Publication: Magyar Közlöny
Issue: MK-2009-145 (Year: 2009, Number: 145)
Era: 2004-2010
Section: 1. melléklet a 223/2009. (X. 14.) Korm. rendelethez
Paragraph Index: 503

8. Hozzáférés-ellenõrzés 8.1. A hozzáférés-ellenõrzéshez fûzõdõ mûködési követelmény 8.1.1. Hozzáférés-ellenõrzési szabályzat Cél: A dokumentumokhoz, információkhoz, adatokhoz történõ hozzáférés ellenõrzése. Feladat: Hozzáférési-ellenõrzési szabályzat kialakítása, bevezetése, betartatása; a szabályzat periodikus felülvizsgálata és módosítása elengedhetetlen. Minden felhasználó csak azokhoz az erõforrásokhoz/információkhoz férhessen hozzá, amelyek a munkájához mindenképp szükségesek. Eredmény: Dokumentált információ-hozzáférési szabályozás révén csökken az információk kiszivárgásának és az illetéktelen hozzáférések kockázata. Felelõs: Informatikai biztonsági felügyelõ/felelõs 8.2. Felhasználói hozzáférés irányítása 8.2.1. Felhasználók regisztrálása Cél: Az erõforrásokhoz és információkhoz való hozzáférési jogok megadásának és megvonásának szabályozása. Feladat: Ki kell dolgozni, be kell vezetni és szigorúan be kell tartatni a felhasználóknak való jogosultságok kiadásának és visszavételének rendszerét; lehetõleg az egyes felhasználók igénybevételi, csatlakozási szerzõdéséhez – ahol ilyen van – kötve. A felhasználók hozzáférési jogait rendszeresen át kell tekinteni, hogy minden felhasználó csakis azokhoz az információkhoz férhessen hozzá, amelyek munkájához aktuálisan szükségesek. Eredmény: A pontosan szabályozott hozzáférési jogok révén csökken az információk kiszivárgásának, illetéktelen hozzáférésének kockázata. Felelõs: Informatikai biztonsági felügyelõ/felelõs 8.2.2. Speciális jogosultságok kezelése Cél: A speciális jogosultságok megszerzésének és alkalmazásának korlátozása. Feladat: Az általános összeférhetetlenségi szabályoktól való speciális eltérés kockázati tényezõ, ezért az ilyen jogosultságok kiadását mindenképp kerülni kell. Amennyiben valamilyen elkerülhetetlen ok miatt mégis létre kell hozni ilyent, akkor azt csak dokumentáltan, s csak a feltétlenül szükséges idõtartamra szabad adni. Eredmény: Csökken annak a kockázata, hogy a speciális jogosultságok nem megfelelõ menedzselése miatt a rendszer mûködésében hibák keletkeznek; vagy illetéktelen helyre kerülnek védendõ adatok. Felelõs: Informatikai biztonsági felügyelõ/felelõs 8.2.3. Felhasználói jelszavak kezelése, gondozása Cél: A jelszavak kezelésének biztonságos megvalósítása. Feladat: A jelszavak, azonosítási eszközök felhasználói kezelését szabályozni kell; figyelve arra, hogy a felhasználók titokban tartsák és megfelelõ idõközönként változtassák jelszavaikat; valamint biztosítani kell, hogy a jelszavak kiosztásakor, illetve használatakor csakis a tulajdonos szerezzen tudomást a jelszóról. Eredmény: Felhasználói jelszókezelés szabályozása. Felelõs: Informatikai biztonsági felügyelõ/felelõs 8.3. Felhasználói felelõsségek 8.3.1. Jelszóhasználat Cél: Megfelelõ erõsségû jelszavak, azonosítási módszerek használata. Feladat: A felhasználók számára olyan használati rendet kell kialakítani, amely biztosítja megfelelõ erõsségû jelszavak, illetve azonosító eszközök használatát és ezek megfelelõ gyakoriságú cseréjét, pótlását. Eredmény: Felhasználói jelszókezelés szabályozása. Felelõs: Informatikai biztonsági felügyelõ/felelõs 8.3.2. Õrizetlenül hagyott felhasználói berendezések kezelése Cél: Az õrizetlenül hagyott berendezéseken való jogosulatlan hozzáférések megelõzése. Feladat: A külsõ felhasználókat a kapcsolati alrendszerek megfelelõ kialakításával, a belsõ felhasználókat (alkalmazottakat) szabályzatokkal kell kötelezni arra, ha õrizetlenül hagyják a berendezéseiket, akkor (akár logikailag, akár fizikailag) zárják le azokat. A belsõ felhasználókat (alkalmazottakat) kötelezni kell arra, hogy csak az aktuális munkához szükséges dokumentumokat tartsák az asztalon/képernyõn, és ne hagyják ezeket a dokumentumokat, adatokat felügyelet nélküli hozzáférhetõ helyen. Eredmény: Felhasználói informatikai biztonsági követelmények. Felelõs: Informatikai biztonsági felügyelõ/felelõs 8.4. Hálózati szintû hozzáférés-ellenõrzés 8.4.1. Hálózati szolgáltatások használatára vonatkozó szabályzat Cél: A hálózatra telepített szolgáltatások védelme. Feladat: A hálózati szolgáltatások használatáról szabályzatot kell készíteni, s azt be kell tartatni. A szabályzatnak tartalmazni kell, hogy milyen felhasználói kör milyen hálózati területhez férhet hozzá. Eredmény: A hálózati szolgáltatások használatára vonatkozó szabályzat. Felelõs: Informatikai biztonsági felügyelõ/felelõs 8.4.2. Felhasználó azonosítása, jogosultságkezelése külsõ hozzáférés esetén Cél: A távoli felhasználók megbízható azonosítása. Feladat: A külsõ összeköttetéseket csak a feltétlenül munkaidõn kívül is elérni szükséges rendszerekhez szabad engedélyezni, s kriptográfiai védelmi módszereket kell alkalmazni. Eredmény: A hálózati szolgáltatások használatára vonatkozó szabályzat. Felelõs: Informatikai biztonsági felügyelõ/felelõs 8.4.3. Távdiagnosztikai és konfigurációs portok védelme Cél: A távdiagnosztikai és a konfigurációs portok védelmének biztosítása. Feladat: A távdiagnosztikai és a konfigurációs portokhoz való fizikai és logikai hozzáférést ellenõrizni, szabályozni kell. A hozzáféréshez a rendszerben alkalmazott legszigorúbb azonosítási eljárásokat és naplózási rendet kell használni. Eredmény: A távdiagnosztikai és a konfigurációs portok használatának szabályzata. Felelõs: Informatikai biztonsági felügyelõ/felelõs 8.5. Operációs rendszer szintû hozzáférés-ellenõrzés, 8.5.1. Biztonságos bejelentkezési eljárások Cél: Szabályzat az operációs rendszerek hozzáférési eljárásainak beállítására és használatára. Feladat: Az operációs rendszerekbe való bejelentkezési eljárásokat – a jogosulatlan hozzáférés, a szándékos károkozás elkerülése érdekében – szabályozni kell. Fontos a különbözõ szerepköröknek megfelelõ hozzáférési jogosultság meghatározása és az ehhez tartozó jogok beállításának szabályozása (igénylés, engedélyezés, beállítás, visszavonás). Eredmény: A biztonsági szempontoknak megfelelõ hozzáférés az operációs rendszer funkciókhoz. Felelõs: Informatikai biztonsági felügyelõ/felelõs 8.5.2. Felhasználó azonosítása és jogosultságkezelése Cél: Az operációs rendszer szintû felhasználók azonosítása és jogosultságkezelése. Feladat: A felhasználók egyedi azonosítására, jogosultságainak kiosztására megbízható módszert kell választani, annak használatát szabályzatban kell rögzíteni, használatát szigorúan meg kell követelni. A szabályzatnak ki kell terjednie az azonosítás és jogosultságkezelés teljes életciklusára (igénylés, engedélyezés, beállítás, visszavonás). Meg kell határozni a biztonságos jelszóra, azonosító eszközre vonatkozó követelményeket, szabályozni kell a jelszavak létrehozására, módosítására, tárolására, használatára, visszavonására vonatkozó eljárásokat. A felhasználók a jelszó- és azonosító eszköz használattal kapcsolatos feladatait és kötelezettségeit szintén szabályzatba kell foglalni, és rendszeresen ellenõrizni kell annak betartását. Eredmény: Egyértelmûen szabályozott felhasználói hozzáférési és hitelesítési rendszer. Felelõs: Informatikai biztonsági felügyelõ/felelõs 8.5.3. Rendszer-segédprogramok használata Cél: Átlátható, ellenõrzött, dokumentált, a biztonságot nem veszélyeztetõ rendszer-segédprogram használat megvalósítása. Feladat: A rendszer-segédprogramok használata különös lehetõségeket teremt nehezen ellenõrizhetõ manipulációkra, ezért ezek használatát különös figyelemmel kell szabályozni és a szabályzatban foglaltakat ellenõrizni. A fejlesztõ eszközökhöz, az adatbázis közvetlen hozzáféréseket lehetõvé tevõ segédprogramokhoz való hozzáférés csak indokolt esetben engedélyezhetõ és a tevékenység végén az engedélyt vissza kell vonni, és lehetõleg ki kell zárni az ellenõrizhetetlen származású programok használatát. Eredmény: A rendszer-segédprogramok ellenõrzött, biztonságos használata. Felelõs: Informatikai biztonsági felügyelõ/felelõs 8.5.4. Az összeköttetés/kapcsolat idejének korlátozása Cél: Annak megakadályozása, hogy a szükséges idõn túl aktív maradjon az összeköttetés/kapcsolat. Feladat: Szabályozni kell, hogy mekkora az inaktív vagy teljes idõtartam, amely után az adatkapcsolatot meg kell szüntetni. Ezt az idõintervallumot figyelembe kell venni a rendszerek paraméterezésénél, illetve alkalmazások fejlesztésénél. Az idõtartam betartandó attól függetlenül, hogy humán beavatkozásról vagy alkalmazás automatikus aktivitásról van szó. Eredmény: Bizonyos inaktív vagy teljes idõtartam után az összeköttetés megszakításra (ismételt felépítésre) kerül. Felelõs: Informatikai biztonsági felügyelõ/felelõs 8.6. Alkalmazás és adat-szintû hozzáférés-ellenõrzés 8.6.1. Adathozzáférés korlátozása Cél: A konkrét alkalmazás egyes funkciói elérésének, használatának korlátozása. Feladat: Alkalmazás funkciónként, illetve egyes adatkörökre (adatminõsítés, biztonsági szint stb. szerint) vonatkozó hozzáférés szabályozása, a jogosulatlanok kizárása. Fontos az egyes manipulációk, jogosulatlan kísérletek naplózása, a napló állomány rendszeres értékelése. A funkció, illetve adatkörre vonatkozó korlátozások lehetõségét az alkalmazás fejlesztésének idõszakában kell megtervezni és az alkalmazást ennek megfelelõen implementálni, ez utólag sokszor nehezen megvalósítható. Eredmény: Finoman hangolható, jól naplózott hozzáférési rendszer. Felelõs: Adatgazda és informatikai biztonsági felügyelõ/felelõs 8.6.2. Érzékeny adatokat kezelõ rendszerek elkülönítése Cél: Az érzékeny adatokat kezelõ rendszereknek erre a célra létrehozott, elkülönített számítógépes környezettel kell rendelkezniük. Feladat: Az egyes rendszereket kategóriákba kell sorolni az általuk kezelt adatok érzékenységének megfelelõen. Az érzékenynek minõsített adatokat kezelõ alkalmazás elkülönítésével hozható létre a szükséges biztonsági szint. A rendszerek besorolását rendszeresen felül kell vizsgálni és aktualizálni kell. Eredmény: Kategóriáknak megfelelõ biztonságú elkülönített informatikai környezet. Felelõs: Informatikai biztonsági felügyelõ/felelõs 8.7. Mobil számítógép használata és távmunka 8.7.1. Mobil számítógép használata és a vele történõ kommunikáció Cél: Mobil számítógép biztonságos használatának szabályozása. Feladat: A mobil számítógépek (notebook, palm, pda) biztonságos használatának szabályozása. A hozzáférés, a logikai és fizikai biztonság, az adatmentések megvalósítása, illetve a biztonságos környezeten kívüli munkavégzés szabályrendszere is meghatározandó. Eredmény: Biztonságos távoli és helyi mobil számítógép használat. Felelõs: Informatikai biztonsági felügyelõ/felelõs 8.7.2. Távmunka Cél: A biztonságos távmunka, távoli elérés megvalósítása. Feladat: Szabályozni kell, hogy a biztonságos távoli hozzáférés, illetve munkavégzés érdekében milyen tevékenységek és technikai feltételek szükségesek. Távoli hozzáférés és munkavégzés csak indokolt esetben engedélyezhetõ, és a hozzáférés, adatcsere biztonsága érdekében külön eljárásokat kell meghatározni és megvalósítani. Eredmény: A biztonsági elvárásokat kielégítõ távoli munkavégzés. Felelõs: Informatikai biztonsági felügyelõ/felelõs

Source: https://magyarkozlony.hu/hivatalos-lapok/ecb4451b97255cd5b4e0e34e49810f4693f6ffe2/dokumentumok/0580a50ff1a9e31b0ee77b7a32cd98b734861afe/letoltes