Świadectwo akredytacji bezpieczeństwa: co z niego wynika

← Powrót do przewodnika: Akredytacja systemu niejawnego

Świadectwo akredytacji bywa traktowane jak dyplom: dokument, który się dostaje, oprawia i odkłada. W praktyce jest terminowym pozwoleniem obwarowanym warunkami, a jego treść mówi dokładnie, czego dotyczy i jak długo.

Czym jest świadectwo

Zgodnie z art. 48 ust. 5 ustawy o ochronie informacji niejawnych potwierdzeniem udzielenia akredytacji bezpieczeństwa teleinformatycznego jest świadectwo akredytacji bezpieczeństwa systemu teleinformatycznego.

Wydaje je organ, który akredytacji udzielił: ABW albo SKW dla systemów o klauzuli „poufne” i wyższej.

Co musi zawierać

Art. 48 ust. 7 określa obowiązkowe elementy świadectwa:

• oznaczenie organu, który je wydał,
• datę wydania,
• oznaczenie podmiotu wnioskującego,
• przedmiot akredytacji,
• podstawę prawną,
• rozstrzygnięcie wraz z uzasadnieniem,
• okres ważności,
• podpis osoby upoważnionej.

Dwie pozycje z tej listy są ważniejsze w codziennej pracy niż pozostałe.

Przedmiot akredytacji

To jest zakres pozwolenia. Świadectwo dotyczy konkretnego systemu w konkretnej konfiguracji, opisanego w złożonej dokumentacji.

Praktyczna konsekwencja: system rozbudowany poza ten opis nie jest już tym systemem, którego dotyczy świadectwo. Nie chodzi o formalizm, tylko o to, że akredytację wydano na podstawie oszacowanego ryzyka dla określonej architektury.

Okres ważności

Akredytacji udziela się na czas określony, nie dłuższy niż 5 lat.

Data z tego pola powinna trafić do kalendarza jednostki w dniu odebrania świadectwa. Postępowanie o ponowną akredytację wymaga przygotowania dokumentacji, a dla klauzuli „poufne” i wyższej służba ma na rozstrzygnięcie 6 miesięcy od otrzymania kompletnej dokumentacji. Rozpoczęcie przygotowań na dwa miesiące przed wygaśnięciem oznacza przerwę w możliwości przetwarzania.

Czego świadectwo nie oznacza

Nie jest zaświadczeniem, że system jest bezpieczny na zawsze. Jest stwierdzeniem, że w chwili oceny spełniał wymagania przy oszacowanym ryzyku.

Nie zwalnia z utrzymywania stanu opisanego w dokumentacji. Art. 49 ust. 4 wiąże każdą zmianę w systemie z ponownym szacowaniem ryzyka, a dokumentację modyfikuje się przed wprowadzeniem zmian.

Nie chroni przed wstrzymaniem przetwarzania. W szczególnie uzasadnionych przypadkach ABW albo SKW może nakazać wstrzymanie przetwarzania informacji niejawnych w systemie, który akredytację posiada.

Zalecenia po drodze

Zanim świadectwo powstanie, może pojawić się etap zaleceń. Art. 48 ust. 12 pozwala służbie przedstawić kierownikowi jednostki, w terminie 30 dni od otrzymania dokumentacji, zalecenia dotyczące dodatkowych czynności związanych z bezpieczeństwem systemu. Kierownik ma potem 30 dni na poinformowanie o ich realizacji.

Zalecenia bywają traktowane jak uwagi redakcyjne. Bywają też wymogiem zmiany technicznej, więc warto ten miesiąc uwzględnić w harmonogramie zawczasu.

Co zrobić po odebraniu świadectwa

Zanotuj datę wygaśnięcia i ustaw przypomnienie z rocznym wyprzedzeniem, nie miesięcznym.

Dołącz świadectwo do dokumentacji systemu. Przy kontroli jest jednym z pierwszych dokumentów, o które pyta kontrolujący.

Sprawdź zgodność przedmiotu akredytacji ze stanem faktycznym. Jeśli między złożeniem dokumentacji a wydaniem świadectwa coś w systemie się zmieniło, trzeba to uporządkować od razu, a nie przy najbliższej kontroli.

Wpisz obowiązek aktualizacji dokumentacji do procedury zmian. To najprostszy sposób, żeby rozjazd nie narastał niezauważenie.

A przy klauzuli „zastrzeżone”

Dla systemów przeznaczonych do przetwarzania informacji o klauzuli „zastrzeżone” akredytacji udziela kierownik jednostki organizacyjnej przez zatwierdzenie dokumentacji bezpieczeństwa systemu, co wynika z art. 48 ust. 9. Nie ma tu świadectwa wydawanego przez służbę, ale wszystkie obowiązki dotyczące utrzymania systemu w stanie zgodnym z dokumentacją pozostają.

Podsumowanie

Świadectwo akredytacji jest terminowym pozwoleniem na przetwarzanie w określonej konfiguracji, a nie zaświadczeniem o bezpieczeństwie. Dwie rzeczy z jego treści decydują o spokoju jednostki: przedmiot akredytacji, którego nie wolno po cichu przekroczyć, i okres ważności, który trzeba obsłużyć z wyprzedzeniem.

Zbliża się koniec ważności świadectwa albo planujecie rozbudowę systemu? Odezwijcie się.