A támadók és a védők párharca végigkíséri az emberiség történelmét – és nincs ez másképp az informatika, a kibervédelem területén sem. Az ITexec 2024 konferencia utolsó, IT-biztonság, az örök varázsszó című kerekasztala nehéz feladatot vállalt magára: minél több ismeretet, tapasztalatot felvonultatni egy minden eddiginél bonyolultabb és szerteágazóbb területen.
■ ITexec 2024
A NIS2 mellett nem lehet elmenni, és talán nem is lehet vele eleget foglalkozni: a kerekasztalt vezető Agárdy Balázs, a Deloitte senior managere és vendégei, Hári Krisztián, a Yettel biztonsági vezetője, Korcsok Katalin, a Delta Systems kereskedelmi vezérigazgató-helyettese, Kós Tamás, az Intalion üzemeltetési-támogatási üzletág igazgatója, egyben az ISACA Magyarország Egyesület elnökségi tagja és Marton Gábor, a Pannon Egyetem Informatikai Igazgatóság igazgatója meglehetősen sokféle szempontból közelítették meg az IT-piac egyik „kedvenc” témáját.
Kérdés: ki honnan indul?
Nagymértékben függ a szervezetek IT-biztonsági keretrendszerének fejlettségétől, informatikai érettségétől, hogy a NIS2 kapcsán milyen feladatok várnak még a vállalatra, kezdte Hári Krisztián. „Pedig őszintén szólva arra, amit a NIS2 hoz, egyetlen cégnél vagy szervezetnél sem kellene újdonságként tekinteni”, tette hozzá. Pozitívumként említette ugyanakkor, hogy a NIS2 végre általános és kötelező keretet kínál, amely egyfajta „IT-biztonsági higiéniát” ad a cégeknek és amelyet betartva nagymértékben növelhető a kiberbiztonság szintje.
A technológia mellett nem szabad elfeledkezni az emberi oldalról sem, emelte ki Korcsok Katalin. A munkatársak vagy a vezetők által elkövethető hibák még a leggondosabb GAP analízis, a szinte tökélyre fejlesztett, szigorú eszközkezelés mellett is óriási veszélyt jelentenek és ez a helyzet várhatóan a jövőben sem fog változni. A NIS2 implementálásával kapcsolatban ezért a modern, akár MI-alapú megoldások mellett nem szabad elhanyagolni a képzéseket, a biztonságtudatosság erősítését a cégek, szervezetek egyetlen szintjén sem.
Barát vagy ellenség?
Sokat számít például már az is, hogy egy hiba vagy esemény feltárásakor a probléma felszínre hozását a cég támogatásának vagy éppen ellenkezőleg: támadásnak, a belső feszültség növelésének fogjuk fel? Ez gyakran még vezetői szinten is kérdésként tehető fel, tette hozzá Kós Tamás. Pedig fontos lenne tudatosítania mindenkinek magában: az a legnagyobb IT-biztonsági kitettség, amelyről nem tudunk. Ezek jelentik a legnagyobb veszélyt, beszéljünk akár üzleti folyamatokról, akár állami szervezetek működéséről. Ha nem ismerjük saját gyenge pontjainkat, azok óriási veszélyforrást jelentenek a mindennapokban és valaki valószínűleg ki is fogja majd azt használni.
Az IT-biztonsági beruházások egyik fő mozgatórugója lehet, ha megfelelő vezetői kultúra fejlődött ki a szervezetnél, emelte ki Marton Gábor. A működésért felelős személyként nagyon fontos azt is tudni, hogy mi fog igazán fájni, ha kiesik az üzletmenetből, felborítva a szervezet normál napi működését. Emellé „összeget is kell tudni tenni”, azaz tisztában kell lenni azzal, hogy egy-egy folyamat, rendszer leállása számszerűsítve mennyibe kerül a vállalatnak. Az ilyen, kiemelten védendő területeket be kell azonosítani – lehetőség szerint még ezek sikeres megtámadása előtt – és az üzleti oldal figyelmét felhívni rá.
Érteni egymás szavait, bitjeit…
Ehhez azonban az is elengedhetetlen, hogy az IT-biztonságért felelős vezető értse az üzleti oldal nyelvét – sőt, képes legyen az információbiztonsággal kapcsolatos helyzetet, problémákat, stratégiákat az üzlet nyelvére is lefordítani, tette hozzá Hári Krisztián. A sikeres együttműködés záloga, ha a CISO nem csak beszélni tud az üzleti folyamatokról, de gondolkodni is képes bennük. A sikeres kibervédelmet kiépíteni szándékozó cégek számára alapvető, hogy az IT kilépjen a technológia általa jól ismert területéről és a biztonságot a szervezet egészében a mindennapi élet részévé tegye. Minden fejlesztésnek a biztonsággal kell kezdődnie, a legelső koncepciók felvázolásától az adott projekt teljes átadásáig, a beszállítók, a fejlesztők, a tesztelők és a felhasználók mindegyikét bevonva.
Ugyanakkor élő tapasztalt az is, hogy a vállalatok – főleg az informatikai érettség alacsonyabb fokán – bizony nehezen mozdulnak, döcögősen változtatnak saját IT-biztonsági berögződéseiken. „Én nem vagyok senkinek sem a célpontja”, hangzik el oly sokszor az a meggyőződés, melyet csupán az első, érzékeny károkat, adat- és ügyfélvesztést okozó, az üzleti folyamatokat megzavaró vagy megszakító informatikai támadás tud csak felülírni. Éppen ezért van szükség a NIS2-re, mely a szabályozás erejénél fogva, szerencsés esetben még egy támadás előtt kényszerít ki alapvető biztonsági intézkedéseket, fejlesztéseket, a folyamatok felmérését és rendberakását, s persze a vezetők gondolkodásának megváltoztatását.
