Łączenie funkcji w ochronie informacji niejawnych
← Powrót do przewodnika: Pion ochrony
W jednostce zatrudniającej kilkanaście osób obsadzenie osobno pełnomocnika, kierownika kancelarii, inspektora i administratora bywa nierealne. Pytanie nie brzmi więc „czy łączyć”, tylko „co wolno połączyć”.
Jak oceniać podział funkcji
Dopuszczalność połączenia funkcji wynika z konkretnych przepisów, wymaganej podległości i możliwości rzeczywistego wykonania zadań. Sam podział na czynności wykonawcze i kontrolne jest pomocny, ale nie zastępuje sprawdzenia wymagań każdej roli. Dodatkowy audyt nie usuwa zakazu połączenia funkcji.
Skąd bierze się podział
Art. 14 ust. 1 ustawy o ochronie informacji niejawnych obarcza odpowiedzialnością za ochronę kierownika jednostki, a pełnomocnik ochrony podlega mu bezpośrednio.
Art. 15 zalicza do zadań pełnomocnika między innymi kontrolę ochrony informacji niejawnych oraz przestrzegania przepisów o ich ochronie. Funkcja kontrolna jest więc wpisana w konstrukcję pionu ochrony, a nie dodana z ostrożności.
Które połączenia są dopuszczalne
| Połączenie | Ocena i podstawa |
|---|---|
| Administrator systemu i inspektor BTI | Niedopuszczalne wprost na podstawie art. 52 ust. 1 pkt 2 ustawy. |
| Pełnomocnik ochrony i kierownik kancelarii tajnej | Według stanowiska ABW niedopuszczalne ze względu na podporządkowanie kancelarii pełnomocnikowi, określone w art. 42 ust. 4. |
| Pełnomocnik ochrony i administrator systemu | Według stanowiska ABW niedopuszczalne: administrator nie może być przełożonym inspektora kontrolującego jego pracę. |
| Pełnomocnik ochrony i inspektor BTI | Możliwe, jeżeli osoba spełnia wymagania dla inspektora, w tym dotyczące szkolenia specjalistycznego, i może prawidłowo wykonywać obie role. |
Stanowiska interpretacyjne należy odróżnić od zakazu zapisanego wprost w ustawie. Powyższe rozróżnienie wyjaśnia ABW w odpowiedziach o organizacji ochrony.
Pozostałe obowiązki i konflikty
Art. 15 ust. 4 pozwala powierzyć pełnomocnikowi inne zadania, jeżeli nie naruszy to prawidłowego wykonywania jego obowiązków. Należy ocenić obciążenie, dostępność i podległość służbową. Pełnomocnik musi bezpośrednio podlegać kierownikowi jednostki; podporządkowanie go dyrektorowi działu IT nie spełnia art. 14 ust. 2.
Przy innych zestawieniach trzeba wskazać konkretny problem, np. samodzielne zatwierdzanie własnych uprawnień, i ustalić zgodną z przepisami kontrolę. Nie każde ryzyko organizacyjne jest odrębnym ustawowym zakazem.
Jak sobie radzić w małej jednostce
Wyznacz właściwe osoby. Inspektor BTI musi być pracownikiem pionu ochrony wyznaczonym przez kierownika. Dowolny pracownik z poświadczeniem nie staje się inspektorem przez zlecenie mu doraźnej kontroli.
Dobierz wymiar pracy do zadań. Możliwe jest zaangażowanie osoby z zewnątrz, jeżeli spełnia wymagania funkcji i zostanie prawidłowo umocowana. Gdy administrator lub inspektor ma wykonywać zadania w więcej niż jednej jednostce, art. 52 ust. 2 wymaga zgody ABW albo SKW oraz porozumienia kierowników.
Oddziel audyt od pełnienia funkcji. Zewnętrzny przegląd może wspierać jednostkę, ale nie zastępuje wymaganego inspektora i nie legalizuje niedopuszczalnego połączenia ról.
Zapisz podział. Określ wykonawców, podległość, zastępstwa i sposób dokumentowania czynności.
Czego nie rozwiązuje formalne rozdzielenie
Sytuacja, w której inspektorem jest formalnie inna osoba, ale wszystkie czynności faktycznie wykonuje administrator, jest połączeniem funkcji z dodatkową wadą: wygląda poprawnie w dokumentacji.
Kontrola zewnętrzna wykrywa to szybko, bo pyta o zapisy z przeglądów, a nie o schemat organizacyjny.
Warunki wspólne
Niezależnie od układu, pracownik pionu ochrony musi spełniać wymagania z art. 16 ustawy: obywatelstwo polskie (z wyjątkiem zatrudnionych u przedsiębiorców), odpowiednie poświadczenie bezpieczeństwa albo upoważnienie, o którym mowa w art. 21 ust. 4 pkt 1, oraz zaświadczenie o przeszkoleniu. Wobec pełnomocnika ochrony art. 14 ust. 3 stawia wymagania ostrzejsze: poświadczenie jest tu obowiązkowe, a do tego dochodzi wykształcenie wyższe.
Inspektor bezpieczeństwa teleinformatycznego i administrator systemu muszą dodatkowo, na podstawie art. 52 ust. 4, odbyć specjalistyczne szkolenie z zakresu bezpieczeństwa teleinformatycznego prowadzone przez ABW albo SKW.
Każda pełniona funkcja wymaga spełnienia właściwych warunków. Nie należy mechanicznie liczyć „jednego certyfikatu na funkcję”: trzeba sprawdzić rodzaj i zakres wymaganych szkoleń oraz rzeczywiście posiadanych zaświadczeń.
Podsumowanie
Podział ról musi respektować zakazy, podległość służbową, wymagania kwalifikacyjne oraz realną możliwość wykonywania obowiązków. Tego nie zastąpi dodatkowy audyt ani sam zapis w umowie.
Układacie podział funkcji w małej jednostce? Napiszcie do nas. Pomożemy ocenić dopuszczalne warianty i przygotować dokumenty odpowiadające organizacji jednostki.
