Informačná vs. kybernetická bezpečnosť
Prečo kybernetická bezpečnosť sama osebe nestačí
Informačná bezpečnosť a kybernetická bezpečnosť sa v praxi často používajú ako synonymá, no vzťah medzi nimi je iný — kybernetická bezpečnosť je len jedna, digitálna časť oveľa širšej disciplíny. Firma môže mať vynikajúcu kybernetickú bezpečnosť (silné heslá, firewall, zálohy) a napriek tomu zlyhať v informačnej bezpečnosti, ak rovnako citlivé údaje nechráni aj na papieri alebo pri telefonickom rozhovore.
Informačná bezpečnosť: ochrana informácií v akejkoľvek podobe
Informačná bezpečnosť chráni dôvernosť, integritu a dostupnosť informácií — takzvanú CIA triádu — bez ohľadu na to, v akej podobe sa informácia nachádza. Zmluva uzavretá na papieri, rozhovor o cene zákazky pri obede aj tá istá zmluva uložená ako PDF na firemnom serveri podliehajú rovnakým princípom ochrany, len iným konkrétnym opatreniam.
Kybernetická bezpečnosť: len tá časť, ktorá sa odohráva v počítači
Kybernetická bezpečnosť je podmnožinou informačnej bezpečnosti — rieši presne tie isté otázky, ale výlučne pre informácie v počítačových systémoch a sieťach. Firewall, antivírus, šifrovanie alebo viacfaktorové overenie sú nástroje kybernetickej bezpečnosti. Nechránia však zamestnanca, ktorý nahlas prediskutuje citlivé údaje v preplnenej kaviarni, ani papierovú zložku zabudnutú na stole zasadačky.
Ako to rozlišuje slovenská legislatíva
Zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti sa vzťahuje výslovne len na informačné systémy a siete — teda len na digitálnu časť problému — a definuje povinnosti najmä pre poskytovateľov základných a digitálnych služieb pod dohľadom Národného bezpečnostného úradu (NBÚ) a jeho jednotky SK-CERT. Samostatný, všeobecný „zákon o informačnej bezpečnosti" na Slovensku neexistuje. Dobrý príklad širšieho prístupu ale ponúka GDPR a jeho slovenská implementácia (zákon č. 18/2018 Z. z. o ochrane osobných údajov): tá nie je zákonom o informačnej bezpečnosti ako takej, ale v rámci svojho rozsahu — ochrany osobných údajov — nerozlišuje formu: rovnako sa vzťahuje na papierovú kartotéku v archíve ako na databázu na serveri. Presne to je vlastnosť, ktorú zákon o kybernetickej bezpečnosti nemá.
Zhrnutie rozdielu
| Vlastnosť | Informačná bezpečnosť | Kybernetická bezpečnosť |
|---|---|---|
| Rozsah | Všetky formy informácií — papier, reč, digitálne dáta | Len informácie v počítačových systémoch a sieťach |
| Typický nástroj | Skartovačka, mlčanlivosť zamestnancov, uzamknutý archív | Firewall, antivírus, šifrovanie, MFA |
Časté chyby
- Investícia do firewallu sa považuje za splnenie GDPR — ochrana osobných údajov sa vzťahuje aj na papierové dokumenty a ústnu komunikáciu, nie len na IT systémy.
- Chýbajúca skartovacia alebo archivačná politika — firma s výborným antivírusom môže mať citlivé zmluvy voľne položené na stole alebo v neuzamknutej skrini.
- Predpoklad, že „nedigitálne" automaticky znamená „bezpečné" — telefonický rozhovor alebo poznámka na papieri unikajú rovnako ľahko ako nezabezpečený e-mail.