Strategie pro oblast kybernetické bezpečnosti ČR 2011-2015
1. KOORDINACE A ŘÍZENÍ RIZIK KYBERNETICKÉ BEZPEČNOSTI ČESKÉ REPUBLIKY
1.1 Alokace finančních zdrojů ke snížení dopadu kybernetických hrozeb v ČR
1.1.1 Provedení analýz zaměřených na zajištění finančních zdrojů potřebných k plnění všech úkolů ve všech oblastech akčního plánu
1.1.1.1 Garantování odpovídajícího finančního rámce pro plnění úkolů k zajištění kybernetické bezpečnosti ČR v jednotlivých rozpočtových kapitolách rezortů.
1.2 Organizační začlenění systému včasného varování a reakce na kybernetické útoky
1.2.1 Vybudovat vládní pracoviště pro koordinaci, řízení, monitoring a analýzu aktuálního stavu informačních a komunikačních systémů ČR.
1.2.1.1 Vybudování vládního pracoviště CERT s kompetencemi koordinovat činnost při stanovení prevence detekce a reakce na kybernetické útoky v ČR.
1.3 Realizace systému včasného varování a reakce na kybernetické útoky
1.3.1 Prostřednictvím CERT vytvořit jednotný systém včasného varování, reakce a výměny informací ke snížení rizik plynoucích z hrozeb informačních a komunikačních systémů.
1.3.1.1 Zveřejňovat varování o bezpečnostních hrozbách a incidentech na Portálu CERT s doporučením na eliminaci rizik.
1.4 Nepřetržité monitorování a analýza kybernetických hrozeb ČR
1.4.1 Provádět systémové a pravidelné monitorování hrozeb a analyzování současné situace v ČR i ve světě.
1.4.1.1 Zřízení národního registru bezpečnostních incidentů a jeho pravidelné vyhodnocování a aktualizace
1.5 Alokace zdrojů ke snížení dopadu kybernetických útoků ČR
1.5.1 Alokovat finanční zdroje na reálné stanovení cílů a plánování procesů při výstavbě a provozu kybernetické obrany ČR v návaznosti na EU a NATO.
1.5.1.1 Garantování finančního rámce na výstavbu kybernetické obrany ČR.
1.5.1.2 Získání finančních zdrojů z ESF a realizace projektů kybernetické obrany.
1.6 Alokace lidských zdrojů k eliminaci kybernetických hrozeb ČR a edukace subjektů OČTŘ v potírání kyberkriminality
1.6.1 Zajistit podmínky pro další rozvoj (včetně materiálního a personálního posilování) struktur, přímo zapojených do potírání kybernetické kriminality.
1.6.1.1 Získání lidských a finančních zdrojů, tvorba koncepce dalšího vzdělávání
1.7 Stanovení cílů, kompetencí, rolí, odpovědnosti při výstavbě kybernetické obrany jako součásti kybernetické bezpečnosti ČR
1.7.1 Alokovat lidské zdroje na stanovení reálných cílů při výstavbě a provozu kybernetické obrany ČR v návaznosti na EU a NATO.
1.7.1.1 Alokace prostředků na financování lidských zdrojů z ESF a realizace výstavby projektů kybernetické obrany.
1.8.1 Alokace finančních zdrojů na stanovení reálných cílů a plánování procesů při výstavbě a provozu kybernetické bezpečnosti ČR v návaznosti na EU a NATO.
1.8.1.1 Alokace finančních zdrojů na experty a realizace cílů výstavby kybernetické bezpečnosti.
1.9 Zlepšení spolupráce při zabezpečení kybernetické bezpečnosti
1.9.1 Zavést monitorování účinnosti procesů zvládání bezpečnostních rizik a navržených protiopatření jako součást národního systému řízení bezpečnostních rizik včetně vyhodnocování účinnosti nasazovaných opatření.
1.9.1.1 Bude řešeno v rámci vládního pracoviště CERT s koordinační úlohou ve vztahu ke kritické infrastruktuře ČR.
1.10 Ochrana kritické informační infrastruktury státu
1.10.1 Rozšiřovat a podporovat spolupráci policejních orgánů se zpravodajskými službami a nevládními neziskovými subjekty, zabývajícími se problematikou boje proti kybernetické kriminalitě
1.10.1.1 Zlepšování spolupráce a výměna zkušeností
1.11 Zlepšení spolupráce při zabezpečení kybernetické bezpečnosti
1.11.1 Vytvořit pro informační a komunikační systémy kritické infrastruktury státu potřebné postupy pro rychlý přechod z běžného do krizového stavu
1.11.1.1 Zpracování krizových plánů jednotlivých systémů KI, realizace pravidelných vzdělávacích programů personálu, nácviky postupů při obnově služeb informačních systémů.
1.12 Zlepšení spolupráce při zabezpečení kybernetické bezpečnosti
1.12.1 Zlepšit součinnost mezi subjekty zodpovědnými za informační a komunikační systémy kritické infrastruktury státu a věcně příslušnými bezpečnostními složkami státu
1.12.1.1 Zpracovat zásady a stanovit úroveň bezpečnosti systémů KI sjednocením a definováním práv a odpovědnosti.
1.12.1.2 Optimalizace existujících právních a technických norem.
2. PODPORA MEZINÁRODNÍ SPOLUPRÁCE V OBLASTI KYBERNETICKÉ BEZPEČNOSTI
2.1 Zapojení do mezinárodních cvičení v oblasti kybernetické bezpečnosti
2.1.1 Aktivně se zapojit do mezinárodních cvičení s prvky národní kybernetické obrany.
2.1.1.1 Zlepšování spolupráce a výměna zkušeností zejména při cvičeních EU a NATO.
2.2 Realizace efektivní spolupráce a koordinace na národní i mezinárodní úrovni
2.2.1 Podporovat portál CERT jako jednotný informační prostředek pro zajištění efektivní komunikace v oblasti kybernetické bezpečnosti na národní i mezinárodní úrovni.
2.2.1.1 Zřízení pracovních skupin pro oblast kybernetické bezpečnosti ČR v rámci MKRPKB.
2.2.1.2 Zveřejnění výstupů na portálu CERT jako platformy pro zajištění spolupráce s odbornou veřejností v oblasti kybernetické bezpečnosti.
2.3 Realizace aktivní mezinárodní spolupráce
2.3.1 Aktivně se účastnit přípravy legislativy a norem a další spolupráce týkající se kybernetické bezpečnosti v rámci Evropské unie i mimo ní (v rámci OECD, ISO, CERT, ENISA, ASEM, NATO a jiných mezinárodních organizací)
2.3.1.1 Zapojení expertů v oblasti legislativy, ICT a bezpečnosti jednotlivých resortů v oblasti kybernetické bezpečnosti do přípravy legislativy a norem v rámci EU, NATO.
2.4 Realizace aktivní mezinárodní spolupráce
2.4.1 Zapojit se do vytváření národních a mezinárodních pozorovacích a varovných sítí, se schopností odhalit a zabránit kybernetickým útokům v době vzniku
2.4.1.1 Zajištění uvedených činností prostřednictvím vládního pracoviště CERT ve spolupráci s dalšími pracovišti typu CSIRT.
3. NÁRODNÍ SPOLUPRÁCE V OBLASTI KYBERNETICKÉ BEZPEČNOSTI (STÁTNÍ, SOUKROMÉ A AKADEMICKÉ)
3.1 Výměna zkušeností
3.1.1 Prostřednictvím portálu CERT a dalších prostředků prezentovat nejlepší znalosti a praxi v oblasti kybernetické bezpečnosti.
3.1.1.1 Zveřejňování nejlepších znalostí a praxe při eliminaci kybernetických hrozeb (praktické dokumenty) na portálu CERT a jiných prostředcích
3.2 Využívání nejlepší praxe při budování kybernetické bezpečnosti
3.2.1 Podporovat zavádění a efektivní správu systémů řízení kybernetické bezpečnosti.
3.2.1.1 Zavádění systému ISMS a norem řady BS ISO/IEC 270XX.
4. VYTVOŘENÍ LEGISLATIVNÍHO RÁMCE K POSÍLENÍ KYBERNETICKÉ BEZPEČNOSTI ČR A PODPORA OCHRANY LIDSKÝCH PRÁV A SVOBOD
4.1 Vytvoření legislativního rámce na zvýšení kybernetické bezpečnosti ČR
4.1.1 Příprava věcného záměru zákona o kybernetické bezpečnosti ČR a příslušných prováděcích předpisů
4.1.1.1 Definovat pojmy v právním systému ČR, které jsou nutné pro zvýšení kybernetické bezpečnosti ČR, vymáhání práv a povinností v kyberprostoru ČR.
4.1.1.2 Definovat práva a povinnosti uživatelů a poskytovatelů služeb kyberprostoru ČR v souladu s nařízeními a předpisy EU.
4.2 Vytvoření legislativního rámce na zvýšení kybernetické bezpečnosti ČR
4.2.1 Analýza současného právního prostředí v oblasti kybernetické bezpečnosti ČR
4.2.1.1 Zpracování analýzy platného práva se zaměřením na bezpečnost a potírání kriminality v kyberprostoru při respektování a dodržování lidských práv a svobod.
4.3 Vytvoření zákona na zvýšení kybernetické bezpečnosti ČR
4.3.1 Příprava zákona na zvýšení kybernetické bezpečnosti.
4.3.1.1 Návrh novelizace právních norem ke zvýšení vymahatelnosti práva ČR týkající se kyberkriminality.
5. ZVYŠOVÁNÍ ZNALOSTÍ A POVĚDOMÍ V OBLASTI KYBERNETICKÉ BEZPEČNOSTI ČR
5.1 Zvyšovat povědomí o kybernetické bezpečnosti, rizicích a možnostech obrany občanů, subjektů komerční a nekomerční sféry a orgánů veřejné správy
5.1.1 Podporovat povědomí o kybernetické bezpečnosti mezi firmami, veřejnou správou a dalšími organizacemi.
5.1.1.1 Zveřejňování zkušeností a praxe v oblasti kybernetické bezpečnosti na portálu CERT.
5.2 Zvyšovat povědomí o kybernetické bezpečnosti, bezpečnostních rizicích a možnostech obrany u občanů, subjektů komerční a nekomerční sféry a orgánů veřejné správy.
5.2.1 Podporovat zvyšování povědomí jednotlivců školeními na téma kybernetické bezpečnosti.
5.2.1.1 Realizovat vzdělávací programy na téma kybernetické bezpečnosti podle role, kterou uživatelé, experti a řídící pracovníci plní, včetně orgánů činných v trestním řízení.
5.3 Zavést školicí a vzdělávací programy
5.3.1 Definovat cílovou úroveň znalostí pro jednotlivé role v oblasti kybernetické bezpečnosti podle role, kterou zde uživatelé plní.
5.3.1.1 Zpracování metodického pokynu a způsobu plnění.
5.4 Podpořit celkový program národního povědomí o kybernetické bezpečnosti
5.4.1 Kybernetickou bezpečnost začlenit do odborného vzdělávání.
5.4.1.1 Zpracování metodického pokynu a způsobu plnění, edukace v oblasti kybernetické bezpečnosti.
6. POSILOVÁNÍ KYBERNETICKÉ BEZPEČNOSTI V ICT VEŘEJNÉ SPRÁVY A KOMUNIKAČNÍ INFRASTRUKTURY ČESKÉ REPUBLIKY
6.1 Zpracování analýzy rizik informačních a komunikačních systémů veřejné správy s návrhem na eliminaci rizik
6.1.1 Vytvoření přehledu informačních a komunikačních systémů ČR. Provedení analýzy rizik poskytovaných služeb dodavatelů, kteří nejsou v majetku veřejné správy. Návrh opatření k eliminaci rizik.
6.1.1.1 Návrh komplexních opatření na eliminaci uvedených rizik.
6.2 Definování ochrany neutajovaných informací veřejné správy
6.2.1 Podpora k vytváření podzákonných norem k systematické kategorizaci informací neutajovaného charakteru a kategorizaci ICT ve veřejné správě, které zpracovávají neutajované informace neveřejného charakteru.
6.2.1.1 Vypracování předpisů a směrnic k ochraně důvěrných neutajovaných informací neveřejného charakteru a způsobu nakládání v informačních a komunikačních systémech veřejné správy.
6.3 Zavádění bezpečnostních norem a mezinárodních norem v oblasti ICT do veřejné správy
6.3.1 Podporovat zavádění a efektivní správu systémů řízení kybernetické bezpečnosti.
6.3.1.1 Zavádění systému ISMS a norem řady BS ISO/IEC 270XX atd.
7. POSILOVÁNÍ ODOLNOSTI PROTI NARUŠENÍ ICT SYSTÉMŮ A PROTI KYBERNETICKÝM ÚTOKŮM ČR
7.1.1.1 Bude řešeno v rámci vládního pracoviště CERT.
7.2 Zajištění kybernetické bezpečnosti orgánů veřejné správy
7.2.1 Zajistit dohled kybernetické bezpečnosti v rámci komunikační a informační infrastruktury veřejné správy.
7.2.1.1 Zřízení vládního pracoviště CERT.
7.3 Ochrana kritické informační a komunikační infrastruktury státu
7.3.1 Vyžadovat zavádění nástrojů kybernetické bezpečnosti pro ochranu informačních a komunikačních systémů kritické infrastruktury státu.
7.3.1.1 Zavedení bezpečnostní správy vybraných systémů a sítí, provozní bezpečnostní dokumentace, kontroly zabezpečení jejich vzájemného koordinovaného řízení a výměna informací při zjištění bezpečnostních incidentů.
7.4 Zavedení systému řízení bezpečnosti informací ve veřejné správě
7.4.1 Stanovit minimální rozsah úkolů k zajištění bezpečnosti informací ve veřejné správě v souladu s příslušnými normami ČSN ISO/IEC řady 27000 apod.
7.4.1.1 Návrh novelizace právních norem a zpracování metodik a směrnic stanovujících povinnostinveřejné správě k zavedení ISMS včetně kontrolních mechanismů a sankcí.
7.5 Spolupráce při zabezpečení kybernetické obrany
7.5.1 Zlepšit součinnost mezi subjekty zodpovědnými za informační a komunikační systémy kritické infrastruktury státu a věcně příslušnými bezpečnostními složkami státu.
7.5.1.1 Zpracovat zásady a stanovit úroveň bezpečnosti systémů KI sjednocením a definováním práv a odpovědnosti.
7.5.1.2 Optimalizace existujících právních a technických norem.
7.6 Zavedení plánu obnovy systému ICT ve veřejné správě
7.6.1 Zvýšit bezpečnost ICT a dat ve veřejné správě možností spolehlivé a rychlé obnovy funkčnosti systému, služeb a dat.
7.6.1.1 Zpracování metodik a směrnic nařizujících aplikaci plánů obnovy ICT ve veřejné správě, včetně ověření reálné funkčnosti.
7.7 Cvičení na národní a mezinárodní úrovni k testování účinnosti procesů zvládání bezpečnostních rizik
7.7.1 Provádění cvičení na národní a mezinárodní úrovni k nácviku testování účinnosti procesů zvládání bezpečnostních hrozeb a zavedení protiopatření prvků veřejné informační a komunikační infrastruktury.
7.7.1.1 Zpracování plánů a metodik k provádění cvičení na národní a mezinárodní úrovni k nácviku testování účinnosti procesů zvládání bezpečnostních rizik a zavedení protiopatření vybraných prvků veřejné informační a komunikační infrastruktury.
Portál strategické práce
Metodika přípravy veřejných strategií
DATAPLÁN
1. KOORDINACE A ŘÍZENÍ RIZIK KYBERNETICKÉ BEZPEČNOSTI ČESKÉ REPUBLIKY