Pobierz
najnowszy numer

Newsletter

Zapisz się do naszego Newslettera, aby otrzymywać informacje o nowościach z branży!

Jesteś tutaj

Stosowanie środków bezpieczeństwa fizycznego w ochronie informacji niejawnych

Printer Friendly and PDF

Nareszcie mamy rozporządzenie w sprawie środków bezpieczeństwa stosowanych do zabezpieczania informacji niejawnych. Rozporządzenie jest z dnia 29 maja 2012 r. i weszło w życie po 14 dniach od daty ogłoszenia czyli od 19 czerwca 2012 r. pod pozycją 683 w Dzienniku Ustaw RP.

Już w 1999 roku, w związku z tworzeniem ustawy o ochronie informacji niejawnych, pojawiła się koncepcja stworzenia dokumentu określającego środki bezpieczeństwa. Niestety pośpiech i potrzeba szybkiego wydania ustawy (presja czasu wynikająca z trwającego procesu akcesji do NATO) spowodowały, że odłożono to na później. Przy nowelizacji treści ustawy w 2005 r. chyba zapomniano o tym pomocniczym, a jakże istotnym dokumencie i znowu niestety nie powstał, mimo potwierdzonej wcześniej potrzeby uregulowania tych spraw. Prace nad nim rozpoczęto przy okazji tworzenia nowej (co do zakresu) ustawy o ochronie informacji niejawnych z 5 sierpnia 2010 r. (Dz. U. 182, poz. 1228) i „oto jest”.

Nareszcie jest „waga”, którą możemy „zważyć” środki bezpieczeństwa, które już zostały zastosowane w celu ochrony naszych informacji niejawnych. Dzięki rozporządzeniu i załączonej do niego metodyce możemy sprawdzić, czy nasza koncepcja konfiguracji środków bezpieczeństwa spełni oczekiwania ustawodawcy i zabezpieczy posiadane przez nas informacje niejawne przed ich nieuprawnionym ujawnieniem lub utratą. Nie bez znaczenia są koszty, które musimy ponieść, organizując fizyczną ochronę informacji niejawnych.

Należy zwrócić uwagę na to, że ustawodawca nałożył na kierownika jednostki organizacyjnej, w której przetwarzane są informacje niejawne, odpowiedzialność za ich ochronę, w szczególności za zorganizowanie i zapewnienie funkcjonowania tej ochrony (art. 14 ust. 1 ustawy o ochronie informacji niejawnych), a co za tym idzie również odpowiedzialność za prawidłowe określenie „poziomu zagrożeń”. Dlatego zgodnie z rozporządzeniem, bez względu na to, czy już mamy system ochrony informacji niejawnych, czy będziemy go dopiero tworzyć, musimy rozpocząć od określenia zagrożeń.

Jednostka organizacyjna posiadająca już system ochrony ma trzy lata od dnia wejścia w życie rozporządzenia na określenie poziomu zagrożeń (§ 10.1 rozporządzenia). W celu określenia tego poziomu przeprowadza się analizę, w której uwzględnia się wszystkie istotne czynniki mogące mieć wpływ na bezpieczeństwo informacji niejawnych. Podstawowe kryteria i sposób określania ryzyka nieuprawnionego ujawnienia lub utraty informacji niejawnych są zawarte w załączniku nr 1 do rozporządzenia. Z mojego doświadczenia wynika, że nie należy określać poziomu zagrożeń samodzielnie – to zbyt duża odpowiedzialność. Kierownik jednostki organizacyjnej powinien powołać w tym celu zespół projektowo-zadaniowy. W jego skład powinni wejść obecni lub przyszli pracownicy pionu ochrony informacji niejawnych, administrator systemu przeznaczonego do przetwarzania informacji niejawnych lub kandydat (kandydaci) na to stanowisko, przedstawiciel komórki zajmującej się ochroną fizyczną obiektu oraz osoba odpowiedzialna za administrowanie obiektem. Chociaż jedna z osób wchodzących w skład zespołu, najlepiej pełnomocnik ds. ochrony informacji niejawnych, który prawdopodobnie zostanie wyznaczony na przewodniczącego zespołu, powinna posiadać odpowiednią wiedzę na temat posługiwania się Tabelą oceny istotności czynników zagrożeń (załącznik nr 1 do rozporządzenia).

Wypełniając tabelę (z zał. nr 1), należy brać pod uwagę wszystkie czynniki mające wpływ na zagrożenie informacji niejawnych. Trzeba jednak umieć wskazać najistotniejsze z nich. Jeżeli mamy wątpliwości, czy wybrany czynnik jest mniej czy bardziej istotny, lepiej założyć, że jest bardziej istotny. Należy postąpić tak samo, jeżeli wynik z tabeli jest na granicy poziomu niższego i wyższego. Przyjmujemy poziom wyższy, podając w uzasadnieniu powód takiego postępowania. Zwróćmy uwagę na to, że przy klauzuli „ściśle tajne” ustawodawca sam określił stałą wartość oceny (osiem punktów) i dotyczy to również nowo tworzonej jednostki organizacyjnej przygotowującej się do przetwarzania informacji niejawnych o tej klauzuli.

Istotność czynnika „liczba materiałów niejawnych” wynika z klauzuli i ilości materiałów niejawnych o najwyższej klauzuli, którymi jednostka organizacyjna faktycznie dysponuje, tj. ilości materiałów przechowywanych w niej, a niezarejestrowanych w dzienniku ewidencji materiałów niejawnych. Możemy mieć na przykład 2000 dokumentów niejawnych oznaczonych klauzulą „tajne” zarejestrowanych w ciągu ostatniego roku, ale 998 z nich, tj. kolejne 998 numerów w dzienniku ewidencji, bowiem sporządzono w pojedynczych egzemplarzach i wysłano do adresatów wraz z egzemplarzem nr 1 pisma korespondencyjnego (przewodniego). Na każdym z pism korespondencyjnych znajduje się „Po odłączeniu załączników – JAWNE”, co oznacza, że ich egzemplarze pozostające w naszej jednostce organizacyjnej bez załączników są jawne i nie podlegają takiej ochronie jak dokumenty niejawne. Dwa dokumenty wykonano w czterech egzemplarzach (po dwa egzemplarze każdego z nich) – po jednym egzemplarzu wysłanym do adresatów i po jednym dla kancelarii tajnej naszej jednostki organizacyjnej. Oznacza to, że faktycznie mamy w kancelarii tajnej tylko dwa dokumenty niejawne, tj. 0, 1% wszystkich zarejestrowanych dokumentów. Jeżeli jest to tendencja, która utrzymuje się od kilku lat, i prognozujemy, że w następnym roku będzie podobna, należy rozważyć określenie zagrożenia jako mało istotnego (o ważności 1 pkt).

Określając „postać informacji niejawnych”, należy brać pod uwagę ogólną liczbę przetwarzanych informacji niejawnych, stosując zasadę, że im więcej informacji jest przetwarzanych w systemie teleinformatycznym (w stosunku do ogólnej liczby materiałów), tym czynnik jest bardziej istotny (głównie ze względu na rodzaj nośnika).

Oceniając „liczbę osób”, należy uwzględnić pracowników jednostki organizacyjnej mających lub mogących mieć dostęp do informacji niejawnych, a także uzasadnioną potrzebę dostępu do tych informacji. Im więcej osób (w stosunku do liczby zatrudnionych), tym czynnik jest bardziej istotny.

Czynnik „lokalizacji” zależy między innymi od tego, czy budynek jest w zabudowie zwartej (ściany budynku przylegają do innego budynku). Na wzrost istotności czynnika ma w tym przypadku wpływ tzw. „niebezpieczne sąsiedztwo”, jakim może być obiekt przedstawicielstwa korporacji ponadnarodowej, podmiotu zagranicznego, hotel, obiekt sportowy  lub hala widowiskowa, ogólnodostępny parking lub garaż, zakład przemysłowy i instalacje stanowiące zagrożenie dla życia i zdrowia.

„Dostęp osób do budynku” jest czynnikiem istotnym albo nieistotnym w zależności od tego, czy osoby, które nie są pracownikami jednostki organizacyjnej, mogą swobodnie poruszać się po budynku. Problem dotyczy najczęściej obiektów użyteczności publicznej.

Wskazując „inne czynniki” mające wpływ na zagrożenie, powinno się uwzględnić specyfikę jednostki organizacyjnej. Tymi czynnikami mogą być np. zagrożenie działaniami obcych służb specjalnych (np. jednostka organizacyjna produkuje uzbrojenie lub części do niego i posiada niejawną dokumentację technologii produkcji), zagrożenie sabotażem (np. zagrożenie uszkodzeniem komputerowego systemu sterowania przesyłem energii elektrycznej w elektrowni na skutek uzyskania przez kogoś nieuprawnionego dostępu do dokumentacji niejawnej), zagrożenie zamachem terrorystycznym lub inną działalnością przestępczą, pożarem, działaniem sił przyrody (np. zagrożenie powodzią) lub szkodami górniczymi. Jeśli kierownik jednostki organizacyjnej dostrzega inne czynniki mające wpływ na zagrożenie ujawnieniem lub utratą informacji niejawnych, powinien je określić i uzasadnić swoje stanowisko (rubryka „uzasadnienie”). W przypadku występowania więcej niż jednego „innego czynnika” należy oszacować je łącznie i ocenić ich wpływ na zagrożenie. Jeżeli jeden z czynników tej grupy uznaliśmy za „bardzo istotny”, a inne za mniej istotne, należy ocenić je razem tak jak najistotniejszy z nich, czyli – w tym przypadku – jako „bardzo istotne”. Jeżeli kierownik jednostki organizacyjnej uzna, że w jego jednostce czynniki wymienione w tabeli są nieistotne lub ich występowanie jest mało realne, np. zagrożenie ze strony obcych służb specjalnych, „inne czynniki” powinny zostać ocenione jako „mało istotne”.

W przypadku nowo organizowanego systemu ochrony informacji niejawnych należy przyjąć wartości szacunkowe dla czynników: „klauzula tajności przetwarzanych informacji niejawnych”, „liczba materiałów niejawnych”, „postać informacji niejawnych” i „liczba osób”.

Dokonawszy „oceny istotności czynnika”, po podsumowaniu punktów wskazanych w pozycjach 1-7 tabeli zał. nr.1, uzyskujemy wynik określający poziom zagrożenia – według Tabeli do określania poziomu zagrożeń (do 16 punktów – poziom niski, od 17 do 32 punktów – poziom średni, powyżej 32 punktów – poziom wysoki). Po jego określeniu można przystąpić do określenia adekwatnych środków bezpieczeństwa fizycznego.

Środki bezpieczeństwa stosuje się w celu zapewnienie poufności, integralności i dostępności informacji niejawnych (dostępność informacji niejawnej – informacja niejawna jest możliwa do wykorzystania na żądanie podmiotu uprawnionego w określonym czasie, integralność informacji niejawnej – informacja niejawna nie została zmodyfikowana w sposób nieuprawniony, poufność informacji niejawnej – informacja niejawna nie została ujawniona podmiotom do tego nieuprawnionym).

Cel osiąga się przez:

  • zapewnienie właściwego przetwarzania informacji niejawnych,
  • umożliwienie zróżnicowania dostępu pracowników do informacji niejawnych zgodnie z posiadanymi przez nich uprawnieniami oraz uzasadnioną potrzebą dostępu do informacji niejawnych (zasada „wiedzy potrzebnej”),
  • wykrywanie i udaremnianie działań nieuprawnionych,
  • uniemożliwienie lub opóźnienie wtargnięcia osób nieuprawnionych (w sposób niezauważony lub z użyciem siły) do pomieszczenia lub na obszar, w którym przetwarzane są informacje niejawne.

Do środków bezpieczeństwa fizycznego należą rozwiązania organizacyjne, wyposażenie i urządzenia służące do ochrony informacji niejawnych oraz elektroniczne systemy pomocnicze wspomagające ochronę informacji niejawnych. W zależności od uzyskanego wyniku oceny poziomu zagrożeń stosuje się odpowiednią kombinację środków bezpieczeństwa fizycznego. Środki te są następujące:

  1. Personel bezpieczeństwa – osoby przeszkolone, nadzorowane, w razie konieczności posiadające odpowiednie uprawnienie do dostępu do informacji niejawnych, wykonujące czynności związane z fizyczną ochroną informacji niejawnych, m.in. kontrolujące dostęp do miejsc, w których przetwarzane są informacje niejawne, nadzorujące system dozoru wizyjnego, a także reagujące na alarmy lub sygnały awaryjne.
    Takim personelem bezpieczeństwa są pracownicy kancelarii tajnej i pracownicy firmy posiadający poświadczenia bezpieczeństwa, w tym ci, którzy ochraniają obiekt, lub pracownicy firmy zewnętrznej, która uzyskała świadectwo bezpieczeństwa przemysłowego, również posiadający poświadczenia bezpieczeństwa.
  2. Bariery fizyczne – środki chroniące granice miejsca, w którym są przetwarzane informacje niejawne, w szczególności ogrodzenia, ściany, bramy, drzwi i okna.
  3. Szafy i zamki – stosowane do przechowywania dokumentów z informacjami niejawnymi lub zabezpieczające te dokumenty przed nieuprawnionym dostępem.
    Szafy i zamki muszą posiadać certyfikaty potwierdzające ich klasę, a szafa dodatkowo tabliczkę znamionową z nazwą producenta, typem wyrobu, numerem wyrobu, klasą wyrobu i numerem certyfikatu.
  4. System kontroli dostępu – obejmujący elektroniczny system pomocniczy lub rozwiązanie organizacyjne, stosowany w celu zagwarantowania wyłącznie osobom posiadającym odpowiednie uprawnienia dostępu do pomieszczenia lub obszaru, w którym przetwarzane są informacje niejawne.
    System kontroli dostępu wchodzący w skład elektronicznego sytemu pomocniczego, jakim jest SSWiN, jest rozwiązaniem prostym i niedrogim. Wykorzystanie go do rejestrowania wejść osób uprawnionych do strefy ochronnej II jest bardzo korzystne. Pozostałe osoby też trzeba rejestrować, np. w dzienniku osób przebywających w strefie ochronnej II. Odnotowywanie „na papierze” wszystkich wejść do strefy ochronnej II jest gorszym rozwiązaniem.
  5. System sygnalizacji włamania i napadu – elektroniczny system pomocniczy stosowany w celu realizacji procedur ochrony informacji niejawnych oraz podwyższenia poziomu bezpieczeństwa, który zapewniają bariery fizyczne, a w pomieszczeniach i budynkach – zastępujący lub wspierający personel bezpieczeństwa.
    Elektroniczny system pomocniczy wspierający ochronę informacji niejawnych powinien posiadać wydane przez dostawcę poświadczenie zgodności z wymogami określonymi w normie PN-EN 50131-1 wymienionej w rozporządzeniu (z uwzględnieniem przepisów dotyczących oceny zgodności).
  6. System dozoru wizyjnego – elektroniczny system pomocniczy stosowany w celu bieżącego monitorowania ochronnego lub sprawdzania incydentów zagrażających bezpieczeństwu i sygnałów alarmowych przez personel bezpieczeństwa.
  7. System kontroli osób i przedmiotów – obejmujący elektroniczny system pomocniczy lub rozwiązanie organizacyjne polegające na proszeniu o dobrowolne poddanie się kontroli lub udostępnienie do kontroli rzeczy osobistych, a także przedmiotów wnoszonych lub wynoszonych  (w celu zapobiegania próbom nieuprawnionego wnoszenia na chroniony obszar rzeczy zagrażających bezpieczeństwu informacji niejawnych lub nieuprawnionego „wynoszenia” informacji niejawnych z miejsc, w których są przechowywane).

Jeżeli z analizy poziomu i oceny punktowej zagrożenia wynika taka potrzeba, można zastosować również inne środki bezpieczeństwa, które zapewnią poufność, integralność i dostępność informacji niejawnych.

W przypadku istnienia zagrożenia podglądem/podejrzeniem informacji niejawnych (także przypadkowym), zarówno w świetle dziennym i przy sztucznym oświetleniu, należy podjąć działania eliminujące to zagrożenie.

Ustawodawca zmienił obowiązujące dotychczas nazwy stref.

  1. Strefa ochronna I – obejmuje miejsce (pomieszczenie lub obszar), w którym informacje niejawne o klauzuli „poufne” lub wyższej są przetwarzane w taki sposób, że dostęp do tego miejsca umożliwia uzyskanie bezpośredniego dostępu do tych informacji, miejsce to spełnia następujące wymagania:
    • w planie ochrony wyraźnie wskazana jest najwyższa klauzula tajności przetwarzanych informacji niejawnych;
    • granice są wyraźnie określone i zabezpieczone;
    • zastosowany jest system kontroli dostępu, który zezwala na wstęp osób, które są uprawnione do dostępu do informacji niejawnych w zakresie niezbędnym do wykonywania pracy, pełnienia służby lub wykonywania czynności zleconych;
    • wstęp jest możliwy wyłącznie ze strefy ochronnej.
  2. Strefa ochronna II (poprzednio – strefa bezpieczeństwa) – obejmuje miejsce (pomieszczenie lub obszar), w którym informacje niejawne o klauzuli „poufne” lub wyższej są przetwarzane w taki sposób, że dostęp do tego miejsca nie umożliwia uzyskania bezpośredniego dostępu do tych informacji, a miejsce to spełnia następujące wymagania:
    • granice są wyraźnie określone i zabezpieczone;
    • zastosowany jest system kontroli dostępu, który zezwala na wstęp osób, które są uprawnione do dostępu do informacji niejawnych w zakresie niezbędnym do wykonywania pracy, pełnienia służby lub wykonywania czynności zleconych;
    • w przypadku konieczności wstępu osób innych niż te, o których mowa w poprzednim podpunkcie, zapewnia się nadzór osoby uprawnionej lub równoważne mechanizmy kontrolne;
    • wstęp jest możliwy wyłącznie ze strefy ochronnej.
  3. Strefa ochronna III (poprzednio – strefa administracyjna) – obejmuje miejsce (pomieszczenie lub obszar) wymagające wyraźnego określenia granic, w obrębie którego możliwe jest kontrolowanie osób i pojazdów.

Proces doboru środków bezpieczeństwa fizycznego powinien zapewnić elastyczność ich stosowania w zależności od określonego wcześniej (punktowo) poziomu występujących zagrożeń. W § 4–8 rozporządzenia przedstawione są podstawowe wymagania dotyczące doboru tych środków.

Pierwszym krokiem jest odczytanie z tabeli Podstawowe wymagania dotyczące bezpieczeństwa fizycznego minimalnej liczby punktów wymaganych do osiągnięcia założonego poziomu ochrony informacji w wyniku zastosowania odpowiednich kombinacji środków bezpieczeństwa fizycznego. Wymagana suma punktów zależy od najwyższej klauzuli tajności informacji niejawnych przetwarzanych w danej lokalizacji oraz sumarycznego poziomu zagrożeń określonego wcześniej. Należy przestrzegać wskazówek ustawodawcy dotyczących sumowania lub wymnażania – w każdej ocenianej kategorii – poszczególnych punktowych wartości przypisanych do użytych środków bezpieczeństwa.

Drugim krokiem jest odczytanie z tej samej tabeli minimalnej liczby punktów odpowiadającej – w każdej z grup obejmujących kategorie – wymaganemu i nakazanemu przez ustawodawcę poziomowi zabezpieczenia fizycznego.

Trzecim krokiem jest dokonanie wyboru określonych środków bezpieczeństwa fizycznego, przy którym należy posługiwać się tabelą Klasyfikacja środków bezpieczeństwa fizycznego. W tej tabeli należy odczytać liczbę punktów odpowiadającą wybranemu środkowi bezpieczeństwa i wpisać ją w odpowiednie miejsce tabeli Punktacja zastosowanych środków bezpieczeństwa fizycznego. Niezastosowanie danego środka jest jednoznaczne z przyznaniem mu liczby punktów „0”. Przy dokonywaniu wyboru konieczne jest również uwzględnienie określonych w rozporządzeniu wartości „obowiązkowych” z tabeli  Podstawowe wymagania dotyczące bezpieczeństwa fizycznego.

Np. przy klauzuli:

  • „ściśle tajne”:
    • kategorie K1 (szafy)+K2 (pomieszczenia)+K3 (budynki) – tylko jedna wartość może być równa 0 (zero),
    • kategorie K4 (kontrola dostępu)+K5 (personel bezpieczeństwa i systemy sygnalizacji włamania) – żadna z wartości nie może być mniejsza od 2;
  • „tajne” kategorie K4 (kontrola dostępu)+K5 (personel bezpieczeństwa i systemy sygnalizacji włamania) – żadna z wartości nie może być równa 0 (zero).

Dobór adekwatnych środków bezpieczeństwa fizycznego w konkretnym przypadku musi zapewnić uzyskanie zarówno minimalnej sumy punktów wymaganej do osiągnięcia założonego poziomu ochrony informacji niejawnych (w zależności od najwyższej klauzuli tajności informacji przetwarzanych w danej lokalizacji oraz poziomu zagrożeń), jak również minimalnej liczby punktów odpowiadających każdej z grup kategorii środków bezpieczeństwa fizycznego (oznaczonych w tabeli Podstawowe wymagania dotyczące bezpieczeństwa fizycznego jako „obowiązkowe”).

W przypadku, gdy liczba punktów uzyskanych po zastosowaniu środka bezpieczeństwa z kategorii „obowiązkowe” jest mniejsza od minimalnej liczby punktów wymaganych do osiągnięcia założonego poziomu ochrony, należy zastosować środki z kategorii oznaczonych „dodatkowe”. W przypadku klauzuli „poufne” lub wyższej są to środki z kategorii K6 „Granice”, do których należą:

  • K6S1 – ogrodzenie,
  • K6S2 – kontrola w punktach dostępu,
  • K6S3 – system kontroli osób i przedmiotów przy wejściu/wyjściu,
  • K6S4 – system wykrywania naruszenia ogrodzenia,
  • K6S5 – oświetlenie chronionego obszaru,
  • K6S6 – system dozoru wizyjnego granic.

Podsumowując, można powiedzieć, że proces wdrażania środków bezpieczeństwa fizycznego przebiega dwuetapowo. Na pierwszym etapie trzeba określić punktowo poziom zagrożenia, a na drugim – dobrać odpowiednie środki bezpieczeństwa w określonych kategoriach. Taki sposób postępowania muszą przyjąć firmy, które chcą prawidłowo zbudować system ochrony informacji niejawnych, i firmy już posiadające taki system ochrony, które chcą sprawdzić, czy zastosowały wystarczające środki bezpieczeństwa.

Do samego rozporządzenia nie mam uwag, natomiast mam pewne uwagi dotyczące klasyfikacji środków bezpieczeństwa fizycznego. Zmiana oznaczeń klasy odporności na S1 i S2 jest tylko dostosowaniem do nowszych norm. Niektóre sformułowania, np. „zapewnia wysoką odporność na działanie osoby nieuprawnionej”, budzą moje wątpliwości. Ogrodzenie sprawi większości z firm mały kłopot. Ile firm posiada ogrodzenie o wysokości 250 cm i wolną przestrzeń między budynkami a ogrodzeniem o szerokości 25 m? O pozostałych wymaganych elementach zabezpieczających ogrodzenie nie wspomnę.

Życie zweryfikuje zapisy tego rozporządzenia. Mam nadzieję, że rozporządzenie pomoże wszystkim wybrać i zastosować odpowiednie środki bezpieczeństwa fizycznego.

Marek Protekta
Pełnomocnik ds. ochrony informacji niejawnych w firmie Siemens
Konsultant JDS CONSULTING

Zabezpieczenia 6/2012

Wszelkie prawa zastrzeżone. Kopiowanie tekstów bez zgody redakcji zabronione / Zasady użytkowania strony