Valós incidensek, AI Act, CRA és biztonságos alapok. Hol kezdje egy kisvállalkozás?

Az MKIK kiberbiztonsági programjának 2026. október 7-i online workshopján valós incidensekről, a kisvállalkozásokat is érintő uniós szabályokról, pályázati forrásokról és egy kisvállalati informatika biztonságos felépítéséről volt szó. Összefoglalónk a legfontosabb gondolatokat és a gyakorlatban is használható tanácsokat gyűjti össze.

Előadók

• Elter András, az MKIK kiberbiztonsági programjának szakmai vezetője, OSCP, CISSP
• Hegyi Henrietta, PhD, ISO 27001 auditor, ISO 42001 auditor, CEH, IBF, a Rescon IT senior tanácsadója
• Kovács Gergely, kiberbiztonsági auditor, CISA, CDPSE, ISO 27001 LA, GDPR DPO, ITILv3, igazságügyi szakértő, a VALILAB IT Biztonsági Vizsgálólaboratórium Kft. ügyvezetője
• Pankucsi Szilárd, a Modern Vállalkozások Programja SZTR munkacsoportjának vezetője
• Dr. Szakolyi András, CISA, adatvédelmi szakjogász, mesterséges intelligencia és technológiai jogi szakjogász, ISO 27001 és ISO 42001 LA, IBF, DPO, a workshop moderátora

A LEGFONTOSABB ÜZENETEK RÖVIDEN

• Egy kis valószínűségű esemény is megbéníthatja a céget, ha minden egyetlen rendszergazda fejében van, vagy a mentésből még soha senki nem állított vissza.
• Kis cégként is lehetünk egy nagyobb partner elleni támadás kapuja, ezért a beszállítói kapcsolatokat mindkét irányban szabályozni kell.
• Az árnyék-MI és a céges adatokat tároló magánfiókok ma az egyik legnagyobb adatvédelmi kockázatot jelentik.
• Az AI Act, a CRA és az új termékfelelősségi szabályok a kisvállalkozásokat is érintik, a CRA mérettől függetlenül.
• A biztonságos alapok (leltár, saját fiókok, MFA, kipróbált mentés) nem drágák, és ingyenes eszköz meg kedvező pályázati forrás is segít a kiépítésükben.

Ami valószínűtlen, attól még megtörténik

Kovács Gergely auditorként azt látja, hogy az alapok sokszor ott sincsenek rendben, ahol már működik információbiztonsági irányítási rendszer. Az egyik cégnél a vezetés aprónak ítélte azt a kockázatot, hogy minden a húsz éve ott dolgozó rendszergazda fejében van. Még tartott az audit, amikor a rendszergazda balesetet szenvedett, és a jelszavakkal együtt az elmúlt évek emlékei is elvesztek. Egy másik szervezet mentőrendszere mindig zöld pipát jelzett, a próbavisszaállításnál viszont kiderült, hogy az összes mentés hibás.

Gyakori hibák az auditokon

• Az auditkésznek nem érzett rendszereket a cég kihagyja a nyilvántartásból, de az interjúkon és a teszteken ezek is előkerülnek.
• A jelszószabály az adminisztrátori fiókokra nem vonatkozik, a jelszavak pedig az üzemeltetési szkriptekben ülnek.
• A többfaktoros hitelesítést „megbízható adminisztrátorokra” hivatkozva elhagyják, pedig a kiemelt jogosultságú fiókoknál alapszinten is kötelező.

Kockázatkezelés egy kockás füzetben

Kovács Gergely szerint minden mai módszertan kockázatalapú. Az első lépés a vagyonleltár, amelybe az adat is beletartozik, hiszen végső soron azt védjük. Ezután jön a kockázatelemzés, ehhez az MK rendelet előre definiált fenyegetései jó kiindulópontot adnak.

Szakolyi András szerint a józan paraszti ész a legjobb módszertan. Gondoljuk végig egy kockás papíron, mi történne, ha egy zsarolóvírus mindent titkosítana, és kérdezzünk meg egy MI-asszisztenst is, milyen támadásokkal kell számolnia a cégünknek, mert a támadók is ezt teszik. Amikor ő kipróbálta, a modell megnevezte egy cég WordPress-verzióját és tárhelyszolgáltatóját, az egyik felsorolt támadást pedig addigra már végre is hajtották ellene. Hamarosan megjelenik egy, az SZTFH-val közös iránymutatás a kockázatkezelésről, amely a legkisebb cégeknek is szól.

A kis cég is lehet kapu

Hegyi Henrietta egy zöldségcsomagoló esetét hozta. A három-négy irodai alkalmazottal működő cég az idénymunkások miatt került a NIS2 hatálya alá, és először azon bosszankodott, miért kell egyáltalán megfelelnie. Aztán kiderült, hogy rajta keresztül már zsarolóvírus-támadás érte azt a nagyobb céget, amelynek beszállít. A támadók a LinkedInről gyűjtött adatokkal megszemélyesítették az értékesítőt, és az ő stílusában írt e-maillel kértek hozzáférést.

A kapcsolat a másik irányban is kockázat. Tudjuk-e, ki tud ma kívülről belépni hozzánk, mióta, és dolgozik-e még egyáltalán a partnernél? A szerződésben rögzítsük, hogy a partner jelezze a munkatársa távozását, és az exit feltételeit is, mert megromlott viszonyban már késő.

Árnyék-MI és a Messenger-csoport

Ahol a cég nem ad megfelelő eszközt, a dolgozók maguk keresnek. Egy egészségügyi szervezetnél a munkatársak Messenger-csoportban egyeztettek, betegadatokkal együtt, és a csoportba végül egy páciens is bekerült, aki adatokat szivárogtatott ki. Egy külföldi kórházban egy orvos a saját e-mail-címével regisztrált egy MI-alapú leiratozóra, amely a távozása után is becsatlakozott a megbeszélésekre. A kilépési protokollban ezért minden hozzáférést tételesen fel kell sorolni.

Szakolyi András szerint az MI legnagyobb kockázata az ész nélküli használat. Ha valaki ügyféladatot vagy üzleti titkot másol egy magáncélú MI-fiókba, az már incidens. Kell vállalati előfizetés, kidolgozott használati esetek és oktatás arról, milyen adat osztható meg. Az MI-ügynököket láncfűrészhez hasonlította, ezért jól meg kell gondolni, milyen jogosultságot kapnak.

Az MI-rendelet a kis cégeket is eléri

Az AI Act lépcsőzetesen lép életbe. A tiltott gyakorlatok, például a társadalmi pontozás vagy a munkahelyi érzelemfelismerés, 2025. február 2. óta nem alkalmazhatók. A magas kockázatú rendszerekre (egészségügy, oktatás, kritikus infrastruktúra, MI-vel hozott HR-döntések) vonatkozó kötelezettségeket a Digital Omnibus 2027. december 2-ra halasztotta, a termékbe épített rendszereknél 2028. augusztus 2-ra.

A legtöbb kisvállalkozást a jelölési kötelezettség érinti. A chatbotnál egyértelművé kell tenni, hogy a felhasználó géppel beszél, a valósághű generált képet, hangot és videót (deepfake) pedig jelölni kell. Ezek a szabályok 2026. augusztus 2. óta alkalmazandók, a korábban piacra került rendszereknél a generált tartalom gépi jelölését 2026. december 2-től kell biztosítani. A rendelet azt is elvárja, hogy a cégek támogassák munkatársaik MI-jártasságát.

A szoftver is termék lesz (PLD és CRA)

Az új termékfelelősségi irányelv szerint a szoftver is termék, a szabályokat a 2026. december 9. után forgalomba hozott termékekre kell alkalmazni. Kártérítést természetes személy kérhet, és az orvosilag igazolt pszichés károsodás is megtérül, így elvben egy fitneszalkalmazás felhasználója is perelhet, ha attól lett depressziós. A kizárólag szakmai célra használt vagyonban és adatban esett kár viszont nem térül meg. A károsultnak továbbra is bizonyítania kell a hibát és az okozati összefüggést, de a bíróság bizonyos esetekben vélelmezheti ezeket, ezért a fejlesztő jól teszi, ha gondosan dokumentál.

A Cyber Resilience Act méretfüggetlen, és a hálózatra kapcsolható digitális termékekre vonatkozik az ipari berendezéstől az okosóráig. Nagy része 2027. december 11-től alkalmazandó, a kihasznált sérülékenységek és a súlyos incidensek bejelentése viszont már 2026. szeptember 11. óta kötelező. A gyártónak CE-jelölés kell, és általában legalább öt évig ingyenes biztonsági frissítést kell adnia. A megfelelőséget a legtöbb terméknél maga értékelheti, egyes fontos és a kritikus termékeknél külső szervezet is kell. Aki a Temuról vagy az AliExpressről vett eszközt saját néven forgalmaz, gyártónak minősül. Az ENISA kkv-knak készült érettségi modelljével felmérhető, hol tart a cég.

Csalók, akik a munkamenetet és a bizalmat lopják

Több résztvevő panaszkodott, hogy kétlépcsős azonosítás mellett is feltörték a hirdetési fiókját. Kovács Gergely szerint az MFA sokféleképpen kijátszható, a legkönnyebb célpont mégis a bejelentkezett munkamenet, amelynek ellopásához egy fertőzött böngészőkiegészítő is elég. A pénzügyeket és a hirdetési fiókot ezért olyan gépen vagy legalább olyan felhasználói fiókban kezeljük, ahol nem nyitunk meg kétes tartalmat, és a munka végén jelentkezzünk ki.

Szakolyi András egy kétlépcsős trükköt is elmesélt. A csaló először egy átlátszó hívással jelentkezett, majd amikor a célpont örült, hogy átlátott rajta, „a bank” hívta fel, hogy helyezze biztonságba a pénzét. Ennek már bedőlt. Ma a főnök hangja is hamisítható, ezért az utalási vagy számlaszám-módosítási kérést mindig visszahívással ellenőrizzük. Hegyi Henrietta szerint az oktatást szerepkörre kell szabni, a pénzügyesnek mást kell tudnia, mint a gyári munkásnak.

Buborék Kft., avagy biztonságos IT az alapoktól

A délutáni blokk egy képzeletbeli, 15 fős gyártó cég példáján mutatta be a teendőket. Az előadók szerint ekkora cégnél jobb egy profi külső üzemeltető, aki több céget is visz, ezért naprakész. A szerződésben legyen biztonsági garancia, SLA és exit terv.

Az alapok

• Leltár. Minden eszköz, szoftver verzióval, felhőszolgáltatás és adathordozó benne legyen, a pendrive-ok is. Kezdetnek egy Excel-tábla is megfelel.
• Munkaállomás. Senki ne legyen adminisztrátor a saját gépén, és a céges munka ne magángépen folyjon. A minimum egy Windows 11 futtatására alkalmas gép.
• Hálózat. Legyenek VLAN-ok, külön szegmensben a gyártás, a kamerák és a vendégwifi.
• Fiókok és jelszavak. Tizenöt fősnél már megtérül egy központi címtár. Mindenkinek saját fiókja legyen, közös „iroda” fiók nélkül, a jelszavak jelszókezelőben, és mindenhol legyen MFA.
• Határvédelem. A drága tűzfal is csak beállítva és frissítve ér valamit.
• Weboldal. A pluginekből összerakott WordPress minden eleme sérülékenység lehet, és MI-vel összedobott dinamikus oldalba ne kezdjünk bele, ha nem látjuk át.

Van B tervünk?

Szakolyi András ismeretségi köréből egy mérnöki irodánál zsarolóvírus titkosította a CAD-terveket. Volt mentés, de senki nem tudta, hol. Egymillió forintot fizettek, a zsaroló megköszönte, és még többet kért. Egy könyvelő viszont írt a Nemzeti Kiberbiztonsági Intézetnek, amely küldött egy programot, és az állományok jelentős része visszafejthető lett. Aki nem NIS2-kötelezett, annak a bejelentés nem kötelező, de érdemes.

A mentésnél a 3-2-1 szabály az ideális, vagyis legalább három példány két különböző eszközön, ebből egy offline. A hálózaton elérhető NAS-t és a szinkronizált OneDrive-ot a zsarolóvírus ugyanúgy titkosíthatja, és a visszaállítást ki is kell próbálni. Kell egy értesítési lánc is arra az esetre, ha hétvégén áll le minden.

Ingyenes vizsgálat, kamatmentes hitel

Elter András a program térítésmentes SecureBot keretrendszerét mutatta be. Sérülékenységeket keres a cég nyilvános szolgáltatásaiban, például a weboldalon, és PDF-jelentést ad, de semmit nem módosít. Riasztást is küld, ha a megadott belső eszközökhöz új sérülékenység jelenik meg, szállítói adatbázisa pedig magyar IT-biztonsági kkv-kat gyűjt össze. Dokumentált használattal nagyjából öt kontroll teljesíthető vele. A felkészítők között sok a kókler, ezért nézzük meg, mióta foglalkozik a cég kiberbiztonsággal, és ellenőrizzük a szakértők tanúsítványait.

Pankucsi Szilárd szerint a külső forrást nem szabad otthagyni. A DIMOP Plusz 1.2.3-A konstrukció kamatmentes, legfeljebb nyolcéves hitelt ad a projekt 90%-ára, ennek fele vissza nem térítendővé válhat, így csak 45%-ot kell visszafizetni. Felhőszolgáltatás, biztonságos levelezés, mentés és IT-biztonsági eszköz is beszerezhető belőle, a projektösszeg 10%-a pedig hardverre fordítható. Az informatikai biztonsági szabályzatot viszont ne a ChatGPT írja meg, mert a cég működését kell tükröznie.

Mit tegyen most egy kkv?

• Írja össze egy kockás füzetben, mi történne, ha holnap zsarolóvírus titkosítana mindent.
• Próbáljon ki egy visszaállítást a mentésből, és tartson egy offline példányt is.
• Kapcsolja be mindenhol a többfaktoros hitelesítést, vezessen be jelszókezelőt, és szüntesse meg a közös fiókokat.
• Adjon vállalati MI-előfizetést és egyszerű szabályokat, mielőtt a munkatársak magánfiókban kezdenék használni.
• Futtasson SecureBot-vizsgálatot a weboldalára, és nézze meg, melyik pályázati forrás fedezheti a fejlesztést.
• Ha szoftvert vagy digitális terméket fejleszt, kezdje el a felkészülést a CRA-ra és az új termékfelelősségi szabályokra.

A program iránymutatásai és szakértői állásfoglalásai a nis2.mkik.hu oldalon érhetők el. Egyedi kérdésekben térítésmentes egyéni konzultáció is igénybe vehető.