Egy országot is meg lehet bénítani a rendszerein keresztül, Magyarország mégis hiányosan ismeri a sajátjait

Szinte naponta érkeznek hírek súlyos kibertámadásokról: Magyarországon az elmúlt hónapokban a Magyar Államkincstár (MÁK) mezőgazdasági és vidékfejlesztési hálózatát ért, a ByteToBreach csoporthoz köthető támadás keltett nagy figyelmet, az orosz–ukrán háborúban pedig a mindennapos hadviselés része a katonai és energetikai létesítmények informatikai rendszereinek támadása.

A következmények azonban messze túlmutathatnak az informatikai rendszerek működési zavarain. A francia vérellátó hűtőberendezéseinek hőmérsékletét megemelő támadás a betegellátást veszélyeztette, míg a Binance kriptokereskedési platform elleni akció dollármilliárdos veszteséget okozott.

Az amerikai kommandósok Nicolás Maduro venezuelai elnök 2026. januári elfogásakor is támaszkodtak kiberműveletekre: amerikai tisztviselők beszámolói szerint ezekkel áramkimaradást okoztak Caracasban, és megzavarták a légvédelmi radarok működését. Hogy az ilyen akciókat fenyegetésként vagy katonai sikerként értékeljük, abban annak is szerepe lehet, melyik oldallal rokonszenvezünk egy konfliktusban.

A kiragadott esetek mellett a rendszerek sérülékenységéről a CVE-adatokból készülő összesítések adhatnak átfogóbb képet. A CVE (Common Vulnerabilities and Exposures) egységes azonosítókkal regisztrálja a nyilvánosságra hozott informatikai biztonsági hibákat, vagyis ezek a statisztikák nem a megtörtént támadásokat, hanem a támadók által kihasználható, feltárt sérülékenységeket számlálják.

Egy ember kirablásához, egy cég kifosztásához vagy egy ország meggyengítéséhez ma már a digitális rendszereken keresztül is vezethet az út, miközben egyre kevésbé választható el egymástól az informatikai biztonság és a hétköznapi élet biztonsága. Az életünket szervező, a közszolgáltatásokat működtető és a védelmünkről gondoskodó állam olyannyira ezekre a rendszerekre épül, hogy lassan külön hangsúlyozni is felesleges a digitális jellegét – csakhogy ettől még sérülékeny marad, mondta a Telexnek Nagymajtényi Gábor kibervédelmi szakértő.

Nagymajtényi Frész Ferenccel és Mázsa Péterrel közösen, Manifesztó címmel írt vitaindítót arról, hogyan lehetne csökkenteni ezt a kiszolgáltatottságot és megerősíteni az állam kibervédelmét.

A kritikus anyakönyvi kivonat

Magyarországon mintegy 3800 állami informatikai rendszer működik, de az államnak vélhetően arról sincs teljes körű nyilvántartása, hogy ezeket ki fejlesztette, és kinél van meg a működtetésükhöz, javításukhoz szükséges szakértelem, magyarázta Nagymajtényi Gábor.

Ezek közül elsőre talán az egészségügyi és pénzügyi rendszereket tartanánk a legfontosabbnak, az állam működése szempontjából pedig az adóztatást és az energiaellátást sorolnánk előre. Nagymajtényi szerint azonban más sorrend rajzolódik ki, ha azt nézzük, melyik szolgáltatás kiesését meddig viselnénk el. A távközlés zavarait szinte azonnal megérezzük: „ha fél óráig nincs hálózat, már az utcára mennek az emberek”. Ezt követi az áramellátás, amelynek tartós kimaradásakor a hűtőben, fagyasztóban tárolt élelmiszer is veszélybe kerül, miközben banki szolgáltatások nélkül napokig, működő adórendszer nélkül pedig hónapokig is elboldogulnánk.

Az állam szempontjából Nagymajtényi mégis az anyakönyvi nyilvántartást tartja a legkritikusabbnak, mert az abban rögzített adatokra épül a személyazonosságunk igazolása. Ha illetéktelenek férnek hozzá és módosítani tudják, annak következményei messze túlmutathatnak egyetlen rendszer működési zavarain. A hamis személyazonosságokkal való visszaélés súlyát mutatja annak az orosz kémhálózatnak az esete is, amelynek tagjai brazil személyazonosságok és útlevelek mögé rejtőzve végeztek hírszerző tevékenységet a világ különböző országaiban.

Miközben az állam azt ígéri, hogy képes megvédeni a digitális rendszereket, a Manifesztó szerzői szerint az állampolgárok egyre kevésbé bíznak ebben. A Pegasushoz hasonló megfigyelési ügyek után ráadásul nemcsak az a kérdés számukra, hogy az állam meg tudja-e védeni őket, hanem az is, hogy a saját eszközeit ellenük fordítja-e. Ezt a bizalmat a szerzők szerint előbb-utóbb helyre kell állítani: jobb lenne saját elhatározásból, mint újabb és újabb támadások kényszerére.

A bizalom visszaszerzéséhez azonban olyan védelemre van szükség, amelynek a képességeit folyamatosan próbára is teszik. Nagymajtényi Gábor szerint ezért támadni és védekezni egyaránt tudni kell: az állami rendszerek hibáinak feltárásához olyan szakemberekre van szükség, akik ellenőrzött támadásokkal tesztelik a biztonságukat, valódi incidens esetén pedig gyorsan képesek reagálni. Ma még kevesen rendelkeznek ezzel a képességgel, de az állam nem mondhat le róla: ahol hiányzik, ott ki kell építenie, ahol megvan, ott fenn kell tartania.

Magyarországon meglepően erős szakmai tudásra lehetne támaszkodni, a hazai szakemberekkel akár nemzetközi szinten is jelentős szereplővé válhatnánk a kibervédelemben Nagymajtényi szerint. Persze már víz- és akkumulátor-nagyhatalomként, regionális pénzügyi központként, gázelosztó és logisztikai csomópontként is sokszor elképzelték az ország jövőjét.

Ha azonban valóban az a cél, hogy a nyugati vállalatok alacsony hozzáadott értékű bérgyártása helyett nagyobb teret kapjanak a tudásintenzív tevékenységek, ezen a területen a szakember szerint már rendelkezésre áll az egyik legfontosabb feltétel: a hozzáértő ember.

A szakértelem mellett a hazai fizikai infrastruktúra is megfelelő ahhoz, hogy Magyarország a lassabban alkalmazkodó országok elé kerüljön a kiberbiztonságban – véli Nagymajtényi. Ahhoz hasonló előrelépést tartana lehetségesnek, amilyet a mobilfizetés hozott Afrika több országában: a nagy távolságok és a hiányos bankhálózat miatt úgy terjedtek el a mobiltelefonos megoldások, hogy közben a hagyományos banki infrastruktúra kiépítésének több lépcsőjét átugrották. A kedvező adottságoktól azonban még nem lesznek biztonságosak a magyar rendszerek: ma még azt sem tudjuk minden esetben megmondani, melyiket lehetne egy támadás után biztonságosan helyreállítani – tette hozzá.

Az észt X-Roadot az állami rendszerek közötti adatcsere példájaként említi, Ukrajnában viszont éppen az elkülönítés és egyes folyamatok kézi vezérlésre való visszaállítása segít fenntartani az áramellátást. A szorosabb integráció és az önálló működés tehát egyaránt járhat előnyökkel, a választáshoz abból kellene kiindulni, milyen feladatot kell ellátni, és hogyan tartható fenn a szolgáltatás akkor is, ha valamelyik elem kiesik.

Nagymajtényi úgy látja, hogy a hazai fejlesztéseknél gyakran előbb gyűjtik össze az adatokat, és csak utána keresik, mire lehetne használni őket. Érdemesebb lenne abból kiindulni, milyen ügyet szeretne elintézni az állampolgár, mi nehezíti ezt, és hogyan tudna segíteni rajta egy digitális szolgáltatás. Egy óvodakeresőnél például nem feltétlenül az a leghasznosabb, ha a rendszer a lakcím alapján megmutatja a legközelebbi intézményt: lehet, hogy a családnak a szülők munkahelye vagy a napi útvonala mentén lenne szüksége óvodára.

Az egészségügyi adatokat összegyűjtő EESZT-nél már megtapasztalhattuk, mennyit könnyít az életünkön, hogy az orvos hozzáfér a korábbi leleteinkhez, a gyógyszertárban pedig elektronikusan elérhetők a receptjeink. A szakember azonban ennél jóval több lehetőséget lát a rendszerben: megfelelő továbbfejlesztéssel a mesterséges intelligencia segíthetne összehasonlítani a korábbi és az új MR- vagy CT-felvételeket, jelezhetné az elváltozásokat, és nagy mennyiségű hazai, illetve nemzetközi tapasztalat feldolgozásával támogathatná az orvosokat a kezelés megválasztásában. Így az EESZT az ügyintézés megkönnyítésén túl a betegségek felismerésében és a gyógyításban is nagyobb szerepet kaphatna.

Az állampolgár könnyebben bízik egy digitális szolgáltatásban, ha ellenőrizheti, ki fér hozzá az adataihoz, és mire használja őket. A Manifesztó szerzői azt szorgalmazzák, hogy ha az állam az eredetitől eltérő célra is felhasználná ezeket, kérjen engedélyt, és adjon döntési lehetőséget az érintettnek. A bizalom megteremtését ugyanakkor nem kizárólag az államtól várják: ehhez a kibervédelmi szakemberek, a hardver- és szoftverfejlesztők, a tanácsadók és az auditorok együttműködésére is szükség van.

Utóbbiak szerepét azért is hangsúlyozzák, mert úgy látják, Magyarországon a tanácsadói és auditori munka hiányosságainak ritkán van érdemi következményük.

Bírálatuk a megbízások elosztására is kiterjed: a legkritikusabb ágazatok informatikai ellenőrzését is kijelölt, NER-hez kötődő cégek végezhették, ami felveti, mennyire ösztönözte őket jobb munkára a verseny, és mennyire volt hatékony az állami kontroll.

Egy támadás után ráadásul az érintett szervezetek ritkán tárják a nyilvánosság elé, mi történt, hogyan kezelték a problémát, és mit változtattak azért, hogy az ne ismétlődhessen meg – kifogásolják a szerzők. Ehhez nem kellene a védekezést veszélyeztető részleteket elárulniuk, de magyarázat nélkül az ügyfeleknek sincs miből megítélniük, miért bízhatnak újra a szolgáltatásban.

A védekezés kényszeréből közben nemzetközileg is versenyképes tudás épülhet: a szerzők Izraelt és Svájcot említik példaként. Előbbiben a folyamatos fenyegetettség, utóbbiban a pénzügyi rendszerek védelme ad erős ösztönzést a kibervédelmi fejlesztésekhez. Magyarország előtt is nyitva állhat ez az út, de ehhez még azelőtt kellene megerősíteni a védelmet, hogy egy súlyos támadás után már csak a károk elhárítására maradna mozgástér.

A digitális bizalom 12 pontja

A szerzők a Manifesztót vitaindítónak szánják, és várják a közös gondolkodáshoz csatlakozókat. Nem választanak technológiákat vagy beszállítókat, és a szükséges garanciák jogi, intézményi formáját sem írják elő. Azt szeretnék tisztázni, milyen elvek mentén épülhet biztonságosabb, az állampolgárok bizalmára érdemes digitális állam. Ehhez a fenyegetések sorolásán túl azt is meg akarják mutatni, hogyan tehetnék jobbá a mindennapokat a fejlesztések. Javaslataikat az alábbi 12 pontban foglalták össze, amelyek közül többet már a cikkben is bemutattunk:

1. Az állam működését védjük, ne csupán az informatikai rendszereket

A biztonság első kérdése nem az, hogy működik-e egy adatközpont, alkalmazás vagy hálózat, hanem az, hogy működik-e az a fontos társadalmi vagy állami funkció, amely ezekre támaszkodik.

2. A megbízhatóság bizonyított képesség legyen

Amit lehet, azt mérni kell, amit kritikusnak nevezünk, azt megfelelően próbára kell tenni, a helyreállítási terv akkor helyreállítási képesség, ha azt ki is próbáltuk.

3. A rendszer biztonsága nem az alkotórészek egyedi biztonságának összege

Attól nem jó egy rendszer, mert eddig megúszta a támadásokat. Jól működő, tanúsított és külön-külön biztonságos komponensekből is összeállhat rosszul működő rendszer, az egészre is figyelni kell, nemcsak az egyes részletekre.

4. A felelősség legyen valódi, ne csak utólagos

A kritikus funkcióknál legyen világos, ki miért felel, milyen döntési joggal, milyen erőforrással és milyen kötelezettséggel!

5. Válság előtt gyakoroljunk

Ne a száguldó vonaton javítsuk meg a féket: a helyreállítást, a tartalékrendszer működtetését, a kommunikációt és a döntési eljárásokat nem a válságban kell először kipróbálni.

6. Kritikus függőség esetén tényleges kilépési vagy túlélési út kell

A szuverenitáshoz nem kell minden technológiának magyarnak lennie. Az számít, hogy tisztában vagyunk-e a kritikus függőségeinkkel, és képesek vagyunk-e fenntartani a működést akkor is, ha egy külső technológia vagy szolgáltató kiesik, illetve szükség esetén át tudunk-e térni más megoldásra.

7. A digitális államnak az időben is működőképesnek kell maradnia

A kritikus adatot nem elég elmenteni, hanem évek vagy évtizedek múlva is értenünk kell, mit jelentett, honnan származott, milyen szabály szerint jött létre. Az anyakönyvi rendszernél például még a száz év stabilitás sem elég, utána is kellenek az adatok.

8. A digitális állam fizikai állam is

Nincs digitális folytonosság a következők nélkül: energia, hálózat, eszköz, helyszín, logisztika és megfelelően felkészült, a feladatra ténylegesen rendelkezésre álló emberek.

9. A közhatalom folytonossága nem azonos az informatikai hozzáféréssel

Az informatikai azonosítás, hitelesítés és jogosultság még nem jelent közhatalmat. Digitális hiba vagy támadás esetén is rekonstruálhatónak kell maradnia mindennek, annak is, hogy ki volt jogosult eljárni, és ténylegesen ki járt el, milyen hivatalban, milyen hatáskörrel, milyen felhatalmazás alapján és milyen időbeli korlátok között.

10. Az integráció nem jelenthet korlátlan adatösszekapcsolást

Az állami rendszereknek tudni kell együttműködniük. Ebből nem következik az, hogy minden adatot minden más adattal össze kellene kapcsolni, és nem jelentheti a természetes személyekre vonatkozó adatok egyetlen teljes profilba rendezését.

11. A rendszernek tanulnia kell a saját hibáiból

Nemcsak a bekövetkezett incidensből lehet tanulni, hanem sok egyéb elemből is. Jelzés a majdnem bekövetkezett hiba, a rendszeresen ismétlődő kerülő megoldás, a kézi beavatkozás, a gyakorlaton előkerülő függőség és minden olyan helyzet is, amikor a rendszer csak azért nem hibázott látványosan, mert valaki időben közbelépett.

12. A digitális állam fenntartása és fejlesztése folyamatos képesség kell, hogy maradjon!

A biztonság, a helyreállítás, a szakértelem és az alkalmazkodás nem egyszeri fejlesztési projekt, hanem a rajt után is fenn kell maradnia.