Zmiany w systemie po akredytacji: kiedy powtórzyć procedurę
← Powrót do przewodnika: Akredytacja systemu niejawnego
Akredytowany system nie stoi w miejscu. Sprzęt się psuje, oprogramowanie dostaje aktualizacje, przybywa użytkowników. Pytanie brzmi, kiedy zmiana mieści się w istniejącej akredytacji, a kiedy z niej wychodzi.
Zasada, od której wszystko się zaczyna
Art. 49 ust. 4 ustawy o ochronie informacji niejawnych stawia warunek bez wyjątków:
podstawą dokonywania jakichkolwiek zmian w systemie teleinformatycznym jest przeprowadzenie procesu szacowania ryzyka dla bezpieczeństwa informacji niejawnych przetwarzanych w tym systemie
Słowo „jakichkolwiek” nie zostawia miejsca na kategorię zmian drobnych, przy których można to pominąć. Zakres samego szacowania może być proporcjonalny do zmiany, ale sam obowiązek jest bezwarunkowy.
Do tego art. 49 ust. 2 i 3 nakazują modyfikować SWB i PBE przed wprowadzeniem zmian, a nie po nich.
Trzy poziomy zmiany
Ustawa nie dzieli zmian na kategorie, ale praktyka eksploatacyjna wypracowała rozróżnienie, które ułatwia decyzję.
Poziom 1: zmiana w ramach opisanego stanu
Wymiana uszkodzonego dysku na identyczny, aktualizacja bezpieczeństwa systemu operacyjnego przewidziana w procedurze, dodanie użytkownika w istniejącej roli.
Co trzeba zrobić: przeprowadzić szacowanie ryzyka w zakresie odpowiadającym zmianie, wykonać czynność zgodnie z procedurą z PBE, zostawić ślad w ewidencji.
Czego nie trzeba: nowej akredytacji. Przedmiot akredytacji się nie zmienił.
Poziom 2: zmiana wykraczająca poza dokumentację, ale nie poza przedmiot akredytacji
Dołożenie stanowiska, zmiana wersji oprogramowania zabezpieczającego, nowe urządzenie peryferyjne, przeniesienie sprzętu do innego pomieszczenia w tej samej strefie.
Co trzeba zrobić: szacowanie ryzyka, aktualizacja SWB i odpowiednich procedur PBE przed zmianą, zatwierdzenie aktualizacji.
Tu leży najwięcej realnych problemów. Zmiany tego typu robi się szybko, często pod presją, a dokumentację poprawia „przy najbliższej okazji”, która nie nadchodzi.
Poziom 3: zmiana poza przedmiot akredytacji
Podniesienie najwyższej klauzuli przetwarzanych informacji, połączenie systemu z inną siecią, zmiana lokalizacji poza dotychczasową strefę, istotna przebudowa architektury.
Co trzeba zrobić: potraktować to jak nowe postępowanie. Świadectwo akredytacji dotyczy konkretnego systemu w konkretnej konfiguracji, opisanego w złożonej dokumentacji. Poza ten opis nie sięga.
Szczególny przypadek to podniesienie klauzuli z „zastrzeżone” na „poufne” albo wyżej. Zmienia się wtedy nie tylko zakres, ale i organ: akredytacji dla klauzuli „zastrzeżone” udziela kierownik jednostki na podstawie art. 48 ust. 9, a dla wyższych ABW albo SKW.
Test, który rozstrzyga wątpliwość
Kiedy nie wiadomo, na którym poziomie leży zmiana, warto zadać trzy pytania:
- Czy zmienia się najwyższa klauzula? Jeśli tak, to zawsze poziom trzeci.
- Czy zmieniają się granice systemu? Nowe połączenie, nowa lokalizacja, nowa grupa użytkowników spoza dotychczasowego kręgu: poziom trzeci.
- Czy opis w SWB nadal jest prawdziwy po zmianie? Jeśli nie, to co najmniej poziom drugi.
Pierwsze pytanie jest najważniejsze, bo odpowiedź twierdząca przesądza sprawę niezależnie od pozostałych.
Czego nie robić
Nie zmieniaj najpierw, dokumentuj potem. Ustawa wymaga modyfikacji dokumentacji przed zmianą. Odwrotna kolejność jest naruszeniem, nawet jeśli skończy się dobrze.
Nie zbieraj zmian na później. Kilkanaście drobiazgów wprowadzonych przez rok bez aktualizacji tworzy system, którego nikt już nie potrafi opisać, bo nie ma śladu, co i kiedy się zmieniło.
Nie zakładaj, że aktualizacja oprogramowania jest neutralna. Nowa wersja bywa zmianą mechanizmu zabezpieczającego, a to jest wprost element opisany w SWB.
Jak to ułożyć, żeby działało
Najskuteczniejsze rozwiązanie jest jednocześnie najprostsze: wpisać obowiązek szacowania ryzyka wprost do procedury wprowadzania zmian w PBE. Wtedy nikt nie musi pamiętać o art. 49 ust. 4, bo procedura sama o nim przypomina w chwili, gdy jest potrzebny.
Drugim elementem jest rejestr zmian: krótka tabela z datą, opisem zmiany, wynikiem szacowania ryzyka i informacją, które dokumenty zaktualizowano. Przy kontroli odpowiada na większość pytań bez szukania.
Podsumowanie
Każda zmiana w akredytowanym systemie zaczyna się od szacowania ryzyka i aktualizacji dokumentacji, bo tak stanowi art. 49 ust. 4. Różnica między poziomami polega tylko na tym, czy wystarczy poprawić dokumenty, czy trzeba wrócić do organu akredytującego. Rozstrzyga o tym przedmiot akredytacji, a najczęściej klauzula.
Planujecie rozbudowę akredytowanego systemu? Napiszcie do nas, sprawdzimy, czy mieści się w obecnej akredytacji.
