Zarządzanie bezpieczeństwem krajowych systemów teleinformatycznych

Celem artykułu jest przegląd i ocena krajowych systemów teleinformatycznych z perspektywy zagrożeń i ataków cybernetycznych oraz działalności krajowych jednostek cyberbezpieczeństwa realizujących zadania dla podmiotów gospodarki i administracji publicznej i rządowej – CERT Polska i CSIRT GOV, zaprezentowanej z perspektywy zestawienia i analizy danych z ich corocznych raportów, dotyczących stanu cyberbezpieczeństwa kraju. Raporty pokazują jednoznacznie, że niezależnie od charakteru ujawnionych incydentów środowisko krajowych systemów teleinformatycznych jest w trybie ciągłym poddawane różnorodnym szkodliwym i przestępczym działaniom oraz atakom i wymaga zapewnienia stałej ochrony. Zagadnienie zapewnienia bezpieczeństwa systemów teleinformatycznych podejmują regulacje dotyczące zarządzania kryzysowego, krajowego systemu cyberbezpieczeństwa i informatyzacji podmiotów publicznych. Ww. regulacje prawne definiują m.in. wymagania wobec podmiotów nimi objętych odnośnie wdrożenia odpowiednich rozwiązań organizacyjnych i technicznych bezpieczeństwa oraz systemu zarządzania bezpieczeństwem systemów teleinformatycznych i informacji w celu zapewnienia właściwego poziomu ich bezpieczeństwa. Autor przedstawia proponowane przez siebie podejście do zastosowania spójnego i kompletnego zbioru norm ISO adresujących kwestie zarządzania bezpieczeństwem informacji, wdrażanego jako zintegrowany system zarządzania bezpieczeństwem.

---

The article presents the security issues of national ICT systems from the perspective of cyber threats and attacks as well as the activities of national cybersecurity units performing tasks for economic entities and public and government administration – CERT Polska and CSIRT GOV, presented from the perspective of the compilation and analysis of data from their annual reports on the state of cybersecurity country. The reports clearly show that regardless of the nature of the disclosed incidents, the environment of national ICT systems is constantly subjected to various and harmful and criminal activities and attacks by various actors, and requires constant protection. The issue of ensuring the security of ICT systems is addressed in the regulations on crisis management, the national cybersecurity system and the computerization of public entities. The above-mentioned legal regulations define, among others requirements for entities covered by them regarding the implementation of appropriate organizational and technical security solutions and the security management system of ICT systems and information in order to ensure an appropriate level of their security. The author presents his proposed approach to the application of a consistent and complete set of ISO standards addressing the issues of information security management, implemented as an integrated security management system.