Goście i interesanci w strefach ochronnych: zasady wstępu

Zasady wstępu gości i interesantów do stref ochronnych obejmują identyfikację osoby, sprawdzenie celu wizyty, wpis do rejestru, wydanie identyfikatora oraz nadzór nad jej przemieszczaniem się. Stawką nie jest sama formalność przy recepcji, tylko niedopuszczenie do sytuacji, w której osoba bez uprawnienia zobaczy dokument, ekran, rozmieszczenie zabezpieczeń albo pozostanie sama tam, gdzie przetwarza się informacje niejawne.

Podstawa i dokumenty wewnętrzne

Zasady ruchu osobowego wynikają z systemu ochrony informacji niejawnych, a nie z uznania portiera lub sekretariatu. Punktem wyjścia jest ustawa o ochronie informacji niejawnych oraz rozporządzenie w sprawie środków bezpieczeństwa fizycznego, które opisuje zabezpieczenia fizyczne, kontrolę dostępu i organizację stref.

W jednostce szczegóły powinny być wpisane do dokumentacji ochronnej. Najczęściej są to: plan ochrony informacji niejawnych, instrukcja dotycząca ruchu osobowego, regulamin stref, procedury kancelarii tajnej oraz, przy systemach teleinformatycznych, Szczególne Wymagania Bezpieczeństwa i Procedury Bezpiecznej Eksploatacji.

Przepis tworzy obowiązek ochrony, ale to dokumentacja jednostki mówi, czy gość zostawia telefon w depozycie, kto podpisuje zgodę na wejście serwisu i jak wygląda wzór przepustki. Jeżeli dokumentacja milczy, w czasie kontroli powstaje problem praktyczny: personel działa według przyzwyczajeń, a nie według zatwierdzonej procedury.

Zasady wstępu w skrócie

Pierwsza zasada jest prosta: osoba z zewnątrz nie wchodzi do strefy dlatego, że przyszła do konkretnego pracownika. Musi być ustalona potrzeba wejścia, zakres wejścia, osoba odpowiedzialna za przyjęcie oraz sposób nadzoru.

W praktyce należy odróżnić kilka sytuacji:

• interesant załatwiający sprawę administracyjną, który co do zasady powinien pozostać poza strefą,
• gość służbowy, na przykład przedstawiciel innej jednostki, audytor, wykonawca lub konsultant,
• pracownik jednostki bez dostępu do danej strefy, który nie staje się uprawniony tylko dlatego, że jest zatrudniony w tym samym budynku,
• serwis techniczny, w tym elektryk, informatyk, konserwator systemu alarmowego, sprzątanie i ochrona fizyczna,
• organ kontrolny, którego wejście trzeba obsłużyć zgodnie z kompetencjami organu i procedurą kontroli.

Sam dokument tożsamości nie daje prawa wejścia. Poświadczenie bezpieczeństwa też nie wystarcza, jeżeli nie ma potrzeby dostępu do konkretnego miejsca lub informacji. Ten drugi element to zasada wiedzy koniecznej, opisana szerzej w opracowaniu Zasada wiedzy koniecznej w codziennej pracy.

Kto za co odpowiada

Za zorganizowanie ochrony informacji niejawnych odpowiada kierownik jednostki. Pełnomocnik ochrony nadzoruje system ochrony, opiniuje procedury i powinien wiedzieć, jak faktycznie wygląda wejście do stref, a nie tylko jak opisano je w planie.

Pracownik przyjmujący gościa odpowiada za cel wizyty i za to, żeby gość nie poruszał się samodzielnie poza dopuszczonym zakresem. Recepcja, biuro przepustek albo służba ochrony wykonują czynności techniczne: identyfikują osobę, prowadzą rejestr, wydają identyfikator, informują opiekuna i kontrolują zwrot przepustki.

Kierownik kancelarii tajnej pilnuje zasad wejścia do pomieszczeń kancelarii i kontaktu osób postronnych z materiałami niejawnymi. Administrator systemu lub inspektor bezpieczeństwa teleinformatycznego powinni być włączeni, gdy wejście dotyczy serwerowni, stanowiska komputerowego, urządzeń sieciowych, nośników albo okablowania systemu niejawnego.

Nie należy przerzucać całej odpowiedzialności na ochronę fizyczną. Ochrona może zatrzymać osobę bez przepustki, ale nie oceni samodzielnie, czy wykonawca ma prawo widzieć pomieszczenie z szafą niejawną, czy tylko korytarz techniczny.

Identyfikacja i identyfikatory

Identyfikacja powinna nastąpić przed wejściem do strefy, a nie przy biurku pracownika. W praktyce sprawdza się dokument tożsamości, potwierdza zapowiedź wizyty i porównuje dane z listą osób zgłoszonych.

Identyfikator powinien jasno pokazywać status osoby. Najbezpieczniej stosować inne kolory lub oznaczenia dla pracowników, gości, serwisu i osób czasowo dopuszczonych. Jeżeli wszyscy noszą podobne karty, pracownicy przestają reagować na obcą osobę w strefie.

Identyfikator dla gościa nie powinien ujawniać więcej, niż potrzeba. W wielu jednostkach wystarcza numer przepustki, oznaczenie gość i ewentualnie data ważności. Umieszczanie na identyfikatorze nazwy projektu, klauzuli, numeru pomieszczenia albo informacji o systemie jest zbędnym ujawnianiem kontekstu.

Dobra praktyka to wydawanie przepustek jednorazowych albo czasowych, rozliczanych przy wyjściu. Jeżeli przepustka znika, nie powinno się czekać do końca dnia, tylko odnotować brak, sprawdzić ostatni zakres wejścia i ocenić, czy mogło dojść do naruszenia.

Rejestr wejść

Rejestr wejść ma dać odpowiedź na pięć pytań: kto wszedł, kiedy, do kogo, po co i kiedy wyszedł. Jeżeli po zdarzeniu nie da się tego ustalić, rejestr jest dekoracją, a nie środkiem bezpieczeństwa.

Typowy wpis powinien obejmować:

• imię i nazwisko osoby,
• podmiot, który reprezentuje,
• datę i godzinę wejścia,
• cel wizyty,
• osobę przyjmującą lub opiekuna,
• numer identyfikatora,
• zakres dopuszczonego miejsca, jeżeli jednostka tak to organizuje,
• godzinę wyjścia i potwierdzenie zwrotu identyfikatora.

Nie należy przepisywać do rejestru nadmiarowych danych z dokumentu tożsamości, jeżeli dokumentacja i przepisy o ochronie danych osobowych tego nie uzasadniają. W audytach często widać zeszyty z pełnymi numerami dokumentów, numerami telefonów, podpisami i danymi firmowymi, które potem leżą na recepcji bez kontroli dostępu.

Najczęstszy błąd to brak godzin wyjścia. Drugi to wpisy zbiorcze, na przykład serwis klimatyzacji, trzy osoby, bez nazwisk. Przy takim zapisie nie da się później ustalić, kto faktycznie przebywał w strefie.

Asysta i zakres poruszania się

Asysta oznacza realny nadzór nad osobą, nie wskazanie jej korytarza i powrót do własnej pracy. Opiekun powinien wiedzieć, do których pomieszczeń gość może wejść, gdzie nie może zaglądać i kiedy wizytę zakończyć.

W strefach, w których mogą być widoczne dokumenty, ekrany, tablice, schematy, rejestry albo urządzenia systemu niejawnego, asysta jest podstawowym środkiem ograniczenia przypadkowego ujawnienia. Przed wejściem trzeba zabezpieczyć materiały na biurkach, wygasić lub zablokować ekrany i usunąć z widoku nośniki.

Nie każdy gość z poświadczeniem bezpieczeństwa może poruszać się bez asysty. Jeżeli nie został formalnie dopuszczony do danej pracy, nie zna organizacji strefy i nie ma potrzeby dostępu do znajdujących się tam informacji, powinien być prowadzony tak jak każda osoba zewnętrzna.

Dobrą praktyką jest wyznaczanie tras dla gości i serwisu. Wtedy opiekun nie improwizuje, a sprzątanie, konserwacja i dostawy nie przechodzą obok kancelarii lub stanowisk, których nie dotyczą.

Urządzenia elektroniczne gości

Telefony, zegarki inteligentne, laptopy, tablety, dyktafony, aparaty, pendrive, modemy i prywatne nośniki są jednym z najczęstszych źródeł problemów. Wiele osób nie traktuje zegarka albo słuchawek jako urządzenia rejestrującego, dopóki nie padnie konkretne pytanie przy wejściu.

Zasada powinna być zapisana w dokumentacji: jakie urządzenia wolno wnieść, gdzie działa depozyt, kto może wyrazić zgodę na wyjątek i jak dokumentuje się taki wyjątek. Jeżeli urządzenie serwisowe jest konieczne do wykonania pracy, trzeba określić, czy może zostać podłączone, do czego, pod czyim nadzorem i czy po pracy sprawdza się ślady podłączeń.

W pomieszczeniach z systemem niejawnym nie wolno zakładać, że serwisant wie, czego nie dotykać. Zakaz podłączania obcych nośników, ładowarek, przewodów diagnostycznych i komputerów serwisowych powinien być powiedziany przed rozpoczęciem pracy, a nie po zauważeniu kabla w porcie USB. Temat kontroli dostępu technicznego jest omówiony osobno w tekście Kontrola dostępu do systemu niejawnego.

Depozyt urządzeń musi być zorganizowany tak, aby nie tworzyć drugiego ryzyka. Telefon zostawiony w otwartym pudełku na recepcji to problem ochrony danych, odpowiedzialności za mienie i wiarygodności procedury.

Sprzątanie i serwis

Sprzątanie jest często traktowane łagodniej niż wizyty służbowe, bo odbywa się codziennie i po godzinach. W ochronie informacji niejawnych jest odwrotnie: regularna obecność tej samej osoby w pustych pomieszczeniach daje większą możliwość zauważenia dokumentów, kluczy, kodów, układu zabezpieczeń i nawyków pracowników.

Personel sprzątający powinien mieć ustalony zakres wejścia, godziny pracy i sposób nadzoru. Jeżeli sprzątanie odbywa się po zakończeniu pracy, materiały niejawne muszą być zamknięte, ekrany wyłączone lub zablokowane, a pojemniki na odpady dobrane do zasad niszczenia dokumentów.

Serwis techniczny wymaga wcześniejszego przygotowania. Przed wejściem trzeba ustalić, które urządzenie będzie obsługiwane, czy praca wymaga zdjęcia obudowy, wejścia pod podłogę techniczną, dostępu do szaf, zasilania, klimatyzacji, monitoringu lub systemu kontroli dostępu.

Przy pracach budowlanych i instalacyjnych pułapką są osoby podmienione w ostatniej chwili. Na wejściu powinna być lista imienna, a nie tylko nazwa firmy wykonawczej. Jeżeli przychodzi inna osoba, decyzję o wpuszczeniu powinien podjąć wskazany pracownik, nie recepcja pod presją opóźnienia.

Co kontrola sprawdza najpierw

Podczas kontroli ABW, SKW albo audytu wewnętrznego ruch osobowy jest łatwy do zweryfikowania. Kontrolujący może porównać rejestr wejść z monitoringiem, przepustkami, książką kluczy, harmonogramem serwisu i obecnością osób w strefie.

Pierwsze pytania zwykle są praktyczne: kto może wpuścić gościa, gdzie jest instrukcja, jak wygląda identyfikator, co dzieje się z telefonem, kto prowadzi rejestr i czy da się odtworzyć wizytę sprzed kilku tygodni. Jeżeli odpowiedzi różnych pracowników są sprzeczne, dokumentacja traci wartość.

Typowe słabości wykrywane w audytach to:

• drzwi do strefy otwierane na zasadzie znajomości twarzy,
• pracownicy wpuszczający za sobą drugą osobę bez sprawdzenia przepustki,
• identyfikatory noszone w kieszeni albo odwrócone,
• brak odnotowania wyjścia,
• gość pozostawiony sam w pokoju narad,
• telefon wniesiony mimo zakazu, bo nikt nie zapytał o urządzenia,
• sprzątanie w pomieszczeniach, w których na biurkach leżą materiały,
• serwisanci poruszający się po budynku bez opiekuna,
• recepcja prowadząca rejestr w sposób nieczytelny albo z nadmiarem danych.

Przygotowanie do kontroli nie polega na dopisywaniu procedury dzień wcześniej. Lepiej raz przejść trasę gościa od wejścia do wyjścia i sprawdzić, czy każdy pracownik wie, co ma zrobić. Szerzej o organizacji jednostki przed kontrolą jest mowa w opracowaniu Kontrola ABW lub SKW w jednostce: jak się przygotować.

Gdy zasady zostaną naruszone

Nie każde uchybienie oznacza ujawnienie informacji niejawnych, ale każde trzeba ocenić. Inaczej jednostka nie wie, czy miała tylko błąd recepcji, czy realny dostęp osoby nieuprawnionej do informacji, urządzeń albo zabezpieczeń.

Działania powinny być szybkie i uporządkowane:

• zatrzymać lub odprowadzić osobę poza strefę,
• ustalić, gdzie przebywała i z kim miała kontakt,
• zabezpieczyć dokumenty, pomieszczenia, zapisy monitoringu i rejestry,
• poinformować pełnomocnika ochrony oraz przełożonego właściwej komórki,
• opisać zdarzenie w notatce służbowej,
• ocenić, czy doszło do naruszenia ochrony informacji niejawnych.

Jeżeli gość został sam w pomieszczeniu, wniósł urządzenie rejestrujące, miał dostęp do dokumentów albo podłączył sprzęt do systemu, sprawy nie należy zamykać ustnym pouczeniem. Taki przypadek może wymagać dalszych czynności wyjaśniających, opisanych w tekście Naruszenie ochrony informacji niejawnych: pierwsze kroki.

Granica odpowiedzi zależy od faktów. Inaczej ocenia się wejście interesanta do pustego korytarza, inaczej obecność serwisanta przy otwartej szafie z dokumentami, a jeszcze inaczej podłączenie obcego laptopa w pomieszczeniu systemu niejawnego.

Jak opisać procedurę bez nadmiaru

Procedura wejścia do strefy powinna być krótka, ale wykonywalna. Najlepiej sprawdza się opis kroków, ról i wyjątków, a nie ogólne zdanie, że wstęp odbywa się za zgodą osoby upoważnionej.

W dokumencie powinny znaleźć się co najmniej:

• kategorie osób wchodzących,
• tryb zgłaszania wizyty,
• miejsce identyfikacji,
• wzory lub rodzaje identyfikatorów,
• zasady rejestru wejść,
• obowiązek asysty i wyjątki,
• zasady wnoszenia urządzeń elektronicznych,
• postępowanie ze sprzątaniem i serwisem,
• sposób reagowania na naruszenie,
• osoba odpowiedzialna za przegląd procedury.

Dobrą praktyką jest załączenie prostego formularza zgłoszenia wizyty serwisowej i krótkiej instrukcji dla recepcji. Przy dużych jednostkach potrzebna może być osobna procedura dla kancelarii tajnej, serwerowni, stref kontrolowanych i pomieszczeń narad.

Nie należy wpisywać rozwiązań, których jednostka nie jest w stanie wykonać. Jeżeli procedura nakazuje depozyt telefonów, musi istnieć zamykany depozyt i osoba odpowiedzialna za jego obsługę. Jeżeli wymaga asysty przez cały czas, trzeba wskazać, kto zapewnia zastępstwo, gdy opiekun wychodzi na spotkanie lub kończy pracę.

Podsumowanie

Ruch osób zewnętrznych w strefach ochronnych trzeba zaprojektować od wejścia do wyjścia: identyfikacja, rejestr, identyfikator, asysta, ograniczenie urządzeń i rozliczenie wizyty. Największe ryzyko powstaje tam, gdzie wszyscy wiedzą, jak powinno być, ale nikt nie ma tego wpisanego w procedurę i sprawdzonego w praktyce.

Szczegóły zależą od klauzuli informacji, rodzaju strefy, planu ochrony, organizacji budynku, umów z wykonawcami i wymagań właściwego organu. W przypadkach granicznych decyzję powinien podjąć pełnomocnik ochrony, a przy systemach teleinformatycznych także osoby odpowiedzialne za bezpieczeństwo systemu.