VYHLÁŠKA 164/2013 Z. z. o rozsahu a dokumentácii bezpečnostných opatrení

§ 1

(1)

Rozsah primeraných technických, organizačných a personálnych opatrení (ďalej len

„bezpečnostné opatrenia“) musí zodpovedať konkrétnym podmienkam spracúvania osobných

údajov v informačnom systéme osobných údajov (ďalej len „informačný systém“) a bezpečnostným

rizikám vyplývajúcim z kategórie spracúvaných osobných údajov a zo spôsobu ich spracúvania.

(2)

Pri prijímaní bezpečnostných opatrení prevádzkovateľ rozlišuje medzi použitím automatizovaných

a iných ako automatizovaných prostriedkov spracúvania osobných údajov. Pri automatizovaných

prostriedkoch spracúvania osobných údajov prevádzkovateľ prostredníctvom bezpečnostných

opatrení zabezpečí odolnosť automatizovanej časti informačného systému proti škodlivým

kódom (napríklad počítačový vírus) a nežiaducim modifikáciám informačného systému,

ako aj pravidelné a bezpečné zálohovanie spracúvaných osobných údajov.

(3)

Prijatím bezpečnostných opatrení prevádzkovateľ neoprávneným osobám znemožní akýkoľvek

nedovolený prístup k spracúvaným osobným údajom, manipuláciu s technickými zariadeniami

určenými na spracúvanie osobných údajov alebo na ich ochranu a manipuláciu s nosičmi

osobných údajov a oprávneným osobám zabezpečí prístup k osobným údajom v rozsahu potrebnom

na plnenie ich povinností alebo úloh obsiahnutých v poučení podľa

§ 21 zákona

.

§ 2

(1)

Dokumentácia prijatých bezpečnostných opatrení (ďalej len „dokumentácia“) popisuje

celý proces spracúvania osobných údajov od ich získavania po ich likvidáciu; obsah

dokumentácie sa zhoduje so skutočným stavom pri spracúvaní osobných údajov.

(2)

Bezpečnostné opatrenia musia byť zdokumentované prehľadne a jednoznačne. Dokumentácia

podľa

§ 3, 4 a 5

môže obsahovať presné odkazy na iné dokumenty prevádzkovateľa alebo na ich časti,

kde sú prijaté bezpečnostné opatrenia už zdokumentované;

1

)

v uvedenom prípade sa iné dokumenty prevádzkovateľa alebo ich časti považujú za dokumentáciu

podľa

§ 3, 4 a 5

.

§ 3

Pri prijímaní a dokumentovaní bezpečnostných opatrení sa primerane použijú najmä bezpečnostné

opatrenia uvedené v prílohe. Pri určovaní rozsahu bezpečnostných opatrení prevádzkovateľ

postupuje pred začatím spracúvania osobných údajov, ako aj v priebehu ich spracúvania

podľa

§ 1

.

§ 4

Obsah bezpečnostných opatrení podľa

§ 19 ods. 1 zákona

, ak prevádzkovateľ nepostupuje podľa

§ 19 ods. 2 zákona

, zodpovedá rozsahu prijatých bezpečnostných opatrení podľa

§ 3

a preukazuje sa napríklad popisom bezpečnostných opatrení a spôsobom ich uplatňovania

v konkrétnych podmienkach, záznamami o poučení oprávnených osôb podľa

§ 21 zákona

, záznamami o zistených bezpečnostných incidentoch s vplyvom na bezpečnosť osobných

údajov a záznamami o opatreniach, ktoré prevádzkovateľ prijal na zaistenie bezpečnosti

informačného systému po bezpečnostných incidentoch.

§ 5

(1)

Bezpečnostný projekt informačného systému (ďalej len „bezpečnostný projekt“) podľa

§ 19 ods. 2 zákona

obsahuje

a)

názov informačného systému, na ktorý sa vzťahuje,

b)

bezpečnostný zámer,

c)

analýzu bezpečnosti informačného systému,

d)

závery vyplývajúce z písmen b) a c).

(2)

Bezpečnostný zámer vymedzuje základné bezpečnostné ciele, ktoré je potrebné dosiahnuť

na ochranu osobných údajov pred ohrozením ich bezpečnosti. Bezpečnostný zámer obsahuje

a)

formuláciu základných bezpečnostných cieľov a minimálne požadovaných bezpečnostných

opatrení,

b)

špecifikáciu technických opatrení, organizačných opatrení a personálnych opatrení

na zabezpečenie ochrany osobných údajov v infomačnom systéme a spôsob ich využitia,

c)

vymedzenie okolia informačného systému a jeho vzťah k možnému narušeniu bezpečnosti

informačného systému,

d)

vymedzenie hraníc určujúcich množinu zostatkových rizík; zostatkovým rizikom sa rozumie

bezpečnostné riziko, ktoré zostane úplne alebo čiastočne nepokryté bezpečnostnými

opatreniami z dôvodu, že jeho miera je pre prevádzkovateľa akceptovateľná alebo ju

nie je možné eliminovať vhodnými a efektívnymi bezpečnostnými opatreniami.

(3)

Analýza bezpečnosti informačného systému je podrobný rozbor stavu bezpečnosti informačného

systému s vymedzením rozsahu jeho odolnosti a zraniteľnosti. Analýza bezpečnosti obsahuje

najmä kvalitatívnu analýzu rizík tvorenú

a)

identifikáciou rizík založenou na identifikácii aktív a ich vlastníkov, identifikácii

hrozieb pre tieto aktíva, identifikácii zraniteľností zneužiteľných hrozbami a na

identifikácii dopadov na aktíva v dôsledku straty dôvernosti, integrity a dostupnosti,

b)

analýzou a ohodnotením rizík založených na určení dopadov, ktoré môžu vyplynúť zo

zlyhania bezpečnosti,

c)

určením reálnej pravdepodobnosti výskytu zlyhania bezpečnosti a odhadom úrovne rizík

vymedzujúcim, či je riziko akceptovateľné alebo vyžaduje prijatie ďalších opatrení

za využitia vopred určených kritérií na akceptáciu rizika a identifikovaných prijateľných

úrovní rizika,

d)

identifikáciou a ohodnotením možností minimalizácie rizík, napríklad aplikovaním

vhodných bezpečnostných opatrení, vedomým a objektívnym akceptovaním rizík, vyhnutím

sa rizikám alebo prenesením súvisiacich rizík na tretie strany,

e)

výberom cieľov a opatrení na ošetrenie rizík a vymedzením súpisu nepokrytých rizík,

použitím technických noriem

2

)

a určením iných metód a prostriedkov ochrany osobných údajov.

(4)

Závery vyplývajúce z bezpečnostného zámeru a analýzy bezpečnosti informačného systému

na konkrétne podmienky prevádzkovaného informačného systému obsahujú

a)

popis bezpečnostných opatrení a spôsob ich uplatňovania v konkrétnych podmienkach,

b)

rozsah oprávnení, popis povolených činností a spôsob identifikácie a autentizácie

jednotlivých oprávnených osôb; ak to automatizované prostriedky spracúvania osobných

údajov umožňujú, prevádzkovateľ na účel spätnej identifikácie osoby, miesta a času

zabezpečí zaznamenanie každého vstupu oprávnenej osoby do informačného systému,

c)

spôsob, formu a periodicitu výkonu kontrolných činností zameraných na dodržiavanie

bezpečnostných opatrení,

d)

postupy pri haváriách, poruchách a iných mimoriadnych udalostiach vrátane preventívnych

opatrení na zníženie rizika vzniku mimoriadnych udalostí a možností efektívnej obnovy

stavu pred haváriou, poruchou alebo inou mimoriadnou udalosťou.

(5)

Ak prevádzkovateľ spracúva osobné údaje vo viacerých informačných systémoch, z ktorých

aspoň jeden vyžaduje vypracovanie bezpečnostného projektu, môže vypracovať jeden bezpečnostný

projekt pre všetky informačné systémy, v ktorom zreteľne označí časti týkajúce sa

jednotlivých informačných systémov.

§ 6

Táto vyhláška nadobúda účinnosť 1. júla 2013.