§ 11 vyhláška o kybernetické bezpečnosti – Řízení přístupu a bezpečné chování uživatelů
Vyhláška o bezpečnostních opatřeních, kybernetických bezpečnostních incidentech, reaktivních opatřeních a o stanovení náležitostí podání v oblasti kybernetické bezpečnosti (vyhláška o kybernetické bezpečnosti) · 316/2014 Sb. · IT právo a ochrana dat
Stručně: Paragraf 11 vyhlášky o kybernetické bezpečnosti stanovuje pravidla pro řízení přístupu k informačním a komunikačním systémům kritické infrastruktury a významným informačním systémům a pro bezpečné chování jejich uživatelů. Každý uživatel musí mít svůj unikátní identifikátor pro přístup do systémů. (§ 11 zákona č. 316/2014 Sb., vyhláška o kybernetické bezpečnosti, stav k 7. 10. 2026)
Klíčová fakta
(1) Orgán a osoba uvedená v § 3 písm. c) až e) zákona na základě provozních a bezpečnostních potřeb řídí přístup k informačnímu systému kritické informační infrastruktury, komunikačnímu systému kritické informační infrastruktury a významnému informačnímu systému a přidělí každému uživateli jednoznačný identifikátor.
(2) Orgán a osoba uvedená v § 3 písm. c) až e) zákona přijme opatření, která slouží k zajištění ochrany údajů, které jsou používány pro přihlášení uživatelů a administrátorů informačního systému kritické informační infrastruktury, komunikačního systému kritické informační infrastruktury a významného informačního systému podle § 18 a 19, a která brání ve zneužití těchto údajů neoprávněnou osobou.
(3) Orgán a osoba uvedená v § 3 písm. c) a d) zákona dále v rámci řízení přístupu
a) přidělí přistupujícím aplikacím samostatný identifikátor,
b) omezí přidělování administrátorských oprávnění,
c) přiděluje a odebírá přístupová oprávnění v souladu s politikou řízení přístupu,
d) provádí pravidelné přezkoumání nastavení přístupových oprávnění včetně rozdělení jednotlivých uživatelů v přístupových skupinách nebo rolích,
e) využívá nástroj pro ověřování identity uživatelů podle § 18 a nástroj pro řízení přístupových oprávnění podle § 19 a
f) zavede bezpečnostní opatření potřebná pro bezpečné používání mobilních zařízení, případně i bezpečnostní opatření spojená s využitím technických zařízení, kterými orgán a osoba uvedená v § 3 písm. c) a d) zákona nedisponuje.
Srozumitelný výklad
Co to znamená v praxi
- Každý uživatel musí mít svůj unikátní identifikátor pro přístup do systémů.
- Je nutné chránit přihlašovací údaje uživatelů a administrátorů před zneužitím.
- Přístupová práva se přidělují a odebírají podle stanovených pravidel a jsou pravidelně kontrolována.
- Pro ověřování identity a řízení přístupových oprávnění se musí používat speciální nástroje.
Na co si dát pozor
- Omezení přidělování administrátorských oprávnění je klíčové pro snížení rizik.
- Je nutné zavést bezpečnostní opatření pro používání mobilních zařízení, pokud jsou využívána pro přístup k systémům.
Generováno z textu ustanovení, orientační – nenahrazuje radu advokáta.
Související
§ 37 Účinnost (Vyhláška o bezpečnostních opatřeních, ky)§ 24 Účinnost (Vyhláška, kterou se vymezují činnosti vy)§ 4 Účinnost (Vyhláška o bezpečnostních pravidlech pro)§ 11 Účinnost (Vyhláška o podrobnostech systému prevenc)§ 29 ÚČINNOST (Vyhláška o bezpečnostních opatřeních pos)