Publication: Magyar Közlöny
Issue: MK-2009-145 (Year: 2009, Number: 145)
Era: 2004-2010
Section: 1. melléklet a 223/2009. (X. 14.) Korm. rendelethez
Paragraph Index: 502

7. A kommunikáció és az üzemeltetés irányítása 7.1. Üzemeltetési eljárások és felelõsségi körök 7.1.1. Dokumentált üzemeltetési eljárások Cél: Az üzemeltetési tevékenységek végrehajtásának és az ellenõrzés alapjának biztosítása. Feladat: Az üzemeltetési feladatok határidõre történõ, szabályozott végrehajtása érdekében üzemeltetési szabályzatot és üzemeltetési eljárásokat kell készíteni. Az üzemeltetési szabályzatokban az üzemeltetéssel kapcsolatos feladatokat és felelõsségeket kell meghatározni. Az üzemeltetési eljárásokban az üzemeltetési feladatok végrehajtási eljárásait, mûszaki leírásait kell meghatározni. Eredmény: Üzemeltetési szabályzat. Üzemeltetési eljárások. Felelõs: Üzemeltetési vezetõ 7.1.2. Változáskezelési eljárások Cél: Az informatikai rendszer konfigurációján csak elõzetesen engedélyezett változások történhessenek. Feladat: Ki kell dolgozni a változások kezelésének szabványos folyamatát az igényfelvetéstõl az átadás-átvételig. A változáskezelési eljárás tartalmazza legalább az alábbiakat: – Változási igények fogadása, kezelése, – Kockázat elemzése, priorizálás, – Változás dokumentálása és implementálása. Eredmény: Változáskezelési eljárás. Felelõs: Üzemeltetési vezetõ 7.1.3. Feladatkörök, kötelezettségek elhatárolása Cél: Kerüljenek szétválasztásra a biztonsági szempontból összeférhetetlen feladatkörök. Feladat: Meg kell határozni a biztonsági szempontból összeférhetetlen feladatokat, amelyek véletlen vagy szándékos károkozást tesznek lehetõvé, és ezek szétválasztását érvényesíteni kell a szervezeti felépítésben valamint a munkakörök kialakításakor. Összeférhetetlen feladatkörök (például): – fejlesztés és üzemeltetés, – üzemeltetés és biztonsági adminisztráció, – üzemeltetés és felhasználás. Eredmény: Összeférhetetlen feladatkörök azonosítva és szétválasztva. Felelõs: Informatikai biztonsági felügyelõ/felelõs 7.1.4. Fejlesztési, teszt és üzemeltetési berendezések különválasztása Cél: Az üzemeltetési környezethez való jogosulatlan hozzáférés, illetve jogosulatlan módosítás kockázatának csökkentése. Feladat: A fejlesztési, tesztkörnyezeteket és üzemi környezetet logikailag és lehetõség szerint fizikailag is szét kell választani egymástól. Eredmény: Elkülönített fejlesztési, teszt- és üzemeltetési környezetek. Felelõs: Informatikai vezetõ 7.2. Harmadik felek tevékenységének irányítása 7.2.1. Szolgáltatásnyújtás Cél: A külsõ szolgáltatótól igénybe vett szolgáltatások esetén is biztosítani kell a biztonsági követelmények teljesülését. Feladat: Meg kell határozni azokat a szerzõdéses elemeket és tevékenységeket, amelyeket érvényesíteni kell a harmadik felekkel kötött szolgáltatási szerzõdésekben. Ki kell dolgozni ezen követelmények teljesülésének ellenõrzési eljárásait. Eredmény: Biztonsági követelmények a szolgáltatási megállapodásokban. Ellenõrzési eljárások a biztonsági követelmények érvényesítésére. Felelõs: Informatikai biztonsági felügyelõ/felelõs 7.2.2. Harmadik felek szolgáltatásainak figyelemmel kísérése és átvizsgálása Cél: Ellenõrizni kell, hogy a külsõ féltõl igénybe vett szolgáltatások esetén teljesül-e az elvárt szolgáltatási szint. Feladat: Ki kell dolgozni a szolgáltatási szintek leírásának, érvényesítésének, a teljesítés dokumentálásának, ellenõrzésének és a nem megfelelõ teljesítés szankcionálásának eljárásait. Eredmény: Szolgáltatási szint menedzselését biztosító eljárások. Felelõs: Üzemeltetési vezetõ és informatikai biztonsági felügyelõ/felelõs 7.2.3. Harmadik felek szolgáltatásaival kapcsolatos változások kezelése Cél: Biztosítani kell, hogy a változásokat csak a megfelelõ jogosultságokkal lehessen kezdeményezni, és a végrehajtás ellenõrzött és dokumentált körülmények között történjen az igény felvetésétõl az átadás-átvételig. Feladat: Ki kell dolgozni a változáskezelési eljárásokat a külsõ fél által nyújtott szolgáltatásokra. A változáskezelési eljárásnak biztosítania kell a következõket: – a változások végrehajtása csak a megfelelõ jóváhagyás után történjen, – a végrehajtás során is érvényesüljenek a biztonsági követelmények, – az átvétel során ellenõrzésre kerüljön a specifikációban/változási kérelemben leírtak teljesülése. Eredmény: Változáskezelési eljárások külsõ szolgáltatásokra. Felelõs: Üzemeltetési vezetõ és informatikai biztonsági felügyelõ/felelõs 7.3. Rendszertervezés és elfogadás 7.3.1. Kapacitásmenedzsment Cél: A mindenkori erõforrás-igények hatékony kielégítése és a szûk keresztmetszetek kialakulásának elkerülése. Feladat: Ki kell dolgozni az erõforrás-kihasználtság figyelésének, elemzésének és a jövõbeli trendek elõrejelzésének folyamatait, és ennek eredményét figyelembe kell venni az erõforrás-beszerzések tervezésekor. Eredmény: Kapacitás-menedzsment tervek. Felelõs: Üzemeltetési vezetõ és informatikai biztonsági felügyelõ/felelõs 7.3.2. Rendszerek elfogadása, átvétele Cél: Biztosítani kell, hogy az átvett rendszerek tegyenek eleget az elvárt minõségi, mennyiségi, biztonsági és funkcionális követelményeknek. Feladat: A rendszerek átvételéhez olyan eljárásokat kell kidolgozni, amelyek biztosítják az elvárásoknak való megfelelés ellenõrzését. Az ellenõrzés módszerei a tesztelés (funkcionális/terheléses stb.), a forráskód-audit, szakértõi ellenõrzés stb. Eredmény: Átadás-átvételi eljárási rend. Felelõs: Üzemeltetési vezetõ 7.4. Védelem a rosszindulatú és mobil kódok ellen 7.4.1. Rosszindulatú kód elleni védelem Cél: Meg kell akadályozni, hogy a szervezet mûködésében zavart, adatvesztést vagy adatkiszivárgást okozzon bármilyen rosszindulatú kód (vírus, trójai stb.). Feladat: Olyan adminisztratív és technikai intézkedéseket kell alkalmazni, amelyek megakadályozzák a rosszindulatú kódokat tartalmazó programok bejutását, alkalmazását. Eredmény: Rosszindulatú kód elleni védelem. Felelõs: Informatikai biztonsági felügyelõ/felelõs 7.4.2. Mobil kód elleni intézkedések Cél: Meg kell akadályozni, hogy a szervezet mûködésében zavart, adatvesztést vagy adatkiszivárgást okozzon bármilyen rosszindulatú mobil kód. Feladat: Le kell tiltani minden olyan kód futtatását, amelyek nem szükségesek a felhasználók munkájához. Eredmény: Biztonságos böngészõ beállítások. Felelõs: Informatikai biztonsági felügyelõ/felelõs 7.5. Biztonsági mentés 7.5.1. Információk biztonsági mentése Cél: Az elviselhetetlen mértékû adatvesztés megakadályozása, és az elvárt idõn belüli visszaállítás biztosítása. Feladat: Olyan mentési rendet kell kialakítani, ami biztosítja az adatok visszaállíthatóságát a szervezet által meghatározott követelmények szerint (elvárt visszaállítás idõ, maximálisan elviselhetõ adatvesztés stb.). A mentések gyakoriságát, a mentés módját, a használt adathordozót és a tárolási helyet a fentiek figyelembevételével kell kiválasztani, és ki kell dolgozni azokat az eljárásokat, amelyek teljesítik a követelményeket. Az eljárások kidolgozása után az érintettek számára oktatás szükséges, és elengedhetetlen a teljes visszaállítási eljárás tesztelése is. Ki kell dolgozni a mentések ellenõrzésének (ellenõrzõ visszatöltés) rendjét is (több példányos mentés, külsõ helyszínen tárolás). A mentési, visszaállítási eljárást évente és releváns változások esetén felül kell vizsgálni, és naprakésszé kell tenni. Eredmény: Mentési és visszaállítási eljárások. Felelõs: Informatikai biztonsági felügyelõ/felelõs 7.6. Hálózatbiztonság kezelése 7.6.1. Hálózatok védelme Cél: A hálózatokon továbbított adatok biztonságának és a hálózat rendelkezésre állásának védelme. Feladat: A hálózatok biztonsági érdekében a következõ intézkedések megvalósítása javasolt: a hálózat szegmentációja, tûzfalas védelem (csomag-/alkalmazásszintû), vírusvédelmi eszközök, tartalomszûrés, titkosított adatvédelmi csatornák kialakítása. A hálózati rendelkezésre állás érdekében a hálózati forgalmat rendszeresen mérni és értékelni kell, és biztosítani, hogy a szükséges sávszélesség kellõ biztonsággal rendelkezésre álljon. Dokumentálni kell a hálózatokon alkalmazott védelmi intézkedéseket és azok üzemeltetési eljárásait. Eredmény: Hálózatbiztonsági intézkedések dokumentációja. Felelõs: Hálózatbiztonsági szabályzat. Informatikai biztonsági felügyelõ/felelõs 7.6.2. Hálózati szolgáltatások biztonsága Cél: Az elvárt minõségi, mennyiségi, funkcionális és biztonsági paraméterek megbízható nyújtásának biztosítása a hálózati szolgáltatók részérõl. Feladat: Dokumentálni kell a hálózati szolgáltatásokkal szemben támasztott biztonsági követelményeket és azok ellenõrzésének, valamint a nem megfelelõ teljesítés szankcionálásának eljárásait. Eredmény: Hálózati szolgáltatások biztonsági követelményei. Felelõs: Informatikai biztonsági felügyelõ/felelõs 7.7. Adathordozók kezelése 7.7.1. Adathordozók kezelése Cél: Biztosítani kell, hogy az adathordozók, illetve a rajtuk tárolt adatok a telephelyrõl kikerülve se sérülhessenek, módosulhassanak vagy kerülhessenek illetéktelen kezekbe. Feladat: Ki kell dolgozni valamennyi adathordozó kezelésének eljárásait, kiemelt figyelmet fordíva a telephelyen kívüli védelemre. A szabályzatnak ki kell terjednie a teljes élettartamra, a nyilvántartásra, a selejtezésre, a frissítésrekre, több példány készítésére. Kiemelt figyelmet kell fordítani az USB eszközökre, a memóriakártyákra. Eredmény: Adathordozók kezelési szabályzata. Felelõs: Informatikai biztonsági felügyelõ/felelõs 7.7.2. Adathordozók selejtezése Cél: Biztosítani kell, hogy a selejtezett adathordozókon tárolt információk se kerülhessenek illetéktelen kezekbe. Feladat: Meg kell határozni azon adathordozók körét, amelyek a rajtuk tárolt adatok miatt selejtezés után sem kerülhetnek ellenõrizetlen körülmények közé. Olyan selejtezési eljárásokat kell kidolgozni, amelyek biztosítják a selejtezett adathordozókon tárolt adatok biztonságos, visszaállítást lehetetlenné tevõ megsemmisítését. Minden adathordozó-típusra (mágneses, optikai) ki kell dolgozni a specifikus eljárásrendet. A selejtezés folyamatát dokumentálni kell a késõbbi ellenõrizhetõség érdekében. Eredmény: Adathordozók biztonsági besorolása. Selejtezési eljárások. Felelõs: Informatikai biztonsági felügyelõ/felelõs 7.7.3. Informatikai rendszerekben tárolt adatok kezelési eljárásai Cél: Az adatok biztonsági besorolása szerinti védelem biztosítása. Feladat: Minden biztonsági osztályra ki kell dolgozni az adatok tárolási és kezelési eljárásait, amelyek biztosítják a biztonsági osztály által elõírt védelmi szintet. Eredmény: Adatkezelési eljárások minden biztonsági osztályra. Felelõs: Informatikai biztonsági felügyelõ/felelõs 7.7.4. Rendszerdokumentáció védelme Cél: A rendszerdokumentáció rendelkezésre állásának és adatbiztonságának védelme. Feladat: Ki kell dolgozni a rendszerek dokumentációinak tárolási és hozzáférési szabályait, ami biztosítja azok rendelkezésre állását és a jogosultsághoz kötött, ellenõrzött hozzáférést. A rendelkezésre állásba bele kell érteni a naprakészséget, a változások átvezetésének folyamatszerû és biztonságos mechanizmusát is. A tárolási rendnek azt is biztosítania kell, hogy szükség esetén az arra jogosultak azonnal hozzáférhessenek a szükséges dokumentációkhoz. Eredmény: Rendszerdokumentációk tárolási szabályzata. Felelõs: Informatikai biztonsági felügyelõ/felelõs 7.8. Adatcsere, adattovábbítás 7.8.1. Adatcserére, adattovábbításra vonatkozó szabályzatok és eljárások Cél: Biztosítani kell az adatcserének, a továbbított adatoknak a biztonsági osztályuknak megfelelõ védelmét. Feladat: Ki kell dolgozni a külsõ szervezetekkel történõ adatcsere, a részükre történõ adattovábbítás technikai és adminisztratív eljárásait. Az alkalmazott védelmet az átadott információ biztonsági besorolásának megfelelõen kell kialakítani. Az eljárásoknak ki kell térnie az adatkéréstõl az adat megérkezésének visszaigazolásáig minden lépésre, és egyértelmûen definiálnia kell a folyamatban résztvevõk felelõsségét. Eredmény: Kommunikációra vonatkozó biztonsági szabályok. Felelõs: Informatikai biztonsági felügyelõ/felelõs 7.8.2. Megállapodások az adatcserérõl, adattovábbításról Cél: Más adatkezelésre feljogosított szervezetekkel történõ adatcsere biztonságának fenntartása. Feladat: Az adatcsere, adattovábbítás biztonságáról a szervezetek között olyan megállapodást kell kötni, amely mindkét fél által támasztott követelményeknek megfelel. Eredmény: Adatcsere, adattovábbítás biztonsági eljárásai. Felelõs: Informatikai biztonsági felügyelõ/felelõs 7.8.3. Fizikai adathordozók szállítása Cél: Az adathordozók sérülésének, módosulásának és elvesztésének megakadályozása a szállítás során. Feladat: Ki kell dolgozni az adathordozók szállítására vonatkozó szabályzatot. A szállításhoz használt eszközt, jármûvet és adminisztratív védelmet a szállított adat érzékenysége és kritikus volta alapján kell meghatározni. Eredmény: Adathordozók szállításának eljárásrendje. Felelõs: Informatikai biztonsági felügyelõ/felelõs 7.8.4. Elektronikus üzenetek küldése/fogadása Cél: Az elektronikus üzenetek védelme jogosulatlan hozzáférés és módosítás ellen. Feladat: Biztosítani kell az elektronikus üzenetekben továbbított információk biztonságát és rendelkezésre állását. Ehhez meg kell határozni azokat az eljárásokat, amelyeket az elektronikus üzenetek továbbítása során alkalmaznak. Ilyen intézkedés lehet az elektronikus aláírás, idõbélyegzés használata, titkosítás. Eredmény: Elektronikus üzenetváltás szabályai. Felelõs: Informatikai biztonsági felügyelõ/felelõs 7.8.5. Mûködést támogató információs rendszerek Cél: A szervezet által használt információs rendszerek biztonságának védelme. Feladat: Szabályozni kell a rendszerek használatát azok túlterhelésének, üzemzavarának elkerülése, illetve a tárolt információk sérülésének megakadályozása érdekében. Meg kell határozni, hogy az érintett rendszerek ki által, milyen célra és módon alkalmazhatók (pl. internethasználat, e-mail-használat). Eredmény: Felhasználói utasítás a kritikus rendszerekre. Felelõs: Informatikai biztonsági felügyelõ/felelõs 7.9. Valós idejû, ügyfeleknek biztosított szolgáltatások 7.9.1. On-line üzenetváltások (tranzakciók) Cél: Biztosítani kell az on-line tranzakciók bizalmasságát, sértetlenségét, és meg kell akadályozni az adatvesztést. Feladat: Ki kell dolgozni az on-line tranzakciók védelmére vonatkozó követelményeket, és a követelmények teljesítése érdekében végrehajtott technikai és adminisztratív intézkedéseket. Eredmény: On-line tranzakciók biztonsági követelményei. On-line tranzakciók biztonsági intézkedései. Felelõs: Informatikai biztonsági felügyelõ/felelõs 7.9.2. Nyilvánosan hozzáférhetõ információk Cél: Biztosítani kell a nyilvánosan hozzáférhetõ információk sértetlenségét. Feladat: Ki kell dolgozni a nyilvánosan hozzáférhetõ információk (pl. honlapok, nyilvános adatbázisok) sértetlensége érdekében szükséges adminisztratív és technikai intézkedéseket. Ki kell térni az információ változtatásának eljárásrendjére, új információ közzététele elõtt követendõ eljárásra és egyes információk törlésének eljárásaira is. Eredmény: Változáskezelési eljárások a nyilvánosan hozzáférhetõ információkra. Technikai intézkedések dokumentációja. Felelõs: Informatikai biztonsági felügyelõ/felelõs 7.10. Követés (monitoring) 7.10.1. Audit naplózás Cél: A felhasználói tevékenység (jogosult és illetéktelen) figyelemmel kísérése, a támadási kísérletek mielõbbi felfedése érdekében biztosítani kell a naplófájlok biztonságát. Feladat: Meg kell határozni, hogy milyen adatok hozzáférése/módosítása esetén van szükség és milyen mélységû naplózásra. Ki kell dolgozni a naplófájlok kezelésére (rögzítés, elemzés) vonatkozó adminisztratív eljárásokat és technikai megoldásokat. A kritikus rendszerek naplófájljait rendszeresen vizsgálni kell az esetleges üzemzavarok és támadási kísérletek felfedése érdekében. Ez a vizsgálat részben automatizálható, amennyiben a naplófájlok mennyisége ezt indokolja. Eredmény: Naplófájlok létrehozásának, kezelésének és felhasználásának szabályai. Technikai intézkedések dokumentációja. Felelõs: Informatikai biztonsági felügyelõ/felelõs 7.10.2. Rendszerhasználat figyelése Cél: A rendszerek jogosulatlan használatának megakadályozása, és a hibás mûködés idõben történõ észlelése. Feladat: Ki kell dolgozni a rendszerhasználat figyelésének (adatgyûjtés–elemzés–intézkedés) eljárásait, amelyek biztosítják, hogy a rendellenességek idõben feltárásra kerüljenek és kezelhetõk legyenek. Eredmény: Monitoringeljárások. Felelõs: Informatikai biztonsági felügyelõ/felelõs 7.10.3. Naplóinformációk védelme Cél: A rendszer mûködésére vonatkozó információk rendelkezésre állása. Feladat: Ki kell dolgozni a rendszernaplók rögzítésének, tárolásának és elemzésének eljárásait, amelyek biztosítják azok sértetlenségét, megváltoztathatatlanságát és a jogosultsághoz kötött hozzáférést. Eredmény: Naplóinformációk kezelési eljárásai. Felelõs: Informatikai biztonsági felügyelõ/felelõs 7.10.4. Adminisztrátori és kezelõi naplók Cél: Az ellenõrzés, visszakereshetõség és számon kérhetõség biztosítása a rendszerekben végzett tevékenységekkel kapcsolatban. Feladat: Ki kell dolgozni az adminisztrátori és operátori naplók rögzítésének és tárolásának eljárásait, amelyek biztosítják azok sértetlenségét, megváltoztathatatlanságát és a jogosultsághoz kötött hozzáférést. Eredmény: Rendszerekben végzett tevékenységek naplózásának eljárásai. Felelõs: Informatikai biztonsági felügyelõ/felelõs 7.10.5. Hibák naplózása Cél: A hibák nyilvántartása a tanulságok levonása és a hibák jövõbeli elkerülése érdekében. Feladat: Ki kell dolgozni a hibákra vonatkozó információk rögzítésének, tárolásának, és elemzésének eljárásait. A hibaelemzések alapján meg kell hozni a szükséges javító intézkedéseket (hiba megkeresése az adott rendszerben, kapacitásbõvítés stb.). Eredmény: Hibanaplók kezelési rendje. Felelõs: Informatikai vezetõ és informatikai biztonsági felügyelõ/felelõs 7.10.6. Idõadatok szinkronizálása Cél: Biztosítani kell, hogy a különbözõ rendszerekben rögzített adatok (tranzakciók, naplóbejegyzések, üzenetek) idõadatai a lehetõ legteljesebb összhangban legyenek. Feladat: Meg kell határozni az órajelek és idõadatok szinkronizálásra vonatkozó eljárásait. Az órajelek szinkronizálását a szervezeten belül ugyanazon forráshoz kell igazítani. Összetett, sok elemében idõadatokat felhasználó rendszer esetén vizsgálni kell a helyi idõszerver üzembe állításának lehetõségét, illetve külsõ – központi – referenciaforráshoz történõ szinkronizálást. Eredmény: Egységes idõadatok, idõbélyegzések a rendszerekben és naplófájlokban. Felelõs: Informatikai biztonsági felügyelõ/felelõs

Source: https://magyarkozlony.hu/hivatalos-lapok/ecb4451b97255cd5b4e0e34e49810f4693f6ffe2/dokumentumok/0580a50ff1a9e31b0ee77b7a32cd98b734861afe/letoltes