Stan prawny: 21 października 2026 r.
Przygotowanie do audytu KRI polega na uporządkowaniu informacji o tym, jak instytucja chroni swoje systemy i dane. Audytor potrzebuje zarówno zasad zapisanych w dokumentacji, jak i możliwości sprawdzenia ich stosowania. Dla kierownictwa rezultat powinien pokazywać, co działa, jakie braki wykryto i jakie decyzje są potrzebne.
Dobra organizacja materiałów zmniejsza liczbę pytań kierowanych w ostatniej chwili do administratora. Pomaga też uniknąć sytuacji, w której ważne zabezpieczenie istnieje, ale nikt nie potrafi odnaleźć potwierdzenia jego wykonania.
Kiedy trzeba uwzględnić audyt KRI
Najpierw ustal stosowalność przepisów do podmiotu i systemów objętych oceną. Rozporządzenie KRI z 21 maja 2024 r. przewiduje w §19 ust. 2 pkt 14 okresowy audyt wewnętrzny bezpieczeństwa informacji, nie rzadziej niż raz na rok. To jeden z elementów szerszych wymagań dotyczących zarządzania bezpieczeństwem. Treść rozporządzenia KRI.
Audyt KRI i audyt cyberbezpieczeństwa z art. 15 KSC mają odrębne podstawy, zakresy stosowania i zasady. Jeżeli organizację dotyczą oba, zaplanuj prace tak, by rozsądnie wykorzystać wspólne dowody, ale osobno potwierdź spełnienie wymagań każdego audytu. Samo podobieństwo nazw nie pozwala uznać ich za zamienne. KSC, art. 15.
Krok 1 — ustal zakres, kryteria i osoby
Przed zbieraniem plików określ, jakie jednostki, lokalizacje, usługi i systemy będą oceniane. Zapisz okres objęty badaniem. Ustal kryteria oraz sposób dostępu audytora do informacji.
Wyznacz koordynatora, który połączy audytora z właścicielami usług i administratorami. Zapewnij kompetencje i obiektywność oceny; sposób organizacji audytu należy dopasować do właściwych wymagań oraz realiów jednostki. Osoba wdrażająca zabezpieczenia może dostarczyć dowody, ale ich ocena powinna uwzględniać ryzyko oceniania własnej pracy.
W harmonogramie zostaw czas na wyjaśnienia. Audytor może potrzebować dodatkowej próbki zdarzeń lub rozmowy z użytkownikiem. Przekazanie jednego folderu nie kończy współpracy przy badaniu.
Krok 2 — przypisz wymaganiom dowody
Przygotuj indeks materiałów. Każdy wpis powinien wskazywać temat, właściciela, datę oraz miejsce przechowywania. Jeżeli materiału brakuje, pokaż to wprost.
| Temat | Dokument lub ustalenie | Przykład sprawdzenia działania |
|---|---|---|
| Zasoby | Rejestr sprzętu i oprogramowania | Porównanie wybranej próbki z rzeczywistym stanem |
| Uprawnienia | Zasady i wykaz dostępów | Nadanie oraz odebranie dostępu w wybranych sprawach |
| Ryzyko | Analiza i plan postępowania | Sprawdzenie realizacji wybranego działania |
| Kopie | Zakres i instrukcja odtwarzania | Protokół odzyskania danych lub usługi |
| Incydenty | Procedura i kontakty | Przykład obsługi sprawy lub ćwiczenia |
| Dostawcy | Umowy i zakresy odpowiedzialności | Potwierdzenie dostępu oraz wykonanych czynności |
| Monitoring | Lista źródeł i zasady przeglądu | Zdarzenie, alarm, analiza i dalsze działanie |
| Szkolenia | Program i potwierdzenia udziału | Rozmowa o zasadach zgłaszania problemów |
Tabela pomaga przygotować materiały. Dokładną próbę i sposób oceny ustala audytor w ramach uzgodnionego zakresu.
Krok 3 — sprawdź aktualność dokumentacji
Porównaj dokumenty z obecnym środowiskiem. Czy lista administratorów odpowiada stanowi faktycznemu? Czy procedura wspomina aktualnego dostawcę poczty? Czy instrukcja awaryjna zawiera działające numery kontaktowe?
Warto wybrać kilka zmian z ostatniego roku: uruchomienie aplikacji, zmianę dostawcy, nową lokalizację i odejście pracownika. Prześledź, czy po każdej zmianie zaktualizowano potrzebne dokumenty, uprawnienia i sposób ochrony danych.
Nie uzupełniaj historii tak, jakby czynności zostały wykonane wcześniej. Jeżeli przegląd przeprowadzono dopiero teraz, zapisz rzeczywistą datę. Uczciwa informacja o braku pozwala ustalić działanie naprawcze i termin.
Krok 4 — przygotuj bezpieczny dostęp do materiałów technicznych
Audytor powinien otrzymać dane potrzebne do celu badania, w uzgodnionym zakresie. Zamiast przesyłać pełne bazy i hasła, przygotuj właściwe raporty, eksporty lub nadzorowany dostęp do systemu.
Ustal, gdzie przechowywane będą pobrane materiały, kto może je odczytać i jak zakończy się dostęp po audycie. Logi mogą zawierać identyfikatory użytkowników, adresy IP i nazwy dokumentów. Zakres udostępnienia należy dopasować do zadania.
Przy eksporcie zapisz system źródłowy, okres, filtr, strefę czasową i datę wykonania. Bez tych informacji trudno później wyjaśnić, co przedstawia załącznik.
Krok 5 — pokaż rzeczywistą realizację zabezpieczeń
Przykład modelowy: polityka mówi, że dostęp odchodzącego pracownika jest odbierany bezzwłocznie. Audyt może sprawdzić, kiedy administrator otrzymał zgłoszenie, jakie systemy objęto i kiedy potwierdzono wykonanie. Sam wzór formularza nie dowodzi realizacji tej konkretnej sprawy.
Podobnie przy monitoringu przydatny jest pełny przebieg: zdarzenie dotarło, reguła zadziałała, osoba oceniła alarm, a wynik zapisano. Jeżeli danych z danego systemu nie ma, trzeba wyjaśnić, jak jest nadzorowany i czy istnieje luka w uzgodnionym zakresie.
Próby techniczne wymagające ingerencji w system wykonuj w uzgodnionym terminie i z planem bezpieczeństwa. Przygotowanie do audytu nie uzasadnia przypadkowych testów na produkcji.
Krok 6 — sprawdź logi i możliwość ich odczytania
KRI §20 określa wymagania dotyczące rozliczalności i dzienników systemowych. W objętym nim zakresie logi przechowuje się przez okres wynikający z przepisów odrębnych, a przy ich braku przez dwa lata. Warto sprawdzić nie tylko ustawienie retencji, ale też możliwość odnalezienia i odczytania starszego zapisu. KRI, §20.
Jeżeli SIEM przechowuje dane do szybkiej analizy przez krótszy okres, archiwum potrzebuje własnych zasad. Ustal właściciela, kontrolę dostępu, ochronę przed zmianą i procedurę odzyskania. Raport miesięczny opisujący liczbę alarmów nie zastępuje wymaganych zapisów źródłowych.
Krok 7 — zamień ustalenia audytu w zadania
Każde ustalenie powinno mieć właściciela, priorytet, termin i kryterium zamknięcia. Przy zadaniu technicznym dopisz sposób ponownego sprawdzenia. „Wysłano zgłoszenie do dostawcy” oznacza rozpoczęcie pracy; jej zakończeniem jest potwierdzony rezultat.
Kierownictwu przedstaw zadania wymagające decyzji, koszty oraz konsekwencje odłożenia. Niezamknięte ustalenia powinny wracać na kolejne przeglądy. W ten sposób audyt staje się początkiem uporządkowanych zmian w środowisku.
Jak zaplanować kolejny audyt w 2027 roku
Karta aktu KRI wskazuje datę uchylenia 23 lutego 2027 r. Dlatego przed ustaleniem kryteriów badania na kolejny okres należy sprawdzić nowe przepisy i zasady przejściowe. Data następnego audytu powinna uwzględniać również wymagany cykl oraz poprzednie badanie. Status rozporządzenia w ELI.
Jak DataOne może pomóc po audycie
Jeżeli masz raport pełen zaleceń, możemy wspólnie wybrać część dotyczącą monitoringu, logów, dostępnych integracji i obsługi zdarzeń. Uzgodnimy zadania z administratorem, sposób ich potwierdzenia i informacje potrzebne kierownictwu. Dokumentacja SZBI, specjalistyczne testy i formalny audyt wymagają odpowiednio ustalonego zakresu i wykonawcy.
Omów z DataOne zalecenia z audytu. Na początek wystarczy opis tematów do uporządkowania. Bezpieczny sposób przekazania szczegółowego raportu ustalimy osobno.