NÚKIB představil Národní politiku CVD pro bezpečné hlášení zranitelností

Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) zveřejnil Národní politiku koordinovaného zveřejňování zranitelností (pdf), jejímž cílem je nejen zvyšování bezpečnosti produktů informačních a komunikačních technologií (ICT), ale také ochrana objevitelů zranitelností před negativními právními dopady. Součástí je rovněž vytvoření „koordinátora pro účely CVD“, jímž je podle nového zákona o kybernetické bezpečnosti vládní CERT.

Pojem koordinované zveřejňování zranitelností (dále jen CVD z anglického Coordinated Vulnerability Disclosure) představuje proces, kdy nálezci zranitelností spolupracují a sdílejí informace s příslušnými zúčastněnými stranami, jako jsou dodavatelé a vlastníci infrastruktury ICT. Cílem CVD je zajistit, aby byly zranitelnosti zveřejněny až ve chvíli, kdy se dodavateli podaří vyvinout záplatu nebo najít jiné řešení k minimalizaci jejich dopadů. Součástí procesu je typicky nalezení zranitelnosti, její nahlášení a následné odstranění. Celý proces CVD je upraven tzv. politikou CVD, tedy veřejným svolením vlastníka či správce produktu ICT k nalézání zranitelností.

NÚKIB zároveň zveřejnil svou politiku CVD ve spolupráci s ACTIVE 24, s. r. o., která objevitelům zranitelností umožňuje testovat webovou aplikaci nukib.gov.cz. Tato konkrétní politika uvádí zejména zakázané způsoby nalézání zranitelností a definuje postup, jak správně nahlásit zranitelnost prostřednictvím formuláře.

12.12.2025 12:44 | Ladislav Hagara | IT novinky

Komentáře

[Xerces]

A když se to normálně zveřejní, tak se to dozví taky, ne? Ty s tím nadělaj.

[PetebLazar]

Tato konkrétní politika uvádí zejména zakázané způsoby nalézání zranitelností ...

Snad se tím budou řídit i Black Hats.

[-]

[RealJ]

Ja bych to shrnul: soudruzi z NUKIBu jsou kokoti.

[xkucf03]

Čekal bych, že tam budou pracovat kapacity jako major Dastych.

[Heretik 《小魔神》]

Uvedená politika je mi natolik nesrozumitelná, že se raději žádného objevování nezúčastním.

Jen samá rizika a výhody žádné.

[Andrej]

A už mají verifiable build kompatibilní s těmi údajnými zdrojáky od údajných Microsoft produktů, které údajně mají k dispozici a které jsou údajně schopní auditovat? Na všech strojích ve státní správě? Nebo stále jenom nepodloženě tvrdí, že ten Microsoft tunel ve státní správě není problém? Nebo bych měl konečně přestat předpokládat zlovůli tam, kde je „pouhá“ naprostá neschopnost?

[Radovan]

Nebo bych měl konečně přestat předpokládat zlovůli tam, kde je „pouhá“ naprostá neschopnost?

Také se tím snažím řídit, ale je možné aby byli až tak moc blbí?

[Andrej]

Je, bohužel. Jejich představitelé řekli opakovaně v mediálních rozhovnorech, že Microsoft ve státní správě přece není problém, protože mají zdrojové kódy od Windows:

• Jenže build systém k nim nemají. No to je ale jen detail, ne? Vždyť nikdo přece nepotřebuje zkoušet, co se z toho dá vybuildit a jak…
• Nemají přístup k repository ani k historii verzí. To ale přece nevadí. On snad někdo potřebuje aktuální zdrojáky? On snad někdo potřebuje auditovat změny ve zdrojácích? Kdepak, NÚKIB nejspíš nic takového nepotřebuje.
• Nemají žádný verifiable build (ba vůbec žádný build), který by jakkoliv ověřoval, že to, co běží na strojích ve státní správě, je opravdu z auditovaných zdrojáků. Co když ne? Inu, to NÚKIB zajímá fakt pramálo.
• Raději nechci vědět, kolik z těch lidí, kteří údajně auditují zdrojové kódy — hodně štěstí s miliardami řádků —, mají jakoukoliv uznávanou kvalifikaci v oblasti kryptografie nebo „kybernetické“ bezpečnosti.
• Co na tom, že Microsoft nikdy neabsolvoval žádné výběrové řízení (natož aby nějaké vyhrál) na dodávky software. Dostal automaticky na zlatém podnose gigantickou domů, protože malá domů už není v módě. NÚKIB: žádné námitky.

NÚKIB je úřad na zrušení. Iluze bezpečnosti je horší než absence bezpečnosti.

[PetebLazar]

A co audit bezpečnosti o pár pater níže? Jak se provádí bezpečnostní audit například x86_64 HW, z něhož největší podíl na trhu dnes připadá v současnosti na společnost podléhající jurisdikci PRC a zbytek jurisdikci USA? Dodnes snad není možné v ĆR ve věřejných zakázkách vyloučit dodavatele HW například na základě země původu.

[Radovan]

Jak se provádí audit bezpečnosti u čínských krabiček?

https://www.abclinuxu.cz/zpravicky/nukib-upozornuje-na-skodlive-kyberneticke-aktivity-cinskych-spolecnosti-i-s00n-a-integrity-tech

Nijak, počká se na vyjádření "partnerů"

[RealJ]

Protoze v CR je lidi co se zabyva nejakym hackingem na 5 prstu. CR nic neplati za zranitelnosti tudiz kazdy dela audity pro us/cinu/rusko/israel. Realita. Za zero day exploit k ios dostanu klidne $5M zatimco v CR ti urednik z nukibu leda rekne ze o to nemaj zajem…

[RealJ]

A co by jai pouzival? Cpu o velikosti cihly a vykonu 8086 z Roznova? Kdyz se rozhlidnes kolem tak v EU realne nic neni. Cesi se smeji rusakum za jejich rusko/cinsky procak na urovni 486 ale realita je takova ze CR ma leda tak hovno a je zavisle na jinych statech. FR, DE, UK jsou muslimske zeme a holandani nemaj armadu ktera by ubranila knowhow tudiz se cela EU spoleha na cinu/us/indii.

[Radovan]

Pro devadesátá léta byl v plánu ten Langošův dvaatřicetibitový RISC na UNIXu. To dokázali vyrobit na lince pro 8080 v Piešťanech. Harddisk ve Zbrojovce také nakonec zvládli a z RVHP byla ČSSR jediný stát, kde probíhal skutečný vlastní vývoj jak HW tak SW. Dnes místo toho máme inkluzi...

[RealJ]

Ten vyvoj hw a sw probihal ale tak ze se nejak propasoval hw a pak se soudruzi snazili o reverse engineering a napodobovani. Obcas to nazvali jinak, obcas ne vse zkopirovali, kvalita prace odpovidala moznostem. Tata mel znameho ktery tohle delal a jo, vysledky na tu dobu a mizerne moznosti byli skvele. Dnes je CR na urovni lepsiho firemniho labu, pro nikoho z armady nebo nukibu neni vlastni hw priorita a vsichni se spolehaji na zapad.

[Radovan]

Ano, proč vyvíjet a vyrábět, když to můžeme levněji dovézt. Takže to tenkrát zabili a dnes je všechno z Číny. A jediný, kdo se to snaží změnit, je Trump.

[PetebLazar]

"That's a good one!"

https://www.youtube.com/shorts/00Cav9Pu0Co

https://www.youtube.com/shorts/pwzc2kZPRh0

[Radovan]

Vždyť to říkám, všechno je z Číny. I Raspberry Pi vyráběli v Číně, protože kvůli britským zákonům by to doma vyšlo příliš draho. Dokud se je nepodařilo změnit...

https://www.newstream.cz/zpravy-z-firem/trumpuv-celni-tlak-zabira-ctvrtina-nemeckych-firem-chce-presunout-vyrobu-do-usa

[PetebLazar]

Můžete uvést zdroj o výrobě rPi v Číně? Já mám za to, že většina produkce (assembly) rPi se již dlouho provádí právě v UK.

https://www.youtube.com/watch?v=k2C4lbbIH0c

[RealJ]

Slovicko assembly opravdu neznamena produkce… kdyz si poridis 5 soucastek v cine a udelas assembly v UK tak sice muzes prohlasit ze se jedna o vyrobek sestaveny v UK ale furt jsou to cinske soucastky…

[PetebLazar]

Řeč byla o výrobě rPi (což je produkce PCB, osazeni součástkami, testovani, packaging), nikoli o výrobě samotných součástek z nichž je vyroben. Hlavní součástky jsou Broadcom, který není čínskou (PRC) spolećností. Autor specificky řekl jako důvod náklady, v případě výroby SoC tu snad ani není UK alternativa.

Podle Vaší logiky není VW Group výrobcem automobilů jelikož závisí na dílech třetích stran.

[RealJ]

Shodnem se na tom ze packaging probiha u vetsiny rpi v UK. To ostatni je teorie, dostupne informace ukazuji rozpory mezi tvrzenim rpi o tom ze je to vse v UK a o tom ze se realne produkuji veci v Cine. Google napovi.

[PetebLazar]

Neschodneme, že jde jen o packaging. Ve dva roky starém videu z výrobního UK závodu zmiňuje Jeff Geerling 50 miliónů vyrobených rPi v UK za poslední dekádu. Ve finačncí zprávě z roku 2024 se zmiňuje všech zatím vyrobených rPi na 68 miliónů.

Můžete uvést svůj zdroj podporující Vašeho tvrzení, že se většina rPi se vyrobila mimo UK?

[Radovan]

Krátká paměť? Já si vzpomínám i na úplný začátek, když to byla žhavá novinka, a co se kolem toho tenkrát psalo. Když zagoolíš, najdeš toho víc: https://www.root.cz/zpravicky/vyroba-raspberry-pi-v-britanii-brzy-predstihne-tu-v-cine/

[PetebLazar]

V ČLR snad byly vyrobeny pouze úvodní batche prvnîho rPi. Můžete zmínit jaké zákony se v letech 2012-2013 v UK změnily, že umožnily efektivni místni produkci 50 milionů rPi do roku 2023?

[Radovan]

Hledej, šmudlo. Nebo si vzpomeň, co se o tom tenkrát psalo.

[PetebLazar]

Bavíme se o to, kde se vyrobila většina rPi. To není o tenkrát. Uzavírám to s tak, že žádný zdroj podporující Vaše tvrzení, že většina všech rPi byla vyrobena mimo UK pro nás k dispozici nemáte.

[RealJ]

Zatimco ty mas PR tvrzeni cloveka z rpi… njn, neco jakoten zhulenec ktery rikal neco o stavebnim rizeni v ramci PR.

[PetebLazar]

Předpokládám, že Sony v té konspiraci podle Vás jede také.

https://www.sonypencoed.co.uk/the-latest-raspberry-pi-5-rolls-off-production-lines-at-sony-uk-tec/

[Radovan]

No, takže opět dokazuješ, že jsi prostě debil s pamětí akvarijní rybičky, tady máš zdroj z ledna 2012, kdy britské RPi neexistovaly:

https://www.themanufacturer.com/articles/rasberry-pi-moves-production-overseas-due-to-uk-tax-costs/

Až po tom, co tahle ostuda donutila britské papaláše změnit daňové předpisy a začít podporovat domácí výrobu místo čínské, se výroba rozběhla v Británii, tak jak to původně chtěli.

[PetebLazar]

V tom Vámi odkazovaném článku si prvně Upton stěžuje na rozdíl v efektivitě výroby v UK a ČLR, u výrobců s dostatečnou výrobní kapacitou by jejich využití je dostalo do červených čísel.

If a factory had sufficient capacity to do the work for us, they were typically quoting very high prices; we’d expected a delta between manufacture pricing between the UK and the Far East, but these build prices not only wiped out all our margin, but actually pushed us into the red.

Cenově vyhovující výrobci zas pro změnu nestačili požadovanému objemu produkce.

Some factories were able to offer us prices which were marginally profitable, but they were only able to produce at most a few hundred units a month.”

Až poté jako jedno z hlavních (nikoli hlavní!) negativ zmiňuje import tax na dovážené komponenty (nikoli však na vyrobený celek). Z pořadí se dá usoudit, že hlavní problém bylo zefektivnění/dostupnost domácí UK výroby. Což se ve spolupráci se SONY podařilo a jsou na to po také zásluze patřičně hrdí.

Ad importní cla na komponenty) Neměla v dané době (2012) UK jednotnou celní politiku s celou EU? K rozběhnutí masové výroby rPi v UK došlo dávno před Brexitem, takže by ke zmíněné změně cel (pokud by to bylo opravdu rozhodujícím faktorem) muselo dojít v rámci EU. Došlo?

[PetebLazar]

Díky "muslimským investicím" (Mubadala Investment Company) máme v Evropě stále GlobalFoundries, jejíž Drážďanský FAB (vyráběl Ryzeny 2xxx) je cca 25 mil od ČR. Což se zase tak moc neliší od average one-way commute distance in the US.

[RealJ]

Jasne a co ma z toho fabu CR? Uplny hovno. Az nemci budou kopat zase za sebe tak si obsadi CR stejne jako za druhe svetove a CR si bez svoleni fuhrera nevyrobi ani cihlu. Libi se mi naivita lidi v CR, Nemci vydelavaji na ceske energetice, na ceskych skladech a cesi to chcani na hlavu ani nevidi… Cechum ani nemusis slibovat, staci otevrit pobliz nejakou fabriku na nemecke strane a cesi jiz tleskaj jak se budou mit…

[PetebLazar]

Až hrozba z Německa převáží ty současné z USA a Ruska určitě bude na místě se tím zabývat.

[RealJ]

Njn, Nemci zase zbroji a cesi si po dvou valkach rikaji ze Nemci preci zbroji pozitivne a CR je pritel…

[Andrej]

A co audit bezpečnosti o pár pater níže?

Jedno po druhém. Nějaký audit aspoň na jedné úrovni — nebo ideálně free software, u kterého je audit méně palčivé téma — je lepší než vůbec žádný audit.

Tvrzení v tom směru, že „když na některé vrstvě audit schází, nemá pak už smysl ani na jiných vrstvách“, nejsou konstruktivní. Situace nikdy nebude ideální, ale to neznamená, že je nutné házet flintu do žita a vůbec nezkoušet zlepšit situaci v oblastech, které lze ovlivnit.

Jak se provádí bezpečnostní audit například x86_64 HW, z něhož největší podíl na trhu dnes připadá v současnosti na společnost podléhající jurisdikci PRC a zbytek jurisdikci USA?

Policista zastavuje řidiče, který jel šedesátkou v třicítkové zóně:

Policista: Dobrý den, pane řidiči, bla bla bla…
Řidič: No ale podívejte se tam na toho, jak on tam blbě parkuje!!! Tomu ani nic neřeknete??? Tomu nedáte pokutu??? Hlavně že na mě zrovna máte čas!!!
Policista: Ano, jsem tady právě teď jeden a řeším tedy jeden přestupek…

No, takže asi tak. Že je spousta věcí špatně, o tom není pochyb, ale to přece neznamená, že je nutné vyřešit buď všechno, nebo vůbec nic.

Dodnes snad není možné v ĆR ve věřejných zakázkách vyloučit dodavatele HW například na základě země původu.

Třeba bychom se mohli shodnout aspoň na tom, že nemožnost vyloučit některé dodavatele je mnohem méně kritický problém než povinnost vyloučit všechny dodavatele kromě jednoho — která už celá desetiletí platí ve prospěch Microsoftu.

Netransparentní hardware i software je problém, obojí je špatně, ale některé problémy jsou naléhavější (a leckdy paradoxně i snáze řešitelné) než jiné.

Mám dojem, že nějaký Lex Huawei už v ČR zavedený byl. Za nesrovnatelně větší problém ovšem považuji Microsoft, kterému byla nejen zdarma, ale dokonce za zápornou cenu (platí se Microsoftu) svěřená obrovská a snadno zneužitelná reklamní platforma v podobě celého základního a středního školství. Vysoké školství se částečně ubránilo jen v oblasti informatiky, ale drtivá většina ostatních oborů také dává Microsoftu snadný přístup k mladým a snadno manipulovatelným budoucím zákazníkům a ještě mu za něj platí.

[Radovan]

Ten, který parkuje, nikam neujíždí. Pokutu dostane jako druhý.

[Andrej]

Ano, dost pravděpodobně. Na mé pointě to ovšem nic nemění.

Klidně ať je tomu přesně tak i v oblasti (veřejně financovaných) IT: Napřed vyřešit první problém, tedy naprosto nepřijatelné financování Microsoftu státem — bez výběrového řízení a bez objektivních důvodů —, a pak řešit druhý a desátý problém, například uzavřený hardware, „systémy v systémech“ typu AMT a podobně.

Dokonce ani jeden z problémů nikam neujíždí, oba si spokojeně hoví na místě a smějí se neschopnosti státních institucí.

Všechny problémy nelze vyřešit najedou. Je třeba zvolit vhodné pořadí. Problém Microsoftu je mnohem naléhavější než jiné, z několika důvodů:

• Velké finanční škody: Miliardové výdaje ve formě výpalného pro Microsoft za zbytečný software by bylo možné ušetřit.
• Škodlivý vliv na výchovu školní mládeže. Škola trvá krátkou dobu, ale mladý školák tu dobu vnímá jako velmi dlouhou a utváří si během ní většinu názorů. Každé desetiletí se školstvím infiltrovaným Microsoftem je újma pro celou společnost.
• Každý další rok s Microsoftem oddaluje možnost nasazení software od jiných dodavatelů. Stále víc dat, včetně rozsáhlých a důležitých databází, je ve špinavých formátech způsobujících vendor lock-in, a to včetně dlouhodobých záloh. Ještě dlouho po případném přechodu na svobodný software bude nutné buď platit výpalné za možnost čtení uvedených formátů, nebo financovat nákladný převod do použitelných formátů.

[Pavel Píša]

Prosím, je někdo schopný tato fakta ozdrojovat odkazy na vyjádření identifikovatelných fyzických osob oficiálně jednajících za NÚKIB.

Náš odborník na bezpečnost všechny mé prosby o informace a i odkazy (např.) v tomto a dalších směrech uzavřel s tím, že s Microsoftem jsme na ČVUT v bezpečí, data jsou zaručeně podle GDPR (a to i přes odkaz), atd.

Rád bych tyto odborníky vzájemně konfrontoval.

[PetebLazar]

Vyspělý svět již cloud opouští a vrací se zpět on-premises. My jako obvykle jsme minimálně pět let pozadu.

[Pendrekama do nich❗]

afuera!!!!

[MMN]

Kvůli cizopasníkům typu NÚKIB objevenou zranitelnost raději nahlásím za nejvyšší nabídku na dark webu, jako alespoň částečnou náhradu za to, co mi tihle korupčníci ukradnou ve formě daní.

[Peter Golis]

Daňový úrad sa pýta:

Koľko bolo takých dražieb a v akej celkovej výške za posledné zdaňovacie obdobia?