Wykaz osób uprawnionych do dostępu do informacji niejawnych

Wykaz osób uprawnionych do dostępu do informacji niejawnych to aktualna lista prowadzona w jednostce przez pełnomocnika ochrony, pokazująca, kto ma formalną podstawę dostępu i z jakiego dokumentu ona wynika. Stawką jest kontrola nad realnym udostępnianiem materiałów: bez aktualnego wykazu kancelaria, kierownik jednostki i administrator systemu nie mają pewnego punktu odniesienia.

Kto prowadzi wykaz

Za prowadzenie wykazu odpowiada pełnomocnik ochrony. Wynika to z ustawy o ochronie informacji niejawnych, która opisuje zadania pełnomocnika w systemie ochrony jednostki, tekst ustawy jest dostępny w ISAP: ustawa o ochronie informacji niejawnych.

Nie oznacza to, że pełnomocnik sam wytwarza wszystkie informacje potrzebne do wykazu. Dane o zatrudnieniu, zmianie stanowiska, zakończeniu umowy albo zmianie danych osobowych zwykle pochodzą z kadr, od przełożonych komórek organizacyjnych, z kancelarii tajnej, od kierownika projektu albo od osoby prowadzącej umowę niejawną.

Kierownik jednostki odpowiada za zorganizowanie ochrony informacji niejawnych w jednostce. W praktyce musi zapewnić pełnomocnikowi dopływ informacji, bo wykaz nie zaktualizuje się sam po przeniesieniu pracownika do innego działu albo po zakończeniu kontraktu z podwykonawcą.

Kierownik kancelarii tajnej nie powinien prowadzić własnej, niezależnej listy uprawnień bez uzgodnienia z pełnomocnikiem. Kancelaria korzysta z wykazu przy wydawaniu materiałów i przy weryfikacji, czy osoba może otrzymać dokument, ale źródłem rozstrzygnięcia pozostaje dokumentacja pionu ochrony.

Wykaz osób uprawnionych do dostępu do informacji niejawnych w praktyce

Wykaz obejmuje osoby zatrudnione w jednostce albo wykonujące czynności zlecone, które posiadają uprawnienia do dostępu do informacji niejawnych. Ustawa wiąże go także z osobami, którym odmówiono wydania poświadczenia bezpieczeństwa albo wobec których poświadczenie cofnięto, dlatego nie jest to tylko lista osób „aktywnych”.

Zakres danych nie powinien być dowolnie rozszerzany. Art. 15 ust. 1 pkt 8 wymaga wykazu osób zatrudnionych lub pełniących służbę w jednostce albo wykonujących czynności zlecone, które posiadają uprawnienia do dostępu do informacji niejawnych, oraz osób, którym odmówiono wydania poświadczenia albo je cofnięto. W części ustawowej trzeba więc trzymać się danych potrzebnych do jednoznacznej identyfikacji osoby i dokumentu źródłowego, a pola organizacyjne wyraźnie oznaczać jako pomocnicze.

W dobrze prowadzonym wykazie zwykle znajdują się pola pozwalające sprawdzić:

• imię i nazwisko osoby,
• numer PESEL, jeżeli został nadany,
• dane identyfikacyjne pozwalające uniknąć pomylenia osób, prowadzone tylko w zakresie potrzebnym i uzasadnionym dokumentacją jednostki,
• rodzaj dokumentu będącego podstawą dostępu,
• numer dokumentu, jeżeli został nadany,
• datę wydania dokumentu,
• klauzulę informacji, do których dokument uprawnia,
• termin ważności poświadczenia albo inną datę graniczną wynikającą z dokumentacji,
• status wpisu: aktywny, wygaszony, cofnięty, odmowa, zakończenie potrzeby dostępu.

Trzeba rozdzielić dane ustawowe od danych pomocniczych. Pole z datą szkolenia jest w pracy bardzo potrzebne, ale nie każde dodatkowe pole należy bezrefleksyjnie dopisywać do ustawowego wykazu, zwłaszcza jeżeli przepis mówi o zakresie danych, które wykaz obejmuje.

Najczytelniejsze rozwiązanie to jedna tabela robocza z wyraźnie oznaczonymi częściami albo dwa powiązane rejestry: ustawowy wykaz oraz rejestr pomocniczy do obsługi szkoleń, dostępów do systemów i kancelarii. Takie rozdzielenie ułatwia obronę dokumentacji podczas kontroli, bo od razu widać, które dane wynikają z przepisu, a które służą bieżącej organizacji pracy.

Podstawa dostępu to nie sama lista

Wpis w wykazie nie tworzy uprawnienia. Wykaz tylko odzwierciedla stan wynikający z poświadczenia bezpieczeństwa, pisemnego upoważnienia, szkolenia i rzeczywistej potrzeby dostępu.

Dla informacji o klauzuli poufne albo wyższej podstawą jest odpowiednie poświadczenie bezpieczeństwa oraz odbycie szkolenia z ochrony informacji niejawnych. Dla informacji o klauzuli zastrzeżone ustawa dopuszcza dostęp na podstawie pisemnego upoważnienia kierownika jednostki, jeżeli osoba nie posiada poświadczenia, również po spełnieniu wymogu szkolenia.

W praktyce trzeba sprawdzać trzy rzeczy razem:

• czy osoba ma ważne poświadczenie albo upoważnienie,
• czy odbyła wymagane szkolenie,
• czy ma potrzebę dostępu wynikającą z zakresu obowiązków, zadania albo umowy.

Najczęstszy błąd polega na utożsamieniu ważnego poświadczenia z prawem do każdej informacji o danej klauzuli. Poświadczenie otwiera możliwość dopuszczenia, ale konkretne udostępnienie nadal wymaga zastosowania zasady wiedzy koniecznej.

Szkolenie nie jest formalnością do odhaczenia po latach. Jeżeli wykaz pokazuje osobę jako aktywnie uprawnioną, a w dokumentacji brakuje aktualnego zaświadczenia albo programu szkolenia, kontrolujący zwykle proszą o wyjaśnienie natychmiast, bo jest to prosty test spójności systemu. Szerzej o tym, kiedy i kogo szkolić, piszemy w opracowaniu o szkoleniu z ochrony informacji niejawnych.

Kiedy aktualizować

Wykaz aktualizuje się zawsze wtedy, gdy zmienia się stan uprawnień albo potrzeba dostępu. Nie wystarcza przegląd raz na kwartał, jeżeli dzień po przeglądzie pracownik kończy zatrudnienie albo wykonawca traci zadanie przy umowie niejawnej.

Aktualizacja powinna nastąpić po każdym zdarzeniu takim jak:

• wydanie poświadczenia bezpieczeństwa,
• odmowa wydania poświadczenia,
• cofnięcie poświadczenia,
• upływ terminu ważności poświadczenia,
• wydanie albo cofnięcie upoważnienia do klauzuli zastrzeżone,
• odbycie szkolenia, jeżeli jednostka prowadzi powiązaną ewidencję szkoleń,
• zmiana stanowiska albo zakresu zadań,
• zakończenie zatrudnienia, służby, stażu, praktyki albo umowy cywilnoprawnej,
• zakończenie potrzeby dostępu w projekcie lub umowie,
• zmiana danych identyfikacyjnych osoby.

Dobra praktyka jest prosta: wpis zmienia się tego samego dnia, w którym pełnomocnik otrzymał wiarygodną informację i dokument źródłowy. Jeżeli pełnomocnik czeka do końca miesiąca, w jednostce przez kilka tygodni może funkcjonować osoba widoczna jako uprawniona, choć nie powinna już otrzymać żadnego materiału.

Nie każda zmiana oznacza usunięcie osoby z wykazu. Przy odmowie, cofnięciu poświadczenia albo zakończeniu ważności dokumentu trzeba zostawić ślad statusu, daty i podstawy zmiany, zgodnie z zasadami przyjętymi w jednostce oraz przepisami o ochronie danych i archiwizacji.

Jak prowadzić wykaz

Wykaz może być prowadzony w postaci papierowej albo elektronicznej, jeżeli sposób prowadzenia zapewnia integralność, aktualność i kontrolę dostępu. Sam plik arkusza kalkulacyjnego na wspólnym dysku, bez właściciela, historii zmian i ograniczeń dostępu, jest rozwiązaniem ryzykownym.

Wersja papierowa powinna mieć numerację stron, datę aktualizacji, podpis albo parafę osoby dokonującej zmiany oraz sposób oznaczania wpisów nieaktywnych. To dobra praktyka porządkująca dokument, nawet jeśli konkretny przepis nie narzuca takiego układu formularza. Wersja elektroniczna powinna mieć ograniczone uprawnienia edycji, kopię zabezpieczającą i możliwość ustalenia, kto oraz kiedy zmienił dane.

Wykaz zawiera dane osobowe oraz informacje o rozstrzygnięciach bezpieczeństwa, więc dostęp do niego powinien być ograniczony do osób, które faktycznie go potrzebują. Nie powinien krążyć jako załącznik do korespondencji organizacyjnej ani trafiać do przełożonych w zakresie szerszym, niż jest im potrzebny.

Warto przyjąć jedną zasadę nazewnictwa statusów. Jeżeli w jednej komórce pojawia się „nieaktywny”, w drugiej „zakończony”, a w trzeciej „brak potrzeby”, po roku nikt nie wie, czy chodzi o wygaśnięcie dokumentu, zmianę stanowiska czy rozwiązanie umowy.

Praktyczny zestaw statusów może wyglądać tak:

• aktywny,
• oczekuje na szkolenie,
• oczekuje na dokument źródłowy,
• brak potrzeby dostępu,
• dokument wygasł,
• cofnięcie,
• odmowa,
• zakończenie współpracy.

Status „oczekuje” nie może oznaczać prawa do dostępu. To tylko informacja organizacyjna, że proces trwa i osoba nie powinna otrzymywać materiałów niejawnych do czasu spełnienia warunków.

Powiązanie z kancelarią i systemami

Kancelaria tajna powinna mieć jasną procedurę sprawdzania, czy osoba odbierająca materiał znajduje się w aktualnym wykazie i ma potrzebę dostępu do konkretnej sprawy. Sam podpis na pokwitowaniu odbioru nie leczy braku podstawy dostępu.

Administrator systemu niejawnego i inspektor bezpieczeństwa teleinformatycznego powinni otrzymywać od pełnomocnika informację potrzebną do założenia, zmiany albo odebrania konta. Jeżeli osoba traci uprawnienie w wykazie, a konto w systemie nadal działa, kontrola potraktuje to jako niespójność procedur, a nie jako drobną pomyłkę techniczną.

W jednostkach, w których działa kancelaria i system teleinformatyczny, warto robić okresowe porównanie trzech źródeł:

• wykazu prowadzonego przez pełnomocnika,
• ewidencji kancelaryjnej dotyczącej pobrań i zwrotów materiałów,
• listy kont oraz uprawnień w systemie niejawnym.

Takie porównanie szybko pokazuje osoby, które mają konto bez aktualnej podstawy, pobrały dokument po zmianie stanowiska albo widnieją w wykazie, choć od dawna nie uczestniczą w zadaniach niejawnych. Nie jest to osobny obowiązek nazwany wprost w ustawie, lecz dobra praktyka ograniczająca ryzyko naruszenia.

Typowe błędy z kontroli

Podczas kontroli ABW albo SKW wykaz jest jednym z pierwszych dokumentów, bo łatwo porównać go z poświadczeniami, upoważnieniami, szkoleniami i obiegiem dokumentów. Przygotowanie do takiej weryfikacji opisuje osobne opracowanie o kontroli ABW lub SKW w jednostce.

Najczęściej wychodzą następujące błędy:

• w wykazie są osoby, które już nie pracują w jednostce,
• brakuje osób wykonujących czynności zlecone, choć faktycznie miały dostęp,
• wpisano osoby tylko dlatego, że mają poświadczenie, bez sprawdzenia potrzeby dostępu,
• brak dat ważności poświadczeń albo wpisane są daty z kopii nieczytelnych dokumentów,
• upoważnienia do klauzuli zastrzeżone nie są powiązane ze szkoleniem,
• odmowy i cofnięcia poświadczeń nie zostały ujęte albo oznaczone,
• kancelaria posługuje się starszą wersją listy niż pełnomocnik,
• administrator systemu nie dostał informacji o odebraniu dostępu,
• arkusz elektroniczny może edytować zbyt wiele osób,
• nie ma dokumentu źródłowego potwierdzającego wpis.

Osobny problem to brak procedury informowania pełnomocnika o zmianach kadrowych. Jeżeli kadry nie zgłaszają zakończenia umowy, a przełożony nie zgłasza przeniesienia do innych zadań, wykaz zawsze będzie spóźniony, nawet gdy pełnomocnik prowadzi go starannie.

Kontrolujący często wybierają kilka nazwisk i idą po śladzie. Sprawdzają, czy osoba z wykazu ma dokument źródłowy, szkolenie, faktyczną potrzebę dostępu, wpisy w ewidencji kancelaryjnej albo konto w systemie. Jeżeli jeden element nie pasuje do pozostałych, pytanie brzmi już nie „czy jest tabela”, tylko „czy jednostka panuje nad dostępem”.

Co sprawdzić okresowo

Raz na pewien czas pełnomocnik powinien wykonać przegląd wykazu z udziałem osób, które znają bieżące zadania jednostki. Nie chodzi o mechaniczne potwierdzenie listy, lecz o sprawdzenie, czy każda osoba nadal potrzebuje dostępu w deklarowanym zakresie.

Przegląd powinien objąć co najmniej:

• osoby z kończącą się ważnością poświadczeń,
• osoby bez odnotowanego szkolenia w dokumentacji pomocniczej,
• osoby z dostępem do systemu niejawnego,
• osoby przypisane do zakończonych umów albo projektów,
• wykonawców i podwykonawców,
• wpisy oznaczone jako oczekujące,
• osoby z szerokim dostępem do wielu spraw.

Dobrą praktyką jest sporządzenie krótkiej notatki z przeglądu. W notatce wystarczy wskazać datę, zakres sprawdzenia, osoby uczestniczące, wykryte rozbieżności i sposób ich usunięcia.

Taka notatka nie zastępuje aktualizacji wykazu. Jest dowodem, że jednostka okresowo weryfikuje zgodność listy z rzeczywistą organizacją pracy.

Czego wykaz nie rozstrzyga

Wykaz nie rozstrzyga, czy dana osoba powinna otrzymać konkretny dokument w konkretnej sprawie. O tym decyduje potrzeba dostępu wynikająca z obowiązków, zlecenia albo udziału w postępowaniu, przy zachowaniu ograniczeń wynikających z klauzuli i dokumentacji ochrony.

Wykaz nie zastępuje postępowania sprawdzającego, poświadczenia bezpieczeństwa, upoważnienia ani szkolenia. Nie jest też narzędziem do omijania decyzji organu albo kierownika jednostki.

W sprawach nietypowych, na przykład przy dostępie do informacji międzynarodowych, NATO, UE, przy zmianie pracodawcy, przy umowach z podwykonawcami albo przy wątpliwościach co do ważności dokumentu, trzeba odwołać się do pełnomocnika ochrony i właściwego organu. Artykuł nie przesądza wyniku postępowania sprawdzającego ani decyzji ABW, SKW lub kierownika jednostki.

Podsumowanie

Wykaz jest narzędziem kontroli dostępu, a nie zwykłą tabelą kadrową. Musi być aktualny, oparty na dokumentach źródłowych i zgodny z poświadczeniami, upoważnieniami, szkoleniami oraz rzeczywistą potrzebą dostępu.

Najważniejsze w prowadzeniu wykazu są trzy rzeczy: szybka informacja o zmianach, rozdzielenie podstawy prawnej od pól pomocniczych oraz regularne porównywanie listy z kancelarią i systemami teleinformatycznymi. Tam, gdzie te trzy elementy działają, kontrola zwykle widzi porządek w dostępie, nawet jeżeli dokumentacja wymaga drobnych korekt.