Pojmy kybernetické bezpečnosti
Slovník pojmů z oblasti kybernetické bezpečnosti – seznam definic slov a frází týkajících se digitální bezpečnosti.
Slovník pojmů z oblasti kybernetické bezpečnosti je ucelený seznam definic slov a frází týkajících se digitální bezpečnosti. Lze jej použít jako příručku pro začínající i zkušené uživatele, aby lépe porozuměli jazyku používanému v oblasti kybernetické bezpečnosti.
Slovník obsahuje slova a fráze týkající se tématu kybernetické bezpečnosti a pojmy, které jsou stanoveny prostřednictvím zákona č. 181/2014 Sb., Zákon o kybernetické bezpečnosti a o změně souvisejících zákonů a souvisejícími vyhláškami.
A
- Akceptovatelné riziko je riziko, které je přijatelné pro povinnou osobu a není nutné jej zvládat pomocí dalších bezpečnostních opatření.
- Aktivum je cokoliv, co má pro UTB hodnotu vzhledem k významnému informačnímu systému.
B
- Bezpečnost informací je zajištění důvěrnosti, integrity a dostupnosti informací a dat.
- Bezpečnostním opatřením se rozumí souhrn úkonů, jejichž cílem je zajištění bezpečnosti informací v informačních systémech a dostupnosti a spolehlivosti služeb a sítí elektronických komunikací v kybernetickém prostoru.
- Bezpečnostní týmy hrají klíčovou roli při ochraně kritické informační infrastruktury a významných informačních systémů podle zákona o kybernetické bezpečnosti a jeho prováděcích předpisů. Úlohou těchto týmů je zároveň působit jako prvotní zdroj bezpečnostních informací a pomoci pro orgány státu, organizace i občany.
- Bezpečnostní politikou se rozumí soubor zásad a pravidel, které určují způsob zajištění
ochrany aktiv.
C
- CSIRT.CZ je národní CSIRT tým České republiky, který je provozován sdružením CZ.NIC podle zákona o kybernetické bezpečnosti a veřejnoprávní smlouvy uzavřené s Národním bezpečnostním úřadem.
F
- Firmware je v informatice mikroprogramové vybavení, které slouží pro řízení elektronických zařízení. Firmware se vztahuje k jednotlivým komponentům, jako je například harddisk, základní deska nebo procesor. Je v zařízení uložen natrvalo již od výroby, u některých zařízení jej lze aktualizovat.
D
- Dostupnost je vlastnost přístupnosti a použitelnosti na žádost oprávněné entity.
- Důvěrnost je vlastnost, že informace není dostupná nebo není odhalena neoprávněným jednotlivcům, entitám nebo procesům.
G
- Garant primárního aktiva je nejčastěji zaměstnanec zastávající role typu vedoucí oddělení, vedoucí odboru, vlastník procesu, vlastník systému atd.
- Garant podpůrného aktiva je vybírán na základě jeho pracovního zařazení, procesních a odborných znalostí daného aktiva. Musí být schopen na základě možných dopadů ohodnotit aktivum tak, aby byla osoba odpovědná za zpracování hodnocení rizik schopna tato rizika adekvátně vyhodnotit a řídit.
- Gestor aktiva je nejvýše postavený vedoucí pracovník organizačního celku, pod který dané aktivum přísluší. Gestor aktiva má příslušné pravomoci, aby mohl rozhodovat o nastavení požadavků nutných pro zajištění bezpečnosti aktiva. Gestor aktiva stanovuje garanta aktiva, který má detailní znalosti daného aktiva. Garant aktiva se zpravidla zapojuje do procesu řízení aktiv a rizik, jehož výstupy schvaluje gestor aktiva.
- GovCERT.CZ je vládní tým Národního centra kybernetické bezpečnosti, k jeho hlavním činnostem patří řešení bezpečnostních incidentů, zejména konzultacemi a poskytováním služeb analýzy síťových dat a logů s cílem identifikace způsobu a důsledků incidentu.
H
- Hardware označuje veškeré fyzické (hmatatelné) technické vybavení počítače a serveru, periferií a veškerých síťových prvků.
- Hodnocení aktiv je stanovení hodnoty aktiva v závislosti na posouzení dopadů na činnost organizace, které by mohly vyplynout ztráty důvěrnosti, integrity nebo dostupnosti aktiv.
- Hodnocení rizik je posouzení pravděpodobnosti selhání bezpečnosti, které by se mohlo vyskytnout působením hrozeb a zranitelností a dopady na konkrétní aktiva.
- Hrozba je potenciální příčina kybernetické bezpečnostní události nebo kybernetického bezpečnostního incidentu, která může způsobit škodu.
I
- Integrita je vlastnost přesnosti a úplnosti aktiv.
- Informace (informační aktiva) jsou výsledné, tj. vybrané či jinak zpracované údaje (data), prezentované ve formě snadno čitelné, pochopitelné a využitelné subjektem, jemuž jsou určeny. Mohou být v elektronické formě nebo napsané (vytištěné) v listinné formě, vyřčené při jednání nebo zaznamenané na jiném médiu.
K
- Kybernetická bezpečnostní neshoda, kterou se rozumí nesplnění požadavku podle stanovených kritérií nebo odchýlení praxe od dokumentovaných postupů v organizaci (nesoulad). Zjištění typu neshoda je důvodem k zahájení správního řízení. U neshod je dále uváděn i termín, do kterého musí dojít k nápravě.
- Kybernetická bezpečnostní událost je událost, která může způsobit narušení bezpečnosti informací v informačních systémech nebo narušení bezpečnosti služeb anebo bezpečnosti a integrity sítí elektronických komunikací. Jde tedy o situaci, kdy může dojít k narušení kybernetické bezpečnosti a tím ke způsobení kybernetického bezpečnostního incidentu.
- Kybernetický bezpečnostní incident v rámci bezpečnosti informací je narušení bezpečnosti informací v informačních systémech nebo narušení bezpečnosti služeb anebo bezpečnosti a integrity sítí elektronických komunikacív důsledku nastalé neshody. Jinými slovy dojde k situaci, kdy byla porušena kybernetická bezpečnost.
M
- Metodika hodnocení rizik obsahuje postup k provedení hodnocení rizik včetně stanovení kritérií pro akceptovatelnost.
N
- Need-to-know princip znamená, že informace by měla být dostupná pouze tomu, kdo ji potřebuje vědět v nezbytně nutném rozsahu.
- Národní úřad pro kybernetickou a informační bezpečnost je ústředním správním úřadem pro kybernetickou bezpečnost včetně ochrany utajovaných informací v oblasti informačních a komunikačních systémů a kryptografické ochrany.
P
- Plán zvládání rizik je přehledový dokument obsahující cíle a přínosy bezpečnostních opatření pro zvládání jednotlivých rizik, určení osoby zajišťující prosazování bezpečnostních opatření pro zvládání rizik, potřebné finanční, technické, lidské a informační zdroje, termíny zavedení opatření, popis vazeb mezi riziky a příslušnými bezpečnostními opatřeními, způsob realizace bezpečnostních opatření.
- Podpůrná aktiva jsou technická aktiva, zaměstnanci a dodavatelé podílející se na provozu, rozvoji, správě nebo bezpečnosti informačního a komunikačního systému.
- Primární aktiva jsou informace nebo služby, které zpracovává nebo poskytuje informační a komunikační systém.
R
- Riziko je možnost, že určitá hrozba využije zranitelnosti aktiva a způsobí škodu.
Ř
- Řízení aktiv je proces zahrnující vytvoření metodiky pro identifikaci a hodnocení aktiv, identifikaci a hodnocení aktiv, určení a evidenci vazeb mezi primárními a podpůrnými aktivy, stanovení přípustných způsobů používání aktiv, určení způsobu jejich likvidace a určení a evidování garantů aktiv.
- Řízení rizik je činnost zahrnující hodnocení rizik, výběr a zavedení opatření ke zvládání rizik, sdílení informací o riziku a sledování a přezkoumání rizik.20 Součástí řízení rizik je také vytvoření metodiky hodnocení rizik, vytvoření plánu zvládání rizik, prohlášení o aplikovatelnosti a zprávy o hodnocení rizik.
- Řízením dokumentace se rozumí soubor pravidel a postupů, které řídí procesy návrhů, tvorby, schvalování, evidování, stav a vyřazení dokumentů.
S
- Software je veškeré programové vybavení počítače serveru nebo aktivního prvku datové sítě. Souhrnně tímto pojmem tedy označujeme všechny počítačové programy, které provádějí nějakou činnost.
- Systém řízení bezpečnosti informací je dokumentovaný systém, ve kterém jsou chráněna definovaná informační aktiva, jsou řízena rizika bezpečnosti informací a zavedená opatření jsou kontrolována. Při zavádění SŘBI na UTB se postupuje podle normy ISO/IEC 27001.
T
- Technickými aktivy jsou technické vybavení, komunikační prostředky a programové vybavení informačního a komunikačního systému a objekty, ve kterých jsou tyto systémy umístěny, jejichž selhání může mít dopad na informační a komunikační systém.
V
- Výbor pro řízení kybernetické bezpečnosti je poradním sborem rektora a je tvořený osobami, které zajišťují řízení kybernetické bezpečnosti v podmínkách UTB. Jeho oblast působnosti je podrobně popsána ve Směrnici rektora č. 6/2023 Statut Výboru pro řízení kybernetické bezpečnosti. Výbor pro řízení kybernetické bezpečnosti je zřízen na základě zákona č. 181/2014 Sb., o kybernetické bezpečnosti, ve znění pozdějších předpisů, a vyhlášky č. 82/2018 Sb., o bezpečnostních opatřeních, kybernetických bezpečnostních incidentech, reaktivních opatřeních, náležitostech podání v oblasti kybernetické bezpečnosti a likvidaci dat.
- Významným dodavatelem se rozumí provozovatel informačního nebo komunikačního systému a každý, kdo s povinnou osobou vstupuje do právního vztahu, který je významný z hlediska bezpečnosti informačního a komunikačního systému.
- Významný informační systém je informační systém spravovaný orgánem veřejné moci, který není kritickou informační infrastrukturou ani informačním systémem základní služby a u kterého narušení bezpečnosti informací (narušení důvěrnosti, dostupnosti a integrity) může omezit nebo výrazně ohrozit výkon působnosti orgánu veřejné moci.
Z
- Zpráva o hodnocení rizik je dokumentovaným shrnutím závěrů hodnocení rizik.
- Zranitelnost je slabé místo aktiva nebo slabé místo bezpečnostního opatření, které může být zneužito jednou nebo více hrozbami.
- Zvládání rizik zahrnuje výběr opatření, vytvoření Plánu zvládání rizik a zavádění opatření.
Použité zdroje a literatura
- Zákon č. 181/2014 Sb. Zákon o kybernetické bezpečnosti a o změně souvisejících zákonů (zákon o kybernetické bezpečnosti)
- Vyhláška č. 82/2018 Sb. Vyhláška o bezpečnostních opatřeních, kybernetických bezpečnostních incidentech, reaktivních opatřeních, náležitostech podání v oblasti kybernetické bezpečnosti a likvidaci dat (vyhláška o kybernetické bezpečnosti)
- JIRÁSEK, Petr, Luděk NOVÁK a Josef POŽÁR. Výkladový slovník kybernetické bezpečnosti. 3., aktualiz. vyd. Praha: Policejní akademie ČR v Praze, 2015. ISBN 978-80-7251-436-6.