Nám se to nestane, je nejdražší věta v kyberbezpečnosti

O rizicích kybernetických útoků i dalších IT bezpečnostních rizicích firmy většinou vědí. Znají je z médií, slyší doporučení odborníků. Přesto ale důležitá rozhodnutí o zavádění kyberbezpečnostních opatření odsouvají na později. Mnohdy kvůli tomu na incident reagují až ve chvíli, kdy je zasáhne přímo. Důvodem jsou psychologické mechanismy.

Výrobní linka běží. Obchodníci prodávají. Faktury odcházejí. Vše funguje tak, jak má. Právě v takových chvílích vzniká ve firmách jeden z nejnebezpečnějších pocitů: přesvědčení, že kyberbezpečnost vlastně není akutní problém.

Kybernetické útoky ale fungují jinak než většina podnikových rizik. Nečekají, až si na ně firma najde čas. Proto je potřeba, aby z IT bezpečnosti nebyl firemní strašák, ale naopak se stala součástí strategického řízení firmy. Významně tomu může pomoct jak management firem, tak samotné IT a bezpečnostní týmy.

Kde vzít kyberbezpečnostní experty? A proč nespoléhat jen na nábor

Zobrazit

Falešný pocit bezpečí

Studie společnosti Deloitte nazvaná Global Future of Cyber poukazuje na rozdíl mezi vnímáním připravenosti firem v oblasti kybernetické bezpečnosti a skutečnou implementací opatření. Podle studie se 85 % organizací domnívá, že jsou připraveny dostatečně, ale pouze 70 % stejných firem je schopno toto přesvědčení doložit zavedením konkrétních opatření. 

Právě rozdíl mezi pocitem bezpečí a skutečnou připraveností přitom představuje jeden z největších problémů současné kyberbezpečnosti. K rizikům v tomto případě přispívá jev, který kyberpsychologové označují jako normality bias. Ten označuje stav, kdy lidé přirozeně očekávají, že budoucnost bude podobná minulosti. A tento jev se přenáší i do celého uvažování firem. Pokud firma dosud fungovala bez většího incidentu, vzniká pocit, že tomu tak bude i nadále.

Významnou roli v tom hrají osobní zkušenosti manažerů. Manažer, který dvacet let neřešil vážný kybernetický incident, může podvědomě nabýt dojmu, že riziko není příliš vysoké. Nejde o nezodpovědnost. Jde o běžný psychologický mechanismus. Právě ten se ale v kyberprostoru stává problematickým. 

Argumenty, které ve firmách často odkládají investice do kyberbezpečnosti:

• „Nikdy jsme problém neměli.“
• „Je to příliš drahé.“
• „Nemáme na to čas.“
• „Naše IT to řeší.“
• „Data nikoho nezajímají.“

Zdroj: SecurityVitals

Útočníci dnes nehledají konkrétní firmu. Automatizované nástroje a umělá inteligence umožňují oslovovat tisíce cílů současně. Úspěch útoku často nezávisí na velikosti firmy, ale na tom, zda se v daný okamžik objeví slabé místo. Z pohledu útočníka nejde o osobní záležitost. Je to statistika.

V rozhovoru pro O₂ CyberNews kyberbezpečnostní veterán Aleš Špidla proto firmám radí:

Přestaňte si lhát. Lhát si můžete v účetnictví, ale lhát si v bezpečnosti je cesta do pekla. A pokaždé dodávám větu, která je mým mottem na LinkedIn: Kybernetická a informační bezpečnost není otázkou zákonů, je otázkou pudu sebezáchovy.

Aleš Špidla
Manažer kybernetické bezpečnost Úřadu městské části Praha 5

Prevence nebývá prioritou

Potíž kybernetické bezpečnosti je zároveň v tom, že kvůli výše uvedeným zkreslením nebývá ve firmách příliš vidět a firmy raději investují do běžného provozního rozvoje a věcí, které mají přímý a viditelný vliv na finanční výsledky.

Vedle toho stojí požadavek bezpečnostního týmu na projekt, jehož přínos se projeví hlavně tím, že se nic nestane. Právě zde vzniká další psychologický problém. Lidé mnohem lépe vnímají přínosy, které jsou viditelné a okamžité, než ztráty, kterým se podaří předejít.

Nová technologie zvýší výkon. Marketing přinese zákazníky. Nová pobočka otevře další trh. Jak ale změřit útok, který se nestal? Pokud bezpečnostní tým komunikuje pouze technické detaily, bývá jeho pozice ještě složitější. Management totiž neřídí firewally ani bezpečnostní nástroje. Řídí byznys.

Úspěch riziko nesnižuje

Proto je obtížné prosadit kybernetickou bezpečnost i ve velmi úspěšných firmách. Úspěch vytváří pocit kontroly. Pokud firma roste, plní obchodní cíle a zákazníci jsou spokojení, vzniká dojem, že jsou správně nastavené i ostatní oblasti. Psychologové tento efekt označují jako optimism bias. Máme tendenci věřit, že negativní události potkávají spíše ostatní než nás samotné.

Psychologie zná ještě jeden fenomén: dostupnost zkušenosti. Riziko, které jsme osobně nezažili, podceňujeme. Riziko, které jsme právě zažili, naopak přeceňujeme.

Proto firmy často navyšují rozpočty na bezpečnost až po útoku. Najednou existuje konkrétní příběh: nefungující výroba, nedostupné systémy, rozzlobení zákazníci, ztracené zakázky, poškozená reputace. To, co bylo dříve abstraktním rizikem, se změní v reálnou zkušenost. Problém je, že v takovém okamžiku už bývá pozdě.

Kyberbezpečnost je náročné odvětví

Přesvědčit vedení firmy o nutnosti investic do kybernetické bezpečnosti bývá těžké i proto, že jde o velmi komplexní odvětví, kde se mísí celá řada různých opatření. Nutné mohou být jak investice do hardwaru a softwaru, tak do nových odborníků a služeb, ale i do školení stávajícího personálu napříč firmou. Důležitou roli hraje i vztah šéfa bezpečnosti (CISO) s vedením firmy. Když jsou vztahy dobré a silné, dovede CISO snáze včas vedení přesvědčit o nutnosti investic a školení.

Vztah šéfa bezpečnosti s vedením

Podle reportu společnosti Deloitte mají CISO silný, strategický a hluboký vztah k:

• 79 % ředitelů pro informační technologie (CIO)
• 77 % technologických ředitelů (CTO)
• 76 % ředitelů pro rizika (CRO)
• 79 % členů představenstva
• 66 % generálních ředitelů (CEO)
• 64 % ředitelů pro AI a datovou analýzu
• 71 % provozních ředitelů (COO)
• 62 % ředitelů pro transformaci
• 62 % finančních ředitelů (CFO)
• 76 % vrcholného vedení firmy obecně
• 60 % ředitelů architektury
• 57 % HR ředitelů

Zdroj: Deloitte, The Global Future of Cyber Survey, 5th Edition

V rozhovoru s kyberpsychologem Janem Šmahajem zazněla důležitá myšlenka: bezpečnost není jednorázová aktivita, je to dlouhodobý proces. Šmahaj zároveň upozorňuje:

Další rovinou je kontinuální práce firem s tématem kyberbezpečnosti, od pravidelných a efektivních školení po nacvičování reakcí na incidenty.

Jan Šmahaj
kyberpsycholog

Ovšem nejde jen o vzdělávání zaměstnanců. Stejně důležité je vzdělávání managementu. Manažer nemusí rozumět technologiím do detailu, měl by ale rozumět důsledkům svých rozhodnutí.

Jen technické argumenty nestačí

To však také znamená, že je potřeba předkládat managementu rizika trochu jinak než formou statistik, reportů nebo seznamů zranitelností, které bezpečnostní týmy a specialisté často vedení prezentují. Rozhodování vedení totiž není čistě racionální proces. Pokud management nedokáže propojit technické informace s dopadem na fungování firmy, zůstávají čísla, data a statistiky abstraktní.

Důsledkem toho je, že bezpečnost nedostává dostatek zdrojů. Bezpečnostní týmy jsou přetížené. Roste riziko incidentu. A až samotný incident přinese pozornost, kterou téma potřebovalo dávno předtím.

Starejte se o své kyberbezpečnostní experty. Hrozí jim vyhoření

Zobrazit

Proto dnes musí bezpečnostní týmy fungovat trochu jinak než jen pracovat na ochraně systému. Musí umět vysvětlovat. Role IT a bezpečnostních specialistů se tak postupně posouvá směrem k internímu thought leadershipu. Nejde o budování osobní značky. Jde o schopnost dlouhodobě vytvářet porozumění.

Místo sdělení Máme kritickou zranitelnost v externě dostupném systému je často účinnější říct Pokud tento systém přestane fungovat v pondělí ráno, obchodní oddělení nebude schopné přijímat objednávky a zákaznická podpora ztratí přístup k datům klientů. 

Najednou nejde o technologii. Jde o provoz. A právě provoz, kontinuita a odpovědnost jsou jazykem managementu.

Úspěšné bezpečnostní týmy:

• vysvětlují rizika jazykem byznysu, 
• ukazují souvislosti mezi bezpečností a provozem firmy, 
• pravidelně vzdělávají vedení, 
• přinášejí scénáře a konkrétní příklady, 
• pomáhají managementu orientovat se v nových hrozbách. 

Místo jednorázového strašení po mediálně známém útoku budují dlouhodobou důvěru. A právě důvěra je často důležitější než samotné technické argumenty. 

Jak přesvědčit vedení o důležitosti kyberbezpečnosti

1. Mluvte o dopadech, ne o technologiích: Překládejte technická rizika do obchodních důsledků.
2. Pracujte se scénáři: Ukazujte, co by znamenal výpadek výroby, CRM nebo účetních systémů.
3. Vytvářejte pravidelný dialog: Bezpečnost nesmí být tématem jedné prezentace ročně.
4. Sdílejte příklady z trhu: Reálné incidenty pomáhají odstranit pocit „to se týká někoho jiného“.
5. Vzdělávejte vedení průběžně: Stejně jako zaměstnance.
6. Budujte interní thought leadership: Bezpečnostní tým by měl být partnerem managementu, ne pouze provozní funkcí.
7. Nebojte se přizvat externí odborníky: Nezávislý pohled často pomůže otevřít témata, která interně dlouho nezískávala pozornost.

Co si z článku odnést?

• Firmy často odkládají kyberbezpečnost kvůli přirozeným psychologickým zkreslením. 
• Minulá zkušenost bez incidentu není důkazem nízkého rizika. 
• Bezpečnost soupeří s projekty, jejichž přínos je viditelnější a okamžitý. 
• Management potřebuje rozumět dopadům na byznys, ne pouze technickým detailům. 
• IT a bezpečnostní týmy by měly fungovat jako interní průvodci a vzdělavatelé. 
• Thought leadership a dlouhodobé vzdělávání bývají účinnější než strašení katastrofickými scénáři.

Michaela Látalová
Marketingový specialista pro B2B

Píše o kyberbezpečnosti a nových technologiích a dává si záležet na tom, aby její texty nezapadly někde v koutě internetu a našly cestu ke správným lidem. Baví ji hledat způsoby, jak dostat téma kyberbezpečnosti z obrazovek tam, kam patří – do každodenního rozhodování a chování nás všech.