Publication: Magyar Közlöny
Issue: MK-2007-52 (Year: 2007, Number: 52)
Era: 2004-2010
Section: 1. melléklet a 84/2007. (IV. 25.) Korm. rendelethez
Paragraph Index: 450

9. Információs rendszerek beszerzése, fejlesztése és működtetése 9.1 Információs rendszerek biztonsági követelményei 9.1.1 Biztonsági követelmények elemzése és meghatározása Cél: Annak biztosítása, hogy a biztonság az informatikai rendszereknek szerves részét képezze. Feladat: A fejlesztés vagy beszerzés kezdete előtt, az információs rendszerekre vonatkozó biztonsági kockázatokat elemezni kell, ez alapján meg kell határozni a vonatkozó biztonsági intézkedéseket. Eredmény: Az információs rendszerekre vonatkozó biztonsági rendszerterv. Felelős: Informatikai biztonsági felügyelő/felelős 2007/52. szám 9.2 Helyes adatfeldolgozás az alkalmazásokban 9.2.1 Bemenő adatok érvényesítése Cél: Az informatikai rendszerek helyes működéséhez szükséges bemenő adatok megfelelőségének biztosítása. Feladat: Az informatikai rendszerek bemenő adatainak ellenőrzése mind tartalmi, mind formai szempontból. Eredmény: Adatbeviteli ellenőrzési eljárások. Felelős: Adatgazda 9.2.2 Belső feldolgozás ellenőrzése Cél: A belső feldolgozás során mind a szándékos, mind a véletlen károkozás kockázatának minimálisra csökkentése. Feladat: Az alkalmazásokba érvényességi ellenőrzéseket kell beépíteni, hogy észlelni lehessen az információk feldolgozási hibákból vagy akár a szándékos cselekedetekből adódó bármilyen sérülést. Eredmény: A feldolgozás során bekövetkező hiba esélyének jelentős csökkentése. Felelős: Informatikai biztonsági felügyelő/felelős 9.2.3 Üzenetek hitelessége és sértetlensége Cél: Az alkalmazások közötti kommunikáció során a hitelesség és a sértetlenség biztosítása. Feladat: Meg kell határozni, hogy az alkalmazások közötti kommunikáció során milyen eszközökkel (például aszimmetrikus kulcsú digitális aláírás, szimmetrikus vagy aszimmetrikus titkosítás, időbélyegek alkalmazásával) lehet biztosítani a sértetlenséget és a hitelességet; illetve hogy ezen óvintézkedés mely üzenettípusok esetén szükséges. Az így meghatározott üzenettípusokra a hitelességet és sértetlenséget biztosító eszközök alkalmazását szabályozni kell. Eredmény: A kommunikáció hitelességének és a sértetlenségének biztosítása révén a megbízhatóság jelentős növelése. Felelős: Informatikai biztonsági felügyelő/felelős 9.2.4 Kimenő adatok ellenőrzése Cél: A kimenő adatok érvényessége, a tárolt információk későbbi feldolgozása helyes és a körülményeknek megfelelő legyen. Feladat: Annak biztosítása, hogy mind az automatikus, mind a manuális illesztő felületeken (interface-eken) a megfelelő időben, a megfelelő (szabályozott) struktúrában és adattartalommal jelenjen meg a kimenő információ. Eredmény: Az alkalmazások kimenetén szabványos, sértetlen, megbízható adatok jelentkeznek; javítva a szolgáltatás megbízhatóságát. Felelős: Adatgazda 2007/52. szám 9.3 Titkosítási intézkedések 9.3.1 Titkosítási eljárások használatára vonatkozó szabályzat Cél: A titkosítási eljárások használatának szabályozása. Feladat: Az adatok védelme érdekében ki kell alakítani, és alkalmazni kell a titkosítási eljárások használatára vonatkozó szabályzatot; valamint ezen szabályzat betartását ellenőrizni kell. A védelem szükséges szintjét a kockázat-analízisre kell alapozni. Eredmény: Megbízható titkosítási eljárások; a bizalmasság, a sértetlenség és a hitelesség megléte. Felelős: Informatikai biztonsági felügyelő/felelős 9.3.2 Kulcsmenedzsment Cél: A hatályos jogi szabályozásnak megfelelő, lehetőleg az Európai Unió gyakorlatának és ajánlásainak is eleget tevő kriptográfiai technikákon alapuló kulcsmenedzsment-rendszer kialakítása. Feladat: A magyar jogi szabályozásnak eleget tevő, lehetőleg a nemzetközi gyakorlatban is bevált kulcsmenedzsment-rendszerek értékelése; az alkalmazandó kulcsmenedzsment-rendszer kiválasztása, a megfelelő szabályzat kialakítása, bevezetése és betartatása szükséges. Eredmény: A titkosítási és hitelesítési, illetve visszafejtési eljárások során megbízható kulcsok kerülnek felhasználásra. Felelős: Informatikai biztonsági felügyelő/felelős 9.4 Rendszerfájlok biztonsága 9.4.1 Üzemelő szoftverek ellenőrzése Cél: Megbízható szoftverek használata. Feladat: Szabályzatba kell foglalni a szoftverek telepítésének és üzemeltetésének elvárt folyamatát; létre kell hozni a központi, illetve intézményi szoftverkatalógust, s csak az abban szereplő (előzetesen bevizsgált) szoftvereket szabad a számítógépekre telepíteni. Biztosítani kell, hogy a fejlesztők és karbantartók csak azokhoz a rendszerekhez férjenek hozzá, amelyekre munkájukhoz feltétlenül szükségük van. Eredmény: Megbízható szoftverek használata, az információ kiszivárgási veszélyének csökkentése. Felelős: Informatikai biztonsági felügyelő/felelős 9.4.2 Rendszer-vizsgálat adatainak védelme Cél: A rendszer vizsgálatához szükséges adatok teljes körű védelmének biztosítása. Feladat: A vizsgált adatok körét gondosan kell megválasztani, azokat a teljes életútjuk során folyamatosan védeni és ellenőrizni kell. A személyes adatokat tartalmazó üzemeltetési, tesztelési adatbázisok használatát el kell kerülni. Eredmény: A rendszer-felügyeleti adatok sérülési, illetéktelen helyre való kerülési kockázatának jelentős csökkenése. Felelős: Adatgazda és informatikai biztonsági felügyelő/felelős 2007/52. szám 9.4.3 Programok forráskódjához való hozzáférés ellenőrzése Cél: A programok forráskódjához való hozzáférés szabályozása. Feladat: A használt programok forráskódját biztonságos helyen kell tárolni, a hozzáférést szigorúan korlátozni és naplózni szükséges. Amennyiben a forráskód nem ellenőrizhető, az önmagában egy kockázati tényezőt jelent. Eredmény: A program-forráskódok kikerülésének; ily módon a rendszer potenciális sebezhetőségi pontjai illetéktelen helyre kerülésének kockázata jelentősen csökken, ugyanakkor az esetleges hibajavításhoz haladéktalanul rendelkezésre áll az éppen használt verzióban. Felelős: Informatikai biztonsági felügyelő/felelős 9.5 Biztonság a fejlesztési és támogató folyamatokban 9.5.1 Változás-kezelés szabályozási eljárásai Cél: A változtatások megvalósításának ellenőrzés alatt tartása. Feladat: A változtatások végrehajtására változás-kezelési eljárásokat kell bevezetni, kidolgozni és betartatni. Biztosítani kell, hogy a fejlesztők és karbantartók csak azokhoz a rendszerekhez férjenek hozzá, amelyekre munkájukhoz feltétlenül szükségük van. Eredmény: A változtatások felügyelet alatt tarthatók lesznek; így a rendszer részét képező összes szoftver kontrollálható. Ez a káros programok elleni védelem hatékonyságát is növeli. Felelős: Informatikai biztonsági felügyelő/felelős 9.5.2 Alkalmazások műszaki átvizsgálása az üzemelő rendszerek megváltoztatását követően Cél: A változtatás ne okozzon működési zavart a szervezetben és biztonságában. Feladat: A használatban levő rendszerek megváltozásakor meg kell vizsgálni, hogy (főleg a működés szempontjából kritikus) alkalmazások működésére az adott változtatás nincs-e káros hatással. Eredmény: Csökkent a káros hatás kockázata a használat alatt levő rendszerekre. Felelős: Informatikai biztonsági felügyelő/felelős 2007/52. szám 9.5.3 Szoftvercsomagok változásának korlátozása Cél: A szoftvercsomagok módosításának visszaszorítása a feltétlen szükséges esetekre. Feladat: Valamennyi változtatás szükségességét, indokoltságát ellenőrizni kell; minél alacsonyabb szinten kell tartani a szoftvercsomagok változtatását. Változtatás esetén az eredeti verziót meg kell őrizni, s a fejlesztést egy másolaton kell végezni. Az új verziót alapos tesztelésnek kell alávetni, éles bevezetése csak ez után lehetséges. Eredmény: A szoftvercsomagok egységessége miatt az esetleges sebezhetőségek javítása kisebb ráfordítást igényel, csökken a sebezhetőség kockázata. Felelős: Informatikai biztonsági felügyelő/felelős 9.5.4 Veszélyes (forrás)kódok kiszűrése Cél: Meg kell előzni az információk kiszivárgását. Feladat: Az információk kiszivárgásának elkerülése érdekében minden rendelkezésre álló forráskódot le kell vizsgálni/vizsgáltatni használat előtt. Csak tiszta forrásból szabad programokat beszerezni. Csak ezen vizsgálatok után lehet bármely programot a végleges rendszerbe engedni. Eredmény: Kisebb eséllyel kerülnek információk illetéktelen kezekbe. Felelős: Informatikai biztonsági felügyelő/felelős 9.5.5 Kiszervezett szoftverfejlesztés Cél: A használatba vétel előtt a szervezeten kívüli eredetű (készített, fejlesztett, javított) szoftvereket kiemelt figyelemmel kell ellenőrizni. Feladat: Kiemelt figyelemmel kell kísérni a külső szoftverfejlesztést; s a kapott programot alaposan felül kell vizsgálni/vizsgáltatni. Csak megbízható forrásból származó szoftvert szabad alkalmazni. Eredmény: Az alkalmazott szoftverek alapos vizsgálata révén alacsonyabb eséllyel lesz (trójai típusú) támadásnak kitéve a rendszer. Felelős: Informatikai biztonsági felügyelő/felelős 2007/52. szám 9.6 Műszaki sebezhetőség kezelése 9.6.1 A műszaki sebezhetőségek ellenőrzése Cél: A műszaki sebezhetőség minimális szinten tartása. Feladat: Fel kell mérni az alkalmazott rendszerek sebezhető pontjait, s az ezekből fakadó kockázatot meg kell szüntetni (illetve minimalizálni a kockázattal arányosan) megfelelő védelmi intézkedések meghozásával. Eredmény: A sebezhető pontok megszűnése. Felelős: Informatikai biztonsági felügyelő/felelős

Source: https://magyarkozlony.hu/hivatalos-lapok/33cb60da64569013887b64cc3e59f1d5cbdfb1a2/dokumentumok/169263699fa065547a050ed27d2aebf2886b6503/letoltes