Szkolenie w zakresie cyberbezpieczeństwa w systemach zabezpieczeń technicznych

Szkolenie pokazuje, jak rozpoznawać zagrożenia i podatności, ograniczać ryzyko cyberataków oraz bezpiecznie projektować, instalować i eksploatować systemy zabezpieczeń technicznych. Program łączy zagadnienia techniczne, zarządzanie ryzykiem, reagowanie na incydenty oraz kontekst prawny i normatywny.

Kurs jest przeznaczony m.in. dla projektantów, instalatorów, administratorów i integratorów systemów zabezpieczeń technicznych, specjalistów IT/OT, inwestorów, zamawiających oraz osób zarządzających bezpieczeństwem obiektów. Program nie przewiduje formalnych wymagań dotyczących wcześniejszych kompetencji uczestnika.

Tak. Szkolenie odnosi zagadnienia cyberbezpieczeństwa bezpośrednio do systemów sygnalizacji włamania i napadu, kontroli dostępu oraz dozoru wizyjnego. Uczestnicy poznają zagrożenia typowe dla tych systemów i zasady podejmowania bezpiecznych decyzji projektowych, instalacyjnych oraz eksploatacyjnych.

Szkolenie zdalne trwa 3 dni i obejmuje 19 godzin zegarowych łącznie z przerwami. Zajęcia odbywają się na żywo przez Microsoft Teams. Kurs kończy się pisemnym testem teoretycznym, a uczestnik otrzymuje zaświadczenie o ukończeniu szkolenia.

Program obejmuje m.in. malware, ransomware, phishing, ataki DDoS, socjotechnikę, backdoory oraz podatności sprzętu i oprogramowania. Omawiane są również przykłady naruszeń bezpieczeństwa, wpływ czynnika ludzkiego, zagrożenia związane z IoT i rozwiązaniami „smart” oraz podstawy analizy powłamaniowej.

Podczas szkolenia omawiane są m.in. segmentacja sieci i VLAN, firewall, IDS/IPS, protokoły HTTPS i TLS, szyfrowanie, certyfikaty, standard 802.1X oraz zarządzanie użytkownikami, hasłami i dostępem zdalnym. Program obejmuje także aktualizacje oprogramowania, ograniczanie nieużywanych usług, filtrowanie adresów IP oraz analizę logów i alertów.

Tak. Program przedstawia podstawowe wymagania systemu zarządzania bezpieczeństwem informacji, cykl Deminga, przykłady zastosowania normy w systemach zabezpieczeń technicznych oraz wybrane zagadnienia audytowe. Ukończenie szkolenia nie jest jednak certyfikacją organizacji ani uczestnika na zgodność z PN-EN ISO/IEC 27001:2023-08.

Systemy SSWiN, SKD lub VSS/CCTV mogą stanowić część systemu informacyjnego wykorzystywanego w procesach wpływających na świadczenie usług przez podmiot kluczowy albo podmiot ważny. W takim przypadku znaczenie mają m.in. obowiązki dotyczące szacowania ryzyka, kontroli dostępu, monitorowania, aktualizacji, zarządzania podatnościami i incydentami oraz bezpieczeństwa łańcucha dostaw, wskazane w art. 8 ustawy o KSC.

Nie. Samo projektowanie, instalowanie lub serwisowanie systemów zabezpieczeń technicznych nie oznacza automatycznie uzyskania statusu podmiotu kluczowego albo ważnego. Status zależy m.in. od rodzaju działalności, sektora, wielkości organizacji oraz spełnienia przesłanek określonych w ustawie o KSC; znaczenie może mieć również świadczenie usług zarządzanych lub usług zarządzanych w zakresie cyberbezpieczeństwa.

Art. 8 ustawy o KSC wymaga uwzględniania bezpieczeństwa w procesie nabywania, rozwoju, utrzymania i eksploatacji systemu informacyjnego, a także bezpieczeństwa i ciągłości łańcucha dostaw produktów, usług oraz procesów ICT. Przy ocenie dostawcy bierze się pod uwagę m.in. jego podatności, jakość oferowanych rozwiązań i wyniki postępowania w sprawie uznania za dostawcę wysokiego ryzyka.

Dostawca nie uzyskuje takiego statusu wyłącznie na podstawie opinii klienta lub oceny handlowej. Zgodnie z art. 67b ustawy o KSC minister właściwy do spraw informatyzacji może przeprowadzić postępowanie i w drodze decyzji uznać dostawcę sprzętu lub oprogramowania za dostawcę wysokiego ryzyka, jeżeli stanowi on zagrożenie dla podstawowego interesu bezpieczeństwa państwa.

Ograniczenia dotyczą typów produktów ICT, rodzajów usług ICT lub konkretnych procesów ICT wskazanych w decyzji, a nie automatycznie całej oferty dostawcy. Podmioty objęte ustawą nie mogą wprowadzać tych rozwiązań do użytkowania i co do zasady muszą wycofać je w terminie do 7 lat. Dla wskazanych funkcji krytycznych sieci i usług telekomunikacyjnych przewidziano termin 4-letni, a podmioty stosujące Prawo zamówień publicznych nie mogą nabywać rozwiązań objętych decyzją.

Akt o cyberodporności, czyli rozporządzenie (UE) 2024/2847, dotyczy produktów z elementami cyfrowymi udostępnianych na rynku Unii Europejskiej. W załączniku III do ważnych produktów klasy I zaliczono m.in. produkty inteligentnego domu z funkcjami bezpieczeństwa, w tym kamery systemów bezpieczeństwa, inteligentne zamki i systemy alarmowe. Nie oznacza to jednak, że każde profesjonalne urządzenie VSS, SSWiN lub SKD automatycznie otrzymuje tę klasyfikację – konieczna jest ocena jego przeznaczenia, funkcji i zakresu stosowania rozporządzenia.

Secure by design oznacza uwzględnianie cyberbezpieczeństwa już podczas planowania architektury, doboru urządzeń, projektowania sieci i definiowania uprawnień. Secure by default zakłada natomiast bezpieczną konfigurację początkową, ograniczony dostęp, wyłączenie zbędnych funkcji oraz stosowanie ustawień minimalizujących ryzyko. Zasady te są elementem programu szkolenia i pozostają spójne z wymaganiami aktu o cyberodporności dotyczącymi projektowania produktów stosownie do ryzyka i ich bezpiecznej konfiguracji domyślnej.

Może mieć znaczenie, jeżeli system wykorzystuje sztuczną inteligencję, np. do zdalnej identyfikacji biometrycznej osób. Takie rozwiązania zostały wskazane w załączniku III do AI Act jako systemy AI wysokiego ryzyka, natomiast weryfikacja biometryczna służąca wyłącznie potwierdzeniu, że dana osoba jest osobą, za którą się podaje, nie należy do tej konkretnej kategorii. Szkolenie TECHOM koncentruje się na cyberbezpieczeństwie systemów zabezpieczeń technicznych i nie stanowi kompleksowego szkolenia z wdrażania AI Act.

Nie należy zakładać tego automatycznie. Art. 8e KSC wymaga, aby kierownik podmiotu kluczowego lub ważnego oraz osoba, której powierzono jego obowiązki w zakresie cyberbezpieczeństwa, odbywali raz w roku udokumentowane szkolenie obejmujące wskazany w ustawie zakres obowiązków. Program TECHOM porusza wiele związanych z nimi zagadnień, ale możliwość uznania kursu za realizację obowiązku z art. 8e wymaga porównania pełnego zakresu szkolenia z sytuacją prawną i obowiązkami konkretnej organizacji.