Laboratorium 9

Głównym celem zadania na ocenę bardzo dobrą (5.0) jest opanowanie przez studentów mistrzowskich kompetencji w zakresie opracowywania strategicznego raportu poaudytowego dla najwyższego kierownictwa jednostki samorządu terytorialnego o statusie podmiotu kluczowego (Urząd Miasta i Gminy w Piasecznie). Studenci dokonują syntezy wyników wieloaspektowego audytu zgodności z Krajowymi Ramami Interoperacyjności (par. 20 KRI), ogólnym rozporządzeniem o ochronie danych (RODO), Dyrektywą NIS2 / Ustawą o KSC oraz normą PN-EN ISO/IEC 27001:2022. Zadanie wymaga: sporządzenia kanonicznej Karty Ustaleń Audytowych w modelu 4C (Condition, Criteria, Cause z dochodzeniem 5 Why i Diagramem Ishikawy, Consequence), wyliczenia ryzyka w 25-stopniowej matrycy 5x5 powiązanej ze wskaźnikami BCM (RTO=2h, RPO=1h, MTPD=8h), opracowania Trójfazowego Planu Działań Korygujących (CAP) ze wskaźnikami KPI i KRI, sformułowania pełnego projektu Załącznika Wykonawczego (SOP) regulującego procedurę Disaster Recovery Plan dla serwerowni gminnej oraz zredagowania 1-stronicowego Executive Summary ("Pitch to Board") dla Burmistrza i Skarbnika z kalkulacją zwrotu z inwestycji (ROSI).

Powiązanie z sylabusem i efektami kształcenia na ocenę 5.0:

• W1 Zaawansowana znajomość wymogów prawnych par. 20 KRI, art. 32 i 83 RODO, Ustawy o informatyzacji, Ustawy o samorządzie gminnym oraz przepisów Kodeksu Karnego (art. 231 KK - niedopełnienie obowiązków służbowych).
• W2W3 Wyczerpująca synteza wymagań normy PN-EN ISO/IEC 27001:2022 (klauzule 9.2, 9.3, 10.1, 10.2 oraz kontrole A.5.15, A.5.18, A.8.13, A.8.14), normy PN-EN ISO 19011:2018 (punkty 6.5, 6.6 i 6.7), standardu ISO 22301 (ciągłość działania) oraz wytycznych ENISA dla administracji lokalnej.
• U1 Projekt inżynierski i proceduralny architektury odzyskiwania awaryjnego (DRP) opartej na replikacji danych do chmury rządowej oraz automatyzacji cyklu życia tożsamości (IAM) w urzędzie.
• U2 Bezbłędna dekompozycja uchybień w kanonicznym modelu 4C z precyzyjnym wykazaniem wielowymiarowych skutków prawnych, finansowych i operacyjnych.
• U3 Kwantyfikacja ryzyka w matrycy 5x5 dla wektorów paraliżu rejestrów meldunkowych, infekcji ransomware i utraty danych podatkowych z wyznaczeniem parametrów BCM.
• U4 Opracowanie kompletnego raportu końcowego (12-16 stron A4) z Trójfazowym Planem CAP (Fazy 0-7, 30, 90 dni), procedurą SOP (§ 1 do § 6) oraz Executive Summary "Pitch to Board".
• K1K2K3 Profesjonalizm, niezależność audytorska, wysoka kultura argumentacji perswazyjnej wobec władz samorządowych i etyka w zarządzaniu sporem poaudytowym.
• Powiązanie z wykładem: Wyk1 (Ład zarządczy SZBI w JST), Wyk2 (Zasady raportowania ISO 19011), Wyk3 (Kontrole A.5 i A.8 ISO 27001), Wyk4 (Zbieżność KRI, RODO i NIS2), Wyk5 (Matryca ryzyka 5x5 i BCM), Wyk6 (Analiza logów AD i konfiguracji serwerowni), Wyk7 (Model 4C, 5 Why, Diagram Ishikawy, Trójfazowy CAP i Pitch to Board).

Urząd Miasta i Gminy w Piasecznie obsługuje 85 000 mieszkańców dynamicznie rozwijającej się aglomeracji podwarszawskiej. Urząd zatrudnia 195 pracowników, realizując ponad 120 e-usług publicznych zintegrowanych z platformami ePUAP, Węzeł Krajowy i mObywatel. Infrastruktura obejmuje 28 fizycznych i wirtualnych serwerów w lokalnej serwerowni urzędu, system Elektronicznego Obiegu Dokumentów (EZD), dziedzinowe bazy podatkowe, rejestry ewidencji ludności oraz 230 stacji roboczych.

Stan faktyczny stwierdzony w trakcie audytu strategicznego:

• Brak procedury i infrastruktury Disaster Recovery Plan (DRP): Bazy danych EZD oraz systemów podatkowych archiwizowane są raz na dobę na przestarzałą bibliotekę taśmową LTO-6. Od ponad 36 miesięcy nie przeprowadzono żadnego testu odtworzeniowego (Disaster Recovery Drill). W serwerowni zainstalowany jest pojedynczy, 9-letni agregat prądotwórczy z niesprawnym układem SZR (Samoczynne Załączanie Rezerwy), a klimatyzacja precyzyjna nie posiada redundancji N+1, pracując na granicy wydajności termicznej.
• Krytyczne luki w zarządzaniu tożsamością i uprawnieniami (IAM): W rejestrach Active Directory wykryto 16 kont byłych pracowników o statusie aktywnym, z czego konto byłego inspektora wydziału geodezji było wykorzystywane do wielokrotnych logowań przez tunel VPN w godzinach nocnych (2 miesiące po rozwiązaniu stosunku pracy). Ponadto 11 urzędników wydziału finansowego posiada stałe, niekontrolowane uprawnienia administratora lokalnego.
• Zdezaktualizowana dokumentacja Polityki Bezpieczeństwa Informacji: Dokumenty PBI pochodzą z 2017 r., odwołują się do uchylonej ustawy o ochronie danych osobowych z 1997 r. oraz nieistniejącego GIODO, nie zawierają żadnych odniesień do Dyrektywy NIS2, zgłaszania incydentów do CSIRT NASK ani klasyfikacji aktywów.
• Szansa na doskonalenie (OFI): Brak integracji logów systemowych urzędu z regionalnym Centrum Operacji Bezpieczeństwa (SOC) szczebla powiatowego lub wojewódzkiego.

W toku narady zamykającej Burmistrz wyraża obawę o koszty wdrożenia planu naprawczego przed sesją budżetową Rady Miejskiej. Zespół audytorów (Triada Audytorska) przystępuje do opracowania strategicznego raportu końcowego w formule 90 minut.

Zadanie realizowane jest w ścisłym reżimie warsztatowym (formuła 90 minut) przez 2-3 osobową Triadę Audytorską:

• Krok 1 (Podział ról w Triadzie Audytorskiej i triage dowodowy - Minuty 00-15):

  Student A (Lead Auditor / Executive Reporter): Odpowiada za ład zarządczy (Governance), analizę zbieżności par. 20 KRI, art. 32 RODO i NIS2, relacje z Burmistrzem, Skarbnikiem i CSIRT NASK oraz przygotowanie 1-stronicowego Executive Summary ("Pitch to Board") z kalkulacją ROSI.

  Student B (Technical SecOps Auditor / Architekt Bezpieczeństwa IT): Analizuje brak procedur DRP, luki w Active Directory, logi połączeń VPN, brak redundancji zasilania i chłodzenia w serwerowni, projektuje architekturę replikacji do Chmury Rządowej oraz automatyzację IAM.

  Student C (Governance, Risk & Compliance Auditor): Opracowuje kanoniczną Kartę Niezgodności 4C, wylicza ryzyko w 25-stopniowej matrycy 5x5 powiązanej z parametrami BCM (RTO=2h, RPO=1h, MTPD=8h), prowadzi sekwencję 5 Why z Diagramem Ishikawy oraz konstruuje Trójfazowy Plan CAP z rolami RACI i metrykami KPI/KRI. W zespole 2-osobowym zadania te dzielą Studenci A i B.

• Krok 2 (Kanoniczna Karta Niezgodności 4C - Minuty 15-40):

  Sformułujcie kartę uchybienia krytycznego w modelu 4C:

• Krok 3 (Zaawansowana Matryca Ryzyka 5x5 i Parametry BCM - Minuty 15-40):

  Skwantyfikujcie 4 wektory zagrożeń w skali 25-stopniowej (P 1-5 x S 1-5):

• Krok 4 (Trójfazowy Plan Działań Korygujących - CAP - Minuty 40-70):

  Opracujcie tabelę CAP w 3 horyzontach czasowych:

• Krok 5 (Sformalizowany Projekt Załącznika Wykonawczego SOP - Minuty 40-70):

  Opracujcie projekt aktu normatywnego "Standard Operacyjny Zarządzania Ciągłością Działania i Awaryjnym Odzyskiwaniem Danych (DRP) w Urzędzie Miasta i Gminy w Piasecznie" z ponumerowanymi artykułami od § 1 do § 6:

  § 1. Cel i zakres procedury DRP; § 2. Parametry odpornościowe BCM (RTO, RPO, MTPD); § 3. Harmonogram i metodyka testowania scenariuszy awaryjnych (próby kwartalne i roczne); § 4. Procedura przełączania zasilania i redundancji serwerowni; § 5. Replikacja danych do chmury rządowej i zasada kopii 3-2-1 WORM; § 6. Odpowiedzialność służbowa, sankcje dyscyplinarne i raportowanie do Burmistrza.

• Krok 6 (Podsumowanie Zarządcze Executive Summary 'Pitch to Board' i przygotowanie obrony - Minuty 70-90):

  Zredagujcie 1-stronicowy briefing dla Burmistrza i Skarbnika: przedstawcie bilans ekspozycji finansowej (ryzyko strat i kar: 1,8 mln PLN vs koszt planu CAP: 140 000 PLN w roku 1), wskaźnik zwrotu z inwestycji w bezpieczeństwo ROSI = 1180%, wykaz natychmiastowych sukcesów (Quick Wins) oraz przygotujcie się do 15-minutowej obrony przed komisją.

Plan referatu seminaryjnego i obrony koncepcji (15 minut):

• Slajd 1-2 (Minuty 00-03): Wprowadzenie i metryka audytu strategicznego KRI/NIS2. Prezentacja wyników triage dowodowego (Student A).
• Slajd 3-4 (Minuty 03-07): Dekompozycja uchybień w modelu 4C oraz analiza przyczyn źródłowych 5 Why z Diagramem Ishikawy (Student C).
• Slajd 5-6 (Minuty 07-10): 25-stopniowa matryca ryzyka 5x5 (IR vs RR), korelacja z parametrami BCM (RTO, RPO, MTPD) oraz rozwiązania inżynierskie DRP i IAM (Student B).
• Slajd 7-8 (Minuty 10-13): Prezentacja Trójfazowego Planu CAP (0-7, 30, 90 dni) z rolami RACI i wskaźnikami KPI/KRI oraz struktury procedury SOP (Student C i B).
• Slajd 9-10 (Minuty 13-15): Executive Summary "Pitch to Board" dla Burmistrza: bilans ryzyk prawno-finansowych, kalkulacja ROSI i zamknięcie audytu (Student A).

Struktura zaawansowanego raportu poaudytowego i dokumentacji wdrożeniowej (12-16 stron A4):

A. Jednostronicowe Podsumowanie Zarządcze (Executive Summary - "Pitch to Board") z wyliczeniem ROSI i bilansu ryzyk.

B. Wprowadzenie formalne: metryka audytu, podstawa prawna (KRI, RODO, NIS2, ISO 27001), skład Triady Audytorskiej, wykaz badanych systemów i serwerowni.

C. Odpowiedzi na 3 pytania problemowe:

1. W jaki sposób audytor powinien uzasadnić Burmistrzowi konieczność wydatkowania środków budżetowych na DRP i chmurę rządową w świetle odpowiedzialności karnej z art. 231 KK?

2. Jakie formalne mechanizmy integracji pomiędzy systemem kadrowym a usługą katalogową Active Directory eliminują ryzyko "kont widm" zgodnie z par. 20 KRI i art. 32 RODO?

3. Czym różni się podejście audytowe oparte na spełnieniu checklisty zgodności od audytu opartego na ryzyku (Risk-Based Audit) w samorządzie terytorialnym?

D. Kanoniczna Karta Ustaleń Audytowych w Modelu 4C (Condition, Criteria, Cause - sekwencja 5 Why i Diagram Ishikawy w 6 osiach, Consequence).

E. Tabela Zaawansowanej Analizy Ryzyka w Matrycy 5x5:

• Wektor 1: Paraliż rejestrów ewidencji ludności i EZD wskutek awarii serwerowni | P=5, S=5 → IR=25 | Kontrole: DRP, chmura rządowa, testy | P=1, S=4 → RR=4 | RTO=2h, RPO=1h, MTPD=8h
• Wektor 2: Dostęp nieuprawniony byłych pracowników przez VPN | P=5, S=4 → IR=20 | Kontrole: Automatyzacja IAM, mTLS, MFA | P=1, S=3 → RR=3 | RTO=30m, RPO=0s, MTPD=2h
• Wektor 3: Infekcja ransomware stacji roboczych bez EDR | P=4, S=5 → IR=20 | Kontrole: EDR, segmentacja VLAN, brak admina | P=1, S=3 → RR=3 | RTO=1h, RPO=15m, MTPD=4h
• Wektor 4: Kary finansowe i kontrole nadzorcze UODO/CSIRT | P=5, S=3 → IR=15 | Kontrole: Zarządzenie PBI, audyt ciągły KRI | P=1, S=2 → RR=2 | RTO=N/A, RPO=N/A, MTPD=72h

F. Tabela Trójfazowego Planu Działań Korygujących (CAP) z macierzą RACI, terminami (Faza 1: 0-7 dni, Faza 2: 30 dni, Faza 3: 90 dni) i wskaźnikami KPI oraz KRI.

G. Sformalizowany Projekt Załącznika Wykonawczego (SOP — 6 ponumerowanych paragrafów regulujących procedurę Disaster Recovery Plan).

H. Analiza kompromisów inżynierskich i zarządczych (Trade-offs: koszty utrzymania chmury hybrydowej vs ryzyko przestoju e-urzędu, wygoda pracy urzędników vs rygor uwierzytelniania dwuskładnikowego).

I. Bibliografia, netografia, wykaz decyzji organów nadzoru i orzecznictwa sądowego.

• Rozporządzenie Rady Ministrów z dnia 12 kwietnia 2012 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (Dz.U. z 2024 r. poz. 733 z późn. zm.) - par. 20.
• Norma PN-EN ISO 19011:2018: Wytyczne dotyczące audytowania systemów zarządzania - punkty 6.5, 6.6 i 6.7.
• Norma PN-EN ISO/IEC 27001:2022: Systemy zarządzania bezpieczeństwem informacji - Wymagania: klauzule 9.2, 9.3, 10.1, 10.2 oraz Załącznik A.
• Norma PN-EN ISO 22301:2020: Bezpieczeństwo i odporność - Systemy zarządzania ciągłością działania.
• Ustawa z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne (Dz.U. z 2023 r. poz. 57 z późn. zm.).
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 32, 33, 34, 82, 83.
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii (Dyrektywa NIS2).
• Ustawa z dnia 6 czerwca 1997 r. - Kodeks Karny (Dz.U. z 2024 r. poz. 17 z późn. zm.) - art. 231 (Niedopełnienie obowiązków służbowych).
• Ministerstwo Cyfryzacji: "Standardy Cyberbezpieczeństwa dla Jednostek Samorządu Terytorialnego", Warszawa 2023.

• Wiedza W1: Zaawansowana znajomość par. 20 KRI, art. 32 RODO, Dyrektywy NIS2 i art. 231 KK w administracji samorządowej.
• Wiedza W2, W3: Rozumienie relacji norm ISO 19011, ISO 27001 i ISO 22301 oraz integracji dowodów technicznych z językiem ryzyka biznesowego.
• Umiejętności U1: Projekt inżynierski procedury DRP i centralnego systemu IAM zintegrowanego z kadrami.
• Umiejętności U2: Bezbłędna dekompozycja ustaleń audytowych w kanonicznym modelu 4C i RCA 5 Why / Ishikawa.
• Umiejętności U3: Kwantyfikacja ryzyka w matrycy 5x5 i powiązanie ze wskaźnikami BCM (RTO, RPO, MTPD).
• Umiejętności U4: Opracowanie kompletnego raportu poaudytowego (12-16 stron A4) z Trójfazowym Planem CAP, SOP i Executive Summary.
• Kompetencje K1, K2, K3: Profesjonalizm, niezależność osądu, odporność na presję polityczną i perswazja w obronie "Pitch to Board".

W trakcie obrony referatu seminaryjnego w formule "Pitch to Board" przeprowadźcie dynamiczną symulację narady z Burmistrzem i Skarbnikiem Gminy: zademonstrujcie, w jaki sposób za pomocą wskaźnika ROSI (1180%) oraz bezpośredniego powołania na odpowiedzialność karną z art. 231 KK przełamać opór władz samorządowych przed sfinansowaniem procedury Disaster Recovery Plan (DRP) i automatyzacji offboardingu w najbliższej uchwale budżetowej Rady Miejskiej.

Głównym celem zadania na ocenę bardzo dobrą (5.0) jest opanowanie przez studentów zaawansowanych umiejętności zarządzania ostrym konfliktem poaudytowym i procedowania formalnych rozbieżności zgodnie z normą PN-EN ISO 19011:2018 (punkt 6.5.2 lit. e) w złożonym środowisku podmiotu leczniczego o statusie Operatora Usługi Kluczowej (Wojewódzki Szpital Zespolony w Kaliszu). Studenci badają stan bezpieczeństwa szpitalnego systemu informatycznego (HIS) oraz aparatury podtrzymującej życie (IoT/IoMT). W toku redagowania raportu dochodzi do formalnego sporu z Kierownikiem Działu IT i Zastępcą Dyrektora ds. Lecznictwa, którzy składają pisemne wotum separatum, odrzucając zarzut współdzielenia kont pielęgniarskich i braku segmentacji kardiomonitorów, powołując się na nadrzędność ratowania życia nad procedurami bezpieczeństwa. Zadanie wymaga: opracowania bezstronnego, sformalizowanego Protokołu Rozbieżności z pisemną repliką audytorów, dekompozycji uchybienia w modelu 4C ze wskazaniem odpowiedzialności karnej z art. 160 KK (narażenie na utratę życia), wyliczenia ryzyka w matrycy 5x5 powiązanej ze wskaźnikami BCM (RTO=15m, RPO=0s, MTPD=1h), skonstruowania Trójfazowego Planu CAP z macierzą RACI, opracowania procedury wykonawczej (SOP) bezpiecznej autoryzacji zbliżeniowej RFID Tap-in oraz zredagowania briefingu zarządczego dla Dyrektora Naczelnego.

Powiązanie z sylabusem i efektami kształcenia na ocenę 5.0:

• W1 Zaawansowana znajomość ochrony danych szczególnych kategorii (art. 9 RODO), tajemnicy lekarskiej, przepisów Ustawy o prawach pacjenta oraz rygorów odpowiedzialności karnej (art. 160 KK - bezpośrednie niebezpieczeństwo utraty życia lub ciężkiego uszczerbku na zdrowiu).
• W2W3 Rygorystyczna synteza wymagań normy ISO 19011:2018 (punkt 6.5.2 lit. e - ewidencjonowanie i rozstrzyganie nieuzgodnionych rozbieżności), normy PN-EN ISO/IEC 27001:2022 (kontrole A.8.2, A.8.5, A.8.20, A.8.22), normy ISO 27799 (bezpieczeństwo w zdrowiu) oraz Dyrektywy NIS2 dla sektora ochrony zdrowia.
• U1 Projekt architektury mikrosegmentacji sieci szpitalnej (izolacja aparatury IoMT od stacji roboczych) oraz ergonomicznego systemu szybkiego logowania kartami zbliżeniowymi RFID Mifare DESFire EV3 połączonego z bezhasłowym standardem FIDO2.
• U2 Prawidłowe zakwalifikowanie i obrona Niezgodności Dużej (NC1) w warunkach silnego oporu i presji psychologicznej ze strony audytowanego personelu medycznego.
• U3 Kwantyfikacja ryzyka w matrycy 5x5 dla wektorów fałszerstwa zleceń leków, sabotażu kardiomonitorów i kar UODO/NIS2 z wyznaczeniem parametrów BCM.
• U4 Opracowanie kompletnego raportu końcowego (12-16 stron A4) z Protokołem Rozbieżności, Trójfazowym Planem CAP, procedurą SOP (§ 1 do § 6) oraz Executive Summary dla Dyrekcji.
• K1K2K3 Asertywność, bezstronność, odporność na argumentację emocjonalną i wysoka kultura mediacji w sporze audytowym.
• Powiązanie z wykładem: Wyk1 (Ład zarządczy w ochronie zdrowia), Wyk2 (Zarządzanie sporem poaudytowym ISO 19011), Wyk3 (Kontrole dostępowe i sieciowe ISO 27001), Wyk4 (RODO art. 9 i NIS2), Wyk5 (Matryca 5x5 i BCM), Wyk6 (Analiza logów HIS i ruchu IoMT), Wyk7 (Protokół rozbieżności, model 4C, Trójfazowy CAP i Pitch to Board).

Wojewódzki Szpital Zespolony w Kaliszu dysponuje 720 łóżkami, 22 oddziałami (w tym Szpitalnym Oddziałem Ratunkowym, Oddziałem Anestezjologii i Intensywnej Terapii oraz Kliniką Kardiologii Inwazyjnej) i zatrudnia 1 350 pracowników. Szpital przetwarza rocznie dane medyczne 52 000 hospitalizowanych pacjentów w zintegrowanym systemie HIS.

Stan faktyczny w obszarze zbadanym i zarzewie krytycznego sporu audytowego:

• Powszechne współdzielenie kont na oddziałach zabiegowych i OIT: Na stacjach roboczych w dyżurkach pielęgniarskich oraz na salach operacyjnych personel powszechnie pracuje na wspólnym koncie domenowym `pielegniarka_dyzur` z hasłem zapisanym na naklejce na ramce monitora (`Dyżur2024!`). W toku próbkowania logów wykazano, że w ciągu jednej 12-godzinnej zmiany na tym samym koncie zlecono podanie silnych leków opioidowych dla 24 pacjentów, a wpisów dokonywało co najmniej 6 różnych osób bez możliwości ustalenia tożsamości zlecającego.
• Całkowity brak segmentacji aparatury medycznej IoMT: 85 kardiomonitorów, 40 pomp infuzyjnych oraz 3 rezonanse magnetyczne pracują w tej samej płaskiej podsieci logicznej (VLAN 10) co stacje robocze personelu administracyjnego i publiczne punkty dostępowe Wi-Fi dla pacjentów. Kardiomonitory transmitują parametry życiowe pacjentów jawnym protokołem HL7 bez szyfrowania TLS, a skanowanie podatności ujawniło domyślne hasła dostępowe telnet na modułach sieciowych pomp infuzyjnych.
• Stanowisko Kierownika IT i Dyrektora ds. Lecznictwa (Wotum Separatum):

  Kierownik IT odmówił podpisania karty ustaleń, oświadczając pisemnie: "Wymóg indywidualnego logowania 14-znakowym hasłem na salach reanimacyjnych i SOR jest absurdalny i zagraża życiu pacjentów. Zanim pielęgniarka wpisze skomplikowane hasło w trakcie zapaści krążeniowej, chory umrze. Ponadto aparatura medyczna posiada certyfikaty producenta i szpital nie ma prawa ingerować w jej oprogramowanie. Audytorzy nie mają pojęcia o specyfice ratownictwa medycznego!".

Triada Audytorska staje przed zadaniem sporządzenia bezstronnego raportu końcowego zawierającego formalny Protokół Rozbieżności wg ISO 19011 oraz konstruktywne rozwiązanie technologiczne godzące rygor bezpieczeństwa z ergonomią pracy personelu medycznego.

Zadanie realizowane jest w ścisłym reżimie warsztatowym (formuła 90 minut) przez 2-3 osobową Triadę Audytorską:

• Krok 1 (Podział ról w Triadzie Audytorskiej i triage dowodowy - Minuty 00-15):

  Student A (Lead Auditor / Executive Reporter): Odpowiada za ład zarządczy, analizę sporu w świetle punktu 6.5.2 lit. e ISO 19011, badanie odpowiedzialności karnej z art. 160 KK, relacje z Dyrekcją Naczelną, Rzecznikiem Praw Pacjenta i UODO oraz przygotowanie Executive Summary dla Zarządu.

  Student B (Technical SecOps Auditor / Architekt Bezpieczeństwa Medycznego): Dekonstruuje protokół HL7, luki pomp infuzyjnych, brak mikrosegmentacji, projektuje architekturę szybkiego logowania zbliżeniowego RFID Mifare DESFire EV3 połączonego z kartami personelu oraz reguły firewalla nowej generacji (NGFW) dla strefy IoMT.

  Student C (Governance, Risk & Compliance Auditor): Opracowuje formalny Protokół Rozbieżności, dekompozycję uchybienia w modelu 4C, wylicza ryzyko w matrycy 5x5 powiązanej ze wskaźnikami BCM (RTO=15m, RPO=0s, MTPD=1h), prowadzi analizę 5 Why z Diagramem Ishikawy oraz harmonogramuje Trójfazowy Plan CAP z macierzą RACI i wskaźnikami KPI/KRI. W zespole 2-osobowym zadania te dzielą Studenci A i B.

• Krok 2 (Kanoniczna Karta Niezgodności 4C i Protokół Rozbieżności - Minuty 15-40):

  Sformułujcie kartę uchybienia w modelu 4C oraz strukturę Protokołu Rozbieżności:

• Krok 3 (Zaawansowana Matryca Ryzyka 5x5 i Parametry BCM - Minuty 15-40):

  Skwantyfikujcie 4 wektory zagrożeń w skali 25-stopniowej (P 1-5 x S 1-5):

• Krok 4 (Trójfazowy Plan Działań Korygujących - CAP - Minuty 40-70):

  Opracujcie tabelę CAP w 3 horyzontach czasowych:

• Krok 5 (Sformalizowany Projekt Załącznika Wykonawczego SOP - Minuty 40-70):

  Opracujcie projekt aktu normatywnego "Standard Operacyjny Ergonomicznej Kontroli Dostępu i Kryptoizolacji Sieci Medycznej (IoMT) w Wojewódzkim Szpitalu Zespolonym w Kaliszu" z ponumerowanymi artykułami od § 1 do § 6:

  § 1. Zakres podmiotowy i przedmiotowy procedury; § 2. Zasady autoryzacji personelu kartami zbliżeniowymi RFID Tap-in i wygaszania sesji ("Tap-out / Proximity Lock"); § 3. Tryb postępowania w sytuacjach bezpośredniego zagrożenia życia (Procedura 'Emergency Override / Kod Czerwony'); § 4. Rygory mikrosegmentacji sieci IoMT i zakaz transmisji nieszyfrowanej; § 5. Procedura zarządzania rozbieżnościami poaudytowymi i wotami separatum wg ISO 19011; § 6. Odpowiedzialność prawna, karna (art. 160 KK) i sankcje dyscyplinarne.

• Krok 6 (Podsumowanie Zarządcze Executive Summary 'Pitch to Board' i przygotowanie obrony - Minuty 70-90):

  Zredagujcie 1-stronicowy briefing dla Dyrekcji Szpitala: wyjaśnijcie, w jaki sposób technologia RFID Tap-in eliminuje konflikt pomiędzy bezpieczeństwem a ergonomią (logowanie w 1,2 sekundy zamiast 25 sekund na klawiaturze), przedstawcie bilans zaniechania (ryzyko kar i pozwów: 4,5 mln PLN vs koszt wdrożenia RFID i segmentacji: 95 000 PLN, ROSI = 4636%) oraz przygotujcie się do 15-minutowej obrony przed komisją.

Plan referatu seminaryjnego i obrony koncepcji (15 minut):

• Slajd 1-2 (Minuty 00-03): Wprowadzenie i metryka audytu szpitala. Prezentacja istoty sporu poaudytowego i wotum separatum IT wg ISO 19011 pkt 6.5.2 lit. e (Student A).
• Slajd 3-4 (Minuty 03-07): Dekompozycja uchybień w modelu 4C i analiza przyczyn źródłowych 5 Why / Ishikawa z uwzględnieniem art. 160 KK (Student C).
• Slajd 5-6 (Minuty 07-10): 25-stopniowa matryca ryzyka 5x5 (IR vs RR), parametry BCM (RTO=15m, RPO=0s) oraz inżynierski projekt kart zbliżeniowych RFID Tap-in i mikrosegmentacji IoMT (Student B).
• Slajd 7-8 (Minuty 10-13): Prezentacja Trójfazowego Planu CAP (0-7, 30, 90 dni) z macierzą RACI, wskaźnikami KPI/KRI oraz struktury procedury SOP (Student C i B).
• Slajd 9-10 (Minuty 13-15): Executive Summary "Pitch to Board" dla Dyrektora Naczelnego: bilans korzyści, wyliczenie ROSI i formalne zamknięcie audytu (Student A).

Struktura zaawansowanego raportu poaudytowego i dokumentacji wdrożeniowej (12-16 stron A4):

A. Jednostronicowe Podsumowanie Zarządcze (Executive Summary - "Pitch to Board") dla Dyrekcji Szpitala z kalkulacją ROSI.

B. Wprowadzenie formalne: metryka audytu, podstawa prawna (RODO art. 9, NIS2, ISO 27001, ISO 19011), skład Triady Audytorskiej, wykaz badanych oddziałów i aparatury IoMT.

C. Oficjalny Protokół Rozbieżności poaudytowych (zgodnie z punktem 6.5.2 lit. e normy ISO 19011:2018) zawierający treść wotum separatum Kierownika IT oraz pisemną replikę audytorów.

D. Odpowiedzi na 3 pytania problemowe:

1. W jaki sposób audytor powinien rozstrzygnąć pozorny konflikt pomiędzy rygorem rozliczalności dostępu (art. 32 RODO) a szybkością ratowania życia na oddziałach intensywnej terapii?

2. Jakie konsekwencje prawno-karne z art. 160 KK ponosi dyrekcja szpitala w sytuacji, gdy brak rozliczalności uniemożliwia ustalenie sprawcy śmiertelnego przedawkowania leku?

3. W jaki sposób mikrosegmentacja sieciowa chroni aparaturę medyczną podtrzymującą życie przed atakami ransomware i sabotażem z sieci Wi-Fi?

E. Kanoniczna Karta Ustaleń Audytowych w Modelu 4C (Condition, Criteria, Cause - sekwencja 5 Why i Diagram Ishikawy w 6 osiach, Consequence).

F. Tabela Zaawansowanej Analizy Ryzyka w Matrycy 5x5:

• Wektor 1: Błąd w dawkowaniu leku z powodu braku rozliczalności | P=5, S=5 → IR=25 | Kontrole: Karty RFID Tap-in, logowanie zdarzeń | P=1, S=5 → RR=5 | RTO=15m, RPO=0s, MTPD=1h
• Wektor 2: Sabotaż i manipulacja parametrami kardiomonitorów IoMT | P=4, S=5 → IR=20 | Kontrole: Mikrosegmentacja NGFW, zmiana haseł | P=1, S=4 → RR=4 | RTO=30m, RPO=0s, MTPD=2h
• Wektor 3: Masowy wyciek dokumentacji medycznej pacjentów (art. 9 RODO) | P=5, S=4 → IR=20 | Kontrole: Bezhasłowe MFA, kryptoizolacja | P=1, S=3 → RR=3 | RTO=1h, RPO=15m, MTPD=4h
• Wektor 4: Kary administracyjne UODO/NIS2 i utrata kontraktu NFZ | P=5, S=4 → IR=20 | Kontrole: Realizacja CAP, wdrożenie procedury SOP | P=1, S=2 → RR=2 | RTO=N/A, RPO=N/A, MTPD=72h

G. Tabela Trójfazowego Planu Działań Korygujących (CAP) z macierzą RACI, terminami (Faza 1: 0-7 dni, Faza 2: 30 dni, Faza 3: 90 dni) i wskaźnikami KPI oraz KRI.

H. Sformalizowany Projekt Załącznika Wykonawczego (SOP — 6 ponumerowanych paragrafów regulujących procedurę logowania RFID i kryptoizolacji IoMT).

I. Analiza kompromisów inżynierskich i zarządczych (Trade-offs: ergonomia pracy personelu medycznego vs rygor kryptograficzny, koszty wdrożenia czytników RFID vs unikanie wielomilionowych odszkodowań).

J. Bibliografia, netografia, wykaz wytycznych medycznych i orzecznictwa sądowego.

• Norma PN-EN ISO 19011:2018: Wytyczne dotyczące audytowania systemów zarządzania - punkt 6.5.2 (Zarządzanie rozbieżnościami), punkt 6.6 i 6.7.
• Norma PN-EN ISO/IEC 27001:2022: Systemy zarządzania bezpieczeństwem informacji - Wymagania: kontrole A.8.2, A.8.5, A.8.20, A.8.22.
• Norma PN-EN ISO 27799:2016: Informatyka medyczna - Zarządzanie bezpieczeństwem informacji w dziedzinie zdrowia z wykorzystaniem ISO/IEC 27002.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 9 (Przetwarzanie szczególnych kategorii danych), art. 32, art. 82, art. 83.
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (NIS2) - podmioty kluczowe w sektorze ochrony zdrowia.
• Ustawa z dnia 6 czerwca 1997 r. - Kodeks Karny (Dz.U. z 2024 r. poz. 17 z późn. zm.) - art. 160 (Narażenie człowieka na bezpośrednie niebezpieczeństwo utraty życia albo ciężkiego uszczerbku na zdrowiu).
• Ustawa z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta (Dz.U. z 2024 r. poz. 581 z późn. zm.).
• Centrum Monitorowania Jakości w Ochronie Zdrowia (CMJ): "Standardy Akredytacyjne dla Szpitali", Kraków 2022.

• Wiedza W1: Zaawansowana znajomość ochrony danych medycznych (art. 9 RODO), tajemnicy lekarskiej, NIS2 i odpowiedzialności karnej z art. 160 KK.
• Wiedza W2, W3: Rozumienie procedury rozstrzygania sporów audytowych wg ISO 19011 (pkt 6.5.2) oraz norm ISO 27001 i ISO 27799.
• Umiejętności U1: Projekt inżynierski autoryzacji zbliżeniowej RFID Mifare DESFire EV3 oraz mikrosegmentacji sieci aparatury medycznej IoMT.
• Umiejętności U2: Dekompozycja ustaleń w modelu 4C i obrona kwalifikacji Niezgodności Dużej w warunkach wotum separatum.
• Umiejętności U3: Kwantyfikacja ryzyka w matrycy 5x5 i powiązanie z parametrami BCM (RTO=15m, RPO=0s, MTPD=1h).
• Umiejętności U4: Opracowanie zaawansowanego raportu (12-16 stron A4) z Protokołem Rozbieżności, Planem CAP, procedurą SOP i Pitch to Board.
• Kompetencje K1, K2, K3: Asertywność, bezstronność, odporność na argumentację emocjonalną i kultura profesjonalnego dialogu z kadrą medyczną.

W trakcie wystąpienia seminaryjnego przedstawcie symulację formalnej procedury zarządzania rozbieżnościami (punkt 6.5.2 lit. e ISO 19011) z Dyrektorem ds. Lecznictwa: zademonstrujcie, jak za pomocą twardych dowodów z matrycy ryzyka 5x5, art. 160 KK oraz demonstracji działania kart RFID Tap-in (czas autoryzacji 1,2 sekundy) obalić zarzut 'blokowania pracy lekarzy' i doprowadzić do wycofania wotum separatum przez kierownictwo IT.

Głównym celem zadania na ocenę bardzo dobrą (5.0) jest wykształcenie u studentów umiejętności opracowania zaawansowanego, strategicznego raportu poaudytowego dla Komitetu Audytu, Rady Nadzorczej oraz Zarządu instytucji finansowej (Małopolski Bank Spółdzielczy w Wieliczce). Audyt obejmuje ocenę zgodności środowiska bankowości elektronicznej i mobilnej z rygorystycznymi wymogami Rekomendacji D i M Komisji Nadzoru Finansowego (KNF), Rozporządzenia Parlamentu Europejskiego i Rady w sprawie operacyjnej odporności cyfrowej sektora finansowego (DORA) oraz normy PN-EN ISO/IEC 27001:2022. Zadanie wymaga: sformułowania kanonicznej Karty Ustaleń Audytowych w modelu 4C (Condition, Criteria, Cause z dochodzeniem 5 Why i Diagramem Ishikawy, Consequence), wyliczenia ryzyka w 25-stopniowej matrycy 5x5 powiązanej ze wskaźnikami BCM (RTO=30m, RPO=0s, MTPD=2h), skonstruowania Trójfazowego Planu CAP z macierzą RACI i wskaźnikami KPI oraz KRI, opracowania sformalizowanego Załącznika Wykonawczego (SOP) regulującego proces zarządzania podatnościami krytycznymi i środowiskiem testowym UAT oraz przygotowania 1-stronicowego Podsumowania Zarządczego ("Pitch to Board") z kalkulacją ROSI.

Powiązanie z sylabusem i efektami kształcenia na ocenę 5.0:

• W1 Zaawansowana znajomość przepisów Ustawy - Prawo bankowe, Rekomendacji D i M KNF, Rozporządzenia DORA, standardu PCI DSS v4.0 oraz tajemnicy bankowej i odpowiedzialności zarządczej.
• W2W3 Rygorystyczna synteza wymagań normy PN-EN ISO/IEC 27001:2022 (klauzule 9.2, 9.3, 10.1, 10.2 oraz kontrole A.5.15, A.8.8, A.8.19, A.8.25), normy ISO 19011:2018 oraz standardu ISO 22301 w instytucjach zaufania publicznego.
• U1 Projekt inżynierski zautomatyzowanego repozytorium dystrybucji poprawek (WSUS/Patch Manager), środowiska testowego UAT w architekturze odizolowanej oraz wdrożenia systemu zarządzania dostępem uprzywilejowanym (PAM) z rejestracją sesji RDP/SSH.
• U2 Bezbłędna kwalifikacja uchybień w kanonicznym modelu 4C ze wskazaniem ryzyka utraty licencji bankowej i sankcji nakładanych przez KNF.
• U3 Kwantyfikacja ryzyka w matrycy 5x5 dla wektorów ataku exploitów na niezałatane serwery WWW, kradzieży tożsamości uprzywilejowanej i niedostępności bankowości mobilnej z wyznaczeniem parametrów BCM.
• U4 Opracowanie kompletnego raportu końcowego (12-16 stron A4) z Trójfazowym Planem CAP, procedurą SOP (§ 1 do § 6) oraz Executive Summary "Pitch to Board".
• K1K2K3 Profesjonalizm, odporność na presję ze strony Zarządu Banku, bezstronność i kultura komunikacji menedżerskiej.
• Powiązanie z wykładem: Wyk1 (Ład korporacyjny w bankowości), Wyk2 (Zasady audytowania ISO 19011), Wyk3 (Kontrole dostępowe i techniczne ISO 27001), Wyk4 (Zbieżność Rekomendacji D KNF, DORA i RODO), Wyk5 (Matryca ryzyka 5x5 i BCM), Wyk6 (Analiza podatności Nessus i logów PAM), Wyk7 (Model 4C, 5 Why, Trójfazowy CAP i Pitch to Board).

Małopolski Bank Spółdzielczy w Wieliczce obsługuje 38 000 klientów indywidualnych i korporacyjnych, dysponuje centralą oraz 8 oddziałami terenowymi. Bank zrzeszony jest w bankowości spółdzielczej, przetwarzając rocznie ponad 5,5 miliona transakcji płatniczych za pośrednictwem systemu bankowości internetowej (WebBanking) oraz aplikacji mobilnej (mBankMobile).

Stan faktyczny stwierdzony w trakcie zaawansowanego audytu bezpieczeństwa:

• Brak aktualizacji i obecność podatności krytycznych na serwerach styku z Internetem: Skanowanie podatności ujawniło, że serwery front-endowe bankowości elektronicznej pracują na niezałatanej wersji biblioteki OpenSSL podatnej na zdalne wykonanie kodu (RCE, podatność CVSS 9.8) oraz serwerze Apache z lukami znanymi od 11 miesięcy. Aktualizacje bezpieczeństwa nie były instalowane z obawy przed przerwaniem działania przestarzałych komponentów integracyjnych.
• Całkowity brak odizolowanego środowiska testowego (UAT): Wdrażanie nowych wersji aplikacji bankowej odbywa się bezpośrednio na środowisku produkcyjnym w oknach serwisowych, a programiści zewnętrznego integratora IT posiadają bezpośredni, nieszyfrowany dostęp do bazy produkcyjnej z uprawnieniami `DBA` bez rejestracji sesji i bez anonimizacji danych klientów.
• Brak centralnego zarządzania kontami uprzywilejowanymi (PAM): Hasła administratorów domeny bankowej oraz baz danych transakcyjnych były współdzielone pomiędzy 4 pracowników działu IT i przechowywane w nieszyfrowanym arkuszu kalkulacyjnym na dysku sieciowym.
• Szansa na doskonalenie (OFI): Wdrożenie zautomatyzowanego testowania odporności cyfrowej opartego na scenariuszach Threat-Led Penetration Testing (TLPT) zgodnie z wymogami DORA.

Komitet Audytu Banku oczekuje strategicznego raportu końcowego, który nie tylko wykaże luki, lecz także przedstawi plan ich usunięcia przed zbliżającą się inspekcją Urzędu KNF.

Zadanie realizowane jest w ścisłym reżimie warsztatowym (formuła 90 minut) przez 2-3 osobową Triadę Audytorską:

• Krok 1 (Podział ról w Triadzie Audytorskiej i triage dowodowy - Minuty 00-15):

  Student A (Lead Auditor / Executive Reporter): Odpowiada za ład korporacyjny (Governance), zgodność z Rekomendacją D KNF, Rozporządzeniem DORA, relacje z Komitetem Audytu i Zarządem oraz przygotowanie 1-stronicowego Executive Summary z kalkulacją ROSI.

  Student B (Technical SecOps Auditor / Architekt Bezpieczeństwa Bankowego): Analizuje raporty skanera podatności, luki biblioteki OpenSSL, brak środowiska UAT, brak systemu PAM, projektuje architekturę kryptoizolacji bazy produkcyjnej, bezpieczny proces CI/CD oraz wdrożenie platformy PAM CyberArk/Wallix.

  Student C (Governance, Risk & Compliance Auditor): Opracowuje kanoniczną Kartę Niezgodności 4C, wylicza ryzyko w matrycy 5x5 powiązanej ze wskaźnikami BCM (RTO=30m, RPO=0s, MTPD=2h), prowadzi sekwencję 5 Why z Diagramem Ishikawy oraz konstruuje Trójfazowy Plan CAP z macierzą RACI i metrykami KPI/KRI. W zespole 2-osobowym zadania te dzielą Studenci A i B.

• Krok 2 (Kanoniczna Karta Niezgodności 4C - Minuty 15-40):

  Sformułujcie kartę uchybienia w modelu 4C:

• Krok 3 (Zaawansowana Matryca Ryzyka 5x5 i Parametry BCM - Minuty 15-40):

  Skwantyfikujcie 4 wektory zagrożeń w skali 25-stopniowej (P 1-5 x S 1-5):

• Krok 4 (Trójfazowy Plan Działań Korygujących - CAP - Minuty 40-70):

  Opracujcie tabelę CAP w 3 horyzontach czasowych:

• Krok 5 (Sformalizowany Projekt Załącznika Wykonawczego SOP - Minuty 40-70):

  Opracujcie projekt aktu normatywnego "Standard Operacyjny Zarządzania Podatnościami Technicznymi, Zmianą w Środowisku ICT oraz Dostępem Uprzywilejowanym (PAM) w Małopolskim Banku Spółdzielczym w Wieliczce" z ponumerowanymi artykułami od § 1 do § 6:

  § 1. Cel i zakres stosowania procedury (zgodność z DORA i Rekomendacją D); § 2. Klasyfikacja podatności i rygorystyczne terminy łatania (luki krytyczne CVSS > 9.0 w terminie 7 dni, wysokie w 14 dni); § 3. Obowiązek testowania w odizolowanym środowisku UAT i zakaz testów na produkcji; § 4. Rygory anonimizacji i maskowania danych produkcyjnych; § 5. Zasady nadzoru kont uprzywilejowanych PAM i rotacji haseł; § 6. Kontrola wykonania, raportowanie do Komitetu Audytu i sankcje służbowe.

• Krok 6 (Podsumowanie Zarządcze Executive Summary 'Pitch to Board' i przygotowanie obrony - Minuty 70-90):

  Zredagujcie 1-stronicowy briefing dla Komitetu Audytu i Zarządu Banku: przedstawcie bilans ekspozycji na ryzyko (potencjalne straty z kradzieży i kary KNF: 8,2 mln PLN vs koszt planu CAP: 180 000 PLN, wskaźnik ROSI = 4455%), wykażcie zgodność z harmonogramem wdrożenia DORA oraz przygotujcie się do 15-minutowej obrony przed komisją.

Plan referatu seminaryjnego i obrony koncepcji (15 minut):

• Slajd 1-2 (Minuty 00-03): Wprowadzenie i metryka audytu instytucji finansowej. Wyniki triage dowodowego podatności OpenSSL i naruszenia Rekomendacji D KNF (Student A).
• Slajd 3-4 (Minuty 03-07): Dekompozycja uchybień w modelu 4C oraz analiza przyczyn źródłowych 5 Why z Diagramem Ishikawy (Student C).
• Slajd 5-6 (Minuty 07-10): 25-stopniowa matryca ryzyka 5x5 (IR vs RR), wskaźniki BCM dla transakcji (RTO=30m, RPO=0s) oraz architektura odizolowanego UAT i PAM (Student B).
• Slajd 7-8 (Minuty 10-13): Prezentacja Trójfazowego Planu CAP (0-7, 30, 90 dni) z rolami RACI, wskaźnikami KPI/KRI oraz struktury procedury SOP (Student C i B).
• Slajd 9-10 (Minuty 13-15): Executive Summary "Pitch to Board" dla Zarządu i Komitetu Audytu: bilans ryzyk regulacyjnych KNF/DORA, wyliczenie ROSI i zamknięcie audytu (Student A).

Struktura zaawansowanego raportu poaudytowego i dokumentacji wdrożeniowej (12-16 stron A4):

A. Jednostronicowe Podsumowanie Zarządcze (Executive Summary - "Pitch to Board") dla Komitetu Audytu i Zarządu Banku z wyliczeniem ROSI.

B. Wprowadzenie formalne: metryka audytu, podstawa prawna (Rekomendacja D KNF, DORA, Prawo bankowe, ISO 27001), skład Triady Audytorskiej, wykaz systemów transakcyjnych.

C. Odpowiedzi na 3 pytania problemowe:

1. W jaki sposób audytor powinien uzasadnić Zarządowi Banku konieczność natychmiastowego wdrożenia środowiska UAT i PAM w kontekście odpowiedzialności osobistej członków organów zarządzających w reżimie DORA?

2. Jakie konkretne wymagania techniczne nakłada Rozporządzenie DORA na proces zarządzania podatnościami teleinformatycznymi i testowania odporności operacyjnej (TLPT)?

3. Dlaczego wykorzystanie danych produkcyjnych klientów banku na nieodizolowanym środowisku programistycznym stanowi rażące naruszenie tajemnicy bankowej i art. 32 RODO?

D. Kanoniczna Karta Ustaleń Audytowych w Modelu 4C (Condition, Criteria, Cause - sekwencja 5 Why i Diagram Ishikawy w 6 osiach, Consequence).

E. Tabela Zaawansowanej Analizy Ryzyka w Matrycy 5x5:

• Wektor 1: Przejęcie serwerów transakcyjnych przez exploit luki OpenSSL | P=5, S=5 → IR=25 | Kontrole: WAF, aktualizacja, środowisko UAT | P=1, S=5 → RR=5 | RTO=30m, RPO=0s, MTPD=2h
• Wektor 2: Nadużycie uprawnień administratora przez brak kontroli PAM | P=4, S=5 → IR=20 | Kontrole: Wdrożenie PAM, rotacja haseł, MFA | P=1, S=4 → RR=4 | RTO=15m, RPO=0s, MTPD=1h
• Wektor 3: Awaria bazy transakcyjnej podczas wdrożenia bez testów UAT | P=4, S=5 → IR=20 | Kontrole: Procedura Change Management, testy UAT | P=1, S=3 → RR=3 | RTO=30m, RPO=0s, MTPD=2h
• Wektor 4: Sankcje finansowe i kary administracyjne KNF oraz DORA | P=5, S=4 → IR=20 | Kontrole: Zgodność z procedurą SOP, audyt ciągły | P=1, S=2 → RR=2 | RTO=N/A, RPO=N/A, MTPD=24h

F. Tabela Trójfazowego Planu Działań Korygujących (CAP) z macierzą RACI, terminami (Faza 1: 0-7 dni, Faza 2: 30 dni, Faza 3: 90 dni) i wskaźnikami KPI oraz KRI.

G. Sformalizowany Projekt Załącznika Wykonawczego (SOP — 6 ponumerowanych paragrafów regulujących procedurę zarządzania podatnościami i dostępem uprzywilejowanym PAM).

H. Analiza kompromisów inżynierskich i zarządczych (Trade-offs: koszty licencji PAM i infrastruktury UAT vs ryzyko bezpośredniej straty finansowej i utraty licencji bankowej).

I. Bibliografia, netografia, wykaz Rekomendacji KNF i decyzji Europejskiego Urzędu Nadzoru Bankowego (EBA).

• Komisja Nadzoru Finansowego: "Rekomendacja D dotycząca zarządzania obszarami technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego w bankach", Warszawa 2013.
• Komisja Nadzoru Finansowego: "Rekomendacja M dotycząca zarządzania ryzykiem operacyjnym w bankach", Warszawa 2013.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyfrowej sektora finansowego (DORA).
• Norma PN-EN ISO 19011:2018: Wytyczne dotyczące audytowania systemów zarządzania - punkt 6.5, 6.6 i 6.7.
• Norma PN-EN ISO/IEC 27001:2022: Systemy zarządzania bezpieczeństwem informacji - Wymagania: kontrole A.5.15, A.8.8, A.8.19, A.8.25.
• Ustawa z dnia 29 sierpnia 1997 r. - Prawo bankowe (Dz.U. z 2023 r. poz. 2488 z późn. zm.) - art. 105 i 105a (Tajemnica bankowa).
• Standard Bezpieczeństwa Danych Branży Kart Płatniczych: PCI DSS v4.0, PCI Security Standards Council 2022.

• Wiedza W1: Zaawansowana znajomość Rekomendacji D KNF, Rozporządzenia DORA, Prawa bankowego i PCI DSS v4.0.
• Wiedza W2, W3: Rozumienie relacji normy ISO 27001 i wytycznych EBA oraz integracji wskaźników KRI z językiem ryzyka operacyjnego.
• Umiejętności U1: Projekt inżynierski odizolowanego środowiska UAT oraz architektury zarządzania tożsamością uprzywilejowaną PAM.
• Umiejętności U2: Dekompozycja uchybień w modelu 4C i przeprowadzenie dochodzenia przyczyn źródłowych metodą 5 Why i Ishikawy.
• Umiejętności U3: Kwantyfikacja ryzyka w matrycy 5x5 i powiązanie z parametrami BCM (RTO=30m, RPO=0s, MTPD=2h).
• Umiejętności U4: Opracowanie zaawansowanego raportu (12-16 stron A4) z Trójfazowym Planem CAP, procedurą SOP i Pitch to Board z kalkulacją ROSI.
• Kompetencje K1, K2, K3: Profesjonalizm, niezależność audytorska i siła perswazji przed Komitetem Audytu i Zarządem Banku.

Podczas wystąpienia seminaryjnego zademonstrujcie sposób prezentacji raportu dla Komitetu Audytu i Zarządu Banku: wyjaśnijcie, jak połączyć wyniki analizy technicznej podatności OpenSSL z matrycą ryzyka 5x5, wskaźnikiem ROSI (4455%) oraz kluczowymi wskaźnikami ryzyka (KRI), aby udowodnić konieczność natychmiastowego sfinansowania środowiska UAT i wdrożenia platformy PAM w reżimie DORA.

Głównym celem zadania na ocenę bardzo dobrą (5.0) jest wykształcenie u studentów kompetencji w zakresie opracowywania strategicznego, skonsolidowanego raportu końcowego z audytu bezpieczeństwa łańcucha dostawców technologii informacyjno-komunikacyjnych (ICT Supply Chain Security) dla Zarządu ogólnopolskiego operatora magazynowo-logistycznego o statusie podmiotu kluczowego (LogistykNet S.A. w Strykowie). Audyt obejmuje kompleksową ocenę dojrzałości 5 kluczowych dostawców IT w świetle art. 28 RODO, Dyrektywy NIS2 (art. 21 ust. 2 lit. d - bezpieczeństwo łańcucha dostaw) oraz normy PN-EN ISO/IEC 27001:2022 (kontrole A.5.19 - A.5.23). Kluczowym problemem audytowym jest kategoryczna odmowa poddania się audytowi na miejscu (On-site Audit) przez strategicznego dostawcę chmurowego systemu zarządzania transportem (SaaS TMS), który powołuje się na standardowy certyfikat ISO 9001 i klauzule ochrony tajemnicy przedsiębiorstwa. Zadanie wymaga: opracowania kanonicznej Karty Ustaleń w modelu 4C, analizy prawnej i technicznej raportów SOC 2 Typ II i certyfikatów ISO/IEC 27001, wyliczenia ryzyka w 25-stopniowej matrycy 5x5 powiązanej z parametrami BCM (RTO=1h, RPO=15m, MTPD=4h), skonstruowania Trójfazowego Planu CAP z macierzą RACI, sformułowania procedury wykonawczej (SOP) standaryzującej klauzule audytowe Right-to-Audit oraz przygotowania briefingu zarządczego z kalkulacją ROSI.

Powiązanie z sylabusem i efektami kształcenia na ocenę 5.0:

• W1 Zaawansowana znajomość przepisów art. 28 RODO (obowiązki procesora i audytowalność powierzenia), art. 21 ust. 2 lit. d Dyrektywy NIS2, przepisów o zwalczaniu nieuczciwej konkurencji oraz Kodeksu Spółek Handlowych w zakresie odpowiedzialności zarządu za wybór kontrahentów.
• W2W3 Wyczerpująca synteza wymagań normy PN-EN ISO/IEC 27001:2022 (kontrole A.5.19, A.5.20, A.5.21, A.5.22, A.5.23), normy PN-EN ISO 19011:2018 (audyty drugiej strony - Second-Party Audits) oraz standardów atestacyjnych AICPA (SOC 1, SOC 2 Typ II).
• U1 Projekt inżynierski i kontraktowy architektury bezpiecznej integracji z dostawcami chmurowymi (szyfrowanie end-to-end z kluczem zarządzanym przez klienta - BYOK, kontrola interfejsów API oraz ciągły monitoring ryzyka dostawców TPRM).
• U2 Bezbłędna kwalifikacja uchybień w modelu 4C wykazująca bezprawność odmowy audytowalności w świetle nadrzędnych przepisów prawa unijnego.
• U3 Kwantyfikacja ryzyka w matrycy 5x5 dla wektorów ataku Supply Chain, wycieku danych listów przewozowych i paraliżu floty logistycznej z parametrami BCM.
• U4 Opracowanie kompletnego raportu poaudytowego (12-16 stron A4) z Trójfazowym Planem CAP, procedurą SOP (§ 1 do § 6) oraz Executive Summary dla Zarządu.
• K1K2K3 Asertywność negocjacyjna, wysokie umiejętności mediacyjne w relacjach b2b oraz bezkompromisowa ochrona interesów organizacji audytującej.
• Powiązanie z wykładem: Wyk1 (Ład zarządczy i łańcuch dostaw), Wyk2 (Zasady audytowania dostawców ISO 19011), Wyk3 (Kontrole A.5.19-A.5.23 ISO 27001), Wyk4 (RODO art. 28 i NIS2), Wyk5 (Matryca ryzyka 5x5 i BCM), Wyk6 (Weryfikacja raportów SOC 2 i umów SLA), Wyk7 (Model 4C, 5 Why, Trójfazowy CAP i Pitch to Board).

LogistykNet S.A. z siedzibą w Strykowie jest jednym z największych operatorów logistycznych w Europie Środkowej. Spółka dysponuje 180 000 m2 powierzchni magazynowej, zarządza flotą 1 200 pojazdów ciężarowych i obsługuje łańcuchy dostaw dla sieci farmaceutycznych, automotive i FMCG. Operacje logistyczne są w 100% uzależnione od systemów teleinformatycznych dostarczanych przez podmioty zewnętrzne.

Stan faktyczny w toku audytu 5 strategicznych dostawców ICT:

• Dostawca 1 (Chmurowy system TMS - zarządca tras i floty): Kluczowy dostawca oprogramowania SaaS odmówił wpuszczenia audytorów LogistykNet na teren swoich centrów przetwarzania danych ani przeprowadzenia zdalnego badania konfiguracji chmurowej, zasłaniając się tajemnicą przedsiębiorstwa. Jako 'dowód bezpieczeństwa' dostawca przedstawił certyfikat ISO 9001 (zarządzanie jakością) oraz jednostronicowe oświadczenie prezesa zarządu. Brak niezależnego raportu SOC 2 Typ II oraz brak certyfikacji ISO/IEC 27001.
• Dostawca 2 (Dostawca infrastruktury serwerowej IaaS): Posiada certyfikat ISO 27001, lecz odmówił udostępnienia logów dostępu uprzywilejowanego administratorów hipernadzorcy.
• Dostawca 3 (Integrator telemetrii GPS i IoT pojazdów): Wykorzystuje nieszyfrowaną transmisję danych z czujników temperatury naczep chłodniczych (ryzyko fałszowania warunków przewozu leków).
• Dostawcy 4 i 5 (Dostawca poczty M365 oraz serwis sprzętowy): Wykazują umiarkowaną zgodność, brak jednak sformalizowanych umów powierzenia przetwarzania danych zgodnych z art. 28 RODO.

Zarząd LogistykNet S.A. stoi w obliczu podpisywania wielomilionowych kontraktów z koncernami farmaceutycznymi, które wymagają pełnej weryfikacji łańcucha dostaw pod rygorem zerwania umów. Triada Audytorska ma przygotować skonsolidowany raport końcowy rozwiązujący problem odmowy audytowalności dostawcy TMS.

Zadanie realizowane jest w ścisłym reżimie warsztatowym (formuła 90 minut) przez 2-3 osobową Triadę Audytorską:

• Krok 1 (Podział ról w Triadzie Audytorskiej i triage dowodowy - Minuty 00-15):

  Student A (Lead Auditor / Executive Reporter): Odpowiada za ład korporacyjny (Governance), analizę zbieżności art. 28 RODO i Dyrektywy NIS2, relacje z Zarządem i audytowanymi dostawcami oraz przygotowanie 1-stronicowego Executive Summary ("Pitch to Board") z kalkulacją ROSI.

  Student B (Technical SecOps Auditor / Architekt Bezpieczeństwa Chmury): Bada architekturę chmury SaaS TMS, brak raportów SOC 2 Typ II, nieszyfrowaną telemetrię IoT, projektuje architekturę kontroli interfejsów API, mechanizmy szyfrowania BYOK oraz techniczne wymagania bezpieczeństwa dla dostawców ICT.

  Student C (Governance, Risk & Compliance Auditor): Opracowuje skonsolidowaną matrycę ocen 5 dostawców, dekompozycję uchybienia dostawcy TMS w modelu 4C, wylicza ryzyko w matrycy 5x5 powiązanej ze wskaźnikami BCM (RTO=1h, RPO=15m, MTPD=4h), prowadzi analizę 5 Why z Diagramem Ishikawy oraz konstruuje Trójfazowy Plan CAP z macierzą RACI i metrykami KPI/KRI. W zespole 2-osobowym zadania te dzielą Studenci A i B.

• Krok 2 (Kanoniczna Karta Niezgodności 4C - Minuty 15-40):

  Sformułujcie kartę uchybienia w modelu 4C dla dostawcy SaaS TMS:

• Krok 3 (Zaawansowana Matryca Ryzyka 5x5 i Parametry BCM - Minuty 15-40):

  Skwantyfikujcie 4 wektory zagrożeń w skali 25-stopniowej (P 1-5 x S 1-5):

• Krok 4 (Trójfazowy Plan Działań Korygujących - CAP - Minuty 40-70):

  Opracujcie tabelę CAP w 3 horyzontach czasowych:

• Krok 5 (Sformalizowany Projekt Załącznika Wykonawczego SOP - Minuty 40-70):

  Opracujcie projekt aktu normatywnego "Standard Operacyjny Kwalifikacji, Nadzoru i Audytowania Dostawców Usług Cyfrowych i Teleinformatycznych (TPRM) w LogistykNet S.A." z ponumerowanymi artykułami od § 1 do § 6:

  § 1. Cel i zakres procedury (zgodność z NIS2 i art. 28 RODO); § 2. Klasyfikacja krytyczności dostawców ICT (Tier 1 - Strategiczni, Tier 2 - Wspierający); § 3. Obligatoryjne klauzule umowne: Right-to-Audit, SLA, kary umowne za incydenty i raportowanie naruszeń w 24h; § 4. Standardy atestacyjne dopuszczalne w zastępstwie audytu stacjonarnego (SOC 2 Typ II, ISO/IEC 27001 z raportem z badania); § 5. Procedura bezpiecznego wyjścia i transferu danych (Exit Strategy); § 6. Sankcje umowne, natychmiastowe rozwiązanie umowy i odpowiedzialność odszkodowawcza.

• Krok 6 (Podsumowanie Zarządcze Executive Summary 'Pitch to Board' i przygotowanie obrony - Minuty 70-90):

  Zredagujcie 1-stronicowy briefing dla Zarządu LogistykNet S.A.: przedstawcie bilans ryzyka łańcucha dostaw (ekspozycja na utratę kontraktów i kary: 42 mln PLN vs koszt wdrożenia ładu TPRM i aneksowania umów: 110 000 PLN, wskaźnik ROSI = 38081%), przedstawcie plan negocjacyjny wobec dostawcy TMS oraz przygotujcie się do 15-minutowej obrony przed komisją.

Plan referatu seminaryjnego i obrony koncepcji (15 minut):

• Slajd 1-2 (Minuty 00-03): Wprowadzenie i metryka skonsolidowanego audytu łańcucha dostaw ICT (Supply Chain). Macierz dojrzałości 5 dostawców (Student A).
• Slajd 3-4 (Minuty 03-07): Dekompozycja uchybienia odmowy audytowalności SaaS TMS w modelu 4C i analiza 5 Why / Diagram Ishikawy (Student C).
• Slajd 5-6 (Minuty 07-10): 25-stopniowa matryca ryzyka 5x5 (IR vs RR), parametry BCM dla logistyki (RTO=1h, RPO=15m) oraz inżynierskie rozwiązania integracji chmurowej i szyfrowania IoT (Student B).
• Slajd 7-8 (Minuty 10-13): Prezentacja Trójfazowego Planu CAP (0-7, 30, 90 dni) z macierzą RACI, wskaźnikami KPI/KRI oraz struktury procedury SOP (Student C i B).
• Slajd 9-10 (Minuty 13-15): Executive Summary "Pitch to Board" dla Zarządu: strategia negocjacyjna z dostawcą TMS, wyliczenie ROSI i zamknięcie audytu (Student A).

Struktura zaawansowanego raportu poaudytowego i dokumentacji wdrożeniowej (12-16 stron A4):

A. Jednostronicowe Podsumowanie Zarządcze (Executive Summary - "Pitch to Board") dla Zarządu LogistykNet S.A. z kalkulacją ROSI.

B. Wprowadzenie formalne: metryka audytu, podstawa prawna (art. 28 RODO, NIS2, ISO 27001), skład Triady Audytorskiej, wykaz 5 badanych dostawców.

C. Tabelaryczna Macierz Oceny Dojrzałości i Zgodności 5 Dostawców ICT (w skali punktowej i kolorystycznej).

D. Odpowiedzi na 3 pytania problemowe:

1. W jaki sposób audytor powinien zareagować na odmowę przeprowadzenia audytu przez dostawcę chmurowego powołującego się na certyfikat ISO 9001 i tajemnicę przedsiębiorstwa?

2. Czym różni się raport atestacyjny SOC 2 Typ II od certyfikatu ISO/IEC 27001 w kontekście weryfikacji skuteczności działania kontroli bezpieczeństwa u procesora?

3. Jakie obligatoryjne postanowienia umowne dotyczące bezpieczeństwa i audytowalności (Right-to-Audit) nakłada art. 21 Dyrektywy NIS2 na relacje z dostawcami usług cyfrowych?

E. Kanoniczna Karta Ustaleń Audytowych w Modelu 4C (Condition, Criteria, Cause - sekwencja 5 Why i Diagram Ishikawy w 6 osiach, Consequence).

F. Tabela Zaawansowanej Analizy Ryzyka w Matrycy 5x5:

• Wektor 1: Paraliż floty 1 200 pojazdów wskutek ataku na nieaudytowalną chmurę TMS | P=5, S=5 → IR=25 | Kontrole: Aneks z Right-to-Audit, SOC 2 Typ II, bufor lokalny | P=1, S=4 → RR=4 | RTO=1h, RPO=15m, MTPD=4h
• Wektor 2: Sabotaż i zafałszowanie temperatury leków w IoT naczep | P=4, S=5 → IR=20 | Kontrole: Szyfrowanie TLS 1.3, autoryzacja urządzeń | P=1, S=4 → RR=4 | RTO=30m, RPO=5m, MTPD=2h
• Wektor 3: Wyciek danych transportowych i osobowych kierowców z IaaS | P=4, S=4 → IR=16 | Kontrole: Certyfikacja ISO 27001 dostawcy, szyfrowanie | P=1, S=3 → RR=3 | RTO=2h, RPO=1h, MTPD=8h
• Wektor 4: Zerwanie kontraktów przez klientów strategicznych i kary NIS2 | P=5, S=5 → IR=25 | Kontrole: Wdrożenie ładu TPRM, sformalizowanie SOP | P=1, S=2 → RR=2 | RTO=N/A, RPO=N/A, MTPD=24h

G. Tabela Trójfazowego Planu Działań Korygujących (CAP) z macierzą RACI, terminami (Faza 1: 0-7 dni, Faza 2: 30 dni, Faza 3: 90 dni) i wskaźnikami KPI oraz KRI.

H. Sformalizowany Projekt Załącznika Wykonawczego (SOP — 6 ponumerowanych paragrafów regulujących procedurę Vendor Risk Management i klauzule audytowe).

I. Analiza kompromisów inżynierskich i zarządczych (Trade-offs: presja na szybkie wdrożenie oprogramowania vs rygor weryfikacji bezpieczeństwa dostawcy, koszty raportów atestacyjnych vs unikanie wielomilionowych strat kontraktowych).

J. Bibliografia, netografia, wykaz standardów AICPA i orzecznictwa sądowego w sprawach sporów b2b.

• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (NIS2) - art. 21 ust. 2 lit. d (Środki zarządzania ryzykiem w cyberbezpieczeństwie: bezpieczeństwo łańcucha dostaw).
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 28 (Podmiot przetwarzający), art. 32, art. 82, art. 83.
• Norma PN-EN ISO/IEC 27001:2022: Systemy zarządzania bezpieczeństwem informacji - Wymagania: kontrole A.5.19, A.5.20, A.5.21, A.5.22, A.5.23.
• Norma PN-EN ISO 19011:2018: Wytyczne dotyczące audytowania systemów zarządzania - punkty 6.5, 6.6 i 6.7.
• Amerykański Instytut Biegłych Rewidentów (AICPA): Trust Services Criteria for Security, Availability, Processing Integrity, Confidentiality, and Privacy (SOC 2 Type II), 2022.
• Agencja Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA): "Threat Landscape for Supply Chain Attacks", Ateny 2021.
• Ustawa z dnia 16 kwietnia 1993 r. o zwalczaniu nieuczciwej konkurencji (Dz.U. z 2022 r. poz. 1233 z późn. zm.) - art. 11 (Tajemnica przedsiębiorstwa).

• Wiedza W1: Zaawansowana znajomość rygorów art. 28 RODO, art. 21 NIS2, odpowiedzialności zarządczej i standardów atestacyjnych SOC 2 Typ II.
• Wiedza W2, W3: Rozumienie relacji normy ISO 27001 w obszarze dostawców ICT oraz wytycznych ENISA dla ataków Supply Chain.
• Umiejętności U1: Projekt inżynierski bezpiecznej architektury integracji z chmurą SaaS oraz procedur audytów drugiej strony.
• Umiejętności U2: Dekompozycja uchybień dostawcy w modelu 4C i wykazanie bezprawności odmowy audytowalności.
• Umiejętności U3: Kwantyfikacja ryzyka w matrycy 5x5 i powiązanie z parametrami BCM dla logistyki (RTO=1h, RPO=15m, MTPD=4h).
• Umiejętności U4: Opracowanie kompletnego raportu poaudytowego (12-16 stron A4) z konsolidacją dostawców, Planem CAP, SOP i Pitch to Board.
• Kompetencje K1, K2, K3: Asertywność negocjacyjna, wysokie umiejętności mediacyjne w relacjach biznesowych i niezależność audytorska.

W trakcie obrony referatu zaprezentujcie matrycę oceny dojrzałości 5 dostawców łańcucha logistycznego oraz symulację twardych negocjacji poaudytowych z zarządem dostawcy SaaS TMS: wyjaśnijcie, jak wykorzystać dochodzenie 5 Why, art. 28 RODO oraz art. 21 Dyrektywy NIS2, aby wyegzekwować bezwzględne prawo do audytu (Right-to-Audit) lub raport SOC 2 Typ II pod rygorem zerwania kontraktu z winy dostawcy.

Głównym celem zadania na ocenę bardzo dobrą (5.0) jest opanowanie przez studentów najwyższych, eksperckich umiejętności opracowywania oficjalnego, urzędowego sprawozdania z audytu cyberbezpieczeństwa Operatora Usługi Kluczowej (OUK) w sektorze energii (Elektrociepłownia 'Opole-Południe' zarządzana przez EnergoDystrybucja Sp. z o.o.). Audyt prowadzony jest w oparciu o art. 15 Ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC), Dyrektywę NIS2, międzynarodowy standard bezpieczeństwa automatyki przemysłowej ANSI/ISA/IEC 62443 oraz normę PN-EN ISO/IEC 27001:2022. Badaniu poddano strefę technologii operacyjnych (OT) sterowania turbinami gazowymi i siecią ciepłowniczą (SCADA/DCS) zorganizowaną według modelu Purdue (Purdue Enterprise Reference Architecture). W trakcie audytu ujawniono bezpośrednie, niekontrolowane mostki sieciowe pomiędzy siecią korporacyjną IT a sterownikami PLC poziomu 1 i 2, niezałatane stacje inżynierskie pracujące na systemie Windows 7 z wyłączoną ochroną antywirusową oraz zdalny dostęp serwisowy zewnętrznego integratora przez nieszyfrowany pulpit zdalny bez MFA. Zadanie wymaga: sporządzenia kanonicznej Karty 4C ze wskazaniem odpowiedzialności z art. 268a KK (sabotaż komputerowy), wyliczenia ryzyka w matrycy 5x5 powiązanej ze wskaźnikami BCM (RTO=0s failover, RPO=0s, MTPD=30m), skonstruowania Trójfazowego Planu CAP z macierzą RACI, sformułowania procedury wykonawczej (SOP) regulującej kryptoizolację strefy OT i stacji DMZ, sporządzenia formalnego Protokołu Zamknięcia Audytu zgodnie z punktem 6.6 normy ISO 19011:2018 oraz zredagowania briefingu zarządczego dla Prezesa Zarządu i właściwego CSIRT poziomu krajowego (CSIRT NASK/GOV).

Powiązanie z sylabusem i efektami kształcenia na ocenę 5.0:

• W1 Zaawansowana znajomość przepisów Ustawy o KSC, Dyrektywy NIS2, przepisów o ochronie infrastruktury krytycznej, Prawa energetycznego oraz art. 268a KK (niszczenie danych o szczególnym znaczeniu dla obronności lub funkcjonowania infrastruktury).
• W2W3 Rygorystyczna synteza standardu ANSI/ISA/IEC 62443 (bezpieczeństwo IACS), normy PN-EN ISO/IEC 27001:2022 (kontrole Załącznika A), normy ISO 19011:2018 (punkt 6.5 i 6.6 - formalne zamknięcie audytu) oraz wytycznych NIST SP 800-82 Rev. 2.
• U1 Projekt inżynierski strefy DMZ przemysłowej (IDMZ) wg modelu Purdue (Poziom 3.5), wdrożenie diody danych (Data Diode) dla telemetrii SCADA, architektury bastionowej Jump Host z uwierzytelnianiem MFA oraz mikrosegmentacji sieci OT.
• U2 Bezbłędna kwalifikacja uchybień w kanonicznym modelu 4C ze szczegółowym wykazaniem zagrożenia blackoutem aglomeracji miejskiej.
• U3 Kwantyfikacja ryzyka w matrycy 5x5 dla wektorów sabotażu cyberfizycznego turbin, infekcji ransomware stacji SCADA i kar finansowych KSC z parametrami BCM.
• U4 Opracowanie kompletnego urzędowego sprawozdania z audytu (12-16 stron A4) z Trójfazowym Planem CAP, procedurą SOP (§ 1 do § 6), Protokołem Zamknięcia Audytu oraz Executive Summary dla Zarządu.
• K1K2K3 Profesjonalizm najwyższej próby, świadomość wagi bezpieczeństwa państwa, rygorystyczne przestrzeganie tajemnicy przedsiębiorstwa i klauzul poufności.
• Powiązanie z wykładem: Wyk1 (Ład zarządczy w infrastrukturze krytycznej), Wyk2 (Zamykanie audytu ISO 19011 pkt 6.6), Wyk3 (Kontrole techniczne ISO 27001), Wyk4 (Urzędowy audyt OUK wg KSC i NIS2), Wyk5 (Matryca ryzyka 5x5 i BCM w OT), Wyk6 (Analiza ruchu sieciowego Modbus/TCP i logów SCADA), Wyk7 (Model 4C, 5 Why, Protokół Zamknięcia, Trójfazowy CAP i Pitch to Board).

EnergoDystrybucja Sp. z o.o. zarządza Elektrociepłownią 'Opole-Południe', która dostarcza energię cieplną dla 110 000 mieszkańców miasta Opola oraz zasila w energię elektryczną krytyczne zakłady przemysłowe regionu. Spółka jest wpisana do rejestru Operatorów Usług Kluczowych (OUK) w rozumieniu Ustawy o KSC. Infrastruktura technologiczna obejmuje 2 bloki kogeneracyjne z turbinami gazowymi, zautomatyzowane kotły odzyskowe oraz sieć magistral ciepłowniczych sterowanych z Nastawni Centralnej.

Stan faktyczny w toku audytu cyberbezpieczeństwa strefy automatyki przemysłowej OT/SCADA:

• Niedopuszczalna integracja i mostkowanie sieci korporacyjnej IT ze strefą OT (Naruszenie modelu Purdue): Wbrew deklaracjom w dokumentacji, wykryto 4 bezpośrednie połączenia sieciowe pomiędzy podsiecią biurową a siecią sterowników PLC (Poziom 1 Purdue). Jeden z przełączników przemysłowych w nastawni posiadał aktywny interfejs podłączony do routera komercyjnego dostawcy Internetu, zainstalowany przez techników w celu "zdalnego podglądu parametrów pieca z domu".
• Niezabezpieczone stacje inżynierskie i przestarzałe oprogramowanie: Trzy stacje inżynierskie w nastawni pracują pod kontrolą niewspieranego systemu operacyjnego Windows 7 Professional bez jakichkolwiek poprawek bezpieczeństwa od 2020 r. Wyłączono na nich ochronę antywirusową, ponieważ "antywirus zawieszał oprogramowanie SCADA". Do stacji inżynierskich powszechnie podłączane są prywatne nośniki USB personelu w celu zgrywania wykresów i logów.
• Niekontrolowany zdalny dostęp serwisowy: Niemiecki producent turbiny posiada stałe, aktywne połączenie zdalne przez protokół RDP zestawione bezpośrednio do sterownika turbiny (Poziom 2). Połączenie zabezpieczone jest wyłącznie statycznym, 8-znakowym hasłem, bez uwierzytelniania dwuskładnikowego (MFA) i bez wiedzy oficera bezpieczeństwa spółki.
• Stanowisko Zarządu: Prezes Zarządu oczekuje sprawozdania poaudytowego w dwóch wersjach: jawnego sprawozdania urzędowego dla Ministra Cyfryzacji i CSIRT NASK (zgodnie z art. 15 KSC) oraz tajnego raportu inżynierskiego dla Zarządu z Trójfazowym Planem CAP, który zapobiegnie nałożeniu kary do 10 mln EUR.

Zadanie realizowane jest w ścisłym reżimie warsztatowym (formuła 90 minut) przez 2-3 osobową Triadę Audytorską:

• Krok 1 (Podział ról w Triadzie Audytorskiej i triage dowodowy - Minuty 00-15):

  Student A (Lead Auditor / Executive Reporter): Odpowiada za ład zarządczy (Governance), zgodność z art. 15 Ustawy o KSC, Dyrektywą NIS2, procedurę formalnego zamknięcia audytu wg ISO 19011 (punkt 6.6), relacje z CSIRT NASK/GOV i Zarządem oraz przygotowanie Executive Summary dla Zarządu.

  Student B (Technical SecOps Auditor / Architekt Bezpieczeństwa OT/SCADA): Dekonstruuje naruszenia modelu Purdue, protokoły przemysłowe (Modbus TCP, IEC 60870-5-104), podatności stacji inżynierskich Windows 7, projektuje architekturę strefy przemysłowej DMZ (Poziom 3.5), wdrożenie diody danych oraz bastionów PAM z MFA dla serwisu turbin.

  Student C (Governance, Risk & Compliance Auditor): Opracowuje kanoniczną Kartę Niezgodności 4C, wylicza ryzyko w matrycy 5x5 powiązanej ze wskaźnikami BCM (RTO=0s failover, RPO=0s, MTPD=30m), prowadzi analizę 5 Why z Diagramem Ishikawy, sporządza Protokół Zamknięcia Audytu oraz konstruuje Trójfazowy Plan CAP z macierzą RACI i metrykami KPI/KRI. W zespole 2-osobowym zadania te dzielą Studenci A i B.

• Krok 2 (Kanoniczna Karta Niezgodności 4C - Minuty 15-40):

  Sformułujcie kartę uchybienia krytycznego w modelu 4C:

• Krok 3 (Zaawansowana Matryca Ryzyka 5x5 i Parametry BCM - Minuty 15-40):

  Skwantyfikujcie 4 wektory zagrożeń w skali 25-stopniowej (P 1-5 x S 1-5):

• Krok 4 (Trójfazowy Plan Działań Korygujących - CAP - Minuty 40-70):

  Opracujcie tabelę CAP w 3 horyzontach czasowych:

• Krok 5 (Sformalizowany Projekt Załącznika Wykonawczego SOP i Protokół Zamknięcia - Minuty 40-70):

  Opracujcie projekt aktu normatywnego "Standard Operacyjny Kryptoizolacji Stref Przemysłowych OT/SCADA oraz Bezpiecznego Dostępu Zdalnego w EnergoDystrybucja Sp. z o.o." z ponumerowanymi artykułami od § 1 do § 6:

  § 1. Zakres stosowania procedury (zgodność z KSC, NIS2 i IEC 62443); § 2. Model segmentacji stref przemysłowych wg Purdue (Poziomy 0-5) i zakaz mostkowania; § 3. Zasady zdalnego dostępu serwisowego (MFA, sesje limitowane czasowo, zgoda CISO); § 4. Rygory kontroli nośników wymiennych USB (stacja dekontaminacyjna); § 5. Procedura postępowania w przypadku ataku sabotażowego (art. 268a KK) i zgłaszania incydentu do CSIRT w 24h; § 6. Protokół formalnego zamknięcia audytu zgodnie z punktem 6.6 ISO 19011 i odpowiedzialność karna.

• Krok 6 (Podsumowanie Zarządcze Executive Summary 'Pitch to Board' i przygotowanie obrony - Minuty 70-90):

  Zredagujcie 1-stronicowy briefing dla Prezesa Zarządu: przedstawcie bilans ekspozycji na ryzyko katastrofalne (potencjalne szkody z awarii elektrociepłowni i kar KSC: 65 mln PLN vs koszt wdrożenia strefy DMZ i diody danych: 320 000 PLN, wskaźnik ROSI = 20212%), wskażcie procedurę przekazania oficjalnego sprawozdania do Ministra i CSIRT NASK oraz przygotujcie się do 15-minutowej obrony przed komisją.

Plan referatu seminaryjnego i obrony koncepcji (15 minut):

• Slajd 1-2 (Minuty 00-03): Wprowadzenie i metryka audytu Operatora Usługi Kluczowej w sektorze energii. Specyfika sprawozdania z art. 15 Ustawy o KSC (Student A).
• Slajd 3-4 (Minuty 03-07): Dekompozycja uchybień strefy OT w modelu 4C i analiza przyczyn źródłowych 5 Why / Ishikawa z uwzględnieniem art. 268a KK (Student C).
• Slajd 5-6 (Minuty 07-10): 25-stopniowa matryca ryzyka 5x5 (IR vs RR), parametry BCM dla ciągłości dostaw ciepła (RTO=0s, MTPD=30m) oraz architektura strefy DMZ wg modelu Purdue i diody danych (Student B).
• Slajd 7-8 (Minuty 10-13): Prezentacja Trójfazowego Planu CAP (0-7, 30, 90 dni) z macierzą RACI, wskaźnikami KPI/KRI, procedury SOP oraz Protokołu Zamknięcia Audytu wg ISO 19011 pkt 6.6 (Student C i B).
• Slajd 9-10 (Minuty 13-15): Executive Summary "Pitch to Board" dla Zarządu i CSIRT: bilans ryzyk strategicznych, wyliczenie ROSI i zamknięcie audytu (Student A).

Struktura zaawansowanego raportu poaudytowego i dokumentacji wdrożeniowej (12-16 stron A4):

A. Jednostronicowe Podsumowanie Zarządcze (Executive Summary - "Pitch to Board") dla Zarządu EnergoDystrybucja Sp. z o.o. z wyliczeniem ROSI.

B. Wprowadzenie formalne: metryka audytu OUK, podstawa prawna (art. 15 KSC, NIS2, IEC 62443, ISO 27001), skład Triady Audytorskiej, wykaz instalacji technologicznych elektrociepłowni.

C. Odpowiedzi na 3 pytania problemowe:

1. W jaki sposób audytor powinien rozgraniczyć jawną treść urzędowego sprawozdania przekazywanego ministrowi właściwemu i zespołowi CSIRT od poufnego raportu wewnętrznego dla Zarządu, aby nie ujawnić wektorów podatności infrastruktury krytycznej państwa?

2. Jakie konkretne rygory techniczne nakłada standard ANSI/ISA/IEC 62443 na separację stref bezpieczeństwa (Zones and Conduits) i realizację poziomu Poziomu 3.5 (Industrial DMZ) w modelu Purdue?

3. W jakich okolicznościach zaniedbania w zabezpieczeniu stacji sterowania SCADA wypełniają znamiona przestępstwa sabotażu komputerowego z art. 268a Kodeksu Karnego?

D. Kanoniczna Karta Ustaleń Audytowych w Modelu 4C (Condition, Criteria, Cause - sekwencja 5 Why i Diagram Ishikawy w 6 osiach, Consequence).

E. Tabela Zaawansowanej Analizy Ryzyka w Matrycy 5x5:

• Wektor 1: Przejęcie sterowników PLC i fizyczny sabotaż turbin gazowych | P=5, S=5 → IR=25 | Kontrole: Likwidacja mostków, IDMZ, dioda danych | P=1, S=5 → RR=5 | RTO=0s, RPO=0s, MTPD=30m
• Wektor 2: Infekcja ransomware stacji inżynierskich SCADA z USB | P=5, S=5 → IR=25 | Kontrole: Blokada portów USB, whitelisting aplikacji | P=1, S=4 → RR=4 | RTO=15m, RPO=0s, MTPD=1h
• Wektor 3: Blackout aglomeracji miejskiej i paraliż dostaw ciepła | P=4, S=5 → IR=20 | Kontrole: Separacja Purdue, failover analogowy | P=1, S=5 → RR=5 | RTO=0s, RPO=0s, MTPD=30m
• Wektor 4: Sankcje administracyjne KSC/NIS2 i utrata statusu OUK | P=5, S=4 → IR=20 | Kontrole: Realizacja CAP, notyfikacja CSIRT | P=1, S=2 → RR=2 | RTO=N/A, RPO=N/A, MTPD=24h

F. Tabela Trójfazowego Planu Działań Korygujących (CAP) z macierzą RACI, terminami (Faza 1: 0-7 dni, Faza 2: 30 dni, Faza 3: 90 dni) i wskaźnikami KPI oraz KRI.

G. Sformalizowany Projekt Załącznika Wykonawczego (SOP — 6 ponumerowanych paragrafów regulujących kryptoizolację strefy OT i dostęp zdalny).

H. Protokół Formalnego Zamknięcia Audytu (Audit Closure Protocol) sporządzony zgodnie z punktem 6.6 normy PN-EN ISO 19011:2018.

I. Analiza kompromisów inżynierskich i zarządczych (Trade-offs: wygoda inżynierów i zdalnego serwisu vs bezwzględne bezpieczeństwo infrastruktury krytycznej, koszty diod danych i IDMZ vs ryzyko paraliżu elektrociepłowni).

J. Bibliografia, netografia, wykaz norm ISA/IEC i przepisów o ochronie infrastruktury krytycznej państwa.

• Ustawa z dnia 5 lipca 2018 r. o Krajowym Systemie Cyberbezpieczeństwa (Dz.U. z 2023 r. poz. 913 z późn. zm.) - art. 15 (Audyt bezpieczeństwa systemu teleinformatycznego OUK).
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (NIS2) - podmioty kluczowe i krytyczne w sektorze energii.
• Standard ANSI/ISA/IEC 62443: Security for industrial automation and control systems (części 2-1, 3-2, 3-3).
• Norma PN-EN ISO 19011:2018: Wytyczne dotyczące audytowania systemów zarządzania - punkt 6.5 (Raport z audytu) oraz punkt 6.6 (Zakończenie audytu).
• Norma PN-EN ISO/IEC 27001:2022: Systemy zarządzania bezpieczeństwem informacji - Wymagania: kontrole A.7.10, A.8.20, A.8.22.
• Narodowy Instytut Standardów i Technologii (NIST): Special Publication 800-82 Rev. 2: "Guide to Industrial Control Systems (ICS) Security", 2015.
• Ustawa z dnia 6 czerwca 1997 r. - Kodeks Karny (Dz.U. z 2024 r. poz. 17 z późn. zm.) - art. 268a (Niszczenie danych w systemach o szczególnym znaczeniu).
• Rządowe Centrum Bezpieczeństwa (RCB): "Narodowy Program Ochrony Infrastruktury Krytycznej", Warszawa 2020.

• Wiedza W1: Zaawansowana znajomość Ustawy o KSC, Dyrektywy NIS2, standardu IEC 62443 i odpowiedzialności karnej z art. 268a KK.
• Wiedza W2, W3: Rozumienie procedury formalnego zamykania audytu wg ISO 19011 (punkt 6.6) oraz specyfiki sprawozdawczości dla CSIRT szczebla krajowego.
• Umiejętności U1: Projekt inżynierski strefy IDMZ wg modelu Purdue, wdrożenie diody danych oraz bastionów PAM dla strefy OT/SCADA.
• Umiejętności U2: Dekompozycja uchybień w modelu 4C i wykazanie ryzyka fizycznego sabotażu i blackoutu.
• Umiejętności U3: Kwantyfikacja ryzyka w matrycy 5x5 i powiązanie z parametrami BCM (RTO=0s failover, RPO=0s, MTPD=30m).
• Umiejętności U4: Opracowanie kompletnego urzędowego sprawozdania z audytu OUK (12-16 stron A4) z Protokołem Zamknięcia, Planem CAP, SOP i Pitch to Board z kalkulacją ROSI.
• Kompetencje K1, K2, K3: Profesjonalizm najwyższej próby, rygorystyczne przestrzeganie tajemnicy państwowej i przedsiębiorstwa oraz perswazja w komunikacji z Zarządem.

Podczas referatu seminaryjnego szczegółowo omówcie formalne rozdzielenie wewnętrznego raportu dla Zarządu od oficjalnego Sprawozdania z audytu OUK przekazywanego ministrowi właściwemu i zespołowi CSIRT poziomu krajowego: wyjaśnijcie metodykę sanitacji informacji wrażliwych, procedurę formalnego zamknięcia audytu wg punktu 6.6 ISO 19011 oraz sposób prezentacji wyników analizy ryzyka 5x5 dla strefy SCADA OT bez ujawniania wektorów ataku podmiotom nieuprawnionym.

Głównym celem zadania na ocenę bardzo dobrą (5.0) jest wykształcenie u studentów umiejętności opracowania strategicznego raportu poaudytowego dla organów kolegialnych i zarządczych uczelni wyższej (Rektor, Senat, Rada Uczelni). Audyt w Akademii Mazowieckiej w Płocku koncentruje się na systemach Zintegrowanej Obsługi Studentów (USOS/USOSweb) oraz platformie e-learningowej Moodle. Wyjątkowym wyzwaniem metodycznym jest połączenie rygorystycznych ustaleń uchybień z wyważonym bilansem konstruktywnych szans na doskonalenie (OFI - Opportunities for Improvement) w świetle normy PN-EN ISO 19011:2018 (punkt 6.5) oraz klauzuli 10.1 normy PN-EN ISO/IEC 27001:2022 (ciągłe doskonalenie). Zadanie wymaga: sformułowania kanonicznej Karty Ustaleń w modelu 4C, przeprowadzenia analizy przyczyn źródłowych metodą 5 Why i Diagramem Ishikawy dla wieloletniego braku wygaszania kont absolwentów i wykładowców, wyliczenia ryzyka w 25-stopniowej matrycy 5x5 powiązanej z parametrami BCM (RTO=2h, RPO=1h, MTPD=12h), skonstruowania Trójfazowego Planu CAP z macierzą RACI i wskaźnikami KPI oraz KRI, opracowania sformalizowanej procedury wykonawczej (SOP) cyklu życia tożsamości akademickiej i federacji SAML/OAuth2 oraz przygotowania 1-stronicowego Podsumowania Zarządczego ("Pitch to Board") dla Senatu wspierającego procedurę akredytacji Polskiej Komisji Akredytacyjnej (PKA).

Powiązanie z sylabusem i efektami kształcenia na ocenę 5.0:

• W1 Zaawansowana znajomość przepisów Ustawy - Prawo o szkolnictwie wyższym i nauce, zasad ochrony danych studentów i kadry (art. 5, 6, 9, 32 RODO), Krajowych Ram Interoperacyjności (par. 20 KRI) oraz przepisów o ochronie własności intelektualnej i danych badawczych (Open Science).
• W2W3 Wyczerpująca synteza wymagań normy PN-EN ISO/IEC 27001:2022 (kontrole A.5.15 - A.5.18, A.8.2, A.8.4), normy PN-EN ISO 19011:2018 w zakresie formułowania wniosków pozytywnych i szans na doskonalenie (OFI) oraz standardów akredytacyjnych PKA.
• U1 Projekt inżynierski centralnego brokera tożsamości i dostępu (IAM/SSO) opartego na protokołach SAML 2.0 i OpenID Connect, integracji z repozytorium LDAP oraz bezpiecznego zarządzania sekretami aplikacyjnymi (Vault).
• U2 Bezbłędna kwalifikacja uchybień w kanonicznym modelu 4C z precyzyjnym rozróżnieniem Niezgodności Dużej (NC1) od Szansy na doskonalenie (OFI).
• U3 Kwantyfikacja ryzyka w matrycy 5x5 dla wektorów fałszerstwa protokołów ocen, kradzieży danych studentów i kompromitacji platformy e-learningowej z parametrami BCM.
• U4 Opracowanie kompletnego raportu poaudytowego (12-16 stron A4) z bilansem OFI, Trójfazowym Planem CAP, procedurą SOP (§ 1 do § 6) oraz Executive Summary dla Senatu z kalkulacją ROSI.
• K1K2K3 Poszanowanie etyki i autonomii akademickiej, wysoka kultura formułowania zaleceń doradczych i perswazja w komunikacji z władzami rektorskimi.
• Powiązanie z wykładem: Wyk1 (Ład zarządczy na uczelni), Wyk2 (Zasady raportowania ISO 19011 i bilans OFI), Wyk3 (Kontrole dostępowe ISO 27001), Wyk4 (RODO i KRI w szkolnictwie wyższym), Wyk5 (Matryca ryzyka 5x5 i BCM), Wyk6 (Analiza logów USOS i konfiguracji Moodle), Wyk7 (Model 4C, 5 Why, Trójfazowy CAP i Pitch to Board).

Akademia Mazowiecka w Płocku kształci 4 800 studentów na 14 kierunkach studiów (w tym na kierunkach medycznych i technicznych) oraz zatrudnia 340 nauczycieli akademickich i 120 pracowników administracyjnych. Głównymi filarami infrastruktury dydaktycznej są system USOS (wraz z portalem USOSweb) oraz platforma e-learningowa Moodle.

Stan faktyczny w toku audytu bezpieczeństwa teleinformatycznego uczelni:

• Brak automatyzacji cyklu życia tożsamości i uprawnień (Lifecycle Management): W systemie USOSweb ujawniono 210 aktywnych kont absolwentów, którzy ukończyli studia w latach 2021-2023, oraz 12 kont byłych wykładowców, których umowy wygasły ponad rok temu. Konta te posiadały wgląd w historyczne protokoły ocen oraz dane osobowe studentów (imiona, nazwiska, PESEL, adresy zamieszkania, wnioski o stypendia socjalne).
• Krytyczne podatności konfiguracji platformy Moodle: Na serwerze Moodle brakowało mechanizmów blokowania kont po wielokrotnych nieudanych próbach logowania (podatność na ataki brute-force), a hasło głównego użytkownika bazy danych MySQL było zapisane jawnym tekstem w pliku `config.php` z uprawnieniami odczytu dla wszystkich lokalnych kont systemu Linux (`chmod 644`).
• Nadmiarowe uprawnienia personelu dziekanatów: 22 pracowników dziekanatów dysponowało globalnymi uprawnieniami edycyjnymi do zatwierdzania i modyfikowania ocen dla wszystkich wydziałów uczelni, z naruszeniem zasady wiedzy koniecznej (Need-to-Know) i brakiem logowania edycji poszczególnych pól.
• Szanse na doskonalenie (OFI): Wdrożenie federacyjnego jednokrotnego logowania (SSO) w ramach ogólnopolskiej sieci eduroam/Federacji PIONIER.Id oraz bezpiecznego repozytorium surowych danych badawczych (Open Science).

Rektor i Senat oczekują raportu poaudytowego, który nie tylko wskaże uchybienia, lecz pomoże uczelni przejść zbliżającą się ocenę programową PKA i wdrożyć nowoczesny ład tożsamości cyfrowej.

Zadanie realizowane jest w ścisłym reżimie warsztatowym (formuła 90 minut) przez 2-3 osobową Triadę Audytorską:

• Krok 1 (Podział ról w Triadzie Audytorskiej i triage dowodowy - Minuty 00-15):

  Student A (Lead Auditor / Executive Reporter): Odpowiada za ład zarządczy (Governance), zgodność z Prawem o szkolnictwie wyższym, KRI i RODO, relacje z Rektorem i Senatem oraz przygotowanie 1-stronicowego Executive Summary ("Pitch to Board") z kalkulacją ROSI.

  Student B (Technical SecOps Auditor / Architekt Systemów Akademickich): Bada plik konfiguracyjny Moodle, brak ochrony brute-force, nadmiarowe uprawnienia w USOS, projektuje architekturę brokera tożsamości Keycloak/FreeIPA z obsługą SAML/OAuth2 oraz repozytorium sekretów HashiCorp Vault.

  Student C (Governance, Risk & Compliance Auditor): Opracowuje kanoniczną Kartę Niezgodności 4C, bilans szans na doskonalenie (OFI), wylicza ryzyko w matrycy 5x5 powiązanej ze wskaźnikami BCM (RTO=2h, RPO=1h, MTPD=12h), prowadzi sekwencję 5 Why z Diagramem Ishikawy oraz konstruuje Trójfazowy Plan CAP z macierzą RACI i metrykami KPI/KRI. W zespole 2-osobowym zadania te dzielą Studenci A i B.

• Krok 2 (Kanoniczna Karta Niezgodności 4C i Bilans OFI - Minuty 15-40):

  Sformułujcie kartę uchybienia w modelu 4C oraz bilans szans na doskonalenie:

• Krok 3 (Zaawansowana Matryca Ryzyka 5x5 i Parametry BCM - Minuty 15-40):

  Skwantyfikujcie 4 wektory zagrożeń w skali 25-stopniowej (P 1-5 x S 1-5):

• Krok 4 (Trójfazowy Plan Działań Korygujących - CAP - Minuty 40-70):

  Opracujcie tabelę CAP w 3 horyzontach czasowych:

• Krok 5 (Sformalizowany Projekt Załącznika Wykonawczego SOP - Minuty 40-70):

  Opracujcie projekt aktu normatywnego "Standard Operacyjny Cyklu Życia Kont Użytkowników, Zarządzania Tożsamością (IAM) i Ochrony Integralności Danych Akademickich w Akademii Mazowieckiej w Płocku" z ponumerowanymi artykułami od § 1 do § 6:

  § 1. Zakres podmiotowy (studenci, doktoranci, nauczyciele, pracownicy administracji); § 2. Zasady automatycznego tworzenia, modyfikacji i wygaszania kont w cyklu życia tożsamości; § 3. Rygory kontroli uprawnień edycyjnych do protokołów ocen i zasada podwójnej autoryzacji (Dual Control); § 4. Wymagania techniczne bezpiecznego przechowywania sekretów aplikacji internetowych; § 5. Procedura identyfikacji i wdrażania szans na doskonalenie (OFI) wg ISO 19011; § 6. Odpowiedzialność dyscyplinarna i prawna (art. 268a KK).

• Krok 6 (Podsumowanie Zarządcze Executive Summary 'Pitch to Board' i przygotowanie obrony - Minuty 70-90):

  Zredagujcie 1-stronicowy briefing dla Rektora i Senatu: wykażcie, w jaki sposób wdrożenie centralnego IAM i likwidacja podatności chroni uczelnię przed utratą akredytacji PKA i podważeniem ważności dyplomów (potencjalne straty dotacji i kar: 3,8 mln PLN vs koszt wdrożenia IAM: 85 000 PLN, wskaźnik ROSI = 4370%), przedstawcie bilans OFI i przygotujcie się do 15-minutowej obrony przed komisją.

Plan referatu seminaryjnego i obrony koncepcji (15 minut):

• Slajd 1-2 (Minuty 00-03): Wprowadzenie i metryka audytu uczelni wyższej. Prezentacja wyników triage dowodowego USOS i Moodle (Student A).
• Slajd 3-4 (Minuty 03-07): Dekompozycja uchybień w modelu 4C oraz bilans szans na doskonalenie (OFI) wg ISO 19011 (Student C).
• Slajd 5-6 (Minuty 07-10): 25-stopniowa matryca ryzyka 5x5 (IR vs RR), parametry BCM dla sesji egzaminacyjnej oraz inżynierski projekt IAM/SSO i Vault (Student B).
• Slajd 7-8 (Minuty 10-13): Prezentacja Trójfazowego Planu CAP (0-7, 30, 90 dni) z macierzą RACI, wskaźnikami KPI/KRI oraz struktury procedury SOP (Student C i B).
• Slajd 9-10 (Minuty 13-15): Executive Summary "Pitch to Board" dla Senatu: wskaźnik ROSI, wsparcie procesu akredytacji PKA i zamknięcie audytu (Student A).

Struktura zaawansowanego raportu poaudytowego i dokumentacji wdrożeniowej (12-16 stron A4):

A. Jednostronicowe Podsumowanie Zarządcze (Executive Summary - "Pitch to Board") dla Rektora i Senatu Akademii Mazowieckiej z wyliczeniem ROSI.

B. Wprowadzenie formalne: metryka audytu, podstawa prawna (Prawo o szkolnictwie wyższym, KRI, RODO, ISO 27001), skład Triady Audytorskiej, wykaz systemów dziekanatowych.

C. Bilans Niezgodności oraz Szans na Doskonalenie (OFI) zgodnie z wytycznymi normy PN-EN ISO 19011:2018 (punkt 6.5).

D. Odpowiedzi na 3 pytania problemowe:

1. W jaki sposób audytor powinien uzasadnić Senatowi uczelni konieczność sfinansowania centralnego systemu IAM w kontekście ochrony integralności procesu dyplomowania i akredytacji PKA?

2. Jakie formalne mechanizmy integracji pomiędzy systemem kadrowo-płacowym, dziekanatem a platformą e-learningową gwarantują bezzwłoczne wygaszanie tożsamości akademickiej?

3. Dlaczego pozostawienie jawnych haseł w plikach konfiguracyjnych serwisów internetowych narusza elementarne zasady bezpieczeństwa z art. 32 RODO i kontroli A.8.25 ISO 27001?

E. Kanoniczna Karta Ustaleń Audytowych w Modelu 4C (Condition, Criteria, Cause - sekwencja 5 Why i Diagram Ishikawy w 6 osiach, Consequence).

F. Tabela Zaawansowanej Analizy Ryzyka w Matrycy 5x5:

• Wektor 1: Modyfikacja ocen w protokołach USOS przez nieuprawnionych | P=5, S=5 → IR=25 | Kontrole: Granulacja ról, IAM, logowanie audytowe | P=1, S=5 → RR=5 | RTO=2h, RPO=1h, MTPD=12h
• Wektor 2: Przejęcie bazy Moodle przez odczyt hasła z config.php | P=5, S=4 → IR=20 | Kontrole: chmod 640, Vault, ochrona brute-force | P=1, S=3 → RR=3 | RTO=1h, RPO=30m, MTPD=4h
• Wektor 3: Wyciek danych osobowych studentów i wniosków stypendialnych | P=5, S=4 → IR=20 | Kontrole: Wygaszanie kont, minimalizacja dostępu | P=1, S=3 → RR=3 | RTO=2h, RPO=1h, MTPD=8h
• Wektor 4: Utrata akredytacji PKA i kary finansowe Prezesa UODO | P=4, S=5 → IR=20 | Kontrole: Realizacja Planu CAP, wdrożenie SOP | P=1, S=2 → RR=2 | RTO=N/A, RPO=N/A, MTPD=72h

G. Tabela Trójfazowego Planu Działań Korygujących (CAP) z macierzą RACI, terminami (Faza 1: 0-7 dni, Faza 2: 30 dni, Faza 3: 90 dni) i wskaźnikami KPI oraz KRI.

H. Sformalizowany Projekt Załącznika Wykonawczego (SOP — 6 ponumerowanych paragrafów regulujących cykl życia kont i bezpieczeństwo protokołów).

I. Analiza kompromisów inżynierskich i zarządczych (Trade-offs: wygoda pracy pracowników dziekanatów vs rygorystyczny podział uprawnień, koszty wdrożenia brokera tożsamości vs reputacja uczelni wyższej).

J. Bibliografia, netografia, wykaz standardów PKA i orzecznictwa sądowego w sprawach unieważnienia dyplomów.

• Ustawa z dnia 20 lipca 2018 r. - Prawo o szkolnictwie wyższym i nauce (Dz.U. z 2023 r. poz. 742 z późn. zm.).
• Rozporządzenie Ministra Nauki i Szkolnictwa Wyższego z dnia 27 września 2018 r. w sprawie studiów (Dz.U. z 2021 r. poz. 661 z późn. zm.) - dokumentacja przebiegu studiów.
• Norma PN-EN ISO 19011:2018: Wytyczne dotyczące audytowania systemów zarządzania - punkt 6.5 (Raport z audytu) oraz bilans szans na doskonalenie (OFI).
• Norma PN-EN ISO/IEC 27001:2022: Systemy zarządzania bezpieczeństwem informacji - Wymagania: klauzula 10.1 oraz kontrole A.5.15, A.5.18, A.8.2.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 5, art. 32, art. 82, art. 83.
• Rozporządzenie Rady Ministrów z dnia 12 kwietnia 2012 r. w sprawie Krajowych Ram Interoperacyjności (par. 20 KRI).
• Polska Komisja Akredytacyjna (PKA): "Wytyczne dotyczące oceny programowej i instytucjonalnej", Warszawa 2023.
• Ustawa z dnia 6 czerwca 1997 r. - Kodeks Karny (Dz.U. z 2024 r. poz. 17 z późn. zm.) - art. 268a.

• Wiedza W1: Zaawansowana znajomość Prawa o szkolnictwie wyższym, KRI, RODO i standardów PKA w środowisku akademickim.
• Wiedza W2, W3: Rozumienie relacji normy ISO 19011 w zakresie bilansu OFI oraz ciągłego doskonalenia SZBI wg ISO 27001 klauzula 10.1.
• Umiejętności U1: Projekt inżynierski integracji systemów uczelnianych z brokerem tożsamości IAM SAML/OAuth2 oraz repozytorium sekretów.
• Umiejętności U2: Dekompozycja uchybień w modelu 4C i formułowanie konstruktywnych szans na doskonalenie (OFI).
• Umiejętności U3: Kwantyfikacja ryzyka w matrycy 5x5 i powiązanie z parametrami BCM dla sesji egzaminacyjnej (RTO=2h, RPO=1h, MTPD=12h).
• Umiejętności U4: Opracowanie kompletnego raportu (12-16 stron A4) z Trójfazowym Planem CAP, SOP i Pitch to Board z wyliczeniem ROSI.
• Kompetencje K1, K2, K3: Poszanowanie etyki akademickiej, wysoka kultura formułowania zaleceń i siła perswazji przed Senatem Uczelni.

W trakcie obrony referatu zaprezentujcie strukturę bilansu niezgodności i szans na doskonalenie (OFI) przed Senatem uczelni: wykażcie, w jaki sposób konstruktywna rola audytora pozwala przekształcić krytyczne uchybienia w systemach USOS i Moodle w kompleksowy, 3-fazowy projekt modernizacji infrastruktury tożsamości (IAM/SSO) wspierający proces akredytacji PKA i chroniący uczelnię przed podważeniem wiarygodności dyplomów.

Głównym celem zadania na ocenę bardzo dobrą (5.0) jest wykształcenie u studentów eksperckich umiejętności opracowania strategicznego raportu poaudytowego dla Zarządu i Właścicieli średniej wielkości przedsiębiorstwa produkcyjnego sektora spożywczego (Zakłady Mięsne Dolina Baryczy Sp. z o.o. w Miliczu). Audyt obejmuje kompleksową ocenę luk wdrożeniowych (Gap Analysis) w stosunku do normy PN-EN ISO/IEC 27001:2022 w warunkach presji ze strony międzynarodowych sieci handlowych, które uzależniają kontynuację kontraktów dostaw od uzyskania certyfikatu SZBI. Kluczowym przedmiotem ochrony audytowej jest tajemnica przedsiębiorstwa (unikalne, tradycyjne receptury wędlin chronione na mocy art. 11 Ustawy o zwalczaniu nieuczciwej konkurencji - ZNKP) oraz ciągłość działania zautomatyzowanych linii uboju i rozbioru. W toku audytu ujawniono jawną obecność haseł do terminali sterujących na wagach przemysłowych, brak fizycznej kontroli dostępu do mieszalników przypraw oraz nieszyfrowaną transmisję receptur z serwera ERP do sterowników PLC. Zadanie wymaga: sformułowania kanonicznej Karty 4C, wyliczenia ryzyka w matrycy 5x5 powiązanej z parametrami BCM (RTO=30m, RPO=15m, MTPD=2h), skonstruowania 4-kwartalnego Trójfazowego Planu CAP z macierzą RACI i wskaźnikami KPI oraz KRI, opracowania sformalizowanej procedury wykonawczej (SOP) ergonomicznej kontroli dostępu w trudnych warunkach środowiskowych (chłodnie, wilgoć, praca w rękawicach) oraz przygotowania briefingu zarządczego z kalkulacją ROSI.

Powiązanie z sylabusem i efektami kształcenia na ocenę 5.0:

• W1 Zaawansowana znajomość przepisów art. 11 Ustawy o zwalczaniu nieuczciwej konkurencji, przepisów prawa żywnościowego i weterynaryjnego (HACCP/IFS/BRC), Kodeksu Spółek Handlowych oraz odpowiedzialności za szpiegostwo gospodarcze.
• W2W3 Wyczerpująca synteza wymagań normy PN-EN ISO/IEC 27001:2022 (kontrole A.5.1, A.5.12, A.7.1, A.7.4, A.8.2, A.8.20), normy ISO 19011:2018 oraz standardu ISO 22000 w łańcuchu dostaw żywności.
• U1 Projekt inżynierski odpornej na wilgoć i niskie temperatury kontroli dostępu (terminale RFID IP67 z czytnikami zbliżeniowymi przystosowanymi do pracy w rękawicach), kryptoizolacji bazy receptur ERP oraz separacji VLAN sieci przemysłowej.
• U2 Bezbłędna kwalifikacja uchybień w kanonicznym modelu 4C ze wskazaniem ryzyka utraty kontraktów handlowych i przewagi rynkowej.
• U3 Kwantyfikacja ryzyka w matrycy 5x5 dla wektorów kradzieży receptur, sabotażu wag przemysłowych i kar kontraktowych sieci handlowych z parametrami BCM.
• U4 Opracowanie kompletnego raportu poaudytowego (12-16 stron A4) z 4-kwartalnym Planem CAP, procedurą SOP (§ 1 do § 6) oraz Executive Summary z kalkulacją ROSI.
• K1K2K3 Zrozumienie realiów biznesowych przemysłu wytwórczego, umiejętność rozmowy z kadrą techniczną i technologiczną oraz etyka audytorska.
• Powiązanie z wykładem: Wyk1 (Ład zarządczy w przemyśle), Wyk2 (Zasady audytowania luk ISO 19011), Wyk3 (Kontrole fizyczne i technologiczne ISO 27001), Wyk4 (Tajemnica przedsiębiorstwa i HACCP), Wyk5 (Matryca ryzyka 5x5 i BCM), Wyk6 (Analiza urządzeń wagowych i sieci produkcyjnej), Wyk7 (Model 4C, 5 Why, 4-kwartalny CAP i Pitch to Board).

Zakłady Mięsne Dolina Baryczy Sp. z o.o. w Miliczu zatrudniają 280 pracowników, osiągając roczny obrót na poziomie 85 mln PLN. Przedsiębiorstwo produkuje wędliny tradycyjne i wyroby wędzone w oparciu o unikalne receptury technologiczne opracowane przez trzy pokolenia technologów żywności. Ponad 65% wolumenu sprzedaży trafia do trzech międzynarodowych sieci handlowych. Sieci te postawiły formalne ultimatum: przedłużenie kontraktów na kolejny rok jest warunkowane pozytywnym audytem certyfikującym SZBI na zgodność z normą ISO/IEC 27001:2022.

Stan faktyczny stwierdzony w toku audytu luk (Gap Analysis):

• Jawne hasła dostępowe na terminalach wagowych w hali produkcyjnej: Na 14 przemysłowych wagach etykietujących terminale sterujące posiadają hasła zapisane markerem olejowym bezpośrednio na metalowych obudowach wag (`WAGA123`). Wagi połączone są z lokalną siecią LAN i rejestrują gramatury surowców do partii produkcyjnych bez jakiejkolwiek autoryzacji operatora.
• Nieszyfrowana transmisja receptur i brak kontroli dostępu do mieszalników: Moduł technologiczny systemu ERP przesyła składy mieszanek peklujących jawnym protokołem do komputerów sterujących mieszalnikami w strefie chłodniczej. Do pomieszczenia serwerowni technologicznej oraz do regałów z próbkami przypraw dostęp ma każdy pracownik posiadający fizyczny klucz piwniczny, w tym pracownicy tymczasowi z agencji pracy.
• Stanowisko Zarządu i Właścicieli: Prezes Zarządu oświadcza: "My produkujemy kiełbasę, a nie oprogramowanie! Nasi pracownicy pracują w temperaturze 4 stopni Celsjusza w grubych gumowych rękawicach. Nie będą co 5 minut zdejmować rękawic i wpisywać haseł na brudnych ekranach dotykowych! Audytorzy muszą zaproponować rozwiązania, które nie zatrzymają linii produkcyjnej".

Triada Audytorska staje przed wyzwaniem opracowania strategicznego raportu końcowego, który precyzyjnie rozłoży wdrożenie SZBI na 4 kwartały i wprowadzi ergonomiczne rozwiązania techniczne akceptowalne dla załogi.

Zadanie realizowane jest w ścisłym reżimie warsztatowym (formuła 90 minut) przez 2-3 osobową Triadę Audytorską:

• Krok 1 (Podział ról w Triadzie Audytorskiej i triage dowodowy - Minuty 00-15):

  Student A (Lead Auditor / Executive Reporter): Odpowiada za ład zarządczy (Governance), analizę luk ISO 27001, ochronę tajemnicy przedsiębiorstwa (art. 11 ZNKP), relacje z Zarządem i audytorami sieci handlowych oraz przygotowanie 1-stronicowego Executive Summary z kalkulacją ROSI.

  Student B (Technical SecOps Auditor / Architekt Bezpieczeństwa Przemysłowego): Analizuje terminale wagowe, transmisję receptur ERP, brak szyfrowania, projektuje przemysłowe czytniki zbliżeniowe RFID IP67 zintegrowane z opaskami silikonowymi pracowników oraz szyfrowanie bazy receptur.

  Student C (Governance, Risk & Compliance Auditor): Opracowuje kanoniczną Kartę Niezgodności 4C, wylicza ryzyko w matrycy 5x5 powiązanej ze wskaźnikami BCM (RTO=30m, RPO=15m, MTPD=2h), prowadzi analizę 5 Why z Diagramem Ishikawy oraz konstruuje 4-kwartalny Plan CAP z macierzą RACI i wskaźnikami KPI/KRI. W zespole 2-osobowym zadania te dzielą Studenci A i B.

• Krok 2 (Kanoniczna Karta Niezgodności 4C - Minuty 15-40):

  Sformułujcie kartę uchybienia w modelu 4C:

• Krok 3 (Zaawansowana Matryca Ryzyka 5x5 i Parametry BCM - Minuty 15-40):

  Skwantyfikujcie 4 wektory zagrożeń w skali 25-stopniowej (P 1-5 x S 1-5):

• Krok 4 (Trójfazowy Plan Działań Korygujących w podziale na 4 Kwartały - CAP - Minuty 40-70):

  Opracujcie tabelę CAP w 3 horyzontach czasowych (rozłożoną na 4 kwartały wdrożenia SZBI):

• Krok 5 (Sformalizowany Projekt Załącznika Wykonawczego SOP - Minuty 40-70):

  Opracujcie projekt aktu normatywnego "Standard Operacyjny Ochrony Receptur Technologicznych, Kontroli Dostępu Fizycznego i Bezpieczeństwa Urządzeń Wagowych w Zakładach Mięsnych Dolina Baryczy Sp. z o.o." z ponumerowanymi artykułami od § 1 do § 6:

  § 1. Zakres przedmiotowy i definicja tajemnicy recepturowej (art. 11 ZNKP); § 2. Zasady ergonomicznej kontroli dostępu za pomocą opasek RFID IP67 w strefach chłodniczych; § 3. Rygory dostępu fizycznego do magazynu przypraw i serwerowni technologicznej; § 4. Zasady szyfrowania i dystrybucji parametrów technologicznych z systemu ERP; § 5. Procedura postępowania w przypadku podejrzenia szpiegostwa gospodarczego; § 6. Odpowiedzialność pracownicza, odszkodowawcza i karna.

• Krok 6 (Podsumowanie Zarządcze Executive Summary 'Pitch to Board' i przygotowanie obrony - Minuty 70-90):

  Zredagujcie 1-stronicowy briefing dla Zarządu i Właścicieli: wykażcie, w jaki sposób inwestycja w certyfikację ISO 27001 i opaski RFID chroni kontrakty o wartości 55 mln PLN (ryzyko strat: 55 mln PLN vs koszt wdrożenia CAP: 135 000 PLN w 4 kwartałach, wskaźnik ROSI = 40640%), uzasadnijcie brak wpływu procedur na spowolnienie produkcji i przygotujcie się do 15-minutowej obrony przed komisją.

Plan referatu seminaryjnego i obrony koncepcji (15 minut):

• Slajd 1-2 (Minuty 00-03): Wprowadzenie i metryka audytu zakładu produkcyjnego. Presja kontraktowa sieci handlowych i wyniki triage dowodowego (Student A).
• Slajd 3-4 (Minuty 03-07): Dekompozycja uchybień w modelu 4C i analiza przyczyn źródłowych 5 Why / Ishikawa dla tajemnicy receptur (Student C).
• Slajd 5-6 (Minuty 07-10): 25-stopniowa matryca ryzyka 5x5 (IR vs RR), parametry BCM dla linii rozbioru oraz inżynierski projekt opasek RFID IP67 i szyfrowania ERP (Student B).
• Slajd 7-8 (Minuty 10-13): Prezentacja 4-kwartalnego Planu CAP (0-7, 30, 90 dni i Q4) z macierzą RACI, wskaźnikami KPI/KRI oraz struktury procedury SOP (Student C i B).
• Slajd 9-10 (Minuty 13-15): Executive Summary "Pitch to Board" dla Właścicieli: kalkulacja ROSI, obrona kontraktów sieciowych i formalne zamknięcie audytu (Student A).

Struktura zaawansowanego raportu poaudytowego i dokumentacji wdrożeniowej (12-16 stron A4):

A. Jednostronicowe Podsumowanie Zarządcze (Executive Summary - "Pitch to Board") dla Właścicieli Zakładów z wyliczeniem ROSI.

B. Wprowadzenie formalne: metryka audytu luk, podstawa prawna (art. 11 ZNKP, ISO 27001, HACCP), skład Triady Audytorskiej, wykaz linii produkcyjnych i wag.

C. Odpowiedzi na 3 pytania problemowe:

1. W jaki sposób audytor powinien przekonać właścicieli tradycyjnej firmy produkcyjnej do wdrożenia SZBI bez wywoływania obaw o paraliż wydajności linii rozbiorowej?

2. Jakie prawne i dowodowe wymogi musi spełnić organizacja na mocy art. 11 Ustawy o zwalczaniu nieuczciwej konkurencji, aby skutecznie dochodzić odszkodowania za kradzież receptur technologicznych?

3. W jaki sposób wdrożenie bezdotykowych identyfikatorów RFID IP67 eliminuje zagrożenia epidemiologiczne i higieniczne w zakładzie przetwórstwa mięsnego zgodnie ze standardem IFS Food?

D. Kanoniczna Karta Ustaleń Audytowych w Modelu 4C (Condition, Criteria, Cause - sekwencja 5 Why i Diagram Ishikawy w 6 osiach, Consequence).

E. Tabela Zaawansowanej Analizy Ryzyka w Matrycy 5x5:

• Wektor 1: Kradzież receptur wędlin przez brak kontroli dostępu do mieszalników | P=5, S=5 → IR=25 | Kontrole: RFID IP67, szyfrowanie ERP, zamek cyfrowy | P=1, S=4 → RR=4 | RTO=30m, RPO=15m, MTPD=2h
• Wektor 2: Sabotaż wag i błędy dozowania azotanów peklujących | P=4, S=5 → IR=20 | Kontrole: Likwidacja haseł z obudów, logowanie wag | P=1, S=5 → RR=5 | RTO=15m, RPO=0s, MTPD=1h
• Wektor 3: Zerwanie kontraktów przez 3 sieci handlowe z braku ISO 27001 | P=5, S=5 → IR=25 | Kontrole: Certyfikacja SZBI, realizacja CAP | P=1, S=2 → RR=2 | RTO=N/A, RPO=N/A, MTPD=48h
• Wektor 4: Awaria i zatrzymanie linii rozbiorowej przez infekcję sieci LAN | P=4, S=4 → IR=16 | Kontrole: Segmentacja VLAN, izolacja maszyn OT | P=1, S=3 → RR=3 | RTO=30m, RPO=15m, MTPD=2h

F. Tabela 4-Kwartalnego Trójfazowego Planu Działań Korygujących (CAP) z macierzą RACI, terminami (Q1: 0-7 dni, Q2: 30 dni, Q3-Q4: do 9 miesięcy) i wskaźnikami KPI oraz KRI.

G. Sformalizowany Projekt Załącznika Wykonawczego (SOP — 6 ponumerowanych paragrafów regulujących kontrolę dostępu i ochronę receptur technologicznych).

H. Analiza kompromisów inżynierskich i zarządczych (Trade-offs: ergonomia pracy załogi w strefie chłodniczej vs rygor uwierzytelniania, koszty wdrożenia urządzeń IP67 vs zachowanie wielomilionowych kontraktów).

I. Bibliografia, netografia, wykaz standardów branżowych IFS/BRC i orzecznictwa sądowego w sprawach zwalczania nieuczciwej konkurencji.

• Ustawa z dnia 16 kwietnia 1993 r. o zwalczaniu nieuczciwej konkurencji (Dz.U. z 2022 r. poz. 1233 z późn. zm.) - art. 11 (Tajemnica przedsiębiorstwa).
• Norma PN-EN ISO/IEC 27001:2022: Systemy zarządzania bezpieczeństwem informacji - Wymagania: kontrole A.5.12, A.7.1, A.7.4, A.8.2, A.8.20.
• Norma PN-EN ISO 19011:2018: Wytyczne dotyczące audytowania systemów zarządzania - punkty 6.5, 6.6 i 6.7.
• Standard IFS Food v8: Standard audytowania zgodności produktów i procesów w odniesieniu do bezpieczeństwa i jakości żywności, 2023.
• Norma PN-EN ISO 22000:2018: Systemy zarządzania bezpieczeństwem żywności - Wymagania dla każdej organizacji w łańcuchu żywnościowym.
• Ustawa z dnia 25 sierpnia 2006 r. o bezpieczeństwie żywności i żywienia (Dz.U. z 2023 r. poz. 1448 z późn. zm.).
• Kodeks Spółek Handlowych - art. 293 i 483 (Odpowiedzialność członków zarządu za szkodę).

• Wiedza W1: Zaawansowana znajomość art. 11 ZNKP, normy ISO 27001, standardów IFS Food oraz odpowiedzialności zarządczej.
• Wiedza W2, W3: Rozumienie relacji normy ISO 19011 w audycie luk (Gap Analysis) oraz projektowania kontroli SZBI w środowisku produkcyjnym.
• Umiejętności U1: Projekt inżynierski ergonomicznej kontroli dostępu RFID IP67 dla stref chłodniczych i kryptoizolacji bazy receptur.
• Umiejętności U2: Dekompozycja uchybień w modelu 4C i wykazanie ryzyka utraty przewagi rynkowej.
• Umiejętności U3: Kwantyfikacja ryzyka w matrycy 5x5 i powiązanie z parametrami BCM (RTO=30m, RPO=15m, MTPD=2h).
• Umiejętności U4: Opracowanie zaawansowanego raportu (12-16 stron A4) z 4-kwartalnym Planem CAP, procedurą SOP i Pitch to Board z wyliczeniem ROSI.
• Kompetencje K1, K2, K3: Zrozumienie specyfiki przemysłu wytwórczego, umiejętność przełamywania oporu kadry i wysoka etyka zawodowa.

W trakcie referatu seminaryjnego zademonstrujcie 4-kwartalny harmonogram Planu Działań Korygujących (CAP) w powiązaniu z kalkulacją ROSI (40640%): wyjaśnijcie, dlaczego wdrożenie SZBI w zakładzie produkcyjnym wymaga ścisłej współpracy z technologami żywności oraz w jaki sposób bezdotykowe opaski RFID IP67 eliminują wpisywanie haseł, gwarantując pełną zgodność z normą ISO 27001 i wymaganiami międzynarodowych sieci handlowych.

Głównym celem zadania na ocenę bardzo dobrą (5.0) jest opanowanie przez studentów mistrzowskich umiejętności konstrukcji dwupoziomowego strategicznego raportu poaudytowego w innowacyjnej instytucji finansowej o statusie Krajowej Instytucji Płatniczej (FinTech PayQuick S.A. w Warszawie). Audyt obejmuje ocenę odporności operacyjnej cyfrowej bramki płatniczej w reżimie Rozporządzenia DORA, standardu bezpieczeństwa kart płatniczych PCI DSS v4.0 oraz Rekomendacji KNF. Kluczowym wyzwaniem raportowym jest translacja technicznych dowodów audytowych (krytyczna luka bezpieczeństwa interfejsu programistycznego BOLA/IDOR w API płatniczym o CVSS 8.5 oraz brak 365-dniowej retencji logów w chmurze AWS) na zrozumiały język ryzyka biznesowego i regulacyjnego dla Komitetu Audytu i Rady Nadzorczej, przy jednoczesnym sporządzeniu precyzyjnego aneksu inżynierskiego dla zespołu DevSecOps. Zadanie wymaga: opracowania kanonicznej Karty 4C, analizy podatności OWASP API Security Top 10, wyliczenia ryzyka w matrycy 5x5 powiązanej z parametrami BCM (RTO=15m, RPO=0s, MTPD=1h), skonstruowania Trójfazowego Planu CAP z macierzą RACI, sformułowania procedury wykonawczej (SOP) retencji telemetrii w niezmiennym repozytorium chmurowym AWS S3 Glacier Vault Lock oraz przygotowania briefingu zarządczego z kalkulacją ROSI.

Powiązanie z sylabusem i efektami kształcenia na ocenę 5.0:

• W1 Zaawansowana znajomość przepisów Ustawy o usługach płatniczych, Rozporządzenia DORA, standardu PCI DSS v4.0 (wymagania 6.2, 6.4, 10.2, 10.5), wytycznych EBA w sprawie zarządzania ryzykiem ICT oraz odpowiedzialności członków zarządu KIP przed KNF.
• W2W3 Rygorystyczna synteza wymagań normy PN-EN ISO/IEC 27001:2022 (kontrole A.8.8, A.8.12, A.8.15, A.8.25), normy PN-EN ISO 19011:2018 oraz metodyki CVSS v3.1 i taksonomii OWASP API Security.
• U1 Projekt inżynierski bramy API Gateway z wymuszoną walidacją kontekstu autoryzacji (Object-Level Authorization), testów DAST w pipeline CI/CD oraz niezmiennej retencji logów audytowych w chmurze z polityką WORM.
• U2 Bezbłędna kwalifikacja uchybień w modelu 4C ze sporządzeniem 'słownika translacji pojęć technicznych' na język ryzyka finansowego i prawnego.
• U3 Kwantyfikacja ryzyka w matrycy 5x5 dla wektorów kradzieży danych kartowych, cofnięcia licencji KIP przez KNF i kar DORA z parametrami BCM.
• U4 Opracowanie kompletnego raportu poaudytowego (12-16 stron A4) z dwupoziomową strukturą, Trójfazowym Planem CAP, procedurą SOP (§ 1 do § 6) oraz Executive Summary z wyliczeniem ROSI.
• K1K2K3 Biegłość w komunikacji dwujęzycznej (język biznesowo-finansowy vs żargon inżynierii DevSecOps), wysoka etyka i precyzja analityczna.
• Powiązanie z wykładem: Wyk1 (Ład zarządczy w fintechu), Wyk2 (Zasady raportowania ISO 19011), Wyk3 (Kontrole A.8 ISO 27001), Wyk4 (Zbieżność DORA, PCI DSS i KNF), Wyk5 (Matryca ryzyka 5x5 i BCM), Wyk6 (Analiza logów AWS CloudTrail i testy API), Wyk7 (Model 4C, 5 Why, Dwupoziomowy CAP i Pitch to Board).

PayQuick S.A. jest licencjonowaną Krajową Instytucją Płatniczą (KIP) podlegającą nadzorowi Komisji Nadzoru Finansowego. Spółka obsługuje bramkę płatności internetowych dla ponad 3 500 sklepów e-commerce w Europie, procesując średnio 120 000 transakcji kartowych i natychmiastowych przelewów dziennie. Infrastruktura fintechu oparta jest w całości na chmurze publicznej Amazon Web Services (AWS) w architekturze mikroserwisowej (kontenery Kubernetes / AWS EKS).

Stan faktyczny stwierdzony w toku audytu technicznego i regulacyjnego:

• Krytyczna luka BOLA/IDOR w API transakcyjnym (CVSS 8.5): Podczas badania bezpieczeństwa interfejsu REST API `api.payquick.pl/v2/transactions/{transaction_id}/receipt` ujawniono brak weryfikacji uprawnień obiektowych (Broken Object Level Authorization). Zalogowany użytkownik platformy mógł, poprzez inkrementację identyfikatora `transaction_id`, pobierać potwierdzenia transakcji dowolnych innych klientów, zawierające maskowane numery kart PAN, adresy e-mail, numery telefonów oraz kwoty płatności.
• Brak retencji logów i niepodpisane wpisy telemetrii (Naruszenie PCI DSS i DORA): Ze względów oszczędnościowych logi dostępu HTTP oraz logi audytowe AWS CloudTrail były przechowywane w zasobniku S3 tylko przez 14 dni, po czym ulegały automatycznemu usunięciu (Lifecycle Policy). Uniemożliwia to spełnienie obligatoryjnego wymogu 365-dniowej retencji logów z PCI DSS 4.0 oraz art. 10 DORA.
• Stanowisko Komitetu Audytu: Członkowie Komitetu Audytu (menedżerowie z sektora bankowego nieposiadający wiedzy programistycznej) oświadczają: "Dla nas skróty BOLA, IDOR i Kubernetes nic nie znaczą. Chcemy wiedzieć, czy ta sytuacja zagraża naszej licencji KIP, jakie sankcje może nałożyć KNF i organizacje płatnicze VISA/Mastercard oraz ile będzie kosztować naprawa!".

Triada Audytorska ma za zadanie opracować innowacyjny, dwupoziomowy raport końcowy: część zarządczą dla Komitetu Audytu oraz aneks techniczny dla zespołu programistów.

Zadanie realizowane jest w ścisłym reżimie warsztatowym (formuła 90 minut) przez 2-3 osobową Triadę Audytorską:

• Krok 1 (Podział ról w Triadzie Audytorskiej i triage dowodowy - Minuty 00-15):

  Student A (Lead Auditor / Executive Reporter): Odpowiada za ład zarządczy, zgodność z DORA, PCI DSS 4.0, Ustawą o usługach płatniczych, relacje z Komitetem Audytu i KNF oraz przygotowanie 1-stronicowego Executive Summary ("Pitch to Board") z kalkulacją ROSI.

  Student B (Technical SecOps Auditor / Architekt Bezpieczeństwa Chmury): Dekonstruuje podatność BOLA/IDOR w API, analizuje brak retencji logów w AWS S3, projektuje wdrożenie polityk autoryzacji w bramie API Gateway, reguły OPA (Open Policy Agent), zautomatyzowane testy DAST oraz blokadę AWS S3 Glacier Vault Lock.

  Student C (Governance, Risk & Compliance Auditor): Opracowuje kanoniczną Kartę Niezgodności 4C, słownik translacji pojęć technicznych, wylicza ryzyko w matrycy 5x5 powiązanej ze wskaźnikami BCM (RTO=15m, RPO=0s, MTPD=1h), prowadzi analizę 5 Why z Diagramem Ishikawy oraz konstruuje Trójfazowy Plan CAP z macierzą RACI i metrykami KPI/KRI. W zespole 2-osobowym zadania te dzielą Studenci A i B.

• Krok 2 (Kanoniczna Karta Niezgodności 4C i Słownik Translacji - Minuty 15-40):

  Sformułujcie kartę uchybienia w modelu 4C oraz tabelę translacji dla Komitetu Audytu:

• Krok 3 (Zaawansowana Matryca Ryzyka 5x5 i Parametry BCM - Minuty 15-40):

  Skwantyfikujcie 4 wektory zagrożeń w skali 25-stopniowej (P 1-5 x S 1-5):

• Krok 4 (Trójfazowy Plan Działań Korygujących - CAP - Minuty 40-70):

  Opracujcie tabelę CAP w 3 horyzontach czasowych:

• Krok 5 (Sformalizowany Projekt Załącznika Wykonawczego SOP - Minuty 40-70):

  Opracujcie projekt aktu normatywnego "Standard Operacyjny Bezpieczeństwa Interfejsów API, Retencji Telemetrii Audytowej (WORM) i Cyklu DevSecOps w PayQuick S.A." z ponumerowanymi artykułami od § 1 do § 6:

  § 1. Cel i zakres procedury (zgodność z DORA i PCI DSS 4.0); § 2. Standardy projektowania i autoryzacji obiektowej API (ochrona przed lukami BOLA/BFLA); § 3. Obligatoryjne bramki bezpieczeństwa w pipeline CI/CD (SAST, DAST, SCA); § 4. Zasady 365-dniowej retencji i niezmienności logów w chmurze AWS (S3 Glacier Vault Lock); § 5. Procedura postępowania w przypadku naruszenia danych posiadaczy kart (Cardholder Data); § 6. Sankcje regulacyjne, odpowiedzialność członków Zarządu i raportowanie do KNF.

• Krok 6 (Podsumowanie Zarządcze Executive Summary 'Pitch to Board' i przygotowanie obrony - Minuty 70-90):

  Zredagujcie 1-stronicowy briefing dla Komitetu Audytu i Zarządu PayQuick S.A.: przedstawcie tabelę 'translacji ryzyka' (wyjaśnienie luki API językiem utraty licencji i kar), bilans ekspozycji finansowej (ryzyko kar KNF i odszkodowań: 14,5 mln PLN vs koszt wdrożenia CAP i S3 Glacier: 90 000 PLN, wskaźnik ROSI = 16011%), przedstawcie aneks inżynierski dla DevOps i przygotujcie się do 15-minutowej obrony przed komisją.

Plan referatu seminaryjnego i obrony koncepcji (15 minut):

• Slajd 1-2 (Minuty 00-03): Wprowadzenie i metryka audytu fintechu. Prezentacja 'słownika translacji' pojęć technicznych dla Komitetu Audytu (Student A).
• Slajd 3-4 (Minuty 03-07): Dekompozycja luki BOLA/IDOR i braku retencji logów w modelu 4C z analizą 5 Why / Diagram Ishikawy (Student C).
• Slajd 5-6 (Minuty 07-10): 25-stopniowa matryca ryzyka 5x5 (IR vs RR), parametry BCM dla transakcji płatniczych oraz inżynierski projekt bramy API i AWS S3 Vault Lock (Student B).
• Slajd 7-8 (Minuty 10-13): Prezentacja Trójfazowego Planu CAP (0-7, 30, 90 dni) z rolami RACI, wskaźnikami KPI/KRI oraz struktury procedury SOP (Student C i B).
• Slajd 9-10 (Minuty 13-15): Executive Summary "Pitch to Board" dla Zarządu: kalkulacja ROSI, obrona licencji KIP przed KNF i zamknięcie audytu (Student A).

Struktura zaawansowanego raportu poaudytowego i dokumentacji wdrożeniowej (12-16 stron A4):

A. Jednostronicowe Podsumowanie Zarządcze (Executive Summary - "Pitch to Board") dla Komitetu Audytu PayQuick S.A. z wyliczeniem ROSI.

B. Wprowadzenie formalne: metryka audytu, podstawa prawna (DORA, PCI DSS 4.0, Ustawa o usługach płatniczych, ISO 27001), skład Triady Audytorskiej, wykaz mikroserwisów AWS.

C. Słownik Translacji Pojęć Technicznych (tabela mapująca terminy DevSecOps na język ryzyka biznesowego dla Zarządu).

D. Odpowiedzi na 3 pytania problemowe:

1. W jaki sposób audytor powinien wytłumaczyć członkom Komitetu Audytu nieznającym programowania istotę podatności BOLA/IDOR i wykazać jej bezpośredni związek z ryzykiem utraty licencji KIP?

2. Jakie konkretne rygory techniczne nakłada standard PCI DSS v4.0 (wymóg 10.5) na ochronę i retencję logów zdarzeń przed ich modyfikacją przez administratorów chmury?

3. Dlaczego automatyzacja testów DAST w pipeline CI/CD jest tańsza od usuwania luk po audycie zewnętrznym (kalkulacja kosztów błędu wg Shift-Left Security)?

E. Kanoniczna Karta Ustaleń Audytowych w Modelu 4C (Condition, Criteria, Cause - sekwencja 5 Why i Diagram Ishikawy w 6 osiach, Consequence).

F. Tabela Zaawansowanej Analizy Ryzyka w Matrycy 5x5:

• Wektor 1: Masowy wyciek potwierdzeń transakcji i danych kart przez lukę BOLA | P=5, S=5 → IR=25 | Kontrole: Reguły API Gateway, testy DAST, tokeny | P=1, S=5 → RR=5 | RTO=15m, RPO=0s, MTPD=1h
• Wektor 2: Cofnięcie licencji KIP przez KNF za brak retencji logów i nieodporność | P=5, S=5 → IR=25 | Kontrole: AWS S3 Vault Lock 365 dni, audyt DORA | P=1, S=2 → RR=2 | RTO=N/A, RPO=N/A, MTPD=24h
• Wektor 3: Kary finansowe i sankcje organizacji VISA/Mastercard za PCI DSS | P=5, S=4 → IR=20 | Kontrole: Certyfikacja QSA, naprawa luk w kodzie | P=1, S=2 → RR=2 | RTO=N/A, RPO=N/A, MTPD=48h
• Wektor 4: Niedostępność bramki płatniczej wskutek błędu wdrożeniowego | P=4, S=5 → IR=20 | Kontrole: Bramki CI/CD, canary deployment | P=1, S=3 → RR=3 | RTO=15m, RPO=0s, MTPD=1h

G. Tabela Trójfazowego Planu Działań Korygujących (CAP) z macierzą RACI, terminami (Faza 1: 0-7 dni, Faza 2: 30 dni, Faza 3: 90 dni) i wskaźnikami KPI oraz KRI.

H. Sformalizowany Projekt Załącznika Wykonawczego (SOP — 6 ponumerowanych paragrafów regulujących bezpieczeństwo API i retencję WORM w chmurze AWS).

I. Aneks Inżynierski dla Zespołu DevSecOps (przykładowe reguły OPA, konfiguracja terraform dla S3 Glacier Vault Lock i scenariusze testów API).

J. Analiza kompromisów inżynierskich i zarządczych (Trade-offs: koszty przechowywania logów w AWS vs kary KNF, szybkość wydań mikroserwisów vs czasochłonność skanowania DAST).

K. Bibliografia, netografia, wykaz standardów PCI SSC i wytycznych OWASP.

• Standard Bezpieczeństwa Danych Branży Kart Płatniczych: PCI DSS v4.0, PCI Security Standards Council 2022 - wymagania 6.2, 6.4, 10.2, 10.5.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 (DORA) - art. 9, 10, 11 (Odporność operacyjna systemów ICT).
• Open Web Application Security Project (OWASP): "OWASP API Security Top 10 2023" (API1:2023 - Broken Object Level Authorization).
• Norma PN-EN ISO/IEC 27001:2022: Systemy zarządzania bezpieczeństwem informacji - Wymagania: kontrole A.8.8, A.8.12, A.8.15, A.8.25.
• Norma PN-EN ISO 19011:2018: Wytyczne dotyczące audytowania systemów zarządzania - punkt 6.5 (Raport z audytu).
• Ustawa z dnia 19 sierpnia 2011 r. o usługach płatniczych (Dz.U. z 2024 r. poz. 30 z późn. zm.) - art. 64 (Obowiązki instytucji płatniczej).
• Europejski Urząd Nadzoru Bankowego (EBA): "Wytyczne w sprawie zarządzania ryzykiem technologii informacyjno-komunikacyjnych (ICT) i ryzykiem bezpieczeństwa", 2020.

• Wiedza W1: Zaawansowana znajomość standardu PCI DSS v4.0, Rozporządzenia DORA, Prawa o usługach płatniczych i taksonomii OWASP API.
• Wiedza W2, W3: Rozumienie relacji normy ISO 27001 w architekturze chmurowej oraz metodyki translacji pojęć technicznych na język Komitetu Audytu.
• Umiejętności U1: Projekt inżynierski zabezpieczeń API w chmurze AWS, retencji WORM (Vault Lock) oraz potoków DevSecOps.
• Umiejętności U2: Dekompozycja uchybień w modelu 4C i opracowanie dwupoziomowego raportu dla odbiorców biznesowych i technicznych.
• Umiejętności U3: Kwantyfikacja ryzyka w matrycy 5x5 i powiązanie z parametrami BCM dla transakcji (RTO=15m, RPO=0s, MTPD=1h).
• Umiejętności U4: Opracowanie kompletnego raportu (12-16 stron A4) z Planem CAP, procedurą SOP, aneksem DevSecOps i kalkulacją ROSI.
• Kompetencje K1, K2, K3: Biegłość w komunikacji dwujęzycznej (biznes/inżynieria), wysoka kultura mediacyjna i niezależność audytorska.

Podczas referatu seminaryjnego przedstawcie dwupoziomowy charakter raportu poaudytowego: zaprezentujcie 'słownik translacji' pojęć technicznych dla Komitetu Audytu oraz techniczny aneks inżynierski dla zespołów DevOps/Security, wykazując w jaki sposób wdrożenie bramy API Gateway, blokady AWS S3 Glacier Vault Lock i testów DAST eliminuje podatność BOLA/IDOR w cyklu CI/CD oraz chroni spółkę przed utratą licencji KIP (ROSI = 16011%).

Głównym celem zadania na ocenę bardzo dobrą (5.0) jest wykształcenie u studentów umiejętności opracowania strategicznego raportu poaudytowego dla Partnerów Zarządzających renomowanej kancelarii adwokacko-radcowskiej (ProKancelaria w Katowicach). Audyt koncentruje się na ochronie informacji o najwyższej klauzuli wrażliwości: bezwzględnej tajemnicy obrończej (z której żaden organ państwowy, w tym sąd czy prokurator, nie może zwolnić adwokata) oraz tajemnicy radcowskiej i tajemnicy przedsiębiorstwa klientów korporacyjnych w modelu pracy hybrydowej. W toku audytu ujawniono powszechne wynoszenie niezaszyfrowanych akt spraw w formie papierowej i na prywatnych pendrive'ach, brak centralnego szyfrowania dysków twardych laptopów mecenasów (brak BitLocker TPM), korzystanie z darmowych, publicznych dysków chmurowych (Google Drive, Dropbox) do wymiany pism procesowych oraz brak stosowania filtrów prywatyzujących podczas pracy w pociągach i kawiarniach. Zadanie wymaga: sformułowania kanonicznej Karty 4C ze wskazaniem odpowiedzialności dyscyplinarnej i karnej z art. 266 KK (ujawnienie tajemnicy zawodowej), wyliczenia ryzyka w 25-stopniowej matrycy 5x5 powiązanej z parametrami BCM (RTO=1h, RPO=15m, MTPD=4h), skonstruowania Trójfazowego Planu CAP z macierzą RACI, opracowania procedury wykonawczej (SOP) regulującej politykę czystego biurka/ekranu i kryptoizolacji akt oraz przygotowania briefingu zarządczego z kalkulacją ROSI.

Powiązanie z sylabusem i efektami kształcenia na ocenę 5.0:

• W1 Zaawansowana znajomość przepisów Ustawy - Prawo o adwokaturze (art. 19), Ustawy o radcach prawnych (art. 3), Kodeksu Postępowania Karnego (art. 178 KPK - bezwzględny zakaz dowodowy), art. 266 Kodeksu Karnego oraz przepisów RODO (art. 9 i 32).
• W2W3 Wyczerpująca synteza wymagań normy PN-EN ISO/IEC 27001:2022 (kontrole A.7.7 - Czyste biurko i czysty ekran, A.7.10, A.8.1, A.8.24 - Kryptografia), normy PN-EN ISO 19011:2018 oraz Kodeksu Etyki Adwokackiej.
• U1 Projekt inżynierski centralnie zarządzanego szyfrowania dysków BitLocker TPM ze składowaniem kluczy w Microsoft Entra ID / Intune, dedykowanej chmury prywatnej z szyfrowaniem end-to-end (kancelaria jako wyłączny dysponent kluczy HSM) oraz bezpiecznego obiegu e-akt.
• U2 Bezbłędna kwalifikacja uchybień w modelu 4C wykazująca ryzyko utraty prawa do wykonywania zawodu przez partnerów kancelarii.
• U3 Kwantyfikacja ryzyka w matrycy 5x5 dla wektorów kradzieży laptopa mecenasa, wycieku strategii procesowej i odpowiedzialności odszkodowawczej z parametrami BCM.
• U4 Opracowanie kompletnego raportu poaudytowego (12-16 stron A4) z Trójfazowym Planem CAP, procedurą SOP (§ 1 do § 6) oraz Executive Summary z wyliczeniem ROSI.
• K1K2K3 Wysoka kultura dialogu z prawnikami, umiejętność przełamywania oporu mecenasów przed rygorami IT i bezkompromisowa ochrona tajemnicy zawodowej.
• Powiązanie z wykładem: Wyk1 (Ład zarządczy w usługach profesjonalnych), Wyk2 (Zasady audytowania ISO 19011), Wyk3 (Kontrole kryptograficzne i fizyczne ISO 27001), Wyk4 (Tajemnica zawodowa a RODO i Kodeks Karny), Wyk5 (Matryca ryzyka 5x5 i BCM), Wyk6 (Weryfikacja urządzeń mobilnych i konfiguracji BitLocker), Wyk7 (Model 4C, 5 Why, Trójfazowy CAP i Pitch to Board).

ProKancelaria Adwokacka i Radcowska z siedzibą w Katowicach zatrudnia 45 prawników (adwokatów, radców prawnych, aplikantów) oraz 15 pracowników sekretariatu. Kancelaria specjalizuje się w obsłudze procesów karnych gospodarczych (White-Collar Crime), fuzjach i przejęciach spółek giełdowych (M&A) oraz sporach patentowych. Ze względu na specyfikę pracy procesowej, prawnicy spędzają ponad 50% czasu poza biurem (w sądach, prokuraturach, u klientów oraz podróżach służbowych), korzystając z laptopów i smartfonów w modelu hybrydowym.

Stan faktyczny stwierdzony w toku audytu poufności:

• Brak centralnego szyfrowania nośników mobilnych: Na 38 badanych laptopach służbowych szyfrowanie dysków funkcją BitLocker było aktywne zaledwie na 9 urządzeniach (gdzie prawnicy włączyli je samodzielnie). Pozostałe 29 komputerów pracowało z jawnym dostępem do dysku SSD, a 4 laptopy nie posiadały nawet hasła blokady ekranu.
• Wykorzystywanie konsumenckich chmur publicznych do wymiany akt: Prawnicy powszechnie przesyłają akta postępowań przygotowawczych, projekty aktów oskarżenia oraz wyciągi bankowe podejrzanych za pośrednictwem prywatnych kont Google Drive, Dropbox i WeTransfer bez szyfrowania plików przed wysyłką.
• Rażące naruszenia polityki czystego biurka i ekranu: W toku nocnego badania stacjonarnego na biurkach w siedzibie kancelarii ujawniono 14 teczek z oryginalnymi dokumentami procesowymi spraw karnych, a podczas audytu obserwacyjnego w pociągu Pendolino stwierdzono, że partner kancelarii analizował strategię obrony klienta bez filtra prywatyzującego na ekranie, w obecności przypadkowych współpasażerów.
• Stanowisko Partnerów: Prawnicy podnoszą: "Dla nas liczy się czas i skuteczność obrony klienta. Nie będziemy nosić ze sobą tokenów kryptograficznych ani tracić czasu na wielostopniowe logowanie w sądzie!".

Triada Audytorska ma za zadanie sporządzić strategiczny raport poaudytowy, który udowodni, że nowoczesne środki ochrony danych nie utrudniają pracy mecenasów, lecz chronią ich przed utratą immunitetu zawodowego.

Zadanie realizowane jest w ścisłym reżimie warsztatowym (formuła 90 minut) przez 2-3 osobową Triadę Audytorską:

• Krok 1 (Podział ról w Triadzie Audytorskiej i triage dowodowy - Minuty 00-15):

  Student A (Lead Auditor / Executive Reporter): Odpowiada za ład korporacyjny, analizę zbieżności Prawa o adwokaturze, art. 266 KK i RODO, relacje z Partnerami Zarządzającymi i Okręgową Radą Adwokacką oraz przygotowanie 1-stronicowego Executive Summary ("Pitch to Board") z kalkulacją ROSI.

  Student B (Technical SecOps Auditor / Architekt Bezpieczeństwa Urządzeń Mobilnych): Bada konfigurację dysków laptopów, brak BitLocker TPM, transfery przez konsumenckie chmury, projektuje centralne zarządzanie BitLocker za pośrednictwem Microsoft Intune, wdrożenie szyfrowanej chmury prywatnej Nextcloud z HSM oraz filtry polaryzacyjne 3M.

  Student C (Governance, Risk & Compliance Auditor): Opracowuje kanoniczną Kartę Niezgodności 4C, wylicza ryzyko w matrycy 5x5 powiązanej ze wskaźnikami BCM (RTO=1h, RPO=15m, MTPD=4h), prowadzi sekwencję 5 Why z Diagramem Ishikawy oraz konstruuje Trójfazowy Plan CAP z macierzą RACI i metrykami KPI/KRI. W zespole 2-osobowym zadania te dzielą Studenci A i B.

• Krok 2 (Kanoniczna Karta Niezgodności 4C - Minuty 15-40):

  Sformułujcie kartę uchybienia w modelu 4C:

• Krok 3 (Zaawansowana Matryca Ryzyka 5x5 i Parametry BCM - Minuty 15-40):

  Skwantyfikujcie 4 wektory zagrożeń w skali 25-stopniowej (P 1-5 x S 1-5):

• Krok 4 (Trójfazowy Plan Działań Korygujących - CAP - Minuty 40-70):

  Opracujcie tabelę CAP w 3 horyzontach czasowych:

• Krok 5 (Sformalizowany Projekt Załącznika Wykonawczego SOP - Minuty 40-70):

  Opracujcie projekt aktu normatywnego "Standard Operacyjny Ochrony Tajemnicy Adwokackiej i Radcowskiej, Pracy Hybrydowej oraz Polityki Czystego Biurka i Ekranu w ProKancelaria w Katowicach" z ponumerowanymi artykułami od § 1 do § 6:

  § 1. Cel, podstawa prawna i bezwzględny charakter tajemnicy obrończej (art. 178 KPK i art. 266 KK); § 2. Rygory techniczne urządzeń mobilnych (bezwzględny obowiązek BitLocker TPM i zakaz pracy na sprzęcie prywatnym BYOD); § 3. Zasady bezpiecznej pracy mobilnej i ochrony przed podglądaniem (Visual Hacking, filtry 3M); § 4. Zakaz stosowania konsumenckich chmur publicznych i procedury bezpiecznego transferu e-akt; § 5. Polityka czystego biurka, czystego ekranu i niszczenia brudnopisów; § 6. Odpowiedzialność dyscyplinarna przed samorządem zawodowym i sankcje służbowe.

• Krok 6 (Podsumowanie Zarządcze Executive Summary 'Pitch to Board' i przygotowanie obrony - Minuty 70-90):

  Zredagujcie 1-stronicowy briefing dla Partnerów Zarządzających: przedstawcie bilans ryzyka zaniechania (ryzyko utraty reputacji i odszkodowań od klientów M&A: 18 mln PLN vs koszt wdrożenia Intune, BitLocker i filtrów: 45 000 PLN, wskaźnik ROSI = 39900%), wykażcie, że bezpieczne procedury trwają sekundy, a ratują immunitet zawodowy i przygotujcie się do 15-minutowej obrony przed komisją.

Plan referatu seminaryjnego i obrony koncepcji (15 minut):

• Slajd 1-2 (Minuty 00-03): Wprowadzenie i metryka audytu kancelarii prawnej. Bezwzględny charakter tajemnicy obrończej wg art. 178 KPK i art. 266 KK (Student A).
• Slajd 3-4 (Minuty 03-07): Dekompozycja uchybień w modelu 4C oraz analiza 5 Why / Diagram Ishikawy dla pracy hybrydowej (Student C).
• Slajd 5-6 (Minuty 07-10): 25-stopniowa matryca ryzyka 5x5 (IR vs RR), parametry BCM dla terminów procesowych oraz inżynierski projekt BitLocker TPM, Intune i filtrów 3M (Student B).
• Slajd 7-8 (Minuty 10-13): Prezentacja Trójfazowego Planu CAP (0-7, 30, 90 dni) z rolami RACI, wskaźnikami KPI/KRI oraz struktury procedury SOP (Student C i B).
• Slajd 9-10 (Minuty 13-15): Executive Summary "Pitch to Board" dla Partnerów: kalkulacja ROSI, ochrona immunitetu adwokackiego i zamknięcie audytu (Student A).

Struktura zaawansowanego raportu poaudytowego i dokumentacji wdrożeniowej (12-16 stron A4):

A. Jednostronicowe Podsumowanie Zarządcze (Executive Summary - "Pitch to Board") dla Partnerów Zarządzających z kalkulacją ROSI.

B. Wprowadzenie formalne: metryka audytu, podstawa prawna (Prawo o adwokaturze, art. 266 KK, art. 178 KPK, RODO, ISO 27001), skład Triady Audytorskiej, wykaz urządzeń mobilnych.

C. Odpowiedzi na 3 pytania problemowe:

1. W jaki sposób audytor powinien sformułować argumentację dla mecenasów, aby wykazać, że brak szyfrowania BitLocker TPM na laptopie oznacza bezpośrednie naruszenie tajemnicy adwokackiej i art. 266 KK?

2. Jakie formalne i techniczne zagrożenia wiążą się z wykorzystywaniem konsumenckich chmur publicznych (Google Drive, Dropbox) do transferu akt postępowań przygotowawczych?

3. Dlaczego zjawisko 'Visual Hacking' w podróżach służbowych stanowi realne zagrożenie dla tajemnicy procesowej i w jaki sposób filtr polaryzacyjny eliminuje ten wektor ataku?

D. Kanoniczna Karta Ustaleń Audytowych w Modelu 4C (Condition, Criteria, Cause - sekwencja 5 Why i Diagram Ishikawy w 6 osiach, Consequence).

E. Tabela Zaawansowanej Analizy Ryzyka w Matrycy 5x5:

• Wektor 1: Kradzież niezaszyfrowanego laptopa z aktami afery gospodarczej | P=5, S=5 → IR=25 | Kontrole: BitLocker TPM XTS-256, Intune, zdalny wipe | P=1, S=4 → RR=4 | RTO=1h, RPO=15m, MTPD=4h
• Wektor 2: Przejęcie dokumentów procesowych z konsumenckiej chmury | P=4, S=5 → IR=20 | Kontrole: Blokada chmur, szyfrowana chmura własna | P=1, S=3 → RR=3 | RTO=2h, RPO=1h, MTPD=8h
• Wektor 3: Podglądnięcie akt na ekranie w pociągu (Visual Hacking) | P=5, S=4 → IR=20 | Kontrole: Filtry prywatyzujące 3M, szkolenie | P=1, S=2 → RR=2 | RTO=N/A, RPO=N/A, MTPD=1h
• Wektor 4: Postępowanie dyscyplinarne ORA i utrata uprawnień mecenasa | P=4, S=5 → IR=20 | Kontrole: Wdrożenie SOP, realizacja Planu CAP | P=1, S=2 → RR=2 | RTO=N/A, RPO=N/A, MTPD=48h

F. Tabela Trójfazowego Planu Działań Korygujących (CAP) z macierzą RACI, terminami (Faza 1: 0-7 dni, Faza 2: 30 dni, Faza 3: 90 dni) i wskaźnikami KPI oraz KRI.

G. Sformalizowany Projekt Załącznika Wykonawczego (SOP — 6 ponumerowanych paragrafów regulujących tajemnicę zawodową, pracę hybrydową i kryptoizolację).

H. Analiza kompromisów inżynierskich i zarządczych (Trade-offs: wygoda pracy mecenasów vs rygorystyczne procedury kryptograficzne, koszty licencji MDM vs unikanie wielomilionowych odszkodowań).

I. Bibliografia, netografia, wykaz orzecznictwa Wyższego Sądu Dyscyplinarnego Adwokatury i Sądu Najwyższego.

• Ustawa z dnia 26 maja 1982 r. - Prawo o adwokaturze (Dz.U. z 2022 r. poz. 1184 z późn. zm.) - art. 19 (Tajemnica adwokacka).
• Ustawa z dnia 6 lipca 1982 r. o radcach prawnych (Dz.U. z 2022 r. poz. 1166 z późn. zm.) - art. 3 (Tajemnica zawodowa).
• Ustawa z dnia 6 czerwca 1997 r. - Kodeks Postępowania Karnego (Dz.U. z 2024 r. poz. 37 z późn. zm.) - art. 178 i 180 (Zakazy dowodowe i tajemnica zawodowa).
• Ustawa z dnia 6 czerwca 1997 r. - Kodeks Karny (Dz.U. z 2024 r. poz. 17 z późn. zm.) - art. 266 (Ujawnienie tajemnicy zawodowej).
• Norma PN-EN ISO/IEC 27001:2022: Systemy zarządzania bezpieczeństwem informacji - Wymagania: kontrole A.7.7, A.7.10, A.8.1, A.8.24.
• Norma PN-EN ISO 19011:2018: Wytyczne dotyczące audytowania systemów zarządzania - punkt 6.5 (Raport z audytu).
• Naczelna Rada Adwokacka: "Zbiór Zasad Etyki Adwokackiej i Godności Zawodu (Kodeks Etyki Adwokackiej)", Warszawa 2021.

• Wiedza W1: Zaawansowana znajomość Prawa o adwokaturze, KPK, art. 266 KK, RODO i Kodeksu Etyki Adwokackiej.
• Wiedza W2, W3: Rozumienie relacji normy ISO 27001 w obszarze kryptografii i pracy mobilnej oraz specyfiki immunitetu zawodowego.
• Umiejętności U1: Projekt inżynierski centralnego szyfrowania BitLocker TPM, platformy MDM oraz bezpiecznej chmury e-akt z HSM.
• Umiejętności U2: Dekompozycja uchybień w modelu 4C i wykazanie ryzyka dyscyplinarnego i karnego.
• Umiejętności U3: Kwantyfikacja ryzyka w matrycy 5x5 i powiązanie z parametrami BCM dla terminów procesowych (RTO=1h, RPO=15m, MTPD=4h).
• Umiejętności U4: Opracowanie kompletnego raportu (12-16 stron A4) z Planem CAP, procedurą SOP i Pitch to Board z wyliczeniem ROSI.
• Kompetencje K1, K2, K3: Wysoka kultura dialogu ze środowiskiem prawniczym, asertywność audytorska i bezkompromisowa ochrona tajemnicy obrończej.

W trakcie obrony referatu wyjaśnijcie specyfikę audytu w środowisku prawniczym: pokażcie, jak w sposób wyważony przekonać adwokatów i radców prawnych, że rygorystyczne procedury kryptograficzne (BitLocker TPM, centralne MDM, szyfrowana chmura prywatna) i polityka czystego biurka/ekranu stanowią gwarancję nienaruszalności tajemnicy zawodowej (art. 178 KPK i art. 266 KK) i chronią kancelarię przed utratą reputacji i immunitetu (ROSI = 39900%).

Głównym celem zadania na ocenę bardzo dobrą (5.0) jest opanowanie przez studentów zaawansowanych, rzadkich kompetencji audytorskich związanych z realizacją i sformalizowanym raportowaniem audytu weryfikacyjnego (Follow-up Audit / Audyt Sprawdzający) zgodnie z wytycznymi normy PN-EN ISO 19011:2018 (punkt 6.7 - Działania poaudytowe) oraz normy PN-EN ISO/IEC 27001:2022 (klauzula 10.2). Studenci wcielają się w zespół audytorów powracających po 6 miesiącach do Zakładu Komunikacji Miejskiej w Bydgoszczy w celu zbadania stanu wdrożenia 8 zaleceń poaudytowych wydanych w audycie certyfikującym systemów pokładowych IoT (komputery pokładowe, biletomaty mobilne, kasowniki, monitoring wizyjny CCTV w 240 tramwajach i autobusach). W toku badania weryfikacyjnego wykazano pomyślną realizację 7 zaleceń, jednak przy weryfikacji zalecenia nr 4 (zarządzanie hasłami urządzeń IoT) ujawniono rażącą recydywę: w 195 pojazdach w biletomatach mobilnych nadal funkcjonowało domyślne hasło fabryczne `admin123`, a hasła do kamer CCTV nie zostały zmienione. Zadanie wymaga: sporządzenia kanonicznej Karty 4C, wyliczenia ryzyka rezydualnego w 25-stopniowej matrycy 5x5 powiązanej ze wskaźnikami BCM (RTO=1h, RPO=30m, MTPD=6h), skonstruowania dyscyplinującego Trójfazowego Planu CAP z natychmiastowym 30-dniowym rygorem, opracowania sformalizowanej procedury wykonawczej (SOP) audytu sprawdzającego i automatycznej rotacji poświadczeń IoT, sporządzenia Warunkowego Protokołu Zamknięcia Audytu (Conditional Audit Closure Protocol) oraz zredagowania briefingu zarządczego dla Prezydenta Miasta i Rady Nadzorczej z kalkulacją ROSI.

Powiązanie z sylabusem i efektami kształcenia na ocenę 5.0:

• W1 Zaawansowana znajomość Ustawy o publicznym transporcie zbiorowym, przepisów RODO (monitoring CCTV w pojazdach - art. 5 i 6 RODO, wytyczne EROD 3/2019), przepisów o finansach publicznych oraz standardu PCI DSS v4.0 dla transakcji zbliżeniowych w biletomatach.
• W2W3 Rygorystyczna synteza wymagań normy PN-EN ISO 19011:2018 (punkt 6.6 - Zakończenie audytu oraz punkt 6.7 - Działania poaudytowe i weryfikacja skuteczności CAP), normy PN-EN ISO/IEC 27001:2022 (klauzula 10.2 - Niezgodności i działania korygujące) oraz zaleceń NIST SP 800-53 dla systemów cyberfizycznych.
• U1 Projekt inżynierski zautomatyzowanego systemu zarządzania tożsamością maszynową IoT (M2M) z centralną rotacją haseł i certyfikatów 802.1X przez serwer SCEP/NDES w zajezdniach tramwajowych i autobusowych.
• U2 Bezbłędna kwalifikacja uchybień w modelu 4C i odmowa bezwarunkowego zamknięcia audytu w obliczu powtarzającej się niezgodności krytycznej.
• U3 Kwantyfikacja ryzyka rezydualnego w matrycy 5x5 dla wektorów przejęcia biletomatów, sabotażu telemetrii i kradzieży nagrań monitoringu z parametrami BCM.
• U4 Opracowanie kompletnego raportu poaudytowego Follow-up (12-16 stron A4) z Warunkowym Protokołem Zamknięcia Audytu, Trójfazowym Planem CAP, procedurą SOP (§ 1 do § 6) oraz Executive Summary dla Prezydenta Miasta.
• K1K2K3 Asertywność i nieustępliwość audytorska, odporność na presję 'odhaczenia zaleceń', wysoka etyka i rzetelność w ocenie dowodów weryfikacyjnych.
• Powiązanie z wykładem: Wyk1 (Ład zarządczy w transporcie publicznym), Wyk2 (Procedura Follow-up wg ISO 19011 pkt 6.7), Wyk3 (Kontrole A.8 ISO 27001), Wyk4 (RODO i CCTV w transporcie miejskim), Wyk5 (Matryca ryzyka 5x5 i BCM), Wyk6 (Analiza urządzeń pokładowych IoT i weryfikacja próby kontrolnej), Wyk7 (Model 4C, 5 Why, Warunkowy Protokół Zamknięcia i Pitch to Board).

Zakład Komunikacji Miejskiej w Bydgoszczy (ZKM) eksploatuje 240 pojazdów (180 autobusów i 60 składów tramwajowych), przewożąc rocznie 75 milionów pasażerów. Wszystkie pojazdy wyposażone są w zintegrowany system telematyki pokładowej: komputer pokładowy sterujący trasą, biletomaty mobilne przyjmujące płatności kartami zbliżeniowymi (EMV/PCI DSS), kasowniki elektroniczne, system zliczania potoków pasażerskich oraz 4-8 kamer monitoringu wizyjnego CCTV wysokiej rozdzielczości w każdym pojeździe.

Stan faktyczny w toku audytu weryfikacyjnego (Follow-up Audit po 6 miesiącach):

• Sukces wdrożenia 7 zaleceń: ZKM z powodzeniem wdrożył separację sieci Wi-Fi w zajezdniach, wprowadził szyfrowanie dysków rejestratorów CCTV, wdrożył procedury DPIA dla kamer oraz zaktualizował dokumentację SZBI.
• Rażąca recydywa w zaleceniu nr 4 (Hasła urządzeń pokładowych IoT): W audycie wstępnym zalecono natychmiastową rotację haseł fabrycznych we wszystkich urządzeniach pokładowych. Podczas audytu sprawdzającego, w toku inspekcji losowej próby 30 pojazdów w zajezdni tramwajowej i autobusowej, audytorzy stwierdzili, że w 26 z nich w biletomatach mobilnych nadal funkcjonuje domyślne hasło serwisowe `admin123`, a interfejs konfiguracyjny dostępny jest przez sieć Wi-Fi pojazdu bez żadnego szyfrowania. Kierownik Działu Utrzymania Ruchu tłumaczył: "Serwisanci nie mieli czasu, bo wymienialiśmy silniki przed zimą, a zmiana haseł na 240 biletomatach wymaga podłączenia kabla do każdego z nich osobno!".
• Zagrożenie: Pozostawienie domyślnych haseł umożliwia każdemu pasażerowi posiadającemu smartfon podłączenie się do biletomatu i wstrzyknięcie złośliwego oprogramowania skanującego pamięć terminala płatniczego (atak typu RAM Scraper) lub wyłączenie sprzedaży biletów.

Triada Audytorska staje przed zadaniem sporządzenia bezkompromisowego raportu Follow-up, odmowy wystawienia bezwarunkowego certyfikatu i sformułowania Warunkowego Protokołu Zamknięcia Audytu z dyscyplinującym terminem naprawczym 30 dni.

Zadanie realizowane jest w ścisłym reżimie warsztatowym (formuła 90 minut) przez 2-3 osobową Triadę Audytorską:

• Krok 1 (Podział ról w Triadzie Audytorskiej i triage dowodowy - Minuty 00-15):

  Student A (Lead Auditor / Executive Reporter): Odpowiada za procedurę Follow-up wg punktu 6.7 ISO 19011, odmowę zamknięcia audytu, relacje z Prezydentem Miasta, Radą Nadzorczą i mediami oraz przygotowanie Executive Summary ("Pitch to Board") z kalkulacją ROSI.

  Student B (Technical SecOps Auditor / Architekt Bezpieczeństwa IoT): Dekonstruuje luki biletomatów pokładowych, podatności protokołu Wi-Fi, brak centralnego zarządzania konfiguracją, projektuje architekturę automatycznego provisioningowania poświadczeń M2M przez protokół SCEP/NDES w czasie nocnego zjazdu do zajezdni.

  Student C (Governance, Risk & Compliance Auditor): Opracowuje kanoniczną Kartę Niezgodności 4C, bilans realizacji 8 zaleceń, wylicza ryzyko rezydualne w matrycy 5x5 powiązanej z parametrami BCM (RTO=1h, RPO=30m, MTPD=6h), prowadzi analizę 5 Why z Diagramem Ishikawy oraz konstruuje Warunkowy Protokół Zamknięcia Audytu z 30-dniowym Planem CAP. W zespole 2-osobowym zadania te dzielą Studenci A i B.

• Krok 2 (Kanoniczna Karta Niezgodności 4C i Tabela 8 Zaleceń - Minuty 15-40):

  Sformułujcie kartę uchybienia w modelu 4C oraz tabelę statusu zaleceń Follow-up:

• Krok 3 (Zaawansowana Matryca Ryzyka 5x5 i Parametry BCM - Minuty 15-40):

  Skwantyfikujcie 4 wektory zagrożeń w skali 25-stopniowej (P 1-5 x S 1-5):

• Krok 4 (Trójfazowy Plan Działań Korygujących - CAP w rygorze 30-dniowym - Minuty 40-70):

  Opracujcie tabelę CAP w 3 horyzontach czasowych (ze szczególnym uwzględnieniem natychmiastowego rygoru 30 dni):

• Krok 5 (Sformalizowany Projekt Załącznika Wykonawczego SOP i Warunkowy Protokół - Minuty 40-70):

  Opracujcie projekt aktu normatywnego "Standard Operacyjny Audytu Sprawdzającego (Follow-up), Cyklu Życia Haseł i Certyfikatów Urządzeń Pokładowych IoT w Zakładzie Komunikacji Miejskiej w Bydgoszczy" z ponumerowanymi artykułami od § 1 do § 6:

  § 1. Cel i zakres procedury audytu weryfikacyjnego wg ISO 19011 pkt 6.7; § 2. Rygorystyczny zakaz stosowania domyślnych haseł producenta i procedury rotacji poświadczeń M2M; § 3. Standardy bezpiecznej łączności bezprzewodowej w zajezdniach (802.1X, IPsec); § 4. Procedura natychmiastowego wycofania pojazdu z ruchu w przypadku kompromitacji biletomatu; § 5. Warunki formalnego i warunkowego zamknięcia audytu oraz tryb wznowienia badania; § 6. Odpowiedzialność służbowa, sankcje dyscyplinarne i raportowanie do Prezydenta Miasta.

• Krok 6 (Podsumowanie Zarządcze Executive Summary 'Pitch to Board' i przygotowanie obrony - Minuty 70-90):

  Zredagujcie 1-stronicowy briefing dla Prezydenta Miasta i Rady Nadzorczej ZKM: przedstawcie bilans audytu Follow-up (wykonanie 7 zaleceń, wstrzymanie certyfikacji z powodu biletomatów), wykażcie ekspozycję na ryzyko (ryzyko kar KNF i utraty przychodów: 6,8 mln PLN vs koszt akcji serwisowej i systemu 802.1X: 60 000 PLN, wskaźnik ROSI = 11233%), uzasadnijcie podpisanie Warunkowego Protokołu Zamknięcia z rygorem 30 dni i przygotujcie się do 15-minutowej obrony przed komisją.

Plan referatu seminaryjnego i obrony koncepcji (15 minut):

• Slajd 1-2 (Minuty 00-03): Wprowadzenie i metryka audytu weryfikacyjnego (Follow-up). Podsumowanie realizacji 8 zaleceń poaudytowych (Student A).
• Slajd 3-4 (Minuty 03-07): Dekompozycja uchybienia recydywy haseł IoT w modelu 4C i dochodzenie 5 Why / Diagram Ishikawy (Student C).
• Slajd 5-6 (Minuty 07-10): 25-stopniowa matryca ryzyka rezydualnego 5x5 (IR vs RR), parametry BCM dla taboru miejskiego oraz inżynierski projekt 802.1X i zarządzania OTA (Student B).
• Slajd 7-8 (Minuty 10-13): Prezentacja Trójfazowego Planu CAP (0-7, 30, 90 dni) z macierzą RACI, wskaźnikami KPI/KRI oraz struktury procedury SOP (Student C i B).
• Slajd 9-10 (Minuty 13-15): Executive Summary "Pitch to Board" dla Prezydenta Miasta: Warunkowy Protokół Zamknięcia Audytu, kalkulacja ROSI i zamknięcie audytu (Student A).

Struktura zaawansowanego raportu poaudytowego i dokumentacji wdrożeniowej (12-16 stron A4):

A. Jednostronicowe Podsumowanie Zarządcze (Executive Summary - "Pitch to Board") dla Prezydenta Miasta i Rady Nadzorczej ZKM z wyliczeniem ROSI.

B. Wprowadzenie formalne: metryka audytu Follow-up, podstawa prawna (ISO 19011 pkt 6.7, ISO 27001 klauzula 10.2, PCI DSS 4.0), skład Triady Audytorskiej, wykaz badanego taboru.

C. Tabela Weryfikacji Realizacji 8 Zaleceń Poaudytowych (stan wdrożenia, dowody z inspekcji, ocena skuteczności).

D. Odpowiedzi na 3 pytania problemowe:

1. W jakich okolicznościach audytor wiodący ma obowiązek odmówić bezwarunkowego zamknięcia audytu weryfikacyjnego (Follow-up) i zastosować formułę Warunkowego Protokołu Zamknięcia?

2. Jakie konkretne wymagania techniczne stawia norma ISO/IEC 27001:2022 oraz standard PCI DSS v4.0 przed zarządzaniem hasłami i tożsamościami maszynowymi w urządzeniach pokładowych IoT?

3. W jaki sposób zorganizować architekturę automatycznej dystrybucji certyfikatów i kluczy (M2M) w zajezdniach komunikacji miejskiej, aby wyeliminować manualną konfigurację urządzeń?

E. Kanoniczna Karta Ustaleń Audytowych w Modelu 4C (Condition, Criteria, Cause - sekwencja 5 Why i Diagram Ishikawy w 6 osiach, Consequence).

F. Tabela Zaawansowanej Analizy Ryzyka w Matrycy 5x5:

• Wektor 1: Przejęcie biletomatów przez hasła fabryczne i kradzież danych kart | P=5, S=5 → IR=25 | Kontrole: Zmiana haseł w 5 dni, 802.1X, IPsec | P=1, S=5 → RR=5 | RTO=1h, RPO=30m, MTPD=6h
• Wektor 2: Sabotaż i wyłączenie sprzedaży biletów w całym mieście | P=4, S=4 → IR=16 | Kontrole: Wyłączenie Wi-Fi, monitoring telemetryczny | P=1, S=3 → RR=3 | RTO=30m, RPO=15m, MTPD=2h
• Wektor 3: Wyciek i publikacja nagrań z monitoringu CCTV w pojazdach | P=4, S=4 → IR=16 | Kontrole: Szyfrowanie dysków CCTV, nowe hasła | P=1, S=2 → RR=2 | RTO=2h, RPO=1h, MTPD=12h
• Wektor 4: Kary finansowe i utrata kontraktu na płatności bezgotówkowe | P=5, S=4 → IR=20 | Kontrole: Realizacja CAP w 30 dni, certyfikacja | P=1, S=2 → RR=2 | RTO=N/A, RPO=N/A, MTPD=24h

G. Tabela Trójfazowego Planu Działań Korygujących (CAP w rygorze 30-dniowym) z macierzą RACI, terminami (Faza 1: 0-7 dni, Faza 2: 30 dni, Faza 3: 90 dni) i wskaźnikami KPI oraz KRI.

H. Sformalizowany Projekt Załącznika Wykonawczego (SOP — 6 ponumerowanych paragrafów regulujących procedurę audytu Follow-up i rotacji poświadczeń IoT).

I. Warunkowy Protokół Zamknięcia Audytu (Conditional Audit Closure Protocol) z wyznaczeniem ostatecznego 30-dniowego terminu weryfikacji.

J. Analiza kompromisów inżynierskich i zarządczych (Trade-offs: ręczna akcja serwisowa vs koszty wdrożenia modułów OTA, presja na eksploatację taboru vs rygor bezpieczeństwa telematyki).

K. Bibliografia, netografia, wykaz wytycznych EROD i decyzji Prezesa UODO w sprawach transportu miejskiego.

• Norma PN-EN ISO 19011:2018: Wytyczne dotyczące audytowania systemów zarządzania - punkt 6.6 (Zakończenie audytu) oraz punkt 6.7 (Działania poaudytowe).
• Norma PN-EN ISO/IEC 27001:2022: Systemy zarządzania bezpieczeństwem informacji - Wymagania: klauzula 10.2 (Działania korygujące) oraz Załącznik A.
• Standard Bezpieczeństwa Danych Branży Kart Płatniczych: PCI DSS v4.0, PCI Security Standards Council 2022 - wymagania 2.1 i 8.2.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 5, 6, 32.
• Europejska Rada Ochrony Danych (EROD): Wytyczne 3/2019 w sprawie przetwarzania danych osobowych za pomocą urządzeń wideo, Bruksela 2020.
• Narodowy Instytut Standardów i Technologii (NIST): Special Publication 800-53 Rev. 5: "Security and Privacy Controls for Information Systems and Organizations", 2020.
• Ustawa z dnia 16 grudnia 2010 r. o publicznym transporcie zbiorowym (Dz.U. z 2023 r. poz. 2778 z późn. zm.).

• Wiedza W1: Zaawansowana znajomość metodyki audytu weryfikacyjnego ISO 19011 pkt 6.7, PCI DSS 4.0, RODO i transportu zbiorowego.
• Wiedza W2, W3: Rozumienie relacji normy ISO 27001 klauzula 10.2 w procedurach poaudytowych oraz zarządzania tożsamością maszynową IoT.
• Umiejętności U1: Projekt inżynierski automatycznej autoryzacji urządzeń pokładowych 802.1X/SCEP oraz tuneli IPsec dla telemetrii miejskiej.
• Umiejętności U2: Dekompozycja uchybień w modelu 4C i sporządzenie Warunkowego Protokołu Zamknięcia Audytu.
• Umiejętności U3: Kwantyfikacja ryzyka rezydualnego w matrycy 5x5 i powiązanie z parametrami BCM dla taboru miejskiego (RTO=1h, RPO=30m, MTPD=6h).
• Umiejętności U4: Opracowanie kompletnego raportu Follow-up (12-16 stron A4) z dyscyplinującym Planem CAP, SOP i kalkulacją ROSI.
• Kompetencje K1, K2, K3: Asertywność i nieustępliwość audytorska, wysoka kultura zawodowa i odporność na naciski polityczno-organizacyjne.

W trakcie wystąpienia seminaryjnego przedstawcie ideę Warunkowego Protokołu Zamknięcia Audytu (Conditional Audit Closure Protocol): objaśnijcie słuchaczom, dlaczego audytor weryfikujący realizację zaleceń (Follow-up wg ISO 19011 pkt 6.7) nie może uznać audytu za zakończony w obliczu recydywy zaniechania haseł fabrycznych w biletomatach oraz jak za pomocą twardych dowodów z matrycy ryzyka 5x5 i wskaźnika ROSI (11233%) wyznaczyć dyscyplinujący, krótki termin naprawczy (30 dni) przed Prezydentem Miasta i Radą Nadzorczą.