§ 19 Vyhláška o bezpečnosti informačních a komunikačních systémů a dalších elektronických zařízení nakládajících s utajovanými informacemi a o certifikaci stínicích komor – Požadavky personální bezpečnosti při provozu informačního systému
Vyhláška o bezpečnosti informačních a komunikačních systémů a dalších elektronických zařízení nakládajících s utajovanými informacemi a o certifikaci stínicích komor · 523/2005 Sb. · § 19 · Ostatní právní předpisy
Stručně: Paragraf 19 vyhlášky 523/2005 stanovuje, že osoby pracující s informačním systémem obsahujícím utajované informace (uživatelé, bezpečnostní správci, správci IS) musí být pro tuto činnost autorizovány a pravidelně školeny.
§ 19 Požadavky personální bezpečnosti při provozu informačního systému
(1) Činnost uživatele, bezpečnostního správce a správce informačního systému v informačním systému se umožňuje na základě jeho autorizace pro tuto činnost, která musí být změněna při změně jeho role v rámci informačního systému nebo zrušena, pokud přestal splňovat podmínky přístupu k utajované informaci. Bezpečnostní správce vede seznam uživatelů informačního systému.
(2) Provozovatel informačního systému zajišťuje úvodní školení uživatelů, bezpečnostních správců a správců informačního systému v dodržování opatření stanovených v bezpečnostní dokumentaci informačního systému a správném užívání informačního systému. Další školení zajišťuje při podstatných změnách v informačním systému okamžitě, jinak nejméně jednou ročně.
Paragraf 19 vyhlášky 523/2005 stanovuje, že osoby pracující s informačním systémem obsahujícím utajované informace (uživatelé, bezpečnostní správci, správci IS) musí být pro tuto činnost autorizovány a pravidelně školeny.
Co to znamená v praxi
Každá osoba, která má pracovat s informačním systémem obsahujícím utajované informace, musí mít k tomu udělenou autorizaci.
Autorizace se musí změnit, pokud se změní role dané osoby v rámci informačního systému, nebo se zruší, pokud osoba přestane splňovat podmínky pro přístup k utajovaným informacím.
Provozovatel informačního systému je povinen zajistit úvodní školení pro všechny zmíněné role a následně pravidelná školení (minimálně jednou ročně nebo okamžitě při podstatných změnách).
Bezpečnostní správce informačního systému vede seznam všech uživatelů.
Na co si dát pozor
Je nutné zajistit, aby autorizace odpovídala aktuální roli osoby a podmínkám přístupu k utajovaným informacím.
Školení musí být prováděna nejen úvodně, ale i pravidelně a při každé podstatné změně v informačním systému.