50% nárůst ransomware útoků: Proč je teď ten správný čas na audit vaší kybernetické bezpečnosti

Proč je bezpečnostní audit IT důležitý?

Bezpečnostní audit IT umožňuje organizacím identifikovat rizika IT a slabá místa v jejich IT infrastruktuře. Většina kybernetických útoků není cílená na konkrétní subjekty; místo toho útočníci hledají snadné cíle bez ohledu na velikost nebo význam společnosti. Podcenění kybernetických rizik tak může vést ve svém důsledku k finančním ztrátám, právním problémům nebo ztrátě důvěry veřejnosti.

1) Prevence kybernetických útoků

V roce 2024 došlo globálně k nárůstu počtu kyberútoků. Podle dat americko-izraelské IT skupiny Check Point se firmy ČR musely vypořádat v průměru se 2094 kyberútoky týdně. To je meziročně o 34 procent více než loni.  Tento trend ukazuje, že útočníci se často zaměřují na zranitelné systémy, ať už v menších společnostech, které mají omezené zdroje na ochranu, nebo v těch větších, kde může být zabezpečení na některých úrovních nedostatečné.

Ransomware (tj. vyděračský software) útoky taktéž zaznamenaly výrazný nárůst. Podle statistik se jejich počet v roce 2023 zvýšil o více než 50 % oproti předchozímu roku, s více než 4 368 napadenými subjekty. Tento trend jasně ukazuje, že se kyberzločinci neustále přizpůsobují novým bezpečnostním opatřením a hledají zranitelná místa v systémech firem.

Kyberútoky v Česku výrazně narostly především v souvislosti s politickými událostmi, jako je konflikt na Ukrajině. NÚKIB uvádí, že došlo ke zdvojnásobení počtu kybernetických incidentů, přičemž významnou roli hrají ransomware a DDoS útoky. Tyto útoky jsou často zaměřené na kritické sektory, jako jsou státní instituce, vojenské, zdravotnické a energetické cíle. 

2) Snížení nákladů na řešení následků kybernetických útoků

Kybernetické útoky mohou mít pro firmy katastrofální finanční dopady. Společnost Varonis uvádí, že v roce 2023 dosáhla průměrná cena obnovy po kybernetickém útoku globálně 4,45 milionu USD, což představuje nárůst o 15,3 % za poslední tři roky. U útoků typu ransomware jsou náklady na obnovu ještě vyšší – v roce 2023 činily průměrně 5,13 milionu USD, a to bez započítání výkupného. Pokud je zaplacené výkupné, náklady se ještě zvyšují, přičemž většina firem přesto nezíská všechna svá data zpět​.

Náklady na řešení kybernetického útoku zahrnují nejen technickou obnovu systémů, ale také další významné položky, jako jsou:

•     právní a poradenské služby,
•     ochrana proti zneužití osobních údajů v případě krádeže identity,
•     komunikace s veřejností a řízení reputace – rychlé informování zákazníků a veřejnosti k minimalizaci poškození firemního obrazu a ochrany důvěry.
•     ztráta obchodních příležitostí​.

Preventivní opatření, jako jsou pravidelné bezpečnostní audity, investice do ochranných technologií a zavedení „incident response“ plánů, mohou firmám ušetřit značné finanční prostředky. Firmy mohou výrazně snížit náklady spojené s kybernetickými útoky, které globálně dosahují průměrných nákladů na obnovu ve výši až 1,49 milionu USD​.

Investice do prevence tak představují nejen menší finanční zátěž, ale zároveň minimalizují provozní výpadky a potenciální poškození reputace. Celkově je tedy efektivnější investovat do pravidelných auditů IT bezpečnosti a dalších preventivních opatření než čelit vysokým nákladům na obnovu po kybernetickém útoku.

3) Soulad s legislativou – význam směrnice NIS2 a její dopady

Směrnice NIS2 (Network and Information Security Directive 2) představuje zásadní krok k posílení kybernetické bezpečnosti v rámci Evropské unie. Směrnice NIS2 měla být implementovaná do vnitrostátních právních předpisů do října 2024, ale z důvodu dlouhého legislativního procesu se účinnost v České republice očekává nejdříve na začátku roku 2025. Tato směrnice je právně závazná pro firmy splňující kritéria podle počtu zaměstnanců (více než 50) a ročního obratu (nad 10 milionů EUR) a organizace, které spravují kritickou infrastrukturu, jako jsou: 

•     energetické,  
•     finanční  
•     a zdravotnické systémy. 

NIS2 významně rozšiřuje rozsah regulovaných subjektů a zpřísňuje požadavky na ochranu sítí a informačních systémů​. Jedním z klíčových aspektů NIS2 je povinnost firem zavést robustní kybernetickou ochranu, což zahrnuje pravidelné audity kybernetické bezpečnosti, řízení rizik a zavádění politik pro incident response (plány pro řešení kybernetických incidentů). Směrnice také zdůrazňuje potřebu efektivního zabezpečení dodavatelských řetězců, což znamená, že organizace musí věnovat pozornost i bezpečnostním standardům svých dodavatelů.

Rozšířený audit pro splnění směrnice NIS2

Vzhledem k tomu, že směrnice NIS2 zavádí přísnější pravidla a rozšiřuje záběr regulovaných subjektů, je nezbytné, aby vybrané společnosti provedly rozšířený audit kybernetické bezpečnosti. Tento audit je povinný zejména pro organizace, které spadají pod kritickou infrastrukturu, jako jsou energetické, finanční, dopravní a zdravotnické systémy​.

Rozšířený audit pro splnění požadavků NIS2 zahrnuje několik specifických prvků:

• Zvýšené bezpečnostní standardy – pro organizace spadající pod směrnici platí, že musí zavést přísnější bezpečnostní opatření, která zajišťují maximální ochranu proti kybernetickým hrozbám. To zahrnuje např. šifrování dat, důkladné řízení přístupů a vylepšené zálohovací systémy​.
• Pravidelná hlášení incidentů – Podle NIS2 musí organizace hlásit závažné kybernetické incidenty NÚKIBu, přičemž do 24 hodin jsou povinné pouze předběžné zprávy. Následné podrobné zprávy se liší podle typu subjektu a závažnosti incidentu.  
• Audit dodavatelského řetězce – NIS2 klade důraz na zajištění kybernetické bezpečnosti nejen uvnitř firmy, ale také v rámci dodavatelského řetězce. Organizace jsou povinné zahrnout bezpečnostní opatření do smluv s dodavateli a v některých případech provádět hodnocení rizik souvisejících s jejich dodavatelskými řetězci.
• Management odpovědný za kybernetickou bezpečnost – Jedním z požadavků NIS2 je zvýšená odpovědnost managementu za dodržování kybernetické bezpečnosti, včetně přímého dohledu nad plněním požadavků směrnice a zajištěním odpovídajících opatření.

Jak správně bezpečnostní audit IT provést?

Realizace bezpečnostního auditu IT není jednorázovou záležitostí. Jedná se o komplexní proces, který zahrnuje několik kroků:

• Definování rozsahu auditu – nejdříve je nutné určit, které systémy, procesy a data budou procházet auditem. Je také třeba stanovit jeho cíle, například ověření souladu se směrnicí NIS2 nebo zvýšení ochrany vůči specifickým hrozbám​.
• Identifikace rizik a zranitelností – provádí se analýza kybernetických rizik, která identifikuje slabá místa v IT infrastruktuře, jako jsou zastaralé systémy, chybějící aktualizace nebo nedostatečné šifrování dat. Součástí může být také penetrační testování. Součástí auditu by mělo být také ověření, zda jsou správně nastavené uživatelské přístupy. Každý zaměstnanec by měl mít přístup pouze k těm datům a systémům, které potřebuje pro svoji práci. Kontrola přístupů minimalizuje riziko neoprávněného přístupu k citlivým informacím.
• Návrh opatření a implementace řešení – na základě výsledků auditu je nutné navrhnout konkrétní opatření ke zlepšení bezpečnosti. To může zahrnovat aktualizaci softwaru, nastavení lepší kontroly přístupu nebo školení zaměstnanců ohledně kybernetické bezpečnosti. Po auditu nestačí jen identifikovat slabá místa, ale je třeba přijmout konkrétní opatření pro jejich odstranění.
• Vyhodnocení a následná kontrola – po implementaci navržených opatření by měla být zajištěná pravidelná kontrola a opakovaný audit, aby bylo možné neustále dodržovat bezpečnostní standardy a přizpůsobovat se novým hrozbám​. Téma si samostatně rozebereme v další části textu.

Díky těmto krokům může firma efektivně předcházet kybernetickým útokům a zároveň plnit požadavky souladu s legislativou, jako je NIS2. To nejen chrání před sankcemi, zatímco nedodržování těchto zákonů může vážně poškodit důvěryhodnost firmy a její schopnost odolávat kybernetickým hrozbám​.

Vyhodnocení a následná kontrola. Disaster Recovery plán

Vyhodnocení a následná kontrola jsou důležitými kroky, které následují po implementaci bezpečnostních opatření doporučených během IT auditu. Tento proces zahrnuje:

1) Vyhodnocení efektivity implementovaných opatření – po implementaci všech doporučení je nutné provést vyhodnocení, zda zvolená bezpečnostní opatření splňují očekávané výsledky. To zahrnuje monitorování nových zranitelností, prověřování účinnosti nasazených nástrojů a postupů a zhodnocení schopnosti reagovat na potenciální kybernetické hrozby.

2) Následná kontrola – jednou implementované bezpečnostní mechanismy je třeba pravidelně kontrolovat. Tím se zajistí, že nebudou zastaralé a že zůstanou efektivní i proti novým druhům kybernetických útoků. To zahrnuje průběžné audity, aktualizaci bezpečnostních politik a testování IT systémů. Firmy by měly mít plán pravidelných kontrol bezpečnostních postupů minimálně jednou ročně​.

3) Disaster Recovery plán (DRP) – tento plán je nezbytný pro minimalizaci dopadů kybernetických incidentů. Disaster Recovery plán zahrnuje konkrétní postupy, jak obnovit IT infrastrukturu a kritické procesy po kybernetickém útoku, výpadku systému nebo jiné nehodě. Mezi klíčové komponenty DRP patří:

•  Zálohování dat – Pravidelné a bezpečné zálohování všech klíčových dat mimo hlavní systém, aby bylo možné data obnovit v případě útoku nebo havárie.
•  Definice kritických systémů – Identifikace systémů a procesů, které musí být prioritně obnoveny, aby společnost mohla pokračovat ve své činnosti.
•  Plán pro zotavení – Přesný postup, jak obnovit provoz společnosti, včetně časových rámců, priorit a odpovědných osob.
•  Testování a aktualizace DRP – Disaster Recovery plán je nutné pravidelně testovat a aktualizovat, aby byl připraven na nové typy hrozeb a změny v infrastruktuře​.

Proč je DRP důležitý?

Při závažném kybernetickém incidentu, například ransomware útoku, může dojít k dlouhodobým výpadkům nebo k nedostupnosti kritických dat. Dobře připravený a otestovaný DRP může firmě umožnit rychlejší zotavení a minimalizovat finanční i provozní ztráty.

Spolehněte se na profesionály, než bude pozdě

Kybernetické hrozby se neustále vyvíjejí a útoky jsou stále sofistikovanější, proto by měla být ochrana vaší IT infrastruktury klíčovou prioritou. Jste si jistí, že vaše systémy jsou připravené čelit těmto rizikům? Pokud vaše organizace spadá pod NIS2, máte povinnost tato rizika aktivně řešit a zavést nezbytná bezpečnostní opatření. Možná je čas se zamyslet. Co kdyby vás zasáhl kybernetický útok právě zítra?

V Algotechu uděláme vše pro to, abychom zajistili, že vaše firma bude připravená čelit všem potenciálním hrozbám. Naše služby zahrnují kompletní bezpečnostní audit IT, testování odolnosti vůči útokům, vytváření Disaster Recovery plánů a školení vašich zaměstnanců, aby byli připravení na každodenní kybernetické výzvy.

Nečekejte, až se stane něco neočekávaného. Kontaktujte nás ještě dnes a získejte jistotu, že vaše data a systémy jsou v bezpečných rukou.