Publication: Magyar Közlöny
Issue: MK-2007-52 (Year: 2007, Number: 52)
Era: 2004-2010
Section: 1. melléklet a 84/2007. (IV. 25.) Korm. rendelethez
Paragraph Index: 449

8. Hozzáférés-ellenőrzés 8.1 A hozzáférés-ellenőrzéshez fűződő működési követelmény 8.1.1 Hozzáférés-ellenőrzési szabályzat Cél: A dokumentumokhoz, információkhoz, adatokhoz történő hozzáférés ellenőrzése. Feladat: Hozzáférési-ellenőrzési szabályzat kialakítása, bevezetése, betartatása; a szabályzat periodikus felülvizsgálata és módosítása elengedhetetlen. Minden felhasználó csak azokhoz az erőforrásokhoz/információkhoz férhessen hozzá, amelyek a munkájához mindenképp szükségesek. Eredmény: Dokumentált információ-hozzáférési szabályozás révén csökken az információk kiszivárgásának és az illetéktelen hozzáférések kockázata. Felelős: Informatikai biztonsági felügyelő/felelős 8.2 Felhasználói hozzáférés irányítása 8.2.1 Felhasználók regisztrálása Cél: Az erőforrásokhoz és információkhoz való hozzáférési jogok megadásának és megvonásának szabályozása. Feladat: Ki kell dolgozni, be kell vezetni és szigorúan be kell tartatni a felhasználóknak való jogosultságok kiadásának és visszavételének rendszerét; lehetőleg az egyes felhasználók igénybevételi, csatlakozási szerződéséhez kötve. A felhasználók hozzáférési jogait rendszeresen át kell tekinteni, hogy minden felhasználó csakis azokhoz az információkhoz férhessen hozzá, amelyek munkájához aktuálisan szükségesek. Eredmény: A pontosan szabályozott hozzáférési jogok révén csökken az információk kiszivárgásának, illetéktelen hozzáférésének kockázata. Felelős: Informatikai biztonsági felügyelő/felelős 8.2.2 Speciális jogosultságok kezelése Cél: A speciális jogosultságok megszerzésének és alkalmazásának korlátozása. Feladat: Az általános összeférhetetlenségi szabályoktól való speciális eltérés kockázati tényező, ezért az ilyen jogosultságok kiadását mindenképp kerülni kell. Amennyiben valamilyen elkerülhetetlen ok miatt mégis létre kell hozni ilyent, akkor azt csak dokumentáltan, s csak a feltétlenül szükséges időtartamra szabad adni. Eredmény: Csökken annak a kockázata, hogy a speciális jogosultságok nem megfelelő menedzselése miatt a rendszer működésében hibák keletkeznek; vagy illetéktelen helyre kerülnek védendő adatok. Felelős: Informatikai biztonsági felügyelő/felelős 2007/52. szám 8.2.3 Felhasználói jelszavak kezelése, gondozása Cél: A jelszavak kezelésének biztonságos megvalósítása. Feladat: A jelszavak felhasználói kezelését szabályozni kell; figyelve arra, hogy a felhasználók titokban tartsák és megfelelő időközönként változtassák jelszavaikat; valamint biztosítani kell, hogy a jelszavak kiosztásakor, illetve használatakor csakis a tulajdonos szerezzen tudomást a jelszóról. Eredmény: Felhasználói jelszókezelés szabályozása. Felelős: Informatikai biztonsági felügyelő/felelős 8.3 Felhasználói felelősségek 8.3.1 Jelszóhasználat Cél: Megfelelő erősségű jelszavak használata. Feladat: A felhasználók számára olyan használati rendet kell kialakítani, amely biztosítja megfelelő erősségű jelszavak használatát és ezen jelszavak megfelelő gyakoriságú cseréjét. Eredmény: Felhasználói jelszókezelés szabályozása. Felelős: Informatikai biztonsági felügyelő/felelős 8.3.2 Őrizetlenül hagyott felhasználói berendezések kezelése Cél: Az őrizetlenül hagyott berendezéseken való jogosulatlan hozzáférések megelőzése. Feladat: A külső felhasználókat a kapcsolati alrendszerek megfelelő kialakításával, a belső felhasználókat (alkalmazottakat) szabályzatokkal kell kötelezni arra, ha őrizetlenül hagyják a berendezéseiket, akkor (akár logikailag, akár fizikailag) zárják le azokat. A belső felhasználókat (alkalmazottakat) kötelezni kell arra, hogy csak az aktuális munkához szükséges dokumentumokat tartsák az asztalon/képernyőn, és ne hagyják ezeket a dokumentumokat, adatokat felügyelet nélküli hozzáférhető helyen. Eredmény: Felhasználói informatikai biztonsági követelmények. Felelős: Informatikai biztonsági felügyelő/felelős 8.4 Hálózati szintű hozzáférés-ellenőrzés 8.4.1 Hálózati szolgáltatások használatára vonatkozó szabályzat Cél: A hálózatra telepített szolgáltatások védelme. Feladat: A hálózati szolgáltatások használatáról szabályzatot kell készíteni, s azt be kell tartatni. A szabályzatnak tartalmazni kell, hogy milyen felhasználói kör milyen hálózati területhez férhet hozzá. Eredmény: A hálózati szolgáltatások használatára vonatkozó szabályzat. Felelős: Informatikai biztonsági felügyelő/felelős 2007/52. szám 8.4.2 Felhasználó hitelesítése külső hozzáférés esetén Cél: A távoli felhasználók megbízható hitelesítése. Feladat: A külső összeköttetéseket csak a feltétlenül munkaidőn kívül is elérni szükséges rendszerekhez szabad engedélyezni, s kriptográfiai védelmi módszereket kell alkalmazni. Eredmény: A hálózati szolgáltatások használatára vonatkozó szabályzat. Felelős: Informatikai biztonsági felügyelő/felelős 8.4.3 Távdiagnosztikai és konfigurációs portok védelme Cél: A távdiagnosztikai és a konfigurációs portok védelmének biztosítása. Feladat: A távdiagnosztikai és a konfigurációs portokhoz való fizikai és logikai hozzáférést ellenőrizni, szabályozni kell. A hozzáféréshez a rendszerben alkalmazott legszigorúbb azonosítási eljárásokat és naplózási rendet kell használni. Eredmény: A távdiagnosztikai és a konfigurációs portok használatának szabályzata. Felelős: Informatikai biztonsági felügyelő/felelős 8.5 Operációs rendszer szintű hozzáférés-ellenőrzés 8.5.1 Biztonságos bejelentkezési eljárások Cél: Szabályzat az operációs rendszerek hozzáférési eljárásainak beállítására és használatára. Feladat: Az operációs rendszerekbe való bejelentkezési eljárásokat – a jogosulatlan hozzáférés, a szándékos károkozás elkerülése érdekében – szabályozni kell. Fontos a különböző szerepköröknek megfelelő hozzáférési jogosultság meghatározása és az ehhez tartozó jogok beállításának szabályozása (igénylés, engedélyezés, beállítás, visszavonás). Eredmény: A biztonsági szempontoknak megfelelő hozzáférés az operációs rendszer funkciókhoz. Felelős: Informatikai biztonsági felügyelő/felelős 8.5.2 Felhasználó azonosítása és hitelesítése Cél: Az operációs rendszer szintű felhasználók azonosítása és hitelesítése. Feladat: A felhasználók egyedi azonosítására, hitelesítésére megbízható módszert kell választani, annak használatát szabályzatban kell rögzíteni, használatát szigorúan meg kell követelni. A szabályzatnak ki kell terjednie az azonosítás és hitelesítés teljes életciklusára (igénylés, engedélyezés, beállítás, visszavonás). Meg kell határozni a biztonságos jelszóra vonatkozó követelményeket, szabályozni kell a jelszavak létrehozására, módosítására, tárolására, használatára, visszavonására vonatkozó eljárásokat. A felhasználók a jelszóhasználattal kapcsolatos feladatait és kötelezettségeit szintén szabályzatba kell foglalni, és rendszeresen ellenőrizni kell annak betartását. Eredmény: Egyértelműen szabályozott felhasználói hozzáférési és hitelesítési rendszer. Felelős: Informatikai biztonsági felügyelő/felelős 2007/52. szám 8.5.3 Rendszer-segédprogramok használata Cél: Átlátható, ellenőrzött, dokumentált, a biztonságot nem veszélyeztető rendszersegédprogram használat megvalósítása. Feladat: A rendszer-segédprogramok használata különös lehetőségeket teremt nehezen ellenőrizhető manipulációkra, ezért ezek használatát különös figyelemmel kell szabályozni és a szabályzatban foglaltakat ellenőrizni. A fejlesztő eszközökhöz, az adatbázis közvetlen hozzáféréseket lehetővé tevő segédprogramokhoz való hozzáférés csak indokolt esetben engedélyezhető és a tevékenység végén az engedélyt vissza kell vonni, és lehetőleg ki kell zárni az ellenőrizhetetlen származású programok használatát. Eredmény: A rendszer-segédprogramok ellenőrzött, biztonságos használata. Felelős: Informatikai biztonsági felügyelő/felelős 8.5.4 Az összeköttetés/kapcsolat idejének korlátozása Cél: Annak megakadályozása, hogy a szükséges időn túl aktív maradjon az összeköttetés/kapcsolat. Feladat: Szabályozni kell, hogy mekkora az inaktív vagy teljes időtartam, amely után az adatkapcsolatot meg kell szüntetni. Ezt az időintervallumot figyelembe kell venni a rendszerek paraméterezésénél, illetve alkalmazások fejlesztésénél. Az időtartam betartandó attól függetlenül, hogy humán beavatkozásról vagy alkalmazás automatikus aktivitásról van szó. Eredmény: Bizonyos inaktív vagy teljes időtartam után az összeköttetés megszakításra (ismételt felépítésre) kerül. Felelős: Informatikai biztonsági felügyelő/felelős 8.6 Alkalmazás és adat-szintű hozzáférés-ellenőrzés 8.6.1 Adat-hozzáférés korlátozása Cél: A konkrét alkalmazás egyes funkciói elérésének, használatának korlátozása. Feladat: Alkalmazás funkciónként, illetve egyes adatkörökre (adatminősítés, biztonsági szint stb. szerint) vonatkozó hozzáférés szabályozása, a jogosulatlanok kizárása. Fontos az egyes manipulációk, jogosulatlan kísérletek naplózása, a naplóállomány rendszeres értékelése. A funkció, illetve adatkörre vonatkozó korlátozások lehetőségét az alkalmazás fejlesztésének időszakában kell megtervezni és az alkalmazást ennek megfelelően implementálni, ez utólag sokszor nehezen megvalósítható. Eredmény: Finoman hangolható, jól naplózott hozzáférési rendszer. Felelős: Adatgazda és informatikai biztonsági felügyelő/felelős 2007/52. szám 8.6.2 Érzékeny adatokat kezelő rendszerek elkülönítése Cél: Az érzékeny adatokat kezelő rendszereknek erre a célra létrehozott, elkülönített számítógépes környezettel kell rendelkezniük. Feladat: Az egyes rendszereket kategóriákba kell sorolni az általuk kezelt adatok érzékenységének megfelelően. Az érzékenynek minősített adatokat kezelő alkalmazás elkülönítésével hozható létre a szükséges biztonsági szint. A rendszerek besorolását rendszeresen felül kell vizsgálni és aktualizálni. Eredmény: Kategóriáknak megfelelő biztonságú elkülönített informatikai környezet. Felelős: Informatikai biztonsági felügyelő/felelős 8.7 Mobil számítógép használata és távmunka 8.7.1 Mobil számítógép használata és a vele történő kommunikáció Cél: Mobil számítógép biztonságos használatának szabályozása. Feladat: A mobil számítógépek (notebook, palm, pda) biztonságos használatának szabályozása. A hozzáférés, a logikai és fizikai biztonság, az adatmentések megvalósítása, illetve a biztonságos környezeten kívüli munkavégzés szabályrendszere is meghatározandó. Eredmény: Biztonságos távoli és helyi mobil számítógép használat. Felelős: Informatikai biztonsági felügyelő/felelős 8.7.2 Távmunka Cél: A biztonságos távmunka, távoli elérés megvalósítása. Feladat: Szabályozni kell, hogy a biztonságos távoli hozzáférés, illetve munkavégzés érdekében milyen tevékenységek és technikai feltételek szükségesek. Távoli hozzáférés és munkavégzés csak indokolt esetben engedélyezhető, és a hozzáférés, adatcsere biztonsága érdekében külön eljárásokat kell meghatározni és megvalósítani. Eredmény: A biztonsági elvárásokat kielégítő távoli munkavégzés. Felelős: Informatikai biztonsági felügyelő/felelős

Source: https://magyarkozlony.hu/hivatalos-lapok/33cb60da64569013887b64cc3e59f1d5cbdfb1a2/dokumentumok/169263699fa065547a050ed27d2aebf2886b6503/letoltes