KIBERBIZTONSÁGI VEZETŐI TESZT - KiberHigiénia Egyesület

A képzés lezárásaként a záróteszt kitöltése szükséges.

A sikeres teljesítéshez minimum 70%-os eredmény szükséges.
A tesztben fel kell tüntetned a videóban elrejtett kódot – enélkül a teszt nem érvényes.
Sikeres teljesítés esetén a szerződés szerint kiállítjuk és megküldjük a tanúsítványodat.

Név

Szervezet neve

A teszt érvényességéhez szükséges videóban elrejtett kód 1

A teszt érvényességéhez szükséges videóban elrejtett kód 2

A teszt érvényességéhez szükséges videóban elrejtett kód 3

A teszt érvényességéhez szükséges videóban elrejtett kód 4

A teszt érvényességéhez szükséges videóban elrejtett kód 5

1. (A leggyengébb láncszem) Mit jelent a támadók „low effort – high impact” logikája?

A) Egy nagyon jól kiválasztott, kritikus pozícióban lévő egyetlen célpontot támadnak meg alapos előkészítéssel.

B) Minimális befektetéssel próbálnak sok emberre egyszerre hatni, mert nem kell mindenkit átverni, elég néhányat.

C) Kizárólag technikai sérülékenységeket használnak ki, mert az emberi tényező kiszámíthatatlan.

D) A támadás sikerességét kizárólag a célpont beosztása határozza meg.

2. (A leggyengébb láncszem) Miért nem elsősorban technikai kérdés a legtöbb sikeres támadás kiindulópontja?

A) Mert a szervezetek soha nem alkalmaznak technikai védelmi eszközöket.

B) Mert a támadó nem a rendszert töri fel elsőként, hanem egy emberi döntést befolyásol, és csak ez után kezdődik a technikai lépés.

C) Mert a technikai támadások mindig drágábbak, mint a social engineering, ezért ritkán fordulnak elő.

D) Mert a jogszabályok tiltják a technikai jellegű támadások vizsgálatát.

3. (Fizikai védelem) Egy kórházi adminisztrátor képernyőjén egy másik beteg lelet összefoglalója látható, miközben egy beteg bekopog a szobába és rálát. Ez alapvetően minek minősül?

A) Kizárólag kínos, de biztonsági szempontból jelentéktelen helyzetnek.

B) GDPR-incidensnek, mert személyes, sőt különleges kategóriájú adat kerül illetéktelen személy látóterébe.

C) Kizárólag informatikai üzemzavarnak.

D) Olyan eseménynek, amely csak akkor incidens, ha a beteg le is fotózza a képernyőt.

4. (Fizikai védelem) Mi a „tiszta asztal elve” lényege?

A) Csak a munkaidő végén kell az asztalt rendben hagyni, napközbeni rövid távollét esetén nem szükséges.

B) Kizárólag a takarítószemélyzet miatt fontos szabály, biztonsági jelentősége nincs.

C) Munkavégzés befejezésekor és rövidebb távollét esetén sem maradhat elöl érzékeny információ.

D) Az asztalon lévő dokumentumokat elegendő lefordítva hagyni, hogy ne legyenek olvashatók.

5. (Home office) Miért kockázatosabb az otthoni hálózat, mint a vállalati hálózat, még akkor is, ha nincs rajta rosszindulatú tevékenység?

A) Mert az otthoni hálózaton jellemzően nincs internetkapcsolat.

B) Mert az otthoni router jelszavát és firmware-ét jellemzően senki nem kezeli, és a hálózatot számos, eltérő biztonsági szintű eszköz osztja meg.

C) Mert az otthoni hálózatokon törvény tiltja a VPN használatát.

D) Mert az otthoni router sebessége mindig alacsonyabb, ami önmagában biztonsági kockázat.

6. (Home office) Nyilvános WiFi-n történő munkavégzés esetén mi az elsődleges védekezés a Man-in-the-Middle (MitM) típusú támadással szemben?

A) A router alapértelmezett jelszavának lecserélése.

B) VPN használata, amely titkosított csatornát hoz létre az eszköz és a szervezet rendszere között.

C) A böngésző előzményeinek rendszeres törlése.

D) A hálózat nevének kétszeri ellenőrzése a csatlakozás után.

7. (Jelszavak) A mai szakmai iránymutatások szerint mi teszi valójában erőssé a jelszót?

A) Az, hogy tartalmaz nagybetűt, számot és speciális karaktert.

B) Az, hogy havonta kötelezően cserélik.

C) Az, hogy egyedi, azaz sehol máshol nem használt jelszó.

D) Az, hogy a felhasználó személyes adatára (pl. születési dátumára) épül, mert így könnyen megjegyezhető.

8. (Jelszavak) Mi a kétfaktoros azonosítás (2FA) legfontosabb védelmi funkciója?

A) Lehetővé teszi, hogy a felhasználó egyetlen, könnyen megjegyezhető mesterjelszóval lépjen be minden rendszerbe.

B) Megakadályozza a belépést akkor is, ha a támadó már megszerezte a jelszót, mert a hozzáféréshez egy második, külön birtokolt elem is szükséges.

C) Kiváltja a jelszó használatának szükségességét, mert önmagában is elegendő védelmet nyújt.

D) Kizárólag banki alkalmazásoknál értelmezhető és kötelező, más rendszereknél nem alkalmazható.

9. (Jelszavak) Ha egy szervezet Információbiztonsági szabályzata rendszeres, időszakos jelszócserét ír elő annak ellenére, hogy a legújabb ajánlások ettől eltérnek, mi a helyes munkavállalói magatartás?

A) Az ajánlása minden esetben felülírja a belső szabályzatot, ezért a jelszócsere mellőzhető.

B) A szervezeti előírást be kell tartani, mert a szervezeti kötelezettség betartása nem az egyéni szakmai megítélésen múlik.

C) A kérdés eldöntése kizárólag az adott munkavállaló egyéni belátásán múlik.

D) A jelszócsere-kötelezettség kizárólag informatikai üzemzavar esetén értelmezhető, egyébként figyelmen kívül hagyható.

10. (Jelszavak) Miért jelent kockázatot, ha egy munkavállaló megosztja jelszavát egy kollégával, amíg szabadságon van?

A) Mert a szervezet rendszere ilyenkor automatikusan letiltja mindkét fiókot.

B) Mert incidens esetén a rendszer naplója a fiók tulajdonosát mutatja, és megszűnik az események azonosítható felhasználóhoz való visszavezethetősége.

C) Mert ez kizárólag etikai, nem biztonsági kérdés.

D) Mert a jelszó megosztása minden esetben automatikusan aktiválja a kétfaktoros azonosítást.

11. (Adatszivárgás ellenőrzése) Mit jelent önmagában, ha egy e-mail cím találatot ad a Have I Been Pwned ellenőrzés során?

A) Azt, hogy a fiók jelenleg biztosan feltört állapotban van.

B) Azt, hogy az e-mail cím szerepelt egy ismert adatszivárgásban, ami növeli a kompromittálódás valószínűségét, de nem jelenti automatikusan az aktuális feltörést.

C) Azt, hogy a felhasználónak azonnal törölnie kell az e-mail fiókját.

D) Azt, hogy a szolgáltatás hibásan működik, mert minden e-mail cím talál valamilyen egyezést.

12. (E-mail alapú támadások) Egy adathalász e-mail feladóneve „IT Helpdesk” formában jelenik meg. Mi az elsődleges ellenőrzési lépés?

A) A névmező elolvasása, mert az egyértelműen azonosítja a küldőt.

B) A teljes, tényleges e-mail-cím megnézése a névmező mögött, mert a feladó neve könnyen meghamisítható.

C) A csatolmány azonnali megnyitása annak eldöntésére, hogy hiteles-e az üzenet.

D) Az üzenet azonnali továbbküldése az összes kollégának figyelmeztetésül.

13. (E-mail alapú támadások) Mi a helyes eljárás, ha egy vezető nevében sürgős, bizalmas pénzügyi utalást kérő e-mail érkezik, amely arra kéri a címzettet, hogy erről senkinek ne szóljon?

A) Azonnal teljesíteni kell a kérést, mert a vezetői utasítás megkérdőjelezhetetlen.

B) Más csatornán (ismert telefonszám, személyes egyeztetés) vissza kell igazolni a kérést, mielőtt bármilyen intézkedés történne.

C) Válaszolni kell az e-mailre, és abban kell kérni a megerősítést.

D) A kérést figyelmen kívül kell hagyni, és nem kell jelezni senkinek.

14. (E-mail alapú támadások) Mi különbözteti meg a spear phishinget az általános adathalász e-mailektől?

A) Az, hogy kizárólag vezető beosztású személyeket céloz.

B) Az, hogy a támadó előzetes megfigyelés (pl. LinkedIn, sajtóközlemények) alapján személyre szabja az üzenetet a konkrét célpontra.

C) Az, hogy soha nem tartalmaz linket vagy csatolmányt.

D) Az, hogy kizárólag telefonon, nem e-mailben valósul meg.

15. (QR-kódok) Miért nehezebb felismerni egy QR-kód alapú támadást, mint egy hagyományos szöveges linket tartalmazó e-mailt?

A) Mert a QR-kódok soha nem vezetnek weboldalra, csak fájl letöltésre.

B) Mert a QR-kód beszkennelése és a cél megnyitása között nincs az a természetes megállási pont, amit egy látható link szövege ad.

C) Mert a QR-kódokat kizárólag okostelefonon lehet beolvasni, számítógépen soha.

D) Mert a QR-kódok törvényileg nem ellenőrizhetők.

16. (QR-kódok) Mi a quishing?

A) Olyan QR-kód alapú adathalászat, amely e-mailbe ágyazott kód formájában jelenik meg, kihasználva, hogy a szöveges linkszűrők a képeket nem vizsgálják.

B) Egy fizikai QR-kód matricázási technika, amely kizárólag parkolóautomatáknál fordul elő.

C) Egy jelszókezelő alkalmazás típusa.

D) Egy hitelesítési protokoll, amely a kétfaktoros azonosítást váltja ki.

17. (Közösségi média) Mit jelent az OSINT (Open Source Intelligence) a támadók szemszögéből?

A) Zárt, titkosított adatbázisokból történő adatlopást.

B) Nyilvánosan elérhető, a célpontok által önként megosztott információk szisztematikus összegyűjtését.

C) Kizárólag állami hírszerző szervek által alkalmazott technikát, amely magánszemélyekre nem vonatkozik.

D) A közösségi média fiókok jelszavainak feltörését.

18. (MI a munkahelyen) Mi a legnagyobb kockázat, ha bizalmas céges adatot viszünk be egy nyilvános, ingyenes AI-eszközbe?

A) Az, hogy az AI-eszköz biztosan lelassul a nagy adatmennyiségtől.

B) Az, hogy az adat kikerülhet a szervezeti kontroll alól, és a felhasználó nem tudja teljes mértékben visszakövetni, hol és hogyan hasznosul.

C) Az, hogy az AI-eszköz automatikusan törli a fiókot.

D) Az, hogy a bevitt adat kizárólag a felhasználó saját eszközén marad tárolva.

19. (Incidenskezelés) Miért kockázatosabb, ha egy munkavállaló egy gyanús esemény észlelésekor önállóan próbálja megoldani a helyzetet (pl. törli az e-mailt, újraindítja a gépet)?

A) Mert ez mindig jogi felelősségre vonással jár.

B) Mert az önálló beavatkozás törölheti a bizonyítékokat, elfedheti a támadás nyomait, és megnehezítheti a kivizsgálást.

C) Mert a szervezet informatikai rendszere ilyenkor automatikusan leáll.

D) Mert ez mindig gyorsabb megoldást eredményez, mint a jelentés.

20. (Mentális egyensúly) Milyen összefüggés áll fenn a mentális túlterheltség és a biztonsági incidensek között a tananyag szerint?

A) Nincs összefüggés, a kettő teljesen független terület.

B) A fáradt, megszakításokkal terhelt, szétszórt figyelmű munkavállaló nagyobb eséllyel hoz reflexalapú, nem tudatos döntést, ami növeli a hibázás kockázatát.

C) A mentális terhelés kizárólag a munkahelyi teljesítményt érinti, biztonsági szempontból irreleváns.

D) A mentális egyensúly kizárólag a vezetők felelőssége, a munkavállalóké nem.

21. Mi a különbség a kiberbiztonság és az információbiztonság fogalma között a törvény szerint?

A) Nincs érdemi különbség, a két fogalom szinonima.

B) A kiberbiztonság kizárólag az elektronikus rendszereket védi, az információbiztonság ennél tágabb, minden információformát (digitális, papíralapú, szóbeli) érintően.

C) Az információbiztonság kizárólag a személyes adatokra vonatkozik, a kiberbiztonság mindenre.

D) A kiberbiztonság a vezetőre, az információbiztonság az IBF-re vonatkozó fogalom.

22. Mi a PreDeCo-modell harmadik szintjének (Co) tartalma?

A) A megelőzés, azaz a támadás bekövetkezésének megakadályozása.

B) Az észlelés, azaz annak felismerése, hogy megtörtént-e egy esemény.

C) A helyreállítás, azaz a felismert biztonsági esemény hatásainak csökkentése és a normál működés visszaállítása.

D) A tanúsítás, azaz a szervezet auditáltatása.

23. Egy szerződéses dokumentumban valaki jogosulatlanul megváltoztatja az összeget, de a rendszer egyébként elérhető és csak jogosultak láthatják. Melyik CIA-elem sérült?

A) Bizalmasság

B) Sértetlenség

C) Rendelkezésre állás

D) Mindhárom egyszerre

24. Mi a különbség az adatgazda és a technikai adatkezelő (IT) szerepe között?

A) Nincs különbség, a két fogalom felcserélhető.

B) Az adatgazda az üzleti felelős egy adatkörért, míg az IT a technikai megvalósítást végzi az adatgazda döntései alapján.

C) Az adatgazda mindig a vezető, az IT sosem vehet részt döntésben.

D) Az adatgazda kizárólag a GDPR szerinti fogalom, a Kiberbiztonsági törvényben nem szerepel.

25. Miért minősül EIR-nek egy nem engedélyezett, munkavállaló által telepített felhőalapú tároló (shadow-IT) is?

A) Mert a törvény kifejezetten csak az engedélyezett rendszereket sorolja ki e alól.

B) Mert az EIR törvényi fogalma rendkívül tág, minden adatot kezelő, tároló vagy továbbító eszközre kiterjed, függetlenül az engedélyezettségtől.

C) Mert csak a vállalati szerverek minősülnek EIR-nek.

D) A shadow-IT sosem minősül EIR-nek, ezért nem kell nyilvántartásba venni.

26. Mit jelent az RPO (Recovery Point Objective)?

A) A maximális idő, amely alatt egy rendszert helyre kell állítani.

B) A maximálisan elfogadható adatvesztés mértéke, azaz a legrégebbi elfogadható mentési pont.

C) A rendszer biztonsági osztályba sorolásának eredménye.

D) Az auditor által megállapított megfelelési szint.

27. A Toyota 2022-es leállása miért szemlélteti jól az ellátási lánc-támadások kockázatát?

A) Mert a Toyota saját rendszerét törték fel közvetlenül.

B) Mert egy viszonylag kis alkatrészbeszállító (Kojima) elleni támadás miatt állt le mind a 14 japán gyár, jelentős kárt okozva.

C) Mert a Toyota fizetett váltságdíjat a támadóknak.

D) Mert az eset kizárólag adatvédelmi incidens volt, kiberbiztonsági vonatkozás nélkül.

28. Mit jelent a „Time-to-Exploit” drasztikus csökkenése 24–48 órára?

A) A szoftvergyártók ennyi idő alatt fejlesztik ki a javításokat.

B) A biztonsági javítás megjelenésétől számítva ilyen rövid idő alatt kezdődhet meg a sérülékenység aktív kihasználása

C) Ennyi idő alatt kell egy incidenst bejelenteni a hatóságnak.

D) Ennyi ideig tart átlagosan egy auditfolyamat.

29. Miért nem elegendő ma már a hang- vagy videóalapú azonosítás önmagában egy pénzügyi kérés jóváhagyásához?

A) Mert a törvény kifejezetten tiltja a hang- és videóhívások használatát üzleti célra.

B) Mert a deepfake technológia miatt az emberek mindössze töredéke képes megbízhatóan felismerni a szintetikus tartalmat, ezért ez a fajta azonosítás önmagában hamisítható.

C) Mert a hang- és videóhívások törvényileg nem minősülnek hiteles kommunikációs csatornának.

D) Mert az ilyen hívásokat a GDPR tiltja.

30. Miért a vezető az elsőszámú célpont a kibertérben a képzés szerint?

A) Mert a vezetők általában kevésbé képzettek informatikából.

B) Mert a hozzáférés, a döntési jogkör és a nyilvánosság együttesen teszik célponttá, nem a hanyagsága vagy tudatlansága.

C) Mert a vezetők soha nem használnak kétfaktoros azonosítást.

D) Mert a törvény kifejezetten a vezetőket sorolja fel támadási célpontként.

31. Miért nem lehet IBF az IT-vezető vagy annak közvetlen beosztottja alapvető szervezetnél?

A) Mert az IT-vezetőnek nincs elég ideje az IBF feladatokra.

B) Mert az IBF feladata az informatikai rendszerek független ellenőrzése, és ha ugyanaz a személy üzemeltet és ellenőriz, megszűnik a kontroll (strukturális összeférhetetlenség).

C) Mert a törvény csak külső IBF-et enged alapvető szervezeteknél.

D) Mert az IT-vezetőnek külön diplomával kell rendelkeznie, amit ritkán szereznek meg.

32. Mi történik, ha egy szervezet nem rögzíti szerződésben a partner kiberbiztonsági kötelezettségeit, és a partner incidenst szenved el?

A) A felelősség kizárólag a partneré, a szervezet mentesül.

B) A vezető felelőssége akkor is fennmarad, mert a törvény előírja a kiberbiztonsági követelmények szerződéses kötelemként való rögzítését.

C) A hatóság csak a partnert vizsgálja, a megbízó szervezetet nem.

D) A törvény ilyen esetben nem alkalmazandó.

33. Miért nem ír elő a törvény konkrét technikai megoldásokat (pl. konkrét titkosítási algoritmust)?

A) Mert a jogalkotó elfelejtette szabályozni.

B) Mert a konkrét technikai előírások gyorsan elavulnának; helyette a szervezetnek kell azonosítania, értékelnie és arányosan kezelnie a saját kockázatait.

C) Mert ez kizárólag az EU hatáskörébe tartozik.

D) Mert a technikai részletek titkosak.

34. Mi a biztonsági osztályba sorolás és a kockázatértékelés logikai sorrendje?

A) Előbb a kockázatértékelés, majd ez alapján a biztonsági osztályba sorolás.

B) A nyilvántartásba vétel, majd adatosztályozás, majd biztonsági osztályba sorolás, majd ez alapján a védelmi intézkedések meghatározása.

C) A sorrend tetszőleges, nincs jogszabályi előírás rá.

D) Előbb a védelmi intézkedések bevezetése, utána a kockázatértékelés.

35. (Mi a Zero Trust szemlélet lényege a hagyományos „belül megbízható, kívül veszélyes” modellhez képest?

A) A Zero Trust kizárólag a külső támadók ellen véd, a belső felhasználókban megbízik.

B) Minden hozzáférési kérést – függetlenül a forrástól, akár belülről is – azonosítani, hitelesíteni és jogosultság alapján engedélyezni kell, minden alkalommal.

C) A Zero Trust egy konkrét tűzfaltermék neve.

D) A Zero Trust azt jelenti, hogy a szervezet nem enged távoli hozzáférést semmilyen körülmények között.

36. Miért nem elegendő az IBSZ-t egyszerűen letöltött sablon alapján aláírni?

A) Mert a sablonok mindig elavultak.

B) Mert a dokumentumnak a szervezet saját körülményeit, kockázatait és tényleges gyakorlatát kell tükröznie, különben audit vagy incidens esetén nem bizonyít semmit.

C) Mert a sablonokat törvény tiltja.

D) Mert csak az IBF írhatja alá a sablont.

37. Miért mondható, hogy „az én nem tudtam róla” nem véd a vezető felelőssége szempontjából?

A) Mert a törvény azt várja el, hogy a vezető minden technikai részletet ismerjen.

B) Mert a törvény azt várja el, hogy a vezető létrehozza azt a rendszert, amelyen keresztül értesülhetne a problémákról – a hiányzó rendszer maga a mulasztás.

C) Mert a tudatlanság sosem mentesítő körülmény semmilyen jogterületen.

D) Mert az IBF-nek kötelessége mindent jelenteni a médiának is.

38. Mi a helyes vezetői reakció, ha egy negyedéves jelentésben a szoftverfrissítési lefedettség 94%-ról 71%-ra esik vissza?

A) Tudomásul veszi, mert a szám még mindig elfogadhatónak tűnik.

B) Kérdez: miért esett vissza, mi szükséges a helyreállításhoz, és mikor lesz megoldva – majd nyomon követi a választ.

C) Azonnal elbocsátja az IT-vezetőt.

D) Nem tesz semmit, mert ez kizárólag technikai kérdés.

39. Mi a törvényi minimumszabály az alapvető szervezetek kiberbiztonsági fejlesztési kiadására vonatkozóan?

A) Az éves árbevétel legalább 2 százaléka.

B) Az éves informatikai fejlesztési kiadások legalább 5 százaléka.

C) Nincs konkrét törvényi minimum, csak ajánlás.

D) Az éves nyereség legalább 10 százaléka.

40. Mi a helyes prioritizálási logika korlátozott erőforrás esetén?

A) Azt védeni, amit a legkönnyebb és leggyorsabb megoldani.

B) Azonosítani a legkritikusabb rendszert és adatkört, arra kockázatértékelést végezni, és a magas kockázatú, alacsony védelmű elemeket kezelni elsőként, a többit dokumentáltan elfogadni.

C) Minden rendszerre egyenlő mértékű erőforrást fordítani, függetlenül a kockázattól.

D) Kizárólag a legdrágább rendszereket védeni.

41. Melyik jogszabály az anyajogszabály, amelyre a többi kötelezettség visszavezethető?

A) 7/2024. (VI. 24.) MK rendelet

B) 2024. évi LXIX. törvény Magyarország kiberbiztonságáról

C) 418/2024. Korm. rendelet

D) 17/2025. EM rendelet

42. (Egy 30 fős IT-biztonsági tanácsadó cég, amely hat kórháznak nyújt rendszerüzemeltetési szolgáltatást, miért esik a törvény hatálya alá mérettől függetlenül?

A) Mert minden IT-cég automatikusan a törvény hatálya alá esik.

B) Mert legalább öt, a törvény hatálya alá tartozó szervezetnek nyújt szolgáltatást.

C) Mert a kórházakkal kötött szerződés automatikusan kiterjeszti a hatályt.

D) Mert 30 fő feletti minden vállalkozás érintett.

43. Mi esik ki a 2024. évi LXIX. törvény hatálya alól a 3. § alapján?

A) A közigazgatási szervek.

B) A minősített adatot kezelő, a műveleti célú és az atomenergetikai programozható rendszerek.

C) Az 50 fő alatti kisvállalkozások.

D) A külföldi felhőszolgáltatók.

44. Mi a jelentősége annak, hogy a törvény 8. § (6) bekezdése szerint a vezető felelőssége külső közreműködő igénybevétele esetén is fennmarad?

A) Ez azt jelenti, hogy a szervezet soha nem vehet igénybe külső partnert.

B) Ez zárja le azt a kiskaput, hogy a kiszervezésre hivatkozva a vezető mentesülne a felelősség alól.

C) Ez csak az NKI hatálya alá tartozó szervezetekre vonatkozik.

D) Ez a bekezdés kizárólag a GDPR-ra vonatkozik, nem a kiberbiztonságra.

45. Mi a jelentősége a kilépési tervnek külföldi adatkezelésre vagy nem privát felhőre való áttérés esetén?

A) A kilépési terv azt írja le, hogyan lehet visszatérni az adott szolgáltatástól, ha szükségessé válik – ezt a vezetőnek jóvá kell hagynia a döntés előtt.

B) A kilépési terv kizárólag munkajogi dokumentum, a kilépő munkavállalókra vonatkozik.

C) A kilépési terv elkészítése önkéntes, semmilyen jogszabály nem írja elő.

D) A kilépési terv csak azoknál a szervezeteknél kötelező, amelyek soha nem használnak felhőszolgáltatást.

46. Mi a három biztonsági osztály elnevezése, és mi alapján történik a besorolás?

A) Alacsony, közepes, magas – a szervezet létszáma alapján.

B) Alap, jelentős, magas – a CIA-elv (bizalmasság, sértetlenség, rendelkezésre állás) elvesztésének súlyossága alapján.

C) Zöld, sárga, piros – az audit eredménye alapján.

D) Elsődleges, másodlagos, harmadlagos – a rendszer életkora alapján.

47. Mennyi az IBF éves kötelező továbbképzési óraszáma és tárgyköreinek minimális száma?

A) Legalább 8 óra, egy tárgykörben.

B) Legalább 20 óra, legalább három tárgykörben.

C) Legalább 4 óra, tárgykör-megkötés nélkül.

D) Nincs kötelező óraszám, csak ajánlás.

48. Mi történik, ha egy audit „nem megfelelt” minősítéssel zárul?

A) A szervezetet azonnal, mérlegelés nélkül bírságolják.

B) A szervezet 90 napon belül intézkedési tervet készít és nyújt be a hatóságnak, majd nemteljesítés esetén fokozatosan szigorúbb hatósági eszközök következnek.

C) Az auditort vonják felelősségre, a szervezetnek nincs teendője.

D) A minősítés nem jár semmilyen következménnyel, csak tájékoztató jellegű.

49. Mikor vonatkozik a DORA rendelet egy IT-szolgáltató cégre?

A) Soha, a DORA kizárólag bankokra vonatkozik.

B) Ha a cég pénzügyi szervezeteknek nyújt kritikus IKT-szolgáltatást (pl. felhőszolgáltatás, adatközpont).

C) Csak akkor, ha a cég székhelye az Egyesült Államokban van.

D) Csak akkor, ha a cég nyilvánosan jegyzett részvénytársaság.

50. Mi történik, ha egy incidens egyszerre GDPR- és kiberbiztonsági incidens is, és a NAIH már bírságot szabott ki érte?

A) Az NKI ugyanazért a magatartásért nem szab ki újabb bírságot, de más jogkövetkezményt alkalmazhat.

B) Az NKI automatikusan duplázza a NAIH bírságát.

C) A GDPR-bírság érvényteleníti a kiberbiztonsági bejelentési kötelezettséget.

D) A két hatóság sosem járhat el ugyanabban az ügyben.

51. Mi különbözteti meg az „üzemeltetési kiberbiztonsági incidenst” a „kiberbiztonsági incidenstől”?

A) Nincs közöttük különbség, szinonimák.

B) Az üzemeltetési incidens nem szándékolt esemény, amely csak a rendelkezésre állást csökkenti; a kiberbiztonsági incidens a CIA-elv bármelyikét kompromittálhatja, és innen indulhat a bejelentési kötelezettség.

C) Az üzemeltetési incidens mindig szándékos támadás.

D) A kiberbiztonsági incidens csak akkor áll fenn, ha személyes adat érintett.

52. Miért nehezebben észlelhető az ellátási lánc-kompromittálás, mint egy közvetlen phishing-támadás?

A) Mert soha nem okoz kárt.

B) Mert megbízható csatornán (pl. szállítói szoftverfrissítésen) keresztül érkezik, ezért nem tűnik gyanúsnak.

C) Mert törvény tiltja a felismerését.

D) Mert kizárólag nagyvállalatokat érint.

53. Egy gyártócég termelésirányítási rendszerét zsarolóvírus titkosítja, de a rendszer kizárólag gépbeállítási adatokat tartalmaz, személyes adatot nem. Mi a helyes minősítés?

A) Egyszerre kiberbiztonsági és adatvédelmi incidens, mindkét hatóság felé be kell jelenteni.

B) Csak adatvédelmi incidens, a NAIH felé kell bejelenteni.

C) Csak kiberbiztonsági incidens, a NAIH felé nem áll fenn bejelentési kötelezettség, mert nincs érintett személyes adat.

D) Egyáltalán nem incidens, mert nincs adatszivárgás.

54. Mettől számít a 72 órás NAIH-bejelentési határidő?

A) Az incidens tényleges bekövetkezésétől, függetlenül attól, mikor vették észre.

B) Attól a pillanattól, amikor az adatkezelő tudomást szerzett az incidensről.

C) A hatósági vizsgálat megindulásától.

D) Az érintettek tájékoztatásának időpontjától.

55. Mi történik a „tanulságok levonása” fázisban, és miért hagyják ezt ki leggyakrabban a szervezetek?

A) Ez a fázis a bejelentés technikai lezárása, amelyet automatikusan végez a rendszer.

B) Legkésőbb két héttel a lezárás után át kell tekinteni az esetet és be kell építeni a tanulságokat az IBSZ-be és a kockázatértékelésbe – gyakran kihagyják, mert az incidens „már megoldódott” és mindenki fáradt.

C) Ez a fázis kizárólag a váltságdíj kifizetéséről szól.

D) Ez a fázis csak akkor releváns, ha a hatóság bírságot szabott ki.

56. Mi a különbség a 24 órás korai figyelmeztetés és a 72 órás részletes bejelentés tartalma között?

A) Nincs tartalmi különbség, csak az időpont más.

B) A 24 órás bejelentés alapinformációkat közöl (jogellenesség gyanúja, határon átnyúló hatás valószínűsége), a 72 órás bejelentés már az esemény súlyosságának és hatásának értékelését is tartalmazza.

C) A 24 órás bejelentés csak az NKI-nak, a 72 órás csak az SZTFH-nak szól.

D) A 72 órás bejelentés helyettesíti a 24 órást, ezért csak azt kell megtenni.

57. Miért nem jelent immunitást a No Blame kultúra a következmények alól?

A) Mert a No Blame kultúra valójában nem létezik a gyakorlatban.

B) Mert a jóhiszemű tévedés és jelzés védett, de a szándékos szabálysértés más elbírálás alá esik – ez a kulcs különbségtétel.

C) Mert minden hibát büntetni kell, függetlenül a szándéktól.

D) Mert a No Blame kultúra csak a vezetőkre vonatkozik.

58. Miért javasolják az FBI, az ENISA és az NKI egyaránt, hogy a szervezet ne fizessen váltságdíjat?

A) Mert a fizetés törvényileg mindig tilos Magyarországon.

B) Mert a fizetés nem garantálja az adatok visszaállítását, nem mentesít a bejelentési kötelezettség alól, és a fizetők jelentős része ismételt támadást szenved el.

C) Mert a váltságdíj összege mindig magasabb, mint a helyreállítás költsége.

D) Mert a fizetés automatikusan büntetőeljárást indít a vezető ellen.

59. Mikor kell soron kívül felülvizsgálni a biztonsági osztályba sorolást egy incidens után, és mennyi idő áll rendelkezésre a hatósághoz történő bejelentésre?

A) Soha nem kell felülvizsgálni, az eredeti besorolás véglegesnek számít.

B) Ha a kockázati környezet vagy az adatosztályozás megváltozott az incidens nyomán; az eredményt 15 napon belül meg kell küldeni a hatóságnak.

C) Csak akkor, ha az incidens nagyszabású kiberbiztonsági incidensnek minősül; nincs konkrét határidő.

D) A felülvizsgálat kizárólag az auditor feladata, a szervezetnek nincs bejelentési kötelezettsége

60. Mi volt a fő tanulság a Jaguar Land Rover 2025-ös incidenséből a British Library 2023-as esetéhez képest?

A) Mindkét szervezet ugyanolyan sikeresen kezelte a kommunikációt.

B) A minimális, késői kommunikáció (JLR) bizalomvesztéshez vezetett, mert az ügyfelek más forrásból értesültek előbb; a transzparens, gyors tanulságlevonás (British Library) hitelességet erősített.

C) A British Library esete rosszabbul sikerült, mert nyilvánosan elismerte a hibát.

D) A kommunikáció módja nem befolyásolja az incidens utóhatásait.