A digitális szabadság – vagyis, hogy kis túlzással az egész életünket a világhálón éljük – komoly veszélyt is hordoz magában, ha nem vagyunk elég körültekintőek és felkészültek. Erre Vágújhelyi Ferenc figyelmeztetett köszöntőjében. A Nemzeti Hírközlési és Informatikai Tanács (NHIT) elnökének szavait számos olyan előadás követte, amelyből az IKT szektor különböző szereplőinek kihívásait ismerhettük meg a kiberbiztonság kapcsán. Mind olyan témakör, amely felhasználók széles körét is érinti.
HOGYAN LESZ KIBERBIZTONSÁGI KÉRDÉS AZ ESG?
„Az ESG (Environmental, Social, Governance) egy jól hangzó, zöld és könnyed megoldásnak tűnhet – kezdte előadását Boros Robin, a Magyar Telekom PKI és IT biztonsági specialistája. – Szeretünk úgy nézni rá, mint arra a tudatos energiafelhasználásra, amivel a cégünk megmenti a bolygót. Ugyanakkor nem árt a kevésbé csillogó oldaláról is beszélni.”
A 2024. január 1-je óta hatályban lévő, magyarországi ESG-törvény jól körülírja, milyen riportálási kötelezettségeik vannak a cégeknek azzal kapcsolatban, mennyi energiát fogyasztanak, mikor és hogyan. Ahogy Boros Robin is figyelmeztetett, meg kell határoznunk a következő évre szóló energiacsökkentési terveket, és le is kell jelenteni az eredményeket. A félvállas hozzáállás büntetést von maga után – hasonlóan a NIS2-szabályozás figyelmen kívül hagyásához –, az ESG kapcsán a bejelentési kötelezettség elmaradását bírságolják majd.
Hozzátette azért is érdemes erről felelősen gondolkodni, mert ha elkezdjük mérni és szabályozni az energiafelhasználásunkat, a megfelelő energiamenedzsment spórolhat is a cégnek. „A Magyar Telekomnál a teljes irodaház területén működik egy ilyen megoldás, amellyel tavaly 772 millió forint megtakarítást értünk el.” A szakértő külön kiemelte azt az aspektust, hogy az IT-feladatok mellett a HR-t is erősen be kell vonni egy ilyen fejlesztésbe. Sok esetben ugyanis a vállalaton belül mozgó emberek tevékenységét is szabályozni vagy monitorozni kell. Például egy olyan megoldás esetén, ami okoskamera segítségével leveszi a fűtést a tárgyalókban, ha a kollégák már elhagyták azt.
És hogyan válik a menedzserrendszer használata, így az ESG kiberbiztonsági kérdéssé? A szoftverek többsége wifit használ, ami azt jelenti, hogy akár tíz-tizenötezernél is több új végpont, vagyis új támadási felület kerül az IoT-rendszerbe. „Ez éppen ennyivel több lehetőség a támadók számára, hogy megpróbálják feltörni a rendszereket. Az egyetlen megoldás, ha megfelelően felkészítjük őket a plusz terhelésre.”
AZ IT NE LEGYEN A MISZTIKUM PROFANIZÁLÁSA!
„Sok betűszó hangzott már el ezen a napon, én is behoznék egyet: EMBER” – kezdte előadását Rab Árpád jövőkutató, melyben a kiberbiztonság humán tényezőjét vizsgálta. Szegmensének legfontosabb pontjai közül elsőként a követő üzemmódot emelte ki. Vagyis azt, hogy mivel a digitalizáció során mindig újabb, egyre összetettebb kihívásokkal szembesülünk, folyamatosan kullogunk az események után. Éppen ezért ritmusváltást sürgetett.
„Gyakran elhangzik, hogy a biztonsági kockázatok legnagyobb része maga az ember. A humán tevékenység miatt a problémás ügyek 90%-át bukjuk, mégsem kezdünk semmit azzal, hogy a humán elemet fejlesszük.” Meglátása szerint hiába fejlesztünk le remekül egy informatikai rendszert, ha nem magyarázzuk el az embereknek, miért érdekeltek azok megfelelő használatában. Mindez nem erőforráségetés, egyszerűen el kell nekik mondanunk, egy funkció miért fontos és milyen károkat tud okozni. „Fordítani kéne azon a trenden, hogy minden a kényelmet szolgálja, és rávilágítani arra, hogy tele van a világ felelőtlenül használt rendszerekkel. Az emberek félnek a jövőtől, ennek egyik ellenszere pedig az lehet, ha edukáljuk és ezzel szövetségessé tesszük őket.” Szerinte a probléma nem az emberekkel van, hanem az IT szakmával, ami mára a misztikum profanizálása lett. „Nem szeretjük elmondani nekik, hogy az MI statisztikai műveletek sora, nem pedig önállóan fest vagy fogalmaz. Holott könnyebb adattudatosságra nevelni őket, ha ezzel is tisztában vannak.”
Az egyik ilyen sokkoló információ lehet számukra, hogy egy kibertámadást mindössze három nap alatt tudnak készpénzre váltani a támadók. Emiatt markánsan lerövidül az idő, amíg megoldásokat találhatunk az incidensekre. „Ráadásul ebben a 72 órában nem csak mi, de a támadó fél is aktív, és további behatások érhetik a rendszereinket” – világított rá előadásában Veiland Tamás, a Microsoft Cloud Solution Architectje.
Fentiek értelmében azt javasolja, hogy a biztonság kérdésével minél előbb, lehetőleg már a tervezési időszakban kalkuláljon egy cég. Tudatos rizikót vállalni persze ér, de elengedhetetlen, hogy ezt megtámogassa egy fix keretrendszer. Ha az integrációs fázisban már látszik, hogy direkt vagy indirekt módon milyen komponenseket használunk, és ezek a komponensek milyen fenyegetettségi szinttel bírnak, máris van egy biztonsági lenyomatunk, amire támaszkodhatunk.
Mint a legtöbb témában, amely a szakmai nap során felmerült, a hírközlés-igazgatásban is elég összetett a kiberbiztonsági kihívások problémaköre. Erről dr. Lapsánszky András, az NMHH hírközlési elnökhelyettese és a SZIE tanszékvezetője adott látleletet. „A hírközlés területén korábban az ilyen típusú problémák azért nem voltak jelentősek, mert az ágazat 140 éven keresztül állami monopólium volt. Amióta a hírközlési szektor átkerült a piaci verseny körébe, ez már sokkal nehezebb kérdés.”
Mindezt nehezíti, hogy a nemzetközi együttműködés sem teljeskörű, túl sok az érdek, nehéz a konszenzust megtalálni. Ugyanakkor az EU szintjén már elég határozott törekvések vannak a kiberbiztonság megoldására, lásd a NIS2 irányelvet, amely támpontot nyújt a tagállamok számára. A kiberbiztonságot ráadásul úgy kell megoldani, hogy a szolgáltatások színvonala jelentősen ne sérüljön és a bonyolult, többek között mobil, vezetékes, föld alatt futó hálózatot is magába sűrítő hírközlés biztonsága is megmaradjon.” A legnagyobb előfizetői körrel bíró mobil hírközlés esetében ez további nehezítés, mivel minden biztonsági beavatkozás és hálózatot érintő fejlesztés érinti a szolgáltatás minőségét és gyorsaságát, miközben a társadalom felől egyre nagyobb az igény a megbízható adatforgalomra.
A szakmai nap egyik tanúsága tehát, hogy sokféle igényt kell kielégíteni IT-megoldásokkal a mindennapokban, legyenek azok felhasználói vagy regulátori elvárások, ugyanakkor mindezek mit sem érnek a megfelelő biztonsági felkészülés és tudatosítás nélkül – mind a szoftverek, mind a cégek, mind pedig az emberek szempontjából. Ebben segítenek az olyan szakmai diskurzusok is, mint az Infotér Egyesület programjai.
