Kybernetický bezpečnostní incident, někdy také kybernetický incident, vzniká (podle RFC 4949) ve chvíli, kdy kybernetická hrozba zneužije zranitelnost a vytvoří kybernetickou událost, při které dojde k narušení informační bezpečnosti.

Podle zákona č. 264/2025 Sb. (Nový zákon o kybernetické bezpečnosti), jde o narušení bezpečnosti informací v kyberprostoru.

Podle amerického úřadu NIST je kybernetický bezpečnostní incident fenomén, při kterém dochází k narušení důvěrnosti, integrity nebo dostupnosti informačního systému, nebo informací, které zpracovává; případně událost, kdy hrozí narušení bezpečnostních postupů nebo politik dané organizace.

Incident může být způsoben úmyslným lidským jednáním, z nedbalosti nebo i kvůli náhodným jevům.

Řízení kybernetických incidentů Pro řízení kybernetických incidentů existuje několik metodik. Nejpoužívanější z nich jsou ČSN ISO/IEC 27035:2018 a NIST SP.800-61.

ISO/IEC 27035:2018 Metodika ISO/IEC 27035:2018 je v evropském a českém prostředí nejpoužívanější. V tomto standardu je pro řízení kybernetických incidentů kritické stanovit cíle, kterých chce daná organizace dosáhnout.

Proces dosažení těchto cílů se pak dělí do pěti kroků:

Plánování a příprava na incident. Zjišťování incidentů a podávání zpráv. Posouzení incidentu a rozhodnutí o dalším postupu. Odezva na incident. Poučení z minulosti.

NIST SP.800-61 Tato metodika je definována v dokumentu "Computer Security Incident Handling Guide" vydaném americkou organizací NIST a v rodině dokumentů s označením SP.800. Dokument SP.800-61 pak představuje základní návod na nastavení procesu řízení incidentů. Tato metodika se používá především v USA.

Proces reakce na bezpečnostní incidenty se pak dělí na pět částí:

Příprava na incident. Detekce a analýza. Zabránění šíření a obnova. Následné aktivity.

Jiné metodiky Kromě ČSN ISO/IEC 27035:2018 a NIST SP.800-61 pak existují také například metodika organizace SANS (velmi podobné metodice NIST) nebo třeba dokument "Good Practice Guide for Incident Management" od Evropské agentury ENISA.

Taxonomie incidentů Existuje několik taxonomií pro klasifikaci kybernetických incidentů. Většinou klasifikují incidenty buď podle typu hrozby, která ho způsobila nebo podle typu jeho dopadu.

Taxonomie ČSN ISO/IEC 27035-2:2018 Metodika ISO 27035-2:2018 klasifikaci přímo nepředepisuje, uvádí pouze příklad založený na typech hrozeb. Incidenty pak dělí na: Incidenty živelné pohromy, technického selhání, technického útoku, narušení pravidel, kompromitace funkcí, kompromitace informací nebo na incidenty škodlivého kódu. Tato klasifikace je však značně nekompletní a slouží spíše jako základ pro inspiraci při tvorbě vlastního systému.

Taxonomie NIST NIST klasifikuje incidenty do čtyř skupin (Nepřátelské, Náhodné, Strukturální a z Prostředí), které později rozděluje na další podkategorie. Tato taxonomie je někdy považována za zastaralou, protože nebere v potaz některé moderní technologie, jako cloud computing.

Taxonomie ENISA Klasifikace incidentů úřadu ENISA je rozdělena do několika kategorií, jako jsou: škodlivý obsah (spam, diskreditace, děti, násilí, sexualita, ...), škodlivý kód (virus, červ, trojsků kůň, spyware, dialer, rootkit), shromažďování informací (skenování, sniffing, sociální inženýrství), pokusy o průnik, průniky, útoky na dostupnost (př. DDoS) nebo na bezpečnost informací.

Taxonomie MITRE ATT&CK Nezisková společnost MITRE provozuje rozsáhlý rámec MITRE ATT&CK, který incidenty klasifikuje podle vektorů útoku, kybernetických hrozeb, souvisejících zranitelností a technik pro jejich mitigaci.

Povinnost hlášení incidentů

V Evropské unii Směrnice NIS2 požaduje po členských státech EU aby vymáhaly povinnost ohlašování kybernetických incidentů. Pokud incident značně ovlivňuje fungování zasažených subjektů, tak musí společnost příslušné orgány neprodleně informovat. Příslušné orgány pak informují CSIRT tým (např. CSIRT-CZ). CSIRT nebo jiný příslušný orgán pak musí do 24 hodin podat včasné varování, do 72 hodin oznámení o incidentu a do 1 měsíce závěrečnou zprávu. Mezinárodní koordinace řízení incidentů pak probíhá v Evropské skupině CSIRT týmů a také v koordinační skupině EU-CYCLONe.

V Česku V Česku se incidenty oznamují primárně do příslušného elektronického formuláře na portálu úřadu NÚKIB. Alternativně lze telefonicky kontaktovat přímo GovCERT nebo formulář zaslat poštou. Regulované subjekty mají povinnost incidenty hlásit a neregulované to mohou dělat dobrovolně.

Odkazy

Reference

Literatura

Externí odkazy

Formulář pro nahlášení incidentu na NÚKIB. Kybernetická první pomoc a hlášení incidentu (anglicky) podle ENISA.

Kategorie:Počítačová bezpečnost Kategorie:Mimořádné události