V rozhovoru pro CZ DEFENCE na Bezpečnostní konferenci v Plzni zdůraznil ředitel Národního úřadu pro kybernetickou a informační bezpečnost (NÚKIB) Lukáš Kintr, že kybernetická bezpečnost není pouze záležitostí státu, úřadů nebo velkých institucí. Stejně jako u celkové odolnosti společnosti začíná i zde odpovědnost u jednotlivce. Každý občan by měl podle něj přemýšlet o tom, jak nakládá se svými daty, komu je poskytuje a jakým způsobem chrání své účty, zařízení a digitální identitu.

Video: Lukáš Kintr: Kybernetická bezpečnost začíná tím, že o ní vůbec začneme přemýšlet / CZ DEFENCE

Na otázku, jak bezpečně Češi pracují se svými daty, Kintr odpověděl, že jednoduchá odpověď neexistuje. Přístup lidí je podle něj velmi individuální. Část společnosti je obezřetná a zodpovědná, jiná část kybernetickou bezpečnost příliš neřeší. Česká republika v tomto směru není výjimkou, protože podobně široké spektrum přístupů lze sledovat i v jiných zemích.

Významným tématem rozhovoru byla také nová pravidla v oblasti kybernetické bezpečnosti, zejména v návaznosti na evropskou směrnici NIS2 a nový zákon o kybernetické bezpečnosti. Kintr připomněl, že k dnešnímu dni eviduje NÚKIB více než 5700 regulovaných subjektů, což se blíží původním odhadům kolem šesti tisíc subjektů. Jde o výrazný nárůst oproti minulosti, kdy úřad do listopadu loňského roku reguloval přibližně 400 subjektů.

Podle Kintra se tak minimální bezpečnostní požadavky nově vztahují na mnohem širší okruh organizací, na nichž dnešní společnost reálně funguje. Skutečné zvýšení bezpečnosti však nepřijde okamžitě. Subjekty se nejprve musely zaregistrovat a nyní jim běží přechodná lhůta pro zavedení bezpečnostních opatření. Teprve poté bude možné hodnotit, zda se jejich bezpečnostní úroveň skutečně zvyšuje.

Kintr zároveň otevřeně připustil, že kybernetická bezpečnost něco stojí. „Bezpečnost není zadarmo,“ uvedl. Dopady nových pravidel se podle něj budou lišit podle toho, jak jednotlivé organizace přistupovaly ke kybernetické bezpečnosti dosud. Pokud ji řešily poctivě, nemusí pro ně nové povinnosti znamenat zásadní finanční zátěž. Pokud ji však dlouhodobě ignorovaly, bude je náprava stát výrazně více prostředků.

Ani v takovém případě však podle něj nejde o neřešitelnou situaci. Důležité je zmapovat vlastní nedostatky, vědět, kde organizace zaostává, a postupně rizika řídit. „Je potřeba to mít zmapované, vědět, kde ty nedostatky mám, a nějakým způsobem je řídit,“ vysvětlil Kintr. Firmy a instituce podle něj mohou začít nejpodstatnějšími opatřeními a dále se zlepšovat podle dostupných kapacit, zdrojů a financí.

Ředitel NÚKIB také zdůraznil, že kybernetické útoky rozhodně neustaly, i když se o nich veřejnost nemusí vždy dozvědět. „Ty útoky se dějí dnes a denně,“ uvedl s tím, že statistiky NÚKIB i Policie České republiky ukazují dlouhodobě rostoucí trend kybernetické kriminality. Mění se však skladba incidentů i jejich závažnost. Některé útoky nemají dopad na běžné občany nebo veřejný provoz, a proto nezískají mediální pozornost. Jiné jsou naopak velmi viditelné, zvlášť pokud zasáhnou citlivý sektor.

Jako příklad připomněl útoky na nemocnice, které byly mimořádně sledované i proto, že přišly v době pandemie covidu, kdy byl zdravotnický sektor pod extrémním tlakem. Právě kombinace vážných dopadů a citlivého načasování podle něj způsobila, že se o nich veřejnost dozvěděla mnohem více než o jiných incidentech.

V rozhovoru popsal také to, jak NÚKIB získává informace o možných útocích. Nejde podle něj o jeden zdroj, ale o kombinaci několika kanálů. Úřad aktivně monitoruje hrozby, zranitelnosti a jejich zneužívání. Regulované subjekty mají zároveň povinnost hlásit útoky NÚKIB nebo národnímu CERT týmu. Důležitá je také spolupráce s partnery na národní i mezinárodní úrovni, díky níž se úřad může dozvědět i o útocích, které samotný napadený subjekt vůbec nezaznamenal.

Na otázku, zda je Česká republika kyberneticky bezpečnou zemí, Kintr odpověděl opatrně. Samotnou míru bezpečnosti podle něj nelze jednoduše změřit. Měřitelná je spíše připravenost, institucionální nastavení a kvalita rámců, v nichž stát funguje. V těchto mezinárodních srovnáních si Česká republika podle něj vede velmi dobře a pravidelně se umisťuje na předních místech. To však samo o sobě nestačí. Rámec musí být naplňován konkrétními institucemi a organizacemi, a právě tam už je skutečná úroveň práce s bezpečností mnohem hůře měřitelná.

Závěr rozhovoru se vrátil zpět k občanovi. Podle Kintra je základním krokem už samotná otázka, jak si chránit vlastní kyberbezpečnost. „V prvé řadě si musím položit tuto otázku, protože to celá řada z nás prostě nedělá,“ uvedl. Jakmile člověk začne o svém chování v digitálním prostoru přemýšlet, měl by uplatnit podobnou logiku jako ve fyzickém světě.

Kintr použil jednoduché přirovnání: člověk by na ulici cizímu člověku nedal hotovost, klíče od domu ani informaci o tom, kde má otevřené okno. Stejně obezřetně by se měl chovat i v online prostředí. Základem je chránit si přístupové údaje, používat co nejbezpečnější metody přihlašování včetně dvoufaktorové autentizace a přemýšlet o tom, komu a jaká data poskytujeme.

Stejný princip se podle něj týká i mobilních aplikací. Uživatel by se měl ptát, zda aplikace skutečně potřebuje přístup například ke kameře, mikrofonu nebo dalším citlivým funkcím telefonu, pokud je pro svůj hlavní účel reálně nepotřebuje. Právě takové základní návyky tvoří podle Kintra první linii osobní kybernetické bezpečnosti.

Hlavní sdělení rozhovoru je proto jasné: kybernetická bezpečnost nezačíná až u státu, zákonů nebo specializovaných úřadů, ale u každého uživatele. Stát může nastavovat pravidla, regulovat klíčové subjekty a pomáhat zvyšovat bezpečnostní standardy, skutečná odolnost však vzniká teprve tehdy, když si jednotlivci, firmy i instituce začnou uvědomovat hodnotu vlastních dat a budou se podle toho chovat.