Egy országot is meg lehet bénítani a rendszerein keresztül, Magyarország mégis hiányosan ismeri a sajátjait
Magyarországon mintegy 3800 állami informatikai rendszer működik, de az államnak vélhetően arról sincs teljes körű nyilvántartása, hogy ezeket ki fejlesztette, és kinél van meg a működtetésükhöz, javításukhoz szükséges szakértelem – mondta Nagymajtényi Gábor kibervédelmi szakértő. A szakember Frész Ferenccel és Mázsa Péterrel közösen, Manifesztó címmel írt vitaindítót arról, hogyan lehetne csökkenteni a kiszolgáltatottságot és megerősíteni az állam kibervédelmét.
A szakértő szerint az állam működése szempontjából az anyakönyvi nyilvántartás a legkritikusabb rendszer, mert az abban rögzített adatokra épül a személyazonosság igazolása. Ha illetéktelenek hozzáférnek és módosítani tudják, annak következményei messze túlmutathatnak egyetlen rendszer működési zavarain. A szolgáltatások kiesését vizsgálva a távközlés zavarait érezzük meg szinte azonnal, ezt követi az áramellátás, míg banki szolgáltatások nélkül napokig, működő adórendszer nélkül pedig hónapokig is elboldogulnánk.
A Manifesztó szerzői szerint az állampolgárok egyre kevésbé bíznak abban, hogy az állam képes megvédeni a digitális rendszereket. A Pegasushoz hasonló megfigyelési ügyek után nemcsak az a kérdés, hogy az állam meg tudja-e védeni őket, hanem az is, hogy a saját eszközeit ellenük fordítja-e. A bizalom helyreállításához olyan védelemre van szükség, amelynek képességeit folyamatosan próbára teszik: az állami rendszerek hibáinak feltárásához ellenőrzött támadásokkal tesztelő szakemberekre, valódi incidens esetén pedig gyors reagálásra van szükség.
A szerzők szerint Magyarországon meglepően erős szakmai tudásra lehetne támaszkodni, és a hazai szakemberekkel nemzetközi szinten is jelentős szereplővé válhatna az ország a kibervédelemben. A szakértelem mellett a hazai fizikai infrastruktúra is megfelelő ehhez. A kedvező adottságoktól azonban még nem lesznek biztonságosak a magyar rendszerek: ma még azt sem tudjuk minden esetben megmondani, melyiket lehetne egy támadás után biztonságosan helyreállítani.
A hazai fejlesztéseknél gyakran előbb gyűjtik össze az adatokat, és csak utána keresik, mire lehetne használni őket. Érdemesebb lenne abból kiindulni, milyen ügyet szeretne elintézni az állampolgár, és hogyan tudna segíteni rajta egy digitális szolgáltatás. Az egészségügyi adatokat összegyűjtő EESZT megfelelő továbbfejlesztéssel a betegségek felismerésében és a gyógyításban is nagyobb szerepet kaphatna.
Az állampolgár könnyebben bízik egy digitális szolgáltatásban, ha ellenőrizheti, ki fér hozzá az adataihoz, és mire használja őket. A szerzők azt szorgalmazzák, hogy ha az állam az eredetitől eltérő célra is felhasználná ezeket, kérjen engedélyt, és adjon döntési lehetőséget az érintettnek. A bizalom megteremtéséhez a kibervédelmi szakemberek, a fejlesztők, a tanácsadók és az auditorok együttműködésére is szükség van.
Utóbbiak szerepét azért is hangsúlyozzák, mert úgy látják, Magyarországon a tanácsadói és auditori munka hiányosságainak ritkán van érdemi következménye. Bírálatuk a megbízások elosztására is kiterjed: a legkritikusabb ágazatok informatikai ellenőrzését is kijelölt, NER-hez kötődő cégek végezhették. Egy támadás után ráadásul az érintett szervezetek ritkán tárják a nyilvánosság elé, mi történt, hogyan kezelték a problémát, és mit változtattak azért, hogy az ne ismétlődhessen meg.
A védekezés kényszeréből nemzetközileg is versenyképes tudás épülhet: a szerzők Izraelt és Svájcot említik példaként. Előbbiben a folyamatos fenyegetettség, utóbbiban a pénzügyi rendszerek védelme ad erős ösztönzést a kibervédelmi fejlesztésekhez. A Manifesztó szerzői vitaindítónak szánják írásukat, nem választanak technológiákat vagy beszállítókat, és a szükséges garanciák jogi, intézményi formáját sem írják elő.
Javaslataikat 12 pontban foglalták össze. Ezek között szerepel, hogy az állam működését kell védeni, nem csupán az informatikai rendszereket; hogy a megbízhatóság bizonyított képesség legyen, a helyreállítási tervet pedig ki is kell próbálni; hogy a rendszer biztonsága nem az alkotórészek egyedi biztonságának összege; hogy a kritikus funkcióknál legyen világos, ki miért felel; és hogy a helyreállítást nem a válságban kell először kipróbálni. Kritikus függőség esetén tényleges kilépési vagy túlélési útra van szükség, a digitális államnak az időben is működőképesnek kell maradnia, és a digitális állam fizikai állam is, mert nincs digitális folytonosság energia, hálózat, eszköz és megfelelően felkészült emberek nélkül.
A pontok között az is szerepel, hogy a közhatalom folytonossága nem azonos az informatikai hozzáféréssel, az integráció nem jelenthet korlátlan adatösszekapcsolást, a rendszernek tanulnia kell a saját hibáiból, a digitális állam fenntartása és fejlesztése pedig folyamatos képesség kell, hogy maradjon.
