Vyhláška o bezpečnosti informačních a komunikačních systémů a dalších elektronických zařízení nakládajících s utajovanými informacemi a o certifikaci stínicích komor

(1) Žádost o certifikaci informačního systému obsahuje

a) identifikaci žadatele

1. obchodní firmou, popřípadě názvem, sídlem a identifikačním číslem, bylo-li přiděleno, je-li žadatelem právnická osoba,

2. obchodní firmou, popřípadě jménem a příjmením, případně odlišujícím dodatkem, místem trvalého pobytu nebo u cizince místem obdobného pobytu a místem podnikání, liší-li se od trvalého pobytu, datem narození a identifikačním číslem, bylo-li přiděleno, je-li žadatelem fyzická osoba, která je podnikatelem, nebo

3. názvem, sídlem, identifikačním číslem a jménem a příjmením odpovědné osoby, jde-li o orgán státu,

b) jméno a příjmení kontaktního pracovníka žadatele a kontaktní spojení,

c) stručný popis účelu a rozsahu informačního systému,

d) stupeň utajení utajovaných informací, se kterými bude informační systém nakládat,

e) stanovení bezpečnostního provozního módu informačního systému a

f) identifikaci dodavatele informačního systému nebo jeho komponent ovlivňujících bezpečnost informačního systému, podle písmene a) bodu 1 nebo 2, a stupeň utajení, pro který bylo vydáno dodavateli osvědčení podnikatele nebo kopii platného prohlášení podnikatele.

(2) K provedení certifikace informačního systému žadatel předloží následující podklady

a) bezpečnostní politiku informačního systému a výsledky analýzy rizik,

b) návrh bezpečnosti informačního systému,

c) sadu testů bezpečnosti informačního systému, jejich popis a popis výsledků testování,

d) bezpečnostní provozní dokumentaci informačního systému,

e) popis bezpečnosti vývojového prostředí a

f) další podklady nezbytné k certifikaci informačního systému, vyplývající ze specifikace informačního systému.

(3) Žádá-li o provedení certifikace informačního systému zpravodajská služba, uvede v žádosti podle odstavce 1 a v podkladech podle odstavce 2 pouze nezbytné údaje, které umožní Úřadu provedení certifikace informačního systému.

(4) Jako podklad pro certifikaci informačního systému může žadatel předložit také výsledky dílčích úloh v hodnocení některých komponent informačního systému a v hodnocení jednotlivých oblastí bezpečnosti uvedených v § 3 odst. 1, provedených orgánem státu nebo podnikatelem na základě smlouvy o zajištění činnosti uzavřené s Úřadem.

(5) V rámci certifikace informačního systému se posuzuje vhodnost souboru opatření navržených pro dosažení bezpečnosti informačního systému podle § 3, správnost a úplnost bezpečnostní dokumentace informačního systému a správnost realizace navrženého souboru opatření v daném informačním systému.

(6) Certifikace informačního systému se provádí posouzením podkladů předložených žadatelem a provedením dodatečných testů. Dodatečné testy provádí Úřad v provozním prostředí hodnoceného informačního systému za spoluúčasti žadatele a v případě potřeby dodavatele.

(7) Certifikaci informačního systému lze provádět průběžně po ukončení jednotlivých fází výstavby informačního systému nebo až po jeho celkovém dokončení.

(8) Dojde-li v informačním systému, který byl certifikován a schválen do provozu, ke změnám uvedeným v § 25 písm. d), provádí se doplňující hodnocení informačního systému v rozsahu potřebném k posouzení provedených změn. V případě provádění doplňujícího hodnocení informačního systému se postupuje obdobně jako při provádění certifikace informačního systému.

(9) Vzor certifikátu informačního systému je uveden v příloze č. 1 této vyhlášky.

Certifikační zpráva obsahuje

a) orientační popis informačního systému,

b) podmínky provozu informačního systému,

c) identifikaci případných přijatelných rizik souvisejících s provozem informačního systému a

d) typy změn informačního systému, které vyžadují provedení doplňujícího hodnocení informačního systému.

(1) Žádost o opakovanou certifikaci informačního systému obsahuje

a) identifikaci žadatele podle § 24 odst. 1 písm. a),

b) úplnou identifikaci vydaného certifikátu informačního systému obsahující jeho držitele, evidenční číslo, datum vydání a dobu platnosti,

c) identifikaci informačního systému obsahující jeho název, označení verze a stupeň utajení utajovaných informací, pro který byla schválena jeho způsobilost, a

d) jméno a příjmení kontaktního pracovníka žadatele a kontaktní spojení.

(2) Pokud žadatel doloží, že ke dni ukončení platnosti dosavadního certifikátu bude informační systém provozován v rámci podmínek stanovených v certifikační zprávě, a žadatel ani Úřad neidentifikovali nová rizika pro informační systém, vydá Úřad certifikát na základě existující bezpečnostní dokumentace informačního systému a provedené kontroly bezpečnosti informačního systému.

(3) Pokud ke dni ukončení platnosti dosavadního certifikátu provozovatel navrhuje změnu bezpečnostní politiky informačního systému, případně byla identifikována nová rizika pro informační systém, vyžádá si Úřad doplnění nebo úpravu odpovídajících částí dokumentace a provede doplňující hodnocení informačního systému v rozsahu stanoveném Úřadem. Pokud informační systém vyhoví stanoveným bezpečnostním podmínkám, Úřad vydá certifikát.

(4) V případě, že navrhované změny bezpečnostní politiky informačního systému jsou podstatné pro celkovou bezpečnost informačního systému, bude Úřad postupovat jako v případě nové certifikace.

(1) Projekt bezpečnosti komunikačního systému obsahuje tyto náležitosti

a) bezpečnostní politiku komunikačního systému,

b) organizační a provozní postupy provozování komunikačního systému,

c) provozní směrnice pro bezpečnostní správu komunikačního systému a

d) provozní směrnice uživatele komunikačního systému.

(2) Bezpečnostní politika komunikačního systému vymezuje způsob, jakým má být zajištěna důvěrnost, integrita a dostupnost utajované informace a odpovědnost uživatele za jeho činnost v daném komunikačním systému.

(3) Bezpečnostní politika komunikačního systému obsahuje souhrn zásad a požadavků v oblasti personální, administrativní, fyzické a komunikační bezpečnosti, stanovených v závislosti na stupni utajení přenášených utajovaných informací, na výsledcích analýzy rizik komunikačního systému a na zásadách a podmínkách provozování kryptografického prostředku uvedených v certifikační zprávě kryptografického prostředku.

(4) Organizační opatření a provozní postupy provozování komunikačního systému obsahují

a) způsob, jakým bude zajištěn výkon kryptografické ochrany v souladu s certifikační zprávou kryptografického prostředku,

b) požadovanou strukturu správy komunikačního systému a

c) organizační opatření a zásady provozních postupů, jejichž naplňováním bude zajištěna ochrana utajovaných informací přenášených v komunikačním systému.

(5) Na základě bezpečnostní politiky komunikačního systému a organizačních opatření a provozních postupů provozování komunikačního systému se zpracují odděleně provozní směrnice pro bezpečnostní správu komunikačního systému a provozní směrnice uživatele komunikačního systému. Tyto směrnice musí obsahovat konkrétní provozní postupy pro zajištění bezpečnostní správy komunikačního systému a výkonu kryptografické ochrany a musí stanovit odpovědnost pracovníků správy komunikačního systému, pracovníků kryptografické ochrany a uživatelů k zajištění ochrany utajovaných informací.

(1) Žádost o schválení projektu bezpečnosti komunikačního systému předkládá orgán státu nebo podnikatel, který bude komunikační systém provozovat.

(2) Žádost podle odstavce 1 obsahuje

a) identifikaci žadatele podle § 24 odst. 1 písm. a),

b) jméno a příjmení kontaktního pracovníka a kontaktní spojení,

c) stupeň a číslo osvědčení podnikatele nebo kopii platného prohlášení podnikatele, je-li žadatelem podnikatel,

d) název a stručný popis účelu a rozsahu komunikačního systému včetně stanovení jeho běžných provozních funkcí,

e) stupeň utajení utajovaných informací, se kterými bude komunikační systém nakládat, a

f) identifikaci dodavatele jednotlivých komponent komunikačního systému majících vliv na bezpečnost komunikačního systému, podle § 24 odst. 1 písm. a) bodu 1 nebo 2, a stupeň utajení, pro který bylo vydáno dodavateli osvědčení podnikatele nebo kopii platného prohlášení podnikatele.

(3) K žádosti podle odstavce 2 se v průběhu schvalování přikládají jednotlivé části projektu bezpečnosti komunikačního systému podle § 27 odst. 3.

(4) Žádá-li o schválení projektu bezpečnosti komunikačního systému zpravodajská služba, uvede v žádosti podle odstavce 2 a v podkladech podle odstavce 3 pouze nezbytné údaje, které umožní Úřadu schválení projektu bezpečnosti komunikačního systému.

(1) V rámci schvalování projektu bezpečnosti komunikačního systému se posuzuje vhodnost souhrnu zásad a požadavků v oblasti personální, administrativní, fyzické a komunikační bezpečnosti podle § 27 odst. 3 a organizačních opatření a provozních postupů provozování komunikačního systému podle § 27 odst. 4, navržených pro dosažení bezpečnosti komunikačního systému, a správnost a úplnost provozních směrnic podle § 27 odst. 5.

(2) Schvalování projektu bezpečnosti komunikačního systému se provádí posouzením podkladů předložených žadatelem a provedením kontroly realizace projektu bezpečnosti komunikačního systému Úřadem v provozním prostředí schvalovaného komunikačního systému.

(3) Schvalování projektu bezpečnosti komunikačního systému lze provádět průběžně po ukončení jednotlivých fází výstavby komunikačního systému nebo až po jeho celkovém dokončení, podle požadavků žadatele.

(4) Jestliže se při schvalování projektu bezpečnosti komunikačního systému zjistí způsobilost hodnoceného komunikačního systému pro nakládání s utajovanými informacemi, bude žadateli písemně zasláno schválení projektu bezpečnosti komunikačního systému.

(5) Dojde-li v komunikačním systému k závažným změnám, které mají vliv na celkovou bezpečnost tohoto komunikačního systému, provádí se doplňující hodnocení komunikačního systému v rozsahu potřebném k posouzení provedených změn. V případě provádění doplňujícího hodnocení komunikačního systému se postupuje obdobně jako při schvalování projektu bezpečnosti komunikačního systému.

Kompromitující vyzařování je vyzařování elektrických a elektronických zařízení, které by mohlo způsobit únik utajované informace stupně utajení Přísně tajné, Tajné nebo Důvěrné.

(1) Žádost o ověření způsobilosti elektrických a elektronických zařízení, zabezpečené oblasti nebo objektu k ochraně před únikem informací kompromitujícím vyzařováním obsahuje

a) identifikaci žadatele podle § 24 odst. 1 písm. a),

b) jméno a příjmení kontaktního pracovníka a kontaktní spojení,

c) identifikaci elektrického nebo elektronického zařízení, zabezpečené oblasti nebo objektu, jehož způsobilost má být ověřena, a

d) stupeň utajení utajovaných informací, které budou v elektrickém nebo elektronickém zařízení, zabezpečené oblasti nebo objektu zpracovávány.

(2) K žádosti může být přiložena zpráva o výsledku hodnocení způsobilosti elektrického nebo elektronického zařízení, zabezpečené oblasti nebo objektu k ochraně před únikem utajované informace kompromitujícím vyzařováním, provedeného orgánem státu nebo podnikatelem na základě smlouvy o zajištění činnosti uzavřené s Úřadem.

(3) Podmínky hodnocení a používání elektrických a elektronických zařízení, zabezpečené oblasti nebo objektu k ochraně utajovaných informací před únikem utajované informace kompromitujícím vyzařováním stanoví Úřad v bezpečnostních standardech.

(1) Hodnocení způsobilosti elektrických a elektronických zařízení z hlediska úniku utajované informace kompromitujícím vyzařováním se provádí měřením úrovní vyzařovaného elektromagnetického pole a porovnáním naměřených hodnot s bezpečnostními standardy.

(2) Hodnocení způsobilosti zabezpečené oblasti nebo objektu k ochraně před únikem utajované informace kompromitujícím vyzařováním se provádí měřením jeho útlumových vlastností a porovnáním naměřených hodnot s bezpečnostními standardy.

(3) Jsou-li v průběhu hodnocení způsobilosti elektrických a elektronických zařízení, zabezpečené oblasti nebo objektu zjištěny nedostatky, vyzve Úřad žadatele k jejich odstranění.

(4) O průběhu a výsledcích hodnocení způsobilosti elektrických a elektronických zařízení, zabezpečené oblasti nebo objektu k ochraně před únikem utajované informace kompromitujícím vyzařováním vypracuje Úřad zprávu a výsledek písemně oznámí žadateli.

(1) Stínicí komorou je uzavřený stíněný prostor zabraňující šíření elektromagnetického, optického a akustického vyzařování mimo tento prostor.

(2) K ochraně utajovaných informací před jejich únikem kompromitujícím vyzařováním se používá stínicí komora certifikovaná Úřadem. Podmínky hodnocení stínicí komory k ochraně utajovaných informací stanoví Úřad v bezpečnostních standardech.

(1) Žádost o certifikaci stínicí komory obsahuje

a) identifikaci žadatele podle § 24 odst. 1 písm. a),

b) jméno a příjmení kontaktního pracovníka žadatele a kontaktní spojení,

c) stupeň a číslo osvědčení podnikatele nebo kopii platného prohlášení podnikatele, je-li žadatelem podnikatel,

d) označení a umístění stínicí komory a

e) identifikaci výrobce stínicí komory, podle § 24 odst. 1 písm. a) bodu 1 nebo 2.

(2) K žádosti může být přiložena zpráva o výsledku hodnocení stínicí komory, provedeného orgánem státu nebo podnikatelem na základě smlouvy o zajištění činnosti uzavřené s Úřadem. Ke dni podání žádosti o certifikaci stínicí komory nesmí být její výsledek hodnocení uvedený v přiložené zprávě starší 6 měsíců.

(1) Certifikace stínicí komory se provádí měřením útlumových vlastností stínicí komory a jejich porovnáním s bezpečnostními standardy. Měření stínicí komory se provádí za spoluúčasti žadatele a v případě potřeby i dodavatele stínicí komory.

(2) O průběhu a dílčích výsledcích certifikace stínicí komory vypracuje Úřad zprávu.

(3) Vzor certifikátu stínicí komory je uveden v příloze č. 2 této vyhlášky.

Certifikační zpráva stínicí komory obsahuje

a) orientační popis stínicí komory, jejího umístění a účelu jejího používání,

b) podmínky provozu stínicí komory a

c) typy změn, které vyžadují provedení opakované certifikace stínicí komory.

(1) Žádost o opakovanou certifikaci stínicí komory obsahuje

a) identifikaci žadatele podle § 24 odst. 1 písm. a),

b) úplnou identifikaci vydaného certifikátu stínicí komory obsahující jeho držitele, evidenční číslo, datum vydání a dobu platnosti,

c) identifikaci certifikované stínicí komory obsahující její název, typové označení, variantní provedení a umístění a

d) jméno a příjmení kontaktního pracovníka žadatele a kontaktní spojení.

(2) K žádosti může být přiložena zpráva o výsledku hodnocení stínicí komory, provedeného orgánem státu nebo podnikatelem na základě smlouvy o zajištění činnosti uzavřené s Úřadem, podle § 33 odst. 2.

(3) Pokud žadatel doloží, že ke dni ukončení platnosti dosavadního certifikátu stínicí komory nedochází ke změnám podmínek podmiňujících platnost vydaného certifikátu, Úřad vydá certifikát.

(4) Pokud ke dni ukončení platnosti certifikátu stínicí komory žadatel nemůže doložit skutečnosti uvedené v odstavci 3, Úřad provede doplňující hodnocení stínicí komory, a pokud ověří způsobilost stínicí komory k ochraně utajovaných informací, vydá certifikát. V případě podstatných změn podmínek provozu stínicí komory se postupuje jako při nové certifikaci.

Žádost o uzavření smlouvy o zajištění činnosti obsahuje

a) identifikaci žadatele podle § 24 odst. 1 písm. a),

b) stupeň a číslo osvědčení podnikatele nebo kopii platného prohlášení podnikatele, je-li žadatelem podnikatel,

c) jméno a příjmení kontaktního pracovníka žadatele a kontaktní spojení,

d) identifikaci příslušného odborného pracoviště žadatele (předmět činnosti a podrobná specifikace umístění pověřovaného pracoviště, jméno a příjmení kontaktního pracovníka a kontaktní spojení),

e) specifikace činností, které mají být prováděny podle smlouvy,

f) personální předpoklady pracoviště k provádění požadovaných činností (jméno, příjmení a kvalifikace vedoucího pracovníka odborného pracoviště, jména a příjmení ostatních odborných pracovníků pracoviště a jejich kvalifikace),

g) prohlášení odpovědné osoby o úrovni fyzické, personální a administrativní bezpečnosti, která je zajištěna pro odborné pracoviště,

h) stupeň a evidenční číslo certifikátu informačního systému, pokud je použití certifikovaného informačního systému potřebné pro provádění činností podle smlouvy, a

i) vybavenost odborného pracoviště technickým zařízením potřebným pro provádění činností podle smlouvy.

(1) Bezpečného zpracování utajovaných informací v elektronické podobě v zařízení, které není součástí informačního nebo komunikačního systému, zejména v psacím stroji s pamětí a v zařízení umožňujícím kopírování, záznam nebo zobrazení utajované informace anebo její převod do jiného datového formátu, se v závislosti na stupni utajení utajovaných informací dosahuje uplatněním souboru opatření z oblasti

a) personální bezpečnosti,

b) fyzické bezpečnosti,

c) administrativní bezpečnosti a organizačních opatření a

d) ochrany utajované informace před jejím únikem kompromitujícím vyzařováním.

(2) Zařízení podle odstavce 1, která se používají pro zpracování utajovaných informací stupně utajení Důvěrné nebo vyššího, musí být zabezpečena proti úniku utajované informace kompromitujícím vyzařováním. Při ověřování způsobilosti kopírovacího zařízení, zobrazovacího zařízení nebo psacího stroje s pamětí k ochraně utajované informace před jejím únikem kompromitujícím vyzařováním se postupuje podle § 31.

(3) Zařízení podle odstavce 1 musí být umístěna do prostoru, ve kterém je zajištěna jejich fyzická ochrana před neoprávněným přístupem, poškozením a ovlivněním. Tento prostor je vymezen definovanými prvky ochrany s vhodnými kontrolami vstupu a bezpečnostními bariérami. Podle charakteru zařízení se na základě analýzy rizik stanovuje, zda musí být umístěno v zabezpečené oblasti nebo v objektu, a požadovaná kategorie zabezpečené oblasti. Analýza rizik stanoví pro zranitelná místa zařízení pravděpodobnost realizace možných hrozeb a odhad jejich následků.

(4) Zařízení podle odstavce 1 musí být fyzicky chráněna před bezpečnostními hrozbami a riziky prostředí.

(5) Umístění zařízení podle odstavce 1 musí být provedeno tak, aby zamezovalo nepovolané osobě odezírat utajované informace.

(6) Se zařízením podle odstavce 1 obsahujícím zabudované nosiče utajovaných informací nebo jiné komponenty umožňující uchování utajovaných informací a s psacím strojem s pamětí musí být spojena informace o stupni utajení informací uchovávaných na těchto nosičích a komponentách. Tato informace může být vyjádřena na štítku připevněném k zařízení, stanovena v bezpečnostní provozní směrnici nebo být vyjádřena jiným vhodným způsobem. Nosiče utajovaných informací zabudované do zařízení a jiné komponenty umožňující uchování utajovaných informací musí být evidovány a označeny stupněm utajení nejpozději po jejich vyjmutí z daného zařízení.

(7) Servisní činnost pro zařízení podle odstavce 1 se musí organizovat tak, aby nebyla ohrožena bezpečnost utajovaných informací. Z nosičů utajovaných informací a komponent přístupných při servisní činnosti musí být vymazány utajované informace podle § 15, jinak nesmí být předmětem servisní činnosti.

Tato vyhláška nabývá účinnosti dnem 1. ledna 2006.

Ředitel:

Mgr. Mareš v. r.

Příloha č. 1 k vyhlášce č. 523/2005 Sb.

Příloha č. 2 k vyhlášce č. 523/2005 Sb.

Příloha č. 3 k vyhlášce č. 523/2005 Sb.

1.1. ZPRACOVÁVÁNÍ DAT

1.1.1. Danou částí informačního systému mohou být utajované informace pouze zobrazeny a zpracovávány nebo přenášeny:

SS1 = 4 body

V případě, že je v zabezpečené oblasti umístěna jedna nebo více částí informačního systému, použije se nejnižší z hodnot parametru SS1 vztažených k jednotlivým částem informačního systému.

1.2. UKLÁDÁNÍ UTAJOVANÝCH INFORMACÍ NA POČÍTAČOVÝCH MÉDIÍCH (VEŠKERÁ NEVOLATILNÍ PAMĚŤOVÁ MÉDIA)

Prostory, v nichž jsou informační systémy používány pro ukládání utajovaných informací stupně utajení Vyhrazené a vyšší, musí být zřízeny jako zabezpečené oblasti.

1.2.1. Uložená data jsou šifrována certifikovaným kryptografickým prostředkem

SS1 = 4 body

Kromě parametru SS1, který se vztahuje na uložená zašifrovaná data, je nutné také pracovat s parametrem S1 kryptografického prostředku.

1.2.2. Uložená data nejsou šifrována

SS1 = 1 bod

1.3.1. Identifikace jménem a autentizace předmětem s šifrovaným obsahem a přenosem:

SS2 = 4 body

Kryptografické mechanismy předmětu používaného pro autentizaci musí být certifikované Úřadem.

Tento způsob autentizace tvoří bezpečnostní ekvivalent zámku úschovného objektu typu 4.

1.3.2. Identifikace jménem a autentizace předmětem s šifrovaným obsahem:

SS2 = 3 body

Kryptografické mechanismy předmětu používaného pro autentizaci musí být certifikované Úřadem.

Tento způsob autentizace tvoří bezpečnostní ekvivalent zámku úschovného objektu typu 3.

1.3.3. Identifikace jménem a autentizace předmětem

SS2 = 2 body

Předmět používaný pro autentizaci musí být schválen Úřadem v rámci certifikace informačního systému.

Tento způsob autentizace tvoří bezpečnostní ekvivalent zámku úschovného objektu typu 2.

1.3.4. Identifikace jménem a autentizace heslem

SS2 = 1 bod

Minimální délka a způsob vytváření hesla musí být schválen Úřadem v rámci certifikace informačního systému.

Tento způsob autentizace tvoří bezpečnostní ekvivalent zámku úschovného objektu typu 1.

Z bodových hodnot SS1 a SS2 získaných podle bodu 1.1. nebo 1.2. a bodu 1.3. této přílohy se vypočítá hodnota S1:

(S1) = SS1 × SS2

Hodnotu SS1 a SS2 lze použít do tabulky bodových hodnot nejnižší míry zabezpečení zabezpečené oblasti nebo jednací oblasti.

1) § 34 zákona č. 412/2005 Sb., o ochraně utajovaných informací a o bezpečnostní způsobilosti.

2) § 35 zákona č. 412/2005 Sb.

3) Například ČSN ISO/IEC 15408 Kritéria pro hodnocení bezpečnosti IT.

4) Vyhláška č. 524/2005 Sb., o zajištění kryptografické ochrany utajovaných informací.

5) Vyhláška č. 529/2005 Sb., o administrativní bezpečnosti a o registrech utajovaných informací.

6) Zákon č. 499/2004 Sb., o archivnictví a spisové službě a o změně některých zákonů, ve znění pozdějších předpisů.