Rozvoj bezpečnostního povědomí (security awareness) je jedna z těch oblastí, které se v řízení kyberbezpečnosti často přehlíží. Není to nový firewall ani SIEM. Výsledky nejsou na první dobrou vidět. Dopad na byznys v podstatě nelze měřit. Často se proto bere jako povinná jízda. Udělat školení, vykázat a hotovo.
Takový způsob uvažování ale může být výsostně nebezpečný.
I přes pokrok v technologiích totiž stále platí, že uživatel je nejslabším článkem bezpečnosti. S neustále se měnícími a častějšími hrozbami je proto rozvoj bezpečnostního povědomí základní ochranná vrstva firmy.
Díky kyberbezpečnostní legislativě, aktuálně novému zákonu o kybernetické bezpečnosti, se z něj navíc stává i důležitá součást compliance.
Útočníci nehackují systémy. Hackují lidi.
Kybernetické útoky mají mnoho podob. Zneužití zranitelností systému (exploity), vnitřní hrozby, útoky přes dodavatelský řetězec, útoky hrubou silou… pravda ale je, že se útočníci dnes od vytváření komplexních útoků odklání. A to směrem k jednodušší a zároveň efektivnější metodě, krádeži osobních údajů.
- Podle IBM počet tzv. infostealerů doručených prostřednictvím phishingových e-mailů vzrostl v roce 2025 v meziročním srovnání o 84 %.
- Přibližně přibližně třetina všech bezpečnostních incidentů dnes začíná phishingovým e-mailem.
- DeepStrike ve svém shrnutí roku 2025 uvádí zneužití přihlašovacích údajů jako nejběžnější počáteční vektor útoku.
Sociální inženýrství a phishing dnes díky AI raketově rostou. Útočníci využívají AI k vytváření vysoce personalizovaných, kontextově přesných a gramaticky bezchybných phishingových e-mailů. A to v obrovském objemu. Navíc, ke klasickým scénářům, kdy přijde e-mail a nepozorný uživatel otevře přílohu, nebo se přihlásí svými údaji na podvrženou stránce, přibývají nové a nové, využívající deepfake audio a video obsah:
- Vishing: telefonát „z IT“ nebo „z banky“, často s tlakem na rychlost.
- MFA fatigue: bombardování notifikacemi, dokud to uživatel ze zoufalství nepotvrdí.
- Imitace dodavatelů: „měníme číslo účtu“, „tady je nová faktura“, „podepište smlouvu“.
- Zneužití důvěry: „kolega“ z vedení chce něco rychle vyřešit a není čas ověřovat
Útočníci se tedy dnes spíše přihlásí, než aby se nabourali.
Je tedy třeba se smířit s tím, že útok přes uživatele jednou přijde.
A v takové chvíli rozhoduje to, jestli lidé ve firmě vědí, co dělat.
Školení dává smysl hlavně tehdy, když firmě zlepší reakci na incident
Školení má firmu připravit na reálnou situaci, není jen pro soulad se zákonem.
Protože i když máte SIEM, log management, EDR, firewall a všechno správně nastavené… incident s největší pravděpodobností začne u uživatele. A ten je první, kdo to může zachytit.
Jenže aby to zachytil, musí:
- poznat, že se něco děje,
- nebát se to přiznat,
- vědět, jak to nahlásit,
- dát dohromady základní informace.
A to je velký rozdíl.
Když uživatel napíše ticket „asi jsem klikl na něco divného“, a doplní kdy, kde, co to bylo a co viděl, tak to může být pro bezpečnostní tým rozdíl mezi rychlou izolací a průšvihem.
Firmy často řeší, že incidenty se sice dějí, ale nikdo je nehlásí. Ne proto, že by to lidé nechtěli řešit. Ale protože:
- nevědí jak,
- bojí se, že dostanou vynadáno,
- nebo si nejsou jistí, jestli to vůbec je problém.
A přesně tohle má školení změnit.
Školení v praxi: co funguje pro uživatele
Dle zákona by školení měla být pravidelná, typicky se dělají jednou za rok. Z pohledu manažera kybernetické bezpečnosti by to samozřejmě mohlo být častěji, ale zákon neukládá četnost. Pouze to, že se má provádět.
Co se týká témat pro rozvoj bezpečnostního povědomí, ty poměrně široce definuje vyhláška k novému zákonu o kybernetické bezpečnosti v příloze č. 3 (nižší povinnosti) resp. v příloze č. 6 (vyšší povinnosti).
Typicky se osvědčuje pokrýt témata jako:
- jak pracovat s hesly a proč nestačí „něco jednoduchého“,
- proč je MFA důležité a kdy je naopak podezřelé,
- jak poznat phishing a jak ověřit odesílatele,
- jak zacházet s citlivými informacemi (klasifikace, sdílení),
- jak bezpečně posílat soubory mimo firmu,
- co dělat, když se něco stane (a kam to nahlásit).
Je přitom třeba ke školení přistoupit správně, což znamená:
- seznámit uživatele s pravidly a hrozbami,
- zjistit, kde máme slabá místa,
- navázat na školení osvětou, je-li třeba,
- a hlavně netrestat uživatele v případě, že školení nezvládnou.
Když někdo „failne“, není to ostuda. Je to informace. A příležitost zlepšit proces.
Podívejme se na nejčastější metody rozvoje bezpečnostního povědomí ve firmách.
Plošná školení
V praxi se často kombinuje e-learning a živá část (prezentace), kde je možné vznést otázky a zapříst diskusi. Jedná se o škálovatelnou metodu školení, která je navíc vyhodnotitelná a výsledky může odpovědná osoba srovnat v čase. Uživatelé se navíc mohou k podkladům vrátit a případně si je v klidu dostudovat.
Mnoho firem má za tímto účelem e-learningovou platformu, do které dodavatel typu TNS dodává potřebný obsah. Tedy podklady, otázky, prezentace a příklady z praxe.
Na konci plošných školení bývá test nebo jen potvrzení, že uživatelé byli s problematikou seznámeni. Zákon totiž testování jako součást školení nepožaduje. Přesto bych doporučil nějakou formu testování zavést za účelem vyhodnocení a porovnání úrovně bezpečnostního povědomí zaměstnanců.
Workshopy
Velkou výhodou workshopů je, že lidé nejsou jen pasivními přijímači informací, ale opravdu se zapojí.
Typicky jde o cvičení, kdy během workshopu přijdou dva e-maily. Jeden je legitimní, druhý phishingový.
Úkol je říct:
- který je který,
- podle čeho to poznali,
- co by udělali dál.
Tohle je extrémně efektivní, protože lidé si najednou uvědomí, že phishing není vždycky hloupý. A že rozhodují detaily jako doména, tón komunikace, tlak na rychlost nebo nečekaná příloha.
Simulace
Některé firmy rozvíjí bezpečnostní povědomí i tak, že dělají pravidelné phishingové kampaně bez předchozího varování (ať už na vlastní platformě nebo s pomocí dodavatelů).
Typický scénář je, že se jednou za kvartál rozešle phishing a firma sleduje, kdo klikl / zadal údaje. Ti kteří testem neprojdou, pak musí absolvovat školení.
Je to sice trochu drsnější metoda, ale má jednu velkou výhodu. Lidé si situaci reálně prožijí, a tedy lépe zapamatují. A zároveň to dává firmě měřitelná data. Zlepšujeme se, nebo stagnujeme?
Administrátoři potřebují jiný obsah než běžní uživatelé
Administrátoři jako power useři nepotřebují slyšet „neklikejte na odkazy“. Oni jsou často ti, kdo řeší incidenty, konfigurace, logy a reakce na incidenty.
Proto školení pro administrátory musí být více praktické a technické.
Nejčastěji se tedy jde cestou workshopů nebo cílených školení, kde se řeší například:
- co znamenají konkrétní události v logách,
- jak poznat brute-force, port scan, laterální pohyb,
- jak vyhodnotit incident a jak eskalovat,
- jak rychle izolovat zařízení nebo účet,
- jak postupovat při podezření na kompromitaci,
- jak systém obnovit.
A zároveň je dobré propojit to s interními procesy: kdo komu volá, co se píše do ticketu, jaké jsou priority. Protože i ten nejlepší technický tým může ztratit hodiny, když nemá jasně nastavený proces.
Vzdělávání klíčových rolí definovaných ZoKB
A pak jsou tu bezpečnostní role definované ZoKB. Administrátor, manažer kybernetické bezpečnosti, architekt kybernetické bezpečnosti, auditor.
U těchto pozic je klíčové kontinuální vzdělávání. Nejen kvůli tomu, že se hrozby a technologie rychle mění, ale také proto, že při auditu je často potřeba doložit, že se lidé dlouhodobě rozvíjejí.
V praxi to může znamenat pravidelná školení (pořádané například vendory nebo speciálními vzdělávacími institucemi), workshopy a také odborné certifikace. Manažeři kybernetické bezpečnosti se typicky zaměřují na řízení bezpečnosti a compliance (např. ISO 27001 Lead Implementer/Auditor, CISM). Architekti řeší bezpečnostní návrh a cloud (např. CISSP, CCSP). Auditoři pak rozvíjejí znalosti auditních metodik a standardů (např. ISO 27001 Lead Auditor).
A co vedení firmy?
Vedení firmy má v kybernetické bezpečnosti úplně jinou roli než běžní uživatelé nebo administrátoři. Neřeší, jestli je konkrétní e-mail phishing nebo jak nastavit firewall. Vedení řeší dopady na byznys, tedy co incident znamená pro provoz regulované služby, jaký je jeho finanční a reputační dopad, a dnes už i právní odpovědnost.
Vedení totiž odpovídá za řízení systému bezpečnosti informací (viz můj předchozí článek) a v případě organizace podléhající novému ZoKB z toho pro něj mohou vyplývat právní dopady (zákaz výkonu funkce).
Jinými slovy, ve chvíli, kdy dojde na incident, nejde jen o technické řešení, ale o rozhodování na úrovni celé organizace.
Proto je pro vedení ideální forma tzv. tabletop cvičení. Tabletop je řízená simulace incidentu, při které si firma nanečisto projde krizový scénář, například: „Je pátek 14:30. Výroba stojí. Na serverech je žádost o výkupné. Co uděláme?“
A právě v tu chvíli se ukáže realita. Kdo má pravomoc rozhodnout o odstavení systémů, kdo komunikuje se zákazníky, kdo jedná s úřady, kdo řeší právní dopady, kdo schvaluje externí pomoc (forenzní tým, právníky, PR), a kdo určuje priority – jestli je cílem co nejrychleji obnovit provoz, minimalizovat ztráty, nebo zabránit dalším škodám.
Tahle cvičení jsou pro vedení organizace klíčová, protože odhalí slabiny, které se v klidu často neřeší. Například chybějící role, nejasné kompetence nebo nedomyšlené komunikační postupy a příliš obecné havarijní plány.
Když incident opravdu nastane, už není čas vymýšlet, kdo má co dělat. Všechno musí fungovat okamžitě.
Jak na to systematicky? Jednoduchý rámec, který funguje
Aby školení nebylo chaotické, je dobré vycházet ze tří zdrojů:
- bezpečnostní politika firmy (ideálně její zjednodušená příručka),
- doporučené okruhy ve vyhlášce k ZoKB (příloha č. 3 resp. 6),
- specifické potřeby organizace (co se děje v organizaci).
Příručka kybernetické bezpečnosti je za mě jedna z nejlepších best practices. Jejím cílem je zestručnit bezpečnostní politiku firmy do srozumitelné podoby. Ta má totiž obvykle podobu rozsáhlého dokumentu, kde jsou popsány požadavky (paragrafy) zákona vztahující se na regulovaný subjekt a její důležitost je spíše pro audit.
Příručka je pro lidi. Krátká, srozumitelná, praktická.
A hlavně obsahuje odpovědi na otázky typu:
„Co mám dělat, když jsem něco pokazil?“
„Jak správně sdílím citlivý soubor?“
„Kam to mám nahlásit?“
Závěr: kultura bezpečnosti nesmí být postavena na strachu
Na závěr jedna věc, která je podle mě nejdůležitější ze všech.
Uživatelé se nesmí bát toho, že udělali chybu.
Protože chyby se budou dít. Vždycky.
Někdo dá přístup k souboru špatnému člověku. Někdo klikne na škodlivý odkaz. Někdo přepošle citlivý e-mail komu neměl.
Rozdíl mezi malým problémem a incidentem je často jen v tom, jestli se to nahlásí včas.
A pokud firma jde cestou potrestání neopatrného uživatele, tak ostatní lidé příště raději nic neřeknou. A problém se bude opakovat.
Bezpečnostní povědomí není o tom udělat z lidí bezpečnostní experty.
Je o tom vytvořit firmu, která je obezřetná, odolná a připravená. Kde lidé vědí, co dělat, a nebojí se to udělat.
A to je přesně důvod, proč školení dává smysl. Nejen pro audit, ale hlavně pro každodenní realitu.
