Akredytacja systemu niejawnego: przebieg całego procesu

System teleinformatyczny, w którym mają być przetwarzane informacje niejawne, podlega akredytacji bezpieczeństwa teleinformatycznego. Bez niej nie wolno w nim przetwarzać takich informacji, niezależnie od tego, jak dobrze jest zabezpieczony.

Kto udziela akredytacji

Odpowiedź zależy od klauzuli i wynika z art. 48 ustawy z dnia 5 sierpnia 2010 r. o ochronie informacji niejawnych.

Klauzula „poufne” i wyższa. Akredytacji udziela ABW albo SKW, w zależności od tego, której służbie podlega jednostka.

Klauzula „zastrzeżone”. Zgodnie z art. 48 ust. 9 akredytacji udziela kierownik jednostki organizacyjnej, przez zatwierdzenie dokumentacji bezpieczeństwa systemu.

Ta różnica decyduje o całym harmonogramie. W pierwszym przypadku jednostka czeka na rozstrzygnięcie służby, w drugim odpowiedzialność zostaje w środku, ale nie znika.

Krok 1. Ustal najwyższą klauzulę

Zanim powstanie pierwszy dokument, trzeba wiedzieć, jaka jest najwyższa klauzula informacji, które będą przetwarzane. To ona wyznacza tryb i wymagania.

Częsty błąd polega na zaplanowaniu systemu „na zastrzeżone”, a potem dołożeniu jednego zbioru o klauzuli „poufne”. Zmienia to całą ścieżkę, łącznie z organem akredytującym.

Krok 2. Zaprojektuj system razem z SWB

Art. 49 ust. 2 wymaga, żeby dokument szczególnych wymagań bezpieczeństwa powstawał na etapie projektowania. Nie po zakupie sprzętu.

Na tym etapie SWB konsultuje się z ABW albo SKW. Konsultacja jest okazją, żeby wychwycić rozbieżność zanim cokolwiek zostanie kupione i zbudowane.

Krok 3. Przeprowadź szacowanie ryzyka

Wyniki szacowania ryzyka są obowiązkowym elementem SWB na mocy art. 49 ust. 1. Nie opis metody, tylko wyniki: zagrożenia, podatności, poziomy ryzyka i decyzje.

Krok 4. Zbuduj system i napisz PBE

Dokument procedur bezpiecznej eksploatacji opracowuje się na etapie wdrażania, co wynika z art. 49 ust. 3. Powstaje więc równolegle z uruchamianiem systemu, a nie po jego zakończeniu.

Krok 5. Złóż dokumentację

Za opracowanie i przekazanie dokumentacji bezpieczeństwa systemu odpowiada kierownik jednostki organizacyjnej, w której system będzie funkcjonował.

To moment, w którym zaczyna się liczyć czas, ale tylko wtedy, gdy dokumentacja jest kompletna.

Krok 6. Postępowanie i zalecenia

Dla klauzuli „poufne” i wyższej ABW albo SKW udziela akredytacji albo jej odmawia w terminie 6 miesięcy od otrzymania kompletnej dokumentacji bezpieczeństwa systemu.

Po drodze może pojawić się etap, o którym łatwo zapomnieć przy planowaniu. Zgodnie z art. 48 ust. 12 służba może w ciągu 30 dni od otrzymania dokumentacji przedstawić kierownikowi jednostki zalecenia dotyczące dodatkowych czynności związanych z bezpieczeństwem. Kierownik ma następnie 30 dni na poinformowanie o ich realizacji.

Warto ten miesiąc uwzględnić w harmonogramie z góry, bo zalecenia potrafią dotyczyć zmian technicznych, a nie samych zapisów.

Krok 7. Świadectwo akredytacji

Potwierdzeniem udzielenia akredytacji jest świadectwo akredytacji bezpieczeństwa systemu teleinformatycznego, o którym mowa w art. 48 ust. 5.

Akredytacji udziela się na czas określony, nie dłuższy niż 5 lat. To nie jest dokument bezterminowy i data ważności powinna trafić do kalendarza jednostki w dniu jego wydania, a nie na kilka tygodni przed końcem.

Co się dzieje po akredytacji

Akredytacja nie kończy sprawy. Art. 49 ust. 4 wiąże każdą zmianę w systemie z ponownym szacowaniem ryzyka, a dokumentacja podlega modyfikacji przed wprowadzeniem zmian.

Warto też wiedzieć, że w szczególnie uzasadnionych przypadkach ABW albo SKW może nakazać wstrzymanie przetwarzania informacji niejawnych w systemie, który akredytację posiada. Posiadanie świadectwa nie zwalnia więc z utrzymywania stanu opisanego w dokumentacji.

Najczęstsze przyczyny opóźnień

Dokumentacja niekompletna. Sześciomiesięczny termin biegnie od kompletnej dokumentacji, więc braki formalne przesuwają jego początek, a nie zatrzymują zegar.

SWB pisane po wdrożeniu. Rozbieżności wykryte na tym etapie kosztują przebudowę zamiast decyzji projektowej.

Nieuwzględnione zalecenia. Dwa razy po 30 dni to dwa miesiące, których nie było w pierwotnym planie.

Zmiana klauzuli w trakcie projektu. Zmienia tryb, organ i wymagania jednocześnie.

Podsumowanie

Akredytacja jest procesem rozpisanym na cały cykl życia systemu, a nie formalnością na końcu wdrożenia. Największy wpływ na jej przebieg ma decyzja podjęta najwcześniej: określenie najwyższej klauzuli i napisanie SWB wtedy, gdy system istnieje jeszcze tylko na papierze.

Planujecie akredytację albo utknęliście na którymś etapie? Napiszcie do nas, bezpłatnie ocenimy, na jakim etapie realnie jesteście.