Rozděleno na 2 sekce, 1) Co musí být v legislativě, 2) Co by měla ČR vyřešit a témata k diskuzi

Názory, řešení?

Co musí být v legislativě

  1. Definovat stavy kybernetického ohrožení, jejich počet, význam
    • mají to někde ve světě odkud by to šlo opsat?
  2. Definovat “Data Retention Policy”
    • možná v souladu s GDPR
  3. Stát / VoZ musí být finančně zodpovědná za:
    • Náklady spojené s instalací / provozem blackboxů
    • Náklady vzniklé jejich nefunkčností (třeba ve vztahu k SLA)
  4. Vytvořit seznam “Kritické IT infrastruktury ve smyslu Kybernetické obrany/ochrany”, pokud by legislativa neměla být přímo vázána na aktuální “Kritickou IT infrastrukturu” jak ji definuje Kybernetický zákon
    • VZ nemá co dělat v “otevřeném internetu”. Nechť si ochraňuje perimetr kritické infrastruktury. TATO PŘIPOMÍNKA JE ZÁSADNÍ (ruza)
  5. Definovat kompetence a kontrolní mechanismy jak využívání techniky (navázat např. stavy ohrožení, viz bod 1), tak na kontrolu provádění (soudy, parlamentní/senátní výbor, …)

Co je potřeba vyřešit, diskuzní témata

  1. Definovat kontext “řízení procesů kybernetické obrany”
    • Procesy eskalace
    • Triggery pro akce jednotlivců
      • definovat kdy muze operativec zastavit utok (zahajit protiutok) bez cekani na svolani bezpecnosti rady statu (apod), vyhlaseni mimoradneho stavu s tim, ze musi byt zpetne prezkoumatelne co bylo provedeno a zda bylo oduvodnitelne
    • Zodpovědné pozice pro příjem / výdej informací
    • Kdo bude vlastnit / provozovat analytické centrum
    • Jaké jsou zodpovědnosti/možnosti/závazky ISP
    • Jaké jsou procesy při řešení konkrétní kybernetické hrozby
  2. Vytvořit kontrolní procesy pro přístup k nasbíraným informacím/metadatům
  3. Zajistit financování státem kontrolované kybernetické síly (armády, analytiků, …), udržovat je v kondici/profesní vzdělanosti
    • VoZ by měla definovat požadavky na specializaci
    • Aktualizovat platové možnosti v oboru ve státní správě, protože aktuální platové tabulky jsou mimo realitu
  4. Rozšířit / Re-definovat / Re-vidovat aktuální “Kritickou IT infrastrukturu” (třeba, proč v ní není TSK?)
  5. Stát by měl vytvořit program vzdělávání v kyber-bezpečnosti/kyber-obraně, pro lidi přímo nezapojené v aktivitě VoZ
    • Primárně asi pro zaměstnance ISP a obecně IT bezpečáky
  6. Podpora tuzemského vývoje Tech/Sec produktů