Polish
English
Znowelizowana ustawa o KSC wymaga od podmiotów kluczowych i ważnych systemu zarządzania bezpieczeństwem informacji opartego na analizie ryzyka. Wiele firm kupuje w tym celu pakiet gotowych dokumentów. Audytor zapyta jednak o dowody, nie o dokumenty. Pokazujemy, od czego zacząć, żeby system działał, a nie tylko istniał.
W firmie, która nie buduje etatu, tę rolę pełni zewnętrzny CISO.
Pierwszego dnia audytu zwykle proszę o listę serwerów. Dostaję arkusz z kilkunastoma pozycjami. Po tygodniu skanowania sieci okazuje się, że serwerów jest półtora, a czasem dwa razy więcej. Część to maszyny wirtualne postawione „na chwilę” przez poprzedniego administratora, część to urządzenia, o których nikt nie pamiętał: stary NAS w szafie, rejestrator kamer, serwer licencji programu CAD.
Tak wygląda punkt wyjścia w większości firm. I właśnie dlatego system zarządzania bezpieczeństwem informacji, czyli SZBI, trzeba zaczynać od inwentaryzacji, a nie od pisania polityk.
Czego naprawdę wymaga ustawa
Ustawa mówi o proporcjonalnych środkach technicznych i organizacyjnych opartych na systematycznej analizie ryzyka, obejmujących cały cykl życia systemów. W praktyce SZBI ma odpowiadać na cztery pytania. Co chronimy? Przed czym? Jak? I skąd wiemy, że to działa?
Certyfikat ISO/IEC 27001 nie jest obowiązkowy, ale norma pozostaje najlepszym szkieletem. Dla dostawców usług zarządzanych, chmury i centrów danych szczegółowe wymagania określa bezpośrednio rozporządzenie wykonawcze Komisji (UE) 2024/2690. Pozostałym firmom radzę traktować je jako wzorzec, bo to najbardziej konkretny katalog środków, jaki dziś mamy.
Zasada pierwsza: inwentaryzacja musi być żywa
Arkusz aktualizowany raz w roku przed audytem nie spełnia wymagań, bo w dniu zapisania już jest nieaktualny. Inwentaryzacja ma obejmować sprzęt, oprogramowanie i usługi chmurowe, dane i miejsca ich przechowywania, konta użytkowników, konta techniczne i konta dostawców. Do tego dochodzą urządzenia, o których się zapomina najczęściej: drukarki, kamery, systemy kontroli dostępu i sterowniki na produkcji.
Współczesne narzędzia do zarządzania urządzeniami i monitorowania sieci wykrywają nowy sprzęt w ciągu minut. Z punktu widzenia zarządu wystarczy jedno pytanie do IT: „Skąd wiemy, że lista jest kompletna?”. Jeśli odpowiedź brzmi „bo tak wpisaliśmy”, mamy pierwszą lukę.
Zasada druga: nie wszystko jest równie ważne
Każdy system warto ocenić pod trzema kątami. Co się stanie, jeśli dane wyciekną. Co, jeśli ktoś je zmieni. I jak długo firma przeżyje bez niego. Serwer, bez którego produkcja staje po dwóch godzinach, potrzebuje innych kopii zapasowych i innego monitoringu niż intranet z jadłospisem stołówki.
Brak klasyfikacji kończy się zwykle jednym z dwóch skrajnych scenariuszy. Albo firma chroni wszystko jednakowo i przepala budżet, albo nie chroni niczego szczególnie.
Zasada trzecia: ryzyko ma właściciela z biznesu
Rejestr ryzyk to lista scenariuszy z oceną, właścicielem i decyzją. Przykład dobrze opisanego ryzyka: „zaszyfrowanie serwerów przez ransomware po przejęciu konta VPN handlowca”. Źle opisanego: „ryzyko cyberataku”.
Właścicielem ryzyka nie powinien być informatyk, tylko osoba odpowiedzialna za proces, którego ryzyko dotyczy. Dyrektor produkcji wie lepiej niż ktokolwiek w IT, ile kosztuje godzina przestoju linii. A jeśli zarząd świadomie rezygnuje z zapasowego łącza czy drugiej serwerowni, ta decyzja powinna zapaść na posiedzeniu i trafić do protokołu. Tego właśnie oczekuje ustawa, która przypisuje odpowiedzialność za zarządzanie ryzykiem kierownictwu.
Przykład: co wyszło z inwentaryzacji
Przykład ilustracyjny, zbudowany na typowym scenariuszu. Firma i liczby nie dotyczą konkretnego klienta.
Stały nadzór daje vCISO, nie jednorazowy projekt.
Firma logistyczna, 160 pracowników, trzy magazyny. Według dokumentacji IT miała 18 serwerów i 240 urządzeń w sieci. Dwutygodniowe automatyczne skanowanie pokazało 31 serwerów i 412 urządzeń.
Większość różnicy była niegroźna: drukarki etykiet, terminale magazynowe, kamery. Trzy pozycje takie nie były. Serwer testowy systemu WMS, uruchomiony cztery lata wcześniej przez wdrożeniowca, miał otwarty zdalny pulpit na publicznym adresie i konto administratora z hasłem „Wms2021!”. Konto VPN byłego kierownika magazynu, który odszedł półtora roku wcześniej, nadal było aktywne. A dysk sieciowy z kopiami faktur stał w tej samej sieci co komputery biurowe, bez szyfrowania.
Żaden z tych problemów nie wymagał zakupów. Wszystkie trzy zamknięto w jeden dzień. Bez inwentaryzacji żadnego z nich nie byłoby jednak w rejestrze ryzyk, bo nikt nie wiedział o ich istnieniu.
Pięć scenariuszy, które powinny być w każdym rejestrze
Z naszej pracy z firmami średniej wielkości wynika, że incydenty powtarzają się według tych samych schematów. Pierwszy to przejęcie konta pracownika przez phishing przy braku uwierzytelniania wieloskładnikowego. Drugi to ransomware wpuszczony przez niezałataną lukę w firewallu lub bramie VPN. Trzeci to oszustwo na fałszywą fakturę po przejęciu skrzynki pocztowej. Czwarty to atak przez dostawcę IT z uprzywilejowanym dostępem. Piąty, wbrew pozorom częsty, to kopie zapasowe, których nie da się odtworzyć.
Dane z rynku to potwierdzają. Według raportu Mandiant M-Trends 2026 wykorzystanie podatności było najczęstszym sposobem wejścia do sieci ofiary szósty rok z rzędu i odpowiadało za 32% analizowanych włamań. Jeśli w rejestrze ryzyk Państwa firmy brakuje któregoś z tych pięciu scenariuszy, analiza jest niepełna.
„Kupimy gotowe dokumenty i będzie spokój”
Rozumiem, skąd bierze się ta pokusa. Pakiet polityk za kilka tysięcy złotych wygląda jak szybkie rozwiązanie problemu. Kłopot w tym, że audytor nie ocenia dokumentu. Ocenia, czy firma robi to, co w nim napisała. Polityka, która mówi o kwartalnych przeglądach uprawnień, bez protokołów z tych przeglądów jest dowodem przeciwko firmie, a nie na jej korzyść.
Dokumentacja SZBI może być krótka. Wystarczy polityka bezpieczeństwa na kilka stron, metodyka i wyniki analizy ryzyka, rejestr aktywów, deklaracja stosowania zabezpieczeń z uzasadnieniem wyłączeń oraz kilka procedur operacyjnych. Ważniejsze od objętości są ślady działania: raport z automatycznej inwentaryzacji, rejestr ryzyk z datą przeglądu, protokoły przeglądów kierownictwa i plan działań z postępem.
Jedna rzecz na dziś
Proszę poprosić dział IT o dwie liczby. Ile urządzeń jest w firmowej sieci według dokumentacji, a ile według narzędzia, które skanuje sieć. Różnica między nimi dobrze pokazuje, jak daleko firma jest od SZBI, które przejdzie audyt. Jeśli takiego narzędzia nie ma, to jest pierwsza pozycja do budżetu KSC.
Takie porównanie regularnie robimy w NG Solutions na początku każdego projektu wdrożeniowego. Rzadko zdarza się, żeby obie liczby były równe.
To jest CISO dla firm: ktoś odpowiada za program bezpieczeństwa od dnia umowy.
Źródła: Ustawa o KSC po nowelizacji (Dz.U. 2026 poz. 252); rozporządzenie wykonawcze Komisji (UE) 2024/2690; Mandiant, M-Trends 2026 (za: Help Net Security, 24.03.2026).
O autorze: Nikodem Zdzieborski – prezes zarządu NG Solutions Sp. z o.o. z Warszawy, firmy zajmującej się infrastrukturą IT, cyberbezpieczeństwem i ochroną danych. Łączy praktykę administratora systemów z doradztwem dla zarządów.