TISAX audit IT eszközök: selejtezés és beszállítói felelősség
A TISAX audit során az autóipari beszállítónak bizonyítania kell, hogy az IT eszközök és adathordozók selejtezése kontrollált, dokumentált és a VDA ISA 6.0 követelményrendszeréhez illeszkedik. A VDA ISA 6.0 supporting assets és supplier relationships kontrolljai, az ISO/IEC 27001:2022 A.7.10 és A.8.10 kontrolljai, valamint a NIST SP 800-88 Rev. 2 (2025-09) együtt adják az auditban releváns bizonyíték- és kontrollterületet. A folyamat eszközszintű sanitization vagy destruction record nélkül nem védhető — egy TISAX assessor jellemzően ezt a bizonyítékot keresi.
Legfontosabb megállapítások:
A TISAX assessor az IT eszközök selejtezésénél nemcsak a szabályzatot, hanem az eszközleltárt, a védelmi igény szerinti döntést és a végrehajtási bizonyítékokat is vizsgálja.
A VDA ISA 6.0 beszállítói kontrolljai alapján az alvállalkozó adatmegsemmisítési szolgáltató információbiztonsági szintjét kockázatalapon kell értékelni és szerződésben rögzíteni.
A tanúsított törlési vagy megsemmisítési igazolás akkor használható auditbizonyítékként, ha az eszközazonosító, módszer, dátum, felelős fél és őrzési lánc visszakövethető.
Egy TISAX assessment során gyakori helyzet, hogy a beszállító részletesen bemutatja az ISMS szabályzatait, a hozzáférés-kezelést és az incidenskezelési folyamatot, majd az assessor rákérdez egy kevésbé látványos pontra: mi történik a fejlesztői notebookkal, a tesztlaborból kivont SSD-vel, a prototípusprojekthez használt mobiltelefonnal vagy a régi fájlszerver lemezeivel, amikor kikerülnek a használatból. Ilyenkor az IT eszköz életciklusának végjelenete kerül az audit fókuszába.
TISAX auditnál az IT eszközök kezelése nem áll meg az üzemeltetésnél. A selejtezés, a felújításra küldés, a visszavétel, a szoftveres törlés, a lemágnesezés és a fizikai megsemmisítés mind olyan pont, ahol autóipari információ, prototípusadat, személyes adat vagy OEM-szintű bizalmas dokumentáció kerülhet ki ellenőrizetlenül a szervezetből. Egy TISAX assessor jellemzően nem várja el, hogy minden adathordozót automatikusan meg kelljen semmisíteni — a döntésnek viszont kockázatalapúnak, dokumentáltnak és eszközszinten bizonyíthatónak kell lennie.
Miért auditkérdés az IT eszközök életciklusának vége?
Az autóipari beszállítói környezetben egy leselejtezett eszköz ritkán csak technikai hulladék. Tartalmazhat rajzokat, beszállítói árakat, mérési eredményeket, gyártási paramétereket, hibaanalíziseket, prototípusfotókat, vevői kapcsolattartók adatait, VPN-konfigurációkat vagy mentési maradványokat. A kockázat nem az eszköz könyv szerinti értékéhez, hanem a rajta tárolt információ védelmi igényéhez kapcsolódik.
A VDA ISA 6.0 logikája szerint az információs vagyon és az azt feldolgozó támogató eszközök összekapcsolódnak. A notebook, SSD, mobiltelefon, USB-adathordozó, szerverlemez vagy papíralapú dokumentáció nem önmagában érdekes, hanem azért, mert információt hordoz, és az információ védelmi igénye átszáll az adathordozóra is. Ez a gyakorlatban azt jelenti, hogy az eszközselejtezési folyamatnak kapcsolódnia kell az információosztályozáshoz, az eszközleltárhoz, a hozzáférés-kezeléshez és a beszállítói kockázatkezeléshez.
Az assessor általában nem elégedik meg egy általános „selejtezési szabályzat létezik” válasszal. A kérdés inkább az, hogy egy konkrét eszköz útja visszakövethető-e: ki minősítette, milyen adat volt rajta, milyen törlési vagy megsemmisítési módszer mellett döntöttek, ki vitte el, hol tárolták átmenetileg, ki végezte el a műveletet, és milyen igazolás maradt róla.
TISAX scope, label és assessment szintek
A TISAX assessment-rendszerben a beszállító nem általában „TISAX-tanúsítást” szerez, hanem konkrét assessment objective-okra vonatkozó label-ek érhetők el. A leggyakoribbak: Confidential és Strictly Confidential (információosztályozás szerint), High availability és Very high availability (rendelkezésre állás szerint), Proto Parts / Proto Vehicles / Test Vehicles / Proto Events (prototípusvédelem négy különböző scope-ja), valamint Data és Special Data (személyes és különleges adatkezelés). Az adott label határozza meg, hogy a VDA ISA 6.0 katalógusból melyik kontrollok érintettek és milyen mélységben vizsgálandók — ezért az IT eszköz selejtezésével kapcsolatos elvárás is a label-től függ.
Az assessment szintek (AL) a vizsgálati módszertant adják meg, nem minőségi címkék.
Assessment Level 1 alapvetően belső önértékelésre épül; az audit provider legfeljebb az önértékelés meglétét ellenőrzi, a tartalmat érdemben nem vizsgálja. Az ENX TISAX Participant Handbook szerint az AL1 eredmény alacsony bizalmi szintű, ezért TISAX label kiadásra ritkán használják.
Assessment Level 2 dokumentum-alapú plauzibilitás-vizsgálat: az audit provider a kitöltött VDA ISA önértékelés mellé bizonyítékokat (eszközlista, selejtezési jegyzőkönyv, törlési riport, megsemmisítési igazolás, beszállítói szerződés, kockázatértékelés) kér, és kiegészítő interjút készít az információbiztonságért felelős személlyel. Az interjú tipikusan távoli formában zajlik, de a hangsúly a benyújtott bizonyítékok érvényességén van. Ha bizonyos bizonyítékokat a beszállító nem tud távoli formában megosztani (eyes-only evidence), AL2-n belül helyszíni betekintés is kérhető. Létezik AL2.5 opció is, amely teljes körű remote assessment AL3-kompatibilis módszertannal, helyszíni aktivitások nélkül.
Assessment Level 3 a teljes körű audit: dokumentumellenőrzés, folyamatgazdákkal készített interjúk, helyszíni szemrevételezés és a folyamat tényleges végrehajtásának vizsgálata. Az auditor mintát vehet (jellemzően n=10-30 eszköz), és kérheti, hogy a beszállító az eszközleltártól a megsemmisítési igazolásig végigkövesse a kiválasztott tételeket. Az AL3 alatt ezért nem elméleti kérdés, hogy van-e zárt gyűjtő, elkülönített selejtezési terület, átadás-átvételi rend vagy látogatói kontroll.
A TISAX eredményeket a beszállító az ENX exchange portálon keresztül osztja meg az OEM-mel vagy más tier-1 partnerrel. Az exchange a már elvégzett TISAX assessmentek megosztására szolgál — nem helyettesíti a beszállító saját kockázatkezelését, szerződéses kontrolljait vagy a saját alvállalkozói felé támasztott elvárásait.
VDA ISA 6.0 kontrollok: hol jelenik meg az adathordozó-megsemmisítés?
A VDA ISA 6.0 három fő assessment-katalógusa az Information Security, a Prototype Protection és a Data Protection. A beszállítói kapcsolatok kezelése (Supplier Relationships) az Information Security katalóguson belül kapott önálló kontrollkört — a régi VDA ISA 5.x „Connection to Third Parties” terminust felváltotta. IT eszközök selejtezésénél ezek a katalógusok egyszerre érintettek.
Selejtezésre előkészített adathordozók munkapadon — VDA ISA 6.0 szerinti eszközleltár alapja.
Az Information Security katalógusból az eszközéletciklus végéhez közvetlenül kapcsolódó kontrollok: 1.3.1 information assets és supporting assets azonosítása és felelős hozzárendelése; 1.3.2 handling specifications a supporting assets-re (transport, storage, return, deletion/disposal); 3.1.3 handling of supporting assets a teljes életcikluson keresztül — high protection needs esetén a relevant standards (pl. ISO/IEC 21964 Security Level 4 vagy magasabb) szerinti megsemmisítés elvárás; 3.1.4 mobile IT devices és mobil adathordozók kontrolljai (encryption, access protection, marking, registration); 5.3.3 information assets visszavétele és secure removal külső IT szolgáltatásból; 6.1.1 Supplier Relationships — alvállalkozói kockázatértékelés, szerződéses kötelezettségek, verifikáció.
A Prototype Protection katalógus a customer-provided vehicles, components és parts védelmére fókuszál, és kiegészül a digitális prototípusadat-kezelési kontrollokkal. Releváns kontrollok az IT eszköz életciklusra: 8.2.2 subcontractor commissioning customer approval és NDA mellett; 8.2.6 image material (prototípusfotók, videók) secure deletion és disposal; 8.2.7 mobile photo és video devices kezelése security areas-ban. Fontos megjegyezni, hogy a Proto Parts / Proto Vehicles / Test Vehicles / Proto Events scope nem azonos a prototípusadatot tartalmazó IT-adathordozók kezelésével — utóbbi az Information Security katalógus mobile devices kontrolljai alá esik, de OEM-specifikus elvárás (BMW Group Standard, VW 80101/80102, Audi/Porsche prototípusvédelem) párhuzamosan érvényesülhet.
A Data Protection katalógus akkor válik assessment objective-ként relevánssá, ha a beszállító GDPR 28. cikk szerinti adatfeldolgozói pozícióban kezel ügyféladatot, vagy különleges kategóriájú adatot érint. A 9.5.2 kontroll itt az alvállalkozói és kooperációs partneri szerződéses kötelezettségeket és compliance review-t várja el. Önmagában a HR-adat vagy beléptető rendszer napló jelenléte a beszállítónál nem aktiválja automatikusan a Data label-t TISAX scope-ban.
ISO/IEC 27001:2022 A.7.10 és A.8.10 kapcsolata a TISAX kontrollokkal
Az ISO/IEC 27001:2022 Annex A kontrolljai jó hivatkozási pontot adnak a TISAX-felkészítéshez, de nem helyettesítik a VDA ISA 6.0 szerinti önértékelést. A kontrollok gyakorlati tartalmát az ISO/IEC 27002:2022 implementation guidance fejti ki, amely a TISAX-bizonyítékok kialakításához is referenciaként használható.
Az A.7.10 Storage media kontroll a tárolóeszközök védelméről szól a teljes életciklus alatt: használat, tárolás, szállítás, újrahasználat és selejtezés kontrollált kezelése. TISAX-környezetben ez közvetlenül megfeleltethető a VDA ISA 6.0 1.3.2 (handling specifications) és 3.1.3 (handling of supporting assets) kontrolljainak.
Az A.8.10 Information deletion kontroll azt várja el, hogy a már nem szükséges információt töröljék az információs rendszerekből, eszközökről és egyéb tárolókról. Ez nem azonos a felhasználói fájltörléssel. A compliance szempontból védhető eljárásnak ki kell térnie arra, hogy milyen típusú adathordozón milyen módszer elfogadható, ki hagyja jóvá a végrehajtást, és hogyan igazolják, hogy a törlés vagy megsemmisítés megtörtént.
A két ISO kontroll együtt adja az alapot a TISAX-ban elvárt működéshez: a tárolóeszköz kontrollált kezelése és az információ visszaállíthatatlanná tétele nem külön folyamat, hanem ugyanannak az életciklusnak két oldala. Ha a szervezet ISO/IEC 27001:2022 szerinti ISMS-t működtet, a TISAX felkészítésnél célszerű a storage media és information deletion bizonyítékokat közvetlenül összekötni a VDA ISA kontrollkérdéseivel — különösen az 1.3.1, 1.3.2, 3.1.3, 3.1.4, 5.3.3 és 6.1.1 kontroll-azonosítókkal.
NIST SP 800-88 Rev. 2: Clear, Purge, Destroy és a döntés bizonyíthatósága
A NIST SP 800-88 Rev. 2 2025-09-26-án jelent meg végleges formában, és leváltotta (superseded) a Rev. 1-et (2014-12-17). A kiadvány médiatisztítási programok kialakításához ad iránymutatást — a módszer kiválasztását az adatok érzékenységéhez, az adathordozó típusához és a további felhasználási célhoz köti, és Verification (4.5.1) + Validation (4.5.2) lépést is elvár.
Őrzési lánc dokumentálása zárt szállítóládával — TISAX-ban auditálható átadás-átvételi pont.
A NIST szemléletében három fő kategória használható: Clear (3.1.1), Purge (3.1.2) és Destroy (3.1.3). A Clear logikai törlési vagy felülírási eljárás, amely normál hozzáférési módszerekkel megakadályozza az adatok visszanyerését. A Purge fejlettebb helyreállítási kísérletekkel szemben is védelmet céloz — például cryptographic erase, megfelelő coercivity-illesztésű degausser mágneses média esetén, vagy hardver-támogatott sanitize parancs. A Destroy a fizikai megsemmisítés (mechanikai szeletelés, darabolás, aprítás, incineration). A Rev. 2 a degaussingot kizárólag mágneses adathordozóra (HDD, mágnesszalag) ismeri el, és nem általános Destroy technika — SSD-re és flash-alapú médiára nem alkalmazható.
TISAX szempontból a Destroy nem „jobb” minden esetben, hanem akkor megfelelő döntés, ha a kockázat és a további eszközsors ezt támasztja alá. SSD és NVMe esetén az egyszerű overwrite-alapú Clear nem elégséges általános állításként — a wear leveling és overprovisioning miatt az overwrite parancs nem éri el a teljes flash-kapacitást, ezért a NIST Rev. 2 ezeket az adathordozó-osztályokat további szabványokra (IEEE 2883, NSA/CSS előírások, gyártói specifikációk) tereli. A megfelelő útvonalra példák: validált hardver-támogatott sanitize parancs (mint az NVMe Format with Secure Erase vagy ATA Secure Erase Enhanced), cryptographic erase ahol a kulcskezelés ellenőrizhető, vagy fizikai megsemmisítés — minden esetben az adott eszköz és firmware támogatásának konkrét validációja mellett.
A NIST kiadvány Appendix C mintát ad a Certificate of Sanitization tartalmára (eszközazonosító, módszer, validáció eredménye, felelős aláíró). A TISAX assessor jellemzően nem TISAX-formalizált sablont, hanem az Appendix C logikájával megfeleltethető, eszközszintű sanitization vagy destruction record-ot keres. A beszállítónak tudnia kell megmutatni a döntési logikát: mikor választ Clear-t, mikor Purge-t (cryptographic erase, secure erase, degausser mágneses médiára), mikor fizikai Destroy-t — és hogyan kezeli azt az esetet, amikor a Clear/Purge technikailag nem validálható.
Mit vár el az assessor az eszközszintű sanitization record-tól?
A TISAX nem ír elő formális TISAX-certificate-of-sanitization sablont — az assessor jellemzően olyan eszközszintű sanitization vagy destruction record-ot vár, amely tartalmában megfeleltethető a NIST 800-88 Rev. 2 Appendix C logikájának. A „tanúsított igazolás” magyar gyakorlatban lehet a szolgáltató saját jegyzőkönyve, ISO/IEC 21964 (a DIN 66399 nemzetközi megfelelője) szerinti megsemmisítési tanúsítvány vagy ezek kombinációja — a tartalom a döntő, nem a fejléc.
Egy auditban használható record tartalmazza legalább az eszköz vagy adathordozó azonosítóját (gyári szám, eszközleltári szám, vonalkód), az alkalmazott módszert (Clear/Purge/Destroy kategória + konkrét eljárás: szoftveres törlés, cryptographic erase, secure erase parancs, lemágnesezés mágneses médiánál, mechanikai szeletelés vagy aprítás), a dátumot, helyszínt, végrehajtó szervezetet, felelős személyt vagy gépi azonosítót, a végrehajtás eredményét (Verification + Validation a NIST szerint) és az esetleges kivételeket. Ha egy adathordozó nem törölhető, ezt nem szabad elrejteni — külön státuszt és kockázatalapú további intézkedést kell kapnia.
Az őrzési lánc (chain of custody) dokumentálása párhuzamos elvárás. Az assessor azt vizsgálja, hogy az eszköz nem tűnt-e el a folyamat közben, nem került-e ellenőrizetlen szállításba, és nem volt-e olyan átmeneti tárolás, ahol jogosulatlan hozzáférés történhetett. Az őrzési lánc minimális tartalma: átadó és átvevő neve, időbélyeg, plomba-azonosító (seal ID), szállítójármű vagy zárt tartály azonosító, mennyiségi egyeztetés és eltéréskezelés módja.
AL3 audit alatt az assessor kockázatalapú mintát vehet, és kérheti, hogy a beszállító az eszközleltártól a sanitization record-ig végigkövesse a kiválasztott tételeket. Belső felkészülésnél érdemes egy 10-30 eszközből álló minta végigkövethetőségére készülni, de a tényleges mintaszám az audit provider mérlegelésén múlik. Hiánykezelési eljárás (eltérésjegyzőkönyv 24-48 órán belül, corrective action plan a Major non-conformity-knél jellemzően 90 napon belül) megléte ezért kulcs eleme a felkészülésnek.
Beszállítói lánc: az alvállalkozói IT biztonsági szint felelőssége
A TISAX nem zárul le a vállalat kapujánál. A VDA ISA 6.0 6.1.1 Supplier Relationships kontrollja elvárja, hogy a szervezet kockázatalapon értékelje a vállalkozókat és együttműködő partnereket, szerződésben rögzítse az információbiztonsági elvárásokat, és verifikálja azok teljesülését. Ez közvetlenül érinti az IT eszközök selejtezésébe bevont külső szolgáltatókat.
A beszállítói kockázat mértéke attól függ, ténylegesen mihez fér hozzá az alvállalkozó: csak már zárt vagy előkezelt elektronikai hulladékhoz, vagy magas védelmi igényű információhoz, prototípushoz, illetve személyes adathoz tartalmazó működő adathordozóhoz. Ha az alvállalkozó az utóbbi kategóriába esik, akkor nem elegendő egy általános megrendelés — a szerződésnek kezelnie kell a titoktartást, az adatkezelési szerepeket (GDPR 28. cikk szerinti adatfeldolgozói pozíció, ha releváns), az alvállalkozói lánc továbbadását, az eszközök átadásának rendjét, a sanitization módszereket, a dokumentációs elvárásokat és az auditjogot vagy bizonyítékbekérési jogot. A VDA ISA 6.0 9.5.2 Data Protection kontroll külön elvárja a personal data feldolgozásával kapcsolatos szerződéses kötelezettségeket.
Az assessor itt gyakran keres mintát: hogyan választották ki az adatmegsemmisítési szolgáltatót (kockázatértékelés bizonyítéka), milyen igazolás vagy tanúsítás támasztja alá a szolgáltató alkalmasságát (ISO/IEC 27001 tanúsítvány, ISO/IEC 21964 megsemmisítési minősítés, TISAX label, vagy ezek hiányában explicit kontrollteszt), és hogyan ellenőrzi a beszállító a szolgáltatási riportokat. Ha a szervezet csak a számlát és egy darabszámot tud felmutatni, az gyenge bizonyíték. Eszközszintű lista, átadási dokumentáció, sanitization record és eltéréskezelés együtt már auditálhatóbb alap.
Fontos korlát: a TISAX nem mondja ki automatikusan, hogy minden saját beszállítónak ugyanazt a TISAX label-t kell megszereznie. A beszállítónak viszont bizonyítania kell, hogy a külső szolgáltatás igénybevétele nem vezet be kezeletlen információbiztonsági kockázatot — magasabb védelmi igényű scope (Strictly Confidential vagy Proto Vehicles) esetén az ENX exchange portálon megosztott TISAX label vagy tanúsított ekvivalens szerződéses elvárás lehet.
Gyakorlati felkészülési lista TISAX előtt
Az első lépés az eszközleltár és az információosztályozás összekötése. A selejtezésre kerülő IT eszköznél legyen megállapítható, hogy milyen információs vagyonhoz kapcsolódott, milyen védelmi igény vonatkozott rá, és ki a felelős tulajdonos. Enélkül a törlési vagy megsemmisítési döntés utólag nehezen védhető.
Második lépésként legyen jóváhagyott módszerválasztási mátrix. Ez határozza meg, hogy HDD, SSD, mobiltelefon, memóriakártya, szerverlemez, mentési adathordozó vagy papíralapú dokumentáció esetén milyen módszer alkalmazható normál, magas vagy nagyon magas védelmi igénynél. A mátrix térjen ki a sérült, nem olvasható vagy titkosított eszközökre is.
Harmadik lépés a bizonyítékcsomag előkészítése. Egy assessor számára célszerű előre összeállítani egy mintacsomagot: selejtezési szabályzat, eszközlista, jóváhagyási rekord, átadás-átvételi jegyzőkönyv, őrzési lánc dokumentáció, tanúsított törlési vagy megsemmisítési igazolás, szolgáltatói kockázatértékelés és szerződéses kivonat. Nem a dokumentum mennyisége számít, hanem az, hogy egy konkrét eszköz végigkövethető legyen a döntéstől a végrehajtásig.
Negyedik lépésként kezelni kell az eltéréseket. Ha egy adathordozó hiányzik, nem azonosítható, nem törölhető vagy a darabszám eltér, annak legyen incidens- vagy eltéréskezelési útja. Az autóipari compliance gyakorlatban a kontrollált eltérés jobb, mint az utólag nem magyarázható csend.
Végül érdemes a TISAX felkészítés során próbainterjút tartani az IT, compliance, beszerzés, létesítményüzemeltetés és adatvédelmi felelős bevonásával. Az eszközselejtezés tipikusan több szervezeti egységet érint, és az assessor gyorsan látja, ha a folyamat csak az egyik területen ismert.
A külső szolgáltató kiválasztásakor a beszállító kérjen eszközszintű sanitization vagy destruction record-ot, dokumentált őrzési láncot és eltéréskezelési eljárást — a TISAX assessment oldaláról ezek a bizonyítékok illeszthetők a VDA ISA 6.0 ellenőrzéseihez. TISAX felkészítéshez használható selejtezési és adathordozó-kezelési ajánlatkérés.
Gyakori kérdések
Kötelező minden leselejtezett IT eszközt fizikailag megsemmisíteni TISAX alatt?
Nem. A módszert a védelmi igény, az adathordozó típusa, az eszköz további sorsa és a vevői követelmények alapján kell kiválasztani és dokumentálni.
Mit jelent az őrzési lánc az adathordozó-megsemmisítésnél?
Az őrzési lánc azt dokumentálja, hogy az eszköz mikor, kitől, kinek, milyen azonosítóval és milyen kontrollált körülmények között került átadásra, tárolásra, szállításra és megsemmisítésre.
Elfogadható auditbizonyíték egy darabszámos megsemmisítési igazolás?
Önmagában gyenge bizonyíték, ha nem köthető konkrét eszközazonosítókhoz. TISAX felkészítésnél eszközszintű vagy adathordozó-szintű visszakövethetőségre van szükség.
Hogyan kapcsolódik a NIST SP 800-88 Rev. 2 a TISAX audithoz?
A NIST SP 800-88 Rev. 2 nem TISAX szabvány, de elismert módszertani referencia a Clear, Purge és Destroy kategóriákhoz, ezért segít a törlési és megsemmisítési döntések indoklásában.
Mit kell ellenőrizni egy külső adatmegsemmisítési szolgáltatónál?
Kockázatalapon vizsgálni kell a szerződéses kötelezettségeket, titoktartást, alvállalkozók kezelését, őrzési láncot, tanúsított jegyzőkönyvezést és a szolgáltatási riportok ellenőrizhetőségét.
IT eszközök selejtezése pénzügyi intézményekben: MNB, DORA és GDPR elvárások
A pénzügyi intézmények IT eszközeinek selejtezése Magyarországon egyidejűleg három szabályozói keretrendszer — az MNB 1/2025. ajánlása, a DORA (EU 2022/2554) rendelet és a GDPR — elvárásainak kell megfeleljen. A nem megfelelően kezelt adattörlés közvetlen felügyeleti, jogi és reputációs kockázatot jelent, amellyel a szektorbeli szervezetek compliance és IT kockázatkezelési felelősei egyre intenzívebben szembesülnek. A tanúsított adattörlés és az auditálható selejtezési folyamat ebben a kontextusban nem csupán legjobb gyakorlat, hanem igazolható szabályozói elvárás.
Legfontosabb megállapítások:
A DORA (EU 2022/2554) 9. cikkéből levezethető megfelelőségi elvárás, hogy az ICT-védelmi politika az eszközök teljes életciklusára — ideértve a kivonást és a biztonságos selejtezést — is kiterjedjen; ez rendszertani és kockázatkezelési értelmezés, nem szó szerinti normaszöveg.
A GDPR korlátozott tárolhatóság elve (5. cikk (1) e) pont), az integritás és bizalmasság elve (5. cikk (1) f) pont), valamint a törlési jog (17. cikk) és az adatkezelői felelősség (24. és 32. cikk) együttesen kötelezettséget teremt a pénzügyi intézmény által kezelt személyes adatok hordozóinak dokumentált és biztonságos megsemmisítésére.
Az MNB 1/2025. ajánlás IT biztonságra vonatkozó elvárásrendszere — beleértve az eszközök életciklus-kezelését — az SREP IT-kockázati pillérének értékelési területén jelenik meg; az auditálható selejtezési folyamat és a rendezett tanúsítványkezelés ezért az intézményi felkészültség dokumentálható részévé kell váljon.
A pénzügyi intézmény IT selejtezés és adatvédelem kérdése ma már nem pusztán üzemeltetési szempont: egy leselejtezett, nem megfelelően törölt szerver vagy laptop háromféle párhuzamos kockázatot hordoz egyszerre. Felügyeleti kockázatot, ha az MNB-vizsgálat hiányos selejtezési dokumentációt talál; adatvédelmi incidens-kockázatot, ha az eszközön maradó személyes adatok illetéktelen kezekbe kerülnek; és auditkockázatot, ha a DORA szerinti ICT kockázatkezelési keretrendszer nem fed le minden eszköz-életciklus fázist. Az MNB, a DORA és a GDPR együttes elvárásrendszere ezt a területet ma már egyértelműen a compliance-kérdések közé sorolja — miközben a gyakorlatban sokhelyütt még mindig operatív IT-feladatként kezelik.
Pénzügyi intézmény IT selejtezés: miért kritikus az adatvédelem és a compliance?
A bankok, biztosítók, befektetési vállalkozások és pénzforgalmi szolgáltatók IT eszközparkja életciklusának végén adathordozókat tartalmaz, amelyeken ügyfél-azonosítási adatok, tranzakciós naplók, belső kommunikáció, kockázatkezelési dokumentumok és hitelesítési információk egyaránt megtalálhatók lehetnek. Egy nem megfelelően megsemmisített merevlemez vagy SSD-meghajtó ebből a szempontból összemérhető súlyú kockázatot hordozhat, mint egy rosszindulatú szoftver által kompromittált szerver — azzal a lényeges különbséggel, hogy a fizikai eszköz kivonásakor az incidens nem generál riasztást, nem jelenik meg a biztonsági monitoringban, és az érintettség esetenként csak hónapokkal vagy évekkel később derül fény.
A Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) nyilvánosan elérhető határozatai jelzik, hogy a hatósági figyelem Magyarországon is kiterjedt erre a területre. Ezzel párhuzamosan a DORA 2025. januári alkalmazhatóvá válása a pénzügyi szektort az ICT kockázatkezelési elvárások szempontjából tovább szigorította — és a rendelet logikájából levezetett megfelelőségi értelmezés az eszközök selejtezési folyamatát is ebbe a keretrendszerbe helyezi.
Az MNB informatikai biztonsági elvárásai és az eszközök életciklusa
A Magyar Nemzeti Bank 1/2025. számú ajánlása az informatikai rendszer védelméről az IT biztonságot átfogóan, az eszközök teljes életciklusára kiterjedő megközelítésben tárgyalja. Az ajánlás kitér az adathordozók és IT eszközök megsemmisítésének, visszaszolgáltatásának és selejtezésének rendjére, és elvárja, hogy a pénzügyi intézmények belső szabályzataikban rögzítsék az ezzel kapcsolatos eljárásokat.
Az ajánlás szellemében az adathordozók kivonásakor alkalmazott eljárásrendnek ki kell terjednie legalább a következőkre: az érintett eszközök körének meghatározása eszköztípusonként, az alkalmazott megsemmisítési módszer rögzítése, a végrehajtás felelősi rendje, és a folyamat dokumentálásának módja. A puszta belső szabályzat önmagában nem elegendő: az MNB helyszíni vizsgálatakor a végrehajtás dokumentáltsága, a megsemmisítési tanúsítványok kezelése és a harmadik féltől igénybe vett selejtezési szolgáltatások auditálhatósága is az értékelés tárgyává válhat.
A pénzügyi intézmények belső compliance tevékenysége során ezért célszerű különválasztani az IT eszközök selejtezési folyamatát a fizikai infrastruktúra általános felváltásától: az előbbi önálló szabályozói relevanciával bíró terület, amelynek kezelése koordinációt kíván az IT üzemeltetés, az adatvédelmi tisztviselő és a kockázatkezelési funkció között.
DORA: az ICT kockázatkezelés az eszközök teljes életciklusában
A Digitális Operatív Rugalmassági Rendelet — DORA (EU 2022/2554) — 2025. január 17-től kötelező érvénnyel alkalmazandó valamennyi, az Unió pénzügyi szektor szabályozása alá eső szervezetre, beleértve a bankokat, biztosítókat, befektetési vállalkozásokat, elektronikuspénz-intézményeket és pénzforgalmi szolgáltatókat. A rendelet 9. cikke az ICT védelmi és megelőzési politikák keretét rögzíti, amely kiterjed az ICT-vagyonelemek — így az adathordozók — osztályozására és kezelésére. Ebből a rendszertani megközelítésből levezetett megfelelőségi értelmezés, hogy a védelem és a megelőzési intézkedések nem érhetnek véget az eszköz aktív üzemeltetési fázisával: a biztonságos kivonás és a dokumentált megsemmisítés ennek a politikának logikus és elvárható eleme.
A DORA logikája az ICT kockázatot az eszközök teljes életciklusában értelmezi: a beszerzéstől, a konfiguráción és üzemeltetésen át a kivonásig. Egy eszköz kivezetése — legyen szó laptopról, szerverről, mobileszközről, hálózati berendezésről vagy adattároló meghajtóról — ezért az intézmény ICT kockázatkezelési keretrendszerébe illeszkedő, dokumentálható folyamattá kell váljon.
Külső selejtezési partner bevonása esetén az intézménynek háromszintű minősítési kérdést kell megválaszolni. Első szint: egyáltalán ICT-szolgáltatónak minősül-e a partner (azaz technológiai jellegű adatkezelési vagy adattörlési szolgáltatást nyújt-e, nem csupán fizikai logisztikát)? Második szint: az általa érintett tevékenység kritikus vagy fontos funkciót támogat-e az intézmény működésében? Harmadik szint: fennállhat-e koncentrációs kockázat, amely a DORA szerinti kritikus ICT-harmadik fél besorolást vonja maga után? Egy alkalmi, könnyen helyettesíthető törlési partner jellemzően nem minősül kritikus ICT third-party-nak — de a minősítési döntést, az elvégzett due diligence-t és az indoklást dokumentálni kell. Ha a partner mégis ICT third-party-nak minősül, a DORA 28. cikke szerinti szerződéses minimumelvárások (kötelező záradékok, auditjog, kilépési terv, adatlokáció, alvállalkozói lánc) is alkalmazandók.
Minden esetben — függetlenül a partnerminősítéstől — az elvégzett selejtezési munkának auditálható dokumentációval és megsemmisítési tanúsítvánnyal kell zárulnia.
A GDPR korlátozott tárolhatóság elvének hatása az IT selejtezési folyamatokra
A GDPR személyes adatok kezelésére vonatkozó elvei közül a korlátozott tárolhatóság elve (5. cikk (1) bekezdés e) pont) és a törléshez való jog (17. cikk) szorosan kapcsolódik az IT eszközök selejtezésének kérdéséhez. A korlátozott tárolhatóság elve értelmében a személyes adatokat csak addig szabad megőrizni, amíg az adatkezelési célhoz szükséges. Ez az elv az adathordozók fizikai megszűnésekor is érvényesítendő: ha egy eszközön személyes adatok maradnak, az adatkezelési cél megszűnése nem szűnteti meg automatikusan az adatvédelmi felelősséget. A GDPR 5. cikk (1) f) pontja (integritás és bizalmasság elve), a 24. cikk (az adatkezelő felelőssége) és a 32. cikk (az adatbiztonság technikai-szervezési intézkedései) szintén kötelezettséget teremt arra, hogy az adatkezelés teljes életciklusában — a selejtezést is beleértve — megfelelő biztonsági intézkedések legyenek érvényben.
A pénzügyi szektorban ez a kötelezettség összetett képet mutat. A banki megőrzési kötelezettségek — jellemzően 5–10 éves időszakokra — korlátozhatják a törlési jog közvetlen érvényesíthetőségét az aktív adatkezelési időszak alatt. Azonban a megőrzési kötelezettség lejártát követően a biztonságos megsemmisítés már nem ajánlott legjobb gyakorlat, hanem jogi kötelezettség. Ennek elmulasztása nemcsak GDPR-jogsértés alapját képezheti — amelyért a NAIH akár érzékeny mértékű bírságot is kiszabhat —, de adatvédelmi incidensként is bejelentendővé válhat, ha az adatok illetéktelen kezekbe kerülnek.
A pénzügyi intézmények adatvédelmi tisztviselőinek (DPO) ezért célszerű az IT eszközök selejtezési tervét az adatkezelési nyilvántartással összevetni, és gondoskodni arról, hogy a kivont eszközökön tárolt adatok törlése az adatkezelési nyilvántartásban rögzített megőrzési idővel összhangban történjen.
Tanúsított adattörlés és fizikai megsemmisítés: mikor melyik a megfelelő megközelítés?
A pénzügyi szektorbeli eszközök körében a két alapvető megsemmisítési módszer — szoftveres adattörlés és fizikai megsemmisítés — közötti választást több tényező együttesen határozza meg.
A tanúsított szoftveres adattörlés HDD meghajtók esetén elismert és auditálható megközelítés, amennyiben széles körben hivatkozott útmutató — például a NIST SP 800-88 Rev. 1 (Guidelines for Media Sanitization) — szerint kerül elvégzésre, és az eljárás tanúsítvánnyal zárul. Ez lehetővé teszi az eszközök fizikai újrahasznosítását vagy értékesítését, miközben a megsemmisítés szabályozói szempontból igazolható.
SSD meghajtók, flash-alapú tárolóeszközök, Hardware Security Module-ok (HSM) és kriptográfiai adatokat hordozó eszközök esetén a helyzet összetettebb. Az SSD-technológia sajátosságai — különösen a wear leveling és az over-provisioning mechanizmusok — következtében a szoftveres felülírás nem garantálja, hogy minden adatblokk elérhetővé válik az eljárás számára. A NIST SP 800-88 Rev. 1 SSD esetén két elfogadható utat nevez meg: a kriptográfiai törlést (Cryptographic Erase), amely akkor érvényes, ha a tárolás teljes időtartama alatt hardveres titkosítás volt érvényes; illetve a validált eszközspecifikus sanitize eljárást, ha az gyártói tanúsítással igazolható. Ahol sem a kriptográfiai törlés, sem az eszközspecifikus sanitize nem alkalmazható megbízhatóan, pénzügyi intézményi környezetben — ahol az adatok érzékenysége és az incidens következménye magasabb az átlagosnál — a fizikai megsemmisítés jelenti a legkisebb kockázatú és legkönnyebben auditálható megközelítést.
A belső szabályzatnak az eszköztípusonkénti megközelítést rögzítenie kell: laptop (HDD vs. SSD típus szerint), szerver, mobileszköz, hálózati berendezés, HSM — mindegyik esetén meghatározva az alkalmazott módszert és az elvárt dokumentációs szintet.
A selejtezési folyamat felelősségi rendje: az 1-2-3 védelmi vonal modell
Banki kontextusban a selejtezési folyamat nemcsak IT-üzemeltetési feladat, hanem a három védelmi vonal mindegyikén megjelenő kontrollterület. Az első vonal (IT operations) felelős az eljárásrend tényleges végrehajtásáért: az eszközök azonosításáért, a megfelelő törlési vagy megsemmisítési módszer alkalmazásáért, és a megsemmisítési tanúsítványok begyűjtéséért. A második vonal (IT Risk / Compliance funkció) feladata az eljárásrend megfelelőségének ellenőrzése, a DORA- és MNB-elvárásokhoz való illeszkedés értékelése, a tanúsítványok dokumentált kezelése, és a DORA 28. cikke szerinti partnerminősítési döntések fenntartása. A harmadik vonal (belső audit) kockázatalapú audit terv szerint, rendszeresen végez mintavételes ellenőrzést: visszaellenőrzi, hogy az elvégzett megsemmisítések tanúsítványai konzisztensek-e az eszköznyilvántartással (CMDB), és hogy a külső partnernél végzett audit-jog ténylegesen érvényesíthető. A vezető testület (igazgatóság / felügyelő bizottság) szintjén az ICT kockázatkezelési keretrendszer részeként a selejtezési folyamat megfelelőségéről rendszeres jelentés szükséges.
A védelmi vonal struktúra expliciten szerepeltetése a selejtezési eljárásrendben és az ICT kockázatkezelési dokumentációban elvárható egy SREP-értékelés során.
A selejtezési dokumentáció és a szabályozói felkészültség
A megfelelőség szempontjából a tényleges megsemmisítés módszere mellett annak dokumentáltsága legalább olyan súlyú kérdés. Az MNB helyszíni vizsgálatai, illetve a DORA szerinti belső ICT kockázatkezelési ellenőrzések során felkészültséget jelent, ha az intézmény rendelkezik a következőkkel:
a selejtezési eljárásrendet rögzítő, hatályos és jóváhagyott belső szabályzat,
az elvégzett selejtezésekről kiállított tanúsítványok, amelyek tartalmazzák a megsemmisítés módszerét, az érintett eszközök azonosítóit, az elvégzés dátumát és a felelős aláírását,
a harmadik feles selejtezési partnerek minősítésére, szerződéses elvárásaira és teljesítményük dokumentálására vonatkozó eljárásrend,
a DORA szerinti ICT kockázatkezelési keretrendszerbe illeszkedő eszköz-életciklus kezelési dokumentáció,
a DORA 28. cikk szerinti partnerminősítési értékelés és annak indoklása (kritikalitás, helyettesíthetőség, koncentrációs kockázat).
A megsemmisítési tanúsítványok megőrzési idejét az intézmény iratmegőrzési szabályzatának, a Számviteli törvény (2000. évi C. törvény 169. §) szerinti bizonylati megőrzési kötelezettségnek (jellemzően 8 év), szerződéses kötelezettségeinek és jogérvényesítési szempontoknak megfelelően — jellemzően a jogi és compliance funkció koordinálásával — kell meghatározni. A konkrét megőrzési idő intézményi szinten a fenti szempontok alapján, az alkalmazandó jogszabályi keret figyelembevételével határozható meg.
Azok az intézmények, amelyek az IT eszközök selejtezését eddig kizárólag IT üzemeltetési feladatként kezelték, most indokolt mérlegelniük, hogy ez a terület illeszkedik-e a jelenlegi compliance és kockázatkezelési keretrendszerbe. Ha a megsemmisítési dokumentáció hiányos, a partnerminősítési döntés nincs rögzítve, vagy az eljárásrend nincs összhangban a DORA és az MNB 1/2025. ajánlás elvárásaival, a szükséges intézkedések köre meghatározható — és egy átfogó, auditálható folyamat kialakítható.
Ha szeretné felmérni, hogy intézménye selejtezési dokumentációja megfelel-e az aktuális MNB és DORA elvárásoknak, kérjen auditálható adattörlési folyamatértékelést: Ajánlatkérés
Gyakori kérdések
Mit takar pontosan a DORA ICT védelmi politikákra vonatkozó elvárása az eszközök selejtezése kapcsán?
A DORA (EU 2022/2554) 9. cikke az ICT védelmi és megelőzési politikák keretét rögzíti, amelybe az ICT-vagyonelemek osztályozása és kezelése is beletartozik. A rendszer logikájából levezetett megfelelőségi értelmezés szerint a védelmi intézkedéseknek ki kell terjedniük az eszközök teljes életciklusára — beleértve a kivonást és a dokumentált megsemmisítést is.
Milyen eszköztípusoknál indokolt a fizikai megsemmisítés?
SSD meghajtók, flash-alapú tárolók, Hardware Security Module-ok (HSM) és kriptográfiai kulcsokat hordozó eszközök esetén a szoftveres törlés technológiai sajátosságai miatt nem mindig garantálja az összes adatblokk elérhetőségét. Ahol az eszközspecifikus validált sanitize eljárás nem igazolható, a fizikai megsemmisítés jelenti a legkisebb kockázatú és legkönnyebben auditálható megközelítést pénzügyi intézményi környezetben.
Hogyan kapcsolódik a GDPR a pénzügyi intézményi IT selejtezési folyamathoz?
A GDPR korlátozott tárolhatóság elvének (5. cikk (1) e) pont) és a törlési jognak (17. cikk) az együttes olvasata szerint a személyes adatokat az adatkezelési cél megszűnését vagy a megőrzési kötelezettség lejártát követően biztonságosan meg kell semmisíteni. Az integritás és bizalmasság elvéből (5. cikk (1) f) pont) és az adatkezelői felelősség szabályaiból (24. és 32. cikk) levezetett elvárás, hogy a selejtezési folyamat dokumentált, ellenőrizhető és arányos biztonsági intézkedésekkel kivitelezett legyen.
Mit ellenőrizhet az MNB az informatikai biztonsági helyszíni vizsgálat során az IT selejtezés kapcsán?
Az MNB 1/2025. ajánlása alapján a vizsgálat kiterjedhet a selejtezési eljárásrendek meglétére és naprakészségére, az elvégzett megsemmisítések tanúsítványaira, a harmadik feles selejtezési szolgáltatók minősítésére és a szerződéses elvárásokra, valamint az IT eszközök életciklus-kezelési dokumentációjára.
Elfogad-e a szabályozó szoftveres adattörlést fizikai megsemmisítés helyett?
Igen, HDD meghajtók esetén, amennyiben az alkalmazott eljárás elismert szabványon — például NIST SP 800-88 Rev. 1 — alapul, és a végrehajtás auditálható tanúsítvánnyal igazolt. SSD-k és flash-alapú tárolók esetén pénzügyi intézményi környezetben sok esetben a fizikai megsemmisítés a legkisebb kockázatú és legkönnyebben auditálható megoldás, különösen ott, ahol az eszközspecifikus validált sanitize eljárás nem igazolható.
Milyen dokumentumokat érdemes előkészíteni egy MNB-vizsgálatra az IT selejtezés kapcsán?
Az intézménynek rendelkezésre kell bocsátania a selejtezési eljárásrendet rögzítő belső szabályzatot, az elvégzett megsemmisítések tanúsítványait (eszközazonosítóval, módszerrel, dátummal, aláírással), a harmadik feles partnerekkel kötött szerződések releváns részeit, valamint az ICT kockázatkezelési keretrendszer eszközök életciklusára vonatkozó fejezetét.
Mikor kell fizikai megsemmisítés, és mikor elég a tanúsított adattörlés?
A leselejtezett vagy újrahasználatra átadott vállalati eszközök esetében a döntés nem az, hogy „töröljünk vagy sem”, hanem az, hogy milyen adattisztítási módszer arányos az üzleti, adatvédelmi és auditkockázattal. A GDPR biztonsági és elszámoltathatósági logikája, valamint a NIST jelenlegi adathordozó-szanitizálási iránymutatása alapján sok működőképes eszköznél elegendő lehet a tanúsított adattörlés, míg sérült, nem ellenőrizhető vagy különösen érzékeny adathordozóknál a fizikai megsemmisítés indokolt. Ez a kérdés a datad.hu témakörében elsősorban vezetői döntési, nem pusztán informatikai végrehajtási probléma.
Legfontosabb megállapítások:
A tanúsított adattörlés akkor üzletileg és szakmailag erős megoldás, ha a teljes törlés igazolható, ellenőrizhető és dokumentált.
Fizikai megsemmisítés akkor indokolt, ha az adathordozó állapota, az információ érzékenysége vagy a szerződéses megfelelési környezet miatt a szoftveres bizonyítás már nem elég.
A jó döntés alapja nem az eszköz piaci értéke, hanem a kockázati szint, a bizonyíthatóság és az elszámoltatható folyamat.
A vállalati gyakorlatban a „biztonságos törlés” körül még mindig két hibás reflex működik. Az egyik szerint ami egyszer adatot tárolt, azt csak fizikailag megsemmisíteni szabad. A másik szerint egy újratelepítés, gyári visszaállítás vagy sima fájltörlés már megoldja a kockázatot.
Ez azért fontos, mert a rossz döntés kétféleképpen drága. Ha indokolatlanul megsemmisítünk mindent, fölöslegesen veszítjük el az eszközök maradványértékét. Ha viszont ott is újrahasználatban gondolkodunk, ahol a törlés nem bizonyítható, akkor adatvédelmi, reputációs és szerződéses kockázatot vállalunk.
Először ne az eszközt nézzük, hanem a kockázatot
A jó kérdés nem az, hogy „SSD vagy HDD”, hanem az, hogy mekkora kárt okozna, ha az adott adathordozóról mégis visszanyerhető lenne információ.
Másként kell kezelni egy működő irodai laptopot, amely tanúsított törlés után újraértékesíthető, és máshogyan egy hibás meghajtót, amely ügyfél-, HR-, pénzügyi vagy egyéb érzékeny adatot hordozhatott. A ICO útmutatója külön figyelmeztet rá, hogy attól még, hogy egy eszköz nem indul el, az adat nem feltétlenül vált hozzáférhetetlenné.
A döntéshez három dolgot kell együtt nézni:
az információ érzékenységét,
az adathordozó műszaki állapotát,
a törlés igazolhatóságát.
Mikor elég a tanúsított szoftveres adattörlés?
A tanúsított szoftveres adattörlés sok vállalati helyzetben teljesen megfelelő, de csak akkor, ha valóban tanúsított és ellenőrizhető folyamatról beszélünk. Nem ugyanaz, mint a formázás vagy a gyári reset.
Ha az adathordozó működőképes és teljesen verifikálható
A szoftveres törlés alapfeltétele, hogy az eszköz elérhető legyen, a folyamat végigfuthasson, és az eredmény ellenőrizhető legyen. Ha a teljes törlésről gépszintű riport készül, és az eszköz egyedileg azonosítható, akkor sok üzleti környezetben nincs szakmai indok a fizikai megsemmisítésre.
Ha az eszköz újrahasználata üzletileg érték
Itt a tanúsított adattörlés különösen erős. Megőrzi az eszköz újrahasználhatóságát, miközben lezárhatja az adatbiztonsági kockázatot is. Ez nem puhább megoldás, hanem sok esetben a legjobb egyensúly a biztonság, a dokumentálhatóság és az eszközgazdálkodás között.
Ha a bizonyítás fontosabb, mint a látvány
Sok szervezet automatikusan „biztonságosabbnak” érzi a fizikai megsemmisítést. Pedig egy dokumentálatlan megsemmisítés könnyen gyengébb kontroll lehet, mint egy tanúsított, naplózott, eszközszintű adattörlés. A GDPR logikája szerint nem az a legerősebb válasz, hogy „megsemmisítettük”, hanem az, hogy mi történt, melyik eszközzel, mikor, milyen módszerrel és erről mi a bizonyíték.
Ha a szabályzat vagy a szerződés ezt megengedi
Nem minden szervezetnek ugyanaz az elvárt kontrollszintje. Sok környezetben a működőképes adattárolók tanúsított szoftveres törlése teljesen megfelelő. Ha a belső politika és az ügyfélszerződések ezt nem zárják ki, nincs ok reflexből a legdrasztikusabb megoldást választani.
Mikor kell inkább fizikai megsemmisítés?
A fizikai megsemmisítés ott indokolt, ahol a szoftveres út már nem ad elég bizonyosságot.
Ha az adathordozó hibás, sérült vagy részben olvashatatlan
Ez a legtipikusabb eset. Ha a meghajtó instabil, vezérlőhibás, rossz szektoros vagy a teljes címezhetőség nem igazolható, akkor a szoftveres adattörlés megbízhatósága elesik. Ilyenkor nem az a kérdés, hogy „talán lefutott-e valami”, hanem az, hogy a szervezet vállalja-e a maradék bizonytalanságot. Általában nem érdemes.
Ha az adatok érzékenysége rendkívül magas
Kiemelt pénzügyi, egészségügyi, védelmi, kutatás-fejlesztési vagy stratégiai ügyféladatoknál a szervezet dönthet úgy, hogy a kockázattűrése gyakorlatilag nulla. Ilyenkor még működőképes adathordozónál is indokolt lehet a fizikai megsemmisítés, főleg ha ezt belső politika vagy szerződés is alátámasztja.
Ha a törlés nem vagy csak nehezen validálható
A NIST 2025-ös frissített iránymutatása már hangsúlyosan a validálásra és a szervezeti szintű médiatisztítási programra épít. Vezetői nyelvre lefordítva ez azt jelenti: ha a módszer nem védhető auditban, akkor valójában nem elég erős.
Ha nincs egyértelmű riport, nincs hiteles eszközazonosítás, nincs átadási lánc vagy nincs megfelelő szolgáltatói bizonyíték, a fizikai megsemmisítés gyakran tisztább döntés.
Ha a megfelelési környezet előírja
Bizonyos ügyfelek vagy szabályozott projektek nem mérlegelést, hanem konkrét megsemmisítési eljárást várnak el. Ilyenkor a tanúsított adattörlés hiába lenne technikailag megfelelő, üzletileg nem lesz elfogadható.
Működő meghajtó tanúsított törlésre előkészítve és sérült SSD fizikai megsemmisítés előtt
A leggyakoribb vezetői tévedések
„A fizikai megsemmisítés mindig biztonságosabb”
Nem feltétlenül. Egy rosszul dokumentált megsemmisítés könnyen gyengébb kontroll, mint egy megfelelően tanúsított adattörlés. A fizikai megsemmisítés akkor erős, ha maga a folyamat is kontrollált és igazolható.
„A szoftveres törlés csak kompromisszum”
Ez sem igaz. Megfelelő eszközön, megfelelő módszerrel, tanúsítással és riportálással a szoftveres adattörlés sok esetben elsőrangú megoldás.
„A nem működő meghajtó már nem veszélyes”
Ez veszélyes feltételezés. Attól, hogy egy laptop vagy SSD nem használható normál üzemben, az adathordozó egy része még lehet hozzáférhető.
Egy egyszerű vezetői döntési keret
Öt kérdés általában elég ahhoz, hogy a szervezet ne rutinból, hanem védhetően döntsön:
1. Működik és teljesen ellenőrizhető az adathordozó?
Ha igen, a tanúsított adattörlés valós opció. Ha nem, a fizikai megsemmisítés felé billen a mérleg.
2. Milyen érzékeny adat lehetett rajta?
Minél súlyosabb a lehetséges üzleti vagy adatvédelmi kár, annál kisebb helye van a bizonytalanságnak.
3. Szükség van az eszköz újrahasználatára vagy értékesítésére?
Ha igen, a tanúsított törlés sokszor a legésszerűbb út. Ha nem, és a kockázat magas, a megsemmisítés lehet tisztább döntés.
4. Bizonyítható a folyamat?
Riport, eszközazonosítás és auditnyom nélkül egyik módszer sem elég erős.
5. Van-e olyan szerződéses vagy belső előírás, amely kizárja a mérlegelést?
Ha van, azt kell követni. Ha nincs, akkor valódi vezetői döntésről beszélünk.
Nem egyetlen módszer kell, hanem védhető folyamat
Az érett gyakorlat nem arra épül, hogy a szervezet „mindig megsemmisít” vagy „mindig töröl”. Hanem arra, hogy külön kezeli a működőképes, újrahasználható és a sérült, nem verifikálható adathordozókat; tudja, mikor elég a tanúsított adattörlés; és tudja, mikor kell fizikai megsemmisítésre váltani.
Itt válik a szolgáltatóválasztás is stratégiai kérdéssé. Nem az a legjobb partner, aki mindenre ugyanazt mondja, hanem az, aki kockázati alapon, auditálhatóan tud különbséget tenni. A Data Destroy típusú megközelítés ebből a szempontból azért erős, mert nem pusztán „törlést” vagy „megsemmisítést” ad, hanem az eszköz állapotához, a kitettséghez és az igazolhatósági igényhez illesztett lezárást.
A jó vezetői álláspont tehát nem az, hogy a fizikai megsemmisítés vagy a szoftveres adattörlés közül melyik a „jobb”. Hanem az, hogy melyik módszer zárja le bizonyíthatóan a konkrét kockázatot a konkrét eszköznél.
Nem biztos benne, melyik módszer a megfelelő?
Segítünk eldönteni: kockázati alapon, az eszközök állapota és az adatok érzékenysége szerint javasoljuk a tanúsított adattörlést vagy a fizikai megsemmisítést. Kérjen egyedi értékelést.
Elég a gyári visszaállítás a leselejtezett laptopoknál?
Nem. A gyári visszaállítás vagy újratelepítés önmagában nem azonos a tanúsított adattörléssel, mert nem ad megfelelő bizonyítékot a teljes adattisztításról.
Mikor indokolt SSD-nél a fizikai megsemmisítés?
Akkor, ha az SSD hibás, nem verifikálható teljes körűen, vagy az adatérzékenység és a megfelelési környezet nem engedi meg a maradék bizonytalanságot.
A tanúsított adattörlés megfelelhet GDPR-szempontból?
Igen, sok esetben igen, ha a választott módszer a kockázattal arányos, ellenőrizhető, dokumentált és a szervezet bizonyítani tudja a végrehajtást.
Miért nem jó ötlet mindent automatikusan fizikailag megsemmisíteni?
Mert így a szervezet fölöslegesen elveszítheti a működőképes eszközök maradványértékét, miközben sok esetben a tanúsított adattörlés is megfelelő védelmet és jobb auditálhatóságot adhat.
Mi a legfontosabb különbség a két módszer között?
A tanúsított adattörlés megőrzi az eszköz újrahasználhatóságát, míg a fizikai megsemmisítés végleg kizárja azt. A döntést ezért mindig a kockázat, a bizonyíthatóság és a szabályozási környezet alapján érdemes meghozni.
Informatikai eszközök, laptopok selejtezése előtt 7 kérdés, amit minden IT-vezetőnek fel kell tennie
Az IT-eszközök selejtezése a magyar kis-, közép- és nagyvállalatoknál egyszerre adatvédelmi, információbiztonsági és irányítási kérdés. A GDPR elszámoltathatósági, korlátozott tárolhatósági és biztonsági elvei alapján nem elég törölni az adatokat: a szervezetnek azt is igazolnia kell, hogy a kivezetés folyamata kontrollált, dokumentált és a kockázattal arányos volt. A téma a datad.hu szakmai fókuszához azért kapcsolódik szorosan, mert a gyakorlatban a tanúsított adattörlés és a bizonyítható átadási lánc csökkenti leginkább a selejtezésből eredő vezetői kitettséget.
Legfontosabb megállapítások:
Az eszközselejtezés nem raktári feladat, hanem adat- és kockázatkezelési döntés.
A tényleges törlés önmagában kevés, ha a szervezet nem tudja hitelesen igazolni, hogy mikor, min és milyen eljárással történt meg.
A jó selejtezési folyamat végpontja nem egy kipipált adminisztratív lépés, hanem a dokumentált, auditálható és felelősségileg lezárt adattörlés.
Az IT-ben a selejtezés sok szervezetnél még mindig az életciklus legkevésbé stratégiai része. Új eszköz beszerzésére van folyamat, üzembe állításra van folyamat, jogosultságkezelésre is többnyire van folyamat. Amikor viszont egy notebook, szerver, SSD vagy mobiltelefon eléri a kivezetés pontját, a szervezet hajlamos ezt egyszerű logisztikai feladatként kezelni.
Ez hiba.
A leselejtezett eszköz ugyanis nem attól válik alacsony kockázatúvá, hogy már nem használják. Sokszor éppen ekkor a legnagyobb a kitettség: gazdátlanná válik a felelősség, fellazul az átadási lánc, és a döntéshozó utólag már csak azt látja, hogy egy hordozó eltűnt, egy adattartalom visszaállítható volt, vagy egy audit során nincs meg a bizonyíték arra, hogy a törlés valóban megtörtént.
A GDPR 5. cikke a korlátozott tárolhatóságot és az integritás-bizalmasság elvét is rögzíti, míg a 32. cikk megfelelő technikai és szervezési intézkedéseket vár el a kockázattal arányos védelemhez. A gyakorlatban ez azt jelenti: a selejtezés nem lehet vakfolt.
Az alábbi hét kérdés jó vezetői minimum. Nem technikai mélyfúrás, hanem olyan checklist, amely segít eldönteni, hogy a szervezet valóban lezár egy kockázatot, vagy csak arrébb tolja.
1. Pontosan tudjuk, milyen eszközöket vezetünk ki, és ki a felelős értük?
A selejtezési hibák jelentős része nem a törlési módszernél kezdődik, hanem sokkal korábban: az eszköznyilvántartás és a felelősségi lánc hiányánál. Ha nincs egyértelműen megmondva, hogy melyik eszköz melyik üzleti területhez, felhasználóhoz, telephelyhez vagy rendszerhez tartozik, akkor a kivezetés sem lesz kontrollált.
Az ICO eszközkezelési útmutatója külön is kiemeli az eszközök azonosítását, osztályozását, tulajdonosi kijelölését és a biztonságos megsemmisítés bizonyítékainak megőrzését. Ez nem brit sajátosság, hanem józan irányítási minimum.
Vezetői szempontból az első kérdés ezért nem az, hogy „hogyan törlünk”, hanem az, hogy van-e pontos listánk arról, mit vezetünk ki, és ki írja alá, hogy az adott eszköz valóban lezárható.
Mire figyeljen az IT-vezető?
szerepel-e az eszköz az aktuális nyilvántartásban;
ismert-e a tulajdonos, felhasználó vagy rendszergazda oldali felelős;
megvan-e az üzleti jóváhagyás a kivezetésre;
azonosítható-e az eszköz típusa, sorozatszáma, adattárolója és állapota.
Ha már ezen a ponton hiányos a kép, a selejtezés később sem lesz bizonyítható.
2. Tudjuk, milyen adat lehet még az adott eszközön?
Nem minden eszköz jelent azonos kockázatot. Egy vékonykliens, egy irodai monitor és egy vezetői notebook selejtezése nem ugyanaz a kategória. Ugyanígy más megítélés alá esik egy olyan mobiltelefon, amely többfaktoros hitelesítésre is használt alkalmazásokat futtatott, mint egy olyan laptop, amelyben helyi gyorsítótárak, e-mail-adatok, böngésző-tokenek vagy offline exportok maradhattak.
Az eszközkivezetés előtt tehát nem pusztán eszközt kell látni, hanem adathordozót és lehetséges adattartalmat. Ez különösen fontos a magyar KKV-knál, ahol az informatikai környezet sokszor hibrid: részben felhős, részben helyi, részben felhasználói szokásokra épülő működéssel. Ilyenkor könnyű azt feltételezni, hogy „úgyis minden a felhőben van”, miközben az eszközön továbbra is maradhatnak helyi másolatok, exportok vagy szinkronizált állományok.
A NIST SP 800-88 Rev. 2 abból indul ki, hogy az adathordozó törlési vagy megsemmisítési döntését a bizalmassági szinthez és a kockázathoz kell igazítani. Ez vezetői nyelvre lefordítva annyit jelent: nem minden eszközt ugyanazzal a rutinlépéssel szabad kezelni.
Mire figyeljen az IT-vezető?
milyen típusú adatok lehetnek az eszközön;
volt-e rajta személyes adat, ügyféladat, pénzügyi adat vagy belső bizalmas tartalom;
maradhattak-e lokális mentések, ideiglenes fájlok, gyorsítótárak, kulcsok vagy naplók;
az eszköz belső tárhelye mellett van-e másodlagos adathordozó is.
A rossz selejtezési döntések gyakran abból születnek, hogy a szervezet csak az eszköz értékét nézi, nem az adat értékét.
3. Biztosan a megfelelő törlési vagy megsemmisítési módszert választjuk?
A selejtezés egyik legveszélyesebb tévhite, hogy az adattörlés egységes művelet. Nem az.
Más kockázati profil tartozik a szoftveres törléshez, más a kriptográfiai törléshez, más a fizikai megsemmisítéshez. Az is számít, hogy HDD-ről, SSD-ről, mobil eszközről, szervermeghajtóról vagy hibás adathordozóról van szó. A NIST iránymutatása kifejezetten azért fontos, mert nem egyetlen „varázsmódszert” ajánl, hanem a hordozó típusa és a kockázat alapján választ módszert.
Vezetői szempontból itt nem az a kérdés, hogy az IT-csapat ismer-e törlőszoftvert. Az a kérdés, hogy a kiválasztott eljárás arányos-e azzal a kockázattal, amelyet az adott adathordozó jelent.
Tipikus vezetői hibák
az SSD-ket ugyanazzal a logikával kezelik, mint a hagyományos merevlemezeket;
a hibás vagy nem bootoló eszközökre nincs külön forgatókönyv;
a visszaértékesíthető és a fizikailag megsemmisítendő eszközök nincsenek szétválasztva;
a döntés kizárólag költségalapon születik, nem kockázatalapon.
A selejtezés itt válik valódi vezetői kérdéssé: a túl gyenge eljárás kitettséget termel, a túlzó eljárás pedig felesleges költséget.
Dokumentált, kontrollált selejtezési folyamat: az adatbiztonság ott kezdődik, ahol az operatív működés véget ér.
4. Bizonyítani is tudjuk majd, hogy a törlés megtörtént?
Ez az a pont, ahol a legtöbb szervezetnél elválik egymástól a „remélhetően megtörtént” és a „bizonyíthatóan megtörtént” kategória.
A GDPR nem csupán megfelelést, hanem elszámoltathatóságot is elvár. A rendelet szerint az adatkezelőnek képesnek kell lennie igazolni a megfelelést. Ez selejtezésnél azt jelenti, hogy nem elég egy belső állítás vagy szóbeli megerősítés. Kell valamilyen nyom, napló, azonosító, jegyzőkönyv, jóváhagyás vagy tanúsítvány, amelyből visszakereshető, hogy melyik eszközzel mi történt.
Az ICO selejtezési és törlési útmutatója egyértelműen arra mutat rá, hogy az elektronikus és fizikai nyilvántartásokat úgy kell megsemmisíteni, hogy az adatok ne legyenek helyreállíthatók, és a szervezetnek checklist-, illetve retentionlogikával kell tudnia követni a lezárást.
Mit érdemes minimumként keresni?
eszközazonosítóhoz kötött törlési nyom;
időbélyegzett végrehajtás;
kezelő vagy szolgáltató azonosíthatósága;
vezetői vagy folyamatgazdai jóváhagyás;
visszakereshető dokumentum a lezárásról.
Ahol ez nincs meg, ott az adattörlés jogi és auditértelemben gyakran nem lezárt, csak feltételezett.
5. Kontroll alatt van az átadási lánc a kivonástól a végső lezárásig?
Sok adatvédelmi és biztonsági incidens nem a törlés technikai pillanatában történik, hanem az előtte lévő átmeneti zónában. Az eszköz kikerül a felhasználótól, bekerül egy dobozba, átmegy egy raktárba, vár a bevizsgálásra, majd hetekkel később kerül sor a tényleges adattörlésre vagy megsemmisítésre.
Ez az időszak sok cégnél adminisztratív szürkezóna. Pedig itt dől el, hogy az eszköz valóban kontrollált státuszban van-e. Az ICO útmutatása erre is kitér: a megsemmisítésre váró hardvereket korlátozott hozzáférésű, zárt területen kell tárolni, a folyamatot dokumentálni kell, és harmadik fél esetén due diligence vagy audit is indokolt lehet.
A vezetői checklist itt így hangzik
ki veszi át az eszközt a felhasználótól;
hol tárolják a törlésig vagy megsemmisítésig;
ki férhet hozzá közben;
van-e tételes átadás-átvételi nyom;
harmadik fél bevonásánál tisztázott-e a felelősség és az ellenőrizhetőség.
A gyenge átadási lánc azért veszélyes, mert ilyenkor hiába jó a végső törlési eljárás, a szervezet közben elveszítheti az eszköz feletti bizonyítható kontrollt.
6. Külön kezeljük a kivételeket és a problémás eseteket?
A selejtezési folyamatok sokszor a „normál” eszközökre vannak optimalizálva. A valós kockázat viszont általában a kivételekben rejtőzik.
Ilyen kivétel például:
a sérült vagy nem olvasható meghajtó;
a titkosított, de nem dokumentált állapotú eszköz;
a hiányos azonosítóval visszaérkező notebook;
a nem szabványos adattárolót tartalmazó ipari vagy speciális berendezés;
a vezetői vagy érzékeny üzleti környezetből származó eszköz.
A jó folyamat itt nem gyorsítani akar, hanem megállni egy pillanatra. A vezetői kérdés az, hogy van-e külön döntési út a kivételekre, vagy minden ugyanabba a dobozba kerül.
Ha nincs kivételkezelés, akkor a szervezet valójában nem kockázatot menedzsel, hanem átlagot. Az átlag viszont nem védi meg attól az egyetlen esettől, amelyből incidens, vizsgálat vagy reputációs probléma lesz.
7. A selejtezés végén valóban lezárjuk a kockázatot, vagy csak túl vagyunk rajta?
Ez a legfontosabb vezetői kérdés, mert ez különbözteti meg az adminisztratív kipipálást a valódi kontrolltól.
Egy jó selejtezési folyamat végén a szervezet nemcsak azt tudja, hogy az eszköz már nincs használatban, hanem azt is, hogy:
az adattartalom kockázata lezárult;
a módszer arányos volt a kockázattal;
az átadási lánc dokumentált volt;
a végrehajtás visszakereshető;
az ellenőrzéshez szükséges bizonyíték rendelkezésre áll.
Itt válik érthetővé, miért jut el sok érett szervezet a tanúsított adattörlésig. Nem azért, mert ez „szebben hangzik”, hanem azért, mert a vezetői elvárás ma már nem pusztán a törlés ténye, hanem annak igazolhatósága. A GDPR 32. cikke szerint a biztonsági intézkedéseknek a kockázathoz kell igazodniuk, és a jóváhagyott tanúsítási mechanizmusok a megfelelés egyik bizonyítási elemeként is szolgálhatnak. Ezt a logikát erősíti az auditálható eszközkezelés és adattörlés gyakorlata is.
Mire jó ez a 7 kérdés a gyakorlatban?
Ez a checklist nem arra való, hogy az IT-vezető technikai műveleteket végezzen. Arra való, hogy gyorsan megítélje, mennyire érett a szervezet selejtezési folyamata.
Ha a hét kérdésből többnél bizonytalan a válasz, az jellemzően három problémát jelez:
nincs teljes kontroll az eszközéletciklus végpontján;
az adattörlés nincs összekötve az igazolhatósággal;
a selejtezés operatív rutinként fut, miközben valójában compliance- és reputációs kockázatot hordoz.
A magyar kis- és középvállalatoknál ez gyakran kapacitásprobléma, a nagyvállalatoknál pedig koordinációs probléma. Az ok különbözhet, a kitettség logikája viszont ugyanaz: amikor az eszköz kikerül a napi használatból, attól az adat még nem kerül ki automatikusan a szervezeti kockázati térből.
Rövid vezetői összegzés
Selejtezés előtt nem azt kell elsőként megkérdezni, hogy „hova tesszük a régi gépeket”, hanem azt, hogy a szervezet hogyan bizonyítja a kockázat lezárását. Aki ezt a kérdést időben felteszi, az nemcsak adatvesztést vagy auditvitát előz meg, hanem irányítási fegyelmet is épít.
A tanúsított adattörlés felé vezető út valójában nem technológiai divat, hanem vezetői következetesség: annak belátása, hogy a selejtezés akkor zárul le, amikor a törlés nemcsak megtörtént, hanem hitelesen igazolható is.
Gyakori kérdések
Miért nem elég egyszerűen gyári visszaállítást végezni a leselejtezett eszközön?
A gyári visszaállítás sok esetben nem ad elégséges bizonyosságot arra, hogy az adatok ne legyenek helyreállíthatók. Vezetői szempontból különösen az a kérdés, hogy a módszer arányos-e az adott eszköz és adattartalom kockázatával.
Mely eszközök jelentenek a legnagyobb kockázatot selejtezéskor?
Jellemzően azok, amelyek helyi tárolón személyes, pénzügyi vagy üzletileg érzékeny adatot hordozhattak, illetve amelyeknél a hozzáférési tokenek, gyorsítótárak vagy mentések is megmaradhattak. A mobil eszközök, notebookok, szervermeghajtók és SSD-k ezért kiemelt figyelmet igényelnek.
Miért fontos a dokumentált átadási lánc?
Mert a kockázat nemcsak a törlés pillanatában, hanem az azt megelőző tárolás, szállítás és átadás során is fennáll. Ha nincs visszakereshető lánc, a szervezet nehezebben tudja igazolni, hogy végig kontroll alatt tartotta az eszközt.
Mikor indokolt a tanúsított adattörlés?
Akkor, amikor az eszközön kezelt adatok érzékenysége, az auditelvárás vagy a szervezeti kitettség miatt már nem elég egy informális belső igazolás. Ilyenkor a bizonyíthatóság legalább olyan fontos, mint maga a törlési művelet.
Kisvállalatoknál is szükség van formális selejtezési folyamatra?
Igen, csak az arányosság más lehet. A kisebb szervezeteknél is szükség van egyértelmű nyilvántartásra, felelősre, döntési logikára és igazolható lezárásra, még ha a folyamat egyszerűbb is, mint egy nagyvállalatnál.
NIS2 és eszközök selejtezése: miért vált vezetői felelősségi kérdéssé a leselejtezett eszközök adatbiztonsága
Egy közép- vagy nagyvállalatnál a leselejtezés ritkán látványos döntés. Többnyire notebookflotta-cseréhez, szervermodernizációhoz, irodaköltözéshez, telephelyi racionalizáláshoz vagy egy régebbi rendszer kivezetéséhez kapcsolódik. Ilyenkor a vezetői figyelem érthetően az új működés elindítására irányul. A kivont eszközökön maradt adatok sorsa könnyen háttérbe szorul.
Pedig vezetői szempontból ez nem mellékes kérdés. Ha egy vállalat nem tudja igazolható módon lezárni az adatok életciklusát a használatból kivont eszközökön, akkor a kockázat nem szűnik meg, csak kevésbé láthatóvá válik. A régi laptop, a szerver, az SSD, a mobiltelefon vagy a multifunkciós nyomtató ilyenkor már nem termelési eszköz, de adatbiztonsági szempontból továbbra is felelősséget hordoz.
A NIS2 ezt a problémát nem technikai részletként, hanem irányítási kérdésként teszi láthatóvá. A szabályozási logika lényege nem az, hogy a vezetésnek adattörlő módszereket kellene kiválasztania, hanem az, hogy a kockázatkezelési intézkedéseket jóvá kell hagynia, a végrehajtást felügyelnie kell, és a hiányosságokért a vezetői felelősség sem zárható ki. Innen nézve a leselejtezett eszközök adatbiztonsága már nem háttérirodai ügy, hanem vezetői relevanciájú kockázat.
Miért lett ebből vezetői kérdés?
A vállalati gyakorlatban az egyik leggyakoribb tévedés az, hogy a selejtezést logisztikai utófolyamatként kezelik. Az eszköz kikerül a használatból, átmenetileg raktárba kerül, majd elszállítják, továbbértékesítik, bontásra adják vagy megsemmisítésre előkészítik. Sok szervezet itt fejben már lezártnak tekinti a kérdést.
Valójában azonban éppen ekkor kezdődik az a szakasz, ahol a felelősségi lánc a legkönnyebben fellazul. A beszerzés mást lát, mint az üzemeltetés. A helyi telephely mást, mint a központ. A compliance másképp tekint a kockázatra, mint a napi operáció. Külső partner bevonásakor pedig különösen könnyű összetéveszteni a kiszervezést a felelősség átadásával.
A NIS2 vezetői logikája ezt a kényelmes önfelmentést zárja le. A szabályozás azt üzeni, hogy a kiberkockázat-kezelés nem maradhat kizárólag az IT vagy a beszállító belső ügye. Ha egy szervezet adatokat kezel, akkor az adatok életciklusának lezárása ugyanúgy a felelős működés része, mint a hozzáférés-kezelés, a biztonsági mentés vagy a beszállítói kockázatok kezelése.
Nem az eszköz a probléma, hanem az adatok lezáratlan életciklusa
A felsővezetői nézőpont szempontjából a kérdés egyszerűbben fogalmazható meg, mint ahogy az sok szakmai anyagban szerepel. Nem az a döntő, hogy egy régi eszköz fizikailag hol van, hanem az, hogy a rajta kezelt adatok sorsa igazolhatóan lezárult-e.
Ha egy notebookflotta-csere után a kivont gépek hónapokig egy raktárban állnak, a kockázat nincs lezárva. Ha egy szervercsere során a régi háttértárakat külső partner szállítja el, de a megsemmisítés vagy adattörlés eredménye nem ellenőrizhető, a kockázat nincs lezárva. Ha egy nyomtató vagy multifunkciós eszköz belső tárhelye felett a vállalat nem rendelkezik világos eljárással, a kockázat nincs lezárva. Ugyanez igaz az okostelefonokra, táblagépekre, tartalék háttértárakra és a papíralapú iratokra is.
Ez azért lényeges vezetői felismerés, mert a reputációs és megfelelési károk jelentős része nem abból ered, hogy egy szervezetet rendkívüli technikai támadás ér, hanem abból, hogy egy alapvető működési folyamat végén nem tudja bizonyítani a kellő gondosságot. A különbség jogi, üzleti és reputációs értelemben is jelentős.
Mit mond erről a szabályozási környezet?
A NIS2 szövege a vezető testületek szintjén ír elő felelősséget: a vezetésnek jóvá kell hagynia a kiberbiztonsági kockázatkezelési intézkedéseket, felügyelnie kell azok végrehajtását, és a jogsértésekért felelősség is terhelheti. Ezzel a kiberbiztonságot egyértelműen vezetői szintre emeli.
Az uniós végrehajtási rendelet ennél is gyakorlatiasabb irányba megy tovább bizonyos érintett szervezetek esetében: az eszközkezelési szabályzatnak a teljes életciklust le kell fednie, beleértve a beszerzést, használatot, tárolást, szállítást és selejtezést, továbbá szabályokat kell adnia a biztonságos használatra, tárolásra, szállításra, valamint az eszközök vissza nem állítható törlésére és fizikai megsemmisítésére is.
Ez vezetői szempontból nem azt jelenti, hogy minden szervezetnél ugyanaz a technológiai módszer lenne az elvárt. Azt jelenti, hogy az eszközkivonás és adattörlés nem maradhat informális, dokumentálatlan vagy ellenőrizhetetlen folyamat. A kérdés a felelős irányítás szintjén dől el: van-e világos rend, van-e nyomon követhetőség, és van-e utólag bemutatható bizonyíték.
Európai példák: amikor a háttérfolyamatból incidens lett
A probléma nem elméleti. Az Egyesült Királyságban a Brighton and Sussex University Hospitals NHS Trust ügyében az információs hatóság 325 000 fontos bírságot szabott ki nem biztonságos hardverselejtezés miatt. A nyilvános beszámolók szerint a szervezet kontrollköréből kikerülő merevlemezeken érzékeny személyes adatok maradtak. Vezetői szempontból ennek tanulsága nem pusztán annyi, hogy „hibás volt a törlés”, hanem az, hogy a szervezet nem rendelkezett kellően szigorú, ellenőrzött végrehajtási lánccal.
Az ír adatvédelmi hatóság esettanulmányai más oldalról mutatják meg ugyanennek a kérdésnek a lényegét. Az egyik ügyben otthoni munkavégzés során toborzási dokumentumok és önéletrajzok kerültek nem megfelelő módon a háztartási hulladékba. A tanulság itt az, hogy a vezetői felelősség nem merül ki abban, hogy a szervezet általános utasítást ad a helyes eljárásra. A megfelelő folyamat, eszköz és elszámoltathatóság hiánya önmagában kockázat.
A két ügy közös tanulsága, hogy az adatbiztonság gyenge pontja gyakran nem a központi rendszer, hanem az a pillanat, amikor a szervezet úgy érzi: az adott eszköz, dokumentum vagy adathordozó már kívül esik a valódi üzleti működésen. A legtöbb hiba itt nem rosszindulatból, hanem laza folyamatokból, hézagos felelősségből és nem kellően ellenőrzött kiszervezésből ered.
Dokumentált, kontrollált selejtezési folyamat: az adatbiztonság ott kezdődik, ahol a napi működés véget ér.
Miért különösen érzékeny ez a magyar közép- és nagyvállalati szegmensben?
A nagyobb szervezeteknél a kockázat tipikusan nem azért nő meg, mert a vezetés ne értené az adatbiztonság fontosságát. Inkább azért, mert az eszközök kivonása több szervezeti egységet, telephelyet, külső partnert és döntési pontot érint. Minél nagyobb a szervezet, annál könnyebb azt feltételezni, hogy „valaki biztosan kezeli” ezt a területet.
Ez a feltételezés különösen veszélyes. Egy telephelybezárás, egy rendszerkivezetés, egy irodaköltözés vagy egy eszközfrissítési projekt során gyakran éppen az időnyomás, a felelősségi határok és a külső partnerek koordinációja miatt keletkezik kockázat. A későbbi kérdés pedig rendszerint nem az lesz, hogy történt-e selejtezés, hanem az, hogy az egész folyamat visszanézhető, ellenőrizhető és igazolható volt-e.
Magyar vállalati környezetben ez külön jelentőséget kap, mert a megfelelési elvárások és az auditálhatóság iránti igény egyszerre erősödik. A felsővezetés számára ezért a helyes kérdés ma nem az, hogy van-e erre szolgáltató vagy technológia, hanem az, hogy a vállalat rendelkezik-e olyan működési renddel, amely a selejtezéstől az adattörlésen át a megsemmisítés igazolásáig végig egyértelmű.
Mi számít jó vezetői gyakorlatnak?
A jó gyakorlat nem az eszköz kiválasztásánál, hanem a felelős működési rendnél kezdődik. Egy felsővezetőnek nem adattörlő szoftvert kell választania, hanem olyan rendszert kell megkövetelnie, amelyben az adatéletciklus vége ugyanolyan fegyelmezetten kezelt, mint a működés többi kritikus pontja.
Ennek a gyakorlatnak legalább öt alapelve van.
1. Egyértelmű felelősségi rend.
Az eszközkivonásnak és adattörlésnek legyen világos tulajdonosa. Ne maradjon szürke zóna a beszerzés, az IT, az üzemeltetés, a compliance és a külső partner között.
2. Naprakész nyilvántartás.
A szervezet tudja pontosan, milyen eszközök kerülnek kivonásra, hol vannak, milyen adatot hordozhatnak, és mi történik velük a folyamat egyes szakaszaiban.
3. Szabályozott törlési vagy megsemmisítési eljárás.
Ne improvizáció, helyi gyakorlat vagy szóbeli rutin alapján történjen az adathordozók kezelése. A minősített szoftveres adattörlés vagy a fizikai megsemmisítés szabályozott keretek között legyen végrehajtva. A döntéshez segítséget nyújthat a fizikai megsemmisítés és tanúsított adattörlés közötti választás szempontjainak áttekintése.
4. Igazolható partnerkezelés.
Ha külső fél végzi az elszállítást, adattörlést vagy fizikai megsemmisítést, annak szerződéses, működési és bizonyítási oldala is legyen rendezett.
5. Auditálhatóság.
A folyamat eredménye utólag is legyen bemutatható. Az utólagos igazolhatóság ma már nem adminisztratív kényelmi elem, hanem vezetői védelem is.
Mit mutat a vállalati gyakorlat?
A Data Destroy több mint tíz éves tapasztalata alapján a kis-, közép- és nagyvállalati környezetben a leggyakoribb hiányosság nem az, hogy a szervezetek ne tekintenék érzékenynek az adataikat. A gyenge pont jellemzően ott jelenik meg, ahol az eszköz már kikerült a napi működés fókuszából, ezért a folyamat fegyelme is lazulni kezd.
A vállalatok többségénél nem technológiai, hanem irányítási hiányosságok okozzák a legnagyobb bizonytalanságot. Nincs minden szereplő számára egyértelmű felelősségi lánc, eltérő gyakorlatok működnek telephelyenként, és nem mindig készül olyan igazolási rend, amely audit vagy incidens esetén kellő biztonságot adna. Ezért válik a selejtezés sokszor jóval nagyobb vezetői kérdéssé, mint amilyennek elsőre látszik.
Vezetői összegzés
A leselejtezés nem logisztikai utómunka, hanem az adatkezelés utolsó, vezetői szempontból is releváns szakasza. Ahol az adattörlés vagy megsemmisítés nem igazolható, ott a kockázat valójában nincs lezárva. A vezetés feladata ezért nem a technológiai részletek eldöntése, hanem egy olyan működési rend megkövetelése, amelyben a felelősség egyértelmű, a végrehajtás nyomon követhető, az eredmény pedig bizonyítható.
Gyakori kérdések
Miért vezetői kérdés a leselejtezett IT-eszközök kezelése?
Mert a kockázat nem ér véget az eszköz használatának lezárásával. Ha a selejtezés, adattörlés vagy megsemmisítés nem ellenőrizhető és nem igazolható, abból üzleti, reputációs és megfelelési kockázat keletkezhet, amely már egyértelműen vezetői relevanciájú ügy.
Elég a fájlokat törölni vagy a meghajtót formázni?
Nem. A hagyományos törlés vagy formázás önmagában nem biztosítja, hogy az adatok ne legyenek visszaállíthatók. Vállalati környezetben a megfelelő megoldás mindig szabályozott, igazolható és a kockázati környezethez illesztett eljárást jelent.
Mely eszközök jelenthetnek kockázatot selejtezéskor?
Nemcsak a szerverek és a merevlemezek. Laptopok, SSD-k, mobiltelefonok, táblagépek, hálózati tárolók, nyomtatók, multifunkciós eszközök és más adathordozók is tartalmazhatnak üzleti vagy személyes adatokat.
Mi a legnagyobb hiba a vállalati gyakorlatban?
Az, amikor a selejtezést adminisztratív mellékfolyamatként kezelik. Ilyenkor sokszor nincs egyértelmű felelős, nincs zárt folyamat, nincs megfelelő igazolás, és a szervezet valójában nem tudja bemutatni, mi történt az adatokkal.
Mit érdemes elsőként felülvizsgálni?
A teljes eszközkivonási és selejtezési folyamatot: ki dönt, ki hagy jóvá, hogyan történik az adattörlés vagy megsemmisítés, milyen igazolás készül róla, és mit vállal a külső partner. A legtöbb kockázat nem technológiai, hanem folyamat- és felelősségi hiányosságból ered.
