Opracowanie SWB i PBE na zlecenie: jak przebiega współpraca
Jednostka dowiaduje się, że system do przetwarzania informacji niejawnych wymaga dokumentu szczególnych wymagań bezpieczeństwa i procedur bezpiecznej eksploatacji, a nikt w niej nigdy takich dokumentów nie pisał. Zlecenie ich opracowania na zewnątrz jest dopuszczalne i częste. Nie jest natomiast możliwe, żeby wykonawca zrobił wszystko sam, bo dokumentacja opisuje konkretny system w konkretnym pomieszczeniu, a odpowiedzialność za nią zostaje w jednostce. Ten tekst pokazuje, jak taka współpraca wygląda w praktyce: co wolno zlecić, co trzeba dostarczyć, ile to trwa i po czym poznać, że dokument jest dobry.
Co wolno zlecić, a co zostaje w jednostce
Ustawa z dnia 5 sierpnia 2010 r. o ochronie informacji niejawnych nie mówi, kto ma napisać SWB i PBE. Mówi za to wyraźnie, kto za nie odpowiada i kto je zatwierdza.
- Za ochronę informacji niejawnych w jednostce odpowiada kierownik jednostki (art. 14 ust. 1), a za ochronę systemów teleinformatycznych w ramach pionu ochrony pełnomocnik ochrony (art. 15 ust. 1).
- Kierownik wyznacza administratora systemu i inspektora bezpieczeństwa teleinformatycznego (art. 52 ust. 1), którzy przechodzą specjalistyczne szkolenie w ABW albo SKW (art. 52 ust. 4).
- Dla systemu o klauzuli „zastrzeżone” akredytacji udziela kierownik jednostki przez zatwierdzenie dokumentacji (art. 48 ust. 9), dla „poufnych” i wyższych ABW albo SKW (art. 48 ust. 1).
Z tego wynika prosty podział. Zlecić można redakcję dokumentów, przeprowadzenie szacowania ryzyka, przygotowanie procedur i wsparcie przy akredytacji. Nie da się zlecić podpisu kierownika, wyznaczenia administratora i inspektora, szkoleń w służbie ani decyzji o tym, jakie ryzyko szczątkowe jednostka akceptuje. Wykonawca, który obiecuje „dokumentację pod klucz bez angażowania ludzi z firmy”, obiecuje coś, czego ustawa nie przewiduje.
Kiedy zlecić, żeby nie płacić dwa razy
Art. 49 ust. 2 stanowi, że SWB opracowuje się na etapie projektowania systemu, w razie potrzeby konsultuje z ABW albo SKW, uzupełnia przy wdrażaniu i modyfikuje przed każdą zmianą. PBE powstają na etapie wdrażania (art. 49 ust. 3).
Najczęstszy błąd polega na zleceniu dokumentacji po zakupie sprzętu i ustawieniu go w pokoju. Wtedy dokument nie opisuje systemu, tylko zastany stan, a szacowanie ryzyka wykazuje, że pomieszczenie, drukarka albo nośniki nie spełniają wymagań. Poprawki kosztują więcej niż projekt. Dobry moment na zlecenie to chwila, gdy jednostka wie, jakie informacje i o jakiej klauzuli będzie przetwarzać, ale jeszcze nie kupiła komputera.
Co jednostka musi dostarczyć
Wykonawca pisze na podstawie danych, które ma tylko jednostka. Bez nich powstaje dokument ogólny, a taki nie przejdzie ani oceny ABW, ani pierwszej kontroli. Lista, którą warto przygotować przed pierwszym spotkaniem:
| Obszar | Co konkretnie |
|---|---|
| Cel systemu | jakie informacje, o jakiej klauzuli, od kogo i dla kogo, w jakiej ilości |
| Granica systemu | które urządzenia wchodzą w skład systemu: jednostka centralna, monitor, drukarka, nośniki, zasilanie awaryjne |
| Ludzie | użytkownicy, administrator, inspektor, pełnomocnik ochrony, wraz ze stanem poświadczeń i szkoleń |
| Pomieszczenie | lokalizacja, strefa ochronna, szafa, zamek, kontrola dostępu, sąsiedztwo |
| Dokumenty już istniejące | plan ochrony, dokumentacja poziomu zagrożeń, instrukcje, wcześniejsze wyniki szacowania ryzyka |
| Decyzje | czy system ma drukować, czy będzie wymiana danych przez nośniki, kto zatwierdza wydruki |
| Terminy | data pierwszej umowy niejawnej albo pierwszego materiału, który ma trafić do systemu |
Ostatni wiersz jest ważniejszy, niż wygląda. Jeżeli pierwszy dokument z klauzulą „poufne” ma wpłynąć za dwa miesiące, a ABW ma na akredytację do 6 miesięcy od otrzymania kompletnej dokumentacji, jednostka potrzebuje innego rozwiązania na okres przejściowy. Lepiej wiedzieć to na początku.
Sześć etapów pracy z wykonawcą
1. Rozpoznanie. Wizja lokalna, rozmowa z pełnomocnikiem ochrony i przyszłym administratorem, przegląd dokumentów. Wykonawca ustala, jaki system jest naprawdę potrzebny, bo bywa, że jednostka planuje sieć, a wystarczy dedykowane stanowisko komputerowe.
2. Szacowanie ryzyka. Warsztat z udziałem osób z jednostki, nie praca przy biurku wykonawcy. Zasoby, zagrożenia, podatności i ich ocena muszą pochodzić od ludzi, którzy będą z systemu korzystać. Metodę opisuje tekst Szacowanie ryzyka dla systemu niejawnego krok po kroku. Wynik trafia do SWB albo do odrębnego dokumentu, na co pozwala art. 49 ust. 1.
3. Projekt SWB. Wykonawca pisze dokument: granica systemu, tryb pracy, użytkownicy i role, zabezpieczenia powiązane z ryzykami, ryzyko szczątkowe. Jednostka czyta i poprawia to, co nie zgadza się z rzeczywistością. Zawartość dokumentu omawia tekst Dokumentacja SWB i PBE: co musi zawierać.
4. Konfiguracja i PBE. Administrator konfiguruje system zgodnie z SWB, a wykonawca równolegle pisze procedury: włączanie i wyłączanie, logowanie, nośniki, drukowanie, kopie zapasowe, incydenty, zmiany, konserwacja. Każda procedura jest sprawdzana na stanowisku, nie na papierze.
5. Sprawdzenie. Inspektor bezpieczeństwa teleinformatycznego przechodzi procedury krok po kroku i weryfikuje zgodność konfiguracji z SWB. Rozbieżności wracają do poprawki, zanim dokumentację zobaczy ktokolwiek z zewnątrz.
6. Zatwierdzenie i akredytacja. Przy „zastrzeżonych” kierownik zatwierdza dokumentację (art. 48 ust. 9) i system może ruszyć. Przy „poufnych” i wyższych dokumentacja idzie do ABW albo SKW, a przebieg opisuje tekst Akredytacja systemu niejawnego: przebieg całego procesu. Wykonawca odpowiada na uwagi służby i poprawia dokumenty, ale wniosek składa jednostka.
Ile to trwa
Terminy zależą nie od pisania, lecz od ludzi i od organu.
| Element | Orientacyjny czas | Od czego zależy |
|---|---|---|
| rozpoznanie i szacowanie ryzyka | 2 do 4 tygodnie | dostępność osób z jednostki, kompletność danych |
| projekt SWB i PBE | 3 do 6 tygodni | wielkość systemu, liczba uwag |
| szkolenie administratora i inspektora w ABW albo SKW | zależnie od terminów służby | art. 52 ust. 4, bez tego nie ma kto podpisać ról |
| poświadczenia dla użytkowników | do 3 miesięcy od złożenia ankiety | art. 24 ust. 6, przy „zastrzeżonych” wystarczą upoważnienia |
| akredytacja „zastrzeżone” | decyzja kierownika | gotowość dokumentacji |
| akredytacja „poufne” i wyżej | do 6 miesięcy od kompletnej dokumentacji | ABW albo SKW, ewentualne uwagi |
Dla stanowiska o klauzuli „zastrzeżone” realistyczny czas od pierwszego spotkania do uruchomienia to dwa do trzech miesięcy. Dla systemu „poufnego” trzeba liczyć pół roku i więcej, a największą niewiadomą są terminy szkoleń w służbie i postępowań sprawdzających.
Po czym poznać dobrą dokumentację
Kilka cech odróżnia dokument napisany dla tej jednostki od wzoru z wymienioną nazwą firmy.
- Granica systemu jest narysowana. Wiadomo, które urządzenie jest w systemie, a które nie, i dlaczego drukarka na korytarzu do niego nie należy.
- Każde zabezpieczenie ma swoje ryzyko. Tabela ryzyko, zabezpieczenie, ryzyko szczątkowe pozwala oceniającemu sprawdzić spójność w kilka minut.
- Procedury da się wykonać. Procedura logowania opisuje ten system, z jego ekranami i komunikatami, a nie „system operacyjny”.
- SWB i PBE mówią to samo. Jeżeli SWB zakazuje nośników, PBE nie ma procedury ich użycia. Jeżeli dopuszcza, procedura istnieje.
- Podstawy są wskazane. Przy każdym wymaganiu widać, czy wynika z ustawy, z rozporządzenia w sprawie podstawowych wymagań bezpieczeństwa teleinformatycznego, czy z decyzji jednostki po szacowaniu ryzyka.
- Dokument ma właściciela. Jest zapisane, kto go aktualizuje i kiedy, bo art. 49 ust. 4 wiąże każdą zmianę w systemie z ponownym szacowaniem ryzyka.
Czego wykonawca nie zrobi za jednostkę
Warto to spisać przed podpisaniem umowy, bo tu rodzą się nieporozumienia.
- Nie wyznaczy administratora ani inspektora, to decyzja kierownika (art. 52 ust. 1).
- Nie przeszkoli ich zamiast ABW albo SKW (art. 52 ust. 4).
- Nie podpisze SWB ani nie udzieli akredytacji (art. 48).
- Nie zaakceptuje ryzyka szczątkowego, bo to kierownik przyjmuje na siebie skutki tej decyzji.
- Nie będzie codziennie eksploatował systemu ani prowadził jego ewidencji.
- Nie zastąpi pełnomocnika ochrony, chyba że jednostka formalnie mu tę funkcję powierzy na warunkach z art. 14 ust. 3.
Może natomiast zostać po uruchomieniu: prowadzić przeglądy dokumentacji przy zmianach, przygotować jednostkę do kontroli i szkolić użytkowników z procedur, co zwykle jest tańsze niż pisanie wszystkiego od nowa po trzech latach.
Typowe błędy przy zlecaniu
- Kupno „wzoru SWB”. Wzór opisuje cudzy system. Oceniający rozpoznaje to po pierwszej stronie.
- Zlecenie bez wizji lokalnej. Pomieszczenie i sąsiedztwo systemu decydują o połowie zabezpieczeń.
- Pominięcie administratora. Dokument napisany bez osoby, która będzie system konfigurować, rozjeżdża się z konfiguracją w dniu uruchomienia.
- Brak przekazania wiedzy. Po odbiorze nikt w jednostce nie umie dokumentu zaktualizować, więc przy pierwszej zmianie sprzętu wraca się do punktu wyjścia.
- Umowa bez etapów. Odbiór jednego pliku na końcu nie daje jednostce wpływu na treść w trakcie pracy.
Podsumowanie
Dokumentację SWB i PBE można zlecić, ale nie można jej zlecić w całości. Wykonawca prowadzi szacowanie ryzyka, pisze i poprawia dokumenty oraz odpowiada na uwagi służby; jednostka dostarcza dane, wyznacza ludzi, podpisuje i eksploatuje. Najlepszy moment na zlecenie to etap projektowania, zanim kupi się sprzęt, a najbardziej niedoceniany składnik harmonogramu to terminy szkoleń i postępowań, nie samo pisanie.
Planujecie system do informacji niejawnych albo macie dokumentację, która wymaga poprawy przed akredytacją? Zobaczcie, jak wygląda opracowanie i certyfikacja dokumentacji systemów, albo napiszcie do nas.
