Když v CRQ používáme Monte Carlo simulaci, dostáváme velké množství výsledků: někdy za každý rok jednu agregovanou ztrátu, jindy navíc i jednotlivé ztráty během roku. Z těchto výsledků pak obvykle sestavujeme křivku překročení ztrát (Loss Exceedance Curve. zkr. LEC).

A možná jste si i všimli, že zatímco na ose X je snad téměř vždy uvedena škoda, tak na ose Y bývá dost často stejně tak pravděpodobnost jako frekvence. Křivka pak říká, s jakou pravděpodobností nebo jak často překračujeme daný práh.

Byť je řízení rizik vyžadováno i legislativou, která na něj klade důraz a mnozí si dokonce i uvědomují jeho smysl, a leckdy se o řízení rizik i opravdu snaží, přesto dělají systematicky špatná rozhodnutí, protože se rozhodují na základě špatných vstupů.

Ve většině organizací rizika někdo identifikuje, analyzuje a posuzuje. Postupuje přitom dle schválené metodiky. Výstupy vypadají strukturovaně. Rizika jsou popsána a vyhodnocena. Jsou navrženy způsoby zvládání. Rizika mají své vlastníky a jsou zvládána i v daném termínu. Formálně se zdá, že je vše v naprostém pořádku. Problém je však někde zcela jinde.

Jako každý rok se podíváme na to, co nás v kyberprostoru čeká. Rok 2025 byl přelomový: umělá inteligence se stala běžnou součástí útoků i obrany, ransomware přidal exfiltraci dat a útoky na Active Directory a chyby v cloudu znovu ukázaly, že největším rizikem není technologie, ale její správa.

Rok 2026 nebude o nových trendech, ale o chytřejších kombinacích, vyšší míře integrace a menší lidské kapacitě reagovat.

Útoky z tohoto roku ukázaly, že AI asistenti představují úplně nový typ rizika.

Techniky, které byly dříve využívané ve phishingu, fungují celkem spolehlivě i zde: skrytý text, neviditelné části dokumentu, obsah posunutý mimo viditelnou oblast nebo data uložená v base64.

V rámci subverze, kterážto byla popsána v minulém díle, se stále častěji využívá i umělá inteligence ke generování věrohodně působících interních dokumentů.

Ty pak později jako náhodně uniknou, po nedávném hackerském útoku se objeví na darknetu anebo budou jako vyneseny nějakým insiderem či zachyceny zpravodajskou službou.

Vlastníci firem, členové představenstva i manažeři nesou odpovědnost za dodržování právních předpisů v oblasti kybernetické bezpečnosti.

Tato odpovědnost zahrnuje nejen implementaci technických opatření, ale i řízení rizik a dodržování bezpečnostních standardů podle předpisů EU jako jsou GDPR, NIS2, CRA a DORA. Ale neměl by to být ten hlavní důvod. Tím by měl být pud sebezáchovy, který možná některým zcela schází.

European Cybersecurity Skills Framework, zkr. ECSF od ENISA působí na první pohled jako sympatický pokus dát do pořádku chaos v pojmech a rolích v kybernetické bezpečnosti.

Uvádí dvanáct základních rolí s jasnými popisy odpovědností, což zní velice rozumně. Jenže když se podíváme trochu blíže, přichází spíše zklamání. V sekci 2.10 totiž najdeme roli Cybersecurity Risk Manager.

V prostředí řízení bezpečnostních incidentů se často zaměňují pojmy incident response plan, playbook a runbook. Přestože se tyto dokumenty vzájemně doplňují, liší se svým účelem, úrovní řízení i mírou detailu.

Cílem článku je vyjasnit, jak tyto pojmy používají mezinárodní standardy (ISO/IEC 27035, NIST SP 800-61 Rev. 3) a jak je vhodně propojit v praxi.

Sbírky a spontánní iniciativy na podporu obětí války jsou lidsky pochopitelné. V okamžiku, kdy sledujeme destrukci a utrpení, je přirozené chtít pomoci.

Jenže sbírky na munici či zbraně a zejména pak titulky typu „Češi sbírají na raketu, která může zasáhnout Moskvu“ otevírají otázky, které už nejsou ani morální, ani symbolické. Jsou politické. A hlavně bezpečnostní.