§ 21 vyhláška Národního bezpečnostního úřadu o zajištění bezpečnosti informačních systémů nakládajících s utajovanými skutečnostmi, provádění jejich certifikace a náležitostech certifikátu – Požadavek testování bezpečnosti informačního systému
Vyhláška Národního bezpečnostního úřadu o zajištění bezpečnosti informačních systémů nakládajících s utajovanými skutečnostmi, provádění jejich certifikace a náležitostech certifikátu · 56/1999 Sb. · IT právo a ochrana dat
Stručně: Paragraf 21 vyhlášky 56/1999 Sb. stanovuje, že před certifikací informačního systému nakládajícího s utajovanými skutečnostmi musí být jeho bezpečnost ověřena testováním, které provádí nezávislá komise, a výsledky testů musí být zdokumentovány a prokázat soulad s bezpečnostní politikou. Předtím, než může být informační systém používán pro práci s utajovanými skutečnostmi, musí projít důkladným testováním bezpečnosti. (§ 21 zákona č. 56/1999 Sb., vyhláška Národního bezpečnostního úřadu o zajištění bezpečnosti informačních systémů nakládajících s utajovanými skutečnostmi, provádění jejich certifikace a náležitostech certifikátu, stav k 7. 10. 2026)
Klíčová fakta
- Předmět úpravy: Požadavek testování bezpečnosti informačního systému
- Znění: aktuální úplné znění podle Sbírky zákonů (e-Sbírka), stav databáze k
- Zdroj: e-Sbírka, 56/1999 Sb.
(1) Bezpečnost informačního systému se musí před jeho certifikací ověřit testováním. Testování provádí komise, jejíž členové nesmí být ve vztahu k informačnímu systému a k vývojovému týmu podjati tím, že by se podíleli na vývoji informačního systému, že by měli osobní zájem na výsledcích testování nebo je s vývojovým týmem spojoval osobní anebo pracovní a jiný obdobný vztah. K provedení testování se nesmějí používat utajované informace.
(2) Výsledky testů musejí prokázat, že bezpečnostní funkce jsou plně v souladu s bezpečnostní politikou informačního systému. Výsledky testů musí být zadokumentovány. Chyby nalezené během testování musí být odstraněny a jejich odstranění musí být ověřeno následnými testy.
Srozumitelný výklad
Co to znamená v praxi
- Předtím, než může být informační systém používán pro práci s utajovanými skutečnostmi, musí projít důkladným testováním bezpečnosti.
- Testování musí provádět osoby, které nejsou nijak spojené s vývojem systému, nemají osobní zájem na výsledcích a nejsou ve vztahu s vývojovým týmem, aby byla zajištěna objektivita.
- Při testování se nesmí používat skutečné utajované informace.
- Všechny zjištěné chyby musí být opraveny a jejich oprava musí být následně ověřena dalšími testy.
Na co si dát pozor
- Je nutné zajistit naprostou nezávislost testovací komise, aby nedošlo ke střetu zájmů.
- Výsledky testů musí být pečlivě zdokumentovány, aby bylo možné prokázat splnění bezpečnostních požadavků.
Generováno z textu ustanovení, orientační – nenahrazuje radu advokáta.
Související
§ 21 Požadavek testování bezpečnosti informačního (Vyhláška o bezpečnosti informačních a ko)§ 237 Účinnost (Vyhláška o pravidlech obezřetného podnik)