Berta Jarošová a Veronika Kolek Netolická: Co dělat, když stát varuje před kybernetickou hrozbou

Kybernetické hrozby už dnes firmy nemusí odhalit jen vlastními silami nebo s tradičními bezpečnostními partnery. První signál totiž může přijít i od státních institucí. Jak taková varování fungují, vysvětlují Berta Jarošová a Veronika Kolek Netolická.

Varování před kybernetickou hrozbou mohou ze strany státních institucí obdržet zejména subjekty regulované zákonem o kybernetické bezpečnosti. Ale znalost mechanismů spolupráce se státem se může hodit i dalším firmám a organizacím, protože kyberbezpečnost není pouze otázkou technologií, nýbrž i schopnosti přijímat a využívat informace, které přicházejí z okolního prostředí.

Důvěra je základ úspěšné spolupráce a v kyberprostoru ji můžete rychle ztratit, říká Berta Jarošová

Zobrazit

V českém prostředí je v tomto ohledu klíčovou institucí Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB). Jeho role není pouze regulatorní. Významnou část práce tvoří právě i sdílení informací o aktuálních hrozbách a koordinace reakce na závažné bezpečnostní incidenty.

S tím mu pomáhají i takzvaní cyber attachés, kteří působí v různých regionech po celém světě. V těchto regionech zajišťují výměnu informací a další práci s nimi. V Indo-Pacifiku například tuto roli zastává Veronika Kolek Netolická a v USA donedávna působila Berta Jarošová, které nám popsaly, jak taková varování fungují.

Varování od úřadů v praxi

V jakých situacích může firma v Česku dostat varování od úřadu nebo jiné veřejné instituce, že jí hrozí kybernetický útok nebo že už probíhá?

Veronika Kolek Netolická: V České republice se to primárně týká subjektů, které spadají pod regulaci zákona o kybernetické bezpečnosti, tedy takzvaných poskytovatelů regulovaných služeb.

Pokud má stát – typicky prostřednictvím NÚKIB – k dispozici relevantní informace o probíhající nebo bezprostředně hrozící kybernetické hrozbě, která by takový subjekt mohla zasáhnout, může mu být adresně předáno varování nebo doporučení.

Poskytovatelé regulovaných služeb znají své prostředí vždy lépe než stát. Právě proto je klíčové, aby hlásili kybernetické bezpečnostní incidenty.

Veronika Kolek Netolická
cyber attachée

Zároveň je ale důležité zdůraznit opačný směr toku informací. Poskytovatelé regulovaných služeb znají své prostředí vždy lépe než stát. Právě proto je klíčové, aby hlásili kybernetické bezpečnostní incidenty. Tím umožní úřadům včas identifikovat širší kampaně a varovat další subjekty dříve, než se hrozba rozšíří.

Jaké má NÚKIB ke komunikaci hrozeb nástroje a co se skrze ně subjekty dozvědí?

Berta Jarošová: Varování či jiná protiopatření vydaná NÚKIB jsou doručována prostřednictvím oficiálních komunikačních kanálů, kdy NÚKIB disponuje seznamem kontaktních osob v jednotlivých organizacích. Pokud jsou tato protiopatření určena všem, zveřejňují se na úřední desce úřadu a zasílají se kontaktním osobám.

Sdílení informací i komunikaci mezi NÚKIB a regulovanými subjekty nově zjednodušuje a urychluje nový Portál NÚKIB, který byl vyvinut v rámci implementace nového zákona o kybernetické bezpečnosti.

NIS2 zvýší význam sdílení informací

Směrnice NIS2 vychází z toho, že kybernetické útoky dnes často zasahují celé sektory a dodavatelské řetězce. Proto posiluje nejen řízení rizik, ale také sdílení informací mezi firmami, státem a bezpečnostními institucemi.

V praxi to znamená rychlejší hlášení incidentů, efektivnější předávání informací o hrozbách a větší důraz na bezpečnost dodavatelů. Pro firmy je to připomínka, že kyberbezpečnost už není jen otázkou vlastních technologií, ale také schopnosti reagovat na informace přicházející z okolního prostředí.

Obsah protiopatření závisí na povaze (od výstrahy a varování po reaktivní opatření), nebývá to jen obecný popis hrozby. Typicky zahrnuje charakteristiku hrozby (např. typ útoku nebo zranitelnosti), indikátory kompromitace a především konkrétní doporučená opatření, která má organizace zvážit nebo bezodkladně realizovat. Jde tedy o praktické vodítko, jak snížit riziko.

Správná reakce je důležitá

Co by měla firma udělat jako první ve chvíli, kdy takové upozornění dostane?

Veronika: Prvním krokem by mělo být formální převzetí informace a její rychlé vyhodnocení v kontextu vlastního prostředí. Paralelně s tím by firma měla zapojit odpovědné osoby (IT, bezpečnost, management), vyhodnotit relevanci varování vůči svým systémům a bez zbytečného odkladu implementovat doporučená opatření, přičemž se prioritně zaměřit zejména na ta označená jako urgentní.

Kde podle vás firmy po obdržení podobného varování nejčastěji selhávají?

Berta: Nejčastějším úskalím je, že informace ze strany NÚKIB sice dorazí, ale opatření se neimplementují – nebo jen částečně a se zpožděním. Důvody bývají různé – od nedostatku kapacit po nejasné odpovědnosti nebo podcenění relevance hrozby ve smyslu „nás se tato hrozba netýká“. Protiopatření samo o sobě firmu nebo instituci neochrání. Rozhodující je právě včasná a důsledná implementace uvnitř organizace.

Nejčastějším úskalím je, že informace ze strany NÚKIB sice dorazí, ale opatření se neimplementují – nebo jen částečně a se zpožděním.

Berta Jarošová
cyber attachée

Co by podle vás mělo mít vedení firmy připraveno, aby dokázalo na podobné varování reagovat rychle a smysluplně?

Veronika: Zásadní není jen technologie, ale schopnost organizace informace absorbovat a převést do akce. Firma může mít sebelepší nástroje, ale pokud nemá jasně dané role, dostatečně vyškolené lidi a nemá rozhodovací procesy, pak zůstávají tyto nástroje fakticky nevyužité.

Hrozby mají řadu podob

Jakých typů hrozeb se vaše komunikace se zahraničními partnery v poslední době týká nejčastěji?

Berta: Obecně lze říct, že například s USA řešíme nejčastěji hrozby ze strany státem sponzorovaných aktérů, to znamená primárně ze strany Ruska a Číny. Nedávno jsme ale například řešili i situaci týkající se možné škodlivé aktivity severokorejské skupiny v ČR. Ze strany USA pak také pravidelně dostáváme tzv. pre-ransomware notifikace, které nám jako NÚKIB umožňují varovat organizace v ČR, jež by se mohly stát terčem ransomwarových útoků, a předejít jim.

Je rozdíl mezi tím, jaké hrozby a varování se týkají soukromých firem a jaké státních institucí?

Veronika: Z technického pohledu jsou typy hrozeb velmi podobné – malware, zranitelnosti, DDoS, kompromitace účtů. Rozdíl je především v motivaci útočníků. U státních institucí a veřejného sektoru častěji dominuje kybernetická špionáž, vlivové operace a geopolitické zájmy. U soukromých firem převažují kriminální aktivity motivované ziskem, jako je ransomware, podvody nebo krádeže dat.

V kyberbezpečnosti musíme vědět, na které dveře zaklepat, až přijde krize

Zobrazit

Cyber attachés jsou důležití prostředníci

Jakou roli hrají při práci s informacemi cyber attachés? Odkud se k vám informace dostávají, jak je vyhodnocujete a jak se dostávají dál k relevantním subjektům v Česku?

Berta: Cyber attachés NÚKIB mají klíčovou roli při sdílení informací, a to nejen při jejich sběru, ale zejména při jejich předávání. Cílem je, aby se informace co nejrychleji dostala ke konkrétnímu subjektu nebo instituci, pro které je relevantní. Informace se k nám obecně scházejí z národních CERTů, partnerských bezpečnostních institucí, včetně například FBI, nebo ze strany soukromých technologických společností. Právě sdílení informací ze strany firem, které poskytují tzv. Cyber Threat Intelligence a s nimiž máme buď dlouhodobou formální spolupráci, nebo neformální spolupráci založenou na vzájemné důvěře, je klíčové pro včasnou detekci kybernetických hrozeb a přijetí adekvátních opatření.

Liší se mezi jednotlivými zeměmi nebo regiony způsob, jakým se podobné informace sdílejí? Jsou v tom nějaké kulturní nebo institucionální rozdíly?

Veronika: Ano, rozdíly existují. Nejde ani tak o technickou úroveň, jako spíše o institucionální nastavení, míru důvěry mezi státem a soukromým sektorem a celkově kulturní přístup ke sdílení citlivých informací. Některé země kladou důraz na velmi rychlé, ale obecné sdílení, jiné naopak na menší objem, ale vysoce cílené informace.

Checklist pro vedení firmy

1. Určete osobu odpovědnou za příjem bezpečnostních upozornění.
2. Definujte postup, kdo rozhoduje o reakci na varování.
3. Zajistěte, aby se informace dostala nejen k IT, ale i k vedení.
4. Sledujte veřejná varování NÚKIB a příslušných národních CERT/CSIRT týmů podle zemí, ve kterých firma působí.
5. Prověřte, zda vaši dodavatelé bezpečnostní informace aktivně sdílejí.
6. Otestujte proces reakce na externí varování.
7. Pravidelně aktualizujte kontaktní osoby a eskalační scénáře.
8. Vyhodnocujte, jak rychle dokáže organizace přejít od informace k akci.

Co si z článku odnést?

• Včasné varování před kyberhrozbou nemusí přijít pouze od interního IT týmu.
• NÚKIB a další instituce hrají důležitou roli při sdílení informací o aktuálních hrozbách.
• Kyberbezpečnost je stále více založena na spolupráci a výměně informací.
• Největším rizikem nebývá nedostatek informací, ale pomalá reakce organizace.
• I firmy mimo regulované sektory by měly sledovat veřejná bezpečnostní upozornění.
• Schopnost převést informaci do konkrétní akce je dnes stejně důležitá jako samotné technologie.

Kateřina Dobrá
Marketingový specialista pro B2B

Káťa se věnuje tvorbě článků, O2 CyberCastu a newsletterů na téma kyberbezpečnosti a moderních technologií. Srozumitelně překládá složitá témata do lidské řeči, propojuje technický svět s praxí a ráda jde pod povrch věcí. Zaměřuje se na bezpečnost dat, nové technologické trendy a jejich reálný dopad na firmy i jednotlivce.