61 848 88 71
info@astat.plSpis treści
- Znaczenie ochrony informacji w dobie cyfryzacji
- Emisja ujawniająca - czym jest i jakie niesie zagrożenia
- Wymagania dla kancelarii tajnych i pomieszczeń niejawnych
- Dlaczego istniejące kancelarie tajne mogą przestać spełniać wymagania?
- Metody zabezpieczania pomieszczeń przed emisją ujawniającą
- Rola Grupy ASTAT
- Podsumowanie
W erze cyfryzacji ochrona informacji niejawnych przestała być wyłącznie zagadnieniem organizacyjnym i proceduralnym. Dziś równie ważny jest wymiar techniczny: sposób, w jaki urządzenia elektroniczne przetwarzają, przesyłają i nieintencjonalnie emitują dane. Z perspektywy bezpieczeństwa państwa i organizacji oznacza to jedno: samo ograniczenie dostępu do dokumentów czy systemów nie wystarcza, jeśli informacje mogą zostać odtworzone na podstawie emisji elektromagnetycznej urządzeń. Z tego powodu polskie regulacje dotyczące ochrony informacji niejawnych łączą wymagania fizyczne, organizacyjne i teleinformatyczne, a ABW oraz SKW pełnią istotną rolę w ocenie zgodności systemów oraz środków ochrony elektromagnetycznej.
Znaczenie ochrony informacji w dobie cyfryzacji
Każde urządzenie elektroniczne pracujące na sygnałach cyfrowych generuje określone ślady elektromagnetyczne. W praktyce oznacza to, że komputery, monitory, drukarki, serwery, urządzenia kryptograficzne czy okablowanie mogą emitować sygnały, które w określonych warunkach da się przechwycić i przeanalizować. W literaturze i standardach bezpieczeństwa takie zjawisko określa się jako emisję ujawniającą czyli niezamierzone sygnały, które po przechwyceniu i analizie mogą ujawniać informacje przetwarzane przez systemy telekomunikacyjne lub informatyczne.
To ważne rozróżnienie, bo mówimy nie o klasycznym cyberataku polegającym na przełamaniu haseł lub wykorzystaniu luki w oprogramowaniu, ale o bocznym kanale wycieku informacji. Nawet dobrze odseparowany system, działający bez połączenia z Internetem, może generować emisje zawierające korelację z przetwarzaną treścią. Dlatego zagrożenie elektromagnetyczne dotyczy zarówno jednostek administracji publicznej, jak i przemysłu obronnego, wykonawców kontraktów wymagających dostępu do informacji niejawnych oraz prywatnych firm przetwarzających dane wrażliwe biznesowo.
Emisja ujawniająca - czym jest i jakie niesie zagrożenia
Najczęściej wyróżnia się dwa podstawowe rodzaje emisji ujawniającej. Pierwsza to emisja promieniowana, czyli ulot elektromagnetyczny rozchodzący się w przestrzeni z urządzeń, przewodów, interfejsów i komponentów elektronicznych. Druga to emisja przewodzona, czyli sygnały, które nie są emitowane swobodnie w otoczenie, lecz rozprzestrzeniają się przez przewody zasilające, sygnałowe, uziemienie lub inne elementy infrastruktury technicznej. Pola elektromagnetyczne generowane przez sprzęt IT mogą zarówno promieniować w przestrzeń, jak i przewodzić się po liniach zasilających i sygnałowych.
Dla organizacji oznacza to bardzo konkretny problem. Jeżeli infrastruktura techniczna pomieszczenia nie została zaprojektowana z myślą o ochronie elektromagnetycznej, to samo wydzielenie pokoju i kontrola wejść nie gwarantują pełnej poufności. Źródłem ryzyka może być nie tylko komputer lub monitor, ale także cała droga propagacji sygnału: instalacja elektryczna, przewody teletechniczne, przepusty kablowe, szafy Rack, a nawet nieprawidłowo zaprojektowane przejścia instalacyjne. Dlatego bezpieczeństwo elektromagnetyczne trzeba rozpatrywać jako cechę całego środowiska przetwarzania, a nie pojedynczego urządzenia.
Wymagania dla kancelarii tajnych i pomieszczeń niejawnych
Polska Ustawa o ochronie informacji niejawnych jasno wskazuje, że organizacja pracy kancelarii tajnej ma umożliwiać ustalenie, gdzie znajduje się materiał o klauzuli „tajne” lub „ściśle tajne” oraz kto się z nim zapoznał. Ustawa dopuszcza także przetwarzanie w kancelarii tajnej informacji o klauzuli „poufne” lub „zastrzeżone”, jeśli kierownik jednostki wyrazi na to zgodę, a o utworzeniu lub likwidacji kancelarii tajnej należy poinformować ABW albo SKW.
Jednocześnie przepisy nie sprowadzają ochrony wyłącznie do ewidencji i obiegu materiałów:
- Artykuł 45 ustawy stanowi, że jednostki organizacyjne przetwarzające informacje niejawne stosują środki bezpieczeństwa fizycznego odpowiednie do poziomu zagrożeń, w szczególności chroniące przed działaniem obcych służb, sabotażem, kradzieżą, próbą wejścia osób nieuprawnionych czy nieuprawnionym dostępem do informacji o wyższej klauzuli.
- Artykuł 46 nakazuje zaś dla informacji „poufne” lub wyższych m.in. zorganizowanie stref ochronnych, wdrożenie kontroli wejść i wyjść oraz stosowanie wyposażenia i urządzeń służących ochronie informacji niejawnych, którym przyznano certyfikaty.
W obszarze teleinformatycznym wymagania są jeszcze bardziej precyzyjne. Systemy przeznaczone do przetwarzania informacji niejawnych podlegają akredytacji bezpieczeństwa teleinformatycznego. Dla systemów przetwarzających informacje o klauzuli „poufne” lub wyższej ABW albo SKW ocenia dokumentację bezpieczeństwa i może wydawać zalecenia dotyczące dodatkowych czynności, a w szczególnie uzasadnionych przypadkach nakazać wstrzymanie przetwarzania informacji niejawnych w systemie. Równolegle środki ochrony elektromagnetycznej przeznaczone do ochrony informacji niejawnych o klauzuli „poufne” lub wyższej podlegają badaniom i ocenie bezpieczeństwa w ramach certyfikacji prowadzonych przez ABW albo SKW.
Z punktu widzenia praktyki projektowej kluczowa jest także informacja publikowana przez ABW w części poświęconej bezpieczeństwu teleinformatycznemu: dla systemów przetwarzających informacje krajowe oznaczone klauzulą poufne lub wyższą, a także niektóre informacje międzynarodowe, należy wyznaczyć Sprzętową Strefę Ochrony Elektromagnetycznej (SSOE). ABW wskazuje, że SSOE może zostać wyznaczona na podstawie analizy dokumentacji albo specjalistycznych pomiarów w lokalizacji wnioskowanego pomieszczenia. To bardzo ważne, bo pokazuje, że zgodność nie ogranicza się do deklaracji inwestora czy wykonawcy, lecz może wymagać formalnej procedury i technicznej weryfikacji.
Dlaczego istniejące kancelarie tajne mogą przestać spełniać wymagania?
Wiele organizacji zakłada, że skoro pomieszczenie zostało kiedyś odebrane i dopuszczone do pracy, będzie spełniało wymagania bezterminowo. To błędne założenie. Ustawa wymaga, aby dokument szczególnych wymagań bezpieczeństwa oraz procedury bezpiecznej eksploatacji były aktualizowane także na etapie funkcjonowania, przed dokonaniem zmian w systemie teleinformatycznym. Podstawą wszelkich zmian ma być ponowne szacowanie ryzyka. Oznacza to, że każda istotna modyfikacja środowiska technicznego może mieć znaczenie dla zgodności.
W praktyce przyczyną utraty zgodności mogą być:
- wymiana sprzętu na nowszy model o innych charakterystykach emisyjnych,
- rozbudowa instalacji,
- zmiana sposobu użytkowania pomieszczenia,
- wprowadzenie nowych interfejsów lub sieci,
- przebudowa ścian i przepustów,
- zaostrzenie zaleceń lub norm stosowanych przez służby odpowiedzialne za bezpieczeństwo.
Metody zabezpieczania pomieszczeń przed emisją ujawniającą
Najbardziej znaną metodą ochrony jest ekranowanie, czyli budowa środowiska ograniczającego przenikanie sygnałów elektromagnetycznych do i z chronionego pomieszczenia. W praktyce może to przyjmować formę pełnej klatki Faradaya, kabiny ekranowanej albo odpowiednio zaprojektowanego pomieszczenia z ekranowanymi ścianami, sufitem, podłogą, drzwiami, oknami i przepustami instalacyjnymi. Są dwa podstawowe podejścia do ograniczania wycieku informacji: ograniczanie emisji samego sprzętu oraz stosowanie wymagań ekranowania dla obiektów, gdy urządzenia mogą być instalowane w bezpiecznych lokalizacjach.
Drugim filarem ochrony jest filtrowanie emisji przewodzonej. Nawet najlepiej ekranowane pomieszczenie nie zapewni odpowiedniego poziomu bezpieczeństwa, jeżeli sygnały ujawniające mogą „wyjść” poza strefę przez linie zasilające, sygnałowe lub telekomunikacyjne. Dlatego stosuje się filtry sieciowe, filtry sygnałowe, odpowiednie rozwiązania separacyjne, światłowody, konwertery oraz kontrolowane sposoby prowadzenia i rozdziału okablowania. Zagrożenie dotyczy zarówno promieniowania w przestrzeń, jak i przewodzenia po liniach zasilających i sygnałowych, a skuteczna ochrona wymaga jednoczesnego adresowania obu zjawisk.
Trzecim obszarem są pozostałe elementy infrastruktury bezpieczeństwa, często niedoceniane na etapie koncepcji. Chodzi o drzwi i okna ekranowane, przepusty kablowe, wentylację, system uziemienia i połączeń wyrównawczych, dobór certyfikowanych elementów, kontrolę stref ochronnych oraz powiązanie rozwiązań budowlanych z wymaganiami organizacyjnymi i teleinformatycznymi. Ustawa wprost wiąże ochronę informacji „poufne” lub wyższych z organizacją stref ochronnych oraz stosowaniem wyposażenia i urządzeń z przyznanymi certyfikatami, co pokazuje, że infrastruktura techniczna musi być spójna z formalnym systemem ochrony.
Rola Grupy ASTAT
Dla wielu organizacji największym wyzwaniem nie jest już samo rozpoznanie ryzyka, lecz przełożenie wymagań prawnych i technicznych na realny projekt inwestycyjny. Właśnie tu potrzebny jest partner, który rozumie zarówno warstwę infrastrukturalną, jak i logikę wymagań bezpieczeństwa.
Modernizacja istniejących kancelarii tajnych i pomieszczeń niejawnych wymaga zwykle audytu stanu obecnego, identyfikacji słabych punktów elektromagnetycznych, oceny tras kablowych, przepustów, ekranowania i zasilania, a następnie zaprojektowania działań naprawczych zgodnych z aktualnym stanem wymagań.
Grupa ASTAT może wspierać klientów zarówno przy modernizacji istniejących pomieszczeń, jak i przy projektowaniu oraz budowie nowych kancelarii tajnych, pomieszczeń niejawnych, kabin ekranowanych czy specjalistycznych stref dla serwerowni i infrastruktury krytycznej. Tego typu kompetencje są istotne nie tylko dla administracji czy sektora obronnego. Również firmy prywatne, które realizują kontrakty związane z informacjami niejawnymi lub przetwarzają szczególnie wrażliwe dane technologiczne, potrzebują rozwiązań pozwalających pogodzić bezpieczeństwo, eksploatację i formalną zgodność. Ustawa przewiduje przecież również reżim bezpieczeństwa przemysłowego dla przedsiębiorców realizujących umowy związane z dostępem do informacji niejawnych.
Największą wartością doświadczonego wykonawcy, jakim jest Grupa ASTAT, jest jednak zdolność do myślenia o inwestycji całościowo: od koncepcji i projektu, przez dobór technologii ekranowania i filtracji, po wsparcie techniczne w przygotowaniu obiektu do procedur właściwych dla ABW lub SKW. W środowisku, w którym jedna niekontrolowana droga propagacji sygnału może podważyć sens całego zabezpieczenia, liczy się nie pojedynczy produkt, lecz spójny system ochrony elektromagnetycznej.
Podsumowanie
Emisja elektromagnetyczna urządzeń elektronicznych nie jest abstrakcyjnym problemem laboratoryjnym. To realny kanał wycieku informacji, który w środowiskach przetwarzających informacje niejawne musi być uwzględniany równie poważnie jak kontrola dostępu, bezpieczeństwo fizyczne czy akredytacja systemów teleinformatycznych. Polska ustawa, praktyka ABW i międzynarodowe podejścia EMSEC/TEMPEST pokazują jednoznacznie, że kancelarie tajne i pomieszczenia niejawne wymagają specjalnych zabezpieczeń elektromagnetycznych, a zmiana infrastruktury, ryzyka albo wymagań może wymuszać ich modernizację. Dla organizacji oznacza to konieczność regularnej oceny zgodności, a dla wykonawców infrastruktury - potrzebę łączenia wiedzy i doświadczenia w zapewnieniu bezpieczeństwa teleinformatycznego.
Jeśli planują Państwo budowę nowej kancelarii tajnej, modernizację istniejącego pomieszczenia niejawnego lub wdrożenie rozwiązań z zakresu ochrony elektromagnetycznej informacji, warto skorzystać z doświadczenia partnera, który łączy kompetencje projektowe, techniczne i wykonawcze. Grupa ASTAT oferuje kompleksowe wsparcie w projektowaniu, modernizacji i budowie pomieszczeń spełniających wymagania bezpieczeństwa, w tym kabin ekranowanych, rozwiązań filtracyjnych i infrastruktury dla środowisk przetwarzających informacje wrażliwe oraz niejawne. Kontakt z ekspertami ASTAT to pierwszy krok do oceny obecnego stanu zabezpieczeń i przygotowania organizacji na aktualne wymagania techniczne oraz formalne. Zapraszamy do współpracy!
