Vyhláška Národního bezpečnostního úřadu o zajištění bezpečnosti informačních systémů nakládajících s utajovanými skutečnostmi, provádění jejich certifikace a náležitostech certifikátu

(1) Informační systémy se mohou provozovat pouze v některém z uvedených bezpečnostních provozních módů:

a) bezpečnostní provozní mód vyhrazený,

b) bezpečnostní provozní mód s nejvyšší úrovní,

c) bezpečnostní provozní mód víceúrovňový.

(2) Bezpečnostní provozní mód vyhrazený je takové prostředí, ve kterém je informační systém určen výhradně pro zpracování jednoho specializovaného druhu utajované informace, přičemž všichni uživatelé musí být určeni pro přístup k utajovaným informacím nejvyššího stupně utajení, které jsou v informačním systému obsaženy, a zároveň musí být oprávněni pracovat se všemi utajovanými informacemi, které jsou v informačním systému obsaženy. Bezpečnost informačního systému, který je provozován v bezpečnostním provozním módu vyhrazeném, se zabezpečuje splněním minimálních bezpečnostních požadavků v oblasti počítačové bezpečnosti uvedených v § 10 odst. 1 písm. a), c), d) a f), jakož i opatřeními z oblasti administrativní a personální bezpečnosti a fyzické bezpečnosti informačních systémů. Úroveň použitých opatření z uvedených oblastí a opatření k zajištění důvěrnosti dat během přenosu musí odpovídat úrovni požadované pro nejvyšší stupeň utajení utajovaných informací, se kterými informační systém nakládá.

(3) Bezpečnostní provozní mód s nejvyšší úrovní je takové prostředí, které umožňuje současné zpracování utajovaných informací klasifikovaných různými stupni utajení, ve kterém všichni uživatelé musí být určeni pro přístup k utajovaným informacím nejvyššího stupně utajení, které jsou v informačním systému obsaženy, přičemž všichni uživatelé nemusí být oprávněni pracovat se všemi utajovanými informacemi. Bezpečnost informačního systému, který je provozován v bezpečnostním provozním módu s nejvyšší úrovní, se zabezpečuje splněním minimálních bezpečnostních požadavků v oblasti počítačové bezpečnosti uvedených v § 10, jakož i opatřeními z oblasti administrativní a personální bezpečnosti a fyzické bezpečnosti informačních systémů. Úroveň použitých opatření z uvedených oblastí a opatření k zajištění důvěrnosti dat během přenosu musí odpovídat úrovni požadované pro nejvyšší stupeň utajení utajovaných informací, se kterými informační systém nakládá.

(4) Bezpečnostní provozní mód víceúrovňový je takové prostředí, které umožňuje v jednom informačním systému současné zpracování utajovaných informací klasifikovaných různými stupni utajení, ve kterém nejsou všichni uživatelé určeni pro práci s utajovanými informacemi nejvyššího stupně utajení, které jsou v informačním systému obsaženy, přičemž všichni uživatelé nemusí být oprávněni pracovat se všemi utajovanými informacemi. Bezpečnost informačního systému, který je provozován v bezpečnostním provozním módu víceúrovňovém, se zabezpečuje opatřeními uvedenými v odstavci 3 a bezpečnostní funkcí povinného řízení přístupu subjektů k objektům. Úroveň použitých opatření z oblasti administrativní a personální bezpečnosti, fyzické bezpečnosti informačních systémů a opatření k zajištění důvěrnosti dat během přenosu se stanoví na základě principu povinného řízení přístupu.

(5) Funkce povinného řízení přístupu subjektů k objektům musí zabezpečit:

a) trvalé spojení každého subjektu a objektu s bezpečnostním atributem, který pro subjekt vyjadřuje úroveň oprávnění subjektu a pro objekt jeho stupeň utajení,

b) ochranu integrity bezpečnostního atributu,

c) výlučné oprávnění bezpečnostního správce informačního systému k provádění změn bezpečnostních atributů subjektů i objektů,

d) přidělení předem definovaných hodnot atributů pro nově vytvořené objekty a zachování atributu při kopírování objektu.

(6) Při uplatňování bezpečnostní funkce povinného řízení přístupu subjektů k objektům musí být zabezpečeny tyto zásady:

a) subjekt může číst informace v objektu pouze tehdy, je-li úroveň jeho oprávnění stejná nebo vyšší než stupeň utajení objektu,

b) subjekt může zapisovat informaci do objektu pouze tehdy, je-li úroveň jeho oprávnění stejná nebo nižší než stupeň utajení objektu,

c) přístup subjektu k informaci obsažené v objektu je možný, jestliže jej povolují jak pravidla povinného řízení přístupu, tak pravidla volitelného řízení přístupu.

(7) Informační systém, který je provozován v bezpečnostním provozním módu víceúrovňovém, musí být schopen přesně označit stupněm utajení utajované informace vystupující z informačního systému a umožnit přiřadit stupeň utajení utajované informaci vstupující do informačního systému.

(8) U informačního systému, který je provozován v bezpečnostním provozním módu víceúrovňovém a nakládá s utajovanou informací klasifikovanou stupněm utajení „Přísně tajné“, musí být provedena identifikace a analýza skrytých kanálů. Skrytým kanálem se rozumí nepřípustná komunikace, jíž se utajovaná informace dostala k neoprávněnému subjektu.

(1) Při přenosu utajované informace komunikačním kanálem musí být zajištěna ochrana její důvěrnosti a integrity.

(2) Základním prostředkem pro zajištění důvěrnosti utajované informace při jejím přenosu komunikačním kanálem je kryptografická ochrana.

(3) Základním prostředkem pro zajištění integrity utajované informace při jejím přenosu komunikačním kanálem je spolehlivá detekce záměrné i náhodné změny utajované informace.

(4) V závislosti na komunikačním prostředí se zajišťuje spolehlivá identifikace a autentizace komunikujících stran, včetně ochrany identifikační a autentizační informace. Tato identifikace a autentizace předchází přenosu utajované informace.

(5) Připojení sítě, která je pod kontrolou správy informačního systému, k síti vnější, která není pod kontrolou správy informačního systému, musí být zabezpečeno vhodným bezpečnostním rozhraním tak, aby bylo zamezeno průniku do informačního systému.

(1) Informační systém musí zajistit, aby požadovaná utajovaná informace byla přístupná ve stanoveném místě, v požadované formě a v určeném časovém rozmezí.

(2) V zájmu zajištění bezpečného provozu informačního systému se v bezpečnostní politice informačního systému stanoví komponenty, které musí být nahraditelné bez přerušení činnosti informačního systému. Dále se definuje rozsah požadované minimální funkčnosti informačního systému a uvedou se komponenty, při jejichž selhání musí být minimální funkčnost informačního systému zaručena.

(3) Plánování kapacit aktiv informačního systému a sledování kapacitních požadavků se provádí tak, aby nedocházelo k chybám způsobeným jejich nedostatkem.

(4) Musí být zpracován plán na obnovení činnosti po havárii informačního systému. Opětovné uvedení informačního systému do známého zabezpečeného stavu může být provedeno manuálně správcem informačního systému nebo automaticky. Všechny činnosti, které byly provedeny pro obnovení činnosti informačního systému, se zpravidla zaznamenávají do auditních záznamů chráněných před neoprávněnou modifikací nebo zničením.

(1) Pro stanovení hrozeb, které ohrožují aktiva informačního systému, musí být provedena analýza rizik.

(2) V rámci provedení analýzy rizik se definují aktiva informačního systému a stanovují se hrozby, které působí na jednotlivá aktiva informačního systému. Posuzují se zejména ohrožení, která způsobují ztrátu funkčnosti nebo zabezpečenosti informačního systému.

(3) Po stanovení hrozeb se určují zranitelná místa informačního systému tak, že ke každé hrozbě se najde zranitelné místo nebo místa, na která tato hrozba působí.

(4) Výsledkem provedené analýzy rizik je seznam hrozeb, které mohou ohrozit informační systém, s uvedením odpovídajícího rizika.

(5) Na základě provedené analýzy rizik se provádí výběr vhodných protiopatření.

V případě neúměrných nákladů na zajištění některé bezpečnostní funkce informačního systému prostředky počítačové bezpečnosti lze provést jejich nahrazení použitím prostředků personální nebo administrativní bezpečnosti, fyzické bezpečnosti informačních systémů anebo organizačních opatření. Při nahrazení prostředků počítačové bezpečnosti náhradním bezpečnostním mechanismem nebo skupinou mechanismů, které mají zajišťovat určitou bezpečnostní funkci, musí být dodrženy následující zásady:

a) bezpečnostní funkce musí být plně realizována,

b) kvalita a úroveň bezpečnostní funkce musí být zachována.

(1) Aktiva informačního systému musí být umístěna do zabezpečeného prostoru, ve kterém je zajištěna fyzická ochrana informačního systému před neoprávněným přístupem, poškozením a ovlivněním. Tento prostor je vymezen definovanými prvky ochrany s vhodnými kontrolami vstupu a bezpečnostními bariérami.

(2) Aktivum informačního systému musí být fyzicky chráněno před bezpečnostními hrozbami a riziky prostředí.

(3) Umístění aktiv informačního systému musí být provedeno tak, aby zamezovalo nepovolané osobě odezírat utajované informace.

(4) Telekomunikační infrastruktura přenášející data nebo podporující služby informačního systému musí být chráněna před možností zachycení přenášených utajovaných informací a jejich poškození.

(5) Fyzická bezpečnost informačních systémů se doplňuje opatřeními objektové nebo technické bezpečnosti.

(1) Komponenty informačního systému, které nakládají s utajovanou informací, musí být zabezpečeny proti parazitnímu elektromagnetickému vyzařování, které by mohlo způsobit vyzrazení utajované informace.

(2) Úroveň zabezpečení je závislá na stupni utajení utajované informace, se kterou informační systém nakládá.

(1) Všechny nosiče utajovaných informací informačního systému musí být evidovány.

(2) Vyměnitelný nosič utajovaných informací musí být dále označen způsobem stanoveným pro utajované skutečnosti nelistinného charakteru.

(3) Stupeň utajení vyměnitelného nosiče utajovaných informací, který byl označen stupněm utajení „Přísně tajné“, nesmí být snížen.

(4) Stupeň utajení vyměnitelného nosiče utajovaných informací, který byl označen stupněm utajení „Tajné“, „Důvěrné“ nebo „Vyhrazené“, může být snížen pouze v případě, že vymazání utajovaných informací z něj bylo provedeno způsobem uvedeným v odstavci 5.

(5) Vymazání utajované informace z vyměnitelného nosiče utajovaných informací, které umožňuje snížení jeho stupně utajení, musí být provedeno tak, aby získání zbytkové utajované informace nebylo možné nebo bylo vysoce obtížné i při využití speciálních laboratorních metod a prostředků.

(6) Ničení nosiče utajovaných informací informačního systému musí být provedeno tak, aby nebylo možno žádným způsobem utajovanou informaci z něho opětovně získat.

(1) V orgánu státu nebo v organizaci může být bezpečnostní politika pro samostatné osobní počítače, které nakládají s utajovanými skutečnostmi, zpracována jednotně, zejména pro nakládání s utajovanými informacemi prostřednictvím textových editorů, tabulkových procesorů, databázových systémů s lokálními databázemi nebo specializovaných programů instalovaných na samostatných osobních počítačích.

(2) Systém opatření použitých pro celkovou ochranu samostatného osobního počítače vychází z pojetí tohoto zařízení jako nosiče utajované informace klasifikovaného nejvyšším stupněm utajení utajované informace, se kterou samostatný osobní počítač nakládá.

(1) Pro mobilní a přenosné informační systémy se v analýze rizik posuzují i rizika, která jsou u mobilních informačních systémů spojena s dopravním prostředkem a u přenosných informačních systémů s prostředími, ve kterých budou tyto informační systémy používány.

(2) Ochrana komponentu mobilního a přenosného informačního systému, který obsahuje utajované informace, vychází z pojetí tohoto komponentu jako nosiče utajované informace klasifikovaného nejvyšším stupněm utajení utajované informace, se kterou tento komponent nakládá.

(1) Bezpečnost informačního systému se musí před jeho certifikací ověřit testováním. Testování provádí komise, jejíž členové nesmí být ve vztahu k informačnímu systému a k vývojovému týmu podjati tím, že by se podíleli na vývoji informačního systému, že by měli osobní zájem na výsledcích testování nebo je s vývojovým týmem spojoval osobní anebo pracovní a jiný obdobný vztah. K provedení testování se nesmějí používat utajované informace.

(2) Výsledky testů musejí prokázat, že bezpečnostní funkce jsou plně v souladu s bezpečnostní politikou informačního systému. Výsledky testů musí být zadokumentovány. Chyby nalezené během testování musí být odstraněny a jejich odstranění musí být ověřeno následnými testy.

(1) Bezpečnost provozovaného informačního systému musí být průběžně, s ohledem na skutečný stav informačního systému, prověřována a vyhodnocována. Dílčí změnu v informačním systému je možno provést až po vyhodnocení vlivu této změny na bezpečnost informačního systému.

(2) Integrita programového vybavení i utajovaných informací musí být chráněna před působením škodlivého kódu.

(3) V provozovaném informačním systému může být používáno pouze programové vybavení, které bylo dodáno provozovatelem informačního systému.

(4) V provozovaném informačním systému musí být prováděno zálohování programového vybavení a utajovaných informací. Záloha programového vybavení a utajovaných informací musí být uložena tak, aby nemohlo dojít k jejímu poškození nebo zničení při ohrožení informačního systému.

(5) Servisní činnost v provozovaném informačním systému se musí organizovat tak, aby nebyla ohrožena jeho bezpečnost. Z nosičů utajovaných informací informačního systému přístupných při servisní činnosti musí být vymazány utajované informace a dálková diagnostika musí být zabezpečena před zneužitím.

(6) V provozovaném informačním systému musí být v termínech stanovených v bezpečnostní dokumentaci informačního systému a při vzniku krizové situace neprodleně prováděno vyhodnocení auditních záznamů. Auditní záznamy musí být archivovány po dobu stanovenou v bezpečnostní dokumentaci informačního systému.

(7) Pro řešení krizové situace provozovaného informačního systému musí být v bezpečnostní dokumentaci informačního systému stanovena opatření zaměřená na jeho uvedení do známého bezpečného stavu. V bezpečnostní dokumentaci informačního systému musí být uvedena tato opatření:

a) činnost následující bezprostředně po vzniku krizové situace zaměřená na minimalizaci škod,

b) činnost následující po vzniku krizové situace zaměřená na likvidaci následků krizové situace včetně vymezení osobní odpovědnosti za jednotlivé úkoly,

c) způsob zálohování informačního systému,

d) způsob zajišťování servisní činnosti,

e) způsob zajištění nouzového provozu informačního systému s vyjmenováním minimálních funkcí, které musí být zachovány,

f) způsob obnovy funkčnosti a uvedení informačního systému do známého bezpečného stavu.

(8) Před likvidací informačního systému musí být provedeno vyjmutí, vymazání nebo zničení utajovaných informací, se kterými informační systém nakládal.

(1) Uživatel informačního systému musí být autorizován pro činnost v informačním systému a tato autorizace musí být změněna při změně jeho role v rámci informačního systému nebo zrušena při zániku jeho určení.

(2) Provozovatel informačního systému musí zabezpečit proškolování uživatelů informačního systému v dodržování opatření stanovených v bezpečnostní dokumentaci informačního systému a správném užívání informačního systému.

(1) Žádost o provedení certifikace informačního systému předkládá Úřadu orgán státu nebo organizace, které budou informační systém provozovat, (dále jen „žadatel“).

(2) Žádost podle odstavce 1 obsahuje:

a) stručný popis účelu a rozsahu informačního systému včetně stanovení jeho běžných a minimálních funkcí,

b) stupeň utajení utajovaných informací, se kterými bude informační systém nakládat,

c) stanovení bezpečnostního provozního módu informačního systému,

d) identifikaci dodavatele informačního systému.

(3) Úřad vypracuje seznam podkladů pro ověření způsobilosti informačního systému nakládat s utajovanými informacemi (dále jen „hodnocení“) a časový plán jejich předložení žadatelem. K provedení hodnocení žadatel vždy předloží následující podklady:

a) bezpečnostní politiku informačního systému a výsledky analýzy rizik,

b) návrh bezpečnosti informačního systému,

c) sadu testů bezpečnosti informačního systému, jejich popis a popis výsledků testování,

d) bezpečnostní provozní dokumentaci informačního systému,

e) popis bezpečnosti vývojového prostředí.

(4) Hodnocení se provádí posouzením podkladů předložených žadatelem a provedením dodatečných testů. Dodatečné testy provádí Úřad u žadatele v provozním prostředí hodnoceného informačního systému za spoluúčasti žadatele a v případě potřeby dodavatele.

(5) Jsou-li v průběhu hodnocení zjištěny nedostatky, vyzve Úřad žadatele k jejich odstranění. Pokud žadatel v termínu stanoveném Úřadem zjištěné nedostatky neodstraní, hodnocení se ukončí.

(6) Hodnocení lze provádět průběžně po ukončení jednotlivých fází výstavby informačního systému nebo až po jeho celkovém dokončení.

(7) O výsledku hodnocení se zpracují technické zprávy.

(8) Jestliže se na základě výsledku hodnocení zjistí způsobilost hodnoceného informačního systému pro nakládání s utajovanými informacemi, obdrží žadatel o tomto certifikát. V případě, že hodnocený informační systém splňuje způsobilost pouze pro nižší stupeň utajení, vydá se certifikát na tento stupeň utajení.

(9) Dojde-li v informačním systému, jehož způsobilost byla schválena, ke změnám uvedeným v § 25 odst. 2 písm. e), provádí se doplňující hodnocení informačního systému v rozsahu potřebném k posouzení provedených změn. V případě provádění doplňujícího hodnocení informačního systému se postupuje obdobně jako při provádění certifikace informačního systému.

(1) Certifikát informačního systému, jehož vzor je uveden v příloze, obsahuje:

a) identifikaci informačního systému včetně označení verze, pro který je vydáván,

b) identifikaci certifikátu přidělenou Úřadem,

c) identifikaci žadatele,

d) identifikaci dodavatele informačního systému,

e) stupeň utajení utajovaných informací, pro který byla schválena jeho způsobilost,

f) dobu platnosti certifikátu.

(2) Součástí certifikátu je certifikační zpráva, která tvoří jeho přílohu. Certifikační zpráva obsahuje:

a) orientační popis informačního systému,

b) bezpečnostní politiku informačního systému,

c) hlavní závěry z hodnocení,

d) případná omezení podmiňující platnost certifikátu a

e) typy změn informačního systému, které vyžadují provedení doplňujícího hodnocení informačního systému.

(1) Úřad vede přehled certifikovaných informačních systémů. K certifikovanému informačnímu systému se vede certifikační spis, do kterého se zakládá žádost o provedení certifikace, podklady poskytnuté žadatelem, technické zprávy a certifikační zpráva hodnoceného informačního systému a kopie vydaného certifikátu.

(2) Skartační lhůta certifikačního spisu začíná běžet dnem skončení platnosti certifikátu a činí nejméně 5 let.

(1) Informační systém orgánu státu, ve kterém ke dni účinnosti zákona byla zpracovávána skutečnost tvořící předmět státního, hospodářského nebo služebního tajemství pomocí výpočetní techniky podle dosavadní právní úpravy,2) a informační systém orgánu státu, který ode dne účinnosti zákona do dne účinnosti této vyhlášky nakládal s utajovanou skutečností, lze v případě potřeby považovat za certifikovaný informační systém podle této vyhlášky, nejpozději do 18 měsíců ode dne nabytí účinnosti této vyhlášky.

(2) Informační systém organizace, ve kterém ke dni účinnosti zákona byla zpracovávána skutečnost tvořící předmět státního, hospodářského nebo služebního tajemství pomocí výpočetní techniky podle dosavadní právní úpravy,2) a informační systém organizace, který ode dne účinnosti zákona do dne účinnosti této vyhlášky nakládal s utajovanou skutečností, lze v případě potřeby považovat za certifikovaný informační systém podle této vyhlášky, nejpozději do 12 měsíců ode dne nabytí účinnosti této vyhlášky.

(3) Statutární orgán stanoví, které informační systémy uvedené v odstavci 1 nebo odstavci 2 považuje za certifikované informační systémy podle této vyhlášky.

(4) Žádost o certifikaci informačního systému uvedeného v odstavci 1 nebo odstavci 2, u kterého statutární orgán stanovil, že jej považuje za certifikovaný informační systém podle této vyhlášky, je nutno předložit nejpozději 6 měsíců před uplynutím lhůty, po kterou je považován za certifikovaný.

Tato vyhláška nabývá účinnosti dnem vyhlášení.

Ředitel:

Ing. Kadlec v. r.

Příloha k vyhlášce č. 56/1999 Sb.

1) Např. kritéria bezpečnosti Trusted computer system evaluation criteria (TCSEC), Information technology security evaluation criteria (ITSEC), Common criteria (CC) nebo Canadian trusted computer product evaluation criteria (CTCPEC).

2) Směrnice Federálního ministerstva vnitra ze dne 6. června 1973 pro zabezpečení ochrany skutečností tvořících předmět státního, hospodářského a služebního tajemství při jejich zpracování pomocí výpočetní techniky.