Destabilizace firmy či ukradené know-how. To jsou možná hlavní budoucí rizika spojená s nedostatečnou kybernetickou bezpečností průmyslových firem, na která upozorňují experti. Vzhledem k postupující digitalizaci výrobních či technologických procesů a přechodu k takzvanému Průmyslu 4.0 může těchto hrozeb postupně přibývat.Varují před nimi i nejnovější průzkumy. Podle odborníků na kybernetickou bezpečnost by průmyslové firmy neměly tato rizika podceňovat a stejně jako do modernizace a inovací by měly investovat i do zabezpečení svého softwaru.

Rozvoj českého průmyslu směrem k větší digitalizaci a robotizaci může přinést i značná rizika. Zatímco hlavní pozornost se upíná především k modernizačním procesům, spíše stranou zůstává otázka bezpečnosti těchto technologických novinek. Postihnout je totiž může celá řada hrozeb, jež jsou obecně velmi podobné jako u klasických počítačů. Souvisí to se skutečností, že při postupné modernizaci začínají být stroje v průmyslových firmách napojeny na IT infrastrukturu nebo přímo k internetu. „V průmyslovém odvětví je bohužel ještě jedno velké riziko, a tím je velmi malá pozornost, která je těmto hrozbám věnována. Neméně závažným problémem je nedostatečné celkové zabezpečení i přes zvýšená rizika útoku,“ řekl odborník na kybernetickou bezpečnost Jaroslav Otcovský ze společnosti AssecoSolutions.

Podle Zdeňka Kolíbala z Ústavu výrobních strojů, systémů a robotiky Fakulty strojního inženýrství VUT v Brně je nezbytné, aby si průmyslové firmy přechod k širší digitalizaci důsledně ochránily. „Bezpečnostní nedostatky mohou vést k ohrožení know-how dané společnosti,“ dodal. Nebezpečí si jsou vědomy i samotné firmy, jak poukazuje Radek Tomaňa, vedoucí odboru procesního inženýrství koncernu ZKL, jenž se zabývá výrobou ložisek. „Krádež know-how při nedostatečném zabezpečení samozřejmě možná je. Proto se na předcházení takovýmto incidentům patřičně soustřeďujeme,“ uvedl. Podle Otcovského může nedostatečné zabezpečení digitalizovanou průmyslovou firmu značně paralyzovat. „Průmyslové zabezpečovací systémy budou kvůli nižší úrovni zabezpečení pro útočníky v budoucnu větším lákadlem. Ruku v ruce s tím půjde šíření a prodej dat získaných těmito útoky. Z toho jasně plyne, že mohou být použity právě pro konkurenci, získání know-how nebo pro přípravu jiného útoku většího rozsahu. To všechno může vést k vysokým ztrátám. Je tedy třeba neustále inovovat systémy a vzdělávat zaměstnance, kteří mají kybernetickou bezpečnost ve své pracovní náplni,“ řekl Otcovský.
Nedávný průzkum společnosti KasperskyLab odhalil, že byla v roce 2017 napadena více než třetina bezpečnostních systémů v evropských průmyslových firmách. Často se přitom jednalo o cílené útoky. Provozní technologické systémy jsou přitom mnohem zranitelnější než běžné operační systémy, což z nich dělá pro útočníky lákavý cíl. „Doposud jsme zaznamenali pouze obecně známé problémy s napadením prostřednictvím e-mailových virových infiltrací. Díky dobře vybudovanému antivirovému zabezpečení a zálohování všech strategických dat korporace jsme ale nebyli zmiňovanými útoky nijak vážně ohroženi,“ uvedl Radek Tomaňa ze ZKL. Jak ukazuje již zmíněný průzkum KasperskyLab, v budoucnu je možné čekat i sofistikovanější útoky. Například v tomto roce by podle něj mělo dojít k nárůstu krádeží dat z průmyslových informačních systémů po celé Evropě.

Řešení, jak potenciálním kybernetickým útokům čelit, je podle Otcovského hned několik. Průmyslové firmy si v první řadě musejí tato rizika připustit, být ochotné jim věnovat určitou pozornost a investovat do jejich prevence. „K tomu jim mohou pomoci také normy a standardy kybernetické bezpečnosti, ať už jde o ISO 27001, nebo třeba o IEC-62443. Ve chvíli, kdy tato rizika pochopí a budou jim rozumět, mohou aplikovat správné a konkrétní bezpečnostní prvky a je jedno, jestli jsou v rovině softwaru nebo hardwarového zařízení,“ doplnil. Souhlasí s ním i Tomaňa. „Kybernetická bezpečnost je tématem již několik let a neměla by být podceňována. Průmyslové firmy by k jejímu zajištění měly používat především důsledný monitoring systémů včetně behaviorálních metod, antivirová řešení, systémy prevence útoků od renomovaných společností a zajištění softwarové aktuálnosti systémů a aplikací.“
Dalším řešením pak může být provedení nezávislého bezpečnostního auditu. Ačkoliv se problematikou kybernetické bezpečnosti u průmyslových firem v současnosti zabývá celá řada komerčních subjektů, ať už formou seminářů, školení, či jiného způsobu osvěty, podle Otcovského by měla v této věci vzrůst především role státu. „Měl by to být právě stát, kdo vytvoří pracovní skupiny a na základě jejich doporučení se ve spolupráci s různými zájmovými sdruženími budou připravovat zákonné podklady a stanovovat různé standardy pomocí norem a jiných doporučení,“ sdělil.

Pozadu v tomto ohledu však nechtějí zůstat ani jiné instituce. Zatím poslední aktivitou ve spojení s kybernetickou bezpečností průmyslových firem byl podpis memoranda mez Masarykovou univerzitou, Vysokým učením technickým v Brně, Národním úřadem pro kybernetickou bezpečnost a Regionální hospodářskou komorou Brno, k němuž došlo 24. května. Dalším krokem v jihomoravské metropoli by mělo být následné ustavení centra kompetence, ve kterém budou kromě zmíněných institucí sdruženy také nejrůznější průmyslové firmy. Všechny subjekty by si tak z hlediska kybernetické bezpečnosti měly pomáhat a vyměňovat si vzájemně podněty.