Audyt bezpieczeństwa systemu niejawnego
← Powrót do przewodnika: Akredytacja systemu niejawnego
Audyt nie jest tym samym co kontrola. Kontrolę prowadzi organ zewnętrzny i jej wynik ma skutki formalne. Audyt jednostka organizuje sobie sama, po to żeby dowiedzieć się o problemach wcześniej niż kontrolujący.
Po co audytować akredytowany system
Akredytacja potwierdza stan z chwili oceny. Świadectwo wydaje się na czas określony, nie dłuższy niż 5 lat, a system przez ten czas żyje: przybywa użytkowników, zmienia się sprzęt, ludzie odchodzą i przychodzą.
Audyt odpowiada na jedno pytanie: czy system nadal jest tym systemem, który opisano w dokumentacji.
Ma to znaczenie praktyczne także dlatego, że w szczególnie uzasadnionych przypadkach ABW albo SKW może nakazać wstrzymanie przetwarzania informacji niejawnych w systemie, który akredytację posiada. Posiadanie świadectwa nie jest więc tarczą.
Kontrola pionu ochrony to obowiązek
Do zadań pełnomocnika ochrony art. 15 ustawy o ochronie informacji niejawnych zalicza między innymi kontrolę ochrony informacji niejawnych oraz przestrzegania przepisów o ich ochronie, a także zarządzanie ryzykiem bezpieczeństwa informacji niejawnych.
Audyt systemu teleinformatycznego jest naturalnym narzędziem realizacji tego zadania w odniesieniu do systemów.
Co sprawdza audytor
1. Zgodność stanu faktycznego z dokumentacją
Najważniejszy obszar i najczęstsze źródło uwag. Audytor porównuje opis z SWB z tym, co realnie stoi: liczbę stanowisk, konfigurację, lokalizację, listę użytkowników, wersje oprogramowania.
Rozjazd oznacza, że gdzieś po drodze pominięto obowiązek z art. 49 ust. 4, czyli szacowanie ryzyka przed zmianą.
2. Wykonalność procedur
Nie to, czy procedury istnieją, tylko czy da się je wykonać. Audytor wybiera kilka i sprawdza:
- czy wskazano osobę, która ma je realizować,
- czy opis postępowania jest instrukcją, a nie powtórzeniem zasady,
- czy istnieje miejsce, w którym zostaje ślad wykonania.
3. Ślady w ewidencji
Procedura bez śladu jest w praktyce procedurą niewykonaną. Audytor sprawdza dzienniki i rejestry: czy są prowadzone, czy wpisy są kompletne, czy daty się zgadzają.
4. Uprawnienia
Klasyczny obszar znalezisk. Konta osób, które zmieniły stanowisko albo odeszły z jednostki. Uprawnienia szersze niż wynikające z zasady wiedzy koniecznej. Konta współdzielone, przy których nie da się ustalić, kto wykonał czynność.
5. Nośniki
Zgodność ewidencji ze stanem faktycznym, oznaczenia, sposób przechowywania, procedura wycofania i niszczenia.
6. Aktualność szacowania ryzyka
Czy przeprowadzono je przy zmianach, czy wyniki są odnotowane, czy ryzyko szczątkowe zostało zaakceptowane przez kierownika jednostki, na którym zgodnie z art. 14 ust. 1 spoczywa odpowiedzialność za ochronę.
Jak się przygotować
Przed audytem warto zebrać w jednym miejscu:
- SWB i PBE w aktualnej wersji, z historią zmian,
- świadectwo akredytacji albo dokument zatwierdzenia dokumentacji przy klauzuli „zastrzeżone”,
- wyniki szacowania ryzyka wraz z akceptacją ryzyka szczątkowego,
- rejestr zmian w systemie,
- aktualną listę użytkowników i przypisanych uprawnień,
- ewidencję nośników,
- zaświadczenia o szkoleniach osób mających dostęp,
- zapisy z poprzednich audytów wraz z informacją, co zrobiono z uwagami.
Ostatnia pozycja bywa pomijana, a jest jedną z pierwszych, o które pyta audytor: uwaga powtórzona po roku waży więcej niż uwaga nowa.
Co zrobić z wynikiem
Raport ma sens tylko wtedy, gdy z każdej uwagi wynika czynność z terminem i osobą odpowiedzialną. Uwaga bez tych trzech elementów przechodzi do następnego audytu w niezmienionej postaci.
Warto też rozdzielić dwie kategorie: niezgodności, czyli rozjazd ze stanem wymaganym, oraz rekomendacje, czyli propozycje usprawnień. Mieszanie ich powoduje, że rzeczy obowiązkowe giną wśród dobrych rad.
Kiedy audytować
Rozsądny rytm to raz w roku oraz dodatkowo:
- po istotnej zmianie w systemie,
- po incydencie,
- na rok przed wygaśnięciem akredytacji, żeby zdążyć z ewentualnymi poprawkami przed nowym postępowaniem.
Ostatni termin jest najczęściej pomijany, a najbardziej opłacalny: dla klauzuli „poufne” i wyższej służba ma na rozstrzygnięcie 6 miesięcy od otrzymania kompletnej dokumentacji, więc czas na poprawki trzeba mieć wcześniej.
Podsumowanie
Audyt jest najtańszym momentem, w którym można się dowiedzieć, że system rozjechał się z dokumentacją. Każdy inny moment, w którym się to wychodzi, jest droższy: kontrola, incydent albo odmowa ponownej akredytacji.
Potrzebujecie audytu akredytowanego systemu albo przeglądu przed ponowną akredytacją? Napiszcie do nas. Robimy przegląd jednostki przed kontrolą: na czym polega.
