Audyt KRI w szkole i urzędzie: §19 rozporządzenia o Krajowych Ramach Interoperacyjności

Rozporządzenie o Krajowych Ramach Interoperacyjności zobowiązuje podmioty realizujące zadania publiczne do utrzymywania systemu zarządzania bezpieczeństwem informacji i do audytu wewnętrznego w zakresie bezpieczeństwa informacji, nie rzadziej niż raz na rok (§19 ust. 2 pkt 14). Pomagamy szkołom i urzędom przygotować i przeprowadzić taki audyt.

Co wymaga rozporządzenie

Zgodnie z §19 ust. 1 podmiot realizujący zadania publiczne opracowuje i ustanawia, wdraża i eksploatuje, monitoruje i przegląda oraz utrzymuje i doskonali system zarządzania bezpieczeństwem informacji. Ustęp 2 wymienia działania, które kierownictwo podmiotu ma w tym celu zapewnić, w tym okresowy audyt wewnętrzny. Ustęp 3 przewiduje, że wymagania uznaje się za spełnione, jeżeli system opracowano na podstawie normy PN-ISO/IEC 27001.

Rozporządzenie a ustawa o krajowym systemie cyberbezpieczeństwa

Obowiązki szkół jako podmiotów ważnych w zakresie SZBI określa także ustawa o krajowym systemie cyberbezpieczeństwa (art. 8 ust. 3 i załącznik nr 4). Ministerstwo Cyfryzacji zapowiedziało usunięcie przepisów o SZBI z rozporządzenia KRI. Dlatego przy planowaniu audytu sprawdzamy aktualne brzmienie obu aktów i układamy zakres tak, aby jednocześnie służył przeglądowi SZBI wymaganemu przez załącznik nr 4.

Jak przebiega audyt

Rozmowa z dyrektorem i ustalenie zakresu.
Przegląd dokumentacji: polityk, procedur, rejestrów, upoważnień, potwierdzeń szkoleń.
Sprawdzenie stanu technicznego: sprzętu i oprogramowania, kont i uprawnień, kopii zapasowych, zabezpieczeń sieci i pomieszczeń.
Raport z ustaleniami i zaleceniami dla dyrektora.

Dla gmin i jednostek obsługujących szkoły

Organ prowadzący lub centrum usług wspólnych może zlecić audyt dla kilku jednostek jednocześnie. Przygotowujemy wtedy wspólny harmonogram i jednolity wzór raportu dla wszystkich szkół.

Pytania, które dostajemy najczęściej

Czy audyt KRI jest obowiązkowy w szkole?

Rozporządzenie o Krajowych Ramach Interoperacyjności w §19 ust. 2 pkt 14 wymaga zapewnienia okresowego audytu wewnętrznego w zakresie bezpieczeństwa informacji, nie rzadziej niż raz na rok. Obowiązek dotyczy podmiotów realizujących zadania publiczne, w tym szkół, w zakresie, w jakim przepis ten obowiązuje.

Czy audyt musi przeprowadzić firma zewnętrzna?

Rozporządzenie mówi o audycie wewnętrznym i nie wymaga, aby przeprowadzał go podmiot zewnętrzny. Szkoła może przeprowadzić go samodzielnie albo skorzystać ze wsparcia.

Czy rozporządzenie KRI się zmienia?

Ministerstwo Cyfryzacji zapowiedziało zmianę rozporządzenia polegającą na usunięciu z niego przepisów dotyczących systemu zarządzania bezpieczeństwem informacji, ponieważ obowiązki w tym zakresie określa ustawa o krajowym systemie cyberbezpieczeństwa. Przed przeprowadzeniem audytu warto sprawdzić aktualne brzmienie §19 rozporządzenia.

Jak audyt KRI ma się do przeglądu SZBI według ustawy o KSC?

Szkoła jako podmiot ważny dokonuje przeglądu SZBI co najmniej raz w roku (załącznik nr 4, część III). Zakres obu czynności w dużej części się pokrywa, dlatego można je zaplanować wspólnie.

Podstawa prawna i źródła

Treść ma charakter informacyjny. W konkretnej sprawie rozstrzyga aktualne brzmienie przepisów i stanowisko właściwego organu.