Miért fontos a vállalati felhasználók IT biztonsági oktatása?
A támadások több mint 80%-a emberi hibából indul. Mutatjuk, miért nem opció többé a munkatársak rendszeres IT biztonsági képzése — és hogyan érdemes csinálni 2026-ban.
Mindegy milyen jó a tűzfal, ha egy munkatársad rákattint egy adathalász linkre. 2026-ban az IT biztonsági incidensek több mint 80%-a emberi hibából indul — egy kapkodva megnyitott melléklet, egy újrahasznált jelszó, egy „segítőkész" telefonhívásra adott információ - ezt egyetlen szoftver sem fogja megoldani helyetted.
A jó hír: a munkatárs nem örökre a leggyengébb láncszem. Megfelelő, rendszeres képzéssel ő lesz az első védelmi vonalad — az a szempár, ami észreveszi azt a gyanús levelet, amit a spam szűrőd átengedett. A kérdés csak az, hogy hagyod-e neki, hogy ezt a szerepet betöltse.
Az „engem nem érint" tévhit
Sok kkv vezetőnek még mindig az a reflexe, hogy „mi túl kicsik vagyunk ahhoz, hogy célpontok legyünk". A statisztika cáfolja:
A magyar kibertámadások 43%-a 250 fő alatti vállalkozást ér (Nemzetbiztonsági Szakszolgálat, 2024).
Egy sikeres zsarolóvírus átlagos költsége egy magyar kkv-nak 4–18 millió forint a leállással, helyreállítással és bírságokkal együtt.
A támadott cégek 60%-a 6 hónapon belül leáll vagy súlyosan visszaesik a károk után.
A támadók ma nem kézzel válogatják ki az áldozatokat. Automatizált botok pásztázzák az internetet, és aki sebezhető — abba bemennek. Méret, iparág, ismertség nem számít.
A számok mögött: Egy átlagos magyar irodai dolgozó évi 14 phishing kísérlettel találkozik a céges postaládájában. Képzés nélkül kb. minden 5. levélre rákattint. Képzéssel ugyanez az arány 2-3% alá csökkenthető.
Miért nem elég a tűzfal és a vírusirtó?
Mert a modern támadások nem a gépet támadják, hanem az embert. Néhány tipikus forgatókönyv, amit semmilyen technikai megoldás nem fog 100%-ban kiszűrni:
1. Célzott phishing (spear phishing)
A támadó megnézi a LinkedIn profilodat, kideríti, ki a könyvelőd, ki a főnöke, és írásban utánozza a CEO-t: „Sürgős utalás, kérlek intézd ma délelőtt." A levél címzéséből, hangneméből, aláírásából minden stimmel. A vírusirtó nem fog jelezni — nincs benne vírus.
2. Hamis bejelentkező oldalak
Egy SMS, hogy „lejárt a Microsoft 365 jelszavad, kattints ide". A link egy tökéletes Microsoft login másolatra visz. A jelszó beírás után a támadó már a céges levelezésben van, és onnan írogat a kollégáknak — most már belülről.
3. Telefonos megtévesztés (vishing)
Felhívja a recepciót valaki „az IT-tól", és kéri, hogy a karbantartás miatt mondja be a kódot. Ez nem hackelés — ez bizalom-kihasználás. Csak emberi tudatosság véd ellene.
A NIS2 már nem javaslat — kötelezettség
2024 októbere óta a NIS2 irányelv hazai jogba ültetve kötelez minden közepes és nagyvállalatot, valamint sok kritikus szektorbeli kkv-t arra, hogy bizonyítható, rendszeres IT biztonsági oktatást nyújtson a munkatársainak. Aki nem teljesíti:
akár 10 millió euró vagy az árbevétel 2%-áig terjedő bírság;
vezetői személyes felelősségre vonás;
tendereken, közbeszerzéseken kizárás.
A „csináltunk egy 2 órás workshopot 2022-ben" többé nem elég. A hatóság dokumentált, ismétlődő, mérhető képzést vár el — naplókkal, részvételi adatokkal, eredményekkel.
Miért bukik el a legtöbb képzés?
Nem azért, mert a tartalom rossz. Hanem mert rosszul van adagolva. A tipikus hibák:
Évi egy 4 órás workshop. A munkatársak az előadás után 1 héttel az információ 70%-át elfelejtik, és a mai világban a figyelmet sem lehet 4 órán keresztül folyamatosan fenntartani.
Általános, angol nyelvű e-learning. Senki nem nézi végig, mindenki kattint a „következő" gombra a 100%-ig.
Nincs gyakorlás. Az elméleti tudás és a valós helyzetben hozott jó döntés két különböző dolog.
Nincs mérés. Ha nem tudod, ki értette meg és ki nem, nem tudod célzottan fejleszteni.
Ami működik: kicsi adagok, gyakran, gyakorlatban
A tudatosság-építés ugyanúgy edzés, mint a futás vagy az erősítés. Havi 10-15 perc 12 hónapon át nagyságrendekkel többet ér, mint évi egy nagy alkalom. Ezért építettük a Securiót pont erre az elvre:
Havi 10–15 perc — annyit, amit egy kávészünet alatt megcsinálnak, nem zavarja a munkát.
Magyar nyelven, magyar példákkal — magyar bankok, magyar adóhivatal, magyar szolgáltatók nevében érkező csalások.
Kvízekkel és gamifikációval — csillagok, ranglista, badge-ek; nem büntetés, hanem játék.
Automatikus dokumentáció — a NIS2-höz szükséges jegyzőkönyveket automatikusan elkészíti.
Vezetői dashboard — látod, ki hol tart, hol kell rásegíteni.
Mit nyer ezzel a cég? Az ügyfeleinknél átlagosan 89%-kal csökken a phishing-kattintási arány az első 6 hónap után. Egy zsarolóvírus megelőzése önmagában sokszorosan kitermeli a platform éves költségét.
Bizalmi tőke a partnerek és ügyfelek felé
Egyre több nagyvállalat kéri a beszállítóitól a NIS2-megfelelést — nem azért, mert lelkesek érte, hanem mert rajtuk kérik számon. Ha be tudod mutatni, hogy nálatok minden munkatárs havonta foglalkozik IT biztonsággal, és van rá hivatalos napló, az versenyelőny a tendereken és bizalmi faktor az új ügyfelek felé.
Egyre több ügyfélszerződés is tartalmaz „elvárt biztonsági higiénia" kitételt — különösen ha egészségügyi, pénzügyi vagy közigazgatási adattal dolgozol.
Hol érdemes elkezdeni?
Ne keress tökéletes megoldást — keress elindíthatót. Egy 12 hónapos képzési terv, ami magától fut, jobb, mint egy 200 oldalas stratégia, ami sosem indul el. Konkrétan:
Mérd fel, kik a felhasználóid és milyen rendszerekhez férnek hozzá.
Indíts egy alap-képzést mindenkinek (phishing, jelszavak, social engineering) — ez a minimum, amit a NIS2 vár.
Tedd ismétlődővé. Havonta egy modul a fenntartható minimum.
Mérj. Aki rosszul teljesít, kapjon célzott újraképzést.
Dokumentálj. Naplók, részvételi listák, teszteredmények — egy helyen.
Ezt a teljes folyamatot megcsinálja helyetted a Securio. Nem kell 6 hónapos bevezetési projekt — 1 nap alatt élesben fut, és onnantól magától működik, neked csak ellenőrizned kell a tanulási folyamatot.
Összefoglalva
Az IT biztonság ma már nem csak informatikai téma — üzleti kockázat. És mint minden üzleti kockázatot, ezt is csak akkor tudod kezelni, ha a csapatod fel van készítve rá. Egy átlagos cégnél a teljes biztonsági büdzsé ~5%-ába kerül egy minőségi tudatosság-program — és tipikusan ez az 5% véd meg a maradék 95% beruházás értelmét adó incidensektől. A Securio árazását pedig kifejezetten a magyar KKV-kra lett kialakítva.
A kérdés nem az, hogy megéri-e oktatni a munkatársakat. A kérdés az, hogy mennyi ideig engedheted meg magadnak, hogy ne tedd
Hivatkozások
[1] Verizon. (2024). 2024 Data Breach Investigations Report.
[2] Mimecast. (2025). Verizon 60 of breaches involve human error.
[3] SANS Institute. (n.d.). 2025 Security Awareness Report.
[5] FutureCISO. (2025, May 20). Security training reduces global phishing click rates by 86%.
[7] Microsoft. (n.d.). Small and medium business (SMB) cyberattacks are...
[8] ConnectWise. (2025, July 8). SMB cybersecurity statistics and trends in 2025.
[9] Nemzeti Kiberbiztonsági Intézet. (n.d.). Kiberfenyegetettség elemzés.
[10] SZTFH. (2024, December 27). NIS2 – 2025-ben kerül sor egy fontos SZTFH rendelet kihirdetésére.
