Rozporządzenie Prezesa Rady Ministrów z dnia 25 lutego 1999 r. w sprawie podstawowych wymagań bezpieczeństwa systemów i sieci teleinformatycznych.

Nr 18 1126 - Poz. 161 i 162

161

ROZPORZĄDZENIE PREZESA RADY MINISTRÓW

z dnia 25 lutego 1999 r.

w sprawie sposobu i trybu udostępniania danych z ewidencji.

Na podstawie art. 42 ust. 7 ustawy z dnia 22 stycz kuratora albo służby ochrony państwa, zawierające nia 1999 r. o ochronie informacji niejawnych (Dz. U. oznaczenie zakresu żądanych danych. Nr 11, poz. 95) zarządza się, co następuje: § 4. Dane z ewidencji udostępnia szef właściwej § 1. Rozporządzenie określa sposób i tryb udostęp­ służby ochrony państwa lub upoważniony przez niego niania danych z ewidencji osób, które uzyskały po funkcjonariusz albo żołnierz. świadczenie bezpieczeństwa, a także danych osób, któ re zajmują stanowiska lub wykonują prace, z którymi § 5. 1. Udostępnienie danych z ewidencji następu­ łączy się dostęp do informacji niejawnych oznaczo je w formie pisemnej oraz w terminie i w zakresie okre nych klauzulą "poufne" lub stanowiących tajemnicę ślonym w żądaniu. państwową, na żądanie sądu lub prokuratora, w celu ścigania karnego, albo na żądanie służb ochrony pań­ 2. Żądane dane mogą być przekazane za pomocą stwa do celów postępowania sprawdzającego. systemu lub sieci teleinformatycznej służącej wytwa rzaniu, przechowywaniu, przetwarzaniu lub przekazy § 2. Dane, o których mowa w § 1, mogą być udo waniu informacji niejawnych. stępnione wyłącznie w zakresie określonym wart. 42 ust. 6 ustawy z dnia 22 stycznia 1999 r. o ochronie in § 6. Rozporządzenie wchodzi w życie z dniem formacji niejawnych (Dz. U. Nr 11, poz. 95). 11 marca 1999 r.

§ 3. Udostępnienie danych z ewidencji, o której mo wa w § 1, następuje na pisemne żądanie sądu lub pro- Prezes Rady Ministrów: w z. J. Tomaszewski

162

ROZPORZĄDZENIE PREZESA RADY MINISTRÓW

z dnia 25 lutego 1999 r.

w sprawie podstawowych wymagań bezpieczeństwa systemów i sieci teleinformatycznych.

Na podstawie art. 60 ust. 4 ustawy z dnia 22 stycz przechowywanie lub przekazywanie informacji nia 1999 r. o ochronie informacji niejawnych (Dz. U. niejawnych,

Nr 11, poz. 95) zarządza się, co następuje: 3) uwierzytelnieniu - należy przez to rozumieć usłu­ § 1. Rozporządzenie określa podstawowe wymaga gę (funkcję) kryptograficzną pozwalającą spraw nia bezpieczeństwa systemów i sieci teleinformatycz dzić i potwierdzić autentyczność wymienianych in nych, zwanego dalej "bezpieczeństwem teleinforma formacji lub podmiotów uczestniczących wwymia nie, tycznym", w zakresie ochrony fizycznej, elektromagne

tycznej i kryptograficznej oraz bezpieczeństwa transmi 4) algorytmach kryptograficznych - należy przez to sji, w sieciach lub systemach teleinformatycznych słu­ rozumieć metodę działania, przekształcającą dane żących do wytwarzania, przetwarzania, przechowywa w celu ukrycia lub ujawnienia ich zawartości infor nia lub przekazywania informacji niejawnych, a także macyjnej, wytyczne do opracowania szczególnych wymagań

bezpieczeństwa tych systemów i sieci. 5) kluczach kryptograficznych - należy przez to rozu mieć ciąg symboli, od którego w sposób istotny za § 2. 1. Ilekroć w rozporządzeniu jest mowa o: leży wynik działania algorytmu kryptograficznego.

1) ustawie - należy przez to rozumieć ustawę z dnia 2. Bezpieczeństwo teleinformatyczne zapewnia się 22 stycznia 1999 r. o ochronie informacji niejaw przez: nych (Dz. U. Nr 11, poz. 95),

1) ochronę fizyczną, 2) przetwarzaniu informacji niejawnych - należy przez to rozumieć wytwarzanie, przetwarzanie, 2) ochronę elektromagnetyczną,

Nr 18 1127 - Poz. 162

3) ochronę kryptograficzną, mie elektronicznej informacji, o których mowa w ust. 1,

poza strefy bezpieczeństwa. 4) bezpieczeństwo transmisji,

5) kontrolę dostępu do urządzeń § 9. 1. Przemieszczanie urządzeń teleinformatycz nych, w których pamięci są informacje niejawne stano systemu lub sieci teleinformatycznej. wiące tajemnicę państwową lub służbową oznaczone

klauzulą "poufne", poza strefy bezpieczeństwa wyma § 3. Kierownik jednostki organizacyjnej jest obo ga stosowania kryptograficznych metod i środków wiązany zapewnić bezpieczeństwo teleinformatyczne ochrony tych informacji lub innych środków ochrony, przed przystąpieniem do przetwarzania informacji nie gwarantujących ich zabezpieczenie przed nieupraw jawnych w systemie lub sieci teleinformatycznej. nionym ujawnieniem.

§ 4. Służby ochrony państwa mogą dopuścić do 2. Przepis ust. 1 stosuje się do elektronicznych no stosowania w systemie lub sieci teleinformatycznej, śników danych zawierających informacje niejawne, bez konieczności przeprowadzania badań, urządzenie, stanowiące tajemnicę państwową lub służbową ozna które spełnia wymagania bezpieczeństwa określone czone klauzulą "poufne", przemieszczanych poza stre w rozporządzeniu, jeżeli otrzymało certyfikat właściwej fy bezpieczeństwa. krajowej władzy bezpieczeństwa w państwie będącym

stroną Organizacji Traktatu Północnoatlantyckiego. § 10. 1. Do kryptograficznej ochrony informacji nie

jawnych stanowiących tajemnicę państwową stosuje § 5. Ochronę fizyczną systemu lub sieci teleinfor się, odpowiednie dla klauzuli "tajne" i "ściśle tajne", matycznej zapewnia się przez: algorytmy kryptograficzne oraz środki gwarantujące

1) umieszczenie urządzeń systemu lub sieci teleinfor ochronę tych algorytmów, kluczy kryptograficznych oraz innych istotnych parametrów zabezpieczenia, matycznej w strefach bezpieczeństwa w zależności od: a w szczególności haseł dostępu.

a) klauzuli tajności informacji niejawnych, 2. Właściwymi do potwierdzenia przydatności al

b) ilości informacji niejawnych, gorytmów i środków, o których mowa w ust. 1, w celu ochrony informacji niejawnych o określonej klauzuli c) zagrożeń w zakresie ujawnienia, utraty, modyfi tajności, są służby ochrony państwa. kacji przez osobę nieuprawnioną,

§ 11. 1. Podłączenie urządzenia systemu lub sieci 2) instalację środków zabezpieczających pomieszcze teleinformatycznej, w którym są przetwarzane infor nia, w których znajdują się urządzenia systemu lub macje niejawne stanowiące tajemnicę państwową, do sieci teleinformatycznej, w szczególności przed: powszechnie dostępnego urządzenia systemu lub sie

a) nieuprawnionym dostępem, ci jest dopuszczalne pod warunkiem zastosowania me tod i środków, o których mowa w § 8. b) podglądem,

c) podsłuchem. 2. Podłączenie urządzenia systemu lub sieci telein formatycznej, w którym są przetwarzane informacje § 6. Przetwarzanie informacji niejawnych, stano niejawne stanowiące tajemnicę służbową, do po wiących tajemnicę państwową lub stanowiących ta wszechnie dostępnego urządzenia systemu lub sieci jemnicę służbową, oznaczonych klauzulą "poufne", jest dopuszczalne pod warunkiem zastosowania wła­ w urządzeniach systemu lub sieci teleinformatycznych ściwych mechanizmów kontroli dostępu, o których odbywa się w strefach bezpieczeństwa. mowa w § 12 ust. 2.

§ 7. Ochronę elektromagnetyczną systemu lub sie § 12. 1. W celu zapewnienia kontroli dostępu do ci teleinformatycznej zapewnia się przez umieszczenie systemu lub sieci teleinformatycznej: urządzeń, połączeń i linii w strefach bezpieczeństwa gwarantujących spełnienie wymogów zabezpieczenia 1) kierownik jednostki organizacyjnej określa warunki elektromagnetycznego lub zastosowanie urządzeń, po i sposób przydzielania uprawnień ich użytkowni­ łączeń i linii o obniżonym poziomie emisji lub ich ekra kom,

nowanie i filtrowanie zewnętrznych linii zasilających 2) administrator systemów i sieci teleinformatycz i sygnałowych. nych określa warunki oraz sposób przydzielania

§ 8. 1. Ochrona kryptograficzna systemu lub sieci tym użytkownikom kont i haseł, a także zapewnia teleinformatycznej polega na stosowaniu metod właściwe wykorzystanie mechanizmów, o których i środków zabezpieczających informacje niejawne sta mowa w ust. 2.

nowiące tajemnicę państwową przez ich szyfrowanie oraz stosowanie innych mechanizmów kryptograficz 2. System lub sieć teleinformatyczną wyposaża się nych gwarantujących integralność i zabezpieczenie w mechanizmy kontroli dostępu odpowiednie do klau przed nieuprawnionym ujawnieniem tych informacji zuli tajności informacji niejawnych przetwarzanych lub uwierzytelnienie podmiotów, lub uwierzytelnienie w tych systemach lub sieciach.

informacji. § 13. System lub sieć teleinformatyczna, w której są

2. Ochronę kryptograficzną systemu lub sieci tele przetwarzane informacje niejawne stanowiące tajem

informatycznej stosuje się przy przekazywaniu w for- nicę państwową, projektuje się, organizuje i eksploatu-

Nr 18 - 1128 - Poz. 162 i 163

je w sposób uniemożliwiający niekontrolowany dostęp § 17. Charakterystyka systemu lub sieci teleinfor jednej osoby do wszystkich zasobów systemu lub sie matycznej powinna określać: ci, a w szczególności do danych, oprogramowania i urządzeń. 1) klauzulę tajności informacji niejawnych, które będą przetwarzane w systemie lub sieci teleinformatycz § 14. 1. Szczególne wymagania bezpieczeństwa nej, opracowuje się, po dokonaniu analizy przewidywa nych zagrożeń, indywidualnie dla każdego systemu lub 2) kategorie uprawnień użytkowników systemu lub sieci teleinformatycznej, w której mają być przetwarza sieci teleinformatycznej w zakresie dostępu do przetwarzanych w nich informacji niejawnych, ne informacje niejawne, z uwzględnieniem warunków charakterystycznych dla jednostki organizacyjnej. w zależności od klauzuli tajności tych informacji.

§ 18. Dane o budowie systemu lub sieci teleinfor 2. Szczególne wymagania bezpieczeństwa formu łuje się na etapie projektowania nowego systemu lub matycznej zawierają informacje dotyczące tego syste mu lub sieci w zakresie: sieci teleinformatycznej, a następnie uzupełnia i rozwi ja wraz z wdrażaniem, eksploatacją i modernizacją te 1) lokalizacji, go systemu lub sieci.

2) typu wykorzystywanych w nich urządzeń oraz opro § 15. Szczególne wymagania bezpieczeństwa sys gramowania, temu lub sieci teleinformatycznych powinny określać wielkość i lokalizację stref bezpieczeństwa oraz środki 3) sposobu realizowania połączeń wewnętrznych oraz ich ochrony odpowiednie dla danej jednostki organiza zewnętrznych, cyjnej. 4) konfiguracji sprzętowej,

§ 16. Przy opracowaniu szczególnych wymagań 5) środowiska eksploatacji. bezpieczeństwa należy uwzględnić:

1) charakterystykę systemu lub sieci teleinformatycz § 19. Środki ochrony, o których mowa w § 16 pkt 3, nej, powinny uwzględniać wskazanie osób odpowiedzial nych za bezpieczeństwo systemu lub sieci teleinforma 2) dane o budowie systemu lub sieci teleinformatycz tycznej oraz określać procedury bezpieczeństwa zwią­ nej, zane z jego eksploatacją i kontrolą, a także wskazywać 3) określenie środków ochrony zapewniających bez szczegółowe wymagania w zakresie szkoleń dla admi pieczeństwo informacji niejawnych, przetwarza nistratorów, pracowników pionu i wszystkich użytkow­ nych w systemie lub sieci teleinformatycznej, ników systemu lub sieci. przed możliwością narażenia ich bezpieczeństwa, a w szczególności nieuprawnionym ujawnieniem, § 20. Rozporządzenie wchodzi w życie z dniem 11 marca 1999 r. 4) zadania administratora systemu lub sieci teleinfor matycznej i pracownika pionu, o których mowa wart. 63 ust. 1 ustawy. Prezes Rady Ministrów: w z. J. Tomaszewski

163

ROZPORZĄDZENIE PREZESA RADY MINISTRÓW

z dnia 4 marca 1999 r.

zmieniające rozporządzenie w sprawie ustalenia szczegółowego zakresu działania Ministra-członka Rady Ministrów Wiesława Walendziaka.

Na podstawie art. 33 ust. 1 pkt 1 ustawy z dnia 1) w § 1 skreśla się wyrazy "oraz wykonuje zadania 8 sierpnia 1996 r. o organizacji i trybie pracy Rady Mi wynikające z pełnienia funkcji Szefa Kancelarii Pre nistrów oraz o zakresie działania ministrów (Dz. U. zesa Rady Ministrów", Nr 106, poz. 492 i Nr 156, poz. 775, z 1997 r. Nr 141,

, z 1998 r. Nr 162, poz. 1126 oraz z 1999 r. Nr 11, 2) w § 2 skreśla się pkt 4 oraz 6-9.

) zarządza się, co następuje: § 2. Rozporządzenie wchodzi w życie z dniem ogło­ § 1. W rozporządzeniu Prezesa Rady Ministrów szenia. z dnia 5 listopada 1997 r. w sprawie ustalenia szczegó łowego zakresu działania Ministra-członka Rady Mi nistrów Wiesława Walendziaka (Dz. U. Nr 136,

) wprowadza się następujące zmiany: Prezes Rady Ministrów: J. Buzek