Firmy dnes čelí rostoucím kybernetickým hrozbám, přísnějším regulatorním požadavkům i otázce, jak ochránit klíčová data a provoz v krizových situacích. O těchto tématech hovoříme s Ivem Popardowským z ABAS IPS Management. V rozhovoru popisuje, proč se bezpečnost firem neobejde bez důsledného řízení rizik a připravenosti na krizové scénáře.
Jak dnes v ABAS IPS Management u klientů určujete, co přesně tvoří kritickou infrastrukturu organizace, a podle jakých kritérií stanovíte pořadí priorit, aby ochrana mířila na skutečně nejzranitelnější a nejdražší body?
V zásadě u klientů neurčujeme, co tvoří jejich kritickou infrastrukturu, někdy však raději na možné opomenutí klienta upozorníme. Většina organizací už dnes totiž podléhá regulacím, které je k této identifikaci nutí, konkrétně GDPR, kybernetická legislativa či DORA. Tyto předpisy vyžadují interní hodnocení procesů, infrastruktury i personálních rizik.
ABAS poskytuje metodiku a podporu při zavádění opatření a zdůrazňuje, že každý podnik by měl mít plán obnovy činnosti pro případ katastrofy. Jádrem je řízení rizik, které se týká všech organizací bez ohledu na obor.
Když vezmete typický kybernetický incident, který má potenciál zastavit provoz, kde podle vás nejčastěji selže připravenost firem: v rozhodování managementu, v architektuře a zálohách, v dodavatelském řetězci nebo v propojení fyzické a kybernetické bezpečnosti, a jaké minimum by měl mít podnik hotové, aby incident zvládl bez chaosu?
U kybernetických incidentů je problémem především to, že hrozby neustále přibývají a staré útoky mohou být v novém prostředí opět účinné. Management se už nemůže vyvázat z odpovědnosti – zákony nově stanovují přímou odpovědnost vedení za ochranu dat. Klíčové je zajistit bezpečnost dat jak logicky, tak fyzicky: „zajistit bezpečnost dat na jejich nosičích i bezpečnost nosičů“. Mnoho firem nezná hodnotu svých dat, neumí stanovit význam informací a tím ani adekvátní úroveň investic do ochrany. U automatizovaných provozů by náklady na zabezpečení neměly přesáhnout 30 % očekávané škody. Největší hrozbu však stále představují vlastní zaměstnanci.
Jak má vypadat praktická připravenost na blackout: které provozní závislosti a scénáře musí organizace otestovat, jak nastavujete krizovou komunikaci v režimu omezené konektivity a co považujete za hranici, kdy už nejde jen o „IT problém“, ale o bezpečnostní a reputační riziko pro celý byznys?
Při přípravě na blackout se firmy často spoléhají jen na nouzové agregáty. Krátkodobý výpadek (do 4 hodin) lze zvládnout, UPS umožní bezpečné odstavení systémů. U delších výpadků je však situace zásadně jiná – nafta v agregátech obvykle vystačí jen na 24 hodin a zároveň přestává téct voda, což znemožňuje pobyt zaměstnanců na pracovišti. V takovém případě je nejbezpečnější mít data uložená na fyzicky odolném místě a objekty opustit. Praxe ukazuje, že „nejcennější kapitál firem se skrývá v lidech a informacích“, a proto je nutné chránit především je. ABAS nabízí metodiku, jak postupovat v krizových scénářích a jak nastavit rozhodovací procesy i komunikaci při omezené konektivitě. Pro ten účel máme k dispozici i špičkové externí konzultanty.
