Ochrona elektromagnetyczna i strefy kontrolowane

To jest obszar, w którym najłatwiej albo przesadzić, albo zbagatelizować. Obie skrajności biorą się z tego samego: z braku powiązania decyzji z oszacowanym ryzykiem.

Skąd bierze się problem

Każde urządzenie elektroniczne przetwarzające informację emituje przy okazji sygnały, których nie zamierzano wysyłać. Monitor, klawiatura, przewód: wszystko to promieniuje.

Jeżeli taka emisja niesie treść przetwarzanej informacji i da się ją odebrać poza kontrolowanym obszarem, ochrona kryptograficzna i kontrola dostępu przestają mieć znaczenie. Informacja wychodzi bokiem.

Gdzie to siedzi w dokumentacji

Ochrona elektromagnetyczna nie jest osobnym reżimem obok reszty. Należy do aspektów budowy systemu oraz sposobów osiągania i utrzymywania poziomu bezpieczeństwa, czyli do obowiązkowej zawartości SWB określonej w art. 49 ust. 1 ustawy o ochronie informacji niejawnych.

Ustawa wiąże te sposoby wprost z zarządzaniem ryzykiem. To rozstrzyga spór o zakres zabezpieczeń: nie decyduje o nim katalog dostawcy, tylko wynik szacowania ryzyka dla konkretnego systemu w konkretnym budynku.

Strefa kontrolowana

Kluczowym pojęciem praktycznym jest obszar, nad którym jednostka sprawuje kontrolę i w którym może wykluczyć obecność osób nieuprawnionych oraz urządzeń odbiorczych.

Im większy i lepiej kontrolowany taki obszar wokół stanowiska, tym mniejsze wymagania wobec samego sprzętu. I odwrotnie: stanowisko przy ścianie zewnętrznej, za którą jest ogólnodostępny parking, wymaga znacznie więcej niż to samo stanowisko w środku budynku.

Z tego bierze się reguła, która oszczędza najwięcej pieniędzy: rozmieszczenie sprzętu jest zabezpieczeniem, i to najtańszym.

Co bierze się pod uwagę

Odległość od granicy obszaru kontrolowanego. Ściana zewnętrzna, okno, sąsiedni lokal, korytarz ogólnodostępny.

Sąsiedztwo instalacji przechodzących przez granicę. Przewody zasilające, telekomunikacyjne, kanały wentylacyjne i rury potrafią wyprowadzić sygnał poza strefę.

Rozdzielenie okablowania. Trasy przewodów systemu niejawnego prowadzi się oddzielnie od instalacji wychodzących na zewnątrz.

Klasa samego sprzętu. Urządzenia o obniżonej emisji są rozwiązaniem, ale nie zawsze koniecznym i zwykle najdroższym.

Kolejność ma znaczenie. Zmiana pomieszczenia bywa tańsza od wymiany sprzętu, a często skuteczniejsza.

Kto o tym decyduje

Dobór środków należy do zadań pełnomocnika ochrony, do których art. 15 ustawy zalicza zapewnienie ochrony systemów teleinformatycznych oraz zarządzanie ryzykiem bezpieczeństwa informacji niejawnych. Odpowiedzialność całościowa spoczywa na kierowniku jednostki zgodnie z art. 14 ust. 1.

W praktyce ocena wymaga wiedzy specjalistycznej, więc jednostki korzystają ze wsparcia z zewnątrz. Nie zmienia to jednak tego, kto podejmuje decyzję i kto ją zatwierdza.

Uzasadnienie zamiast katalogu

Najczęstszy błąd w tym obszarze polega na przyjęciu rozwiązania „na wszelki wypadek najmocniejszego”. Kosztuje, a i tak nie odpowiada na pytanie, dlaczego akurat tyle.

Odwrotny błąd polega na pominięciu tematu, bo „przecież nikt nas nie podsłuchuje”.

Rozwiązaniem obu jest to samo: opisane w SWB ryzyko, wskazane zabezpieczenie i jasno nazwane ryzyko szczątkowe zaakceptowane przez kierownika jednostki.

Zmiany w otoczeniu

Warto pamiętać, że ryzyko może się zmienić bez ruszania systemu. Nowy najemca za ścianą, przebudowa sąsiedniego budynku, zmiana układu pomieszczeń: wszystko to zmienia granice obszaru kontrolowanego.

Art. 49 ust. 4 wiąże z szacowaniem ryzyka zmiany w systemie, ale rozsądek każe przejrzeć dokumentację także wtedy, gdy zmienia się jego otoczenie.

Podsumowanie

Ochrona elektromagnetyczna jest elementem SWB, a nie osobnym tematem dla specjalistów. Decyduje o niej wielkość i jakość obszaru kontrolowanego wokół stanowiska, a najtańszym zabezpieczeniem jest przemyślane rozmieszczenie sprzętu. Każdy wybrany środek powinien dać się uzasadnić konkretnym ryzykiem.

Planujecie rozmieszczenie stanowisk albo zmienia się otoczenie budynku? Napiszcie do nas.