Eszközleltár és adatosztályozás — nem véded, amiről nem tudsz
A megfelelés első lépése nem a tűzfal, hanem a leltár: feltérképezed, mid van — eszközök (hardver, szoftver, felhős szolgáltatás) és adatok —, majd az adatokat érzékenység szerint besorolod. Megnevezed, kié az adat, hol tárolódik és hova folyik. Ez a térkép adja a kockázatkezelés bemenetét: amíg nem tudod, mid van, vakon költesz. Ez a modul megmutatja, hogyan készíts egyszerű eszköz- és adatleltárt egy kis cégnél is, drága eszközök nélkül.
Mi az eszközleltár és adatosztályozás?
Egyszerűen: nem véded, amiről nem tudsz. Az eszközleltár azt írja le, mid van — milyen gépeid, programjaid és felhős szolgáltatásaid hordozzák a működést. Az adatosztályozás pedig azt mondja meg, hogy a különböző adatok mennyire érzékenyek: a nyilvános árlistát nem ugyanúgy kezeled, mint az ügyfelek személyes adatait vagy a béreket. Ez a két nyilvántartás együtt adja a térképet arról, mit kell egyáltalán védened — és milyen erősen.
A digitális világban az „áru" az adataid: az ügyféllista, a szerződések, a számlák, a bérek, a receptjeid vagy üzleti titkaid. A „polcok és raktárak" az eszközeid: a laptopok, a telefonok, a könyvelőprogram, az e-mail, a felhős tárhely. Az adatosztályozás az árcédula: megmondja, melyik adat publikus (bárki láthatja), belső (a céghez tartozik, de nem titok), bizalmas (csak az illetékesek) vagy szigorúan bizalmas (a kiszivárgása komoly kárt okozna). Ha ez megvan, már tudod, hol érdemes erős zárat tenni — és hol felesleges. Ezt a térképet használja fel aztán a kockázatkezelés: az ő bemenete pontosan ez a leltár.
Miért NIS2-szempont?
Az eszköz- és adatleltár nem „papírmunka a fióknak" — ez a megfelelés kiindulópontja. A NIS2 kockázatarányos védelmet vár el, a kockázatot pedig csak akkor tudod felmérni, ha tudod, mid van és mi mennyire fontos. Ezért a leltár és az osztályozás a teljes felkészülés bemenete: e nélkül minden további intézkedés (mentés, hozzáférés-kezelés, incidenskezelés) a levegőben lóg.
Mi ez?
Két élő nyilvántartás: az eszközleltár (hardver, szoftver, felhős szolgáltatások) és az adatleltár az adatok osztályozásával (publikus / belső / bizalmas / szigorúan bizalmas), kiegészítve az adatgazdával, a tárolás helyével és az adatáramlással. A kimenete egy karbantartott eszköz- és adatleltár-tábla.
Miért NIS2-kötelező elem?
A NIS2-t átültető szabályozás kockázatarányos intézkedéseket vár el — ezek megalapozásához ismerni kell a védendő eszközöket és adatokat. A leltár ezért minden további kontroll előfeltétele. A pontos elvárás a szervezet érintettségétől függ — itt szándékosan nem idézünk konkrét paragrafust; az értelmezés mindig egyedi.
Hogyan segít?
Ha tudod, mid van és mi mennyire érzékeny, a védelmet oda irányítod, ahol számít: a szigorúan bizalmas adatra erős zár, a publikusra semmi felesleges. Egyúttal bizonyíthatóvá teszi a döntéseidet — egy auditnál pont ezt a leltárt és osztályozást kérik majd számon.
Mi felkészítünk, nem mi auditálunk. Ez az oldal általános tájékoztatás, nem jogi tanácsadás és nem hatósági állásfoglalás. A kötelező, független megfelelőségi auditot a Szabályozott Tevékenységek Felügyeleti Hatósága (SZTFH) által nyilvántartásba vett auditor végzi, külön díjért — ezt nem helyettesítjük. A jogszabályi adatok a tájékoztatás időpontjában (2026. június) hatályos állapotot tükrözik.
Hogyan készíts eszköz- és adatleltárt? — öt lépés
Nem kell hozzá drága rendszer; egy táblázattal el lehet kezdeni. A cél nem a tökéletes, hézagmentes lista elsőre, hanem egy átlátható kép, amit utána karbantartasz.
Eszközök számbavétele
Listázd ki a hardvert (laptopok, szerverek, telefonok, hálózati eszközök), a szoftvereket (operációs rendszerek, könyvelő, CRM, szerkesztők) és a felhős szolgáltatásokat (e-mail, tárhely, webshop-platform, számlázó). Ezek hordozzák a működésedet — és ezeken laknak az adataid.
Adatvagyon feltérképezése
Vedd számba, milyen adatokat kezelsz: ügyfél- és kapcsolattartói adatok, szerződések, pénzügyi és HR-adatok, üzleti titkok, jelszavak. Csoportosítsd őket — nem kell minden egyes fájl, elég az értelmes adatcsoport (pl. „ügyfél-személyes adatok", „bérszámfejtés").
Adatosztályozás
Sorold minden adatcsoportot egy egyszerű skálára a kiszivárgás hatása szerint: publikus (bárki láthatja), belső (céges, de nem titok), bizalmas (csak illetékesek) és szigorúan bizalmas (komoly kárt okozna). A cél a megkülönböztetés — a tényleg érzékenyet válaszd el a hétköznapitól.
Adatgazda, tárolás, adatáramlás
Minden adatcsoporthoz nevezd meg az adatgazdátAdatgazda (data owner): az a felelős személy vagy szerep, aki egy adatcsoport besorolásáért, a hozzáférés engedélyezéséért és a felülvizsgálatáért felel. Ami közös felelősség, az senkié. (ki felel érte), írd le, hol tárolódik (melyik eszközön, szolgáltatásban), és rajzold fel, hova folyik — kihez, melyik beszállítóhoz, melyik országba jut el. Itt derül ki, ha érzékeny adat ellenőrizetlen helyre kerül.
Nyilvántartás és felülvizsgálat
Rögzítsd egy táblázatba — ez az eszköz- és adatleltár. Utána nem alszik el: vizsgáld felül legalább évente, illetve minden nagyobb változáskor (új rendszer, új beszállító, új folyamat). A Szabályzat-csomag eszköz- és adatleltár nyilvántartása (NYV-11) erre kész vázat ad.
Ha mélyebbre ásnál
Az alábbiak a leltárért és az adatkezelésért felelős kollégának szólnak — a laikus olvasó nyugodtan átugorhatja, az elv megértéséhez nem szükséges.
A leltár mint a kockázatkezelés bemenete — és a CIA-kötés
Shadow IT, árnyékadat és a felhős szolgáltatások
Címkézés, szabványok és a kontroll-leképezés
Jogszabályi háttér
Gyors önellenőrzés
Három kérdés, amit ma fel tudsz tenni magadnak — nincs eszköz, nincs regisztráció. Ha bármelyikre „nem" vagy „nem tudom" a válasz, ott van a következő lépésed.
1 · Eszközlista
Van-e leírt listátok arról, milyen eszközöket és szolgáltatásokat használtok (gépek, programok, felhős fiókok)? Ha fejből, szóban tudjátok csak, akkor valószínűleg vannak rejtett, nyilvántartatlan rések.
2 · Adatosztályozás
Tudjátok-e, melyik adatotok mennyire érzékeny, és hol tárolódik? Ha az ügyfél-személyes adatokat ugyanúgy kezelitek, mint a nyilvános árlistát, akkor még nincs osztályozás.
3 · Adatgazda
Van-e a fontos adatcsoportokhoz megnevezett felelős (adatgazda)? Ha egy adatért „mindenki és senki" felel, akkor a besorolás és a hozzáférés is gazdátlan — ez a leggyakoribb buktató.
Gyakori tévhit
„Egy kis cégnél felesleges leltárt vezetni — úgyis fejben tartjuk, mink van."
A fejben tartott leltár pont akkor mond csődöt, amikor a legnagyobb szükség lenne rá: egy incidensnél, egy kilépő munkatársnál vagy egy auditnál. Ráadásul a kis cégeknél a leggyakoribb a shadow IT — a nyilvántartatlan felhős fiókok és magáneszközök, amikről épp azért nem tudtok, mert „fejben" vezetitek a leltárt. Egy egyszerű táblázat, amiben le van írva, mid van és melyik adat mennyire érzékeny, nem bürokrácia: ez az a térkép, ami nélkül minden további védelem vakon működik. Nem véded, amiről nem tudsz.
GYIK az eszköz- és adatleltárról
Megvan a térkép - mi van kint a folyosón?
Az eszköz- és adatleltár felépítése szervezeti munka, amit magadnak kell elvégezned — de a kifelé látszó eszközeid egy részét (kitett bejelentkező felületek, ismeretlen aldomainek, hiányzó biztonsági fejlécek) egy ingyenes szivárgás-audit pár perc alatt megmutatja, konkrétan a saját domained alapján. Jó kiindulópont a leltárhoz: megmutatja, mi az, amiről talán nem is tudtál.