III. CÍM KIBERBIZTONSÁGI TANÚSÍTÁSI KERETRENDSZER

a tárolt, továbbított vagy egyéb módon kezelt adatok védelme a véletlen vagy jogosulatlan tárolással, kezeléssel, hozzáféréssel és közléssel szemben, az IKT-termék, az IKT-szolgáltatás és az IKT-folyamat teljes életciklusa alatt;

a tárolt, továbbított vagy egyéb módon kezelt adatok védelme a véletlen vagy jogosulatlan megsemmisítéssel, elvesztéssel vagy megváltoztatással, vagy a hozzáférhetetlenséggel szemben az IKT-termék, az IKT-szolgáltatás és az IKT-folyamat teljes életciklusa alatt;

a feljogosított személyek, programok vagy gépek kizárólag a hozzáférési jogaik tárgyát képező adatokhoz, szolgáltatásokhoz vagy funkciókhoz férhetnek hozzá;

az ismert függőségek és sebezhetőségek azonosítása és dokumentálása;

annak rögzítése, hogy ki, mikor és mely adatokat, szolgáltatásokat vagy funkciókat vett igénybe, használt vagy egyéb módon kezelt;

annak ellenőrizhetővé tétele, hogy ki, mikor és mely adatokat, szolgáltatásokat vagy funkciókat vette igénybe, használt vagy egyéb módon kezelt;

annak ellenőrzése, hogy az IKT-termékek, az IKT-szolgáltatások és az IKT-folyamatok nem tartalmaznak ismert sebezhetőségeket;

fizikai vagy műszaki biztonsági esemény bekövetkeztekor az adatok, a szolgáltatások és a funkciók rendelkezésre állásának, valamint az adatokhoz, a szolgáltatásokhoz és a funkciókhoz való hozzáférésnek a mihamarabbi helyreállítása;

az IKT-termékek, az IKT-szolgáltatások és az IKT-folyamatok alapértelmezetten és tervezetten biztonságosak;

az IKT–termékek, az IKT-szolgáltatások és az IKT-folyamatok szoftvere és hardvere naprakész, esetükben nem állnak fenn közismert sebezhetőségek, és rendelkezésre állnak a biztonságos frissítésükre szolgáló mechanizmusok.

hogy az irányított biztonsági szolgáltatásokat a szükséges kompetenciával, szakértelemmel és tapasztalattal nyújtsák, beleértve azt is, hogy az e szolgáltatások nyújtásával megbízott személyzet az adott területen kielégítő és megfelelő műszaki ismeretekkel és kompetenciával, kielégítő és megfelelő tapasztalattal, valamint a legmagasabb szintű szakmai feddhetetlenséggel rendelkezzen;

hogy a szolgáltató megfelelő belső eljárásokkal rendelkezzen annak biztosítására, hogy az irányított biztonsági szolgáltatások mindenkor kielégítő és megfelelő színvonalúak legyenek;

hogy megvédjék az irányított biztonsági szolgáltatások nyújtásával összefüggésben hozzáférhető, tárolt, továbbított vagy más módon kezelt adatokat a véletlenszerű vagy jogosulatlan hozzáféréssel, tárolással, nyilvánosságra hozatallal, megsemmisítéssel, egyéb kezeléssel, vagy elvesztéssel vagy megváltoztatással vagy hozzáférhetetlenséggel szemben;

hogy fizikai vagy műszaki esemény bekövetkeztekor az adatok, a szolgáltatások és a funkciók rendelkezésre állása, valamint az adatokhoz, a szolgáltatásokhoz és a funkciókhoz való hozzáférés mihamarabb helyreálljon;

hogy a feljogosított személyek, programok vagy gépek kizárólag a hozzáférési jogaik tárgyát képező adatokhoz, szolgáltatásokhoz vagy funkciókhoz férhessenek hozzá;

hogy tartsák nyilván és értékelés céljából tegyék hozzáférhetővé, hogy ki, mikor és mely adatokat, szolgáltatásokat vagy funkciókat vett igénybe, használt vagy kezelt egyéb módon;

hogy az irányított biztonsági szolgáltatások nyújtása során alkalmazott IKT-termékek, IKT-szolgáltatások és IKT-folyamatok tervezetten és alapértelmezetten biztonságosak legyenek, és adott esetben tartalmazzák a legújabb biztonsági frissítéseket, és esetükben ne álljanak fenn közismert sebezhetőségek.