2026. január 6-tól a Kiberbiztonsági tv. már nem a kkv-törvény küszöbértékeire utal vissza, hanem a szervezet saját létszámát, árbevételét és mérlegfőösszegét nevezi meg. Ettől cégek kerültek ki a hatály alól – itt van a módosítás előtti és a hatályos szöveg, és a felügyeleti hatáskörök térképe.
A magyar szabályozásban egyetlen dokumentum mond ki naptárba tehető tesztelési ciklust: az MNB informatikai ajánlása. A 13.1.4 e) pont évente és negyedévente vár sérülékenységvizsgálatot, az f) pont pedig négy külön alkalommal penetrációs tesztet.
A piac azt ismétli, hogy a NIS2 miatt évente kötelező a penetrációs teszt. A védelmi intézkedések katalógusa cellánként mást mond: az önálló behatolásvizsgálat egyik osztályban sem kötelező, független szakértő bevonása pedig csak a magas osztályban az.
A tanúsítvány a tartalom nagy részét lezárja, és ez valóban lerövidíti az utat. Hét dolgot viszont nem zár le: a bejelentkezést az SZTFH-nál, a biztonsági osztályba sorolást, a kétévenkénti auditot, a felelős kijelölését, az incidensbejelentést, a felügyeleti díjat és a magas osztály független behatolásvizsgálatát.
Így törik fel a penteszterek a JSON Web Tokent – algorithm confusion, gyenge HMAC-titok, kid- és jku-injekció, ellenőrizetlen claimek –, és így lehet megállítani őket.
A keresés azt mondja a cégeknek, hogy csak az SZTFH nyilvántartásából választhatnak. A törvény ennél pontosabb: az 57. § három kört jogosít, az 1. § (9) és a 60. § (1) pedig megmondja, kire kell ezt a rendet alkalmazni.
A penetrációs tesztet embernapban mérik, nem darabáron. Mi mozgatja a ráfordítást, hogyan számolja végig a saját hatókörét, mennyi ideig tart egy projekt, és mit rögzít a jogszabály a kiberbiztonsági audit legmagasabb díjából.
A szkenner a verziószámból következtet, ezért téved. Mit talál meg biztosan, mit nem talál meg soha, hogyan kell olvasni a CVSS-pontszámot, és melyiket mikor érdemes megrendelni.
Miért az embert támadják a rendszer helyett, hogyan jut el a támadó a felderítéstől az ürügyön át a cselekvésig, melyik technika a leggyakoribb a phishingtől a tailgatingig, és hogyan zajlik egy kontrollált vizsgálat úgy, hogy ne bűnbakkeresés legyen belőle.
Mit csinál valójában az etikus hacker, mi különbözteti meg a támadótól, melyik tanúsítvány igazol tudást, mi kerüljön a szerződésbe, és milyen jelentésért érdemes fizetni.
A klónozott hang ügyvezetőnek, kollégának vagy családtagnak adja ki magát. Ezekről a jelekről ismerhető fel a hamis hívás, és így ellenőrizhető biztonságosan.
Az AI nem csak fenyegetés. Kiszűri az adathalász leveleket, összefoglalja az incidenseket és lerövidíti a reagálási időt – ha a végső szó az emberé marad.
A támadó a LinkedInről, a céges honlapról és a nyilvános cégadatokból építi fel az ürügyet. Így működik az OSINT, a pretexting és az AI a gyakorlatban.
Az AI-adathalászat hibátlan magyarsággal ír, és belesimul a munkanapba. Így ismerhető fel az adathalász levél, a smishing, a vishing és a spear phishing.
A mesterséges intelligencia átírta az adathalászatot, a deepfake-csalásokat és a sérülékenységek felderítését. Így támadnak vele – és így védekezzen ellene.
Egy etikus hacker mesél arról, hogyan néznek ki a valódi támadások, mire jó a penetrációs teszt, és hogyan manipulálnak az interneten. Egy jól előkészített kampányra a gyanakvó felhasználó is ráharap – a kiberbiztonság ezért nem csak az IT-részleg dolga.
Nem nézőként ültünk be: a színpadon és a tréningtermekben is dolgoztunk. Red Teaming és mobilbiztonság volt a téma – az összefoglalóban azt is leírtuk, mit mutattunk meg a résztvevőknek.
Mi az a penetrációs teszt, miben más, mint a sérülékenységvizsgálat, hogyan zajlik, mitől függ az ára, és mit ír elő a Kiberbiztonsági tv. Laikusnak és biztonsági vezetőnek egyaránt.
Biztonságos-e a céges chatbot? A prompt injection adatot szed ki belőle, és megváltoztatja a viselkedését – a támadónak rendszerint egyetlen jól megfogalmazott mondat elég ahhoz, hogy a modell szembemenjen a saját szabályaival. Megmutatjuk, mit vizsgál egy LLM-integráció penetrációs tesztje, és mit érdemes bevezetni, mielőtt a rendszer felhasználók elé kerül.
Adathalászat, fizikai bejutás, saját eszköz a belső hálózaton, végül Domain Admin jogosultság – és egyetlen riasztás sem. Így zajlott a vizsgálat.
Az audit nem azt méri, be lehet-e törni, hanem azt, bizonyítható-e a védelem. Összeszedtük, mit ír elő a Kiberbiztonsági tv., mit vizsgálhat az auditor, és milyen technikai bizonyítékot érdemes már előtte előkészíteni.
A kutatásunk azt mérte, mit vesz át egy nagy nyelvi modell a biztonsági elemzőtől. Két dolgot néztünk meg vele: Android-alkalmazások kódját és hálózati biztonsági naplókat. A munka gyorsabb lett, de a téves riasztásokat és a feldolgozás költségét bele kell számolni. A modell segít, az elemzőt nem váltja ki.
Az STU FEI hallgatóinak PHP-sérülékenységeket mutattam meg, és azt, hogyan előzhetők meg biztonságos kódolással. Valódi exploitokat elemeztünk, és élőben is bemutattunk néhány támadást, hogy a kockázat ne maradjon elvont fogalom. A biztonságos alkalmazás a kód írásakor dől el, nem az élesítés után.
A Buzzworld podcast adásában etikus hackelésről, CVE-kről és a banki rendszerek gyenge pontjairól beszélgettünk – jó adag humorral. Szó volt arról is, hogyan gondolkodik egy támadó, és miért kell a védelemnek a fenyegetésekkel együtt fejlődnie.
Mikor legális idegen rendszert tesztelni, mit fed le pontosan az engedély, és miért a felelős hibabejelentés az etikus hackelés alapja.
