Profesjonalny audyt bezpieczeństwa informacji w Sądzie Rejonowym w Kwidzynie

Audytorzy Doering & Partnerzy Sp. z o.o. regularnie przeprowadzają audyty bezpieczeństwa informacji w wielu urzędach i organach publicznych. Ostatnio mieli również możliwość przeprowadzenia audytu w Sądzie Rejonowym w Kwidzynie. Audyt badał zgodność m.in. z Rozporządzeniem Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych.

Czym są Krajowe Ramy Interoperacyjności i dlaczego są kluczowe dla sądów

Krajowe Ramy Interoperacyjności (KRI) to zestaw wytycznych i norm bezpieczeństwa, które obligują polskie instytucje publiczne, w tym również sądy, do budowania systemów teleinformatycznych zdolnych do sprawnej oraz bezpiecznej wymiany danych. Więcej na ten temat: Krajowe Ramy Interoperacyjności (KRI)– wdrożenie i wymagania.

Zakres prac wykonanych podczas audytu KRI w Sądzie Rejonowym

W związku z przeprowadzonym audytem KRI w Sądzie Rejonowym podjęliśmy następujące czynności:

• Przegląd obowiązującej dokumentacji SZBI.
• Oględziny obszarów przetwarzania.
• Wywiad z osobami odpowiedzialnymi za dany obszar.
• Weryfikacja realizowanych zasad określonych w SZBI.
• Analiza danych.
• Testy domeny oraz adresu e-mail pod kątem mechanizmów SPF, DKIM, DMARC na podstawie strony https://bezpiecznapoczta.cert.pl/.
• Sprawdzenie stron pod kątem WCAG.

Etapy audytu KRI: przygotowanie, analiza, testy i ocena zgodności

1. Przygotowanie do audytu

• Poznaliśmy struktury organizacyjne sądu rejonowego, jego procedur organizacji w tym wpływ systemów IT oraz wykonywanych usługi.
• Celem wykonanej pracy była ocena bezpieczeństwa systemu informacyjnego wykorzystywanego do pracy własnej sądu i świadczenia usług realizowanych przez Sąd Rejonowy oraz identyfikacja i analiza zgodności z KRI.

2. Ocena zgodności z KRI

• Sprawdziliśmy aktualność dokumentacji SZBI, jej zgodność z wymogami KRI oraz inne ważne kwestie: czy jest wykonywany monitoring systemu, czy są aktualizowane regulacje wewnętrzne, jak wygląda inwentaryzacja sprzętu, a także, czy jest przeprowadzana analiza ryzyka.
• Potwierdziliśmy realizację obowiązków zgodnie z KRI.
• Przeanalizowaliśmy dokumentację cyberbezpieczeństwa systemu informacyjnego wykorzystywanego do świadczenia usług własnych i na zewnątrz.
• Zweryfikowaliśmy kompetencje i podział ról w zespole IT oraz u Inspektora Ochrony Danych (IOD). Przedstawiliśmy sugestie przygotowanie programu szkoleń przypominających z zakresu cyberbezpieczeństwa oraz z zakresu danych osobowych.

3. Testowanie systemów informacyjnych

• Przeprowadziliśmy testy skuteczności funkcjonowania mechanizmów kontrolnych oraz mechanizmów SPF, DKIM, DMARC.
• Sprawdziliśmy zgodność stron sądu i BIP z wytycznymi WCAG.

4. Ocena zarządzania incydentami i ciągłością działania

• Sprawdziliśmy, czy sąd posiada procedury reagowania na incydenty związane z bezpieczeństwem informacji (np. ataki cybernetyczne, naruszenia danych).
• Zweryfikowaliśmy, czy sąd ma opracowane i wdrożone plany dotyczące ciągłości działania i odzyskiwania danych w przypadku awarii systemów informatycznych.

5. Raportowanie wyników audytu

• Został sporządzony raport przedstawiający niezgodności z KRI, wnioski oraz rekomendacje mające na celu udoskonalenie standardów bezpieczeństwa oraz wyeliminowanie ryzyk zidentyfikowanych w obszarze infrastruktury IT i obiegu dokumentów.
• Zaplanowano kolejny audyt na koniec 2026 roku – warto przypomnieć, iż audyt wewnętrzny w zakresie bezpieczeństwa informacji powinien być przeprowadzony nie rzadziej niż raz w roku lub częściej – zgodnie z powszechnie obowiązującymi przepisami prawa.

Najważniejsze obszary podlegające audytowi zgodności z KRI

• Zarządzanie dostępem i tożsamościami (IAM)
• Bezpieczeństwo systemów informatycznych i sieci
• Zarządzanie incydentami bezpieczeństwa
• Przetwarzanie i przechowywanie danych osobowych
• Interoperacyjność systemów informacyjnych w kontekście wymogów KRI

Efekty audytu KRI i korzyści dla bezpieczeństwa cyfrowego sądu

Wspomogliśmy Sąd Rejonowy w wykonywaniu obowiązków ustawowych. Nasze działania pozwolą podnieść realny poziom bezpieczeństwa cyfrowego jednostki, gwarantując integralność danych procesowych i zaufanie obywateli do cyfrowych usług wymiaru sprawiedliwości.

Dziękujemy za zaufanie! Mamy nadzieję, że nasz raport z audytu będzie przydatnym narzędziem wspierającym Państwa w dalszym doskonaleniu zarządzania bezpieczeństwem informacji.

Autorka artykułu: Wiktoria Płodzień