Konsultacje i audyt ochrony informacji niejawnych

Kierownik jednostki organizacyjnej odpowiada za ochronę informacji niejawnych (art. 14 ust. 1 ustawy o ochronie informacji niejawnych), a pełnomocnik ochrony za przestrzeganie przepisów, w tym za zarządzanie ryzykiem i okresowe kontrole (art. 15 ust. 1). Obaj potrzebują czasem spojrzenia z zewnątrz: przed kontrolą ABW lub SKW, po zmianie organizacyjnej, przy pierwszej umowie niejawnej albo wtedy, gdy dokumenty są, a nikt nie jest pewien, czy odpowiadają rzeczywistości. Konsultacje to właśnie takie spojrzenie, zakończone konkretnym planem.

Dla kogo

• Kierownicy jednostek i pełnomocnicy ochrony przygotowujący się do kontroli albo porządkujący ochronę po latach „jakoś działa”.
• Przedsiębiorcy, którzy po raz pierwszy stają przed wymaganiami ustawy i chcą wiedzieć, co ich naprawdę dotyczy, a co nie. Podstawy zbiera tekst Zasady ochrony informacji niejawnych: wymogi prawne.
• Jednostki po incydencie albo po uwagach pokontrolnych, które muszą wykazać wykonanie zaleceń.
• Kierownicy, którzy przejęli jednostkę razem z pionem ochrony i chcą wiedzieć, co odziedziczyli.

Co obejmuje

• Przegląd stanu jednostki. Dokumentacja, pomieszczenia, obieg materiałów, systemy teleinformatyczne, wykaz osób uprawnionych, szkolenia i ich terminy. Część dotyczącą systemu opisuje tekst Audyt bezpieczeństwa systemu niejawnego.
• Identyfikacja ryzyka. Gdzie informacja może wypłynąć: przez ludzi, dokumenty, sprzęt czy pomieszczenia, i które z tych dróg są realne w tej konkretnej jednostce.
• Ocena zgodności. Każde ustalenie odnosimy do przepisu, żeby raport dało się bronić przed kontrolą, a nie tylko przeczytać. Na co najczęściej trafiamy: Najczęstsze błędy w dokumentacji bezpieczeństwa.
• Plan działań. Kolejność, odpowiedzialni, terminy. Rozdzielamy to, co trzeba zrobić natychmiast, od tego, co można rozłożyć na miesiące.
• Przygotowanie do kontroli. Przegląd tego, o co pyta kontrola, z dokumentami w ręku, i uzupełnienie braków przed jej terminem.

Jak przebiega współpraca

1. Rozmowa o tym, co jednostkę niepokoi, i bezpłatna ocena zakresu.
2. Wizyta na miejscu z przeglądem dokumentów i pomieszczeń. Rozmawiamy z pełnomocnikiem, kierownikiem kancelarii i administratorem, bo procedury na papierze i w praktyce często się różnią.
3. Raport z ustaleniami, oceną ryzyka i planem działań. Piszemy go dla kierownika jednostki, więc bez żargonu tam, gdzie nie jest potrzebny.
4. Omówienie raportu i, jeśli jednostka tego chce, wykonanie zaleceń w ramach pozostałych usług: dokumentacji systemu, planu ochrony i polityk albo obsady pionu ochrony.

Co otrzymujesz

Raport ze stanu ochrony informacji niejawnych w jednostce z podstawą prawną każdego ustalenia, listę ryzyk uszeregowaną według wagi i plan działań z terminami. Dokument nadaje się do przedłożenia kierownikowi jednostki i do wykorzystania przy kontroli. Prawa autorskie do raportu pozostają przy nas, a jednostka otrzymuje nieprzenoszalną licencję na korzystanie z niego na własne potrzeby. Jednostki, które przeszły taki przegląd, wymieniamy z nazwy na stronie Realizacje.

Najczęstsze pytania

Czy konsultacja zastąpi pełnomocnika ochrony?

Nie. Pełnomocnik ochrony to funkcja ustawowa: osoba zatrudniona przez kierownika jednostki i bezpośrednio mu podległa (art. 14 ust. 2). Konsultacje dają pełnomocnikowi spojrzenie z zewnątrz i argumenty, ale nie przejmują jego zadań. Jeżeli jednostka nie ma pełnomocnika albo inspektora, obejmujemy te funkcje jako osoby wyznaczone przez kierownika w ramach usługi obsada pionu ochrony.

Jak długo trwa przegląd jednostki?

Od jednego dnia w małym urzędzie do kilku w jednostce z kancelarią tajną i systemem teleinformatycznym. Termin ustalamy po pierwszej rozmowie. Kiedy jednostka w ogóle potrzebuje kancelarii, wyjaśnia tekst Kancelaria tajna: kiedy trzeba ją utworzyć.

Czy raport z przeglądu jest sam w sobie dokumentem niejawnym?

Zależy od jego treści. Jeżeli opisuje konkretne zabezpieczenia systemu albo pomieszczeń, ustalamy z pełnomocnikiem ochrony, jak go oznaczyć i przechowywać, zanim powstanie.