Wdrożenie ochrony informacji niejawnych w firmie od zera

Wdrożenie ochrony informacji niejawnych w firmie od zera zaczyna się od ustalenia, jaką klauzulę i jaki zakres dostępu narzuca przetarg, umowa albo przyszły zamawiający, a dopiero potem od powoływania osób, pisania dokumentów i organizowania pomieszczeń. Stawką jest nie samo posiadanie segregatora z procedurami, tylko zdolność firmy do legalnego przyjmowania, przetwarzania, przechowywania i rozliczania materiałów niejawnych bez zatrzymania pracy przy pierwszej kontroli.

Punkt wyjścia

Pierwsze pytanie nie brzmi: jak założyć kancelarię tajną. Pierwsze pytanie brzmi: czy firma w ogóle ma mieć styczność z informacjami niejawnymi, na jakim poziomie klauzuli i w jakiej postaci.

W praktyce źródłem wymagań bywa:

• ogłoszenie o zamówieniu z klauzulą,
• projekt umowy niejawnej,
• instrukcja bezpieczeństwa przemysłowego od zamawiającego,
• zaproszenie do udziału w postępowaniu,
• wymóg uzyskania świadectwa bezpieczeństwa przemysłowego,
• potrzeba pracy na systemie teleinformatycznym przetwarzającym informacje niejawne.

Podstawowym aktem prawnym jest ustawa o ochronie informacji niejawnych. To z niej wynika podział na klauzule, zasady dostępu, obowiązki kierownika jednostki, rola pełnomocnika ochrony oraz ramy bezpieczeństwa przemysłowego.

Na tym etapie trzeba odróżnić trzy rzeczy: dostęp osób, zdolność organizacyjną firmy i warunki techniczne. Osoba z poświadczeniem bezpieczeństwa nie zastępuje kancelarii, kancelaria nie zastępuje akredytowanego systemu, a procedura nie zastępuje faktycznego nadzoru nad obiegiem dokumentów.

Wdrożenie ochrony informacji niejawnych w firmie od zera: kolejność

Najbezpieczniej prowadzić wdrożenie w kolejności zależności, nie w kolejności intuicyjnej. Jeżeli firma zacznie od remontu pomieszczenia, a dopiero potem ustali, że nie będzie przechowywać dokumentów w siedzibie, straci czas i pieniądze.

Mapa drogowa wygląda następująco:

1. Ustalić wymagania z przetargu, umowy albo od zamawiającego.
2. Określić najwyższą klauzulę informacji i formę pracy: dokumenty papierowe, nośniki, system teleinformatyczny, dostęp u zamawiającego.
3. Wyznaczyć osobę koordynującą temat po stronie firmy, a gdy przepisy tego wymagają, także pełnomocnika ochrony spełniającego warunki z ustawy.
4. Zaplanować postępowania sprawdzające i szkolenia.
5. Przygotować strukturę pionu ochrony, jeżeli jest wymagana.
6. Opracować dokumentację ochrony.
7. Zorganizować kancelarię tajną albo inne miejsce ewidencji i przechowywania, jeżeli zakres pracy tego wymaga.
8. Przygotować system teleinformatyczny, jeżeli informacje mają być przetwarzane elektronicznie.
9. Przejść procedury po stronie ABW, SKW albo zamawiającego, zależnie od sprawy.
10. Uruchomić pracę operacyjną i prowadzić bieżący nadzór.

W małej firmie część tych kroków idzie równolegle, ale nie wszystkie. Nie da się rozsądnie szkolić ludzi do konkretnych obowiązków, jeśli firma nie wie jeszcze, kto będzie miał dostęp i do jakich materiałów.

Decyzja o wejściu w przetarg

Przedsiębiorca powinien przeczytać wymagania bezpieczeństwa tak samo uważnie jak wymagania techniczne. Najczęstszy błąd polega na założeniu, że temat ochrony informacji niejawnych załatwi się po wyborze oferty.

W praktyce część wymagań musi być spełniona już na etapie ubiegania się o zamówienie. Dotyczy to zwłaszcza sytuacji, gdy zamawiający wymaga świadectwa bezpieczeństwa przemysłowego, wskazania osób z poświadczeniami albo zdolności do przetwarzania dokumentów o określonej klauzuli.

Przy przetargu trzeba od razu ustalić:

• czy wymagane jest świadectwo bezpieczeństwa przemysłowego,
• czy wystarczy dostęp osób do informacji niejawnych u zamawiającego i czy mimo tego potrzebne będzie świadectwo bezpieczeństwa przemysłowego określonego stopnia,
• czy firma będzie przyjmować dokumenty do własnej siedziby,
• czy potrzebny będzie system teleinformatyczny,
• czy w realizacji wystąpią podwykonawcy,
• czy zamawiający przewiduje własną instrukcję bezpieczeństwa przemysłowego.

Szerzej o przygotowaniu do postępowania zakupowego pisze opracowanie Przetargi z klauzulą: przygotowanie przedsiębiorcy. Tutaj istotne jest jedno: harmonogram ochrony informacji niejawnych trzeba włożyć do harmonogramu oferty, a nie traktować jako załącznika formalnego.

Kierownik jednostki i pełnomocnik

Za ochronę informacji niejawnych w jednostce odpowiada kierownik jednostki. Nie jest to odpowiedzialność, którą da się całkowicie przenieść na pełnomocnika ochrony, informatyka albo kancelarię.

Pełnomocnik ochrony organizuje system ochrony informacji niejawnych, prowadzi określone czynności z zakresu bezpieczeństwa osobowego, nadzoruje szkolenia, dokumentację i przestrzeganie procedur. W firmie, która zaczyna od zera, problemem bywa znalezienie osoby spełniającej wymagania i jednocześnie mającej realny wpływ na organizację pracy.

Jeżeli pełnomocnik jest powołany tylko na papierze, wdrożenie zwykle rozsypuje się przy pierwszym konflikcie między produkcją, sprzedażą i bezpieczeństwem. Pełnomocnik musi podlegać bezpośrednio kierownikowi i mieć w procedurach realną możliwość żądania informacji, zgłaszania naruszeń oraz wstrzymania czynności, które zagrażają ochronie. Zakres takich uprawnień warto zapisać w dokumentach organizacyjnych, żeby nie zależał od dobrej woli poszczególnych działów.

Przy małych strukturach pojawia się pokusa łączenia funkcji. Nie każde łączenie jest zakazane, ale każde trzeba ocenić pod kątem konfliktu interesów, zakresu obowiązków i faktycznej wykonalności.

Dostęp osób i szkolenia

Dostęp do informacji niejawnych nie wynika z samego stanowiska ani z podpisania umowy o pracę. Potrzebne są spełnione przesłanki dostępu, w tym odpowiednie sprawdzenie albo upoważnienie, przeszkolenie oraz zasada wiedzy koniecznej.

Przy klauzuli zastrzeżone mechanizm jest inny niż przy klauzulach wyższych. Co do zasady możliwe jest dopuszczenie osoby na podstawie pisemnego upoważnienia kierownika jednostki po spełnieniu wymaganych warunków, w tym po szkoleniu.

Przy klauzuli poufne i wyższej wchodzą w grę poświadczenia bezpieczeństwa. Zwykłe postępowanie sprawdzające jest innym trybem niż postępowanie poszerzone, a organ prowadzący zależy od rodzaju sprawy, osoby i wymaganej klauzuli.

Realne czasy są zmienne. W firmie planującej pierwszy kontrakt trzeba zakładać raczej miesiące niż tygodnie, szczególnie gdy kilka osób jednocześnie wypełnia ankiety, trzeba uzupełniać dane albo w sprawie uczestniczy ABW albo SKW.

Szkolenie nie powinno być wykładem ogólnym oderwanym od pracy. Osoba z produkcji, informatyk, członek zarządu i kierownik kancelarii mają inne ryzyka, inne dokumenty w ręku i inne błędy do popełnienia. Osobny opis wymagań szkoleniowych znajduje się w tekście Szkolenie z ochrony informacji niejawnych: kto, kiedy i z czego.

Dokumentacja ochrony

Dokumentacja ma opisywać sposób ochrony w konkretnej firmie, a nie kopiować ustawę. Kontrola szybko widzi, czy procedura pasuje do pomieszczeń, ludzi i obiegu dokumentów.

W typowym wdrożeniu pojawiają się między innymi:

• dokumenty organizujące pion ochrony,
• wykazy stanowisk albo osób przewidzianych do dostępu,
• procedury nadawania, zmiany i odbierania uprawnień,
• zasady obiegu materiałów niejawnych,
• instrukcje pracy kancelarii albo punktu ewidencyjnego,
• plan ochrony informacji niejawnych, jeżeli jest wymagany zakresem działania jednostki,
• dokumentacja szkoleń,
• procedury reagowania na naruszenia,
• dokumentacja systemu teleinformatycznego, jeżeli taki system ma istnieć.

Dobra praktyka: najpierw narysować obieg informacji, a dopiero potem pisać procedury. Skąd dokument przychodzi, kto go przyjmuje, gdzie jest wpisywany, kto może go pobrać, jak wraca, kiedy powstaje kopia, kto ją niszczy i gdzie zostaje ślad.

Obowiązek wynika z przepisów, ale kształt dokumentu musi odpowiadać praktyce jednostki. Jeśli procedura zakłada, że dokument zawsze przechodzi przez kierownika kancelarii, a w rzeczywistości po godzinie 15 odbiera go sekretariat, to nie jest drobna nieścisłość, tylko gotowy scenariusz naruszenia.

Kancelaria, pomieszczenia i ewidencja

Nie każda firma zaczynająca pracę z informacjami niejawnymi od razu potrzebuje rozbudowanej kancelarii tajnej. Przy informacjach „tajne” i „ściśle tajne” punkt wyjścia jest jednak ustawowy: kierownik jednostki tworzy kancelarię tajną (art. 42 ust. 1). Przy „poufne” znaczenie ma sposób rejestrowania i obiegu materiałów, a przy „zastrzeżone” zwykle wystarcza prostsza organizacja. Wymagania zamawiającego mogą tę praktykę doprecyzować.

Kancelaria tajna to nie tylko sejf i drzwi z kontrolą dostępu. To zorganizowany obieg, ewidencja, osoby funkcyjne, zasady wydawania, przyjmowania, przechowywania, kopiowania, wysyłania, archiwizacji i brakowania materiałów.

Przy wdrożeniach najczęściej opóźniają sprawę trzy rzeczy: źle dobrane pomieszczenie, brak osoby przygotowanej do prowadzenia ewidencji oraz niezgodność procedur z faktycznym ruchem dokumentów. Remont bywa szybszy niż nauczenie personelu, że dokument niejawny nie może krążyć jak zwykła korespondencja.

Jeżeli firma ma tylko czasowy dostęp do dokumentów u zamawiającego, model może być inny niż przy przechowywaniu materiałów we własnej siedzibie. To trzeba uzgodnić na początku, bo od tego zależą koszty, terminy i zakres dokumentacji.

System teleinformatyczny

Przetwarzanie informacji niejawnych na komputerze wymaga osobnego potraktowania. Zwykły laptop firmowy, nawet odłączony od internetu, nie staje się systemem niejawnym tylko dlatego, że ustawiono hasło i schowano go do szafy.

System teleinformatyczny do informacji niejawnych wymaga określenia granic, użytkowników, zabezpieczeń, zasad eksploatacji, nośników, kopii, administracji i nadzoru. Dla systemu przygotowuje się dokumentację bezpieczeństwa, a następnie przechodzi właściwą procedurę akredytacyjną.

W prostych przypadkach wystarcza dedykowane stanowisko standalone, ale ono także musi być opisane, zabezpieczone i użytkowane zgodnie z dokumentacją. Najczęstszy błąd to kupienie sprzętu przed analizą wymagań, a potem dopasowywanie procedury do przypadkowej konfiguracji.

Jeżeli w grę wchodzi system, harmonogram wdrożenia trzeba liczyć osobno. Przygotowanie dokumentacji, szacowanie ryzyka, poprawki po uwagach i organizacja stanowiska potrafią zająć więcej czasu niż samo fizyczne uruchomienie komputera.

Świadectwo bezpieczeństwa przemysłowego

Dla przedsiębiorcy startującego w kontraktach z klauzulą centralnym tematem może być świadectwo bezpieczeństwa przemysłowego. Co do zasady jest ono wymagane przy umowach z dostępem do informacji o klauzuli „poufne” lub wyższej. Ustawa przewiduje jednak wyjątki i prostsze tryby dla sytuacji, w których przedsiębiorca wykonuje umowę bez przetwarzania informacji we własnych obiektach albo gdy dostęp mają jedynie osoby spełniające wymagania osobowe. Dlatego wymaganie świadectwa trzeba czytać razem z umową, instrukcją bezpieczeństwa przemysłowego i art. 54 ustawy.

Nie należy zakładać, że świadectwo jest prostą formalnością po skompletowaniu dokumentów. W praktyce organ bada ludzi, organizację, powiązania, procedury i zdolność firmy do wykonania obowiązków ochronnych.

Czas zależy od zakresu sprawy, kompletności danych, struktury właścicielskiej, liczby osób, potrzeby wyjaśnień i obciążenia postępowań. Przy pierwszym podejściu bezpiecznie jest planować kilka miesięcy, a przy bardziej złożonej strukturze dłużej.

Osobna ścieżka została opisana w tekście Jak uzyskać Świadectwo Bezpieczeństwa Przemysłowego. W mapie wdrożenia ważne jest to, że procedura świadectwa nie powinna startować po zakończeniu przygotowań, tylko równolegle z porządkowaniem organizacji.

Gotowość operacyjna

Gotowość operacyjna oznacza, że firma potrafi wykonać pierwszy dzień pracy z materiałem niejawnym bez improwizacji. Chodzi o przyjęcie dokumentu, wpis do ewidencji, wydanie osobie uprawnionej, zwrot, przechowanie i reakcję na sytuację nietypową.

Przed startem trzeba przeprowadzić próbę na sucho. Nie z prawdziwym dokumentem niejawnym, tylko z dokumentem testowym opisanym tak, aby przećwiczyć cały obieg.

Taka próba ujawnia rzeczy, których nie widać w procedurze:

• kto ma klucz i kto go zastępuje,
• czy osoba odbierająca dokument wie, gdzie go wpisać,
• czy pracownik rozumie, że nie robi zdjęcia telefonem,
• czy drukarka jest właściwa dla zakładanego trybu pracy,
• czy po godzinach istnieje procedura przyjęcia przesyłki,
• czy nośnik danych ma ewidencję i oznaczenie,
• czy kierownik wie, kogo zawiadomić przy naruszeniu.

Dobra praktyka: po próbie zrobić krótką notatkę z ustaleniami i listą poprawek. Nie jest to substytut wymaganej dokumentacji, ale pomaga usunąć luki zanim pojawi się realny materiał.

Typowe błędy

Najczęstszy błąd to traktowanie ochrony informacji niejawnych jako dodatku do działu compliance. Tutaj nie wystarczy polityka, którą wszyscy akceptują w systemie kadrowym.

Drugi błąd to mylenie poświadczenia osoby ze zdolnością firmy. Pracownik może mieć poświadczenie, a firma nadal nie mieć warunków do przechowywania dokumentów, prowadzenia ewidencji albo przetwarzania informacji w systemie.

Trzeci błąd to zbyt późne uruchomienie postępowań sprawdzających. Ankieta wypełniona niedokładnie wraca do wyjaśnień, a jedna brakująca osoba potrafi zatrzymać zespół projektowy.

Czwarty błąd to dokumentacja pisana przed rozpoznaniem realnego procesu. Procedura, która nie opisuje codziennej pracy, będzie łamana od pierwszego tygodnia.

Piąty błąd to pominięcie podwykonawców. Jeżeli podwykonawca ma dostęp do informacji niejawnych, jego zdolność ochronna musi być oceniona przed dopuszczeniem do pracy, a nie po podpisaniu umowy.

Szósty błąd to zakładanie, że praca elektroniczna jest prostsza od papieru. System niejawny wymaga akredytacji, dokumentacji, administratora, inspektora bezpieczeństwa teleinformatycznego, ewidencji nośników i dyscypliny eksploatacji.

Siódmy błąd to brak procedury na naruszenie. Gdy dokument znika, nośnik jest źle opisany albo osoba nieuprawniona uzyskała dostęp, pierwsze minuty decydują o skali szkody i jakości późniejszych wyjaśnień.

Realny harmonogram

W małej firmie, która ma prosty zakres i pracuje tylko z klauzulą zastrzeżone, część wdrożenia można przygotować w tygodniach. To jednak zakłada szybkie decyzje kierownictwa, dostępność osób i brak potrzeby tworzenia rozbudowanego systemu teleinformatycznego.

Przy klauzuli poufne lub wyższej harmonogram zwykle liczy się w miesiącach. Najdłużej trwają postępowania sprawdzające, uzgodnienia z organem albo zamawiającym, przygotowanie pomieszczeń, dokumentacja systemu i poprawki po weryfikacji.

Praktyczny porządek prac jest taki:

• tydzień 1: analiza wymagań i decyzja, czy firma wchodzi w postępowanie,
• tygodnie 2 i 3: wskazanie osób, ról, zakresu dostępu i braków,
• miesiąc 1: start postępowań, szkoleń i dokumentacji organizacyjnej,
• miesiące 2 i 3: przygotowanie pomieszczeń, ewidencji, procedur i systemu, jeżeli jest potrzebny,
• kolejne miesiące: obsługa postępowań, poprawki, uzgodnienia, gotowość operacyjna.

To nie są terminy urzędowe, tylko roboczy model planowania. Konkretne terminy zależą od klauzuli, organu, wymagań zamawiającego, liczby osób i jakości materiału złożonego do sprawdzenia.

Czego ten tekst nie rozstrzyga

Ten przewodnik nie przesądza, czy konkretna firma otrzyma świadectwo bezpieczeństwa przemysłowego, czy dana osoba uzyska poświadczenie bezpieczeństwa ani czy określony system otrzyma akredytację. O tym decyduje właściwy organ albo kierownik jednostki w granicach swoich kompetencji.

Nie rozstrzyga także, czy w danej sprawie wystarczy upoważnienie do klauzuli zastrzeżone, czy potrzebne jest poświadczenie. To wymaga analizy stanowiska, klauzuli, umowy, źródła informacji i wymagań zamawiającego.

Jeżeli dokumentacja przetargowa jest niejednoznaczna, trzeba pytać zamawiającego w trybie przewidzianym dla danego postępowania. Jeżeli wątpliwość dotyczy interpretacji obowiązków ochronnych, właściwym punktem odniesienia jest pełnomocnik ochrony, ABW, SKW albo inny organ wskazany w konkretnej sprawie.

Podsumowanie

Wdrożenie ochrony informacji niejawnych w firmie trzeba prowadzić od wymagań kontraktu, a nie od kupowania sejfu albo pisania wzoru procedury. Najpierw ustala się klauzulę, zakres dostępu, miejsce pracy z materiałami i potrzebę świadectwa, potem dobiera ludzi, dokumentację, kancelarię i system teleinformatyczny.

Najwięcej czasu zabierają zależności między krokami: poświadczenia, szkolenia, organizacja pionu ochrony, przygotowanie pomieszczeń, akredytacja systemu i uzgodnienia z zamawiającym albo organem. Firma jest gotowa dopiero wtedy, gdy potrafi przyjąć, zaewidencjonować, przetworzyć, przechować i rozliczyć materiał niejawny zgodnie z procedurą, którą pracownicy rzeczywiście rozumieją i stosują.