KRI-realizacja - Cyber NIS2/uKSC2

§ 19 ust. 1 — obowiązek SZBI

§ 19 ust. 1. Podmiot realizujący zadania publiczne opracowuje i ustanawia, wdraża i eksploatuje, monitoruje i przegląda oraz utrzymuje i doskonali system zarządzania bezpieczeństwem informacji zapewniający poufność, dostępność i integralność informacji z uwzględnieniem takich atrybutów, jak autentyczność, rozliczalność, niezaprzeczalność i niezawodność.

Obowiązki wynikające z § 19 ust. 1

Ustawa nakłada na podmiot realizujący zadania publiczne ciągły cykl zarządzania SZBI oraz wymaga, by system chronił informacje w wymiarze CIA (+ atrybuty uzupełniające).

1. Cykl życia systemu zarządzania bezpieczeństwem informacji

Opracowanie i ustanowienie SZBI — zdefiniowanie polityk, procedur, ról i zakresu systemu.
Wdrożenie i eksploatacja — uruchomienie środków technicznych i organizacyjnych w codziennej działalności.
Monitorowanie i przegląd — bieżąca ocena skuteczności zabezpieczeń oraz okresowe przeglądy systemu.
Utrzymywanie i doskonalenie — aktualizacja SZBI w reakcji na zmiany otoczenia, incydenty i wyniki audytów.

2. Wymagane właściwości chronionych informacji (CIA)

Poufność — informacje dostępne wyłącznie dla uprawnionych odbiorców.
Dostępność — informacje i usługi przetwarzające dostępne w wymaganym czasie.
Integralność — ochrona przed nieuprawnioną modyfikacją lub zniszczeniem.

3. Atrybuty uzupełniające (§ 19 ust. 1)

Autentyczność — możliwość weryfikacji tożsamości podmiotu lub źródła informacji.
Rozliczalność — przypisanie działań do konkretnych użytkowników lub podmiotów (accountability).
Niezaprzeczalność — niemożność zaprzeczenia wykonaniu określonej operacji.
Niezawodność — przewidywalne, stabilne działanie środków przetwarzania informacji.

§ 19 ust. 2 — działania realizujące SZBI (szczegółowa lista)

Kierownictwo podmiotu publicznego zapewnia warunki do realizacji i egzekwowania następujących działań (implementacja obowiązku z ust. 1):

Aktualizacja regulacji wewnętrznych w zakresie dotyczącym zmieniającego się otoczenia.
Utrzymywanie aktualności inwentaryzacji sprzętu i oprogramowania służącego do przetwarzania informacji (rodzaj i konfiguracja).
Okresowe analizy ryzyka utraty integralności, dostępności lub poufności informacji oraz działania minimalizujące ryzyko.
Zapewnienie, że osoby zaangażowane w przetwarzanie informacji posiadają stosowne uprawnienia i uczestniczą w procesie adekwatnie do zadań.
Bezzwłoczna zmiana uprawnień przy zmianie zadań tych osób.
Szkolenie osób zaangażowanych w proces przetwarzania informacji, w szczególności w zakresie:
- zagrożeń bezpieczeństwa informacji,
- skutków naruszenia zasad bezpieczeństwa informacji, w tym odpowiedzialności prawnej,
- stosowania środków zapewniających bezpieczeństwo informacji, w tym urządzeń i oprogramowania minimalizujących ryzyko błędów ludzkich.
Ochrona przetwarzanych informacji przed kradzieżą, nieuprawnionym dostępem, uszkodzeniami lub zakłóceniami, przez:
- monitorowanie dostępu do informacji,
- wykrywanie nieautoryzowanych działań związanych z przetwarzaniem informacji,
- środki uniemożliwiające nieautoryzowany dostęp na poziomie systemów operacyjnych, usług sieciowych i aplikacji.
Ustanowienie zasad bezpiecznej pracy mobilnej i pracy na odległość.
Zabezpieczenie informacji przed nieuprawnionym ujawnieniem, modyfikacją, usunięciem lub zniszczeniem.
Zapisy w umowach serwisowych ze stronami trzecimi gwarantujące odpowiedni poziom bezpieczeństwa informacji.
Zasady postępowania z informacjami minimalizujące ryzyko kradzieży informacji i środków przetwarzania (w tym urządzeń mobilnych).
Odpowiedni poziom bezpieczeństwa systemów teleinformatycznych, w szczególności:
- aktualizacja oprogramowania,
- minimalizacja ryzyka utraty informacji w wyniku awarii,
- ochrona przed błędami, utratą, nieuprawnioną modyfikacją,
- mechanizmy kryptograficzne adekwatne do zagrożeń lub wymogów prawa,
- bezpieczeństwo plików systemowych,
- redukcja ryzyk z opublikowanych podatności technicznych,
- niezwłoczne działania po dostrzeżeniu nieujawnionych podatności,
- kontrola zgodności z normami i politykami bezpieczeństwa.
Bezzwłoczne zgłaszanie incydentów naruszenia bezpieczeństwa informacji — w ustalony sposób umożliwiający szybkie działania korygujące.
Okresowy audyt wewnętrzny w zakresie bezpieczeństwa informacji — nie rzadziej niż raz na rok.

§ 19 ust. 3 — droga zgodności z normami

Wymagania z ust. 1 i 2 uznaje się za spełnione, jeżeli SZBI opracowano na podstawie PN-ISO/IEC 27001, a ustanawianie zabezpieczeń, zarządzanie ryzykiem i audytowanie odbywa się na podstawie norm powiązanych — w tym PN-ISO/IEC 27002 (zabezpieczenia) oraz PN-ISO/IEC 27005 (ryzyko). Ust. 4 nakazuje dodatkowe zabezpieczenia tam, gdzie uzasadnia to analiza ryzyka.