Czym jest rozporządzenie KRI?
Rozporządzenie Rady Ministrów z dnia 12 kwietnia 2012 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (Dz.U. 2012 poz. 526, z późniejszymi zmianami) zostało wydane na podstawie ustawy o informatyzacji działalności podmiotów realizujących zadania publiczne. Określa ono, jak systemy teleinformatyczne administracji mają współpracować ze sobą (interoperacyjność), w jakich formatach wymieniać dane oraz (co najważniejsze z perspektywy bezpieczeństwa) jakie minimalne wymagania bezpieczeństwa informacji musi spełniać każdy podmiot publiczny.
Sercem rozporządzenia jest §20, który nakazuje opracowanie, wdrożenie, eksploatację, monitorowanie, przegląd i doskonalenie systemu zarządzania bezpieczeństwem informacji (SZBI), zapewniającego poufność, dostępność i integralność informacji z uwzględnieniem autentyczności, rozliczalności, niezaprzeczalności i niezawodności. W przeciwieństwie do dobrowolnych norm, KRI jest przepisem prawa powszechnie obowiązującego. Jego wymagania nie podlegają negocjacji i są przedmiotem kontroli.
Kogo dotyczy?
Rozporządzenie obejmuje podmioty realizujące zadania publiczne w rozumieniu ustawy o informatyzacji. W praktyce oznacza to całą administrację rządową i samorządową oraz jednostki wykonujące zadania publiczne, niezależnie od wielkości.
- Gminy, powiaty i województwa: urzędy oraz ich jednostki organizacyjne (ośrodki pomocy społecznej, szkoły, zakłady komunalne).
- Administracja rządowa: ministerstwa, urzędy wojewódzkie, urzędy centralne, inspekcje i agencje.
- Publiczne podmioty lecznicze: szpitale, przychodnie i inne placówki realizujące świadczenia finansowane ze środków publicznych.
- Sądy, prokuratury, uczelnie publiczne oraz inne jednostki sektora finansów publicznych realizujące zadania publiczne z użyciem systemów teleinformatycznych.
- Podmioty prywatne w zakresie, w jakim realizują zadania publiczne powierzone im przez administrację.
Kluczowe wymagania §20
Paragraf 20 ust. 2 wymienia konkretne obszary, które SZBI podmiotu publicznego musi obejmować. To praktyczna lista kontrolna, według której pracują audytorzy i kontrolerzy.
- Aktualne regulacje wewnętrzne dotyczące bezpieczeństwa informacji, utrzymywane w zgodzie ze zmieniającym się otoczeniem.
- Inwentaryzacja sprzętu i oprogramowania służącego do przetwarzania informacji, obejmująca ich rodzaj i konfigurację.
- Okresowe analizy ryzyka utraty integralności, dostępności lub poufności informacji oraz działania minimalizujące ryzyko.
- Zarządzanie uprawnieniami: dostęp adekwatny do zadań, bezzwłocznie zmieniany lub odbierany przy zmianie roli i odejściu pracownika.
- Szkolenia osób zaangażowanych w przetwarzanie informacji: zagrożenia, skutki naruszeń, stosowanie zabezpieczeń.
- Zasady bezpiecznej pracy na odległość i mobilnego przetwarzania danych.
- Ochrona przetwarzanych informacji przed kradzieżą, nieuprawnionym dostępem, uszkodzeniami i zakłóceniami, w tym monitorowanie dostępu oraz zabezpieczenia na poziomie systemów, sieci i aplikacji.
- Umowy serwisowe ze stronami trzecimi zawierające zapisy gwarantujące odpowiedni poziom bezpieczeństwa informacji.
- Aktualizacja oprogramowania, kopie zapasowe, mechanizmy kryptograficzne i reagowanie na opublikowane podatności.
- Bezzwłoczne zgłaszanie i obsługa incydentów naruszenia bezpieczeństwa informacji.
- Audyt wewnętrzny w zakresie bezpieczeństwa informacji nie rzadziej niż raz na rok (§20 ust. 2 pkt 14).
Coroczny audyt i kontrole
KRI nie przewiduje certyfikacji. Zgodność weryfikuje się audytem wewnętrznym, który zgodnie z §20 ust. 2 pkt 14 musi odbywać się nie rzadziej niż raz na rok. Audyt może przeprowadzić komórka audytu wewnętrznego jednostki albo niezależny audytor zewnętrzny; kluczowa jest niezależność audytującego od audytowanego obszaru IT oraz udokumentowany plan, raport i rekomendacje.
Zgodność z KRI jest regularnie przedmiotem kontroli Najwyższej Izby Kontroli oraz kontroli resortowych i wojewódzkich. Kontrole NIK dotyczące bezpieczeństwa informacji w samorządach i szpitalach wielokrotnie wykazywały te same braki: brak corocznego audytu, nieaktualne analizy ryzyka, aktywne konta byłych pracowników i brak testów odtwarzania kopii zapasowych. Co istotne, §20 ust. 3 rozporządzenia stanowi, że wymagania SZBI uznaje się za spełnione, jeżeli system opracowano na podstawie Polskiej Normy PN-ISO/IEC 27001, więc wdrożenie ISO 27001 „zalicza" wymagania KRI.
KRI a KSC, NIS 2 i RODO
KRI nie działa w próżni. Podmioty publiczne są jednocześnie objęte ustawą o krajowym systemie cyberbezpieczeństwa (KSC), która nakłada obowiązki zgłaszania incydentów do właściwego CSIRT, a jej nowelizacja wdrażająca dyrektywę NIS 2 istotnie rozszerza katalog obowiązków i sankcji. Równolegle każdy urząd i szpital przetwarza dane osobowe, więc podlega RODO, z obowiązkiem zgłaszania naruszeń Prezesowi UODO w 72 godziny i zawierania umów powierzenia z dostawcami.
Dobra wiadomość jest taka, że te wymagania w dużej mierze się pokrywają: rzetelnie prowadzony SZBI według KRI (inwentaryzacja, analiza ryzyka, uprawnienia, szkolenia, kopie, incydenty, audyt) stanowi wspólny fundament zgodności z KSC/NIS 2 i RODO. Wysiłek włożony raz procentuje we wszystkich trzech reżimach.
Jak pomaga Guardiso?
Guardiso przekłada wymagania rozporządzenia KRI na gotowy do prowadzenia system: od pierwszej samooceny, przez rejestry i polityki, po dowody dla corocznego audytora.
- Kontrole KRI tworzone automatycznie po włączeniu standardu, z opisami po polsku, statusami wdrożenia i właścicielami.
- Polityka bezpieczeństwa informacji i regulacje wewnętrzne generowane z szablonów dopasowanych do jednostki publicznej, z wersjonowaniem i zatwierdzeniem kierownictwa.
- Rejestr ryzyk z okresową analizą ryzyka jako gotowy dowód realizacji wymagań §20 ust. 2.
- Inwentaryzacja aktywów, przeglądy uprawnień i szkolenia pracowników prowadzone jako zadania cykliczne z automatycznymi przypomnieniami.
- Rejestr incydentów ze ścieżką zgłoszeń zewnętrznych (CSIRT, UODO) i terminami.
- Moduł audytu: plan audytu, lista kontrolna KRI, raport z ustaleniami i śledzenie realizacji rekomendacji rok do roku.
- Mapowanie krzyżowe na ISO 27001, NIS 2 (KSC) i RODO. Praca wykonana dla KRI zalicza pokrywające się wymagania pozostałych ram.