Medzi najobávanejšie dopady kybernetických útokov patria výpadky prevádzky, strata či odcudzenie dôležitých dát. Odborník vidí riešenie v kybernetickom zabezpečení, ktorého princíp možno vnímať podobne ako poistenie nehnuteľnosti proti živelným pohromám. Prvým krokom k ochrane dát je ich identifikácia a klasifikácia. Je to dôležité nielen z dôvodu návrhu účinných bezpečnostných opatrení, ale aj kvôli splneniu blížiacich sa legislatívnych požiadaviek.
Moderné technické riešenia ponúkajú veľmi vysokú úroveň kybernetického zabezpečenia pred všetkými rôznymi typmi útokov. Akú sofistikovanú a nákladnú ochranu v skutočnosti potrebujete, musíte zistiť analýzou možných rizík.
V niektorých prípadoch to ide ľahko. Napríklad, e-shop z histórie objednávok celkom jednoducho spočíta, o koľko prichádza každú hodinu výpadku kvôli kyberútoku. Podobne to vedia vyčísliť výrobné závody alebo poskytovatelia online služieb. Na základe týchto výpočtov je potom možné stanoviť rámec investície do kybernetického zabezpečenia, ktorá bude zodpovedať potenciálnym škodám.
„Kybernetické zabezpečenie môžeme vnímať podobne ako poistenie nehnuteľnosti proti živelným pohromám či vykradnutiu. Nehnuteľnosť a veci v nej majú nejakú odhadovanú hodnotu a od tej sa odvíja výška poistky. V kyberbezpečnosti je to podobné, len výpočet hodnoty nehmatateľných, digitálnych dát nemusí byť vždy úplne ľahký. Firmy sa preto niekedy dopúšťajú chyby a preceňujú hodnotu fyzického majetku práve na úkor dát,“ vysvetľuje Milan Ryšavý, architekt kybernetickej bezpečnosti spoločnosti Seyfor.
Kyberzločinci dnes cielia primárne na dáta
V skutočnosti sú to práve dáta, ktoré dnes vo väčšine firiem predstavujú najväčšiu časť majetku a súčasne aj absolútne nevyhnutný prostriedok na každodenné fungovanie. Aj preto musí byť identifikácia konkrétnych typov informácií a ich hodnoty neoddeliteľnou súčasťou efektívnej prípravy na kyberútoky.
Práve na dáta sa dnes zameriava drvivá väčšina kyberzločincov, ktorí spôsobujú neustále rastúce množstvo ransomvérových útokov. Aktuálna štúdia kyberbezpečnostnej spoločnosti Check Point uvádza, že v roku 2023 bola pokusom o ransomvérový útok zasiahnutá každá desiata organizácia po celom svete, čo znamená medziročný nárast o 33 %. V priemere potom organizácie po celom svete zaznamenali 1 158 rôznych kyberútokov týždenne. V druhej polovici minulého roka bol pritom priemerný počet kyberútokov za týždeň u nás na Slovensku vyšší ako globálny priemer. Kým globálne išlo o 1 039 útokov, u nás to bolo 1 062 útokov. Najčastejšími cieľmi útokov boli banky a finančné inštitúcie.
Taktika útočníkov, ktorí cielia primárne na dáta, sa navyše mení: „Kým predtým boli dáta napadnutej organizácie zašifrované ransomvérom a útočník na obete vymáhal výkupné za ich opätovné sprístupnenie, dnes dochádza pri väčšine ransomvérových útokov aj k likvidácii dostupných záloh a predovšetkým k odcudzeniu podnikových dát. Kyberzločinci tak znemožnia firme obnovu dát vlastnými silami a navyše majú ďalšiu páku v rokovaní o zaplatení výkupného – hrozí totiž, že odcudzené dáta zverejnia na internete,“ opisuje evolúciu praktík kyberzločincov M. Ryšavý.
Ocenenie rizík je nevyhnutnou súčasťou prípravy na kybernetické útoky. Ako na to?
Aby firma vedela, aké dáta vlastne potrebuje pred zničením alebo odcudzením chrániť, musí začať s identifikáciou informácií a určením ich dôležitosti či prenesene hodnoty. Od toho sa potom bude odvíjať aj úroveň ich ochrany a súvisiace investície.
Základným krokom je roztriedenie informácií do niekoľkých úrovní – od tých najmenej dôležitých až po najcitlivejšie informácie, bez ktorých nemôže firma fungovať. Súčasne je nutné dáta kvantifikovať a urobiť si predstavu, ako rýchlo porastie ich množstvo. Dáta z rôznych senzorov (napríklad o pohybe firemných vozidiel) môžu rásť rýchlo, ale ich dôležitosť nie je taká značná, aby na ne bolo nutné aplikovať najvyšší stupeň zabezpečenia a robustné zálohovanie. Na druhej strane, dokumenty súvisiace s podnikovým know-how, údaje o zákazníkoch či finančné dáta, ktorých objem síce rastie pomalšie, majú strategickejší význam a vyžadujú najvyššiu úroveň ochrany.
„Identifikácia a klasifikácia informácií v rámci podniku je kľúčová nielen kvôli návrhu vhodných bezpečnostných opatrení, ale aj kvôli splneniu legislatívnych požiadaviek. Je to totiž aj jedna z kľúčových oblastí riešených pripravovanou novelou zákona o kybernetickej bezpečnosti na základe smernice NIS2,“ upozorňuje M. Ryšavý na nové povinnosti, ktoré bude novelizovaný zákon ukladať poskytovateľom regulovaných služieb.
Úlohou bezpečnostných opatrení na ochranu dát je zabezpečiť nielen ich dostupnosť a možnosti obnovy v prípade útoku, ale aj ich integritu (nemennosť) a dôvernosť. A to ako pri spracovaní a ukladaní v podnikových systémoch, tak aj počas prenosu po internete. „Ochrana všetkých dát na najvyššej úrovni by pre organizáciu znamenala náklady zďaleka prevyšujúce možné riziká. Preto je hlavnou úlohou analýzy rizík stanoviť hodnotu konkrétnych informácií a následne zvoliť adekvátny spôsob a úroveň ich ochrany, ktorý bude zodpovedať potenciálnym škodám. Spravidla sa to nezaobíde bez konzultácií so špecialistami, ktorí pomôžu ako s klasifikáciou dát, tak aj s návrhom vhodných opatrení,“ uzatvára M. Ryšavý zo spoločnosti Seyfor.
