Technológia bez procesov nefunguje. Procesy bez ľudí sú papier. Ľudia bez technológie sú zraniteľní.

Keď firmy investujú do kybernetickej bezpečnosti, zvyčajne investujú do technológie. Nový firewall. Lepší antivírus. EDR riešenie. SIEM platforma. Zálohovací softvér. Nástroj na správu hesiel. Technológia je viditeľná. Má cenovku. Dá sa ukázať vedeniu. Dá sa nakúpiť relatívne rýchlo.

A potom sa stane incident — aj napriek technológii. A firma zistí, že kúpila nástroje, ale zabudla na zvyšok.

Tri piliere, ktoré musia stáť súčasne

Kybernetická bezpečnosť nie je produkt. Je to systém. A ako každý systém, je taký silný ako jeho najslabší pilier. Tie piliere sú:

• Technológia — nástroje, systémy, infraštruktúra. Firewall, šifrovanie, zálohy, monitoring, EDR. Bez technológie nie je ochrana škálovateľná.
• Procesy — postupy, pravidlá, dokumentácia. Kto čo robí, kedy, ako a v akom poradí. Onboarding, offboarding, správa prístupov, záplatovanie, reakcia na incident. Bez procesov závisí bezpečnosť od toho, kto je práve v práci a v akej nálade.
• Ľudia — zručnosti, povedomie, kapacita, kultúra. Tím, ktorý nástroje ovláda, procesy dodržiava a vie rozhodnúť, keď situácia nie je v príručke. Bez ľudí sú technológia aj procesy mŕtve.

Každý pilier závisí na ostatných dvoch. Vypadnutie jedného destabilizuje celok.

Čo sa stane, keď chýba každý z nich

Len technológia bez procesov:

Firma má pokročilý monitoring systém. Generuje stovky alertov denne. Nikto nedefinoval, ktoré sú kritické, kto ich kontroluje a čo sa robí, keď niečo zaznie. Výsledok: alert na skutočný útok sa stratí v šume.

Technológia funguje — systém nie.

Alebo: firma má zálohovací softvér, ktorý zálohy robí každú noc. Nikto ich nikdy netestoval. Pri ransomvér útoku sa ukáže, že zálohy boli poškodené štyri mesiace.

Softvér fungoval, výsledok nie.

Len procesy bez technológie:

Firma má detailne popísané postupy pre správu prístupov. Každý nový zamestnanec dostane prístupy podľa schváleného zoznamu. Ale prístupy sa evidujú v Exceli, audit sa robí ručne raz za rok a nikde nie je automatická notifikácia, ak niekto získa oprávnenia nad rámec svojej roly.

Procesy existujú. Viditeľnosť chýba. A bez viditeľnosti sú procesy len dobrý úmysel.

Len ľudia bez technológie a procesov:

Firma má šikovný IT tím. Ľudia vedia, čo robia, majú skúsenosti, reagujú rýchlo. Ale každý rieši veci po svojom, neexistuje zdokumentovaný postup, vedomosti sú v hlavách konkrétnych ľudí, nie v systéme.

Keď kľúčový technik odíde alebo ochorie v kritickom momente, firma zistí, že bezpečnosť bola postavená na jednom človeku. Nie na systéme.

Prečo je rovnováha krehká

• Technológia, procesy a ľudia sa navzájom posilňujú — ale aj oslabujú, ak niektorý pilier zaostáva.
• Nová technológia bez prispôsobenia procesov vytvára chaos. Ľudia nevedia, čo s ňou robiť, procesy sa na ňu nevzťahujú, monitoring generuje nové alerty, ktoré nikto nespracúva.
• Nové procesy bez trénovania ľudí zostanú na papieri. Dokumenty sa napíšu, odošlú emailom, uložia do priečinka. O mesiac nikto nevie, kde sú.
• Noví ľudia bez technológie a procesov improvizujú. Robia dobre — ale nekonzistentne. A nekonzistentnosť v bezpečnosti vytvára medzery.

Každá zmena v jednom pilieri si vyžaduje reakciu v ostatných dvoch. To je dôvod, prečo kybernetická bezpečnosť nie je jednorazový projekt. Je to priebežná disciplína.

Kde firmy najčastejšie zlyhávajú

Z praxe — nie v poradí dôležitosti, ale v poradí frekvencie:

• Technológia bez kapacity na jej prevádzku. Firma kúpi pokročilý bezpečnostný nástroj. Nikto v tíme nemá čas ani zručnosti ho správne nakonfigurovať a udržiavať. Nástroj beží v defaultnom nastavení, bez úprav pre konkrétne prostredie, bez niekoho, kto by rozumel, čo generuje.
• Procesy napísané pre audit, nie pre prevádzku. Politiky existujú. Sú správne štruktúrované, pokrývajú všetko, čo audítor chce vidieť. Ale sú napísané jazykom, ktorému zamestnanci nerozumejú, v rozsahu, ktorý nikto neprečíta, a bez prepojenia na reálne každodenné rozhodnutia.
• Závislosť na jednom človeku. Jeden IT administrátor vie všetko o infraštruktúre. Jeden CISO drží v hlave celý bezpečnostný kontext. Keď takýto človek odíde — a odíde, vždy odíde — firma zistí, že nemá systém.
• Podceňovanie kapacity. Firma definuje bezpečnostné procesy, ktoré predpokladajú viac ľudí a viac času, ako reálne existuje. Výsledok: procesy sa nedodržiavajú nie preto, že by ľudia nechceli, ale preto, že na to jednoducho nie je kapacita.

Ako na to

Neexistuje jedna správna odpoveď — závisí od veľkosti firmy, odvetvia, rizikového profilu a dostupných zdrojov.

Ale niekoľko princípov platí takmer vždy:

• Stavajte piliere paralelne, nie sekvenčne. Nie „najprv technológia, potom procesy, potom ľudia". Základy všetkých troch súčasne, postupne rozvíjané. Aj jednoduchý proces je lepší ako žiadny. Aj základné školenie je lepšie ako žiadne.
• Merajte slabý článok, nie silný. Investícia do ďalšieho bezpečnostného nástroja má nulový efekt, ak chýbajú procesy na jeho obsluhu. Identifikujte, kde ste najslabší — a tam investujte ako prvé.
• Dokumentujte pre neprítomného. Každý proces, každá konfigurácia, každé rozhodnutie by malo byť zdokumentované tak, aby ho zvládol niekto iný. Nie perfektne — ale dostatočne. Bezpečnosť postavená na vedomostiach konkrétnych ľudí nie je bezpečnosť. Je to závislosť.
• Počítajte s tým, že ľudia odchádzajú. Navrhnite systém pre priemerný tím, nie pre výnimočných jednotlivcov. Ak bezpečnosť funguje len vďaka tomu, že máte výnimočných ľudí — je zraniteľná.

Záver

Kybernetická bezpečnosť sa predáva ako technologický problém. Riešenia sú technologické, dodávatelia sú technologickí, rozpočty idú do technológie.

Ale kybernetický incident sa takmer nikdy nestane preto, že technológia zlyhala. Stane sa preto, že niekto neklikol správne, proces neexistoval alebo ho nikto nedodržal, alebo kapacita nestačila na to, aby si niekto všimol varovné signály včas.

Technológia, procesy a ľudia. Tri piliere. Rovnováha, ktorá sa musí udržiavať — nie jednorazovo nastaviť.

To je dôvod, prečo kybernetická bezpečnosť nie je projekt s koncom. Je to spôsob fungovania.

Práve na tomto vysvetľovaní rovnováhy medzi technológiou, procesmi a ľuďmi stavia aj Verison, keď o kybernetickej bezpečnosti hovorí s manažmentom a vedením firiem.