Jako ředitel Správy základních registrů (SZR) Michal Pešek de facto zajišťuje provoz základních registrů a zodpovídá za jeho bezpečnost. Přesto, nebo možná právě proto, že správnímu úřadu šéfuje teprve krátce, řídí přípravu s nasazením krizového manažera prakticky dnem i nocí.

Co musejí na radnicích udělat, aby mohli správně komunikovat se základními registry?

Každý orgán veřejné moci musí být zaregistrován pro výkon agendy. Konkrétní identifikační kód agendy je nezbytný k přístupu k vnějšímu rozhraní informačního systému základních registrů a je součástí ověřování oprávnění konkrétního agendového informačního systému (AIS). Každý úřad musí také přijmout opatření, která zabrání jakémukoliv neoprávněnému přístupu k referenčním údajům vedeným v základních registrech. Proto musí OVM vést a archivovat záznamy o přístupu všech úředníků ze svých AIS do systému základních registrů.

Jestli je to vše, tak úřady moc práce nečeká.

Nutné jsou ještě další kroky. Např. přistupovat k základním registrům je možné jen na základně systémového certifikátu, který pro svůj AIS získá úřad na základě žádosti zaslané SZR. Certifikát pro provoz systému základních registrů však udělíme až po registraci agendy. Součástí žádosti je uvedení ID agendy jako podmínka nutná pro získání certifikátu pro ostrý provoz.

Tuším, že ani toto není poslední nutný krok.

Vzhledem k tomu, že registry zavádí nový identifikátor fyzické osoby (AIFO), musí se informační systémy na ukládání těchto identifikátorů připravit. Úředníci totiž nebudou pracovat přímo se základními registry, ale u své agendy budou využívat data ze svého AIS, která musí správce AIS stále udržovat aktuální, a to minimálně jednou denně provedenou pravidelnou aktualizací pomocí notifikačního systému základních registrů.

Může se na to úřad nějak připravit dopředu?

Nejen že může, ale pro své vlastní dobro by i měl. Každý orgán veřejné moci může už nyní zahájit přípravu svých AIS na přístup k systému základních registrů. Má možnost otestovat si jejich funkčnost ve dvou prostředích: v editačním prostředí pro testování editačních služeb a v publikační pro testování služeb sloužících ke čtení údajů ze základních registrů. Prostředí jsou dostupná nejen prostřednictvím CMS/KIVS, ale i řízeným internetem. Součástí dokumentace je publikování katalogu eGON služeb aktuálně ve verzi 7.0, který obsahuje služby fixované na vnějším rozhraní informačního systému základních registrů. Dalšími souvisejícími dokumenty s implementovanými službami na vnějším rozhraní systému základních registrů jsou i popisy datových typů (XSD a WSDL). Všechny potřebné informace k testování jsou zveřejněny na webových stránkách www.szrcr.cz.

Teď trochu z jiného soudku. Jak uklidníte občany, kteří se v době kyberhrozeb obávají, zda jejich data např. nemůže někdo napadnout a pozměnit je?

Začal bych zkratkou a číslem, které sice laikovi moc neřekne, nicméně v oblasti bezpečnosti je výmluvné více než dost, a sice ISO/IEC 27000-1. Jde o vrcholný certifikát informační bezpečnosti, který mají provozovatelé jednotlivých datacenter. Některé registry požadují dokonce ještě vyšší certifikaci a budou fyzicky oddělené od ostatních systémů v datacentru. Centra jsou z důvodů bezpečnosti již z globální architektury minimálně dvě, takže pokud by jedno datové centrum zasáhly povodně, bude ještě fungovat další. Samozřejmostí je nicméně fakt, že datacentra jsou mimo záplavové zóny. Pokud by nastala válka a začala hořet obě datacentra, údaje jsou zálohovány a archivovány tak, aby vydržely několik hodin intenzivního požáru.

Co kdyby nenastala válka ani povodně, ale někdo se prostě pokusil na dálku do systému nabourat a nelegálně získat osobní údaje obyvatel?

Pokud by něco takového nastalo, bude tu technické speciální pracoviště SZR. Jeho zaměstnanci nebudou mít přístup k žádným údajům, ale budou dohlížet na technickou část projektu. Bezpečnostní politiku máme nastavenou ve stylu akce a reakce, bezprostředně uvidíme, co se z technického i bezpečnostního pohledu děje, zda se např. někdo nepokouší do systému nabourat. To vše je propracováno opravdu podrobně v souladu s tím, o jak velký systém se jedná. V případě extrémní zátěže se systém dokáže vlastním způsobem vykrývat.

A když se někdo rozhodne, že do takového centra prostě napochoduje a napadne ho zevnitř?

I to bude samozřejmě dostatečně zabezpečené a nejde jen o kartové vstupy pro osoby s oprávněním vstupu. Víc ale samozřejmě nelze prozrazovat. Každopádně bezpečnost v žádném ohledu nepodceňujeme.

Právě probíhá zahájení pilotního testovacího provozu na Praze 13. Proč a co má být výsledkem pilotu?

Piloty jsou důležité proto, abychom získali dostatečně dopředu informace o případných možných problémech a mohli je co nejvíce minimalizovat. Pilot je tu od toho, aby nám odhalil, co vše ještě musíme vylepšit, protože je lepší odhalit nedostatky předem než je hasit v ostrém provozu. Závěry z testů také poslouží jako část obsahu oné „kuchařky“, která úředníkům nabídne odpovědi jak na technické úskalí přípravy, tak i konkrétní příklady, se kterými se mohou v praxi setkat. Zpětné reakce, které díky pilotu dostaneme, ocení nejen helpdesk SZR při poskytování podpory uživatelů, ale také všechny úřady.

Co ještě SZR úředníkům nabízí?

Máme webové stránky, pracujeme nyní na novém, daleko přehlednějším webu (www.szrcr.cz), kde bude více informací, které starostové a úředníci potřebují. Pro podporu připojování AIS máme helpdesk, call centrum, na webu běží diskuzní technické fórum, zveřejňují se nejčastější dotazy v sekci FAQ. Nejpozději do 1. července 2012 pak spustíme i service desk. Organizujeme pravidelné i občasné semináře pro různé cílové skupiny, např. všechny typy úředníků.

Jiří Korbel

+ RASTR

Co je SZR

- je základní vstupní branou do systému základních registrů

- má být správcem informačního systému základních registrů

- zajišťuje provoz tohoto systému a zodpovídá za jeho bezpečnost

- má na starosti bezpečnostní monitoring, může zahájit i správní řízení

- vede záznamy o všech událostech, které s provozem ISZR souvisí

- nabízí podporu pro vývojáře, call centrum, help desk a service desk