Normele din 31 ianuarie 2006

Măsurile de protecție fizică trebuie completate cu măsuri de securitate a personalului, de securitate a informațiilor și INFOSEC.

Stabilirea celor mai eficiente metode de contracarare a amenințărilor și de compensare a vulnerabilităților printr-o combinație a măsurilor protective din domeniile prevăzute la alin. (1) se realizează printr-un management corespunzător al riscurilor de securitate.

Informațiile cu nivelul de clasificare UE CONFIDENTIEL sau superior se gestionează numai în interiorul unei zone de securitate.

Zona de securitate reprezintă perimetrul delimitat, amenajat și protejat, special destinat gestionării informațiilor UE clasificate, care trebuie să corespundă uneia dintre următoarele categorii:

a) zona de securitate clasa I, organizată astfel încât intrarea unei persoane într-o asemenea zonă permite accesul direct la orice informații UE clasificate gestionate aici, ca urmare a modului specific de păstrare a acestora (expuse la vedere pe rafturi, afișate pe pereți etc.) și care presupune:

(i) controlul tuturor intrărilor și ieșirilor;

(îi) un sistem de control al intrării care să permită accesul doar acelor persoane care au certificarea de securitate corespunzătoare și sunt special autorizate să între într-o asemenea zonă;

(iii) specificarea nivelurilor de clasificare ale informațiilor UE gestionate aici;

b) zona de securitate clasa II, organizată astfel încât o persoană prezentă într-o asemenea zonă are acces exclusiv la informațiile UE clasificate pentru care este autorizată, ca urmare a modului specific de păstrare a acestora și care presupune:

(i) controlul tuturor intrărilor și ieșirilor;

(îi) un sistem de control al intrării care să permită accesul neînsoțit doar acelor persoane care au certificare de securitate corespunzătoare și sunt special autorizate să între într-o asemenea zonă. Pentru toate celelalte persoane trebuie să existe reguli de însoțire pentru a se preveni accesul neautorizat la informații UE clasificate.

În jurul zonelor de securitate poate fi stabilită o zonă administrativă. O asemenea zonă implică un perimetru vizibil delimitat, în cadrul căruia sunt create condiții pentru controlul persoanelor și al vehiculelor.

Informațiile UE clasificate gestionate în zona administrativă vor avea cel mult nivelul de clasificare RESTREINT UE.

Pentru eficientizarea sistemelor de pază și apărare împotriva pătrunderii neautorizate pot fi utilizate măsuri de securitate fizică specifice (gardul de perimetru, sisteme de detectare a intruziunilor - SDI, iluminat, televiziune cu circuit închis - TVCI).

În cazurile în care acest lucru este posibil, zona ce trebuie protejată va fi delimitată de un gard de perimetru.

Porțile de acces permanent trebuie să ofere cel puțin același nivel de protecție ca și gardul; celelalte porți vor fi încuiate și asigurate.

Controlul accesului personalului permanent în zonele de securitate se efectuează de personal de pază sau prin sisteme electronice, avându-se în vedere următoarele:

a) accesul fiecărui angajat se realizează prin locuri anume stabilite, pe baza permisului de acces;

b) permisul de acces nu va specifică în clar identitatea organizației emitente sau locul în care deținătorul are acces;

c) permisele de acces care acordă accesul fără escortă în interiorul zonelor de securitate în care sunt manipulate sau depozitate informații UE clasificate se emit numai persoanelor care au certificare de securitate corespunzătoare; cererea pentru acces în zonă trebuie să fie bine întemeiată și bazată pe principiul "nevoia de a cunoaște".

La nivelul fiecărei persoane juridice care gestionează informații UE clasificate se pot stabili reguli suplimentare proprii privind accesul, cu respectarea prezentelor cerințe minime.

Pentru accesul angajaților agenților economici contractanți care efectuează lucrări de construcții, reparații și întreținere a clădirilor, instalațiilor sau utilităților în zonele de securitate, conducătorii instituțiilor beneficiare vor elibera, pe baza actelor de identitate, la solicitarea reprezentanților autorizați ai agenților în cauză, documente de acces temporar.

Documentul de acces temporar este valabil doar pe durata executării lucrărilor și se restituie emitentului la terminarea acestora.

Sarcinile personalului permanent de pază, precum și necesitatea și frecvența patrulărilor vor fi stabilite în funcție de nivelul riscului și de celelalte sisteme sau echipamente de securitate instalate.

În incintele în care nu se lucrează 24 de ore din 24, intervalul de timp dintre patrulările efectuate în afara orelor de program nu va depăși două ore.

Personalul de pază va primi instrucțiuni scrise cu privire la modul de îndeplinire a atribuțiilor specifice în cadrul instituției respective și va fi înarmat, respectându-se legislația în vigoare.

Personalul de pază care asigură paza incintelor în care sunt gestionate informațiile UE clasificate trebuie să dețină certificare de securitate corespunzătoare informațiilor gestionate în zona în care poate avea acces pentru îndeplinirea atribuțiilor ce îi revin.

Informațiile UE clasificate se păstrează în încăperi speciale de securitate și/sau containere speciale ori mobilier de birou.

Dispozițiile Ordinului directorului general al Oficiului Registrului Național al Informațiilor Secrete de Stat nr. 475/2005 privind aprobarea Cerințelor minime de securitate fizică pentru încăperile speciale de securitate destinate protecției informațiilor NATO clasificate și a celor echivalente, potrivit legii, publicat în Monitorul Oficial al României, Partea I, nr. 1.035 din 22 noiembrie 2005, se aplică în mod corespunzător și în privința încăperilor speciale de securitate destinate protecției informațiilor UE clasificate.

Containerele speciale se clasifică astfel:

a) clasa A, containere autorizate la nivel național pentru depozitarea informațiilor TRES SECRET UE/UE TOP SECRET în zone de securitate clasa I sau clasa II;

b) clasa B, containere autorizate la nivel național pentru depozitarea informațiilor SECRET UE și CONFIDENTIEL UE în zone de securitate clasa I sau clasa II;

c) clasa C, mobilier de birou adecvat numai pentru depozitarea informațiilor RESTREINT UE.

Combinațiile cifrului și cheile de la containerele și încăperile speciale de securitate trebuie protejate adecvat pentru a se evita intrarea acestora în posesia unor persoane neautorizate.

Cheile de la containerele și încăperile de securitate se păstrează într-o zonă de securitate.

Cheile de rezervă se păstrează de către șeful structurii/funcționarul de securitate, care trebuie să țină evidența utilizării acestora. Ele se introduc în unul sau în mai multe plicuri mate, care se sigilează și se păstrează într-un container de securitate prevăzut cu încuietoare cu cifru.

În cadrul zonelor de securitate pot fi stabilite zone sigure din punct de vedere tehnic.

Aceste zone vor fi ținute încuiate atunci când nu sunt ocupate, iar toate cheile vor fi considerate chei de securitate.

Zonele sigure din punct de vedere tehnic vor fi inspectate periodic sau în urma unei intrări neautorizate ori atunci când există suspiciuni privind o intrare neautorizată.

Toate încăperile în care se gestionează sau în care este posibil accesul la informații UE clasificate vehiculate prin sisteme informatice și de comunicații (SIC) trebuie să se afle într-o zonă de securitate.

Toate SIC sau alte medii de gestionare similare (servere, sisteme de rețea etc.) în care se gestionează informații UE clasificate se instalează în încăperi speciale de securitate, în conformitate cu nivelul de clasificare al informațiilor și cu nevoile specifice de protecție a acestora.

Măsurile de protecție a informațiilor UE clasificate gestionate în SIC se stabilesc prin proceduri INFOSEC.

La nivelul persoanelor juridice care gestionează informații UE clasificate se întocmește Planul de securitate fizică, ce va cuprinde descrierea tuturor măsurilor de securitate fizică implementate pentru protecția acestor informații, structurat astfel:

a) delimitarea, marcarea și configurația zonelor de securitate;

b) sistemul de pază și apărare;

c) sistemul de avertizare și alarmare;

d) controlul accesului, al cheilor și combinațiilor de cifru;

e) modul de acțiune în situații de urgență;

f) modul de raportare, investigare și evidență a încălcării măsurilor de securitate;

g) responsabilitățile și modul de implementare a măsurilor de pregătire și instruire pe linie de securitate fizică;

h) responsabilitățile și modalitățile de realizare a verificărilor, inspecțiilor și controalelor sistemului de securitate;

i) măsuri suplimentare de protecție fizică.

În cazul în care la nivelul persoanei juridice există un plan de securitate al obiectivului pentru protecția informațiilor clasificate, elaborat și implementat conform legislației în vigoare, acesta va fi completat în mod corespunzător cu măsurile de securitate fizică specifice pentru protecția informațiilor UE clasificate.