Vyhláška Národního bezpečnostního úřadu o zajištění bezpečnosti informačních systémů nakládajících s utajovanými skutečnostmi, provádění jejich certifikace a náležitostech certifikátu

(1) Bezpečnost informačního systému se musí před jeho certifikací ověřit testováním. Testování provádí komise, jejíž členové nesmí být ve vztahu k informačnímu systému a k vývojovému týmu podjati tím, že by se podíleli na vývoji informačního systému, že by měli osobní zájem na výsledcích testování nebo je s vývojovým týmem spojoval osobní anebo pracovní a jiný obdobný vztah. K provedení testování se nesmějí používat utajované informace.

(2) Výsledky testů musejí prokázat, že bezpečnostní funkce jsou plně v souladu s bezpečnostní politikou informačního systému. Výsledky testů musí být zadokumentovány. Chyby nalezené během testování musí být odstraněny a jejich odstranění musí být ověřeno následnými testy.

(1) Bezpečnost provozovaného informačního systému musí být průběžně, s ohledem na skutečný stav informačního systému, prověřována a vyhodnocována. Dílčí změnu v informačním systému je možno provést až po vyhodnocení vlivu této změny na bezpečnost informačního systému.

(2) Integrita programového vybavení i utajovaných informací musí být chráněna před působením škodlivého kódu.

(3) V provozovaném informačním systému může být používáno pouze programové vybavení, které bylo dodáno provozovatelem informačního systému.

(4) V provozovaném informačním systému musí být prováděno zálohování programového vybavení a utajovaných informací. Záloha programového vybavení a utajovaných informací musí být uložena tak, aby nemohlo dojít k jejímu poškození nebo zničení při ohrožení informačního systému.

(5) Servisní činnost v provozovaném informačním systému se musí organizovat tak, aby nebyla ohrožena jeho bezpečnost. Z nosičů utajovaných informací informačního systému přístupných při servisní činnosti musí být vymazány utajované informace a dálková diagnostika musí být zabezpečena před zneužitím.

(6) V provozovaném informačním systému musí být v termínech stanovených v bezpečnostní dokumentaci informačního systému a při vzniku krizové situace neprodleně prováděno vyhodnocení auditních záznamů. Auditní záznamy musí být archivovány po dobu stanovenou v bezpečnostní dokumentaci informačního systému.

(7) Pro řešení krizové situace provozovaného informačního systému musí být v bezpečnostní dokumentaci informačního systému stanovena opatření zaměřená na jeho uvedení do známého bezpečného stavu. V bezpečnostní dokumentaci informačního systému musí být uvedena tato opatření:

a) činnost následující bezprostředně po vzniku krizové situace zaměřená na minimalizaci škod,

b) činnost následující po vzniku krizové situace zaměřená na likvidaci následků krizové situace včetně vymezení osobní odpovědnosti za jednotlivé úkoly,

c) způsob zálohování informačního systému,

d) způsob zajišťování servisní činnosti,

e) způsob zajištění nouzového provozu informačního systému s vyjmenováním minimálních funkcí, které musí být zachovány,

f) způsob obnovy funkčnosti a uvedení informačního systému do známého bezpečného stavu.

(8) Před likvidací informačního systému musí být provedeno vyjmutí, vymazání nebo zničení utajovaných informací, se kterými informační systém nakládal.

(1) Uživatel informačního systému musí být autorizován pro činnost v informačním systému a tato autorizace musí být změněna při změně jeho role v rámci informačního systému nebo zrušena při zániku jeho určení.

(2) Provozovatel informačního systému musí zabezpečit proškolování uživatelů informačního systému v dodržování opatření stanovených v bezpečnostní dokumentaci informačního systému a správném užívání informačního systému.

(1) Žádost o provedení certifikace informačního systému předkládá Úřadu orgán státu nebo organizace, které budou informační systém provozovat, (dále jen „žadatel“).

(2) Žádost podle odstavce 1 obsahuje:

a) stručný popis účelu a rozsahu informačního systému včetně stanovení jeho běžných a minimálních funkcí,

b) stupeň utajení utajovaných informací, se kterými bude informační systém nakládat,

c) stanovení bezpečnostního provozního módu informačního systému,

d) identifikaci dodavatele informačního systému.

(3) Úřad vypracuje seznam podkladů pro ověření způsobilosti informačního systému nakládat s utajovanými informacemi (dále jen „hodnocení“) a časový plán jejich předložení žadatelem. K provedení hodnocení žadatel vždy předloží následující podklady:

a) bezpečnostní politiku informačního systému a výsledky analýzy rizik,

b) návrh bezpečnosti informačního systému,

c) sadu testů bezpečnosti informačního systému, jejich popis a popis výsledků testování,

d) bezpečnostní provozní dokumentaci informačního systému,

e) popis bezpečnosti vývojového prostředí.

(4) Hodnocení se provádí posouzením podkladů předložených žadatelem a provedením dodatečných testů. Dodatečné testy provádí Úřad u žadatele v provozním prostředí hodnoceného informačního systému za spoluúčasti žadatele a v případě potřeby dodavatele.

(5) Jsou-li v průběhu hodnocení zjištěny nedostatky, vyzve Úřad žadatele k jejich odstranění. Pokud žadatel v termínu stanoveném Úřadem zjištěné nedostatky neodstraní, hodnocení se ukončí.

(6) Hodnocení lze provádět průběžně po ukončení jednotlivých fází výstavby informačního systému nebo až po jeho celkovém dokončení.

(7) O výsledku hodnocení se zpracují technické zprávy.

(8) Jestliže se na základě výsledku hodnocení zjistí způsobilost hodnoceného informačního systému pro nakládání s utajovanými informacemi, obdrží žadatel o tomto certifikát. V případě, že hodnocený informační systém splňuje způsobilost pouze pro nižší stupeň utajení, vydá se certifikát na tento stupeň utajení.

(9) Dojde-li v informačním systému, jehož způsobilost byla schválena, ke změnám uvedeným v § 25 odst. 2 písm. e), provádí se doplňující hodnocení informačního systému v rozsahu potřebném k posouzení provedených změn. V případě provádění doplňujícího hodnocení informačního systému se postupuje obdobně jako při provádění certifikace informačního systému.

(1) Certifikát informačního systému, jehož vzor je uveden v příloze, obsahuje:

a) identifikaci informačního systému včetně označení verze, pro který je vydáván,

b) identifikaci certifikátu přidělenou Úřadem,

c) identifikaci žadatele,

d) identifikaci dodavatele informačního systému,

e) stupeň utajení utajovaných informací, pro který byla schválena jeho způsobilost,

f) dobu platnosti certifikátu.

(2) Součástí certifikátu je certifikační zpráva, která tvoří jeho přílohu. Certifikační zpráva obsahuje:

a) orientační popis informačního systému,

b) bezpečnostní politiku informačního systému,

c) hlavní závěry z hodnocení,

d) případná omezení podmiňující platnost certifikátu a

e) typy změn informačního systému, které vyžadují provedení doplňujícího hodnocení informačního systému.

(1) Úřad vede přehled certifikovaných informačních systémů. K certifikovanému informačnímu systému se vede certifikační spis, do kterého se zakládá žádost o provedení certifikace, podklady poskytnuté žadatelem, technické zprávy a certifikační zpráva hodnoceného informačního systému a kopie vydaného certifikátu.

(2) Skartační lhůta certifikačního spisu začíná běžet dnem skončení platnosti certifikátu a činí nejméně 5 let.

(1) Informační systém orgánu státu, ve kterém ke dni účinnosti zákona byla zpracovávána skutečnost tvořící předmět státního, hospodářského nebo služebního tajemství pomocí výpočetní techniky podle dosavadní právní úpravy,2) a informační systém orgánu státu, který ode dne účinnosti zákona do dne účinnosti této vyhlášky nakládal s utajovanou skutečností, lze v případě potřeby považovat za certifikovaný informační systém podle této vyhlášky, nejpozději do 18 měsíců ode dne nabytí účinnosti této vyhlášky.

(2) Informační systém organizace, ve kterém ke dni účinnosti zákona byla zpracovávána skutečnost tvořící předmět státního, hospodářského nebo služebního tajemství pomocí výpočetní techniky podle dosavadní právní úpravy,2) a informační systém organizace, který ode dne účinnosti zákona do dne účinnosti této vyhlášky nakládal s utajovanou skutečností, lze v případě potřeby považovat za certifikovaný informační systém podle této vyhlášky, nejpozději do 12 měsíců ode dne nabytí účinnosti této vyhlášky.

(3) Statutární orgán stanoví, které informační systémy uvedené v odstavci 1 nebo odstavci 2 považuje za certifikované informační systémy podle této vyhlášky.

(4) Žádost o certifikaci informačního systému uvedeného v odstavci 1 nebo odstavci 2, u kterého statutární orgán stanovil, že jej považuje za certifikovaný informační systém podle této vyhlášky, je nutno předložit nejpozději 6 měsíců před uplynutím lhůty, po kterou je považován za certifikovaný.

Tato vyhláška nabývá účinnosti dnem vyhlášení.

Ředitel:

Ing. Kadlec v. r.

Příloha k vyhlášce č. 56/1999 Sb.

1) Např. kritéria bezpečnosti Trusted computer system evaluation criteria (TCSEC), Information technology security evaluation criteria (ITSEC), Common criteria (CC) nebo Canadian trusted computer product evaluation criteria (CTCPEC).

2) Směrnice Federálního ministerstva vnitra ze dne 6. června 1973 pro zabezpečení ochrany skutečností tvořících předmět státního, hospodářského a služebního tajemství při jejich zpracování pomocí výpočetní techniky.