20 | A-Z ELEKTRO | červenec/srpen 2026 KYBERNETICKÁ BEZPEČNOST Co by měla průmyslová firma udělat jako první krok, pokud chce zlepšit svou kybernetickou bezpečnost? Vše začíná změnou myšlení – pochopením, že bezpečnost není zbytečná zátěž, ale nástroj pro kontinuitu vlastního provozu. U kritické infrastruktury pak jde navíc o ochranu společnosti a ekonomiky jako celku. Dalším nezbytným krokem je inventarizace aktiv, tedy udělat si jasný obrázek o tom, co vůbec ve firmě máme, co je třeba zabezpečit a jaké na to jsou kapacity, ať už finanční nebo lidské. Na základě tohoto posouzení (assessmentu) je nezbytné si definovat kritické procesy a udělat audit. Z jeho výstupů se vytvoří bezpečnostní politiky, aby všichni věděli, co se od nich očekává a podle čeho se mají řídit. Souběžně s tím je klíčové zavést osvětu mezi zaměstnanci. Bez lidí, kteří rozumějí rizikům, jsou totiž všechna ostatní opatření účinná jen částečně. Zároveň je důležité určit odpovědnost. Jasně stanovit, kdo za kybernetickou bezpečnost ve firmě zodpovídá. Bez jasné odpovědnosti se věci snadno „ztratí“. Jak vypadá typický audit OT bezpečnosti a co v něm firmy nejčastěji podceňují? Typický audit OT bezpečnosti je trochu oxymorón, protože každá firma je jiná, má odlišná aktiva, rozdílné procesy i rizika. Ale základní stavební kameny jsou podobné. Pojďme si říct, co by měl obsahovat dobrý audit OT bezpečnosti. Za základ považuji risk assessment, tedy identifikaci toho, co může selhat, jaká je pravděpodobnost a jaký by byl dopad. Na to navazuje gap analýza, která ukáže, kde se firma nachází oproti tomu, kde by měla být. Pozici „kde by měla být“ dnes v České republice velmi konkrétně definuje nový kybernetický zákon (ZKB) – 264/2025 Sb., který implementuje evropskou směrnici NIS2. Firma by si tedy měla nejprve ujasnit, do jakého režimu povinností Požadavky kybernetické bezpečnosti v průmyslu spadá, zda je základní nebo důležitý subjekt, a podle toho nastavit rozsah auditu. Zjednodušeně řečeno, audit není jednorázová akce, ale začátek procesu. Jeho výstupy jsou pak přesně tím podkladem, ze kterého se dají psát smysluplné bezpečnostní politiky a plány nápravných opatření. Jaké typy kybernetických útoků dnes představují pro podniky největší riziko? Jakým způsobem se útočníci nejčastěji snaží nabourat systém? V tomto ohledu můžeme zmínit stále nejvýraznější ransomware a malware. Obecně, útočníci často cílí na OT sítě právě proto, že jsou málo viditelné a často nekontrolované. Když nemáte přehled o tom, co máte připojeno (viditelnost sítě), nevíte ani kdy jste byli napadeni. A taková latence je pro útočníka samozřejmě výhodná. Hodně oblíbené jsou i sociální inženýrství a phishing, obojí zaměřené na zaměstnance. Firmy, které podceňují lidský faktor a vzdělání zaměstnanců, jsou zde obzvlášť zranitelné. Škodliví aktéři se dostávají do IT síťě, kterou pak zneužívají k proniknutí do OT. Zde pak hovoříme o tzv. lateral movement. Tedy, jakmile se útočník dostane do jedné části sítě, a to právě třeba přes IT síť, která není segmentovaná od sítě průmyslové, snadno se dostane i do OT, samotného průmyslového provozu. Velmi lákavá cesta dovnitř je i možnost zneužití zastaralých nebo nezáplatovaných systémů. Ta jsou v OT prostředí často desetiletí stará, bez možnosti updatování. Co se týká toho nabourání systému, shrnula bych to tedy takto. Útočníci nejsou vybíraví a v průmyslových protokolech a sítích často ani moc erudovaní, jdou cestou nejmenšího odporu. A ty cesty vedou přesně tam, kde firmy věci podceňují. Jsou to rizika jako chybějící viditelnost sítě, nešifrovaná komunikace, lidé, co neznají pravidla bezpečného chování, staré systémy bez patchů a chybějící segmentace mezi IT a OT. Mění se profil útočníků – ať už jde o motivaci, znalosti nebo cíle? Ano, profil útočníků se podstatně mění, a to hned v několika dimenzích. Motivace již není čistě finančním faktorem. Vedle krádeží peněz a dat, se objevují i ilegální aktivity motivované snahou o respekt a uznání v hackerské komunitě. Stále více se pak prosazují aktéři s geopolitickými motivy, útočníci podporovaní státem, jejichž cílem Na otázky odpovídá Renáta Pešinová, odbornice na kybernetickou bezpečnost ve společnosti ABB. Motivace již není čistě finančním faktorem. Vedle krádeží peněz a dat, se objevují i ilegální aktivity motivované snahou o respekt a uznání v hackerské komunitě. Renáta Pešinová, odbornice na kybernetickou bezpečnost ve společnosti ABB
RkJQdWJsaXNoZXIy Mjk3NzY=