Nationales Sicherheitsamt Dekret Nr. 56 / 1999 Coll.
Verordnung des Nationalen Sicherheitsbüros über die Sicherheit von geheimen Informationssystemen, deren Zertifizierungs- und Zertifizierungsanforderungen
Gültig
Ordnung
In Kraft seit 30.03.1999
Textfassungen:
30.03.1999
Zobrazeno prvních 200 z celkem 250 ustanovení tohoto předpisu.
Zobrazit celý předpis →
Pro stažení celého znění použijte tlačítko Stáhnout výše.
56.
Ordnung
Nationales Sicherheitsbüro
vom 19. März 1999
über die Sicherheit von Informationssystemen, die vertrauliche Informationen behandeln, die Erfüllung ihrer Zertifizierungs- und Zertifizierungsanforderungen
Das Nationale Sicherheitsamt ("das Amt") sieht gemäß §§ 51 Abs. 3 und 53 Abs. 3 des Gesetzes Nr. 148/1998 Slg. den Schutz der geheimen Informationen und die Änderung bestimmter Rechtsakte ("das Gesetz") vor:
Gegenstand
In diesem Erlass werden die Sicherheitsanforderungen für Informationssysteme, die vertrauliche Informationen behandeln (im Folgenden „Informationssystem“), die Mindestanforderungen im Bereich der Computersicherheit sowie die Verfahren und Verfahren für den Zertifizierungsprozess von Informationssystemen und die Einzelheiten der Bescheinigung festgelegt.
Definition der Begriffe
Im Sinne dieses Erlasses:
(a) den Vermögenswert des Hardware-Informationssystems, der Software, klassifizierte klassifizierte klassifizierte klassifizierte klassifizierte Informationen ("klassifizierte Informationen"), die im Informationssystem und in der Dokumentation des Informationssystems gespeichert sind;
b) durch ein Informationssystemobjekt (im Folgenden "Objekt") ein passives Element eines Informationssystems, das Informationen enthält oder empfängt;
c) eine Informationssystem-Entität (nachfolgend "die Einheit") ein aktives Element des Informationssystems, das die Übermittlung der Informationen zwischen Objekten oder Änderungen des Status des Systems bewirkt;
d) Risikoanalyse des Prozesses, bei dem die Vermögenswerte des Informationssystems, die Bedrohungen der Vermögenswerte des Informationssystems, seine Schwachstellen, die Wahrscheinlichkeit der Bedrohung und die Schätzung seiner Folgen verwirklicht werden;
e) ein Auditprotokoll über Ereignisse, die die Sicherheit des Informationssystems beeinträchtigen können;
f) durch Authentisierung des Unternehmens, den Prozess der Überprüfung seiner Identität, die das erforderliche Maß an Garantie erfüllt;
g) die Genehmigung des Unternehmens, bestimmte Rechte für die Durchführung bestimmter Tätigkeiten zu gewähren;
h) den Sicherheitsmechanismus zur Durchführung der Sicherheitsfunktion;
(i) die Betriebsart des Sicherheitsbetriebs der Umwelt, in der das Informationssystem arbeitet, gekennzeichnet durch die Klassifizierungsebene der eingestuften klassifizierten Informationen und der Benutzergenehmigungsebene;
(j) durch die Vertraulichkeit der klassifizierten Informationen, deren Eigenschaft es unmöglich macht, klassifizierte Informationen an ein nicht autorisiertes Unternehmen zu offenbaren;
c) die physische Sicherheit des Informationssystems der Maßnahmen, mit denen der physische Schutz der Vermögenswerte des Informationssystems vor versehentlichen oder vorsätzlichen Bedrohungen gewährleistet wird;
(l) die Integrität des Vermögens des Informationssystems, eine Eigenschaft, die seine Änderung in einer bestimmten Weise und nur von einer zugelassenen Stelle vorgenommen werden kann;
(m) die Kommunikationssicherheitsmaßnahmen, mit denen der Schutz von geheimen Informationen bei der Übermittlung von Telekommunikationskanälen sichergestellt wird;
(n) Computersicherheit des Informationssystems durch seine technischen und programmbezogenen Mittel;
(o) obligatorisches Zugriffsmanagement, um den Zugang von Einrichtungen zu Objekten zu beschränken, die auf einem Vergleich der im Objekt enthaltenen klassifizierten Informationsebene und der Berechtigungsstufe des Unternehmens zum Zugang zu klassifizierten Informationen beruhen und unabhängig von der Wahl des Nutzers den korrekten Informationsfluss zwischen Objekten unterschiedlicher Klassifizierungsebene gewährleisten;
(p) das Risiko für das Informationssystem der Wahrscheinlichkeit einer Bedrohung, die die Verwundbarkeit des Informationssystems ausnutzt;
a) die Rolle der Zusammenfassung der benannten Tätigkeiten und der erforderlichen Genehmigungen für die Nutzer im Informationssystem;
(s) Zugriffsverwaltung zur Einschränkung des Zugriffs durch Einrichtungen auf Objekte, um sicherzustellen, dass nur ein berechtigter Benutzer oder Prozess Zugang zu diesen erhält;
t) optionale Zugriffsverwaltungsmittel zur Einschränkung des Zugriffs auf Objekte durch Einrichtungen, die auf der Überprüfung der Zugriffsrechte des Unternehmens auf das Objekt basieren, wobei ein Benutzer, der mit bestimmten Zugriffsrechten für den Zugriff auf das Objekt ausgestattet ist, wählen kann, zu welchem anderen Einrichtungen Zugriffsrechte auf dieses Objekt übertragen werden und somit den Informationsfluss zwischen Objekten beeinflussen kann.
Sicherheitsanforderungen an Informationssysteme
Sicherheit von Informationssystemen
(1) Die Sicherheit des Informationssystems besteht aus einem System von Maßnahmen aus dem Bereich:
a) Computer- und Kommunikationssicherheit;
b) Verwaltungs- und Organisationsmaßnahmen;
c) Personalsicherheit;
d) physische Sicherheit des Informationssystems.
(2) Das in Absatz 1 genannte Handlungssystem ist in der Sicherheitsdokumentation des Informationssystems festgelegt.
Sicherheitsdokumentation des Informationssystems
(1) Die Sicherheitsdokumentation des Informationssystems besteht aus:
(a) Projektsicherheitsdokumentation des Informationssystems;
b) die operative Sicherheitsdokumentation des Informationssystems.
(2) Die Sicherheitsdokumente für das Informationssystem umfassen:
a) die Sicherheitspolitik des Informationssystems und die Bewertung der Risikoanalyse;
b) Entwurf von Sicherheitsmaßnahmen für die verschiedenen Phasen des Informationssystemvorschlags;
c) Dokumentation für die Sicherheitstests des Informationssystems.
(3) Die operationellen Sicherheitsdokumente des Informationssystems umfassen:
a) die Sicherheitsrichtlinie für das Informationssystem, in der die Tätigkeiten des Sicherheitsverwalters im betreffenden Informationssystem beschrieben werden;
b) Sicherheitsrichtlinien für einzelne Nutzer des Informationssystems.
(4) Die in den Absätzen 2 und 3 Buchstabe a genannten Sicherheitsdokumente werden klassifiziert und durch ein Klassifikationsniveau gekennzeichnet, das mit dem höchsten Klassifikationsniveau der vom Informationssystem behandelten klassifizierten Informationen identisch ist.
Zugangsvoraussetzungen für geheime Informationen im Informationssystem
(1) Der Zugang zu klassifizierten Informationen im Informationssystem kann nur einer für diesen Zugang zugelassenen benannten Person gewährt werden. Die Autorisierung basiert auf einer eindeutigen Benutzerkennung innerhalb des Informationssystems.
(2) Der Zugang zu klassifizierten Informationen im Informationssystem kann nur denjenigen Personen gewährt werden, die unbedingt einen solchen Zugang zur Durchführung ihrer Tätigkeiten benötigen. Diese Personen sind nur in dem für die Durchführung ihrer benannten Tätigkeiten im Informationssystem erforderlichen Umfang zugelassen.
Anforderung der Verantwortung für Tätigkeiten im Informationssystem
(1) Nutzer des Informationssystems sind dafür verantwortlich, ihren Verpflichtungen nachzukommen, um die Sicherheit des Informationssystems zu gewährleisten. Diese Verpflichtungen werden in der operativen Sicherheitsdokumentation des Informationssystems festgelegt, einschließlich der Verantwortung für den Schutz der einzelnen Vermögenswerte des Informationssystems.
(2) Im Informationssystem wird die Rolle des Sicherheitsadministrators des Informationssystems getrennt von der des Informationssystemadministrators eingeführt.
(3) Die Rolle des Sicherheitsverwalters des Informationssystems umfasst die Leistung des Sicherheitsmanagements des Informationssystems, insbesondere die Zuweisung von Zugriffsrechten, die Verwaltung von Authentifizierungs- und Genehmigungsinformationen, die Bewertung von Audit-Aufzeichnungen, die Aktualisierung von Sicherheitsrichtlinien, die Erstellung eines Sicherheitsvorfallsberichts und anderer in der operativen Sicherheitsdokumentation des Informationssystems dargelegter Tätigkeiten.
(4) Informationen über die Tätigkeit des Unternehmens im Informationssystem sind so zu erfassen, dass die Sicherheitsverletzungen oder -versuche auf dem Informationssystem einem bestimmten Benutzer in jeder seiner Aufgaben im Informationssystem zugeordnet werden können. Aufzeichnungen werden für den in der Sicherheitspolitik des Informationssystems festgelegten Zeitraum aufbewahrt.
Antrag auf Einstufungskennzeichnung
Die klassifizierten Informationen, die in irgendeiner Form aus dem Informationssystem stammen, werden durch eine geeignete Klassifizierungsstufe so gekennzeichnet, dass die angegebene Vertraulichkeitsstufe bei einer späteren Verarbeitung dieser Informationen eingehalten wird.
Informationssystem Sicherheitspolitik
(1) Für jedes Informationssystem muss die Sicherheitspolitik des Informationssystems bereits im Anfangsstadium seiner Entwicklung entwickelt werden. Die Sicherheitspolitik des Informationssystems besteht aus einer Reihe von Normen, Regeln und Verfahren, die festlegen, wie Vertraulichkeit, Integrität und Verfügbarkeit von geheimen Informationen und die Verantwortung des Nutzers für seine Tätigkeiten im Informationssystem gewährleistet werden sollen. Sicherheitspolitische Prinzipien werden in der Projekt- und Sicherheitsdokumentation des Informationssystems entwickelt.
(2) Die Sicherheitspolitik des Informationssystems muss nach den Rechtsvorschriften und internationalen Verträgen, durch die die Tschechische Republik gebunden ist, und der Sicherheitspolitik der übergeordneten Stelle verarbeitet werden.
(3) Internationale Standardsicherheitsspezifikationen 1)
Anforderungen an die Sicherheitspolitik des Informationssystems
Die Sicherheitspolitik des Informationssystems wird auf der Grundlage von
a) Mindestsicherheitsanforderungen im Bereich der Computersicherheit;
b) systembedingte Sicherheitsanforderungen, Benutzeranforderungen und Risikoanalyseergebnisse;
c) die Sicherheitsanforderungen der Sicherheitspolitik der übergeordneten Behörde, falls vorhanden.
Mindestsicherheitsanforderungen im Bereich der Computersicherheit
(1) Das Informationssystem, das die klassifizierten Informationen der Ebene "Vertrauen" oder höher behandelt, umfasst folgende Mindestsicherheitsfunktionen:
a) die eindeutige Identifizierung und Authentisierung des Nutzers, die alle anderen Aktivitäten der Nutzer im Informationssystem verhindern und die Vertraulichkeit und Integrität der Authentifizierungsinformationen gewährleisten muss;
b) die optionale Verwaltung des Zugangs zu Objekten, die auf der Unterscheidung und Verwaltung von Nutzerzugriffsrechten und Benutzeridentität oder seiner Mitgliedschaft in einer Gruppe von Nutzern beruhen;
c) kontinuierliche Aufzeichnung von Ereignissen, die die Sicherheit des Informationssystems in den Audit-Aufzeichnungen und die Sicherheit von Audit-Aufzeichnungen vor unbefugtem Zugriff, insbesondere durch Änderung oder Zerstörung, beeinflussen können. insbesondere die Verwendung von Identifizierungs- und Authentifizierungsinformationen, Versuche, Zugriffsrechte zu prüfen, ein Objekt zu erstellen oder zu stören oder die Tätigkeit der zugelassenen Nutzer, die die Sicherheit des Informationssystems beeinflussen, zu erfassen sind;
d) die Möglichkeit der Prüfung von Prüfprotokollen und der Ermittlung der Verantwortung des einzelnen Nutzers des Informationssystems;
e) die Behandlung von Speicherobjekten vor ihrer weiteren Verwendung, insbesondere vor der Zuordnung zu einem anderen Körper, die es unmöglich macht, ihren vorherigen Inhalt zu bestimmen;
f) den Schutz der Datengeheimnis bei der Netzwerkübertragung, mit der Notwendigkeit, klassifizierte Informationen im Übertragungsprozess zwischen Quelle und Ziel in geeigneter Weise zu schützen.
(2) Um die in Absatz 1 genannten Mindestsicherheitsfunktionen zu gewährleisten, werden im Informationssystem identifizierbare programmtechnische Mechanismen implementiert. Ihre Ausführungs- und Betriebseinstellungen werden so dokumentiert, dass sie unabhängig überprüft und deren Angemessenheit beurteilt werden können.
(3) Die Sicherheitsmechanismen, die die Sicherheitspolitik des Informationssystems anwenden, müssen während des gesamten Lebenszyklus des Informationssystems vor Störungen oder unberechtigten Änderungen geschützt werden.
(4) In einem Informationssystem, das nur klassifizierte Informationen der "Reservierten" Ebene behandelt, wird die Verantwortung des Nutzers für seine Tätigkeiten im Informationssystem gewährleistet und der Zugang zu klassifizierten Informationen auf der Grundlage des Grundsatzes des Zugangs zu Informationen gestattet. Die in Absatz 1 genannten Sicherheitsfunktionen sowie Maßnahmen im Zusammenhang mit dem Personal, der Verwaltung und der physischen Sicherheit von Informationssystemen werden in geeigneter Weise verwendet.
Systemabhängige Sicherheitsanforderungen aus dem Sicherheitsbetrieb
(1) Informationssysteme dürfen nur in einem der folgenden Sicherheitsbetriebsarten betrieben werden:
a) sicherheitsbeschränkter Betriebsmodus;
b) eine hochrangige Betriebsart der Sicherheit;
(c) mehrstufiger Sicherheitsbetriebsmodus.
(2) Ein reservierter Sicherheitsbetriebsmodus ist eine Umgebung, in der das Informationssystem ausschließlich für die Verarbeitung einer spezialisierten Art von Verschlusssachen bestimmt ist, wobei alle Benutzer für den Zugang zu Verschlusssachen auf dem höchsten Niveau des Informationssystems bestimmt sind und gleichzeitig mit allen im Informationssystem enthaltenen Verschlusssachen arbeiten dürfen. Die Sicherheit des im Sicherheitsbetrieb betriebenen Informationssystems wird durch die Einhaltung der Mindestsicherheitsanforderungen im Bereich der Computersicherheit gemäß Artikel 10 Absatz 1 Buchstaben a, c, d und f sowie Maßnahmen im Bereich der administrativen, personellen und physikalischen Sicherheit von Informationssystemen gewährleistet. Die Höhe der Maßnahmen aus diesen Bereichen und die Maßnahmen, um die Vertraulichkeit der Daten während der Übermittlung zu gewährleisten, entsprechen dem Niveau, das für das höchste Niveau der vom Informationssystem behandelten klassifizierten Informationen erforderlich ist.
(3) Ein hochrangiger Sicherheitsbetriebsmodus ist eine Umgebung, die die gleichzeitige Verarbeitung von klassifizierten klassifizierten klassifizierten klassifizierten klassifizierten klassifizierten klassifizierten klassifizierten klassifizierten klassifizierten klassifizierten Informationen ermöglicht, in der alle Nutzer zum Zugriff auf klassifizierte Informationen des höchsten in dem Informationssystem enthaltenen Niveaus benannt werden müssen, während alle Nutzer nicht berechtigt sind, sich mit allen klassifizierten Informationen zu befassen. Die Sicherheit des Informationssystems, das in einem hochrangigen Sicherheitsbetrieb betrieben wird, ist durch die Einhaltung der Mindestsicherheitsanforderungen im Bereich der Computersicherheit gemäß Abschnitt 10 sowie der Maßnahmen im Bereich der Verwaltung, des Personals und der physischen Sicherheit von Informationssystemen sicherzustellen. Die Höhe der Maßnahmen aus diesen Bereichen und die Maßnahmen, um die Vertraulichkeit der Daten während der Übermittlung zu gewährleisten, entsprechen dem Niveau, das für das höchste Niveau der vom Informationssystem behandelten klassifizierten Informationen erforderlich ist.
(4) Ein mehrstufiger Sicherheitsbetriebsmodus ist eine Umgebung, die die gleichzeitige Verarbeitung von klassifizierten klassifizierten klassifizierten klassifizierten klassifizierten klassifizierten klassifizierten klassifizierten klassifizierten klassifizierten klassifizierten Informationen in einem Informationssystem ermöglicht, in dem alle Nutzer nicht dazu bestimmt sind, mit klassifizierten Informationen auf höchstem Niveau im Informationssystem zu arbeiten, während alle Nutzer nicht zugelassen werden dürfen. Die Sicherheit des in einem mehrstufigen Sicherheitsmodus betriebenen Informationssystems wird durch die in Absatz 3 genannten Maßnahmen und durch die Sicherheitsfunktion der obligatorischen Verwaltung des Zugangs von Objekten zu Objekten gewährleistet. Die Höhe der administrativen und personellen Sicherheit, die physische Sicherheit von Informationssystemen und Maßnahmen, um die Vertraulichkeit der Daten während der Übermittlung zu gewährleisten, wird nach dem Grundsatz des obligatorischen Zugangsmanagements bestimmt.
(5) Die Funktionen der obligatorischen Verwaltung des Zugangs von Einrichtungen zu Objekten müssen sicherstellen:
a) eine dauerhafte Verbindung zwischen jedem Unternehmen und einem Objekt mit einem Sicherheitsattribut, das dem Unternehmen den Grad der Genehmigung des Unternehmens und dessen Klassifizierungsebene für das Objekt ausdrückt;
b) Schutz der Integrität des Sicherheitsattributs;
c) die ausschließliche Genehmigung des Sicherheitsverwalters des Informationssystems zur Änderung von Sicherheitsattributen beider Organisationen und Objekte;
d) die Zuordnung von vordefinierten Attributenwerten für neu erstellte Objekte und die Aufrechterhaltung des Attributs beim Kopieren des Objekts.
(6) Bei der Anwendung der Sicherheitsfunktion der zwingenden Verwaltung des Zugangs von Einrichtungen zu Gegenständen sind folgende Grundsätze zu beachten:
a) das Unternehmen darf die Informationen im Objekt nur lesen, wenn seine Berechtigungsstufe gleich oder höher ist als die Klassifizierungsebene des Objekts;
b) das Unternehmen darf nur Informationen in das Objekt eingeben, wenn die Höhe seiner Zulassung gleich oder kleiner ist als die Klassifizierungsebene des Objekts;
c) Der Zugriff auf die im Objekt enthaltenen Informationen ist möglich, wenn sowohl die Regeln des obligatorischen Zugangsmanagements als auch die Regeln des optionalen Zugangsmanagements zulässig sind.
(7) Das im Multi-Level-Sicherheitsmodus betriebene Informationssystem muss in der Lage sein, die Klassifizierung der aus dem Informationssystem stammenden Kleininformationen genau anzuzeigen und die Klassifizierung der klassifizierten Informationen in das Informationssystem zu ermöglichen.
(8) Bei einem Informationssystem, das in einem mehrstufigen Sicherheitsbetrieb betrieben wird und mit klassifizierten klassifizierten klassifizierten "Top Secret" behandelt wird, müssen geheime Informationen, Identifizierung und Analyse versteckter Kanäle durchgeführt werden. Ein versteckter Kanal bedeutet eine unzulässige Kommunikation, durch die klassifizierte Informationen eine nicht autorisierte Einheit erreichen.
Systemabhängige Sicherheitsanforderungen für Computernetzwerkumgebung
(1) Bei der Übermittlung klassifizierter Informationen über einen Kommunikationskanal sind Vertraulichkeit und Integrität zu gewährleisten.
(2) Der kryptographische Schutz ist das grundlegende Mittel, um die Vertraulichkeit der klassifizierten Informationen bei der Übermittlung durch den Kommunikationskanal zu gewährleisten.
(3) Die wesentlichen Mittel, um die Integrität der klassifizierten Informationen bei der Übermittlung durch den Kommunikationskanal zu gewährleisten, sind eine zuverlässige Erfassung sowohl vorsätzlicher als auch zufälliger Änderungen der klassifizierten Informationen.
(4) Je nach Kommunikationsumgebung wird eine zuverlässige Identifizierung und Authentisierung von kommunizierenden Parteien gewährleistet, einschließlich des Schutzes von Identifikations- und Authentifizierungsinformationen. Diese Identifizierung und Authentifizierung verhindert die Übermittlung klassifizierter Informationen.
(5) Die Verbindung des Netzes unter der Kontrolle der Verwaltung des Informationssystems zu einem externen Netz, das nicht unter der Kontrolle der Verwaltung des Informationssystems steht, wird durch eine entsprechende Sicherheitsschnittstelle gewährleistet, um ein Eindringen in das Informationssystem zu verhindern.
Zugangsanforderungen für klassifizierte Informations- und Informationssystemdienste
(1) Das Informationssystem muss sicherstellen, dass die angeforderten geheimen Informationen an einem bestimmten Ort, in dem gewünschten Formular und innerhalb eines bestimmten Zeitbereichs zugänglich sind.
(2) Um den sicheren Betrieb des Informationssystems zu gewährleisten, legt die Sicherheitspolitik des Informationssystems die Komponenten fest, die ohne Unterbrechung des Informationssystems auswechselbar sein müssen. Der Umfang der erforderlichen Mindestfunktionalität des Informationssystems ist weiter festzulegen und die Bestandteile, für die die Mindestfunktionalität des Informationssystems gewährleistet sein muss, anzugeben.
(3) Die Planung der Vermögenswerte des Informationssystems und die Überwachung der Kapazitätsanforderungen werden so durchgeführt, dass Fehler aufgrund ihres Mangels vermieden werden.
(4) Es muss ein Plan zur Wiedereinziehung von Tätigkeiten nach einem Informationssystemunfall entwickelt werden. Die Wiedereinführung des Informationssystems in einen bekannten sicheren Zustand kann manuell vom Informationssystemadministrator oder automatisch erfolgen. Alle Tätigkeiten, die zur Erneuerung des Informationssystems durchgeführt werden, werden in Prüfprotokollen erfasst, die vor unbefugter Änderung oder Zerstörung geschützt sind.
Systemabhängige Sicherheitsanforderungen aus der Risikoanalyse
(1) Zur Ermittlung der Gefahren für die Vermögenswerte des Informationssystems ist eine Risikoanalyse durchzuführen.
(2) Bei der Durchführung der Risikoanalyse werden die Vermögenswerte des Informationssystems definiert und die Bedrohungen, die die einzelnen Vermögenswerte des Informationssystems beeinflussen, identifiziert. Insbesondere werden Bedrohungen, die einen Verlust an Funktionalität oder Sicherheit des Informationssystems verursachen, berücksichtigt.
(3) Sobald die Bedrohungen festgestellt worden sind, werden die verletzlichen Punkte des Informationssystems so identifiziert, dass jede Bedrohung als verletzlich oder betroffen erkannt wird.
(4) Die Risikoanalyse führt zu einer Liste von Bedrohungen, die das Informationssystem gefährden können und das entsprechende Risiko anzeigt.
(5) Entsprechende Gegenmaßnahmen werden auf der Grundlage der durchgeführten Risikoanalyse ausgewählt.
Möglichkeit, Computersicherheitsgeräte zu ersetzen
Bei unverhältnismäßigen Kosten, um eine Sicherheitsfunktion des Informationssystems zu gewährleisten, können die EDV-Sicherheitsmittel durch Personal oder administrative Sicherheit, physische Sicherheit von Informationssystemen oder organisatorische Maßnahmen ersetzt werden. Die folgenden Grundsätze sind bei der Ersetzung von Computersicherheitsgeräten durch einen alternativen Sicherheitsmechanismus oder durch eine Gruppe von Mechanismen zu beachten, die eine Sicherheitsfunktion gewährleisten sollen:
a) die Sicherheitsfunktion muss vollständig umgesetzt werden;
b) die Qualität und die Höhe der Sicherheitsfunktion beibehalten werden.
Sicherheitsanforderungen an Informationssysteme
(1) Das Informationssystem muss in einem sicheren Bereich platziert werden, in dem der physische Schutz des Informationssystems vor unbefugtem Zugriff, Beschädigung und Einfluss gewährleistet ist. Dieser Raum wird durch definierte Schutzelemente mit entsprechenden Zugangskontrollen und Sicherheitsbarrieren definiert.
(2) Der Vermögenswert des Informationssystems muss vor Sicherheitsbedrohungen und Umweltrisiken physisch geschützt werden.
(3) Der Standort der Vermögenswerte des Informationssystems muss so beschaffen sein, dass die nicht autorisierte Person nicht klassifizierte Informationen liest.
(4) Die Telekommunikationsinfrastruktur, die Daten sendet oder Informationssystemdienste unterstützt, muss vor der Möglichkeit der Erfassung und Beschädigung übertragener vertraulicher Informationen geschützt werden.
(5) Die physische Sicherheit von Informationssystemen wird durch Maßnahmen der Objekt- oder technischen Sicherheit ergänzt.
Schutz vor parasitärer Strahlung
(1) Die Bestandteile des Informationssystems, die klassifizierte Informationen behandeln, müssen gegen parasitäre elektromagnetische Strahlung geschützt sein, die die Offenlegung klassifizierter Informationen bewirken könnte.
(2) Das Sicherheitsniveau hängt von der Klassifizierung der durch das Informationssystem behandelten klassifizierten Informationen ab.
Sicherheitsanforderungen an geheime Informationsmedien
(1) Alle Medien des geheimen Informationssystems müssen registriert werden.
(2) Das austauschbare Medium der klassifizierten Informationen ist auch in einer Weise zu klassifizieren, die für die klassifizierten Angaben über die Nicht-Papier-Art bestimmt ist.
(3) Die Einstufung des austauschbaren Mediums klassifizierter Informationen, das als "Top Secret" eingestuft wurde, darf nicht verringert werden.
(4) Die Einstufung des austauschbaren Mediums der klassifizierten Informationen, das als "Secret", "Confidential" oder "Reserviert" eingestuft wurde, kann nur dann verringert werden, wenn die Löschung der klassifizierten Informationen in der in Absatz 5 genannten Weise erfolgt ist.
(5) Die Löschung von klassifizierten Informationen aus einem austauschbaren Medium klassifizierter Informationen, die eine Verringerung seines Klassifizierungsniveaus ermöglichen, ist so durchzuführen, dass es nicht möglich oder sehr schwierig ist, durch Verwendung spezieller Labormethoden und -mittel restliche klassifizierte Informationen zu erhalten.
(6) Die Zerstörung des Mediums der klassifizierten Informationen an das Informationssystem ist so durchzuführen, dass es nicht in irgendeiner Weise von ihm abgerufen werden kann.
Schutz klassifizierter Informationen in separaten Personalcomputern
(1) In einer staatlichen Behörde oder Organisation kann die Sicherheitspolitik für separate Personalcomputer, die klassifizierte Informationen behandeln, in einheitlicher Weise entwickelt werden, insbesondere für die Verwaltung klassifizierter Informationen durch Textredakteure, Tabellenkalkulationen, Datenbanksysteme mit lokalen Datenbanken oder spezialisierten Programmen, die auf separaten Personalcomputern installiert sind.
(2) Das System der Maßnahmen zum Gesamtschutz eines separaten Personalcomputers basiert auf dem Konzept eines solchen Geräts als Medium klassifizierter Informationen, die durch das höchste Geheimhaltungsniveau klassifizierter Informationen, die von einem separaten Personalcomputer behandelt werden, klassifiziert werden.
Anforderungen an den Schutz mobiler und tragbarer Informationssysteme
(1) Bei mobilen und tragbaren Informationssystemen bewertet die Risikoanalyse auch die mit Transportmitteln für mobile Informationssysteme verbundenen Risiken und für tragbare Informationssysteme mit Umgebungen, in denen solche Informationssysteme eingesetzt werden.
(2) Der Schutz einer Komponente eines mobilen und tragbaren Informationssystems, das klassifizierte Informationen enthält, beruht auf dem Konzept einer solchen Komponente als Medium klassifizierter klassifizierter klassifizierter klassifizierter klassifizierter Informationen dieser Komponente.
Antrag auf Prüfung der Sicherheit des Informationssystems
(1) Die Sicherheit des Informationssystems muss durch Prüfung vor der Zertifizierung überprüft werden. Die Prüfungen werden von einer Kommission durchgeführt, deren Mitglieder nicht in Bezug auf das Informationssystem und das Entwicklungsteam durch die Teilnahme an der Entwicklung des Informationssystems, durch ein persönliches Interesse an den Ergebnissen der Prüfung oder durch die Verknüpfung mit dem Entwicklungsteam mit einem persönlichen oder ähnlichen Verhältnis belastet werden. Eingeteilte Informationen dürfen nicht zur Prüfung verwendet werden.
(2) Die Prüfergebnisse müssen zeigen, dass die Sicherheitsfunktionen vollständig der Sicherheitspolitik des Informationssystems entsprechen. Prüfergebnisse sind zu dokumentieren. Die bei der Prüfung festgestellten Fehler müssen entfernt und deren Entfernung durch nachfolgende Tests überprüft werden.
Sicherheitsanforderungen für das betriebene Informationssystem
(1) Die Sicherheit des betriebenen Informationssystems muss unter Berücksichtigung des tatsächlichen Zustands des Informationssystems kontinuierlich überprüft und ausgewertet werden. Eine teilweise Änderung des Informationssystems kann erst nach einer Bewertung der Auswirkungen dieser Änderung auf die Sicherheit des Informationssystems vorgenommen werden.
(2) Die Integrität der Software und der klassifizierten Informationen muss vor Malware geschützt werden.
(3) Nur Software, die vom Informationsnetzbetreiber bereitgestellt wurde, kann in einem Betriebsinformationssystem verwendet werden.
(4) Die Software und die klassifizierten Informationen werden in einem operationellen Informationssystem gesichert. Die Sicherung von Software und klassifizierten Informationen ist so zu speichern, dass sie nicht beschädigt oder zerstört werden kann, wenn das Informationssystem beeinträchtigt wird.
(5) Die Dienstleistungstätigkeit im betriebenen Informationssystem muss so organisiert werden, dass ihre Sicherheit nicht beeinträchtigt wird. Die Medien von geheimen Informationen des Informationssystems, die im Rahmen der Diensttätigkeiten zugänglich sind, werden gelöscht und die Ferndiagnose gegen Missbrauch gesichert.
(6) Eine Bewertung der Prüfprotokolle erfolgt unverzüglich zu dem in der Sicherheitsdokumentation des Informationssystems festgelegten Zeitpunkt und bei Auftreten einer Krisensituation. Die Prüfprotokolle werden für den in der Sicherheitsdokumentation des Informationssystems festgelegten Zeitraum aufbewahrt.
(7) Um die Notsituation des betriebenen Informationssystems anzugehen, sind Maßnahmen vorzusehen, die darauf abzielen, ihn in der Sicherheitsdokumentation des Informationssystems in einen bekannten sicheren Zustand zu bringen. Die Sicherheitsdokumentation des Informationssystems umfasst folgende Maßnahmen:
a) Maßnahmen unmittelbar nach einer Krisensituation, die die Schadensminimierung vorsieht;
b) Maßnahmen nach einer Krisensituation zur Lösung der Folgen einer Krisensituation, einschließlich der Definition der persönlichen Verantwortung für jede Aufgabe;
c) wie das Informationssystem gesichert ist;
d) die Art und Weise der Erbringung von Dienstleistungen;
e) die Mittel zur Sicherstellung des Notbetriebs des Informationssystems mit einer Liste von Mindestfunktionen;
(f) die Methode der Wiederherstellung der Funktionalität und das Setzen des Informationssystems in einem vertrauten sicheren Zustand.
(8) Vor der Zerstörung des Informationssystems wird die Entfernung, Löschung oder Zerstörung von klassifizierten Informationen, die das Informationssystem bearbeitet hat, durchgeführt.
Personalsicherheitsanforderungen für den Betrieb des Informationssystems
(1) Der Benutzer des Informationssystems muss befugt sein, im Informationssystem zu arbeiten, und diese Berechtigung muss beim Wechsel seiner Rolle innerhalb des Informationssystems geändert werden oder wenn das Informationssystem nicht mehr existiert.
(2) Der Informationssystembetreiber muss sicherstellen, dass die Nutzer des Informationssystems entsprechend den in der Sicherheitsdokumentation des Informationssystems und der korrekten Nutzung des Informationssystems festgelegten Maßnahmen ausgebildet werden.
Zertifizierung von Informationssystemen
Verfahren und Verfahren zur Zertifizierung des Informationssystems
(1) Ein Antrag auf Zertifizierung eines Informationssystems wird der Behörde von der Behörde des Staates oder der Organisation vorgelegt, die das Informationssystem betreibt (im Folgenden als Antragsteller bezeichnet).
(2) Der in Absatz 1 genannte Antrag enthält:
a) eine kurze Beschreibung von Zweck und Umfang des Informationssystems, einschließlich der Bestimmung seiner normalen und minimalen Funktionen;
b) die Klassifizierung der klassifizierten Informationen, mit denen das Informationssystem behandelt wird;
c) die Festlegung des Sicherheitsbetriebsmodus des Informationssystems;
d) Identifizierung des Informationssystemlieferanten.
(3) Das Amt erstellt eine Liste von Belegen für die Überprüfung der Zuständigkeit des Informationssystems zur Umgang mit geheimen Informationen (im Folgenden „Bewertung“) und einen Zeitplan für die Einreichung durch den Antragsteller. Zur Durchführung der Bewertung hat der Antragsteller stets folgende Unterlagen vorzulegen:
a) die Sicherheitspolitik des Informationssystems und die Ergebnisse der Risikoanalyse;
b) Gestaltung der Sicherheit des Informationssystems;
Melden Sie sich an für Notizen, Favoriten und Benachrichtigungen
Informationen zur Vorschrift
| Zitierung | Dekret des Nationalen Sicherheitsamtes Nr. 56 / 1999 Coll., über die Sicherheit von geheimen Informationssystemen, ihre Zertifizierungs- und Zertifizierungsanforderungen |
|---|---|
| Art der Vorschrift | Ordnung |
| Autor | - |
| Sammlung | Gesetzessammlung |
| Verkündungsdatum | 30.03.1999 |
|---|---|
| In Kraft seit | 30.03.1999 |
| In Kraft bis | - |
| Status | Gültig |
Der Wortlaut der Vorschrift hat informativen Charakter.
Kommentare 0