Kontroll-könyvtár

A szervezet vezetése írásban kijelöli az elektronikus információs rendszerek biztonságáért felelős személyt.

Az elektronikus információs rendszer biztonságáért felelős személy évente összesen legalább 20 órás továbbképzésen vesz részt, a 17/2025. (VII. 24.) EM rendelet 3. § (2) bekezdése szerinti hét tárgykör közül legalább háromban. A 2025.12.31. előtt kinevezett vagy megbízott felelős személynek ezt első alkalommal 2026.12.31-ig kell elvégeznie (9. § (3)). A továbbképzést kizárólag az Fktv. szerint bejelentett felnőttképző tarthatja (5. § (2)); bizonyíték az Fktv. 13/B. § szerinti tanúsítvány, amelyből a naptári évre összeadódik a 20 óra. Külső megbízott felelősnél a szerződésben kell kikötni a teljesítést és a tanúsítvány átadását.

A szervezet vezetője elvégezte a 17/2025. (VII. 24.) EM rendelet szerinti kötelező kiberbiztonsági képzést: a vezetővé válástól számított egy éven belül összesen legalább 8 órát (a 2025.12.31. előtt kinevezett vezetőknél 2026.12.31-ig), majd évente legalább 4 óra továbbképzést. A képzést kizárólag az Fktv. szerint bejelentett felnőttképző tarthatja; bizonyíték a felnőttképző által kiállított, Fktv. 13/B. § szerinti tanúsítvány — a Certando felkészítő moduljának részvételi igazolása ezt NEM helyettesíti.

A szervezet rendelkezik jóváhagyott, hatályos információbiztonsági szabályzattal, amely kiterjed minden elektronikus információs rendszerre.

Dokumentált kockázatértékelés az elektronikus információs rendszerekre: fenyegetések, valószínűség, hatás, intézkedések.

A szervezet rendelkezésében lévő elektronikus információs rendszerek biztonsági osztályba soroltak (alap/jelentős/magas), a besorolás hatáselemzésen alapul és indoklással dokumentált, és azt a SZERVEZET VEZETŐJE hagyja jóvá. A besorolást legalább kétévente, illetve a rendszer biztonságát érintő, jogszabályban meghatározott változás esetén soron kívül, dokumentált módon felül kell vizsgálni (Kibertv. 10. § (7)) — a Certando ehhez 12 hónapos ciklust használ, hogy a felülvizsgálat az információbiztonsági szabályzatéval egy menetben történhessen (6. § (4)). KÖR: a besorolási kötelezettség a 6. § (3) 1. pont a) alpontja szerinti, azaz a szervezet RENDELKEZÉSÉBEN LÉVŐ rendszerekre szól; a nyilvántartásba viszont a központi rendszereket, a központi szolgáltató szolgáltatásait és az egyéb támogató rendszereket is fel kell venni (6. § (3) 1. b)–d)), osztályba sorolás nélkül. KIVÉTEL: a 6. § (10) b) pont szerinti szervezetnek (1. § (1) a) és c) pont szerinti fontos szervezet, valamint a 2. és 3. melléklet szerintinek nem minősülő b) pontos szervezet) a hatáselemzést és a besorolást nem kell teljesítenie, de a c) pont szerint legalább az „alap” osztályra irányadó követelményeket igen.

Az azonosított kockázatokhoz intézkedési terv tartozik felelőssel és határidővel; a terv rendszeresen felülvizsgált.

Nyilvántartás arról, hogy mely munkakör mely rendszerekhez milyen szintű hozzáféréssel rendelkezik (need-to-know elv).

Rendszergazdai és távoli hozzáférésű fiókoknál a többtényezős azonosítás kötelező és technikailag kikényszerített.

Munkaviszony megszűnésekor a hozzáférések 24 órán belül visszavonásra kerülnek, a visszavonás dokumentált.

A rendszergazdai fiókok elkülönítettek a napi munkavégzésre használt fiókoktól, használatuk naplózott.

Rendszeres, dokumentált mentések; a helyreállítás tesztelt, a tesztek jegyzőkönyvezettek.

A szervezet kijelöl egy alternatív feldolgozási helyszínt, ahol az elsődleges feldolgozási képesség kiesése esetén az előre meghatározott műveletek — a helyreállítási idő- és pontcélokkal összhangban — újrakezdhetők, valamint egy biztonsági tárolási helyszínt; mindkettő elkülönül az elsődleges helyszíntől és hozzáférhető, és az alternatív helyszínre szolgáltatásprioritás van kikötve. Az infokommunikációs szolgáltatási szerződések szolgáltatásprioritási rendelkezéseket tartalmaznak. Ez a kötelezettség a „jelentős” osztálytól áll fenn; a magas osztály további elvárásait külön kontroll írja le. A szolgáltatásmegtagadással járó (DoS) támadások elleni kapacitás-, sávszélesség- és egyéb redundancia (2. melléklet 17.14.) kiegészítő intézkedés: egyik osztályban sem kötelező — javasoljuk, de a megfelelés nem múlik rajta.

A szoftverek biztonsági frissítései ellenőrzött folyamat szerint, dokumentáltan települnek.

A szervezet meghatározott folyamat szerint, rendszeresen vagy eseti jelleggel ellenőrzi rendszerei sérülékenységeit — és minden olyan esetben, amikor új, a rendszert érintő sérülékenységet jelentenek —, majd a valós sérülékenységeket a kockázatkezelési eljárásainak megfelelően, meghatározott válaszidőn belül kijavítja. Csatornát tart fenn, amelyen a rendszereiben található sérülékenységekről szóló bejelentéseket fogadni tudja. Az automatizált sérülékenység-SZKENNELÉS és a sérülékenységmenedzsment eszközök alkalmazása (2. melléklet 15.10.) a „jelentős” osztálytól kötelező. A BEHATOLÁSVIZSGÁLAT (etikus hackerteszt, 2. melléklet 5.21.) kiegészítő intézkedés: egyik osztályban sem kötelező — javasoljuk, de a rendeleti megfelelés nem múlik rajta; magas osztályban viszont, ha a szervezet elvégzi, független szakértőnek vagy csapatnak kell végeznie (5.22.). Ettől függetlenül a Kibertv. 15. § (2) teljes körű sérülékenységvizsgálatot ír elő a „jelentős” és „magas” osztályú rendszerekre — de csak az 1. § (1) a)–c) pont szerinti szervezeteknél.

Minden végponton és szerveren aktív, központilag felügyelt kártevő elleni védelem működik.

A rendszerek eseménynaplói a meghatározott eseménytípusokra elkészülnek és védettek, rendszeres felülvizsgálatuk és elemzésük dokumentált, az eredményt a kijelölt szerepkörnek jelentik, a bejegyzéseket pedig a megőrzési szabály szerinti ideig megőrzik. A naplók KÖZPONTI gyűjtése és összevont elemzése (2. melléklet 4.16.) kiegészítő intézkedés: egyik osztályban sem kötelező — javasoljuk, de a megfelelés nem múlik rajta.

A szervezet folyamatos felügyeleti stratégiát dolgoz ki és felügyeleti programot működtet: meghatározza a teljesítménymutatókat, a felügyelet és a hatékonyság-értékelés gyakoriságát, folyamatosan figyeli a rendszereit a támadások, a támadásra utaló jelek, az engedély nélküli kapcsolatok és a jogosulatlan használat észlelésére, a kockázatmonitorozást a felügyeleti stratégia részévé teszi, és a rendszerek biztonsági állapotáról rendszeres időközönként jelent a kijelölt személyeknek. A közel VALÓS IDEJŰ, automatizált eseményelemzés (pl. SIEM-megoldás — 2. melléklet 18.15.) és a folyamatos felügyelet független értékelése (5.16.) a „jelentős” osztálytól kötelező.

A szervezet meghatározza a kriptográfia felhasználási területeit, megvalósítja az ezekhez szükséges megoldásokat, és szabályozza a kulcsok előállítását, szétosztását, tárolását, hozzáférését és megsemmisítését. Az adatátvitel, illetve a tárolt adatok kriptográfiai védelme (2. melléklet 17.41. és 17.82.) a „jelentős” osztálytól tételesen is kötelező.

Írásos eljárás a biztonsági események azonosítására, osztályozására, kezelésére és eszkalációjára.

A szervezet képes a jelentős incidens hatósági bejelentési láncát végigvinni; a felelős és a csatorna kijelölt. A rendelet NEM háromlépcsős bejelentést ír elő: 418/2024. (XII. 23.) Korm. rendelet 77. § (1): első bejelentés 24 óra (1.), fertőzöttségi mutatók amint rendelkezésre állnak (2.), eseménybejelentés 72 óra (3.) — bizalmi szolgáltatónál 24 óra (77. § (4)) —, közbenső helyzetjelentés a Központ kérésére (4.), zárójelentés 1 hónap az eseménybejelentéstől (5.), eredményjelentés, ha a kezelés akkor még folyamatban van (6.), és ebben az esetben zárójelentés a kezelés lezárultát követő 1 hónapon belül (7.).

Minden biztonsági esemény nyilvántartott: időpont, leírás, intézkedések, lezárás.

A szervezet azonosítja és rangsorolja a működése szempontjából kritikus beszállítókat, felméri az ellátási láncból eredő kockázatokat a rendszereire, rendszerelemeire és rendszerszolgáltatásaira, és mindezt dokumentálja; az ellátási lánc kockázatainak kezelésére szabályzata és folyamata van. A beszállítók és az általuk nyújtott szolgáltatások RENDSZERES ÚJRAÉRTÉKELÉSE és felülvizsgálata (2. melléklet 19.16.) a „jelentős” osztálytól kötelező.

A kritikus beszállítói szerződések tartalmaznak kiberbiztonsági és incidens-együttműködési kikötéseket, és a szervezet arról is gondoskodik, hogy ugyanezek a követelmények a fővállalkozó ALVÁLLALKOZÓINAK szerződéseibe is bekerüljenek.

Magas biztonsági osztályban a szervezet tartalék infokommunikációs szolgáltatásokat létesít, olyan megállapodásokkal, amelyek a rendszer alapfunkcióinak meghatározott időn belüli újrakezdését akkor is lehetővé teszik, ha az elsődleges kapacitás sem az elsődleges, sem a tartalék helyszínen nem áll rendelkezésre. Az alternatív feldolgozási helyszínt úgy készíti fel, hogy meghatározott időn belül készen álljon az alapfunkciók támogatására; a biztonsági tárolási helyszínt a helyreállítási idő- és pontcélokkal (RTO/RPO) összhangban konfigurálja; az üzletmenet-folytonossági tervet az alternatív feldolgozási helyszínen is teszteli, és a helyreállítás tesztelésekor a mentett adatok kiválasztott mintájából ténylegesen visszaállít.

Minden munkavállaló rendszeres kiberbiztonsági alapképzésben részesül (pl. adathalászat-felismerés); a részvétel dokumentált.