SWB dla sieci niejawnej a stanowisko autonomiczne: różnice
Większość jednostek zaczyna od jednego stanowiska komputerowego odciętego od sieci. Gdy użytkowników jest kilku i pracują nad tymi samymi dokumentami, pojawia się pomysł na sieć: kilka stanowisk, serwer, wspólna drukarka. Dokumentacja takiego systemu nie jest SWB stanowiska pomnożonym przez liczbę komputerów. Zmienia się granica, tryb pracy, role, liczba procedur i to, kto udziela akredytacji. Ten tekst zestawia obie sytuacje punkt po punkcie, żeby decyzja o sieci zapadała z wiedzą, co za sobą pociąga.
Ta sama podstawa, inna skala
Dla obu systemów obowiązuje ten sam art. 49 ustawy z dnia 5 sierpnia 2010 r. o ochronie informacji niejawnych: SWB zawiera wyniki szacowania ryzyka i sposoby osiągania bezpieczeństwa (ust. 1), powstaje na etapie projektowania (ust. 2), PBE na etapie wdrażania (ust. 3), a każda zmiana wymaga ponownego szacowania ryzyka (ust. 4). Ten sam jest też punkt odniesienia: rozporządzenie w sprawie podstawowych wymagań bezpieczeństwa teleinformatycznego.
Różnica polega na tym, że w sieci każdy element rozporządzenia, który przy stanowisku autonomicznym zamyka się jednym zdaniem, staje się rozdziałem.
Zestawienie różnic
| Obszar | Stanowisko autonomiczne | Sieć |
|---|---|---|
| granica systemu | jeden komputer, monitor, drukarka, nośniki w jednym pomieszczeniu | stanowiska, serwer, urządzenia sieciowe, okablowanie, drukarki, nośniki, często kilka pomieszczeń |
| tryb bezpieczeństwa pracy | zwykle dedykowany: każdy użytkownik uprawniony do wszystkiego, co w systemie | dedykowany, systemowy albo wielopoziomowy, zależnie od uprawnień użytkowników i zasady wiedzy niezbędnej |
| użytkownicy i konta | kilka kont, uprawnienia jednakowe | konta z rolami, grupy, uprawnienia do zasobów, procedura nadawania i odbierania |
| administrator | jedna osoba, czynności okazjonalne | stała praca: konta, aktualizacje, kopie, logi, zmiany |
| kontrola dostępu | logowanie i blokada ekranu | uwierzytelnianie, uprawnienia do katalogów, rozliczalność działań w logach |
| okablowanie i pomieszczenia | brak sieci, jedno pomieszczenie w strefie | trasy kablowe wewnątrz strefy, szafy teletechniczne, ochrona przed podłączeniem obcego urządzenia |
| ochrona elektromagnetyczna | analiza dla jednego stanowiska | analiza dla każdego pomieszczenia i tras kablowych |
| kryptografia | zwykle zbędna | konieczna, gdy dane opuszczają strefę, wyłącznie środki z certyfikatem |
| kopie zapasowe | nośnik w szafie | serwerowe, cykliczne, testowane, z osobną ewidencją nośników |
| rejestrowanie zdarzeń | minimalne | logi systemowe i sieciowe, przegląd przez inspektora, retencja |
| zarządzanie zmianą | rzadkie | stałe: aktualizacje, nowe konta, sprzęt; każda zmiana z art. 49 ust. 4 |
| procedury PBE | kilkanaście | kilkadziesiąt |
| akredytacja „poufne” i wyżej | ABW albo SKW | ABW albo SKW, z audytem na miejscu, więcej uwag |
Granica systemu: pierwsza decyzja
Przy stanowisku autonomicznym granica jest oczywista: to, co stoi na biurku. W sieci trzeba ją narysować i uzasadnić. Czy serwer stoi w tym samym pomieszczeniu, czy w serwerowni? Czy przełącznik jest w szafie w korytarzu? Czy drukarka sieciowa obsługuje tylko ten system? Każde „tak” i „nie” zmienia listę pomieszczeń, które muszą być w strefie ochronnej, i listę urządzeń objętych ewidencją.
Zasada, która oszczędza pracy: granica sieci niejawnej nie wychodzi poza strefę ochronną, a wszystko, co jest w środku granicy, należy do systemu i podlega dokumentacji. Przełącznik „poza systemem”, przez który przechodzą dane niejawne, nie istnieje.
Tryb bezpieczeństwa pracy
Rozporządzenie rozróżnia tryby pracy systemu zależnie od tego, czy wszyscy użytkownicy mają uprawnienia do wszystkich przetwarzanych informacji i czy wszyscy potrzebują ich znać.
- Dedykowany. Każdy użytkownik ma poświadczenie do najwyższej klauzuli w systemie i potrzebuje dostępu do wszystkiego. Typowy dla stanowiska autonomicznego z dwoma, trzema użytkownikami.
- Systemowy. Każdy ma poświadczenie do najwyższej klauzuli, ale nie każdy potrzebuje wszystkiego. System musi rozdzielać dostęp do zasobów według zasady wiedzy niezbędnej.
- Wielopoziomowy. Nie każdy użytkownik ma uprawnienia do najwyższej klauzuli w systemie. Wymaga mechanizmów rozdzielających informacje o różnych klauzulach i jest najtrudniejszy do akredytacji.
Wybór trybu przesądza o połowie SWB sieci. Jednostka, która chce w jednej sieci obsługiwać użytkowników z upoważnieniem do „zastrzeżonych” i pracowników z poświadczeniem do „poufnych”, wchodzi w tryb wielopoziomowy i powinna wiedzieć, że prostszym rozwiązaniem bywają dwa osobne systemy.
Role: administrator na co dzień
Przy stanowisku autonomicznym administrator instaluje system, konfiguruje i pojawia się przy aktualizacji. W sieci administrator pracuje stale: zakłada i blokuje konta, nadaje uprawnienia, wykonuje kopie, aktualizuje oprogramowanie, przegląda logi. Inspektor bezpieczeństwa teleinformatycznego weryfikuje te działania i kontroluje zgodność z SWB, a ustawa nie pozwala, żeby była to ta sama osoba (art. 52 ust. 1 pkt 2). Obie osoby przechodzą szkolenie specjalistyczne w ABW albo SKW (art. 52 ust. 4).
W praktyce sieć oznacza, że administrator i inspektor to funkcje z realnym obciążeniem, nie dodatek do etatu. SWB opisuje ich zadania, a PBE zawierają procedury dla każdego z nich osobno.
Konta, uprawnienia, rozliczalność
W sieci pojawia się zbiór procedur nieznanych stanowisku autonomicznemu:
- nadanie konta po sprawdzeniu, że osoba jest w wykazie pełnomocnika (art. 15 ust. 1 pkt 8) i ma szkolenie,
- zmiana uprawnień przy zmianie stanowiska,
- blokada konta w dniu ustania dostępu, nie tydzień później,
- okresowe porównanie listy kont z wykazem osób,
- przegląd logów przez inspektora: kto, kiedy, do czego sięgał,
- postępowanie po wykryciu działań poza uprawnieniami, jako incydent.
Kontrola ABW albo SKW (art. 12) w sieciach zaczyna zwykle od porównania listy kont z wykazem osób i tu znajduje pierwsze rozbieżności. Zasady dostępu w systemie omawia tekst Kontrola dostępu do systemu niejawnego.
Okablowanie, pomieszczenia, emisja
Sieć fizycznie łączy pomieszczenia, więc trasy kablowe, szafy teletechniczne i punkty dostępu stają się elementami systemu. SWB opisuje, którędy biegną kable, jak zabezpieczono je przed podłączeniem obcego urządzenia, gdzie stoją urządzenia aktywne i kto ma do nich dostęp. Analiza ochrony elektromagnetycznej, przy stanowisku autonomicznym obejmująca jedno pomieszczenie, w sieci obejmuje każde pomieszczenie i trasy między nimi. Zasady opisuje tekst Ochrona elektromagnetyczna i strefy kontrolowane.
Sieć bezprzewodowa w systemie niejawnym nie jest opcją, którą się rozważa. Jest opcją, którą się wyklucza w SWB jednym zdaniem.
Kryptografia i wymiana danych
Dopóki dane nie opuszczają strefy ochronnej, sieć może działać bez kryptografii. Z chwilą, gdy jednostka chce połączyć dwie lokalizacje albo przekazywać dane poza strefę inaczej niż na nośniku, potrzebuje środków ochrony kryptograficznej z certyfikatem wydanym przez ABW albo SKW. To osobny projekt, z własnym harmonogramem i kosztem, i osobny rozdział SWB. Jednostka, która planuje sieć „bo kiedyś połączymy oddziały”, powinna wiedzieć, że to „kiedyś” jest droższe niż sama sieć.
Wymiana danych z systemami jawnymi odbywa się w sieci tak samo jak przy stanowisku: przez nośniki i stanowisko pośredniczące, z procedurą w PBE. Zasady opisuje tekst Przenoszenie danych do systemu niejawnego w części o wymianie danych.
Zmiany i utrzymanie
Stanowisko autonomiczne zmienia się rzadko. Sieć zmienia się stale: aktualizacje, nowe konta, wymiana sprzętu, nowe usługi. Każda zmiana podlega art. 49 ust. 4, więc SWB sieci musi zawierać procedurę zarządzania zmianą, która sama uruchamia szacowanie ryzyka i decyduje, co jest zmianą drobną, a co wymaga powtórzenia akredytacji. Bez tego jednostka albo ignoruje przepis, albo zamraża system. Kiedy zmiana wymaga ponownej akredytacji, wyjaśnia tekst Zmiany w systemie po akredytacji.
Akredytacja: ile trwa i co sprawdzają
Dla „zastrzeżonych” akredytacji udziela kierownik jednostki przez zatwierdzenie dokumentacji (art. 48 ust. 9), niezależnie od tego, czy to stanowisko, czy sieć. Dla „poufnych” i wyższych ABW albo SKW ma na rozstrzygnięcie do 6 miesięcy od otrzymania kompletnej dokumentacji, a przy sieci częściej korzysta z audytu na miejscu. Uwagi dotyczą zwykle granicy systemu, trybu pracy, rozliczalności i procedur administratora. Przebieg opisuje tekst Akredytacja systemu niejawnego: przebieg całego procesu.
Kiedy sieć ma sens, a kiedy nie
Sieć jest uzasadniona, gdy kilku użytkowników pracuje nad tymi samymi materiałami codziennie, ilość danych przekracza to, co da się rozsądnie przenosić na nośnikach, i jednostka ma stałą obsadę administratora i inspektora. Nie jest uzasadniona, gdy powodem jest wygoda dwóch osób, które raz w tygodniu otwierają ten sam dokument. Wtedy drugie stanowisko autonomiczne kosztuje mniej niż pierwszy rok utrzymania sieci, a dokumentacja jest kopią pierwszej z innym numerem pokoju.
Decyzję warto podjąć przed zakupem sprzętu, bo SWB powstaje na etapie projektowania (art. 49 ust. 2), a sieć zaprojektowana pod stanowisko autonomiczne nie przejdzie akredytacji bez przebudowy.
Typowe błędy
- SWB stanowiska rozszerzony o listę komputerów, bez granicy, trybu pracy i rozliczalności.
- Tryb dedykowany deklarowany w sieci, w której użytkownicy mają różne uprawnienia.
- Administrator i inspektor w jednej osobie, „bo sieć jest mała” (art. 52 ust. 1 pkt 2).
- Przełącznik poza dokumentacją, bo „to tylko infrastruktura”.
- Brak procedury zarządzania zmianą, przez co pierwsza aktualizacja łamie art. 49 ust. 4.
- Plan połączenia oddziałów bez kryptografii w budżecie.
Podsumowanie
Dokumentacja sieci różni się od SWB stanowiska autonomicznego granicą, trybem bezpieczeństwa pracy, rolami z realnym obciążeniem, rozliczalnością kont, okablowaniem i emisją w wielu pomieszczeniach, kryptografią przy wyjściu poza strefę, stałym zarządzaniem zmianą i akredytacją z audytem. Sieć ma sens przy codziennej wspólnej pracy kilku osób i stałej obsadzie; w innych przypadkach drugie stanowisko autonomiczne jest tańsze i prostsze.
Rozważacie sieć do informacji niejawnych albo chcecie sprawdzić, czy wystarczy stanowisko? Zobaczcie, jak wygląda projektowanie dedykowanych stanowisk komputerowych oraz opracowanie i certyfikacja dokumentacji systemów, albo napiszcie do nas.
