2.2 LEGISLATIVA K IT BEZPEČNOSTI VE STÁTNÍ SPRÁVĚ A SAMOSPRÁVĚ

BEZPEČNÁ POČÍTAČOVÁ SÍŤ

část 3, díl 2, kap. 2, str. 1 díl 2, Legislativa

3/2.2 LEGISLATIVA K IT BEZPEČNOSTI VE STÁTNÍ SPRÁVĚ A SAMOSPRÁVĚ Legislativní předpisy ohledně bezpečnosti můžeme v této oblasti rozdělit na dvě skupiny. První skupina předpisů se týká režimu utajovaných skutečností v IS a odvíjí se od zákona č. 412/2005 Sb. V tomto směru se jedná především o samotný zákon v modifikaci provedené zákony č. 119/2007 Sb., č. 177/2007 Sb. a č. 296/2007 Sb. a o vyhlášku č. 523/2005 Sb.

Úvod

Obecně je studium těchto předpisů užitečné i tehdy, pokud přímo nepodléháme dikci těchto zákonů. Minimálně z toho hlediska, že je určitým rozpracováním bezpečnostních norem a obsahuje řadu dílčích specifikací a postupů, které je v určité míře možno využít i při budování administrativní bezpečnosti v jiných oblastech. Velmi užitečné jsou např. předpisy a certifikace zařízení v oblasti fyzické bezpečnosti. Druhá skupina spíše souvisí s koncepcí životního cyklu SW a se zákonem č. 365/2000 Sb. a zákonem bfiezen 2008

část 3, díl 2, kap. 2, str. 2


díl 2, Legislativa

č. 81/2006 Sb. Všechny výše uvedené normy, vztahující se k bezpečnosti IT, jsou součástí aktualizace a jsou uváděny v aktuálním znění. Co se týká zákona č. 412/2005 Sb., některé jeho části jsou obecné a týkají se jak informací v papírové či jiné podobě, tak informací v IS. V souvislosti s informační bezpečností je třeba zmínit především paragraf 4, který se týká klasifikace informací. I pro oblasti mimo utajované skutečnosti je vhodné zavést klasifikaci informací např. na veřejné, interní a se speciálním statusem. Analogicky užitečná je charakteristika ochran uvedená v paragrafu 5 a je plně přenositelná i do oblasti mimo utajované skutečnosti. Podmínky personální bezpečnosti z paragrafu 6 až paragrafu 14 je možné použít i s odpovídajícím změkčením podmínek pro informace, které nepodléhají utajení. Podobně lze využít i pravidla a metody pro administrativní bezpečnost z druhé hlavy dokumentu, které se týkají označování dokumentů a jejich evidence. I část zákona od paragrafu 22 pro oblast fyzické bezpečnosti je významnou pomocí pro definici požadavků na fyzickou bezpečnost citlivých informací, které nejsou přímo definovány jako utajované skutečnosti. Pochopitelně pro jiné citlivé informace je možné si definovat jiné názvy a kategorie informací, než jsou v zákoně uvedeny. Pro utajované skutečnosti je třeba využít přímo litery zákona a definicí zde uvedených. Přímo oblasti této publikace se pak dotýká především hlava 6 zmíněného zákona. Ta definuje podmínky kladené na informační systémy, které obsahují, uchovávají a zpracovávají utajované informace. Podstatný rozdíl mezi systémem pro zpracování utajovaných skutečností a informačním systémem pro zpracování bfiezen 2008


část 3, díl 2, kap. 2, str. 3 díl 2, Legislativa

jiných citlivých informací je v tom, že tyto jiné systémy nemusejí být certifikovány NBÚ. Jinak obecně mohou splňovat zde definované podmínky, podle uvážení provozovatele tohoto systému. Dalším zde definovaným pojmem je komunikační systém. Dle zde uvedené definice slouží k přenosu utajovaných skutečností mezi koncovými uživateli. Dle mého názoru neexistuje obecně informační systém bez komunikačního systému, protože je minimálně vždy třeba zajistit přenos informací mezi systémem a uživatelem. Pochopitelně je to možné chápat také tak, že uživatel a IS v prvním případě existují v jednom místě či místnosti, ale tento výklad je dostatečně problematický. Komunikační systém naopak může existovat bez informačního celkem běžně (telefony, vysílačky apod.). Dále se obsahu knihy týká hlava 8 zákona, a to kryptografická ochrana a související oblasti. Pochopitelně je možné šifrovat i informace mimo IS a šifrování probíhalo i v dobách dávno minulých, kdy IS jako takové vůbec neexistovaly. Další kapitoly se týkají již pouze režimu utajovaných skutečností, ale v jistém smyslu mohou být návodem jak postupovat i pro citlivé informace, které přitom nejsou přímo z povahy věci utajovanými skutečnostmi. Obecně bych chtěl zdůraznit, že já osobně jsem proti takové specifikaci požadavků zákonem nebo vyhláškami. Považuji za daleko lepší cestu, když zákon využívá normativní požadavky a odkazuje se přímo na jednotlivé normy a jejich části. Tvořit legislativu vykopírováním částí některých norem považuji za dostatečně nekorektní a problematické. Zákony a vyhlášky by měly: bfiezen 2008

část 3, díl 2, kap. 2, str. 4


díl 2, Legislativa

• definovat, které požadavky a jakých norem mají IS splňovat, • definovat, které další požadavky, nezohledněné v normách, jsou potřeba. Bylo by to daleko jednodušší, průhlednější a čistější. Umožňovalo by to i jistou kompatibilitu v rámci různých státních útvarů. Aktualizace by se navíc promítaly do všech systémů.

bfiezen 2008


část 3, díl 2, kap. 2.1, str. 1 díl 2, Legislativa

3/2.2.1 VYHLÁŠKA Č. 523/2005 SB., O BEZPEČNOSTI INFORMAČNÍCH A KOMUNIKAČNÍCH SYSTÉMŮ A DALŠÍCH ELEKTRONICKÝCH ZAŘÍZENÍ NAKLÁDAJÍCÍCH S UTAJOVANÝMI INFORMACEMI A O CERTIFIKACI STÍNICÍCH KOMOR Od 1. ledna 2006 platí prováděcí vyhláška k zákonu č. 412/2005 Sb., a to vyhláška č. 523/2005 Sb. I tato vyhláška je součástí aktualizace. Tato vyhláška reflektuje některé normy a pojmy v mezinárodních normách obvyklé. Jedná se především o vymezení pojmů ohledně analýzy rizik, která je podrobně specifikována v ISO TR 13335, pojmy ohledně aktiv, integrity, dostupnosti a důvěrnosti informací jsou převzaty z ČSN ISO/IEC 27001 a ČSN ISO/IEC 17799. Obecně se dá říci, že vyhovění uvedeným bezpečnostním normám včetně dosažení úrovně zabezpečení systému dle ISO 15408 je nutnou podmínkou, nikoliv však podmínkou postačující, protože tou je certifikace orgánem NBÚ. Jako poněkud problematická se jeví skutečnost, že vyhláška neodkazuje na pojmy a pravidla v uvedených

bfiezen 2008

část 3, díl 2, kap. 2.1, str. 2


díl 2, Legislativa

normách, ale definuje je dle uvedených norem vlastním způsobem. Toto má dva aspekty. První je pozitivní a spočívá v tom, že jsou certifikované systémy dle zákona s tímto zákonem kompatibilní až do jeho případné změny. Pokud by se zákon a vyhláška odkazovaly na pojmy a pravidla v normách, mohlo by pravděpodobně dojít při změně normy k nekompatibilitě systému se zákonem, i když systém obdržel certifikát. Druhý je negativní a spočívá v tom, že při změně normy může dojít ke změně obsahu některých pojmů a norma a zákon se vzájemně rozejdou - informační systém bude kompatibilní se zákonem, ale nevyhoví normě, což je také problém. Dále nenahrazují uvedené informace přesné znění vyhlášky ani si nečiní nárok na úplnost. Přesné znění vyhlášky je k dispozici v odpovídající sbírce zákonů ČR. Proto ani citace z níže uvedeného textu nemají žádnou právní platnost. Jejich smyslem je pouze vysvětlit, doplnit nebo komentovat znění zákonné úpravy. Podobně se to týká i všech další právních dokumentů uvedených v této publikaci. Vymezení pojmů

bfiezen 2008

Na počátku vyhlášky jsou definovány jednotlivé pojmy. Aktivum informačního systému, kterým se rozumí, na základě analýzy rizik (§ 11) definovaný hardware, software, dokumentace informačního systému a utajované informace, které jsou v informačním systému uloženy. Pro pořádek uveďme, že obecná analýza rizik se zabývá popisem aktiv, hrozeb, zranitelností a protiopatření. Riziko je pak číselně vyjádřená možnost uplatnění hrozby na dané aktivum. Objektem informačního systému se rozumí pasivní prvek informačního systému, který obsahuje nebo přijímá informaci.



Subjektem informačního systému je aktivní prvek informačního systému, který způsobuje předání informace mezi objekty informačního systému nebo změnu stavu systému. Pod analýzou rizik se rozumí proces, během nějž jsou zjišťována aktiva informačního systému, hrozby působící na aktiva informačního systému, jeho zranitelná místa, pravděpodobnost realizace hrozeb a odhad jejich následků. O analýze rizik podrobně pojednávají jiné části této publikace. V podstatě je vše ve shodě s normou, jenom je třeba upozornit na to, že způsob výpočtu rizika se může v různých metodikách lišit. Auditním záznamem je záznam informačního systému o události, která může ovlivnit bezpečnost informačního systému. Obecně se obvykle jedná o LOG. Identifikací subjektu informačního systému je proces zjištění jeho identity v informačním systému. Pod autentizací subjektu informačního systému rozumíme proces, který ověřuje jeho identitu v informačním systému a splňuje požadovanou míru záruky. Míra záruky be měla být definována v bezpečnostní politice. Autorizací subjektu informačního systému rozumíme přidělení určitých práv pro vykonávání určených aktivit v informačním systému. Důvěrností utajované informace je její vlastnost, která znemožňuje odhalení utajované informace neoprávněné osobě. To znamená, že k informaci má přístup pouze ten, kdo je oprávněn tento přístup mít, je pro tuto informaci autorizován. Fyzickou bezpečností informačního systému nebo komunikačního systému rozumíme souhrn opatření, která jsou použita k zajištění fyzické ochrany aktiv bfiezen 2008



díl 2, Legislativa

těchto systémů proti náhodným nebo úmyslným hrozbám. V podstatě je jedno, o jaké hrozby jde, fyzické zabezpečení chrání hmotné části systému, prostory apod. v reálném světě. Logické zabezpeční jsou celkem neúčinná, pokud je např. možné celý IS odnést. Integritou aktiva informačního systému nebo komunikačního systému rozumíme takovou vlastnost, která umožňuje provedení jeho změny určeným způsobem a pouze oprávněným subjektem informačního systému. Narušením integrity je např. pozměnění, smazání nebo podložení informace. Komunikační bezpečností se nazývají opatření použitá k zajištění ochrany utajovaných informací při přenosu definovaným komunikačním prostředím. Problém definice tohoto pojmu je, že v rámci jednoho systému, dokonce v rámci jednoho zařízení také existují komunikační kanály. Takže obvykle se dnes používá pojem ICT, který dohromady shrnuje jak informační stránku, tak stránku komunikační. Doba, kdy jsme si mysleli, že informace někde leží anebo se přenášejí, je už docela nenávratně pryč. Dokonce existují i informace, které jsou informacemi jenom díky pohybu. Počítačovou bezpečností rozumíme bezpečnost informačního systému zajišťovanou jeho technickými a programovými prostředky. Povinným řízením přístupu jsou prostředky pro omezení přístupu subjektů informačního systému k objektům informačního systému. Mohou být založené na porovnání stupně utajení utajované informace obsažené v objektu informačního systému a úrovně oprávnění subjektu informačního systému pro přístup k utajované informaci a zajišťující správný tok informací mezi objekty informačního systému s různými stupni utajení, nezávisle na volbě učiněné uživatelem. bfiezen 2008



Rizikem pro informační systém nebo komunikační systém rozumíme pravděpodobnost, že určitá hrozba využije zranitelných míst některého z těchto systémů. Právě to není pravda. Rizikem není pravděpodobnost (tedy veličina mezi jednou a nulou), ale hodnota, která je úměrná hodnotě aktiva, je úměrná hodnotě hrozby, je úměrná zranitelnosti a nepřímo úměrná protiopatřením. Je také úměrná pravděpodobnosti toho, že se hrozba prostřednictvím zranitelnosti uplatní na dané aktivum. To znamená, že to ani není hodnota, je to závisle proměnná veličina. Díky tomu můžeme riziko ovlivňovat změnou hodnot nezávisle proměnných (včetně pravděpodobnosti jevu). Rolí chápeme souhrn určených činností a potřebných autorizací pro subjekt informačního systému působící v informačním systému nebo komunikačním systému. Bezpečnostním správcem informačního systému nebo komunikačního systému je pracovník správy informačního systému nebo komunikačního systému v roli vytvořené pro řízení a kontrolu bezpečnosti informačního systému nebo komunikačního systému a provádění stanovených činností pro zajištění bezpečnosti informačního systému nebo komunikačního systému. Správcem informačního systému nebo komunikačního systému je pracovník správy informačního systému nebo komunikačního systému v roli vytvořené zejména pro zajištění požadované funkčnosti informačního systému nebo komunikačního systému a řízení provozu informačního systému nebo komunikačního systému. Uživatelem informačního systému nebo komunikačního systému je fyzická osoba v roli vytvořené zejména pro nakládání s utajovanými informacemi v inbfiezen 2008



díl 2, Legislativa

formačním systému nebo pro přenos utajovaných informací v komunikačním systému. Řízením přístupu rozumíme souhrn prostředků pro omezení přístupu subjektů informačního systému k objektům informačního systému zajišťující, že přístup k nim získá jen autorizovaný subjekt informačního systému. Volitelným řízením přístupu jsou prostředky omezení přístupu subjektů informačního systému k objektům informačního systému, založené na kontrole přístupových práv subjektu informačního systému k objektu informačního systému, přičemž uživatel, správce nebo bezpečnostní správce informačního systému vybavený určitými přístupovými právy pro přístup k objektu informačního systému může zvolit, na které další subjekty informačního systému přenese přístupová práva k tomuto objektu informačního systému, a může tak ovlivňovat tok informace mezi objekty informačního systému. Bezpečnostním standardem je utajovaný soubor pravidel, ve kterém se stanoví postupy, technická řešení, bezpečnostní parametry a organizační opatření pro zajištění nejmenší možné míry ochrany utajovaných informací. Bezpečnostním provozním modem je prostředí, ve kterém informační systém pracuje, charakterizované stupněm utajení zpracovávané utajované informace a úrovněmi oprávnění uživatelů. Žadatelem je orgán státu nebo podnikatel, který písemně požádal Národní bezpečnostní úřad (dále jen „Úřad“) o certifikaci informačního systému, o certifikaci stínicí komory, o schválení projektu bezpečnosti komunikačního systému nebo o ověření způsobilosti elektrických a elektronických zařízení, zabezpečené bfiezen 2008



oblasti nebo objektu k ochraně před únikem utajované informace kompromitujícím elektromagnetickým vyzařováním. Bezpečnosti informačního systému se dosahuje uplatněním souboru opatření z oblastí: • počítačové a komunikační bezpečnosti, • kryptografické ochrany, • ochrany proti úniku kompromitujícího elektromagnetického vyzařování, • administrativní bezpečnosti a organizačních opatření (Je otázkou, zda je sem možno zařadit otázky jako monitoring, řízení přístupu, audity a shodu, kterou požadují bezpečnostní normy ČSN ISO/IEC 27001 a ČSN ISO/IEC 17799. Členění norem je v tomto směru podrobnější a obsahuje více oblastí. Možná je ale možné je zastřešit pojmem administrativní a organizační bezpečnost, ale nejsem si tím zcela jist.), • personální bezpečnosti, • fyzické bezpečnosti informačního systému.

Požadavky na bezpečnost informačních systémů

Opatření přijatá v procesu certifikace informačního systému zajišťují, aby rizika, kterým je informační systém vystaven, byla snížena na přijatelnou úroveň. Problém tohoto textu spočívá v jeho statičnosti. Není zde zachycen žádný vývoj stavu a přitom se hrozby mění, zranitelnosti se mění apod. Takže je v podstatě certifikovaný systém v tomto pojetí na odpovídající úrovni zabezpečení jenom v intervalu nulové délky v okamžiku certifikace. Soubor opatření uvedený v odstavci 1 je specifikován v bezpečnostní dokumentaci informačního systému.

bfiezen 2008



díl 2, Legislativa

Bezpečnostní dokumentace

Obecně asi není problém zabezpečit nebo vytvořit dokumentaci specifikovanou v uvedené vyhlášce. Problémy jsou, jak bylo uvedeno výše, se souladem s ČSN ISO/IEC 27001. Dokumentace dle vyhlášky je statická, analýza rizik musí předcházet tvorbě bezpečnostní politiky a musí být prováděna neustále, protože se objevují nové hrozby, případně nová aktiva apod. Z vyhlášky jako by vyplývalo, že na počátku vytvoříte bezpečnostní politiku, uděláte analýzu rizik, navrhnete IS, vytvoříte ho, vytvoříte dokumentaci a máte po starostech. Tak tomu ovšem rozhodně není. Formulace obsahu bezpečnostní politiky je ve vyhlášce dostatečně vágní oproti obsahu definovanému normami a zavádí proti normě jednu další specifikaci, a to že se bezpečnostní politika definuje také na základě: • bezpečnostních požadavků bezpečnostní politiky nadřízeného orgánu, pokud byla zpracována. To je poměrně zajímavá myšlenka a vytváří něco jako hierarchii bezpečnostních politik (ta ovšem existuje i jinak, a to ve smyslu: • celková bezpečnostní politika, • bezpečnostní politika ISMS, • bezpečnostní politika informací, • systémová bezpečnostní politika IS). Není tedy úplně jasné, jaké jsou vztahy vyšších informačních politik „IS pro utajované skutečnosti“, což je systémová bezpečnostní politika jednoho IS, a např. „Celková bezpečnostní politika daného úřadu“ a „Celková bezpečnostní politika nadřízeného úřadu“. Minimální bezpečnostní požadavky v oblasti počítačové bezpečnosti jsou definovány asi celkem rozumně,

bfiezen 2008



i když vzhledem ke 132 požadavkům normy je uvedený počet požadavků skutečně minimální. Jako základní problém tady ovšem vidím vazby systému na okolí. Mimo požadavku • na ochranu důvěrnosti dat během přenosu mezi zdrojem a cílem ve vyhlášce nevidím žádné specifikace, které by se týkaly síťové bezpečnosti. Je to možno chápat tak, že IS pro zpracování utajovaných informací jsou systémy fyzicky izolované, a při takovém chápání bude litera vyhlášky celkem pochopitelná. Z druhé strany víme, že existují systémy komunikace v EU, jako je TESTA, které rozhodně nepočítají s tím, že jsou to izolované IS, a těmito systémy se přenášejí utajované skutečnosti minimálně důvěrného charakteru. Některé požadavky na sítě nebo spíše síťové přenosy jsou specifikovány v § 9, ale jen s ohledem na zabezpečení přenášené informace, ne s ohledem na bezpečnost síťových služeb. Zde bych opět konstatoval, že ISO normy jsou daleko komplexnější a preciznější. Z druhé strany je zajímavou specifikací vyhlášky zavedení pojmu různých bezpečnostních modů pro utajované informace různých úrovní. Obecně se k tomu většinou přistupuje tak, že se bezpečnost IS váže na nejcitlivější v něm uchovávané informace. Vyhláška stanovuje, že pro každý informační systém musí být již v počáteční fázi jeho vývoje zpracována bezpečnostní politika informačního systému. Bezpečnostní politiku informačního systému tvoří soubor norem, pravidel a postupů, který vymezuje způsob, jakým má být zajištěna důvěrnost, integrita a dostupnost utajované informace a odpovědnost uživatele, bezpečnostního správce a správce informačního systému za jeho činnost v informačním systému.

Bezpečnostní politika IS

bfiezen 2008



díl 2, Legislativa

Zásady bezpečnostní politiky jsou rozpracovány v projektové a provozní bezpečnostní dokumentaci informačního systému. Při formulaci bezpečnostní politiky informačního systému a posuzování bezpečnostních vlastností komponentů informačního systému lze využít též mezinárodních standardizovaných bezpečnostních specifikací. To zní celkem pěkně, ale postrádá to vazby na bezpečnostní politiky jiných systémů (pokud systémy nejsou izolované), na celkovou bezpečnostní politiku organizace a nadřízených orgánů, neurčuje to také vývoj, úpravy a modifikace bezpečnostní politiky. Bezpečnostní politika informačního systému se formuluje na základě: • minimálních bezpečnostních požadavků v oblasti počítačové bezpečnosti, • systémově závislých bezpečnostních požadavků, požadavků uživatele a výsledků analýzy rizik, • bezpečnostních požadavků bezpečnostní politiky nadřízeného orgánu, pokud byla zpracována. V řadě případů jdou pochopitelně požadavky uživatele přímo proti bezpečnostním požadavkům, protože každá bezpečnostní politika uživatele omezuje, nutí ho dělat některé věci, které by dělat nechtěl, a některé věci, které by dělat chtěl, mu neumožňuje vůbec. Takže spíše než uživatele bych sem umístil vlastníka informačního aktiva. Ten má skutečně zájem chránit aktivum, protože je za něj zodpovědný. Informační systém nakládající s utajovanými informacemi stupně utajení důvěrné nebo vyššího musí zajišťovat tyto bezpečnostní funkce:

bfiezen 2008



• jednoznačnou identifikaci a autentizaci uživatele, bezpečnostního správce nebo správce informačního systému, které musí předcházet všem jejich dalším aktivitám v informačním systému a musí zajistit ochranu důvěrnosti a integrity autentizační informace, • volitelné řízení přístupu k objektům informačního systému na základě rozlišování a správy přístupových práv uživatele, bezpečnostního správce nebo správce informačního systému a jejich identity nebo jejich členství ve skupině uživatelů, bezpečnostních správců nebo správců informačního systému, • nepřetržité zaznamenávání událostí, které mohou ovlivnit bezpečnost informačního systému do auditních záznamů a zabezpečení auditních záznamů před neautorizovaným přístupem, zejména modifikací nebo zničením; zaznamenává se zejména použití identifikačních a autentizačních informací, pokusy o zkoumání přístupových práv, vytváření nebo rušení objektu informačního systému nebo činnost autorizovaných subjektů informačního systému ovlivňující bezpečnost informačního systému, • možnost zkoumání auditních záznamů a stanovení odpovědnosti jednotlivého uživatele, bezpečnostního správce nebo správce informačního systému, • ošetření paměťových objektů před jejich dalším použitím, zejména před přidělením jinému subjektu informačního systému, které znemožní zjistit jejich předchozí obsah, • ochranu důvěrnosti dat během přenosu mezi zdrojem a cílem. K zajištění bezpečnostních funkcí uvedených výše, se v informačním systému realizují identifikovatelné bfiezen 2008



díl 2, Legislativa

a dokumentované programově technické mechanismy. Dokumentace popisující jejich provedení a operační nastavení musí umožnit jejich nezávislé prověření a zhodnocení jejich dostatečnosti. To je poměrně důležité, nestačí, aby mechanismy fungovaly, ale musejí být popsány tak, aby bylo možné jejich posouzení. V tomto směru od řady komerčních programů takové dokumenty nejsou. Tyto dokumenty musejí být dostupné prakticky do úrovně zdrojového kódu. Problém komerčních „uzavřených“ programů lze řešit jedině jejich nezávislou certifikací a tím, že daný produkt vlastní certifikát. Uživatel, který koupil pouze licenci, není schopen touto certifikací v podstatě projít. Existují tedy pouze dvě cesty. První je mít programy na míru se zdrojovým kódem a druhou je nákup již certifikovaných programů. Třetí cesta není. To samé se týká certifikace EAL dle normy ISO 15408 (viz dále v publikaci). Bezpečnostní mechanismy, jimiž se realizují bezpečnostní funkce uplatňující bezpečnostní politiku informačního systému, musí být v celém životním cyklu informačního systému chráněny před narušením nebo neautorizovanými změnami. V informačním systému, který nakládá s utajovanými informacemi nejvýše do stupně utajení vyhrazené, se musí přiměřeně využívat bezpečnostní funkce uvedené v odstavci 1 a dále opatření z oblasti personální, administrativní a fyzické bezpečnosti informačních systémů. Systémově závislé bezpečnostní požadavky

bfiezen 2008

V této kapitole vyhlášky, přesněji v § 11, je specifikován nějaký postup pro analýzu rizik. Je dobré, když se čtenář seznámí s metodikou CRAMM nebo jinými, které jsou uvedeny v této knize. Ve vyhlášce není definována požadovaná metodika a to považuji za pro-



blém, protože použitá metodika ovlivní výsledky analýzy rizik. Jinými slovy, pokud pro jeden systém provedeme analýzu rizik podle různých metodik, dojdeme k různým výsledkům. V případě systémů pro utajované skutečnosti to považuji za dost velký problém. I tento paragraf je statický a žádným způsobem nedefinuje potřebu provádět analýzu rizik opakovaně. Ta by měla být prováděna i ve změnových řízeních. Měla by být definována změna nebo její potřeba, měla by být provedena analýza rizik, jak se tato změna bezpečnostně projeví, na základě výsledků analýzy rizik by měla být změna odsouhlasena nebo by měly být specifikována protiopatření, která budou minimalizovat rizika, jež ze změny plynou, a teprve potom by měla být změna prováděna. Informační systémy se mohou provozovat pouze v některém z uvedených bezpečnostních provozních modů, jimiž jsou: • bezpečnostní provozní mod vyhrazený, • bezpečnostní provozní mod s nejvyšší úrovní, • bezpečnostní provozní mod víceúrovňový. Bezpečnostní provozní mod vyhrazený je takové prostředí, které umožňuje zpracování utajovaných informací různého stupně utajení, přičemž všichni uživatelé musí splňovat podmínky pro přístup k utajovaným informacím nejvyššího stupně utajení, které jsou v informačním systému obsaženy, a zároveň musí být oprávněni pracovat se všemi utajovanými informacemi, které jsou v informačním systému obsaženy. Bezpečnost informačního systému, který je provozován v bezpečnostním provozním modu vyhrazeném, bfiezen 2008



díl 2, Legislativa

se zabezpečuje splněním minimálních bezpečnostních požadavků v oblasti počítačové bezpečnosti uvedených v § 7 odst. 1 písm. a), c), d) a f) a dále opatřeními z oblasti administrativní a personální bezpečnosti a fyzické bezpečnosti informačních systémů. Úroveň použitých opatření z uvedených oblastí a opatření k zajištění důvěrnosti dat během přenosu musí odpovídat úrovni požadované pro nejvyšší stupeň utajení utajovaných informací, se kterými informační systém nakládá. Jde o celkem logické požadavky. Vždy, když jsou kombinovány různé požadavky na zabezpečení, se kvůli tzv. slabému článku vyžaduje ta nejvyšší míra zabezpečení dle nejcitlivější informace v systému. Bezpečnostní provozní mod s nejvyšší úrovní je takové prostředí, které umožňuje současné zpracování utajovaných informací klasifikovaných různými stupni utajení, ve kterém musí všichni uživatelé splňovat podmínky pro přístup k utajovaným informacím nejvyššího stupně utajení, jež jsou v informačním systému obsaženy, přičemž všichni uživatelé nemusí být oprávněni pracovat se všemi utajovanými informacemi. Bezpečnost informačního systému, který je provozován v bezpečnostním provozním modu s nejvyšší úrovní, se zabezpečuje splněním minimálních bezpečnostních požadavků v oblasti počítačové bezpečnosti uvedených v § 7 a dále opatřeními z oblasti administrativní a personální bezpečnosti a fyzické bezpečnosti informačních systémů. Úroveň použitých opatření z uvedených oblastí a opatření k zajištění důvěrnosti dat během přenosu musí odpovídat úrovni požadované pro nejvyšší stupeň utajení utajovaných informací, se kterými informační systém nakládá. bfiezen 2008



Bezpečnostní provozní mod víceúrovňový je takové prostředí, které umožňuje v jednom informačním systému současné zpracování utajovaných informací klasifikovaných různými stupni utajení, v němž nemusí všichni uživatelé splňovat podmínky přístupu k utajovaným informacím nejvyššího stupně utajení, které jsou v informačním systému obsaženy, přičemž všichni uživatelé nemusí být oprávněni pracovat se všemi utajovanými informacemi. Bezpečnost informačního systému, který je provozován v bezpečnostním provozním modu víceúrovňovém, se zabezpečuje opatřeními uvedenými v předchozím odstavci a bezpečnostní funkcí povinného řízení přístupu subjektů informačního systému k objektům informačního systému. Úroveň použitých opatření z oblasti administrativní a personální bezpečnosti, fyzické bezpečnosti informačních systémů a opatření k zajištění důvěrnosti dat během přenosu se stanoví na základě principu povinného řízení přístupu. Funkce povinného řízení přístupu subjektů informačního systému k objektům informačního systému musí zabezpečit: • trvalé spojení každého subjektu informačního systému a objektu informačního systému s bezpečnostním atributem, který pro subjekt informačního systému vyjadřuje úroveň oprávnění subjektu informačního systému a pro objekt informačního systému jeho stupeň utajení, • ochranu integrity bezpečnostního atributu, • výlučné oprávnění bezpečnostního správce informačního systému k provádění změn bezpečnostních atributů subjektů informačního systému i objektů informačního systému, bfiezen 2008



díl 2, Legislativa

• přidělení předem definovaných hodnot atributů pro nově vytvořené objekty informačního systému a zachování atributu při kopírování objektu informačního systému. Zde je otázkou to, co je uvedeno v normě, to znamená, zda sem patří také řízení přístupu ke službám, k síti apod. Při uplatňování bezpečnostní funkce povinného řízení přístupu subjektů informačního systému k objektům informačního systému musí být zabezpečeny tyto zásady: • subjekt informačního systému může číst informace v objektu informačního systému pouze tehdy, je-li úroveň jeho oprávnění stejná nebo vyšší než stupeň utajení objektu informačního systému, • subjekt informačního systému může zapisovat informaci do objektu informačního systému pouze tehdy, je-li úroveň jeho oprávnění stejná nebo nižší než stupeň utajení objektu informačního systému, • přístup subjektu informačního systému k informaci obsažené v objektu informačního systému je možný, jestliže jej povolují jak pravidla povinného řízení přístupu, tak pravidla volitelného řízení přístupu. Informační systém, který je provozován v bezpečnostním provozním modu víceúrovňovém, musí být schopen přesně označit stupněm utajení utajované informace vystupující z informačního systému a umožnit přiřadit stupeň utajení utajované informaci vstupující do informačního systému. U informačního systému, který je provozován v bezpečnostním provozním modu víceúrovňovém a nakládá s utajovanou informací stupně utajení přísně bfiezen 2008



tajné, musí být provedena identifikace a analýza skrytých kanálů. Skrytým kanálem se rozumí nepřípustná komunikace, jíž se utajovaná informace může dostat k neoprávněnému subjektu informačního systému. Otázek je zde podle mého názoru více - změna oprávnění nebo autorizace je změnou, která se netýká přímo utajovaných informací v systému, ale přesto má zásadní vliv na bezpečnost systému. Jinými slovy: Jakou úroveň utajení mají tyto informační objekty? Pravděpodobně totožnou s nejvíce utajenou informací v systému. To je ovšem jenom předpoklad autora. Mimo samotných informací v systémech obvykle existují meta-informace. Ty by také měly být nějak klasifikovány a měla by existovat pravidla práce s nimi. Při přenosu utajované informace komunikačním kanálem musí být zajištěna ochrana její důvěrnosti a integrity. Základním prostředkem pro zajištění důvěrnosti utajované informace při jejím přenosu komunikačním kanálem je kryptografická ochrana. Tady není úplně jasné, zda jde o ochranu informace nebo ochranu kanálu či obojího. Podle názoru autora měl zákonodárce na mysli ochranu informace. Základním prostředkem pro zajištění integrity utajované informace při jejím přenosu komunikačním kanálem je spolehlivá detekce záměrné i náhodné změny utajované informace. Pro lokální počítačovou síť v rámci zabezpečené oblasti nebo objektu může být postačující fyzická ochrana všech komponentů komunikačního kanálu. Podle této věty se jedná opět o ochranu kanálu. bfiezen 2008



díl 2, Legislativa

V závislosti na komunikačním prostředí se zajišťuje spolehlivá identifikace a autentizace komunikujících stran včetně ochrany identifikační a autentizační informace. Tato identifikace a autentizace předchází přenosu utajované informace. Připojení sítě, která je pod kontrolou správy informačního systému, k síti vnější, jež není pod kontrolou správy informačního systému, musí být zabezpečeno vhodným bezpečnostním rozhraním tak, aby bylo zamezeno průniku do informačního systému. Informační systém musí zajistit, aby byla požadovaná utajovaná informace přístupná ve stanoveném místě, v požadované formě a v určeném časovém rozmezí. V zájmu zajištění bezpečného provozu informačního systému se v bezpečnostní politice informačního systému stanoví komponenty, které musí být nahraditelné bez přerušení činnosti informačního systému. Dále se definuje rozsah požadované minimální funkčnosti informačního systému a uvedou se komponenty, při jejichž selhání musí být minimální funkčnost informačního systému zaručena. Plánování kapacit aktiv informačního systému a sledování kapacitních požadavků se provádí tak, aby nedocházelo k chybám způsobeným nedostatkem volných kapacit. Informační systém musí mít zpracován plán na obnovení jeho činnosti po havárii. Opětovné uvedení informačního systému do známého zabezpečeného stavu může být provedeno manuálně správcem informačního systému nebo automaticky. Všechny činnosti, které byly provedeny pro obnovení činnosti informačního systému, se zpravidla zaznamenávají do bfiezen 2008



auditních záznamů chráněných před neoprávněnou modifikací nebo zničením. Pro stanovení hrozeb, které ohrožují aktiva informačního systému, musí být provedena analýza rizik. V rámci provedení analýzy rizik se vymezují aktiva informačního systému a hrozby, které působí na jednotlivá aktiva informačního systému. Posuzují se zejména hrozby, které způsobují ztrátu funkčnosti nebo bezpečnosti informačního systému. Po stanovení hrozeb se vymezují zranitelná místa informačního systému tak, že se ke každé hrozbě najde zranitelné místo nebo místa, na která tato hrozba působí. Výsledkem provedené analýzy rizik je seznam hrozeb, které mohou ohrozit informační systém, s uvedením odpovídajícího rizika. Na základě provedené analýzy rizik se provádí výběr vhodných protiopatření. Obecně to zase není úplně pravda. Mimo definice protiopatření je možné postupovat i tak, že se odstraní hrozba nebo se odstraní zranitelnost. Protiopatření se pak mohou ukázat jako nepotřebná. Zajištění některých bezpečnostních funkcí informačního systému prostředky počítačové bezpečnosti lze v odůvodněných případech nahradit zvýšeným použitím prostředků personální nebo administrativní bezpečnosti, fyzické bezpečnosti informačních systémů anebo organizačních opatření. Při nahrazení prostředků počítačové bezpečnosti náhradním bezpečnostním mechanismem nebo skupinou mechanismů, které mají zajišťovat určitou bezpečnostní funkci, musí být plně realizována bezpečnostní funkce a zachována kvalita a úroveň bezpečnostní funkce. bfiezen 2008



díl 2, Legislativa

To znamená asi tolik, že pokud selhalo logické zabezpečení, lze IS odpojit od sítě a zpřístupnit jej v uzamčené místnosti, kde bude uživateli vydáván pouze klíč. Podle názoru autora je třeba mimo bezpečnostních funkcí zachovat i informační funkce systému. Pro mobilní a přenosné informační systémy se v analýze rizik posuzují i rizika, která jsou u mobilních informačních systémů spojená s dopravním prostředkem a u přenosných informačních systémů s prostředími, v nichž budou tyto informační systémy používány. Systém opatření použitých pro celkovou ochranu mobilních a přenosných informačních systémů, obsahujících komponenty umožňující uchování utajovaných informací, musí vedle ostatních požadavků stanovených touto vyhláškou zahrnovat pojetí tohoto zařízení jako nosiče utajované informace klasifikovaného nejvyšším stupněm utajení utajované informace, se kterou nakládá. Identifikace uživatelů

Rozhodně zajímavý je následující odstavec vyhlášky: Úřad může v rámci jeho certifikace umožnit, aby byl určitý identifikátor využíván několika uživateli, bezpečnostními správci nebo správci informačního systému. Předpokladem je zavedení postupu umožňujícího určit, který uživatel, bezpečnostní správce nebo správce informačního systému v dané době daný identifikátor využíval. Norma z jedné strany požaduje, aby měli různí uživatelé v systému různé ID. Utajované skutečnosti to nevyžadují. Pro zajímavost si ukažme, jak je možné dané opatření splnit.

bfiezen 2008



Příklad č. 1 IS je jeden osobní počítač se systémem MS DOS (nemá žádné uživatele), je uzamčen v místosti a klíč k této místnosti je vydáván dle seznamu u strážní služby, o vydání a vrácení klíče je proveden záznam ostrahou. Tento postup plně vyhovuje. Takto je možné systém zabezpečit. Systém by neměl mít mechaniku, USB a neměl by být v síti. Příklad č. 2 Uživatel se přihlásí k síti jako Jan Vonasek. Následně se ze sítě přihlásí k systému (který není jinak přístupný) jako user1. To je také v pořádku, protože existuje záznam o tom, že se uživatel Vonasek hlásil k systému jako user1. Problém, který tady může nastat, je, pokud se v jednu dobu může současně přihlásit více uživatelů user1. Pokud se přihlásili dva, a to Vonasek a Vocasek, pak se provedené operace uživatele user1 nedají identifikovat k jednomu nebo druhému uživateli. Je tedy třeba tuto identifikaci nějak zajistit nebo neumožnit nalogování dvakrát stejného uživatele. Všechny nosiče utajovaných informací používané v provozu informačního systému musí být evidovány. Možná není nejlepší nápad používat označení, která viditelně přesně specifikují obsah nosiče. Sice se v části vyhlášky požaduje označení kryptografického materiálu slovem KRYPTO, ale je pravděpodobně lepší se držet neutrálních označení typu A756B apod.

Požadavky na bezpečnost nosičů informací

Stupeň utajení těchto nosičů informací musí odpovídat bezpečnostnímu provoznímu modu a nejvyššímu stupni utajení utajovaných informací na nosiči uložených. bfiezen 2008



díl 2, Legislativa

Pokud je vyměnitelný nosič utajovaných informací určen výhradně pro použití v provozu určitého informačního systému, vyznačuje se spolu se stupněm utajení i název daného informačního systému a evidenční číslo nosiče informací. Nosiče utajovaných informací určené pro předání nebo výdej informací z informačního systému se označují stupněm utajení a dalšími údaji podle zvláštního právního předpisu. V tomto případě jde o moment, ke kterému se vztahuje poznámka uvedená výše. Nosiče utajovaných informací zabudované do zařízení a jiné komponenty umožňující uchování utajovaných informací musí být evidovány a označeny stupněm utajení nejpozději po jejich vyjmutí z daného zařízení. Zařízení se evidují v provozní bezpečnostní dokumentaci informačního systému. Stupeň utajení nosiče utajovaných informací stupně utajení přísně tajné nesmí být snížen vyjma případu, kdy je prokázáno, že na něm byly během jeho dosavadního života uloženy pouze utajované informace nižšího stupně utajení nebo informace neutajované. Stupeň utajení nosiče utajovaných informací stupně utajení tajné nebo důvěrné může být snížen stupeň utajení, pro vyhrazené může být zrušen pouze v případě, že vymazání utajovaných informací z něj bylo provedeno způsobem uvedeným v odstavci 6 nebo je prokázáno, že na něm byly během jeho dosavadního života uloženy pouze utajované informace nižšího stupně utajení nebo informace neutajované. Vymazání utajované informace z nosiče utajovaných informací, které umožňuje snížení jeho stupně utajení, musí být provedeno tak, aby získání zbytkové utajobfiezen 2008



vané informace nebylo možné. Postup je uveden v provozní bezpečnostní dokumentaci certifikovaného informačního systému. Ničení nosiče utajovaných informací informačního systému musí být provedeno tak, aby se znemožnilo z něj utajovanou informaci opětovně získat. Podle povahy nosiče se to dá provést buď jeho přepisem, nebo fyzickou likvidací. Je třeba upozornit na otázky nosičů ve smyslu např. práce servisních firem - ty by se neměly dostávat ani k vymazaným nosičům, protože v řadě případů je umožněna obnova vymazaných dat. Zde možná jen jedno doplnění. Je velmi rozumné, z důvodu monitorování činnosti správce, auditní záznamy systému ukládat jinam, a to tak, aby k nim neměl správce přístup k modifikaci. On k záznamu přístup mít musí, aby věděl, co se v systému dělo, ale kopie záznamu může být obecně ukládana jinam. Jinak musejí být i auditní záznamy odpovídajícím způsobem chráněny.

Bezpečnostní správa IS

Druhá hlava se pak týká certifikace IS. To je pravděpodobně oblast, kterou si bez problémů může definovat NBÚ dle svých potřeb. Uživatelem, bezpečnostním správcem nebo správcem informačního systému může být pouze osoba, která byla pro svou činnost v informačním systému autorizována postupem stanoveným v bezpečnostní dokumentaci informačního systému.

Přístupy a odpovědnosti v IS

Uživatel, bezpečnostní správce a správce informačního systému musí být držitelem osvědčení fyzické osoby stupně utajení, který se stanovuje v souladu s bezpečnostním provozním modem a v závislosti na bfiezen 2008



díl 2, Legislativa

nejvyšším stupni utajení utajovaných informací, se kterými může informační systém nakládat. Uživateli, bezpečnostnímu správci a správci informačního systému se na základě autorizace přiděluje v rámci informačního systému jedinečný identifikátor. To je trochu v rozporu s jinou pasáží dokumentu, kde je napsáno, že i více uživatelů může používat jeden identifikátor, pokud je jinými prostředky zajištěno určení toho, kdo tím uživatelem byl (viz příklad č. 1 a příklad č. 2). Podrobněji to specifikuje následující věta. Pro zajištění nepřetržité dostupnosti utajovaných informací a služeb informačního systému, který je ve stálém provozu, může v odůvodněných případech Úřad v rámci jeho certifikace umožnit, aby byl určitý identifikátor využíván několika uživateli, bezpečnostními správci nebo správci informačního systému. Předpokladem je zavedení postupu umožňujícího určit, který uživatel, bezpečnostní správce nebo správce informačního systému v dané době daný identifikátor využíval. Uživateli, bezpečnostnímu správci nebo správci informačního systému se uděluje oprávnění pouze v rozsahu nezbytném pro provádění jemu určených aktivit v informačním systému. Uživatel, bezpečnostní správce a správce informačního systému dodržuje předepsané postupy stanovené v bezpečnostní dokumentaci informačního systému, kterými je zajišťována bezpečnost informačního systému. Informace o činnosti subjektu informačního systému v informačním systému se zaznamenává tak, aby bylo možno identifikovat narušení bezpečnosti informačbfiezen 2008



ního systému nebo pokusy o ně. Záznamy o činnosti subjektu informačního systému v informačním systému se uchovávají pro zpětné zkoumání po dobu stanovenou v bezpečnostní politice informačního systému. Je potřeba dát velký pozor na to, co vlastně LOGy obsahují. Při změnách utajovaných informací by prostřednictvím LOGu mohly uniknout nějaké informace o utajovaných skutečnostech. LOGy je třeba chránit stejně bedlivě jako informace samotné. V informačním systému se zavádí vhodný systém bezpečnostní správy informačního systému. V rámci systému bezpečnostní správy informačního systému se zavádí role bezpečnostního správce informačního systému odděleně od jiných rolí ve správě informačního systému, pokud není dále stanoveno jinak. V případě potřeby zajistit stanovený rozsah činnosti pro zajištění bezpečnosti informačního systému se zavádějí další role v bezpečnostní správě informačního systému, zejména organizační struktura bezpečnostních správců, bezpečnostní správci jednotlivých lokalit, bezpečnostní správce pro oblast komunikační bezpečnosti nebo bezpečnostní správce bezpečnostního rozhraní informačních systémů. Role bezpečnostního správce informačního systému obsahuje výkon správy bezpečnosti informačního systému spočívající zejména v přidělování přístupových práv, správě autentizačních a autorizačních informací, správě konfigurace informačního systému, správě a vyhodnocování auditních záznamů, aktualizaci bezpečnostních směrnic, řešení bezpečnostních incidentů a krizových situací a vypracování zpráv o nich, zajištění školení uživatelů v oblasti bezpečnosti bfiezen 2008



díl 2, Legislativa

informačního systému, kontroly dodržování bezpečnostních provozních směrnic, jakož i v dalších činnostech stanovených v bezpečnostní dokumentaci informačního systému. V informačním systému malého rozsahu může Úřad v rámci jeho certifikace umožnit spojení role bezpečnostního správce a některých dalších rolí ve správě informačního systému. Problém těchto spojení je jednak kumulace pravomoci, jednak to, že by kontrolovaný a kontrolor neměli splynout do jednoho subjektu. Správce informačního systému mimo činnosti pro zajištění funkčnosti informačního systému a řízení jeho provozu plní stanovené činnosti pro zajištění počítačové a komunikační bezpečnosti informačního systému. Fyzická bezpečnost

Aktiva informačního systému musí být umístěna do prostoru, ve kterém je zajištěna fyzická ochrana informačního systému před neoprávněným přístupem, poškozením a ovlivněním. V rámci certifikace informačního systému se stanovuje, které komponenty informačního systému musí být umístěny v zabezpečené oblasti nebo v objektu, a požadovaná kategorie zabezpečené oblasti. Pochopitelně musí kategorie zabezpečené oblasti minimálně odpovídat kategorii utajovaných skutečností nebo být vyšší. Aktiva informačního systému musí být chráněna před bezpečnostními hrozbami a riziky vyplývajícími z prostředí, ve kterém jsou umístěna. Umístění aktiv informačního systému musí být provedeno tak, aby zamezovalo nepovolané osobě odezí-

bfiezen 2008



rat utajované informace nebo informace sloužící k identifikaci a autentizaci uživatele. Komunikační infrastruktura přenášející data nebo podporující služby informačního systému musí být chráněna před možností zachycení přenášených utajovaných informací a před poškozením. Podle našeho názoru by měla i ochrana komunikační infrastruktury odpovídat úrovni utajení přenášených informací. Kromě fyzického perimetru v komunikačních infrastrukturách existuje i perimetr logický. O něm se vyhláška nijak nezmiňuje. Mělo by se jednat o způsoby oddělení sítí, přepravujících klasifikované informace. Podobně jako existují zabezpečovací prvky na fyzické úrovni, jako jsou stěny, zámky mříže atd., existují podobné prvky i na úrovni komunikačních sítí. Bezpečnost informačního systému se musí před vydáním certifikátu ověřit nezávislým testováním. K provedení testování se nesmějí používat utajované informace.

Požadavky na zabezpečení IS

Jde o naprosto logické požadavky. Před testováním by měly být popsány požadované testy, měl by být vytvořen plán a harmonogram testů a měly by být definovány předpokládané výsledky testů. Výsledky testů musí prokázat, že jsou bezpečnostní funkce plně v souladu s bezpečnostní politikou informačního systému. Výsledky testů musí být zadokumentovány. Chyby nalezené během testování musí být odstraněny a jejich odstranění musí být ověřeno následnými testy. Ověření testů spočívá v porovnání očekávaných výsledků testů se skutečným stavem. O testu by se měl provést protokol. bfiezen 2008



díl 2, Legislativa

Postup instalace informačního systému musí být organizován tak, aby nebyla ohrožena jeho bezpečnost a oslabeny jeho bezpečnostní funkce. V bezpečnostní politice informačního systému se stanoví komponenty informačního systému, které musí být instalovány osobami splňujícími podmínky zákona pro přístup k utajovaným informacím nejvyššího stupně utajení, pro jehož nakládání je informační systém určen. Jedná se o komponenty zajišťující bezpečnostní funkce informačního systému nebo komponenty vyhodnocené jako zranitelné ve fázi instalace. Ostatní komponenty informačního systému mohou být instalovány osobami splňujícími podmínky zákona pro přístup k utajované informaci nižšího stupně utajení nebo osobami nesplňujícími podmínky pro přístup k utajované informaci, schválenými bezpečnostním ředitelem provozovatele informačního systému, avšak pod neustálým dohledem pracovníka správy informačního systému, prověřeného pro přístup k utajovaným informacím nejvyššího stupně utajení, pro jehož nakládání je informační systém určen. Bezpečnost provozovaného informačního systému musí být průběžně, s ohledem na skutečný stav informačního systému, prověřována a vyhodnocována. Dílčí změnu v informačním systému je možno provést až po vyhodnocení vlivu této změny na bezpečnost informačního systému a po jejím schválení Úřadem, nestanoví-li certifikační zpráva jinak. Tady je třeba znovu připomenout, že průběžné testování by se mělo provádět na základě analýzy rizik (což vyhláška nespecifikuje), v případě změny aktiv, změny hrozeb a změny zranitelností aktiv. Pravidelně pak minimálně jednou ročně.

bfiezen 2008



Integrita programového vybavení i utajovaných informací musí být chráněna před působením škodlivého kódu. To sice odpovídá naprosto přesně normě, ale IS pro utajované skutečnosti by měly být zajištěny tak, že takový problém by tady vůbec neměl nastávat. Z tohoto pohledu jsou dost problematické aktualizace systému, antivirových systémů apod. Před aktualizacemi by měl být provozní systém testován na testovacím systému (bez ostrých dat). Teprve po akceptačních a bezpečnostních testech by mělo být možné provádět aktualizace. V provozovaném informačním systému může být používáno pouze softwarové a hardwarové vybavení odpovídající bezpečnostní dokumentaci informačního systému schválené Úřadem a podmínkám certifikační zprávy k certifikátu informačního systému. V provozovaném informačním systému musí být prováděno zálohování programového vybavení a utajovaných informací. Záloha programového vybavení a utajovaných informací musí být uložena tak, aby nemohlo dojít k jejímu poškození nebo ke zničení při ohrožení informačního systému anebo zneužití pro narušení důvěrnosti utajovaných informací. Servisní činnost v provozovaném informačním systému se musí organizovat tak, aby nebyla ohrožena jeho bezpečnost. Z nosičů utajovaných informací informačního systému přístupných při servisní činnosti musí být vymazány utajované informace a dálková diagnostika musí být zabezpečena před zneužitím. Vymazání informací nemusí stačit, jak je uvedeno výše. Lépe by bylo to formulovat tak, že musejí být informace zabezpečeny... bfiezen 2008



díl 2, Legislativa

Údržbu komponent informačního systému zajišťujících bezpečnostní funkce informačního systému nebo přímo ovlivňujících bezpečnost informačního systému musí zajišťovat osoby splňující podmínky zákona pro přístup k utajovaným informacím nejvyššího stupně utajení, pro jehož nakládání je informační systém určen. Takové komponenty musí být stanoveny v provozní bezpečnostní dokumentaci informačního systému. Údržba ostatních komponentů informačního systému může být prováděna osobami splňujícími podmínky zákona pro nižší stupeň utajení nebo osobami schválenými bezpečnostním ředitelem provozovatele informačního systému, avšak pod neustálým dohledem pracovníka správy informačního systému prověřeného pro přístup k utajovaným informacím nejvyššího stupně utajení, pro jehož nakládání je informační systém určen. V provozovaném informačním systému musí být v termínech stanovených v bezpečnostní dokumentaci informačního systému a při vzniku krizové situace neprodleně prováděno vyhodnocení auditních záznamů. Auditní záznamy musí být archivovány po dobu stanovenou v bezpečnostní dokumentaci informačního systému a chráněny před modifikací nebo zničením. Auditní záznamy by se rozhodně měly vyhodnocovat pravidelně. Interval může být různý, a to od jednoho dne do jednoho měsíce. Poměrně dobrým způsobem je mít „hlídací“ mechanismus a na anomálie v LOGu automaticky upozorňovat např. mailem nebo prostřednictvím SMS. Faktem ovšem z druhé strany je, že se takto může otevřít nežádoucí komunikační kanál. Pro řešení krizové situace provozovaného informačního systému musí být v bezpečnostní dokumentaci bfiezen 2008



informačního systému stanovena opatření zaměřená na jeho uvedení do stavu odpovídajícího bezpečnostní dokumentaci informačního systému. V bezpečnostní dokumentaci informačního systému musí být uvedeny základní typy krizových situací, které mohou podle analýzy rizik nastat, a pro každou z nich specifikována činnost následující bezprostředně po vzniku krizové situace zaměřená na minimalizaci škod a zajištění informací potřebných pro zjištění příčin a mechanismu vzniku krizové situace a po vzniku krizové situace zaměřená na likvidaci následků krizové situace včetně vymezení osobní odpovědnosti za jednotlivé úkoly. Pro případ havárie softwarového nebo hardwarového vybavení musí být uveden v bezpečnostní dokumentaci informačního systému způsob zálohování informačního systému a uložení záložních médií, zajišťování servisní činnosti, zajištění nouzového provozu informačního systému s vyjmenováním minimálních funkcí, které musí být zachovány, a obnovy funkčnosti a uvedení informačního systému do známého bezpečného stavu. Před trvalým ukončením provozu informačního systému musí být provedeno vyjmutí nebo zničení nosičů utajovaných informací, se kterými informační systém nakládal. Tady se jedná o klasické havarijní plány, plány obnovy a plány kontinuity, tedy nic, co by nějak výrazně doplňovalo normy. Z hlediska norem je třeba podotknout, že vyžadují aktualizaci a pravidelné testování těchto plánů. V této části vyhlášky je definován postup a požadavky na certifikaci IS. Je jasné, že toto normy nijak zvlášť nespecifikují, pokud pomineme požadavky na audit IS, a certifikace vlastně auditem je.

Certifikace IS

bfiezen 2008



díl 2, Legislativa

Žádost o certifikaci informačního systému obsahuje: • identifikaci žadatele, • obchodní firmu, popřípadě název, sídlo a identifikační číslo, je-li žadatelem právnická osoba, • obchodní firmu, popřípadě jméno a příjmení, případně odlišující dodatek, trvalý pobyt a místo podnikání, liší-li se od trvalého pobytu, datum narození a identifikační číslo, je-li žadatelem fyzická osoba, která je podnikatelem, nebo • název, sídlo, identifikační číslo a jméno a příjmení odpovědné osoby, jde-li o orgán státu, • jméno a příjmení kontaktního pracovníka žadatele a kontaktní spojení, • stručný popis účelu a rozsahu informačního systému, • stupeň utajení utajovaných informací, se kterými bude informační systém nakládat, • stanovení bezpečnostního provozního modu informačního systému, • identifikaci dodavatele informačního systému nebo jeho komponent ovlivňujících bezpečnost informačního systému podle písmene a) bodu 1 nebo 2 a stupeň utajení, pro který bylo vydáno dodavateli osvědčení podnikatele. K provedení certifikace informačního systému žadatel předloží následující podklady: • bezpečnostní politiku informačního systému a výsledky analýzy rizik, • návrh bezpečnosti informačního systému, • sadu testů bezpečnosti informačního systému, jejich popis a popis výsledků testování, • bezpečnostní provozní dokumentaci informačního systému, bfiezen 2008



• popis bezpečnosti vývojového prostředí, • další podklady nezbytné k certifikaci informačního systému, vyplývající ze specifikace informačního systému. Žádá-li o provedení certifikace informačního systému zpravodajská služba, uvede v žádosti podle odstavce 1 a v podkladech podle odstavce 2 pouze nezbytné údaje, které umožní Úřadu provedení certifikace informačního systému. Jako podklad pro certifikaci informačního systému může žadatel předložit také výsledky dílčích úloh v hodnocení některých komponent informačního systému a v hodnocení jednotlivých oblastí bezpečnosti uvedených v § 3 odst. 1, provedených orgánem státu nebo podnikatelem na základě smlouvy o zajištění činnosti uzavřené s Úřadem. V rámci certifikace informačního systému se posuzuje vhodnost souboru opatření navržených pro dosažení bezpečnosti informačního systému podle § 3, správnost a úplnost bezpečnostní dokumentace informačního systému a správnost realizace navrženého souboru opatření v daném informačním systému. Certifikace informačního systému se provádí posouzením podkladů předložených žadatelem a provedením dodatečných testů. Dodatečné testy provádí Úřad v provozním prostředí hodnoceného informačního systému za spoluúčasti žadatele a v případě potřeby dodavatele. Zde jde o dostatečně nebezpečnou záležitost. V takovém případě by systém neměl obsahovat utajované skutečnosti a v tom případě by už zase nebyl provozní. Tento požadavek pravděpodobně odporuje normě. bfiezen 2008



díl 2, Legislativa

Testy se mají provádět v testovacím prostředí. Toto prostředí může být identické s provozním, lišit se může daty. Certifikaci informačního systému lze provádět průběžně po ukončení jednotlivých fází výstavby informačního systému nebo až po jeho celkovém dokončení. Dojde-li v informačním systému, který byl certifikován a schválen do provozu, ke změnám uvedeným v § 25 písm. d), provádí se doplňující hodnocení informačního systému v rozsahu potřebném k posouzení provedených změn. V případě provádění doplňujícího hodnocení informačního systému se postupuje obdobně jako při provádění certifikace informačního systému. Je otázkou, zda je aktualizace systému a aktualizace např. zabezpečení proti škodlivému kódu takovou změnou, která vyžaduje recertifikaci systému. Z jedné strany tomu tak být může, ale pak by se recertifikace musely provádět skoro denně. Pokud tomu tak není, mohou nastat problémy, neboť nastávají při aktualizacích např. OS dost často. Certifikační zpráva obsahuje: • orientační popis informačního systému, • podmínky provozu informačního systému, • identifikaci případných přijatelných rizik souvisejících s provozem informačního systému, • typy změn informačního systému, které vyžadují provedení doplňujícího hodnocení informačního systému.

bfiezen 2008



Žádost o opakovanou certifikaci informačního systému obsahuje: • identifikaci žadatele podle § 24 odst. 1 písm. a), • úplnou identifikaci vydaného certifikátu informačního systému obsahující jeho držitele, evidenční číslo, datum vydání a dobu platnosti, • identifikaci informačního systému obsahující jeho název, označení verze a stupeň utajení utajovaných informací, pro který byla schválena jeho způsobilost, • jméno a příjmení kontaktního pracovníka žadatele a kontaktní spojení. Pokud žadatel doloží, že ke dni ukončení platnosti dosavadního certifikátu bude informační systém provozován v rámci podmínek stanovených v certifikační zprávě, a žadatel ani Úřad neidentifikovali nová rizika pro informační systém, vydá Úřad certifikát na základě existující bezpečnostní dokumentace informačního systému a provedené kontroly bezpečnosti informačního systému. Pokud ke dni ukončení platnosti dosavadního certifikátu provozovatel navrhuje změnu bezpečnostní politiky informačního systému, případně byla identifikována nová rizika pro informační systém, vyžádá si Úřad doplnění nebo úpravu odpovídajících částí dokumentace a provede doplňující hodnocení informačního systému v rozsahu stanoveném Úřadem. Pokud informační systém vyhoví stanoveným bezpečnostním podmínkám, Úřad vydá certifikát. V případě, že jsou navrhované změny bezpečnostní politiky informačního systému podstatné pro celkovou bezpečnost informačního systému, bude Úřad postupovat jako v případě nové certifikace. bfiezen 2008



díl 2, Legislativa

Bezpečnost komunikačního systému

Je docela problematické oddělit IS a komunikační systém. Tedy pokud není IS tvořen jedním PC. Proto si nejsem jistý, že je toto rozdělení užitečné. Vyhláška je ale vyhláška a budeme muset vše probrat v jejím kontextu. Bezpečnostní politika komunikačního systému vymezuje způsob, jakým má být zajištěna důvěrnost, integrita a dostupnost utajované informace a odpovědnost uživatele za jeho činnost v daném komunikačním systému. To se neliší od požadavku na bezpečnostní politiku IS uvedenou výše se záměnou odpovídajících slov. Bezpečnostní politika komunikačního systému obsahuje souhrn zásad a požadavků v oblasti personální, administrativní, fyzické a komunikační bezpečnosti, stanovených v závislosti na stupni utajení přenášených utajovaných informací, na výsledcích analýzy rizik komunikačního systému a na zásadách a podmínkách provozování kryptografického prostředku uvedených v certifikační zprávě kryptografického prostředku. Organizační opatření a provozní postupy provozování komunikačního systému obsahují: • způsob, jakým bude zajištěn výkon kryptografické ochrany v souladu s certifikační zprávou kryptografického prostředku, • požadovanou strukturu správy komunikačního systému, • organizační opatření a zásady provozních postupů, jejichž naplňováním bude zajištěna ochrana utajovaných informací přenášených v komunikačním systému.

bfiezen 2008



Na základě bezpečnostní politiky komunikačního systému, organizačních opatření a provozních postupů provozování komunikačního systému se zpracují odděleně provozní směrnice pro bezpečnostní správu komunikačního systému a provozní směrnice uživatele komunikačního systému. Tyto směrnice musí obsahovat konkrétní provozní postupy pro zajištění bezpečnostní správy komunikačního systému a výkonu kryptografické ochrany a musí stanovit odpovědnost pracovníků správy komunikačního systému, pracovníků kryptografické ochrany a uživatelů k zajištění ochrany utajovaných informací. Žádost o schválení projektu bezpečnosti komunikačního systému předkládá orgán státu nebo podnikatel, který bude komunikační systém provozovat. Žádost podle odstavce 1 obsahuje: - identifikaci žadatele podle § 24 odst. 1 písm. a), - jméno a příjmení kontaktního pracovníka a kontaktní spojení, - stupeň a číslo osvědčení podnikatele pro seznamování se s utajovanými informacemi, je-li žadatelem podnikatel, - název a stručný popis účelu a rozsahu komunikačního systému včetně stanovení jeho běžných provozních funkcí, - stupeň utajení utajovaných informací, se kterými bude komunikační systém nakládat, - identifikaci dodavatele jednotlivých komponent komunikačního systému majících vliv na bezpečnost komunikačního systému, podle § 24 odst. 1 písm. a) bodu 1 nebo 2, a stupeň utajení, pro který bylo vydáno dodavateli osvědčení podnikatele.

bfiezen 2008



díl 2, Legislativa

K žádosti podle odstavce 2 se v průběhu schvalování přikládají jednotlivé části projektu bezpečnosti komunikačního systému podle § 27 odst. 2. Žádá-li o schválení projektu bezpečnosti komunikačního systému zpravodajská služba, uvede v žádosti podle odstavce 2 a v podkladech podle odstavce 3 pouze nezbytné údaje, které umožní Úřadu schválení projektu bezpečnosti komunikačního systému. V rámci schvalování projektu bezpečnosti komunikačního systému se posuzuje vhodnost souhrnu zásad a požadavků v oblasti personální, administrativní, fyzické a komunikační bezpečnosti podle § 27 odst. 2 a organizačních opatření a provozních postupů provozování komunikačního systému podle § 27 odst. 3, navržených pro dosažení bezpečnosti komunikačního systému, a správnost a úplnost provozních směrnic podle § 27 odst. 4. Schvalování projektu bezpečnosti komunikačního systému se provádí posouzením podkladů předložených žadatelem a provedením kontroly realizace projektu bezpečnosti komunikačního systému Úřadem v provozním prostředí schvalovaného komunikačního systému. Opět jsme u stejného problému testování v provozním prostředí. Z jedné strany je to pochopitelný požadavek, z druhé strany může ohrozit systém a data v něm uložená. Schvalování projektu bezpečnosti komunikačního systému lze provádět průběžně po ukončení jednotlivých fází výstavby komunikačního systému, nebo až po jeho celkovém dokončení, podle požadavků žadatele.

bfiezen 2008



Jestliže se při schvalování projektu bezpečnosti komunikačního systému zjistí způsobilost hodnoceného komunikačního systému pro nakládání s utajovanými informacemi, bude žadateli písemně zasláno schválení projektu bezpečnosti komunikačního systému. Dojde-li v komunikačním systému k závažným změnám, které mají vliv na celkovou bezpečnost tohoto komunikačního systému, provádí se doplňující hodnocení komunikačního systému v rozsahu potřebném k posouzení provedených změn. V případě provádění doplňujícího hodnocení komunikačního systému se postupuje obdobně jako při schvalování projektu bezpečnosti komunikačního systému. Jednou z oblastí možného úniku dat je únik prostřednictvím záření nebo elektromagnetických přenosů a následně odposlech takového jevu. Z tohoto pohledu se vyžaduje certifikace způsobilosti daných zařízení, případně certifikace komory, ve které budou tato zařízení umístěna.

Elektromagnetické vyzařování

Žádost o ověření způsobilosti elektrických a elektronických zařízení, zabezpečené oblasti nebo objektu obsahuje: - identifikaci žadatele podle § 24 odst. 1 písm. a), - jméno a příjmení kontaktního pracovníka a kontaktní spojení, - identifikaci elektrického nebo elektronického zařízení, zabezpečené oblasti nebo objektu, jehož způsobilost má být ověřena, - stupeň utajení utajovaných informací, které budou v elektrickém nebo elektronickém zařízení, zabezpečené oblasti nebo objektu zpracovávány.

bfiezen 2008



díl 2, Legislativa

K žádosti může být přiložena zpráva o výsledku hodnocení způsobilosti elektrického nebo elektronického zařízení, zabezpečené oblasti nebo objektu k ochraně před únikem utajované informace kompromitujícím elektromagnetickým vyzařováním, provedeného orgánem státu nebo podnikatelem na základě smlouvy o zajištění činnosti uzavřené s Úřadem. Podmínky hodnocení a používání elektrických a elektronických zařízení, zabezpečené oblasti nebo objektu k ochraně utajovaných informací před únikem utajované informace kompromitujícím elektromagnetickým vyzařováním stanoví Úřad v bezpečnostních standardech. Hodnocení způsobilosti elektrických a elektronických zařízení z hlediska úniku utajované informace kompromitujícím elektromagnetickým vyzařováním se provádí měřením úrovní vyzařovaného elektromagnetického pole a porovnáním naměřených hodnot s bezpečnostními standardy. Hodnocení způsobilosti zabezpečené oblasti nebo objektu k ochraně před únikem utajované informace kompromitujícím elektromagnetickým vyzařováním se provádí měřením jeho útlumových vlastností a porovnáním naměřených hodnot s bezpečnostními standardy. Jsou-li v průběhu hodnocení způsobilosti elektrických a elektronických zařízení, zabezpečené oblasti nebo objektu zjištěny nedostatky, vyzve Úřad žadatele k jejich odstranění. O průběhu a výsledcích hodnocení způsobilosti elektrických a elektronických zařízení, zabezpečené oblasti nebo objektu k ochraně před únikem utajované informace kompromitujícím elektromagnetickým vyzařováním vypracuje Úřad zprávu a výsledek písemně oznámí žadateli. bfiezen 2008



Může se stát, že zařízení vyzařují nepřípustné hodnoty, ale neexistují jiná, která by splnila podmínky. V takovém případě je možnou cestou použít stínění, a to jak zařízení, tak např. kabeláže. K ochraně utajovaných informací před jejich únikem kompromitujícím elektromagnetickým vyzařováním se používá stínicí komora certifikovaná Úřadem. Podmínky hodnocení stínicí komory k ochraně utajovaných informací stanoví Úřad v bezpečnostních standardech. Žádost o certifikaci stínicí komory obsahuje: - identifikaci žadatele podle § 24 odst. 1 písm. a), - jméno a příjmení kontaktního pracovníka žadatele a kontaktní spojení, - stupeň a číslo osvědčení podnikatele pro seznamování se s utajovanými informacemi, je-li žadatelem podnikatel, - označení a umístění stínicí komory, - identifikaci výrobce stínicí komory podle § 24 odst. 1 písm. a) bodu 1 nebo 2. K žádosti může být přiložena zpráva o výsledku hodnocení stínicí komory, provedeného orgánem státu nebo podnikatelem na základě smlouvy o zajištění činnosti uzavřené s Úřadem. Ke dni podání žádosti o certifikaci stínicí komory nesmí být její výsledek hodnocení uvedený v přiložené zprávě starší 6 měsíců. Certifikace stínicí komory se provádí měřením útlumových vlastností stínicí komory a jejich porovnáním s bezpečnostními standardy. Měření stínicí komory se provádí za spoluúčasti žadatele a v případě potřeby i dodavatele stínicí komory.

bfiezen 2008



díl 2, Legislativa

O průběhu a dílčích výsledcích certifikace stínicí komory vypracuje Úřad zprávu. Certifikační zpráva stínicí komory obsahuje: • orientační popis stínicí komory, jejího umístění a účelu jejího používání, • podmínky provozu stínicí komory, • typy změn, které vyžadují provedení opakované certifikace stínicí komory. Žádost o opakovanou certifikaci stínicí komory obsahuje: - identifikaci žadatele podle § 24 odst. 1 písm. a), - úplnou identifikaci vydaného certifikátu stínicí komory obsahující jeho držitele, evidenční číslo, datum vydání a dobu platnosti, - identifikaci certifikované stínicí komory obsahující její název, typové označení, variantní provedení a umístění, - jméno a příjmení kontaktního pracovníka žadatele a kontaktní spojení. K žádosti může být přiložena zpráva o výsledku hodnocení stínicí komory, provedeného orgánem státu nebo podnikatelem na základě smlouvy o zajištění činnosti uzavřené s Úřadem podle § 33 odst. 2. Pokud žadatel doloží, že ke dni ukončení platnosti dosavadního certifikátu stínicí komory nedochází ke změnám podmínek podmiňujících platnost vydaného certifikátu, Úřad vydá certifikát. Pokud ke dni ukončení platnosti certifikátu stínicí komory žadatel nemůže doložit skutečnosti uvedené v odstavci 3, Úřad provede doplňující hodnocení stínicí komory, a pokud ověří způsobilost stínicí komory k ochraně utajovaných informací, vydá certifikát. V případě podstatných změn podmínek provozu stínicí komory se postupuje jako při nové certifikaci. bfiezen 2008



Toto je oblast, která dopňuje oblast IS a komunikační prostředí. Ve vyhlášce jsou zmíněny především kopírovací, zobrazovací zařízení nebo psací stroje. Opět bych zdůraznil, že výše uvedené požadavky je možné využít i pro definici zabezpečení informací, které jsou citlivé, ale nejsou ve smyslu zákona utajované. Čtenáři, kterých se to přímo netýká, mohou tyto pasáže využít ve vlastní bezpečnostní politice nebo svých interních směrnicích.

Bezpečnost periferních zařízení

Bezpečného provozování kopírovacího zařízení, zobrazovacího zařízení nebo psacího stroje s pamětí, které nejsou součástí informačního nebo komunikačního systému, se v závislosti na stupni utajení utajovaných informací dosahuje uplatněním souboru opatření z oblasti: - personální bezpečnosti, - fyzické bezpečnosti, - administrativní bezpečnosti a organizačních opatření, - ochrany utajované informace před jejím únikem kompromitujícím elektromagnetickým vyzařováním. Kopírovací zařízení, zobrazovací zařízení a psací stroj s pamětí, které se používají pro zpracování utajovaných informací stupně utajení důvěrné nebo vyššího, musí být zabezpečeny proti úniku utajované informace kompromitujícím elektromagnetickým vyzařováním. Při ověřování způsobilosti kopírovacího zařízení, zobrazovacího zařízení nebo psacího stroje s pamětí k ochraně utajované informace před jejím únikem kompromitujícím elektromagnetickým vyzařováním se postupuje podle § 31.

bfiezen 2008



díl 2, Legislativa

Kopírovací zařízení, zobrazovací zařízení a psací stroj s pamětí musí být umístěny do prostoru, ve kterém je zajištěna jejich fyzická ochrana před neoprávněným přístupem, poškozením a ovlivněním. Tento prostor je vymezen definovanými prvky ochrany s vhodnými kontrolami vstupu a bezpečnostními bariérami. Podle charakteru zařízení se na základě analýzy rizik stanovuje, zda musí být umístěno v zabezpečené oblasti nebo v objektu, a požadovaná kategorie zabezpečené oblasti. Analýza rizik stanoví pro zranitelná místa zařízení pravděpodobnost realizace možných hrozeb a odhad jejich následků. Analýza rizik může být také použita pro modelování rizika a jeho snižování prostřednictvím různých protiopatření, takto může být lépe posouzeno, která protiopatření jsou vhodná a dobrá např. i z hlediska jejich účinnosti a ceny. Kopírovací zařízení, zobrazovací zařízení a psací stroje s pamětí musí být fyzicky chráněny před bezpečnostními hrozbami a riziky prostředí. Umístění kopírovacího zařízení, zobrazovacího zařízení a psacího stroje s pamětí musí být provedeno tak, aby zamezovalo nepovolané osobě odezírat utajované informace. S kopírovacím zařízením a zobrazovacím zařízením obsahujícím zabudované nosiče utajovaných informací nebo jiné komponenty umožňující uchování utajovaných informací a s psacím strojem s pamětí musí být spojena informace o stupni utajení informací uchovávaných na těchto nosičích, komponentách a pamětech. Tato informace může být vyjádřena na štítku připevněném k zařízení, stanovena v bezpečnostní provozní směrnici nebo být vyjádřena jiným vhodným bfiezen 2008



způsobem. Nosiče utajovaných informací zabudované do zařízení a jiné komponenty umožňující uchování utajovaných informací musí být evidovány a označeny stupněm utajení nejpozději po jejich vyjmutí z daného zařízení. Servisní činnost pro kopírovací zařízení, zobrazovací zařízení a psací stroje s pamětí se musí organizovat tak, aby nebyla ohrožena bezpečnost utajovaných informací. Z nosičů utajovaných informací a pamětí přístupných při servisní činnosti musí být vymazány utajované informace. Prosté vymazání informace ovšem nemusí stačit. Jednou ze zajímavých věcí je i používání kopírovacího papíru při tisku více kopií na psacím stroji.

bfiezen 2008


bfiezen 2008




3/2.2.2 VYHLÁŠKA Č. 524/2005 SB., O ZAJIŠTĚNÍ KRYPTOGRAFICKÉ OCHRANY UTAJOVANÝCH INFORMACÍ

Tato vyhláška se také týká zákona č. 412/2005 Sb. Specifikuje podrobnosti způsobu vyznačování náležitostí na utajované informaci z oblasti kryptografické ochrany a administrativní pomůcky kryptografické ochrany a další podrobnosti k zajištění kryptografické ochrany utajovaných informací. Touto oblastí se zabývá částečně i bezpečnostní norma ČSN ISO/IEC 17799. Požadavky normy lze obecně shrnout do několika bodů: a) generování klíčů pro různé kryptografické metody a aplikace, b) generování a získávání certifikátů veřejných klíčů, c) distribuce klíčů určeným uživatelům včetně způsobu jejich aktivace po předání, d) ukládání klíčů včetně toho, jak autorizovaní uživatelé získávají ke klíčům přístup,

bfiezen 2008



díl 2, Legislativa

e) změny nebo aktualizace klíčů včetně pravidel určujících, kdy by měly být klíče měněny a jakým způsobem, f) zacházení s prozrazenými klíči, g) revokace klíčů včetně toho, jak mají být klíče staženy z oběhu nebo deaktivovány, h) obnovení ztracených nebo poškozených klíčů jako součást řízení kontinuity činností organizace, i) archivace klíčů, j) ničení klíčů, k) zaznamenávání a audit aktivit majících souvislost se správou klíčů. Vymezení základních pojmů vyhlášky

Kryptografickou zásilkou se rozumí kryptografický materiál vybavený k přepravě, přepravovaný nebo doručený adresátovi na místo určení do ukončení její přepravy a jejího otevření. Přepravou kryptografické zásilky je její dopravení mimo objekt orgánu státu, právnické osoby nebo podnikající fyzické osoby za účelem jejího doručení adresátovi. Přenášením kryptografického materiálu je jeho přepravování mimo objekt orgánu státu, právnické osoby nebo podnikající fyzické osoby, jehož cílem není jeho doručení. Originálem kryptografické písemnosti je výtisk kryptografické písemnosti doručené nebo výtisk kryptografické písemnosti vzniklé, uvedený v rozdělovníku. Opisem nebo kopií je vyhotovení určitého počtu výtisků z originálu kryptografické písemnosti nebo jeho převedení do elektronické podoby. Výpisem je vyhotovení písemného nebo digitálního záznamu z originálu kryptografické písemnosti.

bfiezen 2008



Zničením kryptografického materiálu je uvedení kryptografického materiálu do takového fyzického stavu, kdy je znemožněna jeho rekonstrukce a identifikace utajované informace, kterou obsahoval. Pracovníci, kteří mají na starosti kryptografickou ochranu, se musejí podrobit speciální zkoušce. Definici požadavků ke zkoušce popisuje vyhláška a celkem nejsou nijak problematické. Jedná se o zkoušku ze zvláštní odborné způsobilosti. Přihláška ke zkoušce zvláštní odborné způsobilosti pracovníka kryptografické ochrany (dále jen „odborná zkouška“) obsahuje: • identifikaci žadatele, • obchodní firmu, popřípadě název, sídlo a identifikační číslo, je-li žadatelem právnická osoba, • obchodní firmu, popřípadě jméno a příjmení, případně odlišující dodatek, trvalý pobyt a místo podnikání, liší-li se od trvalého pobytu, datum narození a identifikační číslo, je-li žadatelem fyzická osoba, která je podnikatelem, nebo • název, sídlo, identifikační číslo a jméno a příjmení odpovědné osoby, jde-li o orgán státu, • jméno, příjmení a datum narození pracovníka přihlášeného k odborné zkoušce, • kopii platného osvědčení fyzické osoby, • rozsah vykonávaných kryptografických činností, pro které má být osvědčení o zvláštní odborné způsobilosti pracovníka kryptografické ochrany vydáno, • místo, datum, otisk razítka, jméno, příjmení a podpis odpovědné osoby orgánu státu, právnické osoby nebo podnikající fyzické osoby.

bfiezen 2008



díl 2, Legislativa

Zkušební komise je složena ze zástupců Národního bezpečnostního úřadu (dále jen „Úřad“) nebo pověřeného orgánu státu, který zvláštní odbornou způsobilost ověřuje. Člen zkušební komise je pracovníkem kryptografické ochrany, který je: • držitelem platného osvědčení fyzické osoby, nejméně pro stupeň utajení, pro který je odborná zkouška vykonávána, • oprávněn provádět přípravu pracovníka kryptografické ochrany (§ 5), • pracovníkem s dobou praxe v oblasti kryptografické ochrany nejméně 3 roky. Zkušební komise rozhoduje většinou hlasů. Obsah přípravy pracovníka přihlášeného k odborné zkoušce a způsob provádění a organizování odborné zkoušky schvaluje Úřad. Výsledek odborné zkoušky se hodnotí stupněm „prospěl“ nebo „neprospěl“. V případě, že pracovník přihlášený k odborné zkoušce neprospěl, seznámí předseda zkušební komise žadatele s důvody tohoto hodnocení. O průběhu odborné přípravy a vykonání odborné zkoušky se vede protokol. Protokol o provedení odborné zkoušky podepisují všichni členové zkušební komise. Skartační lhůta protokolů o provedení odborné zkoušky začíná běžet uplynutím doby platnosti osvědčení o zvláštní odborné způsobilosti.

bfiezen 2008



Minimální požadavky dle vyhlášky jsou následující: • Bezpečnostní správou kryptografické ochrany jsou organizační opatření z oblasti personální, administrativní a fyzické bezpečnosti, bezpečnosti informačních nebo komunikačních systémů a kryptografické ochrany, při provádění kryptografické ochrany v orgánu státu, u právnické osoby nebo podnikající fyzické osoby. • Prováděním bezpečnostní správy kryptografické ochrany se zajišťuje splnění minimálních bezpečnostních požadavků stanovujících nejnižší možnou úroveň bezpečného provozování kryptografických prostředků. • Bezpečnostní správu kryptografické ochrany vykonávají: • bezpečnostní správce kryptografické ochrany, který odpovídá za komplexní zajištění a bezpečné provádění kryptografické ochrany a k tomu zpracovává příslušnou bezpečnostní dokumentaci kryptografické ochrany, • správce kryptografického materiálu, který odpovídá za bezpečné ukládání a evidenci kryptografického materiálu, • pracovník kryptografické ochrany, který manipuluje s písemnostmi kryptografické ochrany. • Způsob a podmínky výroby, distribuce, manipulace, používání a ničení klíčových materiálů se stanoví v bezpečnostních standardech a provozní dokumentaci kryptografického prostředku. • Výrobu klíčových materiálů musí provádět pracovník kryptografické ochrany na kryptografickém pracovišti určeném k výrobě klíčového materiálu. K této činnosti musí být pracovník kryptografické ochrany

Minimální požadavky

bfiezen 2008



díl 2, Legislativa

držitelem platného osvědčení o zvláštní odborné způsobilosti pracovníka kryptografické ochrany, ve kterém je uvedeno oprávnění k výrobě klíčových materiálů. Z toho je vidět, že obsah vyhlášky je více či méně ve shodě s literou normy. Výrazným rozdílem je větší specifikace personální bezpečnosti v osobě pracovníka kryptografické ochrany, na nějž jsou kladeny významné požadavky a který musí být proškolen a přezkoušen. Instalace, obsluha prostředků a klíče

Instalaci kryptografického prostředku, nastavení a používání kryptografických klíčů a zajišťování provozu a servisu kryptografického prostředku provádí pracovník kryptografické ochrany. Rozsah oprávnění a činností pracovníka kryptografické ochrany a osoby zajišťující provozní obsluhu při zajišťování provozu kryptografického prostředku a způsob jejího zaškolení se stanoví v provozní dokumentaci kryptografického prostředku; obsah provozní dokumentace je upraven v bezpečnostním standardu. Způsob a podmínky výroby, distribuce, manipulace, používání a ničení klíčových materiálů se stanoví v bezpečnostních standardech a provozní dokumentaci kryptografického prostředku. Výrobu klíčových materiálů musí provádět pracovník kryptografické ochrany na kryptografickém pracovišti určeném k výrobě klíčového materiálu. K této činnosti musí být pracovník kryptografické ochrany držitelem platného osvědčení o zvláštní odborné způsobilosti pracovníka kryptografické ochrany, ve kterém je uvedeno oprávnění k výrobě klíčových materiálů.

bfiezen 2008



Zaškolení k provozní obsluze kryptografického prostředku zajišťuje bezpečnostní správce kryptografické ochrany. Po provedení zaškolení vydá subjekt, který zaškolení provedl, zaškolené osobě písemný doklad o provedeném zaškolení. Vzor potvrzení o odborném zaškolení provozní obsluhy kryptografického prostředku je uveden v příloze č. 2 k této vyhlášce. Dalšími důležitými oblastmi jsou označování kryptografického materiálu, způsoby přepravy a specifikace administrativní bezpečnosti.

Označování a přeprava

Kryptografický materiál se označuje slovem „KRYPTO“, evidenčním číslem, popřípadě číslem jednacím a stupněm utajení, pokud dále není stanoveno jinak (§ 13 a 15). U kryptografického prostředku se označení „KRYPTO“ a evidenční číslo vyznačí na popisném štítku kryptografického prostředku nebo přímo na kryptografický prostředek. Jiné údaje se na popisném štítku neuvádějí. Klíčový materiál se označí slovem „KRYPTO“ a stupněm utajení. Evidenčním číslem klíčového materiálu je evidenční označení materiálu stanovené výrobcem klíčového materiálu. Kryptografická písemnost v listinné podobě se označí slovem „KRYPTO“ v horní a dolní části na každé straně písemnosti vedle stupně utajení a evidenčním číslem, popřípadě číslem jednacím. U kryptografické písemnosti v nelistinné podobě se označení „KRYPTO“, stupeň utajení a evidenční číslo vyznačí na popisném štítku nebo přímo na kryptografickou písemnost. bfiezen 2008



díl 2, Legislativa

K tomu uvedu jen malý komentář. Nedá se s tím nic dělat, jde o literu vyhlášky, ale nepovažuji takovéto označování za rozumné. Osobu, která se k materiálu dostane, to povede ke zvýšenému zájmu o danou věc. Dal bych osobně přednost označování ve tvaru A75BC34A. Takovéto označení je zcela transparentní a v dokumentaci k materiálu či přepravním deníku pak může být uvedeno, o co jde. Z pohledu této publikace je poměrně zajímavá pasáž, která se týká elektronického přenosu takto chráněných dat. Protože je to poměrně poučné, uvedeme plné znění této pasáže: • Elektronickým přenosem kryptografické písemnosti (dále jen „elektronický přenos“) je přenos kryptografické písemnosti elektronickou cestou telekomunikačními sítěmi. • Odesílateli elektronického přenosu se kryptografická písemnost předává proti podpisu v pomocném jednacím protokolu, manipulační knize nebo doručovací knize. Převzatou kryptografickou písemnost zaznamená odesílatel v manipulační knize, pomocném jednacím protokolu, případně v dalších administrativních pomůckách podle § 16 odst. 4. • Způsob provedení a uskutečnění elektronického přenosu kryptografické písemnosti se zaznamená na této písemnosti a v jednacím protokolu. Na utajovanou písemnost, která je určena k uložení, se v záznamu pro uložení do řádku „Vypravil“ uvede „odesláno elektronicky“, den odeslání, jméno a příjmení odesílatele. Do jednacího protokolu se jako způsob vyřízení uvede „odesláno elektronicky“, jméno a příbfiezen 2008



jmení odesílatele. Záznamy se provedou neprodleně po předání písemnosti k elektronickému přenosu. • Přijetí kryptografické písemnosti přenesené elektronicky zaznamená její příjemce do manipulační knihy nebo pomocného jednacího protokolu nebo administrativních pomůcek podle § 16 odst. 4 a neprodleně předá proti podpisu pověřené osobě k zaevidování. • Kryptografická písemnost odeslaná nebo přijatá elektronickým přenosem se vyhotovuje, eviduje a ukládá v listinné podobě. Zajímavé je to ze dvou pohledů, první je evidence komunikace obvykle v knize (podotýkám elektronické komunikace) a druhý zajímavý pohled je v případě, kdy se „kryptografická písemnost“ vyhotovuje a ukládá v listinné podobě. Protože není specifikováno, zda v otevřené nebo šifrované, je to trochu neobvyklé a striktní požadavek na listinnou podobu je také zvláštní. Obecně se totiž může jednat i o jiný digitální materiál, např. hlasovou nahrávku, pak je nejspíš těžko vhodný zde uvedený popis (pokud nejde o slovní přepis dané nahrávky). Vyhláška to dále specifikuje následujícím způsobem: • Kryptografická písemnost v nelistinné podobě se opatří popisným štítkem, na který se uvede označení orgánu státu, právnické osoby nebo podnikající fyzické osoby, kde kryptografická písemnost vznikla, číslo jednací kryptografické písemnosti, resp. příloha k číslu jednacímu kryptografické písemnosti, nebo evidenční označení, pod kterým je kryptografická písemnost v nelistinné podobě zaevidována, stupeň utajení a slovo „KRYPTO“. Tyto údaje lze uvádět přímo na kryptografickou písemnost. bfiezen 2008



díl 2, Legislativa

• Kryptografická písemnost v nelistinné podobě se odesílá vždy jako příloha kryptografické písemnosti v listinné podobě. V podstatě to znamená, že vždy musí být minimálně průvodní dopis k takovému materiálu. Tentýž problém se může týkat i dalších bodů vyhlášky jako např. požadavek na specifikaci počtu stran apod. Celá tato oblast působí dojmem, že se jedná pouze o listinné materiály, které se předávají touto formou. Je tedy otázkou, zda jiné materiály a záznamy, nelistinné a netextové povahy, mohou být takto předávány. Specifikace administrativních pomůcek a evidence

Tyto pomůcky patří do oblasti administrativní bezpečnosti a jsou plně v souladu s bezpečnostními normami. Je třeba jen podotknout, že i když neobsahují přímo utajované informace, je třeba je náležitě chránit. Mohou obsahovat údaje o tom, že je něco utajovanou informací, a z toho důvodu mohou vyvolat další zájem osoby, která tuto informaci získala. Za administrativní pomůcky kryptografické ochrany se pro účely této vyhlášky považují: • evidenční karta, kterou je karta pro evidování kryptografických prostředků, klíčových materiálů, pracovníků kryptografické ochrany, provozní obsluhy kryptografického prostředku, kurýrů kryptografického materiálu a administrativních pomůcek, • rejstřík evidenčních karet, kterým je kniha nebo sešit pro evidování evidenčních karet, • provozní deník kryptografického prostředku, kterým je kniha nebo sešit pro provádění záznamů o používání kryptografického prostředku a klíčových materiálů,

bfiezen 2008



• evidenční kniha, kterou je kniha nebo sešit pro vedení evidence kryptografického materiálu, administrativních pomůcek a pomocné evidence, • jednací protokol, kterým je kniha nebo sešit pro evidování kryptografické písemnosti; jednací protokol obsahuje evidenční položky podle vzoru uvedeného v příloze č. 1 zvláštního právního předpisu, • pomocný jednací protokol, kterým je kniha nebo sešit pro zaznamenávání pohybu kryptografické písemnosti v rámci orgánu státu, právnické osoby nebo podnikající fyzické osoby; pomocný jednací protokol obsahuje položky podle vzoru uvedeného v příloze č. 2 zvláštního právního předpisu, • manipulační kniha, kterou je kniha nebo sešit pro přebírání a předávání kryptografické písemnosti osobou, která takovou písemnost vytváří nebo které byla taková písemnost předána k vyřízení; manipulační kniha obsahuje položky podle vzoru uvedeného v příloze č. 3 zvláštního právního předpisu, • doručovací kniha, kterou je kniha nebo sešit pro zaznamenávání předání kryptografické písemnosti mimo orgán státu, právnickou osobu nebo podnikající fyzickou osobu; doručovací kniha obsahuje položky podle vzoru uvedeného v příloze č. 4 zvláštního právního předpisu, • zápůjční kniha, kterou je kniha nebo sešit pro zaznamenávání zápůjček uložené kryptografické písemnosti; zápůjční kniha obsahuje položky podle vzoru upraveného v příloze č. 5 zvláštního právního předpisu. Administrativní pomůcky uvedené v odstavci 1 písm. a) až d) vydává Úřad; způsob jejich používání stanoví bezpečnostní standardy [§ 2 písm. j) zákona].V odůbfiezen 2008



díl 2, Legislativa

vodněných případech a na základě souhlasu Úřadu mohou být tyto pomůcky vydávány i jiným orgánem státu. Administrativní pomůcky podle odstavce 1 písm. b) až i) musí být před vzetím do užívání upraveny (autentizovány) tak, že se jejich listy průběžně očíslují a prošijí. Na vnitřní straně desek se přelepí konce prošití, otiskne razítko s názvem orgánu státu, právnické osoby nebo podnikající fyzické osoby, přesahující okraj přelepu, uvede doložka o počtu listů a podpis bezpečnostního ředitele nebo osoby pověřené k podpisu odpovědnou osobou a datum přidělení k užívání. Mimo administrativních pomůcek uvedených v odstavci 1 je možné, ve zvláštních a odůvodněných případech a na základě písemného souhlasu Úřadu, použít další administrativní pomůcky. Utajované administrativní pomůcky kryptografické ochrany musí být na vhodném místě označeny stupněm utajení, slovem „KRYPTO“ a evidenčním číslem. Neutajované administrativní pomůcky kryptografické ochrany musí být na vhodném místě označeny slovem „KRYPTO“ a evidenčním číslem. K těmto označením jsme měli výhrady již výše. Evidenci kryptografického materiálu, pracovníků kryptografické ochrany a provozní obsluhy a kurýrů v administrativních pomůckách provádí pracovník kryptografické ochrany pověřený k této činnosti odpovědnou osobou (dále jen „pověřená osoba“). Pracovníci kryptografické ochrany, pracovníci provádějící provozní obsluhu a kurýři se evidují na evidenčních kartách podle § 16 odst. 1 písm. a). bfiezen 2008



Kryptografické prostředky a klíčové materiály se evidují na evidenčních kartách, v evidenční knize, případně v dalších administrativních pomůckách podle § 16. Způsob provádění evidence stanovují bezpečnostní standardy [§ 2 písm. j) zákona]. Kryptografické písemnosti doručené nebo vznikající v orgánu státu, právnické osobě nebo u podnikající fyzické osoby se evidují v jednacím protokolu podle pokynů uvedených v příloze č. 1 zvláštního právního předpisu, pokud vyhláška nestanoví jinak. Kryptografická písemnost doručená nebo vznikající v orgánu státu, právnické osobě nebo u podnikající fyzické osoby, označená evidenčním číslem, se eviduje na evidenční kartě, v evidenční knize, případně v dalších administrativních pomůckách podle § 16. Způsob provádění evidence stanovují bezpečnostní standardy [§ 2 písm. j) zákona]. Na doručené kryptografické písemnosti se vyznačí: • název příjemce, • datum zaevidování, • číslo jednací kryptografické písemnosti příjemce, • počet listů, • počet příloh a počet jejich listů; u příloh v nelistinné podobě jejich počet a druh. Tyto údaje mohou být vyznačeny otiskem razítka. Pro účely zaznamenávání pohybu kryptografické písemnosti na organizační útvary, které jednací protokoly nevedou, může orgán státu, právnická osoba, nebo podnikající fyzická osoba zavést na těchto organizačních útvarech pomocné jednací protokoly. Do pomocných jednacích protokolů se kryptografické píbfiezen 2008



díl 2, Legislativa

semnosti zapisují pod přidělenými pořadovými čísly z jednacího protokolu. Je-li kryptografická písemnost převzata, např. při úředních jednáních nebo kontrolách, musí být neprodleně předána proti podpisu v manipulační knize pověřené osobě k zaevidování v jednacím protokolu. Při přepravě takovéto písemnosti je nutné dodržet podmínky podle § 25. Ten, kdo kryptografickou písemnost vytváří nebo mu byla přidělena k vyřízení, ji zaznamenává v přidělené manipulační knize. Záznam se provede neprodleně po přijetí kryptografické písemnosti nebo přidělení čísla jednacího pro vznikající kryptografickou písemnost. Na konci kalendářního roku se jednací protokol uzavře tak, že se poslední zápis celý podtrhne, a tím se ukončí přidělování čísel jednacích v tomto roce. Pod podtržením se uvede záznam o počtu použitých čísel jednacích, který podepíše pověřená osoba a její přímý nadřízený. Zajímavou vlastností výše uvedeného je to, že materiál musí být zjevně veden ručně („...poslední zápis se podtrhne...“). Čistopis kryptografické písemnosti se vyhotovuje v počtu výtisků uvedeném v rozdělovníku. Ten, kdo vyhotovuje čistopis, neprodleně zničí vadné výtisky, výtisky, které nejsou uvedeny v rozdělovníku, a návrhy neschválených čistopisů. Na výtisku kryptografické písemnosti, který je určen k uložení, se vyhotoví rozdělovník a záznam podle přílohy č. 4.

bfiezen 2008



Poznámky obsahující utajované informace kryptografické ochrany se zaznamenávají pouze do poznámkového sešitu nebo knihy, které byly před vzetím do užívání upraveny podle § 16 odst. 3 nebo na vyjímatelném nosném médiu označeném příslušným stupněm utajení a slovem „KRYPTO“. Evidenci vydaných poznámkových sešitů, knih nebo vyjímatelných nosných médií vede pověřená osoba. Poznámkové sešity nebo knihy pro zaznamenávání poznámek podle odstavce 1 se přenášejí a ukládají obdobně jako kryptografické písemnosti stejného stupně utajení. Opis, kopie, překlad nebo výpis z kryptografické písemnosti stupně utajení přísně tajné, tajné nebo důvěrné může být vyhotoven pouze na základě písemného souhlasu odpovědné osoby orgánu státu, právnické osoby nebo podnikající fyzické osoby, kde kryptografická písemnost vznikla. Písemný souhlas obsahuje číslo jednací kryptografické písemnosti, počet výtisků, důvod vyhotovení, jméno, příjmení a podpis toho, kdo souhlas udělil, a datum, kdy byl souhlas udělen. Písemný souhlas se ukládá u originálu kryptografické písemnosti až do jejího vyřazení. Opis, kopie, překlad nebo výpis z kryptografické písemnosti stupně utajení vyhrazené může být vyhotoven pouze s písemným souhlasem přímého nadřízeného, uvedeným na této písemnosti. Na kryptografickou písemnost, ze které se vyhotovuje opis, kopie, překlad nebo výpis, se vyznačí datum vyhotovení, počet výtisků, důvod vyhotovení, jméno a příjmení osoby, která vydala souhlas, jméno a příjmení a podpis toho, kdo je vyhotovil.

bfiezen 2008



díl 2, Legislativa

Na vyhotovený opis nebo kopii kryptografické písemnosti se v horní části přední strany prvního listu vyznačí slovo „OPIS“ nebo slovo „KOPIE“ a uvede pořadové číslo vyhotoveného opisu nebo kopie kryptografické písemnosti. Nesouhlasí-li počet listů opisu s počtem listů originálu, vyznačí se na opisu rovněž skutečný počet listů opisu. Výpis z kryptografické písemnosti se pořizuje pouze do poznámkového sešitu nebo knihy nebo vyjímatelného nosného média podle § 19 odst. 1. Kryptografický materiál se předává proti podpisu. Předávání kryptografického prostředku nebo klíčového materiálu v rámci orgánu státu, právnické osoby nebo u podnikající fyzické osoby se eviduje na evidenční kartě kryptografického materiálu, případně v dalších administrativních pomůckách podle § 16. Předávání kryptografické písemnosti v rámci orgánu státu, právnické osoby nebo u podnikající fyzické osoby se uskutečňuje: • mezi organizačními útvary prostřednictvím jednacích protokolů, • v rámci organizačního útvaru prostřednictvím pomocného jednacího protokolu, není-li jej, prostřednictvím jednacího protokolu, nebo, po schválení odpovědnou osobou nebo bezpečnostním ředitelem, i prostřednictvím manipulační knihy. Podpisy potvrzující převzetí kryptografické písemnosti se uvádějí v administrativních pomůckách podle § 16. Kryptografický prostředek se odesílá v obalu umožňujícím jeho uzamčení nebo jiné zajištění proti neobfiezen 2008



právněné manipulaci s jeho obsahem (dále jen „přepravní obal“). Přepravní obal se opatří nápisem „KRYPTO“ a evidenčním označením kryptografického prostředku. Přepravní obal musí být takové kvality, aby neumožňoval získání informace o jeho obsahu. Klíčový materiál se odesílá ve 2 obalech takto: • Na vnitřním obalu se v levé horní části uvede odesílatel, evidenční číslo zásilky, v pravé horní části stupeň utajení, označení „KRYPTO“ a v dolní části název a úplná adresa adresáta, je-li zásilka adresována fyzické osobě, uvede se rovněž její jméno, příjmení a funkce. Obal se zajistí tak, že se všechny jeho spoje po celé délce přelepí lepicí páskou a opatří otisky razítka orgánu státu, právnické osoby nebo podnikající fyzické osoby a podpisem pověřené osoby. Otisky razítka a podpisy musí přesahovat mimo lepicí pásku. Při použití průhledné lepicí pásky se otisky razítka a podpisy touto páskou přelepí. Obal musí být takové kvality, aby neumožňoval získání informace o jeho obsahu. • Vnějším obalem je přenosná schránka (§ 28). Kryptografická písemnost se odesílá ve 2 obálkách takto: • Na vnitřní obálce se v levé horní části uvede odesílatel, celé číslo jednací kryptografické písemnosti, v pravé horní části stupeň utajení, označení „KRYPTO“ a v dolní části název a úplná adresa adresáta, je-li zásilka adresována fyzické osobě, uvede se rovněž její jméno, příjmení a funkce. Obálka se zajistí tak, že se všechny spoje obálky po celé délce přelepí lepicí páskou a opatří otisky razítka orgánu státu, právnické osoby nebo podnikající fyzické bfiezen 2008



díl 2, Legislativa

osoby a podpisem pověřené osoby. Otisky razítka a podpisy musí přesahovat mimo lepicí pásku. Při použití průhledné lepicí pásky se otisky razítka a podpisy touto páskou přelepí. Obálka musí být takové kvality, aby údaje uvnitř obálky nebyly čitelné. • Vnější obálkou je přenosná schránka (§ 28). Kryptografický materiál se přepravuje jako kryptografická zásilka podle § 25 výhradně prostřednictvím kurýra kryptografického materiálu. S tímto posledním tvrzením poněkud nekoresponduje další část vyhlášky, která hovoří o elektronickém přenosu kryptografické písemnosti. Ovšem zde uvedené metody jsou dost daleko ideálnímu stavu... Elektronickým přenosem kryptografické písemnosti (dále jen „elektronický přenos“) je přenos kryptografické písemnosti elektronickou cestou telekomunikačními sítěmi. Odesílateli elektronického přenosu se kryptografická písemnost předává proti podpisu v pomocném jednacím protokolu, manipulační knize nebo doručovací knize. Převzatou kryptografickou písemnost zaznamená odesílatel v manipulační knize, pomocném jednacím protokolu, případně v dalších administrativních pomůckách podle § 16 odst. 4. Způsob provedení a uskutečnění elektronického přenosu kryptografické písemnosti se zaznamená na této písemnosti a v jednacím protokolu. Na utajovanou písemnost, která je určena k uložení, se v záznamu pro uložení do řádku „Vypravil“ uvede „odesláno elektronicky“, den odeslání, jméno a příjmení odesílatele. Do jednacího protokolu se jako způsob vyřízení uvede „odesláno elektronicky“, jméno a příjmení odesílatele. bfiezen 2008



Záznamy se provedou neprodleně po předání písemnosti k elektronickému přenosu. Přijetí kryptografické písemnosti přenesené elektronicky zaznamená její příjemce do manipulační knihy nebo pomocného jednacího protokolu nebo administrativních pomůcek podle § 16 odst. 4 a neprodleně předá proti podpisu pověřené osobě k zaevidování. Kryptografická písemnost odeslaná nebo přijatá elektronickým přenosem se vyhotovuje, eviduje a ukládá v listinné podobě. Kryptografickou zásilku přijímá pověřená osoba. Převzetí kryptografické zásilky se doručiteli potvrdí podpisem s uvedením jména a příjmení, data přijetí a otiskem razítka orgánu státu, právnické osoby nebo podnikající fyzické osoby. Tady není zcela jisté, co se rozumí převzetím elektronické kryptografické zásilky. Může to být její doručení na server, do mailové schránky nebo převzetí uživatelem či převzetí písemného doprovodného materiálu. Vyskytne-li se u doručené kryptografické zásilky závada (zejména při zřetelném poškození obalu zásilky), pověřená osoba o této skutečnosti neprodleně informuje odesílatele a sepíše záznam o poškození kryptografické zásilky, který podepisuje i osoba, která kryptografickou zásilku doručila. Záznam o poškození kryptografické zásilky, jehož vzor je stanoven v příloze č. 5 k této vyhlášce, obsahuje: • číslo jednací záznamu, • označení odesílatele a adresáta, • označení a datum doručení kryptografické zásilky, • zjištěné závady kryptografické zásilky, bfiezen 2008



díl 2, Legislativa

• datum provedení záznamu, jméno, příjmení a podpis pověřené osoby a razítko příjemce, • jméno, příjmení a podpis osoby, která zásilku doručila (kurýra). Záznam o poškození kryptografické zásilky se ukládá společně s průvodním listem kryptografické zásilky vyhotoveným podle § 25 odst. 3. Jedno vyhotovení záznamu se zašle odesílateli zásilky. Obsah doručené zásilky se zaeviduje podle skutečného stavu. O dalším postupu nakládání se zásilkou rozhodne bezpečnostní správce kryptografické ochrany. Kryptografické zásilky jsou vyloučeny z přepravy veřejnými dopravními prostředky, s výjimkou přepravy letecké, námořní a vnitrozemské vodní. Kryptografická zásilka se k přepravě zajistí tak, aby nedošlo k neoprávněné manipulaci s jejím obsahem. Kryptografickou zásilku, kterou z důvodu jejího rozměru nelze přepravovat v přepravním obalu nebo v přenosné schránce, je nutné při její přepravě vhodným způsobem zakrýt tak, aby se zabránilo seznámení nepovolané osoby s utajovanou informací. Ke každé kryptografické zásilce obsahující kryptografický prostředek nebo klíčový materiál se vyhotovuje průvodní list kryptografické zásilky (dále jen „průvodní list“). Průvodní list, jehož vzor je stanoven v příloze č. 6 k vyhlášce, obsahuje: • číslo jednací průvodního listu, • označení odesílatele, • označení příjemce, • přesnou identifikaci obsahu kryptografické zásilky (druh, název a označení materiálu, stupeň utajení, evidenční číslo, resp. číslo jednací, počet kusů materiálu), bfiezen 2008



• datum a razítko odesílatele, jméno, příjmení a podpis pověřené osoby, • datum převzetí zásilky a razítko příjemce, jméno, příjmení a podpis pověřené osoby. Průvodní list podle odstavce 3 se vyhotovuje jako kryptografická písemnost minimálně ve dvou výtiscích. Potřebný počet vyhotovení průvodního listu se přepravuje společně s kryptografickou zásilkou. Jedno potvrzené vyhotovení průvodního listu zašle příjemce kryptografické zásilky neprodleně zpět odesílateli. Vybavení kryptografického materiálu k přepravě zajišťuje pověřená osoba. Poučení osoby doprovázející kurýra kryptografického materiálu se provede v rozsahu nezbytném pro účely doprovodu. Kryptografický materiál lze přenášet v zalepené obálce nebo uzavřeném obalu, na kterých je uvedeno označení orgánu státu, právnické osoby nebo podnikající fyzické osoby, vyznačen stupeň utajení a označení „KRYPTO“, při dodržení ustanovení § 25 odst. 2, za těchto podmínek: • kryptografický materiál stupně utajení přísně tajné lze přenášet pouze s písemným souhlasem odpovědné osoby; písemný souhlas se nestává součástí kryptografické písemnosti, ale ukládá se společně s ní, • kryptografický materiál stupně utajení tajné lze přenášet pouze s písemným souhlasem nadřízeného; písemný souhlas se nestává součástí kryptografické písemnosti, ale ukládá se společně s ní, • kryptografický materiál stupně utajení důvěrné a vyhrazené lze přenášet pouze se souhlasem nadřízeného. bfiezen 2008



díl 2, Legislativa

Přenášení kryptografického materiálu provádí pracovník kryptografické ochrany. Při přenášení kryptografického materiálu stupně utajení přísně tajné, tajné a důvěrné je doprovázen nejméně jednou osobou. Doprovázející osoba musí být k této činnosti pověřena odpovědnou osobou nebo osobou jí pověřenou a náležitě poučena pracovníkem kryptografické ochrany. Také předchozí odstavce je možné brát jako rozumný návod pro předpisy i při manipulaci s jinými důvěrnými informacemi. Kryptografické materiály se ukládají do úschovných objektů (§ 28) v zabezpečených oblastech nebo do zabezpečených oblastí, jsou-li splněny požadavky zvláštního právního předpisu. Kryptografická písemnost se po vyřízení vrací pověřené osobě k uložení. Na kryptografickou písemnost uvede před uložením ten, kdo ji vyřizuje, skartační znak a rok, ve kterém bude provedeno skartační řízení. Vyřízené kryptografické písemnosti se ukládají odděleně od ostatních utajovaných písemností u pověřené osoby posloupně podle čísel jednacích písemností nebo podle problematik do spisových svazků. Na spisovém svazku s uloženými kryptografickými písemnostmi se vyznačí takový stupeň utajení, který má kryptografická písemnost nejvyššího stupně utajení v něm uložená. Kryptografické písemnosti ukládané do spisového svazku se průběžně zapisují do seznamu uložených písemností, který je jeho součástí. Administrativní pomůcky, které slouží k evidenci kryptografického materiálu, se ukládají způsobem zajišťujícím jejich bezpečnost proti ztrátě nebo zneužití.

bfiezen 2008



Za přenosnou schránku se pro účely této vyhlášky považuje jakýkoliv druh aktovky, kufříku, kufru, přenosné bezpečnostní schránky nebo kurýrního vaku, která musí být při jejím použití k přepravě nebo přenášení kryptografické písemnosti zajištěna proti neoprávněné manipulaci s jejím obsahem, např. uzamčením mechanickým nebo kódovým zámkem, pečetěním, plombováním (dále jen „přenosná schránka“). Každá přenosná schránka musí být opatřena na vhodném místě názvem a adresou orgánu státu, právnické osoby nebo podnikající fyzické osoby a nápisem: „V případě nálezu neotvírejte a předejte neprodleně útvaru Policie ČR nebo Národnímu bezpečnostnímu úřadu!“ Toto je také velmi problematické. Může to vést k nápadu nálezce odnést schránku nejbližší nepřátelské rozvědce a nechat si za ni zaplatit. Mnohem rozumnější by možná bylo uvést na ni např.: „Zásilku vraťte proti odměně na adresu XYZ.“ Za úschovné objekty se pro účely této vyhlášky považují všechny druhy trezorů a uzamykatelných kovových skříní splňující požadavky zvláštního právního předpisu. Uloženou kryptografickou písemnost lze, v rámci orgánu státu, právnické osoby, podnikající fyzické osoby nebo jejich organizační součásti, ve které je evidována, zapůjčit na dobu nezbytně nutnou fyzické osobě, která splňuje podmínky podle § 11 odst. 1 zákona a je pověřená některou z činností kryptografické ochrany. Kryptografickou písemnost lze zapůjčit pouze se souhlasem odpovědné osoby orgánu státu, právnické osoby, podnikající fyzické osoby nebo jí pověřeného pracovníka kryptografické ochrany. bfiezen 2008



díl 2, Legislativa

Zapůjčení kryptografické písemnosti zaznamenává pověřená osoba v zápůjční knize. Vypůjčené kryptografické písemnosti se vždy po uplynutí každých 6 kalendářních měsíců od zápůjčky předkládají pověřené osobě k provedení fyzické kontroly. Další pasáž je také poměrně zajímavá a týká se vývozu kryptografického prostředku do zahraničí. Jinými slovy, pokud pojedete do Bruselu s notebookem a budete v něm mít klíč, můžete potřebovat povolení NBÚ. Podotýkám, že se nejedná o vývoz utajované informace. Žádost pro udělení povolení k vývozu certifikovaného kryptografického prostředku z České republiky obsahuje: • obchodní firmu, je-li žadatelem podnikatel, nebo název orgánu státu, je-li žadatelem orgán státu, • sídlo či místo podnikání podnikatele nebo adresu orgánu státu žádajícího o schválení vývozu kryptografického prostředku, identifikační číslo, jméno a příjmení odpovědné osoby žadatele, • číslo platného osvědčení podnikatele a stupeň utajení utajované informace pro přístup, k němuž podnikatele opravňuje, • jméno a příjmení kontaktního zaměstnance žadatele a kontaktní spojení na něj, • identifikaci kryptografického prostředku (název, typové označení, číslo certifikátu), • rozsah, účel a způsob zabezpečení vývozu kryptografického prostředku.

bfiezen 2008



3/2.2.3 VYHLÁŠKA Č. 528/2005 SB., O FYZICKÉ BEZPEČNOSTI A CERTIFIKACI TECHNICKÝCH PROSTŘEDKŮ

Tato vyhláška stanoví bodové ohodnocení jednotlivých opatření fyzické bezpečnosti, nejnižší míru zabezpečení zabezpečené oblasti a jednací oblasti, základní metodu hodnocení rizik, další požadavky na opatření fyzické bezpečnosti a náležitosti certifikace technického prostředku. V podstatě slouží k určení míry zabezpečení zabezpečené oblasti. I když se týká opět zákona č. 412/2005 Sb. a utajovaných skutečností, je možné její myšlenky použít i u jiných citlivých informací. Může sloužit jako poměrně dobrý návod na vybudování ochrany datových center nebo požadavků na hostingové služby. Vyhláška je opět přílohou tohoto dokumentu. V tomto směru je dobrým materiálem především příloha č.1 k dané vyhlášce. Řada aspektů je rozebrána také v kapitole knihy o fyzické bezpečnosti. Postupy bfiezen 2008



díl 2, Legislativa

a metodiku vyhlášky včetně hodnocení úrovně zabezpečení objektu je možné používat dostatečně obecně i pro zabezpečení jiných než utajovaných skutečností. Vymezení základních pojmů

bfiezen 2008

Pro účely vyhlášky č. 528/2005 Sb. se rozumí: • objektem budova nebo jiný ohraničený prostor, ve kterém se nacházejí zabezpečené nebo jednací oblasti, • hranicí objektu plášť budovy, fyzická bariéra (oplocení) nebo jinak viditelně vymezená hranice, • hranicí zabezpečené oblasti nebo jednací oblasti stavebně nebo jinak viditelně ohraničený prostor, • vstupem do objektu, zabezpečené oblasti nebo jednací oblasti místo určené pro vstup a výstup osob a místo určené pro vjezd a výjezd dopravních prostředků, • dopravními prostředky pozemní, podzemní, vzdušné a vodní prostředky určené k přepravě osob, předmětů a materiálu, • provozovatelem objektu odpovědná osoba, popřípadě osoba jí k tomu pověřená, • hrozbou možnost vyzrazení nebo zneužití utajované informace při narušení fyzické bezpečnosti, • rizikem pravděpodobnost, že se určitá hrozba uskuteční (Tady si opět dovolím trochu nesouhlasit, rizikem není jen pravděpodobnost, rizikem je i síla hrozby a další faktory), • mimořádnou situací stav, kdy bezprostředně hrozí, že dojde k vyzrazení nebo zneužití utajované informace, • technickým prostředkem bezpečnostní prvek, jehož použitím se zabraňuje, ztěžuje nebo oznamuje narušení ochrany objektu, zabezpečené oblasti nebo jednací oblasti a dále ničí utajované informace,



• úschovným objektem trezor, uzamykatelná skříň nebo jiná schránka stanovená v příloze č. 1 této vyhlášky, • technickým zařízením vojenský materiál, zejména elektronická, fototechnická, chemická, fyzikálněchemická, radiotechnická, optická a mechanická vojenská technika a vojenská výzbroj, které obsahují utajovanou informaci. Hranici zabezpečené oblasti a její zařazení do příslušné kategorie a třídy stanoví provozovatel objektu. Hranici objektu stanoví provozovatel objektu.

Zabezpečení

Zabezpečení zabezpečené oblasti a hranice objektu je zajišťováno kombinací opatření fyzické bezpečnosti podle odstavců 3 až 11 a § 6 až 10. Rozsah použití technických prostředků k zabezpečení zabezpečené oblasti se stanoví v závislosti na kategorii a třídě dané zabezpečené oblastei rizik podle § 10 odst. 3: • pro kategorii vyhrazené - mechanické zábranné prostředky, • pro kategorii důvěrné - mechanické zábranné prostředky a zařízení elektrické zabezpečovací signalizace, • pro kategorii tajné a přísně tajné - mechanické zábranné prostředky, systémy pro kontrolu vstupů, zařízení elektrické zabezpečovací signalizace, speciální televizní systémy, zařízení elektrické požární signalizace. Speciální televizní systémy v odstavci 3 písm. c) lze nahradit tísňovými systémy. Bodové hodnoty nejnižší míry zabezpečení zabezpečené oblasti jsou stanoveny v příloze č. 1 vyhlášky. bfiezen 2008



díl 2, Legislativa

Zabezpečené oblasti kategorie důvěrné a vyšší, v nichž je zajištěna trvalá přítomnost zde pracujících osob, se zabezpečují zejména mechanickými zábrannými prostředky a zařízením elektrické zabezpečovací signalizace a nebo tísňovým systémem. Plní-li tyto zabezpečené oblasti současně úlohu stanovišť určených pro stálý výkon ostrahy, nemusí být vybaveny zařízeními elektrické zabezpečovací signalizace. Při použití speciálních televizních systémů nesmí být narušena ochrana utajovaných informací. K zajištění ochrany zabezpečených oblastí se používají certifikované technické prostředky. Necertifikované technické prostředky lze použít pouze za předpokladu, že nesníží úroveň ochrany požadované pro daný stupeň utajení. Utajovaná informace se ukládá v zabezpečené oblasti, popřípadě v úschovném objektu podle bodové hodnoty nejnižší míry zabezpečení zabezpečené oblasti, která je stanovena v příloze č. 1 této vyhlášky. Zabezpečení zabezpečené oblasti se dále provádí na hranici objektu, ve kterém se tato oblast nachází. Rozsah použití technických prostředků je stanoven v závislosti na nejvyšší kategorii zabezpečené oblasti, která se nachází v objektu, na základě vyhodnocení rizik podle § 10 odst. 3 a dále s ohledem na charakter hranice objektu: • pro zabezpečenou oblast kategorie vyhrazené - mechanické zábranné prostředky, • pro zabezpečenou oblast kategorie důvěrné - mechanické zábranné prostředky a zařízení elektrické zabezpečovací signalizace, • pro zabezpečenou oblast kategorie přísně tajné - mechanické zábranné prostředky, zařízení elektrické zabfiezen 2008



bezpečovací signalizace a speciální televizní systémy. V objektu se umísťuje zařízení fyzického ničení nosičů informací. V případě, že je hranice objektu totožná s hranicí zabezpečené oblasti, je rozsah použití opatření fyzické bezpečnosti určen požadavky na kategorii dané zabezpečené oblasti. Hranici jednací oblasti a hranici objektu stanoví provozovatel objektu. Zabezpečení jednací oblasti a hranice objektu je zajišťováno kombinací opatření fyzické bezpečnosti podle odstavců 3 až 11 a § 6 až 10. Rozsah použití opatření fyzické bezpečnosti k zabezpečení jednací oblasti se stanoví v závislosti na stupni utajovaných informací, které jsou v jednací oblasti pravidelně projednávány, a na vyhodnocení rizik podle § 10 odst. 3. Jednací oblasti pro pravidelné projednávání utajovaných informací stupňů utajení tajné a přísně tajné se zabezpečují mechanickými zábrannými prostředky, systémy pro kontrolu vstupů, zařízeními elektrické zabezpečovací signalizace, speciálními televizními systémy, zařízeními elektrické požární signalizace, zařízeními proti pasivnímu a aktivnímu odposlechu utajované informace. Speciální televizní systémy v odstavci 4 lze nahradit tísňovými systémy. Bodové hodnoty nejnižší míry zabezpečení jednací oblasti jsou stanoveny v příloze č. 1 vyhlášky.

bfiezen 2008



díl 2, Legislativa

Ustanovení přílohy č. 1 týkající se zabezpečení zabezpečené oblasti se obdobně vztahují na zabezpečení jednací oblasti, není-li v příloze č. 1 této vyhlášky stanoveno jinak. K zajištění ochrany jednacích oblastí se používají certifikované technické prostředky. Necertifikované technické prostředky lze použít pouze za předpokladu, že nesníží úroveň ochrany požadované pro daný stupeň utajení. Zabezpečení jednací oblasti se dále provádí na hranici objektu, ve kterém se tato oblast nachází. Rozsah použití technických prostředků je stanoven v závislosti na stupni utajovaných informací, které jsou v jednací oblasti pravidelně projednávány, a na základě vyhodnocení rizik podle § 10 odst. 3 a dále s ohledem na charakter hranice objektu. Hranice objektu je zabezpečena mechanickými zábrannými prostředky, zařízením elektrické zabezpečovací signalizace a speciálním televizním systémem. V objektu se umísťuje zařízení fyzického ničení nosičů informací. V případě, že je hranice objektu totožná s hranicí jednací oblasti, je rozsah použití opatření fyzické bezpečnosti určen požadavky na zabezpečení jednací oblasti. Režimová opatření a ostraha

bfiezen 2008

Režimovými opatřeními jsou: • stanovení oprávnění osob a dopravních prostředků pro vstup do objektu, stanovení oprávnění osob pro vstup do zabezpečené oblasti a jednací oblasti a způsob kontroly těchto oprávnění, • kontrolní opatření při vstupu do objektu, zabezpečených a jednacích oblastí a způsob kontroly těchto opatření,



• podmínky a způsob kontroly pohybu osob v objektu, zabezpečené oblasti a jednací oblasti a způsob kontroly a vynášení utajovaných informací z objektu, zabezpečené oblasti a jednací oblasti, • režim manipulace s klíči a identifikačními daty, • režim manipulace s technickými prostředky a jejich používání. Bodové hodnoty režimových opatření jsou stanoveny v příloze č. 1 vyhlášky. • Seznam osob a dopravních prostředků oprávněných vstupovat a vjíždět do objektu, do zabezpečené oblasti a jednací oblasti se ukládá u provozovatele objektu. Oprávnění ke vstupu do objektu, zabezpečené oblasti nebo jednací oblasti vydává provozovatel objektu nebo jím pověřená osoba. • Při vstupu osob, které nemají oprávnění pro vstup do objektu, ve kterém se nachází zabezpečená oblast kategorie přísně tajné nebo jednací oblast pro pravidelné projednávání utajovaných informací stupňů utajení přísně tajné, se provádí kontrola zařízením sloužícím k vyhledávání nebezpečných látek nebo předmětů. • Na vstupu do objektu, ve kterém se nachází zabezpečená oblast kategorie důvěrné, tajné nebo přísně tajné nebo jednací oblast pro pravidelné projednávání utajovaných informací stupňů utajení tajné nebo přísně tajné, se provádí kontrola vstupu včetně evidence údajů o návštěvách a povinně se stanoví režim návštěv s doprovodem. • Režim manipulace s klíči a identifikačními daty určuje systém a způsob označování, přidělování a odevzdávání, jejich úschovy a evidence, uložení duplikátů a způsob jejich použití. bfiezen 2008



díl 2, Legislativa

• Klíče a identifikační data k zabezpečené oblasti, jednací oblasti a úschovnému objektu musí být označeny, ukládají se způsobem, který umožňuje kontrolu jejich použití, a jejich výdej podléhá evidenci. S klíči disponuje provozovatel objektu nebo jím pověřená osoba. • Zabezpečená oblast a jednací oblast musí být v době nepřítomnosti osob, které mají povolen vstup do této zabezpečené oblasti nebo jednací oblasti, uzamčeny. Úschovný objekt musí být v době nepřítomnosti osob, které mají přístup k utajeným informacím v něm uloženým, uzamčen. Osoby disponující klíči a identifikačními daty od zabezpečených oblastí, jednacích oblastí a úschovných objektů ukládají klíče a identifikační data v objektu, kde se zabezpečené nebo jednací oblasti nacházejí, pokud jiné místo jejich uložení neurčí provozovatel objektu nebo jím pověřená osoba. • Ztráta klíčů a identifikačních dat musí být neprodleně oznámena provozovateli objektu nebo jím pověřené osobě, která zajistí nápravu. Ověřovat úroveň zabezpečení fyzických objektů musí specializované pracoviště.

bfiezen 2008



3/2.2.4 VYHLÁŠKA Č. 529/2006 SB., O DLOUHODOBÉM ŘÍZENÍ INFORMAČNÍCH SYSTÉMŮ VEŘEJNÉ SPRÁVY

Tato vyhláška se netýká IS s utajovanými skutečnostmi, ale obecně IS ve veřejné správě a především pak tvorbě informační strategie nebo informační koncepce. Pojetí je průnikem ISO norem ČSN ISO 9001, ČSN ISO/IEC 27001 a některých dalších. Vyskytuje se zde podobný problém jako u vyhlášek předchozích. Z norem je vybráno jen něco, a to v daném časovém okamžiku. Na rozdíl od vyhlášky č. 523/2005 Sb. se zde předpokládá nějaký vývoj systémů v čase. Především se vyžaduje existence plánů kvality a plánů bezpečnosti. Faktem je, že normy dnes používají trochu jiné pojmy. Např. místo plánu řízení bezpečnosti se používá plán řízení bezpečnostních rizik apod. Není také zcela jasné, co jsou to dlouhodobé cíle a k jakému období se vážou. Může to být 3, 5 nebo 10 let? To je dost podstatná otázka, protože v ČR není zcela bfiezen 2008



díl 2, Legislativa

jasné, kdy přijde jaký zákon, který celou oblast veřejné správy převrátí naruby, takže budovat dlouhodobé koncepce bývá ztráta času. Připomenu jen změny: • reorganizace veřejné správy, zánik OkÚ a vznik KÚ, • vznik MI ČR, • zánik MI ČR. Právě poslední ministerstvo paradoxně tuto vyhlášku vydalo a ona začala platit fakticky současně s jeho zrušením. V každém případě je naprosto nezbytné mít minimálně roční plány s harmonogramy. Ty je třeba aktualizovat a aktuálně vázat na rozpočet v oblasti IT úřadu. Jak kvalita, tak bezpečnost musí být řízeny. Informační koncepce

bfiezen 2008

Orgán veřejné správy v informační koncepci uvede: • charakteristiku každého informačního systému veřejné správy, jehož je správcem, stručnou charakteristiku jeho současného stavu a předpokládané změny v tomto systému, • záměry na pořízení nebo vytvoření nových informačních systémů veřejné správy, • dlouhodobé cíle v oblasti řízení kvality informačních systémů veřejné správy, • požadavky na kvalitu a plán řízení kvality podle § 3, • dlouhodobé cíle v oblasti řízení bezpečnosti informačních systémů veřejné správy, požadavky na bezpečnost a plán řízení bezpečnosti podle § 4, • soubor základních pravidel (dále jen „zásady“) pro správu informačních systémů veřejné správy, a to včetně postupů, které vedou k jejich naplňování (tady se již dostáváme na určitá scestí, protože pokud se



shodou okolností orgán zabývá kvalitou a bezpečností, pak má řadu dokumentů a k nim takto přibývají dokumenty další a vznikají otázky, jaké jsou vlastně vztahy bezpečnostní politiky, politiky kvality a zde uvedených zásad, jaké jsou vztahy tohoto dokumentu a plánu řízení kvality a plánu snižování rizik apod.), • způsob financování záměrů podle písmene b), dlouhodobých cílů podle písmen c) a d) a správy informačních systémů veřejné správy podle písmene e) (v posledních letech je snaha některé cíle v těchto koncepcích financovat z různých fondů EU; pochopitelně je to možné), • postupy při vyhodnocování dodržování informační koncepce podle § 7 a při provádění jejích změn podle § 6, • funkční zařazení zaměstnance nebo určení jiné fyzické osoby nebo název organizačního útvaru, který řídí provádění činností vedoucích k dosažení cílů, naplňování zásad a uplatňování postupů, které jsou v informační koncepci uvedeny, a ke splnění povinností, které orgánu veřejné správy stanoví zákon, • dobu platnosti informační koncepce. Orgán veřejné správy charakterizuje jednotlivé informační systémy veřejné správy podle odstavce 1 písm. a) tak, že z hlediska jejich efektivní správy charakterizuje každý informační systém veřejné správy zvlášť, nebo dva a více informačních systémů veřejné správy charakterizuje jako subsystémy jednoho informačního systému veřejné správy. To jsou také zajímavé informace. Je to způsobeno tím, že se obecně přesně neví, jak přesně vymezit informační systém a jeho okolí, když jsou systém a okolí v silné interakci. Pochopitelně by to šlo výčtem např. aktiv, která IS patří a která již bfiezen 2008



díl 2, Legislativa

ne. Každý IS by měl být takto popsán. V oblasti politiky ISMS tomu odpovídá definice rozsahu a obsahu politiky ISMS. Zásady pro správu informačních systémů veřejné správy včetně postupů, které vedou k jejich naplňování, podle odstavce 1 písm. e) stanoví orgán veřejné správy vždy pro oblasti: • pořizování a vytváření informačních systémů veřejné správy, • provozování informačních systémů veřejné správy, a to včetně jejich změn a rozvoje. Obecně je třeba popsat i postupy změnových řízení, když už se tato činnost vykonává a také postupy rušení IS, aby to byl skutečně úplný životní cyklus. Orgán veřejné správy v informační koncepci stanoví podle § 2 odst. 1 písm. c) dlouhodobé cíle, kterých chce dosáhnout v oblasti řízení kvality informačních systémů veřejné správy. Těmito cíli jsou vždy: • zajištění kvality dat, která jsou v těchto systémech zpracovávána, • zajištění kvality technických a programových prostředků podle § 2 písm. a) zákona, • zajištění kvality služeb, které jsou prostřednictvím těchto systémů poskytovány. Pro dosažení cílů podle odstavce 1 stanoví orgán veřejné správy v informační koncepci požadavky na kvalitu. Orgán veřejné správy v informační koncepci stanoví plán řízení kvality, který obsahuje popis činností, které orgán veřejné správy vykonává pro dosažení stanovených požadavků na kvalitu informačních systémů veřejné správy včetně časového harmonogramu jejich plnění. bfiezen 2008



Orgán veřejné správy v informační koncepci stanoví podle § 2 odst. 1 písm. d) dlouhodobé cíle, kterých chce dosáhnout v oblasti řízení bezpečnosti informačních systémů veřejné správy. Těmito cíli jsou vždy: • bezpečnost dat, která jsou v těchto systémech zpracovávána, • bezpečnost technických a programových prostředků podle § 2 písm. a) zákona, • bezpečnost služeb, které jsou prostřednictvím těchto systémů poskytovány. Pro dosažení cílů podle odstavce 1 stanoví orgán veřejné správy v informační koncepci požadavky na bezpečnost informačních systémů veřejné správy. Orgán veřejné správy v informační koncepci stanoví plán řízení bezpečnosti, který obsahuje popis činností, které orgán veřejné správy vykonává pro dosažení stanovených požadavků na bezpečnost informačních systémů veřejné správy včetně časového harmonogramu jejich plnění. Orgán veřejné správy stanoví v informační koncepci dlouhodobé cíle, zásady a postupy podle § 2 odst. 1 vždy s ohledem na: • data, která jsou v informačních systémech veřejné správy zpracovávána, • služby, které jsou prostřednictvím informačních systémů veřejné správy zajišťovány, • použité technické a programové prostředky podle § 2 písm. a) zákona. Pokud má orgán veřejné správy provozní informační systémy, které mají vazby na informační systémy veřejné správy podle § 3 odst. 5 zákona, popisuje v informační koncepci: bfiezen 2008



díl 2, Legislativa

• tyto vazby, nebo • provozní informační systémy obdobně jako informační systémy veřejné správy, pokud z hlediska jejich efektivní správy považuje za účelné stanovit dlouhodobé cíle, zásady a postupy podle § 2 odst. 1 pro všechny informační systémy, které provozuje. Požadavky na bezpečnost IS musejí vycházet z provedené analýzy aktiv, hrozeb, zranitelností a samozřejmě rizik. Uváděné pojmy jako „bezpečnost dat“, „bezpečnost zařízení“ a „bezpečnost služeb“ jsou jinak celkem bez obsahu. Plán řízení bezpečnosti pak obecně musí být plánem řízení rizik bezpečnosti v IS. Příklad: Analýza rizik identifikovala v IS XYZ riziko podvržení identity uživatele a získání neoprávněného přístupu. Přijatým protiopatřením může být zavedení jednorázových hesel uživatelů v systému a zavedení bezpečného protokolu pro přístup uživatele k IS. V informační koncepci je tedy uvedeno opatření zavedení jednorázových hesel (silné autentizace uživatele), je zde uvedena úprava IS, nákup tokenů pro jednorázová hesla zaměstnanců, je zde termín 1. 6. 2008 a je zde částka 1 000 000 Kč. Analogicky vznikají požadavky na kvalitu buď vlastním zjištěním, nebo prostřednictvím auditu obvykle jako opatření k nápravě nebo preventivní opatření. Na jejich základě pak mohou být v plánu zvyšování kvality definována opatření např. na úpravu procesů, procedur, kontrolu dat apod.

bfiezen 2008



Zásady a postupy ve správě IS vycházejí celkem logicky z životního cyklu SW a mají obsahovat: • zajištění provozu a údržby informačních systémů veřejné správy, a to včetně vytváření a údržby provozní dokumentace a vyhodnocování jejího dodržování, • řízení změn v informačních systémech veřejné správy, • řízené ukončení činnosti informačních systémů veřejné správy. Jako poměrně důležitou chápe vyhláška oblast řízení změn nebo jinak řečeno změnové řízení. Požaduje, aby obsahovalo: • definování potřeby změn v informačním systému veřejné správy, • analýzu výchozího stavu pro rozvoj informačního systému veřejné správy, • stanovení cílového stavu informačního systému veřejné správy, • stanovení kvalitativních požadavků a požadavků na zajištění bezpečnosti vztahujících se k cílovému stavu informačního systému veřejné správy, • návrh transformace z výchozího stavu do cílového stavu informačního systému veřejné správy, • analýzu důsledků, které změna může vyvolat, • promítnutí změn do provozní dokumentace. Z pohledu naší publikace je důležité především to, co se týká oblasti bezpečnosti. Je třeba definovat požadavky na bezpečnost přechodu do cílového stavu a na bezpečnost cílového stavu, je třeba definovat bezpečnostní testy a zařadit je do obecně akceptačních testů.

bfiezen 2008



díl 2, Legislativa

Poměrně přesně jsou specifikovány požadavky na provozní dokumentaci. Z bezpečnostních rolí je vyžadována role bezpečnostního správce IS. Jelikož byl původní koncept zaměřen jak na bezpečnost, tak na kvalitu, není zcela jasné, kde je v rolích manažer kvality nebo někdo, kdo je odpovědný za kvalitu IS. Požadavky na provozní dokumentaci

Provozní dokumentaci informačního systému veřejné správy tvoří tyto dokumenty: • bezpečnostní dokumentace informačního systému veřejné správy, • systémová příručka, • uživatelská příručka. Pochopitelně se v jiných publikacích a jiných zákonech vyžaduje příručka uživatele, příručka správce, příručka bezpečnostního správce. Je tam vždy většinou napsáno, že některé z nich mohou být sjednoceny do jednoho dokumentu. V tom případě ale takové vymezení povinné dokumentace nemá vždy smysl. Druhou věcí je, že není příliš dobré spojovat koncepce a provoz IS do jednoho dokumentu, v tomto případě jedné vyhlášky. Bezpečnostní dokumentaci informačního systému veřejné správy podle odstavce 1 písm. a) tvoří: • bezpečnostní politika informačního systému veřejné správy, a to pokud má systém vazby s informačním systémem veřejné správy jiného správce nebo pokud orgán veřejné správy není provozovatelem tohoto systému, • bezpečnostní směrnice pro činnost bezpečnostního správce systému. To se také jeví jako příliš ploché a povrchní. Rozhodně by měly mimo bezpečnostní politiky v řadě případů

bfiezen 2008



existovat havarijní plány, plány zálohování, plány kontinuity, plány obnovy, vše je dokumentací k IS. Orgán veřejné správy může podle svých potřeb, a to vždy s ohledem na počet uživatelů, sloučit dokumenty podle předchozího odstavce do jednoho dokumentu. Orgán veřejné správy může zpracovat jednu provozní dokumentaci pro více informačních systémů veřejné správy, a sice za předpokladu, že: • zásady a postupy pro provozování těchto systémů jsou shodné, • žádný z dotčených informačních systémů veřejné správy nemá vazbu na informační systém jiného správce, • práva na zápis, změnu nebo vymazání dat, která tyto systémy zpracovávají, jsou omezena na konečný počet jmenovitě určených zaměstnanců orgánu veřejné správy. V případech podle předchozího odstavce musí být v provozní dokumentaci výslovně uvedeno, pro které informační systémy veřejné správy je provozní dokumentace společná. Provozní dokumentaci informačního systému veřejné správy tvoří i jiné dokumenty, pokud je jejich zpracování a využívání nezbytné pro efektivní správu informačního systému veřejné správy; to platí vždy pro informační systémy veřejné správy, které zpracovávají velké objemy dat nebo které jsou vytvářeny a provozovány, včetně provádění změn v těchto systémech, v souladu s českými technickými normami, jež zpracování jiných dokumentů předpokládají. V provozní dokumentaci uvádí orgán veřejné správy aktuální stav informačního systému veřejné správy popisem funkčních a technických vlastností každého inbfiezen 2008



díl 2, Legislativa

formačního systému veřejné správy, jehož je správcem, a to včetně organizačně technických opatření, která zajišťují zachování těchto vlastností. Provozní dokumentace k informačnímu systému veřejné správy musí být zpracována tak, aby odpovídala zásadám a postupům stanoveným v informační koncepci. Bezpečnostní politika informačního systému veřejné správy podle § 10 odst. 2 písm. a) obsahuje popis bezpečnostních opatření, která orgán veřejné správy uplatňuje při zajišťování bezpečnosti tohoto systému a která odpovídají požadavkům na bezpečnost stanoveným v informační koncepci podle § 4 odst. 2. Bezpečnostní směrnice pro činnost bezpečnostního správce systému podle § 10 odst. 2 písm. b) obsahuje podrobný popis bezpečnostních funkcí, které bezpečnostní správce systému používá pro provádění určených činností v informačním systému veřejné správy, a návod na použití těchto funkcí. Systémová příručka podle § 10 odst. 1 písm. b) obsahuje: • popis funkcí včetně bezpečnostních, které používá správce systému pro provádění určených činností v informačním systému veřejné správy, a návod na použití těchto funkcí, • parametry kvality, které vycházejí z požadavků na kvalitu podle § 3 odst. 2, • podrobný popis informačního systému veřejné správy nebo odkaz na dokument, ve kterém je popis uveden a který je správci systému dostupný, • popis jednotlivých činností vykonávaných při správě informačního systému veřejné správy včetně činností definovaných pro role podle § 12, určení fy-

bfiezen 2008



zických osob, které tyto činnosti vykonávají, a oprávnění nezbytných osob pro výkon těchto činností, • definování uživatelů nebo skupin uživatelů a jejich oprávnění a povinnosti při využívání informačního systému veřejné správy. Uživatelská příručka podle § 10 odst. 1 písm. c) obsahuje: • popis funkcí včetně bezpečnostních, které používá uživatel pro svou činnost v informačním systému veřejné správy, a návod na použití těchto funkcí, • vymezení oprávnění a povinností uživatelů ve vztahu k informačnímu systému veřejné správy. Orgán veřejné správy definuje pro informační systém veřejné správy vždy roli: • správce systému, jímž je zaměstnanec nebo jiná fyzická osoba, která zajišťuje řízení provozu informačního systému veřejné správy, • bezpečnostního správce systému, jímž je zaměstnanec nebo jiná fyzická osoba, která zajišťuje kontrolu bezpečnosti informačního systému veřejné správy; zároveň definuje pro každou roli souhrn určených činností a potřebných oprávnění pro provádění těchto činností v informačním systému veřejné správy. Roli správce systému a současně roli bezpečnostního správce systému může vykonávat jedna fyzická osoba pouze v případě, že se jedná o informační systém veřejné správy, který nemá vazby s informačním systémem veřejné správy jiného správce, a orgán veřejné správy stanovil a uplatňuje odpovídající bezpečnostní opatření, která vyloučí rizika, jež by z vykonávání obou rolí jednou fyzickou osobou mohla vyplývat.

bfiezen 2008



díl 2, Legislativa

Jde o velice obtížnou podmínku, protože sloučení těchto rolí má mimo jiné riziko - snahu o zatajování bezpečnostních incidentů. Tato jedna osoba odpovídá za provoz IS a na druhé straně za kontrolu splnění bezpečnostních požadavků. To znamená, že pokud jako správce něco zanedbá, jako bezpečnostní správce v jedné osobě se bude snažit tento případ zakrýt a bude k tomu mít věškeré prostředky, např. správu LOGů. Pokud roli správce systému podle odstavce 1 písm. a) a současně roli bezpečnostního správce systému podle odstavce 1 písm. b) vykonává jedna fyzická osoba, může orgán veřejné správy sloučit bezpečnostní směrnici pro činnost bezpečnostního správce systému podle § 10 odst. 2 písm. b) se systémovou příručkou podle § 10 odst. 1 písm. b).

bfiezen 2008



3/2.2.5 REJSTŘÍK KONTAKTNÍCH MÍST VEŘEJNÉ SPRÁVY

Seznam obecních úřadů, úřadů městských částí územně členěných statutárních měst, úřadů městských obvodů územně členěných statutárních měst a úřadů městských částí hlavního města Prahy, které jsou kontaktními místy veřejné správy obecní úřady obcí Borová Lada, Bošilec, Březnice, Černá v Pošumaví, Čížová, Dasný, Dívčice, Dobrá Voda u Českých Budějovic, Dolní Hořice, Dolní Třebonín, Dražice, Dub, Dynín, Heřmaň (okres Písek), Homole, Horní Pěna, Horní Vltavice, Hranice, Hůry, Chelčice, Chlumany, Chrášťany, Chroboly, Jílovice, Kestřany, Kostelec nad Vltavou, Kostelní Radouň, Košice, Kožlí, Libějovice, Litvínovice, Ločenice, Malenice, Malovice, Mazelov, Mičovice, Mojné, Myslín, Neplachov, Novosedly nad Nežárkou, Ostrovec, Petříkov, Písečné, Pištín, Plavsko, Pluhův Žďár, Rataje, Řepice, Římov, Řípec, Sedlec, Skočíce, Slabčice, Sou-

Jihočeský kraj

listopad 2008



díl 2, Legislativa

sedovice, Stožec, Strážkovice, Sudoměřice u Bechyně, Svatá Máří, Svatý Jan nad Malší, Truskovice, Třebětice, Včelná, Vidov, Volfířov, Vrabče, Vráž, Zahrádky, Zbytiny, Žárovná, Želeč Jihomoravský kraj

listopad 2008

obecní úřady obcí Archlebov, Bezkov, Běhařovice, Blatnička, Blažovice, Borotín, Bořetice, Bošovice, Brumovice, Březí, Břežany, Bulhary, Cetkovice, Citonice, Ctidružice, Cvrčovice, Čebín, Damnice, Dobročkovice, Dolní Dubňany, Domašov, Drahonín, Dražůvky, Drnovice (okres Blansko), Džbánice, Grešlové Mýto, Havraníky, Heršpice, Hlohovec, Hluboké Mašůvky, Hodějice, Holubice, Horní Břečkov, Horní Dubňany, Horní Loučky, Hostim, Hoštice-Heroltice, Hrušky (okres Břeclav), Hrušovany u Brna, Chudčice, Chvalatice, Chvalovice, Jabloňany, Javorník, Ježkovice, Jiřice u Miroslavi, Josefov, Karlín, Ketkovice, Klentnice, Kobylnice, Komořany, Korolupy, Kořenec, Kozojídky, Krhovice, Krumvíř, Křepice (okres Znojmo), Křídlůvky, Křižanovice, Kubšice, Kučerov, Kuchařovice, Ladná, Lančov, Ledce, Lechovice, Lesonice, Loděnice, Louka (okres Hodonín), Mašovice, Medlovice, Mělčany, Milešovice, Moravský Žižkov, Morkůvky, Násedlovice, Nemochovice, Němčičky (okres Břeclav), Nikolčice, Nížkovice, Nosislav, Nová Ves, Nový Přerov, Nový Šaldorf-Sedlešovice, Okrouhlá, Olbramkostel, Omice, Ostrovačice, Pasohlávky, Pavlice, Pavlov, Petrov (okres Blansko), Petrov (okres Hodonín), Petrovice (okres Blansko), Petrovice (okres Znojmo), Plavec, Plenkovice, Podhradí nad Dyjí, Podolí, Prace, Prusy-Boškůvky, Předklášteří, Přeskače, Přibice, Radslavice, Rostěnice-Zvonovice, Roubanina, Rozkoš, Řícmanice, Sedlec, Sivice, Skalice, Skalice nad Svitavou, Skalka, Snovídky, Sobotovice, Spešov, Stálky, Stanoviště, Starý Petřín, Starý Poddvorov,



Stošíkovice na Louce, Studnice, Sudice, Sudoměřice, Suchohrdly, Suchohrdly u Miroslavi, Suchý, Svatoslav, Světlá, Syrovín, Šafov, Šebetov, Šerkovice, Šošůvka, Štítary, Tasov, Terezín, Topolany, Trstěnice, Tvarožná Lhota, Uhřice (okres Blansko), Uhřice (okres Hodonín), Újezd u Boskovic, Újezd u Rosic, Únavov, Unkovice, Úsuší, Vavřinec, Vážany (okres Blansko), Vedrovice, Velešovice, Velké Hostěrádky, Věteřov, Vevčice, Vilémovice, Viničné Šumice, Vítonice, Vlasatice, Vracovice, Vranovská Ves, Vratěnín, Výrovice, Zaječí, Žabčice, Žádovice, Žďár, Žďárec, Železné, Žerůtky (okres Znojmo), Magistrát města Brna, Úřad městské části Brno-Bohunice, Úřad městské části Brno-Černovice, Úřad městské části BrnoChrlice, Úřad městské části Brno-Ivanovice, Úřad městské části Brno-jih, Úřad městské části Brno-Jundrov, Úřad městské části Brno-Kníničky, Úřad městské části Brno-Kohoutovice, Úřad městské části Brno-Slatina, Úřad městské části Brno-Starý Lískovec, Úřad městské části Brno-Útěchov, Úřad městské části BrnoŽebětín obecní úřady obcí Abertamy, Andělská Hora, Boží Dar, Dasnice, Děpoltovice, Dolní Rychnov, Drmoul, Hájek, Chyše, Krajková, Krásná, Krásno, Libavské Údolí, Merklín, Nové Hamry, Otovice, Podhradí, Pomezí nad Ohří, Přebuz, Smolné Pece, Stříbrná, Šabina, Tři Sekery, Útvina, Velichov, Vlkovice, Vojkovice, Zádub-Závišín

Karlovarský kraj

obecní úřady obcí Albrechtice nad Orlicí, Batňovice, Běchary, Bezděkov nad Metují, Blešno, Bolehošť, Borovnička, Božanov, Cerekvice nad Bystřicí, Čermná, Čermná nad Orlicí, Černčice, Černý Důl, Česká Čermná, Česká Metuje, Dětenice, Dobrá voda u Hořic, Dobré, Dolní Brusnice, Dolní Kalná, Dolní Oleš-

Královéhradecký kraj

listopad 2008



díl 2, Legislativa

nice, Doubravice, Hajnice, Hejtmánkovice, Holovousy, Horní Brusnice, Hořiněves, Chomutice, Chotěvice, Choustníkovo Hradiště, Chvalkovice, Jasenná, Jetřichov, Kocbeře, Křinice, Kuks, Lhoty u Potštejna, Libčany, Liberk, Libřice, Lovčice, Lužany (okres Jičín), Markvartice, Martínkovice, Měník, Mlázovice, Nepolisy, Otovice, Pecka, Pilníkov, Podhorní Újezd a Vojice, Přepychy, Roudnice, Sendražice, Slatina nad Úpou, Slatiny, Stanovice, Stárkov, Strážné, Velké Petrovice, Velké Poříčí, Velký Vřešťov, Vernéřovice, Vilantice, Vítězná, Vlčkovice v Podkrkonoší,Vysoká nad Labem, Vysokov, Zlatá Olešnice, Žďár nad Metují, Žlunice Liberecký kraj

obecní úřady obcí Benešov u Semil, Bílý Kostel nad Nisou, Bílý Potok, Bulovka, Černousy, Čtveřín, Dětřichov, Frýdštejn, Habartice, Hamr na Jezeře, Hlavice, Horní Libchava, Horní Police, Horní Řasnice, Chotyně, Jestřebí, Jiřetín pod Bukovou, Karlovice, Koberovy, Kořenov, Košťálov, Ktová, Kunratice u Cvikova, Kvítkov, Lázně Libverda, Levínská Olešnice, Lučany nad Nisou, Malá Skála, Mníšek, Modřišice, Nová Ves, Nová Ves nad Nisou, Ohrazenice, Okrouhlá, Oldřichov v Hájích, Pěnčín, Plavy, Proseč pod Ještědem, Radimovice, Ralsko, Skalice u České Lípy, Slaná, Sloup v Čechách, Sosnová, Svijany, Svor, Veselá, Višňová, Vlastibořice, Volfartice, Všelibice, Všeň, Zahrádky, Zásada, Zlatá Olešnice

Moravskoslezský kraj

obecní úřady obcí Albrechtičky, Baška, Bernartice nad Odrou, Bílá, Bocanovice, Bohuslavice, Brumovice, Bruzovice, Bukovec, Čermná ve Slezsku, Děhylov, Dolní Lhota, Dolní Lomná, Dolní Životice, Heřmanice u Oder, Hlubočec, Holčovice, Horní Domaslavice, Hošťálkovy, Hrádek, Jakubčovice nad Odrou, Jezdkovice, Karlova Studánka, Košařiska, Krmelín,

listopad 2008



Kunín, Leskovec nad Moravicí, Lichnov (okres Bruntál), Luboměř, Metylovice, Mikolajice, Milíkov, Milotice nad Opavou, Mokré Lazce, Návsí, Nižní Lhoty, Nošovice, Olbramice, Otice, Petrovice, Písečná, Radkov, Razová, Rohov, Ropice, Rudná pod Pradědem, Rybí, Ryžoviště, Smilovice, Soběšovice, Staré Heřminovy, Staré Město (okres Bruntál), Staré Město (okres Frýdek-Místek), Strahovice, Střítež, Sviadnov, Šilheřovice, Široká Niva, Štáblovice, Tísek, Trojanovice, Třanovice, Třebom, Třemešná, Tvrdkov, Uhlířov, Valšov, Velká Štáhle, Velké Albrechtice, Vendryně, Větřkovice, Vojkovice, Vyšní Lhoty, Závišice, Zbyslavice, Ženklava, Životice u Nového Jičína, Magistrát města Ostravy, Úřad městského obvodu Hošťálkovice, Úřad městského obvodu Hrabová, Úřad městského obvodu Krásné Pole, Úřad městského obvodu Lhotka, Úřad městského obvodu Martinov, Úřad městského obvodu Michálkovice, Úřad městského obvodu Nová Bělá, Úřad městského obvodu Nová Ves, Úřad městského obvodu Petřkovice, Úřad městského obvodu Plesná, Úřad městského obvodu Proskovice, Úřad městského obvodu Pustkovec, Úřad městského obvodu Třebovice obecní úřady obcí Alojzov, Babice, Bělá pod Pradědem, Beňov, Bernartice, Bezuchov, Bílá Lhota, Blatec, Bohuslavice (okres Šumperk), Budětsko, Buk, Bušín, Bystročice, Býškovice, Čehovice, Čelčice, Čelechovice, Černá Voda, Černotín, Červenka, Daskabát, Dlouhomilov, Dolní Újezd, Domašov nad Bystřicí, Držovice, Hluchov, Hlušovice, Hnojice, Horní Loděnice, Horní Újezd, Hrabišín, Hrabová, Hrabůvka, Hradčany, Hradec-Nová Ves, Hrubčice, Huzová, Charváty, Chromeč, Ivan, Jezernice, Jindřichov (okres Přerov), Jindřichov (okres Šumperk), Jívová, Kamenná,

Olomoucký kraj

listopad 2008



díl 2, Legislativa

Kladníky, Klokočí, Kobyla nad Vidnavkou, Krčmaň, Krumsín, Křelov-Břuchotín, Lazníky, Lesnice, Lešany, Leština, Lhotka, Lipová (okres Prostějov), Lipová (okres Přerov), Lipová-lázně, Lobodice, Loučka, Luká, Majetín, Malá Morava, Maletín, Medlov, Měrotín, Milenov, Milotice nad Bečvou, Mírov, Moravičany, Mostkovice, Myslejovice, Nelešovice, Nová Hradečná, Ohrozim, Olbramice, Oldřichov, Ondratice, Palonín, Paršovice, Pavlovice u Přerova, Pěnčín, Písařov, Písečná, Pňovice, Polkovice, Prosenice, Prostějovičky, Přáslavice, Radíkov, Radkovy, Radotín, Rájec, Rakov, Raková u Konice, Rapotín, Rejchartice, Rozstání, Seloutky, Slatinice, Slatinky, Sobotín, Střítež nad Ludinou, Sudkov, Suchdol, Supíkovice, Špičky, Teplice nad Bečvou, Tištín, Tučín, Turovice, Ústí, Vápenná, Velká Kras, Veselíčko, Víceměřice, Vícov, Vikýřovice, Vilémov, Vrbátky, Vrchoslavice, Zábeštní Lhota, Zdětín, Zvole, Želatovice, Želeč, Žerotín Pardubický kraj

listopad 2008

obecní úřady obcí Biskupice (okres Svitavy), Běstvina, Bojanov, Borek, Borová, Býšť, Cerekvice nad Loučnou, Čeperka, České Heřmanice, Dobříkov, Dubany, Horní Čermná, Horní Ředice, Krásné, Krouna, Květná, Libchavy, Mladoňovice, Opatovice nad Labem, Osík, Perálec, Pustá Kamenice, Rohozná, Rosice, Rychnov na Moravě, Sázava, Seč (okres Chrudim), Semanín, Srnojedy, Stojice, Sudslava, Svojanov, Svratouch, Tisová, Trstěnice, Třebařov, Třebosice, Veselí, Všeradov, Vyšehněvice, Zámrsk, Úřad městského obvodu Pardubice I, Úřad městského obvodu Pardubice II, Úřad městského obvodu Pardubice III, Úřad městského obvodu Pardubice IV, Úřad městského obvodu Pardubice V, Úřad městského obvodu Pardubice VI, Úřad městského obvodu Pardubice VII



obecní úřady obcí Babylon, Bezděkov, Bezvěrov, Blatnice, Blížejov, Bolešiny, Bušovice, Číhaň, Dešenice, Dlažov, Dolany (okres Klatovy), Dražeň, Dýšina, Ejpovice, Hamry, Honezovice, Hostouň, Hvozd, Cheznovice, Chlístov, Chlumčany, Chříč, Chválenice, Kamenný Újezd, Klabava, Konstantinovy Lázně, Kostelec, Kozolupy, Kyšice, Lhotka u Radnic, Líně, Losina, Mladotice, Mlečice, Neurazy, Nezdice, Němčovice, Nová Ves (okres Plzeň-jih), Nové Mitrovice, Osvračín, Ošelín, Prostiboř, Přestavlky, Rejštejn, Rozvadov, Řenče, Soběkury, Staré Sedliště, Staré Sedlo, Střížovice, Studánka, Štichovice, Těně, Tlučná, Třemešné, Úněšov, Velký Malahov, Vochov, Volduchy, Vrhaveč, Zruč-Senec, Žákava, Žďírec, Magistrát města Plzně, Úřad městského obvodu Plzeň 1, Úřad městského obvodu Plzeň 2-Slovany, Úřad městského obvodu Plzeň 4, Úřad městského obvodu Plzeň 5-Křimice

Plzeňský kraj

obecní úřady obcí Bašť, Bečváry, Blažejovice, Blevice, Borotice, Býchory, Bzová, Církvice (okres Kutná Hora), Cítov, Čečelice, Čestlice, Čisovice, Děkov, Doksy, Družec, Dřetovice, Dřínov (okres Mělník), Holubice, Horka II, Horky, Hořátev, Hostín u Vojkovic, Hovorčovice, Hradčany, Husinec, Hýskov, Chlístovice, Chlumín, Chvatěruby, Chýně, Chýnice, Jestřábí Lhota, Jíloviště, Josefův Důl, Kaliště, Kamenice, Kamenný Most, Klobuky, Klučov, Kly, Kněžmost, Koleč, Kostelní Hlavno, Kostelní Lhota, Kouty, Kounov, Krakovany, Krchleby (okres Nymburk), Křesetice, Křivsoudov, Květnice, Ledčice, Libeř, Líšnice, Lochovice, Loket, Louňovice, Lubná, Malý Újezd, Máslovice, Mcely, Milešov, Mořina, Načeradec, Nebužely, Nedrahovice, Nehvizdy, Němčice (okres Kolín), Nižbor, Nový Jáchymov, Ohaře, Olbramovice,

Středočeský kraj

listopad 2008



díl 2, Legislativa

Oplany, Opolany, Ořech, Otročiněves, Otvovice, Panenské Břežany, Pavlíkov, Pňov-Předhradí, Podlesí, Podluhy, Podmoky, Podveky, Polepy, Poříčany, Poříčí nad Sázavou, Předměřice nad Jizerou, Přezletice, Psáry, Pustověty, Pyšely, Račice, Radějovice, Radíč, Radim, Radonice, Radovesnice I, Radovesnice II, Rosovice, Rostoklaty, Senohraby, Sibřina, Skorkov, Slavošov, Soutice, Starý Kolín, Stehelčeves, Straky, Středokluky, Střezimíř, Suchomasty, Sukorady, Svárov, Svatý Jan pod Skalou, Svrkyně, Šestajovice, Šetějovice, Šípy, Tochovice, Trhové Dušníky, Tři Dvory, Třtice, Tuhaň, Tuchlovice, Tuchoraz, Tuklaty, Únětice, Veliš, Velké Všelisy, Veltruby, Větrušice, Vizina, Vlastějovice, Vlkaneč, Vojkovice, Vraný, Vrdy, Vysoký Chlumec, Výžerky, Záhornice, Zákolany, Zálezlice, Zbizuby, Zdiby, Zlatníky-Hodkovice Ústecký kraj

listopad 2008

obecní úřady obcí Bitozeves, Blažim, Březno, Bříza, Cítoliby, Černčice, Černovice, Dolní Poustevna, Domoušice, Dušníky, Horní Habartice, Horní Repčice, Hrobce, Hrobčice, Hrušovany, Chodouny, Chotiněves, Chožov, Janská, Jeníkov, Jiřetín pod Jedlovou, Kostomlaty pod Milešovkou, Kostomlaty pod Řípem, Křimov, Labská Stráň, Lahošť, Libočany, Libochovany, Libotenice, Lišnice, Líšťany, Loučná pod Klínovcem, Malé Žernoseky, Markvartice, Martiněves, Měděnec, Měrunice, Mikulášovice, Moldava, Nová Ves v Horách, Nové Sedlo, Obrnice, Patokryje, Ploskovice, Proboštov, Přestavlky, Radovesice, Ročov, Růžová, Staňkovice (okres Litoměřice), Staňkovice (okres Louny), Staré Křečany, Travčice, Vědomice, Velká Bukovina, Velké Chvojno, Velké Žernoseky, Vilémov (okres Děčín), Volevčice, Vražkov, Vrbice, Vrutice, Vysoká Pec, Zbrašín, Žiželice, Magistrát města Ústí nad Labem, Úřad městského obvodu Ústí nad Labem-



Severní Terasa, Úřad městského obvodu Ústí nad Labem-Střekov obecní úřady obcí Bory, Cejle, Častrov, Dalečín, Dlouhé, Dolní Libochová, Dolní Vilémovice, Havlíčkova Borová, Hluboké, Hojanovice, Jiřice, Kaliště (okres Pelhřimov), Koněšín, Krahulčí, Kralice nad Oslavou, Krásná Hora, Křeč, Křižánky, Kuroslepy, Lesonice, Maleč, Michalovice, Mirošov (okres Žďár nad Sázavou), Modlíkov, Netín, Nové Syrovice, Oudoleň, Polnička, Pozďatín, Prosetín, Pucov, Radkov (okres Žďár nad Sázavou), Rapotice, Rozsochy, Řídelov, Římov, Sedlice, Senožaty, Skorotice, Strachujov, Studenec, Šlapanov, Štěměchy, Štoky, Těchobuz, Unčín, Ústí, Věcov, Velká Losenice, Vězná (okres Žďár nad Sázavou), Věžnice (okres Havlíčkův Brod), Vícenice u Náměště nad Oslavou, Vídeň, Vír, Vojnův Městec, Výčapy

Vysočina

obecní úřady obcí Bařice-Velké Těšany, Bezměrov, Bohuslavice nad Vláří, Bohuslavice u Zlína, Bratřejov, Brusné, Břestek, Březůvky, Bystřice pod Lopeníkem, Bystřička, Dolní Bečva, Doubravy, Francova Lhota, Hostětín, Hostišová, Huštěnovice, Hvozdná, Jarohněvice, Jasenná, Kateřinice, Kněžpole, Kostelany, Kyselovice, Lačnov, Lechotice, Leskovec, Lhota, Lidečko, Liptál, Lopeník, Lutopecny, Lužná, Machová, Malá Bystřice, Mistřice, Návojná, Nedašova Lhota, Němčice, Neubuz, Nezdenice, Nová Dědina, Oldřichovice, Ořechov, Ostrata, Oznice, Pacetluky, Pačlavice, Pitín, Podkopná Lhota, Pohořelice, Pozděchov, Prlov, Prusinovice, Pržno, Rataje, Rokytnice, Rymice, Sazovice, Seninka, Slavkov, Střelná, Střílky, Střítež nad Bečvou, Šarovy, Suchá Loz, Šanov, Študlov, Tečovice, Topolná, Tučapy, Tupesy, Újezdec, Ústí, Valašská Senice, Vážany, Veselá, Věžky, Vla-

Zlínský kraj

listopad 2008



díl 2, Legislativa

chova Lhota, Vysoké Pole, Zlámanec, Zlechov, Žalkovice, Žeranovice, Žítková, Žlutava Hlavní město Praha

T Athény Berlín Bern Bratislava Brusel Budape‰È Bukure‰È DráÏìany Dublin Haag Helsinky Chicago KodaÀ Lisabon Lond˘n Los Angeles LublaÀ

listopad 2008

Úřad městské části Praha-Běchovice, Úřad městské části Praha-Čakovice, Úřad městské části Praha-Dubeč, Úřad městské části Praha-Kunratice, Úřad městské části Praha-Lysolaje, Úřad městské části PrahaNebušice, Úřad městské části Praha-Petrovice, Úřad městské části Praha-Řeporyje, Úřad městské části Praha-Slivenec, Úřad městské části Praha-Suchdol, Úřad městské části Praha-Šeberov, Úřad městské části Praha-Újezd, Úřad městské části Praha-Velká Chuchle, Úřad městské části Praha-Vinoř, Úřad městské části Praha-Zličín Seznam zastupitelsk˘ch úfiadÛ, které jsou kontaktními místy vefiejné správy velvyslanectví velvyslanectví velvyslanectví velvyslanectví velvyslanectví velvyslanectví velvyslanectví generální konzulát velvyslanectví velvyslanectví velvyslanectví generální konzulát velvyslanectví velvyslanectví velvyslanectví generální konzulát velvyslanectví



Lucemburk Madrid Mnichov Montreal New York Oslo Ottawa PafiíÏ Pretoria Riga ¤ím Sofie Stockholm Sydney Tallinn Tel Aviv Toronto Var‰ava VídeÀ Vilnius Washington Záhfieb

velvyslanectví velvyslanectví generální konzulát generální konzulát generální konzulát velvyslanectví velvyslanectví velvyslanectví velvyslanectví velvyslanectví velvyslanectví velvyslanectví velvyslanectví generální konzulát velvyslanectví velvyslanectví generální konzulát velvyslanectví velvyslanectví velvyslanectví velvyslanectví velvyslanectví

listopad 2008


listopad 2008


2.2 LEGISLATIVA K IT BEZPEČNOSTI VE STÁTNÍ SPRÁVĚ A SAMOSPRÁVĚ

Recommend Documents