text:
7/2015. (X. 30.) NVI utasítása a Nemzeti Választási Iroda Informatikai Biztonsági Szabályzatáról.
Az állami és önkormányzati szervek elektronikus információbiztonságáról szóló 2013. évi L. törvény 11. § (1) bekezdés f ) pontjában
foglalt hatáskörömben eljárva – figyelemmel a  jogalkotásról szóló 2010. évi CXXX. törvény 23.  § (4)  bekezdés c)  pontjára –
a következő utasítást adom ki:
I. Fejezet
Alapvető rendelkezések 1. Értelmező rendelkezések 1. § Ezen utasítás alkalmazásában:
1. adatállomány: az elektronikus információs rendszerben logikailag összetartozó, együtt kezelt adatok;
2. adatátvitel: az adatok elektronikus információs rendszerek, rendszerelemek közötti továbbítása;
3. adattovábbítás: az adat meghatározott harmadik személy számára történő hozzáférhetővé tétele;
4. alkalmazás: olyan program, amelyet az alkalmazó saját speciális céljai elérése érdekében vezet be, és amely
a hardver- és az üzemi rendszer funkcióit használja;
5. behatolás: védett elektronikus információs rendszerbe jogosulatlan belépés a védelem megkerülésével vagy
védelmi hiba kihasználásával;
6. bejelentkezés: a  felhasználó által kezdeményezett olyan logikai kapcsolat, amelynek eredményeképpen
az elektronikus információs rendszer funkcióinak használata lehetővé válik;
7. biztonság: a védelmi rendszer olyan, a szervezet számára kielégítő mértékű állapota, amely zárt, teljes körű,
folytonos és a kockázatokkal arányos védelmet valósít meg;
8. biztonsági követelmények: a  kockázatelemzés eredményeként megállapított, elfogadhatatlanul magas
kockázattal rendelkező fenyegető tényezők ellen irányuló biztonsági szükségletek együttese;
9. biztonságos adattörlés: olyan szoftveres eljárás, amely megvalósítja a DoD 5220.22 szabványban adathordozó
típusonként előírt felülírási eljárásokat, jegyzőkönyvben rögzíti a  felülírási eljárás típusát, sikerességét,
időpontját, illetve az adathordozó azonosítóját;
10. érzékeny adat: olyan adat, amely az információbiztonság szempontjából a sérülékenység és a fenyegetettség
ténye alá esik;
11. funkcionalitás: az  elektronikus információs rendszerelem (ideértve az  adatot is) tulajdonsága, amely arra
vonatkozik, hogy a rendszerelem a felhasználói céloknak megfelel és használható;
12. hozzáférés: olyan eljárás, amely valamely elektronikus információs rendszer használója számára elérhetővé tesz
a rendszerben adatokként tárolt információkat;
13. illetéktelen személy: olyan személy, aki az adat megismerésére nem jogosult;
14. informatikai központ: azon helyiségek, amelyek működő szerverek és hálózati elosztó elemek elhelyezésére és
működtetésére szolgálnak, kivéve azon egyéb helyiségeket, amelyekben zárt, kulccsal biztosított rack szekrény
található;
15. jelszó: védett karakterfüzér, amely a felhasználói névvel együtt használva a felhasználót azonosítja;
16. katasztrófaelhárítási terv: az  elektronikus információs rendszer rendelkezésre állásának megszűnése vagy
nagymértékű csökkenése utáni visszaállításra vonatkozó terv, amely globális helyettesítő megoldásokat ad
megelőző és elhárító intézkedésekre, amelyekkel a  bekövetkezett katasztrófaesemény után az  elektronikus
információs rendszer funkcionalitása degradált vagy eredeti állapotába visszaállítható;
17. kiesési idő: az elektronikus információs rendszer leállásától a következő elérési lehetőségig eltelő idő;
18. kriptográfia: mindazoknak az  eljárásoknak, algoritmusoknak, biztonsági rendszabályoknak a  kutatását,
alkalmazását jelenti, amelyek az  információ bizalmasságát, hitelességét vagy sértetlenségét hivatottak
megvédeni;
19. kulcs: a kriptográfiában a kódolás és a megfejtés műveleteihez használt szimbólumok sorozata;
20. külső fél: az a természetes vagy jogi személy, amely a Nemzeti Választási Irodával (a továbbiakban: Iroda) kötött
szerződéses kapcsolat keretében, az  Iroda által kezelt vagy felügyelt területen az  Iroda megrendelésére
informatikával, információtechnológiával, elektronikus információbiztonsággal kapcsolatos munkát vagy
tevékenységet végez;
21. program: a számítógépes utasítások logikailag és funkcionálisan összetartozó sorozata;
22. rendszerelemek: az adatokat körülvevő, az elektronikus információs rendszer részét képző összetevők;
23. rendszergazda: az elektronikus információs rendszer részét képező alkalmazások használatát és felügyeletét
végző személy;
24. üzemeltető: az  Irodával jogviszonyban álló természetes személy, jogi személy vagy egyéni vállalkozó, aki
az elektronikus információs rendszer vagy annak részei működtetését végzi, és a működésért felelős;
25. támadás: védett érték megszerzésére, megsemmisítésére, károkozásra irányuló cselekmény;
26. üzletmenet-folytonossági terv: az  üzletmenet fenntartása érdekében teendő intézkedések összessége, ha
az adott üzleti folyamat vagy alkalmazás végrehajtása, működtetése valamilyen természeti vagy ember által
okozott katasztrófa miatt akadályba ütközik;
27. vírus: olyan programtörzs, amely a  megfertőzött program alkalmazása során másolja, esetleg mutálja is
önmagát, és amely többnyire komoly károkat okoz, adatot töröl, formázza a  merevlemezt, vagy
adatállományokat küld szét e-mailben.
2. Az utasítás célja, hatálya és felülvizsgálata 2. § Az utasítás célja, hogy az  Iroda elektronikus információs rendszerének (a továbbiakban: elektronikus információs
rendszer) működtetése, üzemeltetése, fejlesztése során, valamint az  informatikai szolgáltatási területen biztosított
legyen
a) az adatvédelmi előírások és az információbiztonsági követelmények érvényesülése,
b) a kezelésében lévő adatok megóvása a jogtalan adatfelhasználástól és adatvesztéstől,
c) a folyamatos informatikai üzembiztonság fenntartása,
d) az informatikai vagyon védelme és megőrzése, valamint
e) az informatikai hálózat integritása.
3. § (1) Az utasítás hatálya kiterjed az Iroda tulajdonában, kezelésében lévő valamennyi elektronikus információs rendszerre
és azok elemeire, az  általa használt alkalmazásokra, adatbázisokra, hálózatokra, hálózati elemekre, kiegészítő
informatikai eszközökre, valamint az  általa keletkeztetett, feldolgozott, tárolt, továbbított valamennyi adatra és
információra, függetlenül azok megjelenési formájától. Idegen vagy vegyes tulajdonú, illetve kezelésű eszközök,
rendszerek használata során figyelembe kell venni a külső fél azokra vonatkozó rendelkezéseit és előírásait, illetve
az érvényes megállapodásokat.
(2) Az utasítás hatálya kiterjed az  Iroda közszolgálati vagy egyéb jogviszonyban foglalkoztatott munkatársaira
(a  továbbiakban: munkatárs), az  Iroda valamennyi szervezeti egységére, továbbá – amennyiben ez  külön
megállapodásban rögzítésre kerül – az elektronikus információs rendszernek üzemeltetőjére, fejlesztőjére, valamint
a külső felekre.
4. § (1) Az elektronikus információs rendszer biztonságáért felelős személy ezen utasítást évente legalább egy alkalommal
felülvizsgálja, ennek keretében megfelelőségi vizsgálatot végez, és szükség esetén ezen utasítás módosítását
kezdeményezi az Iroda elnökénél (a továbbiakban: elnök).
(2) A megfelelőségi vizsgálat kiterjed ezen utasítás végrehajtásának, valamint a  felmerülő informatikai,
információbiztonsági és adatvédelmi eseményeknek és az  ezekkel összefüggő biztonsági tevékenységeknek
az ellenőrzésére.
3. Az utasítás végrehajtása 5. § Az egyes elektronikus információs rendszereket úgy kell kialakítani és beállítani, hogy azok megfeleljenek az ezen
utasításban foglalt követelményeknek.
4. A végrehajtás során érvényesülő általános szabályok 6. § (1) Az elektronikus információs rendszer, rendszerelem használója kizárólag munkatárs vagy az  Irodával szerződéses
jogviszonyban álló személy lehet, aki a  munkavégzéshez szükséges mértékű felhasználói szintű informatikai
ismeretekkel rendelkezik, ezen utasítás rendelkezéseit megismerte, és hozzáférési jogosultságot kapott az elektronikus
információs rendszerek használatához (a továbbiakban: felhasználó).
(2) Az elektronikus információs rendszert úgy kell kialakítani, hogy biztosított legyen a megbízható és akadálymentes
működés, az egyes rendszerelemek funkcionalitásuknak megfelelő zavartalan és folyamatos üzemelése.
(3) Az Iroda székházában az Iroda számára létrehozott logikai hálózathoz csatlakozó vagy az Iroda által engedélyezett
hálózatba nem kötött infokommunikációs eszközök rendeltetésszerűen, munkavégzés céljából, az Iroda érdekeinek
szem előtt tartásával, az Iroda által meghatározott módon, a felhasználó felelősségére használhatóak. Az eszközöket
ettől eltérő célra – különösen magáncélra – használni nem lehet.
(4) A felhasználó felelősséggel tartozik a munkavégzés céljából átvett eszközért, köteles megőrizni annak hardver- és
szoftverintegritását. Az  integritás sérelmének minősül a  rendeltetésellenes használat, továbbá a  hardveres vagy
szoftveres módosítás.
(5) Tilos más felhasználó azonosítójával az  elektronikus információs rendszerbe bejelentkezni, illetve más részére
bejelentkezési hozzáférést átadni.
(6) A nem az Iroda tulajdonát képező infokommunikációs eszközt engedély nélkül az Iroda informatikai infrastruktúrájába
csatlakoztatni tilos, kivéve az olyan adathordozó eszközöket, amelyek munkavégzés céljából kerülnek alkalmazásra,
és az elektronikus információs rendszer biztonságáért felelős személy általi előzetes engedélyezésük megtörtént.
5. Titokvédelem és adatvédelem során érvényesülő szabályok 7. § (1) Az elektronikus információs rendszerekről és eszközökről kizárólag az elnök szolgáltathat adatokat.
 (2) Az elektronikus információs rendszerek bevezetésében és felhasználásában közreműködő külső fél munkatársai és
vezetői az  Irodánál rendszeresített titoktartási nyilatkozat tételére kötelesek, vagy az  Iroda és a  külső fél közötti
jogviszony alapjául szolgáló megállapodásban kell rendelkezni a külső fél titoktartási kötelezettségéről. A titoktartási
kötelezettségnek ki kell terjedni az elektronikus információs rendszerekkel kapcsolatos, illetve ezek bevezetése során
tudomásukra jutó valamennyi információra.
(3) Külső fél munkavégzése során a szükséges és elégséges hozzáférés elve alapján
a) kizárólag a feladat ellátásához szükséges hivatali adat, információ megismerésére, továbbá
b) az adat- és rendszerhozzáférésre a  munkavégzéséhez szükséges lehető legrövidebb ideig és szükséges
legkisebb jogosultsági szint alkalmazásával
jogosult. 6. Információbiztonsági általános szabályok
8. § (1) Az elektronikus információs rendszer részét képező adathordozókról – a munkahelyi célú felhasználás kivételével –
tilos az  Iroda által kezelt, bizalmas adatot tartalmazó adatállományok, illetve a munkavégzés során szerzett egyéb
adatok, információk másolása, illetéktelen személyekkel történő megismertetése vagy más, nem az utasítás hatálya
alá tartozó elektronikus információs rendszerekbe történő eljuttatása.
(2) Az infokommunikációs eszközök elhelyezése és tárolása során biztosítani kell az információ illetéktelen hozzáférésének
megakadályozását.
(3) Adatok átadásánál az adatok titkosításával, a titkosítás feloldásához szükséges kulcs független, biztonságos csatornán
történő átadásával kell biztosítani az adatok bizalmasságát, illetéktelen személyek hozzáférésének megakadályozását.
Az adatátadásokat minden esetben átadás-átvételi jegyzőkönyv kitöltésével kell igazolni.
(4) Adatfeldolgozás során a  hardver- vagy szoftverhibából eredő adatvesztés gyanúja esetén – az  adatfeldolgozás
szüneteltetése mellett – haladéktalanul értesíteni kell az  elektronikus információs rendszer biztonságáért felelős
személyt. A  hiba elhárítását követően az  üzemeltető útmutatása szerint kell folytatni az  adatrögzítést, illetve
adatfeldolgozást.
(5) Az alkalmazások használata során az adatok felvitelét, módosítását, törlését kizárólag csak az elektronikus információs
rendszer biztonságáért felelős személy által elfogadott alkalmazással, eljárással – szigorúan követve a  felhasználói
dokumentáció útmutatását – lehet elvégezni.
(6) Az elektronikus információs rendszerekhez és a bennük tárolt adatokhoz való hozzáférési jogosultság dokumentált
engedélyeztetése útján kell gondoskodni arról, hogy jogosulatlan felhasználó azokat ne módosíthassa, és ne
törölhesse. A mentések és archívumok tárolása és őrzése során is biztosítani kell az adatok bizalmasságát, sértetlenségét
és rendelkezésre állását, valamint az adatmegőrzési idő lejártakor az adatok biztonságos megsemmisítését.
7. Kiemelt rendelkezésre állási időszakok kezelése 9. § (1) Az országgyűlési képviselők általános választása, az  Európai Parlament tagjainak választása, az  önkormányzati
képviselők és polgármesterek, illetve a nemzetiségi önkormányzati képviselők általános választása, valamint országos
népszavazás kitűzésétől az  eredmény megállapításának jogerőssé válásáig tartó időszak, továbbá az  elnök által
egyedileg meghatározott időszak kiemelt rendelkezésre állási időszak (a továbbiakban: kiemelt rendelkezésre állási
időszak).
(2) Kiemelt rendelkezésre állási időszakra vonatkozóan az  elnök jogosult elrendelni kiemelt üzemeltetési szolgálatot
(a továbbiakban: szolgálat), amelynek feladata, hogy a kiemelt rendelkezésre állási időszakban a  legrövidebb időn
belül a felmerülő hiba
a) diagnosztizálása,
b) javítása, valamint
c) szükség esetén a tartalékmegoldások azonnali üzembe állítása
megtörténjen.
(3) A szolgálat katasztrófahelyzetben az Iroda üzletmenet-folytonossági terve és katasztrófaelhárítási terve alapján jár el.
 (4) A szolgálatot úgy kell megszervezni, hogy biztonsági incidensek vagy azok gyanúja esetén a szolgálat képes legyen
a legnagyobb kockázatot jelentő biztonsági incidensek azonnali kezelésére is.
10. § (1) A kiemelt rendelkezésre állási időszakra vonatkozóan dokumentálni kell az ezen utasítástól eltérő követelményeket és
rendkívüli intézkedéseket, amelyeket az elnök hagy jóvá.
(2) A kiemelt rendelkezésre állási időszakban az  ezen utasítás hatálya alá tartozó informatikai központokba kizárólag
a szolgálatban részt vevő személyek léphetnek be.
II. Fejezet
Az informatikai biztonság rendje 8. Informatikai biztonsági feladat-, felelősségi és kompetenciakörök
11. § (1) Az informatikai biztonság szempontjából kritikus eljárások irányítási feladatköreit úgy kell kialakítani, hogy azok több
munkakörhöz kapcsolódjanak a lehetséges visszaélések elkerülése érdekében.
(2) Az informatikai biztonsággal kapcsolatos ellenőrzési feladatokat el kell különíteni az infokommunikációs rendszerek
üzemeltetési tevékenységétől.
(3) Az (1) és (2)  bekezdésben foglalt követelmények teljesülését évente az  ellenőrzési terv alapján az  elektronikus
információs rendszer biztonságáért felelős személy ellenőrzi.
12. § (1) Az elektronikus információs rendszer biztonságáért felelős személy
a) minden év január 31. napjáig éves ellenőrzési tervet készít,
b) az elnök által elfogadott éves ellenőrzési terv alapján elvégzi a biztonsági ellenőrzést,
c) az ellenőrzés során tapasztaltak alapján intézkedik, illetve javaslatot tesz a  hibák vagy a  nem megfelelő
működés kijavítására,
d) a végrehajtott ellenőrzésekről minden év december 31. napjáig jelentést készít az elnök részére,
e) ellenőrzi a hozzáférési jogosultságok rendszerét, felhasználóhoz rendelésük megfelelőségét,
f ) részt vesz az elektronikus információ biztonsággal kapcsolatos vezetői döntések előkészítésében,
g) kivizsgálja az informatikai tárgyú biztonsági eseményeket,
h) a biztonsági eseményekről tájékoztatja az elnököt,
i) együttműködik az  információbiztonság megvalósításában részt vevő informatikai, információbiztonsági
munkatársakkal, valamint külső felekkel,
j) szükség esetén kezdeményezi ezen utasítás 1. mellékletének módosítását,
k) elkészíti az Iroda, illetve annak önálló szervezeti egysége részére előírt biztonsági szint eléréséhez szükséges
feladatokat tartalmazó intézkedési tervet,
l) elkészíti az üzletmenet-folytonossági tervet és katasztrófaelhárítási tervet,
m) elkészíti az informatikai biztonsági felhasználói szabályzatot,
n) az információbiztonság érdekében összehangolja az információbiztonságot meghatározó vagy azt befolyásoló,
az Iroda önálló szervezeti egysége vagy külső fél által ellátott tevékenységeket,
o) kivizsgálja az  elektronikus információs rendszerekben kezelt adatok rendelkezésre állását, bizalmasságát,
sértetlenségét érintő rendkívüli biztonsági eseményeket, javaslatot tesz az elnöknek további intézkedésekre,
p) értékeli az elektronikus információs rendszerek eseménynaplóit,
q) ellenőrzi a kártékony kódok elleni védelmi megoldások használatát,
r) ellenőrzi az elektronikus információs rendszerekre vonatkozó dokumentációk meglétét és megfelelőségét,
s) ellenőrzi a vonatkozó információbiztonsági követelményeket az elektronikus információs rendszerek fejlesztési,
üzemeltetési és alkalmazási dokumentációiban,
t) amennyiben a  kibertérből érkező új fenyegetéseket észlel, vagy hatékonyabb biztonsági intézkedések
megtételét tartja szükségesnek, kezdeményezi a védelem erősítését,
u) javaslatot tesz az információbiztonság tudatosítását erősítő képzésre, továbbképzésre,
v) a biztonsági események jelentését követően elvégzi az  esemény kivizsgálásához szükséges információk
összegyűjtését,
w) felméri az  elektronikus információs rendszerekben kezelt adatok rendelkezésre állását, bizalmasságát,
sértetlenségét érintő lehetséges kockázatokat, és az elnök jóváhagyását követően a  felmérésnek megfelelő
biztonsági területeket jelöl ki, valamint
x) ellátja az ezen utasításban vagy az elnök által egyedi utasításban a részére megállapított egyéb feladatokat.
 (2) Az elektronikus információs rendszer biztonságáért felelős személyt feladatai teljesítéséhez szükséges mértékben
az  elektronikus információs rendszerek valamennyi elemének tervezésével, fejlesztésével, beszerzésével és
üzemeltetésével kapcsolatban megilleti a  tanácskozási, véleményezési, javaslattételi, kezdeményezési, ellenőrzési,
betekintési és hozzáférési jogosultság.
13. § Az önálló szervezeti egység vezetője
a) tájékoztatja az elektronikus információs rendszer biztonságáért felelős személyt a vezetése alatt álló szervezeti
egységben előforduló személyi változásokról,
b) gondoskodik arról, hogy az  adott szervezeti egység felhasználói megismerjék, és munkavégzésük során
alkalmazzák ezen utasítást, valamint
c) ellenőrzi, hogy a szervezeti egység felhasználói betartják-e ezen utasítás rendelkezéseit.
14. § (1) Az Iroda elektronikus információs rendszereinek fejlesztésére, üzemeltetésére vagy adatfeldolgozására külső féllel
kötött megállapodásokban rendelkezni kell a külső fél információbiztonsági kötelezettségeiről és az Iroda ellenőrzési
jogosultságairól, így különösen
a) az informatikai biztonság fő szabályairól,
b) a feldolgozandó, kezelendő adatok érzékenységéről, a biztonsági osztályokról, illetve a védelem érdekében
meghatározott és a külső fél által alkalmazandó eljárásokról,
c) az információbiztonsággal, valamint az  adatkezeléssel összefüggő tevékenységek hatékony
nyomonkövethetőségéről,
d) az információk másolásának és nyilvánosságra hozatalának feltételeiről,
e) a szolgáltatás elvárt szintjének és a szolgáltatási időszaknak a meghatározásáról,
f ) a külső fél tevékenységének az üzletmenet-folytonossági és katasztrófaelhárítási tervekre gyakorolt hatásáról,
g) a teljesítések ellenőrizhetőségéről, monitorozásának lehetőségeiről,
h) a garanciaszintekről, azok követelményeiről,
i) a hardver- és szoftvertelepítésből, valamint a karbantartásokból eredő felelősségről,
j) a világos és egyértelmű jelentéskészítési struktúráról,
k) a változáskezelések egyértelmű és meghatározott folyamatáról,
l) a kártékony kódok elleni óvintézkedések meghatározásáról,
m) a biztonsági eseményeket követő jelentéstételi kötelezettségről, illetve a  biztonsági események kezelésére
vonatkozó feladatokról és eljárásokról,
n) az érintett rendszerelemek és folyamatok meghatározásáról,
o) azokról a paraméterekről, amelyeket a külső félnek el kell érnie ahhoz, hogy igazolható legyen a teljesítése,
p) az egyes szolgáltatásokhoz kapcsolódó elvárt szolgáltatási szintekről, valamint a szolgáltatások mérésének és
azokra vonatkozó jelentések módjáról,
q) a megállapodásból eredő jogsértésekhez kapcsolódó szankciókról,
r) a külső fél és a munkatársak közötti feladat és felelősség megosztásáról, valamint az egymás tájékoztatásának
és a teljesített feladat átadás-átvételének folyamatáról, valamint
s) a rendkívüli helyzetek kezelése esetén alkalmazandó feladatmegosztásról, feladat- és felelősségi körökről,
illetve a jelentési kötelezettségről.
 (2) Az (1) bekezdés szerinti megállapodás megkötését megelőzően az elektronikus információs rendszer biztonságáért
felelős személy megvizsgálja, hogy a külső fél által nyújtott szolgáltatásnak milyen információbiztonsági kockázatai
vannak. Az  így megállapított kockázatokkal arányosan kell meghatározni a  megállapodásban a  külső fél által
teljesítendő információbiztonsági kötelezettségeket.
(3) A külső fél munkavégzése során
a) gondoskodik arról, hogy az elektronikus információs rendszerben kezelt adatok bizalmassága, sértetlensége,
rendelkezésre állása és az adatvédelem elvei nem sérülhetnek,
b) gondoskodik arról, hogy a  hozzáférési jogot kapott munkatársai a  jogosultságot nem adhatják át más
személynek,
c) gondoskodik arról, hogy a hozzáférési azonosítókat és az ezekhez kapcsolódó fizikai eszközöket bizalmasan
kezelje, és biztosítsa, hogy azokhoz illetéktelen személyek ne férhessenek hozzá,
d) garantálja az  elektronikus információs rendszerek és infokommunikációs eszközök megfelelő védelmét,
a szükséges és elégséges hozzáférés elvének betartását, fizikai és logikai védelem kialakítását, rendszerszintű
titkosítási eljárások alkalmazását, illetve a biztonsági naplózást, valamint
e) ha távolról éri el az Iroda hálózatát, illetve valamely elektronikus információs rendszerét, akkor a biztonságos
elektronikus adatcsere-kapcsolat érdekében köteles az Iroda által előírt információbiztonsági megoldásokat
megvalósítani mindazon saját eszközein, amelyekről a távoli elérés lehetséges.
(4) Bizalmas adatforgalom az Iroda és a külső fél között csak titkosított kommunikációs csatorna biztosításával történhet.
 (5) Az elektronikus információs rendszerhez kapcsolódó rendszergazdai feladatok ellátásáért az  üzemeltetést végző
külső fél felel.
 (6) A külső fél által az (1) bekezdés szerinti megállapodás alapján nyújtott szolgáltatások megfelelőségét az elektronikus
információs rendszer biztonságáért felelős személy folyamatosan ellenőrzi. 15. § A munkatárs köteles
a) az elektronikus információs rendszer biztonságáért felelős személyt minden olyan tényről, eseményről
haladéktalanul értesíteni, amely ezen utasítás rendelkezéseinek végrehajtását akadályozza, illetve ellentétes
az utasítás rendelkezéseivel,
b) haladéktalanul jelenteni az  észlelt biztonsági fenyegetettségeket és eseményeket az  elektronikus
információbiztonságért felelős személynek,
c) a munkavégzése során a  rá bízott adatokat, információkat, infokommunikációs eszközöket, elektronikus
információs rendszereket felelősséggel, az előírások szerint kezelni, illetve használni,
d) részt venni az informatikai és információbiztonsági képzéseken, továbbképzéseken,
e) az elektronikus információs rendszerben történő munkavégzése során tiszteletben tartani a  felhasználói
csoportjára vonatkozó szabályokat,
f ) az elektronikus információs rendszerekhez használt hozzáféréseit biztonságos módon, bizalmasan kezelni,
g) informatikai segítséget kérni, ha olyan jellegű feladatot kell ellátnia, amelyhez nincs meg a  megfelelő
informatikai ismerete, valamint
h) gondoskodni a  nyomatképző berendezések használata során a  felesleges vagy rontott iratpéldányok
jogszabályban előírt módon történő megsemmisítéséről. 9. Információs vagyon osztályozása
16. § (1) Az Irodában információs vagyonleltárt kell létrehozni, amely tartalmazza az elektronikus információs rendszerekben
kezelt adatok típusát adatkörönként, az adatok kezeléséért felelős szervezeti egység vezetőjét, valamint az adatok
tárolási helyét és módját.
(2) Az (1) bekezdés szerinti vagyonleltár naprakész vezetését az elektronikus információs rendszer biztonságáért felelős
személy látja el.
10. Biztonsági osztályba sorolás, kockázatmenedzsment 17. § Az elektronikus információs rendszerek biztonsági osztályba sorolását, valamint az Iroda, illetve szervezeti egységei
tekintetében a biztonsági szint meghatározását ezen utasítás 1. melléklete tartalmazza.
18. § (1) Az elektronikus információs rendszer biztonságáért felelős személy minden év június 30. napjáig a rendelkezésre álló
információk alapján biztonsági kockázatelemzést köteles készíteni. A  kockázatelemzés során a  kockázatok
megállapítása érdekében az  elektronikus információs rendszer biztonságáért felelős személy tájékoztatást kérhet
a szervezeti egységek vezetőitől, illetve a külső felektől.
(2) A kockázatelemzés során az  egyes veszélyforrások által okozható kockázatokat kell megállapítani, illetve feltárni.
A  kockázatokat a  veszély megvalósulásának valószínűsége és az  okozható kár alapján vagy a  sérülékenység
kihasználhatósága, az elektronikus információs rendszer kitettsége és ennek hatása alapján kell meghatározni.
(3) Az elektronikus információs rendszer biztonságáért felelős személy a  kockázatelemzés során a  kockázatokat
kategóriákba sorolja, és kockázatcsökkentési vagy -megszüntetési intézkedésekről, valamint az elfogadásra javasolt
kockázatokról jelentést készít az elnök részére.
(4) A kockázatelemzésről szóló jelentés alapján az  elnök a  kockázatokat értékeli, és gondoskodik a  kockázatok
csökkentéséhez, illetve megszüntetéséhez szükséges intézkedések meghozataláról, vagy az  elfogadásra javasolt
kockázat elfogadásáról dönt.
III. Fejezet
A humán erőforrásokra vonatkozó biztonsági előírások
11. A munkavégzés szabályai az NVI információs rendszerében
19. § (1) A munkatárs munkavégzése során köteles
a) az elektronikus információs rendszereket kizárólag hivatalos célokra használni,
b) a használatra kapott infokommunikációs eszköz rendszerszintű beállításainak módosítását mellőzni,
c) a használt infokommunikációs eszköz kezelésével kapcsolatos kezelési és biztonsági ismereteket elsajátítani
és készség szintjére fejleszteni,
d) az elektronikus információs rendszerekbe csak szabályszerűen, kizárólag a  személyéhez rendelt azonosító
eszközzel bejelentkezni,
e) a képernyőket, nyomtatókat úgy elhelyezni, hogy azok minél kevesebb lehetőséget biztosítsanak illetéktelen
személyek betekintésére,
f ) a rendszeresített biztonsági funkciókat megtartani,
g) tartózkodni minden olyan tevékenységtől, amely az elektronikus információs rendszerben kárt okozhat,
h) az esetleges meghibásodás esetén törekedni a további károsodás megelőzésére, valamint
i) hiba esetén értesíteni az  elektronikus információs rendszer biztonságáért felelős személy mellett az  önálló
szervezeti egysége vezetőjét.
 (2) Az elnök fegyelmi eljárást kezdeményezhet, ha a munkatárs a szervezet információs vagyonát veszélyezteti továbbá,
ha a munkatárs a veszélyt jelentő tevékenységre történő figyelmeztetést követően is szándékosan és rendszeresen
a) megszegi az internet és az elektronikus levelezés használati szabályait, vagy
b) ezen utasításban foglalt tiltott tevékenységet végez, vagy veszélyezteti a  szervezet adatait, rendszereit,
jogszabályoknak való megfelelését vagy jó hírnevét. 12. Felhasználók oktatása
20. § (1) Új felhasználó esetén az elektronikus információs rendszer biztonságáért felelős személy tájékoztatja a felhasználót
az elektronikus információs rendszer használatához kapcsolódó informatikai és információbiztonsági szabályokról,
a  szabályzatok elérhetőségéről, továbbá felhívja a  munkatárs figyelmét azok megismerésére és betartására.
A  szükséges informatikai és információbiztonsági szabályzatok megismerésének tényét a  munkatárs aláírásával
igazolja.
(2) Ezen utasításban foglaltak megismertetésére és a  feladatellátást érintő informatikai és információbiztonsági
szabályokról az elnök évente informatikai és információbiztonsági oktatást szervez.
(3) Az oktatáson, illetve továbbképzésen való részvétel a  felhasználók számára kötelező. A  megjelenést a  résztvevők
aláírásukkal igazolják.
IV. Fejezet 13. Biztonsági és üzemzavarok kezelése 21. § (1) Az elektronikus információs rendszer biztonságáért felelős személy minden működési zavarról, amely az elektronikus
információs rendszer folyamatos üzemét megzavarja, vagy a normális üzletmenetet hátráltatja, haladéktalanul jelent
a rendszer üzemeltetőjének. A jelentést követően az üzemeltetőnek az Iroda és a közötte létrejött megállapodásban
meghatározottak szerint meg kell szüntetnie az üzemzavart.
(2) Az elektronikus információs rendszer biztonságáért felelős személy rendszer-, illetve alkalmazáshiba esetén
a) figyelemmel kíséri a működési zavar tüneteit, a képernyőn megjelenő üzeneteket,
b) amennyiben a rendszerhibát vélhetően külső, illetéktelen beavatkozás vagy vírustámadás okozta, az érintett
elektronikus információs rendszert, illetve rendszerelemet leválasztatja a  hálózat(ok)ról, szükség esetén
kikapcsoltatja,
c) az Iroda hozzáférési és egyéb adatvédelmi rendszereinek működési zavarát, a  megtett intézkedéseket
haladéktalanul írásban jelenti az elnöknek, valamint
d) gondoskodik arról, hogy a meghibásodott elektronikus információs rendszerelemekben használt adathordozók
kizárólag a biztonsági ellenőrzést követően legyenek használhatóak más rendszerelemekben.
14. A biztonsági események kezelési eljárása 22. § (1) A biztonsági eseményre adandó gyors és hatékony megoldások érdekében az  elektronikus információs rendszer
biztonságáért felelős személynek üzletmenet-folytonossági tervben kell meghatároznia a  váratlan eseményekkel
kapcsolatos felelősségeket és eljárásokat.
(2) Az üzletmenet-folytonossági tervnek ki kell terjednie
a) az elektronikus információs rendszerhiba és a szolgáltatásmegszakadás,
b) a szolgáltatásmegtagadás,
c) a sértetlenség elvesztése, valamint
d) a bizalmasság elvesztése
biztonsági eseményekre.
(3) Az üzletmenet-folytonossági tervben rendelkezni kell arról, hogy a biztonsági események kezelése során
a) azonosítani és elemezni kell az biztonsági események okait,
b) ki kell dolgozni a biztonsági események ismétlődésének megakadályozására vonatkozó terveket,
c) naplózni kell a biztonsági eseményeket,
d) gondoskodni kell a visszaállítás megoldásáról, valamint
e) jelentést kell készíteni az elnök részére.
(4) Az üzletmenet-folytonossági tervben rendelkezni kell a  biztonsági események kezelését követő elnöki jelentés
tartalmi elemeiről.
(5) Az üzletmenet-folytonossági tervben a biztonsági események és rendszerhibák javítási eljárását úgy kell meghatározni,
hogy
a) csak az  engedéllyel és a  kellő szaktudással rendelkező személyek férhessenek hozzá az  informatikai
rendszerekhez és azok adataihoz, b) a kijavításra kijelölt személy ismerje a  biztonsági esemény során az  üzemeltető által alkalmazandó vagy
alkalmazott eljárást,
c) a biztonsági esemény során alkalmazandó vagy alkalmazott eljárás jegyzőkönyvben rögzítésre kerüljön,
d) a biztonsági eseményeket követően az adatok sértetlensége haladéktalanul ellenőrzésre kerüljön.
(6) Az üzletmenet-folytonossági tervben részletezettek szerint a biztonsági eseményeket
a) típus,
b) terjedelem,
c) az általuk okozott károk, helyreállítási költségek, valamint
d) a hitelesítési és monitorozási rendszer kimenetei
alapján kell értékelni.
(7) Az érintett elektronikus információs rendszer, illetve rendszerelem üzemeltetője – az  Iroda és a  közötte létrejött
megállapodásban meghatározottak szerint – a  biztonsági esemény elhárítása érdekében intézkedik a  hiba
megszüntetéséről, és a  további teendőkről az  elektronikus információs rendszer biztonságáért felelős személyt
folyamatosan tájékoztatja. Szükség esetén – ideiglenes jelleggel – helyettesítő megoldással is biztosíthatja
az üzemeltető a felhasználói munkavégzést.
15. Biztonsági események jelentése és nyilvántartása 23. § (1) Az elektronikus információs rendszer bármely felhasználói pontján jelentkező, adott rendszerelemmel kapcsolatban
felmerülő rendellenes működés, jelenség, vírusjelzés vagy futási hiba esetén a  felhasználó köteles a  tapasztalt
jelenséget, a  jelenséget kísérő hibaüzenetet regisztrálni és haladéktalanul bejelenteni az  elektronikus információs
rendszer biztonságáért felelős személy részére.
(2) Az üzemeltető – az  Iroda és a  közötte létrejött megállapodásban rögzített rendben – köteles azonnal jelenteni
az  elektronikus információs rendszer biztonságáért felelős személynek, amennyiben munkája során biztonsági
veszélyeket vagy az infokommunikációs rendszerben veszélyforrást fedezett fel.
(3) A bejelentett biztonsági eseményekről az elektronikus információs rendszer biztonságáért felelős személy elektronikus
nyilvántartást vezet.
V. Fejezet
Az IT-infrastruktúra fizikai környezetének biztonsága 16. Elektronikus információs rendszert, rendszerelemet tartalmazó helyiségekbe való belépés rendje
24. § (1) Az elektronikus információs rendszer biztonsága szempontjából azokat a  helyiségeket és épületeket védeni kell,
amelyekben elektronikus információs rendszer, rendszerelem működik. Az  Iroda használatában lévő épület azon
helyiségében, ahol elektronikus információs rendszer, illetve rendszerelem van, csak azok a személyek tartozódhatnak,
akik oda munkavégzésük folytán erre jogosultak. A  jogosultsággal nem rendelkező munkatársak vagy egyéb
személyek csak kísérettel és állandó felügyelet mellett tartózkodhatnak a helyiségben.
(2) A biztonsági területekre és az egyes biztonsági zónákba való belépést vagy beléptetést ellenőrizni és naplózni kell.
A beléptetés előtt ellenőrizni kell a belépő által megjelölt belépési célt.
(3) Az olyan helyiségeket, ahol elektronikus információs rendszerben, infokommunikációs eszközzel történik
a munkavégzés, biztonsági zárral kell ellátni, és a helyiséget a felhasználó távolléte esetén zárva kell tartani.
17. Áramellátás szolgáltatási rendje 25. § (1) Az elektromos hálózatot a  szünetmenetességre, az  áthidalási és újratöltési időre vonatkozó követelményeknek
megfelelően kell kialakítani, és külön leágazás megépítésével kell a  betáplálásról gondoskodni. Ha egy nem
informatikai központnak kijelölt hivatali helyiségben szerver üzemel, gondoskodni kell helyi szünetmentes
tápáramellátásról.
(2) Az elektronikus információs rendszer, illetve rendszerelem energiaellátási védelmének kialakítása során
a) az elektronikus információs rendszer, illetve rendszerelem üzemeltetőjének biztosítania kell az  informatikai
berendezés gyártója által meghatározott energiaellátási követelményeket,
b) megszakítás nélküli áramforrást kell használni, valamint
c) többféle alternatív áramszolgáltatási lehetőséget kell igénybe venni.
(3) Az energiaellátó hálózat kábelezésénél védett kábeleket kell használni, és az  adatátviteli kábelt el kell különíteni
az energiaellátás kábeleitől.
(4) A kábeleket a kábelrendező és a csatlakozóaljzatok között rögzített csatornában kell vezetni, a  lengőkábelek nem
keresztezhetnek közlekedési utat. A hálózat valamennyi elemét olyan környezetben kell elhelyezni, ahol a jogosulatlan
fizikai hozzáférés megakadályozott.
(5) Az elektronikus védelmi rendszert az  épület teljes területén ki kell építeni. A  riasztásoknak az  épület biztonsági
szolgálatánál vagy a legközelebbi illetékes rendvédelmi szervnél is meg kell jelenniük. Az elektronikus védelemnek
szabotázsvédettnek kell lennie.
(6) Az elektronikus információs rendszerek, rendszerelemek a  vonatkozó szabványnak megfelelően kizárólag
védőföldeléssel ellátott 230 V feszültségű elektromos hálózati dugaszolóaljzatba csatlakoztathatók.
(7) Az Iroda székházának területén az elektronikus információs rendszert, áramellátó hálózatot, telefonhálózatot érintő
bármilyen beavatkozást, építést, karbantartást, átalakítást csak az  Üzemeltetés tájékoztatása után, annak
jóváhagyásával és felügyeletével lehet végezni.
(8) E §-ban foglalt követelmények megtartását az információs rendszer biztonságáért felelős személy ellenőrzi.
18. Tárolóhelyiségekre vonatkozó védelmi előírások 26. § (1) Nyílt tárolás esetén az  elektronikus és papíralapú dokumentumok biztonságáról az  Iroda Iratkezelési Szabályzata
szerint kell gondoskodni.
(2) Az informatikai eszközök munkaidőn túl zárható helyiségben, zártan tárolhatók.
 (3) Speciális biztonsági eszközök alkalmazására az információs rendszer biztonságáért felelős személy engedélyével van
lehetőség. 19. Fizikai biztonsági elkülönítés 27. § (1) Az IT-infrastruktúra elemeinek a kockázatokkal és az értékükkel arányos fizikai védelmet kell biztosítani.
 (2) Az elektronikus információs rendszer kritikussága és a  benne kezelt adatok besorolásának kockázata alapján
a  helyiségeket fizikai biztonsági zónák szerint kell besorolni. A  besorolást az  információs rendszer biztonságáért
felelős személy végzi el.
(3) A biztonsági követelményeknek megfelelően úgy kell a  helyiségeket kialakítani, hogy az  elektronikus információs
rendszerek megfelelő fizikai és környezeti védelmét garantálni tudják. A  kialakított biztonsági zónákban történő
munkavégzésre – a zónát veszélyeztető fenyegetettségek függvényében – más-más informatikai és fizikai biztonsági
követelmények vonatkozhatnak.
(4) A fizikai biztonsági zónákat elektronikus információs rendszerenként, valamint biztonsági osztályonként egyaránt
rögzíteni kell.
(5) A védett helyiségekbe és biztonsági területekre, valamint zónákba való belépési jogosultságokat úgy kell
meghatározni, hogy az  egyes személyeket, a  személyek csoportjait az  elektronikus információs rendszerben vagy
környezetében betöltött szerepük alapján kell hozzárendelni a helyiségekhez vagy helyiségcsoportokhoz.
(6) Az elektronikus információs rendszerek környezetét megfelelő fizikai, mechanikai, elektronikai és személyi
védelemmel kell biztosítani. Az  alkalmazott védelmi formák körét, azok kialakítását az  információs rendszer
biztonságáért felelős személy az  Üzemeltetéssel egyeztetve határozza meg, az  Iroda székhelyéül szolgáló épület
védelmi igényének és speciális feltételeinek figyelembevételével.
(7) A kiemelten védendő zónákba való belépési jogosultságot személyre szólóan, a személy feladatellátási kötelezettsége
alapján kell meghatározni. Állandó vagy egyedi belépési jogosultságot az  informatikai központba az  elnök
engedélyezhet.
20. Infokommunikációs eszközök, rendszerelemek fizikai védelmének szabályozása 28. § (1) Az elektronikus információs rendszerek, rendszerelemek nyilvántartásáért a  Gazdálkodási Főosztály felel.
A rendszerelemeket az eszköznyilvántartásban tartják nyilván, és a változásokat azonnal, de legkésőbb öt munkanapon
belül aktualizálják.
(2) Az elektronikus információs rendszerek, rendszerelemek üzembe helyezésére, valamint selejtezésére csak az elnök
által kijelölt személy vagy megállapodás alapján külső fél jogosult.
(3) Az elektronikus információs rendszerekbe, rendszerelemekbe beépített és külső adathordozókat javítás,
újrahasznosítás, selejtezés esetén a biztonságos adattörlést megvalósító célhardverrel vagy szoftverrel, vagy ha ez az
adathordozó működésképtelensége miatt nem megvalósítható, akkor fizikai roncsolással szükséges adatmentesíteni.
(4) A környezeti veszélyek és kockázatok mérséklése érdekében
a) a rendszerelemeket úgy kell elhelyezni, hogy azokhoz az illetéktelen személy hozzá ne férhessen,
b) a különleges védelmet igénylő, fokozott és kiemelt biztonsági osztályba tartozó rendszerelemeket elkülönítve
kell elhelyezni és használni, és
c) a környezeti hatások és a  lehetséges veszélyforrások folyamatos vizsgálatával és elemzésével törekedni kell
a szükséges működési feltételek biztosítására.
 (5) Az elektronikus információs rendszerelemek, infokommunikációs eszközök rendeltetésszerű használatáért az eszköz
használója felel vagy az a személy, aki vezetői utasításra vagy a vezető engedélyével azt használta. Közös használatú
eszköz esetén a  rendeltetésszerű használatért az  a  személy felel, akit a  vezető kijelöl az  eszköz, rendszerelem
felügyeletére.
(6) A munkavégzése során infokommunikációs eszközt használó köteles az  általa működtetett eszközt és az  ahhoz
csatlakoztatott egyéb eszközöket
a) a rendeltetésnek megfelelően, munkavégzés céljából, szakszerűen, az  Iroda érdekeit szem előtt tartva ezen
utasításban meghatározott módon használni és
b) a munka befejeztével valamennyi eszközt kikapcsolni, kivéve ha ezzel ellentétes állandó vagy egyedi írásos
utasítást nem kap.
 (7) Az infokommunikációs eszközök használata során tilos
a) az eszközt illetéktelen személynek átengedni,
b) az eszköz közelében folyadékot, éghető anyagot, illetve felette, alatta vagy rajta az  eszköz rendeltetésétől
eltérő anyagot, tárgyat elhelyezni és tárolni és
c) az eszközt – hordozható infokommunikációs eszközök kivételével – a telepítési helyéről elmozdítani és elvinni
az üzemeltető engedélye és közreműködése nélkül.
 (8) Az infokommunikációs eszközöknek a munkafeladattól eltérő célra történő használatához az önálló szervezeti egység
vezetőjének engedélye és az elnök hozzájárulása szükséges.
 (9) Az infokommunikációs eszközökhöz bármilyen külső eszközt, illetve kábelt csatlakoztatni csak az  üzemeltető
engedélyével vagy közreműködésével lehet. Az üzemeltető által már csatlakoztatott és beüzemelt eszköz további
használata visszavonásig engedélyezett.
(10) Címkét, jelölést vagy feliratot az  elektronikus információs rendszerelemekre, infokommunikációs eszközökre csak
az  Üzemeltetés helyezhet, illetve távolíthat el onnan. Az  eszközök burkolatát megbontatni tilos. Alkatrészt csak
az üzemeltető helyezhet be az eszközbe, illetve szerelhet ki az eszközből.
(11) Azokban a  helyiségekben, ahol ügyfélfogadás történik, az  elektronikus információs rendszerelemek,
infokommunikációs eszközök adatait tartalmazó felületeit úgy kell elhelyezni, hogy azokra az ügyfél ne láthasson rá.
21. Elektronikus információs rendszerek, rendszerelemek karbantartása 29. § (1) Az üzemeltető szükség szerint, illetve tervezett és a felhasználókkal egyeztetett módon karbantartást végez.
 (2) Az üzemeltető a specifikációban javasolt időközönként köteles elvégezni a rendszerelemek karbantartását.
 (3) A rendszerelemek kezelését, illetve javítását csak megfelelő szakképzettséggel rendelkező személyek végezhetik.
 (4) A rendszerelemek, infokommunikációs eszközök külső helyszínen történő javítása, karbantartása esetén gondoskodni
kell a  rendszerelem adathordozóin tárolt adatok végleges (visszaállíthatatlan) törléséről vagy az  adathordozó
eltávolításáról.
22. Eszközkivonási biztonsági intézkedések, újrahasznosítás 30. § (1) Megsemmisítésre kijelölt elektronikus információs rendszerelemeket, infokommunikációs eszközöket
megsemmisítésig a használatban lévő eszközöktől elkülönítetten kell tárolni és kezelni, figyelembe véve
a) a veszélyes anyagok tárolására és a megsemmisítésre vonatkozó szabályokat,
b) a leltározásra és selejtezésre vonatkozó szabályokat, illetve
c) az adatvédelem biztonsági követelményeit.
(2) Az elektronikus információs rendszerelemek, infokommunikációs eszközök végleges használaton kívül helyezése
előtt gondoskodni kell az adathordozóikon tárolt összes adat visszaállíthatatlan eltávolításáról és felülírásáról vagy
a  beépített adathordozó eltávolításáról és megfelelő tárolásáról, a  beépített vezérlőszoftverek konfigurációjának
törléséről, illetve alapértelmezett gyári értékek visszaállításáról.
(3) Külső félnek javításra, megsemmisítésre elszállítandó infokommunikációs eszközből el kell távolítani a  beépített
adathordozót, és anélkül kell átadni a külső fél képviselőjének. Ha az eltávolítás nem megoldható, akkor biztonságos
adattörlési eljárást kell alkalmazni, vagy a  külső fél arra felhatalmazott képviselője az  adatvédelmi és titoktartási
szabályok betartására vonatkozóan nyilatkozatot köteles tenni.
23. Informatikai központra vonatkozó általános biztonsági előírások 31. § (1) Az információs rendszer biztonságáért felelős személy az  Üzemeltetéssel együttműködve gondoskodik az  Iroda
felügyelete alatt álló helyiségek esetén
a) az informatikai központ és a  benne elhelyezett elektronikus információs rendszerelemek fizikai védelmét
biztosító eszközök és berendezések meglétéről, azok működőképességének rendszeres ellenőrzéséről,
tervezett karbantartásukról,
b) a szerverek működéséhez szükséges megfelelő fizikai környezet kialakíttatásáról,
c) a megfelelő elektromos hálózat, villám- és túlfeszültség-, valamint érintésvédelmi berendezések meglétéről és
működésének biztosításáról,
d) a behatolás elleni védelem és riasztórendszer kialakításáról,
e) a megfelelő tűzvédelmi rendszerről.
(2) A informatikai központban, közvetlenül mellette és felette vizesblokk kialakítása tilos. Az  informatikai központot
védeni kell szennyvíz, illetve esővíz bejutása ellen.
(3) Az informatikai központokban végzett építési és karbantartási munkákat az érintettek előzetes értesítése, az időpontok
egyeztetése után az üzemeltető által kijelölt munkatárs felügyeli.
(4) Az üzemeltetés és hibaelhárítás során jelentkező alkatrészbeszerzések, javítások és a rendszer fejlesztésére irányuló
beszerzések biztonsági szempontú szakmai előkészítése az  információs rendszer biztonságáért felelős személy
feladata.
(5) A teljes körű védelemről már a helyiségek kialakítása során gondoskodni kell. Az informatikai központok üzemeltetése
során biztosítani kell a mechanikai és a technikai védelmet, így
a) a nyílászárókon keresztül történő bejutás megakadályozására szolgáló elektromos vagy fizikai védelmi
eszközöket kell alkalmazni beltéri vagy földszinti, illetve könnyen elérhető kültéri nyílászárók esetében
egyaránt,
b) gondoskodni kell arról, hogy az  informatikai központba kívülről nyitott nyílászárón vagy szellőzőn keresztül
idegen anyagot bedobni ne lehessen,
c) az informatikai központra kívülről ne lehessen rálátni,
d) az ajtónak kulccsal, mágneskártyával vagy kóddal zárhatónak kell lennie,
e) a d) pont szerinti kulcs, mágneskártya vagy kód másodpéldányát a portán kell elhelyezni lezárt, hitelesítéssel
ellátott borítékban vagy lepecsételhető kulcsdobozban,
f ) a d) pont szerinti kulcshoz, mágneskártyához vagy kódhoz való hozzájutás csak naplózottan történhet,
g) a d) pont szerinti kulcshoz, mágneskártyához vagy kódhoz történő hozzáférést az elnök engedélyezheti,
h) az e)  pont szerinti kulcsdoboz vagy boríték rendkívüli felnyitásáról a  felhasználónak telefonon és írásos
feljegyzésben értesítenie kell az Üzemeltetés vezetőjét és az elektronikus információs rendszer biztonságáért
felelős személyt,
i) a hitelesítéssel ellátott boríték felnyitását, a kód használatát követően a kódot meg kell változtatni.
24. Kontrollok 32. § (1) Infokommunikációs eszközökkel kapcsolatos csatlakoztatással, lecsatlakoztatással járó eszközmozgatást, továbbá
csatlakoztatást, lecsatlakoztatást, szerelést, eszközátadást, üzembe helyezést és selejtezést csak az üzemeltető által
kijelölt informatikus végezhet.
(2) Az infokommunikációs eszközökkel kapcsolatos minden (1)  bekezdés szerinti csatlakoztatással, lecsatlakoztatással
járó mozgatásról jegyzőkönyvet kell készíteni.
33. § Az infokommunikációs eszközök biztonsági beállításait, illetve háttértárolóinak tartalmát az elektronikus információs
rendszer biztonságáért felelős személy évente az ellenőrzési terv alapján ellenőrzi. A felhasználó köteles az eszköz
átadásával az ellenőrzés elvégzését segíteni. Az ellenőrzés során fokozott figyelmet kell fordítani arra, hogy
a) az adott eszközön a  biztonsági beállítások, vírusvédelmi és egyéb biztonsági rendszerek beállításai
megfelelnek-e az előírtaknak,
b) az állományok lokális tárolására vonatkozó szabályokat a felhasználók betartják-e,
c) az eszközön fellelhető naplóállományokban nincs-e nyoma rendellenes műveleteknek, jogosulatlan
használatnak. VI. Fejezet
Az üzemeltetés és kommunikáció biztonsága
25. Az üzemeltetés menedzselése 34. § (1) Az elektronikus információs rendszer megbízható és biztonságos működésének biztosítása érdekében meg kell
határozni az összes rendszerelem kezelésére és működtetésére vonatkozó feladatokat és eljárásokat (a továbbiakban:
üzemeltetési eljárások), amelyekbe beletartozik az összes szükséges működtetési és hibaelhárítási eljárás elkészítése.
(2) Az üzemeltetési eljárásokat az  üzemeltetőnek kell részletesen dokumentálnia. A  dokumentumokat az  Iratkezelési
Szabályzatnak megfelelően kell tárolni.
(3) Az üzemeltetési eljárások dokumentációinak a  munkafolyamat minden részelemének vonatkozásában részletes
utasításokat kell tartalmaznia
a) az adatkezelésre,
b) a tervezett követelményekre, más elektronikus információs rendszer adatai bizalmassága sérülésének
elkerülésére,
c) a munkaidőn kívüli elektronikus információs rendszert vagy rendszerelemet érintő munkavégzésre,
d) a hibaesetek és a rendellenes működés kezelésére,
e) a munkavégzés közben fellépő kivételes állapotok kezelésére, illetve
f ) a rendszer újraindítására és visszaállítására
vonatkozóan.
(4) Az üzemeltetési eljárások dokumentációját az üzemeltetés helyén hozzáférhetővé kell tenni a felhasználók részére.
 (5) Az üzemeltetési eljárások változása esetén az üzemeltetőnek ellenőrizni és dokumentálni kell
a) a jelentős változások azonosítását,
b) a felelős résztvevők megjelölését,
c) a változások lehetséges hatásainak felmérését,
d) a tervezett változtatások jóváhagyási eljárásainak ellenőrzését,
e) az összes érintett értesítését a változások részleteiről,
f ) a változtatás megszakításáért és az eredeti állapotba való visszaállításért felelős személy kijelölését.
26. A hálózat és az elektronikus információs rendszer üzemeltetésbiztonsága
35. § (1) Az elektronikus információs rendszer napi üzemeltetésének feltételeit az üzemeltetővel kötött megállapodásban kell
részletesen rögzíteni.
(2) Az üzemeltetésért felelős informatikai munkatársaknak rendszeresen el kell végezniük azokat az  – üzemeltetési
dokumentációban részletesen felsorolt – tevékenységeket, amelyek alapján meggyőződhetnek arról, hogy a rendszer
üzemszerűen működik.
36. § (1) Az elektronikus információs rendszer valamennyi hardver-, illetve szoftverelemét tartalmazó nyilvántartást
a Gazdálkodási Főosztály vezeti. A nyilvántartásnak tartalmaznia kell a rendszer hardverelemeinek pontos és naprakész
konfigurációját, a működtető szoftverelemek egyedi beállításait és elhelyezkedését, az értük felelős személy nevét.
(2) Az üzembiztonság érdekében a szerverek operációs rendszereit, azok konfigurációját tartalék adathordozón is tárolni
kell, amely szükség esetén azonnal betölthető.
27. Az üzemeltetési folyamat változásainak bejelentése 37. § (1) Szoftvert az  infokommunikációs eszközre csak az  üzemeltető által kijelölt informatikus (a továbbiakban: kijelölt
informatikus) tölthet le, másolhat és telepíthet, valamint azt az eszközről csak kijelölt informatikus távolíthatja el. Tilos
hordozható, telepítés nélkül futtatható alkalmazások használata.
(2) A felhasználó az  infokommunikációs eszköz használata során az  eszközre telepített alkalmazásokat használhatja.
Új alkalmazás telepítését vagy a meglévő alkalmazás jogosultságváltozását az adott önálló szervezeti egység vezetője
engedélyével, ezen utasítás 2. melléklete szerinti adatlapon kell igényelni. Az elnök jogosult az igény felülvizsgálatára,
és ha szükséges, biztonsági vagy gazdasági okból annak elutasítására.
(3) A felhasználó az  infokommunikációs eszközre telepített alkalmazásokat a  felhasználói leírás szerinti módon,
szakszerűen köteles használni.
(4) A külső felek által üzemeltetett alkalmazásokhoz kapcsolódó jogosultságokra vonatkozó igényléseket,
változásjelentőket és levelezéseket az önálló szervezeti egységek vezetői kötelesek másodpéldányban megküldeni
a kijelölt informatikusnak.
(5) A külső fél által biztosított informatikai szolgáltatások használata során az általa kiadott előírások szerint kell eljárni.
 (6) A szoftvereket és adatokat arra nem jogosult harmadik fél számára másolni és továbbadni tilos.
 (7) A szoftverek adathordozóit, üzemeltetési és felhasználói dokumentációját, licencdokumentációját a  kijelölt
informatikus tárolja és tartja nyilván. 28. Hibakezelés, hibaelhárítási rendszer
38. § A bejelentéseket az  üzemeltető által biztosított helpdesk szolgáltatáson keresztül az  üzemeltető elektronikus
levelezőcímére küldött üzenetben, valamint személyesen vagy telefonos megkereséssel lehet megtenni az üzemeltető
és az Iroda közötti megállapodásban rögzítettek szerint.
29. Külső erőforrások kezelése 39. § A fejlesztési folyamatok teljes szakasza alatt az  Iroda kijelölt kapcsolattartója felügyeli és ellenőrzi a  külső fél
tevékenységét. Minden kritikus lépésről tájékoztatja az elnököt. Az elektronikus információs rendszer biztonságáért
felelős személy eseti jelleggel ellenőrzi a fejlesztési folyamatok alatt, hogy azok megfelelnek-e az ezen utasításban
foglalt rendelkezéseknek.
30. Rosszindulatú programok elleni védelem 40. § (1) Az  elektronikus információs rendszert automatikus vírusvédelmi rendszerrel kell ellátni, amely üzemeltetését és
felügyeletét külső fél látja el.
(2) A rosszindulatú programok károkozását az alábbi intézkedésekkel kell elkerülni:
a) olyan eszközök alkalmazása, amelyek megkövetelik a jogtiszta programok használatát, és tiltják az engedély
nélküli termékek alkalmazását, b) külső hálózatokból vagy azokon keresztül, illetve egyéb adathordozókról telepített adatállományok és
programok felhasználásával járó kockázat elhárításához szükséges intézkedések bevezetése,
c) rosszindulatú programokat felismerő és megsemmisítő alkalmazások telepítése és rendszeres aktualizálása,
d) a kritikus folyamatokat támogató rendszerek adattartalmának és programjainak rendszeres vizsgálata,
e) a bizonytalan eredetű adatállományok ellenőrzése, rosszindulatú programok kiszűrése,
f ) elektronikus levéltartalmak, csatolt dokumentumok és letöltött állományok használat előtti ellenőrzése,
g) a rosszindulatú programokkal szembeni védelemre vonatkozó feladatok és eljárások meghatározása,
alkalmazásuk oktatása, a vírustámadások naplózása és az eredeti állapot helyreállítása,
h) a szükséges adatállományok és programok biztonsági másolati példányainak és a  helyreállítási eljárásainak
elkészítése,
i) a hamis vagy hamisított programra vonatkozó összes információ ellenőrzése, a  figyelmeztető tájékoztató
kiadványok folyamatos frissítése, meglétének ellenőrzése.
 (3) Az  elektronikus információs rendszerben és infokommunikációs eszközön csak olyan szoftver telepíthető és
használható, amely az Iroda és az üzemeltető által jóváhagyott, telepítésre kiadott és engedélyezett nyílt forráskódú
szoftver vagy a  szerzői jog szerint biztosított licencigazolással, illetve más jogi igazolással rendelkező, illetve
tulajdonosi vagy használói szerződéssel biztosított hivatalos forrásból származó jogtiszta szoftver.
(4) Az  elektronikus információs rendszer biztonságáért felelős személy javaslatot tesz a  rosszindulatú programok
kiszűrésére és megelőzésére alkalmas különleges ellenőrző eszközök alkalmazására, beszerzésére.
(5) A  felhasználóknak a  kötelező oktatás során meg kell ismerniük a  rosszindulatú és engedély nélküli programok
alkalmazásával járó veszélyeket. A felhasználói oktatásnak ki kell térni a vírusvédelmi rendszer működésére.
(6) A felhasználónak tilos a kliensvédelmi programot inaktívvá tenni, a beállításokat megváltoztatni, a védelmi programot
eltávolítani, kártékony kódot tartalmazó fájlt vagy elektronikus adathordozót bármilyen formában továbbítani,
továbbadni, illetve fertőzött állománnyal munkát végezni.
(7) E §-ban foglalt követelmények megtartását az információs rendszer biztonságáért felelős személy ellenőrzi.
31. A felhasználói azonosítók és jelszókezelés általános szabályai
41. § (1) A munkatárs köteles megakadályozni az  illetéktelen személyek hozzáférését az  elektronikus információs rendszer
erőforrásaihoz. A  hatékony biztonságvédelem érdekében a  felhasználói azonosítóval rendelkező felhasználók
kötelesek együttműködni.
(2) A felhasználókat oktatáson tájékoztatni kell az elektronikus információs rendszerekben a  felhasználói azonosítását
végző eszközök, eljárások használatáról, különösen a jelszavak használatának szabályairól és a felhasználó kezelésében
lévő infokommunikációs eszközök biztonsági előírásairól.
(3) A jelszavakat tilos papíron tárolni, kivéve a  legteljesebb jogosultságot biztosító felhasználói azonosítók jelszavait,
amelyeket kötelező zárt borítékban, két példányban, két különböző helyen, zárható lemezszekrényben tárolni.
(4) A jelszó kívülálló számára nem tartalmazhat a  felhasználó személyére utaló információkat, különösen neveket,
telefonszámokat, születési dátumokat, illetve összefüggő szöveget.
(5) Amennyiben a  munkaállomásokon a  hitelesítési folyamatban a  beírt jelszó olvasható, a  felhasználó köteles
gondoskodni arról, hogy illetéktelen személy ne láthassa meg az általa beírt jelszót.
(6) A biztonságos jelszóhasználat szabályait minden felhasználóval oktatáson kell ismertetni.
 (7) A felhasználó azonosítójával és jelszavával az  elektronikus információs rendszerben végrehajtott műveletekért
személyesen felel.
 (8) A felhasználó függetlenül a  szerepkörétől az  elektronikus információs rendszerbe csak saját felhasználónevével,
azonosítójával és jelszavával léphet be, és az alkalmazásokat csak saját nevében használhatja.
 (9) A jelszó érvényességi idejét, ezzel együtt a  jelszócsere gyakoriságát az  elektronikus információs rendszer egyedi
szabályozása vagy a használt rendszer működése határozza meg. A jelszó cseréjét ezen értesítés hiányában legalább
90 naponta kötelező elvégezni.
(10) A jelszóképzés szabályait ezen utasítás 3. melléklete tartalmazza.
 (11) A felhasználói azonosító kialakításáról és az  elektronikus információs rendszerbe történő felvételéről a  külső fél
gondoskodik. A külső fél alapértelmezett jelszóval adja át az első belépéshez szükséges információt a felhasználónak,
aki a jelszót az első belépés után köteles azonnal megváltoztatni.
(12) Új felhasználó vagy új hozzáférés kiosztása esetén az  üzemeltető munkatársa szóban vagy írásban ismerteti
a  felhasználóval a  munkájához szükséges felhasználói nevét és induló jelszavát. A  munkaállomásra történő első
belépést követően elkészíti részére az informatikai eszközön szükséges beállításokat.
(13) Ha a  felhasználónak tudomása vagy gyanúja van arról, hogy jelszava más tudomására jutott, erről az elektronikus
információs rendszer biztonságáért felelős személyt köteles tájékoztatni és a jelszavát azonnal megváltoztatni.
32. Végpontvédelem 42. § (1) A hálózati végpontok és az azokra csatlakoztatott infokommunikációs eszközök végpontvédelméről minden eszköz
esetében úgy kell gondoskodni, hogy
a) illetéktelen személyek ne férjenek hozzá a szabadon maradt hálózati végpontokhoz,
b) illetéktelen személyek ne léphessenek be a infokommunikációs eszközökbe,
c) ne legyen támadható vezeték nélküli vagy vezetékes kapcsolat a rendszerben,
d) a felhasználó ne tölthessen le, ne másolhasson ki, illetve ne nyomtathasson ki engedély nélkül adatot
az infokommunikációs eszközökről.
 (2) Az Iroda területén hálózati végpontot csak ellenőrzött körülmények között lehet létesíteni. Az  ügyfélforgalom
bonyolítására szolgáló helyeken a  használaton kívüli végpontoknak az  aktív és passzív hálózati elemekkel való
kapcsolatát meg kell szüntetni, a strukturált hálózatról le kell választani.
(3) Vezeték nélküli hálózat az  Iroda területén csak az  elnök engedélyével létesíthető. A  vezeték nélküli hálózat
adatforgalmánál a megfelelő titkosítási eljárást be kell állítani.
(4) Minden infokommunikációs eszközt, amely alkalmas
a) hálózathoz csatlakozásra,
b) adatok kimásolására és továbbítására,
c) USB adathordozó eszköz csatlakozásra vagy
d) vezeték nélküli kapcsolatok létesítésére,
végpontvédelemmel kell ellátni.
(5) A kliensvédelmi rendszert az  Iroda minden infokommunikációs eszközére telepíteni kell. Az  Iroda informatikai
hálózatához nem csatlakoztatható olyan infokommunikációs eszköz, amelyen nincs telepítve kliensvédelem.
(6) A használaton kívül helyezett infokommunikációs eszköz és az Iroda összes hálózata közötti összeköttetést meg kell
szüntetni.
(7) Nem az NVI tulajdonában lévő vagy nem általa bérelt eszköz csatlakoztatása tilos az Iroda informatikai hálózatához.
 (8) A végpontvédelmi intézkedések nem akadályozhatják az  alapvető működési feladatokat, ezért biztosítani kell
a munkavégzés során használt – engedélyezett és a feladat végrehajtásához szükséges – infokommunikációs eszközök
zavartalan működését.
(9) Különböző időpontokban rendszeresen biztosítani kell a  végpontvédelmi szoftverrel ellátott infokommunikációs
eszközön a teljes víruskeresés futtatását.
(10) Az üzemeltető jogosult a végpontvédelmi rendszer telepítésére, beállítására, eltávolítására, ellenőrzésére, frissítésére
a munkaállomásokon és szervereken egyaránt.
(11) Az üzemeltető kötelessége gondoskodni a végpontvédelmi rendszer naprakészen tartásáról és működtetéséről.
 (12) Az üzemeltető az Iroda és a közte létrejött megállapodás alapján
a) elvégzi a végpontvédelmi szoftverek megfelelő beállítását, a rendszer konfigurálását,
b) ellenőrzi a végpontvédelmi rendszerek rendszeres frissítését,
c) frissíti a manuálisan frissítendő infokommunikációs eszközöket, és ellenőrzi a frissülés megtörténtét,
d) megbizonyosodik arról, hogy az elektronikus információs rendszerbe kapcsolt infokommunikációs eszközön
a végpontvédelmi program telepítve van, és a vírusdefiníciós adatbázis naprakész,
e) tájékoztatja a felhasználókat a végpontvédelmi eszközök működéséről, használatáról,
f ) megvizsgálja a végpontvédelmi rendszer, valamint a felhasználók jelzése alapján a gyanús eseteket,
g) elvégzi a vírusfertőzés bekövetkeztekor a szükséges mentesítési lépéseket, valamint
h) figyelemmel kíséri a végpontvédelem hatékonyságát.
(13) E §-ban foglalt követelmények megtartását az információs rendszer biztonságáért felelős személy ellenőrzi.
33. Titkosítási tevékenységek 43. § (1) Az elektronikus információs rendszerek által is használt belső hálózaton történő adatforgalom védelmére a telephelyek
közötti kommunikációs vonalon megfelelő hálózati védelmet kell kialakítani.
(2) Nyílt kulcsú titkosítást csak az elnök engedélyével lehet alkalmazni. A  titkosítási rendszer kialakítása és a  rendszer
nyilvántartása az üzemeltető feladata.
(3) A nyílt kulcsú titkosítás eszközeinek és jelszavainak kezeléséért és megőrzéséért a  kulcsot alkalmazó felhasználó
felelős.
(4) A nyílt kulcsú titkosítás azonosítóit és a  titkos kulcsok jelszavait páncélszekrényben, zárt borítékban kell tárolni.
A boríték az elnök utasítására bontható fel.
(5) A fájlrendszerek titkosítását az  elnök engedélyével lehet alkalmazni a  mobil adathordozók és hordozható
infokommunikációs eszközök esetében.
(6) A rendelkezésre álló szoftver telepítése és beállítása, a titkosított rendszer használatának nyilvántartása az üzemeltető
feladata.
(7) A fájlrendszer titkosítása eszközeinek és jelszavainak kezeléséért és megőrzéséért a felhasználó felelős.
 (8) A fájlrendszer titkosításának azonosítóit és jelszavait páncélszekrényben, zárt borítékban kell tárolni. A  boríték
az elnök utasítására bontható fel.
 (9) Az elektronikus információs rendszerek által is használt belső hálózaton történő adatforgalom védelmére a telephelyek
közötti kommunikációs vonalon titkosított adatkapcsolatot kell kialakítani.
 (10) Elektronikus aláírást csak az  elnök engedélyével lehet alkalmazni. Az  elektronikus aláírás létrehozására alkalmas
eszköz és a tanúsítvány csak minősített hitelesítésszolgáltatótól szerezhető be.
 (11) Az elektronikus aláírás eszközeinek és jelszavainak kezeléséért és megőrzéséért a felhasználó felelős.
 (12) A titkosítási és hitelesítési rendszerek alkalmazását az elektronikus információs rendszer biztonságáért felelős személy
évente az ellenőrzési tervben foglaltak szerint ellenőrzi. 34. Adatmentési és naplózási feladatok
44. § (1) A mentési és visszaállítási eljárásokat úgy kell kialakítani, hogy az  elektronikus információs rendszerek üzemszerű
működése és a bennük kezelt adatok előre nem látható esemény, különösen katasztrófa vagy hardver, illetve szoftver
meghibásodása vagy emberi mulasztás bekövetkezésekor szükség esetén helyreállíthatók legyenek, biztosítva
a folyamatos napi működést. Biztosítani kell továbbá, hogy az üzemidő-kiesés, adatsérülés és adatvesztés minimális
legyen.
(2) A mentések szakszerű elvégzését – az  Irodával kötött megállapodásban rögzítettek szerint – az adott elektronikus
információs rendszer üzemeltetője végzi saját adatmentési és naplózási eljárása körében.
(3) A mentésről rendszeres mentési naplót kell vezetni a  mentési feladatban részt vevő, a  mentési feladatot ellátó
informatikusnak.
(4) Egyedi mentésnél a  mentés elvégzéséről mentési és archiválási adatlapot kell készíteni, amelyet a  mentési és
archiválási nyilvántartáshoz kell csatolni. A mentett állomány törlését, ha szükséges, csak ez után lehet elvégezni.
(5) A mentésről a napi mentés és kazettacsere után azonnal bejegyzést kell tenni a naplóba.
 (6) Egyedi mentésnél a mentés elvégzésével, illetve az adathordozó elhelyezésével egy időben kell kitölteni az adatlapot
és ezt követően az adatlapot a mentési és archiválási nyilvántartáshoz felvezetni.
 (7) Az adatlapokat és a  nyilvántartást a  mentés helyétől és az  adathordozók tárolási helyétől különböző helyen kell
elhelyezni.
 (8) Az adatlapok tartalmi változásakor a  mentett állomány szakmai felelősét tájékoztatni kell a  változásról, és ennek
tényét rögzíteni kell az adatlapon. A mentett állomány szakmai felelőse aláírásával igazolja a változások tudomásul
vételét.
(9) A mentéssel kapcsolatos adatlapokat és nyilvántartást az  elektronikus információs rendszer biztonságáért felelős
személy legalább évente egyszer szúrópróbaszerűen ellenőrzi, és az elnököt jelentésben tájékoztatja az ellenőrzés
eredményéről.
(10) A hálózat felügyeletét – az  Irodával kötött megállapodásban rögzítettek szerint – az  üzemeltető gyakorolja.
A hálózatfelügyelettel kapcsolatos események az üzemeltető „helpdesk” rendszerében kerülnek dokumentálásra.
(11) Az elektronikus információs rendszerek működése során fellépő eseményeket megfelelő részletességgel naplózni
kell. Az  üzemeltetőknek ezeket a  naplóállományokat rendszeresen ellenőrizniük kell, az  ellenőrzés eredményéről
rendszeresen és szükség esetén időszakosan jelentést kell tenniük az elektronikus információs rendszer biztonságáért
felelős személy részére.
(12) Az elektronikus információs rendszer üzemeltetéséről az üzemeltető eseménynaplót vezet. Az informatikai központok
üzemeltetési feltételeit és az ott készült naplókat az elektronikus információs rendszer biztonságáért felelős személy
legalább évente egyszer szúrópróbaszerű ellenőrzés során megvizsgálja, és az  éves jelentésben a  tapasztalatairól
tájékoztatja az elnököt.
35. Adathordozó eszközök kezelése és tárolása 45. § (1) A mobil adathordozó eszközök kiadásáról, állapotváltozásáról és visszavételéről a  Gazdálkodási Főosztály
nyilvántartást vezet.
(2) Az egyedi mentés elkészítéséhez használt adathordozó-típusok kiválasztásánál a  beszerzést végző szervezeti
egységnek figyelemmel kell lennie
a) a mentendő adatmennyiségnek megfelelő tárolókapacitásra,
b) a legalább – különleges beavatkozás és speciális eljárások alkalmazása nélkül – ötéves adatmegőrzési időre,
c) a környezeti viszonyoknak megfelelő ellenállóságra, valamint
d) az adatvisszaállítás esetére szükséges eljárások és eszközök rendelkezésre állására.
(3) A külső félnél az  Iroda elektronikus szoftvereinek telepítőkészletei, illetve adatainak mentésére és archiválására
használt adathordozói, a mentés dokumentuma, a helyreállítást biztosító leírások tárolása tűzbiztos fémszekrényben,
a) a mentés helyétől (telepítés helyétől) különböző tűzszakaszban elhelyezkedő,
b) megfelelő mechanikai és elektronikus védelemmel ellátott, továbbá
c) – lehetőleg regisztrált kulcsfelvétellel hozzáférhető – közművezetékektől mentes,
erre kijelölt helyiségben történhet.
(4) Az operációs rendszerek, alkalmazások és eszközkezelők telepítőállományait tartalmazó adathordozóiról
az üzemeltetőnek szoftvernyilvántartást kell vezetni.
46. § (1) A mentések, archívumok tárolási ideje alatt az adatok integritásának megőrzését az  Irodával kötött megállapodás
szerint biztosítja a külső fél. A külső fél ellenőrzi az adattárolók műszaki állapotát és tárolását.
(2) A külső fél az Irodával kötött megállapodás szerint – az adathordozó típusától, valamint a rögzítés módjától függően –
eltérő időközönként, de évente legalább egyszer ellenőrzi az  adathordozó használhatóságának mértékét.
Az  adathordozók természetes fizikai romlása és elhasználódása következtében előálló biztonságcsökkenés miatt
a működtetendő programokról és a hasznos adatokat tartalmazó adathordozókról – ha az adathordozó megközelíti
a gyártó által javasolt felhasználási időtartamot, és az adathordozót nem lehet selejtezni – a külső félnek másolatot
kell készíteni ezekről.
36. Az internet használatával és az elektronikus levelezéssel kapcsolatos szabályok
47. § (1) A levelezőrendszer vírusvédelmét folyamatosan frissíteni kell, valamint követni kell az  új, elektronikus levél útján
terjedő vírusok, kártékony kódok és adatlopási módszerek megjelenését.
(2) Az elektronikus levelezőrendszer elemei, elsősorban a  kiszolgálók fizikai és logikai védelméről folyamatosan
gondoskodni kell.
(3) Az elektronikus levelezőrendszeren keresztül történő támadások esetén, amennyiben a rendszer védelme átmenetileg
nem biztosított, az  elektronikus levelezési szolgáltatás használatát ideiglenesen fel kell függeszteni. Ennek
elrendelésére az elektronikus információs rendszer biztonságáért felelős személy jogosult.
(4) Az elektronikus üzenetek bizalmasságának, illetve hitelességének védelme érdekében használt kriptográfiai eszközt
vagy eljárást az elektronikus információs rendszer biztonságáért felelős személy engedélyezi.
(5) A felhasználói jogviszony megszűnésekor, annak napjától számított egy évig archiválni kell a  felhasználó minden,
iktatás alól mentesített elektronikus levelezését.
(6) Az (5)  bekezdésben meghatározott időtartamon túl is az  eljárás jogerős befejezéséig meg kell őrizni azokat
az elektronikus leveleket, amelyek folyamatban lévő fegyelmi, büntető- vagy polgári eljárások alapját képezik.
(7) Az elektronikus levelezés forgalmát – a technikai lehetőségek szerint – tartalmilag szűrni kell, a szűrőn átjutott nem
hitelesíthető, kétes forrásból származó üzeneteket ki kell vizsgálni.
(8) Az elektronikus levelezőrendszer reklám-, valamint egyéb üzleti célokra nem használható.
 (9) A (2)–(8)  bekezdésekben rögzített, az  elektronikus levelezésre vonatkozó információbiztonsági irányelvek
érvényesítéséért az elektronikus levelezőrendszer üzemeltetője felel. 48. § Minden felhasználót oktatás keretében kell tájékoztatni arról, hogy az  elektronikus levelezőrendszerben tárolt és
továbbított levelek – amelybe beleértendőek a központi levelezőkiszolgálón lévő, az  Irodához tartozó postafiókok
tartalma, azok mentései, valamint a  felhasználók által használt infokommunikációs eszközökön tárolt, archivált
állományok – az Iroda tulajdonát képezik, ezért az Iroda utasításaiban, valamint a jogszabály alapján erre feljogosított
ellenőrző szerveknek ezekhez az állományokhoz a vizsgálatukhoz szükséges mértékig betekintési joguk van.
49. § (1) Az elektronikus levelezési szolgáltatás elérése csak védett (hiteles és titkosított) csatornán keresztül valósítható meg.
A hozzáférés csak megfelelő azonosítási eljáráson keresztül történhet. A felhasználó felügyeleti lehetőségein kívüli
munkaállomások, terminálok használata esetén csak az ennek megfelelő üzemmódban szabad bejelentkezni.
(2) Az Iroda elektronikus levelezési címjegyzéke nem szolgáltatható ki külső személynek.
 (3) Az Iroda valamennyi felhasználója jogosult az  internet, intranetes portál és elektronikus levelezés használatára.
Az internet szolgáltatásait kizárólag munkahelyi eszközökön és csak a munkaköri feladatok ellátásához lehet igénybe
venni, személyes célokra nem.
(4) A külső fél az  Irodával kötött megállapodásban rögzítettek szerint jogosult weblap és internetes szolgáltatás
elérésének korlátozására vagy teljes kizárására. A blokkolandó oldalakkal, oldalkategóriákkal vagy szolgáltatásokkal
kapcsolatban az elektronikus információs rendszer biztonságáért felelős személlyel és az elnökkel kell egyeztetni.
(5) A hálózat számára nagy terhelést jelentő kép- és hanginformációkat tartalmazó adatállományok letöltését,
megtekintését, meghallgatását, továbbítását az elnök engedélyezi.
(6) A felhasználók az  Iroda nevében nem tehetnek közzé engedély nélkül internetes portálokon bejegyzéseket,
információkat.
(7) Munkaidőben az Iroda elektronikus információs rendszereinek felhasználásával közösségi oldalakon hozzászólásokat
elhelyezni tilos.
(8) Az Iroda tulajdonát képező, elektronikus információs rendszerben kezelt, illetve tárolt adat interneten publikálása
vagy elektronikus levélben történő továbbítása, mások részére való hozzáférhetővé tétele – elnöki engedély
hiányában – tilos.
50. § (1) Az Iroda elektronikus levelezőrendszerében a  felhasználók személyes postafiókot és hozzá tartozó elektronikus
levelezési címet kapnak, amelynek kezeléséről maguk gondoskodnak (archiválás, törlés, testreszabás). Az Irodán belül
ezeket a  postafiókokat, elektronikus levelezési címeket kell használni az  elektronikus kommunikációra és
kapcsolattartásra.
(2) A felhasználóknak rendszeres ellenőrzés és archiválás útján gondoskodniuk kell arról, hogy a személyes postafiókjuk
mérete ne lépje túl az engedélyezett keretet. Az archív levelezést tartalmazó adatállományokat tilos a felhasználóknak
magánhasználatra a szervezet informatikai infrastruktúrájából kijuttatni.
(3) Az Iroda egyes szervezeti egységei rendelkezhetnek hivatalos postafiókkal.
 (4) A hivatalos postafiókkal rendelkező ügyintéző és a postafiók felügyeletét ellátó személy kötelessége naponta egyszer
ellenőrizni a hivatalos postafiók méretét és szükség esetén az archiválást elvégezni.
 (5) Az elektronikus levelezés során a hivatalos és a személyes postafiókokat vírusvédelmi rendszer védi. Az elektronikus
postafiókba érkező, ismeretlen feladótól származó, nem szokványos formátumú, gyanús csatolmányt tartalmazó,
illetve idegen nyelvű küldeményekkel – a  fennálló vírusveszély miatt – fokozott óvatossággal kell eljárni. Gyanús
küldemény érkezésekor, illetve a vírusvédelmi rendszer riasztása esetén a biztonsági események kezelésénél irányadó
eljárási szabályok érvényesek; a csatolmányt ilyen esetben megnyitni tilos.
(6) Tilos lánclevelek indítása vagy továbbítása. 37. Nyilvános elektronikus információs rendszerek használatának rendje
51. § Nyilvános elektronikus információs rendszerben a  fokozott integritást igénylő informatikai programok, adatok és
egyéb információk védelme érdekében védelmi eszközökkel kell gondoskodni arról, hogy
a) jogszabályban vagy utasításban rögzített időben kerüljön sor a  rendszerbe bekerülő információ pontos és
hiánytalan feldolgozására, b) az adatok kezelése, különösen azok gyűjtése, tárolása, feldolgozása során az  adatok, valamint a  rendszerek
védelme biztosított legyen,
c) a rendszerhez való külső hozzáférés ne tegye lehetővé illetéktelen személy hozzáférését azokhoz a  belső
hálózatokhoz, amelyekhez a rendszer csatlakozik.
38. Nyilvántartások közötti átjárhatóság, az adatok és programok átadása
52. § (1) Az Iroda más szervezettel adat- és programcserét kizárólag írásos nyilatkozat alapján bonyolíthat, amelyben utalni
kell az érzékeny adatok kezelésére is.
(2) A csere biztonsági feltételeire vonatkozó megállapodásokban meg kell határozni
a) az adatátvitel, -feladás, -fogadás és -átvétel ellenőrzésének és bejelentésének eljárási szabályait,
b) az adatok biztonságos átvitele előkészítésének és tényleges átvitelének műszaki szabványait,
c) az adatvesztéssel kapcsolatos kötelezettséget és felelősséget,
d) az adatátvitel során a biztonságos – szükség esetén titkosított – környezet előírásait minden érintett félnél,
e) az érzékeny adatok védelméhez szükséges speciális eszközök igénybevételét.
(3) Az adatcsere esetében
a) épületen kívüli szállítást csak az önálló szervezeti egység vezetője rendelhet el,
b) az átadás-átvételről jegyzőkönyvet kell felvenni,
c) a szállításnál egyszerre több személynek kell jelen lennie,
d) épületen kívüli szállítás esetén a legrövidebb és leggyorsabb útvonalat kell kiválasztani,
e) tömegközlekedési eszközön adathordozó nem szállítható,
f ) épületen kívüli szállítás esetén megfelelő tárolóeszközt szükséges használni, és
g) épületen kívüli szállítás esetén az adatokat titkosított formában kell az adathordozóra rögzíteni, és a titkosítás
feloldásához szükséges kulcsot külön csatornán kell eljuttatni a címzetthez, elektronikusan rögzített adatokat
tartalmazó mágneses adathordozó szállításakor el kell kerülni a nyilvánvalóan erős mágneses tereket,
h) a szállítás során a vagyonbiztonság érdekében fokozott figyelemmel kell eljárni,
i) az adathordozót nem lehet őrizetlenül hagyni,
j) az adathordozókat óvni kell a fizikai sérülésektől,
k) az adathordozókon a minősítési szintet megváltoztathatatlanul kell feltüntetni.
(4) Rendkívüli esemény esetén a szállítást elrendelő önálló szervezeti egység vezetőjét – szükség esetén a rendőrséget
is  – értesíteni kell. A  vezetőnek haladéktalanul meg kell tennie a  további károk elkerülése érdekében szükséges
intézkedéseket, valamint ezzel egy időben tájékoztatnia kell az  elektronikus információs rendszer biztonságáért
felelős személyt az eseményről és a megtett intézkedésekről.
(5) Megfelelő technikai eljárásokkal és ellenőrzőeszközökkel gondoskodni kell a  távközlési és adatátviteli eszközökön
keresztül kicserélt információk védelméről. Ennek során figyelembe kell venni, hogy a  távközlési eszközökben
bekövetkező üzemzavar, az  eszközök túlterheltsége vagy a  kapcsolat kimaradása esetén a  folyamatos üzletmenet
megszakadhat, valamint illetéktelen személyek is hozzáférhetnek a különböző információkhoz.
(6) A belső használatú adatok nem hozhatók nyilvánosságra.
VII. Fejezet 39. A rendszerfejlesztés biztonsági követelményei 53. § (1) Az elektronikus információs rendszerben a  külső fél által fejlesztett rendszerelemek tervezésében, fejlesztésében,
tesztelésében, bevezetésében a munkatársak az elnök engedélyével vehetnek részt.
(2) Elektronikus információs rendszer tervezése és fejlesztése során az erre vonatkozó megállapodásban érvényre kell
juttatni, hogy a rendszer tartalmazza
a) a felhasználó- és jogosultságkezelést,
b) a szerepkörök, kizáró szerepkörök kialakítását,
c) az azonosítást és hitelesítést,
d) az adatok védelmét az illetéktelen személyekkel szemben,
e) a biztonságos adattárolást,
f ) a biztonságos munkamenet-kezelést,
g) az üzleti, rendszer- és biztonsági naplózás biztosítását,
h) a naplóállományok védelmét,
i) a szükséges kriptográfia vagy elektronikus aláírás alkalmazását.
(3) Az elektronikus információs rendszerben történő változtatás során
a) az Iroda részére külső fél által üzemeltetett rendszerprogramok, illetve a felhasználói programok telepítését
a kiszolgálókra és munkaállomásokra csak az erre feljogosított személyek végezhetik el,
b) próbaüzem és terhelési próbák során meg kell vizsgálni az új rendszer üzembiztonságát és megbízhatóságát
még a bevezetés előtt,
c) alapszoftvert és alkalmazói szoftvert csak érvényes, arra vonatkozó licenc birtokában szabad felhasználni.
(4) Új elektronikus információs rendszer bevezetése előtt, amennyiben a rendszer kritikussága és a védendő adatok köre
indokolja, teljes körű tesztelési eljárásokkal kell megbizonyosodni az összes biztonsági modellben megfogalmazott
elvárás érvényesüléséről.
(5) Az elektronikus információs rendszer változtatását megelőzően a  tesztelésről készített jelentés felhasználásával
–  az  elektronikus információs rendszer biztonságáért felelős személy javaslatára figyelemmel – az  elnök dönt
az alkalmazások bevezetéséről vagy az azok környezetén történő változtatásokról.
(6) Az operációs rendszer változásának hatásfelmérését követően lehet végrehajtani az  elektronikus információs
rendszerben az operációs rendszer verzióváltásait, illetve szervizcsomagok és frissítések telepítését. A szervizcsomagok
és frissítések telepítése során a kockázatok felmérése az operációs rendszert üzemeltető feladata.
(7) A kiemelt rendelkezésre állási időszak alatt a  szoftverek módosítása nem engedélyezett. Ezen időszakok között
bármely módosítást kizárólag az elnök engedélyezhet.
(8) A külső féllel végeztetett rendszerfejlesztés esetén az erre vonatkozó megállapodásban rögzíteni kell a tulajdonosi,
használati és licencjogokat, valamint a követés módját, formáját és minimális időtartamát.
(9) Az elektronikus információs rendszerben külső fél által végzett rendszerfejlesztés esetén az elektronikus információs
rendszer biztonságáért felelős személynek vizsgálnia kell az információbiztonsági veszélyeket és kockázatokat.
(10) Az elektronikus információs rendszerben végzett rendszerfejlesztés minden elemét dokumentálni kell. Az  Iroda
elektronikus információs rendszerében végzett fejlesztés információbiztonsági területe felett az  elektronikus
információbiztonságért felelős személy gyakorol felügyeletet. Az elektronikus információbiztonságért felelős személy
az éves ellenőrzése során szúrópróbaszerűen ellenőrzi a rendszerfejlesztési dokumentációkat, tapasztalatairól az éves
jelentésben tájékoztatja az elnököt.
(11) A rendszerszintű adatállományok védelmének érdekében ellenőrizni és dokumentálni kell a  védendő rendszeradatállományok elérését. A  rendszer integritásának fenntartása annak az  üzemeltetőnek a  feladata, amelyhez
az alkalmazói rendszer vagy program tartozik.
54. § (1) A fejlesztői, a teszt- és az éles rendszereket egymástól el kell választani.
 (2) Az osztott hálózati munka, különösen a több szervezet által használt hálózat biztonsága szükségessé teszi a hálózati
szintű korlátozást. Ezeket a  forgalomszűrő, ellenőrző lehetőségeket, amennyiben szükséges, az  átjáró, a tűzfal és
az operációs rendszer beállításánál alkalmazni kell.
(3) Korlátozó rendelkezéseket különösen
a) elektronikus levelezés,
b) egyirányú adatállomány mozgatása,
c) adatállomány mindkét irányban történő mozgatása, valamint
d) meghatározott időponthoz kötött hálózati hozzáférés
során kell alkalmazni.
(4) Az Iroda szervezetén túlterjedő hálózatoknál kötelező az  útvonal-kiválasztást ellenőrző és vezérlő eszközök,
módszerek alkalmazása, amelynek során
a) a rendszerdokumentációban pontosan meg kell adni az  elérni kívánt rendszerelemek hálózati címét,
portszámát és egyéb, a biztonsági szűréshez szükséges adatokat,
b) az útvonalak kialakításáért a hálózat üzemeltetője a felelős,
c) a beállításokat minden esetben tesztelni és dokumentálni kell.
(5) Az informatikai hálózati határvédelem során az  Iroda informatikai hálózatában az  internetkijárat, valamint minden
külső, nem megbízhatónak ítélt hálózat felé történő kommunikáció során a  belső hálózat és az  ott elhelyezkedő
elektronikus információs rendszerek és adatok védelme érdekében biztonsági és védelmi megoldásokat kell
alkalmazni. Gondoskodni kell a hálózat fizikai elemeinek védelméről, így különösen
a) a vezetékek és végpontok illetéktelenek általi hozzáférésének megakadályozásáról,
b) a vezeték nélküli kapcsolatok megfelelő titkosításáról,
c) az eszközhöz való illetéktelen hozzáférés megakadályozásáról.
(6) A szükséges tűzfalvédelmi szabályokról, a  hálózati zónák kialakításáról és védelméről, valamint az  elektronikus
információs rendszerek behatolás elleni védeleméről a külső felek gondoskodnak, az erre vonatkozó szakmai előírások
és a biztonsági szabályok betartása mellett.
(7) A rendszer telepítése során csak azok a  hálózati szolgáltatások implementálhatóak a  rendszerbe, amelyekre
az  üzemeltetéshez feltétlenül szükség van. A  rendszerüzemeltetőnek minden esetben fel kell mérnie, és minden
részletre kiterjedően dokumentálnia kell az általa alkalmazott hálózati szolgáltatás egyedi, illetve összetett biztonsági
jellemzőit. Amennyiben több hálózati szolgáltatás működik a rendszerben, úgy ezek egymásra gyakorolt hatását is
elemezni kell biztonsági szempontból. A  hálózati szolgáltatások biztonsági beállítása, valamint annak ellenőrzése,
karbantartása a hálózatot üzemeltető feladata.
(8) A hatékony védelem megvalósítására integrált biztonsági rendszert kell kialakítani, amelynek legfontosabb feladatai
a) a hozzáférés egységes szabályozása és ellenőrzése,
b) az egységes azonosítás és hitelesítés,
c) az elektronikus aláírások kezelése, kódolás,
d) a biztonságos adattovábbítás,
e) a behatolási kísérletek figyelése,
f ) a biztonsági naplózás a hozzáférések, az azonosítás és a hitelesítés ellenőrzéséhez,
g) az auditálhatóság.
40. Szoftverek fejlesztéséhez kapcsolódó általános védelmi intézkedések 55. § (1) A meglévő szoftverek továbbfejlesztését vagy új alkalmazások bevezetését az  érintett önálló szervezeti egységek
vezetői írásos fejlesztési igénnyel kezdeményezhetik az Iroda Beszerzési Szabályzatában meghatározottak szerint.
(2) Az Iroda számára szoftverek bevezetését, fejlesztését és az  általa használt szoftverek továbbfejlesztését az  elnök
engedélyezi.
(3) Az integrált szolgáltatást nyújtó kész (dobozos) szoftverek vásárlásánál, valamint az  Iroda egyedi fejlesztésű
alkalmazásai esetében az  erre épülő az  adott elektronikus információs rendszerek üzemeltetéséért felelős külső
félnek
a) írásban meg kell határozni a tervezett rendszer által nyújtandó szolgáltatások körét,
b) meg kell tervezni a rendszer biztonsági modelljét, amelyben az alapvető védelmi igényeket rögzíteni kell,
c) a hardver- és szoftverkomponensekkel, valamint az adatfeldolgozás folyamatával kapcsolatos adatbiztonsági
elvárásokat a követelményspecifikációban rögzíteni kell,
d) meg kell tervezni a rendszer működtetéséhez szükséges feltételrendszert,
e) el kell készíteni az adatok mentésének és meghatározott idejű megőrzésének előírását,
f ) a biztonsági szempontok figyelembevételével funkcionális specifikációt, rendszertervet és tesztelési tervet
kell  készíteni, amit az  elnökkel, a  fejlesztővel és az  elektronikus információs rendszer biztonságáért felelős
személlyel egyeztetni kell,
g) a megfelelő kapacitás és a szükséges erőforrások elérhetősége érdekében előkészületeket kell végrehajtani,
valamint
h) meg kell határozni az új elektronikus információs rendszerek üzemeltetési követelményeit.
 (4) A szoftver átvétele és üzembe helyezése előtt el kell végezni a  követelmények dokumentálását, és le kell futtatni
a  szükséges teszteket. A  szoftver működtetéséhez, működéséhez szükséges adatfeldolgozó és adattároló
kapacitásokról való gondoskodás során
a) fel kell mérni, illetve nyomon kell követni a kapacitás iránti igények várható alakulását,
b) figyelembe kell venni a környezet és a rendszer támasztotta igényeket,
c) nyomon kell követni a rendszer erőforrásainak felhasználását, terhelését, valamint
d) ki kell szűrni és meg kell szüntetni a  rendszer biztonságát és a  felhasználói szolgáltatásokat veszélyeztető
kritikus pontokat, illetve meg kell tervezni a rendszer helyreállításához szükséges intézkedéseket.
(5) A szoftver átvételének alapvető követelménye az átadás-átvételi jegyzőkönyv, amelynek tartalmaznia kell minden,
az átvétellel kapcsolatos feladatot, kötelezettséget, dokumentációt.
(6) A (3)–(6) bekezdésben foglalt követelmények teljesüléséért az elektronikus információbiztonságért felelős személy
felel.
41. A fejlesztés és éles környezet elkülönítése 56. § (1) Fejlesztés során az  éles környezet mellett külön fejlesztői, teszt- és oktatói környezetet kell kialakítani.
A  tesztkörnyezetnek a  tesztelni kívánt elem kivételével az  éles környezettel hardver- és szoftverelemeiben,
konfigurációjában megegyezőnek kell lennie.
(2) A fejlesztői környezetből tesztelés nélkül semmilyen elem sem kerülhet át az éles környezetbe. Nem éles környezetben
csak olyan próbaadatok használhatók, amelyek nem sértik az  éles környezetbeli adatokra vonatkozó adatvédelmi
szabályokat.
(3) A külső fejlesztő hozzáférését az  éles környezethez csak rendkívüli esetben lehet engedélyezni, ha ez  feltétlenül
szükséges az üzemeltetés folyamatosságának biztosításához vagy más kiemelten fontos cél eléréséhez.
(4) Az ilyen hozzáférést az  elnök minden alkalommal külön, írásban engedélyezi. Az  engedélyben meg kell jelölni
a feladatvégzés célját. A fejlesztő munkájának megkezdése előtt a rendszerről mentést kell készíteni. A fejlesztő által
elvégzett munkákat az Iroda által kijelölt kapcsolattartó részletesen dokumentálja, naplózza. A fejlesztő munkájának
befejezése után az éles rendszerhez adott jogosultságát haladéktalanul meg kell vonni.
VIII. Fejezet
Hozzáférés-kezelési szabályok 42. Általános szabályok 57. § (1) Az önálló szervezeti egység vezetője írásban köteles tájékoztatni az  adott információs rendszer üzemeltetőjét
a felhasználóra vonatkozó minden olyan változásról, amely érinti az elektronikus információs rendszert. A felhasználó
jogviszonyának megszűnésekor az önálló szervezeti egység vezetője gondoskodik a jogosultságok visszavonatásáról.
A felhasználóval kapcsolatban felmerülő egyéb informatikai igényeket is az adott elektronikus információs rendszer
üzemeltetésére vonatkozó szerződésben meghatározott eljárás szerint kell benyújtani, különösen
a) az informatikusi beavatkozási igényt,
b) az informatikai eszközigénylést, -mozgatást, -áthelyezést és -átvezetést,
c) az elektronikus információs rendszerhez hozzáférési igényt (új igénylés, módosítás vagy törlés),
d) az alkalmazástelepítési vagy -eltávolítási igényt,
e) inaktívvá válás esetén az újraaktiválási igényt,
f ) a munkavégzési hely vagy feladat változása esetén egyedi vagy tömeges eszközmozgatási és telepítési igényt,
g) a hálózattal kapcsolatos igényt (kiépítés, bővítés, elbontás),
h) az informatikai szolgáltatáshoz, alkalmazáshoz való hozzáférés, valamint ezekkel kapcsolatos
jogosultságváltoztatási igényt.
 (2) Az igény alapján az üzemeltető, amennyiben az Irodával kötött megállapodása erre is kiterjed,
a) elvégzi az adatok átvezetését, a szükséges beállításokat,
b) letiltatja vagy engedélyezteti az  informatikai szolgáltatásokat, különösen a  levelezést, internetet, hálózati
mappa elérését, nyomtatást,
c) szükség esetén továbbítja az illetékes személy felé a kívánt igényt,
d) a jogosultságok elektronikus informatikai rendszerben történő átvezetésével, illetve elektronikusan vagy papír
alapon elvégzi a jogosultságok nyilvántartását,
e) átadja, átveszi, átvezeti, beállítja az infokommunikációs eszközöket, és beállítja vagy törli a jogosultságokat,
f ) az eszközök mozgásáról készült átadás-átvételi jegyzőkönyv egy példányát elküldi az érintett felhasználóknak,
egy további példányát pedig továbbítja a Gazdálkodási Főosztálynak.
43. Azonosítás 58. § Az Iroda elektronikus információs rendszerét úgy kell kialakítani, illetve abban csak olyan szoftverek használhatók,
amelyek rendszerébe felhasználó csak azonosítás után jelentkezhet be. Az elektronikus információs rendszerbe csak
az elnök által engedélyezett felhasználónak lehet azonosítót és jelszót adni.
44. Hitelesítés 59. § Az elektronikus információs rendszert úgy kell kialakítani, hogy a  felhasználók a  sikeres authentikációt követően
szerepkörökhöz rendelten érhessék el a rendszer funkcióit. Tilos a szerepkörökön kívüli egyedi jogosultságadás.
45. A felhasználó hozzáférési jogainak kezelése 60. § (1) Az Iroda elektronikus információs rendszerében felvett és ott jogosultságokat kapott felhasználót az  üzemeltető
az Irodával kötött megállapodásban rögzítettek szerint tartja nyilván.
(2) A felhasználók hálózati mappákhoz való hozzáférésének jogosultsági szintjeit az  adott önálló szervezeti egység
vezetője kérelmezi, amit az üzemeltető állít be.
(3) Az infokommunikációs eszközöket, valamint az  elektronikus információs rendszerekhez való hozzáférést minden
esetben felhasználói azonosításhoz kell kötni.
(4) Az elektronikus információs rendszerben a felhasználók azonosítása egyedi, ellenőrizhető és hitelesítésre alkalmas
felhasználói azonosító használatával valósul meg.
(5) A felhasználói jogosultságokat a kijelölt informatikus az elektronikus információs rendszerek biztonságáért felelős
személy felügyelete mellett évente felülvizsgálja, az eredményéről és a szükséges módosítási javaslatokról tájékoztatja
az elnököt.
(6) A rövid, eltávozással járó szünet idejére az  infokommunikációs eszközt a  felhasználónak az  illetéktelen hozzáférés
ellen zárolni kell.
(7) Az infokommunikációs eszközt illetéktelen személy jelenléte mellett a felhasználó nem hagyhatja felügyelet nélkül.
 (8) A használaton kívüli állapotban lévő (lekapcsolt) infokommunikációs eszközöket a  felhasználó csak – illetéktelen
személy elől – elzárt helyen hagyhatja.
 (9) A felhasználói igényeket ezen utasítás 2. melléklete szerinti igénylőlap kitöltésével kell bejelenteni.
61. § (1) Az üzemeltető feladataként kell meghatározni az  elektronikus információs rendszerek oly módon történő
konfigurálását, hogy a belépések és a belépési kísérletek a teljes adattartalommal naplózásra kerüljenek.
(2) Az elektronikus információs rendszeren vagy rendszerelemen tárolt naplókat az  üzemeltető és az  elektronikus
információs rendszer biztonságáért felelős személy a  rendszer karbantartása során szúrópróbaszerűen vagy
rendszeresen ellenőrizheti. Biztonsági eseményt követően a naplókat az eseménnyel egyező időszakra vonatkozóan
ellenőrizni és archiválni kell.
(3) A jogosultságok nyilvántartását és a jelszókezelést az elektronikus információs rendszer biztonságáért felelős személy
évente egyszer az  ellenőrzési tervben rögzítettek szerint szúrópróbaszerűen ellenőrzi, és az  elnököt az  éves
jelentésben tájékoztatja az ellenőrzés eredményéről.
46. A hálózati hozzáférés védelme 62. § (1) Az elektronikus információs rendszer elemeinek az internet felől adminisztrálási célból történő elérése csak titkosított
kapcsolaton keresztül, legalább kétfaktorú azonosítást követően engedélyezhető. Az  ilyen kapcsolat kiépítésére
az elnök adhat engedélyt.
(2) Minden adminisztrátori tevékenységnek személyhez kell köthetni.
 (3) Külső hálózatról az elektronikus információs rendszerekhez történő elérés kizárólag az erre a célra dedikált védelmi
rendszeren, különösen tűzfalakon, zónákon keresztül biztosítható.
 (4) Kiemelt rendelkezésre állási időszak alatt kizárólag a  védett környezetű helyszíneken engedélyezett a  hozzáférés,
minden egyéb távdiagnosztikai vagy menedzselési kapcsolat tilos. (5) Az internet és az elektronikus információs rendszerek különböző zónái között az üzemeltetők – az  Irodával kötött
megállapodás keretei között – kötelesek gondoskodni arról, hogy a tűzfalak biztosítsák az elválasztást. Az egyes zónák
között csak meghatározott szolgáltatások meghatározott portokon és meghatározott irányokban kommunikálhatnak.
(6) Az internet és az  elektronikus információs rendszerek különböző zónái között a  hálózaton a  hálózati forgalom
útvonalát meg kell határozni.
(7) A kiemelt rendelkezésre állási időszak alatt az  érintett elektronikus információs rendszereket speciális, illetéktelen
hozzáférés elleni védelmet biztosító szolgálattal kell folyamatosan felügyelni. Az illetéktelen hozzáférés elleni szolgálat
üzemeltetési rendjét úgy kell kialakítani, hogy
a) a rendszer képes legyen az internet felőli támadások minél teljesebb felismerésére,
b) a rendszer biztosítsa a hálózat belső elemei felől érkező támadások detektálását,
c) a rendszer rendelkezzen előre kidolgozott akciótervekkel a  legtipikusabb és legvalószínűbb támadások
kezelésére,
d) a rendszer biztosítsa az eseti támadáselhárítási módszerek alkalmazását oly módon, hogy azok szabályozott
körülmények között legyenek végrehajthatók.
 (8) Az üzemeltető feladata – az  lrodával kötött megállapodásban rögzített keretek között – a  központi tárterület
biztosítása ahhoz, hogy a  felhasználók személyes mappáikban elhelyezhessék az  általuk kezelt, hivatali
dokumentumaikat és adataikat.
(9) A központi tárterületek adatstruktúráját, könyvtárszerkezetét és felépítését az  adatokat kezelő önálló szervezeti
egység vezetője határozza meg.
(10) A hivatalos dokumentumokat a rendszeres és ellenőrzött mentés biztosítása érdekében a hálózati fájlkiszolgáló erre
a célra kijelölt tárterületén kell tárolni. A felhasználók felelősek a munkaállomásaikon tárolt és a fájlkiszolgálóra fel
nem töltött adatok megsemmisüléséből keletkezett károkért.
(11) A felhasználónak kötelessége az  infokommunikációs eszköz és a  fájlszerver központi tárterületén tárolt és általa
készített vagy kezelt adatállományokat évente időközönként felülvizsgálni; azokat az  állományokat, amelyek nem
szükségesek, törölnie kell. A törlést a felhasználó végzi.
(12) A központi fájlszerver tárkapacitásának túlterheltsége esetén a  központi tárterületeken tárolt adatok rendszeres
karbantartása érdekében az elnök kijelöli azt a munkatársat, aki együttműködve az üzemeltetővel elvégzi a felesleges
adatok, illetve a megfelelő mentési és archiválási eljárás során lementett adatok törlését.
(13) A központi tárterületen tárolt adatok, információk rendelkezésre állásáért és biztonsági másolatának elkészítéséért és
tárolásáért az üzemeltető a felelős.
(14) Az önálló szervezeti egység vezetőjének engedélyével és felügyeletével a  felhasználó indokolt esetben kérheti
az  egyedi mentést a  központi tárterületen található felhasználói mappákról, illetve az  infokommunikációs eszköz
adathordozóján található felhasználói adatokról.
(15) A hálózati hozzáféréseket érintő eseményekről, valamint beállításokról az érintett önálló szervezeti egység vezetőjének
írásos feljegyzést kell készíteni az üzemeltető részére.
(16) A hálózati hozzáférések felett az üzemeltető gyakorol felügyeletet.
63. § (1) Az elektronikus információs rendszer biztonságáért felelős személy évente legalább egyszer, az ellenőrzési tervben
rögzítettek szerint gyakorlati eseti auditot végez. Ennek során az  utasítás hatálya alá tartozó rendszerek
sebezhetőségére irányuló támadáspróbával győződik meg a hálózati integritás állapotáról.
(2) Az elektronikus információs rendszer biztonságáért felelős személy az  éves tervezett ellenőrzés mellett eseti
ellenőrzést végez a  hálózat működése és a  hálózati hozzáférések vonatkozásában, amelynek eredményét az  éves
jelentésében rögzíti.
47. Az operációs rendszer hozzáférésének védelme 64. § (1) A felhasználó a helyi felhasználói névvel közvetlenül egyik infokommunikációs eszköz operációs rendszerébe sem
jelentkezhet be.
(2) Az operációs rendszerhez, illetve az  alkalmazások rendszerfájljaihoz és adatokhoz a  hozzáférés biztosítása csak
a kijelölt informatikus számára biztosított.
(3) Az informatikai központban működő elektronikus információs rendszerek rendszergazdáinak jogait nyilvántartó
dokumentumot az üzemeltető erre felhatalmazott vezetője hagyja jóvá. Ebből egy-egy példányt kell tárolni minden
érintett informatikai központban.
(4) Az elektronikus információs rendszerbe belépő felhasználókhoz rendelt biztonsági előírások meghatározását és
beállítását az  elektronikus információs rendszer biztonságáért felelős személy és az  üzemeltető együttes döntése
szerint kell megvalósítani.
(5) A jogosultságok engedélyezési folyamata során az engedélyező személy gyakorol kontrollt az engedélyek jogossága
és megfelelősége felett.
(6) Az elektronikus információs rendszer biztonságáért felelős személy az éves ellenőrzése során az ellenőrzési tervben
foglaltak szerint szúrópróbaszerűen ellenőrzi a  jogosultságigénylések jogosságát és megfelelőségét, valamint
ellenőrzi a nyilvántartások naprakész vezetését; az ellenőrzésekről az éves jelentésében számol be az elnök részére.
48. Az alkalmazások hozzáférésének védelme 65. § (1) A felhasználó csak a  számára meghatározott információkhoz férhet hozzá. Minden egyéb hozzáférési kísérlet
biztonsági eseménynek minősül.
(2) Az elektronikus információs rendszerbe belépő felhasználókhoz kapcsolt egypontos hálózati azonosítás biztosítása
az  érintett alkalmazások üzemeltetőjének és a  hálózat üzemeltetőjének megállapodása alapján történik.
A megállapodásban kell rögzíteni a beállítással kapcsolatos feltételeket.
(3) Új, saját fejlesztésű rendszerek bevezetésekor a (2) bekezdés szerinti módszert kell alkalmazni.
 (4) A jogosultságigényléseket ezen utasítás 2.  mellékletének tartalma alapján az  elektronikus információs rendszer
biztonságáért felelős személy továbbítja az  alkalmazás üzemeltetőjének, majd az  adatlapokat a  jogosultsági
nyilvántartásba felvezeti.
(5) A jogosultságok engedélyezési folyamata során az engedélyező személy gyakorol kontrollt az engedélyek jogossága
és megfelelősége felett. Az elektronikus információs rendszer biztonságáért felelős személy az éves ellenőrzése során
az ellenőrzési tervben foglaltak szerint szúrópróbaszerűen ellenőrzi az alkalmazáshoz igényelt jogosultságigénylések
jogosságát és megfelelőségét, valamint a nyilvántartások naprakész vezetését, az ellenőrzésekről az éves jelentésében
számol be az elnök részére.
49. Hordozható infokommunikációs eszközök biztonsága 66. § (1) Az Iroda tulajdonát képező hordozható infokommunikációs eszközöket az Iroda területén kívül csak az érintett önálló
szervezeti egység vezetőjének írásos engedélyével rendelkező személyek használhatják.
(2) A hordozható infokommunikációs eszköznek az  arra felhatalmazott személy részére történő átadásakor az  átadó
tárolási nyilatkozatot készít, amely tartalmazza az eszköz műszaki adatait, az átadás-átvétel adatait és az eszközön
telepített szoftverek adatait.
(3) Az átadó köteles az eszköz átadása során felvilágosítani a felhasználót a hordozható infokommunikációs eszközök
használatának veszélyeiről, kockázatairól, amit a felhasználó a tárolási nyilatkozaton aláírásával igazol, és az eszközért
felelősséget vállal.
(4) A hordozható infokommunikációs eszközök adathordozóin biztosítani kell a teljes rendszerszintű titkosítást, amely
kikapcsolt állapotban védi az  adatokat az  illetéktelen hozzáféréstől. Nem titkosított, nyílt hálózati kapcsolatok,
különösen Wi-Fi, illetve Bluetooth használata tilos. Az  eszközön a  vezeték nélküli kapcsolatot alapértelmezésben
kikapcsolt állapotban kell tartani.
(5) A felhasználó az önálló szervezeti egység vezetője engedélyével igényelheti, hogy a hordozható infokommunikációs
eszközét az internetes szolgáltatások elérése céljából vezeték nélküli hálózathoz csatlakoztathassa azzal a feltétellel,
hogy az eszköznek rendelkeznie kell frissített, az üzemeltető által jóváhagyott kliensvédelemmel.
(6) A felhasználó köteles az Iroda tulajdonában lévő hordozható infokommunikációs eszközt hetente, illetve hosszabb
távollét esetén havonta az  Iroda informatikai hálózatához csatlakoztatni abból a  célból, hogy a  biztonsági és
vírusvédelmi frissítések települhessenek, megőrizve ezzel a biztonság integritását.
(7) A hordozható infokommunikációs eszközöket használó felhasználónak
a) tilos az eszközt gépjárműben, idegen helyen felügyelet nélkül vagy látható helyen hagyni,
b) a repülő- vagy vonatút alatt az eszközt kézipoggyászként kell szállítani,
c) az Iroda területén kívül, idegen helyen történő tárolás esetén fokozott figyelmet kell fordítani a jogosulatlan
hozzáférés elleni védelemre, az adatok bizalmasságának, sértetlenségének biztosítására,
d) tilos az eszköz engedély nélküli átruházása vagy adatainak közlése,
e) tilos az eszközt bármilyen indokolatlan veszélynek kitenni vagy nem rendeltetésszerűen használni.
(8) Az adatokat a mobil adathordozóról a feladat elvégzése után, védett hálózati meghajtóra való felmásolást követően
le kell törölni, és az adathordozót az esemény dokumentálása mellett a tárolóhelyre vissza kell adni.
(9) A hivatali adathordozót magáncélra használni, azon magánjellegű adatot tárolni, illetve nem hivatali adathordozót
hivatali célra használni és azon hivatali adatot tárolni tilos.
(10) Az Iroda elektronikus információs rendszerébe kapcsolt infokommunikációs eszközben csak olyan adathordozót
lehet használni, arról adatokat beolvasni, amelyen előtte a  rendszeresített és telepített víruskereső programmal
ellenőrzést végeztek, és az  eredmény alapján megállapítható, hogy az  adathordozó nem tartalmaz rosszindulatú
programot.
(11) A hordozható infokommunikációs eszközök és mobil adathordozók felhasználói felelősek az  eszközön található
adatok esetleges kiszivárgásáért, az  eszköz elvesztéséért, eltűnéséért, megsérüléséért. A  hordozható
infokommunikációs eszközök, mobil adathordozók eltűnése, ellopása esetén annak tényét a felhasználó haladéktalanul
jelenteni köteles az elektronikus információs rendszer biztonságáért felelős személynek és az elnöknek.
(12) A felhasználók egyes feladatok elvégzése érdekében, a  részükre biztosított, nyilvántartott és egyedi azonosítóval
ellátott, hivatali tulajdonú mobil adathordozóra kimenthetik a feladathoz kapcsolódó állományaikat.
50. A távoli hozzáférés szabályozása 67. § (1) Az Iroda hálózatában távoli eléréssel történő munkavégzést indokolt esetben, írásbeli kérelem alapján az  elnök
engedélyezhet.
(2) Az Iroda hálózatába bejelentkező személyek felett az Irodával kötött megállapodás alapján az üzemeltető gyakorol
kontrollt a nyilvántartásain és ellenőrzésein keresztül.
(3) Az Iroda hálózatában csak az  Iroda által biztosított infokommunikációs eszközökkel, a  biztonsági követelmények
betartása mellett végezhető távoli eléréssel történő munkavégzés.
(4) A távoli eléréssel történő munkavégzés eszközeinek és beállításainak meg kell felelniük az Irodán belüli használatra
előírt biztonsági feltételeknek.
(5) A távoli eléréssel történő munkavégzéssel kapcsolatos dokumentációt az igénylések és engedélyezések levelezései,
illetve a megfelelő adatlapok képezik.
(6) Az elektronikus információs rendszer biztonságáért felelős személy az éves ellenőrzések során az ellenőrzési tervben
foglaltak szerint szúrópróbaszerűen ellenőrzi a  távoli eléréssel történő munkavégzés-igénylések jogosságát és
megfelelőségét, valamint a dokumentációt; az ellenőrzésekről az éves jelentésében számol be az elnök részére.
51. A rendszerhozzáférés és -használat monitorozása 68. § (1) A külső felek az  Iroda elektronikus információs rendszerének megfelelő működése és biztonsága érdekében
az informatikai hálózatot, valamint az internetszolgáltatást monitorozhatják.
(2) Az elektronikus információs rendszerek, illetve rendszerelemek biztonsági, esemény- és hibanaplózását aktív
állapotban kell tartani.
(3) Minden rendszerelemről az  üzemeltető az  Irodával kötött megállapodásban rögzítettek alapján eseménynaplót
vezet, amelyben rögzíti a rendszerelemmel kapcsolatos szoftveres és hardveres beavatkozásokat, eseményeket.
(4) Az elektronikus információs rendszer valamennyi időinformáció kezelésére alkalmas elemének egységes időalapot
kell biztosítani.
(5) Az elektronikus információs rendszer monitorozása során jegyzőkönyvet kell készíteni a tapasztalatokról a vizsgált
időszak és terület vonatkozásában. Az informatikai központok belépési naplóit és a rendszerelemek eseménynaplóit
naprakészen kell vezetni. A rendszer monitorozása során be kell tartani az adatvédelemre és a személyiségi jogokra
vonatkozó törvényi előírásokat.
(6) Az elektronikus információs rendszer biztonságáért felelős személy az éves ellenőrzések során az ellenőrzési tervben
foglaltak szerint szúrópróbaszerűen ellenőrzi az (5) bekezdés szerinti naplókat és jegyzőkönyveket, az ellenőrzésekről
az éves jelentésében számol be az elnök részére.
52. Harmadik fél hozzáférése, a hozzáférés feltételei 69. § (1) Harmadik fél számára is hozzáférhető elektronikus információs rendszerek biztonságának fenntartása érdekében
a hozzáféréseket minden esetben ellenőrizni kell. Az ellenőrzés az elektronikus információs rendszer biztonságáért
felelős személy feladata.
(2) A biztonsági kockázatokat és az  ellenőrzés, valamint a  felügyelet követelményeit fel kell mérni. A  felmérésért
a harmadik féllel kötött megállapodás szakmai előkészítéséért felelős önálló szervezeti egység vezetője felel.
(3) Harmadik fél hozzáférésénél további résztvevők közreműködése is engedélyezhető. A  hozzáféréséről rendelkező
harmadik féllel kötött megállapodásban rendelkezni kell arról, hogy más, arra jogosult közreműködők is hozzáférhetnek
a különböző eszközökhöz. A megállapodásban rögzíteni kell a hozzáférés feltételeit.
(4) Amennyiben harmadik félnek ideiglenes hozzáférési engedélyt kell biztosítani, a  hozzáférési engedélyt az  önálló
szervezeti egység vezetője kérheti. Az elektronikus információs rendszer biztonságáért felelős személy a biztonsági
előírások figyelembevételével dönt az  engedély megadásáról, a  kiadott engedély másolatát átadja a  kérelmező
vezetőnek. A visszavonás feltételeit és a lejárat időpontját tartalmaznia kell a hozzáférési engedélynek.
(5) Az Iroda azon harmadik félnek, aki az  Iroda számára megállapodás alapján szolgáltatásokat nyújt, tevékenysége
végzéséhez meghatározott és engedélyezett fizikai, illetve logikai hozzáféréseket biztosít a  megállapodásban
rögzített feltételek szerint.
(6) A harmadik fél hordozható infokommunikációs eszközén tárolt, a  munkavégzés során megszerzett és az  Irodával
kapcsolatos adatokat a  munkavégzés befejezése után visszaállíthatatlanul törölni kell, amelyről a  harmadik félnek
írásos nyilatkozatot kell tennie.
IX. Fejezet 53. Üzletmenetfolytonosság-tervezés 70. § (1) A meghibásodások és a rendellenességek elhárítása során
a) az üzletmenet folytonosságának fenntartását szolgáló eljárás, valamint a  megelőző és helyreállítást vezérlő
eljárások (üzletmenet-folytonossági terv, katasztrófaelhárítási terv) együttes alkalmazásával mérsékelni kell
a különböző rendellenességek és a biztonsági rendszer meghibásodása által okozott fennakadásokat,
b) elemezni kell a meghibásodások, fennakadások és üzemzavarok következményeit,
c) az üzletmenetfolytonosság-irányításnak ki kell terjednie a kockázatok azonosítására és csökkentésére alkalmas
ellenőrzőeszközökre, a  kárt okozó események következményeinek korlátozására, valamint a  lényeges
tevékenységek időben történő újraindítására.
(2) Az üzletmenet-folytonosság tervezését projektszerűen kell megvalósítani. Az  üzletmenet-folytonosság biztosítási
folyamatának kialakítása során figyelembe kel venni
a) az információbiztonsági kockázatok felmérését és a bekövetkezési valószínűségek elemzését,
b) a folytonosság megszakadásából (megszakításából) következő hatások, következmények felmérését és
elemzését,
c) az elfogadott tervek rendszeres felülvizsgálatát és aktualizálását,
d) azt, hogy a  kulcsfontosságú elektronikus információs rendszerek kizárólag megfelelő és kipróbált
katasztrófaelhárítási terv alapján működhetnek éles üzemben.
 (3) Az üzletmenet-folytonosság megfelelő szintjét a  szükséges megelőző, illetve visszaállító intézkedésekkel kell
biztosítani, amely intézkedéseket előre meg kell tervezni.
 (4) Az üzletmenet-folytonossági tervnek részletesen meg kell határoznia a kívánt üzletmenet-folytonosság fenntartásához
szükséges megelőző, helyettesítő, illetve visszaállító intézkedések megvalósításához szükséges feltételeket, szervezeti
és szervezési lépéseket és a megvalósítás módját.
(5) A tervezés során mérlegelni kell az  okozott kár nagyságát és az  üzemzavari események, a  veszélyhelyzetek
bekövetkezésének gyakoriságát.
71. § (1) Az üzletmenet-folytonossági terv fő részei:
a) a helyzetfelmérés és értékelés,
b) az oktatás, tréning és tesztelés előkészítése, amelyek célja az  üzletmenet-folytonosság jelentőségének
tudatosítása, az  üzletmenetfolytonosság-tervezés alapismereteinek átadása, a  megelőzési és visszaállítási
tervben foglaltak megismerése és elsajátítása,
c) a megelőzési terv és
d) a visszaállítási terv.
(2) Az üzletmenet-folytonossági tervben foglalt intézkedések kiterjednek a  központi erőforrásokra, azok fizikai és
személyi környezetére, a végponti munkaállomásokra és a kommunikációs rendszer területeire.
(3) Az előzetes intézkedési tervnek tartalmaznia kell mindazon feltételek biztosítására vonatkozó intézkedéseket,
amelyek megléte nélkül az  üzletmenet-folytonossági terv nem működőképes, és a  következő projektfázisban
elvégzendő üzletmenet-folytonossági terv tesztje és tréningje nem valósítható meg.
(4) Az üzletmenet-folytonossági terv tesztelése és tréningje akkor válik elindíthatóvá, ha a szervezet által az üzletmenetfolytonossági terv készítési fázisa végén elfogadott intézkedési tervben foglaltak olyan szinten megvalósultak,
hogy  az  üzletmenet-folytonossági terv tesztje és tréningje meghatározott üzemzavar- és katasztrófaeseményre
kivitelezhető.
72. § (1) A katasztrófaelhárítás-tervezés célja a kiesési idő, a rendszer normál állapotának lehető legrövidebb időn belül történő
visszaállításán túl az, hogy ezt a kockázatokkal arányosan lehessen megvalósítani. A vészhelyzetekből eredő károk
megelőzésének, mérséklésének alapvető követelménye a  terv elkészítése, tesztelése és a  végrehajtás rendszeres
gyakorlása.
(2) Veszélyhelyzetnek minősül
a) az elemi kár,
b) az áramszünet,
c) a rendszerleállás,
d) a szolgáltatásszünetelés,
e) az adatsérülés és
f ) az adatvesztés.
(3) A katasztrófaelhárítási terv eljárások vagy tevékenységlépések sorozata annak biztosítására, hogy az  Iroda
információfeldolgozó képességeit – a szükséges aktuális adatokkal – a bekövetkezett katasztrófa után elfogadhatóan
rövid időn belül helyre lehessen állítani.
(4) A tervek tesztelését egy szimulált esemény bekövetkezésével és a terv szerinti visszaállítással kell megvalósítani.
 (5) A teszt értékelése során az üzletmenet folytonosságát biztosító terveket módosítani, aktualizálni kell, és gondoskodni
kell azok egymáshoz való illesztéséről. A terveket a folytonosan változó helyzethez, körülményekhez, infrastrukturális
követelményekhez is hozzá kell igazítani.
54. Záró rendelkezések 73. § Ez az utasítás a közzétételét követő napon lép hatályba.
Dr. Pálffy Ilona s. k.,
 elnök