Najczęstsze pytania o akredytację systemów niejawnych
Krótkie odpowiedzi na pytania, które najczęściej słyszymy od pełnomocników ochrony, administratorów i kierowników jednostek. Odpowiedź pokazuje się po kliknięciu pytania. Więcej szczegółów znajdą Państwo na stronach SWB, PBE, szacowanie ryzyka i szablony.
Czy każdy system, w którym przetwarza się informacje niejawne, wymaga akredytacji?
Tak. Zgodnie z art. 48 ust. 1 ustawy o ochronie informacji niejawnych systemy teleinformatyczne, w których mają być przetwarzane informacje niejawne, podlegają akredytacji bezpieczeństwa teleinformatycznego. Wyjątki są nieliczne i wskazane wprost w ustawie.
Kto udziela akredytacji dla klauzuli ZASTRZEŻONE?
Kierownik jednostki organizacyjnej - przez zatwierdzenie dokumentacji bezpieczeństwa (SWB i PBE). W ciągu 30 dni od udzielenia akredytacji dokumentację przekazuje się do ABW albo SKW.
Kto udziela akredytacji dla klauzuli POUFNE i wyższych?
ABW albo SKW. Potwierdzeniem akredytacji jest świadectwo akredytacji bezpieczeństwa systemu teleinformatycznego, wydawane na podstawie zatwierdzonej dokumentacji i wyników audytu.
Na jak długo udzielana jest akredytacja?
Na czas określony, nie dłuższy niż 5 lat. Przed jej wygaśnięciem trzeba zaktualizować dokumentację bezpieczeństwa zgodnie z aktualnymi wytycznymi ABW i uzyskać ponowną akredytację - w tym również pomagamy.
Czym różni się SWB od PBE?
SWB (Szczególne Wymagania Bezpieczeństwa) opisuje system i dobrane dla niego zabezpieczenia wynikające z szacowania ryzyka. PBE (Procedury Bezpiecznej Eksploatacji) to szczegółowe instrukcje dla osób funkcyjnych i użytkowników: kto, jak i jak często wykonuje czynności związane z bezpieczeństwem.
Czy szacowanie ryzyka jest obowiązkowe?
Tak. Dokument SWB musi zawierać wyniki szacowania ryzyka, szacowanie ryzyka jest podstawą każdej zmiany w systemie, a jego wyniki akceptuje kierownik jednostki (art. 49 ust. 1, 4 i 7 ustawy).
Kogo trzeba wyznaczyć przed uruchomieniem systemu niejawnego?
Inspektora bezpieczeństwa teleinformatycznego (pracownika pionu ochrony) oraz administratora systemu - wymaga tego art. 52 ust. 1 ustawy. To dwie odrębne funkcje. Obie osoby muszą odbyć specjalistyczne szkolenie prowadzone przez ABW albo SKW.
Czy pojedynczy komputer też wymaga dokumentacji bezpieczeństwa?
Tak. Według zaleceń ABW dokumenty SWB i PBE opracowuje się dla każdego systemu podlegającego akredytacji - zarówno dla rozbudowanej sieci, jak i dla pojedynczego stanowiska komputerowego.
Co się dzieje po przekazaniu dokumentacji do ABW albo SKW?
Przy klauzuli ZASTRZEŻONE ABW albo SKW ma 30 dni na wydanie ewentualnych zaleceń, a jednostka w ciągu kolejnych 30 dni informuje o ich realizacji. W szczególnie uzasadnionych przypadkach ABW albo SKW może nakazać wstrzymanie przetwarzania informacji niejawnych w systemie.
Jak wygląda współpraca z niejawne.net?
Współpraca przebiega w czterech krokach:
- Audyt przetwarzania informacji niejawnych w jednostce po podpisaniu umowy.
- Zebranie niezbędnych informacji o jednostce, systemie, pomieszczeniach i osobach funkcyjnych.
- Przygotowanie dokumentacji bezpieczeństwa: SWB, PBE, szacowanie ryzyka, załączniki i wzory dokumentów.
- Doradztwo przy akredytacji, przekazaniu dokumentacji do ABW albo SKW, wdrażaniu ich zaleceń, eksploatacji systemu i przedłużeniu akredytacji.
Pracujemy dla jednostek z całej Polski.
Nie ma tu Państwa pytania? Prosimy o wiadomość lub telefon - chętnie odpowiemy.
Zadaj pytaniePodstawa prawna: ustawa z 5 sierpnia 2010 r. o ochronie informacji niejawnych (art. 48, 49 i 52); zalecenia DBTI ABW dotyczące dokumentów SWB i PBE. Informacje na tej stronie mają charakter ogólny.