Zasada wiedzy koniecznej w codziennej pracy
Ze wszystkich reguł ochrony informacji niejawnych ta jest naruszana najczęściej i prawie zawsze w dobrej wierze. Nikt nie rozsyła dokumentów, żeby zaszkodzić. Rozsyła się je, bo tak jest szybciej.
Na czym polega
Uprawnienie formalne, czyli poświadczenie bezpieczeństwa przy klauzuli „poufne” i wyższej albo pisemne upoważnienie kierownika przy „zastrzeżone”, mówi, do jakiej klauzuli dana osoba może mieć dostęp. Nie mówi, do których materiałów tej klauzuli.
Dostęp otrzymuje osoba, której jest on niezbędny do wykonywania zadań. Trzeba więc spełnić trzy rzeczy łącznie: uprawnienie odpowiadające klauzuli, przeszkolenie i rzeczywistą potrzebę wynikającą z zakresu obowiązków.
Ten trzeci jest najtrudniejszy, bo dwa pierwsze wynikają z dokumentu, a on z oceny. Ocenia się przy tym nie osobę, tylko zadanie.
Dlaczego to jest zabezpieczenie, a nie biurokracja
Każda osoba mająca dostęp do materiału to jedno dodatkowe miejsce, w którym może dojść do ujawnienia: przez pomyłkę, przez nieuwagę, przez utratę nośnika albo celowo.
Ograniczenie kręgu odbiorców jest więc zabezpieczeniem tak samo realnym jak zamek w drzwiach, tylko tańszym.
Jest też praktyczna korzyść przy incydencie: im węższy krąg, tym szybciej da się ustalić, gdzie nastąpił wyciek.
Gdzie się stosuje
Przy nadawaniu uprawnień w systemie. Wniosek powinien wskazywać zakres zadań uzasadniający dostęp, a nie samo stanowisko.
Przy wydawaniu materiałów z kancelarii. Kierownik kancelarii sprawdza poświadczenie, ale też to, czy materiał wiąże się z zadaniami tej osoby.
Przy rozsyłaniu dokumentów. Lista odbiorców powstaje z zadań, a nie z przyzwyczajenia.
Przy dopuszczaniu podwykonawców. Podwykonawca dostaje wyłącznie tę część dokumentacji, która dotyczy jego zakresu prac.
Przy pracach serwisowych. Technik wchodzący do strefy nie potrzebuje wiedzy o treści przetwarzanych informacji.
Najczęstsze naruszenia
Przekazanie kompletu zamiast fragmentu. „Wyślę całość, sam sobie znajdzie.”
Lista odbiorców kopiowana z poprzedniego pisma. Odbiorcy z projektu sprzed dwóch lat.
Dostęp według stanowiska, nie zadania. Wszyscy kierownicy dostają wszystko, bo są kierownikami.
Uprawnienie zostawione po zmianie stanowiska. Zakres zadań się zmienił, dostęp nie.
Dostęp „na wszelki wypadek”. Żeby nie trzeba było prosić drugi raz.
Administrator zapoznający się z treścią. Ma techniczny dostęp do wszystkiego, ale uprawnienie tylko do tego, co niezbędne przy czynności technicznej.
Jak to wdrożyć bez paraliżowania pracy
Zasada bywa odbierana jako utrudnienie, więc warto ją wdrożyć tak, żeby nie generowała oporu.
Uzasadnienie w jednym zdaniu. Wniosek o dostęp nie musi być esejem. Wystarczy zdanie wiążące dostęp z zadaniem.
Przegląd okresowy zamiast blokowania. Zamiast utrudniać nadawanie, warto regularnie odbierać to, co przestało być potrzebne.
Domyślnie węziej. Łatwiej rozszerzyć dostęp na wniosek niż odebrać nadmiarowy.
Rozdzielanie dokumentacji. Jeśli materiał składa się z części o różnym przeznaczeniu, warto rozdzielić go na etapie tworzenia, a nie przy każdym udostępnieniu.
Rola pionu ochrony
Kontrola przestrzegania przepisów o ochronie informacji niejawnych należy do zadań pełnomocnika wymienionych w art. 15 ustawy o ochronie informacji niejawnych. Przegląd uprawnień pod kątem zasady wiedzy koniecznej mieści się w tym zadaniu wprost.
W praktyce najskuteczniejszym narzędziem jest okresowy przegląd listy osób z dostępem i pytanie przy każdej pozycji: jakie zadanie to uzasadnia dzisiaj.
Podsumowanie
Zasada wiedzy koniecznej jest tanim i skutecznym zabezpieczeniem, którego koszt sprowadza się do jednego zdania uzasadnienia i regularnego przeglądu. Najgroźniejsze naruszenia nie są złośliwe: powstają z pośpiechu i z chęci ułatwienia komuś pracy.
Chcecie przejrzeć uprawnienia pod tym kątem? Napiszcie do nas.
