Czy AI może pomóc przy tworzeniu i aktualizacji polityki bezpieczeństwa informacji w urzędzie?

Tak, AI może pomóc przy tworzeniu i aktualizacji dokumentów SZBI (Systemu Zarządzania Bezpieczeństwem Informacji) wymaganych przez Krajowe Ramy Interoperacyjności. Sprawdza się szczególnie przy redagowaniu Polityki Bezpieczeństwa Informacji, pisaniu procedur obsługi incydentów i przygotowaniu list kontrolnych do corocznego przeglądu. Ocena ryzyka i podpisanie dokumentów zostają po stronie urzędu, ale sama robota dokumentacyjna może iść znacznie szybciej.

Co należy mieć i gdzie jest największa strata czasu?

Rozporządzenie Rady Ministrów z dnia 12 kwietnia 2012 r. w sprawie Krajowych Ram Interoperacyjności (Dz.U. 2012 poz. 526 z późn. zm.) zobowiązuje każdą jednostkę publiczną do wdrożenia SZBI opartego na normie PN-ISO/IEC 27001. W praktyce oznacza to utrzymanie całego zestawu dokumentów:

• Polityka Bezpieczeństwa Informacji (PBI) - główny dokument opisujący zasady ochrony informacji w urzędzie
• Inwentaryzacja zasobów informacyjnych i systemów teleinformatycznych
• Analiza ryzyka wraz z rejestrem zagrożeń i środków zaradczych
• Deklaracja stosowania (Statement of Applicability)
• Procedury obsługi incydentów bezpieczeństwa
• Zasady zarządzania dostępami, upoważnieniami i hasłami
• Regulamin korzystania z systemów teleinformatycznych dla pracowników

Do tego dochodzi coroczny przegląd i audyt wewnętrzny. Urząd musi udokumentować, że sprawdził, czy dokumenty są aktualne i czy środki ochrony nadal działają. Każda zmiana: nowy system, praca zdalna, nowy pracownik na stanowisku administratora, wdrożenie e-Doręczeń, migacja poczty do chmury, powinna się odbić w dokumentach. W wielu urzędach tak nie jest. Polityka Bezpieczeństwa ma datę sprzed pięciu lat i w środku wciąż wymienia serwer, który dawno zastąpiono. Właśnie tu AI może odciążyć.

Przy jakich dokumentach AI daje najwięcej?

Nie każda część SZBI nadaje się do wsparcia AI w jednakowym stopniu. Najlepiej idzie przy dokumentach, które są silnie tektsowe i wymagają żmudnego redagowania:

• Polityka Bezpieczeństwa Informacji: AI może napisać projekt całego dokumentu od zera albo zaktualizować konkretne rozdziały. Jeśli powiesz mu, że urząd korzysta z ePUAP 2, e-Doręczeń i ma pracowników zdalnych, wygeneruje stosowne zapisy do sekcji o zasadach dostępu czy korzystaniu z urządzeń mobilnych. Daje gotowy tekst do przejrzenia, nie pustą kartkę.
• Procedura obsługi incydentów bezpieczeństwa: opisz AI, jakie systemy ma urząd i jakie scenariusze incydentów chcesz pokryć. W kilka minut dostaniesz sformalizowane kroki działania: kto zgłasza, kto przyjmuje, kto dokumentuje, kiedy idzie eskalacja do wójta lub starosty, co trafia do rejestru.
• Regulamin korzystania z systemów i sprzętu dla pracowników: te dokumenty dezaktualizują się najszybciej, bo dochodzi praca zdalna, prywatny sprzęt, nowe komunikatory, chmura. AI odświeża je sprawnie i pisze zrozumiałym językiem.
• Materiały szkoleniowe i komunikaty dla pracowników: ulotki o phishingu, krótkie prezentacje dla nowych pracowników, zestawy pytań i odpowiedzi. Zamiast zlecać to zewnętrznej firmie, możesz dostać szkielet w kwadrans.

Typowo wygląda to tak: pracownik wkleja do AI stary dokument z instrukcją "Wskaż sekcje nieaktualne po wdrożeniu e-Doręczeń i zaproponuj nowe brzmienie." AI odpowiada listą konkretnych punktów z gotowymi propozycjami. Zamiast tygodnia pracy, zostają dwa popołudnia na weryfikację i uzupełnienie.

Coroczny przegląd SZBI: jak AI pomaga zebrać materiały?

KRI wymaga przeglądu SZBI co najmniej raz w roku. To nie jest tylko formalne podpisanie, że "przegląd był". Trzeba sprawdzić, czy rejestr zasobów odpowiada temu, co faktycznie działa w urzędzie, czy procedury są zgodne z rzeczywistością, czy nie pojawiły się nowe zagrożenia, i czy ubiegłoroczne incydenty zostały właściwie udokumentowane.

AI przydaje się przy tej pracy na kilka konkretnych sposobów:

• Lista kontrolna do przeglądu: AI analizuje Twoje dokumenty SZBI i generuje tabelę: obszar, pytanie kontrolne, kolumna na status i uwagi. Możesz ją wydrukować i przejść przez nią punkt po punkcie z administratorem systemu i IOD.
• Porównanie z przepisami: "Porównaj naszą Politykę Bezpieczeństwa z wymaganiami par. 20 Rozporządzenia KRI i wskaż brakujące elementy" to gotowe polecenie, które daje konkretną odpowiedź zamiast samodzielnego czytania rozporządzenia.
• Projekt protokołu z przeglądu: podaj AI strukturę protokołu i zebrane informacje, a dostaniesz wypełniony szkielet gotowy do weryfikacji i podpisu.
• Zebranie incydentów z minionego roku: jeśli masz notatki, maile lub wpisy do rejestru incydentów, AI może je usystematyzować w formę zgodną z wymaganiami dokumentacji SZBI.

Analiza ryzyka: AI pomaga ze strukturą, nie z decyzjami

Analiza ryzyka to najtrudniejsza i najodpowiedzialniejsza część SZBI. Tu AI ma wyraźne ograniczenia i warto znać je wcześniej, niż się na nie natknąć.

Przy czym AI naprawdę pomaga:

• Przygotowanie szablonu rejestru ryzyka z kolumnami: zasób, zagrożenie, prawdopodobieństwo, wpływ, ryzyko łączne, planowane zabezpieczenie, status wdrożenia.
• Zaproponowanie listy typowych zagrożeń dla urzędu gminy: phishing, ransomware, utrata dostępu do ePUAP lub Systemu Rejestrów Państwowych, awaria serwera pocztowego, kradzież laptopa pracownika, błędne upoważnienia do rejestrów.
• Opisanie typowych środków zaradczych w sposób, który można wprost wpisać do dokumentacji.

Czego AI nie zrobi za żadne pieniądze:

• Nie oceni, jak naprawdę są chronione Twoje systemy. Nie widzi ich konfiguracji ani tego, czy backup faktycznie działa.
• Nie weźmie odpowiedzialności za przyjęte poziomy akceptowalnego ryzyka. To musi ocenić i podpisać człowiek znający urząd.
• Nie zastąpi weryfikacji technicznej infrastruktury IT, skanowania podatności ani testów penetracyjnych.

Najrozsądniejszy podział: AI generuje strukturę i sugeruje zagrożenia, administrator systemu lub IOD uzupełnia to o realia konkretnego urzędu i podpisuje zatwierdzoną wersję.

Bezpieczeństwo przy pracy AI z dokumentami SZBI

Tu jest jeden poważny haczyk, który łatwo przegapić. Dokumenty SZBI z natury zawierają informacje wrażliwe z punktu widzenia bezpieczeństwa: nazwy i wersje systemów, topologię sieci, typy stosowanych zabezpieczeń, harmonogramy kopii zapasowych, dane kontaktowe administratorów. Wklejenie takich szczegółów do publicznego narzędzia AI to błąd bezpieczeństwa, który sam dokument polityki bezpieczeństwa by zakazał.

Bezpieczne zasady pracy, które stosujemy w urzędach:

• Do publicznego ChatGPT wklejaj tylko anonimowe fragmenty lub ogólną strukturę dokumentu, bez konkretnych danych konfiguracyjnych.
• Nazwy systemów, adresy IP, dane konfiguracyjne, harmonogramy backupów i cokolwiek, co mówi "jak jesteśmy zabezpieczeni", zostaje poza zewnętrznym narzędziem.
• Jeśli urząd korzysta z AI wdrożonego na własnej infrastrukturze lub w zamkniętej instancji dedykowanej dla urzędu, ryzyko ujawnienia tych danych na zewnątrz odpada.
• Gotowy dokument przed przyjęciem zawsze weryfikuje IOD lub osoba odpowiedzialna za SZBI. AI nie zna Twojego urzędu tak dobrze jak ona.

Schemat, który działa: AI pracuje na ogólnym szablonie lub na wyczyszczonej wersji dokumentu, a konkretne wartości specyficzne dla urzędu wpisuje pracownik ręcznie po zweryfikowaniu projektu.

Od czego zacząć, gdy masz stary dokument do odświeżenia?

Jeśli w szufladzie leży Polityka Bezpieczeństwa sprzed kilku lat i nie wiesz, gdzie jest nieaktualna, najprostsza ścieżka wygląda tak:

• Usuń z dokumentu wszystkie dane konfiguracyjne i wrażliwe z punktu widzenia bezpieczeństwa.
• Wgraj tak przygotowany dokument do AI i zapytaj: "Wskaż sekcje, które mogą być nieaktualne w kontekście pracy zdalnej, e-Doręczeń, RODO i aktualnych wymagań KRI z 2012 r. z późn. zm."
• Poproś o listę pytań kontrolnych do każdej sekcji wymagającej sprawdzenia.
• Dla każdej nieaktualnej sekcji poproś o propozycję nowego brzmienia.
• Przejrzyj propozycje razem z IOD lub administratorem systemu i uzupełnij o realia Twojego urzędu.
• Zatwierdź, udokumentuj przegląd i wpisz do rejestru zgodnie z wymaganiami KRI.

Nie musisz tego robić naraz. Zacznij od jednej sekcji, np. zasad dostępu do systemów, i sprawdź, czy AI daje Ci użyteczne propozycje. To lepsze niż odkładanie aktualizacji rok do roku.

Jeśli chcesz zobaczyć, jak takie wdrożenie wygląda w konkretnym urzędzie, przejrzyj realne wdrożenia. Robimy też bezpłatny audyt, podczas którego możemy ocenić, przy których dokumentach SZBI AI da Twojemu urzędowi największy zysk czasu i gdzie są największe luki do zasypania przed kontrolą.