Když se minulý týden miliony serverů s operačním systémem Windows dostaly kvůli chybné aktualizaci softwaru CrowdStrike Falcon do nekonečné smyčky restartů a režimu obnovy, připomnělo nám to dvě věci, které si málokdo rád podvědomě připouští.
Zaprvé jak náchylná je globální ekonomika na podobné „černé labutě“, kdy zdánlivě rutinní činnost, kterou běžně ani nevnímáme, způsobí výpadky důležitých systémů, přerušení provozu a samo fungování komerčních i vládních služeb. A zcela názorně a fyzicky třeba uzemní letadla. A zadruhé že často nezůstanou ušetřeny ani organizace, které se chovají obezřetně a snaží se být připravené na všechno. Také je čeká velmi pravděpodobně nepříjemné sčítání škod.
Základní pravidla risk managementu spočívají v identifikaci rizika, analýze hrozeb, snaze o jejich minimalizaci a následné převedení finančního rizika do pojištění. Důležité je mít i pravidelně aktualizovaný a testovaný plán obnovy, který umožní podniku co nejrychlejší návrat do běžného provozu.
Incident CrowdStrike se ale tak trochu vymyká běžným počítačovým rizikům. Zásah kybernetické hrozby od třetí strany není nic nového. Koneckonců takzvaný nepřímý ransomware, kdy je úder vedený na dodavatele služeb a postihuje pak jeho zákazníky, představuje v roce 2024 podle studie InsurSec Report společnosti At-Bay co do četnosti nejrychleji rostoucí typ útoku.
Jenže v případě CrowdStrike nepřišel problém od napadeného a špatně chráněného dodavatele. A hlavně se o žádný útok nejednalo. Byla to pouhá aktualizace systému od etablované a v branži respektované společnosti poskytující kybernetické zabezpečení, u níž se očekávají z povahy věci ty nepřísnější procesy.
To ale v tomto případě evidentně nevyšlo. Jaké následky to bude mít pro samotný CrowdStrike, ukážou zejména finanční výsledky a prodeje v dalších čtvrtletích. Každopádně snad případ poslouží jako varování pro dodavatele technologií a poskytovatele služeb. A zajistí, že aktualizace softwaru budou před odeslání zákazníkům důkladněji testovány. U poskytovatelů služeb, jejichž pochybení může klienty zasáhnout o to citelněji, to platí dvojnásob.
Vraťme se ale k poškozeným firmám a institucím. A to rovnou do fáze, kdy už je chyba opravena, provoz obnoven a řeší se finanční ztráty a kdo je zaplatí. To může být pro mnohé opět nepříjemné. Podmínky používání produktu CrowdStrike Falcon značně limitují možnosti odškodnění, pokud se nejedná o výjimky a individuálně vyjednané podmínky. Firmám tedy pravděpodobně nezbude nic jiného než se pokusit uplatnit pojištění.
Úspěch záleží na tom, v jakém rozsahu mají firmy pojištěná i kybernetická rizika. A jestli vůbec – například v Česku to ještě příliš běžné není. Důvodem je stále malé povědomí, ale také proces sjednávání. Pojišťovny dnes bývají více obezřetné a po firmách chtějí podrobné důkazy o tom, že se kybernetickou bezpečností intenzivně zabývají a nevystavují se zbytečným rizikům.
A i když máte kybernetická rizika pojištěná, je vhodné zkontrolovat, zda odpovídají také tomuto druhu události. Velká část pojistných podmínek může být limitována pouze na hackerské útoky nebo následky škodlivého kódu, tedy na takzvaný „security failure“ spouštěč. A jak bylo popsáno výše, kauza CrowdStrike byla jiný případ, systémové selhání.
Vzhledem k tomu, o jak rozsáhlý výpadek šlo, je možné, že zapůsobí jako precedens a do budoucna změní způsob pojišťování kybernetických rizik nebo obecně jejich risk management. Jaké možnosti ale mají organizace za stávajících podmínek a jak mohou snížit rizika v případě, že se podobná hrozba objeví znovu?
Organizace musejí mít zavedené procesy pro rychlou identifikaci a nápravu chyb v softwaru, aby minimalizovaly dopady podobných incidentů. To zahrnuje nejen technické testování, ale také simulace možných scénářů selhání včetně těch, které vyžadují manuální zásah.
Incident také ukazuje důležitost záložních plánů a schopnosti rychle obnovit provoz. Organizace by měly pravidelně testovat své plány obnovy po havárii a zajistit, že jsou schopny rychle reagovat na neočekávané výpadky. Klíčové jsou organizační a komunikační strategie směrem ke klientům a partnerům, případně akcionářům.
Kauza CrowdStrike nás opět upozornila, jak činí provázanost dodavatelských řetězců globální ekonomiku zranitelnou. Bez neustálého inovování strategie řízení rizik a investic do technologií a školení to zkrátka do budoucna nepůjde.
Autor je Cyber Risk Management & Insurance lídrem RENOMIA GROUP.
