Nagyon rosszul járhatnak azok a vállalatok, amelyek nem kezdik el időben a felkészülést a NIS2 követelményeinek való megfelelésre. Minél később kap észbe egy szervezet, annál nehezebben és annál drágábban jut majd szakemberhez, nemcsak a felkészülés, hanem majd az azt követő audit során is – figyelmeztet Zala Mihály, az EY partnere.
◼︎ NIS2: nincs sok idő a felkészülésre
– A NIS2-vel kapcsolatban egyelőre többnyire a regisztrációról és a felkészülésről beszélünk. Miért fontos már most előre gondolkodni az auditon is?
– Az audit talán még szűkebb keresztmetszetet jelent az egész folyamatban, mint az előzetes felmérés és az annak alapján szükségessé váló kontrollok bevezetése. Auditálásra jogosult cégből és szakemberből is kevés van Magyarországon, és értük nagy verseny fog folyni. Csak olyan cég végezhet NIS2 auditálást, amely szerepel az Alkotmányvédelmi Hivatal irányadó jegyzékén, vagy rendelkezik minősített adatkezelésre vonatkozó telephelybiztonsági tanúsítvánnyal. Itt nagyon komoly, nemzetbiztonsági jellegű átvilágításnak vetik alá a vállalatot és a szakembereit is, hiszen az audit bizalmi szolgáltatás, amit nem végezhet akárki. Ezeknek a tanúsításoknak a megszerzése is több hónapba telik, tehát arra sem számíthatunk, hogy hirtelen előbukkan még jó néhány ilyen cég.
– Hogyan zajlik majd az audit és várhatóan milyen erőforrások kellenek hozzá?
– Egész pontosan még nem lehet tudni, mert még sem a kontrollokat, sem az auditálási módszertanokat részletező végrehajtási rendeleteket nem hirdették ki. Az eddig információk, illetve a korábbi tapasztalatok alapján azonban jó becsléseket lehet erre adni.
Minden audit két részből áll. Egyrészt egy adminisztrációs ellenőrzésből: elkészültek-e az előírt szabályzatok, dokumentációk, azok tartalmazzák-e a szükséges információkat, megfelelőek-e a folyamatok, a felelősségi körök, és így tovább. Az audit másik része a behatolási (penetrációs) teszt, amikor a vállalat működése szempontjából legkritikusabb vagy a legnagyobb kitettséggel rendelkező rendszereit próbálják meg kívülről feltörni, ahogy a kiberbűnözők is tennék.
Természetesen cége válogatja, hogy mennyi mindent kell ellenőrizni, de nyugodtan feltételezhetjük, hogy mind a két feladatra több embert kell szánni, akik hetek alatt végeznek egy vállalat auditálásával. Csak emlékeztetőül: nagyjából 2500-3000 vállalatot kellene auditálni 2025-ben.
– Tényleg több hét kell egy auditra?
– Ha minden tökéletesen megy, talán nem. De mikor megy minden tökéletesen? Az auditor bekéri a dokumentumokat, adatokat. Kap valamit, kiderül, hogy nem arra lenne szükség vagy hiányosak a dokumentumok. A tesztelő nem kapja meg a hozzáférést a szükséges rendszerekhez. Még rosszabb lehet a helyzet, hogy ha az audit során derül ki, hogy nem volt megfelelő a felkészülés, és a rendszer biztonsága nem éri el a kívánatos szintet.
– Több szakembert sem lehet szerezni?
– Az adminisztrációs követelményeket sem egyszerű ellenőrizni, a penetrációs tesztek elvégzését pedig szinte biztosan valamilyen vizsgához, minősítéshez kötik; ilyen lehet például az OSCP, az Offensive Security Certified Professional. Pontos számokat nem tudok mondani, de csodálkoznék, ha ötvennél több OSCP-minősítéssel rendelkező szakember lenne Magyarországon. A képzés sem megoldás, mert legalább három év, mire egy kezdő IT-biztonsági szakember eljut arra a szintre, hogy auditon részt vehessen.
| Ne játsszunk a megúszásra!
Zala Mihály minden szervezetet óva int attól, hogy megpróbálja elbagatellizálni a NIS2-t, és úgy tekintsen rá, mint pár éve a GDPR-ra. A NIS2 pontosan meghatározza az érintettek körét, nekik regisztrációs kötelezettségük van, és már ennek elmulasztása is bírsággal jár. Ha esetleg el is kerüli a vállalat egy darabig a hatóság figyelmét, az első kiberbiztonsági incidensnél kiderül, hogy súlyos mulasztás történt, és máris nagyobb büntetésre lehet számítani. Ugyanez a helyzet akkor is, ha a biztonsági kontrollok és az audit során törekednek minimumra. Azt is csak addig lehet megcsinálni „okosba’”, amíg sor nem kerül az első incidensre. Akkor jön a hatósági vizsgálat, és ha kiderül, hogy a védelmi rendszer nem felelt meg az előírásoknak, az audit nem volt elég alapos vagy a vállalat elmulasztotta a bejelentési kötelezettségét, máris sokkal nagyobb lehet a baj. „Senki ne számítson arra, hogy a szándékos mulasztásért járó büntetés kisebb lesz, mint a megfelelés költségei, és ezért jobban megérné bevállalni”, teszi még hozzá az EY partnere. |
– Az EY-hoz hasonló multinacionális cégek más országokból sem tudnak esetleg szakembereket bevonni?
– Uniós szabályozásról beszélünk, amely egyformán vonatkozik minden tagállamra, és amely mindenütt ugyanazokat a határidőket írja elő. Vagyis mindenütt szükség lenne a biztonsági szakértőkre, és ne higgyük, hogy máshol több van belőlük. Ha pedig mégis jönne külföldről valaki, vele aligha lesz olyan gördülékeny az audit, mint egy hazai szakemberrel. Az Európai Unión kívülről pedig nem lehet tesztelőket hozni. Vagyis én egyelőre nem látom, hogy honnan lesz elegendő szakember a szükséges auditok elvégzéséhez.
– Mi lehet ennek a következménye?
– Abban biztos vagyok, hogy minél később kap észbe valaki, annál drágábban tud majd szakembert szerezni. Ez logikus: minél kevesebb az erőforrás és minél többen versengenek érte, annál feljebb hajtják az árat, bár a tervek szerint lesz felső határa az auditori díjaknak. Ha sikerül is szerződni, minél későbbre vállalnak be valakit 2025-ben, annál nagyobb lesz az esélye a csúszásnak is. De azt sem tartom kizártnak, hogy egyszerűen nem találnak szakértőt, aki elvégezné a munkát – ez pedig már a szabályozó számára is új helyzetet teremt.
Azt se felejtsük el, hogy mindeközben a bankszektornak a DORA szabályozásra kell felkészülnie, és ahhoz is számos szakemberre lenne szükség.
– Mit tegyen egy érintett, hogy elkerülje a legrosszabb forgatókönyvet?
– Regisztráljon időben, és minél hamarabb végezzen vagy végeztessen el egy gap-analízist. Abból kiderül, hol vannak a legnagyobb hiányosságai, mire kell elsősorban koncentrálnia. Aztán ezeket a lyukakat a védelmi rendszerben be is kell foltozni, mert az audit során már sem analízisre, sem foltozásra nem lesz idő. És az sem elég, ha valaki az év második felében áll neki ennek a feladatnak, mert szinte biztosan nem végez vele időben.
– Ennyi buktató és nehézség mellett mi értelme van akkor a NIS2-nek?
– Nagyon is sok értelme van. Az egészet azért hozták létre, hogy hatékonyabb védekezésre késztessék az európai vállalatokat, és ezzel erősítsék az egész gazdaságot. Elképesztő összegeket zsebelnek be a kiberbűnözők, és ha ezeknek csak egy részét meg tudjuk spórolni a NIS2 révén, már megérte. A fokozottabb biztonságtudatosság egyéni, vállalati, nemzetgazdasági, de még európai szinten is óriási haszonnal jár.
