§ 20 Vyhláška o bezpečnostních opatřeních poskytovatele regulované služby v režimu vyšších povinností – Řízení přístupových práv a oprávnění

Stručně

Paragraf 20 vyhlášky 409/2025 stanovuje povinnost pro regulované subjekty používat centralizovaný nástroj pro řízení přístupových práv a oprávnění k jejich aktivům, který umožňuje spravovat přístup a oprávnění pro čtení, zápis a změnu informací.

Co to znamená v praxi

• Povinná osoba musí mít jeden systém, který spravuje, kdo má k čemu přístup, a to s ohledem na vzájemné souvislosti mezi jednotlivými aktivy (např. servery, databáze, aplikace).
• Tento systém musí umožňovat nastavit, kdo smí k jakému aktivu přistupovat.
• Nástroj musí také řídit, zda uživatelé mohou data pouze číst, zapisovat je, nebo dokonce měnit svá vlastní oprávnění.

Na co si dát pozor

• Nástroj musí být "centralizovaný s ohledem na vazby mezi aktivy", což znamená, že by nemělo jít o nesourodou sadu nástrojů, ale o integrované řešení, které chápe vztahy mezi jednotlivými komponentami IT infrastruktury.
• Je třeba zajistit, aby nástroj efektivně řídil jak přístup k samotným aktivům, tak i konkrétní oprávnění pro manipulaci s daty v rámci těchto aktiv.