Ceska Pozice

Útok hackerů na více českých institucí: Stát narazí na své kapacity

Dle dat zveřejněných Nejvyšším kontrolním úřadem (NKÚ) zatímco loni Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) registroval 217 kyberútoků na důležité informační systémy, za prvních letošních sedm měsíců 287. Navíc NKÚ odhalil, že ministerstvo vnitra ani NÚKIB nemají dost expertů, aby zvládly simultánní kyberútoky.

Martin Shabu 19.11.2020
Hacker. | na serveru Lidovky.cz | aktuální zprávy Hacker. | foto: Richard Cortés, Lidové noviny
Hacker.

Na jednotkách intenzivní péče bojovalo koncem října o život téměř 1200 pacientů s covidem. Nemocnice se jim snažily zajistit nejlepší péči personálem, léky i plicními ventilátory a další technikou. Nejen koronavirus však testuje limity českého zdravotnictví. Nemocniční zařízení se musejí vypořádat i s internetovými viry, které dokážou hravě „odstřihnout“ jak moderní lékařské přístroje, tak celé informační systémy pro řízení nemocnic.

Z dat zveřejněných v pondělí 2. listopadu Nejvyšším kontrolním úřadem (NKÚ) přitom mrazí. Podle nich počet kyberútoků letos překročil celý loňský rok. Zatímco loni Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) registroval 217 útoků na důležité informační systémy, za prvních letošních sedm měsíců jich bylo už 287. A to není největší průšvih. NKÚ totiž kontroloval, jak Česko zajišťuje kybernetickou bezpečnost. Odhalil, že ministerstvo vnitra ani NÚKIB nemají dost expertů, aby zvládly simultánní kyberútoky.

Ohrožené zdravotnické sítě

„Do budoucna hrozí, že pokud se objeví několik incidentů současně, ministerstvo vnitra a NÚKIB nebudou mít dost kapacit, aby mohly pomoci i subjektům, které nespadají pod zákon o kybernetické bezpečnosti,“ konstatoval kontrolní úřad. Pod zákon o kybernetické bezpečnosti, tedy přísnější nároky na zabezpečení systémů, spadá jen hrstka největších nemocnic v zemi. Zbytek zdravotnické sítě nemá vyšší standardy nařízené, ale jen doporučené. Jenže hackeři si za terč volí právě ty „slabší“.

Pod zákon o kybernetické bezpečnosti, tedy přísnější nároky na zabezpečení systémů, spadá jen hrstka největších nemocnic v zemi. Zbytek zdravotnické sítě nemá vyšší standardy nařízené, ale jen doporučené. Jenže hackeři si za terč volí právě ty „slabší“. Kontroloři zdůraznili i nutnost věnovat se méně odolným institucím mimo „kyberzákon“.

Loni v prosinci se prakticky přes noc zastavil chod nemocnice v Benešově. Ta je spádová pro bezmála čtvrt milionu Čechů. Přitom ani ona není součástí kritické infrastruktury státu. Ztráty za desítky milionů vyčíslují i ve fakultní nemocnici v brněnských Bohunicích. Tam hackeři útočili už během jarní vlny pandemie covidu. A i v tomto případě museli zasahovat experti kybernetického úřadu.

„NÚKIB a ministerstvo vnitra se podílely na řešení těchto kybernetických incidentů, a to i v případě, kdy incident nastal u subjektu, který nespadal pod zmíněný zákon o kybernetické bezpečnosti,“ uvedl NKÚ. A varoval před tím, jak se nedostatek odborníků může promítnout do dalších podobných zásahů. „V případě výskytu několika incidentů současně existuje riziko, že NÚKIB a ministerstvo vnitra nebudou mít dostatek personálních kapacit, které by mohly na řešení využít.“

Kontroloři zdůraznili i nutnost věnovat se méně odolným institucím mimo „kyberzákon“. Poukázali přitom na zmíněné ataky hackerů na nemocnice z přelomu let 2019 a 2020. Ačkoli stát tato zařízení neřadí mezi naprosto klíčová, série útoků, která by jejich činnost omezila, nebo dokonce ochromila, by se v důsledku negativně promítla do celého zdravotnického systému v zemi.

Vágní představa státu

Dle informací existuje jen velmi malý tým odborníků, kteří mohou vyjet na místo činu, aby pomáhali s obnovou napadených systémů. Přesná data NÚKIB z taktických důvodů nezveřejňuje. Podle NKÚ není o moc lepší situace ani na vnitru, které samo spravuje skoro 30 důležitých informačních systémů.

Nejvyšší kontrolní úřad v kontrolním nálezu kritizoval vágní představu státu, kam posílá miliardy na IT zabezpečení. Chybí systematický přehled. Národní úřad pro kybernetickou a informační bezpečnost se jej pokoušel získat dotazníkovým šetřením. Z odpovědí vyplynulo, že v letech 2015 až 2019 vydala ministerstva na tento účel 2,8 miliardy korun.

„Resort vnitra se dlouhodobě potýkal s nedostatkem personálních kapacit pro jeho obsazení. Obsazenost dvanácti systemizovaných míst oddělení kybernetické bezpečnosti se v kontrolovaném období pohybovala mezi 66 procenty až 83 procenty, přičemž v době ukončení kontroly bylo pouze 25 procent pozic obsazeno zaměstnanci, kteří v oddělení působili déle než tři roky,“ zjistil NKÚ. Jak NÚKIB, tak vnitro sdělily, že podstav řeší delší dobu.

„Nedostatek odborníků v kybernetické bezpečnosti je dlouhodobý problém, na který opakovaně upozorňujeme,“ sdělil mluvčí NÚKIB Jiří Táborský. Podle něho ale existuje naděje na posun. „Za nás je třeba dodat, že kontrolované období končí rokem 2019, přičemž v letošním roce u nás z rozhodnutí vlády na základě schválení koncepce rozvoje NÚKIB došlo k navýšení personálních kapacit a k dalšímu navýšení má dojít příští rok,“ doplnil Táborský.

Kromě nedostatku odborníků NKÚ v kontrolním nálezu kritizoval vágní představu státu, kam posílá miliardy na IT zabezpečení. Chybí systematický přehled. NÚKIB se jej pokoušel získat dotazníkovým šetřením. Z odpovědí vyplynulo, že v letech 2015 až 2019 vydala ministerstva na tento účel 2,8 miliardy korun. NKÚ se také pozastavil nad vztahy NÚKIB a ministerstva vnitra. Jsou totiž založené spíše na osobních než formálních kontaktech. Ty sice při incidentech v nemocnicích v minulosti pomohly, je však třeba je formalizovat.

Kyberútoky na vzestupu

  • V roce 2017 registroval Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) 248 útoků. Předloni 164, loni 217. Za prvních sedm měsíců letošního roku ale nebezpečných ataků NÚKIB zaznamenal 287.
  • Příklady výrazných útoků na nemocnice: k prvnímu došlo 11. prosince 2019 v nemocnici v Benešově. K dalšímu 13. března 2020 – byla napadena počítačová síť brněnské fakultní nemocnice v Bohunicích.
  • Ministerstvo vnitra se stará o desítky důležitých informačních systémů. Podle zjištění Nejvyššího kontrolního úřadu vývoj počtu kybernetických ataků na vnitro vykazuje rostoucí trend. V uplynulých letech narostly nejméně o 220 procent.
  • NÚKIB byl zřízen k 1. srpnu 2017. Mezi jeho úkoly patří zajišťovat prevenci, vzdělávání a metodickou podporu v kybernetické bezpečnosti a ve vybraných oblastech ochrany utajovaných informací. Hraje roli koordinátora. Dále provádí analýzu a monitoring kybernetických hrozeb a rizik.

zpět na článek


© 2020 MAFRA, a.s., ISSN 1213-1385 © Copyright ČTK, Reuters, AFP. Publikování nebo šíření obsahu je zakázáno bez předchozího souhlasu.