Bezpečnost podnikového LLM neurčuje logo dodavatele ani země původu modelu.

Rozhoduje, co skutečně provozujeme, kde se zpracovávají naše data, k čemu má model přístup a jaké škody může způsobit. Modely vybírejme podle jejich skutečných schopností, ověřitelných bezpečnostních vlastností a zbytkového rizika.

Nová právní úprava vede poskytovatele regulované služby k tomu, aby nejprve určil svá primární aktiva a následně posoudil, která z nich souvisejí s poskytováním regulované služby. Právě tady vzniká prostor pro dva krajní přístupy.

V prvním je do rozsahu řízení kybernetické bezpečnosti regulované služby zahrnuto v podstatě vše, protože všechno přece souvisí se vším. Ve druhém pak do rozsahu regulované služby není zahrnuto téměř nic, protože dané aktivum s danou službou údajně vůbec nesouvisí.

Nasazení umělé inteligence se dnes zpravidla hodnotí podle toho, co organizaci přináší, kolik času ušetří, kolik činností automatizuje, jak sníží náklady nebo o kolik zvýší produktivitu.

To jsou jistě důležité ukazatele, avšak vypovídají především o tom, jak organizace funguje za předpokladu, že AI funguje správně. Ovšem stejně důležitá je otázka, co se s organizací stane, když AI přestane fungovat tak, jak očekává. Organizace může být po zavedení AI sice výrazně efektivnější, ale zároveň méně odolná. A právě tento rozdíl nabývá s rostoucí závislostí na AI na významu.

Nařízení EU o horizontálních požadavcích na kybernetickou bezpečnost produktů s digitálními prvky, též známé jako Evropský zákon o kybernetické odolnosti (Cyber Resilience Act, zkr. CRA), vstoupilo v platnost 10. prosince 2024 a v plném rozsahu se použije od 11. prosince 2027.

Některé povinnosti se však začnou uplatňovat dříve, zejména oznamovací povinnosti podle článku 14 od 11. září 2026.

To, že přejdeme od kvalitativního hodnocení rizik ke kvantitativnímu, ještě neznamená, že od tohoto okamžiku začneme rizika řídit správně.

Skutečnost, že riziko vyjádříme místo slovního popisu a barvy, číslem, intervalem, rozdělením nebo percentilovou hodnotou, ještě neznamená, že jsme jej správně kvantifikovali.

V asymetrické kryptografii se obvykle rozlišují dva základní účely. Prvním je zajištění autenticity a integrity dat, typicky prostřednictvím elektronického podpisu. Druhým je bezpečné ustanovení sdíleného tajemství mezi dvěma stranami, které se dosud na žádném společném klíči nedomluvily, avšak potřebují následně chránit svou komunikaci symetrickým šifrováním.

Právě tento druhý účel je pro praktické fungování dnešního internetu zásadní.

Evropská agentura pro kybernetickou bezpečnost (ENISA) publikovala v květnu 2026 zprávu NIS360: Přehled kybernetické vyspělosti sektorů s vysokou kritičností podle směrnice NIS2, která poskytuje komplexní pohled na úroveň kybernetické vyspělosti a kritičnosti klíčových sektorů v Evropské unii.

Zpráva potvrzuje, že finanční sektor patří mezi nejvyspělejší i nejkritičtější, což znamená vysokou úroveň zabezpečení, ale současně také vysokou expozici vůči kybernetickým hrozbám a systémovým selháním.

Propojení byznysu, legislativních požadavků a technické reality je jednou z největších výzev pro architekty a manažery bezpečnosti v bankovním sektoru.

Situaci komplikuje fakt, že evropská směrnice NIS2 (v ČR implementovaná novým zákonem o kybernetické bezpečnosti) a nařízení DORA používají odlišnou (a právnicky definovanou) terminologii než zavedené standardy řady ISO 27000, enterprise architektura nebo interní procesní model banky.

V kvantitativním hodnocení kybernetických rizik často začínáme velmi prostou otázkou: jak často může daná událost nastat?

Jinými slovy potřebujeme stanovit roční frekvenci výskytu události (annualized rate of occurrence, zkr. ARO) nebo také frekvenci ztrátové události (loss event frequency, zkr. LEF), kterou pak násobíme očekávanou ztrátou při jedné události (single loss expectancy, zkr. SLE), abychom získali roční očekávanou ztrátu (annualized loss expectancy, zkr. ALE). A tady začíná problém.

Od reakcie na udalosti k prediktívnemu bezpečnostnému monitoringu

Analytik SOC sedí pred obrazovkou a SIEM mu práve zobrazil červený alert. Nastala korelácia udalostí, ktorá naznačuje incident. Napríklad sa niekto neoprávnene dostal tam, kam nemal. Monitorovací systém urobil presne to, na čo bol postavený – upozornil na útok vo chvíli, keď už prebiehal, alebo tesne po tom, čo skončil. Otázka, ktorá by mala analytika zaujímať oveľa viac, znie inak: mohol to systém vedieť skôr?