Audyt bezpieczeństwa systemu niejawnego

← Powrót do przewodnika: Akredytacja systemu niejawnego

Audyt nie jest tym samym co kontrola. Kontrolę prowadzi organ zewnętrzny i jej wynik ma skutki formalne. Audyt jednostka organizuje sobie sama, po to żeby dowiedzieć się o problemach wcześniej niż kontrolujący.

Po co audytować akredytowany system

Akredytacja potwierdza stan z chwili oceny. Świadectwo wydaje się na czas określony, nie dłuższy niż 5 lat, a system przez ten czas żyje: przybywa użytkowników, zmienia się sprzęt, ludzie odchodzą i przychodzą.

Audyt odpowiada na jedno pytanie: czy system nadal jest tym systemem, który opisano w dokumentacji.

Ma to znaczenie praktyczne także dlatego, że w szczególnie uzasadnionych przypadkach ABW albo SKW może nakazać wstrzymanie przetwarzania informacji niejawnych w systemie, który akredytację posiada. Posiadanie świadectwa nie jest więc tarczą.

Kontrola pionu ochrony to obowiązek

Do zadań pełnomocnika ochrony art. 15 ustawy o ochronie informacji niejawnych zalicza między innymi kontrolę ochrony informacji niejawnych oraz przestrzegania przepisów o ich ochronie, a także zarządzanie ryzykiem bezpieczeństwa informacji niejawnych.

Audyt systemu teleinformatycznego jest naturalnym narzędziem realizacji tego zadania w odniesieniu do systemów.

Co sprawdza audytor

1. Zgodność stanu faktycznego z dokumentacją

Najważniejszy obszar i najczęstsze źródło uwag. Audytor porównuje opis z SWB z tym, co realnie stoi: liczbę stanowisk, konfigurację, lokalizację, listę użytkowników, wersje oprogramowania.

Rozjazd oznacza, że gdzieś po drodze pominięto obowiązek z art. 49 ust. 4, czyli szacowanie ryzyka przed zmianą.

2. Wykonalność procedur

Nie to, czy procedury istnieją, tylko czy da się je wykonać. Audytor wybiera kilka i sprawdza:

• czy wskazano osobę, która ma je realizować,
• czy opis postępowania jest instrukcją, a nie powtórzeniem zasady,
• czy istnieje miejsce, w którym zostaje ślad wykonania.

3. Ślady w ewidencji

Procedura bez śladu jest w praktyce procedurą niewykonaną. Audytor sprawdza dzienniki i rejestry: czy są prowadzone, czy wpisy są kompletne, czy daty się zgadzają.

4. Uprawnienia

Klasyczny obszar znalezisk. Konta osób, które zmieniły stanowisko albo odeszły z jednostki. Uprawnienia szersze niż wynikające z zasady wiedzy koniecznej. Konta współdzielone, przy których nie da się ustalić, kto wykonał czynność.

5. Nośniki

Zgodność ewidencji ze stanem faktycznym, oznaczenia, sposób przechowywania, procedura wycofania i niszczenia.

6. Aktualność szacowania ryzyka

Czy przeprowadzono je przy zmianach, czy wyniki są odnotowane, czy ryzyko szczątkowe zostało zaakceptowane przez kierownika jednostki, na którym zgodnie z art. 14 ust. 1 spoczywa odpowiedzialność za ochronę.

Jak się przygotować

Przed audytem warto zebrać w jednym miejscu:

• SWB i PBE w aktualnej wersji, z historią zmian,
• świadectwo akredytacji albo dokument zatwierdzenia dokumentacji przy klauzuli „zastrzeżone”,
• wyniki szacowania ryzyka wraz z akceptacją ryzyka szczątkowego,
• rejestr zmian w systemie,
• aktualną listę użytkowników i przypisanych uprawnień,
• ewidencję nośników,
• zaświadczenia o szkoleniach osób mających dostęp,
• zapisy z poprzednich audytów wraz z informacją, co zrobiono z uwagami.

Ostatnia pozycja bywa pomijana, a jest jedną z pierwszych, o które pyta audytor: uwaga powtórzona po roku waży więcej niż uwaga nowa.

Co zrobić z wynikiem

Raport ma sens tylko wtedy, gdy z każdej uwagi wynika czynność z terminem i osobą odpowiedzialną. Uwaga bez tych trzech elementów przechodzi do następnego audytu w niezmienionej postaci.

Warto też rozdzielić dwie kategorie: niezgodności, czyli rozjazd ze stanem wymaganym, oraz rekomendacje, czyli propozycje usprawnień. Mieszanie ich powoduje, że rzeczy obowiązkowe giną wśród dobrych rad.

Kiedy audytować

Rozsądny rytm to raz w roku oraz dodatkowo:

• po istotnej zmianie w systemie,
• po incydencie,
• na rok przed wygaśnięciem akredytacji, żeby zdążyć z ewentualnymi poprawkami przed nowym postępowaniem.

Ostatni termin jest najczęściej pomijany, a najbardziej opłacalny: dla klauzuli „poufne” i wyższej służba ma na rozstrzygnięcie 6 miesięcy od otrzymania kompletnej dokumentacji, więc czas na poprawki trzeba mieć wcześniej.

Podsumowanie

Audyt jest najtańszym momentem, w którym można się dowiedzieć, że system rozjechał się z dokumentacją. Każdy inny moment, w którym się to wychodzi, jest droższy: kontrola, incydent albo odmowa ponownej akredytacji.

Potrzebujecie audytu akredytowanego systemu albo przeglądu przed ponowną akredytacją? Napiszcie do nas.