Nem válogatnak a támadók, az ön cégét is másodpercek alatt kivégezhetik

Címkék#NIS2 #makay József #kiberbiztonság

Új, egységes kiberbiztonsági irányelvet vezetett be az Európai Unió. Ez alól nem érdemes kibújnia a cégeknek, mert bírság jár érte.

Miklós István

A kiberbűnözők nem csupán a nagy cégeket veszik célba

Fotó: Illusztráció: Shutterstock

Egy új európai uniós törvénynek köszönhetően ezután nem bújhatnak ki a cégek az IT-biztonsági követelmények teljesítése alól. Nem véletlen a szigor, ugyanis napjainkban a kiberbűnözők a kritikus ágazatokban tevékenykedő cégek mellett a kis- és középvállalkozásokat is megtámadják. Többek között ezért is hallani egyre többször, hogy az online tér napjainkban a háborúk egyik harcterévé is vált. Az új NIS2 EU-s biztonsági irányelv október 18-ától él, és nem csupán a nagyvállalatokra vonatkozik. Az irányelv céljáról és a kibertámadások veszélyeiről Makay Józseffel, a Makay Kiberbiztonsági Kft. ügyvezetőjével beszélgettünk.

A kiberbiztonság ma már üzleti érdek is — A kiberbiztonság fokozása az új uniós irányelv célja
Fotó: Illusztráció: Getty Images

Egységes, magas szintű kiberbiztonság

A szakember portálunknak arról számolt be, az NIS2 irányelv célja, hogy az Európai Unióban működő kritikus fontosságú szolgáltatásokat nyújtó vállalatok (például az energetikai, egészségügyi, közlekedési és digitális szolgáltatások) egységes és magas szintű kiberbiztonsági védelemre tegyenek szert, amit nem csupán kérnek, hanem meg is követelnek tőlük a döntéshozók.

– Az irányelv nemcsak a védekezési szint emelésére, hanem a gyorsabb reagálásra, incidensjelentésre és a nemzetközi együttműködésre is nagy hangsúlyt helyez. Az NIS2 bevezetése azért annyira fontos, mert az elődje, az NIS irányelv már rámutatott, hogy egyes országokban és iparágakban a kiberbiztonság komoly fejlesztésre szorul.

Így mondhatjuk azt, a NIS2 célja, hogy megszüntesse az eddigi hiányosságokat, kibővítse a szabályozott ágazatok körét, és közös alapot teremtsen a tagállamok között a kiberfenyegetések elleni védelemben

– hangsúlyozta a kiberbiztonsági szakértő, akitől azt is megtudtuk, miért nem szabad félvállról venni a kiberbűnözők támadásait.

Ne vegyük félvállról a támadásokat!

– A kibertámadások nemcsak az informatikai rendszereket béníthatják meg, hanem komoly anyagi, hírnévbeli és jogi károkat is okozhatnak. Egy jól irányzott támadás miatt például leállhatnak termelési és logisztikai folyamatok, kiszivároghatnak ügyféladatok, vagy elérhetetlenné válhat egy cég teljes infrastruktúrája. A helyreállítási költségek és a potenciális bírságok jelentős pénzügyi terhet rónak a vállalatokra. Ráadásul a támadók egyre fejlettebb eszközöket használnak, így a „régi megoldások” már nem nyújtanak megfelelő védelmet. A felkészülés tehát nemcsak egy technikai és adminisztratív kérdés, hanem alapvető üzleti érdek: egy erős kiberbiztonsági védelem megóvhatja a vállalatot a hírnevének elvesztésétől és ügyfeleinek bizalomvesztésétől – hívta fel a figyelmet Makay József.

Kötelező, és nem ajánlott

Nem szabad elfelejteni, hogy az új irányelv bevezetése nem csupán egy ajánlás, hanem kötelesség bizonyos cégek esetében, ráadásul bírság is jár azoknak, akik ezt elmulasztják. Mégis olvasni olyan esetekről, hogy egyes cégek inkább kifizetik a büntetést, és nem fejlesztenek.

Makay József szerint ez a megközelítés a potenciális áldozatok között – legyen az egy lakossági felhasználó vagy egy nagyobb vállalkozás – hosszú évek óta megfigyelhető, de az élet igazolja, hogy végeredményben ez a „stratégia” sokkal költségesebb, mint a biztonsági fejlesztések.

– Ha egy biztonsági hiányosság miatt incidens történik, akkor nemcsak a büntetést kell kifizetni, hanem a helyreállítási költségeket és a következő támadások megelőzése érdekében tett fejlesztéseket is. Ellenkező esetben a támadás néhány nap múlva újra és újra megismétlődik a hiányosság sikeres kihasználásával, amíg az érintett pénze el nem fogy, és fel nem adja a harcot. Persze sokan abban reménykednek, hogy megússzák a támadást, vagy vakon feltételezik, hogy azért nem történt eddig incidens, mert mindent jól csinálnak. Azonban már évek óta ott tartunk, hogy a támadók nem válogatnak, fejlett algoritmusokkal pásztázzák az internet egészét megtámadható rendszerek után, és sokszor humán közreműködés nélkül végzik el a betörést – emelte ki a szakember, majd arra is rávilágított,

a középvállalkozások sincsenek biztonságban, hiába gondolják sokan, hogy túl „kicsik” ahhoz, hogy célponttá váljanak.

– A valóságban éppen a kisebb védekezési kapacitásuk teszi őket vonzóvá a támadók számára. Egy sikeres támadás során ellophatják az ügyféladatokat, a pénzügyi információikat, zárolhatják a rendszereiket zsarolóvírussal, de akár pénzügyi tranzakciókat is eltéríthetnek. Ezekre szinte hetente látunk jelentősebb gyakorlati példát a magyar piacon, szóval nemcsak arról van szó, hogy ezeknek a támadásoknak van egy elméleti lehetősége. Ezek már a hétköznapok. Egy másik súlyos következmény lehet a jogi felelősségre vonás. Ha például ügyféladatok szivárognak ki, a vállalat GDPR-bírsággal nézhet szembe. Az ilyen helyzetek különösen fájdalmasak lehetnek egy kisebb vállalkozás számára, mivel nincs meg az anyagi tartalékuk a gyors helyreállításra, a bírságok kifizetésére és a lecsökkent bevétel kiegészítésére.

Hazánkban a nagyvállalatok és a kritikus infrastruktúrák üzemeltetői általában komolyabban veszik a kiberbiztonságot, hiszen jogszabályi kötelezettségeik vannak, és tisztában vannak azzal, hogy egy támadás jelentős üzleti károkat okozhat – és még így is rengeteg esik kibertámadás áldozatául. A kisebb vállalkozások pedig gyakran alábecsülik a kockázatokat, és úgy gondolják, hogy a kiberbiztonság csak egy extra költség. Az utóbbi években ugyanakkor pozitív változások figyelhetők meg: egyre több vállalat ismeri fel, hogy a digitális védelem nem luxus, hanem alapvető üzleti szükséglet. Ennek ellenére a tudatosság szintje még mindig jelentős különbségeket mutat az egyes szektorok és vállalati méretek között

– tette hozzá Makay József.