Informace, data a rizika v oblasti kybernetické bezpečnosti

Propojenost se exponenciálně rozrostla. Jen málokteré podniky a organizace se neobejdou bez připojení k internetu a digitálních technologií. Jednotlivci i firmy běžně provádějí transakce v hodnotě miliard dolarů a moderní život bez přítomnosti na internetu si lze jen těžko představit. 

A právě to z každého činí primární cíl kriminální činnosti oportunistů a organizovaných zločineckých syndikátů. Osobní údaje uložené v databázích umožňují přístup k údajům o kreditních kartách, finančním aktivům a duševnímu vlastnictví. Lze je získat bez jakéhokoli fyzického rizika pro pachatele a takové útoky pomocí ransomwaru mohou přinést velké výnosy od obětí, které zoufale touží znovu získat kontrolu nad svými sítěmi.  

Zároveň se podniky a organizace neposuzují pouze podle kvality svých produktů a služeb, jak tomu bývalo dříve. Hodnotí se podle toho, jak dobře zvládají širokou škálu témat, jako jsou bezpečnost, rovnost a diverzita, životní prostředí a udržitelnost, ale také informační bezpečnost. Společnosti kótované na burze podléhají ESG ratingu, který zahrnuje všechny výše uvedené aspekty a další.  

Proto musí organizace – aby byly dnes atraktivní a považovány za úspěšné – prokázat svůj závazek a správné řízení ve všech těchto oblastech. Informační bezpečnost bývala považována za záležitost výhradně pro společnosti z oblasti ICT. Vzhledem k tomu, že riziko hrozí všem a prokázání správného řízení se stává stále častějším požadavkem, přirozeně se otázka, jak se s tímto tématem vypořádat, dostává na pořad jednání firem a představenstev.

Nikdo není před útoky v bezpečí

Jednotlivci přicházejí o pár dolarů tím, že utrácejí za falešné nabídky šířené e-maily a sociálními sítěmi. Vlády, vzdělávací instituce, zdravotnické organizace a energetické sítě jsou vydírány, aby zaplatily obrovské částky za to, že jejich klíčové systémy nebudou vyřazeny z provozu. Komerčním organizacím jsou kradeny cenné aktiva a poskytovatelé ICT a komunikačních služeb figurují na předních místech seznamu cílů, protože představují vstupní bránu do organizací, které jejich služby využívají.  

Charakter útoků se změnil: od jednotlivých hackerů, kteří si pro zábavu užívali pronikání do sítí, přes úmyslné narušování provozu až po kriminální aktivity generující velké sumy peněz – od odčerpávání malých částek od velkého počtu lidí až po vymáhání velkých výkupných od jediného subjektu.  

Vzhledem k tomu, že je v sázce tolik, musí všechny společnosti posoudit svou rizikovou situaci a zjistit, vůči jakým typům hrozeb a útoků jsou zranitelné. Při tomto posuzování musí společnosti také prozkoumat, do jaké míry jsou vystaveny útokům pocházejícím od svých zákazníků nebo dodavatelů a jak by jakýkoli útok na jejich vlastní systémy mohl ovlivnit jejich hodnotový řetězec.  

Ačkoli stále existují, jednoduché viry a hackerské útoky z minulosti patří dnes možná k těm nejméně složitým, s nimiž se musíme vypořádat. Organizace nyní vedou závod s kyberkriminalitou, ale nevyhnutelně vždy o krok zaostávají. Zatímco se zabývají obranou proti poslední hrozbě, útočníci již připravují další fázi svých aktivit. 

Budování odolnosti podniku a důvěry zainteresovaných stran

Každá odvrácená hrozba může být poučením a poznatkem, který lze využít k vývoji a předvídání obranných opatření proti útokům. Řízení informační bezpečnosti však není jen o zmírňování krátkodobých rizik. Jde také o budování dlouhodobé odolnosti. Zavedení robustního rámce pro identifikaci, řízení a zmírňování rizik bude hnacím motorem neustálého zlepšování, vytvoří strukturovanou správu a posílí kontinuitu podnikání.   

Systém řízení informační bezpečnosti (ISMS) v souladu s mezinárodními osvědčenými postupy, jako je norma ISO/IEC 27001, pomáhá každé společnosti pochopit skutečný obraz rizik, zavést opatření k prevenci narušení bezpečnosti a procesy pro řešení případných incidentů. Navíc poskytuje strukturovaný rámec pro vývoj a implementaci procesů a bezpečnostních kontrolních mechanismů, zajišťující například angažovanost vedení a školení zaměstnanců.  

Zatímco vývoj systému řízení informační bezpečnosti (ISMS) v organizaci bude úkolem menšího týmu, zapojení všech zaměstnanců do jeho zavádění je nezbytnou podmínkou. Většina útoků je vyvolána neopatrným jednáním jednoho zaměstnance – kliknutím na odkaz v phishingovém e-mailu, použitím infikovaného USB flash disku, nastavením slabého hesla nebo jeho sdílením s cizí osobou. Taková jednání jsou málokdy úmyslná, ale mohou mít závažné následky. S náležitým školením se jim lze vyhnout, ale společnosti musí zajistit, aby školení bylo strukturované v rámci celé firmy a trvale zapojovalo všechny zaměstnance. 

Organizace může vyvinout systém řízení bezpečnosti informací podle vlastních kritérií nebo podle normy ISO/IEC 27001 a provádět vlastní audity či audity druhé strany za účelem ověření shody. Neexistuje však žádný způsob, jak nezávisle prokázat zákazníkům a dalším zainteresovaným stranám, že systém je zaveden a účinně funguje. 

Certifikace podle normy ISO/IEC 27001 poskytuje nezávislý důkaz, že váš systém řízení bezpečnosti informací splňuje požadavky této normy. Buduje důvěru uvnitř organizace a umožňuje důvěryhodně informovat zákazníky, dodavatele a další zainteresované strany o tom, že váš systém řízení bezpečnosti informací byl posouzen a shledán vyhovujícím nezávislým certifikačním orgánem. Certifikace rovněž vyžaduje každoroční audity systému řízení a důkaz, že je i nadále vhodný pro daný účel, což posiluje odolnost podniku a důvěru zainteresovaných stran.