Fontos jogszabályok

Az információbiztonsági törvény alapján a jegyzők kötelezettségei a következők:

(1) A szervezet vezetője köteles gondoskodni az elektronikus információs rendszerek védelméről a következők szerint:

a) biztosítja az elektronikus információs rendszerre irányadó biztonsági osztály tekintetében a jogszabályban

meghatározott követelmények teljesülését,

b) biztosítja a szervezetre irányadó biztonsági szint tekintetében a jogszabályban meghatározott

követelmények teljesülését,

c) az elektronikus információs rendszer biztonsági osztálya és a szervezet biztonsági szintje alapján előírt

követelményeknek megfelelően az elektronikus információs rendszer biztonságáért felelős személyt nevez ki

vagy bíz meg, aki azonos lehet a minősített adat védelméről szóló 2009. évi CLV. törvény szerinti biztonsági

vezetővel,

d) kiadja a szervezet elektronikus információs rendszereire vonatkozó informatikai biztonságpolitikáját,

e) meghatározza a szervezet elektronikus információs rendszereinek informatikai biztonsági stratégiáját,

f ) meghatározza a szervezet elektronikus információs rendszerei védelmének felelőseire, feladataira és az ehhez

szükséges hatáskörökre, felhasználókra vonatkozó szabályokat, illetve kiadja az informatikai biztonsági szabályzatot,

g) gondoskodik az elektronikus információs rendszerek védelmi feladatainak és felelősségi köreinek oktatásáról, saját maga és a szervezet munkatársai információbiztonsági ismereteinek szinten tartásáról,

h) rendszeresen végrehajtott biztonsági kockázatelemzések, ellenőrzések, auditok lefolytatása révén meggyőződik arról, hogy a szervezet elektronikus információs rendszereinek biztonsága megfelel-e a jogszabályoknak és a kockázatoknak,

i) gondoskodik az elektronikus információs rendszer eseményeinek nyomon követhetőségéről,

j) biztonsági esemény bekövetkezésekor minden szükséges és rendelkezésére álló erőforrás felhasználásával gondoskodik a biztonsági eseményre történő gyors és hatékony reagálásról, és ezt követően a biztonsági események kezeléséről,

k) ha az elektronikus információs rendszer létrehozásában, üzemeltetésében, auditálásában, karbantartásában vagy javításában közreműködőt vesz igénybe, gondoskodik arról, hogy az e törvényben foglaltak szerződéses kötelemként teljesüljenek,  ha a szervezet az adatkezelési vagy az adatfeldolgozási tevékenységhez közreműködőt vesz igénybe, gondoskodik arról, hogy az e törvényben foglaltak szerződéses kötelemként teljesüljenek,

m) felelős az érintetteknek a biztonsági eseményekről és a lehetséges fenyegetésekről történő haladéktalan

tájékoztatásáért,

n) megteszi az elektronikus információs rendszer védelme érdekében felmerülő egyéb szükséges intézkedéseket.

•  A 2013. évi L. törvény az állami és önkormányzati szervek elektronikus információbiztonságáról
• 2011. évi CXII. törvény az információs önrendelkezési jogról és az információszabadságról
• 2001. évi XXXV. törvény az elektronikus aláírásról
• 2004. évi CXL. törvény a közigazgatási hatósági eljárás és szolgáltatás általános szabályairól
• 83/2012. (IV. 21.) Korm. rendelet a szabályozott elektronikus ügyintézési szolgáltatásokról és az állam által kötelezően nyújtandó szolgáltatásokról
• 84/2012. (IV. 21.) Korm. rendelet egyes, az elektronikus ügyintézéshez kapcsolódó szervezetek kijelöléséről
• 85/2012. (IV. 21.) Korm. rendelet az elektronikus ügyintézés részletes szabályairól
•  77/2013. (XII. 19.) NFM rendelet az állami és önkormányzati szervek elektronikus információbiztonságáról szóló 2013. évi L. törvényben meghatározott technológiai biztonsági, valamint biztonságos információs eszközökre, termékekre vonatkozó, valamint a biztonsági osztályba és biztonsági szintbe sorolási követelményeiről (továbbiakban: technológiai vhr)
• 73/2013. (XII. 4.) NFM rendelet az elektronikus információbiztonságról szóló törvény hatálya alá tartozó egyes szervezetek hatósági nyilvántartásba vételének, a biztonsági események jelentésének és közzétételének rendjéről
• 301/2013. (VII. 29.) Korm. rendelet a Nemzeti Elektronikus Információbiztonsági Hatóság és az információbiztonsági felügyelő feladat- és hatásköréről, valamint a Nemzeti Biztonsági Felügyelet szakhatósági eljárásáról
• 26/2013. (X. 21.) KIM rendelet az állami és önkormányzati szervek elektronikus információbiztonságáról szóló törvényben meghatározott vezetői és az elektronikus információs rendszer biztonságáért felelős személyek képzésének és továbbképzésének tartalmáról

A Kormány honlapján megjelent a részletes adminisztratív, fizikai és logikai védelmi intézkedéseket tartalmazó végrehajtási rendelet tervezete.

Ennek alapján az önkormányzatoknak – a 2-es biztonsági szintet feltételezve – szervezeti szinten a következő fizikai védelmi intézkedéseket kell végrehajtaniuk:

III. 2. FIZIKAI VÉDELMI INTÉZKEDÉSEK

FIZIKAI ÉS KÖRNYEZETI VÉDELEM (FK)

Jelen fejezet alkalmazása során figyelemmel kell lenni a más jogszabályban meghatározott tűz-, és személyvédelmi rendelkezésekre.

Jelen rendelkezések az adott létesítmény szabadon látogatható, vagy igénybe vehető területeire nem vonatkoznak.

FK 1. Fizikai védelmi eljárásrend

Az érintett szervezet:

a) megfogalmazza, a szervezetre érvényes követelmények szerint dokumentálja, és a szervezeten belül kihirdeti az elektronikus információs rendszerek szempontjából érintett létesítményekre és/vagy helyiségekre érvényes fizikai védelmi eljárásrendet, amely szervezet informatikai biztonsági, vagy egyéb szabályzatának részét képező fizikai védelmi szabályzat és az ehhez kapcsolódó ellenőrzések megvalósítását segíti elő;

b) a fizikai védelmi eljárásrendben, vagy más belső szabályzóban meghatározott gyakorisággal felülvizsgálja és frissíti a fizikai védelmi eljárásrendet.

FK 2. Fizikai belépési engedélyek

Az érintett szervezet:

a) összeállítja, jóváhagyja és kezeli azon személyek listáját, akik jogosultak belépni az elektronikus információs rendszereket tartalmazó létesítményekbe;

b) belépési jogosultságot igazoló dokumentumokat (pl. kitűzők, azonosító kártyák, intelligens kártyák) bocsát ki a belépéshez a belépni szándékozó részére;

c) rendszeresen felülvizsgálja a belépésre jogosult személyek listáját;

d) eltávolítja a belépésre jogosult személyek listájáról azokat, akiknek a belépése már nem indokolt;

e) intézkedik a b) pont szerinti dokumentum visszavonása, érvénytelenítése, törlése, megsemmisítése iránt.

FK 3. A fizikai belépés ellenőrzése

Az érintett szervezet:

a) biztosítja az engedélyesek számára a fizikai belépést, kizárólag a szervezet által meghatározott be-, illetve kilépési pontokon;

b) naplózza a fizikai belépéseket;

c) ellenőrzés alatt tartja a létesítményen belüli, nyilvánosan elérhető helyiségeket;

d) kíséri a látogatókat és figyelemmel követi a tevékenységüket;

e) megóvja a kulcsokat, hozzáférési kódokat, és az egyéb fizikai hozzáférést ellenőrző eszközt;

f) nyilvántartást vezet a fizikai belépést ellenőrző eszközről;

g) szervezet által meghatározott gyakorisággal változtatja meg a hozzáférési kódokat és kulcsokat, illetve azonnal, ha a kulcs elveszik, a hozzáférési kód kompromittálódik, vagy az adott személyt elveszti a belépési jogosultságát.

Elvárás:

1. az egyéni belépési engedélyeket a belépési pontokon ellenőrizni kell,

2. a kijelölt pontokon való átjutást felügyelni kell a szervezet által meghatározott fizikai belépést ellenőrző rendszerrel, vagy eszközzel,

3. fel kell hívni a szervezet tagjainak figyelmét a rendellenességek jelentésére.

2011. évi CXII. törvény az információs önrendelkezési jogról és az információszabadságról

A tv. 7. §-a foglalkozik a személyes adatokat kezelő informatikai rendszerek informatikai biztonsági követelményeivel. Ez szerint

7. § (1) Az adatkezelő köteles az adatkezelési műveleteket úgy megtervezni és végrehajtani, hogy az e törvény és az adatkezelésre vonatkozó más szabályok alkalmazása során biztosítsa az érintettek magánszférájának védelmét.

(2) Az adatkezelő, illetve tevékenységi körében az adatfeldolgozó köteles gondoskodni az adatok biztonságáról, köteles továbbá megtenni azokat a technikai és szervezési intézkedéseket és kialakítani azokat az eljárási szabályokat, amelyek e törvény, valamint az egyéb adat- és titokvédelmi szabályok érvényre juttatásához szükségesek.

(3) Az adatokat megfelelő intézkedésekkel védeni kell különösen a jogosulatlan hozzáférés, megváltoztatás, továbbítás, nyilvánosságra hozatal, törlés vagy megsemmisítés, valamint a véletlen megsemmisülés és sérülés, továbbá az alkalmazott technika megváltozásából fakadó hozzáférhetetlenné válás ellen.

(4) A különböző nyilvántartásokban elektronikusan kezelt adatállományok védelme érdekében megfelelő technikai megoldással biztosítani kell, hogy a nyilvántartásokban tárolt adatok – kivéve ha azt törvény lehetővé teszi – közvetlenül ne legyenek összekapcsolhatók és az érintetthez rendelhetők.

(5) A személyes adatok automatizált feldolgozása során az adatkezelő és az adatfeldolgozó további intézkedésekkel biztosítja

a) a jogosulatlan adatbevitel megakadályozását;

b) az automatikus adatfeldolgozó rendszerek jogosulatlan személyek általi, adatátviteli berendezés segítségével történő használatának megakadályozását;

c) annak ellenőrizhetőségét és megállapíthatóságát, hogy a személyes adatokat adatátviteli berendezés alkalmazásával mely szerveknek továbbították vagy továbbíthatják;

d) annak ellenőrizhetőségét és megállapíthatóságát, hogy mely személyes adatokat, mikor és ki vitte be az automatikus adatfeldolgozó rendszerekbe;

e) a telepített rendszerek üzemzavar esetén történő helyreállíthatóságát és

f) azt, hogy az automatizált feldolgozás során fellépő hibákról jelentés készüljön.

(6) Az adatkezelőnek és az adatfeldolgozónak az adatok biztonságát szolgáló intézkedések meghatározásakor és alkalmazásakor tekintettel kell lenni a technika mindenkori fejlettségére. Több lehetséges adatkezelési megoldás közül azt kell választani, amely a személyes adatok magasabb szintű védelmét biztosítja, kivéve, ha az aránytalan nehézséget jelentene az adatkezelőnek.