Országgyűlési Napló - 2013. évi tavaszi ülésszak
2013. március 26 (265. szám) - Az állami és önkormányzati szervek elektronikus információbiztonságáról szóló törvényjavaslat általános vitája - ELNÖK (Lezsák Sándor): - SCHÖN PÉTER, a Jobbik képviselőcsoportja részéről:
1999 féregprogramokat, és ezek segítségével adatokat lophat, vagy túlterheléses támadást indíthat állami, önkormányzati, céges rendszerek ellen. Egyes államok informatikusokból álló hadsereget állítanak fel, mert felismerték, hogy az internet eg y új hadszíntér, ahol egy kisebb, megfelelő tudás birtokában lévő, akár fejletlenebb állam is térdre kényszerítheti a nagyobbat. A helyzet egyértelműen súlyos, és intézkedésre van szükség. Az előttünk fekvő törvényjavaslat az állam részéről erre próbál vál aszt adni. A törvényjavaslat első fele a használt fogalmakat tisztázza, majd pedig a törvény személyi és tárgyi hatályát szabályozza. Közismert az a mondás, hogy minden lánc csak olyan erős lehet, amennyire a leggyengébb láncszem. Ennek tükrében meglepő, h ogy a törvényjavaslat személyi és tárgyi hatálya nem terjed ki a kormányra és a kormánybizottságokra mint potenciális célpontokra. A javaslat kitér arra, hogy a szükséges védelmi intézkedések megtervezéséhez az állami informatikai rendszerek biztonsági osz tályba sorolása alapvető fontosságú. A törvényjavaslat ezt a szervezeti vezető feladatává teszi, azzal kiegészítve, hogy a megállapított biztonsági szinttől indokolt esetben eltérhet. Az eltérések lehetséges okait azonban nem rendezi a javaslat, így egyeg y szervezet biztonsági besorolását ennek megfelelően szubjektív szempontok befolyásolhatják. A javaslat szerint a biztonsági besorolást a törvény hatálybalépését követő egy éven belül meg kell tenni, amelyet a szervezet vezetője felülbírálhat, így mire a h atóság a biztonsági osztályba sorolás felülvizsgálata során megállapítja, hogy például túl alacsony biztonsági osztályba lett besorolva a szervezet, rengeteg hasznos idő, akár másfélkét év is eltelhet a valódi biztonsági szint megállapításáig és a szükség es lépések elkezdéséig. Maga a javaslat is megemlíti, hogy egy olyan központi államigazgatási szervnél, ahol nincs információbiztonsági szabályozás, akár négy év is rendelkezésre áll a követelmények teljesítéséhez - ez eltúlzott. Arra szintén nem tér ki a javaslat, hogy a biztonsági osztályba sorolás során kockázati tényezőként kell figyelembe venni azt, ha az adott szerv az adatok kezelésére zárt forráskódú rendszereket használ. Ezen szoftverek esetén a fejlesztés módjáról, irányáról, üteméről a szoftver k észítője dönt, ebbe az államnak nincs beleszólása. Ez érinti a termék biztonsági szolgáltatásait és a termék biztonsági frissítéseit is. Ez komoly nemzetbiztonsági kockázatot jelent. Szintén nem rendelkezik arról a javaslat, hogy az állam által használt re ndszereknek meg kell felelniük nemzetközi nyílt szabványoknak. Zárt formátumok és szabványok használata az adatvédelmi követelmények és az archiválási követelmények - azaz hogy az adatok akár 20 év múlva is elérhetőek legyenek - okán nem megengedhető. A tö rvényjavaslat megemlíti az adatok külső szolgáltatók általi kezelését, a manapság oly népszerű cloudrendszereket is. Szabályozza, hogy ebben az esetben is az adatgazda felelőssége a szükséges biztonsági szint betartása, arról azonban nem rendelkezik, hogy amennyiben sok szervezet él a kiszervezés ezen lehetőségével, akkor a rendszert üzemeltető szolgáltatónak az általa üzemeltetett rendszerek biztonsági besorolásától függetlenül magasabb minősítést kell kapnia, hiszen egy meghibásodás, szolgáltatáskimaradás vagy egy sikeres támadás esetén szolgáltatások sokasága maradhat ki. A javaslat jelzi, de kötelezővé nem teszi az informatikai biztonságért felelős személyek nemzetbiztonsági átvilágítását, pedig ez szintén alapvető kritérium, hiszen nemzetközi tanulmányo k is megállapítják, semmit sem ér a védelem, ha a támadás belülről, a támadás elhárításáért felelős személy közreműködésével érkezik. A szükséges biztonsági szint elérése és megtartása egy folyamat része, amely során elengedhetetlen a résztvevők szükséges képzése és továbbképzése. A javaslat sajnos ezen a téren is hiányos, hiszen mindössze pár sorban, a szükséges konkrétumok nélkül rendelkezik arról, hogy a résztvevők továbbképzéséről a Nemzeti Közszolgálati Egyetem gondoskodik.
