Polityka bezpieczeństwa informacji a wymogi ustawy o OIN
Wiele firm ma politykę bezpieczeństwa informacji: z wdrożenia ISO 27001, z projektu RODO albo z wymagań klienta. Gdy pojawia się pierwsza umowa z klauzulą, pada pytanie, czy ta polityka wystarczy. Nie wystarczy, ale nie jest też bezużyteczna. Ustawa o ochronie informacji niejawnych wymaga konkretnych dokumentów o konkretnych nazwach, autorach i podpisach, a polityka może być nad nimi parasolem, pod warunkiem że nie mówi czego innego. Ten tekst pokazuje, co jest obowiązkiem, co dobrą praktyką, jak ułożyć oba zestawy w warstwy i gdzie najczęściej powstają sprzeczności.
Dokumenty, których wymaga ustawa
Ustawa z dnia 5 sierpnia 2010 r. o ochronie informacji niejawnych nie zna pojęcia „polityka bezpieczeństwa informacji”. Zna za to kilka dokumentów, których istnienia, autora i zatwierdzenia wymaga.
| Dokument | Kiedy wymagany | Kto opracowuje | Kto zatwierdza | Podstawa |
|---|---|---|---|---|
| plan ochrony informacji niejawnych, w tym na wypadek stanu nadzwyczajnego | zawsze, gdy jednostka przetwarza informacje niejawne | pełnomocnik ochrony | kierownik jednostki | art. 15 ust. 1 pkt 5 |
| sposób i tryb przetwarzania informacji „poufnych” | gdy są informacje „poufne” lub wyższe | pełnomocnik ochrony | kierownik jednostki | art. 43 ust. 3 |
| dokumentacja określająca poziom zagrożeń | gdy są informacje „poufne” lub wyższe | pełnomocnik ochrony | kierownik jednostki | art. 43 ust. 4 |
| instrukcja przetwarzania informacji „zastrzeżonych” wraz z zabezpieczeniami fizycznymi | gdy są informacje „zastrzeżone” | pełnomocnik ochrony | kierownik jednostki | art. 43 ust. 5 |
| szczególne wymagania bezpieczeństwa systemu (SWB) | gdy jest system teleinformatyczny | jednostka, zwykle z udziałem administratora i inspektora | kierownik (zastrzeżone) albo ABW/SKW przez akredytację | art. 48, art. 49 |
| procedury bezpiecznej eksploatacji (PBE) | gdy jest system teleinformatyczny | jak wyżej | jak wyżej | art. 49 ust. 3 |
| wykaz osób uprawnionych do dostępu | zawsze | pełnomocnik ochrony | prowadzony na bieżąco | art. 15 ust. 1 pkt 8 |
| ewidencje materiałów | zawsze | kancelaria albo punkt ewidencyjny | według instrukcji | art. 42, rozporządzenie o kancelariach |
Żadnego z tych dokumentów polityka nie zastępuje, z trzech powodów. Po pierwsze, ustawa wskazuje autora i zatwierdzającego, a polityki zwykle nie pisze pełnomocnik ochrony i nie zatwierdza jej w tej roli kierownik jednostki. Po drugie, treść jest określona: plan obejmuje stan nadzwyczajny, SWB zawiera wyniki szacowania ryzyka (art. 49 ust. 1), instrukcja obejmuje zabezpieczenia fizyczne. Po trzecie, kontroler ABW albo SKW (art. 12) pyta o dokumenty po nazwie i nie będzie szukał ich treści w rozdziale 7 polityki.
Pełną mapę dokumentów ochrony w jednostce, z zasadą niepowtarzania treści między nimi, opisuje tekst Dokumentacja ochrony w jednostce: co musi istnieć.
Co polityka dodaje, czego ustawa nie wymaga
Dokumenty ustawowe dotyczą wyłącznie informacji niejawnych. Firma ma tymczasem także tajemnicę przedsiębiorstwa, dane osobowe, dane klientów objęte umowami o poufności i własne informacje, których nie chce ujawnić. Polityka bezpieczeństwa informacji obejmuje to wszystko i dodaje elementy, o których ustawa milczy:
- klasyfikację informacji poza klauzulami: co jest jawne, co wewnętrzne, co poufne w rozumieniu firmy, a co niejawne w rozumieniu ustawy, i jak te kategorie się do siebie mają,
- zarządzanie incydentami dla wszystkich rodzajów informacji, z jednym punktem zgłoszeń,
- ciągłość działania i kopie zapasowe systemów jawnych,
- bezpieczeństwo osobowe poza postępowaniami sprawdzającymi: umowy o poufności, odbiór uprawnień przy odejściu,
- dostawców i podwykonawców w zakresie szerszym niż umowy niejawne,
- świadomość i szkolenia pracowników, którzy nigdy nie zobaczą dokumentu z klauzulą,
- właściciela i przegląd: kto za politykę odpowiada i jak często ją weryfikuje.
To wartość sama w sobie. Jednostka, która ma dobrą politykę, ma zwykle także kulturę, w której dokumenty ustawowe są przestrzegane, a nie tylko podpisane.
Trzy warstwy zamiast dwóch zestawów
Najczęstszy błąd polega na utrzymywaniu dwóch niezależnych światów: „dokumentów ISO” u pełnomocnika ds. systemu zarządzania i „dokumentów ustawowych” u pełnomocnika ochrony. Po roku mówią co innego. Rozwiązanie, które się sprawdza, to trzy warstwy z jednoznacznym pierwszeństwem.
Warstwa 1: polityka. Krótki dokument zarządu: cele, zakres, role, zasady klasyfikacji, zobowiązanie do przestrzegania przepisów. Ma jeden rozdział o informacjach niejawnych, który mówi wyłącznie: informacje niejawne są chronione zgodnie z ustawą o ochronie informacji niejawnych, odpowiada za to kierownik jednostki, a szczegóły określają dokumenty wymienione poniżej. I lista.
Warstwa 2: dokumenty ustawowe. Plan ochrony, instrukcje, dokumentacja poziomu zagrożeń, SWB i PBE, w treści wymaganej ustawą, z autorami i podpisami wymaganymi ustawą. Polityka im nie nadaje treści, tylko je wymienia.
Warstwa 3: procedury operacyjne. Instrukcje stanowiskowe, listy kontrolne, wzory. Część z nich wynika z warstwy 2 i wtedy jest jej załącznikiem, część z polityki dla informacji jawnych.
Zasada pierwszeństwa jest jedna: w sprawach informacji niejawnych dokument ustawowy ma pierwszeństwo przed polityką. Jeżeli polityka mówi inaczej, to polityka jest do poprawy.
Gdzie powstają sprzeczności
Sześć miejsc, w których polityka pisana dla informacji jawnych wchodzi w kolizję z ustawą. Warto je sprawdzić przed pierwszą umową niejawną.
Poczta i chmura. Polityka dopuszcza przesyłanie „informacji poufnych” zaszyfrowaną pocztą albo przez firmową chmurę. Informacje niejawne mogą być przetwarzane wyłącznie w systemie akredytowanym (art. 48 ust. 1), a przy „zastrzeżonych” zatwierdzonym przez kierownika (art. 48 ust. 9). Polityka musi wyłączyć informacje niejawne z ogólnych zasad komunikacji.
Praca zdalna i urządzenia prywatne. Polityka pozwala pracować z domu na laptopie służbowym. Z materiałami niejawnymi pracuje się w strefie ochronnej, w systemie akredytowanym, a urządzenie prywatne nie wchodzi w grę. Polityka musi to zastrzec, inaczej pracownik postępuje zgodnie z polityką i wbrew ustawie.
Retencja i niszczenie. Polityka mówi „dokumenty niszczy się po 5 latach w niszczarce”. Materiały niejawne podlegają ewidencji, brakowaniu z protokołem i przeglądowi klauzul co najmniej raz na 5 lat (art. 6 ust. 4). Zasady ogólne nie mogą ich obejmować.
Klasyfikacja. Polityka używa słowa „poufne” dla własnej kategorii informacji. Ustawa używa go dla klauzuli. Dwa znaczenia jednego słowa w jednej firmie prowadzą do sytuacji, w której pracownik traktuje dokument z klauzulą „poufne” jak firmową kategorię i wysyła go mailem. Polityka powinna używać innych nazw dla własnych kategorii albo wyraźnie oznaczać klauzule ustawowe.
Incydenty. Polityka kieruje wszystkie zgłoszenia do działu IT. Naruszenie ochrony informacji niejawnych zgłasza się pełnomocnikowi ochrony, który zawiadamia kierownika (art. 17 ust. 1), a przy „poufnych” i wyższych także ABW albo SKW (art. 17 ust. 2). Ścieżka musi być osobna i znana.
Dane osobowe. Wypełniona ankieta stanowi tajemnicę prawnie chronioną. Chroni się ją według zasad przewidzianych dla „poufne” przy postępowaniu poszerzonym albo „zastrzeżone” przy zwykłym (art. 24 ust. 10). Nie jest to automatyczne nadanie klauzuli tajności. Art. 24 ust. 9 reguluje pozyskiwanie danych osób trzecich w postępowaniu. Zakres stosowania przepisów o danych osobowych wymaga osobnej oceny podstaw prawnych i rodzaju danych, z uwzględnieniem art. 1 ust. 4–5 ustawy OIN; nie można wyłączyć całego obiegu z procedur ochronnych przez błędne założenie, że każda ankieta automatycznie uzyskuje klauzulę.
Jak to wygląda przy audycie i kontroli
Audytor systemu zarządzania bezpieczeństwem informacji przyjmuje dokumenty ustawowe jako dowód spełnienia własnych wymagań: plan ochrony jako element zarządzania ryzykiem, SWB jako dokumentację zabezpieczeń systemu, wykaz osób jako kontrolę dostępu. Nie trzeba pisać ich drugi raz „po ISO”, wystarczy odesłać.
Kontroler ABW albo SKW postępuje odwrotnie: nie interesuje go polityka, interesują go dokumenty ustawowe i ich pokrycie w rzeczywistości. Politykę obejrzy tylko po to, żeby sprawdzić, czy nie zawiera zapisów sprzecznych z ustawą. Jeżeli zawiera, to jest ustalenie kontroli, niezależnie od tego, jak dobre są dokumenty ustawowe.
Kto za co odpowiada
W jednostce z oboma zestawami warto rozpisać role, bo nakładają się na siebie.
- Kierownik jednostki odpowiada za ochronę informacji niejawnych (art. 14 ust. 1) i zwykle podpisuje politykę jako zarząd. Obie odpowiedzialności zbiegają się w jednej osobie, co jest zaletą.
- Pełnomocnik ochrony pisze dokumenty ustawowe i odpowiada za przestrzeganie przepisów o ochronie informacji niejawnych. Powinien opiniować każdą zmianę polityki, zanim zostanie zatwierdzona.
- Osoba odpowiedzialna za politykę (pełnomocnik ds. systemu zarządzania, inspektor ochrony danych, dyrektor IT) pisze politykę i procedury dla informacji jawnych. Nie ma uprawnień do decydowania o sposobie ochrony informacji niejawnych.
- Administrator i inspektor bezpieczeństwa teleinformatycznego odpowiadają za system akredytowany (art. 52) i nie muszą odpowiadać za resztę infrastruktury, choć często to ta sama osoba.
Jedna reguła porządkuje całość: dokument, który dotyczy informacji niejawnych, przechodzi przez pełnomocnika ochrony, niezależnie od tego, w której warstwie leży.
Typowe błędy
- Polityka jako jedyny dokument. Firma pokazuje kontrolerowi 60-stronicową politykę i nie ma planu ochrony.
- Dwa zestawy, dwóch autorów, zero uzgodnień. Polityka i instrukcja mówią co innego o tym samym.
- Jedno słowo „poufne” w dwóch znaczeniach.
- Reguły ogólne bez wyłączenia informacji niejawnych: poczta, chmura, praca zdalna, retencja.
- Powielanie treści. Plan ochrony przepisany do polityki, a potem aktualizowany tylko w jednym miejscu.
- Brak opinii pełnomocnika ochrony przy zmianach polityki.
Podsumowanie
Polityka bezpieczeństwa informacji nie zastępuje planu ochrony, instrukcji, dokumentacji poziomu zagrożeń ani SWB i PBE, bo ustawa określa ich autorów, zatwierdzających i treść. Dodaje za to klasyfikację, incydenty, ciągłość działania i dostawców dla informacji, których ustawa nie obejmuje. Oba zestawy układa się w trzy warstwy, z pierwszeństwem dokumentu ustawowego w sprawach informacji niejawnych, i sprawdza sześć typowych miejsc sprzeczności: poczta i chmura, praca zdalna, retencja, klasyfikacja, incydenty, dane osobowe.
Macie politykę bezpieczeństwa i pierwszą umowę z klauzulą? Zobaczcie, jak wygląda tworzenie polityk bezpieczeństwa informacji zgodnych z ustawą, albo napiszcie do nas.
