§ 21 Vyhláška o bezpečnostních opatřeních, kybernetických bezpečnostních incidentech, reaktivních opatřeních, náležitostech podání v oblasti kybernetické bezpečnosti a likvidaci dat (vyhláška o kybernetické bezpečnosti) – Ochrana před škodlivým kódem
Vyhláška o bezpečnostních opatřeních, kybernetických bezpečnostních incidentech, reaktivních opatřeních, náležitostech podání v oblasti kybernetické bezpečnosti a likvidaci dat (vyhláška o kybernetické bezpečnosti) · 82/2018 Sb. · § 21 · IT právo a ochrana dat
Stručně: Paragraf 21 vyhlášky o kybernetické bezpečnosti stanovuje povinnosti vybraných subjektů v oblasti ochrany před škodlivým kódem, zejména co se týče používání automatických ochranných nástrojů a řízení souvisejících rizik.
§ 21 Ochrana před škodlivým kódem
(1) Povinná osoba uvedená v § 3 písm. c), d) a f) zákona v rámci ochrany před škodlivým kódem
a) s ohledem na důležitost aktiv zajišťuje použití nástroje pro nepřetržitou automatickou ochranu
1. koncových stanic,
2. mobilních zařízení,
3. serverů,
4. datových úložišť a výměnných datových nosičů,
5. komunikační sítě a prvků komunikační sítě a
6. obdobných zařízení,
b) monitoruje a řídí používání výměnných zařízení a datových nosičů,
c) řídí automatické spouštění obsahu výměnných zařízení a datových nosičů,
d) řídí oprávnění ke spouštění kódu a
e) provádí pravidelnou a účinnou aktualizaci nástroje pro ochranu před škodlivým kódem.
(2) Povinná osoba uvedená v § 3 písm. e) zákona postupuje podle odstavce 1 přiměřeně.
Paragraf 21 vyhlášky o kybernetické bezpečnosti stanovuje povinnosti vybraných subjektů v oblasti ochrany před škodlivým kódem, zejména co se týče používání automatických ochranných nástrojů a řízení souvisejících rizik.
Co to znamená v praxi
Vybrané povinné osoby (uvedené v § 3 písm. c), d) a f) zákona) musí zajistit nepřetržitou automatickou ochranu proti škodlivému kódu pro širokou škálu zařízení, jako jsou počítače, mobilní telefony, servery, datová úložiště a síťové prvky.
Je nutné monitorovat a řídit, jak se používají externí zařízení a datové nosiče (např. USB disky), a také kontrolovat automatické spouštění obsahu z těchto zařízení.
Povinné osoby musí řídit, kdo a co smí spouštět za kód na jejich systémech.
Nástroje pro ochranu před škodlivým kódem musí být pravidelně a účinně aktualizovány.
Na co si dát pozor
Rozsah ochrany a použití nástrojů se odvíjí od důležitosti konkrétních aktiv.
Povinnosti se týkají pouze vybraných subjektů, nikoli všech. Subjekty uvedené v § 3 písm. e) zákona postupují přiměřeně.