Akredytacja systemu o klauzuli zastrzeżone
← Powrót do przewodnika: Akredytacja systemu niejawnego
Systemy przetwarzające informacje o klauzuli „zastrzeżone” idą inną drogą niż pozostałe. Droga jest krótsza, ale bywa myląca: skrócenie dotyczy procedury, a nie wymagań.
Kto udziela akredytacji
Art. 48 ust. 9 ustawy o ochronie informacji niejawnych stanowi, że akredytacji bezpieczeństwa teleinformatycznego dla systemu przeznaczonego do przetwarzania informacji niejawnych o klauzuli „zastrzeżone” udziela kierownik jednostki organizacyjnej.
Robi to przez zatwierdzenie dokumentacji bezpieczeństwa systemu.
Dla porównania: dla klauzuli „poufne” i wyższej akredytacji udziela ABW albo SKW, a potwierdzeniem jest świadectwo akredytacji wydane przez służbę.
Co to zmienia, a czego nie zmienia
Zmienia się organ i tryb. Nie ma wniosku do służby, nie ma sześciomiesięcznego postępowania, nie ma świadectwa wydanego z zewnątrz.
Nie zmienia się dokumentacja. System nadal potrzebuje SWB i PBE, a ich zawartość określa art. 49 tak samo jak dla klauzul wyższych. SWB nadal musi zawierać wyniki szacowania ryzyka, powstaje na etapie projektowania i podlega modyfikacji przed zmianami w systemie.
Nie zmienia się odpowiedzialność. Za ochronę informacji niejawnych w jednostce odpowiada kierownik, co wynika z art. 14 ust. 1 ustawy. Przy klauzuli „zastrzeżone” ta odpowiedzialność jest widoczna wprost: to on podpisuje dokument, który dopuszcza system do pracy.
Pułapka pierwsza: to nie jest formalność
Zatwierdzenie dokumentacji przez kierownika bywa traktowane jak podpisanie pisma przygotowanego przez informatyka. Tymczasem jest to decyzja o dopuszczeniu systemu do przetwarzania informacji niejawnych, podejmowana na własną odpowiedzialność, bez zewnętrznej weryfikacji.
Brak oceny przez służbę oznacza, że nikt z zewnątrz nie wychwyci błędu przed uruchomieniem. Wychwyci go dopiero kontrola albo incydent.
Pułapka druga: klauzula ma tendencję do wzrostu
System zaprojektowany „na zastrzeżone” bywa po jakimś czasie używany do przetwarzania pojedynczych dokumentów o klauzuli „poufne”, bo akurat było wygodnie.
To zmienia wszystko: organ akredytujący, tryb, wymagania. System bez akredytacji ABW albo SKW nie może przetwarzać informacji o klauzuli „poufne” i wyższej, niezależnie od tego, jak dobrze jest zabezpieczony.
Warto ustalić to na wejściu i zapisać w SWB wprost: jaka jest najwyższa dopuszczalna klauzula w tym systemie.
Pułapka trzecia: pominięcie obowiązków po akredytacji
Akredytacja kierownika nie kończy kontaktu ze służbą. Zgodnie z art. 48 ust. 11 w ciągu 30 dni od jej udzielenia kierownik przekazuje dokumentację bezpieczeństwa systemu ABW albo SKW. Służba może w ciągu 30 dni od otrzymania dokumentacji przedstawić zalecenia, a kierownik w ciągu 30 dni od otrzymania zaleceń informuje o ich realizacji (ust. 12). W szczególnie uzasadnionych przypadkach służba może nakazać wstrzymanie przetwarzania.
Akredytacji także dla „zastrzeżone” udziela się na czas określony, nie dłuższy niż 5 lat (art. 48 ust. 2). Dokumentacja musi pozostawać aktualna, a wszelkie zmiany w systemie wymagają uprzedniego szacowania ryzyka zgodnie z art. 49 ust. 4.
Co zrobić, żeby to działało
Zapisz w SWB najwyższą dopuszczalną klauzulę i traktuj ją jak granicę systemu, a nie sugestię.
Zaplanuj terminy ustawowe i przeglądy. Wpisz do kalendarza przekazanie dokumentacji, obsługę zaleceń i koniec akredytacji. Dodatkowy przegląd raz w roku oraz po zmianach jest zaleceniem organizacyjnym; nie zastępuje tych obowiązków.
Wpisz aktualizację dokumentacji do procedury zmian. Wtedy obowiązek z art. 49 ust. 4 uruchamia się sam, a nie z czyjejś pamięci.
Nie pisz dokumentacji sam dla siebie. Skoro nikt z zewnątrz jej nie oceni przed uruchomieniem, warto, żeby przeczytał ją ktoś, kto systemu nie budował.
Podsumowanie
Dla „zastrzeżone” akredytacji udziela kierownik przez zatwierdzenie dokumentacji. Zachowuje obowiązki przekazania dokumentacji służbie, realizacji zaleceń, aktualizacji i kontroli terminu akredytacji. Wymagania i dobór zabezpieczeń muszą odpowiadać temu systemowi; nie są automatycznie identyczne z wymaganiami dla wyższych klauzul.
Uruchamiacie system o klauzuli zastrzeżone albo chcecie sprawdzić dokumentację przed zatwierdzeniem? Napiszcie do nas. Budujemy takie stanowiska od doboru sprzętu po akredytację: zakres usługi.
