W administracji publicznej często pojawiają się skróty, które na pierwszy rzut oka brzmią jak kolejna porcja obowiązków: KRI, KSC, RODO, audyt, analiza ryzyka, procedury, incydenty, upoważnienia, rejestry. Łatwo wtedy pomyśleć: „czy to naprawdę jest potrzebne?”. Odpowiedź brzmi: tak — ale tylko wtedy, gdy traktujemy te wymagania jako praktyczny system, a nie jako dokumenty tworzone „do szuflady”.
Każda jednostka publiczna działa dziś na informacji. Dane mieszkańców, decyzje administracyjne, sprawy kadrowe, zamówienia publiczne, systemy finansowe, poczta elektroniczna, rejestry, platformy usługowe — to codzienność urzędu, szkoły, jednostki organizacyjnej czy instytucji kultury. Gdy informacja jest niedostępna, błędna albo trafia do nieuprawnionej osoby, problem przestaje być „informatyczny”. Staje się organizacyjny, prawny, wizerunkowy i często bardzo praktyczny: sprawa nie zostaje załatwiona, usługa nie działa, a zaufanie do instytucji spada.
KRI, czyli Krajowe Ramy Interoperacyjności, porządkują wymagania dotyczące systemów teleinformatycznych, rejestrów publicznych oraz wymiany informacji w postaci elektronicznej. Obowiązujące rozporządzenie KRI obejmuje m.in. minimalne wymagania dla rejestrów publicznych, wymiany informacji elektronicznej i systemów teleinformatycznych, w tym kwestie bezpieczeństwa przy wymianie informacji. Co ważne, KRI wskazuje również na konieczność opracowania, wdrożenia, monitorowania, przeglądania, utrzymywania i doskonalenia systemu zarządzania bezpieczeństwem informacji, który zapewnia poufność, dostępność i integralność informacji.
KSC, czyli krajowy system cyberbezpieczeństwa, patrzy na bezpieczeństwo od strony odporności organizacji na cyberzagrożenia. Ustawa o KSC określa organizację krajowego systemu cyberbezpieczeństwa oraz zadania i obowiązki podmiotów, które wchodzą w jego skład. W praktyce oznacza to m.in. potrzebę zarządzania ryzykiem, obsługi incydentów, przypisania odpowiedzialności i współpracy z właściwymi strukturami cyberbezpieczeństwa.
RODO natomiast przypomina, że za każdym rekordem w systemie stoi człowiek. Dane osobowe to nie tylko PESEL, adres czy numer telefonu. To także informacje o sytuacji rodzinnej, zdrowotnej, finansowej, zawodowej czy administracyjnej. RODO wymaga, aby administrator wdrażał odpowiednie środki techniczne i organizacyjne zapewniające poziom bezpieczeństwa odpowiadający ryzyku naruszenia praw lub wolności osób fizycznych. Wśród takich środków wskazuje się m.in. szyfrowanie, zdolność do zapewnienia poufności, integralności i dostępności systemów, możliwość przywrócenia dostępu do danych oraz regularne testowanie i ocenianie skuteczności zabezpieczeń.
Po co więc to wszystko?
Nie po to, żeby mieć segregator z procedurami. Nie po to, żeby „zaliczyć audyt”. I nie po to, żeby przerzucić odpowiedzialność na informatyków albo inspektora ochrony danych.
Chodzi o to, aby jednostka wiedziała:
kto ma dostęp do informacji,
jakie systemy i zasoby są kluczowe,
jakie ryzyka są realne,
co zrobić w przypadku incydentu,
jak przywrócić działanie po awarii,
jak szkolić pracowników,
jak dokumentować decyzje,
jak wykazać, że bezpieczeństwo jest zarządzane, a nie przypadkowe.
Największy błąd polega na traktowaniu KRI, KSC i RODO jako trzech oddzielnych światów. W rzeczywistości one się uzupełniają. KRI porządkuje fundamenty działania systemów i zarządzania bezpieczeństwem informacji. KSC wzmacnia odporność na cyberzagrożenia i incydenty. RODO chroni prawa osób, których dane są przetwarzane. Razem tworzą logiczną całość: system, który pomaga instytucji działać bezpiecznie, odpowiedzialnie i przewidywalnie.
Dobre wdrożenie nie musi oznaczać nadmiaru dokumentów. Przeciwnie — powinno upraszczać codzienną pracę. Jasne procedury, aktualne upoważnienia, przemyślany podział odpowiedzialności, analiza ryzyka, kopie zapasowe, szkolenia i plan reakcji na incydent dają organizacji spokój. Nie eliminują wszystkich zagrożeń, ale sprawiają, że jednostka nie działa po omacku.
KRI, KSC i RODO nie są więc celem samym w sobie. Są narzędziami, które pomagają chronić informację, ciągłość działania i zaufanie mieszkańców do instytucji publicznych. A w praktyce właśnie o to chodzi w dobrze wdrożonym SZBI: mniej chaosu, więcej odpowiedzialności i bezpieczeństwo, które działa nie tylko podczas audytu, ale każdego dnia.
Dodaj komentarz