Plan ochrony informacji niejawnych w jednostce

← Powrót do przewodnika: Pion ochrony

Plan ochrony jest dokumentem spinającym cały system ochrony w jednostce. Jeśli inne dokumenty odpowiadają na pytania szczegółowe, ten odpowiada na pytanie, jak to wszystko układa się w całość.

Skąd bierze się obowiązek

Opracowywanie i aktualizowanie planu ochrony informacji niejawnych należy do zadań pełnomocnika ochrony wymienionych w art. 15 ustawy o ochronie informacji niejawnych.

Odpowiedzialność za zorganizowanie i funkcjonowanie ochrony spoczywa na kierowniku jednostki zgodnie z art. 14 ust. 1, więc to on plan zatwierdza.

Co plan zawiera

Zakres wynika z tego, czym jednostka faktycznie dysponuje. W praktyce plan obejmuje:

Opis jednostki i przetwarzanych informacji. Jakie klauzule występują, w jakich komórkach, w jakiej formie.

Strukturę pionu ochrony. Kto pełni jakie funkcje, kto kogo zastępuje, kto kontroluje który obszar.

Środki bezpieczeństwa fizycznego. Strefy, pomieszczenia, zabezpieczenia i zasady dostępu do nich.

Systemy teleinformatyczne. Wykaz systemów wraz z ich statusem akredytacyjnym i odesłaniem do SWB i PBE.

Zasady obiegu materiałów. Kancelaria, ewidencja, przekazywanie na zewnątrz.

Wyniki szacowania ryzyka dla jednostki jako całości, wraz z ryzykiem szczątkowym i jego akceptacją.

Zasady szkoleń i prowadzenia wykazu osób uprawnionych.

Postępowanie w sytuacjach szczególnych, w tym przy naruszeniu ochrony i w warunkach zagrożenia.

Relacja do innych dokumentów

To jest miejsce, w którym najczęściej powstaje bałagan. Podział jest następujący:

Plan ochrony opisuje jednostkę jako całość.

SWB i PBE opisują konkretny system teleinformatyczny, zgodnie z art. 49.

Instrukcja bezpieczeństwa przemysłowego z art. 71 dotyczy konkretnej umowy z dostępem do informacji o klauzuli „poufne” lub wyższej i wprowadza ją do umowy jednostka, która ją zawiera.

Plan nie powtarza treści tamtych dokumentów, tylko wskazuje, że istnieją, czego dotyczą i gdzie ich szukać. Przepisanie SWB do planu tworzy dwie wersje tej samej treści, które rozjadą się przy pierwszej aktualizacji.

Aktualizacja

Plan nie jest dokumentem jednorazowym. Aktualizacja powinna następować przy:

• zmianie struktury organizacyjnej albo obsady pionu ochrony,
• uruchomieniu, zmianie albo wycofaniu systemu teleinformatycznego,
• zmianie stref i zabezpieczeń fizycznych,
• zmianie zakresu przetwarzanych klauzul,
• po incydencie, który ujawnił lukę,
• po kontroli, jeśli wskazała uchybienia.

Do tego przegląd okresowy, w rytmie zapisanym w samym planie. Rok jest rozsądnym maksimum.

Najczęstsze braki

Plan opisujący jednostkę sprzed reorganizacji. Nazwy komórek i osoby, których już nie ma.

Brak zastępstw. Plan wskazuje pełnomocnika, milczy o tym, co się dzieje, gdy go nie ma.

Przepisane SWB. Dwie wersje tej samej treści, jedna nieaktualna.

Brak szacowania ryzyka na poziomie jednostki. Są analizy dla systemów, nie ma spojrzenia na całość.

Brak trybu aktualizacji. Plan istnieje, ale nikt nie wie, kiedy i kto ma go poprawić.

Zatwierdzenie bez daty. Nie da się ustalić, która wersja obowiązuje.

Jak to zrobić dobrze

Zacznij od inwentaryzacji. Co, gdzie i o jakiej klauzuli jest przetwarzane. Bez tego plan opisuje wyobrażenie o jednostce.

Wskaż osoby przez funkcje, nie nazwiska. Zmiana kadrowa nie powinna unieważniać dokumentu, choć wykaz osób trzeba prowadzić osobno i aktualnie.

Odsyłaj zamiast przepisywać. Jeden dokument, jedna treść.

Wpisz tryb aktualizacji do samego planu. Wtedy obowiązek nie zależy od pamięci.

Podsumowanie

Plan ochrony jest mapą całego systemu ochrony w jednostce i jedynym dokumentem, z którego widać, jak elementy łączą się w całość. Jego wartość zależy od dwóch rzeczy: zgodności ze stanem faktycznym i wpisanego wprost trybu aktualizacji.

Opracowujecie albo odświeżacie plan ochrony? Zobaczcie, jak wygląda opracowanie planu ochrony i polityk bezpieczeństwa, albo napiszcie do nas.