Jistě jste zaznamenali, že finální znění VoKB se nakonec příliš neliší od pracovní verze z dubna loňského roku.

V jedné podstatné věci však přeci jen liší, a tou je požadavek na délku hesla uživatele, kdy došlo k jeho zkrácení z navrhovaných 14 znaků na 12.

Dostala se ke mně poslední verze novelizace VoKB po zapracování připomínek od dotčených subjektů.

Pojďme se společně podívat, co zásadního nám novelizace vyhlášky přináší. Došlo k většímu množství formálních úprav, pojmů a jejich definic, a změnám v přílohách.

Analýzu rizik je možné provést dle doporučení uvedených ve vyhlášce č. 316/2014 Sb. Problém je, že vyhláška, tak jak je napsána, neposkytuje kompletní návod, jak analýzu rizik provést, a také požadavky v ní uvedené, lze vyložit různě.

Doporučuji vám, držet se vyhlášky, co to jde, protože se tím vyhnete pozdějšímu vysvětlování, proč jste to či ono udělali jinak. I tak ale narazíte na několik zásadních problémů, které budete muset vyřešit, abyste mohli vůbec analýzu rizik provést.

V tomto příspěvku najdete několik poznámek týkajících se zákona o kybernetické bezpečnosti a související vyhlášce.

Zákon ani vyhláška nevysvětluje vztah mezi informační bezpečností a kybernetickou bezpečností a není zřejmé, zda autoři považují tyto pojmy za synonyma. Zcela logicky pak mohou panovat i určité nejasnosti kolem definice bezpečnostního incidentu, ale myslím si, že zákon definuje pojem kybernetický bezpečnostní incident poměrně jasně.

Kritická infrastruktura je definována v nařízení vlády č. 315/2014 Sb. a významný informační systém pak ve vyhlášce č. 317/2014 Sb.

Víte, že v tomto nařízení si musíte dohledat odvětví, ve kterém působíte a zkontrolovat zda náhodou nesplňujete uvedená kritéria? A že naplnění určujících kritérií významného informačního systému, který není uveden v příloze č. 1 k této vyhlášce, posuzujete dle § 3 odstavce 3 vy, jako správce informačního systému?

Jednoznačně největším přínosem vyhlášky 316/2014 Sb. o kybernetické bezpečnosti je uvedení konkrétních doporučení a bezpečnostních opatření organizační i technické povahy.

I organizace, kterých se zákon o kybernetické bezpečnosti netýká, ale které se chtějí před nejrůznějšími kybernetickými útoky, které jsou stále častěji vedeny i na malé střední firmy, bránit, získávají prostřednictvím této vyhlášky zdarma komplexní seznam bezpečnostních opatření organizační a technické povahy a návod jak zavést systém řízení bezpečnosti informací.

Zákon 181/2014 Sb. o kybernetické bezpečnosti a o změně souvisejících zákonů, tzv. zákon o kybernetické bezpečnosti upravuje práva a povinnosti osob a působnost a pravomoci orgánů veřejné moci v oblasti kybernetické bezpečnosti, s cílem zajistit bezpečnost informací, služeb a sítí v kybernetickém prostoru.