NÚKIB: Správci klíčových systémů musí zabezpečit své e-mailové schránky

Správci a provozovatelé informačních systémů, které jsou klíčové pro fungování státu a bezpečí jeho obyvatel, budou muset zabezpečit své e-mailové schránky. Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) za tímto účelem vydal tzv. ochranné opatření podle zákona o kybernetické bezpečnosti. Zavedení postupů uvedených v tomto opatření je pro subjekty vyjmenované v opatření povinné.

12.10.2021 10:00 | Ladislav Hagara | IT novinky

Komentáře

[ja osobne]

Čiže všade 2FA, 16+ znakové hesla, fail2ban permban po jednom zlom zadaní hesla a 2048 bitové kľúče pre SSL/TLS ?

[nechci]

Ne, misto hesla napsaneho na papirku nalepenem na monitoru se narizuje papirek s heslem presunout do penezenky.

[bigBRAMBOR]

jenom jsem to projel, ale resi se jenom sifrovani komunikace a DNS, takze vsude TLVv1.2, starsi pouze ve vyjimecnych pripadech, SSLV3 vubec, DANE, DKIM, etc.

[j]

Sem zvedav, s kym si budou mailovat bez 0/1 ... staci se podivat do logu libovolnyho MTAcka, a zjistis, ze tak dobre 30% internetu nic jinyho neumi a to vcetne pomerne velkych freemailu trebas.

Dalsi rit v poradi je, ze tam ale nikde neni receno, ze by meli (v rozporu s RFC) vypnout ciste textovou komunikaci, bez cehoz je to cely ale uplne knicemu. Co tam receno je, ze nemaji odesilat na servery, se kterejma se na sifrovani nedohodnou (a takovych bude v tomhle rezimu vetsina)

Zaroven je tam receno, ze se to tyka pouze komunikace mimo interni site === s verejnym internetem (takze nejde o komunikaci mezi uradama a pripadne tema firmama).

Pak tam sou pindy o overovani dnssec + toho dane, ale ne o overovani certifikatu vuci nejaky autorite. Je tam jen ze jejich certifikaty maji byt autoritne validni ... ;D

Takze dalsi koza v petrzeli, jak je u nukibu standardem.

---

Dete s tim guuglem dopice!

[bigBRAMBOR]

Vystavený certifikát pro poštovní server musí být podepsaný uznávanou certifikační autoritou, tak aby byl akceptován v nejrozšířenějších systémech (Windows, unixové systémy, macOS, iOS a Android). Seznam obecně uznávaných certifikačních autorit je dostupný na Common CA Database (https://www.ccadb.org). Použitý certifikát certifikační autority musí být dostupný jak v seznamu společnosti Microsoft, tak společnosti Mozilla (certifikáty uznávané společnosti Mozilla jsou přejímány linuxovými operačními systémy a dalšími open-source řešeními)

[Mayhem]

At jde s timto stat tam, kde slunce nesviti. Co jim je do zabezpecni soukromych subjektu? Sve socialisticke nemocnice a dementni urady at si zabezpeci, jak chteji, ale proc do toho kecaji soukromemu sektoru?

URAD/USTAV KE ZRUSENI!

[RB]

Pokud je nějaký soukromý subjekt klíčový pro fungování státu, tak má od státu zpravidla nějakou výhradní licenci (operátor, distributor energie...) nebo je jeho dodavatelem, v prvním případě si to může dát stát jako podmínku pro udělení/obnovení licence, v druhém případě jako podmínku v tendru. Soukromé subjekty se tak chovají naprosto běžně. Abyste mohl být dodavatelem třeba Ikey, musíte splnit mraky jejich podmínek na váš provoz a ještě vám to jezdí kontrolovat. Vadí? Nemusíte být dodavatelem Ikey. Vadí vám toto nařízení NÚKIBu? Nemusíte být v byznysu, který je klíčový pro fungování státu.

[Odin1918]

Mily bezzemku, ten tvuj slavny nukib vsak pokryva i veci, ktere pred tim svym slavnym zakonem nepokryval. Ty firmy podnikaly v dobre vire a legalne a najednou prijde stat s dalsim dementnim uradem.

[rastos]

Kto to kedy chyroval, aby sa štát montoval do kvality vody vo vodovode. Alebo do bezpečnosti vyrábaných potravín. Kam by sme prišli, keby štát vydával normy pre bezpečnosť elektroinštalácie alebo nariaďoval úbohým firmám revízie kotlov ...

[Odin1918]

Jsi vymyty propagandou. Pokud potrebujes stat k tomu, aby sis nechal udelat elektro ci kotlo revizi, jsi ztracen. Btw predstav si, ze svet fungoval i pred temito regulacemi. Jen ty zijes desitky let v regulovanem prostredi, takze si absenci regulaci predstavit neumis. Neco jako stockholmsky syndrom.

[Chulda]

Nebo dokonce normy! Soukromník ví nejlépe, co a jak potřebuje, netřeba mu žádných výžírků, kteří vědí prd o tom, jak na jedné prodlužovačce od vedle lze provozovat celý trh o 50 stáncích!

[Meh]

V nekterych castech sveta to tak funguje (?) i dnes.

[ewew]

Vieš čo sa stane ? Kvôli takýmto osobám to budú ešte prisnejšie kontrolovať. Nemáš revíziu, nemáš nárok na vyplatenie poistky a platíš plný rozsah zásahu silových zložiek.

Vyber si ?

[petr_p]

Toto opatření pěkně dokumentuje, že úřady si místo datových zpráv mezi sebou posílají e-maily.

[Petr N.]

Tak ne všechno musí jít datovou schránkou a např veřejnost s úřady může komunikovat i mailem, stejně jako státy a subjekty mimo ČR, protože ISDS je čistě česká záležitost. Btw. Co je ISDS jiného než centrální mail server (bez archivace či jen formou dodáte ne placene služby) s identitami?;) A je i overkill chtít aby si neposlali mail a šlo vše přes spisovou službu To opatření není nic svetoborneho a nebude problém jej reálné splnit, spíš funguje jako metodické vedení a může pomoci třeba menším úřadům a samosprávě co a jak si nastavit.

[petr_p]

Nemusí jít, ale mohlo by. Když totiž chcete komunikovat e-mailem, tak to musí být podepsané. A když je to podepsané, tak nepotřebujete zabezpečovat přenos, což je to, co toto opatření zavádí. I když si totiž SMTP zabezpečíte, tak nepodepsaný e-mail zůstane nepodepsaným, tedy legislativně neukotvený cár papíru. Jinak řečeno, kromě pocitu sucha a bezpečí to opatření negarantuje nic. Kdyby nepodepsané e-maily posílaly do /dev/null, udělali by lépe (jednoduší, levnější, legislativně kryté).

[Petr N.]

Podepsané to být nemusí. Podpis potřebujete pro podání, ale např 106ku pošlete mailem i poštou stejně dobře. Pokud se chcete na úřadě zeptat tak pošlete. Nešifrovanej mail a očekáváte že vám odpoví, což z mé.osobni zkušenosti se tak stane. Datovou má zlomek populace, protože byla nesmyslné zavedená bez jednoduché možnosti optoutu, bez úschovy a úložiště podání atd. Takže primárně to je státní pošta a pošta pro povinné subjekty. to same co uděláte datovou bystré udělal buď přes systému s api či mailem se šifrováním mailu atd. Jen by to nestalo těch n miliard pro Českou poštu resp pro O2 :) V principu dobrá vec ale procesně i legislativně udělaná tak že ji lidé nechtěli.

[j]

Prave ze to realne splnit je a jeste spoustu let bude zhola nemozny, sak si tu +- jednu stranku precti (zbytek jsou zbytecny blaboly).

RFC, na ktery se tam zhusta odvolavaj, totiz jasne rika, ze kazdy MTA musi byt schopny prijmout (a odeslat) mail nesifrovane. Jednoduse proto, ze takhle to bylo kdysi navrzeny, a furt existujou miliony serveru, ktery to jinak neumej. A presne proto kdyz proscanujes okoli, tak zjistis, ze zaroven prakticky kazdy MTAcko podporuje i vsechny "deravy" sifry, protoze je to zkratka uplne jedno.

Ostatne mail je zcela negarantovana sluzba, fungujici PRESNE stejne jako papirovej dopis, a ten si taky muze kdokoli cestou precist.

Jediny co totiz smysl dava, je sifrovani toho mailu, nikoli komunikace, to je nanic, jednoduse proto, ze tak jako tak si ten mail muze kdokoli precist, staci kdyz zaridi ze jeho MTA bude soucast trasy, a to se da udelat na milion ruznych zpusobu, ze?

BTW: V logu "svych" vidim desitky tisic konexi na TLS1.1 a tisice na 1.0 ... schvalne to zkus vypnout, sem zvedav kdy te uzivatele prijdou zbit ze jim nechodej maily.

BTW2: Zajimavy je, ze to ze urady statni spravy a samospravy s naprostym klidem provozujou weby na http, https vubec nemaji, a pres tyhle weby resej i osobni udaje, nikomu nevadi ... jsou jich nejmin stovky - ty na ktery sem pri nejakym cisteni dat v OSM narazil. Takze realne ... tisice.

---

Dete s tim guuglem dopice!

[Xerces]

Hned jsem klidnější. Jen doufám, že po volbách teď zrevidujou konečně ty počty úředníků a tak se ta bezpečnost třeba vyřeší tak nějak přirozenější cestou.

[Max]

Snižování počtu státních zaměstnanců je takovej urban legend :D
Zdar Max

[JiK]

slibem nezarmoutis, a pak, az je po vsem, tak proste danovym poplatnikum zase o kousek pritahnes opratku.

[Xerxes]

Za domácí úkol si nastuduj strukturu státních zaměstnanců, ať ze sebe neděláš v diskusích hlupáka, který naletěl pravicovému populismu.

[Max]

Hloupý dotaz. Jak poznám, že firma je klíčová pro provoz státu? Je někde nějaká definice, nebo na to musím dostat nějaký papír nebo jak to je?
Díky
Zdar Max

[petr_p]

Orgány a osoby uvedené v § 3 písm. c) až f) zákona o kybernetické bezpečnosti, jejichž elektronická pošta je součástí informačního nebo komunikačního systému, na který se vztahují požadavky zákona o kybernetické bezpečnosti, zajistí, …

[rastos]

Vôbec to nie je hlúpa otázka. Vyhláška č. 437/2017 Sb.

[trekker.dk]

Napíšou vám, že zahajují správní řízení, ve kterém z vás tu klíčovou firmu udělají. Pokud to nějak nenapadnete, tak vám pak napíšou znova, že z vás takovou firmu udělali.