Biometria - (nie)bezpieczeństwo

Od 16 sierpnia br. obowiązuje rozporządzenie Prezesa Rady Ministrów z dnia 25 sierpnia 2005 r. w sprawie podstawowych wymagań bezpieczeństwa teleinformatycznego (Dz. U. Nr 159 poz. 948). Nowa regulacja stanowi wykonanie upoważnienia ustawowego wynikającego z art. 49 ust. 9 ustawy z dnia 5 sierpnia 2010 r. o ochronie informacji niejawnych.

W akcie określono podstawowe wymagania bezpieczeństwa, jakim powinny odpowiadać systemy teleinformatyczne, w których mają być przetwarzane informacje niejawne oraz niezbędne dane, jakie powinna zawierać dokumentacja bezpieczeństwa systemów teleinformatycznych oraz sposób jej opracowywania. Zgodnie z przepisami bezpieczeństwo przetwarzanych informacji powinno być uwzględnione w całym cyklu funkcjonowania systemu teleinformatycznego, czyli podczas planowania, projektowania, wdrażania, eksploatacji oraz wycofywania. W porównaniu do poprzednich regulacji, w nowym rozporządzeniu znalazły się m.in. przepisy dotyczące zarządzania ryzykiem w systemie teleinformatycznym, określające jego poszczególne procesy oraz sposób ich realizacji. Wynika z nich np., że za zapewnienie ciągłości procesu zarządzania ryzykiem odpowiada kierownik jednostki organizacyjnej organizującej ten system, a w przypadku, gdy system teleinformatyczny jest użytkowany przez kilka niezależnych jednostek organizacyjnych - każdy kierownik jednostki organizacyjnej użytkującej system teleinformatyczny, współdziałając z innymi kierownikami jednostek organizacyjnych.Akt zastąpił rozporządzenie z 25 sierpnia 2005 r.

 

Ile za ocenę urządzenia kryptograficznego?

16 sierpnia weszło też w życie rozporządzenie Prezesa Rady Ministrów z dnia 20 lipca 2011 r. w sprawie opłat za przeprowadzenie przez Agencję Bezpieczeństwa Wewnętrznego albo Służbę Kontrwywiadu Wojskowego czynności z zakresu bezpieczeństwa teleinformatycznego (Dz. U. Nr 159 poz. 949). Czynności te obejmują ocenę i audyt bezpieczeństwa systemu teleinformatycznego, badania i ocenę bezpieczeństwa środka ochrony elektromagnetycznej przeznaczonego do ochrony informacji niejawnych, badania i ocenę bezpieczeństwa urządzenia lub narzędzia kryptograficznego przeznaczonego do ochrony informacji niejawnych w ramach procesu certyfikacji oraz wydanie certyfikatu ochrony kryptograficznej, certyfikatu ochrony elektromagnetycznej, certyfikatu bezpieczeństwa teleinformatycznego lub świadectwa akredytacji bezpieczeństwa teleinformatycznego.