Itt az idő, mondhatni a 24. óra, megismerni a NIS2 kiberbiztonsági irányelv egész EU-ra kiterjedő szabályozásának intézkedéseit, amelyek nem csupán kötelezettséget jelentenek, de komoly lehetőséget is azoknak, akik veszik a fáradtságot és megúszás helyett a megismerés ösvényét választják.
A 2016-ban bevezetett uniós kiberbiztonsági szabályokat a 2022-ben megjelent NIS2 irányelv aktualizálta. Korszerűsítette a meglévő jogi keretet annak érdekében, hogy lépést tartson a fokozott digitalizációval és a folyamatosan változó kiberbiztonsági fenyegetési környezettel. A kiberbiztonsági szabályok hatályának új ágazatokra és szervezetekre történő kiterjesztésével tovább javítja a köz- és magánszervezetek, az illetékes hatóságok és az EU egésze rezilienciáját és biztonsági eseményekre való reagálási kapacitásait.
A NIS2 és a kibertantv.
A NIS2 és a 2023. évi XXIII. törvény a kiberbiztonsági tanúsításról és a kiberbiztonsági felügyeletről (szakmai körökben használt közkeletű elnevezésével a kibertantv.) is aláhúzza annak fontosságát, hogy az érintett ágazatokban dolgozó szervezeteknek kiemelten foglalkozniuk kell a kiberbiztonsági tudatosítással és az oktatással. Ezen minden munkavállalónak át kell esnie és a cégeknek folyamatos képzést kell biztosítaniuk a területen, nem csak egyszeri alkalommal, a vezetőket is beleértve, hiszen a kiberbiztonsági kockázatok többségének szempontjából az ember a leggyengébb láncszem. A baj általában az emberek cselekvésein keresztül – mondjuk egy káros e-mailen, egy feleslegesen lekattintott linken, egy adathalász próbálkozáson – történik meg.
Legtöbb esetben ez a kezdő lépés, és így jutnak be az elektronikus információs rendszerekbe a kiberbűnözők, és ezért nagyon fontos, hogy a felhasználókat, illetve a vállalatoknál dolgozó munkavállalókat is edukálni kell, és folyamatosan fel kell hívni a figyelmüket arra, hogy a kiberbiztonság jó gyakorlataival foglalkozni kell. Magyarországon a Szabályozott Tevékenységek Felügyeleti Hatósága (SZTFH) többek között azzal a céllal jött létre, hogy stabil és kiszámítható működési és szabályozási környezetet teremtsen az olyan kiemelt ágazatok számára, mint például a kiberbiztonság, ez az SZTFH egyik fő prioritása. Úgy tudnám összefoglalni, hogy a tanúsítás és a felügyelet mellett nagyon fontos a tudatosítással is foglalkozni, és ez a szervezet kiberbiztonsági tevékenységének harmadik fő prioritása – mondta el Bor Olivér, az SZTFH kiberbiztonsági és kommunikációs szakértője az ITBUSINESS-nek. „A cselekvő állam részeként hatóságunk mindent megtesz annak érdekében, hogy a felhasználók számára kulcsfontosságú információk rendelkezésre álljanak, így az állampolgárok felkészültebbek lehetnek egy-egy online csalási kísérlettel szemben”, tette hozzá.
Bor Olivér elmondta, hogy a kibertámadások száma évről évre nő, a minőségük sajnálatos módon fejlődik, és be kell látni, hogy az általuk okozott károk mértékével már globális, illetve EU-szinten is foglalkozni kell. Ez azért különösen fontos, mert az Európai Unióban a legtöbb állam és piaci szervezet elindult a digitalizáció útján, ami egyrészről üdvözlendő és támogatandó, másrészről nagyon sok kockázatot hordoz magában. A World Economic Forum 2023-as jelentése a következő évtizedben a környezeti és társadalmi válságokat jelöli meg a legsúlyosabb rizikófaktorként. Ezek mellett a top 10-ben említik új kockázati elemként a széles körben elterjedt kiberbűnözést.
A 2024-es kockázatokat elemző riportban a Top5 rizikófaktor között már két technológiai kategória is megjelenik. Az egyik a mesterséges intelligenciával generált félretájékoztatás és dezinformáció, a másik pedig a kibertámadások jelentette veszély. 2026-ra mindkét kockázati kategóriát a top 3-ban várják. Ez jól mutatja, hogy miért fontos a tudatosítással foglalkozni. A kibertámadások globális kára 2018-19 környékén még 375 és 575 milliárd dollár közé esett, 2022-re a becslések szerint pedig már elérte a 8 ezer milliárdos kárértéket globális szinten. A szakértők előrejelzése szerint 2025-re ez a szám el fogja érni, és valószínűleg meg fogja haladni a 10 500 milliárd dollárt. Ez borzasztóan nagy szám – hívta fel rá a figyelmet a kiberbiztonsági szakértő.
Kibertámadás okozta halálesetek
Ráadásul az ESG szárnyalása új IoT-eszközöket, okos eszközöket és szoftvereket fog bevonni a képbe, így a kár még nagyobb lehet összesen, ha valaki nem helyez kellő hangsúlyt a biztonságra. A becsült költség folyamatosan növekedni fog, és ez 2026-ban sem fog megállni – vélekedett Bor Olivér, majd elmondta, hogy a kiberbűnözés ilyen szintű növekedése nagymértékben képes veszélyeztetni az innovációt, a befektetési hajlandóságot, a digitalizációt, valamint reputációs és financiális veszteséget okoz, egyes esetben pedig emberéletek is múlhatnak rajta. (ESG: environmental, social, governance azaz környezeti, társadalmi és irányítási körülmények.)
Az egészségügyi szektornak is össze kell kapnia magát, hiszen 2019-ben Amerikában egy zsarolóvírus miatt (közvetett módon) halállal végződött egy támadás, 2020 szeptemberében pedig a düsseldorfi egyetemi kórházat érte olyan zsarolóvírus-támadás, amelytől annak teljes IT-rendszere leállt, így az ott dolgozó orvosok nem tudtak időben ellátni egy mentővel érkezett pácienst, aki sürgős kezelésre szorult. A hölgyet ezért kényszerűségből át kellett szállítani egy 32 kilométerre található kórházba, és miután a beteg másfél órán belül nem jutott betegellátáshoz, átszállítás közben elhunyt.
Ezek az esetek jól megmutatják, hogy miért fontos a kibertámadások jelentette veszélyekkel foglalkozni, és miért nem elegendő csak a rendszerekre meg az ökoszisztémára költeni sok pénzt, felhívni a vállalatok dolgozóinak a figyelmét, arra, hogy miért nem szabad mindenfajta beérkező e-mail linkjére rákattintani, olyan sms-re kattintani, amely azt állítja, hogy nyertünk egy iPhone-t, vagy csomag-nyomonkövetéssel operáló csalást tartalmaz. Rengeteg ilyen sms kering a világhálón, és manapság már nagyon jó magyarsággal írják ezeket.
Ebből jól látható, hogy manapság már nemcsak emailben vagy a közösségi média felületeken találkozhatunk ilyen jellegű csalásokkal, hanem bizony már sms-ben és telefonon is próbálkozhatnak a bűnözők. Sajnos a leggyengébb láncszem valóban az ember, és ha egy nagy céget meg akarnak támadni, szinte biztos, hogy egy alkalmazottnál fogják keresni a bejutási pontot, mondjuk egy adathalász emaillel. Ez a legegyszerűbb, mindig az embert a legegyszerűbb és a legköltséghatékonyabb átverni a kiberbűnöző szempontjából – figyelmeztetett rá a kiberbiztonsági szakértő.
Hazai helyzet
A vonatkozó hatóság hazai pénzforgalmi adatait tartalmazó jelentéseit böngészve megállapítható, hogy Magyarországon 2023-ban a kiberbűnözők által okozott kár – a pénzügyi csalások tekintetében – elérte a 30 milliárd forintot. Fontos érteni, hogy ezekben az esetekben a kiberbűnözők nem a pénzintézetet támadják, hanem az ügyfeleit, és tőlük csalnak ki pénzt. Például úgy, hogy a banknak adják ki magukat, vagy épp egy-egy online piactéren jelentkeznek az eladónál, mint potenciális vevő. Ami még beszédesebb adat: ma minden nap egy családnak a teljes megtakarítását lenyúlják a kiberbűnözők. Ezért kiemelten fontos edukálni az embereket, és kiemelten fontos beszélni a kibertámadások jelentette veszélyekről, a megoldásokról, hogy hogyan lehet megóvni a lakosságot attól, hogy áldozattá váljanak.
Ehhez kapcsolódóan Bor Olivér a KiberPajzs együttműködést emelte ki, amelyhez az SZTFH 2023 tavaszán csatlakozott. Ez a Magyar Nemzeti Bank és a Magyar Bankszövetség által életre hívott projekt, amiben számos nagy állami szervezet vállal meghatározó szerepet. Az együttműködés célja, hogy a lehető legszélesebb körben tájékoztassa az állampolgárokat a rájuk leselkedő online csalásokról és védekezési tippekről. Mindenkinek ajánlani lehet a projekt honlapját, hiszen rengeteg hasznos információ érhető el a felületen.
A szakértő kiemelte, hogy az online ellopott pénzeket rendkívül nehéz visszaszerezni, ha például valamilyen emberi interakción múlt a dolog, tehát mi kattintottunk, mi töltöttük le a malware-t, mi adtuk meg az adatainkat, akkor nagyon csekély az esély rá – sőt, szinte semmi – hogy ezt a pénzintézet vissza fogja téríteni.
Nyilván vannak sikeres együttműködések a bűnüldöző hatóságok között, akár hazai és nemzetközi szinten, ezek nagyon fontos alapját jelentik egyes hálózatok háttérbeszorításában, de mindezeket látva kell kiemelten nagy hangsúlyt fektetni arra, hogy a preventív megelőzést helyezzük a fókuszba, és edukáljuk a munkavállalókat és a felhasználókat, mert ez sokkal könnyebb és sokkal költséghatékonyabb, mint utólag futni a pénzünkért vagy a pénzünk után – vázolta a megoldás stratégiáját Bor Olivér.
A kiberbiztonsági tudatosítás sikere tehát össztársadalmi érdek, és ennek előmozdítása és erősítése hozzá tud járulni ahhoz, hogy a társadalom és a gazdaság zavartalanul tudjon működni. Ezek érdekében végzi az SZTFH kiberbiztonsági szemléletformáló tevékenységét, aminek fókuszában a hitelesség, a közérthetőség és a széles körben történő tudatosító tevékenység áll. Kiemelten annak a célnak a mentén, hogy az állampolgárok figyelmét felhívjuk a biztonságtudatos internetezésre, illetve az online tér jelentette veszélyekre. A Hatóság időszakos online kampányai is a fenti célt szolgálják. A figyelemfelhívó projektekhez sok esetben más hazai szervezetet is sikerült már megnyerniük, így lehetővé téve, hogy még szélesebb körhöz jussanak el a megfogalmazott üzenetek.
Egy fontos podcast
Ennek az egyik eszköze a „Minden kiberül” elnevezésű podcast, amely minden népszerű podcastlejátszón elérhető, tehát a Spotify-on, Google Podcasten, Apple Podcasten. Közérthetően szól mindenkihez, akit érdekel a kiberbiztonság, de leginkább azokhoz, akiket nem. Érdekes paradoxon, de ez az SZTFH mottója, mivel pont az a lényege, hogy nem a hardcore IT-seket célozza – bár nekik is érdekes lehet. Az SZTFH kiberbiztonsági törvényhez kapcsolódó adása egy CEO vagy egy IT-szakember számára igazán érdekes, de a legtöbb adás kifejezetten arra fókuszál, hogy milyen csalásokkal és átverésekkel lehet találkozni a kibertérben.
A szervezet eseti kampányainak is része a podcast, például a két évvel ezelőtti labdarúgó-világbajnoksághoz köthető csalások kapcsán indított kampány, vagy az idei labdarúgó Európa-bajnokság kapcsán indítandó kampány, melynek minden esetben része egy-egy podcast epizód, amiben híres emberek, például egy focista, egy élsportoló, egy énekes, egy műsorvezető, egy színész a vendég. Szerepelt már itt Kamarás Iván, Harsányi Levente, Kembe Sorell, Vécsey Bálint labdarúgó, Völgyesi Gabi énekesnő, vagy éppen válogatott e-sportolók is, tehát tényleg nagyon széles a paletta. Mindez azt a célt szolgálja, hogy ha az ő szájukból hallják az emberek ezeket az átveréseket, a saját esetükön keresztül, az talán jobban meg tudja fogni őket.
Ezek minden esetben valós esetek, tehát olyan csalások, átverések és kibertámadások, melyek megtörténtek, ezeket dolgozzuk fel, ezekből vonjuk le a konzekvenciát.
A tavaly év végi különkiadásban – egy maratoni, másfél órás podcastban – Kembe Sorrellel végigvettük az előző év leginkább mellbevágó kibertámadásait, csalásait, melyek nagy része Magyarországon történt. Nagyon érdekes tapasztalati úton meglátni és meghallgatni, hogy a legalapvetőbb dolgokra sem figyelünk sokszor, mert lehet, hogy azt hisszük, hogy nem vagyunk érdekesek a kiberbűnözőknek. Ez persze hamis biztonságérzet, mert kétfajta ember létezik a világon, az egyik, akit átvertek, a másik pedig akit át fognak verni, a kivétel pedig erősíti a szabályt – figyelmeztetett rá Bor Olivér. Fontos még a hatóság LinkedIn oldaláról is szót ejteni, ahol számtalan tájékoztató és tudatosító anyag kerül elhelyezésre, valamint a követők az SZTFH munkatársainak tevékenységébe is betekintést nyerhetnek.
Edutainment és gamification
A tudatosítás és védekezés érdekében az SZTFH bevet egy, az EU-által kifejlesztett, úgynevezett „awareness raising”, azaz tudatosítást növelő interaktív társasjátékot is, amelynek a szervezet a kizárólagos magyarországi hostja. Ha bármelyik szervezet szeretné ezt a játékot játszatni a munkatársaival, akkor Magyarországon az SZTFH-hoz kell fordulni, ők biztosítják a játékmestert, elmennek a céghez lejátszatni, és még alapvető oktatást is párosítottak hozzá. Magyarországon már jó ideje fut a játék pilot projektként, aktív visszacsatolással az EU-s központ felé, fejlesztési javaslatokkal, amelyek a tudatosító tevékenységek során megszerzett, aktív használati tapasztalatokra épülnek. Mára házon belül az SZTFH-ban négy alkalommal játszották le hat-nyolc csapattal, és tíz fölött van azon cégeknek a száma, ahova személyesen is kiszálltak, és lejátszották velük, pozitív fogadtatással.
Maga a játék a „Cluedo” nevű társasjátékra hasonlít, amelyben ki kell deríteni, hogy ki, mikor, kit, mivel, hogyan ölt meg. Itt annyi a különbség, hogy a játékban nem ölnek meg senkit, helyette egy virtuális valóságban, a játékos egy cégnek a munkavállalója, és kibertámadás éri a céget. Ekkor a résztvevők munkavállalóból kibernyomozóvá avanzsálnak, és ki kell deríteniük, mi történt pontosan.
Milyen támadástípussal jutottak be a céghez, utána mi történt még a cégnél, milyen jogosultságokat szereztek a bűnözők, ki volt az a leggyengébb láncszem, akinek bármilyen tevékenységén keresztül bejutottak, és milyen más eszközt használtak fel a támadók, végül milyen lényeges támadás érte a céget, és ki kell találni, mit kell tenni annak érdekében, hogy a támadás kvázi véget érjen? – vázolta a kérdéseket Bor Olivér.
Ha kiderült a használt támadásfajta, akkor abból még további részfeladatok keletkeznek, amelyekből végül összeáll egy nagy megfejtési kulcs, mint egy keresztrejtvény betűiből, és a játék végéhez erre a kulcsszóra vagy kulcskifejezésre van szükség. Minden részfeladatra külön adható részpontszám, és nagyon fontos, hogy a játék való életet szimulálja, tehát a támadás esetén megjelennek a hírek és az álhírek a médiában, amihez szintén kapcsolódik részfeladat. A nyomozóknak például az is feladata, hogy kiszűrjék, hogy melyik volt a legelső álhír, ami kiszivárgott.
A játék maga nem kifejezetten az IT-s kollégáknak szól, hanem inkább az olyan back office területén, vagy annak környékén dolgozó munkavállalóknak, mint a pénzügy, gazdaság, HR, a beszerzők, a jog, akik relatív távolabb vannak a kiberbiztonságtól, de mégis online dolgoznak olyan rendszerekkel és olyan adatbázisokkal, pénzekkel, melyek veszélyben foroghatnak. Ehhez az SZTFH alapvető gyorstalpaló oktatást is szervez minden esetben, vagyis úgy kezdődik a játék, hogy a játékmester – aki maga Bor Olivér – 5-10 percben összefoglalja az elején, hogy mi az adathalászat, mi a dezinformáció, mi a fake news, és mi a zsarolóvírus-támadás. Ezt követően indul a játék, melynek van időkerete, és mivel csapatjátékról van szó, egyszerre egy csapat létszáma háromtól öt főig terjedhet, a csapatok száma pedig a játékmesteren múlik.
Bor Olivér gyakorlati tapasztalatában eddig nyolc csapat volt a csúcs, akikkel kipróbálták a játékot.
A játék végén természetesen jön az értékelés, közösen megbeszélve, hogy a szűk egy óra elteltével hogy érzik magukat, tehát van a dolognak csapatépítő jellege is. A csapatoknak ki kell nevezni egy csapatkapitányt is, aki kommunikál a játékvezetővel, tehát még kommunikációs gyakorlat is van benne, ami Bor Olivér beszámolója szerint nagyon élvezetes szokott lenni, és nagyon jók a visszajelzések is. Lényeges, hogy hamar kialakul a játszva tanulás folyamata, amelyben a játékosok észre sem veszik, hogy ők most egy órán keresztül kibernyomozókká váltak, és megtanulták, mi az adathalászat, mi a fake news, és mi a zsarolóvírus-támadás.
Mindez jól mutatja, hogy a Hatóság tudatosító tevékenysége igen széles palettán mozog, és mindent megtesz annak érdekében, hogy a felhasználók biztonsági érettségi szintjét növelje – zárta mondandóját Bor Olivér.
(Kép: SZTFH, Midjourney – Justin Viktor)
