Kybernetická bezpečnosť sa nezačína technológiou, ale dôverou
Kybernetická bezpečnosť sa často opisuje ako technická výzva. V diskusiách zvyčajne dominujú firewally, riadenie prístupu, monitorovacie systémy a nástroje na reakciu na incidenty. Tieto opatrenia sú síce nevyhnutné, no kybernetická bezpečnosť sa v skutočnosti nezačína pri nich. V praxi začína oveľa skôr — v momente, keď sa organizácia rozhodne, s kým bude podnikať. Moderné podnikanie je hlboko previazané. Spoločnosti sa spoliehajú na externých poskytovateľov služieb, dodávateľov, finančných sprostredkovateľov a partnerov naprieč hranicami. Každé takéto prepojenie vytvára prevádzkovú hodnotu, no zároveň prináša riziko. Ak je identita obchodného partnera nejasná, zastaraná alebo ťažko overiteľná, spoľahlivé posúdenie tohto rizika sa stáva nemožným. Kybernetická bezpečnosť stojí na dôvere. A dôvera začína tým, že viete, s kým skutočne obchodujete.Prečo samotná technická bezpečnosť už nestačí
Technické bezpečnostné kontroly sú navrhnuté na ochranu systémov, no predpokladajú, že prístup je udelený správnym subjektom. Ak sa prístup poskytne nesprávnej organizácii — alebo organizácii, o ktorej pozadí nie je dostatok informácií — ani silné technické kontroly nemusia zabrániť škode. Mnohé závažné bezpečnostné incidenty nevznikajú priamym prienikom do systému, ale zneužitím dôveryhodných vzťahov. Ak útočník koná prostredníctvom zdanlivo legitímneho partnera, dodávateľa alebo zmluvného subjektu, technická obrana sa stáva výrazne menej účinnou. Tým sa kľúčová otázka mení z „Ako chránime svoje systémy?“ na „Komu by sme mali vôbec dôverovať s prístupom?“Riziko tretích strán ako kľúčová bezpečnostná téma
Čoraz väčšia časť kybernetického a prevádzkového rizika pochádza od tretích strán. Patria medzi ne dodávatelia, poskytovatelia IT služieb, platobní spracovatelia, logistickí partneri či outsourcované podporné funkcie. Každá tretia strana sa stáva súčasťou rozšíreného digitálneho perimetra organizácie. Riziko tretích strán sa neobmedzuje len na zraniteľnosti softvéru alebo nezabezpečenú infraštruktúru. Zahŕňa aj:- nejasný právny status
- nepriehľadné vlastnícke štruktúry
- nekonzistentné alebo zastarané registrové údaje
- ťažkosti s určením zodpovednosti
Ak organizácia nedokáže jednoznačne identifikovať svoje protistrany, výrazne sa zvyšuje bezpečnostné aj compliance riziko.
Smerovanie regulácie: prístup založený na riziku a identite
Regulačné rámce sa naprieč jurisdikciami čoraz viac zameriavajú na prístup ku kybernetickej bezpečnosti založený na riziku a identite. Namiesto predpisovania konkrétnych technických opatrení regulátori čoraz častejšie očakávajú, že organizácie budú rozumieť rizikám v celom svojom prevádzkovom prostredí — vrátane dodávateľov a poskytovateľov služieb — a budú ich riadiť.
V Európskej únii sa tento posun jasne odráža v smernici NIS2 a požiadavkách na kybernetickú bezpečnosť Oficiálny právny rámec nájdete v dokumente smernica NIS2
Hoci sa regulačné rámce v jednotlivých krajinách líšia, základné očakávanie je rovnaké: organizácie musia vedieť preukázať, že poznajú tých, na ktorých sa spoliehajú, a ako tieto vzťahy ovplyvňujú ich bezpečnostnú pozíciu.
Identita podniku ako základ kybernetickej bezpečnosti
Pri širšom pohľade na kybernetickú bezpečnosť sa identita podniku stáva kľúčovým pojmom. Globálne štandardizovaný prístup k identifikácii podnikov poskytuje identifikátor právnickej osoby (LEI)Identita podniku zahŕňa oveľa viac než len názov spoločnosti alebo registračné číslo. Patrí sem:
- právna existencia a status
- oficiálne registrové údaje
- vlastnícke a riadiace štruktúry
- vzťahy k ďalším právnickým osobám
- presnosť a aktuálnosť údajov
Pohľad malých firiem: ako sa stať dôveryhodným partnerom
Diskusie o kybernetickej bezpečnosti a regulácii sa často sústreďujú na veľké organizácie. Rovnaká dynamika však výrazne ovplyvňuje aj malé a stredné podniky, ktoré chcú spolupracovať s korporáciami, finančnými inštitúciami alebo medzinárodnými klientmi. Pre menšie firmy býva hlavnou prekážkou často nie kvalita produktu či technická vyspelosť, ale dôvera. Veľké organizácie musia posudzovať riziko pri každom novom partnerovi, no nemôžu to pri každom potenciálnom dodávateľovi robiť manuálne a do hĺbky. Preto sa spoliehajú na štandardy, signály a štruktúrované údaje, aby rozhodli, ktoré vzťahy stojí za to ďalej rozvíjať. Mnohé príležitosti na spoluprácu stroskotajú nie preto, že by ponuka nemala hodnotu, ale preto, že protistranu nemožno rýchlo a jasne pochopiť.LEI ako urýchľovač dôvery a onboardingu
Právě tu sa stáva relevantným identifikátor právnickej osoby (LEI). LEI je globálny štandard navrhnutý na jednoznačnú identifikáciu právnických osôb a ich prepojenie s overenými referenčnými údajmi z autoritatívnych zdrojov. Pre menšie spoločnosti nie je LEI len regulačnou požiadavkou v určitých kontextoch. Je to praktický nástroj, ktorý im umožňuje prezentovať sa spôsobom zodpovedajúcim tomu, ako veľké organizácie riadia riziko. LEI signalizuje, že:- subjekt je jednoznačne identifikovateľný
- jeho základné referenčné údaje sú prepojené s oficiálnymi registrami
- informácie o vlastníctve sú deklarované v štandardizovanej forme
- údaje možno použiť v automatizovaných a cezhraničných procesoch