Podcast #22: Fontosabb célpontok a kkv-k, mint a nagyvállalatok?

Hackfelmetszők–Veled is megtörténhet! 22. Fontosabb célpontok a kkv-k, mint a nagyvállalatok?

Gécsek-Tóth Enikő

- Az Európai Unióban jelenleg 25 millió, Magyarországon majdnem 900 ezer kis- és középvállalkozás működik, amelyek a bruttó hazai termék több mint felét adják, így létfontosságú szerepet töltenek be a gazdaságban. A kibervédelmi incidensek súlyos következményekkel járhatnak a kkv-kra nézve, és ez egyúttal az ellátási lánc biztonságát is veszélyeztetheti. Az Európai Unió Kiberbiztonsági Ügynökségének 2021-es felméréséből kiderül, hogy a kisvállalkozások több mint fele szerint egy kibertámadás olyan súlyosan érintené vállalatukat, hogy az csődhöz vezetne, az ilyen esetek pedig egyre gyakoribbak.

01:55 Miért vannak veszélyben a kis és középvállalkozások?

- Szakemberhiány, gyenge kibervédelmi ismeretek, kevés forrás, ezen tényezők miatt veszélyben vannak a kis és középvállalkozások. A mostani podcastunkban nekik szeretnénk segíteni itt a Hackfelmetszőkben, megpróbáljuk felvértezni őket különböző IT biztonsági alapismeretekkel, és tanácsokat adunk a megfelelő védelem kiépítéséhez is. Akik ebben segítenek, Béres Péter, a Sicontact Kft. IT vezetője és Vájsz Balázs, a cég IT- tanácsadója.
 

02:26 A kis- és középvállalkozások jobban ki van téve a kibertámadásoknak, mint a nagyvállalatok?

- A kicsiket tényleg jobban bántják? Merthogy az észak-amerikai és európai kis- és középvállalkozások 74 százaléka véli úgy, hogy jobban ki van téve a kibertámadásoknak, mint maguk a nagyvállalatok. Milyen tendenciákat láttok erre vonatkozóan?

02:43 További számok

Béres Péter

- Említettél te is egy pár számot, csak megerősítésképpen én is kettőt tennék hozzá. Egyrészt az, hogy az Európai Unió cégeinek 99 százaléka kkv. A másik meg az, hogy nagyságrendileg 100 millió foglalkoztatottal dolgozunk, úgyhogy ezért is érdemes szerintem ezzel a területtel kiemelten is foglalkozni. Én azt látom itthon, hogy igazából ugyanúgy bántják őket, mint a nagyokat, röviden összefoglalva, csak nyilván ők kitettebbek a támadásoknak, aminek nagyon sok összetevője van.

03:28 Aki kisebb és gyengébb, őket találják meg általában

Az iskolában is, aki kisebb és gyengébb, őket találják meg általában, nem a nagyokat és az erőseket, és nagyjából ez a kkv, meg a nagyvállalati viszonylatban is, amit látunk. A kisebbek jellemzően, persze tisztelet a kivételnek, kitettebbek ezeknek a támadásoknak, nem költenek annyit, tehát nincs ekkora erőforrás rá, nem is tudják, hogy mi ellen kellene megvédeni magukat, nagyon sok összetevője van ennek a kérdésnek.

03:59 Az ESET korábbi kutatásának eredményei

Gécsek-Tóth Enikő

 - Az ESET korábbi kutatása is alátámasztja azt, amit te mondtál. Korábban 700 kis- és közepes vállalkozásnál vizsgálódtak, és arra voltak kíváncsiak, hogy mennyire tudatosak a kiberbiztonság terén, fel vannak-e készülve bármilyen incidensre. Tudtok eredményeket mondani ebből a kutatásból, hogy a felkészültségi fokuk hogy állt a kkv dolgozóknak?

04:32 A kiberbiztonsági tudatosság fontossága

Vájsz Balázs

- Azt mutatják ezek a kutatások, hogy a 43 százalékuk szerint az alkalmazottak kiberbiztonsági tudatosságának a hiánya jelentősen növeli a kockázatokat kiberbiztonsági szempontból. Illetve a 70 százaléka a megkérdezetteknek elismerte, hogy nem költöttek eleget az utóbbi években bekövetkezett munkarendi változások fényében, tehát most például a home office meg a hibrid munkavégzés fényében nem költöttek eleget a kiberbiztonságra. Aztán még ami érdekes adat, hogy a kétharmaduk szenvedett el az elmúlt évben kibertámadást, és ezek átlagos költsége körülbelül 90 millió forint volt.
 

05:42 Felkészültség szektoriális eloszlásban

Béres Péter

- Szektoriális eloszlásban is nagyok a különbségek, tehát különböző szektorokban talán jobban felkészültebbek, más szektorokban meg kevésbé. A bankokat nehezen, vagy nem is támadják, vagy ha támadják is, akkor a bankok ki tudják ezeket védeni, míg a kisebb cégek nyilván jóval kitettebbek ennek.

06:14 További példák

- Saját cégből hozva példát egy élelmiszergyártó cégnél, aki alapvetően kkv-nek számít, nem a bevétel alapján, hanem a foglalkoztatottak száma alapján. Náluk például olyan kiindulási pont volt, hogy a szerverszobában öntözték a virágokat, ilyen érettségi szintről indulnak ezek a cégek általában.
 

06:40 Szakemberhiány

Vájsz Balázs

- Illetve ami ezen a területen is bekígyózik, az a szakemberhiány, ami Magyarországon is, csakúgy, mint az egész Európai Unióban, tulajdonképpen már világszerte szakemberhiány van.

07:10 Védelem a kkv-knál és nagyvállalatoknál

Béres Péter

- Egy nagyvállalatnál sokkal több mindennel találkozol, mint IT-szakember, tehát sokkal nagyobb a kihívás, mint egy kkv-nál, ahol leegyszerűsítve annyi a védelem, hogy valamilyen szoftvert, hardvert megvásárolnak, berakják a sarokba, ott az zötyög, és akkor igazából napi szinten feladat, ha nagyon leegyszerűsítjük, akkor nincs IT security oldalon. Hanem ezzel kipipálják, vagy a fiókba teszik, hogy akkor ezt megoldottuk. Nyilván a nagyvállalatnál, ahol egy csapat része vagy, egy IT security team van, ott napi szinten szakmailag is tudsz fejlődni, vagy kihívásokkal találkozol, a kkv-knál ezt nehezebb megoldani.

08:51 A 90 milliós bukás esete

Gécsek-Tóth Enikő

- És mi az, ami történik, mi az, ami szokott történni, hogy jön ki ez az átlagos 90 milliós bukta egy-egy ilyen csalás során?

08:58 Milyen támadások érik a kisvállalkozásokat?

Béres Péter

- Támadások tekintetében elég vegyes a kép, tehát ugyanúgy azok a támadások, amik akár egy átlagos felhasználót érintenek, vagy akár nagyvállalatot, az itt is megjelenik. Tehát azok az adathalász támadások, azok a banki csalások alapvetően, amik az életünket most meghatározzák, azok náluk is beköszönnek akár már a mesterséges intelligenciával, deepfake-kel kiegészülve. A zsarolóvírus támadásokat szintén látjuk náluk, és egy konkrét eset is volt, hogy például valakinek le kellett húzni a rolót egy ilyen támadás után, mert nem tudták az adatokat visszaállítani.

09:57 Kattintás adathalász levelekre

- Rákattintott az egyik alkalmazott egy olyan adathalász levélre, amit nekik célzottan küldtek, abban volt egy dupla kiterjesztésű csatolmány, és onnantól kezdve ugye már tudjuk a végeredményt, tehát minden adat ment a levesbe, és nem tudtak egyszerűen visszaállni.

10:55 Supply chain támadások

- A supply chain támadásoknál van egy nagyvállalat, akit szeretnének becserkészni a támadók, és akkor feltérképezik, hogy kivel dolgoznak együtt, milyen kisebb cégekkel. És ezeket a kisebb cégeket, mivel azt feltételezik, hogy ők támadhatóbbak, őket fogják betámadni. És hogyha bejutnak, adatot gyűjtenek, megnézik, hogy hogy működnek, milyen programokat használnak, hogyan kommunikálnak és rajtuk keresztül jutnak el a nagyvállalathoz.

12:07 Mennyi idő telik el egy kkv-nál, mire észrevesznek egy támadást?

Béres Péter

- Ebben a kutatásban egyébként, amit említettél, volt egy ilyen adat, hogy körülbelül 185 nap telik el, amire valaki rájön a kkv-knál, hogy történt valami.

12:37 Az elavult operációs rendszerek veszélyei

Vájsz Balázs

- Nekem is volt egy ilyen eset. Hívott egyszer egy cég, gyártással foglalkoztak, 3-4-5 fős kkv volt. Ezeknél a gyártó cégeknél jellemző, hogy gyakran olyan programokat használnak, amelyeket még ősrégi, 20 évvel ezelőtti operációs rendszerekre írtak, és utána nem csináltak hozzá frissítést. De egyébként azzal a rendszerrel el tudja végezni a dolgát, amire készítették, még napjainkban is. Ezek a cégek ilyenkor kénytelenek egy régi Windowst használni, mondjuk egy XP-t, aminek már régóta nincsen támogatása. És arra nem figyelnek oda, hogy ezeket a gépeket lehetőleg izolálják el az internettől. Utána kétségbeesve hívtak, hogy titkosították az adatokat, ott van minden, és ha nem tudják visszaállítani, akkor nekik végük van körülbelül.

14:48 Kártevők weboldalakon

Vájsz Balázs

- És visszatérve itt az erre a szektorra jellemző veszélyekre, elég gyakori szokott lenni, hogy megkeresnek a cégek, hogy az ESET tiltja a weboldalunkat, és hogy azonnal csináljunk vele valamit, oldjuk föl. Ez azért van, mert konkrétan a weboldalon van valami kártevő.

Nagyon híres a WordPress, az a legnépszerűbb, Magyarországon 173 ezer WordPress alapú weboldal van. Azt csinálják, hogy megcsinálják ezeket a weboldalakat, de arra nem figyelnek oda, hogy frissítsék magát a keretrendszert is. Ezekhez azért sokszor adnak ki frissítéseket, amelyek sebezhetőségeket foltoznak, nemcsak új funkciókkal látják el, hanem ugyanúgy biztonsági réseket is tömködnek vele. És hogyha ez nincs frissítve, akkor ez egy támadási felületet nyújt, és ezt meg is találják a kártevők.

16:44 Ajánlott adatvédelmi eszközök kkv-knak

Gécsek-Tóth Enikő

- Az adatokat ti is sokat emlegettétek, és egy kutatás szerint a kkv-k nagy része egy esetleges kibertámadás során éppen az adatvesztéstől fél legjobban. Az alap vírusvédelmi lehetőségeken felül milyen adatvédelmi eszközöket tudtok ajánlani kkv-k számára, vagy egy alap védelmi csomagban már minden benne van, és nem kell egyébre gondolni.

17:04 ESET Small Business Security csomag

Béres Péter

- Van egy dedikált csomagunk is a kkv-knak, ez a Small Business Security névre hallgat, amiben így az alap és javasolt védelmi megoldások benne vannak, plusz ezen felül még például VPN-t is, meg jelszókezelőt is tartalmaz. Ez a VPN, ez a Virtual Private Network, tehát egy ilyen titkosított csatornát hoz létre a kommunikációhoz.

18:37 Az otthoni munkavégzés kihívásai napjainkban

Gécsek-Tóth Enikő

- Péter említette, hogy amikor mindenki home office-ra kényszerült, vagy legalábbis a cégek egy jelentős része Covid alatt, akkor hirtelen hatalmas kihívás volt ez, és az adatok titkosítása, a VPN felfutása akkoriban kezdődött meg. Azért azóta eltelt pár év és sok cég továbbra is otthon maradt, vagy hibrid munkavégzésre állt át, ezen a téren van már fejlődés, nem?

19:09 Hogyan változott a szemléletmód a vírusvédelemmel kapcsolatban?

Vájsz Balázs

- Hát igen, mondhatnánk azt, hogy igen, van előrelépés, nyilván van egy kényszer szülte előrelépés. Sokakat ért támadás, és akkor tudatosult bennük, hogy azért valamivel mégiscsak kéne védeni a gépeket. De a szemléletmód nagyon sok helyen ugyanaz maradt, akik nem kaptak be valamilyen támadást, akkor miért változtatna, ha eddig is működött, eddig se kellett vírusirtó.

21:06 Mit lehet csinálni, hogyha megtörténik a baj?

Gécsek-Tóth Enikő

- De mit lehet csinálni, hogyha megtörténik a baj, akkor már semmit?

21:17 Fizessünk vagy sem?

Vájsz Balázs

- Ha nincs mentés, amiből vissza tud állni, akkor esetleg fizethet, és ha szerencséje van, akkor visszaállítják neki az adatokat, de az nem garantált, és ez egy csomó pénzbe kerül. Ezt nem szoktuk javasolni.

21:33 Inkább fizetnek a cégek?

Béres Péter

- Okulva abból a sztoriból, amit említettem, hogyha az a kérdés, hogy a céget beszántod, vagy kifizeted azt az x-szer 100 ezer forintot, akkor sokan ezt választják, hiába nem javasoljuk ezt.

21:59 Előrelépés vagy stagnálás?

- Én egyébként azt látom, hogy a kérdésedre kicsit visszaugorva, hogy soha nincs elég közel egy támadás egy céghez, hogy komolyan vegyék, tehát amikor őket megtámadják, akkor fogják komolyan venni. Ha a mellettük egy asztalra ülő másik céget megtámadják, az se lesz elég.

Én egyébként, nem ellentmondva Balázsnak, csak kicsit árnyaltabban, én látok valamilyen fejlődést ebben a tekintetben, főleg azért, mert egyre több a támadás, és ezért nyilván fejlődnek a kkv-k is ebből a szempontból. Általánosságban elmondható tényleg, hogy nem sokat léptünk előre ebben a tekintetben talán.

22:40 Zsarolóvírusok

- És ha már itt szó volt a zsarolóvírusról, meg a váltságdíjakról, a zsarolóvírus téren pár mondatban a tendencia az az, hogy például tavaly relatíve kicsit csökkent a támadásoknak a száma, de a költség, amibe kerültek és a kifizetett váltságdíjak jelentős mértékben nőttek.

24:01 Az ügyféladatok kiszivárgásának következményei

- Egy intézetnek a tanulmányából az derült ki, hogy ha ért egy támadás céget, és ott valamilyen ügyféladatok kiszivárogtak, akkor az ő ügyfeleik kétharmada elfordul tőlük.

24:20 Fogynak az ügyfelek

Ezt mi is tapasztaltuk, hogy van egy jelszókezelő alkalmazás, ami az elmúlt másfél-két évben körülbelül háromszor vagy négyszer szerepelt a hírekben, hogy feltörték őket. Konkrétan magát a céget, aki a jelszavaidat tárolja felhős vonalon, és látszik itt szépen a számokból, hogy fogynak az ügyfeleik, és nyilván minden támadás után egyre kevesebb van.

25:43 Terelés a prevenciós szakaszra

Béres Péter

- Mi azt látjuk, vagy azt tudjuk megtenni, hogyha valaki hozzánk fordul, akkor a gépeiken vagy az eszközeiken lévő nyomokat megpróbáljuk összerakni egy nagyobb képpé, hogy mi történhetett. Azután tanácsot adni, hogy akkor ezt hogy tudják kivédeni a jövőben. Tehát inkább mi már a prevenciós szakaszra próbáljuk utána terelni őket.

27:05 1,1 milliárd dollár váltságdíjra

Vájsz Balázs

- Ha csak a zsarolóvírusokat nézzük, manapság ezzel szedik be a legnagyobb pénzeket. Ez egy óriási biznisz. Csak egy felmérést mondok, annak az adatai alapján 1,1 milliárd dollárt fizettek ki csak a váltságdíjra, és akkor ebben nincs benne a költség, tehát csak a váltságdíj.

27:54 IT védelem cégen belül, vagy kiszervezéssel?

Gécsek-Tóth Enikő

- Ti mit tudtok ajánlani kkv-knak? Érdemes-e belül felépíteni cégen belül az IT védelmet, tényleg megfelelő embereket találni, nem a pénzügyes Marikát odaültetni, vagy pedig a legjobb kiszervezni. Most nyilván nézni kell a hatékonyságot is, a költségeket is.

28:09 Szervezettől, megoldandó feladattól függő intézkedések

Béres Péter

- Szerintem ez szervezettől, meg megoldandó feladattól függ. Tudom, hogy ez nagyon általános, de tényleg ez a helyzet. Első lépésként célszerű megvizsgálni azt, hogy mink van, milyen eszközöket, milyen adatokat szeretnénk megvédeni, és azt hogyan tudjuk esetleg megtenni. Itt nyilván be lehet vonni tanácsadó cégeket, akár a kockázatelemzésre, akár egy ilyen gapanalízisre, hogy mi az, aminek ki lehetünk téve. És akkor mellé lehet rakni azokat az intézkedéseket, vagy egy intézkedési tervet, ami szavatolja nagyban, nem 100 százalékban, de 90 százalékban, vagy 95 százalékban, hogy a támadások nagyon nagy százalékát tudjuk blokkolni vagy védeni.

29:35

Gécsek Tóth Enikő

- Ilyen jellegű tanácsadást ti vállaltok?

29:38

Béres Péter

- Jellemzően ez úgy néz ki a gyakorlatban, hogy történik valami, akkor fölhívnak, és akkor akár bullet point-szerűen felsoroljuk azokat a területeket, amikkel első körben célszerű foglalkozni vagy átnézni. Ha pedig az az igény, hogy oké, üljünk le egy beszélgetésre és nézzük át, hogy mit lehetne itt tenni valójában, vagy hogy állunk, akkor megpróbálunk ezekbe a kérdésekbe is segíteni. A NIS2 miatt ugye azért elég sokan elkezdtek ezzel foglalkozni.

30:26 EU-s elvárások a cég védelmére

Gécsek-Tóth Enikő

- Igen, ez ugye EU-s elvárás, hogy legyen a cégeknek megfelelő védelme, és mire ez a podcast megjelenik, az érintett cégeknek a nyilvántartásba vételt el is kellett végezni a Cégkapun keresztül. Valamint az információbiztonsági felelőst is ki kellett jelölni, a rendelet elvárásainak pedig 2024. október 18-ig kell megfelelni. Ezek az elvárások szerintetek nyilvánvalóan, hogy időszerűek, vagy hát már talán el is késtünk velük, mert tudjuk, hogy milyen régóta érik támadások a különböző cégeket, de hogy azért javíthatnak-e a kiberbiztonsági helyzeten?

31:03 Az EU-s elvárások javíthatnak-e a kiberbiztonsági helyzeten?

Vájsz Balázs

- Persze, javíthatnak. Pont ez a cél, hogy ezeknek a szervezeteknek a kitettségét, meg a rendelkezésre állását javítsák az ilyen támadásokkal szemben. Kérdés, hogy mennyi energiát sikerül ennek a megvalósításába az érintettek részéről belerakni, nyilván van sok olyan dolog, ami relatíve nem kerül pénzbe. Tehát az, hogy például egy cégnél átgondolják a jogosultságokat, az nem kerül pénzbe. Mi a jogosultság? Az, hogy például ne legyen mindenkinek rendszergazda joga a gépen. A rendszergazda joga legyen a rendszergazdának, vagy maximum a főnöknek, de mondjuk például Marikának, hogyha már Marikát említettük, akkor nem.

32:33 A zero trust hozzáállás

- Fontos az a szemléletmód, hogy ne úgy álljunk a dolgokhoz, hogy minket nem érhet itt semmilyen támadás. Nem, mindenhol szembe kell nézni azzal, hogy a rendszernek minden eleme ki lehet téve a kockázatoknak. Ez az úgynevezett zero trust hozzáállás, vagy Zero Trust modell. Ha már ennek a mentén elindulnak, ezzel már sok minden kockázatot lehet kezelni, sokkal jobb lesz a cégnél az IT biztonsági szint, és akkor nyilván persze erre jönnek aztán a különböző dolgok, a frissítés, a vírusirtó, stb.

33:23 A NIS2 célja

- A NIS2-nek ez is egy célja, hogy kötelező legyen az érintett vállalatoknál az, hogy a munkatársakat képezni kell, a vezetőket pedig magasabb szinten kell képezni IT biztonsági szempontból. Nem egy olyan nagy dolog a jelszókezelést megtanítani mondjuk egy cégnél.

34:52 Mire figyeljünk támadások előtt és után kkv-ként?

Gécsek-Tóth Enikő

- Beszéljünk arról, hogy úgy összegezzünk, hogyha valaki nulláról indul, vagy támadás után van, akkor mikre figyeljen oda?

35:01 Támadás előtt...

Vájsz Balázs

- Támadás előtt is már figyeljen oda ezekre, mert az a jó, hogyha nem a támadás után kezdem. Szerintem ha nincs IT szakember a cégnél, meg IT biztonsági szakértő, akkor érdemes azért fölvenni egy ilyen céggel a kapcsolatot, és kicsit átbeszélni a dolgokat. Mégis mondjon egy látleletet a cégről, hogy mik a gyenge pontok, mik azok, amiket első lépésben erősíteni kell, és nyilván ő tud tanácsot adni, hogy milyen irányba induljanak. Ha már ezt a szintet meglépik, és az első lépcsőn már túl vannak, az már szerintem egy egészen más szintű IT biztonságot fog nyújtani a cégnél.

36:36 Valaki legyen képben a cégnél

Béres Péter

- Én azt gondolom, hogy ami még fontos lehet, hogy legyünk képben, vagy legyen valaki képben a cégnél,

37:13 A biztonság nulladik pillére

Gécsek-Tóth Enikő

- Ha már a cikkeket említetted, magunkat is hadd ajánljam. Elég sok Hackfelmetszők podcast szólt már olyan témákról, amelyeket egyébként a kkv-k is be tudnak építeni. Például a legeslegelső részünk a biztonság nulladik pilléréről szólt, melyek azok a vírusok, számítógépes kártevők, amelyek károkat okozhatnak, milyen támadási formák a leggyakoribbak, ezek hogyan tudnak bejutni a gépekre. Erről szólt az első rész, de például a második részt is tudom ajánlani, amely arról szólt, hogy az alkalmazottak a céges gépen mit csinálhatnak, milyen jogosultságokat kaphatnak, és egyáltalán a saját eszközeiken dolgozhatnak-e. A harmadik rész pedig a személyes adataink védelméről szól, de szenteltünk egy teljes adást annak is, hogy a biztonsági fásultság cégen belül miért veszélyes. Úgyhogy érdemes böngészni a Hackfelmetszők adások között, akár Spotify-on, akár Youtube-on, vagy az ESET weboldalán. Köszönöm szépen nektek a beszélgetést, Béres Pétert, a Sicontact Kft. IT-vezetőjét és Vájsz Balázst, a cég IT-tanácsadóját hallottátok, én pedig Gécsek-Tóth Enikő voltam.