Zastaralý systém daňové správy patří mezi největší priority kyberbezpečnosti. Plně ochránit však nejde
Generální finanční ředitelství se snaží ochránit citlivá data z daňového systému před hackery. Je sice aktualizovaný, ale přes 26 let starý. Úniku dat z daňového systému přitom teď čelí Bulhaři. Na internet se dostaly citlivé údaje až pěti milionů lidí. V České republice zatím k podobnému úniku dat ze státní správy nedošlo.
Daně v Česku spravuje pod roku 1993 systém společnosti IBM Adis. Podle generálního finančního ředitelství spadá pod takzvanou kritickou informační infrastrukturu. Na ni se podle kybernetického zákona vztahují nejpřísnější bezpečnostní kritéria.
„Systém je provozován v zabezpečené infrastruktuře, která poskytuje systému dostatečnou ochranu. Detaily o zabezpečení z pochopitelných důvodů nemůžeme zveřejňovat,“ uvedl pro Radiožurnál mluvčí ředitelství Petr Habáň.
Přesto se naprostá bezpečnost podle Habáně zajistit nedá. „Absolutní bezpečnost neexistuje, takováto rizika se dají pouze minimalizovat, takže úniky dat obecně hrozí i v ČR. Je na orgánech státní správy nebo na bankovních domech, aby se snažily systém dostatečně ochránit.“
Zabezpečení kritických systémů hlídá Národní úřad pro kybernetickou a informační bezpečnost, úřadům ale s ochranou před hackery i radí. Ochranu systémů nastavují nejrůznější vyhlášky, které vycházejí z kybernetického zákona,
„Tyto standardy jsou celosvětově ozkoušené, takže ten, kdo je důsledně dodržuje, měl by být dostatečně zabezpečen i z pohledu kybernetické bezpečnosti,“ říká mluvčí úřadu Radek Holý.
Hackeři v Bulharsku ukradli osobní údaje pěti milionů lidí. Z ruského portálu je rozeslali médiím
Číst článek
Kyberúřad nehlídá jen technické prvky ochrany, ale i procesy. „To znamená, že se zabýváte i vzděláváním lidí i je nějakým způsobem kontrolujete. Systém je nastavený tak, že víte, když člověk jde do nějaké části systému, tak co tam přesně dělá a udělal,“ doplňuje Holý.
Kyberúřad hlídá jednotlivé instituce kontinuálně od svého vzniku v roce 2017. Jednotlivá ministerstva kontroloval loni. Zároveň jim zadal vyčíslit náklady, které budou muset na kybernetickou bezpečnost vynaložit.
Podle úřadu třeba ministerstvo financí od roku 2015 utratilo za kybernetickou ochranu přes 260 milionů korun, vice zaplatilo jen ministerstvo zdravotnictví a vnitra. Zastaralost systému Adis pro správu daní kritizoval v minulosti Nejvyšší kontrolní úřad.
Ten mu vytýkal hlavně zbytečnou zátěž pro úředníky. Podle experta na kybernetickou bezpečnost Tomáše Flidra ale bezpečnost starších systémů může být problematická.
Únik dat hrozí každému
„I starší systémy mohou být správně zabezpečené, nicméně obecně je u nich problém. Byly vytvářeny v době, kdy se na bezpečnost tolik nehledělo, bezpečnostní hrozby nebyly tak výrazné a vždycky, když do staršího systému přidáváme bezpečnostní opatření dodatečně, nedosáhneme takové úrovně zabezpečení jako bychom dosáhli v případě, že už od začátku s bezpečností pracujeme jako s jedním ze základů výstavby takového systému. Říkáme tomu Security By Design.“
Kybernetická bezpečnost po česku. Proč vláda škrtá další místa na úřadě, který ji má na starosti?
Číst článek
Podobné úniky dat, jako se staly v poslední době v Bulharsku, nejsou podle Tomáše Flidra ojedinělé. „Úniky dat hrozí každému. Ve světě je několik zemí, ve kterých došlo ke kompletnímu úniku dat veškerého obyvatelstva, ať už jsou to voličské databáze, finanční a dluhové databáze, velmi oblíbené a hodnotné jsou zdravotnické databáze.“
Česko zatím masovému úniku dat ze státní správy čelit nemuselo, říká mluvčí kyberúřadu Radek Holý. „V současné době nemáme informace o tom, že by se v ČR něco takového stalo, co se týká státní správy a institucí podléhajícím zákonům o kybernetické bezpečnosti.“
K největšímu známému uniku dat v Česku došlo v roce 2016, kdy se na internet dostaly citlivé údaje jednoho a půl milionu zákazníků operátora T-mobile.
„Tam se jednalo o problém interní hrozby zaměstnance, který data vynesl. Nešlo přímo o kybernetický útok,“ dodává expert na kybernetickou bezpečnost Tomáš Flidr.
Podle něj ale ne vždy úřady nebo firmy přijdou na to, že hackeři systém napadli a data ukradli.
