Majdnem félmillió kiberbiztonsági szakemberre lenne szükség Európában – ezt a növekvő fenyegetettség indokolja. De vajon tisztában vannak-e a vállalkozások a rájuk leselkedő veszéllyel? És lesz-e elegendő szakember a minimális védelem biztosításához?
◼︎ A hiány pótolható lenne
Az informatikai ipar régóta együtt él a szakemberhiánnyal – a hazai szakmai közbeszédben többféle szám is kering arról, hogy hány informatikusra lenne még szükség, de mindegyik tízezres nagyságrendű. (Egyébként a nagyvilágban sem sokkal jobb a helyzet, a közelmúlt nagy elbocsátásai ellenére sem.) Az viszont biztos, hogy az információbiztonsághoz magas szinten értő szakemberekből még nagyobb a hiány.
Igény volna rá
„Az uniós CyberHubs projekt keretében elvégzett kutatásaink szerint hazánkban jelenleg körülbelül 7500 fő dolgozik a kiber- és információbiztonsághoz vagy az adatvédelemhez köthető munkakörökben. Némi korrekcióval a valós szám 10 ezer körüli, de bőven lenne még igény ilyen típusú szakemberekre”, bocsátja előre Dr. Krasznay Csaba, a Nemzeti Közszolgálati Egyetem egyetemi docense.
Már a NIS2 életbe lépése előtt látható volt, hogy éves szinten körülbelül 300 új szakembert tudna felvenni a piac. Dr. Krasznay Csaba szerint a képzések ezt az igényt le is tudnák fedni, sajnos azonban nem jelentkeznek ennyien az egyes képzésekre, pedig az igények egyre nőnek. „A decemberben elfogadott új kiberbiztonsági törvény előírásai szerint minden érintett szervezetnél szükség van információbiztonsággal foglalkozó szakértő kijelölésére, az auditoroknál pedig újabb auditorokra. És akkor arról még nem beszéltünk, hogy a jogszabályban megnevezett négy hatóságnál is szükség lenne a jelenleginél több szakemberre”, mondja a docens. A már említett kutatás szerint mintegy 150-200 auditor hiányzik ahhoz, hogy optimálisan le lehessen fedni velük a törvényben előírt auditkövetelményeket, és teljesíthetővé váljon a kétévenkénti auditálás követelménye. A hatósági oldalon pedig 40-50 szakértővel kellene bővülnie az állománynak.
Vagyis hirtelen komoly munkaerőigény „zuhant” Magyarországra, ennek kielégítése pedig nagyban függ attól, hogy maga a jogszabály milyen követelményeket szab meg az információbiztonságért felelős auditorok és a hatósági személyek képzettségével kapcsolatban. Ettől még a képzési piac alapvetően készen áll arra, hogy aránylag hatékonyan, egy-két éven belül kiképezze a szükséges szakértőket, állítja határozottan Dr. Krasznay Csaba.
Van, ami nem teljesíthető
Ezzel együtt is létezik két olyan biztonsági szerepkör, amelyben akkora a hiány, hogy az egyelőre semmilyen módon nem tüntethető el: az egyik a kiberbiztonsági üzemeltető, a másik pedig az incidensmenedzser. Esetükben a klasszikustól eltérő, innovatívabb megoldásokra van szükség a képzésben, ráadásul jelen pillanatban oktatási oldalról sincs ehhez elegendő, kellően képzett gárda.
| Nemcsak diplomát lehet szerezni
Ha valaki nem elégszik meg az egyetemi diplomával, szerezhetnek cégek vagy nemzetközi szervezetek által kínált minősítést. Népszerűek például az ISACA CISA (Certified Information Systems Auditor) és CISM (Certified Information Systems Manager) vagy az ISC2 CISSP (Certified Information Systems Security Professional) vizsgái. Ezeken túl is rengeteg más van még a palettán, így mindenki megtalálhatja az érdeklődési körének megfelelőt. Akkor is érdemes lehet beülni valamely képzésre, ha az illető nem akar vizsgázni, de nyitott a tanulásra, mondja Oroszi Eszter Diána. Idén először indít például az ISACA Budapest Chapter magyar nyelvű CRISC- (Certified in Risk and Information Systems Control) vizsgára felkészítő képzést, amely az információbiztonsági kockázatmenedzsment témájával foglalkozik. |
Hasonlóképpen nehezen betölthető munkakörnek számít az auditoroké és hatósági szakértőké. Itt a nemzetbiztonsági átvizsgálás és a létszámkorlátozások jelentenek nehézséget, tehát ez a szegmens továbbra is nehézségekkel fog küzdeni. Más területeken is lesznek gondok: a NIS2 nyomán mintegy hétezer szervezetnél lesz szükség információbiztonsági felelős kijelölésére. Az NKE docense szerint Budapesten és a nagyobb városokban ez talán még megugorható feladat, viszont nagyon sok vidéki szervezet került be az érintetti körbe. Esetükben – például az élelmiszergyártóknál vagy az agrárcégeknél – problémás lesz a szükséges személyek megtalálása.
„Megyénként legalább 10-15 emberre lenne szükség, akik vállalkozóként ezt meg tudják oldani. Emellett még ott vannak azok a nagyvállalatok is, amelyek saját biztonsági csapatot tartanak fenn, elsősorban náluk jön szóba az információbiztonsági üzemeltető mérnökök kérdése. Nem könnyíti meg az üres állások feltöltését, hogy az informatikai szektor egészében jócskán lassult a bérek növekedése, ráadásul ha valaki idehaza már igazán képzettnek minősül, jó eséllyel kap ajánlatot Nyugat-Európából”, tette még hozzá Dr. Krasznay Csaba.
Csak hosszú távú megoldások léteznek
A kiberbiztonság most már olyan nagy fontosságú problémává nőtte ki magát, amire egyszerűen nincsenek rövid távú megoldások, véli Varga Gábor, az IVSZ – Digitális Vállalkozások Szövetsége kiberbiztonsági szakértője.
Ahogy fogalmaz, a kiberbiztonság kapcsán is érvényes az az elv, hogy a kisebb szervezeteknek érdemes támaszkodniuk mindarra, amit a több erőforrással rendelkező szervezetek már kimunkáltak. Az IVSZ a DigitalTechEDIH projekt keretében segíti ezt: az ország számos pontján rendeznek workshopokat mikro- és kisvállalatoknak, ahol megmutatják, mit kell tenniük a virtuális térben elharapódzó csalások ellen. A kkv-k tájékozottsága szerencsére növekszik a témában és már a lakosság egy része is figyel a saját privát digitális értékeinek, bankszámlájának, személyes adatainak védelmére.
Varga Gábor hozzáfűzte: a CyberHubs projekt azt is célozza, hogy felderítsék, mit kell tenni annak érdekében, hogy minél több szakember értsen a kiberbiztonsághoz. A szakemberhiány valóban megnehezíti, hogy a cégek, és rajtuk keresztül az egész ország biztonságtudatossága erősödjön. Az IVSZ a tagságával és a projektben aktív Nemzeti Közszolgálati Egyetemmel közösen keresi a megoldást a különböző szintű ismeretek és szaktudás szűkösségére.
Digitális életünk részévé váltak a kibertámadások
A szakemberhiány enyhítése érdekében nemcsak a felsőoktatásnak és a felnőttképzésnek van tennivalója, folytatja az IVSZ szakértője. Talán ezek a legfontosabbak, de éppen ezért ezeken a területeken már jelentős haladás tapasztalható.
Hatalmas feltáratlan tartalékokat látszanak viszont a középfokú oktatásban. „Szeretnénk megvizsgálni, hogy a másodfokú, technikumi szinten miként kaphatnák meg a diákok a szükséges tudást. Ehhez kell gyakorlati oktatás is, amiben a vállalatoknak nyilvánvalóan lenne szerepük. Az IVSZ kiberbiztonsági munkacsoportjában dolgozó vállalatok segítségével igyekszünk feltárni, mit tehetünk a hatékony kiberbiztonsági oktatás érdekében. Még ha a tanulók nem is választják a kiberbiztonságot szakmájuknak, más IT-területen dolgozva is hozzájárulhatnak a rendszerek és az adatok védelméhez”, szögezi le Varga Gábor.
A szemlélet is fontos: el kell fogadnunk, hogy a támadások digitális életünk részévé váltak és azok megszüntetése helyett ellenálló képességünk fejlesztése a jó megközelítés. A cél az lehet, hogy a támadások minél kisebb mélységbe tudjanak behatolni a rendszerekbe, minél kisebb károkkal járjanak és minél hamarabb tudjuk alkalmazni a helyes elhárítási módszert. „Proaktívan hozzuk olyan helyzetbe a szervezetet, hogy helyes válaszokat tudjon adni, előrelátó módon kezeljük az elkerülhetetlen helyzeteket. Ehhez nemcsak jól képzett szakemberekre, hanem a kiberbiztonsági közösség összefogására is szükség lesz a jövőben”, teszi még hozzá a szakember.
Nagy elvárások, kis teljesítmény
A munkaerőhiány miatt jelentős igény mutatkozik külső erőforrások bevonására, például munkaerő-kölcsönzés jelleggel, vagy külső információbiztonsági felelős megbízásával. Ugyanakkor sokszor azért sem könnyű megtalálni a megfelelő szakembereket, mert az elvárások nem összeegyeztethetőek, mondja Oroszi Eszter Diána információbiztonsági szakértő.
Egyre több pozíciót pályakezdő vagy junior munkavállalókkal töltenek fel, akik lelkesedése és ambíciója pozitívan hathat a munkára, viszont még szükségük van az iránymutatásra, tapasztalatgyűjtésre, klasszikus junior feladatokra. Mert bár ők is lehetnek kellően képzettek, de hiányzik belőlük az elengedhetetlen tapasztalat és gyakorlat, amelyre csak évek munkájával, a lépcsőfokokat bejárva lehet szert tenni.
A probléma igazából a kellően tapasztalt, valóban senior szakemberek megtalálásában rejlik, fogalmaz a szakértő. „A jelöltek általában inkább felülértékelik magukat és irreális elvárásaik vannak, nemcsak a pozíciók és bérek, de az egyéb juttatások, például a home office terén is. Sokan már kevés tapasztalattal is magasabb szintre vágynak, azonban, még ha a jelölt át is megy a rostán, a tényleges munkavégzés során előbb-utóbb kiderül, ha nincs meg a szükséges tudás, vagy gyakorlat. Sokkal kifizetődőbb, ha a jelölt reálisan értékeli magát, és a munkáltatóval közösen határozza meg a lehetséges karrierutat. Így mindkét fél elvárásai meghatározott időn belül teljesülhetnek és mindenki elégedett lesz”, vázol egy lehetséges megoldást a szakértő.
Elmélet és gyakorlat
Oroszi Eszter Diána tapasztalatai szerint már általános iskolás korban is fel lehet kelteni az érdeklődést az információbiztonság iránt – persze nem a NIS2-ről kell nekik beszélni, hanem az etikus hackelésről vagy a social engineeringről.
„Szerencsére azok, akik komolyan gondolják, már nem csupán szakirányon tanulhatnak kiberbiztonságot, hanem léteznek erre külön szakok is. A Nemzeti Közszolgálati Egyetemen nemcsak elektronikus információbiztonsági vezető szakirányú továbbképzés, hanem kiberbiztonsági mesterképzés szak is indult, az Óbudai Egyetemen pedig kiberbiztonsági mérnöki képzés is elérhető mind alap-, mind mesterszakon”, sorolja a lehetőségeket Oroszi Eszter Diána.
A szakértő ugyanakkor rendkívül fontosnak tartja, hogy az elméletben tanultakat a gyakorlatban is alkalmazni tudják az IT-biztonsági szakemberek. „Kulcsfontosságú, hogy már az egyetemi képzésekbe minél több gyakorlati példa, feladat épüljön be. Ha csak az előadásokból, illetve a kiadott jegyzetekből, forrásokból tanulnak a hallgatók, az ismeret nem marad meg úgy, mint egy közösen megoldott, átbeszélt feladat után. Az említett egyetemeken magam is külsős oktató vagyok, és én is a gyakorlatorientált oktatásokat részesítem előnyben. Ez már csak azért is hasznos, mert a feladatok megoldásából is látom, hogy mely területek azok, amelyeket esetlegesen ismételni kell, vagy részletesebb kifejtést igényelnek”, zárja mondandóját.
