Většina firem neví, kolik investovat do kybernetické bezpečnosti. A není se čemu divit. Jak obhájit rozpočet na něco, jehož hlavním úkolem je zajistit, aby se nic nestalo? Něco, jehož důsledky se tradičními finančními nástroji kvantifikují jen obtížně, natož aby se snadno určoval přímý dopad na tržby či zisk?
Když firma investuje do nového obchodníka, má obvykle jasný cíl, například vyšší tržby, které pak umí porovnat s výkonem nové pracovní síly. Podobně je to s výrobním strojem, kde lze kalkulovat s vyšší produktivitou.
U kyberbezpečnosti je to složitější. Jejím výsledkem totiž často není něco navíc, ale to, že firma nepřijde o data, zákazníky, reputaci nebo možnost dál fungovat.
Právě proto se o rozpočtu na kyberbezpečnost často rozhoduje obtížně. Přesto existují osvědčené postupy, o které se lze opřít.
Kyberbezpečnost není jen technický problém
Ve většině organizací existuje přirozené napětí mezi IT a vedením společnosti. IT oddělení vidí technologická rizika, příležitosti ke zlepšení a navrhuje opatření. Management zase řeší náklady, investice a návratnost.
Není proto výjimkou, že požadavky na nové bezpečnostní nástroje narážejí na otázku: „Co za to firma získá?“
Jenže kyberbezpečnost není o tom, co firma získá. Je o tom, o co může přijít. Výpadek systémů, únik citlivých dat, zastavení výroby, nedostupnost služeb nebo poškození reputace mohou mít na chod firmy v dnešním konkurenčním prostředí zásadní dopad.
Do rozhodování navíc vstupují i další faktory.
Významnou roli hrají legislativa a compliance, které pro management představují mandatorní výdaje. Nový zákon o kybernetické bezpečnosti (č. 264/2025 Sb.) a vyhláška pro vyšší režim povinností (č. 409/2025 Sb.) nekompromisně nařizují konkrétní technická a organizační opatření, například minimálně 18měsíční retenci logů. V takových případech diskuse o finanční návratnosti ustupuje do pozadí; rozpočet musí primárně pokrýt zákonné požadavky a zároveň chránit vrcholné vedení před osobní odpovědností.
Vedle toho stojí plošné nebo oborové evropské regulace (například DORA) a sílící tlak ze strany zákazníků na plnění mezinárodních standardů typu ISO/IEC 27001 nebo TISAX.
A pak, samozřejmě, nikdo nechce být firmou, která se dostane do médií kvůli úniku dat.
Tento mix faktorů ovlivňuje, kolik se do kyberbezpečnosti ve finále investuje. Jak to ale uchopit koncepčně?
Jak se rozpočet na kyberbezpečnost určuje v praxi?
Pocit nebo intuice nestačí. Proto se při sestavování rozpočtu na kybernetickou bezpečnost obvykle vychází ze čtyř hlavních pilířů:
- analýzy rizik,
- BIA (Business Impact Analysis),
- metodiky ALE (Annualized Loss Expectancy),
- a mezinárodního kvantitativního rámce FAIR (Factor Analysis of Information Risk).
Tyto čtyři vzájemně propojené nástroje společně pomáhají převést bezpečnostní rizika do jazyka, kterému rozumí management i finanční oddělení.
BIA (Business Impact Analysis)
BIA, neboli analýza dopadů na podnikání, pomáhá určit, které procesy jsou pro organizaci nejdůležitější.
Neřeší primárně příčinu problému, ale jeho dopad. Pokud například vypadne IT infrastruktura na čtyři hodiny, jaké budou finanční ztráty? Jaký bude dopad na zákazníky? Zastaví se výroba? Ovlivní to další procesy?
Výsledkem je přehled toho, co je pro fungování firmy skutečně kritické, a tedy, jak velký význam má ochrana takového aktiva pro firmu.
Analýza rizik
Jakmile víme, které procesy jsou nejdůležitější, přichází na řadu analýza rizik. Ta identifikuje možné hrozby, zranitelnosti a scénáře, které mohou kritické procesy identifikované při BIA ohrozit.
Protože jsem se analýze rizik podrobněji věnoval ve svém předchozím článku, zde se u ní nebudeme déle zastavovat. Jen doplním, že jejím výsledkem je identifikace hrozeb a zranitelností, které mohou kritický proces či aktivum ohrozit, a také návrh možných protiopatření, která v důsledku sníží rizika na přijatelnou úroveň.
Důležité je, že zde už diskuse o rozpočtu začíná dostávat konkrétnější obrysy, protože do ní vstupují konkrétní kyberbezpečnostní technologie.
ALE (Annualized Loss Expectancy)
Pro samotné rozhodování o rozpočtu bývá nejzajímavější metodika ALE.
Její princip je jednoduchý. Snaží se odhadnout očekávanou roční ztrátu způsobenou konkrétní hrozbou, pokud by se vůči konkrétnímu aktivu / procesu naplnila.
Představme si například ransomware útok, jehož dopad by firma vyčíslila na 2 miliony korun. Pokud analýza ukáže, že pravděpodobnost podobného incidentu je jednou za pět let, očekávaná roční ztráta činí přibližně 400 tisíc korun.
Tuto částku pak lze porovnat s náklady na protiopatření, která by pravděpodobnost nebo dopad incidentu snížila.
FAIR (Factor Analysis of Information Risk)
Metodika ALE má však své limity, zejména vysokou míru subjektivity při odhadování pravděpodobnosti incidentů. Z toho důvodu se moderní řízení rizik posouvá k pokročilému rámci FAIR (Factor Analysis of Information Risk).
FAIR rozkládá riziko na přesně definované měřitelné faktory (častost hrozby, zranitelnost, primární ztráty a sekundární dopady) a pomocí matematického modelu poskytuje vedení exaktní finanční vyčíslení rizik. Tím dává manažerům do ruky podklady pro to, zda se investice do protiopatření organizaci vyplatí.
Kdy investovat a kdy riziko akceptovat?
Pokud projdete analýzou rizik, BIA, určíte ALE, případně FAIR pro jednotlivá rizika a aktiva, můžete dojít k závěru, že dané riziko nemusí být odstraněno.
V praxi existují situace, kdy jsou náklady na eliminaci rizika vyšší než samotný dopad potenciálního incidentu. V takovém případě může být akceptace rizika legitimním rozhodnutím, pokud se ovšem nejedná o výše zmíněný legislativní požadavek, kde je náprava povinná bez ohledu na ekonomickou efektivitu.
Na druhou stranu existují rizika, která se pravidelně opakují, a je proto vhodné je ošetřit. Typickým příkladem jsou phishingové útoky. Pokud organizace opakovaně řeší kompromitované účty nebo bezpečnostní incidenty způsobené nepozorností uživatelů, bývá investice do školení, vícefaktorové autentizace nebo dalších opatření velmi dobře obhajitelná.
Cílem není odstranit všechna rizika. Cílem je investovat tam, kde investice dává smysl.
Na co firmy při plánování rozpočtu často zapomínají
Jednou z nejčastějších chyb je soustředit se pouze na cenu licence nebo pořizovací náklady. Bezpečnostní řešení je potřeba navrhnout, nasadit, integrovat s ostatními systémy, otestovat a následně provozovat.
Není výjimkou, že samotná licence představuje jen část celkových nákladů.
Pokud například firma pořídí nový bezpečnostní nástroj, mohou dva specialisté strávit jeho implementací několik měsíců. Následně přicházejí náklady na správu, aktualizace, podporu nebo školení.
Zásadní a v praxi nejčastěji opomíjenou složkou celkových nákladů vlastnictví (TCO) jsou však provozní náklady závislé na objemu dat. Typickým příkladem je licencování SIEM systémů podle množství zpracovávaných logů a související hardwarové nebo cloudové kapacity (storage) nezbytné pro zajištění dlouhodobé retence dat, kterou vyžadují zákonné předpisy.
Proto je vhodné uvažovat o kompletním TCO, nikoliv pouze o pořizovací ceně.
Není nutné začínat milionovým projektem
Za sestavování rozpočtu na kybernetickou bezpečnost zpravidla odpovídá CISO nebo manažer kybernetické bezpečnosti, který identifikuje rizika a navrhuje vhodná opatření. Při jeho obhajobě pak bývá klíčové, jak dobře umí přetlumočit technický jazyk do rizik a jejich dopadů pro firmu.
Není přitom nutné investovat hned miliony korun. Velkou část rizik lze snížit relativně jednoduchými kroky, zavedením vícefaktorového ověřování, pravidelným školením zaměstnanců, lepší správou přístupů.
Nejdůležitější je začít. Identifikovat největší rizika, snížit ta, která lze odstranit relativně snadno, a postupně pokračovat dál.
Protože cílem kyberbezpečnosti není vytvořit dokonale zabezpečenou firmu. Taková neexistuje. Cílem je rozumně řídit rizika a zajistit, aby jeden incident neohrozil celé podnikání.
