Najczęstsze błędy w dokumentacji bezpieczeństwa
← Powrót do przewodnika: Dokumentacja SWB i PBE
Dokumentacja rzadko wraca do poprawy z powodu jednego dużego uchybienia. Zwykle składa się na to kilka drobiazgów, które łatwo przewidzieć, bo powtarzają się w podobnej kolejności.
Poniższe zestawienie warto potraktować jak listę kontrolną do przejścia przed złożeniem dokumentów.
1. Brak wyników szacowania ryzyka
Art. 49 ust. 1 ustawy o ochronie informacji niejawnych wymaga zamieszczenia w SWB wyników procesu szacowania ryzyka.
Najczęstszy błąd polega na opisaniu metody zamiast wyników. Zdanie „szacowanie ryzyka przeprowadzono zgodnie z przyjętą metodyką” mówi, że coś zrobiono, ale nie mówi, co z tego wyszło. Dokument bez zidentyfikowanych zagrożeń i oszacowanych poziomów ryzyka nie spełnia wymogu.
2. Zabezpieczenia niepowiązane z ryzykiem
Ustawa wiąże sposoby osiągania i utrzymywania poziomu bezpieczeństwa z zarządzaniem ryzykiem. To znaczy, że lista zabezpieczeń nie może być samodzielnym rozdziałem żyjącym obok analizy.
Sprawdzian jest prosty. Przy każdym zabezpieczeniu spróbujcie wskazać ryzyko, które ogranicza. Jeśli się nie da, zabezpieczenie znalazło się tam z przyzwyczajenia. Przy każdym istotnym ryzyku spróbujcie wskazać odpowiedź. Jeśli jej nie ma, to luka.
3. Dokumentacja pisana po zbudowaniu systemu
Art. 49 ust. 2 mówi, że SWB opracowuje się na etapie projektowania. Dokument powstający po wdrożeniu formalnie może być kompletny, ale traci swoją funkcję: nie kształtuje systemu, tylko go opisuje.
Skutek jest kosztowy. Rozwiązanie, które na etapie projektu można było wybrać inaczej za darmo, po wdrożeniu wymaga przebudowy.
4. Kopiowany wzór z cudzej jednostki
Rozpoznaje się go natychmiast, po szczegółach, których nikt nie usunął: role, których w jednostce nie ma, urządzenia, których nie kupiono, odwołania do pomieszczeń o innym numerze.
To nie jest tylko wpadka redakcyjna. Dla oceniającego jest to sygnał, że dokumentacja nie opisuje tego konkretnego systemu, więc reszcie też trzeba przyjrzeć się dokładniej.
5. Procedura bez wskazanego wykonawcy
W PBE każda procedura powinna wskazywać osoby, które ją realizują. Sformułowanie „procedurę realizuje uprawniony pracownik” nie wskazuje nikogo: w dniu zdarzenia żaden pracownik nie wie, czy chodzi o niego.
Wskazanie funkcji, na przykład inspektora bezpieczeństwa teleinformatycznego albo administratora systemu, rozwiązuje problem, bo jednostka wie, kto tę funkcję pełni.
6. Czynność, która nie zostawia śladu
Procedura opisuje, co zrobić, ale nie mówi, gdzie to odnotować. Po fakcie nie da się wykazać, że cokolwiek wykonano.
Rozliczalność jest jednym z filarów bezpieczeństwa systemu i bierze się właśnie z tych zapisów: numeru w dzienniku, podpisu, daty. Procedura bez śladu jest w praktyce procedurą niewykonaną.
7. Rozjazd między dokumentem a stanem faktycznym
Najczęstsza uwaga pokontrolna i najłatwiejsza do uniknięcia. System zmienił się w drobiazgu: doszło stanowisko, wymieniono drukarkę, przeniesiono sprzęt do innego pomieszczenia. Dokumentacja została w poprzedniej wersji.
Art. 49 ust. 4 stanowi, że podstawą dokonywania jakichkolwiek zmian w systemie jest przeprowadzenie procesu szacowania ryzyka. Jeśli ten obowiązek jest wpisany wprost do procedury wprowadzania zmian, przypomina o sobie sam. Jeśli nie, opiera się na czyjejś pamięci.
8. Mylenie SWB z PBE
Dwa dokumenty mówiące to samo dwa razy albo jeden dokument udający dwa. Podział jest prosty: SWB odpowiada na pytanie co i dlaczego, PBE na pytanie jak.
Zasada „nośniki podlegają ewidencji” należy do SWB. Instrukcja „wpisz numer nośnika do dziennika ewidencji, podaj klauzulę i datę wydania, podpisz” należy do PBE.
9. Nieopisane granice systemu
Jeśli nie wiadomo, co należy do systemu, a co jest jego otoczeniem, nie da się rzetelnie oszacować ryzyka ani ocenić kompletności zabezpieczeń.
Granica przebiega także przez ludzi i pomieszczenia, nie tylko przez sprzęt.
10. Liczenie terminu od złożenia, a nie od kompletności
Dla systemów o klauzuli „poufne” i wyższej ABW albo SKW udziela akredytacji albo jej odmawia w terminie 6 miesięcy od otrzymania kompletnej dokumentacji, a sama akredytacja jest udzielana na czas określony, nie dłuższy niż 5 lat. Wynika to z art. 48 ustawy.
Słowo „kompletnej” bywa pomijane przy planowaniu. Braki formalne nie zatrzymują biegu terminu, tylko przesuwają jego początek. To najczęstsza przyczyna rozjazdu między harmonogramem projektu a rzeczywistością.
Lista kontrolna przed złożeniem
- [ ] granice systemu opisane jednoznacznie,
- [ ] wyniki szacowania ryzyka, nie sama metoda,
- [ ] każde zabezpieczenie przypisane do ryzyka,
- [ ] ryzyko szczątkowe nazwane i zaakceptowane przez kierownika jednostki,
- [ ] każda procedura ze wskazanym wykonawcą,
- [ ] każda czynność zostawia ślad w ewidencji,
- [ ] brak śladów po cudzym wzorze,
- [ ] dokument zgodny ze stanem faktycznym na dzień złożenia.
Jeśli dokumentacja wróciła z uwagami albo chcecie ją sprawdzić przed złożeniem, odezwijcie się. Bezpłatnie ocenimy zakres prac.
