ORDIN nr. 86 din 26 septembrie 2013

a) asistarea structurilor/funcționarilor de securitate din cadrul persoanelor juridice de drept public sau privat naționale pentru asigurarea securității informațiilor clasificate stocate, procesate sau transmise prin intermediul SIC;

b) efectuarea de inspecții periodice privind măsurile de securitate pentru protecția informațiilor clasificate stocate, procesate sau transmise în SIC naționale, pentru a determina dacă aceste măsuri sunt adecvate și în conformitate cu prevederile NATO, UE și naționale în vigoare, referitoare la domeniul INFOSEC, sau care fac obiectul unor tratate, acorduri ori înțelegeri internaționale la care România este parte;

c) asigurarea pe plan național a cadrului de reglementare privind accesul la informațiile clasificate stocate, procesate sau transmise în SIC, în conformitate cu prevederile politicilor de securitate NATO, UE și naționale în vigoare, referitoare la domeniul INFOSEC, sau care fac obiectul unor tratate, acorduri ori înțelegeri internaționale la care România este parte;

d) asigurarea, prin reglementări și acreditări, a compatibilizării sistemelor naționale de protecție a informațiilor clasificate stocate, procesate sau transmise în SIC cu sisteme din statele membre NATO sau UE ori din state cu care România a încheiat tratate, acorduri sau înțelegeri.

a) acordarea de consultanță cu privire la implementarea standardelor INFOSEC autorităților operaționale ale SIC, funcționarilor/structurilor de securitate, managerilor de proiect, autorităților responsabile cu achizițiile, entităților care sprijină procesul de acreditare de securitate;

b) gestionarea procesului de acreditare de securitate pentru SIC care procesează, stochează sau transmit informații clasificate;

c) stabilirea strategiei de acreditare de securitate, care detaliază criteriile, etapele și termenele aferente procesului de acreditare de securitate. Procedurile de acreditare de securitate pot să difere în funcție de situație, dar trebuie să fie întotdeauna în conformitate cu politicile NATO, UE și naționale de securitate, precum și cu prevederile tratatelor, acordurilor sau înțelegerilor internaționale la care România este parte;

d) verificarea, evaluarea și formularea de propuneri cu privire la aprobarea documentației care susține procesul de acreditare de securitate a SIC;

e) verificarea implementării și menținerii măsurilor de securitate în cadrul SIC supuse acreditării de securitate, în principal prin inspecții periodice, desfășurate conform strategiei de acreditare de securitate;

f) formularea de propuneri care stau la baza deciziei privind acreditarea de securitate a SIC;

g) acordarea de consultanță autorităților operaționale ale SIC în ceea ce privește evaluarea riscului de securitate, reluarea periodică a procesului de management al riscului de securitate și acceptarea riscului rezidual;

h) acordarea de consultanță autorităților operaționale ale SIC și structurilor/funcționarilor de securitate în procesul de investigare a incidentelor INFOSEC, estimarea prejudiciului creat, adoptarea de măsuri corective;

i) acordarea de consultanță autorităților operaționale ale SIC cu privire la implicațiile oricăror propuneri de modificare a arhitecturii SIC, din punctul de vedere al riscurilor de securitate și al măsurilor de securitate corespunzătoare;

j) asigurarea dialogului cu alte autorități de acreditare de securitate în cazul interconectării SIC, situație în care stabilește, împreună cu aceste autorități, documentația de securitate necesară interconectării;

k) aprobarea sau, după caz, participarea la aprobarea comună a interconectării SIC;

l) gestionarea procesului de acreditare a structurilor interne INFOSEC din cadrul Autorităților desemnate de securitate, denumite în continuare ADS;

m) stabilirea modului de derulare a unor activități specifice procesului de acreditare de securitate a SIC de către structurile interne INFOSEC din cadrul ADS, acreditate de ORNISS;

n) gestionarea procesului de acreditare a entităților care sprijină procesul de acreditare de securitate a SIC;

o) păstrarea evidenței și raportarea incidentelor de securitate din SIC acreditate către structurile abilitate din cadrul NATO, UE sau către structurile prevăzute de tratatele, acordurile ori înțelegerile internaționale la care România este parte;

p) gestionarea evidenței SIC acreditate, în curs de acreditare sau cu acreditare expirată.

a) asigurarea faptului că sistemele, produsele și mecanismele criptografice utilizate pentru protecția informațiilor clasificate, altele decât cele din categoria cifrului de stat, sunt selectate, operate, utilizate și întreținute în mod adecvat;

b) coordonarea dialogului pe problematica securității comunicațiilor și a altor aspecte tehnice din domeniul INFOSEC cu structurile NATO, UE și naționale abilitate;

c) elaborarea și promovarea de politici de securitate și reglementări privind domeniul INFOSEC și monitorizarea eficienței acestora;

d) asigurarea concordanței dintre măsurile INFOSEC selectate și implementate pentru protecția informațiilor clasificate și politicile relevante care reglementează aceste măsuri;

e) coordonarea activității de formare și dezvoltare a culturii de securitate în domeniul protecției informațiilor vehiculate prin SIC;

f) aprobarea măsurilor de securitate TEMPEST aplicate pentru protecția informațiilor clasificate;

g) emiterea certificatelor de conformitate pentru produsele criptografice destinate protecției informațiilor naționale clasificate, altele decât cele din categoria cifrului de stat;

h) certificarea produselor INFOSEC destinate protecției informațiilor clasificate, altele decât cele precizate la lit. g), conform reglementărilor naționale în domeniu;

i) analizarea cauzelor provocatoare de incidente INFOSEC și gestionarea bazei de date privind vulnerabilitățile din SIC, necesară pentru evaluarea modului de realizare a managementului riscului de securitate al SIC;

j) recomandarea de măsuri de securitate care să conducă la diminuarea riscurilor de securitate identificate;

k) derularea, împreună cu AAS, de inspecții de securitate periodice sau inopinate, pentru verificarea modului de implementare și menținere a măsurilor de securitate în cadrul SIC supuse acreditării de securitate, pe întreg ciclul de viață al SIC.

a) asigurarea managementului și evidenței centralizate a materialelor criptografice;

b) verificarea modului de implementare a măsurilor de securitate criptografică în locațiile destinate păstrării și/sau utilizării materialelor criptografice;

c) asigurarea distribuirii materialelor criptografice către destinatarii finali;

d) raportarea incidentelor de securitate criptografică la ASIC, precum și la structurile specializate din cadrul NATO, UE sau prevăzute de tratatele, acordurile ori înțelegerile internaționale la care România este parte.

a) organizarea sistemelor de protecție a informațiilor clasificate în instituție;

b) organizarea și executarea auditului intern al sistemelor de securitate;

c) gestionarea, prin intermediul structurilor interne INFOSEC acreditate de ORNISS, a procesului de acreditare de securitate a SIC care stochează, procesează sau transmit informații naționale clasificate secret de stat, aflate în administrare proprie;

d) elaborarea de norme și măsuri specifice de securitate;

e) derularea periodică a procesului de management al riscului la adresa securității informațiilor clasificate procesate, stocate sau transmise prin intermediul SIC;

f) cooperarea cu ORNISS pentru asigurarea unui nivel adecvat de protecție a informațiilor clasificate, în conformitate cu prevederile legislației naționale, ale standardelor NATO și UE în domeniu, precum și ale tratatelor, acordurilor sau înțelegerilor internaționale la care România este parte.

a) elaborarea normelor interne privind protecția informațiilor clasificate, care trebuie să includă și prevederi referitoare la domeniul INFOSEC;

b) coordonarea activității interne de protecție a informațiilor clasificate în toate componentele acesteia, care includ și domeniul INFOSEC;

c) asigurarea relaționării cu agențiile din cadrul ORNISS abilitate să coordoneze activitatea în domeniul INFOSEC și asigurarea controlului măsurilor referitoare la protecția informațiilor clasificate vehiculate în SIC;

d) monitorizarea internă privind aplicarea normelor de protecție a informațiilor clasificate vehiculate în SIC și a modului de respectare a acestora;

e) asigurarea consultanței pentru conducerea organizației din care face parte în domeniul securității informațiilor clasificate;

f) informarea conducerii organizației din care face parte cu privire la riscurile de securitate asociate SIC și propunerea de măsuri pentru diminuarea acestora;

g) organizarea de programe de pregătire specifică a persoanelor care au acces la informații clasificate, care să includă și problematica specifică domeniului INFOSEC;

h) efectuarea de controale privind modul de aplicare a măsurilor de protecție a informațiilor clasificate care includ și domeniul INFOSEC;

i) stabilirea autorității operaționale a SIC care răspunde de implementarea și exploatarea operațională a SIC din organizația în cadrul căreia își desfășoară activitatea.

(1) Principalele responsabilități ale AOSIC sunt următoarele:

a) elaborarea și actualizarea documentației de securitate aferente procesului de acreditare de securitate a SIC din responsabilitatea sa;

b) propunerea de măsuri INFOSEC în vederea implementării acestora în SIC din responsabilitatea sa, în cooperare cu structura de planificare a SIC, și asigurarea faptului că măsurile INFOSEC sunt implementate și menținute;

c) stabilirea, încă de la începutul ciclului de viață a sistemului, a resurselor necesare aplicării standardelor INFOSEC;

d) participarea la selectarea și testarea măsurilor de securitate asociate SIC din responsabilitate și supravegherea punerii lor în aplicare, pentru a se asigura că instalarea, configurarea, exploatarea și întreținerea acestora se realizează în conformitate cu documentația de securitate aprobată;

e) asigurarea formării și dezvoltării culturii de securitate în domeniul protecției informațiilor vehiculate prin SIC;

f) asigurarea derulării eficiente a procesului de acreditare de securitate a SIC; solicitarea reacreditării de securitate, în conformitate cu cerințele stabilite de către AAS;

g) asigurarea implementării și menținerii măsurilor de securitate asociate SIC în conformitate cu documentația de securitate aprobată;

h) verificarea periodică a implementării și menținerii măsurilor de securitate asociate SIC, pentru a se asigura că acestea sunt în conformitate cu documentația de securitate aprobată;

i) investigarea cazurilor de încălcare sau a celor în care se suspectează încălcarea măsurilor de securitate, evaluarea prejudiciului cauzat și raportarea concluziilor către structura de planificare a SIC și către AAS;

j) asigurarea managementului materialului criptografic și asigurarea custodiei elementelor criptografice și celor controlate și, dacă este cazul, asigurarea generării variabilelor criptografice.

(2) În funcție de complexitatea SIC, AOSIC poate conține, pe lângă administratorul de securitate al SIC și administratorul de sistem, și alte persoane, cum ar fi administratorul de securitate al componentei de comunicații a SIC, administratori de securitate pentru zonele terminalelor SIC etc., care pot avea atribuții similare cu cele ale administratorului de securitate al SIC, corespunzătoare domeniului lor de responsabilitate.

(3) AOSIC asigură controlul și evidența activităților desfășurate de utilizatorii SIC. În cazul în care SIC este interconectat cu alte SIC aflate sub controlul altor AOSIC, aceasta trebuie să colaboreze cu celelalte AOSIC pentru a se asigura că securitatea SIC propriu nu este afectată.

(4) În cazul interconectării mai multor SIC, trebuie încheiat un acord oficial între AOSIC implicate, acord care să stabilească limitele de responsabilitate ale fiecărei părți, cerințele de securitate și cerințele privind acreditarea de securitate pentru fiecare dintre SIC interconectate.

(1) Structura de planificare a SIC răspunde de planificarea, la nivelul organizației, a întregii activități referitoare la un SIC, de exemplu durata etapelor, resursele financiare, resursele materiale și resursele umane necesare asigurării securității SIC, pe durata întregului ciclu de viață a acestuia.

(2) Responsabilitățile structurii de planificare a SIC referitoare la domeniul INFOSEC, corespunzătoare fiecărei etape a ciclului de viață a unui SIC, sunt cele specificate în Directiva principală privind domeniul INFOSEC - INFOSEC 2, aprobată prin Ordinul directorului general al Oficiului Registrului Național al Informațiilor Secrete de Stat nr. 483/2003.

(1) Atribuțiile administratorului de securitate al SIC trebuie să includă următoarele:

a) elaborarea și actualizarea documentației de securitate a SIC din responsabilitate și asigurarea diseminării acesteia către ceilalți administratori ai sistemului și către utilizatori, în părțile care îi privesc;

b) păstrarea evidenței privind luarea la cunoștință de către administratorii și utilizatorii SIC a documentației de securitate;

c) asigurarea formării și dezvoltării culturii de securitate în domeniul protecției informațiilor vehiculate prin SIC pentru administratorii și utilizatorii SIC. Acest proces este periodic și poate fi realizat în următoarele moduri:

d) menținerea evidenței persoanelor autorizate să utilizeze SIC, a autorizațiilor/certificatelor de acces la informații clasificate deținute de acestea, a necesității de a cunoaște informațiile stocate, procesate sau transmise prin intermediul SIC;

e) controlarea și emiterea de parole sau alte elemente ale sistemului de control al accesului și asigurarea faptului că administratorii și utilizatorii gestionează în mod adecvat aceste elemente;

f) verificarea implementării și menținerii măsurilor de securitate aprobate pentru componentele hardware, firmware și software ale SIC, pentru a se asigura că acestea sunt în conformitate cu documentația aprobată;

g) asigurarea aplicării corecte a măsurilor de securitate a transmisiei, emisiei și criptografice, inclusiv a celor referitoare la gestionarea, întreținerea și protecția materialului criptografic conform reglementărilor în vigoare;

h) asigurarea gestionării adecvate a mediilor de stocare ale SIC;

i) asigurarea faptului că mediile de stocare conținând informații clasificate sunt utilizate numai în SIC acreditate în mod corespunzător;

j) executarea, la intervale stabilite, a unor verificări prin sondaj privind existența fizică a mediilor de stocare clasificate și corectitudinea marcării acestora, precum și păstrarea unei evidențe a verificărilor efectuate;

k) verificarea faptului că mediile de stocare sunt declasificate prin mecanisme aprobate;

l) verificarea informațiilor de audit privind activitățile utilizatorilor;

m) verificarea și testarea copiilor de siguranță (back-up), precum și a altor elemente relevante pentru restaurarea sistemului;

n) gestionarea aspectelor de management al configurației din perspectiva modificărilor relevante pentru securitate și a documentelor asociate;

o) raportarea către AOSIC a oricăror incidente/suspiciuni de incidente/prejudicii/vulnerabilități/anomalii în ceea ce privește securitatea SIC;

p) asigurarea implementării și menținerii măsurilor de securitate aplicate locațiilor în care sunt instalate elementele componente ale SIC;

q) acordarea de consultanță celorlalți administratori și utilizatorilor SIC;

r) asigurarea faptului că activitățile de întreținere a SIC se efectuează fără a fi afectată securitatea acestuia;

s) participarea, împreună cu AAS și ceilalți membri ai AOSIC, la investigarea cazurilor de încălcare a securității sau a încercărilor de încălcare a securității SIC, care privesc informațiile clasificate.

(2) În cazul în care administratorul de securitate are drepturi de administrare depline, acesta trebuie să dețină certificat de securitate sau autorizație de acces la informații clasificate de nivel superior nivelului de clasificare a informațiilor procesate, stocate ori transmise în SIC.

(1) Principalele responsabilități ale administratorului de sistem sunt următoarele:

a) implementarea măsurilor de securitate aplicabile configurației hardware și software, activitate realizată sub coordonarea administratorului de securitate;

b) crearea/blocarea/dezactivarea conturilor;

c) implementarea modificărilor și îmbunătățirilor configurației SIC, astfel încât obiectivele securității SIC să nu fie afectate;

d) asigurarea utilizării echipamentelor SIC în condiții optime;

e) gestionarea și repartizarea capacităților hardware și software;

f) asigurarea întreținerii și reparării echipamentelor SIC;

g) actualizarea evidențelor privind funcționarea SIC;

h) raportarea către AOSIC a oricăror incidente/suspiciuni de incidente/prejudicii/vulnerabilități/anomalii în ceea ce privește funcționarea sistemului.

(2) În cazul în care administratorul de sistem are drepturi de administrare depline, acesta trebuie să dețină certificat de securitate sau autorizație de acces la informații clasificate de nivel superior nivelului de clasificare a informațiilor procesate, stocate ori transmise în SIC.

a) participarea la elaborarea și actualizarea documentației de securitate, potrivit domeniului său de responsabilitate;

b) acordarea de consultanță pentru AOSIC și utilizatorii SIC privind securitatea echipamentelor de comunicații ale SIC;

c) garantarea faptului că întregul personal care are acces la echipamentele de comunicații ale SIC deține certificat de securitate corespunzător, cunoaște regulile de securitate locală și este supravegheat pe durata desfășurării activității;

d) păstrarea evidenței tuturor persoanelor autorizate să utilizeze echipamentele de comunicații ale SIC și a punctelor de unde pot să le utilizeze;

e) garantarea faptului că în cadrul SIC se asigură:

f) participarea la pregătirea și finalizarea acordurilor privind interconectarea SIC din punctul de vedere al securității echipamentelor de comunicații ale SIC;

g) asigurarea implementării modificărilor și îmbunătățirilor hardware, firmware și software ale echipamentelor de comunicații ale SIC, în scopul asigurării faptului că obiectivele securității SIC nu sunt afectate;

h) păstrarea evidenței înlocuirilor, modificărilor și defectelor hardware, firmware și software ale echipamentelor de comunicații și analizarea periodică a evidenței acestora;

i) asigurarea faptului că activitățile de întreținere a echipamentelor de comunicații ale SIC se efectuează fără a fi afectată securitatea acestora;

j) păstrarea și analizarea jurnalelor privind funcționarea echipamentelor de comunicații ale SIC. Aceste jurnale trebuie să conțină suficiente detalii privind activitățile SIC care să permită reconstituirea istoricului evenimentelor, inclusiv monitorizarea și înregistrarea activităților (ora și data) care afectează securitatea echipamentelor de comunicații ale SIC;

k) realizarea și gestionarea adecvată a copiilor de siguranță (back-up) aferente echipamentelor de comunicații ale SIC;

l) monitorizarea aspectelor privind managementul configurației, referitoare la schimbările hardware, firmware sau software, precum și ale documentației asociate, care pot afecta securitatea echipamentelor de comunicații ale SIC;

m) raportarea către AOSIC a oricăror incidente/suspiciuni de incidente/prejudicii/vulnerabilități/anomalii în ceea ce privește securitatea comunicațiilor;

n) participarea, împreună cu AAS și ceilalți membri ai AOSIC, la investigarea cazurilor de încălcare sau a încercărilor de încălcare a securității echipamentelor de comunicații ale SIC;

o) păstrarea legăturii cu AAS, prin intermediul AOSIC, privind toate aspectele referitoare la securitatea echipamentelor de comunicații ale SIC.

a) acordarea de consultanță structurii de planificare a SIC, managerului de proiect și AOSIC privind măsurile de securitate a emisiilor (TEMPEST) necesar a fi aplicate și criteriile de selectare și instalare a echipamentelor SIC în locațiile acestuia;

b) gestionarea proceselor de implementare a măsurilor de securitate a emisiilor (TEMPEST), a procesului de zonare a locațiilor în care urmează să fie instalate echipamentele sistemului și a procesului de selectare, evaluare, certificare și instalare a echipamentelor TEMPEST;

c) executarea de verificări periodice în scopul asigurării faptului că nu au fost instalate echipamente și dispozitive neautorizate sau că echipamentele SIC nu au fost supuse încercărilor de acces neautorizat;

d) asigurarea măsurilor de securitate fizică în vederea contracarării unor fenomene electromagnetice, de exemplu: ecranare prin panouri/paravane/armătură, EMI/EMP, bariere RFI (garnituri/manșoane RFI), sigilii etc.;

e) asigurarea faptului că echipamentele utilizate temporar, pe durata unor activități specifice, nu încalcă regulile de securitate a emisiilor existente și nu perturbă funcționarea celorlalte echipamente permanente ale SIC;

f) păstrarea evidenței tuturor derogărilor de la măsurile TEMPEST care au fost aprobate pentru SIC;

g) păstrarea evidenței tuturor echipamentelor protejate TEMPEST implementate în sistem, evidență care să includă sigiliile TEMPEST aplicate și valabilitatea certificatului fiecărui echipament.

a) participarea la elaborarea și actualizarea documentației de securitate, potrivit domeniului său de responsabilitate;

b) asigurarea implementării și menținerii măsurilor de securitate a transmisiilor;

c) acordarea de consultanță pentru AOSIC și utilizatorii SIC referitoare la aspecte de securitate a transmisiilor;

d) elaborarea rapoartelor referitoare la securitatea transmisiilor;

e) prezentarea/expunerea problemelor de specialitate în cadrul pregătirii/instruirii personalului SIC;

f) raportarea către AOSIC a oricăror incidente/suspiciuni de incidente/prejudicii/vulnerabilități/anomalii în ceea ce privește securitatea transmisiilor.

a) asigurarea nemijlocită a managementului și controlului materialului criptografic pe care îl are în custodie (înregistrat în evidențele sale);

b) asigurarea primirii, verificării, păstrării, transferului, protecției și distrugerii materialului criptografic, păstrarea și actualizarea evidenței rapoartelor referitoare la materialul criptografic din custodia sa, în conformitate cu prevederile instrucțiunilor în vigoare pentru domeniul criptografic;

c) aplicarea procedurilor de folosire a materialului criptografic;

d) realizarea periodică a inventarierii materialului criptografic;

e) distrugerea materialul criptografic;

f) asigurarea faptului că materialul criptografic este pus numai la dispoziția persoanelor autorizate corespunzător, ale căror sarcini de serviciu implică accesul la acesta. Administratorul CRIPTO le va face cunoscută obligația de a proteja materialul pe perioada de timp cât se află în posesia acestora;

g) raportarea către ADMC a tuturor aspectelor referitoare la încălcarea sau încercările de încălcare a securității criptografice (probabile, posibile sau efective), care au legătură cu gestionarea materialului criptografic în conformitate cu prevederile legale în vigoare.

a) cunoașterea activității zilnice specifice, pentru a fi în măsură să preia și să își asume responsabilitățile administratorului CRIPTO atunci când este cazul, fără a provoca întreruperi în activitatea criptografică;

b) îndeplinirea tuturor responsabilităților administratorului CRIPTO pe perioada absenței acestuia.

a) participarea la elaborarea și actualizarea documentației de securitate, potrivit domeniului său de responsabilitate;

b) monitorizarea permanentă a tuturor aspectelor privind securitatea fizică specifice SIC;

c) implementarea și menținerea măsurilor de securitate fizică, aprobate prin documentația de securitate a SIC;

d) asigurarea accesului în locațiile SIC numai pentru personalul autorizat;

e) păstrarea și actualizarea evidenței tuturor persoanelor care au autorizație de acces în locațiile SIC;

f) aplicarea măsurilor adecvate de control al accesului în obiectivul SIC, controlarea și/sau furnizarea elementelor de identificare a personalului referitoare la accesul în locațiile SIC;

g) asigurarea implementării, testării și întreținerii sistemului de securitate fizică aferent locațiilor SIC;

h) păstrarea evidenței evenimentelor referitoare la securitatea fizică a SIC;

i) supravegherea modului de efectuare a oricăror modificări care privesc securitatea fizică a locațiilor SIC;

j) asigurarea faptului că întregul personal al SIC își cunoaște responsabilitățile cu privire la securitatea fizică a locațiilor SIC;

k) asigurarea faptului că evidențele și înregistrările conținând informații referitoare la acces și controlul accesului în locațiile SIC sunt păstrate și consultate în conformitate cu prevederile documentației de securitate;

l) asigurarea verificării periodice a modului de acțiune în situații de urgență;

m) asigurarea instruirii și pregătirii corespunzătoare a administratorilor de securitate ai zonei terminalelor, conform domeniului său de competență;

n) raportarea către AOSIC a oricăror incidente/suspiciuni de incidente/prejudicii/vulnerabilități/anomalii în sistemul de securitate fizică al SIC.

a) implementarea politicii de securitate a SIC în zona de care răspunde;

b) aplicarea măsurilor de securitate specifice terminalelor și celorlalte echipamente aferente aflate în zona sa de responsabilitate;

c) raportarea către AOSIC a oricăror incidente/suspiciuni de incidente/prejudicii/vulnerabilități/anomalii privind zona sa de responsabilitate.

a) însușirea și respectarea procedurilor de securitate;

b) raportarea imediată către administratorul de securitate al SIC a oricăror incidente/suspiciuni de incidente/prejudicii/vulnerabilități/anomalii privind SIC.