Czego wymaga ustawa?  

Ustawa wymaga zapewnienia odpowiedniego poziomu ochrony systemów, urządzeń, informacji i danych wykorzystywanych do świadczenia usług. Obejmuje to m.in. kontrolę dostępu, ochronę danych przed utratą i nieuprawnionym ujawnieniem, stosowanie szyfrowania i MFA, zarządzanie aktualizacjami oraz zapewnienie bezpieczeństwa infrastruktury. Celem tych działań jest zachowanie poufności, integralności, dostępności i odporności systemów na cyberzagrożenia.

Co to oznacza w praktyce? 

• Bezpieczeństwo systemów przez cały cykl życia (art. 8 ust. 1 pkt 2 lit. b oraz lit. m)

Wymagania bezpieczeństwa powinny być uwzględniane na każdym etapie życia systemu: od zakupu lub projektowania, przez wdrożenie, utrzymanie, rozwój i testowanie, aż po jego wycofanie z użytkowania. Oznacza to m.in. uwzględnianie bezpieczeństwa przy wyborze nowych rozwiązań, zarządzaniu zmianami oraz bezpiecznym usuwaniu danych i urządzeń. Wymaga to również utrzymywania aktualnych informacji o wykorzystywanych systemach, urządzeniach i oprogramowaniu oraz planowania ich utrzymania, rozwoju i wycofania z użytkowania. Niezbędne jest także regularne aktualizowanie systemów, urządzeń i oprogramowania w celu usuwania znanych podatności i utrzymania odpowiedniego poziomu bezpieczeństwa.

• Ochrona infrastruktury, urządzeń i środowiska (art. 8 ust. 1 pkt 2 lit. c)

Bezpieczeństwo informacji zależy nie tylko od systemów informatycznych. Znaczenie mają również urządzenia, pomieszczenia oraz infrastruktura wykorzystywana do świadczenia usług. Warto uwzględnić zagrożenia, takie jak kradzież sprzętu, nieuprawniony dostęp do pomieszczeń, awarie zasilania, pożar, zalanie lub inne zdarzenia mogące zakłócić funkcjonowanie organizacji.

• Szyfrowanie i ochrona informacji (art. 8 ust. 1 pkt 2 lit. k)

Mechanizmy kryptograficzne, w tym szyfrowanie, powinny być stosowane zgodnie z poziomem ryzyka i rodzajem przetwarzanych informacji. Dotyczy to m.in. danych przechowywanych na laptopach, urządzeniach mobilnych i nośnikach zewnętrznych, a także informacji przesyłanych pocztą elektroniczną. Poziom zabezpieczeń kryptograficznych powinien być dostosowany do wartości chronionych informacji oraz skutków ich ewentualnego ujawnienia lub utraty.

• Bezpieczna komunikacja i uwierzytelnianie (art. 8 ust. 1 pkt 2 lit. l)

Wymiana informacji wymaga korzystania z bezpiecznych kanałów komunikacji oraz rozwiązań ograniczających ryzyko nieuprawnionego dostępu. Bezpieczeństwo poczty elektronicznej wymaga stosowania mechanizmów tj. SPF, DKIM i DMARC, które umożliwiają weryfikację autentyczności wiadomości i ograniczają ryzyko podszywania się pod domenę organizacji. Ich brak może ułatwiać prowadzenie kampanii phishingowych oraz wykorzystywanie nazwy organizacji do działań oszukańczych.  Istotną rolę odgrywa uwierzytelnianie wieloskładnikowe (MFA), które oprócz hasła wymaga dodatkowego potwierdzenia tożsamości, np. kodem z aplikacji mobilnej lub kluczem sprzętowym. Szczególnie jest to ważne przy ochronie poczty elektronicznej, usług chmurowych, połączeń VPN, usług zdalnego pulpitu (RDP) oraz kont administracyjnych. Dzięki temu przejęcie samego hasła nie wystarcza do uzyskania dostępu do systemu.

• Kontrola dostępu do systemów i danych (art. 8 ust. 1 pkt 2 lit. n)

Dostęp do informacji i systemów powinien być ograniczony do osób, które rzeczywiście potrzebują go do wykonywania swoich obowiązków. Zakres uprawnień warto dopasowywać do pełnionej roli, regularnie go weryfikować oraz aktualizować przy zmianie stanowiska lub zakończeniu współpracy. Dobrą praktyką jest także ograniczanie korzystania z kont administracyjnych i stosowanie zasady minimalnych uprawnień.

• Ochrona informacji i danych (art. 8 ust. 1 pkt 5 lit. a)

Ochrona informacji obejmuje nie tylko zabezpieczenia techniczne, ale również sposób zarządzania danymi w organizacji. W praktyce oznacza to:

• klasyfikację informacji według ich znaczenia i wrażliwości,
• określenie zasad przechowywania i udostępniania danych,
• wykonywanie i zabezpieczanie kopii zapasowych,
• monitorowanie dostępu do informacji,
• bezpieczne usuwanie danych i nośników informacji,
• stosowanie zasad ochrony danych przez cały okres ich przetwarzania.

Działania te pomagają ograniczyć ryzyko utraty informacji, wycieku danych oraz ich nieuprawnionego wykorzystania. Ich celem jest również zapewnienie, aby dane były dostępne dla uprawnionych osób wtedy, kiedy są potrzebne, nie były modyfikowane w sposób nieuprawniony oraz aby możliwe było potwierdzenie ich pochodzenia i autentyczności.

• Zarządzanie aktualizacjami (art. 8 ust. 1 pkt 5 lit. b)

Regularne aktualizowanie systemów, aplikacji i urządzeń pomaga usuwać znane luki w zabezpieczeniach i ograniczać ryzyko cyberataków. Istotne jest również monitorowanie, czy wykorzystywane rozwiązania są nadal wspierane przez producenta i otrzymują niezbędne aktualizacje.

• Integralność i ochrona systemów (art. 8 ust. 1 pkt 5 lit. c)

Integralność systemów oznacza pewność, że dane i konfiguracje nie zostaną zmienione przez osoby nieuprawnione ani uszkodzone w wyniku błędu, awarii lub ataku. Osiągnięcie tego celu wymaga połączenia wielu działań: kontroli dostępu, ochrony informacji, stosowania szyfrowania, bezpiecznej komunikacji oraz właściwego zabezpieczenia urządzeń i infrastruktury. Dodatkowym mechanizmem ograniczającym skutki incydentów jest segmentacja sieci, polegająca na oddzielaniu od siebie systemów i usług o różnym poziomie krytyczności. Ich wspólnym celem jest utrzymanie stabilnego i bezpiecznego działania systemów wykorzystywanych do świadczenia usług.

Jak sprawdzić, czy organizacja spełnia ten obowiązek?  

Ochrona systemów i informacji obejmuje zarówno rozwiązania techniczne, jak i działania organizacyjne, które mają zapewnić poufność, integralność i dostępność danych oraz odporność systemów na zagrożenia. Aby ocenić, czy wymagania w tym obszarze są realizowane, warto spojrzeć na nie z kilku uzupełniających się perspektyw:

• decyzji i odpowiedzialności,
• zasad i procedur,
• systemów i bezpieczeństwa technicznego,
• usług, ludzi i codziennej działalności.

Skuteczne cyberbezpieczeństwo zaczyna się od jasnego podziału odpowiedzialności. Organizacja powinna wiedzieć, kto odpowiada za ochronę systemów i informacji oraz kto podejmuje decyzje dotyczące akceptacji ryzyka lub odstępstw od obowiązujących zasad bezpieczeństwa. Brak jednoznacznego przypisania tych obowiązków może prowadzić do wdrażania nowych rozwiązań bez odpowiedniego nadzoru oraz niewystarczającej ochrony kluczowych zasobów.

Równie ważne są przejrzyste zasady i procedury. Powinny one określać wymagania bezpieczeństwa dla nowych systemów i usług, sposób postępowania z informacjami wymagającymi szczególnej ochrony oraz zasady stosowania szyfrowania i bezpiecznych kanałów komunikacji. Istotne jest również przygotowanie organizacji do reagowania na incydenty cyberbezpieczeństwa, w tym określenie zasad współpracy z właściwym zespołem CSIRT. Brak takich regulacji może prowadzić do stosowania niespójnych standardów ochrony, zwiększając ryzyko błędów, wycieku danych i problemów z realizacją obowiązków wynikających z przepisów.

Same procedury nie wystarczą jednak, jeśli nie towarzyszą im odpowiednie zabezpieczenia techniczne. Warto więc regularnie weryfikować, czy organizacja skutecznie identyfikuje i usuwa podatności, aktualizuje systemy i oprogramowanie oraz stosuje rozwiązania takie jak uwierzytelnianie wieloskładnikowe (MFA), szyfrowanie czy odpowiednie polityki haseł. Nie można także pomijać ochrony infrastruktury przed zagrożeniami fizycznymi i środowiskowymi, takimi jak pożary, zalania czy przerwy w dostawie energii. Zaniedbania w tych obszarach mogą prowadzić zarówno do naruszenia bezpieczeństwa danych, jak i zakłóceń w funkcjonowaniu organizacji.

O poziomie bezpieczeństwa decydują także codzienne nawyki pracowników. Korzystanie z indywidualnych kont, nadawanie uprawnień odpowiednich do wykonywanych zadań czy używanie wyłącznie zatwierdzonego sprzętu i oprogramowania to podstawowe zasady, które ograniczają ryzyko. Ich lekceważenie może prowadzić do niekontrolowanego kopiowania informacji, instalowania niebezpiecznych aplikacji, wycieku poufnych danych czy utraty informacji zapisanych na urządzeniach mobilnych.

Ocena cyberbezpieczeństwa nie powinna ograniczać się do sprawdzenia, czy organizacja posiada wymagane dokumenty i procedury. Najważniejsze jest ustalenie, czy przyjęte zasady są faktycznie stosowane i skutecznie chronią systemy, informacje oraz ciągłość działania organizacji.

Jakie działania  wspierają realizację  wymagań ustawowych?

Realizacja wymagań dotyczących ochrony systemów i informacji wymaga stałego monitorowania poziomu bezpieczeństwa oraz regularnej weryfikacji stosowanych zabezpieczeń. Dzięki temu organizacja może odpowiednio wcześnie reagować na nowe zagrożenia, podatności oraz dostępne aktualizacje bezpieczeństwa.

W praktyce warto systematycznie identyfikować podatności, błędy konfiguracji i informacje o wyciekach danych, a także śledzić komunikaty publikowane przez zespoły reagowania na incydenty np. CERT Polska oraz producentów wykorzystywanych systemów i urządzeń. Wsparciem w tych działaniach może być usługa moje.cert.pl, bezpłatne narzędzie CERT Polska (NASK) umożliwiające monitorowanie i ocenę poziomu cyberbezpieczeństwa domen, stron internetowych oraz infrastruktury sieciowej organizacji.

Istotne jest również uwzględnianie wymagań bezpieczeństwa już na etapie planowania nowych usług, systemów i zmian organizacyjnych. Takie podejście pozwala ograniczyć ryzyko wdrożenia rozwiązań, które nie spełniają wymagań bezpieczeństwa lub wymagają kosztownych modyfikacji po uruchomieniu.

Dobrą praktyką są okresowe przeglądy konfiguracji systemów, urządzeń i usług oraz regularna weryfikacja uprawnień użytkowników w celu usuwania zbędnych dostępów.

Coraz większego znaczenia nabiera także zarządzanie wykorzystaniem prywatnych urządzeń do celów służbowych. Jasne zasady korzystania z takich urządzeń pozwalają ograniczyć ryzyko utraty danych i nieuprawnionego dostępu do informacji. Dzięki tym działaniom organizacja może skuteczniej chronić swoje systemy i dane oraz utrzymywać zgodność z wymaganiami ustawowymi.

Ochrona systemów i informacji – podstawa cyberodporności

Ochrona systemów i informacji to obszar, który wymaga ciągłej uwagi i systematycznych działań. Skuteczność zabezpieczeń zależy nie tylko od wdrożenia odpowiednich rozwiązań technicznych, lecz także od ich bieżącego utrzymywania, monitorowania i dostosowywania do zmieniających się zagrożeń.

Pułapki w obszarze ochrony systemów i informacji często wynikają nie z braku zabezpieczeń, lecz z ich niewłaściwej konfiguracji, utrzymywania nadmiernych uprawnień lub zaniedbań w codziennej eksploatacji systemów. Szczególną uwagę warto zwrócić na pozostawianie dostępnych z Internetu paneli administracyjnych, przyznawanie użytkownikom i administratorom szerszych uprawnień niż jest to niezbędne do wykonywania obowiązków, korzystanie z niewspieranego lub nieaktualnego oprogramowania oraz brak kontroli nad urządzeniami mobilnymi wykorzystywanymi do pracy. Ryzyko zwiększa także traktowanie kopii zapasowych jako wystarczającego zabezpieczenia bez regularnego testowania możliwości ich odtworzenia oraz niedostosowanie poziomu ochrony do znaczenia systemów i przetwarzanych danych.

Dlatego warto regularnie weryfikować stan bezpieczeństwa systemów, aktualizować stosowane zabezpieczenia oraz kontrolować dostęp do danych i zasobów. Takie podejście pozwala ograniczać ryzyko incydentów, chronić kluczowe informacje oraz zapewniać bezpieczne i nieprzerwane świadczenie usług.

Więcej informacji o ochronie systemów i danych znajduje się w poradniku „Od wymagań do działania. Praktyczny przewodnik po nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa”. Publikacja zawiera pytania kontrolne, przykładowe działania i dokumenty oraz dobre praktyki wspierające ocenę zabezpieczeń i planowanie dalszych działań w organizacji.

 

Artykuł wyraża jedynie poglądy autorów i nie może być utożsamiany
z oficjalnym stanowiskiem Ministerstwa Cyfryzacji