Dokumentacja ochrony w jednostce: co musi istnieć

← Powrót do przewodnika: Pion ochrony

Dokumentów jest kilka, każdy ma inny zakres i inny cykl życia. Największe problemy nie biorą się z ich braku, tylko z tego, że opisują to samo w kilku miejscach i rozjeżdżają się przy pierwszej zmianie.

Mapa dokumentów

Plan ochrony informacji niejawnych. Opisuje jednostkę jako całość. Jego opracowywanie i aktualizowanie należy do zadań pełnomocnika ochrony wymienionych w art. 15 ustawy o ochronie informacji niejawnych.

SWB i PBE. Opisują konkretny system teleinformatyczny. Ich zawartość i cykl życia określa art. 49.

Instrukcja bezpieczeństwa przemysłowego. Dotyczy konkretnej umowy z dostępem do informacji o klauzuli „poufne” lub wyższej. Podstawą jest art. 71. Wprowadza ją do umowy jednostka organizacyjna, która ją zawiera, więc u wykonawcy jest dokumentem otrzymanym, a nie własnym.

Wykaz osób uprawnionych do dostępu do informacji niejawnych, prowadzony w ramach zadań pełnomocnika.

Urządzenia ewidencyjne kancelarii: dzienniki, rejestry, karty zapoznania.

Dokumentacja szkoleń: zaświadczenia i rejestr przeszkolonych.

Zapisy z kontroli i przeglądów, prowadzone w ramach zadania kontrolnego pełnomocnika.

Zasada niepowtarzania

Jedna treść mieszka w jednym dokumencie. Pozostałe do niej odsyłają.

Konfiguracja systemu należy do SWB, nie do planu ochrony. Zasady obiegu materiałów należą do planu, a nie do każdej instrukcji z osobna. Sposób postępowania przy konkretnej umowie należy do instrukcji bezpieczeństwa przemysłowego, a nie do planu.

Powtórzenie tej samej treści w dwóch dokumentach jest wygodne w dniu pisania i kosztowne przy każdej zmianie, bo aktualizuje się zwykle jedno miejsce z dwóch.

Trzy różne cykle życia

Dokumenty starzeją się w różnym tempie i to jest najczęściej pomijane przy planowaniu przeglądów.

Plan ochrony zmienia się przy zmianach organizacyjnych i po incydentach, poza tym raz w roku.

SWB i PBE zmieniają się przy jakiejkolwiek zmianie w systemie, bo art. 49 ust. 4 wiąże ją z przeprowadzeniem szacowania ryzyka, a ust. 2 i 3 nakazują modyfikację dokumentacji przed zmianą.

Instrukcja bezpieczeństwa przemysłowego żyje tak długo jak umowa, której dotyczy, i kończy się razem z nią.

Instrukcja bezpieczeństwa przemysłowego

Warto rozwinąć, bo ten dokument bywa traktowany jak załącznik wzorcowy.

Instrukcja odnosi się do jednej umowy, a art. 71 wskazuje, co ma określać: szczegółowe wymagania ochrony dostosowane do ilości informacji, nadanych klauzul i liczby osób mających dostęp, skutki i zakres odpowiedzialności wykonawcy, klauzule materiałów, które wytworzy albo otrzyma, oraz sposoby postępowania z tymi materiałami.

Do tego kierownik jednostki wyznacza osobę odpowiedzialną za nadzór, kontrolę i doradztwo wobec wykonawcy, a jednostka zawiadamia ABW albo SKW o wykonawcy, przedmiocie umowy, klauzulach, naruszeniach i zakończeniu umowy.

Kopiowanie instrukcji z poprzedniej umowy jest błędem, bo zakres prac decyduje o jej treści. Instrukcja opisująca inne czynności niż te wykonywane jest gorsza niż jej brak: tworzy pozór uregulowania.

Wykaz osób uprawnionych

Prosty dokument, który psuje się najszybciej. Powinien być aktualizowany przy każdej zmianie kadrowej, a nie przy przeglądzie rocznym.

Praktyczne rozwiązanie: powiązanie aktualizacji wykazu z procesem kadrowym, tak żeby odejście pracownika uruchamiało jednocześnie skreślenie z wykazu i odebranie uprawnień w systemach.

Lista kontrolna kompletności

• [ ] plan ochrony, zatwierdzony i z datą,
• [ ] SWB i PBE dla każdego systemu, w wersji zgodnej ze stanem faktycznym,
• [ ] świadectwa akredytacji albo dokumenty zatwierdzenia przy klauzuli zastrzeżone,
• [ ] instrukcja bezpieczeństwa przemysłowego dla każdej trwającej umowy obejmującej klauzulę „poufne” lub wyższą,
• [ ] aktualny wykaz osób uprawnionych,
• [ ] urządzenia ewidencyjne kancelarii,
• [ ] dokumentacja szkoleń,
• [ ] zapisy z kontroli i przeglądów wraz z losem uwag.

Ostatnia pozycja jest tą, która najczęściej decyduje o ocenie: uwaga powtórzona po roku waży więcej niż uwaga nowa.

Podsumowanie

Dokumentacja ochrony to kilka dokumentów o różnym zakresie i różnym tempie starzenia się. Klucz do utrzymania jej w porządku jest jeden: jedna treść w jednym miejscu, a w pozostałych odesłanie. Drugi to wpisanie trybu aktualizacji do samych dokumentów, żeby obowiązek nie zależał od pamięci.

Porządkujecie dokumentację ochrony? Napiszcie do nas, bezpłatnie ocenimy, czego brakuje.