§ 7 vyhláška o informační bezpečnosti – Pravidla pro povinné řízení přístupu
Vyhláška o bezpečnosti informačních a komunikačních systémů a dalších elektronických zařízení nakládajících s utajovanými informacemi a o některých náležitostech žádosti o uzavření smlouvy o zajištění činnosti (vyhláška o informační bezpečnosti) · 479/2024 Sb. · Ostatní právní předpisy · neoficiální nadpis
Stručně: Paragraf 7 vyhlášky 479/2024 stanovuje pravidla pro povinné řízení přístupu k utajovaným informacím v informačních systémech, zejména jak se přidělují a kontrolují oprávnění subjektů (uživatelů) k objektům (datům) na základě jejich bezpečnostních příznaků (stupňů utajení). Každý uživatel a každá informace v systému musí mít přidělený bezpečnostní příznak, který určuje, k čemu má uživatel přístup a jaký je stupeň utajení informace. (§ 7 zákona č. 479/2024 Sb., vyhláška o informační bezpečnosti, stav k 7. 10. 2026)
Klíčová fakta
- Znění: aktuální úplné znění podle Sbírky zákonů (e-Sbírka), stav databáze k
- Zdroj: e-Sbírka, 479/2024 Sb.
(1) Bezpečnostní funkce povinného řízení přístupu subjektů informačního systému k objektům informačního systému musí zabezpečit
a) trvalé spojení každého subjektu a objektu informačního systému s bezpečnostními příznaky, které pro subjekt informačního systému vyjadřují úrovně oprávnění přístupu subjektu informačního systému k objektům informačního systému a pro objekt informačního systému stupeň utajení utajované informace, kterou objekt informačního systému obsahuje nebo přijímá,
b) ochranu integrity bezpečnostního příznaku,
c) výlučné oprávnění bezpečnostního správce k provádění změn bezpečnostních příznaků subjektů i objektů informačního systému a
d) přidělení předem definovaných hodnot bezpečnostních příznaků pro nově vytvořené objekty informačního systému a zachování bezpečnostního příznaku při kopírování objektu informačního systému.
(2) Při uplatňování bezpečnostní funkce povinného řízení přístupu subjektů informačního systému k objektům informačního systému může subjekt informačního systému
a) číst informace v objektu informačního systému pouze tehdy, je-li jeho bezpečnostní příznak stejný nebo vyšší než bezpečnostní příznak objektu informačního systému, a
b) zapisovat informace do objektu informačního systému pouze tehdy, je-li jeho bezpečnostní příznak stejný nebo nižší než bezpečnostní příznak objektu informačního systému.
(3) Subjekt informačního systému může přistupovat k informaci obsažené v objektu informačního systému, jestliže jej povolují jak pravidla povinného řízení přístupu, tak pravidla volitelného řízení přístupu.
(4) Při provozu informačního systému v bezpečnostním provozním módu víceúrovňovém musí být utajovaná informace vystupující z informačního systému přesně označena stupněm utajení a utajované informaci vstupující do informačního systému přiřazen stupeň utajení.
(5) Při provozu informačního systému v bezpečnostním provozním módu víceúrovňovém, ve kterém se nakládá s utajovanou informací stupně utajení Přísně tajné, musí být prověřeno, zda nedochází k nežádoucí výměně informací mezi informačním systémem a okolím způsobem, který není pro komunikaci přímo určen a ani předpokládán, a při kterém dochází k obcházení bezpečnostních mechanismů informačního systému.
Srozumitelný výklad
Co to znamená v praxi
- Každý uživatel a každá informace v systému musí mít přidělený bezpečnostní příznak, který určuje, k čemu má uživatel přístup a jaký je stupeň utajení informace.
- Změny těchto bezpečnostních příznaků může provádět pouze bezpečnostní správce, což zajišťuje centrální kontrolu nad oprávněními.
- Uživatelé mohou číst informace jen tehdy, pokud je jejich oprávnění stejné nebo vyšší než stupeň utajení informace, a zapisovat informace jen tehdy, pokud je jejich oprávnění stejné nebo nižší.
- V případě nejvyššího stupně utajení ("Přísně tajné") v tzv. víceúrovňovém provozním módu je nutné kontrolovat, zda nedochází k neoprávněné výměně informací mimo určené komunikační cesty.
Generováno z textu ustanovení, orientační – nenahrazuje radu advokáta.
Související
§ 37 Účinnost (Vyhláška o bezpečnostních opatřeních, ky)§ 8 Řízení identit a jejich oprávnění (Vyhláška o bezpečnostních opatřeních pos)§ 19 Správa a ověřování identit (Vyhláška o bezpečnostních opatřeních, ky)§ 29 ÚČINNOST (Vyhláška o bezpečnostních opatřeních pos)§ 113 Účinnost (Vyhláška o výkonu činnosti bank, spořite)