A dokumentáció készítésének fő célja, hogy egy megfelelően átgondolt, jól strukturált és könnyen felügyelhető hálózati rendszerünk legyen. Természetesen a NIST által lefektetett alappilléreket a magyar jogrendben is megtalálhatóak. E szabályozásokat a 77-es számú NFM rendelet tartalmazza.
A fent említett szabálygyűjteményt szeretnénk most bemutatni nektek, kiemelve belőle a hálózat szempontjából fontosabb elemeket:
1. Adminisztratív védelmi intézkedések
1.1 Szervezeti szintű alapfeladatok
- biztonságpolitika
- biztonsági stratégia
- biztonsági szabályzat (IBSZ)
- rendszerek nyilvántartása
- szervezeti architektúra
- kockázatkezelési stratégia (Kockázatelemzés)
1.2 Kockázatelemzés
- kockázatelemzés eljárásrendje
- biztonsági osztályba sorolás (1-5)
- kockázatelemzés
- sérülékenység teszt
1.3 Tervezés
- eljárásrend
- rendszerbiztonsági terv (hatókör, alapfeladatok, működési körülmény, más rendszerekkel való kapcsolódás stb.)
1.4 Rendszer és szolgáltatás beszerzés
1.5 Biztonsági elemzés
1.6 Emberi tényezőket figyelembe vevő biztonság (munkavállalókkal és azok jövés menésével kapcsolatos tennivalók)
1.7 Tudatosság és képzés (biztonság tudatossági képzés)
2. Logikai védelmi intézkedések
2.1 Konfiguráció kezelés
- eljárásrend (rendszeresen felülvizsgálja)
- Alapkonfiguráció
- konfiguráció változások felügyelete
- biztonsági hastásvizsgálat
- változtatásokra vonatkozó hozzáférés korlátozások
- konfigurációs beállítások (dokumentálása, kezelése)
- Legszűkebb funkcionalitás (csak a szükséges funkciók legyenek elérhetőek)
- Rendszerelem leltár
- konfigurációkezelési terv
- Szoftverhasználat korlátozásai
- Felhasználó által telepített szoftverek
2.2 Üzletmenet folytonosság
- eljárásrend
- terv készítése informatikai erőforrás kiesésére
- folyamatos működésre felkészítő képzés
- Üzletmenet-folytonossági terv elkészítése
- Biztonsági tárolási helyszín
- tartalék feldolgozási helyszín
- Infokommunikációs szolgáltatások
- elektronikus információs rendszer mentései
- elektronikus információs rendszer helyreállítása, újraindítása
2.3 Karbantartás
- rendszeres karbantartási (eljárásrend, folyamat, dokumentálás)
- karbantartás eszközei (adathordozók ellenőrzése, szállítás stb.)
- távoli karbantartás (dokumentálás, eszközei, összehasonlítható biztonság)
- karbantartók (jogosultság igazolás, felhatalmazás, ellenőrzés)
- időben történő javítás
2.4 Adathordozók védelme
- eljárásrend
- hozzáférés adathordozókhoz
- Adathordozók címkézése
- Adathordozók tárolása
- Adathordozók szállítása (kriptográfia)
- Adathordozók törlése
- Adathordozók használata (ismeretlen tulajdonos)
2.5 Azonosítás és hitelesítése
- eljárásrend
- Azonosítás és hitelesítése (felhasználók és tevékenységeik azonosítása)
- Eszközök azonosítása és hitelesítése
- Azonosító kezelés (hozzákapcsolja a felhasználóhoz, újrafelhasználást megakadályozza, inaktivitás esetén tilt)
- Hitelesítésre szolgáló eszközök (jelszó, biometrikus, tanúsítvány vagy token)
- hitelesítésre szolgáló eszköz visszacsatolása
- hitelesítés kriptográfiai modul esetén
- Azonosítás és hitelesítése (szervezeten kívüli felhasználók)
2.6 Hozzáférés ellenőrzése
- eljárásrend
- felhasználói profilok kezelése (csoport, szerepkör, jogok)
- hozzáférés ellenőrzés érvényesítése
- információáramlás ellenőrzés érvényesítése
- felelősségek szétválasztása
- legkisebb jogosultság elve
- sikertelen bejelentkezési kísérletek
- rendszerhasználat jelzése (naplózás)
- egyidejű munkaszakasz kezelés
- munkaszakasz zárolása (képernyővédő)
- munkaszakasz lezárása
- Azonosítás vagy hitelesítés nélkül engedélyezett tevékenységek
- távoli hozzáférés
- vezeték nélküli hozzáférés (hitelesítése és titkosítás) antennák (fizikai védelem!)
- Mobil eszközök hozzáférés ellenőrzése (tárolt adatainak titkosítása)
- Külső elektronikus inf. rendszerek használata
- Információmegosztás
- nyilvánosan elérhető tartalom (közzététel előtti átvizsgálás)
2.7 Rendszer és információ sértetlenség
- eljárásrend
- Hibajavítás (patch)
- kártékony kód elleni védelem
- elektronikus információs rendszer felügyelete (kibertámadás monitorozása IPS/IDS)
- Biztonsági riasztások, tájékoztatások
- Biztonsági funkcionalitás ellenőrzése
- Szoftver és információ sértetlenség
- Kéretlen üzenetek elleni védelem
- Bemeneti információ ellenőrzése
- Kimeneti információk kezelése megőrzése
- Hibakezelés
- memóriavédelem
2.8 Naplózás és elszámoltathatóság
- Eljárásrend
- Naplózható események
- Naplóbejegyzések tartalma
- Napló tárkapacitás
- Naplózási hiba kezelése
- Naplóvizsgálat és jelentéskészítés
- Naplócsökkentés és jelentéskészítés
- időbélyegek
- Naplóinformációk védelme
- Letagadhatatlanság
- Naplóbejegyzések megőrzése
- Naplógenerálás
2.9 Rendszer és kommunikáció védelem
- Eljárásrend
- Alkalmazás szétválasztás
- Biztonsági funkciók elkülönítése
- Információmaradványok
- Túlterhelés, szolg. megtagadás elleni védelem
- Határok védelme
- Adatátvitel bizalmassága
- Adatátvitel sértetlensége
- Hálózati kapcsolat megszakítása
- Kriptográfiai kulcs előállítása és kezelése
- Kriptográfiai védelem
- Együtt működésen alapuló számítástechnikai eszközök (kamera, mikrofon, távoli segítség)
- Nyilvános kulcsú infrastruktúra tanúsítványok
- Mobilkód korlátozása
- Elektronikus inf. rendszeren keresztüli hang (VOIP)
2.10 Reagálás biztonsági eseményekre
- Eljárásrend
- Képzés az események kezelésére
- Események kezelésének tesztelése
- Események kezelése
- Események figyelése
- Események jelentése
- Segítségnyújtás események kezeléséhez
- Biztonsági eseménykezelési terv
3. Fizikai védelmi intézkedések
3.1 Fizikai és környezeti védelem
- védelmi eljárásrend
- belépési engedélyek /belépés ellenőrzése
- Hozzáférés az adatátviteli eszközökhöz, csatornákhoz
- Kimeneti eszközökhöz való hozzáférés
- Fizikai hozzáférések felügyelete
- Látogatók ellenőrzése
- Áramellátó berendezések és kábelezése
- Vészkikapcsolás
- Tartalék áramellátás
- Vészvilágítás
- Tűzvédelem
- Hőmérséklet és páratartalom
- Víz és más csővezetéken szállított anyag okozta kár elleni védelem
- Be- és kiszállítás
- Tartalék munkahelyszínek
- Elektronikus információs rendszer elemeinek elhelyezkedése