Strefy ochronne I, II i III: wyznaczanie i organizacja

Wyznaczanie i organizacja stref ochronnych I, II i III polega na takim podziale budynku, aby dostęp do informacji niejawnych był kontrolowany jeszcze przed wejściem do pomieszczenia, szafy, kancelarii albo stanowiska systemu. Stawką jest nie tylko zgodność z dokumentacją ochrony, ale też możliwość wykazania podczas kontroli, kto mógł wejść, na jakiej podstawie i czy samo wejście dawało dostęp do materiałów niejawnych.

Podstawa i cel

Obowiązek stosowania środków bezpieczeństwa fizycznego wynika z systemu ochrony informacji niejawnych określonego w ustawie o ochronie informacji niejawnych. Szczegółowe rozwiązania dotyczące środków bezpieczeństwa fizycznego, w tym organizacji stref, znajdują się w rozporządzeniu Rady Ministrów w sprawie środków bezpieczeństwa fizycznego stosowanych do zabezpieczania informacji niejawnych.

Strefa ochronna nie jest dekoracją na planie budynku. To granica organizacyjna i techniczna, za którą zmieniają się zasady wejścia, przebywania, nadzoru, pracy z dokumentem, obsługi interesanta i reagowania na naruszenie.

W praktyce strefy służą trzem rzeczom:

• oddzielają osoby uprawnione od osób przypadkowych,
• ograniczają możliwość obserwacji, podsłuchu, wyniesienia albo sfotografowania materiału,
• porządkują odpowiedzialność za wejścia, klucze, kody, alarmy, dzienniki i dozór.

Najczęstszy błąd na początku polega na tym, że jednostka wyznacza strefę dopiero wokół sejfu albo pokoju kancelarii. Kontrola patrzy szerzej: którędy idzie pracownik z dokumentem, kto widzi wejście do kancelarii, gdzie czeka interesant, gdzie pracuje serwis sprzątający i czy po godzinach ktoś może wejść niezauważony.

Różnice między strefami

Strefa ochronna I obejmuje miejsce, w którym samo wejście może dawać bezpośredni dostęp do informacji niejawnych. Chodzi na przykład o pomieszczenie, w którym dokumenty są wyłożone do pracy, odbywa się narada z użyciem materiałów niejawnych albo pracuje się na systemie teleinformatycznym w sposób umożliwiający odczyt informacji z ekranu.

Do takiej strefy nie powinno się wpuszczać osoby tylko dlatego, że ma identyfikator pracowniczy. Potrzebne są przesłanki dostępu do informacji niejawnych, w tym odpowiednie uprawnienie, przeszkolenie oraz potrzeba dostępu wynikająca z zadań. Samo poświadczenie bezpieczeństwa nie zastępuje zasady wiedzy koniecznej, opisanej szerzej w opracowaniu Zasada wiedzy koniecznej w codziennej pracy.

Strefa ochronna II jest zwykle miejscem, w którym informacje niejawne są przechowywane albo przetwarzane, ale samo wejście nie powinno jeszcze dawać bezpośredniego dostępu do ich treści. Przykład: pokój z szafą do przechowywania materiałów, zamkniętą zgodnie z procedurą, albo pomieszczenie, gdzie stanowisko komputerowe jest wyłączone, zablokowane i objęte kontrolą dostępu.

W tej strefie największe znaczenie ma dyscyplina użytkowników. Jeżeli dokumenty leżą na biurku, monitor pokazuje treść niejawną, a osoba nieuprawniona weszła „tylko na chwilę”, to w praktyce strefa II zaczyna działać jak strefa I, tylko bez właściwych zabezpieczeń.

Strefa ochronna III pełni funkcję bufora. Obejmuje przestrzeń, która pozwala kontrolować podejście do stref wyższych, ale sama nie jest miejscem pracy z informacjami niejawnymi. Może to być wydzielony korytarz, część kondygnacji, recepcja wewnętrzna albo obszar przed kancelarią, jeżeli obowiązują tam zasady wejścia i identyfikacji.

Strefa III często decyduje o tym, czy układ budynku da się obronić organizacyjnie. Jeżeli drzwi kancelarii tajnej wychodzą wprost na ogólnodostępny hol, to nawet najlepsza szafa i alarm nie rozwiązują problemu obserwacji ruchu osobowego, rozmów i czynności kancelaryjnych.

Strefy ochronne I, II i III w budynku

Wyznaczanie zaczyna się od rozpoznania, gdzie rzeczywiście pojawia się informacja niejawna. Nie od pytania, który pokój jest wolny, tylko od mapy czynności: rejestracja, przyjęcie przesyłki, dekretacja, praca merytoryczna, powielanie, niszczenie, archiwizacja, odprawa, praca na systemie, serwis urządzeń.

Dopiero potem nakłada się tę mapę na rzut budynku. Trzeba sprawdzić wejścia, ciągi komunikacyjne, windy, klatki schodowe, toalety, pomieszczenia socjalne, okna na parterze, ściany wspólne z innym najemcą i trasy ewakuacyjne.

Praktyczna kolejność jest następująca:

1. Ustalić klauzule informacji, które będą przetwarzane w jednostce.
2. Wskazać pomieszczenia pracy, przechowywania i obsługi materiałów.
3. Określić, czy wejście do danego miejsca daje bezpośredni dostęp do treści.
4. Wyznaczyć granice stref na planie kondygnacji.
5. Przypisać środki techniczne i organizacyjne do każdej granicy.
6. Opisać zasady wejścia, przebywania, eskortowania i zamykania.
7. Zweryfikować to z planem ochrony, instrukcjami i procedurami kancelarii albo systemu.

Nie każda jednostka potrzebuje wszystkich trzech stref w rozbudowanej postaci. Mały przedsiębiorca wykonujący umowę niejawną może mieć prostszy układ niż urząd z kancelarią, archiwum, salą odpraw i kilkoma systemami. Uproszczenie musi jednak wynikać z realnej organizacji i analizy ryzyka, a nie z braku miejsca.

Dokumentacja stref

Strefy muszą być widoczne w dokumentacji ochrony, nie tylko w głowie pełnomocnika. Zwykle opisuje się je w planie ochrony informacji niejawnych, dokumentacji bezpieczeństwa fizycznego, instrukcjach kancelaryjnych oraz dokumentacji systemu teleinformatycznego, jeżeli system pracuje w wydzielonym pomieszczeniu.

Dokumentacja powinna pokazywać co najmniej:

• wykaz pomieszczeń objętych strefami,
• plan sytuacyjny lub rzut kondygnacji z granicami stref,
• opis punktów wejścia i sposobu kontroli,
• osoby lub stanowiska uprawnione do wejścia,
• zasady wydawania kluczy, kart, kodów i identyfikatorów,
• sposób obsługi gości, wykonawców, serwisu i sprzątania,
• zasady zamykania pomieszczeń po pracy,
• powiązanie z systemem sygnalizacji włamania i napadu, kontrolą dostępu albo dozorem.

Jeżeli jednostka ma plan ochrony, strefy nie powinny być osobnym światem. Muszą wynikać z opisu zagrożeń, rozmieszczenia informacji niejawnych i przyjętych zabezpieczeń. Szerzej o strukturze takiego dokumentu pisze opracowanie Plan ochrony informacji niejawnych w jednostce.

Dobra praktyka: do dokumentacji warto dołączyć wersję planu bez nadmiaru szczegółów technicznych dla użytkowników oraz pełną wersję dla osób odpowiedzialnych za ochronę. Użytkownik musi wiedzieć, którędy wchodzi i czego mu nie wolno, ale nie zawsze powinien znać pełny opis czujek, torów alarmowych i procedur reakcji.

Kontrola wejść

Kontrola wejścia musi odpowiadać funkcji strefy. W strefie I samo wpuszczenie osoby jest najpoważniejszą decyzją, bo może oznaczać dostęp do treści informacji. W strefie II ryzyko zależy od tego, czy użytkownicy zamykają dokumenty, blokują stanowiska i nie prowadzą rozmów niejawnych przy osobach postronnych.

Mechanizmy kontroli mogą obejmować:

• listy osób uprawnionych do wejścia,
• identyfikatory stałe i jednorazowe,
• rejestr wejść osób spoza stałej obsady,
• karty kontroli dostępu,
• klucze wydawane za pokwitowaniem,
• dozór pracownika ochrony lub portiera,
• eskortowanie osób bez uprawnień,
• zamykanie drzwi i sprawdzanie zabezpieczeń po zakończeniu pracy.

Obowiązek wynika z przyjętych środków bezpieczeństwa i dokumentacji jednostki. Dobrą praktyką jest okresowe porównanie list dostępu z aktualnym zatrudnieniem, zakresem obowiązków i ważnością poświadczeń. W kontroli często wychodzi, że karta nadal działa osobie przeniesionej do innego działu albo wykonawcy po zakończonej umowie.

Nie wolno mylić ewidencji wejścia z ewidencją dostępu do informacji. Osoba mogła wejść do strefy II jako serwisant klimatyzacji, ale nie oznacza to, że miała prawo widzieć dokumenty lub ekran systemu. Dlatego przy pracach obcych wykonawców trzeba łączyć rejestr wejścia, nadzór użytkownika pomieszczenia i wcześniejsze przygotowanie miejsca pracy.

Kancelaria i system

Kancelaria tajna jest naturalnym centrum strefowania, bo w jednym miejscu łączą się przyjmowanie, rejestrowanie, przechowywanie i wydawanie materiałów. Jej pomieszczenie zwykle wymaga ostrzejszej organizacji niż zwykły pokój biurowy, także wtedy, gdy materiały są przechowywane w certyfikowanych urządzeniach.

Przy kancelarii trzeba rozdzielić trzy przestrzenie: miejsce obsługi interesanta, miejsce pracy kierownika lub pracownika kancelarii oraz miejsce przechowywania materiałów. Jeżeli interesant stoi tak, że widzi rejestr, ekran, pieczęcie, opisy teczek albo dokumenty oczekujące na wpis, układ pomieszczenia jest wadliwy, nawet gdy formalnie drzwi są pod kontrolą.

Wymagania lokalowe kancelarii są opisane osobno w opracowaniu Wymagania dla pomieszczeń kancelarii tajnej. Przy wyznaczaniu stref trzeba jednak sprawdzić, czy droga dojścia do kancelarii nie prowadzi przez obszar ogólnodostępny oraz czy oczekiwanie na obsługę nie odbywa się w miejscu, z którego można obserwować czynności kancelaryjne.

System teleinformatyczny do informacji niejawnych dodaje kolejne wymagania organizacyjne. Pomieszczenie systemu, stanowisko komputerowe, nośniki, wydruki i kopie zapasowe muszą pasować do strefy, w której się znajdują. Nie da się obronić dokumentacji systemu, jeżeli w praktyce monitor z informacją niejawną jest widoczny z korytarza albo przez okno.

Przy systemach trzeba sprawdzić także dostęp administratora, inspektora bezpieczeństwa teleinformatycznego, użytkownika, serwisu technicznego i osób sprzątających. Każda z tych osób ma inny zakres czynności, więc jedna zbiorcza lista „uprawnionych do pokoju” zwykle jest za mało precyzyjna.

Oznaczanie i informowanie

Granice stref muszą być czytelne dla osób, które mają je stosować. Nie zawsze oznacza to duże tablice z informacją o charakterze pomieszczenia. Nadmierne oznakowanie bywa przeciwskuteczne, bo wskazuje osobie postronnej, gdzie znajdują się newralgiczne miejsca.

W praktyce stosuje się oznaczenia wewnętrzne, numery pomieszczeń, instrukcje dla pracowników ochrony, wykazy wejść i procedury dla użytkowników. Pracownik ma wiedzieć, że za dane drzwi nie wchodzi bez uprawnienia, a pracownik ochrony ma wiedzieć, kogo zatrzymać i kogo powiadomić.

Szkolenie nie powinno ograniczać się do definicji stref. Trzeba przećwiczyć sytuacje codzienne: kurier z przesyłką, awaria zamka, gość kierownika, sprzątanie po godzinach, serwis drukarki, pożar, otwarte drzwi po zakończeniu pracy. To są sytuacje, w których naruszenia powstają częściej niż w wyniku wyrafinowanego ataku.

Typowe błędy

Pierwszy błąd to kopiowanie planu stref z innej jednostki. Ten sam przepis nie oznacza tego samego układu pomieszczeń, ruchu osób i zagrożeń. Strefa musi wynikać z faktycznej pracy, a nie z wzoru dokumentu.

Drugi błąd to brak zgodności między planem a rzeczywistością. Na rysunku drzwi są zamknięte, a w praktyce stoją otwarte klinem, bo „tak wygodniej”. W dokumentacji strefa II ma kontrolę wejścia, a sprzątanie wchodzi własnym kluczem bez nadzoru.

Trzeci błąd to nieuwzględnienie zmian organizacyjnych. Po remoncie, przeprowadzce działu, dostawieniu stanowiska komputerowego albo zmianie zakresu umowy strefy powinny zostać ponownie ocenione. Kontrole często zaczynają od pytania, czy dokumentacja odpowiada aktualnemu rozmieszczeniu ludzi i materiałów.

Czwarty błąd to traktowanie strefy jako sprawy pełnomocnika ochrony, bez udziału administracji budynku i użytkowników. Pełnomocnik może opisać wymagania, ale nie zamyka codziennie wszystkich drzwi, nie wydaje każdej karty i nie nadzoruje każdej ekipy serwisowej. Odpowiedzialność musi być przypisana konkretnym stanowiskom.

Piąty błąd to zbyt szeroka strefa bez realnej kontroli. Jeśli cała kondygnacja jest nazwana strefą, ale porusza się po niej kilkadziesiąt osób bez sprawdzania potrzeby dostępu, oznaczenie nie podnosi bezpieczeństwa. Lepiej wyznaczyć mniejszy obszar, ale konsekwentnie kontrolowany.

Kiedy pytać organ

Nie każdy przypadek da się rozstrzygnąć z samego opisu stref. Wątpliwości pojawiają się przy budynkach współdzielonych z innymi podmiotami, obiektach zabytkowych, lokalach wynajmowanych, nietypowych ciągach komunikacyjnych, pracy zmianowej i systemach o wyższych wymaganiach ochrony.

W takich sytuacjach pełnomocnik ochrony powinien uzgodnić rozwiązanie z kierownikiem jednostki, administratorem obiektu i osobami odpowiedzialnymi za system teleinformatyczny. Jeżeli sprawa dotyczy akredytacji, świadectwa bezpieczeństwa przemysłowego albo kontroli prowadzonej przez właściwą służbę, rozstrzygające znaczenie ma stanowisko ABW, SKW albo innego właściwego organu.

Tekst nie zastępuje analizy ryzyka, projektu zabezpieczeń ani zatwierdzonej dokumentacji jednostki. Może uporządkować decyzje, ale nie gwarantuje, że konkretny układ pomieszczeń zostanie zaakceptowany w postępowaniu albo kontroli.

Podsumowanie

Strefowanie zaczyna się od ustalenia, gdzie informacja niejawna jest widoczna, gdzie jest przechowywana i którędy się przemieszcza. Dopiero po tej analizie wyznacza się granice, środki kontroli wejść, zasady nadzoru i dokumentację.

Najbezpieczniejszy układ to taki, w którym strefa III tworzy bufor, strefa II ogranicza dostęp do miejsc przechowywania i pracy, a strefa I obejmuje sytuacje bezpośredniego dostępu do treści. Granice muszą być znane użytkownikom, zgodne z planem ochrony, powiązane z kancelarią i systemem teleinformatycznym oraz regularnie sprawdzane po zmianach w budynku i organizacji pracy.