Česko kyberzločince zajímá. Firmy ochranu dat přesto podceňují.

Zákazníci společnosti Sony, nakupující na portálu eBay, či záletníci z online seznamky Ashley Madison už to znají. Čechům se ale úniky dat ve větší míře doposud vyhýbaly. Poté, co zhruba před dvěma týdny vyšlo na povrch, že jeden ze zaměstnanců operátora T-Mobile ukradl osobní údaje 1,5 milionu zákazníků, však tvrdým způsobem poznávají realitu. A sice, že neplatí, že naše data jsou u soukromých firem – na rozdíl od státní správy – v bezpečí.

Česká republika je pro kyberzločince malý, a tudíž nezajímavý trh. Navíc zde máme pokrokový zákon o kybernetické bezpečnosti. To jsou nejčastější mýlky českých společností. Zejména těch menších a středních.

„Většinou ani nevědí, že k nějakým únikům z jejich firmy dochází, dokud již není pozdě a neobjeví se například u konkurence nebo na černém trhu. Je smutné, že se o této tematice začíná diskutovat až v období velkého incidentu,“ říká ředitel společnosti Safetica Petr Žikeš.

České firmy totiž stále ještě plně nechápou význam zabezpečení svého „rodinného stříbra“, tedy svých dat. Častý je názor, že bezpečnost je možné zajistit pouhou investicí do technologií. Podporuje ho i existence zákona o kybernetické bezpečnosti, který stanovuje technické požadavky i pravidla hlášení incidentů.

Slabý kyberzákon

Jenže legislativa, která měla ze soukromých subjektů jako první dopadnout právě na operátory a bankovní domy, je polovičatá. Doplácí totiž na obavy z doby jejího vzniku, že se Národní bezpečností úřad bude chtít stát šmírujícím „velkým bratrem“. Výsledkem tak je, že právní norma se zvučným jménem pouze stanovuje nepříliš vysoké standardy.

Například v současnosti propíraný případ české mobilní jedničky do působnosti NBÚ vůbec nespadá, protože jde o systém, který nebyl označen za dostatečně důležitý, a zároveň došlo k jeho narušení zevnitř, nikoliv zvenčí. A tudíž jde o problém firmy.

Zároveň ale jde o důkaz toho, že investice do technologií musí jít vždy ruku v ruce s investicemi do kvality a povědomí zaměstnanců. Ty jsou sice v českých firmách na vzestupu, ale praxe bezpečnostních expertů potvrzuje, že tempo zaváděných opatření zdaleka neodpovídá rapidně vzrůstající intenzitě útoků a úniků dat.

„Největší hrozbu nepředstavují útočníci zvenčí, ale interní zaměstnanci, kteří svojí neznalostí, leností nebo dokonce úmyslně dokážou diskreditovat milionové investice do technologií. Jedinou ochranou před chtěnými i nechtěnými útoky ze strany zaměstnanců je aplikace striktních zásad kybernetické bezpečnosti v celé firmě, které zahrnují technologická, procesní i personální opatření,“ vysvětluje Michal Čábela, odborník na řízení IT rizik poradenské společnosti PwC ČR.

Kde jsou zcizená data, se neví

Právě personální stránka věci je velkou výzvou pro soukromý sektor, kde na rozdíl od státní správy nefunguje systém bezpečnostních prověrek. Technologie je suplovat nedokážou, jak ukázal opět příklad T-Mobilu, jehož nyní již bývalý zaměstnanec disponoval řadou přístupů do databází a systém DLP (Data Loss Prevention, v překladu prevence ztráty dat) tak nedokázal rozlišit řádné jednání od nekalého.

„Z vlastní praxe vnímám jako nejkritičtější a nejzranitelnější výrobní podniky, které nemají k IT blízko a pouze je využívají pro řízení technologií nebo výroby,“ říká Čábela.

Problémy mobilních operátorů, kteří bývají v zabezpečení lídry, by mohly být probuzením. Případ T-Mobilu, o kterém jako první informoval deník MF DNES, je v tuzemsku první svého druhu. Bohužel pro zákazníky ale stále není u konce. Operátor nejprve tvrdil, že v současnosti má všechna data zpět v držení. Jenže to nemusí být pravda, a firma proto své tvrzení nyní mírní.

„Věříme, že Policie ČR v rámci vyšetřovacího řízení zajistila veškeré existujících kopie,“ řekla LN Patricie Šedivá z tiskového oddělení T-Mobilu.

Policie nechce celou věc komentovat. Zda nějaká kopie databáze nežije vlastním životem na některém z internetových úložišť, si však ani vyšetřovatelé nemohou být jistí. Stejně jako zákazníci, kteří se marně snaží zjistit, jestli jsou mezi těmi, jejichž data unikla a co vlastně obsahují. „Není to možné říci, neboť databáze je předmětem policejního vyšetřování, které stále probíhá,“ hájí mlčení Šedivá.

Mlčení se však nezdá ani Úřadu pro ochranu osobních údajů, který kromě úniku prošetří i to, proč mu T-Mobile podal oznámení až den poté, co se zprávy o incidentu objevily v médiích.