Mikro, malé a stredné podniky tvoria drvivú väčšinu slovenských firiem. Digitalizácia procesov, cloudové služby, práca na diaľku a využívanie AI rozširujú ich kybernetický rádius.
Predstavte si to takto
“Pre automatizovaný kybernetický útok je veľkosť firmy podobne dôležitá ako farba fasády pri doručovaní nevyžiadanej reklamy. Keď sa však do konkrétnej firmy útočníci dostanú, vždy si niečo nájdu, čo ukradnúť, zmeniť alebo poškodiť.”
Autorom metafory je Marek Zeman generálny riaditeľ Kompetenčného a certifikačného centra kybernetickej bezpečnosti. Hodnotí skúsenosti z pohľadu jednej dekády, keď sa kyberbezpečnosť postupne stala významnou témou predstavenstva. Dnes už prestala byť výhradnou témou pre korporácie a je súčasťou bežného riadenia firiem všetkých veľkostí.
Ako to bude ďalej
Nevyhnutné opatrenia v kyberbezpečnosti budú stále viac sledovať nielen nové legislatívne požiadavky, ale aj o očakávania klientov, poisťovní či obchodných partnerov. Štatutár nemusí rozumieť konfigurácii firewallu, ale mal by vedieť, aké sú najväčšie riziká pre jeho firmu a ako sú riadené.
“Povedomie zamestnancov a majiteľov malých firiem o kyberbezpečnosti sa výrazne zlepšilo, hovorí Gabriel Lachmann výkonný riaditeľ Citadelo. “Najväčšou prekážkou dnes nie je nezáujem, ale disproporcia medzi rastúcimi požiadavkami a reálnymi možnosťami. Od malých firiem sa očakáva podobná úroveň bezpečnosti ako od veľkých, no bez porovnateľných zdrojov.”
Najväčší posun
Firmy sa menej pýtajú, či majú riešiť kyberbezpečnosť, a viac sa pýtajú, ako ju riešiť efektívne. “Vidíme rastúci záujem o praktické opatrenia, školenia zamestnancov a riadenie rizík,” konštatuje Marek Zeman. K pozitívnej zmene prispievajú aj prebiehajúce zákonné úpravy, ktoré rozšírujú diskusiu ďaleko za okruh regulovaných subjektov.
Tou horšou správou je, že úroveň kyberpripravenosti je veľmi nerovnomerná. Vedľa firiem s premyslenými procesmi existujú aj také, ktoré veria, že ich “nemá kto hacknúť". Žiaľ, skutočnosť dokazuje opak a to ešte nie je čas rozvinutých, automatizovaných útokov. AI pomáha obrancom rýchlejšie odhaľovať incidenty, ale zároveň znižuje bariéry pre útočníkov.
Rozdiely sú priepastné
Rozdiely v prístupe ku kyberbezpečnosti vníma aj Miroslav Ilavský riaditeľ i-Secure. “Máme zákazníkov, ktorí k tomu od začiatku pristúpili seriózne a teraz po niekoľkých auditoch dosahujú vysoké miery súladu. Sú však aj takí, ktorí rezignovali a neinvestujú do zvyšovania úrovne kybernetickej bezpečnosti vôbec.”
Externé kyberbezpečnostné služby už stále častejšie využíva súkromný aj verejný sektor a do portfólia i-Secure patria výrobné fabriky, personálne agentúry, mestá a obce, nemocnice aj laboratóriá. “Stále však natrafíme na firmy, ktoré ani netušia, že majú povinnosti v zmysle Zákona o kybernetickej bezpečnosti,” neprestáva sa čudovať Miroslav Ilavský.
Nie technológie, ale priority
Marek Zeman vidí, že v praxi kyberbezpečnosť často prehráva súboj s "naliehavejšími" úlohami, až kým sa nestane tou najnaliehavejšou sama. V menších firmách navyše často chýbajú odborné kapacity a predstava, kde začať.
Nevyhnutnou podmienkou na budovanie kybernetickej odolnosti je podpora vedenia, fungujúca IT prevádzka a procesy v spoločnosti. “Sú opatrenia, ktoré nevyžadujú veľké investície a zvýšia kybernetickú bezpečnosť. Väčšie investície vie verejný sektor financovať zo štrukturálnych projektov,” hovorí o riešeniach Miroslav Ilavský.
A jednoduchý test kvality dodávateľa? Gabriel Lachmann majiteľom firiem odporúča, aby sa už nepýtali, aký firewall používa jeho IT dodávateľ. Mal by sa opýtať: „Ak nám zajtra kybernetický útok zastaví firmu, kto a čo urobí počas prvých 24 hodín?“ Ak na túto otázku neexistuje jasná odpoveď, problém nie je v technológiách. Je v pripravenosti celej firmy.
Kompas pre rozpočet
Namiesto bezhlavého nákupu technológií by organizácia mala začať analýzou rizík. “Je to niečo ako kompas pre smerovanie investícií,” odporúča kyberbezpečnostný architekt Július Selecký z Esetu.
Rozpočet by nemal kopírovať technologické vychytávky, ale reálne hrozby, ktorým firma čelí.
V súčasnosti čelia organizácie narastajúcemu počtu požiadaviek a hrozieb, pričom však často disponujú rovnakým počtom zamestnancov a limitovaným rozpočtom.
Kľúčové je identifikovať, čo je pre organizáciu kritické - systémy, dáta, procesy či ľudia. Zároveň sa treba zamyslieť, čo by spôsobilo najväčšiu škodu, či už ide o výpadok, únik dát alebo ransomvér. Prioritu pred komfortom musí dostať to, čo najviac zníži identifikované riziko.
Aby to neboli vyhodené peniaze
Mnohé organizácie „prestrelia“ investície do nástrojov, ale zlyhávajú v ich využívaní. Hoci často majú endpoint ochranu, firewall či zálohovanie, chýba im nepretržitý monitoring, dedikovaní analytici a kapacita na triedenie bezpečnostných varovaní.
Viac nástrojov automaticky neznamená viac bezpečnosti. Skutočná hodnota vzniká až vtedy, keď z výstupov týchto nástrojov niekto urobí kvalifikované rozhodnutie. “Často zisťujeme, že systém hlásil útok aj niekoľko dní, no kvôli preťaženosti IT tímu mu nikto nevenoval pozornosť,” hovorí Július Selecký.
V konečnom dôsledku o bezpečnosti nerozhoduje počet nástrojov, ale schopnosť odhaliť incident a včas reagovať. Preto moderné kyberbezpečnostné služby kombinujú pokročilú technológiu XDR, umelú inteligenciu a expertízu analytikov, ktorí proaktívne vyhľadávajú hrozby.
Komu veriť
S rastom dopytu sa vždy vyroja aj odborníci rôznej kvality. Marek Zeman preto odporúča oprieť sa o informácie národných autorít, odborných organizácií a európskych inštitúcií. Cenné sú aj praktické konferencie, cvičenia a výmena skúseností medzi firmami.
Kompetenčné a certifikačné centrum kybernetickej bezpečnosti ponúka práve pre malé a stredné organizácie množstvo vzdelávania, webinárov a dokumentov. V kyberbezpečnosti totiž platí jednoduché pravidlo, že dôverovať treba overeným informáciám, nie kamarátovi, ktorý "to má určite dobre nastavené".
KCCKB zároveň dlhodobo pomáha slovenským firmám zvyšovať odolnosť voči kyberhrozbám a zavádzať moderné bezpečnostné technológie.
Aktuálne: Výzva na podporu post-kvantového šifrovania.
Grantová výzva na integráciu post-kvantového šifrovania ponúka financovanie do 45 000 eur, 90 % oprávnených výdavkov. Oprávnení žiadatelia sú právnické osoby – podnikatelia registrovaní na Slovensku. Uzávierka na predkladanie žiadostí je 17. augusta 2026.
Pripravujeme: Výzva zameranú na zavádzanie monitorovacích riešení SIEM.
SIEM umožňuje v reálnom čase centralizovane sledovať bezpečnostné udalosti a včas odhaliť ransomvér či iné útoky. Firmám uľahčí plnenie požiadaviek zákona o kybernetickej bezpečnosti a GDPR. Výzva zahŕňa analýzu prostredia, návrh riešenia, implementáciu u žiadateľa, konfiguráciu aj testovanie. Výzva je určená malým a stredným podnikom, vyhlásenie je plánované v polovici augusta.