Az Országos Nyugdíjbiztosítási Főigazgatóság főigazgatójának 31/2010. sz. utasítása
Az ONYF informatikai biztonsági szabályzatáról
Tartalomjegyzék 1
Biztonsági szabályzat ....................................................................................................... 11 ÁLTALÁNOS RENDELKEZÉSEK ........................................................................................................................ 11 1.1 ALAPELVEK ........................................................................................................................................ 11 1.2 AZ INFORMATIKAI BIZTONSÁGI SZABÁLYZAT .................................................................................... 12 1.3 AZ IBSZ HATÁLYA ............................................................................................................................. 13 1.4 AZ IBSZ VISZONYA A JOGSZABÁLYOKKAL, BELSŐ SZABÁLYOZÁSOKKAL .......................................... 14 1.5 TÖRVÉNYI HIVATKOZÁSOK ................................................................................................................. 16 1.5.1 Törvények ...................................................................................................................................... 16 1.5.2 Kormány rendeletek: ..................................................................................................................... 17 1.5.3 Kormány határozatok.................................................................................................................... 17 1.5.4 Info-kommunikációs kormánybiztos .............................................................................................. 17 1.5.5 KIB (korábban KIETB) ajánlások................................................................................................. 18 1.5.6 ITB (Informatikai Tárcaközi Bizottság) ajánlások ........................................................................ 18 1.5.7 Hatályos utasítások jegyzéke......................................................................................................... 18 1.6 HAZAI ÉS NEMZETKÖZI SZABVÁNYOK, AJÁNLÁSOK ............................................................................ 19 1.6.1 Szabványok és ajánlások ............................................................................................................... 20 1.7 AZ IBSZ ALKALMAZÁSA .................................................................................................................... 21 1.8 A SZABÁLYZAT NAPRA KÉSZEN TARTÁSA ........................................................................................... 22 1.9 FOGALMI ÉRTELMEZÉSEK ................................................................................................................... 23
2
Az informatikai biztonság az ágazatban (szervezetbiztonság)......................................... 31 2.1 AZ ONYF SZERVEZETI EGYSÉGEINEK ÉS AZ IGAZGATÁSI SZERVEK VEZETŐINEK KÖTELESSÉGE ........ 31 2.1.1 Az ONYF szervezeti egységeinek vezetői, és az igazgatási szervek ............................................... 31 2.1.2 Kapcsolódás a tervezési tevékenységekhez ................................................................................... 32 2.2 AZ INFORMATIKAI BIZTONSÁG INFRASTRUKTÚRÁJA........................................................ 32 2.2.1 Az informatikai biztonság vezetői fóruma (Biztonsági Bizottság) ................................................. 33 2.2.2 Az informatikai biztonság összehangolása.................................................................................... 33 2.2.3 Az informatikai biztonsági felelősségek kiosztása ......................................................................... 34 2.2.4 Az informatikai és információ-feldolgozó eszközök használatához szükséges jogosultságok meghatározásának és kibocsátásnak folyamata .......................................................................................... 34 2.2.5 Szervezetközi együttműködés......................................................................................................... 35 2.2.6 Az informatikai biztonság független felülvizsgálata...................................................................... 35 2.3 KÜLSŐ SZERVEZET HOZZÁFÉRÉSI BIZTONSÁGA .................................................................................. 36 2.3.1 Külső szervezet számára engedélyezett hozzáférési jogosultságokból származó kockázatok felmérése...................................................................................................................................................... 36 2.3.2 Külső szervezettel kötött szerződés biztonsági követelményei ....................................................... 38
3
A vagyon osztályozása és ellenőrzése.............................................................................. 40 3.1 AZ ANYAGI FELELŐSSÉG SZÁMON KÉRHETŐSÉGE ............................................................................... 40 3.1.1 Az eszközök, vagyonelemek leltárja............................................................................................... 40 3.2 AZ INFORMÁCIÓ OSZTÁLYOZÁSA ........................................................................................................ 41 3.2.1 Adatosztályozási rendszer és irányelvei ........................................................................................ 41 3.2.2 Információ-architektúra modell .................................................................................................... 42 3.2.3 Ágazati adatszótár és adat-szintaktika .......................................................................................... 42 3.2.4 Biztonsági szintek .......................................................................................................................... 42 3.2.5 Adatok osztályozása ...................................................................................................................... 43 3.2.6 Az információ címkézése és kezelése ............................................................................................. 43
4
A személyzet biztonsága .................................................................................................. 44 4.1 SZERVEZETI ELŐÍRÁSOK ..................................................................................................................... 44 4.1.1 Általános szabályok....................................................................................................................... 44 4.1.2 A biztonság és a munkaköri felelősség .......................................................................................... 45 4.1.3 Feladatok és felelősségi körök ...................................................................................................... 45 4.1.4 Informatikai Rendszer Felhasználók Felelősségi köre.................................................................. 46 4.1.5 A felelősségi körök szétválasztása ................................................................................................. 46 4.1.6 Informatikai biztonsági szerepkörök és felelősségi körük ............................................................. 48 4.1.7 Informatikai és rendszerfejlesztési Főigazgató-helyettes .............................................................. 48
4.1.8 Informatikai főosztályok és vezetőik.............................................................................................. 49 4.1.9 Informatikai biztonsági Felelős..................................................................................................... 51 4.1.10 Informatikai biztonsági összekötő szerepkör ............................................................................ 53 4.1.11 Biztonsági adminisztrátori szerepkör ....................................................................................... 54 4.1.12 Rendszergazdai szerepkör ........................................................................................................ 54 4.1.13 Jogosultsági-rendszer adminisztrátori szerepkör..................................................................... 55 4.1.14 Operátor ................................................................................................................................... 55 4.1.15 Felhasználó .............................................................................................................................. 55 4.1.16 Informálódás a személyzetről és ennek szabályzata ................................................................. 56 4.1.17 A titoktartási megállapodás...................................................................................................... 58 4.1.18 A foglakoztatás feltételei........................................................................................................... 58 4.2 KÜLSŐ SZOLGÁLTATÁSOK KEZELÉSÉNEK SZABÁLYAI ........................................................................ 59 4.2.1 A beszállítói szerződésekre vonatkozó előírások........................................................................... 59 4.2.2 A szolgáltatói szerződésekre vonatkozó előírások......................................................................... 60 4.2.3 A dokumentumokkal kapcsolatos követelmények .......................................................................... 60 4.3 A FELHASZNÁLÓK OKTATÁSA, KÉPZÉSE, BIZTONSÁGTUDATOSSÁG FOKOZÁSA ................................... 61 4.3.1 Köztisztviselők ............................................................................................................................... 61 4.3.2 Egyéb jogviszony alapján foglalkoztatott munkatársak ................................................................ 61 4.3.3 Külső vállalkozók munkatársai ..................................................................................................... 61 4.3.4 Az informatikai biztonság oktatása és képzése .............................................................................. 62 4.4 A RENDKÍVÜLI ÉS EGYÉB BIZTONSÁGI ESEMÉNYEKRE ÉS ÜZEMZAVAROKRA ADOTT VÁLASZOK .................................................................................................................................................... 63 4.4.1 A biztonsági események bejelentése .............................................................................................. 64 4.4.2 Jelentés a biztonsági rendszer gyenge oldalairól.......................................................................... 64 4.4.3 Jelentés a szoftver üzemzavarokról ............................................................................................... 65 4.4.4 A biztonsági eseményekből származó tapasztalatok rögzítése és feldolgozása ............................. 65 4.4.5 Fegyelmi eljárás............................................................................................................................ 66
5
A fizikai és a környezeti biztonság .................................................................................. 69 5.1 5.2 5.3 5.3.1 5.3.2 5.3.3 5.3.4 5.3.5 5.4 5.4.1 5.4.2 5.4.3 5.4.4 5.4.5 5.4.6 5.1 5.2 5.2.1
6
MÁSIK FÉL MEGBÍZHATÓSÁGA............................................................................................................ 69 TÁVMŰKÖDTETÉS ............................................................................................................................... 69 BIZTONSÁGI KÖRLETEK ...................................................................................................................... 69 Fizikai biztonsági zónák ................................................................................................................ 70 Fizikai beléptetési óvintézkedések ................................................................................................. 71 Gondoskodás az irodák, a helyiségek és az eszközök biztonságáról ............................................. 72 Munkavégzés biztonságos környezetben........................................................................................ 73 Elkülönített kiszállítási és rakodási körlet..................................................................................... 74 GONDOSKODÁS A MŰSZAKI BERENDEZÉSEK BIZTONSÁGÁRÓL ........................................................... 74 A műszaki berendezések elhelyezése és védelme ........................................................................... 75 Elektromos-energia ellátás ........................................................................................................... 76 A kábelezés biztonsága.................................................................................................................. 77 A berendezés karbantartása .......................................................................................................... 78 A berendezéek telephelyen kívüli biztonsága ................................................................................ 78 A berendezések biztonságos újrahasznosítása, leselejtezése vagy megsemmísítése...................... 79 ÁLTALÁNOS ÓVINTÉZKEDÉSEK, ELLENŐRZÉSI MECHANIZMUSOK ....................................................... 79 „ÜRES ASZTAL - TISZTA KÉPERNYŐ” SZABÁLY ................................................................................... 79 Az eszközök elszállítása ................................................................................................................. 80
A kommunikáció és az üzemeltetés menedzselése .......................................................... 81 6.1 AZ ÜZEMVITELI ELJÁRÁSOK ÉS FELELŐSSÉGEK .................................................................................. 81 6.1.1 Üzemeltetési eljárások, felelősségi körök...................................................................................... 81 6.1.2 Az adatokat veszélyeztető szoftverek elleni védekezés ................................................................... 81 6.1.3 Dokumentált üzemeltetési eljárások .............................................................................................. 82 6.1.4 Az üzemviteli változások ellenőrzési mechanizmusa és kézben tartása......................................... 83 6.1.5 A rendkívüli (biztonsági) események kezelésének eljárása............................................................ 83 6.1.6 Munkakörök szétválasztása ........................................................................................................... 85 6.1.7 A fejlesztési és az üzemeltetési környezet szétválasztása............................................................... 85 6.1.8 Külső fél által végzett létesítménygazdálkodás ............................................................................. 87 6.2 A RENDSZEREKRE VONATKOZÓ TERVKÉSZÍTÉS ÉS ÁTVÉTELI ELJÁRÁS................................................ 87 6.2.1 Kapacitástervezés.......................................................................................................................... 88
6.2.2 6.3 6.3.1 6.4 6.4.1 6.4.2 6.4.3 6.5 6.5.1 6.6 6.6.1 6.6.2 6.6.3 6.7 6.7.1 6.7.2 6.7.3 6.8 6.8.1 6.8.2 6.8.3 6.8.4 6.8.5 6.8.6 6.8.7 6.8.8
7
A rendszer átadás-átvétele ............................................................................................................ 88 VÉDELEM ROSSZINDULATÚ SZOFTVER ELLEN ..................................................................................... 89 A rosszindulatú szoftver elleni védelem, óvintézkedések ............................................................... 90 RENDSZERKARBANTARTÁS ................................................................................................................. 91 Információmentés.......................................................................................................................... 91 Rendszerkezelés naplózása............................................................................................................ 92 Hibanaplózás................................................................................................................................. 92 HÁLÓZATKEZELÉS .............................................................................................................................. 93 A számítógéphálózatok ellenőrzési mechanizmusai és óvintézkedések ......................................... 93 AZ ADATHORDOZÓK KEZELÉSE ÉS BIZTONSÁGA ................................................................................. 94 A hordozható számítógépes adathordozók kezelése ...................................................................... 94 az adathordozók leselejtezése és megsemmísítése......................................................................... 95 Az információkezelési eljárások .................................................................................................... 96 HOZZÁFÉRÉS SZABÁLYOZÁSA ............................................................................................................ 96 Hozzáférési szabályok kialakítása................................................................................................. 98 A hozzáférési rendszer kialakításának részfeladatai ..................................................................... 99 A rendszerdokumentáció biztonsága ........................................................................................... 100 SZERVEZETEK KÖZÖTTI INFORMÁCIÓ- ÉS SZOFTVERCSERE ............................................................... 100 Információcsere- és szoftvercsere egyezmény ............................................................................. 101 Információcsere........................................................................................................................... 102 A szállítás alatt álló adathordozók biztonsága............................................................................ 103 Az elektronikus kormányzati rendszerek biztonsága ................................................................... 103 Az elektronikus levelezés biztonsága ........................................................................................... 104 Az elektronikus irodai rendszerek biztonsága ............................................................................. 106 Nyilvánosság, a nagyközönség számára hozzáférhető rendszerek .............................................. 107 Az információcsere egyéb formái ................................................................................................ 108
Hozzáférés-ellenőrzés .................................................................................................... 110 7.1 7.1.1 7.2 7.2.1 7.2.2 7.2.3 7.2.4 7.3 7.3.1 7.3.2 7.4 7.4.1 7.4.2 7.4.3 7.4.4 7.4.5 7.4.6 7.4.7 7.4.8 7.4.9 7.5 7.5.1 7.5.2 7.5.3 7.5.4 7.5.5 7.5.6 7.5.7 7.5.8 7.6 7.6.1 7.6.2
A HOZZÁFÉRÉS-ELLENŐRZÉS SZERVEZETI SZINTŰ KÖVETELMÉNYEI ................................................ 110 A hozzáférés-ellenőrzés irányelvei .............................................................................................. 110 A FELHASZNÁLÓI HOZZÁFÉRÉS KEZELÉSE ........................................................................................ 111 A felhasználó nyilvántartásba vétele ........................................................................................... 112 Különleges hozzáférési jogok kezelése ........................................................................................ 113 A felhasználói jelszavak kezelésének felügyelete......................................................................... 114 A felhasználói hozzáférési jogok felülvizsgálata ......................................................................... 115 A FELHASZNÁLÓ FELELŐSSÉGI KÖRE ................................................................................................ 116 Jelszóhasználat............................................................................................................................ 116 Felügyelet nélküli felhasználói berendezés ................................................................................. 117 A HÁLÓZATHOZ VALÓ HOZZÁFÉRÉS ELLENŐRZÉSE ........................................................................... 117 A hálózati szolgáltatások használatának irányelvei.................................................................... 118 Szabályozott útvonalirányítás...................................................................................................... 118 A felhasználó hitelesítése külső összeköttetésekhez..................................................................... 119 A csomópont hitelesítése ............................................................................................................. 120 Távdiagnosztikát végző csatlakozó port védelme ........................................................................ 121 Hálózat tartományokra bontása.................................................................................................. 121 A hálózati összeköttetések ellenőrzése és felügyelete .................................................................. 122 A hálózat útvonalirányítás ellenőrzése és felügyelete ................................................................. 122 A hálózati szolgáltatások biztonsága .......................................................................................... 123 HOZZÁFÉRÉS-ELLENŐRZÉS AZ OPERÁCIÓS RENDSZERBEN ................................................................ 123 A terminál automatikus azonosítása............................................................................................ 123 Terminál bejelentkezési eljárások ............................................................................................... 124 A felhasználó azonosítása és hitelesítése .................................................................................... 125 Jelszókezelő rendszer .................................................................................................................. 125 A rendszer segédprogramjainak használata ............................................................................... 126 A felhasználók kényszer alatti cselekvés elleni védelmére szolgáló riasztás............................... 127 terminál időzár ............................................................................................................................ 127 A hálózati összeköttetési idő korlátozása .................................................................................... 128 AZ ALKALMAZÁS HOZZÁFÉRÉS-ELLENŐRZÉSE ................................................................................. 128 Az információhoz való hozzáférés korlátozása............................................................................ 129 A bizalmas, kényes adatokat kezelő rendszerek leválasztása ...................................................... 129
7.7 A RENDSZERHASZNÁLAT ÉS HOZZÁFÉRÉS NYOMON KÖVETÉSE ÉS FELÜGYELETE ............................. 130 7.7.1 Eseménynaplózás ........................................................................................................................ 130 7.7.2 A nyomonkövetési és felügyeleti rendszer használata ................................................................. 131 7.7.3 Órajel-szinkronizálás .................................................................................................................. 133 7.8 A MOBIL SZÁMÍTÁSTECHNIKA ÉS A TÁVMUNKA (VONALI ELÉRÉS) ................................................... 133 7.8.1 Mobil számítástechnika ............................................................................................................... 133 7.8.2 A távmunka.................................................................................................................................. 135
8
Rendszerfejlesztések és az informatikai rendszerek karbantartása ................................ 137 8.1 8.1.1 8.1.2 8.2 8.3 8.4 8.4.1 8.4.2 8.5 8.5.1 8.5.2 8.5.3 8.6 8.6.1 8.6.2 8.6.3 8.6.4 8.6.5 8.7 8.7.1 8.7.2 8.7.3 8.8 8.8.1 8.8.2 8.8.3 8.8.4 8.8.5
9
A RENDSZEREKKEL SZEMBEN SZABOTT BIZTONSÁGI KÖVETELMÉNYEK ........................................... 137 A biztonsági követelmények elemzése és a követelméynyspecifikáció ......................................... 137 A rendszertervezés felülvizsgálata............................................................................................... 138 ALKALMAZÁSI RENDSZEREK BIZTONSÁGA ....................................................................................... 138 ALKALMAZÓI RENDSZEREK FEJLESZTÉSE ......................................................................................... 138 ALKALMAZÁSFEJLESZTÉSSEL KAPCSOLATOS SZERZŐDÉSEK TARTALMI KÖVETELMÉNYEI................ 139 Alkalmazói rendszerek szoftvereinek tesztelése........................................................................... 139 Tesztelés ...................................................................................................................................... 140 A BEMENŐ ADATOK HELYESSÉGÉNEK ELLENŐRZÉSE ........................................................................ 141 A rendszeren belüli adatfeldolgozás ellenőrzése......................................................................... 142 Üzenethitelesítés.......................................................................................................................... 143 A kimenő adatok heleyességének ellenőrzése.............................................................................. 144 KRIPTOGRÁFIAI ÓVINTÉZKEDÉSEK ................................................................................................... 144 A kriptográfiai óvintézkedések használatának irányelvei és szabályozása ................................. 144 Sifrírozás, Titkosírás, kriptográfiai algoritmus alkalmazása („Titkosítás”) ............................. 145 Digitális aláírás .......................................................................................................................... 146 Letagadhatatlansági szolgáltatások ............................................................................................ 147 Kulcskezelés ................................................................................................................................ 147 A RENDSZERÁLLOMÁNYOK, FÁJLOK BIZTONSÁGA ............................................................................ 149 Az üzemi („éles”) rendszer szoftverének ellenőrzési mechanizmusa .......................................... 149 Rendszerbevizsgálási, tesztelési adatok védelme......................................................................... 150 A forrásprogram-könyvtár hozzáférés-ellenőrzési mechanizmusa.............................................. 151 A FEJLESZTÉSI ÉS AZ AZT TÁMOGATÓ FOLYAMATOK BIZTONSÁGA ................................................... 151 A változásellenőrző eljárások...................................................................................................... 152 Az operációs rendszer változ(tat)ásai által kiváltott hatások műszaki felülvizsgálata................ 153 A szoftvercsomagok változtatására vonatkozó korlátozások....................................................... 154 A bujtatott csatorna és a trójai faló............................................................................................. 154 Kihelyezett szoftverfejlesztés ....................................................................................................... 155
Az ügymenet folyamatosságának irányítása .................................................................. 156 9.1 AZ ÜGYMENET FOLYAMATOSSÁGÁNAK IRÁNYÍTÁSI SZEMPONTJAI ................................................... 156 9.1.1 Az ügymenet folyamatosságának irányítási folyamata................................................................ 156 9.1.2 Az ügymenet folyamatossága és hatáselemzés ............................................................................ 157 9.1.3 Az ügymenet folyamatossági terveinek leírása és megvalósítása................................................ 157 9.1.4 Az ügymenet folyamatosságának tervezési keretrendszere.......................................................... 158 9.1.5 Az ügymenet folyamatosságára vonatkozó tervek vizsgálata, kipróblása, napra készen tar tása és ismételt értékelése...................................................................................................................................... 159
10
Megfelelőség .............................................................................................................. 162 10.1 MEGFELELÉS A JOGI KÖVETELMÉNYEKNEK ...................................................................................... 162 10.1.1 A területre vonatkozó, hatályos jog feltárása ......................................................................... 162 10.1.2 A szellemi tulajdonjogok (IPR, Intellectual property rights )................................................. 162 10.1.3 A szervezeti adatok oltalma .................................................................................................... 163 10.1.4 Adatvédelem és a személyes információ magánéleti védelme ................................................ 165 10.1.5 Az információfeldolgozó eszközökkel, létesítményekkel történő visszaélés megelőzése ......... 165 10.1.6 A kriptográfiai intézkedések szabályozása ............................................................................. 166 10.1.7 A bizonyítékok begyűjtése....................................................................................................... 166 10.1.8 A bizonyítékok minősége és teljessége.................................................................................... 167 10.2 A BIZTONSÁGI SZABÁLYZAT ÉS A MŰSZAKI MEGFELELŐSÉG FELÜLVIZSGÁLATA .............................. 167 10.2.1 Megfelelés a biztonsági irányelveknek ................................................................................... 168 10.2.2 A műszaki megfelelőség ellenőrzése ....................................................................................... 168
10.3 RENDSZERAUDITÁLÁSI SZEMPONTOK ............................................................................................... 169 10.3.1 Rendszerauditálás ellenőrzési mechanizmusa ........................................................................ 169 10.3.2 Rendszerauditáló-eszközök védelme....................................................................................... 169
11
HATÁLYBALÉPÉS, ZÁRÓ RENDELKEZÉSEK................................................... 171
12
MEGJELENTETÉS ................................................................................................... 172
Mellékletek............................................................................................................................. 173 13
Az adatosztályozás ..................................................................................................... 174 13.1 AZ ADATOSZTÁLYOZÁS CÉLJA .......................................................................................................... 174 13.1.1 Az adatok osztályozásának irányelvei .................................................................................... 174 13.2 HATÁSVIZSGÁLAT ............................................................................................................................ 174 13.3 ADATOK NYILVÁNTARTÁSA ............................................................................................................. 177 13.4 AZ ADATOK JELÖLÉSE....................................................................................................................... 178
14
Az adatok kezelésének követelményei....................................................................... 179 14.1 ADAT-ÁTALAKÍTÁS (KONVERZIÓ)- MIGRÁCIÓ .................................................................................. 182 14.2 A TÁROLT ADATOK SÉRTETLENSÉGÉNEK FOLYAMATOS FENNTARTÁSA ............................................ 182 14.3 KÖZPONTI ADATBÁZISOK.................................................................................................................. 182 14.4 NEM KÖZPONTI RENDSZEREK............................................................................................................ 183 14.4.1 Adatelőkészítési eljárások ...................................................................................................... 184 14.4.2 Forrásdokumentum-engedélyezési eljárás ............................................................................. 185 14.4.3 Forrásdokumentumok adatainak összegyűjtése ..................................................................... 185 14.4.4 Forrásdokumentumok hibáinak kezelése................................................................................ 185 14.4.5 Forrás-dokumentumok megőrzése.......................................................................................... 185 14.4.6 Adatbevitel engedélyezése ...................................................................................................... 185 14.4.7 Pontosság, teljesség és érvényesség ellenőrzése .................................................................... 185 14.4.8 Adatbeviteli hibák kezelése..................................................................................................... 186 14.4.9 Adatfeldolgozás sérthetetlensége............................................................................................ 186 14.4.10 Adatfeldolgozás helyességének ellenőrzése és szerkesztése ................................................... 186 14.4.11 Adatfeldolgozási hibák kezelése ............................................................................................. 186 14.4.12 Kimenő adatok kezelése és megőrzése.................................................................................... 186 14.4.13 Kimenő adatok kiosztása ........................................................................................................ 186 14.4.14 Kimenő adatok egyeztetése..................................................................................................... 187 14.4.15 Kimenő adatok átvizsgálása és hibakezelés ........................................................................... 187 14.4.16 A kimenő adatokról készült jelentésekre vonatkozó biztonsági előírások............................... 187 14.5 AZ ADATHORDOZÓK BIZTONSÁGOS KEZELÉSE .................................................................................. 187 14.5.1 Adathordozókra vonatkozó előírások ..................................................................................... 187 14.6 ADATHORDOZÓK TÁROLÁSÁRA VONATKOZÓ SZABÁLYOK ............................................................... 189 14.6.1 Az adathordozók felülvizsgálata............................................................................................. 189 14.6.2 Adathordozók másolására vonatkozó szabályok .................................................................... 190 14.6.3 Az adathordozók szállításával kapcsolatos szabályok............................................................ 190 14.6.4 Az adathordozók selejtezésével kapcsolatos szabályok .......................................................... 191 14.6.5 Az adathordozó kivonása a használatból ............................................................................... 191 14.6.6 Bizalmas információk védelme adattovábbítás és szállítás közben ........................................ 192 14.6.7 A megsemmisítésre ítélt bizalmas információk védelme......................................................... 192 14.6.8 Az adathordozók megsemmisítése .......................................................................................... 193 14.6.9 Külső helyről érkező adathordozók ........................................................................................ 193 14.6.10 Átvétel előtti ellenőrzés........................................................................................................... 193 14.6.11 Átvétel, őrzés .......................................................................................................................... 194 14.6.12 Átadás, postázás ..................................................................................................................... 194 14.6.13 Adattárolás szabályozása ....................................................................................................... 194 14.6.14 Megőrzési idő és tárolási feltételek ........................................................................................ 194 14.6.15 Adathordozó-könyvtár kezelő rendszer................................................................................... 194 14.6.16 Az adathordozó-könyvtár kezeléséhez kapcsolódó felelősség................................................. 195 14.7 ESZKÖZÖK KIVITELE ......................................................................................................................... 195 14.7.1 Az eszközök átmeneti kivitele.................................................................................................. 195 14.7.2 Az eszközök végleges kivitele.................................................................................................. 195
15
Információ-architektúra.............................................................................................. 197
16
A biztonsági események kezelése .............................................................................. 203 16.1 16.2 16.3 16.4 16.5 16.6 16.7
BIZTONSÁGI ESEMÉNYEK BEJELENTÉSE ............................................................................................ 203 ESEMÉNYEK RANGSOROLÁSA ........................................................................................................... 204 BIZTONSÁGI ESEMÉNYEK KEZELÉSÉNEK FOLYAMATA ...................................................................... 205 PROBLÉMAKEZELÉS .......................................................................................................................... 206 INFORMATIKAI BIZTONSÁGI ESEMÉNYEK KIVIZSGÁLÁSA, BIZONYÍTÉKOK GYŰJTÉSE ........................ 206 RENDKÍVÜLI ESEMÉNYEK KEZELÉSE ................................................................................................. 207 JELENTÉSKÉSZÍTÉS A BIZTONSÁGI ELŐÍRÁSOK MEGSÉRTÉSÉRŐL ÉS A BIZTONSÁGI RENDSZER MŰKÖDÉSÉRŐL................................................................................................................................................ 207
17
Informatikai biztonsági zónák .................................................................................... 208 17.1 A KISZOLGÁLÓ-GÉPTEREM ............................................................................................................... 212 17.1.1 A kiszolgáló-gépterem elhelyezésének szempontjai ................................................................ 212 17.1.2 A kiszolgáló-gépterem behatolás védelme.............................................................................. 212 17.1.3 A kiszolgáló-gépterem tűzvédelme.......................................................................................... 213 17.1.4 A kiszolgáló-gépterem áramellátása ...................................................................................... 213 17.1.5 A kiszolgáló-gépterem klimatizálása ...................................................................................... 213 17.1.6 Kisugárzás és zavarvédelem................................................................................................... 214 17.2 A KISZOLGÁLÓ-GÉPTEREM HOZZÁFÉRÉSI KÖVETELMÉNYEI.............................................................. 214
18
Külső féllel kötött szerződések biztonsági követelményei ........................................ 216
19
ONYF titoktartási megállapodás ................................................................................ 219
20
Az informatikai biztonsági rendszer működtetése ..................................................... 223 20.1 20.2
21
MEGFELELÉS A JOGSZABÁLYOKNAK ÉS A BELSŐ SZABÁLYZATOKNAK ............................................. 223 HELYESBÍTŐ ÉS MEGELŐZŐ ÓVINTÉZKEDÉSEK RENDSZERE (KORREKCIÓ ÉS PREVENCIÓ) ................. 223
Informatikai folyamatok biztonsága........................................................................... 224 21.1 TŰZFALAK ........................................................................................................................................ 224 21.1.1 Felügyelet ............................................................................................................................... 224 21.1.2 Hálózatmenedzsment .............................................................................................................. 225 21.2 INFORMATIKAI RENDSZEREK TERVEZÉSE ÉS JÓVÁHAGYÁSA ............................................................. 225 21.2.1 Az informatikai eszközök beszerzésének biztonsága ............................................................... 225 21.3 AZ ÜZEMELTETÉS BIZTONSÁGA ........................................................................................................ 227 21.3.1 Üzemeltetési napló.................................................................................................................. 227 21.4 A FEJLESZTÉS BIZTONSÁGA .............................................................................................................. 228 21.4.1 Biztonsági események kezelése ............................................................................................... 228 21.4.2 (Operátori) Tevékenységek naplózása.................................................................................... 229 21.5 AZ ESZKÖZÖK ÁTVÉTELÉVEL KAPCSOLATOS ELŐÍRÁSOK ................................................................. 230 21.6 SZOLGÁLTATÁSOK MINŐSÉGÉNEK ELLENŐRZÉSE ............................................................................. 231
22
Az üzemeltetéshez kapcsolódó védelmi intézkedések ............................................... 232 22.1 AZ ÜZEMELTETÉSI FOLYAMATOK SZABÁLYOZÁSA ........................................................................... 232 22.2 AZ ÜZEMELTETÉSI FOLYAMATHOZ TARTOZÓ BIZTONSÁGI ELŐÍRÁSOK ............................................. 232 22.2.1 Verzióváltás, az alkalmazói rendszer egyéb változtatása ....................................................... 233 22.2.2 Egyéb adatbázisokkal kapcsolatos tevékenységek.................................................................. 234
23
Alkalmazásfejlesztés .................................................................................................. 235 23.1 23.2 23.3
24
SZAKMAI KÖVETELMÉNYEK MEGFOGALMAZÁSA.............................................................................. 235 ALKALMAZÁSFEJLESZTÉSSEL KAPCSOLATOS SZERZŐDÉSEK TARTALMI KÖVETELMÉNYEI................ 236 DOKUMENTÁCIÓVAL KAPCSOLATOS KÖVETELMÉNYEK .................................................................... 236
Infrastrukturális rendszerfejlesztések ......................................................................... 238 24.1 24.2 24.3
SZAKMAI KÖVETELMÉNYEK MEGHATÁROZÁSA ................................................................................ 238 INFRASTRUKTURÁLIS FEJLESZTÉSSEL KAPCSOLATOS SZERZŐDÉSEK TARTALMI KÖVETELMÉNYEI.... 238 DOKUMENTÁCIÓVAL KAPCSOLATOS KÖVETELMÉNYEK .................................................................... 238
24.3.1 24.3.2 24.3.3
25
Adatfeldolgozási követelmények meghatározása és dokumentálása ...................................... 239 Rendelkezésre állás/elérhetőség, mint kulcsfontosságú tervezési szempont ........................... 239 Az adatok sértetlenségét, épségét biztosító funkciók a felhasználói program- szoftverekben. 239
A személyekhez kapcsolódó biztonsági előírások ..................................................... 240 25.1 A SZEMÉLYEKHEZ KAPCSOLÓDÓ BIZTONSÁGI ELŐÍRÁSOK ................................................................ 240 25.2 FEGYELMI ELJÁRÁSOK, SZANKCIONÁLÁSOK ..................................................................................... 240 25.3 INFORMATIKAI BIZTONSÁG TUDATOSÍTÁSA ...................................................................................... 241 25.3.1 Külső személyek általi hozzáférések ....................................................................................... 242 25.3.2 A felhasználók jogai ............................................................................................................... 242 25.3.3 A felhasználói felelősségek ..................................................................................................... 243 25.3.4 Felhasználói nyilvántartások felhasználói kontrollja............................................................. 243
26
A nem-kívánt programok (vírusok, trójai falovak, „spyware”, stb.) elleni védelem . 244 26.1 VÍRUSVÉDELMI SZABÁLYOK ............................................................................................................. 244 26.1.1 Rosszindulatú programok elleni védekezés alapjai ................................................................ 244 26.1.2 Manuálisan indított/időzített teljes fájlrendszer átvizsgálása................................................. 245 26.1.3 A vírusveszély csökkentésének hardveres és szoftveres lehetőségei ....................................... 246 26.1.4 Előírások felhasználók részére a vírusveszély csökkentésére ................................................. 247 26.2 A VÍRUSVÉDELEM SZERVEZETI FELÉPÍTÉSE, FELELŐSSÉGEK, FELADATOK ........................................ 249 26.2.1 Felső szint: Informatikai biztonsági felelős............................................................................ 249 26.2.2 Technikai szint: Vírusvédelmi rendszergazda......................................................................... 250 26.2.3 Kapcsolattartási szint: Informatikai Ügyfélszolgálat (Help Desk)......................................... 251 26.2.4 Feladatok................................................................................................................................ 252 26.2.5 Vírusvédelmi eszközök üzemeltetése ....................................................................................... 252 26.3 VÍRUSRIADÓ ..................................................................................................................................... 254 26.4 ÁLTALÁNOS FELÜLVIZSGÁLAT ......................................................................................................... 255 26.5 ÉVES FELÜLVIZSGÁLAT .................................................................................................................... 255 26.5.1 Havi ellenőrzés a vírusvédelmi rendszerben .......................................................................... 255 26.5.2 Újrahitelesítés ........................................................................................................................ 256
27
A jogosultsági rendszer előírásai................................................................................ 257 27.1 FELHASZNÁLÓI JOGOSULTSÁG .......................................................................................................... 257 27.1.1 A hozzáférési rendszer kialakítása ......................................................................................... 257 27.1.2 A hozzáférés követelményrendszere........................................................................................ 258
28
Mentés, archiválás, és visszatöltés ............................................................................. 278 28.1 BEVEZETÉS ....................................................................................................................................... 278 28.1.1 Mentés (back-up) és helyreállítás........................................................................................... 278 28.1.2 Felelősségek ........................................................................................................................... 278 28.1.3 A mentés irányelvei................................................................................................................. 280 28.1.4 A mentések tartalma ............................................................................................................... 281 28.1.5 Adatkommunikációs eszközök mentése ................................................................................... 283 28.1.6 Mentendő állományok: ........................................................................................................... 283 28.1.7 Mentési rend ........................................................................................................................... 284 28.1.8 A mentések időtartama ........................................................................................................... 285 28.1.9 A napi mentések rendje........................................................................................................... 285 28.1.10 A heti, havi, és archív mentések rendje................................................................................... 285 28.1.11 Az archiválások rendje ........................................................................................................... 286 28.1.12 Központi archiválások rendje................................................................................................. 286 28.1.13 Az egyéni archiválások igénylésének rendje........................................................................... 286 28.1.14 A mentések visszatöltése ......................................................................................................... 286 28.1.15 Mentési adathordozók kezelése .............................................................................................. 287 28.1.16 Adatbázisok mentése, archiválása .......................................................................................... 290 28.1.17 Biztonsági mentések tárolása ................................................................................................. 291 28.1.18 Tartalék adattárolás ............................................................................................................... 291 28.1.19 Mentések tárolása................................................................................................................... 291
29
A hardver eszközökhöz kapcsolódó védelmi intézkedések ....................................... 292
29.1 ÁLTALÁNOS SZABÁLYOK .................................................................................................................. 292 29.1.1 Központi hardvereszközök üzemeltetése ................................................................................. 292 29.1.2 Felügyelet ............................................................................................................................... 292 29.1.3 Felhasználókat segítő kézikönyvek és egyéb anyagok ............................................................ 293 29.1.4 Hardver eszközök fizikai hozzáférése ..................................................................................... 293 29.1.5 Hálózati eszközök fizikai hozzáférése ..................................................................................... 295 29.1.6 Hardver eszközök fizikai biztonsága....................................................................................... 295 29.1.7 Fizikai védelem....................................................................................................................... 296 29.1.8 Látogatók kísérése .................................................................................................................. 296 29.1.9 Biztonsági zónák..................................................................................................................... 297 29.1.10 Hardver eszközök üzemeltetési környezetének paraméterei ................................................... 297 29.1.11 Hardver eszközök teljesítmény-, és kapacitásmenedzsmentje................................................. 299 29.1.12 Hardver eszközök rendeltetésszerű használata ...................................................................... 299 29.1.13 Hardver eszközök kezelési rendjével kapcsolatos óvintézkedések .......................................... 300 29.1.14 Hardver eszközök cseréje, módosítása ................................................................................... 301 29.1.15 Hardver eszközök javítás, karbantartása ............................................................................... 301 29.1.16 Külső helyszínen történő javítás ............................................................................................. 302 29.1.17 Hardver eszközök tárolása ..................................................................................................... 303 29.1.18 Hardver eszközök szállítása ................................................................................................... 303 29.1.19 Hardver eszközök selejtezése, megsemmisítése, továbbértékesítése ....................................... 303 29.1.20 Hardver eszközök beszerzése, nyilvántartása......................................................................... 304 29.2 MOBIL ESZKÖZÖK KEZELÉSE ............................................................................................................ 305 29.2.1 A hordozható eszközök használatba adása-vétele .................................................................. 305 29.2.2 A hordozható eszközök használata ......................................................................................... 305 29.2.3 Az eszköz tárolása .................................................................................................................. 306 29.2.4 A hordozható személyi számítógépek épületből való kivitele ................................................. 306 29.3 MOBIL ESZKÖZÖK VÉDELMI ELŐÍRÁSAI ............................................................................................ 306 29.3.1 Mobil eszközök fizikai védelme............................................................................................... 306 29.4 MOBIL ESZKÖZÖKÖN TÁROLT ADATOK VÉDELME ............................................................................. 307 29.4.1 Logikai hozzáférés védelem .................................................................................................... 307 29.4.2 Titkosítás ................................................................................................................................ 307 29.4.3 Mi a teendő, ha a számítógépet eltulajdonították ................................................................... 307 29.5 TÁVMUNKA ...................................................................................................................................... 308 29.5.1 Hozzáférések szabályozása..................................................................................................... 308 29.5.2 Eszközök hálózatra csatlakoztatása........................................................................................ 308 29.5.3 A távoli munkavégzés szabályai ............................................................................................. 308 29.6 ELLENŐRZÉSEK................................................................................................................................. 309
30
A szoftverekhez kapcsolódó védelmi intézkedéseknek ............................................. 310 30.1 ÁLTALÁNOS SZABÁLYOK .................................................................................................................. 310 30.2 FEJLESZTŐI DOKUMENTÁCIÓ ............................................................................................................ 311 30.3 SZOFTVEREK VÉDELME ..................................................................................................................... 313 30.3.1 Szoftverek erőforráskönyvtárainak védelme........................................................................... 313 30.3.2 Szoftverek nem használt funkcióinak tiltása ........................................................................... 313 30.3.3 Szoftverek biztonsági frissítése ............................................................................................... 313 30.3.4 A „dobozos” szoftverek tárolása ............................................................................................ 313 30.3.5 Szoftverek nyilvántartása........................................................................................................ 314
31
A kommunikációhoz kapcsolódó védelmi intézkedések ........................................... 315 31.1 AZ ELEKTRONIKUS LEVELEZÉS BIZTONSÁGA .................................................................................... 315 31.1.1 Az elektronikus levelezés biztonsági követelményei................................................................ 315 31.2 AZ INTERNET BIZTONSÁGA ............................................................................................................... 317 31.2.1 Az Internet hozzáférés biztonsági előírásai ............................................................................ 317 31.3 KORLÁTOZÁSOK AZ INTERNET HASZNÁLATÁBAN............................................................................. 317 31.3.1 Tiltott Internetes alkalmazások............................................................................................... 317 31.3.2 Tiltott Webhelyek .................................................................................................................... 318 31.3.3 Tiltott Internetes tevékenységek.............................................................................................. 318 31.3.4 Az Internet hozzáférések ellenőrzése ...................................................................................... 318 31.3.5 Bizalmas üzenetek védelme..................................................................................................... 318 31.3.6 Hitelesség és sértetlenség ....................................................................................................... 319
31.3.7
Elektronikus tranzakciók sértetlensége................................................................................... 319
I. sz. melléklet ........................................................................................................................ 320 II. sz. melléklet ....................................................................................................................... 321 III. sz. melléklet...................................................................................................................... 322 IV. sz. melléklet ..................................................................................................................... 323 V. sz. melléklet....................................................................................................................... 324 Táblázatok 1. Példa: Az információ-architektúra biztonsági elemzésére
199
2. Példa: Az információvagyon elemek információ-architektúra szempontú elemzésére 202
1
Biztonsági szabályzat Általános rendelkezések
A jelen Informatikai Biztonsági Szabályzat (a továbbiakban IBSZ) az ágazatban működtetett informatikai rendszerek tekintetében a biztonsági intézkedéseket szabályozza, meghatározza a számítástechnikai eszközök beszerzésének és használatának, a szoftverkészítés és alkalmazás, az adatkezelés folyamatának biztonsági szabályait, továbbá az informatikai szerepköröket, és előírja az egyes szereplők informatikai biztonságot érintő feladatait.
Az ágazat informatikai rendszereire és annak működtetésére vonatkozó szabályok és előírások maguk is védendő adatok, ezért az IBSZ-t nyilvánosan nem terjesztendőként kell kezelni. Az informatikai eszközök körébe sorolandó az informatikai és információszolgáltatás valamennyi tárgyi illetve tárgyiasult szellemi komponense, így a számítógépek, számítógépes hálózatok és kapcsolódó eszközök, a szoftverek, a konfigurációk, rendszer-beállítási paraméterek, dokumentációk stb.
Az Informatikai Eszközgazdálkodási és Adatvédelmi Osztály jelen szabályzat szempontjából az eszköz használhatóságának, működésben tartásának biztosításával, illetve kiadott eszköz esetén e feladatok felügyeletével megbízott szervezeti egység.
Biztonsági szervezet jelen szabályzatban az informatikai eszközök, rendszerek biztonságának felügyeletéért felelős szervezeti egység, az Informatikai Biztonsági Felelős (IBF), a belső adatvédelmi felelős, valamint munkatársaik.
A rendszer “felhasználója” az a személy, aki hozzáférési, használati jogosultságot (jogosultságokat) kapott, az ONYF szolgálatában, a közigazgatás érdekében végzendő munkája teljesítése céljából, a vonatkozó szabályzatok elfogadásával és aláírásával.
A felelős az Informatikai Eszközgazdálkodási és Adatvédelmi Osztály dolgozója, vagy a felhasználók csoportjából kijelölt személy, aki a meghatározott eszköz rendeltetésszerű működését biztosítja.
1.1 Alapelvek Az informatikai eszközök (továbbiakban Eszközök) hivatali célokat szolgálnak, ezért üzembeállításuknak, működtetésüknek kizárólag ezt a célt kell szolgálnia. 11
Az informatikai eszközök és rendszerek folyamatos működőképessége és a biztonsági követelmények érvényesülése elsőrendű hivatali érdek, így minden érintett kötelessége ennek szellemében tevékenykedni.
Az informatikai eszközök felhasználásánál fokozott figyelmet kell fordítani a nemzetközi és hazai jogvédelmi törvények, hatályos egyezmények betartására.
A minősített adatok kezelését a „79/1995. (VI. 30.) Korm. rendelet a minősített adat kezelésének rendjéről” 3. § (1) alapján kell megoldani.
Az ágazatban használt programokat másnak átadni, azokról a nyugdíjágazati közigazgatási munka részeként jelentkező archiválási célokat kivéve másolatot készíteni csak az Informatikai és Rendszerfejlesztési főigazgató-helyettes engedélyével lehet.
Az elektronikusan tárolt adatok átadásánál a normál (papíron tárolt) adatok átadásánál érvényes szabályok szerint kell eljárni.
1.2 Az Informatikai Biztonsági Szabályzat (1) Az IBSZ célja az ágazat informatikai eszköz- és adatvagyona védelmének szabályozása. (2) Az IBSZ által biztosítható az informatikai rendszerek vonatkozásában: (a)
A titok-, vagyon- és tűzvédelemre vonatkozó előírások betartása;
(b)
A személyiségi jogok kellő védelme;
(c)
Az üzemeltetett számítástechnikai eszközök, hálózatok, stb. rendeltetésszerű használata és megfelelő üzemvitele;
(d)
Az üzembiztonságot szolgáló műszaki fenntartási és karbantartási teendők időbeli elvégzése;
(e)
A számítógépes feldolgozások és az eredményadatok további hasznosítása során az illetéktelen hozzáférésből és felhasználásból eredő károk megelőzése, illetve minimális mértékűre való csökkentése;
(f)
Az adatállományok formai és tartalmi helyességének és épségének megőrzése;
(g)
Az alkalmazott szoftverek jogtisztaságának, sértetlenségének, megbízható működésének biztosítása;
12
(h)
Az adatállományok biztonságos mentése;
(i)
A papíralapú és elektronikus iratok kezelése egységes alapjainak megteremtése;
(j)
Annak rögzítése, hogy mi az ágazat vezető beosztású és az informatikai feladatokat irányító dolgozóinak a felelőssége és feladata az informatikai biztonság tekintetében;
(k)
A jogosítás, jogosultságok kibocsátása és a hozzáférés rendszerének dokumentált kialakítása.
(3) A vázolt célok elérése érdekében a védelemnek működnie kell az egyes rendszerelemek fennállásának teljes ciklusa alatt - a megtervezéstől az alkalmazáson (üzemeltetésen) keresztül a felszámolásukig.
1.3
Az IBSZ hatálya
(1) Az IBSZ időbeli hatálya: A jelen IBSZ a közzététele napján lép hatályba, és visszavonásig marad érvényben.
(2) Az IBSZ szervezeti hatálya: Az IBSZ hatálya kiterjed az Országos Nyugdíjbiztosítási Főigazgatóságra, a regionális
igazgatóságaira, az ezekhez tartozó működési helyekre, a Nyugdíjbiztosítási Jogorvoslati Igazgatóságra és a Nyugdíjfolyósító Igazgatóságra (együttesen ágazat), továbbá az ONYF-el szerződésben álló egyéb gazdálkodó szervezetekre, valamint a szerződő fél által bevont egyéb felekre, ahol az ágazat kezelésében lévő védett adatokat és adatállományokat papír-, film-, vagy elektronikus adathordozókon tárolnak, kezelnek és őriznek; ideiglenes, átmeneti, vagy állandó jelleggel.
(3) Az IBSZ személyi hatálya az ONYF valamennyi szervezeti elemével munkavégzésre irányuló jogviszonyban álló munkatársára kiterjed. Egyéb jogviszony létesítése esetén gondoskodni kell arról, hogy a szerződésekben az IBSZ megfelelő előírásai kötelezettségként megjelenjenek. Az IBSZ rendelkezései kötelezően vonatkoznak: •
az ONYF-nél, illetve igazgatási szerveinél foglalkoztatott köztisztviselőkre, továbbá valamennyi,
•
egyéb munkavégzésre irányuló jogviszony keretében foglalkoztatásban álló munkatársra;
13
•
valamint az ONYF-el és igazgatási szerveivel szerződéses kapcsolatban álló egyéb személyekre és azok olyan alvállalkozóira, akik munkát végeznek az ONYF informatikai rendszereivel kapcsolatban, és közvetlen, vagy közvetett módon az ONYF-en, illetőleg az ONYF területi igazgatási szerveinél személyes adatokat kezelnek,
•
azokra a jogi és természetes személyekre, továbbá az egyéb gazdálkodó szervezetekre, valamint a szerződő fél által bevont egyéb felekre, akik, vagy amelyek az ONYF megbízásából személyes adatokat tartalmazó okmányok adatfeldolgozásában vesznek részt, illetve
•
azokra, akik az ONYF hatáskörébe tartozó adatokkal kapcsolatba kerülnek.
Egyéb jogviszony esetében gondoskodni kell arról, hogy a szerződésekben jelen utasítás ismerete és betartása, mint kötelezettség, a szerződő félre és alvállalkozóira is kiterjedjen.
(4) Az IBSZ tárgyi hatálya kiterjed: (a)
Az ágazatban lévő adatok teljes körére, keletkezésük, felhasználásuk, feldolgozási helyük és megjelenési formájuktól függetlenül, továbbá bármely szervezeti egység birtokában szereplő hardver- és szoftver eszközre, beleértve az eszközök műszaki dokumentációját is.
(b)
Az ONYF szervezeti elemeinek tulajdonában lévő, vagy általuk tárolt valamenynyi informatikai berendezésre, beleértve a berendezések műszaki dokumentációját is;
(c)
A rendszerprogramokra és a felhasználói programokra;
(d)
A védelmet élvező adatok teljes körére, keletkezésük és felhasználásuk, valamint feldolgozásuk helyétől, továbbá a megjelenési formájuktól függetlenül;
(e)
Az adathordozókra, azok tárolására és felhasználására, beleértve a feldolgozásra beérkezés és a felhasználókhoz történő eljuttatás folyamatait is;
(f)
Az informatikai folyamatban szereplő valamennyi dokumentációra;
(g)
Az adatok felhasználására vonatkozó utasításokra.
1.4 Az IBSZ viszonya a jogszabályokkal, belső szabályozásokkal (1) Az IBSZ, mint az információvédelem és informatikai eszközök védelme szabályozásának elsődleges eszköze, az ONYF mint közigazgatási szervezet esetében szükségszerűen a hatályos
14
jogszabályokon, szabványokon, ajánlásokon és az államigazgatás egyéb jogi eszközeivel megfogalmazott előírásokon alapul. Ezek jellemzően a következők:
•
a szakmai feladatait megszabó nyugdíj ágazatra vonatkozó jogszabályok, utasítások,
•
az általános és speciális iratkezelésre vonatkozó szabályok (levéltári törvény, titokvédelmi jogszabályok, stb.),
•
a szerzői jogról szóló törvény,
•
az ONYF-re érvényes állam- és szolgálati-, hivatali titokkör,
•
az adatvédelmi törvény,
•
a tűzvédelemre vonatkozó jogszabályok (Országos Tűzvédelmi Szabályzat, valamint a hatályos jogelőd miniszteri szabályozások), műszaki irányelvek,
•
az építésügyi szabványok, rendeletek, normatívák gyűjteménye,
•
az informatikai rendszerekre vonatkozó szabványok, ajánlások (elsősorban a MeH ITB, KIB, KIETB, az info-kommunikációs kormánybiztos stb. ajánlásai).
A fentiekkel az IBSZ előírásai nem kerülhetnek ellentétbe. Ha ellentmondás lenne, akkor a magasabb rendű szabályozások az irányadók.
(2) Az ONYF önálló jogi személyiségű intézményei tevékenységeit a rájuk vonatkozó, miniszteri szinten jóváhagyott Szervezeti és Működési Szabályzat (a továbbiakban SZMSZ), valamint az ebből, a szakági utasításokból és a magasabb jogszabályokból levezetett ügyrendek, eljárásrendek, főigazgatói utasítások és belső szabályzatok szabályozzák.
(3) A belső, helyi szabályozások kiadása az intézményvezetők feladata, ezek közül az informatikai biztonság szempontjából kiemeljük a következőket:
(a)
ügyrend, munkarend, stb., benne, vagy külön szabályozva az új munkavállaló belépésekor szükséges intézkedések, a házirend, a rendészeti előírások, a biztonságtechnikai- és a hírközlő eszközök használatának szabályai, munkahelyi szoftver-felhasználási szabályzat
(b)
az ügyiratkezelés rendszere (Iratkezelési Szabályzat),
(c)
a titkos ügykezelés (TÜK) rendje (az Iratkezelési Szabályzat része is lehet),
(d)
a külföldi kapcsolatok szabályai (az ügyrend, munkarend része is lehet),
(e)
a médiakapcsolatokra vonatkozó előírások (az ügyrend, munkarend része is lehet),
(f)
a tűzvédelmi szabályzat,
(g)
a munkavédelmi szabályzat,
15
(h)
rendkívüli események intézkedési programjai, Katasztrófa utáni helyreállítási terv, stb.,
(i)
az informatikai rendszerre vonatkozó üzemviteli, fenntartási, gazdálkodási (nyilvántartási, elszámolási) rend, benne a tárolási, szállítási előírások, selejtezési, megsemmisítési eljárások szabályozása.
(4) A fenti szabályozókhoz az IBSZ egyrészt adaptív módon viszonyul, vagyis alkalmazkodik a működésre vonatkozó általános követelményekhez, másrészt viszont koordinatív szabályozás, vagyis a jelen IBSZ szellemét, az ebben lefektetett elveket és szabályokat az ONYF szervezeteinek tevékenységét szabályozó valamennyi rendelkezés készítésénél figyelembe kell venni, a meglévő rendelkezéseket pedig ebből a szempontból felül kell vizsgálni.
1.5 Törvényi hivatkozások Az alább felsorolt törvények, kormány rendeletek és határozatok alapozzák meg direkt vagy indirekt módon az ágazatban megvalósítandó informatikai biztonságpolitikai lépéseket: a szabályzatok kialakítását és folyamatos követését, a szükséges szerepkörök és felelősségi viszonyok kialakítását és a hozzájuk kapcsolódó végrehajtandó tevékenységeket.
1.5.1
TÖRVÉNYEK
1978. évi IV. törvény a Büntető Törvénykönyvről 1992. évi XXII. törvény a Munka Törvénykönyvéről 1992. évi LXVI. törvény a polgárok személyi adatainak nyilvántartásáról 1992. évi LXIII. törvény a személyes adatok védelméről és a közérdekű adatok nyilvánosságáról 1994. évi LXXX. törvény az ügyészségi szolgálati viszonyról és az ügyészségi adatkezelésről 1995. évi LXV. törvény az államtitokról és a szolgálati titokról 1995. évi LXVI. törvény a köziratok, közlevéltárak és magánlevéltári anyagok védelméről. 1997. évi XLVII. törvény az egészségügyi és a hozzájuk kapcsolódó személyes adatok kezeléséről és védelméről. 1999. évi LXXVI. törvény a szerzői jogról 2001. évi XXXV. törvény az elektronikus aláírásról. 16
2004. évi CXL. Törvény (KET) a közigazgatási hatósági eljárás és szolgáltatás általános szabályairól 2005. évi XC. Törvény az elektronikus információszabadságról 2009. évi LX. törvény az elektronikus közszolgáltatásról
1.5.2
KORMÁNY RENDELETEK :
43/1994. (III. 29.) Korm. rendelet a rejtjeltevékenységről 79/1995. (VI. 30.) Korm. rendelet a minősített adat kezelésének rendjéről 194/2005. (IX. 22.) Korm. rendelet a közigazgatási hatósági eljárásokban felhasznált elektronikus aláírásokra és az azokhoz tartozó tanúsítványokra, valamint a tanúsítványokat kibocsátó hitelesítés-szolgáltatókra vonatkozó követelményekről 223/2009. (X. 14.) Korm. rendelet az elektronikus közszolgáltatás biztonságáról 225/2009. (X. 14.) Korm. rendelet az elektronikus közszolgáltatásról és annak igénybevételéről
1.5.3
KORMÁNY HATÁROZATOK
1113/2003. (XI. 11.) Korm. határozat a közigazgatási szolgáltatások korszerűsítési programjáról 1044/2005. (V. 11.) Korm. határozat a közigazgatás korszerűsítését szolgáló aktuális ekormányzati feladatokról 1026/2007. (IV. 11.) Korm. határozat a közigazgatási informatikai feladatok kormányzati koordinációjáról
1.5.4
INFO-KOMMUNIKÁCIÓS KORMÁNYBIZTOS
A MEH VM, és az info-kommunikációs kormánybiztos közigazgatási informatikára vonatkozó hatás- és feladatköréről szóló jogszabályok 44/2005. (III. 11.) Korm. rendelet a kormányzati informatika koordinációjáról és a kapcsolódó eljárási rendről 29/2008. (II. 19.) Korm. rendelet a Miniszterelnöki Hivatalt vezető miniszter feladat- és hatásköréről 1026/2007. (IV. 11.) Korm. határozat a közigazgatási informatikai feladatok kormányzati koordinációjáról
17
1053/2009. (IV. 17.) Korm. határozat az infokommunikációért felelős kormánybiztos kinevezéséről és feladatairól
1.5.5
KIB (KORÁBBAN KIETB) AJÁNLÁSOK
KIB 21. számú ajánlása Az ügyfélkapu és hivatali kapu kapcsolódás műszaki specifikációja KIB 22. számú ajánlása A kormányzati intézmények informatikai stratégiájának készítése A KIB 25. számú ajánlása: Magyar Informatikai Biztonsági Ajánlások (MIBA) 1.0 verzió A KIB 25. számú ajánlása: 25/1. kötet: Magyar Informatikai Biztonsági Keretrendszer (MIBIK) 1.0 verzió A KIB 25. számú ajánlása: 25/1-1. kötet: Informatikai Biztonsági Irányítási Rendszer (IBIR) 1.0 verzió A KIB 25. számú ajánlása: 25/1-2. kötet: Informatikai Biztonság Irányítási Követelmények (IBIK) 1.0 verzió A KIB 25. számú ajánlása: 25/1-3. kötet: Az Informatikai Biztonság Irányításának Vizsgálata (IBIV) 1.0 verzió
1.5.6
ITB (INFORMATIKAI TÁRCAKÖZI BIZOTTSÁG) AJÁNLÁSOK
Ezek az ajánlások a központi államigazgatás egyéb jogi eszközeivel történő irányításnak felelnek meg. Informatikai biztonsági módszertani kézikönyv 8. sz. ajánlás Minőségirányítás 9. sz. ajánlás Informatikai rendszerek biztonsági követelményei 12. sz. ajánlás. A MEH ITB 16. ajánlása, Common Criteria (CC), az informatikai termékek és rendszerek biztonsági értékelésének módszertana
Követelménytár az e-közigazgatási keretrendszer számára
1.5.7
HATÁLYOS UTASÍTÁSOK JEGYZÉKE
Jelen utasítás kiadásának időpontjában hatályos, közvetlenül vagy közvetett módon adatvédelemmel foglalkozó ill. ezt érintő ONYF utasítások listája a következő: 1. Az Országos Nyugdíjbiztosítási Főigazgatóság Főigazgatójának 28/2005. (Nyb.K.7.) ONYF utasítása az informatikai biztonsági politikáról (2005.08.09.)
18
2. Az Országos Nyugdíjbiztosítási Főigazgatóság főigazgatójának 24/2006. (Nyb.K. 4.) ONYF számú utasítása az Országos Nyugdíjbiztosítási Főigazgatóság Szervezeti és Működési Szabályzatának kiadásáról szóló 41/2004. (Nyb.K.7.) ONYF utasítás hatályon kívül helyezéséről (2006.08.31.) (Módosítások: 2/2007. (MÜK.1.), 3/2008. (MÜK.2.),
23/2009. (IX.18.) SZMM utasítások) 3. Az Országos Nyugdíjbiztosítási Főigazgatóság főigazgatójának.
37/2008 (Nyb.K.2.)
ONYF számú utasítása a Közszolgálati Szabályzatról (2006.03.01.) (Módosítva 43/2009., 46/2009) 4. Az Országos Nyugdíjbiztosítási Főigazgatóság Főigazgatójának 39/2009. ONYF utasítása a nyugdíjbiztosítási igazgatási szervek nyugellátási szakterületének ügyviteli eljárásáról (2009.10.01.) 5. Az Országos Nyugdíjbiztosítási Főigazgatóság főigazgatójának 27/2009. (Nyb.K.5.) ONYF utasítása a közbeszerzési eljárások lebonyolításának rendjéről (2009.04.30.) 6. Az Országos Nyugdíjbiztosítási Főigazgatóság főigazgatójának 27/2005. (Nyb.K.7.) ONYF utasítása az informatikai katasztrófa helyreállítási tervről 7. Az Országos Nyugdíjbiztosítási Főigazgatóság Főigazgatójának 2/2010. ONYF utasítása a közérdekű adatok elektronikus és kérelemre történő közzétételi kötelezettségének szabályzatáról (2010.01.14.)
1.6 Hazai és nemzetközi szabványok, ajánlások Az IBSZ az alább felsorolt hazai és nemzetközi szabványok, ajánlások figyelembe vételével készült. Ezek egy része közvetlenül is a jogalkotás alapját képezi, jóllehet közvetlen hivatkozást a jogszabályokban nem találunk ezekre. A felsorolt dokumentumok egy része az Interneten keresztül elérhető. •
Az egyénnek a személyes adatok feldolgozásával kapcsolatos védelméről és ezeknek az adatoknak a szabad áramlásáról szóló 95/46/EC Irányelv.
•
Az egyének védelméről a személyes adatok gépi feldolgozása során Strasbourgban, 1981. január 28. napján kelt Egyezmény kihirdetéséről szóló 1998. évi VI. törvény (108-as konvenció).
•
Egyezmény az egyénnek a személyes adatok automatikus kezelésével kapcsolatos védelméről. Európa Tanács, Strasbourg.
19
•
Az Európai Közösségek Bizottsága közleménye az egyénnek a személyes adatok kezelésével kapcsolatos védelméről és az információrendszerek biztonságáról Európai Közösségek Bizottsága, Brüsszel.
•
Informatikai Tárcaközi Bizottság (ITB) 8-as és 12-es számú ajánlása.
•
ISO/IEC 27000 – bevezetés a szabványok csoportjába és szakmai kifejezések jegyzéke – (ISO/IEC 27000 - introduction to the family of standards plus a glossary of common terms.)
1.6.1
SZABVÁNYOK ÉS AJÁNLÁSOK
1.6.1.1 Informatikai biztonsági szabványok a. ISO 27000-es szabvány sorozat (korábban a BS ISO/IEC 17799 informatikai biztonság és British Standard BS7799 informatikai biztonság) b. Systrust c. A Narancs könyv (Orange Book), TCSEC, (Trusted Computer System Evaluation Criteria)1 d. ITSEC, e. Common Criteria (Közös Követelményrendszer, Általános biztonsági kritérium rendszer), ISO/IEC 154082 f. ITIL (IT Infrastructure Library) - az informatikai szolgáltatások menedzsmentjének szabványa g. A COBIT h. CERT-CC ( Computer Emergency Response Team Coordination Center,)3 i.
US NSA (National Security Guidelines) informatikai biztonsági útmutatói4
j.
RFC2196 (Request for Comments, Site Security Handbook) az Internet Engineering Task Force (Internet tervezési akció csoport) ipari szabvány javaslata5 az Internetbe bekapcsolt számítógép telephelyek, létesítmények biztonságáról
k. Az NSZK kormánya által publikált informatikai biztonsági dokumentumok.6
Informatikai szabványok:
1
http://www.dynamoo.com/orange/ (2006. július 16.), http://www.fas.org/irp/nsa/rainbow.htm 2
A magyar adaptáció a MIBÉTS ld. http://www.itktb.hu/engine.aspx?page=dokumentumtar&docstorefolder=10 (2006.10.29.) 3
http://www.cert.org/nav/allpubs.html http://www.tscm.com/NSAsecmanual1.html (2006.10.29.) 5 http://www.ietf.org/rfc.html , http://www.ietf.org/rfc/rfc2196.txt?number=2196 6 http://www.bsi.bund.de/english/publications/bsi_standards/index.htm, http://www.bsi.bund.de/gshb/index.htm 4
20
•
ISO 9000: 2000 (minőségirányítás);
•
MSZ ISO/IEC 12207: 2000 (szoftverek életciklusa);
•
ISO 6592 (programdokumentálás);
•
ISO 9126 (informatikai rendszerek minőségi kritériumai);
•
BS 7738-1: 1994 (Specification for information systems products using SSADM)
•
Information technology -- Open Distributed Processing -- Unified Modeling Language (UML) Version 1.4.2 ISO/IEC 19501. 7;
•
PRINCE (projektvezetési módszertan);
•
BS ISO/IEC TR 15504-5:1999 (Information technology. Software process assessment. An assessment model and indicator guidance)
•
ISO/IEC 12207:1995/Amd 1:2002 - A szabvány tovább fejlesztett változata
•
ISO/IEC TR 15271:1998 Information technology -- Guide for ISO/IEC 12207 (Software Life Cycle Processes) - Útmutató ISO/IEC 12207 szoftver életciklus modell szabvány alkalmazásához
•
ISO/IEC TR 16326:1999 Software engineering - Guide for the application of ISO/IEC 12207 to project management — Útmutató 12207 szoftver életciklus modell szabvány alkalmazásainak projektirányítási kérdéseihez.
1.7 Az IBSZ alkalmazása (1) Az IBSZ rendelkezéseit minden újonnan létesített informatikai rendszer esetében teljes körűen alkalmazni kell. A szabályozás hatályba lépésének időpontjában már üzemeltetett rendszer esetében egyedi eltérés az ágazatban az Informatikai Biztonsági Felelős, (a továbbiakban IBF) előterjesztése alapján az illetékes főigazgató-helyettes engedélyével lehetséges.
(2) Az ágazat önálló jogi személyű szervezeti egységei, regionális szervezetei a helyi sajátosságoknak megfelelően a jelen IBSZ-t kiegészíthetik. A kiegészítés kötelező, ha erre a jelen IBSZ utalást tartalmaz. A helyi sajátosságokat visszatükröző különös szabályozást a jelen szabályzattal megegyező szerkezetben kell közzé tenni.
(3) Az IBSZ megismertetéséről a szervezetek vezetői gondoskodjanak. (4) A szervezetek belső és külső ellenőrzése során az informatikai védelem, óvintézkedések és az ellenőrzési mechanizmusok kérdéseit is vizsgálni kell. Ennek érdekében az ellenőrzési el7
http://www.iso.org/iso/en/CatalogueDetailPage.CatalogueDetail?CSNUMBER=32620 (2006. július 16.) 21
járásokba az informatikai biztonságot és az Informatikai Biztonsági Felelős részvételét szervesen be kell építeni.
(5) A vonatkozó informatikai biztonsági követelményeket a rendszerek fejlesztési és az alkalmazási dokumentációiban is meg kell jeleníteni.
(6) Az IBSZ-t és annak helyi kiegészítéseit évente felül kell vizsgálni, és a gyakorlati tapasztalatok, az előfordult biztonsági események, a jogszabályi környezet változásai, a technikai fejlődés, az alkalmazott új informatikai eszközök, új programrendszerek, fejlesztési és védelmi eljárások, stb. miatt szükségessé váló módosításokat el kell végezni.
(7) Az IBSZ módosítására az illetékes IBF tesz javaslatot a szervezet vezetőjének. Az alacsonyabb szintű szervezet vezetője a javaslatot szükség esetén magasabb szintű szabályozásra továbbítsa.
(8) Azokban a kivételes esetekben, amikor valamilyen okból időlegesen szükségessé válik egyes szakmai rendszerek (programok) nem az eljárásrend szerinti használata (pl. az adatbázis utólagos, manuális módosítása, a dátum bejegyzések átállítása, stb.), ezt az illetékes szervezeti egység8 vezetője (vagy felhatalmazottja) engedélyezheti az Informatikai és Rendszerfejlesztési Főigazgató helyettes ellenjegyzésével. A döntés előkészítésbe az IBF-et be kell vonni.
1.8 A szabályzat napra készen tartása Az ONYF Informatikai Biztonsági Szabályzatának napra készen tartása érdekében •
figyelembe kell venni a szervezeti követelmények és prioritások változásait,
•
meg kell fontolni az új fenyegetéseket és sebezhetőségeket,
•
visszaigazolást kell szerezni arról, hogy az óvintézkedések hatékonyak és megfe-
lelőek maradtak-e. Az ONYF Informatikai Biztonsági Szabályzatának gazdája az Informatikai Biztonsági Felelős (IBF), az ő feladata a szabályzat aktualizálása, napra készen tartása és meghatározott rendszerességgel a felülvizsgálati eljárás szerinti felülvizsgálata. Dokumentált folyamattal kell gondoskodni arról, hogy a felülvizsgálat az eredeti kockázatfelmérés alapjára ható minden olyan változásra bekövetkezzék, mint például jelentős biztonsági esemény vagy rendkívüli esemény, a szervezeti vagy műszaki infrastruktúra újabb sebezhetőségei vagy változásai. Célszerű időszakos felülvizsgálatokat is beütemezni a következőkre: •
a szabályzat eredményességére, a feljegyzett biztonsági események és rendkívüli események természete, száma és hatása alapján;
8
A szervezeti, ügyviteli folyamat, ügymenetért felelős szervezeti egység 22
•
az óvintézkedések költségeire és hatására (miként hat az óvintézkedés a szervezeti működés hatékonyságára és eredményességére);
•
a technológiai változások hatásainak következményeire.
1.9 Fogalmi értelmezések A szabályzatban alkalmazott informatikai biztonsággal kapcsolatos kifejezések értelmezése: Adat
Meghatározható, leírható elemi tulajdonság, adottság, személytelen tényt közlő ismeret, illetve tények, fogalmak, összefüggések formalizált reprezentációja, amely alkalmas személyek-, és az informatikai eszközök által történő kezelésre, feldolgozásra. Olyan jelsorozat (pl. bit, byte, egyéb betű és írásjel stb.), amely lehetőséget teremt információ előállítására.
Adatállomány
Az egy nyilvántartó rendszerben kezelt adatok összessége; Adathordozón tárolt adatok halmaza, amelyet azonosító névvel láthatnak el
Adatátvitel
Adatok továbbítása összeköttetéseken, összekötő utakon (például számítógépek között) információtechnológiai eszközök segítségével.
Adatbázis
Egy vagy több adatállomány összessége, amelyet erre alkalmas kezelőszoftverrel humán szereplő számára értelmezhető formában elérhetővé, megjeleníthetővé lehet tenni.
Adatbiztonság
Az adatok jogosulatlan megszerzése, módosítása és tönkretétele illetve véletlen meghibásodása elleni műszaki és szervezési intézkedések és eljárások együttes rendszere.
Adatbiztonsági
Szélesebb értelemben azon intézkedések összessége, amelyek célja az adatbiz-
óvintézkedés
tonság szavatolása. Szűkebb értelemben az az intézkedés, amelynek megvalósítása során az adatokat biztonsági okokból (rendelkezésre állás és sértetlenség) rendszeresen átmásoljuk.
Adatfeldolgozás
Az adatkezelési műveletekhez kapcsolódó technikai feladatok elvégzése, függetlenül a műveletek végrehajtásához alkalmazott módszertől és eszköztől, valamint az alkalmazás helyétől; Az adatok gyűjtése, rendszerezése, módosítása, tárolása, archiválása, törlése.
23
Adatfeldolgozó
Az a természetes vagy jogi személy, illetve jogi személyiséggel nem rendelkező szervezet, aki, vagy amely az adatkezelő megbízásából - beleértve a jogszabály rendelkezése alapján történő megbízást is - a személyes adatok feldolgozását végzi;
Adathalmaz
Valamilyen adatfeldolgozási folyamat részére rendelkezésre álló adatok öszszessége.
Adatkezelés
Az adatokon végzett bármely művelet vagy a műveletek összessége az alkalmazott eljárástól függetlenül, így az adatok gyűjtése, felvétele, rögzítése, rendszerezése, tárolása, megváltoztatása, felhasználása, továbbítása, nyilvánosságra hozatala, összehangolása vagy összekapcsolása, zárolása, törlése és megsemmisítése, valamint az adatok további felhasználásának megakadályozása. Adatkezelésnek számít a fénykép, hang- vagy képfelvétel készítése, valamint a személy azonosítására alkalmas fizikai jellemzők (pl. ujj- vagy tenyérnyomat, DNSminta, íriszkép) rögzítése is;
Adatkezelő
Az a természetes vagy jogi személy, illetve jogi személyiséggel nem rendelkező szervezet, aki, vagy amely az adatok kezelésének célját meghatározza, az adatkezelésre (beleértve a felhasznált eszközt) vonatkozó döntéseket meghozza és végrehajtja, vagy az általa megbízott adatfeldolgozóval végrehajtatja;
Adatmegsemmisí- Az adatok vagy az azokat tartalmazó adathordozó teljes fizikai megsemmisítétés
se;
Adatszolgáltatás
Egy személyre, vagy személyek meghatározott körére vonatkozóan nyilvántartott adatokról történő információnyújtás;
Adattovábbítás
Ha az adatot meghatározott harmadik személy számára hozzáférhetővé teszik;
Adattörlés
Az adatok felismerhetetlenné tétele oly módon, hogy a helyreállításuk többé nem lehetséges;
Adatvédelem
Az adatok kezelésével kapcsolatos törvényi szintű jogi szabályozás formája, amely az adatok valamilyen szintű, előre meghatározott csoportjára vonatkozó adatkezelés során érintett személyek jogi védelmére és a kezelés során felmerülő eljárások jogszerűségeire vonatkozik. A személyes adatok kezelésének korlátozását, az érintett személyek jogi védelmét, illetőleg információs önrendelkezésük gyakorlását biztosító szabályok, eljárások, eszközök és módszerek összessége;
24
Adatzárolás
Az adatok továbbításának, megismerésének, nyilvánosságra hozatalának, átalakításának, megváltoztatásának, megsemmisítésének, törlésének, összekapcsolásának vagy összehangolásának és felhasználásának véglegesen vagy meghatározott időre történő lehetetlenné tétele;
Alkalmazói prog- Olyan program, amelyet az alkalmazó saját speciális céljai érdekében vezet be, ram (alkalmazói és amely a hardver és az üzemi rendszer funkcióit használja. szoftver) Bejelentkezés
Az informatikai rendszer és egy felhasználó között ez utóbbi által olyan kapcsolat kezdeményezése, amelynek során számára az informatikai rendszer funkcióinak használata lehetővé válik, valamint a felhasználó személy egyértelműen azonosítható. Személyek belépése olyan területekre, például helyiségekbe, amelyekben az in-
Belépés
formatikai rendszert, illetve egyes elemeit tárolják, vagy használják. Belső adatvédel- Az a személy, akit az ONYF főigazgatója az ágazati adatvédelmi feladatok ellámi felelős
tásával megbíz
Betekintés
Egy adott személy nyilvántartott adatainak részleges vagy teljes körű megtekintése;
Bizalmasság (bi- Az adat létezését vagy tartalmát csak meghatározott személyek meghatározott zalmas
adatok biztonsági szinten ismerhetik meg.
kezelése) Bizonyítható azo- A hozzáférési folyamat jogosultság ellenőrzése során olyan azonosítási eljárás, amelynek segítségével kétséget kizáróan, utólag is bizonyítható a felhasználó,
nosítás
illetve a szolgáltatást igénybevevő kiléte. Bűnügyi
szemé- A büntetőeljárás során vagy azt megelőzően a bűncselekménnyel vagy a bünte-
lyes adat
tőeljárással összefüggésben, a büntetőeljárás lefolytatására, illetőleg a bűncselekmények felderítésére jogosult szerveknél, továbbá a büntetés-végrehajtás szervezeténél keletkezett, az érintettel kapcsolatba hozható, valamint a büntetett előéletre vonatkozó személyes adat;
Egyenszilárdság
Az egyenszilárdság elve kimondja, hogy a biztonságnak a szervezet tevékenységét teljesen át kell fognia, és annak minden pontján azonos erősségűnek kell lennie;
Elektronikus
az adatok elektronikus, mágneses vagy optikai rögzítésére, tartós tárolására
adathordozó
szolgáló eszköz;
25
Az a személy, aki egy vagy több informatikai rendszert használ feladatai meg-
Felhasználó
oldásához. Fizikai és logikai Az ágazat tulajdonában álló informatikai berendezést és annak elérését valamint hozzáférés
működtetéséhez való jogosultságot értünk rajta.
Hálózat
Két vagy több számítógép, vagy általánosabban informatikai rendszerek összekapcsolása információtechnológiai eszközökkel, amely a komponensei közötti adatcserét teszi lehetővé.
Hardver
Az informatikai rendszer fizikai elemei, műszaki berendezések.
Harmadik ország
Minden olyan ország, mely nem tagja az Európai Gazdasági Térségnek;
Harmadik
Olyan természetes vagy jogi személy, illetve jogi személyiséggel nem rendel-
sze-
mély (külső fél)
kező szervezet, amely, vagy aki nem azonos az érintettel, az adatkezelővel vagy az adatfeldolgozóval; Olyan eljárás, amely a felhasználó számára, jogosultsága függvényében elérhe-
Hozzáférés
tővé teszi az informatikai rendszer erőforrásait. Hozzájárulás
Az érintett kívánságának önkéntes és határozott kinyilvánítása, amely megfelelő tájékoztatáson alapul, és amellyel félreérthetetlen beleegyezését adja a rá vonatkozó személyes adatok - teljes körű vagy egyes műveletekre kiterjedő - kezeléséhez;
Igazgatási vek
szer-
Az a személy, akit az igazgatási szerveknél az igazgatási szerv vezetője az
adatvédelmi adatvédelmi feladatok ellátására kijelöl;
előadója Információ
Új ismeretté értelmezett adat, azaz az a jelentés, amit az adatnak tulajdonítunk, és amely ennek révén a külvilágról alkotott ismeretek bizonytalanságát csökkenti.;
Információrend-
Azon eljárások, tevékenységek összessége, amelyek a szervezet működtetésé-
szer
hez és irányításához szükséges információkat tárolják, előállítják és szétosztják.
Információtech-
A fogalom az informatikában a technológiai elemekre helyezi a hangsúlyt, va-
nológia
gyis a hardver, szoftver, távközlési, telekommunikációs és hálózati elemekre, amelyek a számítógépek fogalmát jelentős mértékben kiterjesztették.
26
Információvé-
Az adatok bizalmas kezelése iránti igény alapján történő osztályozás.
delmi osztályok
IV-A (Információ Védelmi Alapbiztonsági osztály) Személyes adatok, ügyviteli titkok, pénzügyi adatok, illetve az intézmény belső szabályozásában hozzáféréskorlátozás alá eső és nyílt adatok feldolgozására, tárolására alkalmas rendszer biztonsági osztálya. IV-F (Információ Védelmi Fokozott biztonsági osztály) Szolgálati titok, különleges vagy nagy tömegű személyes adatok, banktitok, közepes értékű ügyviteli titkok feldolgozására, tárolására alkalmas rendszer biztonsági osztálya. IV-K (Információ Védelmi Kiemelt biztonsági osztály) Államtitok, katonai szolgálati titok, nagy tömegű különleges személyes adatok, nagy értékű ügyviteli titkok feldolgozására, tárolására alkalmas rendszer biztonsági osztálya.
Informatika
Informatika alatt, az információ rendszeres és automatikus - elsősorban számítógépek segítségével történő - rögzítésével, tárolásával, feldolgozásával és továbbításával foglalkozó tudományt értjük.
Informatikai biz- Az informatikai rendszer olyan állapota, amelyben az adatokhoz minden felhasználó kizárólag jogosultsága mértékében képes hozzáférni. Az adatok egyéb
tonság
módon nem változnak és hitelességük megállapítható. Informatikai Fő- Az adatvédelmi előadó az a személy, akit munkaköri leírásában az Informatikai osztály
adatvé- Főosztály vezetője az ONYF vonatkozásában ezzel a feladattal megbíz,
delmi előadója Informatikai
A hardverek és szoftverek olyan kombinációjából álló rendszer, amit az adat-
rendszer
illetve információ-feldolgozás különböző feladatainak teljesítésére alkalmazunk.
Közérdekből nyil-
A közérdekű adat fogalma alá nem tartozó minden olyan adat, amelynek nyil-
vános adat
vánosságra hozatalát vagy hozzáférhetővé tételét a törvény közérdekből elrendeli.
Közérdekű adat
Az állami vagy helyi önkormányzati feladatot, valamint jogszabályban meghatározott egyéb közfeladatot ellátó szerv vagy személy kezelésében lévő, valamint a tevékenységére vonatkozó, a személyes adat fogalma alá nem eső, bármilyen módon vagy formában rögzített információ, vagy ismeret, függetlenül kezelésének módjától, önálló vagy gyűjteményes jellegétől.
27
Különleges adat
a) A faji eredetre, a nemzeti és etnikai kisebbséghez tartozásra, a politikai véleményre, vagy pártállásra, a vallásos vagy más világnézeti meggyőződésre, az érdekképviseleti szervezeti tagságra, b) az egészségi állapotra, a káros szenvedélyre, a szexuális életre vonatkozó adat, valamint a bűnügyi személyes adat.
LAN
(Local Area Network) Helyi számítógép hálózat.
Logikai bomba
A vírus olyan része illetve szerkezete, amelyik időhöz, esemény bekövetkezéséhez, logikai változó adott értékéhez kötött módon aktivizálódik.
Megbízható mű-
Az informatikai rendszernek a felhasználói követelményeknek megfelelő, egy
ködési osztályok
hónapi üzemidőre vonatkoztatott rendelkezésre állás és a hiba estén megengedett kiesési idő szerint történő osztályozása. MM-A Megbízható Működési Alapbiztonsági osztály, olyan működési feltételek biztosítását jelenti, amelynél a rendelkezésre állás 95,5 %-os, és a havonta megengedett kiesési idő 23,8 óra. MM-F Megbízható Működési Fokozott biztonsági osztály, olyan működési feltételek biztosítását jelenti, amelynél a rendelkezésre állás 99,5 %-os, és a havonta megengedett kiesési idő 2,6 óra, de egy alkalommal csak 30 perc lehet. MM-K Megbízható Működési Kiemelt biztonsági osztály, olyan működési feltételek biztosítását jelenti, amelynél a rendelkezésre állás 99,95 %-os, és a havonta megengedett kiesési idő 16 perc, és egy alkalommal sem haladja meg az 1 percet.
Minősített adat
A köziratokról, a közlevéltárakról és a magánlevéltári anyag védelméről szóló törvényben meghatározott köziratban szereplő, államtitkot, vagy szolgálati titkot tartalmazó adat.
Működőképesség
A rendszernek és elemeinek az elvárt és igényelt üzemelési állapotban való fennmaradása. A működőképesség fogalom sok esetben azonos az üzembiztonság fogalommal.
Nyilvánosságra
Ha az adatot bárki számára hozzáférhetővé teszik.
hozatal Pótlólagos szoft- Olyan kiegészítő szoftver, amelyet a védelem erősítésének érdekében alkalmazver
nak.
Program
Eljárási leírás, amely valamely informatikai rendszer által közvetlenül vagy átalakítást követően végrehajtható.
28
Rendelkezésre ál- Az a tényleges állapot, amikor információk vagy adatok elérhetősége és a rendlás
szer működőképessége sem átmenetileg, sem pedig tartósan nincs akadályozva.
Rendszergaz-
A szervezet vezetője által megbízott, a rendszerek üzemletetéséért felelős sze-
da/informatikus
mély.
Rendszerprogram Olyan alapszoftver, amelyre szükség van, hogy valamely informatikai rendszer (rendszerszoftver) hardvereit használhassuk és az alkalmazói programokat működtessük. A rendszerprogramok legnagyobb részét az operációs rendszerek alkotják. Sértetlenség (adatok
Az információk sértetlensége alatt azt a fogalmat értjük, hogy az információkat,
épsége, adatokat illetve a programokat csak az arra jogosultak változtathatják meg és
integritás)
azok véletlenül nem módosulnak.
SLA
Service Level Agreement = Szolgáltatási Szint Szerződés. meghatározza a Megrendelő elvárásait és a szolgáltatási szint menedzser ill. a Megrendelő kötelezettségeit (azaz nevesíti a szerződés kereteit), valamint kölcsönösen elfogadott alapot határoz meg a szolgáltatások minőségének méréséhez. Hosszú távon segítséget jelent az informatikai szolgáltatások színvonalának emeléséhez.
Számítógépes ví-
Egy felhasználói program részévé vált, illegálisan készült és terjesztett prog-
rus
ramtörzs. A felhasználói program használata során „fertőz”, sokszorozva önmagát (lehet mutáns is) átterjedhet más, az informatikai rendszerben lévő rendszervagy felhasználói programra. Módosíthatja, vagy törölheti az adatot, a szoftvert; a számítógép és a kapcsolódó rendszerek, hálózatok működését korlátozza vagy meggátolja. Az adatok hitelessége, sértetlensége, bizalmassága a vírusfertőzés nyomán sérülhet;
Személyes adat
Bármely meghatározott (azonosított vagy azonosítható) természetes személlyel (a továbbiakban érintett) kapcsolatba hozható adat, az adatból levonható, az érintettre vonatkozó következtetés. A személyes adat az adatkezelés során mindaddig megőrzi e minőségét, amíg kapcsolata az érintettel helyreállítható. A személy különösen akkor tekinthető azonosíthatónak, ha őt - közvetlenül vagy közvetve - név, azonosító jel, illetőleg egy vagy több, fizikai, fiziológiai, mentális, gazdasági, kulturális vagy szociális azonosságára jellemző tényező alapján azonosítani lehet.
29
Személyesadat-
Személyes adatok bármilyen módon strukturált, funkcionálisan vagy földrajzi-
nyilvántartó
lag centralizált, decentralizált vagy szétszórt állománya, amely meghatározott
rendszer
(nyil- ismérvek alapján hozzáférhető.
vántartó
rend-
szer) Szoftver
Valamely informatikai rendszer olyan logikai része, amely a működtetés vezérléséhez szükséges.
Tartomány
(Domain) Egy hálózat kiszolgáló-gépeit és munkaállomásait tartalmazó logikai csoport, amely egy közös biztonsági és bejelentkezési nyilvántartórendszert használ.
Tiltakozás
Az érintett nyilatkozata, amellyel személyes adatainak kezelését kifogásolja és az adatkezelés megszüntetését, ill. a kezelt adatok törlését kéri.
Trójai faló
Olyan programtörzsek, amelyeket készítője illegálisan épített be az általa tervezett programba és a felhasználó szándéka ellenére és tudta nélkül hajt végre illegális feladatokat (adattörlés, illegális lemezművelet, program megsemmisítés, stb.).
Védelmi mecha- Olyan védelmi intézkedések, amelyeket biztonsági szabványok határoznak meg nizmusok
a hardver és szoftver gyártó cégek pedig termékeik előállítása során építik be és szolgáltatják a felhasználók részére.
Védett adat
Mindazok az adatok - megjelenési formájuktól függetlenül - amiket az adott intézmény különböző szabályzataiban védendőnek ítél meg.
Vírus
Olyan programtörzs, amely illegálisan készült egy felhasználói program részeként. A felhasználói program alkalmazása során átterjedhet, "megfertőzhet" más, az informatikai rendszerben lévő rendszer- illetve felhasználói programot, sokszorozva önmagát (lehet mutáns is) és a logikai bomba hatás révén egy beépített feltételhez kötötten (pl. konkrét időpont, szabad lemezterületi helyek száma, stb.) trójai faló hatást indít el.
WAN
(Wide Area Network) Nagy távolságú számítógép hálózat.
30
2
Az informatikai biztonság az ágazatban (szervezetbiztonság)
Az informatika és az információrendszerek környezet biztonsága a szervezeti egységek, a biztonság meghatározó területein dolgozó szakszemélyzet, valamint minden munkatárs, szabályozott tevékenységén keresztül valósul meg. A szervezetek vezetői egyetemleges felelősségük keretében felelősek az alárendelt szervezet biztonságáért, ezen belül különösen a feltételek biztosításáért és az ellenőrzések megtételéért.
2.1 Az ONYF szervezeti egységeinek és az igazgatási szervek vezetőinek kötelessége 2.1.1
AZ ONYF SZERVEZETI EGYSÉGEINEK VEZETŐI, ÉS AZ IGAZGATÁSI SZERVEK
Kötelesek a jelen szabályzatban foglaltak betartásáról és alkalmazásáról - saját hatáskörben intézkedni. Kötelesek továbbá az igazgatási szervnél lévő speciális eszközökre és alkalmazásokra, illetve munkafolyamatokra vonatkozóan – a műszaki és szervezeti változásokra való tekintettel – az igazgatási szerv jelenlegi „Adatvédelmi és Információszabadsági Szabályzat”át e szabályzat kiadásának időpontjában felülvizsgálni, a szükséges módosításokat átvezetni, és a belső adatvédelmi felelősnek megküldeni. Ezzel párhuzamosan az igazgatási szervek adatvédelmi előadói munkaköri leírását a szabályzatnak megfelelően, ha szükséges, módosítani kell. Az igazgatási szerv vezetője által kiadott helyi IBSZ szabályzat végrehajtását helyi szinten az informatikai biztonsági összekötő és az adatvédelmi előadó ellenőrzi, aki a szabályzatban foglaltak maradéktalan betartásáért felelősséget viselnek. Az igazgatási szerv vezetőjének, IBÖ-nek vagy az adatvédelmi előadónak a szabályzattól való eltérést, vagy a személyes adatokat érintő, rendkívüli esemény bekövetkeztét haladéktalanul jeleznie kell a belső adatvédelmi felelősnek, illetőleg az IBF-nek. A rendkívüli eseményekről a belső adatvédelmi felelős és az IBF nyilvántartást vezet. Ha az igazgatási szerv biztonsági összekötője vagy az adatvédelmi előadója a hatáskörébe tartozó feladatok, ellenőrzések végrehajtását elmulasztja, vagy a szabályzattól való eltérést vezetője felé írásban haladéktalanul nem jelzi, akkor vele szemben a köztisztviselők jogállásáról szóló 1992.évi XXIII. törvény fegyelmi és kártérítési felelősségéről szóló IV. fejezetében foglaltak szerint kell eljárni.
31
Az „Adatvédelmi és információszabadsági” szabályzatban foglalt előírások betartásának ellenőrzéséről az igazgatási szervek adatvédelmi előadói gondoskodnak. A szabályzatban előírtak teljesülését a belső adatvédelmi felelős, valamint az Ellenőrzési Főosztály belső ellenőrzési munkatársa az éves tervbe illesztve vizsgálja, és annak eredményéről a főigazgatónak jelentést tesz. A dolgozók számára az adatvédelemmel és adatbiztonsággal kapcsolatos oktatás oktatási tervbe illesztése az ONYF igazgatási szervei vezetőjének, illetőleg az Informatikai Főosztály vezetőjének javaslatára ONYF Humánpolitikai és Képzési Főosztályának feladata.
2.1.2
KAPCSOLÓDÁS A TERVEZÉSI TEVÉKENYSÉGEKHEZ Az Informatikai Biztonsági Szabályzatnak (IBSZ) az ONYF Informatikai Biztonsági
Politikájához kell kapcsolódnia, és meg kell felelnie az informatikai stratégiában megfogalmazott célkitűzéseknek és elvárásoknak. Ezeknek a dokumentumoknak a változtatása, karbantartása az IBSZ aktualizálását is megköveteli. A rövid és középtávú fejlesztési tervek, projektek is közvetlen hatást gyakorolhatnak a biztonságra, tehát ezeket folyamatosan figyelemmel kell kísérni, és az új kezdeményezésekből, aktualizált tervekből fakadó közvetlen kihívásokat és lehetőségeket is fel kell tárni az IBSZ naprakészen tartása érdekében.
2.2 AZ INFORMATIKAI BIZTONSÁG INFRASTRUKTÚRÁJA Az ONYF-en és az önálló szervezeti egységeinél, a vezetők biztonsággal összefüggő tevékenységét, a szervezeti egység vezetőjének, vagy a biztonságért felelős helyettesének munkáját IBF támogatja. Munkaköri leírását a jelen szabályzatnak megfelelően, ha szükséges, módosítani kell. Az igazgatási szervezetei vezetője által kiadott szabályzat végrehajtását az , helyi szinten, az IBÖ ellenőrzi. Részt vesz a biztonsággal kapcsolatos vezetői döntések előkészítésben, kivizsgálja a biztonsági eseményeket, elvégzi a rendszeres biztonsági ellenőrzéseket, és hatáskörében intézkedik, vagy javaslatot tesz a hibák kijavítására. Munkája során szorosan együttműködik a biztonság megvalósításában kulcsszerepet játszó informatikai- (informatikai vezető, tartomány-, rendszer-, és adatbázis-adminisztrátor, szakmai rendszerfelelős) és egyéb szakszemélyzettel.
32
2.2.1
AZ INFORMATIKAI BIZTONSÁG VEZETŐI FÓRUMA (BIZTONSÁGI BIZOTTSÁG)
A biztonsági vezetői fórum szerepét az Informatikai és Rendszerfejlesztési főigazgatóhelyettes és az illetékes főosztály és osztályvezetőkből álló bizottság látja el, elnöke az Informatikai és Rendszerfejlesztési főigazgató-helyettes. Biztonsági Bizottság: a) felülvizsgálja és jóváhagyja az Informatikai Biztonsági Szabályzatot és a szervezet egészére vonatkozó biztonsági feladat-, hatás-, és felelősségi-köröket; b) figyelemmel kíséri azokat a lényeges technológiai, társadalmi és szocio-technológiai tendenciákat, trendeket, változásokat, amelyek abban nyilvánulnak meg, hogy a szervezet informatikai és információvagyonának kitettsége, veszélyeztetettsége növekszik a jelentősebb fenyegetések tekintetében; c) kivizsgálja és nyomon követi a rendkívüli és egyéb biztonsági eseményeket; d) jóváhagyja az informatikai biztonságot erősítését célzó javaslatokat, tervezeteket, kezdeményezéseket. Az Informatikai és Rendszerfejlesztési főigazgató-helyettes a felelős általánosan minden informatikai biztonsági tevékenységért.
2.2.2
AZ INFORMATIKAI BIZTONSÁG ÖSSZEHANGOLÁSA
A Biztonsági Bizottság alapvető szabályozó eszköze az IBSZ, mellékletei illetve az IBSZ-ből származtatott részletesebb utasítások, feladatai: a) kijelöli és megfogalmazza azokat a sajátos szerepeket és felelősségeket, amelyek az informatikai biztonsághoz kötődnek, elsősorban az IBSZ-ben kodifikálódnak illetve ad hoc intézkedésekhez kapcsolódnak; b) meghatározza azokat módszereket és folyamatokat, amelyek az informatikai biztonság területéhez kapcsolódnak, azonban az IBSZ-ben nincs elegendő terjedelem a kifejtésükre: kockázatbecslés, értékelés, biztonsági osztályozási rendszer; c) az egész szervezetre kiterjedően határozza meg és támogatja az informatikai biztonsághoz kötődő tevékenységeket, például biztonsági népszerűsítő és a biztonság tudat erősítését célzó programokat; d) gondoskodik arról, hogy a biztonság része legyen az informatikai tervezés folyamatának; e) értékeli az új rendszerek és szolgáltatások számára kiválasztott sajátos informatikai biztonsági óvintézkedések alkalmasságát, és összehangolja megvalósításukat;
33
f) foglakozik a rendkívüli és egyéb biztonsági eseményekkel, szükség esetén részletes kivizsgálásukat illetve az eljárások felülvizsgálatát kezdeményezi; g) rendszeres tájékoztatást nyújt a szervezetben az informatikai biztonsággal kapcsolatos munkafolyamatokról, szervezeti és informatikai folyamatokról, az átláthatóság és érthetőség végett.
2.2.3
AZ INFORMATIKAI BIZTONSÁGI FELELŐSSÉGEK KIOSZTÁSA
A jelen szabályzatban, az IBSZ-ben kell szabályozni: Az informatikai, az információvagyon és a szervezeti biztonsági folyamatokért felelős vezetői pozíciókat. Ki kell térni a következő területekre: a) Azonosítani kell és egyértelműen meg kell határozni minden egyes önálló informatikai vagy információrendszerhez hozzárendelt különböző informatikai és információvagyon elemeket és a biztonsági folyamatokat. b) Az egyes informatikai és információvagyon elemekért és az egyes biztonsági folyamatokért felelős vezető személyét meg kell határozni, s a vonatkozó feladat-, hatás- és felelősségi-körét dokumentálni kell. c) Egyértelműen meg kell határozni, és dokumentálni kell a jogosultsági szinteket.
2.2.4
AZ
INFORMATIKAI ÉS INFORMÁCIÓ-FELDOLGOZÓ ESZKÖZÖK HASZNÁLATÁHOZ
SZÜKSÉGES JOGOSULTSÁGOK MEGHATÁROZÁSÁNAK ÉS KIBOCSÁTÁSNAK FOLYAMATA
Az információ-feldolgozó és egyéb informatikai eszközök esetében jogosultság-kezelési folyamatot kell kialakítani. Mind az új mind a régi informatikai eszközöknek legyen olyan engedélye a felhasználói részlegek, a szervezeti folyamatgazdák és az illetékes informatikai részleg vezetők részéről, amely engedélyezi az eszközöket az adott célra és adott használatra. Annak érdekében, hogy valamennyi érvényes biztonsági szabályzatnak és követelménynek megfeleljenek, még a helyi információrendszer biztonsági környezetének fenntartásáért felelős vezető jóváhagyását is meg kell kapni. Ahol szükséges, a szóban forgó informatikai eszközhöz tartozó hardver és szoftver elemeket is ellenőrizni kell az IBSZ-ben és más egyéb szabályzatban, ajánlásban előírt megfelelőség szempontjából, ezzel biztosítva azok kompatibilitását más rendszer-elemekkel.
34
A szervezet felelősségi körébe tartozó információk feldolgozását végző körletekben, környezetekben különös engedélyeztetési eljárásban lehet ideiglenesen jóváhagyni ún. személyes információfeldolgozó eszközök használatát9 és a szükséges óvintézkedéseket. A munkahelyen a személyes tulajdonban álló információ-feldolgozó eszközök használatát általában tilalmazni kell.
2.2.5
SZERVEZETKÖZI EGYÜTTMŰKÖDÉS
Elsősorban a közigazgatás, az e-közigazgatás illetékes szervezeteivel és vezetőivel kell fenntartani a kapcsolatot.10 Ezenkívül kapcsolatokat kell fenntartani a jogalkalmazó hatóságokkal, szabályozó testületekkel, informatikai szolgáltatókkal, távközlő-hálózat üzemeltetőkkel annak érdekében, hogy szükség esetén a megfelelő tevékenységeket gyorsan el lehessen végezni, és minden rendkívüli és egyéb biztonsági esemény esetében tanácsot lehessen kapni. A Biztonsági bizottságnak mérlegelnie kell, hogy a szervezet milyen biztonsági kérdésekkel foglalkozó szakmai szervezetekhez csatlakozik esetleg. A szervezetről szóló biztonsági kérdéseket érintő információcserét korlátozni és szabályozni kell annak érdekében, nehogy a szervezetről bizalmas információ juthasson el illetéktelen személyekhez.
2.2.6
AZ INFORMATIKAI BIZTONSÁG FÜGGETLEN FELÜLVIZSGÁLATA
A Biztonsági Bizottságnak az IBSZ megvalósítása megfelelőségének leellenőrzésére független vizsgálatot célszerű kezdeményeznie azért, hogy vajon a szervezet gyakorlata helyesen tükrözi-e a szabályzatot, és hogy a szabályzat kivitelezhető-e és eredményes-e.
Ezt a felülvizsgálatot el lehet végezni belső auditálásként, egy független vezető irányítása alatt, vagy egy külső (harmadik, azaz az informatikai funkciótól/részlegtől és a szervezettől független fél) szervezet is végrehajtja, amely rendelkezik a szükséges auditálási és biztonsági szakértelemmel.
9
A technológia jelenlegi állása szerint: USB eszközök (félvezető memóriák, chip, memória kártyák, hordozható külső lemezek, CD/DVD). 10 Az IBSZ készítésekor ilyen az info-kommunikációs kormánybiztos, kormányzati informatikai biztonsági felügyelő 35
2.3 Külső szervezet hozzáférési biztonsága Az informatikai szolgáltatás igénybevétele különböző formákat ölthet, szerződéses partnerség, alvállalkozás, szolgáltatás kihelyezés, kiszervezés, a magán és közszféra partneri viszonyára alapuló szerződéses kapcsolat stb.
Célkitűzés: Fenntartani a szervezet olyan információ-feldolgozó eszközeinek és információvagyonának biztonságát, amelyek a külső fél számára hozzáférhetők. A szervezet információ-feldolgozó eszközeit ellenőrzött környezetben és módon lehet csak a külső fél számára hozzáférhetővé tenni.
Ahol indokolt az, hogy külső fél számára hozzáférhetővé tegyenek informatikai- és információerő-forrásokat, azokon a területeken kockázatfelmérést, értékelést és elemzést kell végezni annak meghatározására, hogy milyen a információ-hozzáférhetőségének biztonsági kihatása és milyen ellenőrzési mechanizmusokat kell megvalósítani. A külső féllel kötött szerződésben az alkalmazott óvintézkedéseket (ellenőrzési mechanizmusokat) rögzíteni kell a felettes és az egyéb szabályozó hatóságok követelményeivel összhangban és az óvintézkedéseket meg kell határozni.
A külső félnek adott hozzáférési engedély lehetővé teheti azt, hogy további partnerek is kaphassanak hozzáférési jogosultságokat. A külső féllel kötött szerződésnek ezért magában kell foglalnia azt az engedélyezési és jóváhagyási eljárást, amelynek révén a szervezet hozzájárul a külső szerződő félen keresztül megjelenő más partner szervezetek számára az esetleg szükséges hozzáférési jogosultságok megadásához és megszabja hozzájuk kapcsolódó feltételeket.
2.3.1
KÜLSŐ
SZERVEZET SZÁMÁRA ENGEDÉLYEZETT HOZZÁFÉRÉSI JOGOSULTSÁGOK-
BÓL SZÁRMAZÓ KOCKÁZATOK FELMÉRÉSE
2.3.1.1 A hozzáférési jogosultságok típusai A külső szervezetet számára engedélyezett hozzáférési jogosultságok kritikus fontosságú kockázati tényezőként jelentkeznek. A szabályozandó hozzáférési jogosultságok típusai a következők: a) a fizikai hozzáférési jogosultságok: például a hivatali helyiségekhez, számítógépteremhez, tároló-szekrényhez; 36
b) a logikai hozzáférés: például a szervezet adatbázisaihoz, informatikai rendszereihez, információ-vagyonához.
2.3.1.2 A hozzáférési jogosultság engedélyezésének indokoltsága
Külső fél számára hozzáférési jogosultság iránti engedélyezési eljárást sokféle okból szokás indítani. Az IBSZ teljes körű, az összes lehetőséget kimerítő felsorolásra nem tud vállalkozni. Ezért az engedélyezési eljárásnak magának kell olyan ellenőrzési mechanizmusokat nyújtania, amelyek kellő garanciát adnak a szervezet informatikai biztonsági követelményeinek betartására. A Biztonsági Bizottsághoz fel lehet terjeszteni bonyolultabb, illetve nem egyértelműen eldönthető eseteket. A Biztonsági Bizottság pedig saját ügyrendje szerint szükség esetén felső vezetői döntést kérhet. Szükség esetén lehetnek akár egyedileg szabályozandó esetek, ha általános szabályozás nem létezik: Lehet olyan külső fél, amelyik a szervezetnek úgy nyújt szolgáltatást, hogy nem települ be annak telephelyére, de mégis szükséges valamilyen fizikai és logikai hozzáférési jogosultság a munkavégzéséhez, ilyenek lehetnek például: a) a hardver és a szoftver támogatók személyzete, akiknek rendszerszintű vagy legalább is alsószintű alkalmazási funkcionális szolgáltatásokhoz történő hozzáférésre van szükségük; b) ügyfelek, partner szervezetek vagy a közigazgatás hatáskörébe tartozó vállalkozások, akik információt cserélhetnek a szervezet információrendszereivel, illetve akik hozzáférhetnek a szervezet informatikai rendszereihez vagy osztozhatnak a közös adatbázisokon.
A külső fél hozzáférési jogosultsága mindenképpen biztonsági kockázatot jelent, különösen magas a biztonsági kockázat akkor, ha nem megfelelő a külső fél biztonságirányítási, vezetési és ellenőrzési rendszere. Mindenütt, ahol igény van arra, hogy külső fél hozzáférési jogosultságokat kapjon a szervezettől, kockázatfelmérést kell végezni, és a kockázatok értékelése és elemzése révén szükségessé váló külön óvintézkedéseket meg kell határozni és az ellenőrzési mechanizmusokat ki kell alakítani. A kockázatok felmérésénél és értékelésénél célszerű figyelembe venni az elvárt hozzáférési jogosultság fajtáját, az információ értékét, a külső fél által használt óvintézkedéseket, valamint az adott szervezet információihoz történő hozzáférés hatását a biztonságra.
37
2.3.1.3 A szervezet működési helyeire betelepülő külső felek Az olyan külső (szerződő) felek, amelyek szerződésükben meghatározott módon a szervezet egyes működési helyeire betelepültek, munkatársaik rendszeresen ott tartózkodnak, ugyancsak jelenthetnek gyenge biztonsági pontokat. A betelepült külső fél például olyan szolgáltatásokat nyújt, amelyekhez az alábbi munkatársait, alkalmazottainak helyszíni jelenlétét biztosítja: a) hardver- és szoftverkarbantartó és műszaki támogatás; b) takarítás, étkeztetés és őrző-védő szolgáltatások, valamint hasonló, a szervezet számára egyéb támogató szolgáltatásokat nyújtó, külső felek (lehetnek kiszervezett, kihelyezett szolgáltatások; vagy szolgáltatás vásárlás stb.) c) tanulók foglalkoztatása és más, eseti, rövididejű alkalmi munkavállalók; d) tanácsadók (vezetői, jogi, informatikai, műszaki stb.).
A külső féllel kötött szerződésben meg kell jeleníteni azokat a biztonsági előírásokat, követelményeket, amelyek a külső fél hozzáférési jogosultságainak engedélyezése miatt mint betartandó szabályok jelennek meg. Ezek a szabályozások elsősorban az IBSZ-ből származnak, de a részleteket az IBSZ alá tartozó részletesebb utasítások, munkaköri leírások, rendszerüzemeltetési kézikönyvek stb. is tartalmazhatják.
A bizalmas adatkezelés betartatásának egyik jogi eszköze titoktartási megállapodás megkötése a külső féllel; illetve alkalmanként a munkavégzésre jelentkező külső fél munkatársai, partnerei és egyéb résztvevői számára egyénileg, jogilag kötelező módon titoktartás megállapodások létrehozása, és aláíratása. A külső fél és munkatársai addig nem férhetnek hozzá az információhoz és az információfeldolgozó eszközökhöz, amíg a szükséges óvintézkedéseket meg nem valósították és ki nem alakították a kellő ellenőrzési mechanizmusokat, továbbá a megfelelő jogi feltételek létre nem jöttek (szerződés hatályba lépése, titoktartási megállapodások aláírása).
2.3.2
KÜLSŐ SZERVEZETTEL KÖTÖTT SZERZŐDÉS BIZTONSÁGI KÖVETELMÉNYEI
A mindenkor hatályos, vonatkozó főigazgatói utasítás kell, hogy utaljon a szerződésekkel kapcsolatos biztonsági követelmények szükségességére.
2.3.2.1 Informatikai szolgáltatás kihelyezése 38
AZ IBSZ célja az, hogy az informatikai biztonság akkor is fenn álljon, ha az információfeldolgozást más szervezetre bízták, szolgáltatásvásárlás vagy alvállalkozás formájában.
Ld. még 18. Külső féllel kötött szerződések biztonsági követelményei
39
3
A vagyon osztályozása és ellenőrzése 3.1 Az anyagi felelősség számon kérhetősége
Célkitűzés: A szervezet eszközeinek / vagyonának kezelését kötelező gondossággal kell ellátni, a védelem megfelelő szintjéről gondoskodni kell.
Minden fontosabb informatikai vagyontárgyat /eszközt leltárba kell venni és meg kell nevezni azt a szervezeti pozíciót és az azt betöltő személyt, aki az adott eszközért, vagyonelemért az anyagi felelősséget viseli.
A leltár elkészítéséről a Leltározási szabályzat rendelkezik.
Minden fontos szervezeti eszköznek / vagyonelemnek legyen kijelölt felelőse, aki egyben felelős az adott szervezeti eszközhöz kapcsolódó ellenőrzési mechanizmusok, a szervezeti és biztonsági folyamatok, továbbá a megfelelő óvintézkedések napra készen tartásáért. Az ellenőrzési mechanizmusok, a szervezeti és biztonsági folyamatok, továbbá a megfelelő óvintézkedések megvalósításáért és napra készen tartásáért viselt felelősségét át lehet ruházni, de akkor is a megnevezett felelős marad számon kérhető a megtett vagy meg nem tett intézkedésekért.
3.1.1
AZ ESZKÖZÖK, VAGYONELEMEK LELTÁRJA
1) információ-vagyon: adatbázisok és adatállományok, rendszerdokumentáció, felhasználói/kezelői kézikönyvek, oktatási anyagok, üzemviteli, üzemeltetési és támogató eljárások, ügymenet/ügyvitel folyamatossági tervek, rendszer visszaállítási eljárások, tartalék telephelyek, archivált információ; 2) szoftver-vagyon: alkalmazási szoftverek, rendszerszoftver, fejlesztési eszközök és szolgáltatások; 3) fizikai vagyontárgyak: számítógépek (processzorok, monitorok, hordozható számítógépek (laptopok, PDA stb.), modemek), a távközlési berendezések (útvonalírányítók, alközpontok (PBX-ek), faxok, üzenetrögzítók, mágneses adathordozók (szalagok és lemezek),
40
egyéb műszaki berendezések (tápegységek) légkondicionáló; a bútorok és az egyéb a berendezéseknek otthont adó helyiségek; 4) szolgáltatások: számítástechnikai és távközlési szolgáltatások, szokásos közműszolgáltatások, mint pl. a fűtés, a világítás, a villamos energia és a légkondicionálás.
Az informatikai biztonsági ellenőrzési mechanizmusok, óvintézkedések és védelmi folyamatoknak kezelni kell az alábbiakat
− A számítógépes feldolgozásokban alkalmazott hardver eszközök és azok működési biztonsága; −
Az informatikai eszközök működtetéséhez szükséges okmányok és dokumentumok, valamint dokumentációk;
−
Az adatok törlésükig;
−
Az adathordozók érvénytelenítésükig és selejtezésükig (törlés, vagy megsemmisítés);
−
A számítógépes információs rendszerek programrendszerei, valamint a rendszerszoftverek, függetlenül attól, hogy azok nagygépes környezetben, hálózatban, vagy önálló gépeken működnek, továbbá ezek előírásszerű felhasználása, újra előállíthatósága, stb.
−
A személyhez fűződő jogok;
−
A vagyoni jogok;
−
Az alkalmazott biztonsági intézkedések, eljárások és rendszerek, valamint azok dokumentumai.
3.2 3.2.1
Az információ osztályozása ADATOSZTÁLYOZÁSI RENDSZER ÉS IRÁNYELVEI Olyan általános osztályozási rendszert kell kidolgozni, amely osztályozza az adatokat
(ún. biztonsági kategóriák szerint) és jelzi az adatok tulajdonosát is. Az egyes adatosztályok hozzáférési szabályait pontosan meg kell határozni. Az információk osztályozását bizalmasság, sértetlenség, és rendelkezésre állás szempontjából kell osztályozni, amelyet négy szinten kell megvalósítani. Az adatosztályozás végrehajtásához a szervezet adatvagyonának felmérése szükséges. Az egyes adatcsoportok (rendszerek, alkalmazások) osztályba sorolási kategóriáját az határozza meg, hogy az adatok bizalmasságának, sértetlenségének, és rendelkezésre állásának sérüléséből a szervezetnek milyen hátránya származhat. 41
Az egyes biztonsági osztályba sorolt adatokhoz, és az adatokhoz tartozó adatkezelőrendszerekhez, infrastrukturális elemekhez különböző szintű védelmi intézkedéseket kell megvalósítani. Az adatosztályozás folyamatát az 13 Az adatosztályozás tartalmazza.
3.2.2
INFORMÁCIÓ-ARCHITEKTÚRA MODELL Az információkat az igényeknek megfelelően kell nyilvántartani, és olyan formában
kell meghatározni, összegyűjteni, tárolni és továbbítani, amely lehetővé teszi, hogy az ügyintézők, és egyéb munkatársak hatékonyan és a megfelelő időben végezzék el feladataikat. Ezzel összefüggésben az Informatikai Főosztálynak ki kell dolgoznia - és rendszeresen aktualizálnia kell - egy olyan információ-architektúra modellt, amely a szervezeti adat-modellt és a kapcsolódó információs rendszereket egyaránt magában foglalja. Az információ-architektúra modellnek igazodnia kell a hosszú távú informatikai tervben lefektetett elvekhez.
3.2.3
ÁGAZATI ADATSZÓTÁR ÉS ADAT-SZINTAKTIKA Az Informatikai Főosztálynak gondoskodnia kell – a Rendszerfejlesztési és -
felügyeleti Főosztály, és a NYUFIG bevonásával - egy olyan ágazati adatszótár kialakításáról és annak folyamatos aktualizálásáról, amely tartalmazza a szervezet adatszintaktikai szabályait is. 3.2.4
BIZTONSÁGI SZINTEK Az Informatikai Főosztálynak a vezetéssel együttműködve meg kell határoznia min-
den olyan adat-kategória biztonsági szintjét, amely a “nincs szükség védelemre” kategória fölött helyezkedik el. Minden egyes ilyen biztonsági szint esetében meg kell határozni a megfelelő (minimális) biztonsági és ellenőrzési eljárásokat, amelyeket rendszeres időközönként felül kell vizsgálni és szükség esetén módosítani kell. Az elektronikus szolgáltatások, a mobil számítógépek és a távközlési környezet fejlődésére tekintettel meg kell határozni a tágabb értelemben vett szervezeten belüli különböző biztonsági szintekhez kapcsolódó kritériumokat.
42
3.2.5
ADATOK OSZTÁLYOZÁSA Az Informatikai Főosztálynak a vezetőséggel együttműködve ki kell alakítania egy
olyan eljárást, amely elrendeli, hogy az adatok tulajdonosainak osztályozniuk kell az adatokat bizalmassági fokuk szerint, hivatalos döntés keretében, az adat-osztályozási rendszer előírásai alapján. Még az olyan adatok esetében is meg kell hozni ezt a döntést, amelyek “nem igényelnek védelmet”. Az adatok felelős tulajdonosainak kell meghatározniuk az adatok besorolását és megosztását, valamint azt, hogy szükség van-e, és ha igen mikor, a programok és fájlok megőrzésére, archiválására illetve törlésére. Az adat-tulajdonos által megadott jóváhagyás és besorolás bizonyítékait meg kell őrizni. Megfelelő irányelveket kell meghatározni az információk átosztályozására vonatkozóan, az egyes adatok érzékenységének változása alapján. Az osztályozási rendszerben ki kell térni a szervezetek közötti információcsere kezelésének kritériumaira, mind biztonsági, mind a jogszabályi előírások vonatkozásában. Az adatosztályozás folyamatát az 13 Az adatosztályozás tartalmazza.
3.2.6
AZ INFORMÁCIÓ CÍMKÉZÉSE ÉS KEZELÉSE
Ld. 13.4. Az adatok jelölése
43
4
A személyzet biztonsága
Célkitűzés: Az emberi hibák, a szervezet eszközeivel kapcsolatos bűncselekmények bekövetkezése kockázatának csökkentése, mint például a lopás, a csalás és a visszaélés.
A biztonsági előírások betartásáért viselendő felelősséget és szabályokat már a munkaerő keresésénél és felvételi eljárás során közölni kell, a munkaszerződésben rögzíteni kell, és az egyén foglalkoztatásának ideje alatt figyelni kell a betartását. A leendő új munkatársakról megfelelően tájékozódni kell, különösen a bizalmi munkakörökben. Az információfeldolgozó eszközöket használó valamennyi alkalmazottat és a külső fél oldalán megjelenő felhasználókat is titoktartási megállapodás megkötésére kell kötelezni.
4.1 Szervezeti előírások 4.1.1
ÁLTALÁNOS SZABÁLYOK Az ONYF területén, valamint ahol a helyi kiépítés megtörtént, következetesen alkal-
mazni kell a beléptetési mágneskártya használatával kapcsolatos szabályozás előírásait. Ahol erre nincs technikai lehetőség, ott az érvényben lévő – az ügyfelek, vendégek mozgásával kapcsolatos - szabályozást be kell tartani, ezt az illetékes vezetőnek ellenőriznie is kell. A jelen szabályzat megismerése kötelező minden olyan munkatársnak, aki az ágazat kezelésében lévő adatokkal, infokommunikációs rendszerekkel, mint felhasználó, fejlesztő, üzemeltető, karbantartó, vagy egyéb minőségben kapcsolatba kerül. Az informatikai rendszereket használók részére felvételkor, illetve munkakör változáskor a hozzáféréseket a szükségesnél nem több hozzáférési jogosultság elve alapján az illetékes vezetőnek kell meghatároznia. A szükségesnél nem több jogosultságot az ügyviteli utasítás és a munkaköri leírás együttesen adja meg. Ennek alapján kell engedélyezni a hozzáféréseket az egyes munkatársak számára. A nagyobb, fontosabb alkalmazásokhoz az Informatikai Főosztály vezetőjének rendszergazdákat kell kineveznie. Különös figyelmet kell fordítani az informatikai rendszerek biztonságát meghatározó munkakörben dolgozó munkatársak hozzáférésének kezelésére, valamint ki kell alakítani ezen privilegizált felhasználók helyettesítési rendjét. A hozzáférési jog-
44
köröket úgy kell kialakítani, hogy a fejlesztői, tesztelői és alkalmazói (éles) környezethez való hozzáférés egyértelműen elkülönüljön. A szabályzattal, vagy az informatikai rendszerek védelmével és biztonságával kapcsolatos kérdésre, felvetésre a belső adatvédelmi felelős, az IBF, illetve az igazgatási szerv adatvédelmi előadója és IBÖ köteles válaszolni. Munkába álláskor minden munkatárs számára biztosítani kell az informatikai rendszerek adatvédelmével és biztonságával kapcsolatos oktatást, valamint az összes munkatárs számára a rendszeres továbbképzést. A rendszeres adatvédelmi továbbképzésről a belső adatvédelmi felelősnek kell gondoskodnia. 4.1.2
A BIZTONSÁG ÉS A MUNKAKÖRI FELELŐSSÉG A szervezet informatikai eszközeinek fizikai és logikai biztonságáért a felelősséget az
Informatikai Főosztály vezetője viseli, aki közvetlenül az Informatikai és Rendszerfejlesztési Főigazgató-helyettesnek számol be a szervezet egészét érintő biztonsági kérdésekről, az információvédelemmel összefüggésben szükséges feladatokról. Informatikai Főosztály vezetője rendszer-specifikus, illetőleg feladat-specifikus szinten a vezető munkatársaknak további felelősségi feladatokat határoz meg. 4.1.2.1 Adat- és rendszer tulajdonosok Az egyes szervezeti egységek vezetői felelősek a rájuk bízott informatikai eszközökért. A szervezeti egység vezetője dönt az eszközhasználatról és a hozzáférési jogokról. A napi szakszerű és célszerű működtetésért, és a megfelelő biztonsági intézkedések alkalmazásáért valamennyi érintett munkatárs felelősséget visel.
4.1.3
FELADATOK ÉS FELELŐSSÉGI KÖRÖK Az Informatikai Főosztálynak és az ONYF vezetésének gondoskodnia kell arról, hogy
az ágazat dolgozói tisztában legyenek az információs rendszerekkel kapcsolatos feladatokkal és felelősségekkel. Az országos értekezleteken az adatvédelmi és adatbiztonsági tematikának jelen kell lennie, hogy a résztvevők megfelelő szinten legyenek tájékoztatva arról, hogy az adatkezelés során milyen mértékű belső ellenőrzési és biztonsági felelősséggel tartoznak.
45
A feladatok kijelölésekor figyelemmel kell lenni a hatáskörök lehetőségek és adottságok szerinti, megfelelő szintű különválasztására.
4.1.4
INFORMATIKAI RENDSZER FELHASZNÁLÓK FELELŐSSÉGI KÖRE
A szabályzat az alábbi munkakörökben foglalkoztatottakat különbözteti meg. 1. Az informatikai rendszerüzemeltetők: •
üzemeltetési vezető,
•
külső cég üzemeltető munkatársai,
•
üzemeltető rendszeradminisztrátor,
•
üzemeltető rendszergazda, (az adathordozó kezeléséért felelős személy),
•
üzemeltető informatikus,
•
eszköznyilvántartó,
•
a kiszolgáló-gépek működtetésével megbízott személy,
•
üzemeltető rendszeroperátor.
2. Az informatikai rendszer felhasználói: •
jogosultsággal rendelkező ügyintézők,
•
SAP modulgazda.
4.1.5
A FELELŐSSÉGI KÖRÖK SZÉTVÁLASZTÁSA Az alábbi táblázat megmutatja, hogy mely feladatkörök szétválasztása feltétlenül szüksé-
ges, illetve mely esetekben megengedhető az átfedés.
Kerülendő
Szigorúan kerülendő
Kívánatos, hogy elkerüljék
46
47
Minőségbiztosító
Biztonsági felelős
Rendszerprogramozó
Rendszeradminisztrátor
Archiválási felelős
Hálózati adminisztrátor
Adatbázis adminisztrátor
Számítógép üzemeltető
Adatbevivő
Felhasználói ügyfélszolgálat (Help Desk) & TámoVégfelhasználó
Alkalmazás-programozó
Belső ellenőrzési csoport (auditor) Rendszerelemző Belső ellenőrzési csoport (auditor) Rendszerelemző Alkalmazásprogramozó Felhasználói ügyfélszolgálat (Help Desk) & Támogatás Menedzser Végfelhasználó Adatbevivő Számítógép üzemeltető Adatbázis adminisztrátor Hálózati adminisztrátor Rendszeradminisztrátor Biztonsági felelős Archiválási felelős Rendszerprogramozó Minőségbiztosító
4.1.6
INFORMATIKAI BIZTONSÁGI SZEREPKÖRÖK ÉS FELELŐSSÉGI KÖRÜK
1) Az informatikai biztonság szabályozási rendszerének egyik alapvető eszköze a biztonsággal kapcsolatos szerepkörök szétválasztása annak érdekében, hogy megakadályozza a felelős tevékenységek és az ellenőrzésükhöz szükséges jogosultságok összeférhetetlen alkalmazását. A munkaköri feladatok különválasztása mérsékli a szándékos manipuláció vagy a tévedés kockázatát. A szervezeti egységek vezetőinek felelőssége a munkaköri feladatok meghatározásakor elkülöníteni egymástól az olyan funkciókat, mint az adatfeldolgozás és ellenőrzés, valamint az informatikai rendszer tekintetében - a rendszerfejlesztés, tesztelés és a napi üzemeltetési feladatok végrehajtása. Az Informatikai Biztonsági Felelős feladat- és szerepkörének el kell különülnie az informatikai rendszerek mindennapos üzemeltetésétől és az Informatikai és Rendszerfejlesztési Főigazgató-helyettes által közvetlenül felügyelt szervezeti egységektől. Abban az esetben, ha nem valósítható meg az informatikai biztonsággal kapcsolatos feladatok megfelelő szétválasztása, az Informatikai Biztonsági Felelős feladata az érintett tevékenységek tekintetében a biztonsági naplózás és ellenőrzés végrehajtása.
4.1.7
INFORMATIKAI ÉS RENDSZERFEJLESZTÉSI FŐIGAZGATÓ-HELYETTES
Az informatikai tevékenységet ellátó, az Informatikai és Rendszerfejlesztési Főigazgatóhelyettes által közvetlenül felügyelt, szervezeti egységek (továbbiakban együtt: informatikai Főosztályok) a következők: − Informatikai Főosztály o Informatikai Eszközgazdálkodási és Adatvédelmi Osztály o Informatikai Keretgazdálkodási Osztály − Rendszerfejlesztési és -felügyeleti Főosztály; o Rendszerfejlesztési Osztály o Projektfelügyeleti Osztály
Feladata és felelőssége: − az ONYF informatikai szervezete működésének irányítása és ellenőrzése a Szervezeti és Működési Szabályzatnak megfelelően;
48
− az informatikai biztonsági követelmények meghatározása és érvényesítése. Hatásköre: az informatika területén teljes utasítási és számonkérési joggal rendelkezik üzemeltetési, fejlesztési, biztonsági és egyéb informatikai kérdésekben, illetve az informatikai erőforrások tekintetében jogosultságok jóváhagyása és visszavonása terén.
4.1.8
INFORMATIKAI FŐOSZTÁLYOK ÉS VEZETŐIK
4.1.8.1 Informatikai Főosztály Feladat: − Ellátja a nyugdíjbiztosítási ágazat informatikai stratégiájával összhangban, az ágazat informatikai, irodatechnikai, és kommunikációs – hardver és szoftver – infrastruktúrájának tervezésével, fejlesztésével, beszerzésével kapcsolatos feladatokat. − Biztosítja az infrastruktúrák és a nyugdíjbiztosítási ágazat nyilvántartási, elbírálási, ellenőri, megállapodásos, méltányossági, iktató és egyéb, ágazati ügyviteli szoftverrendszerek üzemeltetését beleértve az intranet-, az Internet-, a jogosultságkezelést és a rendszerfelügyeletet is. Irányítja és felügyeli az üzemeltetést, valamint tervezi, bevezeti és végrehajtatja az üzemeltetési folyamatokat. − Ellátja az ONYF szerződéses partnerei által végzett informatikai üzemeltetési feladatok vevői minőségbiztosításból eredő tennivalókat. − Gazdálkodik az infrastruktúrát alkotó eszközökkel. − Irányítja és felügyeli az igazgatási szervek informatikai, irodatechnikai, kommunikációs infrastruktúra és nyugdíjágazat nyilvántartási, elbírálási, ellenőri, megállapodásos, méltányossági, iktató és egyéb, ágazati ügyviteli szoftverrendszerek biztonságos, szakszerű üzemeltetésével összefüggő feladatokat. − Ellátja a hatás- és felelősségi körébe tartozó pénzügyi keretekkel kapcsolatos előirányzatgazdálkodói – tervezési, felhasználási, nyilvántartási – feladatokat. − Működteti a nyugdíjbiztosítási iratok tárolására szolgáló központi egységet, archívumot. – Ellátja az informatikai infrastruktúra és a nyugdíjágazat nyilvántartási, elbírálási, ellenőri, megállapodásos, méltányossági, iktató és egyéb ügyviteli rendszerek üzemeltetésének irányítását, az üzemeltetés vevői minőségbiztosítását.
4.1.8.1.1 Informatikai főosztályvezető
49
Feladata: •
a felügyelete alá rendelt informatikai rendszerek üzemeltetési, problémakezelési, működtetési és felhasználó támogatási feladatainak összefogása;
•
a szakterületére vonatkozó informatikai biztonsági követelmények betartása és betartatása;
•
a felügyelete alá tartozó informatikai rendszerek tekintetében az informatikai biztonsági oktatásokon, képzéseken való részvétel.
Hatásköre: •
a felügyelete alá rendelt informatikai rendszerek tekintetében teljes utasítási joggal rendelkezik üzemeltetési, biztonsági és egyéb informatikai kérdésekben, illetve az informatikai erőforrások tekintetében jogosultságok jóváhagyása és visszavonása terén.
4.1.8.2
Rendszerfejlesztési és -felügyeleti Főosztály
Feladat: Fő feladata a nyugdíjbiztosítási ágazat informatikai alkalmazói rendszereinek országos felügyelete, felhasználói támogatása, továbbfejlesztése, a jogszabálykövetések biztosítása, a felhasználók magas szintű kiszolgálása, oktatása. Ellátja, illetve felügyeli a nyugdíjbiztosítási ágazat integrált informatikai rendszerének tervezését, fejlesztését, karbantartását, használatba adását, a mindenkor érvényes informatikai és szervezeti stratégiával összhangban. Részt vesz az informatikai stratégia módosításában, új technológiák, alkalmazási területek azonosításában. Adatszolgáltatást teljesít a felügyelete alatt álló adatbázisokból, belső szakterületek, valamint jogszabályban meghatározott esetekben külső szervezetek, illetve hatóságok részére. Konkrét rendszerfejlesztési feladatok rendezése kapcsán felmerülő szakmai, eljárási kérdésekben szakmai egyeztetést folytat az illetékes szervekkel (különösen OEP, APEH, PSZÁF, MeH).
4.1.8.2.1 Rendszerfejlesztési és -felügyeleti főosztályvezető Feladata:
50
•
a felügyelete alá rendelt informatikai rendszerek fejlesztési, felhasználói támogatási és problémakezelési feladatainak összefogása;
Hatásköre: •
a szakterületére vonatkozó informatikai biztonsági követelmények betartása és betartatása;
•
a felügyelete alá tartozó informatikai rendszerek tekintetében az informatikai biztonsági oktatásokon, képzéseken való részvétel.
4.1.9
INFORMATIKAI BIZTONSÁGI FELELŐS
Függetlenség: az Informatikai Biztonsági Felelős szerep- és feladatköréből adódó tevékenységek végrehajtásának eredményessége céljából, munkakörét függetleníteni kell az Informatikai és Rendszerfejlesztési Főigazgató-helyettes által közvetlenül felügyelt szervezeti egységektől.
Jelenleg informatikai szempontból a napi működés biztosítása a legfontosabb, ezen felül többlet humán erőforrás nem áll rendelkezésre, ezért átmenetileg az Informatikai Biztonsági Felelős az Informatikai Főosztály munkatársai közül kerül kinevezésre. Feladatait közvetlen az Informatikai Főosztály főosztályvezetője mellé rendelten látja el.
Feladata és felelőssége: •
az IBSZ - jelen dokumentum - hatálya alá tartozó személyek ellenőrzése az informatikai biztonság vonatkozásában - az esetleges szabálytalanságok, biztonsági események kivizsgálása, jelentése;
•
a hozzá érkezett bejelentések alapján kivizsgálni az adatfeldolgozás és -kezelés biztonságát sértő eseményeket, az esetleges rossz szándékú hozzáférési kísérleteket, illetéktelen adatfelhasználást, az eseménnyel kapcsolatban értékeli a rendszer eseménynaplóit és javaslatot tesz a további intézkedésekre;
•
ellenőrizni, hogy az informatikai rendszerben kialakított, aktuálisan beállított jogosultságok megegyeznek-e a jóváhagyott jogosultságokkal;
•
ellenőrizni a leselejtezésre kerülő eszközök adathordozóinak törlését;
•
véleményezni az ágazaton belüli, informatikai biztonságra vonatkozó intézkedéseket;
•
kezdeményezni és javaslatokat tenni az IBSZ - jelen dokumentum - frissítésére vonatkozóan;
51
•
az ONYF-nél végzett munkája során az IBSZ, jelen dokumentum, vonatkozó fejezeteinek maradéktalan betartása;
•
a felügyelete alá tartozó informatikai rendszerek tekintetében az informatikai biztonsági oktatásokon, képzéseken való részvétel.
Hatásköre: •
az ágazat teljes területén informatikai biztonság vonatkozásában ellenőrzési, véleményezési, javaslattételi, kezdeményezési, betekintési és hozzáférési jog illeti meg.
Ideiglenes szabályozás 1) Az Informatikai Főosztály beosztotti állományába tartozik, amelynek feladatköre az ONYF szervezeteinél végzett tevékenység informatikai biztonságának támogatása, valamint kapcsolattartás a szervezeti egységek Informatikai Biztonsági Összekötőivel (továbbiakban IBÖ) Jövőbeli szabályozás személyi feltételek és a költségvetési források rendelkezésre állása esetében: 2) Az Informatikai Biztonsági Osztály mint önálló és közvetlenül a főigazgató alá rendelt szervezeti egység beosztotti állományába tartozik, amelynek feladatköre az ONYF szervezeteinél végzett tevékenység informatikai biztonságának támogatása, valamint kapcsolattartás a szervezeti egységek Informatikai Biztonsági Összekötőivel. 3) Nem lehet összeférhetetlenség az Informatikai Biztonsági Felelős és más informatikai szerepkörök között, és független, közvetlenül a felső vezetéshez rendelt, a felső vezetésnek közvetlenül jelentő, beszámoló szerepkör(ök)et, munkaköröket jelent az Informatikai Biztonsági Felelős. Ld. A Kormány 223/2009. (X. 14.) Korm. rendelete az elektronikus közszolgáltatás biztonságáról, Feladata és felelőssége: •
Informatikai Biztonsági Felelős – az ONYF-nél – felel a Központi Rendszerhez kapcsolódó, illetve általában közigazgatási elektronikus szolgáltatást nyújtó, az ONYF által üzemeltetett alrendszere vonatkozásában az informatikai biztonságért mind a rendszerek működtetőinél, mind üzemeltetőinél.
•
informatikai fejlesztési projektek indítása kapcsán az informatikai biztonsági koncepció kimunkálása, a rendszertervek biztonsági fejezeteinek kidolgozásában való közreműködés;
52
•
az informatikai biztonsági fejlesztési projektek irányítása során a személyi, tárgyi, valamint a környezeti feltételek kidolgozása és a fejlesztések szabályzók szerinti végrehajtásának összehangolása;
•
a személyhez kötött kriptográfiai illetve algoritmikus védelmet nyújtó eszközök alkalmazásának koordinálása;
•
a felügyelete alá tartozó informatikai rendszerek tekintetében az informatikai biztonsági oktatásokon, képzéseken való részvétel.
Hatásköre: informatikai biztonsági kérdések tekintetében véleményezési, javaslattételi, kezdeményezési jog illeti meg. Az Informatikai Főosztály a Központi Rendszerhez kapcsolódó, illetve általában közigazgatási elektronikus szolgáltatást nyújtó, felelősségi körébe rendelt alrendszerek vonatkozásában a következő biztonsági dokumentumokat készítteti el: a) a biztonsági irányelv; b) az egyes szolgáltatásokra vonatkozó biztonsági szabályzatok; c) a biztonsági szabályzatok végrehajtásához szükséges eljárásrendek. 4.1.10
INFORMATIKAI BIZTONSÁGI ÖSSZEKÖTŐ SZEREPKÖR
Az ONYF igazgatási szerveinél az igazgatási szerv vezetőjének feladata Informatikai Biztonsági Összekötő kijelölése. Az Informatikai Biztonsági Összekötő nevét és elérhetőségét, illetve ezt követően a személyi változást az Informatikai Főosztály vezetőjével írásban kell közölni. Feladata és felelőssége: •
A regionális igazgatási szervek Informatikai Biztonsági Szabályzatának naprakészen tartása;
•
jelen szabályzat rendelkezéseinek érvényre juttatása az adott szervezeti egységnek az informatikai rendszerrel kapcsolatos tevékenysége során;
•
felügyeli az informatikai biztonsági rendszerek működését, segíti az alkalmazók munkáját;
•
jelzi a munkafolyamatok szabályozásokba ütköző gyakorlattal kapcsolatos észrevételeit, vagy módosítási javaslatait mind a szervezeti egység vezetője, mind az Informatikai Biztonsági Felelős részére;
•
a személyhez kötött kriptográfiai eszközök alkalmazásának felügyelete és adminisztrációja;
53
•
a felügyelete alá tartozó informatikai rendszerek tekintetében az informatikai biztonsági oktatásokon, képzéseken való részvétel.
Hatásköre: a hatékony kommunikáció és az informatikai biztonsági követelmények megvalósulásának érdekében kapcsolattartás az Informatikai Főosztállyal és jelentések készítése. 4.1.11
BIZTONSÁGI ADMINISZTRÁTORI SZEREPKÖR
Feladata és felelőssége: •
a hozzá rendelt informatikai eszközök biztonsági adminisztrálása: − a telepített új eszközök beállításainak az informatikai biztonsági követelményekkel történő összehangolása; − biztonsági javítócsomagok telepítése a hozzá rendelt informatikai eszközökön; − az operációsrendszer és egyéb rendszer szintű felhasználók regisztrálása, kezelése;
•
a hozzá rendelt informatikai rendszereken és eszközökön végzett módosítások naprakész dokumentálása;
•
a biztonsági beállítások helyességének és sértetlenségének biztosítása;
•
munkája elvégzése során az IBSZ, jelen dokumentum, vonatkozó fejezeteinek maradéktalan betartása;
•
a hozzá rendelt informatikai rendszerek tekintetében az informatikai biztonsági oktatásokon, képzéseken való részvétel.
Hatásköre: •
biztonsági adminisztrálás;
•
az engedélyezett javítócsomagok, biztonsági frissítések telepítése;
•
rendszerszintű jogosultságok kezelése;
•
a felügyelete alá rendelt informatikai rendszerek tekintetében javaslattétel az üzemeltetési, biztonsági és egyéb informatikai kérdésekben. A javaslatokat az Informatikai Főosztály főosztályvezetője, az Informatikai Biztonsági Felelős és az Informatikai és Rendszerfejlesztési Főigazgató-helyettes felé teheti meg.
4.1.12
RENDSZERGAZDAI SZEREPKÖR
Feladata és felelőssége:
54
•
rendszeradminisztrációs (üzemeltetési, adminisztrátori, rendszergazdai) tevékenységek ellátása, kivéve a biztonsági adminisztrálás feladatai: − a hozzá rendelt informatikai eszközök működésének fenntartása; − a hozzá rendelt hardverberendezések hibáinak bejelentése és az elhárítás nyomon követése; − a hozzá rendelt szoftver elemek karbantartása, hiba esetén annak első szintű kezelése és szükség szerint a probléma eszkalálása; − a felhasználói tevékenységek informatikai támogatása; − a hozzá rendelt informatikai eszközök tekintetében a biztonsági foltozások („patchek”, javítások) telepítése;
•
munkája elvégzése során az IBSZ, jelen dokumentum, vonatkozó fejezeteinek maradéktalan betartása;
•
a hozzá rendelt informatikai rendszerek tekintetében az informatikai biztonsági oktatásokon, képzéseken való részvétel.
Hatásköre: •
a hozzá rendelt informatikai eszközökön az üzemeltetési műveletek végrehajtása, a biztonsági adminisztráció kivételével, az üzemeltetéssel kapcsolatban javaslattétel a főosztályvezető, illetve az Informatikai Főosztály vezetője felé.
4.1.13
JOGOSULTSÁGI -RENDSZER ADMINISZTRÁTORI SZEREPKÖR
Feladata és felelőssége: az ONYF-nél alkalmazott hozzáférés-védelmi eszközök (az operációs rendszerek és az alkalmazások jogosultsági szintjeit) egységes rendszerben történő felügyelete, adminisztrálása és karbantartása. Hatásköre: a jóváhagyott jogosultságoknak megfelelő beállítások biztosítása. 4.1.14
OPERÁTOR
Feladata és felelőssége: a számítóközpontban, kiszolgáló gépeket tároló helyiségekben elhelyezett számítástechnikai eszközök műszaki felügyelete, probléma továbbítása. Hatásköre: a hozzá rendelt eszközök felügyelete, hiba esetén annak első szintű kezelése, szükség esetén a hiba eszkalálása. 4.1.15
FELHASZNÁLÓ
Feladata és felelőssége: 55
•
munkájának ellátása érdekében az informatikai eszközök eredményes, rendeltetésszerű használata;
•
az alkalmazások felhasználói leírásainak ismerete és az alkalmazások használatakor azok betartása;
•
az IBSZ-ben, jelen dokumentumban, megfogalmazott szabályok maradéktalan betartása;
•
a hozzá rendelt informatikai eszközökkel kapcsolatos, illetve az általános informatikai biztonsági oktatásokon való részvétel.
4.1.16
INFORMÁLÓDÁS A SZEMÉLYZETRŐL ÉS ENNEK SZABÁLYZATA
1) A munkavállalók alkalmazása során a szervezeti egységek vezetőinek feladata, hogy dokumentált formában rögzítsék az irányításuk alatt álló területekre kerülő alkalmazottakkal szemben támasztott alkalmazási feltételeket. Az Informatikai Főosztály vezetőjének felelőssége, hogy ezen alkalmazási feltételek kiegészítésre kerüljenek az informatikai és az informatikai biztonsági feltételekkel. Az elkészült alkalmazási feltételek kezelése a Humánpolitikai és Képzési Főosztály feladata. 2) A Humánpolitikai és Képzési Főosztály feladata annak ellenőrzése, hogy a munkaköri leírásokban az ONYF által foglalkoztatott alkalmazottak számára a vonatkozó informatikai biztonsággal kapcsolatos feladataikat és felelősségeiket a (kiadmányozó) vezető rögzítette-e. Ennek hiányában a munkaköri leírás a kinevezés mellékleteként nem fogadható el. 3) A Humánpolitikai és Képzési Főosztály feladata, hogy a szervezeti egységek vezetőivel (főosztályvezetői szinten) együtt – a belső adatvédelmi felelős közreműködésével - a Közszolgálati Szabályzatban meghatározzák, mely szerep- és munkakörök esetén kell alkalmazni titoktartási megállapodást, illetve az alkalmazott távozása esetén mennyi ideig szükséges annak fenntartása. 4) A Humánpolitikai és Képzési Főosztálynak és a Informatikai Főosztálynak ellenőriznie kell: a) kielégítő munkahelyi és munkatársi, vagy egyéb kollegiális referenciák meglétét; b) a felvételre jelentkező életrajzát (teljességre és pontosságra); c) a jelölt részéről közölt felsőfokú, és egyéb iskolai végzettségének, szakképzettségének és szakmai okleveleinek, minősítéseinek a valódiságát és helyességét;
56
d) egymástól független személyazonosító okmányokat (pl.: útlevél, sz.i.g., vezetői engedély vagy hasonló okmány). Amikor egy munkatárs új munkakörbe, beosztásba (szervezeti pozícióba) kerül, - akár azért mert most újonnan nevezik ki az adott beosztásra, akár mert előléptetik - és az új munkakör magában foglalja a hozzáférést olyan információ-feldolgozó eszközökhöz, amelyek bizalmas, vagy kényes információkat, adatokat dolgoznak fel, a szervezet köteles a jogszabályok által előírt ellenőrzést lefolytatni. Ilyen adatok, információk lehetnek például: pénzügyi adatok vagy egyéb más rendkívül bizalmas információk. Olyan munkatársak esetében, akik jelentős hatalommal rendelkeznek a szervezeten belül, ezt az anyagi háttérre vonatkozó ellenőrzést időről időre meg kell ismételni.
Hasonló személyi biztonsági ellenőrzési folyamatot kell lefolytatni a szerződéses felek révén munkát végző személyekkel és alkalmi munkavállalókkal kapcsolatban is. Ahol az ilyen személyzetet munkaerő-kölcsönző szervezet biztosítja, ott a szervezettel kötött szerződésében kell egyértelműen meghatározni, hogy a személyi biztonsági ellenőrzésre milyen szerződéses kötelmek és felelősségek vonatkoznak, valamint a jogszabályok által behatárolt módon, milyen tájékoztatási felelősség vonatkozik a munkaerő-közvetítő szervezetre. Különösen abban az esetben, ha a személyi biztonsági átvilágítás még nem fejeződött be vagy annak eredménye aggodalomra ad okot vagy kételyeket támaszt.
Az adott területért, folyamatért felelős vezetésnek elemeznie kell, hogy vajon az olyan új és még kiképzetlen alkalmazott mellé szükséges-e felügyeletet biztosítani, akit bizalmas adatokat feldolgozó rendszerekhez történő hozzáférésre szándékoznak feljogosítani. Az adott területen, az összes alkalmazott munkáját időről időre, a személyzet valamelyik vezető szakemberének meg kell vizsgálnia és az elfogadhatóságáról nyilatkoznia kell. A vezetőknek tudatában kell lennie annak, hogy a munkatársak személyes körülményei hatással vannak a munkavégzésükre. Személyes vagy pénzügyi nehézségek, viselkedésük vagy életvitelük változásai, gyakori hiányzások, nyilvánvaló stressz vagy depresszió az, ami csaláshoz, szervezeti vagyon elemek, eszközök eltulajdonításához és más biztonsági problémákhoz vezethetnek. A személyes élethelyzetre vonatkozó információt a személyes adatok kezelésére és személyiségi jogok védelmére vonatkozó jogszabályokkal összhangban kell kezelni.
57
4.1.17
A TITOKTARTÁSI MEGÁLLAPODÁS
A titoktartási megállapodás arra szolgál, hogy kötelezzen az adott információ bizalmasságának vagy titkosságának megtartására. Az alkalmazottak, munkatársak (köztisztviselők) rendszerint az ilyen megállapodást alkalmazásuk feltételei keretében írják alá. Alkalmi munkaerőnek és a külső fél felhasználóinak, munkatársainak, akikről a meglévő, a titoktartási megállapodást is tartalmazó szerződés nem intézkedik, külön titoktartási megállapodást kell aláírniuk, még mielőtt az információ-feldolgozó eszközökhöz hozzáférést nyernének. A titoktartási megállapodást felül kell vizsgálni a megfelelőség tekintetében, ha az alkalmazási feltételek megváltoznak, különösen pedig akkor, amikor az alkalmazottak arra készülnek, hogy kilépjenek a munkahelyükről, vagy ha közeleg az alvállalkozói vagy munkaszerződések lejárta.
4.1.18
A FOGLAKOZTATÁS FELTÉTELEI
4.1.18.1 Az informatikai terület dolgozóinak munkaköri leírása Az Informatikai Főosztály vezetésének gondoskodnia kell az informatikai munkaköri leírások kidolgozásáról és rendszeres aktualizálásáról. A munkaköri leírásokban világosan rögzíteni kell mind a hatásköröket, mind a felelősségi köröket, beleértve az adott munkakör ellátásához szükséges képzettség és gyakorlat meghatározását is, olyan módon, hogy az a teljesítmény értékelésére is alkalmas legyen. 4.1.18.2 Kulcsfontosságú informatikai dolgozók A vezetésnek meg kell határoznia, hogy melyek a kulcsfontosságú informatikai beosztások és munkakörök. 4.1.18.3 Szerződéses munkatársak Az ágazat adatainak és informatikai eszközeinek védelme érdekében az Informatikai Főosztályon dolgozó vezetők és minőségbiztosítók, az informatikai szakterületen dolgozó külső szakértők, és más szerződéses munkatársak tevékenységének ellenőrzését a szerződések által rögzített eljárások alapján végzik.
58
4.1.18.4 Kapcsolatok Az Informatikai Főosztály vezetésének intézkedéseket kell tennie annak érdekében, hogy együttműködés, kommunikáció és kapcsolattartás alakuljon ki az informatikai területen belül, illetve az informatikai területen kívüli más szervezeti egységek vezetőivel, felhasználókkal, szállítókkal, egyéb külső kapcsolatokat megjelenítő személyekkel. A köztisztviselőkre vonatkozó jogszabályok mellett új munkatárs belépésekor a munkavégzési és foglalkoztatási feltételeket, biztonsági, informatikai biztonsági szempontból is tisztázni kell.
A foglalkoztatás feltételei között kell megállapítani a leendő munkatárs informatikai biztonságra vonatkozó kötelességeit. Ezeknek a kötelezettségeknek - egyes esetekben, ahol ez értelmes - meghatározott időtartamra ki kell terjedniük a foglalkoztatási időszakon túl is. E kötelezettségek közé kell belefoglalni azokat az intézkedéseket is, amelyek akkor lépnek életbe, ha az alkalmazott nem tartja be az előírt biztonsági követelményeket.
Az alkalmazottak jogait és kötelességeit, - például a szerzői jogokra vagy a személyes adatok védelmére és a személyiségi jogokra vonatkozó jogszabályokra tekintettel -, tisztázni kell és fel kell sorolni a munkaszerződés feltételei között. Ugyancsak bele kell foglalni a munkaszerződésbe, a leendő munkatársra vonatkozó adatok osztályba sorolására, minősítésére és kezelésére vonatkozó felelősségeket, kétoldalú kötelezettségeket. Ha a leendő munkatársra vonatkozik, akkor a foglalkoztatási feltételeknek tartalmazniuk kell, hogy ezek a kötelezettségek fennállnak a szervezet működési helyein kívül is, sőt esetleg a rendes napi munkaidején túl is, például az otthoni munkavégzés alatt is.
4.2 Külső szolgáltatások kezelésének szabályai 4.2.1
A BESZÁLLÍTÓI SZERZŐDÉSEKRE VONATKOZÓ ELŐÍRÁSOK A beszállítói szerződésekben az alábbiak szerint kell érvényesíteni a biztonsági szabá-
lyokat: A beszállítónak, és egyes munkatársainak külön-külön titoktartási nyilatkozatot kell tennie a szerződésben, vagy különálló dokumentumban, amelyben a beszállító felelősséget
59
vállal arra, hogy az általa szállított megoldásokról, illetve az ágazatból tudomására jutott egyéb információkról nem ad tájékoztatást harmadik félnek. A beszállítói szerződésekben meg kell határozni a garancia és a support pontos tartalmát, és idejét. Szükség esetén ki kell térni a szellemi tulajdonjogok tisztázására. 4.2.2
A SZOLGÁLTATÓI SZERZŐDÉSEKRE VONATKOZÓ ELŐÍRÁSOK A szolgáltatói szerződésekben az alábbiak szerint kell érvényesíteni a biztonsági sza-
bályokat. A beszállítónak kollektív titoktartási nyilatkozatot kell tennie a szerződésben, vagy különálló dokumentumban, amelyben a beszállító felelősséget vállal arra, hogy az általa szállított megoldásokról, illetve a munkavégzés során az ágazatban tudomására jutott egyéb információkról nem ad tájékoztatást harmadik félnek. A beszállító munkatársainak külön-külön is alá kell írni a titoktartási nyilatkozatot. Igény esetén a szolgáltatói szerződésekben meg kell határozni az egyes feladatokat és a hozzáférések követelményeit, valamint a szolgáltató részére bocsátott erőforrások körét. Ebben az esetben a külső szolgáltatókra vonatkozó biztonsági szabályokat a munka megkezdése előtt meg kell ismertetni a szolgáltatóval. Meg kel határozni az incidensek bejelentésével, kezelésével kapcsolatos elvárásokat A szolgáltatói szerződésekben meg kell határozni a szolgáltatói fél rendelkezésre állásának követelményeit, illetve a szolgáltatás tárgyát képező eszközökkel kapcsolatos rendelkezésre állási követelményeket. A szolgáltatói szerződésekben meg kell határozni a szolgáltatás rendelkezésre állásával kapcsolatos követelmények (pl.: Internet, bérelt vonalak, stb. ). 4.2.3
A DOKUMENTUMOKKAL KAPCSOLATOS KÖVETELMÉNYEK A beszerzések során, az alábbi dokumentumok átadását kell a beszállítóktól, illetve a
szolgáltatóktól megkövetelni: •
Titoktartási nyilatkozat: a beszállítást, illetve szolgáltatást végző alkalmazottaktól.
•
A beszállítás tárgyát képező eszköz gyártói specifikációi, és felhasználói könyvei.
60
•
A szolgáltatással kapcsolatos elvégzett feladatokról (javítás, karbantartás, stb.) munkalap.
4.3 A felhasználók oktatása, képzése, biztonságtudatosság fokozása Célkitűzés: Gondoskodni kell arról, hogy a felhasználók tudatában legyenek az informatikai biztonságot fenyegető és egyéb figyelmet igénylő tényezőknek, továbbá fel kell készíteni őket arra, hogy a szervezet biztonsági irányelveiben előírtakat szokásos napi munkájuk során betartsák. A felhasználókat ki kell oktatni a biztonsági eljárásokról és az információ-feldolgozó eszközök helyes használatáról a lehetséges biztonsági kockázat minimalizálása érdekében.
4.3.1
KÖZTISZTVISELŐK Felvételkor valamennyi köztisztviselő, illetve a Ktv. hatálya alá tartozó ügykezelő
munkatárssal a felvételt intéző szervezeti egység vezetőjének kell megismertetnie jelen szabályzatot, és a tudomásulvételről a nyilatkozatot aláíratnia („ADATVÉDELMI ÉS INFORMÁCIÓSZABADSÁGI SZABÁLYZAT” 3. sz. melléklete). A megismerésről aláírt nyilatkozatokat a szervezeti egységeknél kell őrizni. 4.3.2
EGYÉB JOGVISZONY ALAPJÁN FOGLALKOZTATOTT MUNKATÁRSAK Jelen szabályzat tartalmi kivonatának megismerése kötelező minden olyan, az ágazat-
ban egyéb jogviszony keretében foglalkoztatott személy számára (takarító, épületfenntartó, biztonsági szolgálat tagja, stb.), aki munkája során adatokkal, adatkezeléssel közvetlenül nem kerül kapcsolatba („ADATVÉDELMI ÉS INFORMÁCIÓSZABADSÁGI SZABÁLYZAT” 4. sz. melléklete). 4.3.3
KÜLSŐ VÁLLALKOZÓK MUNKATÁRSAI Külső partnerekkel kötött fejlesztési, karbantartási szerződéseknek tartalmazniuk kell,
hogy a szerződő fél tudomásul veszi az adatvédelmi és adatbiztonsági és Informatikai Biztonsági Szabályzatban megfogalmazott szabályokat, és azok szerint jár el. Az ágazatban dolgozó szerződéses külső cég munkatársainak jelen Informatikai Biztonsági Szabályzat megismerése
61
után nyilatkozatot kell aláírniuk. A nyilatkozatokat a szerződést kötő Főosztály vezetője kéri be, majd a nyilatkozat egy példányát a belső adatvédelmi felelősnek továbbítja. Adatfeldolgozásban részt vevő, egyéb jogviszony keretében foglalkoztatott munkatársaknak személyenként szintén adatkezelési, adat- és titokvédelmi nyilatkozatot kell tenniük („Adatvédelmi és Információszabadsági Szabályzat” 5. sz. melléklete). A szabályzatban foglaltak megismertetéséről a szerződést aláíró vezető gondoskodik.
4.3.4
AZ INFORMATIKAI BIZTONSÁG OKTATÁSA ÉS KÉPZÉSE
A Informatikai Főosztály felügyelete mellett az informatikai biztonsággal összefüggő feladatokról rendszeresen központi és helyi szintű oktatásokat, illetve továbbképzéseket kell tartani. Az oktatások, képzések megszervezése a - Informatikai Főosztály által biztosított technikai feltételek mellett és a kidolgozott tematika alapján –Humánpolitikai és Képzési Főosztály feladata. Az oktatások szakmai anyagának kidolgozása, a szükséges szakirodalom biztosítása, valamint szükség esetén külső szakértők bevonása az Informatikai Főosztály (ha létrejön, akkor az Informatikai Biztonsági Osztály) feladata. Az informatikai biztonsági oktatásoknak, képzéseknek a következő témaköröket kell lefedniük: − általános informatikai biztonsági oktatás (jelszómenedzsment, e-mail, Web etikus használata, hang-, kép- és szövegátviteli kommunikációs eszközök biztonságos használata, IBP és IBSZ ismerete, stb.), minden új és minden hasonló oktatáson eddig részt nem vett felhasználó részére; − vírusvédelemmel és a vírusvédelmi rendszerekkel kapcsolatos oktatás minden új, és eddig oktatáson részt nem vett felhasználó részére; − a biztonsági események jelentésével, kezelésével kapcsolatos oktatás minden új, és eddig oktatáson részt nem vett felhasználó részére; − új, bevezetésre kerülő rendszerekkel kapcsolatos biztonsági oktatás minden, a rend-
szer bevezetésében érintett felhasználó körében; − az Informatikai katasztrófa-elhárítási terv oktatása minden új, és eddig oktatáson részt nem vett felhasználó részére (csak a tervben meghatározott feladataikra korlátozva); − egyéni, a felhasználó beosztásának, munkakörének megfelelő további informatikai biztonsági oktatás; 62
− adatok biztonsági osztályba sorolásának megfelelő kezelésével kapcsolatos oktatás (minden abban érintett felhasználó részére); − a rendszerek üzemeltetésével és biztonsági adminisztrálásával megbízott munkatársak részére az adott rendszerekkel kapcsolatos szakmai oktatás, szükség esetén, olyan szinten, hogy a dolgozó az adott rendszerrel kapcsolatos vizsgakövetelményeknek is meg tudjon felelni; − a legfrissebb fenyegetésekkel, veszélyforrásokkal, a védelmet szolgáló biztonsági eszközökkel, technikákkal kapcsolatban az informatikai munkatársak és az Informatikai Biztonsági Felelős részére. Az oktatásokon való részvételről a Humánpolitikai és Képzési Főosztálynak nyilvántartást kell vezetnie, amely nyilvántartásokon a résztvevők aláírásukkal kötelesek tanúsítani megjelenésüket.
4.4 A RENDKÍVÜLI ÉS EGYÉB BIZTONSÁGI ESEMÉNYEKRE ÉS ÜZEMZAVAROKRA ADOTT VÁLASZOK Célkitűzés: Gondoskodni kell arról, hogy a biztonsági események és az üzemzavarok okozta kár minimális legyen, továbbá ezeket a biztonsági eseményeket nyomon kell követni és a tapasztalatokat rögzíteni kell, hogy a későbbiekben hasznosíthatók legyenek.
A biztonságra hatást gyakorló eseményekről, amilyen gyorsan csak lehet, a szervezet vezetői jelentési csatornáin keresztül az illetékeseket azonnal tájékoztatni kell. Az összes alkalmazott és szerződéses fél munkatársai legyenek tudatában annak, hogy mi a követendő eljárása a különböző fajta eseményekről szóló jelentések készítésének, amelyek hatást gyakorolhatnak az adott szervezet eszközeinek/vagyonának biztonságára. Ilyen események lehetnek például: biztonsági előírások megsértése, a biztonságot fenyegető tényezők megjelenése, a biztonsági védelmi rendszer gyenge pontjai és az üzemzavarok. Mindenkitől meg kell követelni azt, hogy minden észlelt vagy felismerni vélt, gyanított eseményt az előre kijelölt felelősön keresztül a lehető leggyorsabban jelentsen. A szervezetnek ki kell alakítania a fegyelmi eljárások szabályozásán belül egy olyan fegyelmi eljárást, amely az olyan esetekkel foglalkozik, amikor az alkalmazott megsértette a biztonsági szabályokat. Azért, hogy a biztonsági eseményekkel korrekten, pontosan és szabatosan lehessen foglalkoz-
63
ni, szükség van arra, hogy az esemény bekövetkezését követően a lehető leggyorsabban a bizonyítékokat összegyűjtsék. 4.4.1
A BIZTONSÁGI ESEMÉNYEK BEJELENTÉSE
1) A felhasználók kötelessége a következő események dokumentált formában történő jelentése az Informatikai Biztonsági Felelősnek: a) felismert, vagy felismerni vélt biztonsági esemény; b) felismert, vagy felismerni vélt védelmi gyengeség, biztonsági rés, sebezhetőség, hiányos vagy pontatlan szabályozás; c) észlelt, informatikai biztonsági szempontból nem megfelelő magatartás; d) bármilyen bizalmas információ kiszivárgása. 2) Az Informatikai és Rendszerfejlesztési Főigazgató-helyettes feladata jelenteni az eseményt a megfelelő hatóságoknak abban az esetben, ha azt jogszabályi előírások megkívánják. 3) Az Informatikai és Rendszerfejlesztési Főigazgató-helyettes kötelessége folyamatban lévő biztonsági esemény esetén: a) a megszüntetése érdekében eljárni, intézkedni az Informatikai Biztonsági Felelős jelentése(i) alapján; b) biztosítani, hogy az intézkedések arányosak legyenek a kockázat mértékével; c) a rendelkezésre-állás ideiglenes felfüggesztése az ágazat adatvagyonának megőrzése érdekében.
További részletes szabályozást ld. 16.1. Biztonsági események bejelentése fejezetében. 4.4.2
JELENTÉS A BIZTONSÁGI RENDSZER GYENGE OLDALAIRÓL
Az informatikai szolgáltatások összes igénybe vevőjétől meg kell követelni, hogy rögzítsék és jelentsék a rendszerek vagy a szolgáltatások minden felismert vagy gyanított, felismerni vélt biztonsági gyengeségét vagy fenyegettségét. Ezeket az eseményeket haladéktalanul jelenteni kell vagy saját vezetőiknek, vagy közvetlenül a szolgáltatónak. A felhasználókat tájékoztatni kell arról, hogy a biztonsági rendszer gyanított gyengeségeit semmilyen körülmények között se próbálják meg saját maguk bebizonyítani. Ez a saját érdekükben betartandó szabály, mivel a biztonsági rendszer gyengeségeinek, sebezhetőségének vizsgálata a rendszerrel való lehetséges visszaélésnek minősülhet.
64
4.4.3
JELENTÉS A SZOFTVER ÜZEMZAVAROKRÓL
A szoftverüzemzavarokról szóló jelentés készítésének főbb lépései: a) Az üzemzavar tüneteit, tünet-együttesét és a képernyőn megjelenő minden üzenetet fel kell jegyezni; b) A számítógépet, ha lehetséges, el kell szigetelni, és használatát be kell szüntetni. Azonnal értesíteni kell az illetékes felelőst. Amennyiben a berendezést meg kell vizsgálni, akkor azt le kell választani szervezet hálózatáról, mielőtt újra bekapcsolnák. A számítógépbe esetlegesen behelyezett hordozható adathordozókat (példálódzó de nem teljesen kimerítő felsorolásban: hajlékony mágneslemez, CD/DVD, USB eszközök, memória kártyák stb.) nem szabad más gépbe áthelyezni Ezt csak informatikai nyomszakértő teheti meg, aki megfelelő eszközökkel és eljárással gondoskodik a pillanatnyi állapot fenntartásáról). c) Az eseményt azonnal jelenteni kell az Informatikai Biztonsági Felelősnek. A felhasználóknak tilos a hibásnak feltételezett szoftvert eltávolítaniuk mindaddig, amíg erre külön fel nem hatalmazzák őket. A helyreállítást kellően képzett és begyakorlott munkatársaknak kell végrehajtani. 4.4.4
A
BIZTONSÁGI ESEMÉNYEKBŐL SZÁRMAZÓ TAPASZTALATOK RÖGZÍTÉSE ÉS FEL-
DOLGOZÁSA
1) Az Informatikai és Rendszerfejlesztési Főigazgató-helyettesnek gondoskodnia kell az informatikai rendszerek: a) szükség szerinti nyomon követéséről, megfigyeléséről és a felügyelet mikéntjéről; b) a rendkívüli események rögzítéséről, kivizsgálásáról; c) rendszeres, periodikus felülvizsgálatáról (auditálásáról). 2) Az Informatikai és Rendszerfejlesztési Főigazgató-helyettes és az Informatikai Biztonsági Felelős közreműködésével az üzemeltetésért felelős személyeknek a rendszerhibák miatt fellépett biztonsági eseményeket elemezniük kell. 3) Az Informatikai Ügyfélszolgálat (HelpDesk), és az Informatikai Biztonsági Felelős az elemzéshez szükséges munkatársak bevonásával elemzi a felismert vagy felismerni vélt és bejelentett biztonsági eseményeket. 4)
Az Informatikai Biztonsági Felelős feladata gondoskodni olyan informatikai biztonsági nyilvántartás létrehozásáról és karbantartásáról, amely tartalmazza a korábbi bizton-
65
sági események kapcsán végrehajtott válaszintézkedéseket és a biztonsági események feljegyzéseit. 5) A nyilvántartásnak minimálisan a következő információkat kell tartalmaznia: a) a biztonsági esemény idejét, helyét és pontos leírását; b) a problémamegoldás során alkalmazott eljárások leírását. 6) A nyilvántartás felhasználható a következő esetekben: a) a bekövetkezett biztonsági esemény következményeinek enyhítésére; b) az ONYF informatikai infrastruktúráját fenyegető további biztonsági események, védelmi gyengeségek, sérülékenységek bekövetkezéseinek gyakoriságának csökkentésére és a bekövetkező károk enyhítésére; c) a kockázatok elviselhető szinten tartására; d) az ismétlődő, jelentős biztonsági események kezelésére szolgáló védelmi intézkedések továbbfejlesztésére. Ld. még 16.3. Biztonsági események kezelésének folyamata. Problémakezelés 4.4.5
FEGYELMI ELJÁRÁS
Ki kell alakítani egy olyan fegyelmi eljárást a szervezet általános fegyelmi szabályain belül, amely azokra a munkatársakra vonatkozik, akik megsértették a szervezet biztonsági szabályzatait és eljárásait.
Hivatalos fegyelmi eljárást kell kezdeményezni az olyan esetek kezelésére, amikor a biztonsági események kivizsgálása során összegyűjtött bizonyítékok alapján egyértelműen meghatározható, hogy a biztonsági esemény a biztonsági szabályok szándékos vagy véletlen megsértésének következtében állt elő.
Az informatikai biztonsági előírások súlyos megsértése esetén fegyelmi eljárást kell indítani a szabálysértő személyével szemben, ha: •
a szabálysértés valamely rendszer hozzáférési adatainak illetéktelen személynek történő tudomására hozatalával (pl.: személyes jelszó elmondása, vagy hozzáférhető helyre történő feljegyzése) kapcsolatos.
•
a szabálysértés következtében az ONYF „Szolgálati használatra”, vagy annál magasabb minősítésű adata, dokumentuma kerül illetéktelen kezekbe.
66
•
a szabálysértés következtében az ONYF „Kiemelten fontos”, vagy annál magasabb rendelkezésre állás szerint minősített adata, dokumentuma a rendelkezésre állási követelménynek nem tud eleget tenni.
•
a szabálysértő az ONYF „Védett”, vagy annál magasabb sértetlenség szerint minősített adatát, dokumentumát szándékosan meghamisította.
•
a szabálysértés következtében az ONYF biztonsági rendszerének védelmi megoldásai illetéktelenek kezébe jutottak
•
a szabálysértés következtében bekövetkezett vagyoni hátrány (vagyoni kár, többletköltség) eléri a 10 000 forintot. A szabálysértővel kapcsolatban anyagi felelősséget is meg kell állapítani.
•
törvénysértés esetén a szabálysértés következtében súlyosan sérülnek a személyes adatok védelméről, és nyilvánosságra hozataláról szóló jogszabályok.
•
bűncselekmény gyanúja áll fenn.
Az informatikai biztonsággal kapcsolatos fegyelmi eljárás lefojtatását az alábbi személyekből álló bizottság hajtja végre: •
informatikai üzemeltetésért felelős vezető, vagy az általa delegált személy,
•
HR (Személyzeti, humán erőforrás) vezető, vagy az általa delegált személy,
•
a szabálysértő személy közvetlen munkahelyi vezetője,
•
Informatikai
Biztonsági
Felelős
vagy
Informatikai
Biztonsági
Összekö-
tő/adminisztrátor. Amennyiben a fegyelmi eljárás a felsorolt személyek valamelyikére irányul, új tagságot kell kijelölni. Ha a felhasználó által okozott szabálysértés anyagi kárral is jár, anyagi felelősséget is meg kell állapítani, és az okozott kárt a törvényeknek megfelelően ki kell fizettetni a kár okozójával.
A biztonsági események kivizsgálásakor gondoskodni kell: a) az esetlegesen érintett személy személyes adatainak védelméről; b) az érintett, bizonyítékot szolgáltató naplóállományok kivizsgálás idejére történő megőrzéséről; c) a kivizsgálás pontos dokumentálásáról, amely vizsgálati dokumentumnak a következőket kell minimálisan tartalmaznia: − a vizsgálatot elrendelő irat másolatát,
67
− a vizsgálat okát, − dátumát, − helyét (ez lehet a munkaállomás helye, de a szerver helye is), − időpontját, − a vizsgálatot végzők nevét, beosztását, aláírását, − a biztonsági esemény körülményeit, − a vizsgálat során vizsgált naplóállományok / könyvtárak /, állományok megnevezését, − a vizsgálat alapján megállapított (bizonyítható) tényeket, − azon okok megszüntetésére vonatkozó intézkedéseket, amelyekkel elkerülhetőek a későbbiekben a hasonló biztonsági események; A biztonsági eseménnyel kapcsolatban gondoskodni kell a vonatkozó utasításoknak megfelelően az értesítendő hatóságok szükség szerinti értesítéséről és a nyilvánossággal kapcsolatos kommunikációról.
68
5
A fizikai és a környezeti biztonság
Az ONYF fizikai és környezeti biztonságára vonatkozó minimális követelményeket ONYF szinten: •
tűzvédelem tekintetében a 19/2007. (Nyb.K 2.) számú utasítás
•
rendészet tekintetében a 36/2007. (Nyb.K.4.) számú utasítás és ennek 34/2008. (Nyb.K3.) számú módosítása tartalmazza.
Helyi szinten az egyes nyugdíj-biztosítási igazgatási szervek vonatkozó szabályzatai.
5.1 Másik fél megbízhatósága A szervezeti biztonsági politika keretében ki kell alakítani olyan biztonsági eljárásokat, amelyek ellenőrzik az elektronikus utasításokat, illetve tranzakciókat továbbító másik fél valódiságát, hitelességét. Ez jelszavak, intelligens kártyák, illetve kriptográfiai kulcsok megbízható kicserélésével valósítható meg.
5.2 Távműködtetés Távműködtetés esetén külön eljárásokat kell kidolgozni a távműködtető állomás(ok)hoz történő csatlakozás, illetve leválás meghatározására és végrehajtására vonatkozóan.
5.3 Biztonsági körletek Célkitűzés: A szervezet helyiségeit, telephelyeit és információit meg kell védeni a jogosulatlan hozzáféréstől, a károkozástól, valamint az illetéktelen beavatkozástól. A kritikus fontosságú vagy bizalmas információkat, feldolgozó eszközöket biztonságos körletekben kell elhelyezni, előírt, megfelelő biztonsági zónákkal, megfelelő biztonsági védelmi eszközökkel és beléptető-rendszerrel kell védeni. Az információ-feldolgozó eszközöket fizikailag is védeni kell a jogosulatlan hozzáférés, a károkozás, valamint az illetéktelen beavatkozás ellen. A kialakított biztonsági szintnek arányosnak kell lennie a megállapított kockázattal. Célszerű az „üres asztal - tiszta képernyő” szabály alkalmazásával csökkenteni a papírokhoz, az adat-
69
hordozókhoz és az információ-feldolgozó eszközökhöz való jogosulatlan hozzáférés és sérülés kockázatát. A „Géptermi rend” dokumentum létrehozása elengedhetetlen követelmény. 5.3.1
FIZIKAI BIZTONSÁGI ZÓNÁK
Az informatikai infrastruktúra elemeinek és a helyiségeknek a kockázatokkal és a tágabb értelemben vett értékükkel arányos fizikai védelmet kell biztosítani. A helyiségek kockázatarányos védelmének biztosítása érdekében biztonsági zónákat kell kialakítani: •
meg kell határozni az egyes zónákba belépésre jogosultak körét;
•
az egyes zónákba belépési jogosultsággal nem rendelkezők a meghatározott zónában csak az arra jogosultak felügyelete mellett tartózkodhatnak.
Ld. még 12.8.4 Informatikai biztonsági zónák. 5.3.1.1 A géptermi zónára vonatkozó fizikai biztonsági követelmények 1) A géptermi zóna kijelölése az Informatikai és Rendszerfejlesztési Főigazgató-helyettes feladata. 2) Az Informatikai és Rendszerfejlesztési Főigazgató-helyettes felelőssége gondoskodni a gépteremi zóna fizikai védelmét biztosító eszközök rendszeres karbantartásáról, ellenőrzéséről. 3) A biztonsági zónák ajtait munkaidőn kívül kulccsal zárni kell, amely kulcsokat lepecsételhető kulcsdobozban vagy aláírással, keltezéssel, egyéb hitelesítéssel ellátott lezárt borítékban kell a biztonsági szolgálathoz őrzésre leadni. A kulcsdobozokon fel kell tüntetni a felvételére jogosultak nevét, beosztását és az általuk használható pecsétnyomó számát, a borítékon a felvételre jogosultak nevét és beosztását. A felvételt és leadást kulcsnaplóban a biztonsági szolgálatnak vezetnie kell. 4) A munkaidőben felügyelet nélküli biztonsági zónákat zárni kell, a kulcsokat pedig biztonságosan kell tárolni. 5) Ha a védendő objektum ablakai, vagy egyéb bejutásra alkalmas nyílásai külső térből könnyen elérhetők, akkor ezen nyílászárókat, vagy nyílásokat biztonsági ráccsal kell ellátni.
70
6) Az ágazati szintű alkalmazásokat futtató számítóközpontokat, kiszolgáló-gép szobákat, teljes körű biztonságtechnikai jelzőrendszerrel (beléptető rendszer, elektronikus behatolás jelző, belső térvédelem és tűzvédelmi rendszer) kell ellátni. 5.3.1.2 A géptermi zónára vonatkozó környezeti biztonsági követelmények − Az informatikai objektumok közüzemi ellátását (áramellátás, fűtés, szellőzés, vízszolgáltatás, stb.) a vonatkozó szabályzatok, és hatósági előírások szerint kell biztosítani. Az Informatikai és Rendszerfejlesztési Főigazgató-helyettes feladata gondoskodni arról, hogy: •
a kiszolgáló-gépek elektromos hálózati áramellátása elkülönítésre kerüljön az egyéb hálózati áramellátástól;
•
az elektromos hálózatra veszélyes természeti csapások ellen túlfeszültség védelmi eszköz kerüljön alkalmazásra;
•
az ágazati szintű alkalmazások működését befolyásoló számítástechnikai és távközlési eszközök szünetmentes tápegységekkel legyenek ellátva;
•
az informatikai hálózat kábelei az egyéb elektromos (erősáramú hálózat, telefonhálózat, stb.) kábelektől elkülönítetten kerüljenek kiépítésre (így informatikai hálózati vezeték nem húzható semmilyen más kábelt vezető kábelcsatornába).
Balesetvédelmi előírások miatt információt szállító vezetékek, hardver elemek (monitor, nyomtató, számítógép, informatikai hálózati vezeték, stb.) nem kerülhetnek az objektumban hálózatba kötött közüzemi berendezések fémvezető képességű elemei (telefonvezeték, radiátorhálózat, klímaberendezés, vízvezeték hálózat stb.) közvetlen közelébe.
Ld. még 17. Informatikai biztonsági zónákra vonatkozó részletesebb követelményeket. 5.3.2
FIZIKAI BELÉPTETÉSI ÓVINTÉZKEDÉSEK
Ld. 17.2 A kiszolgáló-gépterem hozzáférési követelményei és 17. A biztonsági körletek látogatóit állandó felügyelettel kell ellátni és kísérni, belépésük és távozásuk dátumát és időpontját fel kell jegyezni. Ezeknek a személyeknek csak akkorra és oda szabad olyan hozzáférést biztosítani, amely megfelel a különleges és jogosult célnak, és olyan utasítással kell ellátni őket, amely leírja a körletre vonatkozó biztonsági követelményeket és a veszély-, vagy katasztrófahelyzetben követendő eljárásokat.
71
Az bizalmas (kényes) információkhoz és az információ-feldolgozó eszközökhöz való hozzáférést ellenőrizni kell és csakis az arra feljogosított személyzetre kell korlátozni. Minden hozzáférési jogosultság megadásához és a megadott jogosultság helyességének ellenőrzéséhez valamilyen jogosultság ellenőrzési mechanizmust kell alkalmazni, ilyen lehet például egy beléptető kártya, kiegészítve egy PIN-számmal. Egy olyan ellenőrizhetőségi naplót kell folyamatosan napra készen tartani, amely minden belépés, hozzáférés lényeges adatait tartalmazza. A személyzet minden tagjától meg kell követelni, hogy előírt azonosítóját jól látható módon viselje, és kész legyen arra, hogy leszólítson minden, védőkíséret nélkül csellengő idegent és bárkit, aki a látható azonosítót nem viseli, hogy milyen okból tartózkodik itt, kit keres, stb. A biztonsági körletekre vonatkozó hozzáférési jogosultságokat időről időre felül kell vizsgálni és naprakész állapotban kell tartani. GONDOSKODÁS AZ IRODÁK, A HELYISÉGEK ÉS AZ ESZKÖZÖK BIZTONSÁGÁRÓL
5.3.3
Az irodahelyiségekben tárolt informatikai eszközök és papír alapú adathordozók biztonsága érdekében a felhasználóknak: a)
tilos az irodai helyiségben külsős személyt felügyelet nélkül hagyniuk;
b)
a helyiséget be kell zárniuk, ha a helyiségben más kolléga nem tartózkodik;
c)
a bizalmas (kényes) adatokat tartalmazó nyomtatott adatokat, információkat zárható helyen kell tartaniuk.
A kulcsfontosságú eszközöket úgy kell elhelyezni, hogy a külvilág számára ne legyenek hozzáférhetők. Az épületek ne legyenek feltűnőek és ne mutassák céljukat, ne adják nyilvánvaló jelét - sem belül, sem kívül - annak, hogy abban információ-feldolgozó tevékenység folyik. Az olyan segédberendezések és eszközök, mint például a fénymásolók, a faxok, alkalmas módon, a biztonságos körleteken belül legyenek elhelyezve, hogy ezzel is elkerüljük az olyan hozzáférési igényeket, amelyek az információ veszélyeztetésével járna. Ajtók és ablakok, ha nincs a közelben felügyelő személyzet, zárva legyenek. Az ablakok külső védelméről is gondoskodni kell, különösen a földszinten. Megfelelő behatolás-érzékelő-rendszert kell létesíteni a szakmai előírások és szabványok szerint, amelyet időről időre helyben bevizsgálnak úgy, hogy az az összes külső ajtóra és hozzáférhető ablakra kiterjedjen. A felügyelet nélküli körleteket állandó riasztással kell ellátni. Más körleteket is le lehet fedni vele, mint például a számítógépterem vagy a távközlési / hálózati eszközök termei.
72
Az adott szervezet által kezelt és menedzselt információ-feldolgozó eszközöket fizikailag is célszerű elválasztani azoktól, amelyekkel külső felek foglalkoznak. A névtárakat és a belső telefonkönyveket, amelyek bizalmas (kényes) információkat feldolgozó eszközök helyét azonosítják, tilos a nagyközönség számára elérhetővé tenni. Veszélyes vagy gyúlékony anyagokat biztonságosan kell tárolni a biztonsági körlettől biztos távolságban. Az egyben és nagy tömegben leszállított árút, mint például az irodaszereket, a biztonsági körleten kívül kell tárolni addig, amíg fel nem használják azokat. A tartalékberendezést és a tartalékolt adathordozókat olyan biztonságos távolságban kell elhelyezni, amellyel elkerülhető, hogy a központi telephely katasztrófája esetén kárt szenvedjenek.
5.3.4
MUNKAVÉGZÉS BIZTONSÁGOS KÖRNYEZETBEN
A következő szabályokat kell betartani: a)
A munkatársak legyenek tudatában a biztonsági körlet létezésének, és hogy abban tevékenységet csak ismert okból szabad végezniük.
b)
A biztonsági körletben el kell kerülni a felügyelet nélküli munkát egyrészt a biztonság, másrészt a rosszindulatú tevékenység lehetőségének megelőzésére érdekében.
c)
A kiürített biztonsági körleteket fizikailag le kell zárni és időről időre ellenőrizni kell.
d)
A biztonsági körletekhez és a bizalmas (kényes) információt feldolgozó eszközökhöz csak korlátozott hozzáférést szabad adni és azt is csak a szükséges esetben a külső félként támogató munkát végző személyeknek. Ezt a hozzáférési jogosultságot engedélyeztetni és ellenőrizni kell. A biztonsági zónákon belül az olyan területek között, amelyeknek eltérők a biztonsági követelményeik, a fizikai hozzáférés ellenőrzésére további ellenőrzési pontokra és biztonsági zónákra, határokra lehet szükség.
e)
A fényképezést, video-, audió- vagy más felvételt nem szabad megengedni csak külön felhatalmazás formájában.
73
5.3.5
ELKÜLÖNÍTETT KISZÁLLÍTÁSI ÉS RAKODÁSI KÖRLET
Ezt a szabályozást olyan szállítmányokra kell érvényesíteni, amelyek biztonsági okokból magas fokú óvintézkedéseket igényelnek. Ilyenek lehetnek a közeljövőben: köztisztviselői elektronikus intelligens kártyák, egészségügyi kártyák, biztonsági okmányok illetve adathordozók, amelyek bizalmas, titkos illetve szigorúan titkos információkat tartalmaznak.
A kiszállítási és a rakodási körleteket ellenőrizni kell és ha lehetséges, a jogosulatlan hozzáférés elkerülése érdekében el kell különíteni az információ-feldolgozó eszközöktől. Az ilyen körletek biztonsági követelményeit kockázatbecsléssel kell meghatározni. A következő szabályokat kell kialakítani: a) Az épületen kívüli tárolótérhez való hozzáférés korlátozása az azonosítható és engedéllyel rendelkező személyzetre. b) A tárolóteret úgy kell megtervezni, hogy a szállítmányokat úgy lehessen lerakodni, hogy a kiszállító személyzet ne férjen hozzá az épület más részeihez. c) A tárolótér külső bejáratát/bejáratait be kell zárni abban az esetben, ha a belső ajtó nyitva van. d) A bejövő anyagokat a lehetséges veszélyekre tekintettel át kell vizsgálni mielőtt azok a tárolótérből végleges használati helyükre kerülnek. e) A bejövő anyagokat, ha lehetséges, már a telephelyre belépésükkor nyilvántartásba kell venni.
5.4 Gondoskodás a műszaki berendezések biztonságáról Célkitűzés: Meg kell előzni a vagyoni veszteséget, a károkat vagy az eszközök megrongálását, valamint a szervezeti/ ügyviteli tevékenységek folyamatosságának megszakadását. A berendezéseket fizikailag kell védeni a biztonsági fenyegetésektől és a környezeti veszélyektől. A berendezések védelme (beleértve az igazgatóságokon vagy működési helyeken kívül használtakat is) azért szükséges, hogy csökkentsük az illetéktelen adathozzáférés kockázatát, valamint, hogy védekezzünk az adatvesztés és az adatsérülés ellen. Ennek során figyelembe kell venni a berendezések telephelyekre történő elhelyezését és a selejtezési, megsemmisítési eljárást. Különleges óvintézkedésekre lehet szükség ahhoz, hogy bizonyos környezeti veszélyekkel és jogosulatlan hozzáféréssel szemben védekezzünk, továbbá megvédjük azokat a
74
létesítményeket, amelyek például a villamos energiaellátásról vagy a kábelezési infrastruktúráról gondoskodnak. 5.4.1
A MŰSZAKI BERENDEZÉSEK ELHELYEZÉSE ÉS VÉDELME
Az alábbi rendelkezéseknek összhangban kell állniuk a rendészeti szabályzattal.
A berendezéseket úgy kell elhelyezni és védeni, hogy csökkentsük a környezeti fenyegetések és veszélyek kockázatát, valamint a jogosulatlan hozzáférés lehetőségeit. A következő szabályozást kell kialakítani: •
A berendezéseket úgy kell elhelyezni, hogy a munkaterületekre történő fölösleges belépések számát minimalizáljuk.
•
A bizalmas (kényes) adatokat tároló és feldolgozó eszközöket úgy kell elhelyezni, hogy a használatuk alatt illegális tevékenység ne kerülhesse el a biztonsági felügyeletet ellátók figyelmét.
•
A különleges védelmet igénylő tételeket el kell különíteni azért, hogy az általánosan igényelt védelmi szint csökkenjen.
•
Olyan ellenőrzési mechanizmusokat, óvintézkedéseket kell megvalósítani, amelyek a következő fenyegetések kockázatát minimalizálják, mint például:
•
a)
a lopás;
b)
tűz;
c)
robbanóanyagok;
d)
füst;
e)
víz (vagy a vízellátás meghibásodása);
f)
köd;
g)
rázkódás;
h)
vegyi hatások;
i)
villamos energiaellátás zavarai;
j)
elektromágneses sugárzás.
Ki kell alakítani olyan szabályokat, amelyek az információ-feldolgozó eszközök közvetlen közelében folytatott étkezésre, folyadékfogyasztásra vagy dohányzásra vonatkoznak.
75
•
A környezeti feltételeket állandóan figyelni kell azért, hogy fel lehessen ismerni az olyan helyzeteket, amelyek az információ-feldolgozó eszközök működésére negatív hatással lehetnek.
•
Ha az informatikai berendezésekkel folyatott munkavégzés olyan környezetben történik, amely valójában ipari környezetnek megfelelő környezeti hatásokat vált ki a berendezéseken (pl. por, szennyezett levegő, vízpára stb.), ott különleges védelmi módszereket kell alkalmazni, mint pl. a billentyűzetet védő fóliák stb.
•
Védelmi intézkedéseket kell tenni vagy előkészíteni olyan esetekre, amelyek a közelben esetleg bekövetkező katasztrófák hatásainak mérséklésére irányulnak, mint pl. a szomszédos épületekben pusztító tűz, a tetőn keresztül vagy a földszint alól betörő víz, vagy valamilyen utcai robbanás.
5.4.2
ELEKTROMOS -ENERGIA ELLÁTÁS
A berendezéseket meg kell védeni a tápáram-ellátási zavaroktól és szünetektől. Olyan villamos energia betáplálást kell alkalmazni, amelyik megfelel a berendezés gyártó műszaki előírásainak. A konkrét helyzet konkrét elemzésétől függően, a feladatok ellátásához illeszkedő megoldást kell választani az elektromos energia ellátás folyamatosságának biztosítására. A szóba jövő lehetőségek: a)
a több utas betáplálás, hogy a tápáramellátásban egy ponton keletkezett hiba hatását elkerüljük;
b)
folyamatos, megszakításmentes tápegység alkalmazása (UPS);
c)
tartalék-áramforrás alkalmazása.
A folyamatos működést és a szabályos kikapcsolási folyamatot szolgáló UPS-t kell alkalmazni az olyan berendezésekhez, amelyek a szervezet, az ügymenet működése tekintetében kritikus fontosságúak. Az esetlegesen bekövetkező rendkívüli események kezelésére vonatkozó tervnek elő kell írnia azokat a tevékenységeket, amelyeket egy UPS meghibásodásakor el kell végezni. Az UPS-eket időről időre ellenőrizni kell, hogy elegendő-e a kapacitásuk, illetve tesztelni kell a gyártó ajánlása szerint. Egy tartalékgenerátor beállítását kell megfontolni, ha elvárt az, hogy az adatfeldolgozás és ügymenet folyamatos legyen egy eseteleges tartós áramkimaradás esetén is. A telepítés után a generátorokat időről időre a gyártó ajánlása szerint tesztelni kell. Megfelelő mennyiségű
76
üzemanyagnak kell rendelkezésre állnia annak érdekében, hogy a generátor eléggé hosszú ideig legyen működőképes. Ezen túlmenően a vészkikapcsolókat a vészkijáratok közelébe kell elhelyezni azokban a géptermekben, ahol fontos, hogy vészhelyzetben az áramellátást gyorsan le lehessen kapcsolni. Tartalékvilágításról is gondoskodni kell a fő energiaellátás meghibásodása esetére. Villámhárítót ajánlatos felszerelni valamennyi épületre, és villámvédő szűrőket kell alkalmazni az épületbe belépő valamennyi külső távközlési vonalra. 5.4.3
A KÁBELEZÉS BIZTONSÁGA
Az elektromos energia ellátás kábelezését, valamint az adattovábbításra és informatikai szolgáltatásokra használt távközlési kábeleket meg kell védeni a lehallgatásoktól és a károkozástól. A következő óvintézkedéseket kell megtenni: (a)
Az információ-feldolgozó rendszerekhez az energetikai és távközlési kábeleket, ahol az csak lehetséges, a föld alatt kell vezetni, vagy megfelelő alternatív védelemmel kell ellátni.
(b)
A hálózati kábelezést meg kell védeni a jogosulatlan lehallgatástól vagy károsodástól, például külön szigetelőcsöves megoldás alkalmazásával vagy a közterületen való vonalvezetés elkerülésével.
(c)
Az interferenciás zavarás elkerülése érdekében a hírközlő kábeleket külön kell vezetni az erősáramú kábelektől.
A bizalmas (kényes) adatokat feldolgozó és a kritikus fontosságú rendszerekhez további óvintézkedéseket kell kialakítani, amelyek magukban kiterjednek a következőkre: 1. A kábel végződtetési és ellenőrzési pontokon páncélozott kábeleket és zárható helyiségek, szekrények használatát kell előírni; 2. Alternatív útvonalak vagy alternatív átviteli közegek (pl. mikrohullám, rádiótávközlés stb.) alkalmazhatóságának lehetőségét meg kell teremteni; 3. Lehetőség szerint optikai kábeleket kell alkalmazni; 4. A kábelezés átfésülését (rendszeresen) kezdeményezni kell, hogy a jogosulatlanul csatlakoztatott eszközöket eltávolíttassák.
77
5.4.4
A BERENDEZÉS KARBANTARTÁSA
A berendezéseket korrekt módon kell karbantartani azért, hogy ezzel gondoskodjunk azok folyamatos rendelkezésre állásáról és épségéről. A következő óvintézkedéseket kell kialakítani: a. A berendezéseket a gyártó által ajánlott szervizidőszakok és - specifikációk (műszaki leírások) szerint kell karbantartani. b. A berendezéseken a javításokat és szerviz-tevékenységeket kizárólag az arra feljogosított személyzet végezheti. c. Minden gyanított és tényleges meghibásodásról, valamint valamennyi megelőző és javító karbantartásról feljegyzést kell készíteni. d. Megfelelő óvintézkedéseket kell életbe léptetni akkor, amikor berendezéseket karbantartásra házon kívülre küldenek. A szervezet részéről megkötött vagyon, felelősség illetve egyéb biztosítások által megszabott valamennyi követelményt ki kell elégíteni. 5.4.5
A BERENDEZÉEK TELEPHELYEN KÍVÜLI BIZTONSÁGA
A szervezet vezetőségének kell engedélyezni minden olyan berendezésnek a használatát, amelyen a szervezet számára, a telephelyein kívül végeznek információfeldolgozást, függetlenül a berendezés tulajdonjogától. Az így nyújtott biztonságnak egyenértékűnek kell lennie azzal, amelyet az ugyanazon célra házon belül használt berendezéseknél lehet elérni, figyelembe véve azt a kockázat növekedést, amelyet a szervezet számára telephelyen kívül végzett munka jelent. Információ-feldolgozó berendezés lehet bármilyen formájú adatfeldolgozó eszköz: személyi számítógép, elektronikus határidőnapló, mobiltelefon, papír vagy bármely olyan eszköz, amelyet otthoni munkára használnak vagy a szokásos munkahelyről elszállítanak. A következő óvintézkedéseket kell kialakítani: 1. A telephelyen kívülre szállított berendezések és adathordozók nem hagyhatók felügyelet nélkül addig, amíg közterületen vannak. A hordozható számítógépeket kézi poggyászban, és ahol lehet, utazás közben elrejtett módon kell szállítani. 2. A gyártók berendezés-védelmi utasításait mindenkor be kell tartani, például erős mágneses mezőnek nem szabad kitenni a mágneses, vagy félvezető alapú adathordozókat, számítógépeket. 3. Az otthoni munkavégzéshez szükséges óvintézkedéseket kockázatfelméréssel kell megállapítani és a helyzethez illeszkedő óvintézkedéseket kell alkalmazni, például
78
zárható tároló szekrényekben kell elhelyezni a számítógépet, az „üres íróasztal” szabályt kell betartani és a számítógépeken hozzáférés-ellenőrzést kell használni. 4. A telephelyen kívüli berendezések vagyon védelme érdekében illeszkedő vagyonbiztosítási konstrukciót kell alkalmazni. Az olyan biztonsági kockázatok, mint például a károkozás, az eltulajdonítás vagy a lehallgatás, helyről helyre jelentősen különbözhetnek, és ezt a helyzethez leginkább illeszkedő óvintézkedések meghatározásakor figyelembe kell venni. 5.4.6
A
BERENDEZÉSEK BIZTONSÁGOS ÚJRAHASZNOSÍTÁSA, LESELEJTEZÉSE VAGY
MEGSEMMÍSÍTÉSE
Berendezések gondatlan leselejtezése vagy újrahasznosítása a tárolt információ nyilvánosságra kerüléséhez vagy károsodásához vezethet. A bizalmas (kényes) információt tartalmazó tárolóeszközöket vagy meg kell semmisíteni, vagy biztonságosan felül kell írni az egyszerű, szokásos törlési művelet alkalmazása helyett. A berendezések valamennyi elektronikus adattároló részegységét, pl. a lemezegységeket, ellenőrizni kell annak érdekében, hogy meggyőződjünk arról, hogy a bizalmas (kényes) információt és a vásárolt szoftvereket arról eltávolították és felülírták, mielőtt leselejtezték volna. A bizalmas (kényes) információt tartalmazó, de sérült adattároló-eszközök kockázatfelmérést igényelhetnek annak meghatározására, hogy mi a jobb, az adott eszközt megsemmisíteni, megjavítani vagy elektronikus szemétként elszállíttatni.
5.5 Általános óvintézkedések, ellenőrzési mechanizmusok Célkitűzés: Meg kell védeni az információt és az információ-feldolgozó létesítményeket mindenféle károsodástól és eltulajdonítástól. Az információt és információ-feldolgozó létesítményeket meg kell védeni a jogosulatlan személyek által elkövetett a módosítástól, a lopástól vagy az információk jogosulatlan továbbítása, nyilvánosságra hozatalától. A veszteségeket és a károkozást minimalizáló óvintézkedéseket kell alkalmazni.
5.6 „Üres asztal - tiszta képernyő” szabály Be kell vezetni, és be kell tartatni az „üres asztal” szabály elfogadását, mind a papíralapú anyagokra, mind a hordozható adattároló-eszközökre, valamint a „tiszta képernyő” szabályt az információ-feldolgozó eszközökre vonatkozóan, hogy ezáltal lecsökkenjen a jogosulatlan 79
hozzáférés, az információvesztés és információkárosodásának kockázata, mind a rendes munkaidőben, mind azon kívül. Ennek a szabályozásnak figyelembe kell venni a 3.1.1 szakaszban felállított informatikai biztonsági osztályozást, a szóba jövő kockázatokat, valamint a szervezeti kultúrából származó sajátos szempontokat. Az íróasztalon kinnfelejtett információ könnyen megsérülhet vagy megsemmisülhet az olyan különféle katasztrófahelyzetekben, mint pl. a tűz, az árvíz, vagy a robbanás. A következő óvintézkedéseket kell megtenni: − A papíranyagokat és a számítógépek nem beépített adathordozóit megfelelő, zárható szekrényben vagy más, hasonlóan biztonságos szekrényben kell tárolni, amikor éppen nincsenek használatban, különösen a munkaidőn túli időszakokban. − A bizalmas (kényes) és kritikus fontosságú információt használaton kívül el kell zárni (ideális esetben tűznek ellenálló biztonsági széfben vagy szekrényben), különösen akkor amikor az iroda üres. − Személyi számítógépeket, munkaállomásokat és nyomtatókat nem szabad „bejelentkezve” hagyni akkor, amikor felügyelet nélkül maradnak, és a használaton kívüli számítógépekhez való biztonsági zárakkal, jelszavakkal vagy más intézkedésekkel kell védeni az eszközöket. − Az elektronikus levelezés fogadó és küldő logikai és fizikai pontjait, a felügyelet nélkül hagyott faxgépeket és telexgépeket védeni kell. − Fénymásoló gépeket le kell zárni (vagy más módon kell védeni a jogosulatlan használat ellen) különösen a rendes munkaidőn kívül. − A bizalmas (kényes) vagy minősített információt kinyomtatás után azonnal el kell távolítani a nyomtatóról. 5.6.1
AZ ESZKÖZÖK ELSZÁLLÍTÁSA
Engedély nélkül nem szabad berendezést, információt vagy szoftvert telephelyen kívülre szállítani. Ahol az elszállítás szükséges és értelmesen alkalmazható, a berendezést ki kell léptetni, és amikor visszaszállítják vissza kell léptetni. Helyszíni ellenőrzéseket kell végezni annak érdekében, hogy a vagyontárgyak illetéktelen eltávolítását észre lehessen venni. Az alkalmazottaknak tudniuk kell arról, hogy helyszíni ellenőrzéseket fognak végezni.
80
6
A kommunikáció és az üzemeltetés menedzselése 6.1 Az üzemviteli eljárások és felelősségek
Célkitűzés: Gondoskodni kell az információ-feldolgozó eszközök helyes, korrekt és biztonságos működéséről. Meg kell határozni az összes információ-feldolgozó eszköz és létesítmény igazgatására és üzemeltetésére vonatkozó felelősségeket, hatásköröket, feladatokat és eljárásokat. Ezeknek az eljárásoknak tartalmazniuk kell az üzemeltetési, üzemviteli utasítások kidolgozását és az eseményekre, rendkívüli eseményekre adandó válaszokhoz kapcsolódó eljárásokat. Ahol az értelmezhető és megoldható, ott a munkaköröket szét kell választani, el kell határolni azért, hogy a rendszerben akár szándékosan akár gondatlanul okozott károk kockázatát csökkentsék. 6.1.1
ÜZEMELTETÉSI ELJÁRÁSOK, FELELŐSSÉGI KÖRÖK
6.1.1.1 Szoftverek kiosztása Olyan belső ellenőrzési intézkedéseket kell kialakítani, amelyek biztosítják, hogy az egyes szoftver-elemek sértetlenül a megfelelő helyre kerüljenek a megfelelő időben, és mindez megfelelően ellenőrizhető legyen (az ellenőrzési naplón keresztül). 6.1.1.2 Eltérések a munkafolyamatok előírt ütemezéstől Megfelelő eljárásokat kell kialakítani a munkafolyamatok előírt ütemezésétől történő eltérések megállapítására, kivizsgálására és jóváhagyására vonatkozóan. 6.1.1.3 Speciális nyomtatványok és output eszközök védelme A speciális nyomtatványok, és a bizalmas jellegű output eszközök megfelelő fizikai védelmét biztosítani kell, figyelembe véve a további védelmet és készlet-gazdálkodást igénylő informatikai erőforrások, nyomtatványok illetve tételek megfelelő elszámolását. 6.1.2
AZ ADATOKAT VESZÉLYEZTETŐ SZOFTVEREK ELLENI VÉDEKEZÉS A rossz szándékú szoftverek vonatkozásában, mint amilyenek a számítógépes vírusok
vagy a “trójai falovak”, a vezetésnek megfelelő megelőző, észlelési és korrekciós mechanizmusokat, válaszlépéseket és jelentési eljárásokat kell kidolgoznia. Az ONYF vezetőségének 81
és az Informatikai Főosztály vezetésének gondoskodnia kell arról, hogy a szervezet egészére kiterjedően megfelelő eljárások kerüljenek kialakításra a számítógépes vírusokkal szembeni védelem érdekében. A fenti eljárásoknak a vírusvédelemre, a vírusok felderítésére, a megfelelő válaszlépésekre és a jelentési kötelezettségekre egyaránt ki kell terjedniük. Ld. még 26 A nem-kívánt programok (vírusok, trójai falovak, „spyware”, stb.) elleni védelem 6.1.3
DOKUMENTÁLT ÜZEMELTETÉSI ELJÁRÁSOK
A biztonsági irányelvekben meghatározott üzemeltetési eljárásokat dokumentálni kell és napra készen kell tartani. Az üzemeltetési eljárásokat hivatalos dokumentumoknak kell tekinteni, és azok változtatásait a vezetőséggel engedélyeztetni kell. Az eljárások leírásainak részletesen tartalmazniuk kell mindegyik munkafeladat részletes végrehajtására vonatkozó utasításokat, beleértve az alábbiakat: − az információ kezelését és feldolgozását; − a követelmények végrehajtási sorrendjének ütemezését, beleértve az összefüggéseket más rendszerekkel, a legkorábbi munkafeladat elkezdésének, valamint a legkésőbbi munkafeladat befejezésének az idejét; − a hibáknak és olyan, más kivételes helyzeteknek a kezelésére vonatkozó utasításokat, amelyek a munkafeladat végrehajtása során léphetnek fel, a rendszerprogramok alkalmazásának lehetőségeire vonatkozó feltételeket, korlátozásokat is ideértve; − a váratlan üzemeltetési és műszaki nehézségek eseteire vonatkozó támogatási szerződéseket; − a különleges rendszerkimenetek kezelésére vonatkozó utasításokat, mint például a különleges papíranyagok, nyomtatványok, nyomdai termékek használata, vagy a bizalmas minősítésű anyagok kezelése, beleértve a munkafeladatok hibás eredményhez vezető végrehajtásából származó kimenetek biztonságos megsemmisítési eljárásait; − a rendszer újraindításának és visszaállításának eljárásait, amelyeket a rendszerhibák bekövetkezése esetén kell alkalmazni.
A rendszergazdák olyan tevékenységeit is dokumentált eljárásokban kell szabályozni, amelyek az információ-feldolgozó és a távközlési, hálózati kommunikációs eszközökkel kapcsola-
82
tosak, mint például a számítógépek bekapcsolási és leállítási eljárásai, a biztonsági mentések, a berendezések karbantartása, a számítógépterem és a levelezés kezelése, valamint a munkahelyi egészség és biztonság védelmére vonatkozó („munkavédelmi”) eljárásokat. 6.1.4
AZ ÜZEMVITELI VÁLTOZÁSOK ELLENŐRZÉSI MECHANIZMUSA ÉS KÉZBEN TARTÁSA
Az információ-feldolgozó létesítmények, eszközök és rendszerek változásait figyelemmel kell kísérni ellenőrizni kell. Az információ-feldolgozó eszközök és rendszerek változásainak elégtelen ellenőrzésének következménye sok biztonsági és rendszerhiba. A hivatalos vezetői felelősségeket és a hozzájuk kapcsolódó igazgatási, irányítási eljárásokat a gyakorlatban be kell vezetni és alkalmazni kell annak érdekében, hogy ezzel kielégítő ellenőrzési mechanizmust valósítsanak meg minden berendezés, szoftver vagy eljárási változás felett. Az üzemeltetéshez nélkülözhetetlen programokat (szoftvereket) szigorú változásellenőrzés alatt kell tartani. Valahányszor ezek a programok változnak, meg kell őrizni azt az ellenőrizhetőségi, nyomonkövetési naplót, amely minden, a változtatásra vonatkozó információt tartalmaz. Az üzemviteli környezet megváltozása hatással lehet az alkalmazásokra is. Az üzemviteli és az alkalmazási rendszer változtatáskezelési eljárásokat, ha az lehetséges és célszerű, össze kell hangolni, integrálni kell. Különösen a következő óvintézkedéseket kell megfontolni: a) a jelentős változtatások azonosítását és feljegyzését; b) az ilyen változások lehetséges hatásainak felmérését; c) a tervezett változtatások szabályos, hivatalos jóváhagyási eljárását; d) a változások minden lényeges részletének a közlését minden arra illetékes személlyel; e) azokat az eljárásokat, amelyek a sikertelen változtatások félbeszakítására és az utána történő rendszer-visszaállításra vonatkozó felelősöket, hatásköreiket és feladataikat meghatározzák.
6.1.5
A RENDKÍVÜLI (BIZTONSÁGI) ESEMÉNYEK KEZELÉSÉNEK ELJÁRÁSA
A rendkívül (biztonsági) esemény kezelésének a felelőseit, hatáskörüket, feladataikat és alkalmazandó eljárásaikat előre meg kell állapítani azért, hogy a rendkívüli (biztonsági) eseményekre gyorsan, eredményesen és szabályszerűen reagáljanak. A következő óvintézkedéseket kell megfontolni: a) A rendkívüli biztonsági események minden lehetséges fajtáját lefedő eljárásokat kell kidolgozni, beleértve:
83
1) az informatikai rendszerek hibáit és az informatikai szolgáltatások megszűnését; 2) túlterheléses támadást (a szolgáltatások leállítása végett); 3) a nem teljes és nem pontos szervezeti („ügyviteliügyviteli”) adatok következtében előálló hibákat; 4) a titkosság megsértését. b) Az előírt katasztrófa elhárítási terven túlmenően, amelyet arra terveztek, hogy a lehető leggyorsabban visszaállítsuk a rendszereket és a szolgáltatásokat, az eljárásoknak még a következőket kell lefedniük: 1) az esemény okának elemzését és azonosítását; 2) Az olyan ellenintézkedések megtervezését és megvalósítását, amelyek, ha szükséges, megelőzik ezek megismétlődését; 3) az ellenőrizhetőségi és nyomon-követési naplók és hasonló bizonyítékok összegyűjtését; 4) Tájékozódás lefolytatását azokkal a személyekkel, akikre valamilyen hatást gyakorolt az esemény vagy részt vettek az utána következő helyreállításban; 5) Az illetékes hatóságnak szóló jelentés elkészítését, amely az események kezelésének illetve következményeinek elhárítása érdekében végzett tevékenységről szól; c) az ellenőrizhetőségi és nyomon-követési naplókat és hasonló bizonyítékokat össze kell gyűjteni és a lehetőségekhez képest biztonságosan kell őrizni abból a célból, hogy 1) elemezzék a belső problémákat; 2) a lehetséges szerződésszegés, a hatósági szabályozási követelmények megsértése, a polgári vagy büntető-jogi eljárások esetében bizonyítékként használják, mint például a számítógépes visszaélés vagy az adatvédelmi jogszabályok alá tartozó esetekben; 3) a szoftver-szállítókkal és a szolgáltatást nyújtókkal a kártérítésről folytatott tárgyalások esetén rendelkezésre álljanak. d) A biztonság megsértése utáni rendszer visszaállítási valamint a rendszerhibák kijavításával kapcsolatos tevékenységeket gondosan és hivatalos eljárás keretében kell ellenőrizni. Az ilyen eljárások szavatolják, hogy: 1) csak az egyértelműen azonosított és az arra feljogosított munkatársak kaphassanak engedélyt arra, hogy az éles (üzemi) rendszerekhez és adatokhoz hozzáférhessenek; 2) valamennyi rendkívüli esemény kezelésére vonatkozó tevékenységet részletesen dokumentálása kötelezően megtörténjen (katasztrófa, vész- vagy vészhelyzet stb.); 84
3) a rendkívüli esemény kezelésére vonatkozó tevékenységekről jelentést kelljen készíteni a vezetőség számára, és rendszeres felülvizsgálatokat, ellenőrzéseket kelljen végrehajtani az elvégzett tevékenységekre vonatkozóan; 4) a szervezeti („ügyviteli”) információrendszerek és az azokra vonatkozó ellenőrzési mechanizmusok épségét, sértetlenségét a lehető legrövidebb időn belül meg kell erősíteni.
6.1.6
MUNKAKÖRÖK SZÉTVÁLASZTÁSA
A munkakörök szétválasztása az a módszer, amely minimalizálja a véletlen és a szándékos visszaélésekből, károkozásból eredő kockázatot. Meg kell vizsgálni az egyes munkakörök szétválasztását annak megfelelően, hogy egyes munkakörök vezetői feladatokat mások végrehajtói feladatokat fedjenek, illetve a feladat-, hatás-, és felelősségi-köröket annak érdekében, hogy az információ jogosulatlan módosításához vagy visszaéléshez vezető lehetőségek esélyét csökkentsük. A biztonsági átvilágító auditálásnak minden körülmények között függetlennek kell maradnia. Különösen figyelni kell arra, nehogy csalást követhessenek el olyan munkatársak, akik kizárólagos felelősséggel, egyedül járnak el bizonyos ügyekben, illetve ne maradhasson felfedezetlen, ha mégis csalás történik. Bármely szervezeti (ügyviteli, gazdasági) esemény kezdeményezésének, függetlennek kell lenni az azt engedélyező lépésektől. A következő ellenőrzési mechanizmusok bevezetését kell megvizsgálni az egyes helyeken: a) Fontos az olyan tevékenységek elválasztása, amelyek összejátszással járhatnak azért, hogy megakadályozzuk az esetleges csalásokat, például megrendelés feladását és a beérkezett termékek átvételét ne végezhesse ugyanaz a személy. b) Ha fennáll az összejátszás veszélye, akkor olyan ellenőrzési mechanizmust kell kialakítani, amelyben két vagy három személynek kell részt vennie azért, hogy ezzel csökkenjen az összejátszás lehetősége.
6.1.7
A FEJLESZTÉSI ÉS AZ ÜZEMELTETÉSI KÖRNYEZET SZÉTVÁLASZTÁSA
A fejlesztési, a bevizsgálási (tesztelési) és az üzemeltetési környezet szétválasztása azért fontos, mert ezzel lehet egyúttal elérni azt is, hogy a szóba jövő szerepeket, munkaköröket elkülönítsék. Azokat a szabályokat, amelyek szerint valamely szoftvert a „fejlesztés alatt levő
85
szoftver” állapotból, az üzemeltetendő szoftverek közé soroljuk át, meg kell határozni és dokumentálni kell. A fejlesztési és a bevizsgálási tevékenységek komoly nehézségeket okozhatnak, például nem kívánatos módon módosulhatnak az adatállományok, változhat a rendszerkörnyezet vagy rendszerhibák léphetnek fel. A fejlesztési, a bevizsgálási és az üzemeltetési környezet szétválasztásának az üzemeltetési nehézségek elkerüléséhez szükséges mikéntjét meg kell határozni. Hasonló szétválasztást kell megvalósítani a fejlesztésért és a bevizsgálásért felelős szervezeti funkciók között. Ebben az esetben fenn kell tartani az ismert és stabil környezetet, amelyben a fejlesztett rendszer szempontjából értelmes bevizsgálásokat (tesztelést) elvégezzük, és ugyanakkor elkerüljük azt, hogy a fejlesztők illetéktelenül férjenek hozzá a rendszerhez. Ahol a fejlesztő és a bevizsgáló személyzet hozzáférhet az üzemelő rendszerhez és az éles, üzemi rendszerbeli információhoz, ott ezek a munkatársak képessé válnak nem engedélyezett és bevizsgálatlan kódok beiktatására vagy az üzemelő rendszer adatainak megváltoztatására. Egyes rendszereken ezzel a képességgel vissza lehet élni, csalásokat lehet elkövetni, vagy pedig bevizsgálatlan illetve rosszindulatú programkódokat lehet beiktatni. A bevizsgálatlan vagy rosszindulatú programkód komoly üzemi nehézségeket okozhat. A fejlesztők és a bevizsgálók az üzemelő rendszerben tárolt információ titkosságára is fenyegetést jelenthetnek. A fejlesztési és bevizsgálási tevékenységek szándékolatlanul is okozhatnak változást a szoftverben vagy a rendszerben tárolt információban, ha ugyanazon a számítástechnikai környezeten osztozkodnak. A fejlesztési, a bevizsgálási és az üzemeltetési környezetek szétválasztása azért is célszerű, mert az üzemelő rendszer szoftvereinek és a szervezeti (ügyviteli) adatoknak véletlen változtatására vagy a jogtalan hozzáférésükre vonatkozó kockázatokat lecsökkentjük. A következő ellenőrzési mechanizmusok bevezetését kell az egyes terülteken megvizsgálni: a) A fejlesztési környeztet és az üzemelő („éles”) rendszert és szoftvereit, ahol az csak lehetséges, különböző számítógépeken, vagy különböző hálózati tartományokban vagy különböző könyvtárakban kell futtatni. b) A fejlesztési és bevizsgálási tevékenységeket, amennyire az csak lehetséges, szét kell választani. c) Programozási nyelvek fordító szoftvereit, a szövegszerkesztőket és egyéb rendszertámogató szoftvereszközöket nem szabad elérhetővé tenni az üzemi rendszerből, hacsak erre valamilyen okból nincs szükség. d) A hibák kockázatának csökkentése végett a fejlesztési és a bevizsgálási környezetbe eltérő bejelentkezési eljárással lehessen csak belépni. A felhasználókat arra kell felszólítani, hogy ezekhez a rendszerekhez különböző jelszavakat alkalmazzanak, és a me86
nük a konkrét rendszer (fejlesztési vagy bevizsgálási) azonosítására szolgáló, arra alkalmas azonosító üzeneteket jelenítsenek meg. e) A fejlesztő munkatársaknak csak ott szabad hozzáférést kapnia az üzemelő rendszer jelszavaihoz, ahol az üzemi rendszer kezelésére való jelszavak kiadásánál megfelelő ellenőrzési mechanizmusok és óvintézkedések vannak érvényben. Az óvintézkedéseknek gondoskodniuk kell arról, hogy az ilyen jelszavakat használat után lecseréljék. 6.1.8
KÜLSŐ FÉL ÁLTAL VÉGZETT LÉTESÍTMÉNYGAZDÁLKODÁS
Az információ-feldolgozó létesítmények kezelésére alkalmazott külső szerződő fél fokozott biztonsági veszélyt jelenthet, mert a szerződő fél veszélyeztetheti az adatok épségét, károsíthatja az adatokat, adatvesztést okozhat. Még idejekorán kell feltárni az ebből eredő kockázatokat, és a kellő óvintézkedéseket, ellenőrzési mechanizmusokat egyeztetni kell a szerződő féllel, majd bele kell foglalni a szerződésbe (ld. még 2.3.2 Külső szervezettel kötött szerződés biztonsági követelményei). Azok a területek, amelyeket meg kell vizsgálni és szabályozni kell, a következők: a) azoknak a bizalmas adatokat kezelő vagy kritikus fontosságú alkalmazásoknak a kijelölése, amelyek üzemeltetését helyesebb házon belül tartani; b) a szervezeti (ügyviteli) alkalmazások (információrendszerek) felelőseinek egyetértése, jóváhagyása a rendszerek kijelöléséről; c) a kiválasztott rendszereket be kell illeszteni az ügymenet-folyamatossági tervekbe; d) az előírandó biztonsági szabványok összeállítása, valamint az a folyamat, amellyel a szabványoknak történő megfelelőséget értékeljük ki; e) a biztonsággal kapcsolatos feladat-, hatás- és felelősségi körök és eljárások kialakítása, valamint az összes biztonsági tevékenység eredményes nyomon követése, f) a rendkívüli és egyéb biztonsági események kezelésére feladat-, hatás- és felelősségi körök és eljárások kialakítása, amelyek tartalmazzák az eseményekről szóló jelentések elkészítésére vonatkozó felelősségeket és eljárásokat (lásd a 6.1.6 Munkakörök szétválasztása szakaszt).
6.2
A rendszerekre vonatkozó tervkészítés és átvételi eljárás
Célkitűzés: Minimalizálni kell a rendszerhibák előfordulásának kockázatát. Korszerű tervkészítési és előkészítési módszerekre van szükség ahhoz, hogy biztosítani lehessen azt, hogy a szükséges erőforrások és kapacitások a rendszerekben rendelkezésre álljanak. 87
Előre jelezni kell a jövőben várható kapacitásigényt annak érdekében, hogy lecsökkentsük a rendszer túlterhelésének kockázatát. Már az átadás-átvételi eljárás és a tényleges használatba vétel előtt meg kell állapítani, dokumentálni kell, és le kell ellenőrizni az új rendszerek üzemeltetési igényeit. 6.2.1
KAPACITÁSTERVEZÉS
Nyomon kell követni a kapacitásigényt és el kell készíteni a jövőre vonatkozó kapacitáskövetelményekre vonatkozó előrejelzéseket annak érdekében, hogy megfelelő számítógépprocesszor kapacitás (és így adatfeldolgozási teljesítmény) és háttér-tárlóhely álljon rendelkezésre. Ezeknek az előrejelzéseknek az új szervezeti (ügyviteli) és az új rendszerkövetelményeket figyelembe kell venniük, valamint a szervezet információfeldolgozásának jelenlegi és előre jelzett tendenciáit. Különös figyelmet érdemelnek a számítóközpontok nagy gépei (mainframe, nagy teljesítményű RISC számítógépek), mivel lényegesen költségesebbek, és sokkal több időt igényel az új kapacitások beszerzése. A számítóközpont szolgáltatásokért felelős vezetőinek nyomon kell követniük a kulcsfontosságú erőforrások kihasználtságát, beleértve a központi egységek processzorait, központi memóriájukat, háttértárolóikat, nyomtatóikat és egyéb adatkimeneti eszközeit, valamint távközlési, kommunikációs rendszereit. A számítóközpont vezetőinek fel kell ismerniük a felhasználási szokások változásainak tendenciáit, különösen azokat, amelyek kapcsolódnak a szervezeti (ügyviteli) alkalmazásokhoz, vagy a vezetői információrendszerek eszközeihez. A számítóközpont vezetőinek ezen információk felhasználásával fel kell ismerniük a potenciális szűk keresztmetszeteket, amelyek fenyegetést jelenthetnek a rendszerbiztonságra és a végfelhasználói szolgáltatásokra, és ajánlatos ennek megfelelő kiküszöbölési tevékenység tervezése. 6.2.2
A RENDSZER ÁTADÁS-ÁTVÉTELE
Az új információrendszerek, a rendszer frissítések, aktualizálások és az új verziók átadásátvételi követelményeit meg kell határozni, és az átadás-átvétel előtt el kell végezni a vonatkozó rendszerbevizsgálásokat, teszteléseket. A vezetőknek gondoskodniuk kell arról, hogy az új rendszerek átadás-átvételi követelményei és kritériumai egyértelműen meg legyenek határozva, az illetékes vezetők részéről jóváhagyva, dokumentálva és leellenőrizve. Ki kell alakítani ellenőrzési mechanizmusokat, óvintézkedéseket a következő területekre:
88
a) a számítógépek teljesítményével és a számítógép kapacitásával szemben szabott követelmények; b) a hibák utáni visszaállítás és az újraindítási eljárásai, a katasztrófa utáni helyreállítási tervek; c) a belső szabványok, szabályzatok által előírt rutin üzemeltetési eljárások előkészítése és bevizsgálása; d) az illetékes vezetők jóváhagyása szerinti biztonsági ellenőrzési mechanizmusok és óvintézkedések kialakítása; e) eredményes és hatékony manuális eljárások; f) az ügymenet folyamatosságának érdekében hozott intézkedések, (ld.9Az ügymenet folyamatosságának ); g) annak bizonyítékai, hogy az új rendszer üzembe helyezése előtt megvizsgálták azt, hogy az új rendszer nem gyakorol kedvezőtlen hatásokat a meglévő rendszerekre, különösen nem az olyan feldolgozási csúcsidőkben, mint például az éves, vagy hó végi csúcsidőszakok; h) annak bizonyítékai, hogy igenis figyelmet fordítottak arra a hatásra, amit az új rendszer üzembe helyezése okoz a szervezet általános biztonságára; i) az új rendszerek üzemeltetésének, illetőleg használatának a betanítása. Lényegesebb új fejlesztések esetében konzultálni kell mind az üzemeltetőkkel, mind a felhasználókkal a fejlesztési folyamat minden lépéséről annak érdekében, hogy gondoskodjunk a javasolt rendszer tervének üzemi hatékonyságáról. Megfelelő bevizsgálásokat kell elvégezni annak igazolására, hogy az átvételi kritériumok teljes mértékben teljesülnek.
6.3
Védelem rosszindulatú szoftver ellen
Célkitűzés: Megvédeni a szoftver és az információ épségét, sértetlenségét. Elővigyázatossági intézkedésekre van szükség ahhoz, hogy rosszindulatú szoftver betelepülését megelőzzük és észleljük. A szoftver és az információ-feldolgozó eszközök igencsak sérülékenyek az olyan rosszindulatú szoftverek betelepülésével szemben, mint a számítógépvírusok, a hálózati férgek, a trójai falovak és a logikai bombák. A felhasználóknak tudatában kell lenniük, hogy a jogosulatlan és a rosszindulatú szoftverek milyen veszélyesek, a vezetőknek, ahol csak lehet, különleges óvintézkedéseket és ellenőrzési mechanizmusokat kell bevezetniük azért, hogy észleljék azokat a szoftvereket és megakadályozzák betelepülésüket. Különö-
89
sen az a lényeges, hogy a személyi számítógépek esetében óvintézkedéseket tegyünk a számítógépvírusok észlelésére és betelepülésüknek megelőzésére. 6.3.1
A ROSSZINDULATÚ SZOFTVER ELLENI VÉDELEM, ÓVINTÉZKEDÉSEK
A rosszindulatú szoftver elleni védelem érdekében észlelő és megelőző óvintézkedéseket kell tenni, valamint, szervezeti eljárásokat, folyamatokat kell megvalósítani a felhasználókban a veszélyek tudatosítására. A rosszindulatú szoftver elleni védelmet a tudatos biztonság, a korrekt rendszer-hozzáférés és változáskezelés ellenőrzésére kell alapozni. A következő ellenőrzési mechanizmusokat, óvintézkedéseket kell megfontolni: a) egy hivatalos szabályzat létrehozását, amely megköveteli a szoftver licencekben rögzített szabályoknak történő megfelelést és megtiltja a jogtalan szoftver használatot; b) egy hivatalos szabályzat létrehozását, amely véd az olyan kockázatok ellen, amelyek adatállományoknak és szoftvereknek külső hálózatokból történő letöltésével, vagy bármely más adathordozó segítségével történő megszerzésével kapcsolatosak, és amely szabályzat azt is meghatározza, hogy milyen védelmi intézkedéseket kell hozni; c) a vírusokat észlelő (detektáló) és hatásait kijavító szoftver telepítését és szabályos időközönkénti frissítését, valamint a számítógépek és az adathordozók rendszeres átvizsgálását akár elővigyázatossági óvintézkedésként, akár rutin feladatként; d) a kritikus fontosságú szervezeti („ügyviteli”) folyamatokat segítő rendszerek szoftverének és adattartalmának szabályos időközönkénti felülvizsgálatát. Hivatalos vizsgálatot kell indítani a nem engedélyezett adatállományok és a jogosulatlan módosítások esetében, ha vannak ilyenek; e) a bizonytalan eredetű vagy nem engedélyezett forrásból származó elektronikus adathordozón kapott, vagy a nem megbízható hálózaton keresztül kapott állományok használat előtti vírusfertőzöttség ellenőrzését; f) minden elektronikusan kapott levélmelléklet és adatállomány-letöltések rosszindulatú szoftverrel való fertőzöttségének használat előtti ellenőrzését. Ez az ellenőrzés különböző helyeken történhet, például az elektronikus levelezőrendszer szerverén, asztali számítógépeken, vagy akkor, amikor a szervezet hálózatába belépnek; g) a rendszerek vírusvédelmével foglalkozó, ezek használatát betanító, a vírustámadásról jelentést készítő és azokból helyreállítást végző szervezeti eljárásokat, folyamatokat, feladat-, hatás és felelősségi köröket meg kell határozni;
90
h) helyes ügymenet folyamatossági terveket, amelyek a vírustámadás utáni helyreállításra vonatkoznak, beleértve valamennyi szükséges adatmentési, szoftverrendszer mentési és visszaállítási eljárásokat; i) azokat az eljárásokat, amelyek a rosszindulatú szoftverrel kapcsolatos információk helyességét hivatottak igazolni és gondoskodnak arról, hogy a vírusfigyelmeztető kiadványok pontosak és információban gazdagok legyenek. A vezetőknek kell gondoskodniuk arról, hogy a megtévesztés és a valódi vírus közötti megkülönböztetésre megbízható forrásokból származó anyagokat használjanak fel, tekintélyes szaklapokat, megbízható Internet helyekről vagy vírusvédő szoftverek szállítóitól. A személyzetben tudatosítani kell a megtévesztések problémáját és azt is, hogy mit kell tenniük, ha ilyent kapnak. Ezek az intézkedések különösen fontosak az olyan hálózati fájlkezelő szerverek esetében, amelyek sok munkaállomást szolgálnak ki.
6.4 Rendszerkarbantartás Célkitűzés: Fenn kell tartani az információfeldolgozás és a hírközlési, hálózati kommunikációs szolgáltatások sértetlenségét és rendelkezésre állását. Az egyeztetett mentési stratégia végrehajtására rutin eljárásokat kell kialakítani: az adatok biztonsági másolatának készítésére, az adatok időben történő visszaállításának rendszeres gyakorlására, kipróbálására, az események és meghibásodások naplózására és ahol lehet, az informatikai berendezések környezetének megfigyelésére, az események nyomon követésére. 6.4.1
INFORMÁCIÓMENTÉS
A lényeges szervezeti (ügyviteli) információk és szoftverek biztonsági másolatait időről időre el kell készíteni. Megfelelő mentési eszközöket kell biztosítani, hogy minden lényeges szervezeti (ügyviteli) információ és szoftver helyreállítható legyen akármilyen katasztrófa vagy adathordozó meghibásodása után. Az egyes rendszerek mentési intézkedéseit időről időre tesztelni kell annak érdekében, hogy az ügymenet-folytonossági tervben meghatározott követelményeket kielégítsék. A következő ellenőrzési mechanizmusokat, óvintézkedéseket, kell kialakítani: a) A mentésekről nyilvántartandó információ minimális szintjét, a mentések pontos és teljes rekordjaival együtt, valamint a visszaállítási eljárások dokumentációját távoli telephelyen kell tárolni, elég távol ahhoz, hogy bármely rongálódástól meg legyenek 91
kímélve, ha a főtelephelyen katasztrófa következnék be. A lényeges szervezeti (ügyviteli) információkból a mentett információnak legalább három generációját vagy ciklusát kell tárolni. b) A mentett információt megfelelő szintű fizikai és környezeti védelemmel kell ellátni (összhangban a központi telephelyen alkalmazott szabvánnyal). Az adathordozókra vonatkozó, a központi telephelyen érvényesített óvintézkedések hatályát ki kell terjeszteni a mentések elhelyezési körletére is. c) A biztonsági másolat adathordozóit, ahol az kivitelezhető, időről időre meg kell vizsgálni annak érdekében, hogy megbizonyosodjunk arról, hogy azokra akkor is számíthatunk, ha vészhelyzetben szükségünk lesz felhasználásukra. d) A helyreállítási eljárásokat időről időre ellenőrizni és vizsgálni kell annak érdekében, hogy megbizonyosodjunk arról, hogy eredményesek és elvégezhetőek azon idő alatt, amelyet az üzemi eljárások a helyreállításra megszabtak. Mind a lényeges szervezeti (ügyviteli) információra mind az archivált másolatokra - amelyeket tartósan tárolni kívánunk - vonatkozó megőrzési időszakot meg kell határozni. 6.4.2
RENDSZERKEZELÉS NAPLÓZÁSA
A kezelőszemélyzet tevékenységeiről készülő naplózás szolgáltatásainak folyamatosságát biztosítania kell, a naplózással kapcsolatos feladatokat el kell látniuk. Ennek a naplónak magában kell foglalnia a következőket, (természetesen csak ott ahol ez értelmes): a) a rendszerindítások és leállítások időpontjait; b) a rendszerhibákat és a megtett helyreigazító, helyreállító tevékenységeket; c) az adatállományok és a számítógép-kimenetek helyes, korrekt kezelésének bizonylatolását; d) annak a személynek a nevét, aki a naplóbejegyzést tette, illetve akinek bejelentkezési neve alatt az automatikus naplózás történt. A rendszerkezelési naplókat időről időre az üzemeltetési eljárásokban előírt szabályozással összevetve - független ellenőrzésnek kell alávetni. 6.4.3
HIBANAPLÓZÁS
A meghibásodásokat jelenteni kell és a helyreigazító, helyreállító tevékenységet el kell végezni. A felhasználók által jelentett meghibásodásokat, amelyek az információ feldolgozással
92
vagy a távközlési, hálózati kommunikációval kapcsolatosak, naplózni kell. Egyértelmű szabályokat kell lefektetni a jelentett meghibásodások kezeléséről, beleértve: a) a hibanaplók áttekintését, felülvizsgálatát annak érdekében, hogy gondoskodjanak arról, hogy a meghibásodásokat kielégítő módon oldották meg; b) a helyreigazító, helyreállító intézkedések ellenőrzését, felülvizsgálatát annak érdekében, hogy gondoskodjanak arról, hogy az ellenőrzési mechanizmusokban, az óvintézkedésekben nem keletkezett hiba, biztonsági rés, vagy egyéb kár, és hogy minden elvégzett tevékenységet az erre illetékes engedélyezett.
6.5 Hálózatkezelés Célkitűzés: A hálózaton át haladó információt védeni kell és meg kell óvni minden károsodástól, továbbá meg kell védeni ezt az információ-továbbítást lebonyolító infrastruktúrát.
Olyan hálózatok biztonsági szempontból való kezelése, amelyek túlnyúlhatnak a szervezeti határokon, különös figyelmet igényelnek. Kiegészítő óvintézkedésekre, ellenőrzési mechanizmusokra lehet szükség a nyilvános hálózatokon áthaladó kényes, bizalmas adatok megvédéséhez. 6.5.1
A SZÁMÍTÓGÉPHÁLÓZATOK ELLENŐRZÉSI MECHANIZMUSAI ÉS ÓVINTÉZKEDÉSEK
Ahhoz, hogy a számítógép-hálózatokban a biztonságot megteremtsük és fenntartsuk, az ellenőrzési mechanizmusok, és óvintézkedések teljes rendszerére van szükség. A hálózatot felügyelőknek, hálózatgazdáknak, az illetékes vezetőknek ezért olyan ellenőrzési mechanizmusokat és óvintézkedéseket kell megvalósítaniuk, amelyek a hálózatokban az adatok biztonságáról gondoskodnak és a hálózati összeköttetéseket megvédik a jogosulatlan hozzáféréstől. Különösen a következő ellenőrzési mechanizmusokat és óvintézkedéseket kell kidolgozni: a) A hálózatok és a számítógépek üzemeltetésére vonatkozó munka-, feladat-, hatás-, és felelősségi köröket el kell választani (lásd a 6.1.6 szakaszt). b) A munka-, feladat-, hatás-, és felelősségi köröket ki kell alakítani a táv-felügyeleti (pl. végfelhasználó számítógépek), távoli informatika berendezések kezelésére vonatkozó szolgáltatásokra. c) A nyilvános hálózatokon áthaladó adatok és az összekapcsolt informatikai hálózatok védelmére külön ellenőrzési mechanizmusokat és speciális biztonsági intézkedéseket kell kidolgozni - ha erre egyáltalán szükség van. A hálózati szolgáltatások és a háló93
zatba kapcsolt számítógépek rendelkezésre állásának fenntartására külön intézkedéseket kell megvalósítani.. d) A hálózatkezeléssel kapcsolatos vezetői, igazgatási tevékenységeket szorosan össze kell hangolni egyrészt azért, hogy a szervezet számára a szolgáltatást optimalizálják, másrészt pedig azért, hogy gondoskodjunk arról, hogy az ellenőrzési mechanizmusokat és óvintézkedéseket az egész információ-feldolgozó infrastruktúrán keresztül átfogóan és összhangban következetesen alkalmazzák.
6.6 Az adathordozók kezelése és biztonsága Célkitűzés: Meg kell védeni az informatikai vagyontárgyakat a károktól és a szervezeti tevékenységek, szolgáltatások szüneteltetését el kell kerülni. Az adathordozókat ellenőrzés és felügyelet alatt kell tartani, továbbá fizikailag is védeni kell. Olyan üzemeltetési eljárásokat kell kialakítani, amelyek védelmet biztosítanak a dokumentumoknak, a számítógépes adathordozóknak (szalagok, lemezek, kazetták stb.), a kimenő/bemenő adatoknak és a rendszerdokumentációnak a sérüléssel, az eltulajdonítással és a jogtalan hozzáféréssel szemben. 6.6.1
A HORDOZHATÓ SZÁMÍTÓGÉPES ADATHORDOZÓK KEZELÉSE
Az olyan hordozható számítógépi adathordozók kezelésére, - mint például a szalagok, lemezek, kazetták és a nyomtatott anyagok - korrekt üzemeltetési eljárásokat kell kialakítani. A következő ellenőrzési mechanizmusokat és óvintézkedéseket kell kidolgozni: a) Ha az újra felhasználható adathordozót - ha arra már nincs szükség - a szervezettől végleg el- vagy kiszállítják, akkor az adathordozó tartalmát az előírt törlési eljárásokkal és az előírt számban alkalmazva kell megsemmisíteni. b) Minden, a szervezetből elvitt adathordozó esetén engedélyre van szükség, és minden elszállításról feljegyzést kell készíteni annak érdekében, hogy ezzel egy ellenőrizhetőségi és nyomon követhetőségi naplót tartsunk napra készen. c) Minden adathordozót biztonságos és védett környezetben kell tárolni a gyártói előírások szerint. Valamennyi fentebbi eljárást és engedélyezési szintet egyértelműen dokumentálni kell.
94
6.6.2
AZ ADATHORDOZÓK LESELEJTEZÉSE ÉS MEGSEMMÍSÍTÉSE
Az adathordozókat - ha már nincs szükség rájuk - informatikai szempontból a biztonságra, valamint a munkahelyi egészségre és biztonságra vonatkozó előírások szerint kell megsemmisíteni és leselejtezni. Az adathordozók gondatlan leselejtezése bizalmas (kényes) információk illetéktelen, külső személyekhez való kerülésével fenyeget. Az adathordozók biztonságos leselejtezésére és megsemmisítésére hivatalos eljárását kell kidolgozni annak érdekében, hogy a kockázatot minimalizáljuk. A következő ellenőrzési mechanizmusokat óvintézkedéseket kell kialakítani: a) A bizalmas (kényes) információt tartalmazó adathordozókat biztonságos és védett módon kell tárolni vagy informatikai szempontból a biztonságra valamint a munkahelyi egészségre és biztonságra vonatkozó előírások szerint kell megsemmisíteni, például elégetéssel vagy iratmegsemmisítővel, esetleg úgy, hogy adatait az előírások szerint megsemmisítik azért, hogy a szervezeten belül másik alkalmazásban felhasználják. b) A következő lista olyan tételeket sorol fel, amelyek esetében szükség lehet biztonságos megsemmisítési eljárásra: − papíralapú dokumentumok; − hang-, video- vagy más felvételek; − használt indigók; − kinyomtatott anyagok, dokumentumok, jelentések; − egyszer használatos nyomtató-festékszalagok; − mágnesszalagok; − hordozható merevlemez egységek vagy kazetták; − optikai adattárolók (mindenféle formátumúak, beleértve a gyártott szoftverek leszállított adathordozóit is); − program nyelveken írt program kódok kinyomtatott formái; − tesztelés, bevizsgálás adatai; − rendszerdokumentáció. c) Általában egyszerűbb úgy megszervezni a begyűjtendő és biztonságosan megsemmisítendő adathordozókra az eljárást, hogy nem válogatják szét a titkos, bizalmas és kényes információkat hordozó anyagokat, hanem egységesen és egyformán semmisítik meg az összes anyagot.
95
d) Sok vállalkozás ajánl szolgáltatást papír dokumentumok, informatikai berendezések és adathordozók begyűjtésére és megsemmisítésére. Gondosan kell kiválasztani azt az alkalmas szerződő felet, aki a kellő ellenőrzési mechanizmussal, óvintézkedéssel, eljárásrenddel és gyakorlattal rendelkezik. e) Az bizalmas (kényes) tételek megsemmisítéséről, jegyzőkönyvet kell felvenni, annak érdekében, hogy az ellenőrizhetőségi és nyomon követhetőségi naplót (lefűzött jegyzőkönyvek) napra készen lehessen tartani. Amikor az adathordozókat megsemmisítés céljából összegyűjtik, figyelembe kell venni azt is, hogy a felhalmozott adatkészlet egy olyan szinergikus hatással járhat - az egész több mint részeinek összege -, amelynek következménye az lehet, hogy nem minősített információk öszszessége magasabb titkosítási minősítést igényelne, mint egyes kis mennyiségű minősített információ. 6.6.3
AZ INFORMÁCIÓKEZELÉSI ELJÁRÁSOK
6.7 Hozzáférés szabályozása Az adatok bizalmasságának és sértetlenségének biztosítása érdekében a jogosultság kezelő és nyilvántartó rendszert az Informatikai Főosztály ellenőrzi. A jogosultságok kiadása, módosítása és visszavonása az egyes szervezeti egységek vezetőinek felelősségi körében valósul meg, biztosítva a munkavállalók számára a munkájukhoz szükséges és elégséges hozzáféréseket. A jogosultság kezelő és nyilvántartó rendszernek az alábbiakra kell kiterjednie az alábbiakra: •
A munkahelyre történő belépésre jogosultak köre
•
Biztonsági zónába történő belépésre jogosultak köre.
•
Adatbázisokhoz hozzáférés különböző, a munkakörnek megfelelő szerepkörökben .
•
A rendszer szintű hozzáférések (hálózati hozzáférések) körének meghatározása.
•
Helyi hozzáférések (szerverek, munkaállomások, egyéb eszközök hozzáférései) körének meghatározása.
•
Megosztott erőforrásokhoz való hozzáférések (mappák, nyomtatók) objektumonkénti meghatározása.
96
•
A jogosultsági objektumok hozzáférési politikájára, eszközeire.
•
A kiadott jogosultságok nyilvántartására.
A jogosultsági rendszernek biztosítani kell az adatok adatosztályozási szintjeinek megfelelő bizalmassági és sértetlenségi követelményeknek való megfelelést. Az információ kezelésére és tárolására vonatkozó eljárásokat úgy kell kialakítani, hogy az információt az engedély nélküli, jogosulatlan nyilvánosságra kerüléstől megóvjuk, és megakadályozzuk az információval a visszaéléseket. Az eljárásokat úgy kell kialakítani, hogy azok a dokumentumra, számítástechnikai rendszerre, hálózatra, mobil számítástechnikára, mobil távközlésre, levélre, hangpostára, általában a hangátvitelre, multimédiára, postai szolgáltatásokra, faxgépek használatára és más bizalmasan kezelendő, kényes tételekre, például üres, kitöltetlen csekkekre, banki átutalási bizonylatokra, számlákra vonatkozó adatbiztonsági minősítéssel, osztályozással (lásd az 3.2 szakaszt) összhangban legyenek. A következő ellenőrzési mechanizmusokat és óvintézkedéseket kell kidolgozni (Lásd még a 3.2. és a 6.8.3 szakaszt is): a) az adathordozó kezelésére és megcímkézésére vonatkozó eljárásokat [Lásd 13.4 Az adatok jelölése és 14 Az adatok kezelésének követelményei. szakaszt is]; b) az információkhoz történő hozzáférés szabályozását azért, hogy az illetéktelen személyek részéről történő hozzáférések, próbálkozások felismerhetők legyenek; c) Az adatok érkeztetéséről, átvételének tényéről hivatalos feljegyzést kell készíteni és azt napra készen kell tartani; d) a gondoskodni kell arról, hogy a bemenő adatok teljesek legyenek, a feldolgozást pontosan és korrekten végezzék el, és hogy a kimenetre a helyesség ellenőrzést is végrehajtsák; e) a rendszer adatkimeneteinek előállításához a nyomtatási sorban várakozó adatok, vagy egyéb kötegelt feldolgozásra váró összegyűlt adatok védelmének szintjét a tartalmuknak, adatosztályozási vagy minősítési szintjüknek megfelelően kell meghatározni; f) az adathordozók tárolását egy olyan környezetben, amely megfelel a gyártó előírásainak; g) az adatok megosztottságát, elosztottságát, terjesztését a szükséges minimális szinten kell tartani; h) az adatok fogadására jogosult munkatárs figyelmének felkeltése és ébren tartása végett minden az adatokról készített másolatot egyértelműen kell megjelölni;
97
i) az információ-elosztási listákat és a jogosult adat-fogadók listáit szabályos időközönkénti felül kell vizsgálni. 6.7.1
HOZZÁFÉRÉSI SZABÁLYOK KIALAKÍTÁSA Az ágazatban a hozzáférési jogosultságok kialakítását szabályozó követelmények a
következők: •
A hozzáférési jogosultságokat az egyes alkalmazói rendszerek által kezelt adatcsoportok osztályozásával összhangban kell megállapítani. Az adatok besorolási eljárásáról az IBSZ rendelkezik.
•
Az optimális hozzáférési rendszer kialakításához minél kevesebb, a feladathoz kapcsolódóan a szükséges de elégséges minimális jogokkal rendelkező felhasználói csoport (alkalmazói rendszerenkénti szerepkörök) kialakítása szükséges. A csoportok kialakítását az ágazat szervezeti felépítésével illetve a feladatmegosztással összhangban kell elvégezni. A csoportokhoz rendelt jogosultságoknak összhangban kell lenniük a csoport tagjai által kezelni szükséges adatokkal.
•
A felhasználói csoportok jogosultsági körét az általuk végzett feladatokhoz képest úgy kell minimalizálni, hogy a felhasználónak csak a munkaköri feladataik elvégzéséhez szükséges minimális hozzáférési jogok álljanak rendelkezésre.
•
A felhasználókat minden általuk használt rendszerben egyedileg azonosítani kell, és informálni kell őket az illető rendszerben fennálló korlátozásokról.
•
A felhasználók azonosítását egy egyedi, titkos információval – jelszó - kell hitelesíteni.
•
A jogosultsági rendszer kialakításánál figyelembe kell venni a védelemre vonatkozó szerződésszerű kötelezettségeket, melyben az adatokhoz, vagy alkalmazásukhoz való hozzáférésről esik szó.
•
A felhasználói azonosítókat nem lehet megosztani a felhasználók között, hanem egyedi, személyre szabott hozzáférési jogokat kell alkalmazni.
•
Ideiglenes jogok meghatározása belső vagy külső személyek számára csak a tevékenységükhöz szükséges mértékben történhet, kizárólag korlátozott időtartamig. Munkájuk végén, vagy az előre meghatározott időtartam lejárta után a jogokat azonnal meg kell vonni
A követelmény-rendszert a változáskövetés során felül kell vizsgálni
98
A központi rendszerek adataihoz a hozzáférést üzemeltetési, fejlesztői-, felhasználói és hálózat-felügyeleti szinten kell szabályozni. Üzemeltetési és hálózat-felügyeleti szinten a szükséges jogosultságokat (pl. operációs rendszerek és adatbázisok rendszergazdai jogosultságai, egyéb üzemeltetéshez szükséges jogosultságok) meg kell határozni. A hálózat-felügyeleti jogosultság megadását az ágazatban az Informatikai Főosztály vezetője engedélyezheti. Igazgatási szervek tekintetében az igazgatási szerv vezetője a rendszergazda/informatikus számára a munkaköri leírásban jelölhet ki hálózat-felügyeleti feladatokat. A munkavégzéshez és munkakörhöz tartozó jogosultságokat minden egyes rendszerben elő kell írni (pl. különböző előadói jogosultságok, revizori, vezetői jogosultságok). Az ágazatban alkalmazott rendszerek adataihoz való hozzáféréseket személyenként egyedileg kell meghatározni. A kiadott jogosultságokról, valamint azok változásairól az Informatikai Főosztály megbízott munkatársa nyilvántartást vezet. A hozzáférési jogosultságot írásban és névre szólóan kell meghatározni, és a jogosultság nyilvántartásban kell nyilvántartani. Az informatikai alkalmazásokon belüli hozzáférési jogosultságok nyilvántartása az ágazatban üzemeltetett központi rendszerek esetén az Informatikai Főosztály, nem központi rendszerek esetén az adott igazgatási szerv ezzel a feladattal megbízott rendszergazdájának feladata. A vállalkozói szerződéssel dolgozó munkatársak számára a jogosultságigényt a szerződésben nevesített személy kezdeményezi, amit az ONYF-en a foglalkoztató főosztály vezetője, igazgatási szerveknél az igazgató engedélyez. Az aláírt, lepecsételt engedélyt el kell juttatni az ONYF Informatikai Főosztályra. 6.7.2
A HOZZÁFÉRÉSI RENDSZER KIALAKÍTÁSÁNAK RÉSZFELADATAI A munkavégzéshez és munkakörhöz tartozó jogosultságcsoportot minden egyes rend-
szerben elő kell írni (pl. különböző előadói jogosultságok, revizori, vezetői jogosultságok). Az ágazatban alkalmazott rendszerek adataihoz való hozzáféréseket a szervezeti egység vezetőjének személyenként egyedileg kell meghatározni. Üzemeltetési és hálózat-felügyeleti szinten a szükséges jogosultságokat (pl. operációs rendszerek és adatbázisok rendszergazdai jogosultságai, egyéb üzemeltetéshez szükséges jogosultságok) szintén meg kell határozni.
A jogosultságcsoportnak a foglalkoztatott munkakörével, a munkaköri leírásban foglaltakkal összhangban kell lennie. A munkatársak számára a munkavégzéshez szükséges jogosultságok szükséges és elégséges körét (azaz az alkalmazói rendszerenkénti szerepköröket) minden egyes szervezeti egységnél a szervezeti egység vezetője határozza meg. 99
A kiadott jogosultságokról, valamint azok változásairól az ONYF Informatikai Főosztályának megbízott munkatársa nyilvántartást vezet. A hozzáférési jogosultságok kialakításának részfeladatai a következők:
6.7.3
•
az adatokkal való munkavégzés típusának meghatározása
•
jogosultságok felhasználói csoportokhoz rendelése,
•
a felhasználói hozzáférés biztosítása az elvégzendő munka teljes időtartamára,
•
egyedi számítógépekre vonatkozó hozzáférési rendszer kidolgozása,
•
a rendszergazdák hozzáférési jogainak kidolgozása
•
ideiglenes jogok biztosítása,
•
a hozzáférés nyilvántartásának kialakítása és folyamatos karbantartása.
A RENDSZERDOKUMENTÁCIÓ BIZTONSÁGA
A rendszerdokumentáció egy sor, eltérő bizalmassági, titkossági szintet képviselő adatot, információt tartalmazhat, mint például az alkalmazási rendszer folyamatainak, eljárásainak leírását, adatstruktúrákat, jogosultság engedélyezési eljárásokat (lásd a 7.1 szakaszt is). Annak érdekében, hogy a rendszerdokumentációhoz ne lehessen jogosultság és engedély nélkül hozzáférni, a következő ellenőrzési mechanizmusokat és óvintézkedéseket kell kidolgozni: a) A rendszerdokumentációt biztonságosan kell tárolni. b) A rendszerdokumentációhoz engedélyezett hozzáféréssel rendelkezők listájának hossza lehetőleg a szükséges minimum legyen és az alkalmazási rendszerért felelős részéről engedélyezetteket tartalmazza. c) A rendszerdokumentációt, amelyet a nyilvános hálózaton tartanak elérhetően, vagy nyilvános hálózaton át terjesztik, juttatják el, korrekt módon védeni kell.
6.8 Szervezetek közötti információ- és szoftvercsere Célkitűzés: Meg kell akadályozni a szervezetek közötti információcsere során az információ elvesztését, módosítását és az információval történő visszaélést. A szervezetek közötti információ- és a szoftvercserének jól ellenőrzött kell lennie és meg kell felelnie a vonatkozó jogszabályoknak (lásd a 10. fejezetet). Minden adat- és információcserét hivatalos megállapodás alapján szabad csak végezni. Az információtovábbítás során az információnak és adathordozóknak védelmét ellátó eljárásokat és
100
szabványokat előre rögzíteni kell. Az elektronikus adatcsere (EDI, electronic data interchange), valamint az elektronikus levelezés alkalmazásából származó biztonsági, szervezeti („ügyviteli”) következmények miatt előálló, ellenőrzési mechanizmusokkal szemben támasztott követelményeket meg kell valósítani, be kell vezetni. 6.8.1
INFORMÁCIÓCSERE- ÉS SZOFTVERCSERE EGYEZMÉNY
A szervezetek közötti információ- és a szoftvercsere - akár elektronikus, akár manuális - lebonyolítására megállapodást kell kötni. Egyes ilyen megállapodásokat hivatalos formában mint egy szerződést kell megkötni, erre általában példa a szoftver letéti megállapodás. Egy ilyen megállapodás biztonsági tartalma tükrözze az érintett szervezeti („ügyviteli”) információ bizalmasságának, kényességének fokát. A biztonsági feltételekről szóló megállapodásban a következő ellenőrzési mechanizmusokat és óvintézkedéseket kell kidolgozni: a) a vezetőség feladat-, hatás- és felelősségi körét az információ továbbítás ellenőrzésében, az értesítések kiküldésében, a továbbítás kezdeményezésében és elindításában valamint a fogadásában, nyugtázásában. b) az információ küldő értesítéséről szóló eljárásokat, az információtovábbításról, az átvitel megkezdéséről és az információ megérkezéséről, nyugtázásáról; c) információ-, vagy adatcsomagok készítésének és továbbításának minimális műszaki szabványait; d) a futárokat azonosító szabályokat; e) adat-, információ elvesztése esetén viselendő anyagi és erkölcsi felelősséget és kártérítési kötelezettségeket; f) a bizalmas (kényes) és a kritikus fontosságú információ egyezményes címkézési rendszerét, amellyel gondoskodnak arról, hogy a címkék azonnal érthetők legyenek, és hogy az információ kellőképpen védve legyen; g) feladat-, hatás- és felelősségi köröket az információ és a szoftver tulajdonjog, az adatvédelem, a szoftver szerzői és szomszédos jogok védelme és hasonló területek tekintetében (lásd a 10.1.2 és 10.1.4. szakaszt); h) az információ és a szoftver elektronikus rögzítésére és visszaolvasására vonatkozó műszaki szabványokat; i) bármely olyan sajátos óvintézkedést, amelyet olyan bizalmas (kényes) információ, adat vagy szoftver tételek védelme tesz szükségessé, mint amilyenek a kriptográfiai kulcsoké (lásd a 8.6.5 szakaszt).
101
6.8.2
INFORMÁCIÓCSERE
6.8.2.1 Kommunikáció Az ONYF és az igazgatási szervek között az adattovábbítás, adatcsere, levelezés, a központi alkalmazói rendszerek elérése az Egységes Kormányzati Gerinchálózat (EKG) által biztosított országos adatátviteli hálózaton (WAN) magas színvonalú biztonsági menedzsmenttel valósul meg. Az ONYF belső, illetve az igazgatási szervek helyi hálózatai (LAN) a szervezeti egységek közötti adattovábbítást, adatcserét teszik lehetővé. Az elektronikus úton érkező, illetve továbbított hivatalos levelek tekintetében az Iratkezelési Szabályzatnak megfelelően, a Lotus Notes alkalmazás követelményei szerint kell eljárni. A biztonságos adatcsere követelményének teljesülését a hálózati kommunikáció során mind a protokollvezérlő, mind a felhasználói adatok tekintetében biztosítani kell. Az adatvesztés és adatsérülés elkerülése céljából hibadetektáló és javító eljárásokat kell alkalmazni. Az ágazat felhasználói egy ponton lépnek ki a világhálóra. Az Internet felől érkező támadások megelőzésére szabad portokat ellenőrzés nélkül hagyni nem szabad. Az SAP támogató szervezet munkatársainak a PIR Üzemeltetési Osztály vezetője – sürgős hibaelhárítási céllal – távoli elérést engedélyezhet. Miután az SAP támogató szervezet munkatársai támogató tevékenységük során védett adatokat ismernek meg, ezért őket titoktartási kötelezettség terheli. Ugyanúgy vonatkozik ezen munkatársakra a harmadik személy részére történő bármilyen formában történő adattovábbítás tilalma is, ezért ezeknek a munkatársaknak is titoktartási nyilatkozatot kell tenniük. Az Internet felől érkező, számítógépes vírust, férget tartalmazó küldemények, csatolt fájlok, egyéb kárt okozó, ártó szándékkal küldött levelek szűrésére korszerű és menedzselt tűzfalnak és vírusirtó szoftvernek kell üzemelnie. A külső kommunikáció során a törvényes adatkezelésből származó védett adatot jogellenesen továbbítani tilos! Sem munkaidőben, sem azon kívül nem szabad az Interneten felkeresni a munkaállomásokról nem informálódásra, hanem szórakozásra szolgáló, kétes tartalmakat szolgáltató szervereket, zenei vagy film fájlcserélőket. Az internetes kommunikáció során meggondolt, felelős magatartással kell a veszélyforrásokat és valós kockázatokat elkerülni, a védett adatok megszerzésének lehetőségét kizárni. 102
6.8.2.2 Biztonsági megállapodások A külső szolgáltatói kapcsolatok tekintetében a vezetésnek gondoskodnia kell arról, hogy olyan biztonsági megállapodások (pl. titoktartási megállapodások) kerüljenek kidolgozásra és megkötésre, amelyek megfelelnek az általános szerződésekben előírt normáknak, valamint a jogi és szabályozási követelményeknek, az anyagi, pénzügyi felelősségre vonatkozó követelményeket is beleértve. 6.8.3
A SZÁLLÍTÁS ALATT ÁLLÓ ADATHORDOZÓK BIZTONSÁGA
Az információ sebezhető lehet jogtalan hozzáférés, visszaélés, vagy sérülés révén akkor, amikor fizikai szállítás alatt áll, például amikor adathordozót postai vagy futárszolgálat útján továbbítunk. A működési helyek között szállított számítógépes adathordozók megóvásához a következő óvintézkedéseket kell megfontolni: a) Megbízható szállító vagy futárszolgálatot kell használni. b) A csomagolás a gyártó specifikációs előírásai szerinti legyen, és elegendő ahhoz, hogy megvédje a tartalmat a szállítás alatt bekövetkező bármilyen sérüléstől. c) Szükség esetén külön óvintézkedéseket kell tenni ahhoz, hogy az érzékeny információt a jogosulatlan közzétételtől és módosítástól megóvjuk, ilyenek például: − lezárt konténerek alkalmazása; − kézi kézbesítés; − megbontásra érzékeny csomagolásmód (amely fel tud mutatni minden hozzáférési kísérletet); − kivételes esetekben a küldemény több kézbesítésre bontása és azok különböző útvonalon történő kiszállítása; − digitális aláírásnak és titkosító kódolásnak a használata (lásd a 10.3. szakaszt). 6.8.4
AZ ELEKTRONIKUS KORMÁNYZATI RENDSZEREK BIZTONSÁGA
Az elektronikus kormányzati rendszerek magukban foglalják az elektronikus adatcserét (EDI), az elektronikus levelezést, valamint a közvetlen elektronikus távközlési, adattovábbítási vonalon illetve hálózaton keresztül („on-line”) adatkezelési tranzakciók használatát, például ilyen nyilvános hálózat az Internet. Az elektronikus kormányzati rendszerek összességét a terminológia egységesítése végett összefoglalóan e-igazgatási rendszereknek fogjuk nevezni. Az e-igazgatási rendszerek sérülékenyek és sebezhetők különböző hálózati biztonsági fenyegetésekkel szemben, amelyeknek például olyan következményei lehetnek, hogy az elektroni103
kusan megküldött vagy fogadott dokumentumok hitelességét, megérkezését megkérdőjelezik vagy az információ nyilvánosságra kerüléséhez vagy módosításához vezetnek. Az ilyen fenyegetésektől meg kell védeni az e-igazgatási rendszereket, ellenőrzési mechanizmusokat és óvintézkedéseket kell kialakítani. Az e-igazgatási rendszerekre vonatkozó biztonsági intézkedések a következőket foglalják magukban: − A hitelesítést. Milyen szinten várjon el az ügyfél és a partner - akit az e-igazgatási rendszer reprezentál – a bizalmat egymástól az állítólagos személy, szervezet stb. azonossága tekintetében? − Engedélyezés, jogosultságok megadását. Ki van felhatalmazva arra, hogy a kulcsfontosságú okmányokat, okiratokat, dokumentumokat, kiállítsa vagy aláírja? − A szerződéskötési és a közbeszerzési folyamatok esetét. Mik a követelményei a titkosságnak, a bizalmas adatkezelésnek, a sértetlenségnek, az adatok épségének, a dokumentáció és a kulcsfontosságú okmányok letöltésének, átvételének, megszerzésének átvétele bizonyítékának és a szerződés letagadhatatlanságának? − Ügyintézési kérelem tranzakciókat. Hogyan gondoskodik az e-igazgatási rendszer az ügyintézési kérelem, ügyindítás részletadatainak, valamint az átvételi elismervénynek a bizalmas adatkezeléséről, sértetlenségéről, épségéről? − Ügyek okiratait, dokumentumait stb.. Milyen védelemre van szükség ahhoz, hogy a ügyek információ bizalmasságát, sértetlenségét, épségét megőrizzük, és hogy elkerüljük a tranzakciók felesleges duplikálódását vagy elvesztését? − Felelősséget. Ki viseli a csalárd tranzakciók bekövetkezéséért a felelősséget és kinek kell kezelnie és kézben tartani az ezzel járó kockázatokat? A fenti megfontolások többségét a 8.6 szakaszban leírt kriptográfiai technikák alkalmazásával elintézhetjük, amennyiben figyelembe vesszük a megfelelést a jogszabályokban adott követelményeknek (lásd a 10.1 szakaszt és különösen a 10.1.6 szakaszban adottakat a kriptográfiát érintő jogszabályokról). Az e-igazgatási rendszerekben az ágazat tekintetében elsősorban a Ket. és az elektronikus ügyintézésre vonatkozó hatályos jogszabályok az irányadók. 6.8.5
AZ ELEKTRONIKUS LEVELEZÉS BIZTONSÁGA
6.8.5.1 Biztonsági kockázatok Az elektronikus levelezést a szervezetek és személyek közötti kapcsolatokban, széles körben alkalmazzák az olyan hagyományos üzenettovábbítási formák helyettesítésére, mint a pl. telex 104
és a közönséges levél, manapság a fax helyett is. Azonban az emberek közötti kommunikáció hagyományos formáitól az elektronikus levél lényegesen különbözik, például sebességben, üzenet-szerkezetben, az informálisság mértékében, valamint a jogtalan tevékenységekkel szembeni sérülékenységében, hiszen egy elektronikusan nem aláírt és kriptográfiailag nem védett elektronikus levél egy közönséges postai levelezőlapnak felel meg adatbiztonság és adatvédelem tekintetében. Az elektronikus levelezés használatából származó biztonsági kockázatok csökkentése végett ellenőrzési mechanizmusokat és egyéb óvintézkedéseket kell kialakítani. Ezek a biztonsági kockázatok a következőket foglalják magukban: a) az üzenetek sebezhetőségét, nevezetesen az üzenethez történő jogtalan hozzáférés, módosítás tekintetében vagy a túlterheléses támadással szemben; b) az olyan sebezhetőséget, amely bizonyos hibák következményeként áll elő, mint például a helytelen címzés, a téves címre történő irányítás, illetve a sebezhetőség az informatikai szolgáltatás általános megbízhatósági szintjéből és rendelkezésre állási paramétereiből adódik; c) a hírközlési, távközlési és informatikai hálózat sajátosságainak változásából származó hatásokat, amelyek a szervezeti („ügyviteli”) folyamatokra hatnak, például az adattovábbítás megnövekedett sebességének a hatása, vagy annak a hatása, hogy hivatalos levelet lehet küldeni, de nemcsak szervezet a szervezetnek, hanem például személy a személynek; d) jogkövetkezmények kezelését, mint például az olyan követelmények kielégítése, hogy jogilag megalapozottan bizonyíthassuk az elektronikus levél eredetét, továbbítását, a kézbesítését, és az átvételét; e) annak következményeit, hogy a szervezet munkatársa elektronikus elérhetőségének listáját a külvilág számára közzé tesszük; f) a távoli felhasználók hozzáféréseinek nyomon követését és ellenőrzését akkor, amikor elektronikus leveleikért távolról bejelentkeznek a levelező rendszerünkbe. 6.8.5.2 Az elektronikus levelezés irányelvei Az ONYF-nek egyértelműen szabályoznia kell az elektronikus levelezés alkalmazását, amelyben ki kell térni, és szabályozni kell az alábbi esetekben követendő eljárásokat és magatartást: a) az elektronikus levelezéssel szembeni támadások, például a vírusok, a levelek elfogása és a lehallgatása; b) az elektronikus levelekhez csatolt mellékletek védelme; 105
c) iránymutatást arról, hogy mikor nem célszerű elektronikus levelezést használni; d) az alkalmazottak felelősségét abban, hogy ne veszélyeztessék az ágazatot, például azzal, hogy elektronikus rágalmazó levelet küldenek, amit zaklatásra használnak vagy jogosulatlan megrendelést adjanak fel; e) az elektronikus levél bizalmassága, épsége és sértetlensége védelmében kriptográfiai technikák alkalmazását (lásd a 8.6 szakaszt); f) az üzenetek megtartását, amelyeket ha tárolnak, felhasználhatók jogi eljárások esetében; g) további ellenőrzési mechanizmusokat és intézkedéseket olyan üzenetek esetében, amelyet nem lehet hitelesíteni.
Ld.: 31.1 Az elektronikus levelezés biztonsága. 6.8.6
AZ ELEKTRONIKUS IRODAI RENDSZEREK BIZTONSÁGA
El kell készíteni és meg kell valósítani azokat a irányelveket, utasításokat és útmutatókat, amelyek az elektronikus irodai rendszerekkel kapcsolatos szervezeti és a biztonsági kockázatok kezelésére szolgáló ellenőrzési mechanizmusokat, óvintézkedéseket realizálják. Ezek a szabályozások lehetővé teszik azt, hogy a szervezeti / ügyviteli információkat gyorsabban terjeszthessék és megoszthassák úgy, hogy együttesen, kombinálva alkalmaznak dokumentumokat, számítógépeket, mobil számítástechnikát, mobil távközlő-rendszereket, levelezést, hangpostát, általában a hangátvitelt, multimédiát, postai szolgáltatásokat és faxgépeket. A szabályozásnak az eszközrendszerek kombinált használata esetén is ki kell terjednie a biztonsági és a szervezeti / ügyviteli következményeinek kezelésére: a) az irodai rendszerekben az információ sebezhetősége miatt szükséges intézkedésekre, mint például a telefonhívások és a konferenciabeszélgetések rögzítése, a hívások bizalmasságának / titkosságának biztosítása, a faxüzenetek tárolása, levelek felbontása és a levelek szétosztásának esetére; b) az információ megosztás kezelésének irányelveire és a megfelelő ellenőrzési mechanizmusokra és óvintézkedésekre, mint például a szervezeti elektronikus hirdetőtábla használata (lásd a7.1 szakaszt); c) a bizalmas, kényes szervezeti információk egyes kategóriáinak kizárására azokból az elektronikus és / vagy irodai rendszerekből, amelyek nem nyújtanak elegendő védelmi szintet (lásd az 3.2 szakaszt);
106
d) az általános hozzáférés korlátozására az olyan munkatársaknak a naptári információihoz, akik bizalmas, kényes projekteken dolgoznak; e) a szervezeti tevékenységeket támogató alkalmazási rendszerek alkalmassága vagy más egyéb minőségi kritérium szerinti megfelelőségére, amelyek például utasításokat továbbítanak vagy jogosultságokat közölnek és juttatnak el; f) a munkatársak, alkalmazottak, a szerződött partnerek kategóriáira (osztályaira), akiknek engedélyük van a rendszer használatára, valamint azoknak a helyszíneknek a kategorizálására, ahonnan a rendszerekhez hozzáférhetnek (lásd a 2.3 szakaszt); g) egyes (vég)felhasználói kategóriáknak csak bizonyos létesítményekhez illetve informatikai szolgáltatásokhoz történő hozzáférésének engedélyezésére; h) a (vég)használók státuszának azonosítására, például a névtárakban, címtárakban fel kell tüntetni a szervezethez való viszonyt, jogviszony szerint, hogy vajon a felhasználó a szervezet alkalmazottja vagy szerződő partnere, a többi felhasználó tájékoztatása végett; i) a rendszerben tartott információ megőrzési, tárolási idejére és a mentésekre (lásd a 10.1.3 és a 6.5.1 szakaszt); j) az üzemzavarokkal, üzem-szünetekkel kapcsolatos eljárások követelményeire és eljárásrendjére (lásd a 9.1 szakaszban). 6.8.7
NYILVÁNOSSÁG, A NAGYKÖZÖNSÉG SZÁMÁRA HOZZÁFÉRHETŐ RENDSZEREK
Az elektronikusan közzétett információ sértetlenségét, épségét meg kell őrizni úgy, hogy megakadályozzuk az olyan jogtalan módosításokat, amely a közzétevő szervezet hírnevét ronthatják. A nyilvánosan elérhető rendszerekben elhelyezett információknak, mint például egy WEB szerveren elhelyezetteknek, amely az Internetről elérhető, meg kell felelnie a hatályos magyar törvényeknek, jogszabályoknak és a szabályozásnak. Hivatalos engedélyezési eljárást kell lefolytatni, mielőtt az információt nyilvánosan közzé teszik. Ha a nyilvánosan elérhető rendszereken olyan szoftvereket, adatokat és más információt teszünk hozzáférhetővé, amelyek épsége és sértetlensége magas fokú védelmet igényel, akkor azt erre alkalmas mechanizmussal kell védeni, például elektronikus aláírással (lásd a 8.6.3 szakaszt). Az olyan elektronikus publikációs rendszert, amely - különösen ha visszacsatolást is megenged a külvilág oldaláról - megengedi a közvetlen információ bejuttatását is, finoman kidolgozott ellenőrzési mechanizmusokkal kell védeni: a) az információt csak a hatályos adatvédelmi jogszabálynak megfelelő módon lehet gyűjteni és tárolni (lásd a 10.1.4 szakaszt); 107
b) a nyilvánosság számára tájékoztatást, publikációt nyújtó rendszerbe bejuttatott, betáplált és az abban feldolgozott információt a rendszernek előírt időben teljesen fel kell dolgoznia; c) a bizalmas, kényes információt a begyűjtés és a tárolás során gondosan védeni kell; d) a hozzáférés a közzétevő rendszerhez nem engedheti meg azt, hogy a hozzá kapcsolódó, a háttérben meghúzódó kiszolgáló más hálózatokhoz jogtalanul, a külvilághoz pedig engedély nélkül hozzáférhessen. 6.8.8
AZ INFORMÁCIÓCSERE EGYÉB FORMÁI
Legyen érvényben olyan eljárás, ellenőrzési mechanizmus és óvintézkedés, amely megvédi a faxon, kép-és hangátviteli eszközökön folytatott információcserét. Az információ károsodhat, ha hiányzik a biztonsági tudatosság, nincsenek irányelvek, szabályzatok, vagy eljárások. Erre példa az a közterületen, mobil készüléken folytatott beszélgetés, amelyet bárki hallhat, vagy amikor az üzenetrögzítő készülék hangja bárki által hallható lejátszáskor, vagy amikor jogosulatlanul férnek hozzá a tárcsázással hívható hangposta-rendszerhez, vagy amikor véletlenül nem a helyes címzettnek küldenek el egy faxot. A szervezet folyamatos működésében zavarok állhatnak be és információ kerülhet nyilvánosságra, ha a kommunikációs eszközök meghibásodnak, túlterhelődnek vagy üzemszünet következik be (lásd a 5.4 szakaszt és a 1.49. fejezetet). Az információ akkor is nyilvánosságra kerülhet, ha ezekhez illetéktelen felhasználók férnek hozzá (lásd a 7. fejezetet). Egyértelműen szabályozott eljárásokat kell kialakítani, ha azt várjuk el, hogy a munkatársak kövessék azokat akkor, amikor faxot, hang- és képátviteli eszközöket alkalmaznak. Ezeknek az eljárásoknak tartalmazniuk kell a következőket: a) a munkatársak figyelmét fel kell hívni arra, hogy legyenek elővigyázatosak, például ne tárjanak fel bizalmas, kényes információt, lehetőleg kerüljék el, hogy telefonálás közben mások kihallgathassák beszélgetésüket, például: − a közvetlen körülötte álló személyek, különösen mobil telefonáláskor; − vezetéklehallgatással vagy más formában végzett lehallgatással úgy, hogy fizikailag hozzáférnek a telefon kézibeszélőjéhez a telefonvonalhoz, vagy az analóg mobil telefonnal szemben frekvenciapásztázó vevőkészüléket alkalmaznak; − mások is jelen vannak a telefonvonal másik végén;
108
b) fel kell hívni az alkalmazottak figyelmét arra, hogy tilos nyilvános helyen vagy nyílt irodákban és vékony fallal elkerített tárgyalókban folytatni bizalmas beszélgetéseket; c) fel kell hívni az alkalmazottak figyelmét arra, hogy bizalmas információt tartalmazó üzeneteket nem szabad az üzenetrögzítőre mondani, mivel ezt bármely, jogosulatlan személy is lejátszhatja, hiszen ezek az üzenetek gyakran távközlési hálózatok szolgáltatásaiban tárolódnak (ld. mobil szolgáltatók), vagy téves tárcsázás következtében nem a helyes címzett számára kerülnek rögzítésre; d) fel kell hívni az alkalmazottak figyelmét arra, hogy a faxkészülékek használata bizonyos problémákkal járhat, nevezetesen: − jogosulatlanul hozzá lehet férni a beépített üzenettárhoz azért, hogy onnan üzeneteket visszakeressenek engedély nélkül; − üzenetek szándékos vagy véletlen beprogramozása arra a célra, hogy a faxgép bizonyos hívószámokra bizonyos üzenetet továbbítson; − üzenetek és dokumentumok rossz számra küldése akár hibás tárcsázás, akár egy előre eltárolt szám téves használata révén.
109
7
Hozzáférés-ellenőrzés 7.1 A hozzáférés-ellenőrzés szervezeti szintű követelményei
Célkitűzés: Az információhoz történő hozzáférést ellenőrizni kell. Az információhoz és a szervezeti folyamatokhoz való hozzáférést a szervezeti és a biztonsági követelmények alapján kell ellenőrizni. A hozzáférés-ellenőrzés mechanizmusának figyelembe kell vennie az információterjesztésére, tájékoztatásra és az e tevékenységekkel kapcsolatos engedélyezésre vonatkozó irányelveket és szabályozást. ld. 27) 7.1.1
A HOZZÁFÉRÉS-ELLENŐRZÉS IRÁNYELVEI
7.1.1.1 Az irányelvek és a szervezeti követelmények Meg kell határozni és le kell dokumentálni a hozzáférés-ellenőrzés szervezeti követelményeit. A hozzáférés-ellenőrzési szabályokat és jogokat valamennyi felhasználóra és felhasználói csoportra egyértelműen meg kell határozni a hozzáférési irányelvekben és szabályzatban. Mind a felhasználók, mind a szolgáltatók felé egyértelműen meg kell fogalmazni azokat a szervezeti követelményeket, amelyek alapján kialakított hozzáférés-ellenőrzési mechanizmusok, és óvintézkedések szerint kell eljárniuk. Ennek az irányelvnek és szabályozásnak a következőkre kell figyelemmel lennie: a) az egyes szervezeti szintű alkalmazási rendszerek biztonsági követelményeire; b) minden alkalmazási rendszerhez kapcsolódó információ azonosítására; c) az információ szétosztásának és a jogosultságok engedélyezésének a szabályozására, nevezetesen az információ osztályozására, biztonsági besorolási szintjeire és arra az alapelvre, hogy mindenki csak azt az információt ismerje meg, amire a munkájához szükség van („szükséges ismernie elv”); d) a különböző rendszerek és hálózatok hozzáférés-ellenőrzésének és információosztályozási szabályzatainak (üzemeltetési, operátori, felhasználói kézikönyvek stb.) ellentmondás-mentességére; e) az adatokhoz és a szolgáltatásokhoz való hozzáférés védelmével kapcsolatosan a hatályos törvényekre és bármely szerződéses kötelezettségre (lásd a 10. fejezetet); f) az azonos munkakörök egységes felhasználói hozzáférési profiljaira; g) az olyan osztott és hálózati környezetben, amely minden rendelkezésre álló összeköttetés-fajtát felismer, a hozzáférési jogok kezelésére és ellenőrzésére.
110
7.1.1.2 Hozzáférés-ellenőrzési szabályok A hozzáférés-ellenőrzési szabályok előírása során ügyelni kell a következők figyelembe vételére is: a) tegyünk különbséget azok között a szabályok között, amelyeket mindig kikényszerítünk, és azok között a szabályok között, amelyek szabadon választhatók vagy feltételesek; b) olyan szabályok megalkotását kell általában előnyben részesíteni, amelyek szigorúbb előfeltételeken alapulnak, azaz inkább a „minden meg van tiltva, ami nincs kifejezetten megengedve” alapelv szerint, mint az enyhébb „minden meg van engedve, ami nincs kifejezetten megtiltva” alapján; c) az információ osztályozását jelölő címkék (lásd az 3.2 szakaszt) olyan megváltozásaira, amelyeket az információ-feldolgozó szolgáltatások automatikusan kezdeményeznek, és azokra a változásokra, amelyeket a felhasználó saját döntése alapján kezdeményez; d) a felhasználó hozzáférési jogosultságainak olyan megváltozásaira, amelyeket az informatikai rendszer automatikusan kezdeményez, és azokra a változásokra, amelyeket az adminisztrátor kezdeményez; e) azokra a szabályokra, amelyek hatályba léptetéséhez az adminisztrátornak vagy másnak a jóváhagyása szükséges, és azokra, amelyekhez nem szükséges jóváhagyás.
7.2
A felhasználói hozzáférés kezelése
Célkitűzés: Megvédeni az informatikai rendszereket a jogosulatlan hozzáféréstől. Hivatalosan szabályozott eljárásokat kell az informatikai rendszerekhez és szolgáltatásokhoz való hozzáférési jogoknak a kiosztására kialakítani. Az információhoz történő hozzáférés szempontjából a felhasználó rendszerbeli teljes életciklusának valamennyi szakaszát olyan eljárásrenddel kell lefedni, amelyek az új felhasználók első nyilvántartásba vételétől az olyan felhasználóknak a nyilvántartásból történő végső törlésig terjed, akik többé már nem igénylik az informatikai rendszerekhez és szolgáltatásokhoz való hozzáférést. Külön figyelmet kell szentelni az olyan különleges hozzáférési jogoknak amelyek lehetővé teszik, hogy a felhasználó a rendszer ellenőrzési mechanizmusát megkerülhesse - és azok feletti ellenőrzési és védelmi mechanizmusoknak valamint óvintézkedéseknek.
111
7.2.1
A FELHASZNÁLÓ NYILVÁNTARTÁSBA VÉTELE
Valamennyi több felhasználós informatikai rendszerhez és szolgáltatáshoz a hozzáférési jog megadására nyilvántartásba vételi és kiléptető eljárást kell alkalmazni. A hozzáférést a több felhasználós informatikai szolgáltatásokhoz nyilvántartásba vételi eljárással kell kézben tartani, amely magában foglalja: a. az egyértelmű felhasználói ID-ket (felhasználó azonosítókat) azért, hogy a felhasználókat tevékenységeikhez hozzá lehessen rendelni és felelőssé lehessen tenni. A csoportazonosítók használatát csak ott szabad megengedni, ahol azok a végzett munkához ésszerűen és biztonsági szempontból illeszkednek; b. annak ellenőrzését, hogy a felhasználó rendelkezik az adott rendszerért felelős engedélyével az adott informatikai rendszer és szolgáltatás használatára. Ettől elkülönített hozzáférési jog megadási engedélyezési eljárás elképzelhető, amikor az arra felhatalmazott vezetőknek adnak ki hozzáférési engedélyeket; c. annak ellenőrzését, hogy a kiadott hozzáférési jogosultság szintje alkalmas-e arra célra, amelyre a szervezet kibocsátotta, (lásd a 7.1 szakaszt), és a szervezet biztonsági szabályzatával ellentmondásmentesen összefér-e, például nem veszélyezteti a hatás, felelősség és feladat körök szétválasztást (lásd a 6.1.6 szakaszt); d. a felhasználóknak írásban adott, a hozzáférési jogaikról szóló nyilatkozatot; e. a felhasználóktól munkaköri kötelességükként elvárt, hogy a nyilatkozatot aláírva jelezzék, hogy a hozzáférési jogosultságok feltételeit megértették és tudomásul vették; f. gondoskodni kell arról, hogy az informatikai szolgáltatást nyújtók mindaddig nem adnak hozzáférési jogosultságot a felhasználónak, amíg a jogosultság engedélyezési eljárása be nem fejeződött; g. a szolgáltatást használó valamennyi személyt tartalmazó hivatalos jegyzék napra készen tartását; h. a hozzáférési jogok azonnali megvonását azoktól a felhasználóktól, akik munkahelyet változtattak, vagy elhagyták a szervezetet; i. a redundáns, fölösleges felhasználói ID-k és „felhasználói bejegyzések” időről időre történő ellenőrzését és eltávolítását; j. a gondoskodni kell arról, hogy az egyes redundánsnak bizonyult felhasználói azonosítókat (ID-ket) ne adják ki másik felhasználóknak.
112
Szabályozni kell azt, hogy milyen jogi eszközöket kell alkalmazni az alkalmazottak munkaszerződésében és a szolgáltatási szerződésekben, amelyek szabályozzák azokat a büntető szankciókat, amelyekkel élni fognak, ha az alkalmazott vagy a szolgáltató alkalmazottja jogosulatlan hozzáférésre tesz kísérletet (lásd a 4.1.6 és a 4.4.5 szakaszt). 7.2.2
KÜLÖNLEGES HOZZÁFÉRÉSI JOGOK KEZELÉSE
A különleges hozzáférési jogok kiosztását és használatát korlátozni és ellenőrizni kell. A különleges hozzáférési jog a több felhasználós informatikai rendszereknek az a tulajdonsága vagy szolgáltatása, amely lehetővé teszi, hogy a felhasználó a rendszer vagy az alkalmazás ellenőrzési mechanizmusát megkerülhesse. A különleges hozzáférési jogok nem helyes használata sokszor az egyik legjelentősebb okozati tényezője annak, hogy illetéktelenül feltörnek rendszereket és azok a rendszerek súlyosan meghibásodnak. Azok a több felhasználós rendszerek, ahol a jogosulatlan hozzáférés ellen védekezni kívánnak, ott hivatalos engedélyezési eljárás révén megadott különleges hozzáférési jog kiosztással rendelkeznek. A következőket kell szabályozni:
a) Minden egyes rendszertermékkel, például az operációs rendszerrel, az adatbáziskezelő rendszerrel, az egyes alkalmazásokkal összerendelt különleges hozzáférési jogokat, valamint a munkatársak azon kategóriáit, akik számára szükséges a különleges hozzáférési jogok kiosztása, azonosítani kell. b) Az egyes személyekhez a különleges hozzáférési jogokat felhasználási szükségletként jelentkező igényenként és esetről esetre kell megadni, azaz funkcionális szerepüknek megfelelően, a minimálisan szükséges különleges hozzáférési jogok legyenek megadva azaz, „csak akkor, ha épp szükség van rá”. c) Az engedélyezési folyamat lépéseit, és a valamennyi különleges hozzáférési jog kiosztását tartalmazó jegyzéket naprakész állapotban kell tartani. A különleges hozzáférési jogokat addig nem szabad kiadni, amíg az engedélyezés folyamata be nem fejeződött. d) A „rendszerrutinok” fejlesztését és használatát úgy kell támogatni, hogy ne kelljen a felhasználóknak különleges hozzáférési jogokat adni. e) A különleges hozzáférési jogokat a közönséges napi használatú felhasználói azonosítóktól eltérő felhasználói azonosítók formájában kell kiosztani.
113
7.2.3
A FELHASZNÁLÓI JELSZAVAK KEZELÉSÉNEK FELÜGYELETE Minden jogosultsággal rendelkező személy egyedi felhasználónévvel és jelszóval lép-
het be abba az informatikai alkalmazásba, melyhez jogosultság kiadásra került számára. A jelszónak legalább hat karakter hosszúnak kell lennie. A kritikus rendszerek esetében a jelszavak beállításának, illetve megváltoztatásának 30-45 naponként, nem kritikus rendszerek és hálózati szint esetén 60-90 naponként kell kikényszerítve lennie.
7.2.3.1
Felhasználói jelszavak
Az informatikai alkalmazásokhoz hozzáférési engedéllyel rendelkező személyek egyedi felhasználónévvel és jelszóval léphetnek be mindazokba az informatikai rendszerekbe, amelyekhez a jogosultság kiadásra került. A jelszónak legalább hat karakter hosszúnak kell, és tartalmaznia kell különleges karaktert (&, §, #), számot is. A különböző rendszerekbe különböző jelszavak alkalmazása indokolt.
A felhasználó által használt egyedi azonosítók és jelszavak, melyek a munkakörhöz szükséges adatállományokhoz való hozzáférést biztosítják, senkinek át nem ruházhatók, más munkatárs, vagy harmadik személy számára való felfedésük, átadásuk bármilyen formában szigorúan tilos.
7.2.3.2 Központi rendszerek jelszavai Az üzemeltetett központi rendszerek rendszergazda szintű jelszavait az üzemeltetésért felelős személynek szerverenként, illetve alkalmazásonként kell meghatároznia és megadnia az ONYF Informatikai Főosztálynak. A jelszavak havonkénti cseréjét szerverenként és alkalmazásonként az üzemeltetés vezető munkatárs és az ONYF Informatikai Főosztály megbízott munkatársa követi és adminisztrálja, majd az új jelszavakat zárt, dátummal ellátott, lepecsételt borítékban az Informatikai Főosztály páncélszekrényében helyezi el.
A jelszavak általános felhasználása az, hogy a felhasználó azonosságát ellenőrzi azért, hogy a felhasználó hozzáférhessen az informatikai rendszerhez vagy szolgáltatáshoz. Szabályozott jelszókezelési folyamattal kell a jelszavak kiosztását ellenőrizni és felügyelni úgy, hogy 114
a) megkívánjuk a felhasználóktól, írjanak alá egy nyilatkozatot, hogy titokban tartják személyes jelszavaikat és a csoportjelszavakat kizárólag a csoporttagok között osztják meg, (ezt munkaszerződés vagy egy különnyilatkozat is tartalmazhatja, (lásd a 4.1.18 szakaszt)); b) gondoskodni kell arról, hogy ott ahol a felhasználók kezelik, változtatják saját jelszavaikat, ott kezdetben egy biztonságos ideiglenes jelszóval legyenek ellátva, de azt kényszerüljenek azonnal lecserélni. Ideiglenes jelszavakkal, a jelszavukat elfelejtő felhasználókat csak akkor szabad ellátni, ha már a felhasználó pozitív azonosítása megtörtént; c) szabályozni kell, hogy a felhasználóknak a ideiglenes jelszavakat csak biztonságos környezetben szabad átadni. Kerülni kell azt, hogy külső felek bevonásával, közvetítésével vagy kriptográfiai algoritmussal nem védett, egyszerű szöveges formájú elektronikus levélüzenetben jutassák el a jelszót. A felhasználóknak bizonylatolt módon el kell ismerniük a jelszavak átvételét. Sohasem szabad jelszót számítógépen védetlen formában tárolni. Felhasználók azonosítására és hitelesítésére más módszerek is rendelkezésre állnak, mint például a biometrikus azonosítás, ilyen az ujjlenyomat ellenőrzése, aláírás ellenőrzés és egyéb hardver eszközök, mint például az intelligens kártyák alkalmazása stb. Egyes területeken a megkövetelt biztonsági szinttől és körülményektől függően meg kell fontolni e megoldások alkalmazhatóságát. 7.2.4
A FELHASZNÁLÓI HOZZÁFÉRÉSI JOGOK FELÜLVIZSGÁLATA
Az adatokhoz és az informatikai rendszerekhez való hozzáférés eredményes ellenőrzését úgy kell fenntartani, hogy a vezetőség a felhasználók hozzáférési jogainak felülvizsgálatára időről időre egy hivatalos, szabályozott, szervezeti eljárást indít el azért, hogy a) a felhasználók hozzáférési jogait időről időre (az ajánlás 6 hónap) és minden egyes változást követően felülvizsgálják (lásd a 7.2.1. szakaszt); b) a különleges hozzáférési jogosultságokra szóló felhatalmazásokat ennél rövidebb időközönként kell felülvizsgálni, az ajánlott időtartam 3 hónap (lásd a 7.2.2 szakaszt); c) a különleges hozzáférési jogok kiosztását időről időre ellenőrizni kell annak érdekében, hogy garantálhassuk azt, hogy ne lehessen jogosulatlanul különleges hozzáférési jogokhoz jutni.
115
7.3 A felhasználó felelősségi köre Célkitűzés: Meg kell akadályozni az illetéktelen felhasználói hozzáférési jogosultságok keletkezését. Az eredményes biztonsági igazgatási rendszer működéséhez elengedhetetlen a jogosult felhasználók együttműködése. A felhasználókban tudatosítani kell saját felelősségüket az eredményes hozzáférés-ellenőrzés fenntartásában, különösen a jelszóhasználat és a felhasználói berendezések biztonsága tekintetében. 7.3.1
JELSZÓHASZNÁLAT
A felhasználóknak a jelszavak kiválasztásában és használatában a bevált biztonsági gyakorlatot kell követniük. A jelszó eszközt jelent a felhasználó azonosságának ellenőrzésére és arra, hogy olyan hozzáférési jogosultsághoz juthasson, amellyel információ-feldolgozó eszközökhöz és szolgáltatásokhoz férhet hozzá. Minden felhasználónak be kell tartani a következő szabályokat: a) tartsa titokban a jelszavait; b) kerülje a jelszavak papírra rögzítését, hacsak nem tudja ezt biztonságosan tárolni; c) mindannyiszor cseréljen jelszót, ha bármi jel mutat arra, hogy a rendszerből nyilvánosságra kerülhettek adatok vagy a felhasználói jelszó vált ismertté; d) válasszon minőségi jelszót, azaz legalább 6 karakter hosszút, amely − könnyen megjegyezhető; − nem alapoz olyanra, amelyet bárki más könnyen kitalálhat, vagy az illető személyével kapcsolatos adatokból kinyerhető, például nevekből, telefonszámokból, születési adatokból stb.; − nem tartalmaz egymást követő azonos karaktereket, illetve nem áll sem csupa számokból, sem csupa betűkből. e) jelszavait időről időre vagy a hozzáférések számának függvényében cserélje (a különleges jogú felhasználói bejegyzésekhez, azonosítókhoz tartozó jelszavakat sokkalta gyakrabban kell cserélni, mint a közönséges jelszavakat), és kerülje el mind a korábbi jelszavak ismételt használatát, mind a már használt jelszavak ciklikus átrendezését; f) cserélje le ideiglenes jelszavait az első bejelentkezés alkalmával; g) ne írja be jelszavait automatikus bejelentkezési folyamatokba, amelyet makrók vagy funkcionális billentyűk tárolnak;
116
h) ne ossza meg mással egyéni felhasználói jelszavait. 7.3.2
FELÜGYELET NÉLKÜLI FELHASZNÁLÓI BERENDEZÉS
A felhasználóknak gondoskodniuk kell arról, hogy a felügyelet nélküli berendezések kellő védelemmel rendelkezzenek. A felhasználói körletekben telepített berendezések, mint például a munkaállomások vagy az állomány-kiszolgálók („fájlszerverek”), külön védelmet igényelnek a jogosulatlan hozzáféréssel szemben, amennyiben hosszabb időre felügyelet nélkül maradnak. Valamennyi felhasználóban és szerződéses partnerben tudatosítani kell a biztonsági követelményeket és eljárásokat, amelyek a felügyelet nélküli berendezéseket védik, valamint saját felelősségeiket ezeknek a védelmeknek a megvalósításában. A felhasználók figyelmét fel kell hívni arra, hogy a) az aktív ember-gép párbeszédeket zárják le akkor, amikor a munka befejeződött, hacsak valamilyen hozzáférést megakadályozó mechanizmussal nem védhetők, például jelszóval védett képernyővédővel; b) amikor a központi kiszolgáló állomásokra történő bejelentkezés révén létrejött ember-gép párbeszédeket befejezték, szabályosan jelentkezzenek ki (nem elegendő ilyenkor a PC vagy munkaállomás egyszerű kikapcsolása); c) a PC-t, a terminált vagy a munkaállomást, ha nincsen használatban, a jogosulatlan használattal szemben védjék úgy, hogy pl. kulccsal zárják le vagy ezzel egyenértékű védőintézkedést tegyenek, például jelszavas hozzáférést használjanak.
7.4 A hálózathoz való hozzáférés ellenőrzése Célkitűzés: Meg kell védeni a hálózati szolgáltatásokat. Ki kell alakítani az ellenőrzési mechanizmust mind a belső, mind a külső hálózatra telepített szolgáltatásokra vonatkozóan. Erre azért van szükség, hogy garantálhassuk azt, hogy azok a felhasználók, akiknek hozzáférésük van a hálózatokhoz és a hálózati szolgáltatásokhoz, ne veszélyeztethessék, és ne okozhassanak károkat ezekben a hálózati szolgáltatásokban. Az ellenőrzés és védelem a következő módokon valósítható meg: a) az adott szervezet hálózata és bármely más szervezet hálózata közé, valamint a nyilvános hálózatok közé megfelelő kapcsoló felület („interfész”) telepítésével; b) a felhasználókra és a berendezésekre vonatkozó, adekvát engedélyezési, és hitelesítési mechanizmus alkalmazásával, c) az informatikai szolgáltatások felhasználói hozzáféréseinek ellenőrzésével. 117
7.4.1
A HÁLÓZATI SZOLGÁLTATÁSOK HASZNÁLATÁNAK IRÁNYELVEI
Az egész szervezetre hatással lehet, ha az informatikai hálózati szolgáltatások kommunikációs vonalai nem biztonságosak. A felhasználókat csak azokhoz a szolgáltatásokhoz szabad közvetlen hozzáféréssel ellátni, amelyre kimondottan használati jogosultságot kaptak. Ez az ellenőrzés mechanizmus különösen akkor fontos, ha a hálózati összeköttetések bizalmas, kényes vagy kritikus fontosságú szervezeti alkalmazásokat érintenek, vagy olyan felhasználókhoz kapcsolódnak, akik nagy biztonsági kockázatot jelentő helyeken dolgoznak, például közterületeken vagy olyan külső területeken, amelyekre a szervezet biztonságkezelése, igazgatási és ellenőrzési mechanizmusai nem terjednek ki. A hálózatok és hálózati szolgáltatások használatáról ki kell alakítani az irányelveket és szabályozást. Ez szabályozás a következőket tartalmazza: a) azokat a hálózatokat és hálózati szolgáltatásokat, amelyekhez a hozzáférés meg van engedve; b) azokat az engedélyezési eljárásokat, amelyek meghatározzák azt, hogy ki van feljogosítva a hozzáférésre, és mely hálózatokhoz és hálózati szolgáltatásokhoz férhet hozzá; c) a vezetési ellenőrzési mechanizmusokat és eljárásokat, amelyek védik az illetéktelen hozzáféréstől a hálózati összeköttetéseket és a hálózati szolgáltatásokat. Ez a szabályozás legyen összhangban a szervezeti szintű, hozzáférés-ellenőrzési szabályozással (lásd a 7.1 szakaszt). 7.4.2
SZABÁLYOZOTT ÚTVONALIRÁNYÍTÁS
A felhasználók kliens eszközeitől a számítógépi szolgáltatásig vezető utat ellenőrzés és felügyelet alatt kell tartani. A hálózatokat arra tervezik, hogy a lehető legszélesebb körben tegyék lehetővé az erőforrások megosztását és a rugalmas útvonal-irányítást. Ezek a tulajdonságai ugyanakkor lehetőséget teremthetnek arra is, hogy egyesek jogtalanul férjenek hozzá szervezeti alkalmazásokhoz, mások meg esetleg jogtalanul használjanak informatikai eszközöket. Azoknak az ellenőrzési mechanizmusoknak és óvintézkedéseknek a beépítése szükséges, amelyek szabályozzák az útirányt a felhasználó kliens eszköze és azok között a számítógép szolgáltatások között, amelyeket a felhasználó használ, és aki jogosult a hozzáférésre ezekhez a szolgáltatásokhoz, például azzal, hogy kijelölt kommunikációs útvonalat hoz létre azért, hogy ezzel is csökkentse a fennálló biztonsági kockázatokat.
118
A szabályozott útvonal célja, hogy megakadályozza azt, hogy bármely felhasználó olyan útvonalat válasszon, amely nem az a kijelölt útvonal volna a felhasználó kliens eszköze és a számítógép szolgáltatás között, amelyhez ennek a felhasználónak joga van hozzáférni. Ez rendszerint egy sor ellenőrzési mechanizmus és óvintézkedés megvalósítását igényli az útvonal különböző pontjain. Az alapelv az, hogy korlátozzuk a szabad útvonal-választást, egy, a hálózat minden egyes pontján előre kijelölt útvonal kiválasztására. Erre példák a következők: a) csak erre a célra rendelt kommunikációs vonalak vagy telefonszámok kijelölése; b) csatlakozási portok automatikus hozzárendelése meghatározott alkalmazásokhoz vagy biztonsági átjárókhoz („gateway”), c) az egyes felhasználók által elérhető menük és almenük korlátozása; d) korlátlan hálózati bolyongások letiltása; e) a külső hálózati felhasználók számára meghatározott alkalmazások és/vagy biztonsági átjárók alkalmazásának kikényszerítése; f) a megengedett információforrás, informatikai erőforrás és célállomás közötti kommunikáció aktív ellenőrzése biztonsági átjárók, például tűzfal segítségével; g) a hálózati hozzáférés olyan korlátozása, amelyben a szervezeten belüli felhasználói csoportok számára különálló logikai tartományokat létesítünk (lásd még a 7.4.6 szakaszt). A szabályozott útvonallal szemben szabott követelményeket az szervezeti szintű, hozzáférésellenőrzési szabályozásra kell alapozni (lásd a 7.1.1. szakaszt). 7.4.3
A FELHASZNÁLÓ HITELESÍTÉSE KÜLSŐ ÖSSZEKÖTTETÉSEKHEZ
Jelenleg az ONYF általában külső fél részéről hozzáférést nem engedélyez a rendszereihez, a dokumentumkapu kivételével. Az alábbi szabályozási irányelveket elsősorban a dokumentumkapura tekintettel kell érvényesíteni és az esetleges változásokra felkészülve szükség esetén kiterjeszteni más informatikai rendszerekre is.
A külső összeköttetések lehetőséget teremthetnek arra, hogy egyesek jogtalanul férjenek hozzá szervezeti információhoz, például betárcsázásos módú hozzáféréssel. Ezért a távoli felhasználói hozzáférést mindig hitelesítéssel kell végeztetni. Különféle hitelesítő eljárások vannak forgalomban, egyesek másoknál erősebb hitelesítést végezhetnek, például a kriptográfiai módszereken alapuló eljárások képesek ellátni az erős hitelesítést. Fontos, hogy kockázatele-
119
mezéssel előre meghatározzuk a védelem szükséges mértékét, ami azért kell, hogy meg lehessen választani a hitelesítés alkalmas módszerét. Távoli felhasználók hitelesítése azzal érhető el, hogy például kriptográfiai módszereken alapuló technikát, hardver eszközöket („token”) vagy egy kérdés/válasz jellegű protokollt alkalmazunk. Dedikált magánvonalat vagy egy hálózat felhasználó hálózati címét vizsgáló eszközt szintén használhatunk arra, hogy a hálózati kapcsolat kezdeményezőjének azonosságát, hitelességét ellenőrizhessük. A visszahívásos eljárások és óvintézkedéseik, például a modemes visszahívás, védelmet nyújthat a jogosulatlan és nem kívánatos összeköttetések ellen. Ez a fajta ellenőrzés azokat a felhasználókat hitelesíti, akik távoli állomásokról próbálnak meg összeköttetést létesíteni a szervezet hálózatával. Ezt az ellenőrzést használva a szervezet nem szabad, hogy olyan távközlési szolgáltatásokat vegyen igénybe, amelyek automatikus hívástovábbítást („call forwarding”) foglalnak magukban, vagy ha mégis, akkor ennek a szolgáltatásnak az igénybe vételét le kell blokkolni azért, hogy a hívástovábbításból származó biztonsági problémákat elkerülhessék. Ugyancsak fontos, hogy a visszahívás folyamata tartalmazzon arra biztosítékot, hogy a szervezet oldaláról a tényleges bontást mindig végre is lehet hajtani. Ellenkező esetben a távoli felhasználó tartani tudná a vonalat azt színlelve, hogy a visszahívást igazoló folyamat már megtörtént. Ennek lehetőségét a visszahívó eljárásokban és óvintézkedésekben gondosan vizsgálni kell. 7.4.4
A CSOMÓPONT HITELESÍTÉSE
Az automatikus felkapcsolódás lehetősége távoli számítógépre eshetőséget adhat jogosulatlan hozzáférésre a szervezeti alkalmazásokhoz is. Ezért a távoli számítógép-rendszerekre történő rákapcsolódásokat minden esetben hitelesíteni kell. Ez különösen akkor fontos, ha az összeköttetés olyan hálózaton épül fel, amely kívül esik a szervezet biztonsági ellenőrzési mechanizmusain. A hitelesítés néhány példáját, és azt, hogy hogyan lehet ezt elérni, az előző 7.4.3 szakasz mutatja. A csomópont-hitelesítés ad egy másik, alternatív módszert távoli felhasználók csoportjainak hitelesítésére, amikor ezek a felhasználók biztonságos, de megosztott számítógéprendszerre kapcsolódnak fel (lásd a 7.4.3. szakaszt).
120
7.4.5
TÁVDIAGNOSZTIKÁT VÉGZŐ CSATLAKOZÓ PORT VÉDELME
Távdiagnosztikát végző hálózati csatlakozó portok hozzáférését biztonsági szempontból ellenőrizni kell. Igen sok számítógépet és távközlő-rendszert telepítettek úgy, hogy kívülről és távolról történő csatlakozáson keresztüli távdiagnosztikai képességeket is kapott a fenntartással foglalkozó mérnökök támogatására. Ha védetlen az ilyen távdiagnosztikát végző csatlakozó port, akkor lehetőséget ad jogosulatlan hozzáférésre. Éppen ezért az ilyeneket megfelelő biztonsági mechanizmussal kell védeni, például zárral, kulccsal és olyan eljárással, amely szavatolni képes, hogy csak olyan eljárásrendben lehessen hozzáférni, amely a számítógép szolgáltatásért felelős és a hozzáférést igénylő, a hardvert és a szoftvert kiszolgáló személyzet közötti együttműködést biztonsági szempontból is szabályozza. 7.4.6
HÁLÓZAT TARTOMÁNYOKRA BONTÁSA
A hálózatokat egyre jobban kiterjesztik a szervezetek hagyományos határain túlra, ahogy olyan szervezeti partnerségek alakulnak ki, amelyek megkívánják az összekapcsolást és az osztozkodást az információ-feldolgozó és a hálózati eszközökön. Az ilyen kiterjesztések fokozhatják a már meglévő és hálózatot is felhasználó informatikai rendszerekhez történő hozzáférések kockázatát. Néhány ilyen kiterjesztés megkívánja a védelmet más hálózati felhasználóktól, mert olyan fokú bizalmas adatokat kezelnek és kritikus fontosságúak. Az ilyen esetekben a szervezetek között a hálózatba be kell építeni ellenőrzési mechanizmusokat és óvintézkedéseket azért, hogy csoportokba osszuk szét az informatikai szolgáltatásokat, a felhasználókat és az informatikai rendszereket. A kiterjedt hálózatok biztonságának ellenőrzése érdekében alkalmazható egyik módszer az, hogy különböző logikai hálózati tartományokba osztjuk azokat, például a szervezet belső hálózati és külső hálózati tartományába, amelyek mindegyikét jól meghatározott biztonsági védősáv, zóna óv. Ez a védősáv azzal is megvalósítható, hogy biztonsági átjárót telepítünk a két összekapcsolandó hálózat közé, hogy ezzel végezzük el a hozzáférésnek és az adatfolyamoknak az ellenőrzését a két tartomány közt. Az átjárót úgy kell beállítani, hogy szűrje a két tartomány közötti forgalmat (lásd a 7.4.7 és a 7.4.8 szakaszt) és blokkolja a jogosulatlan hozzáférést a szervezet hozzáférés-ellenőrzési szabályozása szerint (lásd a 7.1.1 szakaszt). Az e fajta átjárók közismert és gyakran hivatkozott példája a tűzfal. A hálózatok tartományokra való felosztásának kritériumát a hozzáférés-ellenőrzési szabályozásra és a hozzáférési követelményekre kell alapozni (lásd a 7.1 szakaszt), ugyanakkor célszerű figyelembe venni az adekvát hálózati útvonal-irányításnak és/vagy a kiválasztott átjáró 121
technológiának felhasználásából származó, a közvetett költségekre és a teljesítőképességre, a számítógép-hálózat teljesítményére gyakorolt hatását (lásd a 7.4.7 és a 7.4.8 szakaszt). 7.4.7
A HÁLÓZATI ÖSSZEKÖTTETÉSEK ELLENŐRZÉSE ÉS FELÜGYELETE
A hozzáférés-ellenőrzési szabályozás követelményei az osztott felhasználású hálózatok esetében általában, de különösen pedig azok esetében, amelyek az adott szervezet határain túlra kiterjednek, olyan ellenőrzési mechanizmusok és óvintézkedések beépítését teszik szükségessé, amelyekkel korlátozni lehet a felhasználók hálózathoz csatlakozási képességeit. Ezeket az óvintézkedéseket olyan hálózati átjárókkal, tűzfalakkal lehet megvalósítani, amelyek előre meghatározott táblázatok vagy szabályok segítségével szűrik meg a rajtuk áthaladó forgalmat. Az alkalmazott korlátozásokat a szervezeti szintű alkalmazások hozzáférés-ellenőrzés szabályozására és annak követelményeire kell alapozni (lásd a 7.1.1 szakaszt), és ennek megfelelően ajánlatos azokat napra készen tartani és frissíteni. Azoknak az alkalmazásoknak a példái, amelyekre ajánlatos korlátozásokat bevezetni, a következők: a) elektronikus levelezés; b) egyirányú állományküldés, másolás; c) kétirányú állományküldés, másolás; d) interaktív hozzáférés; e) hálózati hozzáférés, ami dátumhoz vagy a nap bizonyos időpontjához kapcsolódik. 7.4.8
A HÁLÓZAT ÚTVONALIRÁNYÍTÁS ELLENŐRZÉSE ÉS FELÜGYELETE
Az osztott hálózatok, különösen pedig azok, amelyek az adott szervezet határain túlra is kiterjednek, olyan útvonal-irányítási ellenőrzési mechanizmusok és óvintézkedések beépítését tehetik szükségessé, amelyekkel garantálni lehet, hogy a számítógép-hálózati összeköttetések és az információfolyamok nem sértik a szervezet alkalmazási rendszereinek hozzáférésellenőrzési szabályozását (lásd a 7.1.1 szakaszt). Az ilyenfajta ellenőrzés igen gyakran lényeges az olyan hálózatokra nézve, amelyen az adott szervezethez nem tartozó harmadik féllel osztoznak. Az útvonal irányításra vonatkozó ellenőrzési mechanizmusokat és óvintézkedéseket olyan ellenőrző mechanizmusokra kell alapozni, amelyek az információforrást, az informatikai erőforrást és a rendeltetési címek helyességét ellenőrzik és pozitív eredmény esetén engedélyezik a kezdeményezett tevékenységet. A hálózati címek fordítása igen jól használható mechanizmus
122
hálózati tartományok elválasztására és annak meggátlására, hogy kommunikációs útvonalak az egyik szervezet hálózatából a másik szervezet hálózatába átnyúljanak. Ez akár hardverben, akár szoftverrel megvalósítható. A megvalósítóknak tudatában kell lenniük, hogy bármely általuk alkalmazott mechanizmus milyen erős biztonsági szempontból. 7.4.9
A HÁLÓZATI SZOLGÁLTATÁSOK BIZTONSÁGA
A nyilvános és a magánhálózati szolgáltatások széles skálája áll rendelkezésre, néhányukban olyan szolgáltatásokat is igénybe lehet venni, amelyek többletszolgáltatásokat nyújtanak. A hálózatokon elérhető szolgáltatások biztonsági jellemzői lehetnek egyszerűek, de lehetnek igen bonyolultak is. A hálózatokon elérhető szolgáltatásokat igénybe vevő szervezeteknek gondoskodniuk kell arról, hogy a rendelkezésükre álljanak valamennyi igénybevett szolgáltatás biztonsági attribútumainak egyértelmű leírása.
7.5 Hozzáférés-ellenőrzés az operációs rendszerben Célkitűzés: Meg kell akadályozni az illetéktelen hozzáférést a számítógéphez. Az operációs rendszer szintjén rendelkezésre álló biztonsági szolgáltatásokat arra kell használni, hogy korlátozzuk a hozzáférést a számítógép erőforrásaihoz. Ezeknek az eszközöknek a következő képességekkel kell rendelkezniük: − az egyes jogosult felhasználók azonosítására, és szükség esetén termináljának vagy topográfiai elhelyezkedésének az azonosítására és helyességének ellenőrzésére; − a sikeres és a sikertelen rendszer-hozzáférések rögzítésére; − az azonosítás és hitelesítés ellátására alkalmas szolgáltatással, és ha jelszókezelő rendszert használnak, akkor ez a rendszer minőségi jelszavakat tud nyújtani (lásd a 7.3.1 d) szakaszt); −
ahol az ésszerű, ott a felhasználók hálózati kapcsolati idejének korlátozására.
Egyéb hozzáférés-ellenőrző módszerek, mint a kérdés-válasz, rendelkezésre állnak olyan esetekre, amelyekben ezt a szervezetre vonatkozó biztonsági kockázatok indokolják. 7.5.1
A TERMINÁL AUTOMATIKUS AZONOSÍTÁSA
Automatikus terminálazonosítást kell alkalmazni olyan esetekben, amikor meghatározott helyre vagy hordozható számítógépre irányuló összeköttetést azonosítunk és hitelesítünk. Az automatikus terminálazonosítás az a technika, amelyet akkor használunk, ha fontos, hogy a
123
hálózati kapcsolat felépítését csak bizonyos helyekről vagy számítógép terminálról lehessen kezdeményezni. A terminálban elhelyezett vagy ahhoz csatolt azonosító eszköz használható arra, hogy jelezze, vajon ennek a terminálnak megengedték-e, hogy bizonyos tranzakciókat kezdeményezzen, illetve fogadjon. Szükség lehet arra is, hogy ezt a terminált azért kell ellátni külön fizikai védelemmel, hogy a terminálazonosító eszköz biztonságáról gondoskodhassunk. A felhasználók azonosítására és hitelesítésére egy sor egyéb technikát is alkalmazhatunk (lásd a 7.4.3 szakaszt). 7.5.2
TERMINÁL BEJELENTKEZÉSI ELJÁRÁSOK
Biztonságos bejelentkezési folyamat révén kell lehetővé tenni a hozzáférést az informatikai szolgáltatásokhoz. A számítógép-rendszerekbe történő belépés eljárását úgy kell megtervezni, hogy a jogosulatlan hozzáférés esélyét a minimálisra csökkentsük. A beléptető eljárásnak éppen ezért a rendszerről csak a lehető legkevesebb információt szabad közreadnia azért, hogy elkerülhessék azt, hogy a jogosulatlan felhasználót szükségtelenül segítse felhasználható információkkal. A jó beléptető eljárásnak: a) mindaddig nem szabad a rendszer vagy az alkalmazás azonosítóját kijeleznie, amíg a bejelentkezési folyamat sikeresen be nem fejeződött; b) általános szöveg megjelenítésével kell figyelmeztetnie, hogy a számítógéphez csakis az arra feljogosított felhasználók férhetnek hozzá; c) a bejelentkezési eljárás alatt nem szabad olyan tájékoztató üzenetet szolgáltatnia, amely a jogosulatlan felhasználót segíthetné; d) a bejelentkezési információ helyességnek ellenőrzését csak az összes beadandó adat megadásának befejeztével kell megkezdeni. Bármilyen hiba is okozta a hibajelenséget, a rendszernek nem szabad megmutatnia, hogy az adatok mely része helyes vagy hibás; e) korlátozza a megengedett bejelentkezési kísérletek számát (az ajánlott érték: három) és fontolja meg az alábbiakat: − a sikertelen kísérleteket rögzíti; − kikényszeríti bizonyos időkésleltetés beiktatását, mielőtt a további belépési kísérleteket engedélyezné, vagy elutasít bármely újabb kísérletet, amely további különös azonosítási és hitelesítési lépéseket tenne lehetővé; − a hálózati kapcsolatot megszakítja; f) a bejelentkezési eljárásra megengedett legrövidebb és leghosszabb időtartamot korlátoznia kell úgy, hogyha e határon a bejelentkezés túllép, a bejelentkezést zárja le;
124
g) a sikeres bejelentkezés befejezésekor a következő információt kell kijeleznie: − a legutolsó sikeres bejelentkezés kelte és időpontja; − a legutolsó sikeres bejelentkezést követő minden sikertelen bejelentkezés részletes adatai. 7.5.3
A FELHASZNÁLÓ AZONOSÍTÁSA ÉS HITELESÍTÉSE
Minden felhasználót (a műszaki, informatikai munkatársakat is beleértve, mint például az operátorokat, a hálózati adminisztrátorokat, a rendszerprogramozókat és az adatbázisadminisztrátorokat) kizárólagos egyéni használatra szóló egyedi azonosítóval (felhasználói ID-vel) kell ellátni azért, hogy azt követően bármely tevékenység nyomon követhető legyen egészen az azért felelős személyig bezárólag. A felhasználói ID-k nem mutathatják semmi jelét a felhasználó különleges hozzáférési jogainak (lásd a 7.2.2 szakaszt), például azt, hogy vezető-e, ellenőr-e, felülvizsgáló-e stb. Kivételes körülmények között, ahol az világos, hogy milyen szervezeti előny származhat belőle, közös használatú felhasználói ID-k adhatók ki felhasználói csoportok számára, vagy különleges feladatok keretében. Az ilyen esetekben a vezetőség engedélyét dokumentálni kell. A felelősségre vonhatóság érdekében további óvintézkedések is szükségessé válhatnak. Sokféle hitelesítő eljárás létezik, amelyek használhatóak a felhasználó állítólagos azonossága igazolására. A jelszavak használata (lásd a 7.3.1. szakaszt is, meg a továbbiakat) általánosan elterjedt módját jelentik az olyan azonosításnak és hitelesítésnek (I&A, Identification and Authentication), amely olyan titkon alapul, amit csak a felhasználó ismer. Ugyanez elérhető kriptográfiai eszközökkel és hitelesítő protokollokkal is. Olyan objektumok, mint a felhasználók által birtokolt hardver eszközök („tokens”) vagy intelligens kártyák ugyancsak használhatóak azonosításra és hitelesítésre (I&A). Biometriai hitelesítési technológiák, amelyek a személy egyedi jellemzőit vagy attribútumait használják fel, ugyancsak használhatóak valamely személy azonosságának megállapítására. Erősebb hitelesítést nyerhetünk azzal, ha a technológiák és ellenőrzési mechanizmusok alkalmas kombinációját biztonságosan összekapcsoljuk. 7.5.4
JELSZÓKEZELŐ RENDSZER
A jelszó az egyik fő eszközünk arra, hogy a felhasználónak a számítógépi szolgáltatáshoz való hozzáférése jogosultságát ellenőrizzük és érvényesítsük. A jelszókezelő rendszernek nyúj-
125
tania kell egy eredményesen, ember-gép párbeszéd formájában használható, minőségi jelszavakat garantáló szolgáltatást (lásd a 7.3.1 szakaszban leírt jelszóhasználati útmutatót). Egyes alkalmazási rendszerek azt igénylik, hogy független szervezet ossza ki a felhasználói jelszavakat. A legtöbb esetben a jelszavakat a felhasználók választják meg és tartják napra készen. A jó jelszókezelő rendszer olyan, hogy a) a felelősségre vonhatóság fenntartása érdekében ki tudja kényszeríteni az egyedi és egyéni jelszavak használatát; b) ahol az ésszerű, megengedi, hogy a jelszavakat felhasználóik maguk válasszák és változtassák meg, és egy olyan jelszó megerősítési eljárást is magában foglal, amely hibás adatbevitel esetén a hibás jelszó korrigálását lehetővé teszi; c) ki tudja kényszeríteni, hogy a 7.3.1 szakaszban leírt minőségi jelszavakat válasszanak; d) ott, ahol a felhasználók maguk tartják napra készen saját jelszavaikat, ki tudja kényszeríteni a jelszóváltoztatást a 7.3.1 szakaszban leírt módon; e) ott, ahol a felhasználók maguk választják meg saját jelszavaikat, ki tudja kényszeríteni, hogy az első bejelentkezéskor a 7.2.3 szakasz szerinti módon azonnal megváltoztassák ideiglenes jelszavaikat; f) nyilvántartást vezet az előzőleg használt jelszavakról, például az előző 12 hónapról, és megakadályozza azok újrafelhasználását; g) sohasem jelez ki a képernyőn jelszavakat, bevitelkor sem; h) az alkalmazási rendszer adataitól függetlenül tárolja a jelszóállományokat; i) a jelszavakat csakis kriptográfiai algoritmussal védett formában tárolja, és erre a célra egyirányú titkosító algoritmust alkalmaz; j) a szoftver üzembe helyezését követően megváltoztatja a szállítók alapértelmezésben használt jelszavait. 7.5.5
A RENDSZER SEGÉDPROGRAMJAINAK HASZNÁLATA
A legtöbb számítógéprendszer rendelkezik egy vagy több olyan segédprogrammal, amely képes a rendszer- és alkalmazási rendszer ellenőrzési mechanizmusainak megkerülésére. Nagyon lényeges, hogy ezek használatát korlátozzák és a használatuk pedig szigorúan ellenőrzött legyen. A következő ellenőrzési mechanizmusokat és óvintézkedéseket kell kialakítani: a) a rendszer segédprogramjaihoz azonosító és hitelesítő eljárások használatát; b) a rendszer segédprogramjainak különválasztását az alkalmazás rendszerek szoftvereitől; 126
c) a rendszer segédprogramjai használatát azokra a munkatársakra kell korlátozni, akik a szervezet vezetésének bizalmát élvezik, és használatukra feljogosították őket, lehetőleg e felhasználók legszűkebb csoportjára kell az engedélyeket korlátozni; d) a rendszer segédprogramjai alkalmi használatának szükségessége esetében rendkívüli és gyors engedélyezési eljárást; e) a rendszer segédprogramjai futtathatóságának korlátozását, például egy engedély szerinti rendszerváltoztatás végrehajtásának az idejére; f) a rendszer segédprogramjai használatát minden alkalommal naplózni kell; g) a rendszer segédprogramjaira vonatkozó jogosultsági szintek meghatározását és ezek dokumentálását; h) valamennyi szoftveralapú segédprogram és rendszerszoftver eltávolítását, amint szükségtelenné vált. 7.5.6
A
FELHASZNÁLÓK KÉNYSZER ALATTI CSELEKVÉS ELLENI VÉDELMÉRE SZOLGÁLÓ
RIASZTÁS
A „kényszer-hatása-alatt-áll-riasztással”, vagy „kényszerkód”-dal való ellátást olyan felhasználók esetében kell megfontolni, akik céltáblái lehetnek valamely kényszerítésnek, erőszakos cselekménynek. Azt a döntést, hogy ilyenfajta riasztást bevezessünk-e, kockázatfelmérésre kell alapozni. Pontosan meg kell határozni azokat a felelősségeket és eljárásokat, amelyek a „kényszer-hatása-alatt-áll-riasztásra” adandó válaszra vonatkoznak. Beléptető rendszerek, biztonsági zónák, bizalmas adatok stb. 7.5.7
TERMINÁL IDŐZÁR
A nagy kockázatú helyeken, például közterületen vagy a szervezet biztonságirányítási körén kívüli külső körzetekben működtetett, vagy a szervezet számára igen nagy biztonsági kockázatot jelentő rendszerekhez kapcsolódó inaktív terminált ki kell kapcsolni, ha meghatározott ideig nincs használva azért, hogy megakadályozzuk illetéktelen személyek hozzáférését. Ez az időzítő-eszköz, időzár, meghatározott ideig tartó használati szünet után „törölje” a terminál képernyőjét, zárja le mind az alkalmazást, mind pedig a hálózati kapcsolatokat. Az időzár beindításához tartozó késleltetés értéke tükrözze a terminál elhelyezésével és felhasználókkal kapcsolatos kockázatot.
127
A terminál időzítő eszköze korlátozott formában több PC-t is kiszolgálhat úgy, hogy „törli” azok képernyőjét és megakadályozza az illetéktelen hozzáférést, de nem zárja be sem az alkalmazást, sem a hálózati kapcsolatokat. 7.5.8
A HÁLÓZATI ÖSSZEKÖTTETÉSI IDŐ KORLÁTOZÁSA
A hálózati kapcsolatok fenntartásának idejére vonatkozó korlátozások a nagy kockázattal járó alkalmazásokhoz további biztonságot nyújtanak. Annak az időtartamnak a korlátozása, amely ideig a terminál összeköttetéseknek engedélye van számítógép szolgáltatások igénybe vételére, csökkenti azt az időablakot, amely alkalmat jelenthet illetéktelen hozzáférésre. A bizalmas, kényes információk kezelésével foglalkozó számítógép alkalmazásokhoz az ilyenfajta ellenőrzési mechanizmust ki kell alakítani, különösen akkor, ha a terminálok nagy biztonsági kockázatot jelentő helyeken vannak elhelyezve, például közterületen vagy a szervezet biztonságirányítási körén kívül eső külső körzetekben. Az effajta korlátozások példái: a) előre meghatározott időrések használata, például adatállományok átküldésére kötegelt („batch”) üzemmódban, vagy rendszeres ember-gép párbeszéd kapcsolatok rövid időtartamra történő korlátozása, b) a hálózati összeköttetés kapcsolati idejének a szokásos hivatali órákra való korlátozása, ha nincsen szükség túlórára vagy munkaidőn túli működtetésre.
7.6 Az alkalmazás hozzáférés-ellenőrzése Célkitűzés: Meg kell akadályozni az illetéktelen hozzáférést az informatikai rendszerekben tárolt adatokhoz.
Biztonságtechnikai szolgáltatásokat úgy kell alkalmazni, hogy az alkalmazási rendszereken belül a hozzáféréseket korlátozzuk. A szoftverhez és az információhoz történő logikai (a nem fizikai, hanem informatikai jellegű) hozzáférést a jogosult felhasználókra kell korlátozni. Az alkalmazási rendszerek: a) ellenőrizzék a felhasználói hozzáférést az információhoz és az alkalmazási rendszer funkcióihoz a megfogalmazott szervezeti hozzáférés-ellenőrzési szabályozás szerint; b) nyújtsanak védelmet az illetéktelen hozzáférés ellen valamennyi olyan operációs rendszerbeli és segédprogram, szoftver számára, amelyek képesek a rendszer vagy az alkalmazási rendszer ellenőrzési mechanizmusának megkerülésére; c) kerüljék el más, olyan rendszerek biztonsági szempontból történő veszélyeztetését 128
vagy megkárosítását, amelyekkel az adott rendszer osztozik valamely informatikai erőforrás használatában, d) legyenek képesek arra, hogy csak az arra megnevezett, jogosult személyeknek vagy felhasználói csoportoknak, vagy az alkalmazási rendszerért felelősnek tegyék lehetővé a hozzáférést az információhoz. 7.6.1
AZ INFORMÁCIÓHOZ VALÓ HOZZÁFÉRÉS KORLÁTOZÁSA
Az alkalmazási rendszer felhasználóit, a műszaki támogató személyzetet is beleértve, az előre meghatározott hozzáférés-ellenőrzési szabályozás szerint kell ellátni hozzáférési jogokkal mind az információkhoz, mind az alkalmazási rendszer funkcióihoz, de úgy, hogy azt az egyedi szervezeti alkalmazás követelményeire alapozzuk, és az ugyanakkor legyen összhangban a szervezetnek az információ-hozzáférési szabályozásával (lásd a A hozzáférés-ellenőrzés irányelvei7.1.1 szakaszt). A következő ellenőrzési mechanizmusokat és óvintézkedéseket kell kialakítani azért, hogy ki lehessen elégíteni a hozzáférés-korlátozás követelményeit: a) menük alkalmazását az alkalmazási rendszer funkcióihoz való hozzáférés ellenőrzésére; b) a felhasználói ismeretek korlátozását, a felhasználói kézikönyvek megfelelő szerkesztésével azon informatikai funkciók és alkalmazási rendszerbeli funkciók terén, amelyekhez hozzáférésre nincsenek feljogosítva; c) a felhasználók hozzáférési jogainak szabályozását és ellenőrzését, például, hogy az kiterjed-e írásra, olvasásra, törlésre és végrehajtásra; d) a gondoskodást arról, hogy a bizalmas, kényes információt kezelő alkalmazási rendszerek kimenetei csak annyi információt tartalmazzanak, amely az adott kimenet használatára helyénvaló, és csakis az arra illetékes terminálokra és helyszínekre legyenek továbbítva, beleértve az ezen kimenetek időszakos felülvizsgálatát annak érdekében, hogy a redundáns információt eltávolítsák. 7.6.2
A BIZALMAS, KÉNYES ADATOKAT KEZELŐ RENDSZEREK LEVÁLASZTÁSA
A bizalmas, kényes adatokat kezelő rendszerek számára elkülönített (leválasztott) számítástechnikai környezet kell megteremteni. Bizonyos alkalmazási rendszerek esetleges adatvesztése, kiesése kényes szituációt teremthet, ezért különleges kezelést igényelnek. A bizalmas adatkezelés biztonsági érzékenységnek a foka arra mutathat, hogy az adott alkalmazást külön erre a célra rendelt számítógépen ajánlatos futtatni, kimondottan csak a bizalmat élvező más
129
alkalmazási rendszerekkel osztozhat közös erőforrásokon, vagy pedig semmiféle biztonsági korlátozást nem kíván meg. A következő lépések szükségesek: a) Az alkalmazási rendszer bizalmas adatkezelésének mértékét az alkalmazási rendszer felelőse félreérthetetlenül határozza meg és dokumentálja (4.1.5). b) Amennyiben a bizalmas adatokat kezelő alkalmazást olyan közös környezetben futtatjuk, amelyen más alkalmazási rendszerekkel osztozik, azokat az alkalmazási rendszereket, amelyekkel az erőforrásokon osztozik, azonosítani kell és meg kell szerezni a bizalmas adatokat kezelő alkalmazás felelősének jóváhagyását.
7.7 A rendszerhasználat és hozzáférés nyomon követése és felügyelete Célkitűzés: Észlelni kell a jogosulatlan tevékenységeket. A rendszereket nyomon kell követni annak érdekében, hogy a hozzáférés-ellenőrzési szabályozástól való minden eltérést észlelhessünk, továbbá rögzítsünk minden megfigyelhető eseményt, hogy bizonyítékot szolgáltathassunk, ha rendkívüli biztonsági esemény következi be. A rendszer nyomon követés lehetővé teszi az alkalmazott ellenőrzési mechanizmusok és óvintézkedések eredményességének ellenőrzését, valamint a hozzáférés-ellenőrzési szabályozás modelljének (lásd a 7.1 szakaszt) való megfelelés helyességének vizsgálatát. 7.7.1
ESEMÉNYNAPLÓZÁS
Azoknak a nyomon követési és ellenőrizhetőséget lehetővé tevő naplóknak („audit log”), amelyek kivételes helyzeteket és más biztonsággal kapcsolatos eseményeket rögzítenek, folyamatos előállításáról gondoskodni kell és megállapodás szerinti ideig meg kell tartani annak érdekében, hogy a későbbi vizsgálatokat és a hozzáférés-ellenőrzés figyelését elősegítsük. A nyomon követési és ellenőrizhetőséget lehetővé tevő naplóknak tartalmazniuk kell a következőket: a) a felhasználói azonosítókat (ID); b) a bejelentkezés és kijelentkezés dátumát és időpontját; c) a terminálazonosítót, és ha lehet, a helyet; d) a sikeres és a sikertelen rendszer-hozzáférési kísérletekről készült feljegyzéseket; e) a sikeres és a sikertelen adathozzáférési és más erőforrás-elérési kísérletekről készült feljegyzéseket. Szükség lehet arra is, hogy bizonyos nyomon követési és ellenőrizhetőséget lehetővé tevő naplókat archiváljunk, mégpedig akár a feljegyzések megőrzésére vonatkozó szabályozásban 130
előírtak következtében, akár a bizonyítékok gyűjtésére vonatkozó követelmények miatt (lásd a 10. fejezetet is). 7.7.2
A NYOMONKÖVETÉSI ÉS FELÜGYELETI RENDSZER HASZNÁLATA
7.7.2.1 A biztonsági kockázatok területei és eljárások El kell készíteni az információ-feldolgozó szolgáltatások és létesítmények használatát nyomon követő eljárásokat. Az ilyenfajta eljárások azért szükségesek, hogy megbizonyosodjunk arról, hogy a felhasználók tényleg csak azokat a tevékenységeket végzik, amelyekre kimondottan fel vannak jogosítva. Az egyes eszközök esetében a megkívánt nyomon követési szintet kockázat elemzéssel kell meghatározni. A területek, amelyek nyomon követése szükséges a következők: a) a jogosultsággal rendelkező felhasználók rendszer-hozzáférése, beleértve annak egyes részleteit; − a felhasználó azonosítóját (ID); − a kulcsfontosságú események dátumát és időpontját; − az események fajtáját; − a hozzáféréskor elért állományokat; − a használt programokat és segédprogramokat; b) minden különleges jogosultsággal rendelkező művelet, mint például: − a különleges jogosultságú rendszergazdai felhasználó azonosító használatát; − a rendszerindítást és leállítást; − bemenő/kimenő eszközök felcsatlakoztatását és leválasztását (pl. USB eszközök, intelligens kártyaolvasók stb.), c) a jogosulatlan hozzáférési kísérleteket, mint például: − a sikertelen bejelentkezési kísérleteket; − a hozzáférési szabályozás megsértéseit, valamint a hálózati átjárók és tűzfalak részére küldött figyelmeztetéseket; − a saját behatolásérzékelő-rendszerektől kapott riasztásokat; d) az olyan rendszerriasztásokat és meghibásodásokat, mint például: − az operátori konzol riasztásait és üzeneteit; − a rendszernapló rendkívüli eseményekről szóló bejegyzéseit; − hálózat-felügyeleti rendszer riasztásait.
131
7.7.2.2 Kockázati tényezők A nyomon követő tevékenységek eredményeit időről időre felül kell vizsgálni. A felülvizsgálat gyakorisága a szóban forgó kockázattól függ. A következő kockázati tényezőket kell kezelni: a) Mennyire kritikus fontosságúak az egyes alkalmazási rendszerek, folyamatok; b) Mennyi az értéke, mennyire bizalmas, mennyire kritikus fontosságú a szóban forgó információ; c) a rendszerbe történő behatolásról és a rendszerrel való visszaélésről szóló korábbi tapasztalatokat; d) a rendszer hálózati kapcsolatainak kiterjedtségét (különös tekintettel a nyilvános hálózatokra). 7.7.2.3 Az eseménynaplózás és felülvizsgálat A naplóellenőrzés révén felismerhetők azok a fenyegetések, amelyekkel a rendszerek szembenéznek, és annak mikéntje is megérthető, ahogyan e fenyegetések fellépnek. Példák az olyan eseményekre, amelyek a biztonsági eseményekkel kapcsolatban további vizsgálatot igényelnek, a 7.7.1 szakaszban találhatók. A rendszernaplók gyakran tartalmaznak nagy mennyiségben információt, amelynek nagy része a biztonsági megfigyelés szempontjából nem tartozik a tárgyhoz, érdektelen. El kell dönteni, hogy milyen elemzési megoldást választanak az egyes naplók esetében: (1) az arra alkalmas biztonsági üzenetfajtáknak automatikus átmásolását egy második naplóba, (2) és/vagy alkalmas rendszer-segédprogramok vagy auditálási eszközöket alkalmaznak a naplóállományok átvizsgálására annak érdekében, hogy segítsük a biztonsági felügyelet számára a lényeges biztonsági események azonosítását.
Amikor a naplóvizsgálati felelősségeket kiosztjuk, meg kell fontolni a szerepek szétválasztását, elválasztva azon személy(ek) felelősségét, akik a vizsgálatokat végzik, azon személyekétől, akiknek a tevékenységére vonatkozott a megfigyelés. Különös figyelmet kell fordítani a naplózó eszközök biztonságára, mert ha meghamisíthatók, hamis biztonságérzetet kelthetnek. Ellenőrzési mechanizmusokat és óvintézkedéseket kell alkalmazni azért, hogy megvédjük az olyan illetéktelen változtatásoktól és üzemeltetési problémáktól, mint: a) naplózási rendszer, amelyet kiiktattak; 132
b) üzenetfajták, amelyeket rögzítés után módosítottak; c) naplófájlok, amelyeket átszerkesztettek vagy töröltek; d) naplófájlok adathordozói, amelyek beteltek és ennek következtében vagy nem lehet már velük az eseményekről feljegyzést készíteni, vagy önmagukat írják felül. 7.7.3
ÓRAJEL-SZINKRONIZÁLÁS
A számítógépi órajelek pontos beállítása azért fontos, hogy szavatolhassuk a nyomon követési és ellenőrizhetőséget lehetővé tevő naplók pontosságát, ezek a naplók viszont a vizsgálatok számára lehetnek szükségesek, mert bizonyítékként szolgálhatnak jogi vagy fegyelmi eljárásokban. A pontatlan nyomon követési és ellenőrizhetőséget lehetővé tevő naplók hátráltathatják az ilyen vizsgálatokat, és leronthatják az ilyenfajta bizonyítékok hitelét. Ahol számítógép vagy távközlési eszköz képes valós időt mutató órát üzemeltetni, akkor azt az egyezményes szabvány szerinti időre kell beállítani, például az Egyetemes Koordinált Időre (UCT, Universal Co-ordinated Time), vagy valamely helyi zóna időre. Mivel bizonyos órákról tudjuk, hogy időben el szoktak csúszni, olyan eljárást kell alkalmazni, amely a jelentős eltérést ellenőrzi és helyesbíti.
7.8 A mobil számítástechnika és a távmunka (Vonali elérés) Célkitűzés: Gondoskodni kell az informatikai biztonságról a mobil számítástechnikai és a távmunka-végzési eszközök használata esetén. A megkívánt biztonság legyen összemérhető azzal a kockázattal, amelyet az ilyen munkavégzési mód hordoz. Amikor mobil számítástechnikát alkalmazunk, meg kell fontolni a védetlen környezetben végzett munka biztonsági kockázatát és a megfelelő védelem használatát. Távmunka végzése esetében a szervezet fog védelmet alkalmazni a távmunka végzést lehetővé tevő, a szervezet biztonságirányítási rendszerén belüli helyszínen és gondoskodni kell arról is, hogy az ilyen munkavégzésnek biztonsági szempontból is megfelelő informatikai szolgáltatások álljanak rendelkezésére. 7.8.1
MOBIL SZÁMÍTÁSTECHNIKA
Amikor mobil számítástechnikai eszközöket használunk, például hordozható számítógépeket, tenyérgépeket (notebookokat, palmtopokat, laptopokat) és mobil telefont, akkor gondoskodni kell arról, hogy a szervezeti információban ne keletkezhessenek károk. Olyan hivatalos szabályozást kell kialakítani, amely figyelembe veszi mindazokat a kockázatokat, amelyek a mobil 133
számítástechnikai eszközökkel végzett munkával járnak, különösen, ha azt védetlen környezetben végezzük. Például ajánlatos, ha az ilyen szabályzat magában foglalja a fizikai védelemre, a hozzáférés-ellenőrzésre, a kriptográfiai módszerekre, a biztonsági mentésre és a vírusvédelemre vonatkozó követelményeket. Ajánlatos, hogy ez a szabályozás magában foglalja a mobil eszközöknek a hálózatra csatlakozási szabályait is és az erre vonatkozó tanácsokat, valamint útmutatást ezek közterületeken való használatára. Gondosan kell eljárni, amikor mobil számítástechnikai eszközöket közterületeken, konferenciatermekben és más védetlen körzetekben, a szervezet saját telephelyén kívül használunk. Védelmet kell adni az ilyen eszközökben tárolt és feldolgozott információnak az illetéktelen hozzáférés vagy a nyilvánosságra kerülés ellen, például kriptográfiai módszerek alkalmazásával (lásd a 8.6 szakaszt). Fontos, hogy amikor ilyen eszközöket közterületeken, nyilvános helyeken használunk, akkor vigyázzunk arra, hogy kerüljük el annak kockázatát, hogy illetéktelen személyek betekintsenek tevékenységünkbe. Alkalmazni kell és naprakész állapotban kell tartani a rosszindulatú szoftver elleni védelmi eljárásokat (lásd a 6.3 szakaszt). Álljon rendelkezésre az a berendezés, amellyel lehetséges az információ könnyű és gyors biztonsági mentése. Az ilyen mentések legyenek elegendően védettek, például az információlopás és információvesztés ellen. Megfelelő védelemmel kell ellátni a mobil eszközöket arra az esetre is, amikor azokat hálózatba kapcsolva használjuk. Az szervezeti információhoz a távoli hozzáférés, ha azt mobil számítástechnikai eszközökkel nyilvános hálózaton keresztül érjük el, csak azután fordulhasson elő, miután sikeres volt az azonosítás és hitelesítés, a jogosultságok megállapítása, és erre alkalmas hozzáférés-ellenőrző mechanizmust folyamatosan működtetünk (lásd a 7.4 szakaszt). A mobil számítástechnikai eszközt fizikailag is védeni kell a lopás ellen, különösen akkor, ha például gépkocsiban vagy más szállítóeszközön, hotelszobában, konferencia teremben és tanácskozó helyen hagyjuk. Olyan számítógép, amely fontos, bizalmas és/vagy kritikus fontosságú szervezeti információt hordoz nem hagyható felügyeletlenül, és ahol lehetséges azt fizikailag is el kell zárni, vagy azon a berendezés biztonsága érdekében különleges zárat kell alkalmazni. A mobil berendezés fizikai védelmével kapcsolatban további információ található a 5.4.5 szakaszban. A mobil számítástechnikai eszközt felhasználó alkalmazottak számára oktatást, kiképzést kell szervezni azért, hogy terjesszük a munkatársakban annak a többletkockázatnak az ismeretét, amit az ilyenfajta munkavégzés jelent, és azokat az ellenőrzési mechanizmusokat és óvintézkedéseket, amelyeket meg kell valósítani. 134
7.8.2
A TÁVMUNKA
A távmunka során távközlési technológiákat alkalmazunk arra, hogy a munkatársak a szervezet állandó telep-helyétől távol végzett munkáját lehetővé tegyük. A távmunka munkahelyének megfelelő védelmét a szóban forgó helyszínen kell létrehozni azért, hogy a berendezés és az információ ellopása, az információ felfedése és nyilvánosságra hozatala, a szervezet belső rendszereihez az illetéktelen hozzáférés vagy az informatikai szolgáltatásokkal való visszaélés ellen megvédjük. Fontos, hogy a távmunkára a vezetőség adja meg az engedélyt és végezze annak ellenőrzését, ugyanakkor az effajta munkavégzéshez alkalmas intézkedéseket kell kialakítani. A szervezeteknek a távmunka-végzési tevékenységek ellenőrzéséhez ki kell fejleszteniük a szabályozást, az eljárásokat és a szabványokat. A szervezeteknek csak akkor szabad a távmunka-végzési tevékenységekre felhatalmazást megadniuk, ha meg vannak elégedve azzal, ahogyan a biztonsági óvintézkedéseket és ellenőrzési mechanizmusokat kialakították, és hogy ezek megfelelnek a szervezet biztonsági szabályozásának. A következőket kell kialakítani: a) a távmunka-végzési telephely meglévő fizikai biztonságát, figyelembe véve mind az épület, mind a környezet fizikai biztonságát; b) a tervezett távmunka-végzési környezetet; c) a hálózat, a távközlés biztonsági követelményeit, figyelembe véve azt az igényt, hogy a szervezet belső rendszereihez távolról fognak hozzáférni, a távolról elért és a hálózati vonalakon továbbított információ bizalmasságának, titkosságának fokától függően, valamint a szervezet belső informatikai rendszerei bizalmasságának, titkosságának fokától függően; d) az információhoz és erőforrásokhoz történő bármely illetéktelen hozzáférés fenyegetését, amelyet más személyek okozhatnak, akik ugyancsak használják a „távmunka telephely” helyiségeit, például a család vagy a barátok. Az óvintézkedések és az ellenőrzési mechanizmusok foglalják magukban: a) az ellátást a távmunka-végzési tevékenységekhez alkalmas berendezésekkel és tárolásra alkalmas bútorokkal; b) mindannak meghatározását, hogy milyen munka van megengedve, milyen munkaidő van megszabva, milyen biztonsági osztályozású információ az, amit ott tartható, valamint hogy milyen belső rendszerhez és szolgáltatáshoz jogosult a távmunkás a távolból hozzáférni;
135
c) az ellátást az alkalmas távközlő-berendezésekkel, informatikai hálózati eszközökkel, beleértve a távoli hozzáférés biztonsági szolgáltatásait; d) a fizikai biztonságot; e) azokat a szabályokat és iránymutatásokat, amelyek a család és a látogatók berendezésekhez és információhoz való hozzáférésére vonatkoznak; f) hardver és szoftvertámogatást és karbantartást; g) a biztonsági mentés és az ügymenet folyamatosságának eljárásait; h) nyomon követhetőséget auditálási és biztonsági szempontból; i) a jogosultságokra vonatkozó engedélyek visszavonását és a hozzáférési jog érvénytelenítését, valamint a berendezés visszaszolgáltatását akkor, amikor a távmunkatevékenység megszűnik
136
8
Rendszerfejlesztések és az informatikai rendszerek karbantartása 8.1 A rendszerekkel szemben szabott biztonsági követelmények
Célkitűzés: Gondoskodni kell arról, hogy a biztonság beépüljön az informatikai rendszerekbe. Ebbe beleértjük az informatikai infrastruktúrát, a szervezeti alkalmazásokat, valamint a felhasználók által kifejlesztett alkalmazásokat is. Az informatikai alkalmazást, illetve szolgáltatást támogató szervezeti folyamatok megtervezése és megvalósítása kritikus tényező lehet a biztonság szempontjából. Ezért a biztonsági követelményeket már az információ-rendszerek kifejlesztését megelőzően meg kell határozni és jóvá kell hagyatni. Minden biztonsági követelményt, a hardverek, informatikai rendszerek kiesésére illetve csökkent működőképessége esetére vonatkozó szükséges intézkedéseket is beleértve, már a projekt követelményeinek a felállítása során az informatikai rendszer általános szervezeti és gazdasági szintű projektterve részeként kell meghatározni és indokolni, jóváhagyatni és dokumentálni. 8.1.1
A BIZTONSÁGI KÖVETELMÉNYEK ELEMZÉSE ÉS A KÖVETELMÉYNYSPECIFIKÁCIÓ
Az új rendszerekre vagy a meglévő rendszerek bővítéseire vonatkozó szervezeti követelményeknek tartalmazniuk kell az ellenőrzési mechanizmusokra és az óvintézkedésekre vonatkozó követelményeket is. Az ilyen specifikációkban szerepeltetni kell a rendszerekbe beépítendő informatikai, automatizált ellenőrzési mechanizmusokat és óvintézkedéseket valamint az ezeket támogató manuális óvintézkedéseket, szervezeti, munkafolyamat szintű ellenőrzési mechanizmusokat is. Hasonló kell eljárni akkor is, amikor szervezeti alkalmazások céljaira szoftvercsomagokat értékelünk ki. Ha alkalmasnak tekintenek a szervezeti feladat ellátásra egy szoftvercsomagokat, akkor a vezetőség dönthet úgy, hogy függetlenül értékelt és tanúsított terméket válasszanak ki. A biztonsági követelmények, ellenőrzési mechanizmusok és óvintézkedések tükrözzék az érintett informatikai vagyon értékét, és azt a lehetséges szervezeti kárt, amelyet egy biztonsági hiba vagy a biztonsági intézkedések hiánya eredményezhet. A kockázatértékelés és kockázatkezelés jelenti azt a megközelítést, amelyet a biztonsági követelmények elemzésére, és a követelményeket kielégítő ellenőrzési mechanizmusok és óvintézkedések, felismerésére lehet felhasználni. A rendszertervezési fázisban bevezetett óvintézkedések lényegesen olcsóbban megvalósíthatók és fenntarthatók, mint azok, amelyeket a megvalósítás során vagy utána vesznek fel. 137
8.1.2
A RENDSZERTERVEZÉS FELÜLVIZSGÁLATA A rendszertervezést minden olyan esetben át kell vizsgálni, ha jelentős technikai
és/vagy logikai eltérések jelennek meg (az elfogadott rendszertervhez képest) a rendszerfejlesztés illetve karbantartás során.
8.2 Alkalmazási rendszerek biztonsága Célkitűzés: Meg kell akadályozni az alkalmazási rendszerben meglévő felhasználói adatok elvesztését, az adatkezelői szándékkal ellentétes módosítását, törlését és az adatokkal történő visszaélést. Az alkalmazási rendszerekbe, beleértve a felhasználó által írott alkalmazásokat is, be kell tervezni a megfelelő ellenőrzési mechanizmusokat, óvintézkedéseket, nyomon követési és ellenőrizhetőséget lehetővé tevő naplókat vagy tevékenységi naplókat. Ezek az alkalmazási szintű ellenőrzési mechanizmusok foglalják magukban a bemenő, az adatfeldolgozás során felhasznált és a kimeneti adatok helyességének ellenőrzését is. További ellenőrzési mechanizmusokra és óvintézkedésekre lehet szükség az olyan rendszerek esetében, amelyek a szervezet bizalmas, kényes, értékes vagy kritikus fontosságú információvagyonának feldolgozásával foglalkoznak vagy hatást váltanak ki az információvagyonon. Az ilyen ellenőrzési mechanizmusokat és óvintézkedéseket a biztonsági követelmények és a kockázatértékelés alapján kell kialakítani.
8.3 Alkalmazói rendszerek fejlesztése Az ONYF megrendelése alapján fejlesztett szoftver, ügyviteli alkalmazói rendszernek a megrendelésbe, szerződésbe, megfelelő dokumentumokba (pl. logikai rendszertervek, specifikációk, stb.) foglalt követelményeknek adatvédelmi és adatbiztonsági szempontból való megfelelőségét, és adott célú használatra alkalmasságát – üzemeltetésre való átvétel előtt – a szoftverfejlesztők nyilatkozatai, majd ezt követően a megrendelő ONYF Rendszerfejlesztési és -felügyeleti Főosztály/Informatikai Főosztály/PIR általi ellenőrzése, tesztelése alapján kell megállapítani. A fejlesztői tesztelések jegyzőkönyvet kell elkészíteni, amely tartalmazza a tesztelési forgatókönyvet és az abban előírt és végrehajtott teszteseteket, az ezekhez kapcsolódó eredmények dokumentumait.
138
A NYUFIG számára megrendelt fejlesztett szoftverek, alkalmazói rendszerek tekintetében az alkalmasság és megfelelőség kritériumának teljesülését a NYUFIG igazgatója igazolja. Fejlesztés során a fejlesztőknek be kell tartaniuk a hatályos informatikai ajánlásokat, ONYF utasításokat, különös tekintettel a fejlesztett szoftvertermékkel kezelt személyes adatok védelmére és biztonságára. A fejlesztett termék - használatba vétele után - nem kerülheti meg az ágazat ellenőrzött jogosultsági-hozzáférési szabályozását, nem tartalmazhat ún. „hátsó kaput”, sem pedig ügyvitelen kívüli adatkezelésre, adattovábbításra alkalmas programrészeket.
8.4 Alkalmazásfejlesztéssel kapcsolatos szerződések tartalmi követelményei Az alkalmazásfejlesztésekkel kapcsolatos szerződések tartalmazzák az alábbi követelményeket: •
A vállalkozóval szemben támasztott titoktartási követelményeket.
•
A szellemi tulajdonjogok tisztázására vonatkozó megegyezéseket.
•
A fejlesztett alkalmazással kapcsolatos garanciális megegyezéseket.
•
Az alkalmazással átadandó dokumentumok listáját, és azok tartalmával kapcsolatos esetleges követelményeket.
8.4.1
•
A forráskódok biztosításával kapcsolatos megegyezéseket.
•
Az alkalmazásba fejlesztendő biztonsági megoldások körét.
•
A fejlesztett alkalmazás (termék) átadásának, átvételének eljárását
ALKALMAZÓI RENDSZEREK SZOFTVEREINEK TESZTELÉSE A szoftverek bevezetésének jóváhagyása előtt az alábbi felhasználói teszteket kell el-
végezni a projekt tesztelési tervében foglaltakkal és a tesztelési szabványokkal összhangban: •
programegység-/elemtesztelés,
•
alkalmazási rendszer tesztelése,
•
integrációs teszt (az elemek összehangoltságának tesztelése),
•
rendszertesztelés, valamint
•
kapacitás- és terheléstesztelés.
139
8.4.2
TESZTELÉS A szoftverek tesztelését úgy kell megtervezni és lefolytatni, hogy a lehető legteljesebb
részletességgel és pontossággal meg lehessen győződni a szoftver specifikációjában meghatározott kritériumok, és a megvalósított funkciók azonosságáról és kizárólagosságáról. Ez azt jelenti, hogy a specifikációban előírt ügyviteli feladatot az alkalmazói rendszer funkciói teljes körűen támogatják, és a rendszer kizárólag a specifikációban előírtaknak megfelelően működik. Általános szabály, hogy a tesztelést éles adatbázison végrehajtani tilos! (Kivéve az SAP riportfejlesztés bizonyos rendkívüli esetét, illetve ha az éles adatbázisban történő tesztelést az Informatikai és Rendszer Fejlesztési főigazgató-helyettes írásban elrendeli.) Tesztelési célra az alkalmazni kívánt adatbázis szerkezetének megfelelő tesztadatbázist kell létrehozni az éles rendszerrel azonos biztonsági követelményeknek megfelelő fejlesztő, tesztelő rendszerben. A munka (fejlesztés, teszt) befejezése után az így készített adatbázis-másolatot törölni kell. Az SAP riportfejlesztéseknél - indokolt esetben, a fejlesztői és a modulgazdai előzetes ellenőrzés sikeres befejezését követően - a PIR Üzemeltetési Osztály vezetője engedélyével a lekérdezés produktív környezetben is tesztelhető. A tesztelésnek két részből, a műszaki-informatikai (fejlesztői) tesztből és az ügyviteliszakmai (felhasználói) tesztelésből kell állnia. A tesztelési állomány meghatározása, a tesztelés tervezése és végrehajtásának engedélyezése első esetben a fejlesztők, második esetben az Rendszerfejlesztési és -felügyeleti Főosztály, valamint a NYUFIG Informatikai igazgatóhelyettes feladata. A modulgazdai tesztelés és ellenőrzés végrehajtása a PIR Üzemeltetési Osztály vezetőjének a feladata. A tesztelés tervezése és eredményeinek kiértékelése során – a funkcionalitás ellenőrzésén kívül – el kell végezni a kezelt adatok történetiségének, sértetlenségének, tartalmi teljességének változatlanságára vonatkozó ellenőrzést. Vizsgálni kell az adatösszefüggések és tevékenységek nyomon-követhetőségét, helyességét is. A megfelelőséget, azaz, hogy az adott alkalmazás/verzió alkalmas a biztonságos adatkezelésre, jegyzőkönyvben kell rögzíteni. A jegyzőkönyvet a fejlesztésért felelős szakigazgatási egység vezetője és a fejlesztők vezetője írja alá. A tesztelések eredményét és a jegyzőkönyvet meg kell őrizni a dokumentációk között az alkalmazói rendszer adott verziójának működési ideje alatt. 8.4.2.1
Párhuzamos/kísérleti tesztelés kritériumai és végrehajtása 140
Biztosítani kell, hogy a párhuzamos illetve kísérleti tesztelés az erre vonatkozóan előre kidolgozott tervek szerint történjen, továbbá, hogy a tesztelési eljárás befejezésének kritériumai előre meg legyenek határozva. 8.4.2.2 Biztonsági tesztelés és jóváhagyás Az üzemeltetés vezetőjének és a felhasználó szervezeti egységek vezetőinek formálisan is el kell fogadniuk a teszt-eredményeket és a rendszerek biztonsági szintjét, az elfogadott kockázati szinttel együtt. Ennek keretében rögzíteni kell a végfelhasználói, a rendszer-fejlesztési, a hálózat-kezelési és a rendszer-üzemeltetési dolgozók feladatait és felelősségeit, figyelembe véve a feladatkörök szétválasztásához, a munkafelügyelethez és az ellenőrzéshez kapcsolódó szempontokat is.
8.5 A bemenő adatok helyességének ellenőrzése Az alkalmazási rendszerek adatbemenete helyességét ellenőrizni kell azért, hogy gondoskodjunk annak pontosságáról és korrektségéről. A szervezeti tranzakciók bemeneteit, az állandó adatokat (neveket és címeket, pénzügyi korlátokat, ügyfelek azonosító számait), valamint a paramétertáblázatokat ellenőrizni kell. A következő ellenőrzési mechanizmusokat és óvintézkedéseket kell kidolgozni: a) duplikált adatbemenet vagy más bemenet-ellenőrzések a következő hibák észleléséhez: 1) az adatbemenet értelmezési tartományán kívüli értékek; 2) adatmezőkben érvénytelen karakterek; 3) hiányzó vagy nem teljes adatok; 4) mennyiségre vonatkozó adatok alsó és felső határainak túllépése; 5) engedéllyel nem rendelkező vagy ellentmondó vezérlési adatok; b) az adatbázis kulcs mezők és az adatállományok tartalmát felül kell vizsgálni időről időre annak érdekében, hogy meg lehet-e állapítani az adattartalmak helyességét, épségét és sértetlenségét; c) a kinyomtatott bemeneti dokumentumok megvizsgálását azért, hogy megállapítsuk, történt-e illetéktelen változtatás a bemenő adatokon (a bemeneti dokumentumoknak minden változtatásához engedélyt kell szerezni); d) eljárást az adatok helyességének ellenőrzése során fellépő hibákra adandó válaszhoz ; e) eljárást a bemenő adatok elfogadhatóságának ellenőrzésére; 141
f) az adatbeviteli folyamatban érintett valamennyi személy felelősségének a meghatározását. 8.5.1
A RENDSZEREN BELÜLI ADATFELDOLGOZÁS ELLENŐRZÉSE
8.5.1.1 Kockázati területek A helyesen rögzített adatok is elromolhatnak akár a feldolgozás hibáinak, akár szándékos tevékenységek következményeként. A rendszerekbe az ilyen meghibásodások felismerése érdekében helyesség ellenőrzéseket kell beépíteni. Az alkalmazások tervezési folyamatán belül kell gondoskodni arról, hogy a korlátozások beépítése a rendszerekbe valóban minimalizálja az adatok épségének, sértetlenségének elvesztésére vezető feldolgozási hibák kockázatát. Az alábbi területek szabályozása szükséges: a) az adatokban változást kiváltó, új elem beillesztését és adatok törlését végző funkciók szabványos helyét és használatát a végrehajtó programokban; b) azokat az eljárásokat, amelyek megakadályozzák, hogy a programok rossz sorrendben vagy korábbi feldolgozásban előállt adat meghibásodás után lefussanak (lásd a 6.1.3 szakaszt is); c) az adat meghibásodás utáni adatfeldolgozás helyreállítására vonatkozó helyes programok használatát annak érdekében, hogy az adatokat helyesen dolgozzák fel 8.5.1.2 Ellenőrzések, ellenőrzési mechanizmusok és óvintézkedések A szükséges ellenőrzési mechanizmusok és óvintézkedések attól függnek, hogy milyen az alkalmazás természete, és hogy a szervezetre a hibás adat milyen hatással lehet. A kialakítandó ellenőrzésekre példálódzó jellegű felsorolás: a) az egyes, interaktív, ember-gép párbeszédekbe beépített vagy kötegelt („batch”) ellenőrzések, amelyek révén az aktualizáló adatbázis-tranzakció után az adat-állomány tartalmának épsége több szempontból leellenőrizhető, pl. ahol pénzügyi, gazdasági vagy egyéb mennyiségi adatok szerepelnek ott a különböző egyenlegek, feldolgozási ellenőrző és tételszámok korrektek-e; b) számlaegyenleg-ellenőrzéseket annak érdekében, hogy a nyitóegyenleget összevessük a korábbi záró-egyenleggel, nevezetesen: − két kötegelt futtatás között az egyenlegek korrektségének ellenőrzését; − az adatállományban aktualizált adatok (pl. pénzügyi adatok) teljes számszaki öszszegének ellenőrzése; 142
− két program között történő adatállomány átadás közben az átadandó állományok épségének, korrektségének ellenőrzése; c) a rendszer által előállított adatok helyességének ellenőrzése (lásd a 8.5. szakaszt); d) a központi és a távoli számítógépek között a feltöltött vagy letöltött adatok vagy szoftverek épségének, sértetlenségének ellenőrzése (lásd a 8.6.3 szakaszt); e) a rekordok, adatbejegyzések és az állományok digitális lenyomatai (zagyváló algoritmus, „hash”); f) az ellenőrzések, amelyek szavatolják, hogy az alkalmazási programokat időben lefuttatták; g) az ellenőrzések, amelyek szavatolják, hogy az alkalmazási programokat a helyes sorrendben futtatták le, és hogy a programokat meghibásodáskor félbeszakították, amíg a felmerült nehézséget meg nem oldották. h) Időbeli lefutás ellenőrzése; i) Foglalt háttértárterület ellenőrzése; 8.5.2
ÜZENETHITELESÍTÉS
Üzenethitelesítés az a technika, amelyet arra használunk, hogy észleljük a továbbított elektronikus üzenet tartalmában beállt bármely illetéktelen beavatkozást, változtatást vagy rongálást. Megvalósítható akár hardverben, akár szoftverben, ha támogatja azt egy üzenethitelesítő eszköz vagy egy szoftveralgoritmus. Az üzenethitelesítés megfontolandó olyan alkalmazások esetében, ahol biztonsági követelmény az üzenettartalom épségének, sértetlenségének a védelme, például igen fontos elektronikus pénzátutalásokhoz, műszaki specifikációkhoz, műszaki dokumentumokhoz, szerződésekhez, ajánlati dokumentációkhoz stb. vagy ezekhez hasonló elektronikus adatcserék esetében. A biztonsági kockázatok felmérését és értékelését kell elvégezni annak érdekében, hogy meghatározhassuk, mikor szükséges az üzenethitelesítés, valamint hogy kiválaszthassuk a megvalósítás legkézenfekvőbb módját. Az üzenethitelesítést nem arra tervezik, hogy megvédje az üzenet tartalmát az illetéktelen felfedéstől, nyilvánosságra kerüléstől. Kriptográfiai módszereket lehet alkalmazni az üzenethitelesítés megvalósítására (lásd a 8.6.2 és a 8.6.3. szakaszt).
143
8.5.3
A KIMENŐ ADATOK HELEYESSÉGÉNEK ELLENŐRZÉSE
Az alkalmazási rendszerek kimeneti adatai helyességét ellenőrizni kell annak érdekében, hogy gondoskodjunk arról, hogy a tárolt adatok feldolgozása helyes és a körülményeknek megfelelő. A rendszereket általában azzal a feltételezéssel tervezik, hogy amennyiben a megfelelő helyesség ellenőrzést, formai ellenőrzést és adatbevizsgálásokat elvégezték, akkor a rendszerkimenet mindig helyes, ami azonban nem mindig áll fenn. A kimenet helyesség ellenőrzése magában foglalhatja: a) az elfogadhatósági ellenőrzést annak vizsgálatára, vajon a kimenő adat ésszerű-e;, b) az ellenőrző számok, számlálók, összegek vizsgálatát, hogy szavatoljuk, valamennyi adatot feldolgozták; c) akár az olvasást végző informatikai funkció, vagy akár a további adatfeldolgozás számára elegendő információ közlését annak érdekében, hogy az információnak megállapítható legyen a helyessége, pontossága, teljessége, és biztonsági osztályozása; d) a kimenet helyességét ellenőrző vizsgálatok eredményére reagáló eljárásokat; e) a kimeneti adatokat előállító folyamatban érintett valamennyi személy felelősségének a meghatározását.
8.6 Kriptográfiai óvintézkedések Célkitűzés: Meg kell védeni az információ titkosságát, bizalmasságát, hitelességét, épségét és sértetlenségét. Kriptográfiai rendszereket és technikákat kell alkalmazni mindazon információ védelmére, amelyeket biztonsági szempontból kockázatosnak tekintünk, és amelyet más ellenőrzési mechanizmusok és óvintézkedések nem látnak el kellő védelemmel. 8.6.1
A
KRIPTOGRÁFIAI ÓVINTÉZKEDÉSEK HASZNÁLATÁNAK IRÁNYELVEI ÉS SZABÁ-
LYOZÁSA
Az ellenőrzési mechanizmusok kialakítása és a kockázat értékelési folyamat részeként kell a kriptográfiai algoritmusokra alapozott védelmet kialakítani. Kockázatértékelést és felmérést kell végezni annak érdekében, hogy meghatározzuk azt a védelmi szintet, amit a szervezeti információknak biztosítani akarunk. Ez a felmérés használható fel arra is, hogy meghatározzuk vajon egy kriptográfiai alapú ellenőrzési mechanizmus meg-
144
felelő-e, milyen ellenőrzési mechanizmust kell alkalmazni, milyen célra és milyen szervezeti folyamatra. A szervezetnek ki kell dolgoznia az irányelveit és szabályozását arról, hogy információja megvédése érdekében hogyan fogja használni a kriptográfiai eljárásokat, ellenőrzési mechanizmusokat. Erre a szabályozásra azért is szükség van, hogy maximálisan ki lehessen használni a kriptográfiai módszerek alkalmazásának előnyeit, hogy a lehető legkisebbre lehessen lecsökkenteni alkalmazásuk kockázatait, ugyanakkor elkerülhető legyen a helytelen és pontatlan használat. A szabályozást a következőkre kell kialakítani: a) a szervezet vezetésének álláspontját abban a tekintetben, hogy az egész szervezetben kriptográfiai ellenőrzési mechanizmusokat és óvintézkedéseket használjanak, beleértve azokat az általános irányelveket és szabályokat, amelyek a szervezet információinak védelmére vonatkoznak; b) a kriptográfiai kulcskezelés megközelítését, beleértve mindazokat a módszereket, amelyekkel a titkosított információt vissza lehet nyerni, ha a kulcs elveszett, nyilvánosságra került vagy megsérült; c) szerepeket és felelősségeket, például, hogy ki a felelős: − a szabályozás és az irányelvek megvalósításáért, − a kulcskezelésért; d) azt, ahogyan a kriptográfiai védelem alkalmas biztonsági szintjét meghatározzuk; e) azt, hogy mely szabványokat alkalmazzunk ahhoz, hogy az egész szervezetben eredményes legyen a megvalósítás (mármint, hogy melyik szervezeti folyamatban melyik megoldást alkalmazzuk). SIFRÍROZÁS, TITKOSÍRÁS, KRIPTOGRÁFIAI ALGORITMUS ALKALMAZÁSA („TITKO-
8.6.2
SÍTÁS”)
A titkosírás az a kriptográfiai módszer, amelyet arra használhatunk, hogy megóvjuk az információ bizalmasságát, titkosságát. Alkalmazásának lehetőségét mindig figyelembe kell venni akkor, amikor bizalmas, kényes és kritikus fontosságú információt védünk. A kockázatértékelésre alapítva kell a védelem szükséges szintjét meghatározni, figyelembe véve a titkosírási, kriptográfiai algoritmus fajtáját és minőségét, valamint a rejtjelező kulcs hosszát. Amikor az adott szervezet kriptográfiai szabályozását kidolgozzák, akkor figyelembe kell venni minden olyan nemzeti szabályozást és korlátozást, amely a világ különböző pontjain a
145
kriptográfiai módszerek alkalmazására, valamint a titkosírásos információnak a határon átfolyó forgalmára hatályos lehet. Továbbá azokat az ellenőrzési mechanizmusokat és óvintézkedéseket is vegyük figyelembe, amelyek hatálya érinti a kriptográfiai technológiák exportját és importját (lásd a 10.1.6 szakaszt). 8.6.3
DIGITÁLIS ALÁÍRÁS
A digitális aláírás egy olyan informatikai eszköz, amivel védhetők az elektronikus okmányok, okiratok, dokumentumok hitelessége, épsége és sértetlensége. Az elektronikus kereskedelemben például arra is használhatóak, hogy szükség esetén ellenőrizzük az aláíró személy személyazonosságát, és az ellenőrizhető, hogy vajon a már aláírt okmány tartalmán változtattake. A digitális aláírások bármilyen elektronikus dokumentum formára alkalmazhatók, hiszen ezeket mind elektronikusan fogják feldolgozni, így például alkalmazhatjuk a következő tranzakciók aláírására: elektronikus fizetésre, pénz átutalására, szerződésekre és megállapodásokra. A digitális aláírások olyan kriptográfiai technikákkal valósíthatók meg, amelyek egyértelműen összetartozó kulcspárokra támaszkodnak, ahol az egyik kulccsal készül az aláírás (a magánkulccsal), míg egy másik kulccsal ellenőrzik az aláírás helyességét, hitelességét (a nyilvános kulccsal). Különös gondot kell fordítani a magánkulcs titokban tartására. Azért kell ezt a kulcsot titokban tartani, mert bárki, aki hozzáfér ehhez a kulcshoz, úgy tud vele dokumentumot, okmányt aláírni, például fizetést, szerződést, hogy a tulajdonképpen kulcs igazi tulajdonosának az aláírását hamisítja rá. Továbbá fontos a nyilvános kulcs sértetlenségét, épségét is megóvni. Ezt a védelmet a nyilvános kulcs-tanúsítványok alkalmazásával lehet megvalósítani (lásd a 8.6.5 szakaszt). A szervezetnek elemeznie kell és döntenie kell, hogy milyen aláíró algoritmust és milyen hosszú kulcsot alkalmazzon. A digitális aláíráshoz alkalmazott kriptográfiai kulcsoknak különbözniük kell a titkosírásra alkalmazott kulcsoktól (lásd a 8.6.2 szakaszt). A digitális aláírások alkalmazásakor figyelembe kell venni minden hatályos jogszabályt, amely azokat a feltételeket írja elő, amelyek mellett a digitális aláírás jogilag hatályos kötelezettséget hoz létre. Szükség lehet arra is, hogy a digitális aláírás jogi következményeinek meghatározására két fél között előíró szerződést vagy egyéb megállapodást kössünk ahhoz, hogy a digitális aláírások használatát támogassuk, mert esetleg a jogi keretek e téren jogilag nem pontosan szabályozottak.
146
8.6.4
LETAGADHATATLANSÁGI SZOLGÁLTATÁSOK
A letagadhatatlansági szolgáltatásokat ott kell használni, ahol szükség lehet arra, hogy azokat a vitákat rendezzék, amelyeket valamely esemény vagy tevékenység megtörténte vagy meg nem történte vált ki, például valamely digitális aláírt szerződés vagy számla érvényességét vitató esetben. Ezek a szolgáltatások segíthetnek bizonyítékok bemutatásában arról, hogy vajon egy bizonyos esemény vagy tevékenység megtörtént-e, például amikor letagadják azt a tényt, hogy elektronikus levélben küldtek el digitálisan aláírt utasítást. Ezeket a szolgáltatások titkosírási és digitális aláírási technikákra támaszkodnak (lásd még a 8.6.2 és 8.6.3 szakaszt is). 8.6.5
KULCSKEZELÉS
8.6.5.1 A kriptográfiai kulcsok védelme A kriptográfiai kulcsok kezelése azért lényeges, hogy a kriptográfiai technikákat eredményesen lehessen használni. A kriptográfiai kulcsok bármely veszélyeztetése vagy elvesz(t)ése az információ bizalmasságának, titkosságának, hitelességének, épségének és/vagy sértetlenségének károsodásához vezethet. Ennek a kezelőrendszernek azért kell léteznie, hogy a szervezet képes legyen támogatni a következő két kriptográfiai technika használatát: a) titkos kulcs technikákét, amelyekben két vagy több együttműködő fél ugyanazon a kulcson úgy osztozik, hogy ugyanaz a kulcs szolgál az információ titkosírására és a titkosírás visszafejtésére. Ezt a kulcsot éppen azért kell titokban tartani, mivel bárki, akinek e kulcs birtokában van, képes arra, hogy bármely, ezzel a kulccsal titkosított információt megfejtsen, vagy hogy jogosulatlan információt beiktasson; b) nyilvános kulcs technikákét, amelyekben minden egyes felhasználónak két kulcsból álló kulcspárja van, az egyik kulcs a nyilvános kulcs (amelyet valaki érdekében felfednek), és a magánkulcs (amelyet titokban tartanak). A nyilvános kulcs technikákat mind a titkosírásra (lásd a 8.6.2 szakaszt), mind pedig digitális aláírások készítésére (lásd a 8.6.3 szakaszt) fel lehet használni. Minden kulcsot védeni kell a módosítás és a megsemmisítés ellen, ugyanakkor a titkos és a magánkulcsokat a jogosulatlan nyilvánosságra kerüléstől is védeni kell. Kriptográfiai módszerek is használhatók erre a célra. Fizikai védelmet kell alkalmazni mindazon berendezések védelmére, amelyeket kulcsok előállítására, tárolására vagy archiválására használunk. 8.6.5.2 Szabványok, eljárások, módszerek
147
A kulcskezelő-rendszert szabványok, szabályzatok, eljárások és biztonságos módszerek egy elfogadott, jóváhagyott halmazára kell alapozni azért, hogy a) a kulcsokat a különböző kriptográfiai rendszerek és a különböző alkalmazások számára előállítsuk; b) a nyilvánoskulcs-tanúsítványokat előállítsuk és megkapjuk; c) a megcélzott felhasználóknak a kulcsok kiosztásra, eljuttatásra kerüljenek úgy, hogy a kulcs aktiválás eljárását is megismerjék a kulcsok átvételekor; d) a kulcsok tárolási eljárásrendje szabályozott legyen, amely tartalmazza azt, hogy hogyan kapja meg jogos felhasználója a hozzáférését a kulcsaihoz; e) a kulcsok csere vagy aktualizálás eljárásrendje, amely tartalmazza azokat a szabályokat is, amelyek szerint, hogyan és mikor kell ennek megtörténnie, meghatározott legyen; f) a károsodott kulcsok kezelése is kötelezően megtörténjen; g) a kulcsok érvénytelenítésének eljárásrendje olyan legyen, hogy az tartalmazza azt, hogy hogyan kell a kulcsokat visszavonni vagy hatálytalanítani, például, ha a kulcsokat valamilyen károsodás érte vagy ha egy felhasználó elhagyja a szervezetet (amely esetben a kulcsokat archiválni is kell); h) az elveszett vagy megrongálódott, károsodott kulcsok az ügy- / ügymenet folyamatossága fenntartása érdekében történő visszaállításra kerüljenek, például valamely titkosan írt információ visszaállítása érdekében; i) archiváljuk a kulcsokat, például, mert információt archiváltunk vagy abból mentést képeztünk; j) megsemmisítsük a kulcsokat; k) a kulcskezeléssel kapcsolatos tevékenységeket naplózzuk és auditáljuk. Hogy csökkenthessük a károsodás valószínűségét, ajánlatos a kulcsokhoz jól meghatározott aktiválási és deaktiválási dátumot rendelni úgy, hogy azok kizárólag e korlátozott időtartamban legyenek használhatóak. Célszerű, hogy ez az időszak függjön az alkalmazott kriptográfiai eljárástól, mint ellenőrzési mechanizmustól és óvintézkedéstől, valamint a várható kockázatoktól is. Szabályozni kell a kriptográfiai kulcsokhoz való hozzáférés, kiszolgáltatás iránti törvényes kérelmek kezelésének kérdését, például arra az esetre, amikor a bíróság előtti bizonyítékként van szükség a titkosított információ bemutatására visszafejtett alakban. A titkos és magánkulcsok biztonságos kezelése mellett, szabályozni kell a nyilvános kulcsok védelmét is. Fennáll a veszélye annak, hogy valaki meghamisít egy digitális aláírást azzal, 148
hogy elcseréli valakinek a nyilvános kulcsát a sajátjával. Ezt a kérdést a nyilvánoskulcstanúsítvány alkalmazásával lehet megoldani. Ezeket a tanúsítványokat úgy állítják ki, hogy a nyilvános és magánkulcsból álló kulcspár tulajdonosához tartozó információt egyértelműen kötik a nyilvános kulcshoz. Éppen ezért lényeges, hogy meg lehessen bízni abban a folyamatban, amelyik a tanúsítványokat előállítja. Rendszerint ezt a folyamatot olyan hitelesítő szervezet (CA) hajtja végre, amelyik olyan elismert, alkalmas ellenőrzési mechanizmusokkal, óvintézkedésekkel és eljárásokkal élő szervezet, amelyik nyújtani tudja a megkívánt megbízhatósági szintet. A kriptográfiai szolgáltatások külső szolgáltatóival, például egy hitelesítő szervezettel kötött szolgáltatási megállapodások vagy szerződések tartalmának szabályoznia kell a felelősséget, a szolgáltatás megbízhatóságát, valamint a szolgáltatástól elvárt reakció, reagálási időt a szolgáltatás nyújtása során. (ld. még a 2.3 Külső szervezettel kötött szerződés biztonsági követelményei).
8.7 A rendszerállományok, fájlok biztonsága Célkitűzés: Gondoskodni kell arról, hogy az informatikai projektek és az azokat segítő tevékenységek irányítását a biztonsági szabályozások betartásával végezzék. A rendszerállományokhoz való hozzáférést ellenőrizni kell, és kézben kell tartani. A rendszer sértetlensége, épsége fenntartásáért a felelősséget a felhasználók szervezeti funkciójának, szervezeti egységének vagy annak a fejlesztő csoportnak kell viselni, akikhez az alkalmazási rendszer vagy szoftver tartozik. 8.7.1
AZ ÜZEMI („ÉLES”) RENDSZER SZOFTVERÉNEK ELLENŐRZÉSI MECHANIZMUSA
Az üzemi rendszeren történő új szoftver megvalósításakor, üzembe állításakor ellenőrizési mechanizmusokra van szükség. Az üzemi rendszer károsodásának kockázatát minimalizálandó a következő ellenőrzési mechanizmusokat és óvintézkedéseket kell kialakítani: a) Az üzemeltetési programkönyvtárak aktualizálását csak a kinevezett programkönyvtáros végezze, a vezetéstől kapott felhatalmazással és engedélyekkel (lásd a 10.4.3. szakaszt). b) Ha csak lehetséges, az üzemi rendszer csak végrehajtható kódot tartalmazzon. c) A végrehajtható kódot az üzemi rendszeren addig nem szabad üzembe helyezni, amíg nem áll rendelkezésre a sikeres bevizsgálásnak és a felhasználói átvételnek a bizonyítéka, és a megfelelő programkönyvtárakat nem hozták napra kész állapotba. 149
d) Nyomon követhetőségi és ellenőrizhetőségi naplót („audit trail”) kell vezetni az üzemeltetési programkönyvtárak valamennyi frissítéséről, aktualizálásáról. e) A szoftver korábbi változatait az esetleges katasztrófa helyzetekre tekintettel meg kell őrizni. Az üzemi rendszerben használt, külső szállító által gyártott szoftvert a szállító által nyújtott támogatás, rendszerkövetés révén rendelkezésre álló aktualizáltság, verzió, kibocsátási változat szintjén ajánlatos tartani. Minden olyan döntés, amely egy új változat cserélésére vonatkozik, vegye figyelembe az új változat biztonságát, azaz az új biztonsági funkciók bevezetését vagy az ezzel a változattal kapcsolatos biztonsági problémák számát és súlyosságát. Azokat a szoftver hibajavító programokat alkalmazni kell, amelyek segíthetnek abban, hogy a biztonsági gyengeségeket eltávolítsuk, vagy számukat csökkentsük. A szállítónak fizikai vagy logikai hozzáférést csak akkor adható támogatási tevékenységéhez, ha az feltétlenül szükséges, és akkor is csak a vezetőség hozzájárulásával. A szállítói tevékenységeket nyomon kell követni, és ellenőrizni kell. 8.7.2
RENDSZERBEVIZSGÁLÁSI, TESZTELÉSI ADATOK VÉDELME
A vizsgálati adatokat védeni, felügyelni és ellenőrizni kell. Mind a rendszervizsgálatok, mind az átvételi vizsgálatok többnyire jelentős mennyiségű olyan adatot igényelnek, amelyek eléggé közel állnak az üzemi adatokhoz. A személyes adatokat is tartalmazó üzemeltetési adatbázis használatát kerülni kell. Ha mégis ilyen információt használunk, akkor azt tanácsos megfosztani személyes jellegétől. Az üzemi adatok védelmére, ha azokat tesztelési célra használjuk, a következő ellenőrzési mechanizmusokat és óvintézkedéseket kell alkalmazni: a) Azokat a hozzáférés-ellenőrző eljárásokat kell használni az alkalmazási rendszerek tesztelésére, amelyeket az üzemelő alkalmazási rendszerekhez használunk. b) Minden esetben külön engedélyezési eljárást kell lefolytatni, valahányszor üzemi rendszerből éles információt tesztelés alatt álló alkalmazási rendszerbe másolnak át. c) Az üzemi információt a tesztelés befejezése után azonnal törölni kell a tesztelt alkalmazási rendszerből. d) Az üzemi (éles) információ másolását és használatát a nyomon követhetőségi és ellenőrizhetőségi naplóban („audit trail”) rögzíteni kell.
150
8.7.3
A FORRÁSPROGRAM-KÖNYVTÁR HOZZÁFÉRÉS-ELLENŐRZÉSI MECHANIZMUSA
A számítógép programok károsodási lehetőségének csökkentése érdekében szigorúan ellenőrizni kell a forrásprogramok könyvtáraihoz való hozzáférést a következők szerint (lásd még a 6.3 szakaszt): a) Ahol az lehetséges, a forrásprogramok könyvtárait nem szabad üzemi rendszerekben tartani. b) Minden egyes alkalmazáshoz program-könyvtárost kell kijelölni. c) Az informatikai munkatársaknak nem szabad általában, korlátlan hozzáférést adni a forrásprogramok könyvtáraihoz. d) Fejlesztés vagy fenntartás alatt álló programokat nem szabad forrásprogramok könyvtáraiban tartani. e) A program-könyvtárosnak a forrásprogramok könyvtárainak aktualizálását, frissítését és a programok forrás kódjának kiadását programozóknak csak akkor szabad végrehajtania, ha az illetékes informatikai funkció vezetője erre őt felhatalmazta. f) A programlistákat biztonságos környezetben kell tartani (lásd a 6.7.3 szakaszt). g) Az nyomon követhetőségi és ellenőrizhetőségi naplóban („audit trail”) valamennyi forrásprogram-könyvtárat érintő hozzáférést rögzíteni kell. h) Forrásprogramok korábbi változatait archiválni kell, világosan megjelölve annak pontos keltét és időpontját, amikor azok üzemben voltak, együtt az azokat „támogató” szoftverekkel, segédprogramokkal, kötegelt feldolgozás parancsállományaival (job control), adat-definíciókkal és eljárásokkal. i) A forrásprogramok könyvtárainak karbantartását és másolását a változáskezelés szigorú ellenőrző mechanizmusának hatásköre alá kell helyezni (lásd a 8.7.1 szakaszt).
8.8 A fejlesztési és az azt támogató folyamatok biztonsága Célkitűzés: Fenntartani az alkalmazási rendszerhez tartozó szoftver és információ biztonsági szintjét. Mind a projekt-környezetet, mind a támogató környezetet szigorú ellenőrizési mechanizmus hatásköre alá kell helyezni. Azok a vezetők, akik felelősek az alkalmazási rendszerekért, felelőseknek kell lenniük mind a projekt-környezet, mind a támogató környezet biztonságáért. Nekik kell gondoskodniuk arról, hogy minden javasolt rendszerváltoztatás felülvizsgálaton menjen át, amelyben ellenőrzik,
151
hogy sem magának a rendszernek, sem az üzemeltetési környezetnek a biztonságát nem veszélyeztetik. 8.8.1
A VÁLTOZÁSELLENŐRZŐ ELJÁRÁSOK
Az informatikai rendszer eseteleges károsodásának minimalizálása érdekében szigorúan ellenőrizni kell a változtatások megvalósítását. Hivatalos engedélyező, végrehajtó és változásellenőrző eljárásokat kell betartatni. Ezeknek gondoskodniuk kell arról, hogy a biztonsági és ellenőrző eljárások ne károsodhassanak és a rendszertámogatást nyújtó programozóknak hozzáférést csak a rendszernek azokhoz a részeihez adnak, amelyekhez hozzáférniük munkájuk elvégzéséhez feltétlenül szükség van, és hogy hivatalos engedélyt kapjanak és jóváhagyást szerezzenek valamennyi tervezett változtatásra. Az alkalmazási szoftver megváltoztatása hatással lehet az üzemeltetési környezetre. Amikor az gyakorlatilag ésszerű, az alkalmazásrendszer fejlesztésére vonatkozó és az üzemeltetés során alkalmazandó változásellenőrző-eljárásokat össze kell hangolni (lásd a6.1.4 szakaszt). Ez a folyamat magában foglalja: a) a jóváhagyott engedélyezési szintek feljegyzésének napra készen tartását; b) a gondoskodást arról, hogy a változtatásokat a jogosult felhasználók kezdeményezték; c) az ellenőrzési mechanizmusok, óvintézkedések és az integritás ellenőrzési eljárások felülvizsgálatát annak érdekében, hogy a szervezeti folyamatokban és eljárásokban bekövetkező változások azokban ne okozzanak károkat, ne befolyásolják az eljárásokat hátrányosan; d) a módosítást igénylő valamennyi számítógép hardver, szoftver, információ, és adatbázis entitás (”egyed”) pontos azonosítását; e) a részletes munka / projekt javaslat hivatalos jóváhagyásának az elnyerését még a munka megkezdése előtt; f) a gondoskodást arról, hogy a jogosult felhasználó bármely megvalósítást megelőzően már jóváhagyta a tervezett változtatásokat; g) a gondoskodást arról, hogy megvalósítást úgy hajtsák végre, hogy az ügymenet folyamatosságának megszakadása minimális legyen; h) a gondoskodást arról, hogy a rendszerdokumentációk halmazát minden egyes változtatás átvezetésének befejezésekor naprakész állapotba hozzák, és a régi dokumentációt archiválják vagy megsemmisítsék; i) azt, hogy valamennyi szoftveraktualizálásról változat nyomon-követési naplót tartsanak napra készen;
152
j) azt, hogy valamennyi változtatási igényről nyomon-követhetőségi és ellenőrizhetőségi naplót („audit trail”)) vezetnek; k) a gondoskodást arról, hogy a szükséges mértékben ugyancsak megváltoztatják a felhasználói eljárásokat és az üzemeltetési dokumentációt (lásd a 6.1.3 szakaszt); l) a gondoskodást arról, hogy a változtatások megvalósítása megfelelő időben történjék és ez az érintett szervezeti folyamatokat ne zavarja. Minden olyan alkalmazási rendszerfejlesztésnél, ahol erre lehetőség van, külön környezetet célszerű fenntartani arra a célra, hogy az új szoftvereket azon teszteljék. Ez a környezet el kell, hogy legyen különítve a fejlesztési és az üzemi környezettől. Ez eszközt jelent arra, hogy ellenőrzést gyakoroljanak az új szoftver felett és kiegészítő védelmet ad a teszthez használt üzemi információnak. 8.8.2
AZ OPERÁCIÓS
RENDSZER VÁLTOZ( TAT )ÁSAI ÁLTAL KIVÁLTOTT HATÁSOK MŰSZA-
KI FELÜLVIZSGÁLATA
Időről időre szükség lehet arra, hogy az operációs rendszert módosítsuk, aktualizáljuk, például azért, hogy egy újonnan leszállított szoftverváltozatot vagy egy hibajavító programot telepítsünk. Amikor a változás beáll, az alkalmazási rendszereket át kell tekinteni, és tesztelni kell annak érdekében, hogy szavatolni tudjuk, az üzemeltetésre és a biztonságra nincsen ellentétes hatása az operációs rendszerben elvégzett változtatásoknak. Ennek a folyamatnak a következőkkel kell foglalkoznia: a) az alkalmazási rendszer ellenőrzési és vezérlési eljárásai, és az integritás ellenőrzési eljárások felülvizsgálatát annak érdekében, hogy szavatolni tudjuk azt, hogy az operációs rendszerben végzett változtatások nem okoztak károkat, vagy nem befolyásolták hátrányosan a rendszer működését; b) gondoskodnia kell arról, hogy az éves operációs rendszer támogatási és követési terv és a költség terv fedezze az operációs rendszeren végzett változtatások miatt esedékes felülvizsgálatokat és a rendszertesztelést; c) gondoskodnia kell arról, hogy az operációs rendszerben tervezett változtatásokról idejében adott értesítés tegye lehetővé, hogy a megvalósítás előtt elvégezhetők legyenek a szükséges felülvizsgálatok; d) gondoskodnia kell arról, hogy az ügymenet folyamatosságára vonatkozó tervekben a megfelelő változtatások megtörténjenek (lásd a 9. fejezetet).
153
8.8.3
A SZOFTVERCSOMAGOK VÁLTOZTATÁSÁRA VONATKOZÓ KORLÁTOZÁSOK
A szoftvercsomagok módosítási szándékától lehetőleg el kell tántorítani a kezdeményezőket. Amennyire az csak lehetséges, és a gyakorlatban az kivihető, a szállító által gyártott szoftvercsomagot módosítás nélkül kell használni. Ahol mégis lényegesnek tartják egy szoftvercsomag módosítását, a következő pontokat kell megfontolni: a) annak kockázatát, hogy a beépített ellenőrzési mechanizmusokat és óvintézkedéseket és az integritást fenntartó folyamatokban kárt okoznak; b) kell-e kérnünk a szállító hozzájárulását és egyetértését; c) annak lehetőségét, hogy a kívánt változtatást a szállítótól is meg lehet kapni a program szabályos aktualizálásaként, frissítéseként; d) annak következményeit, hogy a szervezet a szoftver további karbantartásáért - épp a végrehajtott változások eredményeként - maga válik felelőssé. Amennyiben a változtatást lényegesnek tartjuk, az eredeti szoftvert meg kell őrizni és a változtatást egy egyértelműen azonosított másolaton kell végrehajtani. Minden egyes változtatást teljes egészében tesztelni és dokumentálni kell azért, hogy szükség esetén ismét alkalmazni lehessen a szoftver jövőbeli, javított kiadásaihoz. 8.8.4
A BUJTATOTT CSATORNA ÉS A TRÓJAI FALÓ
A bujtatott csatorna az a támadás, amely bizonyos közvetett és rejtett módon hozhat nyilvánosságra információt. Ezt a hatást kiválthatja egy olyan paraméter megváltoztatása, amelyhez hozzáférhetnek az informatikai rendszernek mind a biztonságos, mind kevéssé biztonságos elemei, vagy valamely adatfolyamba beágyazott információ. A trójai falovat arra tervezik, hogy olyan hatást gyakoroljon a rendszerre, amelyre tulajdonképpen a trójai faló program nincsen felhatalmazva, és amely hatást az üzenetfogadó vagy a programhasználó nem is tudja könnyen felismerni, mert egyébként a felhasználó ilyet soha nem kért senkitől sem. A bujtatott csatorna és a trójai faló ritkán lép fel véletlenül. Ahol a bujtatott csatorna vagy a trójai faló veszélye fennáll, ott a következőket kell kialakítani: a) csak jogtiszta, megbízható forrásból szerezzünk be programokat; b) forráskód formátumban csak úgy vásároljunk programokat, hogy a forrás program programkódját formai és tartalmi helyesség ellenőrzésnek tudjuk alávetni; c) csak bevizsgált terméket használjunk; d) minden forráskódot vizsgáljunk át üzemi használatba vétel előtt; e) a telepített kódhoz és annak módosításához való hozzáférés ellenőrzését; 154
f) csak a bizalmat megszolgált munkatársaknak engedélyezzék azt, hogy kulcsfontosságú rendszereken dolgozzanak. 8.8.5
KIHELYEZETT SZOFTVERFEJLESZTÉS
Ahol a szoftverfejlesztést kihelyezik, „kiszervezik”, illetve külső fél, vállalkozó végzi, ott a következőkre kell intézkedéseket kidolgozni: a) licencszerződések, a szoftver tulajdonjog és a szellemi tulajdonjogok kezelésére (lásd a 10.1.2 szakaszt); b) a végzett munka minőségének és helyességének, pontosságának tanúsítására; c) a külső fél hibás teljesítése esetére szükséges letéti rendszerre; d) az elvégzett munka minőségének és pontosságának auditálásához szükséges rendszer, szoftver hozzáférési jogosultságok fenntartására; e) a szoftver minőségére vonatkozó szerződésben rögzítendő követelményekre; f) a trójai faló típusú szoftver észlelése érdekében a telepítés előtt elvégzendő vizsgálatokra.
155
9
Az ügymenet folyamatosságának irányítása 9.1 Az ügymenet folyamatosságának irányítási szempontjai
Célkitűzés: Meg kell előzni a szervezeti tevékenységek megszakadását és meg kell védeni a kritikus fontosságú szervezeti folyamatokat a jelentősebb üzemzavarok és a katasztrófák hatásaitól. Az ügymenet folyamatosságát kezelő folyamatot kell megvalósítani annak érdekében, hogy megelőző és helyreállító intézkedések alkalmazásával elfogadható szintre csökkentsük a katasztrófák és az olyan biztonsági hiányosságok hatására előálló üzemszüneteket, amelyek például a természeti katasztrófák, balesetek, berendezések meghibásodásai és szándékos tevékenység eredményei lehetnek. A katasztrófák, a biztonsági hiányosságok, a szolgáltatások szünetelésének következményeit elemezni kell. Terveket kell kialakítani az esetleg bekövetkező helyzetekre, és be kell vezetni a mindennapi gyakorlatba a váratlan események kezelésére annak érdekében, hogy biztosítsuk a szervezeti folyamatoknak a kívánt időn belüli helyreállíthatóságát. Ezeket a terveket napra készen kell tartani és gyakoroltatni kell azért, hogy a többi irányítási folyamat szerves részévé válhassanak. Az ügymenet folyamatosságának irányítása foglalja magában azokat, az ellenőrzési mechanizmusokat és egyéb intézkedéseket, amelyek a kockázatokat azonosítják és csökkentik, a károkozó véletlen események következményeit kordában tartják, valamint a lényeges szervezeti folyamatok működését, kellő időben történő folytatását szavatoló óvintézkedéseket. 9.1.1
AZ ÜGYMENET FOLYAMATOSSÁGÁNAK IRÁNYÍTÁSI FOLYAMATA
Olyan vezetett, irányított folyamatot kell működtetni, amellyel az egész szervezetben lehet az ügymenet folyamatosságát fejleszteni és napra készen tartani. Az ügymenet folyamatosságának ilyetén irányítását a következő kulcs-elemekből kell összeállítani: a) a szervezet azon kockázatainak megértése, amelyekkel a szervezet szembenéz, azok valószínűsége és kiváltott hatásaik értelmében, beleértve a kritikus szervezeti folyamatok azonosítását és a prioritási sorrend felállítását; b) annak a hatásnak a megértése, amelyet az ügymenetre az üzemszünetek valószínűleg okozhatnak, és az információ-feldolgozó létesítmények szervezeti céljainak a felállítása. Fontos, hogy megoldást találjunk arra, hogy hogyan kezeljük akár a kisebb jelentő-
156
ségű, akár a súlyosabb váratlan eseményeket, amelyek a szervezet életképességét veszélyeztetik; c) a megfelelő biztosítás beszerzése, amely majd az ügymenet folyamatossága irányítási folyamatának részévé válik; d) az ügymenet folyamatosságára vonatkozó stratégia megfogalmazása és dokumentálása, amely összhangban van az elfogadott szervezeti célokkal és a prioritási sorrenddel; e) az ügymenet folyamatosságára vonatkozó tervek megfogalmazása és dokumentálása, amely megfelel az elfogadott szervezeti stratégiának; f) a tervek és a folyamatok szabályos időközönkénti felülvizsgálata és aktualizálása; g) annak garantálása, hogy az ügymenet folyamatosságának az irányítását beillesztették a szervezet folyamataiba és a szervezeti felépítésbe. Az ügymenet folyamatosság irányítási folyamata összehangolásának felelősségét a szervezeten belül egy megfelelő vezetői szintre kell rábízni, például az informatikai biztonsági fórumra (lásd a 2.2.1 szakaszt). 9.1.2
AZ ÜGYMENET FOLYAMATOSSÁGA ÉS HATÁSELEMZÉS
Az ügymenet folyamatosságával kapcsolatos tervezési lépéseket azoknak az eseményeknek az azonosításával kell kezdeni, amelyek a szervezeti folyamatok folyamatos működésének megszakadásához vezethetnek, például berendezés meghibásodás, árvíz, tűz stb. Ezt kövesse a kockázatértékelés annak meghatározásával, hogy ezek az üzemszünetek milyen hatást gyakorolhatnak mind a károk mértéke, mind a szükséges helyreállítási időszak értelmében. Mindkét tevékenységet összes olyan felelős vezető bevonásával kell végezni, akik az érintett szervezeti erőforrások és folyamatok felett gyakorolnak irányítási jogokat. Ez a felmérés kiterjed valamennyi szervezeti folyamatra, és egyáltalán nincs az információfeldolgozási létesítményekre, szolgáltatásokra, eszközökre korlátozva. A kockázatértékelés eredményeitől függően stratégiai tervet kell készíteni, amely meghatározza az ügymenet folyamatosságának általános megközelítését. Amint ez a terv elkészült a vezetőség hagyja azt jóvá. 9.1.3
AZ ÜGYMENET FOLYAMATOSSÁGI TERVEINEK LEÍRÁSA ÉS MEGVALÓSÍTÁSA
A szervezet működésének fenntartására, és a kritikus fontosságú szervezeti folyamatokban bekövetkező meghibásodásokat vagy az üzemszüneteket követően a kívánt időn belüli helyre-
157
állítására, terveket kell készíteni. Az ügymenet folyamatosságának tervezési folyamatához a következőket kell kialakítani: a) a feladat-, hatás-, és felelősségi körök és a veszélyhelyzetben követendő eljárások azonosítása, illetve az ezeknek az elfogadása, jóváhagyása; b) a veszélyhelyzetben követendő eljárások bevezetése és megvalósítása azért, hogy ezzel tegyük lehetővé a kívánt időn belüli helyreállítást. Különleges figyelmet igényel a külső szervezeti kapcsolatokban megjelenő függőségek és az érvényben lévő szerződések felmérése; c) a jóváhagyott, elfogadott eljárások és folyamatok dokumentálása; d) a személyzet kiképzése jóváhagyott, veszélyhelyzetben követendő eljárásokkal és folyamatokkal kapcsolatban, amelyekbe a kríziskezelést is beleértjük; e) a tervek kipróbálása és naprakésszé tétele. A tervezési folyamatnak a kitűzött szervezeti célokra kell összpontosítani, például az egyes sajátos szolgáltatások elfogadható időn belüli visszaállítására. Azokra a szolgáltatásokra és erőforrásokra, amelyek ezt lehetővé teszik, beleértve a személyzetet, az információfeldolgozó eszközök tartalékolási elrendezéseit, valamint az információ-feldolgozó eszközökön túli egyéb erőforrásokat. 9.1.4
AZ ÜGYMENET FOLYAMATOSSÁGÁNAK TERVEZÉSI KERETRENDSZERE
Az ügymenet folyamatosságának terveihez egy egységes keretrendszert kell kialakítani annak érdekében, hogy valamennyi terv ellentmondásmentes rendszert alkosson, és hogy a tervek kipróbálásához, teszteléséhez és a napra készen tartásához egységes szempontrendszer alapján lehessen meghatározni az egyes elemek, területek prioritását, rangsorát. Az ügymenet folyamatosságának minden egyes terve egyértelműen írja elő saját aktiválásának feltételeit, valamint a terv egyes összetevőinek végrehajtásáért felelős személyeket. Amikor új követelményeket állapítanak meg, a szükséges mértékben módosítani kell a korábban felállított veszélyhelyzetben követendő eljárásokat, mint például a kiürítési terveket vagy bármelyik csökkentett működési, helyreállítási, visszaállítási intézkedés sorozatot. Az ügymenet folyamatosságának terveihez készülő keretrendszerben a következőket kell kialakítani: a) azoknak a terveknek aktiválási feltételeit, amelyek az egyes tervek aktiválása előtt követendő folyamatokat írják le (ahogyan a helyzetet felmérik, kiket kell bevonni stb.); b) azokat a veszélyhelyzetben követendő eljárásokat, amelyek olyan rendkívüli eseményeket követően szükséges tevékenységeket írnak le, amelyek a szervezet működését 158
vagy emberéletet veszélyeztetnek. Ez foglalja magában a közönségkapcsolattal, a nyilvánossággal kapcsolatos intézkedéseket és az eredményes kapcsolattartás módját az illetékes hatóságokkal, mint pl. a rendőrséggel, a tűzoltósággal és a helyi önkormányzattal; c) a csökkentett működés, helyreállítás, visszaállítás eljárásait, amelyek azokat a tevékenységeket írják le, amelyekben a lényeges szervezeti tevékenységeket vagy a támogató szolgáltatásokat ideiglenesen áthelyezik alternatív telephelyekre, és a szervezeti folyamatokat kívánt időn belül ismét üzembe helyezik; d) a szervezeti működés folytatás azon eljárásait, amelyek a normális szervezeti működéshez való visszatérés tevékenységeit írják le; e) a napra készen tartás ütemezését, amely azt specifikálja, hogyan és mikor fogjuk a tervet bevizsgálni, kipróbálni, és azt a folyamatot is leírja, amellyel a tervet napra készen tartjuk; f) a tudatosítás és az oktatás tevékenységeit, amelyeket arra terveztek, hogy megértesse az ügymenet folyamatosságának irányítási folyamatát, és gondoskodjon arról, hogy e folyamat továbbra is eredményesen zajlik; g) az egyéni felelősségeket, amelyek meghatározzák kinek-kinek a felelősségét a terv egyes összetevőinek a végrehajtása során. Alternatív személyeket a szükséges mértékben kell megnevezni. Mindegyik tervhez saját felelőst kell kijelölni. A veszélyhelyzetben követendő eljárások, a manuálisan végzendő, csökkentett működési, visszaállítási, helyreállítási és folytatási tervek, a vonatkozó szervezeti erőforrások vagy érintett folyamatok felelőseinek a hatáskörébe tartozzanak. 9.1.5
AZ
ÜGYMENET
FOLYAMATOSSÁGÁRA
VONATKOZÓ
TERVEK
VIZSGÁLATA ,
KIPRÓBLÁSA, NAPRA KÉSZEN TAR TÁSA ÉS ISMÉTELT ÉRTÉKELÉSE
9.1.5.1 A tervek vizsgálata , kipróbálása Az ügymenet folyamatosságának terveiben olyan hibákat lehet a kipróbálással, vizsgálattal megtalálni, mint pl. a gyakran előforduló helytelen feltételezések, figyelmetlenségek, változások a berendezésekben vagy a személyzetben. Ezeket a dolgokat ajánlatos időről időre megvizsgálni annak érdekében, hogy a tervek aktuálisak, naprakészek és eredményesek legyenek. Ilyen vizsgálatoknak az is a célja, hogy a helyreállításban résztvevő valamennyi csapattag és más érintett személyek is tudatában legyenek, ismerjék a terveket. 159
Az ügymenet folyamatosságának terveihez kapcsolódó vizsgálat, kipróbálás időbeli ütemezése azt is mutassa meg, hogy mikor és hogyan vizsgálják a terv adott elemét. Célszerű a tervek egyedi összetevőit gyakran vizsgálni. A technikák széles választékát kell használni annak érdekében, hogy elegendő bizonyosságot kapjunk terveinknek a valós életben várható működőképességéről. Ezeknek a vizsgálati eljárásoknak tartalmazniuk kell: a) a különböző forgatókönyvek kerekasztal melletti vizsgálatát (megvitatva az ügymenet helyreállítási intézkedéseket, a szervezeti folyamatok üzemszüneteit használva fel megtárgyalandó esetként); b) szimulációkat (különösen a személyek begyakoroltatásában, hogyan viselkedjenek váratlan események bekövetkezése után, krízishelyzet-kezelő szerepben); c) műszaki helyreállítási vizsgálatot (ezzel garantálva, hogy az informatikai rendszerek eredményesen visszaállíthatók); d) a helyreállítás vizsgálatait egy alternatív helyszínen (amikor a szervezeti folyamatokkal párhuzamosan a fő-helyszíntől távol futnak a visszaállítási műveletek); e) a szállítók szolgáltatásainak, létesítményeinek és eszközeinek vizsgálatát (annak érdekében, hogy a külső felek nyújtotta szolgáltatások és termékek kielégítsék a szerződéses kötelezettségként vállaltakat); f) teljes próba (annak vizsgálatára, hogy a szervezet, a személyzet, a berendezés, az eszközök és a szolgáltatások képesek megbirkózni az üzemszünetekkel). 9.1.5.2 A tervek napra készen tartása és újra értékelése Az ügymenet folyamatossági tervet felülvizsgálattal és aktualizálással időről időre napra készen kell tartani annak érdekében, hogy folyamatosan fenntartsák az eredményességét (lásd a 9.1.5.1.- szakaszt is). Olyan eljárásokat kell belefoglalni a szervezet változáskezelő programjába, amelyek szavatolják, hogy az ügymenet folyamatosságának kérdéseit a szükséges mértékben kezelik, és kézben tartják. Valamennyi, az ügymenet folyamatosságával foglalkozó szervezeti terv szabályos időközönkénti felülvizsgálatának a felelősét ki kell jelölni, és a szervezeti intézkedésekben bekövetkezett, és az ügymenet folyamatosságával foglalkozó szervezeti tervekben még vissza nem tükrözött változások azonosítása után, a terveket a változásoknak megfelelően aktualizálni kell. A változások ellenőrzésének ez a hivatalos módja garantálja, hogy a pontosított terveket eljuttatják az érintett felelősöknek, és hatályba léptetik a teljes terv szabályos időközönkénti felülvizsgálata révén.
160
Új berendezések felvétele, az üzemi rendszer aktualizálása, valamint a következő területeken bekövetkező változások példák az olyan helyzetekre, amelyek a tervek pontosítását teszik szükségessé: a) a személyzet; b) a címek és telefonszámok; c) a szervezeti stratégia; d) az elhelyezés, a létesítmények, az eszközök, az erőforrások; e) a jogi környezet; f) a szerződő felek, a rendszerszállítók és a kulcsfontosságú ügyfelek; g) akár az új, akár a megszüntetett szervezeti folyamatok; h) a kockázat (az üzemeltetés és a pénzügyek körében).
161
10 Megfelelőség 10.1 Megfelelés a jogi követelményeknek Célkitűzés: El kell kerülni bármely büntetőjogi vagy polgárjogi törvénynek, a törvényen alapuló szabályozásnak, hatósági szabályozásnak vagy szerződéses kötelezettségnek, valamint bármely biztonsági követelménynek a megszegését. Az információrendszerek tervezése, működtetése, használata és irányítása törvényen alapuló szabályozásnak, hatósági szabályozásnak, esetleg szerződésen alapuló biztonsági követelményeknek a hatálya alá tartozhat. A szervezet vezetése specifikus jogi követelményekre vonatkozó útmutatást a szervezet jogászaitól vagy a szakterületre specializálódott jogászoktól kaphat. 10.1.1
A TERÜLETRE VONATKOZÓ, HATÁLYOS JOG FELTÁRÁSA
Minden vonatkozó törvényen alapuló szabályozást, hatósági szabályozást vagy szerződéses követelményt valamennyi információrendszerre részletesen meg kell határozni és dokumentálni. Az ezeknek a követelményeknek a kielégítésére felállított sajátos ellenőrzési mechanizmusokat és intézkedéseket, valamint egyéni felelősségeket hasonlóképen egyedileg és részletesen kell meghatározni és dokumentálni. 10.1.2
A SZELLEMI TULAJDONJOGOK (IPR, INTELLECTUAL PROPERTY RIGHTS )
10.1.2.1 A szerzői jog Adekvát eljárást kell megvalósítani azért, hogy ezzel gondoskodjunk a jogi szabályozásoknak való megfelelésről olyan anyagok használata esetében, amelyeknek szellemi tulajdonjogi vonatkozásai vannak, mint a szerzői jogok, a tervezői jogok, vagy a védjegyek. A szerzői jogok megsértése jogkövetkezményeket vonhat maga után, amely büntetőeljárást is magában foglalhat. A törvényes, hatósági szabályozók vagy szerződéses követelmények korlátozhatják a valakinek / valaminek / valamilyen szervezetnek tulajdonát képező írott anyagok másolását. Különösen azt követelhetik meg, hogy kizárólag olyan anyagokat lehessen használni, amit maga az eredeti alkotó, szervezet állított elő, vagy olyanokat, amelyekre jogot szerzett, vagy a fejlesztő maga adta át a szervezetnek.
162
10.1.2.2 A szoftver-szerzői jog A gyártó tulajdonában álló szoftvertermékeket többnyire olyan licencszerződések hatálya alatt szállít le a szállító, amely meghatározott gépre korlátozza e termékek használatát, és azok másolását is csak a biztonsági másolat készítésére korlátozza. A következő ellenőrzési mechanizmusokat és óvintézkedéseket kell kidolgozni: a) a szoftver-szerzői jognak való megfelelés olyan szabályzatának kiadását, amely meghatározza, a szoftver-és az informatikai termékek jogszerű használatát; b) a szoftvertermékek beszerzési eljárását előíró szabályozás kiadását, c) tudatosítani a szoftver-szerzői joggal kapcsolatos ismereteket és a beszerzési irányelveket és szabályozást, és megfelelő figyelmeztetést arra vonatkozólag, hogy fegyelmi eljárással néz szembe a szabályszegő munkatárs; d) a szoftverek nyilvántartására is megfelelő vagyonleltár napra készen tartását; e) a licencek, mesterlemezek, kézikönyvek stb. birtoklásáról szóló okmányok és bizonyítékok napra készen tartását; f) olyan óvintézkedések megvalósítását, amelyekkel biztosítható, hogy a licencelt felhasználói szám megengedett legnagyobb értékét nem fogják meghaladni; g) azoknak az intézkedéseknek a végrehajtását, amelyek azt célozzák, hogy kizárólag engedélyezett szoftvereket és licencelt termékeket telepítsenek; h) olyan irányelvek és szabályozás kiadását, amely a megfelelő licencszerződéses állapotok fenntartására vonatkozik; i) olyan szabályozás kiadását, amely szoftvernek más számára szóló átruházására vagy átadására, esetleg megsemmisítésére vonatkozik; j) a megfelelő eszközök használatát az auditáláshoz; k) megfelelést a nyilvános hálózatokon keresztül szerzett szoftver és információ felhasználási feltételeinek (lásd még a 6.8.7 szakaszt). 10.1.3
A SZERVEZETI ADATOK OLTALMA
A szervezet fontos adatait védeni kell az elvesz(t)és, a csonkítás és meghamisítás ellen. Igény lehet egyes rekordok biztonságos megőrzésére azért, hogy a törvényi és jogszabályi követelményeket kielégítsék, és hogy a lényeges szervezeti tevékenységeket támogassák. Erre példák az olyan adatok, amelyekre bizonyítékként lehet szükség ahhoz, hogy a szervezet törvények és jogszabályok szerinti működését bizonyítani lehessen, vagy ahhoz, hogy biztosítsa a lehetséges polgári és bűntető jogi eljárásokkal szembeni kellő védelmet, vagy hogy a szervezet 163
pénzügyi helyzetét igazolja az auditorok, pénzügyi ellenőrök számára. Az információ megőrzésének időtartamát és adattartalmát a törvények és a jogi szabályozás határozza meg. Az adatokat, dokumentumokat, rekordokat fajtánként kell osztályozni, például számlarekordok, adatbázisrekordok, tranzakciók naplóbejegyzései, a nyomon követhetőségi és ellenőrizhetőségi naplók bejegyzései, vagy az üzemeltetési eljárások naplóinak bejegyzései, amelyek mindegyikéhez rögzítik a megőrzés időtartamát és az adathordozók fajtáját, pl. papír, mikrofilm, mágneses vagy optikai adathordozó. A titkosított archívumokkal és a digitális aláírásokkal kapcsolatos bármely kriptográfiai kulcsot (lásd a 8.6.2 és 8.6.3 szakaszt) biztonságos helyen kell tartani és az arra felhatalmazott személyeknek, amikor szükségük van rá, hozzáférhetővé kell tenni. A feljegyzések rögzítésére használt adathordozóknál figyelembe kell venni az adathordozó lehetséges romlását. A tárolás és az adathordozó-kezelés eljárásait a gyártók ajánlásainak betartásával kell végezni. Amennyiben elektronikus adattárolót választunk, akkor a megőrzési időszakra gondoskodni kell annak az eljárásnak az alkalmazásáról is, amelynek révén az adathordozóknak mind állagát, mind rögzítési formátumát tekintve az adatok hozzáférhetők és olvashatók maradnak, és amelynek révén megóvhatók attól, hogy későbbi technológiai változások miatt elvesszenek. Az adattároló rendszereket úgy kell megválasztani, hogy a kívánt adatokat a bíróság számára jogilag is elfogadható módon lehessen visszakeresni, pl. valamennyi kívánt rekordot elfogadható időn belül és elfogadható formátumban lehessen előhívni. Az adattároló-és kezelőrendszer szavatolja, hogy a rekordok, valamint azok törvényen alapuló vagy hatósági szabályozás által előírt megőrzési időtartama egyértelműen azonosítható legyen. Tegye lehetővé, hogy a rekordokat ezen időszak lejártával, ha a szervezet számára már nem szükségesek, alkalmas módon megsemmisíthessék. Ezeknek a kötelezettségeknek a kielégítéséhez a szervezet tegye meg a következő lépéseket: a) A rekordok és az információ megőrzése, tárolása, kezelése és megsemmisítésük tekintetében útmutatót kell kiadni. b) Megőrzési ütemtervet kell készíteni, amelyben azonosítunk minden lényeges rekordfajtát és azt az idő-tartamot, ameddig azokat meg kell őrizni. c) El kell készíteni a kulcsfontosságú információk fellelhetőségének, forráshelyének leltárát. d) Megfelelő óvintézkedéseket kell megvalósítani annak érdekében, hogy ezzel megóvjuk a lényeges rekordokat és az információt az elvesz(t)és, a csonkítás, megsemmisítés és meghamisítás ellen. 164
10.1.4
ADATVÉDELEM ÉS A SZEMÉLYES INFORMÁCIÓ MAGÁNÉLETI VÉDELME
A megfelelés az adatvédelmi jogszabályoknak adekvát irányítási szerkezetet és ellenőrzést igényel. Ezt a belső adatvédelmi felelős kijelölésével lehet megvalósítani, aki az adatvédelemre vonatkozó szabályozást alakít ki a vezetők, a felhasználók és a szolgáltatók számára, egyéni felelősségükről, valamint azokról a különleges eljárásokról, amelyeket követniük kell. Minden adattulajdonosnak a felelőssége, hogy tájékoztassa a belső adatvédelmi felelőst, milyen javaslatai vannak arról, hogy a személyes információt milyen strukturált állományban tartsák, és hogy a hatályos jogszabályokban meghatározott adatvédelmi elveket hogyan tudatosítsák. 10.1.5
AZ
INFORMÁCIÓFELDOLGOZÓ ESZKÖZÖKKEL, LÉTESÍTMÉNYEKKEL TÖRTÉNŐ
VISSZAÉLÉS MEGELŐZÉSE
Egy szervezet információ-feldolgozó eszközeit, létesítményeit a szervezet céljaira hozzák létre. A vezetőségnek kell engedélyeznie azok használatát. Ezen eszközök bármely olyan használata, amelyik nem felel meg az szervezeti céloknak, vagy amelyre nincs vezetőségtől kapott felhatalmazás, úgy tekintendő, mint az eszközök helytelen használata. Ha nyomon követéssel vagy más módon azonosítják azt, hogy az ilyen tevékenység előfordult, akkor erre fel kell hívni a vonatkozó fegyelmi eljárással foglalkozó illetékes vezető figyelmét. Az informatikai használat figyelésének, nyomon követésének a vonatkozó jogszabályokkal összhangban kell állni. Az alkalmazottakat a szükséges mértékben, a törvényi és jogszabályi előírásoknak megfelelően kell a megfigyelésre, nyomon követésre figyelmeztetni. Minden számítógép-használó legyen tudatában az engedélye szerinti hozzáférés pontos tárgykörének. Ezt például azzal lehet elérni, hogy a felhasználók írott formában kapják meg engedélyüket az informatikai eszközök használatára, amelynek egy példányát a felhasználóval alá kell íratni és a szervezetnek biztonságosan kell megőriznie. A szervezet alkalmazottai ugyanúgy, mint a külső félhez tartozó felhasználók, kapjanak értesítést arról, hogy semmilyen egyéb más hozzáférés nincs megengedve, kivéve az, amelyre engedélyt, felhatalmazást kaptak. Minden egyes bejelentkezéskor figyelmeztető üzenetet kell megjeleníteni a számítógép képernyőjén, amely mutatja, hogy a rendszer, amelybe belépni készülnek, magántulajdonú és abba semmilyen jogosulatlan belépés nincs megengedve. Ezt a felhasználónak nyugtáznia kell és megfelelő módon válaszolni a képernyőn megjelenített üzenetre ahhoz, hogy a bejelentkezési folyamatot folytathassa.
165
10.1.6
A KRIPTOGRÁFIAI INTÉZKEDÉSEK SZABÁLYOZÁSA
A kriptográfiai eszközök, szolgáltatások felhasználásának, hozzáférhetőségének ellenőrzése. Az ilyen intézkedés a következők területek szabályozása lehet: a) a kriptográfiai funkciókat végrehajtani képes számítógép-hardver és -szoftver be és kivitel a szervezet hatáskörébe tartozó területeken; b) a kriptográfiai funkciót végrehajtó kiegészítések befogadására tervezett számítógéphardver és szoftver be- és kivitel a szervezet hatáskörébe tartozó területeken; c) a kötelezően biztosítandó vagy önkéntesen engedélyezett hozzáférés módjai a tartalom titkosságát ellátó hardver vagy szoftver eszközzel titkosított információhoz. Biztosítani kell a megfelelést a nemzeti törvényeknek. Jogi tanácsot kell kérni, mielőtt titkosított információt vagy kriptográfiai eszközöket, megoldásokat más országba továbbítunk. 10.1.7
A BIZONYÍTÉKOK BEGYŰJTÉSE
10.1.7.1 A bizonyítékok begyűjtésének szabályai Kellő bizonyítékkal kell rendelkezni ahhoz, hogy támogatni lehessen egy jogi eljárást egy személy vagy szervezet ellen. Valahányszor ez az intézkedés egy belső fegyelmi, a szükséges bizonyítékokat a belső eljárások írják elő. Amikor az eljárás a polgári vagy a büntető törvénykönyvet érinti, akkor a benyújtott bizonyítékoknak meg kell felelniük azoknak a bizonyítási szabályoknak, amelyek a hatályos jogszabályokban vagy annak a bíróságnak az eljárási szabályaiban vannak lefektetve, amelyik előtt az ügyet tárgyalják. Általában ezek a szabályok magukban foglalják: a) a bizonyíték elfogadhatóságát: vajon a bizonyíték a bíróság előtt használható-e vagy sem; b) a bizonyíték súlyát: a bizonyíték minősége és teljessége; c) a bizonyíték alkalmasságát a tekintetben, hogy a bizonyítékok őrzésének és begyűjtésének eljárását abban az időszakban pontosan és következetesen betartották (azaz a bizonyítékkezelési folyamat sértetlensége és épsége), amikor a rendszer tárolta és feldolgozta a feltárt bizonyítékokat. 10.1.7.2 A bizonyítékok elfogadhatósága
166
A bizonyítékok elfogadhatóságának eléréséhez a szervezetnek gondoskodnia kell arról, hogy információrendszerei megfeleljenek az elfogadható bizonyítékok előállítására vonatkozó nyomrögzítési és igazságügyi szabványoknak vagy eljárási szabályzatnak. 10.1.8
A BIZONYÍTÉKOK MINŐSÉGE ÉS TELJESSÉGE
A bizonyíték minőségének és teljességének eléréséhez megalapozott bizonyítékkezelési naplóra van szükség. Általában az ilyen megalapozott bizonyítékkezelési naplót a következő feltételekkel lehet készíteni: a) Papíron rögzített dokumentumok esetében: az eredetit biztonságosan tárolják és rögzítik azt is, hogy ki találta meg, hol találta meg, mikor találta meg, és hogy kik tanúsítják. Bármilyen – a bizonyítékon végrehajtott - vizsgálat során biztosítani kell, hogy az eredeti bizonyíték módosulására nem került sor. b) Számítógép-adathordozón rögzített információ esetében: a hordozható adathordozók, valamint a háttértárolón és a központi tárolón talált információ másolatait meg kell őrizni, és rendelkezésre állásáról gondoskodni kell. A másolási folyamat során valamennyi tevékenységről naplófeljegyzést kell elkészíteni és tanú jelenléte szükséges. A naplónak és az adathordozónak egy-egy példányát biztonságosan meg kell őrizni. Amikor az eseményt először észlelik, általában nem nyilvánvaló az, hogy esetleg bírósági ügy lehet belőle. Éppen ezért fennáll annak a veszélye, hogy a szükséges bizonyítékok véletlenül megsemmisülnek még mielőtt az esemény komolyra fordulna. Tanácsos jogászt vagy a rendőrséget idejekorán bevonni az ügybe bármely tervezett jogi lépés előtt, és kikérni a tanácsukat a szükséges bizonyítékokat illetően.
10.2 A biztonsági szabályzat és a műszaki megfelelőség felülvizsgálata Célkitűzés: Gondoskodni kell arról, hogy a rendszerek megfeleljenek a szervezet biztonsági irányelveinek, szabályzatainak és a szabványoknak. Az informatikai rendszerek biztonságát időről időre felül kell vizsgálni. Ezeket a felülvizsgálatokat a vonatkozó biztonsági szabályzatoknak megfelelően kell végezni, és ugyanígy a műszaki alapelveket és az információrendszereket auditálni kell, hogy vajon kielégítik-e a biztonságos megvalósításra vonatkozó szabványokat.
167
10.2.1
MEGFELELÉS A BIZTONSÁGI IRÁNYELVEKNEK
A vezetőknek gondoskodniuk kell arról, hogy a felelősségi körükbe tartozó valamennyi biztonsági eljárást helyesen hajtsanak végre. Továbbá, a szervezeten belül valamennyi területet időről időre felül kell vizsgálni annak érdekében, hogy megfeleljenek a biztonsági szabályzatoknak és a szabványoknak. Ez a következőket foglalja magában: a) az informatikai rendszereket; b) a rendszer-beszállítókat, informatikai szolgáltatásokat nyújtókat; c) az információ és az informatikai vagyontárgyak felelőseit, tulajdonosait; d) a felhasználókat; e) a vezetőséget. Az informatikai rendszerek felelősei (lásd az 3.1 szakaszt) támogassák rendszereiknek a biztonsági szabályzatok, szabványok és más biztonsági követelmények szerinti megfelelőségére vonatkozó auditálását. A rendszerhasználat üzemviteli megfigyelését a 7.7 szakasz tárgyalja. 10.2.2
A MŰSZAKI MEGFELELŐSÉG ELLENŐRZÉSE
Az informatikai rendszereket időről időre ellenőrizni kell a biztonság megvalósítására vonatkozó szabványoknak való megfelelőség szempontjából. A műszaki megfelelőség ellenőrzése foglalja magában az üzemeltetési rendszer vizsgálatát, hogy ezzel lehessen biztosítani a hardver és szoftver ellenőrzési mechanizmusok és óvintézkedések megvalósításának helyességét. Ehhez megfelelőség-ellenőrzéshez informatikai, műszaki szakértelemre, szakértői támogatásra van szükség. Ezt vagy egy gyakorlott rendszermérnöknek manuálisan kell végrehajtania (amit szükség esetén alkalmas szoftvereszközök támogatnak), vagy egy olyan automatizált szoftvercsomagnak, amely műszaki jelentést készít azért, hogy azt a műszaki szakértő ezt követően kiértékelje. A megfelelőség-ellenőrzés, például a betörési vizsgálatot is tartalmazza, amelyet erre a célra külön szerződtetett független szakértők hajtanak végre. Ez hasznos lehet a rendszer sebezhetőségeinek felderítésében és annak ellenőrzésében, mennyire hatékonyak az óvintézkedések ezen sebezhetőségeket kihasználó jogtalan hozzáférések megelőzésére. Elővigyázatosnak kell lenni, mert a betörési vizsgálat sikeres elvégzése a rendszer biztonságának veszélyeztetéséhez és egyéb sebezhetőségek nyilvánosságra kerüléséhez vezethet, a szándékok ellenére. Bármely műszaki megfelelőség-ellenőrzést vagy csak az illetékes, erre felhatalmazott személyek végezhetik, vagy legalábbis felügyelik azt.
168
10.3 Rendszerauditálási szempontok Célkitűzés: Maximalizálni kell a rendszerauditálás eredményességét, és minimalizálni kell az auditálás által a rendszerbe történő beavatkozásokat, az okozott zavarokat. Ellenőrzési mechanizmusokat és óvintézkedéseket kell alkalmazni az üzemelő rendszer védelmére, és arra, hogy megóvjuk a rendszer-auditálás alatt az auditáló eszközöket. Ugyancsak védelemre van szükség ahhoz, hogy megóvjuk az auditáló eszközök sértetlenségét, épségét és megelőzzük a velük való visszaélést. 10.3.1
RENDSZERAUDITÁLÁS ELLENŐRZÉSI MECHANIZMUSA
Az üzemelő rendszer auditálásának a követelményeit, valamint az ellenőrzést is magában foglaló tevékenységeket gondosan meg kell tervezni és egyeztetni, hogy ezzel minimalizálni lehessen az szervezeti folyamatok szünetelésének a kockázatát. Az alábbiakat kell tekintetbe venni: a) Az auditálás követelményeit engedélyeztetni kell az illetékes vezetőséggel. b) Az ellenőrzés tárgyát egyeztetni és ellenőrizni kell. c) A szoftverek és az adatok ellenőrzését a „csak olvasás” jellegű hozzáférésre kell korlátozni. d) A „csak olvasás” jellegűtől eltérő hozzáférést csak akkor szabad engedélyezni, ha az a rendszerállományok elkülönített másolatán történik, és akkor is az auditálás befejezésével ezeket az állományokat meg kell semmisíteni. e) Az ellenőrzéseket végző informatikai-erőforrásokat pontosan azonosítani kell és rendelkezésre kell bocsátani. f) A különleges vagy kiegészítő adatfeldolgozás követelményeit azonosítani kell és jóvá kell hagyatni. g) A hivatkozási naplót kell készíteni, minden egyes hozzáférést nyomon kell követni és naplózni kell. h) Valamennyi eljárást, követelményt és a viselt felelősségeket dokumentálni kell. 10.3.2
RENDSZERAUDITÁLÓ-ESZKÖZÖK VÉDELME
A hozzáférést a rendszerauditáló-eszközökhöz, azaz szoftverekhez és adatállományokhoz védeni kell annak érdekében, hogy kizárjuk a lehetséges visszaéléseket és a károkozást. Ezeket az eszközöket el kell különíteni az üzemeltető és a fejlesztő eszközöktől, és nem szabad azo-
169
kat a szalagtárakban vagy a felhasználói körzetekben tárolni, hacsak nincsenek ellátva alkalmas szintű kiegészítő védelemmel.
170
11 HATÁLYBALÉPÉS, ZÁRÓ RENDELKEZÉSEK Jelen utasítás aláírás napján lép hatályba.
Az Informatikai Biztonsági Szabályzatban foglaltak végrehajtása vertikálisan és horizontálisan és mélységben a szükséges feltételrendszer (személyi, anyagi) biztosíthatóságának függvényében történhet. A vonatkozó, az ONYF-en belüli és kívüli döntéshozók felé szóló megoldási javaslatokat dokumentálni kell kockázat-elemzés célszerűség megvalósíthatóság tekintetében. Végrehajtás, kivitelezés a döntések alapján történhetnek.
Az Informatikai Biztonsági Szabályzatban foglaltak végrehajtásának előrehaladásáról az Informatikai Biztonsági Felelős 2010. december 31-ig jelentést készít, mely tartalmazza a további végrehajtásra vonatkozó javaslatokat is.
Az Informatikai Biztonsági Szabályzatban nevesített szerepkörök közül egy természetes személyhez több szerepkör rendelhető, ha ezek nem zárják ki egymást (pl. végrehajtó és a végrehajtást ellenőrző szerepkör).
171
12 MEGJELENTETÉS Az utasítás szövege a Nyugdíjbiztosítási Értesítőben nem jelenik meg, azt az érdekeltek külön megkapják.
Budapest, 2010. március 31.
…………………………………………………… Dr. Barát Gábor s.k. főigazgató
172
Mellékletek
173
13 Az adatosztályozás 13.1 Az adatosztályozás célja Az adatosztályozás célja, hogy a különböző osztályozási kategóriába sorolt adatokhoz, illetve a kezelésüket megvalósító eszközökhöz különböző szintű védelmi intézkedéseket, eljárásokat lehessen megvalósítani.
13.1.1
AZ ADATOK OSZTÁLYOZÁSÁNAK IRÁNYELVEI
Az információk osztályozását bizalmasság, sértetlenség, és rendelkezésre állás szempontjából osztályozni kell, amelyet az alábbi négy szinten kell megvalósítani. Az osztályozási szinteket a táblázat foglalja össze:
Osztályozási szintek
Bizalmasság
Sértetlenség
Rendelkezésre állás
1. Elhanyagolható
Nyilvános
Nem védett
Általános
2. Jelentős
Szolgálati használatra
Védett
Fontos
3. Súlyos
Titkos
Fokozottan védett
Kiemelten fontos
4. Kritikus
Szigorúan titkos
Kiemelten védett
Kritikus
13.2 Hatásvizsgálat Az osztályozás alapját a bizalmasság, a sértetlenség, és a rendelkezésre állás sérüléséből, vagy elvesztéséből keletkező, az ONYF számára kimutatható lehetséges hátrány nagysága képezi. A bizalmas adatkezelés, épség/sértetlenség, és rendelkezésre állás sérüléséből, vagy elvesztéséből vagyoni, erkölcsi, és jogi hátrány származhat. A hátrány mértéke az alábbi besorolás szerint határozható meg:
174
A hátrány mértéke Elhanyagolható
Jelentős
Súlyos
Kritikus
Vagyoni kár, vagy többletkölt-
A kár nagysága meghaladja a
A kár nagysága meghaladja a
A kár nagysága meghaladja a
A kár nagysága meghaladja a
ség,
100 000 forintot
2 000 000 forintot
10 000 000 forintot
100 000 000 forintot
Bizalomvesztés az ügyfelek
Az ONYF megítélése nem
Bizalomvesztés az ONYF 1-2
Bizalomvesztés az ONYF egy
Bizalomvesztés
körében
változik.
alkalmazottjával szemben
szervezetével (pl.: kirendelt-
szel, illetve az ONYF me-
ség) szemben.
nedzsmentjével szemben
Vagyoni hátrány
Erkölcsi hátrány az
ONYF-
Bizalomvesztés a dolgozók
Az ONYF alkalmazottai köré-
Bizalomvesztés az ONYF egy
Bizalomvesztés az ONYF kö-
Bizalomvesztés az ONYF fel-
körében (Munkahelyi hangu-
ben legfeljebb kisebb, átmene-
szervezetének
zép szintű vezetőjével szem-
ső vezetésével szemben, vagy
lat)
ti elégedetlenség (csalódott-
szemben.
ben.
az ONYFi dolgozók tömeges
vezetőjével
ság, ösztönzés hiánya) áll
munkabeszüntetéshez
fenn.
modnak
folya-
Jogi hátrány A törvényesség megsértése
ONYF-szel,
ONYF-szel,
vagy
az
az
ONYF egy alkalmazottjával
ONYF egy alkalmazottjával
ONYF alkalmazottaival szem-
indul eljárás
szemben
szemben bűncselekmény el-
ben bűnszövetségben elköve-
követése miatt indul eljárás.
tett bűncselekmény elkövetése
elkövetése
Az
vagy
szabálysértés elkövetése miatt
miatt indul eljárás
az
ONYF-szel,
Az
vétség
vagy
Az
Az ONYF-szel szemben jog-
miatt indul eljárás
175
A hátrány mértéke
Jogi kötelezettségek
Elhanyagolható
Jelentős
Súlyos
Kritikus
A kár az ONYF jogi, és szer-
A kár az ONYF jogi, és szer-
A kár az ONYF jogi, és szer-
Az ONYF nem, vagy csak je-
ződéses kötelezettségeinek tel-
ződéses kötelezettségeinek tel-
ződéses kötelezettségeinek tel-
lentős késéssel, esetleg nem
jesítését zavarja (kisebb, ese-
jesítését gátolja (a teljesítés, és
jesítését veszélyezteti (a teljesí-
megfelelő minőséggel tudja
mény jellegű fennakadásokat
annak minősége csak újabb
tés csak újabb biztosítható,
teljesíteni a jogi, és szerződé-
okoz)
erőforrás bevonásával bizto-
minősége romlik, de még el-
ses kötelezettségeit.
sítható)
fogadható szinten tartható)
Minősített információk bizal-
„Nyilvános” információk, do-
„Szolgálati használatra” minő-
„Titkos” minősítésű informá-
„Szigorúan titkos” minősítésű
masságának, sértetlenségének
kumentumok illetéktelen sze-
sítésű információk illetéktelen
ciók illetéktelen kezekbe, vagy
információk illetéktelen ke-
sérülésével kapcsolatos ese-
mély által történő megváltoz-
kezekbe, vagy nyilvánosságra
nyilvánosságra kerülése, vagy
zekbe, vagy nyilvánosságra
mények
tatása, az információk pontos-
kerülése,
illetéktelen
illetéktelen személy által tör-
kerülése,
ságának, és teljességének sérü-
személy által történő megvál-
ténő megváltoztatása, az in-
személy által történő megvál-
lésével
toztatása, az információk pon-
formációk pontosságának, és
toztatása, az információk pon-
tosságának, és teljességének
teljességének sérülésével
tosságának, és teljességének
vagy
sérülésével
vagy
illetéktelen
sérülésével
Ügymenet Az ügymenet minősége és fo-
Az ügymenet folyamatos, ki-
A kár az ügymenetet gátolja
A kár az ügymenetet veszé-
A kár az ONYF-t az ügymenet
lyamatossága
sebb esemény jellegű fenn-
(az ügymenet folyamatossága,
lyezteti (csak újabb erőforrás-
folyamatossági terv aktiválá-
akadások észlelhetők
vagy minősége csak újabb erő-
ok bevonásával biztosítható,
sára kényszeríti
források bevonásával biztosít-
azonban annak folyamatossá-
ható)
ga, vagy minősége csak elégséges szinten tarható)
176
A fenti táblázat alapján az ONYF-nél minden adatra (rendszerre) hatásvizsgálatot kell lefolytatni annak érdekében, hogy a megfelelő védelmi intézkedéseket lehessen hozzájuk rendelni. Az adatok osztályozását a folyamatfelelősök végezzék. A folyamatfelelős szerepét annak a szervezetnek az alkalmazottja tölti be, aki az adott ügyviteli folyamatért felelős. Az adatok osztályozását a folyamatfelelősöknek közösen létrehozott fórumon kell egyeztetniük. Az adatok osztályozása után meg kell határozni azokat az információ-kezelő eszközöket is, amelyek szükségesek az adatok rendelkezésre állásához (kiszolgáló-gépek, tárolók, aktív eszközök, stb.), és az osztályba sorolási szintnek megfelelően meg kell határozni az eszközök rendelkezésre állási elvárásait is. Ha az eszközök különböző rendelkezésre állású adatokat kezelnek, akkor a legszigorúbb követelményt kell figyelembe venni.
13.3 Adatok nyilvántartása Az ONYF adatait nyilván kell tartani. A nyilvántartásnak az alábbiakra kell kiterjedni: Az adat, vagy adatcsoport (rendszer) megnevezése Az adatosztályozási szint bizalmasság, sértetlenség, és rendelkezésre állás szerint A folyamatfelelős megnevezése Az adatokat kezelő eszközök megnevezése A nyilvántartás vezetéséért az Informatikai Biztonsági Felelős, a nyilvántartáshoz szükséges információkat szolgáltatásához a folyamatfelelősök felelnek.
177
13.4 Az adatok jelölése Az adatok megjelenési formájától függetlenül az adatok tárolására szolgáló eszközöket (kiszolgáló-gépek, adathordozók) jelölni kell a bizalmasság szerint. Amennyiben egy adathordozó eszköz többféle minősítésű adatot tárol, akkor a legmagasabb kategóriának megfelelő címkézést kell végrehajtani. A címkézés követelményei a következő fejezetben találhatók.
178
14 Az adatok kezelésének követelményei A következő táblázatok az adatok kezelésével kapcsolatos követelményeket foglalják össze Az adatok kezelésének követelményei bizalmasság és sértetlenség szerint: Nyilvános vagy „Nem védett”
„Szolgálati
használatra”
vagy „Titkos”, vagy „Fokozottan vé- „Szigorúan
„Védett” Tárolás
Adatátvitel
Központi tároló helyen kell tárolni
Nincs követelmény.
dett”
titkos”,
vagy
„Kiemelten védett”
Személyes, vagy korlátozott hozzá- Titkosított mappában kell tárolni.
Egyedi számítógépen, titkosí-
férésű mappában kell tárolni
tott mappában kell tárolni.
Az ONYF-en kívülre jelszóvédett Az adatállományt (fájl-t) kriptog- Engedélyezett berendezés seállományban (pl.: ZIP) kell küldeni.
ráfiai védelemmel kell ellátni kell gítségével kriptográfiailag véküldeni (pl.: PKI, PGP, AES algo- dett vonalon, rejtjelezve kell ritmusok).
Adatmegosztás
küldeni.
A központi nyilvános tároló he- A központi tároló helyen a betekin- Nem megosztható, szükség esetén Nem megosztható lyeken megosztható.
tésre jogosultak körében megosztha- több példányban kell tárolni. tó
179
Nyilvános vagy „Nem védett”
„Szolgálati
használatra”
„Védett” Megsemmisí-
Nincs követelmény
dett”
titkos”,
vagy
„Kiemelten védett”
Csak az folyamatfelelős engedélyé- Csak az folyamatfelelős engedé- Csak az folyamatfelelős engevel törölhető.
tés, törlés
vagy „Titkos”, vagy „Fokozottan vé- „Szigorúan
lyével törölhető.
délyével törölhető.
Az adathordozón (pl. lemezeken) Az adathordozón (pl. lemezelévő adatokat törölni kell új ada- ken) lévő adatokat törölni kell tokkal történő felülírás révén.
új adatokkal történő felülírás
A hibás mágneses/optikai adat- révén. hordozókat meg kell semmisíteni,
A
hibás
mágneses/optikai
és nem szabad a gyártónál vissza- adathordozókat meg kell semcserélni.
misíteni, és nem szabad a gyártónál visszacserélni.
Felülvizsgálat
Nincs követelmény
Minimálisan évente a törvényi elő- Minimálisan évente a törvényi Minimálisan évente a törvényi írások figyelembe vételével.
előírások figyelembe vételével.
előírások figyelembe vételével.
Az adatok kezelésének követelményei rendelkezésre állás szerint: „Nem fontos” Tárolás
„Fontos”
„Kiemelten fontos”
„Kritikus”
Kötelező a központi tárolóhelyen Kötelező a kétpéldányos tárolás, az Kötelező a többpéldányos tárolás, Tartalék telephelyen (Backup való elhelyezés.
adatok tárolási helyét rögzítő nyil- az adatok tárolási helyét rögzítő Site) is kell tárolni vántartás kíséretében.
nyilvántartás kíséretében
180
Adatátvitel
„Nem fontos”
„Fontos”
„Kiemelten fontos”
„Kritikus”
Nincs követelmény
A forráshelyen és a nyilvántartás- Tartalék csatornát kell biztosítani.
Redundáns átviteli csatornát
ban megjelölt tárolási helye(ke)n
kell biztosítani
maradjon egy példány az adatból.
181
14.1 Adat-átalakítás (konverzió)- migráció A konverzió/migráció előkészítésénél a Rendszerfejlesztési és -felügyleti Főosztály vezetője irányításával olyan adat-átalakítási tervet kell készíteni, amely meghatározza az migrációban érintett adatok körét, és a folyamat ellenőrzésének módszereit, emellett feltárja és megoldja az átalakítás során talált hibákat. A tervnek az alábbi ellenőrzéseket kell tartalmaznia a törzsadatok pontosságának, valamint annak biztosítása érdekében, hogy a törzsadatokat befolyásoló tranzakciók az új és a régi törzsadat-fájlokat egyaránt aktualizálják az átalakítás megkezdése és a végleges megvalósítás közötti időszakban: •
eredeti és átalakított adatállományok összehasonlítása,
•
átalakított adatok kompatibilitásának ellenőrzése az új rendszerben,
•
törzsadat-állományok ellenőrzése az átalakítást követően
A sikeres végrehajtás megerősítéseként részletesen ellenőrizni kell az új rendszer kezdeti működését. Az adat-átalakítás szabályszerű végrehajtásáért a feladattal megbízottak a felelősek.
14.2 A tárolt adatok sértetlenségének folyamatos fenntartása A vezetésnek gondoskodnia kell az adatállományokban és más adathordozókon (pl. elektronikus kártyán) tárolt adatok sértetlenségének és pontosságának rendszeres időközönként történő ellenőrzéséről. Külön figyelmet kell fordítani a pénzbeni értékre utaló információka, a hivatkozási fájlokra és a személyes adatokat tartalmazó állományokra.
14.3 Központi adatbázisok Az egyes központi adatbázisok, valamint a kiállított elektronikus bizonylatok megőrzési idejét, a mentett állományokból való visszaállítási kötelezettség gyakoriságát, illetve várható időpontját, az illetékes szakfőosztályoknak kell meghatározniuk a szakterületüket szabályozó jogszabályoknak megfelelően (V. sz. melléklet). A szakfőosztályok kötelesek az állandó adatállományok mentésére, archiválására, visszaállítására vonatkozó kötelezettségeket az ONYF Informatikai Főosztály főosztályvezetőjének minden év szeptember 30-ig, évközi változás esetén pedig soron kívül jelenteni. Adatbáziskezelő-, operációs rendszer-, technológia-
182
váltás, illetve bármilyen, az adatállományokat érintő olyan változás, ami az adatok tárolását, megismerhető megőrzését, illetve a későbbi helyreállíthatóságot befolyásolja, vagy befolyásolhatja, jelentési kötelezettséget ró az adatkezelő szakegységre. A bejelentést követően az üzemeltetésnek meg kell határoznia, meg kell terveznie a szükséges lépéseket annak érdekében, hogy az adatok biztonsága, védelme ne sérüljön és a későbbi, igény szerinti helyreállíthatósága biztosítható legyen. A végrehajtásról az Informatikai Főosztály vezetőjének az illetékes szakfőosztályt értesítenie kell. A központi adatbázisokban kezelt adatokkal kapcsolatos valamennyi üzemeltetői tevékenység az ONYF Informatikai és Rendszerfejlesztési Főigazgató-helyettes irányítása, felügyelete mellett és engedélye alapján végezhető. Az üzemeltetői tevékenység felügyeletét ONYF Informatikai és Rendszerfejlesztési főigazgató-helyettes az általa írásban kiadott utasításokkal, illetve azok betartásának ellenőrzésével biztosítja. Az utasításoktól való eltérés szándékát, illetve az üzemeltetéssel összefüggő problémákat az üzemeltetés vezetője köteles azonnal jelezni az Informatikai Főosztály vezetőjének. Az üzemeltetői tevékenységek az alábbiak: •
az adatok kezelése, feldolgozása, továbbítása, adatbevitel ellenőrzése, tranzakció kezelés, mentés, archiválás, visszatöltés,
•
a működést biztosító hardver,- és szoftvereszközök üzemeltetése,
•
az adatokat kezelő személyek hozzáférési jogosultságainak adminisztrálása és nyilvántartása,
•
a hozzáférések statisztikájának lekérdezése,
•
a felhasználói adatkezelési tevékenység statisztikájának elkészítése.
Az ágazat központi adatbázisainak üzemeltetésével kapcsolatos tevékenységeket szabályozó utasítások, szabályzatok betartatása a külső cég üzemeltető munkatársaival az ONYF Informatikai Főosztály vezetőjének kötelessége.
14.4 Nem központi rendszerek
A nem központi adatbázisok tekintetében az ONYF szervezeti egységeinél történik az adatok kezelése. A nem központi adatbázisok tekintetében az igazgatási szerveknél történik •
az adatok kezelése,
•
a működést biztosító hardver,- és szoftvereszközök üzemeltetése. 183
A nem központi adatbázisokhoz kapcsolódó, helyi tevékenységeket szabályozó utasítást az igazgatási szerv vezetője jogosult kiadni. Az utasítás végrehajtásának ellenőrzése az igazgatási szervek adatvédelmi előadóinak a kötelessége. Általános szabályok A különböző forrásokból származó adatok körét, befogadását törvény írja elő, mikéntjét, a szabályozott eljárásokat a hatályos ONYF utasítások rögzítik. A hatályos jogszabályi előírások, illetve az adatátadó közigazgatási szervvel kötött megállapodás alapján az ágazat fogadja a központi alkalmazói rendszerek megfelelő adatbázisaiba a frissítést biztosító adatokat. A biztosított biztosítási jogviszonyaira vonatkozó adatokat vagy floppyn, vagy az eNYENYI rendszeren keresztül a foglalkoztatói adatszolgáltatás fogadáskor olvassa be az alkalmazói rendszerek által kezelt adatbázisokba. Az adatbázisok a beolvasott, különböző forrásból származó adatokat strukturáltan tárolják. Az érkező adatállományokat beolvasás előtt több szempont szerint ellenőrizni kell a hatályos ügyviteli utasítás szerint. Az adatkezelés és az adatfeldolgozás során valamennyi személyes adatot a hitelességi és a sértetlenségi kritérium teljesítése érdekében jelen szabályzat szerint kell védeni. Az adatfeldolgozás valamennyi részfeladatát a hatályos adatvédelmi és ügyviteli szabályok betartásával kell elvégezni. A bizalmassági kritérium teljesítése érdekében a munkaállomás huzamosabb idejű elhagyásakor valamennyi alkalmazásból ki kell lépni, vagy jelszóval védett képernyővédőt kell alkalmazni. Azon külső cégek munkatársai, akik az ONYF megbízásából az ágazat számára adatfeldolgozást végeznek személyes és egyéb védett adatokat tartalmazó adatállományokon, személyenként külön-külön kötelesek titoktartási nyilatkozatot tenni. Külső vagy belső szervezeti egységtől érkező, egyedi, vagy csoportos személyes adatok szolgáltatására irányuló, valamennyi adatkérést az Iratkezelési Szabályzat szerint kell iktatni. Amennyiben a kérés nem a törvényben nevesített szervektől vagy a törvényben meghatározott célok érdekében érkezett, a személyes adatokra irányuló kérést vissza kell utasítani. 14.4.1
ADATELŐKÉSZÍTÉSI ELJÁRÁSOK Az Informatikai Főosztály Rendszerfejlesztési és –felügyeleti főosztály vezetésének
meg kell határoznia, hogy a felhasználói osztályoknak milyen adat-előkészítési szabályokat kell követniük. Ezzel összefüggésben a rögzítésre kerülő adat- formalapokat, képernyőket úgy kell megtervezni, hogy az minimalizálja a hibák és kihagyások lehetőségét. Olyan hibakezelő 184
eljárásokat kell kialakítani, amelyek az adatok rögzítésekor felderítik, jelzik és kijavítják a hibákat és szabálytalanságokat. 14.4.2
FORRÁSDOKUMENTUM-ENGEDÉLYEZÉSI ELJÁRÁS Az Informatikai Főosztály Rendszerfejlesztési és –felügyeleti főosztály vezetésének
gondoskodnia kell arról, hogy a forrásdokumentumokat helyesen készítsék el az arra felhatalmazott dolgozók, továbbá, hogy a forrásdokumentumok elkészítésének és engedélyezésének munkakörei megfelelően külön legyenek választva. 14.4.3
FORRÁSDOKUMENTUMOK ADATAINAK ÖSSZEGYŰJTÉSE Megfelelő szervezeti eljárások révén gondoskodni kell arról, hogy az engedélyezett
forrásdokumentumok teljesek és pontosak legyenek, pontosan számon tartsák azokat, és megfelelő időben kerüljenek továbbításra adatrögzítés céljára. 14.4.4
FORRÁSDOKUMENTUMOK HIBÁINAK KEZELÉSE Ki kell alakítani olyan hibakezelő eljárásokat, amelyek az adatok rögzítésekor felderí-
tik, jelentik és kijavítják a hibákat és szabálytalanságokat. 14.4.5
FORRÁS-DOKUMENTUMOK MEGŐRZÉSE Gondoskodni kell az eredeti forrás-dokumentumok megfelelő ideig történő megőrzé-
séről, illetve reprodukálhatóságáról az adatok visszakeresésének illetve helyreállításának megkönnyítése és a jogi előírások betartása érdekében. 14.4.6
ADATBEVITEL ENGEDÉLYEZÉSE A szervezetnek megfelelő eljárások keretében gondoskodnia kell arról, hogy adatokat
csak az arra felhatalmazott személyek vihessenek be a számítógépes rendszerbe. 14.4.7
PONTOSSÁG, TELJESSÉG ÉS ÉRVÉNYESSÉG ELLENŐRZÉSE Ellenőrizni kell a feldolgozásra bevitt tranzakciós adatok (mind az emberek által előál-
lított, a rendszer által előállított illetve az interfészeken keresztül bevitt adatok) pontosságát, teljességét és érvényességét. Arról is gondoskodni kell megfelelő eljárások révén, hogy az input-adatok érvényesítése és szerkesztése az adatok előállítását követően a lehető legrövidebb időn belül megtörténjen. 185
14.4.8
ADATBEVITELI HIBÁK KEZELÉSE Az ONYF-nek gondoskodnia kell a hibásan bevitt adatok kijavításáról és ismételt be-
viteléről. 14.4.9
ADATFELDOLGOZÁS SÉRTHETETLENSÉGE Az ONYF-nek olyan adatfeldolgozási eljárásokat kell kialakítania, amelyek gondos-
kodnak a munka- és feladatkörök különválasztásáról és az elvégzett munka rutinszerű ellenőrzéséről. A fenti eljárások keretében gondoskodni kell az adatok és törzsállományok aktualizálásának illetve felfrissítésének megfelelő ellenőrzéséről is. 14.4.10
ADATFELDOLGOZÁS HELYESSÉGÉNEK ELLENŐRZÉSE ÉS SZERKESZTÉSE
Megfelelő eljárások keretében gondoskodni kell arról, hogy az adatfeldolgozás helyességének ellenőrzése, hitelesítése és a szerkesztés az adatok előállítását követően a lehető legrövidebb időn belül megtörténjen. Mesterséges intelligencián alapuló rendszerek használata esetén ezeket a rendszereket olyan interaktív, ellenőrzési mechanizmusokat tartalmazó környezetben kell kiépíteni, hogy az alapvető fontosságú döntések esetében emberi jóváhagyásra legyen szükség. 14.4.11
ADATFELDOLGOZÁSI HIBÁK KEZELÉSE
Az ONYF-nek ki kell alakítania olyan adatfeldolgozási hibakezelési eljárásokat, amelyek lehetővé teszik a hibás tranzakciók feldolgozás előtti kiszűrését, úgy, hogy azok ne akadályozzák a többi érvényes tranzakció feldolgozását. 14.4.12
KIMENŐ ADATOK KEZELÉSE ÉS MEGŐRZÉSE
Az ONYF-nek megfelelő eljárásokat kell kialakítania az informatikai alkalmazói programok kimenő adatainak kezelésére és megőrzésére. Amennyiben átruházható eszközökre (pl. érték-kártyákra) kerülnek a kimeneti adatok, külön intézkedéseket kell kidolgozni a visszaélések megakadályozása érdekében. 14.4.13
KIMENŐ ADATOK KIOSZTÁSA
Az ONYF-nek írásbeli szabályzatot kell kidolgoznia az informatikai rendszerek által előállított kimenő adatok kiosztására vonatkozóan.
186
14.4.14
KIMENŐ ADATOK EGYEZTETÉSE
Az ONYF-nek ki kell dolgoznia olyan eljárásokat, amelyek biztosítják a kimenő adatok és a vonatkozó ellenőrző összesítések rutinszerű egyeztetését. Megfelelő ellenőrzési naplókat kell kialakítani a tranzakció-feldolgozás nyomon követésére, valamint a megszakadt feldolgozás miatt sérült adatok egyeztetésének megkönnyítése érdekében. 14.4.15
KIMENŐ ADATOK ÁTVIZSGÁLÁSA ÉS HIBAKEZELÉS
Az Informatikai Főosztály Rendszerfejlesztési és –felügyeleti főosztály vezetésének elő kell írnia, hogy a kimenő adatokról készült jelentések pontosságát az adatok előállítójának és az érintett felhasználóknak is át kell vizsgálniuk. A kimenő adatokban talált hibák ellenőrzésére és kezelésére is megfelelő eljárásokat kell kidolgozni. 14.4.16
A
KIMENŐ ADATOKRÓL KÉSZÜLT JELENTÉSEKRE VONATKOZÓ BIZTONSÁGI ELŐ-
ÍRÁSOK
A szervezetnek ki kell dolgoznia olyan eljárásokat, amelyek gondoskodnak a kimenő adatokról készült és kiosztás előtt álló, illetve a felhasználóknak már kiosztott jelentésekre vonatkozó biztonsági előírások betartásáról.
14.5 Az adathordozók biztonságos kezelése 14.5.1
ADATHORDOZÓKRA VONATKOZÓ ELŐÍRÁSOK
14.5.1.1 Általános szabályok Az adathordozókat, függetlenül azok fizikai megjelenésétől, a vonatkozó főigazgatói utasítások szerint kell kezelni, nyilvántartani, majd irattárba helyezni, illetve archiválni. A központi rendszerek és az adatfeldolgozás során keletkezett, digitalizált állományokat tartalmazó eredeti adathordozókat nyilvántartásba kell venni az átadás-átvételi jegyzőkönyv alapján, majd át kell adni azokat az Informatikai Főosztály adatvédelmi előadójának. Az eredeti adathordozókat az Informatikai Főosztály adatvédelmi előadója az Informatikai Főosztály páncélszekrényében helyezi el.
187
Hivatali működés, munkavégzés során keletkezett adatokat tartalmazó adathordozót a feldolgozás helyéről elvinni csak az illetékes vezető, illetve az adathordozó kezeléséért felelős személy hozzájárulásával szabad, az ügyviteli szabályok betartásával. Az ágazatban kezelt védett adatok illetékes vezetői hozzájárulás nélküli továbbítása, magáncélú felhasználása és nyilvánosságra hozatala (hálózati adattovábbítás, képernyős megjelenítés harmadik személy számára betekintési lehetőség biztosítása céljából) tilos. Az elektronikus adathordozók beszerzését, tárolását, felhasználását és a hozzáférést szabályozni, nyilvántartani, valamint rendszeresen és dokumentáltan ellenőrizni kell, melynek rendjét az igazgatási szervek vonatkozásában az igazgatási szerv adatvédelmi szabályzatában kell rögzíteni. Az adatot tartalmazó adathordozókat egyedi azonosítóval kell ellátni. A mentéseket a rendszergazdáknak kell elvégezni. Az archivált adatállományokat tartalmazó adathordozókról a rendszergazdának nyilvántartást kell vezetnie. A nyilvántartásnak ki kell térnie az adatállomány(ok) nevére, mentési idejére, az eredeti adatállomány fizikai származási helyére (gép, háttértár, könyvtár, felhasználónév), valamint a megőrzés időtartamára, az iratkezelési szabályzattal összhangban. Nem szabad elfogadni üzemeltetésre azt a fejlesztett programot tartalmazó adathordozót, melyről a fejlesztési dokumentáció, – és ennek részeként a fejlesztők adatvédelemre vonatkozó nyilatkozatai – nem áll rendelkezésre, illetőleg ezen nyilatkozatok a biztonságos alkalmazás teljes körű garanciáját – megfelelő köztisztviselői nyilatkozatokkal alátámasztva – nem tartalmazzák. Az adatátvitelre, mentésre, archiválásra használt adathordozók elhelyezésére szolgáló helyiségeknek megfelelő biztonságot kell nyújtaniuk illetéktelen vagy erőszakos behatolás, tűz-, víz-, vagy természeti csapás ellen. Az esetleges adatvesztés tényét, az adatot tartalmazó adathordozó/k eltűnését (lopás) jegyzőkönyvben kell rögzíteni. A területi igazgatási szerv vezetője köteles a jegyzőkönyv egy példányát a belső adatvédelmi felelősnek továbbítani. Az adathordozók biztonságos kezelésének kialakításával megakadályozható az ONYF adatbiztonsági kategóriákba besorolt adatainak illetéktelen kézbe való kerülése. Az ONYF tulajdonában lévő adathordozókat egyedi azonosítóval kell ellátni. Az adathordozóra tett címkén, az adattal dolgozó ONYF alkalmazottnak fel kell tüntetnie az adott tartalomra vonatkozó bizalmassági kategóriákat. Kezelését ennek megfelelően kell megvalósítani.
188
14.6 Adathordozók tárolására vonatkozó szabályok Figyelembe kell venni a gyártó által meghatározott tárolási környezetre vonatkozó paramétereket, a tároló helynek tűzbiztos, elektromágneses hatásoktól védett helynek kell lennie. Az adatbiztonsági kategóriákba besorolt adatokat tartalmazó adathordozók tárolásánál figyelembe kell venni a szabályzat adatok kezelésével kapcsolatos előírásaiban megfogalmazottakat. Két vagy több példányban való tárolás esetében az egyik tároló helynek közel kell lennie a felhasználás területéhez, hogy szükség esetén a jogosult felhasználó hozzáférhessen. A másik tároló helyet célszerű a felhasználás területétől távol elhelyezni, ezzel megakadályozva mindkét példány egyidejű megsemmisülését természeti katasztrófa esetén. A központi rendszerek mentését, archiválását tartalmazó adathordozók elhelyezéséért, a biztonsági mentések elkészítéséért, a másodpéldányok elhelyezéséért a NYUFIG épületében, valamint a mentési adathordozók szükség szerinti rendelkezésre állásának biztosításáért az Informatikai Főosztály vezetőjének felelősségi körében, az üzemeltetéssel megbízott üzemeltetési vezető a felelős. A mentések elhelyezését a belső adatvédelmi felelős ellenőrzi. A felhasználói adatkönyvtárak mentését a feladattal megbízott személyeknek (felhasználó, rendszergazda), az informatikai ajánlások mentésre vonatkozó bekezdései szerint, az adatvédelem szem előtt tartásával kell elvégezniük. Az egyes mentési (másolási) tevékenységekről naprakész nyilvántartást kell vezetni. A mentést tartalmazó adathordozókat az igazgatási szervek adatvédelmi szabályzataiban meghatározott, biztonságos helyen kell őrizni.
14.6.1
AZ ADATHORDOZÓK FELÜLVIZSGÁLATA Amennyiben vannak hosszabb távú megőrzés céljából archivált adatállományok, ezek
adathordozóinak épségét a használatba vételtől számítva 3 évenként, az őrzési/tárolási helyen ezzel megbízott rendszergazdának felül kell vizsgálnia és az adathordozó elöregedése miatt, az olvashatóság biztosítása érdekében másik, új fizikai adathordozóra át kell másolnia. Az elvégzett tevékenységről jegyzőkönyvet kell felvenni. Ennek az ellenőrzésnek valamennyi olyan adatot tartalmazó adathordozóra ki kell terjednie, melynek megőrzését törvény, ONYF utasítás, illetve ezekkel összhangban a szervezeti egység- vagy az igazgatási szerv vezetője elrendeli. Ha az eszközök fejlődése miatt egy bizonyos adathordozón vagy adathordozó típuson lévő adatok biztonságos visszaolvasása előre láthatóan a későbbiekben nem lesz lehetséges, a
189
rendszergazdának gondoskodnia kell az adatok konvertálásáról és korszerű adathordozóra történő másolásáról.
14.6.2
ADATHORDOZÓK MÁSOLÁSÁRA VONATKOZÓ SZABÁLYOK
„Titkos”, vagy „Szigorúan titkos” adatokat hordozható adathordozóra másolni csak az Informatikai Biztonsági Felelős engedélyével szabad. Másolás előtt a hordozható adathordozót, a rajta lévő adatok biztonsági osztályba sorolásának megfelelően címkézni kell. A másolás után meg kell győződni, hogy a másolt adatok egyeznek-e az eredetivel.
14.6.3
AZ ADATHORDOZÓK SZÁLLÍTÁSÁVAL KAPCSOLATOS SZABÁLYOK
„Titkos”, vagy „Szigorúan titkos” adatokat hordozható adathordozót az ONYF területéről kiszállítani csak az Informatikai Biztonsági Felelős engedélyével szabad. Az adathordozó szállítását úgy kell megoldani, hogy az adathordozó felügyelet nélkül soha nem maradhat. Az adathordozó szállítása közben is biztosítani kell az adathordozó gyártója által meghatározott környezeti paramétereket. Általában az adathordozókat magas hőnek, fröccsenő víznek, fizikai behatásnak, mágneses adathordozó esetén elektrosztatikus, és mágneses térnek kitenni is tilos. A minősített adatokat tartalmazó adathordozók szállítását dokumentálni kell. A személyes adatokat és nem nyilvános vagy annál magasabb minősítési adatokat kriptográfiai eljárással kell védeni, a kiszállítás előtt és a szállítás folyamán.
A központi rendszerek mentését, archiválását tartalmazó adathordozók elhelyezéséről, nyilvántartásáról, a szükséges mentési adathordozók cseréjéről az Informatikai Főosztály megbízott munkatársa köteles gondoskodni. A mentési másodpéldányok rendelkezésre állásának biztosítását heti gyakorisággal, megfelelő biztonsági előírások és a technikai feltételek együttes megléte (fém hordozó eszköz, gépkocsi) esetén végzi. Tömegközlekedési eszközön a mentési kazetták szállítása tilos. A mentések elhelyezését biztonságos helyiségben elhelyezett, külön lemezszekrényben zárral védve kell biztosítani. A helyiség kulcsát csak külön engedély alapján adhatja ki az arra feljogosított személyeknek a porta. A mentések elhelyezését és a kazetták nyilvántartását a belső adatvédelmi felelős ellenőrzi.
190
14.6.4
AZ ADATHORDOZÓK SELEJTEZÉSÉVEL KAPCSOLATOS SZABÁLYOK
Az adathordozók használata során figyelni kell a gyártó által meghatározott selejtezési időpontra, ezen idő után nem biztonságos a használatuk. Az elavult, meghibásodott adathordozók selejtezési eljárásáról, az ONYF központi üzemeltetésű rendszerén az Informatikai Főosztálynak, a az igazgatási szerveken, a helyi üzemeltetésű informatikai rendszereknél az igazgatási szervek Informatikai biztonsági rendszergazdáinak kell gondoskodnia. Selejtezésekor az adattárolót adatmegsemmisítési eljárásnak kell alávetni, amely visszavonhatatlanul garantálja az adatok megsemmisítését. Működésképtelen adattárolókat mechanikai úton kell használhatatlanná tenni. Az alkalmazandó adatmegsemmisítési eljárás kiválasztása is az Informatikai Főosztálynak illetve az Informatikai Biztonsági Felelősnek a feladata. Függetlenül attól, hogy az adatmegsemmisítést belső vagy külső szakember végzi, a tevékenységet megsemmisítési jegyzőkönyvben kell rögzíteni. Az adathordozók újrafelhasználása csak az adatmegsemmisítési eljárás lefolytatását és vírusellenőrzés végrehajtását követően lehetséges.
Az elektronikus adathordozót selejtezni a mindenkor hatályos [jelen szabályzat kiadásának időpontjában a 37/2004. (Nyb.K.5.)] a Nyugdíjbiztosítási Alap eszközeinek hasznosításáról és selejtezéséről szóló utasítás szerint szabad. Az adathordozókat selejtezésre kell kijelölni, ha •
az életciklusa lejárt,
•
a tárolt adatok nem olvashatók el és nem állíthatók helyre,
•
további felhasználás alól kivonásra kerül,
•
technológiaváltáskor, mentés, átmásolás után.
Minden selejtezésre kijelölt elektronikus adathordozón – típusától függően – mechanikai (floppy) vagy elektromágneses eljárással (winchester) kell az adatokat megsemmisíteni a selejtezés elvégzése előtt.
14.6.5
AZ ADATHORDOZÓ KIVONÁSA A HASZNÁLATBÓL Ha fizikai vagy erkölcsi avulás miatt az adathordozó (winchester) biztonságos adattá-
rolásra alkalmatlanná válik, akkor azt a használatból ki kell vonni. Használatból kivonás előtt az adatokat a rendszergazdának másik adathordozóra kell mentenie és az eredeti, selejtezendő winchesteren selejtezés előtt az adatokat meg kell semmisíteni. A használatból kivont win191
chestereket a gyári szám feltüntetésével a MÁGNES rendszer eszköz-nyilvántartási felületén a rendszergazdának kell rögzítenie. A számítógéppel együtt selejtezett winchestereket a MÁGNES rendszerben nem kell külön, manuálisan rögzíteni. Ezt követően az igazgatási szerv rendszergazdája intézkedik a kiszerelt winchesterek ONYF-re történő szállításáról, átadás-átvételi jegyzőkönyv felvételéről (I. sz. melléklet). A winchestert az Informatikai Főosztály adatvédelmi előadójának kell átadni. Az összegyűjtött winchesterek adatainak megsemmisítését az Informatikai Főosztály vezetője engedélyezi (II. sz. melléklet). Az lemágnesezés után az Informatikai
Eszközgazdálkodási
és
Adatvédelmi
Osztályosztályvezetője "Teljesítésigazolás"-t aláírásával igazolja, az adatmegsemmisítés elvégzését. (III. sz. melléklet) Az Informatikai Főosztály kijelölt munkatársa kötelességei adatmegsemmisítésnél: •
havonta, illetve szükség szerint gondoskodik az összegyűjtött winchestereken az adatmegsemmisítés elvégeztetéséről,
•
a szállításnál, és az adatmegsemmisítési technológia egész ideje alatt személyes felügyeletet gyakorol,
•
a visszaszállított winchesterekről "Átadás-átvételi" jegyzőkönyvet készít, amelynek kíséretében a winchesterek szállítóknak történő átadása történik (IV. sz. melléklet),
•
a MÁGNES rendszer adatvédelmi felületén az adatmegsemmisítés végrehajtását winchesterenként rögzítenie kell.
14.6.6
BIZALMAS INFORMÁCIÓK VÉDELME ADATTOVÁBBÍTÁS ÉS SZÁLLÍTÁS KÖZBEN Az Informatikai Főosztály vezetésének gondoskodnia kell a bizalmas információk
adattovábbítás és szállítás közben történő megvédéséről, a jogtalan hozzáférések, a módosítások és a téves kézbesítések megakadályozásáról. 14.6.7
A MEGSEMMISÍTÉSRE ÍTÉLT BIZALMAS INFORMÁCIÓK VÉDELME
Az Informatikai Főosztály vezetésének megfelelő eljárásokat kell kialakítania a megsemmisítésre ítélt bizalmas információkhoz és számítógép-szoftverekhez, lemezekhez és egyéb berendezésekhez illetve adathordozókhoz
való hozzáférés megakadályozása érdekében akkor,
amikor ezeket leselejtezik vagy más célú felhasználásra adják át. Az eljárások keretében arról
192
is gondoskodni kell, hogy a kitöröltnek illetve megsemmisítendőnek megjelölt adatokat ne tudja visszakeresni egyetlen belső illetve külső fél sem. 14.6.8
AZ ADATHORDOZÓK MEGSEMMISÍTÉSE A bizalmas vagy személyes adatokat is tartalmazó adathordozókat (floppy, CD, stb.) a
hatályos selejtezési utasításnak megfelelően kell kijelölni és kezelni. Adatszolgáltatásból származó papír alapú adathordozót megsemmisíteni tilos. Amenynyiben a NYENYI lap hiányosság, téves kitöltés miatt nem fogadható be, akkor az okmányt áthúzással érvényteleníteni kell, a 41/2009. ONYF utasítás szerint. Egyéb papíralapú adathordozók kezeléséről, selejtezéséről az iratkezelési szabályzat rendelkezik. Hibásan nyomtatott papíralapú adathordozót iratmegsemmisítőben kell olvashatatlanná tenni. 14.6.9
KÜLSŐ HELYRŐL ÉRKEZŐ ADATHORDOZÓK A foglalkoztatói adatszolgáltatáshoz az adathordozó kiadása, illetve az ágazatba kerülő
adathordozók fogadása csak a kijelölt ügyfélszolgálati helyeken, illetve az ügyviteli utasításokban meghatározott módon engedélyezett. Külső helyről érkező adathordozókat használatba venni csak ellenőrzés után szabad. Az ellenőrzés során ki kell térni a küldő azonosítására, a vírusmentesség ellenőrzésére, az adattartalom beolvashatóságára. Az adathordozókat használatba venni csak az előírt ellenőrző eljárások után szabad. 14.6.10
ÁTVÉTEL ELŐTTI ELLENŐRZÉS
Az idegen helyről (pl. foglalkoztatói adatszolgáltatásból) származó adathordozót az ügyintézőnek/rendszergazdának a számítógépbe helyezés előtt írásvédetté kell tenni a floppy megfelelő reteszének elhúzásával, majd – még a beolvasás megkezdése előtt – vírusellenőrzésnek és olvashatósági vizsgálatnak kell alávetni. Amennyiben az adathordozó nem olvasható, vagy vírus jelenléte feltételezhető, akkor – ezen információk közlésével – az eredeti adathordozót vissza kell adni (vagy küldeni) származási (közvetítési) helyére és haladéktalanul sértetlen, olvasható, vírusmentes változatot kell bekérni.
193
14.6.11
ÁTVÉTEL, ŐRZÉS
Az idegen adathordozók átvételéről minden esetben számítógépes nyilvántartást kell vezetni az átvevő szervezeti egységeknél. Foglalkoztatói adatszolgáltatást tartalmazó elektronikus adathordozókat helyszínenként egyedi azonosítással kell ellátni és beolvasás után tárolásukat visszakereshető módon kell biztosítani. 14.6.12
ÁTADÁS, POSTÁZÁS
Minden kiadott, elküldött, postázott, továbbított adathordozót nyilvántartásba kell venni, hogy az adatok útjának nyomon követése, utólagos visszakeresése, ellenőrzése garantálható legyen. A postára adott adathordozóknál biztosítani kell:
14.6.13
•
a sérülés, törés elleni védelmet,
•
mágneses zavarokkal szembeni védelmet.
ADATTÁROLÁS SZABÁLYOZÁSA
Megfelelő adattárolási szabályokat kell kialakítani, figyelembe véve a visszakereshetőséggel kapcsolatos követelményeket, a költség-hatékonyságot és a biztonsági alapelveket is. 14.6.14
MEGŐRZÉSI IDŐ ÉS TÁROLÁSI FELTÉTELEK
Meg kell határozni a dokumentumok, adatok, programok, jelentések és üzenetek (bejövő és kimenő), valamint az ezek rejtjelezéséhez és hitelesítéséhez használt adatok (kulcsok, tanúsítványok) megőrzési idejét és tárolási feltételeit. 14.6.15
ADATHORDOZÓ-KÖNYVTÁR KEZELŐ RENDSZER
Az Informatikai Főosztálynak megfelelő eljárások keretében gondoskodnia kell az adatokat tartalmazó adat-hordozó könyvtár szisztematikus leltározásáról és arról, hogy a leltározás során talált eltérések időben rendezésre kerüljenek, továbbá megfelelő intézkedéseket kell hoznia a könyvtárban tárolt mágneses adathordozók sértetlenségének megőrzése érdekében.
194
14.6.16
AZ ADATHORDOZÓ-KÖNYVTÁR KEZELÉSÉHEZ KAPCSOLÓDÓ FELELŐSSÉG
Az Informatikai Főosztály vezetésének gondoskodnia kell arról, hogy létezzen egy olyan eljárásrend és szabályzat, amely az adathordozó-könyvtár tartalmának védelmét szolgálja. Külön szabályokat és előírásokat kell kidolgozni a mágneses adathordozók külsején megjelenő azonosító címkékre, az adathordozók tárolására és fizikai mozgatásuk nyomon követésére annak érdekében, hogy mindig el lehessen velük számolni. Ki kell jelölni az informatikai részleg dolgozói közül az adathordozó könyvtár (mágnesszalagok, cserélhető szalag kazetták illetve egyéb cserélhető adathordozó elemek, lemezek, hajlékony mágneses lemezek) kezeléséért felelős személyeket.
14.7 Eszközök kivitele 14.7.1
AZ ESZKÖZÖK ÁTMENETI KIVITELE
Az ONYF irodahelységeiből kiszállítandó informatikai berendezésekre vonatkozó szabályok: •
minden informatikai eszköz épületből történő kivitele csak a munkahelyi vezető - távollétében helyettese - engedélyével lehetséges,
•
a ki- és beszállításokat minden esetben dokumentálni kell szállítólevél alkalmazásával, amelyen az adott informatikai eszköz egyedi azonosítóját fel kell tüntetni (típus, gyári szám, leltári szám), illetve nagy mennyiség esetén csatolt mellékletben kell felsorolni az egyedi azonosító adatait.
•
a szállítólevelet a kiinduló és a fogadó helyen a szállítást engedélyező és a szállítmányt fogadó személynek kézjegyével ellen kell jegyeznie, ezáltal nyomon követhetővé válik az eszköz útja.
14.7.2
AZ ESZKÖZÖK VÉGLEGES KIVITELE
Az ONYF tulajdonából véglegesen (pl. értékesítés miatt) kikerülő informatikai eszközökre vonatkozó szabályok: •
az informatikai eszközökön tárolt adatokat az Informatikai Biztonsági Felelősnek, vagy az informatikai biztonsági rendszergazdának visszaállíthatatlanul törölnie kell,
•
a kiszállítást dokumentálni kell szállítólevél alkalmazásával,
•
a szállítólevél kiállításának feltétele a kiegyenlített számla, vagy a selejtezési jegyzőkönyv.
195
196
15 Információ-architektúra Az információ-architektúrát a mellékletben közölt táblázatok segítségével célszerű megfogalmazni. A táblázatok kiegészíthetők grafikus ábrázolással. Az architektúra leírásnál a bevált nemzetközi gyakorlatot és ipari (de facto) szabványokat érdemes követni. Ilyen alkalmazható szabvány az UML / UP (IBM UML / RUP) architektúra ábrázolások. Az IBSZ hatálya alatt a szervezet egészére illetve az egyes lényeges informatikai rendszerelmekre, információrendszerekre az információ-architektúra biztonsági elemzését el kell végezni (lásd „Példa: Az információ-architektúra elemzésére” táblázatot). A táblázat példa jellegű, amely azt jelenti, hogy a táblázat celláiban megadott értékek csak gondolatébresztők, a táblázat fejlécében és a baloldalán található felsorolás példálódzó, nem teljesen kimerítő jellegű; ezért a konkrét helyzet konkrét elemzése alapján módosítható, bővíthető. A szervezet egyes informatikai és információ-vagyon elemeinek, eszközeinek informatikai és információ architektúra szempontú elemzésére a következő táblázatban (Példa: Az információvagyon elemek információ-architektúra szempontú elemzésére) közölt kategóriák használhatók. A két táblázat lehetővé teszi a kockázat elemzést, a szervezet egészének informatikai rendszerét és az egyes komponenseket fenyegető veszélyek, sebezhetőségek és az ebből származó kockázatok felmérését és a szükséges óvintézkedések meghozatalát.
197
Architektúrális követelmények
Hozzáférés ellenőrzés, nyomon köve-
tés
Bizalmas (titkos) adatkezelés ++ ++ ++
+ + + +
+ ++ ++ 0
0 0 ++ + 0 0 0
0 ++
Biztonsági őrök video kamerákkal
0 0 + ++ ++ ++
0 0 0 0 + +
ware) (COTS) Vírusvédelmi szoftver (COTS)
Fizikailag védett terem/helyiség a kiszolgáló gépeknek
+
Egy jelszó, egyszeri alkalommal (Single Sign-On)
+
Elektronikus/digitális aláírás
0
Behatolás észlelő, védelmet nyújtó szoftver (Intrusion Detection/Protection Soft-
Kriptográfiailag védett adatbázisrekord
Kriptográfiailag védett üzenettovábbítás (sifrírozás, rejtjelezés, titkosírás)
Időpecsét szolgáltatás
+
Kriptográfiai eljárásokra, algoritmusokra szoftver (kulcsolás, visszafejtés)(COTS)
visszafejtés)
Kizárólagosan kriptográfiai eljárásokra szánt hardver kiszolgáló gép (kulcsolás,
+ Kártyaolvasó (COTS)
elemei
Intelligens kártya olvasó (COTS)
Biometriai olvasó (COTS)
architektúra
Magas biztonsági fokozatú intelligens kártya (eszköz) (COTS)
leendő
Jelszó, titkos kifejezés, PIN kód
A
Felhasználói azonosító
A leendő architektúra komponensei
198
Üzenetek épsége, sértetlensége (integ-
+
+
+
+
0
0
0
+
0
+
+
+
+
+
+
+
0
0
0
0
0
0
0
+
+
+
+
+
0
0
0
0
0
0
+
+
Letagadhatatlanság
0
0
0
0
0
0
0
0
++
0
+
+
Rendelkezésre állás
-
-
++
0
0
0
0
0
0
0
-
++
++
--
--
--
+
--
--
-
--
Teljesítmény
-
-
-
0
-
-
-
-
-
Használhatóság
-
-
-
0
0
+
0
0
0
ritás) A szoftver érintetlensége, sértetlensége (integritás) Az adatok épsége, sértetlensége (integritás)
Költség
1.
+
+
0
+
+
+
0
+
+
+
0
+
+
+
++
0
0
0
+
+
0
0
0
0
0
-
+
0
-
0
0
-
--
-
-
-
+
0
0
+
0
0
0
-
++
0
0
+ + + + +
PÉLDA: Az információ-architektúra biztonsági elemzésére
Jelmagyarázat: COTS=
kereskedelmi forgalomba kerülő szoftverkomponensek
A mátrix celláiban szereplő jelek érzékeltetik, hogy a leendő architektúra milyen mértékben segíti vagy hátráltatja az architektúrális követelmények formájában megfogalmazott célok megvalósítását. A két plusz jel (++) jelzi, hogy az archiktektúra eleme erősen támogatja azt, hogy az architektúrális követelmény teljesüljön. Egy plusz jel (+) gyenge támogatást jelent az adott architektúrális követelményre. A zéró (0) azt jelzi, hogy nincs lényeges hatása az adott architektúrális követelményre. Az egy negatív előjel (-) azt jelzi, hogy az architektúrális komponens alkalmazása egy kissé megnehezíti a követelmény elérését. A két negatív előjel (--) pedig azt jelzi, hogy az architektúra elem alkalmazása nagyon megnehezíti, akár lehetetlenné is teszi, azt, hogy a követelményt kielégítsék.
199
Információ rendszer: ONYF alkalmazási információrendszer Alkalmazási rendszer típusa: Szervezeti szintű alkalmazás Informatikai
Alkategória
Szükséges- Megvalósító/támogató
szolgáltatás ka-
e
technológia
tegória Adatkezelés
Adatbázis kezelő rend- Igen
Bevált adatbázis-kezelő rend-
szer
szer / ONYF stratégiai döntés alapján kiválasztott
Repozitórium
(Adat- Igen
szótár) Biztonsági szol- Személyazonosítási és Igen
PKI infrastruktúra, X.509 ta-
gáltatások
hitelesítési szolgáltatá-
núsítvány, SAML - Security
sok
Assertion Markup Language egy
XML,
XACML
-
eXtensible Access Control Markup
Language
(XACML), SPML a Service Provisioning
Markup
Language (SPML), SOAP -a SOAP (Simple Object Access Protocol), Minősített és fokozott biztonsági szint Auditálási lehetőségek Igen biztosítása Hozzáférés ellenőrzés, Igen
LDAP, Szerep-alapú jogo-
nyomon követés, kéz-
sultság kezelés (RBAC)
ben tartás Biztonságirányítás
Igen
ISO/IEC 27000, ISO/IEC TR 13335
Címtár és szol- Címtárszolgáltatások gáltatás
Igen
LDAP,
lokali-
záció szolgáltatás
200
Szolgáltatási
Rendelkezésre állás
Igen
24/7/365 , 99,95%
Adaptálhatóság
Igen
Skálázhatóság,
minőség kiszolgáló
gépek Hálózati szolgál- Adat kommunikáció
Igen
TCP/IP
tatások Elektronikus levél Távoli
Nem
eljárások Nem
(Remote processes) Elosztott adatbázis ke- Nem zelés Tranzakció
fel- Tranzakció kezelése
Igen
dolgozás Felhasználói fe- Karakter alapú
Nem
lületek Ablakos,
grafikus Igen
MS Windows
rendszer Adatcsere
Dokumentum
Nem
Grafikus, digitális ké- Nem pelem Elektronikus adat
Grafikus és digi- Grafikus
Igen
objektumke- Nem
tális képszolgál- zelés tatások Rajzolás Rendszer és há- Hálózat felügyelet
Nem Igen
Hálózatfelügyeleti szoftver
Teljesítménykezelés
Igen
Hálózatfelügyeleti szoftver
Konfigurációkezelés
Nem
Manuális
lózat-felügyelet
Meghibásodások keze- Igen
Hálózatfelügyeleti szoftver
lése Mentés, visszaállítás
Igen
Manuális
201
Biztonságirányítás Operációs rend- Kernek szolgáltatások
Igen
Manuális
Igen
ONYF szabványos operációs
szer
rendszer
Szoftvertervezési
Programozási nyelvek
Igen
szolgáltatások Specifikáció, tervezési, Igen kivitelezési,
rendszer-
építési szolgáltatások Felhasználói felületké- Igen szítési szolgáltatások 2.
PÉLDA: Az információvagyon elemek információ-architektúra szempontú elemzésére
202
16 A biztonsági események kezelése 16.1 Biztonsági események bejelentése Az ONYF alkalmazottainak az általuk észlelt, az ONYF informatikai rendszerében keletkező biztonsági eseményeket be kell jelenteniük az Informatikai Ügyfélszolgálat (Help Desk) munkatársainak.
A bejelentésre az alábbi információs csatornák állnak rendelkezésre:
Telefonon: •
a 323-6003, 323-6004, 323-6017, és a 20-419-6039-es külső telefonszámokon
•
a 323-6035-ös fax számon
elektronikus levélben: a
[email protected] e-mail címen
A biztonsági események kategóriájába az alábbi események tartoznak: •
Jogosulatlan hozzáférés (informatikai eszközhöz, alkalmazáshoz, adathoz, biztonsági zónához).
•
Információs vagyon (eszköz, szoftver, adat, stb.) elvesztése, eltulajdonítása, vagy megrongálódása.
•
Határvédelmi események, vírusfertőzések.
•
A mentési feladatok végrehajtásának akadályoztatása.
•
Működési rendellenességek (eszköz hiba, program hiba, információ rendelkezésre állásának elvesztése, hibás adatok a feldolgozó rendszerben, stb.).
•
A törvény, vagy a szabályzat megsértésére utaló cselekmények.
Az események kezeléséért felelős személyek az alábbiak: 1) Kisebb jelentőségű események: Informatikai Ügyfélszolgálat (“Help Desk”). 2) Vírusvédelmi események: Vírusvédelmi rendszergazda. 3) Határvédelmi események: Tűzfal rendszergazda. 4) Jogosultsági események: Jogosultság adminisztrátor. 5) Rendelkezésre állási események: Adott rendszer/eszköz rendszergazdája. 6) Törvény-, szabály-, és eljárássértések: Informatikai Biztonsági Felelős.
203
16.2 Események rangsorolása
mértéke
Fenyegetettség
Az események rangsorát az alábbi ábra szerint kell meghatározni:
3
2
2
1
3
3
2
2
4
3
3
2
4
4
3
3
Az alaptevékenységre gyakorolt hatás (adatosztályozási szintek alapján)
1 rangsorolású események: Az események kivizsgálását és elhárítását azonnal meg kell kezdeni. Határsértés, és illegális tevékenység észlelése (behatolás) Vírus-vészhelyzet (tömeges informatikai vírusfertőzés), vagy központi vírusvédelmi eszköz kiesése; Adminisztrátori jogosultságok sérülése; Kritikus rendszer, vagy rendszer elemek kiesése; „Szigorúan titkos” információk titkosságának, sértetlenségének elvesztése.
2 rangsorolású események: Az események kivizsgálását azonnal meg kell kezdeni. Az esemény elhárítását azonnal meg kell kezdeni, ha azt egy 1 rangsorolású esemény elhárítása nem akadályozza. Ismétlődő vírusfertőzés, vagy vírusdefiníciós állomány nem frissülése. Felhasználói jogosultságok sérülése; Kiemelten fontos rendszer, vagy rendszer elemek kiesése; „Titkos” információk titkosságának, sértetlenségének elvesztése.
3 rangsorolású események: Az események kivizsgálását két órán belül meg kell kezdeni. Egyszeri vírusfertőzés, vagy helyi vírusvédelmi eszköz kiesése Fontos rendszer, vagy rendszer elem kiesése;
204
„Szolgálati használatra” minősítésű információk bizalmasságának, sértetlenségének elvesztése; Kisebb jogosultsági események (felhasználó elfelejtette a jelszavát, vagy az lejárt, stb.); Törvénysértések;
4 rangsorolású események: Az események kivizsgálását és kezelését a folyamatban levő magasabb rangsorú eseményektől függően kell megkezdeni.
Vírusvédelmi felügyeleti eszközök kiesése; Nem fontos rendszer, vagy rendszer elem kiesése; Munkaállomás működésével kapcsolatos működési hibák; Szabály-, és eljárássértések; Felhasználói hibák;
16.3 Biztonsági események kezelésének folyamata Esemény bejelentés bármely ONYF informatikai eszközt használó, vagy üzemeltető ONYF munkatárstól 7x24 órában érkezhet a Help Desk-hez (Informatikai Ügyfélszolgálat). A bejelentett eseményről szükséges minden rendelkezésre álló információt elkérni a felhasználótól/bejelentőtől. Minden vonatkozó információt szükséges rögzíteni a Help Desk alkalmazásban. Amennyiben az Informatikai Ügyfélszolgálat (Help Desk) saját hatáskörben meg tudja oldani a bejelentett eseményt, és a megoldott eseménnyel kapcsolatban a bejelentő 5 napon belül nem jelzett vissza, az esemény megoldottnak tekinthető. Amennyiben az Informatikai Ügyfélszolgálat (Help Desk) saját hatáskörben nem tudja megoldani a bejelentett eseményt, azonnal értesíteni kell az Informatikai Biztonsági Felelőst. A probléma további megoldására az Informatikai Biztonsági Felelős az igazgatási szervekhez tartozó Informatikai Biztonsági Összekötőkkel/adminisztrátorokkal az ONYF Informatikai Főosztály vezetőjével együttműködve- az alábbi döntés előkészítő javaslatokat teszi az ONYF főigazgatója, illetve az igazgatási szervek igazgatója felé: •
A probléma súlyosságát mérlegelve vészhelyzetet kell elrendelni és a vészhelyzeti terveknek megfelelően a normál működésre történő visszaállítást (Informatikai katasztrófa elhárítási terv, vírus vészhelyzet, stb.).
•
A probléma súlyosságát mérlegelve fejlesztések, vagy beszerzések elindítása. 205
Az esemény okozta kockázatokat csak az ONYF vezetői (ONYF vezetője, az igazgatási szervek vezetői) vállalhatják fel az Informatikai Biztonsági Felelős javaslata alapján. Az események elhárítására a Informatikai Ügyfélszolgálat (“Help Desk”) hatáskörén kívül tett intézkedéseket a Informatikai Ügyfélszolgálat (“Help Desk”)-nek jelenteni kell, aki a szükséges információkat dokumentálja.
16.4 Problémakezelés A problémakezelés célja az elhárított események okának feltárása, és a kiváltó ok megszüntetése ezen események előfordulásának csökkentése, vagy megszüntetése érdekében. A keletkezett és lezárt események hiba okának felderítése a kezelésében résztvevő kollegák feladata, melynek előre tervezett napja minden hónap utolsó keddje. A megbeszélés tárgya a kritikus szolgáltatásoknál felmerült, illetve a nem kritikus szolgáltatásoknál az elmúlt időszakban feltűnően nagy számban keletkezett és lezárt események. Eredménye lehet: •
Egy hiba okának definiálása a hozzá tartozó megoldással.
•
Egy hiba okának definiálása megoldás nélkül.
•
Egy esemény vizsgálatának továbbgörgetése a következő időszakra kellő információ hiányában.
Amennyiben sikerült feltárni a hiba okát, azt rögzíteni kell a „tudásbázisban”. A hiba okát ismerve intézkedéseket kell tenni a kiváltó ok végleges megszüntetésére, illetve az általa okozott probléma előfordulási gyakoriságának csökkentésére.
16.5 Informatikai biztonsági események kivizsgálása, bizonyítékok gyűjtése Az Informatikai Biztonsági Felelős tudomására jutott biztonsági események kivizsgálását késedelem nélkül el kell kezdeni. Az Informatikai és Rendszerfejlesztési Főigazgató-helyettes feladata kijelölni a vizsgálatban résztvevő személyeket. A kivizsgálás kapcsán vizsgálni kell: •
a biztonsági esemény bekövetkezésének okát és körülményeit;
•
az esetleges személyi felelősséget, és
•
az okozott kár mértékét.
206
Az összegyűjtött bizonyítékokról feljegyzést kell készíteni, amelyben pontosan felsorolásra kerülnek az összegyűjtött bizonyítékok és azok biztonsági eseménnyel kapcsolatos tartalmi pontjai. Az elkészült feljegyzéseket fel kell használni hasonló biztonsági események megelőzésére a biztonsági dokumentációs rendszer felülvizsgálatakor. A biztonsági esemény bekövetkeztekor azonnal meg kell tenni a szükséges válaszlépéseket, a körülmények figyelembevételével be kell vonni egyéb szervezeti egységeket, például: Jogi Főosztály, az eseményben érintett szervezeti egységek vezetőit (főosztályvezetői szinten), stb.
16.6 Rendkívüli események kezelése Az Informatikai Főosztály központi ügyelete és probléma megoldó csoportja gyors és biztonságos kommunikációs eszközökkel van felszerelve, és megfelelő szakértelemmel rendelkezik a rendkívüli biztonsági események kezeléséhez kapcsolódó feladatok ellátásában, a megfelelő, eredményes és gyors válaszlépések megtételében.
16.7 Jelentéskészítés a biztonsági előírások megsértéséről és a biztonsági rendszer működéséről Az ágazatban biztonsági incidensnek eseménynek, rendkívüli eseménynek számít minden, az informatikával kapcsolatba hozható rendellenes működés, fenyegetés, amely az adatok bizalmasságát, sértetlenségét, vagy rendelkezésre állását veszélyezteti. Az ONYF információ-kezelő rendszerét használója köteles értesíteni a Help Desket az általa észlelt biztonsági incidensekről. Az Informatikai Eszközgazdálkodási és Adatvédelmi Osztály gondoskodik a biztonsági rendszer működéséhez és a biztonsági előírások megsértéséhez kapcsolódó esetek nyilvántartásáról, jelentéséről, átvizsgálásáról, és rendszeres időközönkénti megfelelő szintre történő továbbításáról a jogosulatlan hozzáférések azonosítása és feltárása érdekében. A számítógépes erőforrások használatáról készített nyilvántartásokban (biztonsági és egyéb nyilvántartások) szereplő információkhoz kapcsolódó logikai szintű hozzáférési jogokat a különböző előjogok (pl. beosztás, hagyomány, stb.) mellőzésével, illetve "csak ha szükséges tudni" alapon kell megadni.
207
17 Informatikai biztonsági zónák Az ONYF-en belül biztonsági zónákat kell kialakítani annak érdekében, hogy a fizikai és környezeti biztonság több fokozatban valósulhasson meg. A biztonsági zónákat a bennük folyamatosan tárolt információk bizalmasságára, sértetlenségére és rendelkezésre állására vonatkozó osztályozási szintek alapján illetve az információkezelő eszközök kockázati besorolása alapján kell kialakítani. Az ONYF-nél három biztonsági zónát kell megkülönböztetni: •
1. számú biztonsági zóna: Azok a helyiségek, ahol nincs informatikai eszköz elhelyezve, vagy azoknak folyamatos felügyelete biztosított (pl.: recepció).
•
2. számú biztonsági zóna: Azok a helyiségek, ahol a felhasználók informatikai eszközei vannak elhelyezve.
•
3. számú biztonsági zóna: Géptermek, szerverszobák (Éles és Backup Site).
A biztonsági zónákat, és a hozzájuk tartozó főbb követelményeket az alábbi táblázat tartalmazza:
Zóna követelmények
1. számú biztonsági zóna
2. számú biztonsági zóna
3. számú biztonsági zóna
Általános követelmények A zóna kialakításánál figyelembe Természeti katasztrófák kockázatainak csökkentése
-
-
kell venni az árvíz, belvíz, földcsuszamlás, és egyéb természeti katasztrófák kockázatait.
208
Zóna követelmények
1. számú biztonsági zóna
2. számú biztonsági zóna
3. számú biztonsági zóna A zóna kialakításánál figyelembe
Előre nem látható egyéb katasztrófák kockázatainak
kell venni a veszélyes üzemek, ipari -
-
csökkentése
egységek, közlekedési baleset, és egyéb előre nem látható katasztrófák kockázatait.
Hozzáférési követelmények Belépés, beléptetés
A belépés engedélyeztetése
Az irodákba történő belépés kulccsal
Az irodákba történő belépés kulccsal
A zónába történő belépés mágnes-
történik
történik
kártyával történik
A fogadó szervezet vezetőjének szó-
Speciális (írásbeli) engedélyezés
beli engedélye szükséges.
szükséges
Klimatitálás szükséges
Külön engedély nem szükséges
Környezeti követelmények Klíma
-
-
Páratartalom szabályozása
-
-
Áramellátás szabályozása
-
-
A páratartalom szabályozása szükséges Az áramellátás szabályozása, és redundanciája szükséges
Biztonsági követelmények
209
Zóna követelmények
Tűzvédelem
1. számú biztonsági zóna
2. számú biztonsági zóna
3. számú biztonsági zóna
Kézi tűzoltó készülékek kihelyezése
Kézi tűzoltó készülékek kihelyezése
Tűzvédelmi riasztó, és automatikus
szükséges a folyosón
szükséges
oltóberendezés szükséges Minimum 40 dB-es csillapítás szük-
Árnyékolás védelem
-
-
séges az elektromos, és mágneses sugárzás ellen Passzív behatolás védelmi eszközök
Behatolás-védelem
Passzív behatolás védelmi eszközök
Passzív behatolás védelmi eszközök
szükségesek a földszinti, és 1. eme-
szükségesek a földszinti, és 1. eme-
szükségesek a földszinti, és 1. emeleti
leti ablakokra, valamint aktív beha-
leti ablakokra.
ablakokra.
tolás-védelmi eszközök felszerelése szükséges a folyosókra
Ellenőrzési követelmények Biztonsági kamerák
-
-
Biztonsági felügyelet
-
-
-
A kulcs felvételnél kell dokumentálni
Videokamerás megfigyelő rendszer szükséges a zóna bejáratához Felügyeleti (riasztó) eszközökkel kell ellátni
Dokumentálási követelmények A belépések naplózása
A beléptető rendszer naplózásával kell dokumentálni
210
Zóna követelmények Biztonsági események naplózása
1. számú biztonsági zóna
2. számú biztonsági zóna
-
-
3. számú biztonsági zóna A felügyeleti eszközök jelentéseit naplózni kell
211
17.1 A kiszolgáló-gépterem 17.1.1
A KISZOLGÁLÓ-GÉPTEREM ELHELYEZÉSÉNEK SZEMPONTJAI
Az kiszolgáló-gépterem elhelyezésének biztonsági szempontjai az alábbiak: •
A kiszolgáló-gépterem belmagassága az álpadlótól az álmennyezetig minimum 240 cm legyen.
•
Hasznos alapterület: A belmagasságot figyelembe véve biztosítsa az egyes kiszolgálógépek, vagy rack-ek számára előírt levegő térfogatot.
•
A helyiség aljzatának megfelelő statikai terhelhetősége az elhelyezett eszközök tömegét, és fizikai méretét figyelembe véve.
•
A helyiség ajtajának mérete biztosítsa az elhelyezésre kerülő eszközök akadálytalan ki- és beszállítását.
•
A helyiséghez vezető folyósok, lépcsők, liftek alkalmasak legyenek az elhelyezésre kerülő eszközök ki-, és beszállítására.
•
A helyiség határoló falai alkalmasak legyenek a fizikai betörések megakadályozására.
•
Ne legyenek a helyiségnek utcára nyíló nyílászárói, vagy ha vannak, akkor azok alkalmasak legyenek a fizikai betörések megakadályozására.
•
A helyiség elhelyezését úgy kell megválasztani, hogy a felette elhelyezkedő helyiségekben ne legyen vizes blokk (mosdó, wc, konyha, stb.). Ellenkező esetben a födém vízzárásának kialakítása szükséges.
Ha a kiszolgáló-gépterem szintjén vízkár veszélye forog fenn (árvíz, belvíz, csőtörés, stb.), akkor az alábbi védőmechanizmusok bevezetése szükséges: •
Álpadló, a berendezések mennyezetről való táplálása.
•
Falak, nyílászárók vízbehatolás elleni védelme
•
Ún. védőtálcák alkalmazása a berendezések elhelyezésére
17.1.2
A KISZOLGÁLÓ-GÉPTEREM BEHATOLÁS VÉDELME
A kiszolgáló-gépterem behatolás-védelmének biztosítása érdekében az alábbi szempontokat kell érvényesíteni: •
A fal bonthatóságának védelme (pl.: acélháló).
•
Automatán záródó biztonsági ajtó, mely kifelé kézzel nyitható (a menekülés biztosítása érdekében). 212
•
Beléptető-rendszer kialakítása (be- és kilépést is regisztráló rendszer).
•
A kiszolgáló-gépterem bejáratát figyelő kamerás megfigyelő rendszer, videórögzítéssel.
• 17.1.3
Betörés-riasztó rendszer alkalmazása. A KISZOLGÁLÓ-GÉPTEREM TŰZVÉDELME
A kiszolgáló-gépterem tűzvédelmének biztosítása érdekében az alábbi szempontok figyelembe vétele szükséges: •
A határoló falak, aljzat, mennyezet, és nyílászárók tűzterjedés gátló hatásának kialakítása (tűzálló festés, tűzálló üvegek, stb.).
•
A tűz-, vagy füstriasztó rendszer alkalmazása.
•
Automata tűzoltó-berendezések alkalmazása központi riasztással.
•
Kézi tűzoltó-berendezések elhelyezése a bejárat közvetlen közelében.
17.1.4
A KISZOLGÁLÓ-GÉPTEREM ÁRAMELLÁTÁSA
A kiszolgáló-gépterem áramellátásának biztosítását az alábbi szempontok szerint kell végrehajtani: •
Az épület villámvédelmének biztosítása.
•
A kiszolgáló-gépterem független betáplálásának biztosítása.
•
A helyiség betáplálásának redundanciájának biztosítása (tartalék generátor, kettős betáplálás).
•
A főkapcsolók biztonságos helyen való elhelyezése (lehetőleg a bejárat közelében).
•
Az eszközök szünetmentes tápellátása (központi UPS, helyi UPS-ek).
•
A helyiség betáplálásának terhelés elosztása fázisonként.
•
Az UPS-ek betáplálásának elosztása fázisonként.
•
Érintésvédelem kialakítása, rendszeres felülvizsgálata.
17.1.5
A KISZOLGÁLÓ-GÉPTEREM KLIMATIZÁLÁSA
A kiszolgáló-gépterem üzemi hőmérsékletének szabályozásának érdekében az alábbi szempontok figyelembe vétele szükséges: •
A kiszolgáló-gépteremben klíma-berendezéseket kell üzemeltetni, a megfelelő üzemi hőmérséklet szabályozására.
213
•
A klímarendszer független legyen az épület egyéb klíma rendszereitől.
•
A klíma berendezések darabszámát, típusát úgy kell tervezni, hogy a kiszolgálógépteremben elhelyezett eszközök hődisszipációs mutatói mellett biztosítani tudják a megfelelő szabályozást.
•
A klíma-berendezések automatikus újraindítását biztosítani kell az esetleges áramszünet megszűnése esetén.
•
A csapadékos évszakokban megnövekedett pára kártékony hatása ellen páramentesítő alkalmazása célszerű.
17.1.6
KISUGÁRZÁS ÉS ZAVARVÉDELEM
A kiszolgáló-gépterem kisugárzásvédelmének, illetve zavarálló képességének biztosítására az alábbiakat kell megfontolni: •
A határoló falak fémhálóval történő bevonása, a nyílászárók bevonása min. 40 dB-s csillapítás elérése (Faraday kalitka).
•
Csillapítás alkalmazása a födém, és a padlózat kialakításában (álpadló, álmennyezet).
•
Gépészeti eszközök (víz-, gáz-, fűtésvezetékek, stb.) eltávolítása.
•
A kiszolgáló-gépteremtől távol kell tartani a kisugárzásra alkalmas eszközöket (mobiltelefonok, GPRS eszközök).
17.2 A kiszolgáló-gépterem hozzáférési követelményei A kiszolgáló-gépterem nyitásának, és zárásának szabályai A kiszolgáló-géptermet folyamatosan zárva kell tartani még akkor is, amikor a helyiségben éppen munkavégzés folyik. Amennyiben a fenti követelmény valamilyen ok miatt nem követhető (pl.: meghibásodás, vagy beszállítás) a kiszolgáló-gépterem bejáratának őrzését meg kell oldani.
A kiszolgáló-gépterembe történő belépés és kilépés rendje Kerülni kell a kiszolgáló-gépterembe történő indokolatlan belépést. Azokat az üzemeltetési feladatokat, amelyek távoli eléréssel elvégezhetők, távoli menedzsment alkalmazásával kell elvégezni. A kiszolgáló-gépterembe csak az arra felhatalmazott személyek léphetnek be. Az ONYF-nél a kiszolgáló-gépterembe a következő személyek belépése engedélyezett:
214
•
Az illetékes hivatali vezető (ONYF esetén a főigazgató, az igazgatási szervek esetén az igazgató).
•
Az üzemeltetési szervezet vezetője .
•
Az Informatikai Biztonsági Felelős.
•
A kiszolgáló-gépteremben elhelyezett eszközök rendszergazdái.
•
Belső ellenőr.
A kiszolgáló-gépterembe történő belépéseket dokumentálni kell. A dokumentáció tartalmazza: •
A belépő nevét.
•
A belépés célját.
•
A belépés idejét.
•
A kilépés idejét.
A kiszolgáló-gépteremben történő munkavégzés rendje A kiszolgáló-gépteremben csak a folyamatban lévő munkavégzéshez szükséges eszközöket, szerszámokat szabad tartani. A helyiségben tartózkodás ideje alatt az elrendelt munkavégzéstől eltérő tevékenységet folytatni (evés, ívás, stb.) tilos. Ha olyan tevékenységet kell a kiszolgáló-gépteremben végezni, amely veszélyeztetheti az egyes eszközök rendelkezésre állását, akkor a feladat végrehajtását az üzemeltetésért felelős vezetőnek engedélyezni kell. Az ilyen jellegű tevékenységet az illetékes szakmai szerveknek be kell jelenteni. Az elvégzett tevékenységet (telepítés, konfigurálás, javítás, karbantartás, stb.) minden esetben dokumentálni kell. A dokumentáció tartalmazza: •
A feladatot végző személy(ek) nevét.
•
A tevékenység leírását.
•
A tevékenység időtartamát.
•
A dokumentáció lehet azonos dokumentum a belépési nyilvántartással.
215
18 Külső féllel kötött szerződések biztonsági követelményei Külső szervezettel kötött szerződés biztonsági követelményei az ISO 17799/ ISO27000 szabványok ajánlása alapján Külső fél hozzáférési jogosultságainak szabályozását az adott szervezet információfeldolgozó rendszereihez olyan jogilag korrekt (mind formailag mind tartalmilag) szerződésre kell alapozni, amely minden olyan informatikai biztonsági követelményt tartalmaz vagy pontosan hivatkozik rá, amely garantálja a szervezet biztonsági irányelveivel, szabályzataival és belső utasításaival az összhangot, fenntartja a megfelelőséget. A szerződésnek és a szerződéskötési eljárásnak kell szavatolnia azt is, hogy semmilyen félreértés ne maradjon a külső fél és a szervezet között. A szervezetnek (ONYF) a szolgáltatókkal, beszállítókkal kötött szerződésekben kötelezően elő kell írni azt, hogy az esetlegesen felmerülő kártérítési igények garantált kielégítése végett a szerződő félnek szakmai felelősség biztosítást kell kötnie, amely az esetlegesen bekövetkező károkozás következményeinek enyhítésére biztosan fedezetet nyújt. A következő tételeket külső féllel kötött szerződésbe foglalását kell megfontolni: a) az általános informatikai biztonsági irányelveket; b) a szervezeti eszközök védelmét, beleértve: − a szervezet vagyonának és eszközeinek a védelmét, amely tartalmazza az információvagyont és a szoftvert is; − azokat az eljárásokat, amelyek segítségével meghatározható, vajon előfordult-e a vagyon olyan veszélyeztetése, mint például az adatvesztés vagy az adatmódosulás; − az óvintézkedéseket, amelyek biztosítják, hogy a szerződés lejártával vagy a szerződés érvényességi idején belül egy megegyezés szerinti időpontban, a szerződés hatálya alatt átadott információt, szervezeti eszközt/vagyont vagy megsemmisítik, vagy pedig visszaszolgáltatják; − az információ épségét / sértetlenséget és rendelkezésre állását; − az információ másolásának és nyilvánosságra hozatalának korlátozásait; c) valamennyi rendelkezésre bocsátandó szolgáltatás leírását; d) az előírt szolgáltatás szintet és azt a szintet, amikor szolgáltatás már elfogadhatatlan; e) gondoskodni kell a munkatársak, alkalmazottak átadásáról, ahol ez szükséges; f) a megállapodásban részt vevő felek szerződéses kötelezettségeit, felelősségi köreit, kötelmeit;
216
g) a jogszabályokból származó jogi felelősséget, pl. adatvédelmi jogszabályok kérdésében; h) szellemi tulajdonjogokat (IPR, intellectual property rights ), a szerzői és szomszédos jogokat, a szerzői jog egyes elemeinek visszterhes átruházását, valamint a közösen (a szervezet és a külső fél) végzett csoportos munkából származó eredmények, alkotások szerzői jogainak védelmét; i)
hozzáférési jogosultság ellenőrzési megállapodásokat, amelyek tartalmazzák: − a megengedett hozzáférés módszereket, valamint az olyan egyedi azonosítókat, mint például a felhasználói azonosítók és jelszavak használatának megengedett módját; − a felhasználói hozzáférési jogosultságokkal és jogokkal kapcsolatos engedélyezés folyamatát; −
azt a követelményt, hogy egy olyan nyilvántartást vezessenek, amelyben az olyan személyeket tartják nyilván, akiket feljogosítottak a rendelkezésre bocsátott szolgáltatások igénybevételére, és ezzel együtt a használatra vonatkozó jogaikat és jogosultságaikat is napra készen vezetik;
j) a szerződő fél által nyújtott szolgáltatás teljesítményének, szolgáltatási szintjeinek ellenőrizhető, mérhető paramétereinek meghatározása, valamint ezek nyomon követése és az ezekről szóló jelentések formai és tartalmi meghatározását; k) a felhasználók tevékenysége nyomon követhetőségének a jogát, illetve szükség esetén a felhasználói jogosultságok megvonását; l) a szerződésben lefektetett felelősségek auditálásának jogát, és az auditálások külső, független féllel történő elvégeztetésének jogát; m) a rendkívüli események, a problémák felterjesztésének folyamatát, a probléma kezelése és megoldása végett, amelyben - ha az lehetséges - az előre nem látható, esetelegesen bekövetkező eseményeket is figyelembe kell venni; n) a hardver és a szoftver üzembe helyezésének és karbantartásának felelősségét; o) áttekinthető jelentési útvonalakat és rögzített jelentési űrlapot; p) a változáskezelés világos és előírt folyamatát; q) bármely olyan fizikai védelmet nyújtó óvintézkedést és mechanizmust, amely biztosítja, hogy az óvintézkedéseket betartják; r) a felhasználók és az adminisztrátorok kiképzését a módszerek, eljárások és a biztonság tekintetében;
217
s) azokat az óvintézkedéseket, ellenőrzési mechanizmusokat, amelyek biztosítják a rosszindulatú szoftverek elleni védekezést ; t) a rendkívüli és egyéb biztonsági eseményekről és a biztonság megsértéséről szóló jelentések, értesítések és kivizsgálások eljárásrendjét, az események bekövetkeztére vonatkozó intézkedéseket; u) a külső fél szerződéses alvállalkozói bevonásának eljárásrendjét. Informatikai szolgáltatás kihelyezési szerződések biztonsági követelményei Ha a szervezet számára az informatikai rendszerek, hálózatok és/vagy asztali számítógépes környezetek egészének vagy egy részének kezelését és ellenőrzését szolgáltatás-vásárlási vagy alvállalkozási szerződésben végzi egy külső fél, akkor a szerződésnek ki kell térnie a biztonsági követelményekre: A szerződésben célszerű foglalkozni kell azzal, hogy: a) hogyan fogják a jogszabályi követelményeket kielégíteni, pl. az adatvédelmi jogszabályozást; b) milyen rendelkezéseket kívánnak megvalósítani annak garantálására, hogy az szolgáltatásvásárlási szerződésben résztvevő valamennyi fél - az alvállalkozókat is beleértve tudatában van-e saját biztonsági felelősségének; − hogyan fogják fenntartani és vizsgálni a szervezet eszközeinek, vagyonának épségét, sértetlenségét és titkosságát; − milyen fizikai és logikai óvintézkedéseket fognak alkalmazni arra, hogy korlátozzák és behatárolják a jogosult használóknak a hozzáférését a szervezet bizalmas információihoz/adataihoz; − hogyan fogják fenntartani a szolgáltatások rendelkezésre állását katasztrófa esetében; − milyen fizikai biztonsági szinteket kell megvalósítani és fenntartani a szolgáltatás vásárlási, illetve alvállalkozási szerződés hatálya alatt az olyan berendezések esetében, amelyek a külső szerződő fél hatás- és felelősségi körébe tartoznak; − az auditálások kezdeményezésének és végrehajtatásának jogaira.
218
19 ONYF titoktartási megállapodás Alkalmazotti nyilatkozat A nyilatkozat célja A nyilatkozat célja a felhasználókban tudatosítani, hogy munkájuk során a lehető legnagyobb gondossággal járjanak el az ONYF informatikai rendszereiben tárolt információk használatakor annak érdekében, hogy az adatok bizalmassága, sértetlensége, és rendelkezésre állása a felhasználó szándékos, vagy gondatlan magatartásából ne sérüljön, illetve a felelősségük számon kérhető legyen.
Felhasználói azonosító:
Felelősségi nyilatkozat
Név: .................................................,dolgozó azonosító: ….……………………………. az ………………………….munkavállalója kijelentem, hogy informatikai biztonsági oktatásokon 20__, ……, ……..-án részt vettem és a feladataim ellátásához szükséges ismeretekkel rendelkezem. Az informatikai eszközök megfelelő használata közvetve vagy közvetten védelmet nyújt az információvesztés vagy az információ jogosulatlan személyhez való kerülése ellen. Tudomásul veszem, hogy az ONYF informatikai rendszerében kezelt szoftverek, fájlok, levelek az ONYF tulajdonát képezik, így azokat az ONYF kijelölt szakemberei ellenőrizhetik. Az informatikai eszközök rendeltetésszerű alkalmazása érdekében:
• Ügyelek a használatomban lévő informatikai eszközök állagmegóvó tárolására, rendeltetésszerű használatára.
• A biztonságos tárolásról mobil-eszköz és adat esetén is gondoskodom. • Köteles vagyok a beállított szoftver, hardver állapotokat megtartani. Az informatikai eszközök és adatok biztonságos alkalmazása érdekében:
• Csak az ágazatban nyilvántartott és ellenőrzött eszközökkel léphetek be az ágazat hálózatára. Kizárólag az ONYF által engedélyezett szoftvereket használok.
219
• A jelszava(i)mat (munkacsoport-jelszót; a csoport jelszót) titkosan kezelem, az(oka)t nem osztom meg mással.
• A jelszava(i)mat semmilyen körülmények között nem jelenítem meg a különböző adathordozókon: jelentéseken, képernyőn, papíron stb.
• Más személy felhasználói azonosítóját és jelszavát nem használom, ezek megszerzésére nem törekszem. Ha ilyen a tudomásomra jut azt másnak át nem adom, hanem jelzem a jelszó tulajdonosának és közvetlen vezetőmnek a titkosság megszűnését, és kérem írásban az azonnali jelszó módosítást.
• A jelszavaimat rendszeresen megváltoztatom. • Tevékenységem során gondosan járok el és igyekszem megakadályozni illetéktelen személy hozzáférését az informatikai rendszerekhez.
• Az Internet és a levelező rendszer használata során ügyelek arra, hogy az elküldött levelek: o nem tartalmazhatnak olyan információt, amely az ONYF érdekeit sértheti. o csak titkosított formában tartalmazhatnak titkokat és csak munkaköri tevékenység céljából. o Csak az ONYF által támogatott titkosírási rendszerrel titkosítom a leveleimet.
• Nem használok WEB-es „free-mail”-t, csak az ONYF hivatalos levelező rendszerét használom.
• Nem lehetetlenítem el a vírusellenőrzést. • Kerülöm az olyan tevékenységet, amelynek célja, vagy előrelátható következménye az ONYF hálózatának- vagy szoftverintegritásának bármely fokú, és természetű sérülése.
• Elkerülöm, hogy családtagjaim, ismerőseim bizalmas információk birtokába jussanak otthoni munkám során.
• Nem élek vissza a tudtomra jutott előforduló szoftver és védelmi hiányosságokkal. • Ügyelek arra, hogy illetéktelen személyek ne olvassák a monitoron megjelenő információkat.
220
• Azt a munkaállomást, melyen bejelentkeztem, csak abban az esetben hagyom szabad felügyelet nélkül, ha a napi munkavégzés miatt ez indokolt, és o a munkaállomáson telepített jelszóvédelemmel rendelkező képernyő-pihentetés (screen saver) telepítve van és ezt aktiváltam, o vagy a munkaállomásomat zároltam, o a megnyitott alkalmazásokat a használatot követően bezárom.
Az informatikai eszközök, adatok magánhasználatra történő alkalmazásának elkerülése érdekében:
• Nem használom öncélú gazdasági haszonszerzésre vagy játékra az ONYF által rendelkezésemre bocsátott számítógépet, szoftvert, nyomtatót, és egyéb perifériákat.
• Nem másolom le az alkalmazásra nálam telepített szoftvert. • Magáncélra adatokat nem rögzítek és rögzített céges adatokat engedély nélkül nem viszek ki az ONYF területéről, telephelyeiről.
• Az ONYF területére, telephelyeire személyi tulajdonú adatrögzítésre alkalmas eszközt (pl.: CD írót, DVD írót, pendrive-ot stb.) engedély nélkül nem viszek be.
Szoftverek jogtisztaságának megőrzése:
• Az ONYF számos külső cégtől vásárolja meg a számítógépes szoftverek licenc engedélyét. Az ONYF a szoftver felhasználói szerződéssel nem válik a szoftverek tulajdonosává, és azok dokumentációját és az adathordozókon tárolt program példányait a szoftver tulajdonosának külön engedélye nélkül nem áll jogomban reprodukálni.
• Amennyiben tudomásomra jut, hogy a megvásárolt szoftvert, vagy azzal kapcsolatos dokumentációt nem a fentiek szerint használják, akkor azt a hibák mielőbbi kijavítása érdekében köteles vagyok jelenteni a munkáltatói jogkör gyakorlójának.
• Tudomásul veszem, hogy az illegális szoftvermásolásban résztvevő személy kártérítésre kötelezhető, ezenkívül a Btk. 329/A. §-ában meghatározott büntetéssel sújtható.
Jelentési kötelezettségeim: Amennyiben tudomásomra jut, hogy a fenti szabályokat az ONYF bárki megsérti, azt köteles vagyok jelenteni a közvetlen vezetőmnek és az Informatikai Biztonsági Felelősnek.
221
Az ONYF információs rendszereinek használata során birtokomba kerülő szervezeti titkokat és személyes adatokat (Személyes adatok védelméről szóló 1992. évi LXIII Törvény 5. §) megőrzöm. Amennyiben munkakörömhöz szerzői jogi oltalom alá eső szoftver(ek) fejlesztése tartozik és a szoftvert valóban a munkaviszonyból folyó kötelességem teljesítése során, vagy az ONYF rendelkezése alapján hoztam létre, úgy az ONYF jogosult a szerzői jogi oltalom alá eső szoftver(ek) minden gazdasági jogosultságának gyakorlására. Az ONYF ezen jogai a munkaviszony megszűnése után is, - a szerzői jogi védelem időtartamára - fennmaradnak. (Szerzői jogról szóló 1999. évi LXXVI. Törvény) Kijelentem, hogy az itt leírtakat megértettem és azokat magamra nézve kötelezőnek elismerem. Tudomásul veszem, hogy amennyiben a „Felelősségi nyilatkozat”-ban leírtakat megszegem, úgy munkajogi, kártérítési és büntetőjogi felelősségem áll fenn.
................................., 20.............. hó …….. nap
................................................... munkavállaló
222
20 Az informatikai biztonsági rendszer működtetése 20.1 Megfelelés a jogszabályoknak és a belső szabályzatoknak Az ONYF működésének követni kell a rá vonatkozó törvényi előírásokat és jogszabályokat, valamint a jelen IBSZ-en túl a következő belső szabályzatokat: •
2005. évi XC. törvény az elektronikus információszabadságról
•
A közigazgatási hatósági eljárás és szolgáltatás általános szabályairól szóló 2004. évi CXL. Törvény
•
A személyes adatok védelméről, és nyilvánosságra hozataláról szóló 1992. évi LXIII. törvény
•
BTK
•
Az ONYF hatáskörét szabályozó rendelet
•
A Minisztérium Informatikai Biztonsági Szabályzata
•
Az ONYF Adatvédelmi Szabályzata
•
A ONYF Szervezeti és Működési Szabályzata
•
Az ONYF Biztonsági irányelvei („ Biztonságpolitikája”)
•
A nyugdíjbiztosítási igazgatási szervek Szervezeti és Működési Szabályzatai
20.2 Helyesbítő és megelőző óvintézkedések rendszere (korrekció és prevenció) Azokra a fenyegetettségekre, amelyekre szabályzatban rögzített eljárások, előírások, illetve a technikai eszközök nem adnak megoldást, az alábbi eljárásrendet kell alkalmazni: •
Az informatikai biztonsági rendszerrel kapcsolatos meg- nem-felelőségekről, nem megfelelő működésekről, észrevételekről, javaslatokról az ONYF bármely dolgozója köteles tájékoztatni az Informatikai Ügyfélszolgálatot („Help Desk”-et), illetve az Informatikai Biztonsági Felelőst.
•
Az Informatikai Biztonsági Felelős az igényeket, bejelentéseket megvizsgálja, azokra intézkedési terveket dolgoz ki, amelyeket az ONYF főigazgatója elé terjeszt jóváhagyásra. Jóváhagyás esetén az informatikai biztonsági rendszert az Informatikai Biztonsági Felelős felügyelete mellett fejleszteni, módosítani kell.
223
21 Informatikai folyamatok biztonsága 21.1 Tűzfalak A nyilvános hálózatokhoz történő kapcsolódás vonatkozásában megfelelő tűzfalakat kell kialakítani a szolgáltatás megtagadása, illetve a belső erőforrásokhoz történő jogtalan hozzáférések megakadályozása érdekében. Minden alkalmazással illetve infrastruktúrával kapcsolatos tevékenységhez kötődő információáramlást ellenőrzés alatt kell tartani mindkét irányban, és meg kell védeni a túlterheléses támadással szemben. A tűzfalaknak aktív védelmet kell nyújtaniuk, megakadályozva az illetéktelen hozzáférést a tűzfal által védett adatokhoz, adatbázisokhoz. Tűzfallal kell védeni a központi rendszereket, és el kell választani egymástól a produktív, a tesztelői és a fejlesztői környezetet annak érdekében, hogy egyrészt az adatokhoz csak dedikált, ellenőrzött utakon juthassanak el a felhasználók, másrészt kizárólag az arra jogosult felhasználók férhessenek a számukra engedélyezett adatállományokhoz. A központi rendszerek tűzfalai által biztosított védelem tervezése az adott rendszerhez tartozó ügyvitelszervezés, üzemeltetés és rendszerfelügyelet feladata. Az ONYF tűzfalainak karbantartása a hálózatüzemeltetés feladata. A karbantartás ellenőrzése az Informatikai Főosztály vezetőjének felelőssége. 21.1.1
FELÜGYELET
21.1.1.1 Informatikai szolgáltatásokra vonatkozó független biztonsági és belső ellenőrzési tanúsítás/hitelesítés Az ONYF a jövőben törekszik arra, hogy a kritikus fontosságú új informatikai szolgáltatások bevezetése előtt független szakértői tanúsítást/hitelesítést szerezzen az érintett rendszerek biztonsági és belső ellenőrzési eljárásaira vonatkozóan. A szolgáltatás bevezetését követően rendszeres időközönként meg kell újítani a korábban szerzett szakértői tanúsítást/hitelesítést. 21.1.1.2 Külső szolgáltatókra vonatkozó független biztonsági és belső ellenőrzési tanúsítás/hitelesítés Az ONYF a jövőben törekszik arra, hogy külső szolgáltatók szolgáltatásainak igénybe vétele előtt független szakértői tanúsítást/hitelesítést szerezzen az adott szolgáltató biztonsági és bel-
224
ső ellenőrzési eljárásairól. A szolgáltatás bevezetését követően rendszeres időközönként meg kell újítani a korábban szerzett szakértői tanúsítást/hitelesítést. 21.1.2
HÁLÓZATMENEDZSMENT
Az informatikai hálózatok biztonsága vonatkozásában az informatikai biztonsági irányelvek (politika) rendelkezéseit be kell tartani, a hálózaton keresztül hozzáférhető adatok kezelésénél figyelembe kell venni.
21.2 Informatikai rendszerek tervezése és jóváhagyása Az informatikai rendszerek, vagy az egyes rendszerelemek tervezéskor a funkcionalitáson, a gazdaságosságon túl a biztonsági szempontokat is figyelembe kell venni. Az Informatikai Biztonsági Felelősnek a teljes tervezési ciklust felügyelni kell annak érdekében, hogy tervezéskor a biztonsági megoldások is hangsúlyt kapjanak. A tervezés során általában az alábbi biztonsági szempontokat kell figyelembe venni: •
A rendszer együttműködése a meglévő rendszerelemekkel.
•
Beépített biztonsági megoldások .
•
Az informatikai rendszer hozzáférési megoldásai (jogosultság kezelés, titkosírás, stb.)
•
Az informatikai rendszer rendelkezésre-állást támogató megoldásai (karbantarthatóság, javíthatóság, van-e támogatás, mentések végrehajthatósága, stb.).
•
Az informatikai rendszer menedzselhetősége (központilag menedzselhető, vagy helyileg).
•
Az informatikai rendszer ellenőrizhetősége (naplózhatók-e a kritikus folyamatok, távoli elérés biztosított-e, stb.) .
21.2.1
AZ INFORMATIKAI ESZKÖZÖK BESZERZÉSÉNEK BIZTONSÁGA
Az informatikai eszközök (hardver, szoftver) beszerzésének biztonsága érdekében az ONYFre központilag kidolgozott szabályokat, eljárásokat kell foganatosítani annak érdekében, hogy biztosítható legyen az eszközök funkcionalitása, homogenitása, illetve a rendszer előírt biztonsága.
21.2.1.1 Standard szoftverek beszerzése, nyilvántartása
225
A standard szoftverek (operációs rendszerek, alkalmazói szoftverek, office programcsomagok, rendszerfelügyeleti programcsomagok, stb.) beszerzését, nyilvántartását a szoftverek fejlesztésére, beszerzésére, illetve nyilvántartására vonatkozó utasítások határozzák meg. A központi eszköznyilvántartás a felhasználói számítógépekre telepített szoftverek típusát, verzióját automatikusan, minden bekapcsolás után lefutva gyűjti és naprakészen tárolja. A standard szoftverek licenceinek nyilvántartása és az eredeti példányok őrzése az ONYF-en az Informatikai Eszközgazdálkodási és Adatvédelmi Osztály megbízott eszköznyilvántartó munkatársának, az igazgatási szerveknél a rendszergazdáknak a feladata. A tárolást, őrzést páncélszekrényben, biztonsági zárral védett helyiségben kell megoldani. 21.2.1.2 Standard szoftverek üzemeltetése A programok jogszerű használatáért a felhasználók felelősséggel tartoznak. A rendszergazdák, valamint a felhasználók a jogszabályi előírások megszegése esetén a munkáltatónak okozott kárért a Ktv. IV. fejezetében leírtak szerint, harmadik személyeknek okozott kárért pedig a polgári jog általános szabályai szerint felelnek. Az egyéb jogviszonyban álló felhasználók és informatikusok a programok jogszerű használatáért (nyilvántartásba vétel, telepítés, őrzés) büntetőjogi felelősséggel tartoznak. Az adatkezelő alkalmazói rendszerek használatbavételével, telepítésével, cseréjével, a vonatkozó tevékenységek dokumentálásával és a felhasználói jogosultságokkal kapcsolatos tevékenységeket az adatvédelem szempontjai szerint kell végrehajtani. Az ONYF Informatikai és Rendszerfejlsztési főigazgató-helyettese, vagy az igazgatási szerv vezetője által nem engedélyezett szoftverek telepítése az ágazat gépeire tilos! 21.2.1.3 A szoftverek használatának ellenőrzése A szoftverek jogszerű használatának ellenőrzését, a központi eszköznyilvántartó rendszeren keresztül az eszköznyilvántartónak országosan, a rendszergazdának helyi szinten, szúrópróbaszerűen kell elvégeznie. A felhasználói gépen az ellenőrzés során talált, meg nem engedett szoftverek használatának megszüntetésére, az illegális szoftver törlésére a felhasználót fel kell szólítania. A szoftver- és hardver-licensz megállapodások előírásainak betartását rendszeresen ellenőrizni kell. 21.2.1.3.1 Szoftverek tárolása
226
Ki kell jelölni egy megfelelő állománytárolási területet (könyvtárt) a fejlesztési életciklus különböző fázisaiban lévő minden egyes érvényes szoftverelem számára. Ezeket a területeket el kell választani egymástól, valamint a fejlesztési, tesztelési és az üzemelési adatokat tároló területektől.
21.3 Az üzemeltetés biztonsága A megbízható és biztonságos üzemeltetés érdekében szabályokat, eljárásokat kell kidolgozni az informatikai rendszerhez kapcsolódó folyamatok - javítások, karbantartások, szoftvertelepítések és beállítások, stb. - végrehajtására. A szabályokat, eljárásokat össze kell hangolni az érvényben lévő informatikai biztonsági szabályokkal, eljárásokkal. Az üzemeltetési eljárásokat dokumentálni szükséges annak érdekében, hogy az elvégzett feladatok nyomon követhetőek legyenek. Az informatikai rendszerterveket, és a biztonsági megoldásokat tartalmazó egyéb dokumentumokat nem nyilvános információként kell kezelni. Az üzemeltetési dokumentációk elkészítéséről az üzemeltetésért felelős vezető gondoskodik. Az Informatikai Biztonsági Felelős feladata a dokumentációk félévenkénti felülvizsgálata. 21.3.1
ÜZEMELTETÉSI NAPLÓ
Gondoskodni kell arról, hogy az üzemeltetési naplókban rögzítésre kerüljenek azok a szükséges kronológiai információk, amelyek lehetővé teszik az adatfeldolgozási folyamatok és a feldolgozáshoz kapcsolódó és azt segítő egyéb tevékenységek idősorrendjének rekonstruálását, áttekintését és kivizsgálását. 21.3.1.1 Üzemeltetés biztonsága és belső ellenőrzés rendszeres felülvizsgálata Gondoskodni kell az üzemeltetési biztonság és a belső ellenőrzés rendszeres felülvizsgálatáról, és ennek kapcsán önértékelés vagy független ellenőrzés formájában meg kell vizsgálni, hogy a biztonsági és belső ellenőrzési eljárások a meghatározott, illetve alkalmazott biztonsági és belső ellenőrzési követelményeknek megfelelően működnek-e, vagy sem. Az Informatikai Főosztály vezetésének, felügyeleti feladatai keretében, fel kell tárnia a sebezhető pontokat és a biztonsági problémákat. 21.3.1.2 Az üzemeltetésbiztonság további feltételei 227
Az adatbiztonság megköveteli, hogy az ágazat – a folyamatos rendelkezésre-állás biztosításához – megfelelő mennyiségű, összetételű, és minőségű tartalék eszközzel rendelkezzen. A tartaléknak kijelölt, napi használatból kivont eszközök státuszát és a státusz változását a kivonás napján a rendszergazdának a MÁGNES rendszerben jelölnie kell. Elemi csapás, a géptermek részleges vagy teljes károsodása esetén, valamint a hardver és szoftver eszközök kritikus mértéket meghaladó működésképtelensége esetén követendő eljárásokra Katasztrófa elhárítási tervet kell készíteni (COBIT DS10). A Katasztrófaterv elkészíttetéséért, felülvizsgálatáért és aktualizálásáért az Informatikai Főosztály vezetője a felelős. A tartaléknak kijelölt eszközök merevlemezeit a tárolási helyre szállítás előtt felülírásos formattálási eljárással le kell formázni, hogy a későbbi hasznosítás során az adatok ne kerülhessenek illetéktelen személyek birtokába. Ugyanígy kell eljárni a dolgozók körében értékesítésre kijelölt számítógépek merevlemezeivel is, valamint a merevlemezekkel a számítógépek selejtezése előtt.
21.4 A fejlesztés biztonsága A biztonságos fejlesztés érdekében ki kell dolgozni a fejlesztési folyamatot, a hozzátartozó feladatokkal, és felelősségekkel annak érdekében, hogy az informatikai biztonsági elvárások maximálisan érvényesíthetők legyenek a fejlesztés folyamatában, és a fejlesztett rendszerekben. A fejlesztés folyamatait dokumentálni kell. Az informatikai biztonsági előírásokat érvényesíteni kell a fejlesztéssel kapcsolatos szerződésekben, megállapodásokban. A fejlesztési dokumentációk elkészítéséért a fejlesztésért felelős vezető gondoskodik. A fejlesztési dokumentációkat, valamint az elkészült forráskódokat nem nyilvános minősítésű információnak kell tekinteni. A fejlesztési dokumentációk biztonságos tárolásával kapcsolatos ellenőrzése az Informatikai Biztonsági Felelős feladata 21.4.1
BIZTONSÁGI ESEMÉNYEK KEZELÉSE
Az ONYF-nél biztonsági eseménynek számít minden, az informatikával kapcsolatba hozható rendellenes működés, fenyegetés, amely az adatok bizalmasságát, sértetlenségét, vagy rendelkezésre állását veszélyezteti. Az ONYF információ-kezelő rendszerének használója köteles értesíteni a Informatikai Ügyfélszolgálatot (“Help Desk”) az általa észlelt biztonsági eseményekről. 228
21.4.2
(OPERÁTORI ) TEVÉKENYSÉGEK NAPLÓZÁSA
Az ONYF-nél a központi üzemeltetési rendszereken végzett operátori tevékenységként értelmezzük az ONYF alapfeladatát támogató informatikai rendszer üzemeltetetését, javítását, karbantartását rendszergazdai jogosultsággal végző tevékenységeket. Ezen tevékenységek megkezdését csak az ONYF Informatikai Ügyfélszolgálat(“Informatikai Ügyfélszolgálat(“Help Desk”)”) által az adott rendszergazdának elektronikus úton (e-mail) vagy, ha így nem lehetséges telefonon kiadott utasítása alapján lehet elkezdeni. A telefonon adott utasítást az elektronikus üzenetküldés útján elektronikusan is meg kell ismételni. A kiadott utasítás alapján elvégzett tevékenységeket naplózni kell írásos, vagy elektronikus formában. A nem központi üzemeltetési rendszerek esetében operátori tevékenységként értelmezzük az adott rendszer üzemeltetését, javítását, karbantartását rendszergazdai jogosultsággal végző tevékenységeket. Ezen tevékenységek megkezdését csak a helyi üzemeltetési vezető által az adott rendszergazdának elektronikus úton (e-mail) vagy, ha így nem lehetséges telefonon kiadott utasítása alapján lehet elkezdeni. A telefonon adott utasítást az elektronikus üzenetküldés után elektronikusan is meg kell ismételni. A kiadott utasítás alapján elvégzett tevékenységeket naplózni kell írásos, vagy elektronikus formában.
229
A beszerzési folyamatra vonatkozó biztonsági előírások A beszerzésekre vonatkozó felhasználói igényeket az Informatikai Főosztály specifikálja, - a célszerűségi vizsgálatot lefolytatja, és a vizsgálat eredményét dokumentumban rögzíti - melynek során figyelembe veszi a piaci kínálatot is. Az eszközök (hardver, szoftver) kiválasztásánál a gazdasági tényezők mellett figyelembe kell venni az adott eszköz által nyújtott biztonsági funkciókat, megoldásokat is. A hardver eszközök beszerzéséhez az alábbi tényezők figyelembevétele szükséges: •
A hardver funkcionalitása, erőforrásai.
•
A hardver várható rendelkezésre állása (megbízhatóság).
•
A hardver garanciális támogatása (garancia idő, tartalom).
•
A hardver support támogatása (tanácsadás, alkatrész biztosítás).
A szoftver megoldásoknál az alábbi tényezők figyelembevétele szükséges: •
A szoftver funkcionalitása.
•
A szoftver platformfüggősége.
•
Támogatja-e a szoftver a homogenitási törekvéseket.
•
A szoftver biztonsági megoldásai (jogosultság kezelés, titkosítás, stb.).
•
A szoftver menedzselhetősége.
•
A szoftverhez biztosított support.
A teljes beszerzési folyamatot, feladatokat, és felelősségeket az „Beszerzési szabályzat”-ban kell rögzíteni. A teljes beszerzési folyamatot, a szükséges feladatokat és felelősségi köröket az Informatikai főosztályvezető-helyettes saját hatáskörében határozza meg. A dokumentáltság teljeskörűségéért és megfelelőségért, a pénzügyi lebonyolítás előkészítéséért az Informatikai főosztályvezető-helyettes a felelős.
21.5 Az eszközök átvételével kapcsolatos előírások A beszerzett eszközöket a beszállítás után ellenőrizni kell, hogy mennyiségre egyezik-e a megrendelt darabszámmal, illetve meg kell győződni arról, hogy a beszállított eszközök sértetlenek-e (nincs-e a szállításból adódó fizikai sérülés). A szállítási utalványt csak akkor szabad átvenni, ha a fenti ellenőrzés során nem merült fel mennyiségi, és minőségi kifogás. A beszerzett eszközöket a használatba adásig raktáron kell tárolni.
230
21.6 Szolgáltatások minőségének ellenőrzése A szolgáltatások minőségének ellenőrzésére szolgáltatásonként kontrollokat kell felállítani. Minimális kontrollok az alábbiak: •
Szolgáltatás minőségére vonatkozó kontrollok.
•
A szolgáltatás rendelkezésre-állása (Pl.: Internet esetén kiesett órák száma).
•
A szolgáltatás minősége (Pl. Internet esetén sávszélesség).
•
A szolgáltató megbízhatóságára vonatkozó kontrollok.
•
A szolgáltató rendelkezésre állása.
•
A szolgáltató együttműködési készsége.
•
A szolgáltató szakmai kompetenciája.
A szolgáltatások minőségének ellenőrzését az üzemeltetésért felelős szervezet végzi.
231
22 Az üzemeltetéshez kapcsolódó védelmi intézkedések 22.1 Az üzemeltetési folyamatok szabályozása Az üzemeltetési folyamatok részletes szabályozását az „informatikai üzemeltetési szabályzat”-ban kell megvalósítani. Az üzemeltetési szabályzatnak az alábbi területek részletes szabályozását kell tartalmaznia: •
Eseménykezelés:
Tartalmazza az üzemeltetés során bekövetkezett, a normál működéstől eltérő események bejelentésével, kezelésével kapcsolatos eljárásokat, feladatokat, felelősségeket. •
Problémakezelés:
Tartalmazza az ismert üzemeltetési események elhárítására kialakított eljárásokat, feladatokat, és felelősségeket •
Konfigurációkezelés:
Tartalmazza a munkaállomások, szerverek konfigurációival kapcsolatos szabványosítási, dokumentálási, nyilvántartási előírásokat. •
Kapacitáskezelés:
Tartalmazza a munkaállomások, szerverek teljesítmény, és kapacitásnövelési igényeinek mérésével, és kielégítésével kapcsolatos eljárásokat. •
Változáskezelés:
Tartalmazza az informatikai eszközök változás kezelésével (verzióváltás, frissítések, stb.) kapcsolatos előírásokat, eljárásokat, és felelősségeket. •
Javítások:
Tartalmazza, a meghibásodott informatikai eszközök javítására vonatkozó eljárásokat, feladatokat, és felelősségeket. •
Karbantartások:
Tartalmazza, az informatikai eszközök tervszerű megelőző karbantartásával kapcsolatos eljárásokat, feladatokat, és felelősségeket.
22.2 Az üzemeltetési folyamathoz tartozó biztonsági előírások Az üzemeltetési folyamatokhoz ki kell alakítani a tevékenység-felelősség mátrixot, amelyben az alábbi felelősségeket kell megállapítani: 232
•
Döntési felelősség.
•
Koordinálási / felügyeleti felelősség.
•
Végrehajtási felelősség.
•
Ellenőrzési felelősség
A feladatkörök leosztásánál ügyelni kell arra, hogy az adott feladat végrehajtását, és ellenőrzését ne végezze ugyanaz a személy. Az informatikai rendszer, vagy rendszerelemek változása (verzióváltás, frissítések) csak előzetesen sikeres tesztelés után történhet meg. 22.2.1
VERZIÓVÁLTÁS, AZ ALKALMAZÓI RENDSZER EGYÉB VÁLTOZTATÁSA A központi rendszerek verzióváltása és az alkalmazói rendszer egyéb változtatása (pl.
hibajavítás) kizárólag az ONYF Informatikai és Rendszerfejlesztési Főigazgató-helyettese engedélyével történhet a vonatkozó utasítások, körlevelek előírásainak betartása mellett. Új verzió bevezetése megfelelőségi jegyzőkönyv alapján, az üzemeltetésre való átvételt követően lehetséges. Az átadó az illetékes szakfőosztály, az átvevő az Informatikai Főosztály illetékes munkatársa. Az átadás-átvételi jegyzőkönyv mellékletei az alábbiak: •
az üzemeltetési dokumentáció,
•
szállítói adatvédelmi és adatbiztonsági nyilatkozat,
•
a tesztelés eredményéről készült jegyzőkönyv 1-1 példánya.
Az átadás-átvétel része az adott verzió forrásnyelvi programjainak átadása, melyet a fejlesztés vezetője személyesen ad át az Informatikai Főosztály adatvédelmi előadójának. Az üzemeltetésre átvett forráskódot tartalmazó adathordozó egy példányát és a jegyzőkönyv egy példányát, lezárt, lepecsételt borítékban, a rendszernév, verziószám feltüntetésével, dátummal ellátva az Informatikai Főosztály adatvédelmi előadója veszi át és helyezi el az Informatikai Főosztály páncélszekrényében. A forráskód másik példányát az üzemeltetésnek kell átadni és azt az üzemeltetés vezetője, vagy megbízottja veszi át a fejlesztés vezetőjétől, vagy annak megbízottjától. A verzióváltás megkezdése előtt minden esetben – az Informatikai és Rendszerfejlesztési főigazgató-helyettes által kiadott utasítással összhangban – visszaállítási tervet kell készíteni az üzemeltetés vezetőjének felelősségi körében. A tervnek olyan mélységűnek kell lennie, hogy annak alapján a verzióváltás folyamatának minden lépése utólag visszakövethető és ellenőrizhető legyen.
233
A tervet jóváhagyásra be kell mutatni az Informatikai Főosztály vezetőjének, aki a tervvel kapcsolatban minőségbiztosítási szakvéleményt kérhet.
22.2.1.1 Rendszerszoftverek installációja Gondoskodni kell arról, hogy a rendszerszoftverek installációjára a technológiai infrastruktúra beszerzésére és karbantartására vonatkozó előírásoknak megfelelően kerüljön sor. Az “éles” üzemi bevezetés engedélyezése előtt tesztelni kell a rendszerszoftvereket. Egy a felhasználóktól és a fejlesztőktől független csoportnak ellenőriznie kell a programok és adatok könyvtárak közötti mozgását. A kritikus eszközökön történő változás esetén, amely veszélyeztetheti az eszköz rendelkezésre állását, a változás előtt mentést kell végrehajtani. A javítási, karbantartási és szolgáltatási szerződésekben az eszközök által kezelt adatok rendelkezésre állási követelményeihez igazodó rendelkezésre állási időket kell érvényesíteni. Az informatikai rendszert folyamatosan monitorozni kell. A monitorozás eredményéből, valamint az események kezeléséből származó információkból statisztikákat, kimutatásokat kell készíteni, hogy a rendszerek megbízhatósága, rendelkezésre állása mérhető legyen. 22.2.2
EGYÉB ADATBÁZISOKKAL KAPCSOLATOS TEVÉKENYSÉGEK A rendszerek helyfoglalásairól az üzemeltetésnek negyedévente adatot kell szolgáltat-
nia az Informatikai Főosztály adatvédelmi előadója részére. A központi adatbázisokat évente legalább egy alkalommal reorganizálni kell. A reorganizációs folyamat leírását az üzemeltetési kézikönyveknek kell tartalmaznia. A reorganizáció időpontját az érintett főosztályok egyetértésével, - különös tekintettel a Rendszerfejlesztési és -felügyeleti Főosztályon folyó fejlesztések zavartalanságára - mindenképpen a nyugdíjbiztosítási feladatok teljesítésének zavarása nélkül, az üzemeltetés vezetőjének javaslata alapján az Informatikai Főosztály vezetője határozza meg. Az Informatikai Főosztály vezetője az érintett szervezeti egységeket a reorganizációs eljárás megkezdésének időpontjáról és várható időtartamáról körlevélben értesíti. A reorganizáció utáni visszatöltés teljességének ellenőrzése az üzemeltetés vezetőjének a feladata.
234
23 Alkalmazásfejlesztés 23.1 Szakmai követelmények megfogalmazása •
Az ágazatban ki kell dolgozni egy egységes fejlesztési módszertant. A fejlesztési módszertan kidolgozásáról az ONYF Rendszerfejlesztési és -Felügyeleti Főosztály vezetője gondoskodik. A fejlesztési módszertant úgy kell megválasztani, hogy: •
Lehetőleg biztosítsa a fejlesztő cégtől való kellő függetlenséget. Legyen lehetőség a szakmai folyamat javítására a fejlesztő cég fejlesztői tevékenységének esetleges megszűnése esetén is.
•
Az Informatikai Biztonsági Felelős, és a szakmai szervek delegálása biztosított legyen a fejlesztési projektekben.
•
Biztosítsa az informatikai biztonsági követelmények érvényesítését az alkalmazás specifikációjában.
•
A fejlesztés minden egyes lépésének (igénylés, tervezés, specifikáció, tesztelés, bevezetés) dokumentálásáról kötelezően gondoskodjék.
•
A fejlesztéssel kapcsolatos szerződéseket az Informatikai Biztonsági Felelősnek véleményezni szükséges.
•
A fejlesztett alkalmazásokat a rendszerbeállítás előtt tesztelni kell. A teszteléseket legalább három szinten kell elvégezni: o Meg kell követelni a fejlesztőtől, hogy az alkalmazását tesztelje. o Az ONYF központi fejlesztésű rendszerei esetén az ONYF Rendszerfejlesztési és Felügyeleti Főosztályon, nem központi fejlesztésű rendszerek esetén az adott területen, az erre kijelölt tesztkörnyezeten kell tesztelni a fejlesztett alkalmazás funkcionalitását, alapvető működési és biztonsági funkcióinak működését. o A felhasználóknak - még mindig tesztkörnyezetben- kell tesztelni az alkalmazás, funkcionalitását, illetve az egyes funkcióinak elvárt módon való működését.
•
Az implementáció során az üzemeltetés számára át kell adni azokat a dokumentumokat, amelyek az üzemeltetéshez, és a felhasználó támogatáshoz elengedhetetlenek.
235
•
Az üzemeltetési dokumentációkat rendezett formában kell tárolni, és biztosítani kell, hogy azokhoz csak az férjen hozzá, akinek a munkájához feltétlenül szükséges.
23.2 Alkalmazásfejlesztéssel kapcsolatos szerződések tartalmi követelményei Az alkalmazásfejlesztésekkel kapcsolatos szerződések tartalmazzák az alábbi követelményeket: •
A vállalkozóval szemben támasztott titoktartási követelményeket.
•
A szellemi tulajdonjogok tisztázására vonatkozó megegyezéseket.
•
A fejlesztett alkalmazással kapcsolatos garanciális megegyezéseket.
•
Az alkalmazással átadandó dokumentumok listáját, és azok tartalmával kapcsolatos esetleges követelményeket.
•
A forráskódok biztosításával kapcsolatos megegyezéseket.
•
Az alkalmazásba fejlesztendő biztonsági megoldások körét
•
A fejlesztett alkalmazás (termék) átadásának, átvételének eljárását
23.3 Dokumentációval kapcsolatos követelmények A fejlesztés során a fejlesztőtől - független attól, hogy külső, vagy belső fejlesztő - az alábbi dokumentumokat kell minimálisan megkövetelni: •
Rendszerterv: amely tartalmazza a fejlesztett alkalmazás:
leírását, a beépített funkciókat;
logikai moduljainak funkcionális felépítését, leírását;
futtatásához szükséges hardver, és szoftver környezet leírását;
erőforráskönyvtárainak, állományainak, adatállományainak (fájljainak) megnevezését, elérhetőségét;
•
•
kapcsolatait más alkalmazásokkal (ha van ilyen).
Felhasználói utasítás, amely tartalmazza:
az alkalmazás indításával, inicializálásával kapcsolatos információkat,
az alkalmazás használatához szükséges eljárásokat, vezérléseket.
Üzemeltetési utasítás, amely tartalmazza:
az alkalmazás installálásának, frissítésének követelményeit, folyamatát.
az alkalmazás jogosultág kezelésével kapcsolatos utasításokat; 236
•
az alkalmazások (adatbázisok) karbantartási utasításait;
az alkalmazások (adatbázisok) mentésével kapcsolatos utasításokat.
Ügymenet folyamatossági tervet
237
24 Infrastrukturális rendszerfejlesztések 24.1 Szakmai követelmények meghatározása Az ágazatban ki kell dolgozni egy egységes fejlesztési módszertant. A fejlesztési módszertan kidolgozásáról az ONYF Informatikai Főosztály vezetője gondoskodik Az infrastrukturális rendszerfejlesztések tervezésekor az alábbi szempontokat kell figyelembe venni: •
A rendszer funkcionalitása, platformfüggősége, illetve annak homogenitása.
•
A rendszer teljesítmény, és kapacitás adatai.
•
A rendszer biztonsági megoldásai (pl.: jogosultság kezelés, titkosírás, stb.).
•
Alkalmazott szabványok, interfészek.
•
A rendszer menedzselhetősége.
•
A rendszerhez nyújtott garanciák, és támogatás tevékenységek.
•
A megoldást szállító cég referenciái.
•
A rendszer bevezetésének folyamatát az Informatikai Biztonsági Felelősnek végig kell kísérni. A fejlesztéssel kapcsolatos szerződéseket az Informatikai Biztonsági Felelősnek véleményezni szükséges
24.2 Infrastrukturális fejlesztéssel kapcsolatos szerződések tartalmi követelményei Az infrastrukturális rendszerfejlesztésekkel kapcsolatos szerződések tartalmazzák az alábbi követelményeket: •
A vállalkozóval szemben támasztott titoktartási követelményeket.
•
A rendszerrel kapcsolatos garanciális-, és támogatási szerződéseket.
•
Az rendszerrel átadandó dokumentumok listáját, és azok tartalmával kapcsolatos esetleges követelményeket.
24.3 Dokumentációval kapcsolatos követelmények Az infrastrukturális rendszerfejlesztések alkalmával az alábbi dokumentációkat kell elkészíteni: •
Rendszerterv, amely tartalmazza:
A bevezetésre kerülő rendszer leírását, funkcióit 238
A bevezetésre kerülő rendszer logikai, és fizikai moduljainak funkcionális felépítését, leírását
A bevezetésre kerülő rendszer illeszkedését a jelenlegi rendszerekhez, alkalmazott interfészek, szabványok leírását.
•
Üzemeltetési utasítás, amely tartalmazza:
A rendszer elhelyezésével kapcsolatos követelményeket.
A rendszer üzemelési paramétereinek leírását (áramellátás, hőmérséklet, stb.).
24.3.1
A rendszer installálásával kapcsolatos utasításokat.
A rendszer karbantartásával kapcsolatos követelményeket.
Hibajelzési, és javítási alaputasításokat.
ADATFELDOLGOZÁSI KÖVETELMÉNYEK MEGHATÁROZÁSA ÉS DOKUMENTÁLÁSA Az ONYF rendszerfejlesztési metodikájában elő kell írni, hogy megfelelő mechaniz-
musokat kell kialakítani az információs rendszer fejlesztési és módosítási projektekhez kapcsolódó adatfeldolgozási követelmények meghatározására és dokumentálására vonatkozóan. 24.3.2
RENDELKEZÉSRE
ÁLLÁS/ELÉRHETŐSÉG, MINT KULCSFONTOSSÁGÚ TERVEZÉSI
SZEMPONT
Az ONYF rendszerfejlesztési metodikájában elő kell írni azt, hogy a rendelkezésre állás/elérhetőség szempontját az új illetve módosított információs rendszerek tervezésének lehető legkorábbi szakaszában figyelembe kell venni. Elemezni kell a rendelkezésre állást, és amennyiben szükséges, a karbantarthatóság és a megbízhatóság növelésével javítani kell annak szintjét. 24.3.3
AZ
ADATOK SÉRTETLENSÉGÉT, ÉPSÉGÉT BIZTOSÍTÓ FUNKCIÓK A FELHASZNÁLÓI
PROGRAM - SZOFTVEREKBEN
Az ONYF-nek ki kell alakítania azokat a megfelelő eljárásokat, amelyek biztosítják, ahol szükséges, hogy az alkalmazói rendszerek programjai olyan funkciókat is tartalmazzanak, amelyek rutinszerűen ellenőrzik a szoftver által elvégzett feladatokat, segítve ezzel az adatok sértetlenségének megőrzését, és amelyek gondoskodnak az adatok épségének helyreállításáról a tranzakciók visszagörgetése illetve más eszközök révén.
239
25 A személyekhez kapcsolódó biztonsági előírások 25.1 A személyekhez kapcsolódó biztonsági előírások Az informatikai biztonság szintjének fenntartása, mint kiemelt feladat, az ágazatban a teljes személyi állomány felelőssége. Az informatikai biztonság minimálisan betartandó előírásait az IBSZ függelékben található „Alkalmazotti nyilatkozat” tartalmazza. Az alkalmazotti nyilatkozat tudomásulvétele és aláírása az ágazatban az alkalmazás feltétele.
25.2 Fegyelmi eljárások, szankcionálások Az informatikai biztonsági előírások súlyos megsértése esetén fegyelmi eljárást kell indítani a szabálysértő személlyel szemben, ha: •
a szabálysértés valamely rendszer hozzáférési adatainak illetéktelen személynek történő tudomására hozatalával (pl.: személyes jelszó elmondása, vagy hozzáférhető helyre történő feljegyzése) kapcsolatos;
•
a szabálysértés következtében az ONYF „Szolgálati használatra”, vagy annál magasabb minősítésű adata, dokumentuma kerül illetéktelen kezekbe;
•
a szabálysértés következtében az ONYF „Kiemelten fontos”, vagy annál magasabb rendelkezésre állás szerint minősített adata, dokumentuma a rendelkezésre állási követelménynek nem tud eleget tenni;
•
a szabálysértő az ONYF „Védett”, vagy annál magasabb sértetlenség szerint minősített adatát, dokumentumát szándékosan meghamisította;
•
a szabálysértés következtében az ONYF biztonsági rendszerének védelmi megoldásai illetéktelenek kezébe jutottak;
•
a szabálysértés következtében bekövetkezett vagyoni hátrány (vagyoni kár, többletköltség) eléri a 10 000 forintot, a szabálysértővel kapcsolatban anyagi felelősséget is meg kell állapítani;
•
törvénysértés esetén:
a szabálysértés következtében súlyosan sérülnek a személyes adatok védelméről, és nyilvánosságra hozataláról szóló jogszabályok;
bűncselekmény gyanúja áll fenn.
240
Az informatikai biztonsággal kapcsolatos fegyelmi eljárás lefojtatását az alábbi személyekből álló bizottság hajtja végre: •
informatikai üzemeltetésért felelős vezető, vagy az általa delegált személy;
•
HR vezető, vagy az általa delegált személy;
•
a szabálysértő személy közvetlen munkahelyi vezetője;
•
az Informatikai Biztonsági Felelős, vagy Informatikai Biztonsági Összekötő/adminisztrátor.
Amennyiben a fegyelmi eljárás a felsorolt személyek valamelyikére irányul, új tagot kell kijelölni. Ha a felhasználó által okozott szabálysértés anyagi kárral is jár, anyagi felelősséget is meg kell állapítani, és az okozott kárt a törvényeknek megfelelően ki kell fizettetni a kár okozójával.
25.3 Informatikai biztonság tudatosítása A személyi kockázatok csökkentése érdekében meg kell oldani az ágazat informatikai rendszerei felhasználóinak, valamint üzemeltetőinek, és fejlesztőinek biztonsággal kapcsolatos tudatosítását. Az informatikai biztonság oktatása az ONYF-nél központilag kerül koordinálásra, az alábbiak szerint: •
az Informatikai Biztonsági Felelős elkészíti az „Oktatási tematikát”, melyet minden év január 15-ig átad az ONYF Humánpolitikai és Képzési Főosztályának. Az oktatási tematika részletesen tartalmazza az oktatási témákat, amelyeket tárgyévben oktatni kell;
•
az ONYF Humánpolitikai és Képzési Főosztálya az oktatási tematika alapján elkészíti az „informatikai biztonsági oktatási tervet”, amely tartalmazza: - az oktatási napokat, naponként témákra lebontva; - az oktatás feltételeinak biztosítását (oktatás helye, vagy eszköze);
Az informatikai biztonság oktatásában az e-learning rendszert kell előnyben részesíteni. A vizsgázókat minden esetben be kell számoltatni, a vizsgán való részvételt minden vizsgázónak aláírásával kell igazolni. Sikeres vizsga esetén a vizsgázónak ún. „Látogatási bizonyítványt” kell átadni.
241
25.3.1
KÜLSŐ SZEMÉLYEK ÁLTALI HOZZÁFÉRÉSEK
Az ONYF informatikai rendszerein, személyes jelenléttel csak engedéllyel rendelkező külső felhasználók dolgozhatnak. Ebben az esetben a munkát csak felügyelet mellett végezhetik. Ez alól kivételt képeznek az ONYF ügyfelei által használt öninformációs rendszerek, eszközök. Külső személyeknek a munkavégzés alatt „Látogató” kitűzőt kell viselniük. Az informatikai rendszeren történő munkavégzéshez hozzáférést csak a szerződésben rögzített munkához szükséges, és elégséges jogosultságokkal kell biztosítani. Külső személynek távoli elérés csak különösen indokolt esetben, a külső személy (cég) megbízhatóságáról történő meggyőződés után biztosítható. Az engedély kiadásában •
az ONYF központi üzemeltetésű rendszerei esetén az Informatikai Biztonsági Felelősnek vétójoga van. A vétójog a jogosultság szerződésben rögzített tartalmára, illetve a jogosultság kiadására terjed ki. A vétójogot csak az ONYF főigazgatója utasítására lehet feloldani. Ebben az esetben a jogosultsággal kapcsolatos kockázatokat az ONYF főigazgatója felvállalja.
•
Az ONYF nem központi üzemeltetésű rendszerei esetén az adott igazgatási szerv informatikai biztonsági rendszergazdájának vétójoga van. A vétójogot csak az adott igazgatási szerv igazgatójának utasítására lehet feloldani. Ebben az esetben a jogosultsággal kapcsolatos kockázatokat az adott igazgatási szerv igazgatója felvállalja.
Külső személyek hozzáféréseit minden esetben naplózni kell. 25.3.2
A FELHASZNÁLÓK JOGAI
A felhasználóknak joga van a rendelkezésükre bocsátott informatikai eszközök szabályszerű, rendeltetésszerű használatára a saját munkájuk támogatása érdekében. A felhasználóknak joga van a számítógépes tevékenységük során felmerült problémák, akadályok elhárításához támogatást kapni. A segítségnyújtáshoz az igényt aInformatikai Ügyfélszolgálatnál (Help Desk) kell bejelenteni. A felhasználónak joga van a reá vonatkozó törvények, és szabályzatok megismeréséhez. A felhasználónak joga van a munkájához szükséges informatikai biztonsági eljárások, ismeretek megismeréséhez. A felhasználóknak joga van megtagadni a számítógépes munkát, ha •
a számítógépes munka súlyos törvénysértéshez, vagy bűncselekményhez vezet;
•
a tevékenység veszélyezteti az informatikai rendszer rendelkezésre állását. 242
A felhasználóknak joga van a számítógépes munkával kapcsolatos sérelmeinek jogorvoslati kezelésére. Jogorvoslati kérdésekben az ONYF, és a nyugdíjbiztosítási igazgatási szervek jogásza áll rendelkezésre. 25.3.3
A FELHASZNÁLÓI FELELŐSSÉGEK
A felhasználó általában felelősséggel tartozik: •
a vonatkozó törvények betartásáért;
•
az ONYF szabályzataiban megfogalmazott előírások betartásáért,;
•
az „Alkalmazotti nyilatkozatban” felelősséggel vállalt előírások betartásáért;
•
a törvényekben, szabályzatokban megfogalmazott előírások bárki által történő megszegésének jelentéséért;
•
Az informatikai biztonságért felelős személyekkel való együttműködésért.
A felhasználó által használt egyedi azonosítók és jelszavak, melyek a munkakörhöz szükséges adatállományokhoz való hozzáférést biztosítják, senkinek át nem ruházhatók, más munkatárs, vagy harmadik személy számára való felfedésük, átadásuk bármilyen formában szigorúan tilos. 25.3.4
FELHASZNÁLÓI NYILVÁNTARTÁSOK FELHASZNÁLÓI KONTROLLJA A felhasználóknak a rendszeresen ellenőrizniük kell saját felhasználói nyilvántartásaik
adatait. Emellett olyan információs mechanizmusokat is ki kell alakítani, amelyek lehetővé teszik a szokásos tevékenység áttekintését és egyúttal időben figyelmeztetnek a szokatlan esetekre.
243
26 A nem-kívánt programok (vírusok, trójai falovak, „spyware”, stb.) elleni védelem 26.1 Vírusvédelmi szabályok 26.1.1
ROSSZINDULATÚ PROGRAMOK ELLENI VÉDEKEZÉS ALAPJAI
26.1.1.1 Vírusvédelmi események A fertőzés nagyságától függően az alábbi területeket különböztetjük meg: •
elszigetelt: ha az ONYF területén, 24 órán belül legfeljebb 100, egy intézményben legfeljebb 10 fertőzés fordul elő, és egy védendő eszközön sem ismétlődött a fertőzés,
•
ismétlődő: ha egy bizonyos eszköz egy nap többször, vagy több egymás utáni napon megfertőződik;
•
sorozatos: ha 24 órán belül az ONYF területén 100-300, egy intézményen belül 10-30 fertőzés történt;
•
Tömeges: fentieknél nagyobb 24 órán belüli fertőzésszám.
Fertőzés az is, amit nem a vírusvédelmi eszközök jeleznek, hanem ami a felhasználók és rendszergazdák jelzései alapján valószínűsíthető. 26.1.1.2 Események szintjei: 1. szintű vírusvédelmi eseménynek minősül, ha a víruskereső elszigetelt fertőzést észlelt, és az előírt vírusmentesítést elvégezte.
2. szintű vírusvédelmi eseménynek minősülnek a következők: •
A vírusvédelem elszigetelt fertőzést észlel, de nem tudja a vírusmentesítést elvégezni.
•
A vírusvédelem sorozatos vagy ismétlődő vírust észlelt, és a vírusmentesítést elvégezte.
•
A vírusvédelmi menedzsment munkaállomás azt észleli, hogy valamelyik kiemelt eszközön nem fut a vírusvédelem.
•
Az adatvédelmi munkaállomás azt észleli, hogy valamelyik munkaállomáson 3 napja nem fut a vírusvédelem.
244
•
A vírusvédelmi eszköz jelzi, hogy egy számítógépen 7 napnál régebbi a szignatúra. Kivételt képez az az eset, amikor a menedzsment felület a saját adatbázisa alapján azért mutat régi szignatúrákat, mert az adott számítógép több napja nincs bekapcsolva vagy már nem a hálózat része.
•
A központi vírusvédelmi eszközök valamelyikének 1 napnál hosszabb üzemképtelensége.
•
Itt fel nem sorolt egyéb esetek, amikor a vírusvédelmi rendszerbe bármi okból illetéktelenül beavatkoznak.
3. szintű vírusvédelmi eseménynek (vírusriadó) minősül: •
Tömeges vírusfertőzés.
•
Sikertelen vírusmentesítés sorozatos, vagy ismétlődő fertőzés esetén.
26.1.1.3 A valósidejű védelem kialakítása Az ágazatban a védendő eszközök hatékony védelmének érdekében valósidejű védelmet kell kialakítani. A szervereken és munkaállomásokon a valósidejű védelemnek folyamatosan bekapcsolva kell lennie, hogy biztosítsa a felhasználói munka során igénybe vett állományok (adatok, programok) használat előtti vírusellenőrzését. Biztosítani kell, hogy a munkaállomásokon a valósidejű védelmet a felhasználók ne tudják kikapcsolni. Amennyiben a valósidejű védelem a detektált vírus eltávolítására nem képes, a vírusvédelmi rendszer automatikus értesítést küld a felhasználó számára, és a fertőzés gyanús állományt a rendszer automatikusan karanténba helyezi. A vírusfertőzésről vagy annak gyanújáról a felhasználó köteles értesíteni az Informatikai Ügyfélszolgálat (Help Desk)-et. 26.1.2
MANUÁLISAN INDÍTOTT/ IDŐZÍTETT TELJES FÁJLRENDSZER ÁTVIZSGÁLÁSA
A védendő eszközökön a teljes állományrendszer vírusellenőrzését legalább heti egy alkalommal végre kell hajtani. A vírusellenőrzést ütemezve minden szerveren, és minden munkaállomáson el kell indítani.
245
Ennek érdekében a helyi vírusvédelmi eszközöket úgy kell konfigurálni, hogy a vírusvédelmi ellenőrzés abban az időszakban kerüljön végrehajtásra, amikor a napi munkát a legkisebb mértékben gátolja. A helyi vírusvédelmi eszközöknél biztosítani kell, hogy a felhasználók az ütemezett feladatokat ne tudják megváltoztatni. A munkaállomásokon talált vírusgyanú esetén a teljes fájlrendszer ellenőrzésének elindítása kötelező. A teljes fájlrendszer átvizsgálásának manuális elindítása a vírusvédelemi rendszergazda feladata. Szükség esetén a manuális átvizsgálás történhet a telepített vírusvédelmi eszközöktől független, hiteles forrásból származó, jogtiszta vírusvédelmi keresőprogramok segítségével is (a vírusvédelmi szoftverek gyártói, valamint a Microsoft rendszeresen ad ki egy konkrét fenyegetettség felismerésére, mentesítésére programot). 26.1.3
A VÍRUSVESZÉLY CSÖKKENTÉSÉNEK HARDVERES ÉS SZOFTVERES LEHETŐSÉGEI
26.1.3.1 Egyéb hálózati eszközök alkalmazása a vírusvédelemben Az ONYF-nél a vírusfertőzés veszélyének csökkentése érdekében ki kell használni azokat a rendelkezésre álló technikai eszközöket, amelyek nem vírusvédelmi feladatokat látnak el, de egyes funkcióik alkalmas a vírusok elleni védekezésre, mint például: •
a hálózati aktív eszközök (nem használt portok letiltása);
•
a tartalomszűrő eszközök (vírusok jellemző karakter sorozatainak kiszűrése);
•
betörés detektáló (IDS) eszközök.
26.1.3.1.1 Korlátozások operációs rendszer szinten A vírusvédelmi kockázatok csökkentése érdekében lehetőség szerint az operációs rendszerek szintjén korlátozásokat kell bevezetni. A korlátozások terjedjenek ki az alábbiakra: •
A munkaállomásokon és szervereken meg kell akadályozni a nem használt távdiagnosztikai portok, távoli hozzáférést biztosító szolgáltatások elérését.
•
A munkaállomásokon és szervereken meg kell akadályozni a nem használt szervizek, beépített alkalmazások hozzáférését.
A korlátozásokat a telepítő image-ben, illetve a csoportos és helyi házirendben is alkalmazni kell. 26.1.3.1.2 Szoftverek biztonsági frissítése 246
A vírusfertőzések kockázatainak csökkentése érdekében az ágazatban meg kell oldani az alkalmazott szoftverek folyamatos biztonsági frissítését. A frissítéseket úgy kell ütemezni, hogy egy sérülékenység nyilvánosságra hozatala és a biztonsági frissítése között a legkevesebb idő teljen el. Fejlesztések alkalmával kötött szerződésekben meg kell fontolni a fejlesztésre kerülő szoftver biztonsági frissítéseiről szóló utógondozási feladatokat. 26.1.3.1.3 Vírusvédelmi szignatúrák frissítése A helyi vírusvédelmi eszközök vírusadatbázis (szignatúra) elosztása három szinten történik: Felső szint: központi menedzsment szerver (Central Manager System) A vírusvédelmi eszközök műszaki dokumentációjában rögzített időpontokban (de legfeljebb hatóránként) az Internetről frissíti a vírusadatbázist a szoftver gyártója által leírt módon, elérhetővé teszi azokat más számítógépek számára és/vagy átmásolja a másodlagos vírusvédelmi szerverekre. Második szint: Területi menedzsment szerver (Central Manager System) A szignatúra frissítésével kapcsolatos hálózati terhelés csökkentését szolgálják. Az igazgatási szervek és működési helyek vírusvédelmi szerverei. A helyi szerverek és munkaállomások a másodlagos vírusvédelmi szerverekről frissítik az adatbázisukat. A frissítés a vírusvédelmi eszközök műszaki dokumentációjában rögzített időpontokban történik. Alsó szint: a védendő eszközök, ezek lehetnek munkaállomások és szerverek Az ONYF munkaállomásai, szerverei, amelyeken vírusvédelmi szoftver üzemel. 26.1.4
ELŐÍRÁSOK FELHASZNÁLÓK RÉSZÉRE A VÍRUSVESZÉLY CSÖKKENTÉSÉRE
26.1.4.1 Általános előírások A felhasználóknak tilos a munkaállomásukon, hordozható számítógépükön alkalmazott vírusvédelmi szoftver aktív védelmének kikapcsolás, vagy a védelmi beállításának megváltoztatása. A vírusvédelem humán kockázatainak csökkentése érdekében a felhasználóknak meg kell ismerni, és alá kell írni az „Alkalmazotti nyilatkozatot”. 26.1.4.2 Levelezés biztonsága Tilos megnyitni ismeretlen forrásból származó elektronikus levelet. A levél fertőzöttségének elbírálásához az alábbiakat kell figyelembe venni: 247
•
A levél feladója ismert személy-e, illetve várható-e levél a feladótól? Figyelem, fertőzött levél ismert személytől, vagy ismerősnek tűnő forrásból is származhat!
•
A levél tárgya: gyanús a levél, ha az nem munkaköri feladatokkal kapcsolatos.
•
A levél címzettje: fertőzött lehet a levél, ha szokatlanul sok a címzettje.
•
A levél nyelvezete: fertőzött lehet a levél, ha idegen nyelven, vagy nem a szokásos kommunikációs nyelven íródott.
•
A levél csatolmánya: gyanús lehet a levél, ha a következő kiterjesztésű csatolt állományt, .bat, .com, .exe, .dll, .sys, .bit, .pif, .hlp .txt, vagy beágyazott linket (URL) tartalmaz.
•
A csatolt kép állományok tartalmazhatnak rejtjelezett eljárással illesztett vírust, vagy egyéb ártó programokat, adatokat.
Az ágazat elektronikus levelező rendszerét magánjellegű levelezésre használni tilos! A fertőzöttnek ítélt elektronikus levelet megnyitás nélkül törölni kell. 26.1.4.3 Internetezés biztonsága Az ágazatban tilos az ügyvitellel össze nem függő Internetes oldalak látogatása, különösen tiltott fájlletöltő oldalak, Internetes játékoldalak, ún. csevegő oldalak, valamint szexuális szolgáltatásokat kínáló oldalak látogatása. Tilos az ügyvitellel össze nem függő fájlok megnyitása, letöltése az Internetről. Az ügyvitellel összefüggő letöltéseket átmeneti mappába (letöltés után létrehozandó) kell elhelyezni, majd vírusvédelmi ellenőrzésnek kell alávetni. (Az átmeneti mappát a vírusellenőrzés után törölni kell.) 26.1.4.4 Adathordozók kezelése A szerverek és munkaállomások adatmeghajtó eszközeibe tilos vírusvédelmi szempontból nem ellenőrzött adathordozót helyezni. 26.1.4.5 Vírusvédelmi biztonsági események jelentése A felhasználóknak jelenteniük kell az Informatikai Ügyfélszolgálatnak (Help Desk) a normális működéstől eltérő eseményeket. Vírusvédelmi események esetén a felhasználónak a Informatikai Ügyfélszolgálat (Help Desk) útmutatásai szerint kell eljárnia.
248
26.2 A vírusvédelem szervezeti felépítése, felelősségek, feladatok Az ágazatban a vírusvédelmet egységesen kell kezelni. A vírusvédelmi feladatok központi végrehajtására háromszintű szervezetet kell kialakítani, melynek felépítése az alábbi: 26.2.1
FELSŐ SZINT: INFORMATIKAI BIZTONSÁGI FELELŐS
26.2.1.1 Háttérfeladatok a) Rendszeresen felülvizsgálja a jelen vírusvédelmi szabályzatot, szükség esetén módosítja azt. b) Elkészíti a vírusvédelmi rendszer műszaki dokumentációját, szükség esetén elvégzi a szükséges módosításokat. c) Részt vesz a vírusvédelmi eszközök kiválasztásában, felügyeli azok rendszeresítését, és telepítését. d) Részt vesz a vírusvédelemmel kapcsolatos oktatási és tudatosítási feladatok szervezésében, és lebonyolításában.
26.2.1.1.1 Védelmi feladatok a) Folyamatosan ellenőrzi a vírusvédelmi szabályzat betartását, szükség esetén javaslatot tesz a hiányosságok megszüntetésére, vagy felelősségre vonás kezdeményezésére. b) Jóváhagyja a vírusvédelmi eszközök Vírusvédelmi szakértő által meghatározott beállításait. c) Rendszeresen értékeli a vírusvédelmi események emlékeztetőit, szükség esetén javaslatot tesz fegyelmi vizsgálat lefolytatására. d) Felügyeli a vírusvédelmi eszközök működőképességét.
26.2.1.1.2 Feladatok vírusriadó esetén a) Indokolt esetben javaslatot tesz az ONYF Informatikai és rendszerfejlesztési főigazgatóhelyettesének a vírusriadó elrendelésére. b) Információkat gyűjt a vírusfertőzés főbb jellemzőiről (fertőzés módja, mértéke, stb.). c) Meghatározza a vírusmentesítéshez szükséges mentesítési eljárásokat, megbecsüli azok erőforrás igényét, idejét. 249
d) Felügyeli a vírusmentesítés folyamatát, szükség esetén kapcsolatot tart fenn a vírusvédelmi cégek tanácsadóival. e) Folyamatosan tájékoztatja a szervezeti egységek vezetőit. . f) Felügyeli a visszaállítás folyamatát. Amennyiben minden rendszert sikerült visszaállítani normál működésre, javaslatot tesz az ONYF Informatikai és rendszerfejlesztési főigazgató-helyettesének a vírusriadó visszavonásáról. g) Kivizsgálja a fertőzés okait, szükség esetén javaslatokat tesz a vírusvédelmi rendszer módosításaira, illetve a fegyelmi eljárások végrehajtására.
26.2.2
TECHNIKAI SZINT: VÍRUSVÉDELMI RENDSZERGAZDA
26.2.2.1.1 Háttérfeladatok a) Folyamatosan tájékozódik az újabb vírusfenyegetettségekről, és vírusvédelmi eszközökről. b) Rendszeresen felülvizsgálja a vírusvédelmi eszközök beállításait, szükség esetén javaslatokat tesz azok módosítására. c) A vírusvédelmet ellátó szoftver szállítója szakértőjének jóváhagyásával meghatározza a vírusvédelmi eszközök rezidens keresési, időzített keresési, frissítési, és riasztási beállításait. d) Végrehajtja a vírusvédelmi eszközök telepítését, végrehajtja a jóváhagyott beállításokat. e) Tájékoztatást vagy oktatást tart a Informatikai Ügyfélszolgálat (Help Desk) munkatársainak a vírusvédelemről. Felkészíti a felhasználóval való kapcsolattartás feladataira. f) Tartja a szakmai kapcsolatot a vírusvédelmi szoftverek szállítójával. Ha indokoltnak látja, tanfolyam elvégzését javasolja a vírusvédelemben résztvevő szereplőknek. g) Tervezi és nyomon követi a vírusvédelmi eszközök optimális életciklusát, szükség esetén javaslatokat tesz az eszközök fejlesztésére
26.2.2.1.2 Védelmi feladatok a) Megoldja a vírusvédelemben előforduló váratlan vagy tisztázatlan technikai problémákat. Együttműködik az Informatikai Biztonsági Felelőssel azoknak a vírusforrásoknak a minimalizálására, amelyek többször is fertőzést okoztak vagy okozhatnak. 250
b) Szükség esetén az Internetről előírt rendszerességgel letölti a vírusszignatúrákat a kijelölt tároló helyre. c) 2. szintű vírusvédelmi eseménykor, indokolt esetben 3. szintű eseménykor minden esetben végrehajtja a mentesítést. Szükség esetén értesíti a vírusvédelmet ellátó cég szakembereit. d) Rendszeresen, de legalább naponta minden védendő eszközön ellenőrzi a vírusvédelem működőképességét, illetve a vírusszignatúrák frissességék. e) 1. szintű eseménynél kivizsgálja a vírus eredetét és amennyiben lehetséges mentesíti azt. Amennyiben a fertőzést emberi mulasztás okozta, vagy a jelenséget trójai- vagy kémprogram okozta, azt jelenti az Informatikai Biztonsági Felelősnek. f) A 2. vagy magasabb szintű eseményekről emlékeztetőt készít, mely tartalmazza •
az esemény fajtáját a „Vírusvédelmi események” felsorolása szerint,
•
az elhárítással foglalkozók nevét,
•
az érintett eszközöket,
•
az esemény észlelésének és az elhárítás befejezésének az idejét,
•
az esemény valószínű okát.
26.2.2.2 Feladatok vírusriadó esetén Végzi a vírus szignatúrák soron kívüli frissítését. Értesíti a vírusvédelmet ellátó szoftver szállítójának szakembereit a fertőzés tényéről. Végzi a fertőzött rendszerek vírusmentesítését. Támogatást nyújt a rendszergazdáknak a rendszerek visszaállításánál. A visszaállítás után kivizsgálja a fertőzés okát, lokalizálja annak forrását, majd jelenti az Informatikai Biztonsági Felelősnek.
26.2.3
KAPCSOLATTARTÁSI SZINT: INFORMATIKAI ÜGYFÉLSZOLGÁLAT (HELP DESK)
A INFORMATIKAI ÜGYFÉLSZOLGÁLAT (HELP DESK) FELADATAI: Fogadja és dokumentálja a felhasználóktól érkező incidensjelentéseket. A beérkező információk alapján felismeri a vírusveszélyes helyzetet és jelenti az Informatikai Biztonsági Felelősnek, és a vírusvédelmi rendszergazdának. A felhasználónak útmutatásokat ad a vírusveszély kockázatainak csökkentése érdekében. Ha a vírusvédelmi szoftvernek sikerült hatástalanítani a vírust:
251
26.2.4
•
kivizsgálja annak eredetét, szükség esetén mentesíti a forrást is;
•
értesíti az Informatikai Biztonsági Felelőst.
FELADATOK
26.2.4.1 Az Informatikai Biztonsági Összekötő/adminisztrátor feladatai Egy esetleges vírus vészhelyzet esetén a vírusvédelmet ellátó cég szakembereinek utasításai szerint segít a mentesítésben.
26.2.4.2 ONYF Informatikai főosztályvezető feladata Megszervezi a vírusvédelmi eszközök üzemeltetési feladatainak végrehajtását, úgymint: •
telepítés, konfigurálás,
•
javítás, karbantartás,
•
frissítés, verzióváltás
•
használatból kivonás.
Biztosítja a vírusvédelmi eszközök üzemeltetéséhez szükséges erőforrásokat. Biztosítja a vírusvédelmi eszközök konfigurációjának, naplófájlainak monitorozásához szükséges hozzáféréseket az Informatikai Biztonsági Felelős számára. Vírusriadó esetén: A mentesítéshez, majd a visszaállítási feladatokhoz biztosítja a szükséges technikai és emberi erőforrásokat. 26.2.4.3 Az Informatikai és rendszerfejlesztési főigazgató-helyettes feladata Vírusriadó esetén: Az Informatikai Biztonsági Felelős javaslatára elrendeli a vírusriadót. A rendszerek visszaállítása után visszavonja a vírusriadót. 26.2.5
VÍRUSVÉDELMI ESZKÖZÖK ÜZEMELTETÉSE
A vírusvédelmi eszközök üzemeltetéséért az ONYF Informatikai Főosztálya a felelős. Az üzemeltetési feladatokat az alábbiak figyelembe vételével kell végrehajtani. 26.2.5.1.1 A vírusvédelmi eszközök javítása 252
Meghibásodott központi vírusvédelmi eszközök javítása idejére, a rendelkezésre álló, tartalék vírusvédelmi eszközzel meg kell oldani a helyettesítést. Ellenkező esetben az adott szolgáltatást (Internet, E-mail) a javítás idejére szüneteltetni kell. 26.2.5.1.2 A vírusvédelmi eszközök karbantartása A vírusvédelmi eszközök bármilyen karbantartását (pl.: frissítések) úgy kell elvégezni, hogy a vírusvédelmi eszköz működőképessége biztosítható legyen. A verzióváltásokat munkaidőn kívül kell végrehajtani. 26.2.5.1.3 A vírusvédelmi eszközök mentése A vírusvédelmi eszközöket rendszeresen menteni kell annak érdekében, hogy •
Szükség esetén a vírusvédelmi képesség visszaállítható legyen
•
A vírusvédelmi eszközök által jelentett vírusvédelmi incidensek visszakereshetők legyenek
253
26.3 Vírusriadó
Vírusriadó Tevékenységek
Felelős
Output
ONYF főigazgató-helyettes A vírusriadó elrendelése
IK* : munkahelyi
vezetők
Informatikai Ügyfélszolgálat Informatikai biztonsági felelős Tájékoztatás
IK* :
munkahelyi vezetők
Informatikai Ügyfélszolgálat Vírusvédelmi Riadó hatóköre
Riadó hatókörének meghatározása
rendszergazda
Informatikaibiztonsági felelős Erőforrás-becslés
Vírusmentesítési és helyreállítási terv
Vírusvédelmi Vírusmentesítés
rendszergazda IK* : , Informatikai biztonsági felelős Rendszerüzemeltetési főosztályvezető
Vírusmentesítési napló
ONYF főigazgató-helyette Vírusriadó visszavonása
IK* :
munkahelyi vezetők
Informatikai Ügyfélszolgálat Vírusvédelmi rendszergazda Dokumentálás
, IK* : Informatikai biztonsági felelős Rendszerüzemeltetési főosztályvezető
Vírusmentesítési és helyreállítási terv
* - IK= információt kap
1. ábra Vírus riadó logikai terve
254
Ellenőrzések
26.4 Általános felülvizsgálat Az informatikai biztonsági rendszerek, ellenőrzési mechanizmusok, óvintézkedések (pl. vírusvédelmi rendszer stb.) általános felülvizsgálatát kétévente független külső szakértőkkel el kell végeztetni; a megrendelés kezdeményezése az Informatikai Biztonsági Felelős feladata. A felülvizsgálat célja, hogy meghatározza az informatikai biztonsági rendszerek, ellenőrzési mechanizmusok, óvintézkedések (pl. vírusvédelmi rendszer stb.) fejlesztési irányait, annak költségvonzatát és megtérülését.
26.5 Éves felülvizsgálat Az Informatikai Biztonsági Felelős kötelessége, hogy évente a szabályzat hatálya alá tartozó informatikai eszközökön, rendszereken auditot végezzen, mely teljes körű a szabályzatban megjelölt kiszolgálókra, a központi levélforgalom vírusvédelmét végző rendszerekre; az informatikai biztonsági rendszerekre, ellenőrzési mechanizmusokra, óvintézkedésekre. 26.5.1
HAVI ELLENŐRZÉS A VÍRUSVÉDELMI RENDSZERBEN
Minden hónapban a Vírusvédelmi rendszergazdának kötelessége a vírus statisztikákat elkészíteni és az Informatikai Biztonsági Felelős részére eljuttatni. Az Informatikai Biztonsági Felelős kötelessége, hogy havonta feldolgozza a központi adatbázisba bejegyzett riasztásokat meghatározva: a vírusvédelmi eszközök által felismert és sikeresen elhárított vírustámadásokat, a vírusvédelmi eszközök által felismert és sikeresen elhárított, de további emberi beavatkozást kívánó vírustámadásokat, a vírusvédelmi eszközök által felismert, de nem mentesített támadásokat, a vírusadatbázis frissítésekkel kapcsolatos riasztásokat szerverenként, a vírustámadások eloszlását, helyszínek, vírusfajták szerint.
255
26.5.2
ÚJRAHITELESÍTÉS Az Informatikai Eszközgazdálkodási és Adatvédelmi Osztálynak a biztonsági eljárá-
sokat rendszeres időközönként újra kell hitelesíteni a formálisan elfogadott biztonsági és kockázati szintek aktualizálása érdekében.
256
27 A jogosultsági rendszer előírásai 27.1 Felhasználói jogosultság A központi adatkezelő rendszerek által biztosított funkciókhoz eltérő jogosultságok tartoznak, melyek meghatározzák az adatokat kezelő személyeknek (felhasználóknak) a rendszeren belül végezhető tevékenységeit. Ezen jogosultságokat a rendszerhez tartozó ügyviteli előírások szerint, a munkaköri leírásokat figyelembe véve kell meghatározni. Az adatokhoz való hozzáférési szerepköröket (ügyintéző, revizor, ellenőr, stb.) az egyes rendszerek dokumentációinak kell tartalmaznia. Az adatkezelő rendszerek kezeléséhez szükséges jogosultságok igényléséről az „ADATVÉDELMI ÉS INFORMÁCIÓSZABADSÁGI SZABÁLYZAT„ rendelkezik A jogosultsági rendszert és annak elemeit meghatározott időközönként tesztelni szükséges. Az adatbiztonság megőrzése érdekében az illetéktelen hozzáférések ellenőrzésére megfelelő eljárást kell kidolgozni. 27.1.1
A HOZZÁFÉRÉSI RENDSZER KIALAKÍTÁSA
27.1.1.1 Azonosítás, hitelesítés és hozzáférési jogosultság Az adatbázisokhoz, és az erőforrásokhoz történő hozzáférés megfelelő azonosítási, hitelesítési és hozzáférési-jogosultság ellenőrzési eljárások révén történik. A fenti eljárásoknak meg kell akadályozniuk azt, hogy jogosulatlan felhasználók hozzáférjenek – akár közvetlenül, telefonvonalon vagy más rendszerből (hálózaton keresztül) – az informatikai erőforrásokhoz, valamint minimalizálniuk kell annak szükségességét, hogy a jogosult felhasználóknak ismételten minden rendszerbe külön-külön kelljen bejelentkezniük. A felhasználó- hitelesítési és hozzáférés-jogosultsági ellenőrzési mechanizmusok eredményességének megőrzése érdekében is megfelelő eljárások kialakítása és tökéletesítése az Informatikai Főosztály feladata (pl. a jelszavak rendszeres megváltoztatásával). 27.1.1.2 Operációs rendszerhez való hozzáférés 27.1.1.2.1 Üzemeltetői jogosultság Az operációs rendszer által biztosított hozzáférési jogosultságok szabályozzák a felhasználó tevékenységeit a helyi számítógépen, a belső (LAN, WAN) és külső (Internet) hálózatokon.
257
Ezen jogosultságok igénylésére, nyilvántartására az erre rendszeresített űrlap szolgál („ADATVÉDELMI ÉS INFORMÁCIÓSZABADSÁGI SZABÁLYZAT” 1/A. sz. melléklete). A vállalkozói szerződéssel dolgozó munkatársak számára a jogosultságigényt a szerződésben nevesített kapcsolattartó személy kezdeményezheti,.a jogosúltság megadásáról az „Adatvédelmi és Információszabadsági Szabályzat” rendelkezik. Az üzemeltetett központi rendszerek rendszergazda szintű jelszavait az üzemeltetésért felelős személynek szerverenként, illetve alkalmazásonként kell meghatároznia és megadnia az Informatikai Főosztály megbízott munkatársának. A jelszavak havonkénti cseréjét szerverenként és alkalmazásonként az üzemeltetés vezető munkatársa és az Informatikai Főosztály megbízott munkatársa követi és adminisztrálja, aki az új jelszavakat zárt, dátummal ellátott, lepecsételt borítékban az Informatikai Főosztály páncélszekrényében helyezi el. Az operációs rendszerhez való hozzáférésben bekövetkezett személyi változást (kilépés) az üzemeltetés vezetője által kitöltött „ADATVÉDELMI ÉS INFORMÁCIÓSZABADSÁGI SZABÁLYZAT” 1/A. sz. mellékleten aláírásra az Informatikai Főosztály vezetőjének kell benyújtani. Az engedélyezett jogosultság-törlést továbbítani kell az Informatikai Főosztály adatvédelmi felelősének, aki gondoskodik a jogosultság azonnali visszavonásáról, megszüntetéséről. 27.1.1.2.2 Fejlesztői jogosultság Fejlesztő és üzemeltető felhasználók részére jogosultság igénylése, nyilvántartása az erre rendszeresített űrlapon történik („ADATVÉDELMI ÉS INFORMÁCIÓSZABADSÁGI SZABÁLYZAT” 1. sz. melléklete). Ezen az Informatikai Főosztály vezetője által engedélyezett kérést továbbítani kell az Informatikai Főosztály adatvédelmi felelősének, aki intézkedik az igényelt jogosultság megadásáról. Az SAP rendszerben a fejlesztői jogosultságot a külső támogató szervezet munkatársa és a PIR Üzemeltetési Osztály dolgozói részére az PIR Üzemeltetési Osztály vezetője, az informatikán dolgozó PIR szakértő részére az Informatikai Főosztály vezetője engedélyezi. Amennyiben a jogosultság valamilyen okból nem engedélyezhető, úgy azt soron kívül jelezni kell a jogosultságot kérő vezetőnek. 27.1.2
A HOZZÁFÉRÉS KÖVETELMÉNYRENDSZERE
Az ágazatban a hozzáférési jogosultságok kialakítását szabályozó követelmények a következők:
258
•
A hozzáférési jogosultságokat az adatcsoportok osztályozásával összhangban kell megállapítani. Az adatok besorolási eljárásáról az IBSZ 3.2.1 fejezet rendelkezik.
•
Az optimális hozzáférési rendszer kialakításához minél kevesebb, a feladathoz kapcsolódóan minimális jogokkal rendelkező felhasználói csoport kialakítása szükséges. A csoportok kialakítását az ONYF szervezeti felépítéshez igazodva kell elvégezni. A csoportokhoz rendelt jogosultságoknak összhangban kell lenniük a csoport tagjai által kezelt adatok osztályozásával.
•
A felhasználói csoportok jogosultsági körét az általuk végzett feladatokhoz képest úgy kell minimalizálni, hogy a felhasználónak csak a munkaköri feladataik elvégzéséhez szükséges minimális hozzáférési jogok álljanak rendelkezésre.
•
A felhasználókat minden általuk használt rendszerben egyedileg azonosítani kell, és informálni kell őket az illető rendszerben fennálló korlátozásokról.
•
A felhasználók azonosítását egy egyedi, titkos információval kell hitelesíteni (legalább jelszó).
•
A jogosultsági rendszer kialakításánál figyelembe kell venni a védelemre vonatkozó szerződésszerű kötelezettségeket, melyben az adatokhoz, vagy alkalmazásukhoz való hozzáférésről esik szó.
•
Egyedi, személyre szabott hozzáférési jogokat kell alkalmazni, a felhasználói azonosítókat nem lehet megosztani a felhasználók között.
•
Ideiglenes jogok meghatározása külső személyek számára csak a tevékenységükhöz szükséges mértékben történhet, kizárólag korlátozott időtartamig. Munkájuk végén, vagy az előre meghatározott időtartam lejárta után a jogokat azonnal meg kell vonni
A követelmény rendszert évente felül kell vizsgálni, és javított formában a rendszergazdák számára át kell adni. A felülvizsgálatot az Informatikai Biztonsági Felelős végzi.
A hozzáférési rendszer kialakításának részfeladatai A hozzáférési jogosultságok kialakításának részfeladatai a következők: •
az adatok besorolása biztonsági szempontból. - (4. 1 „Az adatok és eszközök biztonsági besorolása és ellenőrzése”)
•
az adatok hozzárendelése az őket kezelő rendszerekhez,
•
az adatokkal való munkavégzés típusának meghatározása (írás, olvasás, módosítás),
•
jogosultságok felhasználói csoportokhoz rendelése,
•
a felhasználói hozzáférés biztosítása az elvégzendő munka teljes időtartamára,
259
•
egyedi számítógépekre vonatkozó hozzáférési rendszer kidolgozása,
•
a rendszergazdák hozzáférési jogainak kidolgozása,
•
ideiglenes jogok biztosítása,
•
a hozzáférés nyilvántartásának kialakítása és folyamatos karbantartása.
27.1.2.1 A hozzáférési rendszer kialakításának szereplői, feladataik Az ágazatban használatos munkakörök (felhasználói csoportok) kialakítása: Az ONYF jogszabályban előírt feladatának megvalósítását elősegítő informatikai alkalmazások felhasználói csoportjának meghatározása • Központi fejlesztésű alkalmazások • Az adott alkalmazás adatgazdája, a Rendszerfejlesztési és -felügyeleti Főosztály, az Informatikai Főosztály, valamint a Humánpolitikai és Képzési Főosztály közreműködésével az adott alkalmazásra a hatályos jogszabályok figyelembevételével meghatározza az adott alkalmazást használó általános és speciális (rendszergazda) felhasználói csoportokat. •
Szereplők: Rendszerfejlesztési és -felügyeleti Főosztály Főosztályvezető Informatikai Főosztály Főosztályvezető ONYF Humánpolitikai és Képzési Főosztály Főosztályvezető Adott alkalmazás adatgazdája
Az ONYF Humánpolitikai és Képzési főosztálya nyilvántartja, és az ONYF számára közzéteszi az aktuális felhasználói csoport listát • Szereplők: ONYF Humánpolitikai és Képzési Főosztály
• Nem központi fejlesztésű alkalmazások
Az adott alkalmazás adatgazdája a nyugdíj-biztosítási igazgatási szervek, humánpolitikai, és informatikai területének közreműködésével az adott alkalmazásra a hatályos jogszabályok és az ONYF által közzétett aktuális felhasználói csoport lista figyelembevételével meghatározza az
260
adott alkalmazást használó általános és speciális (rendszergazda) felhasználói csoportokat. •
Szereplők: A nyugdíj-biztosítási igazgatási szerv humánpolitikai vezetője A nyugdíj-biztosítási igazgatási szervinformatikai vezetője Adott alkalmazás adatgazdája
A létrehozott új felhasználói csoportról értesíti az ONYF Humánpolitikai és Képzési Főosztályát • Szereplők: A nyugdíj-biztosítási igazgatási szerv humánpolitikai vezetője
Az ONYF Humánpolitikai és Képzési Főosztálya nyilvántartásba veszi az új felhasználói csoportot •
Szereplők: ONYF Humánpolitikai és Képzési Főosztály
Az ONYF-hez tartozó szervezetek területi felsorolása •
Az ONYF Igazgatási Főosztálya a hatályos jogszabályok alapján nyilvántartja, és az ONYF számára közzéteszi az ONYF-hez tartozó szervezetek területi felsorolását az alábbi bontásban
A nyugdíj-biztosítási igazgatási szervekONYF •
Szereplők ONYF Igazgatási Főosztály
Az adatok biztonsági szempontból történő besorolása •
Az ONYF jogszabályban előírt feladatának megvalósítását elősegítő informatikai alkalmazások által létrehozott illetve kezelt adatok biztonsági szempontból történő besorolása • Központi fejlesztésű alkalmazások
Az adott alkalmazás adatgazdája az Informatikai Főosztály, a Rendszerfejlesztési és -felügyleti Főosztályaz, az ONYF adatvédelmi felelőse valamint az Informatikai Biztonsági Felelős közreműködésével az adott alkalmazásra a hatályos jogszabályok figyelembevételével meg-
261
határozza az adott alkalmazás által létrehozott és kezelt adatokat és azokat az IBSZ 3 pontja szerint besorolja •
Szereplők: Informatikai Főosztály főosztályvezető Rendszerfejlesztési és -felügyleti Főosztály főosztályvezető Adott alkalmazás adatgazdája belső adatvédelmi felelős Informatikai Biztonsági Felelős
Az adat besorolásokat az Informatikai Biztonsági Felelős tartja nyilván, és az ONYF számára közzéteszi • Szereplők: Informatikai Biztonsági Felelős
•
Nem központi fejlesztésű alkalmazások
Az adott alkalmazás adatgazdája a nyugdíj-biztosítási igazgatási szerv informatikai területének vezetője, valamint az adatvédelmi előadó és az Informatikai Biztonsági Összekötő/adminisztrátor közreműködésével az adott alkalmazásra a hatályos jogszabályok és az ONYF Informatikai Biztonsági Felelős által közzétett adatbesorolások figyelembevételével meghatározza az adott alkalmazás által létrehozott és kezelt adatokat és azokat az IBSZ 3.2 pontja szerint besorolja •
Szereplők: A nyugdíj-biztosítási igazgatási szerv informatikai vezetője Adott alkalmazás adatgazdája adatvédelmi előadó Informatikai Biztonsági Összekötő/adminisztrátor
Az
adat
besorolásokat
az
Informatikai
Biztonsági
Összekö-
tő/adminisztrátor tartja nyilván, és a besorolásokat elküldi az Informatikai Biztonsági Felelősnek •
Szereplők: Informatikai biztonsági Összekötő/adminisztrátor
262
Az Informatikai Biztonsági Felelős központi nyilvántartásba veszi az adatbesorolást •
Szereplők: Informatikai Biztonsági Felelős
Az adatok hozzárendelése az őket kezelő rendszerekhez •
Az ONYF jogszabályban előírt feladatának megvalósítását elősegítő informatikai alkalmazások által létrehozott illetve kezelt és biztonsági szempontok szerint besorolt adatok hozzárendelése az őket kezelő rendszerekhez • Központi fejlesztésű alkalmazások
Az adott alkalmazás adatgazdája az Informatikai Főosztály, a Rendszerfejlesztési és -felügyleti Főosztály , valamint az Informatikai Biztonsági Felelős közreműködésével az adott alkalmazásra a hatályos jogszabályok figyelembevételével hozzárendeli az adott alkalmazás által létrehozott kezelt és biztonságtechnikai szempontból besorolt adatokat az őket kezelő rendszerekhez •
Szereplők: Informatikai Főosztály főosztályvezető Rendszerfejlesztési és -felügyleti Főosztály főosztályvezető Adott alkalmazás adatgazdája Informatikai Biztonsági Felelős
Az adat hozzárendeléseket az Informatikai Biztonsági Felelős tartja nyilván és az ONYF számára közzéteszi • Szereplők: Informatikai Biztonsági Felelős
263
•
Nem központi fejlesztésű alkalmazások
Az adott alkalmazás adatgazdája a nyugdíj-biztosítási igazgatási szerv informatikai területének vezetője, valamint az Informatikai Biztonsági Összekötő/adminisztrátor közreműködésével az adott alkalmazásra a hatályos jogszabályok és az ONYF Informatikai Biztonsági Felelős által közzétett adat-hozzárendelések figyelembevételével hozzárendeli az adott alkalmazás által létrehozott kezelt és besorolt adatokat az őket kezelő rendszerekhez •
Szereplők: A nyugdíj-biztosítási igazgatási szerv informatikai vezetője Adott alkalmazás adatgazdája Informatikai Biztonsági Összekötő/adminisztrátor
Az adat hozzárendeléseket az Informatikai Biztonsági Összekötő/adminisztrátor tartja nyilván, és a hozzárendeléseket elküldi az Informatikai Biztonsági Felelősnek •
Szereplők: Informatikai Biztonsági Összekötő/adminisztrátor
Az Informatikai Biztonsági Felelős központi nyilvántartásba veszi a hozzárendeléseket •
Szereplők: Informatikai Biztonsági Felelős
Az adatokkal való munkavégzés típusának meghatározása •
Az ONYF jogszabályban előírt feladatának megvalósítását elősegítő informatikai alkalmazások által létrehozott illetve kezelt és biztonsági szempontok szerint besorolt adatokkal való munkavégzés típusának meghatározása • Központi fejlesztésű alkalmazások
Az adott alkalmazás adatgazdája Informatikai Főosztály, a Rendszerfejlesztési és -felügyleti Főosztály, az belső adatvédelmi felelős valamint az Informatikai Biztonsági Felelős közreműködésével az adott alkalmazásra a hatályos jogszabályok figyelembevételével meghatározza az
264
adott alkalmazás által létrehozott kezelt és biztonságtechnikai szempontból besorolt adatokkal való munkavégzés típusát. •
Szereplők: Informatikai Főosztály főosztályvezető Rendszerfejlesztési és -felügyleti Főosztály főosztályvezető Adott alkalmazás adatgazdája Belső adatvédelmi felelős Informatikai Biztonsági Felelős
Az adatokkal való munkavégzés típusának a nyilvántartását és az ONYF számára történő közzétételt az Informatikai Biztonsági Felelős végzi • Szereplők: Informatikai Biztonsági Felelős
•
Nem központi fejlesztésű alkalmazások
Az adott alkalmazás adatgazdája a nyugdíj-biztosítási igazgatási szerv informatikai területének vezetője, valamint a helyi adatvédelmi előadó és az Informatikai Biztonsági Összekötő/adminisztrátor közreműködésével az adott alkalmazásra a hatályos jogszabályok és az ONYF Informatikai Biztonsági Felelős által közzétett adatokkal való munkavégzés típusának figyelembe vételével meghatározza az adott alkalmazás által létrehozott kezelt és besorolt adatokkal való munkavégzés típusát •
Szereplők: A nyugdíj-biztosítási igazgatási szerv informatikai vezetője Adott alkalmazás adatgazdája Belső Adatvédelmi felelős Informatikai Biztonsági Összekötő/adminisztrátor
Az adatokkal való munkavégzés típusának a nyilvántartását és az Informatikai Biztonsági Felelősnek való elküldését az Informatikai Biztonsági Összekötő/adminisztrátor végzi •
Szereplők: Informatikai Biztonsági Összekötő/adminisztrátor
265
Az Informatikai Biztonsági Felelős központi nyilvántartásba veszi a számára elküldött adatokkal való munkavégzés típust •
Szereplők: Informatikai Biztonsági Felelős
Jogosultságok felhasználói csoporthoz rendelése •
Az ONYF jogszabályban előírt feladatának megvalósítását elősegítő informatikai alkalmazások által létrehozott illetve kezelt biztonsági szempontok szerint besorolt és rendszerekhez hozzárendelt adatok felhasználói csoporthoz rendelése
•
A hozzárendelés során egy adathoz több felhasználói csoport is rendelhető
•
A hozzárendelés során egy felhasználói csoporthoz több adat is rendelhető • Központi fejlesztésű alkalmazások
Az adott alkalmazás adatgazdája az Informatikai Főosztály, a Rendszerfejlesztési és -felügyleti Főosztály, a belső adatvédelmi felelős valamint az Informatikai Biztonsági Felelős közreműködésével az adott alkalmazásra a hatályos jogszabályok figyelembevételével hozzárendeli az adott alkalmazás által létrehozott, kezelt biztonságtechnikai szempontból besorolt és rendszerekhez hozzárendelt adatokhoz az egyes felhasználói csoportokat •
Szereplők: Informatikai Főosztály főosztályvezető Rendszerfejlesztési és -felügyleti Főosztály főosztályvezető Adott alkalmazás adatgazdája Belső adatvédelmi felelős Informatikai Biztonsági Felelős
A jogosultságok nyilvántartását és az ONYF számára történő közzétételt az Informatikai Biztonsági Felelős végzi • Szereplők: Informatikai Biztonsági Felelős
• Nem központi fejlesztésű alkalmazások
266
Az adott alkalmazás adatgazdája a a nyugdíj-biztosítási igazgatási szerv informatikai területének vezetője, valamint a helyi adatvédelmi előadó és az Informatikai Biztonsági Összekötő/adminisztrátor közreműködésével az adott alkalmazásra a hatályos jogszabályok és az ONYF Informatikai Biztonsági Felelős által közzétett adatokkal való munkavégzés típusának figyelembevételével hozzárendeli az adott alkalmazás által létrehozott kezelt és biztonságtechnikai szempontból besorolt és rendszerekhez hozzárendelt adatokhoz az egyes felhasználói csoportokat •
Szereplők: A nyugdíj-biztosítási igazgatási szerv informatikai vezetője Adott alkalmazás adatgazdája Adatvédelmi előadó Informatikai Biztonsági Összekötő/adminisztrátor
A jogosultságok nyilvántartását és az Informatikai Biztonsági Felelősnek
való
elküldését
az
Informatikai
Biztonsági
Összekö-
tő/adminisztrátor végzi •
Szereplők: Informatikai Biztonsági Összekötő/adminisztrátor
Az Informatikai Biztonsági Felelős központi nyilvántartásba veszi a az számára elküldött adatokat •
Szereplők: Informatikai Biztonsági Felelős
27.1.2.2 Hozzáférési jogosultságok nyilvántartása A hozzáférési jogosultságot írásban és névre szólóan kell meghatározni, és a jogosultság nyilvántartásban kell nyilvántartani. •
Az informatikai alkalmazásokon belüli hozzáférési jogosultságok nyilvántartása az ágazatközponti rendszereinek esetén az Informatikai Főosztály nem központi rendszerek esetén az adott igazgatási szerv informatikai biztonsági rendszergazdájának feladata. A nem központi üzemeltetésű rendszerek jogosultság nyilvántartásaiban történt minden változást az adott igazgatási szerv informati-
267
kai biztonsági rendszergazdája köteles elküldeni az ONYF Informatikai Ügyfélszolgálatához (Help Desk), ahol az ONYF részére egységes jogosultság nyilvántartást vezetik. Külön okiratban kell nyilvántartani az egyes rendszerek rendszergazdáit, illetve adatgazdáit! A hozzáférési jogosultságok engedélyezéséről olyan nyilvántartást kell vezetni, melyből bármikor visszakereshető, hogy mely rendszerből kinek, mikor milyen jogosultság lett kiadva. Ezt a nyilvántartást az Informatikai Főosztály vezetője felügyeli. On-line jellegű informatikai környezet esetén az Informatikai Főosztály vezetésének olyan biztonsági eljárásokat kell kialakítania, amelyek, a biztonsági politikával összhangban, csak abban az esetben engedélyezik a hozzáférést a felhasználó részére, ha az valamilyen meghatározott konkrét okból kifolyólag kívánja megtekinteni, kiegészíteni, megváltoztatni illetve kitörölni az adatokat.
27.1.2.3 Felhasználói jogosultságok létrehozása, megszűntetése, megváltoztatása Az adatkezelő rendszerek kezeléséhez szükséges jogosultságok igényléséről az „ADATVÉDELMI ÉS INFORMÁCIÓSZABADSÁGI SZABÁLYZAT„ rendelkezik. •
A jogosultság létrehozása, nyilvántartásba vétele előtt az Informatikai Biztonsági Felelős, vagy Informatikai Biztonsági Összekötő/adminisztrátor ellenőrzi a kitöltött Jogosultságigénylő űrlapot, és annak jogosultságát aláírásával igazolja
•
A Jogosultságigénylő lap központi üzemeltetésű rendszerek esetén a Informatikai Ügyfélszolgálat (Help Desk)hez kerül és a Informatikai Ügyfélszolgálat (Help Desk) adja ki a Jogosultság kezelő rendszergazda felé végrehajtásra.
•
A Jogosultság kezelő rendszergazda, vagy az Informatikai Biztonsági Összekötő/adminisztrátor feladata a kitöltött Jogosultságigénylő űrlap alapján a felhasználó megfelelő, alkalmazásokra lebontott jogosultsági szintjeinek beállítása, az elektronikus levelező fiók létrehozása, a címtár bejegyzések elvégzése, valamint a felhasználói azonosító aktiválása. Nem központi üzemeltetésű rendszerek esetén az Informatikai Biztonsági Összekötő/adminisztrátor átvezeti a jogosultság nyilvántartásban a változást, a változásról értesíti az ONYF Informatikai Ügyfélszolgálat (Help Desk)et valamint a nyilvántartáshoz csatolja a Jogosultságigénylő lapot. A Központi üzemeltetésű rendszerek esetén a Jogosultság kezelő rendszergazda értesíti a Informatikai Ügyfélszolgálatot (Help Desk)et a bejegyzé-
268
sek elvégzéséről. A Informatikai Ügyfélszolgálat (Help Desk) átvezeti a Jogosultság nyilvántartásban a változást. •
Minden felhasználó definiálásánál biztosítani kell az 1 természetes személy = 1 felhasználói azonosító, egy-egy értelmű megfeleltetést, azaz nem lehet közösen használt felhasználói azonosító.
•
A felhasználói hozzáférés zárolása automatikusan történik az alkalmazott kilépésekor. Ennek biztosítására: •
Azonnali felmondás esetén, illetve ha a kilépő alkalmazott vezetője úgy ítéli meg, a jogosultság azonnal visszavonásra kerül. A kilépő alkalmazott vezetője ebben az esetben telefonon értesíti a központi üzemeltetésű rendszerek esetén az ONYF Informatikai Ügyfélszolgálat (Help Desk)-et, nem központi üzemeltetés esetén az adott terület informatikai biztonsági rendszergazdát. A telefonos értesítést írott formában (e-mail vagy papír) is meg kell erősíteni.
•
Határozott idejű felmondás esetén a jogosultság visszavonása „sétalap” aláírásával egy időben történik.
•
Az informatikai üzemeltetésért felelős vezetője köteles rendelkezni a felhasználó adatairól, dokumentumairól (archiválás, törlés, 3. személy általi hozzáférhetőség). A felhasználói fiók törlésére adatok sorsának rendezése után kerülhet sor. A szervezeti egység vezetőjének a szóban forgó adatokkal kapcsolatban rendelkeznie kell arról, hogy az adatokhoz a továbbiakban ki férhet hozzá, illetve archiválni, törölni kell-e az adatokat.
•
Amennyiben a felhasználó jogviszonyában változások következnek be, de a munkáltatói jogviszony továbbra is az ONYF-hez köti (áthelyezés más osztályra, munkakör vagy munkaköri leírás megváltozása) a felhasználói jogosultságokat meg kell szüntetni a munkaviszony megszűnésének eljárásrendje szerint, és új felhasználóként kell kezelni, az új belépőkre vonatkozó eljárásrend szerint. 27.1.2.3.1 Jogosultság felfüggesztése Tartós távollét esetén a felhasználó valamennyi jogosultságát vissza kell vonni, fel kell függeszteni/szüneteltetni. Ezt a szervezeti egység vezetőjének kell kezdeményeznie. Helyettesítéskor a helyettes számára a szükséges jogosultságokat a szervezeti egység vezetőjének kezdeményezésére meg kell adni. 27.1.2.3.2 Jogosultság törlése
269
A köztisztviselői, illetőleg az ágazattal bármilyen jogviszonyban álló foglalkoztatás megszűnésének napjával valamennyi adatkezelő rendszerhez kapott adatkezelési (hozzáférési) jogosultságát meg kell szüntetni. Ezt a tényt a Kilépőlap megfelelő rovatának kitöltésével, a vezető aláírásával kell igazolni. A rendelkező Kilépőlap birtokában az ONYF Informatikai Főosztálya köteles a jogosultság megszüntetéséről törléssel intézkedni. 27.1.2.3.3 Ideiglenes jogosultság kiadása helyettesítéskor Helyettesítéskor a helyettes számára a szükséges jogosultságokat a szervezeti egység vezetője engedélyezi. Az engedélyt az Informatikai Főosztály vezetője ellenjegyzi abban az esetben, ha nem ő az engedélyező személy. A jogosultság-igényt ezt követően továbbítani kell a belső adatvédelmi felelősnek, aki intézkedik az igényelt jogosultság megadásáról, adminisztrálásáról. 27.1.2.3.4 Hozzáférés ideiglenes engedélyezése vészhelyzetekben Egységes formában dokumentálni kell és nyilván kell tartani a vészhelyzetekben megadott ideiglenes hozzáférési engedélyeket, amelyekhez az illetékes vezetők jóváhagyása szükséges. Az ideiglenes hozzáférési engedélyeket automatikusan meg kell szüntetni az erre vonatkozóan előre meghatározott idő letelte után és az engedélyekről biztonságos úton tájékoztatni kell a biztonsági részleget.
27.1.2.3.5 A jelszavas védelem felépítése, fajtái Az ONYF informatikai rendszereinek elérésére használható hozzáférés szintjei:
Névre szóló
Csoportos
Rendszergazda
1
2
Felhasználó
3
4
1. Névre szóló rendszergazdai hozzáférés esetén, a rendszergazdai jogosítványt a rendszergazda a saját nevére szóló, kizárólagosan általa használt, megfelelő rendszergazdai jogkörrel felruházott felhasználói azonosító segítségével lehet használni. A beépített (root, administrator, stb.) rendszergazdai hozzáférés csak abban az esetben tekinthető ilyennek, ha azt kizárólag egy személy használja. Ha a rendszerben van le-
270
hetőség személyhez kötött rendszergazdai jogosítványok kiadására, az említett beépített jogosultságokat általános rendszergazdai feladatok ellátása során használni Tilos! Minden rendszergazdának rendelkeznie kell felhasználói hozzáféréssel is. 2. Csoportos rendszergazdai hozzáférés esetén, a rendszergazdai jogosítványt a rendszergazda egy csoportos, több rendszergazda által is használt, rendszergazdai jogkörrel felruházott felhasználói azonosító segítségével lehet használni. A beépített (root, administrator, technikai user stb.) rendszergazdai hozzáférés abban az esetben tekinthető ilyennek, ha azt több személy használhatja. Speciális esetek számára (pl vészhozzáférés) létre kell hozni a kétemberes szabály alkalmazásával egy rendszergazdai jogosítványt. Egyéb esetben amennyire technikai és egyéb szempontok lehetővé teszik, a csoportos rendszergazdai hozzáférést használni Tilos. 3. Névre szóló felhasználói hozzáférés keretében a felhasználó külön, saját névre szóló, más által nem használt, kizárólag a munkája ellátása miatt elengedhetetlen jogosítványokkal rendelkezik az informatikai és telekommunikációs rendszerekhez és azok erőforrásaihoz, az szervezeti folyamatok ellátásához kapcsolódó feladatok elvégzéséhez. 4. Csoportos felhasználói hozzáférés keretében több felhasználó azonos, a munkája ellátása miatt elengedhetetlen felhasználói hozzáférést használ az informatikai és telekommunikációs rendszerekhez és azok erőforrásaihoz, az szervezeti folyamatok ellátásához kapcsolódó feladatok elvégzéséhez. Amennyire technikai és egyéb szempontok lehetővé teszik, a csoportos felhasználói hozzáférést csak a védelmet nem igénylő adatokat tartalmazó rendszerek esetén szabad alkalmazni, az egyértelműség és követhetőség miatt inkább a névre szóló felhasználói hozzáférést kell választani.
27.1.2.3.6 Illetéktelen hozzáférés elleni védelem 27.1.2.3.7 Jelszókezelés Az ONYF informatikai rendszereihez való illetéktelen logikai hozzáférés megakadályozására jelszavas védelmet kell alkalmazni. Az ONYF számítógépes hálózatába, illetve az alkalmazások rendszerébe bejelentkezési névvel rendelkező felhasználó köteles a bejelentkező nevéhez tartozó jelszó megőrzésére. A saját bejelentkező névhez tartozó jelszót elárulni, mások által is elérhető módon feljegyezni Tilos! Bejelentkező névhez tartozó jelszó beállításának megtörténtét és a jelszót a Jogosultság kezelő rendszergazda telefonon közölheti abban az esetben, ha 271
•
új felhasználó felvétele, vagy egyéb ok (pl. elfelejtés) miatt a felhasználó előtt még ismeretlen új belépési jelszót definiált,
•
a beszélgető partner azonosítására az elvárható gondossággal járt el, és
•
figyelmezteti a felhasználót arra, hogy a beszélgetést követő első bejelentkezésekor azonnal változtassa meg a közölt jelszót.
Valamennyi informatikai rendszer esetén a hozzáférésekhez rendelt jelszavaknak, a hozzáférés szintjétől függetlenül az alábbi alapkritériumoknak kell megfelelni: e) Tartalmazzon vegyesen numerikus, kis és nagy alfanumerikus és különleges karaktereket. f) Ne tartalmazzon bármilyen nyelvű szót szótári alakban. g) Ne egyezzen meg a felhasználó nevével, felhasználói azonosítójával, egyik telefonszámával sem, engedélyének számával, személyi számával vagy dolgozói kódjával, valamint a felhasználóhoz kötődő bármely karaktersorozattal (pl. születési dátum, lakcím). h) Ne egyezzen meg személynévvel. i) Ne egyezzen meg irodalmi, színházi, televíziós, közéleti személyek nevével és egyéb közismert szavakkal, kifejezésekkel. j) Ne tartalmazzon azonos, vagy ismert logika szerint egymást követő karaktereket (pl. 11111, aaaaa, qwert, asdfg, gegegeg). k) Ne utaljon a felhasználóra, munkakörére, munkahelyére.
Felhasználói hozzáférések (3, 4 típus) Azon informatikai rendszerek esetén, melyek rendelkeznek a megfelelő technikai feltételekkel, a hitelesítéshez használt felhasználói hozzáféréshez rendelt jelszavaknak az alábbi kritériumoknak kell megfelelni: l) A felhasználói jelszavak minimális hossza 8 karakter. m) A felhasználói jelszavak maximum 60 napig lehetnek érvényesek. n) Egy jelszó minimum 1 napig érvényes (1 napon belül nem lehet kétszer megváltoztatni). o) Az utolsó 10 jelszót nem lehet újra használni. p) A felhasználóknak be kell jelentkezni a jelszó megváltoztatásához. q) A felhasználóknak meg kell változtatniuk a jelszavukat, amikor első alkalommal használják felhasználói azonosítójukat.
272
r) Szabályozni, és szűrő segítségével biztosítani kell a jelszavak összetettségét: szükséges nagybetűk, kisbetűk, számok és speciális karakterek együttes használatával. s) Mind a sikeres, mind a sikertelen belépési és kilépési kísérleteket naplózni kell. t) Ha egy felhasználói azonosító 60 napig inaktív, akkor azt a szervezeti egység vezetőjének tájékoztatása mellett a rendszert üzemeltető rendszergazdának fel kell függeszteni. A fenti követelményekről minden felhasználót tájékoztatni kell, munkájának megkezdése előtt. Rendszergazdai, alkalmazásgazdai hozzáférések (1, 2 típus) Azon informatikai rendszerek esetén, melyek rendelkeznek megfelelő technikai megoldásokkal, az azonosításhoz használt rendszergazdai hozzáféréshez rendelt jelszavaknak az alábbi kritériumoknak kell megfelelni: u) A rendszergazdai jelszavak minimális hossza 14 karakter. v) Az utolsó 10 jelszót nem lehet újra használni. w) A rendszergazdának be kell jelentkezni a jelszó megváltoztatásához. x) Szabályozni és szűrő segítségével biztosítani kell a jelszavak összetettségét: szükséges nagybetűk, kisbetűk, számok és speciális karakterek együttes használata. y) Mind a sikeres, mind a sikertelen belépési és kilépési kísérleteket naplózni kell. z) Vészhozzáférések: a rendszergazdai hozzáféréseket a rendszerüzemeltetés számára nem ismert tartalommal, kinyomtatott formában, zárt borítékban el kell helyezni az ONYF adott szervezetének vezetője által használt tűzálló páncélszekrényben. A bejelentkező névhez tartozó jelszót meg kell változtatni, •
a felhasználói név rendszerbe történt felvételét követő első bejelentkezéskor,
•
ha a jelszó illetéktelen személy tudomására jutott, vagy bármilyen módon nyilvánosságra került.
A vészhozzáférést biztosító jelszavakat tartalmazó borítékok felbontását az ONYF adott szervezeti egységének vezetője rendelheti el. A borítékot az informatikai üzemeltetésért felelős vezetője, vagy távollétében helyettese jogosult felbontani. A felbontásnál meg kell határozni a felbontás elrendelésének okát, és a felbontás bekövetkeztéről írásos feljegyzést kell készíteni, és értesíteni kell központi üzemeltetésű rendszerek esetén az Informatikai Biztonsági Felelőst, nem központi üzemeltetési rendszerek esetén az informatikai biztonsági rendszergazdát. Az Informatikai Biztonsági Felelős illetve Informatikai Biztonsági Összekötő/adminisztrátor gondoskodik a vészhozzáférést biztosító jelszavak megváltoztatásáról és a zárt boríték páncélszekrénybe történt elhelyezéséről. 273
Az alkalmazói rendszerekben a jelszavak biztonságos tárolásánál az operációs rendszerek jelszó tárolási elvét kell alapul venni: eredeti formában a jelszavakat tárolni nem szabad. Egyutas módon kell titkosítani, és bejelentkezésnél a titkosított jelszavakat kell összehasonlítani. A felhasználó rendszerek biztonságos jelszó tárolási mechanizmusát, módszerét az Informatikai Biztonsági Felelős ellenőrzi, illetve hagyja jóvá. A jelszavak forgalmát a hálózaton biztonságos módon kell megoldani. Úgy kell a kommunikációs csatornát és adatforgalmat kialakítani, hogy ne legyen lehallgatható, az adatok módosításának valószínűsége minimális legyen, valamint az illetéktelen hozzáférés kimutatható legyen.
27.1.2.3.8 Munkaállomásokra vonatkozó előírások Azokban a helyiségekben, ahol az ONYF több munkatársa is tartózkodhatnak, a munkaállomások monitorait úgy kell elhelyezni, hogy a monitorokon esetlegesen kiírásra kerülő bizalmas adatokat illetéktelen személyek vizuálisan leolvasni ne tudják. Az informatikai üzemeltetésért felelős vezetőjének joga és kötelessége, hogy ezen helyiségek berendezését úgy alakíttassa ki, hogy a számítógépek monitorainak illetéktelen vizuális leolvasás elleni védelme biztosított legyen. Azt a munkaállomást, melyen - nem rendszergazda jogosultságú - bejelentkező névvel felhasználó lépett be, csak abban az esetben szabad felügyelet nélkül hagyni, ha a napi munkavégzés folyamatossága miatt ez indokolt, és a munkaállomáson jelszóvédelemmel rendelkező képernyő-pihentetést alkalmaznak, vagy a munkaállomásokat zárolják. Azt a munkaállomást, amelyen „rendszergazda” jogosultságú bejelentkező névvel léptek be, személyes felügyelet nélkül hagyni nem szabad. A rendszergazda jogosultsággal belépett munkatárs felelős azért, hogy a kijelentkezéséig a munkaállomás őrzése biztosított legyen.
27.1.2.3.9 Felhasználók bejelentkezése Az ONYF számítógépes hálózatába bejelentkezni csak a rendszerben definiált bejelentkező név és a hozzátartozó jelszó ismeretében lehet. A több felhasználós informatikai rendszerek elérésénél a felhasználók megkülönböztetésére, illetve a bizalmasság és sértetlenség megőrzésére bejelentkezési és kijelentkezési eljárásokat kell definiálni.
274
A bejelentkezési eljárások definiálásánál az alábbi biztonsági követelményeket kell figyelembe venni: •
Egyéni felhasználói azonosítók használata, amely felhasználóhoz köthető és az ő műveleteiért felelős.
•
Ellenőrizni kell hogy a felhasználónak van-e engedélye az informatikai rendszer, vagy alkalmazás használatára.
•
A felhasználó a hozzáférési jogairól kapjon írásos értesítést.
•
A hozzáférés igénylés jóváhagyásáig nem lehet ideiglenes hozzáférést biztosítani.
•
Listát kell készíteni az alkalmazásokat felhasználó regisztrált személyekről.
•
Folyamatosan ellenőrizni kell, és el kell távolítani a felesleges felhasználói azonosítókat.
•
Biztosítani kell, hogy a feleslegessé vált felhasználói azonosítók ne kerüljenek ismét felhasználásra.
27.1.2.3.10
Felhasználók logikai hozzáféréssel kapcsolatos kötelességei, felelősségei
A felhasználóknak ismerniük kell a jelszavak, illetve a felhasználó kezelésében lévő berendezések használatára vonatkozó előírásokat. Az ONYF informatikai rendszerének használatával kapcsolatos felhasználói feladatok:
• A felhasználói jelszavak titkosan kezelendők. A csoportos felhasználói azonosítóhoz tartozó munkacsoport-jelszót kizárólag a munkacsoport tagjai használhatják.
• A jelszó elfelejtése esetén a felhasználó központi üzemeltetésű rendszerek esetén a Informatikai Ügyfélszolgálat (Help Desk)-től nem központi üzemeltetésű rendszerek esetén az informatikai biztonsági rendszergazdától igényelhet ideiglenes jelszót. Az ideiglenes jelszót az első bejelentkezés alkalmával kötelező megváltoztatni.
• A jelszó megválasztására vonatkozó szabályokat a Jelszókezelés fejezet tartalmazza. • A jelszót a felhasználó semmilyen körülmények között nem jelenítheti meg a különböző adathordozókon, képernyőn, papíron stb.
• A jelszavakat a felhasználó nem írhatja le. Jogosulatlan hozzáférés kísérlete esetén - a sikerességre vagy sikertelenségre való tekintet nélkül - a felhasználót felelősségre vonás terheli. Minden, az informatikai rendszerek hozzáférésével kapcsolatos visszaélési kísérletet jelenteni kell az Informatikai Biztonsági Felelősnek 275
27.1.2.3.11
Felügyelet nélkül hagyott munkaállomások
Ha a felhasználó szünetelteti munkaállomáson végzett tevékenységét, ki kell jelentkeznie, és zárolnia kell a számítógépet. Amennyiben nem jelentkezik ki, automatikus képernyővédőt kell alkalmazni, melynek időzített aktiválása a munkaállomás kihasználatlansága esetén nem lehet több 10 percnél. A rendszernek meghatározott idő után újra kell indítania az azonosítási és a jogosultság ellenőrzési folyamatot, a felhasználó csak az újbóli bejelentkezés, illetve jelszó megadás után folytathatja a munkát. A megnyitott alkalmazásokat, a használatot követően a felhasználónak be kell zárnia. A felügyelet nélkül hagyott felhasználói munkaállomások védelme érdekében a munkaállomások beállításait a rendszergazdák végzik. A felhasználóknak tilos a rendszergazdák által beállított paraméterek törlése, megváltoztatása.
27.1.2.3.12
Belépési kísérletek korlátozása
A felhasználók és rendszergazdák pontos azonosításának megőrzésének érdekében, a felhasználói jelszavak bizalmasságát biztosítani kell. Az azonosításra fennálló 30 perces időtartam túllépése esetén a folyamatot, lehetőség szerint, le kell állítani. Amennyiben technikailag lehetséges, biztosítani kell, hogy felhasználói azonosító három egymást követő sikertelen bejelentkezési kísérlet után felfüggesztésre kerüljön. A felfüggesztést kizárólag a rendszergazdák állíthatják vissza a felhasználó személyes kérésére. Az operációs rendszerhez, illetve az alkalmazói rendszerekhez való hozzáférés esetén, ahol lehet, az utolsó sikeresen bejelentkezett felhasználói azonosítónak rejtve kell maradnia.
27.1.2.4 A hozzáférés ellenőrzése Az ONYF jogosultsági rendszerét meghatározott időközönként de legalább évente felül kell vizsgálni. A felülvizsgálat során rendszeres, teljes, összehasonlító vizsgálatot kell végezni, melynek felelőse az ONYF Belső ellenőrzése. Az ellenőrzések megkezdése előtt információkat kell gyűjteni: •
az egyes alkalmazások személyes biztonsági követelményeiről,
•
az alkalmazások ki és bemenő adatairól,
276
•
az adatok bizalmassági/sértetlenségi szintbe sorolásáról,
•
az adott bizalmassági/sértetlenségi szinten meghatározott adatkezelésről,
•
a különböző rendszerek és hálózatok összefüggéseiről,
•
a vonatkozó törvényi, hatósági és szervezeti szabályozásokról, stb.
Az ONYF Belső ellenőrzésének informatikai biztonsággal kapcsolatos feladatai: •
felülvizsgálni a felhasználók jogosultságait évente egyszer, illetve jogosultság változást előidéző eseményekkor (pl.: a felhasználó kilépésekor, áthelyezésekor, új munkatárs felvételekor). A vizsgálat során figyelni kell arra, hogy a felhasználónak csak olyan alkalmazásokhoz, rendszerekhez legyen hozzáférési joga, amiket valójában használ.
•
szúrópróbaszerűen ellenőrzi, hogy a jogosultságok adminisztrációja a szabályzatban foglaltak szerint történik-e, a rendszerek felhasználására és az adatok meghatározott mértékű elérésére csak a dokumentációban rögzített személyek jogosultak.
•
A vizsgálat során ki kell térni különös tekintettel a páncélszekrényben tárolt rendszergazdai jelszavak vizsgálatára is. A vizsgálatot végző Belső ellenőr a páncélszekrényben található borítékok felbontása után meggyőződik, hogy az ott tárolt jelszavak használhatóak, valamint gondoskodik arról, hogy a vizsgálat után az adott az Informatikai Biztonsági Felelős vagy Informatikai Biztonsági Összekötő/adminisztrátor rendszergazdai jelszót megváltoztassa, és leellenőrzi, hogy ez nem egyezik a vizsgálat elején a borítékban talált jelszóval. A felbontott borítékokat és tartalmukat, a vizsgálatot követően meg kell semmisíteni, és az Informatikai Biztonsági Felelősnek vagy Informatikai Biztonsági Összekötőnek gondoskodni kell arról, hogy az új jelszó elhelyezésre kerüljön a páncélszekrényben.
•
Az ONYF Belső ellenőrzése a feltárt hiányosságokról jegyzőkönyvet készít, és a megfelelő eljárásokról saját hatáskörében intézkedik, valamint hatáskörét meghaladó eljárások megindítását kezdeményezi.
27.1.2.5 Biztonsági eljárások felügyelete Az Informatikai Eszköznyilvántatási és Adatvédelmi Osztály a biztonságot érintő eseményekről nyilvántartást vezet, továbbá a biztonsági intézkedések megsértésére utaló jelzésekről azonnal értesíti az összes, belső és külső, érintett felet és kellő időben megteszi a szükséges válasz-lépéseket.
277
28 Mentés, archiválás, és visszatöltés 28.1 Bevezetés A dokumentum célja, hogy meghatározza az ONYF informatikai rendszerén elektronikusan tárolt adatok mentési és archiválási rendjét.
A mentési rend célja, hogy kialakítsa azokat az eljárásokat, feladatokat és felelősségeket, amelyekkel biztosítani lehet az szervezeti szempontból „fontos”, vagy annál magasabb adatosztályba sorolt adatok előírt rendelkezésre állását.
28.1.1
MENTÉS (BACK-UP) ÉS HELYREÁLLÍTÁS Az ONYF vezetésének ki kell dolgoznia egy megfelelő stratégiát az adatok mentésére
és helyreállítására vonatkozóan, amely kitér az ügyviteli követelmények áttekintésére valamint a helyreállítási terv kidolgozására, megvalósítására, tesztelésére és dokumentálására is. Megfelelő eljárások keretében gondoskodni kell arról, hogy a mentések megfeleljenek a fenti követelményeknek. 28.1.1.1 Mentési munkafolyamatok Megfelelő eljárások keretében gondoskodni kell arról, hogy a mentési műveletek a meghatározott mentési stratégiával összhangban kerüljenek végrehajtásra, továbbá rendszeres időközönként ellenőrizni kell a mentések használhatóságát. 28.1.1.2 Archiválás A vezetésnek megfelelő szabályok és eljárások kialakításával gondoskodnia kell arról, hogy az adatok archiválására a jogi és ügyviteli követelményeknek megfelelően kerüljön sor, továbbá gondoskodni kell az archivált adatok megfelelő védelméről és nyilvántartásáról.
28.1.2
FELELŐSSÉGEK
28.1.2.1 Az ONYF Informatikai főosztály vezetőjének elektronikusan tárolt adatok mentésével kapcsolatos feladatai és felelőssége:
278
•
Felelős az ONYF mentési, archiválási rendjének kidolgozásáért.
•
Felelős a mentési, archiválási rend rendszeres ellenőrzéséért.
•
Felelős a mentési rendet érintő változások követéséért, illetve a mentési rendről szóló dokumentációk felülvizsgálatáért.
•
Felelős a mentési feladatokkal megbízott rendszergazda által jelentett incidensek kezelésére vonatkozó intézkedések foganatosításáért, illetve szükség esetén a kezeléshez szükséges erőforrások biztosításáért.
28.1.2.1.1 A mentésért felelős rendszergazda felelőssége: •
Felelős a központi informatikai rendszerben tárolt elektronikus adatok mentésének, archiválásának rendszeres, előírásszerű végrehajtásáért.
•
Felelős a mentések, archiválások végrehajtása során feltárt incidensek az ONYF Rendszerüzemeltetési főosztály vezetőjének történő jelentéséért, az ONYF Rendszerüzemeltetési főosztály vezetőjének irányelvei, illetve ebben a dokumentumban meghatározott követelmények alapján az incidensek kezeléséért.
•
Felelős a mentések visszatöltéssel történő ellenőrzések végrehajtásáért.
•
Felelős az archívumban elhelyezett adathordozók rendszeres ellenőrzéséért, időszakonként történő átcsévéléséért, vagy átmásolásáért.
•
Felelős a mentéssel, archiválással, illetve visszatöltéssel kapcsolatos dokumentálások elvégzéséért.
28.1.2.1.2 Az Informatikai Biztonsági Összekötő/adminisztrátor felelőssége •
Felelős a helyi informatikai rendszerben tárolt elektronikus adatok mentésének, archiválásának rendszeres, előírásszerű végrehajtásáért.
•
Felelős a helyi mentések, archiválások végrehajtása során feltárt incidensek az üzemeltetésért felelős vezetőnek történő jelentéséért, az üzemeltetésért felelős vezetőjének irányelvei, illetve ebben a dokumentumban meghatározott követelmények alapján az incidensek kezeléséért.
•
Felelős a helyi mentések visszatöltéssel történő ellenőrzések végrehajtásáért.
•
Felelős a helyi archívumban elhelyezett adathordozók rendszeres ellenőrzéséért, időszakonként történő átcsévéléséért, vagy átmásolásáért. 279
•
Felelős a helyi mentéssel, archiválással, illetve visszatöltéssel kapcsolatos dokumentálások elvégzéséért.
28.1.3
A MENTÉS IRÁNYELVEI
A mentések megtervezésekor az alábbi szempontokat vettük figyelembe: •
Minden olyan adat mentésre kerüljön, amely az adatosztályozás során „fontos”, vagy annál magasabb besorolást kapott.
•
Minden mentésnek biztosítani kell az adatok kezeléséhez szükséges szoftverkörnyezet következetes helyreállíthatóságát (operációs rendszer, adatbázis-kezelő, stb.).
•
Minden olyan adat mentésre kerüljön, amely az auditálás, ellenőrzés eszköze lehet (naplófájlok, riportok, stb.)
•
Minden olyan eszköz konfigurációja mentésre kerüljön, amely részt vesz „fontos”, vagy annál magasabb besorolású adat kezelésében (tárolásában, továbbításában, stb.: pl.: szerver BIOS, aktív eszközök)
•
Minden mentés alkalmas legyen olyan környezet helyreállítására, mely lehetővé teszi valamely igazolható állapothoz való visszatérést,
•
minden mentés legalább két példányban készüljön, a két példányt elkülönítetten kell tárolni,
280
28.1.4
A MENTÉSEK TARTALMA
28.1.4.1 Szerverek mentése
Mentési eljárás
Mentendő állományok
Mentendő eszköz Mentési gyakorisága
Mentés típusa
Image mentés a telepített rendszerről
Tároló területek, fájlok
Adatbázisok
Konfigurációs fájlok
Jelszó fájlok
Profil fájlok
Tükrözés/ BS Szerver1
Napi mentés Heti mentés Havi mentés Tükrözés/ BS
Szerver2
Napi mentés Heti mentés Havi mentés Tükrözés/ BS Napi mentés Heti mentés Havi mentés Tükrözés/ BS Napi mentés Heti mentés Havi mentés Tükrözés/ BS Napi mentés Heti mentés Havi mentés Tükrözés/ BS Napi mentés Heti mentés Havi mentés Tükrözés/ BS
281
Napi mentés Heti mentés Havi mentés Tükrözés/ BS Napi mentés Heti mentés Havi mentés Tükrözés/ BS Napi mentés Heti mentés Havi mentés Tükrözés/ BS Napi mentés Heti mentés Havi mentés Tükrözés/ BS Napi mentés Heti mentés Havi mentés Tükrözés/ BS Napi mentés Heti mentés Havi mentés Tükrözés/ BS Napi mentés Heti mentés Havi mentés Tükrözés/ BS Napi mentés Heti mentés Havi mentés
282
28.1.5
ADATKOMMUNIKÁCIÓS ESZKÖZÖK MENTÉSE
Az adatkommunikációs eszközök mentését az alábbi esetekben kell elvégezni •
új eszköz rendszerbeállítása esetén,
•
az adatkommunikációs eszközök konfigurációjában történő bármilyen változás esetén,
•
fél évente egy alkalommal.
28.1.6
MENTENDŐ ÁLLOMÁNYOK:
Router: Switch:
Az adatkommunikációs eszközök konfigurációit a „xxx” könyvtárba kell lementeni.
A lementett konfigurációs fájlok archiválását 6 havonta, a gyors visszaállíthatóság érdekében CD-re kell elvégezni.
283
28.1.7
MENTÉSI REND
28.1.7.1 Mentési Job-ok
Feladat
Szerverek
Beállítások Meghajtók,
1. SZERVER BACKUP JOB1
Mappák Fájlok Meghajtók,
2. SZERVER K. SZERVER
Mappák Fájlok Meghajtók, Mappák Meghajtók,
1. SZERVER
Mappák Fájlok Meghajtók,
BACKUP JOB2
2. SZERVER
Mappák Fájlok Meghajtók,
L. SZERVER
Mappák Fájlok
1. SZERVER
Meghajtók, Mappák Meghajtók,
BACKUP JOBX
2. SZERVER M. SZERVER
Mappák Fájlok Meghajtók, Mappák
284
28.1.8
A MENTÉSEK IDŐTARTAMA
Mentő feladat
Hétköznap (óra)
Hétvége (óra)
JOB1 JOB2 JOB3
28.1.9
A NAPI MENTÉSEK RENDJE
Napi mentések
JOB1 JOB2 JOB3
Hétfő
Kedd
Szerda
Csütörtök
Péntek
Szombat
Vasárnap
Mentés ideje
Mentés ideje
Mentés ideje
Mentés ideje
Mentés ideje
Mentés ideje
Mentés ideje
Mentés típus
Mentés típus
Mentés típus
Mentés típus
Mentés típus
Mentés típus
Mentés típus
Mentés ideje
Mentés ideje
Mentés ideje
Mentés ideje
Mentés ideje
Mentés ideje
Mentés ideje
Mentés típus
Mentés típus
Mentés típus
Mentés típus
Mentés típus
Mentés típus
Mentés típus
Mentés ideje
Mentés ideje
Mentés ideje
Mentés ideje
Mentés ideje
Mentés ideje
Mentés ideje
Mentés típus
Mentés típus
Mentés típus
Mentés típus
Mentés típus
Mentés típus
Mentés típus
A mentés típusa lehet: teljes, inkrementális
28.1.10
A HETI, HAVI, ÉS ARCHÍV MENTÉSEK RENDJE Heti
Havi
Archív
Full mentések JOB1
JOB2
JOB3
nap
nap
nap
időpont
időpont
időpont
nap
nap
nap
időpont
időpont
időpont
nap
nap
nap
időpont
időpont
időpont
285
28.1.11
AZ ARCHIVÁLÁSOK RENDJE
Archiválást kell végrehajtani akkor, amikor a rendszerből az adatok kikerülnek és csak az adathordozón élnek tovább. 28.1.12
KÖZPONTI ARCHIVÁLÁSOK RENDJE
Központi archiválást kell biztosítani az alábbi állományokra: •
Fájlszerveren tárolt fájlok dokumentumok, melyeket az utolsó egy év időtartamban nem nyitottak meg.
•
A felhasználók postaládájában található levelek, melyeket az utolsó egy évben nem nyitottak meg
A központi archiválások által keletkezett adathordozók tárolását a dokumentum 8.2.3 pontjának megfelelően kell tárolni, illetve dokumentálni.
28.1.13
AZ EGYÉNI ARCHIVÁLÁSOK IGÉNYLÉSÉNEK RENDJE
Ha az információk rendelkezésre állási követelményei miatt szükséges, vagy a központi archiválási eljárásban nem szerepel, a felhasználó kérheti adatainak renden kívüli archiválását.
Az archiválási igényeket az Informatikai Főosztály vezetőjének kell benyújtani. A mentésre adatokat tartalmazó média tárolásáról, megőrzéséről a felhasználó gondoskodik.
28.1.14 28.1.14.1
A MENTÉSEK VISSZATÖLTÉSE A mentések visszatöltése ellenőrzési céllal
A mentési adathordozókat a mentési eljárás sikeres lefutásától függetlenül előre meghatározott terv alapján szúrópróba-szerűen minimum negyedévente minden mentési job esetén, és évente az archív mentések esetében ellenőrizni kell. Az ellenőrzés lefolytatása az alábbi feladatok végrehajtását jelentik:
286
•
média kiválasztása (véletlenszerűen),
•
visszatöltés teszt-célú rendszerbe: elérési útvonal helyre,
•
a sikeresség ellenőrzése mintavételezéses eljárással,
•
média visszahelyezése, teszt elvégzésének dokumentálása.
Az ellenőrzések lefolytatását, dokumentálását a mentésért felelős rendszergazda hajtja végre. Az Informatikai Biztonsági Felelős félévente egy alkalommal ellenőrzi a visszatöltések dokumentáltságát. 28.1.14.2
Mentések visszatöltése visszaállítási céllal
Az adatok visszatöltési idejét az adatok rendelkezésre állása szerinti osztályba sorolásnak védelmi követelményei alapján kell meghatározni.
Az adatok visszatöltését a katasztrófa elhárítási tervek aktualizálása esetén, az abban foglaltak szerint kell végrehajtani.
Az adatok visszatöltését az illetékes munkahelyi vezető is kérheti az üzemeltetésért felelős vezetőtől. Az Informatikai Főosztály vezetőjének gondoskodnia kell annak ellenőrzéséről, hogy a visszaállítást kérő személynek van-e jogosultsága a visszaállításra kerülő adatokhoz.
A visszaállítás tényét a visszatöltést végző rendszergazdának dokumentálni kell
28.1.15
MENTÉSI ADATHORDOZÓK KEZELÉSE
28.1.15.1.1
Mentési adathordozók használatba vétele
Az adathordozót használatba vétel előtt külsőleg is fel kell címkézni. A címkén kötelező jelleggel szerepelnie kell a - választott ciklikus mentési rendnek megfelelő - sorozat és napi azonosítónak. A mentési folyamatokban a szalag belső elektronikus azonosítója használható.
A kazettás médiát a mentés végrehajtása előtt formattálni szükséges.
28.1.15.1.2
Mentési adathordozók tárolása
287
28.1.15.1.2.1
Munkapéldányok tárolása
A napi és heti mentések egyes számú példányait a gépteremben elhelyezett szekrényben kell tárolni, hogy szükség esetén a hozzáférés azonnal biztosítható legyen. 28.1.15.1.2.2
Biztonsági másolatok tárolása
A központi üzemeltetésű rendszerek esetén biztonsági mentési kazettákat a kijelölt helyszínen elhelyezett tűzálló páncélszekrényben kell tárolni. A másolat elhelyezéséért a mentésért felelős rendszergazda felelős
A nem központi üzemeltetésű rendszerek esetén a biztonsági mentési kazettákat az adott nyugdíj-biztosítási igazgatási szerven, vagy működési helyen tűzálló páncélszekrényben kell tárolni. A másolat elhelyezéséért az Informatikai Biztonsági Összekötő/adminisztrátor felelős. 28.1.15.1.2.3
Archív mentések tárolása
A központi üzemeltetésű rendszerek esetén a havi és archív szalagokat a kijelölt helyszíneken, tűzbiztos páncélszekrényben kell tárolni, hozzáférésükről naplót kell vezetni. A másolat elhelyezéséért mentésért felelős rendszergazda felelős
A nem központi üzemeltetésű rendszerek esetén a havi és archív szalagokat az adott nyugdíjbiztosítási igazgatási szerven, vagy működési helyen tűzálló páncélszekrényben kell tárolni. A másolat elhelyezéséért az Informatikai Biztonsági Összekötő/adminisztrátor felelős. A másolat elhelyezéséért mentésért felelős Informatikai Biztonsági Összekötő/adminisztrátor felelős. 28.1.15.2
Mentési adathordozók újrahasznosítása, rotálása
A mentési adathordozókat, vagy az adathordozókon tárolt adatokat az alábbiak szerint kell rotálni:
Típus
Rotálási ciklus
Napi
7 nap
Heti
5 hét
Havi
1 év
Éves
5 év
288
28.1.15.3
Mentési adathordozók selejtezése, megsemmisítése
Az alábbi táblázat a mentési adathordozók számításba vehető élettartamát tartalmazzák: Média
Max. élettartam
LTO-x
2 év
CD-R
3 év
CD-RW
3 év
DVD-R
3 év
DVD-RW
3 év
A maximális élettartamuk lejárta után az adathordozókat át kell másolni új adathordozóra, majd a régi adathordozót le kell selejtezni, és meg kell semmisíteni. Megsemmisítéskor az adathordozót fizikailag kell megsemmisíteni. Az adathordozót le kell selejtezni akkor is, ha vélhetően az adathordozó hibája miatt az adatmentés sikertelen volt, illetve ha a katasztrófapróbák, és adat-visszatöltési próbák során az adatvisszatöltés sikertelenné vált.
28.1.15.4
Mentések, archiválások dokumentálása
A mentések végrehajtását mentési naplóban kell rögzíteni, melynek az alábbi információkat kell tartalmaznia: •
Szervezeti egység megnevezése
•
Rendszer megnevezése
•
Mentés azonosítója
•
Mentés ideje
•
Mentés tartalma
•
Mentés végrehajtója és aláírása
•
Mentés státusza (sikeres, sikertelen)
A mentési napló mintapéldányát a lenti táblázat tartalmazza. A mentési napló ellenőrzését az Informatikai Biztonsági Felelős végzi.
289
28.1.15.5
Mentési/archiválási napló
Szervezeti egység megnevezése: ........................................................................................ Rendszer megnevezése: .......................................................................................................
Dátum
Adathordozó azonosító
28.1.16
Tartalom
Név
Aláírás
Időpont
Státusz
ADATBÁZISOK MENTÉSE , ARCHIVÁLÁSA
A központi és a felhasználói számítógépeken keletkezett adatállományokat, adatbázisokat rendszeresen, több-generációs módszerrel menteni kell. Az egyes alkalmazói rendszerek üzemeltetési leírásainak mentésre vonatkozó szakaszát betartva, a mentést - a helyi adatvé-
290
delmi utasításban meghatározott időközönként - a rendszergazdának kell elvégeznie. Meg kell győződnie arról, hogy a mentés teljes, és az adatbázist a mentésből vissza lehet állítani. Az adatok és adatbázisok általános mentésre-visszatöltésre vonatkozó szabályait az egyes rendszerek üzemeltetési kézikönyveinek kell tartalmaznia, összhangban a kiadott főigazgatói és igazgatói utasításokkal. 28.1.17
BIZTONSÁGI MENTÉSEK TÁROLÁSA
A biztonsági mentési állományokat tartalmazó adathordozók tárolását, az adathordozók nyilvántartását az egyes rendszerek üzemeltetési kézikönyvében foglaltakkal összhangban kell elvégezni. A biztonsági mentéseket az üzemelő rendszer fizikai (földrajzi) helyétől eltérő helyszínen is kell tárolni. Ez azt jelenti, hogy minden biztonsági mentést két példányban kell elkészíteni, és két helyszínen kell tárolni, felhasználásra alkalmas állapotban. A lehetőségek figyelembe vételével kell az őrzési helyeket meghatározni. 28.1.18
TARTALÉK ADATTÁROLÁS
A helyreállításra és folyamatos üzletvitelre vonatkozó tervek kapcsán gondoskodni kell a kritikus back-up adathordozók, dokumentációk és egyéb informatikai erőforrások kettőzött tárolásáról. A twin telephelyeken tárolandó back-up erőforrások körének meghatározásába be kell vonni az ügyviteli folyamatokért felelős vezetőket és az informatikai részleg dolgozóit is. A tartalék, iker telephely („twin”) tárolási helyet úgy kell megválasztani, hogy az megfelelő legyen a tárolt adat-hordozóknak és egyéb erőforrásoknak, és megfelelő biztonsági szabályok kialakításával gondoskodni kell arról, hogy illetéktelen személyek ne férhessenek hozzá a back-up erőforrásokhoz. Az informatikai vezetésnek rendszeres időközönként, legalább évente egyszer, felül kell vizsgálnia a kettőzött tárolásra vonatkozó szabályok tartalmát, valamint azok környezet-védelmi és biztonsági vonatkozásait. 28.1.19
MENTÉSEK TÁROLÁSA
Az informatikai adathordozókra vonatkozó mentési előírások keretében gondoskodni kell az adatállományok, a szoftverek és a kapcsolódó dokumentációk megfelelő tárolásáról, mind a szervezet telephelyén, mind azon kívül. A mentéseket biztonságos helyen kell őrizni, és rendszeres időközönként ellenőrizni kell a tárolási hely fizikai hozzáférhetőségét valamint az adatállományok és egyéb elemek biztonságát.
291
29 A hardver eszközökhöz kapcsolódó védelmi intézkedések 29.1 Általános szabályok A hardvereszközök üzemeltetés-biztonságán a rendelkezésre állás és a funkcionalitás biztosítását kell érteni. Az informatikai berendezések hibátlan és üzemszerű működését biztosítani kell. Az üzemeltetés-biztonság megköveteli a hibaáthidalás tevékenységeinek megtervezését és a végrehajtás módjának rögzítését az üzemeltetési kézikönyvekben. A hibaáthidalás érdekében a tartalékrendszereket, a biztonsági mentéseket, az archív állományokat rendkívüli üzemzavarra való felkészülés keretében használatra alkalmas állapotban kell tartani, és ezt az állapotot időről időre ellenőrizni kell. A hardver és hálózati eszközökről a teljes életciklus során minden releváns információt nyomon kell követni a konfigurációkezelés tevékenységeinek segítségével. 29.1.1
KÖZPONTI HARDVERESZKÖZÖK ÜZEMELTETÉSE A központi rendszereket úgy kell üzemeltetni, hogy az adatok és adatállományok ép-
sége, teljessége ne sérüljön, biztonsága ne kerüljön veszélybe, valamint az üzemzavar utáni helyreállítás lehetséges, teljes és gyors legyen. Üzemzavar esetén a tartalékrendszereket az üzemeltetési kézikönyvben foglaltak szerint kell biztosítani, beüzemelni. Természeti katasztrófa, vagy egyéb rendkívüli esemény bekövetkeztekor az üzemeltetési kézikönyvtől való eltérésben az adatvédelem szempontjainak elsődleges biztosítását szem előtt tartva kell eljárni. A központi hardvereszközök üzemeltetésének biztonságért az Informatikai Főosztály vezetője felelős. Az ágazat rendszereinek szerződés keretében történő üzemeltetését, a kapcsolódó felelősségi viszonyokat a vonatkozó szerződésben kell meghatározni. A központi rendszerek üzemeltetéséhez a jogosultságot az Informatikai Főosztály vezetőjének kell engedélyeznie. Az engedélyezett jogosultságok adminisztrálását a belső adatvédelmi felelős végzi el. 29.1.2
FELÜGYELET A központi rendszerekkel kapcsolatos valamennyi tevékenységet automatikusan nap-
lózni kell. Ez azt jelenti, hogy a rendszer valamennyi adatállományban végrehajtott műveletet (olvasás, írás, adatcsoportosítás, lekérdezés, keresés, törlés, átmozgatás) időponttal, a felhasználói számítógép IP-címével és a felhasználót azonosító adatokkal együtt automatikusan rög-
292
zít. A napló tartalmazhat – vezetői igény szerint - ennél több adatot is. A naplóállománynak választ kell adnia arra a kérdésre, hogy ki, mikor, milyen jogosultságokkal, milyen műveletet hajtott végre a rendszerben. A naplóállomány paramétereinek beállítása és a naplóállomány mentése az üzemeltetés feladata. A jogosultságok eseti használatához, azaz a hozzáférés ellenőrzéséhez a naplóállományoknak rendelkezésre kell állnia. Az ellenőrzés során a két nyilvántartás egyes adatait össze kell vetni. A jogosultságok nyilvántartása és a hozzáférések naplózása külön-külön rendszerben történik. A központi rendszerekkel kapcsolatos valamennyi tevékenység automatikus naplózása kiterjed a fentieken túlmenően a biztonsági beállítások változásainak rögzítésére, így a biztonsági paraméterek beállításával, vagy azok módosításával kapcsolatos cselekmények naplózására is. A biztonsági paraméterek változtatását az ONYF főigazgató-helyettese, illetve a NYUFIG igazgatója rendelheti el és a végrehajtást kizárólag ők engedélyezhetik. Amennyiben a napló vizsgálata során bármely szintű biztonsági esemény, incidens kísérletének gyanúja merül fel, illetve az informatikai biztonság megsértésének bekövetkezése valószínűsíthető, ezt az üzemeltetés munkatársa azonnal – munkaidőtől függetlenül - jelenteni köteles az Informatikai Főosztály vezetőjének. Az Informatikai Főosztály vezetője a bejelentés megalapozottságának vizsgálatát elrendeli, ezzel párhuzamosan az eseményről értesíti az Informatikai és Rendszerfejlesztési főigazgató-helyettest és a belső adatvédelmi felelőst. A vizsgálat végeredményét jegyzőkönyvben kell rögzíteni, meghatározva az eseménnyel érintett informatikai területet, az érintett adatállományok és adatbázisok körét, valamint az eseménynyel kapcsolatban szükséges további teendőket. Az Informatikai Főosztály vezetője a biztonsági szabályszegésekről hetente, összefoglaló jelentésben köteles tájékoztatni a felső vezetést. 29.1.3
FELHASZNÁLÓKAT SEGÍTŐ KÉZIKÖNYVEK ÉS EGYÉB ANYAGOK Minden rendszerfejlesztési- illetve módosítási projekt esetében a fejlesztőknek (lehető-
leg elektronikus formában) a megfelelő felhasználói útmutató kézikönyveket el kell készíteniük. 29.1.4
HARDVER ESZKÖZÖK FIZIKAI HOZZÁFÉRÉSE
29.1.4.1 Szerverek fizikai hozzáférése
293
Az ONYF szervereit az erre a célra kialakított szerverszobákban kell elhelyezni. A szerverszoba kialakítási, és hozzáférési követelményeiről az IBSZ „117.1 A kiszolgálógépterem” fejezete rendelkezik. 29.1.4.2 Szerverek üzemeltetése A szervereket úgy kell üzemeltetni, hogy az adatok és adatállományok épsége, teljessége ne sérüljön, biztonsága ne kerüljön veszélybe, valamint az üzemzavar utáni helyreállítás lehetséges, teljes és gyors legyen. A szerverek közvetlen felügyelete és a működtetéssel kapcsolatos operatív tevékenységek (mentés és archiválás) ellátása a rendszergazdák feladata. A szerverekhez és a kliensekhez a jogosultságot az Informatikai Főosztály/ nyugdíjbiztosítási igazgatási szervek vezetőjének kell engedélyeznie. Az engedélyezett jogosultságokat az Informatikai Főosztály ezzel megbízott munkatársa , illetve a nyugdíj-biztosítási igazgatási szervek rendszergazdája köteles nyilvántartani. A hozzáférés ellenőrzéséhez a szerverek naplóállományainak rendelkezésre kell állni.
29.1.4.3 Munkaállomások fizikai hozzáférése A felhasználóknak tilos a munkaállomás hardver konfigurációját megváltoztatni, a hardver eszköz belsejébe bármilyen okból belenyúlni. A munkaállomásokat az üzembe helyezés alkalmával zárjeggyel kell ellátni annak érdekében, hogy meg lehessen állapítani, ha a hardver eszköz konfigurációját valaki megbontotta. Az irodán belül a munkaállomást úgy kell elhelyezni, hogy a normál munkavégzés során biztosítva legyen, hogy a munkaállomás képernyőjét csak annak használója láthassa. „Titkos”, illetve „Szigorúan titkos” információk feldolgozását végző munkahelyek monitorait úgy kell elhelyezni, hogy: •
utcára néző ablakkal a sugárzási irány maximum 15 fokos szöget zárhat be.
•
épületgépészeti rendszerrel (radiátor, fűtéscső, gázcső, stb.) a sugárzási irány nem találkozhat.
29.1.4.4 Nyomtatók fizikai hozzáférése Az ONYF nyomtatóit úgy kell elhelyezni, hogy a kinyomtatott anyagok illetéktelen kezekbe ne kerülhessenek. Ennek érdekében:
294
•
A megosztott nyomtatókat úgy kell elhelyezni, hogy az állandó felügyelet, vagy a hozzáférés egyedisége és naplózása biztosított legyen.
•
A megosztott nyomtatókon „Szolgálati használatra”, vagy annál magasabb minősítésű információt csak abban az esetben szabad nyomtatni, ha a nyomtatóhoz hozzáférő valamennyi személynek az ilyen információkba betekintési joga van.
•
Azokat a nyomtatókat, amelyeken „Titkos”, vagy „Szigorúan titkos” anyagok nyomtatása történik, névhez kell kötni, és a munkaállomás közvetlen környezetében kell elhelyezni.
A nyomtatókból minden, az adatvédelem, adatbiztonság tárgykörébe tartozó adatot tartalmazó iratot a nyomtatást kezdeményező személynek kell eltávolítania. El kell kerülni a papíralapú adatokhoz való illetéktelen hozzáférés lehetőségét, a bizalmassági kritérium megsértését harmadik személy által. Védett adatot tartalmazó dokumentumot - az ONYF és a nyugdíj-biztosítási igazgatási szervek egységes iratkezelési szabályzatában foglaltak szerint el kell zárni, használhatatlansága esetén pedig meg kell semmisíteni.
29.1.5
HÁLÓZATI ESZKÖZÖK FIZIKAI HOZZÁFÉRÉSE
A hálózati eszközöket úgy kell elhelyezni, hogy az illegális tevékenységből adódó kockázatok minimálisak legyenek. Ennek érdekében az alábbi elhelyezési körülmények közül kell választani: •
Központi rendezés esetén a szerverszobában
•
Osztott rendezés esetén zárható, vagy felügyelhető helyiségben, zárt rackszekrényben.
29.1.6
HARDVER ESZKÖZÖK FIZIKAI BIZTONSÁGA
A hardver eszközök fizikai biztonságának biztosítása érdekében minimálisan az alábbi védelmeket kell kialakítani: •
Tűzvédelem: A tűzvédelmi szabályzatban kell kitérni az egyes biztonsági zónák tűzvédelmi minősítéséről, és tűzvédelmi megoldásairól.
•
Villámvédelem: Az ONYF épületein, villámvédelem van telepítve, melyeket rendszeresen felül kell vizsgáltatni
295
•
Túlfeszültség-védelem: Túlfeszültség-védelmet kell telepíteni azoknak az eszközöknek a betáplálásához, amelyek kritikusak a meghibásodás szempontjából (szerverek, aktív eszközök, stb.)
A fentieken túl biztosítani kell, hogy a hardver eszközök közelében ne folyjon olyan tevékenység, amely veszélyeztetheti az eszköz működő képességét. Tilos az alábbi tevékenységek folytatása: •
A hardver eszközökön tilos tárolni olyan anyagokat, amelyek veszélyeztethetik a hardver eszközt (virág, élelmiszer, ital, mágneses tárgyak, stb.)
•
Tilos a hardver eszközök közvetlen környezetében étkezni, és bármilyen italt fogyasztani.
29.1.7
FIZIKAI VÉDELEM Az informatikai eszközök fizikai védelme és az eszközökhöz történő illetéktelen hoz-
záférés megakadályozása az eszközök használóinak felelőssége. Az ellenőrzés - beleértve az informatikai eszközök külső szervezet telephelyén történő felhasználását is, - az általános biztonsági szabályokkal összhangban az eszköznyilvántartó és a leltárért felelős személyek feladata. A fizikai biztonság és hozzáférés ellenőrzését a rendszer-hardverek helyiségein kívül a rendszer elemeinek összekapcsolásához használt kábelezési egységekre, a segítő szolgáltatásokra (például elektromos áramforrások), a mentésekhez használt adat-hordozókra és a rendszer működéséhez szükséges minden egyéb elemre ki kell terjeszteni. Hozzáférési jogot vezetői kezdeményezésre csak az arra felhatalmazott személyek kaphatnak. Amennyiben az informatikai eszközök nyilvános területeken vannak elhelyezve, gondoskodni kell azok megfelelő védelméről az esetleges rongálások, illetve lopások megelőzése érdekében. 29.1.8
LÁTOGATÓK KÍSÉRÉSE Gondoskodni kell arról, hogy külső személyek, vagyis akik nem az Informatikai Fő-
osztály dolgozói, csak az erre felhatalmazott személy(ek) kíséretében léphessenek be a számítógépes helyiségekbe. A látogatásokról naplót kell vezetni, amelyet rendszeres időközönként ellenőrizni kell.
296
29.1.9
BIZTONSÁGI ZÓNÁK Az informatikai eszközök, és az adatok biztonsága érdekében olyan zónákat kell ki-
alakítani, amelyek a biztonsági osztályoknak megfelelő védelmet biztosítanak. A részletes rendelkezéseket a hatályos informatikai biztonsági politika szerint kell meghozni.
29.1.10
HARDVER ESZKÖZÖK ÜZEMELTETÉSI KÖRNYEZETÉNEK PARAMÉTEREI
A hardver eszközök üzemeltetése során figyelembe kell venni a hardver gyártójának üzemeltetésre vonatkozó előírásait. Általában az alábbi környezeti feltételeket kell biztosítani a hardver eszközök számára: •
A munkaállomások üzemeltetési hőmérséklet tartomány 10 celsius foktól 40 celsius fokig terjedjen. Szerverek esetében ez az érték 21 celsius környékén stabilizált (klíma). Kerülni kell a hirtelen hőmérsékletváltozást, főleg a téli szellőztetésnél kell ügyelni a fokozatosságra.
•
A hardver eszközöket óvni kell a fröccsenő víztől, illetve a levegő magas portartalmától.
•
A hardver eszközöket óvni kell az erős mágneses, vagy elektromágneses tértől. Ennek érdekében a használt hangszórókat a munkaállomástól legalább 30 cm távolságra kell elhelyezni.
•
A hardver eszközök számára biztosítani kell a gyári specifikációban előírt betáplálást. Ez hazánkban 220-240 V.
A fenti követelményeknek való megfelelésért a szerverszobában elhelyezett eszközök esetén az eszközök üzembe helyezéséért felelős rendszergazda, munkaállomások esetében a felhasználó felelősek. 29.1.10.1
Informatikai eszközök környezeti biztonsága
Az informatikai eszközök környezeti biztonságának védelme kiterjed az épületüzemeltetés hatás- és felelősségi körében a mechanikai védelemre (nyílászárók, biztonsági zárak, stb.), az intézmény őrzés-védésére, beléptető rendszer alkalmazására, kulcsfelvételi rend kialakítására és betartására, a tűz –, víz- és a vagyonvédelemre. A központi hardver erőforrások, az azokon üzemeltetett alkalmazások által kezelt adatok védelme megköveteli azon épületrészek, helyiségek (gépterem, szerverszobák) védelmét, melyekben ezen eszközök üzemelnek.
297
29.1.10.2
Környezeti tényezőkkel szembeni védelem
Az Informatikai Főosztály vezetőjének gondoskodnia kell arról, hogy megfelelő védelmi intézkedések és eljárások legyenek érvényben a környezeti veszélyforrásokra (pl. tűz, por, elektromosság, túlzott hőmérséklet illetve páratartalom, stb.) vonatkozóan. Ezzel összefüggésben gondoskodni kell a környezeti paraméterek figyeléséhez szükséges eszközök és berendezések kiépítéséről. 29.1.10.3
Áramellátás biztosítása
A hardvereszközök biztonságos üzemeltetéséhez szabványosan méretezett és kiépített, egyéb fogyasztóktól teljesen független elektromos hálózatot kell biztosítani. Az érintésvédelemnek meg kell felelnie az MSZ 172 sorozatú szabvány előírásainak. A számítástechnikai eszközökkel közös árammegszakítóról más elektromos készüléket nem szabad működtetni. Az eszközöket minősíteni kell abból a szempontból, melyek azok az eszközök, ahol fokozott veszélyforrást jelent a közös energia-ellátás. Az áramellátás megszüntetése tilos! 29.1.10.4
Az elektromos hálózat terhelhetősége
Az áramfelvételt, a szükséges fázisok számát az egyes hardvereszközök műszaki paraméterei alapján kell megállapítani, és biztosítani. Az elektromos hálózatban a hálózati feszültség ingadozása is okozhat adatveszteséget. Ennek detektálása nyomán az üzemeltetésért felelős informatikus munkatársaknak meg kell határozniuk az érintett adatok körét, a mentésből az adatokat helyre kell állítaniuk, és az esetleges szabálytalan lefutású tranzakciókat meg kell ismételtetniük. Az üzemeltetésért felelős személy, ha a probléma többször előfordul, az Informatikai Főosztály vezetőjét értesíteni köteles, aki a szükséges intézkedéseket meghatározza. 29.1.10.5
Szünetmentes áramforrás
Az Informatikai Főosztálynak rendszeres időközönként fel kell mérnie a szünetmentes tápegységek és generátorok iránti igényeket a kritikus programok biztonságos működése (áramkimaradások és áramingadozások kiküszöbölése) érdekében. Minden központi hardvereszköz, azaz a szerverek és a hálózati aktív elemek védelmére biztosítani kell megfelelő szünetmentes áramforrást. A szünetmentes áramforrás kapacitása minimálisan akkora legyen, hogy a gépek biztonságos leállítását adatvesztés-mentesen – illetve azt minimalizálva - tegye lehetővé. 298
29.1.10.6
Áramszünettel kapcsolatos teendők
Hosszabb áramszünet esetén, a szünetmentes áramforrás üzemideje alatt gondoskodni kell a folyamatban lévő tranzakciók befejezéséről, az adatok mentéséről, az éppen futó alkalmazások bezárásáról és a szünetmentes áramforrásról üzemeltetett számítógépek szabványos leállításáról. Az áramellátás helyreállása és stabilizálódása után a számítógépeket újra kell indítani. Az újraindítást követően meg kell győződni arról, hogy a berendezések üzemképesek-e, a programok, adatállományok nem sérültek-e meg. Ha az adatállományok sérültek, akkor azokat a korábbi mentésből vissza kell állítani. A mentéseket olyan állapotban kell tartani, hogy a visszatöltés adatvesztés nélkül, vagy minimális adatvesztéssel megvalósítható legyen. Az elveszett adatok, valamint a megismétlendő tranzakciók körét meg kell határozni, mert azokat pótolni, illetve ismételni kell. Az áramszünet bekövetkezése, majd a hálózati feszültség helyreállásával összefüggő teendők ellátásért az üzemeltetés vezetője, illetve a rendszergazda/informatikus a felelős.
29.1.11
HARDVER ESZKÖZÖK TELJESÍTMÉNY-, ÉS KAPACITÁSMENEDZSMENTJE
A hardver eszközök előírt rendelkezésre állási követelményeknek való megfelelősége érdekében a hardver eszközök teljesítményét, és egyéb kapacitását (pl.: tároló kapacitás, nyomtató kapacitás, stb.) rendszeresen monitorozni kell. A tapasztalatok alapján eszközönként meg kell határozni azokat a teljesítmény és kapacitás korlátokat, amelyek elérése esetén a hardver eszközök fejlesztése szükséges. A kapacitástervezésnél figyelembe kell venni azokat az időkorlátokat is, amelyek az eszközök fejlesztéséhez szükséges beszerzésekhez szükséges. A kapacitás menedzsment végrehajtásáért az adott hardver eszköz üzemeltetéséért felelős rendszergazda felelős.
29.1.12
HARDVER ESZKÖZÖK RENDELTETÉSSZERŰ HASZNÁLATA
A munkaállomások rendeltetésszerű használatához az alábbiakat kell figyelembe venni: •
A munkaállomás be-, és kikapcsolásához a hardver eszköz erre a célra kialakított kapcsolóját kell használni. Lehetőség szerint a kikapcsolásra az operációs rendszer kikapcsolás funkcióját kell használni.
299
•
Az adatvesztés elkerülése érdekében a munkaállomás kikapcsolását kerülni kell, amikor az lemezműveletet végez (munkaállomás indítása, fájlhozzáférés, stb.).
•
Ha a munkaállomás a művelet végzése közben „lefagy” elsősorban az újraindítással kell próbálkozni (Reset gomb, Ctr+Alt+Del többszöri próbálkozása), kikapcsolást akkor kell kezdeményezni, ha az újraindítás sikertelen volt.
•
A perifériákat (billentyűzet, egér, nyomtató, stb.) csak kikapcsolt állapotban szabad a munkaállomáshoz csatlakoztatni, vagy onnan leválasztani.
•
A munkaállomás adatbeviteli egységeibe csak szabványos, az ONYF-nél elfogadott adathordozókat szabad behelyezni.
29.1.13
HARDVER ESZKÖZÖK KEZELÉSI RENDJÉVEL KAPCSOLATOS ÓVINTÉZKEDÉSEK
29.1.13.1
Hardver eszközök üzembe helyezése
A hardver eszközök üzembe helyezését csak az üzemeltetés munkatársai végezhetik. A felhasználóknak tilos az üzembe helyezéssel kapcsolatos bármilyen tevékenységet (telepítés, installálás) folytatni. Az informatikai eszközöket az üzembe helyezés során aláírással ellátott zárcímkével kell ellátni. A felhasználóknak a zárcímkét tilos eltávolítani, vagy megrongálni. Az üzembe helyezést hitelt érdemlően dokumentálni kell; ennek formai és tartalmi követelményeit a Számviteli Törvény és a végrehajtásáról kiadott kormányrendelet, valamint a beruházási és felújítási folyamat szabályozásáról, illetve a Nyugdíjbiztosítási Alap Számviteli Politikájáról szóló hatályos főigazgatói utasítás tartalmazza. Az eszközöket úgy kell elhelyezni, hogy az üzemeltetés biztonságát a térbeli elhelyezkedés ne veszélyeztesse. A hardvereszközök fizikai és mechanikai behatásra, ütésre, nedvességre, szélsőséges hőmérsékletre, mágneses erőtérre érzékeny berendezések. Ezért ezeket az eszközöket a gépkönyvben lefektetett műszaki előírásoknak megfelelően kell tárolni, üzembe helyezni, üzemeltetni és raktározni. A szerverfunkciókat ellátó eszközöket külön erre a célra kialakított helyiségben kell elhelyezni és üzemeltetni, ahol a megadott hőmérséklet-tartományhoz szükséges klimatizálás biztosítható. A helyiségbe csak a szerverek működtetésével megbízott személy, és az illetékes munkahelyi vezető jogosult belépni, valamint az, akinek munkavégzéséhez ez elengedhetetle-
300
nül szükséges. Az engedélyt az Informatikai Főosztály vezetője, illetve a nyugdíj-biztosítási igazgatási szerv vezetője adja ki. 29.1.14
HARDVER ESZKÖZÖK CSERÉJE, MÓDOSÍTÁSA
A felhasználóknak tilos a hardver eszközök konfigurációjának megváltoztatása. Erre csak az üzemeltetés kijelölt munkatársai jogosultak. A felhasználók nem csatlakoztathatnak idegen, vagy magántulajdonú perifériákat a munkaállomásaikhoz. 29.1.15
HARDVER ESZKÖZÖK JAVÍTÁS, KARBANTARTÁSA
A hardver eszközök rendelkezésre állási követelményeinek való megfelelés érdekében tervszerű megelőző karbantartási, valamint javítási eljárást kell kialakítani. A hardver eszközök karbantartására évente „Karbantartási tervet” kell készíteni. A tervben szerepeltetni kell minden eszközt (vagy eszközcsoportot), amelynek karbantartásával számolni kell. A karbantartási tervben minimálisan szerepelnie kell az alábbi eszközcsoportoknak: •
Szerverszoba klíma berendezései
•
Szerverek (pl.: hűtőventillátorok)
•
UPS-ek
•
Központi nyomtatók
A hardver eszközök javításával, karbantartásával kapcsolatos szerződésekben szerepeltetni kell azokat a rendelkezésre állási követelményeket, amelyek az eszköz által kezelt adatok minősítési osztálya megkövetel. A rendelkezésre állási követelményeknek ki kell térnie: •
A cég szakembereinek rendelkezésre állásának meghatározására.
•
A karbantartás, vagy javítás tárgyát képező eszközök rendelkezésre állási követelményeinek meghatározására.
A karbantartási, javítási szerződésekben ki kell térni a titoktartási felelősségekre, vagy a már meglévő szerződéseket ún. „Titoktartási nyilatkozattal” kell kiegészíteni. A fenti karbantartási, javítási feladatok végrehajtásáért az üzemeltetés felelős. A felhasználók szükség esetén az alábbi karbantartásokat végezhetik: •
Monitor képernyőjének tisztítása az ONYF-en rendszeresített tisztító eszközökkel.
301
•
A billentyűzet tisztítása, portalanítása az ONYF-en rendszeresített tisztító eszközökkel.
•
Az egér tisztítása az ONYF-en rendszeresített tisztító eszközökkel.
Az Informatikai Főosztálynak gondoskodnia kell a karbantartó személyzet által elvégzendő munkák kijelöléséről és megfelelő felügyeletéről. Ezen felül szabályozni kell hozzáférési jogaikat is az automatizált rendszerekhez történő jogosulatlan hozzáférés elkerülése érdekében. Az Informatikai Főosztály vezetésének ki kell dolgoznia egy hardver-karbantartási ütemtervet a meghibásodások gyakoriságának és hatásának csökkentése érdekében. A számítástechnikai eszközök rendszeres karbantartási munkálatait előre tervezetten, körültekintően kell végezni. Felhasználó az eszközök megbontásával járó beavatkozást a gépen nem végezhet! Hardvereszköz meghibásodása esetén a hiba kivizsgálása elsősorban a rendszergazda feladata. Amennyiben a hibát megszüntetni nem tudja, úgy köteles azt jelenteni az ONYF Help Desknek. A bejelentést követően a Help Desk munkatársainak kötelessége a hiba elhárításáról gondoskodni az SLA és az egyéb hatályos szerződések szerint, valamint a bejelentéssel és a javíttatással kapcsolatos adminisztrációkat elvégezni. Javítási, karbantartási feladatokat az ágazatban csak az erre feljogosított, megfelelő végzettséggel rendelkező személy végezhet. Külső szakszerviz által a helyszínen végzett tevékenység (eszközök karbantartása, javítása, cseréje, bővítése) teljes időtartama alatt a rendszergazdának mindvégig jelen kell lennie. Javítás előtt a javításban érintett adathordozó(k)ról a rendszergazdának biztonsági mentést kell készítenie – kivéve, ha a winchester meghibásodása miatt ez nem lehetséges - és azt a páncélszekrényben kell elhelyeznie. A szakszerviz munkatársa adatot nem ismerhet meg. A meghibásodott adathordozókat a nyugdíj-biztosítási igazgatási szerv adatvédelmi előadója a legrövidebb időn belül az Informatikai Főosztály megbízott munkatársa részére továbbítani köteles, aki gondoskodik az adatmegsemmisítésről. 29.1.16
KÜLSŐ HELYSZÍNEN TÖRTÉNŐ JAVÍTÁS
Nem a helyszínen végzett javítás esetén a védett adatokat tartalmazó működőképes, vagy működésképtelen adathordozót a szerviznek átadni még garanciális javítás esetén is tilos.
302
Ha a javítás nem winchester, hanem egyéb hardverhiba miatt vált szükségessé, az adatok védelme és biztonsága érdekében a rendszergazdának a következők szerint kell eljárnia: •
ha a javításhoz nem szükséges az adathordozó, azt kiszerelés után a páncélszekrényben kell elhelyeznie.
•
ha a javításhoz szükséges az adathordozó, akkor az adatokat mentenie kell, majd mentés után az adathordozót felülírásos formattálási eljárással le kell formáznia. Ebben az esetben a mentést kell a páncélszekrényben elhelyeznie a helyi szabályzat szerint. Így kell eljárnia akkor is, ha a winchester garanciális.
•
azokat az eszközöket, amelyeken kizárólag standard szoftverek (pl. Windows, Lotus Notes, stb.) vannak és semmilyen adat nincsen, át lehet adni a szerződött szerviz munkatársának.
A javítás megfelelőségét, a működőképességet javítás után a rendszergazdának kell igazolnia. Ha a javítás nem megfelelő, akkor azt észlelés után azonnal jeleznie kell a Help Desknek.
29.1.17
HARDVER ESZKÖZÖK TÁROLÁSA
A használaton kívüli hardver eszközöket raktáron kell tárolni. A raktári tárolás közben is biztosítani kell a gyári specifikációban előírt környezeti paramétereket. A raktári eszközök esetén biztosítani kell az eszközök fizikai védelmét. 29.1.18
HARDVER ESZKÖZÖK SZÁLLÍTÁSA
A hardver eszközök szállítása közben biztosítani kell: •
A munkavédelmi törvények betartását
•
A hardverek fizikai védelmét
•
A káros környezeti hatásoktól való védelmet (hősugárzás, erős sztatikus kisülés, mágneses tér)
A hardver eszközök szállítása közben biztosítani kell a folyamatos felügyeletet.
29.1.19
HARDVER ESZKÖZÖK SELEJTEZÉSE, MEGSEMMISÍTÉSE, TOVÁBBÉRTÉKESÍTÉSE
A hardver eszközök selejtezése, megsemmisítése, vagy továbbértékesítése előtt a hardver eszköz adathordozóját visszaállíthatatlanul törölni kell.
303
A törlési eljárás kiválasztásáról az üzemeltetésért felelős vezető gondoskodik. A törlés folyamatát az Informatikai Biztonsági Felelős felügyeli.
29.1.20
HARDVER ESZKÖZÖK BESZERZÉSE, NYILVÁNTARTÁSA
Az ágazatban üzemelő számítógépek, (központi szerverek, kliensek, notebook-ok) továbbá minden, a működéshez és az előírt üzemeltetéshez szükséges eszköz beszerzéséről, biztosításáról az ágazat egésze számára az ONYF Informatikai Főosztálya gondoskodik. Az infrastrukturális rendszerfejlesztések tervezésekor az alábbi szempontokat kell figyelembe venni: •
A rendszer funkcionalitása, platformfüggősége, illetve annak homogenitása.
•
A rendszer teljesítmény, és kapacitás adatai.
•
A rendszer biztonsági megoldásai (pl.: jogosultság kezelés, titkosítás, stb.).
•
Alkalmazott szabványok, interfészek.
•
A rendszer menedzselhetősége.
•
A rendszerhez nyújtott garanciák, és support tevékenységek.
•
A megoldást szállító cég referenciái.
•
A rendszer bevezetésének folyamatát az IT biztonsági felelősnek végig kell kísérni. A fejlesztéssel kapcsolatos szerződéseket az IT biztonsági felelősnek véleményezni szükséges
Az eszközöket a központi eszköznyilvántartó rendszerben (MÁGNES) az eszköznyilvántartó veszi fel a gyári azonosítók feltüntetésével. A szállítást követő 24 órán belül a szállítást fogadó igazgatási szerv rendszergazdája ugyanezen központi nyilvántartásban a leszállított eszközöket gyári szám szerint nyugtázza. A törvényben előírt analitikus nyilvántartáson (Leltár) kívül a hardver eszközök nyilvántartására az alábbi nyilvántartást kell vezetni: •
Raktárnyilvántartások
•
Eszközkiadási bizonylatok:
•
Szállítólevél
A mobil eszközök kezelési rendje
304
29.2 Mobil eszközök kezelése 29.2.1
A HORDOZHATÓ ESZKÖZÖK HASZNÁLATBA ADÁSA -VÉTELE
A hordozható számítógépek szoftvereit, operációs rendszerét az üzemeltetésért felelős szervezet kijelölt rendszergazdái telepítik az előre kidolgozott szabványos eljárás és paraméterezés szerint. Ugyancsak az üzemeltetésért felelős szervezet jogosult az alkalmazói szoftverek telepítésére, verziófrissítésre, a beállítások megváltoztatására. Használatba adás előtt az alábbi védelmi eszközöket kell telepíteni, konfigurálni: •
Helyi biztonsági házirend
•
Vírusvédelmi szoftver
•
Személyi tűzfal
•
Szükség esetén titkosító szoftver
A felhasználónak a használatba vétel során ellenőrizni kell: •
A mobil eszköz és tartozékainak meglétét.
•
A telepített védelmi eszközök meglétét (vírusvédelmi eszköz, személyi tűzfal)
Az átadás-átvétel tényét dokumentálni kell.
29.2.2
A HORDOZHATÓ ESZKÖZÖK HASZNÁLATA
A hordozható eszközök konfigurációjának, beállításainak, paramétereinek (háttér, képernyővédő, szín beállítás, alkalmazások üzemi paraméterei, stb.) megváltoztatására kizárólag az üzemeltetésért felelős szervezet kijelölt rendszergazdája jogosult. Amennyiben az eszköz hosszabb ideig (5 nap) nem csatlakozik a helyi hálózatra, a vírusvédelmi szoftver szignatúrájának frissítését a felhasználónak kell megoldani. Ehhez szakmai segítséget a Informatikai Ügyfélszolgálattól (Help Desk) kaphat. A hordozható eszközök külföldre szállítani csak a hivatal (ONYF: főigazgató, nyugdíjbiztosítási igazgatási szervek vezetői) vezetőjének engedélyével lehet. A felhasználó köteles a hordozható eszközt a hivatali munkával kapcsolatos feladatokra, rendeltetésszerűen használni. A mobil eszközön tilos „Szigorúan titkos” minősítésű, valamint magán jellegű adatok tárolása, feldolgozása.
305
A szükséges frissítések, illetve konfigurációs változtatások végrehajtására, az Informatikai Főosztály kérésére a felhasználó köteles a hordozható eszközt biztosítani.
29.2.3
AZ ESZKÖZ TÁROLÁSA
Az ONYF-en hordozható eszközöket használaton kívül zárható szekrényben kell tárolni, amelyhez a mobil eszköz felhasználójának kizárólagos joga van. Külső projektek, nemzetközi, vagy hazai kiutazások alkalmával a helyi lehetőségek figyelembe vételével kell megoldani az eszköz biztonságos tárolását (pl.: széf, értékmegőrző, stb.).
29.2.4
A HORDOZHATÓ SZEMÉLYI SZÁMÍTÓGÉPEK ÉPÜLETBŐL VALÓ KIVITELE
A hordozható eszközök az arra jogosultak mobilitását szolgálják, így az épületből való kivitelhez külön engedély nem szükséges. A biztonsági szolgálat szakemberei azonban ellenőrizhetik a kivitelt, így a jogosultság igazolására a használatba vételi dokumentumot (utalvány, átadás-átvételi jegyzőkönyv) minden hordozható eszköz felhasználónak magánál kell tartania.
29.3 Mobil eszközök védelmi előírásai 29.3.1
MOBIL ESZKÖZÖK FIZIKAI VÉDELME
A hordozható eszközök mobilitásuknál fogva fokozott veszélynek vannak kitéve a fizikai biztonságukkal kapcsolatos fenyegetettségekkel szemben. A hordozható eszközök fizikai biztonsága érdekében az alábbi szabályokat kell betartani: •
A mobil eszközöket csak az arra rendszeresített vízlepergetős, bélelt táskában szabad szállítani. A szállítás során biztosítani kell, hogy az eszköz ne legyen kitéve erős rázásnak, vagy ütésnek. A mobil eszközt tilos felügyelet nélkül hagyni.
•
Repülőn, autóbuszon, vagy vasúton történő szállítás esetén a hordozható eszközöket kézipoggyászként kell szállítani. A folyamatos felügyeletet ezalatt is biztosítani kell.
A hordozható eszközöket általában tilos kitenni: •
Erős fizikai behatásnak
•
Sugárzó hőnek
•
Erős mágneses, vagy elektromágneses térnek
306
•
Fröccsenő víznek
•
Poros környezetnek
A hordozható eszközhöz csak az ONYF által jóváhagyott, és biztosított perifériák használhatók. A perifériákba csak az ONYF által jóváhagyott, és biztosított, szabványos adathordozók használhatók. A megjelenítő eszköz fokozottan érzékeny a fizikai behatásoknak, ezért annak tisztítását csak az ONYF-nél erre a célra rendszeresített törlő kendőkkel, és tisztító anyagokkal szabad elvégezni.
29.4 Mobil eszközökön tárolt adatok védelme 29.4.1
LOGIKAI HOZZÁFÉRÉS VÉDELEM
A hordozható eszközök felhasználóinak (illetve a helyi rendszergazdai jogosultságnak) a használatos jogosultságoktól erősebb jelszavakat kell biztosítani, illetve kikényszeríteni. A jelszókövetelmények az alábbiak: •
A jelszó hossza minimálisan 16 karakter legyen.
•
A jelszó tartalmazzon kis-, és nagybetűket, számokat, speciális karaktereket.
•
A jelszavakat 30 naponta legyen szükséges megváltoztatni, az utolsó 12 jelszót ne lehessen újra alkalmazni.
29.4.2
TITKOSÍTÁS
A hordozható eszközökön tárolt „Szolgálati használatra” és „Titkos” minősítésű adatok védelmére titkosító eszközök használata szükséges. Ebben az esetben a titkosító kulcsokat külső eszközön kell tárolni (PEN drive, SmartCard, stb.). A titkosító kulcsokat tartalmazó eszközt a hordozható eszköztől külön kell kezelni (tárolni, szállítani, stb.). 29.4.3
MI A TEENDŐ, HA A SZÁMÍTÓGÉPET ELTULAJDONÍTOTTÁK
Amennyiben a számítógépet eltulajdonították, az alábbiakat kell tenni: •
Értesíteni kell a rendőrséget, aki kiállítja a bejelentésről szóló jegyzőkönyvet.
•
Értesíteni kell az Informatikai Biztonsági Felelőst, összekötőt, illetve informatikai biztonsági rendszergazdát, aki intézkedik a felhasználó jelszavának megváltoztatására. 307
•
Amennyiben a számítógép tartalmazott személyes adatokat, a belső adatvédelmi felelőst értesíteni kell.
•
Az Informatikai Biztonsági Felelős illetve Informatikai Biztonsági Összekötő/adminisztrátor intézkedik az esemény kivizsgálására annak érdekében, hogy megállapítható legyen a felhasználó esetleges felelőssége.
•
Ha a rendőrségi nyomozás nem jut eredményre a nyomozás befejezéséről szóló jegyzőkönyvet, és a bejelentésről szóló jegyzőkönyvet át kell adni az adott szervezet gazdasági vezetőjének.
29.5 Távmunka 29.5.1
HOZZÁFÉRÉSEK SZABÁLYOZÁSA
A távmunkával kapcsolatos jogosultság kezelését az „ADATVÉDELMI ÉS INFORMÁCIÓSZABADSÁGI SZABÁLYZAT”-ban leírt módon kell végrehajtani 29.5.2
ESZKÖZÖK HÁLÓZATRA CSATLAKOZTATÁSA
Távoli hozzáférés az ONYF Internet kapcsolatán (VPN), vagy modemes betárcsázással valósul meg.
Modemes betárcsázáskor biztosítani kell azokat az eljárásokat, amelyek a kapcsolat biztonságát garantálják: •
Csak visszahívásos módszer alkalmazása engedélyezett
•
Korlátozni kell az elérhető erőforrásokat
A hordozható eszközök nem csatlakoztathatók idegen hálózatra.
29.5.3
A TÁVOLI MUNKAVÉGZÉS SZABÁLYAI
A távoli elérés csak működő személyi tűzfal, illetve vírusvédelmi szoftver mellett kezdeményezhető. A távoli elérés alatt tilos más - nem az aktuális munkával kapcsolatos - tevékenységek folytatása (pl.: Internet-böngészés).
308
A távoli elérés alatt használt erőforrásokat csak a szükséges időtartamra szabad foglalni. A nem használt hozzáféréseket be kell zárni.
29.6 Ellenőrzések A mobil eszközök használata szabályainak betartását az Informatikai Biztonsági Felelős rendszeresen ellenőrzi. A távoli hozzáféréseket naplózni kell, a log-állományokat rendszeresen elemezni, és kiértékelni szükséges.
309
30 A szoftverekhez kapcsolódó védelmi intézkedéseknek 30.1 Általános szabályok Az ágazatban kizárólag jogtiszta, eredetüket tekintve ellenőrzött szoftverek használata megengedett, amelyek biztosítják a védett adatok ügyvitelnek megfelelő kezelését, és nem veszélyeztetik ezen adatok sértetlenségét és bizalmasságát. Minden szoftvernek az alábbi elemekből kell állnia: •
telepíthető, futtatható állományok,
•
rendszer- és felhasználói dokumentáció,
•
saját fejlesztés esetén fejlesztői dokumentáció,
•
licence-szerződés a felhasználók számának megadásával,
•
teljes körű support.
Az ágazaton belül az adatokkal való kezelői műveletek végzésére (gyűjtés, beolvasás, bedolgozás, megjelenítés, adattovábbítás, adatmozgatás) csak az ONYF Informatikai és Rendszerfejlesztési főigazgató-helyettese által engedélyezett •
központilag beszerzett, vagy külső fejlesztésű szoftver,
•
megrendelt egyedi fejlesztésű, implementálható szoftver és szoftververzió
kerülhet üzemeltetésre. A szoftverek beszerzése, illetőleg a fejlesztett alkalmazói rendszer (javított változatának, illetve új verziójának) fejlesztőktől való átvétele után az alábbi teendőket kell elvégezni: •
biztonsági másolat készítése,
•
az eszköz analitikus nyilvántartásba vétele a számviteli előírások szerint,
•
informatikai eszköznyilvántartásba vétel,
•
az eredeti forrásprogramot tartalmazó adathordozók zárható helyiségben, páncélszekrényben történő elhelyezése.
A biztonsági másolat készítése az üzemeltetés feladata. A szoftvereket az eszköz analitikus (SAP AM) nyilvántartásba a Pénzügyi és Számviteli Főosztály az üzembehelyezési okmány alapján az azon feltüntetett szoftvercsoport szerint veszi fel. Az eszköznyilvántartásba vételért az Informatikai Főosztály a felelős. Szoftvertelepítést csak a feladat végrehajtására jogosultsággal rendelkező, képzett rendszergazda, informatikus végezhet. A szoftverek telepítését követően a telepítéshez gyárilag megadott jelszót le kell cserélni. Az ágazat számára megrendelés alapján fejlesztett szoft-
310
verek használatára vonatkozó előírásokat a rendszerdokumentációk ügyviteli fejezetében annak a Főosztálynak kell szabályoznia, vagy ellenőriznie, aki a fejlesztést kezdeményezte.
30.2 Fejlesztői dokumentáció A szoftvernek rendelkezni kell a létrejöttét és működését leíró teljes dokumentációval. A teljes dokumentáció tartalmazza a specifikáció alapján a fejlesztési, telepítési környezet és felhasználás valamennyi folyamatára vonatkozó leírást. A fejlesztői dokumentációnak a vonatkozó szabványok és ajánlásoknak megfelelve általánosan értelmezhetőnek és a célcsoportok számára teljes funkcionalitásában felhasználhatónak kell lennie. A fejlesztői dokumentációt 2 példányban kell a fejlesztéssel párhuzamosan a fejlesztőknek elkészíteni. A dokumentáció egy példányát a projektkönyvtárban kell elhelyezni és azt a rendszer teljes működési ideje alatt a fejlesztésért felelős szakigazgatási egységnél meg kell őrizni. A második példányt az irattárba kell letenni. A fejlesztői dokumentáció az alábbi részekből áll és a melléjük rendelt felhasználói (cél) csoportokhoz tartozik: Fejlesztés során elkészített dokumentáció
Felhasználói csoportok
Specifikáció
ügyvitelszervezés, rendszerfejlesztés illetékes szakmai terület
Rendszertervek (logikai, fizikai)
ügyvitelszervezés, rendszerfejlesztés, illetékes szakmai terület
Forráskód
rendszerfejlesztés, üzemeltetés, rendszerfelügyelet
Tesztelési dokumentáció (terv, adat, ered- ügyvitelszervezés, rendszerfejlesztés, felhaszmény)
nálói tesztelői csoport
Teljes rendszerdokumentáció:
ügyvitelszervezés, rendszerfelügyelet, üze-
•
üzemeltetési kézikönyv (telepítés, fris- meltetés, felhasználók sítés, hibakezelés, üzemeltetési feladatok)
•
felhasználók
felhasználói kézikönyv
311
Az alkalmazói rendszer, illetve annak bármely részének dokumentációját a - fejlesztés vezetőjének felelősségi körében - változásmenedzsment keretében mindenkor aktuális szinten kell tartani. A fejlesztés során a fejlesztőtől – függetlenül attól, hogy külső, vagy belső fejlesztőaz alábbi dokumentumokat kell minimálisan megkövetelni: •
Rendszerterv: amely tartalmazza a fejlesztett alkalmazás: o leírását, a beépített funkciókat o az alkalmazás logikai moduljainak funkcionális felépítését, leírását o az alkalmazás futtatásához szükséges hardver, és szoftver környezet leírását o az alkalmazás erőforráskönyvtárainak, fájljainak megnevezését, elérhetőségét. o az alkalmazás kapcsolatait más alkalmazásokkal (ha van ilyen)
•
Felhasználói utasítás, amely tartalmazza: o Az alkalmazás indításával, inicializálásával kapcsolatos információkat o Az alkalmazás használatához szükséges eljárásokat, vezérléseket
•
Üzemeltetési utasítás, amely tartalmazza o Az alkalmazás installálásának, frissítésének követelményeit, folyamatát o Az alkalmazás jogosultág kezelésével kapcsolatos utasításokat o Az alkalmazások (adatbázisok) karbantartási utasításait o Az alkalmazások (adatbázisok) mentésével kapcsolatos utasításokat
•
Ügymenet folyamatossági tervet
A fejlesztésben résztvevő nem köztisztviselő fejlesztőknek – külön-külön – írásbeli titoktartási nyilatkozatot kell tenniük. A titoktartási nyilatkozatot egy alkalmazás esetén egyszer kell megtenni, és annak az alkalmazásfejlesztés egész időtartamára kell vonatkoznia. A titoktartási nyilatkozatokat az ONYF Rendszerfejlesztési és -felügyeleti Főosztály vezetője, a PIR Üzemeltetési Osztály vezetője, illetve a NYUFIG Informatikai igazgatóhelyettese vagy az általuk megbízott személy kéri be a fejlesztőktől.
312
30.3 Szoftverek védelme 30.3.1
SZOFTVEREK ERŐFORRÁSKÖNYVTÁRAINAK VÉDELME
Az ONYF-nél használt szoftverek védelmének érdekében a szoftverek erőforráskönyvtárait védeni kell az illetéktelen hozzáférésektől, és az abban található fájlok nem rendeltetésből adódó megváltoztatásától.
30.3.2
SZOFTVEREK NEM HASZNÁLT FUNKCIÓINAK TILTÁSA
Az ONYF-nél használt szoftverek védelmének érdekében a szoftverek (különösen az operációs rendszer) nem használt funkcióit le kell tiltani. Az operációs rendszerek nem használt távdiagnosztikai portjait szintén le kell tiltani, hogy csökkentsük a távoli elérésből származó kockázatokat.
30.3.3
SZOFTVEREK BIZTONSÁGI FRISSÍTÉSE
A Vírusvédelmi rendszergazdának rendszeresen figyelni kell a megjelenő sérülékenységekről szóló jelentéseket (Vbuster). Ki kell dolgozni az ONYF-ben használt szoftverek biztonsági frissítésével kapcsolatos: •
Letöltési folyamatokat
•
Tesztelési folyamatokat
•
Implementációs folyamatokat
A biztonsági frissítéseket, a megjelenésüket követően a lehető legrövidebb idő alatt kell telepíteni. 30.3.4
A „DOBOZOS” SZOFTVEREK TÁROLÁSA
A „dobozos” szoftverek tárolását az Informatikai Főosztályon, központi helyen kell megoldani. A rendszertelepítésekhez az eredeti példányról készült másolatot kell használni. Egy időben maximálisan egy másolt példány létezhet.
313
30.3.5
SZOFTVEREK NYILVÁNTARTÁSA
Az ONYF-nél használt szoftverek licenceire nyilvántartást kell felfektetni. A nyilvántartások vezetéséért az Informatikai Főosztály és a helyi üzemeltetési szervezet felelős. A nyilvántartás tartalmazza: •
A szoftver megnevezését
•
A szoftver verziószámát
•
A szoftver regisztrációs kódját
•
A szoftverhez tartozó licence szerződés számát
•
A szoftver licence hány telepítésre ad lehetőséget
Az ügyviteli alkalmazások nyilvántartására, és azok funkcionális kapcsolatainak leírására ún. alkalmazás térképet kell felfektetni.
314
31 A kommunikációhoz kapcsolódó védelmi intézkedések 31.1 Az elektronikus levelezés biztonsága 31.1.1
AZ ELEKTRONIKUS LEVELEZÉS BIZTONSÁGI KÖVETELMÉNYEI
Az elektronikus levelezés az ONYF informatikai rendszerében az egyik fő fenyegetettség forrása. Az elektronikus levelezés biztonsága érdekében az alábbi előírásokat kell betartani: Az elektronikus levelezési rendszert csak az ügyviteli folyamatokkal, illetve azok támogatásával kapcsolatos ügyintézésre szabad használni. A levelezéssel kapcsolatos gyanús eseményről értesíteni kell a IBÖ-t, IBF-et. Az elektronikus levelezéssel kapcsolatos tiltórendelkezések az alábbiak: •
Szigorúan tilos a közízlést, az ONYF jó hírnevét veszélyeztető, erkölcstelen, vagy politikai tartalmú e-mail elküldése.
•
Tilos a levelező rendszert fájlok, dokumentumok kijuttatására használni.
•
Tilos a beérkező leveleket az ONYF-en kívüli postaládára irányítani.
•
Tilos olyan levelek továbbítása az ONYF levelező rendszerében, amelyek bármilyen nyelven arra szólítanak fel, hogy a levelet minél több címre kell továbbítani.
•
Tilos válaszolni olyan levelekre, amelyek arra szólítanak fel, hogy az ONYF biztonsági rendszeréről, vagy a felhasználó saját hozzáférési adatairól (felhasználónév, jelszó) adjon tájékoztatást.
•
Tilos az elektronikus levelező rendszeren „Titkos”, vagy „Szigorúan titkos” információt titkosírás nélkül továbbítani.
•
A levélszűrésen fennakadt levelekről automatikus üzenet csak az ONYF alkalmazottjának küldhető. Automata üzenet küldése az ONYF-en kívülre tilos.
•
Tilos kétes forrásból származó levelet megnyitni. A forrás nem megbízhatónak tekinthető, ha
A feladó nem ismert
A levél címzettje közt sok, nem ismert személy szerepel
A levél nyelvezete nem magyar
A levél tárgya nem illeszkedik az ONYF ügyviteli folyamataihoz
Tiltott csatolmányt tartalmaz (lásd: következő fejezet)
315
31.1.1.1 Az elektronikus levelezés korlátozásai Az elektronikus levelezés biztonsága érdekében az alábbi korlátozások vannak érvényben: A postafiók mérete általában: 50 MB. Szükség esetén ettől eltérő kapacitást az Informatikai Biztonsági Felelős beterjesztésére az ONYF főigazgatója engedélyezhet. A beérkező levelek maximális megengedett mérete: •
Általában: 10 MB.
A küldött levelek maximális megengedett mérete: •
Általában: 10 MB. Szükség esetén ettől eltérő kapacitást az Informatikai Biztonsági Felelős beterjesztésére az ONYF főigazgatója engedélyezhet.
Elektronikus levelezésben nem fogadhatók és küldhetők csatolmányként az alábbi kiterjesztésű állományok: •
Futtatható állományok: bat; com; exe;
•
Adatbázis állományok: dbf; dat;
•
Média állományok: wmv; avi; mpeg; mp3; vaw; mid;
•
Kép állományok: bmp; gif; jpg ; tiff
•
Tömörített állományok: arj; rar;
•
Egyéb állományok: dll; sys; inf; hlp; bin;
31.1.1.2 Elektronikus levelezés magáncélú használata Az ONYF-en az elektronikus levelezési rendszert magáncélra használni tilos. A magán célú levelek is az ONYF tulajdonát képezik, így az ONYF fenntart minden jogot a levelek kezelésével kapcsolatban. A fentieken túl tilos használni az Interneten található ingyenes levelezési portálokat. Lehetőség szerint az ilyen portálok elérését korlátozni kell technikai eszközökkel is. 31.1.1.3 Elektronikus levelezés jogosultsága Az ONYF valamennyi alkalmazottja hozzáférést kap az elektronikus levelezési rendszerhez. A jogosultság igénylésének rendjét az IBSZ 27 A jogosultsági rendszer előírásai szakasza tartalmazza
316
31.1.1.4 Elektronikus levelezés ellenőrzése Az ONYF fenntartja a jogot - ide értve a magánjellegű levelezést is - a levelezés méretének, gyakoriságának, és ha szükséges tartalmának ellenőrzésére, korlátozására a levelező szerver és az Internet csatlakozás kapacitásának hatékonyabb kihasználása, valamint az ONYF informatikai rendszerének biztonsága érdekében.
31.2 Az internet biztonsága 31.2.1
AZ INTERNET HOZZÁFÉRÉS BIZTONSÁGI ELŐÍRÁSAI
Az Internet hozzáférés az ONYF informatikai rendszerében az egyik fő fenyegetettség forrása. Az Internet hozzáférés biztonsága érdekében az alábbi előírásokat kell betartani: •
Az Internet hozzáférést csak az ügyviteli folyamatokkal, illetve azok támogatásával kapcsolatos ügyintézésre, letöltésekre szabad használni. Kivételt képeznek az öninformációs rendszerek (KIOSZK) felhasználói.
•
Internet hozzáférést csak a feladat végrehajtásának idejére szabad fenntartani, a nem használt párbeszédet (session-t) be kell zárni.
•
Az Internet böngésző beállításaiban tilos az Internet zóna biztonsági szintjét közepesnél alacsonyabbra állítani. Az Internetről letöltött segéd állományokat (pl. cookie) rendszeresen törölni kell.
•
Az Internetezés közben el kell utasítani azokat a felbukkanó párbeszéd ablakokat, amelyek segédprogramok telepítésére, vagy egyes funkciók kikapcsolására ösztönöznek.
•
Tilos az Internetes webhelyek eléréséhez szükséges jelszavakat úgy megválasztani, hogy abból az ONYF-nél használt jelszóra következtetni lehessen.
31.3 Korlátozások az Internet használatában 31.3.1
TILTOTT INTERNETES ALKALMAZÁSOK
Az ONYF-en csak a rendszeresített Internetes alkalmazások használhatók. Az ONYF-en a felhasználóknak szigorúan tilos olyan internetes alkalmazások használata:
317
•
Melyek az ONYF, vagy más személyek információinak, alkalmazásainak bizalmasságának, sértetlenségének, rendelkezésre állásának megsértésére irányulnak.
•
Melyek az ONYF erőforrásainak illegális megosztására irányulnak (pl.: FTP szerver).
• 31.3.2
Melyek licence szerződéseivel az ONYF nem rendelkezik.
TILTOTT WEBHELYEK
Szigorúan tilos az ONYF érdekeit sértő, erkölcstelen, politikai izgató oldalak látogatása. Szigorúan tilos freemail, és ún. chat (társalgó) oldalak látogatása. A szakmai honlapok látogatása engedélyezett, ha az az ONYF alkalmazottak szakmai fejlődését szolgálja. 31.3.3
TILTOTT INTERNETES TEVÉKENYSÉGEK
Szigorúan tilos internetes illegális tevékenységek folytatása, amelyek más jogi személyek adatainak, alkalmazásainak bizalmasságát, sértetlenségét, vagy rendelkezésre állását sértheti (hack, crack, flood, stb.). Szigorúan tilos minden, a közízlést sértő, erkölcstelen, politikai célú állományok letöltése. Az ONYF fenntartja a jogot állománytípustól (pl.: MPG, JPG, BMP, WMV stb.), valamint mérettől függő (max. 5 MB) letöltés korlátozására. Korlátozott formátumú, vagy az engedélyezett méretet meghaladó állományok letöltését az Informatikai Főosztály végzi. 31.3.4
AZ INTERNET HOZZÁFÉRÉSEK ELLENŐRZÉSE
Az ONYF fenntartja a jogot az Internetezés gyakoriságának, és ha szükséges tartalmának ellenőrzésére, korlátozására az Internet csatlakozás kapacitásának hatékonyabb kihasználása, valamint az ONYF informatikai rendszerének biztonsága érdekében. 31.3.5
BIZALMAS ÜZENETEK VÉDELME Az Interneten illetve más nyilvános hálózatokon keresztül történő adat-továbbítások
kapcsán a vezetésnek ki kell alakítania olyan eljárásokat, szabályokat illetve számítástechnikai, hálózati protokollokat, amelyek gondoskodnak a bizalmas üzenetek sértetlenségének, bizalmasságának és letagadhatatlanságának megőrzéséről.
318
31.3.6
HITELESSÉG ÉS SÉRTETLENSÉG A szervezethez kívülről érkező (akár telefonon, hangpostán, papír formában, faxon
vagy elektronikus postán keresztül eljuttatott) információk hitelességét és sértetlenségét ellenőrizni kell, bármilyen kritikus fontosságú lépés megtétele előtt. 31.3.7
ELEKTRONIKUS TRANZAKCIÓK SÉRTETLENSÉGE Figyelembe véve azt a tényt, hogy egyre kevésbé lehet támaszkodni a hagyományos
értelemben vett földrajzi és időbeli határokra, az ONYF-nek megfelelő eljárásokat és szabályokat kell kialakítania a bizalmas és kritikus elektronikus tranzakciók sértetlenségének és hitelességének biztosítása érdekében az alábbi szempontok alapján: •
atomicitás (feloszthatatlan munka-egység; vagy minden sikerül, vagy semmi);
•
konzisztencia, ellentmondás-mentesség (ha a tranzakció nem képes egy stabil végállapotot elérni, a rendszernek vissza kell térnie a kiinduló állapothoz);
•
elszigeteltség (a tranzakció magatartását nem befolyásolják más egyidőben futó tranzakciók); és
•
tartósság (a tranzakció hatásai tartósak, az adatváltozásnak meg kell maradnia rendszer-összeomlások után is).
319
I. sz. melléklet ÁTADÁS - ÁTVÉTELI JEGYZŐKÖNYV
Készült az Országos Nyugdíjbiztosítási Főigazgatóság hivatalos helyiségében 4 példányban.
Átadó neve: ……………….………………………… Átadó beosztása: ……………………………………. Átadó igazgatási szerv: ……………………………………………………. Regionális Nyugdíjbiztosítási Igazgatóság/NYUFIG Átadó igazgatási szerv címe: …………………………………………………………………
Átvevő neve: ……………….………………………... Átvevő beosztása: …………………………………… Átvevő: ONYF Informatikai Eszközgazdálkodási és Adatvédelmi Osztály Az átadás-átvétel tárgyát képező adathordozók azonosítása, tételes felsorolása: Típus
Gyári szám
A mai napon Átadó átadja, Átvevő átveszi a fenti hivatkozási számon nyilvántartott Help Desk hibabejelentőn szereplő, kiszerelt adathordozókat. Budapest, 20…….. …………...... hó ………nap
…………………………………….
…………………………………….
Átadó
Átvevő 320
II. sz. melléklet ENGEDÉLY KÉRÉS LEMÁGNESEZÉSHEZ
Informatikai Főosztály főosztályvezető
Helyben
Tisztelt Főosztályvezető Úr!
Kérem, szíveskedjék engedélyezni az alábbiakban tételesen felsorolt …….……..db winchester lemágnesezését az adatok megsemmisítése céljából.
Típus
Gyári szám
Regionális Nyugdíjbiztosítási Igazgatóság/NYUFIG
Budapest, 20…….. …………...... hó ………nap
Tisztelettel:
……………………………………….. név Informatikai Eszközgazdálkodási és Adatvédelmi Osztály
321
III. sz. melléklet TELJESÍTÉSIGAZOLÁS
A fenti számon nyilvántartott szerződésben foglaltaknak megfelelően a mai napon az alábbiakban tételesen felsorolt adathordozók adatmentesítése lemágnesezési eljárással jelenlétemben megtörtént.
Típus
Gyári szám (S/N)
Megjegyzés
Cég neve ……………….……………………………… Cég címe ……………………………………………….. Készülék megnevezése ……………….…………………
Lemágnesezés után a winchesterek az ONYF Informatikai és Eszközgazdálkodási és Adatvédelmi Osztályára visszaszállításra kerültek.
Budapest, 20…….. …………...... hó ………nap
……………………………………….. név Informatikai Eszközgazdálkodási és Adatvédelmi Osztály
322
IV. sz. melléklet ÁTADÁS - ÁTVÉTELI JEGYZŐKÖNYV
Készült az Országos Nyugdíjbiztosítási Főigazgatóság hivatalos helyiségében 4 példányban.
Átadó neve ……………….………………………… Átadó beosztása ……………………………………. ONYF Informatikai Eszközgazdálkodási és Adatvédelmi Osztály
Átvevő neve ……………….………………………… Átvevő beosztása …………………………………..... Cég neve ……………….…………………………… Cég címe ……………………………………………..
Az átadás-átvétel tárgyát képező adathordozók azonosítása, tételes felsorolása: Típus
Gyári szám (S/N)
Megjegyzés
Az átadott eszközök adatokat nem tartalmaznak.
Budapest, 20…….. …………...... hó ………nap
…………………………………….
…………………………………….
Átadó
Átvevő
323
V. sz. melléklet Országos Nyugdíjbiztosítási Főigazgatóság
ADATÁLLOMÁNY- NYILVÁNTARTÓ ELEKTRONIKUS TÖRZSLAP (Adatkezelő szakegység tölti ki) Adatállomány megnevezése Az adatkezelés törvényi alapja
Adatkezelő szervezeti egység
Adatállomány forrása
Létrehozás időpontja Az adatállomány tartalmának rövid leírása Adatok frissítésének előírt gyakorisága Adatszolgáltatási/visszaállítási kötelezettség időpontja vagy gyakorisága Őrzési kötelezettség lejártának időpontja Kapcsolattartó/Adatgazda neve (Üzemeltetés tölti ki) Adatállomány neve Szerver neve
Partíció
Adatállomány mérete (MB)
Adatállomány növekedés mértéke
Operációs rendszer neve
Alkalmazói rendszer neve, verziója
Frissítés gyakorisága
Módja: (hálózati, CD, egyéb)
1. Mentés típusa
Gyakorisága
2. Mentés típusa
Gyakorisága
%
Vonatkoztatási időszak: (év/hó/nap)
Mentési adathordozó típusa Mentések fizikai helye
Mentések tárolási helye (ha a fizikai helytől eltérő)
Biztonsági mentések tárolási helye Biztonsági mentések felülvizsgálatának ideje Mentésért felelős személy
324
