Kiberbiztonság: Piac vs. Megfelelés

Üdvözlök mindenkit! Ez itt a DIG-IT Podcast.

Személyi László vagyok, a Future-NOW vezető partnere, és társam a krimiben, Szekér Zoltán, az OD&IT Solutions és a Sailing Hangar alapító ügyvezetője. Sziasztok, jó napot kívánok! A Digit Podcast célja, hogy akit nem elégítenek ki a felszínes cikkek és a hangzatos jelszavak, az közelebb kerülhessen a digitalizáció és az informatika mai meghatározó trendjeihez.

Mi itt a mélyére fogunk ásni a dolgoknak. A Szeretnénk visszatérni egy pár alkalommal korábbi beszélgetésünkhöz Dékány Donáttal.

Akkor beszéltünk először a Digitaltech EDIH eddigi tevékenységéről, ahová térítésmentes képzésekért, tanácsadásért lehet fordulni a digitalizáció számos területén az üzletfejlesztéstől a blokkláncon és fintech megoldásokon át a kiberbiztonságig. A mai adásban pontosan erről lesz szó. Mit kínál a Digitaltech EDIH eddig a kiberbiztonság terén, és hogy látják ők ezt a témát, amire itt a Digit Podcastban ettől függetlenül mi különös érzékenységgel tekintünk az alapításunktól fogva. Vendégünk a stúdióban a Digital-EDIH kiberbiztonsági szakértője, Dr. Biczók Gergely, aki egyúttal a BME Krízis LAB kutató docense. Köszöntünk a stúdióban.

Sziasztok, én is köszöntöm a nézőket. Köszi, hogy eljöttél.

Gergely, mielőtt a témára térnénk, kérlek, mondd el a bemutatásod kapcsán a hallgatóknak, hogy mi az a Crisis Lab, és miért nem Crisis Lab-nek ejtjük, ahogy én először próbálkoztam tévesen, és hogy kapcsolódik a digitális technikák munkájához?

Rendben, szóval a Crisis Lab egy egyetemi kutató, oktató laboratórium, ugye a Műszaki Egyetemnek a Villamosmérnöki és Informatikai Karán, azon belül pedig a hálózati rendszerek és szolgáltatások vagy nemes egyszerűséggel hittanszéken működik. Nem is tudom, nagyjából tizenketten vagyunk éppen, doktoranduszokkal együtt, és amiért, mondjuk, mi felelünk az egyetemen, az a teljes kiberbiztonsági oktatási portfólió, és nyilván ezzel kapcsolatban végzünk kutatásokat is, benne vagyunk európai és nemzeti projektekben, és elég sok műszaki területen elhelyezkedő kiberbiztonsági szakember az valószínűleg a laborban végzett itt Magyarországon. A labort dr. Buttyán Levente vezeti, őt szokták ismerni eléggé az országban, meg nemzetközileg is, és talán annyi specialitásunk van, hogy elég sok embernek van külföldi tapasztalata a laborban, ami Magyarországon annyira nem általános az egyetemi berkeken belül, és ezért egy kicsit ilyen globálisabb rálátással próbálunk dolgozni mind oktatás, mind kutatás terén.

És hogy kapcsolódtok a Digitaltech Edithez? Igen, tehát a Digitaltech Editnek az egyik lába, ha lehet ezt így mondani, az a kiberbiztonság, és hát azt hiszem, hogy már a projekt előkészítési fázisában mi kaptuk azt a szerepet, hogy a kiberbiztonsággal kapcsolatos ötleteket, feladatokat megfogalmazzuk, és nagyon sok kurzust a mi munkatársaink tartanak, ettől részt veszünk a tanácsadási lehetőségben is.

Milyen típusú kurzusokat tartotok? Tehát amikor azt mondjuk, hogy kiberbiztonság, most a csapból is az folyik, hogy nincs kettő meg dara. Ugye? Tehát, hogy.

És mindegyiknek van egy közös keresztmetszete, ugye a kiberbiztonság, tehát kockázatelemzés. De hogy általában azt veszem észre, hogy ahova megyek, mindenhol most egy picit úgy tekintenek erre, mint a GDPR annak idején, hogy ó, hát majd úgysem lesz ebből semmi, meg hogy nem kell ezzel ennyire komolyan foglalkozni, miközben a felügyelet, akivel megbeszélünk, hát egyrészt van egy határidő, aminek a határidejét mindenféleképpen javaslom, hogy ezt vegyük komolyan. Tehát akihez tartozik, az legyen szíves lejelenteni saját magát, mint cég, de hogy ezek a határidők és ennek az oktatása vagy a felkészítéséről hogy tudnál egy picit ilyen átfogóbban beszélni, hogy mit jelent az, hogy oktatás meg kiberbiztonság.

Ugye ezek a szabályozások nem az a kérdés, hogy jók vagy rosszak, hanem egyértelműen szükségesek. Tehát ez egy olyan minimum, az ezeknek való megfelelés egy olyan minimumot tud nyújtani, ami mindenképpen a hosszú távú biztonságosság, a cégek biztonságos működése, az emberek adatainak biztonságos tárolása és feldolgozása miatt ez szükséges, és olyan gazdasági ösztönzőket hoznak létre szépen mondva, ami valójában a büntetés eszközével jön létre. Gazdasági ösztönzői. Igen, igen, tehát ez a répa és bot, vagy nem tudom, hogy mondják ezt magyarul, kerotenstic módszernek a bot része, hogyha nem felelünk meg, a cégek nem felelnek meg ezeknek az elvárásoknak vagy követelményeknek, akkor ugye büntetést kell fizetniük.

És ez nagyon fontos, mert a kiberbiztonságban

ahogy egyébként az adatvédelemben korábban is

ezek az ösztönzők különben nincsenek jelen. Tehát, hogyha veszünk mondjuk egy szoftverfejlesztő céget, általában az ICT piacoknak a tulajdonságai miatt az az érdekük, hogy minél gyorsabban lefejlesztenek egy új szoftvert vagy egy feature-t ebbe a szoftverbe és minél hamarabb a piacra dobják, ugyanis hogyha késnek, akkor lehet, hogy valaki más lefejleszti, és akkor ugrott az a piaci szegmens, általában elmegy az első felé. És ezért például az ilyen nem funkcionális dolgok, mint biztonság az eléggé háttérbe szokott kerülni, hacsak nem pont egy biztonsági szoftverről van szó, nyilván az egy különleges eset. De éppen ezért nincsenek olyan gazdasági ösztönzők, amik azt biztosítanák, hogy igenis törődjünk a biztonsággal, mint szoftverfejlesztők, mint rendszertervezők stb.

És ezt nagyon nehéz talán lehetetlen megfelelő szabályzás nélkül promotálni. Úgyhogy ezek szerintem szükségesek. A Dóra, a NIS2, vagy éppen ez a CRA, vagy CRA, ami azt hiszem talán 2025-ben édesedik, ezek mind ugyanarra mutatnak, hogy legyen egy megfelelően megalapozot, kockázatmenedzsmentre alapozott strukturált biztonsági hozzáállása a különböző cégeknek vagy termékfejlesztőknek, hogy a Dora esetében a pénzügyi szektorban szereplő bankoknak vagy biztosítótársaságoknak, stb., hogy az úgynevezett best practice-eket, legjobb gyakorlatokat valójában implementálják.

Ehhez ad ez egy keretet. Hogyha megengeditek, akkor még egy kiegészítő kérdés. Alapjában véve a Compliance-ről beszélünk, ugye? Tehát egy picit azért ez benne van, aminek a biztonságát.

A jogi megfeleléssel.

A jogi megfeleléssel. Ja, elnézést, igen, Laci, de köszönöm szépen, hogy most behoztuk végre a magyarra fordítsuk a vonalat.

Éppen meg akartam dicsérni vendégünket, hogy lelkesen fordítsa le az angol kifejezéseket, mint bár külön felszólítás nélkül.

Bár explicit módon, de igen, igyekszem.

Tehát a jogi megfelelés egyébként egyre nagyobb hangsúlyt kap az összes működésben és folyamatban, Laci kedvenc szavában, tehát hogy a folyamatalapú működéshez azért ez a megfelelés, ez feltétlenül szükséges. Akkor, amikor egy háború tör ki, ugye ott a beszállítói értéklánc is sérül, tehát ennek a beszállítói értékláncnak idáig az izomminősége, most izzó 27 ezer, maradjunk ennél, volt létjogosultsága. Akkor, amikor meg Nis2-ről beszélünk, akkor pedig ugye 1-es, 2-es és 3-as osztályokba soroljuk magát a rendszert, a rendszerelemeket. Mennyire látod kritikusnak azt, hogy a magyar kis és középvállalkozások nem feltétlenül értik a kiberbiztonságnak a lényegét.

Ami alatt én azt értem, hogy van nekünk a Google Drive-unk, a Gmailünk, és mondjuk egy jó naptárunk, ami szintén egy Gmailes alkalmazáshoz kiegészítő. Mit gondolsz erről?

Igen, ez jó, hogy mondtátok a Compliance, hogy jogi megfelelés. Így van. A jogi megfelelés fogalmát. Ugye ez egyfelől fontos, másfelől nem elég. Tehát arra a kérdésre válaszolva, hogy egyes, nem tudom, sarki pékség vagy mini szoftverfejlesztő cég vagy bármilyen más kisvállalkozás vagy esetleg középvállalkozás azt gondolja, hogy ez az úgynevezett, és most nagyon csúnya angol kifejezést fogok mondani, checkbox compliance, tehát amikor csak végigpipálom magamat.

A pipa felszállási lista, tudod, a repülőgépeken.

Igen, igen, megvan mindenki stb., akkor biztos jó lesz. Repülős példával élve ez, mondjuk, a viharba kerülést nem tudja kivenni a lehetséges forgatókönyvek közül, ezért van egy veszélye ezeknek a szabályozásoknak az, hogy ugye csak ez a pipakultúra fog továbbra is tovább terjedni, egyébként csak úgy, mint a GDPR kapcsán. Valódi célja ezeknek nem, mármint a valódi értelme ezeknek nem a checkboxok pipálgatása, hanem az, hogy tényleg adjon egy olyan keretet, amin belül a már létező legjobb gyakorlatokat tudják implementálni ezek a cégek, feltéve, hogy felismerik ennek szükségességét. Itt nagyon fontos kiemelni, hogy gyakorlatilag tengernyi best practice létezik, mindenre vannak standard megoldások, és a cégek nagy része mégsem használja ezeket, pedig ugye nem kell semmit kitalálni, tehát nem kutatóként kell működni, hogy most akkor kitaláljam, hogy hogy kell titkosítani mondjuk valamilyen adatot, hiszen erre rengeteg standard szabvány, standard könyvtár bármilyen programozási nyelven rendelkezésre áll vagy akár különböző ilyen tervezési minták, ami alapján érdemes rendszereket védeni vagy fejleszteni vagy tervezni, és talán az lenne a legjobb hozadéka ezeknek a megfelelőség alapú szabályzásoknak, hogyha ez a fajta biztonsági kultúra,

fejlődés jönne létre ezek által, de van egy veszély a checkbox compliance felé való elmozdulás végett. Énszerintem ez egy nagyon erősen kulturális kérdés is ez a biztonságtudatosság.

Hogyha csak egy autós példát nézünk, én nem tudom, hány olyan esettel találkoztatok, hogy az autóba be van kapcsolva a biztonsági öv valakinek a háta mögött, csak azért, hogy ne sípoljon az autó, merthogy ő úgy érzi, hogy biztonságban van enélkül is, vagy éppen úgy érzi, hogy inkább egy kicsit merészebben, kockázatosabban szeretne élni. Vagy egész egyszerűen nem látja annak a kockázatnak a bekövetkezése esetén a hatását, hogyha, mondjuk, akárcsak ötvennel nekimegy valaminek és nincs bekötve. Tehát ugye ugyanez igaz a kiberbiztonságban is, hogy ha nem látom azt, hogy mekkora hatással lesz, hogyha nem érem el az összes levelemet, vagy hogyha, mondjuk, föltörték a rendszeremet és elutalták a számlámról a pénzt valahová, máshova, stb.

Tehát ha nem tudom, hogy mit kockáztatok, akkor valószínűleg könnyebben kockáztatom ugyanezt. Másfelől meg, hogyha kialakul mondjuk az a kultúra, nem kis részben egy szabályozói nyomásra, hogy ezzel foglalkozni kéne és akkor felelősebben kéne vezetni ezt a céget. Hozzáteszem, tehát azért a legtöbb mai magyarországi cégvezetőnk, mondjuk így, a tulajdonos cégvezetőkre gondolunk, akkor kezdte a cégét összerakni, amikor még internet se nagyon volt, nemhogy Google, tehát hogy ösztönösen nem ebben nőttek föl szerintem. Tehát az a kultúra, az most alakul valahol. Itt talán csak azt húznám alá, hogy vannak országok, ahol gyorsabban alakul. Tehát az internet nagyjából egyformán terjed, viszonylag gyorsan elterjedt a világban.

Nagyjából egyszerre indultunk ezen a pályán így 200 országban, csak van, ahol egy kicsit több cégnek van weblapja, több cég használ felhőszolgáltatást és így tovább. És akkor, ha visszakanyarodunk itt a ti tapasztalatotokra itt a Digitaltech EDIC-ben, ugye én azt szoktam mindig felhozni, hogy most már évek óta az Allianz barométerben, ami egy ilyen kockázatfelmérő kutatás a cégvezetők körében világszerte, tényleg évek óta a legelső kockázat, a legnagyobbnak ítélt kockázat az a kiberbiztonsággal kapcsolatos problémákra vonatkozik. Tehát még megelőzi az állítási láncban vagy ellátási láncban történő zavart, megelőzi a háborús kockázatok értékelését, tehát a cégvezetők ezt tartják a legnagyobb problémának.

Azok a cégvezetők, akiket az Allianz világszerte megkérdez, de valahogy én azt nem tudom évek óta hova tenni, hogy a magyar cégvezetőknél nem ugyanezt látom, hogy ezt tennék az első helyre. Mert nincs is így.

Igen.

Hogy van ez nálatok, hogy ti most igazából szemléletet formáltok azzal, hogy a kiberbiztonság egyike ennek a négy-öt jelszónak az egyikben, vagy fordítva, egy tök friss piaci igényt meglát. Most van igazán feljövőben az, hogy ez a biztonságtudatosság népszerűvé válik vagy gyakoribbá válik?

Valószínűleg mind a kettő valamennyire, de az első talán fontosabb. Tehát a kiberbiztonsági kultúrának a kialakítása. Itt nagyon érdekes dolgokat mondtál, és hadd reflektáljak erre. Tehát fontos megkülönböztetni kétfajta biztonsági hozzáállást két szinten, egyrészt az egyén szintjén, másrészt a szervezet szintjén, egy cég szintjén. Ugye ezek a szabályzások, ezek nyilván a cégeket vagy esetleg a cégek által fejlesztett termékeket érintik, ugyanakkor az nagyon fontos, hogy egy cégnek kiberbiztonsági szempontból racionálisan kell viselkednie, és erre minden eszköz adott. A szabályzás, a best practice-ek, a különböző olyan metodológiák, amiket lehet használni arra, hogy hogyan kell kockázatot elemezni, mondjuk egy cégben.

Ezek mind adottak. Egy szervezetnek a kiberbiztonsági hozzáállása, az nem függhet attól, hogy mondjuk a vezetőjét nem érdekli a vezetője, vagy mondjuk személyesen nem hisz abban, hogy őket mondjuk meg fogják támadni. Ez az egyik dolog, racionálisan kell viselkedniük, és ennek az egyetlen módja az, hogy kockázatalapúan állnak hozzá ehhez. Az egyének szintjén, akár a vezetők, akár a munkavállalók, akár a beszállítók stb. szintjén, ott természetesen vannak ezek az úgynevezett kognitív bájászok, amik az ember agyában megvannak, csak csökkentett racionalitással tudunk működni, mert egyszerűsíteni kell, nem lehet mindennel törődni, ezt az ember mindennapi tevékenysége során pontosan látja, és ott igenis figyelembe kell venni pont azért a szervezet szintjén azt, hogy az embereket lehet, hogy nem érdekli az, hogy kéthetente lecseréljék a jelszavukat, vagy az, hogy ne írják fel egy cetlire, vagy az, hogy hazavigye a céges laptopot és mondjuk a gyereke azon játsszon.

Tehát ezeket nem lehet figyelmen kívül hagyni, de ezt szervezett szintjén kezelni kell és egy megfelelő biztonsági policy az ezeket kezeli. Az eddigiekben az oktatási modulok, ugye viszonylag sok oktatási modulunk van, most nem tudom, hogy pontosan mennyi, de tízes nagyságrendben. Ezek egy ilyen négyórás blokkokra vannak osztva azért, mert ez az a kiméret, ami alatt már be lehet menni részletekben is, de mégsem annyira sok, hogy mondjuk figyelembe kell venni azt is, hogy az emberek hogy érnek rá. Tehát, mondjuk, egy vállalatvezető nyilván nem örül, hogyha négy napra elveszti valamelyik alkalmazottat, aki éppen nem tudom én, mit hackel a mi laborunkban.

Akkor ezek alkalmazotti képzések alapvetően? Milyen pozíciókra lőttek?

Igen, vannak különböző kurzusaink, tehát például a bevezetés a kiberbiztonságban vagy a kockázatmenedzsment szabályzásokról szóló képzés, ezek nyilván főleg a vezetői vagy menedzser szintet célozzák, bár pont a bevezetés, az valószínűleg mindenkinek hasznos, akinek nincsen egy átfogó képe a kiberbiztonságról. Aztán vannak olyan kurzusaink, amik inkább az adatvédelmet, privacy-t célozzák. Itt nyilván, mondjuk, egy adatvédelmi felelős vagy szintén valamilyen magasabb menedzseri poszton lévő ember lehet az, akit ez érdekel, és aztán vannak teljesen technikai képzéseink, tűzfalak beállítása, VPN-ek konfigurálása, wifi-biztonság, szoftverbiztonság, ugye az viszont szoftverfejlesztőket céloz inkább, webes biztonság, és akkor például az adatvédelemmel kapcsolatosan is van technikai kurzus, ami, mondjuk, az újraazonosítási lehetőségekről, anonimizációról, ilyesmiről szól, amiben van valamennyi matematika is, hiszen anélkül ez nem működik.

A mi hallgatóink között a cégvezetők mellett nagyon sok az üzletfejlesztéssel, akár termékfejlesztéssel foglalkozó ember. Nekik szerinted a bevezetésen kívül melyik lehet az, ami még releváns?

Mindenképpen a kockázatelemzés kurzus, és ami egyben tartalmazza egyébként a szabályzásokat és ajánlásokat is, az egy olyan, amit szerintem mindenkinek érdemes, aki szervezeti szinten felelős valamilyen funkcióért. Ugyanis ez a kockázatalapú gondolkozás az, ami lehetővé teszi azt, hogy az embernek a fejében létrejöjjön egy valós kép az ítélőbiztonságnak a helyéről. Ez olyan jó, hogy egyszer nem mi mondjuk.

Végre nem mi mondjuk, igen. Én állandóan minden adásban mindig elmondom, hogy kockázattal arányos védekezés, merthogy fent kell tartani. Tehát, hogy ugye nem az a nehéz ebben az IT meg kiberbiztonságban, hanem az, hogy a világ változik, a vásárlói szokások változnak, emiatt a cégnek vagy szoftver vagy szolgáltatásfejlesztésbe kell kezdenie, és ennek a másik oldala a szolgáltatásmenedzsment és a hozzá tartozó működés, ami viszont nem mehet máshogy, minthogy kockázattal arányosan próbálok meg védekezni. Ugye nagyon érdekes volt, itt most volt egy konferencia kifejezetten a Securityvel kapcsolatban nemrég.

Úgy általában az IT biztonságról?

Hát az egész IT biztonsági szakma ott volt a Puskás Arénában, és hogy ennek a konferenciának azért egy nagyon jó mondanivalója volt az, hogy van élet a Nis2 előtt és után. Merthogy akkor, amikor én kockázatkezelést vagy kockázati tényezőket veszek sorba, abban a pillanatban azért nagyjából fogom tudni, hogy a költségeket hogyan állítsam be, merthogy a kockázatokkal lesz arányos az a költség, amit egyébként, hogyha közgazdasági nyelven próbálnám megfogalmazni, az a jó, hogyha fix költséget fogom tudni jól számolni, nem pedig a változót, márpedig ezeknek a licencköltségeknek van díja, és egy kockázattal arányos védekezésben az IT minden évben ugyanazt a költséget el fogja költeni, merthogy egyébként azt a védelmi szoftvert tök mindegy, hogy hogy hívják, meg kell, hogy vásárolja.

Miért? Én máshogy látom ezt a niche kettőt. Én a niche kettőt úgy látom, hogy egyébként egy korábbi működésre kialakított szabályozási keretrendszerhez most adnak egy határidőt, amiben megvizsgálhatom a cégemnek azt a működési környezetét, amiben ezt a védekezést be tudom lőni jól, és tudok neki különböző méreteket adni egyes, kettes, hármast. Most ezek számok, amik egyébként a kritikus üzemeltetést fogják tudni jól hozzápárosítani, viszont legalább saját magamnak van egy kockázati mátrixom, hogy a tanulást kell a dolgozóim felé vagy a technológiát az IT-nak, illetve hogyha bejön az IT főnököm, akkor ne szavazzam le, hogyha esetleg memóriát szeretne bővíteni a szerverében.

Nagyon fontos, igen.

Ennek a gondolatkörnek még van-e valami olyan kiegészítése, amit kiemelnél.

Hát igen, az egyik itt kapcsolódva az utolsó mondatra, amit mondtál. Tehát az, hogy egy informatikai vezető, vagy akár egy információbiztonsági vezető, hogyha akkora cégről beszélünk, vagy akár a NIS2 miatt van ilyen.

A NIS2 miatt IBF-et is kell.

Igen, igen.

Az információbiztonsági felelős, ez kivételesen egy magyar rövidítés volt.

Újat találtam. Tanultam, bocsánat, újat tanultam, de igen. Tehát ugye kell, hogy legyen valamilyen eszköz a kezében az IBF-nek, hogyha odamegy, mondjuk, a CEU-hoz, hogy ilyen szép magyarosan fogalmazzak. Amivel meg tudja ugye győzni, hogy nem az, hogy a tavalyi keret kéne, hanem mondjuk 20 százalék emelés kéne a keretben, mert nem tudom én, olyan fenyegetettségek terjedtek el az utóbbi évben, ami miatt szükséges egy újabb szoftver, vagy mit tudom én, egy pro-licenc valamiből, amiben elég volt egy sima. És ez tök nehéz kiberbiztonságban, ugyanis egy esetben nem nehéz, akkor hogyha történt valamilyen kiberbiztonsági incidens, amitől nagyon megszívta a cég vagy legalább eléggé, ami érezhető, mondjuk, a számokon.

Igen, ez a reaktív védekezés.

Ez a reaktív védekezés, ami mint tudjuk, bár szükséges, de messze nem a legjobb hozzáállás a Mindenkihez. Igen, amikor akkor megyünk el téli gumit átrakatni, amikor már lecsaptunk a nyári autóba. Tökéletes példa, vagy egy tökéletes párhuzam. Erre mondom, hogy ez kulturális kérdés.

Tehát őszintén szólva most azért most már nem tudom, 30+ éve vállalkozói szféra is működik Magyarországon, nemcsak állami cégek. Tehát el kéne jutni talán oda, hogy kiválasszam, hogy én olyan céggel akarok dolgozni, aki nem viszi olajcserére az autót, hadd füstöljön, majd megáll, de legalább addig sem kellett rá fizetni, vagy olyan céggel akarok dolgozni, aki mindent pontosan megcsinál, és ezért kiszámítható a működése. Az a nehéz ebben, és a beszállítói minősítésről is beszélünk, mert a beszállítói értékláncok ugye sérülnek. Ebben a beszállítói minősítésnél, például a NIS 2-ben és az ISO 27000-ben megvan az az opció, hogy én ezt tudjam nyomon követni úgy, hogy ne legyen bántó az a beszállítók számára, de ugyanakkor nem tudok mit kezdeni, mondjuk ezt, hogy a kültéri WC Építő Kft.

királyával, akinek van egy darab g-mailes hozzáférése, viszont 18-an használják ugyanazt a Gmail címet és a PS3-ra rákötött NAS-on van a cégnek úgymond a mentése, de hogyha lehet, akkor ő aztán egy fillért nem fizet semmilyen informatikai eszközért, de még hogy hívják a domain tárhelyet is, hogyha lehet, akkor inkább behozza a NAS-ra, hiszen azon van olyan applikáció, amit kvázi ingyen tud használni. És ezt a kultúrát, tehát ezt a digitális kultúrát, amit a Laci mond, én ezzel nagyon maximálisan egyet tudok érteni. Sőt, én minden adásban, minden alkalommal megragadom a lehetőséget, hogy nagyobb cégeknél ugyanez a HR, nálam ez a leggyengébb láncszem, hiszen a HR-től kérünk olyan IT biztonsági beállításokat, mint például jogosultsági beállítások a munkaköri leírás alapján.

Jogosultsági mátrix, ugye? Tehát, hogy a HR-eseket is képzitek? Nekem ez a kérdésem.

Hú, de jó kérdés!

Talán volt már HR-es kolléga valamelyik cégtől a képzéseinken. Egy különdíjat, egy különdíjat nekik. Igen, de nyilván bizonyos fajta biztonsági kultúra elvárható tőlük, ugyanakkor nem, ugye ők nem abban jók, nem az ő felelősségük az, hogy.

De miben jók?

Mondjuk, ha minden igaz, akkor a HR-ben.

De értem, de hogy a HR-nek a felvételi processzora az úgy indul, hogy bekerül egy adatérzékeny dolog, tehát GDPR.

Nyilván, igen. Igaz? Hogyha ez bekerült, akkor neki tudnia kell, hogy melyik időpillanatban melyik nevet, milyen azonosítással, hogyan kezdi el tárolni a HR rendszerben, amiből utána kiad egy ajánlatot, amiből kötődik egy szerződés, aminek az adatait szintén letárolom. Ennek a munkaszerződésnek van egy munkaköri leírás része, amiben van az, hogy mit csinál a kedves kolléga és mihez fér hozzá. Tehát ennél a résznél érzem az anomáliát, hogy ez a mondat adja meg az IT-nak az inputot, hogy milyen típusú beállításokat végezzen a rendszerben, ebben nem jó a HR. Ugye? Azt gondolom, hogy ebben nem jó a HR. A munkaköri leírásban meg a hozzá tartozó kiegészítésekben, akkor nem jó. Tehát akkor itt ezt csak kéne fejlesztenünk.

A másik, de kérdezem, tehát hogy én ezt most abszolút nem kötekedve kérdezem, meg bárki azt mondja, hogy nem értek a HR-hez, humánerőforrás szervezetfejlesztés papíron van, tehát tudom, miről beszélek.

Én nem értek hozzá.

Ezt most játsszuk le, én leszek a HR-es. Miután ez megvan.

Biztos, hogy élő adásban akarjátok elmondani?

Mindenféleképpen. Legyenek tanúk. Miután ezt odaadtuk az informatikának, az informatika csinálja a dolgot. Látjuk, hogy itt már bejött egy másik a fejlesztés, Laci digitális kultúrája. Elméletben a szervezetfejlesztés szintén a HR-hez tartozik. Tehát a Digitaltech Edithez tartozó képzési programokat a HR-nek kéne tőletek megrendelnie. De hát a HR csak akkor tud megrendelni bármit, ha látta azt a képzést. Nálatok jó HR-esnél láttam ezt a gyakorlatot, hogy ő bizony a legtöbb, a fontosnak tartott képzésekre előbb elmegy maga, vagy hát a csapatból valaki, és csak utána adja a szakterületnek oda.

Ezért is mondtam, tehát a HR-esek védelmében is fel tudok hozni valamit, hogy a jó HR-esek elmennek erre a képzésre.

Miután ez a képzés megvan, ők is értik, hogy hogy működik az informatika, és ergo az informatikai beszerzésekhez tartozó és biztonságot érintő változásokban nekik együtt kéne menniük. Igaz? Merthogy az informatikai biztonsághoz tartozó változásoknál oktatási programok jönnek. Képzések. Tehát egy fishing e-mail IT tudatosság képzését szintén a HR-nek kéne megrendelnie. Azt gondolom, egyetérthetek-e vele, illetve amikor a kilépési processz elindul, akkor a HR-hez fognak először menni, és a jogosultságok visszavonását is a HR-nek kéne megcsinálni.

Na, ez egy nagyon fájdalmas pont. Ezt mindig szoktam mondani a hallgatóimnak is, hogy az, hogy az onboarding, meg az off-boarding, tehát a beléptetés, kiléptetés a cégeknél IT-biztonság vagy egész egyszerűen IT-szempontból is normálisan működjön, az egy. tehát ott horror dolgok tudnak történni. Ugye van egy olyan, akartam mondani egyébként még a kockázatarányos védekezésre is, hogyha az ember érti a támadókat, akkor ez egy non brainer lesz, tehát csak úgy lehet hozzáállni, hogy kockázatarányosan, mert a támadó is úgy áll hozzá, legalábbis az olyan támadó, aki tényleg pénzért ezzel foglalkozik. Ők is várható értékben áll hozzá a támadásokhoz, és ezért például van olyan támadó, akit úgy hívunk, hogy bajban leszek, hogy fordítsam le.

Tehát például, mondjuk, egy kirúgott alkalmazott.

Bosszúállós.

Igen, ez ugye a Disgrantle Demploy nevű támadó modell, és ugye sok esetben ő vagy egy olyan belsős ember, aki még ott dolgozik egy cégnél, és ezért nyilván sokkal jobb rálátása van a rendszerekre, van jogosultsága bizonyos dolgokhoz, még ha nem is adminisztrátor, de mondjuk, lehet, hogy valamifajta magasabb szintű hozzáférése van, mondjuk egy céges modulhoz, és neki megvan a motivációja arra, hogy ártson a cégnek. Ezáltal például segített belső emberként mondjuk egy külső támadót. Na most, hogyha ezt az embert már kirúgták, de nem sikerült visszavonni teljesen a jogait, például mondjuk a levelezéshez hozzáfér, vagy még hozzáfér valamilyen belső webes felülethez, internethez, bármihez, akkor ez egy hatalmas rés a pajzson, és ez valójában nem egy, hogy mondjam, ez igazából egy szervezeti probléma.

Tehát nyilván azokat a folyamatokat, amik egy cégben vannak, és tudom, hogy egy csomó embernek ez ilyen, valószínűleg a legunalmasabb része ennek a beszélgetésnek, hogy a szervezetben a folyamatokat. Mi az a szervezet és mi az a folyamat? De hát ennek össze kell, hogy legyen integrálva a kiberbiztonsági kultúrával amúgy, tehát ez így silókban nem működnek ezek a dolgok, ezek mind össze kell hogy legyenek integrálva, a biznisz folyamatok, az IT folyamatok és azon belül a kiberbiztonsági folyamatok, ez máshogy nem működik. Az élet minden területén ez így van. Nem egy spanyol viasz az, hogy ennek így kell működnie. Ez egész egyszerűen így van az élet minden területén.

Ezt a szervezetet és az Organa Chartot vezérli a HR az üzlettel közösen. Laci?

Megígértem magamnak, hogy ráülök a számra, de annyit hadd tegyek már hozzá, hogy a szervezet meg a folyamat az nem egy elérhetetlen magasságban lévő filozófiai értekezés tárgya a szervezet és a folyamat is. Tök gyakorlati mértékegysége annak, hogy valaki eljutott-e a próbálkozóból a vállalkozóvá, ahogy te szoktad mondani, hogyha valaki ismételt sikerekre vágyik most, akkor nagyon leegyszerűsítve akkor épít szervezetet folyamatokkal, ha ismételt sikerekre vágyik. Na, viszont álljunk meg egy pillanatra, mert nagyon sokat szakmáztunk, ráadásul voltak kemény feszülések is benne, úgyhogy most lazítunk és megkérdezzük a személyes kérdéseinket a hagyományokhoz híven. Hát ma, amikor ezt az adást rögzítjük, véletlenül pont a Föld napja van.

Nem tudom, hogy ki nézte meg reggel ezeket a vicces naptárakat, tehát magánemberként foglak benneteket faggatni, hogy szoktatok-e foglalkozni ilyen apróságokkal? Klímaváltozás vagy természetvédelem, hogyan hat ez a családjainkra és mit lehet tenni szerintetek így magánemberként? Most nem a szervezetek és a folyamatok szintjén?

Én vagyok a célzott. Köszönöm szépen. A hárman hozzátehetünk, de, mondjuk, nem árt, ha te kezded. Hát nekem egészen kiskorom óta az én természetvédelem, környezetvédelem, az így fontos része a mindennapoknak. Az édesapám ilyen területen dolgozott, természetvédelmi hivatal, környezetvédelmi Minisztérium ilyesmi helyeken és mindig vitt magával kirándulni mindenféle olyan helyre is, amikor a természetvédelem dolgozott, ahogy normál halandó, annyira nem mehetett be feltétlenül Magyarországon olyan barlangokba, ahova csak vezetéssel lehetett menn, stb. És ez így kialakult, hogy ez nekem fontos, tehát ez nem kérdés.

Akkor nem véletlen, hogy te jöttél a Föld napján a stúdióba.

Kicsit véletlen, de jól sült el. Ugyanakkor a mindennapokban azért, hogyha az ember jobban belegondol, akkor elég sok olyan mini döntési szituáció van, amiben nem feltétlenül az alapján dönt, hogy, mondjuk, mi lenne jó a természetnek. Nyilván az ember önző valamennyire, ami természetes, mert különben nem maradna életben. De például az, hogy most tényleg elmegyek-e a papírkukáig, hogy odadobjam a papírt vagy tényleg külön gyűjtöm-e a műanyagot stb. Ezek olyan dolgok, ami ráfordítást igényel. Ha véletlenül nem a megfelelő helyre dobnám ki, akkor vagy az óvodás vagy az iskolás gyermekem azonnal rájut a kezemre, úgyhogy ez nálunk nem probléma, sőt, mindig elzárják a vizet, miközben szappanozzák a kezüket, amitől én kicsit néha hülyét kapok, de nekik úgy látszik, az óvodában meg az iskolában is megfelelő inputot kaptak arra, hogy ez így működik.

Hát neked szerencséd van, nálunk valahogy ez a köznevelési intézményekből nem jött, például a vízhasználat, úgyhogy azt én, mint édesapa kell a sarkamra álljak és rendszeresen kordában tartani, hogy a gyerekek ne folyassák órákig magukra a vizet. Egyébként a bőrünknek se jó, teszem hozzá, de abban maximálisan egyetértek, hogy ez apró döntések sorozata, így személyes életemben legalábbis. Tehát, hogy most megvegyek-e még valamit, vagy ne vegyek meg? Meddig használok egy ruhadarabot? Néha én szégyellem magam a végén, hogy már tényleg olyan állapotban dobom ki, ahol már lehet, hogy túlhasználtam, mert nem tisztelem meg a másik embert azzal, hogy kellően nem szakadt ruhákban járok, de hogy próbálok mindent maximális ideig használni.

Ezt megfigyeltem magamon, és inkább nem zavar az, hogy picit már kopott, na bumm, de legalább nem vettem egy újat. Pedig én sem hiszem el, amit írnak. Nálatok 8000 liter víz például egy farmernek az előállítása. Nem tudom, hogy jött ki és hihetetlen szám, de mindenesetre ezzel nagyon tudatosan próbálok figyelni, hogy mindent maximálisan újra használjak, meg a maximális élettartamáig használjam. Most például a számítástechnikát, az kicsit kapcsolódik hozzá, hogy, mondjuk, ha már merül az akkumulátor túl gyorsan egy telefonba, akkor legtöbben új telefont vesznek. Én nem, én elmegyek és beszereltetem az új akkumulátort a régi telefonba, hogy még két-három évig működjön.

Én kicseréltem magamnak.

Hát igen, ez már ragasztott, én nem mertem hozzányúlni. Hozzáteszem, hogy lehet, hogy nem jártam volna rosszabbul, mert így meg az NFC Antennát elfelejtették visszadugni, úgyhogy vissza kellett mennem a szervizbe és még egy napig nélkülözni ezt a telefont, mire valóban hibátlanul sikerült a folyamat, de a lényeg az, hogy tényleg, én ezzel próbálok hozzátenni.

Nagyon hasonlít az én gondolkozásom a Laciért. Én vitorlázom, tehát az abszolút természetközeli.

Tehát aki már volt úgy Kékszalagon, hogy éppen szélcsend volt és éppen egész nap 40 fok, az pontosan tudja, hogy a betárolt vízmennyiség sem elég. Ezért aztán a hozzá tartozó víz kincs. Ugyanígy vagyok a ruhadarabokkal. Tehát én elhiszem, hogy minden héten valakinek kényszere van arra, hogy a világ minden cipőjét, ruhadarabját megvegye és hogy különböző autókat cseréljen, mint más az alsónadrágját, de azt gondolom, hogy néha az egyszerűbb élet az egy sokkal kényelmesebb és kiszámíthatóbb verzió, és hát hogy fogalmaztad meg, hogy megtisztelem-e a másikat azzal, hogy fölöltözöm? Laci, én föl vagyok öltözve olyan ruhába, amit föl tudok magamra venni, merthogy azt gondolom, hogy az a farmer, az még kiszolgálja azt, hogy én tudok veletek itten találkozni.

És hogyha az a lényeg, hogy hogy nézek ki, hát nem leszek influenszer meg celeb, az biztos.

Vagy nem ettől.

Ma is átalakul.

Igen.

Kezdem rosszul érezni magam, hogy én bejöttem.

Ja, én is abban vagyok.

Én is abban vagyok.

Ez az egy van.

Mindig cserébe nincs rosszul. Mindig fordítva szokott lenni.

Laci szokott általában zakóing, én meg ilyen póló. Ma mind a ketten ingben jöttetek, és hát én a kis pólónkban jöttem, a kis digit podcastos kis pólóban.

Jól van, mert múltkor én is a Digitestet vettem föl. Ha már Digit, ugye a Digital Teched, meg Digit Podcast, az szerintem messziről látszik, hogy összeillik ez a dolog, és megnézegettem, hogy milyen képzések vannak kint most aktuálisan a honlapotokon, merthogy leginkább a honlapon kommunikáljátok egyébként ezeket, és az egyiknek a címe az volt, nem biztos, hogy a krízislap képzése, bocsánat, azt nem néztem -, de top 10 aktuális webes sérülékenység. Szerintem ez marha érdekes, mert pont a biztonságtudatosságban nem mellékes meg nem egy elhanyagolható szempont, hogy olyan kockázatokat hallok-e vagy tudok-e, meg tudok-e, ami elég hihető, hogy nálam is kockázatok, merthogy sokan, egy kkv vezetőnél sokszor látom ezt, hogy azt mondja, hogy hát nekem nincsenek olyan bonyolult rendszereim, mint egy banknak, tehát hogy nálam ezek a kockázatok nem.

Igen ám, és tökre megértem, valószínűleg nem jutott el infó hozzá olyan kockázatról, ami nála is. Szóval hogy tudnánk erről beszélgetni egy kicsit, hogy milyen széles lehet azoknak a cégeknek a köre, akikre ez a top 10 webes sérülékenység mondjuk érvényes, meg hogy mik lehetnek ezek?

Persze, tehát akinek van, tehát amelyik cégnek van weboldala, az már nyert, mert akkor vonatkozik rá. Hogyha használnak bármilyen webalapú belső rendszert, akkor az ugyanúgy érvényes rá, tehát praktikusan.

Ami ma már az e-mail is, így van.

Természetesen, tehát ez valószínűleg a legtöbb cégre vonatkoznak ezek a sérülékenységek, hogyha bármilyen olyan webes erőforrást használ, amit mondjuk egy jelszó, user, password, páros, véd, esetleg ennél több, akkor nyilván azonnal érvényesek rájuk is ezek a sérülékenységek. Nagyon érdekes dolgok jönnek elő. Nyilván ugye benne van a nevében, hogy top 10 webes sérülékenység, tehát ez nem fedi le a teljes spektrumot, de azért eléggé olyan általánosan megfogalmazott, számozott elemek vannak ebben, ami mégis nagyon sok mindent lefed. Mondjuk például nem megfelelő kriptográfia használata az, mondjuk, nem tudom, talán a 2-es, 3-as, 4-es helyen van ezen a toplistán, hogy ez időnként frissül, mert ahogy a trendek változnak, úgy a legnépszerűbb sérülékenységek is változnak.

A legnépszerűbb, ez talán nem egy jó jelző rá, de szóval a leggyakoribb. A leggyakoribb, igen. Például most mondok egy példát, hogyha valaki, mondjuk, egy standard kriptográfiai megoldást használ, de mondjuk, nem arra a problémára, amire kitalálták, akkor például nagyon csúnyán bele lehet esni olyanba, hogy nem megfelelően védjük a rendszerünket, vagy mondjuk nem megfelelő módon táro, mondjuk egy jelszót, ugye ez is egy ilyen tipikus dolog, hogy nem tudom, hashelve tárolja, de olyan hash függvénnyel, amit már feltörtek korábban Ven amikor elkezdtünk belemenni abba, hogy egyébként mi az, hogy hess, tehát hogy itt már el kéne azt is mondani, de hogy akkor egy picit összefoglalva a hallgatóknak, tehát most arról beszélünk, hogy egy jelszót hol tárolunk fizikailag és abban milyen típusú jelszó policyk, tehát milyen típusú jelszószabályok vannak, tehát nyilván az admin, admin egy klasszikus jegyzettömbben eltárolva, az nem annyira biztonságos.

Jó, tehát most erről beszélünk, csak ennek van egy tudományos része.

Igen, hol és hogyan tároljuk. Valószínűleg mindenki hallott például olyanról, hogy SQL Injection, mint az állatorvosi lova a webes sérülékenységeknek. Ugye, hogyha nem megfelelően kezeljük a felhasználóktól bejövő inputokat.

Tehát például, hogyha mondjuk.

Segítek fordítani. Igen. Ha a kedves ügyvezető Wordpress weboldalt használ és azon van egy kitöltendő űrlapmező.

Mondjuk a kapcsolat része.

Mondjuk a kapcsolat része, néha, hogy küldjél nekünk levelet, akkor általában azon keresztül is be lehet jutni sok helyre. Igen, merthogy az a Sachschuck Very Language, ha jól emlékszem.

Igen, hozzá tartozó adatbázis lekérdezés.

Bármilyen adatbázisa van egy cégnek, ami nem egy táblázata a laptopon, hanem, mondjuk, egy World Press oldal mögött az adatbázis.

Az Excel-táblázat, az is az.

Abból mi írunk is, meg olvasunk is ki belőle, és mind a két esetben megszólítjuk ezt az adatbázist valamilyen üzenettel, és ebben az üzenetben lehetnek káros elemek.

Ügyesen megformálva például ki lehet nyerni az adatbázis teljes tartalmát, ha erre nincs megfelelő védekezés.

És akkor itt jön a kockázat. Mi van akkor, hogyha minden adat, ami az adatbázisban van, az valaki külső szereplő kezébe jut. Emlékeztet, vagy hát nem tudom, a hallgatók is emlékeznek arra a példára, amikor én elmesélem mindig, hogy egy tulajdonosi bordűlésen bevittem egy pendrive-ot, és megkérdeztem, hogy mibe kerül a pendrive, és mindenki egyértelműen azt mondta, hogy egyöntetűen azt mondta, hogy 3500 forint. És én mondtam, hogy a teljes cég árazó excele van rajta, és egyből egy más típusú árkategóriába esett ugyanaz a pendrive, ami a kezemben volt, de senki nem tette fel azt a kérdést, hogy hogy másoltam föl a pendrive-ra. Tehát ez az érdekes a kockázattal arányosban, hogy mi mindentől megvédjük, meg nem feltételezzük, de egyébként azon a pendrive-on az az Excel volt egy gépről.

Jó, ez most nem a webes hallgatóknak a webes. Ezt nem a webes. Tudom, hogy te tudod, de hogy van fizikai biztonsági rész is. A webesben még, bocs, hogy visszatérünk egy picit, de szerintem ott még volt, amit akartál mondani.

Van egy olyan népszerű kategória, hogy, mondjuk, gyakran előforduló. Igen, bocsánat, igen, igen. Én szeretem ezeket. Csak a vicc kedvéért.

Jó volt.

Annyira nem népszerű valószínűleg.

Népszerűtlen vagy népszerűtlen.

Tehát mondjuk, hogyha, amit így talán a hallgatóknak könnyű elképzelni, az a mondjuk nem megfelelő hozzáférés, kezelés vagy excess kontroll. Tehát például, mondjuk, van egy olyan része a belső webes rendszernek, ami csak megfelelő jelszóval elérhető védett dolog, viszont hogyha mondjuk az egyszeri felhasználó egy kicsit okosabb és rájön valahogy, hogy mi az az URL, amit be kell írni ahhoz, hogy direktben elérje azt az objektumot, hogy azt az oldalt, mondjuk, egy olyan eszközt lehet használni, amit nem bárki használ, tegyük föl, csak a HR-esek használhatják, hogy visszatérjünk.

Így, ez jó. Jó példa lesz.

De ő tudja, hogy hogy néz ki az az URL, tehát be tudja gépelni. A bérszámfejtéshez az URL. Igen, tehát hogy, mondjuk, valami ilyen végződése van az URL-nek, és ezt valahogy valahonnan tudja, mondjuk, megnézte egy képernyőről a HR-es kollégánál vagy a bérszámfejtő kollégánál. Vagy megkapta egy e-mailben óvatlanul. Vagy megkapta. És ha azt beírja direktbe, akkor a jelszóval történő azonosítás az nem múlik el, mert nem jól van ugye ez az egész implementálva vagy konfigurálva a rendszer, akkor ez egy hihetetlen nagy rés a pajzson megint csak. Tehát ezekre rengeteg ilyen példa van, akár meg nem nevezett ország kormányzati rendszerében vagy ilyen önkormányzati szoftverekben, ez előfordult, legalábbis anekdotaszerűen szoktuk mesélgetni.

Sem megerősíteni, sem cáfolni nem tudjuk ezeket a történéseket.

Tehát ez is egy olyan, ez egy példa a nem megfelelő hozzáféréskezelésre, de nyilván ezek a különböző hálózati eszközöknek a default. Admin Admin. Admin Admin, vagy stb. jelszavaihoz, hogyha nem nyúlunk hozzá, akkor hogyha egy támadó bejut a rendszerbe, akkor van egy lista az összes ilyen default beállításról, és akkor a támadó, az nyilván ismeri ezt a listát. Hogyha ezt nem állítottuk át, és már bejut a rendszerbe, akkor ezzel tovább tud jutni. Tehát ez egy.

Az hagyján, de hogy egy pillanat alatt meg tudja állítani a céget, mert egyszerűen átállítja ezt a jelszót, és az egyikhez köze fér hozzá.

Egy kiegészítést engedjetek meg, hogy ebbe az eszközökbe tartoznak a külső hőmérők is, jó? Tehát az IOT eszközök külső hőmérőjét. Ugye nem megerősíthető, hogy melyik cégnél, de hogy mondjuk azt, hogy nagy cég, annál csak egy hőmérőt szereltek föl, de domain adminnal tudott belépni a teljes rendszeren keresztül a támadó.

Ahogy a tíz alkalommal ezelőtt kb. a webkamerákról beszélgettünk, ugyanígy azt hiszem, az it.hu-nak a beszélgetésében.

Tegyük fel, hogy ezekkel a példákkal azért legalább néhány hallgatót meggyőztünk róla, hogy nála is van webes sérülékenység a cégben. És akkor azt mondja, hogy jó, ha már itt vannak ezek a díjmentes képzések a Digitaltech EDI kapcsán, akkor nézzük meg őket. Fölmegy a honlapra és megtalál ott, mondjuk, 14 képzést az aktuális következő nem tudom, másfél hónapra. Azért ez egy elég széles tárháza a lehetőségeknek. A 14-ből ő hogy fog választani. És akkor ide kapcsolódik az a kérdésem is, hogy a képzés mellett még miben tudnak hozzátok fordulni. Tehát, mondjuk, ma még nem használtuk azt a szót, hogy audit, de már nagyon vártam azt a percet az elmúlt negyven percben, hogy akkor ezt elmondjuk. Tehát hogy van egy olyan lépés a kiberbiztonsági, kockázatkezelési folyamatban, hogy auditáljuk magunkat, vagy inkább azt mondom, hogy megkérünk valakit, hogy nézzen rá ezekre a lehetséges kockázatokra, hogy mi lehet nálunk, miből lehet probléma nálunk, és akkor ezt hívjuk, mondjuk, nagyon leegyszerűsítve auditnak. Zoli, erről egy külön adásást meg tudna tteniim hívok auditnak, de most ezt nem fogjuk neki megengedni.

Az Audulitra való felkészülést, azt az egy szót engedjétek meg nekem, hogy annak az oktatás is ugyanúgy része.

És akkor az a kérdés, hogy például ilyet csinál-e, addig itt eltekeredik, illetve, hogy mondjuk, abban nyújtotok-e valami segítséget, hogy egy adott cégnek az ő helyzetében most melyik képzéssel vagy kinek melyik képzéssel kéne kezdeni.

Természetesen igen, tehát a képzések kínálata, meg az, hogy kinek mit érdemes, az lehet, hogy elsőre nem triviális. Ehhez a megfelelő weboldalon adott elérhetőségeken nyilván válaszolunk az érdeklődőknek. A másik az, hogy nemcsak oktatásra, hanem az eddig ezt tanácsadásnak hívja, tanácsadással is rendelkezésre állunk a kkv-knak. Van egy külön dedikált munkacsomag, ami tanácsadással foglalkozik, és meg is találtak már minket cégek és egyre többen találnak meg minket. Ugye ez megint egy ingyenes tanácsadási procedúra, ahol megpróbáljuk megválaszolni a kiberbiztonsággal kapcsolatos kérdéseiket kialakítani valamilyen processzor, ami még nem létezik stb. És tovább tudjuk irányítani a cégeket, hogyha ez valami nagyobb lélegzetű dolog, például auditra való felkészülés, tovább tudjuk irányítani a cégeket olyan partnerek felé, akik mondjuk abban specializálódnak, hogy auditra készítenek föl, esetleg kimegyünk a telephelyükre megbeszéljük azt, hogy milyen változtatások szükségesek a kiberbiztonsági hozzáállásukban vagy folyamataikban, vagy ha nem léteznek ilyen folyamatok, ami valószínűleg gyakoribb, főleg a kis cégek esetén, akkor segítünk elindulni abban, hogy hogy hogy kell ilyeneket definiálni.

Hadd kanyarodjunk el egy olyan irányba, amibe nem szoktunk, de most nagyon jó alkalom van rá. Ugye rengeteget ekézzük, meg taglaljuk, meg elemezzük a helyzetet a kkv vezetők, meg cégtulajdonosok körében. Hasonlóképpen rengeteget elemezzük ezen belül a HR folyamatok és a HR felelősségi körök kérdését. A tanácsadókról kevesebbet beszélgetünk. Volt már rá példa, én emlékszem ilyen adásra, azt hiszem pont a Szamosközi Péter volt a vendégünk, amikor ebbe belementünk, de azért ma is belemennék, mert hogy kihasználnám azt, hogy Dr. Biczó Gergely egyrészt oktató egyetemen, másrészt tanácsadó, digital tekerésben, képzéseket is tart benne. Tehát hogy elég sok helyen kapcsolódsz, én úgy érzem, a magyar IT biztonsági szakmához, hogy hogy látod a tanácsadók világát.

Tehát ha én, mondjuk, most cégvezető vagyok, belekerülök ebbe a körbe, ebbe a Digital Techedik képzésein részt veszek, meg elkezdek beszélgetni és tovább irányítanak engem. Mekkora esélyem van nekem cégvezetőként egy jó tanácsadóhoz jutni? Vannak hazai, mert ugye azért lássuk be, nagyon sok cégvezető nem beszél angolul, tehát most itt erősen a magyar nyelven elérhető kiberbiztonsági, audit és tanácsadási körre szeretnék rámenni. Tehát hogy mekkora esélyem van valóban értéket kapni ezen a piacon, illetve, mondjuk, ti a BME-n foglalkoztok-e kifejezetten azzal, hogy kiberbiztonsági tanácsadókat tudjatok adni a piacnak?

Hú, ez egy összetett kérdés. Tudom, de hát most már 40 perc alatt rájöttem, hogy ezt föl lehet neked tenni. Köszönöm szépen a bizalmat. Igen, tehát mi mint megpróbálok fordítva válaszolni a kérdésemre, arra még emlékszem, hogy mi volt a vége. Mi mint BME, ugye alapvetően nem vagyunk arra felszerelve, hogy konkrétan mi vegyünk végig, mondjuk, egy auditra felkészülést vagy akár egy auditot, tehát nem illik a mi profilunkba, viszont kapcsolatban állunk olyan cégekkel, akik értéket adnak a vállalatvezetőknek a pénzéért. Tehát nyilván olyan cégeket ajánlunk itt, akik az adott alproblémában járatosak. Tehát, hogyha valakinek, mondjuk, valamilyen rendszerbiztonsági kérdése van, tehát nemcsak, mondjuk, simán auditra akar fölkészülni, hanem konkrét kérdése van biztonsági szempontból, amihez nála nincs meg a tudás, akkor tovább tudjuk irányítani olyan céghez, aki ehhez valójában valóban ért.

Honnan tudjuk, hogy valóban ért hozzá? Mondjuk, például mi képeztük őket. Tehát nyilván van egy ilyen kapcsolati hálója a labornak, és nyilván vannak olyan auditáló vagy auditra felkészülő cégek is, akik már régebb óta jelen vannak a magyar piacon és tudjuk, hogy jól dolgoznak. Tehát ilyen szempontból az Eddie-nek lehet egy ilyen, hogy mondják ezt szép magyarul, matchmaker?

Nem, network.

Kapcsolatteremtő vagy.

Igen, igen. Tehát, hogy egy ilyen.

Kicsit minőségbiztosító is ebből a szempontból. Nyilván nem vállaltuk rá, gonosz, de azért mégiscsak egy kicsit ilyen előszűrő mód ez.

Most lehet, hogy a projektvezetőm ezért csúnyán fog ránézni, hogyha ezt hallja, hogy mi vállaljuk azt, hogy ő le se jöhet.

Először is levegyem az izét, a terhet. Ugye, hogy húszéves az OD and IT, aki kiberbiztonsággal foglalkozik és felkészítésekkel. Most az egyik tulajdonosa itt ül a városban. Az egyik tulajdonosa itt ül a városban, és a másik pedig dolgozik.

Amíg ön beszélget.

Amíg én beszélgetek.

Igen, de legalább egy másik cégtárssal itt ülök és beszélgetek, tehát felmentésem van. Ilyenkor felmentésem van. Oké, tehát hogy nagyon-nagyon fontos az, most egy kicsit, hogyha megengeditek, akkor kiegészítem ezt a dolgot. Tehát ugye húsz éve vagyunk mi is a piacon. Itt ebben nem a húsz év a lényeg, hanem az a tapasztalat, amin végigmentünk, és azok a projektek, ahol láttuk azt, hogy mi az, amikor kényszerből kell megcsinálnunk valamit a csekklistáért, meg az, amikor valóban valaki szeretne hosszú távon fennmaradni és külföldi projektekben részt venni?

Három perc. Ezt három perc alatt el tudom dönteni egy új beszélgetésben.

Így. És ez az a fontos, hogy az, amikor mi elvállalunk például, most egy picit a tanácsadó szerepéből szeretném ezt megközelíteni, hogy IT és kiberbiztonság. Mennyire fontos az az edukációs tevékenység, amit ti végeztek, mert aki nálatok járt és utána keres meg bennünket, ő már nem azon kezd el velünk szórakozni és nem szórakozás szó szerinti értelmében gondolom, hanem hogy a mentális részében, amikor kifogytak mellőle már az emberek, akik azt mondják neki, hogy és keres egy új versenytársat. Tehát saját maga az ügyvezető mellé keres egy játszópajtást, és kiberbiztonság címszóval megmutatja, hogy ő a Jancsi. Ugye? És ez egy elképesztően fontos dolog, amit szeretnék mondani, hogy a Digitaltech EDI képzéseiből megérkező cégek fel vannak készülve arra, hogy nem játszani jönnek.

Ergo a nem játékból egy valós, valódi értéket képviselő kiberbiztonsági felkészítést van lehetőségünk megcsinálni, ami azért jó, mert nem nekünk kell győzködni arról, hogy neked ez kell, hanem ő már úgy jön hozzánk, hogy neki ez kell, és abból a palettából, amit nyújtunk, ő fogja érteni, mi az, hogy kockázati mátrix, és miért fogunk megcsinálni egy gap elemzést, kockázati elemzést, és miért kell neki egy olyan IT biztonsági felelős személy, aki egyébként tud neki segíteni a cégen belül is az incidenseknek a keresésében, mert hiába van jó IT biztonsági rendszered, hiába van jó IT biztonsági üzemeltető gárdát. Ha a végén, amit kapsz információkat, nem tudod a vezetőségnek visszafordítani abba, hogy fejlessze az IT biztonságot.

Ez a kis kiegészítés, és itt szerettem volna itt összekötni, hogy a tanácsadó akkor tud jól működni, hogyha van felkészítés és ez a kettő kölcsönös, mert akkor fognak menni felkészítésre, hogyha van jól elvégzett projekt.

És hadd kapcsolódjak ehhez, hogyha valaki elvégzi mondjuk a néhány hozzáillő tanfolyamot itt a kiberbiztonsággal kapcsolatban az egyikben, akkor valószínűleg fog tudni kérdezni, méghozzá olyat fog kérdezni, aminek van értelme, és ez egy nagyon fontos tudás vagy skill, mert hogyha az ember csak úgy megy oda, mondjuk, hozzátok, hogy akkor szeretném végigpipálni a niche kettőt vagy valami, akkor annak annyi hozzáadott értéke nem lesz, mint amennyi lehetne.

Valószínűleg ugyanakkora munkával különben nektek ugyanakkora munkát végezni?

Nem vállaljuk el. Én azt szoktam mondani az ilyen típusú hozzánk jövő tisztelettulajdonosoknak, hogy mi bentlit árulunk és nincs Volvónk. El fogom vinni a Volvo kereskedésbe, és megmutatom, hogy szerintem ki az a legjobb óvókereskedő, aki ezt be fogja vállalni, de mi már nem vállalunk ilyet.

És ez egy nagyon fontos szemlélet, hogy egyébként nem is keresnek minket azok, akik így, ebben a gondolatban, hogy hát akkor pipáljuk ki. Nem, mi a szakmai részét szeretnénk úgy képviselni, hogy az hihető és vállalható külföldön is.

Azért feszegettem ezt a tanácsadói vonalat, hogy most akkor van-e és milyen tanácsadási piac, ha egy kkv-ban egy valós igény merül fel és nem játszadozni szeretne, mert ugye már utaltam az Allianz barométerre, hogy évek óta ez a top kockázat. Ugye az üzleti életben általában szeretném hozzátenni, hogy nem az IT biztonságon belüli legnagyobb kockázat, hanem az összüzleti kockázatban, másrészről meg egyre több ilyen elemzésben látszik, hogy exponenciálisan nő a támadásoknak a száma. Tehát, hogy minthogyha nem tudom, eddig csak néhány kis kétlövetűvel lődöztek volna a szakmában, mondjuk így, vagy így a kibertámadások világában, most meg 100 sörétes puskával lődöznek, tehát hogy sokkal könnyebb áldozatul esni, és ez még nem biztos, hogy tudatosult mindenkivel.

Mostanában, mondjuk, tudatosul, és akkor hirtelen elméletileg akár exponenciálisan nőhet a tanácsadókra való igény is ebben a szektorban. Bizonyos méret fölött majdnem biztos vagyok benne, hogy ez lesz, és hirtelen az lesz az előnyben, aki már időben lépett és megtalálta a maga tanácsadóját, mert az M+1. ilyen cég már nem fog tanácsadóra lelni szerintem, vagy csak valami olyanra, amire, mondjuk, nem biztos, hogy szüksége van. Úgyhogy én mindenkit arra biztatnék a hallgatóságban, hogy most gondolja át, hogy van-e rá szükség vagy elengedi ezt a gyeplőt, mert hogyha úgy gondolja, hogy valóban szeretne foglalkozni ezzel, akkor már nem sok ideje van megtalálni a hozzávaló szakembert szerintem, és akkor pörögjünk is tovább, mert lassan véget ér az erre szánt idő.

Az eddig ugye egy európai hálózat European Digital Innovation Hub Network, tehát lassan 300 ilyen központ működik. Mindenki a saját országában tevékenykedik természetesen, Magyarországon is van öt ilyen különböző tematikában, és hogy hogyan működtök ti együtt? Mit látsz, ha egyáltalán látsz értéket abban, hogy ez egy hálózat?

Igen, hát a különböző eddigiek közül van három olyan az adattal kapcsolatos, a mesterséges intelligenciával, meg ugye a digitált tájak, amiben, mondjuk, a Budapesti Műszaki Egyetemnek és azon belül is a Villamosmérnöki és Informatikai Karnak van szerepe. Ez önmagában egy nagyon szép eredmény szerintem és gratulálni szeretnék hozzá. Köszönöm szépen. Az oktatásban részt veszünk egyébként a mesterséges intelligencia eddigiben is. Va, vagy lesz, merthogy az nemrég indult, lesz egy olyan kurzus, ami a gépi tanulás, mesterséges intelligencia kiberbiztonsági kérdéseit feszegeti. Ugye ez például egy olyan terület, ami rendkívül népszerű, akár a nemzetközi kutatásban, akár a cégeknél ugye azzal, hogy a gépi tanulást bevetem védekezésre, mert bizonyos dolgokban jók, például mondjuk anomália detekcióban, az tök jó, viszont cserébe, hogyha nekem gépi tanuló modelljeim vannak a rendszeremben, az egy újabb támadási felületet is hoz, amit még azért annyira nem értenek a kutatók sem, hogy hogy hogy működik.

Minden hónapban jön ki egy újabb cikk, a legnevesebb amerikai vagy európai vagy kínai egyetemekről, ahol újabb és újabb támadásokat találnak, amik kifejezetten a gépi tanuló modelleket célozzák. Ez egy olyan terület, ezeknek a megvédése egy olyan terület, ami felemelkedőben van, és az egyik kollégám a krízis tavon belül Ács Gergely, ő foglalkozik ezekkel a témákkal és oktatja is ezt. Egyébként ez a tárgy most megy először a BME-n.

Az az izgalmas, hogy ez egy olyan válasz, ami egy másik fel nem tett kérdésemre a válasz, amire nem gondoltam, hogy jut idő, de most már jutott, hogy én innováció menedzsmenttel foglalkozom, amikor éppen doktoranduszként tekintek magamra, és ez egy innováció, tehát ezen a téren, amivel ti amúgy foglalkoztok, és most eddig inkább a mainstream, vagy inkább a már tömegesen elérhető sztenderdeket tárgyalgattuk, de hát azért van ennek egy ilyen, a görbének a végén található K+F vagy innovációs területe.

A mi eddigünkön belül voltak például tananyagfejlesztési kollaborációk itt a kurzusokkal kapcsolatban, meg hát ugye nemcsak a BME-t tart, mondjuk, a Digitaltech eddigi kiberbiztonságot, a Debreceni Egyetem, az ELTE is tart, tehát ebben az értelemben nem versenyhelyzetben vagyunk, hanem kollaborációban itt a projekten belül.

Nagyon fontosnak tartom, merthogy önmagában az egyetemen belüli együttműködés is elképesztően sok eredményt tud hozni.

Tehá, hogyha most én hozom a másik két egyetememet, a Miskolcit és a Tokaj-hegyalját. A Tokaj-hegyalja gazdaságinformatika. Nem tudok úgy tanítani gazdaságinformatikát, hogy legalább valamiféle kiberbiztonsági dolgot ne mondjak el, ugyanakkor a Miskolci Egyetemen, ahol meg én Phd-zom, ott pedig a földtudományokhoz tartozó mintavételi eszközök miatt van megint kiberbiztonság, mert hogyha egy fúrójukba leengedek egy szondát és tíz centinként fog küldeni egy adatot, hogyha azt az adatot megmásítom, akkor probléma van. Ez az egyik. A másik, hogy precíziós mezőgazdaság, drón. Ha egy szenzornak az érzékelését átállítom és nem ugyanoda, gondolom a tábla fölött, ahol permetezni kéne, de egyébként A, eltérítem a drónt, B, megváltoztatom az adatokat, C, hogyha én ezt egy permetszerrel teszem, akkor nemhogy megvédem a növényemet attól, hogy kártevő, hanem én fogom kipusztítani.

Egy dologra hadd menjek még rá. Itt, ahogy mondtad a precíziós mezőgazdaságot, te meg mondtad, hogy. Innováció. Innováció, meg azt, hogy egyre több kiberbiztonsági incidens kerül napvilágra. Ugye ez nyilván egy kicsit ilyen több paraméteres dolog, mert egyrészt azért, mert jobbak a detektáló rendszereink, ugye amit nem detektálunk, az nem kerül napvilágra, másrészt azért is, mert egyre inkább elterjedtek az olyan rendszerek, ahol van ítéletrész, ugye egy amúgy egy valós folyamatot vezérlő rendszere, például ugye földmérés vagy földmérést mondok, de.

Legyen ez a permetezés, tehát a legegyszerűbb verzió.

Permetezés vagy akár egy gyár irányítása egyébként, ahol ugye van egy kiber rész, meg van egy fizikai rész, ezeket hívjuk kiberfizikai rendszereknek és a rendszerek nagy része most már ilyen, tudunk úgy a valós fizikai folyamatban változást előidézni, hogy a kiber részét megtámadjuk a rendszernek. Tehát például mondjuk befolyásoljuk azt, hogy nem tudom én mennyi káros anyagot bocsát ki egy gyár azon keresztül, hogy mi megtámadjuk az irodai hálózaton keresztül a vezérlőrészét a rendszernek. Ugye az ipari vezérlőrészt nyilván természetesen akkor, hogyha nincs megfelelően megvédve.

Itt a múltkori adásban pont a Fortinet OT security-jéről beszéltünk.

Na, itt jön vissza az, hogy miért fontos az, hogy mi azokról beszéljünk, mert hogyha a vezérlést megtámadom, akkor egy betongyárat is tönkre fogok tudni tenni, mert a hozzá tartozó mérési pontokhoz gyakorlatilag, hogy mennyi alapanyag mennyi, tehát a recept alapján mi kerüljön be, azzal én tönkre tudok tenni egy komplett építkezést, és ez elképesztően fontos.

Ugye itt egyrészt hatalmas anyagi kár tud keletkezni, de az igazán nagy paint point az az, hogy ugye itt emberi életben vagy egészségben akármekkora skálán eshet kár. Ugye a klasszikus példa a kibérfizikai rendszerekben való betörésnek az a Stuxnet. Ugye ez, hú, hát nem vagyok olyan jó évszámokban, de azt hiszem, hogy 2011 környékén derült ki ez a támadás, ahol meg nem nevezett szövetséges országok megtámadták Iránnak tulajdonképpen az iráni atomprogramot akarták lelassítani és ezért megtámadtak egy olyan urándúsító üzemet, hogy alapanyagot gyártottak atombombához, ami egy ilyen kiberfizikai rendszer volt nyilván, tehát nyilván IT-eszközökkel vezéreltek fizikai folyamatokat, magát az urándúsítást, amik ilyen nagyon gyorsan pörgő centrifugákban kerülnek dúsításra az urán és egy olyan rosszindulatú kártékony programot fejlesztettek, ami direkt arra volt kitalálva, hogy tönkretegye ezeket a centrifugákat, túl gyorsan pörgette őket, és ezzel tényleg, mit tudom én, 30 százalékkal vagy 20 százalékkal vagy 40 százalékkal visszaesett a dúsított urá.

Előállításra. Előállításra, és ezért tényleg visszavetette az iráni atomprogramot. Ez egy olyan mérföldkő volt itt a kiberfizikai rendszerek biztonságban, meg egyébként a malware-eknek a fejlődésében, ami meghatározó annak tekintetében, hogy az ember el tudja képzelni, hogyha ez nem egy urándúsító üzem, hanem, mondjuk, egy atomerőmű vagy, mondjuk, egy, nem tudom, egy vegyianyaggyár, akkor el lehet képzelni, hogy milyen incidensek történhetnek. Ezeknek volt olyan hatása, hogy megfelelő az ipari irányítási rendszerekben, a járműveknél, azóta sokkal nagyobb hangsúlyt fektetnek a kiberbiztonsági tényezőkre, egész egyszerűen azért, mert muszáj.

Elképesztően összetetté vált, és ezek a gépi tanuló modellek, mikor a Laci megfogalmazta ezt, hogy nőtt a támadásoknak a száma, ezért nőtt a támadásoknak a száma, mert egyre több olyan modell van, ami már kifejezetten mintavétel alapján vesz különböző támadási paramétereket. Ugye régen úgy fogalmaztad meg, hogy megnézik a lehetőségeket. Ugye generációs különbség is van. Tehát én nem feltétlenül a technikai rendszert fogom támadni kiberbiztonságban, lehet, hogy a személyt fogom támadni, merthogy a 70 éves cégvezető laptopját egyszerűbb ellopni az autóból, amin csak admin, admin a felhasználónév és jelszó, és ezzel fogok bejutni az ő gépén keresztül a rendszerbe, vagy megnézem, hogy mikor megy ki a titkárnője úgy kávézni, hiszen ennek a kiváló tulajdonosnak biztos, hogy van egy titkárnője, aki biztos, hogy rendelkezik az összes hozzáféréssel, mert a Marika 1, mindenhol Marika 1 fogja végezni magát a rendszerekben az admin-admin feladatot, és nekem azt az időt kell kihasználnom, amíg ő kávézik, de nem csukta be a gépét.

Tehát én ezt szeretném mindenkinek még így kiegészíteni ebben a kiberbiztonságban, hogy az ember az mindig egy olyan potenciálisan veszélyes tényező lesz, amit nem lehet szondázni. Ezért fontos az oktatás.

Ennyi fért bele a mai adásba. Köszönjük Gergely, hogy nyitott voltál az európai digitális innovációs hub-ok és ezen belül is a digital technológia kiberbiztonsági vonalának a bemutatására. Nagyon szívesen. Köszönjük szépen!