Strona główna › Dokumenty › SWB

Szczególne Wymagania Bezpieczeństwa (SWB) systemu teleinformatycznego

SWB to podstawowy dokument, bez którego nie da się uzyskać akredytacji systemu teleinformatycznego do przetwarzania informacji niejawnych. Opisuje system, jego otoczenie i wszystkie środki ochrony, a jego treść wynika wprost z ustawy o ochronie informacji niejawnych i wymagań Agencji Bezpieczeństwa Wewnętrznego (ABW).

Czym jest SWB

Dokumentacja bezpieczeństwa systemu teleinformatycznego (systemu TI) składa się z dwóch dokumentów: Szczególnych Wymagań Bezpieczeństwa (SWB) i Procedur Bezpiecznej Eksploatacji (PBE). SWB odpowiada na pytanie „jak system jest zbudowany i chroniony”, a PBE na pytanie „jak go bezpiecznie używać na co dzień”.

Zgodnie z art. 49 ust. 1 ustawy z 5 sierpnia 2010 r. o ochronie informacji niejawnych dokument SWB powinien zawierać w szczególności:

• wyniki procesu szacowania ryzyka dla bezpieczeństwa informacji niejawnych przetwarzanych w systemie,
• sposoby osiągania i utrzymywania odpowiedniego poziomu bezpieczeństwa, przyjęte w ramach zarządzania ryzykiem,
• opis budowy systemu, zasad jego działania i eksploatacji - w zakresie, w jakim mają związek z bezpieczeństwem.

Przebieg i wyniki szacowania ryzyka mogą zostać przedstawione w osobnym dokumencie - w praktyce jest to raport z szacowania ryzyka, stanowiący załącznik do SWB.

Kiedy powstaje SWB

SWB nie jest dokumentem „na koniec”. Ustawa (art. 49 ust. 2) wymaga, aby:

• opracować go już na etapie projektowania systemu, w razie potrzeby konsultując z ABW albo SKW,
• na bieżąco uzupełniać go na etapie wdrażania,
• modyfikować go w czasie eksploatacji - zawsze przed wprowadzeniem zmian w systemie.

Podstawą każdej zmiany w systemie jest ponowne szacowanie ryzyka (art. 49 ust. 4). Dlatego dobrze przygotowany SWB ułatwia też późniejsze utrzymanie akredytacji.

Akredytacja systemu niejawnego w ABW albo SKW

Każdy system teleinformatyczny, w którym mają być przetwarzane informacje niejawne, wymaga akredytacji bezpieczeństwa teleinformatycznego. Akredytacji udziela się na czas określony, nie dłuższy niż 5 lat (art. 48 ust. 1-2). Przebieg zależy od klauzuli:

Klauzula ZASTRZEŻONE

• akredytacji udziela kierownik jednostki organizacyjnej (np. wójt, burmistrz, starosta, dyrektor) przez zatwierdzenie dokumentacji bezpieczeństwa - SWB i PBE (art. 48 ust. 9),
• w ciągu 30 dni od udzielenia akredytacji dokumentację przekazuje się do ABW albo SKW (art. 48 ust. 11),
• ABW albo SKW ma 30 dni na wydanie zaleceń; jednostka w ciągu kolejnych 30 dni informuje o ich realizacji (art. 48 ust. 12).

Klauzula POUFNE i wyższe

• akredytacji udziela ABW albo SKW, a jej potwierdzeniem jest świadectwo akredytacji bezpieczeństwa systemu teleinformatycznego (art. 48 ust. 3 i 5),
• ABW albo SKW w ciągu 30 dni ocenia dokumentację bezpieczeństwa; pozytywna ocena jest podstawą jej zatwierdzenia (art. 49 ust. 8),
• świadectwo wydaje się na podstawie zatwierdzonej dokumentacji i wyników audytu bezpieczeństwa (art. 48 ust. 6).

Za opracowanie dokumentacji i jej przekazanie do ABW albo SKW odpowiada kierownik jednostki organizacyjnej, który również akceptuje wyniki szacowania ryzyka (art. 49 ust. 5 i 7). My przygotowujemy całą dokumentację tak, aby kierownik mógł ją świadomie zatwierdzić.

Przedłużenie akredytacji

Akredytacja wygasa najpóźniej po 5 latach, a przepisy i wytyczne ABW w tym czasie się zmieniają. Poza tworzeniem nowej dokumentacji bezpieczeństwa aktualizujemy już istniejącą dokumentację w celu przedłużenia akredytacji - zgodnie z aktualnymi wytycznymi ABW, tak aby system mógł działać bez przerwy.

Co zawiera dokument SWB

Zawartość SWB określają „Zalecenia dotyczące opracowania dokumentu Szczególnych Wymagań Bezpieczeństwa dla systemu teleinformatycznego” Departamentu Bezpieczeństwa Teleinformatycznego ABW. Według nich SWB - niezależnie od rodzaju systemu i klauzuli - musi przedstawiać:

• pełną charakterystykę systemu wraz z danymi kontaktowymi osób odpowiedzialnych za jego ochronę i funkcjonowanie,
• podstawowe wymagania bezpieczeństwa dla przetwarzanych informacji niejawnych i innych chronionych zasobów systemu,
• poziomy ryzyka ustalone w procesie szacowania ryzyka,
• szczególne wymagania bezpieczeństwa wynikające z szacowania ryzyka oraz zabezpieczenia fizyczne, techniczne i organizacyjne,
• opis ryzyk szczątkowych zaakceptowanych przez kierownika jednostki organizacyjnej,
• strukturę organizacyjną odpowiedzialną za ochronę i funkcjonowanie systemu.

Wytyczne ABW porządkują te informacje w następujące rozdziały:

1. Wprowadzenie - nazwa i przeznaczenie systemu, najwyższa klauzula, jednostka występująca o akredytację, lokalizacja, osoby odpowiedzialne, kluczowe daty projektu, podstawy prawne.
2. Charakterystyka systemu TI - przetwarzane informacje i wymagany poziom bezpieczeństwa (poufność, integralność, dostępność), grupy użytkowników, tryb bezpieczeństwa pracy, architektura, usługi i połączenia z innymi systemami.
3. Metodyka szacowania ryzyka, raport z procesu szacowania ryzyka - zastosowana metodyka, lista zidentyfikowanych ryzyk, ryzyka szczątkowe i ich akceptacja przez kierownika jednostki.
4. Bezpieczeństwo osobowe, uprawnienia do dostępu do informacji niejawnych - nadawanie i odbieranie uprawnień, lista użytkowników, rozliczalność, szkolenia.
5. Bezpieczeństwo fizyczne systemu, strefy ochronne i ich zabezpieczenia - strefy ochronne, upoważnienia do wejścia, kontrola dostępu, ochrona okablowania, zasilania, ochrona przed pożarem i zalaniem.
6. Ochrona elektromagnetyczna - strefy i rozwiązania techniczne wraz z certyfikatami.
7. Stosowane urządzenia i narzędzia kryptograficzne - ochrona transmisji i nośników, zarządzanie materiałami kryptograficznymi.
8. Ciągłość działania, alternatywne łącza telekomunikacyjne, zasilanie awaryjne - plan ciągłości działania, kopie zapasowe, odtwarzanie systemu, zasilanie i klimatyzacja.
9. Ustawienia konfiguracyjne systemu i urządzeń, zarządzanie konfiguracją - zabezpieczenia BIOS, system operacyjny, oprogramowanie, wykaz sprzętu, kontrola zmian konfiguracji.
10. Utrzymanie systemu, przeglądy diagnostyczne i naprawy - podmioty serwisowe, zasady napraw i ich dokumentowania, ponowne użycie urządzeń.
11. Zapobieganie i reagowanie na incydenty bezpieczeństwa teleinformatycznego - zgłaszanie i obsługa incydentów, ćwiczenia, ochrona przed złośliwym oprogramowaniem.
12. Zasady wprowadzania poprawek, aktualizacja oprogramowania - aktualizacje systemu operacyjnego, aplikacji i bazy wirusów.
13. Ochrona informatycznych nośników danych wykorzystywanych w systemie - oznaczanie klauzulami, ewidencja, przekazywanie, trwałe usuwanie danych i niszczenie nośników.
14. Identyfikacja i uwierzytelnianie użytkowników i urządzeń - mechanizmy uwierzytelniania, zasady dotyczące haseł i ich deponowania.
15. Kontrola dostępu do systemu - zarządzanie kontami, zdalny dostęp, kontrola portów i usług.
16. Audyt wewnętrzny, testy bezpieczeństwa systemu - częstotliwość i zakres audytów, dzienniki zdarzeń, testy zabezpieczeń.
17. Zarządzanie ryzykiem w systemie - przeglądy ryzyka, monitorowanie bezpieczeństwa, nadzór nad skutecznością zabezpieczeń.
18. Wprowadzanie zmian w systemie TI i w dokumentacji bezpieczeństwa - zarządzanie zmianami, utrzymanie lub ponowna akredytacja, wycofanie systemu z eksploatacji.
19. Zespół ds. zarządzania bezpieczeństwem systemu - zadania kierownika jednostki, pełnomocnika ds. ochrony informacji niejawnych, inspektora bezpieczeństwa teleinformatycznego, administratora systemu i użytkowników.
20. Załączniki do dokumentu SWB - m.in. metryka systemu, usytuowanie systemu na planie budynku, schemat przepływu informacji, raport z szacowania ryzyka, kopie certyfikatów środków ochrony, architektura i wykaz urządzeń, wykaz oprogramowania, konfiguracja systemu operacyjnego, kwestionariusz audytu wewnętrznego.

Nie każde zagadnienie dotyczy każdego systemu - np. pojedyncze stanowisko komputerowe nie ma połączeń sieciowych. Wytyczne wymagają jednak, aby w takim przypadku wyraźnie to zaznaczyć i uzasadnić, a nie pominąć rozdział. Dla połączeń między systemami i systemów rozległych przygotowuje się dodatkowe dokumenty: SWB dla połączeń międzysystemowych (SWBPM) i SWB dla systemów rozległych (SWBSR).

Jak pracujemy

1. Audyt przetwarzania informacji niejawnych

   Po podpisaniu umowy zaczynamy od audytu w Państwa jednostce: sprawdzamy, jak obecnie przetwarzane są informacje niejawne, jakie są pomieszczenia, sprzęt, osoby funkcyjne i ich uprawnienia. Wskazujemy ewentualne nieprawidłowości i doradzamy, jak je usunąć, zanim powstanie dokumentacja.

2. Projekt systemu i szacowanie ryzyka

   Na podstawie audytu projektujemy system teleinformatyczny dopasowany do potrzeb jednostki, przeprowadzamy szacowanie ryzyka i doradzamy w doborze środków ochrony.

3. Opracowanie SWB i PBE

   Przygotowujemy kompletną dokumentację bezpieczeństwa z załącznikami oraz wzory zarządzeń, powołań i innych dokumentów potrzebnych do wdrożenia systemu.

4. Akredytacja i przekazanie do ABW albo SKW

   Przy klauzuli ZASTRZEŻONE kierownik jednostki zatwierdza dokumentację i udziela akredytacji. Przy klauzuli POUFNE i wyższych akredytacji udziela ABW albo SKW. Podczas wdrażania wspieramy jednostkę w procesie prowadzonym przez ABW albo SKW.

5. Zalecenia ABW lub SKW i eksploatacja

   Pomagamy wdrożyć ewentualne zalecenia ABW albo SKW, wspieramy administratora systemu i inspektora bezpieczeństwa teleinformatycznego, a przy zmianach w systemie doradzamy przy aktualizacji dokumentacji.

Podstawa prawna: ustawa z 5 sierpnia 2010 r. o ochronie informacji niejawnych (art. 48 i 49) oraz rozporządzenie Prezesa Rady Ministrów z 20 lipca 2011 r. w sprawie podstawowych wymagań bezpieczeństwa teleinformatycznego; zalecenia DBTI ABW dotyczące opracowania dokumentu SWB (wersja 2.1). Informacje na tej stronie mają charakter ogólny.