L-230 Security og adgangstillatelse i POR. Styringshåndbok INNHOLDSFORTEGNELSE: 1. ANVENDELSE OG HENSIKT 2. REFERANSER 3. ANSVAR OG MYNDIGHET

Transkript

1 Class.: INTERNT PROSEDYRE Yara Porsgrunn L-230 Security og adgangstillatelse i POR Styringshåndbok Godkjent av : Knut Rutlin Utarbeidet av : Linn Rytter Kotterheinrich, Oystein Haugen Document ID : L-230 Revision date: Revision: 12 Valid for: POR Valid to date: INNHOLDSFORTEGNELSE: 1. ANVENDELSE OG HENSIKT 2. REFERANSER 3. ANSVAR OG MYNDIGHET 4. DEFINISJONER 5. BESKRIVELSE Vedlegg 1: Taushetserklæring Vedlegg 2: Skjema for rekvirering av opplæring nivå 0 og 1. Vedlegg 3: Skjema for rekvirering av kjøretillatelse Vedlegg 4: Liste over rekvirenter Vedlegg 5: Instruks assistanse transportører 1. ANVENDELSE OG HENSIKT Denne prosedyren er en beskrivelse av de rutiner som skal praktiseres i Yara Porsgrunn for å beskytte Yara Porsgrunns verdier, aktiviteter, interesser og ansatte mot industrispionasje, sabotasje, terrorhandlinger, tyveri og tilsvarende handlinger. Prosedyren beskriver de ordninger som gjelder med hensyn til adgang og tillatt ferdsel til/i fabrikker og bygninger som Yara Porsgrunn har i Industriparken, samt krav til opplæring av ansatte og kontraktører. 2. REFERANSER Ref. 1: Overordnede bestemmelser om adgangskontroll, HFO ; "Vakt og adgangskontroll"

2 Copy Page: 2 Ref. 2: Ref. 3: Ref. 4: Ref. 5: Ref. 6: Ref. 7: Ref. 8: Ref. 9: Yara DIRx-401//; "Health, Environment, Safety, Quality, Product Stewardship and Security Directive" POR-prosedyre L-104, "Dokumentbehandling og arkivering" POR-prosedyre L-229; "ISPS i Yara Porsgrunn" POR-prosedyre L-210; "Praktisering av arbeids- og entretillatelser i Yara Porsgrunn" POR-prosedyre L233 "Oppfølging av HMS arbeid hos entreprenører ved Yara Porsgrunn" YARA TOPS 0-50; "Security" YARA TOPS 1-17; "Production IT Security Standard" YARA-DIR-09-P04; "Information Security Procedure" 3. ANSVAR OG MYNDIGHET POR's ledelse har ansvar for at det blir foretatt security-vurderinger, utarbeidet security-instrukser samt å føre tilsyn med POR's securityarbeid Ledelsen er ansvarlig for opprettelse og vedlikehold av forsvarlige sikringsnivåer innen POR, samt sørge for at alle ansatte forstår betydningen av å opprettholde sikringsnivåene. Avd. sjef har myndighet til å autorisere egne ansatte for tilgang til gradert informasjon innen sitt ansvarsområde. Alle som har graderte informasjoner til behandling, eller på annen måte håndterer slik informasjon, er ansvarlig for at behandlingen skjer i samsvar med Yara's bestemmelser. Det operative ansvaret for adgangskontrollen er lagt til driftssjefer/vedlikeholdssjefer og avdelingssjefer. Disse kan delegere ansvar videre til stedfortredere eller skiftledere. Kvalitetsansvarlig i HMSK-Lab er Lokal Security-Representant (LSR). 4. DEFINISJONER Security: Security-nivå: Er en del av Yaras totale sikkerhetsbegrep og omfatter tiltak som iverksettes som vern mot ulovlige handlinger, samt mot utilsiktet tap eller kvalitetsforringelse av data og informasjon. Uttrykk for de fysiske og organisatoriske sikringstiltak som er nødvendige for å opprettholde krav til vern mot de trusler som eksisterer mot en gitt funksjon, aktivitet eller område.

3 Copy Page: 3 Fysisk sikring: Tiltak som iverksettes for å oppdage, hindre eller forsinke inntrenger/uvedkommende inntil vakt eller politi kommer til stedet. Personellsikring: Omfatter tiltak innen bruk av ID-kort, tilgangsautorisasjon og security-opplæring, samt lederes, ansattes og innleides særlige plikter i security-sammenheng. Autorisasjon: Tillatelse til at en person gis adgang til informasjon med angitt beskyttelsesgrad eller til område med angitt security-nivå. Tillatelse gis av informasjonseier, se pkt Graderte områder: Avhengig av graden av behov for sikring, deles områdene inn i 4 security-nivåer: - Beskyttet (securitynivå 1), - Kontrollert (securitynivå 2), - Følsomt (securitynivå 3), - Sperret område (security nivå 4) Gradert informasjon: Avhengig av behov for beskyttelse, graderes informasjon i følgende 4 securitynivåer: - Åpen, internt/internal, fortrolig/confidential og strengt fortrolig/strictly confidential (se Ref 2) 5. BESKRIVELSE 5.1 Organisering av security Security-vurdering Utvikling, etablering og vedlikehold av security-tiltak skal gjøres på bakgrunn av en vurdering i henhold til de krav som er satt i styrende dokumenter (Jfr. pkt 2, REFERANSER) HMSK-Lab. koordinerer utførelsen av security-vurderingene Beredskap Beredskapsplaner for håndtering av trussel og terrorsituasjoner er utarbeidet ved Herøya Industripark (HIP). 5.2 Adgangstillatelse og sikkerhetsklarering Sikkerhetsklareringsnivåer

4 Copy Page: 4 Yara Porsgrunn har delt opplæringen i 3 sikkerhetsklareringsnivåer: Sikkerhetsklareringsnivå 0 Sikkerhetsklarering Herøya Industripark (HIP) Sikkerhetsklareringsnivå 1 - Sikkerhetsklarering Yara Porsgrunn Sikkerhetsklareringsnivå 2 - HMS Klasseromsundervisning Sikkerhetsklareringsnivå 0 - Sikkerhetsklarering Herøya Industripark Denne sikkerhetsklareringen gir tilgang til Herøya Industripark. Sikkerhets-klareringen har en teoridel som avsluttes med en test. Testen må bestås for at sikkerhetsklareringen skal være gyldig. Etter utført test får den enkelte utstedt et adgangskort med bilde. Kortet utstedes i adgangskontrollen etter avlagt sikkerhetsklarering. Kortet skal benyttes ved innpassering til Industriparken. Adgangskortet skal alltid bæres godt synlig ved opphold innenfor Industriparken. Adgangskortet er personlig, dvs. at det ikke er tillatt å låne bort kortet til andre eller la andre bli med inn på kortet Type kurs: Nettbasert Estimert tidsbruk : ca 15 minutter Gyldighet Yara Porsgrunn ansatte : 5 år Gyldighet for kontraktører : 1,5 år. Ved kortere oppdrag vil gyldighet tilsvarende lengden på oppdraget. Obligatorisk for : Kontraktørtype 1,2 3 og alle Yara Porsgrunn ansatte Sikkerhetsklareringsnivå 1 Sikkerhetsklarering for Yara Porsgrunn Dette er Yara Porsgrunns egen sikkerhetsklarering. Hensikten er å gi en basis opplæring i fabrikkspesifikke risikoer og HMS regler. Hver sikkerhetsklarering har en teoridel som avsluttes med en test. Testen må bestås for at sikkerhetsklareringen skal være gyldig. Totalt består den av 5 deler En for Yara Porsgrunn generelt og en per fabrikkområde, se nedenfor: o Generell sikkerhetsklarering o Ammoniakkfabrikken (NII) o Salpetersyreområdet (SSO) inkl. tankterminalen (Yaras anlegg) o Fullgjødsel/Kalksalpeterområdet (FGJ/KS) o Skipningsområdet inkl. pakkerier

5 Copy Page: 5 Alle delen må være bestått før man får gå videre til opplæringsnivå 2 Type kurs: Nettbasert Estimert tidsbruk : 60 min Gyldighet for Yara Porsgrunn ansatte: 2 år Gyldig for kontraktører: 2 år Obligatorisk for : Kontraktørtype: 1, 2, 3 og alle Yara Porsgrunn ansatte Sikkerhetsklareringsnivå 2 Modulbasert sikkerhetsklarering Dette er en opplæring som gjennomføres i klasserom ved Yaras Sikkerhetssenter i Herøya Industripark. Hensikten er å gi ansatte og kontraktører opplæring i Yara Porsgrunns sine HMS krav. Undervisningstiden er 4 timer og kurset avsluttes med en test som må beståes. Etter å ha fullført alle nivåene vil Yara utstede et ID-kort med bilde som dokumentasjon på at opplæringen er gjennomført. Dette kortet skal medbringes og kunne forevises til Yara på forespørsel. Kontraktøren er ansvarlig for å sørge for at alle som skal jobbe i Yaras anlegg tar nødvendig sikkerhetsklareringer før oppstart av arbeidet. Type kurs: Klasseromsundervisning Estimert tidsbruk: 4 timer Gyldighet for Yara Porsgrunn ansatte: 2 år Gyldig for kontraktører: 2 år. Obligatorisk for : Kontraktørtype 1 og alle Yara Porsgrunn ansatte Rekvirering av sikkerhetsklarering og kjøretillatelse Følgende opplysninger må oppgis for å rekvirere sikkerhetsklareringen til Herøya Industripark: Fornavn Etternavn Epost adresse Mobil nummer Fødselsdato

6 Copy Page: 6 Ansattnummer (Gjelder kun Yara ansatte) Ved nye firmaer må firmanavn og org.nr også oppgis. Vedlagte skjema, vedlegg 2a og 2b skal fylles ut i forbindelse med rekvirering av sikkerhetsklarering Ved rekvirering av kjøretillatelse må følgende opplysninger oppgis Bilnummer Navn på ansvarlig per bil Kopi av vognkort Vedlagte skjema, vedlegg 3 skal fylles ut i forbindelse med rekvirering av kjøretillatelse. I Yara kan følgende personer rekvirere Herøya Industriparks sikkerhetsklarering, jfr vedlegg 4. Den enkelte vil motta en e-post med invitasjon til å gjennomføre sikkerhetsklareringene Krav til underkontraktører De samme krav til sikkerhetsklarering gjelder ved bruk av underkontraktører. Opplæring vil bli rekvirert og registret på underkontraktør firma Unntak fra krav om sikkerhetsklarering Alle som skal gjøre arbeid som krever arbeids- og entretillatelse må gjennomføre opplæringsnivå 0 og 1. Type 1 kontraktører må i tillegg gjennomføre opplæringsnivå 2. Det kan i enkelte tilfeller gjøres unntak fra kravet om sikkerhetsklarering. Dette må godkjennes av driftssjefer, vedlikeholdssjefer eller driftsvakt. Et slikt unntak innebærer at Rekvirent/prosjektleder minimum må gå gjennom «Sikkerhetsinformasjon for besøkende». Denne gjennomgangen må dokumenteres i arbeids og entretillatelsen under «spesielle opplysninger». Kontraktøren har ikke tillatelse til å jobbe alene, men må følges opp av en Yara ansatt. Det kan gjøres unntak for sjåfører men da skal tilbringertjenesten benyttes. Vedlegg Besøkende (uten HIP-sikkerhetsklarering) Alle besøk skal godkjennes av representant fra Yara Porsgrunn ved oppringning fra Resepsjon/Vaktsentral ved besøkendes ankomst. Besøkende skal normalt hentes

7 Copy Page: 7 og bringes fra/til Resepsjonen/Vaktsentralen/Havneport av representant fra Yara Porsgunn Besøkende som er kjent på området, kan ta seg frem alene til bestemmelsesstedet under forutsetning av at vedkommende er kjent i Herøya Industripark, og at adgang alene godkjennes muntlig av representant fra Yara Porsgrunn. Av hensyn til mulige beskjeder over høyttaleranleggene, begrenses denne adgangen til personer som forstår et skandinaviskspråk (norsk, dansk, svensk) eller engelsk. Resepsjonen/Vaktsentralen skal registrere de besøkende og gi ut adgangskort for besøkende, samt gjennomføring av hurtig sikkerhetsklarering, som skal signeres før besøkskort utstedes. I tillegg skal resepsjonen levere ut Yara Porsgrunn sikkerhetsinformasjon for besøkende. Den ansvarlige for besøkende i Yara Porsgrunn skal gjennomgå Yara Porsgrunns utvidede sikkerhetsinformasjon ved oppstart av møte. Denne informasjonen ligger på Q:\INFORMASJON TIL BESØKENDE Familiemedlemmer av ansatte er å betrakte som besøkende. Barn under 14 år har ikke adgang innenfor HIP's gjerder, men ved spesielle arrangementer kan Herøya Industriparks HMS-avdeling.gi tillatelse for barn under 14 år, på vilkår som spesifiseres i hvert tilfelle. Det er ikke tillatt å ta med hunder eller andre dyr inn på POR's områder Adgang for kjøretøy - Yara Porsgrunn ansatte Kjøring skal begrenses til det nødvendige. Kjøretillatelse for private biler gis kun unntaksvis. Yara Porsgrunn v/driftssjefer/vedlikeholdssjefer/avdelingssjefer godkjenner behov for inn- og utpassering og sørger for at det blir søkt om kjøretillatelser. Adgangskontrollen ved Herøya Industripark utsteder tillatelsene, etter at det er laget rekvisisjon om dette fra en av de bemyndigede personer, vedlegg 4. Vaktsentralen usteder kjøretillatelse, som skal plasseres synlig i bilen, og adgangskort for kjøretøyet. "Dagskort" for bil utstedes i resepsjonen og havneporten. Vakter utenom Industrivernet, kan ha kjøretillatelse for privat bil som følger vakten. Denne kjøretillatelsen skal kun benyttes ved utkalling i forbindelse med vakten, utenom ordinær arbeidstid. Ved utpassering med varer og utstyr som ikke er en del av det materiell som benyttes i arbeidssammenheng, kreves det dokumentasjon undertegnet av bemyndiget person som legitimerer dette Inn- og utpassering av kjøretøy Innpassering av kjøretøy skjer via kjøreporter ved bruk av adgangskort med bilde og eget adgangskort for kjøretøyer Sjåfør er ansvarlig for å påse at alle

8 Copy Page: 8 medpassasjerer har gyldig adgang til Herøya Industripark og Yara. retningslinjene for besøkende gjelder også ved innkjøring i bil. De samme Sjåføren må beherske et skandinavisk språk (norsk, dansk, svensk) eller engelsk Alternativt skal sjåføren ha følge inn på området. Dette er beskrevet i Vedlegg 5: Instruks assistanse transportører Offentlige myndigheter Resepsjonen/Vaktsentralen skal varsle POR's kontaktperson om besøk. Dersom kontaktpersonen ikke kan treffes, skal det tas kontakt gjennom Sjefsvakthavende. Politi, Tollvesenets tjenestemenn og Loser som er uniformerte, gis adgang til POR's områder. Tjenestemenn som ikke bærer uniform, må vise identifikasjon. Offentlige tjenestemenn som har avlagt Sikkerhetsklarering HIP, kan betraktes som "Entreprenører". Forøvrig gjelder de samme bestemmelsene som for besøkende Fotografering Det er generelt forbud mot å fotografere i Yara Porsgrunns områder. Tillatelse til fotografering kan, ved behov, gis lokalt av avd. sjef/driftssjef i hvert område/hver fabrikk. 5.3 Krav til språk kunnskaper hos kontraktører/underkontraktører Det er et krav at kontraktørens arbeidsleder er engelsk- eller skandinavisktalende. Kontraktøren som benytter arbeidskraft som ikke er engelsk- eller skandinavisktalende, må sørge for individuell sikkerhetsklarering nivå 0 og 1 av alle arbeidere. Kontraktørens arbeidsleder må sørge for at alle arbeidere kjenner til innholdet i prosedyrer. Dersom arbeidsleder er engelsktalende må Yara prosjektleder/ansvarlig sørge for at kontraktøren kjenner til prosedyrer som kun forefinnes på norsk. (Tid/ kostnader forbundet med dette må legges inn i evalueringen) Det må alltid være tilstede en person som kan skandinavisk (norsk, dansk svensk) eller Engelsk. 5.4 Tausthetserklæring Yara Porsgrunn ansatte Alle Yara-ansatte skal skrive under på en "Taushetserklæring", -se vedlegg 1. Disse

9 Copy Page: 9 skal oppbevares hos HR-avdelingen 5.5 Opplæring i AET for Yara Possgrunn ansatte Lokalt i Porsgrunn: Rutiner for opplæring av driftsmannskapene skal være beskrevet i lokale prosedyrer. Opplæringen skal sikre at driftsmannskapene har nødvendig driftsforståelse og kompetanse i håndtering av faremomentene i eget område. Alle ansatte i POR som utfører arbeid omfattet av AET-tillatelses-systemet skal gjennomgå et Interaktiv opplæringsprogram. Link til opplæringsprogrammet ligger på Yara Porsgrunns intranettside under "Lenker og brukerveiledninger", "Opplæring i AET" Kursbevis utskrives etter gjennomgang. Dette skal dokumenteres lokalt på Q:\arkiv\avd\ (Ref. 5) 5.6 Informasjonssikring Organisering og ansvar (Ref. 8 og 9) For all informasjon og alle informasjonssystemer skal det være definert en eier. Det skilles mellom: informasjonseier (dvs. eier av den aktuelle informasjon) og informasjonssystemeier (dvs. eier av f.eks. programvare/software/driftsopplegg som behandler informasjonen) Bruker av informasjonssystemer er ansvarlig for at utstyr, program og informasjon gjennom vedkommende tilgangsrettigheter brukes slik at egen eller andres informasjon ikke kompromitteres eller ødelegges. Avtaler og kontrakter Forhold knyttet til sikkerhet skal kontraktsfestes og være kjent av brukere av informasjonssystemene (IS) og av IS-driftspersonell som er berørt: Krav til gradering All informasjon skal vurderes mht. behov for beskyttelse. Beskyttelsestiltakene skal omfatte alle faser av informasjonsbehandlingen så som produksjon, utstedelse, mottak, registrering, postgang, fordeling, saksbehandling, arkivering og tilintetgjøring. Når det ikke er oppgitt noen beskyttelsesgrad (se pkt.4), skal informasjonen behandles som om den var gradert INTERNT, såfremt informasjonen ikke åpenbart er ment for publisering utenfor selskapet. Helse - og personinformasjon Informasjonssystemer som inneholder persondata skal være registrert og godkjent i Yara Porsgrunns personalfunksjon. Helseinformasjon skal kun oppbevares hos Bedrifts Helsen.

10 Copy Page: Oppfølging HMSK-Lab. skal på vegne av ledelsen i POR påse at security-tiltakene er i samsvar med eksisterende risiko- og sårbarhetsnivå. Etablerte security-tiltak skal kontrolleres. 5.7 Bruk av telefon og telefaks Telefon og telefaks er enkle å avlytte, og det er lett å sende telefaks til feil mottaker. Alle ansatte skal utvise forsiktighet med hva som sies og sendes om selskapet og dets virksomheter over telefonlinjer. Informasjon som er gradert Fortrolig eller Strengt Fortrolig skal krypteres når den formidles over telenettet. 5.8 Security på reiser Ansatte på tjenestereise skal særlig være oppmerksom på muligheten av å bli utsatt for tyveri, bli ledet inn i forhold som senere kan utnyttes i utpressingsforsøk, bli avlyttet på kommunikasjonsmidler, hoteller, restauranter o.l. Videre skal den ansatte ved reiser i utlandet i rimelig grad søke å gjøre seg kjent med lover og skikker, tollbestemmelser og trusselnivå for ikke å bli utsatt for unødig press eller sjikane. Ved eventuelle konfliktsituasjoner med myndigheter i fremmed land skal norsk utenriksrepresentant om mulig oppsøkes. 5.9 Brudd på securitybestemmelser Alle securitybrudd, forsøk på eller mistanke om brudd skal straks rapporteres til nærmeste foresatte og LSR. (Lokal Security-representant, - jfr. pkt. 3). Eventuell bombetrussel meldes også umiddelbart til sjefsvakthavende ved HIP. Leder skal i samarbeid med personalavdelingen. avgjøre om security-bruddet skal behandles som brudd på Arbeidsreglementet og/eller meldes til politiet for etterforskning. LSR skal innrapportere eventuelle security-brudd, forsøk på eller mistanke om brudd til Fabrikksjef og HESQ-sjef i Yara. Rapporteringen begrenses til hendelser som oppfattes å være en trussel for fellesskapet, og til enkelttilfeller som har medført tap eller skade eller fare for slike, og som har en total økonomisk konsekvens på kr eller mer Avviksrapportering Avvik fra denne prosedyre skal begrunnes og rapporteres til LSR. På vegne av Fabrikksjef, søker LSR nødvendig godkjenning for slike avvik hos HESQ-ansvarlig i Yara Konsern

11 Copy Page: 11

12 Copy Page: 12 VEDLEGG 1 VEDLEGG 2: Skjema for rekvirering av opplæring nivå 0 og 1 Vedlegg 2a Skjema for rekvirering av sikkerhetsklarering nivå 0 Herøya Industripark.xlsx Vedlegg 2b Skjema for rekvirering av sikkerhetsklarering nivå 1&2 Yara Porsgrunn.xlsx

13 Copy Page: 13 VEDLEGG 3: Skjema fo rekvirering av kjøretillatelse Vedlegg 3 Skjema for rekvirering av kjøretillatelse Herøya Industripark.xlsx VEDLEGG 4: Liste over rekvirenter Vedlegg 4 L 230 Rekvirenter.doc VEDLEGG 5: Instruks assistanse transportører Vedlegg 5 L 230 Instruks assistanse transportører END.docx