Řízení kybernetické krize

Co má firma chránit jako první?

Při incidentu je nutné předem upřednostnit kritické systémy, služby a data, protože chránit všechny koncové stanice stejně nemusí být reálné ani účinné (Cyber Rangers uváděli příklad organizace s 5 000 zařízeními).

Proč nestačí mít plán obnovy jen sepsaný?

Plán obnovy po útoku musí být pravidelně testovaný, protože neověřené postupy mohou prodloužit výpadek na týdny (slovenský Úřad geodezie, kartografie a katastru obnovoval provoz po útoku jen postupně).

Jakou roli hraje rychlost reakce?

Rychlá reakce IT týmu i mimo běžnou pracovní dobu může výrazně snížit provozní dopady incidentu (v Beneš a Lát začal tým při sobotním incidentu rychle odpojovat zařízení a servery od sítě).

Jak se mění nároky na incident response?

Plány reakce musí počítat s tím, že současné kyberútoky se mohou odehrávat v hodinách a minutách, takže pomalé rozhodování zvyšuje škody.

Při incidentu nedává smysl chránit všechny koncové stanice stejně; firmy si musí předem určit, které systémy, služby a data jsou pro přežití organizace kritické.

V příkladu Cyber Rangers měla organizace 5 000 koncových zařízení a prioritou nemělo být zachraňovat každou stanici, ale chránit kritické části infrastruktury.

„Ve chvíli, kdy na vás útočník cílí, nemá smysl zachraňovat každou koncovou stanici. Pokud jich máte pět tisíc, nebudete chránit pět tisíc desktopů nebo notebooků, zvlášť když polovina z nich je mimo prostředí.“

CIO Agenda 2024 Kroky útočníka k úplné destrukci organizace Jan Marek, Cyber Rangers; Daniel Hejda, Cyber Rangers

Plán obnovy po útoku musí být pravidelně testovaný, protože bez ověřených postupů se výpadek může protáhnout na týdny.

Kybernetický útok na slovenský Úřad geodezie, kartografie a katastru 5. ledna 2025 odstavil provoz; po 17 dnech byla obnovena data k 3. lednu a po 54 dnech byl provoz obnoven jen částečně.

„Zálohy pravidelně testujte. Kdo je připraven, není překvapen. Školte zaměstnance, protože jsou nejčastějším vektorem průniku do organizace. Nepřestávejte zlepšovat procesy i technická opatření. Nepodceňujte zabezpečení záloh – může to být vaše poslední šance na obnovu.“

CIO Agenda 2025 „Bezpečnost záloh jako klíčová strategie v éře kybernetických hrozeb“ Barbora Zedníčková

Rychlá reakce IT týmu mimo běžnou pracovní dobu může výrazně omezit provozní dopady kybernetického incidentu.

V Beneš a Lát při sobotním ranním incidentu IT tým začal odpojovat zařízení a servery od sítě a lidé byli ve firmě zhruba do hodiny.

„Odnesl jsem si, že naši ajťáci byli schopní reagovat velmi rychle. Nebylo to: je sobota, podívám se na to v pondělí. Bylo to: je průšvih, sedli do auta a byli ve firmě během hodiny, přestože bylo šest ráno.“

CIO Agenda 2024 Jak se (ne)nechat vyškolit Jan Lát, Beneš a Lát

Plány reakce na incidenty musí počítat s tím, že kyberútoky se dnes mohou odehrávat v hodinách a minutách.

Podle prezentace Ondřeje Kováče se útoky zkrátily z týdnů a dnů na hodiny a minuty a jsou agresivnější a organizovanější.

„Útoky se zrychlily. Dříve trvaly týdny nebo dny, dnes mluvíme o hodinách a minutách. Tyto útoky neodejdou, budou jen horší, agresivnější a organizovanější.“

New Retail Summit 2025 Digitálna transformácia bez rizika – ako predvídať kybernetické hrozby Ondřej Kováč; Josef Puczok