Inspektor bezpieczeństwa teleinformatycznego: rola i wymagania

← Powrót do przewodnika: Pion ochrony

Inspektor bezpieczeństwa teleinformatycznego jest funkcją kontrolną wewnątrz pionu ochrony. Ta jedna cecha wyjaśnia większość praktycznych rozstrzygnięć wokół tego stanowiska.

Skąd bierze się ta funkcja

Do zadań pełnomocnika ochrony art. 15 ustawy o ochronie informacji niejawnych należy zapewnienie ochrony systemów teleinformatycznych, w których przetwarzane są informacje niejawne, oraz kontrola przestrzegania przepisów o ochronie tych informacji.

Sama funkcja ma jednak własną podstawę. Art. 52 ust. 1 pkt 1 ustawy nakazuje kierownikowi jednostki wyznaczyć pracownika lub pracowników pionu ochrony pełniących funkcję inspektora bezpieczeństwa teleinformatycznego, odpowiedzialnych za weryfikację i bieżącą kontrolę zgodności funkcjonowania systemu ze szczególnymi wymaganiami bezpieczeństwa oraz przestrzegania procedur bezpiecznej eksploatacji.

Dwie rzeczy wynikają z tego wprost: inspektor musi być pracownikiem pionu ochrony, a jego zadaniem jest kontrola, nie eksploatacja.

Czym się zajmuje

Bieżąca kontrola zgodności systemu ze SWB i PBE. To jest zadanie podstawowe: sprawdzanie, czy system nadal jest tym systemem, który opisano w dokumentacji.

Udział w tworzeniu dokumentacji. Inspektor jest naturalnym współautorem SWB w części technicznej i procedur PBE.

Nadzór nad eksploatacją. Przegląd rejestrów zdarzeń, kontrola uprawnień, kontrola postępowania z nośnikami.

Udział w szacowaniu ryzyka, w szczególności przy zmianach w systemie, które art. 49 ust. 4 wiąże z obowiązkiem przeprowadzenia tego procesu.

Reagowanie na incydenty w części dotyczącej systemu: wykrycie, zarejestrowanie, zgłoszenie pełnomocnikowi.

Relacja z administratorem systemu

To jest sedno i najczęstsze źródło błędów organizacyjnych.

Administrator wykonuje. Konfiguruje, zakłada konta, aktualizuje, wykonuje kopie.

Inspektor sprawdza. Kontroluje, czy to, co administrator zrobił, zgadza się z dokumentacją i z regułami.

Połączenia tych funkcji zakazuje sam przepis: art. 52 ust. 1 pkt 2 definiuje administratora systemu jako osobę lub zespół osób niepełniących funkcji inspektora bezpieczeństwa teleinformatycznego.

Powód jest zresztą oczywisty. Połączenie znosi kontrolę, bo nikt nie kontroluje sam siebie skutecznie. To nie jest zarzut wobec konkretnej osoby, tylko właściwość każdego układu, w którym wykonawca ocenia własną pracę.

W małych jednostkach rozwiązaniem bywa powierzenie funkcji inspektora osobie z innej komórki albo wsparcie z zewnątrz. Rezygnacja z podziału jest rozwiązaniem najgorszym, bo w dokumentacji wygląda poprawnie, a w praktyce nie działa.

Wymagania wobec kandydata

Art. 52 ust. 4 odsyła tu do wymagań z art. 16, czyli tych samych, które obowiązują każdego pracownika pionu ochrony.

Obywatelstwo polskie, z wyjątkiem pracowników pionu ochrony zatrudnionych u przedsiębiorców.

Odpowiednie poświadczenie bezpieczeństwa albo upoważnienie, o którym mowa w art. 21 ust. 4 pkt 1. Poświadczenie nie jest więc bezwzględnie konieczne, jeżeli system przetwarza wyłącznie informacje o klauzuli „zastrzeżone”.

Zaświadczenie o przeszkoleniu z zakresu ochrony informacji niejawnych, a ponadto, już na podstawie art. 52 ust. 4, specjalistyczne szkolenie z zakresu bezpieczeństwa teleinformatycznego prowadzone przez ABW albo SKW. Tego szkolenia nie zastąpi kurs komercyjny.

Wiedza techniczna pozwalająca ocenić stan systemu, a nie tylko przeczytać dokumentację.

Ostatni punkt nie wynika z przepisu, tylko z natury zadania. Inspektor bez rozumienia technicznego przepisuje uwagi, zamiast wykrywać rozbieżności.

Co powinno zostawać po jego pracy

Kontrola bez śladu jest kontrolą, której nie było. Praktyczne minimum to:

• rejestr przeglądów z datą, zakresem i wynikiem,
• zapisy z przeglądu rejestrów zdarzeń,
• wyniki kontroli uprawnień, w tym lista kont zakwestionowanych,
• udokumentowany udział w szacowaniu ryzyka przy zmianach,
• zgłoszenia incydentów wraz z tym, co się z nimi dalej stało.

Te zapisy są też pierwszą rzeczą, o którą pyta kontrola zewnętrzna, bo pokazują, czy nadzór istnieje naprawdę.

Zastępstwo

Funkcja kontrolna nie może zniknąć na czas urlopu. Zastępca potrzebuje takich samych uprawnień i szkoleń, a jego wyznaczenie powinno być pisemne.

Rozwiązanie „na czas nieobecności inspektora jego zadania przejmuje administrator” jest dokładnie tym połączeniem funkcji, którego należy unikać.

Podsumowanie

Inspektor bezpieczeństwa teleinformatycznego jest okiem pionu ochrony wewnątrz systemu: sprawdza, czy stan faktyczny odpowiada dokumentacji, i zostawia po sobie zapisy. Kluczowa zasada organizacyjna jest jedna: nie łączyć tej funkcji z administrowaniem systemem, bo znosi to sens kontroli.

Obsadzacie funkcję inspektora albo potrzebujecie wsparcia w nadzorze? Napiszcie do nas.