Vyhláška o kybernetické bezpečnosti

• manažer kybernetické bezpečnosti,

• architekt kybernetické bezpečnosti,

• garant aktiva

• auditor kybernetické bezpečnosti

Povinná osoba v rámci řízení aktiv

• stanoví metodiku pro hodnocení rizik

• identifikuje relevantní hrozby a zranitelnosti

• provádí hodnocení rizik a zpracuje zprávu o hodnocení rizik

• zpracuje a zavede plán zvládání rizik, který obsahuje:

• bezpečnostní opatření pro zvládání jednotlivých rizik

• určení osoby zajišťující prosazování bezpečnostních opatření pro zvládání rizik

• potřebné finanční, technické, lidské a informační zdroje

• způsob realizace bezpečnostních opatření,

BEZPEČNOST LIDSKÝCH ZDROJŮ

Povinná osoba v rámci řízení bezpečnosti lidských zdrojů

• stanoví plán rozvoje bezpečnostního povědomí, který obsahuje:

• poučení uživatelů, administrátorů, osob zastávajících bezpečnostní role a dodavatelů o jejich povinnostech a o bezpečnostní politice

• teoretická a praktická školení uživatelů, administrátorů a osob zastávajících bezpečnostní role,

• určí osoby odpovědné za realizaci jednotlivých činností, které jsou v plánu uvedeny,

• zajistí pravidelné školení a ověřování bezpečnostního povědomí zaměstnanců v souladu s jejich pracovní náplní,

• zajistí kontrolu dodržování bezpečnostní politiky

• určí pravidla a postupy pro řešení případů porušení stanovených bezpečnostních pravidel

• vede o školení přehledy, které obsahují předmět školení a seznam osob, které školení absolvovaly

ŘÍZENÍ PROVOZU A KOMUNIKACÍ

Povinná osoba zajišťuje bezpečný provoz informačního a komunikačního systému a stanoví provozní pravidla a postupy, které obsahují zejména:

• práva a povinnosti administrátorů, uživatelů a osob zastávajících bezpečnostní role,

• postupy pro spuštění a ukončení chodu systému, pro restart nebo obnovení chodu systému po jeho selhání

• postupy pro sledování kybernetických bezpečnostních událostí

• pravidla a postupy pro ochranu před škodlivým kódem,

• řízení technických zranitelností,

• pravidla a postupy:

• pro ochranu informací a dat

• pro instalaci technických aktiv,

• pro provádění pravidelného zálohování a kontroly použitelnosti provedených záloh

• pro zajištění bezpečnosti síťových služeb

ŘÍZENÍ PŘÍSTUPU

Povinná osoba přijímá opatření, která slouží k zajištění ochrany údajů, které jsou používány pro přihlášení a která brání ve zneužití těchto údajů neoprávněnou osobou.

Povinná osoba

• řídí přístup na základě skupin a rolí,

• přidělí každému uživateli a administrátorovi přístupová práva a oprávnění a jedinečný identifikátor,

• řídí identifikátory, přístupová práva a oprávnění aplikací a technických účtů,

• přiděluje a odebírá přístupová oprávnění

• zajistí odebrání nebo změnu přístupových oprávnění při změně pozice nebo zařazení uživatelů, administrátorů nebo osob zastávajících bezpečnostní role,

• zajistí odebrání nebo změnu přístupových oprávnění při ukončení nebo změně smluvního vztahu

• dokumentuje přidělování a odebírání přístupových oprávnění.