Posúdenie kybernetického rizika produktov: Prečo je väčšina bezpečnostných analýz zdanlivo správna, no v praxi nepoužiteľná?

Vo veľkej väčšine technologických firiem už proces známy ako posúdenie kybernetického rizika existuje. Zvyčajne má podobu rozsiahlej tabuľky, zložitej matice alebo tabuľkového hárka, v ktorom dominujú hodnoty „low“, „medium“ a „high“. Tento dokument obsahuje dlhý zoznam generických hrozieb, stručné opisy potenciálnych zraniteľností a súbor štandardných kontrolných opatrení. Z formálneho hľadiska je všetko v poriadku: dokument je kompletný, podpísaný vedením a bezpečne archivovaný.

Problém je v tom, že v inžinierskej praxi tento dokument nezmení vôbec nič.

Nevplýva na architektúru navrhovaného zariadenia. Neurčuje rozhodnutie o spôsobe dodávania aktualizácií. Nemení model popredajnej podpory ani nereviduje vzťahy s dodávateľmi komponentov. Je to dokument správny z pohľadu compliance, no úplne ľahostajný k reálnemu kybernetickému bezpečiu produktov. Nie je to však dôsledok nedostatku kompetencií v inžinierskych alebo security tímoch. Ide o problém zásadne nesprávne zvoleného východiska.

Väčšina tradičných analýz rizika začína otázkou: „Aké hrozby môžu nastať?“. Nový regulačný prístup Európskej únie – jasne viditeľný v aktoch ako Cyber Resilience Act (CRA), medicínskych smerniciach (MDR) či novom nariadení o strojových zariadeniach 2023/1230 – si vynucuje úplne inú perspektívu. Tá sa začína otázkou:

Za akých podmienok používania sa produkt môže stať nositeľom rizika pre používateľa, systém alebo trh – a či je výrobca schopný toto riziko kontrolovať počas celého životného cyklu?

Je to zásadná zmena paradigmy. Posúdenie kybernetického rizika v kontexte produktu nie je len ďalšou analýzou hrozieb IT infraštruktúry. Nie je to ani penetračný test, ani mechanické zavedenie odporúčaní normy ISO 27001. Ide o hĺbkovú analýzu schopnosti samotného produktu aj jeho výrobcu udržiavať bezpečnosť v čase, v reálnom prevádzkovom prostredí.

Technická zraniteľnosť a riziko produktu – rozlíšenie v kybernetickej bezpečnosti

Aby posúdenie rizika prestalo byť len úradníckou tabuľkou a stalo sa inžinierskym rozhodovacím nástrojom, musíme presne oddeliť dva pojmy, ktoré sa na trhu často zamieňajú. Pamätajme: zraniteľnosť sa nerovná riziku produktu.

• Technická zraniteľnosť je konkrétna, identifikovateľná chyba v softvéri, hardvérovej konfigurácii alebo v samotnom návrhu. Môže ísť o nesprávnu validáciu dát, zastaranú programátorskú knižnicu alebo medzeru v mechanizme autentifikácie. Takéto chyby sa evidujú v databázach, ako je systém CVE (Common Vulnerabilities and Exposures). Stále je to však hodnotenie výlučne na technickej úrovni.
• Riziko produktu sa objaví až vtedy, keď sa spomenutá zraniteľnosť (alebo dokonca jej dočasná absencia) zasadí do neľútostnej reality používania.

Tento kontext zahŕňa viacero premenných: pracovné prostredie (otvorená alebo izolovaná sieť), spôsob integrácie s inými systémami, správanie používateľov, dostupnosť bezpečnostných aktualizácií (tzv. patch management) a organizačnú schopnosť výrobcu reagovať na incidenty.

Produkt nemusí mať v deň uvedenia na trh žiadne známe zraniteľnosti, a napriek tomu môže vytvárať kritické riziko, ak jeho výrobca nemá procesy dlhodobej podpory. Pochopenie tohto rozdielu usporiada celú inžiniersku prácu. Práve na tom stojí prístup založený na riziku (risk-based approach). Bezpečnostné opatrenia musia byť primerané predvídateľným scenárom zneužitia, nie abstraktnému zoznamu z internetu.

Paradox zabezpečení: Kedy ochrana zvyšuje riziko v IT a OT

Pri návrhu kybernetickej bezpečnosti sa často predpokladá, že pridanie nového „zámku“ vždy zníži riziko. Prax ukazuje, že to môže byť presne naopak. Opatrenie zavedené bez pochopenia kontextu vytvára nové vektory hrozieb.

1. Silná autentifikácia v priemyselnom prostredí (OT)

Predstavme si zavedenie viacfaktorovej autentifikácie (MFA) do priemyselného stroja. Z pohľadu IT je to ukážkový krok, no kybernetická bezpečnosť v priemyselnej automatizácii je úplne iná realita. Vo výrobnom prostredí zariadenie pracuje 24/7 a servisné zásahy prebiehajú pod časovým tlakom. Keď zlyhá sieť, technik nedokáže autorizovať token online. Výroba stojí. Výsledok? Frustrovaný zákazník tento mechanizmus natrvalo vypne a zabezpečenie úplne obíde. Opatrenie, ktoré malo chrániť, vytvorilo obrovské prevádzkové riziko.

2. Automatické aktualizácie v zdravotníckych zariadeniach (IoMT)

Rýchle záplatovanie zraniteľností minimalizuje vystavenie útokom, čo je v IT štandard. Vo svete zdravotníckych zariadení však vynútená aktualizácia počas prebiehajúceho zákroku môže zmeniť správanie systému alebo narušiť komunikáciu s nemocničnou sieťou. V takom prípade technologická ochrana vytvára kritické klinické a regulačné riziko (porušenie certifikácie MDR).

3. Uzatváranie rozhraní v spotrebnej technike (IoT)

Výrobca fyzicky odstráni z inteligentného zariadenia pre domácnosť lokálne diagnostické porty, aby útočníkom sťažil prístup. V praxi potom autorizované servisy začnú poruchy diagnostikovať cez nestabilné rozhrania bez šifrovania a pokročilí používatelia vo veľkom inštalujú upravený softvér (custom firmware). Výsledkom je úplná strata kontroly výrobcu nad vlastným ekosystémom.

Skutočná analýza kybernetického rizika sa pýta: „Ako sa po pridaní tohto konkrétneho mechanizmu zmení stabilita, použiteľnosť a bezpečnosť celého ekosystému?“.

5 najčastejších chýb v analýze rizika technologických produktov

Pri hodnotení procesov vo firmách, ktoré uvádzajú na trh elektroniku a softvér, odborníci na kybernetickú bezpečnosť vidia opakujúce sa vzorce.

1. Prenášanie korporátneho IT modelu do sveta produktov. Produkt nie je serverovňa. Funguje v neznámom prostredí, často offline, nastavujú ho laici. Používanie IT nástrojov na analýzu produktu končí ignorovaním kľúčových problémov: životného cyklu zariadenia a nemožnosti vynútiť aktualizácie.
2. Analýza abstraktných hrozieb namiesto reálnych scenárov. Vypĺňanie tabuliek frázami typu „neautorizovaný prístup“ je analyticky nepoužiteľné. Analýza musí stáť na konkrétnostiach: Kto? Cez aké rozhranie? Za akým účelom? S akým dôsledkom?
3. Ignorovanie životného cyklu produktu (End-of-Life). Analýza rizika sa zvyčajne týka momentu uvedenia na trh. Riziko však časom rastie – open-source knižnice starnú a dodávatelia komponentov ukončujú podporu. Bez zohľadnenia modelu údržby je analýza nepravdivá.
4. Izolácia od projektového tímu (R&D). Brať hodnotenie rizika ako kontrolný zoznam pred auditom je priama cesta ku katastrofe. Výstupy sa musia vracať k inžinierom ako tvrdé architektonické požiadavky (Secure by Design).
5. Fetišizácia technológie na úkor postupov. Firmy investujú obrovské sumy do pokročilej kryptografie, no nevedia, kto je vo firme zodpovedný za vydanie bezpečnostnej opravy (patch) po nahlásení zraniteľnosti výskumníkom (Vulnerability Disclosure Program).

Ako vykonať analýzu v súlade s Cyber Resilience Act? 7 inžinierskych krokov

Hodnotenie kybernetického rizika musí prestať byť byrokratickou záťažou. Nižšie je uvedený trhový operačný model v súlade s prístupom EÚ (vrátane požiadaviek CRA).

1. Definuj hranice produktu. Produkt nie je len hardvér. Je to aj mobilná aplikácia, cloud, OTA servery a API rozhrania.
2. Opíš neúprosnú realitu prostredia používania. Nepopisuj laboratórne prostredie. Odpovedz na otázky o skutočnej konektivite na internet, kompetenciách používateľov a možnostiach fyzického prístupu k zariadeniu.
3. Identifikuj scenáre zneužitia (Threat Modeling). Odmietni generické zoznamy. Využi overené inžinierske metódy a nástroje odhadu rizika, aby si sa zameral na presné vektory útokov prispôsobené tvojmu odvetviu.
4. Kvantifikuj nefinančné dôsledky. Posúď riziko odstávky výroby, ohrozenia zdravia alebo porušenia regulačných povinností.
5. Polož otázku kontroly. Dokážeš ako výrobca predísť, odhaliť a rýchlo zareagovať na identifikovaný scenár zneužitia?
6. Navrhni primerané ochranné mechanizmy. Rozhodnutia o šifrovaní či segmentácii siete musia priamo vyplývať z odpovedí z predchádzajúcich krokov.
7. Navrhni proces údržby (Lifecycle). Zdokumentuj politiku dodávania bezpečnostných záplat, obdobie podpory a komunikačné kanály so zákazníkom.

Zhrnutie: Čo má zostať po poctivom hodnotení rizika?

Vyústením správneho hodnotenia kybernetického rizika produktu by nikdy nemal byť textom prehustený „poemat“ pre audítora. Z tejto práce musia vzniknúť hmatateľné artefakty: jasná mapa hraníc systému, tvrdé architektonické rozhodnutia v R&D, schválený rozpočet na politiku aktualizácií a konzistentná auditná stopa preukazujúca súlad s európskymi smernicami.

Technologicky vyspelá organizácia sa už nepýta: „Sme na 100 % bezpeční?“. Namiesto toho sa pýta: „Kde presne sme zraniteľní a vieme to v čase riadiť?“.

Je váš produkt pripravený na nové regulácie?

Bezpečnosť je proces, nie jednorazový certifikát. Ak nechceš, aby bolo hodnotenie rizík vo vašej firme len „papierovanie“, oplatí sa konať proaktívne. Pozri si, ako produkt reálne pripraviť na Cyber Resilience Act (CRA) v rokoch 2026 – 2027 ešte predtým, než sa objavia oficiálne harmonizované normy.