Wdrożenie Systemu Zarządzania Bezpieczeństwem Informacji często kojarzy się z przygotowaniem dużej liczby dokumentów. Nie musi jednak oznaczać tworzenia skomplikowanych instrukcji, których nikt później nie czyta. Najważniejsze, aby pracownicy wiedzieli, jak postępować w typowych sytuacjach i co zrobić, gdy pojawi się zagrożenie. Od jakich procedur warto rozpocząć?
Dlaczego urząd potrzebuje procedur bezpieczeństwa?
Wyobraźmy sobie, że pracownik przypadkowo wysyła dokument zawierający dane mieszkańca do niewłaściwego odbiorcy. Zauważa pomyłkę, ale nie wie, kogo powinien poinformować. Nie chce wywoływać zamieszania, więc postanawia samodzielnie rozwiązać problem.
Tymczasem szybkie zgłoszenie takiego zdarzenia może mieć kluczowe znaczenie. Pozwala ustalić, jakie informacje zostały ujawnione, czy można ograniczyć skutki pomyłki i czy konieczne jest podjęcie dodatkowych działań.
Dobrze przygotowana procedura powinna pomóc pracownikowi zachować się właściwie. Nie musi być długa. Czasami wystarczy kilka jasno opisanych zasad, wskazanie odpowiedzialnych osób i prosty sposób zgłaszania problemów.
Procedury powinny opisywać rzeczywisty sposób pracy urzędu. Jeśli dokument przewiduje rozwiązania, których jednostka nie może zastosować, przestaje być użyteczny.
Polityka bezpieczeństwa informacji – dokument, od którego warto zacząć
Pierwszym ważnym dokumentem jest polityka bezpieczeństwa informacji. Określa ona ogólne zasady ochrony informacji w urzędzie.
Można porównać ją do regulaminu, który wyjaśnia, jak urząd organizuje bezpieczeństwo, kto za nie odpowiada i jakie podstawowe wymagania obowiązują pracowników.
Polityka powinna obejmować między innymi podział odpowiedzialności, zasady ochrony informacji i sposób nadzorowania całego systemu. Nie ma potrzeby umieszczania w niej wszystkich szczegółów technicznych. Te można opisać w oddzielnych instrukcjach.
Najważniejsze, aby dokument był zatwierdzony przez właściwe kierownictwo, dostępny dla pracowników i aktualizowany, gdy zmieniają się warunki funkcjonowania urzędu.
Procedura nadawania uprawnień – kto może korzystać z danych?
Każdy pracownik urzędu potrzebuje dostępu do określonych dokumentów i systemów. Nie oznacza to jednak, że powinien widzieć wszystkie informacje przetwarzane przez jednostkę.
Pracownik referatu podatkowego potrzebuje innych uprawnień niż osoba zajmująca się drogami czy sprawami kadrowymi. Zakres dostępu powinien wynikać z rzeczywiście wykonywanych obowiązków.
Procedura nadawania uprawnień powinna zatem określać, kto wnioskuje o dostęp, kto zatwierdza jego zakres i kto technicznie go przydziela.
Równie ważne są zasady odbierania dostępu. Kiedy pracownik zmienia stanowisko albo kończy zatrudnienie, jego wcześniejsze uprawnienia powinny zostać odpowiednio zmienione lub usunięte. W przeciwnym razie z czasem mogą powstać niepotrzebne i trudne do kontrolowania dostępy do informacji.
Procedura zgłaszania incydentów – co zrobić, gdy wydarzy się coś niepokojącego?
Incydent bezpieczeństwa informacji nie musi oznaczać poważnego cyberataku. Może nim być również utrata służbowego telefonu, omyłkowe udostępnienie dokumentu czy podejrzenie przejęcia konta pocztowego.
Pracownik powinien przede wszystkim wiedzieć, gdzie i jak zgłosić takie zdarzenie. Nie należy wymagać od niego samodzielnego ustalenia, czy problem jest poważny.
Dopiero wyznaczone osoby powinny przeanalizować sytuację i ocenić, jakie działania należy podjąć. W zależności od rodzaju zdarzenia może być potrzebne zaangażowanie informatyka, koordynatora SZBI, inspektora ochrony danych lub kierownictwa.
Szczególnie ważne są zdarzenia dotyczące danych osobowych. RODO przewiduje, że określone naruszenia należy zgłaszać Prezesowi UODO bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od ich stwierdzenia. Nie wszystkie naruszenia wymagają zgłoszenia, ale każde powinno zostać odpowiednio ocenione.
Procedura kopii zapasowych – jak przygotować się na utratę danych?
Kopie zapasowe pozwalają odzyskać dane, kiedy system ulegnie awarii, pliki zostaną usunięte lub dojdzie do cyberataku. Ich znaczenie trudno przecenić, szczególnie w urzędach, które korzystają z wielu systemów informatycznych.
Problem polega na tym, że samo wykonywanie kopii nie gwarantuje jeszcze bezpieczeństwa. Trzeba również sprawdzać, czy można z nich rzeczywiście odtworzyć informacje.
Procedura powinna określać, jakie dane są kopiowane, jak często wykonuje się kopie, gdzie są przechowywane i kto kontroluje ich poprawność.
Istotne jest także zabezpieczenie kopii przed cyberprzestępcami. Jeżeli wszystkie kopie są dostępne z tego samego środowiska, atakujący może próbować zniszczyć je razem z oryginalnymi danymi. Dlatego odpowiednie oddzielenie kopii i okresowe testy odtwarzania są tak ważne.
Procedura postępowania podczas awarii – co zrobić, gdy urząd nie może normalnie pracować?
Nie każdą awarię można usunąć natychmiast. Czasami system może być niedostępny przez kilka godzin, a w poważniejszych przypadkach nawet dłużej.
Urząd powinien wcześniej ustalić, jakie zadania muszą być realizowane w pierwszej kolejności i czy istnieją dopuszczalne sposoby kontynuowania pracy bez określonych systemów.
Przykładowo, jeśli nie działa aplikacja do obsługi korespondencji, pracownicy powinni wiedzieć, jakie rozwiązania zastępcze można zastosować i w jaki sposób później uzupełnić dokumentację.
Takie zasady stanowią element zapewnienia ciągłości działania. Ich celem jest ograniczenie zakłóceń w świadczeniu usług publicznych.
Czy wszystkie procedury trzeba przygotować od nowa?
Niekoniecznie. W wielu urzędach istnieją już instrukcje dotyczące użytkowania komputerów, ochrony danych osobowych, archiwizacji dokumentacji lub wykonywania kopii zapasowych.
Warto rozpocząć od ich przeglądu. Część dokumentów może wymagać jedynie aktualizacji, inne połączenia lub uproszczenia. Dopiero po ustaleniu rzeczywistych braków należy przygotowywać nowe procedury.
Ostateczny zakres dokumentacji powinien odpowiadać obowiązującym przepisom, wynikom analizy ryzyka oraz potrzebom jednostki.
Dobra procedura to nie taka, która zajmuje kilkanaście stron. Dobra procedura to taka, którą pracownik rozumie i potrafi zastosować.
W następnej części cyklu przyjrzymy się analizie ryzyka. Wyjaśnimy, jak urząd może rozpoznać najważniejsze zagrożenia i ustalić, które problemy należy rozwiązać w pierwszej kolejności.