Kyberbezpečnost není o technologiích. Je o rozhodování.
Když se řekne kyberbezpečnost, většina lidí si představí hackery, zranitelnosti, malware nebo nejnovější technologie. Ve skutečnosti je ale práce bezpečnostního ředitele mnohem více o lidech, odpovědnosti a rozhodování než o samotných nástrojích.
Hostem nového dílu CZECH CYBER TV Podcastu byl Pavel Rivola, ředitel bezpečnosti společnosti CETIN, který otevřeně popsal, jak vypadá bezpečnost ve velké organizaci, proč by bezpečnost neměla být podřízena IT a jaké výzvy přináší nástup umělé inteligence.
Hlavním úkolem není chránit IT
Jedna z nejsilnějších myšlenek celého rozhovoru zazněla hned v úvodu.
Podle Pavla Rivoly není hlavním úkolem bezpečnostního ředitele chránit servery, sítě nebo technologie. Jeho úkolem je chránit byznys jako celek.
To znamená chránit zákazníky, investory, reputaci firmy, její provoz i schopnost dále růst a inovovat. Bezpečnost tak není cílem sama o sobě. Je prostředkem, který pomáhá organizaci dlouhodobě fungovat.
Bezpečnost musí vyvažovat riziko a růst
Bezpečnostní tým by přirozeně nejraději odstranil všechna rizika. Byznys ale potřebuje rychlost, inovace a schopnost reagovat na změny.
Právě zde vzniká role bezpečnostního ředitele.
Musí neustále hledat rovnováhu mezi ochranou organizace a její schopností růst. Přílišná opatrnost může brzdit rozvoj firmy. Nedostatečná bezpečnost může naopak vést k incidentu, který její budoucnost ohrozí.
Nejtěžší rozhodnutí tak často nejsou technická, ale manažerská.
Kyberbezpečnost není sport
Během rozhovoru zazněla zajímavá myšlenka, která dobře vystihuje realitu dnešní bezpečnosti.
Často se říká, že „cybersecurity is a team sport“.
Podle Pavla Rivoly to ale není úplně přesné.
Sport má pravidla. Hraje se fair play.
V kyberprostoru protivník žádná pravidla respektovat nemusí. Útočníci využívají chyby, lidskou důvěru i technologické slabiny. Obránci se naopak musí neustále přizpůsobovat a reagovat na nové situace.
Proto je spolupráce napříč celou organizací tak důležitá.
Když někdo klikne na phishing, není to viník
Další důležité téma se týkalo bezpečnostní kultury.
Pokud zaměstnanec otevře škodlivý e-mail nebo klikne na podvodný odkaz, neměl by mít strach incident nahlásit. Největší problém totiž často nevzniká samotným kliknutím, ale až ve chvíli, kdy se člověk rozhodne chybu zatajit.
Otevřená komunikace a důvěra jsou podle Pavla Rivoly jedním ze základních stavebních kamenů bezpečnosti.
Cílem není hledat viníky.
Cílem je chránit organizaci.
AI zrychluje útočníky i obránce
Velká část rozhovoru se věnovala také umělé inteligenci.
Podle Pavla Rivoly není největší změnou samotná existence AI, ale rychlost, kterou přináší. Útočníci budou schopni rychleji vyhledávat zranitelnosti, automatizovat útoky a vytvářet nové formy sociálního inženýrství.
Zároveň ale AI pomáhá i obráncům.
Skutečnou výzvou tak nemusí být objevení zranitelnosti, ale schopnost ji včas opravit. Ve velkých organizacích totiž každá změna přináší riziko výpadku služeb a bezpečnostní týmy budou muset držet krok s tempem, které AI nastavuje.
Co odlišuje odborníka od lídra
Rozhovor se dotkl také leadershipu a profesního růstu.
Pavel Rivola otevřeně přiznává, že během své kariéry často vedl lidi s hlubšími technickými znalostmi, než měl on sám.
Podle něj totiž úkolem lídra není být nejchytřejším člověkem v místnosti.
Jeho úkolem je klást správné otázky, chápat souvislosti, rozhodovat se a nést odpovědnost za důsledky těchto rozhodnutí.
A právě to je dovednost, která často rozhoduje o tom, kdo se z odborníka stane skutečným lídrem.
Celý rozhovor
V novém dílu CZECH CYBER TV Podcastu se dozvíte:
- proč by bezpečnost neměla být podřízena IT,
- jak funguje rozhodování ve velkých organizacích,
- proč kyberbezpečnost není sport,
- jak AI mění práci obránců i útočníků,
- a jaké vlastnosti potřebuje moderní bezpečnostní lídr.
Přejeme příjemné sledování.