Z výsledků průzkumu je patrné, že připravenost firem na kybernetické incidenty je velmi nerovnoměrná a ve značné části spíše nedostatečná. Pouze menšina respondentů má skutečně systematicky uchopený krizový scénář, který by byl formálně definovaný a pravidelně aktualizovaný. 

Plně připravený a aktualizovaný plán deklaruje jen 17 % respondentů.

 „Tato skupina představuje firmy, které kybernetickou bezpečnost vnímají jako kontinuální proces a jsou si vědomy dynamicky se vyvíjejících hrozeb, nebo již mají vlastní negativní zkušenosti s cílenými útoky,“ 

přibližuje Petr Hlavatý, senior konzultant HPCG, který se v rámci své expertízy soustředí i na IT sektor. To potvrzuje častý jev, že ke skutečně důslednému řešení kybernetické bezpečnosti firmy často přistupují až po prodělaném incidentu, nikoli preventivně. 

Nebezpečná víra ve „zdravý rozum“ 

Naopak významná část respondentů (36 %) přiznává, že má pouze základní postupy, které nejsou formálně sepsané. „To představuje riziko zejména v krizové situaci, kdy je nutné jednat rychle, koordinovaně a bez nejasností ohledně odpovědností a kontaktních osob,“ vysvětluje Hlavatý. Podle jeho slov absence dokumentovaného plánu může vést ke zmatku, prodlevám a vyšším škodám. Některé z odpovědí naznačují dílčí nebo zjednodušené vnímání problematiky – spoléhání se toliko na pravidelné zálohování dat, na IT podporu, která by případný incident řešila, nebo dokonce přesvědčení, že „stačí používat zdravý rozum“. Tyto postoje ukazují na podcenění komplexnosti kybernetických incidentů, které zpravidla vyžadují nejen technickou, ale i organizační, právní a komunikační reakci. 

Největší podíl (47 %) firem uvedl, že nemá žádný plán ani scénář reakce na kyberútok. „Tento výsledek je znepokojivý, protože ukazuje, že téměř polovina organizací je na potenciální kybernetické hrozby prakticky nepřipravená,“ komentuje Petr Hlavatý a dodává: „V kontextu rostoucí frekvence a sofistikovanosti útoků to znamená vysoké provozní, finanční i reputační riziko.“ 

Rostoucí hrozby, pomalá reakce firem 

Dobrou zprávou v tomto ohledu snad může být, že 13 % respondentů z poslední skupiny uvádí, že na plánu aktuálně pracují nebo o jeho zavedení alespoň uvažují. Tato skupina signalizuje rostoucí povědomí o problému, nicméně stále se nachází ve fázi přechodu mezi uvědoměním si rizika a jeho praktickým řešením. 

„Celkově výsledky naznačují, že většina firem buď nemá krizový scénář vůbec, nebo jej má v nedostatečné a neformalizované podobě,“ dodává Hlavatý, podle nějž to poukazuje na významnou mezeru v oblasti řízení kybernetických rizik a potřebu systematičtější osvěty, metodické podpory a tlaku na preventivní přístup ke kybernetické bezpečnosti, zejména u malých a středních podniků.

“Z naší poradenské zkušenosti vyplývá, že obecně čím je firma větší, tím spíše se danou problematikou zaobírá. Obecně platí, že segment SME danou problematiku poměrně podceňuje a odpovědné osoby, obvykle statutáři, resp. majitelé, věří, že firem jejich velikosti se kyberútoky netýkají a v ohrožení jsou jen velké firmy. Částečně mají pravdu, kdy cílené útoky jsou mířeny na velké hráče, jako jsou banky, e-shopy atp., na druhou stranu si neuvědomují, že se mohou snadno stát obětí plošných phishingových útoků a dalších necílených neetických praktik. Z české historie jsou známy případy, kdy firmy přišly o milionové částky, což zejména u menších podniků hraničí s insolvencí. V případě úspěšného ransomware útoku, kdy není jasný plán obnovy a hlavně potřebné zálohy, může pro danou firmu jít v extrémním případě doslova o likvidační dopad,” uzavírá Hlavatý.