Kształtowanie polityki niezawodności i cyberbezpieczeństwa w przemyśle w zakresie zasobów ludzkich i technicznych

Kwalifikacją mogą być zainteresowani:
- członkowie i kandydaci na członków zarządów spółek skarbu państwa;
- członkowie zarządów samorządu terytorialnego i wyższy szczebel urzędników samorządu terytorialnego oraz urzędów wojewódzkich;
- członkowie zarządów spółek prawa handlowego;
- prezesi i dyrektorzy ds. finansów z sektora przemysłu procesowego.

Osoba przystępująca do walidacji musi legitymować się kwalifikacją pełną z 6 poziomem PRK

Osoby posiadające kwalifikację mogą znaleźć zatrudnienie w:
- spółkach prawa handlowego;
- sektorze przemysłu procesowego (chemia, petrochemia, gaz, energetyka konwencjonalna, woda, ścieki, przemysł spożywczy i farmacja);
- jednostkach samorządu terytorialnego.

Certyfikat jest ważny 3 lata. Przedłużenie certyfikatu następuje na podstawie dokumentów potwierdzających udział w min. jednym szkoleniu lub konferencji wskazanych przez IC w każdym roku w okresie ostatnich 3 lat. Dokumenty należy przedstawić przed upływem ważności certyfikatu.

Z punktu widzenia cyberbezpieczeństwa cyfryzacja i automatyzacja w przemyśle, a także coraz większa integracja sieci przemysłowej (OT) z siecią architektury korporacyjnej (IT) są obecnie wyzwaniem dla przemysłu. Utrzymanie niezawodności, czyli ciągłości i zdolności produkcyjnych, w każdym przedsiębiorstwie staje się nierozerwalnym elementem cyberbezpieczeństwa. Kluczowe jest to zwłaszcza w kontekście przemysłu 4.0, który z jednej strony umożliwia łączenie maszyn i urządzeń przez internet, z drugiej zwiększa zagrożenia związane z cyberatakami. Na cyberataki szczególnie narażone są, z uwagi na ich rozproszenie i odmienne systemy zarządzania, systemy sterowania przemysłowego w obszarze przemysłu procesowego (chemia, petrochemia, gazownictwo, energetyka, przygotowanie i oczyszczanie wody, przemysł spożywczy i farmacja). Analiza danych z czujników sieciowych z 851 organizacji i przedsiębiorstw posiadających systemy produkcyjne na całym świecie pozwoliła sformułować następujące wnioski: * Stwierdzono, że ponad 40% systemów przemysłowych ma bezpośrednie podłączenie do internetu, skutkujące możliwością ingerencji w nią z zewnątrz; * Nieaktualne systemy operacyjne wystąpiły w ponad 53% zakładach produkcyjnych; * Do 84% urządzeń zapewniony jest dostęp przez zdalne protokoły, możliwe do przełamania [https://cyberx-labs.com/resources/risk-report-2019/]. Stwierdzona skala zaniedbań wiąże się m.in. z problemem niedoskonałości proceduralnych oraz braku systemowego doskonalenia kwalifikacji kadr w organizacjach. Szkodliwe złośliwe oprogramowanie, takie jak WannaCry i NotPetya, oraz ukierunkowane ataki na systemy przemysłowe, takie jak TRITON i Industroyer, ukazały wysokie koszty przerw w produkcji, przywrócenia systemów, incydentów środowiskowych oraz przerw w dostawach usług kluczowych dla społeczeństwa, takich jak prąd, ciepło czy woda [https://www.rp.pl/Telekomunikacja-i-IT/170519335-Atak-ransomware-WannaCry-zainfekowal-ponad-200-tys-komputerow.html]. Rosnące z roku na rok zagrożenie skutkami cyberataków na instalacje przemysłowe wymaga adekwatnej obrony zasobów przemysłowych (za "Allianz Risk Barometer – Top Business Risks 2018", https://www.the-digital-insurer.com/allianz-risk-barometer-top-business-risks-for-2018/). Skuteczna obrona przemysłu powinna być, jak pokazują dobre praktyki wielu krajów, adekwatna do istniejącej architektury korporacyjnej w średnich i dużych organizacjach i przedsiębiorstwach oraz być obroną typu holistycznego, tj. opierać się na trzech filarach: 1. Polityka cyberbezpieczeństwa (szczebel menedżerski, decyzyjny). 2. Zarządzanie niezawodnością i cyberbezpieczeństwem (szczebel wykonawczy). 3. Technologia niezawodności i cyberbezpieczeństwa w przemyśle (szczebel wykonawczy). Realizacja skutecznej obrony przemysłu w zakresie cyberbezpieczeństwa opiera się m.in. na wykwalifikowanych pracownikach organizacji i przedsiębiorstw. Dlatego wyodrębniono 3 kwalifikacje odnoszące się do wskazanych powyżej filarów bezpieczeństwa. Wnioskowana kwalifikacja dotyczy zarządzania niezawodnością i cyberbezpieczeństwem w przemyśle w zakresie zasobów ludzkich i proceduralnych. Międzynarodowe Centrum Bezpieczeństwa Chemicznego (ICCSS), które od wielu lat promuje najlepsze praktyki w przemyśle, w tym także dotyczące cyberbezpieczeństwa, widzi coraz większą potrzebę doskonalenia kadr na różnych poziomach z tematu cyberbezpieczeństwa. Rynek, zarówno w Europie, jak i na świecie, dostrzega coraz większe braki kadr, systemowo przygotowanych do wdrażania odporności oraz cyberbezpieczeństwa w przemyśle. Wychodząc naprzeciw tej potrzebie, ICCSS również wspiera rozwój nowej kwalifikacji oraz włączenie jej do ZSK. Obecnie cyberbezpieczeństwo to głównie temat dla techników oraz administratorów sieci, którzy powinni panować nad wieloma zagadnieniami jednocześnie. Ich kompetencje nie są opisane poprzez konkretne zawody, a zwykle są to niepisane praktyki zdobyte poprzez stanowisko administratora sieci. Brak sformalizowanych zasad dotyczących rekrutacji osób z takim wykształceniem powoduje, że jedynym kryterium przy wyborze na stanowiska takich osób jest doświadczenie zawodowe i liczba przepracowanych lat w dziale bezpieczeństwa IT. To jednak powoduje duży niedobór tego typu pracowników (na co wskazuje w liście rekomendacyjnym szef bezpieczeństwa Grupy LOTOS), a także powoduje, że koszty pozyskiwania pracowników są wysokie. Jest to kluczowy problem dla menedżerów, którzy nie dysponują odpowiednimi zasobami do wdrażania polityki cyberbezpieczeństwa. Jednak zgodnie ze światowymi trendami odchodzi się od podejścia, w którym to tylko informatycy dbają o cyberbezpieczeństwo. Cyberbezpieczeństwo staje się tematem całej organizacji, w tym pracowników na różnym szczeblu, od szczebla decyzyjnego po wykonawczy. Dlatego wnioskuje się o wprowadzenie także dwóch innych kwalifikacji: (1) Zarządzanie niezawodnością i cyberbezpieczeństwem w zakresie urządzeń oraz technologii w przemyśle oraz (2) Zarządzanie niezawodnością i cyberbezpieczeństwem w przemyśle w zakresie zasobów ludzkich i proceduralnych, które wzajemnie się uzupełniają. Wnioskowana kwalifikacja jest odpowiedzią na konieczność doceniania problematyki i wagi cyberbezpieczeństwa przez Zarząd organizacji i przedsiębiorstw, w tym uwzględnianie tych aspektów w planowaniu budżetu, budowaniu dalekosiężnych strategii odporności przedsiębiorstwa, pozyskiwaniu wiedzy dotyczącej tego, jak reagować na incydenty, dbając przy tym o kwestie bezpieczeństwa pracowników oraz wizerunkowe. Ta kwalifikacja, w połączeniu z dwiema innymi, stanie się narzędziem dla zarządu, pozwalającym zdefiniować potrzeby menedżerów oraz techników, którzy na co dzień zmagają się z kwestiami cyberbezpieczeństwa. Kwalifikacja pozwala potwierdzić kompetencje zdobywane m.in. w ramach takich stanowisk pracy, jak np. dyrektor finansowy, dyrektora ds. bezpieczeństwa. Warto odnotować, że Business Insider Poland wśród najbardziej poszukiwanych 10 zawodów w Polsce w 2019 r. ekspertów z obszaru zapewniania cyberbezpieczeństwa w organizacjach i przedsiębiorstwach wymienia na drugim miejscu [https://businessinsider.com.pl/rozwoj-osobisty/kariera/najbardziej-pozadane-zawody-w-2019-roku/hs2k5wx].

W obszarze szkolnictwa wyższego prowadzone są kierunki związane z cyberbezpieczeństwem i bezpieczeństwem narodowym, ale dotyczą one obszaru wojskowości i bezpieczeństwa państwa. Niniejsza kwalifikacja dotyczy cyberbezpieczeństwa w obszarze cywilnym, przemysłowym.

1. Weryfikacja.
Weryfikacja efektów uczenia się składa się z dwóch części: teoretycznej i praktycznej.
1.1. Metody.
Na etapie weryfikacji stosowane są wyłącznie następujące metody: Część pierwsza: test teoretyczny, Część druga: analiza dowodów i deklaracji, obserwacja w warunkach symulowanych połączona z rozmową z komisją. W części pierwszej do zestawu efektów uczenia się 01 stosuje się wyłącznie test teoretyczny. W części drugiej do zestawu efektów uczenia się 02 i 03 stosuje się wyłącznie: analizę dowodów i deklaracji w postaci portfolio oraz obserwację w warunkach symulowanych połączoną z rozmową z komisją. Metodą analizy dowodów i deklaracji weryfikowana jest umiejętność "Analizuje opracowany plan monitorowania i zapobiegania w zakresie zasobów ludzkich" z zestawu efektów uczenia się 02.
1.2. Zasoby kadrowe.
Komisja walidacyjna składa się z co najmniej trzech członków w tym przewodniczącego. Przewodniczący komisji walidacyjnej musi posiadać: - certyfikat CRP (Certified Reliability Professional) bądź inny z listy rozporządzenia Ministra Cyfryzacji z dnia 12 października 2018 r. w sprawie wykazu certyfikatów uprawniających do przeprowadzenia audytu; - stopień naukowy (8 PRK); - min. 3 lata udokumentowanego doświadczenia w przeprowadzaniu egzaminów zdobytego w okresie ostatnich 5 lat. Każdy z pozostałych członków komisji walidacyjnej musi spełniać następujące warunki: - kwalifikacja pełna z 7 PRK; - min. rok doświadczenia w przeprowadzaniu egzaminów. Ponadto co najmniej jeden z członków komisji walidacyjnej musi posiadać certyfikat szkolenia międzynarodowego w ośrodku zajmującym się cyberbezpieczeństwem przemysłowym.
1.3. Sposób organizacji walidacji oraz warunki organizacyjne i materialne.
Potwierdzenie efektów uczenia się w części pierwszej pozwala na dopuszczenie do części drugiej weryfikacji. Pozytywny wynik części pierwszej jest ważny przez 3 miesiące od daty jej zaliczenia. Instytucja certyfikująca musi zapewnić: laboratorium symulujące sieć przemysłową (min. 20 komputerów połączonych w sieć imitującą instalację przemysłową klasy SCADA lub DCS); narzędzia programistyczne do obliczeń niezawodnościowych 2 lub 3 parametrycznych.
2. Identyfikowanie i dokumentowanie.
Nie określa się wymogów dla etapu identyfikowania i dokumentowania efektów uczenia się.

Informacje zawarte we wniosku, jak również opinie otrzymane w ramach konsultacji, wykazały zgodność tych kwalifikacji z potrzebami społecznymi oraz z zapotrzebowaniem na rynku pracy.