BEZPEČNOSTNÍ POLITIKA ISVS

Transkript

1 MĚSTO VESELÍ NAD MORAVOU BEZPEČNOSTNÍ POLITIKA ISVS ATESTAČNÍ MINIMUM Verze 2.0 prosinec 2018 Zpracovatel: Město Veselí nad Moravou Se sídlem: tř. Masarykova 119, Veselí nad Moravou IČ:

2 OBSAH: 1. Úvod Základní údaje o Bezpečnostní politice ISVS Definice informační bezpečnosti Cíle bezpečnostní politiky Odpovědnost Činnost a odpovědnost bezpečnostního správce ISVS Odpovědnost uživatele IS Bezpečnostní opatření Fyzická bezpečnost Kontrola fyzického přístupu Servery Počítačové stanice PC Notebooky a telefony Počítačová síť Sdílené disky a přenosná média Přístup třetích stran Protipožární ochrana Bezpečnost SW infrastruktury ISVS Uživatelské účty Hesla Rozsah oprávnění řízení přístupu k IS Antivirová a antispamová ochrana Bezpečnost elektronické pošty Přístup k internetu a jiným datovým sítím Bezpečnost dat Ochrana osobních údajů Zálohování dat Předávání dat Bezpečnost vazeb ISVS Bezpečnost provozu ISVS v režimu outsourcingu Řešení bezpečnostních incidentů Vysvětlení použitých zkratek a pojmů, zdroje Zkratky Pojmy Literatura, zdroje strana 2 (celkem 15)

3 1. Úvod Bezpečnostní politika specifikuje obecně celkové cíle a strategii města Veselí nad Moravou (dále jen město ) při koordinaci, budování a provozu informačního systému v oblasti bezpečnosti, zejména pak bezpečnostní opatření, která město uplatňuje při zajišťování bezpečnosti svých ISVS, a která odpovídají bezpečnostním cílům stanovených v dokumentu Informační koncepce tohoto orgánu veřejné správy, a vytváří tak odpovídající platformu pro naplnění povinnosti orgánů veřejné správy na zajištění informační bezpečnosti svých ISVS podle zákona č. 365/2000 Sb., o informačních systémech veřejné správy a o změně některých dalších zákonů, ve znění pozdějších předpisů (dále jen zákon o ISVS ), a k zajištění ochrany osobních údajů podle nařízení Evropského parlamentu a Rady (EU) č. 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů dále jen nařízení GDPR ). Bezpečnostní politika je nedílnou součástí souboru vnitřních směrnic města a je závazná pro zaměstnance města Veselí nad Moravou a další osoby s oprávněním přístupu do ISVS města Základní údaje o Bezpečnostní politice ISVS Název dokumentu: Bezpečnostní politika ISVS Datum dokončení: Datum schválení: Způsob schválení: Doba platnosti: Rada města Veselí nad Moravou usnesení č. 5/3/RMV/ let Platnost od kdy: Č. j.: MVNM/39664/2018 Aktuální verze: Definice informační bezpečnosti Pojem informační bezpečnost podle 5b zákona o ISVS znamená pro orgány veřejné správy povinnost uplatnit opatření odpovídající bezpečnostním požadavkům na zajištění důvěrnosti, integrity a dostupnosti informací zpracovávaných v informačních systémech veřejné správy. Důvěrnost znamená zajištění přístupu k informacím pouze autorizovanými uživateli s potřebným oprávněním. Integrita obnáší zajištění správnosti a úplnosti informací a procesů. Dostupnost zajišťuje, že oprávnění uživatelé mají přístup k informacím a souvisejícím aktivům tehdy, kdy je potřebují nebo jsou jimi požadovány. strana 3 (celkem 15)

4 1.3. Cíle bezpečnostní politiky Bezpečnostní politika stanoví pravidla pro zajištění bezpečného užívání IS města. Dodržování těchto bezpečnostních pravidel je jednou ze základních podmínek pro zajištění bezpečného provozu ISVS a jeho ICT infrastruktury. Cílem je zejména zajištění trvalé a kvalitní informatické podpory činnosti města, zajištění bezpečného přístupu k informacím a vymezení povinností a odpovědností ve vztahu k informační bezpečnosti. Bezpečnostní politika ISVS slouží také jako podklad pro školení uživatelů v oblasti informační bezpečnosti města. Každý uživatel s oprávněním přístupu k informačnímu systému města musí být s ustanoveními Bezpečnostní politiky seznámen a má za povinnost je dodržovat Odpovědnost Každý zaměstnanec používající prostředky informačního systému města je v rámci své činnosti zodpovědný za dodržování této bezpečnostní politiky a všech stanovených souvisejících předpisů tohoto orgánu veřejné správy. Pro ISVS města jsou v oblasti jeho správy stanoveny, v souladu s ustanovením 12 vyhlášky č. 529/2006 Sb., o požadavcích na strukturu a obsah informační koncepce a provozní dokumentace a o požadavcích na řízení bezpečnosti a kvality informačních systémů veřejné správy (vyhláška o dlouhodobém řízení informačních systémů veřejné správy), vždy následující dvě role: správce systému zaměstnanec nebo jiná fyzická osoba, která zajišťuje řízení provozu ISVS (nebo jeho stanovené části), bezpečnostní správce ISVS zaměstnanec nebo jiná fyzická osoba, která zajišťuje kontrolu bezpečnosti informačního systému veřejné správy. Činnost bezpečnostního správce ISVS je stručně popsána v tomto dokumentu. Funkci bezpečnostního správce ISVS pro všechny ISVS města a MěÚ vykonává bezpečnostní správce ISVS určený tajemníkem MěÚ. Pro uživatele ISVS je v rámci města standardně stanovena role Uživatel jejímž nositelem je každý příslušně autorizovaný pracovník města, využívající prostředky IS města a podle rozhodnutí města i případné další subjekty Činnost a odpovědnost bezpečnostního správce ISVS Bezpečnostní správce ISVS města (nebo jeho stanovené části) v oblasti zajištění odpovídající informační bezpečnosti odpovídá za provedení především, ale nejenom, následujících činností: obecně: implementace stanovené bezpečnostní politiky ISVS města, návrh, implementace, údržba, monitoring a vyhodnocování vhodných bezpečnostních opatření, identifikace možných bezpečnostních hrozeb potenciálně ohrožujících ISVS a návrhy opatření na snížení nebo eliminaci rizika jejich dopadu na informační aktiva, spolupráce se správcem systému v oblasti správy softwarové infrastruktury (aplikační programové vybavení, systémový sw, speciální sw, komunikační sw, networking, atd.) a zajišťování její provozu a užívání v souladu s bezpečnostními pravidly města a další (pokud existuje) bezpečnostní dokumentací (např. ustanovení o bezpečnosti: v provozní dokumentaci IS, k aplikacím, poskytovaným sw službám, systémovému software apod. od jejich dodavatelů, dále bezpečnostní ustanovení v SLA pro outsourcované služby, apod.), strana 4 (celkem 15)

5 v rámci své stanovené kompetence udržovat / zajišťovat údržbu dostupné provozní dokumentace týkající se informační bezpečnosti ISVS města v aktuálním stavu, upozorňovat vedení města na nedostatky v oblasti bezpečnosti spravovaných ISVS, průběžně kontrolovat stav zálohovacích systémů a ochranných sw systémů a aplikací (antiviry, anti spamy, firewally, DLP, IPS apod.), vyhodnocovat identifikované bezpečnostní útoky a učiněná zjištění předávat na stanovené funkční místo nebo odpovědný subjekt, řešit bezpečnostní incidenty ve spolupráci se stanoveným odpovědným (nadřízeným) pracovníkem a pověřencem GDPR, chránit data, technické a programové prostředky a služby poskytované informačními systémy města všemi dostupnými prostředky před neautorizovaným přístupem Odpovědnost uživatele IS Odpovědnost každého uživatele IS města jej zavazuje především, ale nejenom, k následujícímu chování a činnostem: chránit prostředky informačního systému, k nimž mu byl udělen přístup, přijmout odpovědnost za aktiva jemu svěřené, hlásit bezpečnostnímu správci ISVS veškeré zjištěné nedostatky v zabezpečení IS, a uživatelsky identifikované bezpečnostní incidenty nebo podezření na ně, nakládat s osobními údaji v souladu s platnou legislativou (nařízení GDPR a ustanovení aktuálního českého zákona o ochraně osobních údajů), nesdělovat nikomu své heslo pro přístup k IS a nesnažit se o získání cizí identity, dodržovat další ustanovení tohoto dokumentu, provozních řádů IS a dalších závazných směrnic města relevantních k oblasti bezpečného provozu IS a ISVS. strana 5 (celkem 15)

6 2. Bezpečnostní opatření Zabezpečení jednotlivých aktiv informačního systému města je dáno jejich hodnotou a charakterem zpracovávaných dat. V dalších částech textu této Bezpečnostní politiky ISVS jsou uvedena základní bezpečnostní opatření implementovaná pro ochranu dlouhodobých cílů stanovených v pro oblast bezpečnosti ISVS (vyhláška č. 529/2006 Sb., 4, odst. 1), kterým jsou vždy: bezpečnost dat, která jsou v těchto systémech zpracovávána, bezpečnost technických a programových prostředků, bezpečnost služeb, které jsou prostřednictvím těchto systémů poskytovány Fyzická bezpečnost Kontrola fyzického přístupu Servery Úřad využívá ke střežení některých svých objektů elektronické zabezpečovací zařízení, připojené na PCO městské policie s nepřetržitým dohledem. Zabezpečovací zařízení je ovládáno kódy přidělenými konkrétním osobám a je aktivní mimo pracovní dobu města. Běžné kanceláře pracoviště s PC a periferiemi jsou zajištěny uzamčením v době nepřítomnosti zaměstnanců. Klíče od jednotlivých kanceláří jsou přiděleny pouze těm osobám, které v nich vykonávají své pracovní činnosti nebo jejich nadřízeným. V mimopracovní době má do těchto místností přístup úklidová služba. Náhradní klíče jsou uloženy na odboru kancelář tajemníka. Cizí osoby mohou do kanceláří vstupovat a pobývat tam pouze za přítomnosti zaměstnanců úřadu. Do kanceláří s přepážkou smí vstupovat za přepážku pouze tam zaměstnané úřední osoby, jejich nadřízení, pracovnice úklidu a informatici. Klíčová aktiva IS města servery a centrální aktivní prvky počítačové sítě jsou umístěny ve zvláštních prostorách serverovnách s omezeným přístupem. Přístup pouze vyhrazeným pracovníkům je zabezpečen speciálním klíčem a zvláštním okruhem EZS. Tyto prostory jsou vybaveny klimatizací. Součástí omezení fyzického přístupu je stanovení pravidel údržby a úklidu v těchto prostorách. Za server je považován takový hardware, který má nainstalovaný síťový operační systém nebo desktopový operační systém, který je využíván pro služby síťového provozu. Každý server musí splňovat požadavky na minimální bezpečnostní nastavení provádí informatik. Tyto požadavky jsou sestaveny v závislosti na použitém operačním systému a jsou průběžně aktualizovány. Práce na konzolách serverů je povolena pouze administrátorovi. Servery jsou zapojeny do zvláštního elektrického obvodu se samostatným jištěním a jsou vybaveny záložními zdroji elektrické energie (UPS). Serverovny jsou klimatizovány. Všechna zařízení jsou provozována v souladu s doporučením výrobce. strana 6 (celkem 15)

7 2.1.3 Počítačové stanice PC Pokud to povaha činnosti uživatele umožňuje, musí mít PC nastaveno automatické zamykání min. po 15 min. nečinnosti chráněné heslem. Toto a další technická opatření pro zabezpečení bezpečnosti jsou nastavována centrálně přes nastavení skupinových politik na doménovém serveru. Nastavení provádí bezpečnostní správce ISVS Notebooky a telefony Veškeré SIM karty musí být chráněny kódem PIN. Přístup do mobilního zařízení musí být chráněn heslem nebo obdobnou soudobou technologií. Zařízení musí mít nastaveno automatické zamykání po max. 5 min. nečinnosti. Pokud se na noteboocích a chytrých telefonech vyskytují osobní údaje a pokud to přístroj umožňuje, musí být jeho obsah šifrován Počítačová síť Pro zamezení možného zneužití jsou nepoužívané zásuvky počítačové sítě vypnuty. Pro oddělení jednotlivých částí počítačové sítě (MěÚ, městské organizace, WiFi pro veřejnost) jsou používány VLAN Sdílené disky a přenosná média Místní i cloudové sdílené disky jsou spravovány informatiky, kteří dokumentují jejich základní strukturu a přidělená oprávnění. Všechna média (např. FLASH disky), zvláště ta, která jsou doručována zvenčí, musí být před použitím zkontrolována antivirovým softwarem s co nejaktuálnější virovou databází. V prostředí IS úřadu je dovoleno používat jen média schválené a evidované informatiky. Všechna používaná média musí být pod kontrolou zaměstnanců úřadu, aby nemohlo dojít k jejich odcizení či neoprávněnému použití. Pokud média obsahují osobní údaje, musí být uložena v zašifrované podobě, a to buď šifrování na úrovni souboru (Word, Excel), nebo celého média. Instalační média a média s archivními daty musí být uložena na bezpečném místě s omezeným přístupem. Správu archivu médií provádí odbor kancelář tajemníka Přístup třetích stran Třetí stranou se v rámci tohoto dokumentu rozumí pracovník dodavatele informačního systému (nebo jeho části) nebo jiného aktiva IS města. Může se též jednat o technika specialistu pracujícího na objednávku města nebo o servisního pracovníka řešícího závadu na místě. Takovéto osoby mohou přistupovat k prostředkům IS města jen pod stálým dohledem a na žádost pověřeného pracovníka města. Je-li přístup třetí strany realizován prostřednictvím dálkové správy (např. VPN, TeamViewer), je to možné pouze za předpokladu, že se tak děje prostřednictvím zvláštního účtu s nejnutnějšími přístupovými právy a v šifrované podobě. strana 7 (celkem 15)

8 Vzdálený přístup třetí strany musí být logován a pravidelně kontrolován Protipožární ochrana Protipožární ochrana budov a dalšího majetku je řešena prostřednictvím dalších vnitřních směrnic města Bezpečnost SW infrastruktury ISVS Realizace bezpečnosti softwarové infrastruktury (a nezbytné technické ICT infrastruktury), pomocí které je zajištěna požadovaná funkcionalita a služby ISVS. Je řešena ve spolupráci s dodavateli. V tomto ohledu se jedná zejména o outsourcing služeb pro podporu a údržbu SW, jako např. instalace nových verzí serverových operačních systémů, popř. operačních systémů klientských stanic, aplikačního SW, bezpečnostních a aplikačních service packů atd. Pro centralizovanou správu, údržbu a aktualizaci SW a OS pracovních stanic se využívají příslušné SW nástroje a prostředky dle provozní dokumentace. V průběhu procesu údržby a rozvoje technických a programových prostředků ISVS města musí být zajištěno, že jak fyzický přístup, tak i přístup k funkcím a datům ISVS, pracovníků třetích stran, které tyto činnosti zajišťují, musí být pod odpovídající kontrolou bezpečnostního správce ISVS Uživatelské účty Hesla Každý uživatel IS města musí mít svůj vlastní uživatelský účet. Uživatel nese plnou odpovědnost za všechny činnosti v informačním systému, které byly vykonány pod jeho uživatelským účtem. Heslem se rozumí posloupnost znaků používaná pro ověření totožnosti uživatele. Zadávání hesel představuje základní ověřovací mechanismus v IS města. Každý uživatel si musí být vědom svojí osobní odpovědnosti za správnou práci s hesly. Uživatel je při zadávání hesla povinen chovat se tak, aby heslo nemohla zjistit a zneužít neoprávněná osoba. Zároveň si každý musí uvědomit, že je nutné důsledné odhlašování při skončení nebo dlouhodobějším přerušení práce. Uživatel nikdy nesděluje svá hesla další osobě a při podezření na vyzrazení příslušné heslo musí okamžitě změnit. Hesla uložená v písemné podobě musí být řádně zabezpečena proti zneužití. Je zakázáno je přeposílat pomocí elektronické pošty. V rámci informačního systému smí být používána jen silná hesla, splňující následující požadavky: - minimální délka 7 znaků, - nesmí být založeno na jménech či osobních údajích uživatele, nebo být snadno uhodnutelná, - obsahuje alespoň jednu číslici, - je tvořeno kombinací velkých i malých písmen. Pro zabezpečení hardwarových autentizačních prostředků (tokenů, karet) jsou používány PIN kódy o min. délce 4 číslice. Pro PIN kód nesmí být používány snadno uhodnutelné kombinace (např. 0000,1111,1234 apod.) strana 8 (celkem 15)

9 2.2.3 Rozsah oprávnění řízení přístupu k IS Rozsah oprávnění uživatelského účtu stanoví, není-li zvláštním předpisem stanoveno jinak, přímý vedoucí uživatele (u pracovníků města), popřípadě tajemník MěÚ (u jiných osob). V případě nástupu nového zaměstnance je zřízen nový přístup na základě písemného požadavku vedoucího odboru nebo oddělení, do kterého nový zaměstnanec nastupuje. V případě převedení zaměstnance na jinou pracovní pozici aktualizuje informatik soubor přístupových oprávnění na základě písemného požadavku vedoucího odboru nebo oddělení, do kterého je zaměstnanec převáděn. V případě ukončení pracovního poměru zaměstnance informatik na pokyn personalistky oddělení KS písemně potvrzený nadřízeným zaměstnance zruší uživatelský účet a přidělená oprávnění odcházejícího zaměstnance. Zároveň provede zálohu osobních uživatelských dat včetně obsahu poštovní schránky a tuto zálohu uloží na určené místo. Konkrétní oprávnění uživatelů přiděluje informatik města, který odpovídá za vedení a aktualizaci evidence o uživatelích a jejich autorizaci ke zdrojům IS. Informatik zřídí uživatelský účet včetně přístupů k příslušným aplikacím a po poučení předá přístupové údaje přímo zaměstnanci. Platí zásada, že privilegovaný přístup (nejvyšší úroveň oprávnění - např. systémoví administrátoři apod.) ke zdrojům IS se uděluje pouze výjimečně, a pokud je to možné, tak jen na určitou dobu Antivirová a antispamová ochrana Na každé stanici připojené do počítačové sítě města musí být nainstalován a zprovozněn antivirový a antispamový systém provádějící nepřetržitou antivirovou/antispamovou kontrolu a celkovou kontrolu stanice, automaticky naplánovaným spouštěním příslušné aplikace. Pro antivirovou a antispamovou ochranu stanic, serverů i pro ochranu elektronické pošty se používá odpovídající bezpečnostní aplikace, jejichž aktualizace je prováděna zpravidla automatizovaně prostředky vzdálené správy. Nefunkčnost antivirového/antispamového systému nebo zjištění viru/spamu je nutné ihned oznámit bezpečnostnímu správci ISVS, který prošetří příčinu a zajistí nápravu. Antivirová ochrana stanic je centrálně spravována a monitorována. Uživatelům je zakázáno: - vypínat prostředky antivirové ochrany na stanici během pracovní činnosti, - manipulovat s nastavením antivirového software, - přerušovat probíhající testy na přítomnost virů Bezpečnost elektronické pošty Všechna příchozí a odchozí elektronická pošta je kontrolována prostředky antivirové a antispamové ochrany. Každý zaměstnanec úřadu má k dispozici poštovní schránku se standardizovaným jménem. Elektronická pošta je určena výhradně ke služebním účelům. strana 9 (celkem 15)

10 Uživatel je povinen: - mít během pracovní doby spuštěného klienta elektronické pošty, - vhodnými způsobem minimalizovat velikost odesílaných zpráv, - dbát zákazu zasílání nevyžádaných zpráv, - neotvírat zprávy přicházející z podezřelých zdrojů, - nepoužívat fre y (např. seznam.cz, gmail.com) bez souhlasu bezpečnostního správce ISVS, - nezasílat osobní údaje v otevřené (nezašifrované) podobě, Technickými prostředky je zamezeno zasílání nebezpečných příloh (.exe,.dll, apod.) Přístup k internetu a jiným datovým sítím Přístup k jiným datovým sítím je chráněn před neoprávněným přístupem do vnitřní počítačové sítě (firewall). Datový provoz na firewallu je monitorován, pro monitoring je maximálně využíváno všech možností, které použité technické řešení umožňuje, mimo jiné zamezení použití nestandardních portů nebo práci s nebezpečnými typy příloh. Uživatelé mohou používat Internet a výpočetní techniku pouze k pracovním záležitostem, soukromé využití není dovoleno. Při využívání Internetu jsou uživatelé povinni dodržovat bezpečnostní opatření stanovená v rámci úřadu. Uživatelům je zakázáno: - provádět takovou činnost, která je v rozporu s platnými zákony, právními předpisy a interními směrnicemi úřadu, - přistupovat na stránky, které nejsou potřeba pro výkon pracovních povinností, - přistupovat na stránky obsahující nebezpečný či nezákonný obsah (warez, pornografie, propagace fašismu apod.) Bezpečnost dat Pro dodržení vysoké míry datové bezpečnosti jsou na serverech technologického centra použita disková pole RAID5. Tak i v případě poruchy na jednom či dvou discích současně je možno dodržet nepřerušený provoz IS bez ztráty dat s minimálními náklady na jeho obnovu. Zachování důvěrnosti dat platí pro celý IS města, zvýšený důraz na bezpečnost je kladen na specializovaných pracovištích (krizové řízení, personální a mzdový útvar apod.) Ochrana osobních údajů Osobní údaje a citlivá data odpovídající definici nařízení GDPR a příslušného českého zákona o ochraně osobních údajů, musí být zabezpečeny odpovídajícím způsobem proti zneužití a neoprávněnému přístupu. Problematiku ochrany osobních údajů specifikuje vnitřní směrnice města. Pro zabezpečení ochrany osobních údajů jsou mimo jinde uvedená opatření implementována následující opatření: - zákaz zasílání osobních údajů na webové stránky bez HTTPS zabezpečení, - soubory s osobními údaji (např. ve Wordu a Excelu) ukládat na centrální sdílené disky (O: apod.), nikoli na lokální disky. strana 10 (celkem 15)

11 2.5.2 Zálohování dat Pro případy nenadálé havárie a z ní vyplývající možné ztráty dat a dostupnosti poskytovaných služeb ISVS je nutné zabezpečit jejich co nejrychlejší obnovu. Zálohování je prováděno pravidelně denně v potřebných intervalech a kopiích. Centrálně zálohována jsou pouze data (daty zde rozumíme kompletní provozní datovou část produktivního systému ISVS databáze, parametry pro nastavení, programy, a případné další komponenty provozní sw infrastruktury) umístěné na sdílených serverech. Za proces realizace zálohování serverové části sw infrastruktury ISVS je odpovědný odbor kancelář tajemníka. Za zálohování dat umístěných na lokálních stanicích jsou odpovědni konkrétní uživatelé, kterým je přidělen harmonogram provádění záloh a potřebný diskový prostor na serverech nebo odpovídající nosiče dat. Kontrola technického stavu záloh Vytvořené zálohy musí být pravidelně kontrolovány, zda jsou v takovém technickém stavu, že z nich lze požadovanou obnovu kompletního ISVS (sw, data) provést. Kontrolu technického stavu vytvořených záloh provádí informatik města. O provedení takové kontroly vede bezpečnostní správce ISVS průkazné záznamy, které musí být odpovídajícím způsobem chráněny před zničením nebo neoprávněným zásahem. Každá záloha musí být patřičně označena všemi potřebnými a požadovanými údaji (co obsahuje záložní médium, datum vytvoření atd.) Předávání dat Veškeré evidence o předávání dat a informací mimo úřad musí být vedeny podle příslušných předpisů tak, aby bylo kdykoliv zjistitelné, jak bylo s daty manipulováno. Přitom se daty a informacemi ve smyslu tohoto ustanovení rozumí jak elektronické údaje v počítačích a na technických nosičích dat, tak i údaje na papírových mediích. Data a informace mohou být oprávněné osobě předány jen v rozsahu daném prokazatelně jejím oprávněním nebo zmocněním. Data obsahující osobní údaje může předat v souladu s platnými předpisy vždy jen pracovník k tomu oprávněný. Oprávněnost vyplývá z organizačního zařazení pracovníka a popisu jeho pracovního místa. Jakékoliv identifikované pokusy o získání dat neoprávněnými osobami je třeba okamžitě oznámit přímo nadřízenému vedoucímu pracovníkovi Bezpečnost vazeb ISVS Aktuálně platná zákonná ustanovení pro oblast ISVS a jejich vazeb rozlišuje dva přístupy k zajištění jejich bezpečnosti, které souvisejí s rolí ISVS. Bezpečnostní požadavky jsou odvozeny od toho, zda je ISVS v roli poskytovatele služby nebo v roli příjemce služby. strana 11 (celkem 15)

12 ISVS v roli poskytovatele služby V případě, že se na konkrétní ISVS města a jím poskytované služby vztahuje povinnost atestace referenčního rozhraní podle vyhlášky č. 53/2007 Sb., o technických a funkčních náležitostech uskutečňování vazeb mezi informačními systémy veřejné správy prostřednictvím referenčního rozhraní (vyhláška o referenčním rozhraní), pak je bezpečnost této vazby a v rámci ní poskytovaných služeb zajištěna povinným atestem RR. ISVS v roli příjemce služby V případě, že je konkrétní ISVS v roli příjemce služby poskytované informačním systémem veřejné správy jiného správce typický příklad je automatizovaná datová výměna mezi ISVS orgánu veřejné správy (např. územní samosprávní celek) a ISVS SZR (správa základních registrů), který poskytuje k ověření referenční data ze Základních registrů (více viz dokumentace egovernmentu, např. na portálu MVČR), pak musí ISVS v roli příjemce splňovat následující bezpečnostní požadavky: akceptovat technickou specifikaci rozhraní a bezpečnostní politiky poskytované služby publikované pro tento účel v dokumentaci k poskytované službě správcem ISVS poskytujícího služby, zabezpečit vhodným autentizačním procesem, že jeho ISVS v rámci vydání žádosti o vytvoření vazby s ISVS poskytujícím službu, komunikuje s autentickým ISVS (zabránit podvržení identity), zajistit přístup k požadované službě prostřednictvím funkcionality svého ISVS pouze příslušně autentizovaným a autorizovaným uživatelům, v případě potřeby realizovat v rámci této datové komunikace další bezpečnostní opatření vydaná bezpečnostním správcem ISVS Bezpečnost provozu ISVS v režimu outsourcingu Podle vyhlášky č. 529/2006 Sb. má povinnost vypracovat bezpečnostní politiku ISVS také ten správce ISVS, který není jejich provozovatelem. V praxi se typicky jedná o ISVS, jejichž provoz je zajišťován dodavatelsky, např. v hostingovém centru specializovaného dodavatele apod. V takovém případě je bezpečnost konkrétního ISVS dána zpravidla ustanoveními o zabezpečení jeho dat, dostupnosti jím poskytovaných služeb a zabezpečení jeho technických a programových prostředků ve smlouvě o úrovni poskytovaných služeb (SLA), uzavřené mezi správcem ISVS a jeho provozovatelem. MěÚ Veselí nad Moravou provozuje v režimu outsourcingu následující ISVS: Webové stránky města a elektronický registr oznámení. Aplikace redakčního systému je umístěna na prostředcích poskytovatele WEBHOUSE, s.r.o., se kterým má město smluvně zajištěny podmínky provozu, zajištění bezpečnosti dat a úroveň poskytovaných služeb. Profil zadavatele Město Veselí nad Moravou. IS pro zadavatele veřejných zakázek, poskytuje OVANET a. s. strana 12 (celkem 15)

13 3. Řešení bezpečnostních incidentů Veškeré bezpečnostní incidenty v rámci ISVS jsou neprodleně řešeny bezpečnostním správcem ISVS a podle charakteru incidentu také v součinnosti s pověřencem GDPR. Řešení incidentu má zpravidla následující průběh: Identifikace bezpečnostního incidentu. Incident je ihned po jeho zjištění nahlášen telefonicky a potvrzen v písemné formě (např. ) bezpečnostnímu správci ISVS. Analýza incidentu. Bezpečnostní správce ISVS provede zjištění přesného rozsahu, a pokud je to možné i příčiny incidentu. Oznámení bezpečnostního incidentu. Po analýze rozsahu, příčin a možných důsledků jsou na bezpečnostní událost stanoveným komunikačním kanálem (prostřednictvím elektronické pošty, intranet města, popř. telefonicky) bezpečnostním správcem ISVS upozorněni všichni nebo dotčení uživatelé IS, a současně je jim sdělen rozsah dočasných omezení provozu informačního systému (pokud k nim v důsledku incidentu dojde). Nouzový režim provozu ISVS. Je-li to relevantní a vyžaduje-li to konkrétní situace (zejména potrvá-li odstranění následků incidentu delší dobu), stanoví bezpečnostní správce ISVS ve spolupráci se správcem systému a tajemníkem MěÚ (v případě potřeby také s vedoucími dotčených útvarů) náhradní nouzový režim provozu IS. Bezpečnostní správce ISVS a správce systému vydají potřebné pokyny pro nouzový režim provozu ISVS platné až do jeho odvolání. Následky incidentu jsou odstraněny. Celý průběh včetně řešení je zaevidován. Pokud byl stanoven nouzový režim provozu IS, je tento po otestování správné funkčnosti IS odvolán. Záznamy o vzniku, průběhu, důsledcích a řešení bezpečnostní události musí být uloženy u bezpečnostního správce ISVS a chráněny proti neautorizované manipulaci. Vyhodnocení incidentu a přijetí opatření. Podle charakteru incidentu jsou vyvozeny důsledky. Jedná se například o vznik nového požadavku na IS města, který zabrání opakování stejné, změnu či doplnění interních směrnic města, poučení uživatelů, proč k incidentu došlo apod. V případě ohrožení důvěrnosti dat v ISVS je v obecném smyslu postupováno podle platné legislativy ČR, této Bezpečnostní politiky a dalších relevantních interních směrnic města. strana 13 (celkem 15)

14 4. Vysvětlení použitých zkratek a pojmů, zdroje 4.1. Zkratky DLP DŘ ISVS EZS IPS ICT IS ISVS MěÚ MVČR PCO RR SLA SW data loss prevention systém zachování bezpečnosti při zachování přístupnosti dlouhodobí řízení informačních systémů veřejné správy (více viz zákon o ISVS a jeho prováděcí vyhlášky) elektronický zabezpečovací systém intrusion prevention system systém pro prevenci průniku do IS Information and Communications Technology informační a komunikační technologie informační systém informační systém veřejné správy ve smyslu zákona o ISVS a jeho prováděcích předpisů Městský úřad Veselí nad Moravou Ministerstvo vnitra ČR pult centrální ochrany referenční rozhraní service level agreement dohoda o úrovni poskytovaných služeb mezi dodavatelem a zákazníkem software (programové vybavení) 4.2. Pojmy Outsourcing činnosti zajišťované extérními zdroji na základě smlouvy, Referenční rozhraní ISVS viz zákon o ISVS, 2, písm. j): způsobilost k realizaci vazeb ISVS s jinými ISVS prostřednictvím tzv. referenčního rozhraní. Toto rozhraní je v rámci metodiky MVČR definováno jako souhrn právních, technických, organizačních a jiných opatření vytvářejících jednotné integrační prostředí inf. systémů veřejné správy, které poskytuje kvalitní soustavu společných služeb, včetně služeb (viz níže) výměny oprávněně vyžadovaných informací mezi jednotlivými ISVS orgánů veřejné správy. Služba činnost informačního systému uspokojující dané požadavky oprávněného subjektu spojená s funkcí informačního systému; podle platné metodiky pro oblast RR od MVČR: služba je reakce (a činnost) informačního systému na žádost o službu nebo informace. Správce ISVS viz zákon o ISVS, 2, písm. c): správcem ISVS je subjekt, určující podle tohoto zákona účel a prostředky zpracování informací a za informační systém odpovídá. Pověřenec GDPR pověřenec pro ochranu osobních údajů dle v článku 37 až 39 nařízení GDPR. SW infrastruktura soubor softwarového vybavení umožňující požadovanou funkčnost ISVS; zejména se jedná o: strana 14 (celkem 15)

15 Vazba systémový software (operační systémy a jejich součásti, komunikační software, databázové systémy, webové servery, middleware, zálohovací softwarové systémy atd.), aplikační software, jako jsou modulární informační systémy, samostatné speciální aplikace, kancelářské programy, komunikační a speciální software (sw v oblasti networking, webové služby atd.). viz zákon o ISVS, 2, písm. s): vazbou mezi ISVS je vzájemné nebo jednostranné poskytování služeb a informací; příslušná metodika MVČR pro ISVS upřesňuje, že jde o automatizované vzájemné nebo jednostranné poskytování služeb a informací Literatura, zdroje Zákon č. 365/2000 Sb., o informačních systémech veřejné správy a o změně některých dalších zákonů, ve znění pozdějších předpisů (zákon o ISVS). Vyhláška č. 529/2006 Sb., o požadavcích na strukturu a obsah informační koncepce a provozní dokumentace a o požadavcích na řízení bezpečnosti a kvality informačních systémů veřejné správy (vyhláška o dlouhodobém řízení informačních systémů veřejné správy). Vyhláška č. 53/2007 Sb., o technických a funkčních náležitostech uskutečňování vazeb mezi informačními systémy veřejné správy prostřednictvím referenčního rozhraní (vyhláška o referenčním rozhraní). Metodika MVČR vydaná pro oblast ISVS, zveřejněno na webu MVČR strana 15 (celkem 15)