Publication: Magyar Közlöny
Issue: MK-2007-52 (Year: 2007, Number: 52)
Era: 2004-2010
Section: képességéről és egységes használatáról szóló 195/2005. (IX. 22.) Korm. rendelet.
Paragraph Index: 570

4. Biztonsági intézkedések Jelen fejezet a MeH informatikai biztonsági elkötelezettségét bizonyítja, az ügyfélkapcsolatra vonatkozó biztonsági óvintézkedéseket rögzíti. A Központi Rendszer részletes biztonsági eljárási szabályait az üzemeltetők nem nyilvános Informatikai Biztonsági Szabályzatai rögzítik. 4.1 Szervezeti és személyi biztonsági intézkedések 4.1.1 Belső eljárásrendek 4.1.1.1 Általános szabályok A Központi Rendszer informatikai eszközeit kizárólag felhatalmazott, a feladat ellátásához szükséges szaktudással rendelkező személyzet működteti. A MeH a működtetés folyamatait belső eljárásrendekben rögzítette, előírva, hogy milyen rendszerességgel, milyen módon kell az üzemeltetési és karbantartási feladatokat végrehajtani. A Központi Rendszeren történő minden munkavégzés naplózásra kerül. A MeH a szolgáltatásban és az azt kiszolgáló informatikai rendszerekben bekövetkező módosítások, változások biztonságos és visszakereshető végrehajtása érdekében dokumentált változáskezelési rendet követ. 4.1.1.2 Biztonsági felülvizsgálatok rendje A rendszeres információ biztonsági felülvizsgálatok célja a kialakított védelmi rendszer működési hatékonyságának mérése az egyenszilárdságot veszélyeztető hiányosságok és sebezhetőségek feltárása, a szükséges helyesbítő és megelőző védelmi intézkedések kidolgozása, előterjesztések elkészítése. A MeH a Központi Rendszer kulcsfontosságú komponenseire rendszeresen – évente legalább egyszer – sebezhetőségi vizsgálatot végeztet, melynek végrehajtása során figyelembe veszi a naplózott események feldolgozása során azonosítható támadási kísérleteket és módokat. A sebezhetőségi vizsgálat célja, hogy az egyes komponensek által hordozott biztonsági kockázatok újraértékelése megtörténjen. A MeH megkívánja továbbá az egyes szoftver komponensek gyártóitól, hogy sebezhetőségi vizsgálatot végezzenek, és erre vonatkozóan a bizonyítékokat adják át a MeH részére. A MeH szúrópróbaszerűen egy-egy esemény felülvizsgálatát havonta többször, általános felülvizsgálatot hathavonta, vagy üzemzavart kiváltó rendkívüli eseményt követően azonnal hajt végre, a felülvizsgálatról készült bizonylatokat 15 évig megőrzi. A vizsgálatokat minden esetben a naplóállományokra alapozza. 2007/52. szám 4.1.2 Fontos és bizalmas munkakörök 4.1.2.1 Biztonsági vezető Az üzemeltető biztonsági vezetője felel – a kockázatok csökkentését célzó védelmi intézkedések kidolgozásáért, bevezettetéséért; – a már életbe léptetett eljárásrendekben előírt intézkedések érvényre jutásáért, betartatásáért; – az informatikai rendszerek biztonsági szintjének rendszeres ellenőrzéséért; – az üzemeltetői hozzáférési jogok kiadásának és visszavételének kezeléséért; – a központi napló archiválásáért, rendszeres átvizsgálásáért, biztonsági események feltárásáért. 4.1.2.2 Adatvédelmi felelős A MeH adatvédelmi felelőse látja el az Avtv.-ben rögzített feladatokat, beleértve az ügyfelek személyes adatainak kezelésével kapcsolatos tájékoztatási és ellenőrzési kötelezettségeket is. 4.1.2.3 Üzemeltetés vezető Az üzemeltetés vezető feladata a Központi Rendszer működtetésének megszervezése, a működés biztonságához szükséges nyilvántartások naprakészségének biztosítása, az üzemeltetési folyamatok kialakítása, a rendszergazdák és operátorok tevékenységének koordinálása, együttműködés a biztonsági vezetővel a védelmi intézkedések kialakításában. Az Üzemeltetés vezető teljes utasítási joggal rendelkezik üzemeltetés területén. 4.1.2.4 Rendszergazda A rendszergazda feladata Központi Rendszer egyes alrendszereinek üzemeltetése, beleértve – az operátor által nem kezelhető incidensek elhárítását; – az elkészített adat- és rendszermentések belső szabályok szerinti tárolását, utasításra adatvisszaállítás végrehajtását; – a belső szabályzatokban előírt rendszeres karbantartási tevékenységek végrehajtását; – a változások élesítését az üzemi környezetben; – az üzemeltetői hozzáférési jogok beállítását az informatikai rendszereken a biztonsági felelős utasításainak maradéktalan betartásával. A rendszergazda köteles tevékenységét a belső szabályzatok előírásai szerint bizonylatolni. 4.1.2.5 Operátor Az operátor feladata – biztonsági események fogadása, elsőszintű kezelése; – távfelügyeleti rendszeren a Központi Rendszer működésének folyamatos monitorozása; – mentések végrehajtása. Az operátor köteles tevékenységét a belső szabályzatok előírásai szerint bizonylatolni. 4.1.3 Személyi biztonság A személyekre vonatkozó biztonsági intézkedések célja a gondatlanságból elkövetett emberi károkozás, valamint a szándékos visszaélések kockázatának csökkentése. Tekintettel arra, hogy a fontos és bizalmas munkakört betöltők esetében van lehetőség leginkább a visszaélésekre, ezért ezeket a munkaköröket – csak erkölcsi bizonyítvánnyal rendelkező, nemzetbiztonsági ellenőrzésen átesett, – megfelelő szakképesítéssel és szakvizsgával, az adott szakterületre előírt gyakorlattal rendelkező személy töltheti be. 2007/52. szám A MeH hangsúlyt fektet arra, hogy az ilyen munkakört betöltő személyek szakmai felkészültsége mindenkor megfeleljen a kor követelményeinek, ezért a továbbképzések rendjét belső utasításban határozza meg. Ilyen munkakört betöltő személy által elkövetett visszaélés esetén a MeH a jogszabályok figyelembevételével a lehető legszigorúbb szankciókat alkalmazza. 4.2 Fizikai biztonsági intézkedések A Központi Rendszer alapvető informatikai eszközeinek telephelyét és a működésükhöz szükséges infrastruktúrát a MeH biztosítja. A kialakított környezet a(z) – áramellátás, – légkondicionálás, – tűzmegelőzés és tűzvédelem, – villámvédelem, – betörésvédelem, beleértve az élőerős védelmet is, területén a vonatkozó biztonsági előírásoknak maradéktalanul megfelel, a kialakított védelem arányban áll a MeH által kockázatelemzésben azonosított kockázatokkal, és biztosítja, hogy: – az infrastruktúrát érintő hibák ne veszélyeztessék a vállalt szolgáltatási szintet, – természetes személyek gondatlanságból vagy szándékosan ne legyenek képesek kárt okozni a Központi Rendszer működésében, továbbá – ne legyen módjuk veszélyeztetni a Központi Rendszer által feldolgozott adatok titkosságát és sértetlenségét. 4.3 Adatbiztonság 4.3.1 Mentés A Központi Rendszerben tárolt és feldolgozott minden adatról üzemzavar elhárítása céljából adatmentés készül. Ezen mentések biztosítják, hogy adatvesztéssel járó üzemzavar esetén az adatvesztés mértéke még elfogadható mértékű legyen. A kialakított mentési stratégia olyan, hogy legrosszabb esetben is csak korlátozott adatvesztés lehetséges. 4.3.2 Archiválás 4.3.2.1 Archivált adatkörök és megőrzési idejük Az ügyfél által végzett tevékenységekről készített naplóállományok megőrzési ideje egy hónap, ezen adatok az előírt időpontig archiválásra kerülnek. Az ügyfélszolgálati és üzemeltetési tevékenységekről készített naplóállományok megőrzési ideje ugyanez. A dokumentummozgásokhoz (bevallások, adatszolgáltatások, döntések stb. ügyfelek, illetve hivatalok általi küldése) kapcsolódó adatokat pedig a köziratokról, a közlevéltárakról és a magánlevéltári anyag

Source: https://magyarkozlony.hu/hivatalos-lapok/33cb60da64569013887b64cc3e59f1d5cbdfb1a2/dokumentumok/169263699fa065547a050ed27d2aebf2886b6503/letoltes