Przygotowanie do KSC - jak wykorzystać działania podjęte w ramach wdrażania RODO i KRI
Na czym polega budowanie odpornej cyfrowo placówki, co to jest KSC, jak właściwie wdrożone RODO, przeprowadzane cyklicznie audyty KRI i CMDB oraz szkolenia pomagają zachować wymagane standardy bezpieczeństwa.
EWOLUCJA BEZPIECZEŃSTWA W OŚWIACIE OD RODO, PRZEZ KRI, AŻ DO KSC
Kierowanie placówką oświatową wiąże się z koniecznością ciągłego reagowania na nowe wytyczne i regulacje prawne. Dla wielu dyrektorów oraz organów prowadzących, kolejne akty prawne od unijnego RODO, przez Krajowe Ramy Interoperacyjności (KRI), aż po najnowszą nowelizację ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC/NIS2), mogą sprawiać wrażenie, że odnoszą się do różnych obszarów. W rzeczywistości jednak przepisy te tworzą spójną, logiczną ścieżkę. Ich nadrzędnym celem nie jest mnożenie dokumentacji, lecz zapewnienie ciągłości działania placówki, ochrona danych uczniów oraz gwarancja nieprzerwanej dostępności cyfrowych usług edukacyjnych.
Budowanie odpornej cyfrowo placówki to proces, który w większości jednostek już trwa i opiera się na:
ochronie danych osobowych (RODO) - Ogólne Rozporządzenie o Ochronie Danych wzmocniło odpowiedzialność administratora za realną ochronę prywatności uczniów, rodziców i pracowników w oparciu nie tylko o fundamenty prawne, ale i rozwiązania organizacyjne ochrony danych osobowych. Wskazując chociażby na zarządzanie uprawnieniami oraz identyfikację i ocenę ryzyk dla prywatności. Budując również podstawy bezpieczeństwa informatycznego w kontekście danych osobowych poprzez realizacje szkoleń czy analiz ryzyka dla bezpieczeństwa danych osobowych.
bezpieczeństwie informacji (KRI) - narzuciły ramy zarządzania informacją w podmiotach publicznych, wymagając m.in. regularnych audytów systemów teleinformatycznych oraz minimalnych standardów bezpieczeństwa. Budując również podstawy dla zarządzania zasobami przez realizację np. inwentaryzacji CMDB.
cyberodporności i ciągłości działania (KSC) - to najnowszy etap, który kładzie nacisk na aktywne przeciwdziałanie incydentom, monitorowanie infrastruktury, natychmiastowe przywracanie usług w przypadku awarii lub cyberataku oraz osobistą odpowiedzialność kierownictwa za prawidłową realizację obowiązków własnych i obowiązków organizacji z zakresu cyberbezpieczeństwa.
BUDOWANIE BEZPIECZNEGO SYSTEMU ETAPAMI - KLUCZEM DO SPEŁNIENIA NOWYCH WYTYCZNYCH
Wejście w życie nowych wymogów wynikających z ustawy o KSC nie oznacza konieczności budowania systemów bezpieczeństwa od nowa. Placówki, które rzetelnie podeszły do wcześniejszych obowiązków i posiadają już uporządkowane zagadnienia z obszaru IT, opierają się na solidnych fundamentach.
Bez wcześniejszego przygotowania, podejście do zaawansowanych wymogów KSC jest niezwykle trudne, wręcz niemożliwe. (Warto tu może odnieść się także do tego, że wymagania KSC dla szkół jako podmiotów ważnych oparte są na Załączniku 4 do UKSC zawierającym uproszczony model SZBI, który można realizować na bazie KRI i RODO). Choć KRI i KSC są odrębnymi aktami prawnymi, to w praktyce technicznej i organizacyjnej ściśle się przenikają:
zrealizowany audyt KRI oraz wdrożone elementy SZBI (Systemu Zarządzania Bezpieczeństwem Informacji) to gotowy fundament. Stanowi on bezpośrednią bazę do opracowania procedur zarządzania incydentami i ciągłości działania wymaganych przez KSC.
przeprowadzona inwentaryzacja zasobów (CMDB) daje pełną wiedzę o strukturze sieciowej placówki. Bez dokładnej mapy serwerów, komputerów i systemów niemożliwe jest realizowanie obowiązku monitorowania podatności, który nakłada KSC.
cykliczne szkolenia z zakresu cyberbezpieczeństwa dla kadry pedagogicznej i administracyjnej spełniają uniwersalny wymóg budowania świadomości, obecny zarówno w RODO, KRI, jak i w nowych wytycznych KSC.
ZALECENIA DZIAŁAŃ
Wykorzystanie efektów wcześniejszych audytów KRI, rejestrów CMDB oraz zrealizowanych szkoleń to zalecana droga do tego, aby adaptacja do standardów KSC przebiegła sprawnie oraz w sposób uporządkowany.
Warto wykonać następujące kroki:
Przeprowadzić weryfikację aktualności procedur stworzonych na potrzeby RODO czy KRI,
Zweryfikować wyniki i zalecenia z ostatnich audytów analizy ryzyka czy KRI, aby zidentyfikować, które podatności techniczne wciąż pozostają otwarte,
Sprawdzić, czy procedury backupu są regularnie testowane pod kątem czasu odzyskiwania danych po ewentualnym ataku,
Wykorzystać istniejącą inwentaryzację sprzętu i oprogramowania CMDB dla wyeliminowania zagrożeń cybernetycznych jak np. przestarzałe, nieaktualne i niewspierane oprogramowanie,
Sprawdzić kto i kiedy uczestniczył w ostatnich szkoleniach z tematyki CYBER,
Przeanalizować zapisy w umowach z zewnętrznymi podmiotami, czy określa się parametry bezpieczeństwa i czas reakcji na incydenty.
Pomagamy jednostkom budować odporność cyfrową poprzez przeprowadzanie audytów KRI i CMDB oraz realizację szkoleń.
Jeżeli są Państwo zainteresowani naszym wsparciem, zapraszamy do kontaktu:
Dziękujemy, że przeczytałaś/eś nasz artykuł do końca. W serwisie RODOsfera.pl piszemy o najważniejszych obowiązkach prawnych wynikających z Rozporządzenia o Ochronie Danych Osobowych oraz innych ważnych tematach dla oświaty. Jeżeli masz pytanie lub ciekawe tematy na POSTY, wyślij do nas taką informację - opublikujemy odpowiedź na BLOGU.
Przygotowanie do KSC - jak wykorzystać działania podjęte w ramach wdrażania RODO i KRI
Dodatkowe informacje:
