Melléklet a(z). …/2018. (V.25.) EMET főigazgatói utasításhoz

Az Emberi Erőforrás Támogatáskezelő

Adatvédelmi és Informatikai Biztonsági Szabályzata

Szakterületi felelős:

………………………………

dr. Sipos Gertrúd

Jogi és Ellenőrzési Igazgató

Jóváhagyta:

……………………………………..

dr. Mészáros Karina

főigazgató

JEI/119/2018. Hatályos: 2018. 05. 25. 2

I. Fejezet

Általános Rendelkezések

Az Adatvédelmi és Informatikai Biztonsági Szabályzat célja, hatálya

1. § Az Adatvédelmi és Informatikai Biztonsági Szabályzat célja

Az Emberi Erőforrás Támogatáskezelő (a továbbiakban: Támogatáskezelő), mint

adatkezelő, magára nézve kötelezőnek ismeri el jelen szabályzat tartalmát.

Kötelezettséget vállal arra, hogy tevékenységével kapcsolatos minden adatkezelés

megfelel a jelen szabályzatban és a hatályos nemzeti jogszabályokban, valamint az

Európai Unió jogi aktusaiban meghatározott elvárásoknak.

A Támogatáskezelő elkötelezett a természetes személyek személyes adatainak

védelmében, kiemelten fontosnak tartja információs önrendelkezési jog tiszteletben

tartását. A Támogatáskezelő a személyes adatokat bizalmasan kezeli, és megtesz minden

olyan biztonsági, technikai és szervezési intézkedést, mely az adatok biztonságát

garantálja.

Az Adatvédelmi és Informatikai Biztonsági Szabályzat (a továbbiakban: AIBSZ) célja, hogy

az Emberi Erőforrás Támogatáskezelőnél a szervezeti egységek és munkatársaik egymás

közötti és a Támogatáskezelőhöz nem tartozó külső szervekkel, személyekkel fenntartott

kapcsolatokban biztosítható legyen:

a) a Támogatáskezelő informatikai rendszereinek (a továbbiakban: rendszerek) és a

rendszerekben tárolt adatok megfelelő rendelkezésre állása;

b) az adatállományok formai és tartalmi helyességének, épségének megőrzése;

c) az adatok és információk bizalmassága, megfelelő védelme;

d) a Támogatáskezelő tevékenysége során keletkezett személyes adatok védelme;

e) a vagyon-, munka- és tűzvédelemre vonatkozó előírások betartása;

f) a számítógépes feldolgozások és az eredményadatok további hasznosítása során

az illetéktelen hozzáférésből és felhasználásból eredő hátrányos következmények

megszűntetése, illetve minimális mértékre való csökkentése;

g) az informatikai szoftver eszközökkel kapcsolatos jogbiztonság, jogtisztaság;

JEI/119/2018. Hatályos: 2018. 05. 25. 3

h) a jogszabályi szinten rögzített adatvédelmi és adatbiztonsági elvárásoknak való

megfelelés.

A vázolt célok elérése érdekében a védelemnek működnie kell a rendszerek fennállásának

teljes ciklusa alatt – a megtervezéstől az alkalmazáson (üzemeltetésen) keresztül – a

felszámolásukig. Az AIBSZ alkalmazásánál figyelembe kell venni, hogy a Támogatáskezelő

különböző szervezeti egységei használatában működő telekommunikációs és

informatikai rendszerek tervezése, bevezetése, üzemeltetése és ellenőrzése

vonatkozásában meghatározott feladatok elsősorban a törvényesség betartásával,

másodsorban a védelem hiányából eredő lehetséges károk értékével legyenek arányosak.

2. § Az AIBSZ hatálya

(1) Az AIBSZ személyi hatálya kiterjed a Támogatáskezelő valamennyi

kormánytisztviselői-, valamint kormányzati ügykezelői jogviszonyban, továbbá

munkaviszonyban foglalkoztatott munkatársára (a továbbiakban együtt:

munkatársak). Az AIBSZ személyi hatálya kiterjed továbbá minden személyre, aki

a Támogatáskezelő informatikai vagy azzal összefüggő rendszerét, szolgáltatásait

igénybe veszi, informatikai struktúráját és annak eszközeit üzemelteti vagy

használja, függetlenül a Támogatáskezelőhöz kapcsolódó jogviszonyától. Más

természetes személyeket az AIBSZ csak a külön adatvédelmi megállapodásokban

(pl. adatszolgáltatás, hozzáférés, titoktartás) rögzítettek szerint érint.

(2) Az AIBSZ tárgyi hatálya kiterjed:

a) valamennyi (a Támogatáskezelő tulajdonában lévő, vagy általa bérelt)

informatikai és telekommunikációs berendezésre, vagy a Támogatáskezelő

használatában álló épületben található, leltári jelzéssel ellátott, továbbá a

Támogatáskezelő megbízásából a Támogatáskezelő munkatársai számára

harmadik személy által biztosított informatikai eszközre, beleértve a

berendezések műszaki dokumentációját is;

b) a Támogatáskezelő eszközein működtetett rendszerprogramokra és a

felhasználói programokra;

c) amennyiben a Támogatáskezelő működésére irányadó egyéb szabályzat – így

különösen az Iratkezelési Szabályzat, az Infokommunikációs Eszközökről szóló

Szabályzat, az EMET Közérdekű adatok megismerésére irányuló kérelmek

intézésének, továbbá a kötelezően közzéteendő adatok nyilvánosságra

JEI/119/2018. Hatályos: 2018. 05. 25. 4

hozatalának rendjéről szóló Szabályzata, a Tűzvédelmi Szabályzatban és a

Közszolgálati Szabályzat – eltérően nem rendelkezik:

ca) az informatikai folyamatot leíró valamennyi dokumentációra (fejlesztési,

szervezési, programozási, üzemeltetési dokumentációk);

cb) az adathordozók tárolására és felhasználására, beleértve a feldolgozásra

beérkezés és a felhasználókhoz történő eljuttatás folyamatait is, kivéve;

cc) az adatok felhasználására;

cd) a védelmet élvező adatok teljes körére, keletkezésük és felhasználásuk,

valamint feldolgozásuk helyétől, továbbá a megjelenési formájuktól

(bizonylatok, tablók, mágneses adathordozók, stb.) függetlenül;

ce) minden olyan adatkezelésre és adatfeldolgozásra, amely az Infotv. szerinti

személyes, különleges, közérdekű, vagy közérdekből nyilvános adatra

vonatkozik, és az adatkezelés, illetve adatfeldolgozás teljesen vagy részben

automatizált eszközzel történik.

(3) Az AIBSZ rendelkezéseit értelemszerűen alkalmazni kell minden olyan

adatkezelésre, amelyet a Támogatáskezelő, mint adatkezelő szerv vezetőjének

meghatalmazása alapján külső szervezet végez, valamint a beléptető

rendszerben történő adatkezelésre is.

(4) Az adatvédelmi és adatbiztonsági előírások alkalmazása szempontjából

adatkezelő szerv vezetőjének kell tekinteni a főigazgatót, a főigazgató-helyettest

és az igazgatót.

(5) Az adatkezelő szerv vezetőjének felelősségi körébe tartozik:

a) az SZMSZ szerint irányítása alá tartozó szerv, szervezeti egység adatvédelmi és

adatbiztonsági intézményrendszerének kiépítése és működtetése, ennek

keretében a szerv, illetve szervezeti egység által – az ellátott ügykörhöz

igazodóan – kezelt, védelmet élvező adatok biztonságát biztosító személyi, tárgyi

és technikai feltételek biztosítását célzó, hatáskörébe tartozó intézkedések

megtétele;

b) az irányítása alá tartozó szerv, illetve szervezeti egység tevékenységének

rendszeres adatvédelmi ellenőrzése, az ennek során esetlegesen feltárt

hiányosságok, esetleges jogszabálysértő körülmények megszüntetése, a személyi

felelősség megállapításához szükséges eljárás kezdeményezése, illetve

lefolytatása.

JEI/119/2018. Hatályos: 2018. 05. 25. 5

II. Fejezet

Az AIBSZ-hez kötődő egyéb szabályozások

3. § Az AIBSZ a jogszabályok előírásainak alkalmazásán alapul, és az információvédelemre

vonatkozó jogszabályi szintű rendelkezésekkel – így különösen az alábbiakban felsorolt

törvényekben és a végrehajtásukra kiadott jogszabályokban foglaltakkal – együtt

értelmezendő:

a) Az Európai Parlament és a Tanács (EU) 2016/679 Rendelete a természetes

személyeknek a személyes adatok kezelése tekintetében történő védelméről és az

ilyen adatok szabad áramlásáról, valamint a 95/46/EK rendelet hatályon kívül

helyezéséről (a továbbiakban: általános adatvédelmi rendelet);

b) a 2013. évi L. törvény az állami és önkormányzati szervek elektronikus

információbiztonságáról [a továbbiakban: Ibtv.];

c) a 2012. évi LXIII. törvény a közadatok újrahasznosításáról;

d) 2012. évi CLXVI. törvény a létfontosságú rendszerek és létesítmények

azonosításáról, kijelöléséről és védelméről;

e) 2011. évi CXII. törvény az információs önrendelkezési jogról és az

információszabadságról [a továbbiakban: Infotv. ];

f) 2011. évi CXCV. törvény az államháztartásról;

g) a 2011. évi CXCIX. törvény a közszolgálati tisztviselőkről;

h) 2010. évi CLVII. törvény a nemzeti adatvagyon körébe tartozó állami

nyilvántartások fokozottabb védelméről;

i) 2007. évi CLXXXI. törvény a közpénzekből nyújtott támogatások

átláthatóságáról;

j) 2007. évi CVI. törvény az állami vagyonról;

k) 2009. évi CLV. törvény a minősített adat védelméről;

l) a 2000. évi C. törvény a számvitelről;

m) 1995. évi LXVI. törvény a köziratokról, a közlevéltárakról és a

magánlevéltári anyag védelméről;

n) 1992. évi LXVI. törvény a polgárok személyi adatainak és lakcímének

nyilvántartásáról;

o) 45/2012. (III. 20.) Korm. rendelet a közszolgálati tisztviselők személyi

irataira, a közigazgatási szerveknél foglalkoztatott munkavállalók személyi

irataira és a munkaügyi nyilvántartásra, a közszolgálati alapnyilvántartásra és

közszolgálati statisztikai adatgyűjtésre, valamint a tartalékállományra vonatkozó

egyes szabályokról;

JEI/119/2018. Hatályos: 2018. 05. 25. 6

p) a 368/2011. (XII. 31.) Korm. rendelet az államháztartásról szóló törvény

végrehajtásáról,

q) 90/2010. (III. 26.) Korm. rendelet a Nemzeti Biztonsági Felügyelet

működésének, valamint a minősített adat kezelésének rendjéről;

r) 92/2010. (III. 31.) Korm. rendelet az iparbiztonsági ellenőrzés és a telephely

biztonsági tanúsítvány kiadásának részletes szabályairól;

s) 161/2010. (V. 6.) Korm. rendelet a minősített adat elektronikus

biztonságának, valamint a rejtjeltevékenység engedélyezésének és hatósági

felügyeletének részletes szabályairól;

t) 335/2005. (XII. 29.) Korm. rendelet a közfeladatot ellátó szervek

iratkezelésének általános követelményeiről;

u) 305/2005. (XII. 25.) Korm. rendelet a közérdekű adatok elektronikus

közzétételére, az egységes közadatkereső rendszerre, valamint a központi

jegyzék adattartalmára, az adatintegrációra vonatkozó részletes szabályokról;

v) 18/2005. (XII. 27.) IHM rendelet a közzétételi listákon szereplő adatok

közzétételéhez szükséges közzétételi mintákról.

4. § Az AIBSZ-ben nem rendezett kérdésekben a fentiekben említett hatályos jogszabályok

rendelkezéseit, továbbá a Támogatáskezelő egyéb belső szabályzataiban, így különösen a

Szervezeti és Működési Szabályzatban, az Egyedi Iratkezelési Szabályzatban, az

Infokommunikációs Eszközökről szóló Szabályzatban, az EMET Közérdekű adatok

megismerésére irányuló kérelmek intézésének, továbbá a kötelezően közzéteendő adatok

nyilvánosságra hozatalának rendjéről szóló Szabályzatban, a Tűzvédelmi Szabályzatban

és a Közszolgálati Szabályzatban foglaltak az irányadók.

JEI/119/2018. Hatályos: 2018. 05. 25. 7

III. Fejezet

Értelmező rendelkezések

5. § Az AIBSZ alkalmazása során:

a) adat: az információ hordozója, a tények, fogalmak vagy utasítások formalizált

ábrázolása, amely az emberek vagy automatikus eszközök számára közlésre,

megjelenítésre vagy feldolgozásra alkalmas;

b) adatállomány: az informatikai rendszerben logikailag összetartozó, együtt kezelt

adatok összessége;

c) adatátvitel: adatok informatikai rendszerek, rendszerelemek közti továbbítása;

d) adatbiztonság: a személyes adatok jogosulatlan kezelése, így különösen

megszerzése, feldolgozása, megváltoztatása és megsemmisítése elleni technikai,

szervezési megoldások és eljárási szabályok összessége, az adatkezelésnek azon

állapota, amelyben a fenyegetettséget jelentő kockázati tényezőket különböző

műszaki, szervezési megoldások és intézkedések a lehető legkisebb mértékűre

csökkentik;

e) adatfeldolgozó: az a természetes vagy jogi személy, illetve jogi személyiséggel nem

rendelkező szervezet, aki vagy amely szerződés alapján - beleértve a jogszabály

rendelkezése alapján kötött szerződést is - adatok feldolgozását végzi;

f) adatfeldolgozás: az adatkezelési műveletekhez kapcsolódó technikai feladatok

elvégzése, függetlenül a műveletek végrehajtásához alkalmazott módszertől és

eszköztől, valamint az alkalmazás helyétől, feltéve, hogy a technikai feladatot az

adatokon végzik;

g) adatkezelő: az a természetes vagy jogi személy, illetve jogi személyiséggel nem

rendelkező szervezet, aki vagy amely önállóan vagy másokkal együtt az adat

kezelésének célját meghatározza, az adatkezelésre (beleértve a felhasznált

eszközt) vonatkozó döntéseket meghozza és végrehajtja, vagy az adatfeldolgozóval

végrehajtatja;

h) adatkezelés: az alkalmazott eljárástól függetlenül az adatokon végzett bármely

művelet vagy a műveletek összessége, így különösen gyűjtése, felvétele, rögzítése,

rendszerezése, tárolása, megváltoztatása, felhasználása, lekérdezése, továbbítása,

nyilvánosságra hozatala, összehangolása vagy összekapcsolása, zárolása, törlése

és megsemmisítése, valamint az adatok további felhasználásának

megakadályozása, fénykép-, hang- vagy képfelvétel készítése, valamint a személy

azonosítására alkalmas fizikai jellemzők (pl. ujj- vagy tenyérnyomat, DNS-minta,

íriszkép) rögzítése;

JEI/119/2018. Hatályos: 2018. 05. 25. 8

i) adathordozó: bármely alakban, bármilyen eszköz felhasználásával és bármilyen

eljárással előállított, adat tárolására alkalmas, továbbá adatot tartalmazó anyag;

j) adatvédelem: a személyes adatok kezelésének normatív szabályozása az érintett

információs önrendelkezési jogának biztosítása és érvényesítése érdekében;

k) adatvédelmi incidens: személyes adat jogellenes kezelése vagy feldolgozása, így

különösen a jogosulatlan hozzáférés, megváltoztatás, továbbítás, nyilvánosságra

hozatal, törlés vagy megsemmisítés, valamint a véletlen megsemmisülés és sérülés.

l) alapszolgáltatások: azok az informatikai szolgáltatások, amelyek minden

felhasználó számára rendelkezésre állnak;

m) alkalmazás: a szoftver és minden egyéb olyan számítógépes program, amelyet egy

feladat vagy feladatkör végrehajtására terveztek;

n) authentikáció: az adatcsere során a kommunikációban résztvevő felek identitása

megállapításának és ellenőrzésének folyamata;

o) azonosító eszköz: olyan eszköz, amely a felhasználó egyértelmű azonosítására

szolgál (pl. mágneskártya, Proximity kártya;

p) auditálás: előírások teljesítésére vonatkozó megfelelőségi vizsgálat, ellenőrzés;

q) bizalmasság: az elektronikus információs rendszer azon tulajdonsága, hogy a

benne tárolt adatot, információt csak az arra jogosultak és csak a jogosultságuk

szintje szerint ismerhetik meg, használhatják fel, illetve rendelkezhetnek a

felhasználásáról;

r) biztonsági esemény: bármilyen olyan esemény, ami az érvényben lévő biztonsági

szabályokat sérti, vagy a biztonsági szabályok sérülésének gyanúját vetik fel, így

különösen az informatikai rendszer biztonságában beállt olyan kedvezőtlen

változás, melynek hatására az informatikai rendszerben tárolt adatok

bizalmassága, sértetlensége, hitelessége, funkcionalitása vagy rendelkezésre állása

megsérült, vagy megsérülhet;

s) biztonsági esemény kezelése: az elektronikus információs rendszerben

bekövetkezett biztonsági esemény dokumentálása, következményeinek

felszámolása, a bekövetkezés okainak és felelőseinek megállapítása, és a hasonló

biztonsági események jövőbeni előfordulásának megakadályozása érdekében

végzett tervszerű tevékenység;

t) biztonsági osztály: az elektronikus információs rendszer védelmének elvárt

erőssége;

u) biztonsági osztályba sorolás: a kockázatok alapján az elektronikus információs

rendszer védelme elvárt erősségének meghatározása;

v) biztonsági szint: a szervezet felkészültsége az e törvényben és a végrehajtására

kiadott jogszabályokban meghatározott biztonsági feladatok kezelésére;

JEI/119/2018. Hatályos: 2018. 05. 25. 9

w) biztonsági szintbe sorolás: a szervezet felkészültségének meghatározása az e

törvényben és a végrehajtására kiadott jogszabályokban meghatározott biztonsági

feladatok kezelésére;

x) elektronikus információs rendszer biztonsága: az elektronikus információs

rendszer olyan állapota, amelyben annak védelme az elektronikus információs

rendszerben kezelt adatok bizalmassága, sértetlensége és rendelkezésre állása,

valamint az elektronikus információs rendszer elemeinek sértetlensége és

rendelkezésre állása szempontjából zárt, teljes körű, folytonos és a kockázatokkal

arányos;

y) érintett: bármely meghatározott, személyes adat alapján azonosított, vagy –

közvetlenül vagy közvetve – azonosítható természetes személy;

z) biztonsági rendszer: az épületek betörés és vagyonvédelmi rendszere, valamint az

ehhez kapcsolódó beléptető rendszerek;

aa) fájl: számítógépen tárolt információtárolási egység. Egy fájl tartalma a gép

szempontjából vagy adat, vagy program, amely a processzor által végrehajtható

utasításokat tartalmaz;

bb) felhasználó: meghatározott jogosultságokkal bíró olyan személy, aki a

Támogatáskezelő informatikai rendszerét, hálózatát, szolgáltatásait

authentikációt követően igénybe veszi;

cc) hálózat: informatikai eszközök közti adatátvitelt megvalósító logikai és fizikai

eszközök összessége;

dd) hitelesség: az adat olyan tulajdonsága, amely arra vonatkozik, hogy az

adatbizonyítottan vagy bizonyíthatóan az elvárt forrásból származik;

ee) információs önrendelkezési jog: az Alaptörvény VI. cikkének (2) bekezdésében

biztosított, mindenkit megillető, „személyes adatai védelméhez” való jognak azon

alapvető tartalma, hogy minden természetes személy maga rendelkezik személyes

adatainak feltárásáról és felhasználásáról;

ff) informatikai szolgáltatások: a Támogatáskezelő által biztosított számítástechnikai,

információ-feldolgozási, és kommunikációs szolgáltatások;

gg) kapcsolószekrény: a Támogatáskezelő informatikai és telekommunikációs

hálózatának működtetéséhez szükséges eszközök elhelyezésére szolgáló

szekrények;

hh) központi rendszer: a Támogatáskezelő szerverei, kommunikációs eszközei,

központi nyomtatói;

ii) különleges adat: a faji eredetre, a nemzetiséghez tartozásra, a politikai véleményre

vagy pártállásra, a vallásos vagy más világnézeti meggyőződésre, az

érdekképviseleti szervezeti tagságra, a szexuális életre vonatkozó személyes adat;

JEI/119/2018. Hatályos: 2018. 05. 25. 10

az egészségi állapotra, a kóros szenvedélyre vonatkozó személyes adat, valamint

az Infotv. 3. §

4. pontja szerinti bűnügyi személyes adat; gg) rosszindulatú alkalmazás: a

rosszindulatú számítógépes programok összefoglaló neve. Ide tartoznak a vírusok,

férgek (worm), kémprogramok (spyware), agresszív reklámprogramok (adware), a

rendszerben láthatatlanul megbúvó, egy támadónak emelt jogokat biztosító eszközök

(rootkit);

hh) személyes adat: az érintettel kapcsolatba hozható adat – különösen az érintett

neve, azonosító jele, valamint egy vagy több fizikai, fiziológiai, mentális, gazdasági,

kulturális vagy szociális azonosságára jellemző ismeret –, valamint az adatból

levonható, az érintettre vonatkozó következtetés;

ii) szerverterem: a központi informatikai rendszereket, szolgáltatásokat működtető

számítógépek elhelyezésére szolgáló elkülönített helyiség.

IV. Fejezet

Az informatikai biztonsághoz kapcsolódó rendelkezések

6. § A Támogatáskezelő működése szempontjából kritikus, kiemelt, normál és egyéb

rendszerek

(1) A Támogatáskezelő működése szempontjából kritikus az a rendszer, amely a

Támogatáskezelő egészére kiterjed, vagy amely összefügg a Támogatáskezelő

alaptevékenységével, vagy amely személyes adatot tartalmaz. A kritikus rendszerek

adatbiztonsági szempontból kiemelt védelmet igényelnek. E körbe tartoznak különösen

az alábbi rendszerek:

a) bér- és munkaügyi rendszer;

b) gazdasági, ügyviteli rendszer;

c) iratkezeléssel összefüggő rendszerek;

d) támogatással, pályáztatással összefüggő rendszerek;

e) EU információs rendszer;

f) központi levelező kiszolgálók;

g) központi tárhely kiszolgálók;

h) intézményi authentikációs rendszerek.

(2) A Támogatáskezelő szempontjából kiemelt rendszerek azok, melyek elsősorban

technikai jellegűek, a rajtuk tárolt adatok nem személyes jellegűek. E körbe különösen az

alábbi rendszerek tartoznak:

JEI/119/2018. Hatályos: 2018. 05. 25. 11

a) telekommunikációs rendszer és hálózat;

b) kommunikációs rendszerek;

c) technológiai rendszerek.

(3) Normál rendszerek a kritikus és kiemelt rendszerek körébe nem sorolt, de a

Támogatáskezelő napi működése szempontjából kritikus, továbbá a Támogatáskezelő

egészére nem, csak egyes részeire kiterjedő olyan rendszerek, amelyek használatához

szükséges a személyes authentikáció.

(4) A kritikus, kiemelt és normál rendszerek körébe nem sorolt rendszerek.

7. § Kockázatkezelés

(1) Minden kritikus rendszer és kiemelt rendszer besorolású szolgáltató rendszer

esetében rendelkezni kell olyan kockázatelemzéssel, ami a rendszer által nyújtott

szolgáltatások részleges vagy teljes kimaradásának a Támogatáskezelő

működőképességére tett hatásait tartalmazza. Külön kell kezelni a szolgáltatás

elérhetetlenségéből, illetőleg az adatbázis sérülésből származó hatásokat. A

kockázatelemzési dokumentum előállítása és karbantartása a szolgáltatás

üzemeltetőjének a feladata. Az elektronikus információs rendszerek kockázatait az Ibtv.

végrehajtási rendelete, a 41/2015. (VII. 15.) BM rendelet által meghatározott

követelményrendszer szerint is értékelni kell.

(2) Kritikus rendszer és kiemelt rendszer üzemeltetése a Támogatáskezelő működési

területein kizárólag a főigazgató engedélyével, míg normál rendszer és egyéb rendszer

üzemeltetése a Támogatáskezelő területén a gazdasági igazgató engedélyével történhet.

V. Fejezet

Infrastruktúrához kapcsolódó védelmi intézkedések

8. § (1) A Támogatáskezelő épületeiben Biztonsági Szolgálat működik.

(2) A Támogatáskezelő a használt épületekben biztonsági zónákat hoz létre, és

meghatározza az egyes biztonsági zónák követelményeit. A Támogatáskezelőben

megvalósított biztonsági zónák:

a) Számítógépterem, kapcsolószekrények (kiemelt védelem)

b) Raktárak, szerviz helyiségek területe (fokozott védelem)

c) irodák, folyosók (alap védelem)

(3) A Támogatáskezelőnél a munkatársak belépéskor történő azonosítása a Biztonsági

Szolgálat feladata. A fokozott és kiemelt védelemmel ellátott biztonsági zónákba csak az

JEI/119/2018. Hatályos: 2018. 05. 25. 12

arra jogosult személyek kapnak belépési jogosultságot. A kiemelt védelemmel ellátott

biztonsági zónákba a belépési jogosultsággal rendelkező munkatársak mágneskártya vagy

Proximity kártya használatával léphetnek be (belépéseket a biztonsági rendszer

naplózza).

(4) A biztonsági rendszer riasztást ad, ha a biztonsági zónában, annak élesített

állapotában, bárki tartózkodik. Riasztás esetén a Biztonsági Szolgálat a számára kiadott

szolgálati utasításban meghatározott módon jár el. Biztonsági zónára kiadott

mágneskártyát, Proximity kártyát és/vagy belépési kódot az Üzemeltetési,

Dokumentumkezelési és Informatikai Osztály vezetőjenek a munkatárs kilépésekor

azonnal meg kell vonnia, a jogosultságot azonnal le kell tiltatni a beléptető rendszerben.

A kiadott, letiltott jogosultságokat és azonosító eszközöket az Üzemeltetési,

Dokumentumkezelési és Informatikai Osztály vezetője dokumentálja.

(5) A Támogatáskezelő a központi rendszerei védelmére szervertermet alakít ki és a

számítástechnikai folyamatok üzemeltetéséhez szükséges fontos eszközöket oda telepíti.

A szerverterem kialakításának szabályai:

9. § (1) Kiemelten fontos szempontok a szerverterem tervezésénél, kialakításánál és

átalakításánál:

a) a statikai követelmények (várható maximális födémterhelés, eszközök száma, azok

várható súlya) figyelembe vétele;

b) a környezetből adódó rezgések, környezeti zavarok (pl. nagy-frekvenciás hálózat)

figyelembe vétele;

c) a klimatizálás biztosítása;

d) a szünetmentes tápellátás biztosítása;

e) a géptermet kerüljék el a közműhálózati vezetékek (víz, gáz, csatorna, stb.); a

szerverterem felett és a határoló falfelületei mellett vizes blokkot tartalmazó

helyiség nem lehet, felette és mellette a falban gáz vagy vízcsövek nem

haladhatnak;

f) a szerverterem ajtói rendelkezzenek legalább 30 perces (mű. bizonylatolt)

tűzállósággal;

g) a géptermen belül automatikus betörés- és tűzjelző rendszert kell telepíteni, ami

mozgás-, nyitás-, füst-, üvegtörés és vízérzékelőkkel rendelkezzen; az érzékelők és

a jeleket feldolgozó központ feleljen meg az MSZ 9785, valamint az EN 54

szabványsorozatok előírásainak, rendelkezzenek a hazai minősítő intézetek

forgalomba-hozatali engedélyével;

JEI/119/2018. Hatályos: 2018. 05. 25. 13

h) törekedni kell a szerverteremben az ablakok elfalazásáról, de ha ablakok mégis

megmaradnak, akkor azokon legyen belülről átlátszó fólia;

i) a padlóburkolatok, berendezési tárgyak tűzálló és antisztatikus anyagból

legyenek;

j) az épület villámvédelme elégítse ki a kommunális- és lakóépületekre vonatkozó

előírásokat; az MSZ 274-5T:1993 szabvány szerint az LPZ 0B - LPZ 1 zónahatáron

túlfeszültség elleni védelembe be kell vonni az árnyékolást megtestesítő, a

helységhez tartozó összes fémszerkezetet (az elektromos hálózatot, víz, gáz,

távfűtés, csatornahálózatokat, antenna bevezetéseket, adatátviteli és távbeszélő

hálózatokat stb.);

k) a szerverszobán kívül legyen kialakítva külön operátor szoba, és szervizszoba.

(2) A szerverterem védelme minimálisan elégítse ki az alábbi követelményeket:

a) a nyílászárók (ajtók, ablakok) rendelkezzenek nyitottság és zártság ellenőrző

eszközzel;

b) a belső terek védelme mozgásérzékelővel legyen biztosított; a védelem ki és

bekapcsolása a bejáraton kívül elhelyezett minimum 6 számjegyes kóddal

működtetett tasztatúráról történjék;

c) megfelelő kapacitású klíma és szünetmentes tápellátó rendszer álljon

rendelkezésre;

d) automatikus tűzjelző és halonnal oltó tűzoltórendszer folyamatosan álljon

rendelkezésre;

e) a szerverterembe belépni szándékozók belépés előtti automatikus azonosításának

lehetősége (pl. mágneskártya, proximity kártya) álljon rendelkezésre.

(3) A szerverterembe történő be- és kilépés rendjének szabályozása;

a) A szerverterembe történő belépéshez szükséges kártyák vagy kódazonosítók

kiadását és visszavonását az Üzemeltetési, Dokumentumkezelési és Informatikai

Osztály vezetője engedélyezi.

b) Látogató kizárólag csak a benntartózkodáshoz engedéllyel rendelkező személy

jelenlétében tartózkodhat a szerverteremben, és a belépését a szerverterem

vendégkönyvében regisztrálnia kell.

c) Külső munkatárs csak a benntartózkodáshoz engedéllyel rendelkező személy

jelenlétében és felügyelete mellett végezhet munkát. A külső munkatárs ilyen

esetben a végzett munkát (pl. hibajavítás, takarítás) a Géptermi eseménynaplóban

dokumentálni köteles.

JEI/119/2018. Hatályos: 2018. 05. 25. 14

d) Az Üzemeltetési, Dokumentumkezelési és Informatikai Osztály vezetője

nyilvántartást köteles vezetni az aktuálisan érvényes géptermi belépési

jogosultságokról.

(4) A szervertermi munkavégzés, a terem zárása/nyitása:

a) A szerverterem biztonságilag kiemelten védett terület, munkaszünet esetén a

szerverterem zárását/nyitását csak a terem üzemeltetését végző felelős személyek

végezhetik.

b) A géptermi munka befejezése után a szerverterem zárása saját kulccsal, majd a

biztonsági rendszer élesítésével történik. A biztonsági rendszert csak a

szerverteremben munkát végző és felhatalmazott operátor élesítheti.

A szerverterem nyitására ugyanez vonatkozik, csak fordított sorrendben.

c) A számítógépeket és a kisegítő berendezéseket (perifériák) munkaszünet

alkalmával bekapcsolt állapotban lehet hagyni.

d) A szerverek zárási és indítási eljárásait munkautasítás (Üzemeltetés rendje)

tartalmazza.

(5) A szerverterem bezárása előtt:

a) ellenőrizni kell a klíma hőfokszabályzó állását (max. 24 °C-ra lehet állítva),

b) az ablakokat zárt állapotban kell hagyni,

c) a szalagfüggönyöket a belátás megakadályozására el kell fordítani.

d) A szerverterem biztonsági (tartalék) kulcsát és a belépő kódot lezárt és aláírt

borítékban a Biztonsági Szolgálat őrzi.

e) A szerverterem zárásakor, ill. nyitásakor észlelt bármilyen rendellenességet az

Üzemeltetési, Dokumentumkezelési és Informatikai Osztály vezetője felé azonnal

jelenteni kell.

f) A szerverterem zárására/nyitására jogosultsággal rendelkező munkatársakról

nyilvántartást kell vezetni. Minden ilyen jogosultság megadását az Üzemeltetési,

Dokumentumkezelési és Informatikai Osztály vezetője engedélyezi.

(6) Szerverteremre vonatkozó egyéb előírások:

a) A szerverterem biztonsági (betörés- és tűzjelző) rendszere szünetmentes

áramellátásról működjön, eseménykor az épület Biztonsági Szolgálatára, valamint

a Rendőrségre, ill. a Tűzoltóságra adjon riasztást.

b) A szerverterem összes ajtaját folyamatosan – munkavégzés alatt is – csukva kell

tartani. Ennek érdekében az ajtókat automatikus csukó szerkezettel kell ellátni.

JEI/119/2018. Hatályos: 2018. 05. 25. 15

c) A szerverterembe történő ki- és bejárás céljára egy és csakis egy ajtó álljon

rendelkezésre

d) A szerverterembe üzemelő informatikai eszközök legyenek ellátva a villámlás

másodlagos hatásai elleni védelemmel.

VI. Fejezet

Hardverekre és szoftverekre vonatkozó előírások

10. § (1) A Támogatáskezelő a központi rendszerekhez kiemelt védelmet biztosít. Minden

esetben, amikor a szerverteremben, illetve vele, egyenrangú védelemmel rendelkező más

területen szerverek és kommunikációs eszközök telepítése történik, biztosítani kell ezen

eszközök biztonságos elkülönítését és védelmét (pl. szerver szoba és operátori szoba

kialakítással).

A szervereket és a kommunikációs eszközöket (router, switch), azok fizikai védelme

céljából, erre a célra kialakított jól szellőző, zárható szekrényben elzárva kell üzemeltetni.

A szervereknél és a kommunikációs eszközöknél (router, switch) biztosítani kell a

személyre szóló azonosítás alapján történő logikai hozzáférést.

A központi rendszer elemei telepítésének, áttelepítésének végrehajtása minden esetben

az Üzemeltetési, Dokumentumkezelési és Informatikai Osztály vezetőjének a feladata és

felelőssége. Szerver vagy kommunikációs eszköz nem az AIBSZ által előírt körülmények

közötti elhelyezésére csak az Üzemeltetési, Dokumentumkezelési és Informatikai Osztály

vezetője előzetes és egyedi engedélye mellett van lehetőség és csak átmeneti jelleggel. A

központi rendszerek telepítésénél az Üzemeltetési, Dokumentumkezelési és Informatikai

Osztály vezetőjenek minden esetben kiemelten kell gondoskodni a berendezések

biztonságáról, az illetéktelen hozzáférés megelőzéséről, megakadályozásáról. A központi

rendszerekhez sem a rendszereket szállítók sem a rendszert fejlesztők nem

rendelkezhetnek közvetlen hozzáférési jogosultsággal. Minden egyes külső beavatkozás

(verzió-frissítés, programhiba javítás, egyedi fejlesztés stb.) során dokumentálni kell a

program-változásokat, az elvégzett ellenőrzéseket, teszteléseket.

A központi rendszerekhez tartozó helyi hálózat megbízhatóságának növelésére, annak

túlterhelését, hálózatrészek kiesését megelőző, a helyi adottságoknak megfelelően

kiválasztott rendszertechnikai megoldásokat (redundáns átviteli utak, illetve aktív

elemek, dinamikus átkonfigurálás, osztott hálózatvezérlés stb.) kell alkalmazni.

A számítástechnikai eszköz telepítésének részét képezi az eszköz verifikálása

(ellenőrzés). A verifikálás eredményét, azaz hogy az eszköz a meghatározott biztonsági

JEI/119/2018. Hatályos: 2018. 05. 25. 16

követelményeknek eleget tesz, az Üzemeltetési, Dokumentumkezelési és Informatikai

Osztály köteles írásban rögzíteni.

(2) Munkaállomások, laptopok telepítése, konfigurációkezelése során az alábbiakat kell

figyelembe venni:

a) Minden munkaállomás telepítést, módosítást, cserét az igénylő kezdeményez

az Infokommunikációs Eszközökről szóló Szabályzatban foglalt eljárásrend

szerint.

b) A munkaállomásokról nyilvántartását kell vezetni. A nyilvántartás tartalmazza

a munkaállomás hardver konfigurációját és a munkaállomásra telepített

szoftvereket. A nyilvántartások vezetése, azok aktualizálása az Üzemeltetési,

Dokumentumkezelési és Informatikai Osztály feladata.

c) A munkaállomásokat csak a feladat ellátásához szükséges beállításokkal és

programokkal szabad telepíteni.

d) A munkaállomások elhelyezésénél (fizikai telepítés) minden esetben kiemelten

kell gondoskodni a berendezések biztonságáról, az illetéktelen hozzáférés

megelőzéséről, megakadályozásáról. Azon irodahelyiségeket, ahol

munkaállomás működik tilos felügyelet nélkül hagyni, ha a helyiségben senki

sem tartózkodik, azt be kell zárni.

e) A munkaállomáson egyedi hozzáférést kell biztosítani, ezáltal lehetővé téve,

hogy a munkaállomást csak az arra jogosult Felhasználók használhassák.

(3) A Támogatáskezelő biztosítja az informatikai rendszerének egészére kiterjedő

rendszeres és folyamatos vírusvédelmet. Vírusellenőrzés történik a helyi hálózaton, a

levelező szerveren, valamint az összes munkaállomáson. Az Üzemeltetési,

Dokumentumkezelési és Informatikai Osztály gondoskodik arról, hogy a vírusellenőrző

programnak mindig a legújabb verziója működjön. A frissítéseknek maximum 1

munkanapon belül meg kell történniük. Csak jogtiszta és megfelelő dokumentációval

ellátott vírusellenőrző program használata megengedett. A vírusellenőrző programot

csak speciális esetekben, csak az Üzemeltetési, Dokumentumkezelési és Informatikai

Osztály vezetője utasítására lehet kikapcsolni. A rendszergazda kötelessége, hogy a

vírusvédelmet a lehető legrövidebb időn belül visszakapcsolja. A vírusirtó leállítását és

újraindítását az Üzemeltetési, Dokumentumkezelési és Informatikai Osztálynak űrlapon

dokumentálnia kell. A felhasználók a vírusvédelmet semmilyen körülmények között sem

kapcsolhatják ki. A hatékony vírusvédelem érdekében a Támogatáskezelő

JEI/119/2018. Hatályos: 2018. 05. 25. 17

munkatársaihoz kívülről érkező leveleken kiterjesztés és tartalom szerinti szűrést kell

végezni, és a vírus gyanús leveleket azonnal karanténba kell helyezni.

(4) Amennyiben a vírusellenőrzések ellenére a felhasználók vírusra utaló hibás, vagy

furcsa működést tapasztalnak, a vírusfertőzés gyanújáról azonnal értesíteni kell az

Üzemeltetési, Dokumentumkezelési és Informatikai Osztályt. A felhasználó köteles

haladéktalanul jelenteni az Üzemeltetési, Dokumentumkezelési és Informatikai

Osztálynak, ha rosszindulatú alkalmazás jelenlétének gyanúját észleli az informatikai

eszközön. Rosszindulatú alkalmazás jelenlétére utaló jelek különösen:

a) rosszindulatú alkalmazás elleni védelemről gondoskodó alkalmazás névvel

azonosított rosszindulatú alkalmazást jelez;

b) fájl másolása esetén a forrásfájl és a célfájl mérete, neve eltérő;

c) szokatlan és váratlan képernyő tevékenység;

d) szokatlan alkalmazás-tevékenység: felhasználói beavatkozás nélkül elinduló

alkalmazások, a megszokottól eltérően viselkedő alkalmazások, elérhetetlen

funkciók, stb.;

e) jelentősen lassult működés, amely többszöri újraindítás során sem javul.

(5) Külső adathordozó használata előtt az adathordozó adatállományát a rosszindulatú

alkalmazás elleni védelemről gondoskodó alkalmazás használatával ellenőrizni kell. A

vírusdetektálás (vagy vírusgyanú felmerülése) és a víruseltávolítás biztonsági

eseménynek számít, ezért minden vírusdetektálást és víruseltávolítást haladéktalanul

jelenteni kell az Üzemeltetési, Dokumentumkezelési és Informatikai Osztály vezetője felé.

Az ilyen eseményt az Üzemeltetési, Dokumentumkezelési és Informatikai Osztálynak ki

kell vizsgálnia, és dokumentálnia. Az Üzemeltetési, Dokumentumkezelési és Informatikai

Osztály vezetője időszakosan ellenőrizni köteles, hogy az aktuálisan használt

vírusellenőrző program megegyezik a kiadott legfrissebb változattal. A biztonsági

kockázatot jelentő elektronikus küldemények kezelése során az Iratkezelési Szabályzat

rendelkezéseit is figyelembe kell venni.

(6) A Támogatáskezelőbe új rendszer fejlesztésével, létező rendszerek

továbbfejlesztésével, az új rendszerek, verziók bevezetésével és szükséges

dokumentációival kapcsolatos biztonsági elvárásokat az Üzemeltetési,

Dokumentumkezelési és Informatikai Osztály által készített és évente karbantartott

követelményjegyzék tartalmazza. A követelményjegyzéket a Támogatáskezelő minden

rendszerfejlesztés, rendszerbevezetés tartalmú pályázatának, szerződésének

mellékleteként csatolni kell, a benne foglaltakat a szállítóktól meg kell követelni.

JEI/119/2018. Hatályos: 2018. 05. 25. 18

Külső és belső ellenőrzési eszközökkel ellenőrizni kell, hogy a külső elektronikus

információs rendszer szolgáltatója biztosítja-e az elvárt védelmi intézkedéseket

Valamennyi rendszer vagy rendszerelem, hardver és szoftver beszerzése során meg kell

határozni és szerződéses követelményként elő kell írni:

a) a funkcionális biztonsági követelményeket;

b) a garanciális biztonsági követelményeket (pl. a biztonságkritikus

termékekre elvárt garanciaszint);

c) a biztonsággal kapcsolatos dokumentációs követelményeket;

d) a biztonsággal kapcsolatos dokumentumok védelmére vonatkozó

követelményeket;

e) az elektronikus információs rendszer fejlesztési környezetére és tervezett

üzemeltetési környezetére vonatkozó előírásokat;

f) az elfogadási kritériumokat.

A rendszer fejlesztések során a rendszer valamennyi életciklusában értékelni és

érvényesíteni kell a biztonsági követelményeket. Meg kell határozni a rendszerhez

kapcsolódó információbiztonsági szerepköröket és felelősségeket.

A rendszer életciklus szakaszokat a következők szerint kell meghatározni:

a) követelmény meghatározás;

b) fejlesztés vagy beszerzés;

c) megvalósítás vagy értékelés;

d) üzemeltetés és fenntartás;

e) kivonás (archiválás, megsemmisítés).

(7) Az elektronikus információs rendszerek beszerzése és fejlesztése során meg kell

követelni a rendszer adminisztrátori és fejlesztői dokumentációjának az elkészítését,

melyeknek tartalmazniuk kell rendszer biztonsági vonatkozásait, a biztonságos

konfigurálását, telepítését és üzemeltetését, a biztonsági funkciók hatékony alkalmazását

és fenntartását, ismert sérülékenységeket, továbbá a felhasználó által elérhető biztonsági

funkciókat és a felhasználó kötelezettségeit a biztonság fenntartásához;

A Támogatáskezelő a rendszer karbantartások és az azokhoz kapcsolódó ellenőrzések

elvégzése érdekében rendszer-karbantartási eljárásokat alakít ki. A karbantartási

tevékenységekről nyilvántartást vezet. A karbantartások tervezése és végrehajtása során:

a) a gyártói vagy a forgalmazó specifikációknak megfelelően, továbbá a szervezeti

igények szerint a karbantartásokat és javításokat ütemezetten hajtja végre;

JEI/119/2018. Hatályos: 2018. 05. 25. 19

b) dokumentálja és felülvizsgálja a karbantartásokról és javításokról készült

feljegyzéseket;

c) jóváhagyja és ellenőrzi az összes karbantartási tevékenységet, függetlenül attól,

hogy azt a helyszínen vagy távolról végzik, és függetlenül attól, hogy a berendezést

a helyszínen, vagy másutt tartják karban;

d) külső karbantartó személyzet esetén minden esetben ellenőrizni kell

karbantartást végzők, szervezetek vagy személyek jogosultságát a munka

elvégzésére;

e) az Üzemeltetési, Dokumentumkezelési és Informatikai Osztály vezetőjének, vagy

az általa meghatalmazott felelős munkatársak jóváhagyása szükséges az

elektronikus információs rendszer vagy a rendszerelemek Támogatáskezelő

létesítményeiből történő kiszállításhoz;

f) gondoskodik arról, hogy az elszállítás előtt minden adat és információ – mentést

követően –a berendezésről törlésre kerüljön;

g) a javítási tevékenységek után ellenőrzi, hogy a berendezések a karbantartási vagy

javítási tevékenységek után is megfelelően működnek-e, és biztonsági

ellenőrzésnek veti alá azokat;

h) csatolja a meghatározott, karbantartással kapcsolatos információkat a

karbantartási nyilvántartáshoz.

(8) A karbantartási terveket és eljárásokat évente felül kell vizsgálni és szükség szerint

aktualizálni.

VII. Fejezet

Az adathordozók kezelése és biztonsága

11. § Az adatok sérülésének elkerülésére és a működésfolytonosság fenntartás érdekében

üzemeltetési eljárásokat kell létrehozni az elektronikus dokumentumokhoz, számítógép

médiumokhoz, adathordozókhoz történő jogosulatlan hozzáférés, módosítás, ellopás

megakadályozása érdekében. A védelem szabályozási, logikai és fizikai eljárásokat

tartalmaz.

12. § Az eltávolítható adathordozók kezelése:

A hordozható adathordozók – más terminológia szerint eltávolítható adathordozók –

jellegükből adódóan jelentős információbiztonsági kockázatot hordoznak.

Az eltávolítható adathordozók közé tartoznak az adatkazetták, CD-k, DVD-k, külső

merevlemezek, pendrive-ok, de ebbe a kategóriába kell sorolni hozzáférhetőségük és

felépítésük miatt a mobiltelefonok és fényképezőgépek memóriáját is. (Általában

használatos még az „USB mass storage” elnevezés is.)

JEI/119/2018. Hatályos: 2018. 05. 25. 20

A legnagyobb veszélyt az eltávolítható adathordozók jogosulatlan használata jelenti. A

Támogatáskezelő hálózatához ilyen eszközt kapcsolva fennáll a rosszindulatú kódok

(vírusok) bejutásának veszélye, másrészről pedig fennáll az adatok jogosulatlan

elvitelének veszélye, ezért a dolgozók saját eltávolítható adathordozóikat külön

feljogosítás nélkül a hálózathoz nem csatlakoztathatják!

13. § (1) Az eltávolítható adathordozókkal kapcsolatos irányelvek:

a) bizalmas információ csak titkosítva írható fel rájuk;

b) biztosítani kell hardver titkosítással ellátott pendrive-okat azon üzleti

munkatársak számára, akiknek munkájához indokolt;

c) a titkosítatlan optikai adathordozókat, amennyiben már nem szükségesek,

helyreállíthatatlanul fizikailag meg kell semmisíteni;

d) a megőrzendő adatok esetében, figyelembe kell venni az eszköz várható

élettartamát és ennek megfelelően időközönként át kell másolni az adatokat vagy

több helyen kell azokat tárolni.

14. § (1) Adathordozók újrahasznosítása és selejtezése

Az adatok kiszivárgásának megakadályozás érdekében az alábbi utasításokat kell követni:

a) A már szükségtelenné vált adatot tartalmazó, de újrafelhasználható

adathordozókról – tipikusan munkaállomások, laptopok merevlemezei, új

felhasználóhoz történő kiadásuk előtt – elegendő az adatokat szokásos formázási

vagy törlési eljárással törölni, majd az eszközt újra használatba lehet venni. Ez

kizárólag a szervezeten belül történő újrafelhasználás esetén érvényes.

b) A használaton kívüli adathordozókat osztályozni kell aszerint, hogy tartalmaz-e

érzékeny adatot. Amennyiben ez nem megállapítható, akkor az adathordozót úgy

kell kezelni, mint ami érzékeny adatot tartalmaz.

c) Az érzékeny adatokat tartalmazó mágneses adathordozókat (merevlemezeket)

lemágnesezéssel vagy speciális felülírással lehet törölni.

d) Azokat az adathordozókat, amelyek már további használatra nem alkalmasak,

selejtezni kell. A selejtezésre szánt adathordozókról jegyzőkönyvet kell felvenni, s

az adatmegsemmisítést is bizottságilag jegyzőkönyvezni kell.

e) Valamennyi adathordozó típus esetén alkalmazható a speciális,

adatmegsemmisítéssel foglalkozó cégek szolgáltatása, amelyek bezúzással, vagy

égetéssel, jegyzőkönyvezés mellett végzik a megsemmisítést.

A nem elektronikus – jellemzően papír alapú – adathordozók esetében is hasonlóan kell

eljárni, a használatból kivont adathordozókat első sorban fizikailag kell megsemmisíteni.

JEI/119/2018. Hatályos: 2018. 05. 25. 21

15. § (1) Az adathordozók tárolása és védelme:

a) Az adathordozókat a rajtuk lévő adatok érzékenységének megfelelően, védeni kell,

használaton kívül el kell zárni.

b) Adathordozó (adat) a Támogatáskezelő területéről csak a főigazgató engedélyével

kerülhet ki, ez vonatkozik az adathordozókon történő kivitelre, vagy az egyéb,

elektronikus úton történő továbbításra, mint az Internet vagy a (mobil)telefonos

adattovábbítás.

c) A központi infrastruktúrán (kiszolgálók, csoportkönyvtárak, fájl szerverek stb.)

kívül például felhasználói munkaállomásokon, laptopokon csak olyan adatot

szabad tárolni, melyek sérülése, elvesztése vagy illetéktelenek kezébe történő

kerülése nem okozhat a Támogatáskezelő számára kárt vagy bizalomvesztést. Az

ilyen adatok nem kerülnek központi mentésre, ezért a mentési igényt minden

esetben az Üzemeltetési, Dokumentumkezelési és Informatikai Osztály vezetője

felé kell jelezni.

d) A személyi használatra kiadott laptopokon bizalmas információ csak titkosítva

szabad tárolni.

VIII. Fejezet

Dokumentációkhoz kapcsolódó védelmi intézkedések

16. § (1) Minden nyilvántartott szoftverhez nyilván kell tartani a szoftver

dokumentációját, ami magába foglalja legalább az alábbiakat:

a) felépítésének, funkcióinak és adatkapcsolatainak felső szintű leírását, valamint

alapvető jellemzőit (mérete, nyelve, működési környezet, készítőjét), leírását;

b) felhasználói és üzemeltetői kézikönyveket, különösképpen a felhasználói

jogosultság rendszer leírását, továbbá a felhasználó kötelezettségeit a biztonság

fenntartásához;

c) a rendszer telepítőkészletét, telepítési segédleteit;

d) a tesztelést igazoló, valamint az üzemeltetésre átvétel jegyzőkönyveit;

e) az üzemi, konfigurációs beállítások leírását;

f) a rendszert üzemeltetésével, támogatásával kapcsolatos partneri

megállapodásokat (pl.: licencek, support szerződések, elérhetőségek);

g) a rendszer biztonsági vonatkozásait, az ismert sérülékenységeket, biztonsági

funkciók hatékony alkalmazását és fenntartását.

(2) A felsorolt dokumentumok őrzése az Üzemeltetési, Dokumentumkezelési és

Informatikai Osztály feladata. A rendszerleírási és rendszerprogram dokumentációinak

JEI/119/2018. Hatályos: 2018. 05. 25. 22

első példányát az Üzemeltetési, Dokumentumkezelési és Informatikai Osztály

informatikai könyvtárában kell tárolni elektronikus formában. A leírások és

dokumentációk másodpéldányát papíron (és lehetőség szerint elektronikus formában is)

tűzbiztos lemezszekrényben, kell tárolni. A dokumentációkat minden esetben úgy kell

elhelyezni, hogy azok a tárolás közben ne sérüljenek vagy károsodjanak.

Gondoskodni kell arról, hogy az információs rendszerre vonatkozó – különösen az

adminisztrátori és fejlesztői – dokumentáció jogosulatlanok számára ne legyen

megismerhető, módosítható;

Gondoskodni kell a dokumentációknak az érintett szerepköröket betöltő személyek által,

vagy a szerepkörhöz tartozó jogosultságnak megfelelően történő megismerésről.

(3) A rendszerleírások és rendszerprogram dokumentációinak frissítését minden olyan

esetben, amikor a rendszeren változtatás (rendszerkonfiguráció változtatás, javítás,

verzióváltás, stb.) az üzembe állítás (üzemeltetésre átadás) előtt frissíteni kell. A

dokumentációk naprakészségért az Üzemeltetési, Dokumentumkezelési és Informatikai

Osztály felelős. A rendszerleírásokról és rendszerprogram dokumentációkról űrlapon kell

pontos nyilvántartást vezetni, a verziószámoknak és a telepítés időpontjainak a

feltüntetésével. A nyilvántartásnak biztosítania kell, hogy legalább 1 évre visszamenőleg

meghatározható legyen minden, az egyes rendszerekkel kapcsolatos változás ideje, oka,

mibenléte. A nyilvántartás vezetése és annak folyamatos aktualizálása az Üzemeltetési,

Dokumentumkezelési és Informatikai Osztály feladata.

(4) A felhasználói dokumentációk folyamatos rendelkezésre állása megköveteli, hogy a

dokumentumokat gyorsan és egyszerűen el lehessen érni. A felhasználói

dokumentációkat javasolt elektronikusan, nyilvános mappában, vagy intraneten tárolni.

IX. Fejezet

Elektronikus kommunikációhoz kapcsolódó védelmi intézkedések

17. § Általános rendelkezések

(1) A Támogatáskezelő hálózatát, vagy munkaállomásait csak ellenőrzött kapcsolaton

keresztül lehet más hálózatokhoz csatlakoztatni. Engedély nélkül tilos bármilyen egyéni

kommunikációs eszköz (pl. mobiltelefon, fax-modem, másik hálózathoz csatlakozni képes

számítógép) csatlakoztatása a Támogatáskezelői munkaállomásokhoz. A fentiek

biztosítása érdekében a Támogatáskezelő munkaállomásainak technikai beállításait úgy

kell elvégezni, hogy a mindennapi munkához nem szükséges kommunikációs lehetőségek

(pl. IRDA, BlueTooth, beépített modem) tiltva legyenek. E mellett a telefonhálózaton

legyenek tiltva azok a körzetszámok (pl. 51-es), amelyeken internetszolgáltatók érhetők

el.

JEI/119/2018. Hatályos: 2018. 05. 25. 23

(2) E-mail használattal kapcsolatos előírások

Az e-mail használatával kapcsolatos, jelen pont alatti előírásokat akkor kell alkalmazni, ha

a Támogatáskezelő működésére irányadó egyéb szabályzat, így különösen az Iratkezelési

Szabályzat másként nem rendelkezik. Az elektronikus levelezés célja a gyors ügyintézés

és a papír alapú dokumentumok mennyiségének csökkentése. A Támogatáskezelő minden

munkatársával szemben elvárás az elektronikus levelezéssel kapcsolatban a körültekintő

és etikus viselkedés. A Támogatáskezelő munkatársaira az alábbi, az elektronikus levelező

rendszerre vonatkozó jogok és kötelezettségek vonatkoznak:

a) a belső elektronikus levelező rendszerben továbbított üzenet, levél, vagy

csatolt fájl egyenértékű az üzenet, levél, vagy csatolt fájl személyes, papír

alapon történő átadásával;

b) az elektronikus levelező rendszerből kifelé továbbított üzenet nem

vonatkozhat kötelezettség vállalásra;

c) az elektronikus levelező rendszerből kifelé továbbított bizalmasan kezelendő

üzenet csak titkosítva küldhető;

d) az elektronikus levelező rendszerből kifelé továbbított levélben és üzenetben

minden esetben biztosítani kell a Támogatáskezelő jó hírét;

e) elektronikus levelezéskor az elektronikus levelezési címet csak az arra

jogosult személy használhatja, más nevében elektronikus levél küldése nem

engedélyezett;

f) az elektronikus levelező rendszer használata során minimálisra kell

csökkenteni annak személyes célokra történő használatát, az elektronikus

levelező rendszerrel személyes üzleti tevékenység nem végezhető;

g) a téves címzés miatt megkapott levelet bizalmasan kell kezelni, és azt

haladéktalanul az eredeti címzettjének vagy a feladójának kell továbbítani;

h) a Támogatáskezelő elektronikus levelező rendszerében továbbított üzenetben

vagy levélben nem alkalmazható kézi aláírás szkennelt változata.

(3) Vezeték nélküli hozzáférés

A Támogatáskezelő a mobil eszközökkel rendelkező felhasználói számára, egyedi

engedélyezési eljárás után, vezeték nélküli (WiFi) hozzáférési lehetőséget biztosíthat

elektronikus információs rendszereihez.

A vezeték nélküli hálózat létesítése és üzemeltetése során az alábbi feltételeknek kell

teljesülniük:

a) A vezeték nélküli hozzáférést titkosítással és a felhasználók, vagy eszközök

hitelesítésével kell védeni,

JEI/119/2018. Hatályos: 2018. 05. 25. 24

b) A vezeték nélküli hálózat konfigurálását a rendszergazdák csak közvetlen

jogosultság birtokában, a védett hálózaton kialakított vezetékes kapcsolaton

keresztül végezhetik.

c) A vezeték nélküli hálózat üzemeltetése során megfelelő karakterisztikájú és

teljesítményszintű antennák, vagy egyéb technikákat alkalmazásával

gondoskodni kell arról, hogy a szervezet fizikai határain kívülről a jelek

észlelésének a valószínűsége minimális legyen.

18. § Kommunikáció biztonságának szabályozása

(1) Behatolás védelmi szabályok, és tűzfalak:

a) A Támogatáskezelő a Központi rendszereit tűzfallal vagy azzal egyenértékű tűzfal

jellegű berendezéssel (továbbiakban: Tűzfal) köteles védenie annak

megakadályozására, hogy kívülről illetéktelen személy a rendszerbe

behatolhasson. Az ilyen védelmi feladatot ellátó berendezést a Központi

rendszerek részének kell tekinteni.

b) A nyilvánosan hozzáférhető rendszerelemeket fizikailag vagy logikailag

alhálózatokban kell elhelyezni, elkülönítve a belső szervezeti hálózattól.

c) A Támogatáskezelő hálózatáról szigorúan tilos bármilyen, a tűzfalat megkerülő

kapcsolatot létesíteni nyilvános hálózatokkal (pl.: Internetet modemen keresztül

használni).

d) Nem nyilvános hálózatokat (pl. banki átutalásokhoz bankterminál használata, BM

hálózata) csak ellenőrzött kapcsolaton keresztül szabad használni.

e) Az alkalmazott tűzfal auditáltatását, annak üzembe helyezését követően, külső

szakértővel el kell végeztetni.

f) Az alkalmazott tűzfalon változtatást csak a hálózati eszközök Rendszergazdája

végezhet, ha azt az Üzemeltetési, Dokumentumkezelési és Informatikai Osztály

vezető előzetesen engedélyezte.

g) Az alkalmazott tűzfal berendezésen végrehajtott változásokat a Rendszergazdának

dokumentálnia kell (ki és mikor végezte a beavatkozást, mit módosított), és erről

a Üzemeltetési, Dokumentumkezelési és Informatikai Osztály vezetőt

haladéktalanul értesíteni köteles.

h) Az alkalmazott tűzfal működőképes konfigurációjáról olyan biztonsági másolatot

kell készíteni, amelynek segítségével a korábbi működő állapot - szükség esetén -

gyorsan előállítható. A biztonsági másolatot a normál mentésekkel együtt

tűzbiztos széfben kell eltárolni.

JEI/119/2018. Hatályos: 2018. 05. 25. 25

i) A központi rendszereken végzett bármilyen olyan beállítás, amihez

rendszergazdai jogosultság szükséges, csak a Támogatáskezelő területén

végezhető.

j) Ha a központi rendszerekhez - rendkívüli esetben - távoli helyről válik szükségessé

rendszergazdai beavatkozás, akkor ez - a megfelelő óvintézkedések (egyszeri

jelszó, hívás-visszahívás eljárás stb.) megtétele mellett végezhető el.

k) Biztosítani kell, hogy a Támogatáskezelő Informatikai rendszerének bármely

elemén kizárólag csak az arra felhatalmazott rendszergazda végezhessen

rendszergazdai jogosultsághoz kötött módosításokat. Felhasználók még

átmenetileg sem kaphatnak ilyen jogosultságot, kivéve, ha erre az Informatikai

vezető vagy az érintett Területi vezető eseti felmentést ad. A felmentésnek

tartalmaznia kell a megadásának indokát, érvényességének időtartamát és a

megszüntetéséért felelős személy nevét. A felmentésről - mielőtt a jogosultság

érvénybe lépne - az üzemeltető cégnek az Üzemeltetési, Dokumentumkezelési és

Informatikai Osztály vezetőt értesíteni kell, valamint miután a jogosultság

visszavonása végre lett hajtva.

l) Megtörtént, vagy folyamatban levő biztonsági incidens észlelésekor a felhasználó

haladéktalanul köteles értesíteni az Üzemeltetési, Dokumentumkezelési és

Informatikai Osztályt. A felhasználó nem kísérelheti meg a támadó felderítését,

nem tehet ellenlépéseket, kivéve, ha az Üzemeltetési, Dokumentumkezelési és

Informatikai Osztály erre kifejezett utasítást ad.

(2) Titkosítás, elektronikus aláírás:

A Támogatáskezelő tervezi PKI eszközök használatba vételét, ugyanakkor jelenleg nem

használ semmilyen titkosítási, vagy elektronikus aláírási megoldást. Amennyiben ilyen

eszközök használatát bevezeti a Támogatáskezelő, úgy itt kell leírni az erre vonatkozó

rendelkezéseket.

(3) Együttműködésen alapuló számítástechnikai eszközök:

Az elektronikus információs rendszernek meg kell gátolnia az együttműködésen alapuló

számítástechnikai eszközök (pl. kamerák, mikrofonok) távoli aktiválását, kivéve, ha az

engedélyezve van. A távoli aktivitásról az eszköz nyújtson közvetlen kijelzést azoknak a

felhasználóknak, akik fizikailag jelen vannak az eszköznél.

(4) A folyamatok elkülönítése

Az elektronikus információs rendszerben elkülönített végrehajtási tartományt kell

fenntartani minden végrehajtó folyamat számára.

JEI/119/2018. Hatályos: 2018. 05. 25. 26

X. Fejezet

Személyekhez kapcsolódó védelmi intézkedések, azonosítás és hitelesítés

19. § Általános előírások

A Támogatáskezelő biztosítja, hogy minden munkatársa megfelelő hozzáféréssel

rendelkezzen a munkaköréhez szükséges informatikai alapszolgáltatásokhoz. A

Támogatáskezelő minden munkatársa számára biztosítja a munkakör ellátásához

szükséges Alkalmazói szoftverek, illetve az Alkalmazói szoftverek meghatározott

részeinek rendeltetésszerű használatát. A jogosultságok felhasználókhoz kötődnek. A

felhasználó számára biztosított jogosultság alapján az adatokon végzett minden

tevékenységgel és az adatok felhasználásával kapcsolatos minden felelősség a

felhasználót terheli. Azon Alkalmazói szoftverek esetében, ahol a szolgáltató egy

intézmény részére csak egy (általában az intézmény vezetőjéhez kapcsolt)

hozzáférési jogosultságot biztosít, ott a jogosultság továbbadásával érintett

felhasználót terhel minden felelősség az adatokon végzett minden tevékenységgel és

az adatok felhasználásával kapcsolatban. A Támogatáskezelő gondoskodik arról,

hogy az informatikai rendszerében tárolt adatokhoz illetéktelen ne férjen hozzá,

adatolvasást, adatmegsemmisítést, adathamisítást ne tudjon végrehajtani.

20. § A felhasználó azonosítása és hitelesítése, hozzáférés szabályozás

Minden felhasználó saját, kizárólagos használatú egyedi azonosítóval (User ID)

rendelkezik, mely használatával, magát jelszavával hitelesítve, hozzáfér a rendszer

erőforrásokhoz.

Az egyedi azonosító alkalmas arra, hogy a végzett tevékenységek nyomon

követhetőek legyenek, s hozzájuk egyéni felelősség legyen rendelhető.

A felhasználói azonosító nem utalhat a szerepkör esetleges privilégiumára (például

rendszergazda vagy üzemeltető stb.)

Csoportos felhasználói azonosító nem engedélyezett – kivéve azokban az esetekben,

ahol egyéb nyilvántartás alapján megadható, hogy ki használja az adott fiókot.

Szerződött partnerek, külső támogatók (harmadik fél) valamennyi, a

Támogatáskezelő rendszereihez hozzáférési jogosultsággal rendelkező

munkatársának saját azonosítót kell igényelnie, amelynek kezelése a belső

alkalmazotti azonosítókkal azonos módon történik.

Különleges jogosultságokkal rendelkező (privilegizált) felhasználó regisztrálását

minden esetben az Üzemeltetési, Dokumentumkezelési és Informatikai Osztály

JEI/119/2018. Hatályos: 2018. 05. 25. 27

vezető hagyja jóvá. Privilegizált fiókokhoz történő távoli hozzáféréshez többfaktoros

authentikáció szükséges.

Az általános felhasználó tevékenységeket ne végezzék előjogokkal bíró

bejelentkezésekkel.

Amennyiben fokozott biztonságú hitelesítés a követelmény, akkor a jelszó mellett

további hitelesítési eszközök használatát, mint kriptográfiai eszközök,

memóriakártya, tokenek vagy biometrikus azonosítás kell bevezetni

Az azonosítók ismételt felhasználása – mivel személyhez kötött, egyedi

azonosítókról van szó – nem engedélyezett, kivéve abban az esetben, amennyiben a

korábban kilépett munkatárssal létesít újra munkaviszonyt a Támogatáskezelő.

Három hónapos inaktivitás után a nem használt azonosítókat le kell tiltani.

21. § A hitelesítésre szolgáló eszközök kezelése:

a) gondoskodni kell róla, hogy a hitelesítésre szolgáló eszközök átadásakor az

eszközt átvevő egyén, csoport, szerepkör vagy eszköz jogosultsága ellenőrzésre

kerüljön;

b) meg kell határozni a hitelesítésre szolgáló eszköz kezdeti tartalmát;

c) biztosítani kell a hitelesítésre szolgáló eszköz tervezett felhasználásának megfelelő

jogosultságokat;

d) dokumentálni kell a hitelesítésre szolgáló eszközök kiosztását, visszavonását,

cseréjét, az elvesztett, vagy a kompromittálódott, vagy a sérült eszközöket;

e) a hitelesítésre szolgáló eszközök alapértelmezés szerinti értékét meg kell

változtatni az elektronikus információs rendszer telepítése során;

f) meg kell határozni a hitelesítésre szolgáló eszközök minimális és maximális

használati idejét, valamint ismételt felhasználhatóságának feltételeit;

g) a hitelesítésre szolgáló eszköz típusra meghatározott időnként meg kell változtatni

vagy frissíteni a hitelesítésre szolgáló eszközöket;

h) meg kell óvni a hitelesítésre szolgáló eszközök tartalmát a jogosulatlan felfedéstől

és módosítástól;

i) a hitelesítésre szolgáló eszközök felhasználóinak kötelességük, hogy védjék

eszközeik bizalmasságát, sértetlenségét;

j) az érintett fiókok megváltoztatásakor le kell cserélni a hitelesítésre szolgáló

eszközt.

JEI/119/2018. Hatályos: 2018. 05. 25. 28

k) az elektronikus információs rendszer a hitelesítési folyamat során biztosítson

fedett visszacsatolást, hogy megvédje a hitelesítési információt jogosulatlan

személyek esetleges felfedésétől, felhasználásától.

22. § Hitelesítés szolgáltatók tanúsítványának elfogadása

Az elektronikus információs rendszer csak a Nemzeti Média- és Hírközlési Hatóság

elektronikus aláírással kapcsolatos nyilvántartásában szereplő hitelesítés

szolgáltatók által kibocsátott tanúsítványokat fogadhatja el az érintett szervezeten

kívüli felhasználók hitelesítéséhez.

XI. Fejezet

Személyi biztonság

23. § (1) A felhasználók tevékenységének ellenőrzése és szabályozása érdekében a

Támogatáskezelő:

a) szabályzataiban rögzíti az elektronikus információs rendszerhez hozzáférési

jogosultságot igénylő munkatársakkal, felhasználókkal szembeni elvárásokat,

a rájuk vonatkozó szabályokat, felelősségüket, az adott rendszerhez

kapcsolódó kötelező, vagy tiltott tevékenységet;

b) az elektronikus információs rendszerhez való hozzáférés engedélyezése előtt

írásbeli nyilatkozattételre kötelezi a hozzáférési jogosultságot igénylő

személyt, felhasználót, aki nyilatkozatával igazolja, hogy az elektronikus

információs rendszer használatához kapcsolódó, rá vonatkozó biztonsági

szabályokat és kötelezettségeket megismerte, saját felelősségére betartja;

c) a követelmények változásáról az érintett munkatársakat értesíti.

(2) A felhasználók kötelezettségeként előírt védelmi intézkedések

A Támogatáskezelő informatikai eszközein és hálózati meghajtóin kizárólag a

felhasználó munkakörével és munkájával kapcsolatos adatok tárolhatók. A felhasználó

saját, munkájával összefüggésbe nem hozható adatait az Üzemeltetési,

Dokumentumkezelési és Informatikai Osztály, vagy a Támogatáskezelő által ezzel

megbízott külső személy előzetes felszólítás nélkül törölheti. A felhasználó felel az általa

használt informatikai eszközökön tárolt adatok védelméért, így különösen köteles:

a) a bizalmasan kezelendő és belső használatú információkat hordozható

eszközökön titkosítva tárolni;

b) tartózkodni a bizalmasan kezelendő és belső használatú információk

kódolatlan külső hálózaton történő küldésétől;

c) tartózkodni a jelszavak titkosítás nélküli tárolásától;

JEI/119/2018. Hatályos: 2018. 05. 25. 29

d) a mobil eszközök valamennyi biztonsági szolgáltatását használni;

e) az asztali számítógépet és a hordozható számítógépet jelszóval védeni;

f) a felügyelet nélkül hagyott asztali számítógépet és a hordozható számítógépet

zárolni.

A felhasználó adatkezelését, ideértve különösen az adatok másolását, áthelyezését,

továbbítását, fel- és letöltését az Üzemeltetési, Dokumentumkezelési és Informatikai

Osztály a Támogatáskezelő adatbiztonsága érdekében naplófájlban rögzítheti és

tárolhatja.

(3) A Támogatáskezelő informatikai rendszereihez az alábbi hozzáférési csoportokat

határozza meg:

a) Az alapszolgáltatás hozzáférés a Támogatáskezelő által meghatározott

irodarendszerekhez való hozzáférést biztosítja, ami minden felhasználói

munkaállomáson rendelkezésre áll.

b) Az alkalmazói szoftver hozzáférés az alkalmazói szoftver használatát biztosítja,

ami a felhasználói terület erre jogosult munkatársának munkaállomásán

rendelkezésre áll.

c) Speciális IT szolgáltatás hozzáférés a speciális informatikai szolgáltatások (pl.

Internet, Laptop használat) igénybe vételét biztosítja.

d) A rendszergazda hozzáférés a Rendszerszoftverekhez (operációs rendszerek) és a

rétegszoftverekhez (adatbázis-kezelők) való hozzáférést biztosítja, ilyen

jogosultsággal a kinevezett rendszergazdák rendelkeznek.

e) A rendszerüzemeltető hozzáférés a Felhasználók alkalmazói szoftverbeli

hozzáférési jogosultság beállítását teszi lehetővé, ilyen jogosultsággal a kinevezett

rendszerüzemeltetők rendelkeznek.

(4) Név és jelszó konvenciók

A Felhasználó név megadását (Felhasználónév) minden alaprendszernél a munkatárs

vezetéknevéből és a keresztnevének első karakteréből kell létrehozni, több azonos

keresztnevű munkatárs esetében a szükséges megkülönböztetés érdekében a keresztnév

további karaktereit kell használni. Ettől az előírástól csak indokolt esetben szabad eltérni.

A jelszavakkal kapcsolatos rendelkezéseket (jelszavakkal kapcsolatos biztonsági

feltételek, elfelejtett jelszó esetén követendő szabályok) az Infokommunikációs

Eszközökről szóló Szabályzat tartalmazza.

JEI/119/2018. Hatályos: 2018. 05. 25. 30

(5) Jogosultságok kiadása

A Támogatáskezelő munkatársai számára az egyes rendszerekhez történő hozzáférési

jogosultságokat a belső informatikai rendszeren/hálózaton keresztül kell igényelni, a

jogosultságok kiadásával kapcsolatos részletes rendelkezéseket az Infokommunikációs

Eszközökről szóló Szabályzat tartalmazza.

(6) Jogosultságok módosítása, letiltása

Egy munkatárs jogosultságainak bővítése, szűkítése az illetékes területi vezető

kezdeményezésére, a főigazgató engedélyével történhet. Meg kell különböztetni, hogy a

bővítés vagy szűkítés csak egy adott munkatársat, vagy minden, adott munkakörben

dolgozó munkatársat érint-e, és szükség esetén a munkakörökhöz tartozó jogosultsági

listát is módosítani kell. A kilépett munkatárs személyes dokumentumainak (pl. levelezés,

személyes könyvtár tartalma) CD-re másolásáról a kilépés napjáig a felhasználó kérésére

az Üzemeltetési, Dokumentumkezelési és Informatikai Osztály gondoskodik, és biztosítja,

hogy csak a személyes dokumentumok kerülhessenek másolásra. A Felhasználók és

Rendszergazdák jogosultságainak megváltoztatását előíró, az Üzemeltetési,

Dokumentumkezelési és Informatikai Osztály vezetője jóváhagyását tartalmazó leveleket,

dokumentumokat az Üzemeltetési, Dokumentumkezelési és Informatikai Osztály lefűzi.

(7) Információbiztonsági tudatosság és képzés

(8) Képzés munkába álláskor

Annak érdekében, hogy az érintett személyek felkészülhessenek a lehetséges belső

fenyegetések felismerésére, az alapvető biztonsági követelményekről tudatossági képzést

kell nyújtani az elektronikus információs rendszer felhasználói számára. Az informatikai

biztonság tudatosítására irányuló tevékenység és képzés az érintett szervezet összes

közszolgálati, vagy munkavégzésre irányuló egyéb jogviszonyban álló alkalmazottainak,

munkavállalóinak, megbízottjainak tekintetében kötelező.

Először munkába álláskor, illetve a szerepkör átvételét megelőzően kell megtartani az

információbiztonsági oktatást.

Az információbiztonsági oktatásnak a munkakör igényei szerint:

a) alkalmazkodnia kell az alkalmazott által betöltött feladatkörhöz,

b) tartalmaznia kell az ismert fenyegetésekre történő felkészülést,

c) ismertetnie kell az információbiztonság belső szervezetét

d) ismertetnie kell az információbiztonsági fenyegetések felismerésének

módját és a szükséges intézkedéseket, eszkalációt.

JEI/119/2018. Hatályos: 2018. 05. 25. 31

(9) Rendszeres információbiztonsági frissítő képzés

A munkatársak információbiztonsági képzésen történő részvételt követően tesztet

töltenek ki, mellyel igazolják, hogy elsajátították tudnivalókat.

Éves rendszerességgel meg kell ismételni az információbiztonsági tudatosságot frissítő

képzést, amelyen minden, számítógépet használó munkatársnak részt kell vennie. Az

éves frissítő képzések során:

a) ellenőrizni és frissíteni kell az alapvető információbiztonsági tudatossággal

kapcsolatos ismereteket

b) tájékoztatni kell a munkatársakat az újabb fenyegetésekről és az azok elleni

védekezésről,

c) ismertetni kell az információ-feldolgozó eszközök helyes használatára

vonatkozó tudnivalókat és változásokat,

d) tájékoztatást kell adni a szoftverjogi követelmények alapjairól,

e) frissíteni kell az információbiztonsági incidensek kezelésével kapcsolatos

tudnivalókat.

f) ismételten tesztet kell kitölteniük a munkatársaknak.

A képzések megtörténtét és az ellenőrző teszt eredményeit dokumentálni kell.

A képzéshez tananyagot és vizsga anyagot kell összeállítani. A képzés alkalmazkodjon a

munkatársa által betöltött szerepkörhöz, használt rendszerekhez. A képzés formája nem

kötött, lehet csoportos vagy egyéni képzés és számonkérés, de történhet elektronikus (e-

learning) formában is.

24. § (1) Eljárás a jogviszony megszüntetése esetén

Egy munkatárs kilépése esetén gondoskodni kell arról, hogy az elektronikus információs

rendszerrel, vagy annak biztonságával kapcsolatos esetleges feladatainak ellátása

továbbra is biztosított legyen, ezt a munkaköri feladatok és dokumentumok átadás-

átvételi folyamata biztosítja. A kilépő munkatárs munkahelyi vezetője jelöli ki az átvevő

személyét.

Meg kell előzni azt, hogy a jogviszonyt megszüntető munkatárs esetlegesen az

elektronikus információs rendszert, illetve abban tárolt adatokat bármilyen formában

jogosulatlanul törölje, módosítsa vagy másolatot készítsen azokról, vagy más módon

megsérthesse az elektronikus információbiztonsági szabályokat. Tájékoztatni kell kilépőt

az esetleg reá vonatkozó, jogi úton is kikényszeríthető, a jogviszony megszűnése után is

fennálló kötelezettségekről.

A kilépés során, a jogviszony megszűnését megelőzően gondoskodni kell a kilépő:

JEI/119/2018. Hatályos: 2018. 05. 25. 32

a) elektronikus információs rendszerekhez történő hozzáférési jogosultságainak

megszüntetéséről;

b) egyéni hitelesítő eszközeinek visszavételéről vagy megszüntetéséről;

c) a Támogatáskezelő tulajdonában álló informatikai eszközök visszavételéről

A Támogatáskezelő megtartja magának a hozzáférés lehetőségét a kilépő személy által

korábban használt, kezelt elektronikus információs rendszerekhez és szervezeti

információkhoz, beleértve a kilépő elektronikus levelezését és tárolt dokumentumait.

Szükség esetén tájékoztatja a jogviszony megszűnéséről a kilépő munkatárssal

munkakapcsolatban lévő belső és külső munkatársakat.

(2) Fegyelmi intézkedések

A Támogatáskezelő fegyelmi eljárást kezdeményez az elektronikus információbiztonsági

szabályokat és az ehhez kapcsolódó eljárásrendeket megsértő személyekkel szemben.

Amennyiben az elektronikus információbiztonsági szabályokat nem a Támogatáskezelő

személyi állományába tartozó személy sérti meg, akkor érvényesíteni kell a vonatkozó

szerződésben meghatározott következményeket és meg kell tenni a szükséges jogi

lépéseket.

XII. Fejezet

Mentés, archiválás

25. § (1) A hálózati meghajtókon tárolt adatok biztonsága érdekében az adatokról az

Üzemeltetési, Dokumentumkezelési és Informatikai Osztály napi rendszerességgel

mentést végez, és/vagy redundáns merevlemezekkel (Raid) működő szervereket

üzemeltet. Az Üzemeltetési, Dokumentumkezelési és Informatikai Osztály meghatározott

gyakorisággal mentést végez az elektronikus információs rendszerben tárolt

felhasználószintű információkról, összhangban a helyreállítási időre és a helyreállítási

pontokra vonatkozó célokkal:

a) meg kell határozni minden elektronikus információs rendszerre vonatkozóan a

mentések szükséges gyakoriságát, a mentendő adatok körét;

b) a mentésekre vonatkozó igényeket összhangban a helyreállítási időre és a

helyreállítási pontokra vonatkozó célokkal (RPO, RTO) a szakmai területekkel

egyeztetve kell kialakítani.

(2) Az Üzemeltetési, Dokumentumkezelési és Informatikai Osztály meghatározott

gyakorisággal elmenti az elektronikus információs rendszerek dokumentációját, köztük a

biztonságra vonatkozókat is, összhangban a helyreállítási időre és a helyreállítási

pontokra vonatkozó célokkal:

JEI/119/2018. Hatályos: 2018. 05. 25. 33

a) megvédi a mentett információk bizalmasságát, sértetlenségét és rendelkezésre

állását mind az elsődleges, mind a másodlagos tárolási helyszínen;

b) a legfontosabb adatokról az Üzemeltetési, Dokumentumkezelési és Informatikai

Osztály a szakmai igények szerinti gyakorisággal és részletezettséggel archiválást

végez.

(3) A mentési és archiválási adathordozókat azonosító sorszámmal látja el és azokról

nyilvántartást vezet.

Az archiválásokat és mentéseket tartalmazó adathordozókon jól láthatóan és

azonosíthatóan fel kell tüntetni az adathordozó azonosítóját. A mentések és archiválások

típusát és idejét az eszközöktől függő módon, manuálisan vagy elektronikusan nyilván kell

tartani.

Az archiválásokat és mentéseket tartalmazó adathordozókat a hálózati meghajtóktól és

szerverektől elkülönített épületben, zárt helyiségben vagy szekrényben kell őrizni.

Rendszeresen ellenőrizni kell a mentések és archiválások helyreállíthatóságát, tesztelni

kell a mentett információkat, az adathordozók megbízhatóságának és az információ

sértetlenségének garantálása érdekében.

(4) Külső elérésekhez kapcsolódó védelmi intézkedések

A Támogatáskezelő hálózatát elérhetővé kell tenni külső telephelyekről, hogy az itt

alkalmazott szoftvereket a fejlesztők, adminisztrátorok elérhessék és a különböző

akadályokat, problémákat, hibákat elhárítsák, megoldhassák. VPN felhasználó

létrehozásának rendje a következő:

a) A Támogatáskezelői hálózathoz való kapcsolódási szándékot jelezni kell az

Üzemeltetési, Dokumentumkezelési és Informatikai Osztály vezetőjének

b) Az adminisztrátor létrehozza a VPN felhasználót/ jelszót és megosztja az

igénylővel

c) a VPN hozzáférés alaphelyzetben le van tiltva, az engedélyezést az

informatika@emet.gov.hu címen lehet igényelni az elvégzendő munka

leírásával

d) a VPN elérés engedélyezése az adott munkanapra szól, a Támogatáskezelői

munkaidőhöz igazítva

e) Többtényezős hitelesítést kell alkalmazni a különleges jogosultsághoz kötött –

úgynevezett privilegizált – felhasználói fiókokhoz való, hálózaton keresztüli

hozzáféréshez

JEI/119/2018. Hatályos: 2018. 05. 25. 34

f) a VPN elérés csak Támogatáskezelői munkaidőben érhető el, az ezen kívüli

használatot külön igényelni kell az Üzemeltetési, Dokumentumkezelési és

Informatikai Osztály vezetőjétől.

(5) Rendszer- és információsértetlenségre vonatkozó védelmi intézkedések

Rendszer- és információsértetlenségre vonatkozó védelmi intézkedéseket a

Támogatáskezelő saját üzemeltetésű elektronikus információs rendszerein be kell

vezetni. Amennyiben az érintett rendszert külső szervezet üzemelteti, jelen védelmi

intézkedésekre vonatkozó követelményeket az. Üzemeltetési szolgáltatási szerződés

esetén szerződéses kötelemként kell érvényesíteni és azokat a szolgáltatónak kell

biztosítania.

A rendszer- és információsértetlenségre vonatkozó eljárások részletszabályozásait az

Üzemeltetési, Dokumentumkezelési és Informatikai Osztály vezetője, az osztályra

vonatkozó belső munkadokumentumként fogalmazza meg. Az általános alapelvek az

informatikai biztonsági szabályzatnak részét képezik.

Az elektronikus információs rendszerek hibáit fel kell tárni és tervezetten meg kell

javítani. Ennek kapcsán:

a) a Támogatáskezelő valamennyi munkatársának kötelezettsége, hogy az

elektronikus információs rendszerek észlelt hibáit az Üzemeltetési,

Dokumentumkezelési és Informatikai Osztály felé bejelentsék.

b) Az Üzemeltetési, Dokumentumkezelési és Informatikai Osztály a bejelentéseket

értékeli, a hibák javítását azok súlyossága alapján priorizálja, majd megtervezi,

megrendeli vagy saját hatáskörben elvégzi a hibajavítást.

c) Telepítés előtt a hibajavítással kapcsolatos szoftverfrissítéseket tesztelni kell a

feladatellátás hatékonysága, a szóba jöhető következmények szempontjából.

26. § (1) Rendszer frissítések kezelése:

a) az operációs rendszerek, hálózatkezelő eszközök szoftverei, adatbázis-kezelők,

egyéb dobozos és egyedi fejlesztésű szoftverek biztonsági frissítéseit a gyártó által

történő kiadáskor kockázati értékelésnek kell alávetni. Meg kell állapítani a valós

fenyegetettség mértékét és annak függvényében kell dönteni a frissítések

bevezetéséről.

b) A kiszolgálók és a munkaállomások operációs rendszereinek frissítései

ütemezhetők, kockázatkezelést és tesztelést követően tervezett határidőn belül

telepítésre kell, hogy kerüljenek.

JEI/119/2018. Hatályos: 2018. 05. 25. 35

c) Egyedi és dobozos feldolgozó szoftverek (számviteli alkalmazások, bér program

stb.) frissítéseit a szoftver fejlesztőjével/támogatójával egyeztetett módon kell

bevezetni.

d) Nagyobb, több rendszert érintő rendszerfrissítéseket – például adatbázis kezelők

frissítései – körültekintően meg kell tervezni, figyelembe véve az összes

kapcsolódó rendszerre gyakorolt esetleges hatásait. Amennyiben

inkompatibilitási okokból nem valósítható meg a frissítés rövid határidőn belüli

telepítése, akkor helyettesítő intézkedéseket (kompenzációs kontrollt) kell

bevezetni a végleges megoldásig (például alkalmazás tűzfal telepítése).

A hibajavítást a konfigurációkezelési folyamatba be kell építeni és annak szabályai szerint

kell kezelni.

27. § (1) Kártékony kódok elleni védelem

a) Ki kell alakítani a kártékony kódok elleni védelmet olyan módon, hogy az

elektronikus információs rendszert annak belépési és kilépési pontjain védje a

kártékony kódok ellen, derítse fel és semmisítse meg azokat.

b) A kártékony kódok elleni védelmi mechanizmusokat frissíteni kell minden

olyan esetben, amikor kártékony kódirtó rendszeréhez frissítések jelennek

meg. A frissítéseket a konfigurációkezelési szabályaival és eljárásaival

összhangban kell elvégezni.

c) A kártékony kódok elleni védelmi mechanizmusokat úgy, kell konfigurálni, hogy

a védelem eszköze:

ca.) rendszeres ellenőrzéseket hajtson végre az elektronikus információs

rendszeren, és hajtsa végre a külső forrásokból származó fájlok valós

idejű ellenőrzését a végpontokon, a hálózati belépési, vagy kilépési

pontokon, a biztonsági szabályzatnak megfelelően, amikor a fájlokat

letöltik, megnyitják, vagy elindítják,

cb.) a kártékony kód észlelése esetén blokkolja vagy helyezze

karanténba azt; és riassza a kijelölt rendszeradminisztrátort és a

meghatározott további személy(eke)t.

d) Ellenőrizni kell a téves riasztásokat a kártékony kód észlelése és

megsemmisítése során, valamint figyelembe veszi ezek lehetséges kihatását az

elektronikus információs rendszer rendelkezésre állására.

28. § (1) Az elektronikus információs rendszer felügyelete

JEI/119/2018. Hatályos: 2018. 05. 25. 36

a) Ki kell alakítani az elektronikus információs rendszer felügyeleti rendszerét, amely

alkalmas arra, hogy észlelje a kibertámadásokat, vagy a kibertámadások jeleit a

meghatározott figyelési céloknak megfelelően, és feltárja a jogosulatlan lokális,

hálózati és távoli kapcsolatokat;

b) Azonosítani kell az elektronikus információs rendszer jogosulatlan használatát;

c) Felügyeleti eszközöket kell alkalmazni a meghatározott alapvető információk

gyűjtésére; és a rendszer ad hoc területeire a potenciálisan fontos, speciális típusú

tranzakcióknak a nyomon követésére;

d) A többi naplóinformációhoz hasonlóan, védeni kell a behatolás-felügyeleti

eszközökből nyert információkat a jogosulatlan hozzáféréssel, módosítással és

törléssel szemben;

e) Meg kell erősíteni az elektronikus információs rendszer felügyeletét minden olyan

esetben, amikor fokozott kockázatra utaló jelek észlelhetők;

f) Biztosítani kell, hogy az elektronikus információs rendszer felügyeleti

információkat a kijelölt felelős személyek meghatározott gyakorisággal

megkapják.

29. § (1) Biztonsági riasztások és tájékoztatások

a) A kiberbiztonság fenntartása, a biztonsági események és sérülékenységek

hatékony kezelése érdekében együtt kell működni a kormányzat elektronikus

biztonságért felelős szerveivel:

b) Folyamatosan figyelni kell a kormányzati eseménykezelő központ (GovCert) által

a kritikus hálózatbiztonsági eseményekről és sérülékenységekről közzétett

figyelmeztetéseket;

c) Folyamatosan figyelemmel kell kísérni a Nemzeti Elektronikus

Információbiztonsági Hatóságtól (NEIH) érkező értesítéseket;

d) Szükség esetén belső biztonsági riasztást és figyelmeztetést kell kiadni, melyet el

kell juttatni a szervezeten belül az illetékes személyekhez;

e) Ki kell alakítani és működtetni a jogszabályban meghatározott esemény

bejelentési kötelezettség rendszerét, folyamatosan fenn kel tartani a kapcsolatot

az érintett, jogszabályban meghatározott szervekkel (GovCert, NEIH);

f) Meg kell hozni a megfelelő ellenintézkedéseket és válaszlépéseket.

30. § (1) A kimeneti információ kezelése és megőrzése

A Támogatáskezelő gondoskodik róla, hogy az elektronikus információs rendszerinek

kimeneti információit a jogszabályokkal, szabályzatokkal és az üzemeltetési

követelményekkel összhangban kerüljenek kezelésre és megőrzésre. A kimeneti

információkra vonatkozó megőrzési kötelezettségeket a szakmai és jogi területek

JEI/119/2018. Hatályos: 2018. 05. 25. 37

állapítják meg, az információk megőrzéséről és kezelésről pedig az Üzemeltetési,

Dokumentumkezelési és Informatikai Osztály gondoskodik.

Biztonsági helyzet és eseményértékelés eljárási rendje

Jelentés az informatikai biztonsági eseményekről és gyengeségekről

Minden alkalmazottnak és a Hivatal számára szolgáltatást nyújtó szerződött felek

munkatársainak ismerniük kell az információbiztonsági események kezelési eljárását,

ezzel kapcsolatos saját kötelezettségeit.

31. § Adatvédelmi incidens

Az adatvédelmi incidens megfelelő és kellő idejű intézkedés hiányában fizikai, vagyoni

vagy nem vagyoni károkat okozhat a természetes személyeknek, többek között a

személyes adataik feletti rendelkezés elvesztését vagy a jogaik korlátozását, a hátrányos

megkülönböztetést, a személyazonosság-lopást vagy a személyazonossággal való

visszaélést, a pénzügyi veszteséget, az álnevesítés engedély nélküli feloldását, a jó hírnév

sérelmét, a szakmai titoktartási kötelezettség által védett személyes adatok bizalmas

jellegének sérülését, illetve a szóban forgó természetes személyeket sújtó egyéb jelentős

gazdasági vagy szociális hátrányt. Amint az adatkezelő tudomására jut az adatvédelmi

incidens, azt indokolatlan késedelem nélkül, és ha lehetséges, legkésőbb 72 órával azután,

hogy az adatvédelmi incidens a tudomására jutott, bejelenteni köteles az illetékes

felügyeleti hatóságnál, kivéve, ha az elszámoltathatóság elvével összhangban bizonyítani

tudja, hogy az adatvédelmi incidens valószínűsíthetően nem jár kockázattal a természetes

személyek jogaira és szabadságaira nézve. Ha a bejelentés 72 órán belül nem tehető meg,

abban meg kell jelölni a késedelem okát, az előírt információkat pedig – további

indokolatlan késedelem nélkül – részletekben is közölni lehet.

32. § Jelentés biztonsági eseményekről

Az információbiztonsági eseményeket a lehető leggyorsabban jelenteni kell az

informatikusnak vagy a munkahelyi vezetőnek.

Biztonsági sértésre utalhat, melyet a felhasználóknak azonnal jelenteniük kell, ha

a) szolgáltatás, a berendezés vagy az eszközök elvesztése történik,

b) rendszer rendellenes működését észlelik,

c) a szabályzatoknak vagy irányelveknek való nem-megfelelés válik nyilvánvalóvá,

d) észlelhető a fizikai biztonsági rendelkezések megsértése,

e) nem ellenőrzött rendszerbeli változásokat tapasztalnak,

f) a szoftver vagy hardver hibás működése lép fel,

g) hozzáférési sértések történnek.

JEI/119/2018. Hatályos: 2018. 05. 25. 38

A felhasználók tudatossági oktatásában ki kell térni arra, hogy hogyan kell válaszolniuk

egy-egy felmerült incidensre, s milyen módon kell elősegíteniük a bizonyítékok gyűjtését.

33. § (1) Jelentés a biztonsági sérülékenységekről

Minden alkalmazott és a külső munkatárs kötelessége, hogy az informatikai

rendszerekben általa észlelt rendellenességet, gyaníthatóan gyenge pontot vagy

sérülékenységet jelentse az informatikusnak. Ezek a gyenge pontok támadásra,

visszaélésre adnak lehetőséget, a védelmi intézkedések meghozatala szükséges.

A munkatársak csak jelentsék az észlelt problémát. de ne kíséreljék meg ellenőrizni vagy

javítani a feltárt problémát, mert esetlegesen azzal is kárt okozhatnak. 10.13 A

biztonsági eseményekre és incidensekre adott válasz és fejlesztés

Az észlelt információbiztonsági eseményekre és gyengeségekre mielőbb

válaszintézkedéseket kell hozni. Az események követését és a megoldási javaslatok,

fejlesztések kidolgozását az informatikus végzi, a jegyzőnek írásban beszámol az ezzel

kapcsolatos tevékenységéről. Amennyiben az esemény komplexebb és speciális

szakértelmet igényel, a megoldás kidolgozásához külső szakértőt kell igénybe venni.

(2) Tipikusan információbiztonsági incidensek közé kell sorolni:

a) információrendszer-hibáit és a szolgáltatás megszakadását,

b) rosszindulatú kód, vírustámadás fellépését,

c) DOS támadást (szolgáltatás megtagadása),

d) a nem teljes vagy nem pontos működési adatokból eredő hibákat,

e) a bizalmasság és sértetlenség megsértését,

f) az információrendszerekkel való visszaélést.

(3) Információbiztonsági incidensek esetén az elektronikus információs rendszerek

biztonságáért felelős személy irányítja az intézkedéseket:

a) incidens megoldó team összehívása – informatikusok és az érintett területi

vezetők bevonása

b) incidens okának felderítése,

c) bizonyítékok gyűjtése,

d) incidens behatárolása és megszüntetése, helyreállítás,

e) előfordulás okának meghatározása és megszüntetése,

f) helyesbítő tevékenység az újbóli előfordulás megakadályozására,

g) tevékenységek dokumentálása,

h) adatközlés az érintettek felé,

i) jelentés a főigazgató felé

(4) Okulás a biztonsági eseményekből

JEI/119/2018. Hatályos: 2018. 05. 25. 39

A biztonsági események elemzése alkalmas arra, hogy a fennálló védelmi intézkedéseket

hatékonyan felül lehessen vizsgálni és javítani.

A kiértékelés jelezheti az ellenőrzések és eszközök kiegészítésének szükségességét, hogy

a jövőben előfordulások valószínűségét csökkenteni lehessen, megelőzve az anyagi és

erkölcsi károkozást.

(5) Bizonyítékok gyűjtése

Információbiztonsági események, visszaélések esetén, fegyelmi felelősségre vonás,

polgári- vagy büntetőjogi eljárás kezdeményezése csak akkor lehetséges, amennyiben

bizonyító erejű dokumentálás történik.

A dokumentálás akkor bizonyító erejű, amennyiben az hiteles és megváltoztathatatlan.

Meg kell őrizni a vonatkozó naplóbejegyzéseket, adathordozókat és a papír alapú

dokumentumokat is, gondoskodva a bizonyítékok megváltoztathatatlanságáról.

XIII. Fejezet

Ügymenet folytonosság tervezése

34. § (1) Az informatikai szolgáltatások, vagy azok egy részének elvesztése a

Támogatáskezelő számára katasztrófát jelenthet.

Az informatikai katasztrófa egy olyan nem tervezett esemény, amely az adatfeldolgozó

képesség elvesztését okozza hosszabb, legalább 1 munkanap időre. Az ügymenet

folytonosság tervezésének az a feladata, hogy a szervezet kritikus információ-feldolgozó

képességeit helyre lehessen állítani elfogadhatóan rövid idő alatt a szükséges aktuális

adatokkal egy informatikai katasztrófa után.

Tekintettel a Támogatáskezelő munkafolyamatainak informatikai támogatottságára, az

informatikai szolgáltatások elvesztése az érintett munkafolyamatok szinte teljes

leállásával jár. Katasztrófa esetén a Támogatáskezelő adatvagyona is sérülhet. Elsődleges

prioritás az adatvagyon megőrzése, másodlagos az ügyfélfogadás és az azzal kapcsolatos

ügymenetek biztosítása. Minden további feladat harmadlagos jellegű.

(2) Tevékenység-sorozat katasztrófa esetén:

a) Az esemény bekövetkezte.

b) A katasztrófa-elhárítási csapat riasztása.

c) A károk enyhítése.

d) A helyreállítási folyamat megindítása.

e) Az alaptevékenység visszaállítása.

JEI/119/2018. Hatályos: 2018. 05. 25. 40

f) Tényleges helyreállítás.

g) A tanulságok levonása.

(3) Kritikus informatikai szolgáltatások tekintettel arra, hogy a Támogatáskezelőben lévő

alkalmazások és munkafolyamatok folyamatosan változnak és rendkívül széles körűek, definiálni

kell, hogy milyen alkalmazások tekinthetők kritikusnak.

a) Egy adott informatikai szolgáltatás akkor kritikus, ha leállása esetén egyes

ügyfelekkel kapcsolatos ügyek nem bonyolíthatók még papír alapú

nyilvántartások segítségével sem az előírt Támogatáskezelői határidőn vagy az

ügyfél által megszokott ügyintézési határidőn belül. Egy ilyen alkalmazás leállása

akkor informatikai katasztrófa, ha:

nem tervezett a leállása;

tervezett leállása túllépte a maximális 1 nap vagy 1 hétvége időtartamot.

b) Kritikus informatikai szolgáltatás továbbá az, mely az 1. pontba nem tartozik, de

nyilvántartása a Támogatáskezelői adatvagyon részét képezi, és ez az adatvagyon

rész nem érhető el legalább 3 napon keresztül. Ekkor a 3. nap után a szolgáltatás

leállása szintén informatikai katasztrófának minősül.

(4) Az informatikai szolgáltatás visszaállításának időtávja

Informatikai katasztrófa bekövetkezése esetén a katasztrófa elhárítását azonnal meg kell

kezdeni. Amennyiben az informatikai szolgáltatás nem állítható helyre 2 napon belül,

abban az esetben további 3 napon belül meg kell oldani az informatikai vagy papír alapú

ideiglenes szolgáltatást. Az ideiglenes szolgáltatás időtávja addig tart, amíg az

informatikai szolgáltatás helyreállítása be nem fejeződik, melynél törekedni kell arra,

hogy 2 héten belül fejeződjön be.

35. § (1) A szolgáltatás fenntartásának/helyreállításának eszközei

a) Munkaerő

Informatikai katasztrófa bekövetkezése esetén az Üzemeltetési, Dokumentumkezelési és

Informatikai Osztály minden munkatársának és az érintett szervezeti egységek

vezetőinek munkaidőn kívül és munkaszüneti napokon is azonnal be kell jönnie a

Támogatáskezelőbe és meg kell kezdenie a szolgáltatás fenntartását/helyreállítását. A

helyreállítási munka vezetője az Üzemeltetési, Dokumentumkezelési és Informatikai

Osztály vezetője. Szükség esetén az érintett szervezeti egységek vezetői a vezetésük alatt

lévő szervezeti egység személyi állományából további munkatársakat is behívhatnak,

akiknek ez esetben szintén kötelező megjelenni. A katasztrófa elhárításáig a munkatársak

JEI/119/2018. Hatályos: 2018. 05. 25. 41

munkaideje napi 10 óra, munkaszüneti napokon is. Ez alól felmentést vagy engedményt

csak a Főigazgató adhat.

b) Ideiglenes nyilvántartások

A katasztrófa elhárításának elhúzódó időtartama alatt amennyiben lehetséges és nem

veszélyezteti a leállt szolgáltatás adatvagyonának jövőbeli integritását, ideiglenes

nyilvántartást kell létrehozni a szolgáltatás helyettesítésére, mely lehet informatikai, de

papír alapú is. Az elhárítás befejezése után az ideiglenes nyilvántartás adatainak a

helyreállított szolgáltatásba történő integrálását azonnal meg kell kezdeni.

Az iktatórendszer üzemzavara esetén követendő eljárásrendet, így különösen az

ideiglenes nyilvántartás vezetésére vonatkozó részletes szabályokat a Támogatáskezelő

Egyedi Iratkezelési Szabályzata tartalmazza.

(2) Katasztrófa elhárítási gyakorlat

Katasztrófa elhárítási gyakorlatot kell évente egyszer az Üzemeltetési,

Dokumentumkezelési és Informatikai Osztály, hogy az nem ronthatja le az eredetileg

tervezett és megvalósított biztonsági védelmeket.

XIV. Fejezet

Naplózás és elszámoltathatóság

36. § Monitorozás

Az elektronikus információs rendszerek figyelemmel kísérésének eszköze az

eseménynaplók adatainak gyűjtése és feldolgozása. Be kell vezetni a felhasználói

tevékenységekre és a technikai eseményekre vonatkozó naplózást is.

A naplógyűjtést és feldolgozást oly mértékben automatizálni kell, hogy a kritikus

események nyomán riasztás keletkezzen és a rendszeradminisztrátorok haladéktalanul

tudjanak intézkedni.

37. § Naplózási eljárásrend

Létre kell hozni az Informatikai területen a naplózás részletszabályait tartalmazó

naplózási eljárásrendet, amelyben a naplózás és a hozzá tartozó ellenőrzések

megvalósulását segíti.

38. § (1) A rendszer használat monitorozása

JEI/119/2018. Hatályos: 2018. 05. 25. 42

Az informatikai infrastruktúra működésének és felhasználásának ellenőrzésére

felügyeleti eszközöket kell alkalmazni, amelyek probléma esetén meghatározott módon

riasztást adnak az illetékes rendszergazda számára. A megfigyelendő paramétereket és

riasztási értékeket kockázatértékelés alapján kell meghatározni, meg kell határozni a

naplózható és naplózandó eseményeket, s erre fel kell készíteni az elektronikus

információs rendszert. A napló funkciókat az Üzemeltetési, Dokumentumkezelési és

Informatikai Osztály technikai és rendszer hozzáférési oldalról tervezi meg, a szakmai

területek pedig az általuk felügyelt alkalmazás sajátosságainak figyelembe vételével állítja

össze az igényét a naplózható eseményekre.

(2) A megfigyelések terjedjenek ki technikai paraméterek ellenőrzésére, továbbá az

eszközökhöz és szolgáltatásokhoz történő hozzáférésre is.

Az alábbi események naplózását feltétlenül be kell állítani, amennyiben az alkalmazás ezt

lehetővé teszi:

a) a felhasználók tevékenysége,

b) az adatállományok (adatbázisok) módosítása az alkalmazói rendszerekben,

c) lekérdezések és jogosulatlan lekérdezési kísérletek,

d) az üzemeltetők operációs rendszerbe történő be-és kijelentkezése,

e) az üzemeltetők tevékenysége az operációs rendszerben,

f) a hozzáférési jogosultságok módosítása,

g) operációs rendszer események, esetleges hibák,

h) hálózati menedzsment riasztások,

i) konfigurációs beállítások módosítása,

j) jogosulatlan hozzáférési kísérletek, az egyes rendszerek detektálási képességein

belül.

A naplózható események fedjék le az alkalmazások működését és az alapinfrastruktúrát

oly mélységben, hogy megfelelőek legyenek a biztonsági eseményeket követő tényfeltáró

vizsgálatok támogatásához.

A naplóbejegyzésekben legyen elegendő információt ahhoz, hogy ki lehessen mutatni,

hogy milyen események történtek, miből származtak ezek az események, és mi volt ezen

események kimenetele.

(3) Napló információk védelme

A naplóinformációk keletkezésük után is szükségesek lehetnek az üzemeltetési vagy

információbiztonsági incidensek utólagos kiértékelése céljából, továbbá illegális

beavatkozások esetén azok bizonyítására is felhasználhatók.

JEI/119/2018. Hatályos: 2018. 05. 25. 43

A naplóinformációkat a naplókezelő eszközöket meg kell védeni a jogosulatlan

hozzáféréstől és az utólagos megváltoztatástól vagy törléstől. Meg kell oldani, hogy a

rendszeradminisztrátorok ne tudják utólagosan módosítani a naplóbejegyzéseket, és

ezzel a saját tevékenységükre vonatkozó információkat megmásítani.

A naplóbejegyzéseket napi gyakorisággal ellenőrizni és elemezni kell a nem megfelelő

vagy szokatlan működésre utaló jelek keresése céljából. Rendellenes jelenség esetén azt

jelenteni kell az illetékes vezetőknek. (informatikai, gazdasági)

Amennyiben jogszabály egyes esetekben másképp nem rendelkezik, a naplóállományokat

legalább egy évig meg kell őrizni.

(4) Naplógenerálás és ellenőrzés

A naplózó funkcionalitásnak biztosítania kell naplóbejegyzés generálását az előre

meghatározott, naplózható eseményekre. A naplózott eseményeket az arra feljogosított

rendszeradminisztrátorok állíthatják be.

A normálistól eltérő működési jellemzők megállapítása az üzemeltető feladata.

Az egyes naplók tartalmának ellenőrzését, kiértékelését előre meghatározott

ütemtervnek megfelelően kell végezni, a feljegyzésre kerülő események mennyisége

alapján megállapított gyakorisággal. Az ellenőrzéseket az adott rendszerek üzemeltetői

végzik. Az ellenőrzések elvégzését dokumentálni kell. Az ellenőrzés végrehajtását az

informatikai vezető háromhavonta felülvizsgálja. A felülvizsgálat tényét, és az esetleges

megállapításokat jegyzőkönyvben kell rögzíteni.

(5) Naplózási hibák kezelése

Az elektronikus információs rendszerek naplózó funkciójának alkalmasnak kell lennie

arra, hogy az informatikai alkalmazás és infrastruktúra naplózási hibája esetén

riasztást küldjön az illetékes rendszergazdának, s ezzel párhuzamosan végrehajtsa

azokat a tevékenységeket, amelyeket a rendszer biztonságának fenntartása érdekében

el kell végezni (például rendszer leállítás, régi naplóbejegyzések felülírása, naplózás

leállítása)

(6)Időszinkronizálás

A Támogatáskezelő információ-feldolgozó rendszerének óráit egymással, illetve egy

hiteles külső időforrással szinkronizálni kell.

A rendszeres szinkronizálás azért szükséges, mert a berendezések belső órái

eltolódnak, továbbá más módon nem biztosítható azok együttes működése.

JEI/119/2018. Hatályos: 2018. 05. 25. 44

Ez szükséges lehet üzemeltetési események kivizsgálásánál, vagy bizonyítékként jogi

vagy fegyelmi esetekben. A nem szinkronizált bejegyzések akadályozhatják ezeket a

kivizsgálásokat és árthatnak az ilyen bizonyíték hitelességének.

A szervezeten belül ki kell jelölni egy pontos idő szervert, vagy szervereket,

amelyekhez a többi berendezést szinkronizál. Az idő-szerver a pontos időt lehetőség

szerint valamelyik hitelesített külső NTP szerverről kérje le.

XV. Fejezet

Adatvédelmi rendelkezések

39. § (1) A Támogatáskezelő főigazgatója

a) kiadja az Adatvédelmi és Informatikai Biztonsági Szabályzatot;

b) kiadja a Közérdekű adatok megismerésére irányuló kérelmek intézésének,

továbbá a kötelezően közzéteendő adatok nyilvánosságra hozatalának rendjéről

szóló Szabályzatot;

c) felügyeli az adatvédelmi feladatok ellátását;

d) felelős a közérdekű, és közérdekből nyilvános adatok szolgáltatására vonatkozó

kötelezettség teljesítéséért, annak teljességéért és hitelességéért.

(2) A jogi és ellenőrzési igazgató

a) szakmailag irányítja, felügyeli és ellenőrzi a Támogatáskezelő adatvédelmi

tevékenységét;

b) közreműködik és segítséget nyújt az adatvédelemmel kapcsolatos döntések

meghozatalában;

c) ellenőrzi az adatvédelemmel kapcsolatos jogszabályok és belső szabályzatok

rendelkezéseinek és az adatbiztonsági követelmények érvényesülését;

d) kivizsgálja a hozzá érkezett bejelentéseket, jogosulatlan adatkezelés észlelése

esetén annak megszüntetésére hívja fel az adatkezelőt vagy az adatfeldolgozót.

(3) Az önálló szervezeti egység vezetője

a) felelős azért, hogy az irányítása alatt álló szervezeti egység(ek)nél az adatkezelés

a jogszabályokban és az AIBSZ-ben előírt módon történjék;

b) a főigazgató útján gondoskodik a szervezeti egység(ek) által kezelt, az Infotv.

hatálya alá tartozó adatoknak az adatvédelmi nyilvántartásba történő

bejelentéséről a jogszabályban meghatározott módon;

JEI/119/2018. Hatályos: 2018. 05. 25. 45

c) felelős azért, hogy a szervezeti egység(ek) által történő adatfeldolgozás során az

adatbiztonsági előírások maradéktalanul teljesüljenek.

(4) Az adatkezelést végző személy

a) kezeli és megőrzi a feladata ellátása során birtokába került adatokat;

b) ügyel a nyilvántartások biztonságos kezelésére és tárolására;

c) tevékenységi körén belül felelős az adatok feldolgozásáért, megváltoztatásáért,

törléséért, továbbításáért és nyilvánosságra hozataláért, továbbá az adatok pontos,

követhető dokumentálásáért;

d) gondoskodik arról, hogy az általa vezetett nyilvántartások adataihoz illetéktelen

személy ne férhessen hozzá.

(5) Adatvédelmi tisztviselő

a) Az adatkezelő és az adatfeldolgozó biztosítja, hogy az adatvédelmi tisztviselő a

személyes adatok védelmével kapcsolatos összes ügybe megfelelő módon és időben

bekapcsolódjon.

b) Az adatkezelő és az adatfeldolgozó támogatja az adatvédelmi tisztviselőt a feladatai

ellátásában azáltal, hogy biztosítja számára azokat az forrásokat, amelyek e feladatok

végrehajtásához, a személyes adatokhoz és az adatkezelési műveletekhez való

hozzáféréshez, valamint az adatvédelmi tisztviselő szakértői szintű ismereteinek

fenntartásához szükségesek.

c) Az adatkezelő és az adatfeldolgozó biztosítja, hogy az adatvédelmi tisztviselő a

feladatai ellátásával kapcsolatban utasításokat senkitől ne fogadjon el. Az adatkezelő vagy

az adatfeldolgozó az adatvédelmi tisztviselőt feladatai ellátásával összefüggésben nem

bocsáthatja el és szankcióval nem sújthatja. Az adatvédelmi tisztviselő közvetlenül az

adatkezelő vagy az adatfeldolgozó legfelső vezetésének tartozik felelősséggel.

d) Az érintettek a személyes adataik kezeléséhez és az általános adatvédelmi rendelet

szerinti jogaik gyakorlásához kapcsolódó valamennyi kérdésben az adatvédelmi

tisztviselőhöz fordulhatnak.

e) Az adatvédelmi tisztviselőt feladatai teljesítésével kapcsolatban uniós vagy tagállami

jogban meghatározott titoktartási kötelezettség vagy az adatok bizalmas kezelésére

vonatkozó kötelezettség köti.

f) Az adatvédelmi tisztviselő más feladatokat is elláthat. Az adatkezelő vagy az

adatfeldolgozó biztosítja, hogy e feladatokból ne fakadjon összeférhetetlenség.

(6) Az adatvédelmi tisztviselő feladatai

a) Az adatvédelmi tisztviselő legalább a következő feladatokat ellátja:

JEI/119/2018. Hatályos: 2018. 05. 25. 46

aa) tájékoztat és szakmai tanácsot ad az adatkezelő vagy az adatfeldolgozó, továbbá az

adatkezelést végző alkalmazottak részére az általános adatvédelmi rendelet, valamint

az egyéb uniós vagy tagállami adatvédelmi rendelkezések szerinti kötelezettségeikkel

kapcsolatban;

ab) ellenőrzi az általános adatvédelmi rendeletnek, valamint az egyéb uniós vagy

tagállami adatvédelmi rendelkezéseknek, továbbá az adatkezelő vagy az

adatfeldolgozó személyes adatok védelmével kapcsolatos belső szabályainak való

megfelelést, ideértve a feladatkörök kijelölését, az adatkezelési műveletekben vevő

személyzet tudatosság-növelését és képzését, valamint a kapcsolódó auditokat is;

c) kérésre szakmai tanácsot ad az adatvédelmi hatásvizsgálatra vonatkozóan, valamint

nyomon követi az általános adatvédelmi rendeletben szereplő hatásvizsgálat 35. cikk

szerinti elvégzését;

d) együttműködik a felügyeleti hatósággal; és

e) az adatkezeléssel összefüggő ügyekben – ideértve az általános adatvédelmi rendelet 36.

cikkében említett előzetes konzultációt is – kapcsolattartó pontként szolgál a

felügyeleti hatóság felé, valamint adott esetben bármely egyéb kérdésben konzultációt

folytat vele.

f) Az adatvédelmi tisztviselő feladatait az adatkezelési műveletekhez fűződő kockázat

megfelelő figyelembevételével, az adatkezelés jellegére, hatókörére, körülményére és

céljára is tekintettel végzi.

40. § (1) Az adatkezelés általános szabályai

a) A papír alapon kezelt adatokat keletkezésükkor megfelelő minőségű adathordozóra

kell rögzíteni.

b) Az adatok olvashatóságáért az azokat felvevő, illetve rögzítő személy felel. Az adatok

jogosulatlan megismerésének megakadályozása érdekében az adathordozókat

folyamatos felügyelet alatt kell tartani, vagy el kell zárni.

c) Az adatok őrzési, törlési határidejét a jogszabályi előírásoknak megfelelően kell

megállapítani, a személyes adatok esetén biztosítani kell a célhoz kötöttség elvének

érvényesülését.

d) A Támogatáskezelő nem kezel olyan adatot, amely a közadatok újrahasznosításáról

szóló törvény alapján továbbítható.

JEI/119/2018. Hatályos: 2018. 05. 25. 47

(2) A kezelt személyes adatok köre

a) A pályázatokkal, támogatási kérelmekkel kapcsolatosan felmerülő adatok

kezelése, így különösen név, képviselő neve, lakcím, székhely, születési idő,

születési hely, személyigazolvány szám, taj szám, adószám, bankszámlaszám,

anyja neve, szenzitív adatok stb. Egységes elektronikus pályázatkezelési

rendszerben történik a pályázatok beadása, elbírálása és a jogosultságok,

folyósítás ellenőrzése, nyilvántartása, csakúgy, ahogy a személyes adatok

kezelése is

b) KIRA illetményszámfejtő rendszerén keresztül bérszámfejtéssel kapcsolatos személyes adatok

c) A közszolgálati tisztviselőkről szóló 2011. évi CXCIX. Törvény (Kttv.) 176. § - 188. §, 2-6

melléklet, valamint a munka törvénykönyvéről szóló 2012. évi I. törvény (mt.) 9.§ - 11.§-

ai rendelkezési alapján a munkavállalók személyes adatainak kezelése

d) Fenntartás alatt lévő projektek érintettjeinek neve, e-mail címe, telefonszáma stb.

XVI. Fejezet

A személyes adatok kezelésére vonatkozó különös szabályok

41. § Az adatkezelésre csak akkor kerülhet sor, ha az érintett egyértelmű megerősítő

cselekedettel, például írásbeli – ideértve az elektronikus úton tett –, vagy szóbeli

nyilatkozattal önkéntes, konkrét, tájékoztatáson alapuló és egyértelmű

hozzájárulását adja a természetes személyt érintő személyes adatok kezeléséhez.

Ilyen hozzájárulásnak minősül az is, ha az érintett valamely internetes honlap

megtekintése során bejelöl egy erre vonatkozó négyzetet, az információs

társadalommal összefüggő szolgáltatások igénybevétele során erre vonatkozó

technikai beállításokat hajt végre, valamint bármely egyéb olyan nyilatkozat vagy

cselekedet is, amely az adott összefüggésben az érintett hozzájárulását személyes

adatainak tervezett kezeléséhez egyértelműen jelzi. A hallgatás, az előre bejelölt

négyzet vagy a nem cselekvés ezért nem minősül hozzájárulásnak. A hozzájárulás az

ugyanazon cél vagy célok érdekében végzett összes adatkezelési tevékenységre

kiterjed. Ha az adatkezelés egyszerre több célt is szolgál, akkor a hozzájárulást az

összes adatkezelési célra vonatkozóan meg kell adni. Ha az érintett hozzájárulását

elektronikus felkérést követően adja meg, a felkérésnek egyértelműnek és tömörnek

kell lennie, és az nem gátolhatja szükségtelenül azon szolgáltatás igénybevételét,

amely vonatkozásában a hozzájárulást kérik.

JEI/119/2018. Hatályos: 2018. 05. 25. 48

42. § A személyes adatok kezelésének jogszerűnek és tisztességesnek kell lennie. A

természetes személyek számára átláthatónak kell lennie, hogy a rájuk vonatkozó

személyes adataikat hogyan gyűjtik, használják fel, azokba hogy tekintenek bele vagy

milyen egyéb módon kezelik, valamint azzal összefüggésben, hogy a személyes

adatokat milyen mértékben kezelik vagy fogják kezelni. Az átláthatóság elve

megköveteli, hogy a személyes adatok kezelésével összefüggő tájékoztatás, illetve

kommunikáció könnyen hozzáférhető és közérthető legyen, valamint hogy azt

világosan és egyszerű nyelvezettel fogalmazzák meg. Ez az elv vonatkozik különösen

az érintetteknek az adatkezelő kilétéről és az adatkezelés céljáról való

tájékoztatására, valamint az azt célzó további tájékoztatásra, hogy biztosított legyen

az érintett személyes adatainak tisztességes és átlátható kezelése, továbbá arra a

tájékoztatásra, hogy az érintetteknek jogukban áll megerősítést és tájékoztatást kapni

a róluk kezelt adatokról. A természetes személyt a személyes adatok kezelésével

összefüggő kockázatokról, szabályokról, garanciákról és jogokról tájékoztatni kell,

valamint arról, hogy hogyan gyakorolhatja az adatkezelés kapcsán megillető jogokat.

A személyes adatkezelés konkrét céljainak mindenekelőtt explicit módon

megfogalmazottaknak és jogszerűeknek, továbbá már a személyes adatok

gyűjtésének időpontjában meghatározottaknak kell lenniük. A személyes adatoknak

a kezelésük céljára alkalmasaknak és relevánsaknak kell lenniük, az adatok körét

pedig a célhoz szükséges minimumra kell korlátozni. Ehhez pedig biztosítani kell

különösen azt, hogy a személyes adatok tárolása a lehető legrövidebb időtartamra

korlátozódjon. Személyes adatok csak abban az esetben kezelhetők, ha az adatkezelés

célját egyéb eszközzel észszerű módon nem lehetséges elérni. Annak biztosítása

érdekében, hogy a személyes adatok tárolása a szükséges időtartamra korlátozódjon,

az adatkezelő törlési vagy rendszeres felülvizsgálati határidőket állapít meg. A

pontatlan személyes adatok helyesbítése vagy törlése érdekében minden észszerű

lépést meg kell tenni. A személyes adatokat olyan módon kell kezelni, amely biztosítja

azok megfelelő szintű biztonságát és bizalmas kezelését, többek között annak

érdekében, hogy megakadályozza a személyes adatokhoz és a személyes adatok

kezeléséhez használt eszközökhöz való jogosulatlan hozzáférést, illetve azok

jogosulatlan felhasználását

43. § Az átláthatóság elve megköveteli, hogy a nyilvánosságnak vagy az érintettnek

nyújtott tájékoztatás tömör, könnyen hozzáférhető és könnyen érthető legyen, valamint

hogy azt világos és közérthető nyelven fogalmazzák meg, illetve – ezen túlmenően –

szükség esetén vizuálisan is megjelenítsék. Az ilyen tájékoztatás nyújtható elektronikus

formátumban is, így például a nyilvánosságnak szánt tájékoztatás közölhető valamely

honlapon keresztül.

JEI/119/2018. Hatályos: 2018. 05. 25. 49

44. § Az érintettek az általános adatvédelmi rendeletben biztosított jogainak gyakorlását

megkönnyítő intézkedéseket kell biztosítani, ideértve olyan mechanizmusok biztosítását,

amely által többek között az érintettnek lehetősége van díjmentesen kérelmezni, illetve

adott esetben megkapni különösen a személyes adatokhoz való hozzáférést, azok

helyesbítését és törlését, valamint gyakorolja a tiltakozáshoz való jogát. Az adatkezelő

ennek megfelelően biztosítja a kérelmek elektronikus benyújtását lehetővé tevő

eszközöket is különösen, ha a személyes adatok kezelése elektronikus úton történik. Az

adatkezelőt kötelezni kell arra, hogy az érintett kérelmére indokolatlan késedelem nélkül,

de legkésőbb egy hónapon belül válaszoljon, és ha az adatkezelő az érintett bármely

kérelmének nem tesz eleget, indokolnia kell azt.

45. § A tisztességes és átlátható adatkezelés elve megköveteli, hogy az érintett

tájékoztatást kapjon az adatkezelés tényéről és céljairól. Az adatkezelő olyan további

információt is az érintett rendelkezésére bocsát, amelyek a tisztességes és átlátható

adatkezelés biztosításához szükségesek, figyelembe véve a személyes adatok kezelésének

konkrét körülményeit és kontextusát.

46. § Az adathordozhatósághoz való jog alapján az érintett jogosult arra, hogy a rá

vonatkozó, általa egy adatkezelő rendelkezésére bocsátott személyes adatokat géppel

olvasható formátumban megkapja és ezeket az adatokat egy másik adatkezelőnek

továbbítsa anélkül, hogy ezt akadályozná az az adatkezelő, amelynek a személyes adatokat

a rendelkezésére bocsátotta.

47. § Bármely érintett számára akkor is biztosítani kell a jogot arra, hogy az egyedi

helyzetükre vonatkozó adatok kezelése ellen tiltakozzon, ha a személyes adatok

jogszerűen kezelhetők, mert az adatkezelésre közérdekből vagy az adatkezelőre ruházott

közhatalmi jogosítvány gyakorlása keretében végzett feladat végrehajtásához, illetve az

adatkezelő vagy egy harmadik fél jogos érdekei alapján van szükség. Az adatkezelő

bizonyítja, hogy az érintett érdekeivel vagy alapvető jogaival és szabadságaival szemben

az ő kényszerítő erejű jogos érdeke elsőbbséget élvezhet.

48. § Az érintett jogosult arra, hogy kérésére az adatkezelő korlátozza az adatkezelést, ha

az általános adatvédelmi rendelet 18. cikkében felsorolt feltételek valamelyike teljesül.

49. § Különleges adat kezelésére kizárólag akkor jogosult a Támogatáskezelő, ha ahhoz az

érintett írásban hozzájárul. Az érintett hozzájárulását vélelmezni kell, ha az

adatkezeléssel összefüggő eljárás az érintett kérelmére indul meg. Erre a tényre az

érintettet figyelmeztetni kell.

50. § Olyan adatkezelés esetén, amelynél számolni kell külföldre irányuló

adattovábbítással, az érintettek figyelmét erre a körülményre már az adatok felvétele

JEI/119/2018. Hatályos: 2018. 05. 25. 50

előtt fel kell hívni. Az érintett írásbeli felhatalmazása nélkül személyes adat külföldre

nem továbbítható, kivéve, ha ezt törvény lehetővé teszi.

51. § Az adattovábbítás papír alapon vagy elektronikus úton történhet. Abban az esetben,

ha az adattovábbítás elektronikus adatfeldolgozással hatékonyabban teljesíthető,

akkor az adattovábbításról az irattár részére kísérőlevelet kell készíteni, amely

tartalmazza az adattovábbítást kérő megkeresésében felsorolt adatokat.

52. § A Támogatáskezelő szervezetén belül a kezelt személyes adat - a feladat

elvégzéséhez szükséges mértékben és ideig - csak az üggyel érintett szervezeti

egységhez továbbítható, feltéve, hogy a személyes adatok megismerése nélkül az

ügyben érdemben eljárni nem lehet.

53. § A Támogatáskezelő szervezetén belül a különböző célú adatkezelések csak törvényes

cél érdekében, indokolt esetben, ideiglenesen kapcsolhatók össze.

54. § Az adatkezelések összekapcsolásával, valamint a megkeresés alapján teljesített

adatszolgáltatással kapcsolatos alábbi tényeket, körülményeket jegyzőkönyvben kell

rögzíteni:

a) az adatkérő (az összekapcsolt adatkezelések) megnevezése;

b) az adattovábbítás (összekapcsolás) célja, rendeltetése;

c) a továbbított (összekapcsolt) adatok köre;

d) az adattovábbítás (összekapcsolás) jogszabályi alapja;

e) az adattovábbítás (összekapcsolás) módja.

55. § Az érintett az adatkezeléssel kapcsolatos jogainak megsértése esetén az illetékes

szervezeti egység vezetőjéhez fordulhat

56. § A gyermek hozzájárulására vonatkozó feltételek az információs társadalommal

összefüggő szolgáltatások vonatkozásában.

Ha az általános adatvédelmi rendelet 6. cikk (1) bekezdésének a) pontja alkalmazandó,

a közvetlenül gyermekeknek kínált, információs társadalommal összefüggő

szolgáltatások vonatkozásában végzett személyes adatok kezelése akkor jogszerű, ha a

gyermek a 16. életévét betöltötte. A 16. életévét be nem töltött gyermek esetén, a

gyermekek személyes adatainak kezelése csak akkor és olyan mértékben jogszerű, ha a

hozzájárulást a gyermek feletti szülői felügyeletet gyakorló adta meg, illetve

engedélyezte.

JEI/119/2018. Hatályos: 2018. 05. 25. 51

XVII. Fejezet

A közérdekű adatok kezelésével kapcsolatos adatvédelmi rendelkezések

57. § A közérdekű adatok kezelése során értelemszerűen alkalmazni kell az AIBSZ XV.

Fejezet 40. § (1) bekezdése szerinti általános adatkezelési szabályokat.

58. § A kötelezően közzéteendő közérdekű adatok közzétételének részletes eljárásrendjét,

továbbá a közérdekű adatok megismerésére irányuló kérelmek intézésének rendjét

külön szabályzat, nevezetesen az EMET Közérdekű adatok megismerésére irányuló

kérelmek intézésének, továbbá a kötelezően közzéteendő adatok nyilvánosságra

hozatalának rendjéről szóló Szabályzata tartalmazza.

XVII. Fejezet

Záró rendelkezések

59. § (1) Az AIBSZ felülvizsgálatát el kell végezni

a) Az AIBSZ tárgykörét érintő jogszabály módosítása esetén,

b) Minden olyan esetben, amikor az elektronikus információs rendszerekben, vagy a

működési környezetben jelentős változás történik,

c) Három évente, tervezetten.

(2) Az Elektronikus Pályázatkezelési és Együttműködési Rendszer (EPER) rendszer

hibáinak bejelentése, valamint a rendszerben történő fejlesztések jóváhagyásával

kapcsolatosan a Támogatáskezelőnél a 4. számú függelékben foglaltakat kell alkalmazni.

JEI/119/2018. Hatályos: 2018. 05. 25. 52

Függelékek jegyzéke

1. számú függelék: A Támogatáskezelő elvárt biztonsági szintje, továbbá az egyes

elektronikus információs rendszerek elvárt biztonsági osztálya

2. számú függelék: Időszaki felülvizsgálati kötelezettségek

3. számú függelék: Katasztrófa Elhárítási Terv

4. számú függelék: Eljárásrend az EPER rendszer hibáinak bejelentéséről, valamint a

rendszerben történő fejlesztések jóváhagyásáról

Kiegészítések jegyzéke

1. számú kiegészítés: Az Emberi Erőforrás Támogatáskezelő Informatikai

Biztonságpolitikája

2. számú kiegészítés: Az Emberi Erőforrás Támogatáskezelő Informatikai Biztonsági

Stratégiája

JEI/119/2018. Hatályos: 2018. 05. 25. 53

1. számú függelék a(z) /2018. (V. 25.) EMET főigazgatói utasításhoz

A Támogatáskezelő elvárt biztonsági szintje, továbbá az egyes elektronikus

információs rendszerek elvárt biztonsági osztálya.

A Támogatáskezelő szervezeti biztonsági szintje

Az Ibtv. meghatározza a hatálya alá tartozó szervezetek, köztük a Hivatal számára előírt

biztonsági szint besorolásának szabályait. Az egyes költségvetési szervek központi

hivatali jogállásáról szóló 259/2010. (XI. 16.) Korm. rendelet, továbbá a Kormány tagjai

és az államtitkárok jogállásáról rendelkező 2010. évi XLIII. törvény értelmében az Emberi

Erőforrás Támogatáskezelő központi államigazgatási szervnek minősül.

A központi államigazgatási szervek esetén, a szervezet biztonsági szintje a szervezet

elektronikus információs rendszereinek legmagasabb biztonsági osztályával azonos

besorolású, de legalább 3-as.

A Támogatáskezelő nem rendelkezik 3-asnál magasabb besorolású elektronikus

információs rendszerrel, ezért a jogszabály szerinti biztonsági osztálya a 3-as.

A Támogatáskezelő egyes elektronikus információs rendszerek elvárt biztonsági

osztálya

Az egyes üzemeltetett rendszerek besorolása külön dokumentumban került részletezésre.

A megállapítások alapján az EMET rendszerei az alábbi biztonsági osztályba tartoznak:

Megnevezés Osztály Funkció Tranzakciók típusa Kezelt adatok

jellege

1 Ellátási Portál 2 Foglalkoztatási adatok nyilvántartás nyilvántartás

2 Intranet telefonkönyv

1 Munkakör, fénykép, telefonszám tájékoztatás tájékoztatás

3

WinTiszt személyügyi nyilvántartó rendszer

2

Pályázatkezelő rendszerek esetében: adatrögzítés, módosítás, törlés a pályázati adatkezelés, pályázók adatkezelése, pályázatkezelés státuszai, pályázatkezelési folyamatai, regisztráció, dokumentumkezelés folyamataiban.

személyügyi személyügyi

JEI/119/2018. Hatályos: 2018. 05. 25. 54

4 EPER 2

Pályázatkezelő rendszerek esetében: adatrögzítés, módosítás, törlés a pályázati adatkezelés, pályázók adatkezelése, pályázatkezelés státuszai, pályázatkezelési folyamatai, regisztráció, dokumentumkezelés folyamataiban.

pályázatkezelés, nyilvántartás, adatkezelés, pénzügy

pályázatkezelés, nyilvántartás, adatkezelés, pénzügy

5 EPER-BURSA 2

Pályázatkezelő rendszerek esetében: adatrögzítés, módosítás, törlés a pályázati adatkezelés, pályázók adatkezelése, pályázatkezelés státuszai, pályázatkezelési folyamatai, regisztráció, dokumentumkezelés folyamataiban.

pályázatkezelés, nyilvántartás, adatkezelés, pénzügy

pályázatkezelés, nyilvántartás, adatkezelés, pénzügy

6 GrantSys 2 páyázatkezelés, döntés, hatályosítás szerződéskezelés, pénzügy, elszámoláskezelés, követeléskezelés

pályázatkezelés, nyilvántartás, adatkezelés, pénzügy

személyes adatok

7 EFFECTOR 2 páyázatkezelés, döntés, hatályosítás, szerződéskezelés, pénzügy, elszámoláskezelés, követeléskezelés

pályázatkezelés, nyilvántartás, adatkezelés, pénzügy

személyes adatok

8 UKIR 2 páyázatkezelés, döntés, hatályosítás, szerződéskezelés, pénzügy, elszámoláskezelés, követeléskezelés

pályázatkezelés, nyilvántartás, adatkezelés, pénzügy

személyes adatok

9 EMIR 2 páyázatkezelés, döntés, hatályosítás, szerződéskezelés, pénzügy, elszámoláskezelés, követeléskezelés

pályázatkezelés, nyilvántartás, adatkezelés, pénzügy

személyes adatok

10 Educatio 2 páyázatkezelés, döntés, hatályosítás, szerződéskezelés, pénzügy, elszámoláskezelés, követeléskezelés

pályázatkezelés, nyilvántartás, adatkezelés, pénzügy

személyes adatok

11 SBNT Fejezeti Kezelésű Pályáztatás

2 páyázatkezelés, szerződéskészítés, pénzügy

pályázatkezelés, nyilvántartás, adatkezelés, pénzügy

személyes adatok

12 Effector 2 regisztráció, pályázatkezelés, kollégiumi tag értékelés, elszámolás

pályázatkezelés, nyilvántartás, adatkezelés, pénzügy

személyes adatok

13

TÉR rendszer, titkosítás, visszaállíthatatlan törlés;

2 Személyes adatok, foglalkoztatási adatok

személyes adat, teljesítmény értékelés nyilvántartás

személyes adat, teljesítmény értékelés nyilvántartás

14 MKK portál Személyes adatok, gyermekek adatai, korábbi foglalkoztatás adatai,

Személyes adatok, gyermekek adatai, korábbi foglalkoztatás adatai,

Személyes adatok, gyermekek adatai, korábbi foglalkoztatás adatai,

JEI/119/2018. Hatályos: 2018. 05. 25. 55

15 OTP SZÉP kártya portál

2 Személyes adatok, lakcím személyes adat személyes adat

16

Probono továbbképzési és vizsga portál

2 Személyes adatok, végzettségi és továbbképzési adatok

személyes adat személyes adat

17 Poszeidon 2 ügyiratkezelés, iktatás, ügyiratok elektronikus aláírása, hivatali kapu kezelés

személyes adat személyes adat

18 Beléptetőrendszer

2 Be- és kiléptetési adatok nyilvántartása

belépési időpontok és személyek rögzítése

személyes adat

19 Intranet 2 Általános belső információs és dokumentum kezelő rendszer

személyes adat, dokumentum, képek

személyes adat, név, munkahely, beosztás, szabályzatok, fotók

20 Windows Active Directory

2 Felhasználók adatbázisa, jogosultság kezelés

személyes adat, jogosultságok kezelése

személyes adat, jogosultságok

21 UKIR kiegészítő adatbázis

2 UKIR támogató adatbázis, pályázatkezelés

pályázatkezelés, nyilvántartás, adatkezelés, pénzügy

pályázatkezelés, nyilvántartás, adatkezelés, pénzügy

22 Moodle 2 e-learning, EUPPI mentori oktatás személyes adat, dokumentum

személyes adat, dokumentum

23 EUPP FORM 2 ukir CF kiértékelése személyes adat, dokumentum

személyes adat, dokumentum

24 SCCM 2 kliens menedzsment személyes adat, jogosultságok

személyes adat, jogosultságok

25 Elearning 2 belső e-learning oktatás oktatás

26 Forrás és Forrás archív

2 Pénzügyi, gazdasági nyilvántartás, könyvelési adatok

személyes, pénzügyi, gazdasági adatok

személyes, pénzügyi, gazdasági adatok

27 WINTISZT 2 Személyügyi nyilvántartó program személyes adat, jogosultságok kezelése

személyügyi, személyes adatok

28 FEKPO 2 pályázatkezelés, döntés, hatályosítás, szerződéskezelés, pénzügy, elszámoláskezelés, követeléskezelés

pályázatkezelés, nyilvántartás, adatkezelés, pénzügy

pályázatkezelés, nyilvántartás, adatkezelés, pénzügy

29 NKAHONLAP 2 pályázati honlap tájékoztatás, személyes adatkezelés (login, jelszó), nyilvántartás

tájékoztatás, személyes adatkezelés (login, jelszó), nyilvántartás

30 SpiceWorks 1 hibabejelentés, ticketing informatikai hibabejelentések kezelése

informatikai hibabejelentések kezelése

JEI/119/2018. Hatályos: 2018. 05. 25. 56

31 CSINI PR 2 pályázatkezelés, döntés, hatályosítás, szerződéskezelés, pénzügy, elszámoláskezelés, követeléskezelés

pályázatkezelés, nyilvántartás, adatkezelés, pénzügy

pályázatkezelés, nyilvántartás, adatkezelés, pénzügy

32 CENTREX 1 Vezetékes telefonkezelés nyilvántartás nyilvántartás

33 KIRA 2 Bérszámfejtő rendszer bérszámfejtési, személyes

bérszámfejtési, személyes

34 Takarnet Földhivatal nyilvántartó rendszere nyilvántartás, földhivatali adatok kezelése

nyilvántartás, földhivatali adatok kezelése

2. számú függelék a(z) /2018. (V. 25.) EMET főigazgatói utasításhoz

Időszaki felülvizsgálati kötelezettségek

Az Ibtv. a szabályozások és nyilvántartások, tervek rendszeres felülvizsgálatát írja elő. A

megadott gyakorisággal felül kell vizsgálni az alábbiakban részletezett dokumentumokat

és folyamatokat:

Időszaki felülvizsgálati kötelezettség Gyakoriság Felelős

3.1.1.1.1.2. Informatikai biztonságpolitika

felülvizsgálata és frissítése 3 év Üzemeltetési és

Dokumentumkezelési Osztály /

Informatikai Osztály

3.1.1.2.1.2. Informatikai biztonsági stratégia

felülvizsgálata és frissítése 3 év Üzemeltetési és

Dokumentumkezelési Osztály /

Informatikai Osztály 3.1.1.3.1.2. Adatvédelmi és Informatikai

Biztonsági Szabályzat felülvizsgálata és

frissítése. 3 év

Üzemeltetési és

Dokumentumkezelési Osztály /

Informatikai Osztály

3.1.1.6.1.2. Az Ibtv. szerint létrehozott

intézkedési terv felülvizsgálata és frissítése. 3 év

Üzemeltetési és

Dokumentumkezelési Osztály /

Informatikai Osztály, de a

tervben meghatározott

ütemezésben is.

JEI/119/2018. Hatályos: 2018. 05. 25. 57

3.1.1.7. Az elektronikus információs

rendszerek nyilvántartásának ellenőrzése és

aktualizálása. (Az Ibtv. szerinti feldolgozó

rendszerek táblázatának aktualizálása)

1 év Üzemeltetési és

Dokumentumkezelési Osztály /

Informatikai Osztály

3.1.1.10.1.2. Kockázatkezelési stratégia

felülvizsgálata és frissítése. 3 év

Főigazgatói

Titkárság

3.1.1.12.1.2. Tesztelési, képzési és

ellenőrzési tervek felülvizsgálata a

kockázatkezelési stratégia és a lehetséges,

vagy bekövetkezett biztonsági események

súlya alapján.

2 év

Üzemeltetési és

Dokumentumkezelési Osztály /

Informatikai Osztály / Humánerőforrás Osztály

3.1.2.1.1.2. Kockázatelemzési eljárásrend

felülvizsgálata és frissítése. 3 év

Üzemeltetési és

Dokumentumkezelési Osztály /

Informatikai Osztály

elektronikus inf. rendszerekre

3.1.2.3.1.3. A kockázatelemzési

eljárásrendnek megfelelően felül kell

vizsgálni a kockázatelemzések eredményét –

Ibtv. osztályba sorolási megfelelést

3 év Üzemeltetési és

Dokumentumkezelési Osztály /

Informatikai Osztály

3.1.3.1.1.2. A biztonságtervezési eljárásrend

felülvizsgálata és frissítése. (A

rendszerbiztonsági terv részeként kezelve) 2 év

Üzemeltetési és

Dokumentumkezelési Osztály /

Informatikai Osztály

3.1.3.2.1.8. Az elektronikus információs

rendszer rendszerbiztonsági tervének

felülvizsgálata és frissítése. (Rendszer

architektúra leírások frissítése)

1 év Üzemeltetési és

Dokumentumkezelési Osztály /

Informatikai Osztály

3.1.3.3.1.3. Az elektronikus információs

rendszerhez hozzáférési jogosultságot

igénylő személyekkel, felhasználókkal

szembeni elvárások felülvizsgálata

(Infokommunikációs szabályzat

felülvizsgálata). A felhasználókra vonatkozó

szabályok, felelősségek, az adott

rendszerhez kapcsolódó kötelező, vagy

tiltott tevékenységek és a viselkedési

szabályok betartásának ellenőrzése.

2 év

Üzemeltetési és

Dokumentumkezelési Osztály /

Informatikai Osztály /Jogi

Igazgatóság

JEI/119/2018. Hatályos: 2018. 05. 25. 58

3.1.4.2.1.2. Beszerzési eljárásrend,

beszerzések IT biztonsági szabályainak és a

beszerzésekre vonatkozó előírások

felülvizsgálata. A szabályok az AIBSZ-ben

kerültek rögzítésre.

3 év Üzemeltetési és

Dokumentumkezelési Osztály /

Informatikai Osztály

3.1.5.1.1.2. Biztonságértékelési eljárásrend

felülvizsgálata és frissítése. (A

biztonságelemzési tervek része) 1 év

Üzemeltetési és

Dokumentumkezelési Osztály /

Informatikai Osztály

3.1.6.2.1.2. A személybiztonsági

eljárásrendek felülvizsgálata és frissítése

(Az AIBSZ, a Közszolgálati szabályzat és az

Infokommunikációs Szabályzat tartalmazza

az általános követelményeket)

3 év

Üzemeltetési és

Dokumentumkezelési Osztály /

Informatikai Osztály /

Humánerőforrás Osztály

3.1.6.3.1.3. Munkakörök és feladatok

biztonság szempontú besorolásának

felülvizsgálata és frissítése. 1 év

Üzemeltetési és

Dokumentumkezelési Osztály /

Informatikai Osztály

/Humánerőforrás Osztály /szakmai területek

3.1.7.1.1.2. Képzési eljárásrend

felülvizsgálata és frissítése. 3 év

Humánerőforrás Osztály /

Üzemeltetési és

Dokumentumkezelési Osztály /

Informatikai Osztály

3.2.1.2.1.2. Fizikai védelmi eljárások

felülvizsgálata és frissítése. (A fizikai

védelmi intézkedések az AIBSZ 3. pontjában,

az "Infrastruktúrához kapcsolódó védelmi

intézkedések" fejezetében kerültek

meghatározásra.)

1 év Üzemeltetési és

Dokumentumkezelési Osztály /

Informatikai Osztály

3.2.1.3.1.3. A belépésre jogosult személyek

listájának felülvizsgálata (IT helyiségek); 1 év Üzemeltetési és

Dokumentumkezelési Osztály /

Informatikai Osztály

3.3.1.1.1.2. Konfigurációkezelési eljárásrend

felülvizsgálata és frissítése.

(Változáskezelési szabályzatba foglalva) 2 év

Üzemeltetési és

Dokumentumkezelési Osztály /

Informatikai Osztály

3.3.2.1.1.2. Üzletmenet folytonosságra

vonatkozó eljárásrend felülvizsgálata és

frissítése. 3 év AIBSZ Szerint

3.3.2.2.1.3. Üzletmenet-folytonossági terv

felülvizsgálata és frissítése. 1 év

Üzemeltetési és

Dokumentumkezelési Osztály /

Informatikai Osztály /szakmai

területek

JEI/119/2018. Hatályos: 2018. 05. 25. 59

3.3.3.1.1.2. Rendszer karbantartási

eljárásrend felülvizsgálata és frissítése. 1 év AIBSZ része

3.3.4.1.1.2. Adathordozók védelmére

vonatkozó eljárásrend felülvizsgálata és

frissítése 3 év AIBSZ része

3.3.5.1.1.2. Azonosításra és hitelesítésre

vonatkozó eljárásrend felülvizsgálata és

frissítése 3 év AIBSZ

3.3.6.1.1.2. A hozzáférések védelmére

vonatkozó eljárásrend felülvizsgálata és

frissítése. 3 év AIBSZ

3.3.6.2.1.9. A felhasználói fiókok

felülvizsgálata és frissítése, a fiókkezelési

követelményekkel való összhang

ellenőrzése

1 év

Üzemeltetési és

Dokumentumkezelési Osztály /

Informatikai Osztály / szakmai területek

3.3.7.2.1.2. Rendszer- és

információsértetlenségre vonatkozó

eljárásrend felülvizsgálata és frissítése.

(Változáskezelési Szabályzat része)

2 év Üzemeltetési és

Dokumentumkezelési Osztály /

Informatikai Osztály

3.3.8.1.1.2. Naplózási eljárásrend

felülvizsgálata és frissítése. 3 év

Keretek az AIBSZ-ben, de külön

dok. kell

3.3.8.2.2. Naplózandó események

felülvizsgálata és frissítése. 1 év

Üzemeltetési és

Dokumentumkezelési Osztály /

Informatikai Osztály /szakmai

területek 3.3.9.1.1.2. Rendszer- és

kommunikációvédelmi eljárásrend

felülvizsgálata és frissítése. 3 év AIBSZ

3.3.10.1.1.2. Biztonsági eseménykezelési

eljárásrend felülvizsgálata és frissítése 3 év AIBSZ, de 3-as szint

3.3.10.8.1.3. Eseménykezelési terv

felülvizsgálata és frissítése 3 év AIBSZ, de 3-as szint

JEI/119/2018. Hatályos: 2018. 05. 25. 60

3. számú függelék a(z) /2018. (V. 25.) EMET főigazgatói utasításhoz

AZ EMBERI ERŐFORRÁS TÁMOGATÁSKEZELŐ Katasztrófa Elhárítási Terve

Jelen katasztrófa elhárítási terv a Támogatáskezelőben esetlegesen bekövetkező

informatikai katasztrófa körülményeit és megoldását ismerteti. A dokumentum célja egy

használható, egyszerű és világos elhárítási terv létrehozása. Az informatikai katasztrófa

egy olyan nem tervezett esemény, amely az adatfeldolgozó képesség elvesztését okozza

hosszabb, legalább 1 munkanap időre. Jelen terv feladata, hogy a szervezet kritikus

információ-feldolgozó képességeit helyre lehessen állítani elfogadhatóan rövid idő alatt a

szükséges aktuális adatokkal egy informatikai katasztrófa után.

A Támogatáskezelőnél használt szerverek főbb jellemzői és ezeken futó operációs

rendszerek

A Támogatáskezelő jelenleg 6 db szerver számítógépet használ feladatainak precíz

ellátásához, azonosításuk adatait (a szerverek neve, típusa, felépítése és a rajtuk futó

operációs rendszer) az alábbi táblázat tartalmazza.

JEI/119/2018. Hatályos: 2018. 05. 25. 61

Név Típus Processzor Ram Merevlemez Operációs rendszer

EMETSESX01 HP DL380G4 Intel Xeon 3,2GHz 4GB 6x146GB ESX4.1

EMETSINTRA IBM x3650 Intel Xeon 5160 5GB 4x146GB Windows 2008R2 Std

EMETSWIN02 HP DL380G5 Intel Xeon 3,2GHz 4GB 6x146GB Windows 2008R2 Std

EMETSDC01 HP DL380G4 Intel Xeon 3,2GHz 4GB 2x73GB 4x146GB

Windows 2008R2 Std

M-PENZUGY Virtuális gép Intel Xeon 3,2GHz 4GB 126GB Windows 2008R2 Std

EMETSPOS01 Virtuális gép Intel Xeon 3,2GHz 8GB 60GB Windows 2008R2 Std

A szerverek funkciói és a rajtuk futó programok

Az előző részben felsorolt szerverekre való hivatkozás ezentúl a név oszlopban szereplő

megnevezés alapján történik.

EMETSESX01: Virtuális gépeket futtató szerver.

EMETSINTRA: Intranet szerver. A belső weboldal található rajta és az oldalhoz tartozó

adatbázis. Az adatbázis szerver egy Microsoft SQL 2008R2. Mentő szerver. Symantech

Backupexec alkalmazással.

EMETSWIN02: Frissítő szerver.

EMETSDC1:

Tartományvezérlő, file szerver és nyomtató szerver.

M-PENZUGY:

A „Forrás” pénzügyi rendszert kiszolgáló virtuális szerver. SQL

EMETSPOS01:

A „Poszeidon” iratkezelési rendszert kiszolgáló alkalmazás virtuális szerver.

Tevékenység-sorozat katasztrófa esetén:

1.) Az esemény bekövetkezte

2.) A katasztrófa-elhárítási csapat riasztása

3.) A károk enyhítése

4.) A helyreállítási folyamat megindítása

5.) Az alaptevékenység visszaállítása

6.) Tényleges helyreállítás

JEI/119/2018. Hatályos: 2018. 05. 25. 62

7.) A tanulságok levonása

Az informatikai szolgáltatások, vagy azok egy részének elvesztése a

Támogatáskezelő számára

Tekintettel a Támogatáskezelő munkafolyamatainak informatikai támogatottságára az

informatikai szolgáltatások elvesztése az érintett munkafolyamatok szinte teljes

leállásával jár. Ma már csak kevés munkafolyamat végezhető informatikai támogatás

nélkül és jellemzően egyetlen teljes ügy sem végezhető el annak hiányában, mivel minden

ügynek legalább egy olyan munkafolyamata van, mely informatikai eszközöket igényel (pl.

iktatás). Katasztrófa esetén a Támogatáskezelő adatvagyona is sérülhet. Elsődleges

prioritás az adatvagyon megőrzése, másodlagos az ügyfélfogadás és az azzal kapcsolatos

ügymenetek biztosítása. Minden további feladat harmadlagos jellegű.

Kritikus informatikai szolgáltatások

Tekintettel arra, hogy a Támogatáskezelőben lévő alkalmazások és munkafolyamatok

folyamatosan változnak és rendkívül széles körűek, definiálni kell, hogy milyen

alkalmazások tekinthetők kritikusnak.

1.) Egy adott informatikai szolgáltatás akkor kritikus, ha leállása esetén egyes

ügyfelekkel kapcsolatos ügyek nem bonyolíthatók még papír alapú

nyilvántartások segítségével sem az előírt Támogatáskezelői határidőn vagy az

ügyfél által megszokott ügyintézési határidőn belül. Egy ilyen alkalmazás leállása

akkor informatikai katasztrófa, ha:

• nem tervezett a leállása;

• tervezett leállása túllépte a maximális 1 nap vagy 1 hétvége időtartamot.

2.) Kritikus informatikai szolgáltatás továbbá az, mely az 1. pontba nem tartozik, de

nyilvántartása a Támogatáskezelői adatvagyon részét képezi, és ez az adatvagyon

rész nem érhető el legalább 3 napon keresztül. Ekkor a 3. nap után a szolgáltatás

leállása szintén informatikai katasztrófának minősül.

Az informatikai szolgáltatás visszaállításának időtávja

Informatikai katasztrófa bekövetkezése esetén a katasztrófa elhárítását azonnal meg kell

kezdeni. Amennyiben az informatikai szolgáltatás nem állítható helyre 2 napon belül,

abban az esetben további 3 napon belül meg kell oldani az informatikai vagy papír alapú

ideiglenes szolgáltatást. Az ideiglenes szolgáltatás időtávja addig tart, amíg az

informatikai szolgáltatás helyreállítása be nem fejeződik, melynél törekedni kell arra,

hogy 2 héten belül fejeződjön be.

JEI/119/2018. Hatályos: 2018. 05. 25. 63

A szolgáltatás fenntartásának/helyreállításának eszközei

Munkaerő

Informatikai katasztrófa bekövetkezése esetén az Üzemeltetési, Dokumentumkezelési és

Informatikai Osztály minden munkatársának és az érintett szervezeti egységek

vezetőinek munkaidőn kívül és munkaszüneti napokon is azonnal be kell jönnie a

Támogatáskezelőbe és meg kell kezdenie a szolgáltatás fenntartását/helyreállítását. A

helyreállítási munka vezetője az Üzemeltetési, Dokumentumkezelési és Informatikai

Osztály vezetője. Szükség esetén az érintett szervezeti egységek vezetői a vezetésük alatt

lévő szervezeti egység személyi állományából további munkatársakat is behívhatnak,

akiknek ez esetben szintén kötelező megjelenni. A katasztrófa elhárításáig a munkatársak

munkaideje napi 10 óra, munkaszüneti napokon is. Ez alól felmentést vagy engedményt

csak a Főigazgató adhat.

Informatikai eszközök

Az Üzemeltetési, Dokumentumkezelési és Informatikai Osztálynak legalább 2 db tartalék

szervert és 10 db tartalék munkaállomást kell készenlétben tartani informatikai

katasztrófák elhárítására. A készenléti hardvereszközök teljesítményének a mindenkor

használatban lévő eszközállomány átlagos teljesítményének minimum meg kell felelnie.

Amennyiben további eszközök szükségesek, akkor a katasztrófa elhárítása esetén

Főigazgatói engedéllyel felhasználhatók a nem kritikus szolgáltatásokat biztosító

hardvereszközök is.

Ideiglenes nyilvántartások

A katasztrófa elhárításának elhúzódó időtartama alatt amennyiben lehetséges és nem

veszélyezteti a leállt szolgáltatás adatvagyonának jövőbeli integritását, ideiglenes

nyilvántartást kell létrehozni a szolgáltatás helyettesítésére, mely lehet informatikai, de

papír alapú is. Az elhárítás befejezése után az ideiglenes nyilvántartás adatainak a

helyreállított szolgáltatásba történő integrálását azonnal meg kell kezdeni.

Az iktatórendszer üzemzavara esetén követendő eljárásrendet, így különösen az

ideiglenes nyilvántartás vezetésére vonatkozó részletes szabályokat a Támogatáskezelő

Egyedi Iratkezelési Szabályzata tartalmazza.

Katasztrófa elhárítási gyakorlat

Katasztrófa elhárítási gyakorlatot kell évente egyszer az Üzemeltetési,

Dokumentumkezelési és Informatikai Osztály vezető által javasolt időpontban tartani. A

gyakorlat során tetszőleges mentett állományból vissza kell állítani egy konkrét fájlt, egy

adatbázist, egy komplett kiszolgálót.

JEI/119/2018. Hatályos: 2018. 05. 25. 64

JEI/119/2018. Hatályos: 2018. 05. 25. 65

4. számú függelék a(z) /2018. (V. 25.) EMET főigazgatói utasításhoz

Eljárásrend az EPER rendszer hibáinak bejelentéséről, valamint a

rendszerben történő fejlesztések jóváhagyásáról

1. Az eljárásrend hatálya

1.1. Jelen eljárásrend hatálya az Emberi Erőforrás Támogatáskezelő Hazai Programok

Igazgatósága, a Stratégiai, Koordinációs és Módszertani Igazgatóságra, valamint az

Üzemeltetési, Dokumentumkezelési és Informatikai Osztályra terjed ki.

2. Értelmező rendelkezések

a) Javítás: minden olyan hiba elhárítása, amely rendeltetésszerű használat közben

felmerül, és amelynek oka a rendszer működésének diszfunkciója.

b) Fejlesztés: olyan képességek kialakítása, amellyel a rendszer korábban nem

rendelkezett.

c) Bejelentő: az elektronikus pályázatkezelési referens, továbbá a területért felelős

vezető által az Üzemeltetési, Dokumentumkezelési és Informatikai Osztályhoz

előzetesen bejelentett személy, aki jogosult a hibák jelzésére az Üzemeltetési,

Dokumentumkezelési és Informatikai Osztály felé.

d) Jóváhagyó: a területért felelős vezető, és az általa az Üzemeltetési,

Dokumentumkezelési és Informatikai Osztályhoz előzetesen bejelentett személy,

aki jogosult a fejlesztéseket az Üzemeltetési, Dokumentumkezelési és Informatikai

Osztályon keresztül megrendelni.

e) Adminisztrátor: az EPER-ben adminisztrációs jogokkal rendelkező személy. (Az

EMET Üzemeltetési, Dokumentumkezelési és Informatikai Osztályán az erre a

feladatra kijelölt kormánytisztviselő.)

f) ITINER: A Támogatáskezelő belső hálózatának hibabejelentő felülete.

g) Mantisz: A GEOVIEW Kft. bejelentés-kezelő rendszere.

3. A bejelentő és a jóváhagyó bejelentése és módosítása

3.1. A bejelentőket és a jóváhagyókat az illetékes osztályvezető jelöli ki, és jelenti be az

Üzemeltetési, Dokumentumkezelési és Informatikai Osztálynak az ITINER-en

JEI/119/2018. Hatályos: 2018. 05. 25. 66

keresztül, amelyben meg kell jelölni a bejelentő vagy jóváhagyó nevét, e-mail címét,

illetve a jóváhagyó hierarchiáját. A bejelentők és jóváhagyók személyét az illetékes

igazgató módosíthatja az Üzemeltetési, Dokumentumkezelési és Informatikai

Osztályhoz intézett elektronikus üzenettel, amelyben meg kell jelölni az új

bejelentő

vagy jóváhagyó nevét, e-mail címét, a jóváhagyó hierarchiáját, valamint –

amenynyiben személycsere történik – a leváltott bejelentő vagy jóváhagyó nevét.

3.2. A jóváhagyókat hierarchikus sorrendben kell bejelenteni, elsődleges, másodlagos,

harmadlagos pozíciójukat megjelölve. A jóváhagyó döntést mindig a sorban

legmagasabb pozícióban lévő, döntésképes jóváhagyó hozza meg.

3.3. Az igazgatók bejelentés nélkül elsődleges jóváhagyóknak minősülnek.

3.4. Az Üzemeltetési, Dokumentumkezelési és Informatikai Osztály kizárólag a jelen

eljárásrend alapján bejelentett személyek bejelentését, valamint jóváhagyását

fogadhatja el. A jóváhagyás kizárólag akkor fogadható el, ha a jóváhagyó jelzi, hogy

a hierarchikus sorban előtte elhelyezkedő jóváhagyók miért nem hozhattak

döntést.

3.5. A bejelentők és jóváhagyók listája nyilvános.

4. Javítás

4.1. Az EPER rendszerben észlelt hibajelenség bejelentésére a bejelentő jogosult. A

hibát az ITINER-ben szükséges bejelentenie.

4.2. A bejelentett hibát az adott feladattal megbízott Adminisztrátor haladéktalanul

megvizsgálja és egyezteti bejelentővel, szükség esetén az érintett szervezeti egység

vezetőjével. Az egyeztetés keretében az Adminisztrátor többek között feltárja,

hogy informatikai szempontból hasonló vagy egyező hibát más jelentett-e, és

amennyiben igen, úgy ezen bejelentéseket egységesen kezeli. Az Adminisztrátor -

amennyiben lehetséges – saját hatáskörben megkezdi a bejelentett hiba kijavítását.

A javítás megtörténtéről üzenetet küld a bejelentőnek az ITINER-ben.

4.3. Amennyiben a hibát a feladat végzésre kijelölt Adminisztrátor nem tudja javítani,

abban az esetben a hiba jelzését haladéktalanul továbbítja a Mantisz felületen a

Geoview Kft. felé, ennek megtörténtéről az ITINER-en keresztül tájékoztatja a

bejelentőt. A javítás megtörténtéről az Adminisztrátor a Mantiszon keresztül

küldött üzenetből értesül. Az értesítést követően az Adminisztrátor teszteli a

javítást, és amennyiben a hiba elhárítása maradéktalanul megtörtént, ezt

haladéktalanul jelzi a bejelentőnek.

JEI/119/2018. Hatályos: 2018. 05. 25. 67

4.4. Nagyobb hiba, akadály vagy összeomlás esetén, továbbá minden olyan hiba esetén,

amely az EPER rendszer részleges vagy teljes leállását eredményezi, az

Adminisztrátor haladéktalanul értesíti a támogatási főigazgató-helyettes útján a

főigazgatót. Amennyiben az EPER rendszer részleges vagy teljes leállítása

szükséges a hiba feltárásához, elhárításához vagy egyéb okból, a leállásról a

főigazgató-helyettes javaslata mérlegelésével a főigazgató dönt.

4.5. Amennyiben a Geoview Kft. azt jelzi vissza, hogy a javításra küldött probléma

megoldása érdekében fejlesztés szükséges, erről árajánlat megküldésével -

Mantiszon keresztül - értesíti az Adminisztrátort, aki továbbítja az illetékes

jóváhagyónak az ajánlatot, valamint a hiba pontos leírását, és az ajánlat

előzményeit

5. Fejlesztés

5.1. Fejlesztést kizárólag a jóváhagyásra jogosult személy kezdeményezhet az ITINEREN

keresztül a fejlesztési dokumentáció és – szükség esetén specifikáció -

felcsatolásával. A kezdeményezést az illetékes Adminisztrátor a lehető

leghamarabb megvizsgálja, szükség esetén pontosítja a fejlesztési igényt, majd a

Mantiszon keresztül - bejelentés keretében továbbítja a Geoview Kft. részére.

5.2. A fejlesztéssel kapcsolatosan felmerülő kérdésekre adott válaszokat, a megoldási

lehetőségeket, a dokumentáció és specifikáció pontosítását az Adminisztrátor

minden esetben egyezteti a jóváhagyásra jogosult személlyel.

5.3. Az ajánlattal kapcsolatban az Adminisztrátor ITINER-en keresztül tájékoztatja a

jóváhagyót, aki 3 munkanapon belül dönt az ajánlat elfogadásáról. Amennyiben az

ajánlatot elfogadja, úgy döntéséről értesíti az Üzemeltetési, Dokumentumkezelési

és Informatikai Osztály vezetőjét és az ITINER-en keresztül - az adott bejelentésben

is - megerősíti ezen szándékát. Az Üzemeltetési, Dokumentumkezelési és

Informatikai Osztály vezetője a fejlesztési igényt haladéktalanul felvezeti az erre

rendszeresített, ITINER felületen lévő táblázatba, és erről haladéktalanul értesíti a

jóváhagyókat. Az Üzemeltetési, Dokumentumkezelési és Informatikai Osztály

vezetője a jóváhagyott fejlesztési igényt a Mantiszon keresztül haladéktalanul

megrendeli.

6. Fejlesztési igények ütközése

6.1. Amennyiben a fejlesztési igények teljes mértékben kimerítik a vonatkozó

szerződésben meghatározott órakeretet, vagy a fejlesztések elkészítési

határidejének priorizálása szükséges, ezt bármely igazgató, illetve az Üzemeltetési,

JEI/119/2018. Hatályos: 2018. 05. 25. 68

Dokumentumkezelési és Informatikai Osztály vezetője jelezheti a főigazgató-

helyettesnek.

6.2. A 6.1. pontban jelzett prioritási sorrendet a támogatási főigazgató-helyettes határozza

meg. Az Üzemeltetési, Dokumentumkezelési és Informatikai Osztály vezetője a

főigazgató-helyettes által meghatározott prioritási sorrend alapján rendeli meg a

fejlesztéseket a Geoview Kft-től.

7. Egyeztetés

Jelen eljárásrend alkalmazásának tapasztalatairól kéthavonta egyeztetést kell tartani. Az

egyeztetést az Üzemeltetési, Dokumentumkezelési és Informatikai Osztály és a Hazai

Programok Igazgatósága közötti kapcsolattartás érdekében a hazai programigazgató által

megbízott koordinátor hívja össze. Az egyeztetésen részt vesznek az Üzemeltetési,

Dokumentumkezelési és Informatikai Osztály illetékesei, a Hazai Programok Igazgatója, a

koordinátor és a támogatási osztályok vezetői.