Sierpniowa sesja konsultacyjno-szkoleniowa:

28 sierpnia 2024 r.

Wybrane aspekty cyberbezpieczeństwa i dyrektywy NIS2 dla Sekretarzy

Przedmiot sesji:
• Poznanie odpowiedzi na kluczowe pytania:
- Czy wdrażane przez jst zabezpieczenia faktycznie działają?
- Czy kadra zarządzająca zdaje sobie sprawę ze swojej roli w procesie ochrony informacji?
- Czy pracownicy wiedzą, jak zgłaszać incydenty i dlaczego to jest tak ważne?
• Zapoznanie z głównymi wymaganiami formalno-prawnymi jakie dotyczą cyberbezpieczeństwa w jst i jednostkach podległych wynikające z RODO, KRI i aktualnego KSC.
• Zdobycie wiedzy z zakresu najnowszych zmian prawnych, w tym dyrektywą NIS2 i planowaną, nową KSC.
• Poznanie przykładowych cyberataków na jst oraz ich konsekwencji, a także dobre praktyk minimalizowania tych konsekwencji.
• Poznanie roli kadry zarządzającej w zapewnieniu skutecznej ochrony informacji.
• Zdobycie informacji na temat wewnętrznych procedur dotyczących cyberbezpieczeństwa procedur i ich aktualizacji.
• Zapoznanie z najczęściej popełnianymi błędami w zakresie cyberbezpieczeństwa, które wskazywane są podczas kontroli np. NIK oraz testów i audytów bezpieczeństwa.

PROGRAM:
1. Wymagania dla kadry zarządzającej jst i jednostek podległych wynikające z aktualnych przepisów prawa:
• Ogólne Rozporządzenie o ochronie danych (RODO).
• Rozporządzenie Krajowe Ramy Interoperacyjności (KRI).
• Nowa dyrektywa NIS2 i projekt nowej Ustawy Krajowy System Cyberbezpieczeństwa (KSC).
2. Kluczowa rola sekretarzy jst w codziennej ochronie informacji w urzędzie i budowaniu świadomości użytkowników.
3. Kontrole Najwyższej Izby Kontroli w jst – omówienie głównych wniosków pokontrolnych, czyli jak się uczyć na błędach …, ale nie swoich:
• Poczta e-mail w urzędzie – bezpieczne korzystanie.
• Skuteczna ochrona danych osobowych szczególnie w obszarze szczególnej kategorii danych.
• Rozwój wiedzy i umiejętności pracowników w obszarze cyberbezpieczeństwa.
4. Jak (prawie) bezkosztowo poprawić cyberbezpieczeństwo w jst? Co można zrobić „od ręki”?
• Aktywność kadry zarządzającej.
• Korzystanie z grantów / projektów.
• Ograniczenie uprawnień w systemach IT.
• Blokada portów USB.
• Blokada stron www.
• Black-list na serwerze poczty e-mail.
• Przekierowanie komunikacji z urzędem z e-maila na bezpieczne kanały np. e-Puap.
• Wewnętrzna edukacja z tematyki cyberzagrożeń i cyberhigieny.
• Mniej zadań dla informatyków.
• Wzrost umiejętności pracowników w tematach często zgłaszanych na help-desk.
• Inne pomysły uczestników …
5. Zalecenia dotyczące reakcji na incydenty bezpieczeństwa w jst:
• Zgłaszać incydenty a nie ukrywać.
• Rejestrować zgłaszane incydenty.
• Skutecznie informować interesariuszy.
• Wyciągać wnioski i wdrażać działania korygujące.
• Monitorować infrastrukturę IT i pracowników.
6. Dobre praktyki służbowej cyberhigieny, które zadziałają także prywatnie:
• Robić kopie bezpieczeństwa („Zasada: 3-2-1”).
• Dbać o aktualizację systemów i programów.
• Korzystać z programów antywirusowych.
• Nie klikać w podejrzane linki i załączniki.
7. Jak przygotować urząd do testów bezpieczeństwa, w tym także socjotechnicznych? Ponieważ nie ma lepszej drogi do sprawdzenia czy zabezpieczenia działają jak ich zewnętrzna weryfikacja.
8. Phishing - oszustwa i wyłudzenia poprzez e-mail, sms, telefon, komunikator, ….
9. Jak sprawdzić, czy e-mail jest dobry czy fałszywy?
• Weryfikacja adresu nadawcy i treści e-maila.
• Weryfikacja nagłówka e-maila.
10. Jak sprawdzić czy link i załącznik są szkodliwe? Przykładowe narzędzia.
11. A co zrobić, gdy już „coś się jednak kliknęło”? Czy to już „koniec świata”? NIE!
12. Ransomware, czyli okup za odzyskanie danych - wyjątkowo poważne zagrożenie dla jst:
• Jak uchronić urząd przed atakiem?
• Co zrobić po ataku?
• Czy można zapłacić okup cyberprzestępcom?
13. Pytanie / Odpowiedzi / Dyskusja.

Prowadzący:
Audytor, trener, doradca. Specjalista w dziedzinie bezpieczeństwa informacji i cyberzagrożeń. Audytor wiodący normy ISO/IEC 27001. Członek Polskiego Towarzystwa Informatycznego. Prowadzi audyty bezpieczeństwa oraz szkolenia i konsultacje m.in. z zakresu bezpieczeństwa informacji i cyberbezpieczeństwa oraz budowania kultury ochrony informacji.

Serdecznie zapraszamy do wzięcia udziału w organizowanych wydarzeniach. Zaproszenie poniżej.