Kiberbiztonsági trendek: szabályozás, felelősség és szervezeti vakfoltok

[Zene] [Taps] [Zene] Üdvözlök mindenkit. Ez itt a Digit Podcast személyi László vagyok, a Futurál vezető partnere és társam a krimiben Szekér Zoltán, az Audi és a Sailing Hungar alapító ügyvezetője. Sziasztok, jó napot kívánok. A Digit podcast célja, hogy akit nem elégítenek ki a felszínes cikkek és a hangzatos jelszavak, az közelebb kerülhessen a digitalizáció és az informatika mai meghatározó trendjeihez. Mi itt a mélyére fogunk ásni a dolgoknak. [Zene] Számos adásban említjük, hogy ja, és még egy fontos szempont a kiberbiztonság. Néha egy mondatban még gyorsan elmondjuk azt is, hogy miért, mert a támadások száma a világban, a konfliktusok mélyülnek és így tovább. De hogy honnan hová tart ez a szakma, vagy rablóból lesz-e a legjobb pandúr, vagy egy Kisországnak mekkora esélye van a nagyok játékában? Én azt hiszem, itt az idő, hogy egy adásban az elejétől a végéig főszerepet kapjon a kiberbiztonság.

Vendégünk nemcsak tapasztalt szakember és az utánpótlás nevelésnek az élharcosa egyébként Zoli is az, de egyben a Digital Techik munkatársaként a KKV-k és a felsőoktatás elkötelezett fejlesztője is. Köszöntjük a stúdióban Kocka Ferencet, a Nemzeti Közszolgálati Egyetem és az Eszterházi Károly Egyetem oktatóját. Én is köszöntöm a hallgatókat. Köszönjük, hogy eljöttél. Ferenc, így bemelegítésként hadd kérdezzem meg, hogy mennyire hiányszakma a tiéd ez a kiberbiztonsági szakember, hány diák jelentkezik ilyen képzésekre, mennyi hely van, mennyire nehéz egyébként a cégeknek ilyen szakembert találni? Igazából ez, hogy kiberbiztonsági szakember, ez egy többű fogalom. A ugye, hogyha egy közembert megkérdezel erről, akkor ő általában egy jó rendszergazdára gondol, aki képes megvédeni mondjuk az adott cég rendszereit. De valójában, és el kell mondjam nektek, hogy erre én is mondjuk egy az elmúlt 10 évben jöttem rá, vagy szembesültem vele, hogy igazából a kiberbiztonság nem csak ez, sőt majdnem, hogy azt mondom, hogy talán nem is ez a legfontosabb része. Nyilvánvalóan fontos, de nem csak ebből áll. Ugye, hogyha ha a kiberbiztonságot, mint egy komplex dolgot nézel, akkor abba beletartozik az is, hogy mondjuk felhasználó mit csinál

adott helyzetben. Azt hiszem a legtöbb hallgató számára is, mert az, hogy ugye számos felhasználót megpróbálnak becsapni, például hozzáférni a bankszámláinkhoz satöbbi, de ugye elvárják, hogy a elvárjuk, hogy a rendszerüzemeltetők a lehető legnagyobb biztonságban működtessék az adott rendszert. De a kiberbiztonságnak a része például, a már az informatikusok által nem olyan kedvelt terület, mondjuk a szabályzatok megírása, a jogiosztály mondjuk a szabályzatok betartása, egy HR osztálynál például az, hogy a kilépő dolgozókat kivigyék a rendszerből, hogy majd utána például az ablak előtt még ott állva a wifi kapcsolaton keresztül ne lehessen visszatérni az adott rendszerbe. Tehát ez egy meglehetősen komplex kérdés, hogy hogy mit is jelent a kiberbiztonság. És hát ennek a helyzete egyébként azért azt mondom, hogy az utóbbi időben egyre inkább javul. Egyre több kiberbiztonsági szakember keletkezik, tehát egyre többet képeznek, egyre több felsőoktatási intézmény száll ebbe bele magába ebbe a műfajba. Mindenesetre a olyan túl sok szakember egyelőre nincs. Hadd tegyem hozzá, hogy az én buborékomból tudok véleményt mondani. Tehát amire én rálátok, az az, hogy a hogy a cégek most a nis-es szabályzás miatt kötelező az

informatikai biztonsággal, a kibervédelemmel foglalkozniuk. Ehhez a megfelelő szakembert igénybe kell venniük. És hát egyelőre úgy tűnik, hogy bár a szándék az én véleményem szerint egyébként helyes, de megfelelő számú szakember jelen pillanatban nem áll rendelkezésre, mivel ugye érezhető, hogy ez egy meglehetősen összetett terület, hiszen hogy tudsz úgy mondjuk egy szabályzatot írni, hogy nem értesz az informatikához? Ha az informatikust kérdezed meg, ő a szabályzatot a legtöbb esetben biztosan nem akar írni. Ő a kütyűvel akar, most degradálom ezt a dolgot, de de hogy az ő ő irányultságuk arról szól, hogy milyen műszaki berendezés, milyen szabályok mentén működik. És ugye ezt a területet érzik sajátjuknak.

Igen. A leg legővebb dokumentum, amivel szívesen láttam informatikust foglalkozni, az a kütyűnek mondjuk hívjuk, így a műszaki leírása volt. És már azt is nagyon kevesen szeretik megtenni. Te Zoli, nagyon bólogattál itt, és így visszautalnék az elején elhangzott néhány példára, hogy ezek ilyen kedélyes példák a wifel az ablak előtt meg a kilépő kolléga, de hogy ezek mind a való életből vett példák. Hát élő élőben tapasztaljuk mi ezeket. És az is igaz, hogy a és a szakemberhiányt is a a szakemberhiányt egyértelműen tapasztaljuk. Tehát, hogy egy picit akkor foglaljuk össze. Megjelent egyszer egy szabályozás. Ez a szabályozás ez a kritikus infrastruktúrákra vonatkozik. Több mint 4000 cég. és 4000 cégnek kellene megcsinálni azt a szabályozott környezetet, amiben ő besorolja azt, hogy egyes, kettes vagy hármas osztályba tartozó infrastruktúraelemekkel operál.

És operál, tehát nap mint nap működ 24 órában. Mind ugye ehhez a a hagyományos számítás technikus a aki aki üzemelteti, ő nem biztos, hogy tudja, hogy megfelel-e. Nem biztos, hogy a NIS 2 esetében vannak megfelelő szabályozáshoz adott egyértelmű utasítások. amiben be tudsz sorolni egy eszközt, hogy az megfelel vagy nem felel meg. A másik, hogy a cégek gondolkodása és a költségcsökkentés jegyében ők azt mondják, hogy hát ki az, aki látott már informatikát? Ó, a nem tudom én a keresztfiam tud weboldalt csinálni, majd ő lesz az IT biztonsági felelős. Jó, nyilván ez a 4000 cég esetében azért val 4000 cég esetében azt gondolom, hogy a szakember hiány itt kezd el veszélyessé válni. tudnilik, ő nem fog érteni jobban ahhoz, hogy neki milyen szabályzatban milyen felhasználó policiket kéne megcsinálnia, hanem lesz egy ember, aki alá fog írni, ki fog pipálni különböző megfeleléseket.

Ettől ő még nem csinált semmit. papíron létező szabályzásnak megfelelő rendeleteknek papírokat gyártott, de ténylegesen a beszállító értékláncodon, ahol kötelező lenne, hogy megjelenjen ugyanez a szabályozás és ugyanez a védelem, nem történt intézkedés. És mindjárt visszaadom a gondolatot, hogy miért miért lenne, miért fontos, és miért egyre fontosabb ez a kiberbiztonsági szabályozáshoz tartozó szakemberképzés. Azért, mert a kibertámadások áttértek egy olyan térbe, amit a virtuális térben már az AI kezd vezérelni, és erre nem fogsz tudni sem információt kapni, hogy hányan támadtak meg, sem arra nem fogsz tudni információt kapni, hogy mi ellen védekezel, és azt sem fogod tudni megmondani, hogy a cégednek melyik adatvagyon elemét vitték el azok a támadók, ami egyébként értéket képvisel.

Ebből a szemszögből, hogyha megközelítjük, akkor valóban igaz az, hogy nagyon sok esetben az informatika nem így van megközelítve, hanem Excel szinten van megközelítve, Excel oktatással van megközelítve, weboldal készítéssel van megközelítve, és akkor amikor a Laci szakterülete az innováció és sikeres komplexvizsgát tett, és gratulálok neki. Köszönöm szépen. De hogy ebből a szempontból az innovációhoz tartozó ipari kémkedések is az informatikai felületeken keresztül lesznek képesek bejutni a rendszerbe, és nem tudjuk, hogy mi van abban a rendszerben, amit üzemeltetnek. És itt visszaadnám egy picit a gondolatot, hogy miért veszélyes ez, és miért veszélyes az, hogy nincs megfelelő szakember, aki aki ezt kezelje.

Engedd meg, hogy még egy gondolatot hozzátegyek ehhez. A a cégek esetében az is komoly problémát szokott jelenteni, hogy ugye egyre többet, egyre nagyobb mértékben hagyatkoznak az informatikai rendszereikre, ugyanakkor nem számolnak azzal, hogy milyen teendőik lesznek akkor, hogyha valamelyik ilyen rendszer kiesik. Most nem is csak arra gondolok, hogy betörnek hozzájuk és ellopják, hogy célpontba kerültek, vagy akár így adathalász, hanem egyszerűen mit fog akkor csinálni? A ugye ez az üzletfolytonossági terv a a szakmában, amire például ugye minden ilyen cégnek, akit említettél a a számukra ugye el kell készíteni ezt a vagy nekik el kell készíteni ezeket a terveket és világos válaszokkal kell rendelkezni arra, hogy mit fogok csinálni, ha nincs telefon, nincs internet. Képzeljét csak, hogy egyszerű példa, mondjuk egy könyvelőí iroda, áfaballás. Hát ha egy könyvelőt fel akarsz idegesíteni, akkor 20-a körül vedd el az internetjét. biztos, hogy ugye a a az egy komoly problémát fog jelenteni nekik. És hogyha ezek a tervek megvannak, de mondhatnám a felhőt, ugye annyira divatos ez a felhőszolgáltatás igénybevétele. Meggyőződésem, hogy egyébként a a az ezzel kereskedők ugye ráveszik a cégeket arra, az előnyöket

hangsúlyozzák. Pedig azt nem mondom, hogy olyan sokszor, de találkoztam már olyannal, hogy a felhőből a földre visszatérni az az egy az egy komoly feladat tud lenni ám. A sokszor azt mondják, hogy lehetetlen is, mert ugye a a szolgáltatók szeretik ezeket a a felhő szolgáltatásokat, például egy részét csak a felhőben elérhetővé tenni, és ugye nem az van, hogy lemásolom a földi szerverre és ezt elintézem. Szóval ez egy ez egy hát nagyon mély ürgejuk a egy céges informatika. A sokszor onnan kezdjük, hogy egyáltalán milyen rendszereid vannak, vedd számba. Ugye említetted ezt a besorolást. A a besorolásoknak az az a az az első lépése, hogy sorold már föl, hogy akkor egyáltalán mitől függsz. És hát tudnék mondani helyeket, ahol azzal szembesült, ami még szerződésük sincsen.

Például egy weblapra, nem tudja, hol regisztrált a doményét, hogy mi van a weblapján, hogy abban van-e személyes adat. Tehát tehát ezeket én azt gondolom, hogy egy józan érdekük a a cégvezetőknek, a a tulajdonosi körnek és nyilván a a dolgozóknak, és hogy ezeket a a kérdéseket tisztába tegyék, átlássák. És hát most nem részletezem hol, de egy ilyen munkából kiesett beteggel beszélgettem valamelyik nap, aki büszkén mondta, hogy mennyire fontos a cégnél, hogy komoly problémát jelent a hiánya. Hát én ott üttem vele eszembe, és arra gondoltam, hogy hát igen, hogyha ennyire komoly problémát jelent a hiányod, akkor a cégvezetésnek gondolni kellett volna arra, hogy mi van akkor, hogyha te nem vagy elérhető. Tehát ezeknek a helyzeteknek nem volna szabad előállni.

És ez személyes felelősség is szerintem. Tehát ha én dolgozom valahol, akkor akkor nem akarom megkerülni azt a dolgot, hogy mennyire vagyok nélkülözhetetlen, mert mert egyszerűen nem tudok nyugodtan elmenni egy sporteseményre. Van egy negatív megfázni otthon. Üüm. ami ami megtörtént, hogy hogy hát nem akart ő felügyelet nélkül hagyni semmilyen rendszert, egyszerűen kilépett a cégtől és elütött egy autó. És nem volt önhiki, ugye az önhibáján kívül. Igen. Tehát hogy hogy de erre sem feltétlenül van felkészülve egyre egy cég. Tehát nincs meg az a az üzletfolytonosság, vagy az a disaster recovery, tehát amikor a vészhelyzetből megpróbálunk visszaállni. Ma ma én leszek az ördög ügyvédje. Tehát erre a szituációra egyre többször hallom azt, hogy de hát most már itt van az EMI, és majd mindenféle agenseket fogunk erre kialakítani. Nem baj, hogy hogy nincs annyi szakember, mert igazából egy- kettő elég lesz, és akkor a többit azt majd megvesszük Ágensben, meg kialakítjuk, meg meg automatizáljuk. Ö és egyébként ugye te is említetted az emit a támadások oldalán. Nagyon sok konferen minden konferencián téma az MI és nagyon sok konferencián hallom ezt, hogy hát az egyformán segíti a támadókat meg a védőket is. De én ezt kicsit

laikusként, hiszen én nem vagyok informatikus, én ezt nehezen tudom elhinni. Tehát a a lőfegyveres példámat szoktam elővenni, hogy egy rendőr az messze nem úgy tudja használni a lőfegyverét a jogszabályi korlátozások miatt, mint ahogy egy bűnöző használja a lőfegyverét. Tehát most akkor ha már itt van ez az alkalom, és vannak olyan szakemberek, akiktől én ezt laikusként megkérdezhetem, akkor nyilván meg fogom kérdezni, hogy tényleg egyformán segíti, nem jobban segíti esetleg a támadókat az emi? Hát az, hogy a támadókat információkkal látjuk el, ez nem mostani eredetű. Hagy lépjek egyet vissza. A aktuális kérdés egyébként Európában az, hogy a az egyes szoftverek sérülékenységeit hogyan tartjuk. Nyilván a Trump elnök áldásos tevékenységének köszönhetően egy úgynevezett CVE a nevű adatbázis, amiben az amerikaiak körülbelül 2000 óta a gyártók által ellenőrzött sérülékenységeket bejuttatták, arról részletes információkat kaphattál. Ez és ez publikusan elérhető a belig rákeresni erre a CV kifejezésre. Ugye ezt a rossz fiúk, rossz lányok, ki tudja már használhatták nagyon régóta. Tehát ez ez nem egy új keletű kérdés. A nem az EMI hozta be ezt a kérdést az én munkában.

Egy nagyon hasznos kis inasnak tartom, mintogyha volna egy segédem, aki bizonyos mértékig megold helyettem feladatokat. De van egy vicc erről, hogy amikor a programozó mondja, hogy készen vagyok a programommal, megírtam és hogy működik. Ja, azt nem tudom, mert ugye nem a nem a nem a nem ők írják már a szerintem a felelősség teljes használatához szükséges az, hogy egyrészt ellenőrizzük, ezt szerintem mindenki tudja, hogy ugye nem tévedhetetlen, másrészt pedig elő tud állni olyan helyzet vele, amikor megint egy olyan függőségnek tesszük ki magunkat, ráadásul egy ingyenesen használható, vagy most mi lesz akkor, ha a havi 20 dollárért sem vehetjük meg többé, mondjuk a chat GPT-t, a akkor akkor mit fogunk majd csinálni ezzel az oktatásban lévő ő romboló hatását, azt kifejezetten kiemelném. Igen. Hogy ez mivel jár, de én azt gondolom, hogy a használata az egyébként megkerülhetetlen. Egy csomó munkaidőt megspórol.

Ha az ember érti, tehát hajlandó arra, hogy azt a választ, amit kap, azt megértse. És gondoljunk mondjuk egy jogi tanácsra, egy gyógyszerszedésre. Biztos ismeritek az agymenőkből azt a jelenetet, ha szoktátok nézni, hogy hogy mondjuk valamilyen betegsége van, vagy tünetei vannak Sherdon Coopernek, és akkor kihozza, hogy ez malária lesz, pedig azon az éghajlaton abszolút lehetetlen az a válasz. Úgyhogy ez ezen feltétel ez menni fog. Amit én én viszont komolyan vennék, az az, hogy ugye az egyes nemzetállamok, ahogyan korábban a kvantumcuter volt, a a nagy hype, azt talán azt a mesterséges intelligencia teljesen háttérbe tolta volna. A a ugye mindenki fejleszti a sajátját, abba minden bizonnyal korlátokat nem fog beletenni.

érezhető hát meg lehet próbálni, mondjuk, hogyha azt mondod, hogy hogyan lehet feltörni egy ilyen-olyan routert, akkor arra nem fog választ adni. Ezek a neuronok úgymond át vannak vágva benne. De az egyes nemzetállamok nem lesznek annyira ostobák, hogy a saját biztonságuk előretörésük érdekében ne tennék meg azokat a a lépéseket, amelyek ezeket korlátok nélkül használhatóvá teszik. És egy mondatot engedjetek még meg ezzel kapcsolatban. Ugye az EU nemrég jelentett jelent meg az ezeket a kérdéseket [Zene] firtató ajánlásaival. És hát ugye ez olyan, mint amikor az ember saját magát korlátozza olyanokkal szemben, akik ezt a korlátozást magukra nézve nem tartják majd kötelezőnek. Nem is ugye ez az AI act ez lett az EU-nak a szabályozása az AI-ra. De itt most egy picit térjünk vissza. Szerintem kettő kettő irány volt, amit amit meg még fejtsünk ki. Az egyik, hogy ugye a digitál tech edich vagy ebből a szempontból a szakemberképzés, a második része pedig az oktatás, hogy mit látsz, hogy hogy alakulnak ezek a vonalak, tehát hogy a cégek hogy érdeklődnek nálatok, illetve az oktatásnál milyen képzések a népszerűek.

Én személyesen egy oktatásra látok rá. Ez a felhasználó kibervédelmi képzése. Erre van egy öt órás. Ilyenkor mindenki a szívéhez kap, hogy mi mit lehet erről öt órát beszélni, de van egyre egy öt órás blokk, amiben sorra vesszük ezeket a területeket. Hát ez olyan tudod, mint amikor a pedagógus azt mondja, hogy szeretik a gyerekek. Tehát igazából, de le tudom mérni abból, hogy sokszor kapok tehát amikor bekapcsolódik egy ilyen résztvevő, elmondja az ő tapasztalatait látni, azért ugye azért nem szeretem például távolléti oktatásban csinálni, inkább elmegyek még, hogyha ha vidéken van is, és inkább személyesen csinálom ezt a dolgot, azért, mert akkor sokkal jobb párbeszédet lehet kialakítani. Mindenkinek megvan egyébként a maga szintje. Tehát teljesen nullán lévőkkel nem találkoztam. De azért el kell mondjam nektek azt, hogy én életemben két emberrel találkoztam, aki azt mondta, hogy őt soha senki be nem tudta csapni, én nem tartozom közéjük.

És az a véleményem, hogy mindenkinek megvan a maga szintje, ahol már becsapható. Rendelsz valamit, és akkor jön be éppen egy olyan levél, ami egy csomag küldőszolgálatról. hogy már sokkal könnyebben elhiszed. Tehát a vannak ugye ezek a célzott levelek, alig lehet észrevenni már, hogy ennek, hogy ennek a tartalma nem valós. Tehát én azt gondolom, hogy erre egyébként mindenkinek szüksége van. Hát gyakorlati szempont, hogy ugye a 4000 cégben ez egy pont vagy egy egy sor, amit ki lehet pipálni. A program keretében a cégnek nem kell fizetnie érte. Gyakorlatilag csak be kell küldenie az érdeklődő hallgatóságot. És hát hagyd tegyem hozzá, ahogy történik mondjuk egy probléma, elindul egy zsarolóvírus mondjuk valakinek a gépén, mert nem jól dönt. A nem csak arra tanítjuk meg őket különben, hogy mit ne csinálj, hanem ha már bekövetkezett a baj, akkor például arra, hogy azonnal húzd ki a gépedet a a tábból, és akkor szóljál a ne próbálj meg sumákolni. Ez a jó kifejezés. Ne próbálj meg hallgatni, mert azzal csak egyre nagyobb és nagyobb lesz a probléma, hogy együtt kell működni. A rendszergazdáknak mindig azt tanácsolom, hogy bármilyen mulatságos és számodra a felhasználó hozzánemértésre, akkor fogsz partnert találni benne,

hogyha ha együttműködsz a a vezetők számára. Külön téma az, hogy mondjuk hogyan selejtez, hogy hogy mondjuk a távozódolgozó, amit már említettünk, tehát ez egy komplex egész. És azt kell mondjam neked nektek, hogy egy olyan csoport volt az eddigi gyakorlatomban, ahol ahol nem éreztem jól magam. Volt önkormányzatoknál kórházakb többször visszahívtak ezt úgy értsétek, hogy hogy van ahol már a a városban inkább már a vállalkozókat is behívja az önkormányzat ebbe. Tehát tehát én úgy gondolom, hogy ez jól működik ez a fajta képzés. A másik, amiben tapasztalatom van, ez pedig egy hát tulajdonképpen azt mondom nektek, hogy sértékenységvizsgálat. Az az alapgondolat annak idején a a egy dolgozatomban vizsgáltam azt, hogy egyetemek esetében milyen típusú hibák azok, amelyek amelyek egy informatikai rendszerben megjelennek. És az én méréseim szerint 90% a a rendszerüzemeltetők által elkövetett hiba, és csak 10% az, hogy sérülékeny a szoftver. Na most mit csinál egy rendszergazda? Hát ha ha vak van, erre már utaltál, akkor mindig telepítem főnök a frissítéseket, és akkor ezzel rendben van, de ezzel ezzel csak azt a 10%-ot küszöböli ki.

Van egy programunk, amiben saját maguk tudnak tartósan sérülékenységvizsgálatot csinálni ingyenes megoldásban. Remélem, hogy ez a jövőben is így maradt, hogy ingyenes marad ez a megoldás. Ott tanácsodás keretében megtanítjuk őket. Hát ez azt jelenti egyébként a gyakorlatban, hogyha szükséges, akkor nyilván megcsináljuk neki a a rendszert is, és csak üzemeltetnie kell. Nem is kérünk semmilyen hozzáférést a az őrendszereikhez, tehát mindent megtanítunk nekik, és utána ami amit egy nagy előnynek tartok, és hát néha azt mondja a rendszergazda, hogy figyelj már, először úgy csináljuk már meg, hogy csak én látom ezt a listát, mert egy picit közelítsük meg másonnal. Első dolog, ami így nyilván többre szeretnék reflektálni, de hogy egy csoportot mondtál, akivel nem érezted jól magad, ők kik voltak?

Hát az egy az egy az egy üzemben volt. Használtak számítógépet, de hát a kifejez tehát csak egy szoftvert futtattak rajta. A jogszabály értelmében ugye kötelezettek lettek volna, de ők Fekhér köpenyben üzemi munkásként ültek ott. Tehát ugye érthető volt, hogy rájuk a az én mondanivalóm nem annyira volt releváns, és ugye nem is érdekelte őket. És hadd utaljak még egy mondatban, bocsánat, nagyon sokat beszélek, hogy arra, hogy van egy vezető, az ő dolga nem az informatikai rendszernek a az az apró dolgaival való törődés. Ezekből a rendszerekből kijön egy riport, van benne piros, van benne sárga, van benne zöld. És hogyha minden héten bekéri, és azt mondja, hogy figyelj, nézzük már meg, hogy tudjuk ezeket a pirosakat csökkenteni, jövő hétre tudsz vállalni, hogy akkor most a 72-ből akkor tud lenni mondjuk mondjuk 62. Tudok, mi kell hozzá? Semmi, csak az, hogy megcsináljam. És a az utolsó 10-nél meg főnök venni kéne akkor ezt azt amaszt ugye a végét is, a az a maradék kockázatokat is csökkenteni tudjuk. vagy belemegy, vagy nem, de számára érthető lesz, hiszen akik egyébként dolgoznak vele, főként ha leveleket kezelnek a cégeknél, hát van ezekn ezekben az oktatásokban az egyik ilyen hogy mondjam, fölhördülési pont az

szokott lenni, amikor mindig úgy megyek, hogy megkeresem a felelős vezetőnek a nevét, rákeresek a Google-ben F type PDF, és megpróbálok aláírást, béjegzőt keresni. Ugye a üvegzseb programok miatt nagyon sok cégnek ki kell tenni a szerződéseit, és az egyik ilyen tanulság, hogy ne az aláírt meg lepecsételt szerződéseket tedd már oda, mert abból fogsz majd olyan leveleket kapni, mint az egri egyetem is, hogy iktatószámmal, célzottan a a helyes névvel aláírva fognak majd például hamis bankszámla számra átírási levelet küldeni neked, ami ugye már egy tulajdonképp én támogattam meg, hát én én mutattam meg ezt. egyébként a szóban forgó cégnél nagyon jót nevettem rajta, mert ő azt mondta, hogy ez szóba se jön náluk, náluk nincsenek kitéve a szerződések. Én ugye mivel készültem, én találtam. Igaz, nem nála, hanem a kórháznak a weboldalán, aki viszont kötelezett volt, és ugye kirakta ráadásul az árakkal együtt, ami és ez volt az a pont, ami nagyon berágott, mert ugye a kórházzal kialkodott árait tette közzé tulajdonképp a kórház. Ráadásul szóvá sem tehette, mert hát jogszabályi kötelezettsége volt rá. Igen. Tehát mondjuk, ha ismerte volna jogszabályt, akkor kevésbé lepődik meg. Én itt az oktatási témát így egy kicsit lezárva

két dolgot gondoltam kihangsúlyozni. Ugye ami szerintem minden cégvezetőnek jó, hogyha megmarad az adásból. Az egyik, hogy a képzéseitek egy egyszerre vagy egy menetben kezelik a vezetői feladatok és és kihívások témakörét, meg az összes felhasználónak a kihívásait és témakörét. Tehát nehogy leragadjon valaki abba, hogy ő vezetőként nem nem kell, hogy ehhez értsen. Másfelől meg hát a a vezetőnek a a támadások iránt való fogékonyságával is foglalkoztok. És azért azt gondolom, hogy most már eltelt pár év, amióta beszélgetünk különböző formákban olyan kiberbiztonsági témákról, amit cégvezetők is hallanak, akik valóban a rendszergazdára mágusként tekintenek. Tehát odáig azért a a tapasztalatim szerint eljutott a cégvezetők zöme, hogy őt azért előbb-utóbb majd őt is megtámadják véletlenül vagy szándékosan, de de valamivel foglalkoznia kell. És akkor már van egy alap feszültség benne, hogy ezt akkor most mennyire jól kezelem ezt a helyzetet. És akkor a a ti képzéseitek egy reálisabb képet fognak neki adni.

Tehát valójában talán a legnagyobb vezetőjel ez a feszültségcsökkentés, hogy ezt az ismeretlen kockázatot, ezt a bizonytalanságot, ezt jobban megfoghatóvá fogják tenni a képzések. A na most körülbelül félidőben vagyunk, és itt ez egy bevált szokás, hogy így mondjam, hogy ilyenkor van egy személy szál nevezetű vonalunk, ami ami teljesen abszolút semmi köze a témához, amiről eddig beszéltünk. Így van. Neked van ötleted, vagy mondjam én? De légys szíves. Jó, hát ugye sajnos három férfi ül itt a stúdióban, és és nincs közöttünk nő. Úgyhogy most egy férfias kérdést gondoltam föltenni, hogy kinek mit jelent az autó, hogy melyik autót, milyen autót szerettek, miért azt szeretitek, és egyáltalán szeretitek-e az autót, meg szerettek-e vezetni.

Én kezdjem most is. Akár hát beletaláltál ebbe a kérdésbe. A a pedig a hallgatókedvér elmondom, hogy nem beszéltük meg. Sosem beszéljük meg előre ezt a kérdést. Direkt a Facebookon gyakran szeretek vitázni ebben a kérdésben. Visszamenőleg azt mondom nektek, hogy kezdődött az automata váltóval. Ugye azzal szoktam hergelni a hozzászólókat, hogy kasztrálási élményük van, amikor ezt elveszik tőlük. Ugye valójában arra utalnék különben, hogy ugye világos, hogy valaki szeret gépészkedni egy ilyen járművel. Nekem erre egyébként van egy ilyen bokorugró motorom, ezzel rendezzük ezt a dolgot. Én ezt nem a közúton intézem. A amúgy a közúton egy robogóval járok, illetve most nemrég vettem egy villanyautót. A a korábbi pozíciómban használhattam a az egyetem villanyautóját. Én beleszerettem ebbe ebbe a az abszolút törődésmentes automata egypedálos vezetésbe, de azért, hogy ne legyek teljesen független a kibertémától. Néha úgy eszembe jut, amikor a pohármálna szörpön mellett elgondolkozom azon, hogy mondjuk a gyártó mennyire tud ebbe visszanyúlni, hogy ugye látják, hogy hol vagyok, mikor. Én én például ennyi 30-as táblát Egerben ugye ott lakom, én azt hittem, hogy nincsen ennyi. Én mi ez az első autóm, amiben táblafelismerő van, és

ugye állandóan kolompolt, és van itt tábla. Tényleg ez de tehát a sokat tanultam ebből, nagyon kényelmesnek tartom, de alapjában véve azt gondolom egyébként, hogy érdemes ketté választani ezt, és mindenkinek ezt tanácsolom. Van a közlekedés, meg van van a van a gépészkedés, meg lehet találni azokat a helyeket, ahol ahol egy hagyományos autóval, vagy az autóvezetés hagyományos dolgaival is az ember élvezetet talál. És én én lehet persze a koromnál fogva is így van ez. Én én ezzel az ezzel az elektromos autóval nagyon jól érzem magam. Hát én ehhez nagyon jól tudok kapcsolódni. Szerintem utoljára akkor volt ekkora forradalom így az autózásban, amikor az autók elkezdtek számítógéppé válni. Tehát már nem minden csak egy gomb volt, amit megnyomtam, elindult a rádió és pont, hanem volt már benne kijelző, akár érintőkijelző is, lehetett előre programozott dolgokat csinálni benne, vagy össze lehetett már kapcsolni a a telefonnal. Én ezt pont megértem úgy, hogy voltak még olyan autóim egy-kettő, ami nem ilyen volt, és utána már mert ugye mindegyik ilyen volt. Én úgy az X generációnak a vége vagyok, tehát hogy már az Y-t is értem, de de még az X szerint jobban, sokszor jobban szeretek működni. És akkor a

második az pont ez. Én nekem még nem volt villanyautóm, de cégeset már én is többször vezettem, meg a barátaimnak is lett egyikmásiknak. Úgyhogy én ezzel nagyon szemezek, hogy hogy vajon vajon az milyen élmény lehetne, hogyha tényleg letenném ezt a benzines világot. Most egy szívómotoros benzines autóm van, ami egy japán gyártótól származik. És abban meg azt élvezem, hogy az tényleg a hagyományos egyszerűség és elegancia technológiája, tehát hogy nincs agyon turbózva meg fele annyi hengerből háromszor annyi füst optimalizálás, hanem hanem tényleg egy ilyen klasszikus csöndes és és kultúrát cserébe nem tehát, hogy a száguldozás ez nem kifejezés, ahogy te az előbb mit tudom motorról és a bokrokról mondtál. Tehát, hogy itt itt komótosan lehet sebességet növelni. A gyorsítás szót nem használnám ebbe a konstellációba, ezt maximum egyesbe lehet úgy, de de hogy a villanyautó az Igen. És én viszont már úgy a láthatáron érzékelem, tehát hogy már úgy már úgy különböző expókon meg teszt pályákon már úgy szembe jön az, hogy amikor már nem én vagyok a sofőr, ez így nagyon jön. Sőt, lehet, hogy nem is az enyém az autó, hanem ugye jön egy ilyen shert szer, nem is nem is mondom autó meg, jön egy shert szervis, négy

kereke van meg szélvédője, kinyílik az ajtó és én beszállok és elvisz. És valaki vagy vezeti a háttérben, mert ilyen is van, hogy távvezetők vannak Kaliforniában meg egy-két helyen a világban, mert konkrétan az utakon mennek ilyen autók, ahol konferencián meg vagy hát expón meg tudod nézni, hogy milyen a vezérlőfelület az autókat üzemeltető cégnek a központjában, mint egy ilyen játékteremben, csak nyilván felelős körülmények között. Szóval a másik meg nyilván amikor nincs ilyen sofőr, hanem az autó szoftvere, ez már itt itt van, és ez egy teljesen másik élmény szerintem. Hát én havi 4 és 8000 km között vezetek. Vannak napok, amikor szeretném, hogy tudjon az autó önállóan vezetni, de ez főleg akkorra korlátozódik, amikor a a magyarországi örök felújítások és soha nem működő infrastruktúrában több órán keresztül próbálok meg megteljesíteni 100 km-t. De ha azt nézem, hogy szeretek-e vezetni nagyon, ezért aztán az autó preferenciái közé egyetlen dolog tartozik, a jó zene és a kényelmes ülés.

Tehát ha ha ezt teljesíti, akkor nekem mindegy, hogy milyen autóban ülök, de de azt is szeretném mondani, hogy hogy fontos, hogy milyen milyen érzés belőle kiszállni. Tehát nem nem benne ülni az egy dolog, de kiszállni belőle az is egy fontos dolog. Tegnap hallgattam a T-tattasék konferencián a Robert Somogyit, aki egy csillagos német autómárkának volt felső vezetője, és most meg a Nemzeti innovációs ügynökségnek felső vezetője itt van. És ő mesélte, hogy hát neki a a azt hiszem a gyerekei nem tudom a generációt pontosan belőni. akkor értette meg, hogy valami nagyon megváltozott, amikor a a gyerekei nem autózni mentek el az autóval, hanem beleültek zenét hallgatni, mert ott volt a legjobb a zenei élmény, és nem mentek sehova, csak ültek és hallgatták.

Engedjetek meg még egy gondolatot, bocsánat, de annyira ki kívánkozik belőlem. Kínában szoktam szoktam voltam néhányszor ilyen vendégoktató és most Wuhanban ki tudtam próbálni személyesen ezt az önvezető taxit meg ezt a nagy sebességű vonatot is egyébként Eger Budapest ilyen 23 perc tehát nem nagyon volt érdemes elővenni semmit a vonaton, hogy majd eltöltöm az időt. Az önvezető taxijuk valóban lenyűgöző volt abban a kínai forgatagban a ahol ahol mindenki csak dudál, ilyen kis motorokon járnak. Ak ott ők a szabályokat abszolút ilyen, hogy mondjam? Iránymutatás olaszosanutás. Hát igen, tartják be. És amikor az önvezető taxi ledudált egy ilyet, akkor olyan jót nevettem rajta. És az ára egyébként hát most mondom, most nem ne játszunk ott kitalálósdit, 25 perces út 500 Ft-ba került átváltva és valóban működött. Nem azt mondom, hogy hogy nem volt az az érzésed, hogy vezethetne jobban, de az én autómnál a b mondjuk az abban nincs önvezető, csak ez az alap szintű, de én azt a legtöbb esetben nem használom, zavaróan rosszul működik. A de ez ez lenyűgöző volt, azt kell, hogy mondjam. Úgyhogy bízom benne, hogy ez itt igen. Ez is a jövő. Én nem hiszem, hogy mindent ez kiváltana, de az biztos, hogy

egy teljesen más élmény. Én ugye nagyon sokféle dologgal foglalkozom, tehát az időmenedzsmentben, bár néha szeretek vezetni, de nagyon sokszor azért ülök vonatra, ha van lehetőség, akár nem csak Budapest Gödöllő, hanem hosszabb távokon, hogy tudjak dolgozni vagy olvasni. Én is szeretnék. Igen, bízunk benne, hogy ez eljön. A áttérnék egy picit itt a a kiből lesz a cserebogár kérdésre, hogy ki lesz ma kiberbiztonsági szakember, mik az elérési utak, azon kívül, hogy vannak szűzfejek, akik átjönnek a középiskolából, és valahogy rá lehet őket tenni. De még ott is kérdés nekem, hogy egyébként nem akar-e inkább fejlesztő lenni a vagy vagy látványosabb, kevésbé száraznak tűnő munkát, vagy szabályzatokkal kevésbé terhelt munkát végezni? Ö de hogy például engem különösen érdekelne az, hogy hogy át lehet-e csábítani mondjuk rossz oldalra elindult embert. Ez létezik ez a rablóból pandú megoldás a a kibervédelemben?

Nem nagyon vagyok a a rablók közelében. Hadd hivatkozzak itt a a Közszolgálati Egyetemen egy kollégámra, Krasznai Csabára, aki annak idején a találkozott, és végzett ilyen bocsánat, végzett ilyen felméréseket. A ezzel kapcsolatban úgy tűnik, hogy hogy nem egy irányú tesz, tehát hogy a jóból a rosszba, hanem visszafelé is van ilyen. Főleg az állami alkalmazásban jelennek meg ezek a a vagy jelenhetnek meg ezek a a fiatalok. Még egyszer csak közvetett tapasztalatom van ezzel. A másik oldalra látok inkább rá jobban, hogy kiből lesz kibervédelmi szakember. És hát ugye az, hogy hogy jogi oldalról jönnek és a a műszaki oldalt akarják tanulni, műszaki oldalról jönnek és a jogba akarnak beletekinteni.

De egy egy fontos dolgot én kiemelnék ezzel kapcsolatban, hogy a legtöbb fejlesztőnek is jó lenne, hogyha lennének fogalmai erről. Az egyetemeknek amennyire én látom, minden bizonnyal vannak kivételek, de de az a megérzésem, vagy az a az a a saját személyes tapasztalatom, hogy mondjuk egy programozás, egy rendszerfejlesztés órán ezek nem kapnak kellő hangsúlyt. Tehát mondjuk egy beléptető rendszer fejlesztése történt az egyik egyetemen. [Zene] műszaki kérdés, de ugye titkosítás nélkül ment egy ilyen egyébként a weblapok használata során működő protokoll. És akkor ugye a vége az lett, hogy körülbelül 10 perc alatt igaz a dokumentáció elolvasása után, tehát látva azt, hogy mit kell keresni, a mobiltelefonról simán lehetett nyitni a az árat, mert ugye a védelmi szempontok hiányoztak belőle, és sajnos ugye a a gazdasági helyzetben, a jelengazdasági helyzetben, ahol ugye azért mindenfillért most már megnéz minden cég a fejlesztések során is, én úgy érzem, hogy ezek a kérdések talán nem kapnak elég hangsúlyt, holott egyébként jól működő, tehát biztonságosan működő rendszert úgy is kell megtervezni és úgy is kell kivitelezni. Tehát ez nem egy utólagos kérdés kellene, hogy legyen.

Én abszolút egyetértek, ugyanígy látom. Tehát én a az, hogy az, hogy be tudtam vinni egy szoftverjog és biztonságttechnika gondolatot és egy egy órát, ott kifejezetten mondjuk a a programozóknál meglepő volt, hogy milyen információkat kaptak, hogy hogy kéne tervezniük egy rendszert, és hogy mit jelent az, hogy adatbázisvédelem. Tehát a összességében a programozásban elfelejtjük azt, hogy az AI abból az adatbázisból fog tanulni, ami abban az adatbázisban letárolódik. És hogyha nem figyelek arra, hogy kompromittált-e az adat, amikor bekerül, akkor onnantól fogva az sem egyértelmű, hogy a kompromittált adatból oktatok egy AI-t, ami utána nekem információt fog adni. Ez problémát jelent. Tehát, hogyha ez egy teljesen új probléma, abszolút új probléma és és de de előtte is megvolt ez a probléma. Tehát én azt most mondok egy teljesen nem ide való példát, de szoktam emlegetni. Egy permetszer egy tizedes vessző és egy Excel tábla.

Tehát ha én eltárolok egy darab mikrogram gram kombinációban egy permetszer arányt, és én nem figyelek oda, márpedig nem fogok odafigyelni, hiszen a az embernek van egy ilyen tulajdonsága, hogy mivel azt akarom látni, azt is fogom látni, és úgy adom oda ezt az információt. A focusing illusion, aki szeretne utána nézni, csak annak javaslom. Jó, köszi. Ha úgy adom oda ezt az információt, akkor azzal nem megpermetezni fogom, hanem kiirtani. Kiír és ez óriási problémát jelent, miközben pont erre nem szeretne a cégvezető pénzt adni gazdaságilag. Tehát mit jelent ez? Azt jelenti, hogy van-e mentésem. Itt indul nagy százalékában a cégeknek ebben a 4000 cégben is azt szeretném visszajelezni, hogy nagy százalékában nincs mentés. nem tud gondoskodni arról, hogy nem, hogy visszaállni nem tud, hanem nem tudja, hogy mi az a pillanat, amikor van egy nagyon kedves barátunk, és már volt itt a podcastban, Rici. Ő úgy szokta ezt jellemezni, hogy az Alien hányadik epizódjában fertőződött meg Ripli Hadnagy Ühüm.

Tehát nem tudjuk, hogy a mentés fertőzött-e, és azt sem tudjuk, hogy vissza tudunk-e belőle állni, de A nem érdekel bennünket, hiszen nem kell visszaállni, mert a mi rendszerünk stabil. B van mentésünk. Az, hogy milyen, azt soha nem ellenőriztük, de mentésünk az van, mert kipipáltuk. És én ezt szeretném egy picit megkérdezni tőled, hogy mit gondolsz a Checkbox Compliance elterjedéséről? Hát a a igazából értem, amit amit mondasz a mentéssel kapcsolatban. Hát sok ilyen sztorim van, többek közt ezz a sosem próbáltuk meg visszaállítani. Dolog. Nekem az a tapasztalatom különben, hogy ahol én mint üzemeltető működöm közre, ott azért tőlem szokták kérni azt, hogy állítsam helyre. Egyszerűen azért, mert a felhasználó rontja el. Az én tapasztalatom az, hogy most hadd ne mondjak konkrét mért számot, de ilyen érzése ilyen nagyon sokból egy az, amikor tényleg a rendszerhiba van, és azért kell helyreállítanom. Legtöbbször az van, hogy valamit felülírtak, letöröltek, áthúzták egy másik mappába, és nem találják, azt hiszik, hogy hogy nincs meg. Ez ez így van. Tehát a ugyanakkor hát én fontosnak tartom azt, hogy legyen egy ilyen checkbox compliance, tehát hogy hogy legyen egy listád, amit végigviszel. Inkább az a

kérdés, hogy mi van benne? Tehát, hogy benne van-e az, hogy mondjuk a főnök azt mondja, én azt szoktam tanácsolni, hogy hogy havonta egyszer nyugodtan törölj le valamit, ami nem kell neked, és mondd azt, hogy állítson vissza. Sokkal jobb az, amikor kettőnk között fog ez kiderülni, hogy valami nem jó, mint amikor baj van, hiszen akkor tudjuk orvosolni, és nincs súlya a történetnek. Úgyhogy vagy mondok mást? Ö amikor tőlem például azt kérik, hogy vegyek fel egy felhasználót, vagy töröljek valakit, van egy ilyen listám, de a checkbox listába föl lehet venni nyugodtan. A az Egri Egyetemen csináltuk, hogy fél évente az adott egység vezetőjének lekérjük, hogy ki van bent és milyen jogai vannak, és azt átküldjük nekik.

ugyanis sokszor nem gondolnak arra, hogy jó, elmegy a dolgó, szólnak az informatikának, jön valaki, szólnak az informatikának, de az, hogy valakit ebből a szervezeti egységből áttesznek egy másikba, arról nem mindig szoktak szólni. És ugye erről ez ez például nem derül ki, hogy ja, hát már nincs is itt semmi köze a személyügye anyagokhoz, de fél év óta ő még igazából ez még mindig hozzáfér. És mondjuk ezek ezek apróságok, amik hát, hogy mondjam, egy jó most épp magamra vonatkoztatva mondtam ezt, de ugye a a sok éves gyakorlat meghozza ezeket a hogyha az ember ugye egyszer pórul jár vagy megtapasztalja ezeket, akkor már tovább tudja adni, hogy egy ilyet. Most egy picit megengeded, hogy máshogy értelmezzem. Ugyanezt ugye az egyik oldalon a repülőgépeknél nagyon fontos, hogy minden egyes ponton végigmenjen mind a két pilóta és ki legyen pipálva.

Ú, de erről beszélünk. És mi van akkor? És egyre többször az én tapasztalatom az, és ezt szeretném tőled megkérdezni, hogy mi van akkor, amikor úgy megyünk rajta végig, hogy közben nem csináltunk semmit, csak ki van pipálva. Igen. Tehát, hogy végigmegyünk rajta, megcsináltad? Persze, megcsináltam. Pipa. Tudod, ez olyan kérdés. Van a megint egy viccel hadd hadd példáulzak, bár ez ilyen szakmai vicc, csak a érted, hogy mi történik akkor, amikor mondjuk egy helyen nem szabad fényképezni? Mit fog mondani az informatikus? Senki nem hozhat be olyan telefont, amiben fényképezőgép van. Ugye lehet is kapni ilyen olcsó telefonokat mind a mai napig, amikből ezt kihagyják. Mit mond a jogász? Kiírjuk a falra, hogy a fényképezni tilos. Egyik megoldás sem fog erre komoly választ adni. A kettő együtt fog működni. Az az informatika nem tud mindentől megvédeni. Hát ugyanezt ugye leltárral is hányszor csinálták, hogy kijöttek a leltári ívek és akkor bepipáltak. minden megvan, lement, aztán ugye halmozták a a hiányt.

A tehát ugye a felelősség megkérdése a négy szemelve ugye az, hogy egy ember nem dönt semmiben, hogy hogy cinkosságot kell vállalni valaki mással, a felelősséget magára húzza az ember. Ezzel én én ezt látom ebben megoldásnak. Erre nekem igazából informatikai válaszom nem annyira van. Hát ugye az auditok erről szólnak, vagy vagy legalábbis ezek a kontrollok, hogy hogy ilyen esetek ne történhessenek meg. Nyilván a vezető mondjuk arra, hogy tehát Egerben példá mondjak egy példát rá, a amikor odakerültem informatikai vezetőnek, akkor azt hiszem az első nyáron felhívtam a tanulmányi osztályvezetőt, és akkor mondta neki, hogy van sok dolgotok. Hát van, nem lehetne, hogy leállítanánk a Neptúnt. Ez a ez a szível minden ilyen minden egyetemnek. Ez a legféltettebb kincse.

Hogy leállítanánk a Neptont, és akkor a kollégát akkor kérném arra, hogy akkor állítsa helyre az utolsó mentésbe, és nézzük már meg, hogy mi történik. A kolléga nem tudta, ugye, hát nem voltunk, vagy nem volt boldog tőle. Kiderült egyébként belőle, hogy hogy ugye már egy verzióval előrébb járunk, mint amiről neki például leírás, nem leírása van. Ő hely helyt tudott állni, de sok olyan problémával szembesült, amit akkor látott először, mert ugye nem gondolt arra mondjuk egy frissítéskor, hogy majd a helyreállítási tervet is neki aktualizálnia kell. Én ezeket a módszereket tartom jónak. Kétségtelen nem lehet mindig megcsinálni azt, hogy mondjuk van egy rendszered egy hatalmas gépen, egy célrendszeren, nem fogod a a teszt kedvéért azt leállítani és kockáztatni a működését, hiszen olyankor a kúra veszélyesebb lenne, mint a kore. De de ugye ezek ezek azok az utak, amelyeket biztosítani kell. A azt gondolom én legalábbis én ezt ezeket a módszereket javaslom.

Igen. És nincs az az AI, ami helyett felelősséget is fog vállalni. Ott még mindig két szem kell, amibe belenézel. És a négy szemelvet is én nagyon jónak tartom erre a célra, mert ott akkor valóban van még valaki, aki akinek ugyanolyan szintű kockázatvállalással kell rendelkeznie, és most nagyon finoman fogalmaztuk meg. Szerintem a most még egy téma érdekelne. Eddig szinte csak Magyarországról beszélgettünk magunkról a saját szemünkkel, de hogy hogy tudsz-e esetleg ilyen összehasonítást mondani, hogy az eddig az egy európai találmány, egy egy formátum, amit Európa összes, mármint az EU összes országában működtetünk, hogy hogy a KKV-kat segítsük digitalizálni. Hogy hogy áll ez mondjuk így még még mindig talán nem csak a világ 200 országára, csak csak az EU-ra nézve? Ö mik azok a különbségek, amikre vagy büszkék lehetünk, vagy ahol tanulnivalónk van, vagy ami ami segítheti, hátráltadhatja a magyar edich munkáját?

Biztosan lennének, akik vitatkoznának velem. Tehát most nem szeretnék határozott állítást tenni, de az a benyomásom, hogy azért a a magyar kibervédelem azért alapjában véve a a nyugati mintákat követi. A szabványaink, a védelmi rendszereink nyugati mintákra dolgoznak. Itt nem ugye tudunk mondani neves magyar cégeket, akik akiknek komoly fejlesztéseik voltak. Ez az országunk méretéhez képest egyébként úgy gondolom, hogy semmilyen szégyenni valónk ezen a területen nincsen, de nem vagyunk egy önálló védekezésre képes ország. A azt gondolom, hogy rá vagyunk szorulva arra, hogy külföldi fejlesztésű szoftvereket, adatbázisokat használjunk arra, hogy hogy ezt a védelmet biztosítani tudjuk. az együttműködést mindig kiemeli minden kibervédelmi intézkedési terv. Országok között is, ugye intézmények között is jó lenne, hogyha ezek működnének. Ugye a az incidenseket jelenteni kell, abban segítséget nyújtanak ezek az adott szervezetek.

Úgyhogy én én a én azt érzékelem, hogy Magyarország megteszi azokat a lépéseket, amelyeket meg kell tennie. Én nem érzékeltem soha azt, hogy hogy hát ez valami bűnös nyugati minta, és ezzel nekünk nem kell foglalkoznunk. Valójában én én azt érzékeltem mindig a kibervédelem területén, hogy hogy a Magyarország ezekkel foglalkozik, mindig lehet többet tenni bele, hiszen a maradványkockázatot azt valamekkorát mindenki vállalni fog. Ugyanakkor ha a nyugati kapcsolatok megszakadnak, és megint nem szeretnék túlmutatni semmilyen kérdésben, csupán Trumpra hagy utaljak, aki ezt a CV adatbázist egyik napról a másikra ennek a lekapcsolásával ezt ezt látta jónak a szakma. Hát fölhördült erre, hiszen mi megbíztunk abban, hogy ezt az amerikaiaktól kapni fogjuk. Na, ez az a pont, ami amire azt kell, hogy mondjam, hogy meg kell találnunk a legalább a kritikus pontok esetében azt, hogy hogyan tudunk a saját lábunkon megállni. Legaláb saját alatt EU lábat értesz, vagy kifejezetten magyar vagyok. Kénytelen vagyok EU lábat, mert az EU sem önálló. Az EU is erre erre az adatbázisra támaszkodott.

Most, hogy hogy érthető legyen, van egy sérülékenységvizsgálat, megrendeled mondjuk a cégedre, akkor ez nem úgy történik, hogy svájcsapkás hajlotthátú hekkerek megpróbálják kézzel feltörni, hanem ennek az adatbázisba, ebben az adatbázisban lévő inform vagy sérékenységtengert próbálják meg elsütni rajtad, és kapsz egy riportot, hogy mit sikerült. Ha ha ehhez nem férsz hozzá a jövőben, akkor akkor ezek nem fognak működni. És hát ugye Európa igen, Európához való tartozás, Magyarország önmaga még inkább képtelen lesz erre. Hát ebben a dolgozatomban ugye próbáltam megnézni azt, hogy hogy hogy milyen sérülékenységeket találok elő egyáltalán. Van ez a Hakmageddon, hayd mondjam ilyen magyarosan. Ez egy adatbázis, amiben egy egy érdeklődő amatőr kezdte el összegyűjteni ezeket. A támadások motivációit is például rögzítette. Elkértem tőle ezt az adatbázist, nagyon csodálkozom, hogy ideadta, mert szerintem egyetértünk abban, hogy a legtöbb cég nem fog ilyesmit kiadni, a saját sértékenységidet nem fogja odaadni a másnak. Tehát hát a most gondolj bele, hogy mondjuk Iránnal most kifejezetten úgy gondolom, hogy nem nem pozitív a viszony, hát soha nem fog egy egy iráni, egy egy kínai, egy egy távoli ország,

aki aki ránk másképp néz. A saját informatikai rendszereinek a sérvékenységét egy magasztos adatbázis létrehozása érdekében nem fogod megkapni. Az én kutatásom egyetemekre vonatkozott. A gyakorlatilag egy kivételével mindenki megtagadta azt, hogy hogy sérülékenységi adatokat számomra átadjon. És a jogszabályi kotozásban és a a kutatásomnak a a véleményezése során többször szemre szememre vetették azt, hogy hogy mertem én ezt egyáltalán megcsinálni, hogy mások rendszereit szkennelgetem. Végül is így egyenes az útja, tehát meg lehet tenni, de nem ez az általános közvélemény. És hardveres szinten is ennyire függünk Európán kívüli technológiáktól? Hát attól úgy gondolom, hogy aztán végé végképp. De hát egyetértek, tehát hogy hogy én azt gondolom, hogy ugye ha megnézed a gyártók honnan jönnek, milyen technológiákat honnan veszünk át, milyen telefonokat használunk.

Tehát egy az már egy kibervédelmi eszköz. Hát a mert figyelj, a telefon az első olyan pont, ahol az felhasználó napi szinten minimum 10 órát most kis kisarkít felhasználó eszköz, csak kérdezem, hogy hogy amivel védjük, az az nyilván egy másik eszköz. Oké, de hogy a felhasználót véded a kibertértől, és a belépési pontod egy telefon. Igen, ez az alaphelyzet. E innen indul. hogy mennyire érdekes, az talán kifejezi azt, hogy van egy website, ahol ilyen sérülékenységeket vesznek és különféle ilyen táblázatok vannak ránézésre, olyan, mint a periódusos rendszer, olyan formájú. És például ez a zero klikk, ez azt jelenti, emlékeztek erre, hogy ráküldök egy SMS-t egy telefonra, és akkor az tulajdonképpen már az enyém. Ezekben ezekben a táblázatokban 2,s5 millió dollár Androidra, 2 millió dollár iPhone-ra. Informatikusok tudod, amikor már ez vérre menő kérdés, hogy ki mit szeret, m preferál. Ugye az iPhone tulajdonosok, akikben bár magamat nem sorolom ebbe, van egyfajta egy ilyen egy ilyen ugye a mégis csak a csúcskészüléket vásároltam meg, és ugye az az igazi amerikai készülék mégis ugye kevesebbet ér a feltörésem, mint egy androidnak, amit ugye előszeretettel dörgölnek a a kartársak az ember orra

alá, de a ezek az összegek lényegesen magasabbak, mint a mondjuk egy ilyen desktop számítógép esetében, amit amit kifizetnek. Tehát a amikor a azokra a szoftverekre gondolsz, amiket ugye árusítanak, azért, hogy mondjuk hát mondhatjuk, szerintem mindenki hallotta a Pegazus nevét, ugye ezek ezekből a felvásárolt hibákból táplálkoznak, ezért is érnek ennyit, mert ugye a másik oldalon a vevőkör képes ezt kifizetni, és hát úgy tűnik, hogy ott a mobiltelefonok állnak első helyen. Ühüm. Ugye ez a ez a kockázattal arányos rész és a generációs különbség, hogy annak idején kinek miért törték föl az autóját vagy a lakását, és a számítógép mihez fért hozzá. Ez egy kardinális kérdés volt, hogy ki és hol tárolta azokat az adatokat, és tudott-e, tehát most minden kockázat felmérés, akár NIS 2, akár Dora. Tehát ugye itt azért többféle iskola van, merthogy a pénzügyi szervezetekre kicsivel másabb a minőségbiztosítási szabályok vonatkoznak, hívjuk így, de alapjában véve kockázatkezelési felméréssel és adatgyon felméréssel jár.

a nulladik időpillanatban ahhoz, hogy beazonosítsuk a kockázatokat. Na de a kockázatban, ha nem tudom, hogy mi mik azok az adatok, amiket nekem védenem kell, mert nincs mondjuk egy adatgazdám, mert nincs például egy felelős személyem, aki érti, hogy hogy működik a cégben az adatáramlás, tehát a folyamat kedvenc, a folyamatok hogyan kerülnek át az IT rendszerből abba a napi szintű reportingba, ahol pirossárga zöldet fogok látni, de egyébként nem fogom tudni, hogy mi az a piros és mi az a sárga. Így aztán a zöldet sem fogom tudni értelmezni. azok lehetnek értékek a támadós támadásoknak megfelelően. Tehát megint egy egyszerű példát szeretnék mondani. Ha egy árazó Excelem van, ami mondjuk 72 üzletre érvényes akciókat tartalmaz, akkor hogyha én azt megszerzem, és én a konkurencia vagyok, akkor nekem mit ér meg az a pendrive, amin azt tartják, vagy megé-e annyit, hogy én kockáztassak egy betörést azért, hogy megszerezzem azt a pendrive-ot és vagy számítógépet?

A következő kérdésem, hogyha ezt egy informatikai rendszerben tárolom felhőn és vagy hálózati szinten egy számítógépen, akkor valóban igaz-e az a mondatom, hogy nekem egyáltalán semmilyen betörésgátló figyelő szoftverre nincs szükségem. Ha pedig szükségem van rá, akkor melyiket kell megvennem? A 1000 Ft-osat vagy a 100 millió Ft-osat? Kisarkítva csak, hogy az a ebben kéne döntenie egy ügyvezetőnek. Honnan fog tudni dönteni egy ügyvezető? És mi az a pont, ahol egy informatikus, számítástechnikus azt tudja mondani a gazdasági vezérigazgatónak, hogy de nekem erre szükségem van, és nem söprik le. Tudod, erre egyébként azért jó lenne, ha lennének ajánlások. Tehát ha már azt kérdez ugye volt ez a kérdés, hogy hogy Magyarország hogy áll ezzel? Mondjuk ha azt mondanánk, hogy Magyarországon majd ajánljuk ezt a szoftvert, vagy ez ebből a listából válasz. Ilyen lista egyébként létezik, mert ha jól tudom, a Kasperszki például nem feltétlenül kívánatos kormányzati lista azáltában könny az hamarabb megvan. De mondjuk, ha azt mondom, hogy szabályzatmintákat mondjuk adhatnál a a hagy adhatnánk a a cégek számára, ha legalább már volna egy ilyen checkliszta, amit mondtál az előbb, hogy ezzel és ezzel és ezzel és

ezzel a területtel kell foglalkoznod, vagy vagy érdemes a saját biztonságod érdekében foglalkozni, azért az azt gondolom, hogy sokat segítene a cégeknek. Lehet ez egy következő lépés. Általában azt látjuk, hogy a szabályozók föntről lefelé haladnak, tehát a méretben nagyok és kockázatban országosan vagy akár nagyobb szinten jelentős cégek már egy jó ideje szabályozottak, a kicsik meg nem. Hátha hátha segítünk a kicsiknek is. Nem feltétlenül azzal, hogy előírjuk, hogy tak tak, de az ajánlás az egy az egy jó szó, ha valóban úgy szól. Nem visszaélve a hallgatók türelmével, itt le kell kerekítsem a beszélgetést. Ferenc, nagyon köszönöm, hogy elfáradtál hozzánk, és itt a egy nyári időpont ellenére segítettél körbejárni a kibervédelmet elejétől a lehetőséget.

Köszönjük szépen. [Zene] [Zene] [Taps]