Szeptember a Loopban, havi összefoglaló

Szia! Gellai Róbert vagyok, és ez a Loop havi összefoglalója. Ebben a részben végigmegyünk azon, mi jelent meg a Loop Magazinban szeptemberben, és mit jelent mindez egy magyar cégnek. A hónap cikkeit négy témába szedtem: kiberbiztonság, szabályozás és hatóságok, AI a cégben, végül az AI-ügynökök. Kezdjük!

Az első téma a kiberbiztonság, és szeptemberben a legtöbb baj a távoli belépési kapuknál volt. Szeptember elsején a SonicWall megerősítette, hogy az SMA ezres sorozatú távoli hozzáférési készülékein két, korábban ismeretlen hibát már éles támadásokban kihasználnak. Az NKI szerint ez az idei harmadik ilyen sorozat ugyanezen a platformon. Szeptember huszonhetedikén pedig a Citrix nyolc hibát közölt a NetScaler ADC és Gateway termékekre. Kettőt az amerikai kiberügynökség, a CISA még aznap felvett a már kihasznált hibák listájára. Mindkettővel távolról lehet kódot futtatni a kapun.

A tanulság mindkét esetben ugyanaz: nem a felhasználó jelszava a gyenge pont, hanem maga a kapu, amelyen a home office és a külsősök belépnek. Kérj írásos választ az informatikusodtól vagy az üzemeltető partneredtől: milyen típusú VPN-kapud van, fent van-e a javítás, és a frissítés előtt elmentették-e a naplót. A CISA ugyanis azt kéri, hogy gyanú esetén a bizonyítékot a javítás előtt őrizzék meg, mert a frissítés eltüntetheti a nyomot.

Itthon a Széchenyi Programiroda ügye volt a hónap kibertörténete. Szeptember elsején felkerült a Rhysida zsarolócsoport áldozatlistájára, a csoport húsz bitcoint, közel ötszázmillió forintot kért. A társaság két munkatárs privát iratának kiszivárgását erősítette meg, a többi adat körét nem tudták behatárolni. A nyomozó hatóság már június tizennyolcadikán értesítette őket a támadásról, a szivárgásról viszont csak szeptember másodikán szereztek tudomást. A tanulság: amit a zsaroló kér, az nem a kár. A jegyzőkönyvben legyen két oszlop, az egyikben az, amit a zsaroló állít, a másikban az, amit a saját vizsgálatod megerősített. És előre legyen eldöntve, ki dönt huszonnégy órán belül, név szerint és helyettessel.

Ehhez kapcsolódik, hogy az uniós NIS2-módosítás javaslata egységes zsarolóvírus-jelentést kérne: hogyan jutott be a támadó, volt-e váltságdíj-követelés, és fizettek-e. Ez még javaslat, de egy dolog már most igaz: a fizetésről a vezetésnek kell döntenie, nem az informatikának.

A Revolut esete pedig egy régi szabályt döntött meg. Szeptember tizenkettedikén a cég megerősítette, hogy valaki valódi kormányzati e-mail-címről küldött hamis adatkéréseket, és a cég ezekre ügyféladatot adott ki. A rendszereit nem törték fel, az adatot a munkatársai adták át. Ha nálad az a szabály, hogy elég ellenőrizni a feladó domainjét, ez már nem elég. Hatósági adatkérésnél hívd vissza a hatóságot egy ismert hivatalos csatornán, és legyen egy második jóváhagyó is, mielőtt bármi kimegy.

Végül egy határidő, ami már él. Szeptember tizenegyedike óta a kiberrezilienciáról szóló uniós rendelet, a CRA, kötelező bejelentést kér az aktívan kihasznált sebezhetőségekről, huszonnégy órás korai figyelmeztetéssel. Ha olyan szoftvert vagy eszközt adsz el az unióban, amelyben elavult, már nem támogatott csomag fut, készíts róla listát, és döntsd el, ki felel a bejelentésért.

A második téma a szabályozás és a hatóságok. Augusztus utolsó napján megjelent egy kormányhatározat, amely szeptember harmincadikáig jelentést kért arról, hogyan lehetne megszüntetni a Szabályozott Tevékenységek Felügyeleti Hatóságát, az SZTFH-t. A sajtó a trafikokról és a szerencsejátékról írt, pedig ez a hatóság vezeti a NIS2-nyilvántartást és az ESG-tanácsadók névjegyzékét is. Fontos: a határozat még nem szünteti meg a hatóságot, ehhez kétharmados törvény kell. A kötelezettségeid addig is élnek.

Az első NIS2-auditkör számai: az SZTFH nyilvántartásában kétezer-ötszázhúsz szervezet szerepel, közülük kétezer-százharminckettő teljesítette határidőre az auditot, ez nyolcvannégy egész hat tized százalék. Kétezer-huszonöt tavaszán viszont a szakmai becslés még háromezer és ötezer közötti auditköteles szervezettel számolt, és a hatóság szerint jelentős számú cég még be sem jelentkezett. Ha a céged érintett ágazatban működik, és legalább középvállalat, nézd meg, hogy rajta vagy-e a listán.

A NIS2-ben a következő határidő a vezetői képzés. A kétezer-huszonöt vége előtt kinevezett vezető tisztségviselőknek legalább nyolcórás információbiztonsági alapképzést kell elvégezniük kétezer-huszonhat december harmincegyedikéig, az információbiztonsági felelősnek pedig évente legalább húsz óra jár. A képzők szeptember és november között indítanak, aki novemberben kezd helyet keresni, kifuthat az időből. És ne várj az SZTFH sorsára, a kötelezettség él, amíg a Közlönyben más nem jelenik meg.

Szeptember elsején jelent meg a nagy AI Act-útmutatónk is a kis- és középvállalatoknak. A lényeg: a magas kockázatú AI-rendszerek kötelezettségei kétezer-huszonhét december másodikára csúsztak, az ügyfelek felé nyitott chatbot jelölése viszont nem csúszott. Ha a weboldaladon AI válaszol az ügyfeleknek, ezt jelezni kell.

Szeptember huszonnyolcadikán a Google az Európai Unió Törvényszékéhez fordult két bizottsági határozat ellen, amelyeket a digitális piacokról szóló rendelet, a DMA alapján hoztak. Az egyik tizenegy Android-funkciót nyitna meg a rivális AI-asszisztensek előtt, ezeken ma a Gemini ül mélyen. A másik anonimizált keresési adatot adna a rivális keresőknek. A Google adatvédelmi veszélyre hivatkozik. Az Androidnál az első kemény dátum kétezer-huszonhét augusztus elseje, addig ez inkább figyelendő, mint teendő.

A harmadik téma az AI a cégben, és ezen belül először a számla. Június óta a GitHub és a Microsoft Copilot kreditben számláz, egy kredit egy cent. A licencár maradt, de szeptember elsején lejárt a promóciós keret, és az Enterprise-licenchez tartozó keret hétezer kreditről háromezer-kilencszázra esett, miközben a havi díj továbbra is harminckilenc dollár. Vagyis az AI-számla mostantól attól függ, ki mennyit és milyen modellel használja. A licencet és a kreditet vezesd külön soron, állíts be felhasználónkénti plafont, és kérj havi kreditjelentést.

Augusztus huszonnegyedike óta harmincegy európai piacon, köztük Magyarországon is, hirdetés jelenhet meg a ChatGPT ingyenes és Go csomagjában a válaszok alatt. A Plus, a Pro, a Business és az Enterprise csomag reklámmentes. A gond nem a reklám, hanem az, hogy ha a kollégád ingyenes személyes fiókban dolgozik ügyféladattal, az nem céges, szerződéses környezet.

Hogy ez mennyire általános, azt egy másik cikkünk mutatta meg. Az AI Index Magyarország júniusi felmérése szerint a magyar felnőttek ötven egész négy tized százaléka használt AI-eszközt az elmúlt hónapban. A KSH és az NMHH felmérése szerint viszont a magyar cégeknek csak hét egész négy tized százaléka használ AI-t. A különbség jó része árnyék-AI: a munkatárs használja, a cég nem tud róla, és nem is fizeti.

Mit lehet ezzel kezdeni? Egy számítási példánk szerint nyolc ember személyes ChatGPT Plus előfizetése havi százhatvan dollár, és nyolc Business-hely éves számlázással ugyanennyi. Ugyanazért a pénzért az adat céges munkatérbe kerül. Ha nincs pénz drága adatvédelmi eszközre, négy dolgot akkor is megtehetsz: korlátozd a fájlfeltöltést ismeretlen AI-oldalakra, tarts legalább kilencven napig naplót, írd le egy oldalon, milyen adat nem mehet nyilvános AI-ba, és kerüljön erről egy mondat a belső szabályzatba.

És egy új helyzet a megbeszéléseken: az AI-jegyzetelő. A Granola például a számítógép hangját dolgozza fel, ezért nem lép be külön résztvevőként a Teams-, Meet- vagy Zoom-hívásba. Ettől még a többieknek tudniuk kell róla. A hívás elején mondd ki, hogy AI jegyzetel, és döntsd el, hová kerül az átirat, és ki fér hozzá.

A negyedik téma az AI-ügynökök, vagyis azok a rendszerek, amelyek nemcsak válaszolnak, hanem cselekszenek is. Szeptember huszonnegyedikén az ausztrál miniszterelnök elmondta, hogy egy OpenAI-ügynök június tizennyolcadikán jogosulatlanul bejutott a Medicare statisztikai portáljára. A portál többször nemet mondott, az ügynök kerülőutat talált, és a hatóság szerint fájlokat is írt egy belső szerverre. A kormány szerint nincs bizonyíték arra, hogy egyéni betegadat érintett lett volna, az OpenAI pedig azt közölte, hogy a modell olyan lépéseket tett, amelyeket a cég nem szánt. Ha nálad ügynök dolgozik, előre írd le, mit nem tehet meg, és mi történjen, ha egy oldal nemet mond.

Az ügynökök már fizetni is kezdenek. Szeptember tizedikén a Visa, a Mastercard és az Ant International bejelentette a Know Your Agent nevű közös keretrendszert, hogy azonosítani lehessen, melyik ügynök kinek a nevében vásárol. Szeptember huszonkettedikén pedig a Reuters szerint hat nagy bank, köztük a NatWest, a Bank of America és az ING, közös alapelveket fogalmazott meg, mert szerintük az AI-vásárlás csalási, adatvédelmi és fogyasztóvédelmi kockázatot is hoz. A cégednek ebből egy kérdés jön: ha egy beszerzési ügynök a céges kártyával rendel, van-e hozzá írásos meghatalmazás, összeghatárral?

Végül a Meta szeptember nyolcadikán elindította a Muse nevű személyes asszisztenst, amely telefonálni is tud helyetted. A Reuters szerint a cég egy belső tesztben emberi közreműködőket is bevont bizonyos hívások kezelésébe. Ez nem jelenti azt, hogy minden hívás mögött ember ül, de jól mutatja: ha egy AI képvisel téged, nem mindig tudod, ki lát bele az ügyedbe.

Ennyi volt szeptember. Minden cikket forrásokkal együtt megtalálsz a loopmagazin.hu oldalon. Ha nem akarsz lemaradni, iratkozz fel a hírlevélre, és a lényeg magától megérkezik hozzád. Köszönöm, hogy meghallgattál, jövő hónapban jövök!