Publication: Magyar Közlöny
Issue: MK-2007-52 (Year: 2007, Number: 52)
Era: 2004-2010
Section: 1. melléklet a 84/2007. (IV. 25.) Korm. rendelethez
Paragraph Index: 448

7. A kommunikáció és az üzemeltetés irányítása 7.1 Üzemeltetési eljárások és felelősségi körök 7.1.1 Dokumentált üzemeltetési eljárások Cél: Az üzemeltetési tevékenységek végrehajtásának és az ellenőrzés alapjának biztosítása. Feladat: Az üzemeltetési feladatok határidőre történő, szabályozott végrehajtása érdekében üzemeltetési szabályzatot és üzemeltetési eljárásokat kell készíteni. Az üzemeltetési szabályzatokban az üzemeltetéssel kapcsolatos feladatokat és felelősségeket kell meghatározni. Az üzemeltetési eljárásokban az üzemeltetési feladatok végrehajtási eljárásait, műszaki leírásait kell meghatározni. Eredmény: Üzemeltetési szabályzat. Üzemeltetési eljárások. Felelős: Informatikai vezető 2007/52. szám 7.1.2 Változáskezelési eljárások Cél: Az informatikai rendszer konfigurációján csak előzetesen engedélyezett változások történhessenek. Feladat: Ki kell dolgozni a változások kezelésének szabványos folyamatát az igényfelvetéstől az átadás-átvételig. A változáskezelési eljárás tartalmazza legalább az alábbiakat: o Változási igények fogadása, kezelése, o Kockázat elemzése, priorizálás, o Változás dokumentálása és implementálása. Eredmény: Változáskezelési eljárás. Felelős: Informatikai vezető 7.1.3 Feladatkörök, kötelezettségek elhatárolása Cél: Kerüljenek szétválasztásra a biztonsági szempontból összeférhetetlen feladatkörök. Feladat: Meg kell határozni a biztonsági szempontból összeférhetetlen feladatokat, amelyek véletlen vagy szándékos károkozást tesznek lehetővé, és ezek szétválasztását érvényesíteni kell a szervezeti felépítésben, valamint a munkakörök kialakításakor. Összeférhetetlen feladatkörök (például): o fejlesztés és üzemeltetés, o üzemeltetés és biztonsági adminisztráció, o üzemeltetés és felhasználás. Eredmény: Összeférhetetlen feladatkörök azonosítva és szétválasztva. Felelős: Informatikai biztonsági felügyelő/felelős 7.1.4 Fejlesztési, teszt és üzemeltetési berendezések különválasztása Cél: Az üzemeltetési környezethez való jogosulatlan hozzáférés, illetve jogosulatlan módosítás kockázatának csökkentése. Feladat: A fejlesztési, teszt környezeteket és üzemi környezetet logikailag és lehetőség szerint fizikailag is szét kell választani egymástól. Eredmény: Elkülönített fejlesztési, teszt és üzemeltetési környezetek. Felelős: Informatikai vezető 2007/52. szám 7.2 Harmadik felek tevékenységének irányítása 7.2.1 Szolgáltatásnyújtás Cél: A külső szolgáltatótól igénybe vett szolgáltatások esetén is biztosítani kell a biztonsági követelmények teljesülését. Feladat: Meg kell határozni azokat a szerződéses elemeket és tevékenységeket, amelyeket érvényesíteni kell a harmadik felekkel kötött szolgáltatási szerződésekben. Ki kell dolgozni ezen követelmények teljesülésének ellenőrzési eljárásait. Eredmény: Biztonsági követelmények a szolgáltatási megállapodásokban. Ellenőrzési eljárások a biztonsági követelmények érvényesítésére. Felelős: Informatikai biztonsági felügyelő/felelős 7.2.2 Harmadik felek szolgáltatásainak figyelemmel kísérése és átvizsgálása Cél: Ellenőrizni kell, hogy a külső féltől igénybe vett szolgáltatások esetén teljesül-e az elvárt szolgáltatási szint. Feladat: Ki kell dolgozni a szolgáltatási szintek leírásának, érvényesítésének, a teljesítés dokumentálásának, ellenőrzésének és a nem megfelelő teljesítés szankcionálásának eljárásait. Eredmény: Szolgáltatási szint menedzselését biztosító eljárások. Felelős: Informatikai vezető és informatikai biztonsági felügyelő/felelős 7.2.3 Harmadik felek szolgáltatásaival kapcsolatos változások kezelése Cél: Biztosítani kell, hogy a változásokat csak a megfelelő jogosultságokkal lehessen kezdeményezni, és a végrehajtás ellenőrzött és dokumentált körülmények között történjen az igény felvetésétől az átadás-átvételig. Feladat: Ki kell dolgozni a változáskezelési eljárásokat a külső fél által nyújtott szolgáltatásokra. A változáskezelési eljárásnak biztosítania kell a következőket: - a változások végrehajtása csak a megfelelő jóváhagyás után történjen, - a végrehajtás során is érvényesüljenek a biztonsági követelmények, - az átvétel során ellenőrzésre kerüljön a specifikációban/változási kérelemben leírtak teljesülése. Eredmény: Változáskezelési eljárások külső szolgáltatásokra. Felelős: Informatikai vezető és informatikai biztonsági felügyelő/felelős 2007/52. szám 7.3 Rendszertervezés és -elfogadás 7.3.1 Kapacitás-menedzsment Cél: A mindenkori erőforrás-igények hatékony kielégítése és a szűk keresztmetszetek kialakulásának elkerülése. Feladat: Ki kell dolgozni az erőforrás-kihasználtság figyelésének, elemzésének és a jövőbeli trendek előrejelzésének folyamatait, és ennek eredményét figyelembe kell venni az erőforrás-beszerzések tervezésekor. Eredmény: Kapacitás-menedzsment tervek. Felelős: Informatikai vezető és informatikai biztonsági felügyelő/felelős 7.3.2 Rendszerek elfogadása, átvétele Cél: Biztosítani kell, hogy az átvett rendszerek tegyenek eleget az elvárt minőségi, mennyiségi, biztonsági és funkcionális követelményeknek. Feladat: A rendszerek átvételéhez olyan eljárásokat kell kidolgozni, amelyek biztosítják az elvárásoknak való megfelelés ellenőrzését. Az ellenőrzés módszerei a tesztelés (funkcionális/terheléses stb.), a forráskód-audit, szakértői ellenőrzés stb. Eredmény: Átadás-átvételi eljárási rend. Felelős: Informatikai vezető 7.4 Védelem a rosszindulatú és mobil kódok ellen 7.4.1 Rosszindulatú kód elleni védelem Cél: Meg kell akadályozni, hogy a szervezet működésében zavart, adatvesztést vagy adatkiszivárgást okozzon bármilyen rosszindulatú kód (vírus, trójai stb.). Feladat: Olyan adminisztratív és technikai intézkedéseket kell alkalmazni, amelyek megakadályozzák a rosszindulatú kódokat tartalmazó programok bejutását, alkalmazását. Eredmény: Rosszindulatú kód elleni védelem. Felelős: Informatikai biztonsági felügyelő/felelős 7.4.2 Mobil kód elleni intézkedések Cél: Meg kell akadályozni, hogy a szervezet működésében zavart, adatvesztést vagy adatkiszivárgást okozzon bármilyen rosszindulatú mobil kód. Feladat: Le kell tiltani minden olyan kód futtatását, amelyek nem szükségesek a felhasználók munkájához. Eredmény: Biztonságos böngésző beállítások. Felelős: Informatikai biztonsági felügyelő/felelős 2007/52. szám 7.5 Biztonsági mentés 7.5.1 Információk biztonsági mentése Cél: Az elviselhetetlen mértékű adatvesztés megakadályozása, és az elvárt időn belüli visszaállítás biztosítása. Feladat: Olyan mentési rendet kell kialakítani, ami biztosítja az adatok visszaállíthatóságát a szervezet által meghatározott követelmények szerint (elvárt visszaállítás idő, maximálisan elviselhető adatvesztés stb.). A mentések gyakoriságát, a mentés módját, a használt adathordozót és a tárolási helyet a fentiek figyelembevételével kell kiválasztani, és ki kell dolgozni azokat az eljárásokat, amelyek teljesítik a követelményeket. Az eljárások kidolgozása után az érintettek számára oktatás szükséges, és elengedhetetlen a teljes visszaállítási eljárás tesztelése is. Ki kell dolgozni a mentések ellenőrzésének (ellenőrző visszatöltés) rendjét is (többpéldányos mentés, külső helyszínen tárolás). A mentési, visszaállítási eljárást évente és releváns változások esetén felül kell vizsgálni, és naprakésszé kell tenni. Eredmény: Mentési és visszaállítási eljárások. Felelős: Informatikai biztonsági felügyelő/felelős 7.6 Hálózatbiztonság kezelése 7.6.1 Hálózatok védelme Cél: A hálózatokon továbbított adatok biztonságának és a hálózat rendelkezésre állásának védelme. Feladat: A hálózatok biztonsági érdekében a következő intézkedések megvalósítása javasolt: a hálózat szegmentációja, tűzfalas védelem (csomag-/alkalmazásszintű), vírusvédelmi eszközök, tartalomszűrés, titkosított adatvédelmi csatornák kialakítása. A hálózati rendelkezésre állás érdekében a hálózati forgalmat rendszeresen mérni és értékelni kell, és biztosítani, hogy a szükséges sávszélesség kellő biztonsággal rendelkezésre álljon. Dokumentálni kell a hálózatokon alkalmazott védelmi intézkedéseket és azok üzemeltetési eljárásait. Eredmény: Hálózatbiztonsági intézkedések dokumentációja. Hálózatbiztonsági szabályzat. Felelős: Informatikai biztonsági felügyelő/felelős 2007/52. szám 7.6.2 Hálózati szolgáltatások biztonsága Cél: Az elvárt minőségi, mennyiségi, funkcionális és biztonsági paraméterek megbízható nyújtásának biztosítása a hálózati szolgáltatók részéről. Feladat: Dokumentálni kell a hálózati szolgáltatásokkal szemben támasztott biztonsági követelményeket és azok ellenőrzésének, valamint a nem megfelelő teljesítés szankcionálásának eljárásait. Eredmény: Hálózati szolgáltatások biztonsági követelményei. Felelős: Informatikai biztonsági felügyelő/felelős 7.7 Adathordozók kezelése 7.7.1 Adathordozók kezelése Cél: Biztosítani kell, hogy az adathordozók, illetve a rajtuk tárolt adatok a telephelyről kikerülve se sérülhessenek, módosulhassanak vagy kerülhessenek illetéktelen kezekbe. Feladat: Ki kell dolgozni valamennyi adathordozó kezelésének eljárásait, kiemelt figyelmet fordítva a telephelyen kívüli védelemre. A szabályzatnak ki kell terjednie a teljes élettartamra, a nyilvántartásra, a selejtezésre, a frissítésekre, több példány készítésére. Kiemelt figyelmet kell fordítani az USB eszközökre, a memóriakártyákra. Eredmény: Adathordozók kezelési szabályzata. Felelős: Informatikai biztonsági felügyelő/felelős 7.7.2 Adathordozók selejtezése Cél: Biztosítani kell, hogy a selejtezett adathordozókon tárolt információk se kerülhessenek illetéktelen kezekbe. Feladat: Meg kell határozni azon adathordozók körét, amelyek a rajtuk tárolt adatok miatt selejtezés után sem kerülhetnek ellenőrizetlen körülmények közé. Olyan selejtezési eljárásokat kell kidolgozni, amelyek biztosítják a selejtezett adathordozókon tárolt adatok biztonságos, visszaállítást lehetetlenné tevő megsemmisítését. Minden adathordozó-típusra (mágneses, optikai) ki kell dolgozni a specifikus eljárásrendet. A selejtezés folyamatát dokumentálni kell a későbbi ellenőrizhetőség érdekében. Eredmény: Adathordozók biztonsági besorolása. Selejtezési eljárások. Felelős: Informatikai biztonsági felügyelő/felelős 2007/52. szám 7.7.3 Informatikai rendszerekben tárolt adatok kezelési eljárásai Cél: Az adatok biztonsági besorolása szerinti védelem biztosítása. Feladat: Minden biztonsági osztályra ki kell dolgozni az adatok tárolási és kezelési eljárásait, amelyek biztosítják a biztonsági osztály által előírt védelmi szintet. Eredmény: Adatkezelési eljárások minden biztonsági osztályra. Felelős: Informatikai biztonsági felügyelő/felelős 7.7.4 Rendszerdokumentáció védelme Cél: A rendszerdokumentáció rendelkezésre állásának és adatbiztonságának védelme. Feladat: Ki kell dolgozni a rendszerek dokumentációinak tárolási és hozzáférési szabályait, ami biztosítja azok rendelkezésre állását és a jogosultsághoz kötött, ellenőrzött hozzáférést. A rendelkezésre állásba bele kell érteni a naprakészséget, a változások átvezetésének folyamatszerű és biztonságos mechanizmusát is. A tárolási rendnek azt is biztosítania kell, hogy szükség esetén az arra jogosultak azonnal hozzáférhessenek a szükséges dokumentációkhoz. Eredmény: Rendszerdokumentációk tárolási szabályzata. Felelős: Informatikai biztonsági felügyelő/felelős 7.8 Adatcsere, adattovábbítás 7.8.1 Adatcserére, adattovábbításra vonatkozó szabályzatok és eljárások Cél: Biztosítani kell az adatcserének, a továbbított adatoknak a biztonsági osztályuknak megfelelő védelmét. Feladat: Ki kell dolgozni a külső szervezetekkel történő adatcsere, a részükre történő adattovábbítás technikai és adminisztratív eljárásait. Az alkalmazott védelmet az átadott információ biztonsági besorolásának megfelelően kell kialakítani. Az eljárásnak ki kell térnie az adatkéréstől az adat megérkezésének visszaigazolásáig minden lépésre, és egyértelműen definiálnia kell a folyamatban résztvevők felelősségét. Eredmény: Kommunikációra vonatkozó biztonsági szabályok. Felelős: Informatikai biztonsági felügyelő/felelős 7.8.2 Megállapodások az adatcseréről, adattovábbításról Cél: Más adatkezelésre feljogosított szervezetekkel történő adatcsere biztonságának fenntartása. Feladat: Az adatcsere, adattovábbítás biztonságáról a szervezetek között olyan megállapodást kell kötni, amely mindkét fél által támasztott követelményeknek megfelel. Eredmény: Adatcsere, adattovábbítás biztonsági eljárásai. Felelős: Informatikai biztonsági felügyelő/felelős 2007/52. szám 7.8.3 Fizikai adathordozók szállítása Cél: Az adathordozók sérülésének, módosulásának és elvesztésének megakadályozása a szállítás során. Feladat: Ki kell dolgozni az adathordozók szállítására vonatkozó szabályzatot. A szállításhoz használt eszközt, járművet és adminisztratív védelmet a szállított adat érzékenysége és kritikus volta alapján kell meghatározni. Eredmény: Adathordozók szállításának eljárásrendje. Felelős: Informatikai biztonsági felügyelő/felelős 7.8.4 Elektronikus üzenetek küldése/fogadása Cél: Az elektronikus üzenetek védelme jogosulatlan hozzáférés és módosítás ellen. Feladat: Biztosítani kell az elektronikus üzenetekben továbbított információk biztonságát és rendelkezésre állását. Ehhez meg kell határozni azokat az eljárásokat, amelyeket az elektronikus üzenetek továbbítása során alkalmaznak. Ilyen intézkedés lehet az elektronikus aláírás, időbélyegzés használata, titkosítás. Eredmény: Elektronikus üzenetváltás szabályai. Felelős: Informatikai biztonsági felügyelő/felelős 7.8.5 Működést támogató információs rendszerek Cél: A szervezet által használt információs rendszerek biztonságának védelme. Feladat: Szabályozni kell a rendszerek használatát azok túlterhelésének, üzemzavarának elkerülése, illetve a tárolt információk sérülésének megakadályozása érdekében. Meg kell határozni, hogy az érintett rendszerek ki által, milyen célra és módon alkalmazhatók (pl. internethasználat, email használat). Eredmény: Felhasználói utasítás a kritikus rendszerekre. Felelős: Informatikai biztonsági felügyelő/felelős 7.9 Valós idejű, ügyfeleknek biztosított szolgáltatások 7.9.1 On-line üzenetváltások (tranzakciók) Cél: Biztosítani kell az on-line tranzakciók bizalmasságát, sértetlenségét, és meg kell akadályozni az adatvesztést. Feladat: Ki kell dolgozni az on-line tranzakciók védelmére vonatkozó követelményeket, és a követelmények teljesítése érdekében végrehajtott technikai és adminisztratív intézkedéseket. Eredmény: On-line tranzakciók biztonsági követelményei. On-line tranzakciók biztonsági intézkedései. Felelős: Informatikai biztonsági felügyelő/felelős 2007/52. szám 7.9.2 Nyilvánosan hozzáférhető információk Cél: Biztosítani kell a nyilvánosan hozzáférhető információk sértetlenségét. Feladat: Ki kell dolgozni a nyilvánosan hozzáférhető információk (pl. honlapok, nyilvános adatbázisok) sértetlensége érdekében szükséges adminisztratív és technikai intézkedéseket. Ki kell térni az információ változtatásának eljárásrendjére, új információ közzététele előtt követendő eljárásra és egyes információk törlésének eljárásaira is. Eredmény: Változáskezelési eljárások a nyilvánosan hozzáférhető információkra. Technikai intézkedések dokumentációja. Felelős: Informatikai biztonsági felügyelő/felelős 7.10 Követés (monitoring) 7.10.1 Audit naplózás Cél: A felhasználói tevékenység (jogosult és illetéktelen) figyelemmel kísérése, a támadási kísérletek mielőbbi felfedése érdekében biztosítani kell a naplófájlok biztonságát. Feladat: Meg kell határozni, hogy milyen adatok hozzáférése/módosítása esetén van szükség és milyen mélységű naplózásra. Ki kell dolgozni a naplófájlok kezelésére (rögzítés, elemzés) vonatkozó adminisztratív eljárásokat és technikai megoldásokat. A kritikus rendszerek naplófájljait rendszeresen vizsgálni kell az esetleges üzemzavarok és támadási kísérletek felfedése érdekében. Ez a vizsgálat részben automatizálható, amennyiben a naplófájlok mennyisége ezt indokolja. Eredmény: Naplófájlok létrehozásának, kezelésének és felhasználásának szabályai. Technikai intézkedések dokumentációja. Felelős: Informatikai biztonsági felügyelő/felelős 7.10.2 Rendszerhasználat figyelése Cél: A rendszerek jogosulatlan használatának megakadályozása, és a hibás működés időben történő észlelése. Feladat: Ki kell dolgozni a rendszerhasználat figyelésének (adatgyűjtés–elemzés–intézkedés) eljárásait, amelyek biztosítják, hogy a rendellenességek időben feltárásra kerüljenek és kezelhetők legyenek. Eredmény: Monitoring eljárások. Felelős: Informatikai biztonsági felügyelő/felelős 2007/52. szám 7.10.3 Naplóinformációk védelme Cél: A rendszer működésére vonatkozó információk rendelkezésre állása. Feladat: Ki kell dolgozni a rendszernaplók rögzítésének, tárolásának és elemzésének eljárásait, amelyek biztosítják azok sértetlenségét, megváltoztathatatlanságát és a jogosultsághoz kötött hozzáférést. Eredmény: Naplóinformációk kezelési eljárásai. Felelős: Informatikai biztonsági felügyelő/felelős 7.10.4 Adminisztrátori és kezelői naplók Cél: Az ellenőrzés, visszakereshetőség és számon kérhetőség biztosítása a rendszerekben végzett tevékenységekkel kapcsolatban. Feladat: Ki kell dolgozni az adminisztrátori és operátori naplók rögzítésének és tárolásának eljárásait, amelyek biztosítják azok sértetlenségét, megváltoztathatatlanságát és a jogosultsághoz kötött hozzáférést. Eredmény: Rendszerekben végzett tevékenységek naplózásának eljárásai. Felelős: Informatikai biztonsági felügyelő/felelős 7.10.5 Hibák naplózása Cél: A hibák nyilvántartása a tanulságok levonása és a hibák jövőbeli elkerülése érdekében. Feladat: Ki kell dolgozni a hibákra vonatkozó információk rögzítésének, tárolásának és elemzésének eljárásait. A hibaelemzések alapján meg kell hozni a szükséges javító intézkedéseket (hiba megkeresése az adott rendszerben, kapacitásbővítés stb.). Eredmény: Hibanaplók kezelési rendje. Felelős: Informatikai vezető és informatikai biztonsági felügyelő/felelős 7.10.6 Időadatok szinkronizálása Cél: Biztosítani kell, hogy a különböző rendszerekben rögzített adatok (tranzakciók, naplóbejegyzések, üzenetek) időadatai a lehető legteljesebb összhangban legyenek. Feladat: Meg kell határozni az órajelek és időadatok szinkronizálására vonatkozó eljárásokat. Az órajelek szinkronizálását a szervezeten belül ugyanazon forráshoz kell igazítani. Összetett, sok elemében időadatokat felhasználó rendszer esetén vizsgálni kell a helyi időszerver üzembe állításának lehetőségét, illetve külső – központi – referenciaforráshoz történő szinkronizálást. Eredmény: Egységes időadatok, időbélyegzések a rendszerekben és naplófájlokban. Felelős: Informatikai biztonsági felügyelő/felelős 2007/52. szám

Source: https://magyarkozlony.hu/hivatalos-lapok/33cb60da64569013887b64cc3e59f1d5cbdfb1a2/dokumentumok/169263699fa065547a050ed27d2aebf2886b6503/letoltes