Audyt KSC dla operatorów usług kluczowych

Audyt zgodny z wymaganiami ustawy o krajowym systemie cyberbezpieczeństwa dla Operatorów Usług Kluczowych

Ustawa o Krajowym Systemie Cyberbezpieczeństwa stanowi odpowiedź na obowiązek implementacji dyrektywy Parlamentu Europejskiego i Rady (UE) w sprawie środków na rzecz wysokiego wspólnego poziomu bezpieczeństwa sieci i systemów informatycznych na terytorium Unii. Zgodnie z art. 5.1. ustawy przedsiębiorstwo, organizacja czy instytucja uznana za OUK otrzymuje decyzję administracyjną w tej sprawie. Po otrzymaniu decyzji jednostka jest zobowiązana do wykonania wielu czynności w odpowiednich (krótkich) terminach, aby wywiązać się z obowiązków na nią nałożonych.

Obowiązki wynikające z ustawy KSC

Jednym z obowiązków operatorów usług kluczowych jest wykonywanie audytu bezpieczeństwa w częstotliwości nie rzadszej niż raz na 2 lata. Za nie wykonanie w/w obowiązku przewidziano karę finansową do 200 tys. zł (min. 15 tys. zł).

Krajowy Instytut Cyberbezpieczeństwa realizuje audyty bezpieczeństwa zgodnie z wymaganiami ustawy, które polegają na ilościowej i jakościowej ocenie systemu bezpieczeństwa wdrożonego w jednostce. Audyt przeprowadzają certyfikowani i doświadczeni audytorzy ISO 27001 co daje gwarancję działania zgodnie ze standardami i ustawą.

Operatorzy usług kluczowych

Ustawa KSC nie reguluje metodyki przeprowadzania audytu cyberbezpieczeństwa Operatorów Usług Kluczowych, dlatego audyt należy oprzeć o dostępne standardy i dobre praktyki, które stworzą ramy audytu. Instytut wybrał wzorzec oparty o normę ISO 27001, zbiór dobrych praktyk zarządzania procesami teleinformatycznymi (COBIT) oraz zbiór dobrych praktyk zarządzania usługami teleinformatycznymi (ITIL). Doświadczenie audytorów oraz dobrane przepisy sprawiają, że proces audytu jest możliwe usprawniony i efektywny. Takie podejście do audytu OUK pozwoli również na porównywanie wyników audytów przeprowadzanych przez różne zespoły.

Audyt Operatora Usługi Kluczowej w ramach KSC wskazuje miejsce w jakim się on znajduje oraz w jakim kierunku powinien podążać, aby zapewnić wymagany poziom bezpieczeństwa. Przepisy prawa skupiają się na wskazywaniu kluczowych obszarów, a nie konkretnych sposobów tworzenia systemu cyberbezpieczeństwa, dlatego audytorzy Krajowego Instytutu Cyberbezpieczeństwa skupiają się na wspieraniu działań OUK poprzez wskazywanie optymalnych i bezpiecznych rozwiązań bez utrudniania realizacji usługi kluczowej.

Zobacz także:
Odszyfrowywanie danych – czytaj więcej
Obsługa incydentów cyberbezpieczeństwa – czytaj więcej
Polityka backupu – czytaj więcej
Audyt Systemu Zarządzania Bezpieczeństwem Informacji – czytaj więcej
Testy phishingowe – socjotechniczne- czytaj więcej