Vyhláška o bezpečnosti informačních a komunikačních systémů a dalších elektronických zařízení nakládajících s utajovanými informacemi a o certifikaci stínicích komor

Žádost o uzavření smlouvy o zajištění činnosti obsahuje

a) identifikaci žadatele podle § 24 odst. 1 písm. a),

b) stupeň a číslo osvědčení podnikatele nebo kopii platného prohlášení podnikatele, je-li žadatelem podnikatel,

c) jméno a příjmení kontaktního pracovníka žadatele a kontaktní spojení,

d) identifikaci příslušného odborného pracoviště žadatele (předmět činnosti a podrobná specifikace umístění pověřovaného pracoviště, jméno a příjmení kontaktního pracovníka a kontaktní spojení),

e) specifikace činností, které mají být prováděny podle smlouvy,

f) personální předpoklady pracoviště k provádění požadovaných činností (jméno, příjmení a kvalifikace vedoucího pracovníka odborného pracoviště, jména a příjmení ostatních odborných pracovníků pracoviště a jejich kvalifikace),

g) prohlášení odpovědné osoby o úrovni fyzické, personální a administrativní bezpečnosti, která je zajištěna pro odborné pracoviště,

h) stupeň a evidenční číslo certifikátu informačního systému, pokud je použití certifikovaného informačního systému potřebné pro provádění činností podle smlouvy, a

i) vybavenost odborného pracoviště technickým zařízením potřebným pro provádění činností podle smlouvy.

(1) Bezpečného zpracování utajovaných informací v elektronické podobě v zařízení, které není součástí informačního nebo komunikačního systému, zejména v psacím stroji s pamětí a v zařízení umožňujícím kopírování, záznam nebo zobrazení utajované informace anebo její převod do jiného datového formátu, se v závislosti na stupni utajení utajovaných informací dosahuje uplatněním souboru opatření z oblasti

a) personální bezpečnosti,

b) fyzické bezpečnosti,

c) administrativní bezpečnosti a organizačních opatření a

d) ochrany utajované informace před jejím únikem kompromitujícím vyzařováním.

(2) Zařízení podle odstavce 1, která se používají pro zpracování utajovaných informací stupně utajení Důvěrné nebo vyššího, musí být zabezpečena proti úniku utajované informace kompromitujícím vyzařováním. Při ověřování způsobilosti kopírovacího zařízení, zobrazovacího zařízení nebo psacího stroje s pamětí k ochraně utajované informace před jejím únikem kompromitujícím vyzařováním se postupuje podle § 31.

(3) Zařízení podle odstavce 1 musí být umístěna do prostoru, ve kterém je zajištěna jejich fyzická ochrana před neoprávněným přístupem, poškozením a ovlivněním. Tento prostor je vymezen definovanými prvky ochrany s vhodnými kontrolami vstupu a bezpečnostními bariérami. Podle charakteru zařízení se na základě analýzy rizik stanovuje, zda musí být umístěno v zabezpečené oblasti nebo v objektu, a požadovaná kategorie zabezpečené oblasti. Analýza rizik stanoví pro zranitelná místa zařízení pravděpodobnost realizace možných hrozeb a odhad jejich následků.

(4) Zařízení podle odstavce 1 musí být fyzicky chráněna před bezpečnostními hrozbami a riziky prostředí.

(5) Umístění zařízení podle odstavce 1 musí být provedeno tak, aby zamezovalo nepovolané osobě odezírat utajované informace.

(6) Se zařízením podle odstavce 1 obsahujícím zabudované nosiče utajovaných informací nebo jiné komponenty umožňující uchování utajovaných informací a s psacím strojem s pamětí musí být spojena informace o stupni utajení informací uchovávaných na těchto nosičích a komponentách. Tato informace může být vyjádřena na štítku připevněném k zařízení, stanovena v bezpečnostní provozní směrnici nebo být vyjádřena jiným vhodným způsobem. Nosiče utajovaných informací zabudované do zařízení a jiné komponenty umožňující uchování utajovaných informací musí být evidovány a označeny stupněm utajení nejpozději po jejich vyjmutí z daného zařízení.

(7) Servisní činnost pro zařízení podle odstavce 1 se musí organizovat tak, aby nebyla ohrožena bezpečnost utajovaných informací. Z nosičů utajovaných informací a komponent přístupných při servisní činnosti musí být vymazány utajované informace podle § 15, jinak nesmí být předmětem servisní činnosti.

Tato vyhláška nabývá účinnosti dnem 1. ledna 2006.

Ředitel:

Mgr. Mareš v. r.

Příloha č. 1 k vyhlášce č. 523/2005 Sb.

Příloha č. 2 k vyhlášce č. 523/2005 Sb.

Příloha č. 3 k vyhlášce č. 523/2005 Sb.

1.1. ZPRACOVÁVÁNÍ DAT

1.1.1. Danou částí informačního systému mohou být utajované informace pouze zobrazeny a zpracovávány nebo přenášeny:

SS1 = 4 body

V případě, že je v zabezpečené oblasti umístěna jedna nebo více částí informačního systému, použije se nejnižší z hodnot parametru SS1 vztažených k jednotlivým částem informačního systému.

1.2. UKLÁDÁNÍ UTAJOVANÝCH INFORMACÍ NA POČÍTAČOVÝCH MÉDIÍCH (VEŠKERÁ NEVOLATILNÍ PAMĚŤOVÁ MÉDIA)

Prostory, v nichž jsou informační systémy používány pro ukládání utajovaných informací stupně utajení Vyhrazené a vyšší, musí být zřízeny jako zabezpečené oblasti.

1.2.1. Uložená data jsou šifrována certifikovaným kryptografickým prostředkem

SS1 = 4 body

Kromě parametru SS1, který se vztahuje na uložená zašifrovaná data, je nutné také pracovat s parametrem S1 kryptografického prostředku.

1.2.2. Uložená data nejsou šifrována

SS1 = 1 bod

1.3.1. Identifikace jménem a autentizace předmětem s šifrovaným obsahem a přenosem:

SS2 = 4 body

Kryptografické mechanismy předmětu používaného pro autentizaci musí být certifikované Úřadem.

Tento způsob autentizace tvoří bezpečnostní ekvivalent zámku úschovného objektu typu 4.

1.3.2. Identifikace jménem a autentizace předmětem s šifrovaným obsahem:

SS2 = 3 body

Kryptografické mechanismy předmětu používaného pro autentizaci musí být certifikované Úřadem.

Tento způsob autentizace tvoří bezpečnostní ekvivalent zámku úschovného objektu typu 3.

1.3.3. Identifikace jménem a autentizace předmětem

SS2 = 2 body

Předmět používaný pro autentizaci musí být schválen Úřadem v rámci certifikace informačního systému.

Tento způsob autentizace tvoří bezpečnostní ekvivalent zámku úschovného objektu typu 2.

1.3.4. Identifikace jménem a autentizace heslem

SS2 = 1 bod

Minimální délka a způsob vytváření hesla musí být schválen Úřadem v rámci certifikace informačního systému.

Tento způsob autentizace tvoří bezpečnostní ekvivalent zámku úschovného objektu typu 1.

Z bodových hodnot SS1 a SS2 získaných podle bodu 1.1. nebo 1.2. a bodu 1.3. této přílohy se vypočítá hodnota S1:

(S1) = SS1 × SS2

Hodnotu SS1 a SS2 lze použít do tabulky bodových hodnot nejnižší míry zabezpečení zabezpečené oblasti nebo jednací oblasti.

1) § 34 zákona č. 412/2005 Sb., o ochraně utajovaných informací a o bezpečnostní způsobilosti.

2) § 35 zákona č. 412/2005 Sb.

3) Například ČSN ISO/IEC 15408 Kritéria pro hodnocení bezpečnosti IT.

4) Vyhláška č. 524/2005 Sb., o zajištění kryptografické ochrany utajovaných informací.

5) Vyhláška č. 529/2005 Sb., o administrativní bezpečnosti a o registrech utajovaných informací.

6) Zákon č. 499/2004 Sb., o archivnictví a spisové službě a o změně některých zákonů, ve znění pozdějších předpisů.