Udostępnianie materiałów niejawnych w jednostce

Udostępnianie materiałów niejawnych w jednostce: komu i na jakich zasadach zależy od trzech warunków: uprawnienia do dostępu, przeszkolenia oraz rzeczywistej potrzeby poznania konkretnej informacji przy wykonywaniu zadania. Kancelaria tajna nie wydaje dokumentu dlatego, że ktoś ma poświadczenie, tylko wtedy, gdy obieg jest zgodny z przepisami, dokumentacją jednostki i zakresem sprawy.

Udostępnianie materiałów niejawnych w jednostce: komu i na jakich zasadach

Udostępnienie materiału niejawnego oznacza umożliwienie osobie zapoznania się z jego treścią albo przekazanie go do pracy w sposób odnotowany i kontrolowany. W praktyce są to różne czynności: wgląd w czytelni, wydanie dokumentu do pokoju pracy, przekazanie do innej komórki, udostępnienie w systemie teleinformatycznym albo zapoznanie z konkretną częścią dokumentu.

Podstawą jest ustawa o ochronie informacji niejawnych oraz przepisy wykonawcze dotyczące kancelarii, w tym rozporządzenie w sprawie organizacji i funkcjonowania kancelarii tajnych. Przepisy nie sprowadzają dostępu do samego posiadania poświadczenia bezpieczeństwa. Poświadczenie albo pisemne upoważnienie przy klauzuli zastrzeżone jest warunkiem wejściowym, a nie automatycznym biletem do każdego dokumentu w jednostce.

Przy materiałach o klauzuli poufne, tajne i ściśle tajne osoba musi mieć odpowiednie uprawnienie do dostępu i aktualne szkolenie z ochrony informacji niejawnych. Przy materiałach zastrzeżone zasadą jest pisemne upoważnienie kierownika jednostki, jeżeli osoba nie posiada poświadczenia, oraz przeszkolenie. W obu przypadkach nadal działa zasada wiedzy koniecznej, czyli dostęp tylko do tego zakresu informacji, który jest potrzebny do wykonania zadania.

Kto decyduje o dostępie

W jednostce najczęściej mylą się trzy poziomy decyzji: uprawnienie formalne, potrzeba merytoryczna i czynność kancelaryjna. Uprawnienie formalne wynika z poświadczenia bezpieczeństwa albo upoważnienia. Potrzebę merytoryczną potwierdza przełożony, prowadzący sprawę, kierownik komórki albo osoba odpowiedzialna za dane zadanie. Kancelaria wykonuje czynność wydania lub udostępnienia, ale nie powinna zgadywać, czy dana osoba ma znać treść sprawy.

Kierownik jednostki organizacyjnej odpowiada za ochronę informacji niejawnych w jednostce. To on tworzy warunki organizacyjne, zatwierdza dokumentację ochronną, wyznacza osoby funkcyjne i nadaje upoważnienia tam, gdzie przepisy to przewidują. Jeżeli w jednostce nie ma jasnych zasad, kto potwierdza potrzebę dostępu, spór trafia zwykle do kancelarii, a to jest błąd organizacyjny.

Pełnomocnik ochrony nadzoruje system ochrony informacji niejawnych, opiniuje rozwiązania i zwykle rozstrzyga wątpliwości praktyczne. Nie powinien jednak zastępować wszystkich kierowników komórek w ocenie, kto rzeczywiście pracuje nad daną sprawą. Pełnomocnik powinien mieć wgląd w proces, zwłaszcza gdy dotyczy osób nowych, gości, wykonawców albo dokumentów o wyższej klauzuli.

Kierownik kancelarii tajnej odpowiada za prawidłowe rejestrowanie, przechowywanie, wydawanie i przyjmowanie materiałów. Jeżeli dokument ma być wydany osobie bez wykazanej potrzeby albo bez właściwych uprawnień, kancelaria ma obowiązek zatrzymać czynność i wyjaśnić sprawę. Szerzej o obowiązkach tej funkcji pisaliśmy w opracowaniu Kierownik kancelarii tajnej: obowiązki i odpowiedzialność.

Zasada wiedzy koniecznej

Zasada wiedzy koniecznej oznacza, że osoba uprawniona do informacji niejawnych poznaje tylko te informacje, które są jej niezbędne do pracy. Nie wystarcza argument, że ktoś ma poświadczenie do klauzuli tajne, pracuje w tej samej komórce albo uczestniczy w projekcie jako przełożony administracyjny. Trzeba umieć wskazać zadanie, sprawę albo zakres odpowiedzialności.

Najprostszy test kancelaryjny brzmi: czy da się wyjaśnić kontrolującemu, po co tej osobie wydano ten konkretny dokument. Jeżeli odpowiedź brzmi ogólnie, na przykład bo może się przydać, bo jest w zespole, bo szef kazał, dokument nie powinien wyjść bez doprecyzowania podstawy. Ten mechanizm opisuje osobno tekst Zasada wiedzy koniecznej w codziennej pracy.

W praktyce bezpieczniej jest udostępnić część informacji niż cały materiał, jeżeli zadanie tego nie wymaga. Może to oznaczać sporządzenie wyciągu, udostępnienie załącznika bez całości akt albo zapoznanie w obecności osoby prowadzącej sprawę. To nie jest zawsze obowiązek wynikający wprost z przepisu, ale dobra praktyka ograniczająca krąg osób znających pełną treść.

Rola kancelarii przy wydaniu i zwrocie

Kancelaria tajna jest miejscem kontroli obiegu, a nie tylko magazynem dokumentów. Przy wydaniu sprawdza co najmniej: tożsamość osoby, uprawnienie do właściwej klauzuli, aktualność szkolenia, podstawę merytoryczną udostępnienia oraz sposób odnotowania czynności. Wydanie dokumentu bez śladu w ewidencji jest jednym z najprostszych naruszeń do wykazania podczas kontroli.

W dokumentacji kancelaryjnej powinno być widoczne, kto pobrał materiał, kiedy, w jakim celu organizacyjnym i kiedy go zwrócił. Szczegóły zależą od rodzaju rejestru i przyjętych rozwiązań w jednostce. Mechanikę dzienników i rejestrów opisuje osobne opracowanie Ewidencja materiałów niejawnych: dzienniki i rejestry.

Zwrot nie polega na położeniu teczki na biurku kierownika kancelarii. Pracownik kancelarii powinien sprawdzić kompletność materiału, liczbę stron, załączniki, nośniki, kopie robocze i potwierdzenia zapoznania, jeżeli były prowadzone. Przy dokumentach wielostronicowych i teczkach spraw kontrola kompletności przy zwrocie oszczędza później postępowania wyjaśniającego.

Dobrą praktyką jest rozdzielenie trybu wglądu, krótkiego wydania do pracy i dłuższego przechowywania poza kancelarią. Inne ryzyko powstaje przy półgodzinnym zapoznaniu w czytelni, a inne przy pozostawieniu dokumentu przez kilka dni w szafie użytkownika. Dokumentacja ochronna jednostki powinna te tryby opisywać tak, żeby pracownik kancelarii nie tworzył zasad w okienku.

Czytelnia i praca poza kancelarią

Czytelnia przy kancelarii ogranicza ryzyko wynoszenia dokumentów i ułatwia nadzór nad zapoznaniem. Sprawdza się przy dokumentach, które trzeba przeczytać, podpisać na karcie zapoznania i zwrócić bez wykonywania dalszych czynności. W takim trybie łatwiej dopilnować zakazu fotografowania, sporządzania nieuprawnionych notatek i pozostawiania materiału bez nadzoru.

Praca z dokumentem poza kancelarią jest dopuszczalna tylko w warunkach przewidzianych przez przepisy i dokumentację jednostki. Chodzi o pomieszczenie, kontrolę dostępu, możliwość przechowywania, sposób przemieszczania dokumentu i zasady zwrotu po zakończeniu pracy. Jeżeli użytkownik nie ma gdzie zabezpieczyć materiału podczas przerwy, dokument powinien wrócić do kancelarii.

Najwięcej problemów pojawia się przy krótkich naradach i pracy po godzinach. Dokument trafia do sali, kilka osób robi zdjęcia telefonem dla wygody, ktoś zabiera kopię do pokoju, a kancelaria widzi tylko jedno wydanie. Taki obieg jest trudny do obrony, bo nie pokazuje, kto faktycznie poznał treść i czy każdy miał do niej potrzebę dostępu.

Materiały niejawne nie powinny być omawiane w pomieszczeniach przypadkowych, przy osobach bez dostępu ani przez środki łączności nieprzewidziane do takiej pracy. Dotyczy to także sytuacji, w której sam dokument pozostaje w kancelarii, ale jego treść jest przepisywana do wiadomości e-mail, komunikatora albo notatki jawnej. Jeżeli do pracy ma być użyty system teleinformatyczny, musi on mieć odpowiednią akredytację i zakres dopuszczający przetwarzanie takich informacji.

Karty zapoznania

Karta zapoznania służy do udokumentowania, kto zapoznał się z konkretnym materiałem lub jego wskazaną częścią. Jest szczególnie przydatna przy instrukcjach, planach, decyzjach, zarządzeniach, dokumentach zadaniowych i materiałach, których nie wydaje się każdej osobie oddzielnie. Karta nie zastępuje ewidencji kancelaryjnej, bo odpowiada na inne pytanie: nie kto pobrał dokument, lecz kto poznał treść.

Na karcie powinny znaleźć się dane pozwalające jednoznacznie powiązać podpis z materiałem: oznaczenie dokumentu, klauzula, imię i nazwisko osoby, data zapoznania, podpis oraz ewentualnie zakres, jeżeli zapoznanie nie obejmowało całości. Jeżeli dokument ma załączniki o różnych klauzulach, trzeba uważać, aby karta nie sugerowała dostępu szerszego niż rzeczywisty. To drobiazg, który później ma znaczenie przy wyjaśnianiu kręgu osób znających informację.

Częsty błąd polega na zbieraniu podpisów zbiorczych pod listą obecności ze szkolenia, odprawy albo narady i traktowaniu jej jak karty zapoznania z dokumentem. Lista obecności potwierdza udział, ale nie zawsze potwierdza dostęp do konkretnego materiału. Jeżeli na naradzie omawiano tylko wybrane fragmenty, zapis powinien odpowiadać rzeczywistemu zakresowi ujawnionej treści.

Goście, wykonawcy i inne komórki

Osoba spoza jednostki nie otrzymuje dostępu tylko dlatego, że reprezentuje urząd, przedsiębiorcę albo zespół projektowy. Trzeba sprawdzić jej uprawnienie, zakres zadania, podstawę udziału w sprawie oraz zasady rejestrowania pobytu i zapoznania. Przy wykonawcach dochodzą postanowienia umowy, instrukcja bezpieczeństwa przemysłowego albo inne dokumenty określające obieg materiałów.

Przy przekazywaniu materiałów między komórkami tej samej jednostki nadal obowiązuje ewidencja i zasada wiedzy koniecznej. Wewnętrzny charakter sprawy nie znosi wymagań kancelaryjnych. Najbezpieczniej, gdy dokumentacja obiegu wskazuje, kto w komórce jest upoważniony do pobierania materiałów i kto odpowiada za ich zabezpieczenie po pobraniu.

Materiały NATO, UE albo materiały przekazane przez inny podmiot mogą mieć dodatkowe ograniczenia wynikające z przepisów, instrukcji albo warunków udostępnienia. W takich przypadkach nie należy rozstrzygać wyłącznie na podstawie zwyczaju jednostki. Granicę udostępnienia trzeba potwierdzić u pełnomocnika ochrony, w kancelarii właściwej dla danego materiału albo u podmiotu, który materiał przekazał.

Typowe naruszenia

Najczęstsze naruszenia nie wynikają z braku sejfu, tylko z pośpiechu i niejasnych ról. Kancelaria wydaje dokument na telefoniczne polecenie, przełożony zakłada, że poświadczenie wystarcza, a użytkownik traktuje kopię roboczą jak notatkę prywatną. Później brakuje jednego prostego dowodu: kto, kiedy i na jakiej podstawie miał dostęp.

W praktyce najczęściej pojawiają się:

• wydanie materiału osobie bez potwierdzonej potrzeby poznania,
• udostępnienie całej teczki, gdy potrzebny był jeden dokument,
• brak wpisu wydania albo nieczytelny wpis uniemożliwiający odtworzenie obiegu,
• pozostawienie dokumentu poza kancelarią bez właściwego zabezpieczenia,
• wykonywanie kopii, skanów lub zdjęć bez podstawy i ewidencji,
• przekazywanie dokumentu dalej między pracownikami bez udziału kancelarii,
• podpisywanie kart zapoznania zbiorczo, bez powiązania z konkretnym materiałem,
• omawianie treści w obecności osób bez dostępu,
• wnoszenie telefonów lub prywatnych nośników tam, gdzie dokumentacja tego zabrania,
• zwrot niekompletnego materiału bez natychmiastowego wyjaśnienia.

Jeżeli doszło do nieuprawnionego ujawnienia, utraty kontroli nad materiałem albo nie da się ustalić, kto miał dostęp, sprawy nie naprawia się dopiskiem w rejestrze po fakcie. Trzeba zabezpieczyć materiał, odtworzyć obieg, powiadomić właściwe osoby w jednostce i ocenić, czy mamy do czynienia z incydentem lub naruszeniem ochrony. Konsekwencje takiej sytuacji opisuje tekst Odpowiedzialność za ujawnienie informacji niejawnych.

Co powinno być opisane w procedurze

Procedura udostępniania powinna być krótka, ale operacyjna. Pracownik kancelarii ma z niej wiedzieć, kiedy może wydać materiał, kiedy żąda dodatkowego potwierdzenia i kiedy wstrzymuje czynność. Użytkownik ma wiedzieć, co wolno mu zrobić z dokumentem po pobraniu.

W procedurze powinny znaleźć się co najmniej:

• role kierownika jednostki, pełnomocnika ochrony, kierownika kancelarii, przełożonego merytorycznego i użytkownika,
• sposób potwierdzania uprawnienia i szkolenia,
• sposób potwierdzania potrzeby dostępu,
• tryby udostępnienia: czytelnia, wydanie do pracy, przekazanie między komórkami, zapoznanie z fragmentem,
• zasady prowadzenia kart zapoznania,
• zasady pracy poza kancelarią i maksymalny czas przetrzymywania materiału, jeżeli jednostka taki czas określa,
• zakaz nieuprawnionego kopiowania, fotografowania i przepisywania treści do narzędzi jawnych,
• czynności przy zwrocie i stwierdzeniu braku,
• tryb postępowania przy wątpliwości albo odmowie wydania.

Nie każdy element tej listy wynika wprost jako osobny obowiązek ustawowy. Część to dobra praktyka organizacyjna, która pozwala wykazać, że jednostka realnie kontroluje obieg, a nie tylko posiada kancelarię i rejestry. Podczas kontroli liczy się zgodność dokumentacji z praktyką, dlatego procedura nie może opisywać modelu, którego nikt nie stosuje.

Podsumowanie

Materiały niejawne udostępnia się osobie, która ma właściwe uprawnienie, szkolenie i potrzebę poznania wynikającą z konkretnego zadania. Kancelaria tajna ma kontrolować wydanie, zwrot i ślad ewidencyjny, a nie automatycznie realizować każde polecenie pobrania dokumentu.

Najbezpieczniejszy obieg to taki, w którym przed wydaniem wiadomo, kto potrzebuje informacji, w jakim zakresie, gdzie będzie pracował z dokumentem i kiedy go zwróci. Jeżeli tych odpowiedzi nie ma, sprawę trzeba wyjaśnić z przełożonym merytorycznym, pełnomocnikiem ochrony albo kierownikiem jednostki przed udostępnieniem, a nie po stwierdzeniu naruszenia.