Szakmai értelemben kevés olyan inspiráló (értsd: továbbgondolásra serkentő) beszélgetést tudok elképzelni, mint amikor szakmai vezetőkkel szakmai kérdésekről cserélhetünk eszmét. Az efféle találkozók éves csúcseseménye számomra az a talán meghallgatásnak is nevezhető összejövetel, amikor az év informatikai vezető díjára jelöltek a díj odaítélésre összehívott zsűrivel töltenek el egyenként 20-25 percet. Az idei zsűrizésből sem távoztam üres kézzel, íme, egy a sok érdekesség közül.
■ Kiberbiztonság
A Magyarországi Vezető Informatikusok Szövetsége (VISZ) évente írja ki a pályázatát az év vezető informatikusa díjra, amely az esztendők hosszú során folyamatosan változik, fejlődik: jelenleg háromféle díjat nyerhetnek el az arra érdemesek, az egyik „Az év informatikusa” (korábban: Az év CIO-ja), a másik „Az év információbiztonsági vezetője” (e díjat a VISZ az ISACA Budapest Chapterrel közösen hirdeti meg), a harmadik a Braun Péter emlékét őrző díj, amelyet 2016 óta ítélik oda olyan 35 évnél fiatalabb informatikai vezetőnek, aki kiemelkedő szakmai teljesítményt produkál.
Nem szó szerint idézem, hanem a saját stílusomra és szakmai szókincsemhez átigazítottan interpretálom itt azt a rövidke elemzést, amelyet az egyik pályázó, aki a kiberbiztonság területéről érkezett, pályaművében tett közkinccsé, és amely különösen megragadta a figyelmemet. Azt taglalta, hogy az olyan szervezetekkel szemben, amelyek esetében ma már magas prioritású a megfelelőség, az elvárások eleinte a dokumentáltság területére fókuszáltak. Arra sarkallták a szervezetek illetékeseit, hogy a dokumentálatlan működésről emelkedjenek fel a megfelelően dokumentált működés szintjére. Aztán a szabályozatlan (értsd: állami, illetékes hatósági, iparági szempontból szabályozatlan) környezetből kellett eljutni a megfelelő szabályozottság magaslatára. Napjainkra eljutottunk oda, hogy a mostani kontextusunk szerinti magtevékenység (kiberbiztonság) lényegére fókuszál a környezet elvárása: az alacsony reagálási képességből kell felemelkedni a megfelelő reagálási képességre, a nem rezilliens szervezetet megfelelően rezilienssé kell fejleszteni.
Ilyen meghallgatásos szituációban nincs idő és mód arra, hogy bizonyos, nekünk, zsűritagoknak mégoly tetsző vagy izgalmas témákat kibontsunk, ezért magam fejlesztem tovább azt, ami az előbbi mondatokhoz még hozzáfűzhető. Valóban rezilienssé kell válnia a szervezeteknek, egyébként nem csupán kiberbiztonsági szempontjából, ám nem gondolom, hogy a szabályozás, a szabályozásokban megfogalmazott elvárások száma, fontossága csökkenne. Igaz, hogy a szabályozásokban olyan elvárások kezdenek megfogalmazódni, amelyek a működés, így a kiberbiztonsági működés, részleteit is érinthetik. Így például közvetve vagy közvetlenül szorgalmazhatják a rezilienssé válást.
A szervezetek vezetőinek a szemszögéből nézve, tehát stratégiai és taktikai (például költségvetési) szinten, mind a szabályozásoknak való megfelelés, mind pedig a kiberbiztonság erősítése továbbra is magas prioritást kell élvezzen. A szabályozó testületek felől tekintve e témakörre, rendkívüli az ő felelősségük abban, hogy az adott üzleti környezet szabályozása stabilan a megfelelő úton haladjon, és ne térjen le az alulszabályozás vagy túlszabályozás ingoványaiba.
