Kiedy w urzędzie pojawia się temat cyberbezpieczeństwa, najczęściej pierwsze pytanie kierowane jest do informatyka. To naturalne, ponieważ wiele zagrożeń dotyczy komputerów i systemów. Jednak skuteczne zarządzanie bezpieczeństwem informacji wymaga współpracy całego urzędu. Kto zatem powinien zajmować się SZBI i jak podzielić obowiązki, aby uniknąć nieporozumień?
Dlaczego informatyk nie powinien odpowiadać za wszystko?
Wyobraźmy sobie, że do urzędu trafia nowy pracownik. Kierownik referatu informuje informatyka, że należy przygotować stanowisko komputerowe i nadać dostęp do odpowiedniego systemu.
Informatyk może utworzyć konto i przydzielić wskazane uprawnienia. Nie zawsze jednak wie, jakie dokładnie informacje powinien widzieć nowy pracownik. To kierownik referatu najlepiej zna jego obowiązki i potrafi ocenić, jaki zakres dostępu będzie potrzebny.
Podobna sytuacja występuje podczas usuwania uprawnień. Informatyk nie musi wiedzieć, że pracownik zmienił stanowisko albo zakończył wykonywanie określonych zadań. Jeśli nie otrzyma odpowiedniej informacji, dostęp może pozostać aktywny dłużej, niż powinien.
Ten prosty przykład pokazuje, że bezpieczeństwo informacji zależy od współpracy osób zajmujących się organizacją pracy i technologią. Informatyk odpowiada za określone zabezpieczenia techniczne, ale nie powinien samodzielnie podejmować wszystkich decyzji związanych z bezpieczeństwem urzędu.
Jaką rolę pełni kierownictwo urzędu?
Wójt, burmistrz, prezydent miasta lub właściwe kierownictwo jednostki odpowiada za organizację jej działania, w tym zapewnienie odpowiednich warunków zarządzania bezpieczeństwem informacji.
Nie oznacza to konieczności znajomości szczegółowej konfiguracji serwerów albo programów antywirusowych. Kierownictwo powinno natomiast wiedzieć, jakie są najważniejsze zagrożenia, kto za nie odpowiada i czy urząd dysponuje zasobami potrzebnymi do ich ograniczania.
Przykładowo, jeśli okaże się, że urząd nie ma możliwości szybkiego przywrócenia ważnego systemu po awarii, informatyk może zaproponować rozwiązania. Decyzja o przeznaczeniu środków i przyjęciu określonego sposobu postępowania wymaga jednak udziału osób zarządzających jednostką.
Dlatego SZBI powinien być regularnie omawiany na poziomie kierownictwa. Dzięki temu bezpieczeństwo staje się częścią zarządzania urzędem, a nie wyłącznie problemem technicznym.
Kim jest koordynator SZBI i czym się zajmuje?
Koordynator SZBI to osoba, która pomaga połączyć działania różnych komórek organizacyjnych. Można powiedzieć, że pilnuje, aby urząd posiadał wspólne zasady bezpieczeństwa i rzeczywiście je stosował.
Do jego zadań może należeć organizowanie prac nad dokumentacją, współpraca z kierownikami referatów, zbieranie informacji o zagrożeniach oraz przygotowywanie okresowych przeglądów systemu.
Koordynator nie musi osobiście wykonywać wszystkich czynności. Powinien natomiast wiedzieć, kto jest za nie odpowiedzialny i na jakim etapie znajdują się poszczególne działania.
W małym urzędzie funkcję tę można powierzyć odpowiednio przygotowanej osobie, która wykonuje również inne obowiązki. Ważne jednak, aby zakres odpowiedzialności był jasno określony i aby koordynator miał możliwość przedstawiania istotnych problemów kierownictwu.
Jakie zadania mają kierownicy referatów i pracownicy?
Kierownicy referatów odgrywają w SZBI bardzo ważną rolę, ponieważ najlepiej znają procesy realizowane w swoich komórkach.
Kierownik referatu podatkowego wie, jakie informacje są potrzebne pracownikom i jakie konsekwencje miałaby niedostępność systemu podatkowego. Kierownik wydziału organizacyjnego zna zasady obiegu dokumentów, a osoba odpowiedzialna za kadry rozumie znaczenie ochrony dokumentacji pracowniczej.
To właśnie kierownicy powinni uczestniczyć w ustalaniu zasad dostępu, rozpoznawaniu zagrożeń i ocenie skutków ewentualnych awarii.
Każdy pracownik również uczestniczy w systemie bezpieczeństwa. Powinien właściwie korzystać z dokumentów, chronić dane uwierzytelniające i wiedzieć, gdzie zgłaszać podejrzane sytuacje. Nie musi być ekspertem od cyberbezpieczeństwa, ale powinien znać zasady dotyczące własnego stanowiska.
A co z inspektorem ochrony danych?
Inspektor ochrony danych, czyli IOD, pełni szczególną funkcję. Wspiera administratora danych w realizacji obowiązków wynikających z RODO, doradza i monitoruje przestrzeganie przepisów o ochronie danych osobowych.
W praktyce IOD może współpracować z koordynatorem SZBI i informatykami przy analizowaniu incydentów, szkoleniach oraz ocenie zabezpieczeń. Nie oznacza to jednak, że automatycznie powinien odpowiadać za cały system bezpieczeństwa informacji.
Ważne jest zachowanie niezależności IOD i unikanie konfliktu interesów. Osoba ta nie powinna jednocześnie podejmować decyzji o sposobach przetwarzania danych, których zgodność ma następnie niezależnie monitorować.
Jak zorganizować współpracę w praktyce?
Najlepiej sprawdza się prosty i czytelny podział obowiązków. Każde ważne działanie powinno mieć osobę odpowiedzialną za decyzję oraz osobę, która je wykonuje.
Przy nadawaniu dostępu kierownik może zatwierdzać zakres uprawnień, a informatyk realizować go w systemie. Przy incydencie pracownik zgłasza zdarzenie, wyznaczone osoby analizują sytuację, a kierownictwo podejmuje decyzje wymagające jego kompetencji.
Warto także przewidzieć zastępstwa. Jeżeli tylko jedna osoba zna procedurę przywracania systemu lub kontaktuje się z dostawcą, jej nieobecność może poważnie utrudnić reakcję na awarię.
Najważniejsza zasada jest prosta: bezpieczeństwo informacji to wspólna odpowiedzialność, ale każde konkretne zadanie musi mieć jasno wskazanego właściciela.
W następnej części wyjaśnimy, jakie pierwsze procedury SZBI warto przygotować, aby opisany podział obowiązków działał również w codziennej praktyce.