523/2005 Sb.
Vyhláška o bezpečnosti informačních a komunikačních systémů a dalších elektronických zařízení nakládajících s utajovanými informacemi a o certifikaci stínicích komor

523
VYHLÁŠKA
ze dne 5. prosince 2005
o bezpečnosti informačních a komunikačních systémů a dalších elektronických zařízení nakládajících s utajovanými informacemi a o certifikaci stínicích komor
Národní bezpečnostní úřad stanoví podle § 34 odst. 5, § 35 odst. 5, § 36 odst. 5 a § 53 písm. a), b), c), d), g), h), i) a j) zákona č. 412/2005 Sb., o ochraně utajovaných informací a o bezpečnostní způsobilosti, (dále jen „zákon“):

ČÁST PRVNÍ
ÚVODNÍ USTANOVENÍ
§ 1
Předmět úpravy
Touto vyhláškou se stanoví požadavky na informační systémy nakládající s utajovanými informacemi1) (dále jen „informační systém“) a provádění jejich certifikace, na komunikační systémy nakládající s utajovanými informacemi2) (dále jen „komunikační systém“) a schvalování jejich projektů bezpečnosti, ochranu utajovaných informací v elektronické podobě v zařízeních, která nejsou součástí informačního nebo komunikačního systému, ochranu utajovaných informací před jejich únikem kompromitujícím vyzařováním a provádění certifikace stínicích komor.
§ 2
Vymezení pojmů
Pro účely této vyhlášky se rozumí
a) aktivem informačního systému na základě analýzy rizik (§ 11) definovaný hardware, software, dokumentace informačního systému a utajované informace, které jsou v informačním systému uloženy,
b) objektem informačního systému pasivní prvek informačního systému, který obsahuje nebo přijímá informaci,
c) subjektem informačního systému aktivní prvek informačního systému, který způsobuje předání informace mezi objekty informačního systému nebo změnu stavu systému,
d) analýzou rizik proces, během něhož jsou zjišťována aktiva informačního systému, hrozby působící na aktiva informačního systému, jeho zranitelná místa, pravděpodobnost realizace hrozeb a odhad jejich následků,
e) auditním záznamem záznam informačního systému o události, která může ovlivnit bezpečnost informačního systému,
f) identifikací subjektu informačního systému proces zjištění jeho identity v informačním systému,
g) autentizací subjektu informačního systému proces ověření jeho identity v informačním systému, splňující požadovanou míru záruky,
h) autorizací subjektu informačního systému udělení určitých práv pro vykonávání určených aktivit v informačním systému,
i) důvěrností utajované informace její vlastnost, která znemožňuje odhalení utajované informace neoprávněné osobě,
j) fyzickou bezpečností informačního systému nebo komunikačního systému opatření použitá k zajištění fyzické ochrany aktiv těchto systémů proti náhodným nebo úmyslným hrozbám,
k) integritou aktiva informačního systému nebo komunikačního systému vlastnost, která umožňuje provedení jeho změny určeným způsobem a pouze oprávněným subjektem informačního systému,
l) komunikační bezpečností opatření použitá k zajištění ochrany utajovaných informací při přenosu definovaným komunikačním prostředím,
m) počítačovou bezpečností bezpečnost informačního systému zajišťovaná jeho technickými a programovými prostředky,
n) povinným řízením přístupu prostředky pro omezení přístupu subjektů informačního systému k objektům informačního systému, založené na porovnání stupně utajení utajované informace obsažené v objektu informačního systému a úrovně oprávnění subjektu informačního systému pro přístup k utajované informaci a zajišťující správný tok informací mezi objekty informačního systému s různými stupni utajení, nezávisle na volbě učiněné uživatelem,
o) rizikem pro informační systém nebo komunikační systém pravděpodobnost, že určitá hrozba využije zranitelných míst některého z těchto systémů,
p) rolí souhrn určených činností a potřebných autorizací pro subjekt informačního systému působící v informačním systému nebo komunikačním systému,
q) bezpečnostním správcem informačního systému nebo komunikačního systému pracovník správy informačního systému nebo komunikačního systému v roli vytvořené pro řízení a kontrolu bezpečnosti informačního systému nebo komunikačního systému a provádění stanovených činností pro zajištění bezpečnosti informačního systému nebo komunikačního systému,
r) správcem informačního systému nebo komunikačního systému pracovník správy informačního systému nebo komunikačního systému v roli vytvořené zejména pro zajištění požadované funkčnosti informačního systému nebo komunikačního systému a řízení provozu informačního systému nebo komunikačního systému,
s) uživatelem informačního systému nebo komunikačního systému fyzická osoba v roli vytvořené zejména pro nakládání s utajovanými informacemi v informačním systému nebo pro přenos utajovaných informací v komunikačním systému,
t) řízením přístupu prostředky pro omezení přístupu subjektů informačního systému k objektům informačního systému, zajišťující, že přístup k nim získá jen autorizovaný subjekt informačního systému,
u) volitelným řízením přístupu prostředky omezení přístupu subjektů informačního systému k objektům informačního systému, založené na kontrole přístupových práv subjektu informačního systému k objektu informačního systému, přičemž uživatel, správce nebo bezpečnostní správce informačního systému vybavený určitými přístupovými právy pro přístup k objektu informačního systému může zvolit, na které další subjekty informačního systému přenese přístupová práva k tomuto objektu informačního systému, a může tak ovlivňovat tok informace mezi objekty informačního systému,
v) bezpečnostním standardem utajovaný soubor pravidel, ve kterém se stanoví postupy, technická řešení, bezpečnostní parametry a organizační opatření pro zajištění nejmenší možné míry ochrany utajovaných informací,
w) bezpečnostním provozním módem prostředí, ve kterém informační systém pracuje, charakterizované stupněm utajení zpracovávané utajované informace a úrovněmi oprávnění uživatelů,
x) žadatelem orgán státu nebo podnikatel, který písemně požádal Národní bezpečnostní úřad (dále jen „Úřad“) o certifikaci informačního systému, o certifikaci stínicí komory, o schválení projektu bezpečnosti komunikačního systému nebo o ověření způsobilosti elektrických a elektronických zařízení, zabezpečené oblasti nebo objektu k ochraně před únikem utajované informace kompromitujícím vyzařováním,
y) nepopiratelností schopnost prokázat zpětně jednání či událost tak, aby dané jednání či událost nemohly být následně popřeny,
z) pravostí informací záruka, že informace jsou autentické a z důvěryhodných zdrojů.
ČÁST DRUHÁ
INFORMAČNÍ SYSTÉM
HLAVA I
POŽADAVKY NA BEZPEČNOST INFORMAČNÍCH SYSTÉMŮ
§ 3
Bezpečnost informačních systémů
(1) Bezpečnosti informačního systému se dosahuje uplatněním souboru opatření z oblasti
a) počítačové a komunikační bezpečnosti,
b) kryptografické ochrany,
c) ochrany proti úniku kompromitujícího vyzařování,
d) administrativní bezpečnosti a organizačních opatření,
e) personální bezpečnosti a
f) fyzické bezpečnosti informačního systému.
(2) Opatření přijatá v procesu certifikace informačního systému zajišťují, aby rizika, kterým je informační systém vystaven, byla snížena na přijatelnou úroveň.
(3) Soubor opatření uvedený v odstavci 1 je specifikován v bezpečnostní dokumentaci informačního systému.
§ 4
Bezpečnostní dokumentace informačního systému
(1) Bezpečnostní dokumentaci informačního systému tvoří
a) projektová bezpečnostní dokumentace informačního systému a
b) provozní bezpečnostní dokumentace informačního systému.
(2) Projektová bezpečnostní dokumentace informačního systému obsahuje
a) bezpečnostní politiku informačního systému a výsledky analýzy rizik,
b) návrh bezpečnosti informačního systému zajišťující splnění bezpečnostní politiky informačního systému, přičemž podrobnost jeho popisu musí umožnit přímou realizaci navrhovaných opatření, a
c) dokumentaci k testům bezpečnosti informačního systému.
(3) Provozní bezpečnostní dokumentace informačního systému obsahuje
a) bezpečnostní směrnice informačního systému, které předepisují činnost bezpečnostních správců informačního systému v jednotlivých rolích zavedených v informačním systému pro zajištění bezpečnostní správy informačního systému,
b) bezpečnostní směrnice informačního systému, které předepisují činnost správců informačního systému v jednotlivých rolích zavedených v informačním systému pro správu informačního systému, pokud se týká zajištění bezpečnosti informačního systému, a
c) bezpečnostní směrnice informačního systému, které předepisují činnost uživatelů informačního systému, pokud se týká zajištění bezpečnosti informačního systému.
§ 5
Bezpečnostní politika informačního systému
(1) Pro každý informační systém musí být již v počáteční fázi jeho vývoje zpracována bezpečnostní politika informačního systému. Bezpečnostní politiku informačního systému tvoří soubor norem, pravidel a postupů, který vymezuje způsob, jakým má být zajištěna důvěrnost, integrita a dostupnost utajované informace, dostupnost služeb informačního systému a odpovědnost uživatele, bezpečnostního správce a správce informačního systému za jeho činnost v informačním systému. Pokud to funkce informačního systému vyžaduje, stanoví se rovněž způsob zajištění pravosti informací a nepopiratelnost.
(2) Zásady bezpečnostní politiky jsou rozpracovány v návrhu bezpečnosti informačního systému a v provozní bezpečnostní dokumentaci informačního systému.
(3) Při formulaci bezpečnostní politiky informačního systému a posuzování bezpečnostních vlastností komponentů informačního systému lze využít též mezinárodních standardizovaných bezpečnostních specifikací 3).
§ 6
Požadavky na formulaci bezpečnostní politiky informačního systému
Bezpečnostní politika informačního systému se formuluje na základě
a) minimálních bezpečnostních požadavků v oblasti počítačové bezpečnosti,
b) systémově závislých bezpečnostních požadavků, požadavků uživatele a výsledků analýzy rizik a
c) bezpečnostních požadavků bezpečnostní politiky nadřízeného orgánu, pokud byla zpracována.
§ 7
Minimální bezpečnostní požadavky v oblasti počítačové bezpečnosti
(1) Informační systém nakládající s utajovanými informacemi stupně utajení Důvěrné nebo vyššího musí zajišťovat tyto bezpečnostní funkce
a) jednoznačnou identifikaci a autentizaci uživatele, bezpečnostního správce nebo správce informačního systému, které musí předcházet všem jejich dalším aktivitám v informačním systému a musí zajistit ochranu důvěrnosti a integrity autentizační informace,
b) volitelné řízení přístupu k objektům informačního systému na základě rozlišování a správy přístupových práv uživatele, bezpečnostního správce nebo správce informačního systému a jejich identity nebo jejich členství ve skupině uživatelů, bezpečnostních správců nebo správců informačního systému,
c) nepřetržité zaznamenávání událostí, které mohou ovlivnit bezpečnost informačního systému do auditních záznamů a zabezpečení auditních záznamů před neautorizovaným přístupem, zejména modifikací nebo zničením. Zaznamenává se zejména použití identifikačních a autentizačních informací, pokusy o zkoumání přístupových práv, vytváření nebo rušení objektu informačního systému nebo činnost autorizovaných subjektů informačního systému ovlivňující bezpečnost informačního systému,
d) možnost zkoumání auditních záznamů a stanovení odpovědnosti jednotlivého uživatele, bezpečnostního správce nebo správce informačního systému,
e) ošetření paměťových objektů před jejich dalším použitím, zejména před přidělením jinému subjektu informačního systému, které znemožní zjistit jejich předchozí obsah, a
f) ochranu důvěrnosti dat během přenosu mezi zdrojem a cílem.
(2) K zajištění bezpečnostních funkcí uvedených v odstavci 1 se v informačním systému realizují identifikovatelné programově technické mechanismy. Dokumentace popisující jejich provedení a operační nastavení musí umožnit jejich nezávislé prověření a zhodnocení jejich dostatečnosti.
(3) Bezpečnostní mechanismy, jimiž se realizují bezpečnostní funkce uplatňující bezpečnostní politiku informačního systému, musí být v celém životním cyklu informačního systému chráněny před narušením nebo neautorizovanými změnami.
(4) V informačním systému, který nakládá s utajovanými informacemi nejvýše do stupně utajení Vyhrazené, se musí přiměřeně využívat bezpečnostní funkce uvedené v odstavci 1, a dále opatření z oblasti personální, administrativní a fyzické bezpečnosti informačních systémů.
§ 8
Systémově závislé bezpečnostní požadavky odvozené z bezpečnostního provozního módu
(1) Informační systémy se mohou provozovat pouze v některém z uvedených bezpečnostních provozních módů, jimiž jsou
a) bezpečnostní provozní mód vyhrazený,
b) bezpečnostní provozní mód s nejvyšší úrovní,
c) bezpečnostní provozní mód s nejvyšší úrovní s formálním řízením přístupu k informacím, nebo
d) bezpečnostní provozní mód víceúrovňový.
(2) Bezpečnostní provozní mód vyhrazený je takové prostředí, které umožňuje zpracování utajovaných informací různého stupně utajení, přičemž všichni uživatelé musí splňovat podmínky pro přístup k utajovaným informacím nejvyššího stupně utajení, které jsou v informačním systému obsaženy, a zároveň musí být oprávněni pracovat se všemi utajovanými informacemi, které jsou v informačním systému obsaženy. Bezpečnost informačního systému, který je provozován v bezpečnostním provozním módu vyhrazeném, se zabezpečuje splněním minimálních bezpečnostních požadavků v oblasti počítačové bezpečnosti uvedených v § 7 odst. 1 písm. a), c), d) a f) a dále opatřeními z oblasti administrativní a personální bezpečnosti a fyzické bezpečnosti informačních systémů. Úroveň použitých opatření z uvedených oblastí a opatření k zajištění důvěrnosti dat během přenosu musí odpovídat úrovni požadované pro nejvyšší stupeň utajení utajovaných informací, se kterými informační systém nakládá.
(3) Bezpečnostní provozní mód s nejvyšší úrovní je takové prostředí, které umožňuje současné zpracování utajovaných informací klasifikovaných různými stupni utajení, ve kterém všichni uživatelé musí splňovat podmínky pro přístup k utajovaným informacím nejvyššího stupně utajení, které jsou v informačním systému obsaženy, přičemž všichni uživatelé nemusí být oprávněni pracovat se všemi utajovanými informacemi. Bezpečnost informačního systému, který je provozován v bezpečnostním provozním módu s nejvyšší úrovní, se zabezpečuje splněním minimálních bezpečnostních požadavků v oblasti počítačové bezpečnosti uvedených v § 7 a dále opatřeními z oblasti administrativní a personální bezpečnosti a fyzické bezpečnosti informačních systémů. Úroveň použitých opatření z uvedených oblastí a opatření k zajištění důvěrnosti dat během přenosu musí odpovídat úrovni požadované pro nejvyšší stupeň utajení utajovaných informací, se kterými informační systém nakládá.
(4) Bezpečnostní provozní mód s nejvyšší úrovní s formálním řízením přístupu k informacím je takové prostředí, které odpovídá bezpečnostnímu provoznímu módu s nejvyšší úrovní, kde však formální řízení přístupu navíc předpokládá formální centrální správu kontroly přístupu.
(5) Bezpečnostní provozní mód víceúrovňový je takové prostředí, které umožňuje v jednom informačním systému současné zpracování utajovaných informací klasifikovaných různými stupni utajení, ve kterém nemusí všichni uživatelé splňovat podmínky přístupu k utajovaným informacím nejvyššího stupně utajení, které jsou v informačním systému obsaženy, přičemž všichni uživatelé nemusí být oprávněni pracovat se všemi utajovanými informacemi. Bezpečnost informačního systému, který je provozován v bezpečnostním provozním módu víceúrovňovém, se zabezpečuje opatřeními uvedenými v odstavci 3 a bezpečnostní funkcí povinného řízení přístupu subjektů informačního systému k objektům informačního systému. Úroveň použitých opatření z oblasti administrativní a personální bezpečnosti, fyzické bezpečnosti informačních systémů a opatření k zajištění důvěrnosti dat během přenosu se stanoví na základě principu povinného řízení přístupu.
(6) Funkce povinného řízení přístupu subjektů informačního systému k objektům informačního systému musí zabezpečit
a) trvalé spojení každého subjektu informačního systému a objektu informačního systému s bezpečnostním atributem, který pro subjekt informačního systému vyjadřuje úroveň oprávnění subjektu informačního systému a pro objekt informačního systému jeho stupeň utajení,
b) ochranu integrity bezpečnostního atributu,
c) výlučné oprávnění bezpečnostního správce informačního systému k provádění změn bezpečnostních atributů subjektů informačního systému i objektů informačního systému a
d) přidělení předem definovaných hodnot atributů pro nově vytvořené objekty informačního systému a zachování atributu při kopírování objektu informačního systému.
(7) Při uplatňování bezpečnostní funkce povinného řízení přístupu subjektů informačního systému k objektům informačního systému musí být zabezpečeny tyto zásady
a) subjekt informačního systému může číst informace v objektu informačního systému pouze tehdy, je-li úroveň jeho oprávnění stejná nebo vyšší než stupeň utajení objektu informačního systému,
b) subjekt informačního systému může zapisovat informaci do objektu informačního systému pouze tehdy, je-li úroveň jeho oprávnění stejná nebo nižší než stupeň utajení objektu informačního systému, a
c) přístup subjektu informačního systému k informaci obsažené v objektu informačního systému je možný, jestliže jej povolují jak pravidla povinného řízení přístupu, tak pravidla volitelného řízení přístupu.
(8) Informační systém, který je provozován v bezpečnostním provozním módu víceúrovňovém, musí být schopen přesně označit stupněm utajení utajované informace vystupující z informačního systému a umožnit přiřadit stupeň utajení utajované informaci vstupující do informačního systému.
(9) U informačního systému, který je provozován v bezpečnostním provozním módu víceúrovňovém a nakládá s utajovanou informací stupně utajení Přísně tajné, musí být provedena identifikace a analýza skrytých kanálů. Skrytým kanálem se rozumí nepřípustná komunikace, jíž se utajovaná informace může dostat k neoprávněnému subjektu informačního systému.
§ 9
Systémově závislé bezpečnostní požadavky na bezpečnost v prostředí počítačových sítí
(1) Při přenosu utajované informace komunikačním kanálem musí být zajištěna ochrana její důvěrnosti a integrity.
(2) Základním prostředkem pro zajištění důvěrnosti utajované informace při jejím přenosu komunikačním kanálem je kryptografická ochrana4).
(3) Základním prostředkem pro zajištění integrity utajované informace při jejím přenosu komunikačním kanálem je spolehlivá detekce záměrné i náhodné změny utajované informace.
(4) Přenos utajované informace komunikačním kanálem vedeným v rámci zabezpečené oblasti nebo objektu může být, na základě analýzy rizik, zabezpečen pouze s využitím opatření fyzické bezpečnosti všech komponentů komunikačního kanálu, přičemž přenášená utajovaná informace není chráněna kryptografickou ochranou nebo je chráněna kryptografickou ochranou na nižší úrovni, nežli je vyžadována pro stupeň utajení přenášené utajované informace. Takto zabezpečený přenos utajované informace Úřad schvaluje v rámci certifikace informačního systému.
(5) V závislosti na komunikačním prostředí se zajišťuje spolehlivá identifikace a autentizace komunikujících stran, včetně ochrany identifikační a autentizační informace. Tato identifikace a autentizace předchází přenosu utajované informace.
(6) Přenos utajované informace komunikačním kanálem vedeným mimo objekt musí být zabezpečen certifikovaným kryptografickým prostředkem, který je certifikován nejméně pro stejný stupeň utajení jako přenášená utajovaná informace.
(7) Během certifikace informačního systému může Úřad, na základě předložené analýzy rizik, přijatých specifických bezpečnostních opatření pro detekci narušení bezpečnosti komunikačního kanálu a opatření pro snížení důsledků útoku, schválit odlišný systém zabezpečení informačního systému, než je uveden v odstavcích 4 a 6.
§ 9a
Bezpečné propojení informačních systémů
(1) Propojením informačních systémů se pro účely této vyhlášky rozumí přímé propojení dvou nebo více informačních systémů nebo informačního systému a informačního systému pro nakládání s neutajovanými informacemi za účelem jednosměrného či vícesměrného sdílení údajů a dalších informačních zdrojů. Propojení informačního systému s jiným informačním systémem nebo s informačním systémem pro nakládání s neutajovanými informacemi lze realizovat pouze v případě nezbytné provozní potřeby.
(2) Certifikovaný informační systém lze propojit s jiným certifikovaným informačním systémem, pokud to bylo na základě analýzy rizik schváleno v rámci certifikace těchto informačních systémů, je mezi nimi realizováno bezpečnostní rozhraní a jsou certifikovány pro nakládání s utajovanými informacemi
a) stejného stupně utajení, nebo
b) odlišného stupně utajení, za předpokladu, že se uplatní opatření podle odstavce 3.
(3) Propojení informačních systémů certifikovaných pro nakládání s utajovanou informací odlišného stupně utajení musí být realizováno tak, aby mezi nimi bylo zabráněno přenosu utajované informace vyššího stupně utajení, nežli je stupeň utajení, pro který je informační systém certifikován.
(4) Certifikovaný informační systém nesmí být propojen s veřejnou komunikační sítí, s výjimkou případů, kdy má instalované pro tento účel mezi sebou a veřejnou komunikační sítí vhodné bezpečnostní rozhraní, schválené na základě analýzy rizik v rámci jeho certifikace tak, aby bylo zamezeno průniku do certifikovaného informačního systému a byl umožněn pouze kontrolovaný přenos dat, který nenarušuje důvěrnost, integritu a dostupnost utajované informace a dostupnost služeb certifikovaného informačního systému.
(5) Certifikovaný informační systém, který nakládá s utajovanou informací stupně utajení Přísně tajné, nebo s utajovanou informací vyžadující zvláštní režim nakládání označené „ATOMAL“, nesmí být přímo ani postupně propojen s veřejnou komunikační sítí.
(6) Pokud je veřejná komunikační síť využívána výhradně k přenosu dat mezi informačními systémy nebo lokalitami informačního systému a přenášené informace jsou chráněny certifikovaným kryptografickým prostředkem, nepovažuje se takové spojení za propojení. Mezi informačním systémem a veřejnou komunikační sítí musí být realizováno vhodné bezpečnostní rozhraní tak, aby bylo zamezeno průniku do informačního systému. Připojení je předmětem analýzy rizik a musí být schváleno v rámci certifikace informačního systému.
§ 10
Požadavky na dostupnost utajované informace a služeb informačního systému
(1) Informační systém musí zajistit, aby požadovaná utajovaná informace byla přístupná ve stanoveném místě, v požadované formě a v určeném časovém rozmezí.
(2) V zájmu zajištění bezpečného provozu informačního systému se v bezpečnostní politice informačního systému stanoví komponenty, které musí být nahraditelné bez přerušení činnosti informačního systému. Dále se definuje rozsah požadované minimální funkčnosti informačního systému a uvedou se komponenty, při jejichž selhání musí být minimální funkčnost informačního systému zaručena.
(3) Plánování kapacit aktiv informačního systému a sledování kapacitních požadavků se provádí tak, aby nedocházelo k chybám způsobeným nedostatkem volných kapacit.
(4) Informační systém musí mít zpracován plán na obnovení jeho činnosti po havárii. Opětovné uvedení informačního systému do známého zabezpečeného stavu může být provedeno manuálně správcem informačního systému nebo automaticky. Všechny činnosti, které byly provedeny pro obnovení činnosti informačního systému, se zpravidla zaznamenávají do auditních záznamů chráněných před neoprávněnou modifikací nebo zničením.
§ 11
Systémově závislé bezpečnostní požadavky odvozené z analýzy rizik
(1) Pro stanovení hrozeb, které ohrožují aktiva informačního systému, musí být provedena analýza rizik.
(2) V rámci provedení analýzy rizik se vymezují aktiva informačního systému a hrozby, které působí na jednotlivá aktiva informačního systému. Posuzují se zejména hrozby, které způsobují ztrátu funkčnosti nebo bezpečnosti informačního systému.
(3) Po stanovení hrozeb se vymezují zranitelná místa informačního systému tak, že ke každé hrozbě se najde zranitelné místo nebo místa, na která tato hrozba působí.
(4) Výsledkem provedené analýzy rizik je seznam hrozeb, které mohou ohrozit informační systém, s uvedením odpovídajícího rizika.
(5) Na základě provedené analýzy rizik se provádí výběr vhodných protiopatření a určují se zbytková rizika a jejich úroveň, přičemž se dbá na to, aby byly implementovány pouze funkce, zařízení a služby, které jsou nezbytné pro splnění účelu, pro který je informační systém zřizován.
§ 12
Možnost nahrazení prostředků počítačové bezpečnosti
Zajištění některých bezpečnostních funkcí informačního systému prostředky počítačové bezpečnosti lze v odůvodněných případech nahradit zvýšeným použitím prostředků personální nebo administrativní bezpečnosti, fyzické bezpečnosti informačních systémů anebo organizačních opatření. Při nahrazení prostředků počítačové bezpečnosti náhradním bezpečnostním mechanismem nebo skupinou mechanismů, které mají zajišťovat určitou bezpečnostní funkci, musí být plně realizována bezpečnostní funkce a zachována kvalita a úroveň bezpečnostní funkce.
§ 13
Požadavky na ochranu mobilních a přenosných informačních systémů
(1) Pro mobilní a přenosné informační systémy se v analýze rizik posuzují i rizika, která jsou u mobilních informačních systémů spojená s dopravním prostředkem, a u přenosných informačních systémů s prostředími, ve kterých budou tyto informační systémy používány.
(2) Systém opatření použitých pro celkovou ochranu mobilních a přenosných informačních systémů, obsahujících komponenty umožňující uchování utajovaných informací, musí vedle ostatních požadavků stanovených touto vyhláškou zahrnovat pojetí tohoto zařízení jako nosiče utajované informace klasifikovaného nejvyšším stupněm utajení utajované informace, se kterou nakládá.
§ 14
Požadavky ochrany proti kompromitujícímu vyzařování
(1) Komponenty informačního systému, které nakládají s utajovanými informacemi stupně utajení Důvěrné nebo vyššího a zabezpečená oblast nebo objekt, ve kterém se v informačním systému zpracovávají utajované informace stupně utajení Důvěrné nebo vyššího, musí být zabezpečeny takovým způsobem, aby kompromitující vyzařování nezpůsobilo únik utajované informace.
(2) Požadavky na zabezpečení proti kompromitujícímu vyzařování jsou závislé na stupni utajení utajované informace, se kterou informační systém nakládá, a jsou stanoveny v bezpečnostním standardu.
(3) Instalace informačního systému, který nakládá s utajovanou informací stupně utajení Důvěrné nebo vyššího, z hlediska jeho zabezpečení proti kompromitujícímu vyzařování musí být provedena v souladu s požadavky bezpečnostního standardu. Záznam o instalaci komponent informačního systému se vkládá do bezpečnostní dokumentace informačního systému. Obsah a forma záznamu jsou stanoveny v bezpečnostním standardu.
§ 15
Požadavky na bezpečnost nosičů utajovaných informací
(1) Všechny nosiče utajovaných informací používané v provozu informačního systému musí být evidovány. Stupeň utajení těchto nosičů informací musí odpovídat bezpečnostnímu provoznímu módu a nejvyššímu stupni utajení utajovaných informací na nosiči uložených.
(2) Pokud je vyměnitelný nosič utajovaných informací určen výhradně pro použití v provozu určitého informačního systému, vyznačuje se spolu se stupněm utajení i název daného informačního systému a evidenční číslo nosiče informací. Nosiče utajovaných informací určené pro předání nebo výdej informací z informačního systému se označují stupněm utajení a dalšími údaji podle zvláštního právního předpisu5).
(3) Nosiče utajovaných informací zabudované do zařízení a jiné komponenty umožňující uchování utajovaných informací musí být evidovány a označeny stupněm utajení nejpozději po jejich vyjmutí z daného zařízení. Zařízení se evidují v provozní bezpečnostní dokumentaci informačního systému.
(4) Stupeň utajení nosiče utajovaných informací stupně utajení Přísně tajné nesmí být snížen, vyjma případu, kdy je prokázáno, že na něm byly během jeho dosavadního životního cyklu uloženy pouze utajované informace nižšího stupně utajení nebo informace neutajované.
(5) Stupeň utajení nosiče utajovaných informací stupně utajení Tajné může být snížen, stupně utajení Důvěrné může být snížen nebo zrušen, pouze v případě, že vymazání utajovaných informací z něj bylo provedeno způsobem uvedeným v odstavci 6 nebo je prokázáno, že na něm byly během jeho dosavadního životního cyklu uloženy pouze utajované informace nižšího stupně utajení nebo informace neutajované nebo je prokázáno, že stupeň utajení utajovaných informací uložených na něm během jeho dosavadního životního cyklu byl zrušen nebo snížen. Stupeň utajení nosiče utajovaných informací stupně utajení Vyhrazené může být zrušen pouze v případě, že vymazání utajovaných informací z něj bylo provedeno způsobem uvedeným v odstavci 6 nebo je prokázáno, že na něm byly během jeho dosavadního životního cyklu uloženy pouze informace neutajované nebo je prokázáno, že stupeň utajení utajovaných informací uložených na něm během jeho dosavadního životního cyklu byl zrušen.
(6) Vymazání utajované informace z nosiče utajovaných informací, které umožňuje snížení nebo zrušení jeho stupně utajení, musí být provedeno tak, aby utajovaná informace uložená na nosiči během jeho dosavadního životního cyklu byla obtížně zjistitelná i při použití laboratorních metod. Podmínky a postupy bezpečného vymazání stanoví Úřad v bezpečnostním standardu, postup musí být uveden v provozní bezpečnostní dokumentaci certifikovaného informačního systému a schválen v rámci jeho certifikace.
(7) Ničení nosiče utajovaných informací informačního systému musí být provedeno tak, aby se znemožnilo utajovanou informaci z něho opětovně získat.
(8) Při používání velkokapacitních vyměnitelných nosičů informací musí být v bezpečnostní politice stanoveno řízení přístupu uživatele ke vstupním a výstupním zařízením.
§ 16
Požadavky na přístup k utajované informaci v informačním systému
(1) Uživatelem, bezpečnostním správcem nebo správcem informačního systému může být pouze osoba, která byla pro svou činnost v informačním systému autorizována postupem stanoveným v bezpečnostní dokumentaci informačního systému.
(2) Uživatel, bezpečnostní správce a správce informačního systému musí splňovat podmínky pro přístup fyzické osoby k utajované informaci stupně utajení, který se stanovuje v souladu s bezpečnostním provozním módem a v závislosti na nejvyšším stupni utajení utajovaných informací, se kterými může informační systém nakládat.
(3) Správce informačního systému, který vykonává funkci administrátora s právy úplného řízení systému, a bezpečnostní správce celého informačního systému, musí splňovat podmínky pro přístup fyzické osoby k utajované informaci stupně utajení o jeden stupeň vyššího, nežli je nejvyšší stupeň utajení utajovaných informací, se kterými může informační systém nakládat. To neplatí u informačního systému, který je určen pro zpracování utajované informace stupně utajení Přísně tajné. U správce informačního systému, který vykonává funkci administrátora s právy úplného řízení systému, a u bezpečnostního správce celého informačního systému malého rozsahu nebo s nízkým podílem zpracování utajovaných informací nejvyššího stupně utajení, pro jejichž zpracování je informační systém určen, nebo v nichž nedochází ke kumulaci utajovaných informací nebo v nichž se zpracovává pouze taktická utajovaná informace, může Úřad, se zvážením identifikovaných rizik, uznat jako dostačující splnění podmínek pro přístup fyzické osoby k utajované informaci na úrovni shodné s nejvyšším stupněm utajení utajovaných informací, se kterými může informační systém nakládat.
(4) Správce informačního systému, který vykonává funkci administrátora s omezenými právy řízení systému, zejména správu serverů, správu aplikace nebo lokální správu a bezpečnostní správce informačního systému zajišťující dílčí oblast bezpečnosti, zejména určitou bezpečnostní technologii nebo lokální správu, musí splňovat podmínky pro přístup fyzické osoby k utajované informaci stupně utajení shodného s nejvyšším stupněm utajení utajovaných informací, se kterými může informační systém nakládat.
(5) V případě, že odpovědná osoba nebo jí pověřená osoba schválí informační systém do provozu pro nakládání s utajovanou informací do stupně utajení nižšího, nežli je stupeň utajení utajovaných informací, se kterými může informační systém nakládat, je pro stanovení nutné úrovně podmínek pro přístup fyzické osoby k utajované informaci, určující stupeň utajení utajovaných informací, pro který je informační systém schválen do provozu.
(6) Uživateli, bezpečnostnímu správci a správci informačního systému se na základě autorizace přiděluje v rámci informačního systému jedinečný identifikátor. Pro zajištění nepřetržité dostupnosti utajovaných informací a služeb informačního systému, který je ve stálém provozu, může v odůvodněných případech Úřad v rámci jeho certifikace umožnit, aby určitý identifikátor byl využíván několika uživateli, bezpečnostními správci nebo správci informačního systému. Předpokladem je zavedení postupu umožňujícího určit, který uživatel, bezpečnostní správce nebo správce informačního systému v dané době daný identifikátor využíval.
(7) Uživateli, bezpečnostnímu správci nebo správci informačního systému se uděluje oprávnění pouze v rozsahu nezbytném pro provádění jemu určených aktivit v informačním systému.
§ 17
Požadavek odpovědnosti za činnost v informačním systému
(1) Uživatel, bezpečnostní správce a správce informačního systému dodržuje předepsané postupy stanovené v bezpečnostní dokumentaci informačního systému, kterými je zajišťována bezpečnost informačního systému.
(2) Informace o činnosti subjektu informačního systému v informačním systému se zaznamenává tak, aby bylo možno identifikovat narušení bezpečnosti informačního systému nebo pokusy o ně. Záznamy o činnosti subjektu informačního systému v informačním systému se uchovávají pro zpětné zkoumání po dobu stanovenou v bezpečnostní politice informačního systému.
(3) Vyžaduje-li to činnost, pro kterou je informační systém zřízen, je v informačním systému zajišťována nepopiratelnost stanovených jednání či událostí. V případě, že je v informačním systému požadována funkcionalita spisové služby v elektronické podobě6), musí být software, kterým je realizována, hodnocen během certifikace informačního systému.
§ 18
Bezpečnostní správa informačního systému
(1) V informačním systému se zavádí vhodný systém bezpečnostní správy informačního systému. V rámci systému bezpečnostní správy informačního systému se zavádí role bezpečnostního správce informačního systému, odděleně od jiných rolí ve správě informačního systému, pokud není dále stanoveno jinak.
(2) V případě potřeby zajistit stanovený rozsah činnosti pro zajištění bezpečnosti informačního systému se zavádějí další role v bezpečnostní správě informačního systému, zejména organizační struktura bezpečnostních správců, bezpečnostní správci jednotlivých lokalit, bezpečnostní správce pro oblast komunikační bezpečnosti nebo bezpečnostní správce bezpečnostního rozhraní informačních systémů.
(3) Role bezpečnostního správce informačního systému obsahuje výkon správy bezpečnosti informačního systému spočívající zejména v přidělování přístupových práv, správě autentizačních a autorizačních informací, správě konfigurace informačního systému, správě a vyhodnocování auditních záznamů, aktualizaci bezpečnostních směrnic, řešení bezpečnostních incidentů a krizových situací a vypracování zpráv o nich, zajištění školení uživatelů v oblasti bezpečnosti informačního systému, kontroly dodržování bezpečnostních provozních směrnic, jakož i v dalších činnostech stanovených v bezpečnostní dokumentaci informačního systému.
(4) V informačním systému malého rozsahu může Úřad v rámci jeho certifikace umožnit spojení role bezpečnostního správce a některých dalších rolí ve správě informačního systému.
(5) Správce informačního systému mimo činnosti pro zajištění funkčnosti informačního systému a řízení jeho provozu plní stanovené činnosti pro zajištění počítačové a komunikační bezpečnosti informačního systému.
§ 19
Požadavky personální bezpečnosti při provozu informačního systému
(1) Činnost uživatele, bezpečnostního správce a správce informačního systému v informačním systému se umožňuje na základě jeho autorizace pro tuto činnost, která musí být změněna při změně jeho role v rámci informačního systému nebo zrušena, pokud přestal splňovat podmínky přístupu k utajované informaci. Bezpečnostní správce vede seznam uživatelů informačního systému.
(2) Provozovatel informačního systému zajišťuje úvodní školení uživatelů, bezpečnostních správců a správců informačního systému v dodržování opatření stanovených v bezpečnostní dokumentaci informačního systému a správném užívání informačního systému. Další školení zajišťuje při podstatných změnách v informačním systému okamžitě, jinak nejméně jednou ročně.
§ 20
Požadavky fyzické bezpečnosti informačních systémů
(1) Aktiva informačního systému musí být umístěna do prostoru, ve kterém je zajištěna fyzická ochrana informačního systému před neoprávněným přístupem, poškozením a ovlivněním. V rámci certifikace informačního systému se stanovuje, které komponenty informačního systému musí být umístěny v zabezpečené oblasti nebo v objektu, a požadovaná kategorie zabezpečené oblasti.
(2) Aktiva informačního systému musí být chráněna před bezpečnostními hrozbami a riziky vyplývajícími z prostředí, ve kterém jsou umístěna.
(3) Umístění aktiv informačního systému musí být provedeno tak, aby zamezovalo nepovolané osobě odezírat utajované informace nebo informace sloužící k identifikaci a autentizaci uživatele.
(4) Komunikační infrastruktura přenášející data nebo podporující služby informačního systému musí být chráněna před možností zachycení přenášených utajovaných informací a před poškozením.
(5) Minimální míra zabezpečení zabezpečené oblasti pro umístění části informačního systému, v níž mohou být ukládány utajované informace, se určuje v souladu s tabulkami bodových hodnot nejnižší míry zabezpečení fyzické bezpečnosti uvedenými v příloze č. 1 vyhlášky č. 528/2005 Sb., o fyzické bezpečnosti a certifikaci technických prostředků, ve znění pozdějších předpisů.
(6) Bodové ohodnocení fyzické bezpečnosti informačního systému je uvedeno v příloze č. 3 k této vyhlášce.
§ 21
Požadavek testování bezpečnosti informačního systému
(1) Bezpečnost informačního systému se musí před vydáním certifikátu ověřit nezávislým testováním. K provedení testování se nesmějí používat utajované informace.
(2) Výsledky testů musí prokázat, že bezpečnostní funkce jsou plně v souladu s bezpečnostní politikou informačního systému. Výsledky testů musí být zadokumentovány. Chyby nalezené během testování musí být odstraněny a jejich odstranění musí být ověřeno následnými testy.
§ 22
Požadavky na bezpečnost při instalaci informačního systému
Postup instalace informačního systému musí být organizován tak, aby nebyla ohrožena jeho bezpečnost a oslabeny jeho bezpečnostní funkce. V bezpečnostní politice informačního systému se stanoví komponenty informačního systému, které musí být instalovány osobami splňujícími podmínky zákona pro přístup k utajovaným informacím nejvyššího stupně utajení, pro jehož nakládání je informační systém určen. Jedná se o komponenty zajišťující bezpečnostní funkce informačního systému nebo komponenty vyhodnocené jako zranitelné ve fázi instalace. Ostatní komponenty informačního systému mohou být instalovány osobami splňujícími podmínky zákona pro přístup k utajované informaci nižšího stupně utajení nebo osobami nesplňujícími podmínky pro přístup k utajované informaci, schválenými bezpečnostním ředitelem provozovatele informačního systému, avšak pod neustálým dohledem pracovníka správy informačního systému, prověřeného pro přístup k utajovaným informacím nejvyššího stupně utajení, pro jehož nakládání je informační systém určen.
§ 23
Požadavky na bezpečnost provozovaného informačního systému
(1) Bezpečnost provozovaného informačního systému musí být průběžně, s ohledem na skutečný stav informačního systému, prověřována a vyhodnocována. Dílčí změnu v informačním systému je možno provést až po vyhodnocení vlivu této změny na bezpečnost informačního systému a po jejím schválení Úřadem, nestanoví-li certifikační zpráva jinak.
(2) Integrita programového vybavení i utajovaných informací musí být chráněna před působením škodlivého kódu.
(3) V provozovaném informačním systému je ověřována pravost informací, které vstupují do informačního systému.
(4) V provozovaném informačním systému může být používáno pouze softwarové a hardwarové vybavení odpovídající bezpečnostní dokumentaci informačního systému schválené Úřadem a podmínkám certifikační zprávy k certifikátu informačního systému.
(5) V provozovaném informačním systému musí být prováděno zálohování programového vybavení a utajovaných informací. Záloha programového vybavení a utajovaných informací musí být uložena tak, aby nemohlo dojít k jejímu poškození nebo ke zničení při ohrožení informačního systému anebo zneužití pro narušení důvěrnosti utajovaných informací.
(6) Servisní činnost v provozovaném informačním systému se musí organizovat tak, aby nebyla ohrožena jeho bezpečnost. Z nosičů utajovaných informací informačního systému přístupných při servisní činnosti musí být vymazány utajované informace a dálková diagnostika musí být zabezpečena před zneužitím.
(7) Údržbu komponent informačního systému zajišťujících bezpečnostní funkce informačního systému nebo přímo ovlivňujících bezpečnost informačního systému musí zajišťovat osoby splňující podmínky zákona pro přístup k utajovaným informacím nejvyššího stupně utajení, pro jehož nakládání je informační systém určen. Takové komponenty musí být stanoveny v provozní bezpečnostní dokumentaci informačního systému. Údržba ostatních komponentů informačního systému může být prováděna osobami splňujícími podmínky zákona pro nižší stupeň utajení nebo osobami schválenými bezpečnostním ředitelem provozovatele informačního systému, avšak pod neustálým dohledem pracovníka správy informačního systému prověřeného pro přístup k utajovaným informacím nejvyššího stupně utajení, pro jehož nakládání je informační systém určen.
(8) V provozovaném informačním systému musí být v termínech stanovených v bezpečnostní dokumentaci informačního systému a při vzniku krizové situace neprodleně prováděno vyhodnocení auditních záznamů. Auditní záznamy musí být archivovány po dobu stanovenou v bezpečnostní dokumentaci informačního systému a chráněny před modifikací nebo zničením.
(9) V zabezpečené oblasti, v níž jsou umístěny komponenty informačního systému pro nakládání s utajovanou informací stupně utajení Tajné nebo Přísně tajné, se na žádost orgánu státu nebo podnikatele provádí kontrola ke zjištění nedovoleného použití technických prostředků určených k získávání informací. Tato kontrola se provede před prvním zpracováním utajované informace a dále opakovaně zpravidla v intervalu dvou let.
(10) Pro řešení krizové situace provozovaného informačního systému musí být v bezpečnostní dokumentaci informačního systému stanovena opatření zaměřená na jeho uvedení do stavu odpovídajícího bezpečnostní dokumentaci informačního systému. V bezpečnostní dokumentaci informačního systému musí být uvedeny základní typy krizových situací, které mohou podle analýzy rizik nastat, a pro každou z nich specifikována činnost následující
a) bezprostředně po vzniku krizové situace zaměřená na minimalizaci škod a zajištění informací potřebných pro zjištění příčin a mechanismu vzniku krizové situace a
b) po vzniku krizové situace zaměřená na likvidaci následků krizové situace včetně vymezení osobní odpovědnosti za jednotlivé úkoly.
(11) Pro případ havárie softwarového nebo hardwarového vybavení musí být uveden v bezpečnostní dokumentaci informačního systému způsob
a) zálohování informačního systému a uložení záložních médií,
b) zajišťování servisní činnosti,
c) zajištění nouzového provozu informačního systému s vyjmenováním minimálních funkcí, které musí být zachovány, a
d) obnovy funkčnosti a uvedení informačního systému do známého bezpečného stavu.
(12) Před trvalým ukončením provozu informačního systému musí být provedeno vyjmutí nebo zničení nosičů utajovaných informací, se kterými informační systém nakládal.
HLAVA II
CERTIFIKACE INFORMAČNÍCH SYSTÉMŮ
§ 24
Žádost o certifikaci informačního systému a způsob a podmínky jejího provedení
(1) Žádost o certifikaci informačního systému obsahuje
a) identifikaci žadatele
1. obchodní firmou, popřípadě názvem, sídlem a identifikačním číslem, bylo-li přiděleno, je-li žadatelem právnická osoba,
2. obchodní firmou, popřípadě jménem a příjmením, případně odlišujícím dodatkem, místem trvalého pobytu nebo u cizince místem obdobného pobytu a místem podnikání, liší-li se od trvalého pobytu, datem narození a identifikačním číslem, bylo-li přiděleno, je-li žadatelem fyzická osoba, která je podnikatelem, nebo
3. názvem, sídlem, identifikačním číslem a jménem a příjmením odpovědné osoby, jde-li o orgán státu,
b) jméno a příjmení kontaktního pracovníka žadatele a kontaktní spojení,
c) stručný popis účelu a rozsahu informačního systému,
d) stupeň utajení utajovaných informací, se kterými bude informační systém nakládat,
e) stanovení bezpečnostního provozního módu informačního systému a
f) identifikaci dodavatele informačního systému nebo jeho komponent ovlivňujících bezpečnost informačního systému, podle písmene a) bodu 1 nebo 2, a stupeň utajení, pro který bylo vydáno dodavateli osvědčení podnikatele nebo kopii platného prohlášení podnikatele.
(2) K provedení certifikace informačního systému žadatel předloží následující podklady
a) bezpečnostní politiku informačního systému a výsledky analýzy rizik,
b) návrh bezpečnosti informačního systému,
c) sadu testů bezpečnosti informačního systému, jejich popis a popis výsledků testování,
d) bezpečnostní provozní dokumentaci informačního systému,
e) popis bezpečnosti vývojového prostředí a
f) další podklady nezbytné k certifikaci informačního systému, vyplývající ze specifikace informačního systému.
(3) Žádá-li o provedení certifikace informačního systému zpravodajská služba, uvede v žádosti podle odstavce 1 a v podkladech podle odstavce 2 pouze nezbytné údaje, které umožní Úřadu provedení certifikace informačního systému.
(4) Jako podklad pro certifikaci informačního systému může žadatel předložit také výsledky dílčích úloh v hodnocení některých komponent informačního systému a v hodnocení jednotlivých oblastí bezpečnosti uvedených v § 3 odst. 1, provedených orgánem státu nebo podnikatelem na základě smlouvy o zajištění činnosti uzavřené s Úřadem.
(5) V rámci certifikace informačního systému se posuzuje vhodnost souboru opatření navržených pro dosažení bezpečnosti informačního systému podle § 3, správnost a úplnost bezpečnostní dokumentace informačního systému a správnost realizace navrženého souboru opatření v daném informačním systému.
(6) Certifikace informačního systému se provádí posouzením podkladů předložených žadatelem a provedením dodatečných testů. Dodatečné testy provádí Úřad v provozním prostředí hodnoceného informačního systému za spoluúčasti žadatele a v případě potřeby dodavatele.
(7) Certifikaci informačního systému lze provádět průběžně po ukončení jednotlivých fází výstavby informačního systému nebo až po jeho celkovém dokončení.
(8) Dojde-li v informačním systému, který byl certifikován a schválen do provozu, ke změnám uvedeným v § 25 písm. d), provádí se doplňující hodnocení informačního systému v rozsahu potřebném k posouzení provedených změn. V případě provádění doplňujícího hodnocení informačního systému se postupuje obdobně jako při provádění certifikace informačního systému.
(9) Vzor certifikátu informačního systému je uveden v příloze č. 1 této vyhlášky.
§ 25
Certifikační zpráva informačního systému
Certifikační zpráva obsahuje
a) orientační popis informačního systému,
b) podmínky provozu informačního systému,
c) identifikaci případných přijatelných rizik souvisejících s provozem informačního systému a
d) typy změn informačního systému, které vyžadují provedení doplňujícího hodnocení informačního systému.
§ 26
Žádost o opakovanou certifikaci informačního systému a způsob jejího provedení
(1) Žádost o opakovanou certifikaci informačního systému obsahuje
a) identifikaci žadatele podle § 24 odst. 1 písm. a),
b) úplnou identifikaci vydaného certifikátu informačního systému obsahující jeho držitele, evidenční číslo, datum vydání a dobu platnosti,
c) identifikaci informačního systému obsahující jeho název, označení verze a stupeň utajení utajovaných informací, pro který byla schválena jeho způsobilost, a
d) jméno a příjmení kontaktního pracovníka žadatele a kontaktní spojení.
(2) Pokud žadatel doloží, že ke dni ukončení platnosti dosavadního certifikátu bude informační systém provozován v rámci podmínek stanovených v certifikační zprávě, a žadatel ani Úřad neidentifikovali nová rizika pro informační systém, vydá Úřad certifikát na základě existující bezpečnostní dokumentace informačního systému a provedené kontroly bezpečnosti informačního systému.
(3) Pokud ke dni ukončení platnosti dosavadního certifikátu provozovatel navrhuje změnu bezpečnostní politiky informačního systému, případně byla identifikována nová rizika pro informační systém, vyžádá si Úřad doplnění nebo úpravu odpovídajících částí dokumentace a provede doplňující hodnocení informačního systému v rozsahu stanoveném Úřadem. Pokud informační systém vyhoví stanoveným bezpečnostním podmínkám, Úřad vydá certifikát.
(4) V případě, že navrhované změny bezpečnostní politiky informačního systému jsou podstatné pro celkovou bezpečnost informačního systému, bude Úřad postupovat jako v případě nové certifikace.
ČÁST TŘETÍ
KOMUNIKAČNÍ SYSTÉM
§ 27
Náležitosti projektu bezpečnosti komunikačního systému
(1) Projekt bezpečnosti komunikačního systému obsahuje tyto náležitosti
a) bezpečnostní politiku komunikačního systému,
b) organizační a provozní postupy provozování komunikačního systému,
c) provozní směrnice pro bezpečnostní správu komunikačního systému a
d) provozní směrnice uživatele komunikačního systému.
(2) Bezpečnostní politika komunikačního systému vymezuje způsob, jakým má být zajištěna důvěrnost, integrita a dostupnost utajované informace a odpovědnost uživatele za jeho činnost v daném komunikačním systému.
(3) Bezpečnostní politika komunikačního systému obsahuje souhrn zásad a požadavků v oblasti personální, administrativní, fyzické a komunikační bezpečnosti, stanovených v závislosti na stupni utajení přenášených utajovaných informací, na výsledcích analýzy rizik komunikačního systému a na zásadách a podmínkách provozování kryptografického prostředku uvedených v certifikační zprávě kryptografického prostředku.
(4) Organizační opatření a provozní postupy provozování komunikačního systému obsahují
a) způsob, jakým bude zajištěn výkon kryptografické ochrany v souladu s certifikační zprávou kryptografického prostředku,
b) požadovanou strukturu správy komunikačního systému a
c) organizační opatření a zásady provozních postupů, jejichž naplňováním bude zajištěna ochrana utajovaných informací přenášených v komunikačním systému.
(5) Na základě bezpečnostní politiky komunikačního systému a organizačních opatření a provozních postupů provozování komunikačního systému se zpracují odděleně provozní směrnice pro bezpečnostní správu komunikačního systému a provozní směrnice uživatele komunikačního systému. Tyto směrnice musí obsahovat konkrétní provozní postupy pro zajištění bezpečnostní správy komunikačního systému a výkonu kryptografické ochrany a musí stanovit odpovědnost pracovníků správy komunikačního systému, pracovníků kryptografické ochrany a uživatelů k zajištění ochrany utajovaných informací.
§ 28
Žádost o schválení projektu bezpečnosti komunikačního systému
(1) Žádost o schválení projektu bezpečnosti komunikačního systému předkládá orgán státu nebo podnikatel, který bude komunikační systém provozovat.
(2) Žádost podle odstavce 1 obsahuje
a) identifikaci žadatele podle § 24 odst. 1 písm. a),
b) jméno a příjmení kontaktního pracovníka a kontaktní spojení,
c) stupeň a číslo osvědčení podnikatele nebo kopii platného prohlášení podnikatele, je-li žadatelem podnikatel,
d) název a stručný popis účelu a rozsahu komunikačního systému včetně stanovení jeho běžných provozních funkcí,
e) stupeň utajení utajovaných informací, se kterými bude komunikační systém nakládat, a
f) identifikaci dodavatele jednotlivých komponent komunikačního systému majících vliv na bezpečnost komunikačního systému, podle § 24 odst. 1 písm. a) bodu 1 nebo 2, a stupeň utajení, pro který bylo vydáno dodavateli osvědčení podnikatele nebo kopii platného prohlášení podnikatele.
(3) K žádosti podle odstavce 2 se v průběhu schvalování přikládají jednotlivé části projektu bezpečnosti komunikačního systému podle § 27 odst. 3.
(4) Žádá-li o schválení projektu bezpečnosti komunikačního systému zpravodajská služba, uvede v žádosti podle odstavce 2 a v podkladech podle odstavce 3 pouze nezbytné údaje, které umožní Úřadu schválení projektu bezpečnosti komunikačního systému.
§ 29
Způsob a podmínky schvalování projektu bezpečnosti komunikačního systému
(1) V rámci schvalování projektu bezpečnosti komunikačního systému se posuzuje vhodnost souhrnu zásad a požadavků v oblasti personální, administrativní, fyzické a komunikační bezpečnosti podle § 27 odst. 3 a organizačních opatření a provozních postupů provozování komunikačního systému podle § 27 odst. 4, navržených pro dosažení bezpečnosti komunikačního systému, a správnost a úplnost provozních směrnic podle § 27 odst. 5.
(2) Schvalování projektu bezpečnosti komunikačního systému se provádí posouzením podkladů předložených žadatelem a provedením kontroly realizace projektu bezpečnosti komunikačního systému Úřadem v provozním prostředí schvalovaného komunikačního systému.
(3) Schvalování projektu bezpečnosti komunikačního systému lze provádět průběžně po ukončení jednotlivých fází výstavby komunikačního systému nebo až po jeho celkovém dokončení, podle požadavků žadatele.
(4) Jestliže se při schvalování projektu bezpečnosti komunikačního systému zjistí způsobilost hodnoceného komunikačního systému pro nakládání s utajovanými informacemi, bude žadateli písemně zasláno schválení projektu bezpečnosti komunikačního systému.
(5) Dojde-li v komunikačním systému k závažným změnám, které mají vliv na celkovou bezpečnost tohoto komunikačního systému, provádí se doplňující hodnocení komunikačního systému v rozsahu potřebném k posouzení provedených změn. V případě provádění doplňujícího hodnocení komunikačního systému se postupuje obdobně jako při schvalování projektu bezpečnosti komunikačního systému.
ČÁST ČTVRTÁ
KOMPROMITUJÍCÍ VYZAŘOVÁNÍ
HLAVA I
ELEKTRICKÁ A ELEKTRONICKÁ ZAŘÍZENÍ, ZABEZPEČENÁ OBLAST NEBO OBJEKT
§ 29a
Kompromitující vyzařování je vyzařování elektrických a elektronických zařízení, které by mohlo způsobit únik utajované informace stupně utajení Přísně tajné, Tajné nebo Důvěrné.
§ 30
Žádost o ověření způsobilosti elektrických a elektronických zařízení, zabezpečené oblasti nebo objektu
(1) Žádost o ověření způsobilosti elektrických a elektronických zařízení, zabezpečené oblasti nebo objektu k ochraně před únikem informací kompromitujícím vyzařováním obsahuje
a) identifikaci žadatele podle § 24 odst. 1 písm. a),
b) jméno a příjmení kontaktního pracovníka a kontaktní spojení,
c) identifikaci elektrického nebo elektronického zařízení, zabezpečené oblasti nebo objektu, jehož způsobilost má být ověřena, a
d) stupeň utajení utajovaných informací, které budou v elektrickém nebo elektronickém zařízení, zabezpečené oblasti nebo objektu zpracovávány.
(2) K žádosti může být přiložena zpráva o výsledku hodnocení způsobilosti elektrického nebo elektronického zařízení, zabezpečené oblasti nebo objektu k ochraně před únikem utajované informace kompromitujícím vyzařováním, provedeného orgánem státu nebo podnikatelem na základě smlouvy o zajištění činnosti uzavřené s Úřadem.
(3) Podmínky hodnocení a používání elektrických a elektronických zařízení, zabezpečené oblasti nebo objektu k ochraně utajovaných informací před únikem utajované informace kompromitujícím vyzařováním stanoví Úřad v bezpečnostních standardech.
§ 31
Způsob hodnocení způsobilosti elektrických a elektronických zařízení, zabezpečené oblasti nebo objektu
(1) Hodnocení způsobilosti elektrických a elektronických zařízení z hlediska úniku utajované informace kompromitujícím vyzařováním se provádí měřením úrovní vyzařovaného elektromagnetického pole a porovnáním naměřených hodnot s bezpečnostními standardy.
(2) Hodnocení způsobilosti zabezpečené oblasti nebo objektu k ochraně před únikem utajované informace kompromitujícím vyzařováním se provádí měřením jeho útlumových vlastností a porovnáním naměřených hodnot s bezpečnostními standardy.
(3) Jsou-li v průběhu hodnocení způsobilosti elektrických a elektronických zařízení, zabezpečené oblasti nebo objektu zjištěny nedostatky, vyzve Úřad žadatele k jejich odstranění.
(4) O průběhu a výsledcích hodnocení způsobilosti elektrických a elektronických zařízení, zabezpečené oblasti nebo objektu k ochraně před únikem utajované informace kompromitujícím vyzařováním vypracuje Úřad zprávu a výsledek písemně oznámí žadateli.
HLAVA II
STÍNICÍ KOMORA
§ 32
(1) Stínicí komorou je uzavřený stíněný prostor zabraňující šíření elektromagnetického, optického a akustického vyzařování mimo tento prostor.
(2) K ochraně utajovaných informací před jejich únikem kompromitujícím vyzařováním se používá stínicí komora certifikovaná Úřadem. Podmínky hodnocení stínicí komory k ochraně utajovaných informací stanoví Úřad v bezpečnostních standardech.
Certifikace stínicí komory
§ 33
Žádost o certifikaci stínicí komory
(1) Žádost o certifikaci stínicí komory obsahuje
a) identifikaci žadatele podle § 24 odst. 1 písm. a),
b) jméno a příjmení kontaktního pracovníka žadatele a kontaktní spojení,
c) stupeň a číslo osvědčení podnikatele nebo kopii platného prohlášení podnikatele, je-li žadatelem podnikatel,
d) označení a umístění stínicí komory a
e) identifikaci výrobce stínicí komory, podle § 24 odst. 1 písm. a) bodu 1 nebo 2.
(2) K žádosti může být přiložena zpráva o výsledku hodnocení stínicí komory, provedeného orgánem státu nebo podnikatelem na základě smlouvy o zajištění činnosti uzavřené s Úřadem. Ke dni podání žádosti o certifikaci stínicí komory nesmí být její výsledek hodnocení uvedený v přiložené zprávě starší 6 měsíců.
§ 34
Způsob a podmínky provádění certifikace stínicí komory
(1) Certifikace stínicí komory se provádí měřením útlumových vlastností stínicí komory a jejich porovnáním s bezpečnostními standardy. Měření stínicí komory se provádí za spoluúčasti žadatele a v případě potřeby i dodavatele stínicí komory.
(2) O průběhu a dílčích výsledcích certifikace stínicí komory vypracuje Úřad zprávu.
(3) Vzor certifikátu stínicí komory je uveden v příloze č. 2 této vyhlášky.
§ 35
Certifikační zpráva stínicí komory
Certifikační zpráva stínicí komory obsahuje
a) orientační popis stínicí komory, jejího umístění a účelu jejího používání,
b) podmínky provozu stínicí komory a
c) typy změn, které vyžadují provedení opakované certifikace stínicí komory.
§ 36
Žádost o opakovanou certifikaci stínicí komory a způsob jejího provedení
(1) Žádost o opakovanou certifikaci stínicí komory obsahuje
a) identifikaci žadatele podle § 24 odst. 1 písm. a),
b) úplnou identifikaci vydaného certifikátu stínicí komory obsahující jeho držitele, evidenční číslo, datum vydání a dobu platnosti,
c) identifikaci certifikované stínicí komory obsahující její název, typové označení, variantní provedení a umístění a
d) jméno a příjmení kontaktního pracovníka žadatele a kontaktní spojení.
(2) K žádosti může být přiložena zpráva o výsledku hodnocení stínicí komory, provedeného orgánem státu nebo podnikatelem na základě smlouvy o zajištění činnosti uzavřené s Úřadem, podle § 33 odst. 2.
(3) Pokud žadatel doloží, že ke dni ukončení platnosti dosavadního certifikátu stínicí komory nedochází ke změnám podmínek podmiňujících platnost vydaného certifikátu, Úřad vydá certifikát.
(4) Pokud ke dni ukončení platnosti certifikátu stínicí komory žadatel nemůže doložit skutečnosti uvedené v odstavci 3, Úřad provede doplňující hodnocení stínicí komory, a pokud ověří způsobilost stínicí komory k ochraně utajovaných informací, vydá certifikát. V případě podstatných změn podmínek provozu stínicí komory se postupuje jako při nové certifikaci.
ČÁST PÁTÁ
NÁLEŽITOSTI ŽÁDOSTI ORGÁNU STÁTU NEBO PODNIKATELE O UZAVŘENÍ SMLOUVY O ZAJIŠTĚNÍ ČINNOSTI
§ 37
Žádost o uzavření smlouvy o zajištění činnosti obsahuje
a) identifikaci žadatele podle § 24 odst. 1 písm. a),
b) stupeň a číslo osvědčení podnikatele nebo kopii platného prohlášení podnikatele, je-li žadatelem podnikatel,
c) jméno a příjmení kontaktního pracovníka žadatele a kontaktní spojení,
d) identifikaci příslušného odborného pracoviště žadatele (předmět činnosti a podrobná specifikace umístění pověřovaného pracoviště, jméno a příjmení kontaktního pracovníka a kontaktní spojení),
e) specifikace činností, které mají být prováděny podle smlouvy,
f) personální předpoklady pracoviště k provádění požadovaných činností (jméno, příjmení a kvalifikace vedoucího pracovníka odborného pracoviště, jména a příjmení ostatních odborných pracovníků pracoviště a jejich kvalifikace),
g) prohlášení odpovědné osoby o úrovni fyzické, personální a administrativní bezpečnosti, která je zajištěna pro odborné pracoviště,
h) stupeň a evidenční číslo certifikátu informačního systému, pokud je použití certifikovaného informačního systému potřebné pro provádění činností podle smlouvy, a
i) vybavenost odborného pracoviště technickým zařízením potřebným pro provádění činností podle smlouvy.
ČÁST ŠESTÁ
PODMÍNKY BEZPEČNÉHO PROVOZOVÁNÍ KOPÍROVACÍHO ZAŘÍZENÍ, ZOBRAZOVACÍHO ZAŘÍZENÍ NEBO PSACÍHO STROJE S PAMĚTÍ
§ 38
(1) Bezpečného zpracování utajovaných informací v elektronické podobě v zařízení, které není součástí informačního nebo komunikačního systému, zejména v psacím stroji s pamětí a v zařízení umožňujícím kopírování, záznam nebo zobrazení utajované informace anebo její převod do jiného datového formátu, se v závislosti na stupni utajení utajovaných informací dosahuje uplatněním souboru opatření z oblasti
a) personální bezpečnosti,
b) fyzické bezpečnosti,
c) administrativní bezpečnosti a organizačních opatření a
d) ochrany utajované informace před jejím únikem kompromitujícím vyzařováním.
(2) Zařízení podle odstavce 1, která se používají pro zpracování utajovaných informací stupně utajení Důvěrné nebo vyššího, musí být zabezpečena proti úniku utajované informace kompromitujícím vyzařováním. Při ověřování způsobilosti kopírovacího zařízení, zobrazovacího zařízení nebo psacího stroje s pamětí k ochraně utajované informace před jejím únikem kompromitujícím vyzařováním se postupuje podle § 31.
(3) Zařízení podle odstavce 1 musí být umístěna do prostoru, ve kterém je zajištěna jejich fyzická ochrana před neoprávněným přístupem, poškozením a ovlivněním. Tento prostor je vymezen definovanými prvky ochrany s vhodnými kontrolami vstupu a bezpečnostními bariérami. Podle charakteru zařízení se na základě analýzy rizik stanovuje, zda musí být umístěno v zabezpečené oblasti nebo v objektu, a požadovaná kategorie zabezpečené oblasti. Analýza rizik stanoví pro zranitelná místa zařízení pravděpodobnost realizace možných hrozeb a odhad jejich následků.
(4) Zařízení podle odstavce 1 musí být fyzicky chráněna před bezpečnostními hrozbami a riziky prostředí.
(5) Umístění zařízení podle odstavce 1 musí být provedeno tak, aby zamezovalo nepovolané osobě odezírat utajované informace.
(6) Se zařízením podle odstavce 1 obsahujícím zabudované nosiče utajovaných informací nebo jiné komponenty umožňující uchování utajovaných informací a s psacím strojem s pamětí musí být spojena informace o stupni utajení informací uchovávaných na těchto nosičích a komponentách. Tato informace může být vyjádřena na štítku připevněném k zařízení, stanovena v bezpečnostní provozní směrnici nebo být vyjádřena jiným vhodným způsobem. Nosiče utajovaných informací zabudované do zařízení a jiné komponenty umožňující uchování utajovaných informací musí být evidovány a označeny stupněm utajení nejpozději po jejich vyjmutí z daného zařízení.
(7) Servisní činnost pro zařízení podle odstavce 1 se musí organizovat tak, aby nebyla ohrožena bezpečnost utajovaných informací. Z nosičů utajovaných informací a komponent přístupných při servisní činnosti musí být vymazány utajované informace podle § 15, jinak nesmí být předmětem servisní činnosti.
ČÁST SEDMÁ
ÚČINNOST
§ 39
Tato vyhláška nabývá účinnosti dnem 1. ledna 2006.

Ředitel:
Mgr. Mareš v. r.


Příloha č. 1 k vyhlášce č. 523/2005 Sb.
CERTIFIKÁT informačního systému

Příloha č. 2 k vyhlášce č. 523/2005 Sb.
CERTIFIKÁT stínicí komory

Příloha č. 3 k vyhlášce č. 523/2005 Sb.
FYZICKÁ BEZPEČNOST INFORMAČNÍCH SYSTÉMŮ (IS)
1.1. ZPRACOVÁVÁNÍ DAT
1.1.1. Danou částí informačního systému mohou být utajované informace pouze zobrazeny a zpracovávány nebo přenášeny:
SS1 = 4 body
V případě, že je v zabezpečené oblasti umístěna jedna nebo více částí informačního systému, použije se nejnižší z hodnot parametru SS1 vztažených k jednotlivým částem informačního systému.
1.2. UKLÁDÁNÍ UTAJOVANÝCH INFORMACÍ NA POČÍTAČOVÝCH MÉDIÍCH (VEŠKERÁ NEVOLATILNÍ PAMĚŤOVÁ MÉDIA)
Prostory, v nichž jsou informační systémy používány pro ukládání utajovaných informací stupně utajení Vyhrazené a vyšší, musí být zřízeny jako zabezpečené oblasti.
1.2.1. Uložená data jsou šifrována certifikovaným kryptografickým prostředkem
SS1 = 4 body
Kromě parametru SS1, který se vztahuje na uložená zašifrovaná data, je nutné také pracovat s parametrem S1 kryptografického prostředku.
1.2.2. Uložená data nejsou šifrována
SS1 = 1 bod
1.3.1. Identifikace jménem a autentizace předmětem s šifrovaným obsahem a přenosem:
SS2 = 4 body
Kryptografické mechanismy předmětu používaného pro autentizaci musí být certifikované Úřadem.
Tento způsob autentizace tvoří bezpečnostní ekvivalent zámku úschovného objektu typu 4.
1.3.2. Identifikace jménem a autentizace předmětem s šifrovaným obsahem:
SS2 = 3 body
Kryptografické mechanismy předmětu používaného pro autentizaci musí být certifikované Úřadem.
Tento způsob autentizace tvoří bezpečnostní ekvivalent zámku úschovného objektu typu 3.
1.3.3. Identifikace jménem a autentizace předmětem
SS2 = 2 body
Předmět používaný pro autentizaci musí být schválen Úřadem v rámci certifikace informačního systému.
Tento způsob autentizace tvoří bezpečnostní ekvivalent zámku úschovného objektu typu 2.
1.3.4. Identifikace jménem a autentizace heslem
SS2 = 1 bod
Minimální délka a způsob vytváření hesla musí být schválen Úřadem v rámci certifikace informačního systému.
Tento způsob autentizace tvoří bezpečnostní ekvivalent zámku úschovného objektu typu 1.
Z bodových hodnot SS1 a SS2 získaných podle bodu 1.1. nebo 1.2. a bodu 1.3. této přílohy se vypočítá hodnota S1:
(S1) = SS1 × SS2
Hodnotu SS1 a SS2 lze použít do tabulky bodových hodnot nejnižší míry zabezpečení zabezpečené oblasti nebo jednací oblasti.

1) § 34 zákona č. 412/2005 Sb., o ochraně utajovaných informací a o bezpečnostní způsobilosti.
2) § 35 zákona č. 412/2005 Sb.
3) Například ČSN ISO/IEC 15408 Kritéria pro hodnocení bezpečnosti IT.
4) Vyhláška č. 524/2005 Sb., o zajištění kryptografické ochrany utajovaných informací.
5) Vyhláška č. 529/2005 Sb., o administrativní bezpečnosti a o registrech utajovaných informací.
6) Zákon č. 499/2004 Sb., o archivnictví a spisové službě a o změně některých zákonů, ve znění pozdějších předpisů.