Spotykamy się dziś z człowiekiem, o którym wszyscy w Instytucie wiedzą, że istnieje, ale nikt do końca nie wie, co dokładnie robi – a jakby się przypadkowo dowiedział, to musi podpisać oświadczenie, że o tym zaraz zapomni 😉.
Naszym gościem jest Pełnomocnik dyrektora ds. ochrony informacji niejawnych w Łukasiewicz – IMiF, Andrzej Witek.
Nasze spotkanie odbywa się w szczególnym momencie – 28 stycznia obchodzimy Europejski Dzień Ochrony Danych Osobowych. To data, która przypomina nam, że informacja to dziś najcenniejsza waluta. Niech więc nie będzie dla nas tylko kolejną kartką w kalendarzu, ale okazją, by przypomnieć pracownikom Instytutu, że ochrona ich tożsamości i ochrona wyników ich badań to w gruncie rzeczy dwa filary tego samego bezpieczeństwa.
Panie Pełnomocniku, obiecuję, że nie będę pytać o najtajniejsze kody dostępu, ale czy zanim przejdziemy do konkretów, muszę zostawić swój telefon w ołowianej skrzynce, czy mogę nagrywać?
Andrzej Witek: Jestem zwolennikiem pozostawiania telefonów w skrzynce, niekoniecznie ołowianej – po prostu w skrzynce depozytowej mieszczącej się poza strefą ochronną, w której bezpieczeństwo przetwarzanych informacji jest nadrzędne nad innymi rzeczami.
„Strefa ochronna” – zabrzmiało bardzo … restrykcyjnie. Mamy takie miejsca na terenie naszego instytutu?
Andrzej Witek: Strefy ochronne to obszary wydzielone z całościowego obszaru Łukasiewicz – IMiF, w których w zależności od ich tzw. „stopnia” można przetwarzać informacje niejawne o różnej klauzuli dla poszczególnych stref – od zastrzeżonej w strefie III do tajnej lub ściśle tajnej w strefie I albo strefie specjalnie chronionej. Z reguły i co do zasady w strefach tych nie powinno się wnosić urządzeń elektronicznych nie posiadających certyfikatów bezpieczeństwa – uzyskanych od ABW lub SKW.
W pozostałych strefach pracuje mnóstwo naukowców. W końcu Łukasiewicz – IMiF to miejsce, gdzie tworzy się przyszłość – fotonika, półprzewodniki, zaawansowane technologie. Czy w takim badawczym środowisku czuje się Pan bardziej jak strażnik skarbca z najcenniejszymi polskimi patentami, czy raczej jak nawigator, który pomaga naukowcom nie zgubić się w gąszczu przepisów o ochronie tajemnic?
Andrzej Witek: Czuję się bardziej strażnikiem skarbca, ale jednocześnie chcę być przyjaznym nawigatorem dla naukowców i pozostałych współpracowników – informując ich o konieczności zadbania o informacje niejawne zgodnie z zasadami opisanymi w przepisach, w tym w ustawie o ochronie informacji niejawnych, jeśli chcą mieć pozytywny wpływ na budowanie szeroko rozumianego bezpieczeństwa państwa. W naszym instytucie są realizowane projekty, które jednoznacznie wpływają na bezpieczeństwo państwa – z dziedziny obronności, ale są również projekty spoza tej kategorii. A one z kolei powinny być traktowane jako tajemnice przedsiębiorstwa.
Z natury nauka dąży do otwartości i publikowania wyników, a pion ochrony informacji niejawnych – wręcz przeciwnie. Jak pogodzić te dwa światy, by ochrona danych nie stała się hamulcem dla innowacyjności naszych badaczy?
Andrzej Witek: Natura naturą, ale wydaje się, że nawet naukowcy (a może przede wszystkim oni) czują potrzebę nieujawniania wyników przedwcześnie, czyli „dopóki się nie upewnią”, że tych wyników im ktoś nie wykradnie, by samemu wykorzystać. Uczmy się na cudzych błędach, pamiętając historię jednej z najstarszych informacji niejawnych: o koniu trojańskim i ulokowaniu w jego wnętrzu wojowników – uzyskanie efektu zaskoczenia zmieniło przebieg wojny. Gdyby „informacja niejawna” o tym zamiarze wydostała się do przeciwnika, nie byłoby zwycięstwa, tylko gorzka porażka. Cytując klasyka: „wróg nie śpi” i zapewne będzie robił wszystko, aby zdobyć nasze cenne informacje i opublikować je pod własnym szyldem. Tak się dzieje, gdy w grę wchodzą pieniądze i sława. O wynikach prac badawczych powinno się pisać czy rozmawiać na samym końcu.
Żyjemy w erze cyfrowej, gdzie dane przesyła się w ułamku sekundy. Czy w dobie fotoniki i nowoczesnych procesorów, tradycyjna kancelaria tajna i papierowe teczki z pieczątkami to wciąż najbezpieczniejszy bastion, czy może Pana praca to już głównie walka z niewidzialnymi zagrożeniami w sieci?
Andrzej Witek: Oprócz tej tradycyjnej „papierowej kancelarii” informacje są pilnowane za pomocą programów szyfrujących w specjalnie do tego skonstruowanych niejawnych systemach teleinformatycznych. Niemniej jednak te papierowe dokumenty nie były (a przynajmniej nie powinny być) napisane na zwyczajnych komputerach, lecz na specjalnie utworzonych „niejawnych systemach teleinformatycznych” akredytowanych przez Biuro Bezpieczeństwa Teleinformatycznego Agencji Bezpieczeństwa Wewnętrznego lub Służbę Kontrwywiadu Wojskowego. Następnie wydrukowane dokumenty są przechowywane w kancelariach „tajnych” i udostępniane osobom uprawnionym do tego, które posiadają poświadczenia bezpieczeństwa osobowego lub upoważnienie do dostępu do informacji niejawnych. Osoby te muszą dawać rękojmię zachowania tajemnicy, a gdy nie dają tej rękojmi, prawo dostępu do informacji niejawnych jest im zwyczajnie odbierane.
A do tego nasz instytut współpracuje z partnerami z całego świata. Jak bardzo skomplikowane jest zabezpieczanie wspólnych projektów badawczych, szczególnie tych z obszaru obronności, gdy w grę wchodzą różne poziomy klauzul tajności między Polską a np. partnerami z NATO czy UE?
Andrzej Witek: Zabezpieczenie wspólnych projektów badawczych nie jest skomplikowane, o ile ich autorzy zadbają o ważną zasadę, z ang. „security by design” , czyli dbanie o bezpieczeństwo tej informacji od momentu jej „wypowiedzenia” lub nawet „wymyślenia”. Wyklucza to np. rozpisywanie się na mediach społecznościowych na jakiś temat wiedząc, że później zechcemy go „utajnić”. Od samego początku powinna nam przyświecać myśl, że ta informacja za kilka chwil być może stanie się informacją niejawną. Podczas współpracy z partnerami zagranicznymi dokumenty projektowe spływające do nas są oznaczone odpowiednimi klauzulami tajności – wg polskich norm, tzn. „zastrzeżone”, „poufne”, „tajne”, „ściśle tajne” lub/i klauzulami UE, albo NATO, m. in. „restricted”, „confidential”, “secret”, “top secret”. W przypadku państw spoza strefy unijnej obowiązują nas umowy o wzajemnej pomocy w zakresie wymiany informacji w trybie niejawnym – o ile zostały podpisane.
Wymogiem formalnym do prowadzenia takiej wymiany przez nasz Instytut jest posiadanie kancelarii tajnej międzynarodowej oraz nadanie stosownych uprawnień (poświadczeń bezpieczeństwa unijnych i natowskich) pracownikom, którzy realizują zadania wynikające z wzajemnej współpracy pomiędzy tymi państwami, a naszym Instytutem, a także posiadanie akredytowanych przez ABW niejawnych systemów teleinformatycznych umożliwiających przetwarzanie informacji niejawnych o właściwej klauzuli.
Dużo rozmawiamy o systemach. Wiemy jednak, że nawet najlepsze zabezpieczenia techniczne nie wystarczą, jeśli zawiedzie człowiek – najsłabsze ogniwo każdego systemu bezpieczeństwa. Czy proces sprawdzania osób, które mają mieć dostęp do informacji niejawnych, to tylko formalność, czy psychologiczny proces wywiadowczy oceniający odporność na bycie źródłem wycieku?
Andrzej Witek: To zależy. Od tego czy osoby, wobec których prowadzi się postępowanie sprawdzające, mają mieć dostęp do informacji niejawnych o klauzuli „zastrzeżonej” czy „poufnej” , albo „tajnej” czy wręcz „ściśle tajnej”. Im wyższa klauzula tajności, tym bardziej szczegółowo prowadzone jest postępowanie sprawdzające. Im niższa klauzula – tym bardziej to tylko formalność.
Postępowanie sprawdzające ma na celu ustalenie, czy osoba sprawdzana daje rękojmię zachowania tajemnicy. W toku postępowania sprawdzającego ustala się m. in. czy istnieją uzasadnione wątpliwości dotyczące: uczestnictwa, współpracy lub popierania przez osobę sprawdzaną działalności szpiegowskiej, terrorystycznej czy sabotażowej, zagrożenia osoby sprawdzanej ze strony obcych służb specjalnych w postaci prób werbunku lub nawiązania z nią kontaktu; przestrzegania porządku konstytucyjnego Rzeczypospolitej Polskiej, czy też wystąpienia związanych z osobą sprawdzaną okoliczności powodujących ryzyko jej podatności na szantaż lub wywieranie presji. W toku poszerzonego postępowania sprawdzającego ustala się ponadto czy istnieją wątpliwości dotyczące poziomu życia osoby sprawdzanej wyraźnie przewyższającego uzyskiwane przez nią dochody lub informacje o chorobie psychicznej czy uzależnieniach.
To rozbudowane procedury. Ale gdyby miał Pan przekonać młodego inżyniera, że bezpieczeństwo informacji niejawnych jest tak samo ważne jak czystość w cleanroomie, w którym codziennie pracuje, to jakiego argumentu by Pan użył?
Andrzej Witek: Powiedziałbym mu tak: w cleanroomie jeden pyłek może zniszczyć tygodnie pracy, a w obszarze informacji jeden nieostrożny mail albo rozmowa może zniweczyć lata badań. Bo dokładnie tak samo jak w cleanroomie, większość błędów bierze się nie ze złej woli, tylko z nieuwagi, pośpiechu i rutyny. Zwróciłbym też uwagę, że zasady dyskrecji obowiązują go również poza laboratorium. A ta najważniejsza: „myśl, co mówisz, a nie mów wszystkiego, co myślisz” – przyda się mu nie tylko w życiu zawodowym.
Dziękuję za rozmowę – i za coś więcej niż same odpowiedzi na pytania: za praktyczną lekcję ochrony informacji niejawnych, przemyconą między wierszami. W razie wątpliwości czy niepewnych sytuacji zachęcamy pracowników Instytutu, by zawsze kierowali się do Pełnomocnika ds. ochrony informacji niejawnych. W tym obszarze naprawdę lepiej zapytać raz za dużo niż raz za mało.
(AN)
