WYŻSZA SZKOŁA MENEDŻERSKA

w WARSZAWIE

Grupa 31 DR-A-2

Problemy społeczne i zawodowe informatyki

BEZPIECZEŃSTWO

TELEINFORMATYCZNE

Autorzy:

WARSZAWA 2011

SPIS TREŚCI: Strona

1. Informacje ogólne.

Bezpieczeństwem teleinformatycznym nazywamy zbiór zagadnień z dziedziny telekomunikacji i informatyki, związany z szacowaniem i kontrolą ryzyka, wynikającego z korzystania z komputerów, sieci komputerowych i przesyłania danych do zdalnych lokalizacji, rozpatrywany z perspektywy poufności, integralności i dostępności.

Zagadnienie bezpieczeństwa teleinformatycznego jest jednym z najważniejszych aspektów interesów firm.

W systemach teleinformatycznych informacja jest przetwarzana i przechowywana, a ochrona informacji jest ochroną interesów firmy.

Na podstawie art. 23 ust. 3 ustawy z dnia 22 stycznia 1999 r. o ochronie informacji niejawnych (Dz. U. z 2005 r. Nr 196, poz. 1631, z późn. zm)

§ 1. 1. Oznaczenie materiału zawierającego informacje niejawne określoną klauzulą tajności polega na umieszczeniu na nim odpowiedniej klauzuli tajności.

2. Przyznaną klauzulę tajności nanosi się w sposób wyraźny i w pełnym jej brzmieniu.

3. Wprowadza się następujące oznaczenia klauzul tajności:

1) "00" - dla klauzuli "ściśle tajne";

2) "0" - dla klauzuli "tajne";

3) "Pf" - dla klauzuli "poufne";

4) "Z" - dla klauzuli "zastrzeżone".

Lecz informacje nieoznaczone żadną z powyższych klauzul nie możemy traktować jako informacje jawne, czyli niechronione przed ujawnieniem.

Praktycznie każdy zawód wiąże się z pewnymi obowiązkami, przywilejami, bądź dochowaniem tajemnicy.

Zawód lekarza charakteryzuje się powszechnie znaną tajemnicą lekarską. Jest ona jedną z najbardziej ugruntowanych zarówno w prawie, jak i w etyce.

O obowiązku zachowania przez lekarza tajemnicy mowa jest już w przysiędze Hipokratesa - Cokolwiek bym podczas leczenia, czy poza nim, z życia ludzkiego ujrzał, czy usłyszał, czego nie należy na zewnątrz rozgłaszać, będę milczał, zachowując to w tajemnicy.

Tajemnica lekarska należy też, obok tajemnicy adwokackiej i dziennikarskiej, do najbardziej chronionych, co przejawia się np. w poważnym ograniczeniu możliwości zwolnienia lekarza z obowiązku jej zachowania nawet w postępowaniu karnym.

Zgodnie z art. 40 ust. 1 ustawy z dnia 5 grudnia 1996 r. o zawodzie lekarza obowiązek zachowania tajemnicy obejmuje informacje związane z pacjentem, a uzyskane w związku z wykonywaniem zawodu.

Z nauki Kościoła również wynika, że spowiednik jest bezwzględnie zobowiązany do zachowania tajemnicy spowiedzi, niezależnie od tego, czy penitent uzyskał rozgrzeszenie, czy też kapłan nie mógł go rozgrzeszyć.

Nawiązując do przytoczonych faktów wynika, że informacje związane z działalnością instytucji lub wykonywanym zawodem stanowią jednocześnie jej dobro materialne i z etycznego punktu widzenia nie mogą zostać ujawniane osobom postronnym.

Informacje szczególnie chronione:

• plany działalności i rozwoju;

• sprawozdania dotyczące działalności;

• sprawozdania finansowe;

• raporty;

• informacje o pracownikach;

• korespondencja;

Forma informacji:

• dźwięk,

• dokumenty zapisane na nośnikach danych,

• wydruki,

• informacje na ekranach monitorów,

• informacja zawarta w promieniowaniu elektromagnetycznym emitowanym przez stanowiska pracy.

Rodzaje informatycznych nośników danych.

Wśród komputerowych nośników wyróżnia się następujące grupy:

nośniki magnetyczne - są to np. dyski twarde, dyskietki, dyski ZIP, taśmy magnetyczne,

karty magnetyczne,

nośniki optyczne - najczęściej wykorzystywanymi nośnikami z tej grupy są dyski CD

(CD-ROM, CD-R, CD-RW itd.) oraz DVD (DVD-ROM, DVD-RAM,

DVD-R, DYD-RW itd.),

nośniki oparte o układy pamięci - np. urządzenia magazynujące Flash-USB, dyski SŚD,

Flash, karty pamięci SD, MMC itp.,

Do układów pamięciowych zalicza się:

pamięci ulotne (RAM — wykorzystywane m.in. w komputerach i kartach graficznych), =

pamięci nieulotne jednokrotnego zapisu (ROM),

pamięci programowalne (np. PROM, EPROM itp.),

pamięci Flash,

pamięci SD,

inne.

Klasyfikacja informatycznych nośników danych.

Informatyczne nośniki danych przechowujące informacje niejawne traktuje się jak dokumenty.

Niejawnemu informatycznemu nośnikowi danych nadaje się klauzulę tajności co najmniej równą klauzuli najwyżej sklasyfikowanej informacji, która była kiedykolwiek przechowywana na tym nośniku.

Niejawne komputerowe nośniki danych podlegają rejestracji zgodnie

z obowiązującymi przepisami.

Niejawne informatyce należy objąć ochroną odpowiednią dla klauzul tajności tych nośników.

Wskazane jest zabezpieczanie niejawnych dysków twardych przed nieuprawnioną ingerencją np. poprzez opieczętowywanie obudowy nośnika w sposób zapobiegający jej otwarciu bez naruszenia plomb. W przypadku realizacji tego typu zabezpieczenia, zaleca się, aby:

1. plomby umożliwiały jednoznaczną identyfikację (np. unikalne numery),

2. w kancelaryjnym urządzeniu ewidencyjnym, w którym rejestruje się informatyczny nośnik danych wpisać identyfikatory (numery plomb).

Według powszechnie przytaczanej definicji, prawdziwie bezpieczny system teleinformatyczny jest wyidealizowanym urządzeniem, które poprawnie i w całości realizuje tylko i wyłącznie cele zgodne z intencjami właściciela.

Ze względu na trudność określenia i sformalizowania często sprzecznych oczekiwań projektanta oprogramowania, programisty, prawowitego właściciela systemu, autora przetwarzanych danych, czy w końcu użytkownika końcowego oraz z uwagi na trudność dowiedzenia, że dany program spełnia te oczekiwania, zapewnienie bezpieczeństwa sprowadza się w praktyce do zarządzania ryzykiem: określane są potencjalne zagrożenia, szacowane prawdopodobieństwo ich wystąpienia, oceniany potencjał strat - a następnie podejmowane są kroki zapobiegawcze w zakresie, który jest racjonalny z uwagi na możliwości techniczne i względy ekonomiczne.

Budowanie bezpiecznych systemów teleinformatycznych i aplikacji jest celem starań projektantów sieciowych i programistów, a także przedmiotem studiów teoretycznych, zarówno w dziedzinie telekomunikacji oraz informatyki, jak i ekonomii. Zaowocowało to opracowaniem metod oceny bezpieczeństwa i kontrolowania zagrożeń. Mimo tych starań, ze względu na złożoność i czasochłonność wielu spośród proponowanych procesów, luki zabezpieczeń stanowią jednak poważny i wymierny problem dla użytkowników sieci teleinformatycznych.

W jednostkach organizacyjnych podległych Ministrowi Obrony Narodowej, a także dla przedsiębiorców zajmujących się obrotem wyrobami, technologiami i licencjami objętymi tajemnicą państwową lub służbową ze względu na obronność państwa, w tym również polskie wojskowe przedstawicielstwa dyplomatyczne poza granicami kraju, rozdział 8 - Bezpieczeństwo teleinformatyczne -  ustawy o ochronie informacji niejawnych z dnia 5 sierpnia 2010 r. określa podstawowe wymagania związane z elektronicznym przetwarzaniem informacji niejawnych.

Szczegółowe wymagania techniczne i organizacyjne związane z przetwarzaniem informacji niejawnych w systemach i sieciach teleinformatycznych oraz sposób opracowywania dokumentacji bezpieczeństwa teleinformatycznego określa zaś rozporządzenie Prezesa Rady Ministrów w sprawie podstawowych wymagań bezpieczeństwa teleinformatycznego.

Za bezpieczeństwo przetwarzania informacji niejawnych w systemach i sieciach teleinformatycznych odpowiada kierownik jednostki organizacyjnej.

Bezpieczeństwo teleinformatyczne należy zapewnić przed rozpoczęciem oraz w trakcie przetwarzania informacji.

Służby Ochrony Państwa udzielają akredytacji bezpieczeństwa teleinformatycznego tzn. dopuszczają system teleinformatyczny do wytwarzania, przetwarzania, przechowywania lub przekazywania informacji niejawnych na zasadach określonych w obowiązujących aktach normatywnych, na podstawie dokumentów Szczególnych Wymagań Bezpieczeństwa i Procedur Bezpiecznej Eksploatacji. Tworzą one dokumentację bezpieczeństwa teleinformatycznego.

Dokumentacja bezpieczeństwa teleinformatycznego określa jak jest zarządzane, monitorowane i osiągane bezpieczeństwo systemu teleinformatycznego.

Dokumentację bezpieczeństwa teleinformatycznego podpisuje kierownik jednostki organizacyjnej lub osoba przez niego upoważniona, która podpisuje dokumenty w trybie „z upoważnienia".

Dokumentację bezpieczeństwa sporządza się dla:

• autonomicznych systemów teleinformatycznych;

• lokalnych i rozległych sieci teleinformatycznych;

• połączeń międzysystemowych.

Dokument Szczególnych Wymagań Bezpieczeństwa (SWB) oraz Procedur Bezpiecznej Eksploatacji (PBE), zgodnie z art. 60 ust. 2 ustawy o ochronie informacji niejawnych, powinien być opracowany dla każdego systemu teleinformatycznego, w którym będą wytwarzane, przetwarzane, przekazywane lub przechowywane informacje niejawne. Obowiązek ten występuje bez względu na klauzulę tajności informacji niejawnych. SWB i PBE sporządza się po przeprowadzeniu szacowania ryzyka i stanowią dokumenty przeznaczone dla personelu bezpieczeństwa.. Przy opracowywaniu dokumentów uwzględnia się, w szczególności, dane o budowie systemu teleinformatycznego, jego charakterystykę oraz czynności wraz z dokładnym opisem sposobu ich wykonania, które powinny być realizowane przez osoby uprawnione do pracy w danym systemie teleinformatycznym.

2. Bezpieczeństwo fizyczne.

Ochronę fizyczną informacji niejawnych zapewnia się poprzez utworzenie stref kontrolowanego dostępu (strefa administracyjna, strefa bezpieczeństwa, specjalna strefa bezpieczeństwa) oraz zastosowanie środków ochrony zabezpieczających pomieszczenia w tych strefach. Środki ochrony fizycznej powinny zapewniać ochronę fizyczną pomieszczeń przed: nieuprawnionym dostępem, podsłuchem i podglądem. Przy stosowaniu środków ochrony fizycznej obowiązuje zasada adekwatności, tzn. środki ochrony fizycznej powinny odpowiadać klauzuli tajności i ilości informacji niejawnych, liczbie i poziomowi dostępu do tych informacji zatrudnionych osób oraz uwzględniać wytyczne służb ochrony państwa przed zagrożeniami ze strony obcych służb specjalnych (w tym także w stosunku do państwa sojuszniczego). Strefa administracyjna powinna zapewniać kontrolę osób i pojazdów, natomiast w strefie bezpieczeństwa należy zapewnić kontrolę wejść i wyjść oraz kontrolę przebywania. W tym celu należy wprowadzić system przepustek lub inny system kontroli dostępu uprawniający do wejścia do strefy bezpieczeństwa, a także zorganizować system przechowywania kluczy do pomieszczeń chronionych, szaf pancernych i innych pojemników służących do przechowywania informacji niejawnych stanowiących tajemnicę państwową.

Dla zapewnienia ochrony przed nieuprawnionym dostępem do informacji niejawnych przetwarzanych w systemach teleinformatycznych powinno się stosować:

1. podział obszarów chronionych na strefy bezpieczeństwa,

2. systemy kontroli dostępu,

3. ochronę prowadzoną przez służby ochronne,

4. zabezpieczenia typu budowlanego,

5. zabezpieczenia typu mechanicznego,

6. systemy alarmowe,

7. zabezpieczenie nośników informacji i dokumentów,

8. zabezpieczenia przed podglądem i podsłuchem.

Środki ochrony fizycznej powinny posiadać certyfikaty i świadectwa kwalifikacyjne przyznane na podstawie innych przepisów, np. w oparciu o polskie normy. Informacje niejawne o klauzuli zastrzeżone można przetwarzać w strefie administracyjnej, natomiast informacje stanowiące tajemnicę państwową i służbową o klauzuli poufne można przetwarzać w strefie bezpieczeństwa. Przetwarzanie informacji niejawnych o klauzuli zastrzeżone wiąże się z zapewnieniem ochrony fizycznej, kontroli dostępu do urządzeń systemu lub sieci teleinformatycznej oraz z zapewnieniem niezawodności transmisji.

W przypadku przetwarzania informacji niejawnych stanowiących tajemnicę państwową i tajemnicę służbową o klauzuli poufne należy - oprócz wymagań jak dla klauzuli zastrzeżone - zapewnić ochronę kryptograficzną i ochronę elektromagnetyczną.

ŚRODOWISKA BEZPIECZEŃSTWA.

Dla systemu teleinformatycznego wyróżnia się następujące środowiska bezpieczeństwa:

• Środowisko Bezpieczeństwa Globalnego (ŚBG);

• Środowisko Bezpieczeństwa Lokalnego (ŚBL);

• Środowisko Bezpieczeństwa Elektronicznego (ŚBE).

Środowisko Bezpieczeństwa Globalnego (ŚGB) jest ogólnym środowiskiem bezpieczeństwa, w którym zlokalizowany jest System (obszar instytucji).

Obejmuje ono wszystko, co znajduje się poza bezpośrednią, fizyczną kontrolą Administratora Systemu i to, co może mieć związek z bezpieczeństwem tego Systemu.

Środowisko Bezpieczeństwa Globalnego jest zależne od usytuowania i ogrodzenia kompleksu, kontrolę fizyczną wejścia, przebywania i wyjścia ze strefy oraz system ochrony wewnętrznej.

Środowisko Bezpieczeństwa Lokalne (LŚB) jest środowiskiem bezpieczeństwa znajdującym się wewnątrz strefy Środowiska Bezpieczeństwa Globalnego (obszar budynku, kondygnacji).

Obejmuje Środowisko Bezpieczeństwa Elektronicznego i wszystkie aspekty bezpieczeństwa, włączając w to między innymi:

• fizyczne bezpieczeństwo urządzeń Systemu;

• fizyczne bezpieczeństwo dokumentów i nośników informacji;

• kontrolę konfiguracji sprzętu oraz oprogramowania systemu;

• procedury kontroli sporządzania wydruków;

• procedury kontroli dostępu;

ŚBL mieści się w wydzielonym pomieszczeniu. Pomieszczenie to jest zamykane i  plombowane z chwilą wyjścia użytkowników. Po wyjściu użytkowników pomieszczenie jest pod stałym nadzorem systemu alarmowego. Klucze użytku bieżącego, deponowane są u służby dyżurnej, a fakt ich wydania (przyjęcia) odnotowywany jest w „Książce ewidencji kluczy”.

Za zapewnienie funkcjonowania oraz przestrzegania zasad bezpieczeństwo Systemu w ŚBL odpowiedzialny jest Administrator Systemu.

ROZPORZĄDZENIE PREZESA RADY MINISTRÓW z dnia 25 lutego 1999 r.

w sprawie podstawowych wymagań bezpieczeństwa systemów i sieci teleinformatycznych.

(Dz. U. z dnia 5 marca 1999 r.)

Dziennik Ustaw z 1999 r. Nr 18 poz. 162

§ 5. Ochronę fizyczną systemu lub sieci teleinformatycznej zapewnia się przez:

1) umieszczenie urządzeń systemu lub sieci teleinformatycznej w strefach bezpieczeństwa w zależności od:

a) klauzuli tajności informacji niejawnych,

b) ilości informacji niejawnych,

c) zagrożeń w zakresie ujawnienia, utraty, modyfikacji przez osobę nieuprawnioną,

2) instalację środków zabezpieczających pomieszczenia, w których znajdują się urządzenia systemu lub sieci teleinformatycznej, w szczególności przed:

a) nieuprawnionym dostępem,

b) podglądem,

c) podsłuchem.

§ 6. Przetwarzanie informacji niejawnych, stanowiących tajemnicę państwową lub stanowiących tajemnicę służbową, oznaczonych klauzulą "poufne", w urządzeniach systemu lub sieci teleinformatycznych odbywa się w strefach bezpieczeństwa.

3. Bezpieczeństwo oprogramowania.

Dylemat złodzieja i strażnika.

• Zasada #1 Strażnik musi pilnować wszystkiego; złodziej może wybrać najsłabszy punkt według uznania

• Zasada #2 Strażnik musi czuwać bez przerwy; złodziej podejmie próbę kradzieży w dogodnym dla siebie momencie

• Zasada #3 Strażnik pilnuje tych zasobów, o których wie; złodziej będzie starał się znaleźć ukryte furtki i słabe miejsca w systemie.

Oprogramowanie (systemowe, użytkowe i narzędziowe), zastosowane w systemach teleinformatycznych przetwarzających informacje niejawne należy dobierać z uwzględnieniem:

• zadań przewidzianych do realizacji przez dany system teleinformatyczny;

• klauzul tajności informacji;

• wymagań bezpieczeństwa teleinformatycznego.

1. O rodzaju oprogramowania instalowanego w systemach teleinformatycznych przetwarzających informacje niejawne decyduje organizator danego systemu.

2. Oprogramowanie stosowane w systemach teleinformatycznych powinno pochodzić z pewnego i legalnego źródła. W przypadku oprogramowania komercyjnego należy posiadać legalnie zakupione licencje.

3. Należy unikać nowych lub nie znanych wersji oprogramowania, które nie zostały jeszcze dostatecznie zweryfikowane pod względem poprawności, stabilności i kompatybilności z innym oprogramowaniem oraz ze sprzętem.

4. Wobec oprogramowania użytkowego, narzędziowego oraz specjalistycznego, które nie realizuje zabezpieczeń, należy stosować następującą politykę;

• przed instalacją w docelowym systemie, oprogramowanie należy uprzednio przetestować pod względem poprawności, stabilności i kompatybilności z innym oprogramowaniem systemu oraz ze sprzętem, a w szczególności pod kątem jego oddziaływania na zabezpieczenia zaimplementowane w systemie oraz pod kątem obecności kodów złośliwych - procedury oraz wyniki testowania powinny zostać ujęte w dokumentacji bezpieczeństwa systemu;

• oprogramowanie powinno być pobierane z pewnych źródeł (zaleca się od producenta), a źródło pozyskania oprogramowania powinno być uwzględnione w dokumentacji bezpieczeństwa;

- w przypadku oprogramowania z otwartym kodem źródłowym (open source), w celu zwiększenia stopnia pewności, że wynikowa wersja wykonywalna nie zawiera ukrytych złośliwych kodów, wskazane jest przeprowadzenie własnej kompilacji.

5. Przy opracowywaniu własnych aplikacji (nie realizujących zabezpieczeń), należy przestrzegać reguł dobrej praktyki inżynierii oprogramowania uwzględniając m.in.:

• dokładne sprecyzowanie założeń;

• wykonanie spójnego i pełnego projektu;

• napisanie, zgodnego z projektem, kodu aplikacji, zawierającego wyczerpujące komentarze;

- staranne przetestowanie aplikacji w celu usunięcia błędów;

- sporządzenie wyczerpującej dokumentacji, zwłaszcza w zakresie instalacji, konfiguracji, testowania i użytkowania oprogramowania.

6. Przy zakupie aplikacji tworzonych na zamówienie, powinno się wymagać przestrzegania przez producenta reguł zawartych w pkt. 5). Zaleca się w tym celu sporządzanie precyzyjnych umów na wykonanie aplikacji.

7. W systemie teleinformatycznym przetwarzającym informacje niejawne zabrania się (bez stosownej zgody Dyrektora BBT SKW) przeprowadzania jakichkolwiek zmian oprogramowania i jego konfiguracji mogących mieć wpływ na bezpieczeństwo systemu. W szczególności bezwzględnie
zabrania się:

• wprowadzania do systemu teleinformatycznego oprogramowania bez wiedzy i zgody administratora systemu teleinformatycznego ;

• wykorzystywania w systemie teleinformatycznym oprogramowania nie wchodzącego w skład konfiguracji akredytowanej przez BBT SKW.

3.1. Ochrona przed oprogramowaniem złośliwym.

a) Aby zminimalizować ryzyko wprowadzenia do systemu teleinformatycznego oprogramowania złośliwego, informatyczne nośniki danych pochodzące spoza systemu teleinformatycznego lub wykorzystane w innym systemie teleinformatycznym należy przed ich użyciem sprawdzać oprogramowaniem antywirusowym, dopuszczonym do stosowania na etapie akredytacji systemu teleinformatycznego.

b) Przed wprowadzeniem do systemu teleinformatycznego, przeznaczonego do przetwarzania informacji niejawnych szczególnie istotnych dla danej jednostki/komórki organizacyjnej, nośników z danymi pochodzącymi z ogólnodostępnych źródeł, zaleca się testowanie tych nośników oprogramowaniem antywirusowym (dopuszczonym do stosowania na etapie akredytacji danego systemu teleinformatycznego) w odrębnym systemie teleinformatycznym.

c) Zakłócenia funkcjonowania systemu teleinformatycznego, spowodowane przez oprogramowanie złośliwe, należy traktować jako incydenty bezpieczeństwa teleinformatycznego, i niezwłocznie zgłaszać do pełnomocnika ochrony danej jednostki organizacyjnej.

d) Wiedzę na temat zagrożeń ze strony oprogramowania złośliwego należy stale aktualizować (m.in. w oparciu o poradniki bezpieczeństwa i alerty bezpieczeństwa wydawane przez instytucje odpowiedzialne za reagowanie na incydenty bezpieczeństwa teleinformatycznego, producentów oprogramowania antywirusowego, używanych systemów operacyjnych itp.) i udostępniać wszystkim użytkownikom systemu teleinformatycznego.

3.2. Informatyczne nośniki danych.

a) W celu zapewnienia ochrony informacji niejawnych przechowywanych na informatycznych nośnikach danych należy opracować i wdrożyć zasady ewidencji i kontroli nośników zawierających informacje niejawne.
W szczególności należy określić:

• zasady postępowania z różnymi typami informatycznych nośników danych;

• uprawnienia do korzystania z różnych typów informatycznych nośników danych;

• sposoby oznakowania różnych typów informatycznych nośników danych;

• zasady przechowywania i przenoszenia informatycznych nośników danych;

• zasady prowadzenia kontroli korzystania z informatycznych nośników, danych;

• zasady zapewnienia rozliczalności informacji przechowywanych na informatycznych nośnikach danych.

b) Zasady opisane w pkt. 3.2 należy zamieścić w dokumentacji bezpieczeństwa systemu teleinformatycznego, przy czym:

- oznakowanie, kontrola, przetwarzanie, kopiowanie, przesyłanie, przechowywanie i rozliczanie nośników (oraz zawartych na nich informacji niejawnych) powinno spełniać wymagania narzucone w stosownych przepisach;

- przy określaniu klauzuli tajności informatycznych nośników danych należy wziąć pod uwagę możliwość wystąpienia zjawiska agregacji przechowywanych na nich informacji.

c) Przekazywanie informacji niejawnych utrwalonych na informatycznych nośnikach, danych poza strefę kontrolowanego dostępu odbywa się z zapewnieniem, odpowiedniej do klauzuli tajności tych informacji, ochrony kryptograficznej lub po spełnieniu wymagań, o których mowa w przepisach w sprawie trybu i sposobu przyjmowania, przewożenia, wydawania i ochraniania materiałów, w celu ich zabezpieczenia przed nieuprawnionym ujawnieniem, utratą, uszkodzeniem lub zniszczeniem.

4. W systemach teleinformatycznych przeznaczonych do przetwarzania informacji niejawnych Stanowiących tajemnicę państwową, zapis danych na przenośnych informatycznych nośnikach należy realizować w ramach uprawnień nadanych przez administratora systemu teleinformatycznego.

5. Informatyczne nośniki danych zawierające wyłącznie informacje niejawne zaszyfrowane z wykorzystaniem urządzeń lub narzędzi kryptograficznych zatwierdzonych przez BBT SKW lub posiadających certyfikat ochrony kryptograficznej służby ochrony państwa (stosownie do klauzuli informacji niejawnej), można traktować tak jak nośniki zawierające informacje jawne, co umożliwia odstąpienie od ich oznaczania w sposób umożliwiający identyfikację jednostki organizacyjnej, przeznaczenia i zawartości nośnika itp.

Utratę lub celowe uszkodzenie jakiegokolwiek informatycznego, nośnika danych zawierającego informacje niejawne należy traktować jako incydent bezpieczeństwa teleinformatycznego i niezwłocznie zgłaszać do pełnomocnika ochrony danej jednostki organizacyjnej.

4. Bezpieczeństwo elektromagnetyczne.

Ochrona elektromagnetyczna systemu lub sieci teleinformatycznej polega na niedopuszczeniu do utraty poufności i dostępności informacji niejawnych przetwarzanych w urządzeniach teleinformatycznych. Utrata poufności następuje na skutek emisji ujawniającej pochodzącej z tych urządzeń. Natomiast utrata dostępności następuje w wyniku zakłócenia pracy urządzeń teleinformatycznych za pomocą impulsów elektromagnetycznych o dużej mocy. Ochronę elektromagnetyczną zapewnia się przez umieszczanie urządzeń teleinformatycznych, połączeń i linii w strefach kontrolowanego dostępu spełniających wymagania w zakresie tłumienności elektromagnetycznej lub przez zastosowanie odpowiednich urządzeń teleinformatycznych, tzw. bezpiecznych stanowisk komputerowych, które spełniają normę TEMPEST (Temporary Emanation and Spurious Transmission), połączeń i linii o obniżonym poziomie emisji, czy też wreszcie ekranowanie urządzeń teleinformatycznych, połączeń i linii z jednoczesnym filtrowaniem zewnętrznych linii zasilających i sygnałowych. Urządzenia klasy TEMPEST wykonywane są w trzech klasach bezpieczeństwa elektromagnetycznego: AMSG 720 B, AMSG 788, AMSG 784. Środki ochrony elektromagnetycznej powinny posiadać certyfikat ochrony elektromagnetycznej wydany przez służby ochrony państwa. Listę certyfikowanych środków oraz ich producentów można znaleźć na stronie internetowej ABW (www.abw.gov.pl).

5. Bezpieczeństwo transmisji.

Bezpieczeństwem transmisji jest możliwość wysłania wiadomość elektronicznej pomiędzy dwoma lub więcej komputerami tak, aby tylko adresat mógł odebrać i odczytać wiadomość, a informacja w niej zawarta była identyczna z informacją wysłaną.

Niezawodność transmisji polega na zapewnieniu integralności i dostępności informacji niejawnych przekazywanych w systemach i sieciach teleinformatycznych. Zapewnia się ją poprzez separację łączy telekomunikacyjnych (ochrona elektromagnetyczna), szyfrowanie transmisji oraz stały monitoring sieci.

Ochrona kryptograficzna informacji niejawnych, które przetwarzane są w systemie lub sieci teleinformatycznej, polega na zastosowaniu mechanizmów gwarantujących ich poufność, integralność oraz uwierzytelnienie. Siła mechanizmów kryptograficznych musi być odpowiednia do klauzuli informacji niejawnych. Ochronę kryptograficzną stosuje się w przypadku przekazywania informacji niejawnych - w formie transmisji lub utrwalonych na elektronicznych nośnikach informacji - poza strefę kontrolowanego dostępu. Ochronę kryptograficzną stosuje się od klauzuli poufne wzwyż. Środki ochrony kryptograficznej powinny posiadać certyfikat ochrony kryptograficznej wydany przez służby ochrony państwa. Listę certyfikowanych środków oraz ich producentów można znaleźć na stronie internetowej ABW.

6. Konserwacja i naprawa sprzętu.

Każde urządzenie Systemu, podlega rutynowym czynnościom konserwacyjnym (czyszczenie monitora, klawiatury itp.) oraz przeglądom wykonywanym przez Administratora lub wyznaczony personel techniczny.

Każdy przegląd techniczny jest odnotowywany w „Rejestrze przeglądów".

W przypadku uszkodzenia urządzenia Systemu jest ono wyłączane z pracy.

Uszkodzenie jest zgłaszane do personelu technicznego, który jest odpowiedzialny za naprawy urządzeń Systemu.

W razie konieczności przekazania urządzenia do naprawy, urządzenie takie jest wydawane po uzyskaniu zgody Pełnomocnika ds. Ochrony Informacji Niejawnych.(w przypadku awarii jednostki centralnej przekazywana jest ona bez nośników danych).

Każda naprawa jest odnotowywana w dowodzie urządzenia.

W przypadku konieczności przekazania sprzętu do naprawy należy wymontować wszelkie komputerowe nośniki danych oraz, szczególnie w przypadku niemożliwości przeprowadzenia czynności serwisowych w strefie bezpieczeństwa, wymazać zapisane przez użytkownika niejawne dane z wszelkich układów pamięci wchodzących w skład naprawianych urządzeń.

Należy zwrócić uwagę, że nie tylko komputery, ale także drukarki, skanery, jak również wiele urządzeń sieciowych (programowalne switche, routery itp.), zawierają zarówno układy pamięci, jak też komputerowe nośnik danych (np. dyski twarde).

Istnieje możliwość odczytania informacji niejawnych również z elementów, które bezpośrednio nie przetwarzają danych — np. toner drukarki lub kopiarki może zostawiać ślady drukowanych/kopiowanych dokumentów na bębnie lub innych elementach urządzenia. Przed przekazaniem sprzętu do naprawy należy sprawdzić takie elementy i wymontować je z urządzenia w przypadku wystąpienia podejrzenia, że znajdują się na nich ślady informacji niejawnych.

W procedurach bezpiecznej eksploatacji systemu lub sieci teleinformatycznej należy szczegółowo opisać czynności, jakie należy podjąć w celu zapewnienia poufności informacji niejawnych w przypadku przekazywania sprzętu do naprawy.

7. Konserwacja oprogramowania.

Administrator systemu jest odpowiedzialny za konserwację oprogramowania systemowego oraz aplikacyjnego. Konserwacja obejmuje także jego aktualizację.

Aktualizacja oprogramowania odbywa się na bazie zaufanych plików dostarczanych przez autoryzowanego dystrybutora. Zasadnym jest uwzględnienie w specyfikacji zamówienia dotyczącego oprogramowania sytemu wymogu dostarczania aktualizacji zapisanych na informatycznych nośnikach danych. Powyższa procedura eliminuje ryzyko wprowadzenia do systemu aplikacji pochodzącej ze strony internetowej podszywającej się pod stronę producenta lub dystrybutora.

Wykonywanie kopii zapasowych danych (potrzeby w zakresie wykonywania kopii, rejestracji nośników, przechowywanie nośników, określenie czy użytkownicy sami dokonują archiwizacji, czy też czynności te realizowane są przez administratora systemu.)

8. Zasilanie.

W przypadku nie stosowania urządzeń podtrzymania UPS z filtracją spełniających zalecenia dotyczące bezpieczeństwa elektromagnetycznego, instalację elektryczną zasilania z sieci energetycznej należy wykonywać jako sieć odseparowaną (dedykowaną) z uziemieniem.

Instalacja zasilania powinna być zabezpieczona dedykowanymi zabezpieczeniami ochronnymi dobranymi do odpowiedniego obciążenia prądowego.

Należy unikać współużytkowania gniazd zasilających elementy systemu z odbiornikami o dużym poborze prądu (grzejniki, czajniki, kuchenne, klimatyzatory, itp.).

10. Sytuacje specjalne.

Projektując bezpieczny system należy również przewidzieć wpływ czynników zewnętrznych na bezpieczeństwo i niezawodność systemu.

Należy unikać rozmieszczenia głównych elementów systemu w piwnicach lub szczytowych piętrach (możliwość zalania), a elementy systemu należy objąć systemem ochrony przeciwpożarowej.

Pomieszczenia lokalizacji elementów systemów i sieci teleinformatycznych, zasilanych energia elektryczną, bez względu na klauzulę przetwarzanych informacji niejawnych, obowiązkowo wyposaża się w elementy ochrony i sygnalizacji przeciwpożarowej.

Systemy ppoż. eksploatowane w komórkach i jednostkach organizacyjnych resortu Obrony Narodowej powinny spełniać wymagania wynikające z norm ogólnokrajowych w tym zakresie, a dodatkowo muszą być wykonane zgodnie z „Instrukcją o ochronie przeciwpożarowej w wojsku" - Sygn. Kwat. Bud. 117/97.

Systemy sygnalizacji i ochrony ppoż. eksploatowane w innych komórkach i jednostkach organizacyjnych muszą spełniać odpowiednie normy jakościowe i techniczne obowiązujące wg norm ogólnokrajowych.

Dopuszcza się sprzęganie systemów ochrony i sygnalizacji ppoż. Z systemami alarmowymi sygnalizacji włamania i napadu.

Czujki alarmowego systemu przeciwpożarowego powinny być zainstalowane również we wszystkich pomieszczeniach przyległych do zespołu pomieszczeń systemu oraz na korytarzu.

Ponadto należy opracować procedury działania w sytuacjach specjalnych min.

Procedura na wypadek włamania

Procedura powinna obejmować włamania, napad, włączenie sygnalizacji

alarmowej w ŚBL, jak również sytuacje związane z działaniami terrorystycznymi, stwierdzeniem naruszenia środków ochrony fizycznej.

Procedura na wypadek pożaru

Procedura powinna zawierać informację o sposobie reagowania w przypadku wystąpienia pożaru, włączenia sygnalizacji przeciwpożarowej.

Procedura na wypadek zaistnienia zagrożeń środowiskowych

Procedura powinna zawierać informację o sposobie reagowania w przypadku zaistnienia zagrożeń środowiskowych.

Procedura odtworzenia działania systemu

Procedura powinna zawierać informację o sposobie postępowania mającego na celu odtworzenie działania systemu po wystąpieniu sytuacji specjalnych.

11. CYKL ŻYCIA SYSTEMÓW TELEINFORMATYCZNYCH.

Na cykl życia systemu teleinformatycznego składają się następujące etapy:

1. planowanie — ustalenie potrzeb w zakresie implementacji systemu, do przetwarzania informacji niejawnych oraz ogólnych wymagań bezpieczeństwa dla danego systemu.

2. projektowanie i pozyskanie systemu, obejmujące:

• określenie wymagań wobec sprzętu, oprogramowania, instalacji oraz niezbędnych środków zabezpieczających;

• zakup gotowych produktów lub zaprojektowanie i stworzenie rozwiązań dedykowanych dla danego systemu teleinformatycznego.

• stworzenie dokumentacji, bezpieczeństwa systemu.

c) akredytacją i wdrożenie systemu, polegające na:

• integracji elementów składowych i wstępnym uruchomieniu systemu, teleinformatycznego;

• ocenie przez BBT SKW dokumentacji bezpieczeństwa systemu, teleinformatycznego (w przypadkach tego wymagających dokonuje się oceny i/lub certyfikacji elementów systemu teleinformatycznego mogących mieć wpływ na jego bezpieczeństwo);

• przeprowadzeniu audytu bezpieczeństwa teleinformatycznego i wydaniu certyfikatu akredytacji bezpieczeństwa teleinformatycznego (w przypadku systemów przeznaczonych do przetwarzania informacji niejawnych stanowiących tajemnicę państwową).

d) eksploatacja i udoskonalanie systemu, obejmujące:

- wykorzystanie systemu teleinformatycznego do wytwarzania, przetwarzania, przechowywania lub przesyłania informacji niejawnych;

• wykonywanie niezbędnych przeglądów, napraw i modernizacji elementów systemu teleinformatycznego.;

• utrzymywanie zaakceptowanej przez SKW konfiguracji sprzętowo-programowej oraz systemu ochrony i środków zabezpieczających lub wprowadzanie za zgodą SKW zmian w konfiguracji sprzętowo-programowej lub w systemie ochrony i środków zabezpieczających.

5. wycofanie z eksploatacji - przeklasyfikowanie, niszczenie (złomowanie) itp.

W przypadku niewielkich systemów, opartych o standardowe rozwiązania sprzętowo-programowe i nie realizujących specjalnych zadań, etapy a i b są najczęściej połączone.

W zależności od rozmiarów i stopnia złożoności systemu, niektóre etapy można ograniczyć lub pominąć.

12. Świadomość i obowiązki użytkownika.

Użytkownik Systemu wykonuje wszystkie prace niezbędne do efektywnej oraz bezpiecznej pracy na stanowisku pracy również z wykorzystaniem stacji roboczej. Jest odpowiedzialny przed inspektorem bezpieczeństwa teleinformatycznego za nadzór, implementację i utrzymanie niezbędnych warunków bezpieczeństwa w szczególności do przestrzegania procedur bezpiecznej eksploatacji systemu i ochrony danych przechowywanych w Systemie.

Użytkownicy Systemu mają obowiązek stosować następującą procedurę, rozpoczęcia, prowadzenia i zakończenia pracy w Systemie:

1. Przed załączeniem Systemu dokonać zewnętrznych oględzin stanowiska komputerowego (komputer, monitor, klawiatura, mysz, drukarka), ze zwróceniem szczególnej uwagi na próby modyfikacji stanowiska (zerwanie plomb, odkręcenie obudowy, instalacja urządzeń szpiegujących). W przypadku stwierdzenia naruszenia plomb lub manipulacji przy urządzeniach stanowiska komputerowego natychmiast powiadomić inspektora bezpieczeństwa teleinformatycznego.

2. Włączyć urządzenie podtrzymujące zasilanie, monitor, drukarkę, komputer.

3. Zalogować się do Systemu poprzez wpisanie identyfikatora i hasła.

4. Wykorzystywać tylko autoryzowane oprogramowanie zgodne ze spisem zawartym w „Szczególnych warunkach bezpieczeństwa systemu teleinformatycznego”.

5. Przed importowaniem danych do systemu z nośników zewnętrznych upewnić się czy nośniki pochodzą z autoryzowanych źródeł i są zabezpieczone przed zapisem. Przed otwarciem nośnika zewnętrznego należy go przeskandować programem antywirusowym.

6. W czasie pracy w Systemie nie dopuszczać do ujawnienia informacji wyświetlanej na ekranie monitora oraz będącej w formie wydruków osobom nieupoważnionym zgodnie z zasadą wiedzy koniecznej.

7. Rejestrować wszystkie wydrukowane dokumenty w „Dzienniku ewidencji dokumentów wykonanych techniką komputerową” (w przypadku wydruków próbnych lub zawierających błędy niezwłocznie je niszczyć zgodnie z obowiązującymi dokumentami normatywnymi).

8. Nie pozostawiać stanowiska komputerowego z załączonym Systemem bez nadzoru.

9. Informować administratorowi systemu o wszelkich nieprawidłowościach wynikłych podczas pracy Systemu oraz wykrytych wirusach i programach szpiegujących.

10. Zmieniać hasło dostępu do systemu w przedziale czasowym określonym w „Procedurach bezpiecznej eksploatacji” lub, jeśli zachodzi taka potrzeba i nikomu go nie ujawniać.

11. Przed zakończeniem pracy w systemie upewnić się czy w napędach (dyskietki, płyty CD/DVD) nie znajdują się nośniki danych.

12. Wyłączyć komputer, drukarkę, monitor i urządzenie podtrzymujące zasilanie.

13. Przed opuszczeniem pomieszczenia, w którym znajduje się system upewnić się czy zasilanie stanowiska komputerowego jest wyłączone w pomieszczeniu i w koszu nie pozostały wydruki lub nośniki danych, sprawdzić zamknięcie okien, zgasić światło poczym zamknąć i zaplombować pomieszczenie.

Kategorycznie zabrania się wykorzystywania systemu do celów niezgodnych z jego przeznaczeniem.

Za dane przechowywane w systemie lub eksportowane z niego odpowiada użytkownik.

Bibliografia:

1. Ustawa z dnia 5 sierpnia 2010 r. o ochronie informacji niejawnych .

2. Rozporządzenie Prezesa Rady Ministrów z 25 sierpnia 2005 r. w sprawie podstawowych wymagań bezpieczeństwa systemów i sieci teleinformatycznych (Dz.U. 05.171.1433).

4. Rozporządzenie Prezesa Rady Ministrów z 5 października 2005 r. w sprawie sposobu oznaczania materiałów, umieszczania na nich klauzul tajności, a także zmiany nadanej klauzuli tajności (Dz.U. 05.205.1696)

5. Rozporządzenie Prezesa Rady Ministrów z 29 września 2005 r. w sprawie trybo i sposobu przyjmowania, przewożenia, wydawania i ochrony materiałów zawierających informacje niejawne (Dz.U 05.200.1650)

6. Zarządzenie Nr 12/MON Ministra Obrony Narodowej z dnia 12 marca 2010 r. w sprawie szczególnego spsobu organizacji kancelarii tajnych oraz innych niż kancelaria tajna komórek organizacyjnych odpowiedzialnych za rejestrowanie, przechowywanie, obieg i udostępnianie materiałów niejawnych, stosowania środków ochrony fizycznej oraz obiegu informacji niejawnych (Dz.Urz. MON 10.5.49).

7. Decyzja Nr 122/MON Ministra Obrony Narodowej z dnia 18 marca 2008 r. w sprawie powoływania pełnomocników i zastępców pełnomocników do spraw ochrony informacji niejawnych, administratorów systemów oraz inspektorów bezpieczeństwa teleinformatycznego (Dz.Urz, MON 08.6.61)

8. Decyzja Nr 20/MON Ministra Obrony Narodowej z dnia 21 stycznia 2010 r. w sprawie sprawowania nadzoru nad ochroną informacji niejawnych w resorcie obrony narodowej. Załącznik. (Dz.Urz. MON z 12 lutego 2010 r. Nr 1,poz. 7)

9. Instrukcja prowadzenia gospodarki materiałowo-technicznej sprzętem informatyki i oprogramowaniem w resorcie obrony narodowej. Dep. IiT 1/2009.

Strona 16 z 17

---