Ustawa o ochronie informacji niejawnych nadała służbom ochrony państwa bardzo szerokie uprawnienia umożliwiające im zajęcie pozycji głównego rozgrywającego w procesie informatyzacji państwa. Przy okazji służby otrzymały także nowe potężne źródło informacji o instytucjach państwowych i przedsiębiorstwach oraz ich pracownikach. Niewielu specjalistów dostrzega zagrożenia wynikające z tej ustawy a jeszcze mniej kwestionuje racjonalność przyjętych metod ochrony informacji niejawnych. Prezentowana analiza ma pomóc w zrozumieniu tych zagrożeń oraz skłonić do refleksji na temat roli i pozycji służb ochrony państwa.
Analiza zagrożeń i innych konsekwencji wynikających z ustawy o ochronie informacji niejawnych jest podzielona na trzy części. Pierwsza część skupia się na spójności koncepcji i skuteczności systemu ochrony informacji niejawnych wykreowanego de facto przez ustawę. Druga część dotyczy zakresu ingerencji służb w wewnętrzne sprawy urzędów i przedsiębiorstw. W trzeciej części omówione są mechanizmy oddziaływania na przetargi.
Ustawa reguluje kwestie organizacyjno-techniczne związane z bezpieczeństwem systemów komputerowych, w których są przetwarzane informacje niejawne tj. tajemnice państwowe lub tajemnice służbowe. Można założyć, że w sektorze publicznym każdy system informatyczny o wartości kilku milionów złotych jest systemem z informacjami niejawnymi. Ponieważ definicja tajemnicy służbowej obejmuje także prawnie chronione interesy obywateli i organizacji (tj. tajemnicę radcowską, adwokacką, dziennikarską, lekarską, skarbową, bankową etc.), to te regulacje są również obowiązujące dla ogromnej liczby systemów informatycznych w sektorze prywatnym i samorządowym.
Model systemu ochrony informacji niejawnych wg ustawy
W ustawie opis uprawnień nadanych służbom jest zagmatwany i rozproszony. Trzeba bardzo uważnie czytać, aby wydobyć wszystkie istotne szczegóły i stworzyć klarowną strukturę uprawnień. Z uporządkowanego obrazu wynika, że służby ochrony państwa:
- Są jedynym i niepodważalnym źródłem kompetencji merytorycznych w dziedzinie bezpieczeństwa systemów informatycznych
- Akredytują systemy informatyczne (oceniają systemy informatyczne i dopuszczają je do eksploatacji)
- Mają monopol na certyfikowanie urządzeń kryptograficznych stosowanych w systemach informatycznych. Certyfikat jest konieczny do uzyskania akredytacji dla systemu, w którym stosuje się ochronę kryptograficzną
- Sprawdzają administratorów systemów komputerowych i wydają im zgodę na wykonywanie tej funkcji
- W przypadku tajemnicy państwowej sprawdzają wszystkich użytkowników systemu komputerowego i wydają im poświadczenie bezpieczeństwa, bez którego nie można rozpocząć pracy z systemem
- Mają monopol na prowadzanie kontroli stanu bezpieczeństwa systemów informatycznych
W ustawie określenie „służby ochrony państwa” oznacza ABW i WSI (teraz SKW). Obie służby mają te same uprawnienia, ale wykonują je wobec innych jednostek organizacyjnych. Ponieważ jednostki organizacyjne są podzielone na dwie kategorie to faktycznie mamy do czynienia z dwoma takimi samymi, ale niezależnymi ogólnopolskimi systemami ochrony informacji niejawnych.
Niejasne są powody utworzenia dwóch niezależnych struktur do ochrony informacji niejawnych. W jakim celu zdublowano bardzo specyficzne kompetencje a w konsekwencji koszty? W szczególności, dlaczego zdublowano proces badania i certyfikacji urządzeń kryptograficznych? Zapis w ustawie: „służby ochrony państwa wydają wzajemnie uznawane certyfikaty ochrony kryptograficznej” pogłębia te wątpliwości. Jeśli jedna służba musi akceptować certyfikaty wydane przez drugą, to co stoi na przeszkodzie aby tylko jedna miała ośrodek badania i certyfikacji urządzeń. Pozostała część analizy dotyczy systemu nadzorowanego przez jedną służbę.
Szczegółowość zapisów w ustawie o ochronie informacji niejawnych i towarzyszących jej rozporządzeń umożliwia określenie głównych cech przyjętego de facto systemu bezpieczeństwa dla informacji niejawnych. Najważniejsze cechy tego systemu to:
- Uprawnienia kontrolne i wykonawcze są skupione w jednej organizacji
- Pełna centralizacja decyzji dotyczących sposobów ochrony informacji niejawnych w systemach komputerowych
- Tajność kryteriów stosowanych do wyboru mechanizmów bezpieczeństwa
- Pełna centralizacja wszystkich kompetencji merytorycznych z dziedziny bezpieczeństwa systemów informatycznych
- Tajność dokumentacji systemu (np. projekt ochrony informacji niejawnych w systemie komputerowym i zastosowane mechanizmy bezpieczeństwa są tajne z mocy prawa)
- Nikt nie ponosi konsekwencji za naruszenie poufności informacji niejawnych, które było możliwe z powodu słabych zabezpieczeń systemu bezpieczeństwa
Jedna organizacja jest wyłącznym źródłem kompetencji merytorycznych, źródłem wszystkich decyzji, kontrolerem rezultatów swoich decyzji, utajnia wszystko co się da i... nie ponosi żadnych konsekwencji za wyniki swoich działań. Trudno o bardziej prymitywny sposób zorganizowanego działania z jasno określonym celem. Szczególnie w tak delikatnej materii, jaką jest bezpieczeństwo systemów informatycznych.
Doświadczenie innych krajów i elementarna logika nakazuje rozdzielenie kompetencji merytorycznych, uprawnień akredytacyjnych i kontrolnych na niezależne jednostki organizacyjne.
Służby wykonują zadania według sobie tylko znanych sposobów i standardów, których poufność jest chroniona prawem. Dokumentacja systemu informatycznego też musi być tajna. Można odnieść wrażenie, że dla autorów ustawy zabezpieczenie przez utajnienie (ang. security by obscurity) jest najistotniejszym mechanizmem bezpieczeństwa. W świecie systemów cyfrowych takie podejście nie sprawdziło się. Doświadczenie wielu organizacji potwierdza prawidłowość, że utajnienie wiedzy o mechanizmach bezpieczeństwa oraz kryteriów oceny ich przydatności przynosi znacznie więcej szkód niż korzyści.
W dziedzinie bezpieczeństwa informacji najbardziej efektywnym sposobem „zinstytucjonalizowania” wiedzy i kompetencji merytorycznych jest utworzenie lub zaadoptowanie ogólnodostępnego standardu albo zbioru najlepszych praktyk. Zwykle takiemu standardowi towarzyszy metodyka wdrożenia i metodyka audytu. Są też zdefiniowane kryteria oceny zgodności. Takie rozwiązanie zastosowano w USA i innych państwach paktu północnoatlantyckiego. Zatem nie jest prawdziwy często używany argument, że zapisy w ustawie są konsekwencją przyjętych zobowiązań wobec NATO.
Publiczny standard systemu zarządzania bezpieczeństwem informacji jest niezależnym pośrednikiem między organizacją nadzorującą a organizacją nadzorowaną i w konsekwencji wymusza zdrowe i merytoryczne relacje między nimi.
Organizacje zobowiązane do ochrony informacji niejawnych muszą akceptować wszystkie decyzje funkcjonariuszy służb. Także wtedy, gdy zalecane sposoby ochrony informacji niejawnych nie są zrozumiałe, zbyt drogie lub mogą poważnie utrudnić działalność. Nie trzeba być ekspertem aby zauważyć, że twórcy ustawy nie rozumieli logiki rządzącej światem cyfrowym i specyfiki jego problemów bezpieczeństwa. Przyjęto założenie, że samymi arbitralnymi decyzjami administracyjnymi i kontrolą, bez przychylności lub pozytywnego nastawiania kierownictwa i pracowników organizacji, można wymusić utworzenie sprawnego systemu ochrony informacji niejawnych.
W ustawie nie znajdziemy żadnych mechanizmów, które motywowałyby do poważnego potraktowania problemu skuteczności ochrony. Nie poruszono też problemu odpowiedzialności za konsekwencje naruszenia poufności informacji niejawnych z powodu słabości zastosowanych zabezpieczeń. W praktyce okazuje się, że dla funkcjonariuszy każdy system informatyczny jest skutecznie zabezpieczony o ile jego ochrona informacji niejawnych została zbudowana zgodnie z ustawą.
W takich uwarunkowaniach jest bardzo prawdopodobne, że przeciętnie uzdolniony informatyk może łatwo wykraść informacje niejawne z akredytowanego systemu.
Przepisów prawa stworzonych w celu ochrony informacji niejawnych nie można uznać za przemyślane i spójne rozwiązanie systemowe. Jest to zestaw luźno ze sobą powiązanych rozwiązań organizacyjnych i uprawnień wykonawczo-kontrolnych dla służb ochrony państwa.
Kiedy analizuje się zapisy ustawy narzuca się wniosek, że jej autorzy w znikomym stopniu troszczyli się o skuteczność ochrony informacji niejawnych a główną stawką w grze było wzmocnienie roli służb w państwie i gospodarce. Służby zapewniły sobie szerokie uprawnienia do kontrolowania i ingerowania we wszystkie istotne w państwie systemy informatyczne oraz ich personel nie ponosząc jakiejkolwiek odpowiedzialności za swoje działania. Trudno o bardziej rażącą dysproporcję między uprawnieniami a odpowiedzialnością.
Ingerencja w działalność instytucji państwowych i przedsiębiorstw
Ustawa o ochronie informacji niejawnych pozwala służbom ochrony państwa głęboko ingerować w wewnętrzne sprawy urzędów i przedsiębiorstw. Ingerencja dotyczy spraw personalnych, systemów informatycznych i organizacji ochrony informacji niejawnych. W tym obszarze służby ochrony państwa mają następujące uprawnienia:
- Przeprowadzają postępowanie sprawdzające kandydatów na pełnomocnika ochrony i administratorów systemów informatycznych
- W przypadku przetwarzania tajemnicy państwowej przeprowadzają postępowanie sprawdzające wszystkich pracowników, którzy będą użytkownikami systemu
- W przypadku przetwarzania tajemnicy służbowej mają wgląd w wypełnione ankiety bezpieczeństwa osobowego wszystkich pracowników, którym udzielono zgody na dostęp do tajemnic służbowych
- Prawo kontroli systemów informatycznych i kancelarii tajnych. Oznacza to „swobodny wstęp do obiektów i pomieszczeń jednostki kontrolowanej, gdzie informacje takie są wytwarzane, przetwarzane, przechowywane lub przekazywane”
- Akredytują wszystkie systemy informatyczne przetwarzające informacje niejawne.
Certyfikat akredytacyjny jest wydawany na podstawie (cytat z ustawy):
- „Przeprowadzonych zgodnie z ustawą postępowań sprawdzających wobec osób mających dostęp do systemu lub sieci teleinformatycznej
- Zatwierdzonych przez właściwą służbę ochrony państwa dokumentów szczególnych wymagań bezpieczeństwa i procedur bezpiecznej eksploatacji
- Audytu bezpieczeństwa systemu lub sieci teleinformatycznej, polegającego na weryfikacji poprawności realizacji wymagań i procedur, określonych w dokumentach szczególnych wymagań bezpieczeństwa i procedur bezpiecznej eksploatacji”
Szeroki zakres ingerencji i jej arbitralność to tylko część problemu. Powyższe uprawnienia także tworzą legalny proces masowego zbierania informacji o instytucjach państwowych, przedsiębiorstwach i ich pracownikach. Aby uzyskać certyfikat akredytacyjny dla systemu jednostka organizacyjna musi przekazać służbom wiele informacji w formie dokumentacji systemu i ankiet bezpieczeństwa osobowego. Projekt zabezpieczenia elektromagnetycznego dobrze ilustruje ten proceder. Jeśli jednostka organizacyjna mieści się w budynku, w którym są siedziby kilkunastu innych przedsiębiorstw, to informacje o nich muszą się znaleźć w projekcie. Są to szczegółowe dane dotyczące każdego przedsiębiorstwa wraz z planem sytuacyjnym. Funkcjonariusze też chcą wiedzieć, co się dzieje w sąsiednich budynkach i trzeba to opisać w projekcie zabezpieczenia elektromagnetycznego.
Poprzez ankiety bezpieczeństwa osobowego służby ochrony państwa mają zapewniony dostęp do bardzo szczegółowych danych personalnych. Służby przechowują u siebie wypełnione ankiety osób, którym wydano zgodę na dostęp do tajemnicy państwowej oraz mają w ustawie zagwarantowany dostęp do ankiet osób dopuszczonych do tajemnic służbowych. Problem jest poważny, ponieważ co najmniej pół miliona osób powinno mieć dostęp do tajemnic służbowych. Szerzej o ankiecie bezpieczeństwa osobowego można przeczytać na stronie: http://biurose.sejm.gov.pl/teksty/r-170.htm . Cytat z tego dokumentu:
„Ustawa polska wymaga podania danych osobowych bardzo szczegółowych, nie tylko takich jak: miejsce stałego i czasowego zameldowania, adres zamieszkania, miejsce pracy i zajmowane stanowisko oraz odpowiednio wszystkie telefony określonych krewnych i powinowatych pierwszego i drugiego stopnia ale także rozmaitych spraw z życia służbowego i prywatnego tychże, na przykład faktu przeprowadzenia przez szwagra jakiegoś bardziej lub mniej legalnego interesu z obcokrajowcem przed dwudziestu laty albo listy cudzoziemskich kochanków zamieszkałej za granicą przyrodniej siostry w okresie ostatnich 20 lat”
Innym problemem są koszty wdrożenia systemu zabezpieczeń w kształcie zadawalającym służby. Nie chodzi tu tylko o zabezpieczenie poufności informacji niejawnych. W rozporządzeniu (Dz.U.05.171.1433) znajdujemy zapis:
„Bezpieczeństwo teleinformatyczne zapewnia się, chroniąc informacje przetwarzane w systemach i sieciach teleinformatycznych przed utratą właściwości gwarantujących to bezpieczeństwo, w szczególności przed utratą poufności, dostępności i integralności.”
Zabezpieczenie integralności i dostępności systemu często wymaga więcej zasobów niż zabezpieczenie poufności. Nikt nie neguje potrzeby zapewnienia integralności i dostępności, ale nie ma żadnego racjonalnego powodu, aby funkcjonariusze służb ingerowali także w ten obszar. Służby ochrony państwa co najwyżej mogą określać ogólne wymogi integralności i dostępności dla konkretnego systemu z informacjami niejawnymi ale nie sposób ich realizacji.
Bardzo poważnym utrudnieniem jest przymus stosowania konkretnych mechanizmów bezpieczeństwa bez uwzględniania specyfiki systemów. W rozporządzeniu określającym wymagania dla bezpieczeństwa teleinformatycznego znajdziemy na pozór niegroźny zapis, z którym trudno się nie zgodzić: „Ochronę kryptograficzną stosuje się przy przekazywaniu informacji niejawnych w formie transmisji poza strefę kontrolowanego dostępu”.
Jednak zapis o ochronie kryptograficznej jest bardzo poważną barierą dla nowoczesnej informatyzacji urzędów i przedsiębiorstw. Ten zapis uniemożliwia stosowanie najnowszych technologii klastrowych w przypadku, gdy ośrodek obliczeniowy jest rozłożony na kilka lokalizacji oddalonych od siebie o wiele kilometrów. W większości dużych systemów informatycznych mamy serwerownię rozdzieloną na co najmniej dwie lokalizacje aby katastrofa w jednej z nich nie spowodowała zbyt długiej przerwy w pracy systemu. Macierze dyskowe w takich serwerowniach muszą być połączone bardzo szybkimi łączami o przepustowości dochodzącej do 100Gb/s. Przy tych prędkościach ochrona kryptograficzna jest zbędnym zabezpieczeniem. Aby naruszyć poufność tak szybko przesyłanych danych trzeba poradzić sobie z wieloma poważnymi problemami technicznymi, mieć bezpośredni dostęp do światłowodów i ponieść ogromne wydatki. Ryzyko naruszania poufności jest więc bliskie zeru.
W rozporządzeniu serwerownia rozłożona na dwie lokalizacje jest traktowana jako odrębne strefy kontrolowanego dostępu, które muszą być połączone linią z ochroną kryptograficzną. Rozporządzenie wymusza użycie technologii sprzed 15 lat do połączenia centrum podstawowego i zapasowego! Warto dodać, że najszybsze urządzenie kryptograficzne certyfikowane przez ABW pracuje z prędkością 45Mb/s.
Choć nie jest to nigdzie zapisane, to funkcjonariusze służb każą odizolować sieć z systemem przetwarzającym informacje niejawne od pozostałej sieci przedsiębiorstwa połączonej z Internetem. W konsekwencji trzeba zakupić więcej komputerów osobistych i zdublować okablowanie sieci komputerowej, bo dostęp do Internetu jest niezbędnym narzędziem pracy dla specjalistów wielu zawodów.
Banki dołączają swoje wewnętrzne sieci do Internetu umożliwiając klientom zdalne wykonywanie przelewów o wartości kilkuset tysięcy PLN.
Przetargi na systemy informatyczne
Służby ochrony państwa mogą legalnie wpływać na cały proces zakupu systemu informatycznego lub sieci komputerowej. Możliwość daleko idącej ingerencji w przetargi zapewniają dwa uregulowania:
- Konieczność zatwierdzenia szczególnych wymagań bezpieczeństwa dla systemu informatycznego już w fazie projektowania i przed każdą zmianą. Cytat z ustawy: „Dokumenty szczególnych wymagań bezpieczeństwa systemu lub sieci teleinformatycznej powinny być kompletnym i wyczerpującym opisem ich budowy, zasad działania i eksploatacji. Dokumenty te opracowuje się w fazie projektowania, bieżąco uzupełnia w fazie wdrażania i modyfikuje w fazie eksploatacji przed dokonaniem zmian w systemie lub sieci teleinformatycznej.”
- Obligatoryjne sprawdzenie życiorysów kandydatów na administratora systemu i pełnomocnika ochrony
Aby zapewnić właściwy wkład do specyfikacji przedmiotu przetargu faza projektowania systemu powinna być zamknięta przed jego rozpoczęciem. W fazie projektowania trzeba przygotować szczególne wymagania bezpieczeństwa systemu (w skrócie: SWBS) i przekazać je służbom do oceny. Brak zastrzeżeń ze strony służb upoważnia do rozpoczęcia kolejnej fazy. Zatem jeszcze przed rozpisaniem przetargu funkcjonariusze służb mogą zażądać wprowadzenia zmian do specyfikacji systemu uzasadniając to bezpieczeństwem informacji niejawnych a nawet wprowadzić dodatkowe wymogi, które będą faworyzowały jednych dostawców i eliminowały drugich. Mogą to robić całkowicie legalnie gdyż ich decyzje są arbitralne a kryteria oceny mechanizmów bezpieczeństwa utajnione. Zdarza się, że do specyfikacji przedmiotu przetargu służby wprowadzają wymogi bezpieczeństwa, które są niezrozumiałe nie tylko dla specjalistów z organizacji kupującej system, ale i dla doświadczonych konsultantów z renomowanych firm!
Szczególnie dotkliwy jest wymóg stosowania urządzeń kryptograficznych certyfikowanych przez służby. Ponieważ proces certyfikacji wymaga udostępnienia kodu źródłowego, to żadna duża firma informatyczna o silnej pozycji rynkowej nie jest zainteresowana taką certyfikacją. W konsekwencji musimy stosować bardzo drogie urządzenia mało znanych producentów. Gdyby nie biznes certyfikacyjny, to prawdopodobnie część firm musiałaby zamknąć produkcję. Warto przejrzeć listę certyfikowanych produktów i ich producentów dostępną na stronie: http://www.abw.gov.pl/Bezp_tel/bez_ti.htm
Ocena ofert jest kolejną okazją do ingerencji. Ocena musi też obejmować sposób ochrony informacji niejawnych. Taką ocenę mogą wydać tylko funkcjonariusze służb, ponieważ na mocy ustawy oni akceptują sposób realizacji SWBS a ponadto tylko oni znają kryteria oceny mechanizmów bezpieczeństwa dla informacji niejawnych.
Dodatkowym problemem jest specyficzna relacja psychologiczna między specjalistami z organizacji zamawiającej system a funkcjonariuszami służb. Ci pierwsi muszą wypełnić szczegółową ankietę bezpieczeństwa osobowego, do której funkcjonariusze mają wgląd. Usilne przekonywanie funkcjonariuszy do swoich racji nie ma większego sensu, bo oni nie muszą uzasadniać swoich zaleceń. Ponadto każda przyszła modyfikacja systemu musi być zaakceptowana przez służby.
Świadomość dysponowania informacjami personalnymi z ankiety, asymetryczność relacji i troska o przychylne nastawienie funkcjonariuszy dla przyszłych zmian w systemie zapewniają wystarczające posłuszeństwo. Przy takich uwarunkowaniach trudno oczekiwać, że pracownicy będą stanowczo bronili interesów swojej organizacji przed nadmierną ingerencją w system informatyczny.
Przedstawione mechanizmy kontroli zakupów systemów informatycznych mają na celu zmniejszenie ryzyka niewłaściwej ochrony informacji niejawnych. Ale zakres uprawnień służb do ingerencji w przetargi tworzy znacznie większe ryzyko nielegalnej współpracy funkcjonariuszy z firmami startującymi w przetargu. Funkcjonariusze od początku znają wszystkie szczegóły techniczne i uwarunkowania dotyczące kupowanego systemu i mogą je „przekazać” znajomym na zewnątrz. Co więcej, mogą zgodnie z prawem wprowadzić do specyfikacji wymogi bezpieczeństwa faworyzujące konkretną firmę.
Jeśli założy się, że poziom uczciwości i patriotyzmu przeciętnego funkcjonariusza nie różni się znacząco od przedstawicieli innych zawodów, to przedstawione mechanizmy kontroli przetargów w dłuższym okresie czasu przyniosą znacznie więcej szkód niż korzyści.
