View
1
Download
0
Category
Preview:
Citation preview
Na osnovu člana 11. stav 1. tačka 1, člana 169. stav 6 Zakona o elektronskim
komunikacijama („Sl. list CG“ 40/13 i 56/13) Savjet Agencije za elektronske komunikacije i
poštansku djelatnost na sjednici održanoj xx. 07.2015. godine donio je:
PRAVILNIK
o načinu i rokovima za sprovođenje mjera zaštite sigurnosti i
integriteta elektronskih komunikacionih mreža i usluga
Sadržaj Pravilnika
Član 1.
Ovim pravilnikom propisuju se način i rokovi za sprovođenje mjera zaštite sigurnosti i
integriteta elektronskih komunikacionih mreža i usluga, kao i način obavještavanja o
povredi sigurnosti i integriteta elektronskih komunikacionih mreža i usluga.
Značenje izraza
Član 2.
Pojedini pojmovi u smislu ovog pravilnika imaju sljedeće značenje:
1. Integritet mreže: osobina mreže da održi specificirane parametre u dijelu performansi i
funkcionalnosti.
2. Kritična sredstva: elementi mreže i infrastruktura čiji bi prekid rada, vjerovatno imao
direktan i značajan uticaj na sigurnost mreža i usluga ili direktan uticaj na procesuiranje
ličnih podataka.
3. Prijetnja: događaj il i okolnost ko ja može dovesti do sigurnosnog incidenta.
4. Sigurnosne mjere: skup administrativnih, tehničkih i fizičkih zahtjeva za procese, rad i
izmjene u elektronskoj komunikacionoj mreži, u svrhu osiguranja nesmetanog pristupa
i upotrebe elektronskih komunikacionih mreža, kao i sigurnosti i integriteta podataka
sačuvanih u elektronskoj komunikacionoj mreži.
5. Sigurnosni incident: jedan ili više neželjenih ili neočekivanih događaja koji mogu uticati
na sigurnost i integritet mreža i usluga ili obradu ličnih podataka.
Mjere za zaštitu sigurnosti i integriteta mreža i usluga
Član 3.
Mjere za obezbjeđenje integriteta javne elektronske komunikacione mreže, obezbjeđenja
neprekidnog pružanja javnih elektronskih komunikacionih usluga, obezbjeđenja
sigurnosti ličnih podataka, obezbjeđenja odgovora na sigurnosne incidente, ublažavanja
uticaja sigurnosnih incidenata na rad svoje elektronske komunikacione mreže i sa njom
povezanih mreža, ublažavanja uticaja prijetnji i sigurnosnih incidenata n a korisnike
elektronskih komunikacionih usluga, zaštite korisnika od zlonamjernih aktivnosti,
elektronskih sabotaža, prevara trećih lica i zloupotreba bilo koje vrste (u daljem tekstu
sigurnosne mjere), operator je dužan da primijeni u sljedećim oblastima:
Upravljanje rizikom;
Comment [A1]: Smatramo da bi ovo trebalo da se odnosi samo na dio usluga koje operater pruža. Primjer: Operater pruža uslugu pristupa Internetu i štiti korisnike u dijelu kojim se obezbjedjuje zaštita korsiničkog pristupa Internetu. Operator nije dužan da štiti korisnika od štetnih sadžraja kojima je korisnik svjesno ili nesvjesno izložen u Internet prostoru.
Sigurnost ljudskih resursa;
Sigurnost sistema i objekata;
Upravljanje operacijama;
Upravljanje incidentima;
Upravljanje kontinuitetom poslovanja;
Nadzor, revizija i testiranje.
U okviru svake oblasti iz stava 1 ovog člana operator je dužan da ispuni odgovarajuće
sigurnosne ciljeve, preduzimanjem sigurnosnih mjera koje su navedene u Prilogu 1 ovog
pravilnika.
Sigurnosne mjere iz Priloga 1 ovog pravilnika operator je dužan da sprovede u skladu sa
odgovarajućim standardima, koji su navedeni u Prilogu 2 ovog pravilnika.
Operator koji pruža usluge telefonskih poziva i pristupa Internetu u fiksnoj elektronskoj
komunikacionoj mreži i usluge u mobilnoj elektronskoj komunikacionoj mreži, za više od
10000 korisnika, dužan je da, izgradnjom georedundantne konfiguracije odgovarajućih
elemenata mreže i sistema (Disaster Recovery Site) na teritoriji Crne Gore, obezbijedi
neprekidnost pružanja telefonske usluge, usluge SMS-a i usluge pristupa Internetu.
Praćenje sprovođenja mjera za zaštitu sigurnosti i integriteta mreža i usluga
Član 4.
Operator je dužan da, u cilju praćenja sprovođenja sigurnosnih mjera, Agenciji za
elektronske komunikacije i poštansku djelatnost (u daljem tekstu Agencija) dostavi:
1) dokumenta kojima se definišu sigurnosne mjere iz člana 3, i postupci za njihovo
sprovođenje, u roku 7 dana od njihovog usvajanja;
2) podatke o licu odgovornom za sprovođenje sigurnosnih mjera iz stava 1 člana 3
ovog pravilnika, u roku 7 dana od stupanja ovog pravilnika na snagu;
3) podatke o mjerama nadzora sigurnosti i integriteta mreža i usluga operatora od
strane organa državne uprave nadležnog za prevenciju i zaštitu rizika bezbjednosti
informacionih sistema odnosno organa uprave nadležnog za oblast računarskog
kriminala, u roku 7 dana od vršenja nadzora;
4) izvještaje o interno sprovedenim kontrolama sigurnosti i integriteta elektronskih
komunikacionih mreža i usluga i datim preporukama, u roku 7 dana od prijema
izvještaja o sprovedenim kontrolama;
5) obavještenja i izvještaje o sigurnosnim incidentima.
Agencija će vršiti kontrolu spovođenja sigurnosnih mjera iz člana 3 ovog pravilnika, od
strane operatora.
Agencija može angažovati i treća lica za vršenje kontrole iz stava 2 ovog člana.
Comment [A2]: Da li ovo znači implementaciju navedenih ISO standarda?
Comment [A3]: Zahtjev da se formira Disaster Recovery Site za sve servise, za koje operator ima vise od 10hiljada korisnika u roku od 18 mjeseci moze biti problematican sa stanovista vremena i po nasoj ocjeni ne tako neophodnih investicija za ovako malu zemlju kakva je Crna Gora. Umjesto toga smatramo najboljim rjesenjem koriscenje cloud servisa ili iznajmljivanje prostora/opreme u postojecim DRSite-ovima u nekoj od zemalja koje pripadaju istoj korporacijskoj grupi. Ovakva rjesenja vec postoje u zemljama članicama EU .Sto je takodje važno ovakva rjesenja bi se mogla realizovati u kraćem roku, a sa stanovista resursa I investicija bila bi mnogo manje zahtjevna.Ovo se moze primjeniti na bilo koji servis, od BB servisa do IMS-a.
Comment [A4]: Da li se ovdje misli na nivo politika ili kompanijskih direktiva u kojem se propisuju mjere, a ne I na dokumente nižeg ranga (npr. procedure kojima se razradjuju koraci za sprovodjenje mjera).
Comment [A5]: Potrebno je definisati navesti primjere koje vrste izvještaja su u pitanju
Obavještavanje o sigurnosnim incidentima
Član 5.
Operator je dužan da, pisanim putem obavijesti Agenciju o sigurnosnom incidentu koji je
doveo do prekida u pružanju telefonske usluge, usluge SMS-a, usluge pristupa Internetu ili
usluge distribucije audio-vizuelnih medijskih sadržaja za više od 1000 korisnika ili povrede
sigurnosti ličnih podataka korisnika.
Operator je dužan da obavještenje o sigurnosnom incidentu iz stava 1 ovog člana dostavi
Agenciji, u roku od 1 sata nakon pojave sigurnosnog incidenta, u skladu sa Prilogom 4 koji
je sastavni dio ovog pravilnika.
Operator je dužan da, pisanim putem Agenciji dostavi izvještaj o sigurnosnom incidentu, koji
je značajnije uticao na rad javnih elektronskih komunikacionih mreža ili pružanje
elektronskih komunikacionih usluga, u skladu sa kriterijumima za izvještavanje iz Priloga
3 koji je sastavni dio ovog pravilnika.
Operator je dužan da izvještaj o sigurnosnom incidentu iz stava 3 ovog člana dostavi
Agenciji, u roku od 3 dana od otklanjanja sigurnosnog incidenta, u skladu sa Prilogom 5,
koji je sastavni dio ovog pravilnika.
Operator može obavijestiti Agenciju i o drugim važnim sigurnosnim incidentima koji
se odnose na sigurnost i integritet javnih elektronskih komunikacionih mreža i usluga, a koji
nisu obuhvaćeni sigurnosnim incidentima iz stavova 1. i 3. ovog člana.
Operator je dužan da odmah obavijesti druge operatore u slučaju da povreda sigurnosti i
integriteta njegove mreže može značajnije uticati na rad sa njom povezanih mreža.
Prelazne i završne odredbe
Član 6.
Operator je dužan da svoj rad uskladi sa ovim pravilnikom u roku od tri mjeseca od
dana stupanja na snagu, a sa odredbom člana 3 stav 4 ovog pravilnika u roku od 18
mjeseci.
Stupanje na snagu
Član 7.
Ovaj Pravilnik stupa na snagu osmog dana od dana objavljivanja u „Službenom listu Crne
Gore“.
Comment [A6]: Smatramo da je u pitanju veoma mali broj korisnika.Postavlja se pitanje na osnovu kojih kriterijuma je odredjen ovaj broj
Comment [A7]: 1.Rok od 1 sata je suviše kratak buduci da Agencija ne radi 24 sata dnevno pa bi rok za izvještavanje mogao biti vezan za prvi naredni radni dan. 2.Umjesto pojave treba staviti klasifikacije (ili bar detekcije) incidenta. 3.Prijedlog je da se napravi razlika u roku obavještavanja izmedju incidenata višeg I nižeg nivoa (npr. >1000 korisnika I > 5000 korisnika). To znači da nema smisla stavljati kratak rok za obavještavanje za incidente nižeg nivoa.
3. Za slucaj 2 u prilogu navedeno je da je minimalno trajanje incidenta 4 sata. Da li to znači da se Agenciji javlja u roku od 1 sata nakon što proteknu 4 sata?
Comment [A8]: Potrebno objasniti primjere takvih slucajeva.
Comment [A9]: Zbog potrebe uskladjivanja sa standardima iz Priloga 2 predlažemo da se definise rok od 6 mjeseci
Comment [A10]: Potreban znatno duži rok od najmanje 3 godine zbog izuzetno zahtjevnog projekta u smislu resursa , planiranja i realizacije investicija, osim u slucaju prihvatanja predloga datog u komentaru 3 .
PRILOG 1: Sigurnosne mjere
OBLAST SIGURNOSTI SIGURNOSNE MJERE
Upravljanje rizikom
- Uspostavljanje i održavanje odgovarajućih procedura
informacione sigurnosti koja se odnosi na sigurnost
mreža, usluga i procesuiranja ličnih podataka;
(Information security policy)
- Uspostavljanje i održavanje odgovarajućeg okvira za
upravljanje rizikom, koji služi za identifikaciju i
adresiranje rizika za mreže, usluge i procesuiranje
ličnih podataka; (Governance and risk management)
- Uspostavljanje i održavanje odgovarajuće strukture
sigurnosti sa ulogama i odgovornostima; (Security
roles and responsibilities)
- Uspostavljanje i održavanje procedura sa zahtjevima
koji se tiču sigurnosti za ugovore sa trećim stranama,
kako bi se obezbijedilo da zavisnost od trećih strana ne
utiče negativno na sigurnost mreža, usluga i
procesuiranja ličnih podataka (Security of third party
assets) .
Sigurnost ljudskih
resursa
- Obezbijediti odgovarajuću provjeru osoblja
(zaposlenih, ugovarača i korisnika treće strane) kada je
to potrebno za njihove dužnosti i odgovornosti
(Background checks);
- Obezbijediti da osoblje ima dovoljno znanja o
sigurnosti, a takođe, obezbijediti i redovnu obuku na
temu sigurnosti (Security knowledge and training);
- Uspostaviti i održavati odgovarajuće procedure za
upravljanje promjene osoblja ili za promjene njihovih
uloga i odgovornosti (Personnel changes);
- Uspostaviti i održavati disciplinske procedure za
zaposlene koji prekrše politike sigurnosti ili imati šire
procedure koje pokrivaju sigurnosne prekršaje čije
kršenje je izazvalo osoblje. (Handling violations);
Sigurnost sistema i
objekata
- Uspostaviti i održavati odgovarajuću fizičku sigirnost i
sigurnost uslova u objektima (Physical and
environmental security of facilities);
- Uspostaviti i održavati odgovarajuću sigurnost
snadbijevanja (električnom energijom, naftnim
derivatima-gorivom, klimatizacijom itd) za objekte
(Security of supplies);
- Uspostaviti i održavati odgovarajuće (logičke) kontrole
pristupa mreži i informacionim sistemima, kako bi se
spriječio nedozvoljeni pristup, izmjena ili brisanje
podataka na tim sistemima (Access control to network
and information systems);
- Uspostaviti i održavati integritet mreže i informacionih
sistema, radi zaštite od trojanaca, “code injections” i
drugih malvera koji mogu promijeniti njihovu
funkcionalnost (Integrity of network and information
systems);
- Uspostaviti i održavati odgovarajuće procedure o
povjerljivosti i integritetu sadržaja komunikacija i
metapodataka o komunikacijama (Confidentiality of
communications).
Upravljanje operacijama
- Uspostaviti i održavati operativne procedure za
funkcionisanje kritičnih mrežnih i informacionih
sistema od strane osoblja (Operational procedures);
- Uspostaviti procedure za upravljanje promjenama za
kritične mrežne i informacione sisteme, kako bi se
umanjili incidenti koji su prouzrokovani promjenama
(Change management);
- Uspostaviti i održavati procedure za upravljanje
sredstvima i kontrolu konfiguracije u cilju upravljanja
raspoloživošću kritičnih sredstava i konfiguracija
kritičnih mrežnih i informacionih sistema (Asset
management).
Upravljanje incidentima
- Uspostaviti i održavati procedure za upravljanje
sigurnosnim incidentima, kao i njihovo prosljeđivanje
prema odgovarajućem osoblju (Incident management
procedures);
- Uspostaviti i održavati odgovarajuće kapacitete za
detekciju sigurnosnih incidentata (Incident detection
capability);
- Uspostaviti i održavati odgovarajuće procedure za
izvještavanje i objavljivanje o incidentima, uzimajući u
obzir nacionalno zakonodavstvo za izvještavanje
državnih institucija o incidentima (Incident reporting
and communication);
Upravljanje
kontinuitetom
poslovanja
- Uspostaviti i održavati planove za vanredne situacije i
strategiju za obezbjeđenje kontinuiteta u priužanju
mreža i usluga (Service continuity strategy and
contingency plans);
- Uspostaviti i održavati odgovarajuće “disaster
recovery” kapacitete za vraćanje u rad mreža i usluga u
slučaju prirodnih i/ili velikih katastrofa (Disaster
recovery capabilities).
Nadzor, revizija i
testiranje
- Uspostaviti i održavati sisteme i funkcije nadzora i
logovanja kritičnih mrežnih i komunikacionih sistema
(Monitoring and logging policies);
- Uspostaviti i održavati procedure za testiranje i
uvježbavanje planova za vanredne situacije i
obebjeđivanje backupa, kada je potrebno u sardanji sa
trećim stranama (Exercise contingency plans);
- Uspostavljanje i održavanje procedura za testiranje
mrežnih i informacionih sistema, posebno u
slučajevima povezivanja sa novom mrežom ili
informacionim sistemom (Network and information
systems testing);
- Uspostavljanje i održavanje odgovarajućih procedura
za obavljanje sigurnosnih procjena i testova mrežnih i
informacionih sistema (Security assessments);
- Uspostaviti i održavati procedure za nadzor
usklađenosti sa standardima i zakonskim obavezama
(Compliance monitoring).
PRILOG 2: Standardi za sprovođenje sigurnosnih mjera
OBLAST SIGURNOSTI REFERENTNI STANDARDI
Upravljanje rizikom
MEST ISO/IEC 27001
MEST ISO/IEC 27002
MEST ISO/IEC 27005
MEST ISO/IEC 27011
Sigurnost ljudskih resursa
MEST ISO/IEC 27001
MEST ISO/IEC 27002
MEST ISO/IEC 27011
Sigurnost sistema i objekata
MEST ISO/IEC 27001
MEST ISO/IEC 27002
MEST ISO/IEC 27011
Upravljanje operacijama
MEST ISO/IEC 27001
MEST ISO/IEC 27002
MEST ISO/IEC 27011
Upravljanje incidentima
MEST ISO/IEC 27001
MEST ISO/IEC 27002
MEST ISO/IEC 27011
Upravljanje kontinuitetom poslovanja ISO/IEC 22301
MEST ISO/IEC 27011
Nadzor, revizija i testiranje
MEST ISO/IEC 27001
MEST ISO/IEC 27002
MEST ISO/IEC 27011
PRILOG 3:
Kriterijumi za obavještavanje o sigurnosnom incidentu
Sigurnosni incident
Minimum krajnjih
korisnika obuhvaćenih
sigurnosnim incidentom
Minimalno
trajanje sigurnosnog
incidenta
Nemogućnost mreže da prima, ili
usmjerava pozive prema brojevima
hitnih službi
1 korisnik
nezavisno od
trajanja
Onemogućena usluga telefonskih
poziva u fiksnoj
Mreži
1 000 korisnika
4 sata
Onemogućena usluga telefonskih
poziva u fiksnoj
Mreži
5 000 korisnika
1 sat
Onemogućena usluga telefonskih
poziva i SMS u mobilnoj mreži
1 000 korisnika
4 sata
Onemogućena usluga telefonskih
poziva i SMS u mobilnoj mreži 5 000 korisnika
1 sat
Onemogućena usluga pristupa
internetu 1 000 korisnika
4 sata
Onemogućena usluga pristupa
internetu 5 000 korisnika
1 sat
Onemogućena usluga distribucije audio
vizuelnih sadržaja 1 000 korisnika
4 sata
Onemogućena usluga distribucije audio
vizuelnih sadržaja 5 000 korisnika
1 sat
Povreda ličnih podataka korisnika
1 korisnik
nezavisno od
trajanja
Comment [A11]: u mobilnoj telefoniji nije moguće vezati incident sa brojem korisnika zbog specificnosti tehnologije. Ovo moze biti jedino stvar procjene ; Navedeni limiti za broj korisnika su mali I treba ih znacajno povecati (30% mreze ili slicno)
Comment [A12]: Predlažemo promijenu formulacije tako da glasi: ,,Afektirana usluga, ili Posljedica sigurnosnog incidenta’’
Comment [A13]: Potrebno je pojasniti kako se ovo moze detektovati, odnosno ko prijavljuje/ (zalba krajnjeg korinika npr.)
PRILOG 4:
Obavještenje o sigurnosnom incidentu
Operator
Datum i vrijeme nastanka
sigurnosnog incidenta
Datum i vrijeme
utvrđivanja sigurnosnog
incidenta
Način utvrđivanja
sigurnosnog incidenta
Vrsta usluge koju obuhvata
sigurnosni incident
Fiksna telefonija: □ PSTN □ IMS □ VoIP □ DRUGO
Fiksni Internet: □ xDSL □ FTTx □ KDS □ DRUGO
Mobilna telefonija: □ GSM □ UMTS □ LTE □ DRUGO
Mobilni Internet: □ GPRS/EDGE □ UMTS □ LTE □ DRUGO
Zemaljska radiodifuzija: □ Zemaljska TV □ Zemaljski radio
Distribucija AVM sadžaja: □ KDS □ IPTV □ Satelitski □ MMDS □ DRUGO
Drugo
Opis sigurnosnog incidenta
Broj obuhvaćenih korisnika
BROJ OBUHVAĆENIH KORISNIKA
Fiksna telefonija: _______________________
Fiksni Internet: _______________________
Mobilna telefonija: _______________________
Mobilni Internet: _______________________
Zemaljska radiodifuzija: _______________________
Distribucija AVM sadžaja: _______________________
Drugo: ______________________
Uticaj na hitne službe □ DA □ NE
Uticaj na interkonekciju
(u zemlji i inostranstvu) □ DA □ NE
Da li je došlo do povrede
ličnih podataka korisnika?
□ DA □ NE
U slučaju da je odgovor DA, opisati prirodu i sadržaj otkrivenih ličnih
podataka korisnika
Comment [A14]: Prijedlog je da se obrazac pojednostavi, imajuci u vidu da je prioritet OTKLANJANJE incidenta, a rok za Obavjestenje o istom je prekratak.
Aktivnosti koje su
preduzete za rješavanje
sigurnosnog incidenta
Subjekti koji su obavješteni
o sigurnosnom incidentu
Procijenjeno vrijeme
otklanjanja sigurnosnog
incidenta
Ostale važne informacije
Ime i kontakt podaci lica
koje je zaduženo za
davanje informacija o
incidentu (tel., e-mail)
Datum i vrijeme dostave
obavještenja
PRILOG 5:
Izvještaj o sigurnosnom incidentu
Operator
Datum i vrijeme nastanka
sigurnosnog incidenta
Datum i vrijeme
utvrđivanja sigurnosnog
incidenta
Način utvrđivanja
sigurnosnog incidenta
Opis sigurnosnog incidenta
Vrsta usluge koju obuhvata
sigurnosni incident
Fiksna telefonija: □ PSTN □ IMS □ VoIP □ DRUGO
Fiksni Internet: □ xDSL □ FTTx □ KDS □ DRUGO
Mobilna telefonija: □ GSM □ UMTS □ LTE □ DRUGO
Mobilni Internet: □ GPRS/EDGE □ UMTS □ LTE □ DRUGO
Zemaljska radiodifuzija: □ Zemaljska TV □ Zemaljski radio
Distribucija AVM sadžaja: □ KDS □ IPTV □ Satelitski □ MMDS □ DRUGO
Drugo
Vrijeme trajanja
sigurnosnog incidenta i
broj obuhvaćenih korisnika
TRAJANJE BROJ OBUHVAĆENIH KORISNIKA
Fiksna telefonija: _____________ _______________________
Fiksni Internet: _____________ _______________________
Mobilna telefonija: _____________ _______________________
Mobilni Internet: _____________ _______________________
Zemaljska radiodifuzija:_____________ _______________________
Distribucija AVM sadžaja: _________ _______________________
Drugo: _____________ ______________________
Uticaj na hitne službe □ DA □ NE
Uticaj na interkonekciju
(u zemlji i inostranstvu) □ DA □ NE
Da li je došlo do povrede
ličnih podataka korisnika?
□ DA □ NE
U slučaju da je odgovor DA, opisati prirodu i sadržaj otkrivenih ličnih
podataka korisnika
Osnovni uzrok
□ Sistemske greške
□ Ljudske greške
□ Zlonamjerne radnje
□ Prirodni fenomeni
□ Greška treće strane
□ Uzrok nije utvrđen
Početni uzrok
□ Prekid kabla
□ Krađa kabla
□ Poplava
□ Obilne snježne padavine
□ Oluja
□ Prekid napajanja
□ Električni udar
□ Fizički napad
□ Kibernetički napad
□ Loše održavanje
□ Preopterećenje
□ Iscrpljene zalihe goriva
□ Proceduralna greška
□ Greška hardvera
□ Programska greška
□ Ljudska greška
□ Drugo _____________________________
□ Uzrok nije utvrđen
Sistemi obuhvaćeni
početnim uzrokom
□ Bazne stanice i upravljački sistemi (npr. BTS, NodeB, RNC)
□ Mobilni komutacioni sistemi (npr. MSC, VLR, SGSN, GGSN)
□ Korisnički i lokacioni registri (npr. HLR, HSS, AuC)
□ Komutacioni sistemi (npr. lokalne centrale, svičevi, DSLAM)
□ Sistemi prenosa (npr. SDH, WDM)
□ Interkonekcija
□ Međunarodna mreža
□ Sistem napajanja (npr. transformatori, mreža napajanja)
□ Rezervno napajanje (npr. dizel generatori, baterije)
□ Sistemi hlađenja
□ Ulični kabineti
□ Centar za razmjenu poruka
□ Adresni serveri (DHCP, DNS)
□ Backbone mreža
□ Lokalna mreža (npr. optička, bakarna)
□ Drugo _____________________________
Rješavanje sigurnosnog
incidenta i opis preduzetih
mjera (opis aktivnosti koje
su preduzete nakon
utvrđivanja incidenta za
rješavanje incidenta)
Mjere preduzete nakon
otklanjanja sigurnosnog
incidenta (opis preduzetih
aktivnosti od
strane operatora za
smanjivanje vjerovatnoće
ponavljanja incidenta ili
uticaja incidenta)
Dugoročne mjere
Ostale važne informacije
Ime i kontakt podaci lica
koje je zaduženo za
davanje informacija o
incidentu (tel., e-mail)
Datum dostave izvještaja
Obrazloženje
Pravni osnov za izradu akta
Agencija za elektronske komunikacije i poštansku djelatnost je pripremila nacrt Pravilnika o
načinu i rokovima za sprovođenje mjera zaštite sigurnosti i integriteta elektronskih
komunikacionih mreža i usluga u skladu sa svojim nadležnostima propisanim članom 169
Zakona o elektronskim komunikacijama (“Sl. list CG” br. 40/13 i 56/13).
Usaglašenost sa propisima EU
Odredbe ovog nacrta pravilnika u osnovi predstavljaju implementaciju odredbi člana 13a
Okvirne direktive (Directive 2002/21/EC), odnosno Direktive 2009/140/EC kojom je
izmijenjena okvirna direktiva.
S obzirom da nacrt Pravilnika o načinu i rokovima za sprovođenje mjera zaštite sigurnosti i
integriteta elektronskih komunikacionih mreža i usluga u većem dijelu predstavlja tehnički
propis, njegov sadržaj je usaglašen sa odredbama crnogorskih i međunarodnih
(MEST/ISO/IEC i ISO/IEC) standarda kao i sa propisima koje je usvojila Evropska agencija
za bezbednost mreža i informacionih sistema (ENISA).
Razlozi za donošenje Pravilnika
Elektronske komunikacione mreže treba uvijek da budu sigurne, pouzdane i raspoložive
korisnicima, a povjerljivost podataka koji se prikupljaju, prenose i čuvaju ne smije biti
ugrožena. Nemogućnost da se ispune ovi zahtjevi umanjuje povjerenje korisnika i njihovu
spremnost da u punoj mjeri prihvate i koriste pogodnosti elektronskih komunikacionih
usluga. Zbog toga, kao realnost, treba prihvatiti činjenicu da je sigurnost elektronskih
komunikacija kritičan faktor društvenog i ekonomskog razvoja i da treba intenzivirati
aktivnosti na provjeri i povećanju sigurnosti elektronskih komunikacionih mreža.
S obzirom, da u Crnoj Gori ne postoji propis koji bi na adekvatan način tretirao
problematiku sigurnosti elektronskih komunikacionih mreža evidentna je potreba za
donošenjem pravilnika koji bi obradio ovu tematiku.
U skladu sa članom 169 Zakona o elektronskim komunikacijama, Agencija za elektronske
komunikacije i poštansku djelatnost je ovlašćena da propiše način i rokove za sprovođenje
mjera koje je operator dužan da preduzme u cilju sprečavanja i umanjivanja uticaja
sigurnosnih incidenata na korisnike usluga povezane elektronske komunikacione mreže, a
posebno radi obezbjeđivanja sigurnosti usluga i zaštite korisnika od zlonamjernih aktivnosti,
elektronskih sabotaža, prevara trećih lica i zloupotreba bilo koje vrste.
Obrazloženje predloženih rješenja
Članovi u nacrtu Pravilnika o načinu i rokovima za sprovođenje mjera zaštite sigurnosti i
integriteta elektronskih komunikacionih mreža i usluga definišu sljedeće:
U članu 1 je utvrđen sadržaj Pravilnika;
U članu 2 se definišu značenja izraza koji se koriste u tekstu Pravilnika;
U članu 3 su navedene oblasti i mjere za zaštitu sigurnosti i integriteta mreža i
usluga, kao i obaveza određenih operatora da izgrade Disaster Recovery Site;
U članu 4 se propisuje način praćenja i sprovođenja mjera za zaštitu sigurnosti i
integriteta mreža i usluga;
U članu 5 se propisuje obaveza obavještavanja o sigurnosnim incidentima;
U članu 6 su definisane prelazne i završne odredbe;
U članu 7 se definiše datum stupanja na snagu ovog Pravilnika;
U Prilogu 1 je naveden spisak sigurnosnih mjera;
U Prilogu 2 je data lista međunarodnih standarda koje operatori treba da primijene u
skladu sa odredbama nacrta pravilnika;
U Prilogu 3 su dati kriterijumi za obavještavanje o sigurnosnom incidentu;
U Prilogu 4 je propisana forma obavještenja o sigurnosnom incidentu;
U Prilogu 5 je propisana forma izvještaja o sigurnosnom incidentu sa podacima koji
se dostavljaju.
Korišćeni propisi i dokumenta
Prilikom pripreme nacrta ovog pravilnika utvrdili smo da je samo nekoliko regulatornih
tijela u sektoru elektronskih komunikacija donijelo ovakve propise tako da je korišćenje
uporednih iskustava prilikom izrade ovog pravilnika bilo ograničeno.
Za pripremu teksta Pravilnika o načinu i rokovima za sprovođenje mjera zaštite sigurnosti i
integriteta elektronskih komunikacionih mreža i usluga Agencija je koristila sljedeće propise
i dokumente:
Zakon o elektronskim komunikacijama („Sl. list CG", br. 40/13, 56/13);
ENISA: Technical Guideline on Security measures for Article 4 and Article 13a;
ENISA: Technical Guideline on Incident Reporting;
ENISA: Guideline on Threats and Assets;
MEST ISO/IEC 27001, MEST ISO/IEC 27002, MEST ISO/IEC 27005, MEST ISO/IEC
27011, ISO/IEC 22301.
Recommended