Struktura dokumentu, bez zapisów
Polityka bezpieczeństwa informacji — wzór struktury dokumentu
Nie ma jednego urzędowego wzoru polityki bezpieczeństwa informacji — dokument opisuje konkretną organizację i gotowy szablon rzadko do niej pasuje. Jest natomiast przepis, który wyznacza, co polityka musi obejmować: § 19 rozporządzenia w sprawie Krajowych Ram Interoperacyjności. Poniżej struktura w dwunastu rozdziałach, każdy przypisany do konkretnej jednostki redakcyjnej.
Dla kogo to jest: jednostki publiczne, dla których § 19 jest wiążący, oraz firmy prywatne, które chcą oprzeć dokument na sprawdzonej strukturze. Firm prywatnych KRI nie obowiązuje — ale ta sama struktura odpowiada wymaganiom PN-ISO/IEC 27001.
Co powinna zawierać polityka bezpieczeństwa informacji
Dwanaście rozdziałów poniżej pokrywa wszystkie czternaście działań wymienionych w § 19 ust. 2 rozporządzenia Rady Ministrów z 21 maja 2024 r. (Dz.U. 2024 poz. 773). Kolumna po prawej wskazuje przepis, z którego dany rozdział wynika — dzięki temu przy audycie widać, że nic nie zostało pominięte.
| Rozdział | Co opisuje | Podstawa |
|---|---|---|
| 1. Cel i zakres | Co dokument chroni i kogo obowiązuje. Wskazanie, że celem jest poufność, integralność i dostępność informacji. | § 19 ust. 1 |
| 2. Definicje | Informacja, incydent, ryzyko, system teleinformatyczny, użytkownik. Bez tego dalsze rozdziały są nieprecyzyjne. | — |
| 3. Role i odpowiedzialność | Kierownictwo, administrator systemów, osoby przetwarzające informacje. Kto zatwierdza i kto egzekwuje. | § 19 ust. 2 (zdanie wstępne) |
| 4. Inwentaryzacja zasobów | Wykaz sprzętu i oprogramowania z rodzajem i konfiguracją, zasady jego aktualizowania. | § 19 ust. 2 pkt 2 |
| 5. Zarządzanie ryzykiem | Kto, jak często i według jakiej metody prowadzi analizę ryzyka oraz co się dzieje z jej wynikami. | § 19 ust. 2 pkt 3 |
| 6. Uprawnienia i dostęp | Nadawanie uprawnień adekwatnie do zadań i bezzwłoczna zmiana przy zmianie zadań albo odejściu. | § 19 ust. 2 pkt 4 i 5 |
| 7. Szkolenia | Zakres i częstotliwość. Przepis wymienia trzy obowiązkowe zagadnienia: zagrożenia, skutki naruszeń wraz z odpowiedzialnością prawną, stosowanie środków bezpieczeństwa. | § 19 ust. 2 pkt 6 |
| 8. Zabezpieczenia techniczne | Monitorowanie dostępu, wykrywanie nieautoryzowanych działań, blokady na poziomie systemów, usług sieciowych i aplikacji. Aktualizacje, kopie zapasowe, kryptografia. | § 19 ust. 2 pkt 7, 9, 12 |
| 9. Praca zdalna i mobilna | Zasady pracy na odległość, urządzenia przenośne, postępowanie z nośnikami. | § 19 ust. 2 pkt 8 i 11 |
| 10. Dostawcy zewnętrzni | Wymagane zapisy w umowach serwisowych gwarantujące poziom bezpieczeństwa informacji. | § 19 ust. 2 pkt 10 |
| 11. Incydenty | Ustalony z góry sposób zgłaszania, ścieżka eskalacji, rejestr incydentów. | § 19 ust. 2 pkt 13 |
| 12. Audyt i przegląd | Audyt wewnętrzny nie rzadziej niż raz na rok oraz zasady przeglądu i aktualizacji samej polityki. | § 19 ust. 2 pkt 1 i 14 |
Katalog nie jest zamknięty. Ustęp 2 mówi „w szczególności", a ustęp 4 nakazuje ustanowić dodatkowe zabezpieczenia, jeżeli uzasadnia to analiza ryzyka. Dwanaście rozdziałów to minimum, nie sufit.
Jakie są trzy zasady bezpieczeństwa informacji
Trzy podstawowe atrybuty to poufność, integralność i dostępność informacji. W polskim prawie wymienia je wprost § 19 ust. 1 rozporządzenia o Krajowych Ramach Interoperacyjności — i dodaje cztery kolejne, o których większość wzorów zapomina.
„[…] system zarządzania bezpieczeństwem informacji zapewniający poufność, dostępność i integralność informacji z uwzględnieniem takich atrybutów, jak autentyczność, rozliczalność, niezaprzeczalność i niezawodność." — § 19 ust. 1, Dz.U. 2024 poz. 773
- Poufność — informacja dostępna tylko dla uprawnionych.
- Integralność — informacja niezmieniona w sposób nieuprawniony.
- Dostępność — informacja osiągalna wtedy, gdy jest potrzebna.
- Autentyczność — potwierdzone pochodzenie informacji.
- Rozliczalność — możliwość przypisania działania konkretnej osobie.
- Niezaprzeczalność — brak możliwości wyparcia się wykonanego działania.
- Niezawodność — przewidywalne zachowanie systemu.
Cztery ostatnie mają znaczenie praktyczne: rozliczalność jest powodem, dla którego współdzielone konta w pracowniach i sekretariatach są problemem przy audycie — nie da się przypisać działania osobie.
Czy polityka bezpieczeństwa informacji jest obowiązkowa
Dla podmiotów publicznych — tak, pośrednio. Rozporządzenie nie używa nazwy „polityka bezpieczeństwa informacji", ale § 19 ust. 1 nakazuje opracować, ustanowić, wdrożyć i doskonalić system zarządzania bezpieczeństwem informacji, a ust. 2 pkt 1 — zapewnić aktualizację regulacji wewnętrznych. Bez dokumentu nie da się tego wykazać.
Dla firm prywatnych — nie wprost. Obowiązek może jednak wynikać z innych źródeł: z RODO w zakresie środków technicznych i organizacyjnych, z wymagań kontrahenta, z NIS2 dla podmiotów kluczowych i ważnych albo z certyfikacji ISO/IEC 27001.
Skrót przez ISO. § 19 ust. 3 daje domniemanie zgodności: wymagania uznaje się za spełnione, jeżeli system opracowano na podstawie PN-ISO/IEC 27001, a zabezpieczenia i ryzyko prowadzi się według PN-ISO/IEC 27002 i PN-ISO/IEC 27005. Jednostka z wdrożonym SZBI według ISO nie musi wykazywać każdego z czternastu punktów osobno.
Polityka bezpieczeństwa informacji w urzędzie i w szkole
Struktura jest ta sama, różni się wypełnienie. W urzędzie gminy dochodzą systemy dziedzinowe, ePUAP i BIP; w szkole — dziennik elektroniczny, konta uczniów i pracownie komputerowe ze współdzielonym dostępem. W obu przypadkach obowiązek wynika z tego samego przepisu i dotyczy jednostki bez względu na jej wielkość.
Polityka jest jednym z dokumentów, które sprawdza się przy dorocznym audycie. Zobacz, na czym polega audyt KRI, pobierz listę kontrolną z dosłownym brzmieniem wszystkich czternastu punktów albo sprawdź wersję dla szkoły.