Świadectwo akredytacji bezpieczeństwa: co z niego wynika
← Powrót do przewodnika: Akredytacja systemu niejawnego
Świadectwo akredytacji bywa traktowane jak dyplom: dokument, który się dostaje, oprawia i odkłada. W praktyce jest terminowym pozwoleniem obwarowanym warunkami, a jego treść mówi dokładnie, czego dotyczy i jak długo.
Czym jest świadectwo
Zgodnie z art. 48 ust. 5 ustawy o ochronie informacji niejawnych potwierdzeniem udzielenia akredytacji bezpieczeństwa teleinformatycznego jest świadectwo akredytacji bezpieczeństwa systemu teleinformatycznego.
Wydaje je organ, który akredytacji udzielił: ABW albo SKW dla systemów o klauzuli „poufne” i wyższej.
Co musi zawierać
Art. 48 ust. 7 określa obowiązkowe elementy świadectwa:
- oznaczenie organu, który je wydał,
- datę wydania,
- oznaczenie podmiotu wnioskującego,
- przedmiot akredytacji,
- podstawę prawną,
- rozstrzygnięcie wraz z uzasadnieniem,
- okres ważności,
- podpis osoby upoważnionej.
Dwie pozycje z tej listy są ważniejsze w codziennej pracy niż pozostałe.
Przedmiot akredytacji
To jest zakres pozwolenia. Świadectwo dotyczy konkretnego systemu w konkretnej konfiguracji, opisanego w złożonej dokumentacji.
Praktyczna konsekwencja: system rozbudowany poza ten opis nie jest już tym systemem, którego dotyczy świadectwo. Nie chodzi o formalizm, tylko o to, że akredytację wydano na podstawie oszacowanego ryzyka dla określonej architektury.
Okres ważności
Akredytacji udziela się na czas określony, nie dłuższy niż 5 lat.
Data z tego pola powinna trafić do kalendarza jednostki w dniu odebrania świadectwa. Postępowanie o ponowną akredytację wymaga przygotowania dokumentacji, a dla klauzuli „poufne” i wyższej służba ma na rozstrzygnięcie 6 miesięcy od otrzymania kompletnej dokumentacji. Rozpoczęcie przygotowań na dwa miesiące przed wygaśnięciem oznacza przerwę w możliwości przetwarzania.
Czego świadectwo nie oznacza
Nie jest zaświadczeniem, że system jest bezpieczny na zawsze. Jest stwierdzeniem, że w chwili oceny spełniał wymagania przy oszacowanym ryzyku.
Nie zwalnia z utrzymywania stanu opisanego w dokumentacji. Art. 49 ust. 4 wiąże każdą zmianę w systemie z ponownym szacowaniem ryzyka, a dokumentację modyfikuje się przed wprowadzeniem zmian.
Nie chroni przed wstrzymaniem przetwarzania. W szczególnie uzasadnionych przypadkach ABW albo SKW może nakazać wstrzymanie przetwarzania informacji niejawnych w systemie, który akredytację posiada.
Zalecenia po drodze
Dla systemu „poufne” lub wyższego art. 49 ust. 8 przewiduje ocenę dokumentacji przez ABW albo SKW w ciągu 30 dni, z możliwością przedłużenia o kolejne 30 dni w uzasadnionych przypadkach. Nie jest to termin wydania świadectwa: art. 48 ust. 4 przewiduje 6 miesięcy od kompletnej dokumentacji i możliwość przedłużenia o kolejne 6 miesięcy. Zalecenia z art. 48 ust. 12 dotyczą innej ścieżki, systemów „zastrzeżone” już akredytowanych przez kierownika.
Zalecenia bywają traktowane jak uwagi redakcyjne. Bywają też wymogiem zmiany technicznej, więc warto ten miesiąc uwzględnić w harmonogramie zawczasu.
Co zrobić po odebraniu świadectwa
Zanotuj datę wygaśnięcia i ustaw przypomnienie z rocznym wyprzedzeniem, nie miesięcznym.
Dołącz świadectwo do dokumentacji systemu. Przy kontroli jest jednym z pierwszych dokumentów, o które pyta kontrolujący.
Sprawdź zgodność przedmiotu akredytacji ze stanem faktycznym. Jeśli między złożeniem dokumentacji a wydaniem świadectwa coś w systemie się zmieniło, trzeba to uporządkować od razu, a nie przy najbliższej kontroli.
Wpisz obowiązek aktualizacji dokumentacji do procedury zmian. To najprostszy sposób, żeby rozjazd nie narastał niezauważenie.
A przy klauzuli „zastrzeżone”
Dla systemów przeznaczonych do przetwarzania informacji o klauzuli „zastrzeżone” akredytacji udziela kierownik jednostki organizacyjnej przez zatwierdzenie dokumentacji bezpieczeństwa systemu, co wynika z art. 48 ust. 9. Nie ma tu świadectwa wydawanego przez służbę, ale wszystkie obowiązki dotyczące utrzymania systemu w stanie zgodnym z dokumentacją pozostają.
Podsumowanie
Świadectwo akredytacji jest terminowym pozwoleniem na przetwarzanie w określonej konfiguracji, a nie zaświadczeniem o bezpieczeństwie. Dwie rzeczy z jego treści decydują o spokoju jednostki: przedmiot akredytacji, którego nie wolno po cichu przekroczyć, i okres ważności, który trzeba obsłużyć z wyprzedzeniem.
Zbliża się koniec ważności świadectwa albo planujecie rozbudowę systemu? Odezwijcie się. Zobacz też, jak przygotowujemy system do akredytacji.
