Audyt KRI w szkole nie powinien być traktowany jako jednorazowe sprawdzenie, czy w sekretariacie znajduje się aktualna instrukcja, a komputery mają program antywirusowy. Krajowe Ramy Interoperacyjności obejmują sposób organizacji bezpieczeństwa informacji, zarządzanie ryzykiem, ochronę danych, ciągłość działania oraz techniczne zabezpieczenia systemów. W praktyce audyt pokazuje, czy szkoła potrafi odpowiedzieć na podstawowe pytania: jakie dane posiada, gdzie są przechowywane, kto ma do nich dostęp, jak reaguje na awarię i co zrobi po wykryciu incydentu.
W tym poradniku wyjaśniam, co przygotować krok po kroku, aby kontrola nie zamieniła się w nerwowe poszukiwanie haseł, umów i kopii zapasowych. Tekst jest przeznaczony dla dyrektora, osoby odpowiedzialnej za informatykę, sekretariatu oraz podmiotu prowadzącego szkołę. Pokażę również, które elementy warto sprawdzić technicznie przed audytem, jak udokumentować dowody wykonania działań i kiedy potrzebna jest pomoc zewnętrznego specjalisty. Wdrożenie NIS2 dla firm i usługa NIS2 dotyczą przede wszystkim podmiotów objętych regulacją, ale wiele dobrych praktyk z tego obszaru jest użytecznych także w placówkach oświatowych.
Czym jest audyt KRI i dlaczego szkoła powinna się do niego przygotować?
Zakres audytu KRI w placówce oświatowej
KRI, czyli Krajowe Ramy Interoperacyjności, to wymagania dotyczące między innymi bezpieczeństwa informacji, interoperacyjności systemów teleinformatycznych i minimalnych zasad zarządzania usługami publicznymi. Szkoła korzysta z wielu systemów: dziennika elektronicznego, poczty, platform edukacyjnych, systemów kadrowych, księgowych, monitoringu, kontroli dostępu i komputerów znajdujących się w pracowniach. Audyt nie ogranicza się więc do jednego serwera. Ocenie może podlegać cały sposób przetwarzania informacji, w tym działania pracowników, konfiguracja urządzeń i reakcja na zagrożenia.
Audytor zwykle chce ustalić, czy szkoła rozpoznała swoje zasoby i ryzyka. Interesuje go, czy istnieje aktualna polityka bezpieczeństwa, czy pracownicy znają zasady korzystania z poczty, czy konta są indywidualne oraz czy uprawnienia są odbierane po odejściu pracownika. Sprawdzane są także kopie zapasowe, aktualizacje, ochrona przed złośliwym oprogramowaniem, ewidencja sprzętu i procedura obsługi incydentów. Sama deklaracja, że szkoła „dba o bezpieczeństwo”, nie jest dowodem. Dowodem są dokumenty, konfiguracje, rejestry i wyniki testów.
Różnica między audytem a zwykłym przeglądem informatycznym
Zwykły przegląd informatyczny często odpowiada na pytanie, czy sprzęt działa. Audyt KRI idzie dalej i sprawdza, czy działanie systemu jest przewidywalne, kontrolowane oraz zgodne z przyjętymi zasadami. Komputer może uruchamiać się bez problemu, ale jeśli korzysta z nieaktualnego systemu, ma wspólne konto administratora i nie jest objęty kopią zapasową, to z punktu widzenia bezpieczeństwa pozostaje istotnym ryzykiem. Dlatego przygotowanie powinno obejmować zarówno dokumentację, jak i realny stan techniczny.
Przykładowo, szkoła może posiadać procedurę nadawania uprawnień, lecz w praktyce nauczyciel po zmianie stanowiska nadal mieć dostęp do folderów administracyjnych. Audyt ujawni wtedy rozbieżność między dokumentem a rzeczywistością. Z perspektywy technika jest to częsty problem: procedura została napisana kilka lat wcześniej, a potem zmieniły się osoby, urządzenia i dostawcy usług. Warto dlatego przed audytem przeprowadzić wewnętrzne porównanie zapisów z faktyczną konfiguracją kont, komputerów i usług.
Jak ustalić zakres i harmonogram przygotowań?
Pierwszym krokiem powinno być wyznaczenie osoby koordynującej przygotowania. Nie musi ona samodzielnie wykonywać wszystkich czynności technicznych, ale powinna wiedzieć, kto odpowiada za dokumenty, kto za systemy, kto za ochronę danych, a kto za kontakt z dostawcami. Następnie należy ustalić termin audytu, zakres jednostek organizacyjnych oraz listę systemów, które będą analizowane. Dobrze działa harmonogram obejmujący najpierw inwentaryzację, potem ocenę ryzyka, uzupełnienie dokumentów, testy techniczne i końcowe zebranie dowodów.
W praktyce warto rozpocząć prace kilka tygodni wcześniej, ponieważ część problemów wymaga kontaktu z firmą utrzymującą dziennik elektroniczny, operatorem internetu albo dostawcą serwera. Jeżeli szkoła nie ma własnego informatyka, wsparcie może obejmować audyt urządzeń, uporządkowanie kont, konfigurację kopii zapasowych i przygotowanie raportu. Serwis24.org realizuje obsługę informatyczną dla firm i instytucji, dlatego podobny model pracy można zastosować także w placówce: najpierw rozpoznanie, następnie lista ryzyk i dopiero później wdrażanie zmian. Dzięki temu szkoła nie kupuje przypadkowych zabezpieczeń, lecz rozwiązuje konkretne problemy.
Inwentaryzacja systemów, urządzeń i danych
Co należy zinwentaryzować przed audytem?
Inwentaryzacja to uporządkowany spis zasobów, które mają znaczenie dla działania szkoły. Powinien obejmować komputery stacjonarne, laptopy, serwery, routery, przełączniki, punkty dostępowe Wi-Fi, drukarki, telefony służbowe, urządzenia do monitoringu i sprzęt w pracowniach. Przy każdym urządzeniu warto zapisać numer inwentarzowy, lokalizację, użytkownika, system operacyjny, podstawowe oprogramowanie, datę zakupu i informację o gwarancji. Jeżeli szkoła korzysta z usług chmurowych, należy wpisać je do oddzielnej części rejestru, ponieważ brak fizycznego serwera nie oznacza braku odpowiedzialności za dostęp i dane.
Drugą grupą zasobów są informacje. Trzeba wskazać, gdzie znajdują się dane uczniów, rodziców, pracowników, kandydatów, kontrahentów i osób korzystających z monitoringu. Należy również opisać dane finansowe, dokumentację przebiegu nauczania, arkusze ocen, kopie dokumentów oraz pliki przechowywane na komputerach nauczycieli. Dla każdej kategorii warto określić właściciela, cel przetwarzania, miejsce przechowywania, poziom poufności oraz konsekwencje utraty lub ujawnienia. Taki opis pomaga później ustalić, które systemy i kopie zapasowe są najważniejsze.
Ocena krytyczności i zależności między systemami
Nie wszystkie systemy mają takie samo znaczenie. Awaria drukarki w pokoju nauczycielskim jest uciążliwa, ale zwykle nie zatrzymuje pracy całej placówki. Niedostępność dziennika elektronicznego, poczty dyrekcji albo systemu kadrowego może natomiast wpływać na komunikację, realizację obowiązków i terminy administracyjne. Szkoła powinna przypisać zasobom poziom krytyczności oraz określić, jak długo może działać bez danego systemu. Przydatne są pytania: czy istnieje ręczny sposób wykonania zadania, czy potrzebny jest internet, czy dostawca gwarantuje odtworzenie usługi i kto podejmuje decyzję o obejściu awarii?
Przykładem zależności jest logowanie do kilku usług przez jedno konto Microsoft lub Google. Jeżeli konto zostanie zablokowane albo przejęte, użytkownik może stracić dostęp do poczty, dokumentów, dysku i platform edukacyjnych jednocześnie. W rejestrze nie wystarczy więc napisać „poczta elektroniczna”. Trzeba opisać dostawcę, sposób uwierzytelniania, administratorów, mechanizm odzyskiwania konta i lokalizację danych. Takie szczegóły pokazują audytorowi, że szkoła rozumie zależności, a nie tylko posiada ogólną listę programów.
Jak przygotować rejestr, który będzie użyteczny?
Rejestr można prowadzić w bezpiecznym arkuszu, systemie helpdesk albo innym narzędziu przeznaczonym do zarządzania zasobami. Najważniejsza jest aktualność i możliwość ustalenia, kto oraz kiedy wprowadził zmianę. Warto zastosować osobne zakładki dla sprzętu, oprogramowania, usług, kont uprzywilejowanych, dostawców i danych. Nie należy wpisywać haseł do zwykłego arkusza. Hasła administracyjne powinny być przechowywane w menedżerze haseł z kontrolą dostępu, a w rejestrze można wskazać jedynie miejsce ich bezpiecznego przechowywania.
Praktyczna wskazówka jest prosta: po przygotowaniu spisu należy wybrać losowo kilka urządzeń i porównać dane z rejestrem. Jeżeli laptop znajduje się w innym pomieszczeniu, korzysta z innego użytkownika lub ma nieznaną wersję systemu, oznacza to, że ewidencja wymaga poprawy. Warto też wykonać skan lokalnej sieci, ale wynik skanu powinien zostać zweryfikowany ręcznie. Nieznane urządzenie może być punktem dostępowym, kamerą albo prywatnym routerem podłączonym przez pracownika. Każdy taki przypadek powinien otrzymać właściciela i decyzję: pozostawić, zabezpieczyć albo odłączyć.
Dokumentacja, procedury i odpowiedzialność
Najważniejsze dokumenty na potrzeby audytu
Dokumentacja bezpieczeństwa powinna odpowiadać rzeczywistemu sposobowi pracy szkoły. Zwykle potrzebne są: polityka bezpieczeństwa informacji, analiza ryzyka, zasady nadawania i odbierania uprawnień, instrukcja zarządzania sprzętem, procedura aktualizacji, zasady wykonywania kopii zapasowych, plan ciągłości działania oraz procedura obsługi incydentów. Przydatne są również rejestry szkoleń, przeglądów, awarii, zmian konfiguracji i testów odtworzeniowych. Dokument nie musi mieć kilkudziesięciu stron, ale powinien jasno określać odpowiedzialność, kolejność działań i sposób potwierdzenia wykonania zadania.
Analiza ryzyka powinna opisywać zagrożenia związane z konkretnymi zasobami. Dla dziennika elektronicznego ryzykiem może być przejęcie konta nauczyciela, awaria dostawcy lub brak dostępu do internetu. Dla serwera plików zagrożeniem jest ransomware, uszkodzenie dysku i przypadkowe usunięcie danych. Przy każdym ryzyku należy wskazać prawdopodobieństwo, skutek, istniejące zabezpieczenia i plan redukcji ryzyka. Audytorowi łatwiej ocenić dokument, jeśli widać, że szkoła ustala priorytety, zamiast wpisywać przy każdym zagrożeniu ogólne określenie „ryzyko niskie”.
Procedury dostępu i obowiązki pracowników
Jedna z najczęściej sprawdzanych kwestii dotyczy kont użytkowników. Każdy pracownik powinien korzystać z własnego konta, a dostęp powinien wynikać z pełnionej funkcji. Konto administratora nie może być używane do zwykłej pracy z pocztą i internetu. Procedura powinna opisywać, kto zatwierdza dostęp, kto go technicznie nadaje, kiedy wykonywany jest przegląd uprawnień oraz jak szybko konto jest blokowane po odejściu pracownika. Należy uwzględnić także konta serwisowe i zewnętrznych firm, ponieważ często pozostają aktywne długo po zakończeniu współpracy.
W praktyce dobrym testem jest poproszenie sekretariatu o listę aktywnych pracowników, a następnie porównanie jej z listą kont w poczcie, dzienniku i usługach chmurowych. Różnice należy wyjaśnić, a nie usuwać automatycznie. Nieaktywne konto może zawierać dokumenty potrzebne do zachowania, ale powinno zostać zablokowane i przekazane właścicielowi procesu. Pracownicy muszą także znać zasady tworzenia haseł, korzystania z prywatnych nośników, przekazywania dokumentów i zgłaszania podejrzanych wiadomości. Krótkie szkolenie z potwierdzeniem obecności jest lepszym dowodem niż ogólna adnotacja, że „personel został poinformowany”.
Umowy z dostawcami i wymagania bezpieczeństwa
Szkoła nie zabezpieczy się prawidłowo, jeśli nie wie, jakie obowiązki mają dostawcy usług. Należy zebrać umowy dotyczące internetu, dziennika elektronicznego, hostingu, poczty, kopii zapasowych, serwisowania komputerów, monitoringu i niszczenia dokumentów. Warto sprawdzić, czy umowa określa dostęp do danych, poufność, zgłaszanie incydentów, czas reakcji, tworzenie kopii i zakończenie współpracy. W przypadku usług chmurowych trzeba ustalić, jak odzyskać dane po awarii lub rezygnacji z usługi. Brak takiej wiedzy jest ryzykiem organizacyjnym, nawet gdy dostawca jest renomowany.
Jeżeli placówka współpracuje z firmą informatyczną, powinna mieć opis zakresu wsparcia oraz sposób autoryzowania prac serwisowych. Technik nie powinien otrzymywać stałego, nieograniczonego dostępu bez rejestracji działań. W umowie lub procedurze można określić dostęp czasowy, zgłoszenie serwisowe, potwierdzenie wykonania prac i zasady korzystania z konta administracyjnego. Wątek dostawców jest ważny także w kontekście NIS2. Artykuł NIS2 i bezpieczeństwo łańcucha dostaw pokazuje, dlaczego ocena podwykonawców oraz ich zabezpieczeń powinna być stałym elementem zarządzania ryzykiem.
Bezpieczeństwo techniczne, kopie zapasowe i dostęp
Aktualizacje, konfiguracja i ochrona urządzeń
Przed audytem należy sprawdzić, czy systemy operacyjne, przeglądarki, programy biurowe i oprogramowanie urządzeń sieciowych są aktualne. Nie chodzi o bezmyślne instalowanie każdej aktualizacji w środku zajęć, lecz o ustalony proces: identyfikację poprawek, ocenę wpływu, wdrożenie i sprawdzenie działania. Komputery powinny mieć włączoną zaporę, ochronę antymalware, automatyczne blokowanie ekranu oraz ograniczone prawa użytkownika. Na urządzeniach administracyjnych szczególnie ważne jest szyfrowanie dysków, ponieważ zgubiony laptop może zawierać dane uczniów i pracowników.
Sieć szkoły powinna być podzielona przynajmniej logicznie. Inne zasady dostępu powinny obowiązywać dla komputerów administracji, pracowni, sieci gościnnej, monitoringu i urządzeń zarządzanych. Hasło do Wi-Fi dla gości nie może dawać dostępu do serwera dokumentów. Router powinien mieć zmienione hasło domyślne, aktualne oprogramowanie i wyłączone niepotrzebne usługi zdalnego zarządzania. Warto również sprawdzić, czy panel administracyjny jest dostępny z internetu. Jeżeli nie jest potrzebny, najlepiej ograniczyć go do sieci wewnętrznej albo bezpiecznego VPN.
Kopie zapasowe i test odtworzenia
Kopia zapasowa jest wiarygodna dopiero wtedy, gdy szkoła potrafi odtworzyć z niej pliki. Sam komunikat „backup wykonany poprawnie” nie potwierdza, że dane są użyteczne. Należy określić, co jest kopiowane, jak często, gdzie znajduje się kopia, jak długo jest przechowywana i kto otrzymuje alarm o błędzie. Dobrą praktyką jest posiadanie kilku kopii, w tym kopii odseparowanej od głównej sieci. Jeżeli ransomware zaszyfruje serwer i podłączony dysk backupu, obie lokalizacje mogą stać się bezużyteczne.
Przykładowy test może polegać na odtworzeniu do osobnego katalogu kilku dokumentów oraz sprawdzeniu, czy zachowują nazwy, uprawnienia i daty. Dla systemu krytycznego warto wykonać próbę odtworzenia na zapasowym urządzeniu albo w środowisku testowym. Wynik powinien zawierać datę, zakres, osobę wykonującą test, czas odtworzenia i napotkane problemy. Jeżeli odtworzenie trwa dłużej, niż szkoła może sobie pozwolić, trzeba zmienić częstotliwość kopii, sprzęt lub procedurę. Audytor doceni nie tylko sukces, ale także udokumentowane działania po wykryciu słabości.
Kontrola dostępu, MFA i monitoring
Uwierzytelnianie wieloskładnikowe, czyli MFA, powinno być włączone przede wszystkim dla kont administratorów, poczty dyrekcji, usług chmurowych i systemów zawierających dane wrażliwe. Drugim składnikiem może być aplikacja uwierzytelniająca, klucz sprzętowy lub inny mechanizm dopuszczony przez dostawcę. Kody SMS są lepsze niż samo hasło, ale nie zawsze zapewniają najwyższy poziom ochrony. Szkoła powinna przygotować procedurę awaryjnego odzyskania konta, ponieważ utrata telefonu administratora bez zapasowego sposobu logowania może zablokować dostęp do systemu.
Monitoring nie musi oznaczać drogiego centrum operacji bezpieczeństwa. Na początek należy włączyć rejestrowanie logowań, zmian uprawnień, błędów kopii, alertów antywirusowych i zdarzeń na urządzeniach sieciowych. Logi powinny być przechowywane przez określony czas i dostępne dla osoby analizującej incydent. Warto raz w miesiącu przejrzeć nietypowe logowania, nowe konta i powtarzające się błędy. Jeżeli szkoła nie ma zasobów do samodzielnej analizy, zewnętrzna obsługa informatyczna może przygotowywać cykliczny raport z najważniejszych zdarzeń oraz rekomendacjami.
Incydenty, test audytowy i plan działań naprawczych
Jak szkoła powinna reagować na incydent?
Incydent bezpieczeństwa to zdarzenie, które narusza poufność, integralność lub dostępność informacji. Może nim być phishing zakończony podaniem hasła, zgubienie laptopa, ujawnienie listy uczniów, infekcja ransomware, nieautoryzowany dostęp do konta albo wielogodzinna awaria systemu. Procedura powinna wskazywać, kto przyjmuje zgłoszenie, jak zabezpieczyć dowody, kiedy odłączyć urządzenie od sieci i kto kontaktuje się z dostawcą. Pracownik nie powinien samodzielnie kasować podejrzanych wiadomości ani formatować komputera, ponieważ może usunąć informacje potrzebne do ustalenia przyczyny.
Praktyczny schemat obejmuje rozpoznanie, ograniczenie skutków, analizę, usunięcie przyczyny, odtworzenie działania i wyciągnięcie wniosków. Przy przejęciu konta należy zablokować sesje, zmienić hasło z bezpiecznego urządzenia, odebrać tokeny, sprawdzić reguły przekierowania poczty i przejrzeć logowania. Przy podejrzeniu ransomware trzeba odłączyć urządzenie od sieci, ale nie wyłączać go bez konsultacji, jeśli potrzebne jest zabezpieczenie pamięci. Każdy incydent powinien otrzymać numer, datę, opis, ocenę wpływu, podjęte czynności i decyzję o dalszym zgłoszeniu.
Ćwiczenie audytowe przed właściwą kontrolą
Najskuteczniejszym przygotowaniem jest przeprowadzenie wewnętrznego testu w formie pytań i dowodów. Osoba sprawdzająca może poprosić o rejestr sprzętu, wskazanie administratora poczty, pokazanie ostatniego testu kopii oraz opis sytuacji, w której pracownik zgłasza phishing. Następnie porównuje odpowiedzi z dokumentami i konfiguracją. Ćwiczenie powinno obejmować również scenariusz niedostępności internetu, awarii dziennika lub odejścia osoby posiadającej jedyne hasło administratora. Celem nie jest karanie pracowników, lecz wykrycie zależności od pojedynczej osoby i braków w procedurach.
Przykładowe pytanie audytowe brzmi: „Kto może nadać dostęp do folderu z dokumentacją uczniów i jak potwierdzamy, że dostęp został odebrany?”. Prawidłowa odpowiedź powinna prowadzić do konkretnego formularza, rejestru zgłoszeń i listy uprawnień. Jeżeli pracownik odpowiada jedynie „zajmuje się tym informatyk”, szkoła nie ma wystarczającej kontroli. Warto przeprowadzić rozmowy z kilkoma osobami z różnych działów, ponieważ procedura może działać w sekretariacie, ale być nieznana nauczycielom lub pracownikom technicznym.
Raport, priorytety i ciągłe doskonalenie
Po sprawdzeniu należy przygotować raport zawierający ustalenia, dowody, poziom ryzyka, właściciela zadania i termin poprawy. Priorytet wysoki powinny otrzymać problemy umożliwiające przejęcie wielu kont, utratę danych albo długotrwałe zatrzymanie pracy szkoły. Przykładem jest brak kopii, wspólne konto administratora, nieaktualny serwer wystawiony do internetu lub brak możliwości odzyskania konta dostawcy. Błędy dokumentacyjne również trzeba poprawić, ale kolejność powinna wynikać z rzeczywistego wpływu na bezpieczeństwo, a nie z łatwości zamknięcia zadania.
Wnioski z audytu powinny trafić do planu działań z określonym budżetem i osobą odpowiedzialną. Plan może obejmować szybkie czynności, takie jak wyłączenie kont byłych pracowników, oraz zadania wymagające projektu, na przykład segmentację sieci lub wymianę serwera. Po wykonaniu zmian trzeba zebrać dowód: zrzut konfiguracji, protokół testu, fakturę, rejestr szkolenia albo wynik skanu. Jeżeli szkoła podlega dodatkowym wymaganiom lub współpracuje z podmiotem objętym regulacjami, warto sprawdzić także, czy potrzebne jest formalne ustalenie statusu podmiotu ważnego lub kluczowego. NIS2 nie zastępuje KRI, ale porządkowanie odpowiedzialności i obsługi incydentów jest w obu obszarach bardzo podobne.
FAQ – najczęstsze pytania
Czy każda szkoła musi przeprowadzać audyt KRI?
Obowiązki wynikające z KRI dotyczą podmiotów publicznych i systemów wykorzystywanych do realizacji zadań publicznych, a dokładny zakres zależy od statusu organizacyjnego placówki oraz podmiotu prowadzącego. Szkoła powinna ustalić wymagania z organem prowadzącym, inspektorem ochrony danych i osobą odpowiedzialną za informatykę. Nawet gdy konkretna kontrola nie została zapowiedziana, regularna samoocena jest rozsądną praktyką. Placówka przetwarza dane dzieci, rodziców i pracowników, a awaria dziennika lub poczty może szybko zakłócić jej pracę. Audyt wewnętrzny pomaga wykryć problemy zanim pojawi się incydent albo kontrola zewnętrzna.
Ile czasu potrzeba na przygotowanie szkoły do audytu?
Czas zależy od wielkości placówki, liczby lokalizacji, stanu dokumentacji i tego, czy szkoła ma własny personel IT. Mała szkoła z uporządkowaną chmurą może przygotować podstawowy pakiet w kilka tygodni. Większa placówka z serwerownią, monitoringiem i wieloma pracowniami potrzebuje dłuższego okresu na inwentaryzację, analizę ryzyka i testy odtworzeniowe. Nie warto zaczynać od samego pisania dokumentów. Najpierw należy ustalić faktyczny stan systemów, ponieważ procedura opisująca nieistniejące kopie zapasowe lub nieużywane konta będzie pozorna. Harmonogram powinien zawierać czas na poprawki i ponowne sprawdzenie.
Czy szkoła musi mieć własnego informatyka?
Nie zawsze. Szkoła może korzystać z usług zewnętrznego administratora albo firmy świadczącej obsługę informatyczną, ale musi jasno określić zakres odpowiedzialności i zapewnić sobie dostęp do informacji potrzebnych przy awarii. Dyrektor powinien wiedzieć, kto ma uprawnienia administracyjne, gdzie są kopie, jak zgłosić problem i co stanie się po zakończeniu umowy. Zależność od jednego technika, który jako jedyny zna hasła i konfigurację, jest ryzykiem niezależnie od formy zatrudnienia. Zewnętrzny specjalista powinien pracować na indywidualnym koncie, rejestrować zmiany i przekazywać szkole dokumentację wykonanych prac.
Jakie dowody najczęściej warto przygotować?
Najczęściej przydatne są aktualne polityki i procedury, rejestr sprzętu, lista systemów, analiza ryzyka, wykaz użytkowników, potwierdzenia szkoleń, protokoły przeglądu uprawnień, raporty aktualizacji, potwierdzenia wykonania kopii i wyniki testów odtworzeniowych. Warto mieć także umowy z dostawcami, rejestr incydentów oraz plan ciągłości działania. Dowód powinien pozwalać odpowiedzieć na pytania kto, kiedy, co wykonał i jaki był rezultat. Zrzut ekranu bez daty i kontekstu jest słabszy niż protokół zawierający zakres testu, wynik i podpis osoby odpowiedzialnej. Dokumenty powinny być przechowywane w miejscu zabezpieczonym przed przypadkową modyfikacją.
Co zrobić, jeśli audyt wykazał poważne braki?
Nie należy ukrywać problemu ani próbować naprawiać wszystkiego jednocześnie. Najpierw trzeba ograniczyć ryzyko o największym wpływie: zabezpieczyć konta administratorów, odłączyć niepotrzebne usługi publiczne, wykonać niezależną kopię danych i zamknąć dostęp byłym pracownikom. Następnie należy sporządzić plan naprawczy z priorytetami, terminami i osobami odpowiedzialnymi. Jeżeli problem dotyczy płyty głównej, serwera, urządzenia sieciowego lub uszkodzonego nośnika, potrzebna może być diagnostyka techniczna, a nie tylko zmiana ustawień. Serwis24.org zajmuje się naprawą elektroniki i wsparciem IT, więc może pomóc rozdzielić awarie sprzętowe od problemów konfiguracyjnych oraz przygotować dokumentację wykonanych działań.
Podsumowanie
Przygotowanie do audytu KRI w szkole należy rozpocząć od poznania rzeczywistego środowiska informatycznego. Trzeba zinwentaryzować sprzęt, usługi, konta i dane, a następnie ustalić, które zasoby są krytyczne dla pracy placówki. Kolejny etap to porównanie rzeczywistości z dokumentacją: polityką bezpieczeństwa, procedurami dostępu, zasadami kopii zapasowych, planem ciągłości działania i instrukcją obsługi incydentów. Dokumenty powinny być krótkie, aktualne i możliwe do zastosowania przez pracownika, który nie jest informatykiem.
Największą wartość daje połączenie audytu organizacyjnego z technicznym testem systemów. Warto sprawdzić aktualizacje, segmentację sieci, MFA, konta administratorów, logi, ochronę urządzeń oraz faktyczne odtworzenie danych z kopii. Następnie należy przeprowadzić scenariusz awarii lub phishingu i zobaczyć, czy pracownicy wiedzą, co zrobić. Audyt nie jest celem samym w sobie. Jego sens polega na tym, aby szkoła potrafiła utrzymać działanie, ograniczyć skutki incydentu, odzyskać dane i udowodnić, że bezpieczeństwo jest zarządzane regularnie, a nie tylko poprawiane przed kontrolą.
Jeżeli placówka nie ma wystarczających zasobów, można podzielić prace na etapy i skorzystać z zewnętrznej obsługi informatycznej. Najważniejsze jest zachowanie kontroli po stronie szkoły: znane zasoby, określone role, dostęp do kopii, aktualne umowy i plan poprawy. Takie podejście ułatwia także późniejsze wdrożenie wymagań związanych z cyberbezpieczeństwem, w tym działań inspirowanych NIS2, bez mieszania różnych podstaw prawnych i bez kupowania zabezpieczeń, których nikt nie będzie używał.