Akredytacja systemu niejawnego: przebieg całego procesu
System teleinformatyczny, w którym mają być przetwarzane informacje niejawne, podlega akredytacji bezpieczeństwa teleinformatycznego. Bez niej nie wolno w nim przetwarzać takich informacji, niezależnie od tego, jak dobrze jest zabezpieczony.
Kto udziela akredytacji
Odpowiedź zależy od klauzuli i wynika z art. 48 ustawy z dnia 5 sierpnia 2010 r. o ochronie informacji niejawnych.
Klauzula „poufne” i wyższa. Akredytacji udziela ABW albo SKW, w zależności od tego, której służbie podlega jednostka.
Klauzula „zastrzeżone”. Zgodnie z art. 48 ust. 9 akredytacji udziela kierownik jednostki organizacyjnej, przez zatwierdzenie dokumentacji bezpieczeństwa systemu.
Ta różnica decyduje o całym harmonogramie. W pierwszym przypadku jednostka czeka na rozstrzygnięcie służby, w drugim odpowiedzialność zostaje w środku, ale nie znika.
Krok 1. Ustal najwyższą klauzulę
Zanim powstanie pierwszy dokument, trzeba wiedzieć, jaka jest najwyższa klauzula informacji, które będą przetwarzane. To ona wyznacza tryb i wymagania.
Częsty błąd polega na zaplanowaniu systemu „na zastrzeżone”, a potem dołożeniu jednego zbioru o klauzuli „poufne”. Zmienia to całą ścieżkę, łącznie z organem akredytującym.
Krok 2. Zaprojektuj system razem z SWB
Art. 49 ust. 2 wymaga, żeby dokument szczególnych wymagań bezpieczeństwa powstawał na etapie projektowania. Nie po zakupie sprzętu.
Na tym etapie SWB konsultuje się z ABW albo SKW. Konsultacja jest okazją, żeby wychwycić rozbieżność zanim cokolwiek zostanie kupione i zbudowane.
Krok 3. Przeprowadź szacowanie ryzyka
Wyniki szacowania ryzyka są obowiązkowym elementem SWB na mocy art. 49 ust. 1. Nie opis metody, tylko wyniki: zagrożenia, podatności, poziomy ryzyka i decyzje.
Krok 4. Zbuduj system i napisz PBE
Dokument procedur bezpiecznej eksploatacji opracowuje się na etapie wdrażania, co wynika z art. 49 ust. 3. Powstaje więc równolegle z uruchamianiem systemu, a nie po jego zakończeniu.
Krok 5. Złóż dokumentację
Za opracowanie i przekazanie dokumentacji bezpieczeństwa systemu odpowiada kierownik jednostki organizacyjnej, w której system będzie funkcjonował.
To moment, w którym zaczyna się liczyć czas, ale tylko wtedy, gdy dokumentacja jest kompletna.
Krok 6. Postępowanie i zalecenia
Dla klauzuli „poufne” i wyższej ABW albo SKW udziela akredytacji albo jej odmawia w terminie 6 miesięcy od otrzymania kompletnej dokumentacji bezpieczeństwa systemu.
Terminy zaleceń z art. 48 ust. 12 dotyczą systemów „zastrzeżone” akredytowanych przez kierownika, po przekazaniu dokumentacji służbie. Przy systemie „poufne” lub wyższym odrębnie działa art. 49 ust. 8: ocena dokumentacji przez ABW albo SKW w ciągu 30 dni od jej otrzymania, z możliwością przedłużenia o kolejne 30 dni w uzasadnionych przypadkach. To nie jest termin wydania świadectwa; dla akredytacji art. 48 ust. 4 przewiduje 6 miesięcy od kompletnej dokumentacji i możliwość przedłużenia o kolejne 6 miesięcy.
Warto ten miesiąc uwzględnić w harmonogramie z góry, bo zalecenia potrafią dotyczyć zmian technicznych, a nie samych zapisów.
Krok 7. Świadectwo akredytacji
Potwierdzeniem udzielenia akredytacji jest świadectwo akredytacji bezpieczeństwa systemu teleinformatycznego, o którym mowa w art. 48 ust. 5.
Akredytacji udziela się na czas określony, nie dłuższy niż 5 lat. To nie jest dokument bezterminowy i data ważności powinna trafić do kalendarza jednostki w dniu jego wydania, a nie na kilka tygodni przed końcem.
Co się dzieje po akredytacji
Akredytacja nie kończy sprawy. Art. 49 ust. 4 wiąże każdą zmianę w systemie z ponownym szacowaniem ryzyka, a dokumentacja podlega modyfikacji przed wprowadzeniem zmian.
Warto też wiedzieć, że w szczególnie uzasadnionych przypadkach ABW albo SKW może nakazać wstrzymanie przetwarzania informacji niejawnych w systemie, który akredytację posiada. Posiadanie świadectwa nie zwalnia więc z utrzymywania stanu opisanego w dokumentacji.
Najczęstsze przyczyny opóźnień
Dokumentacja niekompletna. Sześciomiesięczny termin biegnie od kompletnej dokumentacji, więc braki formalne przesuwają jego początek, a nie zatrzymują zegar.
SWB pisane po wdrożeniu. Rozbieżności wykryte na tym etapie kosztują przebudowę zamiast decyzji projektowej.
Nieuwzględnione zalecenia. Dwa razy po 30 dni to dwa miesiące, których nie było w pierwotnym planie.
Zmiana klauzuli w trakcie projektu. Zmienia tryb, organ i wymagania jednocześnie.
Podsumowanie
Akredytacja jest procesem rozpisanym na cały cykl życia systemu, a nie formalnością na końcu wdrożenia. Największy wpływ na jej przebieg ma decyzja podjęta najwcześniej: określenie najwyższej klauzuli i napisanie SWB wtedy, gdy system istnieje jeszcze tylko na papierze.
Planujecie akredytację albo utknęliście na którymś etapie? Napiszcie do nas, bezpłatnie ocenimy, na jakim etapie realnie jesteście. Prowadzimy jednostki przez ten proces: zakres usługi akredytacyjnej.
