Rozsáhlý rozhovor s naší odbornicí na důležité a aktuální téma – kybernetickou bezpečnost. Jak mohou společnosti zjistit, zda musí zajistit kybernetickou bezpečnost? Jaký je postup při řešení kybernetické bezpečnosti? Všechny důležité informace se dozvíte v rozhovoru s paní Barborou Plavcovou Gombárskou, specialistkou a odbornicí na GDPR a oblast kybernetické bezpečnosti.
Jak obvykle společnosti zajišťují kybernetickou bezpečnost?
Vzhledem k tomu, že legislativa je poměrně nová – vstoupila v platnost v roce 2018 –, mnoho firem na ni není dostatečně připraveno. Mnoho firem ani neví, že by měly mít vypracovanou nějakou strategii kybernetické bezpečnosti, protože neprovedly interní analýzu toho, zda spadají do seznamu základních služeb definovaných zákonem o kybernetické bezpečnosti. Pokud jde o technické zabezpečení, i když se situace začíná zlepšovat, stále se najdou společnosti, které kybernetické a informační bezpečnosti nevěnují velkou pozornost, a proto mají oblast IT velmi slabě zabezpečenou. Je nutné přijmout určitá opatření, aby se předešlo rizikům a snížilo se riziko hrozeb. Je důležité si uvědomit, že digitalizace stále postupuje a s jejím postupem se stále častěji setkáváme s útoky kybernetického charakteru, při nichž v případě závažného bezpečnostního incidentu často dochází ke kolapsu celého systému v rámci firem.
Jaký je aktuální stav kybernetické bezpečnosti v praxi?
Jak jsme již zmínili dříve, je nutné přijmout určitá opatření, abychom předešli – nebo alespoň snížili – rizika, která zde vždy budou. Tato opatření se přijímají na základě analýzy rizik, která nám ukáže nejzranitelnější místa. Z takové analýzy vždy vyplyne, že největší hrozbou je lidský faktor, a to bez ohledu na to, jakou analýzu si necháte vypracovat, ať už se týká kybernetické bezpečnosti, informační bezpečnosti, fyzické bezpečnosti objektů nebo požární ochrany. A právě proto by přijatá opatření neměla mít pouze technický, ale i personální charakter.
Lidé (zaměstnanci) často nejsou připraveni čelit kybernetickým hrozbám a často k tomu nemají ani odpovídající vzdělání. Často se setkáváme s tím, že společnosti zanedbávají školení zaměstnanců v oblasti kybernetické bezpečnosti. Vzhledem k tomu, že lidé z velké části nemají znalosti o tom, jak bezpečně pracovat v digitálním prostoru, jsou právě oni při práci s digitálními technologiemi častou bránou pro kybernetické útoky.
Existuje nějaká zákonná povinnost, aby všechny firmy měly zajištěnou kybernetickou bezpečnost?
Jedna věc je povinnost zajistit kybernetickou bezpečnost z hlediska zákona č. 69/2018 Z. z. o kybernetické bezpečnosti a o změně a doplnění některých zákonů (dále jen „zákon o kybernetické bezpečnosti“) – v tomto případě společnosti buď tuto povinnost ze zákona mají, nebo nemají. V rámci vyhlášky Národního bezpečnostního úřadu č. 164/2018, kterou se stanovují identifikační kritéria provozované služby, je definováno, kdo spadá a kdo nespadá do základní služby,
přičemž na základě této vyhlášky a její přílohy je možné určit jednotlivá odvětvová a dopadová kritéria provozovatele základní služby s ohledem na danou oblast (segment).
Vezměme si například farmaceutický průmysl – tento segment je definován jako výrobce léčiv podle zákona č. 362/2011 Z. z. o léčivech a zdravotnických prostředcích a o změně a doplnění některých zákonů (dále jen „zákon č. 362/2011 Z. z.“). Všichni tito výrobci léčiv by měli věnovat pozornost této záležitosti a měli by provést interní analýzu/audit, v rámci nichž posoudí specifická odvětvová a dopadová kritéria stanovená v příloze této vyhlášky. Jelikož pro farmaceutický průmysl nejsou vyhláškou stanovena specifická kritéria, budou v rámci analýzy posuzována výhradně kritéria dopadu. Pokud výrobce léčiv splňuje alespoň jedno kritérium dopadu, je povinen se zaregistrovat u NBÚ (Národní bezpečnostní úřad – pozn.) do seznamu základních služeb.
Mnoho společností, které nemají povinnost zajistit kybernetickou bezpečnost v souladu se zákonem č. 69/2018 Z.z. o kybernetické bezpečnosti, se přesto v rámci zlepšování procesů a zajištění kontinuity rozhodne zajistit soulad s normami informační bezpečnosti řady ISO 27 000, což jim vždy přinese značné výhody.
Jak tato analýza funguje, co vše je třeba analyzovat, aby firmy zjistily, zda spadají pod tento zákon?
Jak jsem již zmínila, zákon stanoví, že provozovatel základní služby musí, aby byl zařazen do seznamu základních služeb, splňovat jedno specifické odvětvové kritérium a jedno kritérium dopadu. Tato kritéria jsou definována v příloze zmíněné vyhlášky. Pokud společnost splňuje alespoň jedno specifické kritérium, přistoupí se k analýze dopadových kritérií, a pokud splňuje alespoň jedno z nich, automaticky spadá mezi provozovatele základní služby a musí se nahlásit Národnímu bezpečnostnímu úřadu (NBÚ). To znamená, že pokud splňuje specifické kritérium, ale nesplňuje žádné kritérium dopadu, nespadá do této základní služby. Specifická odvětvová kritéria popisují každý segment provozovatelů samostatně. Například pro farmaceutický průmysl není definováno žádné specifické odvětvové kritérium, ale dodavatel a distributor pitné vody má specifická odvětvová kritéria definována. Mezi specifická odvětvová kritéria pro distributora pitné vody patří například to, zda vyrábí a dodává nebo distribuuje pitnou vodu, provozuje čistírnu odpadních vod, provozuje úpravnu vody, provozuje vodovod nebo kanalizaci. Toto je specifické kritérium, které určí, zda má společnost analyzovat dopadová kritéria.
Vrátím se zpět k farmaceutickým společnostem – v prvním kroku se u nich pouze posuzuje, zda jsou podle zákona č. 362/2011 Z. z. výrobci léčiv či nikoli. Následně se posuzují kritéria dopadu a v jejich rámci se analyzuje, jaký dopad by měl incident v oblasti kybernetické bezpečnosti na poskytovanou základní službu.
Je důležité si uvědomit, že každé jednotlivé kritérium dopadu je nutné důkladně prozkoumat. Pro každé jednotlivé kritérium se provádí podrobná analýza s ohledem na konkrétní společnost, protože každá společnost je z hlediska zpracování dat jiná. V rámci kritéria dopadu se posuzuje dopad kybernetického bezpečnostního incidentu na informační systém nebo sítě, na jejichž fungování závisí poskytování dané služby.
Toto je kybernetická bezpečnost z pohledu zákona. Existuje také druhá, tzv. informační bezpečnost, kterou si firmy často zavádějí, aby byly v bezpečí a aby předešly různým kybernetickým útokům, ale nemají povinnost spadat podle zákona o kybernetické bezpečnosti do seznamu základních služeb. Takové společnosti řeší tuto problematiku v souladu s normami řady ISO 27000. V rámci norem ISO si samy stanoví pravidla, opatření a pokyny, které přijmou a budou dodržovat jako celá firma, přičemž se v rámci těchto opatření snaží chránit před jednotlivými hrozbami v digitálním světě. Celá kybernetická bezpečnost je odrazem zavedených bezpečnostních standardů a norem a většina auditorů, kteří provádějí audity kybernetické bezpečnosti, vychází a vyžaduje prokázání přijatých opatření nejen na základě zákonů a vyhlášek stanovujících požadavky na kybernetickou bezpečnost, ale také podle zavedených bezpečnostních standardů (jako např. ISO/IEC, CIS, NIST...).
Zaznělo zde několik pojmů. Začneme pojmem audit kybernetické bezpečnosti; předpokládám, že je to pro firmy důležité z hlediska toho, zda to dělají správně, zda mají kybernetickou bezpečnost dobře nastavenou...
Pokud je provozovatel zařazen mezi poskytovatele základních služeb, je pro něj audit kybernetické bezpečnosti (nikoli informační) povinný. Každý subjekt, který byl zařazen do seznamu provozovatelů základní služby, musí do dvou let od zařazení provést ve své společnosti audit kybernetické bezpečnosti. Na tento audit je nutná příprava. Zákon o kybernetické bezpečnosti nám vymezuje určitý rámec toho, co vše je třeba splnit. Podíváme-li se na vyhlášku č. 362/2018 Z. z., kterou se stanoví obsah bezpečnostních opatření, obsah a struktura bezpečnostní dokumentace a rozsah obecných bezpečnostních opatření, máme přesně definováno, jaká bezpečnostní opatření musí společnost přijmout.
Než se tedy společnost rozhodne tato opatření přijmout, provede nejprve interní audit, který určí, zda spadá či nespadá do kategorie základních služeb (kybernetické bezpečnosti), přičemž v rámci tohoto auditu posuzuje specifická kritéria a kritéria dopadu. Následně je důležité provést analýzu stavu – posuzuje se technický charakter již zavedených bezpečnostních prvků ve společnosti a řeší se klasifikace informací, kategorizace sítí a informačních systémů a analýza rizik. V rámci této klasifikace se posuzují například jednotlivé výrobní procesy nebo to, zda data, která daná společnost má k dispozici, jsou citlivé povahy (ať už veřejná, interní, chráněná nebo přísně chráněná – tato data mohou mít různé stupně ochrany). Na základě této klasifikace můžeme definovat, jaká opatření musí společnost podle zákona přijmout.
Analýza rizik je dalším krokem, při kterém se v rámci procesu zavádění kybernetické bezpečnosti (na základě klasifikace informací, kategorizace sítí a skutečného technického stavu, v němž se společnost nachází) můžeme zorientovat a přijmout přiměřená opatření tak, aby byla přímo šitá na míru klienta. Analýza rizik nám umožňuje vyhodnotit rizika a určit, jak velká je míra hrozeb v případě bezpečnostního incidentu. V případě, že je míra rizika vysoká, je nutné přijmout určitá opatření k jejímu snížení.
Při zavádění jednotlivých opatření, směrnic a pravidel nelze vycházet z dokumentů vytvořených podle šablon. Vždy se analyzuje daná situace a na jejím základě se přijímají konkrétní opatření. Jakmile je stav znám, vypracovávají se bezpečnostní politiky a směrnice, které nám určitým způsobem předepisují aplikační část, v rámci níž již přijímáme opatření pro provoz.
Opatření je třeba přijímat po jednotlivých segmentech, ať už řešíme zabezpečení technického charakteru, kde můžeme hovořit o určitých segmentacích sítí, o antivirových programech a softwarových zabezpečeních pro ochranu kybernetického prostoru, nebo také o personální bezpečnosti, kde je nutné zajistit školení a doškolování zaměstnanců. Existují různá školení zaměřená na zvládání kybernetických hrozeb. V rámci kybernetické bezpečnosti existují různé možnosti, jak zaměstnance vzdělávat tak, aby je to zaujalo. Zde bych snad podotkla, že je opravdu důležité, aby školitel disponoval tzv. soft skills, uměl se k těmto lidem přiblížit tak, aby byla látka podána lidským a přijatelným způsobem. Vzhledem k tomu, že hovoříme o segmentu IT a o segmentu kybernetické bezpečnosti, dochází často k neporozumění těmto tématům ze strany školených osob. Zaměstnanci by měli být schopni v rámci svých možností a chápání adekvátně porozumět celé této problematice a naučit se chránit tato data a jednotlivé systémy tak, aby to pro ně nebyla jen další promarněná hodina a povinné školení.
Poté, co byly přijaty směrnice, jsme přijali určitá opatření a vyvstává otázka, zda je to vše. A ne, není. Je třeba si uvědomit, že kybernetická bezpečnost není stav, ale proces. To znamená, že se neustále vyvíjí, neustále se objevují nové hrozby a je třeba tyto hrozby sledovat, je třeba sledovat například aktuální zranitelnosti, které se vyskytují u jednotlivých produktů, a tyto zranitelnosti je třeba nějakým způsobem řešit, zahrnout je do jednotlivých opatření a tak dále. Berme to tak, že proces kybernetické bezpečnosti se neustále vyvíjí a my se v něm neustále snažíme zlepšovat a předcházet novým hrozbám. Víme, že samotné hackerství a hackeři bývají často o dva kroky napřed před těmi, kteří se snaží bránit. Neustále vyvíjejí a vymýšlejí nové způsoby, jak mohou útočit a škodit ostatním uživatelům ve virtuálním prostředí. Na druhou stranu je třeba uvést, že například přijetím a zavedením alespoň základních principů kybernetické bezpečnosti se minimalizuje riziko narušení triviálními útoky, kterých je obvykle nejvíce. To se samozřejmě netýká pouze provozovatele základní služby, pro kterého jsou povinná opatření stanovena vyhláškami, ale každá společnost by se měla ve vlastním zájmu věnovat problematice kybernetických hrozeb reálně i prakticky. Proto je nutné být v této oblasti ostražitý a neustále řešit situaci a aktuální kybernetické hrozby.
Po přijetí opatření nastává proces, v jehož rámci jednotlivá opatření aktualizujeme s ohledem na zranitelnosti, hrozby a nová rizika. Vzhledem k tomu, že se hardwarové a softwarové vybavení provozovatele přirozeně vyvíjí a jsou zaváděny a přijímány nové informační systémy, je nutné opakovaně provádět analýzu rizik, aby provozovatel věděl, zda hrozby stále přetrvávají a jaká je jejich míra.
A ten audit přijde po dvou letech?
Ano, proběhne po dvou letech od nahlášení Národnímu bezpečnostnímu úřadu (NBÚ) a registrace do základní služby.
Jakou roli hraje v celém procesu manažer kybernetické bezpečnosti?
Manažer kybernetické bezpečnosti by měl mít v rámci společnosti nezávislé postavení. Z hlediska hierarchie by měl být na vrcholu organizační struktury samozřejmě ředitel. Manažer kybernetické bezpečnosti předkládá návrhy na zlepšení a prezentuje stav kybernetické bezpečnosti právě tomuto řediteli a vrcholovému vedení společnosti, pod ním jsou již pouze výkonný orgán a „prováděcí pracovníci“ kybernetické bezpečnosti.
Manažer kybernetické bezpečnosti je tedy skutečně ten, kdo pouze dohlíží, kontroluje, předkládá návrhy na opatření a informuje o stavu kybernetické bezpečnosti. Kontroluje hrozby, zranitelnosti a jednotlivé další záležitosti.
Musí být tento manažer kybernetické bezpečnosti interní pracovník, nebo to může být i externí osoba?
Může to být interní pracovník, ale může to být i externista.
Jaké jsou výhody a nevýhody?
Externista, pokud má zkušenosti z různých jiných společností, disponuje rozsáhlejšími znalostmi a kompetencemi v rámci řízení kybernetické bezpečnosti. Výhodou interního manažera je, že lépe zná vnitřní infrastrukturu podniku – samotné zázemí dané společnosti – a měl by být schopen lépe navrhovat jednotlivá opatření, vzhledem k tomu, že firmu zná. Zde však může nastat problém s řešením hrozeb – externí manažer může lépe zvládat hrozby v oblasti kybernetické bezpečnosti než ten interní, který má omezené možnosti vzdělávání a obvykle i méně zkušeností.
Co tedy mohou společnosti udělat, aby byly v kyberprostoru chráněny? Aby byla kybernetická bezpečnost na dobré úrovni? Začít analýzou, zjistit, zda vůbec spadají do této kategorie, zda jsou provozovateli základní služby?
Je důležité si uvědomit jednu věc: pokud dojde k kybernetickému bezpečnostnímu incidentu a nebudou přijata dostatečná opatření, přičemž incident je natolik rozsáhlý, že nám znemožní provoz a zastaví například výrobní proces nebo znemožní poskytování služeb, může být otázkou, zda je společnost vůbec schopna svůj provoz znovu obnovit. Abychom to mohli ilustrovat na příkladu – mnoho výrobních společností pracuje s určitým softwarem; řekněme, že v rámci bezpečnostního incidentu dojde k úplnému omezení fungování tohoto softwaru. To znamená, že kromě toho, že nefungují výrobní linky a neprobíhají výrobní procesy (postupy), v podstatě přestane fungovat celá společnost a zastaví se výrobní proces. Mluvíme zde například o útoku ransomwarem (pozn. – škodlivý kód, který vede k zašifrování dat, načež útočník vydírá oběť a požaduje zaplacení určité částky), při kterém jsou zablokovány počítače i samotná síť a není možné se k datům dostat. Samotné počítače jsou pouze nástrojem, ale veškeré know-how spočívá v datech, na jejichž základě společnost funguje. Jakmile dojde k omezení přístupu k těmto datům, i když vyměníte počítače a znovu nainstalujete tento software, ale nemáte správně zálohovaná data, nedokážete obnovit provoz společnosti. Obvykle se u útoků ransomwarem hovoří o tom, že dojde k zablokování systému či jednotlivých počítačů; v takovém případě útočníci požadují výkupné a po jeho zaplacení vám mohou poskytnout kódy k jejich odblokování. To však nefunguje vždy.
I když výkupné zaplatíte, jsou tyto kódy a celé systémy často natolik poškozené, že je nelze obnovit. Společnost tedy při takovém útoku jednak zaplatí výkupné a přesto má nefunkční systém, což může být opravdu velký problém. Proto je nutné přijmout opatření, která vycházejí z analýzy rizik. Časy se mění, digitalizace postupuje a vše závisí na technologiích. Je nutné brát kybernetickou bezpečnost a informační bezpečnost vážně.
