Biztonsági szabályzatok és kormányzás
A jó technika önmagában kevés: ha nincs leírva, ki mit tehet, és nincs, aki ezt betartatja, akkor nincs is mire hivatkozni egy incidensnél vagy egy auditnál. Ez a modul arról szól, mik a biztonsági szabályzatok, mit jelent a governance, és hogyan állíthatsz össze néhány lépésben egy működő minimum-szabályzatkészletet — laikus analógiától a policy–standard–procedure hierarchiáig.
Mi az a biztonsági szabályzat?
A biztonsági szabályzat egy leírt, jóváhagyott szabálygyűjtemény arról, hogyan kell a cégnél biztonságosan dolgozni: ki mit tehet az adatokkal és rendszerekkel, és mit nem. A governanceGovernance (kormányzás): az a keret, amely meghatározza, ki felelős a szabályokért, hogyan hagyják jóvá, tartatják be és kérik számon őket. Nem maga a szabály, hanem ami életben tartja. (kormányzás) pedig az a keret, amely megmondja, ki felelős ezekért a szabályokért, és hogyan számonkérhető a betartásuk.
Egy működő szervezetnél jellemzően ezek a leggyakoribb szabályzatok:
- Információbiztonsági politika — a legfőbb, keretet adó dokumentum: mit véd a cég és miért.
- Elfogadható használat (AUPAUP (Acceptable Use Policy): elfogadható használati szabályzat — mit szabad és mit tilos a céges eszközökkel, hálózattal és fiókokkal tenni.) — mit szabad és mit tilos a céges eszközökkel, e-maillel, hálózattal.
- Hozzáférési szabályzat — ki kap hozzáférést mihez, és hogyan vonják meg kilépéskor.
- Incidens-eljárásrend — mit kell tenni, kit kell értesíteni, ha baj van.
- Mentési szabályzat — mit, milyen gyakran mentenek, és hogyan állítják helyre.
Miért NIS2-kötelező a szabályzat?
A NIS2-t átültető magyar Kiberbiztonsági törvény kockázatarányos biztonsági intézkedéseket vár el — és ezek dokumentált, betartatott szabályzatok nélkül nem bizonyíthatók. A szabályzat tehát nem formaság: ez az a bizonyíték, amit egy audit először kér.
Mi ez?
Leírt, jóváhagyott szabályok arról, hogyan kezeli a cég az információbiztonsági kockázatokat — a hozzáférés-kezeléstől az incidenskezelésig. A governance pedig kijelöli a felelősöket és a számonkérés rendjét.
Miért NIS2-kötelező?
A NIS2 kifejezetten vezetői, testületi felelősséget ír elő a kockázatkezelési politikák jóváhagyásáért és felügyeletéért — ez tényszerűen kimondható. A végrehajtás delegálható, de a vezetői felelősség átruházhatatlan.
Hogyan segít?
A leírt szabály egyértelművé teszi az elvárást, csökkenti az emberi hibát, és incidens vagy audit esetén bizonyítja, hogy a cég felelősen járt el. Kapaszkodót ad a dolgozóknak is — nem kell minden helyzetben találgatniuk.
Mi felkészítünk, nem mi auditálunk. Ez az oldal általános tájékoztatás, nem jogi tanácsadás és nem hatósági állásfoglalás. A kötelező, független megfelelőségi auditot a Szabályozott Tevékenységek Felügyeleti Hatósága (SZTFH) által nyilvántartásba vett auditor végzi, külön díjért — ezt nem helyettesítjük. A jogszabályi adatok a tájékoztatás időpontjában (2026. június) hatályos állapotot tükrözik.
Hogyan építsd fel öt lépésben?
Nem kell egyszerre tucatnyi dokumentum. Egy működő szabályzatkészlet öt lépésben felépíthető — a felelős kijelölésétől az éves felülvizsgálatig.
Jelölj ki egy felelőst
Nevezz meg egy konkrét személyt, aki a szabályzatok gazdája — és a felügyelő vezetőt is. A feladat delegálható, a vezetői felelősség nem: a vezetésnek tudnia kell, hogy ez az ő felelőssége.
Állítsd össze a minimum-szabályzatkészletet
Kezdd a legfontosabbakkal: információbiztonsági politika, elfogadható használat (AUP), hozzáférési szabályzat, incidens-eljárásrend, mentési szabályzat. Sablonokból indulva gyorsabb a kezdés — de minden szabályt a saját rendszereidre és működésedre kell szabni, a kitöltetlen sablon önmagában nem szabályzat.
Hagyd jóvá, dátumozd, verziózd
A szabályzat attól él, hogy a vezetés formálisan jóváhagyta. Minden dokumentumon legyen jóváhagyási dátum, verziószám és felelős — enélkül az auditnál nem számít bizonyítéknak.
Ismertesd meg a dolgozókkal
A szabály csak akkor betartatott, ha mindenki ismeri. Tartsd meg az oktatást, kérj visszaigazolt tudomásulvételt, és tedd a szabályzatokat könnyen elérhetővé. A fiókban porosodó dokumentum nem véd meg senkit.
Vizsgáld felül évente
Évente legalább egyszer — és minden jelentős változáskor (új rendszer, incidens, szervezeti átalakulás) — nézd át és frissítsd a szabályzatokat. A régi verziókat őrizd meg: ez mutatja, hogy a kormányzás folyamatosan működik.
Ha mélyebbre ásnál
Az alábbiak az IT- vagy megfelelőségi felelősnek szólnak — a laikus olvasó nyugodtan átugorhatja, a szabályzatok megértéséhez nem szükséges.
Policy → standard → procedure → guideline — a dokumentum-hierarchia
ISO 27001 Annex A — referencia-keret, nem kötelezettség
Bizonyíték és audit-trail — a dokumentáció mint védőháló
Gyors önellenőrzés
Két egyszerű kérdés. Ha bármelyikre nem tudsz magabiztos igent mondani, ott érdemes kezdened.
Megvan a szabályzati alap?
- ✓ Van leírt, dátumozott információbiztonsági szabályzatotok, amelyet a vezetés jóváhagyott?
- ✓ Tudja a vezetőség, hogy a kiberbiztonsági szabályzatok az ő felelőssége — és nem ruházható át?
Gyakori tévhit
„A szabályzat csak papír a fióknak — letöltjük, lefűzzük, kész."
A le nem szabott, jóvá nem hagyott, meg nem ismertetett szabályzat valóban csak papír. De a betartatott szabályzat az audit és egy incidens kivizsgálása során a bizonyíték: ez mutatja meg, hogy a cég felelősen járt el. A különbség nem a dokumentum létében van, hanem abban, hogy él-e: jóváhagyták, megismertették, alkalmazzák és felülvizsgálják.
GYIK a szabályzatokról
A szabályzat a keret — hol állsz technikailag?
A szabályzatokat magadnak kell bevezetned és betartatnod — de a technikai oldalt (titkosítás, biztonsági fejlécek, elérhetőség) egy ingyenes szivárgás-audit pár perc alatt megmutatja, konkrétan a saját domained alapján. Jó kiindulópont ahhoz, hogy lásd, mit kell szabályoznod.