Kiberbiztonsági partnere a kockázatok és a reziliencia területén

Nem. Ez a normális kiindulópont, és a magabiztosan megfogalmazott probléma amúgy is gyakran a rossz probléma.

Az első beszélgetés rövid, és három kérdés van benne: mi az, ami nélkül egy napig sem tudnának meglenni; mi van már ma a helyén; és mi hajtja az időzítést — egy ügyfél, egy auditor, egy biztosító, vagy valami, ami már megtörtént. Ennyi általában elég ahhoz, hogy kiderüljön: felmérésre van szükségük, egy emberre, vagy egy telefonszámra, amit hajnali kettőkor lehet hívni.

Ha szívesebben érkeznek valamivel a kezükben, az önértékelésünk tizenkét kérdés nyolc területen, körülbelül öt perc, és ad egy rangsorolt jelentést, amivel vitatkozni lehet.

Senki konkrétan — és éppen ez a lényeg. A támadások többsége nem célzott, hanem automatizált: egy kitett szolgáltatást vagy egy újrahasznált jelszót talál meg, nem egy kiválasztásra érdemes céget.

A publikált mérések ebben kíméletlenek. Kis- és középvállalatok körében készült független 2025-ös kutatás szerint nagyjából ötből négy cég a két legalsó rezilienciasávban van, többségüknél nincs automatikus mentés, és csak kevesen rendelkeznek kiberbiztosítással.

A kérdés tehát nem az, hogy megéri-e megtámadni Önöket. Az, hogy el tudnák-e viselni — és az Önök méretében általában kevesebb a mozgástér egy rossz két hétre, mint a hírekbe kerülő nagyoknál.

Úgy, hogy mérhetővé tesszük — ami minden kontrollokra vonatkozó állítástól jogos elvárás.

Egy strukturált, elismert keretrendszerhez mért felmérés hetek alatt választ ad: mi van meg, mi van dokumentálva, mi működik ténylegesen, és melyik hézag bezárása mibe kerülne. Kérdőíveket használ az Önök saját embereivel, külső szkennelést arról, amit az internet lát Önökből, valamint az azonosításkezelés, a végpontok és a felhőkonfiguráció átvizsgálását.

Ami visszaérkezik, az egy pontozott kép rangsorolt hézagokkal. Az IT-vezetőjüknek ezután tételes listája lesz, amivel vitatkozhat, nem pedig egy kérdés, amit meg kell védenie — ami mindkettejüknek sokkal jobb beszélgetés, és a legtöbb ponton egyébként többnyire igaza is van.

Ez a leggyakoribb ok, amiért a cégek felhívnak minket, és ez előbb dokumentációs probléma, mint biztonsági.

A kérdőívet hozzárendeljük egy keretrendszerhez, megkeressük, mi van már meg — általában több, mint gondolnák —, megírjuk a ténylegesen hiányzó szabályzatokat és nyilvántartásokat, és átadjuk a bizonyítékcsomagot.

A hasznos rész az, hogy ez újrahasznosítható. A nagyvállalati vevők és a biztosítók újra és újra ugyanazokat kérdezik, így a második kérdőív töredék idő alatt megvan, a harmadik pedig már többnyire csak kikeresés. Amit egy ügyfélért megcsinálnak, azt megcsinálják a következő húszért is.

Mert egy eszköz önmagában semmit nem változtat meg. Valakinek birtokolnia kell, az Önök környezetére kell hangolnia, és tennie kell azzal, amit kiad — ha pedig ezt a feladatot senki nem kapta meg, a termék soha nem is fogott volna működni, bármennyibe került.

Mi az Önök kockázatával, szabályozójával és vezetésével kezdünk, nem egy termékkatalógussal. A technológiát az ütemterv szolgálatába választjuk, nem fordítva.

Ahol mégis technológiát hozunk be, az szolgáltatásként érkezik: minden feladat mellett megnevezett gazda és határidő, és havi jelentés arról, mi mozdult. Ha semmi nem mozdult, az is látszik — ez az a rész, ami a legtöbb termékvásárlásból hiányzott.

Egyelőre ne töröljenek és ne építsenek újra semmit. Abból, hogy mi éli túl az első órát, dől el, mennyit tudnak meg valaha az egészből.

Válasszák le az érintett gépeket a hálózatról, de hagyják őket bekapcsolva. Kényszerítsenek jelszócserét a kiemelt jogosultságú fiókokra. És kezdjék el írni az időpontokat és a lépéseket, ahogy megteszik őket — ez a napló lesz minden későbbi gerince, beleértve a biztosítói és a hatósági beszélgetést is.

Utána hívjanak valakit. Digitális forenzikus és incidenskezelési rendelkezésre állási keretet tartunk 24/7-es partneri SOC-cal, és egy meglévő kereten belüli indulás lényegesen gyorsabb, mint hidegen kezdeni. Ha nem ügyfelünk, akkor is hívjanak, és őszintén megmondjuk, hogy mi vagyunk-e a leggyorsabb út, vagy valaki más.

Három nagyságrend, és mindegyiket rögzített hatókörre, rögzített díjjal adjuk meg még az elköteleződés előtt.

Egyszeri felmérés: megnevezett hatókör, jelentés, rangsorolt terv. A legtöbb megbízás így kezdődik, és utána semmire nem kötelezi Önöket.

Folyamatos tanácsadás vagy biztonsági vezetés: havidíj, jellemzően tizenkét hónapos futamidőn, mert az a fajta munka, amely egy negyedév után abbamarad, nem tart ki.

Projekt: egy platform bevezetése és behangolása vagy egy technikai munka, projektáron, a élesindulással lezárva.

Viszonyításul: egy főállású biztonsági vezető bérrel és járulékokkal együtt egy negyedmillió euró közelébe kerül évente — pontosan ezért létezik a részidős modell.

Valakinek muszáj, és sok cégnél az őszinte válasz jelenleg az, hogy senkinek — ugyanaz a 2025-ös kutatás nagyjából kétharmadnál talált olyan helyzetet, ahol a hálózatbiztonságnak nincs kijelölt gazdája.

A megoldás ritkán az, hogy vegyenek fel információbiztonsági vezetőt. Az, hogy a felelősséget tegyék valahová valóságosan a szervezeten belül — általában egy meglévő vezetőhöz, aki tud dönteni —, a szakértelmet pedig vásárolják meg mellé részidőben. A virtuális CISO adja a stratégiát, a kockázati döntéseket és a vezetői riportolást, főállású vezető nélkül.

Magyarországon van egy további csavar: a kiberbiztonsági törvény megnevezett, formálisan képesített biztonsági felelőst ír elő, és ez a szerepkör külsősként is betölthető és bejelenthető. A felelősség Önöknél marad; a képesítésnek nem kell.