8. člen
(sprejetje in izvajanje minimalnih varnostnih ukrepov informacijske varnosti)
(1)
Povezani subjekt za zagotavljanje celovitosti, zaupnosti, razpoložljivosti omrežij in informacijskih sistemov sprejme in izvaja organizacijske, logično-tehnične in tehnične varnostne ukrepe, ki izhajajo iz analize obvladovanja tveganj informacijske varnosti in zahtev upravljavca centralnega informacijsko-komunikacijskega sistema, ki jih ta objavi na svoji spletni strani.
(2)
Varnostni ukrepi iz prejšnjega odstavka morajo biti:
1.
učinkoviti tako, da povečajo informacijsko varnost glede na obstoječe in predvidene grožnje, ki izhajajo iz analize obvladovanja tveganj z oceno sprejemljive ravni tveganj;
2.
prilagojeni tako, da se prizadevanja povezanega subjekta usmerijo v ukrepe, ki najbolj vplivajo na njegovo informacijsko varnost, povezano s centralnim državnim informacijsko-komunikacijskim omrežjem oziroma sistemom, in se izogibajo podvajanjem;
3.
skladni tako, da se primarno obravnavajo osnovne in skupne varnostne ranljivosti povezanega subjekta, ki se lahko dopolnijo z varnostnimi ukrepi za posamezna delovna področja;
4.
sorazmerni s tveganji tako, da se izogiba čezmerni obremenitvi povezanega subjekta;
5.
konkretni tako, da povezani subjekt te varnostne ukrepe izvaja in da ti ukrepi prispevajo h krepitvi njegove informacijske varnosti;
6.
preverljivi tako, da povezani subjekt lahko na zahtevo pristojnega organa predloži dokazila o njihovem izvajanju, in
7.
vključujoči tako, da so upoštevani vsi vidiki informacijske varnosti, vključno s fizično varnostjo informacijskih sredstev.
(3)
Organizacijski, logično-tehnični in tehnični varnostni ukrepi morajo obsegati najmanj:
1.
upravljanje pooblastil za dostop;
2.
varovanje dostopa do glavnih komponent strojne opreme;
3.
preverjanje identitete uporabnikov;
4.
zaščito pred zlonamerno programsko kodo;
5.
zaznavanje poskusov vdorov in preprečevanje incidentov ter
6.
upravljanje in preprečevanje izrab tehničnih ranljivosti.
(4)
Ukrepe iz 4. do 6. točke prejšnjega odstavka za centralizirane organe izvaja ministrstvo, pristojno za upravljanje informacijsko-komunikacijskih sistemov.
(5)
Pri načrtovanju in izvajanju varnostnih ukrepov povezani subjekti upoštevajo mednarodne standarde in dobre prakse na področju informacijske varnosti, posebne potrebe delovnega področja povezanega subjekta ter varnostne zahteve upravljavca centralnega informacijsko-komunikacijskega sistema. Informacijski sistem mora izpolnjevati minimalne varnostne zahteve, kar pomeni, da mora imeti nameščeno programsko opremo zadnje (stabilne) verzije oziroma verzije, za katero se zagotavlja podpora proizvajalca programske opreme.
(6)
V primerih oziroma delih, kjer varnostne ukrepe izvaja ministrstvo, pristojno za upravljanje informacijsko-komunikacijskih sistemov, mora le-to o izvedenih ukrepih redno obveščati povezani subjekt, za katerega izvaja te ukrepe.
(7)
Upravljavec centralnega informacijsko-komunikacijskega sistema varnostne zahteve iz petega odstavka tega člena objavi na svoji spletni strani.