Vyhláška o zabezpečení jaderného zařízení a jaderného materiálu

Příloha č. 1

ZAŘAZENÍ JADERNÉHO MATERIÁLU DO KATEGORIE

Příloha č. 2

POŽADAVKY NA ZABEZPEČENÍ POČÍTAČOVÝCH SYSTÉMŮ V RÁMCI ÚROVNÍ

Bezpečnostní úrovně zabezpečení počítačových systémů jsou v souladu s principem ochrany do hloubky a odstupňovaným přístupem členěny alespoň do pěti úrovní s tím, že Úroveň 1 je úroveň s nejvyšší mírou zabezpečení, následovně:

1. Úroveň 1 - důležité ochranné a bezpečnostní systémy,
2. Úroveň 2 - řídicí systémy, další ochranné a bezpečnostní systémy,
3. Úroveň 3 - podpůrné informační systémy,
4. Úroveň 4 - komunikační a nadblokové informační systémy,
5. Úroveň 5 - kancelářské systémy.

   Základní požadavky na zabezpečení počítačových systémů

   1. a) Technická, fyzická, personální a organizační opatření pro zabezpečení počítačových systémů musí být navržena a realizována systematicky a v souladu s platnými procesy a postupy.
   2. b) Postupy a obvyklá praxe musí být definovány pro každou úroveň zabezpečení počítačových systémů.
   3. c) Pracovníci musí postupovat dle platných postupů a procedur zabezpečení.
   4. d) Pracovníci s právem přístupu k systémům musí být dostatečně vzdělaní, trénovaní a v případě, kdy je to právními předpisy vyžadováno, bezpečnostně způsobilí.
   5. e) Pracovníci smí mít přístup pouze k těm funkcím počítačových systémů, které potřebují ke své práci.
   6. f) Funkcionalita a rozhraní systémů musí být omezeny za účelem snížení celkové zranitelnosti.
   7. g) Přístupová oprávnění musí být řízena, pravidelně kontrolována a ověřována.
   8. h) Počítačové systémy musí být chráněny před škodlivým kódem a jeho šířením.
   9. i) Přístupy do počítačového systému včetně neoprávněných přístupů musí být zaznamenávány, sledovány a zabezpečeny.
   10. j) Poruchovost počítačového systému musí být nepřetržitě sledována a musí být předem připravena nápravná technická opatření.
   11. k) Efektivita, přiměřenost organizačních a technických opatření sloužících k zabezpečení počítačového systému a zranitelnost počítačového systému musí být pravidelně hodnoceny.
   12. l) Přenosné elektronické zařízení umožňující ovlivnit zpracování informací a zabránit nebo narušit plnění bezpečnostní funkce systému, konstrukce nebo komponenty (dále jen „přenosné elektronické zařízení“) musí být kontrolováno v souladu s platným postupem zabezpečení. Na základě provedené studie zranitelnosti musí být regulováno jeho vnášení do vymezených prostorů. Přenosné elektronické zařízení, které neslouží k vykonávání pracovních činností, nesmí být možné spojit se systémem.
   13. m) Opatření k zabezpečení počítačových systémů musí být pravidelně aktualizována vzhledem k případným změnám postupů zabezpečení.
   14. n) Postupy pro zálohování a obnovu dat musí být předem připraveny a zálohy pravidelně testovány.
   15. o) Přenosné elektronické zařízení, které slouží k vykonávání pracovních činností, musí být určeno pro použití pouze v jedné úrovni zabezpečení.
   16. p) Fyzický přístup k jednotlivým částem počítačového systému musí být omezen a řízen podle funkcí těchto částí.
   17. q) Musí být připravena a uplatňována opatření k řízení datových toků mezi jednotlivými úrovněmi zabezpečení.
   18. r) Změnu konfigurace počítačového systému smí provádět pouze schválení a kvalifikovaní pracovníci.

Předběžný návrh zajištění počítačového zabezpečení v oblasti řízení jaderné bezpečnosti, evidence jaderného materiálu, fyzické ochrany a zvládání radiační mimořádné události proti jejich úmyslnému zneužití [§ 28 odst. 1 písm. j)], návrh zajištění počítačového zabezpečení v oblasti řízení jaderné bezpečnosti, evidence jaderného materiálu, fyzické ochrany a zvládání radiační mimořádné události proti jejich úmyslnému zneužití [§ 28 odst. 2 písm. m)] a plán zajištění počítačového zabezpečení v oblasti řízení jaderné bezpečnosti, evidence jaderného materiálu, fyzické ochrany a zvládání radiační mimořádné události proti jejich úmyslnému zneužití [§ 28 odst. 3 písm. k)] obsahují následující kapitoly:

1. a) Organizační uspořádání a stanovení odpovědnosti
   1. 1. organizační struktura,
   2. 2. stanovení odpovědnosti osob a systému hlášení,
   3. 3. systém pravidelného přezkoumávání a schvalovací postupy,
   4. 4. vzájemná spolupráce s dalšími oblastmi jako jsou lidské zdroje, výkon citlivých činností, fyzická ochrana a odborná příprava.

1. b) Hrozba, zranitelnost a řízení shody
   1. 1. systém hodnocení rizika, stanovení a zařazení počítačových systémů do jednotlivých úrovní,
   2. 2. stanovení četnosti hodnocení plánu zajištění počítačového zabezpečení,
   3. 3. postupy provedení sebehodnocení,
   4. 4. popis auditního hodnocení a odstranění zjištěných nedostatků,
   5. 5. hodnocení shody s platnými právními předpisy.

1. c) Návrh počítačového zabezpečení a jeho řízení
   1. 1. základy architektury počítačového zabezpečení včetně stanovení jednotlivých úrovní zabezpečení počítačových systémů,
   2. 2. přijatá opatření počítačového zabezpečení na každé úrovni zabezpečení počítačových systémů,
   3. 3. určení požadavků počítačového zabezpečení pro dodavatele včetně požadavků na dodavatelskou údržbu,
   4. 4. posouzení opatření počítačového zabezpečení v rámci životního cyklu jaderného zařízení.

1. d) Řízení počítačového systému
   1. 1. vlastnosti počítačových systémů, jejich identifikace, úroveň, umístění a možné dopady v případě protiprávních činností proti nim,
   2. 2. konfigurace zabezpečení systému,
   3. 3. síťový diagram s vyznačením datového toku s vnějším spojením na další počítačové systémy.

1. e) Postupy zabezpečení
   1. 1. postupy v případě incidentu v oblasti zabezpečení počítačových systémů,
   2. 2. popis systému zálohování dat a jejich obnovení,
   3. 3. popis dodavatelského řetězce,
   4. 4. popis systému řízení přístupu,
   5. 5. popis informačního a komunikačního systému,
   6. 6. popis zabezpečení systému aplikací a platforem,
   7. 7. popis systému sledování včetně systému logování.

1. f) Personální řízení
   1. 1. ověřování citlivých činností,
   2. 2. provádění profesní přípravy,
   3. 3. provádění systému odborné přípravy a vzdělávání,
   4. 4. hlášení incidentů v oblasti zabezpečení včetně ochrany personálu, který tyto události hlásí,
   5. 5. zrušení oprávnění k přístupu do počítačových systémů v případě ukončení pracovního poměru pracovníka nebo jeho převodu na jinou pozici.

Příloha č. 3

OBSAH PLÁNU KULTURY ZABEZPEČENÍ

Plán kultury zabezpečení obsahuje následující informace:

1. a) určení cílů pro zavedení, trvalé rozvíjení a udržování úrovně zajištění kultury zabezpečení,
2. b) popis pravidelného hodnocení úrovně kultury zabezpečení,
3. c) popis školení a výcviku kultury zabezpečení,
4. d) popis opatření přijatých k dosažení stanovených cílů,
5. e) určení osob odpovědných za plnění opatření,
6. f) časový rámec pro plnění opatření,
7. g) určení zdrojů pro plnění opatření,
8. h) překážky při plnění opatření,
9. i) určení postupu pro plnění opatření,
10. j) očekávané výsledky opatření.