1.1 Az adatvédelmi incidensek és adatvédelmi nyilvántartás kezelésének IT támogatása
Ennek keretében rendszeres önellenőrzések folytatása, amelynek során az Egis ellenőrzi, hogy IT rendszerének működése és az irányadó vállalati előírások megfelelnek-e a jogszabályi előírásoknak. Az önellenőrzés keretében a megfelelőség felülvizsgálatán kívül az Egis a technológiai ellenálló képességet is teszteli (IT biztonsági felülvizsgálat). Az Egis rendszeresen elemzi az IT rendszerekben feldolgozott és tárolt adatok nyilvántartását (IT biztonsági vagyonleltár), és az azokat fenyegető IT biztonsági kockázatokat.
1.2 Azonosítási rendszerek
Az Egis IT rendszerei felhasználóinak azonosítása, és a hozzáférési jogosultságok felügyelete. Az Egis központi címtár rendszert, továbbá elektronikus aláírásokat (azonosításra, aláírásra, titkosításra) alkalmaz a felhasználói jogosultságok ellenőrzése érdekében, Az Egis emellett elosztott jogosultságkezelést (az egyes rendszerekhez/rendszercsoportokhoz kapcsolódó jogosultságok beállítására különböző személyek jogosultak), jelszó-menedzsmentet (minimális jelszó-komplexitás és jelszó-cserék előírása és kikényszerítése), több-faktoros azonosítást (több azonosító komponens használata, nem csak a felhasználói név és jelszó) használ, továbbá nyilvános kulcsú infrastruktúrát (PKI) alkalmaz gépi aláírások kezelése során (machine certificate). Az Egis ennek segítségével biztosítja, hogy a hálózatán csak az ismert és nyilvántartásba vett számítógépek tudjanak kommunikálni.
1.3 Ártó programok elleni védelem
Az Egis többszintű, több technológián és gyártón alapuló heterogén védelmi rendszert üzemeltet az általánosan elterjedt ártó programok (bot, malware, spyware,) ellen a kliens és szerver számítógépeken, hálózati eszközökön, tartalomszűrőkön. Az Egis emellett az internetről letöltött állományok és e-mail mellékletek vonatkozásában homokozó (sandboxing) technológiát alkalmaz (az alkalmazások biztonságos futtatókörnyezetben történő alkalmazása) a még ismeretlen (0 day) és fejlett (Advanced Persistent Threat – APT) fenyegetések ellen.
1.4 Biztonsági események kezelése
Az Egis a rendszerek és alkalmazások technikai naplóit gyűjti és tárolja, adatbiztonsági, adatvédelmi vagy IT biztonsági esemény esetén ezek alapján pedig képes rekonstruálni az eseményeket és bizonyítékot szolgáltatni egy esetleges vizsgálat esetén. Az Egis az IT biztonsági rendszerek állapotát és statisztikáit folyamatosan figyelemmel kíséri.
1.5 Felhasználók támogatása és oktatása
Az Egis a vállalati felhasználók informatikai és adatbiztonsági felkészültségét az alábbi módszerekkel támogatja: IT biztonsági tudatosítási program, kommunikációs és oktatási elemekkel, dedikált al-oldal a vállalati intraneten, rendszeres ismeretterjesztő előadások, valamint elektronikus tananyag.
1.6 Hálózatbiztonság
A hálózati kapcsolatokat az Egis többszintű, állapottartó tűzfal rendszerrel felügyeli és szabályozza. Az Egis a hálózati forgalmat automatikus behatolás érzékelő és gátló rendszerek (IDS/IPS) folyamatosan elemzi és értékeli. Az Egis a telephelyein használt vezeték nélküli hálózatokat központilag felügyeli, így a vezeték nélküli hozzáférés szabályozott és ellenőrzött, emellett a vezeték nélküli adatforgalmat erős kriptográfiai eljárással titkosítja. Az IT rendszerek és a kommunikáció magas fokú biztonságának biztosítása érdekében az Egis a telephelyek hálózatait titkosított adatcsatornákkal kapcsolja össze (VPN).
1.7 Külső partnerek adatkezelése
Az Egis az IT szolgáltatókkal történő kapcsolattartást és információáramlást szabályozza, valamint minden szolgáltatóval és partnerrel titoktartási megállapodást köt.
1.8 Mobil rendszerek védelme
Az Egis a vállalati mobileszközöket nyilvántartja, a vállalati rendszerekhez biztonságos hozzáférési csatornát, valamint az ártó programok és hálózati támadások elleni védelmet biztosít.
1.9 Sérülékenység menedzsment
Az Egis rendszeresen felméri, elemzi és értékeli az IT biztonsági sérülékenységeket, és ennek alapján megteszi a szükséges intézkedéseket. Az Egis rendszeresen telepít biztonsági frissítéseket a vállalati számítógépekre és eszközökre.
1.10 Tartalomszűrés
1.10.1 E-mail tartalomszűrés
Az Egis többszintű, többféle technológián alapuló automatizált rendszert alkalmaz a kéretlen (spam), a megtévesztő (phising) és az ártó kódot (malware) tartalmazó elektronikus levelek kiszűrésére, valamint védelmi eljárásokat alkalmaz a speciális, protokoll-alapú (alacsony szintű technológiai) támadások kivédésére. Ahol lehetséges, az Egis törekszik megbízható és biztonságos levelezési csatorna kialakítására a küldő felek azonosítására szolgáló technológiák és kriptográfiai eljárások alkalmazásával.
1.10.2 Web tartalomszűrés
Az Egis – az irányadó adatkezelési tájékoztatóban és IT szabályzatban írtakkal összhangban – szigorúan felügyeli az internet hozzáférést és a böngészési tevékenységet. Az Egis automatizált rendszert használ a nem biztonságos oldalakhoz történő hozzáférések blokkolására, valamint védelmi eljárásokat alkalmaz a speciális, protokoll-alapú (alacsony szintű technológiai) támadások kivédésére.
Ahol lehetséges, az Egis biztonságos böngészési csatornát biztosít az internetes erőforrások azonosítására és a velük történő kommunikációra naprakész technológiák és kriptográfiai eljárások alkalmazásával.
Az internetről letöltött tartalmakat automatikus rendszerek ellenőrzik az internetről letölthető ártó programok (malware) elleni védelem biztosítása érdekében.
1.11 Végpont (pl. számítógépek vagy más eszközök, kiszolgálók) védelem
Az Egis tűzfalat, valamint behatolás érzékelő és - gátló rendszereket (IDS/IPS) alkalmaz a végponti eszközök hálózati kapcsolatának védelmére. Az Egis minden arra alkalmas számítógépet és egyéb végponti eszközt ellát ártó programok elleni védelemmel, folyamatos, hozzáférés alapú (on-access), valamint rendszeres, teljes gépre vonatkozó ellenőrzések alkalmazásával.
1.12 Adathordozók védelme
Az Egis nyilvántartást vezet a használt adathordozókról, és használatuk során titkosítási eljárásokat alkalmaz.
1.13 Az iratok és adatok fizikai védelme
Ami az adatok, valamint az elektronikus és papíralapú iratok fizikai védelmét illeti, ezzel kapcsolatban az Egis zárható szerverszobákkal, továbbá naprakész iratkezelési szabályzattal rendelkezik, amely előírja a papíralapú iratok zárható szekrényben történő tárolását, és a megfelelő jogosultsággal rendelkező személyek általi kizárólagos hozzáférhetőségét.
1.14 Az Egis IT Igazgatóságának tevékenysége
Az Egis IT Igazgatósága a fenti intézkedésekkel összefüggésben általános IT szolgáltatásokat végez. Ilyen szolgáltatás különösen: a munkaeszközként használt IT eszközök nyilvántartása, az IT-vel kapcsolatos igények kezelése, hibák lokalizálása és elhárítása, az IT rendszer hitelesítése, az IT rendszer teljesítményének javítása, védelme, fejlesztése, tesztelése, IT problémák rekonstruálása, általános kapcsolattartás az IT szolgáltatást igénybe vevővel, adott esetben segítségnyújtás távoli elérés útján. Ide tartoznak még az Egis IT Igazgatósága által végzett (a hibajelentéseket) megelőző javítások, valamint az incidensek felderítése és megelőzése. Például: vírusos e-maileket küldő tartomány vagy szerver kizárása a levelező-rendszerből fejléc-információk alapján. Az Egis IT Igazgatósága az internet böngészéssel kapcsolatban is végez hibaelhárítást, javítja a böngészés teljesítményét, és felderíti a böngészéssel kapcsolatos incidenseket.
A fenti tevékenységek során, a GDPR „Adatbiztonság” szakaszának való megfelelés érdekében az Egis IT Igazgatósága a szükséges mértékben személyes adatokhoz fér hozzá.
Utolsó módosítás: 2019. október 1.