Obowiązki podmiotów publicznych w świetle aktualnej i projektowanej regulacji ustawy o Krajowy System Cyberbezpieczeństwa

Cel edukacyjny:

Kurs przygotowuje do praktycznego organizowania cyberbezpieczeństwa w urzędach i jednostkach samorządu terytorialnego zgodnie z wymaganiami Ustawy o krajowym systemie cyberbezpieczeństwa oraz nadchodzącymi zmianami wynikającymi z NIS2. Uczestnicy uczą się określać odpowiedzialność w urzędzie i dzielić role między IT, kierownictwo i inne komórki, reagować na incydenty cyberbezpieczeństwa, identyfikować i zarządzać ryzykiem w systemach oraz przygotować jednostkę do nowych wymagań NIS2, korzystając

Szkolenie jest skierowane do:

kierownictwa jednostek samorządu terytorialnego i urzędów oraz specjalistów ds. IT i cyberbezpieczeństwa, inspektorów ochrony danych, pracowników działów zamówień publicznych oraz osób odpowiedzialnych za ciągłość działania i zarządzanie dokumentacją. Adresowane jest do osób, które planują, nadzorują lub realizują działania w zakresie bezpieczeństwa cyfrowego, w tym przygotowują procedury, zarządzają ryzykiem i reagują na incydenty zgodnie z wymaganiami KSC i NIS2, uwzględniając współpracę z CSIRT, BCP/DR, audyty i klauzule bezpieczeństwa w umowach z dostawcami IT.

Usługa również adresowana jest dla uczestników projektu Małopolski Pociąg do Kariery-sezon 1 realizowany przez WUP w Krakowie

Walidacja

Test teoretyczny z wynikiem generowanym automatycznie przeprowadzany jest za pośrednictwem formularza google doc.. Uczestnik otrzymuje link z dostępem do testu. Do jego wypełnienia wymagane jest posiadanie własnego urządzenia mobilnego z dostępem do Internetu. Warunkiem zaliczenia testu jest uzyskanie co najmniej 70%

PROGRAM:

1.Cyberbezpieczeństwo w JST/urzędzie – kontekst i odpowiedzialność kierownictwa.

• Cel KSC i architektura krajowa (CSIRT-y, współpraca, rola podmiotów publicznych).
• Odpowiedzialność kierownika jednostki za organizację bezpieczeństwa (nadzór, zasoby, decyzje).
• Relacja z kontrolą zarządczą, BCP/DR, zarządzaniem dokumentacją i RODO (punkty styku).

Ćwiczenie: „Mapa odpowiedzialności” – RACI dla: IT, IOD, kancelaria/EZD, PR, kadry, zamówienia.

2.Podstawowe pojęcia KSC i praktyczne granice obowiązków.

• Incydent / incydent poważny / obsługa incydentu; podatność; ryzyko.
• Usługa kluczowa / usługa cyfrowa (w obecnym KSC) – jak to „czytać” w realiach urzędu.
• Minimalny standard: polityki, uprawnienia, rejestrowanie zdarzeń, kopie, aktualizacje, zarządzanie dostępem.

Mini-case: „Wyciek danych z poczty / phishing / ransomware w sekretariacie” – co robimy w 2h, 24h, 72h.

3.Współpraca z CSIRT, zgłaszanie incydentów i komunikacja.

• Kiedy zgłaszamy incydent, komu i w jaki sposób.
• Rola CSIRT na poziomie krajowym (NASK itp.).
• Komunikacja kryzysowa: mieszkańcy, media, organ nadzorczy (RODO), podmioty współpracujące.
• Dowody i łańcuch czynności (forensic light) – jak nie „zniszczyć” śladów.

Ćwiczenie: wypełnienie „karty incydentu” oraz przygotowanie checklisty działań.

4.Zarządzanie ryzykiem cyber w jednostce – podejście praktyczne.

• Prosta metodyka ryzyka: aktywa – zagrożenia – podatności – skutki – zabezpieczenia.
• Katalog typowych ryzyk w administracji: EZD, ePUAP/eDoręczenia, BIP, domena, AD, kopie zapasowe, dostawcy, systemy dziedzinowe.
• Priorytetyzacja działań: co daje największą redukcję ryzyka przy najmniejszym koszcie.

Ćwiczenie: przygotowanie rejestru ryzyk (top 10) dla jednostki oraz plan działań 30/60/90 dni.

5.NIS2 → KSC: nowy model podmiotów i nadzoru.

• Przejście z podziału NIS1 na podmioty kluczowe i podmioty ważne.
• Rozszerzenie katalogu sektorów i objęcie większej liczby podmiotów (w tym publicznych).
• Wzmocnienie uprawnień organów właściwych i mechanizmów nadzorczych.

Ćwiczenie: „Samoocena jednostki” – czy i dlaczego możemy wpaść w kategorię podmiotu kluczowego lub ważnego (na podstawie usług i roli jednostki).

6.Obowiązki w modelu NIS2: środki zarządzania ryzykiem.

• SZBI/ISMS „w wersji urzędowej”: polityki, role, przeglądy ryzyka, szkolenia.
• Zabezpieczenia: zarządzanie dostępem, MFA, zarządzanie tożsamością, segmentacja sieci, backup 3-2-1, patching, EDR oraz logowanie zdarzeń.
• Łańcuch dostaw i dostawcy IT (umowy, SLA, audyty, wymagania bezpieczeństwa) – szczególnie istotne w zamówieniach publicznych.
• Ciągłość działania usług cyfrowych (BCP/DR) oraz minimalny katalog testów ciągłości działania.

Ćwiczenie: checklista „20 wymagań” oraz analiza luk (gap analysis): jest / częściowo / brak.

7.Incydenty w NIS2/KSC: nowe kanały i tempo zgłoszeń.

• Obowiązek i technika zgłaszania incydentów z użyciem systemu teleinformatycznego ministra (projekt).
• Rola CSIRT sektorowych (projekt) oraz współpraca operacyjna.
• Wewnętrzna procedura obsługi incydentu: detekcja → triage → eskalacja → decyzje → zgłoszenia → komunikacja.

Ćwiczenie: symulacja „incydent krytyczny w systemie dziedzinowym” – decyzje kierownictwa, działania IT oraz ścieżka formalna.

8.Odpowiedzialność, sankcje, kary administracyjne – jak się zabezpieczyć organizacyjnie.

• Kary administracyjne w projektowanej nowelizacji oraz obszary ryzyka niezgodności.
• Jak „dowodzić” należytej staranności: dokumenty, protokoły przeglądów, testy, szkolenia oraz audyty.

Ćwiczenie: przygotowanie „Teczki zgodności KSC/NIS2” – spisu dokumentów i dowodów.

9.Plan wdrożenia w jednostce: 90 dni / 6 miesięcy / 12 miesięcy.

• Szybkie działania podnoszące poziom bezpieczeństwa (quick wins): MFA, kopie zapasowe, segmentacja sieci, zarządzanie uprawnieniami, aktualizacje systemów, rejestr zasobów.
• Organizacja zarządzania cyberbezpieczeństwem: zespół ds. cyberbezpieczeństwa, cykl przeglądów, planowanie budżetu, raportowanie do kierownictwa jednostki.
• Integracja z EZD i zarządzaniem dokumentacją (incydent jako dokumentacja; retencja dokumentów; prowadzenie rejestrów).

Przygotowanie harmonogramu wdrożenia wraz z właścicielami działań i wskaźnikami realizacji.

„Wdrożenie na dokumentach” – warsztat.

• Projekt procedury obsługi incydentu cyberbezpieczeństwa (wersja urzędowa).
• Rejestr usług i systemów teleinformatycznych wraz z klasyfikacją krytyczności.
• Rejestr ryzyk cyberbezpieczeństwa (skala 1–4) oraz plan postępowania z ryzykiem.
• Wymagania bezpieczeństwa do SIWZ/OPZ oraz klauzule bezpieczeństwa do umów z dostawcami IT.
• Szkolenie ma charakter zdalny w czasie rzeczywistym 13h dydaktycznych,
• 1 godzina usługi = 45 minut dydaktycznych,
• Przerwy nie są wliczone w całkowity czas trwania usługi.

• Szkolenie on-line na żywo
• EduBox, czyli paczkę materiałów wysłaną pocztą
• 60 dni dostępu do nagrania szkolenia
• Aplikację mobilną z ustawą Pzp na Android i iOS
• Materiały z ustawą Pzp w formie książki
• Roczny dostęp do EduStrefy
• Certyfikat ukończenia szkolenia
• Nagrania z webinarów ApexNet
• Wzór regulaminu zamówień do 170 tys. zł

Rezerwacji miejsca szkoleniowego można dokonać za pośrednictwem BUR.

Warunkiem uczestnictwa jest zarejestrowanie się i założenie konta w Bazie Usług Rozwojowych oraz zapisanie się na szkolenie za pośrednictwem Bazy.

zaakceptowano Regulamin dla instytucji szkoleniowych.

Koszt wydania certyfikatu/zaświadczenia – wliczony w cenę szkolenia.

Po zakończeniu usługi uczestnik otrzyma certyfikat.

Usługa jest zwolniona z podatku VAT w przypadku, kiedy przedsiębiorstwo zwolnione jest z podatku VAT lub dofinansowanie wynosi co najmniej 70%. W innej sytuacji do ceny netto doliczany jest podatek VAT w wysokości 23%.

Podstawa prawna stawki zwolnionej: Rozporządzenie Ministra finansów z 20 grudnia 2013 w sprawie zwolnień od podatku od towarów i usług oraz warunków stosowania tych zwolnień (Dz. U. z 2020r.poz.1983 z 10.11.2020) § 3 pkt 1 ust. 14

Szkolenie odbywa się na żywo w formie online na platformie ClickMeeting. Wymagania techniczne dla tej platformy:

1. Do platformy ClickMeeting potrzebna jest najaktualniejsza wersja jednej z przeglądarek: Google Chrome,
2. Mozilla Firefox, Safari, Edge (Chromium) lub Opera.
3. Możliwy jest również dostęp mobilny za pomocą przeglądarki Chrome lub Safari na telefonie lub
4. dedykowanej aplikacji mobilnej Clickmeeting (do pobrania ze sklepu Google Play lub App Store).
5. Minimalne wymagania techniczne to urządzenie z dostępem do internetu o przepustowości łącza 1,5 Mbps
6. dla transmisji dźwięku i obrazu, posiadające:

• procesor dwurdzeniowy 2GHz lub lepszy (zalecany czterordzeniowy);

• 2 GB pamięci RAM (zlecane 4GB lub więcej);

• system operacyjny taki jak Windows 8 (zalecany Windows 10), Mac OS wersja 10.13 (zalecana najnowsza wersja), Linux, Chrome OS;

• standardowe oprogramowanie obsługujące pliki pdf, doc, xls.

Otrzymują Państwo od nas link do pokoju szkoleniowego.

Podczas szkolenia mają Państwo możliwość kontaktu z Moderatorem i Trenerem szkolenia za pomocą czatu.