AI a NIS2 zatřesou trhem bezpečnosti, říká Tomáš Křešťák z O2

Jak se vyvíjí potřeby zákazníků v oblasti kybernetické bezpečnosti?

Jeden z milníků, co nás příští rok čeká, je NIS2, neboli nový Zákon o kybernetické bezpečnosti. Ten rozšiřuje počet povinných osob tzv. dotčených firem ze zhruba 400 na 6000. Bude se nově vztahovat na subjekty z celkem 18 odvětví, které poskytují jednu ze 105 vyjmenovaných služeb. Zákon přinese řadu nových povinností. Každá firma bude muset udělat v souladu s tímto zákonem sebehodnocení neboli revizi, jak se jí zákon dotýká.

My bereme toto opatření velmi vážně, jelikož to není zákon pro zákon, ale vnímáme to jako nastavení standardu celého trhu. Na druhé straně pro nás v O2 již platí stávající norma, takže máme náskok před těmi, kteří se se zákonem potkávají poprvé.

Jako jeden z největších poskytovatelů telekomunikačních služeb čelíte obrovskému množství kyberútoků. Můžete je kvantifikovat a popsat, jaké jsou nejčastější? 

Ředitel produktů pevné sítě O2 Tomáš Křešťák

Autor: O2

Ano, jen v dubnu letošního roku naše služba O2 Security předešla více než 379 milionům hrozeb. Vnímám to jako ohromné číslo. Rizika pocházela z více než 1,27 milionu domén. Podařilo se nám odvrátit v průměru 222 hrozeb na jednoho uživatele služby. To vše za jediný měsíc! V síti vidíme dva nejčastější typy útoků. 

Prvním je malware jako nejběžnější a často i nejefektivnější forma kyberútoku. Druhou příčku obsazuje phishing. Velmi viditelná forma útoků jsou také DDoS útoky, jelikož u nich zákazníci vidí okamžitý dopad. Tyto útoky nemají za cíl ukrást data nebo peníze, ale znemožnit využití služby. Například zahltí e-shop tak, že je zcela nefunkční. V případě bank je to pak o důvěryhodnosti celého segmentu.

Jaký vliv má pravidelný audit a monitoring na úroveň bezpečnosti a ochranu dat v cloudu?

Pravidelný audit a monitoring ověřuje funkčnost a efektivitu našich bezpečnostních mechanismů a procesů. Umožňuje nepřetržitě sledovat a vyhodnocovat stav systémů, detekovat potenciální hrozby a bezpečnostní incidenty a rychle na ně reagovat. Získáním certifikace SOC 2 jsme prokázali, že naše procesy, politiky a kontrolní mechanismy v oblasti bezpečnosti, dostupnosti, integrity zpracování, důvěrnosti a ochrany dat odpovídají nejpřísnějším standardům. 

Pravidelnými nezávislými audity ověřujeme funkčnost a efektivitu našich bezpečnostních mechanismů a procesu. Identifikujeme tak potenciální slabiny a kontinuálně posilujeme úroveň zabezpečení. Výsledky auditů jsou pro nás zpětnou vazbou pro neustálé zvyšování kvality našich cloudových služeb z pohledu bezpečnosti a ochrany dat.

Máte nějaké příklady z praxe, kde zavedení přísnějších bezpečnostních opatření ochránilo data zákazníků před potenciálními hrozbami?

Ano, mám, například konkrétní případ zákazníka z oblasti bankovnictví. Řešili jsme, že služby našeho dohledového centra a nastavená opatření při DDoS útoku na celý segment trhu a nastavená opatření umožnily obnovit jeho služby v řádu minut. Naproti tomu u jiných bank obnovení trvalo jednotky hodin. To je zásadní rozdíl. 

Obecně ale zatím platí pravidlo, že jsme opatrní a stavem zabezpečení se veřejně nechlubíme. Takový přístup už sám o sobě může totiž vést ke kompromitaci celého bezpečnostního řešení. Navíc útoky jsou stále sofistikovanější. Již se minimálně setkáváme s tzv. volumetrickými DDoS útoky. 

Drtivá většina útoků je zaměřena na konkrétní zákazníky a jejich konkrétní aplikace. Pak stačí pro útok daleko menší objem dat. Při velikosti naší sítě je to těžké vůbec detekovat, ale pro zákazníky je to fatální. Proto stále nasazujeme další nástroje a postupy.

Vzhledem k rychlému vývoji v oblasti kybernetické bezpečnosti, jaké jsou plány pro další zlepšování a rozvoj svých bezpečnostních protokolů a infrastruktury v nadcházejících letech? 

Asi největší téma k diskuzi je AI. Věříme, že to bude dobrý služebník, ale stejně tak může být špatným sluhou, pokud bude zneužita. To bude jedna z výzev příštích let.  V této oblasti si klademe ambiciózní cíl stát se lídrem, minimálně v rámci České republiky. Máme pro to výborné předpoklady. 

Máme interní společnost Dataclair, která se výzkumem a implementacemi AI řešení zabývá již řadu let. Dataclair nám poskytuje značný technologický předstih a umožňuje nám být připraveni aktivně čelit potenciálním hrozbám souvisejícím s nástupem AI technologií v oblasti kyberbezpečnosti.

A další velké téma související s rozvojem kvantových počítačů jistě bude post-kvantová bezpečnost. Tzv. Quantum-safe infrastruktura se již dnes zavádí a testuje a využívá matematických (PQC) i fyzikálních (QKD) principů zabezpečení QKD i PQC. To je ale další zajímavé téma.