A kibertámadások a hazai kritikus infrastruktúrát is fenyegethetik: a közműhálózat is célpontja lehet a hackerenek

Pénzcentrum: Ha csak a tavalyi évet nézzük, „ki áll nyerésre” a kiberbiztonsági szakemberek és a támadók, vagyis a hackerek versenyében? Másképpen fogalmazva: milyen aktuális tendenciák figyelhetők meg a kibertámadások terén?

Márton Miklós: Azt a példát szoktam hozni, hogy ez olyan, mint egy doppingverseny: a védekezők folyamatosan a támadók után futnak. A támadóknak gyakorlatilag korlátlan erőforrásaik vannak, ráadásul az olyan új technológiák, mint a mesterséges intelligencia és a felhőből indított támadások miatt már pénzügyi vagy fizikai korlátok sem igazán akadályozzák őket abban, hogy miként próbálják meg feltörni a rendszereket.

A célpontok kiválasztása sem úgy működik, mint a hollywoodi filmekben, ahol van egy konkrét vállalat, amelytől mindenképpen meg kell szerezni egy bizonyos információt. A támadók inkább „sörétes puskával lőnek” a cégekre: széles körben próbálkoznak, ezért ma már gyakorlatilag senki nincs teljes biztonságban a világon. Mindenkinek digitalizáltak az üzleti folyamatai, és éppen ez a magas szintű digitalizáció teszi az egyes szereplőket potenciális célponttá.

Ezért ez egy nagyon nehéz helyzet. Én úgy látom, hogy folyamatos versenyfutás zajlik, de ebben a küzdelemben mindig a támadók vannak kedvezőbb helyzetben.

Mennyit javult az átlagfelhasználók, illetve akár a kisvállalkozások tudatossága ezen a területen?

A témáról van egy saját, szakmai tapasztalatom, illetve van egy lakossági nézőpont is. Folyamatosan kapok olyan üzeneteket a családból és a baráti körből, hogy kibertámadásokra utaló jeleket tapasztalnak, és emiatt segítséget vagy megerősítést kérnek. Ez azt mutatja, hogy ezek a módszerek továbbra is nagyon gyakoriak.

Ugyanakkor azt is látom, hogy a tudatosság lassan, de érzékelhetően javul. Például a 70 éves édesanyám ma már felhív, mielőtt bármilyen adatot megadna vagy továbbítana, amikor valamilyen gyanús információkéréssel találkozik. Persze nálunk ez valamennyire speciális helyzet, hiszen én sokat beszélek erről, ez a szakmám, így a családban és a baráti körben is rendszeresen téma a kiberbiztonság.

Van azonban egy másik tapasztalatom is, amelyet az ügyfeleinknél szerzünk, amikor úgynevezett social engineering vizsgálatokat végzünk. Ezek során azt teszteljük, hogy az adott cég munkatársai mennyire tudatosan kezelik a hozzájuk érkező megkereséseket, üzeneteket és információkéréseket.

Ezen a területen kifejezetten pozitívak a tapasztalataink. Körülbelül húsz éve foglalkozom ezzel a szakmával, és ez alatt az idő alatt drasztikusan javult a felhasználók tudatossága. Amikor korábban ilyen vizsgálatokat végeztünk, előfordult, hogy a kiküldött üzenetek 90 százalékára érkezett valamilyen nem kívánt reakció vagy válasz. Ma már ennél jóval jobb eredményeket látunk: az emberek sokkal óvatosabban kezelik az ismeretlen megkereséseket és az érzékeny információkra vonatkozó kéréseket.

Márton Miklós - Fotó: Gosztola Judit/Pénzcentrum

Rohamosan növekszik az úgynevezett zsarolóvírusok száma is. Pontosan hogyan működik ez a módszer, kiket érint leginkább: a nagyvállalatokat, a közepes cégeket, vagy akár az átlagos felhasználókat is?

A zsarolóvírusokkal az a legnagyobb probléma, hogy amikor már megtörtént a baj, vagyis az adatokat titkosították, akkor utólag már nagyon nehéz segíteni. Gyakorlatilag abban lehet bízni, hogy ha az áldozat kifizeti a követelt összeget, akkor a támadók valóban visszaadják az adatokhoz való hozzáférést. A tapasztalat az, hogy ez sok esetben meg is történik.

Korábban tíz évig dolgoztam egy adatmentéssel foglalkozó cégnél, amelynek ez volt a fő profilja: különböző sérülésekből próbált adatokat helyreállítani. Már akkor is azt tapasztaltuk, hogy a zsarolóvírusos támadások esetén sokszor mi sem tudtunk mit kezdeni a teljesen titkosított adatbázisokkal. Ezért az egyik legfontosabb tanulság az, hogy amikor már bekövetkezett a támadás, akkor nagyon korlátozottak a lehetőségek, ezért célszerű a megelőzésre koncentrálni​.

A másik nagy probléma az, hogy ezek a támadások nagy mennyiségben, távolról indíthatók. Nem arról van szó, hogy a támadók előre kiválasztanak egyetlen konkrét céget, amelyet célba vesznek, hanem algoritmusok segítségével keresik az interneten azokat a rendszereket, ahol a legkönnyebben tudnak kárt okozni. Ezért ma már sem a kisvállalkozások, sem a magánszemélyek nincsenek biztonságban.

A zsarolóvírus lényege, hogy egy támadó valamilyen kártékony kódot juttat be a rendszerbe, amely lehetővé teszi számára, hogy távolról titkosítsa a felhasználó vagy a vállalat adatait. Ez azt jelenti, hogy a saját gépeinken tárolt fájlokhoz, adatbázisokhoz már mi magunk sem férünk hozzá.

Egy vállalkozás esetében ennek nagyon komoly következményei lehetnek: leállhat a gyártás, nem lehet értékesíteni, elérhetetlenné válhatnak a korábbi szerződések, levelezések és egyéb fontos üzleti adatok. Gyakorlatilag megállhat az élet egy cégnél, függetlenül annak méretétől.

A legjobb eset az, ha a vállalkozásnak van valamilyen offline mentése az adatairól. Ilyenkor ugyan jelentős munkával, de újra lehet építeni a rendszereket és vissza lehet állítani az adatokat. A probléma azonban az, hogy a cégek többsége nem rendelkezik ilyen rendszeres offline mentéssel. Ez már komolyabb informatikai biztonsági tudatosságot és jól kialakított folyamatokat igényel, például azt, hogy valaki hetente vagy havonta biztonságos, elkülönített mentést készítsen.

Ma már szinte nincs olyan vállalkozás, amely számára ne jelentene komoly problémát, ha néhány napig vagy akár egy hétig nem fér hozzá a saját adataihoz. A támadók nem válogatnak méret alapján: kis- és középvállalkozások ugyanúgy célpontok lehetnek, mint a nagy cégek.

A nagyvállalatok általában sokkal több erőforrást fordítanak informatikai biztonságra: több szakemberük, több eszközük és nagyobb tapasztalatuk van ezen a területen. Egy kis- vagy középvállalkozásnak viszont gyakran nincsenek meg ezek a kapacitásai. Sok esetben eddig nem is foglalkoztak kiemelten a kiberbiztonsággal, most azonban egyre inkább érzik a szükségességét, részben a piaci elvárások, részben pedig például a NIS2-höz hasonló szabályozások miatt.

Ugyanakkor egy kisebb vállalat nem tud egyik napról a másikra tíz-tizenöt különböző biztonsági megoldást bevezetni. Nekik olyan kész, összetett megoldásokra van szükségük, amelyek a rendelkezésükre álló erőforrások mellett is hatékony védelmet tudnak biztosítani. Saját fejlesztéseink egy része is éppen az ilyen típusú támadások megelőzését és kivédését szolgálja: a főleg kis- és középvállalatoknak szánt megoldásunk, a Vivesec AI Box lényege, hogy a mesterséges intelligencia képességeivel ruháztuk fel a piacon elérhető legbiztonságosabb adattárolónkat. Így a KKV-k is meg tudnak felelni mind a védelmi, mind pedig a velük szemben támasztott megfelelőségi elvárásoknak, miközben élvezhetik a biztonságos, helyben futó AI ügynökök üzleti előnyeit.

Hogyan tudják az ügyfelek, illetve a lakosság felismerni azt, hogy ha például egy fizetési oldalon tranzakciót szeretnének végrehajtani, akkor esetleg csalás áll a háttérben, és nem egy megbízható felületen járnak?

A rövid válasz az, hogy minden szolgáltató azt hangsúlyozza: soha nem kérnek belépési adatokat az ügyfeleiktől – még akkor sem, ha ők maguk telefonálnak. Ezek az információk náluk rendelkezésre állnak, vagy ha nem, akkor sem szabad, hogy az ügyfél kiadja őket.

Azonnal gyanakodni kell tehát, ha valaki olyan adatokat kér tőlünk, amelyek személyes információk vagy belépési adatok. Ilyenkor meg kell szólalnia a vészcsengőnek.

A probléma általában ott kezdődik, amikor létrejön egy olyan weboldal, amely megtévesztésig hasonlít például egy bank vagy más szolgáltató hivatalos oldalára. Valamilyen módon eljutunk erre az oldalra, és ott már természetesnek tűnik, hogy megadjuk az adatainkat, hiszen úgy érezzük, hogy a megszokott felületen vagyunk.

Az első és legfontosabb szabály az, hogy ha kéretlenül érkezik egy információkérés, arra egyszerűen nem szabad válaszolni. Én már odáig jutottam, hogy amikor például egy bank hív fel, és még egy egyszerű marketingmegkeresés esetén is azonosítani szeretne engem, akkor azt mondom: önök hívtak engem, ezért én nem szeretném magamat azonosítani, és nem szeretnék semmilyen személyes információt megadni. Ha van egy ajánlatuk vagy tájékoztatásuk, mondják el, de ne kérjenek tőlem olyan adatokat, amelyekkel engem be tudnak azonosítani.

Mondjuk a webhely tanusítványát úgy tudom, érdemes figyelni ilyenkor, ez könnyen lebuktathatja a csalókat. Ezek szerint erre még mindig sokan nem figyelnek?

Egy átlagos felhasználótól nem várható el, hogy ilyen technikai részleteket ellenőrizzen. A biztonság lényege inkább az, hogy próbáljuk megnehezíteni a támadók dolgát, és ne mi legyünk azok, akiket a legkönnyebb megtéveszteni. Teljes, 100 százalékos védelmet ugyanis senki számára nem lehet biztosítani. Én is biztosan hibázom néha, pedig tudatosan kezelem ezeket a kérdéseket.

Az már haladás, ha eljutunk odáig, hogy nem mi vagyunk az első számú, legkönnyebb célpontok, már nagyon sokat tettünk a saját biztonságunk érdekében. Ugyanez igaz a vállalkozásokra is. Egy cégnél már az is komoly előrelépés, ha alapvető védelmi intézkedéseket bevezetnek: például megfelelő tűzfalat használnak, gondoskodnak a biztonsági mentésekről, vagy titkosított módon tárolják az adatokat.

A saját fejlesztéseink között például van olyan titkosított adattárolási megoldás, amely lehetővé teszi, hogy a biztonsági mentéseket úgy helyezzék el, hogy egy zsarolóvírusos támadás során se lehessen azokat újra titkosítani. Mi már eleve titkosítjuk a mentéseket, így ezzel egy plusz védelmi réteget biztosítunk az ügyfeleink számára.

Olyan ez, mint amikor egy koncerten azt mondják, hogy ne készítsenek felvételt, mert a szervezők majd elkészítik és megosztják a hivatalos anyagot: mi is átvesszük ezt a feladatot, és biztonságos módon gondoskodunk róla.

De már az is óriási lépés a működés folytonosságának megőrzése érdekében, ha egy vállalkozás beállít egy megfelelő tűzfalat, vagy akár csak rendelkezik egy külön tárolt biztonsági mentéssel például egy pendrive-on vagy más offline eszközön. Ezek az egyszerű intézkedések is jelentősen csökkenthetik egy esetleges támadás következményeit.

Márton Miklós - Fotó: Gosztola Judit/Pénzcentrum

Ha a szó szerinti hackertámadásokat nézzük, akkor a banki rendszerekről korábban az volt a szakmai konszenzus, hogy gyakorlatilag „feltörhetetlenek”. Nemrég érkeztek olyan hírek, hogy a Távol-Keleten digitális bankokat, illetve kriptovalutákkal kapcsolatos rendszereket is sikerült feltörni, és pénzeket eltulajdonítani. Mennyire aggasztja a szektort, hogy valóban feltörhetővé válhatnak ezek a rendszerek?

Azt mindig el szoktam mondani, hogy a banki és a telekommunikációs szektor az informatika megjelenése óta erősen digitalizált területnek számít. Éppen ezért ezek a szereplők mindig is a saját bőrükön tapasztalták a kibertámadások következményeit, és több évtizedes tapasztalatuk van ezen a területen.

Sokkal jobb helyzetben vannak már csak azért is, mert évtizedek óta foglalkoznak kiberbiztonsággal. Emellett a jogszabályok is hosszú ideje arra kötelezik őket, hogy jelentős erőforrásokat és pénzt fordítsanak a védelemre.

Ez önmagában előnyösebb helyzetet teremt számukra például a kritikus infrastruktúrákat működtető szolgáltatókhoz képest – ilyenek például a vízművek, az elektromos hálózatok vagy más közműszolgáltatók. Ezeknél a területeknél hosszú időn keresztül sokkal kevesebb szabályozás és figyelem irányult az informatikai biztonságra.

Ezeknek a rendszereknek a feltörése ráadásul sokkal nagyobb társadalmi következményekkel járhat. Nem ugyanaz a kategória, mint amikor az ügyfelek banki adatai kerülnek veszélybe, ami persze nyilván ugyancsak komoly probléma. Egy konfliktushelyzetben, például két ország közötti feszültség vagy egy célzott támadás esetén a víz- vagy energiaszolgáltatás leállítása akár egy teljes ország működésére is hatással lehet. Egy rosszindulatú szereplő így sokkal nagyobb kárt tud okozni.

A banki rendszerekkel kapcsolatban ugyanakkor fontos kimondani, hogy az informatikai biztonságban van egy alapelv: minden rendszert fel lehet törni, csak az a kérdés, hogy ehhez mennyi erő, idő és pénz szükséges.

Ezért beszélünk kockázatarányos védelemről is. Ennek lényege, hogy egy szervezet annyit költ egy adott adat vagy rendszer védelmére, amennyit annak elvesztése esetén várhatóan kárként elszenvedne. A bankok esetében ez azért jelent nagyon magas összeget, mert hatalmas pénzügyi értékek, az ügyfelek bizalma és a vállalat jó hírneve is kockán forog.

Már szóba került a NIS2 irányelv bevezetése. Mennyire voltak vagy vannak felkészülve erre a hazai cégek, és pontosan mit tartalmaz ez az előírás?

A felkészültség nagyon heterogén képet mutat. Az érintett vállalatoknak csak egy kisebb része az, amely korábban is valamilyen kötelezettség vagy saját döntés alapján foglalkozott kiberbiztonsággal. Ők természetesen jobb helyzetből indultak.

Magyarországon több ezer – nagyságrendileg három-négyezer – vállalkozás érintett a szabályozásban. Pontos statisztikák talán még nincsenek arról, hogy közülük hányan készültek fel, de a tapasztalataim alapján úgy gondolom, hogy eddig körülbelül 10–30 százalékuk fordított komolyabb figyelmet erre a területre.

Elsősorban a nagyvállalatok és a nagyobb kormányzati intézmények azok, amelyek korábban is rendelkeztek megfelelő biztonsági háttérrel, bár még náluk is lehetnek kihívások. A NIS2 irányelv ugyanis meglehetősen magas szintű megfelelést vár el: az előírt biztonsági intézkedések jelentős részének teljesülnie kell ahhoz, hogy egy szervezet megfelelőnek minősüljön.

A kis- és középvállalkozások helyzete még nehezebb. Sok esetben nemcsak külön informatikai biztonsági szakemberük nincs, hanem önálló informatikai részlegük sem. Gyakori, hogy külső szolgáltató segíti őket az informatikai feladatokban – akár úgy, hogy egy külsős szakember időszakosan foglalkozik a rendszereikkel.

Most ezeknek a cégeknek úgy kell megfelelniük egy összetett biztonsági elvárásrendszernek, hogy sok esetben sem megfelelő eszközeik, sem megfelelő szakértelemmel rendelkező munkatársuk nincs hozzá. Sokszor még azt is nehéz számukra értelmezni, hogy pontosan mit vár el tőlük a szabályozás. Ez ezért sok száz vagy akár több ezer vállalkozás számára komoly kihívást jelent.

Van valamiféle határidő vagy türelmi idő arra, hogy a vállalatok teljesítsék a NIS2 irányelvben meghatározott követelményeket?

A folyamatnak ezen a pontján már túl is vagyunk. Az első hivatalos kiberbiztonsági audit lefolytatásának határideje 2026. június 30 volt. Az, hogy mi történik azokkal a szervezetekkel, amelyek nem akarnak vagy nem tudnak megfelelni az előírásoknak, már a jogalkalmazói gyakorlattól függ majd.

Egyelőre még nem látjuk pontosan, hogyan fognak működni a gyakorlatban a nem megfelelésből fakadó következmények, hiszen az első ilyen esetek tapasztalatai még előttünk vannak.

Én általában meglehetősen szkeptikusan látom Magyarországon a megfelelési kultúrát. Sok vállalat úgy gondolkodik, hogy ha egy előírás teljesítésének költsége magasabb, mint az esetleges büntetés összege, akkor inkább vállalja a büntetést.

A NIS2 szabályozás alapján a bírság akár a vállalat éves árbevételének 2 százalékáig is terjedhet. Ha a gyakorlatban valóban következetesen alkalmaznák ezt a szankciót – például minden olyan szervezet esetében, amely nem éri el az elvárt megfelelési szintet –, akkor azt a vállalatok már minden bizonnyal kénytelenek lesznek komolyan venni.

Még nem tudjuk pontosan, hogyan fog alakulni a jogalkalmazás, de az biztos, hogy a jogalkotó komoly következményeket helyezett kilátásba. Az eszközök rendelkezésre állnak, és ilyen esetekben akár olyan intézkedések is szóba kerülhetnek, mint például az adószám felfüggesztése.

Márton Miklós - Fotó: Gosztola Judit/Pénzcentrum

Ha már az okokról beszélünk: sokakban felmerülhet, hogy egy kisebb vállalkozás talán "nem elég nagy" célpont a támadók számára. Ez mennyire reális feltételezés?

Ahogy korábban is említettem, amikor egy algoritmus vagy akár egy mesterséges intelligencia dönti el, hogy kit érdemes megtámadni, akkor nem a vállalat méretét nézi, hanem azt, hogy hol a legkönnyebb bejutni.

A mai támadások nagy része automatizált módon történik. A zsarolóvírusos rendszerek például folyamatosan keresik az interneten az elérhető IP-címeket és a sérülékeny rendszereket, majd ahol lehetőségük van rá, ott megpróbálják titkosítani az adatokat. Az automatizmus nem azt vizsgálja, hogy mekkora az adott cég árbevétele, hány alkalmazottja van, vagy mennyire ismert a piacon, hanem azt, hogy mennyire könnyű megtámadni. Éppen ezért minden kisvállalkozást óva intenék attól, hogy azzal nyugtassa magát: „mi túl kicsik vagyunk, minket úgysem támadnak meg”. Ez egyszerűen nem igaz.

A támadók sok esetben nem egyetlen nagy célpontra várnak, hanem tömegesen próbálkoznak, és sok kisebb vállalkozást is elérnek. Egy-egy sikeres támadásból akár több millió forintos összegeket is be tudnak gyűjteni. Egy kis- vagy középvállalkozás pedig gyakran inkább kifizeti ezt az összeget, mintsem hogy hetekig működésképtelen legyen, ne férjen hozzá az adataihoz, és leálljon az üzletmenete.

Ha már szóba kerültek ezek a több millió forintos összegek: mekkora kockázatot jelentenek ezek a támadások a magyar hatóságok számára? Mennyire vannak ezek az elkövetők a hatóságok radarján?

Az elkövetők jellemzően nem magyar szereplők. Gyakran nem is tudjuk pontosan, hogy honnan működnek: lehetnek például Oroszországhoz vagy Kínához köthető csoportok, de nem szeretnék senkit alaptalanul megnevezni vagy démonizálni. A lényeg az, hogy ezek a támadók általában nem helyi szereplők.

A módszerük ráadásul nagyon tudatosan felépített. A váltságdíjat jellemzően kriptovalutában kérik, így igyekeznek elrejteni a pénz útját és a saját személyazonosságukat. Ez számukra már nem az első ilyen művelet: pontosan kidolgozták, hogyan tudják minimalizálni annak az esélyét, hogy azonosítsák őket.

A helyzetet nehezíti, hogy maga az áldozati oldal sem mindig érdekelt abban, hogy nyilvánosságra hozza az esetet. Egy vállalatnak érthető módon nem érdeke azt kommunikálni, hogy feltörték a rendszereit vagy ellopták az adatait. Sok esetben inkább csendben próbálják megoldani a problémát. Így a rendszer minden eleme inkább az eltitkolás irányába mutat, nem pedig abba az irányba, hogy az esetekből tanuljunk, segítsük egymást, és hatékonyabban tudjunk védekezni a jövőbeni támadások ellen.

Jó, hogy felmerült a mesterséges intelligencia szerepe, mert a következő kérdésem is ehhez kapcsolódott volna. Nemrég jelent meg egy cikk arról, hogy az AI hackelési képességei gyakorlatilag már túlnőttek a védelmi rendszerek képességein, vagy legalábbis a tesztelés sebességén. Mennyire aggódik a szektor emiatt a jelenség miatt?

Annyira komolyan veszi ezt az egész iparág, hogy a védekezési oldalon is folyamatosan azt vizsgálják, hogyan lehet a mesterséges intelligenciát hatékonyan használni. Egy ilyen eszközzel szemben ugyanis csak egy hasonló képességű – vagy még erősebb – védelmi rendszer jelenthet megfelelő választ.

A probléma abból adódik, hogy a támadó mindig kiválaszthatja, kit és milyen módon támad. A védekezőnek viszont minden lehetséges irányból, minden ponton védenie kell a rendszereit. Ez eleve egy nehezített helyzet.

Ezért mondtam korábban is, hogy informatikai szempontból minden rendszert fel lehet törni, csak az a kérdés, hogy mennyi erőforrás, idő és pénz szükséges hozzá. Ha valaki célzottan el akarja lopni az adatainkat, a védekező mindig hátrányból indul, hiszen nem tudhatja előre, hogy pontosan honnan és hogyan érkezik majd a támadás. A helyzetet tovább nehezíti, hogy ma már mesterséges intelligenciával támogatott, felhőből indított, automatizált támadásokat is lehet végrehajtani. Ez még nagyobb kihívás elé állítja a védelmi oldalt.

Az egyik válasz erre az, hogy a védekezésben is használni kell az AI-t. A másik ok pedig az, hogy ma már olyan mennyiségű adat keletkezik az informatikai rendszerekben, amelyet emberi erőforrással egyszerűen nem lehet feldolgozni.

Azok a rendszerek például, amelyek a naplófájlok elemzésével próbálnak gyanús mintázatokat felismerni és támadásokat azonosítani, már korábban is használtak automatizmusokat. Ma ezeket sokszor AI-alapú rendszereknek vagy AI-ügynököknek nevezzük, de a cél ugyanaz: olyan eszközöket létrehozni, amelyek képesek felvenni a versenyt a korlátlan erőforrásokkal és nagy sebességgel működő támadásokkal. Mi is ezen dolgozunk: olyan megoldásokat fejlesztünk, amelyekkel a védekezés hatékonyabbá tehető.

Az AI egyébként két külön problémát is felvet. Az egyik az, hogy a támadók is használják mesterséges intelligenciát, tehát nekünk is AI-alapú eszközökkel kell védekeznünk ellenük. A másik kérdés pedig az, hogy maga az AI használata milyen biztonsági kockázatokat jelent.

Itt például a nagy nyelvi modellekre gondolok. Sok vállalat szeretné használni ezeket az eszközöket, de közben felmerül a kérdés: mi történik akkor, ha feltöltik a saját szerződéseiket, ügyféladataikat vagy más érzékeny információikat egy külső AI-rendszerbe? A mi válaszunk erre az, hogy a vállalati adatoknak nem feltétlenül kell elhagyniuk a céget. Olyan megoldásokat fejlesztettünk, amelyek lehetővé teszik, hogy az adatok titkosított, biztonságos környezetben maradjanak, és a vállalat saját infrastruktúráján, saját hálózatán belül használhasson AI-funkciókat.

Ennek nagy jelentősége van, mert bár a vállalatoknak óriási igényük lenne az AI által kínált automatizációra és a munkaerő hatékonyságának növelésére, sokan mégsem merik használni ezeket a rendszereket. Ennek oka éppen az adatbiztonság: nem szeretnék, hogy a legérzékenyebb üzleti információik egy külső szolgáltató rendszerébe kerüljenek.

Ezért egyre nagyobb szerepet kapnak az úgynevezett on-premise, vagyis helyben működtetett AI-megoldások. Ezeknél a vállalat saját környezetben használhatja az AI-t, és nem kell minden egyes használat után külső szolgáltatónak fizetnie.

Ráadásul a nagy nyelvi modellek használata egyre inkább beépül a vállalatok működésébe. Sok cég már többet költ ezekre a szolgáltatásokra, mint eredetileg tervezte, miközben a szolgáltatások folyamatosan fejlődnek és egyre fontosabbá válnak. Egy saját infrastruktúrán működő megoldás ebben is alternatívát jelenthet, hiszen a vállalat hosszú távon kiszámíthatóbban használhatja a rendszert.

Márton Miklós - Fotó: Gosztola Judit/Pénzcentrum

Az ember azt gondolná, hogy ha az AI a védelem és a támadás oldalán is megjelenik, akkor azoknak, akik AI-alapú védekezést szeretnének kialakítani, talán még többet kell költeniük, mint amennyit a támadók fordítanak ezekre az eszközökre. Ez valóban így van?

Igen, ez biztosan így van. Sokkal könnyebb helyzetben van az, akinek teljesen mindegy, hogy kit és milyen módon károsít meg, mint annak, akinek mindent meg kell védenie. Olyan ez, mint a kardvívás: a támadónak elég egyetlen pontot megtalálnia, ahol sebezni tud, a védekezőnek viszont az egész testét védenie kell minden lehetséges támadás ellen.

Ez egy alapvetően igazságtalan helyzet. Egyetlen sikeres támadási lehetőség kihasználásához sokkal kevesebb erőforrás kellhet, mint ahhoz, hogy valaki egy teljes rendszert megfelelően megvédjen. Ezért van az, hogy a védekezés mindig nagyobb kihívás, és gyakran nagyobb befektetést is igényel.

Az elmúlt években több olyan hír is napvilágot látott, hogy támadások érték a magyar állami rendszereket. Mennyire felkészült maga az állami infrastruktúra ezeknek a támadásoknak a kivédésére? Mennyire van prioritásként kezelve ez a terület?

Leginkább azt tartom fontosnak, hogy jelenleg milyen irányt kommunikál a jelenlegi kormányzat ezen a területen. Azt látom, hogy most egy önálló kormányzati struktúra foglalkozik azzal, hogy egyrészt konszolidálja azokat az állami rendszereket, amelyek mögött az állampolgárok számára nyújtott kritikus szolgáltatások működnek. Én ezt kifejezetten üdvözlendő stratégiának tartom.

Egy informatikai rendszer védelmének ugyanis egyik legfontosabb eleme, hogy ne száz különböző helyen, száz különböző módon kelljen védekezni, hanem egy egységesebb, összehangolt infrastruktúrán lehessen kialakítani a védelmet. Ugyanabból a pénzből sokkal hatékonyabb egy egységes védelmi architektúrát létrehozni, mint sok különálló rendszert külön-külön védeni. Ez visszavezethető arra a korábbi problémára is, hogy a támadóknak elég egyetlen gyenge pontot találniuk, miközben a védekezőknek a teljes felületet kell biztosítaniuk. Ha sok különálló rendszer van, ez a kihívás még nagyobb.

Én úgy látom, hogy ez a konszolidációs irány jó stratégia. Emellett azt is érzékelem, hogy egy átfogóbb kiberbiztonsági stratégia kialakítása is cél, amely korábban kevésbé volt hangsúlyos. Piaci szereplőként én minden olyan kormányzati törekvést üdvözlök, amely ebbe az irányba mutat.

A NIS2 szabályozás és az európai uniós elvárások egyébként önmagukban is hatalmas lendületet adnak ennek a területnek. Kevés olyan iparág van, ahol egy vállalat termékeinek vagy szolgáltatásainak alkalmazását jogszabály írja elő. Amikor egy területre törvényi kötelezettség miatt is figyelmet kell fordítani, az hosszú távon biztosan fejlődést eredményez.

Azt természetesen még nem tudjuk pontosan megmondani, hogy milyen hatékonysággal működik majd mindez a gyakorlatban. Sok múlik azon, hogy mennyire kérik számon a megfelelést, milyen következményekkel jár majd a hiányosságok esetén, és mennyire lesz következetes a végrehajtás. De önmagában az, hogy ez a terület bekerült a jogszabályi környezetbe, szerintem már nagyon pozitív fejlemény. Én arra számítok, hogy javulni fog a helyzet, ha a mostani terveket valóban végigviszik. Természetesen voltak és vannak incidensek.

Az informatikai biztonságban van egy olyan mondás, hogy a rossz hír néha jó hír, mert amikor történik egy komolyabb esemény, akkor mindenki jobban odafigyel, és az egész terület nagyobb figyelmet kap. Ugyanakkor az informatikai biztonságban a jó működés tulajdonképpen azt jelenti, hogy nem történik semmi. Ezért gyakran nehéz láthatóvá tenni azt a rengeteg munkát és erőforrást, amely ahhoz kell, hogy ne legyenek problémák.

Ez olyan, mint a repülés biztonsága. Amikor lezuhan egy repülőgép, természetesen mindenki erről beszél, pedig közben naponta több millió repülés zajlik világszerte problémamentesen. Nem szeretnék természetesen azon az egy gépen ülni, amelyik lezuhan, de ettől még a modern polgári repülés az egyik legbiztonságosabb közlekedési forma.

Hasonló a helyzet az informatikai biztonsággal is. Igen, voltak incidensek az elmúlt időszakban, és nagyon komolyan kell venni ezeket, mert egyetlen támadás is óriási károkat okozhat. De ettől még azt gondolom, hogy a mostani szabályozási irányok és kormányzati törekvések összességében pozitívak.

Abban is bízunk, hogy ehhez megfelelő források is rendelkezésre állnak majd. Az elmúlt évek egyik legnagyobb kihívása ugyanis az volt, hogy amikor a fejlesztési források korlátozottabbá váltak, a biztonság volt az egyik olyan terület, amelyet a szervezetek könnyebben halasztottak.

A működéshez szükséges alapfunkciókat természetesen mindig meg kell valósítani: legyen szolgáltatás, működjön az infrastruktúra, legyenek fejlesztések. A biztonságra azonban sokszor csak akkor jut pénz, ha már minden másra jutott.

Most abban bízunk, hogy az új fejlesztési források megjelenésével, valamint az Európai Unió digitalizációt támogató programjaival több figyelem és több pénz jut erre a területre is. A digitalizációs fejlesztések növekedésével együtt ugyanis az informatikai biztonság szerepe is egyre fontosabbá válik.

Márton Miklós - Fotó: Gosztola Judit/Pénzcentrum

Mennyire lenne érdemes már a legalacsonyabb szinten, például az oktatásban elkezdeni a kiberbiztonsági tudatosság növelését?

Az elmúlt 20–30 év informatikai biztonsági tapasztalata alapján azt mondhatom, hogy minden forint, amit biztonságtudatosságra és képzésekre fordítottunk, sokszorosan megtérült ahhoz képest, amit magukra a védelmi rendszerekre költöttünk.

Sokkal fontosabb ugyanis, hogy annak az embernek, aki például önként adja ki a saját adatait, legalább egyszer elmondjuk, hogy miért veszélyes ezt megtennie, mint az, hogy sok százmillió forintért próbáljuk meg technikai eszközökkel megakadályozni ugyanezt.

A saját területünket természetesen mindenki hajlamos fontosnak tartani – mi is egy informatikai biztonsággal foglalkozó cég vagyunk –, de én azt gondolom, hogy igenis szükség lenne már az iskolákban alapvető kiberbiztonsági tudatossági oktatásra. Hasonlóan ahhoz, ahogy más életvezetési vagy egészségügyi kockázatokról is beszélünk a fiataloknak, ugyanígy el kellene mondani nekik azt is, hogy milyen veszélyek vannak az online térben, mit szabad és mit nem érdemes megtenni.

Igaz ez például a közösségi média használatára vagy akár más hétköznapi biztonsági kérdésekre is. Ahogy megtanítjuk őket arra, hogy ne hagyják őrizetlenül a poharukat egy buliban, ugyanúgy meg kell tanítani őket arra is, hogy hogyan vigyázzanak a digitális adataikra.

Eddig főként a pénzügyi rendszerekről és a vállalatok kiberbiztonságáról beszéltünk, de a hadviselésben is egyre fontosabb szerepet kap a kibervédelem. Az orosz–ukrán konfliktusban is zajlik egyfajta kiberháború. Hogyan kell ezt elképzelni, és miért ennyire fontos?

Talán az egyik legbiztosabb jele annak, hogy mekkora jelentősége van ennek a területnek, hogy a NATO ma már egy kibertámadást bizonyos esetekben ugyanolyan súlyú fenyegetésként kezel, mint egy fizikai támadást.

Vagyis ha egy NATO-tagállam kritikus informatikai rendszereit súlyos támadás éri, az bizonyos körülmények között ugyanabba a kategóriába eshet, mintha hagyományos katonai támadás érné az országot. Ezzel gyakorlatilag elismerték, hogy egy kibertámadás is képes olyan károkat okozni, amelyek nemzetbiztonsági szintű problémát jelentenek.

A helyzet ugyanakkor azért összetett, mert egy kibertámadást sokkal nehezebb bizonyítani, mint egy hagyományos katonai támadást. Ha ellopják az autómat, azt egyértelműen látom: nincs ott az autó a ház előtt.

Ha viszont ellopják az adataimat, az sokkal nehezebben észlelhető, mert az adatok nálam is megmaradhatnak, miközben a támadónál is ott vannak. Egy ilyen támadást nyomon követni és hitelesen bizonyítani rendkívül összetett feladat. Ettől függetlenül a modern államok egyértelműen fenyegetésként tekintenek a kibertámadásokra.

A másik fontos szempont, hogy sokkal kisebb erőforrással is óriási károkat lehet okozni, mint egy hagyományos katonai művelettel. Egy repülőgép, egy rakéta vagy egy katonai rendszer működtetése hatalmas összegekbe kerül, míg egy jól megszervezett kibertámadás akár egy zárt irodából, viszonylag kis költséggel is komoly következményekkel járhat.

Ráadásul bizonyos rendszerek megtámadása közvetlenül emberek életére is hatással lehet. Például ha valaki egy ország vízellátását, energiaellátását vagy közlekedési rendszereit támadja meg. Volt egy izraeli partnerünk, amely buszok kiberbiztonságával foglalkozó megoldásokat fejlesztett. Amikor beszélgettünk velük, mi európai szemmel inkább olyan kérdésekre gondoltunk, hogy hogyan lehet csökkenteni a szervizköltségeket, előre jelezni a meghibásodásokat.

Ők viszont egészen más szemszögből közelítették meg a kérdést. Azt mondták: természetesen ezek is fontos célok, de gondoljunk bele abba, mi történik, ha valaki nem egyetlen buszt támad meg, hanem egyszerre több ezer járművet tud irányítani.

Egy terrorista egyetlen járművel is komoly károkat okozhat, de ha valaki távolról, egyetlen mozdulattal több ezer jármű működését képes befolyásolni, annak nagyságrendekkel nagyobb lehet a hatása.

Ez az informatika egyik legnagyobb kihívása: eredetileg azért hoztuk létre a technológiát, hogy automatizáljuk és hatékonyabbá tegyük az emberi munkát. A rosszindulatú szereplők azonban ugyanezt az automatizációt használják arra, hogy a károkozást is nagyobb méretben tudják végrehajtani. Amikor pedig egy ilyen támadás emberek nagy tömegének életére lehet hatással, akkor már nem egyszerű informatikai problémáról beszélünk, hanem társadalmi és biztonsági kérdésről.

A képeket készítette: Gosztola Judit/Pénzcentrum