Przygotowujemy systemy IT do przetwarzania informacji niejawnych — dokumentacja bezpieczeństwa, szacowanie ryzyka i obsługa postępowania akredytacyjnego.
Akredytacja bezpieczeństwa systemu teleinformatycznego to dokument dopuszczający system do przetwarzania informacji niejawnych.
Bez akredytacji żaden system nie może legalnie przetwarzać informacji niejawnych. Dla systemów przetwarzających informacje o klauzuli „poufne" i wyższej akredytacji udziela Agencja Bezpieczeństwa Wewnętrznego lub Służba Kontrwywiadu Wojskowego — w zakresie swojej właściwości. Dla klauzuli „zastrzeżone" akredytacji udziela kierownik jednostki organizacyjnej.
Akredytacja jest warunkiem niezbędnym dla organizacji realizujących projekty w obszarze bezpieczeństwa i obronności, a także dla przedsiębiorców ubiegających się o świadectwo bezpieczeństwa przemysłowego pierwszego stopnia.
Kluczowa zasada: dokumentację bezpieczeństwa opracowuje się równolegle z projektowaniem systemu, a nie po jego zbudowaniu. Próba akredytowania gotowego systemu, który nie był projektowany pod te wymagania, kończy się zwykle kosztowną przebudową.
Dokument opisujący system, jego architekturę, przeznaczenie, klauzulę przetwarzanych informacji oraz zastosowane środki ochrony — organizacyjne, fizyczne, kryptograficzne i techniczne. Stanowi podstawowy dokument oceniany w toku akredytacji.
Zbiór procedur określających sposób bezpiecznego użytkowania systemu: zarządzanie uprawnieniami, kopie zapasowe, reagowanie na incydenty, konserwacja, wycofywanie nośników oraz obowiązki administratora i inspektora bezpieczeństwa.
Ustalamy, jakie informacje i o jakiej klauzuli będą przetwarzane, jak zbudowany jest system, gdzie przebiegają granice bezpieczeństwa i który organ udziela akredytacji.
Identyfikacja zagrożeń i podatności, ocena ryzyka oraz dobór adekwatnych zabezpieczeń — z uzasadnieniem, które trafia do dokumentacji akredytacyjnej.
Kompletna dokumentacja bezpieczeństwa systemu, spójna z faktyczną architekturą i sposobem eksploatacji — a nie szablon oderwany od rzeczywistości organizacji.
Nadzór nad wdrożeniem środków ochrony fizycznej, kontroli dostępu, rozwiązań kryptograficznych i mechanizmów rejestrowania zdarzeń w systemie.
Wskazanie i przeszkolenie administratora systemu oraz inspektora bezpieczeństwa teleinformatycznego, w tym przygotowanie do postępowań sprawdzających.
Złożenie dokumentacji, obsługa uwag i wezwań do uzupełnień, przygotowanie organizacji do audytu bezpieczeństwa systemu prowadzonego przez ABW lub SKW.
Aktualizacja dokumentacji przy zmianach w systemie, okresowe przeglądy zgodności oraz wsparcie przy ponownej akredytacji po upływie terminu ważności.
Dla systemów przetwarzających informacje niejawne o klauzuli „poufne" i wyższej akredytacji udziela ABW lub SKW — w zakresie swojej właściwości. Dla klauzuli „zastrzeżone" akredytacji udziela kierownik jednostki organizacyjnej, który zatwierdza dokumentację bezpieczeństwa systemu.
Nie. Akredytacja udzielana jest na czas określony. Ponadto istotne zmiany w systemie — modyfikacja architektury, zmiana klauzuli przetwarzanych informacji, rozbudowa o nowe komponenty — wymagają aktualizacji dokumentacji, a w części przypadków przeprowadzenia nowego postępowania akredytacyjnego.
Można, ale zwykle wiąże się to z koniecznością przebudowy. Systemy budowane bez uwzględnienia wymogów ochrony informacji niejawnych rzadko spełniają je „z marszu" — najczęściej trzeba zmienić architekturę sieci, sposób kontroli dostępu i rozwiązania kryptograficzne. Dlatego prace nad dokumentacją warto rozpocząć równolegle z projektowaniem systemu.
Zależy od stopnia świadectwa. Świadectwo pierwszego stopnia obejmuje zdolność do przetwarzania informacji niejawnych w systemach teleinformatycznych, więc wymaga akredytowanego systemu. Przy świadectwie drugiego i trzeciego stopnia taki wymóg nie występuje.
Najlepszy moment na rozmowę to etap projektowania. Sprawdzimy założenia i wskażemy, co trzeba uwzględnić, żeby akredytacja przebiegła sprawnie.
Umów konsultację