Ochrana před hackerskými útoky začíná u zaměstnanců

Kybernetickou bezpečnost musí firmy řešit komplexně, upozornili experti na kulatém stole Svazu průmyslu.

Kybernetické útoky jsou stále sofistikovanější. Jejich cílem se může stát prakticky každá firma. Slabým článkem v zabezpečení podniků jsou často samotní zaměstnanci, kteří takový incident záměrně či nezáměrně způsobí nebo jeho pachatelům významně pomohou. Bez vytvoření a dodržování bezpečnostních pravidel v digitální oblasti nemusí firmu ochránit ani vysoké náklady vynaložené na IT technologie, které by měly útokům bránit. Nejen to zaznělo na květnovém kulatém stole pražského regionálního zastoupení Svazu průmyslu, který se kyberbezpečnosti věnoval.

Jedno školení nestačí

Firma při zajištění dlouhodobé odolnosti musí přistoupit k bezpečnosti a řízení rizik celostně. „Jedno online školení za rok, které poučí zaměstnance, aby neklikali na podezřelé odkazy, bezpečnost firmy nezajistí. Výsledky penetračních testů ve firmách ukazují, že navzdory takovým školením na škodlivý odkaz někdo z firmy klikne během minuty,” upozorňuje Jiří Pavlas, manažer Cyber & Privacy poradenské společnosti PricewaterhouseCoopers.

Komplexní přístup k zajištění fungování firmy je nutné opřít o důkladné zmapování klíčových podnikových procesů a stanovení, jakým kybernetickým rizikům mohou čelit. Je třeba, aby si firmy vytvořily a pravidelně kontrolovaly krizové scénáře pro případ útoků, a to včetně mapy odpovědností jednotlivých pracovníků či oddělení a zajištění krizové komunikace. V případě napadení může mít každá minuta doslova cenu zlata, takže vše na co je možné se připravit dopředu, se ohromně hodí. Často se tyto plány dají shrnout na jediný list papíru, který mají všichni k dispozici, ideálně v tištěné podobě doma i na pracovišti, shodli se experti, kteří se zúčastnili kulatého stolu.

Klíčová je komunikace

Plány krizové komunikace jsou významnou součástí připravenosti firmy na případný útok. Má vliv nejen na okamžité řešení situace, ale i na její dlouhodobý dopad. „Klíčoví zaměstnanci by měli mít například k dispozici více mobilních sítí, musí být jasná krizová řídící struktura zohledňující i dovolené, protože útočníci útoky podnikají typicky v pátek pozdě odpoledne. V takovou dobu tedy nemůžete ztrácet čas zjišťovat, kdo má klíče od serverů,“ vysvětluje Jakub Ludvík, ředitel bezpečnosti společnosti T-Mobile. Důležité je také efektivně komunikovat o případném incidentu s veřejností či bezpečnostními složkami.
Přesun ekonomiky do online prostoru, nedostatek odborných pracovních sil a pokrok nástrojů umělé inteligence firmám dál komplikují řízení kybernetických rizik. Může navíc vznikat konflikt zájmů jednotlivých firemních útvarů. Personalisté potřebují najít vhodné pracovníky do firmy, a to na vyprázdněném trhu práce. Pracovníci bezpečnostního managementu by ovšem zároveň měli být schopni posoudit, jestli konkrétní kandidát nepředstavuje pro firmu určité riziko.

(Petr Teplý, regionální manažer pro Ústecký a Středočeský kraj a hl. m. Praha)