Directivă din 12 octombrie 2012

SIC naționale care stochează, procesează sau transmit informații clasificate trebuie supuse unui proces de management al riscului de securitate.

Directiva privind managementul INFOSEC pentru sisteme informatice și de comunicații - INFOSEC 3, aprobată prin

Ordinul directorului general al Oficiului Registrului Național al Informațiilor Secrete de Stat nr. 484/2003 , stabilește aspectele generale, procesele de analiză a riscului de securitate și de management al riscului de securitate, precum și necesitatea reluării procesului de management al riscului de securitate. Detaliile privind aplicarea acesteia sunt prezentate în ghidul "Metodologia privind managementul riscului de securitate pentru sistemele informatice și de comunicații care stochează, procesează sau transmit informații clasificate - DS3", aprobată prin

Ordinul directorului general al Oficiului Registrului Național al Informațiilor Secrete de Stat nr. 389/2004 .

Un element important al procesului de acreditare de securitate îl constituie documentația de securitate, compusă din:

a) strategia de acreditare de securitate a SIC, document elaborat, după caz, de AAS sau SII, prin care se stabilesc activitățile necesar a fi derulate în cadrul procesului de acreditare de securitate a SIC, responsabilitățile și termenele de realizare a acestora;

b) rezultatele procesului de management al riscului de securitate;

c) DCS prin care se definesc cerințele de securitate, mediile de securitate și măsurile de securitate aplicabile SIC care trebuie acreditat;

d) procedurile operaționale de securitate (PrOpSec) care prezintă modul de implementare a măsurilor de securitate, a procedurilor operaționale referitoare la securitate ce trebuie urmate și a responsabilităților personalului;

e) rapoarte de evaluare/certificare a securității informațiilor, resurselor sau serviciilor SIC, certificate de conformitate a produselor INFOSEC din compunerea SIC.

DCS constituie baza acordului dintre AAS și AOSIC în sensul operării SIC într-o manieră sigură. Aceasta stabilește măsurile de securitate care asigură controlul și responsabilitatea privind accesul individual al utilizatorilor SIC la informațiile clasificate. Acest document împreună cu PrOpSec stabilește măsurile de securitate necesar a fi implementate, având în vedere:

a) aspectele relevante din punctul de vedere al securității, aflate în afara controlului AOSIC, adică mediul de securitate global, cum ar fi, de exemplu: elemente privind securitatea clădirii, securitatea întregului spațiu aflat sub controlul structurii/funcționarului de securitate, securitatea sistemelor interconectate și mediul general de amenințări;

b) securitatea fizică, securitatea personalului, securitatea informațiilor și măsuri de securitate procedurale aflate sub controlul AOSIC în mediul de securitate local;

c) mecanismele INFOSEC în SIC, adică mediul de securitate electronic, implementate într-o arhitectură dezvoltată pentru a corespunde funcționalității și nivelului de asigurare de securitate necesar.

În evaluarea cerințelor de securitate pentru contracararea riscurilor de securitate prevăzute la art. 18 lit. b) există 3 scenarii privind configurația:

a) SIC care nu se interconectează direct cu alte SIC, dar există facilitatea de transfer off-line a informațiilor;

b) SIC care se interconectează și care au diferite moduri de operare de securitate sau diferite niveluri de clasificare a informațiilor ori SIC sigur care se interconectează cu SIC nesigur, cum ar fi INTERNET sau rețele similare din domeniul public. În acest context este necesară adoptarea politicii de nod autoprotejat în vederea prevenirii riscurilor la adresa confidențialității, integrității și disponibilității informațiilor, precum și a integrității și disponibilității resurselor și serviciilor SIC;

c) un SIC acreditat care se interconectează cu alt SIC acreditat prin intermediul unei infrastructuri securizate, acestea putând coopera pentru a susține mutual securitatea.

În situația prevăzută la alin. (1) lit. a) se au în vedere amenințările și vulnerabilitățile unui SIC independent (neconectat - LAN). Cerințele de securitate trebuie să aibă în vedere funcționalitatea și nivelul de încredere oferite de măsurile de securitate implementate în hardware și software.

În situațiile prevăzute la alin. (1) lit. b) și c), DCS se stabilește în funcție de fluxul informațiilor, amenințările și vulnerabilitățile aferente interconectării și utilizatorilor celuilalt SIC în termeni de securitate sau insecuritate. Factorii determinanți în stabilirea necesității de securitate se constituie din reglementările de securitate aplicate de celălalt SIC, structura și rigoarea propriilor CSSS și nivelul de încredere obținut prin măsurile de securitate implementate în hardware și software.

Verificarea faptului că măsurile de securitate sunt implementate în conformitate cu cerințele de securitate implică efectuarea unor testări și evaluări ale securității. Scopul acestora este de a identifica eventualele discrepanțe dintre măsurile de securitate aprobate și cele implementate.

Testarea și evaluarea securității include aspectele privind managementul configurației pentru toate produsele hardware și software relevante pentru securitate.

Resursele necesare derulării procesului de testare și evaluare a securității includ personalul de testare și documentația relevantă pentru administrarea de securitate și de sistem, cum ar fi DCS, PrOpSec și datele de management al configurației.

Planul de testare și evaluare a securității trebuie să stabilească activitățile necesar a fi derulate, obiectivele fiecăreia dintre aceste activități, metoda de executare a testului și rezultatele anticipate. Rezultatele activității de testare și evaluare a securității contribuie la luarea unei decizii privind acreditarea de securitate, fiind cuprinse într-un document și prezentate AOSIC.

Activitățile de evaluare și certificare de securitate a SIC sunt parte integrantă a procedurilor de management al întregului proiect. Pentru derularea acestor activități trebuie avute în vedere atât costurile, cât și acordarea întregului sprijin necesar entităților de evaluare și certificare, inclusiv prin punerea la dispoziție a unei documentații suplimentare, care să detalieze aspectele tehnice ale DCS, conform nivelului necesar de asigurare a securității.

Responsabilitatea privind monitorizarea continuă a activităților de evaluare și certificare revine AOSIC.

În cadrul procesului de management al riscurilor se evaluează riscurile asociate configurației SIC, completate cu vulnerabilitățile identificate în timpul derulării testării și evaluării securității. Rezultatul acestei analize va fundamenta decizia privind acreditarea de securitate.

Cu ocazia reluării periodice a procesului de management al riscului de securitate trebuie efectuată o analiză a riscurilor de securitate, care să ia în considerare noile vulnerabilități și amenințări identificate și noile măsuri de securitate capabile să elimine vulnerabilitățile care nu au fost contracarate anterior, stabilind dacă riscurile reziduale se mențin la un nivel acceptabil.

Riscurile reziduale sunt asumate de către organizația care are în responsabilitate SIC.

Activitățile INFOSEC sunt derulate de-a lungul întregului ciclu de viață al SIC și trebuie corelate cu procesul de acreditare de securitate în conformitate cu precizările din anexa nr. 1.

Succesiunea etapelor în cadrul procesului de acreditare de securitate a SIC este iterativă și continuă, ca urmare a modificărilor aduse acestuia de-a lungul ciclului său de viață, schimbări care impun reluarea procesului de management al riscurilor de securitate.

Etapele principale ale procesului de acreditare de securitate a SIC sunt prezentate în următoarea figură:

Etapele procesului de acreditare de securitate

Reprezentantul legal al persoanei juridice de drept public sau privat solicită, printr-o adresă oficială transmisă la ORNISS, declanșarea procesului de acreditare de securitate a SIC pe care îl are în responsabilitate.

Cererea de acreditare de securitate a SIC va fi însoțită de următoarele precizări:

a) elemente care să susțină necesitatea de acces la informații clasificate, cum ar fi, de exemplu, o copie a hotărârii Guvernului prin care este aprobată lista proprie cuprinzând categoriile de informații secrete de stat pe niveluri de secretizare, documentație care să confirme demararea procedurilor de obținere a unui certificat de securitate industrială etc.;

b) nivelul maxim de clasificare a informațiilor care vor fi stocate, procesate sau transmise în SIC;

c) descrierea generală a SIC: scop, configurație hardware și software, amplasare, interconectare etc.;

d) modul de operare de securitate al SIC;

e) abrevierea denumirii SIC;

f) datele de contact ale personalului având responsabilități în domeniul protecției informațiilor clasificate stocate, procesate sau transmise în format electronic.

În cazul în care documentația care însoțește cererea privind acreditarea de securitate a SIC este completă, AAS inițiază demersurile de constituire a CAS și de elaborare a strategiei de acreditare de securitate. În caz contrar, ORNISS va informa solicitantul în vederea furnizării informațiilor adiționale necesare.

Directorul General al ORNISS stabilește, prin ordin, la propunerea AAS, componența CAS a SIC.

Activitatea CAS se desfășoară în conformitate cu regulamentul de organizare și funcționare aprobat de directorul general al ORNISS.

CAS elaborează strategia de acreditare de securitate prin care se stabilesc condițiile în care SIC va fi acreditat.

Strategia de acreditare de securitate este aprobată de directorul general al ORNISS și include următoarele aspecte:

a) scopul și obiectivele procesului de acreditare de securitate;

b) descrierea SIC;

c) documentația care trebuie elaborată în vederea luării deciziei privind acreditarea de securitate;

d) autoritățile și structurile implicate în procesul de acreditare de securitate și responsabilitățile acestora;

e) cerințele privind derularea procesului de management al riscului de securitate;

f) cerințele privind etapele de evaluare și certificare a securității informațiilor, resurselor și serviciilor SIC;

g) graficul activităților care trebuie desfășurate în cadrul procesului de acreditare de securitate;

h) procesele menite să asigure menținerea acreditării de securitate a SIC.

ORNISS transmite strategia de acreditare de securitate aprobată tuturor celor implicați în procesul de acreditare de securitate a SIC, în termen de maximum 30 de zile de la data înregistrării la ORNISS a documentației complete prevăzute la art. 27 alin. (2).

Raportul de analiză a riscului de securitate va fi supus unei analize de către CAS, care va transmite reprezentantului legal al persoanei juridice care are în responsabilitate SIC și entității acreditate de ORNISS, după caz, un document care are drept obiect evaluarea acestui raport sau raportul de analiză a riscului aprobat. Documentul de evaluare întocmit de ORNISS sau raportul de analiză a riscului aprobat va fi transmis în termen de maximum 30 zile de la data înregistrării raportului de analiză a riscului la ORNISS.

Raportul de analiză a riscului de securitate este:

a) asumat de reprezentantul legal al persoanei juridice care are în responsabilitate SIC;

b) dacă este cazul, asumat de reprezentantul legal al entității acreditate de ORNISS care a efectuat analiza riscului;

c) aprobat de ORNISS.

DCS se întocmește pentru toate SIC care stochează, procesează sau transmit informații clasificate.

DCS este elaborată de AOSIC, în colaborare cu toate structurile implicate în proiect, cum ar fi: structura de securitate, structura de planificare și implementare a SIC, managerul de proiect.

DCS, reprezentând acordul obligatoriu între AOSIC și AAS, se constituie într-o documentație completă și explicită a principiilor de securitate care trebuie avute în vedere și a cerințelor detaliate de securitate care trebuie îndeplinite.

În elaborarea DCS trebuie să se aibă în vedere următoarele criterii:

a) politica națională/NATO/UE de securitate, după caz;

b) rezultatele procesului de management al riscului de securitate, inclusiv parametrii impuși care se referă la mediul operațional, cum ar fi: cel mai scăzut nivel al certificatului de securitate al personalului, cel mai ridicat nivel de clasificare a informațiilor stocate, procesate sau transmise, modul de operare de securitate sau cerințele pentru utilizatori;

c) politicile de securitate ale rețelelor care se interconectează.

DCS poate fi revizuită în fiecare etapă a ciclului de viață al SIC, de la planificarea și până la scoaterea din uz a acestuia.

DCS poate fi alcătuită din unul sau mai multe documente, în funcție de natura și complexitatea SIC, astfel:

(i) CSSS - prezintă aspectele de securitate specifice fiecărui SIC;

(îi) CSC - în cazul în care comunitatea de interese este alcătuită din mai multe SIC interconectate sau când o organizație are un număr de SIC care operează în cadrul aceluiași mediu global de securitate. În plus, CSC trebuie să faciliteze însumarea unei serii bilaterale de documente cu cerințe de securitate pentru interconectarea sistemelor, denumite CSIS, și trebuie să stabilească standardele de securitate care trebuie aplicate oricărui SIC care urmează să se alăture comunității;

(iii) CSIS - prezintă aspectele de securitate ale interconectării efective între diferite SIC.

Componența DCS se stabilește prin strategia de acreditare de securitate.

În cadrul acestei etape, CAS analizează și evaluează DCS pentru a stabili dacă aceasta este elaborată în acord cu criteriile stabilite la art. 36 alin. (4). Având în vedere faptul că DCS poate fi modificată pe parcursul ciclului de viață al SIC, versiunile actualizate ale DCS vor fi transmise AAS.

CAS întocmește și transmite solicitantului un raport de analiză a DCS sau DCS aprobată, în termen de maximum 30 de zile de la data înregistrării la ORNISS a DCS.

PrOpSec reprezintă descrierea precisă a implementării cerințelor de securitate definite anterior în DCS, a procedurilor operaționale care trebuie urmate și responsabilităților personalului SIC.

PrOpSec sunt întocmite de către AOSIC, în conformitate cu normele INFOSEC emise de ORNISS și cu documentația specifică rețelelor cu care se interconectează, după caz. Acest document este înaintat către AAS pentru analiză, evaluare și aprobare.

În funcție de configurația SIC, în cadrul strategiei de acreditare de securitate a SIC se vor preciza și alte documente relevante pentru securitatea SIC, necesar a fi întocmite în susținerea procesului de acreditare.

În cadrul acestei etape, documentul privind PrOpSec este analizat și evaluat de către CAS pentru a stabili dacă cerințele de securitate sunt îndeplinite prin stabilirea corespunzătoare a procedurilor operaționale respective.

CAS întocmește și transmite solicitantului un raport de analiză a PrOpSec sau PrOpSec aprobate, în termen de maximum 30 de zile de la data înregistrării la ORNISS a PrOpSec.

Testarea și evaluarea securității este o activitate de analiză, evaluare și testare comprehensivă a măsurilor de securitate tehnice și nontehnice, operaționale și de management al securității informațiilor, resurselor și serviciilor SIC, în vederea stabilirii gradului în care măsurile satisfac cerințele de securitate stabilite prin DCS, sunt corect implementate, sunt eficiente și a gradului în care sunt respectate procedurile de securitate aprobate pentru sistem.

Testarea și evaluarea securității au rolul de a stabili măsura în care sistemul de protecție implementat îndeplinește obiectivele securității informațiilor, resurselor și serviciilor SIC.

În vederea verificării faptului dacă măsurile de securitate sunt implementate și respectate în conformitate cu cerințele de securitate, în cadrul activității de evaluare se efectuează testări privind securitatea SIC sau a componentelor sale, după caz, în baza unui plan de testare și evaluare.

Rezultatele activității de testare și evaluare a securității sunt prezentate într-un raport, care trebuie să conțină constatările verificării, să identifice deficiențele existente în implementarea măsurilor de securitate sau în asigurarea obiectivelor securității și să formuleze recomandările privind măsurile corective necesare.

Dacă în cadrul etapei de testare și evaluare a securității se identifică noi riscuri de securitate care pot afecta obiectivele securității informațiilor, resurselor și serviciilor SIC, aceste riscuri vor fi evidențiate în cadrul raportului privind testarea și evaluarea securității SIC, care va cuprinde și recomandări privind măsuri de securitate suplimentare care să conducă la reducerea acestor riscuri.

Prin strategia de acreditare de securitate a SIC se stabilesc responsabilitățile privind desfășurarea activităților de certificare privind securitatea informațiilor, resurselor și serviciilor SIC.

Certificarea securității informațiilor, resurselor și serviciilor SIC reprezintă activitatea care are drept scop verificarea rezultatelor obținute în cadrul etapei de testare și evaluare a securității informațiilor, resurselor și serviciilor SIC, precum și modalitatea în care s-a desfășurat aceasta.

În cadrul procesului de certificare, care constă într-o analiză independentă a rezultatelor obținute în urma etapei de testare și evaluare de securitate, precum și a modalității în care s-a desfășurat această activitate, trebuie să se analizeze următoarele aspecte:

a) resursele folosite în cadrul testării și evaluării de securitate, cum ar fi, timpul, banii etc.;

b) personalul care a realizat testarea și evaluarea de securitate (calificare, obiectivitate, imparțialitate etc.);

c) procesele derulate în cadrul testării și evaluării (mecanismele tehnice de evaluare, coordonarea corespunzătoare a constatărilor și recomandărilor, tehnicile și instrumentele utilizate, alocarea resurselor pentru utilizarea instrumentelor, realizarea analizelor și prezentarea concluziilor);

d) raportul privind testarea și evaluarea (recomandările și concluziile sunt corespunzătoare; activitatea de evaluare a fost concentrată pe elementele relevante; analizarea ariilor cu probleme majore de securitate; existența unor măsuri de securitate neevaluate care ar putea influența concluziile; stabilirea recomandărilor în funcție de priorități și baza pe care s-au stabilit prioritățile; vulnerabilități reziduale identificate; recomandările și opiniile sunt rezultatul unei informări corespunzătoare).

Rezultatele activității de certificare de securitate vor face obiectul unui raport.

Dacă, în urma activității de certificare, se constată deficiențe în procesul de evaluare de securitate, atunci raportul se transmite entității de evaluare de securitate în vederea remedierii acestora.

Structurile de planificare și implementare ale SIC și AOSIC au responsabilitatea să informeze ORNISS cu privire la propunerile de modificare a configurației SIC, schimbările în cerințele operaționale ale sistemului, schimbările privind nivelul de clasificare a informațiilor stocate, procesate sau transmise în SIC ori oricare alte modificări aduse sistemului.

Modificările vor fi efectuate numai după aprobarea acestora de către ORNISS.

ORNISS oferă consultanță cu privire la implicațiile pe care le pot avea asupra securității modificările propuse. În acest scop, condițiile pentru reacreditarea de securitate trebuie să fie clar definite în DCS.

În situația în care pentru un SIC care deține un certificat de acreditare de securitate există necesitatea de a stoca, de a procesa sau de a transmite informații clasificate și după termenul de valabilitate al acestuia, persoana juridică ce are în responsabilitate SIC va solicita reacreditarea de securitate a SIC.

Solicitarea prevăzută la alin. (1) va fi transmisă la ORNISS cu minimum 3 luni înainte de expirarea termenului de valabilitate a certificatului de acreditare de securitate și va cuprinde datele prevăzute la art. 27 alin. (2).