Kybernetická
bezpečnosť s ľudskou tvárou.

Kybernetická bezpečnosť zahŕňa ochranu informácií, informačných systémov a služieb, od ktorých závisí fungovanie organizácie. Nejde iba o antivírus, firewall alebo zálohovanie. Rovnako dôležité sú nastavené procesy, jasne určené zodpovednosti a pripravenosť zamestnancov reagovať na bezpečnostné udalosti.

Cieľom je primerane predchádzať incidentom, znižovať ich možné následky a zabezpečiť, aby organizácia dokázala pokračovať vo svojej činnosti aj pri narušení bezpečnosti.

GAP analýza je systematické posúdenie aktuálneho stavu kybernetickej bezpečnosti vo vzťahu k relevantným legislatívnym požiadavkám alebo zvoleným bezpečnostným štandardom. Overuje, ktoré opatrenia sú zavedené, ako fungujú v praxi a kde existujú nedostatky.

Posúdenie môže zahŕňať riadenie bezpečnosti, dokumentáciu, procesy, technické opatrenia a spôsob ich uplatňovania. Výstupom je záverečná správa so zisteniami a konkrétnymi odporúčaniami, na základe ktorých možno pripraviť plán nápravy a určiť priority ďalšieho postupu.

GAP analýza nie je sama osebe všeobecnou zákonnou povinnosťou každej organizácie. Je to nástroj, ktorým možno posúdiť mieru splnenia konkrétnych požiadaviek a identifikovať oblasti vyžadujúce zlepšenie.

Pre organizáciu, na ktorú sa vzťahujú povinnosti podľa zákona o kybernetickej bezpečnosti, môže byť užitočným východiskom pri plánovaní a zavádzaní bezpečnostných opatrení. Treba ju však odlišovať od zákonného auditu kybernetickej bezpečnosti, ktorý má osobitne upravený účel a podmienky.

Register aktív je systematický prehľad informácií, systémov, služieb, technológií a ďalších zdrojov, ktoré sú dôležité pre fungovanie organizácie. Umožňuje určiť, čo je potrebné chrániť, kto za jednotlivé aktíva zodpovedá a aké sú medzi nimi vzájomné závislosti.

Pri evidencii aktív je dôležité zohľadniť aj ich význam pre činnosť organizácie. Výpadok jedného systému môže mať len obmedzený dopad, zatiaľ čo nedostupnosť iného môže zastaviť poskytovanie kľúčovej služby. Register aktív preto tvorí dôležitý podklad na analýzu rizík a plánovanie bezpečnostných opatrení.

Analýza rizík pomáha identifikovať hrozby a zraniteľnosti, posúdiť pravdepodobnosť ich zneužitia alebo výskytu a vyhodnotiť možné následky na organizáciu. Môže ísť napríklad o nedostupnosť dôležitého informačného systému, únik údajov, ransomvérový útok alebo zlyhanie dodávateľa.

Na základe výsledkov sa určujú priority a navrhujú opatrenia na zníženie neprijateľných rizík. Cieľom nie je odstrániť každé riziko, ale prijímať informované rozhodnutia a sústrediť zdroje tam, kde sú najviac potrebné.

GAP analýza hodnotí rozdiel medzi aktuálnym stavom bezpečnostných opatrení a požiadavkami, ktoré má organizácia spĺňať. Odpovedá najmä na otázku, čo je zavedené, čo chýba a čo je potrebné zlepšiť.

Analýza rizík sa zameriava na hrozby, zraniteľnosti a možné dopady na činnosť organizácie. Pomáha určiť, ktoré riziká sú najvýznamnejšie a akým spôsobom ich ošetriť.

Tieto činnosti sa dopĺňajú, ale navzájom sa nenahrádzajú. Spolu poskytujú podklady na účelné plánovanie a prioritizáciu bezpečnostných opatrení.

Povinnosť určiť manažéra kybernetickej bezpečnosti (MKB) sa vzťahuje na organizácie, ktorým ju ukladajú príslušné právne predpisy. Nie každá spoločnosť má rovnaké zákonné povinnosti, preto je potrebné najprv posúdiť jej postavenie a rozsah regulovaných služieb.

MKB zabezpečuje odbornú podporu pri riadení kybernetickej bezpečnosti, posudzovaní rizík, koordinácii opatrení a komunikácii s vedením organizácie. Jeho úlohou je prepájať bezpečnostné požiadavky s reálnymi prevádzkovými potrebami.

Manažéra kybernetickej bezpečnosti nestačí iba formálne určiť. Podľa § 20 ods. 4 písm. a) zákona č. 69/2018 Z. z. musí spĺňať znalostné štandardy pre výkon tejto roly a pri návrhu, prijímaní a presadzovaní bezpečnostných opatrení byť nezávislý od riadenia prevádzky a vývoja IT služieb.

Čo musí ovládať?

Znalostné štandardy upravuje vyhláška NBÚ č. 492/2022 Z. z., pre MKB najmä príloha č. 5. Zahŕňajú odborné znalosti a kompetencie potrebné na riadenie kybernetickej bezpečnosti. Dôležité sú napríklad orientácia v riadení rizík, bezpečnostných opatreniach, IT prostredí a povinnostiach organizácie. Odbornú spôsobilosť musí prevádzkovateľ základnej služby vedieť posúdiť a zdôvodniť.

Je potrebný certifikát a dlhoročná prax?

Slovenský zákon všeobecne neustanovuje, že každý MKB musí vlastniť konkrétny certifikát. Certifikácia podľa schémy NBÚ je jedným zo spôsobov nezávislého overenia odbornej spôsobilosti. Schéma pri certifikácii posudzuje aj vzdelanie a relevantnú odbornú prax.

Odbornosť môžu preukazovať aj ďalšie profesijné certifikácie, praktické skúsenosti a preukázateľné znalosti v oblasti kybernetickej bezpečnosti. Samotné vlastníctvo certifikátu však automaticky nezaručuje splnenie všetkých požiadaviek na výkon funkcie MKB.

Pri výbere MKB je preto dôležité posudzovať nielen formálne vzdelanie a certifikácie, ale predovšetkým odborné skúsenosti, znalosť legislatívnych požiadaviek a schopnosť preniesť bezpečnostné opatrenia do reálnej praxe organizácie.

Môže byť MKB externý?

Áno. Funkciu môže vykonávať interný pracovník aj externý odborník, ak sú splnené odborné požiadavky, nezávislosť a sú jasne určené právomoci a zodpovednosti. Zodpovednosť organizácie za plnenie zákonných povinností tým nezaniká.

IT oddelenie zabezpečuje prevádzku a rozvoj informačných technológií a často sa priamo podieľa na realizácii bezpečnostných opatrení. Manažér kybernetickej bezpečnosti má odlišnú úlohu. Posudzuje bezpečnostné riziká, koordinuje opatrenia a poskytuje vedeniu odborné podklady na rozhodovanie.

Podľa § 20 ods. 4 písm. a) zákona č. 69/2018 Z. z. musí byť MKB pri návrhu, prijímaní a presadzovaní bezpečnostných opatrení nezávislý od štruktúry riadenia prevádzky a vývoja IT služieb. Toto postavenie pomáha predchádzať konfliktu záujmov pri hodnotení vlastných rozhodnutí a postupov.

Nezávislosť však neznamená oddelené fungovanie. Účinné bezpečnostné opatrenia vyžadujú úzku spoluprácu MKB, vedenia organizácie a IT tímu.

Zamestnanci pri svojej každodennej práci používajú informačné systémy, spracúvajú údaje a komunikujú s externými partnermi. Môžu sa preto stretnúť s podvodnými správami, neoprávnenými požiadavkami na poskytnutie údajov alebo inými pokusmi o narušenie bezpečnosti.

Pravidelné školenia pomáhajú rozpoznávať rizikové situácie, správne overovať podozrivé požiadavky a včas hlásiť bezpečnostné incidenty. Najväčší prínos majú školenia prispôsobené konkrétnym pracovným úlohám, doplnené praktickými príkladmi a skúsenosťami z reálnych incidentov.

Phishingová simulácia je vopred schválené a kontrolované vzdelávacie cvičenie, pri ktorom zamestnanci dostanú modelovú podvodnú správu. Jej cieľom je preveriť bezpečnostné návyky a zistiť, v ktorých oblastiach je potrebné posilniť povedomie alebo upraviť interné postupy.

Výsledky simulácie slúžia predovšetkým na zlepšovanie školení, komunikácie a procesov. Simulácia má byť primeraná prostrediu organizácie a nemá slúžiť na zosmiešňovanie alebo neprimerané postihovanie jednotlivcov.

GAP analýza identifikuje rozdiely medzi aktuálnym stavom a stanovenými bezpečnostnými požiadavkami. Jej cieľom je poskytnúť organizácii praktický prehľad nedostatkov a odporúčania na ich odstránenie.

Zákonný audit kybernetickej bezpečnosti je osobitný proces vykonávaný podľa príslušných právnych požiadaviek, ktoré určujú jeho účel, podmienky a pravidlá výkonu.

Aj keď sa rozsah posudzovaných oblastí môže čiastočne prekrývať, GAP analýza nenahrádza zákonný audit, ak je organizácia povinná ho absolvovať.

Nie. Rozsah povinností závisí od právneho postavenia organizácie, poskytovaných služieb a ďalších podmienok ustanovených príslušnými predpismi. Rôzne typy organizácií preto nemusia podliehať rovnakému režimu ani rovnakému rozsahu bezpečnostných opatrení.

Pred návrhom bezpečnostných opatrení je dôležité posúdiť, ktoré právne požiadavky sa na konkrétny subjekt vzťahujú. Aj organizácie mimo príslušnej regulácie však majú dôvod primerane chrániť svoje údaje, systémy a kontinuitu činností.