Postępowanie wyjaśniające po incydencie
← Powrót do przewodnika: Naruszenie ochrony
Po opanowaniu sytuacji przychodzi część, którą łatwo zbyć jednym zdaniem w notatce. To błąd: bez ustalenia przyczyny to samo zdarzenie powtórzy się w innym miejscu.
Kto to prowadzi
Ustalenia przygotowuje pion ochrony. Do zadań pełnomocnika ochrony art. 15 ustawy o ochronie informacji niejawnych zalicza kontrolę ochrony informacji niejawnych oraz przestrzegania przepisów o ich ochronie, a także zarządzanie ryzykiem.
Decyzje na podstawie tych ustaleń podejmuje kierownik jednostki, na którym spoczywa odpowiedzialność za ochronę zgodnie z art. 14 ust. 1.
Jeśli incydent dotyczy systemu teleinformatycznego, w ustaleniach uczestniczy inspektor bezpieczeństwa teleinformatycznego. Nie powinien ich prowadzić administrator, bo mógłby badać skutki własnych czynności.
Co trzeba ustalić
Co się stało. Fakty w porządku chronologicznym, oddzielone od interpretacji.
Jakich informacji dotyczy. Zakres i klauzula. Od tego zależy ocena skutków.
Kto mógł się z nimi zapoznać. Krąg osób, nie lista winnych.
Jak długo trwał stan naruszenia. Od kiedy do kiedy.
Co zawiodło. Procedura, jej wykonanie, zabezpieczenie techniczne, a może brak procedury w ogóle.
Czy zdarzenie było jednorazowe. To pytanie bywa pomijane, a odpowiedź często brzmi „nie”.
Kolejność, która ma znaczenie
Najpierw przyczyna, potem odpowiedzialność. Odwrotna kolejność psuje ustalenia, bo od momentu, w którym postępowanie zamienia się w szukanie winnego, ludzie przestają mówić, co naprawdę robili.
To nie jest kwestia miękkiego podejścia. Jeśli pracownicy obchodzą procedurę, bo w praktyce nie da się jej wykonać, to informacja o wiele cenniejsza niż nazwisko tego, kto ją obszedł jako ostatni.
Odpowiedzialność ustala się na końcu i osobno.
Trzy poziomy przyczyny
Warto rozróżnić, bo od tego zależą wnioski.
Wykonanie. Procedura istniała, była wykonalna, ktoś jej nie wykonał. Wniosek: przypomnienie, szkolenie, ewentualnie odpowiedzialność.
Procedura. Procedura istniała, ale była niewykonalna, niejasna albo nie obejmowała tej sytuacji. Wniosek: poprawa procedury.
Konstrukcja. Zabezpieczenie było niewystarczające albo ryzyko oszacowano zbyt nisko. Wniosek: powrót do szacowania ryzyka i do dokumentacji.
Najczęstszy błąd polega na zatrzymaniu się na pierwszym poziomie, bo jest najprostszy i najszybciej daje poczucie zamknięcia sprawy.
Wnioski i co z nimi zrobić
Wnioski mają być czynnościami, a nie postulatami. Każdy zawiera: co zrobić, kto, do kiedy i po czym poznamy, że zrobiono.
Wniosek „zwrócić uwagę na przestrzeganie procedur” nie spełnia żadnego z tych warunków. Wniosek „uzupełnić PBE o procedurę postępowania z nośnikiem przy awarii sprzętu, inspektor, do 30 dni, zatwierdzona wersja dokumentu” spełnia wszystkie.
Jeżeli wniosek prowadzi do zmiany w systemie, obowiązuje art. 49 ust. 4: podstawą jakiejkolwiek zmiany jest przeprowadzenie procesu szacowania ryzyka.
Zawiadomienie służby a ustalenia wewnętrzne
Jeżeli stwierdzono naruszenie przepisów o ochronie informacji niejawnych, pełnomocnik zawiadamia kierownika i niezwłocznie podejmuje działania wyjaśniające oraz ograniczające skutki (art. 17 ust. 1). Przy informacjach „poufne” lub wyższych niezwłocznie zawiadamia także ABW albo SKW (ust. 2). Obowiązku tego nie uzależnia się od uznania kierownika ani zakończenia wewnętrznych ustaleń.
Dokumentacja
Postępowanie kończy się dokumentem, który zawiera: opis zdarzenia, ustalenia faktyczne, ocenę skutków, przyczynę, wnioski z terminami i osobami odpowiedzialnymi oraz informację o powiadomieniach.
Ten dokument jest jednym z pierwszych, o które pyta kontrola zewnętrzna. Nie dlatego, że interesuje ją samo zdarzenie, tylko dlatego, że pokazuje, jak jednostka reaguje.
Powrót do ryzyka
Incydent jest sygnałem, że jakieś ryzyko mogło zostać oszacowane zbyt nisko, pominięte albo źle obsłużone w praktyce. Dlatego postępowanie wyjaśniające powinno kończyć się przeglądem szacowania ryzyka dla obszaru, którego dotyczyło.
Jednostki, które tego nie robią, opisują w dokumentacji świat, w którym incydent się nie wydarzył.
Podsumowanie
Postępowanie wyjaśniające ustala przyczynę, a nie winnego, i kończy się wnioskami, które są czynnościami z terminem. Jego najważniejszym elementem jest rozróżnienie, czy zawiodło wykonanie, procedura, czy konstrukcja zabezpieczeń, bo każdy z tych poziomów prowadzi do innych działań.
Potrzebujecie wsparcia przy ustaleniach po incydencie? Napiszcie do nas.
