Čínská špionáž v kyberprostoru je konzistentní problém. Česko může být cílem kvůli členství v Evropské unii, říká expert na kyberbezpečnost

Vláda ve středu schválila novou strategii kybernetické bezpečnosti. V čem je jiná než ta dosavadní? 

Čtěte také

Chat Control představuje riziko pro naše svobody. Plošné šmírování konverzací není řešení, míní europoslankyně Gregorová

Oproti té dřívější je přímočařejší v tom, jaké identifikuje hrozby. Už to není v tak obecné rovině, ale jsou tam některé problematické státy konkrétně jmenované. Je to v závislosti na tom, že v květnu NÚKIB a ministerstvo zahraničních věcí a zpravodajské služby konkrétně jmenovali čínskou skupinu.

Takže stát je dneska víc než před několika lety ochotnější jmenovat konkrétní státy, které nám v kyberprostoru dělají potíže.

Právě na Čínu se v tomto týdnu upřela pozornost asi nejvíce. NÚKIB vydal nebývale ostré varování před využíváním jejich technologií. Úřad tvrdí, že mohou tamnímu režimu posloužit ke špionáži nebo k sabotážím. Jak moc je to reálné?

Pokud jde o špionáž, tak velmi reálné. To je poměrně konzistentní problém, že Čína využívá kyberprostor ke špionáži, je v tomto směru velmi aktivní. U sabotáže zatím nebylo pozorováno, že by skupiny spojené s Čínou nebo čínští aktéři dělali tzv. destruktivní útoky – že by se snažili sítě poškodit do té míry, že by byly dál nepoužitelné, Rusko ano. Nicméně to je spíš rozdíl v záměru.

Rozdíl mezi špionážním útokem a destruktivním útokem může být jedna řádka kódu.

Ve chvíli, kdy je útočník uvnitř sítě, tak rozdíl mezi špionážním útokem a destruktivním útokem může být jedna řádka kódu. Ono to samozřejmě bude trošku složitější, ale v zásadě ve chvíli, když už je vevnitř, záleží, jaké jsou jeho cíle, čeho chce dosáhnout. Teoreticky může škodit nějakým destruktivní útokem.

Co toto velmi důrazné varování NÚKIBu znamená v praxi pro zdejší firmy a státní instituce?

Čtěte také

Desatero pro kyberbezpečnost nenavádí k bonzování. Tvrzení, že je Země placatá, se netrestá, vysvětluje Rakušan

V praxi to znamená to, že organizace, na které se vztahuje regulace zákona o kybernetické bezpečnosti, musejí v závislosti na jejich statusu – jestli to je kritická infrastruktura, důležité informační systémy apod. – pravidelně dělat bezpečnostní zhodnocení systémů.

Je to tuším dvakrát do roka, kdy si vyhodnocují riziko. NÚKIB jim dodává metodiku, ale instituce v zásadě mají volnou ruku, jestli ji použijí, nebo ne.

Široký záběr zájmů

Když Tomáš Krejčí, náměstek ředitele NÚKIBu, řekl v naší publicistice v souvislosti s plošným varováním před elektronikou z Číny, že Čína sbírá skoro všechna data, včetně technických, provozních informací a třeba i těch zašifrovaných, které ještě dešifrovat neumějí. O čem to podle vás svědčí? 

Svědčí to o tom, že záběr zájmů Číny v kyberprostoru a informací, ke kterým se snaží dostat, je skutečně velmi široký. Může to být od vyloženě citlivých informací z ministerstva zahraničních věcí až po hodně široká, třeba osobní data, která může použít pro trénování svých systémů umělé inteligence a podobně. Toto je věc, která není stará několik let, to je třeba deset patnáct let, co sbírají data v opravdu velkém množství.

Čím je pro Čínu zajímavé Česko? Nebo nás berou spíš jako méně důležitou podmnožinu Evropské unie?

Čtěte také

Nesmíme se podceňovat jako potenciální cíl kyberútoků. Používání DeepSeek je rizikové, varuje ředitel NÚKIB

Samo o sobě z České republiky může dělat cíl to, že jsme součástí instituce, jako je Evropská unie. Tím, že se dostanou do systému českého ministerstva, můžou získat informace o fungování evropských institucí nebo získané informace můžou použít k útoku na další instituce členských států Evropské unie.

Čína se samozřejmě obecně snaží rozšiřovat svůj vliv po světě. A je to celkem standardní špionážní praktika, že sbíráte informace o státech, abyste věděli například při různých vyjednáváních, kde zatlačit a kde ubrat.

V nové vládní strategii se píše, že prostřednictvím rychlé a asertivní národní i mezinárodní reakce na škodlivé aktivity v kyberprostoru bude Česko usilovat o odstrašení a potrestání škodlivých aktérů. Nezní to jenom jako vágní proklamace? Jak reálně nepřátelé odstrašovat, potažmo trestat?

Rozumím tomu, proč to tam je. Ale pokud je to skutečně záměr české vlády, tak je to dost ambiciózní. Jak odstrašování v kyberprostoru, tak trestání útočníků je docela složitá věc. Občas se to podaří, jsou známy jednotky případů, kdy příslušníci čínských nebo ruských zpravodajských služeb, kteří nebyli dostatečně opatrní a podařilo se jim navštívit zemi, která má extradici, tedy vydávání do Spojených států, byli zadrženi.

Postih, který může dopadnout na jednotlivce, stát určitě neodstraší.

Takže stíhat útočníky má smysl, ale postih, který může dopadnout na jednotlivce, stát určitě neodstraší. A my jako Česká republika úplně nemůžeme – a myslím si, že ani nechceme – odstrašovat tím, že se budeme chovat tím způsobem, že co vy děláte nám, budeme dělat my vám.

Podniká český stát preventivní protiútoky? Vyčleňuje adekvátní objem prostředků na kyberobranu? Jak fungují čínské kybernetické milice? A jak se jako jednotlivci můžeme bezpečně pohybovat v digitálním prostředí? Poslechněte si celý rozhovor.