Vyhláška o kybernetické bezpečnosti

1. Bezpečnost informací

V rámci bezpečnosti informací je řešena ochrana informací z pohledu zajištění jejich níže uvedených vlastností:

• DŮVĚRNOST – informace nesmí být dostupná, resp. nesmí být odhalena neautorizovaným jednotlivcům, entitám nebo procesům.
• DOSTUPNOST – informace musí být přístupná a použitelná na žádost autorizované osoby.
• INTEGRITA – informace má charakter přesnosti a úplnosti dat. Představuje jistotu, že data nebyla změněna.

Zajišťování kybernetické bezpečnosti zahrnuje mimo zajištění bezpečnosti informačních a komunikačních systémů také úzce související oblasti typu:

• fyzická bezpečnost,
• ochrana osobních údajů,
• řízení lidských zdrojů,
• řízení vztahů s dodavateli,
• další oblasti specificky dle prostředí.

2. Části vyhlášky

V rámci Vyhlášky o kybernetické bezpečnosti č. 82/2018 Sb. jsou definovány v § 3 až § 28 nezbytná bezpečnostní opatření v oblasti kybernetické bezpečnosti. Aplikací těchto nezbytných bezpečnostních opatření by mělo být dosaženo přiměřené bezpečnosti informací v organizaci.

Bezpečnostní opatření jsou dle Vyhlášky rozdělena na dvě základní části:

• organizační opatření,
• technická opatření.

Organizační a technická opatření jsou rozděleny do paragrafů, jejichž obsahem se budeme zabývat v následující části kurzu.

3. Organizační opatření dle vyhlášky o kybernetické bezpečnosti

Tato opatření řeší ustanovení, plánování, kontroly, zlepšování, atd. systému řízení bezpečnosti informací, dále odůvodňují zavádění konkrétních opatření a řeší plánování jejich aplikace v praxi.

Paragrafy týkající se organizačních opatření:

• § 3 Systém řízení bezpečnosti informací
• § 4 Řízení aktiv
• § 5 Řízení rizik
• § 6 Organizační bezpečnost
• § 7 Bezpečnostní role
• § 8 Řízení dodavatelů
• § 9 Bezpečnost lidských zdrojů
• § 10 Řízení provozu a komunikací
• § 11 Řízení změn
• § 12 Řízení přístupu
• § 13 Akvizice, vývoj a údržba
• § 14 Zvládání kybernetických bezpečnostních událostí a incidentů
• § 15 Řízení kontinuity činností
• § 16 Audit kybernetické bezpečnosti

4. Technická opatření dle vyhlášky o kybernetické bezpečnosti

Technická opatření mají za cíl aplikovat konkrétní technická řešení, která plní požadované bezpečnostní funkce.

Paragrafy týkající se technických opatření:

• § 17 Fyzická bezpečnost
• § 18 Bezpečnost komunikačních sítí
• § 19 Správa a ověřování identit
• § 20 Řízení přístupových oprávnění
• § 21 Ochrana před škodlivým kódem
• § 22 Zaznamenávání událostí informačního a komunikačního systému, jeho uživatelů a administrátorů
• § 23 Detekce kybernetických bezpečnostních událostí
• § 24 Sběr a vyhodnocování kybernetických bezpečnostních událostí
• § 25 Aplikační bezpečnost
• § 26 Kryptografické prostředky
• § 27 Zajišťování úrovně dostupnosti informací
• § 28 Průmyslové, řídící a obdobné specifické systémy

5. Bezpečnostní opatření - příklady

Před aplikací konkrétních bezpečnostních opatření by měla proběhnout analýza a hodnocení rizik a opatření by měla být zaváděna ve vazbě na stanovené cíle ISMS, potřebami organizace v oblasti bezpečnosti a v návaznosti na výsledky hodnocení rizik.

• Příkladem organizačního opatření v oblasti kybernetické bezpečnosti je školení zaměstnanců v oblasti kyber-bezpečnosti.
• Příkladem technického opatření v oblasti kybernetické bezpečnosti je segmentace sítě a implementace nástroje pro sběr a nepřetržité vyhodnocování kybernetických bezpečnostní událostí (SIEM)