Raport z audytu KRI jako punkt wyjścia do poprawy bezpieczeństwa
Audyt KRI nie powinien być traktowany wyłącznie jako formalny obowiązek lub lista błędów do odhaczenia. Dobrze przygotowany raport pokazuje, które obszary bezpieczeństwa informacji wymagają poprawy, gdzie brakuje procedur oraz jakie działania należy podjąć, aby ograniczyć ryzyko naruszeń. Ma to szczególne znaczenie w jednostkach publicznych, szkołach, placówkach oświatowych i organizacjach przetwarzających dane osobowe uczniów, rodziców, pracowników lub interesantów.
Krajowe Ramy Interoperacyjności określają wymagania dotyczące m.in. systemów teleinformatycznych, wymiany informacji i bezpieczeństwa danych w podmiotach realizujących zadania publiczne. Aktualne rozporządzenie KRI z 21 maja 2024 r. wskazuje minimalne wymagania dla rejestrów publicznych, wymiany informacji oraz systemów teleinformatycznych.
Analiza raportu KRI i identyfikacja niezgodności
Pierwszym krokiem po otrzymaniu raportu jest dokładna analiza zaleceń. W praktyce powinien uczestniczyć w niej dyrektor lub kierownik jednostki, inspektor ochrony danych, administrator IT oraz osoby odpowiedzialne za obieg dokumentów i organizację pracy. Celem nie jest samo wskazanie uchybień, ale ustalenie, które z nich wymagają pilnej reakcji, a które mogą zostać zaplanowane w dłuższym terminie.
Najczęstsze problemy wykazywane po audycie KRI dotyczą nieaktualnej dokumentacji bezpieczeństwa informacji, braku procedur tworzenia kopii zapasowych, niepełnych zasad reagowania na incydenty, niewystarczających szkoleń pracowników oraz słabego zabezpieczenia sprzętu komputerowego. Szczególną uwagę należy zwrócić na hasła, blokadę ekranu, dostęp do systemów, używanie prywatnych urządzeń oraz sposób przechowywania dokumentów zawierających dane osobowe.
Plan działań naprawczych po audycie KRI
Po analizie raportu należy przygotować plan działań naprawczych. Powinien być prosty, konkretny i możliwy do realnego wdrożenia. Warto uwzględnić w nim opis niezgodności, rekomendowane działanie, osobę odpowiedzialną, termin realizacji oraz status prac. Taki dokument ułatwia kontrolę postępów i pokazuje, że jednostka nie ograniczyła się do przyjęcia raportu, ale faktycznie rozpoczęła proces poprawy bezpieczeństwa.
W planie mogą znaleźć się m.in.:
- aktualizacja polityki bezpieczeństwa informacji,
- wdrożenie procedury kopii zapasowych,
- opracowanie zasad zgłaszania incydentów,
- szkolenia z RODO i cyberbezpieczeństwa,
- uporządkowanie uprawnień dostępowych,
- zabezpieczenie komputerów i nośników danych.
Działania warto podzielić według priorytetów. Brak kopii zapasowych, niekontrolowany dostęp do danych czy brak procedury reagowania na incydenty powinny być traktowane jako obszary wymagające szybkiej reakcji.
Wdrażanie zaleceń w praktyce
Największym błędem po audycie jest pozostawienie planu wyłącznie w dokumentacji. Działania naprawcze po KRI muszą przełożyć się na codzienną pracę jednostki. Pracownicy powinni wiedzieć, jak zgłaszać incydenty, jak korzystać z poczty elektronicznej, jak zabezpieczać stanowisko pracy oraz co zrobić w przypadku utraty dokumentu lub podejrzenia naruszenia danych.
Pomocne są krótkie instrukcje, szkolenia wewnętrzne, aktualne wzory formularzy oraz jasny podział odpowiedzialności. Im prostsze procedury, tym większa szansa, że będą faktycznie stosowane.
Sprawdzenie skuteczności działań naprawczych
Po wdrożeniu zmian warto przeprowadzić wewnętrzny przegląd lub ponowną ocenę wybranych obszarów. Celem jest sprawdzenie, czy procedury działają, dokumentacja jest aktualna, kopie zapasowe są wykonywane, a pracownicy znają swoje obowiązki. KRI zakłada nie tylko wdrożenie zabezpieczeń, ale również ich monitorowanie, przegląd, utrzymywanie i doskonalenie.
Dobrą praktyką jest przygotowanie krótkiego raportu z realizacji działań naprawczych. Może on być przydatny podczas kolejnej kontroli, audytu lub oceny stanu bezpieczeństwa informacji. Zgodność z KRI nie jest jednorazowym zadaniem, ale procesem, który wymaga regularnej aktualizacji dokumentacji, szkoleń i przeglądu zabezpieczeń technicznych oraz organizacyjnych.