Informatikai biztonsági szabályzat, amit betartanak.
Az informatikai biztonsági szabályzat (IBSZ) rögzíti, ki mit tehet a cég rendszereivel, és mit kell tennie baj esetén. Ha a NIS2, az ISO 27001 vagy a GDPR miatt kell, a papír nem elég: a szabályzatnak a valós gyakorlatot kell leírnia. Ez a cikk ellenőrzőlista – megmutatja, mit tartalmazzon, kinek kötelező, és hol csúszik el a legtöbb szervezetnél.
Mi az informatikai
biztonsági szabályzat?
Az informatikai biztonsági szabályzat (röviden IBSZ, más néven információbiztonsági szabályzat) a szervezet írott szabálya arról, hogyan védi az adatait és a rendszereit. Megmondja, ki miért felel, ki férhet hozzá mihez, mit kell tenni incidens esetén, és ki ellenőrzi mindezt.
Az IBSZ nem polcra szánt dokumentum. A jó szabályzat élő: a rendszerek, a kockázatok és a munkatársak változnak, ezért a szabályzatnak is változnia kell. Ha a vezetés és a kollégák nem ismerik, senki nem hivatkozik rá, az auditor pedig nem talál mögötte bizonyítékot, akkor csak papír.
Három próbát érdemes kiállnia. Érthető: egy átlagos munkatárs is tudja, mi vonatkozik rá. Betartható: a szabályok illenek a valós munkafolyamatokhoz. Bizonyítható: minden szabály mögött van napló, jegyzőkönyv vagy jelenléti ív.
Kinek kötelező az informatikai
biztonsági szabályzat?
NIS2 és a kiberbiztonsági törvény
A Magyarország kiberbiztonságáról szóló 2024. évi LXIX. törvény a NIS2 irányelvet ülteti át, 2025. január 1-jétől hatályos. Az alapvető és fontos szervezeteknek dokumentált, kockázatarányos biztonsági intézkedéseket kell alkalmazniuk. A szabályzat ennek a kerete. Hogy a te cégedre vonatkozik-e, külön cikkben végigvesszük.
Állami és önkormányzati szervek
Az Ibtv. (2013. évi L. törvény) 2025. január 1-jével hatályát vesztette, a helyét a kiberbiztonsági törvény vette át. Az önkormányzati hivatal akkor tartozik a hatálya alá, ha a törvény 1. melléklete felsorolja. A hivatalnál a 20 000 fő feletti település alapvető, az alatti fontos szervezetet jelent. A hatály 2026-ban módosult, ezért a Nemzeti Kiberbiztonsági Intézet (NKI) és az SZTFH oldalán érdemes ellenőrizni.
ISO 27001-tanúsítás
Az ISO/IEC 27001 szabványkövetelményként várja az információbiztonsági politikát, vezetői jóváhagyással. Szabályzat nélkül nincs tanúsítás. A ISO 27001-tanácsadásról külön oldalon írunk.
GDPR 32. cikk
Az adatkezelőnek és az adatfeldolgozónak a kockázatokkal arányos technikai és szervezési intézkedéseket kell alkalmaznia, és hatékonyságukat rendszeresen tesztelnie kell. A rendelet nem írja elő szó szerint a szabályzatot, de a szervezési intézkedéseket a gyakorlatban az IBSZ dokumentálja.
Ha egyik sem érint, az IBSZ-et akkor is érdemes elkészíteni. A nagyobb ügyfelek és partnerek beszállítói kérdőívei ugyanezt kérdezik. A jogszabályi háttérről a kiberbiztonsági törvényt bemutató cikkünkben írunk részletesen.
Mit tartalmazzon az
informatikai biztonsági szabályzat?
Ez a lista nem letölthető sablon, hanem ellenőrzőlista. Nézd végig a saját szabályzatodat: mely pont hiányzik, és melyik mögött nincs valós gyakorlat?
- Hatály és felelősségek – mely rendszerekre, telephelyekre és munkatársakra vonatkozik; ki a vezető, ki az informatikai biztonsági felelős, ki hagy jóvá.
- Vagyonleltár és osztályozás – a rendszerek és adatok jegyzéke tulajdonossal; az adatok bizalmassági szintjei.
- Hozzáférés-kezelés és jelszó – legkisebb jogosultság, belépési és kilépési folyamat, jelszóhossz, többfaktoros azonosítás.
- Felhasználói felelősség – mit szabad és mit tilos; hogyan kell kezelni a gyanús leveleket; mit kell jelenteni és kinek.
- Mobil és távmunka – saját eszköz használata, VPN, eszköztitkosítás, elvesztett eszköz bejelentése.
- Hálózat és rendszerbiztonság – tűzfal, hálózati szegmentálás, frissítések, kártevő elleni védelem, sérülékenységkezelés.
- Változáskezelés – ki, milyen jóváhagyással és tesztelés után módosíthat éles rendszert.
- Mentés és visszaállítás – mit mentesz, hová, milyen gyakran – és ki próbálta ki, hogy a visszaállítás működik.
- Naplózás – mit naplóztok, meddig őrzitek, és ki nézi át rendszeresen.
- Incidenskezelés – észlelés, jelentés, súlyossági szintek, eszkaláció, hatósági és adatvédelmi bejelentési kötelezettség.
- Üzletmenet-folytonosság – a kritikus folyamatok, a helyreállítási célok és a vészhelyzeti teendők.
- Beszállítók – biztonsági követelmények a szerződésben, beszállítói értékelés, kilépési terv.
- Oktatás és tudatosság – belépéskor és évente; a részvétel bizonyítéka.
- Felülvizsgálat – legalább évente és lényeges változáskor; vezetői jóváhagyás, verziószám, változásnapló.
Kérdezd meg három kollégádtól külön-külön, mit tennének, ha adathalász levelet kapnának. Ha nem ugyanazt válaszolják, a szabályzat nem él – akármilyen jó a szövege.
Miért nem elég
a letöltött minta?
A letöltött informatikai biztonsági szabályzat minta jó kiindulópont, de önmagában ritkán áll meg egy auditon. Hat hiba, amit újra és újra látunk.
Nem a cégre szabott
A minta más cég rendszereit írja le. Olyan eszközt említ, amit nem használtok, és hiányzik belőle az, amit igen.
Nincs felelőse
„Az informatika” nem név. Ha nem tudni, ki hagyta jóvá és ki frissíti, a szabályzat gazdátlan.
Nem tartják be
Papíron minden belépés naplózva van, a valóságban nem. Az auditor nem a szöveget, hanem a bizonyítékot kéri.
Nincs oktatás
Ha a munkatársak nem ismerik a szabályokat, nem is tarthatják be őket. Az oktatás részvételi bizonyítékkal együtt számít.
Nem frissítik
Két éve írták, azóta új felhőszolgáltatás, új beszállító, új telephely. A szabályzat egy már nem létező cégről szól.
Ellentmond a gyakorlatnak
A szabály tiltja a saját eszközt, de mindenki azzal olvassa a leveleit. Ez rosszabb a hiánynál, mert auditon eltérésként jelenik meg.
Az informatikai biztonsági felelős
szerepe a szabályzat körül
Az informatikai biztonsági felelős (IBF) a szabályzat gazdája. Nem azonos a rendszergazdával: a rendszergazda üzemeltet, az IBF azt nézi, hogy az üzemeltetés megfelel-e a szabályzatnak. A kiberbiztonsági törvény szerint az érintett szervezet vezetője a felelős a megfelelésért, ezt a felelősséget nem ruházhatja át.
Az IBF a szabályzat körül ezt csinálja:
- karbantartja a szabályzatot, és évente felülvizsgálja;
- vezeti a kockázatelemzést, és követi az intézkedések állapotát;
- szervezi az oktatást, és őrzi a részvétel bizonyítékait;
- incidensnél koordinál, és jelent a vezetőnek;
- kapcsolattartó az auditorral és a hatóság felé.
Ha nincs erre belső ember, az IBF-szerep kiszervezhető. A NIS2-megfelelés oldalán leírjuk, hogyan működik ez nálunk. Az IBF-kiszervezés nem viszi el a vezető felelősségét, de ad egy szakembert, aki a szabályzatot életben tartja.
Hogyan készítjük el
a szabályzatodat?
Felmérés-workshop
Néhány órában végigmegyünk a rendszereiden, folyamataidon és a meglévő dokumentumaidon. Kiderül, mi van meg, mi hiányzik, és mi ellentmond a gyakorlatnak.
Kockázatelemzés
A valós adataid és rendszereid alapján rangsoroljuk a kockázatokat. A szabályzat ezekre épül, nem általános felsorolásra.
Szabályzat és eljárásrendek
Megírjuk az IBSZ-et és a hozzá tartozó eljárásrendeket a te rendszereidre, rövid, érthető mondatokkal.
Oktatás
A vezetőket és a munkatársakat a saját szabályzatukra oktatjuk, jelenléti bizonyítékkal.
Auditálható bizonyítékok
Beállítjuk, hogy a szabályok mögött napló, nyilvántartás és jegyzőkönyv legyen. Így a szabályzat nem állítás, hanem igazolható gyakorlat.
Mit kapsz a végén?
- cégre szabott informatikai biztonsági szabályzatot és eljárásrendeket;
- a kockázatelemzés eredményét, rangsorolt teendőkkel;
- oktatási anyagot és a részvétel igazolását;
- gap-elemzést: mi hiányzik még a NIS2- vagy az ISO 27001-megfeleléshez.
Az auditot nem mi végezzük: az auditort a cég választja a hatóság nyilvántartásából. Mi felkészítünk rá, hogy a szabályzatod és a mögötte lévő bizonyítékok megálljanak.
Ezt is érdemes
elolvasnod.
Kötelező az informatikai biztonsági szabályzat?
Attól függ, melyik szabályozás vonatkozik rád. A kiberbiztonsági törvény hatálya alá tartozó szervezeteknek dokumentált biztonsági intézkedéseket kell alkalmazniuk, az ISO 27001-tanúsítás pedig szabványkövetelményként várja az információbiztonsági politikát. A GDPR 32. cikke kockázatarányos intézkedéseket kér. A gyakorlatban mindhárom helyen a szabályzat a bizonyíték.
Mi a különbség az IBSZ és az információbiztonsági szabályzat között?
Hétköznapi használatban semmi: mindkettő a szervezet írott biztonsági szabályait jelenti. Az ISO 27001 az általános, vezetői szintű dokumentumot információbiztonsági politikának nevezi, a részleteket pedig eljárásrendek és munkautasítások tartalmazzák. Az IBSZ ezt a kettőt gyakran egy dokumentumban fogja össze.
Kell informatikai biztonsági szabályzat az önkormányzatnak 2026-ban?
A 2013. évi L. törvény (Ibtv.) 2025. január 1-jével hatályát vesztette, a helyét a kiberbiztonsági törvény vette át. Az önkormányzati hivatalok akkor tartoznak a hatálya alá, ha a törvény 1. melléklete felsorolja őket. A hatály 2026-ban módosult; a jelenlegi szabályozás szerint a Nemzeti Kiberbiztonsági Intézet (NKI) és az SZTFH oldalán érdemes ellenőrizni.
Találok informatikai biztonsági szabályzat mintát az interneten?
Találsz, de a minta egy másik cég rendszereit írja le. Kiindulópontnak jó, bizonyítéknak nem. Ezért ez az oldal ellenőrzőlista, nem letölthető sablon: a lista segít eldönteni, mi hiányzik a szabályzatodból, a tartalmat a saját rendszereidre kell megírni.
Ki legyen az informatikai biztonsági felelős?
Olyan személy, akinek van rálátása az üzleti folyamatokra és a rendszerekre, és van elég tekintélye ahhoz, hogy a vezetőnek is jelentsen. Ne ugyanaz legyen, aki egyedül üzemeltet mindent, mert akkor saját magát ellenőrizné. Belső ember hiányában az IBF-szerep kiszervezhető, a felelősség viszont a vezetőnél marad.
Milyen gyakran kell frissíteni a szabályzatot?
Legalább évente át kell nézni, és minden lényeges változás után is: új rendszer, új beszállító, incidens, jogszabály-módosítás. A felülvizsgálatot vezetői jóváhagyással és verziószámmal érdemes rögzíteni, mert az auditor ezt keresi.
Van szabályzatod,
de nem tudod, él-e?
Átnézzük a meglévőt, vagy nulláról megírjuk a cégedre. Az első beszélgetés után megmondjuk, mi a legkisebb lépés, ami már számít.