Środki bezpieczeństwa fizycznego: dobór według poziomu zagrożeń

Dobór środków bezpieczeństwa fizycznego według poziomu zagrożeń polega na ustaleniu, jakie realne zdarzenia mogą doprowadzić do utraty poufności, integralności albo dostępności informacji niejawnych, a następnie na dobraniu zabezpieczeń, które zmniejszą to ryzyko do akceptowalnego poziomu. Stawką nie jest sama liczba zamków, czujek i procedur, tylko wykazanie, że zastosowane rozwiązania odpowiadają klauzuli informacji, miejscu ich przetwarzania, sposobowi pracy i możliwości reakcji na naruszenie.

Podstawa oceny

Wymagania dotyczące ochrony informacji niejawnych wynikają z ustawy o ochronie informacji niejawnych oraz aktów wykonawczych. Dla zabezpieczeń fizycznych podstawowe znaczenie ma rozporządzenie w sprawie środków bezpieczeństwa fizycznego stosowanych do zabezpieczania informacji niejawnych.

Przepisy nie działają jak lista zakupów. Ten sam sejf, zamek albo system alarmowy może być wystarczający w jednym obiekcie i niewystarczający w innym, jeżeli zmienia się klauzula, ilość materiałów, dostęp osób postronnych, czas reakcji ochrony albo sposób organizacji pracy.

W praktyce kontrola najpierw patrzy na spójność: czy opis zagrożeń, plan ochrony, organizacja stref, zabezpieczenia techniczne i codzienna ewidencja mówią to samo. Jeżeli dokumentacja deklaruje wysoki poziom zagrożeń, a pomieszczenie jest traktowane jak zwykły pokój biurowy, problem jest widoczny po kilku minutach oględzin.

Dobór według poziomu zagrożeń w praktyce

Dobór zaczyna się od ustalenia, co ma być chronione i gdzie. Inaczej ocenia się kancelarię tajną z regularnym obiegiem dokumentów, inaczej jednorazowe przechowywanie materiałów w wydzielonym pomieszczeniu, a inaczej stanowisko systemu teleinformatycznego przetwarzającego informacje niejawne.

Trzeba rozdzielić trzy pytania:

• jaka jest najwyższa klauzula informacji,
• ile materiałów będzie przetwarzanych i jak często,
• kto realnie może znaleźć się w pobliżu miejsca przetwarzania.

Dopiero potem ma sens rozmowa o drzwiach, szafach, czujkach, kontroli dostępu i ochronie fizycznej. Częsty błąd polega na tym, że jednostka zaczyna od zakupu urządzeń, a dopiero później próbuje dopisać do nich uzasadnienie w dokumentacji.

Analiza poziomu zagrożeń

Analiza zagrożeń powinna opisywać konkretne scenariusze, nie ogólne hasła. W dokumencie trzeba nazwać, czy zagrożeniem jest włamanie po godzinach pracy, dostęp osoby sprzątającej, sąsiedztwo ogólnodostępnego korytarza, brak stałego dozoru, wspólna infrastruktura budynku, ryzyko pożaru, zalania albo wyniesienia nośnika.

W praktyce bierze się pod uwagę między innymi:

• lokalizację obiektu i jego otoczenie,
• sposób kontroli wejść do budynku,
• liczbę osób pracujących w strefie,
• obecność osób bez poświadczeń lub upoważnień,
• czas, przez jaki materiały pozostają poza szafą lub składem,
• możliwość obserwacji pracy z zewnątrz,
• wcześniejsze incydenty i nieprawidłowości,
• czas reakcji ochrony, patrolu albo osoby dyżurnej.

Ocena zagrożeń nie powinna być jednorazową tabelą odłożoną do segregatora. Jeżeli jednostka przenosi kancelarię, zmienia właściciela budynku, rezygnuje z ochrony całodobowej albo zwiększa liczbę przetwarzanych dokumentów, poprzednia ocena może przestać odpowiadać stanowi faktycznemu.

Punktacja środków

Rozporządzenie posługuje się metodyką, w której określonym zabezpieczeniom przypisuje się wartość punktową. Sens punktacji jest prosty: zabezpieczenia mają łącznie odpowiadać ustalonemu poziomowi zagrożeń, a nie wynikać z uznania osoby sporządzającej dokument.

Punktacja nie zwalnia z myślenia. System alarmowy może dawać wysoką wartość na papierze, ale jeżeli nikt nie reaguje na alarm, a procedura po godzinach pracy nie istnieje, zabezpieczenie nie działa tak, jak opisano.

Dobrą praktyką jest prowadzenie tabeli doboru, w której dla każdego środka wskazuje się:

• nazwę i kategorię zabezpieczenia,
• miejsce zastosowania,
• klasę, certyfikat albo podstawę przyjęcia parametru, jeżeli ma znaczenie,
• przypisaną punktację,
• uzasadnienie, jakie zagrożenie dany środek ogranicza,
• dokument potwierdzający wykonanie, na przykład protokół, instrukcję, umowę serwisową, wydruk konfiguracji albo kartę urządzenia.

Najczęściej brakuje ostatnich dwóch elementów. Sama suma punktów wygląda poprawnie, ale nie da się ustalić, czy zabezpieczenie istnieje, działa i kto odpowiada za jego utrzymanie.

Kategorie zabezpieczeń

Środki fizyczne najlepiej porządkować według funkcji. Wtedy łatwiej wykazać, że system ochrony nie opiera się na jednym elemencie.

Środki budowlane obejmują konstrukcję pomieszczenia, ściany, stropy, okna, drzwi, wydzielenie strefy oraz odporność przegród. W praktyce problemem są adaptowane pokoje biurowe, w których drzwi wymieniono na solidniejsze, ale pozostawiono słabe przeszklenie, sufit podwieszany albo przejście instalacyjne do sąsiedniego pomieszczenia.

Środki mechaniczne to między innymi zamki, szafy, pojemniki, kraty, blokady i urządzenia do przechowywania. Tu trzeba sprawdzać nie tylko wygląd i deklarację sprzedawcy, ale dokument potwierdzający klasę, przeznaczenie i zgodność z wymaganiami przyjętymi w dokumentacji.

Środki elektroniczne obejmują sygnalizację włamania i napadu, kontrolę dostępu, monitoring wizyjny oraz systemy rejestracji zdarzeń. Ich słabym punktem jest eksploatacja: brak testów, brak przeglądów, wyłączone powiadomienia, nieaktualna lista użytkowników kart i nieopisany tryb dostępu serwisowego.

Środki organizacyjne to procedury, podział odpowiedzialności, zasady pobierania i zdawania kluczy, ewidencja wejść, nadzór nad osobami zewnętrznymi, zamykanie pomieszczeń, niszczenie brudnopisów i kontrola końca dnia. To często najtańsza grupa zabezpieczeń, ale przy kontroli daje najwięcej ustaleń negatywnych, bo wymaga codziennej dyscypliny.

Strefy i przechowywanie

Dobór zabezpieczeń trzeba powiązać z organizacją stref ochronnych. Jeżeli osoba nieuprawniona może podejść pod drzwi pomieszczenia, zajrzeć przez okno albo wejść do sekretariatu bez odnotowania, poziom zabezpieczeń wewnątrz pomieszczenia nie rozwiązuje całego problemu.

W kancelarii tajnej i innych miejscach przechowywania materiałów niejawnych znaczenie ma nie tylko szafa lub pomieszczenie, ale cały obieg: przyjęcie, rejestracja, wydanie, praca z dokumentem, zwrot i zamknięcie po zakończeniu pracy. Szerzej o wymaganiach lokalowych dla kancelarii pisano w opracowaniu Wymagania dla pomieszczeń kancelarii tajnej.

Dla systemu teleinformatycznego trzeba dodatkowo sprawdzić, czy zabezpieczenia fizyczne odpowiadają dokumentacji bezpieczeństwa systemu. Stanowisko, serwer, nośniki, kopie zapasowe i wydruki muszą być objęte spójnymi zasadami, a nie osobnymi praktykami różnych komórek organizacyjnych.

Dokumentowanie doboru

Dobór środków powinien być widoczny w dokumentacji ochronnej jednostki. Najczęściej będzie to plan ochrony informacji niejawnych, dokumentacja kancelarii, dokumentacja systemu teleinformatycznego albo załączniki techniczne do tych dokumentów.

Minimum praktyczne to:

• opis chronionych informacji i miejsc ich przetwarzania,
• ocena poziomu zagrożeń,
• wykaz zastosowanych środków,
• punktacja i uzasadnienie doboru,
• opis stref i zasad dostępu,
• wskazanie osób odpowiedzialnych za utrzymanie zabezpieczeń,
• harmonogram przeglądów, testów i aktualizacji,
• dowody wykonania, na przykład protokoły, certyfikaty, instrukcje i rejestry.

Jeżeli jednostka ma już plan ochrony, dobór zabezpieczeń nie powinien funkcjonować jako oddzielna wyspa. Powinien wynikać z założeń opisanych w planie ochrony informacji niejawnych, bo to tam zwykle widać, czy organizacja ochrony jest całościowa.

W dokumentacji trzeba rozróżnić wymagania obowiązkowe od decyzji organizacyjnych jednostki. Jeżeli coś wynika z przepisu albo warunków akredytacji, należy to oznaczyć jako wymóg. Jeżeli jest przyjętą dobrą praktyką, na przykład dodatkowa kontrola zamknięcia pomieszczenia przez drugą osobę, trzeba opisać ją jako wewnętrzną zasadę, a nie udawać przepis.

Co sprawdza kontrola

Kontrola zwykle nie zaczyna się od szczegółowej dyskusji o tabeli punktowej. Najpierw sprawdzany jest stan faktyczny: kto ma klucze, gdzie są przechowywane, jak wygląda wejście do strefy, czy szafy są zamknięte, czy rejestry są prowadzone i czy osoby obecne w pomieszczeniu mają podstawę dostępu.

Potem przychodzi porównanie z dokumentacją. Jeżeli instrukcja mówi o codziennym sprawdzaniu zamknięcia, powinien istnieć ślad wykonania albo przynajmniej spójna praktyka znana pracownikom.

Przygotowując jednostkę do kontroli, dobrze jest przejść trasę dokumentu od wpływu do zamknięcia w szafie. Ta prosta próba ujawnia braki szybciej niż przegląd segregatorów: niejasne zastępstwa, brak drugiego kompletu kluczy w procedurze, nieaktualne upoważnienia, martwe zapisy o alarmie i osoby, które wykonują czynności, ale nie potrafią wskazać podstawy.

Więcej o samym przygotowaniu organizacyjnym opisano w tekście Kontrola ABW lub SKW w jednostce: jak się przygotować.

Typowe błędy

Najczęstszy błąd to kopiowanie rozwiązań z innej jednostki. Zabezpieczenia dobrane dla budynku z portiernią, ochroną całodobową i ograniczonym ruchem osób nie muszą pasować do wynajętego piętra w biurowcu.

Drugi błąd to mylenie zabezpieczenia z dokumentem zakupu. Faktura za system alarmowy nie potwierdza, że system jest skonfigurowany zgodnie z potrzebą, testowany, serwisowany i objęty reakcją.

Trzeci błąd to brak właściciela środka. Jeżeli nikt nie odpowiada za aktualizację listy kart dostępu, przegląd zamków, test czujek albo odbiór protokołów serwisowych, zabezpieczenie stopniowo przestaje być zgodne z opisem.

Czwarty błąd to nieuwzględnienie pracy po godzinach. Dokumentacja opisuje tryb dzienny, a realnie pracownicy zostają wieczorem, korzystają z innych wejść, odbierają telefony od ochrony albo zostawiają materiały do rana, bo kancelaria jest już zamknięta.

Piąty błąd to traktowanie środków organizacyjnych jako dodatku. W praktyce to one decydują, czy szafa jest zamknięta, klucze są rozliczone, osoba serwisowa jest nadzorowana, a naruszenie zostanie zauważone i zgłoszone.

Kiedy aktualizować ocenę

Ocena poziomu zagrożeń wymaga przeglądu po każdej istotnej zmianie. Chodzi zwłaszcza o zmianę lokalizacji, przebudowę pomieszczeń, zmianę klauzuli, zwiększenie liczby materiałów, nowe stanowisko teleinformatyczne, zmianę firmy ochrony, zmianę zasad dostępu do budynku albo incydent.

Aktualizacja nie zawsze oznacza wymianę zabezpieczeń. Czasem wystarczy zmiana procedury, dodatkowy rejestr, ograniczenie dostępu, test alarmu, uporządkowanie kluczy albo dopisanie obowiązków w instrukcji stanowiskowej.

Nie należy jednak dopasowywać oceny zagrożeń do tego, co już kupiono. Jeżeli stan faktyczny nie spełnia wymagań wynikających z oceny, trzeba wskazać działanie korygujące, termin i osobę odpowiedzialną.

Granice opracowania

Ten tekst nie rozstrzyga, jakie dokładnie zabezpieczenie wystarczy w konkretnej jednostce. Ostateczna ocena zależy od dokumentacji, lokalizacji, klauzuli, organizacji pracy, wymagań właściwego organu oraz ustaleń dokonanych przez kierownika jednostki i pełnomocnika ochrony.

Przy informacjach o wyższych klauzulach, systemach akredytowanych przez ABW albo SKW, obiektach współdzielonych i umowach niejawnych nie należy opierać decyzji wyłącznie na ogólnej metodyce. W takich przypadkach trzeba uzgadniać założenia z pełnomocnikiem ochrony, a w razie potrzeby z właściwą służbą lub zamawiającym.

Podsumowanie

Dobór zabezpieczeń fizycznych zaczyna się od rzetelnej oceny zagrożeń, a nie od wyboru urządzeń. Klauzula, ilość materiałów, lokalizacja, dostęp osób postronnych i możliwość reakcji decydują o tym, jakie środki budowlane, mechaniczne, elektroniczne i organizacyjne są potrzebne.

Punktacja pomaga uporządkować decyzję, ale nie zastępuje sprawdzenia, czy zabezpieczenie działa w codziennej eksploatacji. Najbezpieczniejsza dokumentacja to taka, którą da się przejść krok po kroku w terenie: od wejścia do budynku, przez strefę, pomieszczenie, szafę, rejestr, aż do osoby odpowiedzialnej za każdy element ochrony.