Strona główna › Dokumenty › PBE

Procedury Bezpiecznej Eksploatacji (PBE) systemu teleinformatycznego

PBE to drugi, obok Szczególnych Wymagań Bezpieczeństwa (SWB), obowiązkowy dokument dokumentacji bezpieczeństwa systemu teleinformatycznego. Jest praktyczną instrukcją dla osób funkcyjnych i użytkowników: mówi, kto, jak, jak często i w jaki sposób udokumentowany ma wykonywać każdą czynność związaną z bezpieczeństwem informacji niejawnych.

Czym jest PBE

Dokument PBE opisuje sposób i tryb postępowania w sprawach związanych z bezpieczeństwem informacji niejawnych przetwarzanych w systemie teleinformatycznym oraz zakres odpowiedzialności osób funkcyjnych - kierownika jednostki, pełnomocnika ds. ochrony informacji niejawnych, inspektora bezpieczeństwa teleinformatycznego, administratora systemu - i użytkowników systemu.

Jeśli SWB odpowiada na pytanie „jakie zabezpieczenia stosujemy i dlaczego”, to PBE odpowiada na pytanie „jak dokładnie je stosować na co dzień”. Opracowanie PBE jest obowiązkowe dla każdego systemu podlegającego akredytacji - bez względu na jego architekturę i klauzulę przetwarzanych informacji, także dla pojedynczego stanowiska komputerowego.

Kiedy powstaje PBE

• PBE opracowuje się na etapie wdrażania systemu (art. 49 ust. 3 ustawy o ochronie informacji niejawnych) - po szacowaniu ryzyka, z uwzględnieniem wprowadzonych zabezpieczeń,
• w czasie eksploatacji PBE aktualizuje się przed wprowadzeniem zmian w systemie,
• każda zmiana w systemie musi być poprzedzona szacowaniem ryzyka (art. 49 ust. 4), a zmiany mogące wpłynąć na bezpieczeństwo wymagają zgody podmiotu, który udzielił akredytacji.

Wymagania ABW wobec procedur

Według zaleceń Departamentu Bezpieczeństwa Teleinformatycznego ABW każda procedura w PBE powinna:

• określać zasady i częstotliwość wykonywania czynności,
• wskazywać osoby odpowiedzialne za ich wykonanie,
• precyzować sposób dokumentowania wykonanych działań,
• być napisana tak jasno, aby adresat wiedział, co ma zrobić - bez potrzeby interpretacji,
• być zbudowana według jednego schematu, spójnie z pozostałymi procedurami.

Spójność z SWB ma kluczowe znaczenie. ABW wskazuje, że rozbieżności między SWB a PBE - np. inna częstotliwość tych samych czynności w obu dokumentach - należą do najczęstszych przyczyn uwag do dokumentacji bezpieczeństwa. Dlatego SWB i PBE przygotowujemy razem, jako jedną, spójną całość.

Co zawiera dokument PBE

Zakres PBE określa § 26 rozporządzenia Prezesa Rady Ministrów w sprawie podstawowych wymagań bezpieczeństwa teleinformatycznego. Zalecenia ABW porządkują go w następujące rozdziały:

1. Wprowadzenie - cel dokumentu, opis systemu, podstawy prawne.
2. Administrowanie systemem TI oraz zastosowanymi środkami zabezpieczającymi - zadania kierownika jednostki, pełnomocnika ochrony, inspektora BTI, administratora i użytkowników; wymagane uprawnienia; nadawanie i odbieranie dostępu; zasady pracy, przebywania w pomieszczeniu systemu, gospodarka kluczami; wprowadzanie zmian, zarządzanie ryzykiem, deponowanie haseł, wycofanie systemu.
3. Bezpieczeństwo urządzeń - zabezpieczenie i plombowanie sprzętu, włączanie i wyłączanie stanowiska, przeglądy i ewidencja sprzętu.
4. Bezpieczeństwo oprogramowania - konfiguracja UEFI/BIOS i systemu operacyjnego, ochrona antywirusowa, wprowadzanie nowego oprogramowania, aktualizacje, identyfikacja i uwierzytelnianie użytkowników.
5. Zarządzanie konfiguracją sprzętowo-programową - przeglądy diagnostyczne, serwis i naprawy, modernizacja oraz wycofanie urządzeń z eksploatacji.
6. Plany awaryjne - kopie bezpieczeństwa, awarie zasilania i środków ochrony fizycznej, sytuacje szczególne, ewakuacja elementów systemu.
7. Monitorowanie i audyt systemu - audyty wewnętrzne, testy bezpieczeństwa, przegląd i kopie dzienników zdarzeń.
8. Zarządzanie nośnikami i materiałami niejawnymi - oznaczanie i ewidencja, przechowywanie, niszczenie wydruków i nośników.
9. Zarządzanie materiałami kryptograficznymi - ochrona kryptograficzna przetwarzanych informacji.
10. Stosowanie ochrony elektromagnetycznej - eksploatacja, naprawy i ponowna certyfikacja środków ochrony elektromagnetycznej.
11. Reagowanie na incydenty bezpieczeństwa teleinformatycznego - zgłaszanie zdarzeń, postępowanie w razie incydentu i wykrycia złośliwego oprogramowania.
12. Szkolenia użytkowników - zakres, częstotliwość i dokumentowanie szkoleń.
13. Wprowadzanie danych do systemu i ich wyprowadzanie - zasady importu i eksportu informacji, w tym wydruków i nośników.

Dokument kończy wykaz zmian wprowadzanych w PBE. Jeśli któreś zagadnienie nie dotyczy danego systemu (np. brak transmisji danych poza strefę ochronną), zgodnie z zaleceniami ABW wskazujemy w procedurze powód braku jej opisu.

Wzory i załączniki

Do PBE dołączamy gotowe do użycia wzory, dzięki którym osoby funkcyjne od pierwszego dnia wiedzą, co i gdzie zapisywać, m.in.:

• listę użytkowników i kartę użytkownika,
• dziennik systemu teleinformatycznego oraz dzienniki pracy administratora systemu i inspektora bezpieczeństwa teleinformatycznego,
• kartę wypożyczeń nośników,
• wymagane ustawienia BIOS/UEFI,
• wzory meldunku i raportu po incydencie bezpieczeństwa,
• wzór plomby i inne dokumenty wynikające ze specyfiki systemu.

Jak pracujemy

PBE przygotowujemy razem z SWB, w ramach tego samego procesu: od audytu przetwarzania informacji niejawnych w Państwa jednostce po podpisaniu umowy, przez szacowanie ryzyka, po akceptację dokumentacji i jej przekazanie do ABW albo SKW. Szczegółowy opis kroków znajdą Państwo na stronie SWB.

Poza tworzeniem nowej dokumentacji aktualizujemy istniejące PBE w celu przedłużenia akredytacji - zgodnie z aktualnymi wytycznymi ABW, w tym zaleceniami z września 2023 r.

Podstawa prawna: ustawa z 5 sierpnia 2010 r. o ochronie informacji niejawnych (art. 48 i 49), rozporządzenie Prezesa Rady Ministrów z 20 lipca 2011 r. w sprawie podstawowych wymagań bezpieczeństwa teleinformatycznego (§ 26); zalecenia DBTI ABW dotyczące opracowania dokumentu PBE (wersja 1.0, wrzesień 2023 r.). Informacje na tej stronie mają charakter ogólny.