A legtöbb adatszivárgás nem kifinomult technikai támadás eredménye, hanem emberi döntésé: egy rosszul időzített kattintás, egy megosztott jelszó, egy gyanútlanul jóváhagyott utalás. A technológiai kontrollok mellett ezért a biztonságtudatos kultúra a védelem egyik legfontosabb rétege. Ez a kultúra azonban nem az éves e-learning kipipálásával jön létre, hanem felülről épül. Nézzük, mi a felsővezetés valódi szerepe, miért célcsoport-specifikus a jó képzés, és hogyan kapcsolódik mindez a NIS2 vezetői felelősségéhez.
Miért nem elég a „pipa-jellegű” éves oktatás?
Mert a megfelelés látszatát kelti, de a viselkedést nem változtatja meg. Egy évente egyszer, mindenkinek egyformán kiküldött, kötelezően „végigkattintott” tananyag teljesíti a formai elvárást, mégsem alakít ki valódi reflexeket. Az ember néhány nap alatt elfelejti, amit nem gyakorolt, és nem érti, hogy az absztrakt szabály hogyan vonatkozik a saját munkájára.
A hatékony awareness program ezzel szemben:
- folyamatos, nem évi egyszeri esemény (rövid, ismétlődő impulzusok, kampányok);
- gyakorlatorientált: például szimulált adathalász (phishing) kampányokkal méri és fejleszti a felismerési képességet;
- szerepre szabott, mert egy könyvelő, egy fejlesztő és egy ügyvezető nem ugyanazzal a fenyegetéssel találkozik;
- mérhető, így nem érzésre, hanem adatokra épül a fejlődés.
A cél nem az, hogy a munkavállaló átmenjen egy teszten, hanem hogy a kritikus pillanatban jól döntsön akkor is, amikor senki sem figyeli.
Miért felülről épül a biztonsági kultúra?
Mert a szervezet azt tekinti fontosnak, amit a vezetés a viselkedésével fontosnak mutat. Ez a „tone from the top” elve: hiába írja elő egy szabályzat a kétlépcsős azonosítást, ha a felsővezetés kivételt kér magának, vagy a biztonsági folyamatokat nyűgnek tekinti. A munkatársak a kimondott szabályok helyett a kimondatlan példát követik.
A vezetői elköteleződés négy konkrét csatornán keresztül formálja a kultúrát:
- Példamutatás: a vezetők ugyanazokat a szabályokat tartják be, mint mindenki más.
- Erőforrás: a biztonsági kultúra idő- és pénzigényes; képzésre, eszközre, emberre szánt költségvetés nélkül csak retorika marad.
- Elszámoltathatóság: a biztonság beépül a célokba és a felelősségi körökbe, nem marad „az IT dolga”.
- Kommunikáció: a vezetés rendszeresen, érthetően jelzi, hogy a biztonság üzleti prioritás, nem megfelelési kényszer.
Ahol ez a négy elem hiányzik, ott a legjobb tananyag is hatástalan marad.
Miért célcsoport-specifikus a jó képzés?
Mert a különböző szerepkörök más fenyegetéssel, más kockázattal és más felelősséggel néznek szembe, így egyetlen, „mindenkinek szóló” tananyag mindenki számára egyszerre túl sok és túl kevés. A jó program ezért legalább három fő célcsoportra bont: az általános munkavállalóra, az IT- és fejlesztői szerepkörökre, valamint a felsővezetésre.
| Célcsoport | Képzési fókusz | Tipikus fenyegetés |
|---|---|---|
| Általános munkavállaló | adathalászat felismerése, jelszóhigiénia, adatkezelés, eszközhasználat, bejelentési reflex | phishing, social engineering, véletlen adatszivárgás |
| IT és fejlesztők | biztonságos fejlesztés, jogosultságkezelés, naplózás, patch-menedzsment, incidensreakció | konfigurációs hibák, sebezhetőségek, jogosultság-visszaélés |
| Felsővezetés | kockázati felelősség, jóváhagyási folyamatok, NIS2-kötelezettségek, válságkommunikáció | CEO-fraud, célzott (whaling) támadás, stratégiai kockázat |
Miért külön a felsővezetés?
Mert a vezetők egyszerre a legértékesebb célpontok és a legnagyobb hatású döntéshozók. Egy célzott CEO-csalás vagy egy vezetőre szabott whaling-támadás közvetlen pénzügyi és reputációs kárt okozhat, ráadásul a NIS2 alatt a felsővezetés személyes felelőssége is megjelenik. A vezetői képzés ezért nem technikai mélymerülés, hanem a kockázatok, a döntési pontok és a jogi kötelezettségek tudatosítása.
Mit kell tudnia a felsővezetésnek?
Azt, hogy a biztonság stratégiai és vezetői felelősség, nem kiszervezhető IT-feladat. A felsővezetésnek nem kell tűzfalat konfigurálnia, de értenie kell a következőket:
- a szervezet legfontosabb információs eszközeit és a rájuk leselkedő főbb kockázatokat;
- a saját jóváhagyási és döntési szerepét (pl. kockázatkezelési intézkedések elfogadása);
- az incidensbejelentés folyamatát és a rá vonatkozó határidőket;
- a vonatkozó megfelelési kötelezettségeket (NIS2, ágazati szabályok, ISO/IEC 27001);
- a krízis- és válságkommunikáció alapjait egy esetleges incidens esetére.
Ez a tudás teszi lehetővé, hogy a vezetés ne csak jóváhagyja, hanem érdemben felügyelje is a biztonsági programot, ahogy azt a szabályozás elvárja.
Hogyan mérhető a biztonsági kultúra?
Úgy, hogy a viselkedést és az attitűdöt is számszerűsítjük, nem csak a képzés elvégzését. A „hányan kattintottak a kötelező tananyagra” önmagában keveset mond. Néhány érdemi, gyakran használt mutató:
- szimulált phishing kattintási és bejelentési arány, valamint ezek időbeli javulása;
- incidens- és gyanúbejelentések száma (a növekvő bejelentés gyakran jó jel: nő a figyelem és a bizalom);
- a bejelentéstől a reakcióig eltelt idő (mean time to report);
- képzési lefedettség és ismétlési ráta célcsoportonként;
- rendszeres, anonim kultúra-felmérés a biztonsági attitűdről;
- szabályzat-ismereti és tudás-tesztek eredményei.
Fontos, hogy a méréseket trendként, ne egyszeri pillanatképként kezeljük. A kultúra lassú, de tartós változás, amelyet folyamatos visszacsatolással lehet a jó irányba terelni.
Hogyan kapcsolódik a NIS2-höz és az IBF-hez?
Szorosan: a NIS2 nevesíti a vezetői felelősséget, és a biztonsági képzést is a kockázatkezelési intézkedések közé sorolja. A NIS2 alatt a vezető testületnek jóvá kell hagynia a kiberbiztonsági kockázatkezelési intézkedéseket, felügyelnie kell azok végrehajtását, és maguknak a vezetőknek is részt kell venniük rendszeres kiberbiztonsági képzésen. A megfelelés tehát nem ér véget egy szabályzat aláírásánál.
A tét nem elhanyagolható: a NIS2 a súlyos hiányosságokat tetemes bírsággal sújthatja (alapvető szervezeteknél akár 10 millió euró vagy az éves árbevétel 2%-a közül a magasabb összegig terjedhet), és bizonyos esetekben a felsővezetés személyes felelősségét is felveti. Az incidensbejelentés szigorú lépcsőihez (24 óra korai jelzés, 72 óra részletes bejelentés, 1 hónap záró jelentés) pedig olyan szervezeti reflex kell, amelyet csak tudatos, gyakorolt kultúra ad meg.
Itt kapcsolódik be az IBF szolgáltatás: az Információbiztonsági Felelős feladata többek között az awareness program megtervezése, célcsoportokra bontása, lefuttatása és mérése, valamint az, hogy a vezetés érthető, döntéstámogató jelentéseket kapjon a kultúra állapotáról. A képzés így nem elszigetelt esemény, hanem a teljes irányítási rendszer része. (A felelős belső vagy kiszervezett biztosításáról bővebben írtunk a Belső vagy kiszervezett IBF? cikkben.)
Hogyan segít a zemITis?
A Zemitis Advisory Kft. budapesti információbiztonsági tanácsadóként CISA, CISM és ISO 27001 / 42001 Lead Auditor minősítésű szakértőkkel támogatja Önöket abban, hogy az awareness ne pipagyakorlat, hanem mérhető kultúra legyen. Célcsoportra szabott képzési programot építünk, szimulált phishing kampányokkal mérjük a fejlődést, és a felsővezetésnek olyan vezetői modult biztosítunk, amely a NIS2 elvárásait is lefedi.
Ha a biztonsági kultúrát a megfelelési rendszerbe szeretné illeszteni, ismerje meg az IBF szolgáltatás és a NIS2 felkészítés oldalunkat, vagy keressen minket egy díjmentes konzultációért, ahol felmérjük, hol tart most a szervezete, és milyen lépésekkel építhető fel a felülről induló, tudatos biztonsági kultúra.