Kiberbiztonság vezetőknek: amit minden döntéshozónak értenie kell
Gyakorlati útmutató cégvezetőknek a kiberbiztonság három pilléréről, a leggyakoribb tévhitekről és arról, mitől lesz egy vállalati kibervédelem valóban hatékony.
A kiberbiztonság ma már nem informatikai részfeladat, hanem üzleti kockázatkezelés. Egyetlen sikeres támadás napokra leállíthatja a működést, ügyféladatokat vihet, jogi következményekkel és súlyos reputációs kárral járhat. Ez a cikk vezetőknek készült: nem a technikai részletekre fókuszál, hanem arra, amit Önnek mint döntéshozónak látnia és értenie kell.
A kiberbiztonság három alappillére
A több évtizedes szakmai fejlődés három, egymást kiegészítő pillérre épül. Ezek nélkül nem lehet érdemi védelemről beszélni — egyik sem helyettesíti a másikat.
1. Preventív védelem
A folyamatosan frissülő veszélyadatbázisok alapján azonnal blokkolja az ismert támadásokat — például vírusirtó és tűzfal. Ez az alap, de önmagában soha nem elég: az ismeretlen vagy célzott támadások átjutnak rajta.
2. Detekció és reakció
A prevención átjutó támadókat időben felismeri és lehetőséget ad a beavatkozásra, mielőtt a támadásból komoly incidens és kár lesz. Ez a "folyamatos szűrés", amely nélkül egy támadó hetekig észrevétlenül a hálózatban maradhat.
3. Kiberhigiénia
A felhasználók biztonságos viselkedését támogatja: jelszókezelés, többfaktoros beléptetés, adatszivárgás-megelőzés, és a dolgozók folyamatos tudatosítása. A támadások túlnyomó többsége emberi hibára épít — ezért a kiberhigiénia nem opció.
Önmagában egyik pillér sem véd meg. A három együtt, helyesen üzemeltetve adja a valódi biztonságot.
A leggyakoribb vezetői tévhitek
"A védelem mindig hátrányban van"
Tévhit. Egy bűnözői csoport szinte biztosan kevesebb pénzt és időt fordít egy támadásra, mint amennyivel egy felkészült vállalat védekezik. A bejutáshoz elég egy hiba, de heteken át észrevétlenül bent maradni és végigvinni egy támadási láncot szinte lehetetlen, ha a védők tudják a dolgukat.
"Felkészülni az ismeretlenre lehetetlen"
A "nulladik napi" sebezhetőségek nem ismeretlenek, hanem statisztika: ha tízezer programsoronként átlagosan egy biztonsági hiba van, egy százezer soros rendszerben kb. tíz ilyen várható. Erre kötelességünk felkészülni, nem felelősséghárításra használni.
"A biztonságot a megvásárolt termékek adják"
Egy kutatás szerint a vállalati hálózatok biztonsági réseinek egyharmada éppen a biztonsági termékekben található. Folyamat, üzemeltető és karbantartás nélkül a sok termék nem hogy jobb, hanem rosszabb védelmet ad, mint egy egyszerűbb, jól karbantartott megoldás.
Hol tart most az Ön cége? — Szervezeti fejlettségi szintek
A kiberbiztonsági érettségnek öt jól elkülöníthető szintje van. Érdemes őszintén végiggondolni, melyik a leginkább jellemző a saját szervezetére.
Kezdeti — A szervezet nincs tudatában a kiberkockázatainak. Az incidensekről vagy nem tud, vagy csak a kár után értesül.
Ismétlődő — Ötletszerűen telepített biztonsági termékek, kézi, tűzoltásszerű incidenskezelés.
Dokumentált — Vezetői döntés született: van kiberbiztonsági felelős és külön büdzsé. Kialakul az incidenskezelési folyamat.
Menedzselt — Folyamatosan felügyelt biztonság, teljes szervezetet átfogó védelmi rendszerekkel és egyértelmű fejlesztési irányokkal.
Optimális — Valódi támadásokkal validált védelem, tudatosan fejlesztett ellenálló képesség, közösséggel megosztott veszély-információk.
A magyar középvállalatok jelentős része ma az "ismétlődő" szinten van — vagyis akkor reagál, amikor már baj van. Ez vezetői döntés kérdése, nem informatikai feladat.
Minimális vállalati kiberbiztonság 2026-ban
Ha nulláról indul vagy rendet szeretne tenni, az alábbi sorrendben érdemes haladni:
Vezetői tudatosítás és veszély-láthatóság — a megfelelő büdzsé és prioritás biztosításához.
Azonosítás — címtár (kik a felhasználók) és eszköztár (mit védünk).
Ismert sebezhetőségek befoltozása — patch menedzsment és biztonságos konfiguráció.
Végpontvédelem és többfaktoros beléptetés — minden fontos rendszerre.
Naplózás és incidenskezelési folyamat — hogy egy támadás ne hetekig maradhasson észrevétlen.
Felhasználói biztonságtudatosítás — havi rendszerességű, mérhető oktatás. A támadások döntő többsége phishinggel kezdődik.
A vezető szerepe
A kiberbiztonság ott kezdődik, hogy minden döntéshozó a maga szintjén látja és érti a fenyegető veszélyeket. Ha ez hiányzik, nem lesz büdzsé, nem lesz prioritás, és az IT csapat egyedül nem tudja megoldani.
A biztonság szerves része az üzletnek: nem akadályozhatja az üzleti célokat, de az üzlet sem bírálhatja felül a biztonsági szempontokat. Ha a két oldal egymás ellenségévé válik, az biztos recept a bajra.
Mit tehet vezetőként már ezen a héten?
Kérjen egy 20 perces őszinte helyzetjelentést az IT-tól: hol tartunk a fenti 5 szinten?
Kérdezze meg, mikor volt utoljára tényleges incidens-szimuláció, és mi lett az eredménye.
Nézze meg, hogy a dolgozók kapnak-e rendszeres, mérhető biztonságtudatossági oktatást — vagy csak évente egy kipipálandó tréninget.
Tűzze ki, hogy a következő negyedévben legalább egy szintet feljebb lép a fejlettségi skálán.
A kiberbiztonság nem egyszeri projekt, hanem folyamatosan megújuló ciklus. A jó hír: nem kell egyszerre mindent megoldani — de el kell kezdeni, és vezetői szinten kell felelősséget vállalni érte.
Hivatkozások
[1] Fortra. (2026, February 4). 91% of Cyber Attacks Start with a Phishing Email.
[2] Yeo & Yeo. (2023, March 21). 91% of Cyberattacks Begin with a Phishing Email.
[3] Verizon. (2024, May 1). 2024 Data Breach Investigations Report: Vulnerability Exploitation Boom.
[5] Mimecast. (2025, May 1). Verizon 60 of breaches involve human error.
[6] APWG. (2026, February 18). Phishing Activity Trends Report, 4th Quarter 2025.
[7] Red Hat. (2026, April 10). Red Hat Product Security Risk Report 2025.
[8] BeyondTrust. (n.d.). 2025 Microsoft Vulnerabilities Report.
[9] Intruder.io. (2026, January 13). The Top Vulnerabilities of 2025.
[10] Securelist. (2026, March 6). Exploits and vulnerabilities in Q4 2025.
[11] DLA Piper. (2025, November 17). NIS2 directive explained: Part 2 – Management bodies rules.
[12] Anywhere.Legal. (2026, January 15). NIS2 Directive and Management Liability: Cybersecurity as a Strategic Legal and Governance Imperative.
[13] Exeon. (n.d.). NIS2 & DORA: Managers Are Liable for Cybersecurity.
[14] Guberna. (2024, December 5). Management liability under NIS2: What do you need to know.
[15] Bastion.Tech. (2026, February 17). NIS 2 Management Liability: What Leaders Need to Know.
[16] Cagri Polat. (2026, April 9). NIS2 Directive: Senior Management Personal Liability.
[17] NIS2 Directive. (n.d.). NIS 2 Article 20: Governance.
[18] Glocert International. (2026, January 15). NIS2 Governance & Management Accountability.
[19] NIS2 Directive.eu. (n.d.). NIS2 Fines & Consequences | Huge Penalties for Violations.
[20] Threatscape. (n.d.). What Are The Penalties for NIS2 Non-Compliance?.
[21] Legiscope. (2026, April 11). NIS2 Penalties: What Happens If You Don't Comply.
[22] Moody's. (2025, January 21). Staying compliant with NIS2 regulation: Key insights.
[24] SZTFH. (2024, December 27). NIS2 – 2025-ben kerül sor egy fontos SZTFH rendelet kihirdetésére.
[25] SZTFH. (2026, February 13). Új szintre lépett a hazai kiberbiztonsági együttműködés.
[26] Magyar Kereskedelmi és Iparkamara. (n.d.). NIS2 Portal.
[27] Deloitte. (2024, February 20). A NIS2 magyarul, avagy mit vár el a Kibertanúsítási törvény?.
[28] CyberThreat Report. (2025, December 19). Havi kiberbiztonsági helyzetértékelés: 2025. november.
[29] CyberThreat Report. (2025, June 5). Havi kiberbiztonsági helyzetkép – 2025. május.
[30] CyberThreat Report. (n.d.). Magyarország kiberbiztonsági mérlege (2025–2026).
[31] Nemzeti Kiberbiztonsági Intézet. (n.d.). Kiberfenyegetettség elemzés.
[32] Kiberpajzs.hu. (n.d.). A kiberbűnözés kora 2025.
[33] Kormány.hu. (n.d.). Nemzeti Kiberbiztonsági Akcióterv (2025–2030) Bevezető..
