Title: Informačná bezpečnosť
Author: Doc. RNDr. Daniel Olejár, CSc.
Last saved by: spano
Company: KI FMFI UK Bratislava

Príloha 6

Bezpečnosť a ochrana digitálneho prostredia

Nasadzovanie informačných a komunikačných technológií (ďalej IKT) vo všetkých oblastiach života spoločnosti už dávno nie je len otázkou módy či prestíže, ale je v podstate nevyhnutnou podmienkou existencie i rozvoja jednotlivých organizácií. S tým nutne súvisí prirodzená snaha o čo najefektívnejšie využívanie informačných a komunikačných systémov (ďalej IKS). Čím je IKS pre organizáciu efektívnejší, tým je činnosť organizácie, jej schopnosť plniť svoje poslanie, závislejšia na správnej a neprerušenej činnosti tohto systému.
Fungovanie súčasnej spoločnosti závisí od informácií spracovávaných pomocou moderných IKT do takej miery, že poškodenie alebo znefunkčnenie IKT môže mať pre spoločnosť vážne následky. IKS sa pritom vyznačujú takou vysokou vnútornou zložitosťou, že aj malá chyba v technickej či programovej realizácii, alebo odchýlka od predpokladanej či požadovanej aktivity používateľov môže mať vážne až nezvratné dôsledky. Naviac, sústreďovaním veľkého množstva údajov na relatívne malom a fyzicky spravidla nedostatočne chránenom priestore, ktoré býva prístupné prostredníctvom komunikačných sietí aj z geograficky vzdialených miest, vznikajú nové hrozby, ktoré súvisia s neoprávnenou manipuláciou s údajmi – od zneužívania dôverných údajov, cez neoprávnené zásahy (zmeny) do údajov, až po pokusy podsúvať do systému falošné údaje ako pravé a na tomto základe ovplyvňovať nadväzujúce činnosti. Zaistenie správnej a neprerušenej činnosti IKS, ako aj ochrany spracovávaných údajov je z týchto dôvodov nutnou podmienkou pre existenciu a rozvoj informačnej spoločnosti.
Závislosť spoločnosti od správnej a neprerušenej činnosti zložitých IKS je v súčasnosti už aj u nás dosť vysoká a s postupom času sa bude ešte viac prehlbovať. Môžeme preto očakávať, že budúca informačná spoločnosť sa bude vyznačovať vysokou citlivosťou na javy a udalosti, ktoré vo svojich dôsledkoch nepriaznivo ovplyvnia schopnosť IKS poskytovať svoje služby v požadovanej kvalite. Stratégia informatizácie Slovenska musí preto identifikovať aj základné problémy informačnej bezpečnosti a naznačiť spôsob ich riešenia.
1	Strategický cieľ
Strategickým cieľom v oblasti bezpečnosti je zabezpečiť ochranu a dôveryhodnosť digitálneho prostredia na Slovensku. Cieľom tohto dokumentu je návrh postupu smerujúceho k zaisteniu bezproblémového fungovania IKS na Slovensku. 
Na naplnenie daného strategického cieľa bude potrebné
•	dosiahnuť a udržať náležitú úroveň bezpečnosti IKS používaných vo verejnom i súkromnom sektore na Slovensku,
•	dosiahnuť v spoločnosti vnímanie informačnej bezpečnosti a bezpečnostných opatrení ako nevyhnutnej integrálnej súčasti budovaných i prevádzkovaných IKS,
•	vytvoriť podmienky pre ďalší rozvoj disciplíny informačnej bezpečnosti na Slovensku tak, aby v teoretickej i praktickej rovine dosiahla úroveň porovnateľnú s krajinami EÚ.
Vzhľadom na globálny charakter IKT a v súlade so strategickým cieľom v oblasti (informačnej) bezpečnosti je potrebné chrániť všetky IKS na Slovensku. Ochrana IKS musí byť adekvátna a efektívna (musí pokryť infraštruktúru IKS, samotné IKS, siete, IT aplikácie aj (informačný obsah - údaje). To znamená, že musí vychádzať z kvalifikovanej analýzy hrozieb voči jednotlivým systémom a na elimináciu týchto hrozieb používať primerané prostriedky. 
Na to bude potrebné vytvoriť podmienky pre:
•	ochranu IKS a informácií v nich spracovávaných v priebehu celého ich životného cyklu – prevencia,
•	rýchlu a efektívnu odpoveď na bezpečnostné incidenty a obnovu narušených systémov – obnova.
Keďže IKS na Slovensku, ktoré majú byť predmetom ochrany, sú postavené na rôznych technológiách, fungujú v rôznych prostrediach, používajú sa na rozličné účely a majú rôznych vlastníkov alebo správcov, aj ich ochrana bude musieť tieto odlišnosti rešpektovať. 
Štát bude prostredníctvom svojich orgánov zaisťovať ochranu vlastných IKS a IKS, ktoré sú pre fungovanie štátu nevyhnutné. Štát má však záujem aj na spoľahlivom fungovaní neštátnych IKS (hoci zodpovednosť za IKS má v prvom rade jeho vlastník, resp. správca) a bude na ich ochranu vytvárať podmienky. 
2	Aktuálny stav informačnej bezpečnosti v SR
Na Slovensku zatiaľ neexistuje subjekt, ktorý by sa systematicky zaoberal zberom, vyhodnocovaním a zverejňovaním informácií vypovedajúcich o rôznych aspektoch stavu oblasti ochrany a bezpečnosti (štatistiky počítačovej kriminality, prieskumy, prognózy a podobne). Prehľad stavu informačnej bezpečnosti v SR vychádza preto z poznatkov odbornej informatickej komunity a niekoľkých prieskumov zameraných na čiastkové otázky informačnej bezpečnosti.  
2.1     Vnímanie informačnej bezpečnosti
Pri budovaní a prevádzke informačno-komunikačných systémov sa v súčasnosti dôraz spravidla kladie na ich funkčnosť. Ak si charakter ich použitia, resp. legislatíva nevyžaduje riešenie bezpečnostných aspektov, informačná bezpečnosť sa chápe ako nadstavba nad funkčnosťou systému a nie ako jej súčasť. Príčinou je neznalosť problematiky ako aj to, že bezpečnostné opatrenia neraz znižujú funkčnosť systému a komplikujú jeho používanie. Spomínanými výnimkami sú systémy v ktorých sa pracuje s utajovanými skutočnosťami, resp. osobnými údajmi, kde potreba ochrany systémov vyplýva z príslušných platných zákonov.
Pri ochrane IKS je spravidla na vyššej úrovni ochrana hmotných komponentov systémov ako ich informačného obsahu (údajov). Ak sa údaje chránia, tak predovšetkým z hľadiska dostupnosti, menej už z hľadiska dôvernosti (výnimkou sú utajované skutočnosti), integrity (antivírová ochrana), súkromia a autentickosti.
V oblasti bezpečnosti IKS prevláda “pasívna” filozofia prístupu k tomuto problému. Dôraz sa kladie predovšetkým na stanovenie zodpovednosti pre prípad incidentu na úkor aktívnejšieho prístupu, charakterizovaného opatreniami zameranými na predchádzanie výskytu incidentov. Dôsledkom sú nedostatočné proaktívne opatrenia na zaistenie bezpečnosti, predovšetkým v oblasti vzdelávania všetkých zainteresovaných (pracovníci útvarov IT, manažment, bežní používatelia IKS).
Problém bezpečnosti IKS je obvykle chápaný ako „technický“ problém, na ktorého riešenie stačí len inštalácia dostatočného množstva technických a programových bezpečnostných prostriedkov. Zodpovednosť za zaistenie bezpečnosti systému sa často zužuje len na „informatikov“ (pracovníkov útvaru IT). Informatici však nemajú primeranú kvalifikáciu pre túto oblasť a ani zodpovedajúce kompetencie na presadenie prípadných opatrení. Na druhej strane, v dôsledku nedostatočných „informatických“ vedomostí u pracovníkov kontroly v organizáciách chýba účinná kontrola činnosti privilegovaných informatikov v IKS (napr. správcov systému), čím sa vytvárajú podmienky na zneužívanie privilegovaného postavenia pracovníkov útvarov IT.
Informačná bezpečnosť v štátnej sfére trpí podobnými problémami ako v súkromnom sektore. Naviac, štátne inštitúcie nemajú dosť kvalifikovaných ľudí a nedokážu zaplatiť odborníkov na informačnú bezpečnosť, resp. adekvátne bezpečnostné riešenia v potrebnom rozsahu.
Informačná bezpečnosť sa často chápe ako vnútorná záležitosť organizácie a navrhnuté riešenie bezpečnosti konkrétnych IKS spravidla nie je podrobené odbornej oponentúre. Naviac, absentujú aj pravidelné „kontroly“ aktuálneho stavu bezpečnostných opatrení – bezpečnostné audity. Dôsledkom sú neúplné riešenia bezpečnosti ako aj rozpory medzi aktuálnou úrovňou bezpečnosti a želanou, resp. proklamovanou úrovňou.
Prakticky úplne chýba evidencia bezpečnostných incidentov, prieskumy a príslušné štatistické údaje, ktoré by vypovedali o aktuálnom stave informačnej bezpečnosti ako aj umožňovali analyzovať situáciu a sledovať a predpovedať trendy v tejto oblasti – čo zvyšuje riziko subjektivizmu pri hodnotení stavu informačnej bezpečnosti a komplikuje presnejšie cielenie navrhovaných opatrení. 
2.2     Odborná úroveň, vzdelávanie a výskum
 Jedným z dôvodov nedostatočnej úrovne poznatkov z informačnej bezpečnosti u používateľov IKT je aj to, že systematické vzdelávanie v oblasti informačnej bezpečnosti je pomerne zriedkavé. Vo výučbe informatiky žiaci a študenti na základných a stredných školách dostanú nanajvýš základy prevádzkovej bezpečnosti IKS a získajú predstavu o vírusoch (aj to najčastejšie na základe vlastných skúseností). Problematika informačnej bezpečnosti sa prednáša na viacerých vysokých školách v rámci informatiky, počítačového práva, manažmentu. Prakticky úplne však absentuje výchova k základným bezpečnostným návykom pri používaní IKS pre ostatné študijné odbory vysokých škôl (ktorých absolventi sa zaraďujú prinajmenšom medzi používateľov IKS). Špecialisti na informačnú bezpečnosť sa pripravujú individuálne v rámci existujúceho magisterského alebo doktorandského štúdia (UK, STU) alebo pre interných pracovníkov na špecializovaných pracoviskách. 
Neexistuje ani pravidelné vzdelávanie v informačnej bezpečnosti pre ľudí z praxe. Firmy a odborné organizácie organizujú semináre a krátkodobé, užšie špecializované kurzy zväčša na komerčnom základe. 
Odborníkov na informačnú bezpečnosť je v SR pomerne málo. Pôsobia v štátnych organizáciách, súkromných firmách a v akademickej sfére. Popri svojich pracovných povinnostiach sa viacerí z nich podieľajú na riešení tak konkrétnych ako aj koncepčných problémov (zákon o elektronickom podpise, zákon o ochrane utajovaných skutočností, Politika informatizácie atď.). Táto dobrovoľná činnosť však nemôže uspokojivo riešiť v potrebnom rozsahu a kvalite akútne problémy informačnej bezpečnosti SR.  
Na Slovensku pôsobí viacero firiem, ktorých činnosť je priamo, alebo čiastočne zameraná na informačnú bezpečnosť. Ide predovšetkým o audítorské firmy (bezpečnostný audit informačných systémov), poradenské a konzultačné firmy, firmy vyvíjajúce, resp. distribuujúce antivírové programy, firmy predávajúce (aj) špeciálne hardvérové systémy a softvérové aplikácie (záložné zdroje, firewall-y, čipové karty). Existuje viacero firiem zaoberajúcich sa fyzickou bezpečnosťou a zabezpečením infraštruktúry. Potreba informačnej bezpečnosti vedie softvérové firmy k zakomponovaniu bezpečnostných prvkov do svojich produktov (autentifikácia, ochrana prístupu k údajom, ochrana dôvernosti údajov.) Elektronický obchod si vyžaduje zaistenie autentickosti, integrity a dôvernosti komunikácie. V súčasnosti už na Slovensku existujú aplikácie umožňujúce elektronické obchodovanie a vytvárajú sa ďalšie.
Banky využívajú IKT na poskytovanie svojich služieb klientom. Do rozličných foriem elektronického bankovníctva (home banking, internet banking a pod.) je na Slovensku zapojených asi 100 000 klientov. Bezpečnosť elektronického bankovníctva zaisťujú banky vo vlastnej réžii, jednotný prístup, resp. platný bezpečnostný štandard v tejto oblasti zatiaľ neexistuje. 
Výskumné aktivity v oblasti informačnej bezpečnosti sa realizujú na niektorých pracoviskách akademickej sféry (kryptológia, právne aspekty) a v niekoľkých špecializovaných firmách (počítačové vírusy, manažérske aspekty informačnej bezpečnosti). Existencia výskumu v uzavretej oblasti ani jeho výsledky nie sú známe (výnimkou je výskum, ktorý viedol k vynálezu šifrovacieho algoritmu.) Publikácie na medzinárodných konferenciách, resp. v zahraničných periodikách svedčia o individuálnych schopnostiach dosiahnuť medzinárodne akceptovanú úroveň výskumu v tejto oblasti, bez systematickej podpory je však orientácia výskumu určovaná skôr osobnými preferenciami jednotlivých osôb, naviac nie je zabezpečená kontinuita a doriešený prenos výsledkov výskumu do praxe.
2.3     Legislatíva a právne povedomie
 Legislatíva pre oblasť informačnej bezpečnosti je nedostatočná a nezodpovedá rýchlosti vývoja IKT. V niektorých prípadoch (napr. zákon o účtovníctve) je síce uložená povinnosť ochrany citlivých údajov (napr. účtovných záznamov), ale absencia akejkoľvek represie či vôbec kontroly dodržiavania príslušných ustanovení zákona má za následok faktickú neúčinnosť takýchto právnych predpisov. Situácia sa postupne zlepšuje, predovšetkým z hľadiska existencie niektorých zákonných noriem (zákon o ochrane osobných údajov, zákon o slobodnom prístupe k informáciám, zákon o ochrane utajovaných skutočností, zákon o elektronickom podpise, autorský zákon), ich praktické uplatňovanie je však ešte len v začiatkoch (o. i. aj pre nedostatok kvalifikovaných odborníkov pre oblasť informačnej bezpečnosti a počítačovej kriminality medzi pracovníkmi orgánov činných v trestnom konaní). 
Podstatná časť nášho legislatívneho priestoru vznikla v “predinformačnej ére”. Bolo by užitočné posúdiť, do akej miery sú použiteľné aj na problémy, ktoré prinášajú IKT (napr. trestné právo). Príprava “informačných” zákonov a riešenie niektorých bezpečnostných incidentov ukázali, že na Slovensku chýbajú právnici s informatickým vzdelaním, resp. znalí problematiky informačnej bezpečnosti. Informatizácia spoločnosti však spôsobí prehodnotenie mnohých zaužívaných postupov a používanie IKT si vyžiada riešenie informačno-bezpečnostných problémov aj v právnom systéme SR.
Dôsledky nedostatočného zabezpečenia IKS sa prejavujú rozličnými formami. Medzi najčastejšie bezpečnostné incidenty patrí poškodenie IKS (resp. ich programového vybavenia a údajov) pomocou malígneho softvéru (vírusy, červy, trójske kone, logické bomby a pod.). Malígny softvér sa šíri predovšetkým pomocou internetu a nelegálne kopírovanými programami. V prípade internetom šíreného malígneho softvéru sa často jedná o plošné ohrozenie k internetu pripojených počítačov (Melisa, I love you) epidemického charakteru. 
Nedostatočné právne povedomie vo vzťahu k autorským právam, dostupnosť kopírovacích zariadení a neúčinný postih, ale aj vysoké ceny originálnych produktov spôsobujú, že nelegálne kopírovanie a šírenie programov a údajov (najmä hudby) a tým porušovanie autorských práv je na Slovensku značne rozšírené.  
Objavujú sa prvé vážnejšie prípady počítačovej kriminality: krádeže údajov, prieniky do systémov, zneužívanie šifrovania na ochranu nelegálnych aktivít. Častejšie sa vyskytujú krádeže a poškodzovanie výpočtovej techniky. Bežné je hackerstvo.
2.4     Systémový prístup k informačnej bezpečnosti
 Slovensko zatiaľ na výzvu, ktorú predstavuje potreba ochrany digitálneho priestoru primerane nereagovalo. Riešia sa čiastkové problémy (ochrana utajovaných skutočností, ochrana osobných údajov, elektronický podpis), ale neexistuje jednotná štátna koncepcia informačnej bezpečnosti. Chýba najmä všeobecne rešpektovaná inštitúcia s dostatočným know-how, ktorá by sa systematicky venovala všetkým aspektom informačnej bezpečnosti, od strategických vízií, cez metodické usmerňovanie, priebežné sledovanie a vyhodnocovanie stavu informačnej bezpečnosti v štáte, až po spracovanie “best practices”.
Národný bezpečnostný úrad sa zaoberá ochranou utajovaných skutočností, po schválení zákona o elektronickom podpise sa jeho kompetencie rozšíria o elektronický podpis. Kompetencie Úradu vlády pre ochranu osobných údajov sú obmedzené na ochranu osobných údajov. Informácie o orgánoch pôsobiacich v rezorte vnútra, národnej obrany, resp. vo zvláštnych službách a ich činnosti pri zaisťovaní informačnej bezpečnosti nie sú k dispozícii. Rada vlády pre informatiku prerokovala správu o stave informačnej bezpečnosti v SR, ktorú pripravila jej pracovná skupina, ale konkrétne opatrenia na riešenie problémov, na ktoré správa upozornila, neprijala.
2.5     Medzinárodné aspekty informačnej bezpečnosti
 V informačne vyspelých krajinách sa problematike informačnej bezpečnosti dlhodobo venuje značná pozornosť, existujú inštitúcie (napr. NSA, BSI, CSE), ktoré sa systematicky zaoberajú informačnou bezpečnosťou. Okrem plnenia špeciálnych úloh sa tieto inštitúcie podieľajú na tvorbe noriem, metodík, kritérií posudzovania bezpečnosti, ktoré sa používajú v štátnej aj v komerčnej sfére. Informačnou bezpečnosťou sa zaoberajú aj národné a medzinárodné štandardizačné orgány a organizácie (ISO, NIST, ETSI). Na riešení informačno-bezpečnostných problémov sa v informačne vyspelých krajinách aktívne podieľa aj súkromný sektor a akademická sféra. 
Aj organizovaný zločin a medzinárodný terorizmus objavil možnosti IKT. Využíva ich nielen na podporu svojej činnosti, ale aj priamo ako nástroj na jej páchanie (prieniky do systémov, odpočúvanie, krádeže údajov, bankové podvody, šírenie detskej pornografie atď.). Globálny charakter IKT umožňuje páchať zločiny „na diaľku“ s relatívne malým rizikom odhalenia.  Preto na „informatizáciu“ zločinu reagovali vyspelé krajiny úpravami legislatívy, ako aj prípravou a využívaním špecialistov na odhaľovanie a potláčanie počítačovej kriminality. 
Informačnej bezpečnosti sa vo vyspelých krajinách venuje podstatne väčšia pozornosť ako na Slovensku a je viditeľná snaha o komplexné riešenie problematiky (americká vláda začiatkom roku 2001 prijala komplexný Národný plán ochrany informačných systémov, nemecké BSI vypracovalo E-Government Handbuch atď.). 
Slovensko pozitívne zareagovalo na viacero medzinárodných iniciatív s „informačno-bezpečnostným“ kontextom (Direktívy EÚ o ochrane osobných údajov, o elektronickom podpise, elektronickom obchode, eEurope), pripojilo sa k Wassernaarskej dohode atď. Vstup Slovenska do NATO a EÚ prinesie ďalšie úlohy (aj) pre informatizáciu spoločnosti a aj pre bezpečnosť IKS. Prepojenie slovenských IKS na medzinárodné si bude vyžadovať ich kompatibilitu aj z bezpečnostného hľadiska, najmä v tých prípadoch, keď sa bude pracovať s klasifikovanou informáciou (spolupráca v rámci NATO, elektronický obchod), resp. ak sa slovenskí producenti budú chcieť presadiť so svojimi IT produktmi na medzinárodnom trhu. Viaceré záväzky, ktoré SR prijala, resp. ambície, ktoré prejavila, bude potrebné podporiť aj konkrétnymi krokmi v zabezpečení informačnej bezpečnosti. Ide predovšetkým o EÚ, NATO a OECD. Pritom nebude stačiť prijať zákony (ako v prípade direktív EÚ o ochrane osobných údajov, elektronickom podpise a elektronickom obchode) ale aj vytvoriť podmienky na uplatňovanie týchto zákonov. Z programu eEurope+ vyplývajú úlohy na zistenie bezpečnosti počítačových sietí a zavádzanie čipových kariet (smart cards). Na direktívu EÚ o elektronickom podpise nadväzuje rozsiahla štandardizačná iniciatíva (EESSI). 
Nie je známe, či sa za Slovensko niekto oficiálne podieľa na činnosti medzinárodných štandardizačných orgánov (za oblasť informačnej bezpečnosti) a či a ako sú výsledky tejto činnosti prenášané na Slovensko. Takisto nie je známe, či existuje spolupráca medzi slovenskými orgánmi a ich zahraničnými partnermi v oblasti informačnej bezpečnosti a ak áno, kto v tejto spolupráci zastupuje Slovensko, aký je obsah spolupráce, či a kde je možné dostať sa k výsledkom spolupráce.
Slovenská republika je zastúpená v niektorých špecializovaných medzinárodných organizáciách pôsobiacich v oblasti informačnej bezpečnosti. Ide však o individuálne iniciatívy jednotlivých špecialistov, bez podpory a záujmu zo strany verejného a súkromného sektora. Nie sú známe prípady aktívnej účasti Slovenska na medzinárodných projektoch z oblasti informačnej bezpečnosti. Dôsledkom toho je nielen obmedzený a oneskorený prenos zahraničných poznatkov na Slovensko, ale aj nevyužitie možností vyplývajúcich z medzinárodných iniciatív a v neposlednom rade aj nedôstojné postavenie Slovenska v medzinárodnom kontexte v oblasti informačnej bezpečnosti.
3	Úlohy na dosiahnutie strategického cieľa
Na zaistenie dostatočnej úrovne ochrany a bezpečnosti slovenského digitálneho prostredia bude potrebné vyriešiť nasledujúce úlohy:

•	Analyzovať bezpečnostné problémy súvisiace so zavádzaním postupov využívajúcich IKT a prevádzkou IKS a na základe získaných poznatkov navrhovať opatrenia (legislatívne, štandardizačné, organizačné, materiálne, finančné a i.), ktoré je potrebné na riešenie týchto problémov prijať na úrovni štátu.
•	Vytvoriť systém vzdelávania (alebo využiť existujúci system) na osvojenie si základných bezpečnostných návykov pri používaní IKT ako aj základov tzv. počítačovej etiky u čo najširšej verejnosti.
Vzdelávanie v informačnej bezpečnosti pritom postaviť tak, aby zohľadňovalo rozdielne potreby ľudí prichádzajúcich do styku s IKT. Kategorizácia by mohla byť nasledovná: žiaci a študenti (používatelia, nešpecialisti v informatike), informatici (programátori, tvorcovia aplikácií, správcovia systémov), špecialisti v informačnej bezpečnosti, štátni zamestnanci (používatelia štátnych IKS), ostatná verejnosť.
V prípade mimoškolského vzdelávania je potrebné hľadať/vytvoriť účinné stimuly (napr. kvalifikačné požiadavky pre zamestnancov verejnej správy), vytvoriť program cyklického vzdelávania.
Ďalšie vzdelávanie v oblasti základných netechnických prvkov informačnej bezpečnosti prioritne orientovať na oblasť manažmentu a na orgány činné v trestnom konaní.

•	Systémovými opatreniami zabezpečiť kvalifikovaný prístup (adekvátne personálne zabezpečenie) k riešeniu bezpečnosti IKS (v priebehu celého ich životného cyklu) vrátane kvalifikovaného priebežného posudzovania dosiahnutej úrovne bezpečnosti (bezpečnostné audity IKS).
Stanoviť a v praxi uplatňovať základné požiadavky na kvalifikáciu riešiteľov a audítorov bezpečnosti IKS používaných vo verejnom sektore a navrhnúť obdobné odporúčania pre súkromný sektor (systém certifikátov pre špecialistov informačnej bezpečnosti).
Do kvalifikačných požiadaviek na pracovníkov vo verejnom sektore zaradiť aj základné bezpečnostné návyky pri používaní IKT a základy počítačovej etiky.
•	Zaistiť účinnú prevenciu a riešenie bezpečnostných incidentov.
Vytvoriť podmienky pre zriadenie a prevádzkovanie centra včasného varovania pred novými hrozbami pre IK systémy a pre poskytovanie základných informácií o spôsoboch riešenia bezpečnostných incidentov a o odstránení objavených bezpečnostných slabín v používanom programovom vybavení.
Vytvoriť jednotnú metodiku informačnej bezpečnosti záväznú pre verejnú správu ako otvorený a priebežne aktualizovaný materiál.
Zabezpečiť aktuálne základné metodické materiály pre všetky stupne rozvoja bezpečnosti IKS.
Definovať minimálne prostriedky ochrany v IKS verejnej správy (minimálny bezpečnostný štandard), spôsob kontroly a postihy za nedodržiavanie minimálneho bezpečnostného štandardu.
Priebežne vyhodnocovať stav v oblasti informačnej bezpečnosti na Slovensku a navrhovať (a prijímať) opatrenia na zlepšenie zisteného stavu.
•	Prioritný význam informačnej bezpečnosti premietnuť do konkrétnych opatrení (projektov) na podporu vedy, výskumu a vzdelávania v oblasti informatiky a informatizácie spoločnosti.
Koordinovať odbornú spoluprácu štátnej, akademickej a súkromnej sféry vrátane budovania spoločných informačných zdrojov v oblasti informačnej bezpečnosti.
Vzhľadom na rýchly vývoj poznania a zastarávanie poznatkov v oblasti informačnej bezpečnosti, vytvoriť systém permanentného vzdelávania odborníkov.
Nájsť účinné metódy na prenos získaného know-how do praxe.
•	Vytvárať podmienky pre efektívnejšie zapojenie Slovenskej republiky do medzinárodnej spolupráce v oblasti informačnej bezpečnosti.
Využívanie medzinárodných skúseností, od stanovenia priorít, hľadania partnerov, účasti na medzinárodných projektoch, zastúpenia Slovenska v medzinárodných odborných orgánoch až po prenos získaných poznatkov do praxe.

•	Vytvoriť inštitucionálne podmienky pre riešenie problémov informačnej bezpečnosti na Slovensku.
V prvej etape odporúčame, aby koordinátorom aktivít v oblasti informačnej bezpečnosti, (iniciovanie potrebných zmien v legislatíve a normách, koordinácia spolupráce so zahraničím atď.) bol vládny splnomocnenec pre informatizáciu spoločnosti. Hlavnou úlohou bude vypracovať štátnu koncepciu informačnej bezpečnosti.
Jedným z výsledkov štátnej koncepcie informačnej bezpečnosti by malo byť odporúčanie inštituciálneho zabezpečenia problematiky ochrany a bezpečnosti digitálneho prostredia (vrátane vymedzenia spolupráce NBÚ a ÚOOÚ).