Kontroll-könyvtár

DEMÓ — MINTAADAT. EZ NEM MEGFELELÉSI BIZONYÍTÉK.

Bemutató módban vagy: a cégnév, a besorolás és minden szám kitalált mintaadat, a napló a böngésződben él. A saját adataidhoz lépj be.

Információ: A törvény és a rendeleti követelménykatalógus kötelezettségeiből 26 kontroll-terület, kereshetően — NEM a rendeleti követelménykatalógus teljes leképezése. A tételekre kattintva elolvashatod a teljes kifejtést: mit követel a jogszabály, mit jelent a gyakorlatban, és milyen bizonyítékot vár az auditor. Hogy mely követelménycsaládokhoz nincs tételes hivatkozásunk — azok kötelezettségei rád akkor is vonatkoznak —, azt a Kontrollok lap lefedettségi kikötése sorolja fel.

← Vissza a könyvtárhoz

Üzemeltetés-biztonság

Folyamatos biztonsági felügyelet

A szervezet folyamatos felügyeleti stratégiát dolgoz ki és felügyeleti programot működtet: meghatározza a teljesítménymutatókat, a felügyelet és a hatékonyság-értékelés gyakoriságát, folyamatosan figyeli a rendszereit a támadások, a támadásra utaló jelek, az engedély nélküli kapcsolatok és a jogosulatlan használat észlelésére, a kockázatmonitorozást a felügyeleti stratégia részévé teszi, és a rendszerek biztonsági állapotáról rendszeres időközönként jelent a kijelölt személyeknek. A közel VALÓS IDEJŰ, automatizált eseményelemzés (pl. SIEM-megoldás — 2. melléklet 18.15.) és a folyamatos felügyelet független értékelése (5.16.) a „jelentős” osztálytól kötelező.

Mit követel a jogszabály?

A 7/2024. (VI. 24.) MK rendelet 2. melléklete szerint már az „alap” biztonsági osztálytól kötelező a folyamatos felügyelet: a szervezetnek felügyeleti stratégiát kell kidolgoznia és felügyeleti programot működtetnie (1.23.), rendszerszinten megvalósítania a folyamatos felügyeletet (5.15.), a kockázatmonitorozást a stratégia részévé tennie (5.18.), és monitoroznia a rendszert a támadások, a támadásra utaló jelek, az engedély nélküli kapcsolatok és a jogosulatlan használat észlelésére (18.13.).

A közel valós idejű, automatizált eseményelemzés (18.15. — ezt valósítja meg tipikusan egy SIEM-megoldás) és a folyamatos felügyelet független értékelése (5.16.) a „jelentős” osztálytól kötelező. Alap osztályban tehát a felügyelet meglétét és rendszerességét kell igazolni, nem egy konkrét eszköz beszerzését.

Mit jelent ez a gyakorlatban?

Alap szinten írd le, mit figyelsz, milyen gyakran, ki nézi meg, és kinek jelent: ez a felügyeleti stratégia. Rögzítsd a mutatókat (pl. sikertelen bejelentkezések, új rendszergazdai fiók, kártevő-riasztás), és a rendszerek biztonsági állapotáról rendszeres időközönként adj írásos összefoglalót a vezetésnek.

Jelentős osztálytól lépj tovább központi, közel valós idejű elemzésre (SIEM vagy felügyelt SOC-szolgáltatás), riasztással és kijelölt reagálóval. Kisebb szervezetnek jellemzően külső, előfizetéses felügyeleti szolgáltatás (MSSP) a reális út, nem saját 24/7-es csapat.

Milyen bizonyítékot vár az auditor?

A folyamatos felügyeleti stratégia dokumentuma: mutatók, gyakoriság, felelősök, jelentési rend.

A rendszeres biztonsági állapotjelentések a kijelölt személyeknek, dátummal.

Jelentős osztálytól: a felügyeleti rendszer működésének igazolása (konfiguráció, lefedett rendszerek listája), valamint riasztási és reagálási esetek dokumentációja.

Piszkozat — a szöveg a jogszabály előzetes, közérthető értelmezése; auditor-validálásra vár. Tájékoztató jellegű, nem helyettesíti a jogi tanácsadást.

Adatok

Jogszabályi alap2024. évi LXIX. tv. 6. § (5) c); 7/2024. (VI. 24.) MK rend. 2. melléklet 1.23., 5.15., 5.18. és 18.13. pont (alap osztálytól kötelező); 18.15. pont — valós idejű automatizált elemzés, és 5.16. pont — független értékelés (jelentős osztálytól); Kibertv. 10. § (4)
ISO 27001 megfeleltetésISO 27001 A.8.16 (piszkozat)
Kötelező ettőlAlap osztály

Mihez képest mérünk — olvasd el, mielőtt a százalékra hivatkozol

Ez a lista a Certando kontroll-könyvtára, nem a 7/2024. (VI. 24.) MK rendelet 2. mellékletének teljes követelménykatalógusa: az itt kimutatott lefedettség ehhez a 26 tételhez mér, nem a rendelet katalógusához — 100% itt nem jelent teljes jogszabályi megfelelést. Az Áttekintés lapon (és az auditkész exportban, illetve az auditor-portálon) látható megfelelési százalék nem ehhez a teljes listához mér, hanem a biztonsági osztály szerint szűrt részéhez: alap osztályban 23 tételhez, jelentős osztályban 25 tételhez, magas osztályban 26 tételhez.

A 2. melléklet 19 követelménycsaládot, összesen 914 követelménycsoportot tartalmaz. A fenti kontrollok ezek közül 12 családból idéznek tételes követelménypontot. A maradék 7 családhoz ma nincs olyan kontrollunk, amely tételes pontra hivatkozna:

  • 3. Tudatosság és képzés
  • 6. Konfigurációkezelés
  • 10. Karbantartás
  • 11. Adathordozók védelme
  • 12. Fizikai és környezeti védelem
  • 13. Tervezés
  • 16. Rendszer- és szolgáltatásbeszerzés

Ezek kötelezettségei a szervezetre akkor is vonatkoznak, ha itt nem szerepelnek — a Certandón kívül kell teljesíteni és bizonyítani őket. A felsorolás azt mutatja, mire nincs tételes hivatkozásunk; nem azt, hogy a témával egyáltalán nem foglalkozunk (a képzési kontrollok például a Kibertv. §-aira hivatkoznak, nem a melléklet pontjaira).

A „fedett” itt keveset jelent: annyit, hogy az adott családból legalább egy tételes követelménypontra hivatkozunk — nem azt, hogy a családot kimerítettük. Összesen 68 tételes pontot idézünk a melléklet 914 követelménycsoportjából. Családonként, a rendelet valódi pontszámaihoz mérve:

  • 17. Rendszer- és kommunikációvédelem: 5 idézett pont a család 132 követelménycsoportjából.
  • 2. Hozzáférés-felügyelet: 6 idézett pont a család 129 követelménycsoportjából.
  • 18. Rendszer- és információsértetlenség: 4 idézett pont a család 83 követelménycsoportjából.
  • 4. Naplózás és elszámoltathatóság: 6 idézett pont a család 52 követelménycsoportjából.
  • 8. Azonosítás és hitelesítés: 2 idézett pont a család 50 követelménycsoportjából.
  • 7. Készenléti tervezés: 20 idézett pont a család 49 követelménycsoportjából.
  • 9. Biztonsági események kezelése: 4 idézett pont a család 38 követelménycsoportjából.
  • 19. Ellátási lánc kockázatkezelése: 4 idézett pont a család 27 követelménycsoportjából.
  • 5. Értékelés, engedélyezés és monitorozás: 6 idézett pont a család 26 követelménycsoportjából.
  • 1. Programmenedzsment: 3 idézett pont a család 23 követelménycsoportjából.
  • 15. Kockázatkezelés: 7 idézett pont a család 22 követelménycsoportjából.
  • 14. Személyi biztonság: 1 idézett pont a család 13 követelménycsoportjából.

A fenti nevezők forrása a 7/2024. (VI. 24.) MK rendelet 2. mellékletének hatályos szövege (net.jogtar.hu, A2400007.MKF, 2026-08-19): a családonkénti követelménycsoport-számokat abból számláltuk meg, a sor elején álló csoportszámok különböző értékeit véve; mind a 19 családban hézagmentesen futnak 1-től a maximumig. Ezek a számok azt mondják meg, hány követelménypontra hivatkozunk TÉTELESEN — nem azt, hogy a szervezet a többinek mennyire felel meg: megfelelési százalékot ne képezz belőlük. Ugyanez áll a családszintű adatra is: a fedett családok ARÁNYA (a „N a 19-ből” adat) NEM lefedettségi százalék. Osztályonkénti lefedettségi százalékot szándékosan nem írunk ki: ahhoz azt kellene tudnunk, a fenti követelménycsoportokból hányat vár el az alap, a jelentős és a magas osztály, és ez a bontás ma nincs a rendszerben. A számlálás bizonytalanságát sem hallgatjuk el: a projekt korábbi két számlálása 913, illetve 911 csoportot adott, és az eltérést nem sikerült feloldani.