Obowiązki kierownika jednostki organizacyjnej w ochronie informacji niejawnych

Obowiązki kierownika jednostki organizacyjnej w ochronie informacji niejawnych sprowadzają się do zapewnienia działającego systemu ochrony: ludzi, dokumentów, pomieszczeń, systemów teleinformatycznych i kontroli dostępu. Stawka jest praktyczna, bo pełnomocnik ochrony wykonuje zadania, ale odpowiedzialność za organizację ochrony i warunki jej wykonywania pozostaje przy kierowniku jednostki.

Podstawa odpowiedzialności

Punktem wyjścia jest ustawa z 5 sierpnia 2010 r. o ochronie informacji niejawnych. Ustawa wskazuje kierownika jednostki organizacyjnej jako osobę odpowiedzialną za ochronę informacji niejawnych w jednostce.

To nie jest odpowiedzialność wyłącznie podpisowa. Kierownik ma zapewnić warunki, w których informacje niejawne są wytwarzane, przechowywane, przekazywane, przetwarzane w systemach i udostępniane osobom uprawnionym.

W praktyce kontrola bardzo szybko odróżnia jednostkę, w której kierownik zna swój system ochrony, od jednostki, w której wszystko zostało zostawione pełnomocnikowi. Pierwsze pytania zwykle dotyczą struktury pionu ochrony, dokumentacji, dostępu osób, kancelarii lub komórki ewidencyjnej oraz systemów teleinformatycznych.

Obowiązki kierownika jednostki organizacyjnej w ochronie informacji niejawnych

Kierownik odpowiada za to, aby w jednostce istniał kompletny i realny system ochrony. Nie chodzi o sam segregator dokumentów, lecz o zgodność organizacji pracy z tym, co jest w dokumentacji.

Do podstawowych zadań kierownika należą:

• zorganizowanie ochrony informacji niejawnych w jednostce,
• powołanie albo wyznaczenie osób wykonujących zadania w pionie ochrony, jeżeli jednostka przetwarza informacje wymagające takiej organizacji,
• zapewnienie pełnomocnikowi ochrony pozycji umożliwiającej wykonywanie zadań,
• zapewnienie środków technicznych i organizacyjnych do ochrony dokumentów, pomieszczeń i systemów,
• dopuszczanie do informacji niejawnych tylko osób spełniających wymagania dostępu,
• zatwierdzanie lub podpisywanie kluczowych dokumentów wewnętrznych,
• reagowanie na naruszenia i incydenty,
• zapewnienie wykonania zaleceń po kontroli ABW, SKW albo kontroli wewnętrznej.

Pełnomocnik ochrony nie jest zastępczym kierownikiem jednostki. Może prowadzić sprawy, opracowywać dokumenty, kontrolować obieg materiałów i szkolić osoby, ale nie przejmuje odpowiedzialności kierownika za to, że jednostka działa zgodnie z ustawą.

Czego nie można scedować

Kierownik może powierzać zadania, ale nie może przekazać samej odpowiedzialności za ochronę. To rozróżnienie wraca przy każdej poważniejszej kontroli i po każdym naruszeniu.

Nie da się skutecznie zrzucić na pełnomocnika ochrony decyzji o tym, że jednostka nie ma pomieszczenia spełniającego wymagań, nie ma czasu na szkolenia albo przetwarza informacje niejawne w nieakredytowanym systemie. Pełnomocnik może o tym pisać, sygnalizować ryzyko i wnioskować o działania, ale warunki organizacyjne zapewnia kierownik.

Kierownik nie powinien też traktować podpisu pod dokumentacją jako czynności technicznej. Jeżeli zatwierdza plan ochrony, wykaz stanowisk, procedury obiegu albo dokumentację systemu teleinformatycznego, powinien wiedzieć, co z tych dokumentów wynika dla pracy jednostki.

Dobrą praktyką jest krótkie, pisemne potwierdzanie decyzji organizacyjnych: kto odpowiada za realizację, od kiedy, na jakich zasobach i jak ma być rozliczone wykonanie. To nie jest dodatkowy obowiązek z ustawy w każdej sprawie, lecz praktyka, która porządkuje odpowiedzialność.

Decyzje podpisywane osobiście

W jednostkach dokumenty różnią się nazwami i zakresem, ale pewne decyzje zwykle powinny przechodzić przez kierownika. Dotyczą one struktury ochrony, dostępu do informacji, kancelarii, systemów oraz reakcji na zdarzenia.

Kierownik najczęściej podpisuje lub zatwierdza:

• zarządzenie o organizacji ochrony informacji niejawnych,
• dokumenty powołujące pełnomocnika ochrony i osoby funkcyjne,
• plan ochrony informacji niejawnych, jeżeli jest wymagany w danej jednostce,
• wykazy stanowisk lub prac związanych z dostępem do informacji niejawnych,
• pisemne upoważnienia do dostępu do informacji o klauzuli zastrzeżone, gdy osoba nie ma poświadczenia bezpieczeństwa, ale spełnia warunki przewidziane przepisami,
• decyzje dotyczące utworzenia kancelarii tajnej albo innej komórki właściwej do ewidencji materiałów,
• dokumenty organizujące obieg, przechowywanie i niszczenie materiałów niejawnych,
• dokumentację bezpieczeństwa systemu teleinformatycznego, w zakresie przewidzianym dla danej klauzuli i trybu akredytacji,
• polecenia wykonania zaleceń po kontroli.

Przy dokumentacji dostępu trzeba uważać na język. Upoważnienie do zastrzeżone nie zastępuje poświadczenia bezpieczeństwa tam, gdzie wymagane jest poświadczenie, i nie znosi obowiązku szkolenia.

Pełnomocnik ochrony i pion ochrony

Pełnomocnik ochrony organizuje i nadzoruje wykonywanie zadań ochronnych w jednostce, ale powinien mieć realny dostęp do kierownika. Jeżeli pełnomocnik jest umieszczony nisko w strukturze, a jego zalecenia giną między działami, system ochrony działa tylko na papierze.

Opis zadań pełnomocnika, zastępcy, inspektora bezpieczeństwa teleinformatycznego, administratora systemu i kancelarii powinien być spójny. Jeżeli w jednym dokumencie za ewidencję nośników odpowiada kancelaria, a w drugim administrator systemu, przy kontroli trzeba będzie wyjaśniać, kto faktycznie to robi.

Szerzej o składzie i miejscu pionu ochrony w strukturze jednostki pisze odrębne opracowanie: Pion ochrony: skład, zadania i miejsce w strukturze. Z perspektywy kierownika najważniejsze jest, aby pion nie był fikcją kadrową.

Typowy problem z praktyki: pełnomocnik ma formalnie wykonywać kontrolę ochrony, szkolenia, postępowania sprawdzające, aktualizować dokumentację i pilnować kancelarii, ale robi to obok etatu merytorycznego. Jeżeli skala spraw rośnie, kierownik musi zareagować organizacyjnie, a nie tylko oczekiwać, że pełnomocnik nadrobi zaległości.

Dostęp osób do informacji

Dostęp do informacji niejawnych nie wynika z zajmowanego stanowiska. Wynika z potrzeby wykonywania obowiązków, spełnienia wymagań formalnych oraz zastosowania zasady wiedzy koniecznej.

Kierownik odpowiada za to, aby jednostka nie tworzyła dostępu na zapas. Praktycznie oznacza to przegląd stanowisk, zakresów obowiązków, upoważnień, poświadczeń i szkoleń.

Przy dostępie trzeba rozdzielić trzy rzeczy:

• uprawnienie formalne, czyli poświadczenie bezpieczeństwa albo upoważnienie w przypadkach przewidzianych przepisami,
• przeszkolenie, bez którego dostęp nie powinien być uruchamiany,
• potrzebę dostępu, czyli związek informacji z konkretnymi zadaniami danej osoby.

Najczęstszy błąd polega na tym, że kierownik podpisuje szeroki wykaz stanowisk, bo tak jest wygodniej organizacyjnie. Potem w ewidencji dostępu widać osoby, które od lat nie pracują przy zadaniach niejawnych, ale nadal figurują jako uprawnione.

Warto zestawić to z praktycznym opisem zasady wiedzy koniecznej: Zasada wiedzy koniecznej w codziennej pracy. Dla kierownika to narzędzie ograniczania ryzyka, nie hasło szkoleniowe.

Dokumenty i kancelaria

Kierownik musi zapewnić, aby materiały niejawne były rejestrowane, przechowywane, przekazywane i niszczone zgodnie z przyjętymi zasadami. Jeżeli jednostka potrzebuje kancelarii tajnej, punktu ewidencyjnego albo innego rozwiązania organizacyjnego, decyzja nie może wynikać wyłącznie z wygody lokalu.

Dokumentacja powinna odpowiadać faktycznemu obiegowi materiałów. Jeżeli pisze się w procedurze, że każdy dokument trafia przez kancelarię, a w praktyce część wpływa bezpośrednio do komórek merytorycznych, powstaje luka ewidencyjna.

W jednostkach, które dopiero zaczynają pracę z dokumentami niejawnymi, problemy zwykle pojawiają się w trzech miejscach:

• brak jasnego rozdziału między kopią, odpisem, wyciągiem i wydrukiem,
• brak bieżącego rozliczania wypożyczeń,
• niszczenie brudnopisów, wydruków roboczych i nośników bez śladu w procedurze.

Kierownik nie musi osobiście wpisywać dokumentów do dziennika. Musi jednak zapewnić ludzi, pomieszczenie, wyposażenie i procedury, które pozwalają kierownikowi kancelarii wykonywać zadania bez obchodzenia zasad.

Systemy teleinformatyczne

Jeżeli informacje niejawne są przetwarzane elektronicznie, kierownik odpowiada za to, aby odbywało się to w systemie dopuszczonym do takiego przetwarzania. Najgorszy wariant to jeden komputer do wszystkiego, z którego czasem drukuje się materiały z klauzulą, bo zadanie było pilne.

W systemach teleinformatycznych kierownik podejmuje decyzje organizacyjne: czy system jest potrzebny, do jakiej klauzuli, w jakim środowisku ma działać, kto będzie administratorem, kto inspektorem bezpieczeństwa teleinformatycznego i jak zapewnić obsługę techniczną. Specjaliści opisują zabezpieczenia, ale kierownik zatwierdza ramy działania systemu.

Tryb akredytacji zależy od klauzuli i rodzaju systemu. Dla części systemów rozstrzygające znaczenie ma zatwierdzenie dokumentacji przez kierownika, dla innych wymagane jest świadectwo akredytacji bezpieczeństwa wydawane przez właściwą służbę.

Nie należy przenosić danych niejawnych do systemów jawnych, poczty publicznej, prywatnych nośników ani rozwiązań pracy zdalnej. Jeżeli jednostka ma wątpliwość, czy dana czynność jest przetwarzaniem informacji niejawnych w systemie, trzeba to rozstrzygnąć przed rozpoczęciem pracy, a nie po incydencie.

Kontrola ABW albo SKW

Podczas kontroli właściwa służba patrzy nie tylko na pełnomocnika ochrony. Kierownik może zostać zapytany o organizację ochrony, decyzje kadrowe, środki na zabezpieczenia, wykonanie zaleceń i nadzór nad obiegiem informacji.

Kontrolujący zwykle zaczynają od dokumentów podstawowych, a potem sprawdzają zgodność z praktyką. Jeżeli procedura mówi o kwartalnym przeglądzie upoważnień, pojawi się pytanie o dowody, że przegląd był wykonany.

Przygotowanie kierownika do kontroli nie polega na uczeniu się numerów wszystkich rejestrów. Powinien jednak umieć wskazać, kto odpowiada za dany obszar, jakie są największe ryzyka jednostki i co zrobiono po poprzednich ustaleniach.

Osobny tekst omawia przygotowanie jednostki szerzej: Kontrola ABW lub SKW w jednostce: jak się przygotować. Tutaj najważniejszy wniosek jest prosty: brak decyzji kierownika rzadko da się obronić dobrą pracą pełnomocnika.

Po naruszeniu albo incydencie

Po naruszeniu ochrony informacji niejawnych kierownik ma zapewnić natychmiastowe działania ograniczające skutki. Najpierw zabezpiecza się materiał, miejsce, system, nośnik albo obieg dokumentów, a dopiero później porządkuje notatki i korespondencję.

Pełnomocnik ochrony zwykle prowadzi czynności wyjaśniające i przygotowuje informacje dla kierownika. Kierownik powinien wydać decyzje organizacyjne: wstrzymać określony obieg, odsunąć osobę od dostępu, zabezpieczyć system, polecić inwentaryzację, zarządzić dodatkowe szkolenie albo zmienić procedurę.

Nie każdy błąd jest od razu ujawnieniem informacji niejawnych, ale każdy sygnał trzeba potraktować poważnie. To, czy sprawa wymaga zawiadomienia organu i w jakim zakresie, zależy od okoliczności, klauzuli, skutków oraz właściwych przepisów i procedur jednostki.

Po incydencie najczęściej ujawnia się wcześniejszy brak decyzji: nieaktualny wykaz osób, nieopisany obieg roboczych wydruków, niejasny podział zadań administratora i użytkownika, brak ćwiczonej procedury reakcji. Działanie po fakcie nie usuwa zaniedbania, ale może ograniczyć skutki i pokazać, że kierownik przejął kontrolę nad sytuacją.

Typowe błędy kierownika

Pierwszy błąd to traktowanie ochrony informacji niejawnych jako sprawy wyłącznie pełnomocnika. Wtedy pełnomocnik pisze pisma, których nikt nie wykonuje, a jednostka formalnie ma system, który nie działa.

Drugi błąd to podpisywanie dokumentów bez sprawdzenia, czy jednostka może je wykonać. Procedura wymagająca dwóch osób przy każdej czynności jest bezwartościowa, jeżeli na zmianie zawsze pracuje jedna osoba.

Trzeci błąd to brak aktualizacji po zmianach. Zmiana lokalu, struktury organizacyjnej, administratora systemu, zakresu umowy albo liczby osób z dostępem może wymagać zmiany dokumentacji i ponownej oceny zabezpieczeń.

Czwarty błąd to mieszanie informacji jawnych i niejawnych w tych samych kanałach pracy. Dotyczy to zwłaszcza poczty elektronicznej, komunikatorów, dysków sieciowych, skanów i prywatnych nośników.

Piąty błąd to odkładanie szkoleń do momentu kontroli. Szkolenie po incydencie nie wyjaśnia, dlaczego osoba wcześniej dostała dostęp bez wiedzy o zasadach ochrony.

Granice odpowiedzi

Ten tekst opisuje odpowiedzialność kierownika na poziomie organizacji ochrony w jednostce. Nie rozstrzyga, czy konkretna jednostka musi utworzyć kancelarię tajną, jaki tryb akredytacji zastosować dla danego systemu ani czy w danej sprawie trzeba zawiadomić ABW albo SKW.

Takie rozstrzygnięcia zależą od klauzuli, rodzaju informacji, zakresu przetwarzania, statusu jednostki, umów, decyzji organu i dokumentacji wewnętrznej. W sprawach granicznych kierownik powinien korzystać z opinii pełnomocnika ochrony, a gdy trzeba, uzyskać stanowisko właściwej służby albo zamawiającego.

Podsumowanie

Kierownik jednostki organizacyjnej odpowiada za to, aby ochrona informacji niejawnych była zorganizowana, obsadzona kadrowo, opisana w dokumentach i wykonywana w praktyce. Pełnomocnik ochrony jest podstawowym wykonawcą i doradcą w tym systemie, ale nie przejmuje odpowiedzialności kierownika.

Najważniejsze decyzje kierownika dotyczą ludzi, dostępu, dokumentacji, kancelarii, systemów teleinformatycznych, kontroli i reakcji na incydenty. Jeżeli te decyzje są świadome, udokumentowane i zgodne z rzeczywistą pracą jednostki, kontrola ma co oceniać, a jednostka ma czym zarządzać.