Digitális reziliencia szabályosan: NIS2 felügyelettel

Üdvözlök mindenkit! Ez itt a DIG-IT Podcast, Személyi László vagyok, a Future-NOW vezető partnere, és társam a krimiben, Szekér Zoltán, az OD&IT Solutions és a SailingHangar alapító ügyvezetője. Sziasztok, jó napot kívánok! A DIG-IT Podcast célja, hogy akit nem elégítenek ki a felszínes cikkek és a hangzatos jelszavak, az közelebb kerülhessen a digitalizáció és az informatika mai meghatározó trendjeihez.

Mi itt a mélyére fogunk ásni a dolgoknak. A Ketyeg az óra, néhány hónap múlva, október 18-tól ellenőrzések indulnak a kockázatos ágazatokban dolgozó mintegy 2500 magyar cégnél.

Hogy miért? Arra egyszerű a válasz, az Európai Unió 2022-ben elfogadott NIS2 irányelve miatt. Hogy mit is ellenőriznek és hogyan, azt viszont nem lehet elégszer körbejárni, hiszen ez nagy változás a legtöbb cég életében. Természetesen ismét nem egyedül vállaljuk ennek az ódiumát. Vendégünk a stúdióban a Szabályozott Tevékenységek Felügyeleti Hatóságának (SZTFH) kiberbiztonsági szakértője, Király Anna. Köszöntünk.

Üdvözlöm a hallgatókat, köszönöm a meghívást.

Köszi, hogy eljöttél. Egy korábbi kiberbiztonsági adásban elmondtam, hogy az Allianz felmérésében a világ cégvezetői évek óta a kiberbiztonsági problémákat tartják a legnagyobb kockázatnak, megelőzve a természeti katasztrófákat, vagy például a háborút is. Valószínű, hogy erre reagálva született minden idők egyik legtöbbet emlegetett informatikai jogszabálya, a NIS2. Mivel a tartalmát szerintem már minden hallgatónk ismeri így nyár közepe felé, vagy könnyen rá tud keresni az interneten, én inkább másról beszélnék. Hogy látjátok a felkészülést a piacon? Milyen arányban érthették meg a cégek a feladatot, és vajon képesek-e megugrani?

Alapvetően nagyon jó a kérdés. Én egy kicsit távolabbról indulnék, ugyanis mi ugye alapvetően a magyar piacot látjuk, és a magyar piacról is vannak olyan ágazatok, ahonnan azért több információnk érkezik.

Alapvetően az, hogy eljutott-e a cégekhez, merjük állítani, hogy igen. Ezt már csak a bejelentési számok is alátámasztják.

Hogy sikerült?

Június 30-a volt a nyilvántartásba vételi határidő, és akkor hogy látjátok a beérkezett, a megelőző számok alapján, illetve hogy most akkor valójában mennyi érkezett be?

Hát mi alapvetően a KSH-tól kaptunk anno egy becslést, ami nagyjából azt jósolta, hogy 2500 cég lesz az, aki a hatóság kiberbiztonsági felügyelete alá fog tartozni. Ehhez képest még június közepén egy konferencián elmondtuk, hogy akkor 400-on állt a bejelentési szám, ami június 30-ra meghaladta a 3300-at. Úgyhogy bőven a várakozásaink felett teljesítettek a cégek. Természetesen azért ez azt is jelenti, hogy jó eséllyel azért el tudott jutni az érintett cégekhez az információ, hogy itt valamiféle teendő lesz. Természetesen ez nem azt jelenti, hogy feltétlenül 3300 cégről lesz szó, hiszen vannak olyanok, akik tévesen jelentkeztek be, de ezt a következő egy-két hónap során feldolgozzuk a kérelmeket, és akkor ki fog derülni az a végleges szám.

Említetted, hogy itt a magyar számokat nézitek, de hogy azért vannak hallgatóink más országokból is, hány országból is?

Huszonnégy országban hallgattak minket.

Nem tudom követni, a Zoli kell nekem ehhez. Szóval, hogy más országban ugyanezek a határidők mennek?

Hát ez nagyon változó. Ugye azt kell tudni, hogy itt tényleg, ahogy elmondtad, 2022-ben fogadták el az irányelvet. Ez az irányelv, ez őszintén nem a cégeknek szól, hanem a címzettjei a tagállamok. Tehát azt mondja az irányelv, mint általában minden EU-s irányelv, hogy az abban foglaltakat át kell ültetni a nemzeti jogrendekbe. Számos országban ez még meg sem történt, ugyanis a tagállamoknak erre október 17-ig van idejük.

Légy szíves beszéljetek arról, hogy mit értenek félre, melyik határidőket értik félre. Ez egy nagyon fontos, tisztázandó dolog lenne, hozzám is érkezett ilyen megkeresés. Tegnap kijött maga a törvény hatályba lépésének az információs része, el lehetett olvasni, hogy van itt a fejekben némi kavarodás a dátumokkal. Hogy meg tudnánk erősíteni a hallgatóinknak, hogy pontosan milyen dátumok, mikor követik egymást. Jogszabály életbe lépett, ideiglenesen van, átveszi, nem veszi, tolódik a határidő, vagy nem.

Ugye a mi hatóságunk alapvetően csak és kizárólag a 2023. évi XXIII. törvény vonatkozásában tud nyilatkozni, hiszen ez adja a felhatalmazást a felügyeleti jogkörünkre. Az abban a törvényben szereplő dátumok nem változtak. Tehát, hogyha valaki megnézi a jelenleg hatályos törvényt, akkor igazából változás nem történt, ami a cégek életét érinti. Volt egyébként technikai változtatás, de ez a hatósági eljárásokat érinti csak és kizárólag. Tehát az első átmeneti határidő ez a június 30 volt, amit teljesítenie kellett a cégeknek. Ez nem azt jelenti, hogy lezártuk a bejelentkezést, tehát azt fontos elmondani, hogy be lehet adni késedelmesen is a papírt. Tehát ez egy folyamatos feladat tulajdonképpen, már csak azért is, mert lesznek olyan cégek, akik mondjuk szeptemberben fognak a hatálya alá kerülni a szabályozásnak.

Tehát az űrlap folyamatosan elérhető. A következő dátum, az az október 18. Ez az, amitől nem fog tudni eltekinteni semelyik tagállam, hiszen az EU rögzítette ezt a dátumot. Ezen dátumtól már mindenféle védelmi intézkedést alkalmazni kell. Na és akkor ilyenkor szokott felmerülni a kérdés, hogy de amit kell alkalmazni, és hát ez az, amire Zoli utaltál, hogy múlt héten megjelent június 24-én a Magyar Közlönyben a 7/2024-es miniszterelnöki Kabinetiroda rendelete, ami pontosan leírja azt, hogy milyen védelmi intézkedéseket kell október 18-tól bevezetni a cégeknél. Ez a dátum nem tud tolódni, már csak azért sem, merthogy tényleg az EU írta elő ezt a tagállamoknak. Tehát nagyon egyszerű a képlet, hogyha erre a dátumra nem történnek meg a tagállami átültetések, akkor az EU-s egyéb eljárásokat vonhat maga után.

Tehát október 18. egészen biztosan marad. Ami egy kicsit most talán a szakmai közeget is megzavarhatta, hogy az új kabinetirodás rendeletben szerepel egy 2025. január 1-es dátum, viszont ez a dátum arra vonatkozik, hogy a jelenlegi 2013. évi 50-es vagy rövidítve IBTV-ként ismert törvény hatálya alá tartozó szervezeteknek a jelenleg hatályos szabályozás helyett majd január 1-től kell az új követelményrendszert alkalmazni. Tehát ez kimondottan a 23 évi 23-as törvény hatálya alá tartozó szervezeteket egyáltalán nem érinti mint dátum.

Hadd tegyem rögtön hozzá, hogy az IBTV, kedves hallgatók, az nem egy az Európa-bajnokság legújabb közvetítését végző tévécsatorna, hanem az információbiztonsági törvény. Meg akkor, ha már törvénykezünk, azt is érdemes elmondani, hogy mi is ez az irányelv, vagy nem. Tehát az irányelvek azok olyan jogalkotói szabályok az EU-ban, ami a nemzeti tagállamot törvényhozásra serkenti. Másfelől viszont másik műsorban beszéltünk például az AIAC-ről, szerintem még elő is fog kerülni. Az AI-k nem egy irányelv, az egy közvetlen hatályú jogszabály, tehát aki annak a hatálya alá kerül, az nem a nemzeti jogalkotó, hanem maga a felhasználó, illetve a fejlesztő cég. És akkor úgy tűnik, hogy ez is egy verseny, mondjuk itt visszakanyarodva a mai témánkhoz, tehát megszületik egy irányelv, és minden 26 tagállam most versenyzik abban, hogy milyen hamar képes tiszta lapot, vagyis tiszta helyzetet teremteni a saját piacán.

Mi ezek szerint, mint magyarok, gyorsak voltunk, és elég hamar sikerült.

Egészen pontosan az elsők voltunk.

Na, ugye?

Köszönöm szépen.

Ez fontos.

Furcsán hangozhat, hogy ez egy verseny, de hogy én azt gondolom, hogy minél tovább húzódik egy bizonytalan jogi környezet, annál több költséggel jár a piacon. Na most mi a helyzet azokban az országokban, merthogy csak ugye nincsenek olyan szoros határok már, mint régen, tehát egy magyar IT cég, az szolgáltathat 8 EU-s országban is, vagy akárhány EU-s országban is, és vice versa egy magyarországi nagyvállalat, az igénybe vehet IT szolgáltatást számtalan európai országból. Szóval hogy is néz ez ki azokban az országokban, hogy október 18-tól már bünti járhat, miközben ma még jogszabály sincs, ha jól értem.

Igen, tehát mit tudom én, van olyan szolgáltató központ, ahol magyarországi a KFT, de lengyelországi szolgáltató központból kapja meg az IT infrastruktúrát, miközben madridi a vezetés. Tehát, hogy ezekben a helyzetekben válik érdekessé ez a típusú gondolat, és ezt csak meg akartam erősíteni, hogy mennyire fontos ez, hogy tudunk-e erről beszélni.

Komplex a kérdés, merthogy ugye alapvetés az, hogy hogyha van az EU-ban székhelye egy adott cégnek, akkor joghatóságot, alapértelmezetten, jó, persze ott is vannak kivételek, tuti, ami tuti, de alapértelmezetten a székhely szerinti felügyeleti hatóság gyakorol. Tehát ez az alapvetés.

Ez ugyanúgy, mint az AI-nál, hogy egyébként a felügyelő szerv, hogyha most mit tudom én, Írországhoz tartozik, mert ott van, akkor Írország.

Így van. Az viszont elvitathatatlan, hogy vannak határon átnyúló szolgáltatások, és nem csak az IT vonalon. Tehát, hogyha mondjuk hírközlésbe gondolunk bele, teljesen egyértelműen nem lehet lehatárolni az országhatárokon a vezetékeket, és nem lehet elvágni, de bocsánat, ugyanilyen mondjuk a villamosenergia-szoros energia.

Villamosenergia pont ilyen, igen.

Így van, földgáz, bármire gondolhatunk nagyjából. Tehát egyértelmű, hogy van másik tagállami érintettség. Erre azt mondja egyébként a NIS2 irányelv, hogy az lesz az általános tagállami és EU-s szintű megoldás, hogy alapértelmezetten marad a joghatósági felügyelet, tehát hogyha a példádnál maradunk, akkor van egy magyar cég, aki a magyar törvény és rendeletek szerinti követelményeket teljesíti. De az a cég, aki külföldi székhelyű, de Magyarországra szolgáltat, tehát kvázi itt végez tevékenységet, és itt van kihatása és kiberbiztonsági kihatása a tevékenységének, neki, bár a joghatóság a másik tagállami szervnél marad, ugyanakkor a szolgáltatással érintett országokban meghatározott követelményeket is kell, hogy teljesítse.

És bejelentkeznie is kell.

Nem, nem, bejelentkeznie nem, merthogy joghatóságot mi nem gyakorlunk.

Más a joghatósága.

De azzal, hogy ő ide szolgáltat, példánál maradva, hogyha ez a magyar cég jelzi nekünk, mint felügyeleti szervnek, hogy húha, hát egyébként a lengyel, spanyol, bármilyen cég szerinte egyébként nem felel meg a követelményeknek, akkor mi majd felvesszük az érintett tagállami hatósággal a kontaktot, és természetesen a másik tagállam hatósága fog eljárni az ügyben.

Ez nagyon érdekes, mert akkor ti magatok is, mint SZTFH-fel a magyar vállalatok közül, akik szolgáltatnak más uniós országban, nektek figyelnetek kell majd az ottani követelményekre is.

Őszintén, szerintem ott annyira nem kell majd figyelni, mégpedig azért, mert amiket már látunk elkészült szabályozásokat, hát azt lehet mondani, hogy a magyar az eléggé szakmaira sikerült. Tehát nagyon sok helyen megint csak általános megfogalmazások vannak, hogy legyen üzletmenet-folytonosság. Míg mondjuk a magyar rendeletben az üzletmenet-folytonosság az egy kontroll család.

Igen, igen.

Ez a definiálva van.

Így van, tehát hogy pontosan meg van mondva, hogy mit is értünk ezalatt. Tehát én úgy gondolom, és pont minap hívott egyik ismerős, hogy jaj, de hát a német szabályozásban csak 42 kontrollpont van, nálunk meg Úristen, hát hogyha összeszámoljuk, akkor 900 feletti. Igen, de ez nem azt jelenti, hogy a német kevesebb lenne.

Annyit jelent, hogy a magyar sokkal inkább egzaktul megmondta, hogy mi az elvárás a cégektől. Tehát én merem azt állítani, hogy milyen szakmai a rendelet ahhoz képest, hogy egy jogszabályról beszélünk.

Hát igen, abszolút. Tehát én azt gondolom, hogy ebben legalább van egy idegigazodási pont, de még így is van egy csomó kérdés.

Igen, a kritikus infrastruktúrát szolgáltató, de hogy ebbe most akkor az egészségügyi intézmények például milyen mélységig esnek bele. Tehát az Aranyalkony idősek otthona az egyébként kritikus szolgáltatóként minősül-e, hiszen most kérdezem is, tehát hogyha lehet erről beszélni, akkor tökre örülnék neki, hogyha ilyen extrém példákat is bevennénk, hogy hotel, egészségügy, nem tudom én, önkormányzat, tehát hogy ezt hogy látod? Ugye itt volt egy csomó olyan értelmezés, aminél azt mondtad, hogy 3500-an küldték vissza, és akkor majd elbíráljátok, vagy nem. Tehát létezik akkor ezek szerint az eseti elbírálás is, vagy együttműködtök-e, mit tudom én, a Nébih-el.

Mindenkivel együttműködünk.

Tehát ezt fontos kiemelni, hogy azzal, hogy valaki beadja a kérelmet, csak akkor tudunk pozitív határozatot hozni, hogyha igazoltuk a tényállást. Tehát azért, mert valaki azt állítja magáról, hogy ő élelmiszervállalkozás. Hogyha például nincsen a Nébihtől engedélye, akkor valószínűleg egy hiánypótlást oda fogunk neki küldeni, hogy helló, helló, így a Nébih-től kérjük szépen a papírt, mert hogy persze olyan előfordul, hogy az általunk elérhető nyilvántartás az nem éppen az egy órával ezelőtti állapotot mutatja, hanem mondjuk egy három nappal korábbit. Tehát lehet, hogy van már papírja, csak éppen nyilvánosan még nem látjuk.

Így van. Ilyen esetben bekérjük tőle, hogyha nem tudja igazolni, akkor elutasítjuk. Tehát minden esetben keressük azokat a támpontokat, ami alapján mind méret, mind pedig a tevékenység igazolásra tud kerülni.

Nem tudok elmenni amellett a pikantéria mellett, hogy ez kivételesen egy olyan hatósági ügyintézés, amiben az elutasításnak örülhet adott szituációban a cég, hiszen nem kell egy csomó új követelménynek való megfeleléssel foglalkoznia. Pontosabban elég nagy szabadsága van benne, mert egyébként a veszedelem, a kockázat az ott van annál, és rögtön erre az utcára is kanyarodjunk rá egy picit.

Erre kanyarodjunk rá.

Valaki egy Nis2-es irányelv által hozott nemzeti jogszabály körébe betartozik, vagy nem, attól ugyanazok a kiberbiztonsági kockázatok vannak nála. Azt szeretném, hogyha szakmailag.

Igen, ez egy nagyon fontos dolog. Ugyanazon a konferencián vettünk részt, és hála Istennek, én pont Anna után jöttem ebben a kérdéskörben. És ugye ez a Nis2 az rémálom vagy lehetőség, mondjuk így fogalmaztam meg ezt a dolgot. Maga a cég mikor ér többet, akkor ér többet, hogyha különböző tanúsítványokat fel tud mutatni. Ugye én azt mondtam, hogy a NIS2 felkészítést képzeljék el úgy, mintha egy izomminősítésre készítenénk föl magát a céget, amit lehet, hogy nem tervezett, de sokkal nagyobb értéket fog képviselni, hiszen ugyanannak az ISO minősítésnek mondjuk egy 27 ezres informatikai biztonsági szabványcsoportnak fog tudni úgy megfelelni, hogy önmagában a beszállítói piacon értékesebb lesz ez a cég, aki erre felkészül.

És itt volt egy ilyen nagyon érdekes félreértés, ebben a saját tapasztalatomban volt egy ilyen nagyon érdekes félreértés, hogy a cégvezetők nem azt kezdték el vizsgálni, hogy nekik milyen előnyük származik a kiberbiztonságnak az ebből a szemszögből való átnézéséből, hanem azt nézték rögtön, hogy nekik ez költséget fog jelenteni. Na de annak jelent költséget, aki a hatálya alá esik, és egyébként soha nem foglalkozott vele. Mert aki foglalkozott vele korábban, annak már alapszintű működési környezete már ki van alakítva. Tehát, hogy volt itt bőven vendégünk, tehát tudok mondani Microsoft, Fujitsu, Fortinet, különböző gyártókat, ahol ezek az eszközök már a NIS-en belül nem is kérdés, hogyha ott vannak, akkor a biztonsági osztályba való sorolás, ugye NIS2 osztályba való sorolás, tehát az eszközöknek a besorolása valamiféle védelmi osztályba, az ezeknél az eszközöknél már meg tudott történni.

Igen, hadd mondjam el rögtön, hogy a NIS2 sem azt jelenti, mint az NB II, hogy akkor ez a másodosztályú szabályok világa, vagy nem tudom. A NIS II azt jelenti, hogy volt egyszer egy törvény.

Volt egy egyes törvény.

Akkor még az egyest nem raktuk hozzá, de annak is volt hatálya.

Szóval neked Anna, mi ebben a tapasztalatod?

Hű, hát nagyon-nagyon heterogén a fogadtatás. Alapvetően a cégvezetőknél mi is ezt halljuk, és tényleg mi inkább szakmai kapcsolatot tartunk az érintett szervezetekkel, és elmondják, hogy azért nem mindig egyszerű, nem mindig egyszerű meggyőzni arról a cégvezetőt, hogy egyáltalán a hatálya alá tartoznak, és ha a hatálya alá tartozik, akkor most miért is kell valamit csinálni? Hát eddig se volt baj soha. Ugyebár? Miért féljünk? Nem aggódunk raktárra.

Reaktív, proaktív védelem, mikor kezeljük a problémát, amikor betörtek, vagy előtte, hogy betörjenek-e. Ugye ezt nagyjából így lehet lefordítani.

Valahogy a digitális térben jelentkező fenyegetésekre annyira még nem tudnak rákapcsolódni.

Ez szerintem nagyon gyorsan változni fog.

Én nagyon remélem, hogy igazad lesz.

Az a baj, na ez most ilyen közös, én is nagyon remélem, hogy igazad lesz, Laci, mert hogy én ebben azt látom, hogy van olyan, mondjuk egy alkatrészforgalmazó cég Magyarországon. Hogy lehet az, hogy ők ezt a kockázatot úgy becsülték alá, hogy utána nemcsak hogy káruk keletkezett, hanem még annak a védelmi intézkedésnek a bevezetésével még plusz költségük. Vagy ruhanagy kell, ugye? Itt azért mentek itt a hírek arról, hogy az egyik majdnem csődbe ment, mert olyan mennyiségű pénzt vittek el a háttérben, hogy egyébként a teljes, nem tudom én, öt évre szóló expanziós tervüket hiúsította meg ez a típusú kiberbetörés. Tehát, hogy valahol én mindig azt próbálom meg feszegetni, hogy értik-e vajon ezt, hogy kockázattal arányos ez a védekezés?

Ezt nem értik.

Tehát én úgy szoktam feltenni a kérdést, és talán úgy jobban rá lehet világítani a vezetői szinteken is, hogy rendben, vettünk egy lakást, vagy vettünk egy házat, vettünk egy luxusvillát. Milyen bejárati ajtót fogunk rá tenni. És bocsánat, milyen biztosítást fogunk rákötni.

Kötünk-e rá biztosítást?

Én azért azt merem feltételezni, hogy legalább a biztosításig eljutnak, hogy az kell, de nem mindegy, hogy milyet, és hogy mire kötök. Tehát még mit tudom én, egy panellakásnál ugye ezek a régi fa, egyébként tényleg nagyjából egy kalapáccsal áttörhető ajtók vannak, eléggé gyenge zárral. Nem biztos, hogy oda célszerű egy 18 ponton záródó, öt centi vastag vasajtót betenni, mert egyszerűen a védendő érték az nem arányos azzal, amit védelmi intézkedésként hoznánk. Tehát egyszerűen nem éri meg a 30 milliós lakást 8 milliós ajtóval védeni. Ez egy teljesen egyértelmű dolog. De hogyha az 500 milliós luxusvillát szeretném védeni, akkor oda valószínűleg egy eléggé komoly zárszerkezetet fogok feltetetni.

Tehát még a fizikai térben és az életben igazából megvannak ezek az automata reakciók, merthogy ez nagyjából automata, már megtanultuk a szülőktől, nagyszülőktől, hogy mikor zárunk ajtót, mikor nem zárunk, a kertkaput hogy lehet nyitva hagyni úgy, hogy mégis, aki tudja, az be tudjon jönni, addig ez a digitális térben nincsen még meg. Már csak azért sem, mert azért ez egy új dolog, hogyha belegondolunk, viszonylag új, tehát ebben még nem tudtak szocializálódni a jelenlegi cégvezetők.

Nekem ugyanez volt a teóriám, és nagyon örülök neki, hogy nem vagyok egyedül a stúdióban. Tehát ténylegesen látjuk, mert többször elő is került az adásban, hogy mennyire alacsony szintű a magyar KKV szektornak a digitalizáltsága, miközben egyébként a lakosság vagy az állami szektor az abszolút versenyképes szintű, legalábbis az unióban, azért a világban már egyre kevésbé, de a kkv-k viszonylag későn kezdtek minálunk digitalizálni, tehát nincs még meg nálunk a tapasztalat. Ez kicsit olyan, minthogy van egy lakónegyed, vagy van egy városrész egy városban, és akkor ott, amíg abban a városrészben, amit úgy ismerek és hallomásból eljut hozzá, nem volt betörés, addig nem érzem fenyegetve magam. Abban a pillanatban, hogy három utcával arrébb megtudom, hogy volt egy betörés, az már olyan közeli, hogy egyszerűen nap mint nap feszít, hogy valamikor hozzám is be fognak törni.

Szerintem ugyanez lesz itt is. Tehát abban a pillanatban, hogy az üzleti partneri kör egy cégét éri támadás, amiből származik, legalábbis kellemetlenség, ne adj isten anyagi kár, abban a pillanatban feszíteni fogja a kerekeket.

Hát, érdekes, akkor most figyeljetek, mondok valami kis ilyen színes, mint a Blikk. Ugye húsz éves a cég. Húsz év alatt van egy minta.

Minden egyes mozdulatunk minden egyes ajánlatának az első pontja, mint egy rendes biztosítási ügynök, hogy elmegyünk bejárni a házat, és felmérjük. Ezt gep analízisnek hívják. Képzeljétek el, hogy nagyon-nagyon sok esetben ez azt jelenti, hogy mondjuk tízből hatan nem is akarják megrendelni a gepanalízist. Néha úgy érzem, és ez nagyon jó példa HBO Csernobil film, hogy nem érezzük mi ennek a súlyát, hogy sugárfertőzés vesz bennünket körül, mert nem látjuk. Nem érzitek úgy, hogy egyébként nem jut el hozzánk az az információ, hogy a szomszédot már réges-rég beszántották? Tehát azért csukott be, mert föltörték, azért csukott be, mert elvitték az adatait, és hogy nem is jut el hozzánk ebben a térben az a hír, hogy a szomszédunkban van ez.

Hogy látjátok ezt?

Azért, mert erről nagyon sok cég direkt nem kommunikál. Tehát, hogy ezt szégyellik.

Miközben azért azt el kell mondani, hogy egy lehető legjobban felépített védelmi rendszer mellett is történhet incidens, ami nem azt jelenti, hogy valaki éppen a lehető legrosszabbul csinált valamit, vagy elmulasztott bármit, hanem egyszerűen ez egy ilyen világ, tehát folyamatosan új sérülékenységek jelennek meg, stb. Tehát biztosan van olyan pont minden pillanatban, amin keresztül be lehet hatolni egy adott céghez. De hogyha ez megtörténik, akkor erről nem igazán szoktak szólni. Volt egyébként egy magyar eset 2020-ban, ugye egy autókereskedő cég esete, akik viszont nagyon-nagyon jól le is kommunikálták, hogy pontosan ők min mentek át, mekkora káruk származott. Nekem volt szerencsém két hete meghallgatni a teljes sztorit egy kerekasztalban.

Zseniális egyébként maga az a folyamat, ahogyan az incidenst kezelték, de igen, természetesen nekik is ebből tanulni kellett, és az nagyon fontos, hogy a kiberbiztonság az nem egy olyan dolog, amit ma megcsinálok, és holnap is megvan. Ez egy folyamat, és ciklikus folyamat, folyamatosan vissza fogunk térni az origóra. Tehát aki most bejelentkezett, ugye neki majd 2025. december 31-ig bizonyítandó, hogy ő mit csinál, egy auditot el kell végeztetnie, de ezzel nincs vége, mert a következő nap kezdheti az egészet elölről a következő kétéves ciklust.

Voltaképpen azért ennek a niche kettőnek úgy is lehet lefordítani, hogy ti tévedtetek a Sentinel, az ajtóőr, aki folyamatosan figyeli, elmegy időnként, mint egy jó járőrszolgálat, elmegy időnként az ajtók előtt, és megnézi, hogy figyelj, van-e ajtód.

Ezt lehet így lefordítani a házas példátokra, hogy van, akinek van 16 ponton záródó vasajtója, de van, aki meg nem vett ajtót.

Én hadd tágítsam rögtön ki a kérdést, mert ez engem nagyon érdekel, és szerintem a hallgatókat is, hogy akkor tulajdonképpen milyen szervezet is ez az SZTF. Említetted, hogy ti elsősorban szakmai kapcsolatot tartotok a cégekkel, de hogy milyen szakmai kapcsolat ez, miben számíthatnak rátok a cégek, mi az, amit már tanácsadók segítségével kell nekik megoldani, hogy kell ezt elképzelni? Ja, és ez csak a niche kettőre jött létre? Nyilván nem.

Nem, nem, nem.

Mind a két kérdés egyben van. Három hónapja estem.

Nincs kettő SZTFH ilyen, mint a pingpongban, de hogy nyilván nem.

És én ezt nagyon nem szeretem, hogy a NIS2-vel kötik össze az SZTFH nevét, már csak azért sem, mert a NIS2 és a magyar törvény az nem egy és ugyanaz. Tehát van olyan része a NIS2-nek, ami egyébként nem az SZTFH lesz, ilyen például a pénzügyi szektornál a Magyar Nemzeti Bank, illetve az államigazgatásnál megmarad a Nemzetbiztonsági Szakszolgálatnak a felügyelete. Tehát a Nincs kettő nem egyenlő az SZTFH-val, ez kijelenthető. Az SZTFH, és akkor egyszer már kimondtad a hosszú nevét, de azért még egyszer elmondjuk, szabályozott tevékenységek felügyeleti hatósága, csak azért, mert én sokszor hívok fel ügyfeleket, és amikor azt mondom, hogy szabályozott tevékenységek felügyeleti hatósága, nem tudják, hogy melyik hatóság, de hogyha azt mondom, hogy SZTFH úgy működik, de akkor legyen meg fordítva is.

Szóval ez a hatóság már 2021 októbere óta létezik. Számos tipikusan piacfelügyeleti terület fölött őrködik, ilyen a dohánykereskedelem, tehát a volt Nemzeti Dohány Zrt. beolvadt, ilyen a szerencsejáték felügyelet, ami megint csak ugye jogutódlással került át, de ide tartoznak a bányafelügyeleti dolgok.

Egzotikum.

Igen, eléggé sokszínű, és tényleg szakhatósági feladatokat lát el. Természetesen ennek megvan a normál hatósági oldala, hogy igen, itt határozatok, meg végzések, meg ilyen-olyan dolgok születnek. Viszont én merem állítani, hogy minden terület azért eléggé erős szakmai kompetenciával is rendelkezik, és a szakmai meggyőződések mentén folynak az eljárások. És akkor volt még egy kérdésed, mégpedig az, hogy mi az, amit akkor mi csinálunk, mint SZTFH, és mi az, amit úgymond a cégnek saját maga kell megoldani. Hát mi elsősorban egy ilyen tényleg általános felügyeleti hatósági szerepben vagyunk, viszont ezen túl azért úgy gondolom, hogy nagyon sokan találkozhattak már velünk konferenciákon, tehát teljesen nyíltan beszélünk arról, hogy hogyan is működik a szervezet, mi az elgondolás, mi a szakmai elgondolás a szabályozások mögött.

Szerintem az elmúlt egy évben, hogyha 15 ezer ember nem hallotta, hogy mi kik vagyunk, és mit képviselünk, akkor talán senki. Úgyhogy erre felfűzve egyébként ugyanúgy megyünk akár vezetőknek tudatosító előadásokat tartani. Tehát, hogyha egy cég úgy érzi, hogy megakadt, és mondjuk az IT vezető felveszi velünk a kapcsolatot, hogy kellene egy kis segítség, hogy itt a vezetőket meggyőzzük arról, hogy ez így nem csak egy nyűg, hanem tényleg lássuk benne a lehetőséget, akkor ebben igyekszünk nekik segíteni.

Tartotok-e például képzéseket, vagy valamifajta előauditot. Gondolok itt olyanokra, mint például az SZTNH, ami majdnem ugyanígy hangzik, ezért gondoltam, hogy tudatosítsuk, hogy nem teljesen ugyanaz, csak nagyon hasonlóan hangzik a Szellemi Tulajdon Nemzeti Hivatala, mint az SZTFH, hogy ő náluk ez kifejezetten egy ilyen két-három éve elindult irány még az előző elnök kezdeményezésére, hogy szolgáltatásokat is nyújtson amellett, hogy hatósági funkciói vannak.

Egyelőre még ezt a piacra bízzuk. A képzés szót én alapvetően nem szeretem, mert a képzés az ilyen egyetemhez kapcsolódik, meg akkreditációt igényel, stb. Úgyhogy egyelőre képzést, mint olyat nem tartunk, előadásokat, bármennyit tulajdonképpen felkérésre. Szolgáltatás, ötletek vannak. Viszont úgy gondoljuk, hogy majd az első audit után fogjuk azt tudni, hogy mire van szüksége igazán a piacnak. Tehát hiába indítunk el egy szolgáltatást, hogyha arra nincsen egyszerűen kereslet.

És fordítva is, igen.

Hogyha ingyen van, akkor se feltétlenül fogja senki se igénybe venni. Úgyhogy első körben inkább az első év tapasztalataira fogunk hagyatkozni, és akkor az alapján a már tervben lévő szolgáltatási portfólióból kiválasztásra fog kerülni, hogy mi az, ami a cégeknek tényleg segítség is lehet.

Hogyan kezelitek - ehhez kapcsolódó a kérdés

hogyan kezelitek a tanácsadói piacot, tehát van-e bármilyen train trainer, vagy a tanácsadók, szolgáltatók ellenőrzése típusú tevékenységetek, ami itt a NIS2 megfelelést illeti. És ha van, akkor talán van rálátásod arra is, hogy vajon van-e elég tanácsadó, van-e elég szakértelem a piacon ahhoz, hogy a cégek tudjanak haladni ezzel a feladattal.

A tanácsadókat alapvetően mi nem felügyeljük és nem is koordináljuk, viszont azt merem mondani, hogy őket is azért támogatjuk, amennyiben erre igényük van. A tanácsadói piacon én merem állítani, hogy aki felveszi velünk a kapcsolatot, tényleg nagyon jó a viszony, tehát ezt odáig is el lehet képzelni, hogy sok esetben, hogyha a tanácsadó cég bevásárolja magát akár egy cikkre, egy adott online újságba, vagy akár papíralapú újságba, nagyon sok esetben mondjuk lektorálásra elküldik nekünk előtte. És minden további nélkül ezeket segítjük azért, hogy a dezinformációkat megakadályozzuk.

Illetve, hogyha tényleg ügyfeleikkel kapcsolatban felmerül kérdés, nem úgy, hogy a Bélának az a baja, hogy, hanem ilyen általános tapasztalatok vannak, akkor azokat tényleg inkább azt kérjük, hogy tömbösítve, de tömbösítve meg tudják velünk osztani, amire ugye mi is tudunk reagálni.

Én ezt meg tudom erősíteni, tehát tanácsadói oldalról is meg tudom erősíteni, hogy nagyon sokszor volt olyan kérdés, aminél még gondolkoztunk is közösen, merthogy jöttek már hozzánk úgy már most ebben az időszakban cégek, hogy értik, értik, hogy nekik ezt mondták, de hogy biztos. És amikor átnéztük és megvizsgáltuk, akkor kiderült, hogy nagyon nem. És azért itt lesz olyan cég, aki bajban lesz ezzel a Checkbox Compliance-szel. Tehát amikor úgy végigmentek, és megnézték, hogy hány darab teherszámot lehet kivenni, meg hány darab személyt lehet átjelenteni, és ezzel letudottnak tekintették, miközben a tevékenységük mondjuk a jövő hónapban meg fogja haladni azt a részt, ami meg ahhoz kell, hogy ismét be kell jelenteni, csak akkor már el lesznek késve.

A hivatal érzi-e azt, hogy egy picit beléptetek ebbe a Sentinelbe, tehát az őrszem funkcióba, hogy időnként, mint a távőrjárat, eljártok a házak előtt, és megnézitek, hogy úgy rendben van-e minden kérdőjel.

Hát ez egy ellenőrzési tevékenységnek számít, amit 25-től fogunk tudni elkezdeni terv alapján.

Tehát rendkívüli esetben például jelentősebb incidensnél egyébként bármikor odaállíthatunk, de alapvetően terv alapján fognak történni az ellenőrzések, amiről tudni fognak az érintettek. Nem az a cél, hogy igazából mi pánikot keltsünk azzal, hogy ott vagyunk, hanem tényleg úgy kell, és ezt szoktuk most már mondani, hogy a cégeknek az auditról is nem úgy kellene gondolkozni, hogy igen, akkor most kapok-e zöldpapírt, vagy nem. Tehát, hogy megbüntetnek-e vagy nem. Hanem az auditori jelentés az tulajdonképpen egy harmadik feles tök független értékelés lesz, ami a valós állapotot fogja felfedni arról, hogy a cég mégis mennyire érintett. Miért kell ez? Mert befelé a cégek és minden szervezet befelé hajlamos hazudni.

Tehát, hogyha megkérdezzük az IT-t, akkor minden a legnagyobb rendben van.

Ez így van. Ezt meg tudom erősíteni.

Én még csak olyan cégnél voltam, ahol az IT azt mondta, hogy rendben van. Egyébként nem, de rendben van.

Mit definiálunk rendben?

Igen, hát az őskáoszban lévő eligazodás az egy bizonyos értelemben már rend. Az, hogy nem felelnek meg eszközök azoknak a szabványoknak, ami ahhoz kell, hogy működhessen, az meg nem rend.

De hogy ebben lesz jó ez a.

Mert itt ez a működik, vagy nem működik nagyjából ez a döntő, igen.

Igen, igen.

Tehát, hogy abban még nem omlott össze. Ez a rendben vannak, az az alfaja, amiről te beszélsz szerintem, meg az, hogy mivel nem tudjuk, milyen kockázatok fenyegetnek, ezért nyugodtak vagyunk.

Mi történhet?

Pontosan. Na de álljunk meg egy pillanatra, nehogy túl sokat szakmázzunk már megint. Eljött a személyes szálnak az ideje itt félúton a mai adásban.

Tudod, hogy mi a személyes szál?

Igen, én hallgatom a podcastet.

Köszi.

Köszönjük.

Egyébként nem tudom, tudod-e, de az első vendégünket is pont Annának hívták, és Molnár Anna mentális egészség szakembere és egyben Joyful Mescourt. Na most innen jött az én gondolatom, hogy azt kérdezzem meg tőletek, hogy hogyan ügyeltek a mentális egészségetekre, vagyis hogyan előzitek meg azt, hogy kiégjetek, mivel töltitek fel magatokat, hogyan kezelitek a stresszt?

Hú, hát én ezzel most egy fél éve kezdtem el egyébként úgy tudatosabban és fókuszáltabban dolgozni. Azt tudni kell, hogy pontosan azért, mert nagyon sok rendezvényünk van, nagyon sok emberrel is találkozunk. Őszintén azért nekem vannak olyan pontok, amikor egyszerűen sok az emberekből. Tehát nekem most már ezt így a környezetem kezdi megszokni, hogy igen, vannak ilyenek, de simán előfordul, hogy két-három hetente egyszer én 48 órára eltűnök az online világból. Egy-két ember, hogyha HIV telefonon, ugye ez a vészhelyzeti dolog, akkor nekik felveszem, de amúgy teljesen lekapcsolom a digitális oldalt. És ez az, ami igazából olyan szinten vissza tudja tölteni az agyat, tehát persze akkor helyre kerülnek a gondolatok.

Nincsen új impulzus, amit megint fel kéne, hogy dolgozzon, amivel így tényleg azt merem mondani, hogy utána hétfőn kisimultan tudok újra kimenni, akár 100-150 ember elé előadást tartani, de ez kifejezetten feladat és munka, hogy ezt valaki szerintem úgy jól tudja menedzselni, és hát ez önfegyelmet is jelent.

Laci?

Őszintén szólva nekem néha naponta meg kell ezt tennem ahhoz, hogy ne legyen túl sok az emberekből. Aki ismer közelebbről, az tudja, hogy elég sok aktivitást művelek, szeretem a szakmámat, és több fronton is helyt kell állnom, nem beszélve nyilván a családról. És mivel látom, sajnos sokszor volt kisebb-nagyobb tapasztalatom ebben, hogy nem sikerült jól helytállni, vagy úgy, ahogy szerettem volna, ezért elindult a gondolkodásom, hogy ez mitől van, hát attól van, hogy túl vagyok terhelve, és akkor mit kell csinálni. Mert évekkel ezelőtt, emlékszem, még a szörfstúdiót vezettem be a K&H Banknál, amikor elkezdtem mondogatni a kollégáknak, hogy az innováció meg a digitalizáció sebessége elérte azt a szintet, hogy már nem valószínű, hogy két meg három hétre rendszeresen mondjuk minden évben el tudunk menni szabadságra úgy, hogy letesszük a lantot, és akkor teljesen feltöltődünk, és azzal az energiával további egy évig képesek vagyunk kezelni a környezetet és a feladatokat.

Mint ahogy az edukációs, meg ilyen belső képzéseknél szokták ezt mondani az angolok, hogy byte size learning. Tehát, hogy így le kell nagyon rövid impulzusokra, nagyon rövid tömör tartalmakra bontani egy nagy képzésnek az anyagát, hogy így legyen lehetőség befogadni. Hát én valami ilyesmit képzelek el ebbe a feltöltődésbe is, tehát néha bizony naponta van az, hogy kikapcsolom a telefont, elmegyek sétálni, vagy lefekszem az ágyra, semmit, ne érjen új impulzus. A másik, amit nagyon szeretek, az a természet. És így szép lassan megfigyeltem, hogy hogy hat rám a víz, a szél, ezek az őselemek. A föld rájöttem, hogy a legjobb a föld nekem, tehát megpróbálok minél többet, bocsánat, de földközelbe, földhözragadt módon időt találni magamnak, vagy úgy, hogy taposom a földet, mint mondjuk túrázom, vagy úgy, hogy befekszem a fűbe, ez pont tegnapi friss élmény, hogy otthon nem volt olyan hőség, hogy ne tudjak kifeküdni a fűbe.

Tehát, hogy próbálom ezeket a természetes feltöltődéseket igénybe venni, de ez mindenkinek szerintem más. Tehát, hogy tényleg az a kulcs, hogy ez munka, meg kell magadat figyelni, de ahhoz meg az is kell, hogy kipróbálj egy csomó ilyen lehetőséget.

Zoli?

Én jövök. Szerintem az nagyon fontos, hogy a kettő olyan dologról is megpróbálok röviden beszélni. Az egyik, hogy miért alakult meg a Mentápro Consulting, hogy lett a Sailing Hungar Brand, és hogy nekem ez a kettő, ez a kikapcsolódás. Az egyik, hogy nekem az általános iskolai osztálytársak közül volt egy srác, azért jól mondom, mert sajnos már csak volt, aki egy kiégési folyamat végén öngyilkos lett. Ez engem a mai napig mindig olyan negatív irányba viszi el a gondolkodásokat, hogy hogy juthat el egy fiatal srác abba, amikor neki mindene megvan, mindent tud, családrendben van, hogy a kiégés végén inkább kiszáll ebből és kicsekkol ebből az egészből. Nem igazán értettem. Elkezdtem ezzel foglalkozni, innen jött a humánerőforrás szervezetfejlesztés szak.

De hogy egyre több ember a környezetemben roppant össze ebben a stresszben, és én azt gondolom, hogy az, amit elmondtatok, és azért mosolyogtam, és maradtam végig csöndben, merthogy ez az, amiben én azt gondolom, hogy lehet csinálni valamit. Tehát, hogy a kicsekkolás, ha egy napra ki tudsz csekkolni a digitális világból, vissza fog annyit tölteni, hogy utána a következő hetet egész máshogy fogod nézni. És ebben szeretnék én most egy ilyen helyeslő igennel azt mondani, hogy mindenki nézze meg, hogy szél, víz, levegő, föld, és akkor ahhoz képest csekkoljon ki, hát az fura, a tűzoltóknak nem biztos, hogy pihentető.

Szabályozott körülmények között, hogy a mai adásban maradjunk.

Kevesen tudják rólad Anna, hogy az SZTFH előtt úgy hét évig dolgoztál egy kissé elfeledett nevű, ámde nagyon eklatáns cégnél, amit Novell néven nevez az informatikai történész.

Ezt nem én mondtam.

Magyarul nem voltál mindig hatóság, igaz?

Ez így van.

Hát mesélnél arról, hogy a Novellnél töltött évek, azok mit adtak a karrieredhez, és a váltást, azt hogy kell elképzeljük, az miért jött, és mit adott neked?

Hú, hát elsősorban én nagyon-nagyon hálás vagyok annak a cégnek, ugyanis én az egyetem után kaptam a lehetőséget, hogy közvetlenül náluk kezdtem dolgozni, akkor még rendszermérnökként. Tehát, hogy én tényleg leültem, programoztam szépen, megterveztük a rendszert, de tényleg a technikai oldalon maradva. És akkor így az évek folytán, nagyjából ilyen két-három évente jött egy-egy pont, amikor ilyen nagyobb váltás történt a cégen belül. Egyébként én még ott találkoztam Zolival 2018-ban, ha minden igaz.

Igen.

Úgyhogy mi dolgoztunk anno együtt. Tehát én tényleg így egyre inkább lépkedtem előre a ranglétrán a cégen belül. És volt egy pont olyan 2019-20 körül, amikor az egyéb, tehát alapvetően munkából fakadó tevékenységek miatt, azért itt eléggé erősen felmerülhetek biztonsági kérdések. Mi az, hogy kockázatelemzés? Mi az, hogy üzletmenet-folytonosság? Egy rendszert hogyan lehet biztonságosabban élesíteni, üzembe helyezni. És ez engem elkezdett egy kicsit érdekelni, úgyhogy gyors beiratkoztam egy egyetemre, mert én hiszek a normál iskolarendszerű oktatásban, és ahogy végeztem az egyetemmel, 2022 nyarán kaptam a megkeresést az SZTF-tól, hogy ez a Közszolgálati Egyetemnek van egy elektronikus információbiztonsági felelős, vezető szakirányú képzése, ami összesen egy év levelezőn elvégezhető, nagyjából 12 hétvége, és akkor tényleg utána egy egyetemi szintű papír, vagy legalábbis egy kiegészítő papír kerül az ember kezébe.

Hadd tegyem hozzá, az NKE-nek van talán az egyik legjobb kiberbiztonsági kutatóintézete.

Így van, így van, és ott már van mesterképzés is. Azt meg éppen most taposom, biztos, ami biztos.

Anna fog jönni, utánunk fog jönni ebben a Phd képzésben, ebben biztos vagyok. Tehát én, amióta ugye nem baj, hogy mondom.

Kicsit, kicsit igen, már jár az agyamban a kis gép, hogy lehet, hogy majd egy Phd is beköszönthet, de hát előbb legyünk túl az Msc-n.

Úgyhogy én tényleg egy nagyon visszautasíthatatlan megkeresést kaptam, tehát azért ez egy olyan feladat és egy olyan tevékenység, ugye akkor még az SZTFH-nak ez a része nem is volt kiépítve, nem volt jogszabályi felhatalmazás, tehát egy olyan, alapvetően inkább stratégiaalkotási, illetve utána annak az életbe történő átültetése volt a feladat, amit amikor én meghallottam, hogy rám is gondoltak, hogy esetleg részt vennék-e benne, tulajdonképpen tényleg visszautasíthatatlan volt az ajánlat, és nehéz szívvel, de otthagytam a Novellt.

A NIS2 által érintett ágazatok köre is tág. Látsz-e különbséget abban, ahogy az ágazatok viszonyulnak a követelményekhez, van-e specifikuma annak, hogy valaki élelmiszeriparban van, a másik cég az vízüggyel foglalkozik a harmadik meg telekommunikációs szolgáltató. Vannak-e, akik komolyabban veszik, mondjuk, mint mások, ezt máris megmentem, hogy megkérdeztem. Vannak-e, akiknek könnyebb megfelelniük, mondjuk olyan lehet, mert mondjuk az új szabályozás nem sokkal több, mint a rájuk vonatkozó esetleges ágazati előírások voltak. Mit lehet erről tudni? Ha mondjuk tanácsadó is ül az asztalnál, ő biztos azt kérdezné szívesen, hogy van-e olyan ágazat, ahol akkora a baj, hogy ott biztos megfizetnek.

Hát azért szerintem ezt így ágazatonként nagyon nehéz kimondani. Vannak olyanok, akik előnyből indulnak. Ők egyébként tipikusan az autógyártók, merthogy nekik a német autógyártói szövetség eddig ilyen tiszax minősítést ért elő, ami egyébként egészen információbiztonsági, az ISO 27001-en alapuló történet. Tehát ők biztosan előnyből indulnak. Az nem biztos, hogy egyébként kevesebb lesz a felkészülési idejük, mármint amit rá kell fordítani, de valamivel közelebb állnak ahhoz, hogy legalább már így hallották ezt a kifejezést. Ugyanide tartoznak azok, akik legalább létfontosságú rendszert üzemeltettek. Ez annyit jelent, hogy volt olyan tevékenységük, olyan kis részlegük, ami ténylegesen kritikus szolgáltatást nyújt az országban.

De nagyon sok olyan van, aki az életben nem hallott erről. Tehát ha csak egy ágazatot nézünk, ugye itt élelmiszeripar hangzott el. Az élelmiszeripar onnantól, hogy nagykereskedő és nagy bevásárlóközpont, akiket ismerünk, mert oda járunk bevásárolni, onnantól egészen az 52 fős méhészetig terjed. Ezért teljesen más a digitalizáció szintje. Ahogy mondtad is, hogy a kkv-k azért úgy erősen lemaradottak, egyébként EU-s átlagban is bőven lenne még hova zárkózni, de egyszerűen hiába ugyanazon ágazatban működnek, összehasonlíthatatlan, és ugyanide tartozik a baromfitenyésztő cég. Egyébként meglepő, de sok esetben halljuk azt, hogy volt egy ilyen sertéstenyésztő telep, akivel beszélgettünk, és mondta, hogy náluk digitalizáció az nincs.

Hát igen, csak az összes sertésben ott volt a chip. Merthogy van ilyen, én ezt megtanultam most már, sertésjóléti rendszer, amivel nézik, hogy éhes-e, szomjas-e, éppen milyen zsírszázalékú a hús zsíralány, és akkor mikor kell vágni, akkor szól a chip. Na, az is azért digitalizáció. Tehát hiába nem a hagyományos értelemben vett informatikát gondoljuk mögé, de azért ez is egy digitális megoldás.

Hát vagy mi vezérli a klímát a sertéstengeren?

Hát lehet, igen.

De például ez ugyanígy a hőmérsékletfigyelő, vagy ez az ominózus példa, amikor azt mondtam, azt hiszem, a holland gazdaságban volt ez, hogy a wifi jelszó 1-2-3 volt, feltörték a felügyeleti rendszert, becsukták a lélegeztetőt, és akkor az összes állat megdöglött. Tehát én azt gondolom, hogy akkor, amikor valamit triviálisnak veszünk, tehát volt olyan sérülékenységi vizsgálat, ahol valóban magát az eszközt elfelejtették, mert annyira triviális hőmérő. És ugye most szeretném ezt valahogy úgy elmondani, hogy a besorolások, amikor egyes, kettes, hármasról beszélünk, akkor ez egy nagyon fontos dolog, mert hogyha így tudod, hogy hármas, akkor abban nem mindegy, hogy milyen eszközt veszel meg. De amikor abban a besorolásban megjelenik egy egyébként alzás hőmérő, ami domain kontrollerbe, tehát a legmagasabb vezérlésbe van beléptetve admin-admin felhasználónévvel és jelszóval, akkor arra a rendszergazda sem szokott gondolni, hogy azon keresztül fognak bejönni, ha be akarnak jönni abba a rendszerbe.

Tehát ez az ajtó kérdés. És hogy én megint visszatérnék erre, hogy nem nagyon érezzük mi ennek a súlyát, hogy hát de csak egy eszköz.

Igen, mert még megint csak az ajtós példánál maradva.

Meg a 900 kontroll kontroll kontroll.

Igen.

Miért kell ezt leírni?

A németeknél miért nem kell leírni? Hát mert lehet, hogy tudatosabbak.

Régóta van.

Kicsit más a szocializáció, és más a vállalati kultúra az, ami akár nyugati tagállamoknál fellelhető. Tehát erre egyértelműen reagálnia kell a jogalkotóknak is. De akkor megint ugye az ajtós példánál maradva azt megtanították gyerekkorunkban, hogyha bekopog valaki, akkor így kikémlelünk a kis kémlelőn, megnézzük, hogy ki az, és akkor nyitjuk ki az ajtót.

És még akkor is van egy biztonsági retesz.

Így van.

Jó esetben.

De ma mi történik? Tulajdonképpen hú, de jó, mert ugye kényelmesek vagyunk, ezért mit csinálunk? Fogjuk, bevisszük a robotporszívót, amin bocsánat, ott van a kamera, mikrofon, stb. Tudjuk, hogy ez mikor van bekapcsolva? És egyébként hova továbbít az adatokat? Tehát, hogy megint csak a fizikai térben történik valami, amit tudunk kontrollálni, de a digitális eszközöknél ez fel sem merül. És akkor most lelövöm az új dolgot, amin dolgoztunk, és reméljük, hogy rövidesen meg tud majd jelenni a rendszer.

Innováció.

Igen, igen, mert hogy pont ezt mi is felismertük, hogy kellene valami olyan dolog, amivel a cégeket úgy tudjuk segíteni, hogy ha már kénytelen-kelletlen, be kell, hogy vigye a páratartalom meg hőmérsékletfigyelő IOT eszközt a kis rendszerébe, akkor hogyan tudnánk nekik abban segíteni, hogy tudják azt, hogy az általuk vásárolt termék az mégis milyen biztonságot tud. És erre most már júniusban lejárt az európai uniós jóváhagyásunk is, úgyhogy mindenki jóváhagyott mindent, hogy kiadásra fog kerülni az IOT eszközökre vonatkozóan nemzeti kiberbiztonsági tanúsítási rendszer.

De jó!

Ez azt jelenti, hogy bármilyen gyártó nem kell, hogy magyar legyen, bejelentkezhet, és az IOT eszköze vonatkozásában ugyanabban a három alap jelentős és magas megbízhatósági szinten szerezhet tanúsítvány, pecsétet. Tehát ez azt is jelenti, hogy el fog jönni az az idillikus állapot, sok-sok év múlva, reményeink szerint, hogy mindenki, hogyha bemegy és szeretne egy pendrive-ot, szeretne egy routert vásárolni, akkor mindegyik terméken ott lesz egy matrica, hogy mégis mit tud az az eszköz. Ami tényleg garanciát jelent arra, hogy mondjuk igen, a kamerafelvételt nem továbbítja szükségtelen mértékig harmadik országba.

Akkor ezt úgy kell elképzelni, mint egyfajta fogyasztóbarát lakáshitelt a lakossági piacon, tehát ez nem egy előírás, hanem ez egy fogyasztóvédelmi lehetőség, és akkor így egyfajta versenyhelyzetet teremt a gyártók részéről, hogy próbálják meg a minél magasabb szintű biztonsági tanúsítványt megszerezni azért, mert akkor nagyobb eséllyel fogják őket választani. Ellenben, hogyha mondjuk ilyenük nincs, de a boltban van nem tudom hány olyan, aminek meg van jó, adott esetben magas szintű tanúsítványa, akkor hát kicsi az esély. Ez ugye akkor működik, hogyha ezt a fogyasztó, jelen esetben a vásárló cégek tudják. Az a kérdés, hogy arra gondoltok-e, vagy mi a terv, hogy hogyan kommunikálják majd ezt a tanúsítványt a cégek, vagy bármilyen weboldal, ahol ezeket megvásárolják, az köteles-e ezt föltüntetni, mi lesz ennek a nyilvánossága?

Alapvetően az eszközön, vagy annak csomagolásán, attól függ, hogy milyen típusú az eszköz, de azon kötelező a matricát feltüntetni.

Ha megszerezte. Így van, így van. Tehát innentől kezdve ugyanúgy, mint amikor mosógépet vásárolunk, akkor a.

A+.

Így van, így van, ott vannak ilyen energetikai besorolások, meg fel van tüntetve, hogy hány decibelen centrifugál, ugyanúgy ott lesz tulajdonképpen egy kiberbiztonsági tanúsítványt jelentő címke, amin keresztül lekérdezhetőek egyébként, hogy az az adott eszköz, az pontosan mit is tud, és milyen követelményeknek felelt meg, és mi alapján került ez kiállításra.

Tudtok olyan helyről a világban, ahol még ez van?

Igen, merthogy ez egy európai uniós rendeleti szabályozásból fakad. Tehát az EU alapvetően '19-ben felhatalmazta saját magát arra, hogy ő EU-s szinten csináljon ilyen sémákat. Ennek az első eredménye az most februárban jelent meg, ez az EUCC, a Common Creuteriának az EU-sított, jogszabályosított verziója, ami ugye szoftvertermékekre lesz használható. Magyarország gondolt egyet, és az említett 23 évi 23-as törvényben megkaptuk a felhatalmazást arra, hogy nemzetit alkossunk. Ez annyiban más, hogy alapvetően nem kötelező elfogadni a többi tagállamban. De természetesen lehetnek erre megállapodások a tagállamok között. Viszont hogyha mondjuk valaki ilyen EU-sat fog kapni a szoftverére, akkor az kapásból elfogadott a teljes EU-ba, ami azt gondolom, hogy azért lehet majd piaci előny a gyártó cégeknek.

És ezt megint csak a piacra bízzuk, nekem megvan a kis gondolatkísérletem, hogy hogyan fogunk eljutni odáig, hogy egyébként az elektronikai áruházakban tényleg csak tanúsított termékeket lehessen egyáltalán vásárolni, de azért ez egy utópisztikus.

Utópisztikus?

Igen, még egyelőre úgy gondolom, hogy utópisztikus, de olyan 10-15 év múlva már lehet, hogy meg is fog tudni valamilyen szinten valósulni.

Akkor ebben is, ha jól értem, elsők vagyunk az Unióban, mert ugyan szoftvertermékekre már van hasonló, de IOT eszközökre viszont nincs. IOT-ra kifejezetten nincs, Németországban home gateway-ekre van, routerekre, de ugye ott is önkéntes alapú a tanúsítás, tehát mi is azért persze körbenéztünk, hogy ki mit csinál.

Vannak egyéb tagállamok, akik ezt elkezdték saját maguk, de például tényleg ők is leginkább kimutatnak EC, meg IZU szabványokra, tehát olyan még nem igazán történt, és ebben viszont tényleg elsők vagyunk, hogy saját műszaki követelményrendszert írtunk IOT eszközökre.

A piac nevében mondjuk azt hiszem, hogy köszönjük, mert ezek a tanúsítványok általában sokat segítenek azon döntéshozóknak, akik nem akarják végigböngészni.

Igen, ez a kis specifikáció összes részét.

Sőt, merthogy nem véletlenül egy összekötés, illetve kettő helyen van összekötés a Nis2 érintett felügyelt szervezetek és a tanúsítás között. Merthogy azt mondja a törvény alapértelmezetten, hogyha valaki tanúsított terméket használ, vagy tanúsított szolgáltatást vesz igénybe, arra vonatkozóan a megfelelés kapásból biztosított, nem kell a 900 kontrollt végignézni. Tehát tulajdonképpen egy ilyen megfeleltetést és egyenértékűsítést belevittünk, amivel arra számítunk, hogy egyre inkább érdekük lesz a cégeknek az, hogyha elérhető a piacon tanúsított termék, akkor inkább azt kezdik el.

Tanúsított terméket veszi.

Így van.

Ez jó, az tetszik, hogy az időben, vagy a folyamatban, ha már ezt a szót ma még nem mondtam.

Ma még nem mondtad.

Folyamatban előrébb hozzuk ennek a megfelelésnek vagy biztonsági, kockázatkezelési intézkedésnek a gyakorlatát. Hadd vegyek elő viszont még egy kényes kérdést így a vége felé, ha már így egymással vagyunk hangolódva. Szóval az érintett, a Nis2-ben érintett cégeknél dolgozik ügyvezető, dolgozik IT vezető, dolgozik, mindenféle vezető, és persze kisebb-nagyobb szenioritású munkatársak. Mennyire egyértelmű szerintetek, hogy kinek mi a dolga itt a megfelelés kapcsán? Láttok-e különbséget a hozzáállásban a különböző szereplők között? Ne adj isten, van-e valami fejlődési pont, amit láttok egy szereplőnél.

Én kezdjem?

Mondd, kíváncsi vagyok.

Én azt látom, hogy az ügyvezetők ráreagáltak erre, merthogy érezték, hogy van egy ilyen büntetési kényszer. Az IT vezetők között volt olyan, aki nagyon pozitívan állt hozzá, és eljött. Nagyon sok olyan konferencián voltunk közös konferenciákon, láttunk közös arcokat és érdeklődéssel hallgattak minket. A HRP webináriumon majdnem 170-en voltak bejelentkezve, és ott azt azért szeretném így elmondani ebben a körben, mert én Annától engedélyt kértem arra, hogy felhasználhassam az ő diáit. Tehát voltaképpen mi azt a diasort használtuk jellemzően, amit Annától kaptam.

Egy újabb példa arra.

Egy újabb példa az együttműködésre.

Figyel a hatósággal támogat.

És ott is, még mielőtt a webinárhoz jutottunk, mi beszélgettünk, hogy mi volt az a tapasztalat, amit azon az oldalon szereztek, és mi feltétlenül mondjuk el, mint webináron, mint tanácsadók, és szerintem ez egy nagyon jó együttműködési példa, hogy hogy lehet ezt jól kezelni, de ugyanakkor azt is látom, hogy vannak szervezeti egységek, akik nem hajlandók tudomásul venni, hogy fizikailag és a virtuális tér az nemcsak egy beszélgetésnek a témaköre, hanem érinti az ő szervezeti egységüket. Tehát aki nem veszi tudomásul, és nem veszi észre azt a szervezeti egységbeli anomáliát, hogy egy szabályozásban a szabályzatnak tartalmi eleme egy munkaköri leírás, és ez hiányzik, akkor nagyon nagyot fog csalódni.

És bár komolytalanul vette, de a büntetési tételek nagy százalékát pont ezek miatt a szervezeti egységek miatt kell, hogy kiszabják, több hatóság vizsgálatából mondom most ezt a kvázi summát, és hogy még egy gyors gondolat a lezárásra, hogy többnyire komolyabban veszi a cégnek az ügyvezetése és a tulajdonosai, és az IT, mint maga a szervezet. Én ezt tapasztalom.

Hú, ez érdekes.

Tehát, hogy az IT és az ügyvezetés komolyabban veszi.

Igen.

Ez egy nagyon jó tapasztalat, mert mifelénk azért inkább, én úgy szoktam mondani, vagy úgy mondtam még egy pár hete, hogy vannak még azok a cégek, akik a gyásznak a tagadási fázisában vannak.

Mihozzánk inkább azok értek el, akikhez el akarunk bújni, de egyébként tényleg inkább kivesszük az összes tevékenységet, és bezárjuk a boltot, csak ne kelljen semmit se csinálni.

De ez tök jó, hogyha ti úgy látjátok tanácsadói oldalon, hogy azért van foganatja?

Legfőképpen azért van foganatja, merthogy a vezérek rájöttek arra, hogy van egy AI nevezetű fekete dobozunk. Ezt valahova be kell illeszteni, és nem tudjuk, hogy mit kell vele kezelni, de most legalább megnézhetjük azt, hogy mire használható a rendszerünk.

Ez is egy újabb indoka annak, amit a fél órával ezelőtti válaszomban próbáltam a teóriám kapcsán mondani, hogy ahogy egyre több ilyen digitalizációs dologgal találkozunk, úgy lesz egyre nagyobb a félelemérzet, vagy a bizonytalanságérzet legalábbis, a kockázatfelismerés. Ha fekete doboz, az már önmagában aggodalomra adhat okot, akkor nézzük meg közelebbről, mennyire fekete, van-e luk, rés, be lehet-e világítani. Na jó, nem is ragozom, de hogy visszatérve. Azért jó, hogy hárman ülünk egy-egy ilyen adásban, vagy akár négyen, mert hogy mindenki az elefánt más részével foglalkozik. Nekem van egy olyan érzésem, hogy mély tanácsadói oldalon, illetve ebben az esetben én nem merném, hogy a kiberbiztonsági tanácsadó Zoliék már azokkal a cégekkel kerülnek ilyen szintű kapcsolatba, ahol látnak szervezeti belső különbségeket, akik ráléptek a megfelelés rögös útjára és elindították a dolgokat, míg Annáék nem feltétlenül ugyanezzel a körrel beszélgettek.

Igen, itt lehet a különbség, hogyha már van egy vezetői elköteleződés, akkor arra már lehet folyamatokat építeni. Lehet gepanonízist kérni vagy megrendelni, de hogyha ez nincs, akkor sajnos nehezített a terep.

Pont onnan tudjuk, hogy aki megrendeli a gepanalízist, ő konkrétan tudom, hogy ő szeretné megtudni, hogy milyen állapotban van a saját cégének a digitális része. Aki nem rendeli meg, és azt mondja, hogy a kedvenc kifogásom az nagyjából az volt, hogy az ügyvezető fia jár egyetemre, és ő foglalkozik informatikával. Én értem. Nem is ránk van szüksége, mert a gepanalízisnél az egy teteme, olyan munkaórát igénylő és nagyon-nagyon fontos feladat, amiből én valóban egy tükörképet látok, és ha nem akarok tükörbe nézni, persze ne tegyem meg. Tehát, hogy ez nyilván az ügyfelekre van bízva, akikkel pedig találkoztatok, ők azok, akik megkérdezték, hogy jó, jó, de hogy tartsuk a tükröt?

Igen, igen, nagyjából, vagy homorú, vagy domború tükör legyen.

Igen, nekem egy hozzátennivalóm lenne még ehhez a szerepkör kérdéshez. Én a jogászokat venném még egy picit górcső alá, és szeretném felhívni az ügyvezetők és a jogászaik közös figyelmét valamire. Az a jogászi magatartás a belső vagy dedikáltan cégjoggal megbízott tanácsadókra vonatkozik, amit mondok. Az a hozzáállás, hogy hát engem azért fizet a cég, hogy én tudjam, hogy hogy működik az összes megfelelés, és én meg fogom mondani, hogy mit kell, és mit nem kell csinálni. És én értelmeznem kell és muszáj önállóan, mert különben ki fognak rúgni, vagy nem tudom, elvész az ázsióm, vagy ne adj isten, kiderül, hogy nem értek hozzá, zárójel bezárva, hogy nekem kell mindent tudni. Ez nem segít, hanem ellenben hátráltat, és csak növeli a kockázatokat, mert ebből rengeteg félreértelmezés fakad, főleg úgy, hogy ez egy olyan területnek a szabályozása, meg megfelelése, ami viszonylag távol áll a jogi egyetemek curriculumától és a szerződések gyakorlatától.

Tehát én azt gondolom, hogy a jogásznak bárhol is van bármilyen iparágban, vagy kívül vagy belül, az konkrétan a NIS2 kapcsán egy mediátori szerepe van, és nem egy értelmező és előíró szerepet.

Bocsánat, én teljes mértékben egyet tudok érteni. Ugye a törvény előírása alapján nem véletlenül került bele, egy elektronikus információs rendszerek biztonságáért felelős személyt kell kijelölni. Ez a személy nagyon sokszor megkérdezik, hogy milyen képzettsége legyen. Előírás nincs, de nem biztos, hogy a jognál van a legjobb helye. Tehát, hogyha valaki elkezdi az említett 7/2024-es MK rendeletet olvasni, azért abból az kitűnik, hogy az alapvetően egy szakmai feladat. Nem lesz mindenkinek információbiztonsági szakembere, ezzel is tisztában vagyunk, viszont ahogy látjuk, elérhetőek lesznek a piacon olyan, akár ingyenes kurzusok, amin eléggé jól, akár az informatikust, akit kineveztünk, de tovább lehet képeztetni.

Úgyhogy mi afelé próbáljuk orientálni a cégeket, hogy inkább valamilyen műszakisabb beállítottsággal rendelkező ember. Ez nem azt jelenti, hogy a rendszergazda legyen. De valaki olyan, aki hogyha elolvassa azt, hogy mi az, hogy a portokat zárni kell, és meg kell határozni a támogatott protokollokat, akkor mondjuk maga ez a mondat, ez már így neki mond valamit, hogy milyen irányba kell legalább elindulni. És ami nagyon fontos, hogy tényleg a rendelet szellemisége folyamatról beszél. Tehát azzal, hogy kinevezzük ezt a, igen, hogy kinevezzük ezt az emberkét, aki úgymond a felelős megnevezést kapja, az nem azt jelenti, hogy minden felelősség az övé. Ő tulajdonképpen koordinálni kell, hogy tudja felhatalmazás alapján a folyamatokat.

Ő lesz az, aki igenis az A üzleti területtel, meg a B üzleti területtel is le fog ülni, hogy na, akkor kinek kell jobban az a rendszer? Ki milyen adatvagyonért is felel?

Most itt ezt a tanácsadói oldalról is szeretném elmondani. Tehát általában az üzlet nem érti az IT-t, az IT nem érti az üzletet, miközben az üzlet rábízza az IT-re, hogy vezessen be valamit. Nincs tolmácsrobot nélkül jó üzleti projekt 1-2. Az IT biztonsági felelősnek a feladata, merthogy adunk ilyen szolgáltatást. Tehát az IT biztonsági felelősnek legtöbbször mostanában az volt a feladata, mint egy CPU, hogy fordítsa le, hogy mi van, mi ez a port. Tudjuk, hogy mi az a port? Nem. De figyelj már, te hármas biztonsági osztályban vagy, és egyébként az, amit letöltöttél a felhőből, mert ki akartad próbálni, A nem letölthető, B Kínába küld adatokat, egyébként meg kinyitott kettő olyan portot, ahonnan a teljes adatbázist elérik.

Ezért támogatom, hogy műszaki ember is üljön, de a műszaki embernél én azt látom, hogy a belső ellenőrök.

Azt mondtam, hogy műszaki beállítottságú.

Igen, és akkor ezért jó, hogy így fogalmaztad meg, mert nagyon sokan így hallják meg, hogy műszaki ember. Értitek? A belső ellenőrök voltak a legutolsó egy évben azok a kollégák, akik elképesztő módon tudták támogatni és érteni, hogy milyen szabályokhoz, milyen típusú anomáliák jöttek be. Tehát az IBF szerepet ők látták el. A másik, hogy amit szeretnék én tanácsadói oldalról mondani. A saját hazájában senki nem próféta. Jellemzően azt látjuk, hogyha belső szervezetből ültetsz be valamilyen ilyen típusú kontroll embert, akkor ő biztos, hogy el lesz nyomva. Nem fogja tudni érvényesíteni azt a jellemzően 98 százalékban, tehát van az a két százalék, aki kellőképpen karakán, de hogyha belső embert ültetünk arra a helyre, akkor nagy százalékban ez úgy alakul, hogy nem lesz figyelembe véve az ő véleménye, még hogyha oda is szeretne figyelni arra a működésre, ahol esetleg beavatkozás szükséges.

Mi így látjuk, tehát én azt szeretném így hozzátenni, hogy az elmúlt időszakban, és ez eléggé nagy merítés. Tehát ugye mi nemcsak nincs kettővel, hanem Dorával is foglalkozunk pénzügyi területen, illetve, hogy magával ezekkel a felkészítésekkel is volt tapasztalatunk. Jellemzően a legtöbb probléma az volt, hogy az IT az ragaszkodott a saját gondolatához, amik már elavultak. Nem az volt a probléma, hogy elavult, hanem az, hogy maga az IT nem kapta meg azt a képzést, amitől tudta, hogy van jobb, és ez egy fontos mondat. A másik, hogy a szervezeten belül az IT nem jó helyen volt pozícionálva, le volt nyomva olyan szervezeti egység alá, akiktől soha az életben nem kapta meg a vezetőség azt az információt, hogy milyen problémákkal küzdenek, miközben elkezdődött az IT-n a kiégés és a népvándorlás, merthogy elmentek máshova, ezért meg nem értette az üzlet, hogy de hát miért lassulunk.

És a harmadik pedig, hogy önmagában a szabályozáshoz tartozó kollégák, mint belső ellenőrök nagyon sokszor fedeznek föl olyan anomáliát, ami egyébként az IT-nak tudna segíteni, ha a belső ellenőrt megkapná azt a típusú képzést, ami az IBF-hez szükséges. Ezt nem tudom, hogy hogy látjátok, így vissza is adom.

Én alapvetően nem ott különíteném el, hogy belsős vagy külsős. Én a külsősökben is látok nagyon nagy kockázatot. Tehát, hogyha megbízunk egy külsőst, aki nem él a szervezettel, és nem a megfelelő óraszámban látja el ezt a feladatkört, akkor tulajdonképpen megtéveszthető. És nagyon sok esetben inkább azt látjuk, hogy a külsősök heti egy-két órában ellátják ezt a pozíciót, de igazából 300 kilométerről online megkérdezik, hogy minden rendben, minden. Ez nem biztos, hogy a jó irány. És itt tényleg nem abból fakad, hogy külsős vagy belsős, hanem abból, hogy ha már megbízunk valakit egy ilyen pozícióval, akkor neki egy valamit nem szabad elfelejteni, felhatalmazást és hatáskört adni. Mert hogyha ő nem mondhatja azt az IT-nak, hogy márpedig kedves IT, én ezt tökre értem, hogy van ez a szuperrendszer, amit a Béla csinált nektek, de egyébként volt egy sérülékenységvizsgálatot rá kéne engedni, mielőtt az élesbe helyezhető, akkor igazából teljesen mindegy, hogy belsősről vagy külsősről beszélünk.

És ami még talán nagyon fontos, a vezetőknek a szerepe, az ügyvezetőknek a szerepe. Róluk a NIS2 is külön megemlékezik, mint ahogy a magyar törvényi szabályozás is. A vezetőnek igenis van felelőssége abban, hogy mi tud történni a szervezetnél. Mert hiába van ott a kijelölt biztonsági felelős, aki egyébként egy tök jó szakmai javaslattal érkezik. Ugye kinél lesz a kasszának a kulcsa, természetesen a vezetőségnél. Tehát a vezetőségnek az lesz a feladata, hogy egyébként az összeállított kockázatelemzés alapján meghozza azt a döntést, hogy egyébként az adott kockázatot hogyan kívánja kezelni. Tehát elkezdünk kockázatot csökkenteni, meg tudjuk szüntetni, vagy éppen ilyen-olyan átadással lehet még esetleg élni.

Tehát megvannak ennek a módszerei, hogy mi történhet. És ami nagyon fontos, a rendeletben nem biztos, hogy annyira feltűnt valakinek, de hogyha rákeresünk, akkor van egy-kettő olyan rész, ahol úgy fogalmaz a rendelet, hogy a szervezet vezetője át nem adható felelősségi körében. Tehát vannak olyan feladatok, amiket a vezető nem adhat át. Minden esetben az ő aláírása kell hozzá.

És ez szerintem egy nagyon fontos dolog, hogy attól, hogy kijelöltük az IBF-et, ne úgy gondoljuk, hogy majd őszinte leszünk.

Mindenfele őszinte leszünk, igen.

Nem, nem ő lesz a felelős, tehát a működtetésért a vezető, a felelős.

Hát ugye a Sailing Hungaryban nem véletlenül képezzük ezeket a típusú vezetőket. Tehát, hogy amikor én azt mondom, hogy informatika, meg gazdasági informatika, meg gazdasági informatika és vezetőképzés, akkor ebben a törvényben az át nem adható felelősségi körökhöz tartozó döntésekre próbálok meg különböző olyan módszereket adni, ami ahhoz kell, hogy értsék végre az üzlet értse az IT-t, az IT értse az üzletet, és az át nem adható felelősségekben merjenek és tudjanak döntést hozni felelősen.

Ahogy egyébként egy viszonylag régebbi adásban Zoli említette azt a bizonyos ügyvezetőt, aki ilyen szituációban, amikor a kockázatot sikerült megértenie, azt találta mondani, hogy Zoltán, akkor legyen szíves vegyen egy kabátot, és nézzünk egy szervertermet.

Mi is egyébként nagyon sok történetet hallunk, tehát hál' Istennek úgy nyíltan és őszintén mernek nekünk beszélni, és akkor én is elmesélek egyet, és akkor üzletmenet-folytonosság, ugye megint az egyik központi szabályozási kérdés. Következő történetet hallottuk az egyik vidéki előadásunk során, vagy után egy IT vezető jött oda, és mondta, hogy hát egyébként egy gyártó cég, tehát valamilyen fém cuccokat gyártanak. És hát, hogy így tényleg náluk azért a vezetőség eddig is nagyon figyelt erre, mert hát ugye miből van a pénz, az előállított termékből. Úgyhogy egyébként kaptak is, tehát egy laza, ilyen 600 milliárdos cég, tehát nem kisebb, nem kisebb, ilyen kis minicég, és kapott is egyébként megfelelő mennyiségű összeget.

Ugye az volt az ukáz, hogy márpedig a gyártósornak minden esetben működnie kell. Tehát ez a célérték. Na igen ám, tök jól megcsinálták, szeparált hálózattal, satöbbivel, tényleg megfelelő védelemmel ellátták, de az irodai hálózatuk benyelt egy zsarolóvírust. Ami mit jelent? Hát ugye az alapgondolkodás, a gyártósor működik. Hát nincsen itt semmiféle baj. Na igen ám, csak nem tudták, hogy kinek kell szállítaniuk. Tehát oké, oké, hogy működik a gyártósor, készülnek a termékek, de azokat raktározni kellene, logisztikát el kéne rájuk indítani, és mondták, hogy teljes abszurditás volt, amikor tényleg azzal szembesültek, hogy ott ültek az üzleti oldalon, és nézték a telefonokat, hogy valaki legalább szidja már le őket, hogy nem szállítottak, mert akkor tudják, hogy neki kellett volna.

És azért, hogyha ebbe belegondolunk, ez azért bőven elmehet egy olyan szintre is, mert ugye az üzleti rendszerre, hogyha nincsen megfelelő mentés, stb. Előállhat az a szituáció, hogy akár egy hétig sem elérhető, mert régi mentésből, inkrementálisból kell még visszaállni.

Ami már egyébként lehet, hogy fertőzött.

Na igen, és ráadásul eljuthatnak ahhoz a ponthoz is, hogy nekik kell leállítaniuk piros gombbal a gyártósort, mert egyszerűen nem tudnak mit csinálni a termékekkel. És nekem ez a történet volt az, amit tényleg azóta is elmondunk mindig, mert ebből lehet azt érezni, hogy mi az, hogy üzletmenet folytonosság. És ebből lehet azt talán levonni tanulságképp, hogy általában megkapjuk a kérdést, hogy de hát hogyha én gyártó cég vagyok, akkor ugye nem kell az összes rendszeremre, csak a gyártásban résztvevő rendszereimre biztonságot csinálni.

Na, pont emiatt a történet miatt kell mindenre is gondolni, mert nincsen szerintem olyan, hogy szeparált rendszer.

Ugye ebben az én példámban szokott még lenni ez a fűnyíró aggregátor példa. Ugyanígy megvan a mentési példa is. Tehát, hogy az üzletmenet-folytonosság az nem egy hobbi, hanem az a kérdés, hogy mennyi idő alatt fogom tudni a gyárat úgy visszaállítani működőképes pályára, hogy ismét termeljen. És ez a nem mindegy. Mennyi idő alatt fogok tudni úgy működni, hogy ne menjen el az a mennyiségű vevő a konkurenciához, aki ebből a leállásból pont azokat az SLA sértéseket fogja elszenvedni, amit a beszállítói értékláncon elszenved. Zárójel. Inkább felkiáltójel.

Hát mondom.

Ugye mi a folyamatszervezésben ezt hívjuk Entuent folyamatnak, hogy az tök jó, hogyha egy zoomolt megoldást megállapítunk és bevezetünk, de az a kockázatoknak viszonylag kis részét csökkenti. A legtöbb kockázat egyébként két folyamatlépés között van ez az alapvetés a szakmában. Sajnos azt kell, hogy mondjam, hogy lejárt az időnk, úgyhogy el kell, hogy vágjuk a beszélgetés fonalát mára. Nagyon szépen köszönjük Anna, hogy eljöttél hozzánk, és megosztottad az infóidat az elhangzott témákban. És nagyon sok sikert kívánunk neked is és a hatósági munka elindításához is.

Én köszönöm szépen a meghívást.

Köszi, hogy itt voltál.