Posílení kybernetické bezpečnosti ve zdravotnictví, posuzování rizikového profilu dodavatelů, omezování vysoce rizikových dodavatelů pro bezpečné zavádění telekomunikačních sítí nastupujících generací i efektivní strategická komunikace zaměřená na zvládání velkých kybernetických bezpečnostních incidentů. To jsou jen některé z bodů, které obsahuje Akční plán k Národní strategii kybernetické bezpečnosti, jehož vznik koordinoval Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) a který v pondělí na svém jednání schválila vláda.
Samotná Národní strategie kybernetické bezpečnosti, kterou vláda schválila již koncem loňského roku, stojí na třech základních pilířích, jejichž názvy znějí: Sebevědomě v kyberprostoru, Silná a spolehlivá spojenectví a Odolná společnost. Nově schválený akční plán obsahuje konkrétní kroky, jejichž splnění povede k dosažení cílů vytyčených strategií.
„Strategie a akční plán dávají jasnou představu, kam se ČR chce v zajišťování kybernetické bezpečnosti a také budování kybernetické obrany v následujících pěti letech ubírat. Zároveň je ze strategie i akčního plánu jasně patrná vůle ke spolupráci nejen napříč státní sférou a bezpečnostními složkami, ale i s akademickou sférou a soukromým sektorem. Což je možná to vůbec nejdůležitější, protože kybernetická bezpečnost musí stát na spolupráci,“ říká ředitel NÚKIB Karel Řehka.
Akční plán předložil Vládě ČR NÚKIB jakožto gestor za oblast kybernetické bezpečnosti. Na jeho vzniku se však podílely všechny veřejné instituce České republiky, které mají nějakou roli v zajišťování kybernetické bezpečnosti. Jde tím pádem o společný postoj všech relevantních institucí, kteří se tím zároveň zavazují plnit úkoly uvedené v akčním plánu.
Konkrétních úkolů pro příštích pět let plán stanovuje více než sto a jsou rozděleny podle jednotlivých pilířů národní strategie. Některé z úkolů jsou již průběžně plněny, například v oblasti vzdělávání nebo organizace cvičení, což jsou aktivity, které NÚKIB ve spolupráci s dalšími již dlouhodobě provádí. Jiné úkoly si vyžádají komplexní změny legislativy či změny stávajících postupů.
Mezi ty, které budou vyžadovat změny, patří například tvorba mechanismu posuzování rizikového profilu dodavatelů pro bezpečné zavádění telekomunikačních sítí nastupujících generací, což je úkol vyplývající i z tzv. 5G Toolboxu, který členské státy EU s podporou Evropské komise vydaly v lednu 2020.
Loňský i letošní rok také ukázaly, jak zásadní je kybernetická bezpečnost v oblasti zdravotnictví. Akční plán proto počítá s kontinuálním posilováním kybernetické bezpečnosti v tomto segmentu pomocí tvorby metodických materiálů, cvičení, sdílení informací o hrozbách a dalšími způsoby.
Velká pozornost je věnována též mechanismu atribuce závažných kybernetických útoků. Atribuce představuje především proces, během něhož dochází k určení pravého zdroje útoku a k identifikaci samotného útočníka. Cílem procesu atribuce je tedy jednak vyvození správných závěrů, ale také provedení politického schválení a učinění rozhodnutí o efektivním využití výsledků atribuce. Tento proces vyžaduje zapojení všech relevantních složek státu, neboť jenom tak lze zajistit dostupnost všech nezbytných informací.
Řada bodů se také týká krizového řízení a přípravy na případné budoucí krize. Kromě celkové revize krizových plánů a možností, jak v případě kybernetického ohrožení postupovat, počítá akční plán i s vytvořením metodiky pro strategickou komunikaci v případě nutnosti reagovat na velké kybernetické incidenty či jiné podobné hrozby.
Celý Akční plán ke strategii kybernetické bezpečnosti najdete ke stažení na tomto odkazu.