Naruszenie ochrony informacji niejawnych: pierwsze kroki

Pierwsze godziny po wykryciu naruszenia decydują o tym, czy da się później ustalić, co się stało. Większość nieodwracalnych błędów popełnia się właśnie wtedy, w dobrej wierze i w pośpiechu.

Co jest naruszeniem

Naruszeniem jest każde zdarzenie, w wyniku którego informacja niejawna mogła trafić do osoby nieuprawnionej albo utracić ochronę. Nie trzeba pewności, że doszło do ujawnienia.

Wystarczy sama możliwość, co odpowiada konstrukcji z art. 1 ust. 1 ustawy o ochronie informacji niejawnych, gdzie mowa o szkodzie, którą ujawnienie „spowodowałoby lub mogłoby spowodować”.

Przykłady z praktyki: zagubiony nośnik, dokument pozostawiony poza strefą, materiał wysłany do niewłaściwego adresata, konto dostępne osobie po odejściu z jednostki, sprzęt oddany do serwisu z dyskiem w środku, rozmowa o treściach niejawnych przy osobach postronnych.

Pierwsze cztery czynności

1. Zatrzymaj rozprzestrzenianie. Jeśli materiał trafił do niewłaściwego odbiorcy, pierwsza czynność dotyczy dalszego obiegu: wstrzymanie wysyłki, odłączenie stanowiska, zamknięcie dostępu.

2. Zabezpiecz ślady. Nie kasuj, nie porządkuj, nie „naprawiaj”. Rejestry zdarzeń, zapisy z kontroli dostępu, korespondencja i sam materiał są dowodami tego, co się stało.

3. Zawiadom pełnomocnika ochrony. Natychmiast, nie po zebraniu wyjaśnień. To on odpowiada za zapewnienie przestrzegania przepisów o ochronie, a kontrola i zarządzanie ryzykiem należą do jego zadań z art. 15.

4. Zapisz, co wiadomo. Kto zauważył, o której, co dokładnie zobaczył. Pamięć zaciera się w ciągu godzin, a te zapisy będą podstawą dalszych ustaleń.

Czego nie robić

Nie ustalać samodzielnie, czy „to naprawdę naruszenie”. Ocena należy do pionu ochrony. Zgłoszenie zdarzenia, które okaże się nieszkodliwe, nie kosztuje nic. Niezgłoszenie kosztuje bardzo dużo.

Nie kasować śladów. Usunięcie pliku, wyczyszczenie rejestru albo skasowanie wiadomości zamienia problem organizacyjny w problem znacznie poważniejszy.

Nie informować szerszego kręgu. Powiadamianie „wszystkich, żeby uważali” powiększa krąg osób znających treść.

Nie czekać do rana. Jeśli materiał jest w obiegu, każda godzina ma znaczenie.

Nie zaczynać od szukania winnego. Ustalenie przyczyny jest ważniejsze i przychodzi później.

Rola kierownika jednostki

Jeżeli stwierdzono naruszenie przepisów o ochronie informacji niejawnych, pełnomocnik zawiadamia kierownika i niezwłocznie podejmuje działania wyjaśniające oraz ograniczające skutki (art. 17 ust. 1). Przy informacjach „poufne” lub wyższych niezwłocznie zawiadamia także ABW albo SKW (ust. 2). Obowiązku tego nie uzależnia się od uznania kierownika ani zakończenia wewnętrznych ustaleń.

Kierownik zapewnia warunki i podejmuje decyzje organizacyjne w swoim zakresie. Pełnomocnik wykonuje własne ustawowe obowiązki; nie ogranicza się do przygotowania informacji dla kierownika.

Zdarzenia w systemie teleinformatycznym

Przy incydencie dotyczącym systemu dochodzi jeden element: sam system jest jednocześnie miejscem zdarzenia i źródłem dowodów.

Odruch „zrestartujmy i zobaczmy, czy przejdzie” niszczy ślady. Postępowanie powinno wynikać z procedury reagowania na incydent zapisanej w PBE, a nie z improwizacji administratora.

Jeśli zdarzenie wymaga zmiany w systemie, obowiązuje art. 49 ust. 4: podstawą jakiejkolwiek zmiany jest przeprowadzenie procesu szacowania ryzyka.

Przygotowanie zawczasu

Wszystko powyższe działa tylko wtedy, gdy jest zapisane przed zdarzeniem. Praktyczne minimum:

• jedna ścieżka zgłoszenia, znana wszystkim ze szkolenia,
• wskazana osoba i jej zastępca, z danymi kontaktowymi dostępnymi poza godzinami pracy,
• procedura reagowania w PBE dla systemów i w planie ochrony dla pozostałych zdarzeń,
• formularz zgłoszenia, żeby nikt nie musiał wymyślać, co napisać.

Podsumowanie

Pierwsze godziny to zatrzymanie obiegu, zabezpieczenie śladów, zawiadomienie pełnomocnika i spisanie faktów. Najczęstsze nieodwracalne błędy to samodzielna ocena, czy zgłaszać, oraz porządkowanie śladów w dobrej wierze.

Chcecie ustalić procedurę reagowania, zanim będzie potrzebna? Napiszcie do nas.