Dobrá zpráva je, že ajťáci z ministerstev spolu kamarádí

Zprávy Nejvyššího kontrolního úřadu (NKÚ) nebudou nikdy patřit mezi novinářský artikl, který by atakoval vrcholné příčky čtenosti - byť ve zjednodušené mediální podobě. Bývají komplikované, úzkostlivě seriózní a nepadají v nich konkrétní jména politiků nebo jiných celebrit, které jsou v podezření, že něco ukradly.

Jména nepadají, ani když NKÚ poukáže na mnohamiliardové škody způsobené podezřelými, možná i zločinnými aktivitami ministerstev nebo jiných státních institucí. Není tedy divu, že větší pozornost nevzbudil ni v pondělí zveřejněný nález NKÚ, který zlodějnu ani nenaznačuje. Říká „jen“, že se v Česku velmi vážně podceňuje kybernetická bezpečnost. A že je to velký problém do budoucna.

Nález NKÚ laikovi vskutku moc neprozradí. Co si představit pod názvem Akční plán Národní strategie kybernetické bezpečnosti ČR? Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) na něm v řadě případů v posledních pěti letech spolupracoval s ministerstvem vnitra a moc jim ta spolupráce nešla - konstatuje NKÚ.

Neexistovala žádná formální platforma pro jejich spolupráci nebo pro spolupráci NÚKIB s jinými státními instituce. Pokud instituce na kybernetické bezpečnosti spolupracovaly, tak jen proto, že mezi zainteresovanými experty jednotlivých úřadů jsou dobré vztahy. Dobrá, ale co dál?

NKÚ zjistil, že tuzemská ministerstva neměla moc ponětí, kolik do kybernetické bezpečnosti vlastně investují. Teprve čtyři (!) dotazníky NÚKIB odhalily loni, že česká ministerstva investovala do bezpečnosti svých sítí, serverů a počítačů za posledních pět let celkem 2,8 miliardy korun. Že neexistovala prakticky žádná kooperace jednotlivých ministerstev v budování komunikačních sítí. A že řada ministerstev má tak mizerné zabezpečení, že – řečeno s nadsázkou – není problém, aby jejich sítě administrovali bez povšimnutí ruští, čínští nebo třeba kazašští hackeři. To už působí trochu zlověstněji.

Když to ještě zjednodušíme, zmíněné dva odstavce říkají zhruba tolik. Společná ochrana citlivých sítí úřadů, které řídí chod státu, a tedy do jisté míry i naše životy, stojí na tom, že ajťáci a vývojáři se spolu kamarádí. Když je nejhůř, hackeři útočí třeba na počítače ministerstva průmyslu a stahují z něj data o ochraně jaderných elektráren, dozví se to ministerstvo obrany jen proto, že se jejich ajťáci znají a těmi z ministerstva průmyslu. Zase nadsázka, ale systém tak v podstatě funguje.

Necelé tři miliardy korun, které investoval stát v posledních pěti letech do ochrany svých strategických ministerských sítí, je neskutečně směšná suma. Ekonomika, věda, komunikace, zábava, zabezpečení přehrad, vlastně skoro vše, na co si vzpomeneme, se přesunulo na sítě – a pandemie to urychlila. Není to úplně férové srovnání. Ale porovnejme ty tři miliardy s 250 miliardami, které šly za tu samou dobu do investic na vojenskou obranu (a to jsme kritizováni NATO, jak málo dáváme). Jistě, obrana kybernetických sítí nejsou jen investice do bezpečnosti její „ministerské“ části. Ale armáda také zdaleka neodpovídá za komplet bezpečnost této země.

NÚKIB dokázal přesto udělat pro ochranu země hodně, a to za necelou miliardu korun, kterou podle NKÚ zatím stát do úřadu investoval ve formě rozpočtu od jeho vzniku v roce 2017. Tady je na místě pochvala. Tedy ne rozpočtu, ale práce NÚKIB. A je dobré připomenout i zdánlivou drobnost.

Jen čínská technologická společnost Huawei slíbila veřejně během toho samého období investovat do svého českého rozvoje osm miliard korun – tedy osmkrát víc, než je rozpočet NÚKIB, a dvakrát víc, když k tomu rozpočtu připočítáme státní investice do kybernetické bezpečnosti ministerstev. Kolik tu investovala Huawei opravdu, to. nevíme, čísla nejsou dostupná. NKÚ má pravdu, tohle může mít v budoucnu vážné dopady.