Od szacowania ryzyka do zapisów SWB: jak powstaje dokument

Szacowanie ryzyka i dokument szczególnych wymagań bezpieczeństwa powstają często osobno: analizę robi jedna osoba w arkuszu, dokument pisze druga na podstawie wzoru. Wynik jest do poznania po jednym pytaniu oceniającego: „z którego ryzyka wynika ten zapis?”. Ten tekst pokazuje, jak wynik szacowania ryzyka zamienia się w konkretne zapisy SWB i procedury PBE, na sześciu typowych ryzykach stanowiska do przetwarzania informacji niejawnych, oraz co z tego czyta ABW albo SKW przy akredytacji.

Dlaczego SWB bez powiązania z ryzykiem nie przechodzi

Art. 49 ust. 1 ustawy z dnia 5 sierpnia 2010 r. o ochronie informacji niejawnych wymaga, żeby SWB zawierał wyniki procesu szacowania ryzyka oraz określał sposoby osiągania i utrzymywania odpowiedniego poziomu bezpieczeństwa systemu, przyjęte w ramach zarządzania ryzykiem. Innymi słowy: dokument ma pokazać, jakie ryzyka zidentyfikowano i co z nimi zrobiono. Zabezpieczenie bez ryzyka jest ozdobą, ryzyko bez zabezpieczenia jest luką.

Samo szacowanie może być odrębnym dokumentem, na co art. 49 ust. 1 pozwala wprost, ale powiązanie musi być widoczne. Metodę siedmiu kroków opisuje tekst Szacowanie ryzyka dla systemu niejawnego krok po kroku. Tu zaczynamy tam, gdzie tamten tekst kończy: mamy listę ryzyk z oceną i trzeba je zamienić w dokument.

Jedna tabela, która trzyma cały dokument

Najprostsze narzędzie to tabela o pięciu kolumnach, prowadzona od pierwszego warsztatu do podpisu:

Tabela jest załącznikiem do SWB albo rozdziałem dokumentu szacowania ryzyka. Oceniający czyta ją jako pierwszą, bo odpowiada na pytanie o spójność w kilka minut. Jednostka używa jej przy każdej zmianie, bo art. 49 ust. 4 wiąże zmianę w systemie z ponownym szacowaniem ryzyka, a tabela pokazuje, które wiersze zmiana dotyka.

Sześć typowych ryzyk i ich droga do dokumentu

Poniższe przykłady dotyczą jednego stanowiska komputerowego do informacji „poufnych” w pokoju w strefie ochronnej. Zapisy są przykładowe co do formy, nie są gotowym wzorem, bo ocena ryzyka w innej jednostce da inny wynik.

1. Wyniesienie danych na nośniku

Ryzyko. Użytkownik kopiuje dokument na własny nośnik i wynosi go poza strefę. Podatność: porty USB dostępne, brak kontroli nośników.

Zapis w SWB. System nie dopuszcza nośników innych niż zaewidencjonowane i oznaczone klauzulą; porty są zablokowane sprzętowo albo w konfiguracji; wymiana danych odbywa się wyłącznie przez nośniki z ewidencji, za zgodą osoby wskazanej w PBE.

Procedura w PBE. Wydanie nośnika z ewidencji, zapis w rejestrze, przeniesienie danych, zwrot, kontrola stanu nośnika.

Ryzyko szczątkowe. Użytkownik z uprawnieniami może wynieść zaewidencjonowany nośnik. Ogranicza to ewidencja i kontrola przy wyjściu ze strefy; kierownik akceptuje.

2. Dostęp osoby nieuprawnionej do pomieszczenia

Ryzyko. Osoba bez uprawnień wchodzi do pokoju podczas nieobecności użytkownika i widzi ekran albo wydruk.

Zapis w SWB. Stanowisko znajduje się w strefie ochronnej o określonym poziomie; dostęp do pomieszczenia mają wyłącznie osoby z wykazu; wygaszanie ekranu z blokadą po określonym czasie; pomieszczenie zamykane przy każdym opuszczeniu, zgodnie z rozporządzeniem w sprawie środków bezpieczeństwa fizycznego.

Procedura w PBE. Rozpoczęcie i zakończenie pracy, opuszczenie stanowiska, postępowanie z wydrukami, przyjęcie osoby postronnej w asyście.

Ryzyko szczątkowe. Serwisant albo sprzątanie w asyście osoby uprawnionej; akceptowane.

3. Złośliwe oprogramowanie z nośnika

Ryzyko. Nośnik użyty do wprowadzenia danych z systemu jawnego przenosi złośliwe oprogramowanie.

Zapis w SWB. Dane wprowadza się wyłącznie przez stanowisko pośredniczące ze sprawdzeniem antywirusowym; system ma aktualne oprogramowanie ochronne aktualizowane offline w trybie opisanym w PBE; uruchamianie programów z nośników jest zablokowane.

Procedura w PBE. Wprowadzanie danych z zewnątrz, aktualizacja sygnatur, postępowanie po wykryciu zagrożenia jako incydent.

Ryzyko szczątkowe. Zagrożenie nieznane sygnaturom; ograniczone przez blokadę uruchamiania i brak sieci; akceptowane.

4. Ulot elektromagnetyczny i podsłuch

Ryzyko. Emisja z monitora, kabli i drukarki daje się odebrać poza pomieszczeniem.

Zapis w SWB. Wynik analizy odległości od granicy strefy kontrolowanej; dobór sprzętu i rozmieszczenie zgodnie z tą analizą; zakaz urządzeń nadawczych w pomieszczeniu. Podstawy omawia tekst Ochrona elektromagnetyczna i strefy kontrolowane.

Procedura w PBE. Wnoszenie urządzeń elektronicznych, kontrola rozmieszczenia sprzętu po każdej zmianie.

Ryzyko szczątkowe. Zależy od wyniku analizy; przy „poufnych” w strefie o wystarczającej odległości zwykle akceptowane bez sprzętu specjalnego.

5. Utrata danych przez awarię

Ryzyko. Awaria dysku niszczy jedyną kopię dokumentów w opracowaniu.

Zapis w SWB. Kopie zapasowe na zaewidencjonowanym nośniku, przechowywane w szafie o klasie odpowiedniej do klauzuli, w cyklu określonym w PBE; nośnik kopii traktowany jak materiał o klauzuli systemu. Szerzej: Kopie zapasowe i ciągłość działania systemu niejawnego.

Procedura w PBE. Wykonanie kopii, weryfikacja odtworzenia, ewidencja nośnika, niszczenie nośnika po wycofaniu.

Ryzyko szczątkowe. Utrata pracy od ostatniej kopii; akceptowane przy cyklu dostosowanym do ilości pracy.

6. Błąd użytkownika przy drukowaniu

Ryzyko. Wydruk dokumentu „poufnego” zostaje w drukarce albo trafia do kosza bez ewidencji.

Zapis w SWB. Drukarka jest częścią systemu, stoi w tym samym pomieszczeniu, wydruki są ewidencjonowane jako materiały; błędne wydruki podlegają zniszczeniu z odnotowaniem.

Procedura w PBE. Drukowanie i ewidencja wydruku, postępowanie z wydrukiem błędnym, niszczenie.

Ryzyko szczątkowe. Pomyłka mimo procedury; ograniczona szkoleniem i kontrolą pełnomocnika; akceptowane.

Co z tego czyta oceniający

ABW albo SKW przy akredytacji systemu „poufnego” i wyższego (art. 48 ust. 1) oraz kierownik jednostki przy „zastrzeżonych” (art. 48 ust. 9) sprawdzają w praktyce cztery rzeczy.

• Czy lista ryzyk jest kompletna dla tego typu systemu. Brak ryzyka nośników przy stanowisku z portami USB jest ustaleniem.
• Czy każde ryzyko ma odpowiedź i czy odpowiedź jest proporcjonalna. Ryzyko wysokie zamknięte jednym zdaniem o „przeszkoleniu użytkowników” nie jest odpowiedzią.
• Czy zabezpieczenie z SWB ma procedurę w PBE. Zapis „nośniki podlegają ewidencji” bez procedury wydania i zwrotu jest deklaracją.
• Czy ryzyko szczątkowe zostało zaakceptowane przez osobę, która ma do tego prawo, z datą.

Dokument, który te cztery pytania wyprzedza, przechodzi ocenę szybciej, a uwagi, jeżeli są, dotyczą szczegółów, nie konstrukcji.

Ryzyko szczątkowe: kto je przyjmuje

Ryzyka nie da się sprowadzić do zera, a próba udawania, że się dało, jest najczęstszym błędem początkujących autorów. Ryzyko szczątkowe opisuje się wprost i przedstawia kierownikowi jednostki do akceptacji, bo to on odpowiada za ochronę (art. 14 ust. 1). Akceptacja ma formę podpisu pod tabelą albo pod dokumentem szacowania ryzyka, z datą.

Ryzyko, którego kierownik nie chce zaakceptować, wraca do tabeli: albo dokłada się zabezpieczenie, albo zmienia się system, na przykład rezygnuje z drukarki. Obie decyzje są dopuszczalne; niedopuszczalne jest ryzyko, o którym kierownik nie wie.

Gdy system się zmienia

Nowa drukarka, drugi użytkownik, przeniesienie do innego pokoju. Art. 49 ust. 4 wymaga wtedy ponownego szacowania ryzyka, a art. 49 ust. 2 i 3 modyfikacji SWB i PBE przed zmianą. Z tabelą jest to praca na godziny: nowy wiersz dla nowego zasobu, przegląd wierszy, które zmiana dotyka, aktualizacja rozdziałów wskazanych w kolumnach. Bez tabeli jest to praca od nowa. Kiedy zmiana wymaga powtórzenia akredytacji, wyjaśnia tekst Zmiany w systemie po akredytacji.

Typowe błędy

• SWB napisany przed szacowaniem ryzyka, a analiza dopisana na końcu, żeby pasowała.
• Zabezpieczenia z katalogu rozporządzenia przepisane w całości, bez związku z ryzykiem tej jednostki.
• Ryzyka bez oceny, sama lista zagrożeń.
• Brak kolumny „gdzie w PBE”. SWB obiecuje, PBE nie wykonują.
• Ryzyko szczątkowe pominięte albo zaakceptowane przez administratora zamiast kierownika.
• Tabela nieaktualizowana po zmianie sprzętu.

FAQ – Najczęściej zadawane pytania

Czy szacowanie ryzyka musi być zapisane w SWB?

Wyniki tak (art. 49 ust. 1). Przebieg i wyniki procesu mogą być przedstawione w odrębnym dokumencie, ale powiązanie z zapisami SWB musi być widoczne.

Kto akceptuje ryzyko szczątkowe?

Kierownik jednostki organizacyjnej, bo to on odpowiada za ochronę informacji niejawnych (art. 14 ust. 1). Podpis administratora albo autora dokumentacji nie wystarcza.

Czy po każdej zmianie trzeba szacować ryzyko od nowa?

Art. 49 ust. 4 wymaga szacowania ryzyka przy zmianie w systemie. Z tabelą powiązań sprowadza się to do przeglądu wierszy, które zmiana dotyka, a nie do pracy od początku.

Ile ryzyk powinien opisywać dokument dla jednego stanowiska?

Ustawa nie podaje liczby. Liczy się pokrycie wszystkich zasobów systemu, od nośników po wydruki; dla stanowiska autonomicznego wychodzi zwykle kilkanaście do kilkudziesięciu pozycji.

Podsumowanie

SWB powstaje z szacowania ryzyka, nie obok niego: każde ryzyko ma zabezpieczenie opisane w SWB, procedurę w PBE i ryzyko szczątkowe zaakceptowane przez kierownika. Tabela o pięciu kolumnach trzyma tę spójność od warsztatu do podpisu i przy każdej zmianie. Oceniający sprawdza kompletność ryzyk, proporcjonalność odpowiedzi, pokrycie w procedurach i akceptację ryzyka szczątkowego.

Macie analizę ryzyka w arkuszu i SWB, który z niej nie wynika? Zobaczcie, jak wygląda opracowanie i certyfikacja dokumentacji systemów, albo napiszcie do nas.

Zobacz również

• Szacowanie ryzyka dla systemu niejawnego krok po kroku
• Szczególne Wymagania Bezpieczeństwa: struktura dokumentu
• Opracowanie SWB i PBE na zlecenie: jak przebiega współpraca