Konieczność dbania o bezpieczeństwo teleinformatyczne to w obecnych czasach nie tylko działanie zgodne ze zdrowym rozsądkiem, ale również wymaganie wielu przepisów regulujących kwestie przetwarzania i ochrony danych. W obliczu trwającego konfliktu za wschodnią granicą Polski zagrożenia w cyberprzestrzeni stają się jeszcze bardziej realne. Jako kraj członkowski UE i NATO jesteśmy szczególnie narażeni na ataki ze strony cyberprzestępców, grup haktywistycznych oraz organizacji wspieranych przez wrogie państwa. W grupie szczególnego ryzyka znajdują się organy państwowe i samorządowe. Z analiz wynika, że wzrost liczby skutecznych ataków może wynikać między innymi z wykorzystywania przestarzałych zabezpieczeń, nieadekwatnych i nieaktualnych polityk ochrony informacji lub ich całkowitego braku.
W odpowiedzi na pojawiające się wyzwania na stronie gov.pl w ramach Inwestycji C 3.1.1 opublikowano Konkurs Grantowy - Cyberbezpieczny Rząd. Celem programu jest wsparcie administracji publicznej w podnoszeniu poziomu bezpieczeństwa teleinformatycznego. Dofinansowanie w ramach programu pozwala na modernizację infrastruktury IT, wdrażanie zaawansowanych rozwiązań ochronnych oraz zwiększenie kompetencji pracowników odpowiedzialnych za cyberbezpieczeństwo.
Dla kogo? wojewodowie oraz centralne lub naczelne organy administracji rządowej.
Kwota dofinansowania: od 500 000 zł netto do 10 000 000,00 zł netto.
Harmonogram składania wniosków: 28.02.2025 r. – 31.03.2025 r. do godz. 16.00.
Więcej informacji na temat programu na stronie gov.pl.
Na co można przeznaczyć środki z programu Cyberbezpieczny Rząd?
Jednym z obszarów na jaki mogą być przeznaczone środki z dofinansowania jest poprawa bezpieczeństwa jednostek sektora finansów publicznych poprzez wdrożenie lub zwiększenie skuteczności i efektywności systemów zarządzania bezpieczeństwem informacji (SZBI).
Dlaczego wdrożenie i utrzymanie SZBI jest takie ważne?
Niezwykle ważne jest kompleksowe i pełne podejście do bezpieczeństwa poprzez zastosowanie odpowiednich zabezpieczeń w całym cyklu tworzenia i przetwarzania informacji, jak i dla wszystkich systemów i urządzeń, które przechowują lub mają dostęp do informacji. Ważna jest też zgodność z już obowiązującymi przepisami regulującymi kwestie przetwarzania i ochrony danych. W przypadku podmiotów publicznych, w szczególności administracji państwowej i samorządowej oprócz obecnych regulacji takich jak RODO, KRI, KSC zostaną też niebawem wzmocnione wymagania i obowiązki związane z bezpieczeństwem informacji w związku z europejską dyrektywą NIS2. Obecnie trwają prace nad nowelizacją ustawy KSC przenoszącej wymagania NIS2 na polski system prawa.
Należy przy tym podkreślić, że informacja i dokumenty, które wymagają ochrony i zapewnienia dostępności, poufności i integralności informacji to nie tylko dokumenty i dane przechowywane w dedykowanych systemach dziedzinowych, systemach klasy EZD czy ERP. Zazwyczaj pierwotnym miejscem powstawania informacji, dokumentów są narzędzia biurowe wykorzystywane przez pracowników oraz systemy służące komunikacji, poczta e-mail, narzędzia konferencyjne, współdzielone repozytoria i usługi chmurowe. Te informacje są przechowywane bezpośrednio na stacjach roboczych użytkowników albo jest do nich bezpośredni dostęp z urządzeń użytkowników. Dlatego przyjęte rozwiązania w zakresie bezpieczeństwa powinny uwzględniać możliwość stosowania właściwych procedur i zabezpieczeń technicznych już na pierwszych etapach wytwarzania i pobierania informacji.
W jaki sposób sprostać wymaganiom ustawy?
W praktyce podmioty, które chcą sprostać wymaganiom przepisów, oraz w sposób efektywny i faktyczny zadbać o bezpieczeństwo decydują się na wdrożenie systemu zgodnego z normą ISO27001. Z jednej strony daje to gwarancję zgodności z wymaganiami prawnymi, które jeśli nie wprost uznają tą normę za pełną realizację wymagań, to w sposób analogiczny jak norma ISO27001 opisują obowiązki w zakresie bezpieczeństwa informacji. Z drugiej strony takie podejście zapewnia dostęp do bogatej oferty usług wspierających wdrożenie i certyfikację zgodnie z ISO27001 oraz dostęp do licznych publikacji, szablonów i przykładów.
Jak nasze rozwiązanie wspiera cele programu Cyberbezpieczny Rząd?
Zidentyfikujmy wymagania normy ISO 27001 (w najnowszym wydaniu z 2022 r.), których wdrożenie i przestrzeganie są istotnie łatwiejsze, tańsze i szybsze dzięki zastosowaniu oprogramowania takiego jak GREENmod wraz z powszechnie wykorzystywanymi narzędziami pracy biurowej Microsoft Office, Outlook czy usługami chmurowymi takimi jak Teams, Exchange, Sharepoint, OneDrive.
- System GREENmod może wymusić na użytkowniku określenie wymaganych klas i innych metadanych, co ważne, użytkownik może to zrobić wygodnie w trakcie tworzenia dokumentu lub mejla, w ten sposób decyduje o przynależności informacji do określonej grupy aktywów.
- Reguły dotyczące dozwolonych działań i postępowania informacji muszą zostać określone w odpowiednich procedurach, ale dzięki widocznej i zawsze dostępnej informacji o klasie dokumentu nie ma wątpliwości co w danym przypadku jest dozwolone, otwiera to również drogę do budowania automatyzacji po stronie usług sieciowych, np. filtrów lub reguł blokujących wysyłkę lub zapis.
- Dzięki systemowi GREENmod łatwe do stosowania i niemożliwe do obejścia mechanizmy klasyfikowania i oznaczenia informacji elektronicznej, dokumentów, załączników pozwalają na skuteczne wdrożenie usług, filtrów, reguł zabezpieczających przez wyciekiem danych. Metadane uzupełniane przez system GREENmod pozwalają na budowę reguł w systemach DLP, ale też mogą być wykorzystane w opcjach i politykach innych usług, takich jak Exchange i inne systemy poczty elektronicznej, SharePoint, Microsoft RMS, PureView czy też systemów bezpieczeństwa, jak FireWall, SIEM, itp.
- To podstawowa funkcja i siła systemu GREENmod, dzięki niemu ujednolicone, zawsze aktualne i zatwierdzone klasy oraz konfiguracje trafiają na praktycznie wszystkie narzędzia wykorzystywane do opracowywania i przeglądania treści, tagowanie dokumentów wymaga jednego kliknięcia a zapisanie informacji bez określenia klasy staje się niemożliwe. Nakłady pracy ze strony użytkowników na czynności związane z klasyfikowaniem i oznaczaniem informacją są maksymalnie zminimalizowane, jednocześnie organizacja otrzymuje wygodne narzędzie do łatwego i centralnego zarządzania opcjami klasyfikowania na licznych urządzeniach i aplikacjach. Wdrożenie procedur w zakresie klasyfikowania i oznaczania informacji staje się proste i szybkie, stosowany system podpowiedzi wspiera użytkowników w wyborze właściwej kategorii.
- System GREENmod wykorzystuje standardowe mechanizmy metadanych pakietów biurowych, zapewnia umieszczenie metadanych określających wskazane klasy dokumentów zarówno w wersjach elektronicznych jak i w wydrukach, czy eksportowanych jako pdf, gwarantuje spójność klasyfikacji niezależnie od ostatecznej formy przechowywania czy publikacji.
- Sklasyfikowana i odpowiednio oznaczona informacja – zarówno w postaci elektronicznej jak i tradycyjnej papierowej - pozwala na faktyczne wdrożenie i audytowanie zasad przekazywania informacji wewnątrz organizacji jak i do innych instytucji, możliwe staje się automatyczne lub masowe kontrolowanie przestrzegania tych zasad a nawet wdrożenie środków technicznych uniemożliwiających dystrybucję czy kopiowanie informacji w sposób niezgodny z ustalonymi politykami.
- Szczególnym przykładem może być określenie zasad klasyfikowania dla oznaczania utworów chronionych prawem autorskim, zarówno tych jakie trafiają do instytucji jak i wytwarzanych w organizacji, celem szczególnego traktowania i nadzoru, wdrożenia specjalnych reguł lub miejsc składowania takich utworów, zapewnienie rozliczalności korzystania z tych utworów.
- Odpowiednio skalsyfikowane i oznaczone informacje mogą być właściwie chronione, audytowane, zabezpieczone przed operacjami zmieniającymi atrybuty czy zagrażającymi niezaprzeczalności zgromadzonych dowodów.
- Stosowanie i wymuszenie klasyfikowania informacji wpływa na większe bezpieczeństwo i możliwość kontroli dokumentacji zawierającej dane osobowe, w szczególności dane określone jako wrażliwe powinny być odpowiednio oznaczone, co umożliwi stosowanie metod automatycznej lub manualnej kontroli dostępu i korzystania, blokowania dostępu osobom i systemom, które nie są do tego bezpośrednio uprawnione, ułatwi rozliczalność i prowadzenie wymaganych rejestrów.
- Oprócz wskazanych wcześniej zalet i efektów, należy wspomnieć o regułach i funkcjach uniemożliwiających dystrybucję sklasyfikowanej poprzez obniżenie klasyfikacji, np. poprzez wysyłkę mejla nisko sklasyfikowanego, ale zawierającego dokumenty, załączniki o wyższej klasyfikacji, system GREENmod ma możliwość zablokowania takiego działania
- Dzięki oznaczeniu dokumentu i zapisaniu metadanych możliwe staje się użycie automatycznych reguł, funkcji kontrolujących lub ustawiających właściwe zabezpieczenia, zasady dostępu czy przenoszenie wrażliwych dokumentów do chronionych folderów i repozytoriów.
- System GREENmod może zostać wykorzystany do tagowania informacji przeznaczonych do trwałego przechowywania, ale też do określania okresu trwałości danych i użycia ich do cyklicznych działań związanych z archiwizowaniem lub brakowaniem dokumentacji.
- W tym przypadku odpowiednia klasyfikacja i metadane wprowadzone z użyciem GREENmod do dokumentu wspierają funkcje pozwalające przeszukać i wyselekcjonować zestaw informacji w celu wykonania masowych lub automatycznych akcji związanych w usuwaniem, wycofywaniem uprawnień czy archiwizacją informacji.
- System GREENmod daje za pomocą konsoli zarządczej wgląd w działania użytkowników i statystyki dotyczące klasyfikowania i oznaczania informacji, pozwala filtrować oraz generować raporty. Również narzędzia niezależne od systemu GREENmod mogą skutecznie wykorzystywać zapisane metadane do śledzenia, raportowania i alarmowania o naruszeniach zasad, na przykład wykrywając nieuprawnione kopiowanie istotnych informacji na zewnętrzne nośniki.
- Oznaczone informacje o kluczowym znaczeniu lub zawierające poufne informacje mogą zostać w sposób automatyczny zabezpieczone z wykorzystaniem kryptografii, przykładowo przeniesione do szyfrowanych folderów, wysyłana poczta elektroniczna może zostać przed wysyłką zaszyfrowana S/MIME, itp.
Inwentaryzacja informacji i innych powiązanych aktywów
Akceptowalne wykorzystanie informacji i powiązanych aktywów
Zapobieganie wyciekom
Klasyfikacja informacji
Oznaczanie informacji
Transfer informacji
Prawa własności intelektualnej
Ochrona zapisów
Prywatność i ochrona danych osobowych
Poufność lub nieujawnienie umów/zapisów
Ograniczenie dostępu do informacji
Usuwanie informacji
Zwrot aktywów
Działania monitorujące
Wykorzystywanie kryptografii
Dlaczego warto zainwestować w cyberbezpieczeństwo z naszym wsparciem?
W Nomios Poland zapewniamy kompleksowe podejście do cyberbezpieczeństwa – łączymy najnowocześniejsze technologie z ekspercką wiedzą, aby skutecznie chronić Twoją organizację przed cyberzagrożeniami. Nasze rozwiązania są dostosowane do dynamicznie zmieniającego się krajobrazu zagrożeń, a doświadczenie zdobyte w licznych wdrożeniach gwarantuje skuteczność i niezawodność. Wspieramy firmy i instytucje w budowaniu odporności cyfrowej, oferując zarówno zaawansowane systemy ochrony, jak i profesjonalne doradztwo, szkolenia, wdrożenia i wsparcie.
Jeśli chcesz dowiedzieć się więcej, jak działa rozwiązanie GREENmod w praktyce to świetnie się składa! W przyszły czwartek (27.03.2024) odbędzie się organizowany przez nas webinar, który przybliży działanie rozwiązania GREENmod. Podczas spotkania zaprezentujemy Państwu również krótki pokaz DEMO. Zachęcamy do rejestracji!
Jak aplikować o grant i wdrożyć najlepsze rozwiązania?
Termin składania wniosków mija 31.03.2025 r. Wnioski należy składać za pomocą systemu informatycznego LSI.
Nomios w swoim portfolio posiada szeroki wachlarz usług cyberbezpieczeństwa. Jeśli potrzebujesz porady eksperta, jakie rozwiązania wdrożyć w Twojej organizacji, aby skutecznie wykorzystać środki z dofinansowania — skontaktuj się z naszym zespołem technicznym w celu przeanalizowania rozwiązań dostępnych na rynku.
