Biztonsági mentési és helyreállítási szabályzat

A biztonsági mentési és helyreállítási szabályzat (P15) meghatározza a szervezet kötelező követelményeit az adatok, rendszerek és alkalmazások biztonsági mentésére és helyreállítására vonatkozóan. Elsődleges célja a szervezet operatív ellenállóképességének és az adatok sértetlenségének védelme, az üzletmenet-folytonosság támogatása még jelentős zavarok – például rendszerhibák, kibertámadások vagy véletlen törlések – esetén is. A szabályzat központi elemeként egységes megközelítést rögzít a biztonsági mentési műveletekhez, és egyértelmű helyreállítási paramétereket biztosít, különösen az RTO (Recovery Time Objective) és az RPO (Recovery Point Objective) elvárások meghatározásával. Ezek a követelmények szorosan illeszkednek a szervezet információbiztonsági irányítási rendszerének keretrendszeréhez és az üzletmenet-folytonossági tervekhez, biztosítva a jogi, szabályozási és operatív megfelelést. A szabályzat hatóköre átfogó: kiterjed az IBIR által lefedett valamennyi üzletmenet-kritikus és operatív rendszerre, beleértve a strukturált és strukturálatlan adatokat, például adatbázisokat, fájlokat, e-maileket és rendszerkonfigurációkat. Kiterjed minden operatív környezetre (helyszíni, hibrid, felhő), biztonsági mentési adathordozóra (fizikai, virtuális, telephelyen kívüli), valamint a biztonsági mentési folyamatokat felügyelő vagy végrehajtó személyzetre. Kiemelten: a biztonsági mentési műveletekből kizárandó rendszereket kockázatértékelésnek kell alávetni, dokumentálni kell, és formálisan jóvá kell hagyni, ami alátámasztja a szabályzat kockázatkezelésre és elszámoltathatóságra helyezett hangsúlyát. A célkitűzések keretében a szabályzat rögzíti, hogy valamennyi kritikus eszközről megfelelő gyakorisággal, redundanciával és titkosítással kell biztonsági mentést készíteni, továbbá dokumentálni kell az összes eljárást, megőrzési ütemezést és kijelölt szerepkört. A helyreállítási mechanizmusoknak az üzleti hatás alapján előre meghatározott RTO- és RPO-küszöbértékeket kell teljesíteniük. A biztonsági mentési környezet sértetlenségét és eredményességét rendszeres helyreállítási teszteléssel és ellenőrzési nyomvonal fenntartásával kell validálni. A szabályozási összehangolás érdekében a szabályzat közvetlenül érvényesíti az ISO/IEC 27001:2022 kontrolljait (beleértve az operatív folytonosságot és a biztonságos selejtezést), az ISO/IEC 27002:2022 követelményeit (például a sértetlenséget és a helyreállítási tervezést), valamint a NIST SP 800-53, a GDPR, az EU NIS2 és a DORA követelményeiből származó elvárásokat. A harmadik fél biztonsági mentési szolgáltatókkal kötött beszállítói szerződéseknek tükrözniük kell a szervezet elvárásait a titkosítás, selejtezés, incidensértesítés és tesztbizonyítékok tekintetében. A szerepkörök és felelősségek részletesen rögzítettek: a stratégiai felügyelet a felső vezetés és az információbiztonsági vezető (CISO) feladata, az operatív végrehajtás az IT és az üzemeltetés feladata, a speciális irányítás pedig az adatvédelmi tisztviselő (DPO), az alkalmazástulajdonosok és az érintett beszállítók feladata. A szabályzat előírja a központi biztonsági mentési ütemtervet, a rendszeres felülvizsgálati ciklusokat, az erős titkosítást, az elkülönített biztonsági mentési környezeteket és a szigorú változáskezelési kontrollokat. A szigorú irányítás biztosítja az auditnaplók fenntartását, a kivételek gondos kontrollját és kockázatértékelését, valamint a helyreállítási képességek meghatározott időközönkénti tesztelését. Emellett a meg nem felelés fegyelmi intézkedéseket vált ki a belső munkatársak esetében, illetve kötbéreket vagy eszkalációt a beszállítók esetében; a naplók, ütemezések és kapcsolódó dokumentáció rendszeres felülvizsgálata az audit- és kontrollbizonyossági folyamatok részét képezi. Végül a szabályzatot legalább évente felül kell vizsgálni, biztosítva, hogy a frissítések tükrözzék a stratégiai, jogi vagy technológiai változásokat, és az érintett felek felé történő kommunikáció megtörténjen. A kockázatkezelés, eszközkezelés, adatosztályozás, adatmegőrzés, adatmaszkolás és incidensreagálás irányítási dokumentumokkal való összekapcsolás révén ez a szabályzat a szervezet átfogó megközelítésébe illeszkedik az adatbiztonság, a folytonosság és a jogszabályi megfelelés területén.