Od svého vzniku nečelila ČR tolika hrozbám najednou napříč kritickými odvětvími nezbytnými pro zachování základních funkcí státu. Smart City Polygon společnosti Omexom GA Energo vybudovaný na okraji Plzně představující kousek chytrého města proto mimo jiné prověřuje i naši odolnost vůči různým typům útoků.
Kontrolní místnosti vévodí velkých i menších obrazovek, na nichž pracovník ochranky sleduje prostor kolem plotu i dvůr střeženého areálu. Náhle uslyší zvuk roztříštěných dveří. Ještě než stačí zjistit, na kterém displeji je zachyceno napadané místo, kamery vybavené akustickým senzorem se už samy otáčejí směrem k místu incidentu a z venkovního reproduktoru se ozývá předtočená výzva: „Zůstaňte stát“. Pachatel se lekne a zůstane stát, nebo se dá na útěk. Rozhodný hlas ze záznamu mu oznamuje, že policie je už na cestě. Zásahová jednotka pak skutečně dorazí za pár minut a zloděj je zadržen. Někdy se ozve i štěkot hlídacích psů, což je prý velmi účinné. Tak vypadala první ukázka toho, jak moderní technika pomáhá střežit objekty kritické infrastruktury, a to i při snížené viditelnosti. V areálu s výmluvným názvem Smart City Polygon společnosti Omexom GA Energo vybudovali na okraji Plzně kousek chytrého města. Tento unikátní technologický projekt je ojedinělý nejen v České republice, ale možná i v celé Evropě. Za okamžik jsme svědky další akce. Skupina maskovaných teroristů překonala vysoký plot. Monitorovací systém útočníky hned odhalil, kamery automaticky nejen rozeznaly, že se jedná o lidi (a nikoliv třeba o zvěř), ale také, že jeden z pachatelů má pistoli a druhý samopal. Zásah policie ukázku uzavřel. Test ochrany kritické infrastruktury ukázal celou paletu možností. Konkrétní řešení se ve většině případů projektují podle specifik jednotlivých objektů kritické infrastruktury. Do ní spadají podle tzv. krizového zákona České republiky prvky nebo systémy, jejichž narušení by mělo závažný dopad na bezpečnost státu, zabezpečení základních životních potřeb obyvatelstva, zdraví osob nebo ekonomiku státu. „V praxi se může jednat například o elektrárny, vodárny, velké nemocnice, ale i datová centra nebo dopravní terminály,“ vysvětlil na úvod setkání Michal Moroz, výkonný ředitel Asociace kritické infrastruktury ČR (AKI ČR). Nároky na zabezpečení takových objektů jsou vysoké, existuje však dostatek moderních bezpečnostních technologií, jež požadavkům dokážou vyhovět. Důkazem byl test, který uspořádala společnost Axis Communications. Ve spolupráci s Asociací kritické infrastruktury ČR a technologickými partnery Securitas ČR, Z.L.D a Jalud Embedded se proto uskutečnila simulace fyzického útoku na objekt kritické infrastruktury v testovacím prostoru plzeňského Smart City Polygonu.
Jak dobře je chráněna kritická infrastruktura v ČR?
V současné politicky neklidné době vyvolané teroristickými útoky a Putinovou agresí na Ukrajině se právem dostává do popředí zájmu otázka, zda a jak dobře je chráněna naše kritická infrastruktura. Průzkum mezi nejvýznamnějšími provozovateli kritické infrastruktury České republiky potvrdil růst četnosti a intenzity kybernetických útoků, obavy o stabilitu dodávek energií, narušení dodavatelských řetězců a úsilí chránit klíčová zařízení proti fyzickým útokům. Od svého vzniku nečelila Česká republika tolika závažným hrozbám najednou napříč všemi kritickými odvětvími nezbytnými pro zachování základních funkcí státu. Kritická infrastruktura a kritická informační infrastruktura jsou nezbytné pro zachování základních funkcí státu. Dopady pandemie covidu-19 a bezprostředně navazující války mezi Ruskem a Ukrajinou odhalily nepřipravenost státu a nedostatečnou koordinaci mezi státními orgány a provozovateli kritické infrastruktury. Průzkum ukázal rostoucí obavy zejména ze souběhu několika významných hrozeb, respektive z jejich společného působení, ve stejný okamžik. V takovém případě totiž může dojít k řetězení dopadů vedoucímu k zásadní destabilizaci společnosti, ekonomiky, veřejného pořádku a národní bezpečnosti. Souběh vysoce nepravděpodobných hrozeb v jeden okamžik přitom není nic nereálného, jak ukázaly události posledních dvou let. Prvořadou událostí s masivním dopadem do globální ekonomiky byla pandemie nemoci covid-19, která odhalila nejen naprostou nepřipravenost státu, ale především zjištěné nedostatky v platné krizové legislativě. Krizi ještě prohloubil rozvrat logistických řetězců, ať už v důsledku protipandemických omezení (zejména uzavření čínských přístavů) či bezprecedentní zablokování Suezského průplavu lodí Ever Given. Válka na Ukrajině pak hrozí způsobit rozsáhlý celoevropský nedostatek surovin, který může vést k problémům v zásobování energiemi a pohonnými hmotami. Toto riziko dále umocňují hrozby nahodilého či cíleného poškození evropských rozvodných sítí, ať už v souvislosti s bojovými operacemi na Ukrajině, nebo s kybernetickými útoky, teroristickými útoky či sabotážemi přímo na území EU, jež mohou v krajním případě způsobit výpadky v distribuci elektrické energie. S válkou na Ukrajině přímo souvisejí také hrozby v oblasti potravinové bezpečnosti či masové migrace a z nich plynoucí rizika, mezi kterými je nutné zmínit zejména občanské nepokoje a rostoucí extremismus, resp. nárůst organizovaného zločinu, terorismu či pašování zbraní. Zvlášť závažné následky pak mají kybernetické incidenty, jejichž počet i závažnost neustále stoupá a které se nevyhýbají ani subjektům kritické infrastruktury. V České republice jde například o rozsáhlý kybernetický útok proti systémům Ředitelství silnic a dálnic, jehož činnost je proto ochromena již několik týdnů.
Nedostatek legislativy
Asociace kritické infrastruktury České republiky proto usiluje o urychlené přijetí zákona o ochraně kritické infrastruktury, hlubší spolupráci mezi státními orgány a provozovateli kritické infrastruktury, průběžnou koordinaci aktivit směřujících k řízení rizik a snižování bezpečnostních hrozeb, a v neposlední řadě také zavádění principů řízení kontinuity činností BCM (business continuity management) do procesů krizového řízení a krizové připravenosti. „Členové naší asociace mezi sebou sdílejí důležité informace a zkušenosti, což nám pomáhá v lepší vzájemné spolupráci. Naším cílem však je především efektivní koordinace aktivit se zástupci vlády České republiky a složek Integrovaného záchranného systému,“ uvedl na setkání s novináři ředitel Michal Moroz. „Za tři roky činnosti jsme udělali hodně práce a oceňujeme, že podpora kritické infrastruktury je součástí koaliční smlouvy i vládního programového prohlášení.“ Asociace kritické infrastruktury České republiky vznikla v roce 2019 a reprezentuje zejména majitele a provozovatele kritické infrastruktury a kritické informační infrastruktury. „Prezidium AKI ČR, které zastupuje největší provozovatele kritické infrastruktury, se shoduje, že v současné době riziko útoku na prvky kritické infrastruktury roste. Hrozbou můžou být zejména kybernetické útoky a narušení dodavatelských řetězců, opomenout však nelze ani rizika fyzického útoku nebo úmyslného poškození. Události posledních let navíc ukázaly, že žádná hrozba není vyloučena, a tudíž je nutné počítat i s rizikem sabotáží nebo teroristických útoků, které se naší zemi dosud vyhýbaly,“ doplnil Michal Moroz. Ačkoli je zabezpečení kritické infrastruktury komplexní disciplínou zahrnující ošetření více rizik, včetně výpadku provozu způsobeného nehodou či technickou závadou, test iniciovaný společností Axis Communications v areálu Smart City Polygonu se zaměřil právě na možnost cíleného fyzického útoku zvnějšku.
V Plzni se testovala perimetrická ochrana
Test ukázal funkce komplexního zabezpečovacího systému, který hlídá perimetr objektu kritické infrastruktury a skládá ze senzorů, softwarových prvků i služeb ostrahy. Simulace za účasti bezpečnostních expertů přinesla několik poznatků důležitých pro návrh konkrétních řešení: Bezpečnostní manažeři si při výběru technologií můžou zvolit buď řešení „all in one“, kdy hardware i ovládací software zajišťuje jeden výrobce, nebo „best of breed“, kdy jednotlivé specifické senzory, programy umělé inteligence a centrální platforma pocházejí od specialistů na daný účel. Tento přístup je vzhledem k potřebám kritické infrastruktury vhodnější, klade ovšem vyšší nároky na kvalitní integraci a příslušného systémového integrátora, jehož úkolem je přizpůsobit celkové řešení pro konkrétní potřeby subjektu kritické infrastruktury. Obrazová nebo zvuková analýza a různé senzory můžou být velmi citlivé, v praxi je ovšem zcela zásadní, kolik falešných poplachů generují. Například videoanalytický systém s 500 bezpečnostními kamerami, z nichž každá generuje jeden planý poplach denně, by byl v praxi nepoužitelný. Umělá inteligence se ve skutečnosti často používá právě proto, aby falešné poplachy eliminovala.
Software na okraji, nebo v centru
Inteligentní video- nebo audioanalýza dnes může běžet buď přímo v koncových zařízeních (například v kamerách), nebo na centrálním serveru. Oba přístupy mají své výhody a nevýhody, ideální se jeví kombinace obojího. Žádný systém dnes nemůže být zcela bezobslužný. Kvalifikovaná obsluha musí vyhodnotit alarmy generované technologiemi a zajistit odpovídající reakci na základě znalosti celkové situace. Ačkoli se výběrová řízení v oblasti zabezpečení kritické infrastruktury často řídí cenou jednotlivých prvků, je potřeba zvážit celkové náklady spojené s dlouhodobým používáním integrovaného řešení. Významnou roli zde hrají záruční i licenční podmínky. Úvodní bezpečnostní analýza by kromě toho měla přesně určit, že náklady spojené s řešením odpovídají potenciálním škodám a očekávaným úsporám. V současnosti se velmi mluví o hrozbě kyberútoků na systémy kritické infrastruktury. To se samozřejmě týká i samotných zabezpečovacích technologií, které dnes fungují podobně jako počítačové sítě a můžou samy být předmětem útoku. Proto je třeba vybírat spolehlivé dodavatele, vyžadovat kyberbezpečnostní prvky a průběžně snižovat zranitelnosti. /Karel Sedláček/
