaawansowanej Analizy Ryzyka w matrycy 3x3 (4 wektory zagrożeń, ryzyko inherentne vs. rezydualne).

5. Formalne Karty Niezgodności:

• Karta NC1 (Niezgodność Duża) - brak prawa do audytu i odmowa weryfikacji dostawcy WMS (art. 28 RODO, ISO 27001 A.5.19/A.5.20).
• Karta NC1 (Niezgodność Duża) - krytyczne luki w transmisji API i tokeny w URL u Dostawcy 3 (ISO 27001 A.8.20/A.8.24).
• Karta NC2 (Niezgodność Mała) - niekontrolowany dostęp administracyjny techników serwisu Dostawcy 4 (ISO 27001 A.8.2).
• Karta OFI (Szansa na doskonalenie) - wdrożenie Vendor Assessment Portal i weryfikacja raportów SOC 2.

6. Protokół dochodzenia przyczyn źródłowych (Root Cause Analysis - 5 Why).

7. Szczegółowe rozwiązanie inżynierskie i kontraktowe (specyfikacja rekonfiguracji API, polityka kont Just-In-Time dla serwisu, wzorcowy aneks DPA z klauzulą Right to Audit).

8. Tabela Planu Działań Korygujących (CAP) z przypisaniem ról, terminów (14-90 dni) i wskaźników KPI.

9. Analiza zalet i wad (kompromisów inżynierskich i negocjacyjnych) proponowanych rozwiązań.

10. Bibliografia, netografia i odnośniki do norm ISO 27001, standardów AICPA SOC 2 i RODO.

• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - kontrole A.5.19 (Bezpieczeństwo w relacjach z dostawcami), A.5.20 (Umowy z dostawcami), A.5.21 (Łańcuch dostaw ICT), A.5.22, A.5.23 (Usługi chmurowe).
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 28 (Podmiot przetwarzający i obowiązki audytowe).
• American Institute of CPAs (AICPA): "SOC for Service Organizations: Trust Services Criteria (SOC 2 Type II)", 2022.
• Norma PN-EN ISO 19011:2018: Wytyczne dotyczące audytowania systemów zarządzania - punkt 6.5.
• Agencja Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA): "Threat Landscape for Supply Chain Attacks", 2021.
• Urząd Ochrony Danych Osobowych: "Poradnik dotyczący prawidłowego zawierania umów powierzenia", Warszawa 2020.

• U4 Opracowanie zaawansowanego skonsolidowanego raportu z audytu 5 dostawców ICT.
• U2 Formalna gradacja uchybień w relacjach z dostawcami (NC1/NC2/OFI) wg ISO 27001 i RODO.
• U1 Projekt zaleceń inżynierskich bezpiecznego API oraz wzorcowych klauzul Right to Audit.
• U3 Szacowanie ryzyka w łańcuchu dostaw e-commerce z wyliczeniem IR i RR.
• W1W2W3 Znajomość kontroli ISO 27001 A.5.19-A.5.23, art. 28 RODO i standardu SOC 2.
• K1K2K3 Profesjonalizm w relacjach B2B, asertywność wobec dostawców oprogramowania.

W trakcie obrony referatu zaprezentujcie matrycę oceny dojrzałości 5 dostawców łańcucha logistycznego oraz symulację negocjacji poaudytowych z zarządem dostawcy SaaS TMS: wyjaśnijcie, jak wykorzystać dochodzenie 5 Why i argumentację z art. 28 RODO oraz ISO 27001, aby wyegzekwować prawo do audytu (Right-to-Audit) i sformalizować sankcje umowne za incydenty.

Głównym celem zadania jest opanowanie przez studentów zaawansowanych umiejętności sporządzania oficjalnego urzędowego sprawozdania z audytu cyberbezpieczeństwa dla operatora usługi kluczowej (OUK) w reżimie Ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC) i dyrektywy NIS2, przekazywanego właściwemu ministrowi oraz zespołowi CSIRT poziomu krajowego. Studenci analizują studium przypadku regionalnego dystrybutora energii elektrycznej EnergoDystrybucja Sp. z o.o. w Opolu. Zadanie na ocenę 4.0 wymaga: przeprowadzenia syntezy dowodów z trudnego technologicznie środowiska automatyki przemysłowej OT/SCADA oraz korporacyjnego IT, oszacowania ryzyk sabotażu i przerw w dostawie energii w matrycy 3x3 dla 4 wektorów zagrożeń, sporządzenia formalnych kart niezgodności (NC1/NC2/OFI) z powołaniem normy PN-EN IEC 62443 i Ustawy o KSC, przeprowadzenia dochodzenia przyczyn źródłowych 5 Why dla braku separacji strefowej sieci przemysłowej, opracowania rygorystycznego Planu Działań Korygujących (CAP) ze wskaźnikami KPI i terminami 14-90 dni, a także formalnego zamknięcia audytu zgodnie z normą PN-EN ISO 19011:2018 (punkt 6.6).

Powiązanie z sylabusem i treściami programowymi:

• U4 Opracowanie zaawansowanego sprawozdania urzędowego (8-12 stron A4) spełniającego rygory Rozporządzenia Ministra Cyfryzacji w sprawie audytów KSC oraz wygłoszenie 15-minutowego referatu seminaryjnego.
• U2 Identyfikacja, opis i kwalifikacja niezgodności krytycznych (NC1) i zasadniczych (NC2) w systemach automatyki przemysłowej OT/SCADA.
• U1 Opracowanie zaawansowanych zaleceń inżynierskich dotyczących architektury stref Purdue Model, przemysłowych zapór sieciowych z inspekcją DPI oraz tuneli VPN z MFA dla serwisu zewnętrznego.
• U3 Zastosowanie zaawansowanej analizy ryzyka w matrycy 3x3 dla zagrożeń ciągłości dostaw energii elektrycznej dla ludności i zakładów strategicznych.
• W1 Zaawansowana znajomość przepisów Ustawy o KSC (art. 8-15), dyrektywy NIS2, Rozporządzenia ws. audytów KSC oraz przepisów o ochronie infrastruktury krytycznej.
• W2W3 Rozumienie relacji pomiędzy standardami IT (ISO 27001), standardami automatyki przemysłowej (PN-EN IEC 62443-3-3, NIST SP 800-82) a procedurą zamykania audytu ISO 19011.
• K1K2K3 Najwyższa dbałość o poufność i klauzulowanie informacji niejawnych i wrażliwych w infrastrukturze krytycznej oraz świadomość wagi bezpieczeństwa narodowego.
• Powiązanie z wykładem: Wyk1 (Audyt w infrastrukturze krytycznej), Wyk2 (Zamykanie procesu audytowego ISO 19011), Wyk3 (Kontrole A.8 ISO 27001), Wyk4 (Ustawa o KSC i dyrektywa NIS2), Wyk5 (Risk-based audit w systemach OT/SCADA), Wyk6 (Specyfika dowodów cyfrowych w automatyce), Wyk7 (Oficjalne sprawozdania dla CSIRT, 5 Why i Plan CAP).

EnergoDystrybucja Sp. z o.o. w Opolu zasila w energię 400 000 odbiorców, w tym strategiczne zakłady chemiczne, szpitale i węzeł kolejowy, posiadając status Operatora Usługi Kluczowej (OUK). Dyspozytornia mocy nadzoruje 48 Głównych Punktów Zasilania (GPZ).

Stan faktyczny w obszarze zbadanym i zidentyfikowane luki:

• Brak separacji logicznej pomiędzy siecią IT a strefą przemysłową OT: Stacje inżynierskie SCADA w podstacjach GPZ należą do korporacyjnej domeny Active Directory, a ruch pomiędzy biurami a stacjami elektroenergetycznymi nie przechodzi przez dedykowany przemysłowy firewall aplikacyjny (naruszenie koncepcji stref Purdue Model / IEC 62443).
• Niezabezpieczony dostęp zdalny zagranicznego serwisu automatyki: Serwisanci niemieckiego producenta sterowników PLC posiadają stały tunel VPN zakończony bezpośrednio w podsieci sterowania ruchem, z pojedynczym hasłem o niskiej entropii, bez wymuszenia uwierzytelniania wieloskładnikowego (MFA) i bez konieczności każdorazowej autoryzacji sesji przez dyspozytora mocy.
• Podatności krytyczne w routerach telemetrycznych LTE na podstacjach: Zewnętrzne routery brzegowe posiadają niezałatane luki firmware'owe o ocenie CVSS 9.8 (RCE bez uwierzytelnienia), co w przypadku eksploatacji umożliwia zafałszowanie odczytów telemetrii i sabotaż automatyki zabezpieczeniowej.
• Reagowanie na incydenty: Brak udokumentowanych ćwiczeń symulacyjnych reagowania na incydenty krytyczne we współpracy z CSIRT Energetyka.

Zarząd Spółki oczekuje oficjalnego Sprawozdania z audytu bezpieczeństwa OUK (zgodnie z art. 15 KSC) dla Ministra Klimatu i Środowiska oraz CSIRT NASK/MON, zawierającego matrycę ryzyka 3x3, analizę 5 Why oraz rygorystyczny Plan CAP z protokołem formalnego zamknięcia audytu.

W skład zespołu wchodzą studenci realizujący następujące role:

• Rola 1: Audytor Wiodący KSC / Główny Sprawozdawca Urzędowy (Lead Auditor) - koordynuje audyt, sporządza urzędowe sprawozdanie z oświadczeniem o bezstronności, redaguje syntezę dla organu właściwego ds. cyberbezpieczeństwa, protokół zamknięcia audytu wg ISO 19011 i prowadzi referat.
• Rola 2: Audytor Techniczny Cyberbezpieczeństwa OT/SCADA (Architekt Bezpieczeństwa Przemysłowego) - analizuje Purdue Model, konfigurację firewalli przemysłowych, podatności routerów LTE i brak MFA w VPN, projektuje architekturę stref IEC 62443 i zalecenia inżynierskie.
• Rola 3: Audytor Zgodności Regulacyjnej i Jakości CAP (Oficer Ryzyka / Pełnomocnik KSC) - przeprowadza analizę ryzyka 3x3, sporządza karty niezgodności (NC1/NC2/OFI), prowadzi dochodzenie 5 Why oraz buduje tabelę Planu CAP ze sztywnymi terminami ustawowymi. W zespole 2-osobowym zadania te dzielą Studenci 1 i 2.

Zadanie realizowane jest przez 2-3 osobowy zespół audytorski w formule studium przypadku:

• Krok 1 (Podział ról i analiza wymogów formalnych Rozporządzenia ws. audytów KSC):

  Student 1 (Audytor Wiodący KSC): Analizuje Rozporządzenie Ministra Cyfryzacji ws. audytów KSC. Przygotowuje formalną metrykę urzędową (uprawnienia audytorów, metodyka, oświadczenie o braku konfliktu interesów, rygory klauzulowania tajemnicy przedsiębiorstwa).

  Student 2 (Audytor Techniczny OT): Przekłada uchybienia na model Purdue: Strefa 4 (IT korporacyjne), Strefa 3.5 (DMZ przemysłowe), Strefa 3 (Zarządzanie operacjami), Strefa 2 (SCADA), Strefa 1 (sterowniki PLC). Projektuje wdrożenie przemysłowych zapór NGFW z inspekcją DPI dla protokołu IEC 60870-5-104 oraz tuneli VPN z wymuszonym MFA i sesjami jednorazowymi zatwierdzanymi przez dyspozytora.

  Student 3 (Audytor Ryzyka i CAP): Przeprowadza analizę ryzyka 3x3 dla 4 wektorów sabotażu i awarii zasilania, sporządza karty niezgodności (NC1/NC2/OFI), prowadzi procedurę 5 Why oraz tworzy tabelę Planu CAP.

• Krok 2 (Zaawansowana analiza ryzyka metodą 3x3):

  Oszacujcie prawdopodobieństwo (P: 1-3) i skutek (S: 1-3) w skali 9-stopniowej dla 4 wektorów zagrożeń (ryzyko inherentne IR vs. rezydualne RR po kontrolach):

  1. Przejęcie sterowników PLC stacji GPZ przez brak separacji IT/OT i wywołanie blackoutu (P=2, S=3 → R=6: Średnie; po kontrolach: P=1, S=2 → R=2: Niskie).

  2. Kompromitacja hasła VPN serwisanta zagranicznego i manipulacja telemetrią (P=3, S=3 → R=9: Krytyczne; po kontrolach: P=1, S=2 → R=2: Niskie).

  3. Masowa eksploatacja luki CVSS 9.8 w routerach LTE podstacji przez złośliwy botnet (P=3, S=3 → R=9; po kontrolach: P=1, S=2 → R=2: Niskie).

  4. Kary administracyjne organu właściwego ds. cyberbezpieczeństwa za naruszenie art. 8-10 KSC (P=3, S=3 → R=9; po kontrolach: P=1, S=2 → R=2: Niskie).

• Krok 3 (Formalna kwalifikacja uchybień - Karty Niezgodności):

  Sformułujcie karty uchybień:

  • Niezgodność Duża (NC1): Brak logicznej i fizycznej separacji strefy automatyki przemysłowej OT od sieci korporacyjnej IT (naruszenie art. 8 pkt 1 i art. 9 Ustawy o KSC oraz normy PN-EN IEC 62443-3-3).
  • Niezgodność Duża (NC1): Zdalny dostęp serwisowy dostawców zewnętrznych bez uwierzytelniania wieloskładnikowego MFA i bez nadzoru sesji (naruszenie art. 8 pkt 2 Ustawy o KSC oraz kontroli ISO/IEC 27001:2022 A.8.5).
  • Niezgodność Duża (NC1): Krytyczne luki w oprogramowaniu routerów brzegowych LTE na podstacjach GPZ (naruszenie art. 10 Ustawy o KSC i kontroli ISO 27001 A.8.8).
  • Szansa na doskonalenie (OFI): Wdrożenie dedykowanego systemu pasywnego monitorowania anomalii sieci przemysłowej OT/ICS (np. Claroty, Nozomi Networks).
• Krok 4 (Dochodzenie przyczyn źródłowych metodą 5 Why):

  Przeprowadźcie pełną sekwencję 5 pytań dochodzeniowych:

  1. Dlaczego stacje inżynierskie SCADA w podstacjach były wpięte do korporacyjnej domeny IT? (Inżynierowie chcieli centralnie aktualizować programy antywirusowe i pobierać pliki konfiguracji).

  2. Dlaczego nie wdrożono dedykowanego, odizolowanego serwera aktualizacji w przemysłowym DMZ? (Projekt modernizacji podstacji z 2021 r. nie uwzględnił kosztu zapór przemysłowych i serwerów DMZ).

  3. Dlaczego projekt pominął wymogi separacji sieciowej? (Osoby zamawiające modernizację nie znały wymogów normy IEC 62443 ani Ustawy o KSC).

  4. Dlaczego Dział Bezpieczeństwa nie opiniował specyfikacji przetargowej GPZ? (Pion techniczny OT działał w silosie, traktując cyberbezpieczeństwo jako domenę wyłącznie biurowego IT).

  5. Root Cause (Przyczyna źródłowa): Brak zintegrowanego ładu zarządczego IT/OT oraz brak wdrożenia standardu stref i kanałów normy PN-EN IEC 62443 w procesach inwestycyjnych infrastruktury krytycznej.

• Krok 5 (Konstrukcja Planu Działań Korygujących - CAP):

  Opracujcie tabelę CAP ze sztywnymi terminami ustawowymi (14, 30, 90 dni), rolami i wskaźnikami KPI.

• Krok 6 (Przygotowanie sprawozdania urzędowego i obrony):

  Zredagujcie sprawozdanie z audytu KSC z Protokołem Zamknięcia Audytu (punkt 6.6 ISO 19011) i przygotujcie 15-minutową prezentację.

Plan prezentacji referatu seminaryjnego (15 minut):

• Wprowadzenie i ramy urzędowe audytu KSC w EnergoDystrybucji Sp. z o.o. (3 min): Rola OUK, podstawa prawna art. 15 KSC i cel badania sieci elektroenergetycznej (Student 1).
• Urzędowe Podsumowanie Menedżerskie i analiza ryzyk 3x3 dla organu nadzorczego (3 min): Prezentacja profilu ryzyka blackoutu, 4 wektorów zagrożeń i ryzyk IR vs RR (Student 1 lub Student 3).
• Techniczne ustalenia w strefie SCADA/OT i model Purdue (3 min): Brak separacji IT/OT, niebezpieczny VPN serwisantów bez MFA i luki routerów LTE (Student 2).
• Karty niezgodności NC1/OFI, protokół 5 Why oraz Plan CAP (4 min): Dekonstrukcja przyczyn źródłowych, harmonogram ustawowy CAP i protokół zamknięcia audytu wg ISO 19011 (Student 3 i Student 2).
• Podsumowanie, wnioski dla sektora energii i dyskusja z komisją (2 min): Odpowiedzi na pytania prowadzącego (cały zespół).

Wymagana struktura oficjalnego sprawozdania poaudytowego KSC na ocenę 4.0 (objętość 8-12 stron A4):

1. Metryka formalna, dane jednostki audytującej, certyfikaty audytorów i oświadczenie o braku konfliktu interesów.

2. Podsumowanie zarządcze dla Ministra Klimatu i Środowiska oraz Zarządu OUK (język ryzyk ciągłości dostaw energii).

3. Odpowiedzi na zaawansowane pytania problemowe:

• Jakie obligatoryjne wymagania formalne dotyczące sprawozdania z audytu bezpieczeństwa OUK nakłada Rozporządzenie Ministra Cyfryzacji i w jakim trybie przekazuje się je organowi właściwemu i właściwemu CSIRT?
• W jaki sposób model Purdue i norma PN-EN IEC 62443-3-3 definiują zasady bezpiecznej separacji sieci korporacyjnej IT od przemysłowej sieci sterowania OT w podstacjach energetycznych?
• Jakie procedury formalnego zamknięcia audytu przewiduje norma ISO 19011:2018 (punkt 6.6) w sytuacji, gdy audytorzy identyfikują krytyczne uchybienia bezpośrednio zagrażające ciągłości działania usługi kluczowej?

4. Opis stanu faktycznego dyspozytorni SCADA, podstacji GPZ i telemetrii EnergoDystrybucji.

5. Tabela Zaawansowanej Analizy Ryzyka w matrycy 3x3 (4 wektory zagrożeń, ryzyko inherentne vs. rezydualne).

6. Formalne Karty Niezgodności:

• Karta NC1 (Niezgodność Duża) - brak separacji logicznej IT/OT (art. 8 pkt 1 KSC, IEC 62443-3-3).
• Karta NC1 (Niezgodność Duża) - brak MFA i stały dostęp VPN serwisantów (art. 8 pkt 2 KSC, ISO 27001 A.8.5).
• Karta NC1 (Niezgodność Duża) - luki CVSS 9.8 w routerach telemetrycznych LTE (art. 10 KSC, ISO 27001 A.8.8).
• Karta OFI (Szansa na doskonalenie) - wdrożenie pasywnego systemu detekcji anomalii OT/ICS.

7. Protokół dochodzenia przyczyn źródłowych (Root Cause Analysis - 5 Why).

8. Szczegółowe rozwiązanie inżynierskie i proceduralne (architektura stref Purdue, konfiguracja NGFW OT z inspekcją DPI, procedura dostępu zdalnego z MFA i zatwierdzaniem dyspozytorskim).

9. Tabela Planu Działań Korygujących (CAP) ze sztywnymi terminami ustawowymi (14, 30, 90 dni) i wskaźnikami KPI.

10. Protokół Formalnego Zamknięcia Audytu zgodnie z normą PN-EN ISO 19011:2018 (punkt 6.6).

11. Bibliografia, netografia i odnośniki do Ustawy o KSC, dyrektywy NIS2 i normy IEC 62443.

• Ustawa z dnia 5 lipca 2018 r. o Krajowym Systemie Cyberbezpieczeństwa (Dz.U. z 2023 r. poz. 913 z późn. zm.) - art. 8-15.
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa (NIS2).
• Rozporządzenie Ministra Cyfryzacji z dnia 12 października 2018 r. w sprawie warunków organizacyjnych i technicznych dla podmiotów przeprowadzających audyt bezpieczeństwa (Dz.U. z 2018 r. poz. 1999).
• Norma PN-EN IEC 62443-3-3:2019: Bezpieczeństwo systemów automatyki przemysłowej i sterowania - Wymagania dotyczące bezpieczeństwa.
• Norma PN-EN ISO 19011:2018: Wytyczne dotyczące audytowania systemów zarządzania - punkt 6.6 (Zakończenie audytu).
• NIST Special Publication 800-82 Rev. 3: "Guide to Operational Technology (OT) Security", 2023.

• U4 Sporządzenie oficjalnego sprawozdania z audytu KSC z Protokołem Zamknięcia Audytu.
• U2 Precyzyjna gradacja niezgodności krytycznych w systemach automatyki przemysłowej OT/SCADA.
• U1 Projekt inżynierski architektury strefowej IEC 62443 i bezpiecznego dostępu serwisowego z MFA.
• U3 Szacowanie ryzyka blackoutu i sabotażu w matrycy 3x3 z wyliczeniem IR i RR.
• W1W2W3 Głęboka znajomość Ustawy o KSC, dyrektywy NIS2, norm IEC 62443 i ISO 19011.
• K1K2K3 Najwyższa dbałość o klauzulowanie informacji niejawnych w infrastrukturze krytycznej.

Podczas referatu seminaryjnego szczegółowo omówcie formalne rozdzielenie wewnętrznego raportu dla Zarządu od oficjalnego Sprawozdania z audytu OUK przekazywanego ministrowi właściwemu i zespołowi CSIRT poziomu krajowego: wyjaśnijcie metodykę sanitacji informacji wrażliwych oraz sposób prezentacji wyników analizy ryzyka 3x3 dla strefy SCADA OT bez ujawniania wektorów ataku podmiotom nieuprawnionym.

Głównym celem zadania jest opanowanie przez studentów umiejętności opracowywania zaawansowanego raportu poaudytowego dla organów kolegialnych i zarządczych uczelni wyższej (Rektor, Senat), łączącego dyscyplinę kryteriów formalnych normy PN-EN ISO/IEC 27001:2022 z bilansem konstruktywnych szans na doskonalenie (OFI). Studenci badają stan bezpieczeństwa teleinformatycznego Akademii Mazowieckiej w Płocku, ze szczególnym uwzględnieniem Zintegrowanego Systemu Obsługi Studentów (USOS/USOSweb) oraz platformy zdalnego kształcenia Moodle. Zadanie na ocenę 4.0 wymaga: przeprowadzenia ilościowej i jakościowej analizy ryzyka w matrycy 3x3 dla 4 wektorów zagrożeń (w ujęciu ryzyka inherentnego IR i rezydualnego RR), sporządzenia formalnych kart niezgodności (NC1/NC2/OFI), przeprowadzenia dochodzenia przyczyn źródłowych metodą 5 Why dla wieloletniego braku wygaszania kont absolwentów i wykładowców, skonstruowania Planu Działań Korygujących (CAP) opartego na wdrożeniu centralnej usługi zarządzania tożsamością i dostępem (IAM/SSO) ze wskaźnikami KPI i terminami 14-90 dni oraz zredagowania raportu końcowego (8-12 stron A4).

Powiązanie z sylabusem i treściami programowymi:

• U4 Opracowanie zaawansowanego raportu poaudytowego (8-12 stron A4) z bilansem niezgodności i szans na doskonalenie OFI oraz wygłoszenie 15-minutowego referatu seminaryjnego.
• U2 Prawidłowa identyfikacja, precyzyjne sformułowanie i formalna gradacja uchybień (NC1/NC2/OFI) w systemach dziekanatowych i e-learningowych.
• U1 Opracowanie zaleceń inżynierskich dotyczących centralnej usługi katalogowej IAM/SSO, integracji SAML/OAuth2 oraz bezpiecznego przechowywania sekretów aplikacyjnych.
• U3 Przeprowadzenie analizy ryzyka w matrycy 3x3 dla zagrożeń integralności protokołów ocen i poufności danych osobowych studentów.
• W1 Zaawansowana znajomość przepisów Ustawy - Prawo o szkolnictwie wyższym i nauce, zasad ochrony danych studentów (art. 5 i 32 RODO) oraz wymogów KRI dla uczelni publicznych.
• W2W3 Rozumienie wytycznych normy ISO 19011:2018 (punkt 6.5) oraz normy ISO/IEC 27001:2022 w zakresie ciągłego doskonalenia SZBI (klauzula 10.1).
• K1K2K3 Poszanowanie etyki akademickiej, wysoka kultura formułowania zaleceń poaudytowych i konstruktywne doradztwo dla władz uczelni.
• Powiązanie z wykładem: Wyk1 (Audyt w edukacji wyższej), Wyk2 (Zasady raportowania ISO 19011), Wyk3 (Kontrole A.5.15-A.5.18 ISO 27001), Wyk4 (RODO i KRI na uczelniach), Wyk5 (Matryca ryzyka 3x3 ISO 27005), Wyk7 (Bilans OFI, analiza 5 Why i Plan CAP).

Akademia Mazowiecka w Płocku kształci 4 500 studentów na 12 kierunkach, zatrudniając 320 pracowników naukowo-dydaktycznych oraz 110 pracowników administracji. Głównymi narzędziami informatycznymi są system USOS (w tym USOSweb) oraz platforma e-learningowa Moodle.

Stan faktyczny stwierdzony w toku zaawansowanego audytu:

• Brak automatyzacji cyklu życia tożsamości i uprawnień (Lifecycle Management): W systemie USOSweb ujawniono 185 aktywnych kont absolwentów, którzy ukończyli studia w latach 2021-2023, oraz 9 kont byłych wykładowców, których umowy wygasły ponad rok temu. Konta te posiadały nielimitowany wgląd w historyczne protokoły ocen oraz dane osobowe studentów (imiona, nazwiska, numery PESEL, adresy zamieszkania).
• Rażące podatności konfiguracji haseł i sekretów w platformie Moodle: Na serwerze Moodle brakowało polityki blokowania kont po nieudanych próbach logowania (brak ochrony brute-force), a hasło do bazy danych MySQL było zapisane jawnym tekstem w pliku 'config.php' z uprawnieniami odczytu dla wszystkich lokalnych użytkowników serwera Linux (`chmod 644`).
• Nadmiarowe uprawnienia pracowników dziekanatów: 18 pracowników dziekanatów posiadało globalne uprawnienia edycyjne do wprowadzania ocen dla wszystkich wydziałów uczelni, z naruszeniem zasady wiedzy koniecznej (Need-to-Know).
• Szanse na doskonalenie (OFI): Wdrożenie jednokrotnego logowania (Single Sign-On - SSO) opartego na protokole SAML/OpenID Connect oraz procedury bezpiecznego repozytorium Otwartych Danych Badawczych (Open Science).

Rektor i Senat Akademii Mazowieckiej oczekują zaawansowanego raportu poaudytowego, który oceni ryzyka w matrycy 3x3, wyjaśni przyczyny źródłowe w analizie 5 Why oraz przedstawi Plan CAP z koncepcją wdrożenia centralnego systemu IAM.

W skład zespołu wchodzą studenci realizujący następujące role:

• Rola 1: Audytor Wiodący / Sprawozdawca dla Senatu Uczelni (Lead Auditor) - koordynuje prace zespołu, przygotowuje Podsumowanie Menedżerskie z wykresem dojrzałości dla Rektora i Senatu, bada procesy dziekanatowe i prowadzi referat.
• Rola 2: Audytor Techniczny Systemów Dziekanatowych i E-Learningu (Architekt Bezpieczeństwa) - analizuje podatności pliku config.php, brak ochrony brute-force w Moodle, projektuje integrację IAM/SSO z wykorzystaniem SAML/LDAP i formułuje zalecenia inżynierskie.
• Rola 3: Audytor Zgodności Regulacyjnej i Jakości CAP (Oficer Ryzyka / Compliance) - przeprowadza analizę ryzyka w matrycy 3x3, sporządza formalne karty niezgodności (NC1/NC2/OFI), prowadzi procedurę 5 Why oraz buduje tabelę Planu CAP ze wskaźnikami KPI. W zespole 2-osobowym zadania te dzielą Studenci 1 i 2.

Zadanie realizowane jest przez 2-3 osobowy zespół audytorski w formule studium przypadku:

• Krok 1 (Podział ról i ustalenie struktury raportu):

  Student 1 (Audytor Wiodący): Definiuje ramy raportu końcowego, metrykę audytu uczelnianego oraz opracowuje Podsumowanie Menedżerskie dla Senatu z akcentem na ryzyko reputacyjne i utratę akredytacji PKA.

  Student 2 (Audytor Techniczny): Opracowuje techniczny opis podatności Moodle i USOS, projektuje natychmiastowe zabezpieczenie uprawnień do pliku konfiguracyjnego (`chmod 640`), wdrożenie zmiennych środowiskowych oraz architekturę centralnego brokera tożsamości Keycloak/FreeIPA.

  Student 3 (Audytor Ryzyka i CAP): Przeprowadza zaawansowaną analizę ryzyka w matrycy 3x3 dla 4 wektorów zagrożeń, sporządza karty niezgodności (NC1/NC2/OFI), prowadzi sekwencję 5 Why oraz tworzy tabelę Planu CAP ze wskaźnikami KPI i terminami 14-90 dni.

• Krok 2 (Zaawansowana analiza ryzyka metodą 3x3):

  Oszacujcie prawdopodobieństwo (P: 1-3) i skutek (S: 1-3) w skali 9-stopniowej dla 4 wektorów zagrożeń (ryzyko inherentne IR vs. rezydualne RR po kontrolach):

  1. Nieuprawniony wgląd i modyfikacja protokołów ocen przez byłych pracowników i absolwentów (P=3, S=3 → R=9: Krytyczne; po kontrolach: P=1, S=2 → R=2: Niskie).

  2. Przejęcie bazy Moodle i kradzież kont studentów przez jawne hasło w pliku config.php (P=3, S=3 → R=9; po kontrolach: P=1, S=2 → R=2: Niskie).

  3. Kary finansowe UODO za przechowywanie danych absolwentów bez podstawy prawnej z art. 5 ust. 1 lit. e RODO (P=3, S=2 → R=6: Średnie; po kontrolach: P=1, S=2 → R=2: Niskie).

  4. Błędy w naliczaniu stypendiów i nieuprawniony dostęp pracowników dziekanatów innych wydziałów (P=2, S=3 → R=6: Średnie; po kontrolach: P=1, S=2 → R=2: Niskie).

• Krok 3 (Formalna kwalifikacja uchybień - Karty Niezgodności):

  Sformułujcie karty uchybień:

  • Niezgodność Duża (NC1): Brak procedury cyklu życia kont i aktywne konta absolwentów oraz byłych pracowników w USOSweb (naruszenie art. 5 ust. 1 lit. e i f RODO, par. 20 KRI oraz kontroli ISO/IEC 27001:2022 A.5.18).
  • Niezgodność Duża (NC1): Przechowywanie haseł do bazy danych jawnym tekstem w pliku konfiguracyjnym i brak polityki blokady kont na platformie Moodle (naruszenie kontroli ISO 27001 A.8.5 i A.8.9).
  • Niezgodność Mała (NC2): Nadmiarowe uprawnienia edycyjne pracowników dziekanatów wykraczające poza macierzysty instytut (naruszenie kontroli ISO 27001 A.8.2).
  • Szansa na doskonalenie (OFI 1): Wdrożenie jednokrotnego logowania (Single Sign-On - SSO) opartego na protokole SAML/OpenID Connect dla wszystkich usług uczelni.
  • Szansa na doskonalenie (OFI 2): Opracowanie wytycznych bezpiecznego udostępniania surowych danych badawczych w repozytorium Open Science.
• Krok 4 (Dochodzenie przyczyn źródłowych metodą 5 Why):

  Przeprowadźcie pełną sekwencję 5 pytań dochodzeniowych:

  1. Dlaczego konta absolwentów pozostawały aktywne przez lata po ukończeniu studiów? (Centrum Informatyczne nie otrzymywało informacji o dacie obrony dyplomu od dziekanatów).

  2. Dlaczego dziekanaty nie zgłaszały obronionych studentów do informatyków? (W uczelni brakowało formalnej procedury elektronicznego obiegu karty obiegowej absolwenta).

  3. Dlaczego informatycy nie wygaszali kont automatycznie na podstawie statusu w bazie USOS? (System USOS nie posiadał skonfigurowanego zautomatyzowanego konektora do Active Directory).

  4. Dlaczego Dział IT nie zakupił ani nie skonfigurował takiego konektora? (Władze uczelni nie uważały zarządzania tożsamością za priorytet inwestycyjny).

  5. Root Cause (Przyczyna źródłowa): Brak całościowego ładu zarządzania tożsamością cyfrową (IAM Governance) oraz silosowa architektura systemów dydaktycznych funkcjonujących bez integracji z centralnym rejestrem kadrowo-studenckim.

• Krok 5 (Konstrukcja Planu Działań Korygujących - CAP):

  Opracujcie tabelę CAP z podziałem zadań pomiędzy Centrum Informatyczne, Dział Kadr i Dziekanaty, z terminami (14-90 dni) i wskaźnikami KPI.

• Krok 6 (Przygotowanie raportu i referatu):

  Zredagujcie kompletny raport poaudytowy (8-12 stron A4) i przygotujcie 15-minutową prezentację seminaryjną.

Plan prezentacji referatu seminaryjnego (15 minut):

• Wprowadzenie do audytu bezpieczeństwa w Akademii Mazowieckiej w Płocku (3 min): Profil uczelni, specyfika systemów USOS i Moodle oraz cele audytu (Student 1).
• Podsumowanie Menedżerskie dla Rektora i Senatu oraz analiza ryzyk 3x3 (3 min): Prezentacja profilu ryzyka tożsamości cyfrowej, 4 wektorów zagrożeń i ryzyk IR vs RR (Student 1 lub Student 3).
• Szczegółowe ustalenia techniczne w USOS i Moodle (3 min): Analiza martwych kont, jawnych haseł w pliku config.php i braku ochrony brute-force (Student 2).
• Karty niezgodności NC1/NC2, bilans OFI, dochodzenie 5 Why i Plan CAP (4 min): Dekonstrukcja przyczyn, koncepcja wdrożenia IAM/SSO i harmonogram z KPI (Student 3 i Student 2).
• Podsumowanie, wnioski dla szkolnictwa wyższego i dyskusja z komisją (2 min): Odpowiedzi na pytania prowadzącego (cały zespół).

Wymagana struktura raportu poaudytowego na ocenę 4.0 (objętość 8-12 stron A4):

1. Podsumowanie zarządcze (Executive Summary) dla Rektora, Dziekanów i Senatu Uczelni.

2. Odpowiedzi na zaawansowane pytania problemowe:

• Czym w metodyce ISO 19011:2018 różni się Niezgodność (Nonconformity) od Szansy na Doskonalenie (Opportunity for Improvement - OFI) i w jaki sposób zrównoważone raportowanie obu kategorii buduje dojrzałość SZBI w instytucji akademickiej?
• Jakie zagrożenia dla integralności procesu dydaktycznego i akredytacji kierunków studiów stwarza brak automatycznego odbierania uprawnień do systemów dziekanatowych po ukończeniu studiów przez studenta lub odejściu wykładowcy?
• W jaki sposób zaprojektować architekturę centralnego zarządzania tożsamością (IAM) i jednokrotnego logowania (SSO) w środowisku uczelnianym zintegrowanym z systemem USOS i platformą Moodle?

3. Opis stanu faktycznego infrastruktury teleinformatycznej Akademii Mazowieckiej, wykaz systemów i grup użytkowników.

4. Tabela Zaawansowanej Analizy Ryzyka w matrycy 3x3 (4 wektory zagrożeń, ryzyko inherentne vs. rezydualne).

5. Formalne Karty Niezgodności:

• Karta NC1 (Niezgodność Duża) - brak cyklu życia kont i aktywne konta absolwentów w USOS (art. 5 RODO, ISO 27001 A.5.18).
• Karta NC1 (Niezgodność Duża) - jawne hasła w pliku config.php i brak ochrony brute-force w Moodle (ISO 27001 A.8.5, A.8.9).
• Karta NC2 (Niezgodność Mała) - nadmiarowe uprawnienia edycyjne pracowników dziekanatów (ISO 27001 A.8.2).
• Karta OFI 1 (Szansa na doskonalenie) - wdrożenie centralnego SSO (SAML/OpenID Connect).
• Karta OFI 2 (Szansa na doskonalenie) - procedura bezpiecznego repozytorium Open Science.

6. Protokół dochodzenia przyczyn źródłowych (Root Cause Analysis - 5 Why).

7. Szczegółowe rozwiązanie inżynierskie i organizacyjne (specyfikacja integracji IAM/SSO z USOS, konfiguracja bezpiecznych uprawnień Linux i zmiennych środowiskowych, macierz uprawnień RBAC dla dziekanatów).

8. Tabela Planu Działań Korygujących (CAP) z przypisaniem ról, terminów (14-90 dni) i wskaźników KPI.

9. Analiza zalet i wad (kompromisów inżynierskich i organizacyjnych) proponowanych rozwiązań.

10. Bibliografia, netografia i odnośniki do prawa o szkolnictwie wyższym, RODO i norm ISO.

• Ustawa z dnia 20 lipca 2018 r. - Prawo o szkolnictwie wyższym i nauce (Dz.U. z 2023 r. poz. 742 z późn. zm.).
• Norma PN-EN ISO 19011:2018: Wytyczne dotyczące audytowania systemów zarządzania - punkt 6.5 (Raport z audytu i bilans OFI).
• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - kontrole A.5.15, A.5.18, A.8.2, A.8.5, A.8.9.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 5 ust. 1 lit. e (Zasada ograniczenia przechowywania), art. 32.
• Porozumienie Uczelni Polskich (MUCI): "Standardy bezpieczeństwa teleinformatycznego systemu USOS", 2022.
• Urząd Ochrony Danych Osobowych: "Wskazówki dla szkół wyższych w zakresie retencji kont studentów i absolwentów", Warszawa 2021.

• U4 Opracowanie zaawansowanego raportu poaudytowego z bilansem niezgodności i szans na doskonalenie OFI.
• U2 Formalna gradacja uchybień (NC1/NC2/OFI) w systemach zarządzania dydaktyką akademicką.
• U1 Projekt inżynierski centralnego systemu tożsamości IAM/SSO oraz zabezpieczeń plików konfiguracyjnych.
• U3 Szacowanie ryzyka w matrycy 3x3 dla systemów dziekanatowych i platformy e-learningowej.
• W1W2W3 Znajomość prawa o szkolnictwie wyższym, RODO, KRI i normy ISO 27001.
• K1K2K3 Szacunek dla etyki akademickiej, profesjonalizm w prezentowaniu wniosków przed Senatem.

W trakcie obrony referatu zaprezentujcie strukturę bilansu niezgodności i szans na doskonalenie (OFI) przed Senatem uczelni: wykażcie, w jaki sposób konstruktywna rola audytora pozwala przekształcić krytyczne uchybienia w systemach USOS i Moodle w kompleksowy, 4-kwartalny projekt modernizacji infrastruktury tożsamości (IAM/SSO) wspierający proces akredytacji PKA.

Głównym celem zadania jest opanowanie przez studentów umiejętności opracowywania zaawansowanego raportu poaudytowego z pierwszego w historii przedsiębiorstwa audytu wewnętrznego SZBI wg normy PN-EN ISO/IEC 27001:2022 (klauzula 9.2), przeprowadzonego w realiach średniego przedsiębiorstwa produkcyjnego podlegającego presji audytowej kluczowych klientów (międzynarodowych sieci handlowych). Studenci badają studium przypadku Zakładów Mięsnych Dolina Baryczy Sp. z o.o. w Miliczu. Zadanie na ocenę 4.0 wymaga: przeprowadzenia badania luk (Gap Analysis) w odniesieniu do wszystkich klauzul i kontroli normy ISO/IEC 27001:2022, oszacowania ryzyk biznesowych i produkcyjnych w matrycy 3x3 dla 4 wektorów zagrożeń (w ujęciu ryzyka inherentnego IR i rezydualnego RR), sporządzenia formalnych kart niezgodności (NC1/NC2/OFI), przeprowadzenia dochodzenia przyczyn źródłowych metodą 5 Why dla otwartego dostępu do receptur i haseł na terminalach produkcyjnych, a także opracowania kompletnego, 4-kwartalnego Planu Działań Korygujących (CAP) z przypisaniem ról, budżetów i wskaźników KPI przygotowującego spółkę do audytu certyfikującego.

Powiązanie z sylabusem i treściami programowymi:

• U4 Opracowanie kompletnego raportu poaudytowego z pierwszego audytu wewnętrznego SZBI (8-12 stron A4) z 4-kwartalną mapą drogową CAP i wygłoszenie 15-minutowego referatu seminaryjnego.
• U2 Identyfikacja i formalna gradacja uchybień audytowych na Niezgodności Duże (NC1), Niezgodności Małe (NC2) i Szanse na poprawę (OFI) w realiach przemysłowych.
• U1 Opracowanie zaleceń inżynierskich dostosowanych do hal produkcyjnych (ergonomiczne identyfikatory RFID na opaskach nadgarstkowych) oraz ochrony kryptograficznej tajemnicy przedsiębiorstwa.
• U3 Przeprowadzenie analizy ryzyka w matrycy 3x3 dla zagrożeń utraty kontraktów handlowych i kradzieży technologii produkcyjnych.
• W1 Zaawansowana znajomość przepisów Ustawy o zwalczaniu nieuczciwej konkurencji (art. 11 - tajemnica przedsiębiorstwa), prawa gospodarczego i RODO.
• W2W3 Rozumienie wymagań klauzul 4-10 oraz Załącznika A normy ISO/IEC 27001:2022 oraz wytycznych normy ISO 19011:2018.
• K1K2K3 Pragmatyzm inżynierski, umiejętność komunikacji z przedsiębiorcami sektora MŚP i poszanowanie realiów produkcji ciągłej.
• Powiązanie z wykładem: Wyk1 (Audyt w MŚP i łańcuchach dostaw), Wyk2 (Zasady audytowania ISO 19011), Wyk3 (Klauzule i kontrole ISO 27001), Wyk5 (Matryca ryzyka 3x3 w przemyśle), Wyk7 (Gap Analysis, metoda 5 Why i 4-kwartalny Plan CAP).

Zakłady Mięsne Dolina Baryczy Sp. z o.o. zatrudniają 220 pracowników, osiągają roczny obrót 85 mln zł i dostarczają wyroby do wiodących sieci dyskontowych. Główny odbiorca (generujący 60% przychodów) zażądał przedstawienia certyfikatu ISO/IEC 27001 w terminie 12 miesięcy pod rygorem zerwania kontraktu.

Stan faktyczny stwierdzony podczas pierwszego audytu wewnętrznego:

• Brak inwentaryzacji i klasyfikacji aktywów: Brak ewidencji sprzętu komputerowego i systemów. Na halach rozbioru i pakowania działa 18 terminali wagowych połączonych z ERP, na których personel pracuje rotacyjnie.
• Hasła przyklejone na obudowach urządzeń produkcyjnych: Na wagach i terminalach naklejono taśmy malarskie z hasłami ('waga1/1234'). Pracownicy pracują w rękawicach w temperaturze +4 stopni C i tłumaczą, że wpisywanie haseł uniemożliwia realizację normy uboju.
• Tajemnica receptur na otwartym dysku sieciowym: Unikalne receptury mieszanek przyprawowych i technologii wędzenia były przechowywane w folderze sieciowym 'Receptury' z pełnymi uprawnieniami odczytu dla grupy 'Wszyscy' (dostępne dla każdego komputera w biurze).
• Niezabezpieczone kopie zapasowe: Kopia bazy ERP była wykonywana raz w tygodniu na pojedynczy zewnętrzny dysk USB podłączony na stałe do serwera, bez szyfrowania i bez wynoszenia nośników poza teren zakładu.

Właściciel i Prezes Zarządu spółki oczekuje zaawansowanego raportu poaudytowego, który wskaże wyniki badania luk (Gap Analysis), oszacuje ryzyka biznesowe w matrycy 3x3, przeprowadzi dochodzenie 5 Why oraz przedstawi 4-kwartalną mapę drogową (Plan CAP) ze wskaźnikami KPI i kosztorysem inwestycji.

W skład zespołu wchodzą studenci realizujący następujące role:

• Rola 1: Audytor Wiodący / Konsultant Wdrożeniowy SZBI (Lead Auditor) - koordynuje badanie luk, redaguje Podsumowanie Menedżerskie dla Właściciela firmy, analizuje ryzyko utraty kontraktów handlowych i prowadzi referat.
• Rola 2: Audytor Techniczny Infrastruktury Przemysłowej i IT (Architekt Bezpieczeństwa) - analizuje specyfikę hal produkcyjnych, projektuje ergonomiczne logowanie brelokami RFID w opaskach silikonowych, zabezpieczenie folderu receptur (kryptografia AES-256) oraz architekturę kopii 3-2-1 z dyskiem offline.
• Rola 3: Audytor Zgodności ISO 27001 i Jakości CAP (Oficer Ryzyka / Auditor SZBI) - przeprowadza analizę ryzyka w matrycy 3x3, sporządza formalne karty niezgodności (NC1/NC2/OFI), prowadzi dochodzenie 5 Why oraz buduje 4-kwartalny Plan Działań Korygujących (CAP). W zespole 2-osobowym zadania te dzielą Studenci 1 i 2.

Zadanie realizowane jest przez 2-3 osobowy zespół audytorski w formule studium przypadku:

• Krok 1 (Podział ról i badanie luk Gap Analysis):

  Student 1 (Audytor Wiodący): Przeprowadza ocenę stopnia spełnienia wymagań normy ISO/IEC 27001:2022 (stan wyjściowy: 28% dojrzałości). Opracowuje ramy Executive Summary łączące koszty wdrożenia z obroną przychodu 50 mln zł z kontraktu sieci handlowej.

  Student 2 (Audytor Techniczny): Rozwiązuje problem hal produkcyjnych: projektuje wdrożenie wodoodpornych opasek silikonowych z chipem RFID Mifare dla pracowników rozbioru, co pozwala na autoryzację w 1 sekundę bez zdejmowania rękawic. Projektuje wydzielenie zasobu 'Receptury' z uprawnieniami ograniczonymi wyłącznie do Głównego Technologa i Prezesa oraz wdrożenie bezpiecznego backupu 3-2-1 z macierzą NAS z migawkami niezmiennymi.

  Student 3 (Audytor Ryzyka i CAP): Przeprowadza zaawansowaną analizę ryzyka w matrycy 3x3 dla 4 wektorów zagrożeń, sporządza karty niezgodności (NC1/NC2/OFI), prowadzi procedurę 5 Why oraz konstruuje 4-kwartalny Plan CAP ze wskaźnikami KPI.

• Krok 2 (Zaawansowana analiza ryzyka metodą 3x3):

  Oszacujcie prawdopodobieństwo (P: 1-3) i skutek (S: 1-3) w skali 9-stopniowej dla 4 wektorów zagrożeń (ryzyko inherentne IR vs. rezydualne RR po kontrolach):

  1. Kradzież unikalnych receptur zakładowych przez konkurencję z otwartego folderu (P=3, S=3 → R=9: Krytyczne; po kontrolach: P=1, S=2 → R=2: Niskie).

  2. Zaszyfrowanie bazy ERP przez ransomware i utrata jedynej kopii na dysku USB (P=3, S=3 → R=9; po kontrolach: P=1, S=2 → R=2: Niskie).

  3. Zerwanie kontraktu przez sieć handlową z powodu braku certyfikatu ISO 27001 (P=3, S=3 → R=9; po kontrolach: P=1, S=2 → R=2: Niskie).

  4. Błędy wagowe i reklamacje partii towaru przez sabotaż terminali produkcyjnych (P=2, S=3 → R=6: Średnie; po kontrolach: P=1, S=2 → R=2: Niskie).

• Krok 3 (Formalna kwalifikacja uchybień - Karty Niezgodności):

  Sformułujcie karty uchybień:

  • Niezgodność Duża (NC1): Brak identyfikacji i kontroli dostępu do terminali wagowych ERP na halach produkcyjnych (naruszenie kontroli ISO/IEC 27001:2022 A.8.2 i A.8.5).
  • Niezgodność Duża (NC1): Brak ochrony aktywów krytycznych i tajemnicy przedsiębiorstwa - otwarty dostęp do receptur wędliniarskich (naruszenie kontroli ISO 27001 A.5.12, A.8.3 oraz art. 11 ZNKP).
  • Niezgodność Duża (NC1): Brak odporności kopii zapasowych na atak ransomware - dysk USB podłączony na stałe online (naruszenie kontroli ISO 27001 A.8.13).
  • Niezgodność Mała (NC2): Brak ewidencji aktywów informatycznych i brak przypisanych właścicieli aktywów (naruszenie klauzuli 9.2 oraz kontroli ISO 27001 A.5.9).
  • Szansa na doskonalenie (OFI): Wdrożenie zautomatyzowanego monitorowania temperatury w chłodniach zintegrowanego z systemem alarmowym IoT.
• Krok 4 (Dochodzenie przyczyn źródłowych metodą 5 Why):

  Przeprowadźcie pełną sekwencję 5 pytań dochodzeniowych:

  1. Dlaczego hasła do wag przemysłowych były przyklejone taśmą na obudowach urządzeń? (Pracownicy hal rozbioru pracują w grubych rękawicach ochronnych i nie mogą wpisywać haseł).

  2. Dlaczego na wagach wymagane było wpisywanie haseł z klawiatury? (Terminale zakupiono jako standardowe zestawy biurowe bez modułów zbliżeniowych).

  3. Dlaczego kierownik produkcji zamówił terminale bez czytników kart zbliżeniowych? (Dział IT nie brał udziału w zakupach urządzeń produkcyjnych).

  4. Dlaczego Dział IT nie uczestniczył w zakupach i wdrażaniu infrastruktury hal? (W zakładzie panowało przekonanie, że IT zajmuje się wyłącznie komputerami w biurze zarządu).

  5. Root Cause (Przyczyna źródłowa): Brak całościowego ładu zarządzania bezpieczeństwem informacji (SZBI) oraz silosowy podział pomiędzy pionem produkcji a pionem teleinformatycznym spółki.

• Krok 5 (Konstrukcja 4-kwartalnego Planu Działań Korygujących - CAP):

  Opracujcie harmonogram CAP podzielony na etapy Q1-Q4 z rolami (Kierownik Produkcji, Główny Technolog, Informatyk), kosztorysem (ok. 25 000 zł) i wskaźnikami KPI.

• Krok 6 (Przygotowanie raportu i obrony referatowej):

  Zredagujcie kompletny raport poaudytowy (8-12 stron A4) i przygotujcie 15-minutową prezentację seminaryjną.

Plan prezentacji referatu seminaryjnego (15 minut):

• Wprowadzenie i kontekst biznesowy audytu w Dolinie Baryczy (3 min): Presja sieci handlowych na wdrożenie ISO 27001, profil średniego przedsiębiorstwa i cel badania luk (Student 1).
• Podsumowanie Menedżerskie dla Zarządu i analiza ryzyk 3x3 (3 min): Wyniki Gap Analysis (28% dojrzałości), ryzyko utraty 60% obrotów i 4 wektory zagrożeń (Student 1 lub Student 3).
• Szczegółowe ustalenia w halach produkcyjnych i biurze (3 min): Odręczne hasła na wagach, otwarty folder receptur i podatność kopii USB (Student 2).
• Karty niezgodności NC1/NC2/OFI, protokół 5 Why oraz 4-kwartalny Plan CAP (4 min): Dekonstrukcja przyczyn, ergonomiczne rozwiązanie RFID i harmonogram z budżetem (Student 3 i Student 2).
• Podsumowanie, wnioski dla sektora produkcyjnego MŚP i dyskusja (2 min): Odpowiedzi na pytania komisji laboratoryjnej (cały zespół).

Wymagana struktura raportu poaudytowego na ocenę 4.0 (objętość 8-12 stron A4):

1. Podsumowanie zarządcze (Executive Summary) dla Właściciela i Prezesa Zarządu z wykresem wyników badania luk (Gap Analysis).

2. Odpowiedzi na zaawansowane pytania problemowe:

• Jak przeprowadzić badanie luk (Gap Analysis) w odniesieniu do klauzul 4-10 oraz Załącznika A normy ISO/IEC 27001:2022 w średnim przedsiębiorstwie, które nigdy nie posiadało formalnego SZBI?
• W jaki sposób zdefiniować tajemnicę przedsiębiorstwa w rozumieniu art. 11 Ustawy o zwalczaniu nieuczciwej konkurencji i jakie techniczne środki ochrony (kryptografia, kontrola dostępu) należy wdrożyć dla receptur technologicznych?
• Jak zaprojektować 4-kwartalny Plan Działań Korygujących (CAP), aby przygotować zakład produkcyjny do audytu certyfikującego przez akredytowaną jednostkę certyfikującą w budżecie akceptowalnym dla MŚP?

3. Opis stanu faktycznego Zakładów Mięsnych w Miliczu, specyfika hal rozbioru, magazynów chłodniczych i sieci IT.

4. Tabela Zaawansowanej Analizy Ryzyka w matrycy 3x3 (4 wektory zagrożeń, ryzyko inherentne vs. rezydualne).

5. Formalne Karty Niezgodności:

• Karta NC1 (Niezgodność Duża) - brak kontroli dostępu do terminali wagowych ERP na produkcji (ISO 27001 A.8.2/A.8.5).
• Karta NC1 (Niezgodność Duża) - brak zabezpieczenia tajemnicy receptur wędliniarskich (ISO 27001 A.5.12, art. 11 ZNKP).
• Karta NC1 (Niezgodność Duża) - podatność kopii zapasowych na ransomware przez stałe podłączenie USB (ISO 27001 A.8.13).
• Karta NC2 (Niezgodność Mała) - brak ewidencji i klasyfikacji aktywów informacyjnych (ISO 27001 A.5.9).
• Karta OFI (Szansa na doskonalenie) - automatyczny monitoring IoT temperatur w chłodniach.

6. Protokół dochodzenia przyczyn źródłowych (Root Cause Analysis - 5 Why).

7. Szczegółowe rozwiązanie inżynierskie i organizacyjne (specyfikacja silikonowych opasek RFID dla pracowników rozbioru, procedura ochrony receptur i szyfrowania folderu, architektura backupu 3-2-1 z macierzą NAS offline).

8. Tabela 4-kwartalnego Planu Działań Korygujących (CAP) z przypisaniem ról, budżetów (ok. 25 000 zł) i wskaźników KPI.

9. Analiza zalet i wad (kompromisów inżynierskich i organizacyjnych) proponowanych rozwiązań.

10. Bibliografia, netografia i odnośniki do normy ISO 27001, ISO 19011 i Ustawy o zwalczaniu nieuczciwej konkurencji.

• Norma PN-EN ISO/IEC 27001:2022: Systemy zarządzania bezpieczeństwem informacji - Wymagania: klauzula 9.2 (Audyt wewnętrzny), klauzula 9.3 (Przegląd zarządzania), klauzula 10.2 (Niezgodności i działania korygujące).
• Norma PN-EN ISO 19011:2018: Wytyczne dotyczące audytowania systemów zarządzania - punkt 6.5 i 6.7.
• Norma PN-EN ISO/IEC 27002:2022: Zabezpieczenia bezpieczeństwa informacji - kontrole A.5.9, A.5.12, A.8.2, A.8.5, A.8.13.
• Ustawa z dnia 16 kwietnia 1993 r. o zwalczaniu nieuczciwej konkurencji (Dz.U. z 2022 r. poz. 1233 z późn. zm.) - art. 11 (Tajemnica przedsiębiorstwa).
• Polska Izba Handlu: "Wymogi bezpieczeństwa informacji w relacjach z dostawcami sieci handlowych", 2023.
• Ministerstwo Rozwoju i Technologii: "Przewodnik po cyberbezpieczeństwie dla przedsiębiorstw produkcyjnych MŚP", Warszawa 2022.

• U4 Opracowanie kompletnego raportu z pierwszego audytu SZBI z 4-kwartalną mapą drogową CAP.
• U2 Formalna gradacja uchybień audytowych (NC1/NC2/OFI) w średnim przedsiębiorstwie produkcyjnym.
• U1 Projekt inżynierski ergonomicznego uwierzytelniania RFID i zabezpieczeń kryptograficznych receptur.
• U3 Szacowanie ryzyka biznesowego w matrycy 3x3 dla utraty kontraktów handlowych.
• W1W2W3 Znajomość normy ISO 27001, tajemnicy przedsiębiorstwa i metodyki badania luk (Gap Analysis).
• K1K2K3 Pragmatyzm inżynierski, umiejętność dialogu z przedsiębiorcami i kultura organizacyjna MŚP.

W trakcie referatu seminaryjnego zademonstrujcie harmonogram Planu Działań Korygujących (CAP) w podziale na 4 kwartały: wyjaśnijcie, dlaczego wdrożenie SZBI w zakładzie produkcyjnym wymaga ścisłej współpracy z technologami żywności oraz w jaki sposób zabezpieczyć hasła operatorów wag i sterowników wagowych bez obniżania wydajności linii rozlewniczych.

Głównym celem zadania jest opanowanie przez studentów zaawansowanych umiejętności dokonywania translacji wysoce specjalistycznych ustaleń z technicznych testów penetracyjnych i inspekcji chmurowej na język ryzyka operacyjnego, finansowego i regulacyjnego w dwupoziomowym raporcie poaudytowym kierowanym do Komitetu Audytu i Rady Nadzorczej instytucji płatniczej. Studenci badają studium przypadku licencjonowanego fintechu PayQuick S.A. w Warszawie, eksploatującego architekturę mikroserwisową w chmurze AWS i podlegającego reżimom rozporządzenia DORA oraz standardu kartowego PCI DSS w wersji 4.0. Zadanie na ocenę 4.0 wymaga: przeprowadzenia wielowymiarowej analizy ryzyka w matrycy 3x3 dla 4 wektorów zagrożeń (w ujęciu ryzyka inherentnego IR i rezydualnego RR), sporządzenia formalnych kart niezgodności (NC1/NC2/OFI) ze szczególnym uwzględnieniem luki autoryzacyjnej BOLA/IDOR (CVSS 8.5) w API oraz braku 12-miesięcznej retencji logów audytowych, przeprowadzenia dochodzenia przyczyn źródłowych 5 Why dla długu technologicznego w zespole DevOps, a także opracowania kompletnego Planu Działań Korygujących (CAP) ze wskaźnikami KPI i technicznym aneksem dla inżynierów oprogramowania.

Powiązanie z sylabusem i treściami programowymi:

• U4 Opracowanie zaawansowanego, dwupoziomowego raportu poaudytowego (8-12 stron A4) łączącego syntezę dla Komitetu Audytu z technicznym aneksem dla DevOps oraz wygłoszenie 15-minutowego referatu seminaryjnego.
• U2 Identyfikacja i formalna gradacja niezgodności (NC1/NC2/OFI) w odniesieniu do wymagań PCI DSS 4.0 (wymogi 6 i 10), rozporządzenia DORA oraz kontroli Załącznika A normy ISO/IEC 27001:2022.
• U1 Opracowanie zaleceń inżynierskich dotyczących bezpiecznej autoryzacji tokenów sesyjnych JWT w bramkach API Gateway, reguł Rate Limitingu oraz długoterminowej retencji telemetrii w chmurze AWS S3 Glacier.
• U3 Zastosowanie zaawansowanej analizy ryzyka w matrycy 3x3 z wykorzystaniem punktacji podatności technicznych CVSS v3.1 i wskaźników ryzyka operacyjnego DORA.
• W1 Zaawansowana znajomość regulacji DORA, standardu PCI DSS 4.0, Ustawy o usługach płatniczych oraz wytycznych EBA i KNF dla fintechów.
• W2W3 Rozumienie relacji pomiędzy testami penetracyjnymi (pentesty aplikacyjne, skanowanie podatności) a formalnym procesem audytu bezpieczeństwa informacji wg ISO 19011.
• K1K2K3 Zdolność do odpowiedzialnej komunikacji ryzyk technologicznych organom nadzorczym spółki kapitałowej oraz etyka w ujawnianiu podatności krytycznych.
• Powiązanie z wykładem: Wyk1 (Audyt w sektorze FinTech), Wyk2 (Zasady raportowania ISO 19011), Wyk3 (Kontrole A.8 ISO 27001), Wyk4 (Rozporządzenie DORA i PCI DSS), Wyk5 (Matryca ryzyka 3x3 i CVSS), Wyk6 (Dowody audytowe z testów technicznych i logów), Wyk7 (Raport dla Komitetu Audytu, 5 Why i Plan CAP).

PayQuick S.A. to licencjonowana Krajowa Instytucja Płatnicza (KIP) nadzorowana przez KNF, obsługująca miesięcznie 3,5 miliona transakcji o wartości 400 mln zł poprzez bramki płatnicze i aplikację mobilną. Aplikacja działa w chmurze AWS w oparciu o kontenery Kubernetes.

Stan faktyczny stwierdzony w toku audytu technicznego i regulacyjnego:

• Krytyczna podatność BOLA/IDOR w API transakcyjnym bramki płatniczej: Testy penetracyjne wykazały, że zmiana parametru 'transaction_id' w nagłówkach zapytań HTTP pozwalała zalogowanemu klientowi na podgląd szczegółów transakcji innych użytkowników (w tym zamaskowanego numeru karty PAN, imienia, nazwiska i kwoty). Luka uzyskała ocenę CVSS 8.5 (High) i kwalifikuje się jako naruszenie tajemnicy bankowej oraz wyciek danych RODO.
• Skrajny brak retencji logów audytowych: Zgodnie z wymogiem 10.5 PCI DSS 4.0 oraz art. 12 rozporządzenia DORA instytucja finansowa musi przechowywać logi przez 12 miesięcy. Audyt wykazał, że z powodu oszczędności na dyskach SSD logi w klastrze Kubernetes były automatycznie kasowane po upływie zaledwie 14 dni, uniemożliwiając jakąkolwiek analizę powłamaniową.
• Brak mechanizmów ograniczania zapytań (Rate Limiting): Punkty logowania do API aplikacji mobilnej nie posiadały limitów żądań, co umożliwiało ataki Credential Stuffing.

Komitet Audytu przy Radzie Nadzorczej PayQuick S.A. oczekuje dwupoziomowego raportu poaudytowego, który w części menedżerskiej wyjaśni ryzyka utraty licencji KIP i certyfikatu PCI DSS, a w aneksie inżynierskim przedstawi precyzyjne wytyczne kodowania i konfiguracji dla zespołu DevOps.

W skład zespołu wchodzą studenci realizujący następujące role:

• Rola 1: Audytor Wiodący / Sprawozdawca dla Komitetu Audytu (Lead Auditor) - koordynuje prace zespołu, przygotowuje część menedżerską raportu, dokonuje translacji pojęć technicznych na kategorie ryzyk regulacyjnych DORA i KNF oraz prowadzi referat.
• Rola 2: Audytor Techniczny Cyberbezpieczeństwa Aplikacji i Chmury (Architekt Bezpieczeństwa) - analizuje lukę IDOR, konfigurację polityk retencji logów w AWS CloudWatch, reguły AWS WAF, przygotowuje aneks inżynierski z kodem naprawczym i zalecenia SMART.
• Rola 3: Audytor Zgodności Regulacyjnej FinTech (Oficer Ryzyka / Compliance DORA & PCI DSS) - przeprowadza analizę ryzyka w matrycy 3x3, sporządza formalne karty niezgodności (NC1/NC2/OFI), prowadzi dochodzenie 5 Why oraz buduje tabelę Planu CAP ze statusem pilnym (Hotfix 14 dni). W zespole 2-osobowym zadania te dzielą Studenci 1 i 2.

Zadanie realizowane jest przez 2-3 osobowy zespół audytorski w formule studium przypadku:

• Krok 1 (Podział ról i koncepcja dwupoziomowego raportu):

  Student 1 (Audytor Wiodący): Bada profil odbiorcy: członkowie Komitetu Audytu to finansiści i prawnicy. Tworzy słownik translacji (np. zamiana żargonu 'luka BOLA CVSS 8.5' na: 'Błąd kontroli dostępu umożliwiający podejrzenie historii płatności i danych kartowych innych klientów, rodzący ryzyko utraty licencji KIP').

  Student 2 (Audytor Techniczny): Przygotowuje techniczny aneks dla programistów: opis wektora ataku Burp Suite, zanonimizowane wycinki kodu źródłowego, zalecaną bibliotekę weryfikacji tokenów JWT claims (`sub` == `owner_id`), regułę Rate Limiting w AWS WAF (max 5 prób logowania/min) oraz politykę retencji AWS S3 Glacier (12 miesięcy).

  Student 3 (Audytor Ryzyka i CAP): Przeprowadza zaawansowaną analizę ryzyka w matrycy 3x3 dla 4 wektorów zagrożeń, sporządza karty niezgodności (NC1/NC2/OFI), prowadzi sekwencję 5 Why oraz tworzy tabelę Planu CAP z terminami 14-90 dni.

• Krok 2 (Zaawansowana analiza ryzyka metodą 3x3):

  Oszacujcie prawdopodobieństwo (P: 1-3) i skutek (S: 1-3) w skali 9-stopniowej dla 4 wektorów zagrożeń (ryzyko inherentne IR vs. rezydualne RR po kontrolach):

  1. Masowy wyciek historii transakcji i danych kartowych przez lukę BOLA w API (P=3, S=3 → R=9: Krytyczne; po kontrolach: P=1, S=2 → R=2: Niskie).

  2. Utrata certyfikatu PCI DSS 4.0 i cofnięcie licencji KIP przez brak 12-miesięcznej retencji logów (P=3, S=3 → R=9; po kontrolach: P=1, S=2 → R=2: Niskie).

  3. Przejęcie kont klientów w ataku Credential Stuffing z powodu braku Rate Limitingu (P=3, S=2 → R=6: Średnie; po kontrolach: P=1, S=2 → R=2: Niskie).

  4. Kary finansowe KNF z tytułu naruszenia rozporządzenia DORA (do 10 mln EUR) (P=3, S=3 → R=9; po kontrolach: P=1, S=2 → R=2: Niskie).

• Krok 3 (Formalna kwalifikacja uchybień - Karty Niezgodności):

  Sformułujcie karty uchybień:

  • Niezgodność Duża (NC1): Podatność autoryzacyjna BOLA/IDOR w API transakcyjnym (naruszenie PCI DSS 4.0 wymóg 6.2.4, DORA art. 9 oraz kontroli ISO/IEC 27001:2022 A.8.26 i A.8.28).
  • Niezgodność Duża (NC1): Brak 12-miesięcznej retencji logów audytowych z klastra Kubernetes (naruszenie PCI DSS 4.0 wymóg 10.5.1, DORA art. 12 ust. 2 oraz kontroli ISO 27001 A.8.15).
  • Niezgodność Mała (NC2): Brak mechanizmów ograniczania zapytań (Rate Limiting) w punktach logowania aplikacji mobilnej (DORA art. 9, PCI DSS 4.0 wymóg 8.3.4).
  • Szansa na doskonalenie (OFI): Wdrożenie automatycznego skanowania kodu SAST/DAST w pipeline CI/CD przed każdym wdrożeniem na produkcję.
• Krok 4 (Dochodzenie przyczyn źródłowych metodą 5 Why):

  Przeprowadźcie pełną sekwencję 5 pytań dochodzeniowych:

  1. Dlaczego logi audytowe w klastrze Kubernetes były kasowane po zaledwie 14 dniach? (Kończyło się miejsce na dyskach SSD w chmurze AWS, a koszty składowania rosły).

  2. Dlaczego inżynierowie nie wdrożyli automatycznego przenoszenia logów do taniego magazynu S3 Glacier? (Zadanie optymalizacji archiwizacji logów zostało odłożone na backlogu jako niskopriorytetowe).

  3. Dlaczego kierownik DevOps uznał retencję logów za zadanie o niskim priorytecie? (Zespół DevOps nie znał wymagań normy PCI DSS 4.0 ani rozporządzenia DORA dotyczących 12-miesięcznego okresu retencji).

  4. Dlaczego zespół programistów nie został przeszkolony z wymogów regulacyjnych sektora płatniczego? (W spółce brakowało integracji pionu Compliance/Security z procesem wytwórczym oprogramowania).

  5. Root Cause (Przyczyna źródłowa): Brak kultury DevSecOps oraz brak nadzoru nad długiem technologicznym i zgodnością regulacyjną w cyklu życia oprogramowania finansowego.

• Krok 5 (Konstrukcja Planu Działań Korygujących - CAP):

  Opracujcie tabelę CAP ze statusem pilnym (Hotfix API w 14 dni), rolami i wskaźnikami KPI.

• Krok 6 (Przygotowanie raportu i referatu):

  Zredagujcie kompletny dwupoziomowy raport poaudytowy (8-12 stron A4) i przygotujcie 15-minutową prezentację seminaryjną.

Plan prezentacji referatu seminaryjnego (15 minut):

• Wprowadzenie i ramy regulacyjne audytu w PayQuick S.A. (3 min): Status KIP, ramy DORA i PCI DSS 4.0 oraz cele badania odporności cyfrowej (Student 1).
• Część Menedżerska dla Komitetu Audytu i analiza ryzyk 3x3 (3 min): Translacja podatności CVSS na ryzyko biznesowe, ekspozycja na kary KNF i ryzyk IR vs RR (Student 1 lub Student 3).
• Szczegółowe ustalenia techniczne w architekturze mikroserwisów (3 min): Analiza podatności BOLA w API, retencja logów w klastrach AWS i brak Rate Limitingu (Student 2).
• Karty niezgodności NC1/NC2/OFI, protokół 5 Why oraz Plan CAP (4 min): Dekonstrukcja przyczyn długu technologicznego, aneks inżynierski DevOps i terminy naprawcze (Student 3 i Student 2).
• Podsumowanie, wnioski dla sektora FinTech i dyskusja z komisją (2 min): Odpowiedzi na pytania prowadzącego (cały zespół).

Wymagana struktura dwupoziomowego raportu poaudytowego na ocenę 4.0 (objętość 8-12 stron A4):

1. Podsumowanie zarządcze (Executive Summary) dla Komitetu Audytu i Rady Nadzorczej (translacja techniczna).

2. Odpowiedzi na zaawansowane pytania problemowe:

• W jaki sposób audytor powinien dokonać translacji wysoce specjalistycznych ustaleń z testów penetracyjnych (np. luki BOLA/IDOR o CVSS 8.5) na język ryzyka operacyjnego i prawnego zrozumiałego dla członków Rady Nadzorczej?
• Jakie rygorystyczne wymogi dotyczące retencji logów i integralności ścieżek audytowych nakłada standard PCI DSS 4.0 oraz rozporządzenie DORA i jak zoptymalizować koszty takiego składowania w architekturze chmurowej?
• Czym różni się raport poaudytowy sporządzany dla organów statutowych spółki od technicznego raportu z testów penetracyjnych przekazywanego zespołowi programistów DevOps?

3. Opis stanu faktycznego architektury chmurowej PayQuick S.A., klastrów Kubernetes i wolumenu transakcji.

4. Tabela Zaawansowanej Analizy Ryzyka w matrycy 3x3 (4 wektory zagrożeń, ryzyko inherentne vs. rezydualne).

5. Formalne Karty Niezgodności:

• Karta NC1 (Niezgodność Duża) - podatność BOLA/IDOR w API transakcyjnym (PCI DSS 4.0 wymóg 6.2.4, DORA art. 9, CVSS 8.5).
• Karta NC1 (Niezgodność Duża) - brak 12-miesięcznej retencji logów audytowych w AWS (PCI DSS 4.0 wymóg 10.5.1, DORA art. 12).
• Karta NC2 (Niezgodność Mała) - brak mechanizmów Rate Limiting w punktach uwierzytelniania (DORA art. 9, PCI DSS 4.0 wymóg 8.3.4).
• Karta OFI (Szansa na doskonalenie) - wdrożenie automatycznego skanowania SAST/DAST w pipeline CI/CD.

6. Protokół dochodzenia przyczyn źródłowych (Root Cause Analysis - 5 Why).

7. Szczegółowy Aneks Inżynierski dla DevOps (przykładowy kod walidacji tokenów JWT claims w API, polityka cyklu życia AWS S3 Lifecycle do przenoszenia logów do Glacier po 14 dniach, reguły Rate Limitingu).

8. Tabela Planu Działań Korygujących (CAP) z przypisaniem ról, terminów (14-90 dni) i wskaźników KPI.

9. Analiza zalet i wad (kompromisów inżynierskich i kosztowych chmury) proponowanych rozwiązań.

10. Bibliografia, netografia i odnośniki do DORA, PCI DSS 4.0 i metodyki CVSS.

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyfrowej sektora finansowego (DORA) - art. 9, 10, 12.
• Payment Card Industry Security Standards Council (PCI SSC): "Payment Card Industry Data Security Standard (PCI DSS) v4.0", 2022 - wymogi 6, 8 i 10.
• Ustawa z dnia 19 sierpnia 2011 r. o usługach płatniczych (Dz.U. z 2024 r. poz. 30 z późn. zm.).
• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - kontrole A.8.15, A.8.26, A.8.28.
• OWASP Top 10 API Security Risks: API1:2023 - Broken Object Level Authorization (BOLA).
• FIRST.Org: "Common Vulnerability Scoring System v3.1: Specification Document", 2019.

• U4 Opracowanie zaawansowanego dwupoziomowego raportu poaudytowego DORA i PCI DSS 4.0.
• U2 Formalna gradacja uchybień regulacyjnych i podatności technicznych CVSS w sektorze FinTech.
• U1 Projekt inżynierski bezpiecznego API, długoterminowej retencji w chmurze i reguł Rate Limitingu.
• U3 Szacowanie ryzyka operacyjnego i punktacja CVSS w matrycy 3x3 z wyliczeniem IR i RR.
• W1W2W3 Głęboka znajomość DORA, standardu PCI DSS 4.0, prawa usług płatniczych i ISO 27001.
• K1K2K3 Odpowiedzialność za komunikację ryzyk technologicznych organom nadzorczym spółki.

Podczas referatu seminaryjnego przedstawcie dwupoziomowy charakter raportu poaudytowego: zaprezentujcie 'słownik translacji' pojęć technicznych dla Komitetu Audytu oraz techniczny aneks inżynierski dla zespołów DevOps/Security, wykazując w jaki sposób wdrożenie bramy API Gateway i testów DAST eliminuje podatność BOLA/IDOR w cyklu CI/CD.

Głównym celem zadania jest opanowanie przez studentów zaawansowanych umiejętności opracowywania raportu poaudytowego w podmiocie świadczącym profesjonalne usługi prawnicze, w którym kluczowym kryterium jest bezwzględna ochrona tajemnicy zawodowej (adwokackiej, radcowskiej i obrończej). Studenci badają studium przypadku ProKancelarii Adwokackiej i Radcowskiej w Katowicach, w której po pandemii utrwalił się model pracy hybrydowej (praca w biurze, domach prawników i w podróżach do sądów). Zadanie na ocenę 4.0 wymaga: przeprowadzenia wielowymiarowej analizy ryzyka w matrycy 3x3 dla 4 wektorów zagrożeń (w ujęciu ryzyka inherentnego IR i rezydualnego RR), sporządzenia formalnych kart niezgodności (NC1/NC2/OFI) ze szczególnym uwzględnieniem stosowania darmowych chmur konsumenckich bez umów powierzenia (art. 28 RODO) oraz braku szyfrowania dysków twardych, przeprowadzenia dochodzenia przyczyn źródłowych 5 Why dla nawyków prawników ignorujących procedury bezpieczeństwa, opracowania kompletnego Planu Działań Korygujących (CAP) ze wskaźnikami KPI i terminami 14-90 dni oraz zredagowania raportu poaudytowego (8-12 stron A4) dla Wspólników Zarządzających Kancelarii.

Powiązanie z sylabusem i treściami programowymi:

• U4 Opracowanie zaawansowanego raportu poaudytowego (8-12 stron A4) łączącego wymogi etyki korporacji prawniczych z technicznym planem CAP oraz wygłoszenie 15-minutowego referatu seminaryjnego.
• U2 Identyfikacja i formalna gradacja uchybień audytowych (NC1/NC2/OFI) w obszarze ochrony tajemnic prawnie chronionych, kryptografii i pracy zdalnej.
• U1 Opracowanie zaleceń inżynierskich dotyczących korporacyjnej chmury z polskim data center, centralnego wymuszenia szyfrowania BitLocker/FileVault przez system MDM oraz polityki Czystego Biurka i Ekranu.
• U3 Zastosowanie zaawansowanej analizy ryzyka w matrycy 3x3 dla zagrożeń utraty immunitetu tajemnicy obrończej i odpowiedzialności dyscyplinarnej mecenasów.
• W1 Zaawansowana znajomość przepisów Ustawy - Prawo o adwokaturze (art. 6), Ustawy o radcach prawnych (art. 3), Kodeksu Etyki Adwokackiej oraz art. 9 i 32 RODO.
• W2W3 Rozumienie wymagań kontroli Załącznika A normy PN-EN ISO/IEC 27001:2022 (A.6.7 Praca zdalna, A.7.7 Czyste biurko i ekran, A.8.24 Krypto-zabezpieczenia, A.5.23 Bezpieczeństwo chmury).
• K1K2K3 Poszanowanie tajemnicy zawodowej, wysoka kultura słowa, etyka zawodowa audytora i umiejętność przekonania prawników do nowoczesnych narzędzi IT.
• Powiązanie z wykładem: Wyk1 (Audyt ochrony tajemnic prawnie chronionych), Wyk2 (Zasady audytowania ISO 19011), Wyk3 (Kontrole A.6, A.7 i A.8 ISO 27001), Wyk4 (RODO i tajemnice zawodowe), Wyk5 (Matryca ryzyka 3x3), Wyk7 (Procedura 5 Why, Karty Niezgodności i Plan CAP).

ProKancelaria zatrudnia 18 adwokatów i radców prawnych, 8 aplikantów oraz 4 pracowników sekretariatu, obsługując skomplikowane procesy karne gospodarcze, spory korporacyjne i transakcje fuzji i przejęć (M&A). W kancelarii funkcjonuje pełna elastyczność pracy hybrydowej.

Stan faktyczny stwierdzony w toku zaawansowanego audytu:

• Masowe kopiowanie akt spraw na darmowe, konsumenckie dyski chmurowe: Prawnicy i aplikanci, aby mieć dostęp do pism procesowych w sądach i w domach, kopiowali akta spraw, skany dowodów oraz opinie na prywatne konta w usługach Dropbox, Google Drive i OneDrive, bez zgody administratora i bez zawarcia umów powierzenia przetwarzania danych (naruszenie art. 28 RODO i tajemnicy adwokackiej).
• Brak szyfrowania dysków twardych w laptopach przenośnych: Laptopy służbowe używane przez adwokatów w sądach, pociągach i kawiarniach nie posiadały włączonego szyfrowania dysków BitLocker/FileVault. Mecenasi łączyli się z publicznymi, otwartymi sieciami Wi-Fi bez zestawiania tunelu VPN do biura.
• Rażące naruszenia polityki czystego biurka w siedzibie kancelarii: Inspekcja wieczorna ujawniła, że w pokojach mecenasów i w sekretariacie na biurkach pozostawiono otwarte akta spraw karnych z jawnymi danymi świadków koronnych i podejrzanych, a szafy archiwalne w salach konferencyjnych pozostawały otwarte na klucz.
• Niezabezpieczona korespondencja e-mail: Prawnicy przesyłali poufne projekty ugód i opinie ze standardowych, darmowych skrzynek pocztowych w portalach komercyjnych (wp.pl, gmail.com) bez szyfrowania zawartości.

Wspólnicy Zarządzający ProKancelarii oczekują zaawansowanego raportu poaudytowego, który oszacuje ryzyka dyscyplinarne i odszkodowawcze w matrycy 3x3, przeprowadzi analizę 5 Why oraz przedstawi Plan CAP z rozwiązaniami typu MDM/BitLocker i bezpieczna chmura prawnicza.

W skład zespołu wchodzą studenci realizujący następujące role:

• Rola 1: Audytor Wiodący / Doradca ds. Bezpieczeństwa Korporacji Prawniczych (Lead Auditor) - koordynuje prace zespołu, przygotowuje Podsumowanie Menedżerskie dla Wspólników z analizą odpowiedzialności dyscyplinarnej i immunitetu tajemnicy adwokackiej oraz prowadzi referat.
• Rola 2: Audytor Techniczny Mobilności i Kryptografii (Architekt Bezpieczeństwa) - analizuje zagrożenia konsumenckich chmur i otwartego Wi-Fi, projektuje wdrożenie bezpiecznej chmury kancelaryjnej z szyfrowaniem end-to-end, system MDM (Intune) wymuszający BitLocker oraz tunel Always-On VPN.
• Rola 3: Audytor Zgodności Regulacyjnej i Jakości CAP (Oficer Ryzyka / Compliance) - przeprowadza analizę ryzyka w matrycy 3x3, sporządza formalne karty niezgodności (NC1/NC2/OFI), prowadzi procedurę 5 Why oraz konstruuje Plan Działań Korygujących (CAP) ze wskaźnikami KPI. W zespole 2-osobowym zadania te dzielą Studenci 1 i 2.

Zadanie realizowane jest przez 2-3 osobowy zespół audytorski w formule studium przypadku:

• Krok 1 (Podział ról i analiza statusu tajemnicy adwokackiej):

  Student 1 (Audytor Wiodący): Bada bezwzględny charakter tajemnicy obrończej (art. 6 Prawa o adwokaturze, art. 180 k.p.k.). Opracowuje ramy Executive Summary akcentujące ryzyko immunitetu zawodowego i utraty reputacji kancelarii.

  Student 2 (Audytor Techniczny): Opracowuje architekturę techniczną: zastąpienie prywatnych dysków Dropbox wdrożeniem bezpiecznej chmury Nextcloud/Microsoft 365 for Legal z polskim data center, wdrożenie centralnego systemu MDM wymuszającego szyfrowanie dysków i kod PIN oraz automatyczny tunel Always-On VPN.

  Student 3 (Audytor Ryzyka i CAP): Przeprowadza zaawansowaną analizę ryzyka w matrycy 3x3 dla 4 wektorów zagrożeń, sporządza karty niezgodności (NC1/NC2/OFI), prowadzi sekwencję 5 Why oraz tworzy tabelę Planu CAP ze wskaźnikami KPI i terminami 14-90 dni.

• Krok 2 (Zaawansowana analiza ryzyka metodą 3x3):

  Oszacujcie prawdopodobieństwo (P: 1-3) i skutek (S: 1-3) w skali 9-stopniowej dla 4 wektorów zagrożeń (ryzyko inherentne IR vs. rezydualne RR po kontrolach):

  1. Kradzież lub zgubienie niezaszyfrowanego laptopa z aktami sprawy karnej i ujawnienie tajemnicy obrończej (P=3, S=3 → R=9: Krytyczne; po kontrolach: P=1, S=2 → RR=2: Niskie).

  2. Przełamanie prywatnego konta Dropbox prawnika i wyciek dokumentów fuzji M&A (P=3, S=3 → R=9; po kontrolach: P=1, S=2 → RR=2: Niskie).

  3. Postępowanie dyscyplinarne przed ORA i utrata prawa do wykonywania zawodu przez mecenasa (P=2, S=3 → R=6: Średnie; po kontrolach: P=1, S=2 → RR=2: Niskie).

  4. Nieuprawniony wgląd w otwarte akta spraw pozostawione na biurkach w kancelarii (P=3, S=2 → R=6: Średnie; po kontrolach: P=1, S=1 → RR=1: Pomijalne).

• Krok 3 (Formalna kwalifikacja uchybień - Karty Niezgodności):

  Sformułujcie karty uchybień:

  • Niezgodność Duża (NC1): Przetwarzanie dokumentów objętych bezwzględną tajemnicą obrończą w darmowych chmurach publicznych bez umów powierzenia (naruszenie art. 6 Prawa o adwokaturze, art. 28 i 32 RODO oraz kontroli ISO/IEC 27001:2022 A.5.23).
  • Niezgodność Duża (NC1): Brak szyfrowania dysków twardych laptopów używanych poza kancelarią i brak ochrony transmisji w otwartych sieciach (naruszenie art. 32 RODO oraz kontroli ISO 27001 A.8.24 i A.6.7).
  • Niezgodność Mała (NC2): Rażący brak stosowania polityki czystego biurka i otwarty dostęp do akt spraw w biurze (naruszenie kontroli ISO 27001 A.7.7).
  • Szansa na doskonalenie (OFI): Wdrożenie podpisu kwalifikowanego oraz bezpiecznego portalu klienta z uwierzytelnianiem MFA do wymiany pism procesowych.
• Krok 4 (Dochodzenie przyczyn źródłowych metodą 5 Why):

  Przeprowadźcie pełną sekwencję 5 pytań dochodzeniowych:

  1. Dlaczego prawnicy kopiowali akta spraw na prywatne konta w usłudze Dropbox? (Potrzebowali szybkiego dostępu do dokumentów w sądach i podczas podróży).

  2. Dlaczego kancelaria nie zapewniła im oficjalnego narzędzia chmurowego z dostępem mobilnym? (Wspólnicy zarządzający uważali, że zakup licencji korporacyjnych wygeneruje zbędne koszty stałe).

  3. Dlaczego wspólnicy traktowali cyberbezpieczeństwo jako koszt, a nie inwestycję w tajemnicę zawodową? (W kancelarii nigdy nie przeprowadzono audytu ryzyka ani szkolenia z odpowiedzialności dyscyplinarnej za wycieki danych).

  4. Dlaczego mecenasi nie szyfrowali dysków laptopów? (Dział IT nie zarządzał centralnie laptopami, traktując komputery jako prywatną własność mecenasów).

  5. Root Cause (Przyczyna źródłowa): Brak ładu zarządczego (Governance) i brak całościowej Polityki Pracy Zdalnej i Ochrony Tajemnicy Zawodowej łączącej wymogi etyki adwokackiej z narzędziami technologicznymi klasy Enterprise.

• Krok 5 (Konstrukcja Planu Działań Korygujących - CAP):

  Opracujcie tabelę CAP z podziałem na działania natychmiastowe (BitLocker w 14 dni), systemowe (chmura w 30 dni) i szkoleniowe (90 dni), z rolami i wskaźnikami KPI.

• Krok 6 (Przygotowanie raportu i referatu):

  Zredagujcie kompletny raport poaudytowy (8-12 stron A4) i przygotujcie 15-minutową prezentację seminaryjną.

Plan prezentacji referatu seminaryjnego (15 minut):

• Wprowadzenie i ramy etyczno-prawne audytu w ProKancelarii (3 min): Bezwzględny status tajemnicy adwokackiej, praca hybrydowa i cele audytu (Student 1).
• Podsumowanie Menedżerskie dla Wspólników i analiza ryzyk 3x3 (3 min): Ryzyko immunitetu obrończego, odpowiedzialności dyscyplinarnej i 4 wektory zagrożeń (Student 1 lub Student 3).
• Szczegółowe ustalenia techniczne i organizacyjne (3 min): Konsumenckie dyski chmurowe, brak szyfrowania laptopów w podróżach i naruszenia czystego biurka (Student 2).
• Karty niezgodności NC1/NC2/OFI, protokół 5 Why oraz Plan CAP (4 min): Dekonstrukcja przyczyn źródłowych, bezpieczna chmura, MDM/BitLocker i harmonogram z KPI (Student 3 i Student 2).
• Podsumowanie, wnioski dla sektora prawniczego i dyskusja z komisją (2 min): Odpowiedzi na pytania prowadzącego (cały zespół).

Wymagana struktura raportu poaudytowego na ocenę 4.0 (objętość 8-12 stron A4):

1. Podsumowanie zarządcze (Executive Summary) dla Wspólników Zarządzających Kancelarii.

2. Odpowiedzi na zaawansowane pytania problemowe:

• Jakie konsekwencje prawne, dyscyplinarne i procesowe rodzi naruszenie tajemnicy adwokackiej lub obrończej w wyniku zagubienia niezaszyfrowanego laptopa prawnika z aktami sprawy karnej?
• Dlaczego korzystanie przez prawników z darmowych, komercyjnych dysków chmurowych (Dropbox, Google Drive) narusza zarówno art. 28 RODO, jak i zasady etyki zawodowej adwokatów i radców prawnych?
• W jaki sposób sformułować Politykę Czystego Biurka i Czystego Ekranu oraz procedury bezpiecznej pracy hybrydowej, aby nie paraliżowały codziennej pracy procesowej mecenasów?

3. Opis stanu faktycznego ProKancelarii, struktura personelu i profil prowadzonych spraw.

4. Tabela Zaawansowanej Analizy Ryzyka w matrycy 3x3 (4 wektory zagrożeń, ryzyko inherentne vs. rezydualne).

5. Formalne Karty Niezgodności:

• Karta NC1 (Niezgodność Duża) - przetwarzanie tajemnicy obrończej w darmowych chmurach bez umów DPA (art. 6 Prawa o adwokaturze, art. 28 RODO, ISO 27001 A.5.23).
• Karta NC1 (Niezgodność Duża) - brak szyfrowania BitLocker laptopów i brak VPN w sieciach otwartych (art. 32 RODO, ISO 27001 A.8.24, A.6.7).
• Karta NC2 (Niezgodność Mała) - otwarty dostęp do akt na biurkach po godzinach pracy (ISO 27001 A.7.7).
• Karta OFI (Szansa na doskonalenie) - wdrożenie portalu bezpiecznej wymiany dokumentów z klientami z MFA.

6. Protokół dochodzenia przyczyn źródłowych (Root Cause Analysis - 5 Why).

7. Szczegółowe rozwiązanie inżynierskie i organizacyjne (wdrożenie korporacyjnej chmury kancelaryjnej, polityka centralnego MDM Intune wymuszająca BitLocker, regulamin Polityki Czystego Biurka i Ekranu).

8. Tabela Planu Działań Korygujących (CAP) z przypisaniem ról, terminów (14-90 dni) i wskaźników KPI.

9. Analiza zalet i wad (kompromisów inżynierskich i organizacyjnych) proponowanych rozwiązań.

10. Bibliografia, netografia i odnośniki do prawa o adwokaturze, kodeksu etyki, RODO i norm ISO.

• Ustawa z dnia 26 maja 1982 r. - Prawo o adwokaturze (Dz.U. z 2022 r. poz. 2113 z późn. zm.) - art. 6.
• Ustawa z dnia 6 lipca 1982 r. o radcach prawnych (Dz.U. z 2022 r. poz. 1166 z późn. zm.) - art. 3.
• Naczelna Rada Adwokacka: "Zbiór Zasad Etyki Adwokackiej i Godności Zawodu", 2021.
• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - kontrole A.6.7, A.7.7, A.8.24, A.5.23.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 9, art. 28, art. 32.
• Krajowa Izba Radców Prawnych: "Rekomendacje dotyczące cyberbezpieczeństwa kancelarii", Warszawa 2022.

• U4 Opracowanie zaawansowanego raportu poaudytowego ochrony tajemnicy zawodowej w kancelarii prawnej.
• U2 Formalna gradacja niezgodności NC1/NC2/OFI w odniesieniu do tajemnic prawnie chronionych.
• U1 Projekt inżynierski chmury korporacyjnej, centralnego MDM/BitLocker i procedury Czystego Biurka.
• U3 Szacowanie ryzyka w matrycy 3x3 dla utraty immunitetu tajemnicy adwokackiej i roszczeń cywilnych.
• W1W2W3 Głęboka znajomość prawa o adwokaturze, kodeksu etyki, RODO i normy ISO 27001.
• K1K2K3 Najwyższy szacunek dla tajemnicy zawodowej, asertywność i etyka w relacjach z prawnikami.

W trakcie obrony referatu wyjaśnijcie specyfikę audytu w środowisku prawniczym: pokażcie, jak w sposób wyważony przekonać adwokatów i radców prawnych, że rygorystyczne procedury kryptograficzne (BitLocker TPM, szyfrowana chmura krajowa) i polityka czystego biurka/ekranu stanowią gwarancję nienaruszalności tajemnicy zawodowej i chronią kancelarię przed odpowiedzialnością dyscyplinarną.

Głównym celem zadania jest opanowanie przez studentów zaawansowanych umiejętności planowania, przeprowadzania i raportowania audytu weryfikacyjnego (Follow-up Audit / audyt sprawdzający) zgodnie z wytycznymi normy PN-EN ISO 19011:2018 (punkt 6.7) oraz formalnego procedowania zamykania procesu audytowego (punkt 6.6) w złożonej infrastrukturze mobilnego IoT transportu miejskiego. Studenci badają studium przypadku Zakładu Komunikacji Miejskiej w Bydgoszczy (spółka komunalna), powracając do jednostki po 6 miesiącach od audytu pierwotnego systemów biletomatów, kasowników i monitoringu w 200 pojazdach. Zadanie na ocenę 4.0 wymaga: przeprowadzenia obiektywnej weryfikacji dowodowej realizacji 8 pierwotnych zaleceń (zidentyfikowanie 5 zaleceń zamkniętych, 2 wdrożonych częściowo oraz 1 niewdrożonego), oszacowania poziomu ryzyka rezydualnego (RR) w matrycy 3x3 dla 4 wektorów zagrożeń, sporządzenia formalnych kart niezgodności (NC1/NC2/OFI), przeprowadzenia dochodzenia przyczyn źródłowych 5 Why dla zaniechania zmiany domyślnych haseł serwisowych 'admin123' w komputerach pokładowych, opracowania aneksu do Planu CAP ze sztywnym terminem 30 dni oraz skonstruowania Warunkowego Protokołu Zamknięcia Audytu dla Prezydenta Miasta i Rady Nadzorczej.

Powiązanie z sylabusem i treściami programowymi:

• U4 Opracowanie zaawansowanego raportu z audytu weryfikacyjnego Follow-up (8-12 stron A4) z Warunkowym Protokołem Zamknięcia Audytu oraz wygłoszenie 15-minutowego referatu seminaryjnego.
• U2 Obiektywna ocena skuteczności działań korygujących, weryfikacja dowodów wdrożenia i kwalifikacja uchybień otwartych (NC1/NC2/OFI).
• U1 Opracowanie zaleceń inżynierskich dotyczących centralnej dystrybucji unikalnych haseł serwisowych, wdrożenia zapór w starszych pojazdach oraz szyfrowania sieci Wi-Fi WPA3-Enterprise w zajezdniach.
• U3 Przeprowadzenie analizy ryzyka rezydualnego (Residual Risk) w matrycy 3x3 w relacji do pierwotnego profilu ryzyka organizacji zgodnie z ISO 27005.
• W1 Zaawansowana znajomość zasad funkcjonowania podmiotów komunalnych, Ustawy o publicznym transporcie zbiorowym, standardów płatności bezgotówkowych EMV oraz RODO.
• W2W3 Rozumienie pełnego cyklu audytowego wg normy ISO 19011:2018 (klauzule 6.5, 6.6, 6.7) oraz normy PN-EN ISO/IEC 27001:2022 (klauzule 9.2 i 10.2).
• K1K2K3 Niezależność audytorska, bezkompromisowość w ocenie dowodów wdrożenia, odporność na deklaracje audytowanego i odpowiedzialność za bezpieczeństwo pasażerów.
• Powiązanie z wykładem: Wyk1 (Audyt w infrastrukturze komunalnej), Wyk2 (Zamykanie procesu audytowego i audyt Follow-up ISO 19011), Wyk3 (Kontrole A.8 ISO 27001), Wyk5 (Szacowanie ryzyka rezydualnego ISO 27005), Wyk7 (Metoda 5 Why, Karty Niezgodności i Warunkowy Protokół Zamknięcia).

Zakład Komunikacji Miejskiej w Bydgoszczy Sp. z o.o. przewozi rocznie 75 milionów pasażerów, eksploatując 160 autobusów i 40 tramwajów wyposażonych w biletomaty bezgotówkowe, kasowniki z obsługą kart płatniczych oraz kamery CCTV. Sześć miesięcy wcześniej audyt pierwotny wykazał krytyczne luki i sformułował 8 zaleceń poaudytowych.

Stan faktyczny stwierdzony w toku audytu weryfikacyjnego (Follow-up):

• Zalecenie 1 (Szyfrowanie TLS 1.3 transmisji biletomatów): Wdrożone w 100% pojazdów (Status: Zamknięte).
• Zalecenie 2 (Segmentacja VLAN sieci pokładowej: izolacja kamer CCTV od terminali kasowników): Wdrożone w 100% pojazdów (Status: Zamknięte).
• Zalecenie 3 (Centralne zarządzanie oprogramowaniem komputerów pokładowych MDM): Wdrożone we flocie (Status: Zamknięte).
• Zalecenie 4 (Plomby mechaniczne i czujniki otwarcia obudów biletomatów): Wdrożone (Status: Zamknięte).
• Zalecenie 5 (Retencja nagrań CCTV skrócona do 30 dni): Wdrożone (Status: Zamknięte).
• Zalecenie 6 (Pokładowe zapory sieciowe Firewall we flocie pojazdów): Wdrożone częściowo - zapory zainstalowano w 50 najnowszych pojazdach; w 150 starszych autobusach prac nie podjęto ze względu na brak budżetu na wymianę routerów (Status: W toku / Częściowo wdrożone).
• Zalecenie 7 (Bezpieczne wgrywanie rozkładów jazdy przez Wi-Fi WPA3-Enterprise w zajezdniach): Wdrożone w zajezdni tramwajowej, w zajezdni autobusowej sieć Wi-Fi pozostaje otwarta bez szyfrowania (Status: W toku / Częściowo wdrożone).
• Zalecenie 8 (Cykliczna comiesięczna zmiana unikalnych haseł serwisowych do komputerów pokładowych): Niewdrożone - we wszystkich 200 pojazdach technicy nadal logują się domyślnym hasłem fabrycznym 'admin123' (Status: Otwarte / Niewdrożone).

Prezydent Miasta Bydgoszczy oraz Rada Nadzorcza ZKM oczekują zaawansowanego raportu z audytu weryfikacyjnego, który oceni ryzyko rezydualne w matrycy 3x3, wyjaśni w analizie 5 Why przyczyny zlekceważenia kwestii haseł oraz przedstawi Warunkowy Protokół Zamknięcia Audytu.

W skład zespołu wchodzą studenci realizujący następujące role:

• Rola 1: Audytor Wiodący / Sprawozdawca Audytu Weryfikacyjnego (Lead Auditor) - koordynuje badanie follow-up, redaguje Podsumowanie Menedżerskie dla Władz Miasta, formułuje Warunkowy Protokół Zamknięcia Audytu wg ISO 19011 (punkt 6.6) i prowadzi referat.
• Rola 2: Audytor Techniczny Pokładowego IoT i Systemów Mobilnych (Architekt Bezpieczeństwa) - przeprowadza próbkowanie techniczne taboru (30 pojazdów), bada zapory pokładowe, sieć Wi-Fi w zajezdniach i podatność domyślnych haseł 'admin123', formułuje zalecenia inżynierskie.
• Rola 3: Audytor Ryzyka Rezydualnego i Jakości CAP (Oficer Ryzyka / Compliance) - przeprowadza analizę ryzyka rezydualnego w matrycy 3x3, sporządza formalne karty niezgodności (NC1/NC2/OFI), prowadzi procedurę 5 Why oraz konstruuje aneks do Planu CAP ze statusem dyscyplinującym (30 dni). W zespole 2-osobowym zadania te dzielą Studenci 1 i 2.

Zadanie realizowane jest przez 2-3 osobowy zespół audytorski w formule studium przypadku:

• Krok 1 (Podział ról i metodyka audytu follow-up wg ISO 19011 punkt 6.7):

  Student 1 (Audytor Wiodący): Bada wytyczne ISO 19011:2018 dotyczące weryfikacji działań poaudytowych. Opracowuje matrycę weryfikacji 8 zaleceń (zamknięte vs otwarte) oraz ramy Warunkowego Protokołu Zamknięcia Audytu.

  Student 2 (Audytor Techniczny): Przeprowadza próbkowanie techniczne w zajezdniach: weryfikuje 20 autobusów i 10 tramwajów. Wykazuje, że hasło 'admin123' umożliwia każdemu pasażerowi wpięcie kabla Ethernet do gniazda technicznego kasownika i przejęcie kontroli nad kasowaniem biletów. Projektuje centralną rotację haseł z użyciem skryptów SSH/Ansible.

  Student 3 (Audytor Ryzyka i CAP): Przeprowadza analizę ryzyka rezydualnego w matrycy 3x3, sporządza karty niezgodności (NC1/NC2/OFI) dla otwartych kwestii, prowadzi procedurę 5 Why oraz tworzy aneks do Planu CAP z terminem 30 dni.

• Krok 2 (Zaawansowana analiza ryzyka metodą 3x3):

  Oszacujcie prawdopodobieństwo (P: 1-3) i skutek (S: 1-3) w skali 9-stopniowej dla 4 wektorów zagrożeń (ryzyko inherentne IR vs. rezydualne RR po kontrolach):

  1. Przejęcie komputera pokładowego pojazdu przez pasażera logującego się hasłem 'admin123' (P=3, S=3 → IR=9: Krytyczne; po kontrolach: P=1, S=2 → RR=2: Niskie).

  2. Infiltracja sieci pokładowej przez brak firewalli w 150 starszych autobusach (P=3, S=2 → IR=6: Średnie; po kontrolach: P=1, S=2 → RR=2: Niskie).

  3. Modyfikacja rozkładów jazdy przez otwarte Wi-Fi w zajezdni autobusowej (P=2, S=2 → IR=4: Niskie; po kontrolach: P=1, S=1 → RR=1: Pomijalne).

  4. Kary finansowe i odpowiedzialność odszkodowawcza Zarządu ZKM przed Miastem za paraliż transportu (P=2, S=3 → IR=6: Średnie; po kontrolach: P=1, S=2 → RR=2: Niskie).

• Krok 3 (Formalna kwalifikacja uchybień - Karty Niezgodności):

  Sformułujcie karty uchybień dla kwestii otwartych:

  • Niezgodność Duża (NC1): Niewdrożenie zalecenia zmiany domyślnych haseł fabrycznych i brak unikalnych danych uwierzytelniających w 200 pojazdach (naruszenie kontroli ISO/IEC 27001:2022 A.8.5 Bezpieczne uwierzytelnianie oraz klauzuli 10.2).
  • Niezgodność Mała (NC2): Częściowe wdrożenie zapór pokładowych (brak ochrony w 150 starszych pojazdach) (naruszenie kontroli ISO 27001 A.8.20).
  • Niezgodność Mała (NC2): Brak szyfrowania sieci Wi-Fi w zajezdni autobusowej (naruszenie kontroli ISO 27001 A.8.20).
  • Szansa na doskonalenie (OFI): Wdrożenie zautomatyzowanego systemu telemetrycznego CAN-bus z detekcją anomalii stylu jazdy kierowców.
• Krok 4 (Dochodzenie przyczyn źródłowych metodą 5 Why):

  Przeprowadźcie pełną sekwencję 5 pytań dochodzeniowych:

  1. Dlaczego technicy serwisowi nie zmienili hasła 'admin123' w komputerach pokładowych 200 pojazdów? (Uznano, że ręczna zmiana haseł w każdym pojeździe wymaga zbyt wielu roboczogodzin).

  2. Dlaczego technicy musieli zmieniać hasła ręcznie zamiast centralnie? (Pojazdy nie posiadały wdrożonego skryptu do masowej automatyzacji konfiguracji).

  3. Dlaczego Dział IT nie przygotował skryptu automatycznej zmiany haseł? (Kierownik Eksploatacji uznał hasła serwisowe za niegroźny detal techniczny i nie przekazał zadania informatykom).

  4. Dlaczego Kierownik Eksploatacji zignorował zalecenie audytu pierwotnego? (W ZKM brakowało osoby odpowiedzialnej za bieżący nadzór nad realizacją zaleceń poaudytowych).

  5. Root Cause (Przyczyna źródłowa): Brak formalnego ładu poaudytowego (Follow-up Governance) oraz brak świadomości kadry technicznej, że pojedyncze domyślne hasło niweczy wszystkie pozostałe zabezpieczenia pokładowego IoT.

• Krok 5 (Konstrukcja Aneksu do Planu Działań Korygujących - CAP):

  Opracujcie aneks do CAP ze sztywnym terminem 30 dni na zmianę haseł i dokończenie konfiguracji sieci, rolami i wskaźnikami KPI.

• Krok 6 (Przygotowanie raportu i obrony):

  Zredagujcie raport poaudytowy z Warunkowym Protokołem Zamknięcia Audytu (punkt 6.6 ISO 19011) i przygotujcie 15-minutową prezentację.

Plan prezentacji referatu seminaryjnego (15 minut):

• Wprowadzenie i metodyka audytu Follow-up w ZKM Bydgoszcz (3 min): Ramy normy ISO 19011 (punkt 6.7), bilans 8 badanych zaleceń i cel weryfikacji (Student 1).
• Podsumowanie Menedżerskie dla Władz Miasta i analiza ryzyka rezydualnego 3x3 (3 min): Prezentacja statusu realizacji (62,5% zamkniętych), ryzyk otwartych i profilu IR vs RR (Student 1 lub Student 3).
• Wyniki próbkowania technicznego taboru w zajezdniach (3 min): Weryfikacja biletomatów, luka braku zapór w 150 pojazdach i krytyczne uchybienie z hasłem 'admin123' (Student 2).
• Karty niezgodności NC1/NC2/OFI, dochodzenie 5 Why i Warunkowy Protokół Zamknięcia (4 min): Dekonstrukcja przyczyn zaniechania, aneks do CAP (30 dni) i formalne procedury ISO 19011 (Student 3 i Student 2).
• Podsumowanie, wnioski dla transportu komunalnego i dyskusja z komisją (2 min): Odpowiedzi na pytania prowadzącego (cały zespół).

Wymagana struktura raportu z audytu weryfikacyjnego na ocenę 4.0 (objętość 8-12 stron A4):

1. Podsumowanie zarządcze (Executive Summary) dla Prezydenta Miasta Bydgoszczy i Rady Nadzorczej ZKM.

2. Odpowiedzi na zaawansowane pytania problemowe:

• W jaki sposób norma ISO 19011:2018 (punkt 6.7) definiuje zasady przeprowadzania działań poaudytowych (Follow-up) i jakie kryteria decydują o uznaniu wdrożonych działań korygujących za skuteczne?
• Czym jest ryzyko rezydualne (Residual Risk) w bezpieczeństwie informacji i jak audytor powinien zaprezentować je kierownictwu w relacji do pierwotnego profilu ryzyka organizacji?
• W jakich okolicznościach audytor wiodący ma prawo wydać Warunkowy Protokół Zamknięcia Audytu i jakie rygory prawne i dyscyplinujące wiążą się z tą instytucją?

3. Opis stanu faktycznego taboru i infrastruktury ZKM, wielkość próby kontrolnej (sampling 30 pojazdów).

4. Tabela Zaawansowanej Analizy Ryzyka Rezydualnego w matrycy 3x3 (4 wektory zagrożeń, ryzyko inherentne vs. rezydualne).

5. Szczegółowa macierz weryfikacji 8 pierwotnych zaleceń poaudytowych z dowodami wdrożenia i statusem.

6. Formalne Karty Niezgodności dla kwestii otwartych:

• Karta NC1 (Niezgodność Duża) - niewdrożenie zalecenia zmiany haseł i domyślne hasło 'admin123' w 200 pojazdach (ISO 27001 A.8.5, klauzula 10.2).
• Karta NC2 (Niezgodność Mała) - brak firewalli w 150 starszych pojazdach (ISO 27001 A.8.20).
• Karta NC2 (Niezgodność Mała) - otwarte Wi-Fi w zajezdni autobusowej (ISO 27001 A.8.20).
• Karta OFI (Szansa na doskonalenie) - telemetryczna analiza stylu jazdy kierowców.

7. Protokół dochodzenia przyczyn źródłowych (Root Cause Analysis - 5 Why).

8. Szczegółowe rozwiązanie inżynierskie i proceduralne (skrypt masowej rotacji haseł, harmonogram wymiany routerów w 150 pojazdach, konfiguracja WPA3-Enterprise w zajezdni).

9. Aneks do Planu Działań Korygujących (CAP) ze sztywnym terminem 30 dni i wskaźnikami KPI.

10. Warunkowy Protokół Zamknięcia Audytu zgodnie z normą PN-EN ISO 19011:2018 (punkt 6.6).

11. Bibliografia, netografia i regulacje prawne.

• Norma PN-EN ISO 19011:2018: Wytyczne dotyczące audytowania systemów zarządzania - punkt 6.6 (Zakończenie audytu), punkt 6.7 (Działania poaudytowe - audyt follow-up).
• Norma PN-EN ISO/IEC 27001:2022: Systemy zarządzania bezpieczeństwem informacji - Wymagania: klauzula 9.2, klauzula 10.2 oraz Załącznik A (kontrole A.8.5, A.8.20).
• Norma PN-ISO/IEC 27005:2022: Zarządzanie ryzykiem w bezpieczeństwie informacji - szacowanie ryzyka rezydualnego.
• Ustawa z dnia 16 grudnia 2010 r. o publicznym transporcie zbiorowym (Dz.U. z 2022 r. poz. 1343 z późn. zm.).
• Payment Card Industry Security Standards Council (PCI SSC): "PCI Contactless Payments on Commercial Off-the-Shelf (CPOC) Standard", 2021.
• Urząd Ochrony Danych Osobowych: "Wytyczne dotyczące monitoringu w pojazdach komunikacji miejskiej", Warszawa 2020.

• U4 Opracowanie zaawansowanego raportu z audytu weryfikacyjnego Follow-up i Warunkowego Protokołu Zamknięcia.
• U2 Obiektywna ocena dowodów wdrożenia zaleceń i gradacja uchybień otwartych NC1/NC2/OFI.
• U1 Projekt inżynierski skryptu rotacji haseł pokładowych IoT oraz konfiguracji WPA3-Enterprise.
• U3 Szacowanie ryzyka rezydualnego (Residual Risk) w matrycy 3x3 z wyliczeniem IR i RR.
• W1W2W3 Głęboka znajomość pełnego cyklu audytowego ISO 19011, norm ISO 27001 i ISO 27005.
• K1K2K3 Obiektywizm, niezależność osądu audytorskiego i bezkompromisowość w ocenie dowodów.

W trakcie wystąpienia seminaryjnego zaprezentujcie konstrukcję Warunkowego Protokołu Zamknięcia Audytu (Conditional Audit Closure): wyjaśnijcie, dlaczego audytor weryfikujący realizację zaleceń (Follow-up) nie może uznać audytu za zakończony w obliczu recydywy zaniechania haseł fabrycznych w pojazdach oraz jak sformułować dyscyplinujący 30-dniowy rygor naprawczy.