A CIA triász — a kiberbiztonság három alappillére
Minden kiberbiztonsági intézkedés végső soron három dolgot véd: hogy az adatot csak az lássa, akinek szabad (Bizalmasság), hogy ne lehessen észrevétlenül megváltoztatni (Sértetlenség), és hogy elérhető legyen, amikor kell (Rendelkezésre állás). Ez a CIA triász — a tananyag vezérfonala. Ha ezt érted, minden további NIS2-elvárás a helyére kerül.
Mi az a CIA triász?
A CIA triász a kiberbiztonság három alapkérdése. A név félrevezető lehet: semmi köze az amerikai hírszerzéshez — a három angol szó kezdőbetűje adja (Confidentiality, Integrity, Availability). Magyarul: Bizalmasság, Sértetlenség, Rendelkezésre állás.
Miért fontos ez üzletileg? Mert egy adatszivárgás (Bizalmasság), egy meghamisított utalási adat (Sértetlenség) vagy egy zsarolóvírusZsarolóvírus (ransomware): kártékony program, amely titkosítja vagy elérhetetlenné teszi az adataidat, majd váltságdíjat követel a feloldásért. Elsősorban a Rendelkezésre állást támadja.-leállás (Rendelkezésre állás) mind valódi, forintban mérhető kárt okoz — és a NIS2 mindhárom ellen véd.
A három pillér — kattints rá
Kattints a háromszög egy sarkára vagy egy kártyára, és nézd meg, mit jelent a gyakorlatban, mi töri meg, és melyik konkrét intézkedés védi.
Miért épp ez a NIS2 alapja?
A NIS2-irányelvet Magyarországon a 2024. évi LXIX. törvény (Magyarország kiberbiztonságáról) ülteti át, amely 2025. január 1-jétől hatályos. A törvény nem konkrét termékeket ír elő, hanem kockázatarányos biztonsági intézkedéseket — és ezek végső soron mind a CIA triász egy-egy lábát erősítik.
Mi ez?
A NIS2 kockázatkezelési intézkedés-csomagot vár el: hozzáférés-kezelés, titkosítás, mentés, incidenskezelés, ellátásilánc-biztonság. Mindegyik a Bizalmasság, a Sértetlenség vagy a Rendelkezésre állás védelmét szolgálja.
Kinek kötelező?
Jellemzően azoknak az érintett ágazatban működő szervezeteknek, amelyek elérik a középvállalkozói méretet (általában legalább 50 fő és 10 millió eurónak megfelelő árbevétel/mérlegfőösszeg felett). A pontos érintettséget a szektori besorolás dönti el — ez egy egyszerű kérdés mentén tisztázható.
Hogyan segít a triász?
Ha minden intézkedésnél felteszed a kérdést „melyik pillért erősíti?", azonnal látod a réseket: hol véded túl a Bizalmasságot, és hol felejtetted el a Rendelkezésre állást (pl. nincs tesztelt mentésed).
Mi felkészítünk, nem mi auditálunk. Ez az oldal általános tájékoztatás, nem jogi tanácsadás és nem hatósági állásfoglalás. A kötelező, független megfelelőségi auditot a Szabályozott Tevékenységek Felügyeleti Hatósága (SZTFH) által nyilvántartásba vett auditor végzi, külön díjért — ezt nem helyettesítjük. A jogszabályi adatok a tájékoztatás időpontjában (2026. június) hatályos állapotot tükrözik.
Hogyan használd döntési keretként?
A triász nem elmélet — egy gyakorlati szűrő, amellyel bármilyen biztonsági döntést mérlegelhetsz. Négy lépésben:
Nevezd meg, mit védesz
Egy adat, rendszer vagy folyamat. Pl. „az ügyfél-adatbázis" vagy „a webáruház rendelési felülete".
Kérdezd meg mind a három pillérre
Ki láthatja? (C) — Biztos, hogy nem változott meg? (I) — Elérhető, amikor kell? (A). Ahol bizonytalan a válasz, ott van a kockázat.
Rendeld hozzá az intézkedést
Minden javasolt kontrollnál nézd meg, melyik pillért erősíti. Így nem költesz feleslegesen oda, ahol már erős vagy.
Súlyozz a működésed szerint
Egy webáruháznak a Rendelkezésre állás létkérdés; egy ügyvédi irodának a Bizalmasság. Nincs egyforma recept — a triász segít priorizálni.
Ha mélyebbre ásnál
Az alábbiak az IT-felelősnek szólnak — a laikus olvasó nyugodtan átugorhatja, a triász megértéséhez nem szükséges.
Hitelesség és letagadhatatlanság — a „negyedik elem" mítosza
A DAD-triász — a támadó tükörképe
A pillérek néha feszülnek egymásnak (trade-off)
kockázatarányosság épp ezt a
mérlegelést jelenti: nem maximalizálni mindent, hanem a működésedhez illő egyensúlyt megtalálni.
Gyors önellenőrzés
Három kérdés, egy-egy pillérre. Nincs adatküldés, nincs regisztráció — a válaszaid csak a böngésződben maradnak. Nézd meg, melyik lábad a leggyengébb.
Hol állsz a három pilléren?
Válaszolj őszintén — a cél nem a jó pontszám, hanem a rések feltárása.
C — Pontosan tudod, ki fér hozzá a legérzékenyebb adataitokhoz (pl. ügyfél- és béradatok), és van rajtuk MFA?
I — Észrevennétek, ha valaki jogosulatlanul megváltoztatna egy fontos adatot (van naplózás, verziókövetés)?
A — Van rendszeres, tesztelt mentésetek, amiből egy zsarolóvírus után is helyre tudnátok állni?
Gyakori tévhitek
„Van titkosításunk, tehát biztonságban vagyunk."
A titkosítás főleg a Bizalmasságot védi — a Rendelkezésre állást nem. Egy zsarolóvírus maga is titkosít: ott épp ellened dolgozik. Mind a három pillért külön kell biztosítani.
„A kiberbiztonság IT-ügy, az informatikus dolga."
A NIS2 szerint a kiberbiztonsági kockázatkezelés a vezetés felelőssége — átruházhatatlanul. A triász épp azért hasznos, mert üzleti nyelven is elmondható, nem kell hozzá mély technikai tudás.
„Minket úgysem támadnak meg, kicsik vagyunk."
A támadások többsége automatizált és válogatás nélküli — nem a cég méretét, hanem a rést keresi. A kis cég sokszor épp azért célpont, mert kevésbé védett, és gyakran egy nagyobb partner felé vezető kapu.
GYIK a CIA triászról
Megvan a keret — hol állsz valójában?
A három pillér közül a technikai réseket (titkosítás, biztonsági fejlécek, elérhetőség) egy ingyenes szivárgás-audit pár perc alatt megmutatja — konkrétan, a saját domained alapján. A szervezeti kontrollokat magadnak kell bevezetned, de a kiindulóponthoz nem kell vakon tippelned.