právne normy a zákony, ktoré sa vzťahujú na informatickú bezpečnosť

Právne normy a zákony, ktoré sa vzťahujú na informatickú bezpečnosť

• Zákon č. 566/1992 Z.z. o Národnej banke Slovenska• Zákon č. 46/1993 Z.z. o Slovenskej informačnej službe• Zákon č. 610/1993 Z.z. o elektronických komunikáciách• Zákon č. 241/2001 Z.z. o ochrane utajovaných skutočností• Zákon č. 483/2001 Z.z. o bankách a o zmene a doplnení niektorých

zákonov• Zákon č. 215/2002 Z.z. o elektronickom podpise• Zákon č. 428/2002 Z.z. o ochrane osobných údajov

• Okrem týchto zákonov existuje množstvo ďalších, ktoré sa odvolávajú na informatickú bezpečnosť nepriamo. Sú to napr. zákon o účtovníctve, zákon o daniach, autorský zákon, trestný zákon atď.

Ochrana štátnych tajomstiev

• Štátnym tajomstvom sa rozumie všetko, čo v dôležitom záujme republiky, najmä v záujme politickom, vojenskom alebo hospodárskom, má zostať utajené pred nepovolanou osobou.

• Za ochranu štátnych tajomstiev zodpovedá Ministerstvo vnútra Slovenskej republiky a Národný bezpečnostný úrad.

• Za vyzradenie štátneho tajomstva je uložený trest odňatia slobody na 6 mesiacov – 3 roky (v špeciálnych prípadoch na 1 – 5 rokov)

Ochrana obchodných tajomstiev

• Obchodné tajomstvo tvoria všetky skutočnosti obchodnej, výrobnej alebo technickej povahy súvisiace s podnikom, ktoré majú skutočnú alebo aspoň potenciálnu materiálnu alebo nemateriálnu hodnotu, nie sú v príslušných obchodných kruhoch bežne dostupné, majú byť podľa vôle podnikateľa utajené a podnikateľ zodpovedajúcim spôsobom ich utajenie zabezpečuje.

• Kto vyzvedá obchodné tajomstvo, bankové tajomstvo alebo daňové tajomstvo v úmysle vyzradiť ho nepovolanej osobe, alebo kto obchodné tajomstvo, bankové tajomstvo alebo daňové tajomstvo nepovolanej osobe úmyselne vyzradí, potresce sa odňatím slobody až na jeden rok alebo zákazom činnosti.

Ochrana obchodných tajomstiev

• Kto obchodné tajomstvo, bankové tajomstvo alebo daňové tajomstvo vyzvedá v úmysle vyzradiť ho do cudziny, alebo kto obchodné tajomstvo, bankové tajomstvo alebo daňové tajomstvo úmyselne do cudziny vyzradí, potresce sa odňatím slobody na šesť mesiacov až tri roky.

• Odňatím slobody na jeden rok až päť rokov sa páchateľ potresce, ak spôsobí daným činom uvedeným v odseku značnú škodu resp. na 3 – 8 rokov ak spôsobí škodu veľkého rozsahu

Ochrana bankových tajomstiev

• Bankovým tajomstvom sú všetky informácie a doklady o záležitostiach, ktoré sa týkajú klientov banky alebo klientov pobočky zahraničnej banky, ktoré nie sú verejne prístupné, najmä informácie o bankových obchodoch, stavoch na účtoch a stavoch vkladov, ktoré sú banka a pobočka zahraničnej banky povinné utajovať a chrániť pred vyzradením, zneužitím, poškodením, zničením, stratou alebo odcudzením. Informácie a doklady o záležitostiach, ktoré sú chránené bankovým tajomstvom, môžu banka a pobočka zahraničnej banky poskytnúť tretím osobám len s predchádzajúcim písomným súhlasom dotknutého klienta alebo na jeho písomný pokyn, ak tento zákon neustanovuje inak.

Ochrana osobných údajov

• Osobnými údajmi sú údaje týkajúce sa určenej alebo určiteľnej fyzickej osoby, pričom takou osobou je osoba, ktorú možno určiť priamo alebo nepriamo, najmä na základe všeobecne použiteľného identifikátora alebo na základe jednej či viacerých charakteristík alebo znakov, ktoré tvoria jej fyzickú, fyziologickú, psychickú, mentálnu, ekonomickú, kultúrnu alebo sociálnu identitu.

• Dozor nad spracovaním osobných údajov vykonáva Úrad na ochranu osobných údajov so sídlom v Bratislave.

• Tento úrad môže uložiť tomu kto neoprávnene spracúva alebo zbiera osobné údaje pokutu do výšky 10 mil. Sk.

Zákon č. 428/2002 Z.z. o Zákon č. 428/2002 Z.z. o ochrane osobných údajov ochrane osobných údajov

(ne)dôležité informácie(ne)dôležité informácie

Základné pojmy

• Spracúvaním osobných údajov sa rozumie vykonávanie akýchkoľvek operácií alebo súboru operácií s osobnými údajmi, napr. ich získavanie, zhromažďovanie, zaznamenávanie, usporadúvanie, prepracúvanie alebo zmena, vyhľadávanie, prehliadanie, preskupovanie, kombinovanie, premiestňovanie, využívanie, uchovávanie, likvidácia, ich prenos, poskytovanie, sprístupňovanie alebo zverejňovanie,

• Informačným systémom sa rozumie akýkoľvek súbor, sústava alebo databáza obsahujúca jeden alebo viac osobných údajov, ktoré sú spracúvané na dosiahnutie účelu podľa osobitných organizačných podmienok s použitím automatizovaných alebo neautomatizovaných prostriedkov spracúvania, napr. kartotéka, zoznam, register, operát, záznam alebo sústava obsahujúca spisy, doklady, zmluvy, potvrdenia, posudky, hodnotenia, testy,

Základné pojmy

• biometrickým údajom sa rozumie osobný údaj fyzickej osoby, na základe ktorého je jednoznačne a nezameniteľne určiteľná, napr. odtlačok prsta, odtlačok dlane, analýza deoxyribonukleovej kyseliny, profil deoxyribonukleovej kyseliny,

• auditom bezpečnosti informačného systému sa rozumie nezávislé odborné posúdenie spoľahlivosti a celkovej bezpečnosti informačného systému z hľadiska zabezpečenia dôvernosti, integrity a dostupnosti spracúvaných osobných údajov.

Účel spracúvania osobných údajov

• Ak účel spracúvania osobných údajov neustanovuje osobitný zákon, prevádzkovateľ pred začatím spracúvania jednoznačne vymedzí účel a zabezpečí, aby sa nespracúvali osobné údaje, ktoréa) svojím rozsahom a obsahom sú nezlučiteľné s daným účelom

spracúvania, pričom ďalšie spracúvanie osobných údajov na historické, štatistické a vedecké účely sa nepovažuje za nezlučiteľné, alebo

b) sú časovo alebo vecne neaktuálne vo vzťahu k účelu spracúvania.

• Účel spracúvania osobných údajov musí byť jasný a nesmie byť v rozpore so zákonmi.

• Spracúvať možno len také osobné údaje, ktoré svojím rozsahom a obsahom zodpovedajú účelu ich spracúvania. Spôsob spracúvania a využívania osobných údajov musí zodpovedať účelu ich spracúvania.

Účel spracúvania osobných údajov

• Od dotknutej osoby možno vyžadovať len také osobné údaje, ktoré sú nevyhnutné na dosiahnutie účelu spracúvania. K takýmto osobným údajom môže prevádzkovateľ alebo sprostredkovateľ priradiť ďalšie osobné údaje dotknutej osoby, ktoré bezprostredne súvisia s daným účelom spracúvania, len ak na ne dotknutú osobu upozorní a táto s tým písomne súhlasí. Tento súhlas si prevádzkovateľ ani sprostredkovateľ nesmú vynucovať a ani podmieňovať hrozbou odmietnutia zmluvného vzťahu, služby, tovaru alebo povinnosti ustanovenej prevádzkovateľovi alebo sprostredkovateľovi zákonom.

• V prípade pochybnosti o tom, že spracúvané osobné údaje svojím rozsahom, obsahom a spôsobom spracúvania alebo využívania zodpovedajú účelu ich spracúvania, že sú s daným účelom spracúvania zlučiteľné alebo časovo a vecne neaktuálne vo vzťahu k tomuto účelu, rozhodne úrad. Stanovisko úradu je záväzné.

Osobitné kategórie osobných údajov(podľa zákona)

• Spracúvať osobné údaje, ktoré odhaľujú rasový alebo etnický pôvod, politické názory, náboženskú vieru alebo svetonázor, členstvo v politických stranách alebo politických hnutiach, členstvo v odborových organizáciách a údaje týkajúce sa zdravia alebo pohlavného života, sa zakazuje.

• Pri spracúvaní osobných údajov možno využiť na účely určenia fyzickej osoby všeobecne použiteľný identifikátor ustanovený osobitným zákonom len vtedy, ak jeho použitie je nevyhnutné na dosiahnutie daného účelu spracúvania. Spracúvať iný identifikátor, ktorý v sebe skrýva charakteristiky dotknutej osoby, alebo zverejňovať všeobecne použiteľný identifikátor sa zakazuje.

• Spracúvanie osobných údajov o porušení ustanovení predpisov trestného práva, priestupkového práva alebo občianskeho práva, ako aj o výkone právoplatných rozsudkov alebo rozhodnutí môže vykonávať len ten, komu to umožňuje osobitný zákon.

Osobitné kategórie osobných údajov(podľa zákona)

• Spracúvanie biometrických údajov možno vykonávať len za podmienok ustanovených v osobitnom zákone, aka) to prevádzkovateľovi vyplýva výslovne zo zákona, alebob) na spracúvanie dala písomný súhlas dotknutá osoba.

• Spracúvanie osobných údajov o psychickej identite fyzickej osoby alebo o jej psychickej pracovnej spôsobilosti môže vykonávať len psychológ alebo ten, komu to umožňuje osobitný zákon.

Získavanie osobných údajov

• Oprávnená osoba, ktorá získava osobné údaje v mene prevádzkovateľa alebo sprostredkovateľa, preukáže na požiadanie tomu, od koho osobné údaje dotknutej osoby požaduje, svoju totožnosť a bez vyzvania mu vopred oznámia) názov a sídlo alebo trvalý pobyt prevádzkovateľa; ak v mene

prevádzkovateľa koná sprostredkovateľ, aj jeho názov a sídlo alebo trvalý pobyt,

b) účel spracúvania osobných údajov vymedzený prevádzkovateľom alebo ustanovený osobitným zákonom; je vylúčené získavať osobné údaje pod zámienkou iného účelu alebo inej činnosti,

c) dobrovoľnosť alebo povinnosť poskytovať požadované osobné údaje,d) zákon, ktorý ustanovuje povinnosť poskytnúť požadované osobné údaje

a následky odmietnutia poskytnúť osobné údaje,e) okruh užívateľov, ktorým budú osobné údaje sprístupnené,


f) právnické osoby, fyzické osoby, prípadne subjekty v cudzine, ktorým budú osobné údaje poskytnuté,

g) formu zverejnenia, ak majú byť osobné údaje zverejnené,h) krajiny cezhraničného toku osobných údajov.

• Prevádzkovateľ alebo sprostredkovateľ, ktorý v priestoroch prístupných verejnosti získava, poskytuje alebo sprístupňuje osobné údaje, zabezpečí diskrétnosť pri ich spracúvaní.


• Získavať osobné údaje nevyhnutné na dosiahnutie účelu spracúvania kopírovaním, skenovaním alebo iným zaznamenávaním úradných dokladov na nosič informácií možno len vtedy, ak s tým dotknutá osoba písomne súhlasí alebo ak to osobitný zákon výslovne umožňuje bez súhlasu dotknutej osoby. Súhlas dotknutej osoby si prevádzkovateľ ani sprostredkovateľ nesmú vynucovať ani podmieňovať hrozbou odmietnutia zmluvného vzťahu, služby, tovaru alebo povinnosti ustanovenej prevádzkovateľovi alebo sprostredkovateľovi zákonom.

• Priestor prístupný verejnosti možno monitorovať pomocou videozáznamu alebo audiozáznamu len na účely verejného poriadku a bezpečnosti, odhaľovania kriminality alebo narušenia bezpečnosti štátu, a to len vtedy, ak priestor je zreteľne označený ako monitorovaný. Označenie monitorovaného priestoru sa nevyžaduje, ak tak ustanovuje osobitný zákon. Vyhotovený záznam možno využiť len na účely trestného konania alebo konania o priestupkoch, ak osobitný zákon neustanovuje inak.

Zodpovednosť za bezpečnosť osobných údajov

• Za bezpečnosť osobných údajov zodpovedá prevádzkovateľ a sprostredkovateľ tým, že ich chráni pred odcudzením, stratou, poškodením, neoprávneným prístupom, zmenou a rozširovaním. Na tento účel prijme primerané technické, organizačné a personálne opatrenia zodpovedajúce spôsobu spracúvania.

• Opatrenia podľa predchádzajúceho odseku príjme prevádzkovateľ a sprostredkovateľ vo forme bezpečnostného projektu informačného systému (ďalej len "bezpečnostný projekt") a zabezpečí jeho vypracovanie, aka) informačný systém je prepojený na verejne prístupnú počítačovú sieť,

alebo je prevádzkovaný v počítačovej sieti, ktorá je prepojená na verejne prístupnú počítačovú sieť,

b) sú v informačnom systéme spracúvané osobitné kategórie osobných údajov (§ 8), alebo

c) informačný systém podlieha výnimkám uvedeným v § 2 ods. 2.

Zodpovednosť za bezpečnosť osobných údajov

• Na požiadanie úradu prevádzkovateľ a sprostredkovateľ preukážu rozsah a obsah prijatých technických, organizačných a personálnych opatrení.

• Ak sú predmetom kontroly informačné systémy, úrad má právo požadovať od prevádzkovateľa alebo sprostredkovateľa predloženie hodnotiacej správy o výsledku auditu bezpečnosti informačného systému (ďalej len "hodnotiaca správa"), ak sú vážne pochybnosti o jeho bezpečnosti alebo o praktickom uplatňovaní opatrení uvedených v bezpečnostnom projekte. Hodnotiacu správu, nie staršiu ako dva roky, bezodkladne predloží prevádzkovateľ alebo sprostredkovateľ úradu, inak zabezpečí vykonanie auditu bezpečnosti informačného systému na vlastné náklady a predloží hodnotiacu správu najneskôr do troch mesiacov odo dňa uloženia povinnosti.

Bezpečnostný projekt

• Bezpečnostný projekt vymedzuje rozsah a spôsob technických, organizačných a personálnych opatrení potrebných na eliminovanie a minimalizovanie hrozieb a rizík pôsobiacich na informačný systém z hľadiska narušenia jeho bezpečnosti, spoľahlivosti a funkčnosti.

• Bezpečnostný projekt sa spracúva v súlade so základnými pravidlami bezpečnosti informačného systému vydanými bezpečnostnými štandardmi, právnymi predpismi a medzinárodnými zmluvami, ktorými je Slovenská republika viazaná.

• Bezpečnostný projekt obsahuje najmäa) bezpeenostný zámer,b) analýzu bezpeenosti informaeného systému,c) bezpeenostné smernice.


• Bezpečnostný zámer vymedzuje základné bezpečnostné ciele, ktoré je potrebné dosiahnúť na ochranu informačného systému pred ohrozením jeho bezpečnosti, a obsahuje najmäa) formuláciu základných bezpečnostných cieľov a minimálne

požadovaných bezpečnostných opatrení,b) špecifikáciu technických, organizačných a personálnych opatrení na

zabezpečenie ochrany osobných údajov v informačnom systéme a spôsob ich využitia,

c) vymedzenie okolia informačného systému a jeho vzťah k možnému narušeniu bezpečnosti,

d) vymedzenie hraníc určujúcich množinu zvyškových rizík.


• Analýza bezpečnosti informačného systému je podrobný rozbor stavu bezpečnosti informačného systému, ktorá obsahuje najmäa) kvalitatívnu analýzu rizík, v rámci ktorej sa identifikujú hrozby pôsobiace

na jednotlivé aktíva informačného systému spôsobilé narušiť jeho bezpečnosť alebo funkčnosť; výsledkom kvalitatívnej analýzy rizík je zoznam hrozieb, ktoré môžu ohroziť dôvernosť, integritu a dostupnosť spracúvaných osobných údajov, s uvedením rozsahu možného rizika, návrhov opatrení, ktoré eliminujú alebo minimalizujú vplyv rizík, a s vymedzením súpisu nepokrytých rizík,

b) použitie bezpečnostných štandardov a určenie iných metód a prostriedkov ochrany osobných údajov; súčasťou analýzy bezpečnosti informačného systému je posúdenie zhody navrhnutých bezpečnostných opatrení s použitými bezpečnostnými štandardmi, metódami a prostriedkami.


• Bezpečnostné smernice upresňujú a aplikujú závery vyplývajúce z bezpečnostného projektu na konkrétne podmienky prevádzkovaného informačného systému a obsahujú najmäa) popis technických, organizačných a personálnych opatrení

vymedzených v bezpečnostnom projekte a ich využitie v konkrétnych podmienkach,

b) rozsah oprávnení a popis povolených činností jednotlivých oprávnených osôb, spôsob ich identifikácie a autentizácie pri prístupe k informačnému systému,

c) rozsah zodpovednosti oprávnených osôb a osoby zodpovednej za dohľad nad ochranou osobných údajov,

d) spôsob, formu a periodicitu výkonu kontrolných činností zameraných na dodržiavanie bezpečnosti informačného systému,

e) postupy pri haváriách, poruchách a iných mimoriadnych situáciách vrátane preventívnych opatrení na zníženie vzniku mimoriadnych situácií a možností efektívnej obnovy stavu pred haváriou.

Povinnosť mlčanlivosti

• Prevádzkovateľ a sprostredkovateľ sú povinní zachovávať mlčanlivosť o osobných údajoch, ktoré spracúvajú. Povinnosť mlčanlivosti trvá aj po ukončení spracovania. Povinnosť mlčanlivosti nemajú, ak je to podľa osobitného zákona nevyhnutné na plnenie úloh orgánov činných v trestnom konaní; tým nie sú dotknuté ustanovenia osobitných zákonov.

• Oprávnená osoba je povinná zachovávať mlčanlivosť o osobných údajoch, s ktorými príde do styku; tie nesmie využiť ani pre osobnú potrebu a bez súhlasu prevádzkovateľa ich nesmie zverejniť a nikomu poskytnúť ani sprístupniť.

Povinnosť mlčanlivosti

• Povinnosť mlčanlivosti podľa odseku 2 platí aj pre iné fyzické osoby, ktoré v rámci svojej činnosti (napr. údržba a servis technických prostriedkov) prídu do styku s osobnými údajmi u prevádzkovateľa alebo sprostredkovateľa.

• Povinnosť mlčanlivosti trvá aj po zániku funkcie oprávnenej osoby alebo po skončení jej pracovného pomeru alebo obdobného pracovného vzťahu, ako aj štátnozamestnaneckého pomeru alebo vzťahu podľa odseku 3.

Dohľad nad ochranou osobných údajov

• Za výkon dohľadu nad ochranou osobných údajov spracúvaných podľa tohto zákona zodpovedá prevádzkovateľ.

• Ak prevádzkovateľ zamestnáva viac ako päť osôb, výkonom dohľadu písomne poverí zodpovednú osobu alebo viaceré zodpovedné osoby, ktoré dozerajú na dodržiavanie zákonných ustanovení pri spracúvaní osobných údajov.

• Odborné vyškolenie zodpovednej osoby alebo viacerých zodpovedných osôb zabezpečí prevádzkovateľ. Rozsah odborného školenia zodpovedá najmä obsahu tohto zákona a úlohám z neho vyplývajúcim, ako aj obsahu medzinárodných zmlúv o ochrane osobných údajov, ktoré boli vyhlásené spôsobom ustanoveným zákonom. Úrad môže od prevádzkovateľa žiadať podanie dôkazu o vykonanom odbornom školení.

Dohľad nad ochranou osobných údajov

• Zodpovedná osoba posúdi pred začatím spracúvania osobných údajov v informačnom systéme, či ich spracúvaním nevzniká nebezpečenstvo narušenia práv a slobôd dotknutých osôb. Zistenie narušenia práv a slobôd dotknutých osôb pred začatím spracúvania alebo porušenia zákonných ustanovení v priebehu spracúvania osobných údajov zodpovedná osoba bezodkladne písomne oznámi prevádzkovateľovi; ak prevádzkovateľ po upozornení bezodkladne nevykoná nápravu, oznámi to zodpovedná osoba úradu.

Registrácia a evidencia informačných systémov

• Prevádzkovateľ registruje informačné systémy alebo vedie o nich evidenciu v rozsahu a za podmienok ustanovených týmto zákonom.

• Registráciu informačných systémov vykonáva úrad bezplatne.

• Registrácii podliehajú informačné systémy, v ktorýcha) sa spracúvajú osobitné kategórie osobných údajov,b) sa spracúvajú osobné údaje, ktoré sú predmetom

cezhraničného toku ,aleboc) osobné údaje spracúva sprostredkovateľ


• Registrácii nepodliehajú informačné systémy uvedené v predchádzajúcom odseku , ak obsahujúa) osobné údaje týkajúce sa zdravia a všeobecne použiteľný identifikátor

tých osôb, ktoré sú s prevádzkovateľom v pracovnom pomere alebo v obdobnom pracovnom vzťahu, a osôb, ktoré sú s prevádzkovateľom v štátnozamestnaneckom pomere,

b) osobné údaje o členstve osôb v odborových organizáciách, ktoré sú ich členmi, a ak tieto osobné údaje sa využívajú výlučne pre ich vnútornú potrebu,

c) osobné údaje o náboženskej viere osôb združených v štátom uznanej cirkvi alebo v náboženskej spoločnosti a ak tieto osobné údaje sa využívajú výlučne pre ich vnútornú potrebu,

d) osobné údaje o členstve osôb v politických stranách alebo v politických hnutiach, ktoré sú ich členmi, a ak tieto osobné údaje sa využívajú výlučne pre ich vnútornú potrebu,

e) osobné údaje osôb zúčastnených v konaní pred orgánom štátnej správy, orgánom územnej samosprávy, ako aj pred inými orgánmi verejnej moci a ich spracúvanie sa vykonáva na základe osobitného zákona,

f) výlučne už zverejnené osobné údaje,


g) osobné údaje, ktoré slúžia masovokomunikačným prostriedkom výlučne pre ich informačnú činnosť,

h) osobné údaje na účely preventívnej medicíny, lekárskej diagnostiky, poskytovania liečebnej alebo kúpeľnej starostlivosti a ďalších služieb zdravotnej starostlivosti a ak tieto osobné údaje spracúva zdravotnícke zariadenie,

i) osobné údaje na účely výchovy alebo vzdelávania alebo vedy a výskumu, ako aj osobné údaje slúžiace na účely štátnej štatistiky a ak prevádzkovateľom je zariadenie, ktorému táto úloha vyplýva zo zákona, alebo

j) osobné údaje, ktoré sa spracúvajú výlučne na účely identifikácie osôb pri ich jednorazovom vstupe do priestorov prevádzkovateľa.

• V prípade pochybnosti o tom, či informačný systém podlieha registrácii, rozhodne úrad. Stanovisko úradu je záväzné.

Zákon č. 215/2002 Z.z. o Zákon č. 215/2002 Z.z. o elektronickom podpiseelektronickom podpise

(ne)dôležité informácie(ne)dôležité informácie

Základné pojmy

• verejným kľúčom sa rozumie informácia dostupná overovateľovi, ktorá slúži na overenie správnosti elektronického podpisu vyhotoveného pomocou súkromného kľúča patriaceho k danému verejnému kľúču,

• podpísaným elektronickým dokumentom sa rozumie elektronický dokument, pre ktorý bol vyhotovený elektronický podpis, ak je tento elektronický dokument dostupný spolu s elektronickým podpisom daného dokumentu,

• súkromným kľúčom sa rozumie tajná informácia, ktorá slúži na vyhotovenie elektronického podpisu elektronického dokumentu,

Základné pojmy

• prostriedkom na vyhotovenie elektronického podpisu sa rozumie technické zariadenie alebo programové vybavenie,alebo algoritmy, alebo ich kombinácia, ktorých prostredníctvom môže podpisovateľ vyhotoviť na základe elektronického dokumentu a súkromného kľúča podpisovateľa elektronický podpis elektronického dokumentu,

• bezpečným zariadením na vyhotovenie elektronického podpisu sa rozumie prostriedok na vyhotovenie elektronického podpisu, ktorý spĺňa požiadavky tohto zákona a ktorý slúži na vyhotovovanie zaručených elektronických podpisov,

Elektronický podpis

• Elektronický podpis je informácia pripojená alebo inak logicky spojená s elektronickým dokumentom, ktorá musí spĺňať tieto požiadavky:a) nemožno ju efektívne vyhotoviť bez znalosti súkromného kľúča

a elektronického dokumentu,b) na základe znalosti tejto informácie a verejného kľúča

patriaceho k súkromnému kľúču použitému pri jej vyhotovení možno overiť, že elektronický dokument, ku ktorému je pripojená alebo s ním inak logicky spojená, je zhodný s elektronickým dokumentom použitým na jej vyhotovenie.

Elektronický podpis

• Zaručený elektronický podpis je elektronický podpis, ktorý musí spĺňať podmienky uvedené na predch. slajde:

a) je vyhotovený pomocou súkromného kľúča, ktorý je určený na vyhotovenie zaručeného elektronického podpisu,

b) možno ho vyhotoviť len s použitím bezpečného zariadenia na vyhotovovanie elektronického podpisu,

c) spôsob jeho vyhotovovania umožňuje spoľahlivo určiť, ktorá fyzická osoba zaručený elektronický podpis vyhotovila,

d) na verejný kľúč patriaci k súkromnému kľúču použitému na vyhotovenie zaručeného elektronického podpisu je vydaný kvalifikovaný certifikát.

Používanie elektronického podpisu

• ak možno v styku s verejnou mocou používať elektronický podpis, tento elektronický podpis musí byť zaručeným elektronickým podpisom

• pri overovaní zaručeného elektronického podpisu overovateľ na základe kvalifikovaného certifikátu verejného kľúča overí, či verejný kľúč na overenie zaručeného elektronického podpisu patrí podpisovateľovi

• certifikát verejného kľúča (ďalej len „certifikát“) je elektronický dokument, ktorým vydavateľ certifikátu potvrdzuje, že v certifikáte uvedený verejný kľúč patrí osobe, ktorej je certifikát vydaný (ďalej len „držiteľ certifikátu“).

Certifikát verejného kľúča

• certifikát sa skladá z tela certifikátu a z elektronického podpisu tela certifikátu

• telo certifikátu je elektronický dokument, ktorý obsahuje najmäa) identifikačné údaje vydavateľa certifikátu,b) identifikačné číslo certifikátu,c) identifikačné údaje držiteľa certifikátu,d) dátum a čas začiatku a konca platnosti certifikátu,e) verejný kľúč držiteľa certifikátu,f) identifikáciu algoritmov, pre ktoré je uvedený verejný kľúč určený,g) identifikáciu algoritmov použitých pri vyhotovení elektronického

podpisu tela certifikátu.

Zákon č. 241/2001 Z.z. o Zákon č. 241/2001 Z.z. o ochrane utajovaných ochrane utajovaných

skutočnostískutočností(ne)dôležité informácie(ne)dôležité informácie

Základné pojmy

• utajovanou skutočnosťou sa rozumie informácia alebo vec uvedená v zozname utajovaných skutočností, ktorú vzhľadom na záujem Slovenskej republiky treba chrániť pred vyzradením, zneužitím, poškodením, zničením, stratou alebo odcudzením (ďalej len "neoprávnená manipulácia"),

• informáciou sa rozumie1. obsah písomnosti, nákresu, výkresu, mapy, fotografie, grafu

alebo iného záznamu,2. obsah ústneho vyjadrenia,3. obsah elektrického, elektromagnetického, elektronického alebo

iného fyzikálneho transportného média,

Základné pojmy

• oprávnenou osobou osoba, ktorá je určená na oboznamovanie sa s utajovanými skutočnosťami alebo ktorej oprávnenie na oboznamovanie sa s utajovanými skutočnosťami vzniklo zo zákona,

• nepovolanou osobou osoba, ktorá nie je oprávnená oboznamovať sa s utajovanými skutočnosťami alebo ktorá nie je oprávnená oboznamovať sa s utajovanými skutočnosťami nad rozsah, ktorý jej je určený,

Utajované skutočnosti

• Utajované skutočnosti sa podľa stupňa utajenia členia naa) prísne tajné,b) tajné,c) dôverné,d) vyhradené.

• Stupne utajenia sa označujú slovami "Prísne tajné", "Tajné", "Dôverné" a "Vyhradené" alebo skratkami "PT", "T", "D" a "V".


• Stupňom utajenia Prísne tajné sa označuje utajovaná skutočnosť vtedy, ak by následkom neoprávnenej manipulácie s ňou mohlo byť vážne ohrozené zachovanie ústavnosti, zvrchovanosti a územnej celistvosti štátu alebo by mohli vzniknúť nenahraditeľné a vážne škody v oblasti obrany, bezpečnosti, ekonomických záujmov, zahraničnej politiky alebo medzinárodných vzťahov, a tým mohla vzniknúť mimoriadne vážna ujma na záujmoch Slovenskej republiky

• Stupňom utajenia Tajné sa označuje utajovaná skutočnosť vtedy, ak by následkom neoprávnenej manipulácie s ňou mohlo byť ohrozené zahraničnopolitické postavenie, obrana, bezpečnosť a záujmy štátu v medzinárodnej a ekonomickej oblasti, a tým by mohla vzniknúť vážna ujma na záujmoch Slovenskej republiky


• Stupňom utajenia Dôverné sa označuje utajovaná skutočnosť vtedy, ak by následkom neoprávnenej manipulácie s ňou mohlo dôjsť k poškodeniu štátnych záujmov, verejných záujmov alebo právom chránených záujmov štátneho orgánu, a tým k jednoduchej ujme na záujmoch Slovenskej republiky

• Stupňom utajenia Vyhradené sa označuje utajovaná skutočnosť vtedy, ak by neoprávnená manipulácia s ňou mohla zapríčiniť poškodenie právom chránených záujmov štátneho orgánu alebo občana, ktoré by mohlo byť nevýhodné pre záujmy Slovenskej republiky

Certifikácia technických prostriedkov

• Certifikáciu technických prostriedkov vykonáva Úrad alebo ním autorizovaný štátny orgán, alebo právnická osoba autorizovaná na certifikáciu technických prostriedkov; to sa nevzťahuje na technické prostriedky používané v pôsobnosti Policajného zboru v súvislosti s plnením úloh kriminálneho spravodajstva, Slovenskej informačnej služby a Vojenského spravodajstva, na ktoré vykonáva certifikáciu Ministerstvo vnútra Slovenskej republiky, Slovenská informačná služba a Vojenské spravodajstvo.

• Podmienkou certifikácie technického prostriedku je posúdenie bezpečnostného projektu technického prostriedku.

• Certifikát technického prostriedku sa udeľuje pre konkrétny stupeň utajenia a podmienkou jeho platnosti je dodržanie v ňom určených podmienok a pravidiel používania technického prostriedku.

Certifikácia technických prostriedkov

• Certifikát udelený pre určitý stupeň utajenia platí aj pre nižší stupeň utajenia.

• Certifikát technického prostriedku pre utajované skutočnosti stupňa utajenia Prísne tajné a Tajné má platnosť päť rokov a pre stupne utajenia Dôverné a Vyhradené sedem rokov.

• Náklady spojené s certifikáciou uhrádza ten, kto o certifikáciu žiada.

• Úrad sa splnomocňuje na vydanie všeobecne záväzného právneho predpisu, ktorým ustanoví podrobnosti o postupe pri certifikácii technických prostriedkov.

Certifikácia systémových prostriedkov• Systémová ochrana utajovaných skutočností stupňa Dôverné alebo

vyšších stupňov, spracúvaných na technických prostriedkoch, sa zabezpečuje certifikovanými systémovými prostriedkami.

• Certifikáciu systémových prostriedkov vykonáva Úrad alebo ním autorizovaný štátny orgán, alebo právnická osoba autorizovaná na certifikáciu systémových prostriedkov; to sa nevzťahuje na systémové prostriedky používané v pôsobnosti Slovenskej informačnej služby a Vojenského spravodajstva, na ktoré vydáva certifikáciu Slovenská informačná služba a Vojenské spravodajstvo.

• Medzi certifikované systémové prostriedky patria najmäa) operačné systémy, ich jednotlivé verzie a modifikácie,b) databázové systémy,c) produkty na správu a prevádzku počítačových sietí,d) produkty na správu a prevádzku elektronickej pošty,e) firewally a špeciálne systémové bezpečnostné produkty,f) iné funkčne špecializované systémové produkty, určené na tvorbu,

spracovanie, prenos alebo na uchovávanie utajovaných skutočností.• Úrad sa splnomocňuje na vydanie všeobecne záväzného právneho

predpisu obsahujúceho zoznam certifikovaných systémových prostriedkov.

TOP SECRET

Niektoré základné skutočnosti stupňa utajenia Prísne tajné

• Komplexné plány uvádzania Slovenskej republiky do brannej pohotovosti a komplexné plány a dokumentácia zabezpečenia jej obrany.

• Katalógy (zoznamy) údajov o trigonometrických bodoch zariadení na obranu štátu a ostatných účelových zariadení v súradnicovom systéme 1942.

• Súhrnné údaje o vojenskej výrobe a úlohy rozvoja vojenskej vedy a techniky.

• Celková organizácia, zloženie, úlohy, zabezpečenie činnosti, prostriedky, evidencie a súhrnné výsledky spravodajskej činnosti.

• Súhrnné údaje výskumu a vývoja v oblasti kryptológie, špeciálne formy a metódy kryptológie používané v

• šifrovej ochrane informácií.• Informácie a skutočnosti z medzinárodných rokovaní o zmluvných

dokumentoch, schválené zmluvy a• protokoly, ak to ich charakter vyžaduje alebo ak sa na tom zmluvné

strany dohodnú.• Údaje o príprave zásadných menových opatrení.

SECRET

Niektoré základné skutočnosti stupňa utajenia Tajné

• Čiastkové úlohy vedecko-technického rozvoja výzbroje a ostatnej techniky, výskumné a vývojové práce dôležité pre obranu a bezpečnosť štátu.

• Súhrnné údaje o špeciálnych psychologických operáciách.• Formy a metódy kontroly bezpečnosti systémov a prostriedkov

šifrovej ochrany informácií.• Formy, metódy, prostriedky, zameranie, plánovacie dokumenty a

výsledky spravodajskej činnosti vrátane analytickej a informačnej činnosti.

• Krízový plán ústredného orgánu štátnej správy.• Umiestnenie, preprava a spôsob zabezpečenia celkových štátnych

zásob drahých kovov a peňažných• prostriedkov v cudzej mene.• Krízový štatistický informačný systém.• Určené údaje o preprave jadrového materiálu a rádioaktívneho

odpadu zaradeného do I. kategórie.

CONFIDENTAL

Niektoré základné skutočnosti stupňa utajenia Dôverné

• Čiastkové údaje o výstavbe ozbrojených síl, ozbrojených bezpečnostných zborov a ozbrojených zborov.

• Vybrané údaje o výskume, vývoji, výrobe a prevádzke systémov a prostriedkov šifrovej ochrany informácií.

• Organizácia utajeného vládneho a zahraničného spojenia.• Vybrané údaje o stave a spôsobe zabezpečenia ochrany prezidenta

republiky, osôb určených vládou Slovenskej republiky, určených objektov a zahraničných delegácií.

• Opatrenia hospodárskej mobilizácie a jej pripravenosť.• Čiastkové informácie o technológii zabezpečenia a systémoch

ochrany výroby cenín a dokumentov proti falšovaniu.• Mapové podklady a údaje o území, údaje bázy dát súvisiacej s

tvorbou lesného hospodárskeho plánu, údaje o vojenskej stavebnej činnosti, údaje konkrétneho vojenského využitia a evidencie pohybu osôb a techniky, týkajúce sa území určených na zabezpečovanie obranyschopnosti štátu i vo vzťahu k ochrane životného prostredia.

RESTRICTED

Niektoré základné skutočnosti stupňa utajenia Vyhradené

• Údaje o opatreniach na potláčanie trestnej činnosti, vyhodnotenie informácií a poznatkov.

• Vybrané údaje súvisiace s činnosťou spravodajských zložiek.• Určené údaje o preprave jadrového materiálu a rádioaktívneho

odpadu zaradeného do III. kategórie.• Pracovné informácie, dokumenty a skutočnosti z diplomatického

pôsobenia v rámci medzinárodných stykov, ak to ich charakter vyžaduje.

• Informácie a výsledky opatrení a výskumov v oblasti disciplíny, hodnotových orientácií a psychodiagnostických vyšetrení príslušníkov ozbrojených síl, ozbrojených bezpečnostných zborov a bezpečnostných zborov.

• Návrhy, žiadosti a informácie súvisiace s úkonmi v prípravnom konaní trestnom, ktoré by mohli viesť k mareniu prípravného konania.

NNárodný bezpečnostný árodný bezpečnostný úradúrad

(NBÚ(NBÚ)

Základné informácie

1.Postavenie NBÚ• Národný bezpečnostný úrad je ústredným orgánom štátnej správy na

ochranu utajovaných skutočností a šifrovú službu2. Čo je to utajovaná skutočnosť?• Informácia alebo vec, ktorú vzhľadom na záujem Slovenskej republiky treba

chrániť pred vyzradením, zneužitím, poškodením, zničením, stratou alebo odcudzením

3. Čo v praxi znamená ochrana utajovaných skutočností• Je to vytváranie podmienok na personálnu, fyzickú, administratívnu,

objektovú a priemyselnú bezpečnosť, šifrovú ochranu informácií a bezpečnosť technických prostriedkov.

4. Kto je oprávnený prichádzať do styku s utajovanými skutočnosťami?• Osoba, ktorá je na to určená, alebo ktorej oprávnenie na oboznamovanie sa

s utajovanými skutočnosťami vzniklo zo zákona.5. Na akých úsekoch pôsobí NBÚ? • ochrana utajovaných skutočností • ochrana zahraničných informácií • šifrová ochrana informácií

Základné informácie6. Pôsobnosť NBÚ na úseku ochrany utajovaných skutočností • vykonáva kontrolu utajovaných skutočností v štátnych orgánoch, obciach a v právnických osobách • zabezpečuje vykonanie bezpečnostnej previerky navrhovanej osoby a vydáva, alebo zrušuje

vyjadrenie o navrhovanej osobe • vydáva alebo zrušuje potvrdenie o priemyselnej bezpečnosti právnickej osoby • vykonáva certifikáciu, alebo vydáva súhlas na vykonávanie certifikácie technických prostriedkov,

mechanických zábranných prostriedkov a technických zabezp. prostriedkov

7. Pôsobnosť NBÚ na úseku ochrany zahraničných informácií • plní úlohy pri ochrane utajovaných skutočností v rozsahu ustanovenom medzinár. zmluvami • pôsobí ako centrálny register pri výmene utajovaných skutočností

8. Pôsobnosť NBÚ na úseku šifrovej ochrany informácií • plní funkciu ústredného šifrového orgánu Slovenskej republiky • vykonáva kontrolu bezpečnosti šifrovej ochrany informácií • plní funkciu gestora vládneho a zahraničného spojenia

9. Plnenie úloh NBÚ zabezpečujú odborné útvary • sekcia personálnej bezpečnosti • sekcia priemyselnej bezpečnosti • sekcia informačnej bezpečnosti • sekcia objektovej a fyzickej bezpečnosti • sekcia administratívnej bezpečnosti a centrálneho registra

Medzinárodné štandardy Medzinárodné štandardy pre hodnotenie pre hodnotenie

zabezpečených ISzabezpečených IS

Čo sa hodnotí

• dosiahnutá úroveň bezpečnosti – ako je zabezpečená ochrana proti stratám (škodám) na dátach

pri spracovaní, úschove, distribúcii, prezentácii, ... – bezpečnosť = dôvernosť, integrita, dostupnosť, zodpovednosť

• ako sú aplikované bezpečnostné služby produktu• aký postup bol použitý pri vývoji produktu• adekvátnosť použitia bezpečnostných mechanizmov• adekvátnosť (resp. existencia) prevádzkových pravidiel• kvalita / úplnosť dokumentácie

Miera dôveryhodnosti je daná

• zárukou za dôveryhodnosť vývoja, testovania, dokumentácie, údržby, dodávok – malá = daná testovaním častí systému relevantných pre

bezpečnosť – stredná = daná analýzou systémového návrhu a implementácie

systému – veľká = daná aplikáciou formálnych verifikačných nástrojov

• spôsobom vyjadrenia bezpečnostnej politiky – malá = neformálne metódy vyjadrenia– stredná = semiformálne metódy vyjadrenia– veľká = formálne metódy vyjadrenia

Štandardné kritériá

• TCSEC - Trusted Computer System Evaluation Criteria– Orange book - Oranžová kniha, 1983-1985,DoD U.S.A– Rainbow Series

• cca 20 titulov • TCSEC v sietiach, v databázach, heslá, …

• ITSEC - InformationTechnologySecurity Evaluation Criteria– EU, 1991-93, ...– ITSEM, 1993 Information Technology Security Evaluation

Methodology

• Common Criteria– ISO/IEC 15408, od júna 1999

Trusted Computer System Evaluation Criteria

(TCSEC)

Trusted Computer System Evaluation Criteria (TCSEC)

• Kritéria pre hodnotenie bezpečnosti Ministerstva Obrany U.S.A.

• Všeobecne sa používali v 80. a v 90. rokoch 20. storočia• Hodnotí sa

– ako má produkt vypracovanú bezpečnostnú politiku a identifikáciu požiadaviek na ochranu

– či je zabezpečená klasifikácia informácií za účelom riadenia prístupu k citlivým informáciám

– ako sa identifikujú jednotliví používatelia a ako sa táto identita autentizuje,

– či sa vykonal spoľahlivý audit

Trusted Computer System Evaluation Criteria (TCSEC)

– spôsob uplatnenia princípov riadenia prístupu k dátam• Nepovinná ochrana • Povinná ochrana

– úroveň zaručiteľnosti za dôveryhodnú implementáciu bezpečnostnej politiky

– úroveň zaručiteľnosti za priebežnú prevádzkovú ochranu

Klasifikácia systémov z hľadiska dosiahnutej bezpečnosti

• D – žiadna ochrana• C – voliteľné riadenie prístupu

– C1 – nepovinná vzájomná ochrana používateľov (nie proti útočníkom)

– C2 – voliteľné riadenie prístupu• B – povinné riadenie prístupu

– B1 - povinné riadenie prístupu (je podaný dôkaz o uplatnení bezpečnostnej politiky)

– B2 – štruktúrovaná ochrana (odolnosť proti bežným útokom hackerov)

– B3 – bezpečnostné domény (odolnosť proti útokom profesionálov)

• A – verifikovaný návrh– Funkčná zhoda s B3 + formálne preveriteľné vlastnosti

RASTIE

DÔVERIHODNOSŤ

Bezpečnosť podľa TCSEC je daná

• Bezpečnostnou politikou - požiadavky na – voliteľnosť / povinnosť riadenia prístupu – opakovateľnosť použití objektov – klasifikáciu informácií

• Sledovateľnosťou činností - požiadavky na – identifikáciu a autentizáciu používateľov– audit – použitie dôveryhodných zariadení

• Kvalitou dokumentácie – či sú vyjadrené bezpečnostné rysy v používateľskej príručke – zaistenie dôveryhodnosti v administrátorskej príručke – existencia dokumentácie testov– existencia návrhovej dokumentácie

Bezpečnosť podľa TCSEC je daná

• Zaručiteľnosťou dôveryhodnosti z hľadiska činnosti – ako bola definovaná architektúra systému – ako bola vykonaná analýza skrytých kanálov – či je zavedená rola správcov – ako je zaistená dôveryhodná obnova činnosti po konflikte

• Zaručiteľnosťou dôveryhodnosti z hľadiska štandardizovaného návrhu, vývoja a procesu údržby – vykonáva sa testovanie

• bezpečnostných mechanizmov • rozhraní bezpečnostných služieb

– hodnotí sa návrhová špecifikácia a vykonanie verifikácie – ako prebieha správa konfigurácie – ako je zaistená dôveryhodná distribúcia systému

Information Technology Security Evaluation Criteria

(ITSEC)

Dosiahnutá úroveň bezpečnosti sa hodnotí dosiahnutou dôveryhodnosťou

• Vývojový proces – forma špecifikácie požiadaviek, návrh architektúry, detailný

návrh implementácie

• Vývojové prostredie– ako prebiehalo riadenie projektu, použité programovacie jazyky,

použité kompilátory, aplikovaná bezpečnosť pri vývoji

• Prevádzková dokumentácia – dokumentácia pre správcu (administrátora), dokumentácia pre

používateľa

• Prevádzkové prostredie– dodávka, distribúcia, konfigurácia, spustenie, prevádzka

Výsledok hodnotenia

• Výsledok hodnotenia v 4 pohľadoch je označenie dosiahnutej bezpečnosti,ktoré je rozdelené do 6 úrovní bezpečnosti E1 - E6

• Zaradenie do triedy zaručiteľnosti bezpečnosti sa deje v závislosti na – spôsobe špecifikácie vlastností(formálne,semiformálne,

neformálne)– spôsobe preukazovania bezpečnostných vlastností(testovanie

len funkcií, testovanie funkcií aj mechanizmov)– dosiahnutie predpísaných vlastností pre danú triedu

zaručiteľnosti bezpečnosti

Triedy zaručiteľnosti bezpečnosti

• E0 – nedostatočná zaručiteľnost bezpečnosti, hodnotenie nie je možné

vykonať• E1

– musí byť dodaný bezpečnostný cieľ a neformálny popis hodnoteného predmetu a testovanie bezpečnostných funkcií musí ukazovať, že hodnotený predmet spĺňa bezpečnostný cieľ

• E2 – E1 + požaduje sa dostupnosť neformálneho popisu detailného návrhu

hodnoteného predmetu a hodnotiacemu orgánu sa musia dodať dôkazy testovaní; musí sa vykonávať správa konfigurácie a musí byť zavedený proces dodávky hodnoteného predmetu

• E3 – E2 + požaduje sa dostupnosť detailného návrhu a zdrojové texty

programov bezpečnostných funkcií

Triedy zaručiteľnosti bezpečnosti

• E4 – bezpečnostná politika hodnoteného predmetu musí byť

vyjadrená formálnym modelom, požaduje semiformálny popis architektúry a detailného návrhu hodnoteného predmetu a vykonanie analýzy zraniteľnosti na tejto úrovni

• E5 – musí sa preukázať úzka súvislosť medzi detailným návrhom a

implementáciou na úrovni zdrojových textov programov a vykonanie analýzy zraniteľnosti na tejto úrovni

• E6 – požaduje sa formálny popis bezpečnostnej architektúry

hodnoteného predmetu konzistentný s formálnym modelom bezpečnostnej politiky; musí byť jednoznačne preukázateľná súvislosť výkonných programov s ich zdrojovými formami

Common Criteria, ISO/IEC 15408

(CC)

Ciele a štruktúra

• Ciele – mať jednotné medzinárodné kritéria bezpečnosti produktov a

systémov IT– mať možnosť medzinárodného vzájomného uznávania

hodnotenia bezpečnosti produktov IT– vývojárom umožniť medzinárodnú spoluprácu– poskytnúť možnosť lepšej celosvetovej dostupnosti bezpečných

produktov IT• Štruktúra

– časť 1–popis celkovej štruktúry, jazyk pre vyjadrovanie požiadaviek na bezpečnosť produktov / systémov IT

– časť 2, 3–katalóg štandardizovaných komponent a zostáv IT bezpečnostných požiadaviek na bezpečnostnú funkčnosť a na zaručiteľnosť

Ako CC používajú

• Zadávatelia vývoja stanovujú profily ochrán a bezpečnostné ciele ako špecifikácie bezpečnostných požiadaviek na produkt

• Vývojári špecifikujú pomocou CC bezpečnostné vlastnosti produktov ako sú bezpečnostné ciele

• Pri hodnotení sa hodnotí produkt či a ako vyhovuje známym a pochopeným požiadavkám. Výsledkom je stanovenie úrovne dôvery v bezpečnosť produktu

• Hodnotiace autority používajú profily ochrán a bezpečnostné ciele ako mieru toho, ako produkt vyhovuje požadovanej bezpečnosti

• Zákazníci kupujúci produkt vyhľadajú profil ochrany, ktorý spĺňa jeho požiadavky a použijú ho pri špecifikácii objednávky

• Používateľské združenia definujú pomocou CC profily ochrán, ktoré spĺňajú spoločné požiadavky svojich členov

Kľúčové pojmy CC – typy požiadaviek

• funkčné požiadavky– Čo produkt urobí? – určené pre definíciu bezpečného chovania produktu -

identifikácia, autentifikácia, nepopierateľnosť, ...– implementáciou požiadaviek vznikajú bezpečnostné funkcie

• požiadavky zaručiteľnosti bezpečnosti– JE PRODUKT UROBENÝ DOBRE A ROBÍ TO, ČO ROBIŤ MÁ? – určené pre stanovenie dôvery v bezpečnostné funkcie

preukázaním správnosti implementácie – preukázaním splnenia cieľov

• stanovenie sily (odolnosti) • bezpečnostné funkcie • aké dôkazy musí poskytnúť vývojár • aké dôkazy musí vypracovať hodnotiaca autorita • rozsah, hĺbka, prísnosť hodnotení

Kľúčové pojmy CC – typy zostáv požiadaviek na IT bezpečnosť

• Profil ochrany(ProtectionProfile PP) - implementačne nezávislá množina bezpečnostných cieľov a požiadaviek na bezpečnosť na istú kategóriu IT produktov alebo systémov, ktoré spĺňajú podobné požiadavky zákazníka na bezpečnosť IT napr. PP firewallu, PP DBMS, PP CA ...

• Bezpečnostní cieľ (Security Target ST) - množina požiadaviek na bezpečnosť a špecifikáciu konkrétneho produktu; bázy pre hodnotenie predmetu napr. ST pre Oraclev 7, ST pre MilkyWay firewall

Kľúčové pojmy CC

• Hodnotený predmet, HP– TOE, Target of Evaluation– predmet hodnotenia

• Bezpečnostná politika HP– TSP, TOE Security Policy– Pravidlá, ktoré predpisujú spôsob správy, ochrany a distribúcie dát v

rámci HP

• Bezpečnostné funkcie HP– TSF, TOE Security Functions– všetky časti HP, na ktoré musí byť spoľahnutie pre správne presadenie

bezpečnostní politiky HP

Kľúčové pojmy CC - hierarchické kategórie požiadaviek na bezpečnosť

• Trieda – Class– napr : FDP -User Data Protection – zoskupenie požiadaviek príbuzne orientovaných rodín, pokrytie istej

problémovej oblasti

• Rodina – Family – napr : FDP_ACC –Access Control Policy – zoskupenie komponent podieľajúcich sa na spoločnom bezpečnostnom

cieli, môžu sa líšiť prísnosťou

• Komponenta – Component – napr : FDP_ACC.1 - SubsetAccessControl – najmenšia voliteľná množina prvkov, ktorú je možné zahrnúť do PP /

ST /package

• Prvok – Element – činnosť vývojára, hodnotiacej autority, požiadavky na to, čo je dôkaz, ...

Triedy požiadaviek na funkčnosť bezpečnosti

Trieda MenoFAU AuditFCO CommunicationsFCS Cryptographic SupportFDP User Data ProtectionFIA Identification & AuthenticationFMT Security ManagementFPR PrivacyFPT Protection of TOE Security FunctionsFRU Resource UtilizationFTA TOE AccessFTP Trusted Path / Channels

Triedy požiadaviek na zaručiteľnosť bezpečnosti

Trieda MenoACM Configuration ManagementADO Delivery & OperationADV DevelopmentAGD Guidance DocumentsALC Life Cycle SupportsATE TestsAVA Vulnerability AssessmentAPE Protection Profile EvalutationASE Security Targer EvalutationAMA Maintenance of Assurance

EALs, Evaluation Assurance Levels

• úrovne zaručiteľnosti bezpečnosti HP odvodené z hodnotenia

• EAL1, funkčne testovaný HP • EAL2, štrukturálne testovaný HP • EAL3, metodicky testovaný a kontrolovaný HP• EAL4, metodicky navrhnutý, testovaný a preskúmaný HP• EAL5, semiformálne navrhnutý a testovaný HP• EAL6, semiformálne navrhnutý so semiformálne overeným návrhom

a testovaný • HP EAL7, formálne navrhnutý s formálne overeným návrhom a

testovaný HP

Charakteristiky EAL1

• požaduje sa správna (bezchybná) prevádzka HP • hrozby nie sú posudzované ako závažné • požaduje sa získanie nezávisle vyslovenej záruky, aby sa podporilo

tvrdenie, že bola vynaložená patričná starosť o ochranu • cieľová EAL pri zabezpečovaní systémov obsahujúcich napr. iba

osobní údaje • EAL1 sa odvodzuje

– z hodnotení HP dostupného zákazníkovi – a z nezávislého testovania, či sú splnené špecifikácie

• hodnotenie – je vykonateľné bez spoluúčasti a bez pomoci vývojára– vyžaduje vynaloženie minimálnych nákladov


• požaduje sa kooperácia s vývojárom HP odpovedajúca dobrým obchodným praktikám

• sú požadované informácie o návrhu a výsledky testov • nekladú sa požiadavky na podstatné zvýšenie

finančných a časových nákladov • požaduje sa malá až priemerná úroveň bezpečnosti • cieľová EAL pri zabezpečovaní systému napr.

podnikového účtovníctva• vhodná EAL pre prípady, kedy je vývojár dostupný

obmedzene


• maximálne vysoká úroveň záruky bezpečnosti HP vysloviteľná na základe zistení, že sa pri návrhu dokázateľne použilo bezpečnostné konštruovanie, a to bez toho, že by vývojár musel podstatne meniť svoje dobré vývojové praktiky

• EAL vhodná pre podmienky, v ktorých vývojár alebo používateľ– požadujú získanie nezávisle vyslovenej priemernej úrovne

záruky bezpečnosti– nechcú vykonávať rozsiahly re-engineering

• hodnotia sa dôkazy testovania návrhu na vysokej (zdrojovej) úrovni


• maximálne vysoká úroveň záruky bezpečnosti produktu alebo systému IT vysloviteľná na základe zistení, že sa pri návrhu preukázateľne použilo bezpečnostné inžinierstvo

• najvyššie úrovne záruky bezpečnosti ktorých dosiahnutie je ekonomicky zabudovateľné do existujúcich výrobných postupov

• EAL vhodná pre podmienky, v ktorých vývojár alebo používateľ– požadujú získanie nezávisle vyslovenej priemernej až vysokej

úrovne bezpečnosti pre bežne predávaný tovar – sú uzrozumení s vynaložením dodatočných nákladov na použitie

špecifického bezpečnostného konštruovania HP


• maximálne vysoká úroveň záruky bezpečnosti vysloviteľná na základe zistení preukázateľného používaného bezpečnostného konštruovania, založeného na dokonalých komerčných vývojových praktikách podporovaných bežnou, nie však extrémnou aplikáciou špeciálnych bezpečnostných techník

• EAL vhodná pre podmienky, v ktorých vývojár alebo používateľ nechcú hradiť neodôvodnene zvýšené náklady na použitie špeciálnych bezpečnostných techník


• úroveň záruky bezpečnosti umožňujúce vytvárať zvlášť prepracované produkty alebo systémy IT pre ochranu aktív s vysokou hodnotou prevádzkované vo vysoko rizikových prostrediach

• EAL vhodná pre vývoj bezpečných produktov alebo systémov IT, ktoré sa majú používať vo vysoko rizikových prostrediach a kde hodnota chránených aktív ospravedlňuje dodatočné vyššie náklady


• EAL použiteľná pre vývoj bezpečných IT produktov alebo systémov určených pre prevádzkovanie vo vysoko rizikových prostrediach, kedy vysoká hodnota aktív ospravedlňuje vynaloženie vyšších nákladov

• praktická použiteľnosť je v súčasnej dobe obmedzená na produkty alebo systémy IT s úzko zameranou bezpečnostnou funkcionalitou, ktorú je možno rozsiahle analyzovať formálnymi metódami

Porovnanie tried štandardov

CC TCSEC ITSEC- E0

EAL1 D (min. ochrana) -EAL2 C1 (volitelný prístup) E1

EAL3 C2 (riadený prístup) E2

EAL4 B1(ochrana návestím) E3

EAL5 B2 (štrukt. ochrana) E4

EAL6 B3 (bezp. domény) E5

EAL7 A1 (verif. návrh) E6

Information Security Engineering

1. Potreby, ciele

Zoznam potrieb, cieľov a požiadaviek vychádza od zákazníka. Potreby sú základom pre projekt: projekt existuje pre naplnenie potrieb. V tomto prvom kroku, všetko, čo musí byť urobené, je uistenie sa, že zoznam potrieb a cieľov je správny. Pretože tieto ciele a potreby sú zadávané používateľom systému, vývojár sa môže vrátiť späť k týmto zdrojom pre prípad uistenia sa, že tieto ciele a potreby sú stále aktuálne. Mnohí zákazníci si neuvedomujú, že ich konečný úspech je závislý na spoľahlivých informačných technológiách. Tu vyvstáva otázka určiť informačné bezpečnostné potreby, ktoré nie sú výslovne špecifikované. A predsa, tieto informačné bezpečnostné potreby môžu ovplyvniť ako priame náklady tak aj špecifické inžinierske požiadavky. Bez explicitného vysvetlenia informačných bezpečnostných požiadaviek, sú problémy v budúcnosti prakticky zaručené.

2. Inžinierstvo úloh systému

• Inžinierstvo úloh systému v sebe zahŕňa analýzu úloh systému, ktorý bude konštruovaný. Jeho hlavnou úlohou je overiť že úlohy systému sú opodstatnené a na určenie technických prostriedkov pre vývoj systému. Úlohy systému sú stále viac a viac závislé na vnútorných a vonkajších IT. Tento návrh tiež zahŕňa detailné určenie bezpečnostných požiadaviek.

• Pýtame sa na otázky:– Vzhľadom na kontext systému a jeho informačné prostredie, kde sú citlivé a

problémové oblasti? Prečo existujú? – Ako sú popísané dôvernosť, integrita a dostupnosť popísané v analýze systému?– Aká bezpečnostná politika poskytne podporu robustnému operačnému prostrediu?

• Všetky z týchto uvažovaní by mali byť zhromaždené v analýze rizikového prostredia. Zvažovanie potenciálnych hrozieb , zraniteľnosti, možno aj protiopatrení, a dopad problémov prispieva priamo k špecifikácii architektonických alternatív, výkonových mier, a iných dôležitých stránok systémového inžinierskeho procesu. Vykonávanie tejto analýzu priamo zachráni čas, úsilie a prostriedky v neskorších etapách inžinierskeho procesu.

3. Analýza požiadaviek

• Analýza požiadaviek je súbor aktivít, ktoré zhodnotia existujúci súbor požiadaviek, odvodzujú nové požiadavky, a potom rozvrhnú tieto požiadavky na funkčné prvky systému." Dobrý nástroj na analýzu požiadaviek je matica bezpečnostných okolností, ktorá je potom vyplnená s špecifickými požiadavkami. Nasledujúca matice ukazuje druhy otázok, ktoré musia byť zodpovedané k tomu aby sa dali jasne určiť informačné bezpečnostné požiadavky

Čo? Aká veľká?

Ako dlho?

Dôvernosť Čo je/nie je potrebné uchovať v tajnosti?

Aká veľká bezpečnosť je/nie je postačujúca?

Ako dlho má byť bezpečnosť zaručená?

Integrita Čo potrebujeme uchovávať vcelku?

Aká veľká integrita je/nie je postačujúca?

Ako dlho má byť integrita zaručená?

Dostupnosť Ktoré údaje musia/nemusia byť vždy dostupné?

Aká veľká dostupnosť je/nie je postačujúca?

Ako dlho má byť dostupnosť zaručená?

4. Analýza funkcií

• Analýza funkcií zahrňuje nasledujúce kroky:

• definícia najvyšších funkcií systému

• Dekompozícia vyšších funkcií na nižšie funkcie a subfunkcie

• rozdelenie spoločných informácií a dátových tokov medzi funkciami a subfunkcie

• Z analýzy požiadaviek sa uistiť že všetky požiadavky sú rozdelené funkciám a subfunkciám

Chrániť Odhaliť Opraviť

Dôvernosť Ako bude chránená dôvernosť?

Ako budú rozpoznávané problémy?

Ako rýchlo budú rozpoznávané problémy?

Ako budú opravené problémy?

Ako rýchlo budú opravené problémy?

Integrita Ako bude chránená integrita?

Dostupnosť Ako bude zabezpečená dostupnosť?

5. Návrh architektúry

Vývoj základnej architektúry systému je vrcholom celého inžinierskeho procesu. To si žiada formuláciu alternatívnych systémových architektúr a analýz architektúr pre overenie že daná architektúra spĺňa požiadavky systému. Tieto riešenia by mali zahrňovať nie len technologickú stránku veci ale aj stránku bezpečnostnej politiky.

6. Analýza alternatív

• Podstatou tejto analýzy je uskutočniť komplexný rozbor a ohodnotenie alternatív, ktoré budú zahrnuté v systémovej architektúre.

• Tento krok nie je len o vybratí vhodnej alternatívy ale aj o nutnosti vysvetliť prečo sme vybrali práve takúto alternatívu

• V tomto kroku by sme mali stanoviť aj hodnotu informácií nielen vo vzťahu k ich konkrétnemu použitiu ale aj vo vzťahu k ich strate.

7. Meranie výkonu(TPM - Technical performance measurement)

• TPM je základné východisko pre ohodnotenie výkonu jednotlivých alternatív. Slúži ako kľúčový atribút k výberu detailnejších parametrov vo forme hardwaru, softwaru a ľudského potenciálu.

8. Rozpočet životného cyklu (LCC – Life Cycle Costing)

• Náklady musí byť zvažované na základe životného cyklu. Tri hlavné kategórie ceny sú:– výskum, vývoj, test, a ohodnotenie; – získanie alebo dodanie– údržba

• Náklady spojené so zabezpečením informácií musia v sebe zahrňovať pozitívne aj negatívne zložky fungovania systému.

• Táto analýza by mala v sebe zahrňovať aj odôvodnenie jednotlivých rozpočtových položiek.

9. Analýza rizík

• Analyzujú sa riziká plánovania, riziká ceny a spoločenského rizika. Vo vnútri komunity zaoberajúcej sa informačnou bezpečnosťou je riziko dané rovnicou

• Táto rovnica nemôže byť vzatá do úvahy ako matematické vyjadrenie pre použitie kvantitatívnych určení rizikových faktorov. Na tieto určenia sa používajú mechanizmy teórie pravdepodobnosti

Hrozba x Zraniteľnosť x DopadRiziko = ––––––––––––––––––––––––– Protiopatrenia

10.Súbežné inžinierstvo

• Základný pohľad na súbežné inžinierstvo je kooperácia všetkých zložiek podieľajúcich sa na vývoji produktu v jeho životnom cykle.

11. Špecifikačné požiadavky

• Tieto požiadavky sú urečné tým, že sa vyvnie súbor detailných špecifikácií pre nové podsystémy.

• Tieto požiadavky sa kladú v troch oblastiach:– Oblasť Hardware– Oblasť Software– Oblať Ľudských zdrojov

• Informačné bezpečnostné riešenia musia vziať do úvahy všetky tri kategória rovnako ako rozhranie medzi nimi.

12. Hardwarové, softvérové, a inžinierstvo ľudských zdrojov

• Tento element odkazuje na na návrh a konštrukciu subsystémov rovnako ako komponentov ktoré tieto subsystémy tvoria.

• Spolu s návrhom procesov je aj voľba možných návrhov riešení zahŕňa výber najlepšej alternatívy pre uspokojenie potrieb systému.

13. Kontrola rozhraní

• Skúsenosti ukazujú, že mnoho ťažkostí spojených s vytváraním veľkých systémov sa ukazuje v rozhraniach medzi subsystémami navzájom a medzi systémom a externými systémami s ktorými musí systém spolupracovať.

14. Využitie a ohodnotenie počítačových nástrojov

• V tomto prvku systémového inžinierstva, tím hodnotí a následne používa prostriedky počítačovej pomoci vhodné pre vývoj daného systému.

• Tieto nástroje zahrňujú prostriedky pre zisťovanie zraniteľnosti systému, napr. systémy vírusovej ochrany, firewally ....

15. Manažment technických údajov

• Inžniering komplexných systémov produkuje množstvo technických údajov. Tieto údaje musia byť spracované a organizované.

16. Podpora integrovanej logistiky

• Podpora integrovanej logistiky je definovaná ako ‘disciplinovaný, zjednotený a opakovaný prístup k manažmentu a technickým aktivitám nutný k – začleneniu podporných stanovísk do systému a jeho návrhu, – vyvinúť podporné požiadavky, ktoré sú príbuzné k pripravenosti

cieľa, návrhu– získaniu požadovanej podpory– poskytovaniu požadovanej podpory behom operačnej fázy za

minimálnu cenu

17. Spoľahlivosť, Dostupnosť, Schopnosť údržby

• Spoľahlivosť je pravdepodobnosť že systém úspešne funguje v čase t.

• Dostupnosť je pravdepodobnosť, že systém je dostupný pre vykonávanie operácií keď je o to požiadaný.

• Schopnosť údržby je vyjadrená ako stupeň na ktorý bol systém vyvinutý aby umožnil údržbu za rozumnú cenu.

18. Integrácia

• Integrácia je súbor aktivít, ktoré zhromažďujú menšie jednotky do väčších.

19. Testovanie a hodnotenie

• Testovanie a hodnotenie odkazuje na fyzické potvrdenie celkového výkonu systému.

• Uskutočňuje sa minimálne v dvoch kľúčových kontextoch:– Dokončenie vývoja systému– Uvedenie systému do prevádzky

20. Záruka kvality a manažmentu

• "Záruka kvality a manažmentu odkazuje na všetky záležitosti týkajúce sa produktu a kvality servisu

• Kvalita a bezpečnosť sú vo vzájomnej interakcii. • Bezpečnostné opatrenia vyžadujú vysoké stupne kvality,

vo vedení aj v prevádzke.

21. Tréning

• Tento element odkazuje na tréning systémových operátorov a údržby systému.

22. Dokumentácia

• Tento element sa zaoberá tvorbou celej požadovanej dokumentácie k produktu.

23. Výroba

• Je fáza projektu behom ktorej je jedena alebo viac častí systému produkovaných pre zákazníka.

24. Inštalácia

• Toto je priamy element, ktorý vyžaduje vynikajúcu dokumentáciu, ktorá popisuje ako inštalovať systém v jeho prevádzkových podmienkách."

25. Prevádzka a údržba

• Tento element inžinierskeho procesu odkazuje na pomerne dlhé časové obdobie behom ktorého je systém v prevádzke „v teréne“. Dôraz by mal byť kladený na neustále meranie systémového výkonu.