Ne teher, hanem üzleti lehetőség legyen az IT-biztonság

A NIS2 kibervédelmi előírásai előre láthatóan egyetlen érintettre sem rónak elviselhetetlen, azonnali terhet. Mi több, az abban foglaltakat minden szervezetnek saját, jól felfogott üzleti érdekéből, kötelezés nélkül is meg kellene valósítania – mondta Dr. Váczi Dániel, a 4iG IT-biztonsági tanácsadói csoportjának vezetője. Némi akarattal, odafigyeléssel és szervezettséggel a jogszabályi kötelezettség üzleti előnnyé is fordítható. Érdemes segítséget igénybe venni, de a saját házi feladatait várhatóan senki sem ússza meg.

◼︎ A NIS2 és az érintettek

– Ahogy a témáról rendezett ITBUSINESS Clubon Bencsik Balázs, az SZTFH kiberbiztonsági tanúsítási igazgatója megjegyezte, mindenki hallott már a NIS2-ről. Ezzel együtt, számos ügyféllel kapcsolatban álló piaci szereplőként a 4iG tapasztalatai szerint mennyire vannak képben a szabályozással az érintett magyar vállalatok?

– Az biztos, hogy az információbiztonsági szakma számára most a NIS2 áll az érdeklődés előterében. Ami viszont az érintetteket illeti, nagy eltérések lehetnek. Az állami és önkormányzati szektorra, valamint a kritikus infrastruktúrákra már az eredeti NIS is vonatkozott, nekik eddig is volt kötelezettségük. Ők minden bizonnyal tájékozottabbak. Hasonlóképpen jól képben lehetnek azok a vállalatok, amelyek már eddig is komolyabban foglalkoztak az IT-biztonsággal. Rajtuk kívül azonban létezik egy viszonylag széles kör, amelynek egyes tagjai még azt sem feltétlenül tudják, hogy rájuk vonatkozik-e a szabályozás. A jogszabály ugyan elég egyértelműen fogalmaz, és a hatóságok is megtesznek mindent az önazonosítás folyamatának elősegítése érdekében, például elkészítettek egy útmutatót, amely itt érhető el. Ha valakinek mégis kétségei lennének, érdemes hivatalos levélben érdeklődnie a Szabályozott Tevékenységek Felügyeleti Hatóságánál (SZTFH). (Lásd „Az érintettek” című keretet!)

Vagyis tapasztalunk információhiányt és -éhséget a piacon, de szerencsére a hatóságok mellett a piaci szereplők – így például mi is – folyamatos tájékoztatással támogatjuk a meglévő és potenciális ügyfeleinket. Hiányoznak még, illetve véglegesítés alatt vannak bizonyos részletszabályok és végrehajtási rendeletek. Amint azok elnyerik végső formájukat, mi is még konkrétabban tudunk az ügyfelek felé kommunikálni.

– Nem a NIS2 az első uniós, az információbiztonságot is érintő szabályozás, amelyet a magyar cégek széles körének kell bevezetnie, elég, ha csak a GDPR-ra gondolunk. Akkor sok szervezet igyekezett minél kisebb erőfeszítéssel megúszni a dolgot, és inkább csak papíron megfelelni az előírásoknak. Lát-e hasonló gondolkodásmódot az érintetteknél a NIS2 kapcsán?

– Nincsenek illúzióim, biztosan vannak és lesznek is ilyen vállalatok. Ez egyébként bizonyos mértékig érthető is az ő szemszögükből, hiszen komolyan foglalkozni kell valamivel, ami eddig nem volt a fókuszban náluk. Még az is lehet, hogy eleinte ugyanolyan felesleges tehernek fogják fel, mint az egyéb előírásokat, a munkavédelmet, a tűzvédelmet vagy éppen az említett GDPR-t. Nem tervezett költséget látnak benne, és valóban lesznek is költségeik.

A NIS2 csupán olyan előírásokat és kötelezettségeket tartalmaz, olyan biztonsági kontrollok bevezetését írja elő a szervezetek egy kiemelten veszélyeztetett csoportjának, amelyeknek 2024-ben ezen vállalkozások esetében alapelvárásnak kellene lenniük. Ennek az attitűdnek a továbbvitelében bízom a magyar jogszabályi implementáció során is, a hatóságok eddigi kommunikációja és a február 8-áig társadalmi egyeztetésre bocsájtott konkrét védelmi intézkedéseket tartalmazó MK rendelet tervezet is ezt támasztja alá. Pontosan ezért kell már az első perctől kezdve minden érintettnek nagyon alaposan végiggondolni a tennivalókat és tervezetten haladni az úton előre.

– Melyek legyenek az első lépések ezen az úton?

– A kiindulási pont egyértelműen az, hogy a szervezetek legyenek tisztában a helyzetükkel. Ez több mindent takar. Amint a közeljövőben hatályossá válik az említett részleteket tartalmazó végrehajtási rendelet, mérjék fel az elektronikus információs rendszereiket és sorolják azokat biztonsági osztályokba. Végezzenek gap-analízist, hogy tudják, hol vannak hiányosságok. Elengedhetetlen az információbiztonsági kockázatelemzés, mert egyrészt a NIS2 elvárása, másrészt számos tényezőtől függ, hogy egy adott rendszer és így a szervezet megfeleléséhez milyen intézkedésekre lesz majd szükség.

Ezek alapján áll össze az az információhalmaz, amely segít eldönteni, merre vezessen tovább az út. Mindaz, amit most felsoroltam, még nem jelent nagy költségeket, és minden vállalat hamarosan megteheti ezeket az első lépéseket. Érdemes lesz a sérülékenységi vizsgálatokkal, penetrációs tesztekkel, kriptográfiai megfelelőségi vizsgálatokkal és egyedi rendszerek esetén a forráskód-elemzésekkel is kalkulálni. Arra biztatunk minden érintett szervezetet, hogy minél előbb vegye fel a kapcsolatot azokkal a szolgáltatókkal, amelyektől segítséget kérnek, mert az eddigi megkereséseink alapján egy idő után nehéz lesz szabad kapacitást találni.

– Mennyire oldható meg ez belső erőforrásokkal egy tipikus vállalkozásnál?

– Ahogy szinte minden a NIS2 kapcsán, ez is erősen szervezetfüggő. Az IT-biztonsági szempontból legérettebb szervezeteknek valószínűleg van kockázatelemzési módszertanuk, talán még naprakész felmérésük is. Ismerik a rendszereiket, az adataikat, így nem okoz nekik sok gondot a felmérés. Ahol az érettségi szint alacsony, és a szükséges szakértelem vagy erőforrás hiányos, ott biztosan tanácsadót kell igénybe venni. De talán ott is érdemes külső szakértőkkel együttműködni, ahol egyébként képesek lennének elvégezni az előzetes felmérést. Mint minden átvilágításnál, a NIS2-nél is hasznos lehet, ha külső fél nézi át a rendszereket, folyamatokat, és friss szemmel, megfelelő objektivitással alakítja ki az álláspontját.

Biztosan lesznek olyan szervezetek is, ahol kiszervezik az információbiztonsági felelősi tevékenységet. Ilyen pozíciót mi is betöltünk több ügyfelünknél a NIS2-től függetlenül.

– A következő szakasz már az lesz, amikor a felmérés eredményeit át kell ültetni a gyakorlatba, a hiányosságokat meg kell szüntetni. Itt mire kell készülniük az érintetteknek?

– Lehetetlen előre pontosan megmondani, mert ez is több tényezőtől függ. Rögtön ott van az előzetes felmérés, amelyből kiderül, hogy milyen kockázatai és hiányosságai vannak az adott szervezetnek. Számtalan különféle feladat és megoldás merülhet fel. Új folyamatok kialakítása és működtetése, szabályzatok, eljárásrendek írása, IT-biztonsági szakemberek felvétele, új védelmi rendszerek implementálása, külső partnerek, szolgáltatók bevonása – mind szóba jöhet a konkrét helyzettől függően.

A jelenleg hatályos vonatkozó 41/2015-ös belügyminisztériumi rendelethez képest könnyebbséget jelent, hogy a szervezeteket nem kell külön biztonsági szintbe sorolni, hanem csak az ott működő elektronikus információs rendszereket biztonsági osztályba.

Ettől függetlenül lesznek olyan adminisztratív, logikai és fizikai kontrollok, amelyeket az egész szervezetre vonatkoztatóan kell bevezetni.

– A NIS2 elég komoly szankciókat is megfogalmaz a követelményeket nem teljesítő cégekkel, sőt, azok vezetőivel szemben is. Mit gondol, milyen lesz majd a büntetési gyakorlat?

– Nem tudok és nem is szeretnék a hatóság nevében nyilatkozni, de feltételezem, hogy nem rögtön a maximális tételek kiszabásával kezdik. Ami biztos, hogy minden érintett szervezetnek az önazonosítást követően 2024. június 30-ig az SZTFH weblapján található űrlap segítségével cégkapun keresztül egy kérelmet kell benyújtani a nyilvántartásba vételi szándékról. Aki ebből az időkeretből kicsúszik, vagy megpróbálja kihúzni magát a kötelezettségek alól, azokra pénzbüntetést szab ki a hatóság az eddigi kommunikációjuk alapján.

Hadd közelítsem meg inkább egy másik oldalról a kérdést. Egyetlen érintett szervezetnek sem javasolnám, hogy csak a büntetés elkerülése miatt kezdjen el foglalkozni a kiberbiztonság fejlesztésével. Az előírások várhatóan olyan minimumok lesznek, amelyek betartása, az ezeknek való megfelelés alapvető önös üzleti és reputációs érdeke az érintett szervezeteknek. Sok incidens világított már rá arra, hogy az információbiztonsággal mindenkinek foglalkoznia kell.

Nem a költséggenerálás a jogalkotók célja. Amit a NIS2 megfogalmaz, azt a szakma évek óta képviseli, hiszen látjuk, mi zajlik a kibertérben, milyen veszélyeknek vannak kitéve a vállalkozások. Rendkívül lényeges például, hogy minden egyes intézkedést, minden egyes kontrollt kockázatarányosan kell bevezetni. Nem arról van tehát szó, hogy az első pillanattól kezdve mindenkinek a legmagasabb szintet kell megugrani, ráadásul a tervezet alapján lesz lehetőség helyettesítő védelmi intézkedések alkalmazására. Ha ismerjük a hiányosságokat, a kockázatokat, akkor már menetrend szerint lehet az egyes védelmi intézkedéseket megvalósítani, és innentől kezdve ez tervezett költség. Ha már egyszer van egy ilyen kötelezettség, akkor azt a saját üzleti hasznára fordíthatja a vállalat, és versenyelőnyt faraghat abból, hogy magas szintű IT-biztonsági védelmet épített ki.

– Erről hogyan lehet meggyőzni a vállalkozásokat, illetve azok vezetőit?

– A 4iG-nál mi már régóta hangsúlyozzuk ügyfeleinknek, hogy az IT-biztonság nem öncélú, magában álló terület, hanem – jó esetben – az üzleti folyamatokat segítő, stratégiai fontosságú technológia. Tanácsadóink a felmérések során az ügyfeleknél nem csak a technológiát és a jogszabályi előírásoknak való szűken vett megfelelést vizsgálják, hanem beleássák magukat a vállalat üzleti folyamataiba, működésébe, és az üzleti igényeket megértve javasolnak megoldásokat a felső vezetőknek vagy az érintett szervezeteknél dolgozó szakembereknek.

Bízom benne, hogy a NIS2 hatására nőni fog azoknak a vállalatoknak a száma, amelyek felismerik a kötelezettségben rejlő üzleti lehetőségeket, és a jogszabályok betűje mögé néznek. Mindenkinek azt javasolnám, hogy olyan szakértőkkel konzultáljanak, akik nemcsak a technológiai, hanem az üzleti oldalt is jól értik.

– Ha már a szakértők szóba kerültek: milyen hatást vár a NIS2-től az információbiztonsági szállítók piacán? Milyen megoldások, szolgáltatások iránt nőhet meg leginkább a kereslet?

– Véleményem szerint a szolgáltatások teljes spektrumában nőni fog az igény. Számos szervezet nem tudja házon belül megoldani a felmérést, az osztályba sorolást – nekik IT-biztonsági tanácsadókra lesz szükségük már az elején. A kontrollok bevezetésénél a tanácsadókon kívül a megoldásszállítók, a rendszerintegrátorok is előtérbe kerülnek, mert ők azok, akik az egyes eszközöket implementálni tudják, integrálják azokat a meglévő infrastruktúrába. A 4iG IT-biztonsági üzletágában ezek közül mindegyik területen rendelkezünk kompetenciával.

Értelemszerűen óriási lesz a kereslet a nyilvántartásba vett és a hatóság által feljogosított auditorok iránt. Az implementálás után pedig a folyamatos monitorozás, az incidensek gyors kezelése, a sérülékenységvizsgálat, a penetrációs tesztek elvégzése és maga az úgynevezett információbiztonsági irányítási rendszer (IBIR) működtetése igényel majd sok-sok szakértőt. Ilyen értelemben a teljes piac iránt nőni fog a kereslet.

– Mi a helyzet az IT-biztonsági szolgáltatásokkal?

– Azt elég nagy biztonsággal ki lehet jelenteni, hogy a menedzselt biztonsági szolgáltatások iránt jelentősen nőni fog a kereslet. Eddig talán sokan ódzkodtak ettől, de világszerte azt látjuk, hogy ebbe az irányba mozdulnak el a szervezetek. Alapvető biztonsági rendszert kiépíteni és működtetni a legtöbb, közepesnél nagyobb szervezet képes lehet némi külső szakértői segítséggel.

A NIS2 szigorú előírásokat fogalmaz meg az információbiztonsági incidensek észlelése, jelentése és kivizsgálása tekintetében. Erre házon belül kompetenciát kiépíteni nagyon kevesen lesznek képesek, hiszen itt több, magasan kvalifikált szakemberre lenne szükség, akik 0-24 órában figyelik és értelmezik a bejövő adatokat, és azok alapján azonnal cselekedni is tudnak. Végképp nincs annyi szakember a piacon, hogy minden érintett létrehozza a saját csapatát, és ez egyszerűen üzleti szempontból sem éri meg nekik. A többség számára nem lesz érdemes házon belül tartani a védelmi képességek teljes körét, de szükség lesz olyan információbiztonsági felelősre, aki átlátja a teljes képet, és jól tudja menedzselni a szolgáltatókkal fenntartott kapcsolatokat.

– Hogyan készül a 4iG a várható nagy rohamra?

– A 4iG Csoport abban a szerencsés helyzetben van, hogy rendkívül széles kompetenciákkal rendelkezik az IT-biztonság terén is. Támogatjuk a szervezeteket a felkészítő szakaszban, felméréssel és tanácsadással. A megvalósítás során szállítjuk a szükséges védelmi rendszereket és megoldásokat, a végpontok védelmétől kezdve a határvédelmen át az összetettebb SIEM-rendszerekig, ezeket pedig az infrastruktúra és a folyamatok szempontjából is integrálni tudjuk a működésbe. A 4iG Csoporton belül az Invitech révén menedzselt szolgáltatásokat is rendelkezésre tudunk bocsátani és például a Security Operations Center az incidenskezelésben segíti az ügyfeleinket.

A felkészítés kapcsán további előnyünk, hogy a 4iG Csoport több szempontból is érintett a NIS2-vel, így a saját felkészülésünk során szerzett tapasztalatot be tudjuk csatornázni az ügyfeleink segítése céljából.

Mivel még nem pontosan ismertek az auditorokra vonatkozó követelmények, így biztosat jelenleg nem tudok mondani, viszont, ha lehetőségünk lesz, szeretnénk az auditori piacra is belépni. Azok, akik biztosan tudják, hogy miben van szükségük segítségre, és azok is, akik bizonytalanok az előttük álló feladatokkal kapcsolatban, keressenek minket bizalommal a nis2@4ig.hu email-címen és végigkísérjük őket az első megfelelésig és az utána lévő kétévenkénti felülvizsgálatok során is.

– Elképzelhető-e a NIS2-re felkészülés teljes kiszervezése egy érintett részéről?

– Elméletileg igen, de senki ne képzelje, hogy minden ezzel kapcsolatos munkát meg tud úszni. A belső elköteleződés, a felső vezetés aktív támogatása és a szervezet, a dolgozók együttműködése nélkül ezt nem lehet sikerre vinni. Hinniük kell abban, hogy az információbiztonság fokozása az ő üzleti érdekeiket szolgálja. A belső folyamatok át- vagy kialakításában sokat tudnak segíteni a külső szakértők, de a vállalatoknak is bele kell tenniük a szükséges erőforrásokat.

A későbbiekben a cégkultúra részévé kell válnia az információbiztonsággal való foglalkozásnak, valahogy úgy, mint mondjuk az adózásnak. A pénzügyi szakemberek folyamatosan nyomon követik az adózási környezetet, és megnézik, hogyan tud annak a legjobban megfelelni a vállalat. Ugyanezt kell tenni az információbiztonsággal is. Kövessük folyamatosan nyomon a fejleményeket, a kockázatokat és az új védelmi megoldásokat, majd a rendszereinket és a folyamatainkat alakítsuk át úgy, hogy ideálisan és költséghatékonyan meg tudjunk felelni a területen jelentkező elvárásoknak. Ha ez sikerül, onnantól kezdve nem teher, hanem lehetőség lesz az IT-biztonság.