378/2006 Sb. Vyhláška o postupech kvalifikovaných poskytovatelů certifikačních služeb, o požadavcích na nástroje elektronického podpisu a o požadavcích na ochranu dat pro vytváření elektronických značek (vyhláška o postupech kvalifikovaných poskytovatelů certifikačních služeb) - 5. Management, provozní a fyzická bezpečnost

5. Management, provozní a fyzická bezpečnost

5.1 Fyzická bezpečnost

5.1.1 Umístění a konstrukce

5.1.2 Fyzický přístup

5.1.3 Elektřina a klimatizace

5.1.4 Vlivy vody

5.1.5 Protipožární opatření a ochrana

5.1.6 Ukládání médií

5.1.7 Nakládání s odpady

5.1.8 Zálohy mimo budovu

5.2 Procesní bezpečnost

5.2.1 Důvěryhodné role

5.2.2 Počet osob požadovaných na zajištění jednotlivých činností

5.2.3 Identifikace a autentizace pro každou roli

5.2.4 Role vyžadující rozdělení povinností

5.3 Personální bezpečnost

5.3.1 Požadavky na kvalifikaci, zkušenosti a bezúhonnost

5.3.2 Posouzení spolehlivosti osob

5.3.3 Požadavky na přípravu pro výkon role, vstupní školení

5.3.4 Požadavky a periodicita školení

5.3.5 Periodicita a posloupnost rotace pracovníků mezi různými rolemi

5.3.6 Postihy za neoprávněné činnosti zaměstnanců

5.3.7 Požadavky na nezávislé zhotovitele (dodavatele)

5.3.8 Dokumentace poskytovaná zaměstnancům

5.4 Auditní záznamy (logy)

5.4.1 Typy zaznamenávaných událostí

5.4.2 Periodicita zpracování záznamů

5.4.3 Doba uchování auditních záznamů

5.4.4 Ochrana auditních záznamů

5.4.5 Postupy pro zálohování auditních záznamů

5.4.6 Systém shromažďování auditních záznamů (interní nebo externí)

5.4.7 Postup při oznamování události subjektu, který ji způsobil

5.4.8 Hodnocení zranitelnosti

5.5 Uchovávání informací a dokumentace

5.5.1 Typy informací a dokumentace, které se uchovávají

5.5.2 Doba uchování uchovávaných informací a dokumentace

5.5.3 Ochrana úložiště uchovávaných informací a dokumentace

5.5.4 Postupy při zálohování uchovávaných informací a dokumentace

5.5.5 Požadavky na používání časových razítek při uchovávání informací a dokumentace

5.5.6 Systém shromažďování uchovávaných informací a dokumentace (interní nebo externí)

5.5.7 Postupy pro získání a ověření uchovávaných informací a dokumentace

5.6 Výměna dat pro ověřování elektronických značek v nadřízeném kvalifikovaném systémovém certifikátu poskytovatele

5.7 Obnova po havárii nebo kompromitaci

5.7.1 Postup v případě incidentu a kompromitace

5.7.2 Poškození výpočetních prostředků, softwaru nebo dat

5.7.3 Postup při kompromitaci dat pro vytváření elektronických značek poskytovatele

5.7.4 Schopnost obnovit činnost po havárii

5.8 Ukončení činnosti CA nebo RA