Upoważnienie do dostępu do informacji o klauzuli zastrzeżone

Upoważnienie do dostępu do informacji o klauzuli zastrzeżone wydaje pisemnie kierownik jednostki osobie, która nie ma poświadczenia bezpieczeństwa, ale musi znać takie informacje do wykonania konkretnych zadań. Sam podpis nie wystarcza: przed dopuszczeniem trzeba potwierdzić potrzebę dostępu, odbycie szkolenia z ochrony informacji niejawnych i zakres, w jakim ta osoba będzie pracowała z materiałami.

Podstawa i sens upoważnienia

Mechanizm pisemnego upoważnienia dla klauzuli zastrzeżone wynika z art. 21 ust. 4 ustawy o ochronie informacji niejawnych. Przepis pozwala dopuścić osobę do pracy albo zlecić jej prace związane z dostępem do takich informacji bez prowadzenia postępowania sprawdzającego i bez wydawania poświadczenia bezpieczeństwa.

To rozwiązanie dotyczy wyłącznie najniższej klauzuli informacji niejawnych. Nie można nim zastąpić poświadczenia wymaganego przy klauzulach poufne, tajne albo ściśle tajne.

W praktyce upoważnienie jest decyzją wewnętrzną kierownika jednostki, a nie dokumentem, który osoba zabiera ze sobą do kolejnego pracodawcy albo do innego zamawiającego. Dopuszczenie działa w tej jednostce, w określonym zakresie i przy zachowaniu zasady wiedzy koniecznej.

Kiedy wystarczy upoważnienie

Upoważnienie stosuje się wtedy, gdy osoba ma wykonywać zadania związane z informacjami o klauzuli zastrzeżone i nie posiada ważnego poświadczenia bezpieczeństwa. Typowe sytuacje to praca z korespondencją zastrzeżoną, obsługa spraw organizacyjnych, udział w realizacji umowy, administrowanie dokumentacją albo wykonywanie czynności pomocniczych w komórce, która takie materiały wytwarza lub przetwarza.

Jeżeli osoba ma ważne poświadczenie bezpieczeństwa do klauzuli poufne, tajne albo ściśle tajne, samo poświadczenie obejmuje również niższą klauzulę. Nadal trzeba jednak ustalić, czy ma potrzebę dostępu do konkretnej sprawy, zbioru dokumentów albo systemu.

Najczęstszy błąd polega na myleniu klauzuli z funkcją w organizacji. Stanowisko samo w sobie nie daje dostępu, nawet jeśli w nazwie ma bezpieczeństwo, kancelarię, informatykę albo kontrolę.

Jeżeli nie ma rzeczywistej potrzeby zapoznawania się z treścią informacji, nie wydaje się upoważnienia. Wystarczy tak zorganizować pracę, aby osoba widziała tylko informacje jawne albo oficjalnie przygotowane wyciągi, które nie ujawniają treści niejawnej. Sama anonimizacja robocza nie „zdejmuje” klauzuli i nie zastępuje decyzji o zmianie albo zniesieniu klauzuli.

Upoważnienie do dostępu do informacji o klauzuli zastrzeżone krok po kroku

Procedura powinna być prosta, ale udokumentowana. Przy kontroli problemem rzadko jest brak wzoru pisma, częściej brak śladu, dlaczego ta konkretna osoba w ogóle dostała dostęp.

1. Ustal potrzebę dostępu. Przełożony albo komórka merytoryczna wskazuje zadanie, umowę, stanowisko lub proces, w którym występują informacje zastrzeżone.
2. Sprawdź klauzulę i zakres. Trzeba potwierdzić, że chodzi wyłącznie o zastrzeżone, a nie o dokumenty mieszane, załączniki z wyższą klauzulą albo system, w którym są też informacje poufne.
3. Zweryfikuj, czy osoba ma poświadczenie. Jeżeli ma ważne poświadczenie wyższej klauzuli, zwykle nie wydaje się zastępczego upoważnienia, tylko dokumentuje potrzebę dostępu w danej jednostce.
4. Przeprowadź szkolenie. Dostęp do informacji niejawnych wymaga wcześniejszego szkolenia z ochrony informacji niejawnych, potwierdzonego zaświadczeniem.
5. Przygotuj projekt upoważnienia. Dokument powinien jasno wskazywać osobę, klauzulę, zakres zadań, podstawę dopuszczenia i okres obowiązywania.
6. Uzyskaj podpis kierownika jednostki. Upoważnienie podpisuje kierownik jednostki organizacyjnej albo osoba działająca w jego imieniu, jeżeli wynika to z właściwego umocowania.
7. Wprowadź osobę do wykazów i obiegu. Pełnomocnik ochrony, kancelaria, przełożony i administrator systemu muszą wiedzieć, że dostęp został nadany i w jakim zakresie.
8. Nadaj dostęp techniczny lub organizacyjny. Dopiero po wykonaniu wcześniejszych czynności można wydać dokument, założyć konto, dopuścić do pomieszczenia albo przekazać nośnik.

Kolejność ma znaczenie. Najgorzej wygląda sytuacja, w której osoba najpierw pracuje na materiałach, a upoważnienie i szkolenie pojawiają się dopiero przed kontrolą.

Szkolenie przed podpisem albo przed dostępem

Szkolenie z ochrony informacji niejawnych nie jest dodatkiem do upoważnienia. To osobny warunek dopuszczenia, który musi być spełniony przed faktycznym dostępem do informacji.

W dokumentacji powinno być zaświadczenie potwierdzające odbycie szkolenia. Jeżeli jednostka prowadzi wykaz osób przeszkolonych, dane z wykazu muszą zgadzać się z datami na zaświadczeniach i z datą nadania dostępu.

Szkolenie okresowe przeprowadza się cyklicznie, co do zasady nie rzadziej niż raz na 5 lat. Upoważnienie nie wygasa z mocy ustawy po 5 latach tak jak szkolenie wymaga odnowienia, ale w praktyce dobrze powiązać jego przegląd z terminem szkolenia i zmianami zadań. Dzięki temu jednostka nie utrzymuje dostępu osoby, która dawno nie była szkolona albo nie wykonuje już danego zadania.

Zakres szkolenia powinien odpowiadać pracy danej osoby. Pracownik kancelarii potrzebuje innego nacisku niż użytkownik systemu teleinformatycznego, osoba sporządzająca notatki zastrzeżone albo kierownik projektu po stronie wykonawcy. Szerzej o organizacji szkoleń opisano w opracowaniu Szkolenie z ochrony informacji niejawnych: kto, kiedy i z czego.

Co wpisać w upoważnieniu

Ustawa nie narzuca jednego urzędowego formularza dla takiego dokumentu. To jednak nie znaczy, że wystarczy jedno zdanie o dopuszczeniu do informacji niejawnych.

W praktyce dobrze przygotowane upoważnienie zawiera:

• imię, nazwisko i stanowisko osoby dopuszczanej,
• nazwę jednostki organizacyjnej,
• wskazanie klauzuli zastrzeżone,
• zakres spraw, zadań, komórki organizacyjnej, umowy albo systemu,
• informację, że osoba nie posiada poświadczenia bezpieczeństwa, jeżeli upoważnienie zastępuje je dla tej klauzuli,
• potwierdzenie odbycia szkolenia albo odesłanie do zaświadczenia,
• datę rozpoczęcia obowiązywania,
• datę końcową albo warunek wygaśnięcia, na przykład wykonywanie określonych obowiązków,
• podpis kierownika jednostki,
• miejsce na potwierdzenie zapoznania się przez osobę upoważnioną.

Zakres jest ważniejszy niż ozdobna podstawa prawna. Sformułowanie do wszystkich informacji zastrzeżonych w jednostce zwykle jest za szerokie i trudne do obrony, jeżeli osoba wykonuje tylko jedno zadanie. Szerszy zakres może być uzasadniony przy funkcji, która naprawdę obejmuje wiele spraw, ale nadal musi wynikać z potrzeby dostępu, a nie z wygody administracyjnej.

Jeżeli dostęp dotyczy systemu teleinformatycznego, upoważnienie nie zastępuje konta użytkownika, uprawnień w systemie ani zapisów w dokumentacji bezpieczeństwa systemu. Nadanie konta musi wynikać z procedur eksploatacyjnych i listy osób uprawnionych, co opisuje odrębnie temat kontroli dostępu do systemu niejawnego.

Okres ważności

Dla pisemnego upoważnienia do klauzuli zastrzeżone ustawa nie wskazuje jednego okresu ważności tak, jak przy poświadczeniach bezpieczeństwa. Kierownik jednostki może więc powiązać je z okresem zatrudnienia, czasem realizacji zadania, terminem obowiązywania umowy albo konkretną datą.

Najbezpieczniejsza praktyka to wpisanie terminu końcowego albo jasnego warunku wygaśnięcia. Przykład: na czas wykonywania obowiązków na stanowisku specjalisty do spraw zamówień, nie dłużej niż do dnia wskazanego w dokumencie.

Upoważnienie bez daty końcowej wymaga lepszej dyscypliny organizacyjnej. Trzeba wtedy pilnować zmian stanowisk, odejść z pracy, końca umowy, przeniesienia do innej komórki i upływu terminu szkolenia okresowego.

Przy większej liczbie osób sprawdza się prosty wykaz upoważnień z kolumnami: osoba, zakres, data szkolenia, data upoważnienia, termin przeglądu, informacja o cofnięciu. Bez takiego wykazu dokumenty zaczynają żyć własnym życiem.

Cofnięcie upoważnienia

Cofnięcie warto zrobić pisemnie albo w formie przyjętej w dokumentacji jednostki, zawsze tak, aby dało się wykazać datę i zakres odebrania dostępu. Sama informacja ustna do przełożonego nie wystarcza, jeżeli potem trzeba rozliczyć dokumenty, konta i pomieszczenia.

Typowe powody cofnięcia to:

• ustanie potrzeby dostępu,
• zmiana stanowiska albo zakresu obowiązków,
• zakończenie zatrudnienia lub umowy,
• brak aktualnego szkolenia,
• naruszenie zasad ochrony informacji niejawnych,
• wątpliwości co do dalszego dopuszczenia osoby do pracy z informacjami.

Po cofnięciu trzeba rozliczyć materiały, odebrać uprawnienia do systemów, zaktualizować listy dostępu i poinformować osoby odpowiedzialne za kancelarię, system teleinformatyczny oraz ochronę fizyczną. Jeżeli przyczyną jest naruszenie, dalsze działania zależą od charakteru zdarzenia i powinny być prowadzone według procedur opisanych dla pierwszych kroków po naruszeniu ochrony informacji niejawnych.

Nie każde cofnięcie oznacza winę pracownika. Często jest to zwykłe uporządkowanie dostępu po zakończeniu projektu albo zmianie organizacyjnej.

Różnice wobec poświadczenia bezpieczeństwa

Upoważnienie do klauzuli zastrzeżone i poświadczenie bezpieczeństwa są często wkładane do jednej teczki, ale mają inny charakter. Pomylenie tych dokumentów prowadzi do błędów przy umowach, kontrolach i delegowaniu pracowników.

Poświadczenie bezpieczeństwa nie daje automatycznie prawa do każdej sprawy w jednostce. Upoważnienie dla zastrzeżone też nie daje prawa do przeglądania wszystkiego, co ma taką klauzulę. O praktycznym ograniczaniu dostępu decyduje zasada wiedzy koniecznej.

Co najpierw sprawdzi kontrola

Kontrola zwykle zaczyna od prostych zestawień, bo na nich najszybciej widać niespójności. Jeżeli wykaz osób dopuszczonych nie zgadza się z kancelarią, kontami w systemie i zaświadczeniami ze szkoleń, kontrolujący od razu wie, gdzie szukać dalej.

Najczęściej sprawdzane są:

• wykaz osób upoważnionych do klauzuli zastrzeżone,
• pojedyncze upoważnienia podpisane przez kierownika jednostki,
• zaświadczenia ze szkoleń,
• zakresy obowiązków albo inne dokumenty pokazujące potrzebę dostępu,
• ewidencja wydania dokumentów i nośników,
• listy użytkowników systemów niejawnych,
• dokumenty cofnięcia dostępu po odejściu lub zmianie stanowiska.

Kontrola rzadko kwestionuje sam fakt, że jednostka użyła upoważnienia. Problemem bywa brak logiki między zadaniem osoby a zakresem dostępu.

Typowe błędy

Pierwszy błąd to wystawianie upoważnień hurtowo wszystkim pracownikom działu. Dostęp do informacji niejawnych ma wynikać z potrzeby, a nie z wygody organizacyjnej.

Drugi błąd to brak szkolenia przed dopuszczeniem. Dokument podpisany przed szkoleniem nie powinien uruchamiać dostępu, nawet jeśli ktoś planuje przeszkolić pracownika za kilka dni.

Trzeci błąd to zbyt ogólny zakres. Zwrot dostęp do informacji niejawnych w jednostce jest nieprecyzyjny i nie pokazuje, dlaczego osoba ma znać konkretne sprawy.

Czwarty błąd to brak cofnięcia po zmianie stanowiska. W praktyce najwięcej nieaktualnych dostępów zostaje po reorganizacji, awansach i przejściu pracownika do innej komórki.

Piąty błąd to traktowanie upoważnienia jak poświadczenia. Taki dokument nie otwiera dostępu do wyższych klauzul, nie działa automatycznie u innego pracodawcy i nie zastępuje wymagań wynikających z umowy niejawnej.

Szósty błąd dotyczy systemów teleinformatycznych. Samo pismo od kierownika nie wystarczy, jeżeli użytkownik nie został ujęty w procedurach, nie ma właściwych uprawnień albo system nie jest przeznaczony do przetwarzania informacji o danej klauzuli.

Granice tej procedury

Każda jednostka może mieć dodatkowe regulacje wewnętrzne, wynikające z planu ochrony, instrukcji obiegu dokumentów, dokumentacji systemu albo wymagań zamawiającego. Tych zasad nie wolno pomijać tylko dlatego, że ustawa dopuszcza uproszczony tryb dla klauzuli zastrzeżone.

Jeżeli dostęp dotyczy kontraktu, jednostki wojskowej, współpracy z organem państwowym albo informacji przekazanych przez inny podmiot, trzeba sprawdzić wymagania wskazane w umowie i dokumentach bezpieczeństwa. Wątpliwości co do zakresu dopuszczenia powinien rozstrzygać pełnomocnik ochrony, a w sprawach nadzorczych właściwy organ.

Tekst nie rozstrzyga, czy konkretna osoba powinna otrzymać dostęp. To decyzja kierownika jednostki, podejmowana na podstawie zadań, organizacji pracy i oceny ryzyk w danej sprawie.

Podsumowanie

Dla klauzuli zastrzeżone poświadczenie bezpieczeństwa nie zawsze jest wymagane, bo ustawa przewiduje pisemne upoważnienie kierownika jednostki. Warunki są jednak konkretne: realna potrzeba dostępu, szkolenie z ochrony informacji niejawnych, określony zakres i dokumentacja pozwalająca odtworzyć decyzję.

Dobrze przygotowana procedura nie kończy się na podpisie. Trzeba jeszcze pilnować terminów szkoleń, zmian stanowisk, kont w systemach, rozliczenia dokumentów i cofnięcia dostępu, gdy potrzeba przestaje istnieć.