Co komplikuje KSC na uczelni
Cyberbezpieczeństwo dotyczy jednocześnie administracji, systemów dydaktycznych, badań i dostawców. Kwalifikacja bywa odkładana, a dokumenty SZBI powstają w różnych jednostkach. Łatwo pomylić reżim podmiotu ważnego (załącznik nr 4) z art. 8 ust. 1.
Co warto uporządkować
- kwalifikację: podmiot ważny, kluczowy albo poza zakresem — bez zgadywania
- wybór modelu SZBI: załącznik nr 4 albo art. 8 ust. 1, jeśli dotyczy organizacji badawczej
- role między kanclerzem, CIO, IOD i jednostkami organizacyjnymi
- ryzyka, aktywa ICT i łańcuch dostawców usług chmurowych oraz badawczych
- gotowość incydentową z jasnym T0
Jak system może wesprzeć uczelnię
- jedna decyzja o kwalifikacji z zatwierdzeniem kierownika
- wsparcie zakresu SZBI i matryc załącznika nr 4 albo obiegu art. 8 ust. 1
- rejestry ryzyk, aktywów i dostawców widoczne dla właściwych ról
- incydenty z terminami CSIRT dopasowanymi do statusu podmiotu
- ślad audytowy zamiast wielu równoległych folderów wydziałów