Jakou hodnotu mají vaše data? Prvním krokem zabezpečení je vyčíslení jejich hodnoty a klasifikace

Data představují dnes ve většině podniků největší část jejich majetku a současně i nezbytný prostředek pro fungování. Prvním krokem při plánování řešení na jejich zabezpečení je analýza možných rizik a vyčíslení potencionálních škod.

„Kybernetické zabezpečení můžeme vnímat podobně jako pojištění nemovitosti proti živelním pohromám či vykradení. Nemovitost a věci v ní mají nějakou odhadovanou hodnotu, a od té se odvíjí výše pojistky. V kyberbezpečnosti je to podobné, jen výpočet hodnoty nehmatatelných, digitálních dat nemusí být vždy úplně snadný. Firmy se proto někdy dopouštějí chyby a přeceňují hodnotu fyzického majetku právě na úkor dat,“ vysvětluje Milan Ryšavý, architekt kybernetické bezpečnosti ve společnosti Seyfor.

Studie kyberbezpečnostní společnosti Check Point uvádí, že v roce 2023 byla pokusem o ransomwarový útok zasažena každá desátá organizace na světě, což představuje meziroční nárůst o 33 %. V průměru organizace po celém světě zaznamenaly 1 158 různých kyberútoků týdně. Útoky jsou navíc sofistikovanější.

„Zatímco dříve byla data napadené organizace zašifrována ransomwarem a útočník na oběti vymáhal výkupné za jejich opětovné zpřístupnění, dnes dochází při většině ransomwarových útoků i k likvidaci dostupných záloh a především k odcizení podnikových dat. Kyberzločinci tak znemožní firmě obnovu dat vlastními silami a navíc mají další páku v jednání o zaplacení výkupného – hrozí totiž, že odcizená data zveřejní na internetu,“ popisuje evoluci praktik kyberzločinců Milan Ryšavý.

Ocenění rizik je nezbytnou součástí přípravy na kybernetické útoky

Základním krokem je roztřídění dat do několika úrovní – od nejméně důležitých až po nejcitlivější informace, bez kterých nemůže firma fungovat. Současně je také nutné data kvantifikovat a udělat si představu, jak rychle poroste jejich množství.

„Identifikace a klasifikace informací v rámci podniku je klíčová nejen kvůli návrhu vhodných bezpečnostních opatření, ale také kvůli splnění legislativních požadavků. Klasifikace dat a jejich ochrana je totiž i jednou z klíčových oblastí řešených v připravované novele zákona o kybernetické bezpečnosti na základě směrnice NIS2,“ upozorňuje Ryšavý na nové povinnosti, které bude novelizovaný zákon ukládat poskytovatelům regulovaných služeb. 

Úkolem bezpečnostních opatření je zajistit nejen dostupnost a možnost obnovy dat v případě úspěšného útoku, ale také jejich integritu (neměnnost) a důvěrnost nejen při zpracování a ukládání v podnikových systémech, ale i během přenosu po internetu. „Ochrana veškerých dat na nejvyšší úrovni by pro organizaci znamenala náklady zdaleka převyšující možná rizika. Proto je hlavním úkolem analýzy rizik stanovit hodnotu konkrétních informací a následně zvolit adekvátní způsob a úroveň jejich ochrany, který bude odpovídat potenciálním škodám. Zpravidla se to neobejde bez konzultací se specialisty, kteří pomohou jak s klasifikací dat, tak i s návrhem vhodných opatření,“ uzavírá Milan Ryšavý ze společnosti Seyfor.