Řízení rizik není jednoduché. A mnoho organizací chybuje už v okamžiku, kdy mají určit primární aktiva.

V širším pojetí jde o business funkce a jejich procesy a /nebo business informace a jejich obraz ve firemních datech, na kterých stojí poskytovaná služba a přes které se může obyčejné narušení změnit ve skutečnou škodu. Právě jejich správné určení rozhoduje o tom, zda analýza rizik bude mít skutečný přínos.

Rezidencia, suverenita a retencia v šiestich dimenziách architektúry nasadenia.

Pri rozhodovaní o nasadení AI systému skôr či neskôr zaznie otázka: „Kde budú naše dáta?“ Odpoveď „v EÚ“ spravidla diskusiu uzavrie. Domnievam sa, že ju uzavrie predčasne, pretože odpovedá na inú otázku než tú, ktorú organizácia v skutočnosti rieši. Nehovorí totiž ani o tom, kto sa k dátam dostane, ani o tom, ako dlho mu zostanú dostupné.

V prvním díle jsme si ukázali, jak z několika expertních bodových odhadů dokážeme vyrobit jedno číslo pro ARO a jedno číslo pro SLE, a že výsledek přitom není ani zdaleka tak nevinný, jak by se mohlo zdát. V tomto díle si to zkomplikujeme. Experti nám tentokrát nedodají jedno číslo, ale interval.

Tím nezískáme více nejistoty. Jen část nejistoty, která byla v bodovém odhadu skrytá, začneme explicitně zachycovat. Získáme ale také více svobody a více prostoru pro to, abychom si při převodu na jedno číslo začali nenápadně vymýšlet.

Bezpečnost podnikového LLM neurčuje logo dodavatele ani země původu modelu.

Rozhoduje, co skutečně provozujeme, kde se zpracovávají naše data, k čemu má model přístup a jaké škody může způsobit. Modely vybírejme podle jejich skutečných schopností, ověřitelných bezpečnostních vlastností a zbytkového rizika.

Nová právní úprava vede poskytovatele regulované služby k tomu, aby nejprve určil svá primární aktiva a následně posoudil, která z nich souvisejí s poskytováním regulované služby. Právě tady vzniká prostor pro dva krajní přístupy.

V prvním je do rozsahu řízení kybernetické bezpečnosti regulované služby zahrnuto v podstatě vše, protože všechno přece souvisí se vším. Ve druhém pak do rozsahu regulované služby není zahrnuto téměř nic, protože dané aktivum s danou službou údajně vůbec nesouvisí.

Nasazení umělé inteligence se dnes zpravidla hodnotí podle toho, co organizaci přináší, kolik času ušetří, kolik činností automatizuje, jak sníží náklady nebo o kolik zvýší produktivitu.

To jsou jistě důležité ukazatele, avšak vypovídají především o tom, jak organizace funguje za předpokladu, že AI funguje správně. Ovšem stejně důležitá je otázka, co se s organizací stane, když AI přestane fungovat tak, jak očekává. Organizace může být po zavedení AI sice výrazně efektivnější, ale zároveň méně odolná. A právě tento rozdíl nabývá s rostoucí závislostí na AI na významu.

Nařízení EU o horizontálních požadavcích na kybernetickou bezpečnost produktů s digitálními prvky, též známé jako Evropský zákon o kybernetické odolnosti (Cyber Resilience Act, zkr. CRA), vstoupilo v platnost 10. prosince 2024 a v plném rozsahu se použije od 11. prosince 2027.

Některé povinnosti se však začnou uplatňovat dříve, zejména oznamovací povinnosti podle článku 14 od 11. září 2026.

To, že přejdeme od kvalitativního hodnocení rizik ke kvantitativnímu, ještě neznamená, že od tohoto okamžiku začneme rizika řídit správně.

Skutečnost, že riziko vyjádříme místo slovního popisu a barvy, číslem, intervalem, rozdělením nebo percentilovou hodnotou, ještě neznamená, že jsme jej správně kvantifikovali.

V asymetrické kryptografii se obvykle rozlišují dva základní účely. Prvním je zajištění autenticity a integrity dat, typicky prostřednictvím elektronického podpisu. Druhým je bezpečné ustanovení sdíleného tajemství mezi dvěma stranami, které se dosud na žádném společném klíči nedomluvily, avšak potřebují následně chránit svou komunikaci symetrickým šifrováním.

Právě tento druhý účel je pro praktické fungování dnešního internetu zásadní.

Evropská agentura pro kybernetickou bezpečnost (ENISA) publikovala v květnu 2026 zprávu NIS360: Přehled kybernetické vyspělosti sektorů s vysokou kritičností podle směrnice NIS2, která poskytuje komplexní pohled na úroveň kybernetické vyspělosti a kritičnosti klíčových sektorů v Evropské unii.

Zpráva potvrzuje, že finanční sektor patří mezi nejvyspělejší i nejkritičtější, což znamená vysokou úroveň zabezpečení, ale současně také vysokou expozici vůči kybernetickým hrozbám a systémovým selháním.