Ochrona infrastruktury krytycznej to zadanie kompleksowe. Tylko holistyczne podejście zapewnia skuteczność – wszyscy znamy powiedzenie, że łańcuch jest tak silny jak jego najsłabsze ogniwo. Osoba pragnąca zaatakować obiekt lub usługę IK będzie szukać słabości ochrony i z całą pewnością nie zaatakuje tam gdzie ochrona jest najsilniejsza a tam gdzie jest najsłabsza…
Jakie reżimy ochronne wyróżniamy w ramach zapewnienia bezpieczeństwa IK?
W tym wpisie krótko scharakteryzujemy podstawowe rodzaje ochrony – inaczej zapewnienia bezpieczeństwa. Kolejne artykuły będą szczegółowo opisywać poszczególne obszary i najważniejsze rekomendacje.
Pamiętać należy, że rodzaje ochrony nierzadko się przenikają i należy uwzględniać te nakładające się obszary kompetencyjne.
Ochrona fizyczna
Ochrona fizyczna to najczęściej wymieniany rodzaj ochrony. Ma za zadanie udaremnić nieautoryzowany, fizyczny dostęp do chronionych obszarów.
Ochrona fizyczna obejmuje bezpośrednią ochronę fizyczna, rozwiązania architektoniczne oraz techniczne – w tym elektroniczne systemy wspierające a także spójne plany i procedury użycia i wzajemnej współpracy wszystkich elementów.
Ochrona fizyczna obiektów w Londynie. Na pierwszym planie płot stalowy, dalej uzbrojona bezpośrednia ochrona fizyczna, z tyłu widoczne elementy ruchomych barier. fot. autora.
Bezpośrednia ochrona fizyczna
Bezpośrednia ochrona fizyczna jest realizowana przez pracowników ochrony. Może to być zewnętrzna firma ochroniarska lub wewnętrzna jednostka organizacyjna. Główną rolę odgrywają tu Specjalistyczne Uzbrojone Formacje Ochronne – SUFO. Działają one na podstawie ustawy z dnia 22 sierpnia 1997 r. o ochronie osób i mienia (z późniejszymi zmianami). Ujednoliconą wersję ustawy można znaleźć pod linkiem: Akt prawny (sejm.gov.pl)
Procedury, wyposażenie, liczebność oraz model działania bezpośredniej ochrony fizycznej zależy od oceny ryzyka dla danego obiektu. Zawsze należy zadbać o odpowiednie wyszkolenie oraz podtrzymanie nabytych kompetencji przez załogi ochronne. Tylko kompetentny i zmotywowany ochroniarz ma szansę być skuteczny.
Architektoniczne elementy ochronne
Naturalne lub sztuczne elementy architektoniczne mogą utrudniać dostanie się do obiektu. Przykładowo wymienić tu można ukształtowanie terenu, naturalne cieki i zbiorniki wodne czy roślinność naturalną oraz sztuczne cieki i zbiorniki wodne, sztuczne nasadzenia roślinne czy elementy architektury budowlanej. Współczesne, zaawansowane i dopracowane rozwiązania ochronne powinny uwzględnić naturalne i sztuczne elementy już na etapie planowania rozwiązań ochronnych. Zaoszczędzi to czasu i funduszy a wypracowane w ten sposób rozwiązania będą skuteczniejsze, trwalsze, łatwiej serwisowalne i bardziej elastyczne.
Przykład uwzględnienia ukształtowania terenu w celach ochronnych. Zamek w Szkocji. fot. aut.
Techniczne systemy ochrony fizycznej
W ramach ochrony fizycznej stosuje się dedykowane rozwiązania zapobiegające lub utrudniające nieautoryzowanemu dostępowi. Zaimplementowane rozwiązania zależą od chronionego obiektu czy elementu. Przykładowo, spoglądając na system od zewnątrz obiektu, mogą to być: ogrodzenia, zewnętrzne ściany budynków, wewnętrzne ściany pomieszczeń i sejfy w pomieszczeniach. Otwory drzwiowe, okienne i technologiczne (np.: wentylacyjne, klimatyzacyjne, przepusty technologiczne itp.) mogą być zabezpieczone właściwymi oknami, drzwiami, klapami czy innymi elementami, odpowiednio wyposażonymi w zasuwy, zamki, kraty, folie zabezpieczające itp.
Oświetlenie
Oświetlenie jest często pomijanym w opracowaniach elementem, a jest głównym czynnikiem wspierającym bezpośrednią ochronę fizyczną, nie tylko realizowanym przez pracowników ochrony, ale także przez innych pracowników, służby państwowe (policja itp) a nawet osoby postronne.
Jest oczywiste, że niedostateczne oświetlenie sprzyja skrytym działaniom przestępczym, takim jak wandalizm, kradzieże, sabotaż, nieautoryzowany dostęp itp. a także utrudnia wykrycie sprawców.
Elektroniczne systemy wspierające
Zapewnienie bezpieczeństwa fizycznego realizuje szereg wspierających systemów elektronicznych: SSWiN, SKD oraz VSS.
SSWIN
SSWiN – System Sygnalizacji Włamania i Napadu nazywany jest popularnie systemem alarmowym. Systemy wykorzystują szereg rodzajów czujek, wrażliwych na różne rodzaje bodźców. Najczęściej spotykanymi są:
- czujki podczerwieni
- czujki mikrofalowe
- czujki akustyczne
- czujki ultradzwiekowe
- bariery podczerwieni
- wideosensory
- czujki wibracyjne
- czujki światłowodowe
- czujki wstrząsowe
- przełączniki mechaniczne magnetyczne i inne
Istotnym jest podkreślenie, że SSWiN musi być zaprojektowany i wdrożony komplementarnie do reszty elementów ochronnych, Pewność i szybkość powiadomienia centrum monitoringu, szybka i fachowa reakcja bezpośredniej ochrony fizycznej to tylko niektóre kluczowe zagadnienia, które są kluczowe dla bezpieczeństwa chronionego obiektu.
SKD
SKD – System Kontroli Dostępu znacznie ewoluował na przestrzeni lat. Od systemów opartych na klasycznych kluczach, poprzez systemy oparte o karty bezstykowe do systemów wspieranych biometrią. Implementacja określonego modelu musi być poprzedzona solidna oceną ryzyka oraz specyfiką chronionego obszaru i organizacji.
Elektroniczne systemy kontroli dostępu są obecnie szeroko rozpowszechnione w dużych i średnich organizacjach. Ułatwiają one przyznawanie, kontrolę, weryfikację i odbieranie dostępu do poszczególnych stref dostępu i pomieszczeń.
CCTV / SNW/ VSS
VSS (Video Surveilance System), CCTV (Closed Circuit Television) czy wreszcie polskobrzmiące SNW – Systemy Dozoru Wizyjnego oparte są na kamerach zbierających obraz z kontrolowanych lub nadzorowanych stref. Sygnał obrazowy zbierany i przesyłany do centrum nadzoru jest analizowany przez pracowników i / lub oprogramowanie. Współczesne systemy mogą być już wyposażone w elementy biometryczne umożliwiające identyfikację lub weryfikację osób oraz oprogramowanie do identyfikacji pojazdów.
Ochrona techniczna
Ochrona techniczna to działania mające na celu minimalizację ryzyka dla organizacji w następstwie zaburzenia realizowanych procesów technologicznych.
Narodowy Program Ochrony Infrastruktury Krytycznej z lat 2015 – 2020 wyszczególniają następujące rodzaje zapewnienia bezpieczeństwa technicznego:
- technicznego,
- pożarowego,
- chemicznego,
- transportu,
- środowiskowego,
- pracy
NPOIK z roku 2023 wprowadził dodatkową kategorię: „technologiczno – procesowe”.
Zabezpieczenie przeciwpożarowe ma kluczowe znaczenie dla ciągłości działania – szczególnie w przypadku obecności substancji łatwopalnych. fot. aut.
SSP
SSP – System sygnalizacji pożaru spełnia rolę pomocniczą w ochronie technicznej. Jako element systemu przeciwpożarowego zapewnia wczesne wykrycie pożaru. System przeciwpożarowy może także spełniać rolę automatycznego gaszenia. Konieczne jest odpowiednie dobranie parametrów i środków gaśniczych w celu zapewnienia bezpieczeństwa i skuteczności działania.
Ochrona osobowa
Zapewnienie bezpieczeństwa osobowego to wszelkie działania zmniejszające ryzyko dla IK w związku z autoryzowanym dostępem do obiektów i usług IK. Obszar ten jest związany z działaniami obszaru ochrony fizycznej.
Głównymi elementami ochrony osobowej jest weryfikacja kandydatów do pracy, nadzór nad pracownikami, odpowiednie postępowanie z odchodzącymi pracownikami. Ponadto obejmuje także nadzór nad kontrahentami i gośćmi obszarów chronionych.
Insider threat
Insider threat jest szeroko analizowanym obecnie obszarem związanym z zagrożeniem dla organizacji związanym z osobami z wewnątrz organizacji (pracownikami). Jako że osoby takie posiadają najczęściej znaczną wiedzę o organizacji oraz dostęp do kluczowych jej elementów, stanowią oni potencjalne źródło ryzyka. Odpowiednie procedury i rozwiązania bezpieczeństwa pozwalają minimalizować takie ryzyko.
Autentyczność Dokumentów
Jednym z głównych środków do zapewnienia bezpieczeństwa osobowego jest ochrona wiarygodności dokumentów. Zawiera ona zarówno zabezpieczenie dokumentów jak i weryfikacje ich autentyczności. Zabezpieczanie dokumentów odbywa się zazwyczaj na etapie ich produkcji i personalizacji. Weryfikacja autentyczności odbywa się o wiele częściej, na etapie przyznawania dostępu i wpuszczania na teren kontrolowany, w analizie dokumentów kontraktowych, na etapach rekrutacji itp.
Opis podstawowych zabezpieczeń polskich dowodów osobistych. źródło: MSWiA *
Szczegółowe opisy elementów związanych z zabezpieczeniami dokumentów znaleźć można na blogu w kategorii: „autentyczność dokumentów„.
Ochrona teleinformatyczna
Ochrona teleinformatyczna to obecnie jeden z kluczowych sposobów zapewnienia bezpieczeństwa IK. Niemal każdy segment chronionej infrastruktury jest w jakiś sposób zależny od systemów informatycznych, więc także podatny na ryzyka związane z teleinformatyką.
Ochrona teleinformatyczna skupia się na zapewnieniu, w odpowiednim do chronionego zasobu stopniu, 3 podstawowych parametrów:
- poufności
- integralności
- dostępności
Ochrona teleinformatyczna wykracza daleko poza zabezpieczenie przed cyberatakami, czy zapewnienie niezawodności działania zagrożonej błędami oprogramowania.
Najczęściej wyróżnia się 2 obszary adresowane w ochronie teleinformatycznej: IT i OT.
IT
Mianem IT w ochronie IK określa się najczęściej technologie teleinformatyczne najwyższego poziomu zawierające klasyczne systemy teleinformatyczne. Występują one obecnie u praktycznie każdego operatora infrastruktury krytycznej i realizują funkcjonalności kalkulacji, wizualizacji, powiadomienia, raportowania i inne.
OT
Określenie OT (Operational Technology), nazywane także ICS (Industrial Control Systems) oznaczają systemy teleinformatyczne bezpośrednio związane z procesami technologicznymi i przemysłowymi. Pełnią one role nadzoru, zarządzania, sterowania, regulacji, pomiaru, monitoringu oraz bezpieczeństwa. OT jest związane bezpośrednio z obszarem automatyki przemysłowej.
Przykładowo system OT może mierzyć temperaturę, pH oraz ciśnienie w reaktorze chemicznym.
Ochrona prawna
Ochrona prawna związana jest z legalnymi zagrożeniami dla infrastruktury oraz prawnymi rozwiązaniami minimalizującymi ryzyka. Główne elementy związane są z umowami, nadzorem właścicielskim, strukturą właścicielską (w tym akcjonariatem), ale także własnością oraz wpływem na istotne elementy jak budynki, grunt, media, wykorzystywane prawa autorskie itp.
* link do strony MSWiA z opisem zabezpieczeń d. o. : Informacja o systemie zabezpieczeń dowodu osobistego – Dowody osobiste – Ministerstwo Spraw Wewnętrznych i Administracji (mswia.gov.pl)