1. TECHNICKÉ SPECIFIKACE, JEJICHŽ ÚČELEM JE PROVÁDĚNÍ ČL. 6 ODST. 4 PÍSM. a) NAŘÍZENÍ (EU) č. 211/2011

2. TECHNICKÉ SPECIFIKACE, JEJICHŽ ÚČELEM JE PROVÁDĚNÍ ČL. 6 ODST. 4 PÍSM. b) NAŘÍZENÍ (EU) č. 211/2011

2.7.1 Systém je zajištěn proti injektování kódů (injection flaws), jako jsou dotazy v jazyce SQL (Structured Query Language), dotazy LDAP (Lightweight Directory Access Protocol), dotazy XPath (XML Path Language), příkazy operačního systému (OS) nebo argumenty programu. Za tímto účelem je minimálně potřebné, aby:

• a) všechny vstupy uživatelů byly ověřovány;
• b) se ověřování provádělo nejméně s pomocí logiky na straně serveru;
• c) použití jakýchkoli interpretačních překladačů jasně oddělovalo nedůvěryhodné údaje od příkazu nebo dotazu. V případě volání SQL to znamená použít přiřazené proměnné ve všech připravených prohlášeních a uložených procedurách a vyhnout se dynamickým dotazům.

2.7.2 Systém je zajištěn proti XSS (Cross-Site Scripting). Za tímto účelem je minimálně potřebné, aby:

• a) všechny zadané vstupy uživatelů poslané zpět do prohlížeče byly ověřovány, pokud jde o jejich bezpečnost (prostřednictvím kontroly vstupních parametrů);
• b) všechny vstupy uživatelů byly řádně vráceny do povelové úrovně před jejich začleněním do stránky výstupu;
• c) náležité kódování výstupu zajišťuje, aby prohlížeč takové vstupy vždy považoval za text. Nepoužívá se žádný aktivní obsah.

2.7.3 Systém má silné ověřování totožnosti a řízení relací, což minimálně vyžaduje, aby:

• a) identifikační údaje byly při ukládání vždy chráněny pomocí hašování nebo šifrování. riziko, že se někdo identifikuje pomocí „pass-the-hash“, bylo minimalizováno;
• b) identifikační údaje se nedaly uhodnout nebo přepsat kvůli slabým funkcím správy účtu (např. vytvoření účtu, změna hesla, získání zapomenutého hesla, slabé identifikátory relace (ID));
• c) identifikátory relace a údaje o relaci se nezobrazovaly v URL (Uniform Resource Locator);
• d) identifikátory relace byly odolné vůči útokům pomocí fixace relací (session fixation);
• e) časový limit identifikátorů relace zajistil odhlášení uživatelů;
• f) identifikátory relace po úspěšném přihlášení nemohly rotovat;
• g) hesla, identifikátory relace a další identifikační údaje se zasílaly jen prostřednictvím TLS (Transport Layer Security);
• h) administrativní část systému byla chráněna. Pokud je chráněna jednofaktorovou identifikací, obsahuje heslo minimálně 10 znaků, mezi nimiž je nejméně jedno písmeno, jedna číslice a jeden speciální znak. Případně se může použít dvoufaktorová identifikace. V případě, že se použije pouze jednofaktorová identifikace, zahrnuje tento postup dvoustupňový mechanismus ověřování pro přístup k administrativní části systému přes Internet, v němž se jeden faktor rozšíří o další prostředky identifikace, například o jednorázovou kontrolní větu/kód přes SMS nebo asymetricky zašifrovaný náhodný řetězec (challenge string), který se dešifruje s pomocí osobního klíče organizátora/správce, který systém nezná.

2.7.4 Systém nemá nezajištěné odkazy na přímé objekty. Za tímto účelem je minimálně potřebné, aby:

• a) v případě přímých odkazů na omezené zdroje aplikace ověřila, zda má uživatel autorizovaný přístup k přesně požadovanému zdroji;
• b) jestliže je odkaz nepřímý, mapování k přímému odkazu bylo omezeno na hodnoty povolené pro aktuálního uživatele.

2.7.5 Systém musí být zajištěn proti zneužití oprávněných dotazů (cross-site request forgery flaw).

2.7.6 K dispozici je náležitá konfigurace zajištění, což přinejmenším vyžaduje, aby:

• a) všechny komponenty programového vybavení byly aktuální včetně OS, webového serveru/serveru aplikace, databázového systému (DBMS), aplikací a všech knižnic kódů;
• b) nepotřebné funkce OS a webového serveru/serveru aplikace byly vypnuty, vymazány nebo nebyly nainstalovány;
• c) implicitně nastavená hesla k účtu se změnila nebo zablokovala;
• d) zpracování chyb bylo nastaveno tak, aby zabránilo úniku tzv. stack traces a jiných příliš informativních chybových hlášení;
• e) nastavení bezpečnostních parametrů ve vývojových strukturách a knihovnách bylo nakonfigurováno v souladu s osvědčenými postupy, například s pokyny OWASP.

2.7.7 Systém umožňuje takovéto šifrování údajů:

• a) Osobní údaje v elektronickém formátu jsou šifrovány při ukládání nebo odesílání příslušným orgánům členských států v souladu s čl. 8 odst. 1 nařízení (EU) č. 211/2011, přičemž klíče se spravují a zálohují odděleně.
• b) Odolné standardní algoritmy a odolné klíče se používají v souladu s mezinárodními normami. K dispozici je správa klíčů.
• c) Hesla jsou hašována s pomocí odolného standardního algoritmu a používá se vhodný náhodný řetězec (salt).
• d) Všechny klíče a hesla jsou chráněny před neoprávněným přístupem.

2.7.8 Systém omezuje přístup URL na základě přístupových úrovní uživatelů a jejich oprávnění. Za tímto účelem je minimálně potřebné, aby:

• a) pokud se k zajištění kontroly identifikace a autorizace za účelem přístupu na stránku používají externí bezpečnostní mechanismy, byly náležitě nakonfigurovány pro každou stránku.
• b) Pokud se používá ochrana na základě úrovně kódu, musí být k dispozici pro každou požadovanou stránku.

2.7.9 Systém využívá dostatečnou ochranu Transport Layer Protection. Za tímto účelem jsou k dispozici všechna tato opatření nebo minimálně stejně silná opatření:

• a) Systém vyžaduje nejnovější verzi HTTPS (Hypertext Transfer Protocol Secure) pro přístup ke všem citlivým zdrojům s použitím certifikátů, které jsou platné, neskončila jim platnost, nebyly odvolány a odpovídají všem doménám, které stránka používá.
• b) Systém označuje všechny citlivé soubory cookies jako bezpečné.
• c) Server nakonfiguruje poskytovatele TLS tak, aby podporoval jen šifrovací algoritmy, které odpovídají osvědčeným postupům. Uživatelé jsou informováni, že musí ve svém prohlížeči umožnit podporu TLS.

2.7.10 Systém poskytuje ochranu proti zrušeným přesměrováním a převodům (forwards).

2.17 Fyzická bezpečnost

2.18 Bezpečnost sítí

2.18.1 Systém je umístěn na internetovém serveru nainstalovaném v demilitarizované zóně a je chráněn s pomocí systému Firewall.

2.18.2 Po zveřejnění příslušných aktualizací a oprav produktu Firewall jsou tyto neprodleně nainstalovány.

2.18.3 Všechny přenosy na server a ze serveru (určené pro online systém sběru) jsou kontrolovány podle pravidel systému Firewall a protokolují se. Pravidla systému Firewall odmítají všechny přenosy, které nejsou potřebné k bezpečnému používání a správu systému.

2.18.4 Online systém sběru musí být umístěn v řádně zabezpečeném produkčním segmentu sítě, který je oddělen od ostatních segmentů používaných k umístění neprodukčních systémů, například k vývoji nebo testování.

2.18.5 Musí být zavedena bezpečnostní opatření pro lokální počítačovou síť (LAN), například:

• a) seznam přístupů na úrovni 2 (L2)/bezpečnost přepínače rozhraní (port switch);
• b) nevyužité přepínače rozhraní (switch ports) jsou zablokovány;
• c) DMZ je umístěna na vyhrazené virtuální lokální počítačové síti (Virtual Local Area Network (VLAN)/LAN);
• d) seskupení kanálů (trunking) na úrovni L2 se neumožňuje na nepotřebných portech.

2.19 Bezpečnost OS a webového serveru/serveru aplikace

2.19.1 Je zajištěna přiměřená konfigurace bezpečnosti včetně prvků uvedených v bodě 2.7.6.

2.19.2 Aplikace fungují s nejnižší sadou privilegií, která potřebují ke své funkčnosti.

2.19.3 Přístup správce k rozhraní správy online systému sběru má krátký časový limit (maximálně 15 minut).

2.19.4 Příslušné aktualizace a opravy OS, runtime aplikací, aplikací běžících na serveru nebo aplikací proti škodlivému softwaru, musí být bezodkladně nainstalovány po jejich zveřejnění.

2.19.5 Riziko, že se někdo identifikuje v systému pomocí „pass-the-hash“, je minimalizováno.

2.20 Bezpečnost klienta organizátora

2.20.1 Uživatelé mohou používat neúdržbové funkce (jako například automatizace administrativy) s nejnižší sadou privilegií potřebných k jejich funkčnosti.

2.20.2 Bezodkladně po zveřejnění příslušných aktualizací a oprav OS, instalovaných aplikací nebo programů proti malwaru jsou tyto nainstalovány.

3. TECHNICKÉ SPECIFIKACE, JEJICHŽ ÚČELEM JE PROVÁDĚNÍ ČL. 6 ODST. 4 PÍSM. c) NAŘÍZENÍ (EU) č. 211/2011