Dokumentacja SWB i PBE: co musi zawierać i kto ją zatwierdza

System teleinformatyczny, w którym mają być przetwarzane informacje niejawne, nie zacznie legalnie działać bez dwóch dokumentów. Nie są one załącznikiem do wniosku ani formalnością na koniec wdrożenia. To one opisują, dlaczego system w ogóle wolno uruchomić, i to je ocenia służba przed wydaniem akredytacji.

Dwa dokumenty, nie jeden

Na dokumentację bezpieczeństwa systemu teleinformatycznego składają się:

• SWB, czyli dokument szczególnych wymagań bezpieczeństwa,
• PBE, czyli dokument procedur bezpiecznej eksploatacji.

Podział nie jest redakcyjny. SWB odpowiada na pytanie co i dlaczego: jakie ryzyka zidentyfikowano i jakimi środkami jednostka zamierza je opanować. PBE odpowiada na pytanie jak: co konkretnie ma zrobić człowiek siedzący przy stanowisku, kiedy zakłada konto, wynosi nośnik albo kończy pracę.

Najczęstszy błąd polega na napisaniu dwóch dokumentów, które mówią to samo dwa razy. Drugi najczęstszy to napisanie samego SWB i uznanie, że procedury „wynikają z niego wprost”.

Co musi zawierać SWB

Zawartość dokumentu określa art. 49 ust. 1 ustawy z dnia 5 sierpnia 2010 r. o ochronie informacji niejawnych:

Dokument szczególnych wymagań bezpieczeństwa systemu teleinformatycznego powinien zawierać w szczególności wyniki procesu szacowania ryzyka dla bezpieczeństwa informacji niejawnych przetwarzanych w systemie teleinformatycznym oraz określać przyjęte w ramach zarządzania ryzykiem sposoby osiągania i utrzymywania odpowiedniego poziomu bezpieczeństwa systemu, a także opisywać aspekty jego budowy, zasady działania i eksploatacji, które mają związek z bezpieczeństwem systemu lub wpływają na jego bezpieczeństwo.

Z tego jednego zdania wynikają cztery obowiązkowe części dokumentu.

Wyniki szacowania ryzyka. Nie sama deklaracja, że ryzyko oszacowano, lecz wyniki. Dokument bez tej części jest niekompletny niezależnie od tego, jak dobrze opisuje resztę.

Sposoby osiągania i utrzymywania poziomu bezpieczeństwa. Ustawa wiąże je wprost z zarządzaniem ryzykiem. Każdy zastosowany środek powinien dawać się przypisać do ryzyka, które ogranicza. Środek bez ryzyka jest kosztem bez uzasadnienia, ryzyko bez środka jest luką.

Aspekty budowy systemu. Konfiguracja, granice systemu, powiązania z otoczeniem.

Zasady działania i eksploatacji. Ale tylko te, które mają związek z bezpieczeństwem lub na nie wpływają. Ustawa nie każe opisywać systemu w całości.

Zwrot „w szczególności” oznacza, że jest to katalog minimalny. Służba może oczekiwać więcej, jeśli charakter systemu tego wymaga.

Kiedy powstaje który dokument

Art. 49 ust. 2 i 3 wiąże oba dokumenty z cyklem życia systemu, a nie z kalendarzem projektu.

SWB opracowuje się na etapie projektowania. Nie po zbudowaniu systemu. Dokument konsultuje się z ABW albo SKW, uzupełnia na etapie wdrażania i modyfikuje na etapie eksploatacji, przed wprowadzeniem zmian w systemie.

PBE opracowuje się na etapie wdrażania i modyfikuje przed zmianami w systemie.

Kolejność ma znaczenie praktyczne. SWB pisane po fakcie przestaje być projektem bezpieczeństwa, a staje się opisem tego, co już stoi, razem z błędami, których na etapie projektowania dałoby się uniknąć bez kosztów.

Zmiana w systemie zaczyna się od ryzyka

Art. 49 ust. 4 stawia warunek, o którym najłatwiej zapomnieć w codziennej eksploatacji: podstawą dokonywania jakichkolwiek zmian w systemie jest przeprowadzenie procesu szacowania ryzyka.

Nie „zaleca się”. Wymiana serwera, dołożenie stanowiska, zmiana wersji oprogramowania zabezpieczającego, podłączenie nowego urządzenia peryferyjnego: każda z tych czynności powinna być poprzedzona ponownym spojrzeniem na ryzyko i, jeśli trzeba, aktualizacją dokumentacji.

Osiem elementów każdej procedury

PBE nie jest jednym ciągłym tekstem, tylko zbiorem tematycznie wyodrębnionych procedur wdrażających zasady zapisane w SWB. Każda procedura powinna dać się przeczytać osobno przez osobę, która ma ją wykonać.

Praktyka postępowań akredytacyjnych wypracowała stały układ pojedynczej procedury:

1. tytuł jednoznacznie wskazujący czynność,
2. przedmiot i cel,
3. osoby realizujące procedurę,
4. dokumenty związane,
5. wprowadzenie,
6. opis postępowania,
7. załączniki,
8. podpisy osoby sporządzającej i zatwierdzającej.

Punkt trzeci decyduje o tym, czy procedura jest wykonalna. Zapis „procedurę realizuje uprawniony pracownik” nie wskazuje nikogo. Wskazanie funkcji, na przykład inspektora bezpieczeństwa teleinformatycznego albo administratora systemu, wskazuje konkretną osobę w konkretnej jednostce.

Kto to podpisuje i dokąd trafia

Za ochronę informacji niejawnych w jednostce odpowiada kierownik jednostki organizacyjnej, co wynika z art. 14 ust. 1 ustawy. To on odpowiada za zorganizowanie i funkcjonowanie tej ochrony, więc to po jego stronie leży doprowadzenie dokumentacji do postaci, którą można złożyć.

Bezpośrednio kierownikowi podlega pełnomocnik do spraw ochrony informacji niejawnych, a do jego zadań art. 15 ustawy zalicza między innymi zapewnienie ochrony systemów teleinformatycznych oraz zarządzanie ryzykiem bezpieczeństwa informacji niejawnych. W praktyce to pełnomocnik i inspektor bezpieczeństwa teleinformatycznego przygotowują treść, a kierownik ją zatwierdza.

Kompletna dokumentacja trafia do ABW albo SKW, w zależności od tego, której służbie podlega jednostka. To ta sama służba, która następnie udziela akredytacji na podstawie art. 48 ustawy.

Terminy, o których warto wiedzieć wcześniej

Akredytacji udziela się na czas określony, nie dłuższy niż 5 lat. Dla systemów o klauzuli „poufne” i wyższej akredytacji udziela ABW albo SKW, które mają na rozstrzygnięcie 6 miesięcy od otrzymania kompletnej dokumentacji.

Sześć miesięcy liczy się od dokumentacji kompletnej. Braki formalne nie zatrzymują zegara, tylko przesuwają jego start. To najczęstsza przyczyna rozjazdu między harmonogramem projektu a rzeczywistością.

Podsumowanie

SWB opisuje ryzyko i sposób jego opanowania, PBE zamienia to na czynności do wykonania. Oba dokumenty mają swoje miejsce w cyklu życia systemu i oba żyją razem z nim: każda zmiana zaczyna się od szacowania ryzyka, a nie od zamówienia sprzętu.

Jeśli przygotowujecie system do akredytacji albo dokumentacja wróciła do poprawy, napiszcie do nas. Bezpłatnie ocenimy zakres prac i powiemy, na jakim etapie realnie jesteście.