Ochrona informacji niejawnych nie znosi improwizacji.

Pojęcia te opisują wymagania dotyczące postępowania z odpowiednio sklasyfikowanymi informacjami. Na potrzeby planowania technicznego trzeba jednak dokładniej ustalić, jakie informacje są przetwarzane i w jakich miejscach. Praca mobilna, wspólne repozytoria i nośniki danych stawiają rozwiązaniu szyfrującemu różne wymagania. Dlatego przed wyborem produktu wspólnie opisujemy przypadek zastosowania. Właściwe osoby odpowiedzialne za bezpieczeństwo są włączane na wczesnym etapie, aby założenia techniczne odpowiadały wymogom zamawiającego.

Samo określenie „poziom NATO” jest zbyt nieprecyzyjne dla konkretnej oferty. Opisany tu zakres usług odnosi się do NATO RESTRICTED i odpowiednich dla niego przypadków zastosowania. Nie wynika z tego żadne ogólne zapewnienie dotyczące wyższych klasyfikacji. Również krajowe dopuszczenie nie jest bez weryfikacji przenoszone na inne ramy. Jakie zatwierdzenia są potrzebne i jaka dokumentacja jest do tego wymagana, ustala się w ramach projektu. Dzięki tej precyzji oferta, realizacja i późniejszy odbiór są możliwe do prześledzenia.

Dopuszczony produkt ma zdefiniowany zakres obowiązywania. Wersja produktu, platforma i związane z nimi warunki użycia są częścią wyboru. Samo wskazanie producenta lub algorytmu szyfrowania nie wystarcza więc do oceny przydatności. OTOKO® pomaga sprawdzić konkretne rozwiązanie względem planowanej konfiguracji oraz przygotować wymagane procedury eksploatacyjne. Przed wdrożeniem produkcyjnym weryfikacja dokumentacji dopuszczenia pozostaje obowiązkowa.

Środowisko obejmuje ponadto urządzenia, użytkowników, administrację i kanały komunikacji. Zarządzanie kluczami, odzyskiwanie danych i utrzymanie muszą być zgodne z przewidzianym poziomem ochrony. Dlatego późniejsza aktualizacja lub zmiana trybu eksploatacji może wymagać ponownej oceny. Przekazanie dokumentuje uzgodniony stan oraz otwarte punkty. Nie zastępuje ono zatwierdzenia projektu przez właściwe podmioty, lecz zapewnia potrzebne do tego podstawy techniczne i organizacyjne w ramach zleconego zakresu.

Rozszerzone postępowanie sprawdzające z czynnościami sprawdzającymi zgodnie z § 10 SÜG dotyczy osób i określonych czynności istotnych dla bezpieczeństwa. Nie jest to techniczny poziom bezpieczeństwa dysku, oprogramowania czy chmury. Jeśli zlecenie wymaga spełnienia takich warunków, wyjaśniamy je dla konkretnie zaangażowanego personelu i przewidzianych dostępów. Zakres projektu musi ponadto być zgodny z dopuszczonymi czynnościami i ścieżkami przekazywania informacji. Postępowanie sprawdzające wobec osób nie zastępuje ani dopuszczenia produktu, ani zatwierdzenia systemu.

Do pierwszego kontaktu wystarczy jawny opis zadania i potrzebnego wsparcia. Dokumenty niejawne nie powinny trafiać do ogólnego formularza kontaktowego, publicznych usług skanowania ani nieuzgodnionych kanałów komunikacji. Gdy współpraca nabiera konkretnego charakteru, uzgadniamy osoby kontaktowe i dopuszczone sposoby przekazywania informacji. Dzięki temu również mniejsze firmy mogą przygotować przedsięwzięcie w uporządkowany sposób: wymagania wynikają z projektu, a nie z wielkości organizacji lub ogólnego zakwalifikowania go jako środowiska wojskowego.