Mit kell tudnia a vezetőnek, mire való az információbiztonsági felelős, és miért kevés önmagában a sokadik kötelező tréning? Kovács János kiberbiztonsági szakértő válaszol.
Egy hűtőpult nem informatikai eszköz, vagy legalábbis a legtöbben nem így gondolunk rá. A kiberbűnözők viszont igen.
Október 11-én éjjel ismeretlen támadók mintegy hétszáz francia áruház hűtőpultjait kapcsolták át távolról leolvasztó üzemmódba. Reggelre a pultok ötven fokra melegedtek fel, egy normandiai üzletben nyolcvanra. Néhol kigyulladt vagy megolvadt a berendezés, a beinduló sprinklerek pedig vízkárt okoztak. Az áruházaknak tonnaszám kellett kidobniuk a megromlott élelmiszert, a teljes kárt több tízmillió euróra becsülik.
Az eset két okból is nyugtalanító. Az egyik, hogy semmi nem úgy történt benne, ahogy azt egy kibertámadás esetén elképzeljük. Az elkövetők egy olyan eszközhöz fértek hozzá, amely jó eséllyel egyetlen informatikai leltárban sem szerepelt, mégis több száz üzlet működését sikerült megbénítaniuk.
A másik, hogy a sérülékenységről másfél éve lehetett tudni. A gyártó maga hozta nyilvánosságra, javítást is adott ki hozzá, kutatók pedig augusztusban külön figyelmeztettek rá, hogy a hibát kihasználva a támadók ki tudják olvasztani az élelmiszert.
Egy biztonsági javítás azonban nem kerül fel magától a hűtőpult vezérlőjére. Ha a berendezés az üzemeltetéshez tartozik, a sérülékenységekkel pedig az IT foglalkozik, ki felel azért, hogy a figyelmeztetésből valóban intézkedés legyen?
Kovács János (CISSP, CSSLP) kiberbiztonsági szakértővel arról beszélgettünk, hol dől el valójában egy cég kiberbiztonsága, ha nem az IT-n: mi ebben a vezető dolga, mire való az információbiztonsági felelős, és miért lehet a túl sok biztonsági szabály rosszabb, mint a kevés.
Az IT-től az OT-ig: hogyan lett a gyártósorból is támadási felület
„Nem lehet kiberbiztonsági szakemberekkel megoldani a kiberbiztonságot” – szögezi le János. Hogy mégis sokan az informatikusok feladatának tartják, annak szerinte egyszerű oka van: az IT mutatta be ezt a területet a világnak. Középiskolásoknak úgy szokta elmagyarázni, hogy olyan ez, mint az ezoterika. „Ha kinyitok egy kaput, azon jó és rossz dolog is bejöhet. Ugyanez igaz akkor is, ha rákapcsolok egy rendszert az internetre.”
A támadások belépési kapuja sokáig valóban az IT volt, tehát logikus kiindulópont volt informatikusokra bízni a témát. Azóta azonban sokat változott a helyzet, amit János pályája is jól mutat. Villamosmérnökként végzett, és szoftvertesztelőként találkozott először a kiberbiztonsággal. Akkoriban még kevesen foglalkoztak vele, és elsősorban olyan eszközöknél merült fel, mint az okoskártyák vagy a bankautomaták.
Aztán megjelentek az internetre kapcsolt autók, és velük együtt olyan feladatok, amikre még senkinek nem volt receptje. 2019-ben János is ott volt azok között, akik a nulláról építették fel a területet: a vevői specifikációkból és a meglévő szabványokból rakták össze a működő folyamatokat. Tíz év autóipar után két éve váltott, ma sugárterápiás berendezések kiberbiztonságáért és jogi megfeleléséért felel.
Az IT mellett ma már legalább akkora figyelmet érdemel az, amit a szakma OT-nak nevez: az operatív technológia. Ide tartozik a gyártósor, az energiaellátás, a vízmű, a vegyi üzem vezérlése – és igen, egy áruház hűtése is. „Ez az a terület, ahol a legnagyobbat tud durranni egy incidens” – mondja János. „Sajnos sokszor szó szerint.”
Amikor nemcsak a szerver áll le: a vezető felelőssége egy kibertámadásnál
Mikor derül ki a leggyorsabban, hogy a kiberbiztonság nem technikai kérdés? János válasza: amikor üzletmenet-folytonossági kérdéssé válik.
Ő maga egyébként szándékosan nem tesz éles különbséget kiberbiztonsági és egyéb incidens között. „Minden incidens végső soron a végfelhasználót vagy a szervezetet éri hátrányosan, és akadályt okoz a céljaik elérésében, a folyamataik végrehajtásában.” Ebből a nézőpontból a kibertámadás nem valami különleges esemény, hanem egy a sok üzemzavar közül. Azzal a különbséggel, hogy ezt valaki szándékosan okozza.
Ha leáll egy olyan informatikai rendszer, amely nélkülözhetetlen a működéshez, akkor nem készül el a termék, nem teljesül a megrendelés, a vállalat pedig bevételt veszít. Eddig a pontig ez pénzügyi kérdés. Van azonban egy szint, ahol már nem az. Az elmúlt évtizedekben teljes energetikai rendszereket, vízműveket, ipari berendezéseket és vegyipari üzemeket kötöttünk rá az internetre, hogy távolról irányíthassuk őket. Ha ezek állnak le vagy kapnak rossz utasítást, abból nem üzleti hír lesz, hanem katasztrófavédelmi helyzet.
A magyar Kiberbiztonsági törvény és a mögötte álló uniós NIS2-irányelv pontosan ezért létezik. Nem elsősorban a cégek adatait védik, hanem azt akadályozzák meg, hogy egy kibertámadás hatásai átgyűrűzzenek a társadalom mindennapjaiba.
Innen nézve a Kiberbiztonsági törvény képzési előírása, amelyet a 2025 végéig kinevezett vezetőknek idén december 31-ig kell teljesíteniük, nem új kötelezettséget teremt, csak láthatóvá tesz egy régit. „A vezetőnek biztosítania kell, hogy az általa vezetett vállalat végre tudja hajtani a küldetését, és mindeközben ne veszélyeztesse a társadalmat” – fogalmaz János. „Ez a két dolog mindig is a vezető feladata volt. Az változott meg, hogy ma mindkettő internetre kötött eszközökön múlik.”
Az információbiztonsági felelős: aki a sérülékenységi jelentést leállási időre fordítja
Ha a kiberbiztonság üzleti kérdés, kell valaki, aki mindkét nyelvet beszéli. Ez az információbiztonsági felelős, vagyis az IBF dolga.
A szerepkör a nemzetközi gyakorlatban a CISO-hoz (Chief Information Security Officer) áll a legközelebb: aki betölti, felsővezetői vagy ahhoz közeli pozícióban képviseli az információbiztonságot. „Ő a kapocs a két világ között” – magyarázza János. „Üzleti problémákat fordít kiberbiztonsági problémákra, és kiberbiztonsági problémákat üzletiekre. Úgy kell tolmácsolnia a vezetőség felé a kiberbiztonsági információt, hogy az érthető legyen, és irányt mutasson.”
A fordítás itt nem metafora. Egy sérülékenységi jelentés önmagában nem mond semmit egy ügyvezetőnek. Az mond valamit, ha kiderül belőle, melyik folyamat állhat le, mennyi időre, és mit jelent ez az ügyfelekre nézve.
Mitől lesz valaki jó ebben? János szerint elsősorban nem a mély technikai tudástól.
A legfontosabb, hogy az IBF értse a cég küldetését és a folyamatait, különben nincs mit mire lefordítania. Aki csak a rendszereket ismeri, legfeljebb hibákat tud kiszúrni; aki a működést is érti, az kockázatot. Kell mellé technológiai tudás, de itt a szélesség számít, nem a mélység: elég átlátni, mi hogyan működik, és követni, merre tartanak a trendek.
Végül ott a jogi környezet. „A jogszabályi környezetet nem kell mélységeiben ismernie, arra ott a jogi osztály vagy a jogi tanácsadó. De tudnia kell, milyen szabályok között működik a cég” – pontosít a szakértő. „Azt mindenképp át kell látnia, milyen követelmények vonatkoznak a szervezetre az iparági szabványokból, az iparági jogszabályokból és az általános szabályozásból.”
Papírra írt jelszavak: miért nem segít a sokadik kötelező tréning
A munkatársaknál János szerint nem a technológiai tudás a lényeg, legalábbis azokban a munkakörökben, amiknek nincs köze a technológiához.
„A kollégáknak elsősorban azt kell tudniuk, mi az ő szerepük a kibervédelmi ökoszisztémában” – mondja. Aki egy átlagos irodai gépet használ, annál az is elég, ha ismeri a rá leselkedő legfőbb fenyegetéseket. Jelszót nem tartunk papíron. Gyanús linkre nem kattintunk. És tudjuk, mire használhatjuk a céges eszközt és mire nem.
Ebből viszont nem következik, hogy minél több a szabály, annál nagyobb a biztonság. A kiberbiztonság egyik alapelve éppen a pszichológiai elfogadhatóság: a védelem csak addig működik, amíg az ember együtt tud élni vele.
„Ha engem túl sokat macerálnak kiberbiztonsági kérdésekkel, akkor előbb-utóbb igyekszem megkerülni a jó gyakorlatokat, és én magam leszek a kompromittálódás forrása” – magyarázza János. A példa, amit hozzáfűz, örökzöld: ha túl sok és túl bonyolult jelszót kell megjegyezni, a felhasználó elkezdi felirogatni őket egy papírra.
Ezt kutatás is alátámasztja. Egy idén megjelent vizsgálat közel háromszáz munkavállaló válaszai alapján írta le a jelenséget, amit a szakirodalom „biztonsági fásultságnak” (security fatigue) nevez. Ha túl sok biztonsági előírás nehezíti a mindennapi munkát, az emberek idővel belefáradnak az állandó odafigyelésbe, és elkezdik megkerülni a szabályokat.
Vagyis a „még egy kötelező tréning” önmagában nem megoldás. Az számít, hogy mindenki a saját szerepköréhez illő ismereteket kapja meg: a mennyiségnél fontosabb a relevancia. János tapasztalata szerint ez ma sok helyen még nem valósul meg.
Az ideális egy olyan részletes kockázatelemzés lenne, amely végigveszi a cég folyamatait és szerepköreit, és szerepkörönként határozza meg a szükséges tudást. Fontos, hogy itt a szervezet kiberbiztonságáról van szó, nem a rendszerekéről – a kettő nem ugyanaz. János maga is tudja, hogy ez a legtöbb cégnél távoli cél: „Ha már eljutnánk oda, hogy tényleg mindenki kap egy kiberbiztonsági képzést, ami csak a legalapvetőbb dolgokat tartalmazza, szerintem már azzal is beljebb lennénk.”
Amit a beszállítótól veszünk, azért mi is felelünk
A beszállítói láncon keresztül a kiberbiztonság azokat is utoléri, akik közvetlenül nem esnek a törvény hatálya alá. A Verizon idei, adatsértéseket vizsgáló jelentése szerint egy év alatt 30-ról 48 százalékra nőtt azoknak az eseteknek az aránya, amelyekben beszállító vagy más külső partner is érintett volt.
„Sokan a mai napig nincsenek tisztában azzal, hogy ha egy beszállítótól vásárolt rendszerkomponenst beépítenek a saját rendszerükbe, onnantól annak a kiberbiztonságáért ők is felelősek” – magyarázza János. „Sőt, az ügyfeleiket érintő incidensekért akkor is őket terhelheti a jogi felelősség, ha a problémát a beszállítójuk okozta.”
A francia áruházak esete jól mutatja, mit jelent ez a gyakorlatban. A hűtésvezérlőket nem az áruházláncok gyártották, a támadás következményeit mégis nekik kellett viselniük, a romlott árutól a tönkrement pultokig.
A felelősség kérdésével az uniós szabályozás is foglalkozik. A kiberrezilienciáról szóló rendelet (Cyber Resilience Act) 2027 végétől a digitális elemeket tartalmazó termékek gyártóira szigorúbb követelményeket ró: gondoskodniuk kell a biztonságukról és a később feltárt hibák javításáról. Így a vásárló cégek is nagyobb biztonsággal választhatnak a beszállítók termékei közül.
A magyar Kiberbiztonsági törvény ugyanezt az üzemeltető felől közelíti meg. A cégeknek fel kell mérniük, milyen kockázatot jelentenek a működésükhöz szükséges rendszerek, és ehhez kell igazítaniuk a védelmüket, beleértve, hogy mit várnak el a beszállítóiktól. Nem mindegy ugyanis, hogy egy irodai nyomtató áll le, vagy egy áruház teljes hűtőrendszere mondja fel a szolgálatot.
Ami kimarad a leltárból: miért nem az eszközöknél kezdődik a védelem
Mit tegyen az a cég, amely eddig az IT-ra bízta a kiberbiztonságot? János szerint nem a rendszereknél kell kezdeni, hanem a folyamatoknál. És egyáltalán nem mindegy a sorrend.
Ha az informatikai eszközöket vesszük sorra, a szerverek, a laptopok és a vállalatirányítási rendszerek biztosan felkerülnek a listára. Egy áruház hűtésvezérlése viszont könnyen kimaradhat, mert nem feltétlenül tekintik informatikai eszköznek. Pedig a francia eset jól mutatja, mekkora kárt okozhat, ha egy ilyen rendszer illetéktelen kezekbe kerül.
Ezért János azt javasolja, először azt vizsgáljuk meg, mely folyamatok nélkül állna le a cég működése. Egy gyártónál ilyen lehet a termelésirányítás, egy logisztikai vállalatnál a raktárkezelés, egy kórházban a betegadatok elérése. Egy áruházban pedig a kasszák mellett a hűtés is. Ezeket az IT nem tudja egyedül azonosítani: a vezetésnek és az üzleti területeknek is hozzá kell tenniük a saját tudásukat.
Ha már tudjuk, mely folyamatok nélkülözhetetlenek, feltérképezhetjük az ezeket kiszolgáló informatikai és ipari rendszereket. Ezután következhet a kockázatelemzés, amely megmutatja, hol milyen védelemre van szükség. A NIS2 és a magyar Kiberbiztonsági törvény is erre a kockázatalapú megközelítésre épít.
János ugyanakkor óva int attól, hogy mindent egyszerre akarjunk megoldani. „Haladjunk tyúklépésben, de jó irányban” – tanácsolja. Kezdjük a legfontosabb kockázatokkal, vezessük be a szükséges intézkedéseket, ellenőrizzük az eredményt, majd kezdjük elölről. Nem létezik minden cégre egyformán alkalmazható megoldás: a védelemnek mindig az adott vállalat működéséhez és kockázataihoz kell igazodnia.
A 2025 végéig kinevezett vezetőknek december 31-ig kell teljesíteniük a kiberbiztonsági alapképzést, az információbiztonsági felelősöknek pedig ugyaneddig az éves továbbképzést. Attól viszont, hogy egy képzés kötelező, még nem kell kipipálandó feladatnak lennie.
Nálunk a gyakorlaton van a hangsúly: a vezetők a saját iparágukra szabott szimulációban kezelnek incidenst, az IBF-ek pedig végigviszik a hatósági bejelentést és felmérik a beszállítói kockázatokat. Mindkét képzés része egy 4 órás élő online workshop, Kovács János (CISSP, CSSLP) vezetésével.