‚Obvyklí podezřelí.‘ Národní kyberúřad poprvé zmíní ve své strategii Rusko a Čínu, říká Kintr
Národní kyberúřad poprvé ve své strategii ukáže prstem na Rusko, Čínu nebo Írán. Právě tyto země se k Česku a jeho spojencům chovají v kyberprostoru nepřátelsky. Dosud volil dokument, který se aktualizuje co pět let, obecný tón. „Aktuální ochota být konkrétní souvisí s vývojem bezpečnostní situace. Jestli někdo pochyboval o tom, že Rusko je náš nepřítel, tak dneska to vidíme,“ říká v rozhovoru pro iROZHLAS.cz ředitel NÚKIB Lukáš Kintr.
Vláda předminulý týden schválila navýšení platů pro vojáky, policisty a hasiče. Na zajištění bezpečnosti Česka se ale podílí také váš Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB). Budete i vy chtít víc peněz pro svoje lidi?
Určitě ano. Dokončujeme analýzu, se kterou se budeme obracet na ministerstvo financí a případně na Bezpečnostní radu státu a vládu.
Podmínky, které jsme schopni našim zaměstnancům aktuálně nabízet, se zásadně liší od soukromého sektoru. Lidé si potom velmi často musí volit mezi tím, jestli chtějí nějaký základní životní standard, anebo pracovat pro stát.
Čína je odpovědná za útok na síť ministerstva, oznámil Lipavský. Za Česko se postavily NATO i EU
Číst článek
Jsme v situaci, kdy někteří naši lidé, pokud nastoupí jako absolventi v nejnižších stupních platových tříd, nedosahují ani na zaručenou mzdu, takže to musíme nějakým způsobem kompenzovat.
A to jsou věci, které podle mě v celosvětovém globálním kontextu bezpečnostní situace nejsou dlouhodobě udržitelné, pokud to s bezpečností naší republiky myslíme vážně.
Máte představu, o kolik byste chtěl navyšovat? Protože v IT oblasti je velký rozdíl mezi soukromým sektorem a státní správou.
Není naším zájmem se předhánět se soukromým sektorem. Potřebujeme přivřít nůžky, které se v posledních letech zásadním způsobem rozevřely. U technických specialistů se bavíme o vyšších jednotkách tisíc, řekněme 10 tisíc měsíčně bychom v průměru potřebovali dostat navíc.
První ryze český případ
Nedávno se vám – společně se zpravodajskými službami – povedlo odhalit, že v minulých letech napadli e-mailové schránky českého ministerstva zahraničí čínští hackeři. Říkáte tomu „atribuce“. Jak složité je to udělat?
Atribuce znamená, že určíte pachatele s nějakou mírou pravděpodobnosti. NÚKIB i zpravodajské služby pracují ve svých výstupech se škálou pravděpodobnosti.
V tomto případě jsme došli na té škále až do úplně nejvyšší kategorie, kde jsme v podstatě s jistotou schopni říct, že za útokem stojí konkrétní aktér. Tady to byla čínská hackerská skupina APT31, která je spojována s čínským ministerstvem národní obrany.
Čínská ambasáda to ale popřela.
Já bych byl překvapen, kdyby se k takovému útoku kdokoliv přihlásil.
3:20
Antivirus: Na WhatsAppu se šíří podvody. Telefonní číslo nevyplňujte, kamarádovi zavolejte
Číst článek
Takže není zvykem, že se pachatel po odhalení přizná?
Ne, nikdy jsem se s tím nesetkal.
Vystopovat, že za útokem v kyberprostoru stojí nějaký stát nebo státem podporovaná skupiny, a ještě to veřejně ohlásit z úrovně vlády, to se neděje každý den. Pokolikáté se to povedlo NÚKIB?
V České republice je to v podstatě druhý případ. Současně je to první ryze český případ, kdy se to podstatné dělo tady u nás. Takže v tomto je to unikátní, stojí za tím opravdu dlouhodobé úsilí velkého množství institucí a lidí v nich.
Určitě to lze považovat za úspěch, byť je nutné si uvědomit, že se bavíme o úspěchu postaveném na velkém neúspěchu. A to sice na faktu, že nás někdo napadnul, dostal se do systému a ohrozil národní bezpečnost.
Řízení rizika
Když se budeme bavit obecně o kybernetických incidentech, různých hackerských útocích na státní správu atd., tak NÚKIB o nich neinformuje. Proč?
Jsme ze zákona vázaní mlčenlivostí, zejména proto, aby se odbouraly jakékoliv bariéry pro ty zasažené instituce nám to hlásit.
Takže veškeré informace, které poskytujeme ke konkrétním kauzám, poskytujeme jenom po dohodě a v souladu s komunikační strategií té zasažené instituce. Tu musíme respektovat, bez toho by ochota a vůle nám hlásit incidenty zmizely.
Na druhou stranu, pokud se z konkrétního incidentu dá vyvodit obecně platný závěr, jak to bylo třeba v případě kyberútoků na nemocnice na začátku covidu, tak jsme tak učinili.
Jde mi spíš o to, že já jako občan svěřuji státu svoje údaje, v některých případech to přímo musím udělat, a věřím mu tedy, že je ochrání. Ale podle toho, co říkáte, se ani nedozvím, že někde utekly.
Všem institucím a firmám, kterým se něco takového stane, říkáme, že je potřeba komunikovat se zákazníky. V případě státu jsou to občané. Takže doporučení z naší strany směrem ke komunikaci a transparentnosti jsou jasná, ale nemůžeme to činit za instituci jako takovou.
DDoS i ransomwarové útoky. Počet kybernetických incidentů byl loni znovu rekordní
Číst článek
Další aktuální téma: Senát schválil návrh nového zákona o kybernetické bezpečnosti. Jedna jeho část umožní Česku zakazovat rizikové dodavatele technologií do kritické infrastruktury. Kvůli pozměňovacím návrhům poslanců to bude pravomoc vlády, nikoliv kyberúřadu. Někteří zákonodárci to vidí jako oslabení zákona.
Můžeme vést debatu o tom, jestli je praktičtější, aby role toho, kdo o tom bude rozhodovat, byla na odborné expertní instituci, nebo aby to bylo na politické úrovni. Tam se ty názory různily. Na druhou stranu pro nás je klíčové to, že tady ten nástroj bude. A že Česká republika bude mít možnost, jak řídit vlastní závislost na rizikových nebo nespolehlivých dodavatelích.
Zmiňovaný nástroj na zákaz rizikových dodavatelů je mířený hlavně na technologické firmy z Ruska a Číny, i když to neříkáte explicitně. Ale není zároveň problém závislost české státní správy na amerických firmách typu Microsoft?
Ano, jsme velmi závislí na některých těchto produktech. Na druhou stranu se musíme dívat i na to, jestli máme alternativu a jestli je reálné se některých těchto závislostí zbavit.
Nemůže to být tak, že řekneme, co nesmíte používat, ale už neřekneme, jak s tím naložit. To by poškodilo z dlouhodobého hlediska náš technologický a ekonomický rozvoj. I tyto aspekty je potřeba mít na paměti při zvažování zákazu.
2:57
Bude kyberúřad moci zakázat nedůvěryhodnou firmu? Podle kritiků je nový zákon ‚bezbřehý‘
Číst článek
Nový mechanismus na prověřování bezpečnosti dodavatelských řetězců by měl pokrýt veškeré hrozby. A pokud bychom se dostávali do nezdravě velké závislosti na jakémkoli aktérovi, který by mohl ohrozit bezpečnost naší země, tak by měl zafungovat. Bez ohledu na to, jestli je ze Západu, nebo z Východu.
Na NÚKIB teď připravujete novou strategii národní kybernetické bezpečnosti. Co tam bude nového?
Je to dokument, který se každých pět let aktualizuje. Rádi bychom ho měli do konce roku hotový. Nepůjde o revoluci, ale spíš o evoluci, podtržení některých aspektů, které byly ve stávající koncepci a jsou platné.
Tento typ dokumentů byl dříve obecný, nejmenoval žádné státy, které by Česko ohrožovaly, ale v posledních letech pozoruji trend, že se to mění. Rusko a Čínu explicitně zmiňuje i česká Bezpečnostní strategie z rok 2023. Bude i NÚKIB ve své nové strategii konkrétní?
Ano, jmenujeme obvyklé podezřelé, tedy Rusko a Čínu. Kromě nich tam budou i aktéři, kteří v našem prostředí jsou třeba méně aktivní, ale pořád jsou, jako je Severní Korea a Írán.
Obecně by měly bezpečnostní dokumenty korespondovat. To se historicky ne vždy úplně dařilo.
Aktuální ochota být konkrétní souvisí s vývojem bezpečnostní situace. Jestli někdo pochyboval o tom, že Rusko je náš nepřítel, tak dneska to vidíme, i v Rusku to zaznívá.
Osvěta štábů
Blíží se volby do Poslanecké sněmovny. Jak se na to připravujete z hlediska kyberbezpečnosti?
Dlouhodobě spolupracujeme s Českým statistickým úřadem, který je stěžejní institucí pro realizaci voleb v České republice, s ministerstvem vnitra, se všemi dalšími, kteří do toho vstupují.
V rámci naší proaktivní činnosti navíc nabízíme osvětu lidem, kteří budou v období voleb velmi exponováni. Pokud mají zájem, tak aby věděli, jak se chovat na sociálních sítích z pohledu bezpečnosti, jakým způsobem předcházet tomu, aby se nestali obětí nějakého kyberútoku.
A vedle toho nabízíme konzultace také volebním štábům, aby dokázaly odpovídajícím způsobem zabezpečit vlastní infrastrukturu.
Už toho někdo využil?
Jsme na začátku. Termín voleb byl vypsán relativně nedávno, takže zatím jsme takovouto aktivitu nerealizovali, ale v nejbližších dnech, týdnech si myslím, že proběhnou první kroky. S některými již jsme v kontaktu.
