30. října 2026
Ve středu 21. října v sedm večer vypnul Úřad vlády svůj web. Ve čtvrtek v osm ráno byl už zpět v provozu. Preventivně, kvůli dvěma kritickým zranitelnostem v PHP, PHP2Shell — umožňují spustit na serveru cizí kód bez přihlášení a NÚKIB k nim vydal upozornění s doporučením aktualizovat okamžitě.
Takových dnů je teď hodně. Před pár týdny únik dat z Rohlíku přes systém zákaznické podpory, teď odstávky a patchování serverů po celém světě. Incidenty, hlášení NÚKIB, nápravná opatření.
Zajímavé ale je, co ve středu večer rozhodovalo o tom, jestli to bude hodina práce, nebo tři dny. Nebyla to otázka, jak se PHP aktualizuje — to ví každý administrátor. Byla to otázka: kde všude nám PHP běží, kdo za ty systémy odpovídá a co se rozbije, když je teď hned shodíme?
A ještě jeden detail. Podle analytiků z Wizu byla ta chyba v kódu přes deset let a našla ji až analýza jazykovým modelem. Vaše expozice se ve středu nezměnila. Změnilo se jen to, že o ní víte.
Při přípravě na podobné situace vídám u klientů pořád dokola totéž: systémy, které nemají garanta, nemají ohodnocený dopad a jejich dodavatel nikdy neprošel posouzením. Přitom na nich závisí obchodní procesy a leží v nich důležitá data.
To není problém papírů. Je to problém řízení. O aktivu, o kterém nevím, nemůžu rozhodnout, jestli jeho riziko přijímám, nebo snižuji. Nespadne do žádného plánu zvládání, nikdo mu nenastaví zálohování podle kritičnosti a při incidentu se začíná otázkou „kdo to vlastně provozuje“. To je ta nejdražší možná první otázka.
Zákon o kybernetické bezpečnosti nezná pojem „skupina“. Povinnosti dopadají na každé IČO zvlášť — a firma, která denně funguje jako jeden organismus, najednou potřebuje tři nebo pět samostatných systémů řízení.
Co se tím v praxi ztrácí:
● Při incidentu čas. Sdílené ERP nebo síť figuruje v analýze rizik každé firmy jinak, nebo vůbec, protože „to přece řeší centrála“. Nevyjasněná odpovědnost za aktiva prodlužuje obnovu.
● Obchod. Na bezpečnostní dotazník od zákazníka odpovídáte tři týdny, protože podklady sbíráte z pěti excelů. Konkurence odpoví za tři dny.
● Rozhodnutí vedení. Jeden závod hodnotí dopad číselně, druhý slovně. Nedá se porovnat, kde je riziko větší, takže se rozpočet nakonec rozdělí podle toho, kdo víc tlačí.
NÚKIB vydal varování k předávání dat a výkonu vzdálené správy z Číny a loni v srpnu k tomu i strategickou analýzu o čínských připojených vozidlech. Norský dopravce Ruter mezitím při vlastním testu našel ve svých čínských elektrobusech skryté SIM karty, přes které by šlo do vozidel zasáhnout na dálku. Karty odstranil a zpřísnil pravidla nákupu.
A teď posouzení stejného rizika ve skupině. V účetní firmě, kde má elektromobil jedna osoba, se to aktivum možná ani nedostane do katalogu. V distribuční společnosti, která na stejných autech rozváží zboží zákazníkům, je to riziko, které umí zastavit tržby. Táž hrozba, dva zcela jiné výsledky — a obojí je správně.
A tady je past, do které holdingy šlapou: sloučit to do jedné evidence a řídit skupinu jedním číslem. Výsledkem je šedý průměr. Pro distribuci je podhodnocený, takže reálné riziko zůstane neošetřené. Pro účetní firmu nadhodnocený, takže se utratí peníze za něco, co ji neohrožuje. Průměr nepomůže ani jedné.
Neprodáváme nástroj a nenecháváme klienta, ať si ho naplní sám. Prázdný systém je horší než excel, protože budí dojem, že je hotovo.
BS Shield vCISO znamená, že agendu manažera kybernetické bezpečnosti přebírá někdo, kdo to dělal i jinde. Do třiceti dnů dostanete písemnou roadmapu s prioritami na rok. Od začátku je určený i záložní vCISO, aby agenda nestála na jednom člověku — což je mimochodem přesně ten problém, kvůli kterému často není dokumentace aktuální.
Jako GRC platformu používáme MoyaKybeon. Ve skupině s ním pracujeme takhle:
● Jedno IČO, jeden pohled — a to je dobře. V systému pracujete vždy s jednou organizací. Souhrnný pohled přes všechny firmy skupiny neexistuje a my po něm ani netoužíme; byl by to přesně ten šedý průměr. Jeden člověk přitom může mít přístup do všech organizací, takže metodický dohled z centra funguje.
● Stejný postup, vlastní hodnocení. Katalogy hrozeb, zranitelností a typových aktiv připravíme jednou a do dalších firem je přeneseme. Každá si je ale ohodnotí sama — a musí. Požár serverovny je pro poskytovatele IT služeb kritický, pro pekárnu nepříjemný. Totéž platí pro stupnici dopadů: kritická finanční ztráta je u malé firmy ve stovkách tisíc, u velké je to zaokrouhlovací chyba.
● Rizika se počítají pokaždé stejně. Žádná početní chyba v tabulce, žádná vlastní vzorečková tvořivost po závodech. Proto jsou hodnoty mezi firmami porovnatelné a hlavně dohledatelné: u každého rizika vidíte, proč vyšlo vysoko v jedné firmě (vysoké ohodnocení hrozby i aktiva) a nízko ve druhé.
● Aktiva dostanou garanta — včetně těch, které nikdo nepovažuje za systém. Helpdesk v cloudu, MES, docházka, sdílená síť. Navážou se vazbami s váhou vlivu na služby a informace, takže se hodnocení dopadu propaguje samo. Když se změní hodnota služby, přepočítá se řetězec, ne jedna buňka.
● Dodavatele si hodnotí každá firma sama. A je to tak správně: Microsoft je pro jednu společnost skupiny klíčový dodavatel, pro druhou běžný. Společná je metodika — a to, že ze stejných dat odpovídáte na bezpečnostní dotazníky svých zákazníků, kterých přibývá rychleji než kontrol.
● Z analýzy dopadů vypadnou čísla, ne dokument. Procesy navázané na aktiva, z toho MTO, RTO a RPO. Provozní ředitel pak ví, že linka vydrží osmnáct hodin bez ERP a devadesát minut bez sítě. To je rozdíl mezi plánem kontinuity pro auditora a plánem, podle kterého se dá v krizi rozhodovat.
● Akvizice nebo nový systém je agenda, ne e-mail. Skupiny neustále kupují a slučují. Každá významná změna spouští analýzu rizik — se jmenovaným schvalovatelem a s návrhy opatření, aby změna proběhla hladce. Ne jako věc, na kterou si někdo vzpomene před kontrolou.
Žádné opatření nesníží pravděpodobnost na nulu. Proto k tomu patří druhá polovina práce — omezit dopad.
Krizový plán má vCISO připravený dřív, než se cokoli stane, včetně komunikace s NÚKIB. A u dat, na kterých stojí provoz, nasazujeme BS Shield CyberVault: izolovaný trezor bez trvalého napojení na produkci, neměnná kopie, kontrola integrity a pravidelně testovaná obnova. Útočník může kompromitovat produkci, ale k ověřené čisté kopii se nedostane.
Rozdíl mezi firmou, která to má připravené, a firmou, která ne, se neměří v auditních nálezech. Měří se ve dnech výpadku.
Nejrychlejší způsob, jak zjistit, jestli vám to sedne, je podívat se, jak by to mohlo vypadat u vás — ne na prezentaci.
Demo je na 30 dní zdarma a bez platební karty. Projdeme ho spolu nad vzorovými daty výrobní firmy, ať vidíte, kam se co zadává a co z toho vypadne. Pokud pak budete chtít pracovat s vlastními daty, domluvíme se, co do systému dostaneme a jak.
Licence se platí za organizaci a bez omezení počtu uživatelů — do systému tedy pustíte i garanty aktiv a řešitele úkolů, aniž by to cokoli stálo. A pokud řešíte víc než jedno IČO, od čtvrté firmy ve skupině jde o jednotky tisíc korun ročně.
Petr Diviš, Security Consultant, BIT SERVIS