Ez nem egy véleménycikk. Nem egy fórum. Nem egy szenzációhajhász blog.
Ez a Nemzeti Kibervédelmi Intézet hivatalos riasztási oldala, ahol nap mint nap jelennek meg új bejegyzések – nem feltételezésekről, hanem konkrét, azonosított sebezhetőségekről.

Ha valaki néhány percet eltölt azzal, hogy végiggörget ezen a listán, egy nagyon gyorsan kirajzolódó mintát fog látni: ugyanazok a nevek térnek vissza újra és újra, amelyeket a legtöbb cégvezető a „biztonság” szinonimájaként emleget.

• Microsoft
• Cisco
• különböző hálózati eszközök gyártói
• szerverplatformok
• üzleti szoftverek teljes spektruma

Ez a lista nem egyetlen hibáról szól, és nem is egyetlen gyártóról. Ez annak a bizonyítéka, hogy a sérülékenység nem kivétel, hanem a rendszer működésének természetes velejárója.

A kérdés tehát nem az, hogy melyik technológia „biztonságosabb”, hanem az, hogy milyen gyorsan derül ki, ha valami már nem az.

Sokan ott követik el a hibát, hogy a „sebezhetőség” szót egyfajta elméleti kategóriaként kezelik, mintha ezek a problémák csak laboratóriumi környezetben léteznének. A valóság ezzel szemben az, hogy amikor megnyit egy konkrét riasztást, akkor nem lehetőségeket lát, hanem aktívan kihasználható hibákat.

Egy-egy bejegyzés mögött ott van:
• egy konkrét rendszer,
• egy konkrét sérülékenység,
• és gyakran egy konkrét támadási módszer is.

Sőt, sok esetben ezek a hibák már a publikálás pillanatában aktív támadások részei, tehát nem az a kérdés, hogy „valaki megpróbálja-e”, hanem az, hogy éppen most is próbálják.

És itt jön az a pont, ahol ez már nem technológiai kérdés, hanem üzleti valóság:

A legtöbb cég nem azért kerül bajba, mert feltörik.
Hanem azért, mert túl későn veszi észre.

A legfontosabb szemléletváltás talán az, hogy megértse: a támadhatóság nem hiba, hanem következmény. Nem azért sérülékeny egy rendszer, mert rosszul lett megtervezve, hanem mert:

• kapcsolódik az internethez, tehát elérhető
• kommunikál más rendszerekkel, tehát adatot cserél
• folyamatosan frissül és változik
• és mindez együtt egy rendkívül komplex működést eredményez

Márpedig minden komplex rendszerben lesznek hibák – nem azért, mert valaki elrontotta, hanem mert a komplexitás ezt elkerülhetetlenné teszi.

Ez nem gyártófüggő kérdés.
Ez nem technológiai preferencia kérdése.
Ez egy alapértelmezett kockázati állapot.

A legtöbb döntéshozó még mindig egy látszólag logikus, valójában azonban félrevezető kérdés körül forog:

„Mennyire biztonságos a rendszerünk?”

Ez a kérdés azért problémás, mert egy statikus állapotot feltételez egy dinamikus környezetben. A biztonság ugyanis nem egy állapot, amit egyszer elérünk, hanem egy folyamatos működés, amit fenn kell tartani.

A helyes kérdés ezért sokkal kellemetlenebb, viszont lényegre törőbb:

Ha ma valaki bejutna a rendszerébe… észrevenné?

És ha igen:

• Tudja pontosan, hogy mit kell tenni az első percekben?
• Van erre kidolgozott, tesztelt folyamata?
• Milyen gyorsan tud reagálni – percek, órák vagy napok alatt?
• Mennyi idő alatt képes megállítani a károkozást?

Mert a támadások jelentős része nem a behatolás pillanatában okozza a legnagyobb problémát, hanem az észlelés késlekedése miatt.

A „100% biztonság” gondolata jól hangzik, de a valóságban nem létezik. Ami viszont nagyon is létezik, és üzletileg értelmezhető, az a kontroll szintje egy incidens felett.

Ez három kulcsterületből áll:

• észlelés (detection): észreveszi-e, hogy valami nem normális
  • reagálás (response): tudja-e, mit kell tenni azonnal
  • kárcsökkentés (containment): képes-e lokalizálni és megállítani a problémát

Az a szervezet, amelyik ezt nem építi ki tudatosan, nem biztonságban működik, hanem egyszerűen még nem találkozott a következményekkel.

És ezek a következmények nem technikai jellegűek.

Hanem nagyon is üzletiek:

• kieső bevétel
• leálló működés
• elvesztett ügyfelek
• sérülő bizalom
• és egy helyzet, amit utólag már csak kezelni lehet, nem megelőzni

A kérdés tehát nem az, hogy milyen eszközt használ, és nem is az, hogy melyik gyártóban bízik. Ezek fontos döntések – de nem ezek fogják eldönteni, hogy egy incidensből mi lesz.

Az elsődleges kérdés ez:

ha ma történne egy behatolás, Ön észrevenné?
És ha igen, képes lenne azonnal megállítani?

És van még egy, amit ritkábban tesznek fel:

Ki fogja ezt a döntést meghozni abban a pillanatban, amikor megtörténik?

Mert ez a pont már nem IT kérdés.
Ez vezetői felelősség.

Ha erre nincs egyértelmű, gyors és bizonyított válasz, akkor ott nem technológiai hiányosságról beszélünk.

Hanem egy olyan üzleti kockázatról, amelynek a következményei előbb-utóbb megjelennek –
és általában nem ott és nem akkor, amikor a legkényelmesebb lenne.