Irodaköltözés és telephelybezárás: a rejtett adatbiztonsági kockázat a régi eszközpark

Az irodaköltözés és a telephelybezárás a szervezet életének két olyan eseménye, amikor a normál IT eszköz-életciklus folyamatok ideiglenesen szétesnek. A leltár stabil „ki, hol, milyen eszközt használ” képe egy néhány hetes időablakra felborul: dobozolt hardver halmozódik a folyosón, régi gépek kerülnek elő a tárolóhelyiségből, és a „majd később foglalkozunk vele” kategória néhány nap alatt naggyá duzzad. Pontosan ebben az időablakban válnak láthatatlanná azok a régi eszközök, amelyek tartalmazhatnak ügyféladatot, dolgozói adatot, üzleti titkot vagy szabályozott adatot — és pontosan ezekben a hetekben fordul elő a legtöbb dokumentálatlan adatkijuttatás.

A jelenség nem egy elszigetelt kockázat. Az európai adatvédelmi és kiberbiztonsági szabályozás kifejezetten erre az időszakra is alkalmaz követelményeket: a GDPR 32. cikke, a NIS2-irányelv 21. cikk (2) bekezdése és az ISO 27001:2022 vonatkozó kontrolljai egyértelművé teszik, hogy egy szervezet adatvédelmi felelőssége nem szünetel attól, hogy éppen átköltözik egy másik címre, vagy bezár egy telephelyet.

Miért különösen kockázatos az irodaköltözés és a telephelybezárás?

A normál IT eszköz-életciklus során minden hardvernek van gazdája, helye és státusza a leltárban. A használatból kikerült eszközöket a szervezet selejtezésre adja, és ott egy dokumentált, tanúsított folyamat végzi a tényleges adatmegsemmisítést. Egy költözés ezt a folyamatot ideiglenesen szétfeszíti négy ok miatt.

Először, a változás strukturális: az asset management napi folyamatai (átvétel, kiadás, javítás, selejtezés) egy időre háttérbe szorulnak, mert a fő figyelem a fizikai mozgáson van. Másodszor, az eszközmozgás tömeges és koncentrált — ami egy hónap alatt 5-10 eszközmozgás lenne, az most egy hét alatt akár több száz. Harmadszor, a folyamatban több, eltérő érdekű és felkészültségű szereplő vesz részt: a költöztető cég, a facility menedzsment, az IT részleg és HR. Negyedszer, a régi, már nem használt eszközök — amelyek pontosan azok, amelyek a leselejtezési csatornán kellene, hogy átmenjenek — könnyen kerülnek a „később foglalkozunk vele” zsákutcába, és onnan végül egy nyomtatott rendszerező doboz aljából bukkannak fel hónapokkal később, esetleg már a régi telephely épületgépészeti felújítása közben.

Mely eszközök kerülnek tipikusan a szürke zónába?

Egy költöztetés vagy telephelybezárás során minden hardver — minden tárolásra alkalmas hardver — kockázati elem. A gyakorlatban azonban néhány eszköztípus szisztematikusan a szürke zónába esik:

• Régi laptopok és asztali gépek, amelyek már nem aktív használatban vannak, de a tárolóhelyiségben „tartalékban” pihennek
• Tartalék merevlemezek és SSD-k, amelyeket meghibásodás vagy bővítés miatt cseréltek le
• Hálózati eszközök (router, switch, tűzfal) konfigurációs adatokkal, amelyek a hálózati topológiát és hozzáférési mintázatokat is tárolják
• Külső adathordozók (USB drive, optikai média, archiváló merevlemez), amelyeket egyszeri feladatra használtak, majd elraktak
• Nyomtatók és multifunkciós eszközök, amelyek beépített háttértárolóval rendelkeznek és gyakran évek nyomtatási, szkennelési és faxálási tartalmát megőrzik
• Mobil eszközök (céges telefon, tablet) BYOD vagy közös eszközből visszavett darabok

A kérdés ezeknél az eszközöknél nem az, hogy „tartalmaznak-e adatot” — hanem az, hogy a szervezet tudja-e dokumentáltan igazolni, hogy a rajtuk levő adat már nem visszaállítható, és az eszköz a felelős kezekben végzi.

GDPR 32. cikk, NIS2 21. cikk és az eszközmozgatás

A GDPR 32. cikke — „Az adatkezelés biztonsága” — előírja, hogy az adatkezelő és az adatfeldolgozó köteles a kockázat mértékének megfelelő technikai és szervezési intézkedéseket biztosítani a személyes adatok védelmére. A cikk nem ismer „költözési mentességet”: a kockázatarányos kötelezettség az átmeneti időszakokra is vonatkozik. Ha egy szervezet a költözési stresszben elveszít egy laptopot, amelyen HR-adatok vannak, az adatvédelmi incidens-helyzet — a bejelentési kötelezettséget azonban a GDPR 33. cikke szerinti kockázatértékelés alapján kell meghatározni. Egy nyílt, jelszó nélküli laptop más kockázatot képvisel, mint egy teljeskörűen titkosított, MDM-mel távolról törölhető eszköz.

A GDPR 17. cikke (a „törléshez való jog”) egy másik irányból érinti a régi eszközparkot. Ha egy érintett a költözést megelőzően kérte adatai törlését — és nem áll fenn a 17. cikk (3) bekezdés szerinti kivétel (pl. jogi kötelezettség teljesítése, közérdekű archiválási, tudományos vagy történelmi kutatási cél, vagy jogi igények előterjesztése, érvényesítése, illetve védelme) —, a szervezet a releváns aktív példányokat köteles eltávolítani. A backup retention és a jogi megőrzési kötelezettség kezelése külön, dokumentált kivételkezelési logikát igényel: egy régi laptopra mentett offline másolat, amely egy költöztetési dobozban felejtődik, ennek a kivételkezelésnek a hatókörén kívül esik — és a megőrzési helye miatt jogi értelemben problémás lehet.

A NIS2-irányelv (Európai Parlament és Tanács (EU) 2022/2555 irányelve) 21. cikk (2) bekezdése sorolja fel azokat a kockázatkezelési intézkedéseket, amelyeket az irányelv hatálya alá tartozó szervezeteknek alkalmazniuk kell. Ezek között szerepel a kockázatkezelés, az asset management és a supply chain security; a fizikai biztonsági szempontok az általános kockázatkezelési intézkedések részeként, levezetett követelményként következnek — mindhárom terület közvetlenül érintett egy költöztetés során. A NIS2 nem ír elő külön költöztetési szabályrendszert, de a folyamatos megfelelés a szervezeti változások idején is elvárás.

Fontos azonban tisztázni, hogy a NIS2 hatálya nem általános: kizárólag az úgynevezett essential entities (alapvető entitások) és important entities (fontos entitások) körébe tartozó szervezetekre vonatkozik közvetlenül, az irányelv mellékletében meghatározott szektorok és méretküszöbök szerint. A magyar átültetés a mindenkor hatályos hazai kiberbiztonsági szabályozási keretben szerepel; a szervezet pontos besorolása (essential vagy important entity) és a konkrét kötelezettségek a szektor-specifikus felügyeleti útmutatás és a hatályos jogszabály alapján határozhatók meg. A NIS2-hatály alá nem tartozó szervezeteknél a GDPR és az ISO 27001 marad az elsődleges jogi és módszertani keret — a cikkben tárgyalt eszközmozgatási követelmények azonban a GDPR 32. cikke alapján rájuk is vonatkoznak.

Az átköltöztetés vagy bezárás során bekövetkező adatvesztési esemény — például egy személyes adatot tartalmazó eszköz elveszése vagy ismeretlen kezekbe kerülése — a GDPR 33. cikke szerinti incidens-helyzet, ami 72 órán belüli bejelentési kötelezettséget keletkeztethet a felügyeleti hatóság (Magyarországon a NAIH) felé. A bejelentési kötelezettség dokumentált kockázatértékelés eredménye: titkosított és MDM-mel távolról törölhető eszköznél a kockázat — és ezzel a bejelentési kötelezettség is — más lehet, mint egy nyílt, hozzáférést nem korlátozó hardvernél. Az időablak azonban nem alkudható meg a költözési zűrzavarral, ezért is kritikus a folyamat előre megtervezett dokumentációja.

ISO 27001:2022 kontrollok a költöztetés és telephelybezárás idejére

Az ISO 27001:2022 Annex A hét kontrollja foglalkozik közvetlenül azzal a helyzettel, amikor egy IT eszköz nem a normál működési környezetében van vagy a használatból kikerül:

A.5.9 — Inventory of information and other associated assets. A teljes selejtezési és költöztetési folyamat alapja a naprakész eszközleltár. A pre-move adatvagyon-felmérés ennek a kontrollnak a koncentrált megvalósítása: nincs olyan eszköz, amely „nincs a leltárban”, és nincs olyan leltárelem, amelynek a fizikai helye ismeretlen.

A.5.11 — Return of assets. Telephelybezárás vagy munkavállalói leválás esetén kifejezetten releváns kontroll. Minden, korábban kiadott eszköz visszavételét, állapotának dokumentálását és további sorsának (újraosztás / selejtezés) eldöntését írja elő — pontosan az a folyamat, amit egy bezárási projektnek nagy léptékben kell végrehajtania.

A.7.9 — Security of assets off-premises. Ez a kontroll pontosan a költöztetés és telephelybezárás helyzetére illik. Az „off-premises” nem csak a hazavitt notebookot fedi le, hanem a költöztető kamionba pakolt szervert is. A kontroll megköveteli, hogy az ilyen helyzetekre kifejezett védelmi intézkedéseket alkalmazzon a szervezet — fizikai őrzés, sérülésvédelem, megfelelő szállítási mód.

A.7.10 — Storage media handling. Az adathordozók kezelése a teljes életcikluson át — beleértve a megsemmisítést is — dokumentált eljárásrend szerint kell, hogy történjen. Egy költöztetés vagy bezárás ennek a kontrollnak a stressz-tesztje: kiderül, hogy a szervezet eljárásrendje skálázódik-e tömeges, koncentrált eszközmozgásra is.

A.8.10 — Information deletion. Az információ törlésére vonatkozó kontroll explicit módon kimondja, hogy a már nem szükséges adatot dokumentált módon kell törölni vagy megsemmisíteni. A „már nem szükséges” pont az a kategória, ahova az irodaköltözés során sok adat hirtelen átkerül.

A.5.29 és A.5.30 (BCM/ICT kontinuitás). Telephelybezárás esetén további szempont az üzletmenetfolytonosság: ha a bezárandó telephely a szervezet katasztrófa-helyreállítási (DR) szerepét töltötte be, vagy backup-infrastruktúrát hostolt, az A.5.29 (Information security during disruption) és A.5.30 (ICT readiness for business continuity) kontrollok megkövetelik a tervek párhuzamos átdolgozását az eszközmozgatással egy időben.

A tanúsított adattörlés és fizikai megsemmisítés szerepe

A költöztetési és bezárási folyamat kulcs kontrollpontja a tanúsított adattörlés vagy fizikai megsemmisítés időbeni elvégzése. Az amerikai NIST SP 800-88 (Guidelines for Media Sanitization) szabvány — amelyet az európai szervezetek (köztük az ENISA és a német BSI iránymutatások) is széles körben referenciaként használnak — három szintet definiál: Clear (alaptörlés, alkalmi újrahasználathoz), Purge (logikai biztonsággal nem visszaállítható, ide tartozik a kriptográfiai törlés is) és Destroy (fizikai megsemmisítés). A választás az eszközre került adat klasszifikációjától, a média típusától és a titkosítási státusztól függ.

Egy költöztetési projektben ez a választás konkrét döntést követel meg: minden leselejtezésre szánt eszközre el kell dönteni, hogy *újrahasználható* (Clear vagy Purge szintű szoftveres adattörlés után újraosztható vagy értékesíthető), vagy *megsemmisítendő* (Destroy szintű fizikai megsemmisítés, jellemzően shredding, demagnetizáció vagy zúzás). A döntés alapja az eszközön szereplő adat érzékenysége, a média típusa, a titkosítási státusz és a tervezett újrahasználati cél: egy jogi részleg magas érzékenységű laptopja jellemzően Destroy szintet indokol — ugyanakkor egy ellenőrzötten titkosított, megfelelő kulcskezeléssel rendelkező SSD esetén a Purge vagy a kriptográfiai törlés (Cryptographic Erase) is védhető döntés lehet, ha az ellenőrizhetőség dokumentált.

A folyamat végén minden eszközhöz tanúsítvány (certificate of destruction vagy certificate of data sanitization) tartozik, amely sorozatszám szerinti azonosítóval rögzíti a tényt. Ez a tanúsítvány az audit nyomvonal kulcseleme: egy későbbi GDPR-vizsgálat, NIS2-felügyeleti ellenőrzés vagy ISO 27001 belső audit során ez bizonyítja, hogy a szervezet a kötelezettségét teljesítette.

Operatív lépéssor: hogyan építsd be a folyamatba?

A költöztetés vagy telephelybezárás adatbiztonsági komponensét nem lehet utólag a folyamatra „ráragasztani”. A leghatékonyabb megközelítés ötlépcsős, és a projektterv részeként ütemezett:

1. Pre-move adatvagyon-felmérés. A költöztetés előtt 4-6 héttel listázzon minden IT eszközt: aktív használatban lévő, tartalék, leselejtezésre szánt. A lista minden tételhez tartalmazza az eszközazonosítót, a klasszifikációs szintet (publikus / belső / bizalmas / szigorúan bizalmas) és a tervezett sorsát (költöztetés / újraosztás / selejtezés). Egyúttal ellenőrzendő, hogy van-e olyan eszközön adat, amelyre korábban a GDPR 17. cikke szerinti törlési kérelmet logikai szinten teljesítettek (pl. CRM-ből kitörölve): az offline másolat (régi laptop, tartalék merevlemez) létezését igazolni kell, és a fizikai törlés ezeknél az eszközöknél kötelező.

1. Klasszifikáció és döntés. A felmérési lista alapján döntés minden tételre: költöztetjük, vagy a költözés alkalma a selejtezési pont. A leselejtezésre szánt tételeknél döntés a NIST 800-88 szint szerint: Clear / Purge / Destroy.

1. Chain-of-custody bevezetése. Fontos elhatárolás: minden eszközmozgatáshoz nyomonkövetés szükséges (átadás-átvétel), de tanúsított adattörlés vagy fizikai megsemmisítés csak a selejtezésre, újraosztásra vagy értékesítésre szánt eszközöknél indokolt — a normál működéshez áthelyezett, aktív hardver nem igényel sanitization-t, csak nyomonkövetést. Az átadás-átvételi jegyzőkönyv minimális tartalmi elemei: eszközazonosító (leltárszám és sorozatszám), állapot átadáskor (sérülésvizsgálat), átadó és átvevő neve és szerepköre, időpont és helyszín, az eszköz tervezett sorsa (költöztetés / selejtezés / raktározás), záró felelős személy. A jegyzőkönyv kerüljön be a szervezet adatvédelmi nyilvántartásába. Ez az ISO 27001 A.7.9 (off-premises) követelményének operatív megfelelője.

1. Tanúsított adattörlés vagy megsemmisítés a selejtezési listára. A költöztetés ütemezésébe építsen be egy konkrét időablakot, amikor a selejtezésre szánt eszközök tanúsított törlésen vagy megsemmisítésen mennek át — szakszolgáltató bevonásával, on-site vagy off-site, de mindenképpen sorozatszám szerinti tanúsítvánnyal.

1. Záró dokumentáció és leltárfrissítés. A folyamat végén a tanúsítványok bekerülnek a szervezet adatvédelmi nyilvántartásába, a leltár frissül (eszköz lezárt státusszal), és a GDPR megőrzési kötelezettsége is teljesül. A leltárfrissítés egyben az ISO 27001:2022 A.5.9 (Inventory) kontroll folyamatos naprakészségének teljesítéseként is dokumentálandó. A tanúsítványok megőrzési idejét érdemes a belső retention policy és az elévülési / követelésérvényesítési szempontok alapján meghatározni — gyakorlatban jellemzően 5-7 év (a GDPR 5. cikk (2) elszámoltathatósági elvének folyamatos bizonyíthatóságához igazítva).

A projektterv első verziójában érdemes egy rövid felelősségi mátrixot (RACI) is rögzíteni: ki az asset owner, ki dönt a Clear/Purge/Destroy szintről (jellemzően a DPO/adatvédelmi felelős és az adatgazda közös döntése a CISO bevonásával), ki hagyja jóvá a selejtezési listát, és ki zárja le a leltárt a folyamat végén.

A telephelybezárás esetén ugyanezt a logikát kell követni, néhány árnyalattal. Egy bezáráskor jellemzően magasabb a *selejtezés* aránya (mivel a cél nem új helyre vinni az eszközöket, hanem felszámolni a teljes telephely IT-állományát), és a *határidő* gyakran rugalmatlanabb (épület átadás, bérleti szerződés vége). Ez fokozza a „majd később foglalkozunk vele” csapdájának kockázatát — ezért a tanúsított törlési és megsemmisítési kapacitás biztosítását még korábban érdemes lekötni.

Gyakori kérdések

Mi a különbség leselejtezés és költöztetés között adatvédelmi szempontból?

A költöztetés egy meglévő, használatban lévő eszköz fizikai áthelyezése egy másik helyszínre, a tárolt adatokkal együtt — itt a kockázat a szállítás közbeni elvesztés vagy sérülés. A leselejtezés egy eszköz végleges kivonása a használatból, ami GDPR és ISO 27001 értelmében dokumentált adattörlési vagy megsemmisítési kötelezettséget keletkeztet. A költöztetés alkalmával gyakran derül ki, hogy egy „tartalék” eszköz valójában leselejtezésre vár — ezt a pillanatot érdemes formálissá tenni.

Kell-e jegyzőkönyvet vezetni a költöztetett IT eszközökről?

Igen. Az ISO 27001:2022 A.7.9 (off-premises eszközök biztonsága) és A.7.10 (adathordozó-kezelés) kontrolljai dokumentált eljárásrendet írnak elő. A GDPR 32. cikke (megfelelő technikai és szervezési intézkedések kötelezettsége) és az 5. cikk (2) bekezdése (elszámoltathatósági elv) egyaránt megköveteli, hogy a szervezet tudja igazolni az intézkedéseit. A gyakorlatban ez chain-of-custody jegyzőkönyvet jelent: minden eszközmozgáshoz aláírt átadás-átvétel.

Mit tegyek a telephelybezárás után fennmaradó régi eszközökkel?

A bezárási projekt utolsó fázisaként minden, használatban már nem lévő IT eszközt formálisan selejtezésre kell venni, klasszifikálni az adattartalom alapján, és a NIST SP 800-88 szerinti megfelelő szintet (Clear / Purge / Destroy) alkalmazni rá. Ezt szakszolgáltató tudja sorozatszám szerinti tanúsítvánnyal igazolni, ami a későbbi audit nyomvonal alapja lesz. Időablakot a bezárás előtti utolsó 2-4 hétre érdemes tervezni.

Bízhatom a költöztető cégre az adatvédelmet?

A költöztető cég a fizikai szállítás biztonságáért felel, de az adatvédelmi felelősség az adatkezelőnél marad (GDPR 24. cikk). A GDPR 28. cikke szerinti adatfeldolgozói szerződés (DPA) akkor szükséges, ha a szolgáltató ténylegesen személyesadat-kezelési műveletet végez — például hozzáfér a hardveren tárolt adathoz. Tisztán zárt, lezárt, hozzáférés nélküli eszközszállítás esetén a védhetőbb keret jellemzően a biztonsági szerződéses melléklet: NDA, plombázott szállítóeszköz, chain-of-custody kötelezettségek, kétszereplős átadás-átvétel. A minősítés a tényleges adatkezelési művelet alapján történik, nem önmagában a szállítás ténye alapján. A költöztetéskor használt eszközöket — különösen a tárolásra alkalmasakat — érdemes a költöztető csomagolása ELŐTT klasszifikálni, és a magas érzékenységű elemeket vagy elkülönítetten szállítani, vagy még a költözés előtt tanúsított adattörlésen átvinni.

Hogyan kapcsolódik a GDPR 17. cikke az irodaköltözéshez?

A GDPR 17. cikke (törléshez való jog) értelmében ha egy érintett kérte az adatai törlését, a szervezet a releváns aktív példányokat — a 17. cikk (3) bekezdés szerinti kivételek (pl. jogi megőrzési kötelezettség, közérdekű archiválási cél, jogi igények előterjesztése vagy érvényesítése) figyelembevételével — köteles eltávolítani. A backup retention és a litigation hold külön, dokumentált kivételkezelési logikát igényel. Ha a logikai törlést elvégezték (CRM, központi rendszerek), de egy régi laptop offline másolata egy költöztetési dobozban felejtődik — és a fájlra nem vonatkozik dokumentált kivétel —, a kötelezettség jogi értelemben nem teljesült. Az irodaköltözés egy alkalom, amikor érdemes a pre-move adatvagyon-felmérés részeként ellenőrizni: van-e olyan régi eszközön adat, amelynek logikai szinten már törölve kellene lennie.