Újdonságok

Letölthető: „Digitális ujjlenyomat" — műszaki összefoglaló

Öt oldalban, auditoroknak és beszerzőknek: hogyan mutatja ki a rendszer, ha egy aláírt engedélyt vagy egy rögzített műveletet utólag átírnak — a láncolt ujjlenyomat, a napi külső horgony és a papír QR-kódja. A korlátokat is kimondja: mit NEM állítunk.

Olvasd el online (PDF-ben is)

Tovább a NIS2 felé: kétfaktor mindenkinek, szabályzatok verziózva

Az elmúlt hetekben a beszállítói oldalt tovább erősítettük. A kétfaktoros belépés minden felhasználónak elérhető, és a szervezet maga teheti kötelezővé; a kétfaktor kikapcsolásáról vagy visszaállításáról az érintett levelet kap. A belső biztonsági szabályzatok ellenőrzött dokumentumok lettek, verzióval és változástörténettel, a tartalmuk a működő rendszerből újraellenőrizve.

• A kétfaktor-szintet a szervezet szigoríthatja — lazítani csak friss második faktorral lehet
• Egy bukott élesítés magától visszaáll az előző, működő változatra
• Az alvállalkozói (alfeldolgozói) lista egy forrásból, gépi kapuval a jogi oldalakhoz

NIS2 beszállítói megfelelés

Jelszócsere után mindenhonnan kiléptetünk — és az auditnyomnak külső horgonya van

Ha megváltoztatod vagy visszaállítod a jelszavadat, minden MÁS böngészőben és eszközön azonnal véget ér a munkamenet — a szerveren vonjuk vissza, nem várjuk meg, hogy magától lejárjon. Egy elhagyott vagy illetéktelen kézbe került bejelentkezés így a következő kattintásnál megszűnik. Emellett az auditnyomról naponta bérlőnkénti ujjlenyomat készül, láncolva és a szerveren kívül tárolva: egy már rögzített nap utólagos módosítása — akár tulajdonosi joggal, az adatbázison belül — kimutatható.

• A szerveren visszavonva, nem csak lejárva — élesben kipróbálva
• Napi, láncolt ujjlenyomat az auditnyomról, személyes adat nélkül

Biztonság és bizalom

NIS2: leképeztük a 21. cikk (2) mind a tíz intézkedését

Ha a szervezeted a NIS2 (2024. évi LXIX. tv.) hatálya alá esik, a beszállítóidat is fel kell mérned — és ezt a munkát eddig mindenkinek magának kellett kikaparnia belőlünk. Mostantól kész anyagot adunk: egy publikus oldalt és egy letölthető beszállítói adatlapot, amely a 21. cikk (2) tíz intézkedés-csoportját arra képezi le, amit a rendszer ténylegesen csinál. Incidens esetén 24 órán belül értesítünk — azért ennyi, hogy a te 24/72 órás bejelentési határidőd tartható maradjon. Fontos: ez nem tanúsítvány, és nem tesz téged megfelelővé; a NIS2 a szervezetedre vonatkozik, mi a beszállítói oldalt tesszük ellenőrizhetővé. A korlátainkat ugyanazon a lapon kiírjuk.

• Mind a tíz intézkedés-csoport leképezve — megfelelési minősítést szándékosan nem állítunk
• 24 órán belüli incidens-értesítés, részleges információval is
• Letölthető adatlap a beszerzésnek, és kitöltjük a saját kérdőívüket is

NIS2 beszállítói megfelelés

Kilépéskor mindent visszakapsz — ellenőrzőösszeggel, és igazolt törléssel

Egy szolgáltatót akkor könnyű választani, ha könnyű otthagyni is. Mostantól a teljes adatod kiadható: MINDEN adattábla gépi olvasható (NDJSON) és táblázatkezelővel nyitható (CSV) formában, a tárolt fájlok leltárával és fájlonkénti SHA-256 ellenőrzőösszeggel — amivel utólag ellenőrizheted, hogy a csomag sértetlen. A csomag azt is néven nevezi, ami szándékosan kimarad belőle, és megmondja, miért. Ha ezután törlést kérsz, arról bizonylatot adunk: mit töröltünk, mi lett az utólagos ellenőrzés eredménye, és annak az exportnak a lenyomata, amit előtte átadtunk. A mentésekből az adat a rotációval, legfeljebb 90 napon belül kerül ki — ezt is kimondjuk, mert a mentés a teljes adatbázisról készül.

• Minden adattábla, nem csak a napló — fájl-leltárral együtt
• Fájlonkénti SHA-256: a csomag sértetlensége ellenőrizhető
• Törlési bizonylat, benne a megelőző export lenyomatával

NIS2 beszállítói megfelelés

A mentésekből végigpróbáltuk a visszaállítást

Egy mentés annyit ér, amennyit visszaállítottak belőle — ezért végigcsináltuk. Az off-szerver mentésből (6 óránként, EU-s tárolóba) visszaállítottuk a teljes adatbázist egy külön példányba, és megszámoltuk: minden tábla, minden sor és minden felhasználói fiók épen visszajött. Külön ellenőriztük a kanonikus napló-PDF-eket is: mindegyikhez megvan a mentett fájl, és bájtról bájtra egyezik az eredetivel. Maga az adat másodpercek alatt áll helyre. A teljes helyreállítási időt — amibe egy új gép felépítése is beleszámít — még mérjük, és csak akkor írjuk le, ha számmal tudjuk alátámasztani.

• Minden tábla és minden felhasználói fiók épen visszajött — megszámolva, nem feltételezve
• A kanonikus napló-PDF-ek mind megvannak a mentésben, bájt-azonosan
• Amit még nem mértünk meg, azt kimondjuk — a teljes helyreállítási idő még nincs kész

Biztonság és bizalom

Operations Analytics — teljes biztonsági átvizsgálás

A modul átfogó, több dimenziós átvizsgáláson esett át, valós adaton is. Kritikus hiba nem került elő; a feltárt tételeket a jó gyakorlat szerint javítottuk.