Vyhláška o kybernetické bezpečnosti

ZVLÁDÁNÍ KYBERNETICKÝCH BEZPEČNOSTNÍCH UDÁLOSTÍ A INCIDENTŮ

Povinná osoba

• zavede proces detekce (zjišťování) a vyhodnocování kybernetických bezpečnostních událostí a zvládání kybernetických bezpečnostních incidentů,

• definuje postupy pro identifikaci, sběr, získání a uchování věrohodných podkladů potřebných pro analýzu kybernetického bezpečnostního incidentu,

• zajistí, že všichni zaměstnanci budou oznamovat neobvyklé chování informačního a komunikačního systému a podezření na jakékoliv zranitelnosti,

• přijímá opatření pro odvrácení a zmírnění dopadu kybernetického bezpečnostního incidentu,

• hlásí kybernetické bezpečnostní incidenty

• vede záznamy o kybernetických bezpečnostních incidentech a o jejich zvládání,

• prošetří a určí příčiny kybernetického bezpečnostního incidentu a stanoví nutná bezpečnostní opatření

AUDIT KYBERNETICKÉ BEZPEČNOSTI

Povinná osoba v rámci auditu kybernetické bezpečnosti

• provádí audit dodržování bezpečnostní politiky

• posuzuje soulad bezpečnostních opatření s nejlepší praxí, právními předpisy, vnitřními předpisy a jinými předpisy a určí případná nápravná opatření

• předkládá výsledky auditu kybernetické bezpečnosti správci daného informačního a komunikačního systému

TECHNICKÁ OPATŘENÍ

FYZICKÁ BEZPEČNOST

Povinná osoba v rámci fyzické bezpečnosti

• předchází poškození, krádeži nebo zneužití aktiv nebo přerušení poskytování služeb informačního a komunikačního systému,

• stanoví fyzický bezpečnostní perimetr (bezpečný prostor), ve kterém jsou uchovávány a zpracovávány informace a umístěna technická aktiva informačního a komunikačního systému,

• zajistí ochranu bezpečnostního perimetru, aby nedošlo k neoprávněnému vstupu do bezpečného prostoru a poškození

BEZPEČNOST KOMUNIKAČNÍCH SÍTÍ

Povinná osoba pro ochranu bezpečnosti komunikační sítě

• zajistí segmentaci komunikační sítě,

• pomocí kryptografie zajistí důvěrnost a integritu dat při vzdáleném přístupu, vzdálené správě nebo při přístupu do komunikační sítě pomocí bezdrátových technologií,

• aktivně blokuje nežádoucí komunikaci

SPRÁVA A OVĚŘOVÁNÍ IDENTIT

Povinná osoba používá nástroj pro správu a ověření identity uživatelů, administrátorů a aplikací informačního a komunikačního systému.

Nástroj pro správu a ověření identity uživatelů, administrátorů a aplikací zajišťuje

• ověření identity před zahájením aktivit v informačním a komunikačním systému,

• řízení počtu možných neúspěšných pokusů o přihlášení,

• odolnost uložených nebo přenášených autentizačních údajů proti neoprávněnému odcizení a zneužití,

• ukládání autentizačních údajů ve formě odolné proti off-line útokům,

• opětovné ověření identity po určené době nečinnosti,

• dodržení důvěrnosti autentizačních údajů při obnově přístupu

• centralizovanou správu identit