Vyhláška o bezpečnostních opatřeních poskytovatele regulované služby v režimu vyšších povinností

§ 17

Fyzická bezpečnost

Povinná osoba v rámci fyzické bezpečnosti

1. a) předchází poškození, odcizení, zneužití aktiv, neoprávněným zásahům do nich a narušení bezpečnosti poskytování regulované služby,
2. b) stanoví fyzický bezpečnostní perimetr ohraničující oblast, ve které jsou uchovávány nebo zpracovávány informace a data, nebo ve které jsou umístěna technická aktiva regulované služby,
3. c) rozdělí fyzické bezpečnostní perimetry stanovené podle písmene b) s ohledem na hodnocení umístěných technických aktiv do jednotlivých úrovní fyzické ochrany a tyto stanovené fyzické bezpečnostní perimetry a jejich úrovně fyzické ochrany dokumentuje a
4. d) přijme u každého fyzického bezpečnostního perimetru s ohledem na jeho úroveň fyzické ochrany stanovenou podle písmene c) relevantní bezpečnostní opatření fyzické ochrany
   1. 1. k zamezení neoprávněnému vstupu,
   2. 2. k zamezení poškození, odcizení, zneužití aktiv, neoprávněným zásahům do nich a narušení bezpečnosti poskytování regulované služby,
   3. 3. k zajištění fyzické ochrany budov a jiných ohraničených prostor,
   4. 4. pro zajištění detekce narušení fyzického bezpečnostního perimetru a
   5. 5. k evidenci vstupů a přístupů do fyzického bezpečnostního perimetru.

§ 18

Bezpečnost komunikačních sítí

Povinná osoba pro ochranu bezpečnosti komunikační sítě, a to včetně jejího síťového perimetru

1. a) zajistí a dokumentuje segmentaci komunikační sítě, včetně oddělení provozního, zálohovacího, vývojového, testovacího, administrátorského a jiného specifického prostředí,
2. b) zajistí řízení komunikace v rámci komunikační sítě,
3. c) zajistí řízení vzdáleného přístupu ke komunikační síti,
4. d) zajistí řízení vzdálené správy technických aktiv,
5. e) povoluje v souladu s písmeny b) až d) pouze takovou komunikaci, která je nezbytná pro řádné zajištění regulované služby,
6. f) zajistí v souladu s písmeny c) a d) časové omezení komunikace a opětovné ověření identity administrátorů a uživatelů po stanovené době,
7. g) zajistí pomocí aktuálně odolných kryptografických algoritmů upravených v § 25 a síťových protokolů důvěrnost a integritu při přenosu informací a dat,
8. h) využívá nástroj, který zajistí ochranu integrity komunikační sítě, a
9. i) dokumentuje topologii komunikační sítě a infrastruktury.

§ 19

Správa a ověřování identit

(1) Povinná osoba používá nástroj pro správu a ověření identity administrátorů, uživatelů a technických aktiv, který zajišťuje

1. a) ověření identity před zahájením jejich aktivit,
2. b) řízení počtu možných neúspěšných pokusů o přihlášení,
3. c) odolnost uložených a přenášených autentizačních údajů vůči hrozbám a zranitelnostem, které by mohly narušit jejich důvěrnost nebo integritu,
4. d) opětovné ověření identity po stanovené době nečinnosti,
5. e) dodržení důvěrnosti při vytváření výchozích autentizačních údajů a při obnově přístupu a
6. f) centralizovanou správu identit s ohledem na vazby mezi aktivy.

(2) Povinná osoba při ověření identity administrátorů, uživatelů a technických aktiv

1. a) využívá autentizační mechanismus, který je založen na vícefaktorové autentizaci s alespoň dvěma různými typy faktorů, nebo využívá autentizační mechanismus, který je založen na aktuálně odolné kontinuální autentizaci založené na modelu nulové důvěry, a
2. b) do doby splnění požadavků podle písmene a) využívá autentizaci pomocí kryptografických klíčů nebo certifikátů.

(3) Povinná osoba do doby splnění požadavků podle odstavce 2 písm. a) vede evidenci technických aktiv, účtů a autentizačních mechanismů, které tyto požadavky nesplňují, a to včetně odůvodnění.

(4) Povinná osoba do doby splnění požadavku podle odstavce 2 využívá nástroj založený na autentizaci pomocí identifikátoru účtu a hesla, kdy tento nástroj musí vynucovat pravidlo

1. a) délky hesla alespoň
   1. 1. 12 znaků pro účty uživatelů,
   2. 2. 17 znaků pro účty administrátorů,
   3. 3. 22 znaků pro účty technických aktiv,

1. b) umožňující zadat heslo o délce alespoň 64 znaků,
2. c) neomezující použití malých a velkých písmen, číslic a speciálních znaků,
3. d) umožňující uživatelům a administrátorům změnu hesla, přičemž období mezi dvěma změnami hesla nesmí být kratší než 30 minut,
4. e) povinné změny hesla v intervalu alespoň jednou za 18 měsíců a
5. f) neumožňující uživatelům a administrátorům
   1. 1. zvolit si jednoduchá a často používaná hesla,
   2. 2. tvořit hesla na základě mnohonásobně opakujících se znaků, přihlašovacího jména, adresy elektronické pošty, názvu systému nebo obdobným způsobem a
   3. 3. opětovné použití dříve používaných hesel s pamětí alespoň 12 předchozích hesel.

(5) Povinná osoba v souladu s odstavcem 4 zajistí

1. a) bezodkladné vynucení změny výchozího hesla uživatelů a administrátorů po prvním přihlášení,
2. b) bezodkladné vynucení změny výchozího hesla technického aktiva,
3. c) vytváření hesla účtu technického aktiva složeného z náhodného řetězce malých a velkých písmen, číslic a speciálních znaků,
4. d) bezodkladné vynucení změny přístupového hesla v případě důvodného podezření na narušení jeho důvěrnosti,
5. e) vytvoření náhodného výchozího hesla nebo identifikátoru sloužícího k vytvoření nebo k obnovení přístupu a zajistí jeho důvěrnost a
6. f) bezodkladné zneplatnění hesla nebo identifikátoru sloužícího k vytvoření nebo k obnovení přístupu po jeho prvním použití nebo uplynutí nejvýše 24 hodin od jeho vytvoření.

(6) Povinná osoba u administrátorského účtu zejména určeného pro případ obnovy po kybernetickém bezpečnostním incidentu musí zajistit

1. a) bezodkladnou změnu výchozího hesla,
2. b) vytvoření hesla náhodným řetězcem složeným z malých a velkých písmen, číslic a speciálních znaků,
3. c) délku hesla složeného alespoň z 22 znaků,
4. d) bezpečné uložení hesla,
5. e) omezení manipulace s účtem a jeho heslem, kdy s tímto účtem a jeho heslem mohou manipulovat pouze pověřené osoby, a to v nezbytně nutných případech,
6. f) změnu hesla po jeho použití, při jakékoli změně pověřených osob, v případě důvodného podezření na jeho kompromitaci nebo v intervalu alespoň jednou za 18 měsíců a
7. g) evidování manipulace a pokusy o manipulaci s tímto účtem a jeho heslem.

§ 20

Řízení přístupových práv a oprávnění

Povinná osoba pro řízení přístupových práv a oprávnění využívá nástroj,

1. a) který je centralizovaný s ohledem na vazby mezi aktivy,
2. b) kterým řídí práva pro přístup k jednotlivým aktivům a
3. c) kterým řídí oprávnění pro čtení a zápis informací a dat a změnu oprávnění.

§ 21

Detekce kybernetických bezpečnostních událostí

(1) Povinná osoba používá nástroj pro detekci kybernetických bezpečnostních událostí, který zajišťuje

1. a) ověření a kontrolu přenášených dat v rámci komunikační sítě a mezi komunikačními sítěmi,
2. b) ověření a kontrolu přenášených dat na síťovém perimetru komunikační sítě a
3. c) aktivní blokování nežádoucí komunikace v rámci komunikační sítě.

(2) Povinná osoba používá s ohledem na vazby mezi aktivy pro detekci kybernetických bezpečnostních událostí centrálně spravovaný nástroj, který u jednotlivých relevantních technických aktiv zajišťuje

1. a) nepřetržitou a automatickou ochranu před škodlivým kódem,
2. b) řízení a sledování používání vyměnitelných zařízení a datových nosičů,
3. c) řízení automatického spouštění obsahu, zejména u vyměnitelných zařízení a datových nosičů,
4. d) řízení oprávnění ke spouštění kódu,
5. e) řízení a sledování komunikace aplikací, jejich služeb a procesů,
6. f) detekci kybernetických bezpečnostních událostí technických aktiv a
7. g) detekci kybernetických bezpečnostních událostí na základě chování technických aktiv, administrátorů a uživatelů.

(3) Povinná osoba provádí pravidelnou a bezodkladnou aktualizaci nástroje používaného podle odstavců 1 a 2, a to včetně jeho nastavení a detekčních pravidel.

§ 22

Zaznamenávání událostí

(1) Povinná osoba na základě hodnocení aktiv a svých bezpečnostních potřeb

1. a) určí technická aktiva, u kterých je zaznamenávání bezpečnostních a relevantních provozních událostí prováděno, a
2. b) aktualizuje rozsah technických aktiv podle odstavce 1 písm. a) v pravidelných intervalech a při významných změnách.

(2) Povinná osoba zaznamenává bezpečnostní a relevantní provozní události

1. a) detekované podle § 21,
2. b) v rámci komunikační sítě,
3. c) na síťovém perimetru a
4. d) technických aktiv určených podle odstavce 1 písm. a).

(3) Povinná osoba v rámci zaznamenávání událostí podle odstavce 2 zaznamenává

1. a) přihlašování a odhlašování ke všem účtům, a to včetně neúspěšných pokusů,
2. b) provedení a neúspěšné pokusy o provedení privilegované činnosti,
3. c) manipulace a neúspěšné pokusy o manipulaci s účty, oprávněními a právy,
4. d) neprovedení činností v důsledku nedostatku přístupových práv nebo oprávnění,
5. e) zahájení a ukončení činností technických aktiv,
6. f) kritická a chybová hlášení technických aktiv,
7. g) přístupy a neúspěšné pokusy o přístupy k záznamům událostí,
8. h) manipulace a neúspěšné pokusy o manipulaci se záznamy událostí,
9. i) změny a neúspěšné pokusy o změny nastavení nástrojů pro zaznamenávání událostí a
10. j) další činnosti uživatelů, které mohou mít vliv na bezpečnost regulované služby.

(4) Povinná osoba v rámci zaznamenávání událostí podle odstavce 2 zaznamenává následující informace o události:

1. a) datum a čas včetně specifikace časového pásma,
2. b) typ činnosti,
3. c) jednoznačnou identifikaci technického aktiva, které činnost zaznamenalo, a to i v případě, kdy v komunikační síti dochází ke změně této síťové identifikace,
4. d) jednoznačnou identifikaci účtu, pod kterým byla činnost provedena, a to i v případě, kdy v komunikační síti dochází ke změně této síťové identifikace,
5. e) jednoznačnou identifikaci zařízení původce, a to i v případě, kdy v komunikační síti dochází ke změně této síťové identifikace, a
6. f) úspěšnost nebo neúspěšnost činnosti.

(5) Povinná osoba dále s ohledem na události zaznamenané podle odstavce 2

1. a) zajistí důvěrnost a integritu získaných informací, včetně ochrany před neoprávněným čtením a jakoukoliv změnou,
2. b) používá s ohledem na vazby mezi aktivy centralizovaný nástroj pro sběr a uchovávání záznamů těchto událostí a
3. c) uchovává záznamy těchto událostí alespoň po dobu 18 měsíců.

(6) Povinná osoba zajišťuje nepřetržitou synchronizaci jednotného času technických aktiv.

§ 23

Vyhodnocování kybernetických bezpečnostních událostí

(1) Povinná osoba používá nástroj pro nepřetržité vyhodnocování kybernetických bezpečnostních událostí detekovaných podle § 21, který zajišťuje

1. a) sběr, vyhledávání a seskupování souvisejících záznamů za účelem detekce kybernetických bezpečnostních událostí,
2. b) nepřetržité poskytování informací o detekovaných kybernetických bezpečnostních událostech, včasné varování vybraných bezpečnostních rolí a dalších relevantních osob a
3. c) vyhodnocování kybernetických bezpečnostních událostí s cílem identifikace kybernetických bezpečnostních incidentů.

(2) Povinná osoba při používání nástroje pro nepřetržité vyhodnocování kybernetických bezpečnostních událostí v souladu s odstavcem 1 zajistí

1. a) omezení případů nesprávného nebo nežádoucího vyhodnocování kybernetických bezpečnostních událostí,
2. b) pravidelnou aktualizaci nastavení nástroje včetně jeho pravidel pro detekci a vyhodnocování kybernetických bezpečnostních událostí a
3. c) pravidelnou aktualizaci pravidel pro nepřetržité poskytování informací o detekovaných kybernetických bezpečnostních událostech včetně včasného varování vybraných bezpečnostních rolí a dalších relevantních osob.

(3) Povinná osoba zajistí využívání informací získaných nástrojem pro vyhodnocení kybernetických bezpečnostních událostí pro optimální nastavení systému řízení bezpečnosti informací regulované služby.

§ 24

Aplikační bezpečnost

(1) Povinná osoba pro zajištění bezpečnosti regulované služby užívá technická aktiva, která jsou jejich výrobcem, dodavatelem nebo jinou osobou podporována a zajistí aplikování schválených bezpečnostních aktualizací vydaných pro tato aktiva.

(2) Povinná osoba do doby plnění podle odstavce 1 zavede bezpečnostní opatření, která zaručí obdobnou nebo vyšší úroveň bezpečnosti těchto technických aktiv, a eviduje technická aktiva,

1. a) která již nejsou výrobcem, dodavatelem nebo jinou osobou podporována a
2. b) na která není možné aplikovat poslední schválenou bezpečnostní aktualizaci.

(3) Povinná osoba v rámci aplikační bezpečnosti zajistí trvalou ochranu aplikací, informací, transakcí a přenášených identifikátorů relací před

1. a) neoprávněnou činností a
2. b) popřením provedených činností.

(4) Povinná osoba v rámci skenování zranitelností technických aktiv

1. a) provádí pravidelné skenování zranitelností technických aktiv regulované služby
   1. 1. z vnitřní a vnější komunikační sítě a
   2. 2. alespoň jednou ročně.

1. b) zohlední výsledky skenování zranitelností technických aktiv v rámci řízení rizik podle § 8 a zavádí bezpečnostní opatření na základě zjištěných výsledků.

(5) Povinná osoba v rámci penetračního testování

1. a) provádí penetrační testování technických aktiv s ohledem na hodnocení těchto aktiv a hodnocení rizik
   1. 1. z vnitřní a vnější komunikační sítě,
   2. 2. před jejich uvedením do provozu a
   3. 3. v souvislosti s významnou změnou podle § 11 odst. 3,

1. b) zohlední výsledky penetračního testování při řízení rizik podle § 8 a zavádí bezpečnostní opatření na základě zjištěných výsledků,
2. c) provádí v souladu s odstavcem 5 písm. a) bodem 1 pravidelně penetrační testování, a to alespoň jednou za 2 roky,
3. d) v odůvodněných případech, pokud nemůže provést penetrační testování v rozsahu nebo intervalu stanoveném v odstavci 5 písm. c), může rozdělit toto penetrační testování do systematických celků. V takovém případě je nutno provést penetrační testování v rozsahu stanoveném v odstavci 5 písm. a) nejpozději do 5 let,
4. e) u penetračních testů v souladu s odstavcem 5 písm. a) eviduje termín provedení a konkrétní fyzické osoby provádějící toto penetrační testování.

(6) Povinná osoba provede opětovné otestování nálezu zjištěného na základě provedeného skenování zranitelností nebo penetračního testování za účelem ověření funkčnosti zavedených bezpečnostních opatření.

§ 25

Kryptografické algoritmy

(1) Povinná osoba při zajištění bezpečnosti technických aktiv a jejich komunikace

1. a) používá pouze aktuálně odolné kryptografické algoritmy,
2. b) prosazuje bezpečné nakládání s kryptografickými algoritmy a
3. c) zohledňuje doporučení a metodiky v oblasti kryptografických algoritmů vydané Národním úřadem pro kybernetickou a informační bezpečnost.

(2) Povinná osoba zajišťuje bezpečnou

1. a) hlasovou, audiovizuální a textovou komunikaci, a to včetně e-mailové komunikace, a
2. b) nouzovou komunikaci v rámci organizace.

(3) Povinná osoba v případě využívání kryptografických klíčů a certifikátů pro ochranu technických aktiv a komunikační sítě používá

1. a) pouze aktuálně odolné kryptografické klíče a certifikáty a
2. b) nástroj pro správu kryptografických klíčů a certifikátů, který
   1. 1. zajistí generování, distribuci, ukládání, změny, omezení platnosti, zneplatnění certifikátů a řádnou likvidaci kryptografických klíčů,
   2. 2. umožní kontrolu a audit a
   3. 3. zajistí důvěrnost a integritu kryptografických klíčů.

§ 26

Zajišťování dostupnosti regulované služby

(1) Povinná osoba zavede bezpečnostní opatření pro zajišťování dostupnosti regulované služby, kterými zajistí

1. a) dostupnost regulované služby podle cílů stanovených podle § 15,
2. b) odolnost regulované služby vůči hrozbám a zranitelnostem, které by mohly snížit její dostupnost a
3. c) redundanci aktiv nezbytných pro zajišťování dostupnosti regulované služby.

(2) Povinná osoba pro zajišťování dostupnosti regulované služby v souladu s odstavcem 1 vytváří pravidelné zálohy konfigurací a nastavení technických aktiv, informací a dat nezbytných zejména pro účely obnovy regulované služby v případě kybernetického bezpečnostního incidentu.

(3) Povinná osoba u záloh vytvářených podle odstavce 2 zajistí

1. a) pravidelné testování jejich integrity, dostupnosti a obnovitelnosti,
2. b) dokumentování výsledků testů provedených podle odstavce 3 písm. a),
3. c) ochranu ukládaných záloh a dat v nich obsažených před narušením jejich integrity a důvěrnosti, a to alespoň šifrováním těchto záloh v souladu s § 25, a
4. d) ochranu ukládaných záloh a dat v nich obsažených před narušením jejich dostupnosti.

(4) Povinná osoba pro zajišťování dostupnosti regulované služby zajistí bezpečnou správu konfigurací a nastavení technických aktiv s ohledem na hodnocení těchto aktiv a hodnocení rizik.

(5) Povinná osoba za účelem omezení šíření kybernetického bezpečnostního incidentu a snížení jeho dopadu odděluje zálohovací prostředí od jiných prostředí podle § 18 písm. a).

§ 27

Zabezpečení průmyslových, řídicích a obdobných specifických technických aktiv

Povinná osoba včetně požadavků uvedených v § 3 až 26 pro zajištění kybernetické bezpečnosti průmyslových, řídicích a obdobných specifických technických aktiv dále využívá nástroje a zavádí bezpečnostní opatření, která zajistí

1. a) omezení fyzického přístupu k průmyslovým, řídicím a obdobným specifickým technickým aktivům,
2. b) omezení oprávnění k přístupu k průmyslovým, řídicím a obdobným specifickým technickým aktivům,
3. c) segmentaci a oddělení komunikačních sítí průmyslových, řídicích a obdobných specifických technických aktiv od jiných prostředí a segmentaci a oddělení těchto komunikačních sítí podle § 18,
4. d) omezení vzdálených přístupů a vzdálené správy průmyslových, řídicích a obdobných specifických technických aktiv, včetně omezení komunikace mimo komunikační síť povinné osoby,
5. e) ochranu jednotlivých průmyslových, řídicích a obdobných specifických technických aktiv před využitím známých zranitelností a hrozeb a
6. f) dostupnost a obnovu průmyslových, řídicích a obdobných specifických technických aktiv pro zajištění dostupnosti regulované služby.