Strona główna › Dokumenty › Szablony

Szablony dokumentów do wdrożenia systemu niejawnego

Zanim system teleinformatyczny zostanie akredytowany, kierownik jednostki musi formalnie wyznaczyć osoby funkcyjne i ustalić, kto odpowiada za bezpieczeństwo systemu i zarządzanie ryzykiem. Poniżej wyjaśniamy, z czego wynikają te obowiązki, i udostępniamy przykładowe wzory dokumentów.

Pełnomocnik i pion ochrony

Za ochronę informacji niejawnych - w szczególności za jej zorganizowanie i zapewnienie funkcjonowania - odpowiada kierownik jednostki organizacyjnej (art. 14 ust. 1 ustawy o ochronie informacji niejawnych). Bezpośrednio podlega mu pełnomocnik do spraw ochrony informacji niejawnych, który odpowiada za zapewnienie przestrzegania przepisów (art. 14 ust. 2).

Do zadań pełnomocnika należy m.in. zapewnienie ochrony systemów teleinformatycznych, w których przetwarzane są informacje niejawne, oraz zarządzanie ryzykiem bezpieczeństwa informacji niejawnych, w szczególności szacowanie ryzyka (art. 15 ust. 1 pkt 2 i 3). Swoje zadania pełnomocnik wykonuje przy pomocy wyodrębnionej i podległej mu komórki - pionu ochrony (art. 15 ust. 2).

Ustawa wiąże pion ochrony bezpośrednio z systemem teleinformatycznym: inspektor bezpieczeństwa teleinformatycznego musi być pracownikiem pionu ochrony (art. 52 ust. 1 pkt 1). Dlatego w jednostce, która chce przetwarzać informacje niejawne w systemie TI, zarządzenie o powołaniu pionu ochrony porządkuje podległość i zadania osób funkcyjnych.

Inspektor bezpieczeństwa teleinformatycznego (IBTI) i administrator systemu (AS)

Kierownik jednostki, w której ma funkcjonować system teleinformatyczny, ma obowiązek wyznaczyć (art. 52 ust. 1 ustawy):

• inspektora bezpieczeństwa teleinformatycznego - pracownika pionu ochrony odpowiedzialnego za weryfikację i bieżącą kontrolę zastosowanych zabezpieczeń oraz przestrzeganie zasad i wymagań bezpieczeństwa w systemie (pkt 1),
• administratora systemu - osobę lub zespół osób odpowiedzialnych za funkcjonowanie systemu oraz przestrzeganie zasad i wymagań bezpieczeństwa przetwarzania informacji niejawnych (pkt 2).

To dwie odrębne funkcje: inspektor kontroluje, a administrator utrzymuje system. Zgodnie z zaleceniami ABW administrator systemu nie może funkcjonalnie podlegać pełnomocnikowi ochrony. Obie osoby muszą spełniać wymagania określone w art. 16 ustawy oraz odbyć specjalistyczne szkolenie z zakresu bezpieczeństwa teleinformatycznego prowadzone przez ABW albo SKW (art. 52 ust. 4).

Zespół ds. zarządzania ryzykiem i zespół ds. bezpieczeństwa systemu TI

Ustawa nie wymienia tych zespołów z nazwy - obowiązek ich powołania wynika z połączenia przepisów i wytycznych ABW:

• kierownik jednostki odpowiada za zorganizowanie ochrony informacji niejawnych (art. 14 ust. 1) oraz za właściwą organizację bezpieczeństwa teleinformatycznego i akceptuje wyniki szacowania ryzyka (art. 49 ust. 7),
• pełnomocnik odpowiada za ochronę systemów teleinformatycznych i zarządzanie ryzykiem (art. 15 ust. 1 pkt 2 i 3) - zarządzenia o powołaniu zespołów powołują się właśnie na te przepisy,
• zalecenia ABW dotyczące dokumentu SWB wymagają opisania formalnie powołanej przez kierownika jednostki struktury zarządzania bezpieczeństwem systemu, z zadaniami kierownika jednostki, pełnomocnika, inspektora BTI, administratora systemu i użytkowników,
• zalecenia ABW dotyczące analizy i zarządzania ryzykiem wskazują, że rzetelne szacowanie ryzyka przez jedną osobę jest bardzo trudne, dlatego kierownictwo jednostki powinno powołać zespół z formalnym pełnomocnictwem, z udziałem m.in. pełnomocnika ochrony, administratora systemu i pracowników pionu ochrony; wyniki pracy zespołu są podstawą dokumentu SWB.

W praktyce zespół ds. zarządzania ryzykiem przeprowadza szacowanie ryzyka, dobiera zabezpieczenia, wskazuje ryzyka szczątkowe do akceptacji i prowadzi okresowe przeglądy ryzyka. Zespół ds. zarządzania bezpieczeństwem systemu TI opracowuje i aktualizuje dokumentację bezpieczeństwa (SWB i PBE) i dba o przestrzeganie zapisanych w niej zasad.

Wzory do pobrania

Udostępniamy przykładowe wzory dokumentów w formacie PDF. Przed użyciem należy je dostosować do jednostki - uzupełnić nazwę, numer zarządzenia, dane osób i aktualną podstawę prawną.

• Wyznaczenie administratora systemu (AS) PDF, art. 52 ust. 1 pkt 2
• Wyznaczenie inspektora bezpieczeństwa teleinformatycznego (IBTI) PDF, art. 52 ust. 1 pkt 1
• Zarządzenie w sprawie powołania pionu ochrony informacji niejawnych PDF, art. 15 ust. 2
• Zarządzenie w sprawie powołania zespołu ds. zarządzania ryzykiem PDF, art. 14 ust. 1 w zw. z art. 15 ust. 1 pkt 3
• Zarządzenie w sprawie powołania zespołu ds. zarządzania bezpieczeństwem systemu TI PDF, art. 14 ust. 1 w zw. z art. 15 ust. 1 pkt 2

W ramach przygotowania dokumentacji bezpieczeństwa dostarczamy też pozostałe wzory potrzebne do wdrożenia i eksploatacji systemu - m.in. dzienniki pracy, karty użytkowników i wzory meldunków o incydentach, opisane na stronie PBE - oraz listy kontrolne ułatwiające pracę osobom funkcyjnym.

Podstawa prawna: ustawa z 5 sierpnia 2010 r. o ochronie informacji niejawnych (art. 14, 15, 16, 49 i 52); zalecenia DBTI ABW dotyczące opracowania dokumentu SWB (rozdz. 4.19) oraz szczegółowe zalecenia dotyczące analizy oraz zarządzania ryzykiem w systemach teleinformatycznych (rozdz. 4). Wzory mają charakter pomocniczy, a informacje na tej stronie - ogólny.