§ 2 Vyhláška Národního bezpečnostního úřadu o zajištění bezpečnosti informačních systémů nakládajících s utajovanými skutečnostmi, provádění jejich certifikace a náležitostech certifikátu – Vymezení pojmů

§ 2 Vymezení pojmů Pro účely této vyhlášky se rozumí: a) aktivem informačního systému hardware, software, informace klasifikované stupněm utajení utajované skutečnosti (dále jen „utajovaná informace“), které jsou uloženy v informačním systému, a dokumentace informačního systému, b) objektem informačního systému (dále jen „objekt“) pasivní prvek informačního systému, který obsahuje nebo přijímá informaci, c) subjektem informačního systému (dále jen „subjekt“) aktivní prvek informačního systému, který způsobuje předání informace mezi objekty nebo změnu stavu systému, d) analýzou rizik proces, během něhož jsou zjišťována aktiva informačního systému, hrozby působící na aktiva informačního systému, jeho zranitelná místa, pravděpodobnost realizace hrozeb a odhad jejich následků, e) auditním záznamem záznam o událostech, které mohou ovlivnit bezpečnost informačního systému, f) autentizací subjektu proces ověření jeho identity splňující požadovanou míru záruky, g) autorizací subjektu udělení určitých práv pro vykonávání určených aktivit, h) bezpečnostním mechanismem realizace bezpečnostní funkce, i) bezpečnostním provozním módem prostředí, ve kterém informační systém pracuje, charakterizované stupněm utajení zpracovávané utajované informace a úrovněmi oprávnění uživatelů, j) důvěrností utajované informace její vlastnost, která znemožňuje odhalení utajované informace neoprávněnému subjektu, k) fyzickou bezpečností informačního systému opatření použitá k zajištění fyzické ochrany aktiv informačního systému proti náhodným nebo úmyslným hrozbám, l) integritou aktiva informačního systému vlastnost, která umožňuje provedení jeho změny určeným způsobem a pouze oprávněným subjektem, m) komunikační bezpečností opatření použitá k zajištění ochrany utajované informace při přenosu telekomunikačními kanály, n) počítačovou bezpečností bezpečnost informačního systému zajišťovaná jeho technickými a programovými prostředky, o) povinným řízením přístupu prostředky pro omezení přístupu subjektů k objektům, založené na porovnání stupně utajení utajované informace obsažené v objektu a úrovně oprávnění subjektu pro přístup k utajované informaci a zajišťující správný tok informací mezi objekty s různými stupni utajení, nezávisle na volbě učiněné uživatelem, p) rizikem pro informační systém pravděpodobnost, že určitá hrozba využije zranitelných míst informačního systému, r) rolí souhrn určených činností a potřebných autorizací pro uživatele v informačním systému, s) řízením přístupu prostředky pro omezení přístupu subjektů k objektům, zajišťující, že přístup k nim získá jen autorizovaný uživatel nebo proces, t) volitelným řízením přístupu prostředky omezení přístupu subjektů k objektům, založené na kontrole přístupových práv subjektu k objektu, přičemž uživatel vybavený určitými přístupovými právy pro přístup k objektu může zvolit, na které další subjekty přenese přístupová práva k tomuto objektu, a může tak ovlivňovat tok informace mezi objekty.