Akredytacja systemów niejawnych i dokumentacja SWB, PBE

System teleinformatyczny, w którym mają być przetwarzane informacje niejawne, podlega akredytacji bezpieczeństwa teleinformatycznego (art. 48 ust. 1 ustawy o ochronie informacji niejawnych). Przy klauzuli „poufne” lub wyższej akredytacji udziela ABW albo SKW (art. 48 ust. 3), przy klauzuli „zastrzeżone” kierownik jednostki organizacyjnej, zatwierdzając dokumentację bezpieczeństwa (art. 48 ust. 9). My przygotowujemy system i dokumentację do tego etapu: od pierwszego szacowania ryzyka po komplet dokumentów, które trafiają do organu albo na biurko kierownika. To główny obszar naszej pracy. Jak wygląda krok po kroku, opisuje tekst Opracowanie SWB i PBE na zlecenie.

Dla kogo

• Jednostki samorządu terytorialnego i urzędy, które muszą uruchomić stanowisko do przetwarzania informacji niejawnych albo odnowić akredytację po zmianach w systemie.
• Przedsiębiorcy przygotowujący się do postępowania bezpieczeństwa przemysłowego, którzy chcą przetwarzać informacje niejawne we własnych systemach, czyli ubiegają się o świadectwo pierwszego stopnia (art. 55 ust. 1).
• Jednostki, którym kończy się okres akredytacji, udzielanej na czas określony, nie dłuższy niż 5 lat (art. 48 ust. 2).
• Pełnomocnicy ochrony i inspektorzy bezpieczeństwa teleinformatycznego, którzy potrzebują wsparcia przy dokumentacji, a nie zastępstwa.

Kto udziela akredytacji i ile to trwa

ABW albo SKW udziela albo odmawia akredytacji w terminie 6 miesięcy od otrzymania kompletnej dokumentacji, a przy rozległym systemie termin może się wydłużyć o kolejne 6 miesięcy. Od odmowy nie ma odwołania (art. 48 ust. 4). Dlatego dokumentacja składana do organu musi być kompletna i spójna za pierwszym razem. Przy klauzuli „zastrzeżone” kierownik jednostki w ciągu 30 dni od udzielenia akredytacji przekazuje dokumentację ABW albo SKW (art. 48 ust. 11), a organ może w ciągu 30 dni przedstawić zalecenia (art. 48 ust. 12). Szczegóły obu ścieżek: Akredytacja systemu o klauzuli zastrzeżone i Świadectwo akredytacji bezpieczeństwa: co z niego wynika.

Co obejmuje

• Analiza i klasyfikacja. Ustalamy, jakie informacje i o jakiej klauzuli system ma przetwarzać, bo od tego zależy tryb akredytacji i zakres wymagań.
• Szacowanie ryzyka. Wstępne i końcowe szacowanie ryzyka dla systemu, udokumentowane tak, żeby wynikało z niego, dlaczego dobrano takie, a nie inne zabezpieczenia. Metodę opisujemy w tekście Szacowanie ryzyka dla systemu niejawnego krok po kroku.
• Dokumentacja bezpieczeństwa. Dokument szczególnych wymagań bezpieczeństwa (SWB) i dokument procedur bezpiecznej eksploatacji (PBE), pisane dla konkretnego systemu, nie z szablonu. Co muszą zawierać i kto je zatwierdza: Dokumentacja SWB i PBE.
• Pomieszczenia. Dokumentacja potrzebna do certyfikacji pomieszczeń, w których stoi system: strefy ochronne, środki bezpieczeństwa fizycznego, kontrola dostępu.
• Bezpieczeństwo przemysłowe. Wsparcie przedsiębiorcy w przygotowaniu do postępowania zakończonego wydaniem Świadectwa Bezpieczeństwa Przemysłowego, w tym w części dotyczącej systemów teleinformatycznych. Przebieg: Jak uzyskać Świadectwo Bezpieczeństwa Przemysłowego.

SWB i PBE: dwa dokumenty, dwa momenty

Dokument szczególnych wymagań bezpieczeństwa zawiera wyniki szacowania ryzyka, przyjęte sposoby osiągania i utrzymywania bezpieczeństwa oraz opis budowy, zasad działania i eksploatacji systemu w zakresie, który ma związek z bezpieczeństwem (art. 49 ust. 1). Opracowuje się go na etapie projektowania, w razie potrzeby konsultuje z ABW albo SKW, uzupełnia przy wdrażaniu i zmienia przed każdą modyfikacją systemu (art. 49 ust. 2). Dokument procedur bezpiecznej eksploatacji powstaje na etapie wdrażania i również jest zmieniany przed zmianami w systemie (art. 49 ust. 3). Podstawą każdej zmiany jest ponowne szacowanie ryzyka (art. 49 ust. 4).

W praktyce oznacza to, że SWB opisuje, jak system ma być zbudowany i dlaczego, a PBE mówi administratorowi i użytkownikom, co robić dzień po dniu: logowanie, nośniki, wydruki, kopie, incydenty, przeglądy. Piszemy oba tak, żeby dało się według nich pracować, a nie tylko przejść akredytację. Struktura każdego z nich: Szczególne Wymagania Bezpieczeństwa i Procedury Bezpiecznej Eksploatacji.

Sieć czy stanowisko autonomiczne

Większości urzędów i firm wystarcza pojedyncze stanowisko odcięte od sieci. Dokumentacja jest wtedy krótsza, szacowanie ryzyka prostsze, a akredytacja szybsza. Budujemy takie stanowiska od doboru sprzętu po akredytację w ramach usługi dedykowane stanowiska komputerowe. Sieć niejawna ma sens tam, gdzie kilka osób w różnych pomieszczeniach musi pracować na tych samych materiałach. Wymaga więcej ról, więcej procedur i dłuższego postępowania, a różnice w dokumentacji potrafią zaskoczyć jednostkę, która wcześniej miała tylko stanowisko autonomiczne.

Jak przebiega współpraca

1. Rozmowa i bezpłatna ocena zakresu. Ustalamy, co jednostka ma, czego jej brakuje i jaki tryb akredytacji ją dotyczy.
2. Przegląd systemu i pomieszczeń na miejscu, gdy wymaga tego zakres prac.
3. Szacowanie ryzyka i projekt zabezpieczeń uzgodniony z pełnomocnikiem ochrony i administratorem.
4. Opracowanie SWB i PBE oraz pozostałych dokumentów. Każdy zapis ma wskazaną podstawę: przepis ustawy, rozporządzenia albo wynik szacowania ryzyka.
5. Wsparcie w kontakcie z ABW albo SKW w toku procedury akredytacyjnej, a przy klauzuli „zastrzeżone” przy przygotowaniu akredytacji udzielanej przez kierownika jednostki. Decyzja o akredytacji należy do właściwego organu albo kierownika.
6. Po akredytacji: aktualizacja dokumentacji przy zmianach w systemie, bo podstawą każdej zmiany jest ponowne szacowanie ryzyka (art. 49 ust. 4).

Co otrzymujesz

Komplet dokumentacji bezpieczeństwa gotowy do przekazania organowi, uzasadnienie doboru zabezpieczeń, wykaz obowiązków administratora i inspektora po uruchomieniu systemu oraz harmonogram czynności okresowych. Prawa autorskie do opracowanej przez nas dokumentacji pozostają przy nas, a jednostka otrzymuje nieprzenoszalną licencję na korzystanie z niej na własne potrzeby. Jednostki, w których przeprowadziliśmy ten proces, wymieniamy z nazwy na stronie Realizacje.

Po akredytacji: kto pilnuje systemu

Kierownik jednostki wyznacza pracownika pionu ochrony pełniącego funkcję inspektora bezpieczeństwa teleinformatycznego oraz administratora systemu, który nie może być jednocześnie inspektorem (art. 52 ust. 1). Obie funkcje wymagają szkolenia specjalistycznego ABW albo SKW (art. 52 ust. 4). Inspektor sprawdza, czy system działa zgodnie z SWB i czy przestrzegane są procedury z PBE, administrator odpowiada za jego funkcjonowanie. Co robi inspektor dzień po dniu, opisuje tekst Inspektor bezpieczeństwa teleinformatycznego. Jeśli jednostka nie ma osób, które mogą objąć te funkcje, obsadzamy je w ramach usługi obsada pionu ochrony.

Czego nie obiecujemy

Decyzję o akredytacji podejmuje ABW, SKW albo kierownik jednostki. Nie da się jej „załatwić”, można się do niej dobrze przygotować. Nasza odpowiedzialność to jakość dokumentów i zgodność systemu z tym, co w nich napisano.

Najczęstsze pytania

Ile trwa przygotowanie systemu do akredytacji?

Zależy od klauzuli, liczby stanowisk i stanu pomieszczeń. Po pierwszej rozmowie podajemy roboczy harmonogram z założeniami i zależnościami po stronie jednostki oraz organu. Do tego dochodzi czas po stronie organu: przy klauzuli „poufne” i wyższej do 6 miesięcy od złożenia kompletnej dokumentacji (art. 48 ust. 4).

Czy przy klauzuli „zastrzeżone” też potrzebna jest dokumentacja SWB i PBE?

Tak. System o klauzuli „zastrzeżone” również wymaga akredytacji, tyle że udziela jej kierownik jednostki organizacyjnej (art. 48 ust. 9), a dokumentacja jest jej podstawą.

Co się dzieje po upływie okresu akredytacji?

Akredytacji udziela się na czas określony, nie dłuższy niż 5 lat (art. 48 ust. 2). Przed upływem terminu system przechodzi proces ponownie, z aktualnym szacowaniem ryzyka i uzupełnioną dokumentacją. Zaczynamy go na tyle wcześnie, żeby jednostka nie została bez akredytowanego systemu.

Czy możemy przygotować dokumentację sami, a Was poprosić tylko o przegląd?

Tak. Przegląd gotowej dokumentacji przed złożeniem do organu to częsty zakres współpracy, zwłaszcza w jednostkach z doświadczonym pełnomocnikiem ochrony.