§ 5 Vyhláška Národního bezpečnostního úřadu o zajištění kryptografické ochrany utajovaných skutečností, provádění certifikace kryptografických prostředků a náležitostech certifikátu – Opatření při kompromitaci
Vyhláška Národního bezpečnostního úřadu o zajištění kryptografické ochrany utajovaných skutečností, provádění certifikace kryptografických prostředků a náležitostech certifikátu · 76/1999 Sb. · § 5 · Správní právo
Stručně: Paragraf 5 vyhlášky 76/1999 stanovuje povinnosti statutárního orgánu při zjištění kompromitace kryptografických prostředků, které chrání utajované skutečnosti.
§ 5 Opatření při kompromitaci
(1) Zjistí-li statutární orgán, že došlo ke kompromitaci, oznámí tuto skutečnost neprodleně písemně Úřadu.
(2) V případě kompromitace je statutární orgán povinen k zajištění ochrany utajovaných skutečností chráněných kryptografickými prostředky neprodleně přijmout zejména tato opatření:
a) zabránit dalšímu používání kompromitovaných klíčových materiálů, kryptografických prostředků, systémů (dále jen „kompromitované prostředky“),
b) zabezpečit ochranu utajovaných skutečností jinými nekompromitovanými kryptografickými prostředky, pokud jsou k dispozici; pokud takto nelze zabezpečit ochranu utajovaných skutečností, je nezbytné použít jiných prostředků k této ochraně uvedených v § 47 až 51 zákona,
c) v případě, že se jedná o utajované skutečnosti uložené v systému zapojeném do počítačové nebo komunikační sítě, zajistit její fyzické odpojení od komunikačních prostředků,
d) zdokumentovat všechny okolnosti předcházející zjištěné kompromitaci a rovněž okolnosti bezprostředně následující, včetně soupisu osob přicházejících do styku s kompromitovaným prostředkem.
Paragraf 5 vyhlášky 76/1999 stanovuje povinnosti statutárního orgánu při zjištění kompromitace kryptografických prostředků, které chrání utajované skutečnosti.
Co to znamená v praxi
Statutární orgán musí neprodleně písemně oznámit Úřadu zjištění kompromitace.
Musí neprodleně zabránit dalšímu používání kompromitovaných klíčových materiálů, kryptografických prostředků a systémů.
Musí zajistit ochranu utajovaných skutečností jinými nekompromitovanými prostředky, nebo použít jiné prostředky k ochraně podle § 47 až 51 zákona, pokud jiné kryptografické prostředky nejsou k dispozici.
Pokud jde o utajované skutečnosti v síti, musí zajistit fyzické odpojení sítě od komunikačních prostředků.
Musí zdokumentovat všechny okolnosti před a po kompromitaci, včetně soupisu osob, které s kompromitovaným prostředkem přišly do styku.
Příklad
Statutární orgán firmy zjistí, že byl prolomen šifrovací klíč používaný k ochraně tajných obchodních dat. Okamžitě o tom písemně informuje Úřad, zablokuje používání prolomeného klíče a zajistí, aby se data šifrovala novým, bezpečným klíčem. Zároveň pečlivě zaznamená, jak k prolomení došlo a kdo měl k prolomenému klíči přístup.