Česká kyberbezpečnost #vyrokdne

V nedělních Otázkách Václava Moravce přišel ministr zahraničí Zaorálek s poměrně pozitivním konstatovávím. Česká republika je na světové špičce v oblasti kybernetické bezpečnosti. V době vzrušených debat o hackerských útocích na americké prezidentské volby a také o možném takovém ovlivňování blížících se voleb v evropských zemích je to jistě prohlášení, které zaslouží pozornost.

Zejména v souvislosti s americkými prezidentskými volbami se veřejně probíraly útoky hackerů a také zabezpečení systémů, které měly být napadány. Americké zpravodajské služby vydaly v této souvislosti veřejnou zprávu, která o ovlivňování voleb skutečně informuje. Její veřejná část sestává spíše z analýzy veřejných výstupů ruských představitelů a médií, tajná část pochopitelně k dispozici není. K dané zprávě se vyjádřil i nově zvolený prezident Donald Trump, když na svém Twitteru uvedl, že neexistuje důkaz, že by hackeři volby ovlivnili a že volební stroje (v USA se volí prostřednictvím přístrojů) zůstaly nedotčeny.

Dodejme, že Trump nakonec poznatky tajných služeb akceptoval. Veřejně diskutovaná situace v USA tak může navozovat dojem ohrožení ze strany hackerů z nejrůznějších zemí. V této souvislosti je dobré podívat se, nakolik si Česká republika stojí v rámci své kybernetické bezpečnosti, tedy zda má také Zaorálek ve svém tvrzení pravdu.

V České republice (v Brně) funguje Národní centrum kybernetické bezpečnosti a to v rámci NBÚ. Nejaktuálnějším dokumentem popisujícím stav v dané oblasti je Zpráva o stavu kybernetické bezpečnosti za rok 2015. Zpráva popisuje náplň činnosti, mezinárodní spolupráci nebo také uvádí některé statistiky - např. jakými incidenty (str. 39) se centrum zabývalo.

Jelikož nejsou ještě nyní na začátku roku 2017 dostupná aktuálnější data, oslovili jsme přímo centrum s žádostí o poskytnutí informací. Obecně nás zajímalo, nakolik lze hodnotit kvalitu stavu české kyberbezpečnosti ve srovnání s partnery v NATO. Pochopitelně nelze předpokládat, že jde sestavit jednoduchý žebříček srovnávající členské země. Ovšem centrum nám v odpovědi poskytlo řadu indikátorů, které potvrzují vysokou profesionální úroveň v rámci České republiky.

"ČR jako první ze zemí Evropské unie (EU) vytvořila unikátní právní rámec ochrany kritické informační infrastruktury (KII), který EU úpravě předcházel a z valné většiny odpovídá současnému charakteru požadavků EU na členské státy ohledně ochrany sítí a informací v kyberprostoru (formulované v tzv. Směrnici NIS).

ČR také jako první země Severoatlantické aliance (NATO) připravila a podepsala 12. října 2015 nové memorandum o porozumění (tzv. MOU) v oblasti kybernetické obranné spolupráce mezi NATO a ČR. Toto memorandum zakládá rozsah spolupráce v oblasti kybernetické obrany a bezpečnosti mezi NATO jako institucí a členským státem včetně definovaní rozsahu podpory v případě vojenské, či bezpečnostní krize.

(...)

Dále ve svém úsilí o zajištění vyšší bezpečnosti virtuálního prostoru spolupracuje NBÚ (jakožto gestor problematiky kybernetické bezpečnosti v ČR a zároveň národní autorita pro tuto oblast), mimo jiné, již několik let i s předními technologickými společnostmi jakými jsou Cisco či Microsoft. S Microsoftem se v minulosti ČR stala dokonce třetí zemí na světě, která se zapojila do bezpečnostního programu „Botnet Feeds“. Účast v tomto projektu a především zapojení ČR již v roce 2013 umožnilo odhalit mnoho bezpečnostních událostí a incidentů a to i v sítích důležitých pro fungování státu.

(...)

Dalším dokladem vyspělosti kybernetické bezpečnosti v ČR mohou být i výsledky v mezinárodních cvičeních kybernetické bezpečnosti. V roce 2016 se český tým složený ze zástupců bezpečnostních týmů státní, komerční i akademické sféry zúčastnil např. cvičení zemí NATO s názvem „Locked Shields“ (pořádáno CCDCOE v Tallinnu v Estonsku). Český tým zde obsadil přední příčky žebříčku složeného z 20 týmů z celkem 19 zemí NATO, přičemž v kategorii ochrany a zabezpečení průmyslových řídících systémů/SCADA získala ČR nejvíce bodů ze všech účastnících se států.

O rok dříve (v roce 2015) pak dokonce český tým získal prvenství ve dvou ze tří samostatných kategorií tohoto cvičení v konkurenci Německa, Nizozemí, Estonska a Finska.

Míra vyspělosti ČR v kybernetické bezpečnosti se projevuje i ve stoupajícím počtu žádostí dalších států či mezinárodních institucí o školení či jiné formy vzdělávání ze strany Národního centra kybernetické bezpečnosti (NCKB) při NBÚ.

Experti z NCKB jsou kontinuálně žádáni o sdílení svého know-how a zkušeností v oblasti kybernetické bezpečnosti. V uplynulých letech se jednalo ze strany států například o bezpečnostní složky a instituce USA, Singapuru, Ukrajiny, balkánských států aj. Dále má ČR v oblasti kybernetické bezpečnosti nastaveny bilaterální vazby s Izraelem, Spojenými státy či Korejskou republikou, jimž je strategickým partnerem, což je v regionu střední a východní Evropy výjimečné.

V roce 2015 NBÚ/NCKB dokonce uskutečnilo cvičení na klíč pro americké Ministerstvo obrany a velitelství kybernetických sil USA (US CYBERCOM). V roce 2016 pak předávali své zkušenosti experti NBÚ v rámci cvičení, které bylo připraveno pro zástupce diplomatického sboru, think-tanků a bezpečnostní komunity z ČR, Slovenska, Polska, Maďarska, Estonska a Spojených států amerických s místem konání ve Washingtonu.

Další iterace tohoto cvičení se pak uskutečnila na Velitelství pro transformaci NATO ACT v Norfolku. Účastníci byli civilní a vojenští činitelé z různých divizí mezinárodního sekretariátu. Jedním z výstupů cvičení bylo hodnocení ze strany představitelů NATO, že tento formát i obsah cvičení z dílny NBÚ/NCKB by bylo vhodné zakomponovat do komplexních cvičení NATO.

NBÚ zároveň již díky svému progresu v kybernetické bezpečnosti několik let poskytuje asistence ostatním státům, které teprve budují svůj systém kybernetické bezpečnosti. V roce 2016 se NBÚ v rámci dvou evropských projektů zaměřil na balkánské státy, kde předával zkušenosti s budováním CERT/CSIRT pracovišť, s tvorbou koncepčních materiálů, ochranou KII či přípravou kybernetických bezpečnostních cvičení.

Odborníci z NBÚ/NCKB pravidelně vystupují a jsou konzultováni na odborných konferencích, seminářích a diskutovali u kulatých stolů nad tématy z oblasti kybernetické bezpečnosti a to jak na národní, tak na mezinárodní úrovni, kdy jsou pracovníci zváni na základě expertizy.

V neposlední řadě pak ČR ve srovnání s ostatními zeměmi NATO i EU již od roku 2015 pořádá unikátní technická i netechnická (tzv. table-top) cvičení pro veřejné i soukromé instituce a subjekty ČR s cílem vzdělávání a prověřování technických schopností a reakce těchto subjektů na kybernetické útoky. V současnosti se připravují tato cvičení i pro mezinárodní partnery, konkrétně pro balkánské státy a země středoevropského regionu (ve formátu CECSP).

Strategický rámec, jak právní tak organizační, který byl nastaven a je nadále rozvíjen se stal i předlohou pro další státy v Evropě. (možno zjistit srovnáním legislativního rámce, chystaného/ přijatého, organizace vládních pracovišť a dokonce i obsah Národní strategie kybernetické bezpečnosti ČR 2015-2020 se stala předlohou strategických dokumentů našich partnerů)."

Podíváme-li se na tyto jednotlivé faktory, lze jistě konstatovat, že české Národní centrum kybernetické bezpečnosti je skutečně respektovanou institucí, která se účastní mezinárodních aktivit a dosahuje mezi partnery v NATO na přední příčky. Je také školitelem pro naše partnery a v jistých oblastech i vzorovou službou. V tomto světle je tedy třeba dát Zaorálkovi zapravdu v tom, že se ČR v rámci fenoménu kyberbezpečnosti řadí na špici. To je ve světle současných často i znepokojujících diskuzí ohledně napadení prezidentských voleb v USA ruskými hackery jistě pozitivní konstatování.