Cyberbezpieczeństwo w firmie. Ustawa o krajowym systemie cyberbezpieczeństwa wdrażająca Dyrektywę NIS

Jak wskażę w dalszej części artykułu, sama ustawa dotyczy tylko niektórych przedsiębiorców, jednak jej wejście w życie stanowi dobrą okazję do zastanowienia się nad przygotowaniem każdej firmy na ataki cybernetyczne.

Definicja cyberbezpieczeństwa

Na wstępie omawiania ustawy warto zatrzymać się nad definicją cyberbezpieczeństwa, które zdefiniowano jako „odporność systemów informacyjnych na wszelkie działania naruszające poufność, integralność, dostępność i autentyczność przetwarzanych danych lub związanych z nimi usług oferowanych przez te systemy”.

W definicji tej mamy kilka elementów, z których każdy wymaga odrębnej analizy. Zacznijmy od „systemu informacyjnego”. Zgodnie z ustawą jest to system teleinformatyczny wraz z przetwarzanymi w nim danymi w postaci elektronicznej. Definicja ustawowa nie jest prosta, gdyż zawiera odwołanie do ustawy o informatyzacji działalności podmiotów realizujących zadania publiczne, która to ustawa definiuje system teleinformatyczny. Jest to „zespół współpracujących ze sobą urządzeń informatycznych i oprogramowania zapewniający przetwarzanie, przechowywanie, a także wysyłanie i odbieranie danych przez sieci telekomunikacyjne za pomocą właściwego dla danego rodzaju sieci telekomunikacyjnego urządzenia końcowego”. Z kolei sieci telekomunikacyjne oraz telekomunikacyjne urządzenia końcowe są zdefiniowane w ustawie – Prawo telekomunikacyjne. Mamy zatem do czynienia z „kilkupiętrową” definicją, co nie służy jej łatwemu zrozumieniu.

Przekładając jednak te zawiłe rozważania prawno-techniczne na bardziej zrozumiały język i odnosząc je do praktycznych aspektów działania przedsiębiorców, można stwierdzić, że systemem informacyjnym firmy są używane w tej firmie serwery, komputery, telefony, tablety (i inne podobne urządzenia przenośne) wraz z oprogramowaniem służącym do ich używania, połączone siecią teleinformatyczną (w praktyce, nieco trywializując, połączone telekomunikacyjnie, sieciowo, internetowo) oraz dane, które są przetwarzane za pomocą tych systemów.

Dalszymi elementami definicji cyberbezpieczeństwa są pojęcia ściśle związane z charakterystyką dobrze działających systemów informacyjnych, tj.:

1. poufność danych – tzn. zapewnienie, że dane nie są ujawniane w sposób nieautoryzowany;
2. integralność danych – czyli zapewnienie ich kompletności i dokładności;
3. dostępność danych – tj. zapewnienie, że dane są dostępne dla każdego z firmy w miejscu i czasie, w jakim są potrzebne;
4. autentyczność danych – to kryterium pewności, że przetwarzane dane są prawdziwe, tj. są danymi, które w sposób autoryzowany zostały wprowadzone do systemu.

W definicji cyberbezpieczeństwa najważniejsze jest określenie przedmiotu ochrony, tj. danych lub związanych z nimi usług. Co prawda w ustawie nie zdefiniowano, czym są dane, ale uznać trzeba, że chodzi o wszelkiego rodzaju dane podlegające ochronie i te, na podstawie których są świadczone różnorakie usługi.

Dalsza część artykułu dostępna jest na stronie: http://www.een.org.pl/index.php/index.php/prawo/articles/cyberbezpieczenstwo-w-firmie-ustawa-o-krajowym-systemie-cyberbezpieczenstwa-wdrazajaca-dyrektywe-nis.html

Źródło: een.org.pl, 03.12.2018