Publication: Magyar Közlöny
Issue: MK-2009-145 (Year: 2009, Number: 145)
Era: 2004-2010
Section: 1. melléklet a 223/2009. (X. 14.) Korm. rendelethez
Paragraph Index: 504

9. Információs rendszerek beszerzése, fejlesztése és mûködtetése 9.1. Információs rendszerek biztonsági követelményei 9.1.1. Biztonsági követelmények elemzése és meghatározása Cél: Annak biztosítása, hogy a biztonság az informatikai rendszereknek szerves részét képezze. Feladat: A fejlesztés vagy beszerzés kezdete elõtt, az információs rendszerekre vonatkozó biztonsági kockázatokat elemezni kell, ez alapján meg kell határozni a vonatkozó biztonsági intézkedéseket. Elõnyben kell részesíteni azokat az informatikai rendszereket, melyek az adott, technológiai jellegû biztonsági intézkedések teljesítésérõl értékeléssel rendelkeznek. Eredmény: Az információs rendszerekre vonatkozó biztonsági rendszerterv. Felelõs: Informatikai biztonsági felügyelõ/felelõs 9.2. Helyes adatfeldolgozás az alkalmazásokban 9.2.1. Bemenõ adatok érvényesítése Cél: Az informatikai rendszerek helyes mûködéséhez szükséges bemenõ adatok megfelelõségének biztosítása. Feladat: Az informatikai rendszerek bemenõ adatainak ellenõrzése mind tartalmi, mind formai szempontból. Eredmény: Adatbeviteli ellenõrzési eljárások. Felelõs: Adatgazda 9.2.2. Belsõ feldolgozás ellenõrzése Cél: A belsõ feldolgozás során mind a szándékos, mind a véletlen károkozás kockázatának minimálisra csökkentése. Feladat: Az alkalmazásokba érvényességi ellenõrzéseket kell beépíteni, hogy észlelni lehessen az információk feldolgozási hibákból vagy akár a szándékos cselekedetekbõl adódó bármilyen sérülését. Eredmény: A feldolgozás során bekövetkezõ hiba esélyének jelentõs csökkentése. Felelõs: Informatikai biztonsági felügyelõ/felelõs 9.2.3. Üzenetek hitelessége és sértetlensége Cél: Az alkalmazások közötti kommunikáció során a hitelesség és a sértetlenség biztosítása. Feladat: Meg kell határozni, hogy az alkalmazások közötti kommunikáció során milyen eszközökkel (például aszimmetrikus kulcsú aláírás, szimmetrikus vagy aszimmetrikus titkosítás, idõbélyegek alkalmazásával) lehet biztosítani a sértetlenséget és a hitelességet; illetve hogy ezen óvintézkedés mely üzenettípusok esetén szükséges. Az így meghatározott üzenettípusokra a hitelességet és sértetlenséget biztosító eszközök alkalmazását szabályozni kell. Eredmény: A kommunikáció hitelességének és a sértetlenségének biztosítása révén a megbízhatóság jelentõs növelése. Felelõs: Informatikai biztonsági felügyelõ/felelõs 9.2.4. Kimenõ adatok ellenõrzése Cél: A kimenõ adatok érvényessége, a tárolt információk késõbbi feldolgozása helyes és a körülményeknek megfelelõ legyen. Feladat: Annak biztosítása, hogy mind az automatikus, mind a manuális illesztõ felületeken (interface-eken) a megfelelõ idõben, a megfelelõ (szabályozott) struktúrában és adattartalommal jelenjen meg a kimenõ információ. Eredmény: Az alkalmazások kimenetén szabványos, sértetlen, megbízható adatok jelentkeznek; javítva a szolgáltatás megbízhatóságát. Felelõs: Adatgazda 9.3. Titkosítási intézkedések 9.3.1. Titkosítási eljárások használatára vonatkozó szabályzat Cél: A titkosítási eljárások használatának szabályozása. Feladat: Az adatok védelme érdekében ki kell alakítani, és alkalmazni kell a titkosítási eljárások használatára vonatkozó szabályzatot; valamint ezen szabályzat betartását ellenõrizni kell. A védelem szükséges szintjét a kockázatanalízisre, illetve független értékelésre kell alapozni. Eredmény: Megbízható titkosítási eljárások; a bizalmasság, a sértetlenség és a hitelesség megléte. Felelõs: Informatikai biztonsági felügyelõ/felelõs 9.3.2. Kulcsmenedzsment Cél: A hatályos jogi szabályozásnak megfelelõ, lehetõleg az Európai Unió gyakorlatának és ajánlásainak is eleget tevõ kriptográfiai technikákon alapuló kulcsmenedzsment-rendszer kialakítása. Feladat: A magyar jogi szabályozásnak eleget tevõ, lehetõleg a nemzetközi gyakorlatban is bevált kulcsmenedzsment-rendszerek értékelése; az alkalmazandó kulcsmenedzsment-rendszer kiválasztása, a megfelelõ szabályzat kialakítása, bevezetése és betartatása szükséges. Eredmény: A titkosítási és hitelesítési, illetve visszafejtési eljárások során megbízható kulcsok kerülnek felhasználásra. Felelõs: Informatikai biztonsági felügyelõ/felelõs 9.4. Rendszerfájlok biztonsága 9.4.1. Üzemelõ szoftverek ellenõrzése Cél: Megbízható szoftverek használata. Feladat: Szabályzatba kell foglalni a szoftverek telepítésének és üzemeltetésének elvárt folyamatát; létre kell hozni a központi, illetve intézményi szoftverkatalógust, s csak az abban szereplõ (elõzetesen bevizsgált) szoftvereket szabad a számítógépekre telepíteni. Biztosítani kell, hogy a fejlesztõk és karbantartók csak azokhoz a rendszerekhez férjenek hozzá, amelyekre munkájukhoz feltétlenül szükségük van. Eredmény: Megbízható szoftverek használata, az információ kiszivárgási veszélyének csökkentése. Felelõs: Informatikai biztonsági felügyelõ/felelõs 9.4.2. Rendszervizsgálat adatainak védelme Cél: A rendszer vizsgálatához szükséges adatok teljes körû védelmének biztosítása. Feladat: A vizsgált adatok körét gondosan kell megválasztani, azokat a teljes életútjuk során folyamatosan védeni és ellenõrizni kell. A személyes adatokat tartalmazó üzemeltetési, tesztelési adatbázisok használatát el kell kerülni. Eredmény: A rendszer-felügyeleti adatok sérülési, illetéktelen helyre való kerülési kockázatának jelentõs csökkenése. Felelõs: Adatgazda és informatikai biztonsági felügyelõ/felelõs 9.4.3. Programok forráskódjához való hozzáférés ellenõrzése Cél: A programok forráskódjához való hozzáférés szabályozása. Feladat: A használt programok forráskódját biztonságos helyen kell tárolni, a hozzáférést szigorúan korlátozni és naplózni szükséges. Amennyiben a forráskód nem ellenõrizhetõ, az önmagában egy kockázati tényezõt jelent. Eredmény: A programforráskódok kikerülésének; ily módon a rendszer potenciális sebezhetõségi pontjai illetéktelen helyre kerülésének kockázata jelentõsen csökken, ugyanakkor az esetleges hibajavításhoz haladéktalanul rendelkezésre áll az éppen használt verzióban. Felelõs: Informatikai biztonsági felügyelõ/felelõs 9.5. Biztonság a fejlesztési és támogató folyamatokban 9.5.1. Változáskezelés szabályozási eljárásai Cél: A változtatások megvalósításának ellenõrzés alatt tartása. Feladat: A változtatások végrehajtására változáskezelési eljárásokat kell bevezetni, kidolgozni és betartatni. Biztosítani kell, hogy a fejlesztõk és karbantartók csak azokhoz a rendszerekhez férjenek hozzá, amelyekre munkájukhoz feltétlenül szükségük van. Eredmény: A változtatások felügyelet alatt tarthatók lesznek; így a rendszer részét képezõ összes szoftver kontrollálható. Ez a káros programok elleni védelem hatékonyságát is növeli. Felelõs: Informatikai biztonsági felügyelõ/felelõs 9.5.2. Alkalmazások mûszaki átvizsgálása az üzemelõ rendszerek megváltoztatását követõen Cél: A változtatás ne okozzon mûködési zavart a szervezetben és biztonságában. Feladat: A használatban levõ rendszerek megváltozásakor meg kell vizsgálni, hogy (fõleg a mûködés szempontjából kritikus) alkalmazások mûködésére az adott változtatás nincs-e káros hatással. Eredmény: Csökken a káros hatás kockázata a használat alatt levõ rendszerekre. Felelõs: Informatikai biztonsági felügyelõ/felelõs 9.5.3. Szoftvercsomagok változásának korlátozása Cél: A szoftvercsomagok módosításának visszaszorítása a feltétlen szükséges esetekre. Feladat: Valamennyi változtatás szükségességét, indokoltságát ellenõrizni kell; minél alacsonyabb szinten kell tartani a szoftvercsomagok változtatását. Változtatás esetén az eredeti verziót meg kell õrizni, s a fejlesztést egy másolaton kell végezni. Az új verziót alapos tesztelésnek kell alávetni, éles bevezetése csak ez után lehetséges. Eredmény: A szoftvercsomagok egységessége miatt az esetleges sebezhetõségek javítása kisebb ráfordítást igényel, csökken a sebezhetõség kockázata. Felelõs: Informatikai biztonsági felügyelõ/felelõs 9.5.4. Veszélyes (forrás)kódok kiszûrése Cél: Meg kell elõzni az információk kiszivárgását. Feladat: Az információk kiszivárgásának elkerülése érdekében minden rendelkezésre álló forráskódot le kell vizsgálni/vizsgáltatni használat elõtt, hogy nincs e benne „hátsó ajtó”. Csak tiszta forrásból szabad programokat beszerezni. Csak szigorú tesztelés után lehet bármely programot a végleges rendszerbe engedni. Eredmény: Kisebb eséllyel kerülnek információk illetéktelen kezekbe. Felelõs: Informatikai biztonsági felügyelõ/felelõs 9.5.5. Kiszervezett szoftverfejlesztés Cél: A használatba vétel elõtt a szervezeten kívüli eredetû (készített, fejlesztett, javított) szoftvereket kiemelt figyelemmel kell ellenõrizni. Feladat: Kiemelt figyelemmel kell kísérni a külsõ szoftver-fejlesztést; s a kapott programot alaposan felül kell vizsgálni/vizsgáltatni. Csak megbízható forrásból származó szoftvert szabad alkalmazni. Eredmény: Az alkalmazott szoftverek alapos vizsgálata révén alacsonyabb eséllyel lesz (trójai típusú) támadásnak kitéve a rendszer. Felelõs: Informatikai biztonsági felügyelõ/felelõs 9.6. Mûszaki sebezhetõség kezelése 9.6.1. A mûszaki sebezhetõségek ellenõrzése Cél: A mûszaki sebezhetõség minimális szinten tartása. Feladat: Fel kell mérni az alkalmazott rendszerek sebezhetõ pontjait, s az ezekbõl fakadó kockázatot meg kell szüntetni (illetve minimalizálni a kockázattal arányosan) megfelelõ védelmi intézkedések meghozásával. Eredmény: A sebezhetõ pontok megszûnése. Felelõs: Informatikai biztonsági felügyelõ/felelõs

Source: https://magyarkozlony.hu/hivatalos-lapok/ecb4451b97255cd5b4e0e34e49810f4693f6ffe2/dokumentumok/0580a50ff1a9e31b0ee77b7a32cd98b734861afe/letoltes