Source: http://www.it-professional.pl/archiwum/art,8927,pomieszczenia-oraz-warunki-techniczne.html
Timestamp: 2020-08-13 00:31:43+00:00
Document Index: 55717070

Matched Legal Cases: ['art. 14', 'art. 8', 'art. 8', 'art. 11', 'art. 11', 'art. 11', 'art. 11', 'art. 12', 'art. 11', 'art. 13']

IT Professional / Archiwum / Pomieszczenia oraz warunki techniczne
Strona główna Archiwum Maj 2020 Zarządzanie i prawo IT Pomieszczenia oraz warunki techniczne
Data publikacji: 15-06-2020 Autor: Tomasz Cygan
Jak stanowi art. 14 ust. 2 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, wewnętrzne struktury odpowiedzialne za cyberbezpieczeństwo, powołane przez operatora usługi kluczowej są obowiązane między innymi dysponować pomieszczeniami służącymi do świadczenia usług z zakresu reagowania na incydenty, zabezpieczonymi przed zagrożeniami fizycznymi i środowiskowymi, a także stosować zabezpieczenia w celu zapewnienia poufności, integralności, dostępności i autentyczności przetwarzanych informacji, z uwzględnieniem bezpieczeństwa osobowego, eksploatacji i architektury systemów. Zapewnienie należytych pomieszczeń jest obowiązkiem operatora usługi kluczowej w przypadku powołania wewnętrznej struktury. Skoro struktura ma charakter wewnętrzny, to wszelkie elementy niezbędne do jej funkcjonowania powinien zapewnić operator usługi kluczowej. Inaczej sytuacja wygląda w przypadku podmiotów świadczących usługi z zakresu cyberbezpieczeństwa, które obowiązki w zakresie pomieszczeń oraz stosowanych zabezpieczeń muszą spełnić same.
Biorąc pod uwagę równoważność wyboru pomiędzy wewnętrzną strukturą oraz podmiotem świadczącym usługi z zakresu cyberbezpieczeństwa, pojawia się pole do rozważań identycznych jak w przypadku serwerowni: budować własną czy kolokować dane i usługi. Operator usługi kluczowej staje więc przed wyborem, czy spełniać samodzielnie warunki lokalowe wymagane przez prawo, czy przerzucić ciężar ich spełnienia na podmiot trzeci, określając szczegóły w tym zakresie w umowie z podmiotem świadczącym usługi z zakresu cyberbezpieczeństwa.
> WEWNĘTRZNA STRUKTURA ORGANIZACYJNA – OBOWIĄZKI
Orientacja na tworzenie własnej wewnętrznej struktury odpowiedzialnej za cyberbezpieczeństwo nakłada na operatora usługi kluczowej konieczność realizacji obowiązków określonych w rozporządzeniu Ministra Cyfryzacji z dnia 4 grudnia 2019 r. w sprawie warunków organizacyjnych i technicznych dla podmiotów świadczących usługi z zakresu cyberbezpieczeństwa oraz wewnętrznych struktur organizacyjnych operatorów usług kluczowych odpowiedzialnych za cyberbezpieczeństwo.
Warto zauważyć, że nie wszystkie obowiązki realizowane przez wewnętrzną strukturę organizacyjną odpowiedzialną za cyberbezpieczeństwo muszą być wykonywane w specjalnych pomieszczeniach. Tylko obowiązki wskazane wprost w przepisach prawa muszą być w nich realizowane. Jak stanowi § 2 ust. 2 rozporządzenia, opisane w nim zabezpieczenia pomieszczenia lub zespołu pomieszczeń adekwatne do przeprowadzonego szacowania ryzyka dotyczą tylko realizacji obowiązków takich jak:
zarządzanie incydentami w ramach wdrożonego systemu zarządzania bezpieczeństwem w systemie informacyjnym wykorzystywanym do świadczenia usługi kluczowej (art. 8 pkt 4 ustawy);
stosowanie środków łączności umożliwiających prawidłową i bezpieczną komunikację w ramach krajowego systemu cyberbezpieczeństwa w ramach wdrożonego systemu zarządzania bezpieczeństwem w systemie informacyjnym wykorzystywanym do świadczenia usługi kluczowej (art. 8 pkt 6 ustawy);
zapewnianie obsługi incydentu (art. 11 ust. 1 pkt 1 ustawy);
zapewnianie dostępu do informacji o rejestrowanych incydentach właściwemu CSIRT MON, CSIRT NASK lub CSIRT GOV w zakresie niezbędnym do realizacji jego zadań (art. 11 ust. 1 pkt 2 ustawy);
klasyfikowanie incydentu jako poważnego na podstawie progów uznawania incydentu za poważny (art. 11 ust. 1 pkt 3 ustawy);
zgłaszanie incydentu jako poważnego do właściwego CSIRT MON, CSIRT NASK lub CSIRT GOV (art. 11 ust. 1 pkt 4 ustawy, art. 12 ustawy);
współdziałanie podczas obsługi incydentu poważnego i incydentu krytycznego z właściwym CSIRT MON, CSIRT NASK lub CSIRT GOV, przekazując niezbędne dane, w tym dane osobowe (art. 11 ust. 1 pkt 5 ustawy);
przekazywanie do właściwego CSIRT MON, CSIRT NASK lub CSIRT GOV informacji:
o innych incydentach,
o zagrożeniach cyberbezpieczeństwa,
dotyczących szacowania ryzyka,
o podatnościach,
o wykorzystywanych technologiach (art. 13 ustawy).
W tych przypadkach rozporządzenie wymaga, aby obowiązki wewnętrznej struktury organizacyjnej odpowiedzialnej za cyberbezpieczeństwo były realizowane w pomieszczeniach lub zespołach pomieszczeń zabezpieczonych w sposób adekwatny do przeprowadzonego szacowania ryzyka. Oznacza to, że stosowane zabezpieczenia pomieszczeń lub ich zespołów powinny zostać wplecione we wszystkie procedury dotyczące szacowania ryzyka, a także, w dłuższej perspektywie, pomieszczenie lub ich zespoły będą podlegały zmianom w zakresie zabezpieczeń. Co istotne, wszelkie działania w tym zakresie powinien realizować operator usługi kluczowej i muszą one być dokumentowane, w sposób określony w systemie zarządzania bezpieczeństwem.