Szkolenie z ochrony informacji niejawnych: kto, kiedy i z czego

Szkolenie jest jedynym warunkiem dostępu, który obowiązuje przy każdej klauzuli. Uprawnienie formalne bywa różne: przy „poufne” i wyżej jest to poświadczenie bezpieczeństwa, przy „zastrzeżone” pisemne upoważnienie kierownika jednostki. Przeszkolenie jest wymagane w obu przypadkach, co wynika z art. 21 ustawy.

Kto ma obowiązek

Szkolenie przechodzi każda osoba, która ma mieć dostęp do informacji niejawnych. Dotyczy to zarówno pracowników merytorycznych, jak i pionu ochrony, kadry kierowniczej oraz osób wykonujących zadania na innej podstawie niż umowa o pracę.

Prowadzenie szkoleń w zakresie ochrony informacji niejawnych należy do zadań pełnomocnika ochrony wymienionych w art. 15 ustawy o ochronie informacji niejawnych. W jednostce to on odpowiada za ich organizację i za to, żeby nikt nie dostał dostępu bez szkolenia.

Kiedy

Przed dopuszczeniem do informacji niejawnych. Nie po, nie „przy najbliższej okazji”. Kolejność jest częścią warunku.

Okresowo, przed upływem ważności. Zaświadczenie o odbyciu szkolenia ma termin, po którym trzeba je powtórzyć.

Po istotnych zmianach, na przykład po zmianie przepisów, po wdrożeniu nowego systemu albo po incydencie, który ujawnił lukę w wiedzy.

Z czego

Zakres wynika z tego, co dana osoba faktycznie robi. Warto rozdzielić trzy poziomy.

Poziom podstawowy dla wszystkich mających dostęp: czym są informacje niejawne, klauzule i skutki ich nadania, obowiązki osoby uprawnionej, zasada wiedzy koniecznej, postępowanie z materiałami, zgłaszanie naruszeń, odpowiedzialność.

Poziom stanowiskowy dla osób pracujących w systemach teleinformatycznych albo w kancelarii: konkretne procedury z PBE, obsługa nośników, ewidencja.

Poziom specjalistyczny dla pełnomocnika, inspektora bezpieczeństwa teleinformatycznego i administratora. Tu zakres nie jest kwestią wyboru jednostki: pełnomocnik musi legitymować się zaświadczeniem o przeszkoleniu przeprowadzonym przez ABW albo SKW (art. 14 ust. 3 pkt 4), a inspektor i administrator odbywają specjalistyczne szkolenie z zakresu bezpieczeństwa teleinformatycznego prowadzone przez ABW albo SKW (art. 52 ust. 4). Szkolenie komercyjne ich nie zastąpi.

Szkolenie ogólne dla wszystkich, identyczne dla sprzątaczki i administratora systemu, formalnie spełnia obowiązek, ale nie zmienia niczyjego zachowania.

Co powinno w nim być, a czego zwykle brakuje

Najsłabszym punktem typowego szkolenia jest oderwanie od realiów jednostki. Uczestnik wychodzi z wiedzą o definicjach ustawowych i bez odpowiedzi na pytanie, co ma zrobić w poniedziałek.

Warto więc, żeby szkolenie zawierało:

• konkretne procedury z tej jednostki, a nie przykłady ogólne,
• wskazanie osób: do kogo zgłosić naruszenie, kto wydaje materiały, kto nadaje uprawnienia,
• sytuacje graniczne: co zrobić, gdy ktoś prosi o dokument bez uprawnienia, gdy nośnik zaginął, gdy trzeba wyjść z materiałem poza strefę,
• skutki naruszeń, bez straszenia, ale konkretnie.

Dokumentowanie

Szkolenie, którego nie da się wykazać, nie odbyło się. Praktyczne minimum to:

Zaświadczenie dla uczestnika, z datą i zakresem.

Rejestr przeszkolonych prowadzony przez pełnomocnika, z datami i terminami ważności.

Program szkolenia z zakresem tematycznym.

Lista obecności podpisana przez uczestników.

Rejestr powinien pozwalać odpowiedzieć w kilka sekund na pytanie, komu kończy się ważność w najbliższych miesiącach. To jest pytanie, które zadaje kontrola, a odpowiedź „trzeba sprawdzić w teczkach” jest złą odpowiedzią.

Powiązanie z uprawnieniami

Najskuteczniejsze rozwiązanie organizacyjne polega na powiązaniu ważności szkolenia z dostępem: wygaśnięcie zaświadczenia uruchamia przegląd uprawnień tej osoby.

Bez takiego powiązania powstaje sytuacja spotykana bardzo często: osoba ma aktywne konto w systemie niejawnym i szkolenie sprzed czterech lat.

Najczęstsze błędy

Szkolenie po dopuszczeniu. Odwrócona kolejność.

Jedno szkolenie dla wszystkich. Formalnie zgodne, praktycznie bezużyteczne.

Brak rejestru terminów. Nikt nie wie, komu kończy się ważność.

Szkolenie bez odniesienia do procedur jednostki. Wiedza ogólna bez przełożenia na czynności.

Pominięcie osób spoza etatu. Zleceniobiorcy i serwisanci też mają dostęp.

Podsumowanie

Szkolenie jest warunkiem dostępu, a nie formalnością towarzyszącą. O jego wartości decyduje dopasowanie zakresu do stanowiska i osadzenie w procedurach konkretnej jednostki, a o bezpieczeństwie organizacyjnym rejestr terminów powiązany z uprawnieniami.

Organizujecie szkolenia albo chcecie je dopasować do stanowisk? Zobaczcie, jak wyglądają szkolenia z ochrony informacji niejawnych na zlecenie pełnomocnika, albo napiszcie do nas.