Proč samotné technologie nestačí?

Firmy investují do firewallů, antivirových řešení, kamerových systémů, elektronické kontroly vstupu nebo zabezpečení firemních zařízení. Ani kvalitně navržená technická ochrana však nedokáže odstranit jeden z nejdůležitějších faktorů firemní bezpečnosti člověka.

Útočník totiž nemusí vždy hledat složitou technickou zranitelnost. Někdy je jednodušší přesvědčit zaměstnance, aby mu potřebnou informaci nebo přístup poskytl sám.

Právě na tomto principu funguje sociální inženýrství. Útočník využívá důvěru, autoritu, časový tlak, zvědavost nebo nepozornost a snaží se přimět konkrétní osobu k jednání, které by za běžných okolností neudělala.

A nemusí jít pouze o podvodný e-mail.

Člověk zůstává významnou součástí bezpečnostních incidentů

Podle zprávy Verizon Data Breach Investigations Report 2025 byl lidský faktor přítomen přibližně u 60 % analyzovaných narušení bezpečnosti. Do této kategorie spadá například sociální inženýrství, zneužití přihlašovacích údajů, chyby uživatelů nebo interakce s malwarem.

Evropská agentura ENISA zároveň dlouhodobě upozorňuje na význam sociálního inženýrství. Jeho principem je přimět oběť k prozrazení informace nebo provedení určitého úkonu, který je výhodný pro útočníka.

Technologie jsou proto pouze jednou částí ochrany.

Bezpečnostní systém může být velmi dobře navržený. Pokud však zaměstnanec nevědomky umožní jeho obejití, jeho účinnost se výrazně snižuje.

Útočník nemusí působit podezřele

Představa útočníka jako anonymního člověka sedícího před několika monitory je poměrně vzdálená tomu, jak může skutečný útok vypadat.

Útočníkem může být člověk, který zavolá na recepci a představí se jako pracovník IT podpory.

Může poslat zaměstnanci e-mail, který na první pohled vypadá jako zpráva od nadřízeného.

Může tvrdit, že potřebuje okamžitě změnit přístupové údaje, zaplatit fakturu nebo otevřít přiložený dokument.

Stejně tak ale může jednoduše přijít osobně.

Například jako servisní technik, kurýr, nový zaměstnanec nebo pracovník externí společnosti.

Pokud působí sebejistě, zná několik jmen zaměstnanců a má základní informace o fungování společnosti, může být jeho přítomnost pro okolí překvapivě důvěryhodná.

Sociální inženýrství nezačíná u technologií

Pro přípravu útoku přitom nemusí být nutné proniknout do jediného firemního systému.

Mnoho informací lze získat z veřejně dostupných zdrojů.

Webové stránky společnosti, sociální sítě nebo profesní profily mohou například napovědět:

• kdo společnost vede,
• kdo pracuje na konkrétním oddělení,
• jaká je organizační struktura,
• s jakými společnostmi firma spolupracuje,
• kdo je právě na služební cestě nebo dovolené,
• jak vypadají kanceláře,
• jaké technologie zaměstnanci používají.

Jednotlivá informace sama o sobě nemusí představovat zásadní problém. V kombinaci s dalšími informacemi však může útočníkovi pomoci vytvořit velmi přesvědčivý scénář.

Telefonát typu:

„Dobrý den, tady technická podpora. Řešíme problém s vaším účtem a potřebujeme ověřit…“

působí jinak, pokud volající zná jméno zaměstnance, jeho pracovní pozici, nadřízeného a používaný systém.

Phishing už dávno není jen špatně napsaný e-mail

Phishing patří mezi nejznámější formy sociálního inženýrství, ale jeho podoba se neustále mění.

Vedle klasického e-mailového phishingu existuje například cílený spear phishing zaměřený na konkrétní osobu, smishing využívající SMS zprávy, vishing prostřednictvím telefonních hovorů nebo útoky zaměřené přímo na vedení společnosti.

Útočníci navíc mohou využívat generativní umělou inteligenci k tvorbě přesvědčivější komunikace. Gramatické chyby nebo zvláštní formulace, které dříve pomáhaly podvodné zprávy rozpoznat, proto nelze považovat za spolehlivý varovný signál.

O to důležitější je naučit zaměstnance neposuzovat pouze vzhled zprávy, ale především její kontext.

Je požadavek běžný? Odpovídá interním postupům? Proč je požadováno okamžité jednání? Je možné požadavek ověřit jiným komunikačním kanálem?

Riziko nekončí u počítače

Bezpečnost zaměstnanců se často redukuje pouze na phishing, hesla a podezřelé přílohy.

Stejné principy ale fungují také ve fyzickém prostředí.

Typickým příkladem je takzvaný tailgating, kdy neoprávněná osoba projde do zabezpečeného prostoru společně s oprávněným zaměstnancem.

Stačí jednoduchá situace.

Zaměstnanec otevře dveře přístupovou kartou. Za ním přichází člověk s krabicí v rukou. Zaměstnanec ze slušnosti dveře přidrží.

Technický přístupový systém fungoval správně.

Přesto se dovnitř dostala osoba, která vlastní oprávnění neměla.

Podobných situací může vznikat celá řada – od nezamčených kanceláří přes ponechané přístupové karty až po návštěvníky pohybující se bez doprovodu v prostorách společnosti.

Citlivé informace nemusí být pouze v počítači

Informace mohou firmu opustit také mnohem jednodušší cestou.

Dokument ponechaný na pracovním stole.

Fotografie kanceláře zveřejněná na sociální síti.

Citlivý telefonní rozhovor vedený ve veřejném prostoru.

Odemčený notebook během krátkého odchodu zaměstnance.

Firemní dokumenty vyhozené bez odpovídající likvidace.

Návštěvník, který zůstane několik minut bez doprovodu.

Každá z těchto situací může působit banálně. Z pohledu ochrany informací však může představovat skutečné riziko.

Jednorázové školení nestačí

Bezpečnostní školení bývá v některých organizacích vnímáno jako povinnost, kterou je potřeba jednou ročně splnit.

Zaměstnanec absolvuje prezentaci, odpoví na několik otázek a vrátí se ke své práci.

Takový přístup ale nemusí vést ke skutečné změně chování.

ENISA ve svých doporučeních upozorňuje, že efektivnější než pouhé opakování informací o hrozbách může být rozvoj konkrétních schopností zaměstnanců a vytváření podmínek, které jim bezpečné chování usnadňují.

Cílem školení by proto nemělo být naučit zaměstnance bezpečnostní poučky. Cílem je naučit je rozpoznat situaci, kdy se někdo snaží jejich důvěru nebo oprávnění zneužít.

Teorie je důležitá. Reálná situace ukáže více.

Jednou z možností, jak úroveň připravenosti společnosti ověřit, jsou kontrolované bezpečnostní simulace.

Může jít například o simulovaný phishingový e-mail, telefonát založený na sociálním inženýrství nebo test reakce zaměstnanců na neoprávněnou osobu pohybující se ve firemních prostorách.

Smyslem podobných testů není zaměstnance nachytat nebo trestat.

Jejich cílem je zjistit, zda nastavené bezpečnostní procesy fungují také v praxi.

Dokáže zaměstnanec podezřelou situaci rozpoznat?

Ví, komu ji oznámit?

Existuje jednoduchý způsob, jak incident nahlásit?

A především – reaguje následně také samotná organizace?

Právě realistické scénáře mohou odhalit rozdíl mezi bezpečností popsanou v interních předpisech a bezpečností, která skutečně funguje.

Bezpečnostní kultura je důležitější než strach z chyby

Zaměstnanec, který klikne na podezřelý odkaz a bojí se svou chybu oznámit, může představovat větší riziko než zaměstnanec, který stejnou chybu okamžitě nahlásí.

Rychlá reakce totiž může výrazně omezit následky incidentu.

Proto by zaměstnanci měli přesně vědět, kam se obrátit a co udělat, pokud mají podezření, že se něco stalo.

Důležitá je také firemní kultura, ve které oznámení vlastní chyby automaticky neznamená hledání viníka. Takový přístup doporučuje například americká agentura CISA, která zdůrazňuje význam prostředí podporujícího rychlé hlášení podezřelých událostí.

Bezpečnost není úkolem jednoho oddělení

Za bezpečnost společnosti nemůže odpovídat pouze IT oddělení, bezpečnostní pracovník nebo vedení.

Každý zaměstnanec má určitý přístup – k informacím, prostorám, systémům nebo lidem.

A právě tento přístup může být pro útočníka zajímavý.

Recepční může rozhodovat o vstupu návštěvníka.

Účetní může pracovat s platbami a fakturami.

Asistent vedení může mít přístup ke kalendářům a interní komunikaci.

IT pracovník disponuje privilegovanými účty.

Management má přístup k nejcitlivějším informacím společnosti.

Proto nedává smysl školit všechny zaměstnance úplně stejně. Bezpečnostní příprava by měla odpovídat jejich roli, oprávněním a rizikům, se kterými se při své práci skutečně setkávají.

Technologie, procesy a lidé musí fungovat společně

Smyslem bezpečnostních opatření není vytvořit prostředí, ve kterém zaměstnanci každému nedůvěřují.

Cílem je vytvořit prostředí, ve kterém vědí, kdy zbystřit a jak správně reagovat.

Dobře nastavená ochrana proto kombinuje technická opatření, fyzické zabezpečení, jasné interní procesy a připravené zaměstnance.

Jedna vrstva může zachytit chybu druhé.

Firewall může zastavit část škodlivé komunikace. Vícefaktorové ověřování může snížit dopad odcizeného hesla. Přístupový systém může omezit pohyb neoprávněných osob. Zaměstnanec může rozpoznat podezřelý požadavek ještě předtím, než některý z těchto systémů musí zasáhnout.

Skutečná bezpečnost proto nevzniká nákupem jednoho produktu. Vzniká propojením technologií, procesů, fyzického prostředí a lidí, kteří s nimi každý den pracují.

Zdroje

Verizon - 2025 Data Breach Investigations Report (DBIR)
Analýza více než 22 000 bezpečnostních incidentů a 12 195 potvrzených narušení dat. Zpráva se věnuje mimo jiné lidskému faktoru, sociálnímu inženýrství, zneužití přihlašovacích údajů a phishingu.

ENISA - Behavioural aspects of cybersecurity
Materiál Evropské agentury pro kybernetickou bezpečnost zaměřený na lidské chování, efektivitu bezpečnostního vzdělávání a vytváření podmínek podporujících bezpečné jednání zaměstnanců.

ENISA - Threat Landscape 2024
Přehled kybernetických hrozeb včetně sociálního inženýrství, phishingu, spear phishingu a dalších způsobů manipulace uživatelů.

ENISA - Awareness and Cyber Hygiene / Cybersecurity Culture
Doporučení zaměřená na zvyšování bezpečnostního povědomí, změnu chování a budování dlouhodobé bezpečnostní kultury v organizacích.

CISA - Four Cybersecurity Essentials
Doporučení americké Cybersecurity and Infrastructure Security Agency zahrnující pravidelné a realistické phishingové simulace, vzdělávání zaměstnanců a podporu kultury, ve které mohou zaměstnanci bezpečnostní incidenty rychle hlásit.

‍