Školení a zálohy máte. Víte, co dělat v první hodině útoku?

Nakoupené máte, domluvené ne.

Poradenská skupina Moore Czech Republic se v říjnu 2024 ptala přes dvě stě vedoucích pracovníků firem a institucí, co už proti útokům dělají (BusinessInfo.cz, 6. 11. 2024). Pravidelně školí zaměstnance 62 % firem a pravidelně zálohuje 49 %. Plán reakce na incident a hlášení incidentů na NÚKIB nebo národní CERT jsou podle stejného průzkumu spíš výjimka.

Školení a zálohy se dají koupit, zavést a odškrtnout. Plán reakce se koupit nedá, protože je to řada rozhodnutí, která musí udělat někdo uvnitř firmy a která nikdo nechce dělat předem.

Pro majitele firmy bez vlastního IT z toho plyne nepříjemná věc. Zálohy pomohou, až budete data obnovovat. Školení sníží šanci, že někdo klikne. Ale v hodině, kdy se na obrazovce objeví výpověď, si nikdo nevzpomene, koho má volat. A záloha, kterou nikdo nezkusil obnovit, je jen naděje, jak píšu v článku o zkoušce obnovy.

Co patří na jednu stránku.

Plán nemusí být dokument pro auditora. Stačí, když ho přečtete za dvě minuty a při útoku podle něj poznáte, co dál. Odpovězte na pět otázek a odpovědi vytiskněte:

1. Kdo rozhoduje, když jednatel není k zastižení, a kdo je jeho zástup?
2. Koho volat jako prvního: správce IT, dodavatele systémů, banku, pojišťovnu? Se jmény a čísly, která nejsou uložená jen v napadeném počítači.
3. Co se vypíná a kdo to smí udělat: odpojení počítače od sítě, odhlášení účtů, zastavení plateb.
4. Co se nesmí dělat, aby se nezničily stopy: restartovat server, přeinstalovat počítač, mazat poštu.
5. Kdo zapíše čas, kdy se o útoku zjistilo, a kdo ho hlásí komu.

Pátá otázka je ta, která firmám nejčastěji chybí, a hned vidíte proč.

Hodiny běží od zjištění.

Pokud se na vás zákon o kybernetické bezpečnosti vztahuje, upravuje hlášení incidentů zákon č. 264/2025 Sb., § 16, úřad, 2025. Prvotní hlášení se podává bez zbytečného odkladu, nejpozději do 24 hodin od zjištění incidentu. U incidentu s významným dopadem následuje oznámení s prvotním posouzením, nejpozději do 72 hodin, a závěrečná zpráva do 30 dnů od oznámení.

Firmy v nižším režimu hlásí Národnímu CERT, firmy ve vyšším režimu přímo NÚKIB. Hlásí se jen incidenty v rozsahu, který zákon stanoví. Jestli jste regulovaná firma a v jakém režimu, vám řeknou tři otázky na stránce o zákonu. Dodavatel regulované firmy sám regulovaným subjektem není, ale požadavky na hlášení dostane od odběratele ve smlouvě.

Z toho plyne praktická věc, kterou čtenáři zákona často přehlédnou. Lhůta se počítá od okamžiku, kdy se o incidentu zjistí, ne od okamžiku, kdy ho někdo uzná za vážný. Pokud plán neurčuje, kdo čas zjištění zapíše a komu ho předá, ztratíte hodiny na dohadování, než se vůbec začne počítat, co je potřeba nahlásit.

Co se děje po registraci a kdy opatření začínají platit, popisuji v článku Ohlásili jste se u NÚKIB?.

Napište ji za odpoledne, zkuste ji za půl hodiny.

Posaďte se s jednatelem, správcem IT a tím, kdo u vás vyřizuje účty a platby. Nechte je odpovědět na pět otázek nahlas a odpovědi zapište. Rozpory vyjdou najevo hned: dva lidé si budou myslet, že rozhoduje každý z nich.

Pak plán vyzkoušejte na modelové situaci. Řekněte: v pondělí v osm ráno nejde pošta a na plochách je výpověď. Kdo volá komu? Co se vypne? Kdo píše zaměstnancům? Pokud se u některé otázky zaseknete, ta věta v plánu chybí. Plán pak nechte viset tam, kde ho najde i ten, kdo zrovna nemá přístup k firemním počítačům.

Tuhle stránku nepotřebujete jako samostatný projekt, pokud o IT vaší firmy rozhoduje někdo, kdo ji už má a pravidelně zkouší. Pokud takového člověka nemáte, je to přesně ta práce, kterou dělá technologické vedení IT.

Co s tím teď.

Pokud už máte plán, který jste v posledním roce zkusili a který vědí všichni, kdo ho mají použít, tento článek nepotřebujete. Pokud ne, začněte tím, jestli se na vás zákon vztahuje, protože od toho se odvíjí lhůty.