A kiberbiztonsági tanúsításról és a kiberbiztonsági felügyeletről szóló Kibertan-törvény hatálybalépésével kezdetét vette Magyarországon is az EU új NIS2 (Network Information System v2) irányelvének átültetése a hazai jogrendbe. Az érintett cégeknek 2024. június 30-ig alig két hónap áll rendelkezésükre, hogy bejelentkezzenek a Szabályozott Tevékenységek Felügyeleti Hatóságához. Kóczé Péter, a Grant Thornton nemzetközi üzleti- és adótanácsadó cég digitális üzletágának vezetője segít átgondolni, hogy mi alapján válasszuk ki a cég számára optimális megoldást.
Az SZFTH-regisztráció során az egyik legfontosabb kérdés az információs rendszerek biztonságáért felelős személy (IBF) kijelölése. „A nemzetközi hátterű cégek számára még úgy is nehéz ez a döntés, hogy a Kibertan-törvény nem fogalmaz meg semmilyen konkrét elvárást és követelményt a kijelölt felelős személyével kapcsolatban, valamint kimondottan lehetővé teszi a pozíció betöltését akár külső szakértő bevonásával is” – mondja Kóczé Péter, a Grant Thornton nemzetközi üzleti- és adótanácsadó cég digitális üzletágának vezetője.
Az IBF kiszervezése csak részben megoldás a nemzetközi hátterű vállalatoknak
Az információbiztonsági felelős kiszervezése elsőre racionális megoldásnak tűnhet akkor, amikor házon belül nem állnak rendelkezésre a betöltéséhez szükséges szakmai ismeretek, tapasztalatok vagy erőforrások. A tapasztalatok mégis azt mutatják, hogy sok vállalatnál ennek ellenére a belső munkatársak közül regisztrálnak az SZTFH űrlapján információbiztonsági felelőst.
Az IBF elsődleges feladata:
• a kiberbiztonsági események kockázatának csökkentése, valamint
• az azok felfedezéséig eltelt idő lerövidítése.
A kiberbiztonsági események rendszerint a cég adatvagyonának megszerzésére irányulnak. Az incidensek súlyosságát csak tovább növeli, hogy sok esetben a lopási kísérlet következtében a szolgáltatás teljes vagy részleges leállásával, vagy akár a teljes üzleti tevékenység felfüggesztésével is számolni kell, ami minden esetben legalább jelentős, de néha akár katasztrofális következményekkel is járhat egy vállalat működésével kapcsolatban.
A kiberbiztonsági események valószínűségének csökkentése mellett az ezekből fakadó ártalmak csökkentése jelenti tulajdonképpen a vállalat védekező- és ellenállóképességét, amelyet: korlátok bevezetésével, szabályok alkotásával, eszközök bevetésével és képzések szervezésével növelhet.
„A NIS2 újdonsága épp abban rejlik, hogy az érintett vállalatok rá lesznek kényszerítve arra, hogy folyamatosan fejlesszék kibervédelmi képességeiket, amihez a jogszabály megkísérel közösségi szinten egységes sztenderdet is biztosítani” – mondja Kóczé Péter.
Az IBF egyik fontos feladata az, hogy a kötelezően alkalmazandó információbiztonsági intézkedések a fenyegetettséggel összhangban kerüljenek kialakításra, valamint a rendelkezésre álló büdzsé kereteibe is beleférjenek.
A kibervédelmi intézkedések kényszerűen lassítják az üzletet, és a vállalat nagy részétől aktív együttműködést várhatnak el végrehajtásuk során. A belső információbiztonsági felelősnek az üzlet egészét kell figyelembe vennie, amikor a fenyegetettségre adott válaszokról gondolkozik és amikor a helyi IT-csapattal, az üzleti területek vezetőivel, a jogászokkal, a központi (külföldi) irányítással vagy éppen az SZTFH-val működik együtt.
Annak ellenére, hogy a NIS2 EU-s irányelv, és célja egy egységes, közös kiberbiztonsági keretrendszer, valamint védelmi szint megalkotása volt, a tagállamok nem azonos ütemezésben és nem teljesen egységes tartalommal ültetik azt át saját jogrendjükbe.
Egy magyar leányvállalat belső információbiztonsági felelősének képben kell lennie a „magyar” NIS2-szabályozás specialitásaival is, hogy más hazai követelmény mellett ezeket is képviselni tudja a globális szinten menedzselt információbiztonsági irányítási rendszer, az ahhoz kapcsolódó szabályozások és eljárásrendek kialakítása, adaptálása során.
A magyarországi illetékességű vállalatok megfelelőssége minden esetben a magyar Kibertan-törvény, a magyar intézmények által kiadott végrehajtási rendeletek és módszertani útmutatók alapján, magyar nyelven és magyar auditorok révén kerülnek majd minősítésre vagy éppen elmarasztalásra nem megfelelés esetén.
A felkészülés így minden esetben igényli a hazai operáció aktív közreműködését, a központ által kialakított szabályzatok és rendszerelemek változatlan formában történő felhasználásával.
Nemzetközi hátterű vállalatcsoportokban egy meglehetősen összetett felelősségi kör vár az információbiztonsági felelősökre, ezért annak teljes kiszervezése nem mindenhol bizonyulhat hatékony megoldásnak.
Ezeknél a társaságoknál célszerűnek tűnhet a helyi megfelelősségi vezető képességeinek és erőforrásainak bővítése, annak érdekében, hogy koordinálni tudja a Kibertan-törvény által támasztott új megfelelési elvárásokra való felkészülést is. Ez külső tanácsadók és szakértők igény szerinti bevonásával történhet.
Egy megfelelési vezető helyismerete, meglévő csatornái és elfogadottsága a helyi IT-csapat, a központi IT-irányítás, az üzleti területek és a menedzsment részéről olyan előnyöket jelentenek, amelyekre szükség is lesz a NIS2-információbiztonsági irányítási rendszer bevezetése során, mivel az nagy eséllyel jelentős hatással lesz a vállat jelenlegi folyamatainak nagy részére, és a szervezeti kultúrát is alakítani fogja.
Az IT meghatározó szereplője lesz a változásoknak, de a többi területhez hasonlóan sok szempontból végrehajtó szerepben marad, emiatt nem szerencsés az IT és az információbiztonsági vezetői pozíciók összekapcsolása.
A NIS2 folyamatos fejlődést követel a vállalatoktól a kibervédelmi képességek terén. Ennek során hatékonyan működtethető és stabilan auditálható információbiztonsági rendszert kell kialakítaniuk az érintett cégeknek. Ahhoz, hogy a megbízott vezető sikerrel járhasson, nem csak a nemzetközi és a hazai szabályozásokat, de a vállalat belső folyamatait és működését is megfelelő mélységben ismernie kell.
„Azt gondoljuk, hogy ez megnehezítheti a NIS2 felkészítés feladatainak teljes körű kiszervezését, és inkább a belső kompetenciák fejlesztése irányába tolhatja el cégeket. A megfelelő mentorálás hozzásegítheti a megfelelési vezetőket az új követelményekhez való alkalmazkodáshoz” – mondja Kóczé Péter.
A Fügefeszt szervezői szerint nem szezon van, hanem szezonok, a Balaton pedig egész évben tartogat olyan izgalmakat, amiért érdemes a tó partján kikötni.
Instabilnak minősítette a zaporizzsjai atomerőműnél kialakult helyzetet Rafael Grossi, a Nemzetközi Atomenergia Ügynökség főigazgatója, miután szeptember 4-én felkereste a létesítményt, ugyanakkor kifejezte reményét, hogy előrelépés történik az erőmű biztonságának szavatolása terén.