Počet kybernetických incidentů hlášených českým firmám meziročně roste, potvrzuje to Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) i policejní statistiky. Ransomware, phishing a úniky dat postihují malé živnostníky stejně jako nadnárodní korporace. Rozdíl je hlavně v tom, jak rychle se firma z útoku dokáže vzchopit – a zda vůbec.
Nejčastější hrozby a jejich cena
Ransomware zůstává nejnebezpečnější formou útoku. Útočníci zašifrují data a požadují výkupné, přičemž platba zdaleka nezaručuje jejich obnovení. Podle některých analýz zaplatí výkupné přibližně polovina napadených firem, jiné zdroje uvádějí čísla nižší – přesná statistika se liší podle metodiky sběru dat a podle toho, zda jsou zahrnuty i nenahlášené případy. Firmy totiž útoky často tají, aby neohrozily důvěru klientů nebo partnerů.
Phishing zůstává nejlevnějším a přitom nejúčinnějším nástrojem útočníků. Stačí jeden zaměstnanec, který klikne na podvržený odkaz v e-mailu, a útočník získá přístup do interní sítě. V praxi se často stává, že falešný e-mail vypadá jako běžná faktura od dodavatele nebo zpráva od kolegy z účetního oddělení – graficky téměř totožná s originálem, jen s pozměněnou doménou odesílatele o jedno písmeno.
Vedle toho přibývají útoky přes dodavatelský řetězec, kdy je napaden menší subdodavatel se slabším zabezpečením a přes něj se útočník dostane k větší cílové firmě. Tento typ útoku je obtížně odhalitelný, protože firma sama žádnou chybu neudělala – problém leží mimo její přímou kontrolu.
Technická opatření, která fungují
Základem obrany je pravidelné zálohování dat, ideálně podle pravidla 3-2-1: tři kopie dat, na dvou různých typech úložišť, z nichž jedna je uložena mimo firemní síť. Bez offline nebo izolované záložní kopie je i sofistikovaná firewallová ochrana zbytečná, protože ransomware dokáže zašifrovat i síťově dostupné zálohy.
Vícefaktorové ověřování (MFA) patří mezi nejlevnější a nejúčinnější opatření vůbec. Odborníci radí zavést je minimálně pro přístup k e-mailu, vzdálené plochy a cloudovým službám – tedy tam, kde útočníci nejčastěji cílí při krádeži přihlašovacích údajů. Samotné heslo, byť složité, dnes už nestačí; databáze uniklých hesel jsou veřejně dostupné na darknetu a útočníci je zkoušejí automatizovaně.
Segmentace sítě omezuje škody v případě, že se útočník dostane dovnitř. Pokud je celá firemní síť propojená bez oddělení, jeden napadený počítač může znamenat kompromitaci celého systému během několika hodin. Rozdělení sítě na menší, izolované segmenty tento pohyb zpomaluje a dává IT týmu čas na reakci.
Pravidelné aktualizace softwaru a operačních systémů zůstávají podceňovaným, ale zásadním prvkem. Řada úspěšných útoků cílí na zranitelnosti, pro které už dávno existuje oprava – firmy ji jen neinstalovaly. Vhodné je zavést centralizovaný systém správy aktualizací, který nespoléhá na to, že si každý zaměstnanec záplatu nainstaluje sám.
Zde je ovšem nutné přiznat, že technická opatření sama o sobě problém nevyřeší. Ani nejmodernější firewall nezastaví zaměstnance, který nevědomky nahraje citlivá data na osobní cloudové úložiště nebo použije stejné heslo v práci i na soukromém účtu, který byl součástí veřejně známého úniku dat. Lidský faktor zůstává nejslabším i nejsilnějším článkem zabezpečení současně, a právě v tom tkví jistá nejednoznačnost celého tématu – investice do technologií bez paralelní investice do lidí přináší jen částečnou ochranu.
Role zaměstnanců a firemní kultury
Školení zaměstnanců by nemělo být jednorázovou powerpointovou prezentací jednou za rok. Efektivnější jsou krátká, opakovaná cvičení – například simulované phishingové e-maily, které IT oddělení rozesílá bez předchozího upozornění a následně vyhodnocuje, kolik lidí kliklo na podezřelý odkaz. Tento přístup umožňuje sledovat skutečný pokrok, nikoli jen teoretickou znalost pravidel.
Důležitou roli hraje i nastavení firemní kultury tak, aby zaměstnanci nahlásili chybu bez strachu z postihu. Pokud se pracovník bojí přiznat, že klikl na podezřelý odkaz, incident se často odhalí až o několik dní později, kdy už útočník stihl proniknout hlouběji do systému. Rychlost nahlášení bývá rozhodujícím faktorem mezi menším incidentem a rozsáhlým únikem dat.
Zvláštní kapitolou je řízení přístupových práv. Princip nejmenších oprávnění – tedy že každý zaměstnanec má přístup jen k datům, která nezbytně potřebuje pro svou práci – zní jednoduše, ale v praxi je náročné jej udržovat. Firmy se často potýkají s tím, že bývalí zaměstnanci mají měsíce po odchodu stále aktivní přístupy do systémů, protože proces jejich odebrání není nikde jasně definován.
Legislativní rámec se v Evropské unii postupně zpřísňuje. Směrnice NIS2, kterou musí Česká republika promítnout do národní legislativy, rozšiřuje okruh firem povinných zavést bezpečnostní opatření a hlásit incidenty. Dotčeny budou nejen velké korporace, ale i střední podniky v odvětvích jako energetika, doprava, zdravotnictví nebo digitální infrastruktura. Sankce za nesplnění povinností mohou dosahovat милionů korun, přesná výše se ale odvíjí od konkrétního porušení a velikosti firmy.
Otázka kybernetické bezpečnosti se tak z čistě technického problému stává manažerskou disciplínou, která zasahuje do provozních rozpočtů, personální politiky i právní odpovědnosti statutárních orgánů. Vedení firem, které bezpečnost odsouvá na vedlejší kolej jako nákladovou položku bez okamžitého přínosu, riskuje, že náklady na řešení incidentu po jeho výskytu několikanásobně převýší investice, které mohly útoku předejít.