Cyberbezpieczeństwo w jednostkach samorządu terytorialnego – ochrona danych i systemów IT w świetle przepisów NIS2 i RODO

1. Wprowadzenie do cyberbezpieczeństwa:
a. Definicja i znaczenie: Co to jest cyberbezpieczeństwo i dlaczego jest kluczowe w środowisku jednostek publicznych, w tym jednostek organizacyjnych organów prowadzących.
b. Identyfikacja zagrożeń: Przegląd najczęstszych zagrożeń cybernetycznych, ataków hakerskich, phishingu oraz ich wpływu na funkcjonowanie instytucji publicznych.
c. Aktualne trendy: Omówienie najnowszych trendów i wyzwań w zakresie cyberbezpieczeństwa.
2. Ramy prawne i odpowiedzialność kierownictwa:
a. Obowiązujące przepisy: Szczegółowy przegląd ustaw i rozporządzeń:
- Dyrektywa NIS2  - europejski akt prawny w zakresie cyberbezpieczeństwa.
- Ustawa KSC – kluczowe aspekty dotyczące bezpieczeństwa cybernetycznego.
- Rozporządzenie KRI – specyfika i wymogi dla jednostek publicznych.
- RODO i bezpieczeństwo danych osobowych.
- Norma ISO27001: bezpieczeństwo informacji.
b. Odpowiedzialność zarządzających: rola i odpowiedzialność dyrektorów oraz członków kadry zarządzającej w kontekście przestrzegania przepisów.
c. Współpraca z Inspektorem Ochrony Danych: Rola IOD, zasady współpracy z działem IT, osobami zarządzającymi cyberbezpieczeństwem oraz najlepsze praktyki w zakresie monitorowania i raportowania naruszeń.
 

3. Budowanie Systemu Zarządzania Cyberbezpieczeństwem:
a. Diagnoza stanu bezpieczeństwa: Metody oceny ryzyka oraz identyfikacja kluczowych zasobów i danych wymagających ochrony.
b. Tworzenie polityk i procedur: Wdrażanie polityk bezpieczeństwa, procedur reagowania na incydenty oraz planów ciągłości działania.
c. Techniczne i organizacyjne środki ochrony: Przykłady narzędzi, technologii oraz rozwiązań wspierających bezpieczeństwo infrastruktury IT.
d. Szkolenia i podnoszenie świadomości: organizacja szkoleń dla pracowników i uczniów, kampanie informacyjne oraz symulacje incydentów.
4. Audyty i Monitorowanie Systemu Bezpieczeństwa:
a. Znaczenie audytów: rola audytów wewnętrznych i zewnętrznych w ocenie skuteczności wdrożonych środków.
b. Przygotowanie do audytu: kluczowe aspekty, na które audytorzy zwracają uwagę, oraz jak przygotować placówkę do kontroli.
c. Analiza wyników audytu: interpretacja raportów, wdrażanie rekomendacji oraz ciągłe doskonalenie systemu zarządzania cyberbezpieczeństwem.
5. Odpowiedzialność i rola Uczestników szkolenia w Instytucjach Publicznych:
a. Inspektor Ochrony Danych (IOD):
- Monitorowanie zgodności z RODO i przepisami krajowymi w urzędach.
- Doradztwo i prowadzenie rejestrów, szkoleń, audytów.
- Współpraca z organem nadzorczym, raportowanie naruszeń.
b. Kadra kierownicza instytucji:
- Budowanie świadomości wśród pracowników, wspieranie inicjatyw z zakresu cyberbezpieczeństwa.
- Zapewnienie odpowiednich zasobów (budżet, personel, narzędzia).
- Odpowiedzialność administracyjna, karna i reputacyjna za naruszenia.
c. Administratorzy systemów informatycznych:
- Implementacja i utrzymanie rozwiązań technicznych.
- Cykliczne przeglądy systemów i aktualizacje zabezpieczeń.
- Wsparcie w sytuacjach incydentów i współpraca z IOD oraz zespołem reagowania.
d. Osoby zarządzające cyberbezpieczeństwem (np. CSO/CISO):
- Definiowanie strategii bezpieczeństwa w administracji publicznej.
- Współpraca z IOD i innymi działami w zakresie monitorowania ryzyka.
- Ustalenie procedur zarządzania incydentami i koordynacja działań obronnych.
6. Reagowanie na incydenty i naruszenia ochrony danych:
a. Definiowanie incydentu i naruszenia w sektorze publicznym:
- Przykłady naruszeń danych osobowych w instytucjach (wyciek danych obywateli, ataki na ePUAP lub lokalne systemy).
- Różnica między incydentem cyberbezpieczeństwa a naruszeniem ochrony danych osobowych.
b. Procedura obsługi incydentu:
- Tworzenie planu reagowania (Incident Response Plan).
- Zgłaszanie incydentów do właściwych organów (CSIRT poziomu krajowego/branżowego, UODO).
- Komunikacja z interesariuszami (obywatele, media, instytucje nadrzędne).
c. Działania po incydencie:
- Analiza przyczyn (root cause analysis) i wnioski na przyszłość.
- Aktualizacja polityk, procedur i wdrażanie poprawek technicznych.
- Kontrola zgodności z RODO i przepisami krajowymi (raporty pokontrolne).
7. Integracja RODO z Cyberbezpieczeństwem:
a. Powiązania między RODO a bezpieczeństwem IT: jak przepisy RODO wpływają na zarządzanie danymi osobowymi i systemami informatycznymi.
b. Wymogi RODO: omówienie obowiązków związanych z przetwarzaniem danych, monitorowaniem dostępu oraz raportowaniem naruszeń.
c. Przykłady i studia przypadków: analiza realnych sytuacji, w których niedostateczne zabezpieczenia wpłynęły na naruszenie ochrony danych.