14/2024. (VI. 20.) BM utasítás

1. A Belügyminisztérium Informatikai Biztonsági Szabályzata (a továbbiakban: IBSZ) alkalmazásában

1.1. Adat: az állami és önkormányzati szervek elektronikus információbiztonságáról szóló 2013. évi L. törvény (a továbbiakban: Ibtv.) 1. § (1) bekezdés 1. pontja szerinti fogalom;

1.2. Adatátvitel: az adatok elektronikus információs rendszerek, rendszerelemek közötti továbbítása;

1.3. Adatgazda / EIR felelős: az a személy vagy szervezeti egység, amely a végső felelőse egy bizonyos adathalmaz jelentésének, tartalmának, minőségének és elérhetővé tételének. Ide értendő az is, hogy az adatot hogyan definiálják, hogyan állítják elő, hogyan azonosítják, hogyan tartják karban, hogyan használják fel. A Belügyminisztérium szervezeti egységeinél kezelt személyes adatok tekintetében a szervezeti egységet irányító vezető, aki felelős a szervezeti egysége által kezelt valamennyi személyes adat IBSZ-nek megfelelő kezelésért;

1.4. Adathordozó: olyan hardverelem, amely nagy mennyiségű adatot képes tárolni, és azokat a számítógép kikapcsolása után is megőrizni. Az adat fizikai megjelenési formája, tárolási helye, ideértve az iratokat is. Ezek az alábbiak:

1.5. Adatkezelés: az Ibtv. 1. § (1) bekezdés 4. pontja szerinti fogalom;

1.6. Adatkezelő: az Ibtv. 1. § (1) bekezdés 5. pontja szerinti fogalom;

1.7. Adminisztrátor: az elektronikus információs rendszerekben, rendszerelemekben meghatározott adminisztrátori funkciók (jogosultság-beállítás, működési paramétereinek beállítása, adatszótárak kezelése stb.) használatára jogosult személy, akit az adatgazda / EIR felelős jelöl ki;

1.8. Akcióterv, BCP Akcióterv, DRP Akcióterv: az elektronikus információs rendszer kiesése esetén végrehajtandó helyettesítő (alternatív) lépések, tevékenységek sorozatát meghatározó dokumentum és folyamat. Meghatározza a felelősöket, a szükséges minimum-erőforrásokat, a megengedett kiesési időt a végrehajtás kritikus időszakában. A BCP és DRP Akcióterv forgatókönyvszerű, operatív intézkedést felvázoló terv, mely lehetővé teszi alternatív tevékenységek gyors és lehetőség szerint hibamentes végrehajtását (BCP), majd a visszaállást (DRP);

1.9. BCP: Business Continuity Plan – Üzletmenet (ügymenet) folytonossági terv. A Belügyminisztérium felkészül a kritikus ügyviteli folyamatok esetleges megszakadására. Cél a kritikus szolgáltatások minimálisan szükséges szintjének fenntartása krízishelyzet esetén, átállás normál üzemre;

1.10. Bejelentkezés: a felhasználó által kezdeményezett olyan logikai kapcsolat, amelynek eredményeképpen az elektronikus információs rendszer funkcióinak használata lehetővé válik;

1.11. Bizalmasság: az Ibtv. 1. § (1) bekezdés 1. pontja szerinti fogalom;

1.12. Biztonsági esemény (incidens): az Ibtv. 1. § (1) bekezdés 9. pontja szerinti fogalom;

1.13. Biztonsági események kezelése: az Ibtv. 1. § (1) bekezdés 10. pontja szerinti fogalom;

1.14. Biztonsági osztály: az Ibtv. 1. § (1) bekezdés 11. pontja szerinti fogalom;

1.15. Biztonsági osztályba sorolás: az Ibtv. 1. § (1) bekezdés 12. pontja szerinti fogalom;

1.16. Biztonsági szint: az Ibtv. 1. § (1) bekezdés 13. pontja szerinti fogalom;

1.17. Biztonsági szintbe sorolás: az Ibtv. 1. § (1) bekezdés 14. pontja szerinti fogalom;

1.18. Biztonságtervezési eljárásrend: folyamatot szabályozó dokumentum, tartalmazza az egyes elektronikus információs rendszerek, rendszerelemek teljes életciklusában megvalósítani kívánt, a Belügyminisztérium biztonságpolitikai céljainak megfelelő követelményeket;

1.19. Demilitarizált zóna (DMZ): a hálózatok megbízhatatlan külső és a megbízható belső részek között elhelyezkedő területe. A DMZ a benne elhelyezkedő hálózati eszközökhöz és erőforrásokhoz mind a megbízott belső, mind a megbízhatatlan külső területről engedélyezi a hozzáférést, de megakadályozza, hogy a külső területről bármilyen kérés vagy hozzáférési kísérlet eljusson a belső hálózatra;

1.20. DRP: Disaster Recovery Plan – katasztrófa-elhárítási terv, melynek feladata, hogy a szervezet reagálni tudjon a katasztrófára és az egyéb olyan vészhelyzetekre, amelyek hatással vannak az elektronikus információs rendszerre, valamint, hogy minimalizálja ezek hatását az ügymenetre;

1.21. EI: Egységes Infrastruktúra. A NISZ Nemzeti Infokommunikációs Szolgáltató Zrt. által megvalósított projekt célja, hogy az érintett szervezetek különálló informatikai struktúráját egységes infrastruktúrába vonja, azaz központosított, egységes, korszerű szolgáltatások váltsák ki a különböző szervezeteknél működő informatikai megoldásokat;

1.22. Elektronikus információs rendszer (EIR): az Ibtv. 1. § (1) bekezdés 14b. pontja szerinti fogalom;

1.23. EIR biztonsága: az Ibtv. 1. § (1) bekezdés 15. pontja szerinti fogalom;

1.24. EIR biztonságáért felelős személy (IBF): az Ibtv. 13. §-ában foglalt feladatok ellátására kijelölt személy;

1.25. Életciklus: az Ibtv. 1. § (1) bekezdés 16. pontja szerinti fogalom;

1.26. Esemény: olyan esemény, amely veszélyezteti a hálózati és információs rendszereken tárolt, továbbított vagy kezelt adatok vagy az e rendszerek által kínált vagy azokon keresztül elérhető szolgáltatások rendelkezésre állását, hitelességét, sértetlenségét vagy bizalmasságát;

1.27. Észlelés: az Ibtv. 1. § (1) bekezdés 17. pontja szerinti fogalom;

1.28. Éves BCP és DRP tesztelési terv: a Belügyminisztérium a naptári év első hónapjában meghatározza mindazon informatikai rendszerek részfeladatát, elektronikus információs rendszerelemek részfeladatát, informatikai infrastruktúrát érintő részfeladatot, melyet éves intézkedési tervként az adatgazdákkal, az üzemeltetőkkel és az érintett szakterületekkel egyeztet. Az éves BCP és DRP tesztelési terv tartalmazhat visszamérést is, amennyiben a megelőző évben az adott részfeladat tesztje sikertelen lett;

1.29. Felhasználó: az Ibtv. 1. § (1) bekezdés 18. pontja szerinti fogalom;

1.30. Fizikai védelem: az Ibtv. 1. § (1) bekezdés 20. pontja szerinti fogalom;

1.31. Hálózat: informatikai eszközök közötti adatátvitelt megvalósító logikai és fizikai eszközök összessége;

1.32. Helyreállítás: a katasztrófa következtében megsérült erőforrások eredeti állapotának eredeti helyen történő biztosítása;

1.33. High Level Design (HLD): bemutatja a rendszer kifejlesztéséhez használt architektúrát. Az architektúra diagram egy teljes rendszer áttekintését nyújtja, azonosítja a termékhez kifejlesztendő fő komponenseket és interfészeiket;

1.34. Hitelesség: az adat azon tulajdonsága, hogy az bizonyítottan vagy bizonyíthatóan az elvárt forrásból származik;

1.35. Hozzáférés: olyan eljárás, amely valamely EIR használója számára elérhetővé tesz a rendszerben adatokként tárolt információkat;

1.36. Illetéktelen személy: az adat megismerésére nem jogosult személy;

1.37. Információ: az Ibtv. 1. § (1) bekezdés 25. pontja szerinti fogalom;

1.38. Informatikai infrastruktúra: mindazon hardver- és szoftvereszközök, EIR-ek, hálózatok, alkalmazások, programok összessége, amelyek segítik és kiszolgálják a szervezet kommunikációs, adatfeldolgozó és adatátviteli tevékenységét;

1.39. Intranet: olyan számítógép-hálózat, amely az internetprotokollt használja, de a külvilág (az internet) felé zárt, vagy csak egy átjárón, illetve tűzfalon keresztül érhető el, amely az intranet külső kapcsolatait szabályozza. A Belügyminisztériumban a publikus informatikai biztonsági dokumentációk elérési helye;

1.40. Jogosultság: jog az adatkezelésre, információkezelésre, illetve a különböző EIR-ek használatára;

1.41. Jegyzőkönyv (Tesztjegyzőkönyv): jegyzőkönyvnek, tesztjegyzőkönyvnek azt a dokumentumot nevezzük, amely a biztonsági esemény, incidenskezelésben, katasztrófa-elhárításban, üzlet (ügymenet) folytonosságban mind tesztelés, mind éles helyzet esetén a Belügyminisztérium BCP felelőse és/vagy DRP felelőse, illetve az incidensgazda vezet, és az Akciótervekhez mellékel. Feladata, hogy a tevékenységeket felelőshöz és feladathoz sorolja időrendi sorrendben;

1.42. KAK (Kormányzati Adatközpont): a Kormányzati Adatközpont működéséről szóló 467/2017. (XII. 28.) Korm. rendelet 2. § a) pontja szerinti fogalom;

1.43. Katasztrófa: az EIR rendelkezésre állásának megszűnése, vagy nagymértékű csökkenése;

1.44. Kockázat: az Ibtv. 1. § (1) bekezdés 28. pontja szerinti fogalom;

1.45. Kockázatelemzés: az Ibtv. 1. § (1) bekezdés 29. pontja szerinti fogalom;

1.46. Kockázatkezelés: az Ibtv. 1. § (1) bekezdés 30. pontja szerinti fogalom;

1.47. Konfigurációkezelési terv: figyelembe veszi a szerepköröket, felelősségeket, konfigurációkezelési folyamatokat és eljárásokat; bevezet egy folyamatot a konfigurációelemek azonosítására a rendszerfejlesztési életciklus folyamán és a konfigurációelemek konfigurációjának kezelésére; meghatározza az EIR konfigurációelemeit és a konfigurációelemeket a konfigurációkezelésben;

1.48. Közreműködő: a Belügyminisztérium adatkezelési vagy adatfeldolgozási tevékenységeihez igénybe vett, valamint az EIR üzemeltetésében részt vevő, az EIR működtetéséhez igénybe vett elektronikus hírközlési szolgáltatást vagy közvetítő szolgáltatást nyújtó szervezet. A Belügyminisztérium az EIR-ek tervezéséhez, fejlesztéséhez, létrehozásához, üzemeltetéséhez, auditáláshoz, kockázatok elemzéséhez, kezeléséhez, karbantartáshoz, javításhoz, továbbá a telephelyeinek fenntartáshoz közreműködő szervezet szolgáltatásait veszi igénybe;

1.49. Kriptográfia: mindazoknak az eljárásoknak, algoritmusoknak, biztonsági rendszabályoknak a kutatása, alkalmazása, amelyek az információ bizalmasságát, hitelességét vagy sértetlenségét hivatottak megvédeni;

1.50. Megelőzés: az Ibtv. 1. § (1) bekezdés 36. pontja szerinti fogalom;

1.51. Minősítés: az a döntés, melynek meghozatala során az arra felhatalmazott személy megállapítja, hogy egy adat a tartalmánál fogva a nyilvánosságát korlátozó titokkörbe tartozik;

1.52. Normál jogosultsági körrel rendelkező felhasználó: olyan személy, aki a rendszerben meghatározott alapvető jogosultságokkal rendelkezik;

1.53. OVI űrlap (Osztályba sorolás és Védelmi Intézkedés űrlap): az EIR-ekre és adatokra vonatkozó bejelentéseknek a Nemzeti Kibervédelmi Intézet részére történő megküldéséhez használandó MS Excel fájlformátumú űrlap, melyet EIR-enként kell kitölteni;

1.54. Projektidőszak: a projektek tervezésének, végrehajtásának és értékelésének összessége;

1.55. RACI mátrix: olyan mátrix, amely a folyamatok befejezéséhez szükséges különböző szerepkörök hozzájárulását mutatja be. Szerepkörök és felelősségek tisztázásakor elengedhetetlenül fontos. Előnye az átláthatóság. A RACI mozaikszó, amely a Responsible (R), Accountable (A), Consulted (C) és Informed (I) szavak kezdőbetűiből áll össze;

1.56. RBK (Rendszerbeavatkozási Kérelem): az EIR-be történő beavatkozást azonosítja, bemutatja a beavatkozás lehetséges kockázatait. Tartalmazza továbbá a végrehajtókat, a közreműködők körét és elérhetőségeit, a tesztelésre vonatkozó információkat, és minden olyan információt próbál feltárni, amely a kockázatelemzéshez szükséges;

1.57. Reagálás: az Ibtv. 1. § (1) bekezdés 37. pontja szerinti fogalom;

1.58. Rendelkezésre állás: az Ibtv. 1. § (1) bekezdés 38. pontja szerinti fogalom;

1.59. Rendszerelemek: az adatokat körülvevő, az EIR részét képző elemek, amelyek a következő rendszerelem-csoportokba oszthatók:

1.60. Rendszergazda (technikai privilegizált felhasználó): az EIR-ek üzemeltetését végző szakember, akivel szemben alapvető feltétel, hogy a kinevezési feltételeknek megfeleljen;

1.61. Rendszer Felvételi Lap: a Belügyminisztérium adatkezelésében lévő EIR-ek alapadatait tartalmazó dokumentum, melyet az adatgazda/adatkezelő vagy EIR felelős szerv vezetője aláírásával is hitelesít az IBF-fel együtt. Kezelt adatok: EIR pontos neve, EIR alapfeladata, fő funkcionalitása 2-3 mondatban, EIR által biztosított szolgáltatások felsorolása, kezelt adatok köre, kezelt adatok mennyisége (pl. nagy mennyiség), biztonsági osztálya, az EIR elemeinek esetleges további biztonsági osztályba sorolásának eredménye, EIR adatgazdájának elérhetőségei, közreműködő fejlesztő, alkalmazásüzemeltető, rendszerüzemeltető kapcsolattartójának személyneve és elérhetőségei, EIR üzemeltetési helyszínei, EIR kritikus elemei;

1.62. RPO (Recovery Point Objective): adatvesztés mértéke, amely a Belügyminisztérium számára elfogadható katasztrófa (pl. szoftver vagy hardver katasztrofális elvesztése) következtében;

1.63. RTO (Recovery Time Objective): katasztrófa utáni helyreállítási idő. A helyreállítási idő a maximális elvárt időtartam, mely alatt egy adott váratlan leállást, hibát, katasztrófát el kell hárítani, és visszatérni a normál működésbe;

1.64. Sértetlenség: az Ibtv. 1. § (1) bekezdés 39. pontja szerinti fogalom;

1.65. Sérülékenységi teszt: az adatkezelő által megrendelt fejlesztés idején a fejlesztő vagy erre külön szerződő szakértő végzi el. A teszt megléte nem befolyásolja a sérülékenységi vizsgálat szükségességét;

1.66. Sérülékenységvizsgálat: az Ibtv. 1. § (1) bekezdés 41. pontja szerinti fogalom;

1.67. SZEAT (Szolgáltatási és Ellátási Alapadat Tár): a Belügyminisztérium a működéséhez szükséges gazdasági, informatikai, műszaki és elhelyezési feltételek biztosítása céljából adatot szolgáltat a felhasználók nevéről, neméről, születési idejéről, valamint szervezeti és munkaköri adatokról a SZEAT rendszer részére. A SZEAT rendszer a szolgáltató központ útján adatokat szolgáltat a Belügyminisztérium részére a kormánytisztviselő elhelyezésének adatairól, valamint – a foglalkoztatás megszüntetésével kapcsolatos jogok gyakorlása és kötelezettségek teljesítése céljából – a kormánytisztviselő által használt eszközökről, igénybe vett szolgáltatásokról;

1.68. Támadás: védett érték megszerzésére, megsemmisítésére, károkozásra irányuló cselekmény. Támadás alatt nem csak a személyek, szervezetek által elkövetett támadásokat, de áttételesen a gondatlanságból, nem szándékosan kiváltott veszélyeztetéseket és a környezeti, természeti fenyegetéseket is értjük, amely támadások legtöbbször nem közvetlenül érik a védett értéket, hanem a körülményektől függő támadási útvonalon zajlanak le;

1.69. Üzemeltetés: az EIR-ek működőképességét biztosító informatikai környezet létrehozása, karbantartása;

1.70. Üzemeltető: az Ibtv. 1. § (1) bekezdés 45. pontja szerinti fogalom;

1.71. Vírus vagy kártékony kód: olyan programtörzs, amely a megfertőzött program alkalmazása során másolja, esetleg mutálja is önmagát. Többnyire komoly károkat okoz, adatot töröl, adatot ideiglenesen/véglegesen elérhetetlenné tesz, formázza a merevlemezt, vagy adatállományokat küld szét e-mailben, vagy hosszú ideig észrevétlenül rejtőzik.

2. Az IBSZ célja

3. Az IBSZ tárgyi hatálya a Belügyminisztérium használatában lévő vagy az általa üzemeltetett valamennyi meglévő és a későbbiekben fejlesztendő EIR-re, azok környezetét alkotó rendszerelemekre és infrastrukturális elemeire terjed ki azok teljes életciklusában (az előkészítéstől a rendszerből történő kivonásig), kivéve a minősített adatokat kezelő rendszereket.

4. Az IBSZ személyi hatálya kiterjed a Belügyminisztériumnak a Belügyminisztérium Szervezeti és Működési Szabályzatáról szóló 12/2022. (VI. 28.) BM utasítás 3. függeléke szerinti szervezeti egységeire.

5. A Belügyminisztérium EIR-jével, szolgáltatásaival szerződéses vagy más módon kapcsolatba kerülő közreműködő tekintetében a szerződéskötés feltétele, hogy

6. Az IBSZ-t az IBF évente egy alkalommal felülvizsgálja (rendes felülvizsgálat). A felmerült módosítási javaslatot az Informatikai Helyettes Államtitkárság (a továbbiakban: IHÁT) vezetőjének továbbítja. A felülvizsgálat tényét jelölni kell akkor is, ha a felülvizsgálat során módosítás nem történt. Az IBSZ módosítását annak aláírását követően haladéktalanul meg kell küldeni a Nemzeti Kibervédelmi Intézet (a továbbiakban: NKI) részére.

7. Soron kívüli felülvizsgálatot végez az IBF

8. A mindenkori felülvizsgálat elvégzésében az IBSZ előírásai szerint érintett munkatársak közreműködnek.

5. Az IBSZ oktatása

9. Az IBSZ előírásait a Belügyminisztérium munkatársai tevékenységük során kötelesek betartani, melyre tekintettel az IBSZ tartalmának megismerését valamennyi érintett számára biztosítani kell. Ennek érdekében az IHÁT a hatályos IBSZ-t a Belügyminisztérium intranet portálján közzéteszi.

10. Az új belépők listáját a személyügyi szakterület a belépést követő 5 munkanapon belül megküldi az információbiztonsági felügyeleti szakterület (a továbbiakban: IB) részére.

11. Az IB a személyügyi szakterület jelzése után a tananyag elérhetőségét haladéktalanul megküldi az új belépő részére; az új belépő köteles részt venni az IB által e-learning keretében szervezett oktatáson, mely vizsgával zárul. A belépést követő képzést és vizsgát követően a munkatársak kétévente kötelesek biztonságtudatossági, ismétlő jellegű képzésen részt venni (e-learning keretében), és a képzés végén vizsgát tenni.

12. Az IB feladata az e-learning alapú oktatás és a vizsgáztatás megszervezése és lebonyolítása.

13. A vizsgaeredményekről az IB nyilvántartást vezet.

14. Az eredményes vizsga után az IB az eredményét és a jelenlétét igazoló dokumentum másolatának megküldésével értesíti a személyügyi szakterületet, hogy az új belépő sikeres vizsgát tett.

15. Ha az új belépő a belépésétől számított 60 munkanapon belül – vagy ha a képzés, illetve vizsgáztatás lehetősége csak későbbi időpontban áll rendelkezésre, a Rendvédelmi Informatikai és Elektronikus Rendszerek Működtetéséért és Fejlesztéséért Felelős Főosztály (a továbbiakban: RERIFO) által megadott határidőn belül – nem tesz sikeres vizsgát, az IB – a jelenléti lap másolatának, illetve a sikertelen vizsga eredményének megküldésével – értesíti a személyügyi szakterületet.

16. Az információbiztonsági védelem tárgya a Belügyminisztérium és a közreműködők által a telephelyein üzemeltetett, és a Belügyminisztérium tulajdonában lévő EIR-ek infrastruktúrája és annak környezete, rendszerelemei.

17. A közreműködővel kötött fejlesztési és beszerzési szerződésekben érvényesítendő információbiztonsági kritériumokat, elvárásokat eljárásrendben kell rögzíteni.

18. Az IHÁT

19. Az Adatvédelmi tisztviselő

20. A Belügyminisztériumban használatban lévő EIR-ek informatikai üzemeltetéséért felelős szervezeti egység (RERIFO) vezetőjének információbiztonság megvalósításával kapcsolatos alapvető feladatai az érintett személyi állomány útján és közreműködésével a következők:

21. Az adatgazda / EIR felelős

22. A KM

23. Az incidensgazda

23.1. Az incidensgazda az IRO mindenkori vezetője. Az incidensgazda nem lehet a BCP felelős, a DRP felelős és az IBF.

23.2. Az incidensgazda

23.2.1. valós biztonsági esemény, incidens során az IEM-ben lévő tagok munkáját legfelsőbb szinten koordinálja;

23.2.2. incidensjelentést készít az alábbiak szerint:

23.2.3. azonnali hatállyal összehívja az IEM-et, ha incidens elhárítása kapcsán az incidens ténye megállapítást nyer;

23.2.4. feladata az IEM stratégiájának kidolgozása, a stratégia felülvizsgálata mind incidens, mind incidens kapcsán végzett tevékenység során, de évente egyszer elvégzendő normál esetben is;

23.2.5. részt vesz projekttervezésben;

23.2.6. feladata az infrastruktúra-fejlesztés, változáskezelés, kapcsolattartás a partnerekkel, ügyfelekkel;

23.2.7. feladata eseménykezelési eljárásrendre tett IBF javaslat felülvizsgálata, módosításra történő előterjesztés elkészítése;

23.2.8. kritikusnak minősített biztonsági eseményeket, incidenseket felülvizsgálja, és jelentés előkészítése az IBF-nek;

23.2.9. valós és tesztesemények kapcsán együttműködik a BCP és DRP felelőssel és az IBF-fel;

23.2.10. fogadja az információkat a felhasználók, a közreműködő informatikai üzemeltetés és vezetés részéről;

23.2.11. feladata a téves riasztások elbírálása, eszkaláció kezdeményezése, megoldási útvonal kidolgozása, kapcsolatfelvétel a felhasználók irányába;

23.2.12. feladata incidens választervek követése, annak kikényszerítése az IEM-ben;

23.2.13. szabályozók (szabályzatok, eljárásrendek) módosítását kezdeményezi az IBF-nél;

23.2.14. feladata kritikus és ismeretlen incidensekre adott válaszlépések irányítása, use case és folyamatok fejlesztésében való aktív részvétel;

23.2.15. feladata az IEM tagjainak oktatása, képzése, anyag kidolgozása, melyet engedélyezés kapcsán, oktatás előtt ellenőrzésre megküld az IBF-nek;

23.2.16. felveszi a kapcsolatot az Adatvédelmi tisztviselővel (DPO) személyes adatokkal kapcsolatos érintettség esetén;

23.2.17. feldolgozza az incidenst a kezdeti elemzés során;

23.2.18. az IEM vezetőjeként egy személyben felel a Belügyminisztérium vezetőivel, munkatársaival kapcsolatos tájékoztatásért;

23.2.19. továbbítja a vezetői döntéseket az IEM felé;

23.2.20. feladata, hogy az incidens jellegéből adódóan, vezetői engedélyezés esetén a közreműködő szervezeteket a kapcsolattartó felületeken keresztül delegálja az IEM-be;

23.2.21. feladata, hogy éves gyakorlatokat szervezzen az IEM tagjaival egy feltételezett incidens kezelése formájában;

23.2.22. tevékenysége lépéseit dokumentálja jegyzőkönyv formájában, melynek előnyös vonatkozásait szakmai javaslatként megteheti a szabályozási folyamat során;

23.2.23. éles események, incidensek kapcsán tett intézkedéseit felülvizsgálja, melynek során jegyzőkönyvet készít minden elvégzett lépésről, annak sikerességét, sikertelenségét is megemlítve;

23.2.24. létrehozza az IEM-et, tagjait kijelöli;

23.2.25. ellátja az IEM csoportvezetői feladatát; ennek keretében vizsgálja, hogy a jelzett/jelentett/észlelt biztonsági események, incidensek súlyos/kritikus incidensnek minősíthetőek-e;

23.2.26. a biztonsági eseményeket, incidenseket jelenti az IBF-nek;

23.2.27. feladata a közreműködő felügyelete szakmai szinten;

23.2.28. szükség esetén (pl. vezető elérhetetlensége), speciális esetben a legjobb gyakorlat alapján jár el.

24. Az IEM

25. Az Információtechnológiai és Rejtjel Osztály (IRO) információbiztonsági felügyeleti szakterülete (IB)

26. Az EIR biztonságáért felelős személy (IBF)

26.1. Az IBF látja el az Ibtv. 13. §-a szerinti előírásokat.

26.2. Az IBF-et az Informatikai Helyettes Államtitkár jelöli ki. IBF-nek csak olyan személy jelölhető ki, aki az Ibtv. 13. § (8)–(10) bekezdésében foglalt feltételeknek megfelel.

26.3. Az IBF az Ibtv. 13. §-a szerinti feladatainak végrehajtása érdekében

27. A BCP felelős

28. A DRP felelős

29. Személyügyi Helyettes Államtitkárság feladata

30. A felhasználó

31. A tűzvédelmi felelős az általa azonosított, biztonsági eseményre, incidensre utaló jelekről tájékoztatja az IBF-et.

32. A munkavédelmi felelős az általa azonosított, biztonsági eseményre, incidensre utaló jelekről tájékoztatja az IBF-et.

33. Az IRO kialakítja és fenntartja az IBDR-t, mely az információbiztonsági dokumentumok egységes rendszerbe foglalását jelenti.

34. E dokumentációs rendszerben az IRO meghatározza az IBDR működtetéséhez szükséges információbiztonsági folyamatokat, feladatokat és felelősségi köröket, a jogszabályi előírásokra is figyelemmel.

35. Az IRO az előállítandó dokumentumokhoz felelőst és határidőt rendel.

36. A Belügyminisztérium biztonsági szintjét az Ibtv.-ben meghatározott technológiai biztonsági, valamint a biztonságos információs eszközökre, termékekre, továbbá a biztonsági osztályba és biztonsági szintbe sorolásra vonatkozó követelményekről szóló 41/2015. (VII. 15.) BM rendelet [a továbbiakban: 41/2015. (VII. 15.) BM rendelet] alapján kell meghatározni.

37. A Belügyminisztérium besorolását a hatóság felé az NKI honlapjáról letöltött NBSZ-NKI Szintbe sorolás és Védelmi Intézkedés (SZVI) űrlapon kell megküldeni.

38. A Belügyminisztérium cselekvési terve a Belügyminisztérium az IBF és a közreműködő üzemeltető által azonosított koncepcionális hiányosságok javítására, valamint az EIR ismert sérülékenységeinek csökkentésére vagy megszüntetésére irányul.

39. A cselekvési tervet az Ibtv. előírásai szerinti esetben és határidővel kell elkészíteni, a 41/2015. (VII. 15.) BM rendelet előírásainak figyelembevételével.

40. A cselekvési tervet az EIR-ekre az adatgazda / EIR felelős készíti el, majd küldi meg az IBF részére.

41. A cselekvési tervben rögzíteni kell

42. A cselekvési terv a rendszerbiztonsági tervvel együtt frissítendő, az előírt tartalmat az IBF felelőssége bevezetni és karbantartani.

43. Az intézkedési terv célja, hogy meghatározza az információbiztonság biztonsági kontrollokhoz kapcsolódó elvégzendő feladatokat, a feladatok elvégzésének felelőseit és határidejét.

44. Az IBF a következő tartalmi elemekkel készíti el az intézkedési tervet:

45. Az IBF felülvizsgálja és karbantartja az intézkedési tervet a 41/2015. (VII. 15.) BM rendelet előírásai szerint.

46. Az IBF az általa kezelt EIR-ekről nyilvántartást vezet a 41/2015. (VII. 15.) BM rendelet előírásai szerint, melyet folyamatosan frissít.

47. A nyilvántartásért az IBF felelős, az aktualizálás feladatai esetén az adatgazda, az adatkezelő és az EIR felelős is bevonásra kerül.

48. A Belügyminisztérium vagyonnyilvántartásaiban szereplő EIR-eket az adatok bizalmassága, sértetlensége és rendelkezésre állása (BSR-elv) alapján az Ibtv. és a 41/2015. (VII. 15.) BM rendelet elvárásainak megfelelően biztonsági osztályba sorolja az IBF és az adatgazda / EIR felelős közösen az 1. függelék szerinti táblázat kitöltésével.

49. A Belügyminisztérium vagyonnyilvántartásaiban szereplő EIR-ek biztonsági osztályait az Ibtv., valamint a 41/2015. (VII. 15.) BM rendelet alapján 3 évente kell felülvizsgálni, mely tevékenységet az IBF koordinálja, de az informatikai szakterület bevonásra kerül az EIR adatgazdájával / EIR felelősével együtt.

50. A biztonsági osztály meghatározásáért, illetve jogszabályban meghatározott időnkénti felülvizsgálatáért az adatgazda / EIR felelős felel.

51. Az OVI űrlap „Összegzés” és „Osztályba sorolás” munkalapjai és a Rendszer Felvételi Lap teljes körű kitöltésének felelőse az adatgazda / adatkezelő / EIR felelős, melyet rendszeresen felül kell vizsgálni.

52. A biztonsági osztály felülvizsgálata során a korábbi cselekvési tervet felül kell vizsgálni, melynek felelőse az IBF. A felülvizsgálat során az EIR-ben felhasznált és tárolt adatkörök és azok mennyisége a mérvadók.

53. Az EIR-ek besorolását a hatóság felé az NKI honlapjáról letöltött Osztályba sorolás és Védelmi Intézkedés (OVI) űrlapon kell megküldeni az NKI felé.

54. Az Ibtv.-nek és a 41/2015. (VII. 15.) BM rendeletnek megfelelően, az IBDR-ben meghatározott ütemezés alapján és az abban feltüntetett felelős önálló eljárásrendként készíti el a Kockázatelemzési és kockázatkezelési eljárásrendet.

55. A kockázatelemzés (ideértve az ismételt kockázatelemzést is) eredményét írásban kell rögzíteni, és az arra jogosultak számára elérhetővé tenni.

56. Az IBF-nek gondoskodni szükséges arról, hogy a kockázatelemzési eredmények a jogosulatlanok számára ne legyenek megismerhetők.

57. Informatikai jellegű fejlesztés során minden esetben az adatgazda / EIR felelős határozza meg az informatikai jellegű dokumentumok belső minősítését, osztályozását, melyet a minősítés szerint kell kezelni és tárolni, meghatározott ideig az érintett szakterületeknek.

58. Ha az adat, az információ vagy a dokumentum nem kerül osztályozásra, akkor azt belső minősítés nélküli szinten kell kezelni.

59. Ha az információ, az adat vagy a dokumentum bizonyos szakaszai eltérő minősítésűek, akkor annak legmagasabb osztályozása szerint kell eljárni.

60. Ha az adathoz osztályozási érték van rendelve (Bizalmas, Üzleti titok stb.), akkor a Belügyminisztérium Egyedi Iratkezelési Szabályzatának kiadásáról szóló 27/2014. (XII. 23.) BM utasítás (a továbbiakban: Iratkezelési Szabályzat) alapján kell eljárni az adatok védelme érdekében. Ennek érdekében a dokumentumokat címkézni kell, hogy azonosításuk és nyomonkövethetőségük megvalósuljon.

61. Az EIR és annak szolgáltatásai védelméhez szükséges erőforrásokat, a beruházási vagy költségvetési tervezés részeként a Belügyminisztérium Beszerzési Szabályzatáról szóló 21/2022. (XII. 16.) BM utasítás szerint kell meghatározni, és külön meg kell jelentetni a fejlesztési projektek során.

62. Az EIR beszerzésének engedélyezési eljárása során az alábbiak vizsgálandók:

63. A megvalósítandó EIR fejlesztése kapcsán keletkezett információvédelmi tárgykörben készült dokumentumokat az IBF véleményezi, meghatározva az elvégzendő feladatokat (pl. biztonságértékelés elvégzése).

64. A Belügyminisztérium EIR-t érintő beszerzései során a szerződés kötelező eleme az EIR-re, rendszerelemre vagy rendszerszolgáltatásra vonatkozó fejlesztői, üzemeltetési, rendszerbiztonsági, oktatási, illetve felhasználói dokumentáció elkészítése a közreműködő részéről, az alábbi tartalommal:

65. Az EIR-re vonatkozó üzemeltetési dokumentáció jogosulatlanok számára nem lehet megismerhető, illetve módosítható.

66. Az adott feladatellátásért felelő szervezeti egység gondoskodik a dokumentációknak a Belügyminisztérium által meghatározott szerepköröket betöltő személyek által vagy a szerepkörhöz tartozó jogosultságnak megfelelően történő megismeréséről.

67. A teljesítésigazolásért felelős szervezeti egységek figyelemmel kísérik és értékelik a szolgáltatások szerződés szerinti teljesítését, és szükség esetén beavatkoznak, valamint észrevételeiket jelzik a beszállítók, támogatók és üzemeltetők felé.

68. A szerződéskötés előtt a beszerzéssel érintett szervezeti egység kijelölt munkatársa (adatgazda / EIR felelős) tisztázza, és amennyiben szükséges rögzíti

69. A közreműködő által nyújtott szolgáltatás feltételeinek változásakor az IRO-nak szükséges mérlegelni annak információbiztonsági vonatkozásait, kockázatértékelésre gyakorolt hatását, és ha szükséges, a kockázatelemzést végrehajtja, és annak eredményeit folyamataiban, szabályozási rendszerében átvezeti.

70. Külső és belső ellenőrzési eszközökkel ellenőrizni kell, hogy a közreműködő biztosítja-e az elvárt védelmi intézkedéseket.

71. Az Ibtv. és a 41/2015. (VII. 15.) BM rendeletnek megfelelően üzletmenet (ügymenet) folytonosságra vonatkozó eljárásrendet, akcióterveket és az akciótervhez kapcsolódó tesztjegyzőkönyveket készít a BCP felelős, a DRP felelős és az incidensgazda a saját feladatkörében.

72. Az eljárásrend meghatározza a Belügyminisztérium székhelyén történő üzletmenetre (ügymenetre), katasztrófa-elhárítási tevékenységre vonatkozó akciótervek formai és tartalmi elvárásait. A formai és tartalmi követelmények lényege, hogy a folyamatok üzemeltetés, üzletmenet (ügymenet) folytonosság és katasztrófaesemény bekövetkezésekor sztenderdizáltan, közérthetően és azonnal fellelhetően rendelkezésre álljanak.

73. Az üzletmenet (ügymenet) folytonossággal kapcsolatos feladatok és felelősök meghatározása a BCP Akciótervekben történik.

74. A katasztrófaesemények kezelésével kapcsolatos feladatok és felelősségek meghatározása a DRP Akciótervekben történik.

75. Az EIR üzletmenet (ügymenet) folytonosságának fenntartásához és a katasztrófaesemények kezeléséhez szükséges dokumentációs feladatokat az Akciótervek tartalmazzák.

76. A BCP Akcióterv alapdokumentumának készítője az érintett EIR közreműködője (beszállítója), felülvizsgálatát akkor kell kezdeményezni, ha a szervezetben, felelősségi struktúrában változás állt be, a szolgáltatás környezete módosult (új eszközök, új szolgáltatók stb.), a BCP Akcióterv tesztelése, kezelése során nem várt probléma lépett fel. Az akcióterv elfogadásáért az adatgazda / EIR felelős a felelős.

77. A BCP Akcióterv(ek) és az űrlapok (pl. Tesztjegyzőkönyv) a felelősök aláírása után nem módosíthatóak. A Tesztjegyzőkönyvek dokumentálják a BC eseményeket, melyet a felelős aláírása után az IBF jóváhagy, ha az eleget tesz a jogszabályi elvárásoknak és a Belügyminisztérium eljárásrendjeiben megfogalmazott elvárásoknak, a BCP Akcióterv élesbe állítás előtt végzett frissítésével átvezetve az adott EIR, rendszerelem tekintetében bevezetésre kerül.

78. A BCP Akcióterv(ek) készítéséért a fejlesztő/támogató/karbantartó esetleges hiányában az adatgazda / EIR felelős a felelős.

79. Évente elvégzendő feladatok az üzletmenet (ügymenet) folytonosság és a katasztrófaelhárítás kapcsán:

80. A BCP és DRP Akciótervekben megfogalmazandó kötelező elemek:

81. A közreműködővel megkötött szerződésnek tartalmaznia kell, hogy

82. Éles fázisba nem állítható az az EIR vagy rendszerelem, amely nem rendelkezik letesztelt és a teszt eredményeivel frissített DRP Akciótervvel. A DRP Akciótervben fel kell tárni a hiányosságokat, problémákat, ezek kezeléséig projektidőszak nem zárható le. A DRP Akcióterv akár több tesztesetet is tartalmazhat.

83. A DRP Akcióterv tesztelésének célja, hogy az Üzletmenet (ügymenet) folytonossági eljárásrend alkalmas legyen katasztrófaesemények dokumentálására az EIR vonatkozásában. Ha az EIR, rendszerelem fejlesztője, támogatója már nem lelhető fel, a DRP felelős feladata, hogy elkészítse az adott EIR-re, rendszerelemre a DRP Akciótervet és a hozzá tartozó dokumentumokat, elkészítse az oktatási anyagot és annak adminisztrációs elemeit.

84. A DRP Akcióterv a BCP Akciótervhez hasonlóan sztenderdizált pontokat tartalmaz az egyszerű és gyors áttekinthetőség érdekében. Elvárás, hogy a DRP Akcióterv minden helyszínen elérhető legyen a legfrissebb, lehetőség szerint tesztelt verziójában.

85. A DRP tesztesetek – hasonlóan a BCP tesztesetekhez – éves BCP és DRP tesztelési terv kerülnek meghatározásra az érintett szakterületek, a BCP felelős, a DRP felelős, az adatgazda / EIR felelős, az informatikai szakterület vezetője, az IBF együttműködésével. A teszteseteket projektidőszakban a beszállító határozza meg és dokumentálja élesbe állásig.

86. Közreműködő meghívása az adatgazda / EIR felelős feladata a tesztelést megelőző 30 napig.

87. Meg kell határozni a Belügyminisztérium kritikus alkalmazásait, azonosítani kell a szolgáltatásait, folyamatait, amely feladat megjelenik a BCP folyamataiban is.

88. A DRP Akcióterveknek átfogóan kell tartalmaznia minden olyan intézkedést, amely az informatikai szolgáltatás visszaállításához szükséges a projektidőszakban, a beszállító igénybevételével.

89. A DRP Akcióterveknek a vonatkozó szolgáltatás vagy folyamat BCP Akciótervében meghatározott paraméterekkel összeegyeztethetően kell szerepelnie.

90. Ha az informatikai szakterület nem képes azonosítani a kiesett üzleti szolgáltatást, a kiszolgáló infrastruktúra elemeket, válságértekezletet kell összehívni a közreműködővel, adatgazdával/EIR felelőssel, BCP felelőssel, DRP felelőssel, üzemeltetési tevékenységet ellátó vezetővel, IBF-fel, ahol mérlegelni kell a költségeket a rendelkezésre álló erőforrások figyelembevételével, valamint a helyreállítás opcióit.

91. A fenti üzletmenet (ügymenet) folytonosság és katasztrófa-elhárítás céljai kapcsán meg kell határozni a Belügyminisztérium Mentési rendjét, ami az IBF feladata.

92. A Belügyminisztérium Mentési rendje a Belügyminisztérium mentési rendszerének összefoglaló leírása, amely tartalmazza

93. Az EIR, rendszerelem beszerzésekor a Mentési rend készítése EIR, rendszerelem vonatkozásában a közreműködő (beszállító) feladata.

94. A Belügyminisztériumnak a közreműködővel megkötött szerződésének tartalmaznia kell, hogy az EIR folyamatos működése és működtetése érdekében felkészítő képzési anyagot kell készítenie az EIR beszállítójának (projektidőszakban) és támogatójának (éles üzemi fázisban, életciklusban) mindazon felhasználók részére, akik az adott EIR kapcsán érintettek. Az oktatás, képzés a felhasználói szerepkörnek és felelősségi körnek megfelelően valósul meg.

95. A95. pont szerinti szerződésnek tartalmaznia kell továbbá, hogy az EIR beszállítójának is oktatást, képzést kell tartania egyéb közreműködők és megjelölt szakemberek felé, elsősorban a kiemelt jogosultsággal rendelkezők tekintetében.

96. Az EIR-hez kapcsolódó BCP és DRP Akciótervekben rögzíteni kell, hogy mely felhasználóknak és felelősségi körnek történik a felkészítő képzés, továbbá a felkészítő képzés gyakoriságát is meg kell határozni a dokumentumban.

97. Az IBF számára a felkészítő képzés tematikáját át kell adni előzetes engedélyeztetésre, továbbá a képzés után a jelenléti ív másolatát részére meg kell küldeni.

98. A Belügyminisztérium vagyonnyilvántartásaiban lévő EIR-eket vagy azok rendszerelemeit üzletmenet (ügymenet) kapcsán rendszeresen tesztelni kell, BCP és DRP Akciótervek formájában.

99. A közreműködő vagyonnyilvántartásában lévő, de a Belügyminisztériumban fellelhető eszközök esetén a közreműködő bevonása szükségszerű a BCP tesztbe.

100. A közreműködőt tájékoztatni szükséges minden olyan tesztlépésről, mely a közreműködő feladatait, esetleg vagyontárgyait érinti, érintheti. Ezekben a speciális esetekben a közreműködő engedélyét is be kell szerezni a tesztelésbe. Felelőse az adatgazda / EIR felelős.

101. Az Akciótervek tesztelése az éves BCP és DRP tesztelési terv alapján elfogadott tesztelési események, mely eseményeket BCP és DRP Tesztjegyzőkönyvekben dokumentál a BCP és DRP felelős a fejlesztővel, a támogatóval, a karbantartóval, esetenként a közreműködő üzemeltetővel együtt. Az éves BCP és DRP tesztelési tervet az IBF egyezteti le az adott EIR adatgazdájával/EIR felelősével, közreműködő részvétele esetén az adatgazda / EIR felelősével végez adategyeztetést a közreműködő. Az éves tesztelési terv elkészítése, majd elfogadása esetén a BCP és DRP Akciótervekben leírtak szerint az elfogadott teszteseteket tesztelni szükséges. A korábban készült BCP és DRP Akciótervek minden esetben felülírandók a tesztelés elvégzése után, ha érdemi változást kell rögzíteni.

102. Ha az EIR biztonsági osztálya, illetve az éves BCP és DRP tesztelési terv megköveteli, az elsődleges helyszín mellett másodlagos vagy tartalék feldolgozási helyszínt is meg kell jelölni.

103. A közreműködő által biztosított feldolgozási helyszínek (elsődleges és a tartalék helyszín) tekintetében a Belügyminisztérium és a közreműködő (üzemeltető) közötti szerződések szerint kell eljárni, a védelmi kontrollintézkedések szerződésben előírtak megkövetelésével.

104. Ha az elsődleges helyszín feldolgozási képességei nem állnak rendelkezésre, tartalék feldolgozási helyszínen kell folytatni az EIR műveleteit.

105. A közreműködő által üzemeltetett EIR-ek tartalék feldolgozási helyszíne szerződésben kerül rögzítésre.

106. A tartalék feldolgozási helyszínekre vonatkozó elvárásokat a BCP és DRP Akciótervek részletezik.

107. A Belügyminisztériumnak a közreműködővel megkötött szerződésének tartalmaznia kell, hogy a közreműködő, vagy a Belügyminisztérium üzemeltetési szakterülete biztosítja, hogy a működés újrakezdéséhez vagy folytatásához szükséges eszközök és feltételek a tartalék feldolgozási helyszínen, vagy meghatározott időn belül rendelkezésre álljanak.

108. A Belügyminisztériumnak a közreműködővel megkötött szerződésnek tartalmaznia kell, hogy a közreműködő üzemeltetőnek biztosítania kell, hogy a tartalék feldolgozási helyszín információbiztonsági intézkedései egyenértékűek legyenek az elsődleges helyszínen alkalmazottakkal.

109. A Belügyminisztériumnak a közreműködővel megkötött szerződésének tartalmaznia kell, hogy a közreműködő üzemeltetőnek gondoskodnia kell az EIR-ekben tárolt adatok és a rendszerdokumentációk előre meghatározott mentéséről, archiválásáról és az esetleges visszaállítás teszteléséről, figyelembe véve az EIR szerződésben is rögzített RTO és RPO értékeit.

110. A mentések sztenderd folyamatainak kialakítása érdekében Mentési rendet kell alkalmazni.

111. A Mentési rendben szereplő EIR-ek esetében biztosítani kell a bizalmasságot, sértetlenséget és rendelkezésre állást mind az elsődleges, mind a tartalék feldolgozási helyszínen.

112. A Mentési rendben meghatározott időszakonként megbízhatósági és sértetlenségi tesztet kell végezni a mentett információk kapcsán az adathordozók megbízhatósága, az információ sértetlenségének garantálása érdekében. A Mentési rend feladat- és felelősségi körök felsorolását is tartalmazza.

113. A Mentési rendben meg kell jelennie a közreműködőnek mint felelősnek.

114. Az EIR kritikus szoftvereinek és egyéb, biztonsággal kapcsolatos információinak biztonsági másolatait egy elkülönített berendezésen vagy minősítéssel rendelkező tűzbiztos tárolóban kell tárolni, amely a Mentési rendben is megfogalmazásra kerül.

115. Az EIR biztonsági másolatait a biztonsági tárolási helyszínen kell tárolni.

116. Az EIR-ek helyreállításával és újraindításával kapcsolatban helyreállítási (DRP) Akcióterveket kell készíteni. A helyreállítási (DRP) Akciótervek az EIR-ek utolsó ismert állapotba történő helyreállításáról és újraindításáról gondoskodnak egy összeomlást, incidenst, sérülékenységvizsgálat által feltárt hibát követően. Ha a tevékenység a közreműködőt is érinti, e tevékenységről hivatalos formában értesíteni kell.

117. Tranzakció-alapú EIR-ek esetén tranzakció-helyreállítást kell végrehajtani.

118. A helyreállítási akciótervekben (DRP Akciótervek) meg kell határozni az EIR-ek előre definiált helyreállítási idejét egy olyan konfiguráció-ellenőrzött és sértetlenségvédett információból, ami az elem ismert működési állapotát reprezentálja.

119. Közreműködő üzemeltetés esetén a közreműködő szervezet kijelölt szakembereit is be kell vonni az éves BCP és DRP tesztelési tervbe, majd a BCP és DRP Akcióterv tesztelésébe, tesztelés előtt az érintett feleket 30 nappal korábban az adatgazdának értesítenie kell.

120. Az EIR beszállítójának a közreműködő üzemeltetési tevékenységet ellátó szervezet megjelölt szakemberei felé is oktatást, képzést kell biztosítani olyan formában, hogy a normál jogosultsági körrel rendelkező felhasználók és a kiemelt jogosultsággal rendelkezők tekintetében elkülönüljenek, a kiemelt jogosultsági körrel rendelkezők magasabb szintű oktatásban kell, hogy részesüljenek.

121. A közreműködőt minden olyan tevékenységbe be kell vonni, amely a szolgáltatásait befolyásolhatja. A közreműködő NISZ-t a tulajdonában álló informatikai eszközeit ért biztonsági eseményekről, incidensről az IBF-nek tájékoztatni szükséges.

122. A szolgáltatás keretében a közreműködő elvégzi a Belügyminisztériumnak a megfelelő munkaállomások beszerzését, a munkakörnyezet kialakítását, az eszközök, perifériák és a kiszolgáló infrastruktúra üzemeltetését, a rendszeres karbantartást, valamint a berendezésekre telepített alapszoftverek folyamatos üzemeltetéséhez szükséges tevékenységeket, továbbá több olyan biztonsági szolgáltatást végez, amely az üzemeltetés megbízhatóságát emeli, csökkenti az adatvesztés és az illetéktelen hozzáférés kockázatát.

123. A biztonsági események, incidensek jelzése egyfelől történhet a közreműködő (fejlesztő) irányából, amennyiben a közreműködő (üzemeltető) eszközei a Belügyminisztérium megfigyelései szerint érintettek lehetnek, értesíteni szükséges a közreműködőt (üzemeltető). Felelőse az incidensgazda.

124. Biztonsági események, incidensek felmerülése esetén az informatikai biztonsági szakterület bírálja el, hogy valóban biztonsági esemény, incidens történt-e és lehetőség szerint ellenőrzést, tesztelést végez – ha kivitelezhető – a „négy szem” elvén. Ha megállapítást nyert, hogy valóban biztonsági esemény, incidens történt, az IBF jelzi az NKI részére. Az IBF jelzi a közreműködőnek (üzemeltető), hogy biztonsági esemény részese lett vagy a Belügyminisztérium, vagy a közreműködő tulajdonában lévő eszköz.

125. Az EIR vagy bármely, az EIR részelemével kapcsolatba kerülő felhasználó köteles az általa észlelt biztonsági eseményt, incidenst haladéktalanul jelenteni a közvetlen vezetőjének és az IBF-nek.

126. A közreműködő észlelő köteles jelenteni a biztonsági eseményt, incidenst az itsec@bm.gov.hu e-mail-címen, illetve a Belügyminisztérium felhasználói az IBF-nek jelzik az ibf@bm.gov.hu e-mail-címen, az alábbiak szerint:

127. Biztonsági esemény, incidens esetén az alábbiakat kell vizsgálni, illetve figyelembe venni az incidensgazda által:

128. Az incidensgazda dönt a közreműködő bevonásáról, bevonás esetén figyelemmel kíséri tevékenységét.

129. Az incidensgazda bármely szakterület felhasználóját bevonhatja az IEM-be.

130. Technológiai jellegű biztonsági események, incidensek esetén a kapcsolódó rendszerek naplóinak mentését, elemzését is el kell végezni, ha szükséges, igénybe kell venni közreműködőt is. Az EIR közreműködő üzemeltetője haladéktalanul gondoskodik a napló mentés végrehajtásáról a bizonyíték megőrzése érdekében, amely vizsgálata külső szakértő, és/vagy hatóság bevonásával történik.

131. A vizsgálat folyamán olyan auditinformációk és hasonló bizonyítékok begyűjtésére van szükség, amelyek

132. Az IBF kidolgozza a 41/2015. (VII. 15.) BM rendelet előírásainak megfelelő Biztonsági eseménykezelési tervet.

133. A RERIFO oktatással, képzéssel támogatást nyújt az EIR felhasználóinak a biztonsági események, incidensek kezeléséhez és a jelentéséhez. A szakmai, funkcionális elemek oktatását a támogató vagy a beszállító végzi, de az EIR vonatkozásában információbiztonsági képzést is nyújt. Az IBF az oktatás előtt véleményezi az oktatásra kerülő anyagokat, megfelelőség esetén engedélyezi azt.

134. Minden felhasználónak és közreműködőnek, alap- és kiemelt jogosultággal (privilégiumokkal) rendelkező munkatársnak a felelősségükkel, feladatkörükkel arányosan rendszeres oktatásban kell részesülniük a 41/2015. (VII. 15.) BM rendelet szerinti, biztonsági osztályhoz kötött mértéknek megfelelően. Az EIR-ek specifikus oktatását a közreműködő végzi biztonsági eseménykezelés, incidenskezelés kapcsán, míg általános vonatkozásban az informatikai biztonsági szakterület. A közreműködő (fejlesztői) oktatás anyagát előzetes kontrollra meg kell küldeni az IBF-nek és az incidensgazdának.

135. A felhasználóknak tilos

136. A felhasználók felelőssége

137. Ha a felhasználó az irodai helyiséget elhagyja

138. Az informatikai biztonsági szakterület minden munkatársának szükséges teljesítenie a biztonsági feltételeket.

139. A foglalkoztatási jogviszony megszűnését a személyügyi szakterület vagy az érintett szervezeti egység vezetője jelzi mind az üzemeltetési szakterület, mind az IBF felé.

140. Az adathordozóról minden felhasználói információt archiválni kell; törölni csak a szakterületi vezető engedélyével szabad. Archiválást követően törlést kell végezni, illetve csak olyan információ maradhat az eszközön, amelyet egy esetleges új munkavállaló vesz át a későbbiekben, és a szakterületi vezető írásban jelzett az üzemeltetési és informatikai biztonsági szakterület felé. Törlést, archiválást az üzemeltetési szakterület végezhet. Adathordozó tárolása zárható szekrényben történik.

141. Jogosultság-kiosztási űrlapon a jogviszony megszűnése esetén minden jogosultságot meg kell vonni, melyet a szakterületi vezető írásban is kezdeményez az EIR adatgazdája/EIR felelőse, az üzemeltetési és az informatikai biztonsági szakterület felé.

142. A közreműködővel kötött szerződésnek tartalmaznia kell a következőket:

143. Felhasználók munkakörének/feladatkörének változása esetén az érintett felhasználó új, közvetlen felettes vezetője meghatározza a munkatársra vonatkozó elvárásokat.

144. A korábbi közvetlen vezető kezdeményezi a meglévő hozzáférések tiltását (amennyiben az új munkakörhöz nem szükséges), az új közvetlen vezető pedig az új hozzáférések igénylését az adatgazdánál. Ha a módosítás a szerepkört is érinti olyan formában, hogy az EIR-hez a továbbiakban privilégiumokkal rendelkező, kiemelt felhasználóvá válik, az adatgazda / EIR felelős mellett az üzemeltetési szakterület és az IBF felé is le kell jelenteni a változást. A jogosultságok megváltozását közreműködői üzemeltetés esetén a közreműködő üzemeltető végzi el a Belügyminisztérium jelzése alapján.

145. A Belügyminisztérium a külső szervezettel kötött megállapodásban, szerződésben megköveteli, hogy

146. A személyügyi szakterület fegyelmi eljárást kezdeményezhet az EIR-ek azon felhasználóival szemben, akik az információbiztonsági szabályozókat megsértik. Ehhez a tevékenységhez az üzemeltetési szakterület információkkal szolgál.

147. Ha nem a Belügyminisztérium személyi állományába tartozó személy sérti meg az szerződésben leírt, biztonságot érintő kötelmeket, a Belügyminisztérium érvényesíti a vonatkozó szerződésben meghatározott következményeket, illetve meg kell vizsgálni az egyéb jogi lépések fennállásának lehetőségét, szükség szerint alkalmazni kell ezeket az eljárásokat.

148. Minden munkatársnak be kell tartania a Belügyminisztérium információbiztonsági szabályait, Ennek megsértéséből származó biztonsági esemény, incidens fegyelmi eljárást vonhat maga után. Az IBF a tudomására jutott biztonsági eseményt, incidenst mérlegeli annak súlyosságától függően, továbbá jelenti azt az IHÁT vezetőjének. A fegyelmi eljárás módját az IBF-fel együttműködve kell meghatározni az eset súlyosságát figyelembe véve, mely fegyelmi eljárást az IHÁT kezdeményez.

149. A felhasználókat tájékoztatni kell arról, hogy az interneten és a belső hálózaton végzett tevékenységük megfigyelés alatt állhat.

150. Munkahelyi eszközhöz tartozó felhasználónév és jelszó megadása nem munkavégzéshez köthető regisztrációhoz tilos. Munkavégzéshez köthető, de nem a Belügyminisztérium szervezetén belüli feladatvégzéshez a munkahelyi felhasználónév és/vagy jelszó megadása, valamint más felhasználó felhasználónevének vagy jelszavának használata tilos.

151. Tilos bármilyen fájlmegosztó alkalmazás letöltése, használata, az alapkonfigurációba nem tartozó szoftverelemek letöltése, beleértve a böngészőket is, nem jogtiszta elemek tárolása, installálása a munkavégzéshez kiadott eszközökön, tilos böngészőbővítmények letöltése és telepítése, a böngészők biztonsági beállításának megváltoztatása, a mobilkommunikációs eszközök tekintetében is.

152. Tilos a kiszolgáló- vagy tesztalkalmazás rendszer kialakítása mind a kliens számítógépeken, mind a személyes használatra átadott mobilkommunikációs eszközökön.

153. A Belügyminisztérium munkatársai és a közreműködők számára biztonságtudatossági képzést kell biztosítani.

154. A biztonságtudatossági képzés anyagát úgy kell összeállítani, hogy az az érintett felhasználókat felkészítse a belső fenyegetések, biztonsági események, incidensek felismerésére, és tudatosítsa jelentési kötelezettségüket, figyelembe véve azt is, hogy a képzésben résztvevők vezetők és kiemelt jogosultági körrel rendelkező felhasználók-e.

155. Az IBF felelőssége – a személyügyi szakterülettel együttműködve –

156. A biztonsági eseményekből, incidensekből levont tanulságokat a képzési anyagokba, valamint az alkalmazott biztonságtudatossági eszközrendszerébe integrálni kell.

157. Kétéves gyakorisággal, vagy szükség szerint (kiemelten fontos ennek jelentősége egy esetlegesen bekövetkezendő információbiztonsági eseményt, incidenst követően) haladéktalanul ismétlő képzést kell tartani.

158. A biztonságtudatossági képzés során a felhasználókat fel kell készíteni a belső fenyegetések felismerésére.

159. A képzéseken való részvétel ellenőrzése a közvetlen munkahelyi vezető feladata.

160. Szerepkör- vagy feladatalapú biztonsági képzést kell nyújtani az egyes szerepkörök szerinti, azért felelős személyeknek. A képzést a részt vevő munkatársak szerepköre alapján kell megszervezni.

161. Az érintett személyek számára a képzéseket az IHÁT vezetője rendeli el.

162. A képzés megtörténtét elektronikus vagy írásos formában dokumentálni szükséges, amelyért a személyügyi szakterület és a gazdálkodási szakterület felelős.

163. A képzéseken való részvétel ellenőrzése a közvetlen munkahelyi vezető feladata.

164. A kormányzati épületek üzemeltetését a Közbeszerzési és Ellátási Főigazgatóság (a továbbiakban: KEF) végzi.

165. A 41/2015. (VII. 15.) BM rendelet 4. melléklet 3.2. Fizikai védelmi intézkedések fejezet előírásainak megvalósítása érdekében a közreműködővel megkötött szerződésben rögzíteni kell, hogy a közreműködő feleljen meg a védelmi kontrollintézkedésnek.

166. A Belügyminisztérium beszerzései, illetve a KEF-fel vagy a Nemzeti Infokommunikációs Szolgáltató Zrt.-vel (a továbbiakban: NISZ) történő szerződéskötései során érvényesíteni kell a 41/2015. (VII. 15.) BM rendelet 4. melléklet 3.2. Fizikai védelmi intézkedések fejezet előírásaiban foglaltakat.

167. A beléptetés szabályait a Belügyminisztérium székhelye tekintetében a Belügyminisztérium központi épületébe történő be- és kilépés, a benntartózkodás, a csomag- és áruszállítás, a küldemények átvételének és a gépjárművek parkolásának rendjéről szóló 16/2014. (X. 10.) BM utasítás tartalmazza.

168. A Belügyminisztériumban szükséges

169. A megfelelő biztonsági engedéllyel nem rendelkező karbantartó személyek alkalmazása során az üzemeltetők személyes felügyeletében történhet a karbantartás.

170. A Belügyminisztérium épületeiben az alábbi, biztonsági szempontú besorolást kell alkalmazni a helyiségek, területek vonatkozásában:

171. Nem a Belügyminisztérium telephelyén történő közreműködői üzemeltetés során a közreműködővel megkötött szerződésben rögzíteni kell, hogy a közreműködő feleljen meg a védelmi kontrollintézkedésnek.

172. Azokat a helyiségeket, ahol informatikai eszköz található, zárható ajtóval kell ellátni és a helyiségből való távozáskor minden esetben be kell zárni (a távozás időtartalmától függetlenül).

173. Az informatikai eszközök raktáraiba az adott szakterület vezetőin kívül csak az informatikai tevékenységgel megbízott munkatárs vagy a közreműködői üzemeltetést végző szakember léphet be.

174. A belépés-kilépés szabályozására elektronikus kártyás beléptetési rendszert kell alkalmazni.

175. Áramszünet esetén az ajtónak kulccsal nyithatónak kell lenni.

176. A belépés-kilépés szabályainak betartását biztonsági esemény, incidens gyanúja esetén a biztonsági kamera felvételeinek megtekintésével kell ellenőrizni a felhasználói helyiségek és a raktárak kivételével. Minden, kamerarendszerrel felszerelt helyiségben történt tevékenységet egyértelmű és visszakereshető módon naplózni kell.

177. A szervertermek és a mentések üzemeltetésére szolgáló helyiséget füst- és tűzérzékelővel kell ellátni, amely egy állandóan felügyelt helyiségben riaszt.

178. A szervertermek és a mentések üzemeltetésére szolgáló helyiségekbe csak az annak üzemeltetéséhez elengedhetetlenül szükséges közműhálózat csatlakozhat, tehát a helyiségen nem mehet át víz-, gáz-, csatorna- és egyéb közművezeték. Felette és a határoló falfelületeken vizesblokkot tartalmazó helyiségrész nem lehet, nyomó és ejtőcsövek és gázvezetékek nem haladhatnak át.

179. Szervertermekbe, a mentések üzemeltetésére szolgáló helyiségekbe, raktárakba csak az arra dokumentáltan kijelölt személy, az ellenőrzést végzők, valamint a RERIFO által engedélyezett személy léphet be.

180. A helyiségekben kizárólag munkavégzés céljából szabad tartózkodni a munkavégzés idejéig.

181. A szervertermek, raktárak és a mentések üzemeltetésére szolgáló helyiség takarítása és a helyben végzett karbantartás csak közvetlen ellenőrzés mellett történhet.

182. A szervertermeket, mentések üzemeltetésére szolgáló helyiségeket raktárként használni tilos.

183. A helyiségek takarítása és karbantartása előtt gondoskodni kell az ott dolgozóknak arról, hogy a képernyőkön és a nyomtatókban illetéktelenekre nem tartozó adatok ne legyenek.

184. A helyiségeket (raktárhelyiségek kivételével) klímaberendezéssel kell ellátni. A klímaberendezést abban az esetben kell működtetni, ha a helyiségben 22 °C-os hőmérséklet csak a berendezés használatával biztosítható.

185. A szervertermek és a mentések üzemeltetésére szolgáló helyiség szünetmentes energiaellátás biztosítása szükséges.

186. A Belügyminisztérium valamely EIR-jét akkor lehet kihelyezni közreműködő adatközpontjába, ha a befogadó adatközpont adott EIR biztonsági osztálya által megkövetelt biztonsági kontrollkövetelménynek való megfelelőségről az IBF hitelt érdemlően meggyőződik.

187. A Belügyminisztérium EIR-jének közreműködő adatközpontjába való elhelyezése során olyan megállapodást kell kötni, amely a Belügyminisztérium számára biztosítja az EIR biztonsági osztályához kapcsolódó elvárásoknak való megfelelés helyszíni ellenőrzésének lehetőségét.

188. Az engedélyezési eljárásrend az IBDR-ben meghatározott ütemezés alapján készül el, az abban feltüntetett felelős által. Az engedélyezés kiterjed az emberi, fizikai és logikai erőforrásra és az eljárási és védelmi szintre és folyamatra, valamint a külső EIR-hez való kapcsolódásra.

189. A Belügyminisztérium beszerzései, illetve a KEF-fel vagy NISZ-szel történő szerződéskötései során érvényesíteni kell a 41/2015. (VII. 15.) BM rendelet 4. melléklet 3.3. Logikai védelmi intézkedések fejezet előírásaiban foglaltakat.

190. A biztonságtervezési eljárásrend az IBDR-ben meghatározott ütemezés alapján készül el, az abban feltüntetett felelős által.

191. A Belügyminisztériumnak a közreműködővel megkötött szerződésének tartalmaznia kell, hogy az EIR közreműködőinek kell biztosítaniuk a Belügyminisztérium részére az EIR-hez tartozó Információbiztonsági architektúra leírást.

192. Az adatgazda / EIR felelős, az IBF és a közreműködő közösen határozza meg a szolgáltatások igénybevételéhez szükséges funkciókat, protokollokat, portokat és egyéb szolgáltatásokat.

193. Az EIR, rendszerelem vagy rendszerszolgáltatás közreműködő fejlesztője az oktatandó anyagot előzetes ellenőrzés szempontjából megküldi a Belügyminisztérium IBF-jének az itsec@bm.gov.hu e-mail-címre.

194. A Biztonságértékelési eljárásrend az IBDR-ben meghatározott ütemezés alapján készül el, az abban feltüntetett felelős által.

195. A Biztonságértékelési eljárásrendet évente felül kell vizsgálni az IBF koordinálásával, az adatgazda / EIR felelős, az IB és az üzemeltetési szakterület közreműködésével.

196. A Biztonságértékelési tervet az adott EIR közreműködője készíti el az IBF-fel közösen. A biztonságértékelési terv olyan dokumentum, amely részletesen leírja egy EIR biztonsági intézkedéseit és eljárásait, bizonyítékokkal alátámasztva.

197. A 41/2015. (VII. 15.) BM rendelet 4. melléklet 3.3. Logikai védelmi intézkedések fejezet 3.3.5. Tesztelés, képzés és felügyelet alcím szerinti előírások végrehajtásáról a RERIFO gondoskodik.

198. A konfigurációkezelési eljárásrend az IBDR-ben meghatározott ütemezés alapján készül el, az abban feltüntetett felelős által.

199. A konfigurációváltozásra vonatkozó változáskezelési eljárásrend az alábbi változástípusokat, kategóriákat határozza meg:

200. Tesztrendszerben éles adattal tesztelni nem engedélyezett, a személyes adat deperszonalizálva, célhoz kötötten átkerülhet éles rendszerből, és felhasználás után azonnal törlendő.

201. Az informatikai berendezések konfigurációs beállításait védeni kell a jogosulatlan, véletlen vagy rosszindulatú módosításoktól, ezeket minden esetben megfelelő szintű jogosultsághoz, felhasználóazonosításhoz kell kötni. A gyártói név / jelszó azonosítókat (default jelszavak) minden esetben meg kell változtatni, a változtatást az első használatbavételkor ki kell kényszeríteni, a gyártói azonosítókat a változtatás után törölni kell.

202. A legszűkebb funkcionalitás elvének gyakorlati megvalósítását a konfigurációs beállítások ellenőrzése során is vizsgálni kell. Az ellenőrzés eszközei lehetnek a következő módszerek:

203. A leltárkészítés során a 41/2015. (VII. 15.) BM rendelet 4. melléklet 3.3. Logikai védelmi intézkedések fejezet 3.3.6.8. alpontjában foglalt előírások betartásán felül azt is ellenőrizni kell, hogy az EIR hatókörén belüli elemek nincsenek-e felvéve más EIR-ek leltárában.

204. Az EIR-ek tervezésekor és módosításaikor a konfigurációt úgy kell meghatározni, hogy az csak a szükséges és elégséges szolgáltatásokat nyújtsa. Ennek során tervezési elvként meghatározandók a tiltott vagy korlátozott, nem szükséges funkciók, portok, protokollok, szolgáltatások, szoftverek.

205. Automatizált mechanizmusok biztosítják, hogy a szervezet által meghatározott gyakorisággal a jogosulatlan hardver-, szoftver- és firmware elemek észlelése megtörténjen, illetve a leltár naprakész, teljes, pontos és állandóan rendelkezésre álló kezelésének támogatását. A jogosulatlan elemek észlelése esetén az üzemeltetési szakterületnek, illetve a Belügyminisztériummal kötött szerződés alapján az üzemeltetést végző közreműködőnek le kell tiltani az ilyen elemek általi hálózati hozzáférést, el kell őket különíteni, és értesíteni kell az illetékes személyeket.

206. Az EIR és rendszerelem leltárhoz csatolni kell az egyes elemek adminisztrálásáért felelős személyek nevét, pozícióját vagy szerepkörét.

207. Személyi számítógépeken, laptopokon csak licencjoggal rendelkező alkalmazások, szoftverek telepíthetők, futtathatók az arra jogosult felhasználók által. Biztosítani kell, hogy a felhasználó csak megfelelően kibocsátott és engedélyezett szoftververziókat használjon. Kizárólag csak annyi szoftver telepíthető, amennyi használata szükséges az adott felhasználó zavartalan munkavégzéséhez.

208. A konfigurációkezelési terv az IBDR-ben meghatározott ütemezés alapján készül el, az abban feltüntetett felelős által.

209. A RERIFO

210. A felhasználók a munkaállomásukról csak az előre telepített helyi vagy engedélyezett hálózati alkalmazásokat, erőforrásokat érhetik el. Ezen beállítások megváltoztatása a felhasználók számára tilos. A felhasználó részére átadott alapkonfiguráción a felhasználóknak engedély nélkül változtatni tilos. A felhasználók a munkájuk elvégzéséhez elengedhetetlenül szükséges, de a munkaállomásukra nem telepített alkalmazások telepítését a vezetőjük jóváhagyásával kérvényezhetik az informatikai szakterületnél, írásos formában.

211. A rendszeres karbantartásról az EIR üzemeltetője gondoskodik.

212. Az EIR üzemeltetője csatolja a következő információkat a karbantartási nyilvántartáshoz:

213. Az RBK az IBDR-ben meghatározott ütemezés alapján készül el, az abban feltüntetett felelős által.

214. A 41/2015. (VII. 15.) BM rendelet 4. melléklet 3.3. Logikai védelmi intézkedések fejezet 3.3.8. Adathordozók védelme alcím szerinti előírások végrehajtásáról a RERIFO gondoskodik.

215. A RERIFO feladatai:

216. Az adathordozókat – azokat is, amelyek használaton kívül vannak – biztonságos helyen kell tárolni, vagy ha ezek a továbbiakban munkavégzésre nem alkalmazható példányok, meg kell semmisíteni.

217. Az EIR-hez kapcsolható adathordozók tárolása csak zárt helyiségben, minimum 30 perces tűzállósággal rendelkező tároló szekrényben történhet.

218. Az adathordozót vissza kell venni az alábbi esetekben:

219. Hibás adathordozók a Belügyminisztérium kezelésében lévő feleslegessé vált vagyontárgyakkal kapcsolatos selejtezési és hasznosítási feladatok szabályozásáról szóló 21/2010. (XII. 16.) BM utasítás alapján kerülnek megsemmisítésre. Ha az adathordozót a közreműködő elszállítja a Belügyminisztérium telephelyéről, az adatokat végérvényesen és visszaállíthatatlanul törölni kell az adathordozóról. Ha ez nem lehetséges, az adathordozót fizikailag meg kell semmisíteni olyan formában, hogy az alkalmatlanná váljon adatok kinyerésére.

220. Adathordozók tárolása kapcsán az alábbi szabályokat kell betartani:

221. A 41/2015. (VII. 15.) BM rendelet 4. melléklet 3.3. Logikai védelmi intézkedések fejezet 3.3.9. Azonosítás és hitelesítés alcím szerinti előírások végrehajtásáról a RERIFO gondoskodik.

222. Távoli hozzáférés kapcsán az alábbi előírásokat kell érvényesíteni:

223. A felhasználó gondoskodik arról, hogy a választott személyes jelszavai ne jussanak illetéktelen személyek tudomására.

224. Ha valamilyen okból a felhasználó jelszavát távolléte alatt kell megváltoztatni, azt a közreműködő vagy az IRO rendszergazda csak a szervezeti egység vezetőjének írásos utasításra teheti meg, amelyről az érintett felhasználót és az IBF-et írásban tájékoztatni kell.

225. A felhasználók jelszavainak létrehozásával kapcsolatos előírásokat külön eljárásrendben kell rögzíteni.

226. A felhasználó

227. A 41/2015. (VII. 15.) BM rendelet 4. melléklet 3.3. Logikai védelmi intézkedések fejezet 3.3.10. Hozzáférés ellenőrzése alcím szerinti előírások végrehajtásáról az IRO gondoskodik.

228. Az alap informatikai hozzáférési jogosultságok (hálózati elérés, levelezés, Belügyminisztérium intranet hozzáférés) a munkavégzés céljából létesített jogviszony létrejötte után, ha a munkakör ellátásához szükséges, az erre a célra készült regisztrációs lap kitöltése, majd annak vezető által engedélyezett példányát a munkavégzés kapcsán illetékes szakterület részére megküldve, létrehozásra kerülnek a Belügyminisztérium felhasználói számára.

229. A jogosultsági rendszert a következő előírások szerint kell működtetni a Belügyminisztériumban:

230. Ha egy felhasználó esetén igény jelentkezik az aktuális szerepkörstruktúrával nem lefedhető jogosultságra, el kell dönteni, hogy új szerepkör felvételével vagy kivételkezeléssel kell a jogosultságot megadni. A szakmai területtől érkező igény alapján az IBF dönt, majd döntéséről értesíti az érintetteket. A kijelölt fiókkezelő beállítja a felhasználói fiók paramétereit az IBF döntésének megfelelően.

231. A jogosultság-adatbázisban minden adatnak van felelős adatkezelője, aki az adott adatkör érvényességéért felelős. Az adatokat lehetőség szerint ott kell felvenni és karbantartani, ahol az adat forrása van. A szervezeti egység vezetői felelősek a felhasználói adatok megadásáért, melyek a következőek:

232. A felettes vezető felelős az informatikai erőforrások és szerepkörökre vonatkozó adatok megadásáért, melyek a következők:

233. Belépő felhasználó esetében az alap informatikai hozzáférési jogosultságok a munkavégzés céljából létesített jogviszony létrejötte után létrehozásra kerülnek a felhasználó egyedi felhasználói azonosítójához rendelve. A korábban használt, de már inaktív azonosító másik/új felhasználó részére nem osztható ki, beleértve az e-mail-címeket is.

234. Meglévő hozzáférési jogosultság módosításának igénylése a következők szerint történik:

235. Informatikai hozzáférési jogosultsági kérelmek beállítása a következők szerint történik:

236. Ideiglenes jogosultságok kiadása a következők szerint történik:

237. Az EIR a legkisebb jogosultság elvét alkalmazza, azaz a felhasználók – vagy a felhasználók tevékenysége – számára csak a számukra kijelölt feladatok végrehajtásához szükséges hozzáféréseket engedélyezi.

238. Privilegizált jogosultságok kiadása és kezelése a következők szerint történik:

239. Az EIR a megfelelő szabályzatokkal összhangban érvényesíti a jóváhagyott jogosultságokat az információkhoz és az EIR erőforrásaihoz való logikai hozzáféréshez.

240. A mobil eszközökre megállapított engedélykötelezettség nem vonatkozik a levelezés szolgáltatásra.

241. A 41/2015. (VII. 15.) BM rendelet 4. melléklet 3.3. Logikai védelmi intézkedések fejezet 3.3.11. Rendszer- és információsértetlenség alcím szerinti előírások végrehajtásáról és jelen alcímben foglaltak végrehajtásáról az IRO gondoskodik.

242. Kártékony kódok elleni védelem érdekében az alábbi előírásokat kell betartani:

243. Az EIR felügyeletét a közreműködővel együtt kell ellátni. Az adatkezelő felelőssége, hogy az egyes EIR-ek felügyeleti információi meghatározott gyakorisággal átvizsgálásra kerüljenek.

244. Biztosítani kell, hogy az EIR riassza a Belügyminisztérium és a közreműködő illetékes személyeit, csoportjait, amikor veszélyeztetés vagy lehetséges veszélyeztetés előre meghatározott jeleit észleli.

245. A 41/2015. (VII. 15.) BM rendelet 4. melléklet 3.3. Logikai védelmi intézkedések fejezet 3.3.11. Rendszer- és információsértetlenség alcím 3.3.11.6. pontja szerinti előírások végrehajtása az IBF feladata.

246. A Belügyminisztérium informatikai infrastruktúrájában minden informatikai eszköz potenciális naplóforrás. A naplózások szintje, minősége, gyakorisága konfigurálható.

247. Dobozos termékek esetén mindig az adott termék (pl. operációs rendszer, hardver vagy szoftver) gyártójának ajánlását, legjobb gyakorlatát kell követni, ha az nem áll ellentétben a jogszabályi előírásokkal.

248. Ha egy egyedi fejlesztésű termékben lehetőség van a naplózási szintek, illetve naplózási beállítások módosítására, úgy az élesítés előfeltétele, hogy a minimálisan elvárt beállítási szint meghatározásra kerüljön. Ettől a beállítástól eltérni csak az IBF és az informatikai szakterület vezetőjének együttes írásos engedélye alapján lehetséges. Minden EIR és rendszerelem üzemeltetési kézikönyvében meg kell adni, hogy az adott EIR-nél vagy rendszerelemnél az egyes események milyen tartalommal lesznek naplózva. A naplóállományok tartalmának megadásakor azt is fel kell sorolni, hogy az egyes tartalmak milyen értékeket vehetnek fel, és az egyes értékeknek mi a jelentésük.

249. Naplózható események kapcsán a következő előírásokat kell betartani:

250. A naplóbejegyzések tartalmának meghatározása az EIR-ekre vonatkozóan egyedileg történik. Ezeket az általános elvárások szintjén a követelményspecifikációkban kell rögzíteni. Az EIR a naplóbejegyzésekben gyűjtsön be elegendő információt ahhoz, hogy ki lehessen mutatni, hogy milyen események történtek, mikor történt az esemény, hol történt az esemény, miből származtak ezek az események, és mi volt ezen események kimenetele, az eseményhez köthető személyek, alanyok és objektumok felderíthetőek legyenek.

251. Az elkészült EIR naplózási adattartalmát teszteléssel kell ellenőrizni az élesbe állítást megelőzően.

252. A naplóbejegyzések elvárt adattartalmát dokumentálni kell a Naplózási eljárásrendben foglaltak szerint.

253. A naplózásra elegendő méretű tárkapacitást kell biztosítani a naplózási funkciók figyelembevételével. A tárkapacitás igényét az EIR közreműködő fejlesztője adja meg. Mind az új EIR, mind a már meglévő, de verzióváltás esetén történő esetleges kapacitásbővítésről, illetve jogszabályváltozás miatt fennálló változásról az érintetteket tájékoztatni kell. A közreműködő üzemeltető HLD dokumentumot biztosít a napló tárkapacitás megjelenítésére.

254. A naplóbejegyzések csökkentése és a jelentéskészítés támogatja az igény esetén végzendő napló-felülvizsgálati, naplóelemzési és jelentéstételi követelményeket, valamint a biztonsági eseményeket követő tényfeltáró vizsgálatokat, de a folyamat nem változtathatja meg a naplóbejegyzések eredeti tartalmát és időrendjét.

255. Szerveren a naplóállományok a meghatározottak szerint mentésre kerülnek. A rendelkezésre álló tárkapacitást a közreműködő üzemeltetés rendszeresen ellenőrzi, fejlesztés adatai alapján. A naplózási tárkapacitást rögzíteni kell a Rendszerbiztonsági tervben is.

256. Az EIR-ekben meg kell valósítani, hogy naplózási hiba esetén automatikusan riasztást küldjön az üzemeltetésért felelős szakterületnek és a közreműködőnek, aki riasztja az IBF-et és az informatikai szakterületet.

257. A naplóbejegyzéseket meghatározott gyakorisággal el kell menteni, egy, a naplóállomány keletkezési helyétől fizikailag elkülönülő rendszerre vagy rendszerelemre.

258. A naplóbejegyzéseket 1 évig meg kell őrizni a biztonsági események, incidensek utólagos kivizsgálásának biztosítása érdekében. A megőrzési határidőt tartalmaznia kell a közreműködővel kötött szerződésnek.

259. Az EIR naplóbejegyzéseit a nem megfelelő vagy szokatlan tevékenységre utaló jelek és az ilyen tevékenységek lehetséges hatásai szempontjából folyamatosan vizsgálni és elemezni kell.

260. Módosítani szükséges a naplóbejegyzések felülvizsgálatának, elemzésének és jelentésének szintjét, amennyiben hiteles információk és információforrások alapján biztonsági kockázat értéke változik.

261. A Belügyminisztériumnak a NISZ-szel megkötött szerződésének tartalmaznia kell, hogy a különböző tárhelyeken található naplóbejegyzéseket a teljes szervezetre kiterjedő helyzetfelismerés érdekében össze kell kapcsolni és elemezni kell, ami a NISZ feladata.

262. A naplók megvalósítását és lekérdezhetőségét úgy kell lehetővé tenni, hogy az IBF, az EIR felelős/adatgazda és a közreműködő közösen kiválasztja, hogy mely naplózható események legyenek naplózva az EIR egyes elemeire, valamint, hogy megváltoztassák az egyes rendszerelemekre végrehajtandó naplózást a kiválasztott eseménykritériumok alapján, meghatározott időtartamon belül.

263. A 41/2015. (VII. 15.) BM rendelet 4. melléklet 3.3. Logikai védelmi intézkedések fejezet 3.3.13. Rendszer- és kommunikációvédelem alcím szerinti előírások végrehajtásáról a közreműködővel kötött szerződés alapján a közreműködő gondoskodik.

264. A túlterheléses (úgynevezett szolgáltatás megtagadás) jellegű támadásokkal szemben a Korai Jelző Rendszert (EWS) kell alkalmazni, ahol lehetséges.

265. Demilitarizált zónákban kell elhelyezni azokat az informatikai eszközöket (szervereket, védelmi eszközöket stb.), amelyeknek mind az internet felől, mind a belső hálózat felől kiemelt védelmet kell biztosítani. A határvédelmi eszközöknek meg kell határozni az optimális életciklusát, amelyen belül még megfelelő védelmet nyújt. A megállapított életciklus leteltével a határvédelmi eszköz fejlesztése szükséges. Az életcikluson belül a határvédelmi eszközök biztonsági frissítéseit (esetleg szignatúra frissítéseit) rendszeresen el kell végezni. Biztosítani kell, hogy a határvédelmi eszközökhöz csak privilegizált, kiemelt felhasználók (erre a célra kijelölt rendszergazdák) férjenek hozzá. A határvédelmi eszközökön minden kritikus tevékenységet naplózni kell.

266. Az EIR-ekben a névfeloldási szolgáltatását úgy kell kialakítani, hogy a hiteles forrást biztosító DNS kiszolgáló (autoritatív DNS) kriptográfiai megoldással kiegészített biztonságos tranzakciókat valósítson meg a név/cím feloldási kérésekre adott hiteles adatokon kívül az információ eredetére és sértetlenségére vonatkozóan. Az EIR eredethitelesítést és adatsértetlenség ellenőrzést kér és hajt végre a hiteles forrásból származó név/cím feloldó válaszokra. Az EIR-ekben a névfeloldási szolgáltatást képező rekurzív DNS kiszolgálónak kriptográfiai megoldással kiegészített, biztonságos tranzakción alapuló eredethitelesítést kell kérnie, illetve megvalósítania az autoritatív DNS kiszolgálótól érkező válaszokra.

267. Azok az EIR-ek, amelyek együttesen biztosítanak név/cím feloldási szolgáltatást a Belügyminisztérium számára, hibatűrők és belső/külső szerepkör szétválasztást valósítanak meg. A külső és a belső szerepköröket szét kell választani, azaz külön DNS kiszolgálót kell alkalmazni a belső hálózat kiszolgálására, és külön kiszolgálónak kell ellátnia az internetes DNS kiszolgálókkal történő kapcsolattartást.