Dlouho připravovaný zákon o kybernetické bezpečnosti (ZKB) nabyl platnosti vyhlášením ve Sbírce zákonů dne 29. srpna 2014 jako zákon č. 181/2014 Sb., o kybernetické bezpečnosti a o změně souvisejících zákonů (zákon o kybernetické bezpečnosti). Zákon je účinný od 1. 1. 2015.

Se zmíněným zákonem úzce souvisejí následující prováděcí předpisy:

• Vyhláška č. 316/2014 Sb., o bezpečnostních opatřeních, kybernetických bezpečnostních incidentech, reaktivních opatřeních a o stanovení náležitostí podání v oblasti kybernetické bezpečnosti (vyhláška o kybernetické bezpečnosti),
• Vyhláška č. 317/2014 Sb., o významných informačních systémech a jejich určujících kritériích,
• Nařízení vlády č. 315/2014 Sb., kterým se mění nařízení vlády č. 432/2010 Sb., o kritériích pro určení prvku kritické infrastruktury.

 

 

Co je a co není cílem Zákona o kybernetické bezpečnosti

Základním cílem Zákona je zvýšit bezpečnost kybernetického prostoru a zejména se snažit ochránit tu část infrastruktury, která je pro fungování státu důležitá a jejíž narušení by vedlo k poškození nebo ohrožení zájmu České republiky.
Cílem Zákona není řešit všechna rizika v kyberprostoru, jako je např. porušování autorských práv, různé podvodné aktivity, úniky elektronických dat či šíření závadného elektronického obsahu.

Nové povinnosti

Pro orgány a osoby, které určuje zákon, přibude řada nových povinností v oblasti zajištění bezpečnosti informačních a komunikačních systémů a komunikace s určenými kontaktními místy.

Požadavky na bezpečnost informačních a komunikačních systémů

Zákon stanovuje, jakým způsobem má být kybernetická bezpečnost zajištěna a určuje způsob reakce na kybernetické hrozby nebo řešení nastalého incidentu. Podrobnosti ke způsobu realizace bezpečnostních opatření, ke komunikaci s kontaktními místy, vedení bezpečností dokumentace a kategorizaci kybernetických bezpečnostních incidentů určuje Vyhláška.

Kontroly a sankce

NBÚ je oprávněn kontrolovat dodržování stanovených zákonných povinností a ukládat nápravná opatření k odstranění nedostatků. Neplnění některých povinností je považováno za správní delikt s výší pokuty až 100 000 Kč.

Podnět k zamyšlení i pro ty, kterých se Zákon netýká

Povinnosti plynoucí ze Zákona se dotýkají jen vymezeného okruhu právnických osob, orgánů a podnikajících fyzických osob. To ale neznamená, že ostatních subjektů se potřeba chránit své informační a komunikační systémy před neustále narůstajícími kybernetickými hrozbami nijak netýká. Pro tyto subjekty může Zákon a zejména Vyhláška sloužit jako vhodná inspirace nebo metodika.

Nové pojmy, zkratky

Zákon zavádí nové pojmy (volně citováno) :

• Kybernetický prostor – digitální prostředí umožňující zpracování informací, tvořené informačními systémy a službami a sítěmi elektronických komunikací.
• Kritická informační infrastruktura – prvek nebo systém prvků kritické infrastruktury v odvětví komunikační a informační systémy v oblasti kybernetické bezpečnosti (tato oblast je definována novelizací Nařízení vlády č. 432/2010 Sb.).
• Významný informační systém – informační systém spravovaný orgánem veřejné moci, který není kritickou informační infrastrukturou a u kterého narušení bezpečnosti informací může omezit nebo výrazně ohrozit výkon působnosti orgánu veřejné moci.
• Významná síť – síť elektronických komunikací zajišťující přímé zahraniční propojení do veřejných komunikačních sítí nebo zajišťující přímé připojení ke kritické informační infrastruktuře.
• Kybernetická bezpečnostní událost – událost, která může způsobit narušení bezpečnosti informací v informačních systémech nebo narušení bezpečnosti služeb anebo bezpečnosti a integrity sítí elektronických komunikací.
• Kybernetický bezpečnostní incident – narušení bezpečnosti informací v informačních systémech nebo narušení bezpečnosti služeb anebo bezpečnosti a integrity sítí elektronických komunikací v důsledku kybernetické bezpečnostní události.
• Stav kybernetického nebezpečí – stav, ve kterém je ve velkém rozsahu ohrožena bezpečnost informací v informačních systémech nebo bezpečnost a integrita služeb nebo sítí elektronických komunikací, a tím by mohlo dojít k porušení nebo došlo k ohrožení zájmu České republiky ve smyslu zákona upravujícího ochranu utajovaných informací.
• Reaktivní opatření – opatření, které NBÚ vydává svým rozhodnutím a které je určeno k řešení kybernetického bezpečnostního incidentu anebo k zabezpečení informačních systémů nebo sítí a služeb elektronických komunikací před kybernetickým bezpečnostním incidentem.
• Ochranné opatření – opatření k řešení kybernetického bezpečnostního incidentu anebo k zabezpečení informačních systémů nebo sítí a služeb elektronických komunikací před kybernetickým bezpečnostním incidentem týkat blíže neurčeného okruhu orgánů nebo osob, vydá je Úřad formou opatření obecné povahy.

V textu jsou dále použity následující zkratky:

• NCKB – Národní centrum kybernetické bezpečnosti, součást Národního bezpečnostního úřadu se sídlem v Brně.
• CERT – (Computer emergency response team), skupina pro reakci na počítačové hrozby, ekvivalentní název pro CSIRT (Skupina pro reakce na počítačové bezpečnostní incidenty).

Hlavní novinky Zákona

• Zákon v §3 definuje orgány a osoby, kterým ukládá povinnosti v oblasti kybernetické bezpečnosti.
• Stanovuje způsob zajištění kybernetické bezpečnosti (opatření).
• Definuje kybernetickou bezpečnostní událost/incident.
• Určuje činnost NBÚ a dohledových pracovišť (vládní/národní CERT).
• Zavádí stav kybernetického nebezpečí, který vyhlašuje ředitel NBÚ.

Základní prvky kybernetické bezpečnosti

• Bezpečnostní opatření (detaily řeší Vyhláška o kybernetické bezpečnosti):
  • organizační,
  • technická,
• monitorování (detekování) bezpečnostních událostí,
• hlášení bezpečnostních incidentů dohledovým pracovištím,
• opatření (reakce na aktuální hrozbu, incident),
• oznamování kontaktních údajů,
• činnost dohledových pracovišť:
  • vládní CERT, provozuje NCKB (NBÚ),
  • národní CERT (CSIRT),
• kontrolní činnost NBÚ.

Orgány / osoby dotčené Zákonem

Zákon v §3 určuje orgány a osoby, kterým ukládá povinnosti v oblasti kybernetické bezpečnosti. Jsou to:
a) Poskytovatel služby elektronických komunikací a subjekt zajišťující síť elektronických komunikací (dle 127/2005), pokud nespadá pod písmeno b).
b) Subjekt zajišťující významnou síť, pokud nespadá pod písmeno d).
c) Správce informačního systému kritické informační infrastruktury.
d) Správce komunikačního systému kritické informační infrastruktury.
e) Správce významného informačního systému.

Komunikace v rámci kybernetické bezpečnosti

Povinnosti pro orgány a osoby

Poskytovatel služby elektronických komunikací a subjekt zajišťující síť elektronických komunikací

Hlavní povinnosti plynoucí ze Zákona pro osoby definované v §3, písm. a) Zákona:

• Oznámit národnímu CERT kontaktní údaje do 30 dnů ode dne účinnosti ZKB.
• Provádět reaktivní opatření za stavu kybernetického nebezpečí nebo za nouzového stavu.

Subjekt zajišťující významnou síť

Hlavní povinnosti plynoucí ze Zákona pro osoby definované v §3, písm. b) Zákona:

• Oznámit národnímu CERT kontaktní údaje do 30 dnů ode dne účinnosti Zákona.
• Detekovat kybernetické bezpečnostní události.
• Začít hlásit kybernetické bezpečnostní incidenty do 1 roku ode dne účinnosti Zákona, národnímu CERT.
• Provádět reaktivní opatření za stavu kybernetického nebezpečí nebo za nouzového stavu.

Správce informačního systému kritické informační infrastruktury a Správce komunikačního systému kritické informační infrastruktury

Hlavní povinnosti plynoucí ze Zákona pro orgány a osoby definované v §3, písm. c) a d) Zákona:

• Oznámit NBÚ (vládní CERT) kontaktní údaje do 30 dnů ode dne určení prvkem kritické informační infrastruktury.
• Detekovat kybernetické bezpečnostní události.
• Začít hlásit NBÚ (vládní CERT) kybernetické bezpečnostní incidenty do 1 roku ode dne určení prvkem kritické informační infrastruktury.
• Zavést bezpečnostní opatření do 1 roku ode dne určení prvkem kritické informační infrastruktury.
• Provádět reaktivní opatření.
• Provádět ochranné opatření.

Správce významného informačního systému

Hlavní povinnosti plynoucí ze Zákona pro orgány definované v §3, písm. e) Zákona:

• Oznámit NBÚ (vládní CERT) kontaktní údaje do 30 dnů ode dne naplnění určujících kritérií.
• Detekovat kybernetické bezpečnostní události.
• Začít hlásit NBÚ (vládní CERT) kybernetické bezpečnostní incidenty do 1 roku ode dne naplnění určujících kritérií pro významné informační systémy.
• Zavést bezpečnostní opatření do 1 roku ode dne naplnění určujících kritérií pro významné informační systémy.
• Provádět reaktivní opatření.
• Provádět ochranné opatření.

Časová osa plnění povinností

Pro ty z vás, kteří netrpělivě vyhlíželi konečné znění připravovaných prováděcích vyhlášek k zákonu o kybernetické bezpečnosti č. 181/2014 Sb., máme potěšující informaci, že vyhlášky v definitivním znění byly 15. 12. 2014 vloženy do elektronické knihovny vlády eKLEP a zaslány k publikování ve Sbírce zákonů. Vyhlášky nabudou účinnosti 1. 1. 2015. Text vyhlášek je ke stažení zde.

K zavedenému pojmu březen – měsíc knihy se začíná do povědomí veřejnosti, zatím alespoň té odborné, dostávat další měsíc, tentokrát říjen – Evropský měsíc kybernetické bezpečnosti.

Letos startuje již třetí ročník celoevropské kampaně, jejímž cílem je zejména osvěta občanů v oblasti kybernetické bezpečnosti. Evropský měsíc kybernetické bezpečnosti (European Cyber Security Month, ECSM) v České republice koordinuje již od pilotního ročníku v roce 2012 Národní centrum bezpečnějšího internetu. Pro letošní ročník převzali záštitu Mgr. Vladimír Rohel, ředitel NCKB, a JUDr. Miroslav Antl, předseda Ústavně-právního výboru Senátu Parlamentu ČR. Přehled akcí, které proběhnou v rámci letošního ročníku.

Více informací o kybernetické bezpečnosti.

Mnohokrát zmiňovaný Zákon o kybernetické bezpečnosti (ZKB), poté, co jej 13. srpna 2014 podepsal prezident republiky, vešel v platnost vyhlášením ve Sbírce zákonů dne 29. srpna 2014 jako zákon č. 181/2014 Sb., o kybernetické bezpečnosti a o změně souvisejících zákonů. Zákon je účinný od 1. 1. 2015.

Se zmíněným zákonem dále úzce souvisejí prováděcí předpisy:

• tzv. Vyhláška o kybernetické bezpečnosti
• Vyhláška, kterou se stanoví významné informační systémy a jejich určující kritéria
• Novela nařízení vlády č. 432/2010 Sb., o kritériích pro určení prvku kritické infrastruktury

Prvně jmenovaná vyhláška by měla doputovat do Legislativní rady vlády do půlky října, druhá v říjnu zamíří do mezirezortního připomínkového řízení. Návrh Nařízení vlády je již k dispozici v Knihovně připravované legislativy.

Všem zákazníkům, na které se budou vztahovat povinnosti stanovené ZKB, nabízí T-SOFT všestrannou pomoc jak s posouzením připravenosti na zavedení zákona, tak s realizací nezbytných opatření v oblasti kybernetické bezpečnosti.

Statiky hovoří o tom, že za 80% úniků dat mohou zneužitá hesla. Jistě se tedy vyplatí věnovat chvilku vytvoření hesla, které si snadno zapamatujete, bude silné a odolné proti jeho prolomení.

 

Správné parametry hesla:

• Délka minimálně 8 znaků.
• Skládá se z VELKÝCH a malých písmen.
• Obsahuje minimálně jedno číslo (1, 2, 3, 4, 5, 6, 7, 8, 9).
  nebo znak (` ~ ! @ # $ % ^ & * ( ) _ – + = { } [ ] \ | : ; “ ‚ < > , . ? /).
• Je dobře zapamatovatelné.
• Nesmí být snadno uhodnutelné.

 

Čeho se vyvarovat:

• NE: obecně užívaná slova (česká ani v jiné řeči), geografické názvy, obecně užívané zkratky
• NE: vlastní jméno, přezdívky
• NE: jméno potomka, partnera
• NE: datum narození, rodné číslo, číslo pojistky
• NE: jméno osobnosti, kapely, fotbalového týmu, domácího mazlíčka

 

Jak heslo vytvořit? Zde je několik tipů:

• Zvolte si obecně známou hlášku, text říkanky, písně nebo tvrzení. Jako například Vařila myšička kašičku, na zeleném rendlíčku a vytvořte si své heslo z počátečních písmen: Vmk,nzr1.
• Využijte pravopisné chyby. Cílem je, aby slovo nebylo rozpoznatelné. Sníh je bílý: Snych.je.byli.
• Nahraďte písmena s háčkem nebo čárkou odpovídajícímu číslu na klávesnici (ě-2, š-3, č-4, ř-5, ž-6, ý-7, á-8, í-9). Sníh je bílý: Sn9hjeb9l7.

 

Pokud už silné heslo máte, tak si ho chraňte.

• Nikdy ho nezapisujte.
• Nesdělujte a nesdílejte ho s jinými uživateli.
• Neukládejte ho lokálně (pro další přihlášení).
• Pozor na odpozorování.
• Pro každou aplikaci si nastavte jiné heslo.

 

 

Jak vytvořit silné heslo a mnoho dalších užitečných bezpečnostních zásad Vás naučíme v Kybernetickém workshopu pro běžné uživatele IT.

 

 

Závěrem uvádíme příklady nejhorších hesel.

Tato hesla nikdy nepoužívejte!

 

 

 

 

Začátkem ledna 2014 schválila vláda České republiky Návrh zákona o kybernetické bezpečnosti a o změně souvisejících zákonů (zákon o kybernetické bezpečnosti, ZKB). Návrh zákona bude následně předložen k dalšímu legislativnímu projednávání v Parlamentu České republiky. Předpokládaná účinnost ZKB je od 1. ledna 2015.

Vzhledem k tomu, že se T-SOFT aktivně zúčastnil přípravy ZKB, byl problematice dopadů a návrhu řešení požadavků připravovaného zákona věnován seminář, který uspořádal spolu s firmou Hewlett-Packard dne 9. 10. 2013 v Prague Business Clubu (podrobnosti níže v této rubrice).

Návazně na ZKB připravil T-SOFT pro zákazníky, kteří budou novým ZKB dotčeni, nabídku na Cyber Security Assessment, který vyhodnotí připravenost na účinnost zákona v oblasti kybernetické bezpečnosti.