Forum Skarbników: Cyberbezpieczeństwo i bezpieczeństwo informacji w codziennej pracy skarbnika jst - aktualne zagrożenia i zasady ochrony

• Znajomość zagadnień z zakresu cyberbezpieczeństwa, w tym także w kontekście wymagań nowej dyrektywy NIS2, jest kluczowe dla każdego urzędnika. Skarbnicy, jako osoby odpowiedzialne za zarządzanie finansami publicznymi, mają dostęp do wrażliwych danych finansowych i osobowych. W dobie rosnących cyberzagrożeń, ochrona tych danych staje się priorytetem dla każdego urzędu niezależnie od jego wielkości. Ponieważ NIS2 nakłada na instytucje publiczne obowiązek zapewnienia odpowiedniego poziomu cyberbezpieczeństwa, skarbnicy muszą być świadomi tych wymagań i umieć je wdrażać w codziennej pracy.
Zadania skarbnika, takie jak przetwarzanie płatności i zarządzanie budżetem, wymagają szczególnej uwagi na kwestie cyberbezpieczeństwa. Skarbnicy muszą chronić systemy księgowe przed nieautoryzowanym dostępem, aby zapobiec oszustwom finansowym. Regularne monitorowanie transakcji i wykrywanie podejrzanych działań to kluczowe elementy ich pracy. Ponadto, skarbnicy są odpowiedzialni za bezpieczne przechowywanie i przesyłanie dokumentów finansowych. Wdrażanie zasad cyberbezpieczeństwa w tych obszarach minimalizuje ryzyko wycieku danych i zapewnia integralność informacji finansowych.
• Podczas spotkania przeanalizujemy najnowsze i najgroźniejsze cyberzagrożenia (w tym phishing i ransomware) oraz metody prostej ochrony. Wskażemy, jak identyfikować potencjalne ataki i jak na nie reagować. Podpowiemy, jakie kroki należy podjąć, aby spełnić wymagania dyrektywy NIS2.
Prezentowane zagadnienia będziemy popierać licznymi przykładami z praktyki dla lepszego zobrazowania omawianych regulacji i zasad podstępowania.

1. Podstawowe akty prawne dotyczące bezpieczeństwa informacji i cyberbezpieczeństwa w jst: RODO, KRI, NIS2, …
2. Rola skarbnika jst w codziennej ochronie informacji w urzędzie:
• Ochrona systemów finansowych jst.
• Zapobieganie oszustwom finansowym.
• Przechowywanie i niszczenie dokumentów finansowych.
• Przesyłanie i przenoszenie dokumentów finansowych.
3. Kontrole Najwyższej Izby Kontroli w jst – omówienie głównych wniosków pokontrolnych, czyli jak się uczyć na błędach, ale - najlepiej - nie swoich:
• Poczta e-mail w urzędzie – bezpieczne korzystanie.
• Skuteczna ochrona danych osobowych szczególnie w obszarze szczególnej kategorii danych.
4. Jak (prawie) bezkosztowo poprawić cyberbezpieczeństwo w obszarze finansów? Co można zrobić „od ręki”?
• Ograniczenie uprawnień w systemach IT.
• Blokada portów USB.
• Blokada stron www.
• Mniej zadań dla informatyków.
• Wzrost umiejętności pracowników w tematach często zgłaszanych na help-desk.
• Korzystanie z grantów / projektów.
5. Zalecenia dotyczące reakcji na incydenty bezpieczeństwa w jst:
• Zgłaszać incydenty a nie ukrywać.
• Rejestrować zgłaszane incydenty.
• Wyciągać wnioski i wdrażać działania korygujące.
6. Jak przygotować działy finansowe do testów bezpieczeństwa?
• Czy warto zamówić testy socjotechniczne?
• Jak przygotować pracowników?
7. Dobre praktyki służbowej cyberhigieny, które zadziałają także prywatnie, a o których zawsze warto przypominać:
• Robić kopie bezpieczeństwa („Zasada: 3-2-1”).
• Dbać o aktualizację systemów i programów.
• Korzystać z programów antywirusowych.
• Nie klikać w podejrzane linki i załączniki.
8. Jak sprawdzić, czy moje/nasze dane wyciekły?
9. Phishing, czyli skuteczne oszustwa i wyłudzenia finansowe poprzez e-mail, sms, telefon, komunikator, ….
10. Jak sprawdzić, czy e-mail jest dobry czy fałszywy?
• Weryfikacja adresu nadawcy i treści e-maila,
• Weryfikacja „technicznego” nagłówka e-maila.
11. Jak sprawdzić czy link i załącznik są szkodliwe?:
• Przykładowe narzędzia do weryfikacji.
• Czego nie powinniśmy sprawdzać w takich narzędziach?
12. A co zrobić, gdy już „coś się jednak kliknęło”?
13. Ransomware, czyli okup za odzyskanie danych - wyjątkowo poważne zagrożenie dla każdej jst, niezależnie od wielkości:
• Jak uchronić urząd przed atakiem typu Ransomware?
• Co zrobić po ataku?
• Czy można zapłacić okup cyberprzestępcom?
14. Pytanie / Odpowiedzi / Dyskusja.

Udział w pracach Forum to jedna ze ścieżek rozwoju osobistego, jakże niezbędnego aby profesjonalnie realizować swoje obowiązki. To także możliwość wymiany doświadczeń pomiędzy pracownikami zajmującymi się tą samą tematyką w innej jednostce w województwie. Zachęcamy do współpracy Państwa współpracy, zrzeszenia się w ramach Forum i udziału organizowanych szkoleniach.

Szczegółowe informacje dotyczące Forum znajdujące się w serwisie www FRDL w zakładce Fora - Forum Skarbników.

Audytor, trener, doradca. Specjalista w dziedzinie bezpieczeństwa informacji i cyberzagrożeń. Audytor wiodący normy ISO/IEC 27001. Członek Polskiego Towarzystwa Informatycznego. Prowadzi audyty bezpieczeństwa oraz szkolenia i konsultacje m.in. z zakresu bezpieczeństwa informacji i cyberbezpieczeństwa oraz budowania kultury ochrony informacji.