Zacznijmy od pytania, które słyszymy na niemal każdym pierwszym spotkaniu: „mamy komplet polityk bezpieczeństwa, więc mamy SZBI, prawda?”. I tu jest pułapka. Nie, samo posiadanie polityk nie znaczy, że macie SZBI – a to nie wstyd, bo sam skrót brzmi jak nazwa systemu, który się kupuje i wdraża. SZBI, czyli po ludzku System Zarządzania Bezpieczeństwem Informacji, to coś innego niż zbiór dokumentów. I właśnie z tego pomieszania wynika większość nieporozumień w tym temacie.
Wyobraź sobie dom i instalację grzewczą. Segregator z projektem instalacji nikogo nie ogrzeje. Ogrzewa instalacja, która działa, ma przeglądy i zostawia po sobie protokoły. Do tego obrazu wrócimy jeszcze dwa razy, bo on tłumaczy w tym temacie więcej niż każda definicja.
Przejdziemy przez siedem rzeczy: co ustawa nazywa SZBI, gdzie kończy się jego zakres, z czego się składa, czym są dwie warstwy dokumentacji, czym SZBI różni się od znanej z normy ISO 27001, kto buduje go według innych zasad i jakie cztery nieporozumienia wracają najczęściej. Na końcu trzy rzeczy do zapamiętania i jeden krok na dziś.
1. Co ustawa nazywa SZBI: pięć zadań, nie lista dokumentów
Art. 8 ust. 1 mówi, że podmiot kluczowy albo ważny – czyli firma lub instytucja objęta ustawą – wdraża system zarządzania bezpieczeństwem informacji w systemie informacyjnym wykorzystywanym w procesach wpływających na świadczenie usługi. System informacyjny to po ludzku Wasze systemy i dane wraz z ludźmi oraz procesami, które je obsługują.
I teraz rzecz najważniejsza. Ustawa nie wylicza dokumentów, które mają powstać. Wylicza pięć zadań, które ten system ma wykonywać.
| Funkcja | Podstawa | Typowy dowód realizacji |
|---|---|---|
| Systematyczne szacowanie ryzyka wystąpienia incydentu i zarządzanie tym ryzykiem | art. 8 ust. 1 pkt 1 | raport z szacowania, rejestr ryzyk, plan postępowania z ryzykiem |
| Wdrożenie odpowiednich i proporcjonalnych środków technicznych i organizacyjnych | art. 8 ust. 1 pkt 2 lit. a-n | dokumentacja środków i zapisy potwierdzające ich działanie |
| Zbieranie informacji o cyberzagrożeniach i podatnościach | art. 8 ust. 1 pkt 3 | raporty ze skanowania, źródła threat intelligence, ślad reakcji na ostrzeżenia |
| Zarządzanie incydentami | art. 8 ust. 1 pkt 4 | procedura, rejestr incydentów, log klasyfikacji |
| Stosowanie środków zapobiegawczych | art. 8 ust. 1 pkt 5 | zapisy aktualizacji, kontrola integralności, działania po dostrzeżeniu podatności |
Z takiego zapisu wynika jedna, bardzo praktyczna rzecz. Pytanie „czy mamy SZBI” nie brzmi „czy mamy dokumenty”. Brzmi: czy te pięć rzeczy dzieje się u nas naprawdę i czy potrafimy to pokazać.
Ustawa opisuje SZBI przez to, co ten system ma robić, a nie przez to, co ma zawierać. W praktyce znaczy to tyle, że pierwszą rzeczą do sprawdzenia nie jest spis polityk, a nazwisko osoby odpowiedzialnej za każde z pięciu zadań.
2. Gdzie kończy się SZBI
W definicji jest fragment, który przy pierwszym czytaniu łatwo pominąć: system wdraża się w systemie informacyjnym wykorzystywanym w procesach wpływających na świadczenie usługi. To wyznacza granicę. SZBI nie obejmuje więc automatycznie całego IT organizacji. Nie obejmuje też pojedynczej aplikacji.
Punktem wyjścia jest usługa, którą świadczycie, a nie mapa infrastruktury: najpierw ustalacie, co jest tą usługą, potem które systemy wpływają na jej świadczenie, i to one wchodzą do zakresu. Obie pomyłki w wyznaczaniu zakresu kosztują, tylko inaczej. Zakres zbyt szeroki oznacza wdrażanie czternastu środków w miejscach, w których nie mają uzasadnienia, i zbieranie dowodów, o które nikt nie zapyta. Zakres zbyt wąski oznacza lukę w tym miejscu, w którym organ będzie patrzeć najpierw.
Z definicją zakresu wiąże się druga zasada, zapisana wprost w art. 8 ust. 1 pkt 2: środki mają być odpowiednie i proporcjonalne do oszacowanego ryzyka, z uwzględnieniem najnowszego stanu wiedzy, kosztów wdrożenia, wielkości podmiotu, prawdopodobieństwa wystąpienia incydentów, narażenia na ryzyka oraz skutków społecznych. To odpowiedź na najczęstsze pytanie zarządów: nie, ustawa nie wymaga od dwustuosobowej firmy tego samego, czego od operatora sieci przesyłowej.
Zakres wyznaczają procesy wpływające na świadczenie usługi, a poziom środków – oszacowane ryzyko i wielkość podmiotu. W praktyce oznacza to, że zakres SZBI jest decyzją, którą trzeba zapisać i uzasadnić, a nie założeniem, które przyjmuje się milcząco.
3. Z czego składa się SZBI
Na system składają się dwie części.
Dokumentacja z art. 10 – normatywna i operacyjna. O tym cała następna sekcja.
Czternaście środków bezpieczeństwa z art. 8 ust. 1 pkt 2 lit. a-n. W praktyce łatwiej pracować z nimi w czterech grupach: zarządcze i procesowe (polityki ryzyka i bezpieczeństwa, ocena skuteczności środków, zarządzanie aktywami), techniczne (bezpieczeństwo w cyklu życia systemów, monitorowanie ciągłe, kryptografia, bezpieczna komunikacja, kontrola dostępu), fizyczne i ludzkie (bezpieczeństwo fizyczne i środowiskowe, zasoby ludzkie, edukacja personelu, cyberhigiena) oraz ciągłość i dostawcy (łańcuch dostaw ICT, plany ciągłości i odtworzeniowe). Jedna uwaga do czytania art. 8, która oszczędza nieporozumień: litery od a do n dotyczą wyłącznie punktu 2. Punkty 1 oraz 3-5 to osobne wymagania bez własnych liter – szacowanie ryzyka, zbieranie informacji o zagrożeniach i podatnościach, zarządzanie incydentami i środki zapobiegawcze.
Organizacja, która odhaczyła czternaście liter i uznała temat za zamknięty, pominęła cztery wymagania.
Do tego dochodzi warstwa zarządcza. Odpowiedzialność za wykonywanie obowiązków ponosi kierownik podmiotu (art. 8c), a jego zadania – decyzje, środki finansowe, przydział zadań, nadzór, dbanie o świadomość personelu i zgodność – wymienia art. 8d. Formalna akceptacja systemu przez kierownictwo jest więc częścią SZBI, nie kurtuazją.
Dokumentacja z art. 10, czternaście środków z pkt 2 oraz cztery wymagania bez litery z pkt 1 i 3-5, w ramach odpowiedzialności kierownika podmiotu. W praktyce oznacza to, że plan budowy SZBI ma osiemnaście pozycji merytorycznych, nie czternaście.
4. Dokumentacja normatywna i operacyjna
To rozróżnienie jest rdzeniem definicji, a nie kwestią porządku w plikach. Dokumentacja normatywna mówi, jak ma być: polityki, procedury, regulaminy, standardy konfiguracji, metodyki. Dokumentacja operacyjna dowodzi, że tak faktycznie jest: zapisy, logi, protokoły, listy obecności, rejestry, raporty z przeglądów.
Wróćmy do analogii z instalacją. Dokumentacja normatywna to projekt. Dokumentacja operacyjna to protokoły z przeglądów i odczyty licznika. Sam projekt nie dowodzi, że instalacja kiedykolwiek działała. Ustawa dopisuje do tego trzy wymogi, o których łatwo zapomnieć przy porządkowaniu repozytorium. Nadzór nad dokumentacją: dostęp wyłącznie dla osób upoważnionych, ochrona przed uszkodzeniem i utratą oraz oznaczanie kolejnych wersji umożliwiające określenie zmian (art. 10 ust. 6). Retencja: co najmniej 2 lata od wycofania dokumentu z użytkowania lub od zakończenia świadczenia usługi (art. 10 ust. 7) – a więc nie od utworzenia, co oznacza, że stara wersja polityki nie idzie do kosza po podpisaniu nowej. I protokół brakowania przy niszczeniu dokumentacji, przechowywany w sposób trwały (art. 10 ust. 8).
Normatywna mówi „jak ma być”, operacyjna dowodzi, że tak jest. Zgodność wymaga obu warstw naraz. W praktyce oznacza to, że organizacja z kompletem polityk i zerem zapisów nie ma jeszcze SZBI w rozumieniu ustawy. Ma projekt SZBI.
4. Dwie warstwy dokumentacji: „jak ma być” i „tak było”
To rozróżnienie jest sercem definicji, a nie kwestią porządku w plikach. Dokumentacja normatywna mówi, jak ma być: polityki, procedury, regulaminy, standardy ustawień, metodyki. Dokumentacja operacyjna pokazuje, że tak faktycznie było: zapisy, dzienniki zdarzeń, protokoły, listy obecności, rejestry, raporty z przeglądów. Wróćmy do instalacji w domu. Dokumentacja normatywna to projekt.
Dokumentacja operacyjna to protokoły z przeglądów i odczyty licznika. Sam projekt nie dowodzi, że instalacja kiedykolwiek grzała. Ustawa dokłada trzy wymogi, o których łatwo zapomnieć przy porządkowaniu dokumentów. Nad dokumentacją trzeba mieć nadzór: dostęp tylko dla osób upoważnionych, ochrona przed uszkodzeniem i utratą oraz oznaczanie kolejnych wersji, żeby dało się zobaczyć, co się zmieniło (art. 10 ust. 6).
Dokumenty przechowuje się co najmniej 2 lata od wycofania z użycia albo od zakończenia świadczenia usługi (art. 10 ust. 7) – a więc nie od utworzenia, co znaczy, że stara wersja polityki nie idzie do kosza po podpisaniu nowej. A gdy dokumentacja jest już niszczona, powstaje protokół brakowania, czyli spis tego, co i jak zniszczono; ten protokół zostaje na stałe (art. 10 ust. 8).
Jedna warstwa mówi „jak ma być”, druga pokazuje „tak było”. Zgodność wymaga obu naraz. W praktyce znaczy to tyle, że firma z kompletem polityk i zerem zapisów nie ma jeszcze SZBI. Ma projekt SZBI.
5. SZBI a system z normy ISO 27001
SZBI odpowiada temu, co norma ISO 27001 nazywa ISMS, czyli systemowi zarządzania bezpieczeństwem informacji. Porównanie jest trafne i warto z niego korzystać, bo skraca drogę do zrozumienia: merytoryczny rdzeń obu systemów w dużej części się pokrywa – od szacowania ryzyka i spisu majątku informatycznego po kontrolę dostępu, szyfrowanie i plany na wypadek awarii.
Dwie rzeczy się jednak nie pokrywają. Sposób sprawdzania. Audytor od certyfikatu sprawdza zgodność z normą, urząd sprawdza zgodność z artykułem ustawy. Certyfikat jest więc mocnym dowodem dojrzałości, ale nie jest dowodem spełnienia wymagania z ustawy – przy każdym wymaganiu trzeba umieć wskazać przepis. Cała warstwa kontaktu z państwem. Wpis do Wykazu KSC, czyli rejestru podmiotów objętych ustawą. Osoby do kontaktu. Zgłaszanie incydentów do CSIRT, czyli państwowego zespołu reagowania na incydenty. Korzystanie z państwowego systemu wymiany informacji. Odpowiedzialność i coroczne szkolenie kierownika. Sprawdzanie niekaralności osób, które wykonują zadania z art. 8 i 11. Tego w normie nie było i być nie mogło.
Ten sam rdzeń, inny sposób sprawdzania i cała dodatkowa warstwa obowiązków wobec urzędów. W praktyce znaczy to tyle, że wdrożone ISO 27001 skraca drogę, ale jej nie kończy – a różnicę mierzy się audytem luki, nie deklaracją.
6. Kto buduje SZBI według innych zasad
Nie każdy buduje SZBI według art. 8 ust. 1. Ustawa przewiduje kilka osobnych ścieżek – i to jest informacja, której brakuje w większości materiałów na ten temat.
| Kto | Co stosuje | Podstawa |
|---|---|---|
| Podmiot kluczowy albo ważny – zasada ogólna | SZBI z art. 8 ust. 1 | art. 8 ust. 1 |
| Podmiot ważny, który jest podmiotem publicznym, oraz uczelnie w zakresie zadań publicznych wykonywanych z użyciem systemów informacyjnych | SZBI według załącznika nr 4 do ustawy, z przeglądem co najmniej raz w roku | art. 8 ust. 3 |
| Podmiot publiczny korzystający z systemu dostarczanego przez inny podmiot publiczny, w tym z rejestru publicznego | uwzględnia ten system w swoim SZBI | art. 8 ust. 4 |
| Firmy dostarczające internetowy fundament: usługi DNS (kierowanie ruchem w sieci), rejestry domen najwyższego poziomu, chmurę, centra danych, sieci dostarczania treści, usługi zarządzane, usługi bezpieczeństwa, platformy handlowe, wyszukiwarki i serwisy społecznościowe | w ramach SZBI dodatkowo środki z unijnego rozporządzenia wykonawczego 2024/2690 | art. 8b |
| Wybrane rodzaje działalności – w przyszłości | możliwe szczegółowe wymagania z rozporządzenia Rady Ministrów | art. 8a |
7. Cztery nieporozumienia, które wracają najczęściej
„SZBI to komplet polityk.” Nie. To pięć zadań z art. 8 ust. 1, a dokumentacja jest jedną z warstw, nie całością.
„SZBI to certyfikat.” Nie. Certyfikat potwierdza zgodność z normą; urząd sprawdza zgodność z przepisem i może żądać dowodów, że środki z art. 8 ust. 1 naprawdę działają.
„SZBI to projekt dla działu IT.” Nie. Szacowanie ryzyka, odpowiedzialność kierownika, szkolenia i sprawy pracownicze leżą poza IT.
„SZBI obejmuje całe IT.” Nie. Zakres wyznaczają procesy wpływające na świadczenie usługi.
Trzy rzeczy do zapamiętania i jeden krok na dziś
Powtórzmy jeszcze raz to, co najważniejsze.
- SZBI to pięć zadań, nie teczka dokumentów. Szacowanie ryzyka, środki dopasowane do ryzyka, informacje o zagrożeniach, zarządzanie incydentami, działania zapobiegawcze.
- Zgodność ma dwie warstwy. Dokument mówi „jak ma być”, zapis pokazuje „tak było”.Bez drugiej warstwy to projekt systemu, nie system.
- Zasady zależą od tego, kim jesteście. Podmioty publiczne budują SZBI według załącznika nr 4, a firmy dostarczające usługi internetowe dokładają środki z rozporządzenia 2024/2690.
Twoje zadanie na dziś, na jedną kartkę. Wypisz pięć zadań z pierwszej tabeli i przy każdym dopisz dwie rzeczy: nazwisko osoby odpowiedzialnej oraz to, czym udowodnicie, że zadanie jest wykonywane. Jeśli przy którymkolwiek zawahasz się dłużej niż chwilę – to właśnie tam zaczyna się Wasza praca nad SZBI.
