Pion ochrony: skład, zadania i miejsce w strukturze
Pion ochrony bywa mylony z jedną osobą, która „zajmuje się niejawnymi”. W ustawie jest to struktura z jasno określonym miejscem w jednostce i z katalogiem zadań.
Odpowiedzialność zaczyna się na górze
Art. 14 ust. 1 ustawy z dnia 5 sierpnia 2010 r. o ochronie informacji niejawnych stanowi, że za ochronę informacji niejawnych w jednostce organizacyjnej odpowiada kierownik jednostki, w szczególności za zorganizowanie i zapewnienie funkcjonowania tej ochrony.
To jest odpowiedzialność, której nie da się przekazać w dół. Powołanie pełnomocnika nie przenosi jej, tylko tworzy narzędzie do jej wykonywania.
Pełnomocnik ochrony
Ustawa przewiduje pełnomocnika do spraw ochrony informacji niejawnych, który podlega bezpośrednio kierownikowi jednostki i odpowiada za zapewnienie przestrzegania przepisów o ochronie informacji niejawnych.
Bezpośrednia podległość nie jest szczegółem organizacyjnym. Pełnomocnik ma kontrolować przestrzeganie przepisów przez komórki, więc umieszczenie go w strukturze pod jedną z nich odbiera mu tę możliwość. Pełnomocnik podległy dyrektorowi IT nie skontroluje działu IT.
Zadania z art. 15
Art. 15 ustawy wymienia zadania pełnomocnika. W praktyce układają się one w pięć obszarów:
Ochrona informacji niejawnych, w tym stosowanie środków bezpieczeństwa fizycznego.
Ochrona systemów teleinformatycznych, w których przetwarzane są informacje niejawne.
Zarządzanie ryzykiem bezpieczeństwa informacji niejawnych, w szczególności szacowanie ryzyka.
Kontrola ochrony informacji niejawnych oraz przestrzegania przepisów o ich ochronie, w tym okresowa, co najmniej raz na trzy lata, kontrola ewidencji, materiałów i obiegu dokumentów. Ten termin ustawa wskazuje wprost i bywa przeoczany.
Postępowania sprawdzające i szkolenia, w tym prowadzenie zwykłych postępowań sprawdzających, szkolenie osób oraz prowadzenie wykazu osób uprawnionych.
Opracowywanie i aktualizowanie planu ochrony informacji niejawnych należy do tego samego katalogu.
Kto tworzy pion ochrony
Pion ochrony to pełnomocnik oraz podlegli mu pracownicy realizujący zadania z zakresu ochrony informacji niejawnych. Do pionu należy również kancelaria tajna, jeśli w jednostce funkcjonuje: art. 42 opisuje ją jako komórkę podległą w zakresie ochrony pełnomocnikowi i obsadzoną przez pracowników pionu ochrony.
W jednostkach przetwarzających informacje w systemach teleinformatycznych do pionu należą też inspektor bezpieczeństwa teleinformatycznego i administrator systemu.
Mała jednostka
Najczęstsze pytanie praktyczne brzmi: czy w kilkunastoosobowej jednostce jedna osoba może pełnić wszystkie te funkcje.
Odpowiedź wymaga rozróżnienia. Łączenie funkcji, które wykonują czynności, jest zwykle dopuszczalne. Łączenie funkcji wykonującej z kontrolującą tworzy sytuację, w której ta sama osoba działa i sama siebie sprawdza.
Jedno połączenie wyklucza wprost sama ustawa: art. 52 ust. 1 pkt 2 definiuje administratora systemu jako osobę lub zespół osób niepełniących funkcji inspektora bezpieczeństwa teleinformatycznego. To nie jest zalecenie organizacyjne, tylko brzmienie przepisu.
Rozwiązaniem bywa powierzenie funkcji kontrolnej osobie z innej komórki albo wsparcie z zewnątrz, a nie rezygnacja z podziału.
Warunki, które muszą spełniać
Wymagania różnią się dla pełnomocnika i dla reszty pionu, co bywa mylone.
Pełnomocnik ochrony musi mieć obywatelstwo polskie, wykształcenie wyższe, odpowiednie poświadczenie bezpieczeństwa oraz zaświadczenie o przeszkoleniu przeprowadzonym przez ABW albo SKW. Wynika to z art. 14 ust. 3 ustawy. Przy tej funkcji upoważnienie kierownika nie zastąpi poświadczenia, a szkolenia nie przeprowadzi dowolny podmiot komercyjny.
Pozostali pracownicy pionu ochrony potrzebują, zgodnie z art. 16 ustawy, obywatelstwa polskiego (z wyjątkiem zatrudnionych u przedsiębiorców), odpowiedniego poświadczenia bezpieczeństwa albo upoważnienia, o którym mowa w art. 21 ust. 4 pkt 1, oraz zaświadczenia o przeszkoleniu.
To rozróżnienie ma praktyczne znaczenie w jednostce przetwarzającej wyłącznie informacje o klauzuli „zastrzeżone”: pion ochrony można tam obsadzić na podstawie upoważnień, ale pełnomocnik i tak musi mieć poświadczenie.
To jest częsty punkt zapalny przy obsadzie: poświadczenia nie da się załatwić na tydzień przed uruchomieniem systemu, bo postępowanie sprawdzające ma własne terminy.
Zastępstwa
Pion ochrony musi działać także wtedy, gdy pełnomocnik jest na urlopie. Zastępstwo wymaga takich samych uprawnień i powinno być wyznaczone pisemnie, zanim będzie potrzebne.
Jednostki, które tego nie rozstrzygnęły, w praktyce zawieszają obsługę materiałów niejawnych na czas nieobecności jednej osoby.
Podsumowanie
Za ochronę odpowiada kierownik jednostki, a pełnomocnik podległy mu bezpośrednio jest narzędziem wykonania tej odpowiedzialności. Katalog zadań z art. 15 obejmuje ochronę fizyczną, systemy, ryzyko, kontrolę i szkolenia. W małej jednostce można łączyć funkcje wykonawcze, ale nie wykonawczą z kontrolną.
Budujecie pion ochrony albo porządkujecie podział zadań? Zobaczcie, jak wygląda obsada pionu ochrony z pełnomocnikiem z zewnątrz, albo napiszcie do nas.
