Připomínky Svazu průmyslu a dopravy k návrhu vyhlášek NÚKIB
Svaz průmyslu a dopravy České republiky (SP ČR) uplatnil následující připomínky k návrhu vyhlášky o provádění certifikace kryptografických prostředků a k vyhlášce o informační bezpečnosti, které připravil Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB).
1. Certifikace kryptografických prostředků
Návrh vyhlášky stanoví náležitosti žádosti o certifikaci kryptografického prostředku a kryptografického pracoviště, dokumentace nezbytné k provedení certifikace, způsob a podmínky provádění certifikace, vzor certifikátu kryptografického prostředku a kryptografického pracoviště a obsah certifikační zprávy.
V § 6 odst. 1 písm. f) a g) návrhu vyhlášky o certifikaci jsou uvedeny požadavky na výrobu, provozování a začlenění kryptografických prostředků do informačních systémů. Dle § 8 odst. 2 návrhu vyhlášky o kryptografické ochraně jsou tyto požadavky stanoveny bezpečnostním standardem NÚKIB, který však dosud nebyl zveřejněn.
SP ČR proto žádá NÚKIB o publikování tohoto standardu pro veřejnou konzultaci, aby odborná veřejnost mohla posoudit kritéria certifikace kryptografických prostředků.
Více zde.
2. Zohlednění NATO certifikace dodavatelů
Obsahem návrhu vyhlášky je soubor minimálních bezpečnostních požadavků nezbytných pro zajištění bezpečnosti utajované informace nacházející se v informačním systému, komunikačním systému nebo samostatném elektronickém zařízení, podmínky certifikace informačního systému, akreditace informačního systému cizí moci a podmínky pro ochranu utajovaných informací v komunikačních systémech a samostatných elektronických zařízeních, které jsou určeny k nakládání s utajovanými informacemi.
SP ČR doporučuje, aby vyhláška o informační bezpečnosti zohledňovala certifikace dodavatelů systémů, kteří disponují osvědčením NATO pro nakládání s utajovanými informacemi. Tito dodavatelé prokazují schopnost plnit nejpřísnější bezpečnostní požadavky, což by mělo snížit nároky na provozovatele systémů, kteří tyto certifikované dodavatele využívají.
Navrhujeme zahrnout nové ustanovení do § 31 vyhlášky o informační bezpečnosti, které by upravovalo zásady hodnocení rizik a smluvní ujednání s dodavateli. Dodavatelé s NATO certifikací by měli být automaticky považováni za vyhovující bezpečnostním požadavkům.
SP ČR věří, že tyto úpravy přispějí k lepšímu a efektivnějšímu procesu certifikace a zvýší celkovou úroveň bezpečnosti v ČR.
Více zde.