Ki legyen az információs rendszerek biztonságáért felelős személy?

2024. 05. 07., 13:10

A kiberbiztonsági tanúsításról és a kiberbiztonsági felügyeletről szóló Kibertan-törvény hatálybalépésével kezdetét vette Magyarországon is az EU új NIS2 (Network Information System v2) irányelvének átültetése a hazai jogrendbe. Az érintett cégeknek 2024. június 30-ig alig két hónap áll rendelkezésükre, hogy bejelentkezzenek a Szabályozott Tevékenységek Felügyeleti Hatóságához. Kóczé Péter, a Grant Thornton nemzetközi üzleti- és adótanácsadó cég digitális üzletágának vezetője segít átgondolni, hogy mi alapján válasszuk ki a cég számára optimális megoldást.

Az SZFTH-regisztráció során az egyik legfontosabb kérdés az információs rendszerek biztonságáért felelős személy (IBF) kijelölése. „A nemzetközi hátterű cégek számára még úgy is nehéz ez a döntés, hogy a Kibertan-törvény nem fogalmaz meg semmilyen konkrét elvárást és követelményt a kijelölt felelős személyével kapcsolatban, valamint kimondottan lehetővé teszi a pozíció betöltését akár külső szakértő bevonásával is” – mondja Kóczé Péter, a Grant Thornton nemzetközi üzleti- és adótanácsadó cég digitális üzletágának vezetője.

Az IBF kiszervezése csak részben megoldás a nemzetközi hátterű vállalatoknak

Az információbiztonsági felelős kiszervezése elsőre racionális megoldásnak tűnhet akkor, amikor házon belül nem állnak rendelkezésre a betöltéséhez szükséges szakmai ismeretek, tapasztalatok vagy erőforrások. A tapasztalatok mégis azt mutatják, hogy sok vállalatnál ennek ellenére a belső munkatársak közül regisztrálnak az SZTFH űrlapján információbiztonsági felelőst.

Miért felel az IBF?

Az IBF elsődleges feladata:

• a kiberbiztonsági események kockázatának csökkentése, valamint

• az azok felfedezéséig eltelt idő lerövidítése.

A kiberbiztonsági események rendszerint a cég adatvagyonának megszerzésére irányulnak. Az incidensek súlyosságát csak tovább növeli, hogy sok esetben a lopási kísérlet következtében a szolgáltatás teljes vagy részleges leállásával, vagy akár a teljes üzleti tevékenység felfüggesztésével is számolni kell, ami minden esetben legalább jelentős, de néha akár katasztrofális következményekkel is járhat egy vállalat működésével kapcsolatban.

A kiberbiztonsági események valószínűségének csökkentése mellett az ezekből fakadó ártalmak csökkentése jelenti tulajdonképpen a vállalat védekező- és ellenállóképességét, amelyet: korlátok bevezetésével, szabályok alkotásával, eszközök bevetésével és képzések szervezésével növelhet.

„A NIS2 újdonsága épp abban rejlik, hogy az érintett vállalatok rá lesznek kényszerítve arra, hogy folyamatosan fejlesszék kibervédelmi képességeiket, amihez a jogszabály megkísérel közösségi szinten egységes sztenderdet is biztosítani” – mondja Kóczé Péter.

Az IBF egyik fontos feladata az, hogy a kötelezően alkalmazandó információbiztonsági intézkedések a fenyegetettséggel összhangban kerüljenek kialakításra, valamint a rendelkezésre álló büdzsé kereteibe is beleférjenek.

A kibervédelmi intézkedések kényszerűen lassítják  az üzletet, és a vállalat nagy részétől aktív együttműködést várhatnak el végrehajtásuk során. A belső információbiztonsági felelősnek az üzlet egészét kell figyelembe vennie, amikor a fenyegetettségre adott válaszokról gondolkozik és amikor a helyi IT-csapattal, az üzleti területek vezetőivel, a jogászokkal, a központi (külföldi) irányítással vagy éppen az SZTFH-val működik együtt.

Magyar cégnek magyar NIS2

Annak ellenére, hogy a NIS2 EU-s irányelv, és célja egy egységes, közös kiberbiztonsági keretrendszer, valamint védelmi szint megalkotása volt, a tagállamok nem azonos ütemezésben és nem teljesen egységes tartalommal ültetik azt át saját jogrendjükbe.

Egy magyar leányvállalat belső információbiztonsági felelősének  képben kell lennie a „magyar” NIS2-szabályozás specialitásaival is, hogy más hazai követelmény mellett ezeket is képviselni tudja a globális szinten menedzselt információbiztonsági irányítási rendszer, az ahhoz kapcsolódó szabályozások és eljárásrendek kialakítása, adaptálása során.

A magyarországi illetékességű vállalatok megfelelőssége minden esetben a magyar Kibertan-törvény, a magyar intézmények által kiadott végrehajtási rendeletek és módszertani útmutatók alapján, magyar nyelven és magyar auditorok révén kerülnek majd minősítésre vagy éppen elmarasztalásra nem megfelelés esetén.

A felkészülés így minden esetben igényli a hazai operáció aktív közreműködését, a központ által kialakított szabályzatok és rendszerelemek változatlan formában történő felhasználásával.

Nem szerencsés az IT-team tagját delegálni megfelelőségi vezetőnek

Nemzetközi hátterű vállalatcsoportokban egy meglehetősen összetett felelősségi kör vár az információbiztonsági felelősökre, ezért annak teljes kiszervezése nem mindenhol bizonyulhat hatékony megoldásnak.

Ezeknél a társaságoknál célszerűnek tűnhet a helyi megfelelősségi vezető képességeinek és erőforrásainak bővítése, annak érdekében, hogy koordinálni tudja a Kibertan-törvény által támasztott új megfelelési elvárásokra való felkészülést is. Ez külső tanácsadók és szakértők igény szerinti bevonásával történhet.

Egy megfelelési vezető helyismerete, meglévő csatornái és elfogadottsága a helyi IT-csapat, a központi IT-irányítás, az üzleti területek és a menedzsment részéről olyan előnyöket jelentenek, amelyekre szükség is lesz a NIS2-információbiztonsági irányítási rendszer bevezetése során, mivel az nagy eséllyel jelentős hatással lesz a vállat jelenlegi folyamatainak nagy részére, és a szervezeti kultúrát is alakítani fogja.

Az IT meghatározó szereplője lesz a változásoknak, de a többi területhez hasonlóan sok szempontból végrehajtó szerepben marad, emiatt nem szerencsés az IT és az információbiztonsági vezetői pozíciók összekapcsolása.

A szakmai mentorálás jó irány lehet

A NIS2 folyamatos fejlődést követel a vállalatoktól a kibervédelmi képességek terén. Ennek során hatékonyan működtethető és stabilan auditálható információbiztonsági rendszert kell kialakítaniuk az érintett cégeknek. Ahhoz, hogy a megbízott vezető sikerrel járhasson, nem csak a nemzetközi és a hazai szabályozásokat, de a vállalat belső folyamatait és működését is megfelelő mélységben ismernie kell.

„Azt gondoljuk, hogy ez megnehezítheti a NIS2 felkészítés feladatainak teljes körű kiszervezését, és inkább a belső kompetenciák fejlesztése irányába tolhatja el cégeket. A megfelelő mentorálás hozzásegítheti a megfelelési vezetőket az új követelményekhez való alkalmazkodáshoz” – mondja Kóczé Péter.

Ha tetszett a cikk, kövesse az ÜZLETEMET
a Facebookon!

Még több friss hír

  BIZNISZPLUSZ PODCAST

A hazai utasbiztosítási piac egyik legalapvetőbb problémáinak egyike az, hogy az ügyfelek még mindig túl sokat akarnak spórolni rajta, holott a nyaralás költségének csak elhanyagolható töredékét teszi ki – hívta fel a figyelmet a PBA Insura Zrt. vezérigazgatója. Dr. Kozma Gábor jelezte: a legolcsóbb és az 1–2 ezer forinttal többért kötött prémium biztosítás szolgáltatásai között óriási különbség tátong, és erre az utolsó pillanatban – mert bizony akkor kötjük – már nem biztos, hogy felfigyelünk.
Női pék, cukrász, kaviárszakértő is helyet kapott a rendezvény nagyszínpadán, hogy a fő téma, a „női energiák” mentén bemutassák a művészi szintre emelt szakmájukat. Nemes Richárd főszervező elárulja, hogy hogyan lehet még fenntarthatóbban működtetni egy műfajából adódóan sok hulladékkal járó gasztronómiai rendezvényt vagy milyen egyszerű ételekkel tudnak nagyot alkotni a Gourmet Fesztiválon bemutatkozó konyhák mesterei. Ha mindez nem lenne elég, kifejti, hogy a fine dining milyen vonásokkal ruházta fel a magyar vendéglátást az utóbbi pár évben és például hogyan lehet „veganizálni” megszokott fogásokat, amelyek ettől csak még jobbak lesznek! Vigyázat, étvágygerjesztő epizód!
Miközben a világ e-személyautó gyártói egyre élesedő versenyt vívnak a vásárlók kegyeiért, nem szabad elfelejteni, hogy a közlekedés károsanyag-kibocsátásának jelentős részéért a teherfuvarozás felel. Egyre több középtávú áruszállítást és utolsó mérföldes kézbesítést kiszolgáló depó elektrifikálja a járműflottáját és alakít ki hozzá megfelelő infrastruktúrát, ám nagyon nem mindegy, hogy az üzemeltetés mennyire tud hatékony és gazdaságos lenni – mutat rá ebben az epizódban Négyesi Szilárd, a Siemens Zrt. szakértője.

  NÉPSZERŰ HÍREK

  Rovathírek: GUSTO

  Rovathírek: ATOMBUSINESS