Bez testování není bezpečnost: realita SŘBI v praxi

Ještě během studia jsem považoval za největší výzvu kybernetické bezpečnosti firem schopnost držet krok s rychlým vývojem moderních technologií. S přibývajícími zkušenostmi ze zavádění a řízení kybernetické bezpečnosti to dnes vidím jinak.

V praxi totiž nebývají hlavním problémem samotné technologie, ale schopnost dlouhodobě udržet v bezpečnosti řád a přehled.

Nové i staré systémy, shadow IT, „legacy“ servery schované pod stolem, aplikace bez jasného vlastníka nebo služby, které už nikdo nechce vypnout. To vše vytváří vysoce rizikové prostředí.

Organizace dnes fungují extrémně rychle. Infrastruktura se neustále mění, přibývají nové nástroje a služby, mění se role lidí i procesy a zároveň se vyvíjejí hrozby, kterým musí bezpečnost čelit.

Do toho vstupuje nová legislativa, například nový zákon o kybernetické bezpečnosti, která přidává další vrstvu komplexity. V takovém prostředí už nestačí bezpečnost pouze „nastavit“, je nutné ji průběžně ověřovat, testovat a rozvíjet.

A právě testování hraje v rámci systému řízení bezpečnosti informací (SŘBI) zásadní roli. Nejde jen o splnění formálních povinností, ale především o systematické zvyšování odolnosti organizace vůči reálným útokům a o budování bezpečnostní kultury napříč celou firmou.

Co je SŘBI a jak se vztahuje k novému kyberzákonu?

Systém řízení bezpečnosti informací (SŘBI), z anglického ISMS (Information Security Management System), je v podstatě soubor politik a procesů, nebo chcete-li postupů, který slouží k ochraně důvěrnosti, integrity a dostupnosti informací.

Je to praxí ověřený rámec, který pravidelně připomíná, kdo má co udělat, jaká rizika jsou největší, kdy jste naposledy testovali havarijní plán a zda mají lidé za sebou školení, které jim opravdu něco dalo.

Když SŘBI funguje dobře, vypadá jako přirozená součást provozu. A když nefunguje dobře… tak máte systém, kde se „nic neděje“, až do chvíle, kdy se děje úplně všechno.

Aby bylo jednodušší tento bezpečnostní rámec v praxi v organizaci nasadit, využívá se nejrůznějších osvědčených metod. Tou nejviditelnější je dobře známá norma ISO/IEC 27001.

A protože je ISMS/SŘBI celosvětově uznávané best practices řízení bezpečnosti, vychází z něj i kyberbezpečnostní legislativa.

Nový kybernetický zákon není výjimkou a zavedení SŘBI je tak jednou z hlavních organizačních povinností, kterou ukládá vyhláška o kybernetické bezpečnosti (409/2025 Sb.). Kromě stanovení cíle SŘBI, řízení rizik a zavedení přiměřených technických opatření vyhláška ukládá povinným subjektům povinnost minimálně jednou ročně vyhodnocovat účinnost tohoto systému. To zahrnuje zejména vyhodnocení jeho aktuálního stavu, posouzení plnění plánu, revizi rizik, audity kybernetické bezpečnosti a další související činnosti.

V praxi se toto vyhodnocování realizuje prostřednictvím různých typů testů, které by povinná organizace měla pravidelně provádět. Pojďme si tuto oblast trochu více představit.

Testování SŘBI v praxi

Po provedené analýze rizik (viz můj předchozí článek), nasazení protiopatření, technologií, zavedení procesů a zdokumentování bezpečnosti organizace přichází na řadu kontinuální řízení SŘBI. To je nedílnou součástí povinností vyplývajících ze zákona a má za cíl testovat a nacházet prostor pro zlepšování přijatých bezpečnostních opatření.

Tato oblast je obvykle doménou specializovaných firem, například typu TNS, které pracují s ověřenými postupy pro různé typy testů a jsou schopny dodat kompletní scénář, od vytipování cílů a návrhu útoku až po identifikaci zranitelností, vyhodnocení testu a návrh nápravných opatření.

V praxi přitom platí jednoduchá zkušenost: testování není o papírech, ale o lidech.

Nejde jen o to, že někde existuje havarijní plán. Jde o to, aby lidé věděli, co dělat, když se něco opravdu pokazí. Organizace by neměla čekat na incident, aby si ověřila, že postupy jsou nastaveny srozumitelně a efektivně.

Proto se testy provádějí pravidelně a co nejrealističtěji. Konkrétně jde například o tyto oblasti:

• Uživatelé, včetně managementu, procházejí pravidelným školením zaměřeným na zvyšování povědomí o aktuálních kybernetických hrozbách.
• Nabyté znalosti se následně ověřují prostřednictvím phishingových a dalších kampaní využívajících techniky sociálního inženýrství.
• Pravidelné skeny zranitelností pomáhají odhalit slabá místa na vnějším i vnitřním perimetru sítě.
• Penetrační testy dokážou identifikovat zranitelnosti, které automatizované nástroje běžně nezachytí.
• Součástí testování jsou také zkoušky havarijních plánů, které ověřují připravenost administrátorů a bezpečnostních rolí zvládat bezpečnostní incidenty a havárie klíčových aktiv.

Způsobů testování zavedených bezpečnostních opatření existuje celá řada, od tzv. table-top cvičení, kdy se „od stolu“ řeší scénáře typu co by se stalo, kdyby, až po penetrační testy a testy fyzického perimetru, při nichž se auditor pokouší neoprávněně proniknout do areálu organizace a získat přístup k citlivým aktivům.

Důležité je přitom nezaměřovat se pouze na technická opatření, ale také na komunikaci mezi jednotlivými bezpečnostními rolemi a odděleními. Vedle samotných bezpečnostních mechanismů je totiž klíčová i schopnost správně se rozhodovat, znát procesy a vědět, jaký má být další postup.

Zde jen několik příkladů testů, které se při kontinuálním řízení SŘBI běžně používají:

Table-top cvičení

Table-top cvičení představují ideální platformu pro ověření strategické komunikace a rozhodovacích procesů. Během těchto cvičení se obvykle simulují reakce administrátorů, bezpečnostních rolí i vrcholového vedení, například při scénáři napadení organizace ransomwarem. Cílem je identifikovat slabá místa v komunikaci, odpovědnostech a havarijních plánech a na základě zjištění následně procesy zpřesnit a zefektivnit.

Simulace výpadků

Součástí ochrany technických aktiv je také testování jejich fyzické odolnosti. Typickým příkladem jsou simulace výpadku napájení. Organizace sice často disponují funkčními UPS systémy, v praxi se však opakovaně ukazuje, že není například jasně určeno, kdo má v krizové situaci kontaktovat správce budovy nebo zajistit obnovu primárního zdroje energie.

Běžně se rovněž modeluje selhání síťových prvků. Tyto testy mohou například odhalit, že náhradní komponenty nejsou připraveny k okamžitému nasazení a že požadavky na redundanci, definované v bezpečnostní politice, nejsou plně implementovány do reálného provozu.

Útoky přes dodavatele

Testují se také scénáře útoků vedených přes dodavatele nebo partnery. Útočník může do organizace proniknout například kompromitací VPN přístupu externího subjektu. Klíčovou roli zde hraje důvěra, rychlost reakce a jasná dohoda o tom, kdo koho informuje a v jakém čase. Při těchto testech se často ukáže, že bezpečnostní SLA není jen formální ustanovení ve smlouvě, ale zásadní prvek, který může výrazně ovlivnit dopad bezpečnostního incidentu.

Sociální inženýrství (testování uživatelů)

Člověk bývá často nejslabším článkem bezpečnosti organizace, což si většina organizací dobře uvědomuje. Proto dnes téměř každá rozumně řízená firma provádí nějakou formu testování svých zaměstnanců.

Cílem těchto testů je prověřit úroveň bezpečnostního povědomí uživatelů a pokusit se je přimět ke sdělení citlivých informací nebo k provedení zdánlivě běžné, avšak ve svých důsledcích nebezpečné akce. Nejznámější formou je e-mailový phishing, s vývojem útočných technik se však stále častěji objevuje také telefonický vishing nebo spear phishing cílený na klíčové osoby v organizaci. Součástí jsou i fyzické testy – aktivní, kdy se útočník snaží neoprávněně vstoupit do prostor organizace, nebo pasivní, například rozmístěním USB médií s potenciálně nebezpečným obsahem a sledováním reakcí zaměstnanců.

Penetrační testy

Penetrační testy tvoří jeden ze základních pilířů aktivního řízení bezpečnosti a ověřování účinnosti SŘBI. Zaměřují se na praktické prověření technické bezpečnosti systémů a schopnosti organizace odolat reálnému útoku.

Cílem je na základě simulace skutečného útoku pomocí automatizovaných nástrojů a manuálních technik získat přehled o slabých místech v informačních systémech, aplikacích, síťové infrastruktuře a dalších částech IT prostředí a tato zjištění následně využít k posílení celkové odolnosti organizace.

Skeny zranitelností

Testy (skeny) zranitelností patří díky využití automatizovaných detekčních nástrojů k nejrychlejším a nejefektivnějším způsobům, jak včas identifikovat slabá místa v infrastruktuře dříve, než je zneužije skutečný útočník. Stejně jako u penetračních testů je jejich cílem odhalit i skryté hrozby a konkrétní zranitelnosti.

Celý proces obvykle zahrnuje sken infrastruktury, identifikaci zranitelností, jejich kategorizaci podle závažnosti, návrh a implementaci opatření a následnou kontrolu formou opakovaného testu, který ověřuje, že přijatá opatření byla skutečně účinná.

Nutno podotknout, že skeny zranitelností neumožňují vzhledem k absenci manuálních technik hlubší prověření bezpečnosti testovaného systému. K důkladnému prověření aktiva slouží penetrační testy.

Selhání jako cesta ke zlepšení

Je běžné, že testování nedopadne dobře. Někteří uživatelé kliknou na phishing, i když byli proškoleni. Někdy tým tápe, protože v krizové situaci chybí jasný a detailní postup.

I v tom je ale velká hodnota.

Uživatelé se učí, každé další školení dává větší smysl, a organizace zvyšuje svoji odolnost. Když test dopadne dokonale, málokdy se něco naučíme. Když nedopadne podle představ, otevírají se dveře ke zlepšení.

Úspěch se měří tím, že odhalí skutečnosti, které dnes mohou vypadat jako drobnosti, ale v reálné krizi stojí čas, peníze a reputaci. Úspěšný test je ten, který bolí v bezpečném prostředí, aby to nebolelo při skutečném incidentu.

Samozřejmě, žádné testování na světě nezajistí 100% bezpečnost. Kontinuální testování je ale ověřená cesta k zvyšování připravenosti na kybernetické incidenty. A i to je důvod, proč je nedílnou součástí SŘBI i nového zákona o kybernetické bezpečnosti.