vyhláška o kybernetické bezpečnosti

§ 16

účinné od 1. 1. 2015Fyzická bezpečnost

účinné od 1. 1. 2015(1) Orgán a osoba uvedená v § 3 písm. c) až e) zákona v rámci fyzické bezpečnosti

1. účinné od 1. 1. 2015a) přijme nezbytná opatření k zamezení neoprávněnému vstupu do vymezených prostor, kde jsou zpracovávány informace a umístěna technická aktiva informačního systému kritické informační infrastruktury, komunikačního systému kritické informační infrastruktury nebo významného informačního systému,
2. účinné od 1. 1. 2015b) přijme nezbytná opatření k zamezení poškození a zásahům do vymezených prostor, kde jsou uchovány informace a umístěna technická aktiva informačního systému kritické informační infrastruktury, komunikačního systému kritické informační infrastruktury nebo významného informačního systému, a
3. účinné od 1. 1. 2015c) předchází poškození, krádeži nebo zneužití aktiv nebo přerušení poskytování služeb informačního systému kritické informační infrastruktury, komunikačního systému kritické informační infrastruktury nebo významného informačního systému.

účinné od 1. 1. 2015(2) Orgán a osoba uvedená v § 3 písm. c) a d) zákona dále uplatňuje prostředky fyzické bezpečnosti

1. účinné od 1. 1. 2015a) pro zajištění ochrany na úrovni objektů a
2. účinné od 1. 1. 2015b) pro zajištění ochrany v rámci objektů zajištěním zvýšené bezpečnosti vymezených prostor, ve kterých jsou umístěna technická aktiva informačního systému kritické informační infrastruktury nebo komunikačního systému kritické informační infrastruktury.

účinné od 1. 1. 2015(3) Prostředky fyzické bezpečnosti jsou zejména

1. účinné od 1. 1. 2015a) mechanické zábranné prostředky,
2. účinné od 1. 1. 2015b) zařízení elektrické zabezpečovací signalizace,
3. účinné od 1. 1. 2015c) prostředky omezující působení požárů,
4. účinné od 1. 1. 2015d) prostředky omezující působení projevů živelních událostí,
5. účinné od 1. 1. 2015e) systémy pro kontrolu vstupu,
6. účinné od 1. 1. 2015f) kamerové systémy,
7. účinné od 1. 1. 2015g) zařízení pro zajištění ochrany před selháním dodávky elektrického napájení a
8. účinné od 1. 1. 2015h) zařízení pro zajištění optimálních provozních podmínek.

§ 17

účinné od 1. 1. 2015Nástroj pro ochranu integrity komunikačních sítí

účinné od 1. 1. 2015(1) Orgán a osoba uvedená v § 3 písm. c) až e) zákona pro ochranu integrity rozhraní vnější komunikační sítě, která není pod správou orgánu nebo osoby, a vnitřní komunikační sítě, která je pod správou orgánu nebo osoby, zavede

1. účinné od 1. 1. 2015a) řízení bezpečného přístupu mezi vnější a vnitřní sítí,
2. účinné od 1. 1. 2015b) segmentaci zejména použitím demilitarizovaných zón jako speciálního typu sítě používaného ke zvýšení bezpečnosti aplikací dostupných z vnější sítě a k zamezení přímé komunikace vnitřní sítě s vnější sítí,
3. účinné od 1. 1. 2015c) kryptografické prostředky (§ 25) pro vzdálený přístup, vzdálenou správu nebo pro přístup pomocí bezdrátových technologií a
4. účinné od 1. 1. 2015d) opatření pro odstranění nebo blokování přenášených dat, které neodpovídají požadavkům na ochranu integrity komunikační sítě.

účinné od 1. 1. 2015(2) Orgán a osoba uvedená v § 3 písm. c) a d) zákona dále využívá nástroje pro ochranu integrity vnitřní komunikační sítě, které zajistí její segmentaci.

§ 18

účinné od 1. 1. 2015Nástroj pro ověřování identity uživatelů

účinné od 1. 1. 2015(1) Orgán a osoba uvedená v § 3 písm. c) až e) zákona používá nástroje pro ověření identity uživatelů a administrátorů informačního systému kritické informační infrastruktury, komunikačního systému kritické informační infrastruktury a významného informačního systému.

účinné od 1. 1. 2015(2) Nástroj pro ověřování identity uživatelů a administrátorů zajišťuje ověření identity uživatelů a administrátorů před zahájením jejich aktivit v informačním systému kritické informační infrastruktury, komunikačním systému kritické informační infrastruktury a významném informačním systému.

účinné od 1. 1. 2015(3) Nástroj pro ověřování identity uživatelů, který používá autentizaci pouze heslem, zajišťuje

1. účinné od 1. 1. 2015a) minimální délku hesla osm znaků,
2. účinné od 1. 1. 2015b) minimální složitost hesla tak, že heslo bude obsahovat alespoň 3 z následujících čtyř požadavků
   1. účinné od 1. 1. 20151. nejméně jedno velké písmeno,
   2. účinné od 1. 1. 20152. nejméně jedno malé písmeno,
   3. účinné od 1. 1. 20153. nejméně jednu číslici, nebo
   4. účinné od 1. 1. 20154. nejméně jeden speciální znak odlišný od požadavků uvedených v bodech 1 až 3,

1. účinné od 1. 1. 2015c) maximální dobu pro povinnou výměnu hesla nepřesahující sto dnů; tento požadavek není vyžadován pro samostatné identifikátory aplikací.

účinné od 1. 1. 2015(4) Orgán a osoba uvedená v § 3 písm. c) a d) zákona dále

1. účinné od 1. 1. 2015a) používá nástroj pro ověření identity, který
   1. účinné od 1. 1. 20151. zamezí opětovnému používání dříve používaných hesel a neumožní více změn hesla jednoho uživatele během stanoveného období, které musí být nejméně 24 hodin, a
   2. účinné od 1. 1. 20152. provádí opětovné ověření identity po určené době nečinnosti a

1. účinné od 1. 1. 2015b) využívá nástroj pro ověřování identity administrátorů. V případě, že tento nástroj využívá autentizaci heslem, zajistí prosazení minimální délky hesla patnáct znaků při dodržení požadavků podle odstavce 3 písm. b) a c).

účinné od 1. 1. 2015(5) Nástroj pro ověřování identity uživatelů může být zajištěn i jinými způsoby, než jaké jsou stanoveny v odstavcích 3 až 5, pokud orgán a osoba uvedená v § 3 písm. c) až e) zákona zabezpečí, že používá opatření zajišťující stejnou nebo vyšší úroveň odolnosti hesla.

§ 19

účinné od 1. 1. 2015Nástroj pro řízení přístupových oprávnění

účinné od 1. 1. 2015(1) Orgán a osoba uvedená v § 3 písm. c) až e) zákona používá nástroj pro řízení přístupových oprávnění, kterým zajistí řízení oprávnění

1. účinné od 1. 1. 2015a) pro přístup k jednotlivým aplikacím a datům a
2. účinné od 1. 1. 2015b) pro čtení dat, pro zápis dat a pro změnu oprávnění.

účinné od 1. 1. 2015(2) Orgán a osoba uvedená v § 3 písm. c) a d) zákona dále používá nástroj pro řízení přístupových oprávnění, který zaznamenává použití přístupových oprávnění v souladu s bezpečnostními potřebami a výsledky hodnocení rizik.

§ 20

účinné od 1. 1. 2015Nástroj pro ochranu před škodlivým kódem

účinné od 1. 1. 2015Orgán a osoba uvedená v § 3 písm. c) až e) zákona pro řízení rizik spojených s působením škodlivého kódu používá nástroj pro ochranu informačního systému kritické informační infrastruktury, komunikačního systému kritické informační infrastruktury a významného informačního systému před škodlivým kódem, který zajistí ověření a stálou kontrolu

1. účinné od 1. 1. 2015a) komunikace mezi vnitřní sítí a vnější sítí,
2. účinné od 1. 1. 2015b) serverů a sdílených datových úložišť a
3. účinné od 1. 1. 2015c) pracovních stanic,

účinné od 1. 1. 2015přičemž provádí pravidelnou a účinnou aktualizaci nástroje pro ochranu před škodlivým kódem, jeho definic a signatur.

§ 21

účinné od 1. 1. 2015Nástroj pro zaznamenávání činností kritické informační infrastruktury a významných informačních systémů, jejich uživatelů a administrátorů

účinné od 1. 1. 2015(1) Orgán a osoba uvedená v § 3 písm. c) až e) zákona používá nástroj pro zaznamenávání činností informačního systému kritické informační infrastruktury, komunikačního systému kritické informační infrastruktury a významného informačního systému, který zajistí

1. účinné od 1. 1. 2015a) sběr informací o provozních a bezpečnostních činnostech, zejména typ činnosti, datum a čas, identifikaci technického aktiva, které činnost zaznamenalo, identifikaci původce a místa činnosti a úspěšnost nebo neúspěšnost činnosti a
2. účinné od 1. 1. 2015b) ochranu získaných informací před neoprávněným čtením nebo změnou.

účinné od 1. 1. 2015(2) Orgán a osoba uvedená v § 3 písm. c) až e) zákona dále pomocí nástroje pro zaznamenávání činnosti informačního systému kritické informační infrastruktury, komunikačního systému kritické informační infrastruktury a významného informačního systému zaznamenává

1. účinné od 1. 1. 2015a) přihlášení a odhlášení uživatelů a administrátorů,
2. účinné od 1. 1. 2015b) činnosti provedené administrátory,
3. účinné od 1. 1. 2015c) činnosti vedoucí ke změně přístupových oprávnění,
4. účinné od 1. 1. 2015d) neprovedení činností v důsledku nedostatku přístupových oprávnění a další neúspěšné činnosti uživatelů,
5. účinné od 1. 1. 2015e) zahájení a ukončení činností technických aktiv informačního systému kritické informační infrastruktury, komunikačního systému kritické informační infrastruktury a významného informačního systému,
6. účinné od 1. 1. 2015f) automatická varovná nebo chybová hlášení technických aktiv,
7. účinné od 1. 1. 2015g) přístupy k záznamům o činnostech, pokusy o manipulaci se záznamy o činnostech a změny nastavení nástroje pro zaznamenávání činností a
8. účinné od 1. 1. 2015h) použití mechanismů identifikace a autentizace včetně změny údajů, které slouží k přihlášení.

účinné od 1. 1. 2015(3) Orgán a osoba uvedená v § 3 písm. c) a d) zákona záznamy činností zaznamenané podle odstavce 2 uchovává nejméně po dobu 3 měsíců.

účinné od 1. 1. 2015(4) Orgán a osoba uvedená v § 3 písm. c) až e) zákona zajišťuje nejméně jednou za 24 hodin synchronizaci jednotného systémového času technických aktiv patřících do informačního systému kritické informační infrastruktury, komunikačního systému kritické informační infrastruktury nebo významného informačního systému.

§ 22

účinné od 1. 1. 2015Nástroj pro detekci kybernetických bezpečnostních událostí

účinné od 1. 1. 2015(1) Orgán a osoba uvedená v § 3 písm. c) až e) zákona používá nástroj pro detekci kybernetických bezpečnostních událostí, který vychází ze stanovených bezpečnostních potřeb a výsledků hodnocení rizik a který zajistí ověření, kontrolu a případně zablokování komunikace mezi vnitřní komunikační sítí a vnější sítí.

účinné od 1. 1. 2015(2) Orgán a osoba uvedená v § 3 písm. c) a d) zákona dále používá nástroj pro detekci kybernetických bezpečnostních událostí, které zajistí ověření, kontrolu a případně zablokování komunikace

1. účinné od 1. 1. 2015a) v rámci vnitřní komunikační sítě a
2. účinné od 1. 1. 2015b) serverů patřících do informačního systému kritické informační infrastruktury a komunikačního systému kritické informační infrastruktury.

§ 23

účinné od 1. 1. 2015Nástroj pro sběr a vyhodnocení kybernetických bezpečnostních událostí

účinné od 1. 1. 2015(1) Orgán a osoba uvedená v § 3 písm. c) a d) zákona používá nástroj pro sběr a průběžné vyhodnocení kybernetických bezpečnostních událostí, který v souladu s bezpečnostními potřebami a výsledky hodnocení rizik zajistí

1. účinné od 1. 1. 2015a) integrovaný sběr a vyhodnocení kybernetických bezpečnostních událostí z informačního systému kritické informační infrastruktury a komunikačního systému kritické informační infrastruktury,
2. účinné od 1. 1. 2015b) poskytování informací pro určené bezpečnostní role o detekovaných kybernetických bezpečnostních událostech v informačním systému kritické informační infrastruktury nebo komunikačním systému kritické informační infrastruktury a
3. účinné od 1. 1. 2015c) nepřetržité vyhodnocování kybernetických bezpečnostních událostí s cílem identifikace kybernetických bezpečnostních incidentů, včetně včasného varování určených bezpečnostních rolí.

účinné od 1. 1. 2015(2) Orgán a osoba uvedená v § 3 písm. c) a d) zákona dále zajistí

1. účinné od 1. 1. 2015a) pravidelnou aktualizaci nastavení pravidel pro vyhodnocování kybernetických bezpečnostních událostí a včasné varování, aby byly omezovány případy nesprávného vyhodnocení událostí nebo případy falešných varování, a
2. účinné od 1. 1. 2015b) využívání informací, které jsou připraveny nástrojem pro sběr a vyhodnocení kybernetických bezpečnostních událostí, pro optimální nastavení bezpečnostních opatření informačního systému kritické informační infrastruktury a komunikačního systému kritické informační infrastruktury.

§ 24

účinné od 1. 1. 2015Aplikační bezpečnost

účinné od 1. 1. 2015(1) Orgán a osoba uvedená v § 3 písm. c) až e) zákona provádí bezpečnostní testy zranitelnosti aplikací, které jsou přístupné z vnější sítě, a to před jejich uvedením do provozu a po každé zásadní změně bezpečnostních mechanismů.

účinné od 1. 1. 2015(2) Orgán a osoba uvedená v § 3 písm. c) a d) zákona dále v rámci aplikační bezpečnosti zajistí trvalou ochranu

1. účinné od 1. 1. 2015a) aplikací a informací dostupných z vnější sítě před neoprávněnou činností, popřením provedených činností, kompromitací nebo neautorizovanou změnou a
2. účinné od 1. 1. 2015b) transakcí před jejich nedokončením, nesprávným směrováním, neautorizovanou změnou předávaného datového obsahu, kompromitací, neautorizovaným duplikováním nebo opakováním.

§ 25

účinné od 1. 1. 2015Kryptografické prostředky

účinné od 1. 1. 2015(1) Orgán a osoba uvedená v § 3 písm. c) až e) zákona

1. účinné od 1. 1. 2015a) pro používání kryptografické ochrany stanoví
   1. účinné od 1. 1. 20151. úroveň ochrany s ohledem na typ a sílu kryptografického algoritmu a
   2. účinné od 1. 1. 20152. pravidla kryptografické ochrany informací při přenosu po komunikačních sítích nebo při uložení na mobilní zařízení nebo vyměnitelné technické nosiče dat a

1. účinné od 1. 1. 2015b) v souladu s bezpečnostními potřebami a výsledky hodnocení rizik používá kryptografické prostředky, které zajistí ochranu důvěrnosti a integrity předávaných nebo ukládaných dat a průkaznou identifikaci osoby za provedené činnosti.

účinné od 1. 1. 2015(2) Orgán a osoba uvedená v § 3 písm. c) a d) zákona dále

1. účinné od 1. 1. 2015a) stanoví pro používání kryptografických prostředků systém správy klíčů, který zajistí generování, distribuci, ukládání, archivaci, změny, ničení, kontrolu a audit klíčů, a
2. účinné od 1. 1. 2015b) používá odolné kryptografické algoritmy a kryptografické klíče; v případě nesouladu s minimálními požadavky na kryptografické algoritmy uvedenými v příloze č. 3 k této vyhlášce řídí rizika spojená s tímto nesouladem.

§ 26

účinné od 1. 1. 2015Nástroj pro zajišťování úrovně dostupnosti

účinné od 1. 1. 2015(1) Orgán a osoba uvedená v § 3 písm. c) až e) zákona v souladu s bezpečnostními potřebami a výsledky hodnocení rizik používá nástroj pro zajišťování úrovně dostupnosti informací.

účinné od 1. 1. 2015(2) Orgán a osoba uvedená v § 3 písm. c) a d) zákona používá nástroj pro zajišťování úrovně dostupnosti informací, který zajistí

1. účinné od 1. 1. 2015a) dostupnost informačního systému kritické informační infrastruktury a komunikačního systému kritické informační infrastruktury pro splnění cílů řízení kontinuity činností,
2. účinné od 1. 1. 2015b) odolnost informačního systému kritické informační infrastruktury a komunikačního systému kritické informační infrastruktury vůči kybernetickým bezpečnostním incidentům, které by mohly snížit dostupnost, a
3. účinné od 1. 1. 2015c) zálohování důležitých technických aktiv informačního systému kritické informační infrastruktury a komunikačního systému kritické informační infrastruktury
   1. účinné od 1. 1. 20151. využitím redundance v návrhu řešení a
   2. účinné od 1. 1. 20152. zajištěním náhradních technických aktiv v určeném čase.

§ 27

účinné od 1. 1. 2015Bezpečnost průmyslových a řídicích systémů

účinné od 1. 1. 2015Orgán a osoba uvedená v § 3 písm. c) a d) zákona pro bezpečnost průmyslových a řídicích systémů, které jsou informačním systémem kritické informační infrastruktury nebo komunikačním systémem kritické informační infrastruktury anebo jsou jejich součástí, používá nástroje, které zajistí

1. účinné od 1. 1. 2015a) omezení fyzického přístupu k síti a zařízením průmyslových a řídicích systémů,
2. účinné od 1. 1. 2015b) omezení propojení a vzdáleného přístupu k síti průmyslových a řídicích systémů,
3. účinné od 1. 1. 2015c) ochranu jednotlivých technických aktiv průmyslových a řídicích systémů před využitím známých zranitelností a
4. účinné od 1. 1. 2015d) obnovení chodu průmyslových a řídicích systémů po kybernetickém bezpečnostním incidentu.