ISMS a Bezpečnostní politiky NÚKIB

---

Co je to ISMS? ISMS je anglická zkratka pro systém řízení bezpečnosti informací – Information Security Management System. Jedná se o ucelený systém řízení, dokumentace, technických opatření a kontroly, který organizaci slouží k zajištění bezpečnosti informací. Jeho zavedení vychází pro NÚKIB jakožto povinnou osobu ze zákona o kybernetické bezpečnosti.

Působnost ISMS NÚKIB je určena jeho rozsahem a hranicemi. Z pohledu organizační struktury je do ISMS zahrnuta celá organizační struktura NÚKIB a požadavky ISMS jsou závazné pro všechny zaměstnance NÚKIB. Do rozsahu ISMS jsou zahrnuta všechna primární a podpůrná aktiva NÚKIB, zjednodušeně řečeno všechny činnosti, informace, aplikace, zaměstnanci a dodavatelé, které NÚKIB využívá. Z ISMS NÚKIB jsou vyloučena aktiva, která jsou řízena podle zákona č. 412/2005 Sb. o ochraně utajovaných informací a bezpečnostní způsobilosti.

Vzdělávání zaměstnanců NÚKIB v oblasti bezpečnosti

---

Systém řízení bezpečnosti informací je postaven na pravidlech a bezpečnostních opatřeních. Znalost pravidel obsažených v bezpečnostních politikách NÚKIB je zásadní pro správné zajištění bezpečnosti všech aktiv NÚKIB.

Kontinuální zvyšování bezpečnostního povědomí je základem pro udržení a rozvoj bezpečnosti NÚKIB, přičemž zaměstnavatel za tímto účelem zaměstnance podporuje a motivuje v rozsahu podmínek pro interní a externí vzdělávání.

Klasifikace a manipulace s informacemi

---

Pod pojmem klasifikace informací se rozumí označení informace příslušným identifikátorem, který příjemcům informace specifikuje způsob nakládání s informací z pohledu její důvěrnosti. Z toho vyplývá, že pro bezpečné nakládání s informacemi, musí být informace označena správným klasifikačním stupněm.

V prostředí NÚKIB jsou stanoveny klasifikační stupně důvěrnosti informací včetně základního rozsahu jejich sdílení dle platného TLP (Traffic Light Protocol) vydávaného společností FIRST.Org, Inc. 

Tyto klasifikační stupně platí pouze pro neutajované informace a nevztahují se na informace chráněné dle zákona č. 412/2005 Sb. o ochraně utajovaných informací a bezpečnostní způsobilosti. Výjimku z klasifikace informací tvoří dokumenty a informace, které ze své povahy nelze klasifikačním stupněm označit, například zásahem do dokumentů třetích stran, kde NÚKIB není jejich původcem nebo se jedná o specifické dokumenty (např. smlouvy atp.).

PRAVIDLA PRO MANIPULACI S INFORMACEMI:

a. Označení informací v podobě elektronických a tištěných dokumentů musí být provedeno v záhlaví a v zápatí dokumentu dle standardu společnosti FIRST.Org, Inc.

b. Pokud byl klasifikační stupeň původcem stanoven nebo vyhodnocen jako TLP:RED, musí být v předmětu e mailu na začátku uvedena klasifikace informace TLP:RED a e-mail musí být zašifrován (např. prostřednictvím certifikátu). Tam, kde je to vhodné, je doporučeno uvést klasifikační stupeň i na konec e-mailové zprávy.

c. Dokumenty vytištěné na sdílených síťových tiskárnách musí být po vytištění ihned odebrány původcem tisku, aby byla zachována příslušná úroveň důvěrnosti a zajištěno dodržení principu need-to-know.

d. Při opuštění pracoviště, např. po skončení pracovní doby nebo delší nepřítomnosti je ve sdílených kancelářích dodržováno pravidlo čistého stolu a uzamykání obrazovky. Dokumenty a výměnná média obsahující informace klasifikované stupněm TLP:RED musí být uchovávány uzamčené v příslušném vybavení kanceláře (nábytek, trezor atp.).

e. V privátním cloudovém úložišti, které je NÚKIB poskytováno společností Microsoft, je možné zpracovávat informace klasifikované jakýmkoli klasifikačním stupněm, tj. TLP:CLEAR – TLP:RED. Jedná se cloudové úložiště, které je vyhrazeno pouze pro NÚKIB (tzv. privátní tenant) a jsou v něm provozovány služby Microsoft O365 v rámci platných licencí. Jiná cloudová úložiště, vyjma zpracování informací s klasifikací TLP:CLEAR a úložišť služeb NÚKIB dedikovaných pro předávání velkých objemů dat (Filesender Cesnet), není možné využívat.

f. V případě použití přenosných záznamových médií opouštějících perimetr NÚKIB platí, že ukládané informace klasifikované stupněm TLP:RED, AMBER a AMBER+STRICT musí být šifrované (informace nebo celé médium).

g. Pokud jsou partnerským subjektům předávány jakékoli klasifikované informace na datových nosičích, je potřeba použít vždy nový nosič dat z výroby (typicky USB disk) nebo datový nosič naformátovaný způsobem znemožňujícím zpětné obnovení původních dat.

Princip need to know / use

---

Využití principu need to know / use (potřeba znát / užívat) je bezpečnostním opatřením, které zajišťuje, že uživatel má přístup pouze k těm aktivům, které vyžaduje plnění svěřených úkolů spojených s jeho pracovním zařazením v organizaci. Tento přístup je využíván při přístupu ke všem aktivům v rozsahu ISMS NÚKIB.

Každý zaměstnanec má při nástupu do NÚKIB nebo při změně pracovní pozice pouze základní přístupová práva, která jsou definována pro jeho pracovní pozici / roli.