56
Nßrodnφ bezpeΦnostnφ ·°ad (dßle jen "┌°ad") stanovφ podle º 51 odst. 3 a º 53 odst. 3 zßkona Φ. 148/1998 Sb., o ochran∞ utajovan²ch skuteΦnostφ a o zm∞n∞ n∞kter²ch zßkon∙, (dßle jen "zßkon"):
Tato vyhlßÜka stanovφ po₧adavky na bezpeΦnost informaΦnφch systΘm∙ naklßdajφcφch s utajovan²mi skuteΦnostmi (dßle jen "informaΦnφ systΘm"), minimßlnφ po₧adavky v oblasti poΦφtaΦovΘ bezpeΦnosti, jako₧ i postupy a zp∙soby certifikaΦnφho procesu informaΦnφch systΘm∙ a nßle₧itosti certifikßtu.
Pro ·Φely tΘto vyhlßÜky se rozumφ:
| a) | aktivem informaΦnφho systΘmu hardware, software, informace klasifikovanΘ stupn∞m utajenφ utajovanΘ skuteΦnosti (dßle jen "utajovanß informace"), kterΘ jsou ulo₧eny v informaΦnφm systΘmu, a dokumentace informaΦnφho systΘmu, |
| b) | objektem informaΦnφho systΘmu (dßle jen "objekt") pasivnφ prvek informaΦnφho systΘmu, kter² obsahuje nebo p°ijφmß informaci, |
| c) | subjektem informaΦnφho systΘmu (dßle jen "subjekt") aktivnφ prvek informaΦnφho systΘmu, kter² zp∙sobuje p°edßnφ informace mezi objekty nebo zm∞nu stavu systΘmu, |
| d) | anal²zou rizik proces, b∞hem n∞ho₧ jsou zjiÜ¥ovßna aktiva informaΦnφho systΘmu, hrozby p∙sobφcφ na aktiva informaΦnφho systΘmu, jeho zranitelnß mφsta, pravd∞podobnost realizace hrozeb a odhad jejich nßsledk∙, |
| e) | auditnφm zßznamem zßznam o udßlostech, kterΘ mohou ovlivnit bezpeΦnost informaΦnφho systΘmu, |
| f) | autentizacφ subjektu proces ov∞°enφ jeho identity spl≥ujφcφ po₧adovanou mφru zßruky, |
| g) | autorizacφ subjektu ud∞lenφ urΦit²ch prßv pro vykonßvßnφ urΦen²ch aktivit, |
| h) | bezpeΦnostnφm mechanismem realizace bezpeΦnostnφ funkce, |
| i) | bezpeΦnostnφm provoznφm m≤dem prost°edφ, ve kterΘm informaΦnφ systΘm pracuje, charakterizovanΘ stupn∞m utajenφ zpracovßvanΘ utajovanΘ informace a ·rovn∞mi oprßvn∞nφ u₧ivatel∙, |
| j) | d∙v∞rnostφ utajovanΘ informace jejφ vlastnost, kterß znemo₧≥uje odhalenφ utajovanΘ informace neoprßvn∞nΘmu subjektu, |
| k) | fyzickou bezpeΦnostφ informaΦnφho systΘmu opat°enφ pou₧itß k zajiÜt∞nφ fyzickΘ ochrany aktiv informaΦnφho systΘmu proti nßhodn²m nebo ·mysln²m hrozbßm, |
| l) | integritou aktiva informaΦnφho systΘmu vlastnost, kterß umo₧≥uje provedenφ jeho zm∞ny urΦen²m zp∙sobem a pouze oprßvn∞n²m subjektem, |
| m) | komunikaΦnφ bezpeΦnostφ opat°enφ pou₧itß k zajiÜt∞nφ ochrany utajovanΘ informace p°i p°enosu telekomunikaΦnφmi kanßly, |
| n) | poΦφtaΦovou bezpeΦnostφ bezpeΦnost informaΦnφho systΘmu zajiÜ¥ovanß jeho technick²mi a programov²mi prost°edky, |
| o) | povinn²m °φzenφm p°φstupu prost°edky pro omezenφ p°φstupu subjekt∙ k objekt∙m, zalo₧enΘ na porovnßnφ stupn∞ utajenφ utajovanΘ informace obsa₧enΘ v objektu a ·rovn∞ oprßvn∞nφ subjektu pro p°φstup k utajovanΘ informaci a zajiÜ¥ujφcφ sprßvn² tok informacφ mezi objekty s r∙zn²mi stupni utajenφ, nezßvisle na volb∞ uΦin∞nΘ u₧ivatelem, |
| p) | rizikem pro informaΦnφ systΘm pravd∞podobnost, ₧e urΦitß hrozba vyu₧ije zraniteln²ch mφst informaΦnφho systΘmu, |
| r) | rolφ souhrn urΦen²ch Φinnostφ a pot°ebn²ch autorizacφ pro u₧ivatele v informaΦnφm systΘmu, |
| s) | °φzenφm p°φstupu prost°edky pro omezenφ p°φstupu subjekt∙ k objekt∙m, zajiÜ¥ujφcφ, ₧e p°φstup k nim zφskß jen autorizovan² u₧ivatel nebo proces, |
| t) | voliteln²m °φzenφm p°φstupu prost°edky omezenφ p°φstupu subjekt∙ k objekt∙m, zalo₧enΘ na kontrole p°φstupov²ch prßv subjektu k objektu, p°iΦem₧ u₧ivatel vybaven² urΦit²mi p°φstupov²mi prßvy pro p°φstup k objektu m∙₧e zvolit, na kterΘ dalÜφ subjekty p°enese p°φstupovß prßva k tomuto objektu, a m∙₧e tak ovliv≥ovat tok informace mezi objekty. |
(1) BezpeΦnost informaΦnφho systΘmu tvo°φ systΘm opat°enφ z oblasti:
| a) | poΦφtaΦovΘ a komunikaΦnφ bezpeΦnosti, |
| b) | administrativnφ bezpeΦnosti a organizaΦnφch opat°enφ, |
| c) | personßlnφ bezpeΦnosti, |
| d) | fyzickΘ bezpeΦnosti informaΦnφho systΘmu. |
(2) SystΘm opat°enφ uveden² v odstavci 1 je specifikovßn v bezpeΦnostnφ dokumentaci informaΦnφho systΘmu.
(1) BezpeΦnostnφ dokumentaci informaΦnφho systΘmu tvo°φ:
| a) | projektovß bezpeΦnostnφ dokumentace informaΦnφho systΘmu, |
| b) | provoznφ bezpeΦnostnφ dokumentace informaΦnφho systΘmu. |
(2) Projektovß bezpeΦnostnφ dokumentace informaΦnφho systΘmu musφ obsahovat:
| a) | bezpeΦnostnφ politiku informaΦnφho systΘmu a vyhodnocenφ anal²zy rizik, |
| b) | nßvrh bezpeΦnostnφch opat°enφ pro jednotlivΘ fßze nßvrhu informaΦnφho systΘmu, |
| c) | dokumentaci k test∙m bezpeΦnosti informaΦnφho systΘmu. |
(3) Provoznφ bezpeΦnostnφ dokumentace informaΦnφho systΘmu musφ obsahovat:
| a) | bezpeΦnostnφ sm∞rnici informaΦnφho systΘmu, kterß popisuje Φinnost bezpeΦnostnφho sprßvce v p°φsluÜnΘm informaΦnφm systΘmu, |
| b) | bezpeΦnostnφ sm∞rnice pro jednotlivΘ typy u₧ivatel∙ informaΦnφho systΘmu. |
(4) BezpeΦnostnφ dokumentace uvedenß v odstavci 2 a odstavci 3 pφsm. a) se klasifikuje a oznaΦuje stupn∞m utajenφ shodn²m s nejvyÜÜφm stupn∞m utajenφ utajovanΘ informace, se kterou informaΦnφ systΘm naklßdß.
(1) P°φstup k utajovanΘ informaci v informaΦnφm systΘmu lze umo₧nit pouze urΦenΘ osob∞, kterß byla pro tento p°φstup autorizovßna. Autorizace je zalo₧ena na jedineΦnΘm identifikßtoru u₧ivatele v rßmci informaΦnφho systΘmu.
(2) P°φstup k utajovanΘ informaci v informaΦnφm systΘmu m∙₧e b²t umo₧n∞n jen pro ty osoby, kterΘ tento p°φstup nezbytn∞ nutn∞ pot°ebujφ k v²konu svΘ Φinnosti. T∞mto osobßm se ud∞lφ oprßvn∞nφ pouze v rozsahu nezbytnΘm pro provßd∞nφ jim urΦen²ch aktivit v informaΦnφm systΘmu.
(1) U₧ivatelΘ informaΦnφho systΘmu odpovφdajφ za dodr₧ovßnφ jim stanoven²ch povinnostφ, kter²mi je zajiÜ¥ovßna bezpeΦnost informaΦnφho systΘmu. Tyto povinnosti jsou stanoveny v provoznφ bezpeΦnostnφ dokumentaci informaΦnφho systΘmu, vΦetn∞ stanovenφ odpov∞dnosti za ochranu jednotliv²ch aktiv informaΦnφho systΘmu.
(2) V informaΦnφm systΘmu se zavßdφ role bezpeΦnostnφho sprßvce informaΦnφho systΘmu odd∞len∞ od role sprßvce informaΦnφho systΘmu.
(3) Role bezpeΦnostnφho sprßvce informaΦnφho systΘmu obsahuje v²kon sprßvy bezpeΦnosti informaΦnφho systΘmu, spoΦφvajφcφ zejmΘna v p°id∞lovßnφ p°φstupov²ch prßv, sprßv∞ autentizaΦnφch a autorizaΦnφch informacφ, vyhodnocovßnφ auditnφch zßznam∙, aktualizaci bezpeΦnostnφch sm∞rnic, vypracovßnφ zprßvy o bezpeΦnostnφm incidentu a dalÜφch Φinnostech stanoven²ch v provoznφ bezpeΦnostnφ dokumentaci informaΦnφho systΘmu.
(4) Informace o Φinnosti subjektu v informaΦnφm systΘmu se zaznamenßvß tak, aby naruÜenφ bezpeΦnosti informaΦnφho systΘmu nebo pokusy o n∞ bylo mo₧no p°i°adit konkrΘtnφmu u₧ivateli v ka₧dΘ jeho roli v informaΦnφm systΘmu. Zßznamy se uchovßvajφ po dobu stanovenou v bezpeΦnostnφ politice informaΦnφho systΘmu.
Utajovanß informace, kterß vystupuje v jakΘkoliv podob∞ z informaΦnφho systΘmu, musφ b²t oznaΦena odpovφdajφcφm stupn∞m utajenφ tak, aby p°i jakΘmkoliv dalÜφm naklßdßnφ s touto informacφ bylo zaruΦeno dodr₧ovßnφ stanovenΘho stupn∞ utajenφ.
(1) Pro ka₧d² informaΦnφ systΘm musφ b²t ji₧ v poΦßteΦnφ fßzi jeho v²voje zpracovßna bezpeΦnostnφ politika informaΦnφho systΘmu. BezpeΦnostnφ politiku informaΦnφho systΘmu tvo°φ soubor norem, pravidel a postup∙, kter² vymezuje zp∙sob, jak²m mß b²t zajiÜt∞na d∙v∞rnost, integrita a dostupnost utajovanΘ informace a odpov∞dnost u₧ivatele za jeho Φinnost v informaΦnφm systΘmu. Zßsady bezpeΦnostnφ politiky jsou rozpracovßny v projektovΘ a provoznφ bezpeΦnostnφ dokumentaci informaΦnφho systΘmu.
(2) BezpeΦnostnφ politika informaΦnφho systΘmu musφ b²t zpracovßna v souladu s prßvnφmi p°edpisy a mezinßrodnφmi smlouvami, kter²mi je ╚eskß republika vßzßna, a s bezpeΦnostnφ politikou nad°φzenΘho orgßnu, pokud byla zpracovßna.
(3) P°i formulaci bezpeΦnostnφ politiky informaΦnφho systΘmu a posuzovßnφ bezpeΦnostnφch vlastnostφ komponent∙ informaΦnφho systΘmu lze vyu₧φt tΘ₧ mezinßrodnφch standardizovan²ch bezpeΦnostnφch specifikacφ.1)
BezpeΦnostnφ politika informaΦnφho systΘmu se formuluje na zßklad∞:
| a) | minimßlnφch bezpeΦnostnφch po₧adavk∙ v oblasti poΦφtaΦovΘ bezpeΦnosti, |
| b) | systΘmov∞ zßvisl²ch bezpeΦnostnφch po₧adavk∙, po₧adavk∙ u₧ivatele a v²sledk∙ anal²zy rizik, |
| c) | bezpeΦnostnφch po₧adavk∙ bezpeΦnostnφ politiky nad°φzenΘho orgßnu, pokud byla zpracovßna. |
(1) InformaΦnφ systΘm naklßdajφcφ s utajovan²mi informacemi stupn∞ utajenφ "D∙v∞rnΘ" nebo vyÜÜφho musφ obsahovat tyto minimßlnφ bezpeΦnostnφ funkce:
| a) | jednoznaΦnou identifikaci a autentizaci u₧ivatele, kterΘ musφ p°edchßzet vÜem dalÜφm aktivitßm u₧ivatel∙ v informaΦnφm systΘmu a musφ zajistit ochranu d∙v∞rnosti a integrity autentizaΦnφ informace, |
| b) | volitelnΘ °φzenφ p°φstupu k objekt∙m na zßklad∞ rozliÜovßnφ a sprßvy p°φstupov²ch prßv u₧ivatele a identity u₧ivatele nebo jeho Φlenstvφ ve skupin∞ u₧ivatel∙, |
| c) | nep°etr₧itΘ zaznamenßvßnφ udßlostφ, kterΘ mohou ovlivnit bezpeΦnost informaΦnφho systΘmu, do auditnφch zßznam∙ a zabezpeΦenφ auditnφch zßznam∙ p°ed neautorizovan²m p°φstupem, zejmΘna modifikacφ nebo zniΦenφm. Zaznamenßvß se zejmΘna pou₧itφ identifikaΦnφch a autentizaΦnφch informacφ, pokusy o zkoumßnφ p°φstupov²ch prßv, vytvß°enφ nebo ruÜenφ objektu nebo Φinnost autorizovan²ch u₧ivatel∙ ovliv≥ujφcφ bezpeΦnost informaΦnφho systΘmu, |
| d) | mo₧nost zkoumßnφ auditnφch zßznam∙ a stanovenφ odpov∞dnosti jednotlivΘho u₧ivatele informaΦnφho systΘmu, |
| e) | oÜet°enφ pam∞¥ov²ch objekt∙ p°ed jejich dalÜφm pou₧itφm, zejmΘna p°ed p°id∞lenφm jinΘmu subjektu, kterΘ znemo₧nφ zjistit jejich p°edchozφ obsah, |
| f) | ochranu d∙v∞rnosti dat b∞hem p°enosu sφt∞mi s tφm, ₧e utajovanß informace musφ b²t v procesu p°enosu mezi zdrojem a cφlem chrßn∞na nßle₧it²m zp∙sobem. |
(2) K zajiÜt∞nφ minimßlnφch bezpeΦnostnφch funkcφ uveden²ch v odstavci 1 jsou v informaΦnφm systΘmu realizovßny identifikovatelnΘ programov∞ technickΘ mechanismy. Jejich provedenφ a operaΦnφ nastavenφ je zdokumentovßno tak, aby bylo mo₧no nezßvisle prov∞°it a zhodnotit jejich dostateΦnost.
(3) BezpeΦnostnφ mechanismy uplat≥ujφcφ bezpeΦnostnφ politiku informaΦnφho systΘmu musφ b²t v celΘm ₧ivotnφm cyklu informaΦnφho systΘmu chrßn∞ny p°ed naruÜenφm nebo neautorizovan²mi zm∞nami.
(4) V informaΦnφm systΘmu, kter² naklßdß pouze s utajovan²mi informacemi stupn∞ utajenφ "VyhrazenΘ", musφ b²t zajiÜt∞na odpov∞dnost u₧ivatele za jeho Φinnost v informaΦnφm systΘmu a p°φstup k utajovanΘ informaci lze umo₧nit na zßklad∞ zßsady pot°eby p°istupovat k informaci. K tomu se p°im∞°en²m zp∙sobem vyu₧φvajφ bezpeΦnostnφ funkce uvedenΘ v odstavci 1 a dßle opat°enφ z oblasti personßlnφ a administrativnφ bezpeΦnosti a fyzickΘ bezpeΦnosti informaΦnφch systΘm∙.
(1) InformaΦnφ systΘmy se mohou provozovat pouze v n∞kterΘm z uveden²ch bezpeΦnostnφch provoznφch m≤d∙:
| a) | bezpeΦnostnφ provoznφ m≤d vyhrazen², |
| b) | bezpeΦnostnφ provoznφ m≤d s nejvyÜÜφ ·rovnφ, |
| c) | bezpeΦnostnφ provoznφ m≤d vφce·rov≥ov². |
(2) BezpeΦnostnφ provoznφ m≤d vyhrazen² je takovΘ prost°edφ, ve kterΘm je informaΦnφ systΘm urΦen v²hradn∞ pro zpracovßnφ jednoho specializovanΘho druhu utajovanΘ informace, p°iΦem₧ vÜichni u₧ivatelΘ musφ b²t urΦeni pro p°φstup k utajovan²m informacφm nejvyÜÜφho stupn∞ utajenφ, kterΘ jsou v informaΦnφm systΘmu obsa₧eny, a zßrove≥ musφ b²t oprßvn∞ni pracovat se vÜemi utajovan²mi informacemi, kterΘ jsou v informaΦnφm systΘmu obsa₧eny. BezpeΦnost informaΦnφho systΘmu, kter² je provozovßn v bezpeΦnostnφm provoznφm m≤du vyhrazenΘm, se zabezpeΦuje spln∞nφm minimßlnφch bezpeΦnostnφch po₧adavk∙ v oblasti poΦφtaΦovΘ bezpeΦnosti uveden²ch v º 10 odst. 1 pφsm. a), c), d) a f), jako₧ i opat°enφmi z oblasti administrativnφ a personßlnφ bezpeΦnosti a fyzickΘ bezpeΦnosti informaΦnφch systΘm∙. ┌rove≥ pou₧it²ch opat°enφ z uveden²ch oblastφ a opat°enφ k zajiÜt∞nφ d∙v∞rnosti dat b∞hem p°enosu musφ odpovφdat ·rovni po₧adovanΘ pro nejvyÜÜφ stupe≥ utajenφ utajovan²ch informacφ, se kter²mi informaΦnφ systΘm naklßdß.
(3) BezpeΦnostnφ provoznφ m≤d s nejvyÜÜφ ·rovnφ je takovΘ prost°edφ, kterΘ umo₧≥uje souΦasnΘ zpracovßnφ utajovan²ch informacφ klasifikovan²ch r∙zn²mi stupni utajenφ, ve kterΘm vÜichni u₧ivatelΘ musφ b²t urΦeni pro p°φstup k utajovan²m informacφm nejvyÜÜφho stupn∞ utajenφ, kterΘ jsou v informaΦnφm systΘmu obsa₧eny, p°iΦem₧ vÜichni u₧ivatelΘ nemusφ b²t oprßvn∞ni pracovat se vÜemi utajovan²mi informacemi. BezpeΦnost informaΦnφho systΘmu, kter² je provozovßn v bezpeΦnostnφm provoznφm m≤du s nejvyÜÜφ ·rovnφ, se zabezpeΦuje spln∞nφm minimßlnφch bezpeΦnostnφch po₧adavk∙ v oblasti poΦφtaΦovΘ bezpeΦnosti uveden²ch v º 10, jako₧ i opat°enφmi z oblasti administrativnφ a personßlnφ bezpeΦnosti a fyzickΘ bezpeΦnosti informaΦnφch systΘm∙. ┌rove≥ pou₧it²ch opat°enφ z uveden²ch oblastφ a opat°enφ k zajiÜt∞nφ d∙v∞rnosti dat b∞hem p°enosu musφ odpovφdat ·rovni po₧adovanΘ pro nejvyÜÜφ stupe≥ utajenφ utajovan²ch informacφ, se kter²mi informaΦnφ systΘm naklßdß.
(4) BezpeΦnostnφ provoznφ m≤d vφce·rov≥ov² je takovΘ prost°edφ, kterΘ umo₧≥uje v jednom informaΦnφm systΘmu souΦasnΘ zpracovßnφ utajovan²ch informacφ klasifikovan²ch r∙zn²mi stupni utajenφ, ve kterΘm nejsou vÜichni u₧ivatelΘ urΦeni pro prßci s utajovan²mi informacemi nejvyÜÜφho stupn∞ utajenφ, kterΘ jsou v informaΦnφm systΘmu obsa₧eny, p°iΦem₧ vÜichni u₧ivatelΘ nemusφ b²t oprßvn∞ni pracovat se vÜemi utajovan²mi informacemi. BezpeΦnost informaΦnφho systΘmu, kter² je provozovßn v bezpeΦnostnφm provoznφm m≤du vφce·rov≥ovΘm, se zabezpeΦuje opat°enφmi uveden²mi v odstavci 3 a bezpeΦnostnφ funkcφ povinnΘho °φzenφ p°φstupu subjekt∙ k objekt∙m. ┌rove≥ pou₧it²ch opat°enφ z oblasti administrativnφ a personßlnφ bezpeΦnosti, fyzickΘ bezpeΦnosti informaΦnφch systΘm∙ a opat°enφ k zajiÜt∞nφ d∙v∞rnosti dat b∞hem p°enosu se stanovφ na zßklad∞ principu povinnΘho °φzenφ p°φstupu.
(5) Funkce povinnΘho °φzenφ p°φstupu subjekt∙ k objekt∙m musφ zabezpeΦit:
| a) | trvalΘ spojenφ ka₧dΘho subjektu a objektu s bezpeΦnostnφm atributem, kter² pro subjekt vyjad°uje ·rove≥ oprßvn∞nφ subjektu a pro objekt jeho stupe≥ utajenφ, |
| b) | ochranu integrity bezpeΦnostnφho atributu, |
| c) | v²luΦnΘ oprßvn∞nφ bezpeΦnostnφho sprßvce informaΦnφho systΘmu k provßd∞nφ zm∞n bezpeΦnostnφch atribut∙ subjekt∙ i objekt∙, |
| d) | p°id∞lenφ p°edem definovan²ch hodnot atribut∙ pro nov∞ vytvo°enΘ objekty a zachovßnφ atributu p°i kopφrovßnφ objektu. |
(6) P°i uplat≥ovßnφ bezpeΦnostnφ funkce povinnΘho °φzenφ p°φstupu subjekt∙ k objekt∙m musφ b²t zabezpeΦeny tyto zßsady:
| a) | subjekt m∙₧e Φφst informace v objektu pouze tehdy, je-li ·rove≥ jeho oprßvn∞nφ stejnß nebo vyÜÜφ ne₧ stupe≥ utajenφ objektu, |
| b) | subjekt m∙₧e zapisovat informaci do objektu pouze tehdy, je-li ·rove≥ jeho oprßvn∞nφ stejnß nebo ni₧Üφ ne₧ stupe≥ utajenφ objektu, |
| c) | p°φstup subjektu k informaci obsa₧enΘ v objektu je mo₧n², jestli₧e jej povolujφ jak pravidla povinnΘho °φzenφ p°φstupu, tak pravidla volitelnΘho °φzenφ p°φstupu. |
(7) InformaΦnφ systΘm, kter² je provozovßn v bezpeΦnostnφm provoznφm m≤du vφce·rov≥ovΘm, musφ b²t schopen p°esn∞ oznaΦit stupn∞m utajenφ utajovanΘ informace vystupujφcφ z informaΦnφho systΘmu a umo₧nit p°i°adit stupe≥ utajenφ utajovanΘ informaci vstupujφcφ do informaΦnφho systΘmu.
(8) U informaΦnφho systΘmu, kter² je provozovßn v bezpeΦnostnφm provoznφm m≤du vφce·rov≥ovΘm a naklßdß s utajovanou informacφ klasifikovanou stupn∞m utajenφ "P°φsn∞ tajnΘ", musφ b²t provedena identifikace a anal²za skryt²ch kanßl∙. Skryt²m kanßlem se rozumφ nep°φpustnß komunikace, jφ₧ se utajovanß informace dostala k neoprßvn∞nΘmu subjektu.
(1) P°i p°enosu utajovanΘ informace komunikaΦnφm kanßlem musφ b²t zajiÜt∞na ochrana jejφ d∙v∞rnosti a integrity.
(2) Zßkladnφm prost°edkem pro zajiÜt∞nφ d∙v∞rnosti utajovanΘ informace p°i jejφm p°enosu komunikaΦnφm kanßlem je kryptografickß ochrana.
(3) Zßkladnφm prost°edkem pro zajiÜt∞nφ integrity utajovanΘ informace p°i jejφm p°enosu komunikaΦnφm kanßlem je spolehlivß detekce zßm∞rnΘ i nßhodnΘ zm∞ny utajovanΘ informace.
(4) V zßvislosti na komunikaΦnφm prost°edφ se zajiÜ¥uje spolehlivß identifikace a autentizace komunikujφcφch stran, vΦetn∞ ochrany identifikaΦnφ a autentizaΦnφ informace. Tato identifikace a autentizace p°edchßzφ p°enosu utajovanΘ informace.
(5) P°ipojenφ sφt∞, kterß je pod kontrolou sprßvy informaΦnφho systΘmu, k sφti vn∞jÜφ, kterß nenφ pod kontrolou sprßvy informaΦnφho systΘmu, musφ b²t zabezpeΦeno vhodn²m bezpeΦnostnφm rozhranφm tak, aby bylo zamezeno pr∙niku do informaΦnφho systΘmu.
(1) InformaΦnφ systΘm musφ zajistit, aby po₧adovanß utajovanß informace byla p°φstupnß ve stanovenΘm mφst∞, v po₧adovanΘ form∞ a v urΦenΘm ΦasovΘm rozmezφ.
(2) V zßjmu zajiÜt∞nφ bezpeΦnΘho provozu informaΦnφho systΘmu se v bezpeΦnostnφ politice informaΦnφho systΘmu stanovφ komponenty, kterΘ musφ b²t nahraditelnΘ bez p°eruÜenφ Φinnosti informaΦnφho systΘmu. Dßle se definuje rozsah po₧adovanΘ minimßlnφ funkΦnosti informaΦnφho systΘmu a uvedou se komponenty, p°i jejich₧ selhßnφ musφ b²t minimßlnφ funkΦnost informaΦnφho systΘmu zaruΦena.
(3) Plßnovßnφ kapacit aktiv informaΦnφho systΘmu a sledovßnφ kapacitnφch po₧adavk∙ se provßdφ tak, aby nedochßzelo k chybßm zp∙soben²m jejich nedostatkem.
(4) Musφ b²t zpracovßn plßn na obnovenφ Φinnosti po havßrii informaΦnφho systΘmu. Op∞tovnΘ uvedenφ informaΦnφho systΘmu do znßmΘho zabezpeΦenΘho stavu m∙₧e b²t provedeno manußln∞ sprßvcem informaΦnφho systΘmu nebo automaticky. VÜechny Φinnosti, kterΘ byly provedeny pro obnovenφ Φinnosti informaΦnφho systΘmu, se zpravidla zaznamenßvajφ do auditnφch zßznam∙ chrßn∞n²ch p°ed neoprßvn∞nou modifikacφ nebo zniΦenφm.
(1) Pro stanovenφ hrozeb, kterΘ ohro₧ujφ aktiva informaΦnφho systΘmu, musφ b²t provedena anal²za rizik.
(2) V rßmci provedenφ anal²zy rizik se definujφ aktiva informaΦnφho systΘmu a stanovujφ se hrozby, kterΘ p∙sobφ na jednotlivß aktiva informaΦnφho systΘmu. Posuzujφ se zejmΘna ohro₧enφ, kterß zp∙sobujφ ztrßtu funkΦnosti nebo zabezpeΦenosti informaΦnφho systΘmu.
(3) Po stanovenφ hrozeb se urΦujφ zranitelnß mφsta informaΦnφho systΘmu tak, ₧e ke ka₧dΘ hrozb∞ se najde zranitelnΘ mφsto nebo mφsta, na kterß tato hrozba p∙sobφ.
(4) V²sledkem provedenΘ anal²zy rizik je seznam hrozeb, kterΘ mohou ohrozit informaΦnφ systΘm, s uvedenφm odpovφdajφcφho rizika.
(5) Na zßklad∞ provedenΘ anal²zy rizik se provßdφ v²b∞r vhodn²ch protiopat°enφ.
V p°φpad∞ ne·m∞rn²ch nßklad∙ na zajiÜt∞nφ n∞kterΘ bezpeΦnostnφ funkce informaΦnφho systΘmu prost°edky poΦφtaΦovΘ bezpeΦnosti lze provΘst jejich nahrazenφ pou₧itφm prost°edk∙ personßlnφ nebo administrativnφ bezpeΦnosti, fyzickΘ bezpeΦnosti informaΦnφch systΘm∙ anebo organizaΦnφch opat°enφ. P°i nahrazenφ prost°edk∙ poΦφtaΦovΘ bezpeΦnosti nßhradnφm bezpeΦnostnφm mechanismem nebo skupinou mechanism∙, kterΘ majφ zajiÜ¥ovat urΦitou bezpeΦnostnφ funkci, musφ b²t dodr₧eny nßsledujφcφ zßsady:
| a) | bezpeΦnostnφ funkce musφ b²t pln∞ realizovßna, |
| b) | kvalita a ·rove≥ bezpeΦnostnφ funkce musφ b²t zachovßna. |
(1) Aktiva informaΦnφho systΘmu musφ b²t umφst∞na do zabezpeΦenΘho prostoru, ve kterΘm je zajiÜt∞na fyzickß ochrana informaΦnφho systΘmu p°ed neoprßvn∞n²m p°φstupem, poÜkozenφm a ovlivn∞nφm. Tento prostor je vymezen definovan²mi prvky ochrany s vhodn²mi kontrolami vstupu a bezpeΦnostnφmi bariΘrami.
(2) Aktivum informaΦnφho systΘmu musφ b²t fyzicky chrßn∞no p°ed bezpeΦnostnφmi hrozbami a riziky prost°edφ.
(3) Umφst∞nφ aktiv informaΦnφho systΘmu musφ b²t provedeno tak, aby zamezovalo nepovolanΘ osob∞ odezφrat utajovanΘ informace.
(4) TelekomunikaΦnφ infrastruktura p°enßÜejφcφ data nebo podporujφcφ slu₧by informaΦnφho systΘmu musφ b²t chrßn∞na p°ed mo₧nostφ zachycenφ p°enßÜen²ch utajovan²ch informacφ a jejich poÜkozenφ.
(5) Fyzickß bezpeΦnost informaΦnφch systΘm∙ se dopl≥uje opat°enφmi objektovΘ nebo technickΘ bezpeΦnosti.
(1) Komponenty informaΦnφho systΘmu, kterΘ naklßdajφ s utajovanou informacφ, musφ b²t zabezpeΦeny proti parazitnφmu elektromagnetickΘmu vyza°ovßnφ, kterΘ by mohlo zp∙sobit vyzrazenφ utajovanΘ informace.
(2) ┌rove≥ zabezpeΦenφ je zßvislß na stupni utajenφ utajovanΘ informace, se kterou informaΦnφ systΘm naklßdß.
(1) VÜechny nosiΦe utajovan²ch informacφ informaΦnφho systΘmu musφ b²t evidovßny.
(2) Vym∞niteln² nosiΦ utajovan²ch informacφ musφ b²t dßle oznaΦen zp∙sobem stanoven²m pro utajovanΘ skuteΦnosti nelistinnΘho charakteru.
(3) Stupe≥ utajenφ vym∞nitelnΘho nosiΦe utajovan²ch informacφ, kter² byl oznaΦen stupn∞m utajenφ "P°φsn∞ tajnΘ", nesmφ b²t snφ₧en.
(4) Stupe≥ utajenφ vym∞nitelnΘho nosiΦe utajovan²ch informacφ, kter² byl oznaΦen stupn∞m utajenφ "TajnΘ", "D∙v∞rnΘ" nebo "VyhrazenΘ", m∙₧e b²t snφ₧en pouze v p°φpad∞, ₧e vymazßnφ utajovan²ch informacφ z n∞j bylo provedeno zp∙sobem uveden²m v odstavci 5.
(5) Vymazßnφ utajovanΘ informace z vym∞nitelnΘho nosiΦe utajovan²ch informacφ, kterΘ umo₧≥uje snφ₧enφ jeho stupn∞ utajenφ, musφ b²t provedeno tak, aby zφskßnφ zbytkovΘ utajovanΘ informace nebylo mo₧nΘ nebo bylo vysoce obtφ₧nΘ i p°i vyu₧itφ specißlnφch laboratornφch metod a prost°edk∙.
(6) NiΦenφ nosiΦe utajovan²ch informacφ informaΦnφho systΘmu musφ b²t provedeno tak, aby nebylo mo₧no ₧ßdn²m zp∙sobem utajovanou informaci z n∞ho op∞tovn∞ zφskat.
(1) V orgßnu stßtu nebo v organizaci m∙₧e b²t bezpeΦnostnφ politika pro samostatnΘ osobnφ poΦφtaΦe, kterΘ naklßdajφ s utajovan²mi skuteΦnostmi, zpracovßna jednotn∞, zejmΘna pro naklßdßnφ s utajovan²mi informacemi prost°ednictvφm textov²ch editor∙, tabulkov²ch procesor∙, databßzov²ch systΘm∙ s lokßlnφmi databßzemi nebo specializovan²ch program∙ instalovan²ch na samostatn²ch osobnφch poΦφtaΦφch.
(2) SystΘm opat°enφ pou₧it²ch pro celkovou ochranu samostatnΘho osobnφho poΦφtaΦe vychßzφ z pojetφ tohoto za°φzenφ jako nosiΦe utajovanΘ informace klasifikovanΘho nejvyÜÜφm stupn∞m utajenφ utajovanΘ informace, se kterou samostatn² osobnφ poΦφtaΦ naklßdß.
(1) Pro mobilnφ a p°enosnΘ informaΦnφ systΘmy se v anal²ze rizik posuzujφ i rizika, kterß jsou u mobilnφch informaΦnφch systΘm∙ spojena s dopravnφm prost°edkem a u p°enosn²ch informaΦnφch systΘm∙ s prost°edφmi, ve kter²ch budou tyto informaΦnφ systΘmy pou₧φvßny.
(2) Ochrana komponentu mobilnφho a p°enosnΘho informaΦnφho systΘmu, kter² obsahuje utajovanΘ informace, vychßzφ z pojetφ tohoto komponentu jako nosiΦe utajovanΘ informace klasifikovanΘho nejvyÜÜφm stupn∞m utajenφ utajovanΘ informace, se kterou tento komponent naklßdß.
(1) BezpeΦnost informaΦnφho systΘmu se musφ p°ed jeho certifikacφ ov∞°it testovßnφm. Testovßnφ provßdφ komise, jejφ₧ ΦlenovΘ nesmφ b²t ve vztahu k informaΦnφmu systΘmu a k v²vojovΘmu t²mu podjati tφm, ₧e by se podφleli na v²voji informaΦnφho systΘmu, ₧e by m∞li osobnφ zßjem na v²sledcφch testovßnφ nebo je s v²vojov²m t²mem spojoval osobnφ anebo pracovnφ a jin² obdobn² vztah. K provedenφ testovßnφ se nesm∞jφ pou₧φvat utajovanΘ informace.
(2) V²sledky test∙ musejφ prokßzat, ₧e bezpeΦnostnφ funkce jsou pln∞ v souladu s bezpeΦnostnφ politikou informaΦnφho systΘmu. V²sledky test∙ musφ b²t zadokumentovßny. Chyby nalezenΘ b∞hem testovßnφ musφ b²t odstran∞ny a jejich odstran∞nφ musφ b²t ov∞°eno nßsledn²mi testy.
(1) BezpeΦnost provozovanΘho informaΦnφho systΘmu musφ b²t pr∙b∞₧n∞, s ohledem na skuteΦn² stav informaΦnφho systΘmu, prov∞°ovßna a vyhodnocovßna. DφlΦφ zm∞nu v informaΦnφm systΘmu je mo₧no provΘst a₧ po vyhodnocenφ vlivu tΘto zm∞ny na bezpeΦnost informaΦnφho systΘmu.
(2) Integrita programovΘho vybavenφ i utajovan²ch informacφ musφ b²t chrßn∞na p°ed p∙sobenφm ÜkodlivΘho k≤du.
(3) V provozovanΘm informaΦnφm systΘmu m∙₧e b²t pou₧φvßno pouze programovΘ vybavenφ, kterΘ bylo dodßno provozovatelem informaΦnφho systΘmu.
(4) V provozovanΘm informaΦnφm systΘmu musφ b²t provßd∞no zßlohovßnφ programovΘho vybavenφ a utajovan²ch informacφ. Zßloha programovΘho vybavenφ a utajovan²ch informacφ musφ b²t ulo₧ena tak, aby nemohlo dojφt k jejφmu poÜkozenφ nebo zniΦenφ p°i ohro₧enφ informaΦnφho systΘmu.
(5) Servisnφ Φinnost v provozovanΘm informaΦnφm systΘmu se musφ organizovat tak, aby nebyla ohro₧ena jeho bezpeΦnost. Z nosiΦ∙ utajovan²ch informacφ informaΦnφho systΘmu p°φstupn²ch p°i servisnφ Φinnosti musφ b²t vymazßny utajovanΘ informace a dßlkovß diagnostika musφ b²t zabezpeΦena p°ed zneu₧itφm.
(6) V provozovanΘm informaΦnφm systΘmu musφ b²t v termφnech stanoven²ch v bezpeΦnostnφ dokumentaci informaΦnφho systΘmu a p°i vzniku krizovΘ situace neprodlen∞ provßd∞no vyhodnocenφ auditnφch zßznam∙. Auditnφ zßznamy musφ b²t archivovßny po dobu stanovenou v bezpeΦnostnφ dokumentaci informaΦnφho systΘmu.
(7) Pro °eÜenφ krizovΘ situace provozovanΘho informaΦnφho systΘmu musφ b²t v bezpeΦnostnφ dokumentaci informaΦnφho systΘmu stanovena opat°enφ zam∞°enß na jeho uvedenφ do znßmΘho bezpeΦnΘho stavu. V bezpeΦnostnφ dokumentaci informaΦnφho systΘmu musφ b²t uvedena tato opat°enφ:
| a) | Φinnost nßsledujφcφ bezprost°edn∞ po vzniku krizovΘ situace zam∞°enß na minimalizaci Ükod, |
| b) | Φinnost nßsledujφcφ po vzniku krizovΘ situace zam∞°enß na likvidaci nßsledk∙ krizovΘ situace vΦetn∞ vymezenφ osobnφ odpov∞dnosti za jednotlivΘ ·koly, |
| c) | zp∙sob zßlohovßnφ informaΦnφho systΘmu, |
| d) | zp∙sob zajiÜ¥ovßnφ servisnφ Φinnosti, |
| e) | zp∙sob zajiÜt∞nφ nouzovΘho provozu informaΦnφho systΘmu s vyjmenovßnφm minimßlnφch funkcφ, kterΘ musφ b²t zachovßny, |
| f) | zp∙sob obnovy funkΦnosti a uvedenφ informaΦnφho systΘmu do znßmΘho bezpeΦnΘho stavu. |
(8) P°ed likvidacφ informaΦnφho systΘmu musφ b²t provedeno vyjmutφ, vymazßnφ nebo zniΦenφ utajovan²ch informacφ, se kter²mi informaΦnφ systΘm naklßdal.
(1) U₧ivatel informaΦnφho systΘmu musφ b²t autorizovßn pro Φinnost v informaΦnφm systΘmu a tato autorizace musφ b²t zm∞n∞na p°i zm∞n∞ jeho role v rßmci informaΦnφho systΘmu nebo zruÜena p°i zßniku jeho urΦenφ.
(2) Provozovatel informaΦnφho systΘmu musφ zabezpeΦit proÜkolovßnφ u₧ivatel∙ informaΦnφho systΘmu v dodr₧ovßnφ opat°enφ stanoven²ch v bezpeΦnostnφ dokumentaci informaΦnφho systΘmu a sprßvnΘm u₧φvßnφ informaΦnφho systΘmu.
(1) Äßdost o provedenφ certifikace informaΦnφho systΘmu p°edklßdß ┌°adu orgßn stßtu nebo organizace, kterΘ budou informaΦnφ systΘm provozovat, (dßle jen "₧adatel").
(2) Äßdost podle odstavce 1 obsahuje:
| a) | struΦn² popis ·Φelu a rozsahu informaΦnφho systΘmu vΦetn∞ stanovenφ jeho b∞₧n²ch a minimßlnφch funkcφ, |
| b) | stupe≥ utajenφ utajovan²ch informacφ, se kter²mi bude informaΦnφ systΘm naklßdat, |
| c) | stanovenφ bezpeΦnostnφho provoznφho m≤du informaΦnφho systΘmu, |
| d) | identifikaci dodavatele informaΦnφho systΘmu. |
(3) ┌°ad vypracuje seznam podklad∙ pro ov∞°enφ zp∙sobilosti informaΦnφho systΘmu naklßdat s utajovan²mi informacemi (dßle jen "hodnocenφ") a Φasov² plßn jejich p°edlo₧enφ ₧adatelem. K provedenφ hodnocenφ ₧adatel v₧dy p°edlo₧φ nßsledujφcφ podklady:
| a) | bezpeΦnostnφ politiku informaΦnφho systΘmu a v²sledky anal²zy rizik, |
| b) | nßvrh bezpeΦnosti informaΦnφho systΘmu, |
| c) | sadu test∙ bezpeΦnosti informaΦnφho systΘmu, jejich popis a popis v²sledk∙ testovßnφ, |
| d) | bezpeΦnostnφ provoznφ dokumentaci informaΦnφho systΘmu, |
| e) | popis bezpeΦnosti v²vojovΘho prost°edφ. |
(4) Hodnocenφ se provßdφ posouzenφm podklad∙ p°edlo₧en²ch ₧adatelem a provedenφm dodateΦn²ch test∙. DodateΦnΘ testy provßdφ ┌°ad u ₧adatele v provoznφm prost°edφ hodnocenΘho informaΦnφho systΘmu za spolu·Φasti ₧adatele a v p°φpad∞ pot°eby dodavatele.
(5) Jsou-li v pr∙b∞hu hodnocenφ zjiÜt∞ny nedostatky, vyzve ┌°ad ₧adatele k jejich odstran∞nφ. Pokud ₧adatel v termφnu stanovenΘm ┌°adem zjiÜt∞nΘ nedostatky neodstranφ, hodnocenφ se ukonΦφ.
(6) Hodnocenφ lze provßd∞t pr∙b∞₧n∞ po ukonΦenφ jednotliv²ch fßzφ v²stavby informaΦnφho systΘmu nebo a₧ po jeho celkovΘm dokonΦenφ.
(7) O v²sledku hodnocenφ se zpracujφ technickΘ zprßvy.
(8) Jestli₧e se na zßklad∞ v²sledku hodnocenφ zjistφ zp∙sobilost hodnocenΘho informaΦnφho systΘmu pro naklßdßnφ s utajovan²mi informacemi, obdr₧φ ₧adatel o tomto certifikßt. V p°φpad∞, ₧e hodnocen² informaΦnφ systΘm spl≥uje zp∙sobilost pouze pro ni₧Üφ stupe≥ utajenφ, vydß se certifikßt na tento stupe≥ utajenφ.
(9) Dojde-li v informaΦnφm systΘmu, jeho₧ zp∙sobilost byla schvßlena, ke zm∞nßm uveden²m v º 25 odst. 2 pφsm. e), provßdφ se dopl≥ujφcφ hodnocenφ informaΦnφho systΘmu v rozsahu pot°ebnΘm k posouzenφ proveden²ch zm∞n. V p°φpad∞ provßd∞nφ dopl≥ujφcφho hodnocenφ informaΦnφho systΘmu se postupuje obdobn∞ jako p°i provßd∞nφ certifikace informaΦnφho systΘmu.
(1) Certifikßt informaΦnφho systΘmu, jeho₧ vzor je uveden v p°φloze, obsahuje:
| a) | identifikaci informaΦnφho systΘmu vΦetn∞ oznaΦenφ verze, pro kter² je vydßvßn, |
| b) | identifikaci certifikßtu p°id∞lenou ┌°adem, |
| c) | identifikaci ₧adatele, |
| d) | identifikaci dodavatele informaΦnφho systΘmu, |
| e) | stupe≥ utajenφ utajovan²ch informacφ, pro kter² byla schvßlena jeho zp∙sobilost, |
| f) | dobu platnosti certifikßtu. |
(2) SouΦßstφ certifikßtu je certifikaΦnφ zprßva, kterß tvo°φ jeho p°φlohu. CertifikaΦnφ zprßva obsahuje:
| a) | orientaΦnφ popis informaΦnφho systΘmu, |
| b) | bezpeΦnostnφ politiku informaΦnφho systΘmu, |
| c) | hlavnφ zßv∞ry z hodnocenφ, |
| d) | p°φpadnß omezenφ podmi≥ujφcφ platnost certifikßtu a |
| e) | typy zm∞n informaΦnφho systΘmu, kterΘ vy₧adujφ provedenφ dopl≥ujφcφho hodnocenφ informaΦnφho systΘmu. |
(1) ┌°ad vede p°ehled certifikovan²ch informaΦnφch systΘm∙. K certifikovanΘmu informaΦnφmu systΘmu se vede certifikaΦnφ spis, do kterΘho se zaklßdß ₧ßdost o provedenφ certifikace, podklady poskytnutΘ ₧adatelem, technickΘ zprßvy a certifikaΦnφ zprßva hodnocenΘho informaΦnφho systΘmu a kopie vydanΘho certifikßtu.
(2) SkartaΦnφ lh∙ta certifikaΦnφho spisu zaΦφnß b∞₧et dnem skonΦenφ platnosti certifikßtu a Φinφ nejmΘn∞ 5 let.
(1) InformaΦnφ systΘm orgßnu stßtu, ve kterΘm ke dni ·Φinnosti zßkona byla zpracovßvßna skuteΦnost tvo°φcφ p°edm∞t stßtnφho, hospodß°skΘho nebo slu₧ebnφho tajemstvφ pomocφ v²poΦetnφ techniky podle dosavadnφ prßvnφ ·pravy,2) a informaΦnφ systΘm orgßnu stßtu, kter² ode dne ·Φinnosti zßkona do dne ·Φinnosti tΘto vyhlßÜky naklßdal s utajovanou skuteΦnostφ, lze v p°φpad∞ pot°eby pova₧ovat za certifikovan² informaΦnφ systΘm podle tΘto vyhlßÜky, nejpozd∞ji do 18 m∞sφc∙ ode dne nabytφ ·Φinnosti tΘto vyhlßÜky.
(2) InformaΦnφ systΘm organizace, ve kterΘm ke dni ·Φinnosti zßkona byla zpracovßvßna skuteΦnost tvo°φcφ p°edm∞t stßtnφho, hospodß°skΘho nebo slu₧ebnφho tajemstvφ pomocφ v²poΦetnφ techniky podle dosavadnφ prßvnφ ·pravy,2) a informaΦnφ systΘm organizace, kter² ode dne ·Φinnosti zßkona do dne ·Φinnosti tΘto vyhlßÜky naklßdal s utajovanou skuteΦnostφ, lze v p°φpad∞ pot°eby pova₧ovat za certifikovan² informaΦnφ systΘm podle tΘto vyhlßÜky, nejpozd∞ji do 12 m∞sφc∙ ode dne nabytφ ·Φinnosti tΘto vyhlßÜky.
(3) Statutßrnφ orgßn stanovφ, kterΘ informaΦnφ systΘmy uvedenΘ v odstavci 1 nebo odstavci 2 pova₧uje za certifikovanΘ informaΦnφ systΘmy podle tΘto vyhlßÜky.
(4) Äßdost o certifikaci informaΦnφho systΘmu uvedenΘho v odstavci 1 nebo odstavci 2, u kterΘho statutßrnφ orgßn stanovil, ₧e jej pova₧uje za certifikovan² informaΦnφ systΘm podle tΘto vyhlßÜky, je nutno p°edlo₧it nejpozd∞ji 6 m∞sφc∙ p°ed uplynutφm lh∙ty, po kterou je pova₧ovßn za certifikovan².
Tato vyhlßÜka nab²vß ·Φinnosti dnem vyhlßÜenφ.
╪editel:
Ing. Kadlec v. r.
P°φloha k vyhlßÜce Φ. 56/1999 Sb.
| 1) | Nap°. kritΘria bezpeΦnosti Trusted computer system evaluation criteria (TCSEC), Information technology security evaluation criteria (ITSEC), Common criteria (CC) nebo Canadian trusted computer product evaluation criteria (CTCPEC). |
| 2) | Sm∞rnice Federßlnφho ministerstva vnitra ze dne 6. Φervna 1973 pro zabezpeΦenφ ochrany skuteΦnostφ tvo°φcφch p°edm∞t stßtnφho, hospodß°skΘho a slu₧ebnφho tajemstvφ p°i jejich zpracovßnφ pomocφ v²poΦetnφ techniky. |