V uplynulom roku som sa zúčastnila takmer troch desiatok auditov kybernetickej bezpečnosti. Boli to rôzne typy a veľkosti organizácii, ale jedno mali spoločné - často nechýbajú technológie ale prehľad.
V jednej firme sa ukázalo, že najvyššie správcovské oprávnenia k celej doméne mala vedúca HR a oddelenie IT o tom vôbec nevedelo. A mimochodom, pani vedúca to oprávnenie k práci vôbec nepotrebuje.
Razantná otočka
Bezpečnostné prostredie sa najviac mení nástupom umelej inteligencie. Školenia o bezpečnom používaní AI sa už stávajú realitou a menia sa aj otázky, ktoré dostávam. Ľudia sa už nepýtajú, čo všetko im AI uľahčí, ale k čomu všetkému sa dostane AI agent, ktorý za nich samostatne vykonáva úlohy.
V súčasnosti už AI agentom zadávajú ľudia čítať firemnú poštu, otvárať dokumenty a pracovať s internými systémami. Nejde totiž o chatbota, ktorému niečo napíšeme, ale o nástroj s vlastnými prístupovými právami.
To sú tie správne a logické otázky - AI agent bez jasne nastavených hraníc je totiž vstupný bod útoku, ktorý si firma vytvorila sama a dobrovoľne.
Drajvery zmien
Nezabudnuteľná bola analýza rizík, kde nám vedenie povedalo, že náhradný plán majú na všetko. Aj na stav kybernetického útoku. Keď o pár týždňov začali zamestnancom „zamŕzať“ počítače, ukázalo sa, kde sú medzery a aká panika môže nastať.
Plán existoval na papieri, ale nikto ho nikdy neskúšal. O incident napokon nešlo, pohľad firmy na bezpečnosť sa však zmenil zo dňa na deň.
Aj tu sa ukázalo, že pokrok v kybernetickej odolnosti ženú tri faktory. Prvým je rastúci počet incidentov, ktoré presviedčajú manažérov, že prevencia je výrazne lacnejšia ako riešenie následkov. Druhým faktorom sú nové regulačné požiadavky, ktoré kladú dôraz na riadenie kybernetických rizík v širšom okruhu organizácií.
Tretím a stále rastúcim motivátorom kyberbezpečnostných opatrení je poistný trh. Poisťovne čoraz častejšie vyžadujú splnenie základných bezpečnostných štandardov, čím firmy motivujú investovať do ochrany.
Bariéry progresu
Najškodlivejší mýtus v slovenských firmách „nás sa to netýka, sme príliš malí“, chorobne pretrváva.
Automatizované útoky totiž vyhľadávajú zraniteľné systémy bez ohľadu na veľkosť firmy.
Pri audite jednej inštitúcie s vlastným rozsahom verejných IP adries sme našli desiatky služieb vystavených priamo do internetu. Časť bola dokonca na neaktualizovaných systémoch a nikto za ne nemal ani len pridelenú zodpovednosť.
Veľkosť organizácie sama osebe nechráni pred ničím. Implementáciu najčastejšie nebrzdia technológie ale ľudia a manažérske rozhodnutia. V praxi sa mi opakovane stáva, že rolu manažéra kybernetickej bezpečnosti zastáva kolega, ktorý má bezpečnosť ako poslednú položku v náplni práce. Nie pre nedostatok odbornosti, ale preto, že mu pri bežnej prevádzke nezostáva priestor.
Opatrenia v praxi často brzdí aj zložitosť legislatívy – majitelia firiem nevedia, kde začať a čo má najvyššiu prioritu. Najčastejšie však chýba vízia a stratégia. Bez nej sa opatrenia zavádzajú reaktívne a výsledkom sú kroky, ktoré stáli peniaze, no nezvyšujú odolnosť.
Trend potvrdený rokmi
Výzvou už nie je presvedčiť podniky, že kybernetická bezpečnosť je dôležitá, ale premeniť toto uvedomenie na každodennú prax.
Zmysel má položiť si základnú otázku: ako dlho dokážeme fungovať bez svojich systémov a dát? Kladiem ju na začiatku každého auditu.
Firmy, ktoré vedia odpovedať, bývajú pripravené. Tie, ktoré odpoveď hľadajú až pri stole, majú pred sebou najviac práce. A podľa tejto odpovede si dnes vyberajú partnerov aj zákazníci.
Žaneta Steklová manažérka kybernetickej bezpečnosti
Cyllium