Kiberbiztonság mikro- és kisvállalkozásoknak I.

Az MKIK kiberbiztonsági programja 2026. szeptember 15-én online workshopot tartott mikro- és kisvállalkozásoknak, 10 és 15 óra között. Előadók voltak Freisleben Vilmos (MNB Fogyasztóvédelmi Igazgatóság), Hegyi Henrietta (ISO 27001 és ISO 42001 auditor), Elter András (az MKIK kiberbiztonsági programjának szakmai vezetője) és Dr. Szakolyi András (adatvédelmi, MI- és technológiai jogi szakjogász). A nap a kockázatoktól a jogi környezeten és a gyakorlati védekezésen át a pályázati forrásokig és a mesterséges intelligencia (MI) biztonságos használatáig ívelt.

Kisvállalkozások is célpontok

Az első blokk fő üzenete, hogy a támadások nagy része automatizált, ezért a cég mérete nem számít: egy ismert sérülékenységet kihasználó program mindenkit elér, aki az érintett szoftvert használja. Egy 13 000 európai kkv-t vizsgáló felmérésben a cégek 28%-a számolt be legalább egy kiberbűncselekményről az előző évben. Egy amerikai kutatás szerint a kihasznált sérülékenységek mintegy 60%-a emberi hibából, megtévesztésből vagy rosszul kezelt hitelesítő adatokból eredt, vagyis a védelem jelentős része tudatossággal is erősíthető. Az előadók zsarolóvírusos, célzott adathalász és deepfake-es eseteket mutattak be, és szóltak az ellátási lánc kockázatáról: a kisebb beszállító gyenge rendszerein át a nagyobb partner is támadhatóvá válik. A felkészülés alapja az egyszerű kockázatelemzés, amely táblázatban is elvégezhető.

Jogi környezet

A GDPR mellett a NIS2, az MI-rendelet, az új termékfelelősségi irányelv és a Cyber Resilience Act (CRA) is érintheti a kisvállalkozásokat. Közvetlenül NIS2-kötelezett az a kisvállalkozás, amely eléri a középvállalati méretet és kockázatos tevékenységet végez. Gyakoribb, hogy közreműködőként, például IT-beszállítóként érintett, mert a kötelezett szervezet követelményeket ad tovább neki. Az MI-rendelet kockázati szinteket határoz meg, az MI-vel készült tartalmakat pedig címkézni kell. A termékfelelősségi irányelv szerint a szoftver terméknek minősül, a kiberbiztonsági hiba pedig önmagában kártérítési alap lehet. A CRA a digitális elemet tartalmazó termékek gyártóira ír elő követelményeket.

Csalások: a KiberPajzs tapasztalatai

Freisleben Vilmos szerint a csalók az embereken keresztül jutnak be, ezért a munkatársak felkészítése a legfontosabb védekezés. Bemutatta a jellemző eseteket: a számlaszám-változásra hivatkozó csalást, a feltört levelezőfiókot, a bank nevében készült hamis oldalt és a visszaigénylési csalást a webáruházaknál. Javaslatai: a számlaszám-változást független, korábbról ismert csatornán kell ellenőrizni, a feladói címet és a linkeket betűre pontosan meg kell nézni, és nem szabad távelérési programot telepíteni. A KiberPajzs üzleti kibervédelmi kisokost és önértékelő tesztet is kínál.

MKIK SecureBot

Elter András bemutatta a program térítésmentes SecureBot szolgáltatását. Az automatikus sérülékenységvizsgáló a cég nyilvános webes felületeit vizsgálja úgy, ahogy egy támadó látná, és PDF-jelentést küld. A riasztórendszer csak a cég által megadott szoftverek és eszközök ismert sérülékenységeiről értesít, a szállítói adatbázisban pedig közel 80 magyar IT- és biztonsági szolgáltató kereshető. Csak saját célpont vizsgálható, regisztráció után. Az eszköz téves riasztást is adhat, és nem helyettesíti a teljes körű vizsgálatot, de jó alapszintű kiindulópont.

Gyakorlati védekezés

1. Mentés: legyen mentés, és a visszaállítást is tesztelni kell. A 3-2-1 szabály szerint három példány kell, két helyszínen, legalább egy offline. A szinkronizált felhőmappa nem mentés, mert a zsarolóvírus a titkosított fájlokat is felszinkronizálja.
2. Eszközök: minden szoftvert frissíteni kell, a már nem frissíthető gépet pedig cserélni vagy elkülöníteni érdemes.
3. Jelszavak: a jelszókezelő bevezetése a legjobb első lépés, mellé többfaktoros hitelesítéssel.
4. E-mail és saját eszköz: céges célra ingyenes levelezőfiók nem javasolt. A saját eszköz használatát szabályozni kell, a céges adat pedig lehetőleg céges felhőben legyen.
5. Képzés: a testre szabott oktatás és az asztali szimulációk feltárják a hiányosságokat, és rutint adnak.

Pályázati lehetőségek

Az MKIK pályázati szakértője a Modern Vállalkozások Program 2.0 keretében elérhető forrásokat mutatta be. Két nyitott felhívás alkalmas IT-biztonsági fejlesztésre. A GINOP Plusz 1.4.5 esetében 150 és 600 millió forint közötti támogatás igényelhető. A DIMOP Plusz felhívás 2027. június 30-ig nyitott, 3 és 20 millió forint közötti konstrukció: az összeg fele vissza nem térítendő támogatás, a másik fele nyolc év futamidejű, 0%-os hitel. A lezárult felhívások tanulsága, hogy a dokumentációt alaposan el kell olvasni, és az egész rendszert rendbe kell tenni.

Mesterséges intelligencia, biztonságosan

Bizalmas információt és személyes adatot csak olyan MI-szolgáltatásba szabad feltölteni, amelyre céges előfizetés van, és amely garantálja, hogy az adatot nem használja tanításra, és nem adja tovább. Az ügynöki eszközök árnyékinformatikát hozhatnak létre és hibázhatnak, ezért használatukat szabályozni kell, futtatásuk pedig elkülönített környezetben, a legkisebb jogosultság elvével javasolt. Az ügyfelet tájékoztatni kell, ha az adatait MI-vel dolgozzák fel.

Kérdések és folytatás

A kérdések a honlapok naplózásától és a felhőtárolástól az online kereskedelem jogi kötelezettségeiig, a zsarolóvírus elleni védekezésig és az üzletmenet-folytonossági tervig terjedtek. Az üzletmenet-folytonossági terv lényege, hogy egy táblázatban szerepeljen, mivel pótolható egy-egy folyamat, és ezt érdemes egyszer kipróbálni.

A program térítésmentes egyéni konzultációt is kínál, jelentkezni az MKIK honlapján lehet. Szeptember 22-én MI-központú workshop lesz, október 7-én pedig új formátumú kisvállalati workshop, amelyen egy fiktív cég informatikáját építik fel az alapoktól. Az idő hiányában megválaszolatlan kérdésekkel ezen kezdenek.