Usługi doradczo-audytowe z zakresu cyberbezpieczeństwa – Gorzyce

Jednoczęściowe zamówienie na usługę doradczo-audytową z zakresu cyberbezpieczeństwa dla WOLOiZOL w Gorzycach (placówka ochrony zdrowia — podmiot kluczowy w rozumieniu ustawy o KSC). Wykonawca ma przygotować organizację do spełnienia wymagań ustawy o krajowym systemie cyberbezpieczeństwa. W ramach jednej usługi łączą się: audyt zgodności z KSC i ocena dojrzałości cyberbezpieczeństwa, analiza luk, opracowanie Strategii Cyberbezpieczeństwa, komplet dokumentacji organizacyjnej i procedur SZBI, mechanizmy realizacji obowiązków raportowych, Plan Dostosowania do Wymagań KSC oraz raport końcowy z rekomendacjami, roadmapą i materiałami szkoleniowymi. Całość przekazywana w wersji edytowalnej i PDF.

• Audyt stanu obecnego: 12 obszarów (m.in. ład organizacyjny, SZBI, aktywa, ryzyko, incydenty, dostawcy ICT, dane medyczne, zgodność regulacyjna, ciągłość działania, obowiązki kierownictwa) — audyt przygotowawczy, nie stanowi audytu z art. 15 ustawy o KSC.
• Analiza luk: zestawienie stanu obecnego z wymaganiami KSC i docelowym modelem SZBI, z priorytetyzacją i mapą zgodności.
• Strategia Cyberbezpieczeństwa: docelowy model zarządzania, cele strategiczne i operacyjne, plan rozwoju, harmonogram wdrożeń, priorytety inwestycyjne (horyzonty krótko-/średnio-/długoterminowe).
• Dokumentacja organizacyjna: co najmniej 27 odrębnych dokumentów — 2 polityki bezpieczeństwa, 19 procedur (m.in. ryzyko, incydenty, podatności, dostępy, aktywa, kopie zapasowe, dostawcy ICT, zmiana, klasyfikacja informacji, audyty SZBI, przegląd zarządzania, monitorowanie KSC, kryptografia, tożsamość, komunikacja kryzysowa, ciągłość działania, szkolenia), 2 rejestry (aktywów, dostawców), rejestr incydentów, metodyka klasyfikacji incydentów, program testów i ćwiczeń, procedura raportowania do kierownictwa.
• Mechanizmy obowiązków raportowych: zasady klasyfikacji i identyfikacji incydentów poważnych, wzory zgłoszeń, ścieżki eskalacji, odpowiedzialności komórek, zasady współpracy z CSIRT, zasady dokumentowania.
• Plan Dostosowania do Wymagań KSC: niezgodności, działania korygujące i doskonalące, właściciele, priorytety, szacunkowe koszty, wpływ na ryzyko.
• Raport końcowy + materiały szkoleniowe: ocena stanu, rejestry, rekomendacje, koncepcja SZBI, roadmapy, KPI/KRI, macierz RACI, matryca wymagań KSC, rekomendacje wdrożenia MFA, kryptografii, audytów wewnętrznych, testów ciągłości — plus materiały szkoleniowe dla kierownictwa i pracowników.