Az információbiztonsági szakma alapvetően örömmel fogadta a kiberbiztonsági stratégia megjelenését. Az általunk megkérdezett szakértők számos pozitív és előremutató elemet látnak benne, de igénylik a további intenzív párbeszédet a szakmapolitika legfőbb felelőseivel és kíváncsian várják a bő egy hónap múlva megjelenő akciótervet – abból derül ki ugyanis, hogyan és mikorra valósíthatók meg a stratégia célkitűzései.
◼︎ A szakma szemével
Kimondottan ideje volt már, hogy megszülessen a magyar kiberbiztonsági stratégia – állítják egyhangzóan a szakma piaci és akadémiai oldalának képviselői. Egyrészt, ezt igényelte a józan ész. Az első hasonló hazai stratégiát 2013-ban adták ki, majd 2018-ban ezt dolgozták át az eredeti NIS direktíva szellemiségét követve. „Már hét év eltelt a legutóbbi kiberbiztonsági stratégia megjelenése óta, ami ebben a szektorban nagyon hosszú idő”, mondta el kérdésünkre Krasznay Csaba, a Nemzeti Közszolgálati Egyetem docense.
Mindezen túl jogszabályi kötelezettség is volt a stratégia elkészítése: a 2020-ban kiadott Nemzeti Biztonsági Stratégia is előírta a kiberbiztonsági stratégia megírását, a NIS2 direktíva pedig szintén tartalmaz ilyen jellegű kitételt. Vagyis mindenképpen időszerű volt a stratégia megalkotása.
Egységes és széles körű
A megkérdezett szakértők szerint a mostani stratégia betölti alapvető célját, vagyis magas szinten felvázolja, hogy Magyarország mit tekint fenyegetésnek a kibertérben, milyen nagyívű feladatok elvégzését tekinti szükségesnek a kockázatok mérséklésére. Biró Gabriella, az ISACA elnökségi tagja kiemelte: hiánypótló a stratégiában, hogy már az elején definiálja a kiberteret. „Sokszor és sokat küzdünk azzal a szakmában, hogy a szabályozók túl óvatosak, és nem definiálják, mire gondolnak, amikor kibertérről írnak. Mostantól viszont van hivatalos magyar álláspont, és szükség esetén ehhez mindig vissza lehet nyúlni”, teszi hozzá. Ő azt is a dokumentum erényének tartja, hogy számos, viszonylag konkrét feladatot is megfogalmaz, vagyis nem használhatatlanul általános, hanem kellőképpen gyakorlatias is.
A kiberbiztonságról szóló törvény hamarabb készült el, mint az átfogó stratégia. Biró Gabriella szerint jobb lett volna, ha először a nagy összkép készül el, és ahhoz igazodva készülnek el a részletszabályok. Szerencsére ez nem ment a koherencia rovására: mind a stratégia, mind a kiberbiztonságról szóló törvény egyetlen szakmai műhelyben, azonos felügyelet alatt született, így megvan köztük a szükséges összhang. (Ez fájón hiányzott a 2013-ban elfogadott L. törvény és a szintén abban az évben kiadott stratégia között, jegyzi meg Krasznay Csaba.)
Az NKE egyetemi docense azt is a mostani stratégia nagy előnyének tartja, hogy nem államközpontú. „A nemzetközi szakirodalom kétféle nemzeti kiberbiztonsági stratégiát különböztet meg. Az államközpontú stratégia- és jogszabályalkotás elsősorban az állam saját hatáskörébe tartozó területekre, például a kritikus infrastruktúrákra összpontosít, azokra vázol fel stratégiai irányokat. A másik stratégiaalkotás kitekint a társadalom, az üzleti élet vagy a tudományos élet előtt álló kihívásokra és feladatokra is. Óriási pozitívum, hogy a korábbi kezdeményezésekkel ellentétben a mostani stratégia jócskán felöleli ezeket a területeket is, például hangsúlyozza a felhasználói biztonságtudatosság erősítésének fontosságát”, mondja.
| Mi fán terem az ISAC?
Krasznay Csaba az új kiberbiztonsági stratégia egyik fontos és előremutató elemének tartja, hogy az ökoszisztéma fontos szereplőiként említi az ISAC-eket. Az ISAC (Information Sharing and Analysis Center) általában egy „alulról szerveződő”, önkéntes tagságra alapuló iparági szervezet, amely a kérdéses szektor összes fontos szereplőjét tömöríti. Ha mondjuk a villamos energetikai szektort nézzük, akkor benne vannak az energiapiaci szolgáltatók, a nekik kritikus berendezéseket szállító gyártók, a kiberbiztonsági szolgáltatók és nem utolsósorban a szektor szabályozásában szerepet játszó hatóságok. „Fontos, hogy az ISAC iparági kezdeményezésre jön létre, ahhoz az állami szereplők csak közreműködő félként csatlakoznak. Az ISAC lényege a nyitott párbeszéd, az információ- és tudásmegosztás, sokkal szélesebb körben, mint a kimondottan az incidensek kezelésére szolgáló iparági CSIRT-ekben történik. Örömteli, ha a stratégia felismeri az ISAC-ok fontosságát és ösztönzi azok létrejöttét”, mondja Krasznay Csaba. |
Szintén a stratégia javára válik, hogy foglalkozik a vállalkozások szerepével és lehetőségeivel is. Határozottan kimondja, hogy a kiberbiztonság nem csak operatív feladat, hanem üzleti lehetőség is, amely felhasználható gazdaságélénkítésre is.
Kommunikáció több szinten
Ellentmondásos a megítélése annak, hogy mennyire vonták be a szakmát a stratégia előkészítésébe. Krasznay Csaba szerint informálisan sokan hozzá tudtak szólni a tervezethez, a visszajelzéseket el is fogadták, de olyan széleskörű, formális szakmai egyeztetés nem volt, mint amilyen a 2013-as stratégia elkészültét megelőzte volna. Ugyanakkor Biró Gabriella úgy tapasztalta, hogy a Kiberbiztonsági Fórum keretein belül intenzív egyeztetés zajlott a kormányzat, illetve az akadémiai szektor és a szakmai szervezetek szereplői között. „Bár a Fórum tevékenysége a külvilág felé nem látványos, a tagok többször is láthatták és véleményezhették az aktuális szövegtervezeteket”, mondja a megbeszélésekről, amelyeken maga is részt vett az ISACA képviseletében.
A szakmai oldal képviselői nagyon örülnek, hogy kinevezték Magyarország kiberbiztonságért felelős biztosát (Farkas Örssel készített interjúnkat az ITBUSINESS áprilisi számában olvashatják – a szerk.), és a szakmapolitikai kérdéseket végre erős felhatalmazással és politikai beágyazottsággal bíró szereplő képviseli a kormányzatban. Nem tartják gondnak azt sem, hogy nincs információbiztonsági múltja, ugyanakkor többen szívesen vennék, ha szorosabb kapcsolatot tartana fenn a szakma, az iparág képviselőivel, ami megkönnyítené a bizalom erősödését és az érdemi párbeszéd elmélyítését.
Sok múlik majd azon is, hogy mi szerepel a várhatóan június második felében megjelenő akciótervben. „A nemzeti kiberbiztonsági akcióterv csak akkor lesz komolyan vehető, ha nem csak a feladatokat és a határidőket definiálja, hanem olyan felelősöket rendel melléjük, akik aktívan tesznek is azért, hogy a stratégia megvalósuljon. És legalább ilyen fontos, hogy a szükséges erőforrásokat is melléjük rendeljék. Ezek hiányában a legjobb szándékok is zátonyra futhatnak, ahogy ezt sajnos a NIS2 esetében is látjuk”, mondja a továbbiakról Biró Gabriella.
