7/2024. (VI. 24.) MK rendelet · 2. melléklet

Melyik kontrollcsaládot fedi le a Cybersensei?

Mind a 19 követelménycsalád: mit visz a platform, mit a szervezet, és mit tesz hozzá az akkreditált IBF szolgáltatás.

A hét modul önállóan is megvásárolható. A jobb oldali oszlop mutatja, mit tesz hozzá az IBF szolgáltatás.

9család munkafolyamat szinten

3család részlegesen

7család bizonyíték szinten

19családra kiterjedő értékelés

Munkafolyamata kontroll a rendszerben futRészlegesa család egy részét visziBizonyítéka szervezet működteti, a rendszer igazolja

Modul

#	Kontrollcsalád	Fokozat	Modul	Mit visz a platform	Mit tesz hozzá az IBF
01	Programmenedzsment	Munkafolyamat	KeretrendszerGovernance	Szerepkörök, felelősségek, jóváhagyási pontok és dokumentumkapcsolatok központi nyilvántartása; a nem megfelelő kontrollokból automatikus intézkedési és erőforrásterv.	+ IBF szolgáltatássalAz információbiztonsági szabályzat elkészítése, kiadatása és éves felülvizsgálata, vezetői beszámoló kéthavonta.
02	Hozzáférés-felügyelet	Bizonyíték	A szervezet saját környezete	A jogosultsági bizonyítékokat bekéri, tárolja és időbélyeggel hitelesíti. Magát a hozzáférés-felügyeletet a szervezet saját rendszerei végzik.	+ IBF szolgáltatássalJogosultságkezelési szabályzat és eljárásrend, a periodikus jogosultság-felülvizsgálat levezénylése.
03	Tudatosság és képzés	Munkafolyamat	DojoKeretrendszer	Szerepköralapú kurzusok, szekvenciális kiküldés, vizsga és visszamérés, élő ranglista, teljes teljesítési nyilvántartás.	+ IBF szolgáltatássalA képzési terv jóváhagyatása, és akkreditált vezetői képzés a szerződött partnereknek.
04	Naplózás és elszámoltathatóság	Bizonyíték	IncidenskezelésKeretrendszer	A platform saját folyamatai hash-szel naplózottak, az elfogadások minősített időbélyeggel készülnek. Az ügyfél rendszereinek naplózása nem itt fut.	+ IBF szolgáltatássalNaplózási szabályzat, ellenőrzési gyakoriságok és időszinkron-követelmények meghatározása.
05	Értékelés, engedélyezés és monitorozás	Munkafolyamat	AuditASR	Belső audit az 1/2025. SZTFH rendelet szerint, következmények nélküli független előaudit, és periodikus külső kitettség-vizsgálat.	+ IBF szolgáltatássalFelkészítés a hatósági auditra, auditkíséret, SZTFH- és NBSZ NKI-kapcsolattartás.
06	Konfigurációkezelés	Munkafolyamat	KeretrendszerGovernance	CMDB/CI-szemléletű rendszerelem-leltár a kapcsolatokkal és függőségekkel együtt; a komponensváltozás a kockázatértékeléshez és a jóváhagyáshoz kötve.	+ IBF szolgáltatássalKonfigurációkezelési szabályzat, az alapkonfigurációk jóváhagyatása.
07	Készenléti tervezés	Részleges	Governance	Üzleti hatáselemzés és az RTO, RPO, MTPD, MBCO célértékek levezetése. A BCP és DRP tervek elkészítése és tesztelése nem a platformban történik.	+ IBF szolgáltatássalA BCP és DRP akciótervek elkészítése, tesztelése és oktatása.
08	Azonosítás és hitelesítés	Bizonyíték	A szervezet saját környezete	A hitelesítési megoldások bizonyítékát bekéri és a kontrollértékelésben figyelembe veszi.	+ IBF szolgáltatássalAzonosítási és hitelesítési eljárásrend, a többfaktoros hitelesítés bevezetésének támogatása.
09	Biztonsági események kezelése	Munkafolyamat	IncidenskezelésKeretrendszerDojo	Bejelentés, triázs, a 24, 72 és 30 napos jelentési logika, NKI- vagy CSIRT-bejelentés, hash-szel naplózott bizonyíték, post mortem és ellenőrizhető ZIP-export.	+ IBF szolgáltatássalAz incidenskezelési terv kialakítása, az IRT felállítása, a hatósági bejelentés levezénylése.
10	Karbantartás	Bizonyíték	A szervezet saját környezete	A karbantartási nyilvántartást és a hozzá tartozó bizonyítékot az érintett eszközökhöz kötve kezeli.	+ IBF szolgáltatássalKarbantartási eljárásrend, a távkarbantartás biztonsági szabályainak kialakítása.
11	Adathordozók védelme	Bizonyíték	A szervezet saját környezete	A vonatkozó szabályzatot és a megfelelést igazoló bizonyítékot nyilvántartja és hitelesíti.	+ IBF szolgáltatássalAdathordozó-kezelési és -megsemmisítési eljárásrend.
12	Fizikai és környezeti védelem	Bizonyíték	A szervezet saját környezete	A fizikai védelmi bizonyítékokat bekéri, tárolja és az auditértékelésbe emeli.	+ IBF szolgáltatássalFizikai védelmi szabályzat, és helyszíni bejárás a kéthavonkénti jelenlét keretében.
13	Tervezés	Munkafolyamat	GovernanceKeretrendszer	A rendszerbiztonsági terv, a működési koncepció és az architektúraleírás a nyilvántartás, a kockázatértékelés és a kontrollértékelés kimeneteiből áll össze; a követelmények kiválaszthatók és testreszabhatók.	+ IBF szolgáltatássalA rendszerbiztonsági terv jóváhagyatása és éves felülvizsgálata.
14	Személyi biztonság	Részleges	DojoKeretrendszer	Szerepkör-hozzárendelés, és annak igazolása, hogy a szerepkörhöz kötött felkészítés megtörtént. A munkaviszony létesítéséhez és megszüntetéséhez kötődő kontrollok nem itt futnak.	+ IBF szolgáltatássalSzemélybiztonsági eljárásrend, be- és kiléptetési ellenőrzőlista.
15	Kockázatkezelés	Munkafolyamat	KeretrendszerGovernance	Komponensalapú kockázatértékelés a rendelet veszélytaxonómiájával és ISO 27005:2022 szerinti módszertannal; biztonsági osztályba sorolás, kezelési döntés és jóváhagyás egy helyen.	+ IBF szolgáltatássalKockázatkezelési szabályzat, a kockázatelfogadási döntések vezetői előkészítése.
16	Rendszer- és szolgáltatásbeszerzés	Részleges	Szállítói lánc	Szállítóválasztás és beszerzés-előkészítés döntéstámogatása, a szerződésbe emelendő biztonsági követelményekkel. A beszerzési folyamat egésze nem a platformban fut.	+ IBF szolgáltatássalA beszerzési eljárásrend biztonsági fejezete, a szerződések biztonsági véleményezése.
17	Rendszer- és kommunikációvédelem	Bizonyíték	ASR	A külső támadási felület és a publikusan elérhető szolgáltatások periodikus vizsgálata. A védelmi megoldásokat nem a platform működteti.	+ IBF szolgáltatássalA hálózatbiztonsági architektúra véleményezése, titkosítási követelmények meghatározása.
18	Rendszer- és információsértetlenség	Munkafolyamat	ASRKeretrendszer	Eszközökhöz kötött, automatikusan frissülő CVE-riasztás, periodikus sérülékenységi vizsgálat, és a hibajavítás nyomon követése.	+ IBF szolgáltatássalSérülékenységkezelési eljárásrend, a javítási prioritások és határidők meghatározása.
19	Ellátási lánc kockázatkezelése	Munkafolyamat	Szállítói láncKeretrendszerIncidenskezelés	Szállítói önértékelés, egységes kockázati kép öt külön kezelt dimenzióban, portfólió-nézet, változásértesítés és hitelesíthető riport.	+ IBF szolgáltatássalBeszállítói követelményrendszer, szerződéses biztonsági kikötések, a beszállítói incidensek kezelése.

Az összerendelés tájékoztató jellegű. A tényleges megfelelés minden esetben a szervezeti alkalmazástól, a bevezetett eljárásoktól, a vezetői jóváhagyásoktól, a technikai megvalósítástól és a rendelkezésre álló bizonyítékállománytól függ, és azt az auditor állapítja meg.