Ha a hivatalos statisztikáknak hinni lehet, Magyarországon nem történtek adatvesztéshez, adatszivárgáshoz köthető incidensek, ezért az ezekből származó kár is pontosan nulla forint. Ugyanakkor az Egyesült Államokban tavaly 6 milliárd dolláros veszteséget, illetve költségnövekedést szenvedtek el a vállalatok hasonló okokból. Egyértelmű, hogy nem a magyar információbiztonság áll ilyen magas szinten: csupán arról van szó, Magyarországon semmilyen jogszabály nem kötelezi a gazdálkodó szervezeteket, hogy adatvesztési incidenseikről jelentést tegyenek közzé, míg a tengerentúlon ezt jogszabály írja elő.

 

Gyógyító napfény

Ez több szempontból is káros hatással van a társadalomra és a gazdaságra – fogalmaz Keleti Arthur, az Információbiztonság Napjának (ITBN) főszervezője. Egyrészről a piaci vagy államigazgatási szereplők adatvesztéseit elszenvedő állampolgárok nem tudnak arról, hogy adataikkal esetleg visszaélhetnek, és ezért a szükséges óvintézkedéseket sem tudják megtenni. Másrészről a biztonsági incidensek elhallgatásának eredményeképpen nem is alakulhatott ki az érintettek tájékoztatásának, a problémák orvoslásának megfelelő gyakorlata sem, ami bizalmatlanságot és bizonytalanságot ébreszt a gazdaság szereplőiben.

A fenti két problémára rímelő két alapelv szól amellett, hogy Magyarországon is jogszabályban rögzítsék a tájékoztatási kötelezettséget. Egyrészt az állampolgároknak joguk van tudni, hogy mi történik a személyes adataikkal: ki és milyen célból kezeli azokat, átadja-e harmadik félnek, és ha igen, milyen célból. Másrészt az információbiztonságban igaz az a mondás, hogy a „napfény gyógyít”– folytatja Keleti Arthur. Csak azokat a problémákat lehet hatékonyan orvosolni, amelyek napfényre, nyilvánosságra kerültek.

 

Hírközlésben muszáj lesz

Az adatszivárgási incidensek nyilvánosságra hozatalának magyar törvényi szabályozását már csak azért sem lehet kikerülni, mert az uniós elektronikus hírközlési irányelv egy tavaly év végi módosítása kifejezetten előírja a hírközlési szolgáltatóknak, hogy jelentsék be a biztonsági incidenseket – említi Jóri András adatvédelmi biztos. Az uniós szabályozás szerint a társaságok az adott ország adatvédelmi biztosát értesítik az incidensekről, aki aztán az összes körülményt figyelembe véve dönt arról, hogy az eseményt a szélesebb nyilvánosság elé kell-e tárni (például sajtóközlemény formájában).

Ez a jogszabály – amelyet jövő májusig a magyar jogrendszerbe is át kell ültetni – csak az elektronikus hírközlési szolgáltatásokat nyújtó szervezetekre és a személyes adatok megsértésével járó biztonsági incidensekre vonatkozik. Az viszont már az uniós jogszabály vitájában felmerült, hogy a rendelkezést szélesebb körre is ki kellene terjeszteni, ezért a preambulumba beírták, hogy a későbbiekben az információs társadalommal összefüggő szolgáltatásokat kínáló szervezeteket, illetve az egészségügyi vagy pénzügyi szolgáltatásokat is be akarják vonni a hatálya alá.

A magyar törvény kidolgozásához (és az esetleges későbbi jogszabályok alapjainak lerakásához) az adatvédelmi biztos szakmai véleményezést nyújt, és az információbiztonságban érdekelt szereplők is szeretnének segítséget adni. Már a hírközlési szolgáltatókra vonatkozó jogszabály is számos részletkérdést felvet, és ezek száma hatványozottan nő, ha más szervezeteket is be akarnak vonni annak hatálya alá.

 

Egyeztetve

Keleti Arthur ezért társadalmi egyeztetést kezdeményez az érintett szervezetek képviselőivel, hogy a felmerülő kérdéseket egymás között is tisztázni tudják. (Az ITBN-en a szervezők be is számolnak az addig elért előrehaladásról, és egyeztetésekre is lehetőség lesz.) A munkába mindenképpen be akarják vonni a kormány képviselőit is.

A magyar kormányzat – a területért felelős vezetők eddigi megnyilvánulásai alapján – elkötelezett az információbiztonság ügye mellett. A Fidesz programjában szerepelt, hogy jogszabályt alkot az információbiztonságról, ám ennek pontos formája még nem ismert; ugyancsak szerepelt a programban a nemzeti adatvagyonról szóló jogszabály szükségessége.

A törvény előkészítésével és a társadalmi egyeztetéssel többrétű céljai vannak a kezdeményezőknek. Az állampolgárok így biztonságban tudhatják személyes adataikat, illetve incidensek esetén hasznos információt kaphatnak arról, miként lehet elhárítani a problémát (bankkártya letiltása, cseréje, egyebek).

Kiemelt cél, hogy a szervezetek komolyan vegyék az adatvédelem ügyét, és nagyobb figyelmet fordítsanak a személyes adatok és üzleti titkok kezelésére. Ha ez szélesebb körben megvalósul, az a nemzeti adatvagyon védelmét is szolgálja. A fentiek megerősíthetik az elektronikus és internetes szolgáltatásokba vetett állampolgári bizalmat, ami összességében gazdasági stabilitást és fejlődési alapot teremt – sorolja a lehetséges előnyöket Keleti Arthur. Ugyanakkor egyáltalán nem cél, hogy az információbiztonsági piac szereplői több megrendeléshez jussanak, bár a szakember elismeri, hogy ez is „mellékhatása” lehet a jogszabálynak.

 

Másképp is lehet

Kevésbé hisz a törvényi szabályozás erejében Jakab Péter, a Magyar Bankszövetség bankbiztonsági munkabizottságának elnöke. Szerinte a pénzintézetek egyik legnagyobb értéke az ügyfelek bizalma, ezért saját jól felfogott üzleti érdekükből is mindent megtesznek a biztonsági incidensek elhárításáért, illetve a következmények felszámolásáért – még ha ezt nem is verik nagydobra. A személyes adatokat érintő incidensekre rendkívül nehéz általános szabályokat felállítani, hiszen nem mindegy, hogy mennyi és milyen jellegű adat került ki, azokat fel lehet-e használni rosszindulatú módon. Ha ilyen esetek előfordultak, a bankok amúgy is felvették a kapcsolatot az érintett ügyfelekkel, tanácsokat adtak a védekezéshez, sőt az esetleges károkat is magukra vállalták.

A nyilvánosság sokszor csak a kockázatot növelné, állítja határozottan a bankbiztonsági szakember, mert az incidensek tippeket adhatnak újabb támadások elkövetőinek. A tanuláshoz sem kell feltétlenül a nyilvánosság: a viszonylag szűk magyar bankszektorban az informális csatornákon is áramlanak az információk, és a pénzintézetek mindig értesítik egymást, ha többeket fenyegető veszélyre bukkannak.