6. člen
(metodologija za pripravo analize obvladovanja tveganj informacijske varnosti)
(1)
Povezani subjekt pripravi analizo obvladovanja tveganj z oceno sprejemljive ravni tveganj tako, da:
1.
navede metodologijo z opredelitvijo lestvic in atributov ocenjevanja, po kateri bo izvedel analizo obvladovanja tveganj v skladu s to uredbo;
2.
izvede popis informacijskih sredstev znotraj sistema upravljanja varovanja informacij oziroma omrežja, iz katerega se povezuje v centralno državno informacijsko-komunikacijsko omrežje oziroma sistem, in določi njihove upravljavce ter v analizo obvladovanja tveganj vključi navedena sredstva. Centralizirani organi izvedejo ta popis v sodelovanju z ministrstvom, pristojnim za upravljanje informacijsko-komunikacijskih sistemov, ki jim mora na zahtevo poslati ustrezne podatke, s katerimi razpolaga, in sicer v 15 dneh od prejema posamičnega zahtevka;
3.
prepozna in v analizi obvladovanja tveganj navede možne grožnje za izgubo celovitosti, razpoložljivosti in zaupnosti sredstev iz prejšnje točke;
4.
prepozna in v analizi obvladovanja tveganj navede ranljivosti sredstev iz 2. točke tega odstavka, ki bi jih grožnje iz prejšnje točke lahko prizadele;
5.
oceni stopnjo vpliva uresničitve groženj iz 2. točke tega odstavka na razpoložljivost, celovitost in zaupnost sredstev iz 1. točke tega odstavka zaradi ranljivosti iz prejšnje točke ter v analizi obvladovanja tveganj navede ocenjeno stopnjo vpliva uresničitve groženj;
6.
oceni primernost obstoječih ukrepov in stopnjo obvladovanja ugotovljenih tveganj s temi ukrepi ter v analizi obvladovanja tveganj navede oceno o primernosti obstoječih ukrepov;
7.
v analizi obvladovanja tveganj ovrednoti ugotovljena tveganja glede na verjetnost nastanka tveganj in obseg negativnih posledic ob uresničitvi tveganj na zagotavljanje storitev;
8.
glede na vrednotenje ugotovljenih tveganj in posebnosti delovnega področja, na katerem deluje povezani subjekt, določi in obrazloži oceno sprejemljive ravni tveganj ter
9.
navede ukrepe za odpravo ali zmanjšanje tveganj nad sprejemljivo ravnjo tveganj.
(2)
Povezani subjekt v sistem upravljanja varovanja informacij vključi najmanj tista informacijska sredstva, ki podpirajo njegove glavne oziroma pomembne storitve in procese za zagotovitev povezave s centralnim državnim informacijsko-komunikacijskim omrežjem oziroma sistemom. Centralizirani organi izvedejo to nalogo v sodelovanju z ministrstvom, pristojnim za upravljanje informacijsko-komunikacijskih sistemov, ki jim mora na zahtevo poslati ustrezne podatke, s katerimi razpolaga, in sicer v 15 dneh od prejema posamičnega zahtevka.
(3)
Povezani subjekt izvede popis informacijskih sredstev iz druge točke prvega odstavka tega člena tako, da za vsako informacijsko sredstvo določi oziroma navede najmanj:
1.
kratko identifikacijsko oznako, s katero se to informacijsko sredstvo edinstveno identificira;
2.
naziv oziroma ime informacijskega sredstva;
3.
opis glavnih funkcionalnosti informacijskega sredstva;
4.
ime in priimek ali naziv delovnega mesta osebe, ki je skrbnik informacijskega sredstva. Centralizirani organi te podatke navedejo v sodelovanju z ministrstvom, pristojnim za upravljanje informacijsko-komunikacijskih sistemov, ki jim mora na zahtevo poslati ustrezne podatke o skrbništvu posameznega dodeljenega informacijskega sredstva, in sicer v 15 dneh od prejema posamičnega zahtevka, ter
5.
opis glavnih komponent strojne oziroma programske opreme.
(4)
Povezani subjekt izvede analizo obvladovanja tveganj z določitvijo sprejemljive ravni tveganj tako, da so rezultati teh postopkov dosledni, primerljivi in verodostojni.