Fedezd fel a kibervédelem új dimenzióit: Marsi Tamással készült exkluzív interjú a Magyarország Kiberstratégiájáról. Ismerd meg azokat a friss megközelítéseket és innovatív megoldásokat, amelyek a digitális biztonság jövőjét formálják hazánkban!

Több év szünet után végre napvilágot látott egy új kiberbiztonsági stratégia március 31-én, amely nem a megszokott keretek között formálódott, hanem egy proaktív megközelítést alkalmazva reagál a jelenlegi kiberfenyegetésekre. Az alappillérek, a kvantumtechnológia, a felhőtechnológia államigazgatásban való alkalmazása, valamint a stratégia kidolgozásának szubjektív tapasztalatai kerültek terítékre Marsi Tamással, Magyarország Kiberstratégiájának megalkotójával folytatott beszélgetésünk során.

Nem minden nap adódik lehetőség arra, hogy egy sokak által várt és még többekre hatást gyakorló nemzeti stratégia megalkotójával üljön le az ember beszélgetni a szakmai kötelezőkön túl a szubjektív élményekről (is). Nekünk most sikerült, és a hivatalos kereteken túl mélyebbre ástunk a témában, hogy megértsük, mi zajlik a színfalak mögött. A beszélgetés során olyan részletek is felmerültek, amelyek ritkán szoktak a szakmai interjúk keretén belül - személyes élmények, döntések hátterei és néhány olyan kulisszatitok, amit eddig csak kevesen ismertek. De hát a stratégia mégiscsak ezek összességétől vált élővé.

Marsi Tamással, a Nemzetbiztonsági Szakszolgálat főosztályvezetőjével Kiss Franciska, az ICT Global főszerkesztője beszélgetett.

Marsi Tamás: Ha visszatekintünk 2022-re, valóban azt mondhatjuk, hogy az akkori állapotokhoz képest jelentős előrelépés történt. A hazai kiberbiztonság szintje folyamatosan nőtt, és egyre inkább az látszik, hogy a vállalkozások, a közszolgáltatók és az állam is egyre komolyabban veszi ezt a kérdést.

Úgy vélem, hogy a 2022 decemberében életbe lépett NIS2 irányelv hatásain túlmenően egy 2021-es incidens is jelentős hatással volt a helyi iparra, különösen egy meghatározó hazai alkatrészbeszállító, az Unix esetében. Az incidenskezelés során tanúsított átláthatóságuk sajnos ritkaságnak számít a magyar piacon. Ennek ellenére a nyilvános folyamatok bemutatása komoly változásokat hozott a hazai piacvezető vállalatok kiberbiztonsági megközelítéseiben, ami elősegítette a tudatosság növelését ezen a fontos területen.

Most, hogy a piaci hangulat elkezdett formálódni, itt a NIS2, mint egy friss szellő, hogy felfrissítse a légkört.

Magyarország az irányelv végrehajtásában és jogszabályalkotásában élen jár, hiszen jelentős mélységű elemzéseket végeztünk. Ennek következtében a vállalkozások számára támasztott követelmények talán magasabbak, mint az európai átlag. Mindez azonban egyetlen célt szolgál: a hazai kiberbiztonság általános szintjének emelését, amely elengedhetetlen a digitális világ kihívásaival való szembenézéshez.

Természetesen, sok helyen még mindig azzal kezdődik a folyamat, hogy meg kell szerezni az első számú vezető bizalmát és támogatását ahhoz, hogy elindíthassuk a kiberbiztonsági intézkedések bevezetését. Miért olyan fontos ez? Mert a kiberbiztonság gyakran hasonlítható az egészségügyi állapotunkhoz: amikor minden rendben van, hajlamosak vagyunk megfeledkezni róla, de amint probléma merül fel, azonnal észrevesszük. Ennek következtében a kiberbiztonság sok vállalat számára még mindig nem számít "termelő" tevékenységnek. Ráadásul, a kiberbiztonságra fordított kiadások nem mindig hoznak azonnali, kézzelfogható megtérülést – hiszen a visszatérülés abban rejlik, hogy elkerüljük a lehetséges incidenseket, amelyeket sosem tapasztalunk meg. Így tehát egy viszonylag nehezen számszerűsíthető területről van szó.

Ennek ellenére úgy vélem, hogy a magyar futballra tett párhuzam egyre inkább megkérdőjelezhető. Természetesen mindig van lehetőség a fejlődésre, de összességében mind az állami, mind a magánszektorban pozitív irányba haladunk.

M.T.: Ami a fejlődést illeti az állami szektorban, véleményem szerint az egyik legszembetűnőbb előrelépés az, hogy a kiberbiztonság immár a legfontosabb európai uniós pályázati források szerves részévé vált. Nyilvánvaló, hogy ez a NIS2 irányelv hatására indult el, de végre megtörtént a változás. Ezen kívül, a kiberbiztonságot mint alapvető elemet a pályázati projektekben Magyarország Kiberstratégiájában is kiemelten szerepeltettük, ami hangsúlyozza a téma fontosságát.

Azt gondolom, ez nagyon jó eredmény állami szinten. Ezzel párhuzamosan a magánszektor, a vállalatok kiberbiztonsági érettsége is fejlődött. Itt a legnagyobb eredmény abban mérhető, hogy az első számú vezetőket elkezdtük érdekeltté tenni a saját vállalatuk kiberbiztonsági érettségének növelésében.

Nyilvánvaló, hogy a nagyvállalatok és a kiemelt kockázatú iparágak területén a kiberbiztonság mindig is kiemelt figyelmet kapott, hiszen szigorú szabályozásoknak kellett megfelelniük. Viszont sok más szektor, mint például az élelmiszeripar, eddig szinte csak elhanyagolta ezt a kérdést. Most azonban kezdenek felismerni ennek fontosságát, és ez már önmagában is jelentős előrelépésnek számít.

M.T.: Nem szeretem a kiberbiztonságot versenyként felfogni, de tény, hogy bizonyos országok bizonyos területeken előrébb járnak, mint mások.

Példaként mindig az észteket szokták hozni, hiszen 2008-ban a saját bőrükön tapasztalták meg, milyen az, ha komoly kibertámadás éri az országot. Szóval azóta nagyon elöl haladnak. Illetve ott működik a NATO kibermegfelelőségi és kiválósági központja is.

Németország példáját is említhetném, hiszen számos ágazati eseménykezelő központ található náluk. Ez azt tükrözi, hogy szinte minden szektor rendelkezik saját, erre a célra kijelölt szakemberrel. E megoldás jelentősége olyan kiemelkedő, hogy a magyar Kiberstratégia is magában foglalja ezt a megközelítést.

A kisebb országok számára kihívást jelenthet az erős kiberbiztonsági rendszerek kiépítése, azonban ezekben az országokban is találkozhatunk figyelemre méltó példákkal és jó gyakorlatokkal.

Magyarország a kiberbiztonság terén az első harmadba tartozik, és folyamatosan fejlődik. Az EU soros elnöksége alatt sikerült előre lépni a nemzetközi kiberbiztonsági tárgyalásokban, ahol magyar képviselők vezették a releváns üléseket. Mindemellett a NIS2-irányelv implementálásában a jogalkotás és gyakorlatok terén hazánk gyorsan lépett, és példát mutatott az Európai Uniónak.

M.T.: Az előző Kiberstratégia hazánkban 2013-ban került elfogadásra, és 2018-ban frissítették. A NIS2-irányelv azonban nem csupán a kiberbiztonság fokozására sarkallja a tagállamokat, hanem a kiberbiztonsági stratégiák újragondolására is ösztönöz. Ennek következtében a stratégiák megújítása most különösen aktuális feladattá vált.

Az irányelv útmutatást adott a tagállamoknak, hogy az új kiberstratégiáknak miként kell kinézniük és milyen elemeket kell tartalmazniuk. Ezek visszaköszönnek a hazaiban is.

M.T.: Talán azért, mert a kiberbiztonság hatékonysága nem csupán az egyének teljesítményén múlik, hanem sokkal inkább a csapatok közötti együttműködésen, a közös munkán és az információk megosztásán. Amikor egy szereplő kiberbiztonsági incidenst észlel, elengedhetetlen, hogy tapasztalatait megossza másokkal, hogy így mások is elkerülhessék a hasonló kihívásokat. Ezért rendkívül fontos a bizalomra épülő kapcsolatok kiépítése és fenntartása, lehetővé téve, hogy a különböző szervezetek és hatóságok minél szélesebb körben megosszák egymással az információkat.

Azonban ezen túlmenően is számos lényeges megállapítást fogalmaz meg. Például hangsúlyozza, hogy a kiberbiztonság nem csupán a védekezésről szól, hanem az együttműködés és az innováció fokozásának fontosságát is kiemeli. A stratégia rámutat arra, hogy az innováció ösztönzése és az új technológiák alkalmazása elengedhetetlen ahhoz, hogy Magyarország megőrizze versenyképességét a globális kiberbiztonsági piacon. Ezen kívül kiemelt figyelmet kap a tudatosság növelése is, mivel a megfelelő kiberhigiénés tudás elterjedése alapvetően befolyásolja a kiberbiztonsági helyzetet.

M.T.: Magyarország kiberbiztonsági stratégiája három alapvető pilléren alapul. Az első és legfontosabb aspektus a szervezetrendszer megerősítése és az állami szerep fokozása, amely elengedhetetlen a hatékony kiberbiztonság megvalósításához. Ez a lépés biztosítja a szükséges jogi és szervezeti kereteket, amelyek nélkülözhetetlenek a biztonságos digitális környezet kialakításához.

A következő lépés a szereplők közötti együttműködés és innováció fokozása, amely a csapatmunka szellemiségére épül. Ez lehetőséget teremt arra, hogy új technológiákat és megoldásokat alkalmazzunk a kiberbiztonság fejlesztésének érdekében.

Harmadik kulcselemként a tudatosság fokozása és a kiberhigiéniai ismeretek fejlesztése áll, amelyek alapvetően formálják a kiberbiztonság színterét.

Az észt példa alapján a kiberbiztonság terén kiemelkedő szerepet játszik a tudatosság növelése, az akadémiai alapok megerősítése, valamint a célzott fejlesztési projektek megvalósítása.

A jó kiberbiztonság megteremtéséhez elengedhetetlen, hogy figyelmet fordítsunk három alapvető elemre. Először is, a tudatosság növelése kulcsfontosságú: minden felhasználónak tisztában kell lennie a kiberfenyegetésekkel és a védekezés módjaival. Másodszor, a rendszeres frissítések és a biztonsági intézkedések alkalmazása garantálja, hogy a legújabb védelmi technológiák mindig érvényben legyenek. Végül, a biztonsági protokollok és a válaszlépések kidolgozása segít gyorsan reagálni bármilyen incidens esetén, minimalizálva ezzel a károkat. Ezek az alapelvek együtt biztosítják a hatékony védelmet a digitális világ kihívásaival szemben.

A stratégia új megvilágításba helyezi az állami szektor szerepét, kiemelve a kiberbiztonság erősítését és a szervezeti rendszerek stabilitásának növelését. Továbbá, a kiberbiztonsági tanúsítványok népszerűsítése is fontos célkitűzés, mivel ezek hozzájárulnak a biztonsági normák betartásához és erősítik a különböző szereplők közötti bizalmat.

Magyarország közigazgatási digitalizációja jelenleg kedvező helyzetben van, és a friss stratégiai tervek is figyelembe veszik ezt az állapotot. Kiemelt hangsúlyt helyeznek a digitális állampolgárság és az online ügyintézés biztonságára. Az új digitális ügyintézési formák pedig olyan összetett kihívásokat hozhatnak magukkal, amelyek már túllépnek a meglévő kereteken. A stratégia célja, hogy ezeket a kihívásokat biztonságos módon kezelje, és egy átfogó platformot kínáljon, amely lehetővé teszi a polgárok és az állami intézmények számára, hogy biztonságosan intézhessék ügyeiket.

M.T.: A mesterséges intelligencia és más innovatív technológiák, mint például az IKT-eszközök és a felhőalapú megoldások, komoly kihívásokat jelentenek. A fejlődésük kapcsán elengedhetetlen, hogy meghatározzuk a megfelelő felhasználási lehetőségeket és a biztonsági követelményeket. A jogi keretek és a stratégiai irányvonal célja, hogy ezek az új technológiák ne jelentsenek gátat, hanem éppen ellenkezőleg, támogassák a fejlődést. A stratégia kiemeli, hogy a mesterséges intelligencia integrálása kulcsfontosságú, és ehhez megfelelő jogi és technológiai alapokat kell létrehozni.

Ezen kívül az új stratégia hangsúlyt fektet a piaci szereplők és a felhőalapú szolgáltatások biztonságára is. A korábbi jogszabályi keretek nem nyújtottak elegendő támogatást a felhőszolgáltatások alkalmazásához, különösen az állami és önkormányzati szektorban. Az új megközelítés célja, hogy orvosolja ezt a hiányosságot, és megerősítse a felhőhasználat biztonságát, mivel a felhőtechnológia elterjedése és integrálása mára elengedhetetlenné vált.

Ezen innovatív megoldások alkalmazásának ösztönzése nem csupán előremutató lépés, hanem elengedhetetlen a jövő technológiai kihívásainak hatékony kezeléséhez. A közvélemény és a szakmai közösség egyaránt érzékeli, hogy a 21. század közepére a technológiai szektor új és komplex kérdések elé állít bennünket. Ennek fényében a dokumentum célja, hogy feltérképezze ezeket a kihívásokat, és konkrét intézkedéseket, valamint iránymutatásokat dolgozzon ki. A végső cél az, hogy szilárd kiberbiztonsági alapokat teremtsünk, biztosítva ezzel, hogy a fejlődés ne veszélyeztessen minket, hanem éppen ellenkezőleg: támogassa a biztonságos és fenntartható előrehaladást.

M.T.: Abszolút. Kulcsfontosságú, hogy rendelkezésre álljanak azok a források, amelyek kifejezetten a kiberbiztonsági fejlesztéseket segítik elő. A kiberbiztonság nem csupán egy kötelezettség, hanem egy kivételes lehetőség is: arra, hogy magyar vállalatok kiberbiztonsági szolgáltatásokat kínáljanak nemcsak az európai piacon, hanem globális szinten is.

Ez a stratégia egyik kulcseleme, hogy a kiberbiztonság innovációt és szolgáltatásnyújtást is magában foglal, nem csupán kötelezettséget. Továbbá a szoftverexport és annak kiberbiztonsági aspektusának támogatása is szerepel benne, mivel az állam nem kíván szoftverszolgáltatóként megjelenni, de a cégek kiberbiztonsági fejlesztéseit segíteni kívánja.

A szakmai körökből érkező visszajelzések alapján ez a célkitűzés kiemelkedően kedvező fogadtatásra talált.

M.T.: Ez a kérdés mindig is kihívást jelentett, de a stratégia hangsúlyozza, hogy a kiberbiztonság fejlődése szempontjából nélkülözhetetlen az oktatás és a tudományos közösség hozzájárulása.

Az utóbbi években jelentős fejlődés figyelhető meg a kiberbiztonság területén Magyarországon: ma már számos általános és specifikus képzési lehetőség áll rendelkezésre. A mester- és mérnöki szintű technológiai programok révén lehetőség nyílik arra, hogy olyan szakembereket képezzünk, akik a kiberbiztonság különböző területein mélyreható tudással és szakértelemmel rendelkeznek.

Bár az eszközök kulcsszerepet játszanak, végső soron a képzett szakemberek azok, akik valódi védelmet nyújtanak a kiberfenyegetésekkel szemben. Ezért elengedhetetlen, hogy minél több ilyen szakértőt képezzünk ki, hiszen a megfelelő tudás hiányában nem érhetjük el a kitűzött célokat a kiberbiztonság világában.

M.T.: Mindenképp proaktív, és különösen a megelőzés fontosságát hangsúlyozza. Ugyanakkor az incidenskezelés és a kreatív megoldások sem elhanyagolhatók.

A kiberbiztonság érdekében kidolgozott akciótervet a kiberbiztonságért felelős biztos irányítása alatt a Nemzeti Kiberbiztonsági Munkacsoport, a Nemzeti Kiberbiztonsági Fórum, valamint a Kiberpajzs és hasonló együttműködésekben részt vevő szervezetek közösen készítik el. Az akcióterv végső határideje június közepe, ezt követően a stratégiai megállapítások konkrét feladatokká konkretizálódnak, amelyekhez kijelölt felelősök és határidők társulnak. A sikeres végrehajtás érdekében elengedhetetlen a megfelelő források biztosítása, amelyet a kormányzat fog finanszírozni.

A magánszférának viszont saját forrást kell találnia, míg a közszféra esetében a források már rendelkezésre állnak, és a jövőben is biztosítva lesznek. A stratégia nem túl hosszú, így bárki, aki szán rá egy órát, könnyen értelmezheti, és láthatja azokat az irányokat, amelyek mentén az elkövetkezendő öt évben haladni szeretnénk kiberbiztonsági téren. Érdemes mindenkinek elolvasni, hogy megtalálja a kapcsolódási pontokat a saját szakterülete és a stratégia célkitűzései között.

A színfalak mögé! Hogyan született meg Magyarország Kiberstratégiája? A Kiberstratégia kialakítása nem csupán egy dokumentum megírását jelentette, hanem egy komplex és alapos folyamatot, amely során számos szakértő, intézmény és érdekelt fél működött együtt. Az első lépés a jelenlegi helyzet alapos felmérése volt: a meglévő kiberbiztonsági intézkedések és kihívások áttekintése, valamint a nemzetközi trendek és legjobb gyakorlatok tanulmányozása. Ezután következett a célok és prioritások meghatározása. Az együttműködés jegyében különböző workshopok és konzultációk zajlottak, ahol a résztvevők megosztották tapasztalataikat és ötleteiket. A szakmai diskurzus során fontos volt, hogy a stratégiába belekerüljenek a különböző szektorok, mint például a kormányzat, az ipar és a civil társadalom képviselői is, hiszen a kiberfenyegetések kezelése mindenki közös érdeke. A tervezési fázis után következett a kidolgozás. A szakértők elemzései és a konzultációk eredményei alapján a stratégia főbb irányelvei és intézkedései formálódtak meg. A cél az volt, hogy egy átfogó, mégis rugalmas keretet biztosítsanak, amely lehetővé teszi a gyors alkalmazkodást a folyamatosan változó kiberkörnyezethez. Végül a végső változat elkészítése előtt a dokumentumot széleskörű társadalmi egyeztetésnek vetették alá, így biztosítva, hogy a stratégia nem csupán szakmai, hanem társadalmi szempontból is releváns legyen. A Kiberstratégia hivatalos bemutatása pedig egy új korszak kezdetét jelenti Magyarország kiberbiztonsági politikájában, amelynek célja a digitális tér védelme és a jövő kihívásainak megfelelő válaszadási képesség fejlesztése.

M.T.: Erről nagyon sokat tudnék mesélni és nagyon szubjektíven, de igyekszem a lényegre szorítkozni. Számomra nagyon fontos volt, hogy a stratégia ne csak egy száraz szöveg legyen, hanem egy vízióval kezdődjön, amely az olvasó számára egyértelműen kijelöli az irányt. Sikerült is azt az igen hosszú mondatot belecsempészni az elejébe, amely valóban tükrözi, hogy mi is a célunk a kiberbiztonság terén.

Magyarország törekvése, hogy a folyamatosan változó világ kihívásait hatékonyan kezelje, magában foglalja egy olyan kiberbiztonsági rendszer kiépítését, amely ellenáll a fenyegetéseknek, valamint a kiberbiztonsági tudatosság fokozott fejlesztését. Emellett célja a közszolgáltatások és a gazdaság különböző szektoraiban végbemenő digitális transzformáció hatékony támogatása és a kapcsolódó biztonsági együttműködések erősítése, továbbá a nem állami szektor védelmi és biztonsági együttműködéseinek fokozása, mindezek révén pedig a digitális jólét és a nemzeti kiberbiztonsági ellenálló képesség megszilárdítása és fenntartása.

Az volt a célom, hogy ezek a szavak egy mondatban összeálljanak, hiszen számunkra, stratégiaalkotók számára, ezek a leglényegesebb fogalmak a kiberbiztonság világában. Úgy vélem, hogy az ilyen mondatoknak különösen nagy hatásuk van.

A végső cél persze az volt, hogy a stratégia a legkülönbözőbb szereplőket és ágazatokat képviselje. Az ágazati szereplők visszajelzései, például a közigazgatás, a honvédelem, az egészségügy vagy az energetikai szektor mind kulcsszereplőként jelenik meg a dokumentumban. Persze mivel az állami kiberbiztonsági stratégiáról van szó, az alapvető irányokat az állam adta, de az igazi különlegessége, hogy a nem állami szektor igényeit is beépítettük, ami korábban nem volt jellemző.

Igazán átütő élmény volt, hogy a végére valóban minden visszajelzés beépült, és egy olyan dokumentum született, amelyet minden érintett szektor magáénak tudhatott. Az egész munka egy több mint fős valódi közös gondolkodás volt. Ez a stratégia nemcsak egy papíron létező terv, hanem egy élő, fejlődő és a valóságos igényekhez alkalmazkodó megoldás.