Kyberbezpečnost? Začíná mezi židlí a klávesnicí, není jen v rukou IT odborníků

Právě tato místa, ta nenápadná, každodenní, jsou dnes nejčastějšími vstupními branami útoku. Zní to možná banálně, ale podcenění fyzické bezpečnosti je častým bodem selhání. Útočník přitom nemusí být technicky zdatný. Mnohem častěji jde o pragmatického zločince, který ví, že nejjednodušší cesta do firemní infrastruktury vede přes lidi – ne přes kód.

Jak vypadá typický scénář kybernetického útoku

Zaměstnanec ve skladu nebo na podpoře dostane e-mail, který vypadá jako běžné upozornění o zpožděné zásilce. Kvůli pracovní rutině ho otevře bez většího přemýšlení, klikne a tím otevře útočníkovi dveře. Ten dál už jen systematicky zjišťuje, kam se může dostat. A než si toho někdo všimne, je systém kompromitovaný nebo hůř, data jsou pryč a zašifrovaná.

Firmy často předpokládají, že ochrana znamená investici do drahých technologií. Jenže realita je trochu jiná. Největší slabinou bývá absence připravené strategie a především nedostatek pravidelného školení zaměstnanců. Kyberbezpečnost se totiž neodehrává jen ve firewallech a serverovnách, ale především mezi židlí a klávesnicí. Do e-mailu už dávno nechodí jen spam s gramatickými chybami a přehnanými sliby. Phishing se dnes tváří jako zpráva od dopravce, upozornění na aktualizaci softwaru nebo dokonce jako interní pokyn od IT oddělení. A díky využití umělé inteligence to často vypadá zcela důvěryhodně.

AI dnes umí vygenerovat zprávu, která kopíruje jazyk konkrétní firmy, napodobí vizuál známé služby a vytvoří falešnou přihlašovací stránku, kterou neodhalí ani zběžně pozorné oko. Stačí, aby někdo ve spěchu vyplnil své přihlašovací údaje a útočník má volnou cestu do systému. A protože jde o sofistikovaný útok, který se často neprojeví hned, může týdny nebo měsíce tiše sbírat informace. V určitém momentu pak udeří. Typicky zašifrováním klíčových dat a následným vydíráním.

Pravidelná školení mohou zaměstnance připravit

Na první pohled to může působit jako problém pro technické oddělení. Ale chyba. „První linie obrany dnes nejsou firewally ani antiviry – jsou to samotní lidé. A právě proto je edukace zaměstnanců klíčová. Nejde o to z nich dělat IT experty. Stačí, aby si při čtení e-mailu na pár vteřin dali pauzu, zpochybnili automatický reflex kliknout a v případě nejistoty se raději zeptali. Zní to jednoduše, ale právě tyto návyky mají největší dopad,” říká Lukáš Vejman, ředitel společnosti MyCom, která se kyberbezpečností zabývá. 

V praxi totiž stále platí, že zabezpečený systém nestačí, pokud se mu nepřizpůsobí i každodenní chování uživatelů. Cloudové služby, centrální systémy, e-maily. to všechno jsou propojené nádoby. A útočník potřebuje jen jednu skulinu, jednu jedinou chybu.

Kyberbezpečnost je proces, ne hotový stav

Kyberbezpečnost je neustálý proces, který je o kombinaci pravidelné práce s technologiemi, procesy a s lidmi. Nejčastější chybou firem totiž není absence špičkového zabezpečení, ale snaha vyřešit bezpečnost jedním nákupem, jednou investicí.

Bez aktualizací, bez kontinuálního školení a bez jasně nastavených pravidel zůstává i ten nejmodernější systém zranitelný. Ochrana nikdy nebude stoprocentní, ale může být dostatečná. Klíčem je přístup, který počítá s tím, že útok může přijít kdykoli. „Bezpečnost v cloudu nebo on-premise není jen o technologiích. Je to především o schopnosti firem reflektovat vlastní slabiny a nebát se je pojmenovat. Tam, kde se na bezpečnost pohlíží komplexně, dokážeme rizika minimalizovat mnohem efektivněji,“ říká Petr Loužecký, ředitel úseku Cloud z IT společnosti Algotech.

Kybernetická bezpečnost tak není jen výzvou pro IT specialisty – je to firemní kultura. A stejně jako v každé kultuře, i tady rozhodují drobnosti. Vteřina nepozornosti, kliknutí navíc, odložená aktualizace. Ale také ochota se učit, klást si otázky a myslet o krok dopředu.