25/2014. (HK 9.) HVK HIICSF szakutasítása az MH Központi Internet szolgáltatás monitorozásáról.

25/2014. (HK 9.) HVK HIICSF szakutasítása az MH Központi Internet szolgáltatás monitorozásáról. A honvédelemről és a Magyar Honvédségről szóló, valamint a különleges jogrendben bevezethető intézkedésekről szóló 2011. évi CXIII. törvény 52. § (2) bekezdése alapján az alábbi szakutasítást adom ki. 1. Általános rendelkezések 1. A szakutasítás hatálya a Honvédelmi Minisztériumra (a továbbiakban: HM), a miniszter irányítása alatt álló központi hivatalokra, a miniszter közvetlen alárendeltségébe tartozó szervezetekre, és a Magyar Honvédség (a továbbiakban: Honvédség) hadrendje szerinti szervezetekre (a továbbiakban együtt: honvédségi szervezetek) terjed ki. 2. A Katonai Nemzetbiztonsági Szolgálat (a továbbiakban: KNBSZ) részére az MH központi Internet szolgáltatás biztosítása a Katonai Nemzetbiztonsági Szolgálat és a Magyar Honvédség együttműködésének szabályairól szóló M/1/2013. (HK 12.) HM utasítás rendelkezéseinek megfelelően kerül végrehajtásra. 3. Ezen szakutasítás alkalmazásában: a) felhasználó: olyan személy, aki hozzáférési joggal rendelkezik az MH informatikai hálózatához annak igénybe vétele céljából, b) hálózatgazda: a kormányzati célú hálózatokról szóló 346/2010. (XII. 28.) Korm. rendelet 28. § (1) és (2) bekezdésében, valamint 2. mellékletében meghatározott elkülönült hírközlési tevékenység végzésére jogosult személy; a Magyar Honvédség Kormányzati Célú Elkülönült Hírközlő Hálózatának (továbbiakban: MH KCEHH) vonatkozásában a honvédelmi miniszter, a hálózatgazdai jog- és hatáskörök átruházását követően – jelen szakutasítás vonatkozásában – a Honvéd Vezérkar Híradó, Informatikai és Információvédelmi Csoportfőnökség (a továbbiakban: HVK HIICSF) csoportfőnöke, c) helyi informatikai üzemeltető szervezet: olyan honvédelmi informatikai üzemeltető szervezet vagy szervezeti elem, amely a számára meghatározott honvédelmi szervezetek átfogó informatikai támogatását, valamint a helyi informatikai rendszer üzemeltetését végzi, d) böngésző program: olyan célszoftver, amelynek segítségével Internet-hálózaton elhelyezett információkat – legtöbbször weblapokat – lehet megtekinteni és kezelni, e) MH Központi Informatikai Üzemeltető Szervezet (továbbiakban: KIÜSZ): a MH KCEHH üzemeltetésére és a honvédelmi szervezetek központi informatikai szolgáltatásainak biztosítására kijelölt honvédelmi szervezet, amely jelen szakutasítás vonatkozásában az MH vitéz Szurmay Sándor Budapest Helyőrség Dandár (továbbiakban: MH BHD), f) MH központi Internet szolgáltatás (továbbiakban: MH Internet): az MH KCEHH központi informatikai szolgáltatása, amely az Internet hálózat szabályozott, ellenőrzött, felügyelt módon történő használatát biztosítja az arra jogosult személyek számára. g) MH központi Internet szolgáltatás szolgáltatásgazda (továbbiakban: szolgáltatásgazda): Az MH Internet szolgáltatás előírt feltételek közötti nyújtásáért, a szolgáltatások tervezéséért, fejlesztéséért felelős személy. 2. Az MH Internet igénybevétele 4. Az MH a szolgálati feladatok támogatása céljából az Internet hálózat elérése érdekében központi informatikai szolgáltatást, MH Internetet működtet. 5. Az MH Internet igénybe vétele szolgálati célból engedélyezett. Az MH Internet magáncélra történő igénybe vételét szükség esetén – a Hálózatgazda előzetes egyetértésével – az adott szolgálati feladathoz kapcsolódó eseti intézkedés szabályozza. 6. Az MH Internethez történő hozzáférés biztosítása a felhasználó szolgálati elöljárója kezdeményezésére történik, a szolgáltatás igénylésére vonatkozó kérelem KIÜSZ részére szolgálati úton való megküldésével. 7. A KIÜSZ az MH Internet igényléséhez szükséges igénylőlapot, valamint a kapcsolódó felhasználói, adatvédelmi és az internethasználat monitorozásáról szóló tájé koztatót az MH Internet üzemeltetési terv részeként kidolgozza, és jóváhagyásra felterjeszti a hálózatgazda részére. Az igénylőlapot és tájékoztatókat a KIÜSZ közzéteszi a felhasználók részére. Az MH Internet monitorozásával kapcsolatos adatkezelés lényeges elemeiről a szolgáltatás igénylőlapján a felhasználót tájékoztatni kell az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény 20. § (2) bekezdésében foglaltak szerint. Az MH Internet szolgáltatás biztosítására – az adatvédelmi tájékoztatóban foglaltak megismerését követően – a felhasználó hozzájárulása esetén kerülhet sor. 8. Az MH Internet igénybevétele során a felhasználók kötelesek: a) az MH Internetre vonatkozó üzemeltetési szabályokat betartani, b) a rendelkezésükre bocsátott informatikai eszközöket rendeltetésszerűen használni és megóvni, c) a KIÜSZ utasításait az internethasználatra vonatkozóan betartani, d) az MH internet használata során bekövetkező hibákat a KIÜSZ részére bejelenteni, e) esetlegesen felfedezett biztonsági vagy működési problémákat jelezni a KIÜSZ felé, f) tartózkodni a jogszabályba vagy a honvédelmi szervezetek tagjaira vonatkozó szabályozóba ütköző tevékenységtől, vagy a honvédelmi szervezetek tekintélyének csorbítására alkalmas cselekményektől. 9. A felhasználó részére az MH Internet használata során nem engedélyezett: a) az informatikai eszközök megbontása, hardverkonfigurációk megváltoztatása, b) más felhasználók munkájának hátráltatása, megzavarása, dokumentumainak illetéktelen megtekintése, megváltoztatása, másolása, c) a hálózat erőforrásaihoz, a hálózaton elérhető adatokhoz történő illetéktelen hozzáférés, azok illetéktelen felhasználása, d) az MH internet-szolgáltatás biztosításához szükséges belső hálózat megváltoztatása, átstrukturálása, eszközök engedély nélküli csatlakoztatása, áthelyezése, e) szoftver engedély nélküli installálása, más felhasználók gépén lévő szoftverek engedély nélküli használata, f) a tárca szolgáltatásainak és az ott található adatok engedély nélkül történő, harmadik fél részére történő továbbítása, g) profitszerzést célzó direkt üzleti célú tevékenység folytatása, reklámok terjesztése, h) az informatikai hálózat, illetve erőforrásai normális működését megzavaró, veszélyeztető tevékenység folytatása, i) a hálózatot, illetve annak erőforrásait indokolatlanul, szándékosan túlzott mértékben, pazarló módon igénybe vevő tevékenység megvalósítása. j) Felhasználó semmilyen körülmények között nem fordulhat közvetlenül külső céghez hibaelhárítás céljából. 10. Az MH Internet igénybe vétele személyes bejelentkezési név és jelszó együttes alkalmazásával engedélyezett, oly módon, hogy a felhasználó egyértelmű azonosíthatósága megvalósulhasson. 11. Más felhasználó nevének vagy jelszavának alkalmazásával a szolgáltatást igénybe venni tilos. 12. A jelszó kitudódása, kompromittálódása, vagy annak reális lehetősége esetén a felhasználó a jelszavát haladéktalanul köteles megváltoztatni. 3. Az MH Internet üzemeltetése 13. Az MH Internet szolgáltatás üzemeltetéséért a KIÜSZ felel. 14. A KIÜSZ az MH Internet üzemeltetésére vonatkozóan üzemeltetési tervet dolgoz ki, amelyet ezen szakutasítás hatályba lépését követő négy hónapon belül jóváhagyásra felterjeszt a Hálózatgazda részére. 15. Az MH Internet üzemeltetésének szakfeladatai – a KIÜSZ javaslata alapján – az MH Internet üzemeltetési tervében rögzített módon megoszthatók a honvédelmi üzemeltető szervezetek között. 16. Az MH Internet és a nyilvános internet-hálózat közötti kapcsolat kialakításával és működtetésével kapcsolatos feladatok tervezését és végrehajtását a KIÜSZ más szervezet részére nem adhatja át. 17. Az MH Internet üzemeltetésének egészéért – az üzemeltetési feladatok megosztásától függetlenül – a KIÜSZ felel, amelyhez kapcsoló szaktevékenységek vonatkozásában az MH Internet üzemeltetésében részt vevő szervezetek szaktevékenysége felett szakmai felügyeletet és irányítást gyakorol. 18. A KIÜSZ a szakmai irányítás és felügyelet keretében: a) a Hálózatgazda egyetértésével kijelöli a szolgáltatásgazda személyét, amely magában foglalja a szolgáltatás nyújtásához szükséges rendszerek hardver és szoftverelemeinek üzembe helyezését, telepítését, tesztelését, üzemeltetését, a felhasználók támogatását, oktatását, az üzemképesség és állag megóvását, b) érvényesíti az MH Internet informatikai biztonsági, adatvédelmi elvek betartásával kapcsolatos előírásokat, amely magában foglalja a személyes adatok védelmét, az adattárolás biztonságának biztosítását, az adatmentések végrehajtását és ellenőrzését, a hálózatbiztonsági szabá lyok betartatását, a biztonsági eszközök üzemeltetését és felügyeletét, c) kiépíti és működteti az MH Internet ügyféltámogató rendszerét, valamint biztosítja az incidenskezelést és problémakezelést, d) üzemelteti az MH Internet monitorozásához kapcsolódó rendszereket és alkalmazásokat, beállítja és szükség esetén frissíti a biztonságos internetezéshez szükséges korlátozásokat, e) tájékoztatja és a rendelkezésre álló erőforrások függvényében oktatja a felhasználókat az MH Internet használatával kapcsolatosan, f) biztosítja az MH Internet szolgáltatás igénybevételével kapcsolatos információkat, statisztikát a jelen szakutasításban meghatározott időközönként vagy a hálózatgazda külön kérésére. 4. Az MH Internet monitorozása 19. A monitorozás célja az MH központi Internet szolgáltatás megbízható működésének biztosítása és az internetes károkozók behatolásának megakadályozása, a meghatározott szabályok betartatása, a felhasználók tevékenységeinek felügyelete és ellenőrzése révén, a személyes adatok védelmére vonatkozó szabályok megsértése nélkül, a felhasználók előzetes beleegyezésével. 20. Az internet monitorozás során kezelt személyes adatok kezelője a KIÜSZ. Az adatkezeléssel érintett adatokba betekintést az adatkezelő internet monitorozással kapcsolatos feladatokat ellátó munkatársai nyerhetnek az adatkezelés céljának eléréséhez szükséges mértékig. 21. A felhasználókat az MH Internet használatának megkezdése előtt, a böngésző program indítását megelőzően minden alkalommal tájékoztatni kell a monitorozás tényéről és az adatkezelés lényeges elemeiről. 22. A KIÜSZ felelős az Internet monitorozási képesség kialakításáért, működtetéséért és felügyeletéért a rendelkezésre álló informatikai infrastruktúra által biztosított lehetőségek keretein belül. 23. A Központi internet szolgáltatás biztonságos használata érdekében a KIÜSZ letiltja azon weboldalak elérhetőségét, amelyek tartalma törvénybe ütközik, illetve veszélyezteti a szolgáltatás folyamatos és megbízható rendelkezésre állását. 24. Az MH Internet monitorozás során az alábbi információkat szükséges rögzíteni: a) a betöltött weboldalak IP címét, webcímét, b) a letöltött adatállományok adatait, amely tartalmazza az állomány nevét, kiterjesztését, letöltés időpontját, mére tét; továbbá az összes letöltés mennyiségét weboldalankénti és felhasználónkénti bontásban, c) az MH Internetet igénybevevő felhasználók bejelentkezési neveit és az MH Internet igénybevételének adatait, amelyek magukba foglalják a használt munkaállomás azonosítására alkalmas adatokat és a használat időpontját, d) az MH Internet hálózati forgalmát napi, heti és havi bontásban, e) a meglátogatni kívánt, a 23. pontban foglaltak alapján tiltásra került weboldalak adatait, f) a meglátogatott weboldalakon érzékelt kártevők – azonosításra alkalmas – adatait. 25. A KIÜSZ köteles az MH Internet monitorozás során gyűjtött adatokból havonta az alábbi információkat elérhetővé tenni a megismerésre jogosult személyek részére: a) a 10 legtöbbet látogatott weboldal, b) a 10 legtöbb adatforgalmat generáló weboldal, c) a 10 leggyakrabban elérni próbált tiltott weboldal, d) az MH Internet használata során, a határvédelmi rendszer által azonosított 10 legtöbbször előforduló kártevő. 26. A megismerésre jogosult személyek külön kérése esetén a KIÜSZ köteles az alábbi információkat elérhetővé tenni: a) a 10 legtöbb adatforgalmat generáló felhasználó, amelybe nem tartoznak bele azon felhasználók, akik munkakörükből adódóan, szolgálati érdekből végrehajtott letöltések miatt kerülnének a listára, b) a 10 leghosszabb időtartamban internetező felhasználó, amelybe nem tartoznak bele azon felhasználók, akik munkakörükből adódóan, szolgálati érdekből végrehajtott letöltések miatt kerülnének a listára, c) az adott felhasználó által internet szolgáltatás igénybevételével töltött időtartam, d) az adott felhasználó által letöltött adatmennyiség. 27. Biztonsági esemény bekövetkezte esetén a KIÜSZ köteles minden olyan, számára rendelkezésre álló adatot – személyes adatok kivételével – a biztonsági esemény-kezelésben részt vevők rendelkezésre bocsátani, amely szükséges a kialakult biztonsági helyzet kezeléséhez és az eredeti helyzet visszaállításához. 28. Az MH internet-szolgáltatás rendelkezésre állásának biztosítása érdekében az adott hónapban a 26. pont a) és b) alpontjába tartozó felhasználók részére az MH központi elektronikus levelezési szolgáltatás igénybevételével figyelmeztető üzenet kerül megküldésre a KIÜSZ által az adott hónapot követő 5 munkanapon belül. 29. A KIÜSZ köteles a rögzítésre került adatokat illetéktelen hozzáférés ellen – jelszóval, titkosítással, vagy ezek együttes alkalmazásával – védeni, annak érdekében, hogy csak a megismerésre jogosult személyek ismerhessék meg az adatokat. 30. Az MH Internet monitorozás során továbbításra kerülő adatok esetén biztosítani kell az adatok illetéktelen személyek hozzáférése elleni védelmét. 31. A rögzítésre került adatokat 12 hónapig kell tárolni a későbbi visszakereshetőség érdekében. A tárolás módja az üzemeltetési tervben kerül meghatározásra. A szükséges tárolókapacitás rendelkezésre állására a hálózatgazda intézkedik. A KIÜSZ gondoskodik a 12 hónapnál régebbi adatok végleges és visszaállíthatatlan törléséről. 32. Az MH Internet monitorozás során megismert nem személyes jellegű adatok az MH Internet biztonságosabbá tétele, valamint az elektronikus információbiztonsági rendszerek és határvédelmi eszközök beállításainak megváltoztatása érdekében felhasználhatóak. 33. A megismerésre jogosult személyek: a) a honvédelmi miniszter, b) a közigazgatási államtitkár, c) a Honvéd Vezérkar főnöke, d) a hálózatgazda, a feladatköréből adódó mértékben, e) az érintett felhasználó munkáltatói jogkörének gya korlója a munkáltatói döntések meghozatala érdekében. 34. Az MH Internet monitorozás során rögzített adatok a munkáltatói jogkör gyakorlója részére az adatkezelő által átadhatóak. Az adatok megismerésénél garantálni kell, hogy a felhasználó azonosítására szolgáló adatok nem szerepeltethetők együtt az adott felhasználó által meglátogatott weboldal adataival. Az adatok felhasználása kizárólag a vonatkozó személyes adatok védelméről szóló jogszabályok figyelembe vételével történhet. 35. Az MH Internet monitorozás üzemeltetési tervét szükség esetén, de évente legalább egyszer a KIÜSZ felülvizsgálja. 36. Az MH Internet monitorozás hatékony, megbízható, biztonságos és előírásszerű üzemeltetéséért a KIÜSZ felelős. A KIÜSZ a monitorozás üzemeltetésének vonatkozásában közvetlen szakmai irányítási és felügyeleti jogot gyakorol az üzemeltetésbe bevont informatikai szakállomány szakmai tevékenysége felett. 37. Az MH Internet monitorozás rendelkezésre állását – az előre tervezett és engedélyezett hálózati karbantartások és meghibásodások kivételével – a hét minden napján huszonnégy órában biztosítani kell. 38. A monitorozás működtetésében és üzemeltetésében személyes adatok adatkezelését nem érintő, a normatív szabályozástól eltérő változtatást a hálózatgazda rendelhet el, vagy a KIÜSZ javaslata alapján a hálózatgazda engedélyezhet. A normatív szabályozás a KIÜSZ által kidolgozott és az üzemeltetési tervben rögzített, a monitorozás előírásszerű működése során felmerülő, előre tervezhető változtatásokra vonatkozik és az erre feljogosított személyek kezdeményezhetik. 39. Az MH Internet monitorozásának üzemeltetési feladataival kapcsolatosan a KIÜSZ üzemeltetési tervet dolgoz ki, amelyet jelen szakutasítás hatályba lépését követő 90 napon belül jóváhagyásra felterjeszt a hálózatgazdának. Az üzemeltetési tervnek a következő adatokat kell tartalmaznia: a) az üzemeltetéssel, felügyelettel összefüggő feladatokat, b) a feladatok végrehajtásának felelőseit és együttmű ködőit, valamint azok jogosultsági szintjeit, c) az üzemeltetéshez kapcsolódó folyamatokat, eljárás rendet és nyilvántartásokat, d) az adatvédelmi tájékoztatót, e) az internet szolgáltatás igénybevételéhez szükséges űrlapot. 5. Záró rendelkezések 40. Ez a szakutasítás a közzétételét követő napon lép hatályba. Vass Sándor dandártábornok s. k., csoportfőnök