1. časť Kybernetická bezpečnosť v malých a stredných podnikoch

V diskusiách o kybernetickej bezpečnosti vládne niekoľko problematických mýtov, spomedzi ktorých je nesporne dominantným názor, že téma patrí výsostne veľkým firmám, bankám a významným inštitúciám. Argumentácia v duchu „my nikoho nezaujímame“ nie je ojedinelá. Vývoj kybernetických incidentov za posledné roky, nárast počtu poškodených rôznymi formami kybernetických útokov a nárast spôsobených škôd (priamych aj nepriamych) sú dôkazom mylnosti takéhoto postoja.

Incident a  potenciálne dopady incidentu

Bezpečnostný incident a najmä jeho následok nie je izolovaný jav. Práve naopak – vyvoláva dominový efekt s často prekvapujúcou dynamikou priebehu a následkov.   Ako názorný príklad si predstavme výrobnú firmu, ktorá:

• vyrába úspešný produkt
• pre výrobu nakupuje komponenty od siete dodávateľov
• výsledný produkt predáva odberateľskej sieti

A v tejto výrobnej firme dochádza napríklad ku kybernetickému útoku, ktorý spôsobí zašifrovanie dát kritických systémov s následkom výpadku všetkých kľúčových procesov – od zásobovania výroby, cez riadenie výroby, obchod a všetky procesy súvisiace s expedíciou výrobkov. Výpadok sa následne lavínovite začína šíriť v rámci dodávateľského i odberateľského reťazca.

Obrázok 1 Kybernetický incident môže narušiť výrobu, logistiku aj vzťahy s dodávateľmi a odberateľmi

Na prvé zamyslenie každému napadne rad možných následkov, ako napríklad:

• priame finančné straty spôsobené výpadkom biznis činností (v našom príklade výroby)
• nepriame finančné straty
  • náklady na obnovu systémov
  • možné dosahy správneho konania alebo trestno-právne postihy (pokuty)
  • náklady na odškodnenie
  • strata investícií investovaných do výskumu/vývoja/marketingu
• dosahy v dodávateľsko/odberateľskom reťazci
  • výpadky biznis činností podniku automaticky môžu mať vážny presah na celý reťazec obchodných partnerov (dodávateľov i odberateľov vrátane logistického procesu)
  • nedodržanie zmlúv a z nich vyplývajúce zmluvné sankcie
• poškodenie mena (reputačné riziko) – nepríjemná publicita môže mať dlhodobé dopady na marketingové aktivity a teda úplne prirodzene aj na obchodnú činnosť
• poškodenie práv zamestnancov, klientov
• zníženie dôveryhodnosti u klientov/ zamestnancov
• možná strata klientov
• a rad ďalších

Z vyššie uvedených dôvodov čoraz väčšiu úlohu nadobúda aj doteraz zanedbávaná problematika – bezpečnosť v dodávateľsko-odberateľskom reťazci. Tento prístup v sebe zahŕňa budovanie procesov riadenia bezpečnosti nie len v rámci svojho podniku, ale v rámci celého D/O reťazca vrátane vyžadovania, preverovania a vynucovania funkčného procesu riadenia bezpečnosti u obchodných partnerov.

Najčastejšie digitálne hrozby a riziká v prostredí MSP

Pozrime sa na najčastejšie hrozby s ktorými sa v reálnom živote stretáva väčšina prevádzkovateľov v prostredí malých a stredných podnikov. Cieľom určite nie je zostavenie váženého zoznamu aktuálnych hrozieb, skôr poukazánie na časté javy z

praxe.

1. Technické zlyhanie systému spôsobujúce výpadky informačných a rovnako aj výrobných systémov
   1. zastaralá technika – staré počítače a periférne zariadenia s vysokým stupňom opotrebovania a teda s vysokým stupňom nespoľahlivosti prevádzky.
   2. chyby konfigurácie – nesprávne nastavené systémy, aplikácie, podporné a bezpečnostné systémy
   3. neošetrené známe aj neznáme zraniteľnosti systémov (nezaplátaný softvér) – ako napríklad zanedbávanie aktualizácií a záplat operačných systémov, počítačov/notebookov/mobilných telefónov ale aj ďalších technických zariadení ako napríklad aktívne sieťové zariadenia, rôzne zariadenia (OT, IOT, IIOT), tlačiarne a rad ďalších.

Zásadným a málo komunikovaným nedostatkom býva podcenenie potreby ošetrovania zraniteľností u zariadení technického charakteru (OT, IOT, IIOT)  pripojených na internetovú sieť. Často opomenutým je napríklad nevykonaná zmena primárnych hesiel po ich inštalácií, väčšina podobných zariadení má totiž výrobcom často nastavené jednotné heslo uvedené aj v dokumentácií zariadenia. Rovnako zásadný význam má aj pravidelná kontrola resp. aktualizácia takýchto zariadení.

2. Podcenenie bezpečnostných opatrení – v reálnej praxi značne frekventovaný stav v rôznych kvalitatívnych úrovniach.

Asi najtypickejším prípadom býva existujúca bezpečnostná dokumentácia (často formálna, akási vzorová dokumentácia) v ktorej sú často definované aj potrebné opatrenia pre znižovanie rizika. Tieto opatrenia však nie sú aplikované a tak ostali len na papieri. Tento stav nemožno pomenovať riadením bezpečnosti – často je to len snaha o formálne vyhovenie zákonným požiadavkám.

Presným opakom býva situácia kedy organizácia má zavedené (v tomto prípade) rozličné technické opatrenia často dokonca na dobrej úrovni, len tieto nie sú žiadnym spôsobom dokumentované. Tento stav predstavuje zásadný najmä dva zásadné problémy:

• zložité overovanie súladu s bezpečnostnými požiadavkami,
• zásadné problémy v prípade zmien – ak odíde správca či implementátor opatrení, následná reinštalácia/ rekonfigurácia nastavení je prakticky nemožná

Tretím, nie ojedinelým prípadom je stav kedy dokumentácia aj opatrenia sú (resp. boli) kedysi vypracované aj zavedené, ale v priebehu času nie sú udržiavané a aktualizované napriek zmenám hrozieb, infraštruktúry, legislatívnym/normatívnym požiadavkám a samozrejme zanedbávajúc aj interné zmeny zamestnancov.

3. Odcudzenie identity – kompromitácia identity používateľa je jedným z najčastejších identifikovaných foriem útokov voči informačným systémom. Dôvodom býva najčastejšie odcudzenie prihlasovacích prvkov (meno/heslo prípadne PIN kód) a to rôznymi vektormi útoku. Spomeňme najčastejšie:

• zanedbanie dôvernosti hesiel prihlasovacích parametrov – značenie prihlasovacích mien/hesiel na rôzne viditeľné miesta prostredníctvom ktorých sa potenciálny útočník môže k týmto dostať (poznámkové papieriky na nástenke či v púzdre mobilného telefónu, v poznámkovom zošite uloženom v taške kde má zamestnanec notebook, súbor s heslami uložený na pracovnej ploche nezamknutého noteboku alebo na USB kľúči nosenom spolu s notebookom, a podobné),
• podcenenie bezpečnosti hesiel – typickými je používanie
  • • jednoduchých ľahko uhádnuteľných/ prelomiteľných hesiel, p
    • používanie jednotných prihlasovacích parametrov ku všetkým službám, ktoré zamestnanec využíva v práci aj v súkromí a tak útočníkovi stačí získať meno/heslo k jednej službe/aplikácií a do ďalších sa prihlási bez nutnosti experimentovania
  • krádeže databáz obsahujúcich prihlasovacie parametre k službám rôznych poskytovateľov (tzv. leaknuté databázy) – prevádzkovatelia rôznych internetových služieb sú pravidelne obeťami hackerských útokov s následkom odcudzenia bezpečnostných databáz – kedy takúto únik dát predstavuje zásadné riziko, že sa prihlasovacie parametre dostanú do rúk nepovolanej osoby (jednoduchým zakúpením leaknutej databázy)
  • zásadným rizikom je stále nízky počet používateľov resp. prevádzkovateľov využívajúcich viacfaktorové prihlasovanie, kedy pri prihlasovanie k operačnému systému, aplikácií či sociálnej sieti je okrem štandardného mena/hesla je nutný aj ďalší parameter – či už zadanie PIN kódu, biometrického parametra či iného

4. Shadow IT (neschválené aktíva) – hrozbou s vysokým rizikom  je neriadené a nekontrolované využívanie rôznych aplikácií zamestnancami bez predchádzajúceho testovania ich potenciálnej rizikovosti pre firemnú infraštruktúru. Aktuálne najzávažnejším problémom tejto kategórie je svojvoľné využívanie neoverených AI nástrojov.

K hrozbám shadow IT  patrí aj neriadené a nekontrolované využívanie súkromných zariadení zamestnancov (BYOD – Bring Your Own device) na pracovné účely. Takéto „zdieľané“ zariadenie môže byť zdrojom „zavlečenia“ infiltrácie do infraštruktúry zamestnávateľa s vážnymi dopadmi.

5. Bezpečnosť v dodávateľskom/odberateľskom reťazci (nazývané aj riziká tretích strán) – narušenie atribútov bezpečnosti nemusí zásadne prichádzať z vnútra organizácie alebo formou externého útoku zameraného priamo na organizáciu. Incident môže byť spôsobený subjektom z dodávateľského reťazca a to z rôznych dôvodov spomedzi ktorých spomeňme dva najfrekventovanejšie:
   1. 1. dochádza k narušeniu bezpečnosti IS u dodávateľa/odberateľa ktorý má priame prepojenie na informačné systémy organizácie narušenie má následný dopad aj na Vašu organizáciu – príkladom môže byť ransomware do IS partnera, ktorý sa prenesie do Vašej spoločnosti
      2. partner je dodávateľom služby citlivého charakteru (napríklad spracúvanie osobných údajov) a zanedbá svoje zmluvné povinnosti – príkladom môže byť partner zabezpečujúci archiváciu/ skartáciu dôverných dokumentov a túto povinnosť zanedbá, dôsledkom čoho je únik osobných údajov citlivého charakteru. Na Slovensku sme mali niekoľko podobných prípadov týkajúcich sa pacientskej dokumentácie.

6. Ľudský faktor (vnútorné a externé hrozby)
   1. 1. náhodné

• • • • chyba obsluhy v dôsledku nesprávnej obsluhy systémov, zanedbávania zavedených bezpečnostných opatrení
      • strata/ odcudzenie zariadenia obsahujúceho citlivé dáta – mobilného telefónu, notebooku, tabletu alebo pamäťového média (USB kľúč) – pokiaľ takéto zariadenie nie je dostatočne zabezpečené

Typickým príkladom býva krádež mobilného prostriedku (notebooku) zo zaparkovaného auta pred nákupným centrom, kedy v princípe nemusí ísť o cielenú krádež za účelom prístupu k citlivým dátam. Častejším býva prípad krádeže tašky pohodenej na zadnom sedadle vozidla s cieľom získať minimálny finančný obnos zo záložne.  Vo finále ale nik nemôže tušiť, do akých rúk sa takýto notebook s citlivými dátami na disku môže dostať.

2. cielené – zlomyseľný používateľ

• • • • sklamaný a negatívne motivovaný zamestnanec snažiaci sa o „poškodenie“ záujmov podnik
      • častým motívom býva pomsta, snaha uškodiť zamestnávateľovi
      • vo väčšine prípadov sa jedná o skratové jednanie, ktorého dôsledky sa odstraňujú ťažko alebo vôbec
      • obvykle zamestnanec motivovaný na prechod ku konkurencii

3. interný frauder dát

• • • • najčastejším dôvodom býva možnosť zvýšenia príjmov, ktorý je ale podmienený zo strany nového zamestnávateľa dodaním dôverných informácií s ktorými prišiel zamestnanec do kontaktu v predchádzajúcom zamestnaní a budú užitočné pre naplnenie biznis cieľov
      • rovnako frekventovaným dôvodom býva zámer osamostatnenia sa formou vlastného podnikania
      • tu je potrebné konštatovať, že uvedené konanie sú za hranou trestného práva – toto poznanie však nepomôže vyriešiť možné dopady na fungovanie podniku

7. Externý útok

1. útoky postavené na báze sociálnej manipulácie
   • • phishingvhishing
     • smishing
     • zavlečenie infiltrácie prostredníctvom manipulatívnej komunikácie (napr.ransomware)
     • BEC (business e-mail compromise)
     • a rad ďalších
2. technické útoky na firemnú infraštruktúru (napríklad DDoS útoky)
3. útok cez dodávateľsko/odberateľský reťazec (napríklad dodávateľ softvéru)

Dominancia v skladbe hrozieb dnes nesporne patrí rôznym formám manipulatívnych útokov postavených na báze sociálneho inžinierstva, kde zásadný podiel nesie forma nazývaná phishing. Práve preto je nutné tejto problematike venovať extrémne zvýšenú pozornosť aj pri budovaní odolnosti zamestnancov rôznymi formami vzdelávania a upevňovania návykov. Trend z hľadiska frekvencie rizík potvrdzujú tiež pravidelné prieskumy ako napríklad ENISA THREAT LANDSCAPE.

Posledný z roku 2025 jednoznačne potvrdzuje dominanciu dvoch zásadne podceňovaných oblastí:

• rôznych foriem phishingu
• podcenenia zraniteľností

Obrázok 2 Najvýznamnejšie kybernetické hrozby podľa správy ENISA Threat Landscape 2025 [1]

8. Riziká využívania umelej inteligencie                                                                                                                                                                             Pri úvahách o využívaní nástrojov umelej inteligencie pre pracovné činnosti v rámci podniku je dôležité uvedomiť si niekoľko základných faktov o aktuálnych modeloch AI a rizikách, ktoré ich nekontrolované používanie prináša.

Primárne je nutné si uvedomiť, že zodpovednosť za použitie výstupov vygenerovaných nástrojmi AI nesiete používateľ, nie tvorcovia platformy AI.

Riziká s ktorými je nutné reálne uvažovať a to najmä v situácií, kedy dochádza k tieňovému používaniu rôznych AI modelov zamestnancami – najmä verejných (bezplatných modelov)

• sporná akceptácia práva duševného vlastníctva – AI generuje obsah bez ohľadu na autorské práva, práva duševného vlastníctva a patentového práva.
• halucinácia – algoritmy AI majú isté limity, ktoré vedú AI ku generovaniu „najlepšej“ možnej odpovede používateľom, čo nemusí znamenať generovanie správnej odpovede
• narábanie s dátami z hľadiska zachovania dôvernosti – AI sa učí/trénuje na Vašich dátach, ktoré mu pri riešení problému zadáte

 Neošetrený stav hrozieb a rizík v rámci organizácie je reálne neželaným stavom. Takýto stav je v prvom rade principiálne nedodržiavaním zákonných povinností. V druhom rade je to hazardovanie často až za hranicu existenčných dopadov. Preto si v nasledujúcej časti zhrnieme základné prvky vedúce k budovaniu kybernetickej odolnosti organizácie.