Rozporządzenie Prezesa Rady Ministrów z dnia 25 sierpnia 2005 r. w sprawie podstawowych wymagań bezpieczeństwa teleinformatycznego

1433 ROZPORZÑDZENIE PREZESA RADY MINISTRÓW z dnia 25 sierpnia 2005 r. w sprawie podstawowych wymagaƒ bezpieczeƒstwa teleinformatycznego

2. Utrata poufnoÊci nast´puje w szczególnoÊci na § 10. Projektowanie, organizacja i eksploatacja skutek wykorzystania elektromagnetycznej emisji systemu lub sieci teleinformatycznej s∏u˝àcej do przeujawniajàcej pochodzàcej z tych urzàdzeƒ. twarzania informacji niejawnych stanowiàcych tajemnic´ paƒstwowà odbywa si´ w sposób uniemo˝liwia- 3. Utrata dost´pnoÊci nast´puje w szczególnoÊci jàcy niekontrolowany dost´p jednej osoby do wszystna skutek zak∏ócania pracy urzàdzeƒ teleinformatyczkich zasobów systemu lub sieci, w szczególnoÊci danych za pomocà impulsów elektromagnetycznych nych, informacji, oprogramowania, narz´dzi lub urzào du˝ej mocy. dzeƒ teleinformatycznych. 4. Ochron´ elektromagnetycznà systemu lub sieci § 11. S∏u˝by ochrony paƒstwa mogà dopuÊciç do teleinformatycznej zapewnia si´ wszczególnoÊci przez umieszczenie urzàdzeƒ teleinformatycznych, po∏àczeƒ stosowania w systemie lub sieci teleinformatycznej i linii w strefach kontrolowanego dost´pu spe∏niajà- urzàdzenia lub narz´dzia, które spe∏niajà w∏aÊciwe wycych wymagania w zakresie t∏umiennoÊci elektroma- magania bezpieczeƒstwa, je˝eli otrzyma∏y stosowny gnetycznej odpowiednio do wyników szacowania ry- certyfikat krajowej w∏adzy bezpieczeƒstwa wpaƒstwie zyka dla informacji niejawnych, o którym mowa b´dàcym stronà Organizacji Traktatu Pó∏nocnoatlanw§ 12, lub zastosowanie odpowiednich urzàdzeƒ tele- tyckiego lub w paƒstwie cz∏onkowskim Unii Europejinformatycznych, po∏àczeƒ i linii o obni˝onym pozio- skiej. mie emisji lub ich ekranowanie zjednoczesnym filtrowaniem zewn´trznych linii zasilajàcych i sygna∏o- Rozdzia∏ 3 wych. Sposób opracowywania dokumentacji § 7. 1. Ochrona kryptograficzna informacji niejawbezpieczeƒstwa teleinformatycznego nych przetwarzanych w systemie lub sieci teleinformatycznej polega na zastosowaniu mechanizmów § 12. Dokumenty szczególnych wymagaƒ bezpiegwarantujàcych ich poufnoÊç, integralnoÊç oraz uwieczeƒstwa opracowuje si´ po przeprowadzeniu szacorzytelnienie. wania ryzyka dla informacji niejawnych, które majà byç przetwarzane w danym systemie lub sieci telein- 2. Ochron´ kryptograficznà stosuje si´ przy przekazywaniu informacji niejawnych w formie transmisji formatycznej, z uwzgl´dnieniem warunków charaktepoza stref´ kontrolowanego dost´pu. rystycznych dla jednostki organizacyjnej. 3. Przekazywanie informacji niejawnych utrwalo- § 13. 1. Przy opracowaniu szczególnych wymagaƒ nych na elektronicznych noÊnikach danych poza stre- bezpieczeƒstwa systemu lub sieci teleinformatycznej f´ kontrolowanego dost´pu odbywa si´ z zapewnie- uwzgl´dnia si´ w szczególnoÊci dane o budowie oraz niem, odpowiedniej do klauzuli tajnoÊci tych informa- charakterystyk´ systemu lub sieci teleinformatycznej. cji, ochrony kryptograficznej lub po spe∏nieniu wymagaƒ, o których mowa w przepisach w sprawie trybu 2. Dane o budowie systemu lub sieci teleinformai sposobu przyjmowania, przewo˝enia, wydawania tycznej obejmujà dane dotyczàce elementów wchoiochrony materia∏ów, wcelu ich zabezpieczenia przed dzàcych w sk∏ad tego systemu lub sieci w zakresie: nieuprawnionym ujawnieniem, utratà, uszkodzeniem lub zniszczeniem. 1) lokalizacji; 2) typu wykorzystywanych urzàdzeƒ oraz oprogra- § 8. NiezawodnoÊç transmisji polega na zapewniemowania; niu integralnoÊci i dost´pnoÊci informacji niejawnych przekazywanych w systemach lub sieciach teleinfor- 3) sposobu realizowania po∏àczeƒ wewn´trznych matycznych. Zapewnia si´ jà w szczególnoÊci przez oraz zewn´trznych; wykorzystywanie zapasowych ∏àczy telekomunikacyjnych. 4) konfiguracji sprz´towej i ustawieƒ mechanizmów zabezpieczajàcych; § 9. 1. W celu zapewnienia kontroli dost´pu do systemu lub sieci teleinformatycznej: 5) Êrodowiska eksploatacji. 1) kierownik jednostki organizacyjnej lub osoba 3. Charakterystyka systemu lub sieci teleinformaprzez niego upowa˝niona ustala warunki i sposób tycznej powinna okreÊlaç: przydzielania uprawnieƒ osobom uprawnionym do pracy w systemie lub sieci teleinformatycznej; 1) klauzul´ tajnoÊci informacji niejawnych, które b´- dà w nich przetwarzane; 2) administrator systemów okreÊla warunki oraz sposób przydzielania tym osobom kont oraz mechani- 2) kategorie uprawnieƒ osób uprawnionych do pracy zmów kontroli dost´pu, a tak˝e zapewnia ich w∏a- wsystemie lub sieci teleinformatycznej wzakresie Êciwe wykorzystanie. dost´pu do przetwarzanych wnich informacji niejawnych, w zale˝noÊci od klauzuli tajnoÊci tych in- 2. System lub sieç teleinformatycznà wyposa˝a si´ formacji; wmechanizmy kontroli dost´pu odpowiednie do klauzuli tajnoÊci informacji niejawnych wnich przetwarza- 3) tryb bezpieczeƒstwa pracy systemu lub sieci telenych. informatycznej.

§ 14. Szczególne wymagania bezpieczeƒstwa okre- 2) bezpieczeƒstwa osobowego; Êlajà co najmniej: 3) bezpieczeƒstwa dokumentów i materia∏ów nie- 1) osoby odpowiedzialne za wdro˝enie Êrodków za- jawnych, w tym procedur sporzàdzania kopii pewniajàcych bezpieczeƒstwo teleinformatyczne; z tych dokumentów oraz niszczenia dokumentów i ich kopii; 2) zadania osób odpowiedzialnych za bezpieczeƒstwo teleinformatyczne; 4) ochrony kryptograficznej, elektromagnetycznej, fizycznej, niezawodnoÊci transmisji lub kontroli do- 3) granice ilokalizacj´ stref kontrolowanego dost´pu st´pu do urzàdzeƒ systemu lub sieci teleinformaoraz Êrodki ich ochrony; tycznej; 4) Êrodki ochrony kryptograficznej, elektromagne- 5) bezpieczeƒstwa urzàdzeƒ i oprogramowania; tycznej, technicznej lub organizacyjnej systemu lub sieci teleinformatycznej; 6) zapewnienia ciàg∏oÊci dzia∏ania systemu lub sieci teleinformatycznej; 5) inne zastosowane Êrodki ochrony zapewniajàce bezpieczeƒstwo teleinformatyczne informacji nie- 7) zarzàdzania konfiguracjà; jawnych; 8) audytu bezpieczeƒstwa. 6) zasady zarzàdzania ryzykiem; § 16. W procedurach, o których mowa w § 15, 7) zasady szkolenia z zakresu bezpieczeƒstwa telein- okreÊla si´ tryb post´powania przez osoby odpowieformatycznego osób odpowiedzialnych za bezpie- dzialne za bezpieczeƒstwo teleinformatyczne oraz czeƒstwo teleinformatyczne oraz osób uprawnio- osoby uprawnione do pracy wsystemie lub sieci telenych do pracy w systemie lub sieci teleinforma- informatycznej w sytuacji wystàpienia incydentu beztycznej. pieczeƒstwa teleinformatycznego. § 15. 1. Procedury bezpiecznej eksploatacji zawie- Rozdzia∏ 4 rajà szczegó∏owy wykaz czynnoÊci wraz z dok∏adnym opisem sposobu ich wykonania, które powinny byç Przepisy koƒcowe realizowane przez osoby odpowiedzialne za bezpieczeƒstwo teleinformatyczne oraz osoby uprawnione § 17. Traci moc rozporzàdzenie Prezesa Rady Minido pracy w systemie lub sieci teleinformatycznej. strów z dnia 25 lutego 1999 r. w sprawie podstawowych wymagaƒ bezpieczeƒstwa systemów isieci tele- 2. Szczegó∏owy wykaz czynnoÊci powinien byç uj´- informatycznych (Dz. U. Nr 18, poz. 162). ty w tematycznie wyodr´bnione procedury bezpieczeƒstwa dotyczàce w szczególnoÊci: § 18. Rozporzàdzenie wchodzi w ˝ycie po up∏ywie 14 dni od dnia og∏oszenia. 1) administrowania systemem lub siecià teleinformatycznà; Prezes Rady Ministrów: M. Belka