Что изменилось

…………………………………………………………………………………………………………………

48. A NISZ Zrt. a KRÉTA rendszer vonatkozásában kizárólag bizonyos infrastruktúra (IaaS) és tűzfal szolgáltatásokat biztosít a Klebelsberg Központ, mint megrendelő számára, a KRÉTA alatt futó operációs rendszerek, illetve a KRÉTA alkalmazás üzemeltetése kívül esik ezen szolgáltatási körön. A tűzfalon a KRÉTA rendszerre vonatkozóan a NISZ Zrt. kizárólag az Ügyfél kérése alapján végez beállításokat, tekintettel arra, hogy az ún. OSI-modell szerinti szállítási rétegig (layer 4 szintig) nyújt szolgáltatást. Ennek keretében a NISZ Zrt. tevékenysége a következőkre terjed ki: IP-cím és port engedélyezése vagy tiltása a forrás és a cél között. 49. A fentiek alapján a NISZ Zrt.-nek sem az alkalmazáshoz vagy adatokhoz való hozzáférésekről, sem azok jogos vagy illetéktelen voltáról nem áll módjában nyilatkozni, mert ezek a tevékenységek alkalmazásszinten (alkalmazás rétegben, layer 7 szinten) történnek. A NISZ Zrt. a nyújtott szolgáltatások körében a hálózati (layer 3-4) szint fölötti eseményeket nem figyeli és nem naplózza. 50. A NISZ Zrt.-t nem kereste meg az eKRÉTA Zrt. a náluk bekövetkezett adatvédelmi incidenssel összefüggésben, erről a NISZ Zrt. a sajtóból értesült. A Klebersberg Központ 2022.09.22-én 14:43-kor feladott e-mailben kérte a NISZ Ügyfélszolgálaton a „KRÉTA rendszer külföldi elérésének ideiglenes blokkolását”. E kérés indoklása a következő volt: "Az elmúlt napokban sajnálatos módon megnövekedett a KRÉTA rendszer elleni támadások száma. A támadások különféle módszerekkel történnek, de közös jellemzőjük, hogy a próbálkozások szinte kizárólag külföldi IP címekről történnek." 51. Kiegészítésként a NISZ Zrt. az alábbi kérést kapta 2022. szeptember 26. napján az Ügyféltől: „Kérem vizsgálják felül az eszközölt beállításokat, ugyanis 2022-09-24 10:21:25.727-kor például a […] IP címről még történt sikeres próbálkozás!” 52. A NISZ Zrt.-nek nincs tudomása arról, hogy az éles rendszert érintő, fenti tűzfalbeállítási kérések a sajtóban megjelent adatvédelmi incidenssel összefüggésben állnak-e. 53. A NISZ Zrt. érintett határvédelmi rendszere (tűzfal) felhasználói azonosítást (autentikáció) és hitelesítést (authorizáció) nem végez, így a hozzáférések illetéktelenséget nem tudja vizsgálni. A NISZ Zrt. az illetéktelen hozzáféréssel kapcsolatban vizsgálatot saját hatáskörben nem folytatott. 54. A NISZ Zrt. a KRÉTA rendszerrel kapcsolatos üzemeltetési szolgáltatásainak szintje (IaaS) miatt nem illetékes azon kérdés megválaszolásában, miszerint kizárható-e teljes mértékben, hogy az éles KRÉTA rendszerhez a támadó(k) hozzáférést szereztek, onnan adatokat mentettek le.

55. Az Ügyfél a Hatósághoz 2023. március 8. napján érkezett levelében az alábbi tájékoztatást adta. 56. Az Ügyfél egy […] VPN kapcsolaton keresztül férhet hozzá a NISZ Zrt.-nél levő éles KRÉTA rendszerhez a felépülő VPN tunnel-ben (ami egy titkosított kapcsolat az eszköz és a VPN kiszolgáló között). Ez titkosítási kulcs nélkül feltörhetetlen, így sem a támadók, sem internetszolgáltató (ISP) nem férhet hozzá az adatokhoz. A VPN tunnel gyakorlatilag egy privát útvonalat jelent az internethez közvetítő szerveken keresztül, nincs protokoll vagy port szintű korlátozás. A fogadó oldalon a VPN kapcsolat felépítése kizárólag titkosított SSL csatornán történik. A VPN egy szabványos […] VPN. Az Ügyfél forráscíme: […]. Az éles KRÉTA rendszer cél IP címei: […] és […]. 57. Az Ügyfél fejlesztői környezetéhez használt VPN rendszerben is letiltásra kerültek a külföldi IP címtartományok 2022. november 9-ei dátummal. 58. A rendelkezésre álló naplóállományokból csak azt tudják megállapítani, hogy az érintett felhasználó azonosítójával és jelszavával, kizárólag az Ügyfél szokásosan használt rendszerein keresztül léptek be az éles KRÉTA rendszerhez, utólag nem lehet megállapítani, hogy volt-e ezek között illetéktelen bejelentkezés. 59. Felhasználói szintű hozzáféréssel az Ügyfél nem rendelkezik a KRÉTA rendszerhez, de a KRÉTA rendszer mögött futó adatbázisokhoz, logolási rendszerekhez, alkalmazás szerverekhez az Ügyfél VPN kapcsolaton keresztül az együttműködési megállapodásban részletezett feladatok ellátása érdekében - kizárólag nevesített felhasználókkal, szükséges és elégséges jogosultságokkal hozzáfér. Ezáltal az Ügyfél a KRÉTA rendszerben tárolt jelszavakon kívül minden, a KRÉTA rendszerben tárolt adathoz hozzáfér, melyek:

 74. Az Ügyfél 2023. október 30. napján küldött válasza értelmében az általa folytatott naplózással kapcsolatban előadta, hogy a KRÉTA rendszerben nem szerepkörök szerinti, hanem alkalmazás szintű logolás történik. Az egyes naplóbejegyzések az alábbi események esetén rögzítik a következő adatokat: 1) rekord (vagyis adott eseményhez tartozó naplóbejegyzés) létrehozása (ki és mikor hozta létre az adott rekordot), 2) rekord módosítása (ki és mikor módosította a rekordot, az eredeti és a módosított érték is tárolásra kerül), 3) rekord törlése (ki és mikor törölte a rekordot). 75. Az Ügyfél alkalmazottjai a következő hozzáféréssel rendelkeznek a naplóbejegyzésekhez: 1) üzemeltetés / ITB felelős (hozzáférés szintje: teljes), 2) terméktámogatás (hozzáférés szintje: olvasási jog), 3) fejlesztők (hozzáférés szintje: olvasási jog), 4) fejlesztők CI/CD2 eszközök használatakor (telepítés) (hozzáférés szintje: teljes, telepítés/módosítás során). 76. A Hatóság kérdésére az Ügyfél szintén tájékoztatta a Hatóságot azokról az intézkedésekről, amelyeket az incidens következtében foganatosított. Ezek az alábbiak voltak:

szállítást (Continuous Delivery: CD) egyesíti. A folyamatos integráció olyan fejlesztési gyakorlat, amelyben a fejlesztők a kódot naponta többször egy közös felületen integrálják, egyeztetik, így a kisebb változtatások is gyorsan elérhetővé válnak a csapat többi tagja számára. Az integrálást követően minden új kódrészlet ellenőrzésre kerül, amely lehetővé teszi a fejlesztők számára, hogy korán felismerjék a problémákat és még az elején javítsák azokat, így időt nyerve és minimalizálva a javítandó kódok mennyiségét. A folyamatos szállítás célja, hogy minél előbb visszajelzés érkezzen a munkáról, hogy azt minél jobban a megrendelő igényeihez lehessen igazítani.

## II. Alkalmazott jogszabályi rendelkezések

16. napja, 2023. február 16. és 2023. március 3. napja, valamint 2023. március 17. és 2023. május 16. napja. 91. Az Ákr. 103. § (4) bekezdése szerint, ha a hatóság a hivatalbóli eljárásban az ügyintézési határidő kétszeresét túllépi, a jogsértés tényének megállapításán és a jogellenes magatartás megszüntetésére vagy a jogszerű állapot helyreállítására kötelezésen túl egyéb jogkövetkezményt nem alkalmazhat. Ez esetben ugyanazon ügyféllel szemben, ugyanazon ténybeli és jogi alapon nem indítható új eljárás. 92. Az Infotv. 61. § (1) bekezdés a) pontja alapján a Hatóság a 2. § (2) és (4) bekezdésében meghatározott adatkezelési műveletekkel összefüggésben az általános adatvédelmi rendeletben meghatározott jogkövetkezményeket alkalmazhatja. 93. Az általános adatvédelmi rendelet 58. cikk (2) bekezdés b) és i) pontja alapján, a felügyeleti hatóság korrekciós hatáskörében eljárva elmarasztalja az adatkezelőt vagy adatfeldolgozót, ha adatkezelési tevékenysége megsértette a rendelet rendelkezéseit, illetve a 83. cikknek megfelelően közigazgatási bírságot szab ki, az adott eset körülményeitől függően az e bekezdésben említett intézkedéseken túlmenően vagy azok helyett. Ugyanezen cikk (2) bekezdés d) pontja alapján, a felügyeleti hatóság korrekciós hatáskörében eljárva utasítja az adatkezelőt vagy az adatfeldolgozót, hogy adatkezelési műveleteit – adott esetben meghatározott módon és meghatározott időn belül – hozza összhangba a rendelet rendelkezéseivel. 94. A közigazgatási bírság kiszabására vonatkozó feltételeket az általános adatvédelmi rendelet 83. cikke tartalmazza. Az általános adatvédelmi rendelet 32-33. cikkének megsértése esetén a kiszabható bírság felső határa az általános adatvédelmi rendelet 83. cikk (4) bekezdés a) pontja alapján a 10 000 000 eurónak (EUR), illetve a vállalkozások esetében az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 2 %-át kitevő összeg. 95. A határozatra egyebekben az Ákr. 80. és 81. §-át kell alkalmazni.

96. A Hatóság az eljárás során kiemelten vizsgálta, hogy a Kötelezett mennyiben tett eleget az incidens bekövetkezésével közvetlenül összefüggő adatbiztonsági követelményeknek a saját fejlesztői környezete, rendszere, és a KRÉTA rendszer éles és teszt adatbázisainak onnan való elérése tekintetében. Az nem képezte az eljárás tárgyát, hogy az éles, publikus KRÉTA rendszerhez a diákok, szülők, tanárok által történő hozzáférés során milyen adatbiztonsági beállítások kerülnek alkalmazásra. 97. Az általános adatvédelmi rendelet 32. cikk (1) bekezdésében foglaltak alapján az adatkezelőnek a kockázat mértékének megfelelő szintű adatbiztonság garantálása érdekében a tudomány és technológia állásának megfelelő technikai és szervezési intézkedéseket kell végrehajtania, ide értve a rendelet a 32. cikk (1) bekezdés b) pontja alapján a személyes adatok kezelésére használt rendszerek és szolgáltatások folyamatos bizalmas jellegének biztosítását, integritását, rendelkezésre állását és ellenálló képességét. 98. Az általános adatvédelmi rendelet 32. cikk (2) bekezdése értelmében a biztonság megfelelő szintjének meghatározásakor kifejezetten figyelembe kell venni az adatkezelésből eredő olyan kockázatokat, amelyek különösen a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisítéséből, elvesztéséből, megváltoztatásából, jogosulatlan nyilvánosságra hozatalából vagy az azokhoz való jogosulatlan hozzáférésből erednek. 99. Az általános adatvédelmi rendelet 28. cikk (1) és (3) bekezdése értelmében, ha az adatkezelést az adatkezelő nevében más végzi, az adatkezelő kizárólag olyan adatfeldolgozókat vehet igénybe, akik vagy amelyek megfelelő garanciákat nyújtanak az adatkezelés e rendelet követelményeinek való megfelelését és az érintettek jogainak védelmét biztosító, megfelelő technikai és szervezési intézkedések végrehajtására. Az adatfeldolgozó által végzett adatkezelést az uniós jog vagy tagállami jog alapján létrejött olyan – az adatkezelés tárgyát, időtartamát, jellegét és célját, a személyes adatok típusát, az érintettek kategóriáit, valamint az adatkezelő kötelezettségeit és jogait meghatározó –szerződésnek vagy más jogi aktusnak kell szabályoznia, amely köti az adatfeldolgozót az adatkezelővel szemben. A szerződés vagy más jogi aktus különösen előírja, hogy az adatfeldolgozó: […] c) meghozza a 32. cikkben előírt intézkedéseket; […]. 100. Mint a fenti bekezdésben látható, az általános adatvédelmi rendelet az adatbiztonsági követelményeknek való megfelelés vonatkozásában nem tesz különbséget adatkezelő és adatfeldolgozó között, a hivatkozott rendelkezések ugyanúgy vonatkoznak az adatfeldolgozókra is, mint az adatkezelőkre. 101. Kulcsfontosságú a Kötelezett által alkalmazott adatbiztonsági beállítások, és a Kötelezett incidenskezelési intézkedéseinek a Hatóság általi értékelése során, hogy a KRÉTA rendszer éles és teszt adatbázisai, melyekhez az érintett felhasználónak is volt hozzáférése, az összes tanuló, pedagógus, gondviselő személyes adatait tartalmazzák (ld. 59-60. bekezdésekben szereplő táblázatok), ezek között ráadásul van számos olyan, melyek nyilvánosságra kerülése az érintettet különösen hátrányosan érintheti, pl. küzd-e a tanuló beilleszkedési, tanulási, magatartási, nevelési nehézséggel; sajátos nevelési igényű-e; államilag gondozott-e; részesül-e szociális támogatásban vagy rendszeres gyermekvédelmi kedvezményben. Bár nem kötelező elem, de akár a tanuló vallása is megjelenhet a KRÉTA rendszerben. A KRÉTA rendszerben ráadásul a személyes adatok nagyszámú érintettre kiterjedően és nagy mennyiségben kerülnek tárolásra: kb. 225 ezer alkalmazott, másfélmillió diák és 1.87 millió gondviselő személyes adata található meg a rendszerben. Ez a személyes adatok mennyiségét illetően összesen az alkalmazottak esetében ~6.5 millió, diákok esetében ~47 millió, gondviselők esetében pedig ~7.5 millió személyes adatot jelent. Éppen ezért hatalmas jelentőséggel bír, hogy a Kötelezett munkatársai, mint fejlesztők, hogyan férnek hozzá a fejlesztői környezethez és az éles- és tesztrendszer adatbázisaihoz, hiszen ők szolgáltatás szinten is elérik azokat. 102. Az érintett felhasználó a feltárt tényállás alapján support tevékenységet is ellátott, ebből következően minden olyan jogosultsággal rendelkezett, amely szükséges ahhoz, hogy az éles és teszt KRÉTA rendszerekhez, ill. azok adatbázisaihoz hozzáférjen. A Kötelezett úgy tájékoztatta a Hatóságot, hogy az érintett felhasználó a levelezéshez, belső kommunikációt támogató chatrendszerhez, a rendszer forráskódjait tároló külön rendszerhez, support rendszerhez fért hozzá állandó jelleggel, illetve a support feladatai ellátása kapcsán időlegesen hozzáfért az éles KRÉTA rendszerben személyes adatokhoz. 103. A Kötelezett az eljárás során szintén nyilatkozta, miszerint sokszor előfordul, hogy éles adatokkal dolgozik, az érintett felhasználó gépén is számos éles rekord volt megtalálható, amit support tevékenysége során az éles rendszerből töltött le. A KRÉTA rendszerből korábban tesztelés céljából lementett, az érintett felhasználó gépén a támadás időpontjában éppen elérhető személyes adatok számáról és mennyiségéről a Kötelezett azt nyilatkozta, hogy 12 darab szakképzési centrumhoz kapcsolódóan szerepelnek személyes adatok, összesen – a Kötelezett által a Hatóság részére megküldött excel táblázatban szereplő adatok szerint – 8574 tanuló ~290.000 adata, 11.082 gondviselő ~44.000 adata, valamint 1205 alkalmazott ~35.000 adata. 104. Mivel a Kötelezett a helyszíni szemle alkalmával az érintett felhasználó felhasználói azonosítójával, az érintett időszakból (2022. szeptember 14. - 2022. november 8.) történt hozzáférések naplófájljait átadta a Hatóság részére, és ezekben az éles KRÉTA rendszer cél IP címei megtalálhatóak voltak, egyértelműen megállapítható, hogy az érintett felhasználó hozzáférhetett, és hozzá is fért az éles KRÉTA szerverekhez. Ehhez egyébként jogosultsága is volt, mivel – mint azt válaszában szintén kifejtette a Kötelezett - felhasználói szintű hozzáféréssel ugyan nem rendelkezik a Kötelezett a KRÉTA rendszerhez, de a KRÉTA rendszer mögött futó adatbázisokhoz, logolási rendszerekhez, alkalmazás szerverekhez VPN kapcsolaton keresztül az együttműködési megállapodásban részletezett feladatok ellátása érdekében kizárólag nevesített felhasználókkal, szükséges és elégséges jogosultságokkal - hozzáfér. A Kötelezett által megküldött, az érintett felhasználó jogosultságait tartalmazó excel táblázatok megerősítik, hogy a KRÉTA szerverekhez szerkesztési joggal hozzáfért az érintett felhasználó, ill. eKRÉTA – Database csoporttag volt, valamint […] szerver hozzáféréssel is rendelkezett, a Database Team tagjaként. 105. Ahogy a Kötelezett megbizonyosodott a támadásról 2022 szeptemberében, azonnal lecserélte az érintett felhasználó gépét, és inaktiválta mind az eredeti felhasználói fiókját, mind pedig a különféle jogosultságait, majd részére új felhasználói fiókot hozott létre. Ugyanakkor az érintett felhasználó mind a régi, mind az új felhasználójához tartozó belépési adatokat (felhasználói neveket és jelszavakat) a Google Ireland Ltd. (továbbiakban: Google) egyik szolgáltatásaként nyújtott jelszókezelőbe szinkronizálta, kivéve - nyilatkozata szerint – a NISZ-es hozzáféréshez szükséges belépési adatait. A Google jelszókezelő szolgáltatása úgy működik, hogy a használója a saját Google fiókjába mentheti a más weboldalakon elérhető alkalmazások, rendszerek eléréséhez szükséges felhasználói neveket és jelszavakat. Ha a jelszavait ilyen módon tároló felhasználó Google fiókjához illetéktelenek férnek hozzá, akkor az ott tárolt valamennyi felhasználói nevet és jelszót képesek megismerni. A jelszókezelő által biztosított szinkronizálás révén, ha valamely más weboldalhoz, rendszerhez a felhasználó a már mentetthez képest eltérő, új jelszót ad meg, akkor a Google jelszókezelője ezt képes eltárolni, vagyis a régi jelszót felülírni az újjal. A támadók az érintett felhasználó Google fiókját érhették el továbbra is, egy nyitva maradt munkamenet3 (ún. session) révén, és így szerezték meg a Kötelezett valamennyi olyan rendszeréhez tartozó jelszavakat, amelyeket ugyancsak a jelszókezelőben tárolt. A Google jelszókezelőjének alkalmazása ilyenformán a KRÉTA rendszerben tárolt adatok biztonságára nézve egy kezeletlen kockázatot jelentett. A támadók az érintett felhasználó Google fiókjába már azt megelőzően beléphettek, hogy a KRÉTA rendszerhez új felhasználói fiókot és jelszót kapott, és ott ezután is bent maradhattak, köszönhetően annak, hogy a Google szervere és a támadók számítógépe között folyamatosan nyitott volt a kapcsolat (munkamenet). Ebből következően önmagában a KRÉTA rendszerhez új felhasználói fiók létrehozása ez esetben nem lehetett elégséges lépés, mivel annak jelszavát az érintett felhasználó általi első sikeres belépést követően a Google jelszókezelője szinkronizálta. A Hatóság álláspontja szerint egy ilyen jellegű tevékenységet ellátó munkatárs esetén mind a jelszavak Google szinkronizációja, mind az a tény, hogy a session nem kerül automatikusan kiléptetésre, súlyos adatbiztonsági hibának minősül, ezek elfogadhatatlan mértékben növelték a rendszer kitettségét, hiszen léteznek olyan, csak az adott számítógépre telepített jelszókezelő szoftverek, amelyekben – mint egy széfben biztonságosan tárolhatóak a felhasználók jelszavai. Az ezekben a szoftverekben tárolt jelszavak általában csak a felhasználó kétfaktoros azonosítása, vagy rendkívül erős (azaz kellően hosszú,

számok, kis- és nagy betűk, illetve különleges karakterek belefoglalását kikényszerítő) jelszó megadása mellett érhetőek el. 106. A támadó tehát - a Kötelezett által is elismert módon - hozzáfért az érintett felhasználó jogosultságaihoz, ebből következően megállapítható, hogy a támadó hozzáférhetett az éles KRÉTA rendszerben tárolt adatokhoz is. Az a körülmény, hogy a támadó konkrétan meg is ismerte-e az éles KRÉTA rendszerben tárolt személyes adatokat, nem volt az eljárás során bizonyítható, tekintettel arra, hogy a támadó, amennyiben belépett az éles KRÉTA rendszerbe, azt érvényes jogosultságokkal, az érintett felhasználó jogosultságaival tette, így pusztán a naplófájlok böngészése alapján nem választhatóak el a támadó lépései az érintett felhasználó lépéseitől. Az mindenesetre tényként kezelhető, hogy a támadónak megvolt a lehetősége az éles KRÉTA rendszerben tárolt adatokhoz való hozzáférésre. Ezen hozzáférés lehetőségét a Kötelezett sem zárta ki válaszaiban. Itt érdemel említést az a Kötelezett által említett információ (ld. 46. bekezdés), miszerint egy külső állami tulajdonú vállalkozó 2023 december végéig vizsgálatot folytat a Kötelezett részére, melynek keretében a KRÉTA rendszer felhasználóira vonatkozó adatok felderítését célzó keresést folytat az ún. dark weben. A Hatóság ezzel kapcsolatban hangsúlyozza, hogy amennyiben ezen keresés azon eredményre jutna is, hogy a dark weben nem találhatóak meg a KRÉTA rendszer felhasználóinak személyes adatai, az sem lenne bizonyító erejű arra nézve, hogy a támadók nem mentettek ki személyes adatokat a KRÉTA rendszerből, hiszen nem törvényszerű, hogy a támadók a támadás során esetlegesen megszerzett információkat közzé is teszik később. 107. A tényállás meghatározó eleme, hogy az éles KRÉTA rendszer eléréséhez a kétfaktoros autentikáció beállítására a jelen határozat 32. bekezdésében említettek szerint a Kötelezett csak 2022. november 10. napján kerített sor. A kétfaktoros hitelesítés (2FA) egy identitás- és hozzáférés-kezelési biztonsági módszer, amely kétféle azonosítást igényel az erőforrások és az adatok eléréséhez. A kétfaktoros hitelesítés lehetővé teszi a vállalkozások számára a legsérülékenyebb információk és hálózatok figyelését és védelmének biztosítását. A kétfaktoros autentikálás hiánya miatt a felhasználói név és jelszó párosának jogosulatlan személy általi megismerése esetén az ilyen jogosulatlan személyek is sikeresen beléphetnek az egyes rendszerekbe. Épp ezért számít általánosan elterjedt jó gyakorlatnak a jelszón, mint „faktoron” kívül egy második faktor – például egyszer használatos kódszó SMS-ben történő kiküldése, vagy hardveres azonosító (ún. token) – alkalmazása is. Míg egy jelszó kellő számú próbálkozással „kitalálható”, azaz visszafejthető, addig egy rövid lejárati idővel használható kódszó, illetve csakis a jogosult személy által birtokolt hardveres token nem. 108. A kockázat mértékének megfelelő szintű adatbiztonság garantálására vonatkozó kötelezettség miatt az adatbiztonság követelményének fokozottan érvényesülnie kell egy olyan rendszer esetén, amilyen a Kötelezett fejlesztői környezete, hiszen – bár abban is tárolásra kerülnek az éles KRÉTA rendszerből származó személyes adatok a support tevékenység ellátása kapcsán, nem is kis számban – onnan a feladatellátás miatt könnyedén elérhető az éles KRÉTA rendszer adatbázisa, amelyben a fentebb részletezettek szerint nagyszámú érintettre kiterjedően és nagy mennyiségben kerülnek tárolásra személyes adatok. 109. A tény, hogy az ügy tárgyát képező incidens bekövetkezett, és annak súlyosságáról a Kötelezett nem is maga szerzett tudomást, hanem csak a támadó üzenete által, több, mint másfél hónappal a biztonság sérülését követően, lényeges bizonyítéka annak, hogy a Kötelezettnél az általános adatvédelmi rendelet adatbiztonsági előírásai nem teljesültek megfelelően. 110. A 2022 szeptemberben közepén észlelt adathalász támadás kivizsgálása során a Hatóság álláspontja szerint a Kötelezett - közvetlenül a támadás 2022 szeptemberi észlelését követően nem folytatott az érintett munkavállalóhoz kapcsolódó információbiztonsági kockázatok teljeskörű felmérése érdekében kellő mélységű vizsgálatot, válaszintézkedései szinte kimerültek abban, hogy az adott felhasználói fiókot törölte, és az érintett felhasználó jogosultságait felfüggesztette. Amennyiben erre a vizsgálatra – különösen az éles KRÉTA rendszerben tárolt személyes adatok mennyiségét és érzékenységét is figyelembe véve – a kellő gondosság mellett sor került volna, úgy a Kötelezettnek az információbiztonsági jó gyakorlatokat követve legalább az érintett felhasználóhoz kapcsolódó hálózati forgalmat figyelnie kellett volna huzamosabb ideig, és az adott felhasználó bevonásával kellett volna vizsgálnia azt is, hogy mely forgalom köthető az ő tevékenységéhez és melyik ismeretlen – így vélelmezhetően illetéktelen – felhasználókhoz. Erre már csak azért is szükség lett volna, mivel a Kötelezettnek nem volt kellő információja arról, hogy sor került-e jogosulatlan hozzáférésre, így az esemény okainak és potenciális következményeinek a teljes körű kivizsgálása elvárható lett volna a részéről. Ha erre sor került volna, akkor a Kötelezett vélhetően időben észlelte volna, hogy illetéktelenek tartózkodnak a rendszereiben, úgyszintén azt is, hogy pontosan mihez fértek hozzá, és így jó eséllyel elkerülhették volna a helyzet további súlyosbodását.

Dr. habil. Péterfalvi Attila elnök c. egyetemi tanár