Najväčšie bezpečnostné riziko nemusí byť vo vašej firme: dodávateľské reťazce a postkvantová kryptografia menia pravidlá ochrany kritickej infraštruktúry
Ešte donedávna sa bezpečnosť kritickej infraštruktúry spájala najmä s ochranou fyzických objektov, energetických zdrojov či štátnych systémov. Dnes však čoraz jasnejšie vidíme, že skutočná zraniteľnosť sa často nachádza mimo samotnej organizácie: v jej dodávateľských reťazcoch, technologických partneroch a externých službách.
Moderná kritická infraštruktúra už nie je tvorená izolovanými subjektmi. Ide o prepojený ekosystém, v ktorom sú energetické spoločnosti závislé od cloudových riešení, nemocnice od IT dodávateľov a telekomunikačných operátorov, banky od softvérových platforiem a priemyselné podniky od logistických a dátových služieb.
Z toho vyplýva zásadný fakt: bezpečnosť každej organizácie je dnes len taká silná, ako je silný jej najslabší partner v reťazci.
Dodávateľský reťazec ako najrýchlejšie rastúci vektor útokov na kritickú infraštruktúru
Útoky prostredníctvom dodávateľských reťazcov patria medzi najvýraznejšie trendy v oblasti kybernetických hrozieb. Útočníci čoraz častejšie neútočia priamo na cieľovú organizáciu, ale využívajú slabšie zabezpečených dodávateľov ako vstupnú bránu. V praxi môže ísť o jedinú kompromitovanú aktualizáciu softvéru, zneužitý vzdialený prístup alebo nedostatočne zabezpečené integračné rozhranie. Dôsledkom však nemusí byť incident jednej firmy, ale kaskádový efekt naprieč celým sektorom.
Pre mnohé spoločnosti je zásadným zistením, že aj keď formálne nespadajú pod reguláciu kritickej infraštruktúry, môžu byť jej neoddeliteľnou súčasťou, a tým aj súčasťou jej rizikového profilu.
„Bezpečnosť už nie je individuálnou vlastnosťou jednej organizácie, ale spoločnou vlastnosťou celého ekosystému partnerov a dodávateľov,“ upozorňuje prezident Asociácie kritickej infraštruktúry Slovenskej republiky Tibor Straka.
Postkvantová kryptografia: výzva nasledujúcej dekády
Do tejto dynamiky vstupuje ďalšia zásadná, no stále málo diskutovaná téma: nástup kvantových technológií a potreba prechodu na postkvantovú kryptografiu.
Hoci sa kvantové počítače zatiaľ nenachádzajú v masovom komerčnom nasadení, odborná komunita dlhodobo upozorňuje na strategické riziko, ktoré už dnes vzniká v oblasti ochrany dát. Fenomén známy ako „harvest now, decrypt later“ znamená, že zašifrované dáta sa môžu zhromažďovať už dnes s cieľom ich budúceho dešifrovania po dosiahnutí dostatočného výkonu kvantových systémov.
To zásadne mení pohľad na dlhodobú dôvernosť informácií. Citlivé zmluvy, technická dokumentácia, strategická komunikácia či prevádzkové dáta infraštruktúrnych systémov môžu byť ohrozené s časovým oneskorením, ktoré si dnes mnohé organizácie nepripúšťajú. Postkvantová kryptografia preto nie je akademickou témou budúcnosti, ale postupne sa stáva súčasťou reálnych bezpečnostných stratégií štátov aj technologických lídrov. Ide o tému, ktorej význam bude v najbližších rokoch výrazne narastať, a ktorá si preto vyžaduje systematickú pozornosť už dnes.
Od individuálnej bezpečnosti k spoločnej odolnosti
Rastúca prepojenosť hrozieb ukazuje, že odolnosť kritickej infraštruktúry už nemožno vnímať izolovane. Riziká sa neobmedzujú na jednotlivé organizácie, ale prirodzene sa šíria naprieč dodávateľskými, technologickými a prevádzkovými väzbami. Tento vývoj mení samotnú povahu bezpečnosti: z interného manažmentu rizík sa stáva otázka prepojenia a závislostí medzi jednotlivými aktérmi kritickej infraštruktúry.
„Kritická infraštruktúra je prepojený systém, či sa nám to páči alebo nie. Jediné slabé miesto môže zasiahnuť inú časť systému, pričom dôsledky môžu byť zásadné,“ dodáva Tibor Straka, prezident Asociácie kritickej infraštruktúry Slovenskej republiky.
Spolupráca v ekosystéme kritickej infraštruktúry
V tomto kontexte sa na Slovensku formuje potreba koordinovaného prístupu k budovaniu odolnosti kritickej infraštruktúry s prepojením odborných, technologických a bezpečnostných kapacít. Túto úlohu zastrešuje Asociácia kritickej infraštruktúry Slovenskej republiky, ktorá poskytuje nielen expertné zázemie, ale aj praktický priestor pre riešenie reálnych výziev, ktoré vznikajú na priesečníku technológií, bezpečnosti a prevádzky kritických systémov.
V čase, keď sa riziká presúvajú naprieč dodávateľskými reťazcami a technologické zmeny, ako nástup postkvantovej kryptografie menia základné predpoklady digitálnej bezpečnosti, sa význam koordinovaného prístupu k ochrane kritickej infraštruktúry prirodzene zvyšuje. Venujme tomu pozornosť. Týka sa to nás všetkých.
