Audit: Od spĺňania podmienok až po pravú kybernetickú bezpečnosť

Kybernetická bezpečnosť sa v posledných rokoch dostala z IT oddelení až do zasadacích miestností. Dôvod je jednoduchý: útoky pribúdajú, škody rastú a regulačné požiadavky sú čoraz prísnejšie.  

S tým však prichádza aj častý omyl – predstava, že ak firma spĺňa legislatívne alebo normatívne požiadavky, automaticky je aj bezpečná. Žiaľ, takúto kauzalitu sa v odvetví kybernetickej bezpečnosti zatiaľ potvrdiť nepodarilo.  

Compliance a bezpečnosť spolu síce úzko súvisia, no nie sú totožné. Firma môže byť „papierovo v poriadku“, a pritom mať reálne slabé miesta. A naopak – môže mať kvalitné technické zabezpečenie, ale nespĺňať povinnosti, ktoré od nej vyžaduje legislatíva alebo štandardy. 

Pre podniky – malé aj VEĽKÉ – sa pochopenie tohto rozdielu stáva čoraz dôležitejším.  

Firma riskuje, keď si bezpečnosť pletie so zoznamom domácich prác 

V texte opakovane škrtáme rovnítko medzi bezpečnosťou a compliance, ale čo to to „compliance” vlastne znamená?  

Compliance (z angličtiny dodržiavanie, konformita, zhoda) je zjednodušene povedané súlad s pravidlami, požiadavkami a povinnosťami, ktoré sa na organizáciu vzťahujú. V podnikovej praxi nejde len o dodržiavanie zákonov, ale aj o interné pravidlá, normy a štandardy. 

Predstavte si auto: 

• Compliance znamená, že auto prešlo STK, má povinnú a funkčnú výbavu, boli odskúšané a má spoľahlivé brzdy, správne pneumatiky, spĺňa predpisy - sú to technické predpoklady. 
• Reálna bezpečnosť  je, či vodič dodržiava primeranú rýchlosť a bezpečný odstup, aby zareagoval a brzdy stačili zastaviť auto, či pneumatiky zodpovedajú poveternostným podmienkam - tu zohráva dôležitú úlohu človek. 

Auto môže byť formálne „v súlade“ s pravidlami, no stále nemusí byť úplne bezpečné. A podobne je to aj vo firmách. 

Ako štandardy podnikovej praxe sa dnes najčastejšie spomínajú najmä NIS2 či ISO 27001. 

NIS2 rozširuje európske požiadavky na riadenie kybernetických rizík, incident reporting a bezpečnostné opatrenia vo viacerých sektoroch ekonomiky. Jej cieľom je zvýšiť celkovú odolnosť organizácií voči incidentom a harmonizovať prístup v rámci Európskej únie.  

Práve tu však vzniká riziko tzv. checkbox security – teda bezpečnosti redukovanej na odškrtávanie požiadaviek. 

Firma si pripraví smernice, vyplní dokumentáciu, nastaví formálne procesy a audit úspešne prejde. Na papieri všetko sedí. V reálnej prevádzke však môžu zostať deravé systémy, neprehľadné prístupové práva alebo zamestnanci, ktorí nikdy neabsolvovali zmysluplné bezpečnostné školenie. 

Takýto stav nie je zriedkavý. Compliance totiž často odpovedá na otázku: „Splnili sme požiadavky?“ Bezpečnosť sa však pýta: „Sme skutočne pripravení odolať útoku?“ 

Aj sami uznáte, že to sú dve úplne odlišné otázky. Čo teda s tým? 

Ani ISO 27001 nie je zárukou bezpečnosti 

Podobné nedorozumenia vznikajú aj okolo certifikácií. ISO 27001 patrí medzi najznámejšie bezpečnostné štandardy a predstavuje rámec pre systém riadenia informačnej bezpečnosti (ISMS). Nehovorí však len o technológiách – venuje sa aj procesom, rolám, riadeniu rizík či neustálemu zlepšovaniu.  

To však neznamená, že certifikát automaticky garantuje vysokú úroveň ochrany. 

ISO 27001 v prvom rade overuje, či organizácia systematicky riadi bezpečnosť podľa definovaných pravidiel. Neznamená to, že je imúnna voči útokom alebo že má dokonale nastavené všetky technické opatrenia. 

Je to podobné ako pri kvalite vo výrobe. Certifikovaný systém riadenia kvality ešte sám osebe nezaručuje, že sa nikdy neobjaví chybný výrobok. Zvyšuje však pravdepodobnosť, že problémy budú zachytené a riešené systematicky. Rovnaká logika platí aj pri kybernetickej bezpečnosti. 

NIS2 a realita firiem

NIS2 je dobrým príkladom toho, prečo sa compliance a bezpečnosť nedajú celkom oddeľovať, ale ani zamieňať. 

Smernica nevyžaduje len dokumentáciu. Zdôrazňuje aj: 

• riadenie rizík 
• kontinuitu prevádzky 
• bezpečnosť dodávateľského reťazca 
• schopnosť zvládať incidenty 
• školenia 
• hodnotenie efektivity prijatých opatrení.  

Mnohé požiadavky sa pritom prekrývajú s ISO 27001 alebo inými frameworkmi, no nejde o úplne totožné svety. Organizácia s ISO certifikáciou má často výrazný náskok, ale automaticky tým nezískava súlad s NIS2.  

Práve preto dnes viaceré firmy zisťujú, že compliance nemožno vnímať ako jednorazový projekt ani ako administratívnu formalitu. Európske autority zároveň upozorňujú, že implementácia NIS2 je pre mnohé organizácie náročná – často pre zastaranú infraštruktúru, slabú bezpečnosť či komplikované dodávateľské vzťahy.  

Čas na audit

Audit je v kybernetickej bezpečnosti kľúčový preto, že spája dva svety – formálne požiadavky compliance a reálnu prax vo firme. Nie je to len kontrola dokumentácie, ale systematické overovanie toho, či bezpečnostné opatrenia pod taktovkou ľudského faktora skutočne fungujú tak, ako majú. 

V praxi audit pomáha odhaliť rozdiel medzi tým, čo je „nastavené“, a tým, čo sa reálne deje v každodennej prevádzke. Často ukáže slabé miesta v procesoch, prístupoch alebo technických konfiguráciách, ktoré by inak zostali skryté až do momentu incidentu. 

Jeho rola však nie je len kontrolná, ale aj smerujúca. Kvalitný audit dáva manažmentu zrozumiteľný obraz rizík a pomáha určiť priority – čo riešiť okamžite, čo má ešte čas a čo predstavuje dlhodobé riziko. 

Bezpečnosť ako schopnosť, nie certifikát

Bezpečnosť nie je produkt ani jednorazový stav. Je to schopnosť organizácie predvídať riziká, reagovať na incidenty a udržiavať prevádzku aj v problematických situáciách. 

Pre majiteľov a manažérov to znamená jednu podstatnú vec: audit je pomoc, lebo norma alebo compliance program by nemali byť cieľom samy osebe. 

Iste, dobre nastavené compliance má veľkú hodnotu – pomáha vytvárať disciplínu a jasné pravidlá. Ak však uviazne na úrovni formálneho súladu, môže nám dávať falošný pocit bezpečia. A ten môže byť rizikovejší než pripustenie si pravdy, že firma má stále na čom pracovať. 

Záver

Audit pre nás nie je len formálnym overením - „odškrtávaním zoznamu”, ale predstavuje praktický pohľad na stav systému zabezpečenia firmy. U nás v EMM vychádzame z reálnych implementácií, a preto vieme odhaliť nielen nesúlady, ale aj skutočné riziká v prevádzke. Cieľom je dať firmám jasný a použiteľný obraz o stave bezpečnosti a konkrétne kroky, ako ju zlepšiť.