INTERAKTIVNÍ PRŮVODCE · ŘÍJEN 2026

Kybernetická bezpečnost

Jak chránit data, účty a systémy –
od silného hesla po řízení rizik ve firmě

Na pozadí proudí ke středu sítě požadavky. Modré jsou běžný provoz, oranžové pokusy o neoprávněný přístup. Každý prstenec je jedna vrstva obrany (filtr provozu, ověření uživatele, oprávnění, monitoring) a každá zachytí jen část pokusů. Až dovnitř projde málokterý – a i ten se zachytí v záznamech. Tomu se říká obrana do hloubky (kapitola 2).

požadavků celkem–

zastaveno vrstvami–

prošlo až do středu–

ZačítRovnou na phishing

Úvodem

Jak průvodce používat

Kybernetická bezpečnost je umění udržet data a systémy důvěrné, neporušené a dostupné, i když se o opak někdo snaží. Nejde jen o techniku: většina úspěšných útoků začíná u slabého hesla, neaktualizovaného zařízení nebo přesvědčivé zprávy. Průvodce začíná u toho, co každý z nás chrání doma, a končí u řízení rizik ve firmě, zákona o kybernetické bezpečnosti a etiky profese.

🛡️

Tři patra každé kapitoly. Nahoře krátké vysvětlení a laboratoř: spočítáte sílu hesla, rozdělíte síť do zón, zkusíte, kolik záloh přežije požár a vyděračský program, sestavíte matici rizik nebo ohodnotíte zranitelnost. Pod ní mise za XP. Dole rozbalovací teorie pro ty, kdo chtějí jít do hloubky: definice, vzorce, normy, řešené příklady a příklady k procvičení s úplným řešením. Barevná tečka v obsahu ukazuje úroveň. Postup se ukládá jen ve vašem prohlížeči.

Mapa průvodce

**Tab. 0.1**Kapitoly, úrovně a co se naučíte
Kapitola	Úroveň	Co se naučíte
1 Co chráníme	základy	triádu důvěrnost – integrita – dostupnost, aktiva, hrozby, zranitelnosti, „devítky“ dostupnosti
2 Hrozby a útočníci	základy	kdo útočí a proč, fáze útoku popisně, obranu do hloubky a model švýcarského sýra
3 Hesla a autentizace	základy	entropii hesla, ukládání hesel, správce hesel, vícefaktorové ověření a přístupové klíče (passkeys)
4 Kryptografie v praxi	střední škola	co šifrování chrání a co ne: HTTPS, šifrování koncových bodů, disku a VPN, certifikáty
5 Sítě a jejich ochrana	střední škola	firewall, segmentaci, DMZ, VPN, bezpečnou domácí Wi-Fi a princip nulové důvěry
6 Webová bezpečnost	střední škola	deset kategorií OWASP Top 10:2025 popisně a z pohledu obrany
7 Malware, ransomware a zálohy	střední škola	jak se škodlivý kód šíří, prevence a pravidlo záloh 3-2-1 v simulaci
8 Sociální inženýrství a phishing	střední škola	psychologii manipulace, anatomii odkazu a rozpoznávání podvodných zpráv
9 Bezpečnost firem a NIS2	vysoká škola	řízení rizik, ISO/IEC 27001, směrnici NIS2 a zákon č. 264/2025 Sb.
10 Incident a reakce	vysoká škola	životní cyklus incidentu, hlášení NÚKIB a CSIRT, forenzní stopy, poučení
11 Soukromí a GDPR	vysoká škola	zásady zpracování, práva subjektu, únik dat, anonymizaci a riziko znovuidentifikace
12 Kariéra a etika	vysoká škola	role v oboru, odpovědné hlášení zranitelností, CVSS, trestní zákoník § 230–232

Co budete potřebovat

Pro první tři kapitoly stačí základní škola a zkušenost s telefonem a počítačem. Od kapitoly 4 pomůže vědět, jak funguje internet a co je šifra; obojí vykládá průvodce Informatika (kapitola 3 Počítač, internet a bezpečnost, kapitola 9 Kryptografie), na který tento průvodce navazuje a matematiku šifer neopakuje. Podvody s investicemi, vishing a „bezpečné účty“ podrobně rozebírá průvodce Ochrana investora a podvody, psychologii rozhodování průvodce Psychologie, právo obecně průvodce Právo a vyšetřování trestných činů průvodce Kriminalistika. Pravděpodobnost v kapitolách o riziku stačí v rozsahu střední školy (průvodce Statistika a modely).

Čtyři druhy rámečků

Příklad Řešený příklad

Výpočet nebo postup krok za krokem. Čísla jsou přepočítaná skriptem.

Ve skutečnosti

Jak to chodí v praxi: normy, zákony, typické incidenty a co se z nich obor naučil.

Pomůcka

Rychlé pravidlo nebo kontrolní otázka, kterou si lze zapamatovat.

Pozor

Místo, kde se nejčastěji chybuje – v nastavení, v úvaze i v pocitu bezpečí.

Studijní materiál, nenahrazuje učebnici ani výuku a není právní poradenství. Průvodce vykládá výhradně obranu, principy a odpovědné chování: útoky popisuje jen tolik, aby bylo jasné, jak fungují a jak se jim bránit, a neobsahuje návody k průniku, škodlivý kód ani postupy k prolamování hesel. Zkoušet zabezpečení cizích systémů bez písemného svolení vlastníka je trestné (kapitola 12). Průvodce nejmenuje komerční produkty ani firmy; domény v ukázkách (alfabanka.example a podobné) jsou smyšlené a podle RFC 2606 vyhrazené pro příklady. Zákony a normy mají v příloze C zdroj a datum ověření 13. 10. 2026. Při podezření na podvod volejte svou banku na číslo z jejích oficiálních stránek a Policii ČR (158).

Rozsahem odpovídá: kapitoly 1–3 tématu digitální bezpečnosti ve vzdělávací oblasti Informatika v RVP ZV (bezpečné chování, hesla, ochrana dat), kapitoly 4–8 vzdělávací oblasti Informatika v RVP G a maturitnímu rozsahu bezpečnosti informačních technologií, kapitoly 9–12 úvodním vysokoškolským kurzům bezpečnosti informačních systémů: řízení bezpečnosti a rizik, bezpečnost sítí a webových aplikací, reakce na incidenty, ochrana osobních údajů a profesní etika.

Část IZáklady

Co chránímezáklady

Bezpečnost nezačíná u techniky, ale u otázky „co by se nemělo stát?“. Nikdo cizí by neměl číst vaše zprávy (důvěrnost), nikdo by neměl změnit číslo účtu ve faktuře (integrita) a fotky z dětství by neměly zmizet, když odejde disk (dostupnost). Těmto třem cílům se říká triáda CIA.

🏠

Představte si dům. Záclony a zámek na deníku chrání soukromí – důvěrnost. Pečeť na dopise a podpis na smlouvě prozradí, že někdo něco změnil – integrita. Náhradní klíč u sousedů a druhý vchod zajistí, že se domů dostanete, i když zámek zamrzne – dostupnost. Dobrá ochrana myslí na všechny tři; přehnaná péče o jednu (deset zámků) často škodí jiné (nedostanete se dovnitř).

Kolik „devítek“ potřebujete?

Dostupnost se udává v procentech času, kdy služba funguje. Zvolte dostupnost jedné součásti, kolik součástí musí fungovat zároveň (řazení za sebou) a zda má každá záložní dvojče (paralelně). Graf ukazuje, kolik hodin výpadku za rok to znamená.

LABORATOŘ

Dostupnost jedné součásti Součástí za sebou

Model: součásti selhávají nezávisle na sobě. Za sebou řazené musí fungovat všechny (dostupnosti se násobí), záložní dvojče stačí jedno funkční. Rok má 8 766 hodin. Ve skutečnosti mívají výpadky společnou příčinu (výpadek proudu, chybná aktualizace, útok), takže zdvojení pomůže méně, než model slibuje.

Minihra: kterou vlastnost incident porušil?

U každé situace určete, zda byla porušena hlavně důvěrnost, integrita, nebo dostupnost.

MINIHRA

0 / 8

+Teorie: triáda CIA, aktiva, hrozby, zranitelnosti a dostupnost

1.1Triáda důvěrnost, integrita, dostupnost

Informační bezpečnost je ochrana informací a systémů, které je zpracovávají, před neoprávněným přístupem, změnou a narušením. Kybernetická bezpečnost je její část týkající se kybernetického prostoru: počítačů, sítí, služeb a dat v nich. Cíle se tradičně shrnují do tří vlastností:information security, cybersecurity, CIA triad

Důvěrnost – informace zná jen ten, kdo k tomu má oprávnění. Ohrožuje ji odposlech, krádež notebooku, únik databáze, ale i omylem rozeslaný e-mail.confidentiality
Integrita – informace je úplná a správná a nikdo ji nezměnil bez oprávnění, nebo se to aspoň pozná. Ohrožuje ji podvržená faktura, změněný záznam v databázi, poškozený soubor.integrity
Dostupnost – informace a služby jsou k dispozici, když je oprávněný uživatel potřebuje. Ohrožuje ji porucha, výpadek proudu, přetížení, zašifrování vyděračským programem.availability

Obr. 1.1 Triáda CIA (z anglického confidentiality, integrity, availability). U každého vrcholu jsou typická opatření, která danou vlastnost chrání.

K triádě se často přidávají autenticita (víme, kdo je odesílatel nebo uživatel), nepopiratelnost (odesílatel nemůže později popřít, že zprávu poslal) a odpovědnost (každou akci lze přičíst konkrétní osobě díky záznamům).authenticity, non-repudiation, accountability

Pozor

Cíle si mohou odporovat. Šifrovaný disk bez zálohy klíče chrání důvěrnost tak dobře, že po zapomenutí hesla nejsou data dostupná ani majiteli. Přísné uzamčení účtu po třech chybných pokusech chrání před hádáním hesla, ale útočník ho může zneužít k zablokování cizích účtů. Bezpečnost je vždy hledání rovnováhy.

1.2Aktiva, hrozby, zranitelnosti a riziko

Aktivum je cokoli, co má pro nás hodnotu: data (fotky, účetnictví, zdravotní záznamy), zařízení, služby, ale i dobrá pověst a čas lidí. Hrozba je možná příčina nežádoucí události (zloděj, požár, vyděračský program, unavený zaměstnanec). Zranitelnost je slabina, kterou hrozba může využít (neaktualizovaný systém, sdílené heslo, chybějící záloha). Teprve když se hrozba potká se zranitelností u cenného aktiva, vzniká riziko; jeho velikost se odhaduje z pravděpodobnosti a dopadu (podrobně kapitola 9).asset, threat, vulnerability, risk

Obr. 1.2 Slovník řízení bezpečnosti. Riziko vzniká, když hrozba využije zranitelnost cenného aktiva. Opatření míří buď na zranitelnost, nebo na velikost rizika.

Příklad Rodinný notebook

Aktivum: notebook s fotkami a přístupem do internetového bankovnictví. Hrozby: krádež, porucha disku, vyděračský program. Zranitelnosti: disk není šifrovaný, fotky existují jen v jedné kopii, systém se dlouho neaktualizoval. Opatření: šifrování disku (krádež pak ohrozí jen zařízení, ne data), zálohy podle pravidla 3-2-1 (kapitola 7), automatické aktualizace.

1.3Dostupnost v číslech

Dostupnost \(A\) je podíl času, kdy služba funguje. Provozovatelé ji slibují ve smlouvě o úrovni služeb a mluví o „devítkách“: 99,9 % jsou „tři devítky“.service level agreement (SLA), uptime

Výpadek za rok, řazení za sebou a paralelně\[t_{\text{výpadek}} = (1-A)\cdot 8\,766\ \text{h},\qquad A_{\text{sériově}} = \prod_{i=1}^{n} A_i,\qquad A_{\text{paralelně}} = 1-\prod_{i=1}^{r}(1-A_i)\]

**Tab. 1.1**Dostupnost a odpovídající výpadek za rok (365,25 dne)
Dostupnost	Výpadek za rok
99 %	87,7 h (3,65 dne)
99,9 %	8,77 h
99,95 %	4,38 h
99,99 %	52,6 min
99,999 %	5,26 min

Obr. 1.3 Řetěz je slabší než nejslabší článek, záložní dvojice je silnější než každý z dvojčat. Čísla platí jen tehdy, když součásti selhávají nezávisle.

Příklad E-shop ze tří součástí

Webový server 99,9 %, databáze 99,9 % a platební brána 99,5 % musí fungovat zároveň: \(0{,}999\cdot0{,}999\cdot0{,}995 = 0{,}99301\), tedy 99,30 %. Výpadek \((1-0{,}99301)\cdot8\,766 = 61{,}3\) hodiny ročně – sedmkrát víc než u jediné součásti s 99,9 %.

Ve skutečnosti

Útok na dostupnost se nazývá odepření služby: služba se zahltí tolika požadavky, že na skutečné uživatele nezbude kapacita. Když přichází z tisíců napadených zařízení najednou, jde o distribuované odepření služby. Obrana je hlavně na straně provozovatele a poskytovatele připojení: rezerva kapacity, filtrování provozu, rozložení na více míst.denial of service (DoS), distributed DoS (DDoS)

1.4Bezpečnost jako proces

Žádný systém není bezpečný „jednou provždy“. Objevují se nové zranitelnosti, mění se lidé i útočníci. Bezpečnost je proto cyklus: poznat aktiva a rizika, zavést opatření, sledovat, co se děje, a poučit se z incidentů. Norma ISO/IEC 27001 tento cyklus formalizuje jako systém řízení bezpečnosti informací (kapitola 9). Pro jednotlivce stačí tři návyky: aktualizovat, zálohovat a nepoužívat stejné heslo dvakrát.

Pomůcka

U každé nové služby nebo zařízení si položte tři otázky: Kdo to smí vidět? (C) Jak poznám, že to někdo změnil? (I) Co udělám, když to přestane fungovat nebo zmizí? (A)

1.5Procvičení

Kolik minut výpadku za měsíc (30 dní) dovoluje dostupnost 99,9 %?

\(0{,}001\cdot30\cdot24\cdot60 = 43{,}2\) minuty za měsíc.

Dva servery s dostupností po 99,9 % jsou zapojeny a) za sebou, b) paralelně jako záloha. Jaká je dostupnost celku a kolik hodin výpadku za rok to znamená?

a) \(0{,}999^2 = 0{,}998001\), výpadek \(0{,}001999\cdot8\,766 = 17{,}5\) h. b) \(1-0{,}001^2 = 0{,}999999\), výpadek \(10^{-6}\cdot8\,766\) h \(= 0{,}53\) min, tedy asi 32 s – za předpokladu nezávislých poruch.

Zaměstnanec omylem přepíše tabulku s cenami starou verzí a e-shop dva dny prodává za staré ceny. Kterou vlastnost incident porušil a jaké opatření by pomohlo?

Integritu (data už nejsou správná). Pomohlo by verzování souborů a možnost vrátit předchozí verzi, kontrola změn druhou osobou a záznam, kdo a kdy data změnil.

Ve výpisu rizik je: „Zálohy rodinných fotek nejsou.“ Je to hrozba, zranitelnost, nebo aktivum?

Zranitelnost. Aktivem jsou fotky, hrozbami porucha disku, krádež, požár nebo vyděračský program. Chybějící záloha je slabina, kterou kterákoli z hrozeb využije.

Dva servery v paralelním zapojení s dostupností po 99 % a za nimi databáze s 99,9 %. Jaká je celková dostupnost?

Dvojice: \(1-0{,}01^2 = 0{,}9999\). Celkem \(0{,}9999\cdot0{,}999 = 0{,}99890\), tedy 99,89 %, výpadek asi 9,6 h ročně. Nejslabším článkem je teď databáze bez zálohy.

Co si odnést

Chráníme důvěrnost, integritu a dostupnost informací; cíle si mohou odporovat.
Riziko vzniká, když hrozba využije zranitelnost cenného aktiva.
Řetěz součástí je méně dostupný než každá z nich, záloha dostupnost zvyšuje.
Bezpečnost je proces: aktualizovat, zálohovat, různá hesla.

Část IZáklady

Hrozby a útočnícizáklady

Za většinou útoků nestojí osamělý génius v kapuci, ale organizované skupiny, které útočí kvůli penězům, a to hromadně: zkoušejí tisíce cílů a čekají, kde se něco chytí. Kdo ví, kdo útočí a proč, odhadne, co ho nejspíš potká – a že ani dokonalá jedna obrana nestačí, kdežto několik nedokonalých za sebou ano.

🧀

Každá vrstva obrany je jako plátek ementálu: má díry. Heslo může uniknout, zaměstnanec klikne, aktualizace přijde pozdě. Když ale naskládáte několik plátků za sebou, musí se díry náhodou sejít v jedné řadě, aby jimi něco prošlo. Tomuto obrazu se říká model švýcarského sýra a obranáři mu říkají obrana do hloubky.

Obrana do hloubky

Čtyři vrstvy obrany a každá zastaví jen část pokusů o útok. Nastavte jejich účinnost a počet pokusů za rok. Sloupce ukazují, kolik pokusů projde za každou vrstvou (logaritmická osa: každá čárka je desetkrát méně).

LABORATOŘ

Filtr pošty a provozu Opatrný uživatel Aktualizace a oprávnění Monitoring a reakce Pokusů o útok za rok

Model: vrstvy zastavují pokusy nezávisle na sobě, takže pravděpodobnosti průchodu se násobí. Ve skutečnosti díry v plátcích často souvisejí (jeden přehlédnutý typ útoku projde víc vrstvami najednou) a útočník se z neúspěchu učí. Čísla jsou modelová.

Minihra: kdo za tím nejspíš stojí?

Přiřaďte situaci k nejpravděpodobnějšímu typu útočníka.

MINIHRA

0 / 8

+Teorie: typy útočníků, motivace, průběh útoku, útočná plocha a obrana do hloubky

2.1Kdo útočí

Útočník (aktér hrozby) je osoba nebo skupina, která se snaží narušit bezpečnost. Obránci je třídí podle motivace a schopností, protože z toho plyne, na co se připravit.threat actor

Kybernetičtí zločinci – motivace peníze. Vyděračské programy, krádeže přístupů do bankovnictví, podvodné e-shopy, prodej uniklých dat. Fungují jako firmy s dělbou práce: jedni získají přístup, druzí ho prodají, třetí vydírají („kriminalita jako služba“).cybercriminals, crime-as-a-service
Státní aktéři – špionáž, sabotáž, vliv. Mají čas a prostředky, útočí cíleně a dlouhodobě a snaží se zůstat skrytí; obor je označuje jako pokročilé trvalé hrozby.nation-state actors, advanced persistent threat (APT)
Haktivisté – ideologie nebo protest. Typicky přetěžují weby nebo mění jejich obsah, aby upozornili na svůj postoj.hacktivists
Vnitřní hrozba – současní či bývalí zaměstnanci a dodavatelé, ze zlé vůle (pomsta, úplatek) i z nedbalosti (omyl, ztracený notebook). Mají legitimní přístup, proto se těžko odhalují.insider threat
Příležitostní útočníci – zkoušejí hotové nástroje na náhodných cílech. Málo schopností, ale velké množství pokusů; zastaví je základní hygiena.opportunistic attackers

Obr. 2.1 Orientační mapa útočníků. Čím víc vpravo nahoře, tím obtížnější obrana. Většinu domácností a malých firem ohrožují hlavně skupiny vlevo dole a uprostřed – a proti nim stačí základní hygiena.

2.2Jak útok probíhá

Obránci popisují útok jako řetěz fází. Model řetězce útoku (2011) a novější veřejné znalostní báze taktik útočníků slouží k jedinému: v každé fázi lze útok zastavit nebo odhalit. Tady stačí popis na úrovni „co se děje a co proti tomu“.cyber kill chain, tactics and techniques

Obr. 2.2 Fáze útoku (nahoře) a opatření, která v dané fázi působí (dole). Popis je záměrně obecný; jde o to, kde má obrana šanci.

2.3Útočná plocha

Útočná plocha je souhrn všech míst, kudy lze do systému vstoupit nebo ho ovlivnit: služby dostupné z internetu, účty, zařízení, aplikace, dodavatelé, ale i lidé, kterým lze napsat. Každá nepotřebná služba, starý účet bývalého zaměstnance nebo zapomenuté zařízení plochu zvětšuje. První pravidlo obrany proto zní: co nepotřebujete, vypněte a smažte.attack surface

Ve skutečnosti

Přehled hrozeb každý rok vydává agentura EU pro kybernetickou bezpečnost ENISA (Threat Landscape) a v Česku Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) ve Zprávě o stavu kybernetické bezpečnosti ČR. Opakovaně se v nich na předních místech objevují vyděračské programy, útoky přes dodavatele, phishing, přetěžování služeb a útoky na dostupnost a manipulace informacemi.

2.4Obrana do hloubky

Obrana do hloubky skládá několik nezávislých vrstev, aby selhání jedné nevedlo ke katastrofě. Psycholog James Reason popsal v knize Human Error (1990) nehody v průmyslu a dopravě jako průchod dírami v několika vrstvách ochrany; obraz „švýcarského sýra“ se z jeho práce rozšířil i do bezpečnosti.defence in depth, Swiss cheese model

Pravděpodobnost průchodu nezávislými vrstvami a aspoň jednoho úspěchu z N pokusů\[P_{\text{průchod}} = \prod_{i=1}^{k}(1-p_i),\qquad P(\text{aspoň 1 úspěch}) = 1-(1-P_{\text{průchod}})^{N}\]

Kde \(p_i\) je podíl pokusů, které zastaví \(i\)-tá vrstva. Očekávaný počet úspěšných pokusů je \(N\cdot P_{\text{průchod}}\).

Příklad Čtyři průměrné vrstvy

Čtyři vrstvy, každá zastaví 70 % pokusů: \(0{,}3^4 = 0{,}0081\), projde 0,81 %. Při 1 000 pokusech ročně je to v průměru 8,1 úspěchu a pravděpodobnost aspoň jednoho je \(1-0{,}9919^{1000} \approx 99{,}97\) %. Závěr: při velkém počtu pokusů jednou něco projde. Proto patří mezi vrstvy i detekce a reakce a zálohy, které omezí dopad.

Pozor

Násobení platí jen pro nezávislé vrstvy. Pokud všechny vrstvy spoléhají na totéž (například na to, že uživatel pozná podvodnou doménu), jejich díry leží v řadě a obrana je slabší, než čísla tvrdí. Dobré vrstvy jsou různého druhu: technické, organizační a lidské.

2.5Procvičení

Tři vrstvy zastaví každá 50 % pokusů. Jaký podíl projde? Jaká je pravděpodobnost aspoň jednoho úspěchu při 10 pokusech?

\(0{,}5^3 = 0{,}125\), projde 12,5 %. Aspoň jeden úspěch: \(1-0{,}875^{10} = 0{,}737\), tedy asi 74 %.

Filtr pošty zastaví 90 % podvodných zpráv, uživatel nerozpozná 30 % z těch, které dojdou. Kolik ze 100 podvodných zpráv skončí kliknutím?

\(100\cdot0{,}1\cdot0{,}3 = 3\) zprávy. Pravděpodobnost, že aspoň jedna ze 100 uspěje, je \(1-0{,}97^{100} = 95{,}2\) %. Proto za uživatelem musí následovat další vrstva, například vícefaktorové ověření.

Vrstvy propouštějí 20 %, 30 %, 50 % a 40 % pokusů. Kolik úspěšných pokusů čekat z 500 ročně?

\(0{,}2\cdot0{,}3\cdot0{,}5\cdot0{,}4 = 0{,}012\); \(500\cdot0{,}012 = 6\) úspěšných pokusů za rok, pravděpodobnost aspoň jednoho 99,8 %.

Firma propustí správce systémů a jeho účet zůstane aktivní tři měsíce. O jaký typ hrozby jde a co ji omezí?

Vnitřní hrozba (bývalý zaměstnanec s platným přístupem) a zvětšená útočná plocha. Pomůže proces odchodu zaměstnance: zrušit účty a přístupy v den odchodu, změnit sdílená hesla, revidovat oprávnění pravidelně.

Proč malá firma nemá spoléhat na to, že „nás nikdo napadat nebude, nejsme zajímaví“?

Většina útoků je hromadná: příležitostní útočníci a zločinci zkoušejí automaticky tisíce cílů a hledají slabiny (uniklá hesla, neaktualizované služby), ne konkrétní firmy. Zajímavé jsou pro ně peníze, data a výpočetní výkon kohokoli.

Co si odnést

Nejčastějším útočníkem je zločinec, který útočí hromadně kvůli penězům.
Útok má fáze a v každé ho lze zastavit nebo odhalit.
Menší útočná plocha znamená méně míst, kudy lze vniknout.
Několik nezávislých nedokonalých vrstev je lepší než jedna „dokonalá“.

Část IZáklady

Hesla a autentizacezáklady

Heslo je nejstarší a nejslabší způsob, jak dokázat, že jste to vy. Slabé není proto, že by matematika nefungovala, ale proto, že si lidé volí předvídatelná hesla a používají je opakovaně. Dlouhé náhodné heslo ze správce hesel, druhý faktor a přístupové klíče (passkeys) z něj dělají pevnou bránu.

🔑

Heslo je jako klíč od bytu, který lze okopírovat, aniž byste si všimli. Když stejný klíč pasuje i na chatu, auto a kancelář, stačí jedna ztráta. Druhý faktor je jako vrátný, který vás zná od vidění: ukradený klíč sám nestačí. Přístupový klíč je pak zámek, který se otevře jen u správných dveří – u falešných dveří vůbec nezareaguje.

Entropie hesla a doba hádání

Jak dlouho by trvalo uhodnout náhodně vygenerované heslo zkoušením všech možností? Záleží na délce, sadě znaků a hlavně na tom, kolik pokusů za sekundu útočník zvládne. Ten údaj určuje služba: přihlašovací formulář s omezením pokusů je něco úplně jiného než uniklá databáze.

LABORATOŘ

Délka (znaků nebo slov)

Model: heslo je vybrané náhodně a rovnoměrně, útočník zkouší všechny možnosti a v průměru uspěje v polovině. Laboratoř počítá jen řády, nic neprolamuje. Pro hesla vymyšlená člověkem (slovo, jméno, rok, vykřičník) výpočet neplatí: zkoušejí se nejdřív nejčastější volby a hesla ze seznamů uniklých hesel padnou téměř okamžitě, ať jsou jakkoli dlouhá.

Minihra: odolá to phishingu?

Útočník vás vylákal na věrnou kopii přihlašovací stránky na cizí doméně a vše, co tam zadáte, hned použije na skutečné službě. Které způsoby přihlášení ho zastaví?

MINIHRA

0 / 8

+Teorie: autentizace, entropie, ukládání hesel, správce hesel, MFA a přístupové klíče

3.1Identifikace, autentizace, autorizace

Identifikace je tvrzení „jsem Jana“ (uživatelské jméno). Autentizace je důkaz tohoto tvrzení (heslo, klíč, otisk prstu). Autorizace je rozhodnutí, co smí ověřený uživatel dělat (číst, měnit, schvalovat platby). Chyba v kterémkoli kroku je bezpečnostní problém; nejčastější je slabá autentizace a příliš široká autorizace.identification, authentication, authorization

Obr. 3.1 Tři druhy autentizačních faktorů. Heslo a PIN jsou tentýž druh, jejich kombinace není dvoufaktorová. U přístupových klíčů biometrie jen odemyká soukromý klíč uložený v zařízení; otisk prstu neopouští telefon.

3.2Entropie a skutečná síla hesla

Matematiku entropie vykládá průvodce Informatika (kapitola 3.7): \(L\) náhodných symbolů z \(N\) možností má \(H = L\log_2 N\) bitů a počet možností je \(2^{H}\). Tady jde o praxi. Rozhodující je model útoku:password entropy, online attack, offline attack

Online útok – útočník zkouší heslo přes přihlašovací formulář. Služba ho zpomalí a po několika chybách účet dočasně zablokuje; prakticky jde o jednotky až desítky pokusů za sekundu, často mnohem méně.
Offline útok – uniklá databáze otisků hesel. Útočník zkouší na vlastních strojích bez omezení; rychlost závisí jen na tom, jak pomalou funkcí služba hesla uložila.
Plošné zkoušení a zkoušení uniklých dvojic – místo hádání jednoho hesla zkouší několik nejběžnějších hesel na tisících účtů, nebo dvojice jméno–heslo uniklé z jiné služby. Proti tomu entropie nepomůže, pomůže jen jiné heslo pro každou službu a druhý faktor.password spraying, credential stuffing

**Tab. 3.1**Průměrná doba hádání náhodného hesla (řádově)
Heslo	Entropie	online 10/s	pomalý haš 10⁴/s	rychlý haš 10¹⁰/s
PIN 4 číslice	13,3 b	8,3 min	0,5 s	okamžitě
8 znaků z 94	52,4 b	9,7 mil. let	9 700 let	3,5 dne
4 náhodná slova	51,7 b	5,8 mil. let	5 800 let	2,1 dne
12 znaků z 62	71,5 b	\(5\cdot10^{12}\) let	5 mld. let	5 100 let
6 náhodných slov	77,5 b	\(3{,}5\cdot10^{14}\) let	350 mld. let	350 000 let

Doba = \(2^{H-1}\) / rychlost. Online formulář ve skutečnosti uzamkne účet dřív, než by útočník vyzkoušel i zlomek možností; PIN chrání právě omezení počtu pokusů.

3.3Jak služby hesla ukládají

Slušná služba heslo vůbec neukládá. Uloží jen otisk (haš) hesla spočítaný jednosměrnou funkcí, takže z databáze se heslo přímo přečíst nedá. K heslu přidá sůl, náhodný řetězec jedinečný pro každého uživatele, aby stejná hesla měla různé otisky a útočník nemohl použít předpočítané tabulky. A použije záměrně pomalou funkci s nastavitelnou náročností (například Argon2id, scrypt, bcrypt nebo PBKDF2), aby každý pokus stál čas a paměť. Rozdíl mezi rychlou a pomalou funkcí jsou v tabulce 3.1 právě ty tři až šest řádů.password hashing, salt, key derivation function

Obr. 3.2 Princip bezpečného ukládání hesel. Únik databáze pak útočníkovi nedá hesla, jen otisky, a každý pokus o uhodnutí ho stojí výpočet pomalé funkce.

Pozor

Pokud vám služba po zapomenutí pošle vaše původní heslo e-mailem, ukládá ho čitelně nebo vratně zašifrované. Takové službě nesvěřujte heslo, které používáte jinde – a nejlépe žádné opakované heslo nikde.

3.4Správce hesel a doporučení

Správce hesel je šifrovaná schránka, která pro každou službu vygeneruje dlouhé náhodné heslo a sama ho vyplní – a to jen na doméně, pro kterou je uložené, takže nepřímo chrání i před podvodnou stránkou. Uživatel si pamatuje jediné silné hlavní heslo (například 5–6 náhodných slov) a hlavní účet chrání druhým faktorem.password manager

Americký standard NIST SP 800-63B-4 (2025), z něhož vycházejí i evropská doporučení, žádá u hesla jako jediného faktoru délku aspoň 15 znaků, u hesla s druhým faktorem aspoň 8; služby mají povolit aspoň 64 znaků, nevyžadovat pravidelnou změnu bez důvodu ani pravidla typu „velké písmeno a číslice“ a mají odmítat hesla ze seznamů uniklých a běžných hesel. Doporučení pro uživatele vydává i NÚKIB.

Pomůcka

Jedna služba – jedno heslo – správce hesel – druhý faktor. Heslo měňte, když uniklo nebo máte podezření, ne podle kalendáře.

3.5Vícefaktorové ověření

Vícefaktorové ověření (MFA, u dvou faktorů 2FA) vyžaduje aspoň dva faktory různého druhu. Druhé faktory se liší odolností:multi-factor authentication

Kód z SMS – lepší než nic, ale SMS lze přesměrovat (podvodná výměna SIM karty u operátora) a kód lze vylákat.
Kód z aplikace (jednorázové heslo podle času, TOTP, RFC 6238) – generuje se v telefonu, nejde přes operátora; i ten ale člověk může opsat do podvodné stránky.time-based one-time password
Potvrzení v aplikaci (push) – pohodlné; útočník s ukradeným heslem ale může posílat žádosti tak dlouho, až je unavený uživatel potvrdí. Obranou je zobrazení kódu, který musí uživatel opsat, a nikdy nepotvrzovat přihlášení, o které jste nežádali.push notification, MFA fatigue
Bezpečnostní klíč a přístupové klíče (FIDO2/WebAuthn) – odolné vůči phishingu, viz 3.6.

Příklad Kolik dá šestimístný kód

Kód TOTP má \(10^6\) možností. Pokud služba povolí 5 pokusů, než kód zablokuje, je šance uhodnout ho \(5/10^6 = 0{,}0005\) %. Druhý faktor tedy hádáním nepadne; padá tím, že ho uživatel sám někomu sdělí.

3.6Přístupové klíče (passkeys)

Přístupový klíč nahrazuje heslo dvojicí klíčů asymetrické kryptografie (Informatika, kapitola 9). Při registraci zařízení vytvoří pro danou službu nový pár: veřejný klíč dostane služba, soukromý klíč zůstane v zařízení (nebo v synchronizované šifrované schránce) a odemyká se otiskem prstu, obličejem nebo PINem zařízení. Při přihlášení služba pošle náhodnou výzvu, zařízení ji podepíše a služba podpis ověří veřejným klíčem. Standard Web Authentication (W3C) a protokoly FIDO2 do podpisu zahrnují i doménu, na které se uživatel nachází.passkey, challenge–response, WebAuthn, FIDO2

Obr. 3.3 Přihlášení přístupovým klíčem. Služba nemá žádné tajemství, které by mohlo uniknout, a podpis vytvořený pro podvodnou doménu by na skutečné službě neplatil. Proto přístupové klíče odolávají phishingu.

3.7Obnova účtu – zadní vrátka

Účet je tak bezpečný, jak bezpečná je jeho obnova. Pokud lze heslo obnovit odpovědí na „jméno vašeho psa“ (dohledatelné na sociální síti) nebo jen přes e-mail chráněný slabým heslem, druhý faktor útočník obejde. Proto: e-mailová schránka je klíč ke všemu a zaslouží nejsilnější ochranu; záložní kódy pro obnovu uložte offline; bezpečnostní otázky vyplňujte náhodnými odpověďmi ze správce hesel.account recovery

3.8Procvičení

Kolik bitů entropie přidá k heslu jedno další náhodné slovo ze seznamu 7 776 slov? Kolikrát se zvětší počet možností?

\(\log_2 7\,776 = 12{,}92\) bitu; počet možností se zvětší 7 776krát.

Heslo má 15 náhodných malých písmen. Jaká je entropie a průměrná doba hádání při \(10^{10}\) pokusech za sekundu?

\(15\log_2 26 = 70{,}5\) bitu. \(2^{69{,}5}/10^{10}\ \text{s} \approx 8{,}4\cdot10^{10}\) s, tedy asi 2 660 let.

Uniklá databáze používala pomalou funkci (\(10^{4}\) pokusů/s) místo rychlé (\(10^{10}\)/s). O kolik bitů „delší“ heslo to odpovídá?

Zpomalení \(10^{6}\)krát odpovídá \(\log_2 10^{6} = 19{,}9\) bitu, tedy asi třem náhodným znakům ze 94 navíc (\(3\cdot6{,}55 = 19{,}7\) bitu).

Uživatel má heslo „Leto2026!“, které splňuje pravidla „velké písmeno, číslice, znak“. Proč je přesto slabé?

Je vymyšlené člověkem podle běžného vzoru (slovo s velkým písmenem, rok, vykřičník). Útočníci zkoušejí právě takové vzory a slovníky dřív než náhodné kombinace, takže skutečná entropie je zlomkem teoretických \(9\log_2 94 = 59\) bitů.

Proč přístupový klíč neohrozí únik databáze služby?

Služba ukládá jen veřejný klíč. Z něj nelze odvodit soukromý klíč a nelze jím podepsat výzvu. Únik veřejných klíčů útočníkovi k přihlášení nepomůže.

Přijde vám nečekaná žádost „Potvrďte přihlášení“ v aplikaci banky. Co to znamená a co udělat?

Někdo pravděpodobně zná vaše heslo a zkouší se přihlásit. Žádost odmítnout, heslo změnit (přímo v aplikaci nebo na stránce zadané ručně) a případně kontaktovat banku na oficiálním čísle.

Co si odnést

Síla hesla závisí na náhodnosti, délce a na tom, jak ho služba ukládá.
Každá služba vlastní heslo; to zvládne jen správce hesel.
Druhý faktor zastaví většinu útoků s ukradeným heslem; SMS je nejslabší varianta.
Přístupové klíče jsou vázané na doménu, proto odolávají phishingu.

Část IITechnika obrany

Kryptografie v praxistřední škola

Moderní šifry se v praxi prakticky neprolamují; selhává to kolem nich: kde data šifrovaná nejsou, kdo drží klíče a komu věříme. Tato kapitola nevykládá matematiku (tu najdete v průvodci Informatika, kapitola 9), ale odpovídá na praktickou otázku: před kým mě konkrétní šifrování chrání – a před kým ne?

✉️

HTTPS je zalepená obálka mezi vámi a poštovním úřadem adresáta: pošťák ji nepřečte, ale úřad ji otevře. Koncové šifrování je obálka, kterou umí otevřít jen adresát, takže ani úřad nevidí dovnitř. VPN je to, že celou obálku vložíte do další obálky adresované kamarádovi, který ji teprve odnese dál: pošťák u vás nevidí cíl, ale kamarád ano.

Kdo vidí co

Vyberte, co děláte, a zapněte nebo vypněte jednotlivé vrstvy šifrování. Tabulka ukáže, kdo po cestě vidí obsah a kdo jen metadata (s kým a kdy komunikujete).

LABORATOŘ

Model: zjednodušeně, bez chyb implementace. Doména webu bývá u HTTPS viditelná v úvodu spojení (pole SNI), dokud server a prohlížeč nepoužívají šifrované ECH. Koncové šifrování má smysl jen u komunikace mezi lidmi (chat, hovor); u webu je „koncem“ sám server. Obsah vždy vidí ten, komu ho posíláte.

+Teorie: tři nástroje kryptografie, šifrování za přenosu a v klidu, certifikáty, VPN, správa klíčů a postkvantová éra

4.1Tři nástroje

Kryptografie dává obráncům tři nástroje; podrobný výklad algoritmů (AES, hašovací funkce, RSA, digitální podpis) je v průvodci Informatika, kapitola 9.

Obr. 4.1 Symetrická šifra chrání důvěrnost, asymetrická kryptografie umožňuje dohodu o klíči a podpis, hašovací funkce hlídá integritu. Každý protokol v této kapitole je jejich kombinací.

Příklad Proč se klíč AES nehádá

Klíč AES-128 má \(2^{128}\) možností. Kdyby útočník vyzkoušel \(10^{18}\) klíčů za sekundu, trvalo by průměrné uhodnutí \(2^{127}/10^{18}\ \text{s} \approx 5{,}4\cdot10^{12}\) let, asi 390krát déle, než je stáří vesmíru (13,8 mld. let). Útoky proto míří jinam: na hesla, ze kterých se klíč odvozuje, na krádež klíče ze zařízení a na lidi.

Kerckhoffsův princip (1883): bezpečnost šifry má záviset jen na utajení klíče, ne algoritmu. Proto obránci používají veřejné, roky zkoumané standardy a nikdy si nevymýšlejí „vlastní šifru“.Kerckhoffs's principle

4.2Za přenosu, v klidu, koncově

Šifrování za přenosu chrání data na cestě sítí (TLS u webu a e-mailu mezi servery, šifrovaná Wi-Fi). Na serveru jsou data opět čitelná.encryption in transit
Šifrování v klidu chrání uložená data: šifrování celého disku notebooku a telefonu, šifrované zálohy, šifrovaná databáze. Chrání před krádeží zařízení, ne před útočníkem, který ovládne zapnutý a odemčený počítač.encryption at rest
Koncové šifrování šifruje zprávu u odesílatele klíčem, který má jen příjemce. Provozovatel služby přenáší jen šifrovaný text; vidí ale metadata – kdo, komu, kdy a kolik.end-to-end encryption (E2EE), metadata

Obr. 4.2 Šifrování spojení chrání úsek po úseku a na serveru je zpráva čitelná. Koncové šifrování chrání celou cestu; klíče mají jen koncová zařízení.

Pozor

Koncové šifrování nechrání koncová zařízení. Pokud má někdo přístup k odemčenému telefonu, zálohám zpráv v nešifrovaném úložišti nebo k zařízení napadenému škodlivým programem, přečte zprávy po dešifrování. Šifrování zabezpečí cestu, ne konce.

4.3Certifikáty a řetěz důvěry

Při navázání HTTPS server předloží certifikát: veřejný klíč a doménu podepsané certifikační autoritou. Prohlížeč ověří podpis až ke kořenovému certifikátu, který má předinstalovaný v úložišti důvěryhodných autorit, zkontroluje, že doména sedí a certifikát neprošel. Všechny vydané certifikáty se zapisují do veřejných protokolů transparentnosti (Certificate Transparency, RFC 9162), takže vlastník domény může zjistit, zda někdo nevydal certifikát na jeho jméno.certificate, certificate authority, chain of trust

Obr. 4.3 Řetěz důvěry certifikátů. Prohlížeč ověřuje podpisy odspodu nahoru, až dojde ke kořenu, kterému věří.

Platnost certifikátů se zkracuje, aby se omezila škoda z ukradeného klíče: sdružení certifikačních autorit a prohlížečů v roce 2025 schválilo postupné zkrácení maximální platnosti z 398 dní až na 47 dní v roce 2029. Obnova proto musí být automatická.

4.4VPN: co umí a co ne

Virtuální privátní síť vytvoří šifrovaný tunel mezi zařízením a bránou VPN. Ve firmě slouží k tomu, aby se zaměstnanec z domova bezpečně připojil do vnitřní sítě. Pro jednotlivce skryje provoz před místní sítí (veřejná Wi-Fi) a poskytovatelem připojení – ale veškerou důvěru přesune na provozovatele VPN, který teď vidí totéž co předtím poskytovatel. VPN nechrání před phishingem, škodlivým programem ani sledováním přes přihlášený účet.virtual private network

4.5Správa klíčů

Šifra je silná jako ochrana jejího klíče. Správa klíčů řeší jejich vytvoření (kvalitní náhodnost), uložení (bezpečnostní čip v zařízení, hardwarový bezpečnostní modul), rotaci, zálohu a zničení. Nejčastější selhání: klíč nebo heslo uložené v kódu aplikace či ve veřejném repozitáři, šifrovaný disk se ztraceným obnovovacím klíčem, sdílený klíč, který nikdo neodvolal.key management, hardware security module (HSM)

Příklad Kolik klíčů potřebuje 100 lidí

Se symetrickou šifrou potřebuje každá dvojice vlastní klíč: \(\binom{100}{2} = 100\cdot99/2 = 4\,950\) klíčů, které je třeba bezpečně předat. S asymetrickou kryptografií má každý jeden pár, tedy 100 párů, a veřejné klíče lze zveřejnit. Proto se asymetrická kryptografie používá k dohodě o klíči a symetrická k samotnému šifrování.

4.6Postkvantová kryptografie

Dostatečně velký kvantový počítač by prolomil dnešní asymetrickou kryptografii (RSA, eliptické křivky); symetrickým šifrám a hašům by jen zhruba zmenšil efektivní délku klíče na polovinu, což řeší delší klíče (AES-256). Americký standardizační úřad NIST vydal v srpnu 2024 první postkvantové standardy FIPS 203 (dohoda o klíči ML-KEM), FIPS 204 a 205 (podpisy ML-DSA a SLH-DSA). Spěch má důvod: útočník může šifrovaný provoz uložit dnes a dešifrovat ho za roky („sklízej teď, dešifruj později“). Data, která mají zůstat tajná desítky let, je proto třeba chránit postkvantově už nyní; NÚKIB i ENISA doporučují začít s inventurou kryptografie a přechodem.post-quantum cryptography, harvest now – decrypt later

4.7Procvičení

Na veřejné Wi-Fi otevřete přes HTTPS stránku https://knihovna.example/vypujcky. Co vidí provozovatel Wi-Fi?

Vidí vaši a cílovou IP adresu, čas a objem přenosu a obvykle i doménu knihovna.example (z dotazu DNS a z úvodu spojení). Nevidí cestu „/vypujcky“ ani obsah stránky – ty jsou šifrované.

Firma chce, aby ztracený služební notebook neznamenal únik dat. Jaké šifrování potřebuje a co k němu?

Šifrování celého disku (v klidu) s klíčem v bezpečnostním čipu a odemykáním PINem nebo heslem; k tomu bezpečně uložený obnovovací klíč (jinak riskuje ztrátu dat) a možnost zařízení na dálku zablokovat. Proti útočníkovi u zapnutého a odemčeného notebooku to nepomůže – proto automatické zamykání.

Kolik symetrických klíčů potřebuje 20 lidí, aby si každá dvojice psala důvěrně?

\(20\cdot19/2 = 190\) klíčů. S asymetrickou kryptografií 20 párů klíčů.

Provozovatel chatu s koncovým šifrováním dostane soudní příkaz vydat obsah zpráv. Co může vydat?

Obsah nemá (má jen šifrovaný text bez klíčů). Může vydat metadata, která uchovává: kdo s kým a kdy komunikoval, IP adresy, údaje o účtu. Metadata bývají velmi vypovídající.

Proč kvantový počítač ohrožuje víc RSA než AES-256?

Shorův algoritmus řeší rozklad na prvočinitele a diskrétní logaritmus v polynomiálním čase, takže RSA a eliptické křivky padají. Proti symetrickým šifrám pomáhá jen Groverův algoritmus, který prohledávání zrychlí kvadraticky: AES-256 má pak bezpečnost zhruba \(2^{128}\), což stále stačí.

Co si odnést

Šifry se nehádají; selhávají klíče, nešifrovaná místa a lidé.
HTTPS chrání cestu k serveru, koncové šifrování i před serverem, šifrování disku před krádeží zařízení.
Metadata (kdo, komu, kdy) zůstávají viditelná i při dobrém šifrování.
VPN přesouvá důvěru na svého provozovatele; není to všelék.

Část IITechnika obrany

Sítě a jejich ochranastřední škola

Síť, ve které vidí každé zařízení každé jiné, je jako dům bez vnitřních dveří: kdo projde vchodem, dostane se všude. Firewall rozhoduje, které spojení je povolené, segmentace dělí síť na zóny a princip nulové důvěry říká, že ani uvnitř sítě nikdo nedostane přístup jen proto, že „je uvnitř“.

🚢

Lodě mají trup rozdělený přepážkami na vodotěsné oddíly. Když se jeden prorazí, voda zaplaví jen ten oddíl a loď pluje dál. Segmentace sítě dělá totéž: napadená kamera ve vrátnici nemá cestu k účetnictví a nakažený notebook nezašifruje zálohy.

Segmentace: kam se útočník dostane

Malá firma: kancelář, servery, webový server, kamery a čidla, Wi-Fi pro hosty, zálohy. Vyberte, které zařízení útočník ovládl, a zapínejte opatření. Oranžově se obarví vše, kam se může dál dostat po povolených spojeních.

LABORATOŘ

Model: nejhorší případ – kam vede povolené spojení, tam se útočník dostane. Zóny s firewallem povolují jen nutné toky (stanice → souborový server a správa účtů, web → databáze, správa → zálohy). Izolace stanic zakazuje spojení mezi počítači v kanceláři. Chráněná správa znamená, že správu účtů lze ovládat jen z vyhrazené správcovské stanice. Offline zálohy nejsou ze sítě dosažitelné. Ve skutečnosti se útočník musí přes každé spojení ještě dostat – model ukazuje, kam může dojít.

+Teorie: firewall, segmentace a DMZ, Wi-Fi, detekce a nulová důvěra

5.1Firewall

Firewall propouští nebo zahazuje síťový provoz podle pravidel. Pravidlo říká, odkud kam, jakým protokolem a na jakou službu (port) smí spojení vést. Základní zásada je výchozí zákaz: povoleno je jen to, co je výslovně vyjmenované, vše ostatní je zakázané.firewall, default deny, allow list

Paketový filtr posuzuje každý paket zvlášť podle adres a portů.
Stavový firewall si pamatuje navázaná spojení: odpověď na požadavek zevnitř pustí dovnitř, nevyžádaný příchozí paket zahodí. Tak funguje i domácí router.stateful firewall
Aplikační firewall rozumí obsahu protokolu (například HTTP) a umí zastavit podezřelé požadavky na web; u webových aplikací se mu říká WAF. Je to doplněk, ne náhrada bezpečného kódu (kapitola 6).web application firewall

**Tab. 5.1**Ukázka pravidel mezi zónami (čteno shora, první shoda platí)
Odkud	Kam	Služba	Akce
internet	webový server (DMZ)	HTTPS	povolit
webový server	databáze	databázové spojení	povolit
kancelář	souborový server	sdílení souborů	povolit
správcovská stanice	servery, zálohy	správa	povolit
Wi-Fi hostů	internet	web	povolit
cokoli	cokoli	cokoli	zakázat a zaznamenat

5.2Segmentace a demilitarizovaná zóna

Segmentace rozdělí síť na zóny podle účelu a důvěry (kancelář, servery, výroba, kamery a čidla, hosté) a provoz mezi nimi vede přes firewall. Technicky se zóny tvoří oddělenými fyzickými sítěmi nebo virtuálními sítěmi (VLAN) na společných přepínačích. Služby dostupné z internetu stojí v demilitarizované zóně (DMZ): když je napadne útočník, není ještě uvnitř.network segmentation, VLAN, demilitarized zone

Obr. 5.1 Klasická architektura s demilitarizovanou zónou. Služby pro veřejnost jsou odděleny od vnitřní sítě dvěma vrstvami pravidel.

Příklad Kolik cest musí hlídat plochá síť

V ploché síti s 20 zařízeními je \(20\cdot19/2 = 190\) dvojic, které spolu mohou mluvit. Po rozdělení do zón a povolení jen nutných toků jich zbudou jednotky až desítky – a každý povolený tok lze zdůvodnit, sledovat a zaznamenat. Segmentace tak zmenšuje útočnou plochu uvnitř sítě.

5.3Domácí síť a Wi-Fi

Změnit výchozí přihlašovací údaje routeru, zapnout automatické aktualizace firmwaru, vyměnit router, pro který výrobce přestal vydávat opravy.
Šifrování Wi-Fi WPA3 (případně WPA2 s dlouhým heslem); vypnout párování tlačítkem či PINem (WPS), pokud ho nepotřebujete.
Chytrá zařízení (kamery, televize, žárovky) a návštěvy do oddělené sítě pro hosty.
Správu routeru nezpřístupňovat z internetu; nepovolovat přesměrování portů, které nepotřebujete.

Ve skutečnosti

Služby vystavené do internetu najde automatické skenování velmi rychle. Celý adresní prostor IPv4 má \(2^{32}\) adres; při milionu zkoušených adres za sekundu ho skener projde za \(2^{32}/10^{6} \approx 4\,295\) s, tedy asi za 72 minut. Bezpečnostní výzkumníci i útočníci proto vědí o nově vystavené službě během hodin. Platí: co nemusí být z internetu dostupné, nemá být.

5.4Detekce v síti

Firewall rozhoduje, systém pro detekci průniku sleduje provoz a hledá známé vzorce útoků nebo neobvyklé chování (stanice, která v noci posílá gigabajty ven; tiskárna, která se pokouší přihlásit k serverům). Systém pro prevenci průniku podezřelý provoz rovnou blokuje. Záznamy ze sítě, serverů a aplikací se sbírají na jedno místo a vyhodnocují v souvislostech (systém pro správu bezpečnostních informací a událostí, SIEM; v kapitole 10 uvidíte, proč je to důležité).intrusion detection / prevention system (IDS/IPS), SIEM

5.5Nulová důvěra

Tradiční model „hrad a příkop“ věřil všemu uvnitř sítě. S prací z domova, cloudovými službami a vlastními zařízeními zaměstnanců už žádné „uvnitř“ není. Architektura nulové důvěry (NIST SP 800-207, 2020) proto ověřuje každý přístup zvlášť: kdo je uživatel (silná autentizace), z jakého zařízení (je aktualizované, spravované?), k jakému prostředku a s jakými nejmenšími nutnými oprávněními. Síťová poloha sama o sobě důvěru nezakládá.zero trust architecture

Obr. 5.2 Model hradu s příkopem chrání jen hranici. Nulová důvěra rozhoduje o každém přístupu zvlášť podle identity, stavu zařízení a kontextu.

Pozor

Nulová důvěra není výrobek, který lze koupit, ale princip návrhu. Nejdůležitější kroky jsou levné: vícefaktorové ověření pro všechny, nejmenší oprávnění, oddělené správcovské účty a přehled o zařízeních.

5.6Procvičení

Síť má 6 zón. Kolik směrovaných dvojic „odkud – kam“ musí firewall mezi zónami posoudit?

\(6\cdot5 = 30\) směrovaných dvojic. Při výchozím zákazu stačí vyjmenovat jen těch několik, které jsou povolené; ostatní platí „zakázat“.

Proč patří chytrá kamera do jiné zóny než počítače účetní?

Chytrá zařízení často mají slabé zabezpečení a dlouho nedostávají aktualizace. Pokud ji útočník ovládne, v oddělené zóně bez povolených toků do kanceláře se nedostane k počítačům ani datům.

Skener zkouší \(10^{5}\) adres za sekundu. Za jak dlouho projde celý prostor IPv4?

\(2^{32}/10^{5} = 42\,950\) s, tedy asi 11,9 hodiny.

Firma používá VPN pro práci z domova. Zaměstnanec se připojí z napadeného domácího počítače. Co z toho plyne pro model „hrad a příkop“?

VPN přivede napadené zařízení dovnitř hradu a model mu bude věřit. Nulová důvěra by navíc ověřovala stav zařízení (spravované, aktualizované, s ochranou) a přidělila jen nejmenší nutný přístup k jednotlivým aplikacím, ne k celé síti.

V tabulce pravidel je jako první řádek „kancelář → cokoli: povolit“ a pod ním konkrétní zákazy. Co je špatně?

Při vyhodnocení „první shoda platí“ se zákazy pod ním nikdy neuplatní. Pravidla mají jít od konkrétních k obecným a končit výchozím zákazem.

Co si odnést

Firewall pracuje s výchozím zákazem: povoleno je jen to, co je nutné.
Segmentace dělí síť na oddíly; průnik do jednoho neznamená průnik všude.
Co nemusí být dostupné z internetu, nemá být; skenery to najdou za hodiny.
Nulová důvěra ověřuje každý přístup, poloha v síti důvěru nezakládá.

Část IITechnika obrany

Webová bezpečnoststřední škola

Webová aplikace je dveřmi, které jsou otevřené celému internetu, a každý formulář je místem, kde do ní vstupují data od cizích lidí. Většina chyb má společný kořen: aplikace věří tomu, co přišlo zvenku, nebo zapomene ověřit, kdo co smí. Organizace OWASP shrnuje nejčastější rizika do žebříčku Top 10.

🏦

Úřednice na přepážce nesmí vydat výpis z účtu jen proto, že někdo řekne číslo účtu – musí ověřit, že je to jeho účet (řízení přístupu). A když klient vyplní formulář, úřednice ho čte jako údaje, ne jako pokyny: kolonka „jméno“ s textem „a vydejte mi trezor“ je pořád jen jméno (oddělení dat a příkazů). Na těchto dvou zásadách stojí většina webové obrany.

Kontrolní seznam bezpečné aplikace

Zapínejte opatření a sledujte, jak pokrývají deset kategorií OWASP Top 10:2025. Každé opatření působí na jednu nebo dvě kategorie; kategorie je pokrytá, když jsou zapnutá všechna její hlavní opatření.

LABORATOŘ

Model: zjednodušené přiřazení opatření ke kategoriím pro výuku. Skutečné pokrytí závisí na tom, jak dobře je opatření provedené, a ověřuje se testováním a revizí kódu. Žádný seznam nenahradí bezpečný návrh.

Minihra: která kategorie?

Přiřaďte popis chyby ke kategorii OWASP. Popisy jsou obecné, bez technických podrobností.

MINIHRA

0 / 8

+Teorie: hranice důvěry, OWASP Top 10:2025, injekce, řízení přístupu a bezpečný vývoj

6.1Hranice důvěry

Jak prohlížeč a server komunikují (HTTP, HTTPS) a jak se pracuje s databází (SQL), vysvětluje průvodce Informatika (kapitoly 3 a 10). Pro bezpečnost je klíčový pojem hranice důvěry: místo, kde data přecházejí z prostředí, které nekontrolujeme (prohlížeč uživatele, cizí služba), do prostředí, které kontrolujeme (server). Vše, co hranici překročí, je nedůvěryhodný vstup – včetně skrytých polí formuláře, cookies a hlaviček, protože uživatel je může libovolně změnit.trust boundary, untrusted input

Obr. 6.1 Požadavek z prohlížeče překračuje hranici důvěry. Server ověří vstup, identitu a oprávnění, data do databáze předává odděleně od příkazů a do stránky je vkládá jako text, ne jako kód.

6.2OWASP Top 10:2025

OWASP (Open Worldwide Application Security Project) je nezisková komunita, která zdarma publikuje návody a standardy pro bezpečný vývoj. Žebříček Top 10 vychází z dat o nalezených chybách a z průzkumu mezi odborníky; aktuální verze je z roku 2025 (předchozí 2021). Není to úplný seznam, ale společný jazyk vývojářů, testerů a manažerů.OWASP Top 10

**Tab. 6.1**OWASP Top 10:2025 – co kategorie znamená a hlavní obrana
Kategorie	Co se pokazí	Hlavní obrana
A01 Nefunkční řízení přístupu	uživatel vidí nebo mění cizí data či funkce; nově sem patří i podvržené požadavky serveru na vnitřní adresy (SSRF)	kontrola oprávnění na serveru u každého požadavku, výchozí zákaz
A02 Chybná bezpečnostní konfigurace	výchozí hesla, zapnuté ladicí výpisy, zbytečné služby, otevřená úložiště	bezpečné výchozí nastavení, automatizovaná a kontrolovaná konfigurace
A03 Selhání dodavatelského řetězce softwaru	zranitelné nebo podvržené knihovny, nástroje a aktualizace	přehled závislostí (SBOM), aktualizace, ověřený původ, nejmenší počet závislostí
A04 Kryptografická selhání	citlivá data bez šifrování, zastaralé algoritmy, špatně uložená hesla	HTTPS všude, standardní knihovny, pomalé funkce pro hesla (kapitola 3)
A05 Injekce	vstup od uživatele se vykoná jako příkaz (databáze, systém, stránka)	parametrizované dotazy, kódování výstupu, ověření vstupu
A06 Nezabezpečený návrh	chyba už v logice aplikace (například neomezené slevové kódy)	modelování hrozeb, bezpečnostní požadavky od začátku
A07 Selhání autentizace	hádání hesel, slabá obnova účtu, špatná správa relací	MFA, omezení pokusů, bezpečné relace
A08 Selhání integrity softwaru a dat	aktualizace nebo data bez ověření, že je nikdo nezměnil	digitální podpisy, kontrola integrity při sestavení a nasazení
A09 Selhání záznamů a upozornění	útok proběhne a nikdo si ho nevšimne	záznamy bezpečnostních událostí, upozornění, reakce
A10 Chybné ošetření výjimečných stavů	při chybě aplikace „selže otevřeně“, prozradí podrobnosti nebo zůstane v nekonzistentním stavu	bezpečné selhání (při chybě odepřít), jednotné ošetření chyb

České názvy jsou volný překlad tohoto průvodce; závazné jsou anglické názvy na stránkách OWASP. Ověřeno 13. 10. 2026.

6.3Injekce: data nejsou příkazy

Injekce nastává, když aplikace slepí příkaz (například databázový dotaz) dohromady s textem od uživatele. Pokud text obsahuje znaky, které mají v jazyce příkazu zvláštní význam, změní smysl příkazu. Stejný princip má skriptování napříč weby (XSS): text od jednoho uživatele se vloží do stránky jiného uživatele jako kód a jeho prohlížeč ho spustí. Obrana je ve všech případech stejná – data a příkaz se předávají odděleně.injection, cross-site scripting (XSS)

Obr. 6.2 Princip obrany proti injekci. Parametrizovaný dotaz posílá šablonu příkazu a hodnoty odděleně, takže žádný vstup nemůže změnit význam příkazu. Totéž platí pro vkládání textu do stránky: prohlížeč ho dostane jako text, ne jako kód.

Pozor

„Vyčistit“ vstup odstraněním podezřelých znaků je nespolehlivé – vždy se najde jiný zápis. Spolehlivé je oddělení dat od příkazu (parametry) a kódování výstupu podle místa, kam se text vkládá. Ověření vstupu (je to opravdu datum, číslo, e-mail?) je doplňková vrstva.

6.4Řízení přístupu

Nejčastější kategorie žebříčku je i nejjednodušší na pochopení. Aplikace ukazuje uživateli jen jeho objednávky, ale server při požadavku na objednávku číslo 1 042 neověří, že patří právě jemu – stačí změnit číslo v adrese. Takové chybě se říká nezabezpečený přímý odkaz na objekt. Oprávnění se proto kontroluje na serveru, u každého požadavku, s výchozím zákazem; skrytí tlačítka v prohlížeči není ochrana.broken access control, insecure direct object reference (IDOR)

Bezpečné nastavení prohlížeče doplňují bezpečnostní hlavičky a atributy cookies: Secure (cookie jen přes HTTPS), HttpOnly (nepřečte ji skript na stránce), SameSite (neposílá se při požadavcích z cizích webů) a zásady zabezpečení obsahu (CSP), které prohlížeči říkají, odkud smí stránka načítat skripty.security headers, Content Security Policy

6.5Bezpečný vývoj

Modelování hrozeb při návrhu: co budujeme, co se může pokazit, co s tím uděláme, udělali jsme to dobře? Pomůckou je rozdělení hrozeb do šesti tříd STRIDE (podvržení identity, manipulace, popření, únik informací, odepření služby, zvýšení oprávnění).threat modeling, STRIDE
Revize kódu druhou osobou, automatická analýza zdrojového kódu a testy běžící aplikace při každém sestavení.code review, SAST, DAST
Seznam softwarových součástí (SBOM) – přehled všech knihoven, aby bylo při ohlášení zranitelnosti hned jasné, koho se týká. Nařízení EU o kybernetické odolnosti (2024/2847) ho vyžaduje u produktů s digitálními prvky.software bill of materials, Cyber Resilience Act
Penetrační test – řízené testování zabezpečení odborníkem, vždy na základě písemné smlouvy s vlastníkem systému a s vymezeným rozsahem (kapitola 12).penetration test

Ve skutečnosti

Projekt OWASP vydává vedle žebříčku i podrobnější standard pro ověřování bezpečnosti aplikací (ASVS) a stručné „taháky“ k jednotlivým tématům. Pro vývojáře jsou praktičtější než žebříček sám: říkají, co přesně ověřit.

6.6Procvičení

Aplikace skryje tlačítko „Smazat uživatele“ všem kromě správce. Je to dostatečné řízení přístupu?

Ne. Skrytí tlačítka je jen uživatelské rozhraní; požadavek na smazání lze poslat i bez něj. Server musí u každého požadavku ověřit, že ho posílá správce (A01).

Přihlášení povolí 5 pokusů za minutu na účet. Kolik hesel lze maximálně vyzkoušet za den a za jak dlouho by útočník prošel seznam 10 000 nejčastějších hesel?

\(5\cdot60\cdot24 = 7\,200\) pokusů denně; \(10\,000/7\,200 = 1{,}39\) dne. Omezení rychlosti samo nestačí: přidává se postupné prodlužování čekání, odmítání běžných hesel a MFA (A07).

Aplikace má 12 přímých závislostí a každá průměrně 8 dalších (nepřímých). Kolik součástí je třeba sledovat?

\(12 + 12\cdot8 = 108\) součástí (bez případných překryvů). Ručně to sledovat nejde; proto SBOM a automatické upozornění na známé zranitelnosti (A03).

Při výpadku databáze aplikace zobrazí celou chybovou hlášku včetně názvů tabulek a cesty k souborům. Které kategorie se to týká a co dělat?

A10 (ošetření výjimečných stavů) a A02 (konfigurace – zapnuté ladicí výpisy). Uživateli ukázat obecnou hlášku s identifikátorem chyby, podrobnosti zapsat jen do záznamů na serveru.

Proč je modelování hrozeb levnější než oprava po nasazení?

Chyba v návrhu (A06) se v hotové aplikaci opravuje přestavbou logiky, migrací dat a novým testováním; na papíře je to škrt tužkou. Navíc chybu v návrhu nenajde žádný automatický nástroj, protože kód dělá přesně to, co bylo navrženo.

Co si odnést

Vše, co přijde z prohlížeče, je nedůvěryhodný vstup.
Oprávnění se kontroluje na serveru u každého požadavku.
Data a příkazy se předávají odděleně; to je obrana proti injekci.
Bezpečnost patří do návrhu, revize kódu a správy závislostí, ne až na konec.

Část IITechnika obrany

Malware, ransomware a zálohystřední škola

Škodlivý program se do počítače obvykle nedostane sám: někdo ho otevře, nainstaluje nebo nechá dveře otevřené neopravenou chybou. Vyděračský program (ransomware) pak zašifruje data a požaduje výkupné. Nejlepší pojistkou není výkupné, ale záloha, kterou útočník nemůže zasáhnout – a pravidlo 3-2-1.

📸

Rodinné fotky v jediném telefonu jsou jako jediný klíč od domu. Kopie na disku v šuplíku pomůže, když telefon spadne do vody, ale ne, když vyhoří byt. Kopie u babičky přežije požár. A kopie, která není připojená, přežije i vyděračský program, který zašifruje vše, na co dosáhne.

Záloha 3-2-1: simulace selhání

Sestavte zálohovací strategii a podívejte se, s jakou pravděpodobností o data přijdete během deseti let. Tlačítko „Simulovat 10 let“ přehraje jeden náhodný příběh domácnosti s vaším nastavením.

LABORATOŘ

Počet kopií dat (včetně originálu) Riziko vyděračského programu za rok Porucha jednoho média za rok

Model: ročně nezávislé události – porucha každého média (nastavitelná), společná porucha všech kopií na stejném typu média 2 %, krádež 1 % a požár či povodeň 0,5 % (zničí vše doma), vyděračský program (zašifruje vše připojené). Data se ztratí, když v jednom roce zaniknou všechny kopie; přeživší kopie se do konce roku obnoví. Poslední záložní kopie je mimo domov, resp. offline, pokud je volba zapnutá. Pravděpodobnosti jsou modelové, spočítané přesně přes všechny kombinace událostí.

+Teorie: druhy škodlivého kódu, šíření, ransomware, prevence, zálohy, RPO a RTO

7.1Co je malware

Škodlivý kód (malware) je program, který dělá něco proti zájmu uživatele nebo vlastníka systému. Rozlišuje se podle toho, jak se šíří a co dělá:malware

Obr. 7.1 Druhy škodlivého kódu. Názvy vlevo popisují, jak se program dostane do počítače, vpravo, co v něm dělá.

7.2Jak se šíří a jak tomu bránit

**Tab. 7.1**Hlavní cesty škodlivého kódu a obrana
Cesta	Obrana
příloha nebo odkaz v e-mailu či zprávě	opatrnost (kapitola 8), filtr pošty, blokování maker v dokumentech z internetu
podvržená aplikace, „crack“, falešná aktualizace	instalovat jen z oficiálních obchodů a stránek výrobce, nejmenší oprávnění uživatele
neopravená chyba ve službě dostupné z internetu	rychlé aktualizace, nevystavovat zbytečné služby (kapitola 5)
uniklé heslo ke vzdálenému přístupu	MFA, přístup jen přes VPN nebo bránu nulové důvěry
kompromitovaný dodavatel nebo knihovna	přehled dodavatelů a závislostí, podepsané aktualizace (kapitola 6)
nalezené USB zařízení	nepřipojovat neznámá zařízení, zakázat automatické spouštění

Na počítačích firem běží ochrana koncových stanic: kromě rozpoznávání známých škodlivých souborů sleduje chování (program, který během minuty přepisuje tisíce souborů, se zastaví) a umožní bezpečnostnímu týmu stanici na dálku odpojit od sítě. Ještě účinnější je povolení jen schválených programů.endpoint detection and response (EDR), application allow-listing

7.3Vyděračské programy

Ransomware zašifruje data a za klíč požaduje výkupné, obvykle v kryptoměně. Dnešní útoky jsou dvojí vydírání: útočníci data nejdřív odcizí a pak zašifrují; i když oběť obnoví data ze záloh, hrozí jejich zveřejněním. Za útoky stojí organizované skupiny, které nástroje pronajímají dalším „partnerům“ (ransomware jako služba).ransomware, double extortion, ransomware-as-a-service

Ve skutečnosti

NÚKIB, Policie ČR i evropské instituce doporučují výkupné neplatit: platba nezaručuje, že dešifrování bude fungovat ani že útočníci data nezveřejní, financuje další útoky a označí oběť jako ochotnou platit. Incident se hlásí (kapitola 10) a obnovuje se ze záloh. Rozhodnutí v krizi je ale na vedení organizace; proto se na něj připravuje předem.

Pozor

Synchronizace není záloha. Složka, která se automaticky zrcadlí do úložiště, zrcadlí i smazání a zašifrování. Záloha musí mít historii verzí a aspoň jedna kopie musí být mimo dosah útočníka: odpojená, nebo v úložišti, kde ji po stanovenou dobu nelze smazat ani přepsat (neměnná záloha).

7.4Pravidlo 3-2-1

Pravidlo 3-2-1: aspoň 3 kopie dat (originál a dvě zálohy), na 2 různých typech médií (aby je nezničila stejná porucha), z toho 1 kopie mimo místo (proti požáru a krádeži). Rozšířená podoba 3-2-1-1-0 přidává 1 kopii offline nebo neměnnou (proti vyděračskému programu) a 0 chyb při pravidelné zkoušce obnovy.3-2-1 backup rule, immutable backup

Obr. 7.2 Pravidlo 3-2-1 a jeho rozšíření 3-2-1-1-0. Každá podmínka chrání proti jinému druhu události: porucha, společná vada média, požár či krádež, vyděračský program, nefunkční záloha.

**Tab. 7.2**Pravděpodobnost ztráty dat podle modelu laboratoře (porucha média 5 %, vyděračský program 4 % ročně)
Strategie	za rok	za 10 let
jen originál	11,96 %	72,0 %
2 kopie doma, stejné médium, připojené	7,56 %	54,4 %
3 kopie, 2 média, 1 mimo domov, vše připojené	4,09 %	34,1 %
3-2-1 s offline kopií mimo domov	0,29 %	2,8 %

Za 10 let: \(1-(1-p)^{10}\). Rozdíl mezi třetím a čtvrtým řádkem dělá jediná vlastnost – kopie, na kterou vyděračský program nedosáhne.

7.5Kolik dat smím ztratit a jak rychle obnovit

Firmy plánují zálohy podle dvou čísel. RPO (cíl bodu obnovy) říká, o kolik nejnovějších dat smíme přijít – určuje, jak často zálohovat. RTO (cíl doby obnovy) říká, jak dlouho smí obnova trvat – určuje, kde a jak zálohy držet.recovery point objective, recovery time objective

Obr. 7.3 RPO měří, kolik práce se ztratí (od poslední zálohy do incidentu), RTO, jak dlouho služba nefunguje (od incidentu do obnovy).

Příklad Obnova 2 TB

Firma zálohuje každý den ve 23 h; vyděračský program udeří v 16 h. Ztratí se práce za 17 hodin (RPO). Obnova 2 TB z místního disku rychlostí 100 MB/s trvá \(2\cdot10^{12}/10^{8} = 20\,000\) s = 5,6 h. Z úložiště mimo firmu přes linku 100 Mbit/s: \(2\cdot10^{12}\cdot8/10^{8} = 160\,000\) s = 44,4 h, téměř dva dny (RTO). Proto se kombinuje rychlá místní kopie s odolnou kopií mimo firmu.

Pomůcka

Záloha, kterou jste nikdy nezkusili obnovit, je jen naděje. Jednou za čas obnovte náhodný soubor a jednou ročně celý systém na zkoušku.

7.6Procvičení

Pravděpodobnost ztráty dat je 4,09 % ročně. Jaká je pravděpodobnost ztráty aspoň jednou za 10 let?

\(1-(1-0{,}0409)^{10} = 1-0{,}9591^{10} = 0{,}341\), tedy 34,1 %.

Obnova 500 GB přes linku 500 Mbit/s trvá kolik hodin (bez režie)?

\(500\cdot10^{9}\cdot8/(500\cdot10^{6}) = 8\,000\) s = 2,2 h.

Uživatel má fotky v telefonu a automaticky se synchronizují do cloudového úložiště. Splňuje to pravidlo 3-2-1?

Ne. Jsou to 2 kopie, ne 3, a synchronizace přenese smazání i zašifrování. Pomůže zapnout historii verzí nebo koš s dlouhou dobou uchování a přidat třetí kopii na odpojený disk.

Firma potřebuje RPO 1 hodina. Stačí jí denní záloha?

Ne. Denní záloha znamená ztrátu až 24 hodin práce. Potřebuje zálohovat aspoň každou hodinu, nebo průběžně (například replikace s historií snímků).

Proč útočníci před zašifrováním hledají a mažou zálohy?

Funkční záloha jim bere páku: oběť data obnoví a nezaplatí. Proto aspoň jedna kopie musí být offline nebo neměnná a přístupové údaje k zálohám oddělené od běžných správcovských účtů.

Co si odnést

Škodlivý kód se šíří hlavně přes člověka, neopravené chyby a uniklá hesla.
Výkupné neplatit, incident hlásit, obnovit ze zálohy.
3 kopie, 2 média, 1 mimo domov – a 1 kopie, na kterou útočník nedosáhne.
Synchronizace není záloha; záloha bez zkoušky obnovy je jen naděje.

Část IITechnika obrany

Sociální inženýrství a phishingstřední škola

Nejsnazší cesta do systému nevede přes šifru, ale přes člověka, který ochotně pomůže, spěchá nebo se bojí. Sociální inženýrství je manipulace, která vede oběť k tomu, aby sama otevřela dveře: prozradila heslo, potvrdila přihlášení, zaplatila podvrženou fakturu. Obrana stojí na zpomalení, ověření jiným kanálem a na tom, že se nikdo nestydí zeptat.

🎣

Rybář nehoní ryby po rybníce, nahodí návnadu a čeká. Phishing funguje stejně: rozešle tisíce návnad – „balík čeká na doplatek“, „účet bude zablokován“, „výhra“ – a stačí, aby zabral malý zlomek. Kdo zná návnady a ví, že má zprávu ověřit jinou cestou, zůstane ve vodě.

Anatomie odkazu

Komu odkaz doopravdy patří? Rozhoduje registrovaná doména – poslední dvě části jména serveru před prvním lomítkem. Vyberte ukázku nebo napište vlastní adresu (všechny ukázky používají smyšlené domény .example).

LABORATOŘ

Model: zjednodušeně se za registrovanou doménu považují poslední dvě části jména. U některých národních domén mají registrace víc úrovní (například dvě části přípony), tam je vlastník o úroveň výš. Laboratoř adresu nikam neotevírá, jen ji čte jako text.

Minihra: podvod, nebo v pořádku?

Osm krátkých situací. Domény jsou smyšlené, skutečná je jen banka Alfa na alfabanka.example a e-shop Beta na beta-obchod.example. Posuďte, zda jde o podvod.

MINIHRA

0 / 8

+Teorie: páky vlivu, podoby sociálního inženýrství, rozpoznání, obrana organizace a co dělat po kliknutí

8.1Co je sociální inženýrství

Sociální inženýrství je ovlivňování lidí tak, aby provedli akci nebo prozradili informaci v rozporu se svým zájmem. Nevyužívá chyby v softwaru, ale lidské vlastnosti: ochotu pomoci, respekt k autoritě, strach, zvědavost a spěch. Psychologii rozhodování pod tlakem rozebírá průvodce Psychologie; investiční podvody, „bezpečné účty“ a podvody s falešnými makléři podrobně průvodce Ochrana investora a podvody.social engineering

8.2Páky vlivu

Psycholog Robert Cialdini popsal v knize Influence (1984) principy, kterými lidé ovlivňují druhé. Podvodníci je používají záměrně a často několik najednou.

Obr. 8.1 Páky vlivu podle Cialdiniho, jak je zneužívá sociální inženýrství. Všechny míří na rychlé, emoční rozhodnutí; obranou je zpomalení a ověření jiným kanálem.

8.3Podoby útoku

Phishing – hromadná podvodná zpráva (e-mail), která vede na falešnou stránku nebo k otevření přílohy. Cílený phishing míří na konkrétního člověka a využívá informace o něm; zaměřený na vedení firmy se nazývá „velrybaření“.phishing, spear phishing, whaling
Smishing (SMS), vishing (telefonát, často s podvrženým číslem volajícího) a quishing (QR kód na parkovacím automatu či v dopise vedoucí na podvodnou stránku).smishing, vishing, quishing
Předstírání – útočník si vytvoří uvěřitelný příběh: technik ze servisu, nový kolega, auditor.pretexting
Kompromitace firemní pošty – podvržený nebo ovládnutý e-mail dodavatele či ředitele žádá o změnu čísla účtu nebo urgentní platbu. Bez škodlivého kódu, jen s dobře načasovanou zprávou.business email compromise (BEC), CEO fraud
Podvržený hlas a video – syntetický hlas „ředitele“ nebo „vnuka“ vytvořený umělou inteligencí. Proti němu nepomáhá rozpoznání hlasu, jen ověření jinou cestou a předem domluvené heslo v rodině.deepfake

8.4Jak zprávu rozpoznat

Obr. 8.2 Anatomie adresy. Slovo „alfabanka“ na začátku nic neznamená – adresa patří vlastníkovi domény overeni-uctu.example.

Varovné znaky: nečekaná zpráva, spěch a hrozba, žádost o heslo, kód, údaje karty nebo instalaci aplikace pro „vzdálenou pomoc“, odkaz na nečekanou doménu, změna čísla účtu, příliš výhodná nabídka, oslovení „Vážený kliente“, nesoulad jména odesílatele a jeho adresy. Žádný z nich sám o sobě nerozhoduje a dobře udělaný podvod nemusí mít ani jeden – proto platí pravidlo ověření.

Pomůcka

Zastav se – ověř jinou cestou – teprve jednej. Do banky se přihlaste přes vlastní záložku nebo aplikaci, ne přes odkaz. Na telefonát „z banky“ zavěste a zavolejte na číslo z karty. Změnu účtu dodavatele potvrďte telefonátem na číslo, které už znáte. Banka ani policie po vás nikdy nebude chtít heslo, kód z SMS ani převod peněz na „bezpečný účet“.

8.5Obrana organizace

Technika: filtrování pošty, označení zpráv zvenčí, ověření odesílající domény (záznamy SPF, DKIM a zásady DMARC, které příjemci řeknou, které servery smí za doménu posílat a co dělat s podvrženou poštou), přístupové klíče odolné vůči phishingu.SPF, DKIM, DMARC
Procesy: platby a změny účtů schvalují dvě osoby, změna účtu dodavatele se ověřuje zpětným telefonátem, citlivé požadavky jen přes oficiální systém.
Lidé: krátké pravidelné školení, tlačítko „nahlásit podezřelou zprávu“ a kultura, ve které se za nahlášení chválí, ne trestá. Cvičné phishingové kampaně mají smysl jen s předem schválenými pravidly a bez zesměšňování; cílem je naučit hlásit, ne nachytat.

Příklad Proč „stačí jeden“

Ve firmě s 200 zaměstnanci klikne na cvičnou zprávu 15 %, tedy 30 lidí. Po roce školení 5 %, tedy 10 lidí. I při 1 % je pravděpodobnost, že klikne aspoň jeden z 200, \(1-0{,}99^{200} = 86{,}6\) %. Školení snižuje počet obětí, ale nikdy ne na nulu – proto MFA, segmentace a hlavně rychlé nahlášení, aby bezpečnostní tým zasáhl dřív, než útočník pokročí.

8.6Klikl jsem. Co teď?

Pokud jste zadali heslo, okamžitě ho změňte (na skutečné stránce zadané ručně) a odhlaste ostatní relace; pokud jste ho používali jinde, změňte i tam.
Pokud jde o banku nebo kartu, volejte banku na číslo z jejích oficiálních stránek nebo z karty a nechte kartu či přístup zablokovat.
Pokud jste nainstalovali aplikaci pro „vzdálenou pomoc“, odpojte zařízení od internetu a obraťte se na odborníka.
V práci nahlaste incident hned bezpečnostnímu týmu; stud zdržuje a zdržení škodí.
Podvod oznamte Policii ČR (158); podvodnou zprávu nebo stránku lze nahlásit národnímu týmu CSIRT.CZ (kapitola 10).

8.7Procvičení

Komu patří adresa https://beta-obchod.example.vraceni-penez.example/formular?

Vlastníkovi domény vraceni-penez.example. „beta-obchod.example“ jsou jen subdomény, které si může pojmenovat kdokoli.

Účetní dostane e-mail od „ředitele“: „Jsem na jednání, nemohu volat, do hodiny pošlete zálohu novému dodavateli, je to důvěrné.“ Které páky vlivu zpráva používá a co má účetní udělat?

Autoritu (ředitel), naléhavost (do hodiny) a utajení, které brání ověření. Účetní má postupovat podle procesu: platbu neprovést bez ověření jinou cestou (telefonát na známé číslo ředitele) a schválení druhou osobou.

Při 5 % pravděpodobnosti kliknutí dostane podvodnou zprávu 20 lidí. Jaká je pravděpodobnost, že klikne aspoň jeden?

\(1-0{,}95^{20} = 0{,}642\), tedy 64,2 %.

Proč přístupový klíč (kapitola 3) chrání i před dokonalou kopií přihlašovací stránky?

Prohlížeč nabídne klíč jen pro doménu, pro kterou byl vytvořen, a podpis obsahuje doménu. Na podvodné doméně se klíč nepoužije, takže uživatel nemá co „prozradit“, i když stránku nerozezná.

Volá „technik bankovní bezpečnosti“, zná vaše jméno a poslední čtyři číslice karty a žádá převod úspor na bezpečný účet. Co platí?

Je to podvod; „bezpečný účet“ neexistuje. Znalost jména a části čísla karty nic nedokazuje (údaje mohou pocházet z úniku). Zavěsit, zavolat bance na oficiální číslo, nic nepřevádět a podvod oznámit policii. Podrobně průvodce Ochrana investora a podvody.

Co si odnést

Sociální inženýrství útočí na emoce: autoritu, spěch, strach a ochotu.
Vlastníka odkazu určuje registrovaná doména, čtená zprava.
Zastavit se a ověřit jinou cestou je nejsilnější obrana.
Kdo klikl, má to hned nahlásit; rychlost omezí škodu.

Část IIIOrganizace, právo a profese

Bezpečnost firem a NIS2vysoká škola

Organizace nemůže chránit všechno stejně. Řízení rizik určí, co hrozí nejvíc a kolik má stát ochrana; systém řízení bezpečnosti informací podle ISO/IEC 27001 z toho dělá trvalý proces. Od 1. listopadu 2025 navíc pro tisíce českých organizací platí nový zákon o kybernetické bezpečnosti, který provádí evropskou směrnici NIS2.

⚖️

Rodina, která pojišťuje dům, neřeší, jestli vyhoří kurník, ale co by ji zruinovalo. Firma postupuje stejně: sepíše, co se může stát, odhadne, jak pravděpodobné to je a co by to stálo, a peníze i čas dá tam, kde je součin největší. Co je malé, vědomě přijme; co je velké, sníží, pojistí nebo se tomu vyhne.

Matice rizik

Registr rizik modelové firmy Beta, s.r.o. Vyberte riziko, upravte odhad pravděpodobnosti a dopadu na stupnici 1–5 a zaveďte opatření. Riziko = pravděpodobnost × dopad; nad čarou apetitu musí vedení jednat.

LABORATOŘ

Pravděpodobnost (1–5) Dopad (1–5) Apetit k riziku (nejvyšší přijatelné skóre)

Model: kvalitativní matice 5 × 5 s úrovněmi nízké (1–4), střední (5–9), vysoké (10–14) a kritické (15–25). Opatření u každého rizika snižuje buď pravděpodobnost, nebo dopad podle jeho povahy; zbylé riziko je zbytkové. Odhady jsou modelové a v praxi se dělají v týmu podle předem popsaných stupnic.

+Teorie: řízení rizik kvalitativně i kvantitativně, ISO/IEC 27001, směrnice NIS2 a zákon č. 264/2025 Sb.

9.1Proces řízení rizik

Řízení rizik podle obecné normy ISO 31000 a bezpečnostní ISO/IEC 27005 má kroky: stanovení kontextu (co organizace dělá, co je pro ni přijatelné), identifikace rizik (aktiva, hrozby, zranitelnosti – kapitola 1), analýza (pravděpodobnost a dopad), hodnocení (srovnání s kritérii přijatelnosti) a zvládání. Vše se zapisuje do registru rizik s vlastníkem každého rizika a pravidelně se přezkoumává.risk management, risk register, risk owner

Možnosti zvládání rizika jsou čtyři: snížit (opatření), přenést (pojištění, smlouva s dodavatelem – odpovědnost ale zůstává), vyhnout se (činnost nedělat, data nesbírat) a přijmout (vědomé rozhodnutí vedení u rizik pod apetitem). Riziko, které zbude po opatřeních, je zbytkové riziko; vedení ho formálně akceptuje.risk treatment: mitigate, transfer, avoid, accept; residual risk, risk appetite

Kvantitativní pohled

Očekávaná roční ztráta a návratnost opatření\[SLE = AV\cdot EF,\qquad ALE = SLE\cdot ARO,\qquad ROSI = \frac{ALE_{\text{před}} - ALE_{\text{po}} - C}{C}\]

\(AV\) je hodnota aktiva, \(EF\) podíl, který jedna událost zničí, \(SLE\) ztráta z jedné události, \(ARO\) očekávaný počet událostí za rok a \(C\) roční náklad opatření.single loss expectancy, annualized loss expectancy, return on security investment

Příklad Vyplatí se offline zálohy?

Vyděračský program by firmu Beta stál 2 mil. Kč (výpadek, obnova, ztracené zakázky), odhad výskytu je jednou za 20 let: \(ARO = 0{,}05\), \(ALE = 2\,000\,000\cdot0{,}05 = 100\,000\) Kč ročně. S offline zálohami a nacvičenou obnovou klesne ztráta na 300 000 Kč: \(ALE = 15\,000\) Kč. Opatření stojí 40 000 Kč ročně. \(ROSI = (100\,000-15\,000-40\,000)/40\,000 = 1{,}125\), tedy 112,5 %. Opatření se vyplatí – a to bez započtení škody na pověsti.

Pozor

Čísla v kvantitativní analýze jsou odhady s velkou nejistotou; vynásobení dvou nejistých čísel dá číslo, které vypadá přesněji, než je. Používejte rozpětí a citlivostní analýzu (jak se závěr změní, když je ARO dvakrát větší?) a kvantitativní výsledek berte jako argument, ne jako pravdu.

9.2ISO/IEC 27001

Mezinárodní norma ISO/IEC 27001:2022 stanoví požadavky na systém řízení bezpečnosti informací (ISMS). Nepředepisuje konkrétní technologie, ale proces: kontext organizace, závazek vedení, posouzení a zvládání rizik, podpora (lidé, kompetence, dokumentace), provoz, hodnocení výkonnosti (měření, interní audit, přezkoumání vedením) a zlepšování. Příloha A obsahuje katalog 93 opatření ve čtyřech tématech: organizační (37), lidská (8), fyzická (14) a technologická (34). Organizace v prohlášení o aplikovatelnosti zdůvodní, která opatření zavedla a proč ostatní ne. Shodu ověřuje nezávislý certifikační orgán. Podrobný návod k opatřením dává norma ISO/IEC 27002.information security management system (ISMS), Statement of Applicability

Obr. 9.1 Cyklus Plánuj – Dělej – Kontroluj – Jednej. ISMS je trvalý proces zlepšování, ne jednorázový projekt.

9.3Směrnice NIS2

Směrnice (EU) 2022/2555 (NIS2) zavádí v celé EU společnou úroveň kybernetické bezpečnosti. Oproti předchozí směrnici NIS z roku 2016 výrazně rozšiřuje okruh povinných subjektů: vztahuje se na střední a velké podniky (zpravidla od 50 zaměstnanců nebo s ročním obratem a bilanční sumou nad 10 mil. EUR) v odvětvích s vysokou kritičností (energetika, doprava, bankovnictví, zdravotnictví, voda, digitální infrastruktura, veřejná správa…) a v dalších kritických odvětvích (pošta, odpady, chemie, potraviny, výroba, digitální služby, výzkum). Některé subjekty spadají pod směrnici bez ohledu na velikost.NIS2 Directive, essential and important entities

Odpovědnost vedení (čl. 20): statutární orgán schvaluje opatření, dohlíží na ně, prochází školením a odpovídá za porušení.
Opatření (čl. 21): přístup založený na rizicích, mimo jiné řízení rizik, zvládání incidentů, kontinuita a zálohy, bezpečnost dodavatelského řetězce, bezpečný vývoj a údržba, hodnocení účinnosti, kybernetická hygiena a školení, kryptografie, bezpečnost lidských zdrojů a řízení přístupu, vícefaktorová autentizace.
Hlášení (čl. 23): u významného incidentu včasné varování do 24 hodin, oznámení do 72 hodin a závěrečná zpráva do jednoho měsíce.
Pokuty (čl. 34): u základních subjektů nejméně do výše 10 mil. EUR nebo 2 % celosvětového ročního obratu (podle toho, co je vyšší), u důležitých 7 mil. EUR nebo 1,4 %.

9.4Česká úprava: zákon č. 264/2025 Sb.

Směrnici NIS2 provádí zákon č. 264/2025 Sb., o kybernetické bezpečnosti, účinný od 1. 11. 2025. Nahradil zákon č. 181/2014 Sb. a rozšířil regulaci z přibližně stovek na odhadem až 6 000 organizací. Zákon rozlišuje poskytovatele regulovaných služeb v režimu vyšších povinností a režimu nižších povinností; podrobnosti stanoví prováděcí vyhlášky (pro nižší režim vyhláška č. 410/2025 Sb.). Organizace, která naplní podmínky, musí službu do 60 dnů ohlásit (registrovat) přes Portál NÚKIB a bezpečnostní opatření zavést nejpozději do jednoho roku od doručení rozhodnutí o registraci. Dozorovým orgánem je NÚKIB.

Obr. 9.2 Regulační rámec kybernetické bezpečnosti v Česku. Evropská směrnice určuje cíle, zákon a vyhlášky konkrétní povinnosti, NÚKIB dozoruje a vydává metodiky.

Ve skutečnosti

Vedle NIS2 platí pro finanční sektor od 17. 1. 2025 nařízení (EU) 2022/2554 o digitální provozní odolnosti (DORA) a pro výrobce hardwaru a softwaru nařízení (EU) 2024/2847 o kybernetické odolnosti (CRA), jehož povinnost hlásit aktivně zneužívané zranitelnosti se uplatní od září 2026 a hlavní povinnosti od prosince 2027. Ochranu osobních údajů upravuje GDPR (kapitola 11). Jeden incident tak může vyvolat několik hlášení různým úřadům.

Pozor

Zda organizace pod zákon spadá a v jakém režimu, určují kritéria zákona a vyhlášek (odvětví, velikost, význam služby). Výklad v tomto průvodci je zjednodušený; pro konkrétní organizaci je rozhodující aktuální znění zákona, metodiky NÚKIB a samoidentifikace na Portálu NÚKIB.

9.5Procvičení

Server má hodnotu 500 000 Kč, požár serverovny by zničil 40 % hodnoty a očekává se jednou za 50 let. Spočítejte SLE a ALE.

\(SLE = 500\,000\cdot0{,}4 = 200\,000\) Kč; \(ARO = 1/50 = 0{,}02\); \(ALE = 200\,000\cdot0{,}02 = 4\,000\) Kč ročně.

Krádež notebooku: SLE 60 000 Kč, ARO 0,1. Šifrování disku sníží SLE na 30 000 Kč (zbyde cena zařízení a práce). Jaké je ALE před a po?

Před: \(60\,000\cdot0{,}1 = 6\,000\) Kč. Po: \(30\,000\cdot0{,}1 = 3\,000\) Kč ročně. Hlavní přínos šifrování (únik dat zákazníků a povinnosti podle GDPR) v tomto čísle ani není.

Základní subjekt má celosvětový roční obrat 800 mil. EUR. Jaká je podle čl. 34 NIS2 horní hranice pokuty, kterou musí členský stát aspoň umožnit?

2 % z 800 mil. EUR = 16 mil. EUR, což je víc než 10 mil. EUR; rozhoduje vyšší částka, tedy 16 mil. EUR.

Riziko má pravděpodobnost 4 a dopad 5. Opatření sníží pravděpodobnost na 2. Jaké je skóre před a po a jaká úroveň při stupnicích laboratoře?

Před: \(4\cdot5 = 20\), kritické. Po: \(2\cdot5 = 10\), vysoké. Při apetitu 8 je stále nad hranicí; je třeba další opatření, nebo snížit dopad (zálohy, plán kontinuity).

Firma pojistí riziko kybernetického incidentu. Přestala tím mít povinnosti podle zákona o kybernetické bezpečnosti?

Ne. Pojištění přenáší část finanční ztráty, ne odpovědnost. Povinnosti zavést opatření, hlásit incidenty a odpovědnost vedení zůstávají; pojistitelé navíc obvykle sami vyžadují základní opatření (MFA, zálohy).

Co si odnést

Riziko = pravděpodobnost × dopad; zvládá se snížením, přenesením, vyhnutím nebo přijetím.
ISO/IEC 27001 je proces zlepšování s odpovědností vedení, ne seznam výrobků.
NIS2 rozšířila regulaci na tisíce organizací; v Česku ji provádí zákon č. 264/2025 Sb. od 1. 11. 2025.
Kvantitativní odhady jsou argument pro rozhodnutí, ne přesná předpověď.

Část IIIOrganizace, právo a profese

Incident a reakcevysoká škola

Otázka nezní, zda incident nastane, ale kdy a jak rychle si ho všimneme. Škoda roste s každou hodinou, kdy útočník zůstává v síti nepozorován. Připravený plán, záznamy, které ukážou, co se stalo, a znalost toho, komu a do kdy hlásit, rozhodují o tom, zda incident skončí nepříjemností, nebo krizí.

🚒

Hasiči necvičí až při požáru. Mají plán, vybavení, víme, kam volat, a po každém zásahu rozebírají, co šlo zlepšit. Reakce na kybernetický incident funguje stejně: příprava, rychlé zjištění, uhašení, úklid a poučení – a jasný seznam, komu dát vědět.

Čas je škoda

Útočník se usadil na jednom ze 200 počítačů firmy a šíří se dál. Nastavte, za jak dlouho incident odhalíte a za jak dlouho po odhalení napadené stanice izolujete. Segmentace sítě zpomalí šíření.

LABORATOŘ

Doba do odhalení Doba od odhalení do izolace

Model: logistické šíření \(I(t) = N/(1+(N-1)e^{-rt})\) s \(N = 200\), rychlost \(r = 0{,}15\) za hodinu v ploché síti a \(0{,}05\) v segmentované. Náklady: 200 000 Kč pevně (vyšetření, koordinace) a 20 000 Kč za každou napadenou stanici (vyčištění, výpadek). Skutečné útoky se šíří nerovnoměrně, často nejdřív tiše a pak naráz; model ukazuje princip, ne předpověď.

Hodiny běží: lhůty pro hlášení

Kdy byl incident zjištěn? Laboratoř spočítá lhůty podle zákona o kybernetické bezpečnosti a GDPR. Lhůty běží v hodinách, i přes víkend.

LABORATOŘ

Den zjištění (týden od 12. 10. 2026) Hodina zjištění

Zjednodušení: počítáno v hodinách od zjištění; přechod na zimní čas (25. 10. 2026) model nezohledňuje. Závěrečná zpráva je počítaná jako 30 dnů od 72hodinového hlášení. Které lhůty se na organizaci vztahují a komu se hlásí, určuje její režim podle zákona, u osobních údajů čl. 33 GDPR.

+Teorie: událost a incident, životní cyklus reakce, forenzní stopy, hlášení a poučení

10.1Událost, nebo incident?

Bezpečnostní událost je jakýkoli zaznamenaný jev, který může souviset s bezpečností (neúspěšné přihlášení, zablokovaná příloha). Incident je událost, která bezpečnost skutečně narušila nebo ohrožuje: únik dat, napadená stanice, nedostupná služba. Zákon o kybernetické bezpečnosti definuje kybernetický bezpečnostní incident v § 2; povinnost hlášení se váže na incidenty s významným dopadem (závažné provozní narušení, finanční ztráta nebo značná újma jiným osobám).security event, security incident, significant incident

10.2Životní cyklus reakce

Americký standard NIST SP 800-61 popisuje reakci na incident ve čtyřech fázích; revize 3 z roku 2025 je zasazuje do šesti funkcí rámce NIST CSF 2.0 (řídit, identifikovat, chránit, detekovat, reagovat, obnovit). Principy se nemění.incident response lifecycle

Obr. 10.1 Životní cyklus reakce na incident. Mezi analýzou a omezením se často cyklí; poučení se vrací do přípravy.

Příprava: plán reakce s rolemi a kontakty (i mimo pracovní dobu, i na papíře – když nefunguje pošta), centrální záznamy se synchronizovaným časem, zálohy, nacvičené scénáře u stolu.incident response plan, tabletop exercise
Detekce a analýza: zdroje jsou upozornění bezpečnostních nástrojů, hlášení uživatelů i externí upozornění (CSIRT, partner). Třídění rozhodne o závažnosti a prioritě. Hledají se indikátory kompromitace – stopy, podle nichž se dají najít další napadená místa.triage, indicators of compromise (IoC)
Omezení: zabránit šíření – odpojit stanici od sítě (ne nutně vypnout, aby se neztratil obsah paměti), zablokovat účty, změnit hesla. Odstranění příčiny a obnova z ověřeně čistých záloh, se zvýšeným sledováním.containment, eradication, recovery
Poučení: rozbor bez hledání viníka: co se stalo, proč to fungovalo, co změnit. Výstupem jsou konkrétní úkoly s vlastníkem a termínem.lessons learned, blameless post-mortem

Příklad Hodiny rozhodují

V modelu laboratoře (plochá síť, \(r = 0{,}15\)/h) je po 12 hodinách napadeno asi 6 stanic a škoda 0,32 mil. Kč; po 48 hodinách 174 stanic a 3,7 mil. Kč. Segmentace sníží rychlost na \(0{,}05\)/h: po 48 hodinách je napadeno asi 10 stanic a škoda 0,41 mil. Kč. Rychlé odhalení a segmentace se násobí.

10.3Stopy a důkazy

Pokud může incident skončit u soudu nebo u pojišťovny, je třeba zachovat stopy: záznamy, obrazy disků a paměti, časovou osu. Platí zásady forenzní práce – nejdřív zajistit nejvíce pomíjivé údaje, pracovat s kopiemi, ne s originály, ověřovat kopie hašem a vést řetězec úschovy (kdo s důkazem kdy pracoval). Postupy kriminalistiky obecně vykládá průvodce Kriminalistika.digital forensics, chain of custody

Pozor

Nejčastější chyby v prvních hodinách: „úklid“ napadeného počítače dřív, než se zjistí rozsah (útočník zůstane jinde); komunikace o incidentu přes napadenou poštu (útočník čte s vámi); vyjednávání s útočníky bez rady odborníků a bez vedení; a mlčení, protože „to se snad nepotvrdí“.

10.4Komu a do kdy hlásit

Obr. 10.2 Jeden incident, několik adresátů. Povinná hlášení se liší lhůtou, obsahem i úřadem; plán reakce je má mít připravené předem.

Zákon č. 264/2025 Sb.: poskytovatel regulované služby hlásí kybernetický bezpečnostní incident s významným dopadem bez zbytečného odkladu, nejpozději do 24 hodin od zjištění, přes Portál NÚKIB; v režimu vyšších povinností NÚKIB, v režimu nižších povinností Národnímu CERT (tuto roli dlouhodobě plní tým CSIRT.CZ). Následuje oznámení do 72 hodin od zjištění (§ 16 odst. 3 písm. a)), na vyžádání průběžná zpráva a závěrečná zpráva do 30 dnů od oznámení, resp. od vyřešení incidentu (§ 16 odst. 3 písm. b) a c)); obsah hlášení stanoví vyhláška č. 334/2025 Sb.; směrnice NIS2 rámcově předepisuje 24 h – 72 h – jeden měsíc.
GDPR čl. 33: porušení zabezpečení osobních údajů správce ohlásí Úřadu pro ochranu osobních údajů bez zbytečného odkladu a pokud možno do 72 hodin, ledaže je nepravděpodobné, že by mělo za následek riziko pro práva osob. Při vysokém riziku informuje i dotčené osoby (čl. 34; kapitola 11).
Dobrovolně: kdokoli (i občan) může nahlásit podvodnou stránku, phishing nebo napadený server národnímu týmu CSIRT.CZ; NÚKIB přijímá i dobrovolná hlášení od neregulovaných organizací.

Příklad Pátek odpoledne

Incident zjištěn v pátek 16. 10. 2026 v 17:00. Prvotní hlášení podle zákona do soboty 17. 10. v 17:00, oznámení podle GDPR (pokud se týká osobních údajů) do pondělí 19. 10. v 17:00. Proto musí plán obsahovat pohotovost i o víkendu.

10.5Procvičení

Podle modelu laboratoře: kolik stanic je napadeno po 24 hodinách v ploché a v segmentované síti?

\(I(24) = 200/(1+199e^{-0{,}15\cdot24}) = 31{,}1\) v ploché síti; \(200/(1+199e^{-0{,}05\cdot24}) = 3{,}3\) v segmentované.

Za jak dlouho by v modelu (plochá síť) byla napadena polovina stanic?

\(I(t) = N/2\) nastává, když \((N-1)e^{-rt} = 1\), tedy \(t = \ln 199/0{,}15 = 35{,}3\) h. V segmentované síti \(\ln 199/0{,}05 = 105{,}9\) h, tedy přes čtyři dny.

Správce zjistí napadený server a hned ho vypne a přeinstaluje. Co mohl udělat lépe?

Nejdřív server izolovat od sítě a zajistit stopy (obraz paměti a disku, záznamy), aby šlo zjistit, jak se útočník dostal dovnitř a kam dál. Bez toho zůstane vstupní cesta otevřená a další napadená zařízení neodhalená.

Incident zjištěn ve středu 14. 10. 2026 v 9:00 a týká se osobních údajů zákazníků. Do kdy nejpozději hlásit podle zákona (24 h) a podle GDPR (72 h)?

Podle zákona do čtvrtka 15. 10. 2026 v 9:00, podle GDPR do soboty 17. 10. 2026 v 9:00 (pokud možno; zpoždění je třeba zdůvodnit).

Proč se po incidentu dělá rozbor „bez obviňování“?

Pokud lidé čekají trest, chyby a podezření tají a hlásí pozdě. Rozbor bez hledání viníka hledá příčiny v systému (proč jediné kliknutí mohlo způsobit tolik škody?) a vede k opatřením, která fungují i pro příště.

Co si odnést

Reakce má fáze: příprava, detekce a analýza, omezení a obnova, poučení.
Škoda roste s dobou, kdy útočník zůstává nepozorován; detekce a segmentace ji zkracují.
Regulované služby hlásí do 24 h přes Portál NÚKIB, únik osobních údajů ÚOOÚ do 72 h.
Stopy nejdřív zajistit, pak uklízet; poučit se bez obviňování.

Část IIIOrganizace, právo a profese

Soukromí a GDPRvysoká škola

Bezpečnost chrání data před útočníky, ochrana soukromí chrání lidi před tím, jak se s jejich daty zachází – i oprávněně. Obecné nařízení o ochraně osobních údajů (GDPR) dává každému práva vůči těm, kdo jeho údaje zpracovávají, a firmám povinnost zpracovávat jen to, co potřebují, a bezpečně. A ukazuje se, že „anonymní“ data bývají anonymní jen naoko.

🔍

V tabulce nejsou jména, jen datum narození, pohlaví a obec. Zdá se to neškodné. Kolik ale v malé obci žije lidí stejného pohlaví narozených téhož dne? Většinou jediný. Kdo má k tabulce ještě seznam voličů nebo profil na sociální síti, jména si doplní. Proto se o anonymizaci mluví opatrně.

Jak jedineční jsme?

Zvolte, které „nevinné“ údaje (kvazi-identifikátory) zůstanou v datové sadě o celé populaci Česka. Laboratoř spočítá, kolik dalších lidí v průměru sdílí stejnou kombinaci a s jakou pravděpodobností je člověk v datech jedinečný.

LABORATOŘ

Požadovaná velikost skupiny k (k-anonymita)

Model: 10,9 mil. obyvatel rozložených rovnoměrně mezi všechny kombinace (narození v rozmezí 90 let), počet dalších lidí se stejnou kombinací má Poissonovo rozdělení se střední hodnotou \(\lambda = (N-1)/\text{počet kombinací}\). Skutečné rozložení je nerovnoměrné (velká města, různě početné ročníky), takže v malých obcích je jedinečných ještě víc a ve velkých méně. Sloupce ukazují pravděpodobnost, kolik dalších lidí sdílí kombinaci se zvoleným člověkem.

+Teorie: osobní údaje, role, zásady, právní základy, práva subjektu, porušení zabezpečení, pokuty a anonymizace

11.1Osobní údaje a role

Nařízení (EU) 2016/679, obecné nařízení o ochraně osobních údajů (GDPR), se použije od 25. 5. 2018. Osobní údaj je jakákoli informace o identifikované nebo identifikovatelné fyzické osobě: jméno, rodné číslo, e-mail, poloha, IP adresa, fotografie, ale i kombinace údajů, ze kterých lze osobu určit (čl. 4). Zvláštní ochranu mají zvláštní kategorie (čl. 9): zdraví, genetické a biometrické údaje, rasový či etnický původ, politické názory, náboženství, členství v odborech, sexuální orientace. V Česku GDPR doplňuje zákon č. 110/2019 Sb., o zpracování osobních údajů, a dozor vykonává Úřad pro ochranu osobních údajů (ÚOOÚ).General Data Protection Regulation, personal data, special categories

Obr. 11.1 Role při zpracování osobních údajů. Správce určuje, proč a jak se údaje zpracovávají, zpracovatel (například poskytovatel úložiště nebo mzdová účtárna) jen podle jeho pokynů.

11.2Zásady a právní základy

Článek 5 stanoví zásady: zákonnost, korektnost a transparentnost; účelové omezení (údaje jen pro určený účel); minimalizace (jen nezbytné údaje); přesnost; omezení uložení (jen po nezbytnou dobu); integrita a důvěrnost (bezpečnost); a odpovědnost – správce musí soulad umět doložit. Každé zpracování potřebuje jeden z právních základů čl. 6: souhlas, plnění smlouvy, právní povinnost, ochrana životně důležitých zájmů, úkol ve veřejném zájmu, oprávněný zájem. Souhlas není jediný ani nejčastější základ; musí být svobodný, konkrétní, informovaný a odvolatelný stejně snadno, jako byl udělen.data minimisation, purpose limitation, lawful basis, consent

Pomůcka

Nejlépe chráněný údaj je ten, který vůbec nesbíráte. Minimalizace snižuje riziko úniku i práci s plněním práv subjektů.

11.3Práva subjektu údajů

právo na informace a přístup (čl. 13–15): co o mně zpracováváte, proč, komu předáváte, jak dlouho; kopie údajů
oprava (čl. 16), výmaz („právo být zapomenut“, čl. 17), omezení zpracování (čl. 18)
přenositelnost (čl. 20): údaje ve strojově čitelném formátu
námitka (čl. 21), zejména proti přímému marketingu, a ochrana před výhradně automatizovaným rozhodováním s právními účinky (čl. 22)

Správce odpoví bez zbytečného odkladu, nejpozději do jednoho měsíce; ve složitých případech lze lhůtu prodloužit o další dva měsíce (čl. 12 odst. 3). Uplatnění práv je zpravidla zdarma.

11.4Bezpečnost a porušení zabezpečení

Správce a zpracovatel zavedou vhodná technická a organizační opatření (čl. 32), například pseudonymizaci a šifrování, a myslí na ochranu údajů už při návrhu a ve výchozím nastavení (čl. 25). U rizikového zpracování provedou posouzení vlivu (DPIA, čl. 35); orgány veřejné moci a některé další organizace jmenují pověřence pro ochranu osobních údajů (čl. 37).privacy by design and by default, data protection impact assessment, data protection officer

Obr. 11.2 Postup při porušení zabezpečení osobních údajů. Dokumentuje se vždy, ÚOOÚ se hlásí, pokud riziko nelze vyloučit, a osoby se informují při vysokém riziku.

Pokuty (čl. 83) dosahují až 10 mil. EUR nebo 2 % celosvětového ročního obratu (například za porušení povinností k zabezpečení) a až 20 mil. EUR nebo 4 % (porušení zásad, právních základů a práv subjektů), podle toho, co je vyšší. Vedle pokut hrozí náhrada škody a ztráta důvěry.

Ve skutečnosti

Pro služby informační společnosti nabízené přímo dětem stanovil český zákon č. 110/2019 Sb. hranici pro samostatný souhlas na 15 let (GDPR dovoluje 13 až 16). Mladší dítě potřebuje souhlas zákonného zástupce.

11.5Anonymizace, pseudonymizace, znovuidentifikace

Pseudonymizace nahradí přímé identifikátory (jméno, rodné číslo) kódem, klíč k němu se uchovává odděleně (čl. 4 bod 5). Pseudonymizovaná data jsou stále osobní údaje. Anonymizovaná data už nelze žádnými rozumně dostupnými prostředky přiřadit osobě a GDPR se na ně nevztahuje – jenže dosáhnout toho je těžké. Kvazi-identifikátory (datum narození, pohlaví, bydliště, povolání) samy nikoho nejmenují, ale jejich kombinace člověka často určí.pseudonymisation, anonymisation, quasi-identifiers, re-identification

Průměrný počet dalších lidí se stejnou kombinací a pravděpodobnost jedinečnosti (rovnoměrný model)\[\lambda = \frac{N-1}{K},\qquad P(\text{jedinečný}) \approx e^{-\lambda}\]

\(N\) je velikost populace, \(K\) počet možných kombinací kvazi-identifikátorů. Latanya Sweeneyová v roce 2000 odhadla, že zhruba 87 % obyvatel USA je jednoznačně určeno kombinací pětimístného PSČ, pohlaví a data narození.

Příklad Datum narození, pohlaví a obec

\(K = 32\,872{,}5\cdot2\cdot6\,250 \approx 4{,}1\cdot10^{8}\) kombinací (90 ročníků po 365,25 dne, 2 pohlaví, asi 6 250 obcí) pro 10,9 mil. lidí: \(\lambda = 0{,}0265\), \(P(\text{jedinečný}) = e^{-0{,}0265} = 97{,}4\) %. S okresem místo obce: \(\lambda = 2{,}15\), jedinečných 11,6 %. S krajem: \(\lambda = 11{,}8\), jedinečný téměř nikdo.

Ochranná opatření: zobecnění (rok místo data, okres místo obce), potlačení vzácných kombinací, požadavek k-anonymity (každá kombinace aspoň \(k\)krát) a pro statistické výstupy diferenciální soukromí, které do výsledků přidává řízený šum s matematickou zárukou. Ani to nechrání, pokud citlivý údaj mají všichni ve skupině stejný – proto se k-anonymita doplňuje dalšími podmínkami.generalisation, suppression, k-anonymity, differential privacy

Pozor

Odstranit jméno a rodné číslo neznamená anonymizovat. Polohová data, historie nákupů nebo prohlížení jsou tak jedinečné, že k určení člověka stačí pár záznamů. Před zveřejněním „anonymních“ dat je třeba posoudit riziko znovuidentifikace, včetně propojení s jinými veřejnými zdroji.

11.6Procvičení

Firma má celosvětový roční obrat 1 mld. EUR a porušila zásady zpracování (čl. 5). Jaká je horní hranice pokuty?

4 % z 1 mld. EUR = 40 mil. EUR, víc než 20 mil. EUR; horní hranice je tedy 40 mil. EUR.

V datech zůstal rok narození, pohlaví a obec. Jaká je v rovnoměrném modelu střední hodnota \(\lambda\) a pravděpodobnost jedinečnosti?

\(K = 90\cdot2\cdot6\,250 = 1\,125\,000\), \(\lambda = (10{,}9\cdot10^{6}-1)/1\,125\,000 = 9{,}69\), \(P = e^{-9{,}69} \approx 0{,}01\) %. V průměru sdílí kombinaci asi 10 dalších lidí; v malých obcích je to ale mnohem méně.

Ztratil se zašifrovaný notebook se seznamem zákazníků; klíč nebyl s notebookem a šifrování je silné. Musí správce hlásit ÚOOÚ?

Událost musí zdokumentovat. Pokud je riziko pro práva osob nepravděpodobné (data jsou nečitelná), ohlášení ÚOOÚ podle čl. 33 není nutné a oznámení osobám podle čl. 34 také ne (čl. 34 odst. 3 písm. a). Kdyby se ztratil i klíč, situace by byla opačná.

Zákazník požádá 5. 3. o kopii svých údajů. Do kdy musí správce odpovědět a kdy smí lhůtu prodloužit?

Nejpozději do 5. 4. (jeden měsíc). Ve složitých případech nebo při velkém počtu žádostí lze lhůtu prodloužit o další dva měsíce, nejpozději do 5. 6.; o prodloužení musí zákazníka do měsíce informovat s uvedením důvodu.

Aplikace pro běžce sbírá polohu celé trasy, i když uživatel chce jen vidět uběhnuté kilometry. Které zásady jsou ohroženy a jak je splnit?

Minimalizace a ochrana soukromí už při návrhu (čl. 5 a 25). Řešení: výchozí nastavení bez ukládání trasy, výpočet vzdálenosti v zařízení, skrytí začátku a konce trasy (bydliště) při sdílení, krátká doba uložení.

Co si odnést

Osobní údaj je cokoli, co lze přiřadit konkrétnímu člověku, i nepřímo.
Zpracovávat jen nezbytné, pro určený účel, s právním základem a bezpečně.
Únik osobních údajů se hlásí ÚOOÚ do 72 h, při vysokém riziku i dotčeným lidem.
Kombinace „nevinných“ údajů člověka často jednoznačně určí; anonymizace je těžká.

Část IIIOrganizace, právo a profese

Kariéra a etikavysoká škola

Kybernetická bezpečnost je obor, kde stejné znalosti mohou chránit i škodit. Odlišuje je svolení, úmysl a to, co člověk udělá s tím, co najde. Profesionál testuje jen se svolením, chyby hlásí tomu, kdo je může opravit, a zveřejňuje je až ve chvíli, kdy tím lidi chrání, ne ohrožuje.

🧭

Zámečník umí otevřít cizí dveře. Když to udělá na zavolání majitele, je to řemeslo; když v noci u souseda, je to vloupání – i kdyby nic neodnesl. A když si všimne, že sousedovi nejde zamknout, řekne to sousedovi, ne celé ulici. Etika v bezpečnosti je stejně jednoduchá a stejně závazná.

Kalkulačka závažnosti CVSS 3.1

Zranitelnosti se hodnotí standardem CVSS (Common Vulnerability Scoring System). Zvolte vlastnosti modelové zranitelnosti v aplikaci firmy Gama, a.s. a sledujte základní skóre 0–10. Skóre pomáhá obráncům rozhodnout, co opravit dřív.

LABORATOŘ

Model: základní skóre CVSS v3.1 podle specifikace FIRST, bez časových a environmentálních metrik. Novější verze CVSS 4.0 (2023) počítá skóre jinak (tabulkou), principy metrik jsou podobné. Skóre vyjadřuje technickou závažnost, ne riziko pro konkrétní organizaci; to záleží i na tom, zda je zranitelnost aktivně zneužívaná a jak důležitý je dotčený systém.

Minihra: v pořádku, nebo za hranou?

Posuďte, zda je jednání legální a etické, nebo za hranou zákona či profesní etiky.

MINIHRA

0 / 8

+Teorie: profese a role, etické zásady, odpovědné hlášení zranitelností, CVE a CVSS, trestní zákoník

12.1Role v oboru

Evropský rámec dovedností v kybernetické bezpečnosti (ECSF, ENISA 2022) popisuje 12 typových profesních profilů, od manažera bezpečnosti přes analytika hrozeb a reakce na incidenty až po vývojáře a pedagoga. Obor potřebuje lidi technické, analytické, právní i komunikační.European Cybersecurity Skills Framework

Obr. 12.1 Orientační mapa rolí. Hranice nejsou ostré; kariéra často začíná v provozu (správa systémů, dohledové centrum) a pokračuje do specializace nebo řízení.

Cesty do oboru: vysokoškolské studium informatiky a bezpečnosti, práce ve správě IT, soutěže typu „capture the flag“ na připravené infrastruktuře, vlastní domácí laboratoř z virtuálních počítačů, které patří vám, a profesní certifikace. Přehled vzdělávacích příležitostí a soutěží zveřejňuje i NÚKIB.

12.2Etické zásady

Svolení: testovat jen systémy, k nimž máte písemné svolení vlastníka s vymezeným rozsahem, dobou a kontakty. Bez svolení je to trestný čin, i když „jen zkoušíte“.
Neškodit a minimalizovat zásah: nezískávat víc dat, než je nutné k prokázání problému, nic neměnit, nic si neponechat.
Důvěrnost: co se při práci dozvíte, nepatří nikomu dalšímu.
Pravdivost: nezveličovat ani nezamlčovat nálezy; přiznat i vlastní chybu.
Odpovědné zveřejnění: hlásit tomu, kdo může opravit, a zveřejnit až po opravě nebo po dohodnuté lhůtě.

12.3Koordinované zveřejňování zranitelností

Koordinované zveřejňování zranitelností (CVD) je postup, při kterém nálezce soukromě informuje výrobce nebo provozovatele, ten zranitelnost ověří a opraví a teprve pak se informace zveřejní, aby se uživatelé mohli chránit. Běžná dohodnutá lhůta je kolem 90 dnů. Postupy popisují normy ISO/IEC 29147 (přijímání hlášení a zveřejnění) a ISO/IEC 30111 (zpracování uvnitř organizace); kontakt pro hlášení organizace uvádí v souboru security.txt na svém webu (RFC 9116). Směrnice NIS2 (čl. 12) ukládá členským státům určit CSIRT jako koordinátora CVD, který zprostředkuje komunikaci mezi nálezcem a výrobcem, a ENISA provozuje evropskou databázi zranitelností. V Česku lze zranitelnost nahlásit Národnímu CERT nebo NÚKIB.coordinated vulnerability disclosure, bug bounty, security.txt

Obr. 12.2 Koordinované zveřejnění. Cílem je, aby oprava existovala dřív, než se o zranitelnosti dozví útočníci.

Program odměn za chyby (bug bounty) je veřejná nabídka organizace, která předem stanoví pravidla: co se smí testovat, jakými způsoby, co je mimo rozsah a jaká je odměna. Jednání v rámci pravidel je svolením vlastníka; vše mimo ně už ne.

12.4CVE a CVSS

Veřejně známé zranitelnosti dostávají jednotný identifikátor CVE (například CVE-2026-12345), aby se o nich všichni bavili stejně. Závažnost se hodnotí CVSS; základní skóre v3.1 kombinuje zneužitelnost (odkud lze útočit, jak složité to je, jaká oprávnění a interakce uživatele jsou potřeba) a dopad na důvěrnost, integritu a dostupnost (triáda z kapitoly 1).Common Vulnerabilities and Exposures, Common Vulnerability Scoring System

Základní skóre CVSS v3.1 (rozsah beze změny)\[ISS = 1-(1-C)(1-I)(1-A),\quad \text{Dopad} = 6{,}42\cdot ISS,\quad \text{Zneužitelnost} = 8{,}22\cdot AV\cdot AC\cdot PR\cdot UI\] \[\text{Skóre} = \text{zaokrouhli nahoru na 0,1}\big(\min(\text{Dopad}+\text{Zneužitelnost},\,10)\big),\ \text{je-li Dopad} > 0\]

Váhy: vektor útoku AV (síť 0,85, sousední síť 0,62, místní 0,55, fyzický 0,2), složitost AC (nízká 0,77, vysoká 0,44), potřebná oprávnění PR (žádná 0,85, nízká 0,62, vysoká 0,27), interakce uživatele UI (žádná 0,85, nutná 0,62), dopady C, I, A (vysoký 0,56, nízký 0,22, žádný 0). Při změně rozsahu (zranitelnost zasáhne i jiné součásti) se používají upravené vzorce. Úrovně: 0,1–3,9 nízká, 4,0–6,9 střední, 7,0–8,9 vysoká, 9,0–10 kritická.

Příklad Nejhorší kombinace

Útok přes síť, nízká složitost, bez oprávnění a bez interakce uživatele, vysoký dopad na C, I i A: \(ISS = 1-0{,}44^3 = 0{,}9148\), dopad \(6{,}42\cdot0{,}9148 = 5{,}873\), zneužitelnost \(8{,}22\cdot0{,}85\cdot0{,}77\cdot0{,}85\cdot0{,}85 = 3{,}887\), součet 9,760, skóre 9,8 – kritická. Taková zranitelnost se opravuje přednostně, zvlášť pokud je aktivně zneužívaná.

12.5Právní hranice

Trestní zákoník (zákon č. 40/2009 Sb.) postihuje počítačovou kriminalitu zejména v ustanoveních: § 230 neoprávněný přístup k počítačovému systému a neoprávněný zásah do počítačového systému nebo nosiče informací; § 231 opatření a přechovávání přístupového zařízení a hesla k počítačovému systému a jiných takových dat (výroba či opatřování nástrojů, hesel a přístupových údajů k páchání počítačové trestné činnosti); § 232 neoprávněný zásah do počítačového systému nebo nosiče informací z nedbalosti (názvy podle znění účinného od 1. 1. 2026). Hrozí trest odnětí svobody, u kvalifikovaných skutkových podstat (větší škoda, organizovaná skupina, kritická infrastruktura) vyšší. Vedle toho se uplatní např. podvod, vydírání, porušení tajemství zpráv nebo neoprávněné nakládání s osobními údaji. Mezinárodní základ dává Úmluva Rady Evropy o kyberkriminalitě (Budapešť 2001), kterou Česko ratifikovalo v roce 2013.computer crime, Budapest Convention

Pozor

Dobrý úmysl není svolení. Kdo „jen vyzkouší“ zabezpečení cizího webu, školního systému nebo sousedovy Wi-Fi, může se dopustit trestného činu, i když nic nezmění a nález pak nahlásí. Bezpečná cesta: vlastní laboratoř, soutěže na připravené infrastruktuře, programy odměn v rozsahu jejich pravidel, a když na chybu narazíte náhodou, nepokračovat a nahlásit ji (12.3).

12.6Procvičení

Spočítejte CVSS v3.1: síť, nízká složitost, nízká oprávnění, bez interakce, rozsah beze změny, C vysoký, I a A žádný.

\(ISS = 0{,}56\), dopad \(6{,}42\cdot0{,}56 = 3{,}595\), zneužitelnost \(8{,}22\cdot0{,}85\cdot0{,}77\cdot0{,}62\cdot0{,}85 = 2{,}835\), součet 6,430 → 6,5 (střední).

Stejná zranitelnost jako v řešeném příkladu (9,8), ale útočit lze jen místně (AV 0,55) a s nízkými oprávněními. Jaké je skóre?

Zneužitelnost \(8{,}22\cdot0{,}55\cdot0{,}77\cdot0{,}62\cdot0{,}85 = 1{,}835\), dopad 5,873, součet 7,708 → 7,8 (vysoká).

Zranitelnost: síť, nízká složitost, bez oprávnění, bez interakce, jen dopad na dostupnost vysoký. Skóre?

\(ISS = 0{,}56\), dopad 3,595, zneužitelnost 3,887, součet 7,482 → 7,5 (vysoká).

Student si při přihlašování do školního systému všimne, že po změně čísla v adrese vidí známky spolužáka. Co má udělat?

Dál nezkoušet, data nestahovat ani nesdílet, a chybu hned nahlásit správci systému nebo vedení školy (případně Národnímu CERT jako koordinátorovi). Popsat jen to, co se stalo. Jde o nefunkční řízení přístupu (OWASP A01).

Výrobce na hlášení zranitelnosti tři měsíce nereaguje. Je správné zveřejnit podrobný návod k jejímu zneužití?

Ne. Postup je obrátit se na koordinátora (CSIRT), který s výrobcem komunikuje, a případně zveřejnit jen omezenou informaci, která uživatelům pomůže se chránit (dotčené verze, dočasná opatření), bez podrobností usnadňujících útok.

Co si odnést

Obor nabízí role v řízení, obraně i testování; začít lze v provozu IT a ve vlastní laboratoři.
Testovat jen se svolením; dobrý úmysl svolení nenahrazuje.
Zranitelnost hlásit soukromě, zveřejnit koordinovaně po opravě.
CVSS měří technickou závažnost, o pořadí oprav rozhoduje i riziko pro organizaci.

PřílohaA

Slovníček

PřílohaB

Vzorce a kontrolní seznamy

Vzorce

Dostupnost (kap. 1)\[t_{\text{výpadek}} = (1-A)\cdot 8\,766\ \text{h/rok},\quad A_{\text{sériově}} = \prod A_i,\quad A_{\text{paralelně}} = 1-\prod(1-A_i)\]

Obrana do hloubky (kap. 2)\[P_{\text{průchod}} = \prod_{i}(1-p_i),\qquad P(\text{aspoň 1 z }N) = 1-(1-P_{\text{průchod}})^{N}\]

Entropie náhodného hesla a průměrná doba hádání (kap. 3)\[H = L\log_2 N,\qquad t = \frac{2^{H-1}}{v}\]

Počet sdílených klíčů pro n osob (kap. 4)\[\binom{n}{2} = \frac{n(n-1)}{2}\]

Ztráta dat za T let (kap. 7)\[P_T = 1-(1-p)^{T}\]

Riziko (kap. 9)\[R = P\cdot D,\quad SLE = AV\cdot EF,\quad ALE = SLE\cdot ARO,\quad ROSI = \frac{ALE_{\text{před}}-ALE_{\text{po}}-C}{C}\]

Logistické šíření (kap. 10)\[I(t) = \frac{N}{1+(N-1)e^{-rt}},\qquad t_{1/2} = \frac{\ln(N-1)}{r}\]

Jedinečnost v datech (kap. 11)\[\lambda = \frac{N-1}{K},\qquad P(\text{jedinečný}) \approx e^{-\lambda}\]

CVSS v3.1, rozsah beze změny (kap. 12)\[\text{Skóre} = \lceil \min(6{,}42\cdot ISS + 8{,}22\cdot AV\cdot AC\cdot PR\cdot UI,\ 10)\rceil_{0,1}\]

Kontrolní seznam pro domácnost

Správce hesel, pro každou službu jiné náhodné heslo; e-mail a správce hesel s druhým faktorem, kde to jde přístupové klíče.
Automatické aktualizace telefonu, počítače, routeru a aplikací; vyřadit zařízení bez oprav.
Zálohy 3-2-1 s jednou odpojenou kopií; jednou za čas zkusit obnovu.
Šifrování a zámek obrazovky na telefonu a notebooku.
Wi-Fi s WPA3 nebo WPA2 a dlouhým heslem, síť pro hosty a chytrá zařízení.
U nečekaných zpráv: zastavit se, ověřit jinou cestou, nikomu nesdělovat hesla ani kódy.

Kontrolní seznam pro malou firmu

Přehled aktiv, účtů a dodavatelů; registr rizik s vlastníky.
MFA pro všechny, oddělené správcovské účty, nejmenší oprávnění, rušení účtů při odchodu.
Segmentace sítě, nic zbytečného vystaveného do internetu, aktualizace do stanovené lhůty.
Offline nebo neměnné zálohy, plán obnovy s RPO a RTO, zkouška obnovy.
Centrální záznamy a upozornění, plán reakce na incident s kontakty a lhůtami hlášení.
Dvě osoby u plateb a změn účtů, ověření zpětným telefonátem, školení a snadné hlášení podezřelých zpráv.
Ověřit, zda organizace spadá pod zákon č. 264/2025 Sb. a v jakém režimu.

PřílohaC

Zdroje

Předpisy

Zákon č. 264/2025 Sb., o kybernetické bezpečnosti – účinný od 1. 11. 2025, nahradil zákon č. 181/2014 Sb.; režim vyšších a nižších povinností, registrace služby do 60 dnů přes Portál NÚKIB, zavedení opatření do 1 roku od rozhodnutí o registraci, hlášení incidentů s významným dopadem nejpozději do 24 hodin (§ 15 a násl.). Prováděcí vyhlášky č. 410/2025 Sb. (nižší režim) a č. 334/2025 Sb. (Portál NÚKIB, hlášení). Ověřeno 13. 10. 2026 (e-Sbírka, nukib.gov.cz, portal.nukib.gov.cz); podrobnosti lhůt a adresátů hlášení ověřujte v aktuálním znění a metodikách NÚKIB.
Směrnice Evropského parlamentu a Rady (EU) 2022/2555 (NIS2) – čl. 12 (koordinované zveřejňování zranitelností), čl. 20 (odpovědnost vedení), čl. 21 (opatření), čl. 23 (hlášení 24 h / 72 h / 1 měsíc), čl. 34 (pokuty 10 mil. EUR / 2 %, 7 mil. EUR / 1,4 %). Ověřeno 13. 10. 2026 (eur-lex.europa.eu).
Nařízení (EU) 2016/679 (GDPR) – čl. 4, 5, 6, 9, 12–22, 25, 28, 32–35, 37, 83. Zákon č. 110/2019 Sb., o zpracování osobních údajů – věková hranice 15 let pro souhlas dítěte se službami informační společnosti. Ověřeno 13. 10. 2026.
Zákon č. 40/2009 Sb., trestní zákoník, § 230–232 – neoprávněný přístup k počítačovému systému a neoprávněný zásah do počítačového systému nebo nosiče informací; opatření a přechovávání přístupového zařízení a hesla k počítačovému systému a jiných takových dat; neoprávněný zásah do počítačového systému nebo nosiče informací z nedbalosti (znění po novele z roku 2022). Ověřeno 13. 10. 2026; výši trestů ověřujte v aktuálním znění.
Nařízení (EU) 2022/2554 (DORA) – použitelné od 17. 1. 2025; nařízení (EU) 2024/2847 (CRA) – hlášení aktivně zneužívaných zranitelností od 11. 9. 2026, hlavní povinnosti od 11. 12. 2027. Ověřeno 13. 10. 2026.
Úmluva Rady Evropy o kyberkriminalitě (Budapešť, 2001), pro Česko v platnosti od roku 2013.

Normy a standardy

ISO/IEC 27001:2022 Information security, cybersecurity and privacy protection – Information security management systems – Requirements (příloha A: 93 opatření ve 4 tématech). ISO/IEC 27002:2022, ISO/IEC 27005:2022, ISO 31000:2018.
ISO/IEC 29147:2018 Vulnerability disclosure; ISO/IEC 30111:2019 Vulnerability handling processes.
NIST SP 800-63B-4 (2025) Digital Identity Guidelines: Authentication and Authenticator Management. NIST SP 800-61 Rev. 3 (2025) Incident Response Recommendations and Considerations for Cybersecurity Risk Management. NIST SP 800-207 (2020) Zero Trust Architecture. NIST Cybersecurity Framework 2.0 (2024). FIPS 203, 204, 205 (2024).
OWASP Top 10:2025 (owasp.org/Top10/2025), ověřeno 13. 10. 2026. OWASP Application Security Verification Standard.
FIRST: Common Vulnerability Scoring System v3.1 Specification Document (2019); CVSS v4.0 (2023).
W3C Web Authentication (WebAuthn); RFC 6238 (TOTP), RFC 9116 (security.txt), RFC 9162 (Certificate Transparency), RFC 2606 (vyhrazené domény .example).
ENISA: European Cybersecurity Skills Framework (2022); ENISA Threat Landscape (ročně). NÚKIB: Zpráva o stavu kybernetické bezpečnosti ČR (ročně), metodiky k zákonu č. 264/2025 Sb.

Literatura

Anderson, R. (2020): Security Engineering: A Guide to Building Dependable Distributed Systems. 3. vyd. Wiley.
Stallings, W., Brown, L. (2023): Computer Security: Principles and Practice. 5. vyd. Pearson.
Schneier, B. (2015): Data and Goliath. W. W. Norton.
Cialdini, R. B. (1984): Influence: The Psychology of Persuasion. William Morrow.
Reason, J. (1990): Human Error. Cambridge University Press.
Sweeney, L. (2000): Simple Demographics Often Identify People Uniquely. Carnegie Mellon University, Data Privacy Working Paper 3.
Sweeney, L. (2002): k-anonymity: a model for protecting privacy. International Journal of Uncertainty, Fuzziness and Knowledge-Based Systems 10(5), 557–570.
Kerckhoffs, A. (1883): La cryptographie militaire. Journal des sciences militaires IX.

Modelové předpoklady

Laboratoře počítají s modelovými čísly: dostupnost s nezávislými poruchami a rokem 8 766 h; obrana do hloubky s nezávislými vrstvami; doba hádání jen pro náhodná hesla a tři modelové rychlosti (10, \(10^{4}\), \(10^{10}\) pokusů/s); zálohy s ročními pravděpodobnostmi událostí podle popisu laboratoře v kapitole 7; logistické šíření v síti 200 stanic; rovnoměrné rozložení 10,9 mil. obyvatel pro odhad jedinečnosti; CVSS v3.1 bez časových a environmentálních metrik. Firmy Beta, s.r.o. a Gama, a.s. a všechny domény .example jsou smyšlené. Údaje o zákonech platí ke 13. 10. 2026.

Interaktivní průvodce Kybernetická bezpečnost (říjen 2026). Studijní materiál, nenahrazuje učebnici, výuku ani právní poradenství. Vykládá obranu a principy; nezkoušejte zabezpečení systémů bez písemného svolení jejich vlastníka. Při podezření na podvod volejte svou banku na oficiální číslo a Policii ČR (158).