Jak przygotować JST do audytu cyberbezpieczeństwa pod KSC 2.0?

Aby przygotować JST do audytu cyberbezpieczeństwa pod KSC 2.0, należy przeprowadzić pełną inwentaryzację infrastruktury IT, wdrożyć wymagane polityki bezpieczeństwa, zidentyfikować sprzęt bez aktywnego wsparcia producenta oraz udokumentować procesy zarządzania ryzykiem. Obowiązek ten dotyczy jednostek samorządu terytorialnego sklasyfikowanych jako podmioty kluczowe lub ważne w rozumieniu znowelizowanej ustawy o krajowym systemie cyberbezpieczeństwa. Poniżej znajdziesz odpowiedzi na najważniejsze pytania, które pojawiają się w trakcie przygotowań.

Jakie wymagania KSC 2.0 dotyczą bezpośrednio JST?

KSC 2.0 nakłada na jednostki samorządu terytorialnego obowiązek wdrożenia systemu zarządzania bezpieczeństwem informacji, przeprowadzania regularnych audytów cyberbezpieczeństwa oraz raportowania incydentów do właściwych organów. JST sklasyfikowane jako podmioty kluczowe lub ważne muszą spełniać wymagania zbliżone do tych wynikających z dyrektywy NIS2, przetransponowanej do polskiego prawa.

W praktyce oznacza to konkretne zobowiązania organizacyjne i techniczne:

• Wdrożenie i utrzymanie systemu zarządzania bezpieczeństwem informacji (SZBI) opartego na analizie ryzyka
• Regularne audyty cyberbezpieczeństwa przeprowadzane przez uprawnione podmioty
• Obowiązek zgłaszania poważnych incydentów do CSIRT NASK lub właściwego CSIRT sektorowego w określonych terminach
• Wdrożenie środków technicznych i organizacyjnych adekwatnych do zidentyfikowanego ryzyka
• Zarządzanie łańcuchem dostaw, w tym weryfikacja dostawców usług i sprzętu IT
• Szkolenia personelu odpowiedzialnego za bezpieczeństwo systemów informacyjnych

Kluczową zmianą w stosunku do poprzedniej wersji ustawy jest rozszerzenie katalogu podmiotów objętych regulacją oraz zaostrzenie wymogów dotyczących dokumentowania procesów i odpowiedzialności zarządu za zgodność z przepisami. Kierownictwo JST odpowiada za wdrożenie wymagań i nie może tej odpowiedzialności delegować wyłącznie na dział IT.

Co obejmuje audyt cyberbezpieczeństwa w jednostce samorządu terytorialnego?

Audyt cyberbezpieczeństwa w JST obejmuje weryfikację stanu technicznego infrastruktury IT, ocenę wdrożonych polityk i procedur bezpieczeństwa, analizę ryzyka, sprawdzenie zgodności z wymaganiami KSC 2.0 oraz identyfikację luk wymagających natychmiastowego działania. Wynik audytu przyjmuje formę raportu z rekomendacjami i planem naprawczym.

Audyt składa się z kilku wzajemnie powiązanych obszarów:

Obszar techniczny

Audytorzy analizują rzeczywisty stan infrastruktury: serwery, macierze dyskowe, urządzenia sieciowe, systemy kopii zapasowych oraz oprogramowanie. Sprawdzają aktualność oprogramowania, konfigurację zabezpieczeń, segmentację sieci i dostępność łatek bezpieczeństwa. Weryfikują również, czy sprzęt posiada aktywne wsparcie producenta lub alternatywne zabezpieczenie serwisowe.

Obszar organizacyjny i dokumentacyjny

Ten obszar obejmuje ocenę polityk bezpieczeństwa, procedur reagowania na incydenty, zarządzania dostępami oraz szkoleń pracowników. Audytorzy sprawdzają, czy dokumentacja jest aktualna, spójna z rzeczywistością i dostępna dla właściwych osób. Oceniają też procesy zarządzania zmianą i ciągłości działania.

Jak przeprowadzić inwentaryzację infrastruktury IT przed audytem?

Inwentaryzacja infrastruktury IT przed audytem KSC 2.0 powinna obejmować kompletny rejestr wszystkich aktywów: sprzętu fizycznego, oprogramowania, usług chmurowych i połączeń sieciowych, wraz z informacją o wersji, lokalizacji, właścicielu i statusie wsparcia producenta. Bez rzetelnej inwentaryzacji audyt nie może być przeprowadzony skutecznie.

Praktyczny proces inwentaryzacji warto podzielić na etapy:

1. Identyfikacja aktywów fizycznych: Spisanie wszystkich serwerów, urządzeń sieciowych, stacji roboczych, macierzy i urządzeń peryferyjnych wraz z numerami seryjnymi i lokalizacją.
2. Weryfikacja oprogramowania: Zestawienie systemów operacyjnych, aplikacji biznesowych, baz danych i narzędzi bezpieczeństwa z informacją o wersjach i licencjach.
3. Mapowanie połączeń: Udokumentowanie topologii sieci, przepływów danych i punktów styku z zewnętrznymi dostawcami oraz sieciami publicznymi.
4. Ocena statusu wsparcia: Dla każdego elementu infrastruktury określenie, czy producent zapewnia aktywne wsparcie, czy sprzęt lub oprogramowanie osiągnęło status End of Life lub End of Support.
5. Przypisanie właścicieli: Każdy zasób powinien mieć przypisaną osobę odpowiedzialną za jego bezpieczeństwo i aktualizację.

Wynik inwentaryzacji powinien być przechowywany w centralnym rejestrze aktywów, regularnie aktualizowanym i dostępnym dla audytorów. Narzędzia do automatycznego skanowania sieci znacząco przyspieszają ten proces i redukują ryzyko pominięcia zasobów.

Jakie dokumenty i polityki bezpieczeństwa musi mieć JST przed audytem?

Przed audytem cyberbezpieczeństwa JST musi posiadać zatwierdzoną politykę bezpieczeństwa informacji, procedurę zarządzania incydentami, politykę zarządzania dostępami, plan ciągłości działania oraz dokumentację analizy ryzyka. Brak tych dokumentów lub ich nieaktualność to najczęstsze przyczyny niezgodności wykrywanych podczas audytów.

Minimalny zestaw dokumentacji wymaganej przez KSC 2.0 obejmuje:

• Polityka bezpieczeństwa informacji zatwierdzona przez kierownictwo JST, opisująca cele, zakres i odpowiedzialności
• Rejestr ryzyk z aktualną analizą zagrożeń i przyjętymi środkami kontroli
• Procedura zarządzania incydentami określająca sposób wykrywania, klasyfikowania i zgłaszania incydentów
• Polityka zarządzania dostępami regulująca zasady przyznawania, modyfikowania i odbierania uprawnień
• Plan ciągłości działania i odtwarzania po awarii (BCP/DRP) z udokumentowanymi testami
• Polityka zarządzania poprawkami określająca częstotliwość i sposób aktualizacji oprogramowania
• Dokumentacja szkoleń potwierdzająca, że pracownicy zostali przeszkoleni w zakresie bezpieczeństwa

Dokumenty muszą być nie tylko formalnie zatwierdzone, ale faktycznie stosowane. Audytorzy weryfikują spójność dokumentacji z rzeczywistymi procesami poprzez wywiady z pracownikami i analizę logów systemowych. Polityki pisane wyłącznie na potrzeby audytu, bez odzwierciedlenia w codziennej praktyce, są łatwe do zidentyfikowania i stanowią poważną niezgodność.

Czy sprzęt IT po upływie wsparcia producenta stanowi ryzyko w audycie KSC 2.0?

Tak, sprzęt i oprogramowanie po upływie wsparcia producenta (End of Life / End of Support) stanowią istotne ryzyko w audycie KSC 2.0, ponieważ brak aktualizacji zabezpieczeń oznacza nieusuwalne podatności. Audytorzy identyfikują takie zasoby jako luki w zarządzaniu ryzykiem i oczekują udokumentowanego planu działania.

Ryzyko wynika z kilku nakładających się czynników. Po pierwsze, producent nie wydaje już łatek bezpieczeństwa, co oznacza, że nowo odkryte podatności pozostają trwale otwarte. Po drugie, brak wsparcia technicznego wydłuża czas reakcji na awarie, co bezpośrednio wpływa na ciągłość działania. Po trzecie, eksploatacja sprzętu bez aktywnego serwisu może naruszać wymagania KSC 2.0 dotyczące zarządzania ryzykiem w łańcuchu dostaw.

JST mają do wyboru kilka podejść do tego problemu:

• Wymiana sprzętu na nowy, objęty aktywnym wsparciem producenta
• Third-party maintenance (TPM), czyli utrzymanie infrastruktury przez niezależnego dostawcę serwisowego, który zapewnia ciągłość operacyjną sprzętu po EOL bez konieczności natychmiastowej wymiany
• Segmentacja i izolacja systemów po EOL od krytycznych zasobów sieciowych jako środek tymczasowy
• Udokumentowany plan migracji z określonymi terminami wymiany, akceptowany przez audytorów jako świadome zarządzanie ryzykiem

Kluczowe jest, aby JST nie ignorowała tego obszaru. Audytorzy akceptują sprzęt po EOL, jeśli istnieje udokumentowane, realistyczne podejście do redukcji ryzyka. Brak jakiegokolwiek planu jest traktowany jako brak kontroli nad infrastrukturą. Więcej o podejściu do utrzymania infrastruktury IT w modelu zgodnym z wymaganiami regulacyjnymi można znaleźć w opisie naszych usług.

Kiedy JST powinna zlecić zewnętrzny audyt cyberbezpieczeństwa?

JST powinna zlecić zewnętrzny audyt cyberbezpieczeństwa przed złożeniem pierwszego sprawozdania wymaganego przez KSC 2.0, po każdym poważnym incydencie bezpieczeństwa, przy istotnych zmianach w infrastrukturze IT oraz cyklicznie zgodnie z wymaganiami ustawy. Zewnętrzny audyt daje obiektywną ocenę, której nie zastąpi wewnętrzna weryfikacja.

Ustawa o krajowym systemie cyberbezpieczeństwa nakłada obowiązek przeprowadzania audytów przez uprawnione podmioty w określonych interwałach. Niezależnie od wymogów formalnych, zewnętrzny audyt jest szczególnie wartościowy w kilku sytuacjach:

• Przed pierwszym zgłoszeniem do rejestru podmiotów kluczowych lub ważnych, aby zidentyfikować luki, zanim zrobi to organ nadzorczy
• Po wdrożeniu nowych systemów lub migracji infrastruktury, gdy zmienia się profil ryzyka
• Po incydencie bezpieczeństwa, aby ocenić skuteczność wdrożonych środków i zapobiec powtórzeniu
• Gdy wewnętrzny zespół IT nie posiada kompetencji z zakresu bezpieczeństwa informacji wymaganych przez KSC 2.0

Zewnętrzny audytor wnosi perspektywę niezależną od wewnętrznych uwarunkowań organizacyjnych i zna aktualne wymagania regulacyjne. Warto jednak pamiętać, że audyt to punkt wyjścia, nie cel sam w sobie. Wartość audytu realizuje się przez wdrożenie rekomendacji i utrzymanie ciągłości procesów bezpieczeństwa między kolejnymi audytami. Informacje o tym, kim jesteśmy i jak pracujemy, pomogą ocenić, czy nasze podejście odpowiada potrzebom Twojej organizacji.

Jak 4hfix wspiera JST w przygotowaniu do audytu KSC 2.0

Przygotowanie JST do audytu cyberbezpieczeństwa wymaga kontroli nad całym cyklem życia infrastruktury IT, od inwentaryzacji przez utrzymanie po planowane wyjście z inwestycji. W 4hfix realizujemy ten model w sposób zintegrowany, redukując ryzyko regulacyjne i operacyjne w środowisku KSC 2.0.

Konkretnie oznacza to:

• Inwentaryzacja i audyt infrastruktury IT z oceną statusu wsparcia każdego elementu, identyfikacją sprzętu po EOL i rekomendacjami zgodności z KSC 2.0
• Utrzymanie ciągłości infrastruktury w modelu third-party maintenance, zapewniające przewidywalność serwisową dla sprzętu serwerowego, macierzy i urządzeń sieciowych niezależnie od cyklu wsparcia producenta
• Kontrolowane zarządzanie cyklem życia sprzętu, w tym program odzysku wartości po wymianie infrastruktury, który redukuje koszt przejścia na nowe systemy
• Dostępność serwisowa 365 dni w roku z gwarantowanymi poziomami SLA, co bezpośrednio wspiera wymagania KSC 2.0 dotyczące ciągłości działania
• Certyfikat ISO 9001:2015 potwierdzający jakość procesów, istotny przy weryfikacji łańcucha dostaw przez audytorów

Jeśli Twoja JST stoi przed pierwszym audytem KSC 2.0 lub chcesz ocenić gotowość infrastruktury IT, zanim zrobi to audytor, skontaktuj się z nami i omówimy, jak możemy wesprzeć Twoją organizację w budowaniu kontrolowanego, zgodnego środowiska IT.