§ 9
změněno 1. 1. 2012 zákonem 453/2011 Sb.
§ 9 Systémově závislé bezpečnostní požadavky na bezpečnost v prostředí počítačových sítí (1) Při přenosu utajované informace komunikačním kanálem musí být zajištěna ochrana její důvěrnosti a integrity. (2) Základním prostředkem pro zajištění důvěrnosti utajované informace při jejím přenosu komunikačním kanálem je kryptografická ochrana4). (3) Základním prostředkem pro zajištění integrity utajované informace při jejím přenosu komunikačním kanálem je spolehlivá detekce záměrné i náhodné změny utajované informace. (4) Pro lokální počítačovou síť Přenos utajované informace komunikačním kanálem vedeným v rámci zabezpečené oblasti nebo objektu může být postačující fyzická ochrana, na základě analýzy rizik, zabezpečen pouze s využitím opatření fyzické bezpečnosti všech komponentů komunikačního kanálu, přičemž přenášená utajovaná informace není chráněna kryptografickou ochranou nebo je chráněna kryptografickou ochranou na nižší úrovni, nežli je vyžadována pro stupeň utajení přenášené utajované informace. Takto zabezpečený přenos utajované informace Úřad schvaluje v rámci certifikace informačního systému. (5) V závislosti na komunikačním prostředí se zajišťuje spolehlivá identifikace a autentizace komunikujících stran, včetně ochrany identifikační a autentizační informace. Tato identifikace a autentizace předchází přenosu utajované informace. (6) Připojení sítě Přenos utajované informace komunikačním kanálem vedeným mimo objekt musí být zabezpečen certifikovaným kryptografickým prostředkem, která který je pod kontrolou správy certifikován nejméně pro stejný stupeň utajení jako přenášená utajovaná informace. (7) Během certifikace informačního systému může Úřad, k síti vnější na základě předložené analýzy rizik, která není pod kontrolou správy informačního systému přijatých specifických bezpečnostních opatření pro detekci narušení bezpečnosti komunikačního kanálu a opatření pro snížení důsledků útoku, musí být zabezpečeno vhodným bezpečnostním rozhraním tak, aby bylo zamezeno průniku do schválit odlišný systém zabezpečení informačního systému, než je uveden v odstavcích 4 a 6.