Kiberbiztonsági szakértői támogatás

Teljes körű, auditálható szabályozási rendszer kidolgozása, amely a partner szervezet tényleges működéséhez igazodik — nem csak papíron létező dokumentáció.

• Információbiztonsági szabályzat és politika (átfogó keretrendszer, elvek, célok, felelősségek)
• Hozzáférés- és jogosultságkezelési szabályzat
• Naplózási és monitorozási szabályzat
• Incidenskezelési szabályzat és eljárásrend
• Üzletmenet-folytonossági (BCP) és katasztrófa-helyreállítási (DRP) szabályzat
• Beszállítói és ellátásilánc-biztonsági szabályzat
• Kriptográfiai és kulcskezelési, valamint jelszó- és hitelesítési szabályzat

Kinek ajánlott: minden szervezetnek, amely operatívan is bizonyítható megfelelőségre, auditálhatóságra vagy jogszabályi compliance-ra törekszik.

A biztonsággal összefüggő kiberbiztonsági dokumentációk a technikai biztonság alapvető fundamentumai.

• System Security Plan (SSP) – Rendszerbiztonsági terv
• Plan of Action and Milestones (POA&M) – Intézkedési terv és mérföldkövek
• Security Assessment Plan (SAP) – Biztonsági értékelési terv
• Cybersecurity Supply Chain Risk Management Plan (C-SCRM Plan) – Beszállítói / ellátási lánc kockázatkezelési terv
• Incident Response Plan (IRP) – Incidenskezelési terv
• Business Continuity Plan (BCP) és Disaster Recovery Plan (DRP) – Üzletmenet-folytonossági és katasztrófa-helyreállítási tervek

Kinek ajánlott: minden szervezetnek, amely dokumentált biztonságra törekszik.

Átlátható adatvagyon-leltár létrehozása — hogy tudjuk, milyen adatok hol vannak, mennyire érzékenyek, és milyen védelmet igényelnek.

• Adatvagyon-leltár felépítése (rendszerek, adatbázisok, állományok, felhőszolgáltatások, papíralapú nyilvántartások)
• Adatosztályozási keretrendszer (pl. nyilvános / belső / bizalmas / szigorúan bizalmas vagy GDPR-személyesadat-kategóriák)
• Adatgazdák és adatkezelők kijelölése, felelősségi körök rögzítése
• Adatkezelési célok, jogalapok és megőrzési idők dokumentálása
• Adatáramlási térkép (data flow diagram) készítése: honnan hova mozognak az adatok, kivel oszthatók meg
• Kockázati profil meghatározása (CIA alapján: milyen hatással jár az adatok sérülése, elvesztése, jogosulatlan hozzáférése)

Kinek ajánlott: IT-vezetőknek, információbiztonsági vezetőknek (CISO), adatvédelmi felelősöknek (DPO), folyamatgazdáknak és compliance felelősöknek.

Szervezetszintű felkészülés a NIS2 irányelv követelményeire — hogy a szervezet megfeleljen a jogszabálynak. A személyi hatály meghatározásától a hiányosságok pótlásáig és a hatósági auditig.

• GAP analízis végrehajtása
• Elektronikus információs rendszerek azonosítása és biztonsági osztályba sorolása
• Kiberbiztonsági kockázatelemzések elkészítése
• Kiberbiztonsági szabályzatok és eljárásrendek kialakítása vagy felülvizsgálata
• Belső audit és hatósági auditra való felkészítés lebonyolítása
• Teljes szakértői támogatás a felkészítés és az audit alatt

Kinek ajánlott: IT-üzemeltetésnek és compliance vezetőknek.

Elektronikus információs rendszerek biztonságáért felelős személy feladatainak ellátása azon szervezetek részére, amelyek kötelezettek IBF kinevezésére vagy megbízására.

• Az elektronikus információs rendszer védelméhez kapcsolódó feladatok ellátása
• A kockázatmenedzsment-keretrendszer működtetése
• A kiberbiztonsági incidensek bejelentése és kapcsolattartás a kiberbiztonsági incidenskezelő központtal
• Közép- és hosszú távú információbiztonsági irányok, valamint az információbiztonsági stratégia meghatározása
• Információbiztonsági és humán fenyegetettségek, valamint azok szervezeti relevanciájának vizsgálata
• A szervezet és az informatikai rendszerek sérülékenységeinek, hiányosságainak feltárása, valamint fejlesztési javaslatok kidolgozása
• Információbiztonsági szabályozások fejlesztése, éves felülvizsgálata
• Adatvagyon-leltár elkészítése és karbantartása
• Szakmai véleményezés és javaslattétel a védelmi intézkedések fejlesztésére és karbantartására
• Információbiztonsági incidensek kivizsgálása, nyilvántartása és kezelése
• Ügyfél- és partneri szerződések, beszerzések, fejlesztések és projektek információbiztonsági véleményezése
• A kollégák biztonságtudatosságának fejlesztése képzésekkel
• Közreműködés az információbiztonsági intézkedési terv felülvizsgálatában és végrehajtásában
• Az elektronikus információs rendszerek biztonsági osztályba sorolásának felülvizsgálata
• Részvétel az informatikai üzletmenet-folytonossági és katasztrófa-elhárítási tervek összeállításában

Kinek ajánlott: azon szervezeteknek, amelyek IBF kinevezésére vagy megbízására kötelezettek.

Szervezetszintű felkészülés az EU AI-rendelet (2024/1689) követelményeire, hogy az AI-rendszerek biztonságosak, átláthatóak és jogszabály-megfeleltek legyenek.

• AI-rendszerek leltárának elkészítése (AI inventory: minden használt AI alkalmazás, modell, szolgáltatás)
• Szerepkörök meghatározása (provider, deployer, importer, distributor) az AI Act szerint
• Kockázati osztályba sorolás (tiltott, magas kockázatú, korlátozott kockázatú, minimális kockázatú)
• Tiltott AI-gyakorlatok vizsgálata (Article 5: social scoring, biometrikus kategorizálás, manipulatív AI stb.)
• Magas kockázatú AI-rendszerekre vonatkozó követelmények felmérése (kockázatkezelés, adatminőség, dokumentáció)
• Átláthatósági kötelezettségek teljesítése (Article 50: AI-tartalom megjelölése, chatbot-azonosítás, deepfake-címkézés)
• AI kockázatkezelési rendszer kialakítása (folyamatos kockázatértékelés a teljes életciklusban)
• Adatirányítási és adatminőségi követelmények bevezetése (training, validation, testing adatok minősége, torzításvizsgálat)
• Technikai dokumentáció elkészítése (Article 11: Annex IV szerinti részletes dokumentáció)
• Naplózási és nyomonkövethetőségi mechanizmusok implementálása (automatic logging, traceability)
• Pontosság, robusztusság és kiberbiztonság igazolása (teljesítménymérés, adversarial testing)
• Megfelelőség-értékelési eljárás előkészítése (konformitás-értékelés, CE-jelölés, notified body bevonása ha szükséges)
• EU-adatbázisba történő regisztráció előkészítése (high-risk AI systems database)
• Piacfelügyeleti és utólagos monitoring folyamatok kialakítása (post-market monitoring, incidensbejelentés)
• AI-írásbeliség és AI-tudatosság növelése (Article 4: AI literacy képzések a személyzetnek)
• ISO/IEC 42001 AI-irányítási rendszer integrálása (AI management system)
• Gap analízis és megfelelőségi roadmap készítése (hiányosságok azonosítása, prioritási terv)
• Szerződéses és beszállítói követelmények aktualizálása (AI-rendszerek beszerzése, outsourcing)
• Folyamatos compliance monitoring és frissítés (szabályozási változások követése, belső audit)

Kinek ajánlott: minden olyan szervezetnek, amely AI-rendszereket fejleszt vagy üzemeltet az EU-ban.