§ 38

[29] 1. Dokument elektroniczny oznacza się metryką, o której mowa w rozporządzeniu Prezesa Rady Ministrów z dnia 22 grudnia 2011 r. w sprawie oznaczania materiałów i umieszczania na nich klauzul tajności (Dz. U. Nr 288, poz. 1692).

2. Treść metryki dokumentu elektronicznego określają przepisy rozporządzenia, o którym mowa w ust. 1.

3. Metryka dokumentu elektronicznego stanowi jego integralną część.

4. IND w postaci dysków twardych indywidualnych oraz będących elementami macierzy dyskowych, służące do przetwarzania informacji niejawnych powinny posiadać naniesione w sposób trwały oznaczenie zawierające:

1) numer, pod którym IND jest zarejestrowany w rejestrze wydanych przedmiotów;

2) klauzulę tajności IND.

5. Na IND stanowiące macierz dyskową lub na IND w innych stanowiskach, w których nie ma dostępu do IND, numer rejestru wydanych przedmiotów umieszcza się na obudowie IND.

6. Sposób postępowania z materiałami zawierającymi informacje niejawne wykorzystywane w urządzeniach lub systemach przeznaczonych do wykonywania czynności operacyjno-rozpoznawczych, w szczególności z urządzeniami, częściami urządzeń lub IND określono w rozporządzeniu, o którym mowa w ust. 1.

7. Dopuszcza się wykorzystywanie IND przeznaczonych do utrwalania informacji niejawnych w postaci dokumentów elektronicznych przez użytkowników określonego systemu teleinformatycznego, jeżeli dokumentacja bezpieczeństwa systemu teleinformatycznego tego nie zabrania, ale tylko w niezbędnym zakresie oraz po spełnieniu, w przypadku IND typu pamięć USB lub karta pamięci, następujących warunków:

1) IND musi posiadać jednoznacznie odczytywalny numer seryjny;

2) system operacyjny jest tak skonfigurowany, iż tylko dopuszczone IND są przez niego wykrywane.

8. Dopuszcza się wykorzystanie IND do przetwarzania informacji jawnych, w systemach niejawnych, w celu realizacji niezbędnych zadań Policji po zaewidencjonowaniu ich w wykazie prowadzonym przez kierownika komórki organizacyjnej, który dla IND określonych w ust. 7 pkt 1 musi zawierać ich numer seryjny.

9. Wynoszenie lub wywożenie niejawnych IND poza strefy ochronne powinno być dozwolone jedynie pod warunkiem zastosowania certyfikowanych, kryptograficznych metod ochrony lub przez spełnienie wymagań określonych w przepisach rozporządzenia, o którym mowa w § 25 ust. 2.

10. W przypadku niejawnych IND zalecane jest szyfrowanie znajdujących się na nich informacji algorytmem AES-256 z 8-znakowym hasłem dla informacji o klauzuli niższej niż tajne i 14-znakowym hasłem w innych przypadkach.

§ 38

1. TNIN powinny posiadać:

1) etykietę, stałą lub trwale dołączoną do nośnika zawierającą naniesione w sposób trwały w szczególności poprzez ostemplowanie, nadrukowanie, naklejenie oznaczeń hologramowych lub wpisanie odręczne niezmywalnym środkiem:

a) nazwy komórki organizacyjnej,

b) numeru pod którym nośnik jest zarejestrowany w DEWMK,

c) klauzuli tajności nośnika;

2) dodatkową etykietę, zawierającą dyspozycję dla adresata w szczególności: polecenie zwrotu po wykorzystaniu, polecenie usunięcia informacji niejawnej.

2. TNIN w postaci indywidualnych dysków twardych komputera oraz TNIN będące elementami macierzy dyskowych powinny posiadać naniesione w sposób trwały oznaczenie zawierające:

1) numer pod którym nośnik jest zarejestrowany w DEWMK;

2) klauzule, tajności nośnika.

3. W DEWMK powinien być wpisany numer seryjny dysku twardego.

4. Na nośniki stanowiące macierz dyskową lub na nośniki w innych stanowiskach, w których nie ma dostępu do TNIN numer DEWMK umieszcza się na obudowie nośnika.

5. Dopuszcza się wykorzystywanie TNIN typu pendrive przez użytkowników określonego systemu teleinformatycznego, jeżeli dokumentacja bezpieczeństwa tego nie zabrania, ale tylko w niezbędnym zakresie oraz po spełnieniu następujących warunków:

1) nośnik taki musi posiadać jednoznacznie odczytywalny numer seryjny, który jest zarejestrowany w DEWMK;

2) dostęp do portów USB odbywa się tylko na dedykowanych do tego celu stanowiskach komputerowych, na których można przy użyciu odpowiedniego oprogramowania:

a) zablokować dostęp dla nieuprawnionych nośników,

b) zablokować możliwość zapisu informacji na nośnik,

c) odczytać historię podłączeń urządzeń przez port USB.

6. W celu uwierzytelnienia nośnika na stanowisku, stosuje się oprogramowanie weryfikujące nośnik po jego numerze seryjnym, w innych przypadkach administrator każdorazowo udostępnia zablokowany port na czas niezbędny dla wykonania zadania a po zakończeniu pracy ponownie blokuje do niego dostęp. Fakt odblokowywania i blokowania portu jest każdorazowo zapisywany w odpowiednim dzienniku stanowiska komputerowego.

7. Dostęp do TNIN posiadają tylko specjalnie autoryzowani użytkownicy, posiadający odblokowany port USB przez administratora na czas pracy z TNIN lub posiadający nośnik uprawniony przez oprogramowanie weryfikujące numer seryjny nośnika do pracy na danym stanowisku i wyłącznie w sytuacjach, kiedy ich użycie jest niezbędne do przetwarzania danych w systemie.

8. W czasie, gdy nie zachodzi potrzeba używania TNIN, nośnik powinien być przechowywany na zasadach ogólnych tak jak w przypadku niejawnej dokumentacji papierowej.

9. Wszystkie TNIN oznaczone klauzulą „poufne” lub wyższą, wynoszone poza strefy ochronne, należy zabezpieczyć pod względem ochrony kryptograficznej środkami posiadającymi certyfikaty jednostki certyfikującej Agencji Bezpieczeństwa Wewnętrznego lub innymi certyfikatami uznanymi przez tę jednostkę.

10. W przypadku pozostałych nośników zalecanym jest zaszyfrowanie danych programem szyfrującym z użyciem algorytmu AES–256.