MON wdraża System Zarządzania Bezpieczeństwem Informacji

8 września opublikowano Decyzję nr 172/MON Ministra Obrony Narodowej, dotyczącą Systemu Zarządzania Bezpieczeństwem Informacji (SZBI), którą wydano w związku z § 19 Rozporządzenia w sprawie Krajowych Ram Interoperacyjności z 21 maja 2024 roku.

Dokument rozdziela obowiązki pomiędzy m.in. dyrektorów MON, Dowódcę WOC oraz kierowników komórek organizacyjnych. Decyzja weszła w życie 9 września br.

Szacowanie ryzyka

W decyzji opisano dwutorowe podejście do szacowania ryzyka – ogólnosystemowe oraz lokalne.

Dowódca Komponentu Wojsk Obrony Cyberprzestrzeni został zobowiązany do przedstawiania wyników „ogólnosystemowego szacowania ryzyka oraz szacowania ryzyka dla systemu informatycznego lub usługi na potrzeby przeprowadzenia lokalnego szacowania ryzyka w Ministerstwie”.

Pracom nad szacowaniem lokalnego ryzyka przewodniczy Dyrektor Departamentu Cyberbezpieczeństwa MON, który przesyła wyniki przeprowadzonego lokalnego szacowania ryzyka (wraz z planami postępowania) do Dyrektora Generalnego, który odpowiada za akceptowanie wyników.

W pracach dotyczących lokalnego ryzyka biorą udział również:

• Dowódca WOC;
• Dyrektor Departamentu Ochrony Informacji Niejawnych;
• organizatorzy systemów informatycznych, będący kierownikami komórek organizacyjnych;
• kierownicy komórek organizacyjnych.

Zgody i kontrole

Dyrektor Generalny wyraża zgodę na uruchomienie w MON systemu teleinformatycznego (lub informatycznego) oraz wiążących się z nim usług (§ 4 pkt 1 lit. d). Przed uruchomieniem Dyrektor Departamentu Cyberbezpieczeństwa wydaje opinię w zakresie zgodności systemów z polityką bezpieczeństwa informacji (§ 4 pkt 2 lit. c)

Odpowiedzialność za „zapewnienie bezpieczeństwa systemu informatycznego w całym cyklu życia systemu” została przypisana organizatorom systemów informatycznych, będącymi kierownikami komórek organizacyjnych (§ 4 pkt 6 lit. a).

Kierownicy komórek organizacyjnych wnioskują o m.in. nadawanie, zmianę i cofnięcie uprawnień do systemu (§ 4 pkt 7 lit. c).

Kluczowa rola Dowódcy WOC

Szereg obowiązków przypisano Dowódcy WOC.

Został on zobowiązany m.in. do przedstawiania propozycji działań korekcyjnych i naprawczych dla SZBI w oparciu o „wyniki analizy informacji o stanie zabezpieczeń, wyniki testów bezpieczeństwa, incydenty, podatne zasoby i zagrożenia cyberbezpieczeństwa dotyczące systemów wykorzystywanych w Ministerstwie, w zakresie istotnym dla bezpieczeństwa informacji w Ministerstwie”. Oprócz tego szef DKWOC:

• projektuje i implementuje zabezpieczenia stosownie do wyników szacowania ryzyka;
•  zapewnia monitorowanie systemów teleinformatycznych RON (wykorzystywanych w Ministerstwie);
•  opracowuje i aktualizuje metodykę szacowania ryzyka bezpieczeństwa informacji.

Cyberbezpieczeństwo w armii

Pod koniec lipca informowaliśmy o stanowisku Ministerstwa Obrony Narodowej wobec aktywności żołnierzy w mediach społecznościowych. Zalecenia szerzej opisaliśmy na łamach CyberDefence24.

W 2025 r. MON odnotował 7 tysięcy incydentów – 60% więcej niż w poprzednim roku. „Jesteśmy w trójce najbardziej atakowanych państw w Europie” – zaznaczył wówczas wiceminister Cezary Tomczyk.