k vyhlášce č. 82/2018 Sb.
Zranitelnosti a hrozby
Upozornění: Tato příloha obsahuje jen vybrané kategorie zranitelností a hrozeb. Identifikace konkrétních zranitelností a hrozeb je odpovědností povinné osoby.
Zranitelnosti
Hrozby

1. nedostatečná údržba informačního a komunikačního systému,

1. porušení bezpečnostní politiky, provedení neoprávněných činností, zneužití oprávnění ze strany uživatelů a administrátorů,

2. zastaralost informačního a komunikačního systému,

2. poškození nebo selhání technického anebo programového vybavení,

3. nedostatečná ochrana vnějšího perimetru,

3. zneužití identity,

4. nedostatečné bezpečnostní povědomí uživatelů a administrátorů,

4. užívání programového vybavení v rozporu s licenčními podmínkami,

5. nedostatečná údržba informačního a komunikačního systému,

5. škodlivý kód (například viry, spyware, trojské koně),

6. nevhodné nastavení přístupových oprávnění,

6. narušení fyzické bezpečnosti,

7. nedostatečné postupy při identifikování a odhalení negativních bezpečnostních jevů, kybernetických bezpečnostních událostí a kybernetických bezpečnostních incidentů,

7. přerušení poskytování služeb elektronických komunikací nebo dodávek elektrické energie,

8. nedostatečné monitorování činnosti uživatelů a administrátorů a neschopnost odhalit jejich nevhodné nebo závadné způsoby chování,

8. zneužití nebo neoprávněná modifikace údajů,

9. nedostatečné stanovení bezpečnostních pravidel, nepřesné nebo nejednoznačné vymezení práv a povinností uživatelů, administrátorů a bezpečnostních rolí,

9. ztráta, odcizení nebo poškození aktiva,

10. nedostatečná ochrana aktiv,

10. nedodržení smluvního závazku ze strany dodavatele,

11. nevhodná bezpečnostní architektura,

11. pochybení ze strany zaměstnanců,

12. nedostatečná míra nezávislé kontroly,

12. zneužití vnitřních prostředků, sabotáž,

13. neschopnost včasného odhalení pochybení ze strany zaměstnanců.

13. dlouhodobé přerušení poskytování služeb elektronických komunikací, dodávky elektrické energie nebo jiných důležitých služeb,

14. nedostatek zaměstnanců s potřebnou odbornou úrovní,

15. cílený kybernetický útok pomocí sociálního inženýrství, použití špionážních technik,

16. zneužití vyměnitelných technických nosičů dat,

17. napadení elektronické komunikace (odposlech, modifikace).