Informatikai infrastruktúra kiépítése: útmutató kkv-knak

Egy kkv informatikai infrastruktúrájának kiépítése hét lépésből áll: felmérés, hálózat, szerver vagy felhő, mentés a 3-2-1 szabály szerint, jogosultságok, dokumentáció és folyamatos üzemeltetés. A sorrend számít, mert minden lépés az előzőre épül. Mellette érdemes ellenőrizni, hogy a cég a 2024. évi LXIX. törvény, a magyar kiberbiztonsági törvény hatálya alá tartozik-e.

1. Felmérés: mi van ma, és mire lesz szükség

Az első lépés egy lista arról, ami már megvan: eszközök, felhasználók, szoftverek, előfizetések, és hogy hol vannak a cég adatai. Ugyanide kerül, ki mihez fér hozzá, és ki az, aki ma a gépeket karbantartja.

A legfontosabb kérdés: melyik rendszer leállása állítja meg a munkát? A válaszból derül ki, mire kell először figyelni, és mi várhat.

2. Hálózat: erre épül minden más

A hálózat a router, a tűzfal, a switchek és a wifi együttese. Érdemes külön hálózatra tenni a vendégeket és a céges gépeket, hogy egy látogató telefonja ne lássa a szervert vagy a nyomtatót.

A távoli munkához csak titkosított kapcsolaton, egyéni fiókkal és többlépcsős hitelesítéssel adj hozzáférést, ne közös jelszóval.

3. Saját szerver vagy felhő

A Microsoft felelősségmegosztási leírása szerint saját szerverteremben minden réteg a cégé, a fizikai géptől az adatokig. Felhőben a fizikai réteget a szolgáltató viszi, de az adatok, a végponti eszközök, a felhasználói fiókok és a hozzáférés-kezelés minden modellben a megrendelő felelőssége marad.

A felhő tehát nem veszi le a válladról az üzemeltetés egészét, csak egy részét. A döntés szempontjairól az on-premise és felhős infrastruktúráról szóló cikkünkben írtunk részletesen.

4. Mentés: a 3-2-1 szabály

A US-CERT számára készült, a Carnegie Mellon Egyetem által 2012-ben kiadott útmutató szerint egyetlen mentés nem elég. A 3-2-1 szabály:

• 3 példány minden fontos fájlból: egy eredeti és két mentés.
• 2 különböző adathordozó-típus, mert más-más veszély fenyegeti őket.
• 1 példány telephelyen kívül, például felhőben vagy egy másik helyszínen.

Miért kell kipróbálni a visszaállítást

Ugyanez az útmutató figyelmeztet, hogy a folyamatosan felülírt mentésbe csendben átkerülhet az eredeti fájlok sérülése vagy a kártevő. A mi tanácsunk ezért az, hogy a mentésből régebbi változatok is maradjanak meg.

A Microsoft a saját szerveres környezetek tipikus hiányosságai közé sorolja a ritka, ki nem próbált vagy csak helyben tárolt mentést. Egy mentés akkor ér valamit, ha a visszaállítását már kipróbáltátok.

5. Jogosultságok: mindenki annyit, amennyi kell

A legkisebb jogosultság elve a NIST meghatározása szerint azt jelenti, hogy egy felhasználó csak a feladatához minimálisan szükséges hozzáférést kapja. A könyvelő nem lát bele a fejlesztői szerverbe, a gyakornok nem rendszergazda.

A CISA hosszú, véletlenszerű és fiókonként egyedi jelszót javasol, legalább 16 karakterrel, mellé többlépcsős hitelesítést. Kilépéskor a hozzáférés megszüntetése ugyanilyen fontos, mint a felvételkor a kiosztása.

6. Dokumentáció: hogy ne egy ember fejében legyen

Írd le, ami a fenti lépésekben elkészült: hálózati rajz, eszközlista, ki milyen jogosultságot kapott, hol fut a mentés, és hogyan kell visszaállítani. Ide tartoznak a szolgáltatói szerződések és a hibabejelentés elérhetőségei is.

A jó dokumentáció próbája egyszerű: ha a rendszert ismerő kolléga szabadságon van, valaki más el tud-e indulni belőle.

7. Üzemeltetés: a kiépítés nem egyszeri munka

A Microsoft szerint a saját szerveres környezetekben gyakran elmarad a biztonsági frissítések telepítése, hiányos a hálózat figyelése, és olyan eszköz is üzemel, amely már nem kap biztonsági frissítést.

Az üzemeltetés ezért rendszeres munka: frissítések, monitorozás, a mentések ellenőrzése és az elavuló eszközök cseréjének tervezése. Ha a szervereidet nem házon belül akarod üzemeltetni, erről a szerverüzemeltetés oldalunkon olvashatsz.

Érintett-e a céged a kiberbiztonsági törvényben

A 2024. évi LXIX. törvény a NIS2 irányelv mentén szabályozza a kiberbiztonságot, és 2025. január 1. óta hatályos. A hatály alá tartozás a törvény erejénél fogva, külön hatósági döntés nélkül áll be, és ennek vizsgálata a vezető felelőssége. A méretre vonatkozó szabályt a 2025. évi CXXXV. törvény 2026. január 6-tól átírta.

A törvény 1. § (1) bekezdés d) pontjának hatályos szövege szerint két kérdés dönt:

• Ágazat: a tevékenység besorolható-e a törvény 2. mellékletének (például energetika, közlekedés, egészségügy) vagy 3. mellékletének (például hulladékgazdálkodás, digitális szolgáltatók) valamelyik ágazatába.
• Méret: a cég a kkv-törvény szerint középvállalkozásnak minősül-e, vagy legalább 50 főt foglalkoztat-e, vagy az éves nettó árbevétele meghaladja-e a 10 millió eurónak megfelelő forintösszeget, és beszámolót készítő cégnél a mérlegfőösszege is.

Méret és kivételek

A kkv-törvény 3. §-a szerint kisvállalkozás az, ahol a foglalkoztatottak száma 50 főnél kevesebb, és az éves nettó árbevétel vagy a mérlegfőösszeg legfeljebb 10 millió eurónak megfelelő forintösszeg. Középvállalkozás a kkv-kategória ezen felüli része; ehhez a kkv-törvény többi szabálya is számít. Ha a cég nem középvállalkozás, a kiberbiztonsági törvény saját küszöbeit külön kell megnézni.

A hatóság 2025 januári segédlete még a módosítás előtti, csak a kkv-törvényre épülő méretszabályt írja le. A méretkérdésben ezért a hatályos törvényszöveg az irányadó.

Méretétől függetlenül érintett a 2. vagy 3. mellékletben szereplő szervezet, ha elektronikus hírközlési, bizalmi, DNS-, legfelső szintű doménnév-nyilvántartó vagy doménnév-regisztrációs szolgáltatást nyújt. Bizonyos feltételek mellett a hatóság egyedileg is a törvény hatálya alá vonhat szervezetet.

Ha érintett: határidők az SZTFH-nál

A törvény 23. §-a szerint ezeknek a cégeknek a kiberbiztonsági felügyeletét a Szabályozott Tevékenységek Felügyeleti Hatósága (SZTFH) látja el. A segédlet szerint a banki szolgáltatások és pénzügyi piaci infrastruktúrák felügyelete a Magyar Nemzeti Banké.

Az SZTFH tájékoztatója szerint a nyilvántartásba vételt a működés megkezdésétől vagy a hatály alá kerüléstől számított 30 napon belül kell kérni.

A nyilvántartásba vételtől számított 120 napon belül auditorral kell szerződni, az első auditot pedig két éven belül kell elvégeztetni. A méretfüggetlen szolgáltatók közül a kkv-törvény szerinti mikrovállalkozásnak nem kell auditot végeztetnie, a nyilvántartásba vételt viszont neki is kérnie kell.

A segédlet saját szavai szerint nem veszi át a vezető felelősségét a jogértelmezésben, határesetben kérdezz jogászt.

Ha nem egyedül csinálnád végig

Tevékenységünk az informatikai infrastruktúra, az adatfeldolgozás területéről indult. Szolgáltatásaink között ma is szerepel az informatikai infrastruktúra kiépítése. A tervezés, a fejlesztés, az üzemeltetés és a támogatás egy kézben marad, erről az informatikai infrastruktúra szolgáltatásunk oldalán olvashatsz.

Források

• 2024. évi LXIX. törvény Magyarország kiberbiztonságáról, Nemzeti Jogszabálytár (hatályos szöveg)
• 2025. évi CXXXV. törvény (a hatály módosítása), Nemzeti Jogszabálytár
• NBSZ NKI: Segédlet a Kiberbiztonsági törvény hatályának értelmezéséhez (2025. január, a módosítás előtti állapot)
• 2004. évi XXXIV. törvény a kis- és középvállalkozásokról, Nemzeti Jogszabálytár
• SZTFH: Kiberbiztonság (nyilvántartásba vétel, auditori szerződés, audit)
• Ruggiero, Heckathorn: Data Backup Options, Carnegie Mellon University a US-CERT számára (2012)
• Microsoft Learn: Shared responsibility in the cloud
• NIST CSRC szójegyzék: least privilege
• CISA: Require Strong Passwords (kis- és középvállalkozásoknak)