Ransomware, ochromené nemocnice, zastavené úřady a milionové výkupné. Téměř nikdy to však nezačne „sofistikovaným hackem“. Příčinou selhání bývá lidský faktor.

Případy, které změnily přístup ke kyberbezpečnosti

Pokud jste ve vedení firmy, HR nebo L&D, je potřeba si přiznat jednu věc: kyberbezpečnost dnes není IT téma. Je to téma řízení rizik.

Slovenský katastr nemovitostí (2023)

Útočníci se do systému dostali přes slabě zabezpečený přístup – jednoduše řečeno někde chyběla dostatečná kontrola nad přihlašovacími údaji. Poté zablokovali klíčová data. Katastr byl týdny mimo provoz, zastavily se převody nemovitostí a objevily se milionové požadavky na výkupné. Celkové škody se podle odhadů mohly pohybovat v desítkách milionů eur kvůli výpadku služeb, obnově systémů i dopadům na realitní trh a banky. Ukázalo se tak, že když není bezpečnost součástí řízení, může se IT problém rychle změnit v ekonomickou krizi.

Shrnutí škod a dopadů:

• Výpadek klíčové státní služby na několik týdnů
• Odhadované škody v desítkách milionů €
• Zpoždění hypoték a převodů nemovitostí
• Reputační ztráta a ztráta důvěry veřejnosti

Fakultní nemocnice Brno (2020)

Během pandemie došlo k odstavení klíčových IT systémů nemocnice, což vedlo k odkládání operací a návratu k papírové evidenci. Útok byl podle dostupných informací umožněn kombinací zranitelného systému a pravděpodobného phishingového vstupu, kdy útočníci získali přístup do interní sítě. V době, kdy byl zdravotnický systém pod extrémním tlakem, stačil jediný vstupní bod k tomu, aby byla ochromena kritická infrastruktura a ohrožena kontinuita péče.

Shrnutí škod a dopadů:

• Přerušení poskytování plánované zdravotní péče
• Náklady na obnovu IT systémů v řádu desítek milionů Kč
• Provozní ztráty a mimořádné krizové výdaje
• Reputační riziko a ztráta důvěry pacientů

OKD (Česko, 2020)

Společnost OKD se stala terčem hackerského útoku poté, co se útočníci dostali do firemního systému přes nedostatečně zabezpečený přístup. Útočníci následně zašifrovali důležité systémy, což omezilo provoz dolů a způsobilo výpadky výroby. Celkové škody se podle odhadů pohybovaly v desítkách milionů korun, a to kvůli zastavené práci, obnově systémů i krizovému řízení.

Shrnutí škod a dopadů:

• Omezení provozu a výpadky výroby
• Odhadované škody v desítkách milionů Kč
• Náklady na forenzní analýzu a obnovu systémů
• Zvýšený tlak na bezpečnostní investice a compliance

Colonial Pipeline (USA, 2021)

Útočníci se dostali do systému díky ukradenému nebo slabému heslu. Poté do firmy nahráli škodlivý program, který zašifroval data, a firma musela provoz raději zastavit, aby se útok dál nešířil.

Společnost zaplatila výkupné ve výši přibližně 4,4 milionu USD. Celkové ekonomické dopady však byly mnohonásobně vyšší kvůli zastavení dodávek paliva na východním pobřeží USA a následnému narušení trhu.

Shrnutí škod a dopadů:

• Přímé výkupné zhruba 4,4 milionu USD
• Zastavení dodávek paliva pro miliony obyvatel
• Panické nákupy a narušení trhu
• Náklady na obnovu, právní a bezpečnostní opatření

Společný jmenovatel? Lidská chyba.

Z analýz globálních incidentů dlouhodobě vyplývá:

• Více než 70 % útoků začíná phishingem
• Největší škody nejsou výkupné, ale výpadek provozu
• Zálohy bez testování neznamenají bezpečí
• Management často podceňuje reálné riziko

Technologie selhávají méně často než lidé. Právě lidský faktor je tím nejslabším článkem.

Největší omyl firem

Firmy investují do:

• firewallů
• antivirových systémů
• monitoringu

Ale neinvestují systematicky do:

• vzdělávání zaměstnanců
• bezpečnostní kultury
• rozhodovacích scénářů pro management
• testování krizových reakcí

Kyberbezpečnost není jednorázové školení. Je to kontinuální proces řízení.

Otázka pro vedení firem

Víte,...

• jak by vaše firma fungovala 7 dní bez IT systémů?
• kdo rozhoduje o zaplacení výkupného?
• jak rychle umíte obnovit provoz?
• kolik by vás stála reputační škoda?

Pokud na tyto otázky nemáte jasnou odpověď, nejde o IT problém. Jde o strategické riziko.

Jak k tomu přistupujeme v LifeScale Business

LifeScale Business funguje jako externí L&D partner firem. Neřešíme jen školení. Řešíme systém.

Pomáháme firmám:

• nastavit vzdělávání v oblasti kyberbezpečnosti pro všechny úrovně organizace

• zvýšit digitální a AI gramotnost

• propojit bezpečnost s reálnými procesy

• měřit návratnost vzdělávání

• využít dostupné dotační programy

Neučíme teorii. Nastavujeme změnu chování.

Protože rozdíl mezi krizí a zvládnutým incidentem často rozhodne jeden klik.