A növekvő IT-biztonsági kockázatok ellen nem elég technikai módszerekkel védekezni. A kulcs a tudatosság, egyrészt a stratégiai hozzáállásban, másrészt a felhasználók oktatásában. Szerencsére a NIS2 mind a két téren előrelépést hozott, mondja Klement Gábor, a filter:max ügyvezető igazgatója.
◼︎ A NIS2 pozitív hozadéka
– Az önök tapasztalatai alapján milyen trendek látszódnak az IT-biztonság területén, a fenyegetettségi térképen?
– Az ellenállóképesség növelése, minden tekintetben. Az elmúlt évek bebizonyították, hogy hiába integráljuk saját rendszerünkbe a méregdrága, innovatív termékeket, ha nincsenek meg a megfelelően kialakított saját belső folyamataink, akkor szinte biztosan elcsúszunk egy banánhéjon. A „zero trust” fókuszt például így érdemes értelmezni: kívül-belül felkészülten. Ha a belső folyamatok rendben vannak, akkor az infrastruktúránkat van mire tervezni, feljeszteni. A nulladik, felmérő, felkészülő lépés sem ugorható át.
Trendek kapcsán legtöbbször arról szoktak beszélni, milyen sérülékenységeket használnak ki aktuálisan a rosszindulatú támadók és az innovatívan fejlődő technológia milyen választ képes erre adni. Én inkább azt emelném ki, hogy napjainkban egyre nagyobb hangysúlyt kell kapjon a tudatos védekezés. Míg az év elején még tapinthatóan nagy volt az IT-biztonsági szempontból reziliensebb és a sérülékenyebb szervezetek egyenlőtlensége, mostanra mi úgy látjuk, hogy fokozottabb a tudatos hozzáállás és mintha kimozdulás lenne érzékelhető. Ezt nyilván a NIS2-nek is köszönhetjük, ha a szűkebb régiónkat vesszük górcső alá.
– Milyen a hazai biztonsági körkép, mennyire felkészültek a hazai vállalatok?
– Megkockáztatom, hogy egyre felkészültebbek. Igaz, ha a NIS2 kapcsán felmerült tapasztalatainkból indulok ki, a cégek készültségi szintje egyáltalán nem mondható megfelelőnek. Az viszont érezhető, hogy a szándék ott van a fejlődésre és ez az, ami a legfontosabb. Még akkor is, ha kényszerítő most a külső tényező.
Sok szervezet esetében találkozunk azzal, hogy kizárólag arra fókuszálnak, hogy az esetleges fenyegettségeket felderítsék és elhárítsák. Ehhez ugyan fejlesztik az infrastruktúrájukat, képben vannak a piacon elérhető, akár a szervezetükhöz, szolgáltatásukhoz is jól használható termékekkel, technológiákkal, ám fontos lépéseket ugranak át, hagynak ki a tervezési folyamatukból. A NIS2 most teret enged, teremt annak, hogy gondolkozzunk, átnézzük azt, amivel valósan dolgozunk és így tudjunk fókuszálni arra, amire igazán szükségünk van a saját vállalatunkhoz mért védekezést illetően.
– Mely területeken látják a legnagyobb hiányosságokat, és minek tulajdoníthatók ezek?
| Két évtizedes tapasztalattal
A filter:max több mint 20 éves múlttal rendelkezik az IT-biztonság területén. Több száz ügyfelet szolgált ki szakértelmével, amely korábban leginkább a technológiai megoldásokra koncentrálódott. Az elmúlt négy évben elindította a szolgáltatási üzletágát, melynek köszönhetően már sokkal szélesebb körű megoldásokat tudnak az ügyfeleknek biztosítani, a tervezéstől kezdve a megvalósításon és a szabályozottság fejlesztésén át a technológiai megoldásokig. A NIS2 területén a GAP-analízistől a megvalósításig terjed a szolgáltatások skálája. „Igyekszünk mindig az ügyfél érdekeit szem előtt tartani és akár olyan megoldásokat is ajánlani, amelyek a mi portfóliónkban nem találhatók meg, de az ő környezetükbe jobban illeszkednek. A hosszú távú kapcsolatoknak is az az egyik kulcsa, hogy ne csak úgy érezze az ügyfél, hogy az ő érdekeit képviseljük, hanem ténylegesen úgy is működjünk”, teszi hozzá végül Klement Gábor. |
– Ez szervezetenként, szolgáltatásonként, iparáganként más és más képet fest. Nagyon sok múlik azon, hogy van-e felelőse az IT-folyamatoknak, van-e szakértő csapat a felelős mögött, mit kíván meg az adott vállalat szolgáltatása az IT-biztonság szempontjából. Nem lehet egyértelműen meghatározni, hogy globálisan nézve a szabályozottsági vagy a technológiai oldalon vannak-e hiányosságok a hazai cégek esetében. Mindkettő hasonló szinten van, de most, hogy a NIS2 kontrolloknak meg kell lassan felelni, talán megkockáztatnám, hogy a szabályozottság hiánya erősebb.
Technológiai oldalon látni a törekvéseket, sok helyen azonban nem feltétlenül a számukra legmegfelelőbb megoldásokat használják a vállalatok vagy nem átgondolt működéssel teszik azt. Ez a tendencia erőforrások tekintetében és anyagi szempontból is káros lehet az adott szervezeten belül. Ami tíz éve, öt éve, vagy akár tavaly működött, az a jelenben már biztosan finomhangolásra szorul. Ha egy vezető, egy IT-biztonságért felelős szakember nyitott, képes lépést tartani, előre gondolkodni és nem csak a tűzoltásra fókuszál, ha támogató felsővezetés áll mögötte, akkor várhatóan olyan változás érhető el, amellyel az állandó kiberfenyegetésekkel szemben hatékonyan lehet védekezni.
– Szóba került már a NIS2. Milyen hatással volt a hazai piacra az irányelv megjelenése, hatályba lépése?
– Abszolút pozitív, legalábbis ami a törekvést illeti. A fogadtatás már más, de egyre több vállalat érti meg, hogy a kötelezettségen felül milyen előnyökkel járhat az, ha megfelelően felkészítik az infrastruktúrájukat egy esetleges támadás ellen. Támogatást nyújthat azon informatikai vagy IT-biztonsági vezetők számára is, akik eddig nem sok sikerrel tudták a cégvezetést meggyőzni a fejlesztések szükségességéről.
– Milyen egyéb hatását látják a NIS2-nek?
– Mindenképpen fejlettebb és tudatosabb működést várhatunk az éríntett vállalatoktól, valamint olyan infrastruktúrákat, amelyeket folyamatosan naprakészen kell – és reméljük fognak is – tartani. Hiszünk benne, hogy a NIS2 által megkövetelt fókuszáltság kihat majd az emberi faktorokra is, amitől igazán kiberrezilienssé tud válni hosszú távon egy szervezet.
Lényeges az is, hogy a NIS2 előtérbe helyezi a biztonságtudatosságot. Évek óta hangsúlyozzuk, hogy nem valósítható meg megbízható védekezés, ha az alkalmazottak tudatosságának fejlesztése elmarad. Ha megnézzük az elmúlt évek jelentéseinek élén szerepel az ember, mint jelentős sebezhetőség. A legtöbb vállalat viszont még mindig úgy gondolja, hogy egy jó, adathalászat elleni termék integrálásával megtette a megfelelő lépéseket. Minden gépen van vírusirtója, szűri a phishing leveleket, működik a tűzfal, van IT-s a cégnél, ha bármi történne. És általában történik. A tudásbeli hiányosságok nagyon nagy sebezhetőséget teremtenek.
– A filter:max szerint milyen lépéseket követve tud gondoskodni az IT-biztonságáról egy vállalat?
– Fontos a feladatok sorrendje. Először is végezzen vagy végeztessen kockázatelemzést, melyből kiderül, hogy a működésük mely elemét kell jobban, melyiket kevésbé védeni és hogyan kapcsolódnak egymáshoz vagy hogy függnek egymástól az egyes elemek. Ha elvonatkoztatunk a NIS2-től és nincs irányelv, amit követni szeretne – bár akkor is jó iránymutatást adhat, ha nem tartozik az érintett körbe –, akkor ezen eredmény mentén haladva készítsen intézkedési tervet, melyet fokozatosan kezd el bevezetni, jelentsen ez szabályozási vagy technológiai feladatokat.
– Az IT-biztonsági területen is nagy a szakemberhiány. Nőtt ennek hatására a kereslet a biztonsági szolgáltatások iránt? Hajlandók ilyen szolgáltatásokat igénybe venni a vállalatok, ha igen, elsősorban milyen területeken?
– Mivel nőtt a vállalatok biztonságtudatossága, és egyre többen ismerik el a fontosságát, ezért megnőtt az igény ezen szolgáltatásokra. A hazai képzéseknek köszönhetően a szakemberbázis is bővül, és úgy látjuk, a szakértő cégeket is gyakrabban keresik fel. Utóbbi a mostani időszakban mindenképpen a NIS2-nek köszönhető, hiszen a határidők betartása igen nehéz akkor, ha egy vállalat most szeretne IT-biztonsági szakértőt toborozni és alkalmazni.
A megfelelés számos ponton ad olyan engedményt a cégeknek, hogy külső szolgáltatót is alkalmazhatnak. Úgy gondolom, ezzel minden olyan szervezetnek (mérettől függetlenül) érdemes élnie, amely most még nehezen logisztikázza ki a feladatokat. Nincs értelme túlterhelni egy adott létszámból álló IT-részleget, mert attól nem lesz minőségi a folyamat és a végeredmény sem. Sok esetben nagyobb anyagi veszteséggel járhat, ha nem költünk külsős szolgáltatóra, tanácsadóra.
