Wdrażanie nowej ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC), implementującej dyrektywę NIS2, często kojarzy się wyłącznie z zaawansowanymi technologiami, jednak ustawodawca kładzie równie silny nacisk na czynnik ludzki i procesy organizacyjne. Odpowiednie zarządzanie bezpieczeństwem zasobów ludzkich (HR) oraz precyzyjna polityka kontroli dostępu to kluczowe wymogi, które każda firma B2B podlegająca pod KSC musi udokumentować, wdrożyć i operacyjnie egzekwować.
Bezpieczeństwo zasobów ludzkich jako fundament zgodności z KSC
Dyrektywa NIS2 w art. 21 ust. 2 lit. i wprost wskazuje na konieczność wdrożenia polityk z zakresu bezpieczeństwa zasobów ludzkich, polityki kontroli dostępu i zarządzania aktywami. W polskim projekcie nowelizacji ustawy o Krajowym Systemie Cyberbezpieczeństwa wymóg ten stanowi obligatoryjny element Systemu Zarządzania Bezpieczeństwem Informacji (SZBI). Dla podmiotów kluczowych i ważnych oznacza to, że dział IT nie może funkcjonować w próżni organizacyjnej – musi ściśle i na bieżąco współpracować z działem kadr (HR). Brak ustrukturyzowanych procesów kadrowych w kontekście nadawania i odbierania dostępu do systemów teleinformatycznych to jedno z najczęstszych uchybień, które audytorzy identyfikują podczas kontroli zgodności.
Cykl życia pracownika w systemach IT (Joiner-Mover-Leaver)
Skuteczne zarządzanie bezpieczeństwem HR w kontekście wymogów KSC wymaga objęcia ścisłą kontrolą całego cyklu życia pracownika (lub zewnętrznego współpracownika B2B) w organizacji. Z punktu widzenia systemów zarządzania tożsamością (IAM), proces ten dzieli się na trzy krytyczne etapy, które muszą zostać odzwierciedlone w formalnych procedurach.
Etap zatrudnienia i wdrożenia (Joiner)
Bezpieczeństwo informacji zaczyna się na długo przed nadaniem pierwszych uprawnień systemowych. Zgodnie z wytycznymi KSC, organizacje muszą posiadać zdefiniowany i mierzalny proces weryfikacji kandydatów przed dopuszczeniem ich do systemów przetwarzających dane wrażliwe. Chociaż w polskich realiach prawnych kodeks pracy ogranicza szerokie sprawdzanie przeszłości pracownika (background checks), firmy mają obowiązek zweryfikować kompetencje, tożsamość oraz podpisanie niezbędnych dokumentów. Zalicza się do nich klauzule poufności (NDA) oraz udokumentowane zapoznanie się z Polityką Dopuszczalnego Użycia (AUP - Acceptable Use Policy). Audytor sprawdzający zgodność z KSC będzie weryfikował, czy w teczkach pracowniczych lub systemach HR znajduje się potwierdzenie akceptacji tych polityk przed wydaniem sprzętu firmowego.
Zmiana stanowiska lub roli (Mover)
Rotacje wewnętrzne to z perspektywy bezpieczeństwa IT najbardziej ryzykowny etap, prowadzący do zjawiska kumulacji uprawnień (tzw. privilege creep). Kiedy pracownik zmienia dział lub zakres obowiązków, zbyt często zachowuje stare dostępy, zyskując jednocześnie nowe. Nowa ustawa KSC wymaga proaktywnego zarządzania ryzykiem, co w praktyce operacyjnej oznacza, że każda formalna zmiana w strukturze HR musi automatycznie i bez opóźnień uruchamiać procedurę audytu konta pracownika oraz rewokacji zbędnych uprawnień. Brak takiej procedury jest traktowany jako poważna luka w systemie bezpieczeństwa.
Zakończenie współpracy (Leaver)
Opóźnienia w blokowaniu kont byłych pracowników stanowią ogromne ryzyko operacyjne i klasyfikowane są jako incydenty bezpieczeństwa. Aby spełnić wymogi KSC, firma musi wdrożyć restrykcyjną procedurę natychmiastowego odcinania dostępu do kluczowych zasobów informatycznych (Offboarding). Proces ten musi zostać zakończony najpóźniej w ostatnim dniu pracy, a w przypadkach zwolnień ze skutkiem natychmiastowym – w czasie rzeczywistym. Kontrola dostępu nie może ograniczać się do lokalnego środowiska Active Directory; musi bezwzględnie obejmować zewnętrzne aplikacje chmurowe (SaaS), panele B2B partnerów, dostępy VPN oraz deaktywację fizycznych kart wejściowych.
Architektura kontroli dostępu: Kto i do czego ma prawo?
Polityka kontroli dostępu wymagana przez znowelizowane przepisy KSC musi jednoznacznie opierać się na zasadzie najmniejszych uprawnień (PoLP - Principle of Least Privilege) oraz dostępie przyznawanym wyłącznie na podstawie zasady wiedzy niezbędnej do wykonania zadania (Need-to-Know).
Dla firm z sektora B2B oznacza to konieczność wdrożenia weryfikowalnych mechanizmów systemowych i dokumentacyjnych:
- Role-Based Access Control (RBAC): Uprawnienia nie powinny być nadawane użytkownikom indywidualnie i w sposób doraźny. Dostęp musi wynikać bezpośrednio ze zdefiniowanych ról organizacyjnych (np. Księgowość, Inżynier DevOps, Analityk HR). Ułatwia to audytowanie i gwarantuje standaryzację.
- Okresowe przeglądy uprawnień (Access Reviews): KSC wymaga od podmiotów objętych ustawą systematycznego testowania skuteczności wdrożonych środków zarządzania ryzykiem. Przegląd aktywnych kont, w tym kont zewnętrznych dostawców, przeprowadzany przez właścicieli biznesowych danych (Data Owners), powinien odbywać się w ustalonych cyklach (np. raz na kwartał dla kont uprzywilejowanych).
- Zarządzanie dostępem uprzywilejowanym (PAM): Administratorzy IT, serwisanci oraz zewnętrzne podmioty świadczące wsparcie informatyczne muszą podlegać szczególnie rygorystycznej kontroli. Stosowanie specjalnych stacji przesiadkowych (jump hosts), izolowanych sesji oraz monitorowanie i logowanie działań kont administracyjnych to standard, bez którego niemożliwe jest wykazanie zgodności z KSC.
Zarządzanie aktywami i praca zdalna (BYOD)
Nie da się skutecznie zabezpieczyć dostępu do danych, nie kontrolując punktów końcowych, z których te dane są przetwarzane. Wymogi KSC ściśle łączą obszar bezpieczeństwa zasobów ludzkich z Zarządzaniem Aktywami (Asset Management). Od organizacji oczekuje się przypisania każdego służbowego urządzenia (laptopy, smartfony, klucze sprzętowe U2F) do konkretnego użytkownika w prowadzonym rejestrze.
Jeśli podmiot kluczowy lub ważny dopuszcza model pracy z wykorzystaniem prywatnych urządzeń pracowników (lub kontraktorów B2B), niezbędne jest wdrożenie formalnej Polityki BYOD (Bring Your Own Device). Wymaga to zabezpieczenia firmowych danych przed wyciekiem do przestrzeni prywatnej urządzenia, najczęściej z wykorzystaniem systemów klasy MDM (Mobile Device Management) lub MAM (Mobile Application Management), które konteneryzują i szyfrują zasoby biznesowe.
Jak przygotować się do audytu KSC w obszarze HR i uprawnień?
Skuteczna implementacja zabezpieczeń to połowa sukcesu – ustawa wymaga udowodnienia przed audytorem skuteczności prowadzonych działań poprzez odpowiedni ślad audytowy. Brak dowodów to dla organu nadzorczego równoznaczność z brakiem procesu.
Podczas zewnętrznej weryfikacji zgodności z wymogami KSC, audytor w pierwszej kolejności zażąda wglądu w dokumenty stanowiące trzon SZBI:
- Udokumentowanej i zatwierdzonej przez Zarząd Polityki Kontroli Dostępu.
- Procedur Onboardingu i Offboardingu HR z jasno przypisanymi zakresami odpowiedzialności dla działów IT i kadr.
- Rejestru nadanych upoważnień do przetwarzania informacji i matrycy ról RBAC.
- Zapisów systemowych (logów) potwierdzających, że konta byłych pracowników zostały faktycznie i trwale zablokowane zgodnie z czasem SLA zadeklarowanym w procedurach.
Najważniejsze wnioski
- Nowa ustawa o KSC i dyrektywa NIS2 jasno wskazują, że procedury bezpieczeństwa HR oraz udokumentowana polityka kontroli dostępu są obligatoryjnymi elementami wdrożenia compliance w firmie.
- Ścisła i zautomatyzowana integracja procesów kadrowych (Onboarding, Mover, Offboarding) z działaniami zespołu IT to jedyny sposób na eliminację kont osieroconych i ryzykownych kumulacji uprawnień.
- Polityka przyznawania uprawnień musi bezwzględnie opierać się na technicznej i organizacyjnej realizacji zasady najmniejszych uprawnień (PoLP) oraz systemie ról (RBAC).
- Wymóg oceny skuteczności systemów bezpieczeństwa oznacza, że organizacje muszą regularnie przeprowadzać przeglądy uprawnień (Access Reviews) angażując w to kadrę kierowniczą i właścicieli procesów.
- Identyfikacja użytkowników w połączeniu z wdrożonym systemem ewidencji sprzętu (Asset Management) i uregulowaną pracą zdalną (polityki BYOD) stanowią podstawę pozytywnego wyniku audytu organu nadzorczego KSC.
Treść ma charakter informacyjny i edukacyjny — nie stanowi porady prawnej. Przy wyniku granicznym skonsultuj się z radcą prawnym lub adwokatem.