Source: http://www.sa-portal.pl/strefa-eksperta/zarzadzanie-ryzykiem-bezpieczenstwa-informacji-niejawnych/
Timestamp: 2013-12-12 00:38:12+00:00
Document Index: 101985730

Matched Legal Cases: ['art. 2', 'art. 15', 'art. 15', 'art. 43', 'art. 45', 'art. 46', 'art. 49', 'art. 14']

Zarządzanie ryzykiem bezpieczeństwa informacji niejawnych | sa-portal.pl - Systemy Alarmowe
Home > Działy tematyczne > Normalizacja, badania i certyfikacja > Zarządzanie ryzykiem bezpieczeństwa informacji niejawnych Zarządzanie ryzykiem bezpieczeństwa informacji niejawnych 25 lutego 2012
Od 2 stycznia 2011 r. obowiązuje w Polsce nowa Ustawa z 5 sierpnia 2010 r. o ochronie informacji niejawnych, zwana dalej Ustawą. Dostosowano ją do rozwiązań przyjętych w NATO (dokument C-M(2002)49) oraz Unii Europejskiej (Decyzja Komisji Europejskiej z 29 listopada 2001 r. zmieniająca jej regulamin wewnętrzny – Przepisy Komisji w sprawie bezpieczeństwa 2001/844/WE, EWWiS, Euratom).
Ustawa wprowadziła wiele nowych pojęć i zadań, m.in. w zakresie zarządzania ryzykiem, co pozwala na bardziej elastyczny i racjonalny dobór środków ochrony informacji niejawnych odpowiednich do określonych zagrożeń. W art. 2 pkt. 15-17 Ustawy zdefiniowano ogólnie pojęcia dotyczące zarządzania i szacowania ryzyka:
ryzykiem jest kombinacja prawdopodobieństwa wystąpienia zdarzenia niepożądanego i jego konsekwencji,
szacowaniem ryzyka jest całościowy proces analizy i oceny ryzyka,
zarządzaniem ryzykiem są skoordynowane działania w zakresie zarządzania bezpieczeństwem informacji, z uwzględnieniem ryzyka.
W konsekwencji powyższego w art. 15 ust. 1 pkt 3 Ustawy pełnomocnikowi ds. ochrony informacji niejawnych przypisano nowe zadanie: zarządzanie ryzykiem bezpieczeństwa informacji niejawnych, w szczególności szacowanie ryzyka.
Z licznych spotkań w trakcie moich wykładów i konferencji w 2011 r. z osobami zajmującymi się od lat w jednostkach ochroną informacji niejawnych odniosłem wrażenie, że ta problematyka nie do końca jest zrozumiała. Pojawiają się pytania: W jaki sposób zarządzać ryzykiem? Jak przeprowadzić analizę ryzyka? Na czym polega określenie poziomu zagrożeń?
Bezpieczeństwo materiałów niejawnych – ochronę fizyczną oraz kontrolę dostępu do określonych stref ochronnych – osiąga się poprzez podjęcie odpowiednich czynności obejmujących środki fizyczne, organizacyjne, osobowe. Mają one na celu zmniejszenie ryzyka do poziomu akceptowalnego, a tym samym zapewnienie odpowiedniego stanu bezpieczeństwa materiałów niejawnych.
Zarządzanie ryzykiem, o którym mowa w art. 15 ust. 1 pkt 3 Ustawy, należy rozpatrywać w dwóch aspektach:
środków bezpieczeństwa fizycznego stosowanych do zabezpieczania informacji niejawnych,
bezpieczeństwa informacji niejawnych przetwarzanych w systemach teleinformatycznych.
Bezpieczeństwo fizyczne informacji niejawnych osiąga się przez zastosowanie odpowiedniej kombinacji następujących środków ochrony:
bariery fizyczne – środki chroniące granice obiektu, w którym są przetwarzane informacje niejawne; w szczególności są to ogrodzenia, ściany, bramy, drzwi i okna;
systemy sygnalizacji włamania i napadu – stosowane w celu podwyższenia poziomu bezpieczeństwa, który zapewniają bariery fizyczne, a w pomieszczeniach i budynkach w celu zastąpienia lub wsparcia pracowników jednostki organizacyjnej lub personelu bezpieczeństwa;
systemy kontroli dostępu – gwarantują, że dostęp do chronionego obszaru uzyskują wyłącznie osoby mające odpowiednie uprawnienia;
personel bezpieczeństwa – osoby przeszkolone, nadzorowane, a w razie konieczności posiadające odpowiednie uprawnienie dostępu do informacji niejawnych, zatrudnione w celu wykonywania czynności związanych z fizyczną ochroną informacji niejawnych, w tym kontroli dostępu, nadzoru nad systemem monitoringu wizyjnego, a także reagowania na alarmy lub sygnały awaryjne;
system monitoringu wizyjnego – stosowany przez pracowników jednostki organizacyjnej lub personel bezpieczeństwa w celu bieżącego monitorowania ochronnego lub sprawdzania incydentów bezpieczeństwa i sygnałów alarmowych pochodzących z systemów sygnalizacji włamania i napadu;
szafy i zamki – stosowane do przechowywania informacji niejawnych lub zabezpieczające te informacje przed nieuprawnionym dostępem;
system kontroli osób i przedmiotów – polegający na użyciu odpowiednich urządzeń technicznych lub zwracaniu się o dobrowolne poddanie się kontroli lub udostępnienie do kontroli rzeczy osobistych, a także przedmiotów wnoszonych lub wynoszonych – stosowany w celu zapobiegania próbom nieuprawnionego wnoszenia na chroniony obszar rzeczy zagrażających bezpieczeństwu informacji niejawnych lub nieuprawnionego wynoszenia informacji niejawnych z budynków lub obiektów.
Bezpieczeństwa fizycznego dotyczą postanowienia zawarte w rozdziale 7 Ust. – Kancelarie tajne. Środki bezpieczeństwa fizycznego.
Jak wynika z zapisów art. 43 ust. 4 Kierownik jednostki organizacyjnej, w której są przetwarzane informacje niejawne o klauzuli „poufne” lub wyższej, zatwierdza opracowaną przez pełnomocnika ochrony dokumentację określającą poziom zagrożeń związanych z nieuprawnionym dostępem do informacji niejawnych lub ich utratą.
Po opracowaniu i zatwierdzeniu przedmiotowej dokumentacji jednostka organizacyjna, w której są przetwarzane informacje niejawne, będzie w stanie zastosować odpowiednie do poziomu zagrożeń środki bezpieczeństwa fizycznego w celu uniemożliwienia osobom nieuprawnionym dostępu do takich informacji (w art. 45 ust. 1 Ustawy), w szczególności chroniące przed:
– próbą wejścia osób nieuprawnionych do pomieszczeń, w których są przetwarzane informacje niejawne,
– nieuprawnionym dostępem do informacji o wyższej klauzuli tajności, niewynikającym z posiadanych uprawnień.
Zgodnie z postanowieniami zawartymi w art. 46 ust. 2 Ustawy
…zakres stosowania środków bezpieczeństwa fizycznego uzależnia się od poziomu zagrożeń związanych z nieuprawnionym dostępem do informacji niejawnych lub ich utratą.
Opracowanie dokumentacji określającej poziom zagrożeń będzie możliwe dopiero po wejściu w życie rozporządzenia Rady Ministrów w sprawie środków bezpieczeństwa fizycznego stosowanych do zabezpieczania informacji niejawnych. W rozporządzeniu zostaną zawarte:
– podstawowe kryteria i sposób określania poziomu zagrożeń,
– dobór środków bezpieczeństwa fizycznego do wskazanego poziomu zagrożeń,
– rodzaje zagrożeń, które należy uwzględnić przy określaniu poziomu zagrożeń,
– podstawowe elementy, które powinien zawierać plan ochrony informacji niejawnych,
– zakres stosowania środków bezpieczeństwa fizycznego,
– kryteria tworzenia stref ochronnych.
Poziom zagrożeń oceniamy na podstawie analizy uwzględniającej wszystkie istotne czynniki, które mogą mieć wpływ na bezpieczeństwo informacji niejawnych, a w szczególności:
– klauzule tajności przetwarzanych informacji niejawnych,
– postać i ilość informacji niejawnych,
– sposób przechowywania informacji niejawnych,
– otoczenie i strukturę budynków lub obszarów, w których są przetwarzane informacje niejawne,
– liczbę osób mających lub mogących mieć dostęp do informacji niejawnych, a także posiadane przez nie uprawnienia oraz uzasadnioną potrzebę dostępu do informacji niejawnych,
– szacowane zagrożenie ze strony obcych służb specjalnych oraz zagrożenie sabotażem, zamachem terrorystycznym, kradzieżą lub inną działalnością przestępczą.
Zatwierdzenie opracowanej dokumentacji przez kierownika jednostki organizacyjnej będzie równoznaczne z formalnym zaakceptowaniem określonego poziomu zagrożeń i jego ewentualnych konsekwencji.
Projektodawca zapewnia 12 miesięcy na przeprowadzenie analizy poziomu zagrożeń, na podstawie której należy dobrać środki bezpieczeństwa fizycznego i organizację stref ochronnych do wymagań określonych w uzgadnianym projekcie rozporządzenia.
Inne zasady obowiązują w przypadku zarządzania ryzykiem dla systemów teleinformatycznych, w których są przetwarzane informacje niejawne.
Proces zarządzania ryzykiem w systemie teleinformatycznym jest prowadzony w celu zapewnienia i utrzymania na poziomie akceptowanym przez kierownika danej jednostki organizacyjnej bezpieczeństwa informacji niejawnych przetwarzanych w tym systemie.
Zgodnie z postanowieniami zawartymi w art. 49 ust. 1 Ustawy
W tym samym artykule w ust. 4 i ust. 7 zapisano, iż podstawą dokonywania wszelkich zmian w systemie teleinformatycznym jest przeprowadzenie procesu szacowania ryzyka dla bezpieczeństwa informacji niejawnych przetwarzanych w tym systemie oraz …kierownik jednostki organizacyjnej akceptuje wyniki procesu szacowania ryzyka dla bezpieczeństwa informacji niejawnych oraz jest odpowiedzialny za właściwą organizację bezpieczeństwa teleinformatycznego.
Elementarne zasady zarządzania ryzykiem w systemie teleinformatycznym zostały podane w rozdziale III rozporządzenia Prezesa Rady Ministrów z 20 lipca 2011 r. w sprawie podstawowych wymagań bezpieczeństwa teleinformatycznego (Dz.U. 2011.159.948).
Wymagania zawarte w rozporządzeniu są, w mojej ocenie, zgodne z określonymi w Polskich Normach:
1. PN-ISO/IEC 27001:2007 – Technika informatyczna – Techniki bezpieczeństwa. Systemy zarządzania bezpieczeństwem informacji. Wymagania.
2. PN-ISO/IEC 27005:2010 – Technika informatyczna – Techniki w bezpieczeństwie informacji.
Warto zapoznać się z treścią wymienionych norm, gdyż to znacznie przybliży problematykę zarządzania ryzykiem w systemie teleinformatycznym.
Według definicji podanej w Wikipedii zarządzanie ryzykiem to zarządzanie polegające na ciągłej i długoterminowej obserwacji oraz na obniżaniu ryzyka do poziomu akceptowalnego. Szacowanie ryzyka dla bezpieczeństwa informacji niejawnych przetwarzanych w systemie teleinformatycznym obejmuje:
1. analizę ryzyka, na którą składają się:
a) identyfikacja ryzyka, polegająca na określeniu:
zasobów systemu teleinformatycznego,
skutków wystąpienia incydentu bezpieczeństwa teleinformatycznego.
b) określenie wielkości rodzajów ryzyka poprzez wyznaczenie ich poziomów;
2. ocenę ryzyka, która polega na porównaniu wyznaczonych poziomów rodzajów ryzyka z tymi, które można zaakceptować. Na podstawie oceny podejmuje się decyzję co do dalszego postępowania.
Podobnie jak w przypadku bezpieczeństwa fizycznego, i tutaj akceptacji poziomu ryzyka dokonuje kierownik jednostki organizacyjnej. Traktowane jest to jako formalne zaakceptowanie ryzyka szczątkowego (akceptowalnego, rezydualnego) wraz z jego ewentualnymi konsekwencjami.
Ze względu na złożoność i różnorodność zagadnień analizę ryzyka powinien przeprowadzać wykwalifikowany zespół powołany przez kierownika jednostki organizacyjnej. W jego składzie powinni znaleźć się przedstawiciele kierownictwa jednostki organizacyjnej lub ustanowiony ich pełnomocnik oraz specjaliści z zakresu:
bezpieczeństwa informacji niejawnych,
bezpieczeństwa przemysłowego,
stosowania automatycznych narzędzi do szacowania (analizy) ryzyka.
Jeżeli podmiot gospodarczy jest małą jednostką organizacyjną i nie posiada takiego zespołu specjalistów bądź złożoność problemu przerasta możliwości zatrudnionych specjalistów, można skorzystać z pomocy wykwalifikowanych w tym zakresie osób zewnętrznych mających odpowiednie poświadczenia bezpieczeństwa. Analizę ryzyka może przeprowadzić również firma specjalistyczna posiadająca odpowiednie świadectwo bezpieczeństwa przemysłowego (gdy informacje udostępniane do analizy będą sklasyfikowane, jako „poufne” lub wyżej).
Warto pamiętać, że zgodnie z postanowieniami ustawy za ochronę informacji niejawnych, a w szczególności za zorganizowanie i zapewnienie funkcjonowania tej ochrony odpowiada kierownik jednostki organizacyjnej (art. 14 ust. 1) i to on powinien na bieżąco nadzorować oraz akceptować prace zespołu.
Niezmiernie ważne w procesie zarządzania ryzykiem w systemie teleinformatycznym jest uwzględnienie zaleceń Agencji Bezpieczeństwa Wewnętrznego (ABW) lub Służby Kontrwywiadu Wojskowego (SKW). Wiele praktycznych wskazówek w tym temacie można znaleźć w niżej wymienionych zaleceniach:
Szczegółowe zalecenia dotyczące analizy i zarządzania ryzykiem w systemach i sieciach teleinformatycznych.
DBBT-811.1 – Organizacja zarządzania bezpieczeństwem teleinformatycznym. Wprowadzenie i podstawy teoretyczne;
DBBT-811.2 – Metodologia szacowania ryzyka dla systemów teleinformatycznych przetwarzających informacje niejawne;
DBBT-811.3 – Przykład dokumentacji wstępnego szacowania ryzyka prowadzonego zgodnie z zalecaną metodologią dla typowego systemu teleinformatycznego przetwarzającego informacje niejawne.
Do wejścia w życie nowej Ustawy pracownicy pionów ochrony mogli spotkać się z opisywanymi w artykule zagadnieniami wyłącznie przy uruchamianiu systemu teleinformatycznego w dokumentacji bezpieczeństwa teleinformatycznego, w której podawano szczegółowo procedury bezpiecznego wykorzystania urządzeń do elektronicznego przetwarzania informacji niejawnych. Obecnie proces zarządzania ryzykiem obejmuje już nie tylko zagadnienia związane z bezpieczeństwem teleinformatycznym, ale także całokształt spraw dotyczących bezpieczeństwa informacji niejawnych przetwarzanych w jednostce organizacyjnej.
Nakazana nową Ustawą dokumentacja określająca poziom zagrożeń związanych z nieuprawnionym dostępem do informacji niejawnych lub ich utratą oraz przeprowadzanie procesu szacowania ryzyka dla bezpieczeństwa informacji niejawnych przetwarzanych w systemach teleinformatycznych – w ramach dokumentu szczególnych wymagań bezpieczeństwa systemu teleinformatycznego – jest nowym, trudnym wyzwaniem dla osób zajmujących się ochroną informacji niejawnych w podmiotach gospodarczych.
Twórcom Ustawy – jak można przeczytać w uzasadnieniu do ustawy – chodziło o to, by stosowanie zarządzania ryzykiem przy określaniu wymogów bezpieczeństwa fizycznego umożliwiło istotne ograniczenie wydatków przez dopasowanie stosowanych środków ochrony do liczby i wagi chronionych informacji oraz rzeczywistego (a nie formalnego) poziomu istniejących dla nich zagrożeń.
Czy tak będzie istotnie?! Wszystko zależy od rzetelnego przeprowadzenia w jednostce organizacyjnej analizy ryzyka.
Tagi Marek Anzel ← Poprzedni artykuł
Czytaj także Relacja: XV Seminarium Forum Monitoringu Polskiego
Co siedzi w chmurce czyli technologie sieciowe w systemach dozorowych CCTV
Sterowanie wjazdem pojazdów (Inner Range)
Światłowody da się lubić
posted 7 czerwca 2013
25 modeli kamer termowizyjnych do zastosowań dozorowych
posted 11 lutego 2013