Kyberútok na české nemocnice dává smysl. Ve válce chcete útočit na nejslabší místa, říká generál Řehka

Generál Karel Řehka nastoupil do čela instituce starající se o bezpečnost přenosu informací českými počítačovými sítěmi v březnu, tedy na začátku pandemie. A hned řešil hackerské útoky na české nemocnice. "Byl jsem dlouho voják, takže mě to z profesního hlediska nepřekvapilo. Když chcete útočit na systém, hledáte jeho slabá místa," říká v rozhovoru s HN. Právě tyto útoky považuje za něco, co může změnit pohled mnoha lidí v Česku na kybernetickou bezpečnost.

HN: Naučil jste se za poslední dva měsíce v osobní kyberbezpečnosti něco, co jste předtím neznal?

Nemyslím, že bych se naučil něco úplně nového, o základní kyberhygieně jsem představu měl vždycky, spíš jsem to začal brát vážněji. Na spoustu věcí, které jsem předtím nepovažoval za tak důležité, jsem si začal dávat větší pozor.

HN: Je stav kybernetické bezpečnosti ve státě lepší nebo horší, než jste čekal před svým nástupem do funkce ředitele NÚKIB a seznámil se s tím do detailu?

Já se pořád ještě s řadou věcí seznamuji. Nestavěl jsem si nějaké vzdušné zámky a bral jsem to realisticky. Byl jsem dřív u výstavby jiných organizací, třeba v armádě, a vím, co je reálné a vím, jaké to je, když s něčím začínáte. Tady je úřad, který vznikl poměrně nedávno, v roce 2017, a byl jsem velmi mile překvapen, co všechno se za tak krátkou dobu podařilo, jak velký kus práce se udělal v legislativě i ve vnitřním uspořádání a vnitřních pravidlech. Mám velký respekt vůči tomu, co moji kolegové dokázali.

HN: Útoky jsou na nemocnice jsou asi nejviditelnější případ. Lidé si všimli, že se v kyberprostoru děje něco špatného. Dalo se to předvídat?

Mě to nepřekvapuje. Je to nehezké, člověk se nad tím může pohoršit, protože společnost je slabá, závisí na zdravotnictví. Ale já jsem byl dlouho voják a příslušník speciálních sil, z profesního hlediska mě to nepřekvapuje. Když chcete útočit na systém, hledáte slabá místa, a když vidíte, že protivník má potíže, tak jich využíváte. Když vidíte, jak ve válce útočník zneužívá civilisty, úplně vás to nezaskočí, tyhle věci se prostě dějí. Tím to nechci srovnávat, ale mě prostě nezaskočí, že zlí lidé útočí.

HN: Lze něco udělat, aby se bezpečnost nemocnic nebo i jiných strategických organizací zlepšila okamžitě?

Vždycky je dobré začít dodržovat to, co máte dodržovat. Kdyby to od začátku mnozí dělali, možná by se uchránili zbytečných potíží. Když si některé z institucí, které jsou povinné to dělat za zákona, sáhnou do svědomí, asi nedělaly všechno, jak měly. Řada věcí se dá pochopit, zdravotnictví bylo pod velkým tlakem, lidé dělají chyby, ale je to něco, čím se dá začít hned.

HN: Je to tedy víc otázka lidí než technologie?

Je to kombinace. Dobrý začátek je začít dodržovat to, co se má dodržovat, a pak se můžeme dál bavit, jak to zlepšit. Pravda je, že zdravotnictví to zaskočilo. Oni jsou jako každý zaměření na svůj primární úkol, kterým je poskytování zdravotní péče. Dá se taky pochopit, že v době nějaké krize, kdy hrozí, že se pandemie vymkne z rukou, je o to větší tlak na lidi, aby chránili svůj personál a podobně. Ale bavme se o tom, co se dá dělat dál. Když instituce, kterých se týká zákon o kybernetické bezpečnosti, budou plnit, co po nich zákon a vyhláška vyžadují, do značné míry rizika minimalizují. Ti, co nejsou regulováni zákonem a vyhláškou, to minimálně mohou vzít jako doporučení, a když se jím budou řídit, nic nezkazí. My jako NÚKIB jsme se snažili pomoci. Po prvních útocích sadou opatření kolem té konkrétní situace. Nabízeli jsme s CZ.NIC (právní sdružení poskytovatelů internetových služeb - pozn. red.) například technickou pomoc, pak kurzy pro běžné uživatele i pro odborníky v nemocnicích. Nabízeli jsme i sledování zranitelnosti a hrozeb u konkrétních zařízení. Naši odborníci mají přístup do různých světových databází a možnost to namodelovat na míru, dávat pravidelně zprávy, na co se zaměřit, na co si dát pozor. Zájem byl smíšený. Nemůžeme to nikomu vnutit, pomohli jsme těm, kterým to podle zákona náleží, ale i ostatním. Nabízeli jsme skenování jejich zařízení a téměř ve všech případech byly odhaleny různé zranitelnosti v systémech, což pomohlo. Udělali jsme analýzu možných útoků ve zdravotnickém sektoru a cestou ministerstva jsme ji distribuovali.