i-SZBI — prowadźcie SZBI sami, w jednym portalu

Mocne strony

1. Sami albo z firmą, którą wybierzecie. Koordynatorem może być Wasz pracownik — kreator startowy i podpowiedź przy każdym polu mówią, co wpisać i dlaczego. Możecie też powierzyć prowadzenie SZBI firmie informatycznej albo inspektorowi ochrony danych.
2. Wszystkie obowiązki w jednym miejscu. SZBI, ustawa o KSC, KRI i RODO: rejestry, analiza ryzyka, incydenty, szkolenia, kopie zapasowe, audyt i dokumenty w jednym portalu, a nie w segregatorze i dziesięciu plikach.
3. Tylko to, co Was dotyczy. Portal ustala status jednostki według ustawy i dopasowuje do niego menu: szkoła widzi 18 działań Załącznika nr 4, starostwo — pełny katalog z art. 8 ust. 1. Bez wymogów przewidzianych dla dużych firm.
4. Portal pilnuje terminów. Zegary zgłoszeń incydentów do CSIRT i UODO, przypomnienia o przeglądach, szkoleniach i testach kopii. Alert mówi, co trzeba zrobić i do kiedy.
5. Dokumentacja i wydruk w każdej chwili. Polityki i procedury z gotowych wzorów, raport na kontrolę, dowody z datami — powstają przy okazji codziennej pracy, a nie w ostatniej chwili.
6. Dane pod Waszą kontrolą. Każda jednostka widzi tylko swoje dane. Kopie Waszych danych powstają co miesiąc i na żądanie, a logowania i ważne czynności trafiają do rejestru zdarzeń. Seria nieudanych logowań albo prób włamania blokuje adres IP, z którego przychodzą, a zapomniane hasło odzyskacie sami — odnośnik przyjdzie na adres e-mail przypisany do konta.
7. Przepisy na bieżąco — także bez logowania. Portal codziennie sprawdza w bazie Sejmu, czy zmieniły się akty, na których się opiera. Monitor zmian w prawie jest dostępny publicznie, z metryką każdej zmiany z Dziennika Ustaw; po zalogowaniu widzicie też, które części Waszej dokumentacji zależą od zmienionego aktu. Skutki zmiany ocenia prawnik albo inspektor ochrony danych, nie automat.
8. Dokumenty z historią wersji. Każda zmiana polityki albo procedury jest zapisywana jako nowa wersja: porównacie ją z poprzednią, a w razie potrzeby wrócicie do starszej. Pracownicy potwierdzają zapoznanie się z konkretną wersją, a raport pokazuje, kto jeszcze tego nie zrobił.
9. Menu w kolejności wdrażania. Ekrany są ułożone tak, jak przebiega wdrożenie: od ustalenia statusu i danych jednostki po audyt i raporty. Pozycje, których przepis od Was nie wymaga, są przygaszone, a te, które Was nie dotyczą — wyłączone. Nie musicie zgadywać, co jest obowiązkiem.
10. Ktoś z zewnątrz może prowadzić SZBI w Waszym imieniu. Na podstawie umowy firma informatyczna albo zewnętrzny inspektor ochrony danych dostaje dostęp w zakresie ustalonym przez Was: tylko do odczytu albo z prawem zapisu. Pod każdym wpisem stoi nazwisko osoby i nazwa firmy, a dostęp cofacie jednym przyciskiem.

Dla kogo

• Szkoły, przedszkola, ośrodki pomocy społecznej, poradnie i domy dziecka prowadzone przez gminę albo powiat. Samorządowa jednostka budżetowa, która nie jest podmiotem kluczowym, jest podmiotem ważnym (art. 5 ust. 2 pkt 8) i prowadzi SZBI według Załącznika nr 4: lista kontrolna, dowody, plan działań. Incydent poważny zgłasza w ciągu 72 godzin od wykrycia — bez wczesnego ostrzeżenia i sprawozdań (art. 12c).
• Starostwa i urzędy gmin. Starostwo powiatowe — zawsze — i urząd gminy zatrudniający na 1 stycznia co najmniej 50 osób w przeliczeniu na pełne etaty na umowę o pracę to podmioty kluczowe. Obowiązuje je pełny katalog z art. 8 ust. 1 ustawy: systematyczne szacowanie ryzyka i środki bezpieczeństwa, wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie w ciągu 72 godzin i sprawozdanie końcowe, audyt bezpieczeństwa co najmniej raz na 3 lata (art. 15). W portalu: analiza ryzyka, Deklaracja Stosowania, audyt wewnętrzny. Mniejszy urząd gminy prowadzi SZBI według Załącznika nr 4.
• Pakiet dla gmin i powiatów z jednostkami podległymi. Prowadzicie własny SZBI i w jednym panelu widzicie wszystkie swoje szkoły i ośrodki: zgodność, luki krytyczne, incydenty z terminem zgłoszenia. Jednostki zakładacie sami, a każdy dyrektor dostaje własne konto i widzi tylko swoją jednostkę. Dane jednostki zobaczycie dopiero po wpisaniu podstawy dostępu: rodzaju dokumentu (uchwała o wspólnej obsłudze, porozumienie albo umowa), potwierdzenia, że dokument obejmuje obowiązki z ustawy o KSC, oraz daty, do której obowiązuje — gdy przepis taki termin wyznacza.
• Firmy prowadzące SZBI u klientów — zapraszamy do współpracy. Firmy informatyczne, inspektorzy ochrony danych, konsultanci: dostarczamy narzędzie, Wy prowadzicie SZBI u klientów. Panel klientów, wejście do jednostki w uzgodnionym zakresie, podpisane wpisy, konta dla całego zespołu. Wasza firma może sama podlegać ustawie o KSC — szczegóły w punkcie niżej.
• Firmy obsługujące jednostki publiczne. Firma obsługująca jednostki ma wobec nich obowiązki z umowy, a gdy przetwarza dane osobowe — także z RODO. Rejestry, analizę ryzyka i dokumentację prowadzicie w tym samym portalu, a normę ISO/IEC 27001 możecie włączyć, jeśli chcecie. Firma może też sama podlegać ustawie o KSC (art. 5): świadcząca usługi z zakresu cyberbezpieczeństwa (obsługa incydentów, testy bezpieczeństwa, audyty, doradztwo) — jako podmiot kluczowy, już gdy jest małym przedsiębiorcą; świadcząca usługi zarządzane IT — jako podmiot ważny, gdy jest średnim przedsiębiorcą, a jako kluczowy, gdy jest dużym. Czy prowadzenie SZBI u klienta to usługa z zakresu cyberbezpieczeństwa i jaki status ma mikroprzedsiębiorca — sprawdźcie z prawnikiem.

Co działa już dziś

• kalkulator statusu jednostki, ankieta i menu według statusu — z oznaczeniem, co jest obowiązkiem, co jest dobrowolne, a co Was nie dotyczy
• lista kontrolna Załącznika nr 4
• analiza luk: ustawa o KSC, KRI, RODO, ISO/IEC 27001
• rejestr aktywów i analiza ryzyka
• Deklaracja Stosowania — 93 zabezpieczenia ISO/IEC 27001
• incydenty z zegarami i adresatem zgłoszeń
• rejestr czynności przetwarzania i rejestr naruszeń ochrony danych osobowych
• kopie zapasowe według zasady 3-2-1 i testy odtworzenia
• ciągłość działania
• dostawcy i umowy powierzenia
• szkolenia z testem i potwierdzeniem udziału
• symulacje phishingu
• rejestr systemów sztucznej inteligencji
• audyt wewnętrzny i plan działań naprawczych
• wzory dokumentów i teczka SZBI do wydruku
• historia wersji dokumentów: porównanie, powrót do starszej wersji, potwierdzenie zapoznania się z konkretną wersją i raport zaległych potwierdzeń
• alerty: co czeka na załatwienie
• monitor zmian w prawie — także na stronie publicznej, z metryką każdej zmiany z Dziennika Ustaw
• pakiety jednostek i dostęp dla firm prowadzących SZBI — tylko do odczytu albo z prawem zapisu
• ochrona kont: blokada adresu IP po serii nieudanych logowań albo prób włamania, samodzielne odzyskiwanie hasła
• bez logowania: poradnik, słownik, ustawa o KSC, terminarz KSC, aktualności prawne, monitor zmian w prawie, kalkulator statusu, test dojrzałości, cennik

Czego portal nie robi

Portal nie zastępuje audytu bezpieczeństwa, który podmiot kluczowy przeprowadza co najmniej raz na 3 lata, ani audytu nakazanego decyzją organu (art. 15 ustawy o KSC), ani certyfikacji ISO/IEC 27001. Nie wykona za Was prac technicznych: kopie, aktualizacje i konfigurację wykonuje informatyk, a portal przypomina, co i kiedy zrobić, i zapisuje wykonanie. Obowiązki ustawowe zostają przy jednostce.