Procedura zarządzania bezpieczeństwem informacji w systemach informacyjnych Postanowienia ogólne § 1 1. Procedura określa zasady zarządzania bezpieczeństwem informacji w systemach informacyjnych wykorzystywanych w ………............. (nazwa szkoły), zwanej dalej „Szkołą”, przy realizacji jej zadań publicznych. 2. Procedura stanowi system zarządzania bezpieczeństwem informacji, zwany dalej „SZBI”, o którym mowa w art. 8 ust. 3 Ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (t.j. Dz.U. z 2026 r. poz. 20 ze zm.), i uwzględnia wymagania określone w załączniku nr 4 do tej ustawy. 3. Szkoła jest objęta wspólną obsługą w zakresie cyberbezpieczeństwa wykonywaną przez …………… (pełna nazwa centrum usług wspólnych), zwane dalej „CUW”, w zakresie określonym w uchwale (wskazać uchwałę w sprawie utworzenia CUW-u). 4. Celem SZBI jest: 1) zapewnienie ochrony informacji przetwarzanych przez Szkołę; 2) ograniczenie ryzyka nieuprawnionego dostępu, utraty, kradzieży, uszkodzenia lub niedostępności informacji; 3) zapewnienie bezpiecznego korzystania z urządzeń, programów i usług ICT; 4) określenie zasad współpracy Szkoły i CUW-u w zakresie cyberbezpieczeństwa; 5) zapewnienie właściwego reagowania na cyberzagrożenia, awarie i incydenty; 6) zapewnienie możliwości odtworzenia danych po awarii lub incydencie; 7) zapewnienie pracownikom odpowiedniej wiedzy z zakresu cyberbezpieczeństwa. 5. Procedura obejmuje informacje przetwarzane w systemach informacyjnych wykorzystywanych przez Szkołę, niezależnie od tego, czy stanowią one dane osobowe. Podział zadań pomiędzy Szkołę a CUW § 2 1. Dyrektor Szkoły zapewnia organizacyjne funkcjonowanie SZBI w Szkole oraz współpracę z CUW-em. 2. CUW realizuje czynności techniczne i organizacyjne z zakresu cyberbezpieczeństwa objęte wspólną obsługą, zgodnie z zakresem powierzonych mu zadań. 3. Jeżeli określone zadanie zgodnie z zakresem wspólnej obsługi wykonuje CUW, Szkoła nie powiela tej czynności, lecz współpracuje z CUW-em i przekazuje informacje niezbędne do jej prawidłowego wykonania. 4. Do zadań Dyrektora Szkoły należą w szczególności: 1) zapewnienie przestrzegania procedury przez pracowników; 2) przekazywanie CUW-owi informacji o zmianach mogących mieć wpływ na bezpieczeństwo systemów; 3) informowanie CUW-u o zatrudnieniu, zmianie obowiązków, dłuższej nieobecności lub zakończeniu zatrudnienia osób posiadających dostęp do systemów; 4) zapewnienie zgłaszania cyberzagrożeń, awarii i incydentów; 5) współpraca przy testowaniu procedur i przeglądzie SZBI; 6) zapewnienie udziału pracowników w wymaganych szkoleniach. 5. Do zadań CUW-u, w zakresie objętym wspólną obsługą, należą w szczególności: 1) obsługa techniczna urządzeń i systemów; 2) kontrola wersji i aktualizacji oprogramowania; 3) zarządzanie techniczną stroną kont i uprawnień; 4) stosowanie i kontrola zabezpieczeń technicznych; 5) obsługa ochrony antywirusowej; 6) wykonywanie albo nadzorowanie kopii zapasowych; 7) testowanie możliwości odtworzenia danych; 8) monitorowanie informacji o podatnościach oraz cyklu życia produktów ICT; 9) techniczna obsługa cyberzagrożeń, awarii i incydentów; 10) prowadzenie lub dostarczanie dokumentacji technicznej potwierdzającej realizację obowiązków. 6. Pracownicy Szkoły są zobowiązani do przestrzegania zasad określonych w procedurze oraz niezwłocznego zgłaszania stwierdzonych nieprawidłowości. Inwentaryzacja produktów, usług i procesów ICT § 3 1. Szkoła we współpracy z CUW-em prowadzi aktualną inwentaryzację produktów ICT, usług ICT i procesów ICT wykorzystywanych przy realizacji zadań publicznych. 2. Szkoła przekazuje CUW-owi informacje dotyczące w szczególności: 1) sposobu wykorzystywania systemów; 2) realizowanych za ich pomocą zadań; 3) osób i grup użytkowników; 4) nowych potrzeb w zakresie systemów i usług; 5) urządzeń lub usług wykorzystywanych lokalnie poza rozwiązaniami zapewnianymi przez CUW. 3. CUW, w zakresie wspólnej obsługi, prowadzi lub dostarcza informacje techniczne dotyczące w szczególności: 1) urządzeń; 2) systemów operacyjnych; 3) oprogramowania; 4) urządzeń sieciowych; 5) używanych wersji; 6) producentów i dostawców; 7) statusu wsparcia; 8) stosowanych zabezpieczeń. 4. Inwentaryzacja obejmuje w szczególności: 1) komputery administracji i nauczycieli; 2) urządzenia mobilne; 3) serwery i urządzenia pamięci masowej; 4) urządzenia sieciowe; 5) dziennik elektroniczny; 6) pocztę elektroniczną; 7) systemy kadrowe i finansowe; 8) systemy rekrutacyjne; 9) usługi chmurowe; 10) systemy zapewniane przez organ prowadzący lub CUW; 11) inne istotne systemy wykorzystywane przez Szkołę. 5. Nie ma obowiązku odrębnego ujmowania drobnego wyposażenia niemającego znaczenia dla bezpieczeństwa informacji. Wersje i instalowanie oprogramowania § 4 1. Szkoła korzysta z produktów i usług ICT dopuszczonych do użytkowania przez CUW lub inny uprawniony podmiot. 2. CUW kontroluje podstawowe wersje używanych produktów ICT oraz ich aktualność w zakresie objętym wspólną obsługą. 3. Oprogramowanie instaluje się wyłącznie z wiarygodnych źródeł. 4. Instalowanie oprogramowania wymagającego uprawnień administratora wykonują CUW albo osoba przez nie upoważniona. 5. Pracownik Szkoły nie instaluje samodzielnie niezatwierdzonego oprogramowania. 6. Jeżeli jest to technicznie możliwe, użytkownicy korzystają z kont bez uprawnień administratora. Ochrona fizyczna i techniczna § 5 1. Szkoła zapewnia fizyczną ochronę urządzeń znajdujących się na jej terenie. 2. W szczególności: 1) urządzenia sieciowe, serwery oraz inne istotne elementy infrastruktury umieszcza się w miejscach chronionych przed dostępem osób nieuprawnionych; 2) komputery sekretariatu, kadr, księgowości i Dyrektora zabezpiecza się przed dostępem osób postronnych; 3) urządzenia mobilne przechowuje się w sposób ograniczający ryzyko ich utraty lub kradzieży. 3. CUW zapewnia, w zakresie objętym wspólną obsługą, odpowiednie zabezpieczenia techniczne, w szczególności: 1) mechanizmy ochrony systemu operacyjnego; 2) zapory sieciowe; 3) ochronę antywirusową; 4) aktualizacje bezpieczeństwa; 5) odpowiednie ustawienia kont i uprawnień; 6) inne zabezpieczenia właściwe dla używanych systemów. 4. Użytkownik nie może wyłączać ani obchodzić zastosowanych zabezpieczeń. § 6 1. W przypadku korzystania z usług chmurowych lub centrów przetwarzania danych CUW albo inny podmiot zarządzający usługą zapewniają dostęp do dokumentacji dotyczącej stosowanych mechanizmów bezpieczeństwa. 2. Dokumentacja może wynikać w szczególności z: 1) umowy; 2) regulaminu usługi; 3) dokumentacji dostawcy; 4) certyfikatu; 5) informacji przekazanej przez dostawcę. 3. Szkoła nie jest zobowiązana do samodzielnego technicznego badania infrastruktury dostawcy, jeżeli odpowiednie mechanizmy zostały udokumentowane w ramach wspólnej obsługi. Zarządzanie dostępem i uprawnieniami § 7 1. Dostęp do systemów informacyjnych otrzymują wyłącznie osoby, których obowiązki uzasadniają taki dostęp. 2. Dyrektor lub osoba przez niego upoważniona przekazują CUW-owi informację o potrzebie: 1) utworzenia konta; 2) nadania uprawnień; 3) zmiany uprawnień; 4) zawieszenia konta; 5) cofnięcia uprawnień. 3. CUW wykonuje odpowiednią zmianę techniczną w systemach pozostających w jego obsłudze. 4. Jeżeli system umożliwia indywidualne konta, użytkownicy korzystają z kont indywidualnych. 5. Zabrania się: 1) udostępniania własnego konta innej osobie; 2) ujawniania hasła; 3) korzystania z konta innego użytkownika. § 8 1. Użytkownikowi przyznaje się minimalny zakres uprawnień niezbędny do wykonywania powierzonych zadań. 2. Zakres uprawnień powinien odpowiadać stanowisku, funkcji oraz rzeczywistemu zakresowi obowiązków. 3. Zmiana obowiązków powodująca zmianę uzasadnionego zakresu dostępu jest niezwłocznie zgłaszana CUW-owi. § 9 1. W przypadku trwałego ustania podstawy dostępu uprawnienia cofa się bezzwłocznie. 2. W przypadku niewykonywania obowiązków przez okres co najmniej jednego miesiąca uprawnienia zawiesza się. 3. Jeżeli z góry wiadomo, że okres niewykonywania obowiązków będzie trwał co najmniej miesiąc, informację przekazuje się CUW-owi przed rozpoczęciem tego okresu, jeżeli jest to możliwe. 4. Dyrektor lub wyznaczony pracownik odpowiadają za terminowe przekazanie informacji CUW-owi. 5. CUW potwierdza wykonanie zmiany albo zapewnia możliwość jej zweryfikowania w systemie. Praca mobilna i dostęp zdalny § 10 1. Pracownik korzystający ze służbowego urządzenia mobilnego: 1) chroni je przed utratą i kradzieżą; 2) stosuje zabezpieczenie dostępu; 3) nie udostępnia urządzenia osobom nieuprawnionym; 4) nie pozostawia go bez nadzoru w miejscu publicznym; 5) chroni wyświetlane informacje przed wglądem osób postronnych; 6) niezwłocznie zgłasza utratę lub kradzież. 2. Dostęp zdalny do systemów Szkoły odbywa się wyłącznie za pomocą sposobów dopuszczonych przez CUW lub dostawcę systemu. 3. Używanie prywatnych urządzeń do celów służbowych jest dopuszczalne wyłącznie na zasadach określonych przez Szkołę i CUW. 4. Zabrania się przechowywania dokumentacji służbowej w niezaakceptowanych prywatnych usługach chmurowych. Poczta elektroniczna § 11 1. Do służbowej korespondencji wykorzystuje się pocztę zapewnioną lub zaakceptowaną w ramach wspólnej obsługi. 2. CUW lub dostawca poczty zapewniają techniczną kontrolę stosowania mechanizmów: 1) SPF; 2) DKIM; 3) DMARC. 3. CUW przekazuje Szkole informację potwierdzającą spełnienie wymagań albo przechowuje dokumentację umożliwiającą wykazanie ich realizacji. 4. Dyrektor i pracownicy nie są zobowiązani do samodzielnego sprawdzania technicznej konfiguracji domeny. 5. Pracownicy nie powinni wykorzystywać prywatnych kont pocztowych do służbowej korespondencji wymagającej ochrony, jeżeli zapewniona została poczta służbowa. Kopie zapasowe § 12 1. CUW zapewnia wykonywanie kopii zapasowych danych znajdujących się w systemach objętych wspólną obsługą albo nadzoruje wykonywanie tych kopii przez dostawców systemów. 2. Kopie są logicznie i fizycznie odseparowane od danych podstawowych w sposób ograniczający ryzyko ich jednoczesnej utraty. 3. Szkoła informuje CUW o lokalnych zasobach danych, które nie zostały objęte centralnym mechanizmem wykonywania kopii. 4. Dla danych, które nie są objęte wspólną obsługą, Dyrektor w uzgodnieniu z CUW-em ustala sposób wykonywania kopii zapasowych. § 13 1. CUW okresowo testuje kompletność kopii i możliwość odtworzenia danych w systemach objętych wspólną obsługą. 2. Test może obejmować reprezentatywny zakres danych. 3. CUW dokumentuje wynik testu i udostępnia Szkole informację niezbędną do wykazania realizacji obowiązku. 4. W przypadku stwierdzenia nieprawidłowości CUW podejmuje działania naprawcze oraz informuje Szkołę, jeżeli nieprawidłowość może wpływać na ciągłość jej działania. Ochrona przed złośliwym oprogramowaniem § 14 1. CUW zapewnia aktywną i aktualną ochronę przed złośliwym oprogramowaniem na urządzeniach objętych wspólną obsługą, jeżeli jest ona właściwa dla danego urządzenia lub systemu. 2. Użytkownik nie może: 1) wyłączać ochrony antywirusowej; 2) blokować jej aktualizacji; 3) ignorować ostrzeżeń o wykrytym zagrożeniu. 3. Komunikat o wykryciu zagrożenia użytkownik zgłasza zgodnie z zasadami postępowania w przypadku incydentu. Cyberhigiena § 15 1. Zasady cyberhigieny obowiązują wszystkich pracowników korzystających z systemów informacyjnych, w tym Dyrektora. 2. Użytkownik jest zobowiązany w szczególności: 1) chronić hasła i inne dane uwierzytelniające; 2) nie przekazywać danych logowania innym osobom; 3) stosować uwierzytelnianie wieloskładnikowe, jeżeli zostało udostępnione i wymagane; 4) blokować komputer po odejściu od stanowiska; 5) zachowywać ostrożność wobec linków i załączników; 6) weryfikować wiadomości wymagające pilnego działania, podania danych lub wykonania płatności; 7) nie podłączać nieznanych nośników danych; 8) nie instalować niezatwierdzonego oprogramowania; 9) nie omijać zabezpieczeń; 10) zgłaszać podejrzane zdarzenia. 3. Jeżeli użytkownik nie jest pewny, czy wiadomość, link, plik lub komunikat są bezpieczne, powinien przerwać działanie i skontaktować się z CUW-em albo inną wskazaną osobą. Aktualizacje, cykl życia i podatności § 16 1. CUW monitoruje, w zakresie wspólnej obsługi: 1) dostępność aktualizacji; 2) status wsparcia używanych produktów; 3) zakończenie cyklu życia produktów; 4) informacje o krytycznych podatnościach. 2. Szkoła informuje CUW o produktach i usługach używanych lokalnie, o których CUW nie posiada informacji. 3. W przypadku zakończenia wsparcia produktu CUW rekomenduje jego aktualizację, wymianę albo zastosowanie innego rozwiązania. § 17 1. Stosuje się stabilne wersje produktów i usług ICT, w stosunku do których nie występują informacje o krytycznych podatnościach mogących mieć istotny wpływ na bezpieczeństwo. 2. Jeżeli zostanie ujawniona krytyczna podatność, CUW: 1) ustala, czy dotyczy używanego rozwiązania; 2) dokonuje aktualizacji albo zmiany konfiguracji; 3) stosuje inne dostępne środki ograniczające ryzyko; 4) w razie potrzeby czasowo ogranicza dostęp do zagrożonego systemu lub funkcji. 3. CUW informuje Szkołę o istotnych zagrożeniach, jeżeli wymagają one działania pracowników, ograniczenia korzystania z systemu lub zmiany sposobu realizacji zadań. Szkolenia § 18 1. Pracownicy korzystający z systemów informacyjnych są szkoleni w zakresie cyberbezpieczeństwa odpowiednim do wykonywanych zadań. 2. Szkolenie obejmuje co najmniej: 1) podstawowe rodzaje cyberzagrożeń; 2) zasady cyberhigieny; 3) zasady reagowania na incydent; 4) sposób zgłaszania zdarzeń; 5) świadomość skutków naruszenia zasad bezpieczeństwa. 3. CUW może organizować szkolenia wspólne dla jednostek objętych obsługą. 4. Dyrektor zapewnia udział pracowników Szkoły w szkoleniach. 5. Przeprowadzenie szkolenia i udział pracowników są dokumentowane. Zgłaszanie cyberzagrożeń, awarii i incydentów § 19 1. Pracownik nie ma obowiązku samodzielnie ustalać, czy zdarzenie jest incydentem w rozumieniu ustawy. 2. Pracownik niezwłocznie zgłasza w szczególności: 1) podejrzaną wiadomość, link lub załącznik; 2) podejrzenie przejęcia konta; 3) wykrycie złośliwego oprogramowania; 4) komunikat o zaszyfrowaniu danych; 5) utratę albo kradzież urządzenia; 6) nieuprawniony dostęp do informacji; 7) nieoczekiwaną utratę lub zmianę danych; 8) niedostępność istotnego systemu; 9) nietypowe działanie urządzenia; 10) inne zdarzenie mogące mieć wpływ na bezpieczeństwo. § 20 1. Zgłoszenia dokonuje się: CUW / punkt zgłaszania incydentów: ……………………………. telefon: ……………………………………………………… e-mail: ………………………………………………………… oraz Dyrektor Szkoły / osoba wyznaczona: …………………………………… 2. Po zgłoszeniu pracownik: 1) nie podejmuje samodzielnych działań wymagających wiedzy technicznej; 2) nie usuwa podejrzanych plików; 3) nie instaluje programów naprawczych. Obsługa incydentu § 21 1. CUW dokonuje technicznej oceny zgłoszonego zdarzenia w zakresie wspólnej obsługi. 2. CUW może w szczególności: 1) odizolować urządzenie; 2) zablokować konto; 3) wymusić zmianę danych uwierzytelniających; 4) ograniczyć dostęp do systemu; 5) wykonać aktualizację; 6) zmienić konfigurację; 7) odtworzyć dane z kopii; 8) zabezpieczyć informacje potrzebne do dalszej analizy. 3. Dyrektor współpracuje z CUW-em i przekazuje informacje potrzebne do ustalenia skutków zdarzenia dla realizacji zadań Szkoły. 4. CUW i Szkoła ustalają, zgodnie z zakresem wspólnej obsługi i udzielonymi upoważnieniami, kto wykonuje wymagane przepisami zgłoszenia do właściwego CSIRT lub za pośrednictwem systemu S46. 5. Jeżeli zgłoszenia dokonuje CUW, Dyrektor przekazuje mu informacje niezbędne do prawidłowego i terminowego wykonania obowiązku. 6. Jeżeli zgłoszenia dokonuje Szkoła, CUW zapewnia informacje techniczne niezbędne do jego sporządzenia. 7. Zdarzenie mogące stanowić jednocześnie naruszenie ochrony danych osobowych podlega odrębnej ocenie zgodnie z przepisami o ochronie danych osobowych. 8. Istotne zdarzenia oraz sposób ich obsługi podlegają dokumentowaniu. Testowanie procedury reagowania § 22 1. Procedura reagowania na awarie i incydenty podlega okresowemu testowaniu. 2. Test może być organizowany wspólnie przez CUW dla szkół objętych obsługą. 3. Test może polegać na omówieniu przykładowego zdarzenia, w szczególności: 1) phishingu; 2) utraty laptopa; 3) przejęcia konta; 4) niedostępności systemu; 5) ransomware. 4. W ramach testu sprawdza się w szczególności: 1) czy pracownicy wiedzą, komu zgłosić zdarzenie; 2) czy dane kontaktowe są aktualne; 3) czy przepływ informacji między Szkołą a CUW-em działa prawidłowo; 4) czy wiadomo, kto podejmuje działania techniczne; 5) czy wiadomo, kto odpowiada za wymagane zgłoszenia zewnętrzne. 5. Wynik testu jest dokumentowany. Dokumentowanie realizacji SZBI § 23 1. Realizacja SZBI jest dokumentowana w sposób proporcjonalny do charakteru wykonywanego działania. 2. Dokumentacja może być prowadzona częściowo przez Szkołę, a częściowo przez CUW. 3. Szkoła nie tworzy odrębnego dokumentu, jeżeli wykonanie danego obowiązku można wykazać na podstawie dokumentacji prowadzonej przez CUW. 4. Dokumentację realizacji SZBI mogą stanowić w szczególności: 1) wykazy i rejestry; 2) raporty CUW; 3) zapisy systemowe; 4) potwierdzenia wykonania aktualizacji; 5) informacje administratora; 6) dokumentacja dostawców; 7) protokoły testów; 8) potwierdzenia szkoleń; 9) dokumentacja incydentów; 10) korespondencja pomiędzy Szkołą a CUW-em. 5. Na potrzeby kontroli CUW przekazuje Szkole albo udostępnia dokumentację dotyczącą działań realizowanych w ramach wspólnej obsługi. Przegląd SZBI § 24 1. SZBI podlega przeglądowi co najmniej raz w roku. 2. Przegląd przeprowadza Dyrektor we współpracy z CUW-em. 3. CUW przygotowuje informacje techniczne dotyczące obszarów objętych wspólną obsługą. 4. W ramach przeglądu sprawdza się w szczególności: 1) aktualność wykazu produktów i usług ICT; 2) status wsparcia i aktualizacji; 3) aktualność uprawnień; 4) wykonywanie i testowanie kopii zapasowych; 5) działanie ochrony antywirusowej; 6) bezpieczeństwo poczty elektronicznej; 7) realizację szkoleń; 8) cyberzagrożenia, awarie i incydenty; 9) wyniki testów procedury reagowania; 10) aktualność danych kontaktowych; 11) prawidłowość współpracy Szkoły z CUW-em. 5. Przegląd przeprowadza się również bezzwłocznie w przypadku wystąpienia okoliczności mogących wymagać zmiany SZBI, w szczególności po istotnym incydencie albo istotnej zmianie infrastruktury. 6. Wynik przeglądu dokumentuje się. 7. Jeżeli stwierdzono nieprawidłowość, wskazuje się: 1) wymagane działanie; 2) czy za jego wykonanie odpowiada Szkoła, czy CUW; 3) termin wykonania. Postanowienia końcowe § 25 1. Pracownicy korzystający z systemów informacyjnych są zapoznawani z niniejszą procedurą w zakresie dotyczącym wykonywanych zadań. 2. Procedura jest aktualizowana w przypadku: 1) zmiany przepisów; 2) zmiany zakresu wspólnej obsługi; 3) zmiany sposobu zapewniania obsługi informatycznej; 4) istotnej zmiany systemów lub usług; 5) wyników przeglądu SZBI; 6) wystąpienia incydentu wskazującego na potrzebę zmiany dotychczasowych zasad. 3. Zmiana zakresu wspólnej obsługi wymaga weryfikacji podziału zadań pomiędzy Szkołę i CUW określonego w niniejszej procedurze. 4. W sprawach technicznych pracownicy Szkoły stosują instrukcje i zalecenia przekazywane przez CUW, o ile są zgodne z obowiązującymi przepisami i niniejszą procedurą. 5. Procedura wchodzi w życie z dniem ……. Załączniki 1. Rejestr ICT i podstawowych zabezpieczeń 2. Rejestr uprawnień / formularz zgłoszenia zmiany uprawnień do CUW-u. 3. Informacja CUW-u o wykonywaniu i testowaniu kopii zapasowych. 4. Rejestr cyberzagrożeń, awarii i incydentów. 5. Rejestr szkoleń i karta rocznego przeglądu SZBI. 6. Wykaz danych kontaktowych Szkoła–CUW na potrzeby cyberbezpieczeństwa. Załączniki do procedury zarządzania bezpieczeństwem informacji Uwaga: wpisy zawarte w tabelach są przykładowe. Przed zastosowaniem dokumentacji należy je zastąpić danymi właściwymi dla danej szkoły i CUW-u. ZAŁĄCZNIK NR 1 Rejestr ICT i podstawowych zabezpieczeń Rejestr obejmuje przede wszystkim urządzenia, programy i usługi wykorzystywane bezpośrednio przez Szkołę. Informacji technicznych, które prowadzi CUW, nie trzeba przepisywać do osobnej ewidencji szkolnej. Co mamy lub z czego korzystamy Do czego służy Kto zapewnia lub obsługuje Czy jest aktualne i wspierane Jak jest zabezpieczone Uwagi Komputer w sekretariacie obsługa uczniów, dokumentacja, poczta CUW TAK hasło, blokada ekranu, antywirus, aktualizacje obsługa techniczna CUW Dziennik elektroniczny dokumentacja przebiegu nauczania dostawca systemu / CUW TAK indywidualne konta, hasła, zabezpieczenia dostawcy administrator lokalny w Szkole Służbowa poczta elektroniczna Poczta / domena Kto ją zapewnia SPF, DKIM i DMARC Data potwierdzenia Uwagi sekretariat@szkola.pl CUW / urząd miasta TAK 10.09.2026 informacja CUW-u dyrektor@szkola.pl CUW / urząd miasta TAK 10.09.2026 usługa objęta wspólną obsługą ZAŁĄCZNIK NR 2 Rejestr uprawnień i zgłoszeń zmian do CUW-u Osoba System Zakres dostępu Data nadania Zmiana / zawieszenie / cofnięcie Data zgłoszenia do CUW-u Uwagi Anna Kowalska – nauczyciel dziennik elektroniczny nauczyciel – prowadzone zajęcia 01.09.2026 28.08.2026 konto aktywne Jan Nowak – pracownik sekretariatu poczta i system obsługi uczniów sekretariat 01.09.2024 cofnięcie z dniem 30.09.2026 29.09.2026 zakończenie zatrudnienia Prosty formularz zgłoszenia do CUW-u Szkoła: …………………. Imię i nazwisko użytkownika: ………………………. System: …………………... Rodzaj zmiany: ……………………. Zakres uprawnień: ……………………….. Data, od której zmiana ma obowiązywać: ……………………. Przyczyna: ………………………………. Osoba zgłaszająca: …………………………………. Data zgłoszenia do CUW-u: ……………………………... ZAŁĄCZNIK NR 3 Informacja CUW-u o wykonywaniu i testowaniu kopii zapasowych Część A – informacja ogólna System/zasób Czy wykonywane są kopie Kto odpowiada Sposób odseparowania kopii Czy kopie są testowane Uwagi Dokumenty administracyjne na serwerze TAK CUW oddzielny system backupu TAK kopie wykonywane automatycznie System kadrowo-płacowy TAK CUW / dostawca systemu infrastruktura dostawcy TAK zgodnie z zasadami usługi Część B – potwierdzenie testu odtworzenia Data testu: 15.09.2026 System/dane: dokumenty administracyjne Szkoły Zakres testu: odtworzenie przykładowego folderu Wynik: ………………………………………... Uwagi: brak ZAŁĄCZNIK NR 4 Rejestr cyberzagrożeń, awarii i incydentów Data Co się wydarzyło Czego dotyczyło Co zrobiła Szkoła Co zrobił CUW Skutek Uwagi 12.09.2026 sekretariat otrzymał podejrzaną wiadomość z linkiem poczta linku nie otwarto, zgłoszono zdarzenie CUW potwierdził próbę phishingu brak skutków przypomniano zasady cyberhigieny 18.09.2026 komputer w pokoju nauczycielskim przestał działać komputer służbowy zgłoszono awarię CUW wymienił uszkodzony dysk chwilowy brak dostępu do urządzenia brak utraty danych Karta poważniejszego zdarzenia Data i godzina wykrycia: .............................................................................. Osoba zgłaszająca: ........................................................................................ Opis zdarzenia: .................................................................................................................................. System/urządzenie: ....................................................................................... Czy nastąpiła utrata danych lub dostępu: TAK / NIE Czy doszło do nieuprawnionego dostępu: TAK / NIE / NIE USTALONO Data i godzina zgłoszenia do CUW-u: ……………... Działania Szkoły: ……………... Działania CUW-u: ……………………. Czy zdarzenie wymagało zgłoszenia do właściwego CSIRT / S46: …………………………. Test procedury reagowania Data Scenariusz Uczestnicy Wynik Co trzeba poprawić 20.09.2026 podejrzana wiadomość phishingowa sekretariat, dyrektor, CUW prawidłowy brak 20.09.2026 utrata służbowego laptopa dyrektor, CUW wymaga poprawy zaktualizować numer alarmowy do CUW-u ZAŁĄCZNIK NR 5 Rejestr szkoleń i karta rocznego przeglądu SZBI A. Rejestr szkoleń Data Temat Uczestnicy Organizator Forma Potwierdzenie 01.09.2026 phishing, hasła, cyberhigiena, zgłaszanie incydentów nauczyciele i administracja CUW szkolenie online lista uczestników 15.01.2027 bezpieczna poczta i praca zdalna pracownicy korzystający z systemów CUW szkolenie stacjonarne lista obecności B. Roczna karta przeglądu SZBI Nazwa Szkoły: ................................................................................................ Data przeglądu: .............................................................................................. Przedstawiciel Szkoły: .................................................................................... Przedstawiciel CUW-u: ........................................................................................ Co sprawdzamy TAK / NIE Kto sprawdził Uwagi/działanie Czy wykaz systemów i usług używanych przez Szkołę jest aktualny? TAK Szkoła + CUW brak zmian Czy używane urządzenia i programy są nadal wspierane? TAK CUW Czy aktualizacje i zabezpieczenia techniczne działają? TAK CUW Czy uprawnienia użytkowników są aktualne? NIE Szkoła + CUW zablokować konto byłego pracownika Czy zawieszono uprawnienia osób nieobecnych co najmniej miesiąc? TAK Szkoła + CUW Czy służbowa poczta spełnia wymagania SPF, DKIM i DMARC? TAK CUW potwierdzono konfigurację Czy wykonywane są kopie zapasowe? TAK CUW Czy testowano odtworzenie kopii? TAK CUW test 15.09.2027 Czy działa ochrona antywirusowa? TAK CUW Czy pracownicy odbyli wymagane szkolenie? TAK Szkoła szkolenie 01.09.2027 Czy procedura reagowania była testowana? TAK Szkoła + CUW test 15.09.2027 Czy od poprzedniego przeglądu wystąpiły istotne incydenty? TAK Szkoła + CUW jedna próba phishingu – bez skutków Czy dane kontaktowe Szkoła–CUW są aktualne? NIE Szkoła zaktualizować telefon dyżurny Czy konieczna jest aktualizacja SZBI? NIE Szkoła + CUW Wynik przeglądu …………………………... Działania do wykonania: 1) zablokować konto byłego pracownika; 2) zaktualizować numer kontaktowy do CUW-u. Termin: 30.09.2027 Dyrektor Szkoły: .......................................................................................... Przedstawiciel CUW-u: ...................................................................................... ZAŁĄCZNIK NR 6 Dane kontaktowe szkoła–CUW na potrzeby cyberbezpieczeństwa Szkoła Dyrektor: …………….. Telefon: ……………………………... Adres e-mail: ……………………….. Osoba zastępująca/wyznaczona: ………………………. Telefon: …………………………………………………... CUW Punkt kontaktowy ds. IT/cyberbezpieczeństwa: ……………………………. Telefon podstawowy: ………………………………………... Telefon alarmowy / poza godzinami pracy, jeżeli funkcjonuje: ………………... Adres e-mail do zgłoszeń: ……………………………... System zgłoszeniowy / helpdesk: …………………………………..