Míg 25 éve még leginkább csak az informatikával játszadozó fiatalok “csínytevése” volt, ma már gyakran a cégek létét veszélyeztetik a kibertámadások. Ezek rontják a megtámadott cégek hírnevét, hitelét, de gyakran a működésüket is megbénítják.

A zsarolóvírusok, adatszivárgások, DDoS-támadások vagy épp célzott adathalászatok által okozott anyagi kár évente a százmilliárd dolláros nagyságrendet is eléri, ráadásul ezek a számok évről évre nőnek.

Ki fizeti meg a kibertámadások okozta kárt?

Mi történik akkor, amikor bekövetkezik a baj? Ki fizeti a helyreállítást, a bírságokat, a reputációvesztés következményeit, árbevétel-kiesést vagy éppen az ügyféladatok pótlásának költségeit? A biztosító? A vállalat? A munkavállaló? Netán végső soron a fogyasztó?

A kérdés megválaszolása minden felelős cégvezető és CIO számára kulcsfontosságú.

A legtöbb kibertámadás emberi hiba következménye

A Littlefish elemzése szerint a kibertámadások 95%-a emberi hibából következik be. Ez lehet egy óvatlanul megnyitott e-mail csatolmány, egy új jelszó megosztása vagy épp a kétfaktoros hitelesítés elmulasztása.

A probléma gyökere sokszor nem is a rosszindulat, hanem az információhiány. A munkavállalók jellemzően nincsenek tisztában azzal, hogy akár már egyetlen rossz kattintással is több millió forintos kárt okozhatnak.

Munkavállaló vs. munkáltató: mikor ki fizet?

A magyar munkajog – a Munka Törvénykönyve – világosan szabályozza, hogy a munkavállaló csak szándékos vagy súlyosan gondatlan magatartása esetén felel a munkáltatónak okozott teljes kárért. Egy figyelmetlenségből bekövetkező adatszivárgás esetén tehát jó eséllyel nem a dolgozónak, hanem a munkáltatónak kell viselnie a kárt.

Súlyos gondatlanságnak minősül viszont az, ha egy munkavállaló többszöri figyelmeztetés ellenére továbbra is személyes eszközön, védelem nélkül végzi a céges levelezést, mások számára is elérhetően tárolja a jelszavait,  vagyis szándékosan figyelmen kívül hagyja az IT-szabályzatot.

De még ilyen esetben is ritka, hogy egy céges káresemény után bepereljék a dolgozót, hiszen a reputációs kockázat és a munkáltatói felelősségvállalás általában erősebb szempont.

Biztosítás biztonság?

Fizet a biztosító? Igen – néha.

Egyre több vállalat rendelkezik úgynevezett kiber kockázati biztosítással (kiberbiztosítással), ami megtéríti a támadás következtében felmerülő:

• rendszerhelyreállítási költségeket,
• jogi költségeket,
• adatvédelmi bírságokat,
• ügyféltájékoztatási kiadásokat,
• vagy épp a zsarolóvírusos váltságdíjat.

A gond csak az, hogy a biztosítók egyre szigorúbb feltételekhez kötik a kifizetést. A legtöbb kárigényt ugyanis elutasítják, ha bebizonyosodik, hogy a vállalat nem tartotta be az alapvető kiberbiztonsági protokollokat – például nem volt rendszeres biztonsági oktatás, nem frissítették időben a szoftvereket vagy nem alkalmaztak többfaktoros hitelesítést.

Ráadásul a hagyományos vállalati felelősségbiztosítás általában nem fedezi a kibertámadások következményeit – ezek külön biztosítási konstrukciókhoz kötöttek.

Mi történik, ha senki sem fizet?

Egy 2023-as IBM tanulmány szerint a kibertámadások okozta károk költségének döntő részét – közvetve vagy közvetlenül – végül a fogyasztók fizetik meg.

Hogyan?

• Áremeléseken keresztül,
• Lassabb ügyintézéssel,
• Romló szolgáltatási színvonallal,
• Akár személyes adatvesztés formájában.

A vállalat tehát nemcsak saját eredményességét veszélyezteti, ha nem fordít figyelmet a kiberbiztonságra, hanem ügyfelei bizalmát is – ami sok esetben még nagyobb veszteség.

Mennyibe kerül egy támadás?

A GetAstra kutatása alapján egy sikeres kibertámadás átlagosan 200 000 dollárba kerül egy középvállalatnak – de ez az összeg könnyen a milliós tartományba emelkedhet, ha adatvédelmi bírságról, GDPR-ről vagy hosszabb leállásról van szó.

A legtöbb cég azonban még mindig nincs felkészülve egy ilyen helyzetre: nincs incidenskezelési terv, nincsenek biztonságtudatosított kollégák, és a vezetők is gyakran csak a támadás után keresnek megoldást.

Mit tehet a vezető?

1. Tudatosítsa a felelősséget: A kiberbiztonság nem csak az IT-osztály dolga. A hibák többsége az emberi tényezőre vezethető vissza, így minden kolléga bevonása elengedhetetlen.

2. Képezze a csapatot: Évente legalább egyszer legyen kötelező kiberbiztonsági tréning. A social engineering támadások, adathalász e-mailek és jelszókezelés alapjai mindenki számára érthető formában taníthatók.

3. Vizsgálja felül a biztosítási hátteret: Ellenőrizze, hogy a meglévő biztosítás valóban fedezi-e a digitális kockázatokat – ha nem, keressen kiberspecifikus konstrukciót.

4. Dolgozzon ki incidenskezelési tervet: Mit tesz a cég egy támadás első 24 órájában? Ki dönt? Hogyan kommunikálnak az ügyfelekkel? Ezek a kérdések ne a támadás napján merüljenek fel először.

5. Kérjen auditot: Egy független kiberbiztonsági audit feltárhatja a rejtett gyenge pontokat – és megelőzheti a nagyobb bajt.

Büntetés elmaradt megelőzés miatt

A NIS2 bevezetése új megközelítést hozott. Eszerint a Hatóság (Magyarországon a Szabályozott Tevékenységek Felügyeleti Hatósága)

Bírságolhatja a szervezetet: bírságot szabhat ki, ha a az nem teljesíti az NIS2 szerinti kötelezettségeit (pl. kockázatkezelés, incidensjelentés, auditálás). Ennek a bírságnak a mértéke elérheti a 10 millió eurót / az éves árbevétel 2%-át, ami komoly elrettentő erővel bírhat,

• Bírságolhatja a vezető tisztviselőket (egyéni felelősség), ha a vezető nem gondoskodik a megfelelő kiberbiztonsági intézkedésekről. Akár személyes felelősségre vonás is lehetséges. (Ez akár büntetőjogi következményeket is vonhat maga után, ha súlyos gondatlanság vagy szándékos mulasztás áll fenn  – pl. ha tudatosan nem jelentettek egy súlyos incidenst).
• Bírságolhatja a külső szolgáltatók (pl. IT-szolgáltatók, MSSP-k):
• Ha a szolgáltató hibájából következik be a támadás vagy a szabályozás megsértése, szerződéses és polgári jogi felelősség is felmerülhet.

Mindezek csak az NIS2 törvényeben megnevezett, a szabályozás alá tartozó szervezetekre vonatkoznak.

Összefoglalás: Aki nem fizet megelőzésre, az fizet majd a károkra

A kibertámadások nem a jövő problémái – már rég itt vannak. A kérdés nem az, hogy lesz-e támadás, hanem az, hogy mikor, és hogy a cég felkészült-e rá.

Aki most nem ruház be a megelőzésbe – oktatásba, biztosításba, protokollokba –, az nagy valószínűséggel a sokszorosát fogja fizetni utólag.

Gyakran Ismételt Kérdések a kibertámadások okozta károk megtérítéséről