Biztonságos kommunikációs és többtényezős hitelesítési szabályzat

A Biztonságos kommunikációs és többtényezős hitelesítési (MFA) szabályzat átfogó kontrollokat határoz meg a szervezeti kommunikáció és a felhasználói hozzáférés védelmére, összhangban a szigorú szabályozási és iparági szabványokkal. Elsődleges célja a valamennyi kommunikációs csatornán (hang, videó, szöveg és vészhelyzeti rendszerek) továbbított információk bizalmasságának és sértetlenségének biztosítása, fejlett hitelesítési folyamatok előírásával a NIS2 21. cikk (2) bekezdés (j) pontjának megfelelően. A szabályzat valamennyi munkatársra, vállalkozóra és külső félre vonatkozik, és előírja, hogy érzékeny vagy operatív információkhoz kizárólag a szervezet által jóváhagyott és titkosított kommunikációs eszközök használhatók. Ezek a követelmények a vészhelyzeti értesítési rendszerekre is kiterjednek, biztosítva, hogy válsághelyzetben is a kommunikáció biztonságos, ellenálló és rendelkezésre álló maradjon. A vészhelyzeti reagálási koordinátorok közvetlen szerepet kapnak e rendszerek időszakos tesztelésében, valamint a személyzet képzésében a megfelelő és biztonságos használat érdekében. A szabályzat kulcsfontosságú célkitűzése a többtényezős hitelesítés kikényszerítése minden hálózati és rendszerhozzáféréshez, különösen a kiemelt jogosultságú és távoli fiókok esetében. A kiemelt jogosultságú fiókok birtokosainak elkülönített hitelesítő adatokat kell használniuk, amelyek minden esetben kikényszerítik a többtényezős hitelesítést vagy a folyamatos hitelesítést, és bármely hozzáférés-emelés szigorúan időkorlátozott és monitorozott. Amennyiben műszaki korlátok (például örökölt rendszerek korlátozásai vagy üzemeltetési kiesések) megakadályozzák a többtényezős hitelesítés vagy a titkosítás azonnali bevezetését, kompenzáló kontrollok (például fokozott rendszer-monitorozás vagy ideiglenes hozzáférés-korlátozások) alkalmazása kötelező; minden kivételt a CISO formálisan jóváhagy, és negyedéves felülvizsgálat alá esik. A szabályzat szigorú képzési és tudatosságnövelő programokat is előír valamennyi felhasználó számára, beléptetéskor és azt követően évente. Ezek az alkalmak – a magas kockázatú szerepkörök, például rendszergazdák és felső vezetők esetében fokozott hangsúllyal – biztosítják, hogy a munkatársak meg tudják különböztetni a biztonságos és nem biztonságos csatornákat, megértsék az adathalászat és a szociális manipuláció taktikáit, és megfelelően használják a biztonságos kommunikációs eszközöket. A beléptetésen túl célzott képzés is biztosított az emelt kockázati szintű felhasználók számára, a fejlett hitelesítési módszerekre és a vészhelyzeti kommunikációhoz kapcsolódó sajátos kockázatokra fókuszálva. A folyamatos megfelelés biztosítása érdekében a hitelesítési és kommunikációs rendszerek folyamatos monitorozása és éves auditálása történik. Bármely felhasználó, aki megkísérli a szabályzat megkerülését, vagy jogosulatlan, illetve nem biztonságos kommunikációs módszereket használ, fegyelmi intézkedésekre számíthat, beleértve a munkaviszony megszüntetésének lehetőségét is. Az IT- és információbiztonsági csapatok felelősek a naplók monitorozásáért és a biztonságos alapértelmezett konfigurációk technikai kikényszerítéséért, míg az auditfolyamatok igazolják a szabályzati és szabályozási kötelezettségekkel való folyamatos összhangot. A szabályzat így rétegzett, átfogó megközelítést nyújt a szervezet információs vagyonelemeinek védelmére, a biztonságos kommunikáció és a hozzáférés-hitelesítés kontrolljainak szoros integrációjával, teljes összhangban a NIS2, az ISO/IEC 27001:2022 és kapcsolódó keretrendszerek előírásaival.