Polityka bezpieczeństwa informacji — generator wzoru

Polityka bezpieczeństwa informacji to dokument, o który pyta organ przy kontroli, audytor przy audycie i coraz częściej kontrahent przed podpisaniem umowy. Ustawa o krajowym systemie cyberbezpieczeństwa wymienia czternaście obszarów, które taki dokument ma obejmować — od szacowania ryzyka po kontrolę dostępu.

Problem nie polega na tym, że wzorów nie ma. Polega na tym, że krążące po sieci wzory są albo przepisaną normą ISO bez związku z polskim przepisem, albo listą ogólników, przy której nie wiadomo, który fragment czego dotyczy. Ten generator robi coś innego: przy każdym rozdziale podaje literę przepisu, z której wynika.

Co dostajesz

• Osiemnaście rozdziałów — czternaście odpowiadających literom a–n z art. 8 ust. 1 pkt 2 ustawy, plus postanowienia ogólne, organizacja odpowiedzialności, obsługa incydentów i tryb przeglądu.
• Treść dopasowaną do Twojej sytuacji — inaczej brzmi rozdział o bezpieczeństwie fizycznym dla firmy z własną serwerownią, inaczej dla działającej wyłącznie w chmurze.
• Luki oznaczone, a nie zamaskowane — czego nie da się ustalić z odpowiedzi, dokument pokazuje na żółtym tle, z podsumowaniem na górze. To jest celowe: polityka, która wygląda na gotową, a opisuje stan nieistniejący, jest gorsza niż jej brak.
• Miejsca na podpis kierownika podmiotu i osoby odpowiedzialnej za bezpieczeństwo informacji.

Dokument powstaje w przeglądarce. Nie zbieramy adresu e-mail, nie wymagamy rejestracji i nie zapisujemy niczego, co wpiszesz.

Czego ten generator nie zrobi

Nie sprawdzi, czy opisany stan odpowiada rzeczywistości. Polityka mówi, jak ma być. Jeśli zaznaczysz, że kopie zapasowe są robione w dwóch lokalizacjach, dokument to zapisze — ale nikt poza Tobą nie zweryfikuje, czy odtworzenie z nich kiedykolwiek przetestowano. Ta weryfikacja to zadanie audytu, nie generatora.

Nie zastąpi decyzji kierownictwa. Za politykę bezpieczeństwa odpowiada zarząd, a ustawa przewiduje wobec kierownika podmiotu karę pieniężną do 300% jego wynagrodzenia (art. 73a ust. 4). Dlatego dokument wychodzi z pustymi polami tam, gdzie potrzebna jest decyzja, a nie z wypełnioną wartością domyślną.

Nie ustali za Ciebie, czy podlegasz ustawie. To osobne pytanie — odpowiada na nie test NIS2. Warto go wykonać przed wypełnieniem tego formularza, bo od statusu zależy brzmienie kilku rozdziałów.

Skąd czternaście obszarów

Art. 8 ust. 1 pkt 2 ustawy o krajowym systemie cyberbezpieczeństwa wymienia, co ma zapewniać system zarządzania bezpieczeństwem informacji. Kolejno: polityki szacowania ryzyka, bezpieczeństwo w procesie nabywania i utrzymania systemów, bezpieczeństwo fizyczne z kontrolą dostępu, bezpieczeństwo zasobów ludzkich, bezpieczeństwo łańcucha dostaw, plany ciągłości działania, monitorowanie w trybie ciągłym, ocenę skuteczności zabezpieczeń, edukację personelu, cyberhigienę, kryptografię, bezpieczne środki komunikacji z uwierzytelnianiem wieloskładnikowym, zarządzanie aktywami oraz kontrolę dostępu.

Podmioty objęte ustawą mają 12 miesięcy od spełnienia przesłanek na wdrożenie obowiązków z rozdziału 3 (art. 16 pkt 1). Podmiot kluczowy przechodzi pierwszy audyt w terminie 24 miesięcy (art. 16 pkt 2), a kolejne co najmniej raz na trzy lata na własny koszt (art. 15 ust. 1).

Jeśli ustawa Cię nie obejmuje, ten sam układ i tak bywa potrzebny — bo kontrahenci objęci NIS2 mają obowiązek zadbać o bezpieczeństwo łańcucha dostaw (art. 8 ust. 1 pkt 2 lit. e) i przenoszą wymagania na dostawców w umowach.

Kolejny krok

Gotowa polityka jest punktem wyjścia. Sprawdzenie, czy stan faktyczny jej odpowiada, to audyt bezpieczeństwa IT. Doprowadzenie do zgodności — wdrożenie NIS2 i RODO. Procedurę zgłaszania incydentu z terminami 24 i 72 godzin przygotujesz osobnym generatorem.