5 otázek, které prověří připravenost firmy na kybernetický incident

Máte zálohy, krizový plán i proškolené zaměstnance. Ale víte, co by se ve firmě skutečně dělo první hodiny po vážném incidentu?

Které systémy by bylo potřeba obnovit jako první? Jak dlouho by trval návrat do plného provozu? Kdo by rozhodoval o mimořádných nákladech? A co by firma dělala, kdyby selhal klíčový dodavatel?

Odpovědi na tyto otázky představují rozdíl mezi tím, zda jsou bezpečnostní opatření pouze „na papíře“, a tím, že budou fungovat i pod tlakem skutečného incidentu.

Pět následujících oblastí ukazuje, jak si odolnost proti případnému kybernetickému útoku prakticky ověřit. A přiložený checklist pomůže převést stejné otázky do praxe vaší firmy.

1. Co je pro chod vaší firmy opravdu kritické?

Je pondělí osm ráno. Část systémů je nedostupná a zatím není jasné, zda jde o technickou poruchu, nebo o kybernetický incident. Vaše IT má před sebou desítky služeb, databází, serverů a aplikací, které potřebuje prověřit nebo obnovit. Co má přijít na řadu jako první?

Technická odpověď nemusí být stejná jako ta byznysová. Pro IT může být zásadní centrální databáze. Pro provoz je ale důležité, že bez ní nefunguje objednávkový systém, sklad nemůže vyskladňovat zboží a zákaznická linka nevidí stav objednávek.

Aby firma dokázala podobnou situaci zvládnout, nestačí jen mít seznam kritických systémů. Musíte vědět, které procesy jsou pro vaše fungování zásadní, jak dlouhý výpadek unesou a na kterých službách a systémech závisejí.

S vytvořením podobného přehledu vám pomůže Business Impact Analysis neboli analýza dopadů na byznys. Propojuje technologie s procesy, hodnotí dopady jejich nedostupnosti a pomáhá určit priority obnovy. Ty by totiž neměly vycházet pouze z pohledu IT, ale především z toho, jaký dopad má výpadek konkrétní služby na fungování celé firmy.

Jak ověřit odolnost proti případnému kyberútoku?

Přijaté opatření:

• Máte určené kritické procesy a systémy i priority jejich obnovy.

Jak jeho fungování ověřit v praxi:

• Stačí vybrat několik klíčových služeb a položit jejich vlastníkům jednoduchou otázku: Kdyby přestaly fungovat, v jakém pořadí bychom je obnovovali a proč? 
• Pokud se IT, provoz a vedení neshodnou, test splnil svůj účel. Odhalil místo, které je potřeba vyjasnit.

2. Kdo bude rozhodovat?

Po několika hodinách je jasné, že nejde o běžnou technickou poruchu. IT doporučí odpojit systém, přes který běží část výroby. Krátce nato se ozve významný zákazník a zprávy o útoku se objeví na sociálních sítích. Zároveň vychází najevo, že incident může souviset s externím dodavatelem.

Při takovém incidentu se velmi rychle objeví otázky, na které technický tým nemá a ani nemůže mít odpověď. Má firma odpojit část sítě i za cenu zastavení výroby? Dočasně vypnout zákaznický portál? Spustit náhradní provoz? Kdo schválí mimořádné náklady?

V běžném provozu procházejí taková rozhodnutí standardními schvalovacími procesy. Při incidentu na ně ale nemusí být čas. Proto je nezbytné mít v rámci plánu kontinuity činností (BCP) předem definované rozhodovací pravomoci, odpovědnosti, zastupitelnost klíčových osob a eskalační postupy. BCP zároveň stanovuje scénáře a postupy, podle kterých organizace reaguje na narušení provozu a zajišťuje pokračování nebo obnovu kritických činností. A stejně důležité je vědět, kdo, kdy a jak komunikuje se zaměstnanci, zákazníky, partnery, médii nebo regulátory.

Transparentnost je totiž důležitá. Neznamená ale zveřejnit vše. Během probíhajícího incidentu mohou některé informace pomoci i samotnému útočníkovi.

„NÚKIB i mezinárodní best practices dlouhodobě doporučují krizová cvičení a tabletop scénáře, během kterých si management bezpečně vyzkouší rozhodování v podmínkách reálného incidentu. Právě tato cvičení často odhalí slabá místa v procesech, kompetencích i komunikaci,“ říká Petra Radostová, produktová manažerka O₂.

Jak ověřit odolnost proti případnému kyberútoku?

Přijaté opatření:

• Máte incident response plán.

Jak jeho fungování ověřit v praxi:

• Kritická rozhodnutí mají jasné vlastníky, role a pravomoci, kontakty jsou aktuální. 
• Cvičení často ukáže, že někdo odešel z firmy, změnil roli nebo není jasné, kdo koho zastupuje, a také jak dlouho rozhodování trvalo a jaké informace chyběly.

3. Dovedete skutečně vrátit provoz do normálu?

Je středa ráno. Akutní fázi incidentu se podařilo zvládnout, takže potřebujete co nejrychleji obnovit běžný provoz. IT předpokládá, že kritickou databázi, na níž závisí výroba i expedice zakázek, obnoví ze zálohy do dvou hodin. Jenže databáze nefunguje ani odpoledne.

Konstatování „Zálohujeme každý den“ zní uklidňujícím dojmem. Samo o sobě však nezaručuje, že data dokážete skutečně vrátit kompletní, použitelná a v potřebném čase. To lze ověřit pouze pravidelným testováním.

Ovšem ani obnovení dat ještě neznamená, že firma znovu vydělává.

Může se stát, že databáze funguje, ale objednávkový systém ne. Nebo objednávkový systém funguje, ale sklad nedostává data. Případně zákazník vytvoří objednávku, ale firma ji nedokáže expedovat. To, že část prostředí běží, ještě neznamená, že firma může vyrábět, prodávat a obsluhovat zákazníky.

Právě proto je důležité testovat nejen obnovu dat, ale i návrat celých služeb a procesů do běžného provozu. Teprve tak zjistíte, zda dokážete klíčové služby a procesy obnovit v čase, který si vaše firma může dovolit.

Jak ověřit odolnost proti případnému kyberútoku?

Přijaté opatření:

• Máte zálohy a plán obnovy.

Jak jeho fungování ověřit v praxi:

• Znáte skutečný čas návratu klíčových služeb do provozu. 
• Vyberte jednu kritickou službu a zkuste ji vrátit do provozu včetně všech návazností.
• Nestačí ověřit, že jsou k dispozici data. Důležité je zjistit, za jak dlouho mohou zaměstnanci pracovat, zákazníci objednávat a firma znovu fungovat.

4. Znáte svou závislost na dodavatelích?

Ve čtvrtek se při obnově provozu ukáže další komplikace: jedna z klíčových služeb závisí na externím dodavateli, jehož systém je stále nedostupný. Zjišťujete, že ani dobře připravená vlastní infrastruktura nemusí stačit, pokud nefunguje některý z článků dodavatelského řetězce.

Nemusí jít jen o konektivitu. Stejně kritický dopad může mít výpadek cloudové služby, klíčové SaaS aplikace, logistického partnera nebo dodavatele, který spravuje část infrastruktury.

Znalost vlastních technologií proto nestačí. Potřebujete také vědět, na kterých externích službách a partnerech vaše fungování závisí a co dělat, když přestanou být dostupní.

„Znalost dodavatelů, jejich role, souvisejících rizik a připravenosti na případné výpadky je dnes nedílnou součástí kybernetické odolnosti,“ zdůrazňuje Petra Radostová.

Verizon ve své zprávě Data Breach Investigations Report 2026 uvádí, že třetí strana hrála roli u 48 % analyzovaných narušení bezpečnosti. Neznamená to, že téměř polovinu firem napadl jejich dodavatel. Ukazuje to ale, jak významnou roli dnes externí závislosti v bezpečnostních incidentech hrají.

Jak ověřit odolnost proti případnému kyberútoku?

Přijaté opatření:

• Máte přehled o dodavatelích a plán pro případ jejich výpadku.

Jak jeho fungování ověřit v praxi:

• Víte, co uděláte, když klíčový dodavatel přestane být dostupný.
• Vyberte jednoho kritického partnera a projděte si scénář, že jeho služba od zítřejšího rána nebude fungovat. Jaký to bude mít dopad na provoz? Existuje alternativa? A kdo rozhodne, zda čekat na obnovení služby, nebo spustit náhradní variantu?

5. Vědí vaši zaměstnanci, co mají dělat?

Po vyhodnocení incidentu se ukáže ještě jedna důležitá věc. Jeden ze zaměstnanců několik dní před útokem obdržel podezřelou zprávu. Nepovažoval ji za rizikovou a nenahlásil ji.

Pokud lidé nevědí, jak v podobné situaci reagovat, nepomůže ani sebelepší technologie. Podle statistik je 82 % kybernetických incidentů spojeno s lidskou chybou a 96 % útoků začíná e-mailem.

Zaměstnance je tedy třeba průběžně vzdělávat. Ale stejně jako u záloh, krizových plánů nebo dodavatelů je důležitá realita, nejen existence opatření. Rozpoznají vaši zaměstnanci podvodný e-mail? Vědí, komu ho nahlásit? Zachovají se stejně i ve chvíli, kdy jsou pod časovým tlakem?

Dobrá zpráva je, že bezpečnost se dá trénovat. Ale ne formou jednorázového školení, po kterém se téma na dlouhou dobu odloží. Podoba útoků se totiž rychle mění a AI je dělá věrohodnější.

„Útočníci dnes využívají i telefonáty a SMS zprávy, nově si pomáhají umělou inteligencí. Vytvářejí tak situace, ve kterých je velmi obtížné podvod na první pohled odhalit,“ vysvětluje Petra Radostová.

Proto je třeba dostat kyberbezpečnost ze směrnic a prezentací blíž běžnému pracovnímu dni a správné reakce měnit v návyky.

Právě na tom stojí naše O₂ Cyber Academy. Pomocí krátkých lekcí přímo v e-mailu nebo v mobilní aplikaci a prostřednictvím simulovaných útoků průběžně ověřuje, jak by zaměstnanci reagovali v reálné situaci.

Když například kliknou na podvodný odkaz, okamžitě se dozvědí, čeho si měli ve zprávě všimnout. Firma nezískává jen potvrzení o absolvování školení. Vidí, jak zaměstnanci na jednotlivé scénáře reagují, zda se jejich výsledky zlepšují a na která témata je potřeba se zaměřit.

Jak ověřit odolnost proti případnému kyberútoku?

Přijaté opatření:

• Zaměstnanci absolvovali školení.

Jak jeho fungování ověřit v praxi:

• Zaměstnanci rozpoznají hrozbu a vědí, jak reagovat.
• Rozpoznají podvodný e-mail, SMS nebo telefonát a vědí, komu incident nahlásit. A jejich reakce i bezpečnostní návyky se zlepšují v čase.

Odolnost je proces

Pět popsaných oblastí může na první pohled působit jako bezpečnostní checklist. Jejich skutečná hodnota se ale ukáže až ve chvíli, kdy z nich firma vytvoří propojený proces. 

„Odolnost nespočívá pouze v jednotlivých opatřeních, ale především v jejich vzájemné provázanosti. Skutečná odolnost znamená schopnost organizace identifikovat důležitá aktiva, včas odhalit incident, správně reagovat, efektivně komunikovat, obnovit provoz a poučit se ze získaných zkušeností,“ vysvětluje Petra Radostová.

Jednotlivé oblasti spolu totiž úzce souvisejí. Jestliže nevíte, které procesy jsou pro firmu klíčové, těžko určíte priority obnovy. Pokud nejsou jasné role a pravomoci, může se rozhodování zbytečně zdržet. A když nevíte, jak by reagovali zaměstnanci nebo klíčoví dodavatelé, nemusí ani dobře připravený plán fungovat podle očekávání.

Kybernetická odolnost není stav „hotovo“. Je to schopnost firmy pokračovat ve fungování i ve chvíli, kdy věci nejdou podle plánu.

Pět otázek pro vedení:

1. Co potřebujeme po incidentu obnovit jako první?
2. Kdo bude rozhodovat a kdo ho zastoupí?
3. Kdy jsme naposledy otestovali návrat kritické služby do provozu?
4. Na kterých dodavatelích je náš provoz závislý?
5. Vědí naši zaměstnanci, jak rozpoznat podezřelou zprávu a co s ní udělat?

Chcete si svou odolnost prověřit podrobněji? Zadejte svůj e-mail a checklist „Jak by vaše firma zvládla kybernetický incident?“ vám pošleme. Díky němu zjistíte, co už máte ověřeno v praxi a kde ještě zůstávají slabá místa.

Co si z článku odnést?

• Samotné opatření ještě neprokazuje, že bude v praxi fungovat. Záloha, plán, smlouva ani školení samy o sobě nepotvrzují, že firma incident skutečně zvládne.
• Odolnost začíná u byznysu. Firma musí znát své kritické procesy, jejich vzájemné závislosti a dobu, po kterou si může dovolit jejich výpadek.
• Krizové řízení je potřeba prakticky testovat. Vedení musí znát své role, pravomoci, zastupitelnost i způsob komunikace během incidentu.
• Obnovu je potřeba vyzkoušet, ne předpokládat. Rozhoduje skutečný čas návratu kritických služeb do provozu.
• Do odolnosti patří i dodavatelé a zaměstnanci. Riziková externí služba i nesprávná reakce člověka mohou ovlivnit fungování celé firmy.
• Připravenost není stav „hotovo“. Je to průběžný cyklus: připravit, vyzkoušet, vyhodnotit, upravit a znovu ověřit.

Michaela Látalová
Marketingový specialista pro B2B

Píše o kyberbezpečnosti a nových technologiích a dává si záležet na tom, aby její texty nezapadly někde v koutě internetu a našly cestu ke správným lidem. Baví ji hledat způsoby, jak dostat téma kyberbezpečnosti z obrazovek tam, kam patří – do každodenního rozhodování a chování nás všech.