Audyt KRI - Audyt Krajowych Ram Interoperacyjności
Audyt KRI pozwala sprawdzić, czy jednostka realizująca zadania publiczne prawidłowo zarządza bezpieczeństwem informacji, systemami teleinformatycznymi i dokumentacją organizacyjną. Obejmuje między innymi analizę ryzyka, zarządzanie dostępami, kopie zapasowe, reagowanie na incydenty, aktualizację oprogramowania, logowanie zdarzeń oraz zgodność stosowanych procedur z rzeczywistym sposobem działania jednostki.
Zgodnie z § 19 ust. 2 pkt 14 rozporządzenia Rady Ministrów z 21 maja 2024 r. podmiot realizujący zadania publiczne powinien zapewnić okresowy audyt wewnętrzny w zakresie bezpieczeństwa informacji nie rzadziej niż raz w roku.
EDUODO przeprowadza niezależne audyty KRI dla urzędów, jednostek samorządu terytorialnego, szkół, placówek oświatowych, instytucji kultury oraz innych podmiotów wykorzystujących systemy teleinformatyczne do realizacji zadań publicznych.
Co to jest zewnętrzny audyt KRI?
Audyt KRI jest uporządkowaną oceną sposobu zarządzania bezpieczeństwem informacji w podmiocie realizującym zadania publiczne. Nie ogranicza się do sprawdzenia, czy jednostka posiada polityki, procedury i instrukcje.
Audytor porównuje dokumentację ze stanem faktycznym. Sprawdza między innymi, czy:
- procedury są aktualne i rzeczywiście stosowane,
- pracownicy mają uprawnienia adekwatne do wykonywanych zadań,
- dostęp byłych pracowników jest terminowo odbierany,
- wykonywane są kopie zapasowe i testy odtwarzania,
- jednostka prowadzi analizę ryzyka,
- incydenty są zgłaszane i dokumentowane,
- oprogramowanie i systemy są aktualizowane,
- dostęp do informacji jest monitorowany,
- umowy z dostawcami IT zawierają wymagania dotyczące bezpieczeństwa.
Rozporządzenie KRI wymaga od podmiotów publicznych ustanowienia, wdrożenia, eksploatowania, monitorowania i doskonalenia systemu zarządzania bezpieczeństwem informacji zapewniającego między innymi poufność, dostępność, integralność, rozliczalność i niezawodność informacji.
Jak mawiał Louis Nizer: "Znaleźć w czymś błąd jest łatwo; zrobić coś lepiej może być trudno". Tymi słowami kieruję się podczas przeprowadzania audytu. Stawiam na praktyczne rozwiązania! Staram się pomóc zrozumieć, cierpliwie tłumacząc i odpowiadając na zadane pytania. Bo nie sztuką jest wytykać błędy, sztuką jest być skutecznym w swojej pracy audytora. Łukasz Lepiocha
Kogo dotyczy audyt KRI?
Wymagania Krajowych Ram Interoperacyjności dotyczą podmiotów realizujących zadania publiczne, które korzystają z systemów teleinformatycznych, rejestrów publicznych lub elektronicznej wymiany informacji.
Audyt KRI wykonuje się między innymi w:
- urzędach gmin, miast, powiatów i urzędach marszałkowskich,
- jednostkach organizacyjnych samorządu,
- szkołach i placówkach oświatowych,
- bibliotekach, domach kultury i instytucjach publicznych,
- jednostkach pomocy społecznej,
- podmiotach leczniczych realizujących zadania publiczne,
- jednostkach budżetowych i zakładach budżetowych,
- innych organizacjach korzystających z systemów do realizacji zadań publicznych.
Zakres audytu powinien zostać dostosowany do wielkości jednostki, liczby lokalizacji, rodzaju przetwarzanych informacji, wykorzystywanych systemów oraz poziomu ryzyka.
Czy audyt KRI jest obowiązkowy?
Tak. Kierownictwo podmiotu publicznego powinno zapewnić przeprowadzenie okresowego audytu wewnętrznego w zakresie bezpieczeństwa informacji nie rzadziej niż raz w roku.
Audyt warto wykonać również wtedy, gdy:
- wdrożono nowy system lub usługę elektroniczną,
- zmienił się dostawca obsługi informatycznej,
- jednostka przeniosła dane do chmury,
- wystąpił incydent bezpieczeństwa,
- zmieniono strukturę organizacyjną,
- dokumentacja SZBI nie była od dawna aktualizowana,
- poprzedni audyt wykazał istotne niezgodności,
- jednostka przygotowuje się do kontroli.
Znajdź nas
Audyt wewnętrzny czy zewnętrzny?
Określenie „audyt wewnętrzny” odnosi się do audytu wykonywanego na potrzeby organizacji. Nie oznacza automatycznie, że wszystkie czynności muszą zostać przeprowadzone przez pracownika jednostki.
Jednostka może skorzystać ze wsparcia zewnętrznego audytora, szczególnie gdy:
- nie posiada pracownika z odpowiednimi kompetencjami,
- potrzebuje niezależnej oceny,
- chce uniknąć sytuacji, w której osoba ocenia własną pracę,
- środowisko informatyczne jest rozbudowane,
- poprzednie kontrole wykazały niezgodności,
- potrzebna jest pomoc w określeniu priorytetów naprawczych.
Zewnętrzny audyt pozwala spojrzeć na organizację bez przyzwyczajeń wynikających z codziennej pracy i porównać jej praktyki z wymaganiami rozporządzenia oraz standardami bezpieczeństwa informacji.
Co obejmuje audyt KRI?
| Obszar audytu | Co sprawdzamy? | Przykładowe niezgodności |
|---|---|---|
| System zarządzania bezpieczeństwem informacji | Polityki, procedury, role i odpowiedzialności | Nieaktualna dokumentacja lub brak jej formalnego zatwierdzenia |
| Inwentaryzacja zasobów | Sprzęt, oprogramowanie, systemy oraz właścicieli poszczególnych zasobów | Niepełny spis urządzeń, aplikacji lub wykorzystywanych systemów |
| Analiza ryzyka | Metodykę, aktualność analizy oraz działania ograniczające zidentyfikowane ryzyko | Brak aktualnej analizy ryzyka lub planu postępowania z ryzykiem |
| Zarządzanie dostępami | Nadawanie, zmianę, odbieranie i okresowe przeglądy uprawnień | Aktywne konta byłych pracowników lub nadmierne uprawnienia użytkowników |
| Kopie zapasowe | Zakres, częstotliwość, sposób przechowywania oraz możliwość odtworzenia danych | Brak regularnych testów przywracania danych z kopii zapasowych |
| Bezpieczeństwo systemów | Aktualizacje, podatności, konfiguracje oraz stosowane zabezpieczenia techniczne | Nieaktualne systemy lub brak uporządkowanego zarządzania poprawkami |
| Incydenty bezpieczeństwa | Zgłaszanie, rejestrowanie, analizowanie i obsługę zdarzeń | Brak rejestru incydentów lub niejasna ścieżka ich zgłaszania |
| Logowanie zdarzeń | Zakres rejestrowanych logów, dostęp do nich, okres retencji oraz sposób analizy | Brak monitorowania działań administratorów lub niewystarczający zakres logowania |
| Praca zdalna i urządzenia mobilne | Zasady dostępu, ochronę urządzeń oraz bezpieczeństwo informacji poza siedzibą jednostki | Brak formalnych zasad pracy zdalnej lub korzystania z urządzeń mobilnych |
| Dostawcy zewnętrzni | Umowy serwisowe, zakres odpowiedzialności oraz wymagania dotyczące bezpieczeństwa | Brak zapisów regulujących ochronę informacji i zasady dostępu do systemów |
| Szkolenia pracowników | Zakres, częstotliwość i sposób dokumentowania działań edukacyjnych | Brak regularnych lub udokumentowanych szkoleń z bezpieczeństwa informacji |
| Ciągłość działania | Procedury awaryjne, przypisane odpowiedzialności oraz sposób reagowania na niedostępność systemów | Brak przygotowania na awarię, utratę dostępu do danych lub przerwę w działaniu systemów |
Zalety Audytu KRI
- Rzetelne wnioski
Audyt KRI daje pełny obraz stanu zabezpieczeń oraz stopnia zgodności z wymaganiami Krajowych Ram Interoperacyjności. Otrzymują Państwo szczegółowy raport, w którym wskazujemy niezgodności, oceniamy poziom ryzyka i proponujemy rekomendacje wdrożeniowe. Dzięki temu wiadomo, co poprawić, w jakiej kolejności i jakie działania podjąć, aby spełnić wymagania rozporządzenia KRI. - Obiektywne spojrzenie na sprawę
Zewnętrzny audytor patrzy na organizację z dystansem i nie jest obciążony rutyną codziennej pracy. Ta niezależność ułatwia wychwycenie luk w procedurach, niespójności w dokumentacji i rozbieżności między deklaracjami a praktyką działania systemów. Efekt: obiektywna diagnoza i rekomendacje oparte na faktach, - Wsparcie poaudytowe
Po zakończeniu audytu nie zostają Państwo z samą listą punktów do poprawy. Zapewniamy konsultacje, które pomagają przełożyć zalecenia na realny plan wdrożenia: priorytety, odpowiedzialności i harmonogram. Dzięki temu łatwiej przeprowadzić działania naprawcze, przygotować się do kontroli oraz ograniczyć ryzyka związane z incydentami i przerwami w działaniu usług. - Wzmocnienie zaufania do instytucji
Utrzymywanie zgodności z KRI wspiera bezpieczeństwo przetwarzania informacji i podnosi standard działania usług cyfrowych, w tym dostępność (np. zgodnie z WCAG). Dla interesantów oznacza to większą przewidywalność i lepszą jakość obsługi, a dla jednostki – czytelne zasady, lepszą kontrolę nad systemami oraz mniejsze ryzyko niezgodności.
Najczęstsze niezgodności wykrywane podczas audytu
Do często identyfikowanych problemów należą:
- nieaktualna inwentaryzacja sprzętu i oprogramowania,
- brak regularnych przeglądów uprawnień,
- nieodebrane konta byłych pracowników,
- brak testów odtwarzania kopii zapasowych,
- nieaktualna analiza ryzyka,
- niespójność dokumentacji ze stanem faktycznym,
- brak rejestru incydentów,
- niedostateczne logowanie działań użytkowników,
- nieaktualne systemy i oprogramowanie,
- brak wymagań bezpieczeństwa w umowach z dostawcami,
- brak cyklicznych szkoleń,
- brak wyznaczonej odpowiedzialności za poszczególne działania.
Dlaczego warto powierzyć nam audyt Krajowych Ram Interoperacyjności?
|
Ocena oparta na dowodach Wnioski formułujemy na podstawie dokumentacji, wywiadów, obserwacji i zweryfikowanych informacji, a nie wyłącznie deklaracji jednostki. |
Konkretne rekomendacje Raport nie ogranicza się do wskazania problemów. Każda istotna niezgodność otrzymuje rekomendację oraz sugerowany priorytet wdrożenia. |
Połączenie wiedzy prawnej i technicznej Oceniamy zarówno dokumentację i procedury, jak również praktyczne funkcjonowanie systemów, dostępów, kopii zapasowych i zabezpieczeń. |
|
Wsparcie po audycie Pomagamy zinterpretować ustalenia, zaplanować działania naprawcze i ustalić ich kolejność. |
Zakres dopasowany do jednostki Inaczej planujemy audyt małej szkoły, inaczej urzędu obsługującego wiele lokalizacji, systemów i usług elektronicznych. |
Efektywność Skupiamy się na rozwiązaniach, które zmniejszają ryzyko i podnoszą zgodność bez zbędnej biurokracji – tam, gdzie to możliwe, proponujemy szybkie wygrane. |
Co zyskują Państwo po wdrożeniu zaleceń z audytu KRI?
|
Mniej przestojów i szybsza reakcja Usprawnione kopie zapasowe, jasne procedury i gotowość do działania w razie awarii lub incydentu. |
Porządek w dostępach i odpowiedzialnościach Uprawnienia, role i obieg decyzji są uporządkowane, dzięki czemu łatwiej utrzymać kontrolę nad systemami. |
Spójna dokumentacja KRI i RODO Jedne zasady bezpieczeństwa zamiast dublowania dokumentów i rozbieżności między praktyką a formalnościami. |
|
Realne ograniczenie ryzyk Priorytety działań są ustawione pod ryzyko, a nie pod wygodę, co przekłada się na lepszą odporność organizacji. |
Łatwiejsze utrzymanie zgodności w czasie Mechanizmy przeglądów, aktualizacji i szkoleń wspierają ciągłą zgodność, a nie jednorazowe poprawki. |
Lepsza jakość e-usług Stabilniejsze systemy i większa przewidywalność obsługi spraw dla interesantów. |
Jak przebiega audyt KRI?
Audyt KRI jest realizowany według uporządkowanego procesu, który pozwala ocenić zarówno dokumentację, jak i rzeczywisty sposób zarządzania bezpieczeństwem informacji w jednostce.
Ustalenie zakresu audytu
Na początku określamy:
- jednostki i lokalizacje objęte audytem,
- systemy teleinformatyczne i rejestry podlegające weryfikacji,
- procesy związane z bezpieczeństwem informacji,
- osoby uczestniczące w audycie,
- dokumenty niezbędne do przeprowadzenia oceny,
- harmonogram oraz sposób realizacji prac.
Analiza dokumentacji
Weryfikujemy między innymi politykę bezpieczeństwa informacji, dokumentację SZBI, analizę ryzyka, inwentaryzację zasobów, zasady zarządzania uprawnieniami, procedury tworzenia kopii zapasowych, dokumentację incydentów oraz umowy zawarte z dostawcami usług IT.
Wywiady i ocena stanu faktycznego
Rozmawiamy z osobami odpowiedzialnymi za zarządzanie jednostką, informatykę, bezpieczeństwo informacji, ochronę danych oraz obsługę poszczególnych systemów.
Sprawdzamy również, czy działania opisane w procedurach są faktycznie wykonywane i czy stosowane zabezpieczenia odpowiadają aktualnym potrzebom jednostki.
Ocena niezgodności i ryzyka
Każde ustalenie oceniamy pod względem jego znaczenia, możliwych konsekwencji oraz wpływu na bezpieczeństwo informacji. Oddzielamy niezgodności wymagające szybkiej reakcji od działań, które mogą zostać zaplanowane i wdrożone etapami.
Raport z audytu KRI
Po zakończeniu weryfikacji przygotowujemy raport zawierający:
- opis zakresu i metodyki audytu,
- podsumowanie stanu bezpieczeństwa informacji,
- wykaz zebranych dowodów audytowych,
- stwierdzone niezgodności i obszary ryzyka,
- odniesienia do właściwych wymagań KRI,
- ocenę znaczenia poszczególnych ustaleń,
- zalecenia naprawcze,
- sugerowane priorytety i terminy realizacji działań.
Omówienie wyników audytu
Po przekazaniu raportu omawiamy najważniejsze ustalenia oraz wyjaśniamy znaczenie wykrytych niezgodności. Wskazujemy również, które działania należy wdrożyć w pierwszej kolejności i jak zaplanować dalsze prace nad poprawą bezpieczeństwa informacji.
Jakie dokumenty przygotować do audytu KRI?
Przed rozpoczęciem audytu warto zgromadzić:
- politykę bezpieczeństwa informacji,
- dokumentację SZBI,
- aktualną analizę ryzyka,
- inwentaryzację sprzętu i oprogramowania,
- wykaz systemów oraz usług,
- zasady zarządzania kontami i uprawnieniami,
- dokumentację kopii zapasowych,
- wyniki testów odtwarzania,
- procedurę obsługi incydentów,
- rejestr incydentów,
- zasady aktualizacji oprogramowania,
- zasady pracy zdalnej,
- umowy z dostawcami usług IT,
- potwierdzenia szkoleń pracowników,
- raport z poprzedniego audytu.
Brak części dokumentów nie uniemożliwia wykonania audytu. Jest jednak istotnym ustaleniem, które powinno zostać opisane w raporcie wraz z rekomendacją jego usunięcia.
Audyt KRI a RODO i ISO 27001
KRI, RODO i ISO 27001 dotyczą częściowo tych samych obszarów, ale nie są pojęciami równoważnymi.
RODO koncentruje się na ochronie danych osobowych. KRI obejmuje szerzej bezpieczeństwo informacji, funkcjonowanie systemów teleinformatycznych, interoperacyjność, rejestry publiczne i wymianę danych.
Rozporządzenie wskazuje, że wymagania dotyczące zarządzania bezpieczeństwem informacji uznaje się za spełnione, jeżeli SZBI został opracowany na podstawie PN-ISO/IEC 27001, a ustanawianie zabezpieczeń, zarządzanie ryzykiem i audytowanie odbywa się na podstawie norm związanych z tym standardem.
Posiadanie dokumentacji RODO nie oznacza więc automatycznie pełnej zgodności z KRI.
Najczęstsze niezgodności wykrywane podczas audytu
Do często identyfikowanych problemów należą:
- nieaktualna inwentaryzacja sprzętu i oprogramowania,
- brak regularnych przeglądów uprawnień,
- nieodebrane konta byłych pracowników,
- brak testów odtwarzania kopii zapasowych,
- nieaktualna analiza ryzyka,
- niespójność dokumentacji ze stanem faktycznym,
- brak rejestru incydentów,
- niedostateczne logowanie działań użytkowników,
- nieaktualne systemy i oprogramowanie,
- brak wymagań bezpieczeństwa w umowach z dostawcami,
- brak cyklicznych szkoleń,
- brak wyznaczonej odpowiedzialności za poszczególne działania.
Zapraszamy do współpracy
Jeśli szukasz partnera, który w profesjonalny, praktyczny i ciekawy sposób przeprowadzi audyt Krajowych Ram Interoperacyjności, skontaktuj się z nami.
FAQ – audyt KRI
Na czym polega audyt KRI?
Audyt polega na porównaniu sposobu zarządzania bezpieczeństwem informacji i systemami teleinformatycznymi z wymaganiami KRI. Obejmuje analizę dokumentacji, rozmowy z pracownikami, ocenę stosowanych zabezpieczeń oraz przygotowanie raportu z niezgodnościami i rekomendacjami.
Jak często należy wykonywać audyt KRI?
Audyt wewnętrzny w zakresie bezpieczeństwa informacji powinien być wykonywany nie rzadziej niż raz w roku.
Kto może przeprowadzić audyt KRI?
Audyt powinien przeprowadzić audytor posiadający wiedzę z zakresu bezpieczeństwa informacji, systemów teleinformatycznych, zarządzania ryzykiem i wymagań KRI. Istotna jest również niezależność osoby oceniającej od obszarów, które sama tworzyła lub za które odpowiada.
Czy audyt KRI można przeprowadzić zdalnie?
Część prac może zostać wykonana zdalnie, zwłaszcza analiza dokumentacji i wywiady. Zakres zdalnej realizacji zależy jednak od rodzaju systemów, liczby lokalizacji i konieczności weryfikacji zabezpieczeń na miejscu.
Czy brak dokumentacji uniemożliwia wykonanie audytu?
Nie. Brak dokumentacji jest jednym z możliwych ustaleń audytowych. Audytor powinien wskazać, które dokumenty są wymagane, jakie ryzyko powoduje ich brak oraz w jakiej kolejności należy je przygotować.
Czy audyt KRI zastępuje audyt RODO?
Nie. Oba audyty częściowo obejmują podobne procesy, ale mają odmienny zakres i podstawę prawną. Audyt KRI koncentruje się szerzej na bezpieczeństwie informacji i systemów wykorzystywanych do realizacji zadań publicznych.
Co otrzymuje jednostka po audycie?
Jednostka otrzymuje raport zawierający zakres audytu, stwierdzone niezgodności, ocenę ryzyka, odniesienia do wymagań KRI oraz rekomendacje i priorytety działań naprawczych.