Procedury Bezpiecznej Eksploatacji: jak je napisać

← Powrót do przewodnika: Dokumentacja SWB i PBE

SWB mówi, jakie zasady obowiązują w systemie. PBE zamienia je na czynności, które ktoś ma faktycznie wykonać. To jest cała różnica między tymi dokumentami i jednocześnie źródło większości problemów z drugim z nich.

Kiedy powstaje PBE

Art. 49 ust. 3 ustawy o ochronie informacji niejawnych mówi, że dokument procedur bezpiecznej eksploatacji opracowuje się na etapie wdrażania oraz modyfikuje na etapie eksploatacji, przed wprowadzeniem zmian w systemie.

Kolejność jest logiczna: nie da się napisać procedury logowania do systemu, którego jeszcze nie ma. Ale nie oznacza to, że PBE powstaje na końcu, gdy sprzęt już stoi i trzeba dopiąć papiery. Etap wdrażania to moment, w którym decyduje się, jak system będzie obsługiwany, więc procedura pisana wtedy jeszcze może wpłynąć na sposób pracy.

Osiem elementów jednej procedury

PBE nie jest ciągłym tekstem, tylko zbiorem tematycznie wyodrębnionych procedur. Każdą z nich czyta osobno człowiek, który ma ją wykonać, często pod presją czasu i bez czytania całości.

Praktyka postępowań akredytacyjnych wypracowała stały układ:

1. Tytuł wskazujący czynność, a nie obszar. „Postępowanie z nośnikiem wynoszonym poza strefę”, nie „Nośniki”.
2. Przedmiot i cel procedury.
3. Osoby realizujące procedurę.
4. Dokumenty związane, w tym rejestry, które trzeba uzupełnić.
5. Wprowadzenie z warunkami, w jakich procedurę się uruchamia.
6. Opis postępowania, krok po kroku.
7. Załączniki, na przykład wzory wpisów do ewidencji.
8. Podpisy osoby sporządzającej i zatwierdzającej.

Punkt trzeci decyduje o wszystkim

Zapis „procedurę realizuje uprawniony pracownik” nie wskazuje nikogo. W dniu zdarzenia nikt nie wie, czy to on.

Wskazanie funkcji wskazuje konkretną osobę: inspektor bezpieczeństwa teleinformatycznego, administrator systemu, kierownik kancelarii tajnej, użytkownik stanowiska. Jednostka wie, kto zajmuje tę funkcję, więc procedura staje się wykonalna.

Punkt szósty ma być instrukcją, nie streszczeniem przepisu

Krok procedury zaczyna się od czasownika i kończy stanem, który da się sprawdzić. „Zarejestruj nośnik w dzienniku ewidencji, wpisując numer, klauzulę i datę wydania” jest krokiem. „Należy zapewnić właściwą ewidencję nośników” jest cytatem z zasady, którą już zapisano w SWB.

Jakie procedury trzeba mieć

Zakres wynika z tego, co zapisano w SWB, więc nie ma jednej listy dla wszystkich. W praktyce w niemal każdym systemie pojawiają się procedury dotyczące:

• rozpoczęcia i zakończenia pracy na stanowisku,
• zakładania, modyfikacji i odbierania kont oraz uprawnień,
• postępowania z nośnikami: oznaczanie, ewidencja, przenoszenie, wycofanie i niszczenie,
• wykonywania i odtwarzania kopii zapasowych,
• wprowadzania zmian w systemie, w tym aktualizacji oprogramowania,
• reagowania na incydent bezpieczeństwa i jego zgłaszania,
• konserwacji i napraw sprzętu, także przez podmiot zewnętrzny,
• kontroli i przeglądów okresowych,
• wycofania systemu z eksploatacji.

Ostatnia z nich bywa pomijana, a jest tą, którą trzeba mieć przygotowaną zawczasu: w momencie wycofywania systemu decyzje podejmuje się szybko, a dotyczą nośników z informacjami niejawnymi.

Trzy braki, które wracają najczęściej

Procedura bez wykonawcy. Opisana czynność, przy której nie wiadomo, kto ją robi. Omówiona wyżej.

Procedura bez śladu. Czynność wykonana, ale nigdzie nieodnotowana. Jeśli procedura nie mówi, gdzie zostaje wpis, po fakcie nie da się wykazać, że cokolwiek się wydarzyło. Rozliczalność jest jednym z filarów bezpieczeństwa systemu, a bierze się właśnie z takich zapisów.

Procedura przepisana z cudzego wzoru. Rozpoznaje się ją po tym, że wspomina role albo urządzenia, których w jednostce nie ma. To jest jednocześnie sygnał dla oceniającego, że dokumentacja nie opisuje tego konkretnego systemu.

Zmiana w systemie zaczyna się od ryzyka

Art. 49 ust. 4 wiąże każdą zmianę w systemie z przeprowadzeniem procesu szacowania ryzyka. Dotyczy to również procedur: jeśli zmienia się sposób pracy, najpierw patrzy się na ryzyko, a dopiero potem poprawia zapis.

Warto wpisać ten obowiązek wprost do procedury wprowadzania zmian. Wtedy nie trzeba o nim pamiętać, bo przypomina o sobie sam w chwili, gdy jest potrzebny.

Podsumowanie

Dobre PBE poznaje się po tym, że da się je wykonać bez autora. Każda procedura ma wskazanego wykonawcę, kończy się śladem w ewidencji i opisuje ten system, a nie system z wzoru znalezionego w internecie.

Jeśli piszecie PBE albo procedury nie przechodzą oceny, odezwijcie się. Bezpłatnie ocenimy, czego brakuje.