Jakou hodnotu mají firemní data?
Moderní technická řešení nabízejí velmi vysokou úroveň kybernetického zabezpečení před všemi různými typy útoků. Jak sofistikovaná (a nákladná) ochrana je ve skutečnosti potřeba však nelze zjistit bez analýzy možných rizik. V některých případech je to snadné. Například e-shop z historie objednávek celkem jednoduše spočítá, o kolik přichází každou hodinu výpadku kvůli kyberútoku. Podobně to umí vyčíslit výrobní závody nebo poskytovatelé on-line služeb. Na základě těchto výpočtů pak lze stanovit rámec investic do kybernetického zabezpečení, který bude odpovídat potenciálním škodám.
„Kybernetické zabezpečení můžeme vnímat podobně jako pojištění nemovitosti proti živelním pohromám či vykradení. Nemovitost a věci v ní mají nějakou odhadovanou hodnotu, a od té se odvíjí výše pojistky. V kyberbezpečnosti je to podobné, jen výpočet hodnoty nehmatatelných, digitálních dat nemusí být vždy úplně snadný. Firmy se proto někdy dopouštějí chyby a přeceňují hodnotu fyzického majetku právě na úkor dat,“ vysvětlil Milan Ryšavý, architekt kybernetické bezpečnosti ve společnosti Seyfor.
Kyberzločinci dnes cílí primárně na data
Ve skutečnosti ale právě data dnes ve většině podniků představují největší část jejich majetku a současně i naprosto nezbytný prostředek pro každodenní fungování. I proto musí být identifikace konkrétních typů informací a jejich hodnoty nedílnou součástí efektivní přípravy na kyberútoky.
Právě na data se tak dnes zaměřuje drtivá většina kyberzločinců, kteří stojí za neustále rostoucím množstvím ransomwarových útoků. Aktuální studie kyberbezpečnostní společnosti Check Point uvádí, že v roce 2023 byla pokusem o ransomwarový útok zasažena každá desátá organizace po celém světě, což znamená meziroční nárůst o 33 %. V průměru pak organizace po celém světě zaznamenaly 1 158 různých kyberútoků týdně.
Taktika útočníků, kteří cílí primárně na data, se navíc mění: „Zatímco dříve byla data napadené organizace zašifrována ransomwarem a útočník na oběti vymáhal výkupné za jejich opětovné zpřístupnění, dnes dochází při většině ransomwarových útoků i k likvidaci dostupných záloh a především k odcizení podnikových dat. Kyberzločinci tak znemožní firmě obnovu dat vlastními silami a navíc mají další páku v jednání o zaplacení výkupného – hrozí totiž, že odcizená data zveřejní na internetu,“ popsal evoluci praktik kyberzločinců Ryšavý.
Ocenění rizik je nezbytnou součástí přípravy na kybernetické útoky
Aby firma věděla, jaká data vlastně potřebuje před zničením nebo odcizením chránit, musí začít s identifikací informací a určením jejich důležitosti (přeneseně hodnoty). Od toho se pak bude odvíjet i úroveň jejich ochrany a související investice.
Základním krokem je roztřídění informací do několika úrovní – od těch nejméně důležitých až po nejcitlivější informace, bez kterých nemůže firma fungovat. Současně je také nutné data kvantifikovat a udělat si představu, jak rychle poroste jejich množství. Například data z různých senzorů (třeba o pohybu firemních vozidel) mohou růst obrovskou rychlostí, ale jejich důležitost není tak značná, aby na ně bylo nutné aplikovat nejvyšší stupeň zabezpečení a robustní zálohování. Narozdíl třeba od dokumentů souvisejících s podnikovým know-how, údajů o zákaznících nebo finančních dat, jejichž objem sice roste pomaleji, ale zato mají strategický význam a vyžadují nejvyšší úroveň ochrany.
„Identifikace a klasifikace informací v podniku je klíčová nejen kvůli návrhu vhodných bezpečnostních opatření, ale také kvůli splnění legislativních požadavků. Klasifikace dat a jejich ochrana je totiž i jednou z klíčových oblastí řešených v připravované novele zákona o kybernetické bezpečnosti na základě směrnice NIS2,“ upozornil Ryšavý na nové povinnosti, které bude novelizovaný zákon ukládat poskytovatelům regulovaných služeb.
Úkolem bezpečnostních opatření na ochranu dat je zajistit nejen jejich dostupnost a možnosti obnovy v případě úspěšného útoku, ale také jejich integritu (neměnnost) a důvěrnost nejen při zpracování a ukládání v podnikových systémech, ale i během přenosu po internetu. „Ochrana veškerých dat na nejvyšší úrovni by pro organizaci znamenala náklady zdaleka převyšující možná rizika. Proto je hlavním úkolem analýzy rizik stanovit hodnotu konkrétních informací a následně zvolit adekvátní způsob a úroveň jejich ochrany, který bude odpovídat potenciálním škodám. Zpravidla se to neobejde bez konzultací se specialisty, kteří pomohou jak s klasifikací dat, tak i s návrhem vhodných opatření,“ uzavřel Milan Ryšavý ze společnosti Seyfor.
