Začíná platit zákon o kybernetické bezpečnosti

Od 1. ledna platí Zákon o kybernetické bezpečnosti, který Národnímu bezpečnostnímu týmu CSIRT.CZ (provozuje sdružení CZ.NIC) ukládá povinnost přijímat hlášení kontaktních údajů a kybernetických bezpečnostních incidentů od „povinných orgánů a osob". Orgány a osoby uvedené v § 3 písm. b) zákona mohou hlásit kybernetické bezpečnostní incidenty přes Formulář hlášení kybernetického bezpečnostního incidentu, kontaktní údaje budou pracovníci CSIRT.CZ přijímat prostřednictvím Formuláře pro hlášení kontaktních údajů. Pro obecné dotazy k hlášením je k dispozici e-mailova adresa. [CSIRT.CZ]

1.1.2015 20:00 | Ladislav Hagara | Upozornění

Komentáře

[tadeas]

Než stačíš vyplnit tak složitej formulář (nehledě k tomu, že některý údaje ani nemusím vědět), tak už může být všechno zničený útočníkem z číny nebo z ruska.

[Jendа]

Nepodceňoval bych ani útočníky z jiných zemí.

[pta]

tak už může být všechno zničený útočníkem z číny nebo z ruska

… útočníkem z USA který ovládá stroj fyzicky připojený přes ruskou nebo čínskou národní síť ?

[Sten]

Proto máte povinnost mít vlastní plán rychlého řešení případného útoku. NBÚ to bude řešit, teprve když půjde o dlouhodobější útok.

[Jendа]

Orgány a osoby uvedené v § 3 písm. b) zákona mohou hlásit kybernetické bezpečnostní incidenty přes Formulář hlášení kybernetického bezpečnostního incidentu

Actually, jsou povinni hlásit. A písmeno b) jsou

orgán nebo osoba zajišťující významnou síť

kde

významnou sítí [se rozumí] síť elektronických komunikací zajišťující přímé zahraniční propojení do veřejných komunikačních sítí

i.e., ISP s linkou do zahraničí. Tradá.

Btw. úřad těmto ISP může v případě kybernetického nebezpečí nařídit „reaktivní opatření“. Netušíte, jestli se někde píše, co za reaktivní opatření to může být, a jestli to může být třeba „vypněte internet“?

[Sten]

Viz návrh příslušného zákona, nějaké vymezení je v důvodové zprávě k § 13 (str. 79) a příklady jsou v § 33 odst. 2 návrhu prováděcí vyhlášky (str. 130), ale obecně je na úvaze NBÚ, jaké konkrétní opatření to bude.

Stav kybernetického nebezpečí je nutné vyhlašovat (vývěskou, rádiem a televizí plus je o tom informována vláda).

[Honz]

Nový zákon o cajbernetické bezpečnosti: kdo bude mít zavirované uindousy, zaplatí milion pokuty nebo dostane nucené práce na Pražském Hradě...

[win.net]

Bohužel strukturován jako většina českých zákonů. Vše povinně, nic dobrovolně. :(

[jc]

Zakon neni RFC a psat "dobrovolne" zakony by bylo plytvani casu a papirem. Dobrovolne je to, co neni v tom zakone.

[pavlix]

+1

[Sten]

+1, na dobrovolné věci stačí vyhlášky

[SPM]

Ono když v takovém zákoně pak věta začíná "Příslušný orgán může..." tak by z toho jeden akorát brečel, až po nich bude něco chtít

[petr_p]

A odpověď přijde do datové schránky, protože CSIRT vykonává činnost uloženou zákonem, tudíž vystupuje v roli orgánu veřejné moci :)

[Kvakor]

A je někde nějaká příručka či rukověť o tom, co se už považuje za bezpečnostní incident a co ještě za "běžný provozní stav" stroje s veřejnou IP? (typu automatické scany ze zombie strojů, přístupy na neexistující adresy, kde by mohly být napadnutelné stránky, pokusy o přihlášení pomocí slovníků nejčastějších loginů/hesel a podobně).

[pavlix]

Když se dohodneš s pár lidma a budete hlásit všechno, tak za chvilku bude ;).

[backinabag]

LOL

[j]

Ja bych to videl asi tak ze tcpdump -> csirt.cz. Kdyz to udela dost lidi, bude aspon sranda.

[Sten]

V zákonu § 7 odst. 2. Pokusy, které nenaruší bezpečnost, jsou normální stavy.

[zxcv]

Governments of the Industrial World, you weary giants of flesh and steel, I come from Cyberspace, the new home of Mind. On behalf of the future, I ask you of the past to leave us alone. You are not welcome among us. You have no sovereignty where we gather.

...

[Jendа]

Meanwhile in EFF…

[odin]

Dalsi zakon, kterym se stat montuje do veci, do kterych mu jednoduse nic neni. Dalsi spatna vec je to, ze csirt je provozovan cz.nic. Do jakych oblasti zacne jeste cz.nic fusovat? Kez je brzo sverena cz domena nejakemu normalnimu komercnimu subjektu, ktery se nebude podilet na takovychto velkobratrskych aktivitach a statnich zasazich.

[Sten]

Pro stát je to klíčová infrastruktura, stejně jako železnice, elektrická přenosová soustava nebo páteřní produktovody.

Proč by měl něco tak důvěrného provozovat komerční subjekt? CZ.NIC to provozuje, ale rozhodovací pravomoci má NBÚ.

[Foo Bar]

Odin je troll a hulvát, který se zde snaží prokázat teorém: "stokrát opakovaná lež se stane pravdou", proto je lepší místo reakce ho jen ignorovat, a případně si jej dát do blocklistu.

[Odin]

Proc jsem troll a hulvat? Protoze mi vadi, ze cz domenu spravuje neziskovka na zaklade nejakeho deux ex machina rozhodnuti? Protoze mi vadi, ze tato neziskovka neucelne vydava finance na staveni hladovych zdi? Svou primarni praci, spravu narodni domeny, dela cz.nic imho moc dobre, problem je vsak v pravni forme a v ostatnich aktivitach. A ano, problemem jsou i nekteri konkretni lide, ktere nebudu jmenovat.

[trekker.dk]

Stejně tak ovšem není důvod pro to, aby to provozoval soukromý, i když nekomerční subjekt. Když už si stát vymýšlí hovadiny, měl by si je také provozovat a ne nařizovat mi jednat s nějakou soukromou společností, se kterou třeba nechci mít nic společného.

[Odin]

Problem je hlavne tom, ze stat ty hovadiny vymysli. Jsou to hovadiny a stoji nas penize. Pokud se hovadina zrusi, nemusi nikoho trapit, zda jde o subjekt komercni nebo nekomercni.

[Sten]

Mnoho klíčové infrastruktury provozují soukromé subjekty, často i komerční, jako třeba ČEPRO, MERO, NET4GAS, ČEPS či Český Aeroholding.

[Odin]

Primarni otazkou je, proc se toto vubec vymysli? Stat se montuje do veci, do kterych mu nic neni.

[Sten]

Státu je do toho hodně. Je to klíčová infrastruktura, bez které půjde jeho ekonomika do háje.

[Odin]

A proc by to mel vubec nekdo provozovat? Do teto doby se zilo bez toho a nevsiml jsem si, ze by byly nejake velke problemy. Stat by mel radeji snizovat dluh, privatizovat, propoustet uredniky nez vymyslet dalsi narizeni a urady.

[Sten]

Vy jste si možná žádných problémů nevšiml, ale jiní si všimli.

[trekker.dk]

A jste opravdu přesvědčen, že vytvoření státního úřadu na tom něco vylepší?

[Sten]

Státní úřad pro tuhle problematiku již existuje poměrně dlouho, jmenuje se Národní bezpečnostní úřad, akorát měl v podstatě jen poradní hlas. Z analýzy zmiňovaných DDoS útoků vyplynulo, že jeden ze zásadních problémů při obraně proti tomu útoku byl, že postižení sice mohli útok (který přicházel ze zahraničí) zablokovat na svých zahraničních linkách, ale ten se pouze přelil na linky přes jiné poskytovatele, jejichž blokace způsobila mnohem větší problémy (např. odřízla platební terminály). Výsledkem analýzy byl právě navržený zákon, který by dával NBÚ pravomoc v takovém případě zakročit a např. přikázat plošné odříznutí útočící sítě na všech hraničních sítích, které mají zahraniční konektivitu.

[trekker.dk]

Skvělé, to by určitě provozovatele těch sítí samotné nenapadlo, když se k nim přesune bordel...

[Sten]

Těm provozovatelům těch sítí to bylo často jedno nebo to nechtěli řešit. Jejich linky byly tlusté dost a na jejich servery nikdo neútočil.

[jmeno]

A kto ty utoky delal pane?