Informatikai Biztonsági Szabályzat elkészítése
Az információbiztonsági törvény előírja, hogy a szervezet köteles gondoskodni az Informatikai Biztonsági Szabályzat, az Informatikai Biztonságpolitika, Informatikai Biztonsági Stratégia elkészítéséről. Az Informatikai Biztonsági Szabályzat elkészítésének és a Hatóság részére történő megküldésének határideje: 2014. február 3. volt.
Az Informatikai Biztonsági Szabályzat a következő területeket szabályozza:
- kockázatelemzés (amely szorosan kapcsolódik a biztonsági osztályba és biztonsági szintbe soroláshoz);
- biztonsági helyzet-, és eseményértékelés eljárási rendje;
- az elektronikus információs rendszer (ideértve ezek elemeit is) és információtechnológiai szolgáltatás beszerzés (amennyiben az érintett szervezet ilyet végez, vagy végezhet);
- biztonsággal kapcsolatos tervezés (például: beszerzés, fejlesztés, eljárásrendek kialakítását);
- fizikai és környezeti védelem szabályai, jellemzői;
- az emberi erőforrásokban rejlő veszélyek megakadályozása (pl.: személyzeti felvételi- és kilépési eljárás során követendő szabályok, munkavégzésre irányuló szerződésben a személyes kötelmek rögzítése, a felelősség érvényesítése, stb.);
- az informatikai biztonság tudatosítására irányuló tevékenység és képzés az érintett szervezet összes közszolgálati, vagy munkavégzésre irányuló egyéb jogviszonyban álló alkalmazottainak, munkavállalóinak, megbízottjainak tekintetében;
- az érintett szervezetnél alkalmazott elektronikus információs rendszerek biztonsági beállításával kapcsolatos feladatok, elvárások, jogok (amennyiben az érintett szervezetnél ez értelmezhető);
- üzlet-, ügy- vagy üzemmenet folytonosság tervezése (így különösen a rendszerleállás során a kézi eljárásokra történő átállás, visszaállás az elektronikus rendszerre, adatok pótlása, stb.);
- az elektronikus információs rendszerek karbantartásának rendje;
- az adathordozók fizikai és logikai védelmének szabályozása;
- az elektronikus információs rendszerhez való hozzáférés során követendő azonosítási és hitelesítési eljárás, és a hozzáférési szabályok betartásának ellenőrzése;
- amennyiben az érintett szervezetnek erre lehetősége van, a rendszerek használatáról szóló rendszerbejegyzések értékelése, az értékelés eredményétől függő eljárások meghatározása;
- az adatok mentésének, archiválásának rendje,
- a biztonsági események – ideértve az adatok sérülését is – bekövetkeztekor követendő eljárás, ideértve a helyreállítást.