Nemzetközi jogszabályi háttér I.

Átírás

1 SZ2 Az elektronikus információbiztonságról szóló jogszabályok és a létfontosságú rendszerek Budapest, szeptember 28. Selyem Zsuzsanna tű. alezredes (zsuzsanna.selyem@katved.gov.hu) Nemzetközi jogszabályi háttér I. A kiberbiztonságról és védelemről szóló, 2012/2096(INI) Európai Parlamenti határozat Az Európai Unió kiberbiztonsági stratégiája: Nyílt, megbízható és biztonságos kibertér ( ) Az európai Unió alapértékei ugyanolyan mértékben vonatkoznak a digitális világra, mint a fizikai világra. A kiberbiztonsági események nem ismernek országhatárokat. 1

2 1. dia SZ2 Selyem Zsuzsanna;

3 Nemzetközi jogszabályi háttér II. NATO Stratégiai Koncepció (2010 november) NATO Kibervédelmi Politika (2011 június) NATO-csúcs dokumentumok ( Lisszabon, Chicagó) Szövetségi kibervédelmi elvek és célok NIS irányelv (Network and Information Security Directive) 2016/1148 EU direktíva (2016. július 19.). Tagállami feladatok: együttműködési csoport, nemzeti CSIRT-ek és kapcsolattartó pont, alapvető szolgáltatásokat nyújtó gazdasági szereplők és digitális szolgáltatők azonosítása, felmérése, biztonsági és bejelentési kötelezettség 2

4 Hazai jogi környezet a létfontosságú rendszerek és létesítmények azonosításáról, kijelöléséről és védelméről szóló évi CLXVI. törvény (Lrtv.) A Kormány 1139/2013. (III. 21.) Korm. határozata Magyarország Nemzeti Kiberbiztonsági Stratégiájáról az állami és önkormányzati szervek elektronikus információbiztonságáról szóló évi L. törvény (Ibtv.) (módosítva: július 6.) Releváns jogszabályok a kormányzati eseménykezelő központ és az eseménykezelő központok feladat- és hatásköréről, valamint a biztonsági események kezelésének, a biztonsági események műszaki vizsgálatának és a sérülékenységvizsgálat lefolytatásának szabályairól szóló 185/2015. (VII. 13.) Korm. rendelet az elektronikus információs rendszerek biztonsági felügyeletét ellátó hatóságok, valamint az információbiztonsági felügyelő feladat- és hatásköréről, továbbá a zárt célú elektronikus információs rendszerek meghatározásáról szóló 187/2015. (VII. 13.) Korm. Rendelet az állami és önkormányzati szervek elektronikus információbiztonságáról szóló évi L. törvényben meghatározott technológiai biztonsági, valamint a biztonságos információs eszközökre, termékekre, továbbá a biztonsági osztályba és biztonsági szintbe sorolásra vonatkozó követelményekről szóló 41/2015. (VII. 15.) BM rendelet 3

5 Szerepkörök és felelősségi körök Hálózati és információs biztonság Bűnüldözés Védelem EU Bizottság / ENISA CERT-EU Illetékes hatóságok hálózata EP3R EC3 (Europol) CEPOL Eurojust EKSZ Európai Védelmi Ügynökség Ágazat Tudományos körök NEMZETI Nemzeti CERT-ek NIS tekintetében illetékes hatóságok Nemzeti számítástechnikai bűnözés elleni egységek Nemzeti védelmi és biztonsági hatóságok Az állami és önkormányzati szervek elektronikus információbiztonságáról szóló évi L. törvény (Ibtv.) az állami és önkormányzati szerveken kívül a hatálya alá tartoznak az európai és nemzeti létfontosságú rendszerek és létesítmények is 2. (2) c) E törvény rendelkezéseit kell alkalmazni:. az európai vagy nemzeti létfontosságú rendszerelemmé a létfontosságú rendszerek és létesítmények azonosításáról, kijelöléséről és védelméről szóló törvény alapján kijelölt rendszerelemek elektronikus információs rendszereinek védelmére. 4

6 Ibtv. főbb tartalmi elemei alapvető elektronikus információbiztonsági követelmények meghatározása az elektronikus információs rendszerek biztonságának felügyelete információbiztonsági felügyelő sérülékenységvizsgálat, biztonsági esemény vizsgálata eseménykezelés (GovCERT, LRLIBEK) Ibtv. módosításával összefüggő változások hatósági jogkörök áthelyezése egyes speciális rendszerek tekintetében a NEIH-től kijelölt európai vagy nemzeti létfontosságú rendszerek tekintetében hatóságként a BM OKF jár el (kivételek!) a kijelölt létfontosságú létesítmény, rendszer elektronikus információs rendszereit érintő biztonsági események és fenyegetések kezelését a BM OKF végzi (LRLIBEK) (kivételek!) eseménykezelés terén technikai jellegű feladatok csökkenése 5

7 Elektronikus információs rendszerek hatósági felügyelete állami és önkormányzati rendszerek NEIH IH** honvédelmi célú (zárt és nyílt) rendszerek zárt célú rendszerek MŰKÖDTETŐ SZERV VEZETŐJE / ILLETÉKES MINISZTER KNBSZ* FŐIGAZGATÓJA európai és nemzeti létfontosságú rendszerek BM OKF * Katonai Nemzetbiztonsági Szolgálat ** polgári hírszerző tevékenységet vezető nemzetbiztonsági szolgálat főigazgatója Eseménykezelő központok ügyfélkörének megoszlása állami és önkormányzati rendszerek GovCERT IH* IntCert honvédelmi célú (zárt és nyílt) rendszerek zárt célú rendszerek MilCERT európai és nemzeti létfontosságú rendszerek LRLIBEK * polgári hírszerző tevékenységet végző nemzetbiztonsági szolgálat rendszerei 6

8 Hatósági feladatok I. (187/2015. (VII. 13.) Korm. Rendelet 19. alapján) az osztályba sorolás és a biztonsági szint megállapításának ellenőrzése és döntés meghozatala, valamint ezen szintekre vonatkozó követelmények teljesülésének ellenőrzése, biztonsági hiányosságok elhárításának elrendelése, kockázatelemzés elvégzése, biztonsági eseményekkel kapcsolatos bejelentések kivizsgálására irányuló hatósági eljárás megindítása, Hatósági feladatok II. (187/2015. (VII. 13.) Korm. Rendelet 19. alapján) az információs társadalom biztonságtudatosságának elősegítése és támogatása, hazai és nemzetközi információs infrastruktúra védelmével kapcsolatos gyakorlatokon való részvétel, kapcsolattartás és együttműködés a hatósággal, valamint az eseménykezelő központokkal, 7

9 Hatósági jogosultságok I. (187/2015. (VII. 13.) Korm. Rendelet 20. alapján) A jogszabályokban foglalt biztonsági követelmények és az ezekhez kapcsolódó eljárási szabályok teljesülésének ellenőrzése a követelményeknek való megfelelőség alátámasztásához szükséges dokumentumok bekérése, a fejlesztési projektek tervezési szakaszában részvétel biztosítása, az információbiztonsági követelmények megtartásának, biztonsági követelmények beépülésének ellenőrzése, azokra ajánlások tétele (utóbbi csak a költségvetési és eu-s forrásokból megvalósuló fejl.), a sérülékenység megszüntetésére vonatkozó intézkedési terv készítése, Hatósági jogosultságok II. (187/2015. (VII. 13.) Korm. Rendelet 21. és 22. alapján) nyilvántartás vezetése a hatáskörébe tartozó szervezetekről, rendszerekről, Amennyiben a rendszert működtető szervezet a biztonsági követelményeket és az ehhez kapcsolódó eljárási szabályokat nem teljesíti, vagy nem tartja be, akkor az érintett felszólítása a jogszabályokban foglalt biztonsági követelmények és az ehhez kapcsolódó eljárási szabályok teljesítésére. 8

10 Üzemeltetői feladatok, határidők a szervezet azonosításához szükséges adatok megküldése az elektronikus információs rendszer biztonságáért felelős személy kijelölése, adatainak megküldése (előírt képzési követelmények teljesítésére 5 év) Kijelölő határozat jogerőre emelkedésétől 60 napon belül Üzemeltetői feladatok, határidők a szervezet informatikai biztonsági szabályzatának megküldése Kijelölő határozat jogerőre emelkedésétől 90 napon belül 9

11 SZ1 Üzemeltetői feladatok, határidők biztonsági osztályba és szintbe sorolás elvégzése Kijelölő határozat jogerőre emelkedésétől 1 éven belül Elektronikus információs rendszerek felsorolása, informatikai kockázatok feltüntetése az ÜBT-ben Elektronikus információs rendszerek lehatárolása Biztonsági osztály, biztonsági szint rendszerek osztály szervezet szint 1-5 skála az ajánlástól való eltérés hatósági engedéllyel követelmények teljesítésére szintenként 2 év 10

12 19. dia SZ1 eir: az adatok, információk kezelésére használt eszközök (környezeti infrastruktúra, hardver, hálózat és adathordozók), eljárások (szabályozás, szoftver és kapcsolódó folyamatok), valamint az ezeket kezelő személyek együttese Selyem Zsuzsanna;

13 Biztonsági osztály az elektronikus információs rendszer védelmének elvárt erőssége Alapelvek: adminisztratív fizikai logikai bizalmasság sértetlenség rendelkezésre állás védelmi intézkedések Biztonsági szint a szervezet vagy szervezeti egység felkészültsége a meghatározott biztonsági feladatok kezelésére (a biztonsági menedzsment fejlettsége, érettsége) a besorolás a használt információs rendszer funkcióitól, az általa kezelt adatoktól, valamint a rendszer használatának minőségétől (használ, üzemeltet, fejleszt stb.) függ 11

14 Eseménykezelési feladatok I. 185/2015. (VII. 13.) Korm. Rendelet 4. alapján a tudomására jutott biztonsági eseményekről az érintettek haladéktalan értesítése biztonsági eseményekről nyilvántartás vezetése (személyes adatokat nem tartalmaz, megtett intézkedések és azok eredménye kerül rögzítésre) az érintettek számára a biztonsági események kezelése során szakmai támogatás nyújtása sérülékenységekkel és fenyegető kockázatokkal kapcsolatos tájékoztatás éves jelentés készítése a tevékenységet irányító miniszter részére Eseménykezelési feladatok II. 185/2015. (VII. 13.) Korm. rendelet állásfoglalások, ajánlások kiadása (nem kötelező érvényű) biztonsági események kezelésére vonatkozó tájékoztatók tartása információbiztonság tudatosító programokban való részvétel, szakértői-oktatói tevékenység végzése információtechnológiai, hálózatbiztonsági, és biztonságiesemény-kezelési együttműködési fórum működtetetése nyilvántartás vezetése (partnerek, együttműködő felek elérhetőségei) az észlelt, valamint a tudomásunkra jutott biztonsági eseményekről a Kormányzati Eseménykezelő Központ haladéktalan tájékoztatása 12

15 Üzemeltetői feladatok biztonsági események, incidensek bejelentése a Létfontosságú Rendszerek és Létesítmények Informatikai Biztonsági Eseménykezelő Központja (LRLIBEK) felé részvétel az esemény kivizsgálásában az esemény felszámolásához szükséges intézkedések végrehajtása Létfontosságú Rendszerek és Létesítmények Informatikai Biztonsági Eseménykezelő Központja (LRLIBEK) 13

16 LRLIBEK március 19-én átadásra került a Létfontosságú Rendszerek és Létesítmények Informatikai Biztonsági Eseménykezelő Központja (LRLIBEK) BM OKF Országos Iparbiztonsági Főfelügyelőség keretein belül működik Hálózatbiztonsági feladatai mellett elsősorban iparbiztonsági események kezelésével, gyakorlatok, ellenőrzési akciók koordinálásával foglalkozik Folyamatosan bővíti a hálózatbiztonsági szakmai tevékenységet és a bevont rendszerek körét. Kialakítja a működési protokollokat, szabályrendszereket. Köszönöm a figyelmet. Kérdések? 14