Stan prawny: 21 października 2026 r.
System zarządzania bezpieczeństwem informacji, czyli SZBI, porządkuje sposób podejmowania decyzji o ochronie danych i usług. Określa, kto rozpoznaje ryzyko, kto wybiera zabezpieczenia, kto sprawdza ich działanie oraz kto reaguje, gdy pojawia się problem. Dzięki temu bezpieczeństwo ma właścicieli, terminy i wyniki, które można ocenić.
Dobrze prowadzony SZBI pomaga dyrektorowi odpowiedzieć na trzy pytania: co jest dla nas najważniejsze, co może zakłócić działalność i co rzeczywiście zrobiliśmy, żeby ograniczyć to ryzyko. W tym artykule pokazujemy, jak zorganizować pierwsze prace oraz późniejsze utrzymanie.
Kiedy SZBI wynika z przepisów
Obowiązek wdrożenia i utrzymywania SZBI trzeba ustalić dla konkretnego podmiotu. W ustawie o KSC zasady dotyczące systemu zarządzania bezpieczeństwem informacji określa m.in. art. 8. W Krajowych Ramach Interoperacyjności odpowiednie wymagania zawiera §19. Zakres stosowania tych regulacji należy sprawdzić osobno. Ustawa o KSC, rozporządzenie KRI.
Organizacja może też przyjąć SZBI ze względu na umowy z klientami, wymagania właściciela lub potrzebę uporządkowania działania. Wtedy warto wyraźnie zapisać, które zadania wynikają z prawa, które z kontraktów, a które z własnych decyzji.
Prowadzenie SZBI i uzyskanie certyfikatu ISO/IEC 27001 to odrębne zagadnienia. Certyfikacja ma określony zakres i procedurę. Samo odwołanie się do normy w dokumentacji ani zakup szablonów nie oznaczają uzyskania certyfikatu. Potrzebę certyfikacji ustala się osobno, uwzględniając właściwe przepisy i zobowiązania.
Krok 1 — opisz zakres przez usługi
Zacznij od usług, których zakłócenie rzeczywiście utrudni pracę. Mogą to być obsługa klientów, poczta, sprzedaż, system finansowy, dostęp do dokumentów albo publikowanie informacji. Dla każdej wskaż właściciela biznesowego, systemy, dane, dostawców i najważniejsze zależności.
Zakres powinien być czytelny także dla osoby spoza IT. Zamiast wpisu „serwer numer 3” opisz, że serwer obsługuje aplikację potrzebną do wypłaty wynagrodzeń. Dopisz, kto potwierdzi możliwość powrotu do pracy po awarii.
Uwzględnij lokalizacje, pracę zdalną, chmurę oraz usługi zewnętrzne. Jeżeli część środowiska pozostaje poza zakresem, zapisz przyczynę i zależności z pozostałymi usługami. W ten sposób ograniczysz sytuacje, w których dwaj dostawcy zakładają, że dany obowiązek wykonuje druga strona.
Krok 2 — przypisz odpowiedzialność za decyzje i wykonanie
Koordynator SZBI organizuje pracę, zbiera wyniki i pilnuje terminów. Właściciel usługi określa skutki przerwy oraz potrzeby biznesowe. Administrator wdraża i utrzymuje uzgodnione zabezpieczenia. Kierownictwo podejmuje decyzje o priorytetach, środkach i ryzyku w granicach swoich uprawnień.
Jedna osoba może łączyć część funkcji w małej organizacji. Nadal powinno być jasne, w jakiej roli działa i kto ocenia rezultat. Dla krytycznych czynności potrzebne jest zastępstwo oraz dostęp do aktualnych instrukcji.
Umowa z zewnętrznym IT powinna przekładać ten podział na konkretne zadania: zakres monitorowania, godziny obsługi, aktualizacje, obsługę incydentów, kopie, testy i raporty. Każdy element wymaga ustalenia wykonawcy oraz sposobu odbioru.
Krok 3 — powiąż ryzyko z zabezpieczeniami
Analiza ryzyka zaczyna się od scenariusza i jego skutków. Przykładowo przejęte konto pocztowe może umożliwić odczyt korespondencji, zmianę reguł przekazywania wiadomości i podszycie się pod pracownika. Taki opis pozwala dobrać środki do problemu: ochronę logowania, ograniczenie uprawnień, wykrywanie zmian i procedurę reakcji.
Przy istniejących zabezpieczeniach zapisz sposób sprawdzenia. Informacja „mamy MFA” wymaga ustalenia, jakie konta obejmuje ochrona, czy są wyjątki i jak kontrolowany jest dostęp awaryjny. Wynik może wskazywać pełne pokrycie danego zakresu, częściowe wdrożenie albo brak potwierdzenia.
Dla każdego działania określ właściciela, termin, koszt lub potrzebne zasoby oraz kryterium zakończenia. Po wdrożeniu oceń, jakie ryzyko pozostało. Akceptacja ryzyka nie zastępuje wykonania wymaganego prawem obowiązku.
Krok 4 — utrzymuj dokumentację, która prowadzi do działania
Przydatny zestaw obejmuje zakres SZBI, role, rejestr usług i zasobów, ocenę ryzyka, zasady dostępu, procedury incydentowe, plan ciągłości, wymagania dla dostawców oraz rejestr przeglądów i działań. Szczegółowość należy dopasować do organizacji i właściwych obowiązków.
Dokument powinien mieć właściciela, wersję i datę zatwierdzenia. Instrukcja przywracania usługi musi wskazywać aktualne zależności i miejsce bezpiecznego dostępu do potrzebnych danych. Hasła i klucze przechowuj w przeznaczonym do tego, chronionym systemie, a w dokumentacji umieszczaj odwołania.
Nie twórz osobnej procedury dla każdej drobnej czynności, jeżeli utrudni to jej utrzymanie. Lepiej połączyć powiązane zadania w czytelny proces i wskazać, jaki zapis powstaje po wykonaniu.
Przykład: zmiana dostawcy poczty
Przykład modelowy: organizacja przenosi pocztę do nowej usługi. Sama migracja skrzynek jest tylko częścią zmiany. Trzeba ustalić logowanie i uprawnienia, wymagania umowne, dostęp do starych wiadomości, sposób odzyskiwania danych i rejestrowania zdarzeń.
Właściciel usługi potwierdza wymagania dotyczące przerwy. IT sprawdza konfigurację i przesyłanie logów. Osoba odpowiedzialna za umowę weryfikuje zakres dostawcy. Koordynator aktualizuje ryzyko oraz instrukcje. Użytkownicy otrzymują informację, jak rozpoznać prawdziwą stronę logowania i gdzie zgłosić problem.
Po migracji pozostaje sprawdzenie kont w starej usłudze, zamknięcie zbędnego dostępu i odbiór wyników. Właśnie takie powiązanie zmiany z zadaniami pokazuje, czy SZBI działa w codziennej pracy.
Roczny cykl utrzymania — przykład do dopasowania
Poniższa tabela jest propozycją organizacji pracy. Częstotliwości wynikające z przepisów, umów i oceny ryzyka trzeba ustalić indywidualnie.
| Czynność | Przykładowy rytm | Odpowiedzialna rola | Rezultat |
|---|---|---|---|
| Ocena alarmów i awarii | Według ustalonej obsługi | IT lub zespół monitoringu | Zapis analizy i eskalacji |
| Przegląd zaległych działań | Miesięcznie | Koordynator | Lista blokad i decyzji |
| Raport ryzyk i stanu usług | Miesięcznie lub kwartalnie | Właściciele usług | Raport dla kierownictwa |
| Weryfikacja dostępów | Według ryzyka, także po zmianie roli | Właściciel systemu | Potwierdzenie uprawnień i korekt |
| Test odtworzenia | Zgodnie z planem ciągłości | IT i właściciel usługi | Protokół z wynikiem |
| Przegląd SZBI | Planowo oraz po istotnej zmianie | Kierownictwo i koordynator | Decyzje i aktualizacja planu |
| Audyt | W terminie właściwym dla podmiotu | Osoba z wymaganymi kompetencjami | Ustalenia i działania korygujące |
Jak zacząć bez przeciążenia zespołu
Na pierwszym spotkaniu wybierz najważniejsze usługi, osoby odpowiedzialne i trzy problemy wymagające wyjaśnienia. Następnie zbierz istniejące materiały oraz wyniki testów. Dopiero na tej podstawie uzupełniaj dokumentację i planuj zakupy.
W DataOne możemy pomóc połączyć zalecenia, zadania IT i dowody wykonania w jeden plan. Podczas rozmowy ustalimy zakres środowiska, podział prac oraz sposób raportowania. Przygotuj listę głównych systemów, dostawców i dostępne zalecenia audytowe — to dobry punkt wyjścia do określenia kolejnych działań. Porozmawiaj o wsparciu cyberbezpieczeństwa w DataOne.