Október

Októberben ismét az Európai Kiberbiztonsági Hónap (ECSM) zajlik. A kampány 2012 óta fut, a tagállamok és rengeteg köz- és magánszervezet viszi, az ENISA és az Európai Bizottság támogatásával. Hivatalos jelmondata 2020 óta: Think Before U Click, idén pedig az ENISA kifejezetten a munkahelyekre és a munkavállalók készségeire teszi a hangsúlyt.

A legtöbb cégnél ilyenkor kimegy egy körlevél, elindul egy e-learning, és november elsején minden megy tovább a régi kerékvágásban. Ha azt szeretnéd, hogy a kiberbiztonsági tudatosság hónapjának tényleg legyen nyoma, másképp kell hozzáállni. Megmutatjuk, kiket vonj be, hogyan bontsd négy hétre a programot, és mivel mérd az eredményt.

Miért nem csak az IT dolga a kiberbiztonsági tudatosság?

A sikeres támadások jó része ma sem technikai bravúr. Egy jól megírt phishing e-mail, egy hiteles telefonhívás vagy egy sürgető üzenet a „vezérigazgatótól” sokszor elég. Ezeket nem a tűzfal szűri ki, hanem az, aki a levelet megkapja. A tudatosság ezért nem IT-projekt, hanem az egész szervezet ügye.

Ráadásul ez már nem csak jó gyakorlat. A NIS2 irányelv és a Magyarország kiberbiztonságáról szóló 2024. évi LXIX. törvény az érintett szervezeteknél elvárja a kiberhigiéniai alapokat és a rendszeres képzést, a vezetőknek pedig maguknak is részt kell venniük képzésen. A vezetőség tehát nem maradhat kívülálló.

Kiket vonj be, és mi legyen a feladatuk?

Vezetés. Egy rövid, saját szavaival megírt üzenet a cégvezetőtől többet ér tíz plakátnál. Ha elmondja, hogy ő is kapott már gyanús levelet, és mit csinált vele, az hitelesebb bármilyen szabályzatnál.

HR. Ők érnek el mindenkit, és ők felelnek a beléptetésért. Az októberi kampány jó alkalom arra, hogy az új kollégák első hetébe is bekerüljön egy rövid biztonsági bevezető.

Pénzügy és beszerzés. Ők a számlacserés csalások és a hamis utalási kérések célpontjai. Nekik egy célzott, húszperces gyakorlati alkalom kell valós példákkal, nem általános előadás.

Értékesítés és ügyfélszolgálat. Rengeteg külső levelet és csatolmányt kapnak. Velük azt érdemes gyakorolni, hogyan ellenőrizzenek egy szokatlan kérést úgy, hogy közben ne bántsák meg az ügyfelet.

IT és biztonság. Ők adják a tartalmat, de ne ők legyenek az egyetlen hang. Az ő dolguk inkább az, hogy könnyű legyen jelenteni a gyanús dolgokat, és hogy a jelentésekre gyorsan és barátságosan reagáljanak.

Négyhetes terv a kiberbiztonsági hónapra

1. Első hét: nyitás. Vezetői üzenet, egyoldalas összefoglaló arról, mire figyeljen mindenki, és hova lehet jelenteni egy gyanús levelet.
2. Második hét: phishing-szimuláció. Előre bejelentett, de időpontra nem pontosított szimuláció, utána rövid visszajelzés mindenkinek. Nem az a cél, hogy kiderüljön, ki kattintott, hanem hogy mindenki lássa, mi árulta el a csalót.
3. Harmadik hét: interaktív alkalom. Félórás „kérdezz a hackertől” beszélgetés vagy élő bemutató arról, hogyan néz ki egy támadás belülről. Ezekre szoktak a legtöbben eljönni.
4. Negyedik hét: zárás. Az eredmények megosztása, a legaktívabb jelentők elismerése, és egy-két konkrét változtatás, ami a hónap tanulságaiból született.

Hogyan mérd a kampány hatását?

A résztvevők száma keveset mond. Többet ér, ha ezeket figyeled:

• hány gyanús levelet jelentettek a kollégák a hónap előtt és után,
• mennyi idő telik el egy szimulált phishing kiküldése és az első jelentés között,
• hány részlegről jön jelentés, nem csak az IT-ról.

Ha a jelentések száma nő, az jó hír, akkor is, ha elsőre több lesz a fölösleges riasztás.

Tipikus hibák a tudatosságnövelésben

• Büntető hangvétel. Ha a kattintókat nyilvánosan megszégyeníted, legközelebb senki sem fog szólni, ha hibázott.
• Túl sok szabály egyszerre. Három dolgot jegyeznek meg az emberek, nem harmincat.
• Egyszeri akció. Ha októberben minden van, aztán tizenegy hónapig semmi, az eredmény is eltűnik.

Gyakori kérdések

Mikor van az Európai Kiberbiztonsági Hónap? Minden év októberében, 2026-ban október 1. és 31. között.

Kötelező a kiberbiztonsági képzés? A NIS2 hatálya alá tartozó szervezeteknél igen: a 2024. évi LXIX. törvény alapján a rendszeres képzés elvárás, és a vezetőknek is részt kell venniük rajta.

Elég egy hónap a tudatosság növelésére? Nem. Az október jó nyitány, de a hatás a rendszerességen múlik: havi egy rövid emlékeztető és negyedévente egy phishing-szimuláció már sokat számít.

Összefoglalás

Az október jó alkalom arra, hogy elkezdd, de nem arra, hogy egyszer letudd. Ha a vezetés kiáll mellette, a területek a saját helyzetükre szabott tartalmat kapnak, és könnyű jelenteni, akkor a hónap végére nem egy kipipált tréninged lesz, hanem egy szervezet, amelyik figyel.

Ha ebben segítség kell, a HACKTIFY csapata phishing-szimulációkkal, workshopokkal és vezetői kiberbiztonsági képzéssel tud beszállni. Korábbi bejegyzésünket a témában pedig itt tudok megtekinteni: Kiberhónap a tudatosság jegyében