Poświadczenia bezpieczeństwa stanowią jedno z najbardziej namacalnych ograniczeń odróżniających tworzenie oprogramowania obronnego od komercyjnego. W przypadku projektu komercyjnego dostawca gromadzi najzdolniejszy dostępny zespół i rozpoczyna pracę. W przypadku tajnego programu obronnego skład zespołu jest ograniczony do osób posiadających lub mogących uzyskać poziom poświadczenia wymagany do dostępu do tajnych informacji programu. To ograniczenie wpływa na czas rekrutacji, wielkość zespołu, możliwość zwiększenia zasobów w połowie programu oraz strukturę kosztów współpracy.

Zrozumienie, jak funkcjonują poświadczenia, czego organizacje potrzebują na poziomie instytucjonalnym oraz jak strukturyzować programy w celu minimalizacji tarcia związanego z poświadczeniami, jest niezbędną wiedzą dla każdego dostawcy oprogramowania dążącego do pracy przy programach obronnych.

Poziomy poświadczeń: NATO Secret, Cosmic Top Secret i odpowiedniki krajowe

Poświadczenia bezpieczeństwa istnieją zarówno na poziomie krajowym, jak i NATO, a te dwa systemy współdziałają w specyficzny sposób, który wpływa na międzynarodowe programy obronne.

Na poziomie krajowym większość państw członkowskich NATO stosuje trzy- lub czterostopniowy system klasyfikacji: Zastrzeżone (lub odpowiednik), Tajne oraz Ściśle Tajne, przy czym niektóre kraje dodają kategorię Specjalnych Informacji Wywiadowczych (SCI) powyżej Ściśle Tajnych. Konkretne nazwy różnią się w zależności od kraju. Osobiste poświadczenia odpowiadają tym poziomom: poświadczenie poziomu Tajnego przyznaje dostęp do informacji tajnych, ale nie ściśle tajnych.

NATO posiada własny system klasyfikacji: NATO Zastrzeżone, NATO Poufne, NATO Tajne oraz Cosmic Top Secret (CTS). Termin „Cosmic" to prefiks kodowy stosowany do najwyższego poziomu klasyfikacji NATO. Krajowe poświadczenie poziomu Ściśle Tajnego od państwa członkowskiego NATO jest zazwyczaj uznawane na potrzeby dostępu do informacji poziomu NATO Tajnego; dostęp do Cosmic Top Secret wymaga specjalnego sprawdzenia na poziomie NATO.

Wymogi dla programistów: obywatelstwo, sprawdzenie przeszłości i weryfikacja tożsamości

Obywatelstwo. Większość krajów wymaga, aby personel posiadający poświadczenie poziomu Tajnego lub wyższe był obywatelami kraju wydającego poświadczenie. Osoby z podwójnym obywatelstwem mogą podlegać dodatkowej szczegółowej weryfikacji. Cudzoziemcy z reguły nie kwalifikują się do krajowych poświadczeń bezpieczeństwa. To bezpośrednio wpływa na dostawców posiadających międzynarodowe zespoły programistyczne: członkowie zespołu niebędący obywatelami danego kraju nie mogą uzyskać poświadczenia tego kraju i nie mogą uzyskiwać dostępu do tajnych informacji na odpowiednich poziomach.

Sprawdzenie przeszłości. Proces weryfikacji w celu uzyskania poświadczenia poziomu Tajnego zazwyczaj obejmuje dochodzenie dotyczące przeszłości, uwzględniające historię zatrudnienia, miejsca zamieszkania, historię finansową, rejestry karne, zagraniczne kontakty i podróże oraz referencje. Głębokość i zakres dochodzenia wzrasta wraz z poziomem poświadczenia. Dochodzenie prowadzi krajowa agencja weryfikacyjna i może trwać wiele miesięcy w przypadku pierwszych poświadczeń.

Ciągła weryfikacja. Po udzieleniu poświadczenia nie są one bezterminowe. Większość krajów przeprowadza okresowe ponowne dochodzenia — zazwyczaj co pięć do siedmiu lat dla poziomu Tajnego, częściej dla wyższych poziomów. Personel posiadający już poświadczenie stanowi zasób, o który konkurują programy; dostawca dysponujący wstępnie sprawdzonym zasobem programistów posiada materialną przewagę pod względem czasu obsadzania programu.

Rzeczywiste terminy: Pierwsze dochodzenia dotyczące programistów oprogramowania będących nowicjuszami w sektorze obronnym mogą trwać od sześciu do osiemnastu miesięcy, w zależności od kraju, poziomu poświadczenia i aktualnego obciążenia agencji weryfikacyjnej. Programy wymagające sprawdzonych programistów, które nie uwzględniły tych terminów w budżecie, napotkają opóźnienia kadrowe wpływające na harmonogram i koszty. Planowanie czasu przetwarzania poświadczeń to nie opcja — to obowiązkowy warunek wstępny zarządzania programem.

Poświadczenie instytucji: czego potrzebują organizacje

Oprócz osobistych poświadczeń, organizacje pracujące przy tajnych programach obronnych muszą posiadać Poświadczenie Bezpieczeństwa Obiektu (FSC) — lub krajowy odpowiednik — upoważniające organizację do przyjmowania, przechowywania i przetwarzania informacji niejawnych. FSC jest wydawane organizacji, a nie poszczególnym pracownikom.

Uzyskanie FSC wymaga wykazania, że organizacja wdrożyła środki bezpieczeństwa fizycznego, kontrole bezpieczeństwa informacyjnego oraz procedury administracyjne niezbędne do ochrony informacji niejawnych na odpowiednim poziomie. Obejmuje to: zatwierdzone bezpieczne obiekty (sale na informacje niejawne, bezpieczne przechowywanie tajnych dokumentów, odpowiednie systemy informatyczne); wyznaczonego Pełnomocnika ds. Ochrony Informacji Niejawnych Obiektu (FSO); procedury bezpieczeństwa osobowego; oraz zgodność z odpowiednim krajowym standardem bezpieczeństwa.

FSC musi być na odpowiednim poziomie dla wykonywanej pracy. Organizacja posiadająca FSC poziomu Tajnego nie może przyjmować kontraktów wymagających pracy na poziomie Ściśle Tajnym. Podwyższenie FSC wymaga inspekcji ze strony krajowego organu bezpieczeństwa i musi zostać zakończone przed rozpoczęciem pracy z informacjami niejawnymi.

Alternatywy: informacje kontrolowane niejawne a informacje niejawne

Nie wszystkie prace związane z oprogramowaniem obronnym wymagają poświadczeń. Wiele programów obronnych operuje Kontrolowanymi Informacjami Niejawnymi (CUI) — informacjami wymagającymi ochrony, ale nieosiągającymi progu informacji niejawnych. Praca z CUI wymaga przestrzegania odpowiednich standardów bezpieczeństwa przez organizację, ale zazwyczaj nie wymaga osobistych poświadczeń.

Decyzje architektoniczne programu mogą czasem zmniejszyć lub wyeliminować wymogi dotyczące poświadczeń poprzez odseparowanie tajnych i niejawnych komponentów. Dostawcy, którzy nie mogą uzyskać poświadczeń ze względu na skład zespołu, ograniczenia FSC lub ograniczenia czasowe, nie powinni podejmować się realizacji programów, które ich wymagają — konsekwencje naruszeń bezpieczeństwa są poważne, a regulacyjne i kontraktowe skutki naruszeń poświadczeń są surowe.