78/2020 Z. z. ст. 43Správa cloud computingu

(1) Štandardom správy cloud computingu je ich správa zabezpečovaná tak, že je primerane v súlade so štandardom a) riadenia informačnej bezpečnosti podľa § 18 ods. 2 a § 31 písm. i) zákona pričom 1. súčasťou bezpečnostnej politiky sú aj podmienky zosúlaďovania bezpečnostných požiadaviek alebo cieľov poskytovateľa cloudových služieb s bezpečnostnými požiadavkami alebo cieľmi odberateľa cloudových služieb, 2. v rámci manažmentu rizík v súvislosti s aktívami sú aktívami najmä poskytované cloudové služby a infraštruktúra, prostredníctvom ktorej sú tieto služby poskytované, vrátane 2a. uzlov pre prepojenie sietí z pohľadu dostupnosti sieťového pripojenia; tieto sú zároveň kritickým aktívom, 2b. hardvéru, ktorým je najmä dátové úložisko, jednotlivé prvky siete a servery, 2c. softvéru, ktorým je najmä softvér pre správu cloud computingu, hypervízor a operačný systém, b) personálnej bezpečnosti podľa § 18 ods. 2 a § 31 písm. i) zákona, c) manažmentu rizík oblasti informačnej bezpečnosti podľa § 18 ods. 2 a § 31 písm. i) zákona, pričom analýza rizík vyhodnocuje najmä hrozby, ktorými sú: 1. strata alebo nedostupnosť cloudových služieb, 2. nedostatok zdrojov alebo neschopnosť dodať požadovaný výkon, 3. zlyhanie alebo nedostatočná izolácia prostredia, 4. neoprávnený prístup k izolovanému prostrediu, 5. narušenie bezpečnosti hypervízora, ktorým je najmä virtualizačný server, virtualizačná pamäť, virtuálny úložný priestor, virtuálny sieť alebo virtuálny operačný systém, 6. nedostatočný monitoring jednotlivých komponentov cloud computingu, 7. nebezpečné alebo neefektívne odstránenie údajov, 8. kompromitácia vrstvy správy cloud computingu z dôvodu výskytu možných zraniteľností hypervízora alebo nedostatočnej izolácie prostredia, 9. zneužitie alebo kompromitácia privilegovaných oprávnení, 10. kompromitácia šifrovacích kľúčov, 11. zlyhanie správy šifrovacích kľúčov, 12. zlyhanie alebo nedostatočný manažment zmenových požiadaviek a záplat, najmä vo vzťahu k funkčnosti informačných systémov verejnej správy využívajúcich cloudové služby, 13. narušenie funkčnosti cloudových služieb z dôvodu zlyhania iných cloudových služieb na základe závislosti na spoločných zdrojoch, d) kontrolného mechanizmu riadenia informačnej bezpečnosti podľa § 18 ods. 2 a § 31 písm. i) zákona pričom sa najmenej raz ročne 1. vykonáva audit informačnej bezpečnosti audítorom cloudu, 2. umožňuje odberateľovi cloudových služieb vykonať prostredníctvom audítora cloudu alebo po dohode s poskytovateľom cloudových služieb inou osobou audit informačnej bezpečnosti všetkých zdrojov, ktoré využívajú jemu poskytované cloudové služby alebo sa týkajú jemu poskytovaných cloudových služieb, a to podľa podmienok upravených v dohode o poskytovanej úrovni cloudových služieb, pričom ak nastane bezpečnostný incident týkajúci sa týchto zdrojov, ktorý ovplyvní kvalitu príslušných poskytovaných cloudových služieb, umožňuje sa vykonať takýto audit bezodkladne po tomto incidente nezávisle od počtu auditov vykonávaných ročne podľa tohto bodu, 3. umožňuje odberateľovi cloudových služieb vykonať prostredníctvom audítora cloudu alebo po dohode s poskytovateľom cloudových služieb inou osobou penetračný test, týkajúci sa cloudových služieb poskytovaných tomuto odberateľovi cloudových služieb, pričom takýto test je pripravený podľa podmienok dohodnutých v dohode o poskytovanej úrovni cloudových služieb a tak, že neovplyvní kvalitu poskytovaných cloudových služieb alebo ju ovplyvní v rozsahu dohodnutom medzi odberateľom cloudových služieb a poskytovateľom cloudových služieb, e) ochrany proti škodlivému kódu podľa § 18 ods. 2 a § 31 písm. i) zákona pričom 1. pre detekciu prítomnosti škodlivého kódu sa zabezpečuje detekcia útokov na prostredie cloud computingu, a to vrátane útokov na komponenty určené pre správu cloud computingu, 2. sa zaisťuje aj podpora zabezpečenia dôvernosti, autenticity a integrity prenášaných dát pomocou kryptografických opatrení, f) sieťovej bezpečnosti podľa § 18 ods. 2 a § 31 písm. i) zákona pričom sa zabezpečuje aj podpora 1. virtualizovaných firewallov a iných prvkov siete, 2. segmentácie siete, napríklad vo forme Virtual Local Area Network (VLAN), 3. detekcie škodlivého kódu a jeho odstraňovania na sieťovej úrovni, g) fyzickej bezpečnosti a bezpečnosti prostredia podľa § 18 ods. 2 a § 31 písm. i) zákona pričom sa 1. vytvára aj plán kontinuity činnosti, 2. definuje v dohode o poskytovanej úrovni cloudových služieb aj doba obnovy; dobou obnovy je čas, do ktorého poskytovateľ cloudových služieb, ak dôjde k výpadku, obnoví ich poskytovanie, h) aktualizácie softvéru podľa § 18 ods. 2 a § 31 písm. i) zákona pričom sa zabezpečuje aj testovanie aktualizácie virtualizačného prostredia a softvéru správy cloudu v testovacom prostredí, i) monitorovania a manažmentu bezpečnostných incidentov podľa § 18 ods. 2 a § 31 písm. i) zákona, pričom sa 1. monitoruje aj správna funkčnosť všetkých komponentov cloud computingu, 2. zabezpečuje aj podpora detekcie útokov na sieti, napríklad vo forme Intrusion Detection System (IDS) alebo Intrusion Prevention System (IPS), 3. poskytuje podpora zmiernenia a eliminácie útokov typu Denial of Service (DoS) a Distributed Denial of Service (DDoS), 4. zabezpečuje aj synchronizácia systémového času všetkých komponentov cloud computingu s cieľom používania jednotného času v celom prostredí cloud computingu, j) periodického hodnotenia zraniteľnosti podľa § 18 ods. 2 a § 31 písm. i) zákona, k) zálohovania podľa § 18 ods. 2 a § 31 písm. i) zákona, l) fyzického ukladania záloh podľa § 18 ods. 2 a § 31 písm. i) zákona, pričom požiadavku fyzického ukladania druhej kópie archivačnej zálohy je nevyhnutné uchovávať v súlade s týmto štandardom aj prevádzkovú zálohu a dokumentáciu, súvisiacu s poskytovaným cloud computingom, m) riadenia prístupu podľa § 18 ods. 2 a § 31 písm. i) zákona, pričom sa 1. na identifikáciu používateľa a následnú autentifikáciu používa pri správe modulov podľa prílohy č. 6 jednotná služba pre účely identifikácie, autentifikácie a autorizácie systémových správcov a odberateľov cloudových služieb, 2. na zaznamenávanie prístupu užívateľa 2a. automaticky zaznamenávajú aj všetky udalosti spojené s úspešným alebo neúspešným prístupom, vrátane vzdialeného prístupu, 2b. zabezpečuje aj automatické zaznamenávanie všetkých činností spojených s aktiváciou alebo deaktiváciou cloudových služieb, 2c. zabezpečuje aj automatické zaznamenávanie všetkých udalostí spojených s funkčnosťou cloud computingu, 2d. zabezpečuje aj automatické zaznamenávanie detegovaných neoprávnených aktivít, najmä zo strany privilegovaných používateľských rolí, zariadení a softvéru, zaisťujúcich bezpečnosť cloud computingu, 2e. zabezpečuje aj automatické zaznamenávanie všetkých udalostí spojených so zmenami súvisiacimi najmä so sieťou, správou cloud computingu, hypervízorom, používaným operačným systémom, monitoringom, zálohovaním a obnovou, 2f. vyhodnocujú automatické záznamy za účelom identifikácie bezpečnostne relevantných udalostí, ktoré môžu viesť k bezpečnostným incidentom, 2g. vytvárajú automatické záznamy tak, že obsahujú relevantné informácie a presný časový údaj, 2h. zabezpečujú všetky automatické záznamy pred neoprávnenou manipuláciou, zmenou a vymazaním, 2i. zálohujú automatické záznamy po dobu najmenej jedného roka, 3. pri správe modulov podľa prílohy č. 6 pre požiadavku vedenia dokumentácie prístupových práv podporuje riadenie prístupových oprávnení na základe rolí, 4. pri správe modulov podľa prílohy č. 6 umožňuje zmena hesiel pre prednastavené účty, 5. pri správe modulov podľa prílohy č. 6 umožňuje používanie politiky tvorby hesiel, ktorá zabezpečuje najmä adekvátnu komplexnosť hesiel, zobrazovanie informácie o úspešnom alebo neúspešnom prihlásení tak, že z nej nie je možné prečítať systémové informácie, určenie doby platnosti hesiel, exspirovanie prístupu po určenej dobe nečinnosti a blokovanie prístupu po určenom počte neúspešných prihlásení, n) aktualizácie informačno-komunikačných technológií podľa § 18 ods. 2 a § 31 písm. i) zákona, o) účasti tretej strany podľa § 18 ods. 2 a § 31 písm. i) zákona.

(2) Pri použití § 18 ods. 2 a § 31 písm. i) zákona na zabezpečenie štandardov podľa odseku 1 sa povinnou osobou rozumie poskytovateľ cloudových služieb a informačným systémom verejnej správy sa rozumie cloud computing, okrem určenia rozsahu a úrovne ochrany, vrátane hodnotenia slabých miest a ohrození a okrem určenia osoby alebo osôb zodpovedných za bezpečnosť, kde sa informačnými systémami verejnej správy rozumejú časti cloud computingu.

(3) Súčasťou štandardu správy cloud computingu je aj bezpečnosť zdieľaného prostredia, pričom sa a) pri výpadku cloudových služieb v súlade s podmienkami a garantovanými parametrami dostupnosti zabezpečuje migrácia do záložného prostredia podľa vopred určeného scenára tak, že dodávka cloudových služieb nie je dlhodobo ohrozená, b) umožňuje oddeliť údaje jednotlivých odberateľov cloudových služieb, pričom spôsob oddelenia je obsiahnutý v dohode o poskytovanej úrovni cloudových služieb, c) virtuálne komponenty oddeľujú do bezpečnostných zón podľa typu použitia s cieľom zníženia rizika neautorizovaného prístupu alebo zmien.

(4) Súčasťou štandardu správy cloud computingu je aj jeho správa zabezpečovaná tak, že je a) v dohode o poskytovanej úrovni cloudových služieb obsiahnuté aj podmienky a garantované parametre dostupnosti cloudových služieb a spracúvaných údajov, b) odberateľovi cloudových služieb na základe žiadosti umožnené úplné skopírovanie jeho údajov na ďalšie použitie, pričom podmienky, lehoty a výstupné formáty údajov sú obsahom dohody o poskytovanej úrovni cloudových služieb, pričom lehota na skopírovanie údajov sa v dohode nedohodne na dlhšie ako tri mesiace; takými údajmi sa rozumejú údaje, ktoré do cloud computingu vložil alebo si nastavil odberateľ cloudových služieb na základe dohody o poskytovanej úrovni cloudových služieb, c) odberateľovi cloudových služieb umožnené úplné vymazanie jeho údajov, a to vrátane všetkých kópií a záloh v cloud computingu, pričom pri ukončení zmluvného vzťahu s odberateľom cloudových služieb sa takéto vymazanie zabezpečuje bezodkladne bez nutnosti osobitnej žiadosti odberateľa cloudových služieb; takéto vymazanie sa netýka údajov, pri ktorých to podmienky podľa osobitných predpisov neumožňujú alebo pre ktoré je to v príslušnej dohode o poskytovanej úrovni cloudových služieb dohodnuté inak, pričom lehota pre úplné vymazanie údajov sa v dohode o poskytovanej úrovni cloudových služieb nedohodne na dlhšie ako tri mesiace, a d) súčasťou dohody o poskytovanej úrovni cloudových služieb vyhlásenie poskytovateľa cloudových služieb o súlade s príslušnými štandardmi, a to v rozpise podľa jednotlivých štandardov.

(5) Súčasťou štandardu správy cloud computingu môže byť aj poskytovanie podpory ako služby.