Polityki bezpieczeństwa i plan ochrony informacji niejawnych

Polityka bezpieczeństwa, która działa, ma dwie cechy: wynika z szacowania ryzyka przeprowadzonego dla tej jednostki, a nie skopiowanego z innej, i da się według niej pracować. Pełnomocnik ochrony odpowiada za zarządzanie ryzykiem, w szczególności za jego szacowanie (art. 15 ust. 1 pkt 3 ustawy o ochronie informacji niejawnych), oraz za opracowanie i aktualizowanie planu ochrony informacji niejawnych, który akceptuje kierownik jednostki (art. 15 ust. 1 pkt 5). Piszemy te dokumenty razem z pełnomocnikiem, dla jednostki, w której mają obowiązywać. Obok akredytacji systemów to drugi filar naszej pracy.

Dla kogo

• Jednostki organizacyjne, które tworzą pion ochrony od zera albo porządkują dokumenty po latach.
• Przedsiębiorcy przed postępowaniem bezpieczeństwa przemysłowego, którzy muszą wykazać, jak chronią informacje niejawne.
• Jednostki po kontroli, z zaleceniem uzupełnienia albo poprawienia dokumentacji.
• Pełnomocnicy ochrony, którzy przejęli plan ochrony po poprzedniku i chcą wiedzieć, czy odpowiada temu, co jednostka naprawdę robi.

Które dokumenty wymaga ustawa, a które porządkują pracę

Pozostałe polityki i procedury, jak zasady przyjmowania gości w strefach ochronnych, postępowanie z incydentami czy obieg wewnętrzny, ustawa zostawia jednostce. Są potrzebne wtedy, gdy wynika to z szacowania ryzyka, i tylko w takim zakresie. Dokumentację systemu teleinformatycznego opracowujemy w ramach usługi akredytacja systemów niejawnych, tutaj zajmujemy się resztą.

Co obejmuje

• Szacowanie ryzyka. Wstępne, przed projektowaniem zabezpieczeń, i końcowe, po ich wdrożeniu. Uwzględniamy drogi wypływu informacji: ludzi, dokumenty, systemy, pomieszczenia, podwykonawców. Metoda: Szacowanie ryzyka krok po kroku.
• Plan ochrony informacji niejawnych. Dokument, który pełnomocnik opracowuje i aktualizuje, a kierownik jednostki akceptuje (art. 15 ust. 1 pkt 5), obejmujący także postępowanie w razie wprowadzenia stanu nadzwyczajnego.
• Instrukcja dla klauzuli „zastrzeżone”. Sposób i tryb przetwarzania takich informacji w komórkach organizacyjnych oraz zakres i warunki stosowania środków bezpieczeństwa fizycznego, zatwierdzane przez kierownika jednostki (art. 43 ust. 5). W jednostce, która ma tylko informacje „zastrzeżone”, to najważniejszy dokument po planie ochrony.
• Polityki i procedury. Zasady dostępu, obiegu dokumentów, pracy w systemach teleinformatycznych, postępowania z incydentami, przyjmowania gości w strefach ochronnych. Tyle dokumentów, ile jednostka potrzebuje, i ani jednego więcej.
• Odpowiedzialności. Jasny podział między kierownika jednostki, pełnomocnika, inspektora bezpieczeństwa teleinformatycznego, administratora i kierownika kancelarii, z uwzględnieniem tego, które funkcje wolno łączyć. Gdy brakuje osób do obsadzenia funkcji, pomagamy w ramach obsady pionu ochrony.
• Przeglądy. Harmonogram aktualizacji, bo polityka nieaktualizowana po zmianie systemu albo struktury przestaje chronić.

Plan ochrony: co musi się w nim znaleźć

Ustawa nie podaje wzoru planu ochrony, wymaga tylko, żeby istniał, był aktualny i obejmował stan nadzwyczajny. Plan, który broni się przed kontrolą, opisuje:

• jakie informacje niejawne, o jakich klauzulach i w których komórkach jednostka przetwarza;
• środki bezpieczeństwa fizycznego: strefy ochronne, szafy, klucze, kontrolę wejść;
• obieg materiałów i ewidencje, w tym kancelarię tajną, jeśli jest;
• systemy teleinformatyczne z datami akredytacji i osobami odpowiedzialnymi;
• obsadę pionu ochrony i zastępstwa na czas nieobecności;
• szkolenia z terminami, bo powtarza się je nie rzadziej niż raz na 5 lat (art. 19 ust. 3);
• kontrole okresowe pełnomocnika, co najmniej raz na trzy lata (art. 15 ust. 1 pkt 4);
• postępowanie w razie stanu nadzwyczajnego: kto, w jakiej kolejności i dokąd zabezpiecza albo ewakuuje materiały, kto o tym decyduje i jak to dokumentuje;
• postępowanie po incydencie, od pierwszej godziny po zauważeniu naruszenia.

Plan pisany z takiej listy ma zwykle kilkanaście stron i jest czytany. Plan przepisany z wzoru ma kilkadziesiąt i leży w szafie. Najczęstsze potknięcia zebraliśmy w tekście Najczęstsze błędy w dokumentacji bezpieczeństwa.

Jak przebiega współpraca

1. Rozmowa z kierownikiem jednostki i pełnomocnikiem: jakie informacje, jakie klauzule, jakie systemy, jakie umowy.
2. Szacowanie ryzyka na podstawie przeglądu jednostki, z udziałem osób, które faktycznie pracują z dokumentami.
3. Projekt dokumentów i ich omówienie. Każdy zapis, który wynika z przepisu, ma go wskazany; każdy, który wynika z ryzyka, ma odesłanie do szacowania.
4. Wdrożenie: szkolenie osób, których dokument dotyczy, i ustalenie, kto pilnuje terminów przeglądów.
5. Aktualizacja po zmianach w jednostce, na życzenie albo w ramach stałej współpracy.

Co otrzymujesz

Plan ochrony informacji niejawnych gotowy do akceptacji przez kierownika jednostki, instrukcję dla klauzuli „zastrzeżone” gotową do zatwierdzenia, komplet polityk i procedur dopasowanych do jednostki, udokumentowane szacowanie ryzyka oraz harmonogram przeglądów. Prawa autorskie do opracowanej przez nas dokumentacji pozostają przy nas, a jednostka otrzymuje nieprzenoszalną licencję na korzystanie z niej na własne potrzeby.

Czego nie obiecujemy

Plan ochrony akceptuje, a instrukcję zatwierdza kierownik jednostki, a za ich stosowanie odpowiada pełnomocnik ochrony. My odpowiadamy za to, żeby dokumenty były zgodne z ustawą, wynikały z ryzyka tej konkretnej jednostki i dały się stosować. Jednostki, dla których je opracowaliśmy, wymieniamy z nazwy na stronie Realizacje.

Najczęstsze pytania

Czy nie wystarczy wzór polityki z internetu?

Wzór pokazuje układ, ale nie zna Twojej jednostki. Kontrola pyta o to, dlaczego zabezpieczenia są takie, a nie inne, a odpowiedzią jest szacowanie ryzyka, którego wzór nie zawiera.

Czy plan ochrony jest potrzebny, gdy jednostka ma tylko informacje „zastrzeżone”?

Tak. Opracowanie i aktualizowanie planu ochrony należy do zadań pełnomocnika ochrony niezależnie od klauzuli (art. 15 ust. 1 pkt 5), a do tego dochodzi instrukcja z art. 43 ust. 5. W małej jednostce oba dokumenty są krótkie, ale muszą być.

Ile dokumentów powinna mieć jednostka?

Tyle, ile wynika z jej zakresu: inaczej wygląda to w urzędzie z jednym stanowiskiem o klauzuli „zastrzeżone”, inaczej w firmie z kancelarią tajną i umowami na „tajne”. Nadmiar dokumentów szkodzi tak samo jak ich brak, bo nikt ich nie czyta.

Jak często aktualizować polityki?

Po każdej istotnej zmianie: nowego systemu, nowej umowy, zmiany struktury albo incydentu. Niezależnie od tego przegląd roczny jest dobrą praktyką, a terminy przeglądów zapisujemy w samych dokumentach.