Do 3 kwietnia 2027 roku firmy objęte nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa muszą wdrożyć wymagane zabezpieczenia. Największym problemem często nie jest brak drogich narzędzi, lecz wspólne konta administratorów, zaległe aktualizacje i kopie zapasowe, z których nikt nie próbował odtworzyć systemu.
Termin samodzielnej rejestracji w wykazie podmiotów kluczowych i ważnych upłynął 3 października. Według danych Ministerstwa Cyfryzacji z 2 października, z urzędu wpisano do niego 62 330 podmiotów, a kolejnych 5368 zarejestrowało się samodzielnie. Teraz organizacje muszą dostosować systemy, procedury i sposób zarządzania bezpieczeństwem. Badanie klastra #CyberMadeInPoland pokazuje, że największe przeszkody to budżet (62%), brak czasu (60%) i niedostatek kompetencji (39%).
Ustawa określa wymagania, ale nie wskazuje jednej metody ich realizacji. Pomocą może być NIST Cybersecurity Framework 2.0, uwzględniony w zestawieniu standardów opublikowanym we wrześniu przez Ministerstwo Cyfryzacji. Framework porządkuje zarządzanie cyberbezpieczeństwem w sześciu obszarach: nadzorze, identyfikacji, ochronie, wykrywaniu, reagowaniu i odtwarzaniu. Samo korzystanie z NIST nie oznacza automatycznie zgodności z ustawą, ale ułatwia zaplanowanie prac.
„Najpoważniejsze luki rzadko wynikają z braku zaawansowanych narzędzi. W praktyce rynkowej nadal spotyka się organizacje dysponujące firewallem, monitoringiem i kopiami zapasowymi, które jednocześnie mogą mieć nieuporządkowane podstawy: wspólne konta administratorów, nieodebrane uprawnienia byłym pracownikom i nigdy nie sprawdziły, czy z kopii da się odtworzyć system” – mówi Marta Dąbrowska, prezes Qustomity, producenta oprogramowania biznesowego dla sektorów regulowanych.
Cztery obszary, które wymagają pilnej uwagi
Pierwszy problem to konta i uprawnienia. W firmach wciąż zdarzają się wspólne konta, aktywne dostępy byłych pracowników i uprawnienia administratora przyznawane na zapas. Brakuje regularnych przeglądów oraz ewidencji osób, które mogą korzystać z poszczególnych systemów. Ryzyko zwiększają też stałe, słabo kontrolowane kanały dostępu serwisowego.
Kolejna luka dotyczy aktualizacji. Firmy odkładają instalowanie poprawek, bo obawiają się przerw w pracy, kosztów albo problemów ze zgodnością systemów. W rezultacie korzystają z przestarzałych wersji oprogramowania, bibliotek i komponentów, nie zawsze wiedząc nawet, kiedy kończy się ich wsparcie.
Trzeci obszar to kopie zapasowe. Samo ich wykonywanie nie wystarczy. Trzeba jeszcze sprawdzić, czy pozwalają odtworzyć system w wymaganym czasie i ile danych można odzyskać. Pomagają w tym dwa parametry: RTO, określający dopuszczalny czas przywrócenia działania, oraz RPO, wskazujący, jak duża utrata danych jest akceptowalna. Test odtworzenia powinien obejmować również kopie przechowywane poza środowiskiem produkcyjnym.
Czwarty problem to reagowanie na incydenty. W wielu organizacjach nie ma jasnych zasad klasyfikacji zdarzeń, ich eskalowania ani informowania klientów i dostawców. Niejasny bywa też podział odpowiedzialności między firmę korzystającą z systemu, jego producenta, hostingodawcę i administratora infrastruktury. Tymczasem przepisy przewidują wczesne ostrzeżenie o poważnym incydencie w ciągu 24 godzin od jego wykrycia oraz zgłoszenie w ciągu 72 godzin.
Jak wykorzystać czas do kwietnia 2027 roku?
Jak wskazują eksperci, prace najlepiej zacząć od inwentaryzacji systemów, danych, integracji i zależności oraz wskazania osób odpowiedzialnych za poszczególne obszary. Następnie trzeba ocenić ryzyko i porównać obecny poziom zabezpieczeń z docelowym. W terminologii NIST służą do tego profile, a różnice między nimi pomagają ustalić kolejność działań.
Nie trzeba jednak czekać na zakończenie całej analizy, by ograniczyć najpilniejsze zagrożenia. Można od razu przejrzeć uprawnienia, zlikwidować konta współdzielone, uporządkować dostęp serwisowy, ustalić harmonogram aktualizacji i przetestować odtwarzanie danych. Równolegle należy przygotować procedurę obsługi incydentów z jasnym podziałem ról i odpowiedzialności.
Plan powinien uwzględniać także dostawców ICT. Ustawa wymaga oceny ryzyka w całym łańcuchu dostaw, więc znaczenie ma również bezpieczeństwo oprogramowania, od którego zależą procesy organizacji. Producenci systemów nie zawsze podlegają bezpośrednio tym samym obowiązkom co ich klienci, ale coraz częściej muszą odpowiadać na pytania o ochronę danych, zarządzanie podatnościami, dostęp serwisowy i możliwość odtworzenia działania po awarii. Takie informacje sprawdzają już m.in. banki i inne instytucje finansowe.
„Realizacja obowiązków wynikających z KSC wymaga objęcia oceną ryzyka również oprogramowania, od którego zależą kluczowe procesy organizacji. Firma musi wiedzieć, jak jest ono chronione, rozwijane i utrzymywane, dlatego przygotowania do kwietnia 2027 r. powinny obejmować również uporządkowanie współpracy z dostawcami ICT” – podkreśla Marta Dąbrowska.
Podział zadań powinien być ustalony z góry. Producent odpowiada m.in. za bezpieczeństwo kodu, zarządzanie podatnościami i udostępnienie mechanizmów kontroli dostępu oraz rejestrowania zdarzeń. Klient musi właściwie z nich korzystać, instalować poprawki, kontrolować uprawnienia i logi, zatwierdzać dostęp serwisowy oraz zabezpieczać własną infrastrukturę i kopie zapasowe. To na organizacji spoczywa też obowiązek zgłoszenia incydentu zgodnie z przepisami. Powierzenie obsługi systemu zewnętrznej firmie nie zwalnia kierownictwa z odpowiedzialności za realizację wymagań.
Do kwietnia 2027 roku zostało kilka miesięcy. To wystarczająco dużo czasu, by uporządkować podstawowe zabezpieczenia, ale pod warunkiem, że firmy szybko określą priorytety i przypiszą odpowiedzialność za ich wdrożenie.
