Odhadem 20 % soukromých firem a 80 % institucí veřejné správy nestihne splnit požadavky na informační bezpečnost, které jim od ledna 2015 uloží nový kybernetický zákon. Posílení kybernetické bezpečnosti je ožehavým problémem, jen v polovině letošního roku se stalo 2276 trestných činů spáchaných s využitím informačních technologií, což je meziroční nárůst o 45 %. Upozorňuje na to Jakub Kejval ze společnosti Bureau Veritas, která se mj. zabývá udělováním certifikátů managementu bezpečnosti informací. Jako hlavní důvody nepřipravenosti označuje opožděné vydávání dvou klíčových vyhlášek k zákonu (jedna z nich až v závěru roku upraví, kdo se má chránit, a ta druhá, která je těsně před vydáním, jakým způsobem to má dělat) a rozpočtové limity státní správy.
Ochrání zákon před hackery registry pojištěnců?
„Veřejná správa bude muset vynaložit mnoho úsilí včetně statisícových částek, než se dostane na úroveň požadavků nového zákona o kybernetické bezpečnosti. Situaci navíc komplikuje dosud nehotová klíčová vyhláška, která by přesně stanovila, na které konkrétní subjekty se bude legislativa vztahovat. Zda například na centrální registr vozidel, registr pojištěnců zdravotního pojištění a sociálního zabezpečení nebo rejstřík trestů,“ říká Jakub Kejval, generální ředitel společnosti Bureau Veritas, která uděluje certifikáty managementu bezpečnosti informací podle ISO/IEC 27001.
Všechny instituce se nestihnou na nový zákon připravit
Zákon se sice nemá vztahovat na obce, přesto však není jasné, jak to bude s vybranou agendou, kterou obce vedou. Totéž se týká například nemocnic. „Vyhláška, která toto upraví, totiž vyjde až na konci roku, tedy těsně před začátkem účinnosti nového zákona. Všechny instituce, jichž se zákon dotkne, se nestihnou připravit, což je nepříjemné i vzhledem k tomu, že právě na podzim se schvalují rozpočty na příští rok,“ dodává expert na bezpečnostní problematiku Jakub Kejval.
Nejčastější bezpečnostní přešlapy zaměstnanců úřadů a firem
Certifikační společnost Bureau Veritas eviduje během své auditorské a kontrolní praxe řadu případů, kdy zaměstnanci různých firem a institucí skoro pokaždé ochotně svěřují citlivé firemní informace třeba přes telefon. „Častou chybou jsou také papírky s heslem k počítači, které si lidé nalepují na monitory. Běžné jsou i volně ležící složky s důvěrnými materiály v momentě, kdy v kanceláři nikdo není. Nemluvě o nedostatečném zabezpečení elektronických dat před viry či krádeží (např. formou phishingu). Právní úpravu ochrany důležitých informačních a komunikačních systémů rozhodně vítám, ale vývoj celého zákona a prováděcích předpisů trochu připomíná stavbu domu, kterou jeho tvůrci začali od střechy,“ uzavírá Jakub Kejval z Bureau Veritas.
Kybernetický zákon i prováděcí předpisy budou účinné od 1. ledna 2015. Zákon, který vytvořil Národní bezpečnostní úřad, schválili poslanci i senátoři, podepsal 13. srpna 2014 prezident, byl publikován dne 29. 8. 2014 ve Sbírce zákonů.
