3. számú melléklet az informatikai biztonsági és üzemeltetési kérdések rendjérıl szóló 16/2008. (08.19.) számú elnöki utasításhoz Nemzeti Fejlesztési Ügynökség EMIR jogosultságkezelési szabályzat
Tartalom jegyzék Az EMIR jogosultságkezelési szabályzat...3 A szabályzat célja...3 A szabályzat hatálya...3 Fogalmak meghatározások...4 Az EMIR jogosultságkezelés folyamata...6 Az EMIR jogosultságkezeléshez kötıdı feladat- és hatáskörök...7 Adatgazda...7 Alkalmazásért felelıs vezetı...8 Jogosultságigény engedélyezı...8 Felhasználók...8 1. Ábra: a jogosultságkezelés folyamata...9
Az EMIR jogosultságkezelési szabályzat A szabályzat célja A Nemzeti Fejlesztési Ügynökség (továbbiakban: NFÜ) által üzemeltetett Egységes Monitoring Információs Rendszer (továbbiakban: EMIR) szabályozott, ellenırizhetı felhasználói adminisztrációjának megteremtése érdekében központosított jogosultságkezelés átláthatóságának, nyomonkövethetıségének, ellenırizhetıségének megteremtése. A szabályzat hatálya Jelen szabályzat az Európai Unió által nyújtott egyes pénzügyi támogatások felhasználásával megvalósuló, és egyes nemzetközi megállapodások alapján finanszírozott programok monitoring rendszerének kialakításáról és mőködésérıl szóló 102/2006. (IV. 28.) Kormány rendelet 20. -a alapján szabályozza az EMIR rendszerhez történı hozzáféréssel kapcsolatos jogosultság kezelési eljárásokat. A szabályzat a közzétételét követı 5. munkanapon lép hatályba. A hatályos EMIR jogosultságkezelési szabályzat megtalálható az Interaktív Mőködési Kézikönyv weboldalán (http://imk.nfu.hu). Az EMIR rendszert csak olyan személy használhatja, aki a szabályzatot ismeri, és betartja. Ennek érdekében a szabályzatot minden olyan személlyel ismertetni kell, aki az eszközök használatára engedélyt vagy utasítást kap. Az ismertetés az adott szervezetnél dolgozó jogosultságigény engedélyezı feladat- és hatásköre. A szabályzatban foglaltak tudomásulvételét és az abban foglaltak elfogadását a jogosultság igénylı aláírással kell igazolni. Az a személy, aki ezt nem tette meg, nem jogosult a rendszer használatára. Jelen szabályzatot évente rendszeresen felül kell vizsgálni. Az éves rendszeres és az igény esetén felmerülı felülvizsgálatért az alkalmazásért felelıs vezetı felel. A módosításról és a hatályos szabályzat elérhetıségérıl a jogosultságigény engedélyezıket elektronikus úton értesíteni kell.
Fogalmak meghatározások Adatgazda A 102/2006 (IV. 28.) Kormány rendelet 18. -a alapján az NFÜ elnöke: feladata a rendszerben tárolt adatok, információk védelme, a hozzáférés engedélyezése, tiltása. A hozzáférés engedélyezési jogkörét a kinevezett jogosultságigény engedélyezıkön keresztül gyakorolja. EMIR irányító hatóság közremőködı szervezet A strukturális alapokból, a Kohéziós Alapból, a PHARE-ból, az Átmeneti Támogatásból, a Schengen Alapból, az Európai Gazdasági Térség és Norvég Finanszírozási Mechanizmusból, valamint az ezekhez társuló hazai forrásokból megvalósuló programokkal és projektekkel kapcsolatos menedzsment (végrehajtási és kifizetési), monitoring, illetve ellenırzési, szabálytalanságkezelési és számviteli feladatokat támogató információtechnológiai rendszer. Nemzeti Fejlesztési Terv valamint az Új Magyarország Fejlesztési Terv operatív programjai irányítására kijelölt hatóság, az NFÜ szervezeti egysége (továbbiakban: IH) Az irányító hatóság illetékessége alatt eljáró, vagy ilyen hatóság nevében feladatokat, mőveleteket végrehajtó szervezet (továbbiakban: KSZ) jogosultságigény engedélyezı Az adatgazda által kijelölt személyek: az IH-k és a KSZ-ek vezetıi valamint az NFÜ EMIR alkalmazásért felelıs szervezeti egység, az Informatikai és Tájékoztatási Fıosztály vezetıje, illetve az adatgazda által külön kijelölt, vezetı beosztású személyek. A jogosultságigény engedélyezık aktualizált listája az Interaktív Mőködési Kézikönyv weboldalán megtalálható.
jogosultság intézı A jogosultságigény engedélyezı által kijelölt személy, aki a felhasználó jogosultság igényét szakmai, formai és tartalmi ellenırzés után továbbíthatja az engedélyezı felé (általában a szervezet EMIR menedzsere). jogosultság menedzser Az Informatikai és Tájékoztatási Fıosztály azon munkatársai, akik az EMIR alkalmazás esetében jogosultságok beállítása, módosítása, visszavonása, szerepkörök módosítása, új szerepkör létrehozása, vagy szerepkör törlése kapcsán feladatokat látnak el. A jogosultságmenedzserek aktuális listája az Interaktív Mőködési Kézikönyv weboldalán található meg. alkalmazásért felelıs vezetı Az NFÜ Informatikai és Tájékoztatási Fıosztály vezetıje felhasználó Mindazon személyek, akiknek munkaköri feladatuk ellátásához hozzáférési jogosultságuk van az EMIR alkalmazáshoz. jogosultsági mátrix Az EMIR alkalmazásban az UMFT alrendszerre létrehozott jogosultsági konténerek és szerepkörök összessége
Az EMIR jogosultságkezelés folyamata EMIR hozzáférés a strukturális alapokból, a Kohéziós Alapból, a PHARE-ból, az Átmeneti Támogatásból, a Schengen Alapból, az Európai Gazdasági Térség és Norvég Finanszírozási Mechanizmusból, valamint az ezekhez társuló hazai forrásokból megvalósuló programokkal és projektekkel kapcsolatos menedzsment (végrehajtási és kifizetési), monitoring, illetve ellenırzési, szabálytalanságkezelési és számviteli feladatokat ellátó szervezetek munkatársainak adható, a szervezet feladat- és hatáskörébe, valamint illetékességébe tartozó adatok vonatkozásában. Új jogosultsági igény esetén a munkatárs, akinek a munkakörének ellátásához szükséges az EMIR használata a jogosultság-igénylılap kitöltésével és annak aláírásával kérelmezi az UMFT alrendszer esetén jogosultsági mátrixban, egyéb alrendszerben az alrendszerhez kapcsolódó jogosultság-igénylılapon meghatározott felhasználói jogokat. Az EMIR UMFT moduljának használatához elıre definiált jogosultsági mátrixokból lehet kiválasztani a munkatárs feladatellátása szempontjából indokolt változatot. Az igénylılapot ÚMFT alrendszer esetén az Elektronikus HelpDesk jogosultság menüpontja alatt kell kitölteni, majd onnan kinyomtatni (http://emir.nfu.hu/helpdesk/), egyéb alrendszerek igénylılapja letölthetı az Interaktív Mőködési Kézikönyv honlapjáról. EMIR hozzáférést írási vagy jóváhagyási joggal csak a rendszer használatról szóló oktatáson részt vett munkatársak kaphatnak, vizsgakötelezettség terheli a jogosultság intézıt attól függetlenül, hogy milyen típusú jogosultságot igényelnek. Adott hónapra szóló oktatási igényeket az Elektronikus HelpDesk oktatás menüpontján keresztül kell bejelenteni az azt megelızı hónap (tárgyhó) 20-áig. Amennyiben a vizsga sikertelen, vagy a jogosultságot igénylı munkatárs nem vesz részt az adott modul oktatásán, a jogosultság nem adható ki. Az igénylést az adott szervezet által kijelöl jogosultság intézı formailag és tartalmilag ellenırzi és a jogosultsági igényt aláírja, ha azt megfelelınek találja, majd továbbítja azt a jogosultságigény engedélyezı felé, aki a jóváhagyást az igénylılap aláírásával igazolja. Az igénylés elfogadása és aláírása esetén a jogosultságigény engedélyezı faxon továbbítja a kérelmet a jogosultság menedzser felé az erre kijelölt telefax számra (+36 1 237-4279). A telefax beérkezését követıen a jogosultság menedzser ellenırzi, hogy az igénylılap formailag és tartalmilag megfelelı és tartalmilag és formailag megfelelı jogosultság igény esetében intézkedik a jogosultság beállításáról. A jogosultságmenedzser az igénylés beérkezésétıl számított 5 munkanapon belül köteles elutasítani a jogosultsági igényt, ha annak teljesítése jogszabályba ütközik, az engedélyezı aláírása nem megfelelı, vagy nem az arra felhatalmazott személy írja alá, illetve elutasíthatja, amennyiben az igénylés hibásan vagy hiányosan lett kitöltve. Minden elutasítás esetében a jogosultság igénylıje is értesítést kap az igény elutasításról és annak okáról. A jogosultság beállítását követıen a jogosultságmenedzser az igénylés telefaxon történı megérkezését követı 10 munkanapon belül értesíti a felhasználót jogosultságának beállításáról.
A jogosultságmenedzser állítja elı a felhasználói azonosítót, saját azonosító használata nem megengedett. A felhasználói azonosítót és az inicializáló jelszót írásban, személyes átvétel útján az átvétel igazolása mellett lehet átvenni. Amennyiben az értesítéstıl számított 42 napon belül nem veszik át a jelszót tartalmazó zárt borítékot, abban az esetben a felhasználói azonosító automatikusan felfüggesztésre kerül. Az inicializáló jelszót az elsı bejelentkezéskor a felhasználónak meg kell változtatnia. Minden jogosultsági igény, ami kiadott sablonok módosítása nélkül nem teljesíthetı változáskezelésként kell értelmezni, és mint ilyet a Fejlesztési Szabályzat által meghatározott változáskezelés szabályainak megfelelıen kell kezelni. Amennyiben a jogosultságigénylı lap anyja neve, illetve születési idı rovatai megfelelıen kitöltésre kerültek, ezen adatok segítségével történı azonosítást követıen a rendszerhez történı hozzáféréshez szükséges felhasználónevet és az inicializáló jelszót a jogosultság menedzser a telefonon közli a felhasználóval. A telefonhívást az átvétel késıbbi ellenırzése céljából az NFÜ rögzíti. Amennyiben a telefonos megkeresés három egymást követı napon sikertelen, úgy a jogosultságmenedzser e-mailben értesíti a felhasználót és a jogosultság igénylıt, hogy a felhasználói azonosítót és az inicializáló jelszót személyesen veheti át az NFÜ-ben, nyomtatott formában, az átvétel igazolása mellett. Amennyiben az értesítéstıl számított 42 napon belül nem veszik át a jelszót tartalmazó zárt borítékot, abban az esetben a felhasználói azonosító automatikusan felfüggesztésre kerül. A jogosultság módosítása esetén fenti eljárási szabályok az érvényesek. Ha a felhasználó kilépése, munkakörének változása vagy egyéb körülmény indokolja a jogosultság intézınek a feladata legkésıbb a kérelem okának felmerülésétıl számított 5 munkanapon belül a kiadott jogok visszavonását kezdeményezni a jogosultság-igénylılap kitöltésével, melyet a jogosultságigény engedélyezı sajátkező aláírásával lát el. Ebben az esetben a felhasználó aláírása nem szükséges. Jogosultság törlése illetve felhasználói jelszó módosítása esetén a jogosultságmenedzser az igénylés telefaxon történı megérkezését követı 2 munkanapon belül köteles az igényt teljesíteni. Az EMIR jogosultságkezeléshez kötıdı feladat- és hatáskörök Adatgazda Az adatgazda feladata és felelıssége a rendszerben tárolt adatok, információk védelme, a hozzáférés engedélyezése, tiltása. Ezen jogkörét az általa kijelölt jogosultság engedélyezıkön keresztül gyakorolja. Az adatgazda biztonsági vagy más indokok alapján dönthet a jogosultsági rendszer és a hozzáférések, jogosultságok teljes körő felülvizsgálatáról, illetve megújításának szükségességérıl és annak módjáról.
Alkalmazásért felelıs vezetı Az alkalmazásért felelıs vezetı köteles évente bekérni vagy helyszínen ellenırizni a jogosultságigény engedélyezıktıl a jogosultságkezelési nyilvántartásban tárolt, az alkalmazáshoz rendszeresített hozzáférési igénylılapokat és a személyzeti változások bejelentéseit. Az adatokat az alkalmazásért felelıs vezetı összeveti a jogosultságbeállítások adataival és amennyiben az igényelt és beállított jogosultságok között eltérés nem tapasztalható, az ellenırzést lezárja. Eltérés esetén különbségi listát állít össze és kivizsgálja az eltérés keletkezésének okát illetve intézkedik az eltérés megszüntetésérıl. Jogosultságigény engedélyezı A jogosultságigény engedélyezık felelısséggel tartoznak az általuk jóváhagyott kérelmek tartalmáért, különösen azért, hogy csak a velük munkavégzésre irányuló jogviszonyban álló felhasználóknak és csak a feladatellátáshoz szükséges, jogi és szabályozási feltételeknek megfelelı jogosultságot engedélyezhetik. Az engedélyezésnél az EMIR Informatikai Biztonsági Szabályzatára figyelemmel kell eljárni. A jogosultságigény engedélyezınek irattároznia kell a jogosultság kérelmezésekor, az igénylılap továbbításával egyidejőleg, az igénylılap eredeti, papír alapú, a felhasználó, az EMIR menedzser és az engedélyezı aláírásával ellátott példányát, amely bekerül a jogosultságkezelési nyilvántartásba. A jogosultságigény engedélyezı, a jogosultság intézı vagy a felhasználók kilépése esetén a jogosultság menedzsert haladéktalanul értesíteni kell a jogosultság törlés igénylése érdekében. Felhasználók A felhasználók feladata, hogy az EMIR alkalmazáshoz szerzett jogosultságukat, szakszerően, indokoltan, a kapcsolódó szabályzatoknak megfelelıen használják, munkaköri vagy jogviszony változás esetén a szervezeti egységük jogosultság intézıjénél haladéktalanul kezdeményezzék jogosultságuk módosítását, törlését. Minden felhasználónak haladéktalanul jelentenie kell jogosultságigény engedélyezınek, ha azt tapasztalja, hogy az ı vagy más jogosultságával visszaéltek, ha illetéktelen jogosultságokhoz jutott vagy meglévı jogosultságai változtak. A felhasználó hozzáférési probléma észlelése esetén a problémát az elektronikus HelpDesken köteles bejelenteni.
1. Ábra: a jogosultságkezelés folyamata