Vyhláška o kybernetické bezpečnosti

VYHLÁŠKA O BEZPEČNOSTNÍCH OPATŘENÍCH KYBERNETICKÝCH BEZPEČNOSTNÍCH INCIDENTECH, REAKTIVNÍCH OPATŘENÍCH, NÁLEŽITOSTECH PODÁNÍ V OBLASTI KYBERNETICKÉ BEZPEČNOSTI A LIKVIDACI DAT (VYHLÁŠKA O KYBERNETICKÉ BEZPEČNOSTI)

PLATNOST: 28. 5. 2018

ÚČINNOST: 28: 5. 2018

TATO VYHLÁŠKA PRÁVNĚ UPRAVUJE

a) bezpečnostní dokumentaci,

b) bezpečnostních opatření,

c) kybernetické bezpečnostní incidenty,

d) náležitosti a způsob hlášení kybernetického bezpečnostního incidentu,

e) náležitosti oznámení o provedení reaktivního opatření a jeho výsledku,

f) vzor oznámení kontaktních údajů a jeho formu

g) způsob likvidace dat, provozních údajů, informací a jejich kopií.

ZÁKLADNÍ POJMY

• administrátor – osoba zajišťující správu, provoz, použití, údržbu a bezpečnost technického aktiva,

• akceptovatelné riziko – riziko, které je přijatelné pro povinnou osobu a není nutné jej zvládat pomocí dalších bezpečnostních opatření,

• bezpečnostní politika – soubor zásad a pravidel, které určují způsob zajištění ochrany aktiv,

• hodnocení rizik – proces identifikace, analýzy a vyhodnocení rizik,

• hrozba – potenciální příčina kybernetické bezpečnostní události nebo kybernetického bezpečnostního incidentu, která může způsobit škodu,

• podpůrné aktivum – technické aktivum, zaměstnanci a dodavatelé podílející se na provozu, rozvoji, správě nebo bezpečnosti informačního a komunikačního systému,

• primárním aktivum – informace nebo služba, kterou zpracovává nebo poskytuje informační a komunikační systém,

• riziko – možnost, že určitá hrozba využije zranitelnosti aktiva a způsobí škodu,

• řízení rizika – činnost zahrnující hodnocení rizik, výběr a zavedení opatření ke zvládání rizik, sdílení informací o riziku a sledování a přezkoumání rizik,

• systém řízení bezpečnosti informací – část systému řízení povinné osoby založená na přístupu k rizikům informačního a komunikačního systému, cílem je zejména zlepšování bezpečnosti informací a dat,

• technické aktivum takové technické vybavení, komunikační prostředky a programové vybavení informačního a komunikačního systému a objekty, ve kterých jsou tyto systémy umístěny

• uživatel – fyzická nebo právnická osoba anebo orgán veřejné moci, které využívají aktiva,

• významný dodavatel – provozovatel informačního nebo komunikačního systému

• významná změna – změna, která má nebo může mít vliv na kybernetickou bezpečnost a představuje vysoké riziko,

• zranitelnost – slabé místo aktiva nebo slabé místo bezpečnostního opatření, které může být zneužito jednou nebo více hrozbami.

BEZPEČNOSTNÍ OPATŘENÍ – organizační a technická

ORGANIZAČNÍ OPATŘENÍ

Povinná osoba v rámci systému řízení bezpečnosti informací

• stanoví systém řízení bezpečnosti informací,

• zavede přiměřená bezpečnostní opatření,

• vytvoří a schválí bezpečnostní politiku v oblasti systému řízení bezpečnosti informací

• zajistí provedení auditu kybernetické bezpečnosti

• aktualizuje systém řízení bezpečnosti informací a příslušnou dokumentaci na základě zjištění auditů kybernetické bezpečnosti

• zajistí stanovení pravidel pro určení administrátorů a osob, které budou zastávat bezpečnostní role

• určí tyto pozice: