SOC dla gmin, miast, powiatów i CUW
Wspólny standard ochrony. Różne potrzeby jednostek.
Urząd gminy i miasta
Priorytetem są konta pracowników, systemy dziedzinowe, dokumenty, poczta i dostęp do usług. Mapujemy zależności między systemami lokalnymi a zewnętrznymi. Ścieżka eskalacji uwzględnia informatyka, kierownictwo i osoby odpowiedzialne za ochronę danych.
Starostwo i jednostki powiatowe
Wiele lokalizacji oznacza różne łącza, dostawców i poziomy dojrzałości. Wspólny nadzór powinien pokazywać ryzyka całości, zachowując rozdzielenie danych i uprawnień. Wdrożenie można rozpocząć od najbardziej krytycznych systemów i stopniowo rozszerzać.
Centrum usług wspólnych
Jeden model obsługi może wspierać wiele jednostek, jeżeli precyzyjnie ustalono ich role, mandaty i odpowiedzialność. Projektujemy osobne zakresy monitoringu i raportowania oraz widok zbiorczy dla uprawnionych osób. Wspólna platforma nie oznacza wspólnego dostępu do wszystkich danych.
Szkoły, biblioteki i placówki
Współdzielone komputery, zmienni użytkownicy i rozproszone wsparcie wymagają prostych zasad utrzymania. Ochronę dopasowujemy do używanych urządzeń i danych. Zakres prawnych obowiązków każdej placówki ustala się indywidualnie; techniczny nadzór można objąć wspólnym projektem.
Spółki komunalne i infrastruktura techniczna
Wodociągi, oczyszczalnie czy transport wymagają uwzględnienia systemów OT. Zbieranie logów i obserwacja dostępu nie oznaczają zgody na automatyczne odłączanie sterowników. Działania ingerujące w proces wymagają uzgodnienia z osobą odpowiedzialną za jego bezpieczeństwo.
Współpraca z lokalnym informatykiem
SOC uzupełnia codzienną administrację: dostarcza analizę, kontekst i uzgodnioną obsługę zdarzeń. Administrator zna aplikacje i procesy urzędu. Ustalamy sposób przekazywania zadań tak, aby incydent nie utknął między dostawcami.
Zacznijmy od Twojej infrastruktury.
Istniejąca serwerownia, jeden urząd lub kilka jednostek. Dobierzemy zakres SOC, XDR i NOC.
Logi pod kontrolą — od analizy do archiwum.
Dla dzienników systemów objętych KRI punktem wyjścia są 2 lata przechowywania od dnia zapisu, jeżeli przepisy odrębne nie wskazują innego okresu. Okres szybkiego wyszukiwania w SOC i całkowity czas zachowania zapisów to dwa osobne ustalenia.
Dwie warstwy przechowywania
- Bieżąca analiza: przykładowo 90 dni w szybkich indeksach SIEM. To wariant projektowy, a nie termin ustawowy ani automatycznie gwarantowany zakres usługi.
- Archiwum: zachowanie wymaganych zapisów do pełnych 2 lat od ich utworzenia, z uwzględnieniem przepisów odrębnych. Przeniesienie do archiwum nie rozpoczyna okresu od nowa.
Jakie zapisy obejmujemy?
KRI wymaga rejestrowania dostępu administracyjnego, dostępu do konfiguracji i zabezpieczeń oraz dostępu do danych prawnie chronionych w zakresie wymaganym prawem. Pozostałe zdarzenia dobieramy na podstawie analizy ryzyka. Ustalamy źródła, znaczniki czasu, kompletność i sposób odczytu. Same alerty SIEM lub raport PDF nie zastępują wymaganych logów źródłowych. Zasady te nie oznaczają obowiązku rejestrowania całego ruchu sieciowego ani dwuletniej retencji wszystkich nagrań CCTV.
Oddzielny serwer lub NAS w innej lokalizacji
Archiwum może znajdować się poza serwerem analitycznym, także na odpowiednio zabezpieczonym NAS, np. QNAP. Model urządzenia, funkcje systemu, pojemność i warunki utrzymania wymagają weryfikacji. Zapisy przesyłamy szyfrowanym kanałem; interfejsów administracyjnych i udziałów plikowych nie publikujemy bezpośrednio w Internecie.
- Oddzielne uprawnienia i archiwa jednostek, kontrola dostępu oraz ochrona kluczy szyfrowania.
- Kontrola kompletności, integralności i wieku ostatniego poprawnego transferu; buforowanie podczas przerw w łączności.
- Ochrona przed zmianą i usunięciem, w tym WORM lub niezmienność, jeżeli wybrane rozwiązanie je obsługuje.
- Usunięcie kopii roboczej dopiero po potwierdzeniu zapisu i weryfikacji archiwum; niezależna kopia oraz test odczytu i przywrócenia do analizy.
Retencja wpisana do zakresu usługi
Przed wdrożeniem ustalamy z jednostką kategorie danych, właściwe przepisy, okresy przechowywania, lokalizacje, pojemność, uprawnienia oraz czas udostępnienia archiwum. Dokumentujemy zasady usuwania po upływie retencji i zabezpieczenia materiału dotyczącego incydentu. Archiwizacja nie jest tym samym co kopia zapasowa; RAID nie zastępuje niezależnej kopii.
Podstawa: § 20 ust. 1–5 rozporządzenia KRI z 21 maja 2024 r., Dz.U. 2024 poz. 773. Stan prawny sprawdzono 28.09.2026. ELI wskazuje utratę mocy aktu 23.02.2027; wymagania trzeba ponownie zweryfikować przed zmianą przepisów. Okresy dla konkretnych systemów ustalamy z uwzględnieniem przepisów odrębnych.
BUDŻET I DOFINANSOWANIE
Jak sfinansować zewnętrzny SOC?
Budżet JST, wsparcie w projekcie LCC i zasady dla obecnych grantobiorców Cyberbezpiecznego Samorządu. Sprawdź terminy, dopuszczalny zakres outsourcingu oraz koszty utrzymania po dotacji.
Finansowanie SOC i infrastruktury