Ile kosztuje ochrona informacji niejawnych w firmie: pozycje budżetu

To, ile kosztuje ochrona informacji niejawnych w firmie, zależy od klauzuli, liczby osób z dostępem, sposobu przetwarzania dokumentów oraz tego, czy przedsiębiorca potrzebuje kancelarii tajnej, systemu teleinformatycznego i świadectwa bezpieczeństwa przemysłowego. Największe wydatki to personel ochrony, szkolenia, dostosowanie pomieszczeń, szafy i zabezpieczenia, dokumentacja, akredytowany system oraz stałe utrzymanie całej organizacji w gotowości do kontroli.

Pozycje budżetu w praktyce

Nie ma jednej tabeli kosztów, która pasuje do każdej firmy. Ten sam kontrakt z klauzulą może oznaczać tylko obsługę kilku dokumentów papierowych albo pełne środowisko pracy z kancelarią, systemem niejawnym, ewidencją nośników i kilkunastoma osobami z dostępem.

Budżet trzeba układać od wymagań, nie od zakupów. Najpierw ustala się, jakie informacje będą przetwarzane, na jakiej klauzuli, w jakiej postaci, w ilu lokalizacjach i przez kogo. Dopiero z tego wychodzi lista ludzi, pomieszczeń, dokumentów, sprzętu i procedur.

W praktyce najdroższe są nie pojedyncze szafy ani szkolenie. Najdroższe bywają błędne decyzje na początku: zbyt szeroki zakres dostępu, źle dobrane pomieszczenie, zakup systemu przed opisaniem sposobu pracy albo dokumentacja, której potem nie da się stosować.

Od czego zależy skala kosztów

Podstawą jest ustawa o ochronie informacji niejawnych. To ona określa mechanizm ochrony informacji, poświadczeń bezpieczeństwa, pionu ochrony, akredytacji systemów teleinformatycznych i bezpieczeństwa przemysłowego. Szczegóły zabezpieczeń fizycznych wynikają między innymi z rozporządzenia w sprawie środków bezpieczeństwa fizycznego.

Na koszt wpływa przede wszystkim:

• klauzula tajności, czyli czy chodzi o informacje zastrzeżone, poufne, tajne albo ściśle tajne,
• postać informacji, papierowa, elektroniczna albo mieszana,
• zakres umowy niejawnej, w tym instrukcja bezpieczeństwa przemysłowego i wymagania zamawiającego,
• liczba osób dopuszczanych do informacji,
• liczba lokalizacji i pomieszczeń,
• potrzeba utworzenia kancelarii tajnej albo innej komórki ewidencyjnej,
• potrzeba uruchomienia systemu teleinformatycznego do informacji niejawnych,
• stan wyjściowy firmy, zwłaszcza budynku, organizacji dokumentów i kadry.

Przedsiębiorca, który ma już odpowiednie pomieszczenia, stabilny zespół i uporządkowane procedury, startuje z innego miejsca niż firma, która dopiero wynajmuje biuro i nie ma nikogo przygotowanego do pełnienia funkcji w ochronie. W kosztorysie trzeba więc oddzielić obowiązki wynikające z przepisów od standardu, który firma chce sobie zbudować ponad minimum.

Personel ochrony

Pierwsza stała pozycja budżetu to ludzie. W firmie może pojawić się pełnomocnik ochrony, a zależnie od skali także zastępca, kierownik kancelarii tajnej, administrator systemu, inspektor bezpieczeństwa teleinformatycznego i osoby prowadzące ewidencję. Przy bezpieczeństwie przemysłowym trzeba uwzględnić wyjątki z ustawy, zwłaszcza sytuacje, w których przedsiębiorca nie przetwarza informacji we własnych obiektach albo realizuje zadania wyłącznie przez osoby spełniające wymagania dostępu.

Kosztem może być wynagrodzenie pracownika, dodatek funkcyjny albo zewnętrzna obsługa określonych zadań, jeżeli model organizacyjny na to pozwala. Nie każdą funkcję da się sensownie dopisać osobie, która ma już pełny etat w operacjach, sprzedaży albo administracji. Na papierze wygląda to tanio, ale przy pierwszej kontroli wychodzi, że ewidencja, szkolenia, aktualizacje dokumentacji i nadzór nad dostępem nie robią się same.

Najczęstszy błąd to liczenie wyłącznie kosztu stanowiska, bez czasu potrzebnego na codzienne czynności. Pełnomocnik musi znać obieg dokumentów, wiedzieć o nowych osobach w projekcie, reagować na zmiany pomieszczeń, pilnować szkoleń i uzgodnień z kierownikiem jednostki. Jeżeli jest ostatnią osobą, która dowiaduje się o przetargu z klauzulą, budżet zawsze będzie spóźniony.

Szkolenia i sprawdzenia osób

Druga pozycja to przygotowanie personelu. Osoba dopuszczana do informacji niejawnych musi spełniać wymagania dostępu, w tym posiadać odpowiednie poświadczenie bezpieczeństwa albo upoważnienie, jeśli dany przypadek tego wymaga, oraz odbyć szkolenie z ochrony informacji niejawnych.

Kosztem bezpośrednim jest organizacja szkolenia. Kosztem pośrednim jest czas pracowników, kompletowanie danych, obsługa ankiet, komunikacja z pełnomocnikiem i planowanie zastępstw. W mniejszych firmach ten czas jest niedoszacowany, bo nikt nie wpisuje go do budżetu projektu.

Nie należy szkolić i sprawdzać wszystkich na zapas. Dobra praktyka to powiązanie dostępu z konkretną rolą w umowie oraz zasadą wiedzy koniecznej. Każda dodatkowa osoba oznacza szkolenie, nadzór, aktualizację wykazów i ryzyko organizacyjne.

Pomieszczenia, szafy i zabezpieczenia fizyczne

Zabezpieczenia fizyczne są zwykle pierwszym widocznym wydatkiem. W budżecie pojawiają się szafy do przechowywania materiałów, zamki, kontrola dostępu, system sygnalizacji włamania i napadu, drzwi, kraty, monitoring, wydzielenie stref oraz dostosowanie pomieszczenia do wymagań wynikających z klauzuli i sposobu pracy.

Nie każda firma od razu potrzebuje kancelarii tajnej. Przy informacjach „tajne” i „ściśle tajne” tworzy się ją z mocy art. 42 ust. 1, więc nie jest to wyłącznie decyzja kosztowa. Przy „poufne” i „zastrzeżone” model może być prostszy, ale nadal musi zapewniać ewidencję, przechowywanie i rozliczalność materiałów. Samą decyzję trzeba odnieść do klauzuli, realnego obiegu materiałów i wymagań umowy.

W praktyce firmy przepłacają, gdy kupują szafy albo system alarmowy zanim ustalą, jakie materiały będą przechowywane i w jakim trybie. Oszczędzają ze szkodą, gdy wybierają przypadkowe pomieszczenie po remoncie, a dopiero potem sprawdzają ściany, drzwi, okna, drogi dostępu i możliwość wydzielenia strefy. Przeróbki po fakcie są droższe niż właściwy wybór pokoju na początku.

Dokumentacja ochrony

Dokumentacja nie jest dodatkiem do zabezpieczeń. To z niej ma wynikać, kto odpowiada za ochronę, jak przebiega obieg materiałów, gdzie są przechowywane, jak prowadzi się ewidencję, co dzieje się podczas incydentu i jakie środki zastosowano w systemie teleinformatycznym.

W budżecie trzeba ująć przygotowanie i utrzymanie takich dokumentów jak plan ochrony, instrukcje obiegu, wykazy osób, procedury kancelaryjne, dokumentacja systemu, analiza ryzyka i dokumenty wymagane przy umowie niejawnej. Szersze omówienie zakresu znajduje się w opracowaniu Dokumentacja ochrony w jednostce.

Koszt dokumentacji zależy od tego, czy opisuje prosty obieg kilku materiałów, czy złożony proces z kilkoma lokalizacjami i systemem IT. Dokumenty kopiowane z innej jednostki są pozornie tańsze. Kontrola szybko zauważa, że procedura opisuje drzwi, których nie ma, funkcję, której nikt nie pełni, albo system, który działa inaczej niż w załączniku.

System teleinformatyczny

Jeżeli informacje niejawne mają być przetwarzane elektronicznie, pojawia się osobny budżet na system teleinformatyczny. Obejmuje on sprzęt, nośniki, oprogramowanie, konfigurację, konta, kopie zapasowe, ewidencję, zabezpieczenia techniczne, dokumentację bezpieczeństwa i proces akredytacji.

Najtańszy organizacyjnie bywa system odseparowany, przeznaczony do konkretnego zadania, ale tylko wtedy, gdy odpowiada realnemu sposobowi pracy. Jeżeli zespół potrzebuje współdzielić materiały, drukować, archiwizować i przenosić dane, trzeba to opisać przed zakupem. Przykład takiego podejścia omawia tekst o dedykowanym stanowisku komputerowym do informacji niejawnych.

Typowy błąd to zakup komputera i szafy na nośniki bez odpowiedzi na pytania o administratora, inspektora bezpieczeństwa teleinformatycznego, kopie, aktualizacje, druk, niszczenie nośników i procedurę zmian. System po akredytacji trzeba utrzymywać w stanie zgodnym z dokumentacją. Każda zmiana w systemie wymaga wcześniejszego oszacowania ryzyka (art. 49 ust. 4). W zależności od skutków może wystarczyć aktualizacja dokumentacji i zatwierdzenie zmiany, ale czasem potrzebna będzie ponowna ocena albo nowa procedura akredytacyjna.

Ewidencja, obieg i niszczenie materiałów

Obsługa dokumentów niejawnych generuje drobne, ale stałe koszty. Chodzi o dzienniki, rejestry, opakowania, oznaczenia, pieczęcie, urządzenia do niszczenia, transport, archiwizację, okresowe przeglądy i czas osób prowadzących ewidencję.

W małej firmie problemem nie jest cena pojedynczego rejestru. Problemem jest dyscyplina obiegu: kto przyjmuje materiał, kto kwituje, kto wykonuje kopię, gdzie trafia brudnopis, jak rozlicza się wydruk, kto sprawdza zwrot po zakończeniu projektu. Jeżeli te czynności nie mają właściciela, firma zaczyna płacić za porządkowanie zaległości przed kontrolą.

Dobra praktyka to ograniczenie liczby punktów, w których dokument może się zatrzymać. Im prostsza trasa materiału, tym mniej ewidencji pomocniczej, mniej pomyłek i mniej czasu na wyjaśnianie rozbieżności.

Świadectwo bezpieczeństwa przemysłowego

Przedsiębiorca wykonujący umowę z dostępem do informacji niejawnych może potrzebować świadectwa bezpieczeństwa przemysłowego. Co do zasady dotyczy to umów z dostępem do informacji „poufne” lub wyższych, ale ustawa przewiduje wyjątki i stopnie świadectwa zależne od tego, czy przedsiębiorca przetwarza informacje we własnych systemach albo obiektach. Wtedy budżet obejmuje nie tylko dokumenty i zabezpieczenia, ale całą zdolność organizacji do ochrony informacji powierzonych przez zamawiającego.

W praktyce trzeba uwzględnić przygotowanie struktury ochrony, osoby funkcyjne, pomieszczenia, zasady podwykonawstwa, instrukcję bezpieczeństwa przemysłowego, gotowość do sprawdzenia oraz utrzymanie zgodności po uzyskaniu świadectwa. Sam przebieg procedury został opisany osobno w tekście Jak uzyskać Świadectwo Bezpieczeństwa Przemysłowego.

Tego kosztu nie wolno liczyć jak jednorazowej opłaty za dokument. Świadectwo potwierdza zdolność przedsiębiorcy w określonym zakresie, ale później trzeba tę zdolność utrzymać. Zmiana lokalu, osób funkcyjnych, sposobu przetwarzania albo podwykonawcy może oznaczać konieczność aktualizacji ustaleń i dokumentacji.

Co jest jednorazowe, a co stałe

Wydatki jednorazowe zwykle obejmują analizę wymagań, przygotowanie pierwszej dokumentacji, dostosowanie pomieszczeń, zakup szaf i wyposażenia, uruchomienie systemu oraz przygotowanie do akredytacji albo procedury przemysłowej. Są wysokie na starcie, bo firma buduje zdolność od zera.

Koszty stałe to wynagrodzenia lub obsługa funkcji ochronnych, szkolenia nowych osób, aktualizacje dokumentacji, przeglądy zabezpieczeń, utrzymanie systemu, ewidencja, archiwizacja, obsługa incydentów i przygotowanie do kontroli. Te pozycje są mniej efektowne, ale decydują o tym, czy system ochrony działa po roku od wdrożenia.

Najbezpieczniej prowadzić budżet w dwóch kolumnach:

• start, czyli wszystko, co trzeba zrobić przed przyjęciem materiałów lub uruchomieniem systemu,
• utrzymanie, czyli działania powtarzalne, bez których zabezpieczenia tracą aktualność.

Jeżeli w kosztorysie jest tylko kolumna startowa, firma finansuje remont i zakup sprzętu, ale nie finansuje odpowiedzialności za codzienny obieg informacji.

Gdzie firmy przepłacają

Najczęstsze przepłacanie zaczyna się od braku opisu procesu. Firma kupuje rozwiązanie maksymalne, bo nie wie, jaki wariant jest wystarczający dla jej umowy. Potem okazuje się, że drogi element nie rozwiązuje podstawowego problemu, na przykład braku osoby odpowiedzialnej za ewidencję albo braku zatwierdzonej procedury pracy.

Drugie źródło kosztów to zbyt szeroki dostęp. Jeżeli do projektu wpisano osoby na wszelki wypadek, rośnie liczba szkoleń, sprawdzeń, wykazów, kont, upoważnień i punktów ryzyka. Ograniczenie dostępu nie jest tylko zasadą bezpieczeństwa, ale też narzędziem kontroli kosztów.

Trzecie źródło to budowanie kancelarii albo systemu teleinformatycznego bez związku z rzeczywistym wolumenem dokumentów. Czasem wystarczy prostszy model organizacyjny, ale tę decyzję trzeba potwierdzić analizą wymagań, a nie intuicją. Ostateczne rozstrzygnięcie zależy od klauzuli, zakresu przetwarzania, umowy, stopnia wymaganego świadectwa i stanowiska właściwych osób lub organów.

Gdzie nie wolno oszczędzać

Nie wolno oszczędzać na dopasowaniu dokumentacji do rzeczywistości. Procedura, której nie da się wykonać, jest gorsza niż brak eleganckiego segregatora, bo tworzy fałszywe poczucie zgodności. Kontrola pyta zwykle o konkret: kto ma klucz, gdzie jest rejestr, jak rozliczono dokument, kto zatwierdził dostęp, gdzie jest ślad szkolenia.

Nie warto oszczędzać na osobach funkcyjnych. Pełnomocnik ochrony, administrator systemu czy kierownik kancelarii muszą mieć czas, kompetencje i dostęp do decyzji kierownictwa. Funkcja wpisana w zarządzeniu, ale niewykonywana w praktyce, jest jednym z najszybszych sposobów na problemy.

Nie wolno pomijać utrzymania systemu teleinformatycznego. Aktualizacje, kopie zapasowe, ewidencja nośników, kontrola kont i rejestrowanie zmian są częścią bezpieczeństwa, nie informatyką poboczną. System zgodny w dniu akredytacji może po kilku miesiącach przestać odpowiadać dokumentacji, jeśli nikt nie pilnuje zmian.

Jak zrobić budżet bez kwot z sufitu

Najpierw trzeba spisać zakres przyszłego przetwarzania. Jedna kartka z odpowiedziami na pytania o klauzulę, liczbę osób, postać dokumentów, lokalizację, system IT i wymagania zamawiającego daje więcej niż przypadkowe oferty na szafy i alarmy.

Następnie warto podzielić budżet na obszary:

• personel ochrony,
• szkolenia i obsługa dostępu osób,
• dokumentacja organizacyjna i przemysłowa,
• pomieszczenia i zabezpieczenia fizyczne,
• kancelaria lub punkt ewidencji,
• system teleinformatyczny,
• obieg, archiwizacja i niszczenie materiałów,
• utrzymanie, kontrole wewnętrzne i aktualizacje.

Do każdej pozycji trzeba dopisać, czy jest obowiązkiem wynikającym z przepisów lub umowy, czy dobrą praktyką organizacyjną. To rozróżnienie porządkuje rozmowę z zarządem. Obowiązków nie usuwa się dla oszczędności, a dobre praktyki można etapować, jeśli nie naruszają wymaganego poziomu ochrony.

Na końcu trzeba dodać rezerwę na zmiany. W ochronie informacji niejawnych zmiany pojawiają się stale: nowa osoba, nowy pokój, nowy podwykonawca, inny sposób drukowania, dodatkowy nośnik, aktualizacja umowy. Budżet bez rezerwy kończy się prowizorką.

Typowe błędy w pierwszym kosztorysie

Najczęściej pomijane są koszty pracy własnej. Pracownik, który prowadzi ewidencję, przygotowuje dokumenty do kontroli i pilnuje szkoleń, nie robi tego poza czasem. Jeżeli nie ma tego w planie, zadania będą wykonywane po godzinach albo dopiero wtedy, gdy pojawi się problem.

Drugim błędem jest mylenie zakupu wyposażenia z wdrożeniem systemu ochrony. Szafa, alarm i komputer nie tworzą jeszcze zdolności do ochrony informacji niejawnych. Potrzebne są decyzje, odpowiedzialności, procedury, ewidencja i ludzie, którzy wiedzą, jak z tego korzystać.

Trzecim błędem jest brak scenariusza kontroli. Firma powinna umieć pokazać, gdzie znajduje się materiał, kto ma dostęp, na jakiej podstawie, kiedy był szkolony, jak zabezpieczono pomieszczenie i jak działa system. Jeżeli odpowiedzi wymagają szukania po kilku działach, koszt utrzymania ochrony został zaniżony.

Podsumowanie

Budżet ochrony informacji niejawnych w firmie składa się z kosztów startowych i stałych. Start obejmuje organizację, dokumentację, pomieszczenia, zabezpieczenia, system i przygotowanie osób, a utrzymanie obejmuje codzienny nadzór, szkolenia, ewidencję, aktualizacje i gotowość do kontroli.

Największy wpływ na koszty mają klauzula, zakres umowy, liczba osób z dostępem, forma przetwarzania i stan wyjściowy firmy. Nie należy podawać jednej kwoty bez obejrzenia tych elementów, bo taki kosztorys będzie zgadywaniem.

Rozsądne podejście zaczyna się od mapy obiegu informacji, a nie od zakupów. Dopiero po ustaleniu, co firma będzie faktycznie robić z materiałami niejawnymi, można zdecydować, które wydatki są obowiązkowe, które są dobrą praktyką, a które są tylko kosztownym nadmiarem.