Shrnutí na Úvod do kybernetické bezpečnosti

## Úvod Kybernetická bezpečnost je disciplína věnující se ochraně počítačových sítí, systémů a digitálních služeb před hrozbami, které ohrožují důvěrnost, integritu a dostupnost informací. Tento materiál shrnuje klíčové pojmy, rozdíl mezi událostí a incidentem, právní rámec v ČR, relevantní normy a hlavní instituce, které ovlivňují kybernetickou bezpečnost. > **Definice:** Kybernetická bezpečnost se zaměřuje na ochranu kyberprostoru, informačních a komunikačních systémů, sítí a digitálních služeb. ## 1) Kybernetická bezpečnostní událost a incident ### Kybernetická bezpečnostní událost > **Definice:** Kybernetická bezpečnostní událost je zaznamenaný jev v systému, který může, ale nemusí znamenat skutečné narušení bezpečnosti. - Událost je často podezřelá aktivita nebo anomálie, která vyžaduje vyhodnocení. - Příklad: Neúspěšný pokus o přihlášení z neznámé IP adresy. ### Kybernetický bezpečnostní incident > **Definice:** Kybernetický bezpečnostní incident je událost, která skutečně narušuje nebo ohrožuje bezpečnost informací, systémů nebo služeb. - Incident může narušit: - **důvěrnost** (např. únik osobních údajů), - **integritu** (např. pozměnění dat), - **dostupnost** (např. DDoS útok). - Příklady incidentů: ransomware útok, úspěšný phishing, únik dat, DDoS, neoprávněný přístup. ### Porovnání: událost vs. incident | Kritérium | Kybernetická událost | Kybernetický incident | |---|---:|---:| | Význam | Podezřelá nebo zaznamenaná aktivita | Skutečné narušení nebo ohrožení bezpečnosti | | Nutnost reakce | Vyšetření a vyhodnocení | Okamžitá reakce, mitigace a oznamování | | Příklad | Neúspěšné přihlášení | Úspěšné prolomení účtu | V praxi: nejprve detekujete událost, pak posoudíte, zda jde o incident a jakou reakci nasadíte. ## 2) Právní předpisy v České republice > **Definice:** Právní rámec vymezuje povinnosti subjektů a odpovědnosti při zajišťování kybernetické bezpečnosti. - Zákon č. 264/2025 Sb., o kybernetické bezpečnosti - Hlavní aktuální zákon od 1. listopadu 2025, nahrazuje zákon č. 181/2014 Sb. - Transpozice evropské směrnice NIS2, rozšiřuje regulaci, zvyšuje odpovědnost vedení a povinnost hlášení incidentů. - Zákon č. 181/2014 Sb., o kybernetické bezpečnosti - Dřívější právní rámec, v materiálu zmíněn pro historický kontext; byl nahrazen zákonem č. 264/2025 Sb. - Vyhláška č. 82/2018 Sb. - Prováděcí předpis k původnímu zákonu; upravovala řízení rizik, bezpečnostní opatření, dokumentaci a audity. - GDPR – nařízení EU 2016/679 - Rámec ochrany osobních údajů; v kybernetické bezpečnosti důležité pro oznamování porušení ochrany osobních údajů a zavedení technických a organizačních opatření. - Zákon č. 110/2019 Sb., o zpracování osobních údajů - Doplňuje GDPR v českém právním prostředí. - Zákon č. 480/2004 Sb., o některých službách informační společnosti - Upravuje elektronickou komunikaci, obchodní sdělení a odpovědnost poskytovatelů služeb. - Směrnice NIS2 - Evropská směrnice, kterou nově implementuje zákon č. 264/2025 Sb.; rozšiřuje okruh regulovaných subjektů a povinnosti. Věděli jste, že nový zákon č. 264/2025 Sb. zvyšuje odpovědnost vedení organizací za řízení kybernetických rizik a zavádí přísnější povinnosti hlášení incidentů? ## 3) Související normy > **Definice:** Normy ISO/IEC poskytují osvědčené postupy pro zavedení prostředků a systémů řízení kybernetické bezpečnosti. - ISO/IEC 27001 - Požadavky na systém řízení bezpečnosti informací (ISMS); umožňuje certifikaci organizace. - ISO/IEC 27002 - Doporučená bezpečnostní opatření (řízení přístupů, provozní bezpečnost, kryptografie apod.). - ISO/IEC 27005 - Řízení rizik informační bezpečnosti: identifikace, analýza, hodnocení a ošetření rizik. Krátké přirovnání: | Norma | Hlavní účel | |---|---| | ISO/IEC 27001 | Jak zavést a spravovat ISMS | | ISO/IEC 27002 | Doporučená technická a organizační opatření | | ISO/IEC 27005 | Metody a postupy pro řízení rizik | Fun fact: Implementací ISO/IEC 27001 se organizace často lépe připraví