La tutela delle informazioni classificate non ammette improvvisazioni.

I termini descrivono i requisiti per il trattamento di informazioni classificate al livello corrispondente. Per la pianificazione tecnica, tuttavia, occorre stabilire con precisione quali informazioni vengono trattate e in quali punti. Il lavoro mobile, gli archivi condivisi e i supporti dati pongono requisiti diversi a una soluzione di cifratura. Per questo il caso d'uso viene descritto insieme prima della scelta del prodotto. I responsabili della sicurezza competenti vengono coinvolti tempestivamente, affinché le ipotesi tecniche corrispondano alle prescrizioni del committente.

Un generico «livello NATO» è troppo impreciso per un'offerta concreta. L'ambito di servizio qui descritto riguarda NATO RESTRICTED e i casi d'uso adeguati a tale livello. Da questo non deriva alcun impegno generale per classificazioni superiori. Anche un'omologazione nazionale non viene trasferita ad altro contesto senza una verifica. Nel progetto si stabilisce quali approvazioni sono necessarie e quale documentazione richiedono. Questa precisione rende verificabili l'offerta, l'attuazione e il successivo collaudo.

Un prodotto omologato porta con sé un ambito di validità definito. La versione del prodotto, la piattaforma e le relative condizioni d'impiego fanno parte della scelta. La semplice indicazione di un produttore o di un algoritmo di cifratura non è quindi sufficiente per un giudizio sull'idoneità. OTOKO® supporta la verifica della soluzione concreta rispetto alla configurazione prevista e la preparazione delle procedure operative necessarie. La verifica della documentazione di omologazione resta vincolante prima dell'impiego in produzione.

L'ambiente comprende inoltre dispositivi, utenti, amministrazione e canali di comunicazione. Gestione delle chiavi, ripristino e manutenzione devono essere coerenti con la protezione prevista. Un aggiornamento successivo o una modalità operativa modificata può quindi rendere necessaria una nuova valutazione. Il passaggio di consegne documenta lo stato concordato e i punti aperti. Non sostituisce l'approvazione relativa al progetto da parte degli organi competenti, ma fornisce le basi tecniche e organizzative necessarie a tale scopo nell'ambito dell'incarico.

Il controllo di sicurezza ampliato con accertamenti di sicurezza ai sensi del § 10 SÜG riguarda le persone e determinate attività sensibili per la sicurezza. Non è un livello di sicurezza tecnico per un disco, un software o un cloud. Se un incarico richiede tali requisiti, questi vengono chiariti per il personale effettivamente impiegato e per gli accessi previsti. L'ambito del progetto deve inoltre corrispondere alle attività e ai canali informativi ammessi. Un controllo del personale non sostituisce né l'omologazione del prodotto né l'approvazione del sistema.

Per il primo scambio è sufficiente una descrizione non classificata del compito e del supporto necessario. I documenti classificati non vanno inseriti in un modulo di contatto generico, né in servizi di scansione pubblici o in canali di comunicazione non concordati. Non appena la collaborazione diventa concreta, definiamo insieme referenti e canali ammessi. Questo permette anche alle aziende più piccole di preparare un progetto in modo ordinato: i requisiti derivano dal progetto e non dalle dimensioni dell'organizzazione o da una generica etichetta di ambiente militare.