Kezdjük a jelszavakkal - és a második lépcsővel

Ha csak egyetlen dolgot tesz meg a vállalkozás ebben a hónapban, ez legyen a kétlépcsős azonosítás (2 Factor Authentication, 2FA) beállítása minden fontos fiók esetében. E-mail, netbank, könyvelőprogram, felhőtárhely, közösségimédia-oldalak. A támadások jelentős része ellopott vagy kitalált jelszóval kezdődik, és a második lépcső - egy telefonos megerősítés vagy alkalmazásban generált kód - önmagában megállítja őket. Ennek a beállítása fiókonként pár perc, és ingyen van.

A jelszavaknál érdemes leszoktatni a csapatot arról, hogy fejben tartható  (tehát gyenge és ismételt) jelszavakat használjon. Egy jelszókezelő alkalmazás cégméretben is olcsó, és megszünteti azt a klasszikus problémát, amikor ugyanaz a „vendég1234!” jelszó nyitja a levelezést, a bankot és a raktárprogramot. Ha ezek egyikét feltörik, a támadó az összes többi ajtón is besétálhat.

Frissítés: unalmas, de ez a védelem gerince

Az AI-korszak egyik legkonkrétabb változása, hogy a támadók gépi sebességgel pásztázzák az internetet elavult, ismert hibákat tartalmazó rendszerek után. Egy foltozatlan webshop, egy évek óta nem frissített router vagy egy régi Windows olyan, mint a nyitva felejtett raktárajtó - csak itt a tolvaj nem sétál, hanem szoftverrel keres, és percek alatt megtalálja. 

A teendő pofonegyszerű: automatikus frissítés bekapcsolása mindenhol, ahol lehet, és negyedévente egy órát rászánni arra, hogy végignézzük, mi maradt ki - beleértve a hálózati eszközöket és a céges telefonokat is.

Mentés, ami egy zsarolóvírus-támadás után is megvan

A zsarolóvírus a kkv-k réme: titkosítja az adatokat, majd váltságdíjat követel. Ellenszere a jó biztonsági mentés, de csak akkor, ha a mentés nem érhető el ugyanarról a hálózatról, amit a vírus megfertőzött, különben azt is titkosítja.

Az ökölszabály a 3-2-1: három példány az adatokból, két különböző adathordozón, amelyből egy a cég rendszereitől elzárva  (felhőben vagy fizikailag leválasztott meghajtón) van. És ami a legtöbbször kimarad: évente legalább egyszer próbáljuk ki, hogy a mentésből tényleg vissza tudunk-e állni. A soha nem tesztelt mentés csak remény, nem védelem.

Az emberi tényező: a kollégák jelentik az új tűzfalat

Az AI-jal írt adathalász levelek már nem buknak le a rossz helyesírás miatt. Hibátlan magyarsággal érkeznek, a cég valós partnereire, projektjeire hivatkoznak, és egyre gyakoribb a hangklónozás is: a „főnök” telefonál, és sürgős utalást kér. 

Erre nem egy szoftver a válasz, hanem egy házon belüli szabály: pénzmozgást vagy adatkiadást érintő szokatlan kérést mindig ellenőrzünk egy másik csatornán - visszahívjuk az illetőt az általunk ismert számán, nem azon, amiről a kérés jött. Emellett negyedévente érdemes tizenöt percet szánni arra, hogy a csapattal átbeszéljük a friss trükköket. Nem tanfolyam kell, hanem az, hogy a gyanakvás reflexszé váljon, és senki ne titkolja, ha valamire rákattintott. A gyorsan jelzett hiba kis kár, az eltitkolt hiba katasztrófa.

Használjuk az AI-t mi is, ahogyan Brüsszel is javasolja

Az EU akcióterve kifejezetten arra biztatja a cégeket, hogy az elérhető AI-képességeket állítsák a saját védelmük szolgálatába. Kkv-szinten ez nem egy laboratórium felállítását jelenti, hanem apróságokat: a modern levelezőrendszerek és végpontvédelmi csomagok AI-alapú szűrői sokkal többet fognak meg, mint a régi vírusirtók. Érdemes ellenőrizni, hogy a meglévő előfizetésünkben ezek be vannak-e kapcsolva, mert gyakran csak egy pipa hiányzik.

Egy gyanús e-mailt be lehet másolni egy AI-asszisztensbe azzal a kérdéssel, hogy lát-e benne adathalászatra utaló jeleket (meglepően jó második vélemény). Aki pedig saját szoftvert fejleszt vagy webshopot üzemeltet, AI-alapú kódellenőrző és sérülékenységkereső eszközökkel találhatja meg a hibáit hamarabb, mint a támadók. Egy dologra viszont figyeljünk: céges adatot, ügyféladatot csak olyan AI-szolgáltatásba írjunk be, amelynek üzleti verzióját használjuk, tisztázott adatkezeléssel.

Készüljünk arra, amit a partnereink kérdezni fognak

Az EU kiberbiztonsági szabályai (NIS2) és a többi uniós szabály hatása a legtöbb vállalkozást a beszállítói láncon keresztül éri el: a nagyvállalati megrendelő előbb-utóbb kiküld egy kiberbiztonsági kérdőívet. Aki ilyenkor elő tud venni egy egyoldalas összefoglalót arról, hogyan kezeli a jelszavakat, a mentéseket, a frissítéseket és az incidenseket, az szerződést nyer.

Érdemes tehát most, nyugodt körülmények között összeírni: milyen rendszereink és adataink vannak, ki fér hozzájuk, mi történik, ha holnap reggel semmi nem indul el, és kit hívunk ilyenkor. Ez a pár bekezdés a cég kiberbiztonsági minimumdokumentációja, és egyben az első lépés afelé, amit a szabályozás kockázatkezelésnek nevez.

A lényeg

Az uniós akcióterv nagy gépezete (modellértékelés, tesztplatformok, versenyek) majd 2027-re áll össze. A magyar vállalkozásoknak azonban nem Brüsszelre kell várnia: a kétlépcsős azonosítás, a frissítések, a leválasztott mentés, a visszahívás szabálya és egy rövid belső leltár együtt már a támadások túlnyomó részét kivédi. Egyik sem hőstett, mindegyik belefér egy-egy délutánba. A kiberbiztonság a kis vállalkozásoknál nem arról szól, hogy feltörhetetlenek legyenek – hanem arról, hogy ne a legkönnyebb célpontok legyenek a piacon.