§ 16 Vyhláška o bezpečnosti informačních a komunikačních systémů a dalších elektronických zařízení nakládajících s utajovanými informacemi a o některých náležitostech žádosti o uzavření smlouvy o zajištění činnosti (vyhláška o informační bezpečnosti) – Bezpečnostní požadavky na přístup uživatele k utajované informaci v systému
Vyhláška o bezpečnosti informačních a komunikačních systémů a dalších elektronických zařízení nakládajících s utajovanými informacemi a o některých náležitostech žádosti o uzavření smlouvy o zajištění činnosti (vyhláška o informační bezpečnosti) · 479/2024 Sb. · § 16 · Ostatní právní předpisy
Stručně: Paragraf 16 stanovuje, že uživatelé musí být autorizováni k přístupu k utajovaným informacím v systému a musí splňovat podmínky pro přístup k danému stupni utajení, přičemž rozlišuje mezi privilegovanými a koncovými uživateli.
§ 16 Bezpečnostní požadavky na přístup uživatele k utajované informaci v systému
(1) Uživatel musí být autorizován postupem stanoveným v popisu bezpečnosti systému.
(2) Uživatel musí splňovat podmínky pro přístup fyzické osoby k utajované informaci stupně utajení, který se stanovuje v závislosti na nejvyšším stupni utajení utajovaných informací, se kterými může systém nakládat. Uživatel v informačním systému musí dále splňovat podmínky pro přístup fyzické osoby k utajované informaci stupně utajení, který se stanovuje v souladu s bezpečnostním provozním módem informačního systému.
(3) Privilegovaným uživatelem se rozumí role uživatele s oprávněními, která mu kromě základního přístupu k poskytovaným službám umožňují i provádění provozní nebo bezpečnostní správy, zejména role pracovníka provozní nebo bezpečnostní správy.
(4) Koncovým uživatelem se rozumí role uživatele s oprávněními, která mu umožňují základní přístup k poskytovaným službám a nakládání s utajovanými informacemi.
(5) Privilegovaný uživatel musí činnost, která není bezpečnostní nebo provozní správou, provádět jako koncový uživatel.
Paragraf 16 stanovuje, že uživatelé musí být autorizováni k přístupu k utajovaným informacím v systému a musí splňovat podmínky pro přístup k danému stupni utajení, přičemž rozlišuje mezi privilegovanými a koncovými uživateli.
Co to znamená v praxi
Každý, kdo chce v systému pracovat s utajovanými informacemi, musí být schválen podle pravidel popsaných v bezpečnostní dokumentaci systému.
Uživatelé musí mít prověrku na odpovídající stupeň utajení, který je určen nejvyšším stupněm utajení informací v systému nebo bezpečnostním provozním módem systému.
Rozlišují se dva typy uživatelů: "privilegovaní" (např. správci, kteří provádějí údržbu nebo bezpečnostní správu) a "koncoví" (běžní uživatelé, kteří pracují s informacemi).
Privilegovaní uživatelé musí provádět běžné činnosti, které nesouvisí se správou systému, v režimu koncového uživatele, aby se omezila rizika zneužití jejich vyšších oprávnění.