Bezpečnost firem ohrožují jejich vlastní lidé, v kyberprostoru se vyplatí nulová důvěra, radí etičtí hackeři

Se znakem superhrdiny Kapitána Ameriky na hrudi, rychlou gestikulací a černými brýlemi na očích působí bezpečnostní analytik Jan Marek i přes obrazovku počítače vcelku rozhodně. I tak mluví: „Řeknu něco, co se spoustě lidí nebude pěkně poslouchat, ale je třeba si to ujasnit – čeští ajťáci mají opravdu hodně co zlepšovat. Je to tak. Kdyby nekašlali na to, co mají dělat, byl bych bez práce.“ A ještě dodává, že coby někdejší systémový administrátor v ČSA (ovšem v dobách, kdy to byl státní podnik s tisícovkami zaměstnanců) ví, co taková práce obnáší: „Mě neopijou rohlíkem.“

Čtyřiatřicetiletý Marek zná slabiny českých firemních sítí opravdu zblízka, je totiž spoluzakladatelem společnosti Cyber Rangers, která se věnuje právě odhalování slabin v počítačovém zabezpečení. Někdy se lidem, jako je on nebo jeho byznysový partner Daniel Hejda, říká etičtí hackeři.

Co dělají? Na zakázku, aniž by o tom v dané firmě věděl kdokoli jiný než jeden či dva lidé, kteří si je najali, se nabourají do podnikových počítačů a ukáží, kde má firma díry, jimiž by na ni mohli zaútočit opravdoví zločinci. Někdy pak s Hejdou navíc kybernetické průniky i vyšetřují.

„Dřív jsme jako konzultanti pomáhali ve firmách nastavovat jejich podnikové sítě, starali jsme se o servery, a získali jsme tak detailní přehled o tom, co jim chybí. A došli jsme k tomu, že často staví dům od střechy. Mají totiž skvělé vybavení, pořizují si nejnovější programy, ale ten základ, bezpečnost, mají úplně nefunkční. Bohužel,“ vypráví Hejda. A jelikož v tom ucítili jak byznysovou příležitost, tak šanci dělat něco užitečného, začali se specializovat výhradně na kybernetickou bezpečnost. Ta se stala s ohledem na digitalizaci mnoha oborů, což covid jen urychlil, zásadním tématem: „Jenže jak nám ukazují třeba úspěšné útoky na nemocnice včetně českých, řada organizací zaspala.“

Internetoví kriminálníci vycítili koronavirovou pandemii jako příležitost, neboť se do prostředí jedniček a nul přesunulo najednou podstatně víc lidí i činností. Například FBI ve své výroční zprávě za rok 2020 zmiňuje, že meziročně mu přibylo o 69 procent více stížností a podnětů na vyšetření nějaké formy kybernetických zločinů. To ostatně potvrzuje také Amy Hogan-Burneyová, která vede interní tým Microsoftu vyšetřující digitální kriminalitu. Při nedávné odborné konferenci k tomu dodala, že s tím, jak se řadě firem přesunula velká část jejich pracovníků na home office, vznikla najednou úplně nová rizika: „Dřív byli všichni na jednom místě v kancelářích, bylo tam jednotné zabezpečení. Když ale máte lidi na mnoha místech najednou, rázem toho musíte ohlídat podstatně víc. Kyberkriminálníci neustále vymýšlejí, jak k vám do sítě proniknout, vylepšují své techniky, přizpůsobují se. A na covid se adaptovali samozřejmě také.“

Podle poradenské společnosti Deloitte se jen mezi únorem a květnem 2020 stalo na půl milionu lidí po celém světě obětí útoku, kdy se někdo cizí naboural do jejich telekonference. Ve stejné zprávě pak Deloitte píše, že při práci z domova je až polovina zaměstnanců náchylná tomu podlehnout phishingovému útoku, tedy podvodnému vylákání citlivých dat, jako jsou třeba přihlašovací
údaje pro přístup do firemní sítě.

Na obou stranách – tedy jak útočníkům, tak obráncům – přitom pomáhá čím dál víc umělá inteligence. „Náš přístup k zajištění kybernetické bezpečnosti je postavený na dvou pilířích: integraci řešení a umělé inteligenci. Naše systémy denně vyhodnotí 30 miliard ověření pro 425 milionů uživatelů platformy identit Azure Active Directory, které spolu s dalším množstvím signálů slouží jako vstup pro AI modely. Data potom naše systémy vyhodnocují a expertům z řad našich zákazníků v reálném čase poskytují informace potřebné pro prevenci, zablokování a případné vyšetřování útoku,“ dává příklad Petr Váša, který v Microsoftu působí v divizi Microsoft 365, pod niž spadají řešení pro kybernetickou bezpečnost a další cloudové služby jako Teams nebo SharePoint.

Podcast

Technologie mění trh práce, firmy se musí naučit důvěřovat svým lidem a zaměstnanci se vzdělávat a vyjednávat

24. 3. 2021 ▪ 2 min. čtení

Marek s Hejdou, kteří kolem své firmy Cyber Rangers vybudovali i aktivní komunitu fanoušků kybernetické bezpečnosti, ale upozorňují, že z umělé inteligence se v očích části manažerů stalo cosi jako samospásné řešení. „A ničím takovým není,“ upozorňuje Hejda. A dává příklad: „Člověk je pořád potřeba. Časem se to změní, ale teď pořád ještě potřebujete člověka, který hlášení překontroluje a rozhodne, co se bude dít.“

Klíčové podle něj přitom je, aby lidé i firmy dbali celkem jednoduchých a základních pravidel, jako je měnit hesla a nedělat je snadno uhodnutelná, pravidelně instalovat aktualizace operačních systémů a také se řídit zásadou zero trust. Co to je? „Může to znít drsně, ale je to vlastně princip nulové důvěry. Musíte ke každému zaměstnanci, včetně ředitele, protože ti bývají největším rizikem, přistupovat jako k potenciální hrozbě. Jako by kdokoli, kdo se připojuje, už měl vlastně infikovaný systém. To vám ušetří dost problémů.“