← Magyarország

7/2015. (X. 30.) NVI utasítása a Nemzeti Választási Iroda Informatikai Biztonsági Szabályzatáról.

Röviden

Ez az utasítás a Nemzeti Választási Iroda informatikai biztonsági szabályzatát írja le, meghatározva az elektronikus információs rendszerek védelmére vonatkozó szabályokat és eljárásokat. Célja az adatok megóvása, az üzembiztonság fenntartása és az informatikai vagyon védelme.

Amit szabályoz

Akire vonatkozik

Főbb pontok

Jogszabály szövege

7/

  1. (X. 30.) NVI utasítása a Nemzeti Választási Iroda Informatikai Biztonsági Szabályzatáról. Az állami és önkormányzati szervek elektronikus információbiztonságáról szóló
  2. évi L. törvény
  3. §

(1)bekezdés f ) pontjában foglalt hatáskörömben eljárva – figyelemmel a jogalkotásról szóló 2010. évi CXXX. törvény 23. §
(4)bekezdés
  1. c)pontjára – a következő utasítást adom ki: I. Fejezet Alapvető rendelkezések 1. Értelmező rendelkezések 1. § Ezen utasítás alkalmazásában: 1. adatállomány: az elektronikus információs rendszerben logikailag összetartozó, együtt kezelt adatok; 2. adatátvitel: az adatok elektronikus információs rendszerek, rendszerelemek közötti továbbítása; 3. adattovábbítás: az adat meghatározott harmadik személy számára történő hozzáférhetővé tétele; 4. alkalmazás: olyan program, amelyet az alkalmazó saját speciális céljai elérése érdekében vezet be, és amely a hardver- és az üzemi rendszer funkcióit használja; 5. behatolás: védett elektronikus információs rendszerbe jogosulatlan belépés a védelem megkerülésével vagy védelmi hiba kihasználásával; 6. bejelentkezés: a felhasználó által kezdeményezett olyan logikai kapcsolat, amelynek eredményeképpen az elektronikus információs rendszer funkcióinak használata lehetővé válik; 7. biztonság: a védelmi rendszer olyan, a szervezet számára kielégítő mértékű állapota, amely zárt, teljes körű, folytonos és a kockázatokkal arányos védelmet valósít meg; 8. biztonsági követelmények: a kockázatelemzés eredményeként megállapított, elfogadhatatlanul magas kockázattal rendelkező fenyegető tényezők ellen irányuló biztonsági szükségletek együttese; 9. biztonságos adattörlés: olyan szoftveres eljárás, amely megvalósítja a DoD 5220.22 szabványban adathordozó típusonként előírt felülírási eljárásokat, jegyzőkönyvben rögzíti a felülírási eljárás típusát, sikerességét, időpontját, illetve az adathordozó azonosítóját; 10. érzékeny adat: olyan adat, amely az információbiztonság szempontjából a sérülékenység és a fenyegetettség ténye alá esik; 11. funkcionalitás: az elektronikus információs rendszerelem (ideértve az adatot
  2. is)tulajdonsága, amely arra vonatkozik, hogy a rendszerelem a felhasználói céloknak megfelel és használható; 12. hozzáférés: olyan eljárás, amely valamely elektronikus információs rendszer használója számára elérhetővé tesz a rendszerben adatokként tárolt információkat; 13. illetéktelen személy: olyan személy, aki az adat megismerésére nem jogosult; 14. informatikai központ: azon helyiségek, amelyek működő szerverek és hálózati elosztó elemek elhelyezésére és működtetésére szolgálnak, kivéve azon egyéb helyiségeket, amelyekben zárt, kulccsal biztosított rack szekrény található; 15. jelszó: védett karakterfüzér, amely a felhasználói névvel együtt használva a felhasználót azonosítja; 16. katasztrófaelhárítási terv: az elektronikus információs rendszer rendelkezésre állásának megszűnése vagy nagymértékű csökkenése utáni visszaállításra vonatkozó terv, amely globális helyettesítő megoldásokat ad megelőző és elhárító intézkedésekre, amelyekkel a bekövetkezett katasztrófaesemény után az elektronikus információs rendszer funkcionalitása degradált vagy eredeti állapotába visszaállítható; 17. kiesési idő: az elektronikus információs rendszer leállásától a következő elérési lehetőségig eltelő idő; 18. kriptográfia: mindazoknak az eljárásoknak, algoritmusoknak, biztonsági rendszabályoknak a kutatását, alkalmazását jelenti, amelyek az információ bizalmasságát, hitelességét vagy sértetlenségét hivatottak megvédeni; 19. kulcs: a kriptográfiában a kódolás és a megfejtés műveleteihez használt szimbólumok sorozata; 20. külső fél: az a természetes vagy jogi személy, amely a Nemzeti Választási Irodával (a továbbiakban: Iroda) kötött szerződéses kapcsolat keretében, az Iroda által kezelt vagy felügyelt területen az Iroda megrendelésére informatikával, információtechnológiával, elektronikus információbiztonsággal kapcsolatos munkát vagy tevékenységet végez; 21. program: a számítógépes utasítások logikailag és funkcionálisan összetartozó sorozata; 22. rendszerelemek: az adatokat körülvevő, az elektronikus információs rendszer részét képző összetevők; 23. rendszergazda: az elektronikus információs rendszer részét képező alkalmazások használatát és felügyeletét végző személy; 24. üzemeltető: az Irodával jogviszonyban álló természetes személy, jogi személy vagy egyéni vállalkozó, aki az elektronikus információs rendszer vagy annak részei működtetését végzi, és a működésért felelős; 25. támadás: védett érték megszerzésére, megsemmisítésére, károkozásra irányuló cselekmény; 26. üzletmenet-folytonossági terv: az üzletmenet fenntartása érdekében teendő intézkedések összessége, ha az adott üzleti folyamat vagy alkalmazás végrehajtása, működtetése valamilyen természeti vagy ember által okozott katasztrófa miatt akadályba ütközik; 27. vírus: olyan programtörzs, amely a megfertőzött program alkalmazása során másolja, esetleg mutálja is önmagát, és amely többnyire komoly károkat okoz, adatot töröl, formázza a merevlemezt, vagy adatállományokat küld szét e-mailben. 2. Az utasítás célja, hatálya és felülvizsgálata 2. § Az utasítás célja, hogy az Iroda elektronikus információs rendszerének (a továbbiakban: elektronikus információs rendszer) működtetése, üzemeltetése, fejlesztése során, valamint az informatikai szolgáltatási területen biztosított legyen
  3. a)az adatvédelmi előírások és az információbiztonsági követelmények érvényesülése,
  4. b)a kezelésében lévő adatok megóvása a jogtalan adatfelhasználástól és adatvesztéstől,
  5. c)a folyamatos informatikai üzembiztonság fenntartása,
  6. d)az informatikai vagyon védelme és megőrzése, valamint
  7. e)az informatikai hálózat integritása. 3. §
(1)Az utasítás hatálya kiterjed az Iroda tulajdonában, kezelésében lévő valamennyi elektronikus információs rendszerre és azok elemeire, az általa használt alkalmazásokra, adatbázisokra, hálózatokra, hálózati elemekre, kiegészítő informatikai eszközökre, valamint az általa keletkeztetett, feldolgozott, tárolt, továbbított valamennyi adatra és információra, függetlenül azok megjelenési formájától. Idegen vagy vegyes tulajdonú, illetve kezelésű eszközök, rendszerek használata során figyelembe kell venni a külső fél azokra vonatkozó rendelkezéseit és előírásait, illetve az érvényes megállapodásokat.
(2)Az utasítás hatálya kiterjed az Iroda közszolgálati vagy egyéb jogviszonyban foglalkoztatott munkatársaira (a továbbiakban: munkatárs), az Iroda valamennyi szervezeti egységére, továbbá – amennyiben ez külön megállapodásban rögzítésre kerül – az elektronikus információs rendszernek üzemeltetőjére, fejlesztőjére, valamint a külső felekre. 4. §
(1)Az elektronikus információs rendszer biztonságáért felelős személy ezen utasítást évente legalább egy alkalommal felülvizsgálja, ennek keretében megfelelőségi vizsgálatot végez, és szükség esetén ezen utasítás módosítását kezdeményezi az Iroda elnökénél (a továbbiakban: elnök).
(2)A megfelelőségi vizsgálat kiterjed ezen utasítás végrehajtásának, valamint a felmerülő informatikai, információbiztonsági és adatvédelmi eseményeknek és az ezekkel összefüggő biztonsági tevékenységeknek az ellenőrzésére.
  1. Az utasítás végrehajtása
  2. § Az egyes elektronikus információs rendszereket úgy kell kialakítani és beállítani, hogy azok megfeleljenek az ezen utasításban foglalt követelményeknek.
  3. A végrehajtás során érvényesülő általános szabályok
  4. §
(1)Az elektronikus információs rendszer, rendszerelem használója kizárólag munkatárs vagy az Irodával szerződéses jogviszonyban álló személy lehet, aki a munkavégzéshez szükséges mértékű felhasználói szintű informatikai ismeretekkel rendelkezik, ezen utasítás rendelkezéseit megismerte, és hozzáférési jogosultságot kapott az elektronikus információs rendszerek használatához (a továbbiakban: felhasználó).
(2)Az elektronikus információs rendszert úgy kell kialakítani, hogy biztosított legyen a megbízható és akadálymentes működés, az egyes rendszerelemek funkcionalitásuknak megfelelő zavartalan és folyamatos üzemelése.
(3)Az Iroda székházában az Iroda számára létrehozott logikai hálózathoz csatlakozó vagy az Iroda által engedélyezett hálózatba nem kötött infokommunikációs eszközök rendeltetésszerűen, munkavégzés céljából, az Iroda érdekeinek szem előtt tartásával, az Iroda által meghatározott módon, a felhasználó felelősségére használhatóak. Az eszközöket ettől eltérő célra – különösen magáncélra – használni nem lehet.
(4)A felhasználó felelősséggel tartozik a munkavégzés céljából átvett eszközért, köteles megőrizni annak hardver- és szoftverintegritását. Az integritás sérelmének minősül a rendeltetésellenes használat, továbbá a hardveres vagy szoftveres módosítás.
(5)Tilos más felhasználó azonosítójával az elektronikus információs rendszerbe bejelentkezni, illetve más részére bejelentkezési hozzáférést átadni.
(6)A nem az Iroda tulajdonát képező infokommunikációs eszközt engedély nélkül az Iroda informatikai infrastruktúrájába csatlakoztatni tilos, kivéve az olyan adathordozó eszközöket, amelyek munkavégzés céljából kerülnek alkalmazásra, és az elektronikus információs rendszer biztonságáért felelős személy általi előzetes engedélyezésük megtörtént. 5. Titokvédelem és adatvédelem során érvényesülő szabályok 7. §
(1)Az elektronikus információs rendszerekről és eszközökről kizárólag az elnök szolgáltathat adatokat.
(2)Az elektronikus információs rendszerek bevezetésében és felhasználásában közreműködő külső fél munkatársai és vezetői az Irodánál rendszeresített titoktartási nyilatkozat tételére kötelesek, vagy az Iroda és a külső fél közötti jogviszony alapjául szolgáló megállapodásban kell rendelkezni a külső fél titoktartási kötelezettségéről. A titoktartási kötelezettségnek ki kell terjedni az elektronikus információs rendszerekkel kapcsolatos, illetve ezek bevezetése során tudomásukra jutó valamennyi információra.
(3)Külső fél munkavégzése során a szükséges és elégséges hozzáférés elve alapján
  1. a)kizárólag a feladat ellátásához szükséges hivatali adat, információ megismerésére, továbbá
  2. b)az adat- és rendszerhozzáférésre a munkavégzéséhez szükséges lehető legrövidebb ideig és szükséges legkisebb jogosultsági szint alkalmazásával jogosult. 6. Információbiztonsági általános szabályok 8. §
(1)Az elektronikus információs rendszer részét képező adathordozókról – a munkahelyi célú felhasználás kivételével – tilos az Iroda által kezelt, bizalmas adatot tartalmazó adatállományok, illetve a munkavégzés során szerzett egyéb adatok, információk másolása, illetéktelen személyekkel történő megismertetése vagy más, nem az utasítás hatálya alá tartozó elektronikus információs rendszerekbe történő eljuttatása.
(2)Az infokommunikációs eszközök elhelyezése és tárolása során biztosítani kell az információ illetéktelen hozzáférésének megakadályozását.
(3)Adatok átadásánál az adatok titkosításával, a titkosítás feloldásához szükséges kulcs független, biztonságos csatornán történő átadásával kell biztosítani az adatok bizalmasságát, illetéktelen személyek hozzáférésének megakadályozását. Az adatátadásokat minden esetben átadás-átvételi jegyzőkönyv kitöltésével kell igazolni.
(4)Adatfeldolgozás során a hardver- vagy szoftverhibából eredő adatvesztés gyanúja esetén – az adatfeldolgozás szüneteltetése mellett – haladéktalanul értesíteni kell az elektronikus információs rendszer biztonságáért felelős személyt. A hiba elhárítását követően az üzemeltető útmutatása szerint kell folytatni az adatrögzítést, illetve adatfeldolgozást.
(5)Az alkalmazások használata során az adatok felvitelét, módosítását, törlését kizárólag csak az elektronikus információs rendszer biztonságáért felelős személy által elfogadott alkalmazással, eljárással – szigorúan követve a felhasználói dokumentáció útmutatását – lehet elvégezni.
(6)Az elektronikus információs rendszerekhez és a bennük tárolt adatokhoz való hozzáférési jogosultság dokumentált engedélyeztetése útján kell gondoskodni arról, hogy jogosulatlan felhasználó azokat ne módosíthassa, és ne törölhesse. A mentések és archívumok tárolása és őrzése során is biztosítani kell az adatok bizalmasságát, sértetlenségét és rendelkezésre állását, valamint az adatmegőrzési idő lejártakor az adatok biztonságos megsemmisítését. 7. Kiemelt rendelkezésre állási időszakok kezelése 9. §
(1)Az országgyűlési képviselők általános választása, az Európai Parlament tagjainak választása, az önkormányzati képviselők és polgármesterek, illetve a nemzetiségi önkormányzati képviselők általános választása, valamint országos népszavazás kitűzésétől az eredmény megállapításának jogerőssé válásáig tartó időszak, továbbá az elnök által egyedileg meghatározott időszak kiemelt rendelkezésre állási időszak (a továbbiakban: kiemelt rendelkezésre állási időszak).
(2)Kiemelt rendelkezésre állási időszakra vonatkozóan az elnök jogosult elrendelni kiemelt üzemeltetési szolgálatot (a továbbiakban: szolgálat), amelynek feladata, hogy a kiemelt rendelkezésre állási időszakban a legrövidebb időn belül a felmerülő hiba a) diagnosztizálása, b) javítása, valamint c) szükség esetén a tartalékmegoldások azonnali üzembe állítása megtörténjen.
(3)A szolgálat katasztrófahelyzetben az Iroda üzletmenet-folytonossági terve és katasztrófaelhárítási terve alapján jár el.
(4)A szolgálatot úgy kell megszervezni, hogy biztonsági incidensek vagy azok gyanúja esetén a szolgálat képes legyen a legnagyobb kockázatot jelentő biztonsági incidensek azonnali kezelésére is. 10. §
(1)A kiemelt rendelkezésre állási időszakra vonatkozóan dokumentálni kell az ezen utasítástól eltérő követelményeket és rendkívüli intézkedéseket, amelyeket az elnök hagy jóvá.
(2)A kiemelt rendelkezésre állási időszakban az ezen utasítás hatálya alá tartozó informatikai központokba kizárólag a szolgálatban részt vevő személyek léphetnek be. II. Fejezet Az informatikai biztonság rendje 8. Informatikai biztonsági feladat-, felelősségi és kompetenciakörök 11. §
(1)Az informatikai biztonság szempontjából kritikus eljárások irányítási feladatköreit úgy kell kialakítani, hogy azok több munkakörhöz kapcsolódjanak a lehetséges visszaélések elkerülése érdekében.
(2)Az informatikai biztonsággal kapcsolatos ellenőrzési feladatokat el kell különíteni az infokommunikációs rendszerek üzemeltetési tevékenységétől.
(3)Az
(1)és
(2)bekezdésben foglalt követelmények teljesülését évente az ellenőrzési terv alapján az elektronikus információs rendszer biztonságáért felelős személy ellenőrzi. 12. §
(1)Az elektronikus információs rendszer biztonságáért felelős személy
  1. a)minden év január 31. napjáig éves ellenőrzési tervet készít,
  2. b)az elnök által elfogadott éves ellenőrzési terv alapján elvégzi a biztonsági ellenőrzést,
  3. c)az ellenőrzés során tapasztaltak alapján intézkedik, illetve javaslatot tesz a hibák vagy a nem megfelelő működés kijavítására,
  4. d)a végrehajtott ellenőrzésekről minden év december 31. napjáig jelentést készít az elnök részére,
  5. e)ellenőrzi a hozzáférési jogosultságok rendszerét, felhasználóhoz rendelésük megfelelőségét, f ) részt vesz az elektronikus információ biztonsággal kapcsolatos vezetői döntések előkészítésében,
  6. g)kivizsgálja az informatikai tárgyú biztonsági eseményeket,
  7. h)a biztonsági eseményekről tájékoztatja az elnököt,
  8. i)együttműködik az információbiztonság megvalósításában részt vevő informatikai, információbiztonsági munkatársakkal, valamint külső felekkel,
  9. j)szükség esetén kezdeményezi ezen utasítás 1. mellékletének módosítását,
  10. k)elkészíti az Iroda, illetve annak önálló szervezeti egysége részére előírt biztonsági szint eléréséhez szükséges feladatokat tartalmazó intézkedési tervet,
  11. l)elkészíti az üzletmenet-folytonossági tervet és katasztrófaelhárítási tervet,
  12. m)elkészíti az informatikai biztonsági felhasználói szabályzatot,
  13. n)az információbiztonság érdekében összehangolja az információbiztonságot meghatározó vagy azt befolyásoló, az Iroda önálló szervezeti egysége vagy külső fél által ellátott tevékenységeket,
  14. o)kivizsgálja az elektronikus információs rendszerekben kezelt adatok rendelkezésre állását, bizalmasságát, sértetlenségét érintő rendkívüli biztonsági eseményeket, javaslatot tesz az elnöknek további intézkedésekre,
  15. p)értékeli az elektronikus információs rendszerek eseménynaplóit,
  16. q)ellenőrzi a kártékony kódok elleni védelmi megoldások használatát,
  17. r)ellenőrzi az elektronikus információs rendszerekre vonatkozó dokumentációk meglétét és megfelelőségét,
  18. s)ellenőrzi a vonatkozó információbiztonsági követelményeket az elektronikus információs rendszerek fejlesztési, üzemeltetési és alkalmazási dokumentációiban,
  19. t)amennyiben a kibertérből érkező új fenyegetéseket észlel, vagy hatékonyabb biztonsági intézkedések megtételét tartja szükségesnek, kezdeményezi a védelem erősítését,
  20. u)javaslatot tesz az információbiztonság tudatosítását erősítő képzésre, továbbképzésre,
  21. v)a biztonsági események jelentését követően elvégzi az esemény kivizsgálásához szükséges információk összegyűjtését,
  22. w)felméri az elektronikus információs rendszerekben kezelt adatok rendelkezésre állását, bizalmasságát, sértetlenségét érintő lehetséges kockázatokat, és az elnök jóváhagyását követően a felmérésnek megfelelő biztonsági területeket jelöl ki, valamint
  23. x)ellátja az ezen utasításban vagy az elnök által egyedi utasításban a részére megállapított egyéb feladatokat.
(2)Az elektronikus információs rendszer biztonságáért felelős személyt feladatai teljesítéséhez szükséges mértékben az elektronikus információs rendszerek valamennyi elemének tervezésével, fejlesztésével, beszerzésével és üzemeltetésével kapcsolatban megilleti a tanácskozási, véleményezési, javaslattételi, kezdeményezési, ellenőrzési, betekintési és hozzáférési jogosultság. 13. § Az önálló szervezeti egység vezetője
  1. a)tájékoztatja az elektronikus információs rendszer biztonságáért felelős személyt a vezetése alatt álló szervezeti egységben előforduló személyi változásokról,
  2. b)gondoskodik arról, hogy az adott szervezeti egység felhasználói megismerjék, és munkavégzésük során alkalmazzák ezen utasítást, valamint
  3. c)ellenőrzi, hogy a szervezeti egység felhasználói betartják-e ezen utasítás rendelkezéseit. 14. §
(1)Az Iroda elektronikus információs rendszereinek fejlesztésére, üzemeltetésére vagy adatfeldolgozására külső féllel kötött megállapodásokban rendelkezni kell a külső fél információbiztonsági kötelezettségeiről és az Iroda ellenőrzési jogosultságairól, így különösen
  1. a)az informatikai biztonság fő szabályairól,
  2. b)a feldolgozandó, kezelendő adatok érzékenységéről, a biztonsági osztályokról, illetve a védelem érdekében meghatározott és a külső fél által alkalmazandó eljárásokról,
  3. c)az információbiztonsággal, valamint az adatkezeléssel összefüggő tevékenységek hatékony nyomonkövethetőségéről,
  4. d)az információk másolásának és nyilvánosságra hozatalának feltételeiről,
  5. e)a szolgáltatás elvárt szintjének és a szolgáltatási időszaknak a meghatározásáról, f ) a külső fél tevékenységének az üzletmenet-folytonossági és katasztrófaelhárítási tervekre gyakorolt hatásáról,
  6. g)a teljesítések ellenőrizhetőségéről, monitorozásának lehetőségeiről,
  7. h)a garanciaszintekről, azok követelményeiről,
  8. i)a hardver- és szoftvertelepítésből, valamint a karbantartásokból eredő felelősségről,
  9. j)a világos és egyértelmű jelentéskészítési struktúráról,
  10. k)a változáskezelések egyértelmű és meghatározott folyamatáról,
  11. l)a kártékony kódok elleni óvintézkedések meghatározásáról,
  12. m)a biztonsági eseményeket követő jelentéstételi kötelezettségről, illetve a biztonsági események kezelésére vonatkozó feladatokról és eljárásokról,
  13. n)az érintett rendszerelemek és folyamatok meghatározásáról,
  14. o)azokról a paraméterekről, amelyeket a külső félnek el kell érnie ahhoz, hogy igazolható legyen a teljesítése,
  15. p)az egyes szolgáltatásokhoz kapcsolódó elvárt szolgáltatási szintekről, valamint a szolgáltatások mérésének és azokra vonatkozó jelentések módjáról,
  16. q)a megállapodásból eredő jogsértésekhez kapcsolódó szankciókról,
  17. r)a külső fél és a munkatársak közötti feladat és felelősség megosztásáról, valamint az egymás tájékoztatásának és a teljesített feladat átadás-átvételének folyamatáról, valamint
  18. s)a rendkívüli helyzetek kezelése esetén alkalmazandó feladatmegosztásról, feladat- és felelősségi körökről, illetve a jelentési kötelezettségről.
(2)Az
(1)bekezdés szerinti megállapodás megkötését megelőzően az elektronikus információs rendszer biztonságáért felelős személy megvizsgálja, hogy a külső fél által nyújtott szolgáltatásnak milyen információbiztonsági kockázatai vannak. Az így megállapított kockázatokkal arányosan kell meghatározni a megállapodásban a külső fél által teljesítendő információbiztonsági kötelezettségeket.
(3)A külső fél munkavégzése során
  1. a)gondoskodik arról, hogy az elektronikus információs rendszerben kezelt adatok bizalmassága, sértetlensége, rendelkezésre állása és az adatvédelem elvei nem sérülhetnek,
  2. b)gondoskodik arról, hogy a hozzáférési jogot kapott munkatársai a jogosultságot nem adhatják át más személynek,
  3. c)gondoskodik arról, hogy a hozzáférési azonosítókat és az ezekhez kapcsolódó fizikai eszközöket bizalmasan kezelje, és biztosítsa, hogy azokhoz illetéktelen személyek ne férhessenek hozzá,
  4. d)garantálja az elektronikus információs rendszerek és infokommunikációs eszközök megfelelő védelmét, a szükséges és elégséges hozzáférés elvének betartását, fizikai és logikai védelem kialakítását, rendszerszintű titkosítási eljárások alkalmazását, illetve a biztonsági naplózást, valamint
  5. e)ha távolról éri el az Iroda hálózatát, illetve valamely elektronikus információs rendszerét, akkor a biztonságos elektronikus adatcsere-kapcsolat érdekében köteles az Iroda által előírt információbiztonsági megoldásokat megvalósítani mindazon saját eszközein, amelyekről a távoli elérés lehetséges.
(4)Bizalmas adatforgalom az Iroda és a külső fél között csak titkosított kommunikációs csatorna biztosításával történhet.
(5)Az elektronikus információs rendszerhez kapcsolódó rendszergazdai feladatok ellátásáért az üzemeltetést végző külső fél felel.
(6)A külső fél által az
(1)bekezdés szerinti megállapodás alapján nyújtott szolgáltatások megfelelőségét az elektronikus információs rendszer biztonságáért felelős személy folyamatosan ellenőrzi. 15. § A munkatárs köteles
  1. a)az elektronikus információs rendszer biztonságáért felelős személyt minden olyan tényről, eseményről haladéktalanul értesíteni, amely ezen utasítás rendelkezéseinek végrehajtását akadályozza, illetve ellentétes az utasítás rendelkezéseivel,
  2. b)haladéktalanul jelenteni az észlelt biztonsági fenyegetettségeket és eseményeket az elektronikus információbiztonságért felelős személynek,
  3. c)a munkavégzése során a rá bízott adatokat, információkat, infokommunikációs eszközöket, elektronikus információs rendszereket felelősséggel, az előírások szerint kezelni, illetve használni,
  4. d)részt venni az informatikai és információbiztonsági képzéseken, továbbképzéseken,
  5. e)az elektronikus információs rendszerben történő munkavégzése során tiszteletben tartani a felhasználói csoportjára vonatkozó szabályokat, f ) az elektronikus információs rendszerekhez használt hozzáféréseit biztonságos módon, bizalmasan kezelni,
  6. g)informatikai segítséget kérni, ha olyan jellegű feladatot kell ellátnia, amelyhez nincs meg a megfelelő informatikai ismerete, valamint
  7. h)gondoskodni a nyomatképző berendezések használata során a felesleges vagy rontott iratpéldányok jogszabályban előírt módon történő megsemmisítéséről. 9. Információs vagyon osztályozása 16. §
(1)Az Irodában információs vagyonleltárt kell létrehozni, amely tartalmazza az elektronikus információs rendszerekben kezelt adatok típusát adatkörönként, az adatok kezeléséért felelős szervezeti egység vezetőjét, valamint az adatok tárolási helyét és módját.
(2)Az
(1)bekezdés szerinti vagyonleltár naprakész vezetését az elektronikus információs rendszer biztonságáért felelős személy látja el.
  1. Biztonsági osztályba sorolás, kockázatmenedzsment
  2. § Az elektronikus információs rendszerek biztonsági osztályba sorolását, valamint az Iroda, illetve szervezeti egységei tekintetében a biztonsági szint meghatározását ezen utasítás
  3. melléklete tartalmazza.
  4. §
(1)Az elektronikus információs rendszer biztonságáért felelős személy minden év június 30. napjáig a rendelkezésre álló információk alapján biztonsági kockázatelemzést köteles készíteni. A kockázatelemzés során a kockázatok megállapítása érdekében az elektronikus információs rendszer biztonságáért felelős személy tájékoztatást kérhet a szervezeti egységek vezetőitől, illetve a külső felektől.
(2)A kockázatelemzés során az egyes veszélyforrások által okozható kockázatokat kell megállapítani, illetve feltárni. A kockázatokat a veszély megvalósulásának valószínűsége és az okozható kár alapján vagy a sérülékenység kihasználhatósága, az elektronikus információs rendszer kitettsége és ennek hatása alapján kell meghatározni.
(3)Az elektronikus információs rendszer biztonságáért felelős személy a kockázatelemzés során a kockázatokat kategóriákba sorolja, és kockázatcsökkentési vagy -megszüntetési intézkedésekről, valamint az elfogadásra javasolt kockázatokról jelentést készít az elnök részére.
(4)A kockázatelemzésről szóló jelentés alapján az elnök a kockázatokat értékeli, és gondoskodik a kockázatok csökkentéséhez, illetve megszüntetéséhez szükséges intézkedések meghozataláról, vagy az elfogadásra javasolt kockázat elfogadásáról dönt. III. Fejezet A humán erőforrásokra vonatkozó biztonsági előírások 11. A munkavégzés szabályai az NVI információs rendszerében 19. §
(1)A munkatárs munkavégzése során köteles
  1. a)az elektronikus információs rendszereket kizárólag hivatalos célokra használni,
  2. b)a használatra kapott infokommunikációs eszköz rendszerszintű beállításainak módosítását mellőzni,
  3. c)a használt infokommunikációs eszköz kezelésével kapcsolatos kezelési és biztonsági ismereteket elsajátítani és készség szintjére fejleszteni,
  4. d)az elektronikus információs rendszerekbe csak szabályszerűen, kizárólag a személyéhez rendelt azonosító eszközzel bejelentkezni,
  5. e)a képernyőket, nyomtatókat úgy elhelyezni, hogy azok minél kevesebb lehetőséget biztosítsanak illetéktelen személyek betekintésére, f ) a rendszeresített biztonsági funkciókat megtartani,
  6. g)tartózkodni minden olyan tevékenységtől, amely az elektronikus információs rendszerben kárt okozhat,
  7. h)az esetleges meghibásodás esetén törekedni a további károsodás megelőzésére, valamint
  8. i)hiba esetén értesíteni az elektronikus információs rendszer biztonságáért felelős személy mellett az önálló szervezeti egysége vezetőjét.
(2)Az elnök fegyelmi eljárást kezdeményezhet, ha a munkatárs a szervezet információs vagyonát veszélyezteti továbbá, ha a munkatárs a veszélyt jelentő tevékenységre történő figyelmeztetést követően is szándékosan és rendszeresen
  1. a)megszegi az internet és az elektronikus levelezés használati szabályait, vagy
  2. b)ezen utasításban foglalt tiltott tevékenységet végez, vagy veszélyezteti a szervezet adatait, rendszereit, jogszabályoknak való megfelelését vagy jó hírnevét. 12. Felhasználók oktatása 20. §
(1)Új felhasználó esetén az elektronikus információs rendszer biztonságáért felelős személy tájékoztatja a felhasználót az elektronikus információs rendszer használatához kapcsolódó informatikai és információbiztonsági szabályokról, a szabályzatok elérhetőségéről, továbbá felhívja a munkatárs figyelmét azok megismerésére és betartására. A szükséges informatikai és információbiztonsági szabályzatok megismerésének tényét a munkatárs aláírásával igazolja.
(2)Ezen utasításban foglaltak megismertetésére és a feladatellátást érintő informatikai és információbiztonsági szabályokról az elnök évente informatikai és információbiztonsági oktatást szervez.
(3)Az oktatáson, illetve továbbképzésen való részvétel a felhasználók számára kötelező. A megjelenést a résztvevők aláírásukkal igazolják. IV. Fejezet 13. Biztonsági és üzemzavarok kezelése 21. §
(1)Az elektronikus információs rendszer biztonságáért felelős személy minden működési zavarról, amely az elektronikus információs rendszer folyamatos üzemét megzavarja, vagy a normális üzletmenetet hátráltatja, haladéktalanul jelent a rendszer üzemeltetőjének. A jelentést követően az üzemeltetőnek az Iroda és a közötte létrejött megállapodásban meghatározottak szerint meg kell szüntetnie az üzemzavart.
(2)Az elektronikus információs rendszer biztonságáért felelős személy rendszer-, illetve alkalmazáshiba esetén
  1. a)figyelemmel kíséri a működési zavar tüneteit, a képernyőn megjelenő üzeneteket,
  2. b)amennyiben a rendszerhibát vélhetően külső, illetéktelen beavatkozás vagy vírustámadás okozta, az érintett elektronikus információs rendszert, illetve rendszerelemet leválasztatja a hálózat(ok)ról, szükség esetén kikapcsoltatja,
  3. c)az Iroda hozzáférési és egyéb adatvédelmi rendszereinek működési zavarát, a megtett intézkedéseket haladéktalanul írásban jelenti az elnöknek, valamint
  4. d)gondoskodik arról, hogy a meghibásodott elektronikus információs rendszerelemekben használt adathordozók kizárólag a biztonsági ellenőrzést követően legyenek használhatóak más rendszerelemekben. 14. A biztonsági események kezelési eljárása 22. §
(1)A biztonsági eseményre adandó gyors és hatékony megoldások érdekében az elektronikus információs rendszer biztonságáért felelős személynek üzletmenet-folytonossági tervben kell meghatároznia a váratlan eseményekkel kapcsolatos felelősségeket és eljárásokat.
(2)Az üzletmenet-folytonossági tervnek ki kell terjednie
  1. a)az elektronikus információs rendszerhiba és a szolgáltatásmegszakadás,
  2. b)a szolgáltatásmegtagadás,
  3. c)a sértetlenség elvesztése, valamint
  4. d)a bizalmasság elvesztése biztonsági eseményekre.
(3)Az üzletmenet-folytonossági tervben rendelkezni kell arról, hogy a biztonsági események kezelése során
  1. a)azonosítani és elemezni kell az biztonsági események okait,
  2. b)ki kell dolgozni a biztonsági események ismétlődésének megakadályozására vonatkozó terveket,
  3. c)naplózni kell a biztonsági eseményeket,
  4. d)gondoskodni kell a visszaállítás megoldásáról, valamint
  5. e)jelentést kell készíteni az elnök részére.
(4)Az üzletmenet-folytonossági tervben rendelkezni kell a biztonsági események kezelését követő elnöki jelentés tartalmi elemeiről.
(5)Az üzletmenet-folytonossági tervben a biztonsági események és rendszerhibák javítási eljárását úgy kell meghatározni, hogy
  1. a)csak az engedéllyel és a kellő szaktudással rendelkező személyek férhessenek hozzá az informatikai rendszerekhez és azok adataihoz,
  2. b)a kijavításra kijelölt személy ismerje a biztonsági esemény során az üzemeltető által alkalmazandó vagy alkalmazott eljárást,
  3. c)a biztonsági esemény során alkalmazandó vagy alkalmazott eljárás jegyzőkönyvben rögzítésre kerüljön,
  4. d)a biztonsági eseményeket követően az adatok sértetlensége haladéktalanul ellenőrzésre kerüljön.
(6)Az üzletmenet-folytonossági tervben részletezettek szerint a biztonsági eseményeket
  1. a)típus,
  2. b)terjedelem,
  3. c)az általuk okozott károk, helyreállítási költségek, valamint
  4. d)a hitelesítési és monitorozási rendszer kimenetei alapján kell értékelni.
(7)Az érintett elektronikus információs rendszer, illetve rendszerelem üzemeltetője – az Iroda és a közötte létrejött megállapodásban meghatározottak szerint – a biztonsági esemény elhárítása érdekében intézkedik a hiba megszüntetéséről, és a további teendőkről az elektronikus információs rendszer biztonságáért felelős személyt folyamatosan tájékoztatja. Szükség esetén – ideiglenes jelleggel – helyettesítő megoldással is biztosíthatja az üzemeltető a felhasználói munkavégzést. 15. Biztonsági események jelentése és nyilvántartása 23. §
(1)Az elektronikus információs rendszer bármely felhasználói pontján jelentkező, adott rendszerelemmel kapcsolatban felmerülő rendellenes működés, jelenség, vírusjelzés vagy futási hiba esetén a felhasználó köteles a tapasztalt jelenséget, a jelenséget kísérő hibaüzenetet regisztrálni és haladéktalanul bejelenteni az elektronikus információs rendszer biztonságáért felelős személy részére.
(2)Az üzemeltető – az Iroda és a közötte létrejött megállapodásban rögzített rendben – köteles azonnal jelenteni az elektronikus információs rendszer biztonságáért felelős személynek, amennyiben munkája során biztonsági veszélyeket vagy az infokommunikációs rendszerben veszélyforrást fedezett fel.
(3)A bejelentett biztonsági eseményekről az elektronikus információs rendszer biztonságáért felelős személy elektronikus nyilvántartást vezet. V. Fejezet Az IT-infrastruktúra fizikai környezetének biztonsága 16. Elektronikus információs rendszert, rendszerelemet tartalmazó helyiségekbe való belépés rendje 24. §
(1)Az elektronikus információs rendszer biztonsága szempontjából azokat a helyiségeket és épületeket védeni kell, amelyekben elektronikus információs rendszer, rendszerelem működik. Az Iroda használatában lévő épület azon helyiségében, ahol elektronikus információs rendszer, illetve rendszerelem van, csak azok a személyek tartozódhatnak, akik oda munkavégzésük folytán erre jogosultak. A jogosultsággal nem rendelkező munkatársak vagy egyéb személyek csak kísérettel és állandó felügyelet mellett tartózkodhatnak a helyiségben.
(2)A biztonsági területekre és az egyes biztonsági zónákba való belépést vagy beléptetést ellenőrizni és naplózni kell. A beléptetés előtt ellenőrizni kell a belépő által megjelölt belépési célt.
(3)Az olyan helyiségeket, ahol elektronikus információs rendszerben, infokommunikációs eszközzel történik a munkavégzés, biztonsági zárral kell ellátni, és a helyiséget a felhasználó távolléte esetén zárva kell tartani. 17. Áramellátás szolgáltatási rendje 25. §
(1)Az elektromos hálózatot a szünetmenetességre, az áthidalási és újratöltési időre vonatkozó követelményeknek megfelelően kell kialakítani, és külön leágazás megépítésével kell a betáplálásról gondoskodni. Ha egy nem informatikai központnak kijelölt hivatali helyiségben szerver üzemel, gondoskodni kell helyi szünetmentes tápáramellátásról.
(2)Az elektronikus információs rendszer, illetve rendszerelem energiaellátási védelmének kialakítása során
  1. a)az elektronikus információs rendszer, illetve rendszerelem üzemeltetőjének biztosítania kell az informatikai berendezés gyártója által meghatározott energiaellátási követelményeket,
  2. b)megszakítás nélküli áramforrást kell használni, valamint
  3. c)többféle alternatív áramszolgáltatási lehetőséget kell igénybe venni.
(3)Az energiaellátó hálózat kábelezésénél védett kábeleket kell használni, és az adatátviteli kábelt el kell különíteni az energiaellátás kábeleitől.
(4)A kábeleket a kábelrendező és a csatlakozóaljzatok között rögzített csatornában kell vezetni, a lengőkábelek nem keresztezhetnek közlekedési utat. A hálózat valamennyi elemét olyan környezetben kell elhelyezni, ahol a jogosulatlan fizikai hozzáférés megakadályozott.
(5)Az elektronikus védelmi rendszert az épület teljes területén ki kell építeni. A riasztásoknak az épület biztonsági szolgálatánál vagy a legközelebbi illetékes rendvédelmi szervnél is meg kell jelenniük. Az elektronikus védelemnek szabotázsvédettnek kell lennie.
(6)Az elektronikus információs rendszerek, rendszerelemek a vonatkozó szabványnak megfelelően kizárólag védőföldeléssel ellátott 230 V feszültségű elektromos hálózati dugaszolóaljzatba csatlakoztathatók.
(7)Az Iroda székházának területén az elektronikus információs rendszert, áramellátó hálózatot, telefonhálózatot érintő bármilyen beavatkozást, építést, karbantartást, átalakítást csak az Üzemeltetés tájékoztatása után, annak jóváhagyásával és felügyeletével lehet végezni.
(8)E §-ban foglalt követelmények megtartását az információs rendszer biztonságáért felelős személy ellenőrzi. 18. Tárolóhelyiségekre vonatkozó védelmi előírások 26. §
(1)Nyílt tárolás esetén az elektronikus és papíralapú dokumentumok biztonságáról az Iroda Iratkezelési Szabályzata szerint kell gondoskodni.
(2)Az informatikai eszközök munkaidőn túl zárható helyiségben, zártan tárolhatók.
(3)Speciális biztonsági eszközök alkalmazására az információs rendszer biztonságáért felelős személy engedélyével van lehetőség. 19. Fizikai biztonsági elkülönítés 27. §
(1)Az IT-infrastruktúra elemeinek a kockázatokkal és az értékükkel arányos fizikai védelmet kell biztosítani.
(2)Az elektronikus információs rendszer kritikussága és a benne kezelt adatok besorolásának kockázata alapján a helyiségeket fizikai biztonsági zónák szerint kell besorolni. A besorolást az információs rendszer biztonságáért felelős személy végzi el.
(3)A biztonsági követelményeknek megfelelően úgy kell a helyiségeket kialakítani, hogy az elektronikus információs rendszerek megfelelő fizikai és környezeti védelmét garantálni tudják. A kialakított biztonsági zónákban történő munkavégzésre – a zónát veszélyeztető fenyegetettségek függvényében – más-más informatikai és fizikai biztonsági követelmények vonatkozhatnak.
(4)A fizikai biztonsági zónákat elektronikus információs rendszerenként, valamint biztonsági osztályonként egyaránt rögzíteni kell.
(5)A védett helyiségekbe és biztonsági területekre, valamint zónákba való belépési jogosultságokat úgy kell meghatározni, hogy az egyes személyeket, a személyek csoportjait az elektronikus információs rendszerben vagy környezetében betöltött szerepük alapján kell hozzárendelni a helyiségekhez vagy helyiségcsoportokhoz.
(6)Az elektronikus információs rendszerek környezetét megfelelő fizikai, mechanikai, elektronikai és személyi védelemmel kell biztosítani. Az alkalmazott védelmi formák körét, azok kialakítását az információs rendszer biztonságáért felelős személy az Üzemeltetéssel egyeztetve határozza meg, az Iroda székhelyéül szolgáló épület védelmi igényének és speciális feltételeinek figyelembevételével.
(7)A kiemelten védendő zónákba való belépési jogosultságot személyre szólóan, a személy feladatellátási kötelezettsége alapján kell meghatározni. Állandó vagy egyedi belépési jogosultságot az informatikai központba az elnök engedélyezhet. 20. Infokommunikációs eszközök, rendszerelemek fizikai védelmének szabályozása 28. §
(1)Az elektronikus információs rendszerek, rendszerelemek nyilvántartásáért a Gazdálkodási Főosztály felel. A rendszerelemeket az eszköznyilvántartásban tartják nyilván, és a változásokat azonnal, de legkésőbb öt munkanapon belül aktualizálják.
(2)Az elektronikus információs rendszerek, rendszerelemek üzembe helyezésére, valamint selejtezésére csak az elnök által kijelölt személy vagy megállapodás alapján külső fél jogosult.
(3)Az elektronikus információs rendszerekbe, rendszerelemekbe beépített és külső adathordozókat javítás, újrahasznosítás, selejtezés esetén a biztonságos adattörlést megvalósító célhardverrel vagy szoftverrel, vagy ha ez az adathordozó működésképtelensége miatt nem megvalósítható, akkor fizikai roncsolással szükséges adatmentesíteni.
(4)A környezeti veszélyek és kockázatok mérséklése érdekében
  1. a)a rendszerelemeket úgy kell elhelyezni, hogy azokhoz az illetéktelen személy hozzá ne férhessen,
  2. b)a különleges védelmet igénylő, fokozott és kiemelt biztonsági osztályba tartozó rendszerelemeket elkülönítve kell elhelyezni és használni, és
  3. c)a környezeti hatások és a lehetséges veszélyforrások folyamatos vizsgálatával és elemzésével törekedni kell a szükséges működési feltételek biztosítására.
(5)Az elektronikus információs rendszerelemek, infokommunikációs eszközök rendeltetésszerű használatáért az eszköz használója felel vagy az a személy, aki vezetői utasításra vagy a vezető engedélyével azt használta. Közös használatú eszköz esetén a rendeltetésszerű használatért az a személy felel, akit a vezető kijelöl az eszköz, rendszerelem felügyeletére.
(6)A munkavégzése során infokommunikációs eszközt használó köteles az általa működtetett eszközt és az ahhoz csatlakoztatott egyéb eszközöket
  1. a)a rendeltetésnek megfelelően, munkavégzés céljából, szakszerűen, az Iroda érdekeit szem előtt tartva ezen utasításban meghatározott módon használni és
  2. b)a munka befejeztével valamennyi eszközt kikapcsolni, kivéve ha ezzel ellentétes állandó vagy egyedi írásos utasítást nem kap.
(7)Az infokommunikációs eszközök használata során tilos
  1. a)az eszközt illetéktelen személynek átengedni,
  2. b)az eszköz közelében folyadékot, éghető anyagot, illetve felette, alatta vagy rajta az eszköz rendeltetésétől eltérő anyagot, tárgyat elhelyezni és tárolni és
  3. c)az eszközt – hordozható infokommunikációs eszközök kivételével – a telepítési helyéről elmozdítani és elvinni az üzemeltető engedélye és közreműködése nélkül.
(8)Az infokommunikációs eszközöknek a munkafeladattól eltérő célra történő használatához az önálló szervezeti egység vezetőjének engedélye és az elnök hozzájárulása szükséges.
(9)Az infokommunikációs eszközökhöz bármilyen külső eszközt, illetve kábelt csatlakoztatni csak az üzemeltető engedélyével vagy közreműködésével lehet. Az üzemeltető által már csatlakoztatott és beüzemelt eszköz további használata visszavonásig engedélyezett.
(10)Címkét, jelölést vagy feliratot az elektronikus információs rendszerelemekre, infokommunikációs eszközökre csak az Üzemeltetés helyezhet, illetve távolíthat el onnan. Az eszközök burkolatát megbontatni tilos. Alkatrészt csak az üzemeltető helyezhet be az eszközbe, illetve szerelhet ki az eszközből.
(11)Azokban a helyiségekben, ahol ügyfélfogadás történik, az elektronikus információs rendszerelemek, infokommunikációs eszközök adatait tartalmazó felületeit úgy kell elhelyezni, hogy azokra az ügyfél ne láthasson rá. 21. Elektronikus információs rendszerek, rendszerelemek karbantartása 29. §
(1)Az üzemeltető szükség szerint, illetve tervezett és a felhasználókkal egyeztetett módon karbantartást végez.
(2)Az üzemeltető a specifikációban javasolt időközönként köteles elvégezni a rendszerelemek karbantartását.
(3)A rendszerelemek kezelését, illetve javítását csak megfelelő szakképzettséggel rendelkező személyek végezhetik.
(4)A rendszerelemek, infokommunikációs eszközök külső helyszínen történő javítása, karbantartása esetén gondoskodni kell a rendszerelem adathordozóin tárolt adatok végleges (visszaállíthatatlan) törléséről vagy az adathordozó eltávolításáról. 22. Eszközkivonási biztonsági intézkedések, újrahasznosítás 30. §
(1)Megsemmisítésre kijelölt elektronikus információs rendszerelemeket, infokommunikációs eszközöket megsemmisítésig a használatban lévő eszközöktől elkülönítetten kell tárolni és kezelni, figyelembe véve
  1. a)a veszélyes anyagok tárolására és a megsemmisítésre vonatkozó szabályokat,
  2. b)a leltározásra és selejtezésre vonatkozó szabályokat, illetve
  3. c)az adatvédelem biztonsági követelményeit.
(2)Az elektronikus információs rendszerelemek, infokommunikációs eszközök végleges használaton kívül helyezése előtt gondoskodni kell az adathordozóikon tárolt összes adat visszaállíthatatlan eltávolításáról és felülírásáról vagy a beépített adathordozó eltávolításáról és megfelelő tárolásáról, a beépített vezérlőszoftverek konfigurációjának törléséről, illetve alapértelmezett gyári értékek visszaállításáról.
(3)Külső félnek javításra, megsemmisítésre elszállítandó infokommunikációs eszközből el kell távolítani a beépített adathordozót, és anélkül kell átadni a külső fél képviselőjének. Ha az eltávolítás nem megoldható, akkor biztonságos adattörlési eljárást kell alkalmazni, vagy a külső fél arra felhatalmazott képviselője az adatvédelmi és titoktartási szabályok betartására vonatkozóan nyilatkozatot köteles tenni. 23. Informatikai központra vonatkozó általános biztonsági előírások 31. §
(1)Az információs rendszer biztonságáért felelős személy az Üzemeltetéssel együttműködve gondoskodik az Iroda felügyelete alatt álló helyiségek esetén
  1. a)az informatikai központ és a benne elhelyezett elektronikus információs rendszerelemek fizikai védelmét biztosító eszközök és berendezések meglétéről, azok működőképességének rendszeres ellenőrzéséről, tervezett karbantartásukról,
  2. b)a szerverek működéséhez szükséges megfelelő fizikai környezet kialakíttatásáról,
  3. c)a megfelelő elektromos hálózat, villám- és túlfeszültség-, valamint érintésvédelmi berendezések meglétéről és működésének biztosításáról,
  4. d)a behatolás elleni védelem és riasztórendszer kialakításáról,
  5. e)a megfelelő tűzvédelmi rendszerről.
(2)A informatikai központban, közvetlenül mellette és felette vizesblokk kialakítása tilos. Az informatikai központot védeni kell szennyvíz, illetve esővíz bejutása ellen.
(3)Az informatikai központokban végzett építési és karbantartási munkákat az érintettek előzetes értesítése, az időpontok egyeztetése után az üzemeltető által kijelölt munkatárs felügyeli.
(4)Az üzemeltetés és hibaelhárítás során jelentkező alkatrészbeszerzések, javítások és a rendszer fejlesztésére irányuló beszerzések biztonsági szempontú szakmai előkészítése az információs rendszer biztonságáért felelős személy feladata.
(5)A teljes körű védelemről már a helyiségek kialakítása során gondoskodni kell. Az informatikai központok üzemeltetése során biztosítani kell a mechanikai és a technikai védelmet, így
  1. a)a nyílászárókon keresztül történő bejutás megakadályozására szolgáló elektromos vagy fizikai védelmi eszközöket kell alkalmazni beltéri vagy földszinti, illetve könnyen elérhető kültéri nyílászárók esetében egyaránt,
  2. b)gondoskodni kell arról, hogy az informatikai központba kívülről nyitott nyílászárón vagy szellőzőn keresztül idegen anyagot bedobni ne lehessen,
  3. c)az informatikai központra kívülről ne lehessen rálátni,
  4. d)az ajtónak kulccsal, mágneskártyával vagy kóddal zárhatónak kell lennie,
  5. e)a
  6. d)pont szerinti kulcs, mágneskártya vagy kód másodpéldányát a portán kell elhelyezni lezárt, hitelesítéssel ellátott borítékban vagy lepecsételhető kulcsdobozban, f ) a
  7. d)pont szerinti kulcshoz, mágneskártyához vagy kódhoz való hozzájutás csak naplózottan történhet,
  8. g)a
  9. d)pont szerinti kulcshoz, mágneskártyához vagy kódhoz történő hozzáférést az elnök engedélyezheti,
  10. h)az
  11. e)pont szerinti kulcsdoboz vagy boríték rendkívüli felnyitásáról a felhasználónak telefonon és írásos feljegyzésben értesítenie kell az Üzemeltetés vezetőjét és az elektronikus információs rendszer biztonságáért felelős személyt,
  12. i)a hitelesítéssel ellátott boríték felnyitását, a kód használatát követően a kódot meg kell változtatni. 24. Kontrollok 32. §
(1)Infokommunikációs eszközökkel kapcsolatos csatlakoztatással, lecsatlakoztatással járó eszközmozgatást, továbbá csatlakoztatást, lecsatlakoztatást, szerelést, eszközátadást, üzembe helyezést és selejtezést csak az üzemeltető által kijelölt informatikus végezhet.
(2)Az infokommunikációs eszközökkel kapcsolatos minden
(1)bekezdés szerinti csatlakoztatással, lecsatlakoztatással járó mozgatásról jegyzőkönyvet kell készíteni. 33. § Az infokommunikációs eszközök biztonsági beállításait, illetve háttértárolóinak tartalmát az elektronikus információs rendszer biztonságáért felelős személy évente az ellenőrzési terv alapján ellenőrzi. A felhasználó köteles az eszköz átadásával az ellenőrzés elvégzését segíteni. Az ellenőrzés során fokozott figyelmet kell fordítani arra, hogy
  1. a)az adott eszközön a biztonsági beállítások, vírusvédelmi és egyéb biztonsági rendszerek beállításai megfelelnek-e az előírtaknak,
  2. b)az állományok lokális tárolására vonatkozó szabályokat a felhasználók betartják-e,
  3. c)az eszközön fellelhető naplóállományokban nincs-e nyoma rendellenes műveleteknek, jogosulatlan használatnak. VI. Fejezet Az üzemeltetés és kommunikáció biztonsága 25. Az üzemeltetés menedzselése 34. §
(1)Az elektronikus információs rendszer megbízható és biztonságos működésének biztosítása érdekében meg kell határozni az összes rendszerelem kezelésére és működtetésére vonatkozó feladatokat és eljárásokat (a továbbiakban: üzemeltetési eljárások), amelyekbe beletartozik az összes szükséges működtetési és hibaelhárítási eljárás elkészítése.
(2)Az üzemeltetési eljárásokat az üzemeltetőnek kell részletesen dokumentálnia. A dokumentumokat az Iratkezelési Szabályzatnak megfelelően kell tárolni.
(3)Az üzemeltetési eljárások dokumentációinak a munkafolyamat minden részelemének vonatkozásában részletes utasításokat kell tartalmaznia
  1. a)az adatkezelésre,
  2. b)a tervezett követelményekre, más elektronikus információs rendszer adatai bizalmassága sérülésének elkerülésére,
  3. c)a munkaidőn kívüli elektronikus információs rendszert vagy rendszerelemet érintő munkavégzésre,
  4. d)a hibaesetek és a rendellenes működés kezelésére,
  5. e)a munkavégzés közben fellépő kivételes állapotok kezelésére, illetve f ) a rendszer újraindítására és visszaállítására vonatkozóan.
(4)Az üzemeltetési eljárások dokumentációját az üzemeltetés helyén hozzáférhetővé kell tenni a felhasználók részére.
(5)Az üzemeltetési eljárások változása esetén az üzemeltetőnek ellenőrizni és dokumentálni kell
  1. a)a jelentős változások azonosítását,
  2. b)a felelős résztvevők megjelölését,
  3. c)a változások lehetséges hatásainak felmérését,
  4. d)a tervezett változtatások jóváhagyási eljárásainak ellenőrzését,
  5. e)az összes érintett értesítését a változások részleteiről, f ) a változtatás megszakításáért és az eredeti állapotba való visszaállításért felelős személy kijelölését. 26. A hálózat és az elektronikus információs rendszer üzemeltetésbiztonsága 35. §
(1)Az elektronikus információs rendszer napi üzemeltetésének feltételeit az üzemeltetővel kötött megállapodásban kell részletesen rögzíteni.
(2)Az üzemeltetésért felelős informatikai munkatársaknak rendszeresen el kell végezniük azokat az – üzemeltetési dokumentációban részletesen felsorolt – tevékenységeket, amelyek alapján meggyőződhetnek arról, hogy a rendszer üzemszerűen működik. 36. §
(1)Az elektronikus információs rendszer valamennyi hardver-, illetve szoftverelemét tartalmazó nyilvántartást a Gazdálkodási Főosztály vezeti. A nyilvántartásnak tartalmaznia kell a rendszer hardverelemeinek pontos és naprakész konfigurációját, a működtető szoftverelemek egyedi beállításait és elhelyezkedését, az értük felelős személy nevét.
(2)Az üzembiztonság érdekében a szerverek operációs rendszereit, azok konfigurációját tartalék adathordozón is tárolni kell, amely szükség esetén azonnal betölthető. 27. Az üzemeltetési folyamat változásainak bejelentése 37. §
(1)Szoftvert az infokommunikációs eszközre csak az üzemeltető által kijelölt informatikus (a továbbiakban: kijelölt informatikus) tölthet le, másolhat és telepíthet, valamint azt az eszközről csak kijelölt informatikus távolíthatja el. Tilos hordozható, telepítés nélkül futtatható alkalmazások használata.
(2)A felhasználó az infokommunikációs eszköz használata során az eszközre telepített alkalmazásokat használhatja. Új alkalmazás telepítését vagy a meglévő alkalmazás jogosultságváltozását az adott önálló szervezeti egység vezetője engedélyével, ezen utasítás 2. melléklete szerinti adatlapon kell igényelni. Az elnök jogosult az igény felülvizsgálatára, és ha szükséges, biztonsági vagy gazdasági okból annak elutasítására.
(3)A felhasználó az infokommunikációs eszközre telepített alkalmazásokat a felhasználói leírás szerinti módon, szakszerűen köteles használni.
(4)A külső felek által üzemeltetett alkalmazásokhoz kapcsolódó jogosultságokra vonatkozó igényléseket, változásjelentőket és levelezéseket az önálló szervezeti egységek vezetői kötelesek másodpéldányban megküldeni a kijelölt informatikusnak.
(5)A külső fél által biztosított informatikai szolgáltatások használata során az általa kiadott előírások szerint kell eljárni.
(6)A szoftvereket és adatokat arra nem jogosult harmadik fél számára másolni és továbbadni tilos.
(7)A szoftverek adathordozóit, üzemeltetési és felhasználói dokumentációját, licencdokumentációját a kijelölt informatikus tárolja és tartja nyilván.
  1. Hibakezelés, hibaelhárítási rendszer
  2. § A bejelentéseket az üzemeltető által biztosított helpdesk szolgáltatáson keresztül az üzemeltető elektronikus levelezőcímére küldött üzenetben, valamint személyesen vagy telefonos megkereséssel lehet megtenni az üzemeltető és az Iroda közötti megállapodásban rögzítettek szerint.
  3. Külső erőforrások kezelése
  4. § A fejlesztési folyamatok teljes szakasza alatt az Iroda kijelölt kapcsolattartója felügyeli és ellenőrzi a külső fél tevékenységét. Minden kritikus lépésről tájékoztatja az elnököt. Az elektronikus információs rendszer biztonságáért felelős személy eseti jelleggel ellenőrzi a fejlesztési folyamatok alatt, hogy azok megfelelnek-e az ezen utasításban foglalt rendelkezéseknek.
  5. Rosszindulatú programok elleni védelem
  6. §
(1)Az elektronikus információs rendszert automatikus vírusvédelmi rendszerrel kell ellátni, amely üzemeltetését és felügyeletét külső fél látja el.
(2)A rosszindulatú programok károkozását az alábbi intézkedésekkel kell elkerülni:
  1. a)olyan eszközök alkalmazása, amelyek megkövetelik a jogtiszta programok használatát, és tiltják az engedély nélküli termékek alkalmazását,
  2. b)külső hálózatokból vagy azokon keresztül, illetve egyéb adathordozókról telepített adatállományok és programok felhasználásával járó kockázat elhárításához szükséges intézkedések bevezetése,
  3. c)rosszindulatú programokat felismerő és megsemmisítő alkalmazások telepítése és rendszeres aktualizálása,
  4. d)a kritikus folyamatokat támogató rendszerek adattartalmának és programjainak rendszeres vizsgálata,
  5. e)a bizonytalan eredetű adatállományok ellenőrzése, rosszindulatú programok kiszűrése, f ) elektronikus levéltartalmak, csatolt dokumentumok és letöltött állományok használat előtti ellenőrzése,
  6. g)a rosszindulatú programokkal szembeni védelemre vonatkozó feladatok és eljárások meghatározása, alkalmazásuk oktatása, a vírustámadások naplózása és az eredeti állapot helyreállítása,
  7. h)a szükséges adatállományok és programok biztonsági másolati példányainak és a helyreállítási eljárásainak elkészítése,
  8. i)a hamis vagy hamisított programra vonatkozó összes információ ellenőrzése, a figyelmeztető tájékoztató kiadványok folyamatos frissítése, meglétének ellenőrzése.
(3)Az elektronikus információs rendszerben és infokommunikációs eszközön csak olyan szoftver telepíthető és használható, amely az Iroda és az üzemeltető által jóváhagyott, telepítésre kiadott és engedélyezett nyílt forráskódú szoftver vagy a szerzői jog szerint biztosított licencigazolással, illetve más jogi igazolással rendelkező, illetve tulajdonosi vagy használói szerződéssel biztosított hivatalos forrásból származó jogtiszta szoftver.
(4)Az elektronikus információs rendszer biztonságáért felelős személy javaslatot tesz a rosszindulatú programok kiszűrésére és megelőzésére alkalmas különleges ellenőrző eszközök alkalmazására, beszerzésére.
(5)A felhasználóknak a kötelező oktatás során meg kell ismerniük a rosszindulatú és engedély nélküli programok alkalmazásával járó veszélyeket. A felhasználói oktatásnak ki kell térni a vírusvédelmi rendszer működésére.
(6)A felhasználónak tilos a kliensvédelmi programot inaktívvá tenni, a beállításokat megváltoztatni, a védelmi programot eltávolítani, kártékony kódot tartalmazó fájlt vagy elektronikus adathordozót bármilyen formában továbbítani, továbbadni, illetve fertőzött állománnyal munkát végezni.
(7)E §-ban foglalt követelmények megtartását az információs rendszer biztonságáért felelős személy ellenőrzi.
  1. A felhasználói azonosítók és jelszókezelés általános szabályai
  2. §
(1)A munkatárs köteles megakadályozni az illetéktelen személyek hozzáférését az elektronikus információs rendszer erőforrásaihoz. A hatékony biztonságvédelem érdekében a felhasználói azonosítóval rendelkező felhasználók kötelesek együttműködni.
(2)A felhasználókat oktatáson tájékoztatni kell az elektronikus információs rendszerekben a felhasználói azonosítását végző eszközök, eljárások használatáról, különösen a jelszavak használatának szabályairól és a felhasználó kezelésében lévő infokommunikációs eszközök biztonsági előírásairól.
(3)A jelszavakat tilos papíron tárolni, kivéve a legteljesebb jogosultságot biztosító felhasználói azonosítók jelszavait, amelyeket kötelező zárt borítékban, két példányban, két különböző helyen, zárható lemezszekrényben tárolni.
(4)A jelszó kívülálló számára nem tartalmazhat a felhasználó személyére utaló információkat, különösen neveket, telefonszámokat, születési dátumokat, illetve összefüggő szöveget.
(5)Amennyiben a munkaállomásokon a hitelesítési folyamatban a beírt jelszó olvasható, a felhasználó köteles gondoskodni arról, hogy illetéktelen személy ne láthassa meg az általa beírt jelszót.
(6)A biztonságos jelszóhasználat szabályait minden felhasználóval oktatáson kell ismertetni.
(7)A felhasználó azonosítójával és jelszavával az elektronikus információs rendszerben végrehajtott műveletekért személyesen felel.
(8)A felhasználó függetlenül a szerepkörétől az elektronikus információs rendszerbe csak saját felhasználónevével, azonosítójával és jelszavával léphet be, és az alkalmazásokat csak saját nevében használhatja.
(9)A jelszó érvényességi idejét, ezzel együtt a jelszócsere gyakoriságát az elektronikus információs rendszer egyedi szabályozása vagy a használt rendszer működése határozza meg. A jelszó cseréjét ezen értesítés hiányában legalább 90 naponta kötelező elvégezni.
(10)A jelszóképzés szabályait ezen utasítás 3. melléklete tartalmazza.
(11)A felhasználói azonosító kialakításáról és az elektronikus információs rendszerbe történő felvételéről a külső fél gondoskodik. A külső fél alapértelmezett jelszóval adja át az első belépéshez szükséges információt a felhasználónak, aki a jelszót az első belépés után köteles azonnal megváltoztatni.
(12)Új felhasználó vagy új hozzáférés kiosztása esetén az üzemeltető munkatársa szóban vagy írásban ismerteti a felhasználóval a munkájához szükséges felhasználói nevét és induló jelszavát. A munkaállomásra történő első belépést követően elkészíti részére az informatikai eszközön szükséges beállításokat.
(13)Ha a felhasználónak tudomása vagy gyanúja van arról, hogy jelszava más tudomására jutott, erről az elektronikus információs rendszer biztonságáért felelős személyt köteles tájékoztatni és a jelszavát azonnal megváltoztatni. 32. Végpontvédelem 42. §
(1)A hálózati végpontok és az azokra csatlakoztatott infokommunikációs eszközök végpontvédelméről minden eszköz esetében úgy kell gondoskodni, hogy
  1. a)illetéktelen személyek ne férjenek hozzá a szabadon maradt hálózati végpontokhoz,
  2. b)illetéktelen személyek ne léphessenek be a infokommunikációs eszközökbe,
  3. c)ne legyen támadható vezeték nélküli vagy vezetékes kapcsolat a rendszerben,
  4. d)a felhasználó ne tölthessen le, ne másolhasson ki, illetve ne nyomtathasson ki engedély nélkül adatot az infokommunikációs eszközökről.
(2)Az Iroda területén hálózati végpontot csak ellenőrzött körülmények között lehet létesíteni. Az ügyfélforgalom bonyolítására szolgáló helyeken a használaton kívüli végpontoknak az aktív és passzív hálózati elemekkel való kapcsolatát meg kell szüntetni, a strukturált hálózatról le kell választani.
(3)Vezeték nélküli hálózat az Iroda területén csak az elnök engedélyével létesíthető. A vezeték nélküli hálózat adatforgalmánál a megfelelő titkosítási eljárást be kell állítani.
(4)Minden infokommunikációs eszközt, amely alkalmas
  1. a)hálózathoz csatlakozásra,
  2. b)adatok kimásolására és továbbítására,
  3. c)USB adathordozó eszköz csatlakozásra vagy
  4. d)vezeték nélküli kapcsolatok létesítésére, végpontvédelemmel kell ellátni.
(5)A kliensvédelmi rendszert az Iroda minden infokommunikációs eszközére telepíteni kell. Az Iroda informatikai hálózatához nem csatlakoztatható olyan infokommunikációs eszköz, amelyen nincs telepítve kliensvédelem.
(6)A használaton kívül helyezett infokommunikációs eszköz és az Iroda összes hálózata közötti összeköttetést meg kell szüntetni.
(7)Nem az NVI tulajdonában lévő vagy nem általa bérelt eszköz csatlakoztatása tilos az Iroda informatikai hálózatához.
(8)A végpontvédelmi intézkedések nem akadályozhatják az alapvető működési feladatokat, ezért biztosítani kell a munkavégzés során használt – engedélyezett és a feladat végrehajtásához szükséges – infokommunikációs eszközök zavartalan működését.
(9)Különböző időpontokban rendszeresen biztosítani kell a végpontvédelmi szoftverrel ellátott infokommunikációs eszközön a teljes víruskeresés futtatását.
(10)Az üzemeltető jogosult a végpontvédelmi rendszer telepítésére, beállítására, eltávolítására, ellenőrzésére, frissítésére a munkaállomásokon és szervereken egyaránt.
(11)Az üzemeltető kötelessége gondoskodni a végpontvédelmi rendszer naprakészen tartásáról és működtetéséről.
(12)Az üzemeltető az Iroda és a közte létrejött megállapodás alapján
  1. a)elvégzi a végpontvédelmi szoftverek megfelelő beállítását, a rendszer konfigurálását,
  2. b)ellenőrzi a végpontvédelmi rendszerek rendszeres frissítését,
  3. c)frissíti a manuálisan frissítendő infokommunikációs eszközöket, és ellenőrzi a frissülés megtörténtét,
  4. d)megbizonyosodik arról, hogy az elektronikus információs rendszerbe kapcsolt infokommunikációs eszközön a végpontvédelmi program telepítve van, és a vírusdefiníciós adatbázis naprakész,
  5. e)tájékoztatja a felhasználókat a végpontvédelmi eszközök működéséről, használatáról, f ) megvizsgálja a végpontvédelmi rendszer, valamint a felhasználók jelzése alapján a gyanús eseteket,
  6. g)elvégzi a vírusfertőzés bekövetkeztekor a szükséges mentesítési lépéseket, valamint
  7. h)figyelemmel kíséri a végpontvédelem hatékonyságát.
(13)E §-ban foglalt követelmények megtartását az információs rendszer biztonságáért felelős személy ellenőrzi. 33. Titkosítási tevékenységek 43. §
(1)Az elektronikus információs rendszerek által is használt belső hálózaton történő adatforgalom védelmére a telephelyek közötti kommunikációs vonalon megfelelő hálózati védelmet kell kialakítani.
(2)Nyílt kulcsú titkosítást csak az elnök engedélyével lehet alkalmazni. A titkosítási rendszer kialakítása és a rendszer nyilvántartása az üzemeltető feladata.
(3)A nyílt kulcsú titkosítás eszközeinek és jelszavainak kezeléséért és megőrzéséért a kulcsot alkalmazó felhasználó felelős.
(4)A nyílt kulcsú titkosítás azonosítóit és a titkos kulcsok jelszavait páncélszekrényben, zárt borítékban kell tárolni. A boríték az elnök utasítására bontható fel.
(5)A fájlrendszerek titkosítását az elnök engedélyével lehet alkalmazni a mobil adathordozók és hordozható infokommunikációs eszközök esetében.
(6)A rendelkezésre álló szoftver telepítése és beállítása, a titkosított rendszer használatának nyilvántartása az üzemeltető feladata.
(7)A fájlrendszer titkosítása eszközeinek és jelszavainak kezeléséért és megőrzéséért a felhasználó felelős.
(8)A fájlrendszer titkosításának azonosítóit és jelszavait páncélszekrényben, zárt borítékban kell tárolni. A boríték az elnök utasítására bontható fel.
(9)Az elektronikus információs rendszerek által is használt belső hálózaton történő adatforgalom védelmére a telephelyek közötti kommunikációs vonalon titkosított adatkapcsolatot kell kialakítani.
(10)Elektronikus aláírást csak az elnök engedélyével lehet alkalmazni. Az elektronikus aláírás létrehozására alkalmas eszköz és a tanúsítvány csak minősített hitelesítésszolgáltatótól szerezhető be.
(11)Az elektronikus aláírás eszközeinek és jelszavainak kezeléséért és megőrzéséért a felhasználó felelős.
(12)A titkosítási és hitelesítési rendszerek alkalmazását az elektronikus információs rendszer biztonságáért felelős személy évente az ellenőrzési tervben foglaltak szerint ellenőrzi. 34. Adatmentési és naplózási feladatok 44. §
(1)A mentési és visszaállítási eljárásokat úgy kell kialakítani, hogy az elektronikus információs rendszerek üzemszerű működése és a bennük kezelt adatok előre nem látható esemény, különösen katasztrófa vagy hardver, illetve szoftver meghibásodása vagy emberi mulasztás bekövetkezésekor szükség esetén helyreállíthatók legyenek, biztosítva a folyamatos napi működést. Biztosítani kell továbbá, hogy az üzemidő-kiesés, adatsérülés és adatvesztés minimális legyen.
(2)A mentések szakszerű elvégzését – az Irodával kötött megállapodásban rögzítettek szerint – az adott elektronikus információs rendszer üzemeltetője végzi saját adatmentési és naplózási eljárása körében.
(3)A mentésről rendszeres mentési naplót kell vezetni a mentési feladatban részt vevő, a mentési feladatot ellátó informatikusnak.
(4)Egyedi mentésnél a mentés elvégzéséről mentési és archiválási adatlapot kell készíteni, amelyet a mentési és archiválási nyilvántartáshoz kell csatolni. A mentett állomány törlését, ha szükséges, csak ez után lehet elvégezni.
(5)A mentésről a napi mentés és kazettacsere után azonnal bejegyzést kell tenni a naplóba.
(6)Egyedi mentésnél a mentés elvégzésével, illetve az adathordozó elhelyezésével egy időben kell kitölteni az adatlapot és ezt követően az adatlapot a mentési és archiválási nyilvántartáshoz felvezetni.
(7)Az adatlapokat és a nyilvántartást a mentés helyétől és az adathordozók tárolási helyétől különböző helyen kell elhelyezni.
(8)Az adatlapok tartalmi változásakor a mentett állomány szakmai felelősét tájékoztatni kell a változásról, és ennek tényét rögzíteni kell az adatlapon. A mentett állomány szakmai felelőse aláírásával igazolja a változások tudomásul vételét.
(9)A mentéssel kapcsolatos adatlapokat és nyilvántartást az elektronikus információs rendszer biztonságáért felelős személy legalább évente egyszer szúrópróbaszerűen ellenőrzi, és az elnököt jelentésben tájékoztatja az ellenőrzés eredményéről.
(10)A hálózat felügyeletét – az Irodával kötött megállapodásban rögzítettek szerint – az üzemeltető gyakorolja. A hálózatfelügyelettel kapcsolatos események az üzemeltető „helpdesk” rendszerében kerülnek dokumentálásra.
(11)Az elektronikus információs rendszerek működése során fellépő eseményeket megfelelő részletességgel naplózni kell. Az üzemeltetőknek ezeket a naplóállományokat rendszeresen ellenőrizniük kell, az ellenőrzés eredményéről rendszeresen és szükség esetén időszakosan jelentést kell tenniük az elektronikus információs rendszer biztonságáért felelős személy részére.
(12)Az elektronikus információs rendszer üzemeltetéséről az üzemeltető eseménynaplót vezet. Az informatikai központok üzemeltetési feltételeit és az ott készült naplókat az elektronikus információs rendszer biztonságáért felelős személy legalább évente egyszer szúrópróbaszerű ellenőrzés során megvizsgálja, és az éves jelentésben a tapasztalatairól tájékoztatja az elnököt. 35. Adathordozó eszközök kezelése és tárolása 45. §
(1)A mobil adathordozó eszközök kiadásáról, állapotváltozásáról és visszavételéről a Gazdálkodási Főosztály nyilvántartást vezet.
(2)Az egyedi mentés elkészítéséhez használt adathordozó-típusok kiválasztásánál a beszerzést végző szervezeti egységnek figyelemmel kell lennie
  1. a)a mentendő adatmennyiségnek megfelelő tárolókapacitásra,
  2. b)a legalább – különleges beavatkozás és speciális eljárások alkalmazása nélkül – ötéves adatmegőrzési időre,
  3. c)a környezeti viszonyoknak megfelelő ellenállóságra, valamint
  4. d)az adatvisszaállítás esetére szükséges eljárások és eszközök rendelkezésre állására.
(3)A külső félnél az Iroda elektronikus szoftvereinek telepítőkészletei, illetve adatainak mentésére és archiválására használt adathordozói, a mentés dokumentuma, a helyreállítást biztosító leírások tárolása tűzbiztos fémszekrényben,
  1. a)a mentés helyétől (telepítés helyétől) különböző tűzszakaszban elhelyezkedő,
  2. b)megfelelő mechanikai és elektronikus védelemmel ellátott, továbbá
  3. c)– lehetőleg regisztrált kulcsfelvétellel hozzáférhető – közművezetékektől mentes, erre kijelölt helyiségben történhet.
(4)Az operációs rendszerek, alkalmazások és eszközkezelők telepítőállományait tartalmazó adathordozóiról az üzemeltetőnek szoftvernyilvántartást kell vezetni. 46. §
(1)A mentések, archívumok tárolási ideje alatt az adatok integritásának megőrzését az Irodával kötött megállapodás szerint biztosítja a külső fél. A külső fél ellenőrzi az adattárolók műszaki állapotát és tárolását.
(2)A külső fél az Irodával kötött megállapodás szerint – az adathordozó típusától, valamint a rögzítés módjától függően – eltérő időközönként, de évente legalább egyszer ellenőrzi az adathordozó használhatóságának mértékét. Az adathordozók természetes fizikai romlása és elhasználódása következtében előálló biztonságcsökkenés miatt a működtetendő programokról és a hasznos adatokat tartalmazó adathordozókról – ha az adathordozó megközelíti a gyártó által javasolt felhasználási időtartamot, és az adathordozót nem lehet selejtezni – a külső félnek másolatot kell készíteni ezekről. 36. Az internet használatával és az elektronikus levelezéssel kapcsolatos szabályok 47. §
(1)A levelezőrendszer vírusvédelmét folyamatosan frissíteni kell, valamint követni kell az új, elektronikus levél útján terjedő vírusok, kártékony kódok és adatlopási módszerek megjelenését.
(2)Az elektronikus levelezőrendszer elemei, elsősorban a kiszolgálók fizikai és logikai védelméről folyamatosan gondoskodni kell.
(3)Az elektronikus levelezőrendszeren keresztül történő támadások esetén, amennyiben a rendszer védelme átmenetileg nem biztosított, az elektronikus levelezési szolgáltatás használatát ideiglenesen fel kell függeszteni. Ennek elrendelésére az elektronikus információs rendszer biztonságáért felelős személy jogosult.
(4)Az elektronikus üzenetek bizalmasságának, illetve hitelességének védelme érdekében használt kriptográfiai eszközt vagy eljárást az elektronikus információs rendszer biztonságáért felelős személy engedélyezi.
(5)A felhasználói jogviszony megszűnésekor, annak napjától számított egy évig archiválni kell a felhasználó minden, iktatás alól mentesített elektronikus levelezését.
(6)Az
(5)bekezdésben meghatározott időtartamon túl is az eljárás jogerős befejezéséig meg kell őrizni azokat az elektronikus leveleket, amelyek folyamatban lévő fegyelmi, büntető- vagy polgári eljárások alapját képezik.
(7)Az elektronikus levelezés forgalmát – a technikai lehetőségek szerint – tartalmilag szűrni kell, a szűrőn átjutott nem hitelesíthető, kétes forrásból származó üzeneteket ki kell vizsgálni.
(8)Az elektronikus levelezőrendszer reklám-, valamint egyéb üzleti célokra nem használható.
(9)A
(2)–
(8)bekezdésekben rögzített, az elektronikus levelezésre vonatkozó információbiztonsági irányelvek érvényesítéséért az elektronikus levelezőrendszer üzemeltetője felel.
  1. § Minden felhasználót oktatás keretében kell tájékoztatni arról, hogy az elektronikus levelezőrendszerben tárolt és továbbított levelek – amelybe beleértendőek a központi levelezőkiszolgálón lévő, az Irodához tartozó postafiókok tartalma, azok mentései, valamint a felhasználók által használt infokommunikációs eszközökön tárolt, archivált állományok – az Iroda tulajdonát képezik, ezért az Iroda utasításaiban, valamint a jogszabály alapján erre feljogosított ellenőrző szerveknek ezekhez az állományokhoz a vizsgálatukhoz szükséges mértékig betekintési joguk van.
  2. §
(1)Az elektronikus levelezési szolgáltatás elérése csak védett (hiteles és titkosított) csatornán keresztül valósítható meg. A hozzáférés csak megfelelő azonosítási eljáráson keresztül történhet. A felhasználó felügyeleti lehetőségein kívüli munkaállomások, terminálok használata esetén csak az ennek megfelelő üzemmódban szabad bejelentkezni.
(2)Az Iroda elektronikus levelezési címjegyzéke nem szolgáltatható ki külső személynek.
(3)Az Iroda valamennyi felhasználója jogosult az internet, intranetes portál és elektronikus levelezés használatára. Az internet szolgáltatásait kizárólag munkahelyi eszközökön és csak a munkaköri feladatok ellátásához lehet igénybe venni, személyes célokra nem.
(4)A külső fél az Irodával kötött megállapodásban rögzítettek szerint jogosult weblap és internetes szolgáltatás elérésének korlátozására vagy teljes kizárására. A blokkolandó oldalakkal, oldalkategóriákkal vagy szolgáltatásokkal kapcsolatban az elektronikus információs rendszer biztonságáért felelős személlyel és az elnökkel kell egyeztetni.
(5)A hálózat számára nagy terhelést jelentő kép- és hanginformációkat tartalmazó adatállományok letöltését, megtekintését, meghallgatását, továbbítását az elnök engedélyezi.
(6)A felhasználók az Iroda nevében nem tehetnek közzé engedély nélkül internetes portálokon bejegyzéseket, információkat.
(7)Munkaidőben az Iroda elektronikus információs rendszereinek felhasználásával közösségi oldalakon hozzászólásokat elhelyezni tilos.
(8)Az Iroda tulajdonát képező, elektronikus információs rendszerben kezelt, illetve tárolt adat interneten publikálása vagy elektronikus levélben történő továbbítása, mások részére való hozzáférhetővé tétele – elnöki engedély hiányában – tilos. 50. §
(1)Az Iroda elektronikus levelezőrendszerében a felhasználók személyes postafiókot és hozzá tartozó elektronikus levelezési címet kapnak, amelynek kezeléséről maguk gondoskodnak (archiválás, törlés, testreszabás). Az Irodán belül ezeket a postafiókokat, elektronikus levelezési címeket kell használni az elektronikus kommunikációra és kapcsolattartásra.
(2)A felhasználóknak rendszeres ellenőrzés és archiválás útján gondoskodniuk kell arról, hogy a személyes postafiókjuk mérete ne lépje túl az engedélyezett keretet. Az archív levelezést tartalmazó adatállományokat tilos a felhasználóknak magánhasználatra a szervezet informatikai infrastruktúrájából kijuttatni.
(3)Az Iroda egyes szervezeti egységei rendelkezhetnek hivatalos postafiókkal.
(4)A hivatalos postafiókkal rendelkező ügyintéző és a postafiók felügyeletét ellátó személy kötelessége naponta egyszer ellenőrizni a hivatalos postafiók méretét és szükség esetén az archiválást elvégezni.
(5)Az elektronikus levelezés során a hivatalos és a személyes postafiókokat vírusvédelmi rendszer védi. Az elektronikus postafiókba érkező, ismeretlen feladótól származó, nem szokványos formátumú, gyanús csatolmányt tartalmazó, illetve idegen nyelvű küldeményekkel – a fennálló vírusveszély miatt – fokozott óvatossággal kell eljárni. Gyanús küldemény érkezésekor, illetve a vírusvédelmi rendszer riasztása esetén a biztonsági események kezelésénél irányadó eljárási szabályok érvényesek; a csatolmányt ilyen esetben megnyitni tilos.
(6)Tilos lánclevelek indítása vagy továbbítása. 37. Nyilvános elektronikus információs rendszerek használatának rendje 51. § Nyilvános elektronikus információs rendszerben a fokozott integritást igénylő informatikai programok, adatok és egyéb információk védelme érdekében védelmi eszközökkel kell gondoskodni arról, hogy
  1. a)jogszabályban vagy utasításban rögzített időben kerüljön sor a rendszerbe bekerülő információ pontos és hiánytalan feldolgozására,
  2. b)az adatok kezelése, különösen azok gyűjtése, tárolása, feldolgozása során az adatok, valamint a rendszerek védelme biztosított legyen,
  3. c)a rendszerhez való külső hozzáférés ne tegye lehetővé illetéktelen személy hozzáférését azokhoz a belső hálózatokhoz, amelyekhez a rendszer csatlakozik. 38. Nyilvántartások közötti átjárhatóság, az adatok és programok átadása 52. §
(1)Az Iroda más szervezettel adat- és programcserét kizárólag írásos nyilatkozat alapján bonyolíthat, amelyben utalni kell az érzékeny adatok kezelésére is.
(2)A csere biztonsági feltételeire vonatkozó megállapodásokban meg kell határozni
  1. a)az adatátvitel, -feladás, -fogadás és -átvétel ellenőrzésének és bejelentésének eljárási szabályait,
  2. b)az adatok biztonságos átvitele előkészítésének és tényleges átvitelének műszaki szabványait,
  3. c)az adatvesztéssel kapcsolatos kötelezettséget és felelősséget,
  4. d)az adatátvitel során a biztonságos – szükség esetén titkosított – környezet előírásait minden érintett félnél,
  5. e)az érzékeny adatok védelméhez szükséges speciális eszközök igénybevételét.
(3)Az adatcsere esetében
  1. a)épületen kívüli szállítást csak az önálló szervezeti egység vezetője rendelhet el,
  2. b)az átadás-átvételről jegyzőkönyvet kell felvenni,
  3. c)a szállításnál egyszerre több személynek kell jelen lennie,
  4. d)épületen kívüli szállítás esetén a legrövidebb és leggyorsabb útvonalat kell kiválasztani,
  5. e)tömegközlekedési eszközön adathordozó nem szállítható, f ) épületen kívüli szállítás esetén megfelelő tárolóeszközt szükséges használni, és
  6. g)épületen kívüli szállítás esetén az adatokat titkosított formában kell az adathordozóra rögzíteni, és a titkosítás feloldásához szükséges kulcsot külön csatornán kell eljuttatni a címzetthez, elektronikusan rögzített adatokat tartalmazó mágneses adathordozó szállításakor el kell kerülni a nyilvánvalóan erős mágneses tereket,
  7. h)a szállítás során a vagyonbiztonság érdekében fokozott figyelemmel kell eljárni,
  8. i)az adathordozót nem lehet őrizetlenül hagyni,
  9. j)az adathordozókat óvni kell a fizikai sérülésektől,
  10. k)az adathordozókon a minősítési szintet megváltoztathatatlanul kell feltüntetni.
(4)Rendkívüli esemény esetén a szállítást elrendelő önálló szervezeti egység vezetőjét – szükség esetén a rendőrséget is – értesíteni kell. A vezetőnek haladéktalanul meg kell tennie a további károk elkerülése érdekében szükséges intézkedéseket, valamint ezzel egy időben tájékoztatnia kell az elektronikus információs rendszer biztonságáért felelős személyt az eseményről és a megtett intézkedésekről.
(5)Megfelelő technikai eljárásokkal és ellenőrzőeszközökkel gondoskodni kell a távközlési és adatátviteli eszközökön keresztül kicserélt információk védelméről. Ennek során figyelembe kell venni, hogy a távközlési eszközökben bekövetkező üzemzavar, az eszközök túlterheltsége vagy a kapcsolat kimaradása esetén a folyamatos üzletmenet megszakadhat, valamint illetéktelen személyek is hozzáférhetnek a különböző információkhoz.
(6)A belső használatú adatok nem hozhatók nyilvánosságra. VII. Fejezet
  1. A rendszerfejlesztés biztonsági követelményei
  2. §
(1)Az elektronikus információs rendszerben a külső fél által fejlesztett rendszerelemek tervezésében, fejlesztésében, tesztelésében, bevezetésében a munkatársak az elnök engedélyével vehetnek részt.
(2)Elektronikus információs rendszer tervezése és fejlesztése során az erre vonatkozó megállapodásban érvényre kell juttatni, hogy a rendszer tartalmazza
  1. a)a felhasználó- és jogosultságkezelést,
  2. b)a szerepkörök, kizáró szerepkörök kialakítását,
  3. c)az azonosítást és hitelesítést,
  4. d)az adatok védelmét az illetéktelen személyekkel szemben,
  5. e)a biztonságos adattárolást, f ) a biztonságos munkamenet-kezelést,
  6. g)az üzleti, rendszer- és biztonsági naplózás biztosítását,
  7. h)a naplóállományok védelmét,
  8. i)a szükséges kriptográfia vagy elektronikus aláírás alkalmazását.
(3)Az elektronikus információs rendszerben történő változtatás során
  1. a)az Iroda részére külső fél által üzemeltetett rendszerprogramok, illetve a felhasználói programok telepítését a kiszolgálókra és munkaállomásokra csak az erre feljogosított személyek végezhetik el,
  2. b)próbaüzem és terhelési próbák során meg kell vizsgálni az új rendszer üzembiztonságát és megbízhatóságát még a bevezetés előtt,
  3. c)alapszoftvert és alkalmazói szoftvert csak érvényes, arra vonatkozó licenc birtokában szabad felhasználni.
(4)Új elektronikus információs rendszer bevezetése előtt, amennyiben a rendszer kritikussága és a védendő adatok köre indokolja, teljes körű tesztelési eljárásokkal kell megbizonyosodni az összes biztonsági modellben megfogalmazott elvárás érvényesüléséről.
(5)Az elektronikus információs rendszer változtatását megelőzően a tesztelésről készített jelentés felhasználásával – az elektronikus információs rendszer biztonságáért felelős személy javaslatára figyelemmel – az elnök dönt az alkalmazások bevezetéséről vagy az azok környezetén történő változtatásokról.
(6)Az operációs rendszer változásának hatásfelmérését követően lehet végrehajtani az elektronikus információs rendszerben az operációs rendszer verzióváltásait, illetve szervizcsomagok és frissítések telepítését. A szervizcsomagok és frissítések telepítése során a kockázatok felmérése az operációs rendszert üzemeltető feladata.
(7)A kiemelt rendelkezésre állási időszak alatt a szoftverek módosítása nem engedélyezett. Ezen időszakok között bármely módosítást kizárólag az elnök engedélyezhet.
(8)A külső féllel végeztetett rendszerfejlesztés esetén az erre vonatkozó megállapodásban rögzíteni kell a tulajdonosi, használati és licencjogokat, valamint a követés módját, formáját és minimális időtartamát.
(9)Az elektronikus információs rendszerben külső fél által végzett rendszerfejlesztés esetén az elektronikus információs rendszer biztonságáért felelős személynek vizsgálnia kell az információbiztonsági veszélyeket és kockázatokat.
(10)Az elektronikus információs rendszerben végzett rendszerfejlesztés minden elemét dokumentálni kell. Az Iroda elektronikus információs rendszerében végzett fejlesztés információbiztonsági területe felett az elektronikus információbiztonságért felelős személy gyakorol felügyeletet. Az elektronikus információbiztonságért felelős személy az éves ellenőrzése során szúrópróbaszerűen ellenőrzi a rendszerfejlesztési dokumentációkat, tapasztalatairól az éves jelentésben tájékoztatja az elnököt.
(11)A rendszerszintű adatállományok védelmének érdekében ellenőrizni és dokumentálni kell a védendő rendszeradatállományok elérését. A rendszer integritásának fenntartása annak az üzemeltetőnek a feladata, amelyhez az alkalmazói rendszer vagy program tartozik. 54. §
(1)A fejlesztői, a teszt- és az éles rendszereket egymástól el kell választani.
(2)Az osztott hálózati munka, különösen a több szervezet által használt hálózat biztonsága szükségessé teszi a hálózati szintű korlátozást. Ezeket a forgalomszűrő, ellenőrző lehetőségeket, amennyiben szükséges, az átjáró, a tűzfal és az operációs rendszer beállításánál alkalmazni kell.
(3)Korlátozó rendelkezéseket különösen
  1. a)elektronikus levelezés,
  2. b)egyirányú adatállomány mozgatása,
  3. c)adatállomány mindkét irányban történő mozgatása, valamint
  4. d)meghatározott időponthoz kötött hálózati hozzáférés során kell alkalmazni.
(4)Az Iroda szervezetén túlterjedő hálózatoknál kötelező az útvonal-kiválasztást ellenőrző és vezérlő eszközök, módszerek alkalmazása, amelynek során
  1. a)a rendszerdokumentációban pontosan meg kell adni az elérni kívánt rendszerelemek hálózati címét, portszámát és egyéb, a biztonsági szűréshez szükséges adatokat,
  2. b)az útvonalak kialakításáért a hálózat üzemeltetője a felelős,
  3. c)a beállításokat minden esetben tesztelni és dokumentálni kell.
(5)Az informatikai hálózati határvédelem során az Iroda informatikai hálózatában az internetkijárat, valamint minden külső, nem megbízhatónak ítélt hálózat felé történő kommunikáció során a belső hálózat és az ott elhelyezkedő elektronikus információs rendszerek és adatok védelme érdekében biztonsági és védelmi megoldásokat kell alkalmazni. Gondoskodni kell a hálózat fizikai elemeinek védelméről, így különösen a) a vezetékek és végpontok illetéktelenek általi hozzáférésének megakadályozásáról, b) a vezeték nélküli kapcsolatok megfelelő titkosításáról, c) az eszközhöz való illetéktelen hozzáférés megakadályozásáról.
(6)A szükséges tűzfalvédelmi szabályokról, a hálózati zónák kialakításáról és védelméről, valamint az elektronikus információs rendszerek behatolás elleni védeleméről a külső felek gondoskodnak, az erre vonatkozó szakmai előírások és a biztonsági szabályok betartása mellett.
(7)A rendszer telepítése során csak azok a hálózati szolgáltatások implementálhatóak a rendszerbe, amelyekre az üzemeltetéshez feltétlenül szükség van. A rendszerüzemeltetőnek minden esetben fel kell mérnie, és minden részletre kiterjedően dokumentálnia kell az általa alkalmazott hálózati szolgáltatás egyedi, illetve összetett biztonsági jellemzőit. Amennyiben több hálózati szolgáltatás működik a rendszerben, úgy ezek egymásra gyakorolt hatását is elemezni kell biztonsági szempontból. A hálózati szolgáltatások biztonsági beállítása, valamint annak ellenőrzése, karbantartása a hálózatot üzemeltető feladata.
(8)A hatékony védelem megvalósítására integrált biztonsági rendszert kell kialakítani, amelynek legfontosabb feladatai
  1. a)a hozzáférés egységes szabályozása és ellenőrzése,
  2. b)az egységes azonosítás és hitelesítés,
  3. c)az elektronikus aláírások kezelése, kódolás,
  4. d)a biztonságos adattovábbítás,
  5. e)a behatolási kísérletek figyelése, f ) a biztonsági naplózás a hozzáférések, az azonosítás és a hitelesítés ellenőrzéséhez,
  6. g)az auditálhatóság. 40. Szoftverek fejlesztéséhez kapcsolódó általános védelmi intézkedések 55. §
(1)A meglévő szoftverek továbbfejlesztését vagy új alkalmazások bevezetését az érintett önálló szervezeti egységek vezetői írásos fejlesztési igénnyel kezdeményezhetik az Iroda Beszerzési Szabályzatában meghatározottak szerint.
(2)Az Iroda számára szoftverek bevezetését, fejlesztését és az általa használt szoftverek továbbfejlesztését az elnök engedélyezi.
(3)Az integrált szolgáltatást nyújtó kész (dobozos) szoftverek vásárlásánál, valamint az Iroda egyedi fejlesztésű alkalmazásai esetében az erre épülő az adott elektronikus információs rendszerek üzemeltetéséért felelős külső félnek
  1. a)írásban meg kell határozni a tervezett rendszer által nyújtandó szolgáltatások körét,
  2. b)meg kell tervezni a rendszer biztonsági modelljét, amelyben az alapvető védelmi igényeket rögzíteni kell,
  3. c)a hardver- és szoftverkomponensekkel, valamint az adatfeldolgozás folyamatával kapcsolatos adatbiztonsági elvárásokat a követelményspecifikációban rögzíteni kell,
  4. d)meg kell tervezni a rendszer működtetéséhez szükséges feltételrendszert,
  5. e)el kell készíteni az adatok mentésének és meghatározott idejű megőrzésének előírását, f ) a biztonsági szempontok figyelembevételével funkcionális specifikációt, rendszertervet és tesztelési tervet kell készíteni, amit az elnökkel, a fejlesztővel és az elektronikus információs rendszer biztonságáért felelős személlyel egyeztetni kell,
  6. g)a megfelelő kapacitás és a szükséges erőforrások elérhetősége érdekében előkészületeket kell végrehajtani, valamint
  7. h)meg kell határozni az új elektronikus információs rendszerek üzemeltetési követelményeit.
(4)A szoftver átvétele és üzembe helyezése előtt el kell végezni a követelmények dokumentálását, és le kell futtatni a szükséges teszteket. A szoftver működtetéséhez, működéséhez szükséges adatfeldolgozó és adattároló kapacitásokról való gondoskodás során
  1. a)fel kell mérni, illetve nyomon kell követni a kapacitás iránti igények várható alakulását,
  2. b)figyelembe kell venni a környezet és a rendszer támasztotta igényeket,
  3. c)nyomon kell követni a rendszer erőforrásainak felhasználását, terhelését, valamint
  4. d)ki kell szűrni és meg kell szüntetni a rendszer biztonságát és a felhasználói szolgáltatásokat veszélyeztető kritikus pontokat, illetve meg kell tervezni a rendszer helyreállításához szükséges intézkedéseket.
(5)A szoftver átvételének alapvető követelménye az átadás-átvételi jegyzőkönyv, amelynek tartalmaznia kell minden, az átvétellel kapcsolatos feladatot, kötelezettséget, dokumentációt.
(6)A
(3)–
(6)bekezdésben foglalt követelmények teljesüléséért az elektronikus információbiztonságért felelős személy felel. 41. A fejlesztés és éles környezet elkülönítése 56. §
(1)Fejlesztés során az éles környezet mellett külön fejlesztői, teszt- és oktatói környezetet kell kialakítani. A tesztkörnyezetnek a tesztelni kívánt elem kivételével az éles környezettel hardver- és szoftverelemeiben, konfigurációjában megegyezőnek kell lennie.
(2)A fejlesztői környezetből tesztelés nélkül semmilyen elem sem kerülhet át az éles környezetbe. Nem éles környezetben csak olyan próbaadatok használhatók, amelyek nem sértik az éles környezetbeli adatokra vonatkozó adatvédelmi szabályokat.
(3)A külső fejlesztő hozzáférését az éles környezethez csak rendkívüli esetben lehet engedélyezni, ha ez feltétlenül szükséges az üzemeltetés folyamatosságának biztosításához vagy más kiemelten fontos cél eléréséhez.
(4)Az ilyen hozzáférést az elnök minden alkalommal külön, írásban engedélyezi. Az engedélyben meg kell jelölni a feladatvégzés célját. A fejlesztő munkájának megkezdése előtt a rendszerről mentést kell készíteni. A fejlesztő által elvégzett munkákat az Iroda által kijelölt kapcsolattartó részletesen dokumentálja, naplózza. A fejlesztő munkájának befejezése után az éles rendszerhez adott jogosultságát haladéktalanul meg kell vonni. VIII. Fejezet Hozzáférés-kezelési szabályok 42. Általános szabályok 57. §
(1)Az önálló szervezeti egység vezetője írásban köteles tájékoztatni az adott információs rendszer üzemeltetőjét a felhasználóra vonatkozó minden olyan változásról, amely érinti az elektronikus információs rendszert. A felhasználó jogviszonyának megszűnésekor az önálló szervezeti egység vezetője gondoskodik a jogosultságok visszavonatásáról. A felhasználóval kapcsolatban felmerülő egyéb informatikai igényeket is az adott elektronikus információs rendszer üzemeltetésére vonatkozó szerződésben meghatározott eljárás szerint kell benyújtani, különösen
  1. a)az informatikusi beavatkozási igényt,
  2. b)az informatikai eszközigénylést, -mozgatást, -áthelyezést és -átvezetést,
  3. c)az elektronikus információs rendszerhez hozzáférési igényt (új igénylés, módosítás vagy törlés),
  4. d)az alkalmazástelepítési vagy -eltávolítási igényt,
  5. e)inaktívvá válás esetén az újraaktiválási igényt, f ) a munkavégzési hely vagy feladat változása esetén egyedi vagy tömeges eszközmozgatási és telepítési igényt,
  6. g)a hálózattal kapcsolatos igényt (kiépítés, bővítés, elbontás),
  7. h)az informatikai szolgáltatáshoz, alkalmazáshoz való hozzáférés, valamint ezekkel kapcsolatos jogosultságváltoztatási igényt.
(2)Az igény alapján az üzemeltető, amennyiben az Irodával kötött megállapodása erre is kiterjed,
  1. a)elvégzi az adatok átvezetését, a szükséges beállításokat,
  2. b)letiltatja vagy engedélyezteti az informatikai szolgáltatásokat, különösen a levelezést, internetet, hálózati mappa elérését, nyomtatást,
  3. c)szükség esetén továbbítja az illetékes személy felé a kívánt igényt,
  4. d)a jogosultságok elektronikus informatikai rendszerben történő átvezetésével, illetve elektronikusan vagy papír alapon elvégzi a jogosultságok nyilvántartását,
  5. e)átadja, átveszi, átvezeti, beállítja az infokommunikációs eszközöket, és beállítja vagy törli a jogosultságokat, f ) az eszközök mozgásáról készült átadás-átvételi jegyzőkönyv egy példányát elküldi az érintett felhasználóknak, egy további példányát pedig továbbítja a Gazdálkodási Főosztálynak. 43. Azonosítás 58. § Az Iroda elektronikus információs rendszerét úgy kell kialakítani, illetve abban csak olyan szoftverek használhatók, amelyek rendszerébe felhasználó csak azonosítás után jelentkezhet be. Az elektronikus információs rendszerbe csak az elnök által engedélyezett felhasználónak lehet azonosítót és jelszót adni. 44. Hitelesítés 59. § Az elektronikus információs rendszert úgy kell kialakítani, hogy a felhasználók a sikeres authentikációt követően szerepkörökhöz rendelten érhessék el a rendszer funkcióit. Tilos a szerepkörökön kívüli egyedi jogosultságadás. 45. A felhasználó hozzáférési jogainak kezelése 60. §
(1)Az Iroda elektronikus információs rendszerében felvett és ott jogosultságokat kapott felhasználót az üzemeltető az Irodával kötött megállapodásban rögzítettek szerint tartja nyilván.
(2)A felhasználók hálózati mappákhoz való hozzáférésének jogosultsági szintjeit az adott önálló szervezeti egység vezetője kérelmezi, amit az üzemeltető állít be.
(3)Az infokommunikációs eszközöket, valamint az elektronikus információs rendszerekhez való hozzáférést minden esetben felhasználói azonosításhoz kell kötni.
(4)Az elektronikus információs rendszerben a felhasználók azonosítása egyedi, ellenőrizhető és hitelesítésre alkalmas felhasználói azonosító használatával valósul meg.
(5)A felhasználói jogosultságokat a kijelölt informatikus az elektronikus információs rendszerek biztonságáért felelős személy felügyelete mellett évente felülvizsgálja, az eredményéről és a szükséges módosítási javaslatokról tájékoztatja az elnököt.
(6)A rövid, eltávozással járó szünet idejére az infokommunikációs eszközt a felhasználónak az illetéktelen hozzáférés ellen zárolni kell.
(7)Az infokommunikációs eszközt illetéktelen személy jelenléte mellett a felhasználó nem hagyhatja felügyelet nélkül.
(8)A használaton kívüli állapotban lévő (lekapcsolt) infokommunikációs eszközöket a felhasználó csak – illetéktelen személy elől – elzárt helyen hagyhatja.
(9)A felhasználói igényeket ezen utasítás
  1. melléklete szerinti igénylőlap kitöltésével kell bejelenteni.
  2. §
(1)Az üzemeltető feladataként kell meghatározni az elektronikus információs rendszerek oly módon történő konfigurálását, hogy a belépések és a belépési kísérletek a teljes adattartalommal naplózásra kerüljenek.
(2)Az elektronikus információs rendszeren vagy rendszerelemen tárolt naplókat az üzemeltető és az elektronikus információs rendszer biztonságáért felelős személy a rendszer karbantartása során szúrópróbaszerűen vagy rendszeresen ellenőrizheti. Biztonsági eseményt követően a naplókat az eseménnyel egyező időszakra vonatkozóan ellenőrizni és archiválni kell.
(3)A jogosultságok nyilvántartását és a jelszókezelést az elektronikus információs rendszer biztonságáért felelős személy évente egyszer az ellenőrzési tervben rögzítettek szerint szúrópróbaszerűen ellenőrzi, és az elnököt az éves jelentésben tájékoztatja az ellenőrzés eredményéről. 46. A hálózati hozzáférés védelme 62. §
(1)Az elektronikus információs rendszer elemeinek az internet felől adminisztrálási célból történő elérése csak titkosított kapcsolaton keresztül, legalább kétfaktorú azonosítást követően engedélyezhető. Az ilyen kapcsolat kiépítésére az elnök adhat engedélyt.
(2)Minden adminisztrátori tevékenységnek személyhez kell köthetni.
(3)Külső hálózatról az elektronikus információs rendszerekhez történő elérés kizárólag az erre a célra dedikált védelmi rendszeren, különösen tűzfalakon, zónákon keresztül biztosítható.
(4)Kiemelt rendelkezésre állási időszak alatt kizárólag a védett környezetű helyszíneken engedélyezett a hozzáférés, minden egyéb távdiagnosztikai vagy menedzselési kapcsolat tilos.
(5)Az internet és az elektronikus információs rendszerek különböző zónái között az üzemeltetők – az Irodával kötött megállapodás keretei között – kötelesek gondoskodni arról, hogy a tűzfalak biztosítsák az elválasztást. Az egyes zónák között csak meghatározott szolgáltatások meghatározott portokon és meghatározott irányokban kommunikálhatnak.
(6)Az internet és az elektronikus információs rendszerek különböző zónái között a hálózaton a hálózati forgalom útvonalát meg kell határozni.
(7)A kiemelt rendelkezésre állási időszak alatt az érintett elektronikus információs rendszereket speciális, illetéktelen hozzáférés elleni védelmet biztosító szolgálattal kell folyamatosan felügyelni. Az illetéktelen hozzáférés elleni szolgálat üzemeltetési rendjét úgy kell kialakítani, hogy
  1. a)a rendszer képes legyen az internet felőli támadások minél teljesebb felismerésére,
  2. b)a rendszer biztosítsa a hálózat belső elemei felől érkező támadások detektálását,
  3. c)a rendszer rendelkezzen előre kidolgozott akciótervekkel a legtipikusabb és legvalószínűbb támadások kezelésére,
  4. d)a rendszer biztosítsa az eseti támadáselhárítási módszerek alkalmazását oly módon, hogy azok szabályozott körülmények között legyenek végrehajthatók.
(8)Az üzemeltető feladata – az lrodával kötött megállapodásban rögzített keretek között – a központi tárterület biztosítása ahhoz, hogy a felhasználók személyes mappáikban elhelyezhessék az általuk kezelt, hivatali dokumentumaikat és adataikat.
(9)A központi tárterületek adatstruktúráját, könyvtárszerkezetét és felépítését az adatokat kezelő önálló szervezeti egység vezetője határozza meg.
(10)A hivatalos dokumentumokat a rendszeres és ellenőrzött mentés biztosítása érdekében a hálózati fájlkiszolgáló erre a célra kijelölt tárterületén kell tárolni. A felhasználók felelősek a munkaállomásaikon tárolt és a fájlkiszolgálóra fel nem töltött adatok megsemmisüléséből keletkezett károkért.
(11)A felhasználónak kötelessége az infokommunikációs eszköz és a fájlszerver központi tárterületén tárolt és általa készített vagy kezelt adatállományokat évente időközönként felülvizsgálni; azokat az állományokat, amelyek nem szükségesek, törölnie kell. A törlést a felhasználó végzi.
(12)A központi fájlszerver tárkapacitásának túlterheltsége esetén a központi tárterületeken tárolt adatok rendszeres karbantartása érdekében az elnök kijelöli azt a munkatársat, aki együttműködve az üzemeltetővel elvégzi a felesleges adatok, illetve a megfelelő mentési és archiválási eljárás során lementett adatok törlését.
(13)A központi tárterületen tárolt adatok, információk rendelkezésre állásáért és biztonsági másolatának elkészítéséért és tárolásáért az üzemeltető a felelős.
(14)Az önálló szervezeti egység vezetőjének engedélyével és felügyeletével a felhasználó indokolt esetben kérheti az egyedi mentést a központi tárterületen található felhasználói mappákról, illetve az infokommunikációs eszköz adathordozóján található felhasználói adatokról.
(15)A hálózati hozzáféréseket érintő eseményekről, valamint beállításokról az érintett önálló szervezeti egység vezetőjének írásos feljegyzést kell készíteni az üzemeltető részére.
(16)A hálózati hozzáférések felett az üzemeltető gyakorol felügyeletet. 63. §
(1)Az elektronikus információs rendszer biztonságáért felelős személy évente legalább egyszer, az ellenőrzési tervben rögzítettek szerint gyakorlati eseti auditot végez. Ennek során az utasítás hatálya alá tartozó rendszerek sebezhetőségére irányuló támadáspróbával győződik meg a hálózati integritás állapotáról.
(2)Az elektronikus információs rendszer biztonságáért felelős személy az éves tervezett ellenőrzés mellett eseti ellenőrzést végez a hálózat működése és a hálózati hozzáférések vonatkozásában, amelynek eredményét az éves jelentésében rögzíti. 47. Az operációs rendszer hozzáférésének védelme 64. §
(1)A felhasználó a helyi felhasználói névvel közvetlenül egyik infokommunikációs eszköz operációs rendszerébe sem jelentkezhet be.
(2)Az operációs rendszerhez, illetve az alkalmazások rendszerfájljaihoz és adatokhoz a hozzáférés biztosítása csak a kijelölt informatikus számára biztosított.
(3)Az informatikai központban működő elektronikus információs rendszerek rendszergazdáinak jogait nyilvántartó dokumentumot az üzemeltető erre felhatalmazott vezetője hagyja jóvá. Ebből egy-egy példányt kell tárolni minden érintett informatikai központban.
(4)Az elektronikus információs rendszerbe belépő felhasználókhoz rendelt biztonsági előírások meghatározását és beállítását az elektronikus információs rendszer biztonságáért felelős személy és az üzemeltető együttes döntése szerint kell megvalósítani.
(5)A jogosultságok engedélyezési folyamata során az engedélyező személy gyakorol kontrollt az engedélyek jogossága és megfelelősége felett.
(6)Az elektronikus információs rendszer biztonságáért felelős személy az éves ellenőrzése során az ellenőrzési tervben foglaltak szerint szúrópróbaszerűen ellenőrzi a jogosultságigénylések jogosságát és megfelelőségét, valamint ellenőrzi a nyilvántartások naprakész vezetését; az ellenőrzésekről az éves jelentésében számol be az elnök részére. 48. Az alkalmazások hozzáférésének védelme 65. §
(1)A felhasználó csak a számára meghatározott információkhoz férhet hozzá. Minden egyéb hozzáférési kísérlet biztonsági eseménynek minősül.
(2)Az elektronikus információs rendszerbe belépő felhasználókhoz kapcsolt egypontos hálózati azonosítás biztosítása az érintett alkalmazások üzemeltetőjének és a hálózat üzemeltetőjének megállapodása alapján történik. A megállapodásban kell rögzíteni a beállítással kapcsolatos feltételeket.
(3)Új, saját fejlesztésű rendszerek bevezetésekor a
(2)bekezdés szerinti módszert kell alkalmazni.
(4)A jogosultságigényléseket ezen utasítás 2. mellékletének tartalma alapján az elektronikus információs rendszer biztonságáért felelős személy továbbítja az alkalmazás üzemeltetőjének, majd az adatlapokat a jogosultsági nyilvántartásba felvezeti.
(5)A jogosultságok engedélyezési folyamata során az engedélyező személy gyakorol kontrollt az engedélyek jogossága és megfelelősége felett. Az elektronikus információs rendszer biztonságáért felelős személy az éves ellenőrzése során az ellenőrzési tervben foglaltak szerint szúrópróbaszerűen ellenőrzi az alkalmazáshoz igényelt jogosultságigénylések jogosságát és megfelelőségét, valamint a nyilvántartások naprakész vezetését, az ellenőrzésekről az éves jelentésében számol be az elnök részére. 49. Hordozható infokommunikációs eszközök biztonsága 66. §
(1)Az Iroda tulajdonát képező hordozható infokommunikációs eszközöket az Iroda területén kívül csak az érintett önálló szervezeti egység vezetőjének írásos engedélyével rendelkező személyek használhatják.
(2)A hordozható infokommunikációs eszköznek az arra felhatalmazott személy részére történő átadásakor az átadó tárolási nyilatkozatot készít, amely tartalmazza az eszköz műszaki adatait, az átadás-átvétel adatait és az eszközön telepített szoftverek adatait.
(3)Az átadó köteles az eszköz átadása során felvilágosítani a felhasználót a hordozható infokommunikációs eszközök használatának veszélyeiről, kockázatairól, amit a felhasználó a tárolási nyilatkozaton aláírásával igazol, és az eszközért felelősséget vállal.
(4)A hordozható infokommunikációs eszközök adathordozóin biztosítani kell a teljes rendszerszintű titkosítást, amely kikapcsolt állapotban védi az adatokat az illetéktelen hozzáféréstől. Nem titkosított, nyílt hálózati kapcsolatok, különösen Wi-Fi, illetve Bluetooth használata tilos. Az eszközön a vezeték nélküli kapcsolatot alapértelmezésben kikapcsolt állapotban kell tartani.
(5)A felhasználó az önálló szervezeti egység vezetője engedélyével igényelheti, hogy a hordozható infokommunikációs eszközét az internetes szolgáltatások elérése céljából vezeték nélküli hálózathoz csatlakoztathassa azzal a feltétellel, hogy az eszköznek rendelkeznie kell frissített, az üzemeltető által jóváhagyott kliensvédelemmel.
(6)A felhasználó köteles az Iroda tulajdonában lévő hordozható infokommunikációs eszközt hetente, illetve hosszabb távollét esetén havonta az Iroda informatikai hálózatához csatlakoztatni abból a célból, hogy a biztonsági és vírusvédelmi frissítések települhessenek, megőrizve ezzel a biztonság integritását.
(7)A hordozható infokommunikációs eszközöket használó felhasználónak
  1. a)tilos az eszközt gépjárműben, idegen helyen felügyelet nélkül vagy látható helyen hagyni,
  2. b)a repülő- vagy vonatút alatt az eszközt kézipoggyászként kell szállítani,
  3. c)az Iroda területén kívül, idegen helyen történő tárolás esetén fokozott figyelmet kell fordítani a jogosulatlan hozzáférés elleni védelemre, az adatok bizalmasságának, sértetlenségének biztosítására,
  4. d)tilos az eszköz engedély nélküli átruházása vagy adatainak közlése,
  5. e)tilos az eszközt bármilyen indokolatlan veszélynek kitenni vagy nem rendeltetésszerűen használni.
(8)Az adatokat a mobil adathordozóról a feladat elvégzése után, védett hálózati meghajtóra való felmásolást követően le kell törölni, és az adathordozót az esemény dokumentálása mellett a tárolóhelyre vissza kell adni.
(9)A hivatali adathordozót magáncélra használni, azon magánjellegű adatot tárolni, illetve nem hivatali adathordozót hivatali célra használni és azon hivatali adatot tárolni tilos.
(10)Az Iroda elektronikus információs rendszerébe kapcsolt infokommunikációs eszközben csak olyan adathordozót lehet használni, arról adatokat beolvasni, amelyen előtte a rendszeresített és telepített víruskereső programmal ellenőrzést végeztek, és az eredmény alapján megállapítható, hogy az adathordozó nem tartalmaz rosszindulatú programot.
(11)A hordozható infokommunikációs eszközök és mobil adathordozók felhasználói felelősek az eszközön található adatok esetleges kiszivárgásáért, az eszköz elvesztéséért, eltűnéséért, megsérüléséért. A hordozható infokommunikációs eszközök, mobil adathordozók eltűnése, ellopása esetén annak tényét a felhasználó haladéktalanul jelenteni köteles az elektronikus információs rendszer biztonságáért felelős személynek és az elnöknek.
(12)A felhasználók egyes feladatok elvégzése érdekében, a részükre biztosított, nyilvántartott és egyedi azonosítóval ellátott, hivatali tulajdonú mobil adathordozóra kimenthetik a feladathoz kapcsolódó állományaikat. 50. A távoli hozzáférés szabályozása 67. §
(1)Az Iroda hálózatában távoli eléréssel történő munkavégzést indokolt esetben, írásbeli kérelem alapján az elnök engedélyezhet.
(2)Az Iroda hálózatába bejelentkező személyek felett az Irodával kötött megállapodás alapján az üzemeltető gyakorol kontrollt a nyilvántartásain és ellenőrzésein keresztül.
(3)Az Iroda hálózatában csak az Iroda által biztosított infokommunikációs eszközökkel, a biztonsági követelmények betartása mellett végezhető távoli eléréssel történő munkavégzés.
(4)A távoli eléréssel történő munkavégzés eszközeinek és beállításainak meg kell felelniük az Irodán belüli használatra előírt biztonsági feltételeknek.
(5)A távoli eléréssel történő munkavégzéssel kapcsolatos dokumentációt az igénylések és engedélyezések levelezései, illetve a megfelelő adatlapok képezik.
(6)Az elektronikus információs rendszer biztonságáért felelős személy az éves ellenőrzések során az ellenőrzési tervben foglaltak szerint szúrópróbaszerűen ellenőrzi a távoli eléréssel történő munkavégzés-igénylések jogosságát és megfelelőségét, valamint a dokumentációt; az ellenőrzésekről az éves jelentésében számol be az elnök részére. 51. A rendszerhozzáférés és -használat monitorozása 68. §
(1)A külső felek az Iroda elektronikus információs rendszerének megfelelő működése és biztonsága érdekében az informatikai hálózatot, valamint az internetszolgáltatást monitorozhatják.
(2)Az elektronikus információs rendszerek, illetve rendszerelemek biztonsági, esemény- és hibanaplózását aktív állapotban kell tartani.
(3)Minden rendszerelemről az üzemeltető az Irodával kötött megállapodásban rögzítettek alapján eseménynaplót vezet, amelyben rögzíti a rendszerelemmel kapcsolatos szoftveres és hardveres beavatkozásokat, eseményeket.
(4)Az elektronikus információs rendszer valamennyi időinformáció kezelésére alkalmas elemének egységes időalapot kell biztosítani.
(5)Az elektronikus információs rendszer monitorozása során jegyzőkönyvet kell készíteni a tapasztalatokról a vizsgált időszak és terület vonatkozásában. Az informatikai központok belépési naplóit és a rendszerelemek eseménynaplóit naprakészen kell vezetni. A rendszer monitorozása során be kell tartani az adatvédelemre és a személyiségi jogokra vonatkozó törvényi előírásokat.
(6)Az elektronikus információs rendszer biztonságáért felelős személy az éves ellenőrzések során az ellenőrzési tervben foglaltak szerint szúrópróbaszerűen ellenőrzi az
(5)bekezdés szerinti naplókat és jegyzőkönyveket, az ellenőrzésekről az éves jelentésében számol be az elnök részére. 52. Harmadik fél hozzáférése, a hozzáférés feltételei 69. §
(1)Harmadik fél számára is hozzáférhető elektronikus információs rendszerek biztonságának fenntartása érdekében a hozzáféréseket minden esetben ellenőrizni kell. Az ellenőrzés az elektronikus információs rendszer biztonságáért felelős személy feladata.
(2)A biztonsági kockázatokat és az ellenőrzés, valamint a felügyelet követelményeit fel kell mérni. A felmérésért a harmadik féllel kötött megállapodás szakmai előkészítéséért felelős önálló szervezeti egység vezetője felel.
(3)Harmadik fél hozzáférésénél további résztvevők közreműködése is engedélyezhető. A hozzáféréséről rendelkező harmadik féllel kötött megállapodásban rendelkezni kell arról, hogy más, arra jogosult közreműködők is hozzáférhetnek a különböző eszközökhöz. A megállapodásban rögzíteni kell a hozzáférés feltételeit.
(4)Amennyiben harmadik félnek ideiglenes hozzáférési engedélyt kell biztosítani, a hozzáférési engedélyt az önálló szervezeti egység vezetője kérheti. Az elektronikus információs rendszer biztonságáért felelős személy a biztonsági előírások figyelembevételével dönt az engedély megadásáról, a kiadott engedély másolatát átadja a kérelmező vezetőnek. A visszavonás feltételeit és a lejárat időpontját tartalmaznia kell a hozzáférési engedélynek.
(5)Az Iroda azon harmadik félnek, aki az Iroda számára megállapodás alapján szolgáltatásokat nyújt, tevékenysége végzéséhez meghatározott és engedélyezett fizikai, illetve logikai hozzáféréseket biztosít a megállapodásban rögzített feltételek szerint.
(6)A harmadik fél hordozható infokommunikációs eszközén tárolt, a munkavégzés során megszerzett és az Irodával kapcsolatos adatokat a munkavégzés befejezése után visszaállíthatatlanul törölni kell, amelyről a harmadik félnek írásos nyilatkozatot kell tennie. IX. Fejezet 53. Üzletmenetfolytonosság-tervezés 70. §
(1)A meghibásodások és a rendellenességek elhárítása során
  1. a)az üzletmenet folytonosságának fenntartását szolgáló eljárás, valamint a megelőző és helyreállítást vezérlő eljárások (üzletmenet-folytonossági terv, katasztrófaelhárítási terv) együttes alkalmazásával mérsékelni kell a különböző rendellenességek és a biztonsági rendszer meghibásodása által okozott fennakadásokat,
  2. b)elemezni kell a meghibásodások, fennakadások és üzemzavarok következményeit,
  3. c)az üzletmenetfolytonosság-irányításnak ki kell terjednie a kockázatok azonosítására és csökkentésére alkalmas ellenőrzőeszközökre, a kárt okozó események következményeinek korlátozására, valamint a lényeges tevékenységek időben történő újraindítására.
(2)Az üzletmenet-folytonosság tervezését projektszerűen kell megvalósítani. Az üzletmenet-folytonosság biztosítási folyamatának kialakítása során figyelembe kel venni
  1. a)az információbiztonsági kockázatok felmérését és a bekövetkezési valószínűségek elemzését,
  2. b)a folytonosság megszakadásából (megszakításából) következő hatások, következmények felmérését és elemzését,
  3. c)az elfogadott tervek rendszeres felülvizsgálatát és aktualizálását,
  4. d)azt, hogy a kulcsfontosságú elektronikus információs rendszerek kizárólag megfelelő és kipróbált katasztrófaelhárítási terv alapján működhetnek éles üzemben.
(3)Az üzletmenet-folytonosság megfelelő szintjét a szükséges megelőző, illetve visszaállító intézkedésekkel kell biztosítani, amely intézkedéseket előre meg kell tervezni.
(4)Az üzletmenet-folytonossági tervnek részletesen meg kell határoznia a kívánt üzletmenet-folytonosság fenntartásához szükséges megelőző, helyettesítő, illetve visszaállító intézkedések megvalósításához szükséges feltételeket, szervezeti és szervezési lépéseket és a megvalósítás módját.
(5)A tervezés során mérlegelni kell az okozott kár nagyságát és az üzemzavari események, a veszélyhelyzetek bekövetkezésének gyakoriságát. 71. §
(1)Az üzletmenet-folytonossági terv fő részei:
  1. a)a helyzetfelmérés és értékelés,
  2. b)az oktatás, tréning és tesztelés előkészítése, amelyek célja az üzletmenet-folytonosság jelentőségének tudatosítása, az üzletmenetfolytonosság-tervezés alapismereteinek átadása, a megelőzési és visszaállítási tervben foglaltak megismerése és elsajátítása,
  3. c)a megelőzési terv és
  4. d)a visszaállítási terv.
(2)Az üzletmenet-folytonossági tervben foglalt intézkedések kiterjednek a központi erőforrásokra, azok fizikai és személyi környezetére, a végponti munkaállomásokra és a kommunikációs rendszer területeire.
(3)Az előzetes intézkedési tervnek tartalmaznia kell mindazon feltételek biztosítására vonatkozó intézkedéseket, amelyek megléte nélkül az üzletmenet-folytonossági terv nem működőképes, és a következő projektfázisban elvégzendő üzletmenet-folytonossági terv tesztje és tréningje nem valósítható meg.
(4)Az üzletmenet-folytonossági terv tesztelése és tréningje akkor válik elindíthatóvá, ha a szervezet által az üzletmenetfolytonossági terv készítési fázisa végén elfogadott intézkedési tervben foglaltak olyan szinten megvalósultak, hogy az üzletmenet-folytonossági terv tesztje és tréningje meghatározott üzemzavar- és katasztrófaeseményre kivitelezhető. 72. §
(1)A katasztrófaelhárítás-tervezés célja a kiesési idő, a rendszer normál állapotának lehető legrövidebb időn belül történő visszaállításán túl az, hogy ezt a kockázatokkal arányosan lehessen megvalósítani. A vészhelyzetekből eredő károk megelőzésének, mérséklésének alapvető követelménye a terv elkészítése, tesztelése és a végrehajtás rendszeres gyakorlása.
(2)Veszélyhelyzetnek minősül
  1. a)az elemi kár,
  2. b)az áramszünet,
  3. c)a rendszerleállás,
  4. d)a szolgáltatásszünetelés,
  5. e)az adatsérülés és f ) az adatvesztés.
(3)A katasztrófaelhárítási terv eljárások vagy tevékenységlépések sorozata annak biztosítására, hogy az Iroda információfeldolgozó képességeit – a szükséges aktuális adatokkal – a bekövetkezett katasztrófa után elfogadhatóan rövid időn belül helyre lehessen állítani.
(4)A tervek tesztelését egy szimulált esemény bekövetkezésével és a terv szerinti visszaállítással kell megvalósítani.
(5)A teszt értékelése során az üzletmenet folytonosságát biztosító terveket módosítani, aktualizálni kell, és gondoskodni kell azok egymáshoz való illesztéséről. A terveket a folytonosan változó helyzethez, körülményekhez, infrastrukturális követelményekhez is hozzá kell igazítani. 54. Záró rendelkezések 73. § Ez az utasítás a közzétételét követő napon lép hatályba. Dr. Pálffy Ilona s. k., elnök

MI-magyarázat a hivatalos jogszabályszöveg alapján. Tájékoztató jellegű, nem helyettesíti a jogi tanácsadást.