Kybernetická bezpečnost začíná u obchodní identity

Kybernetická bezpečnost nezačíná technologií, ale důvěrou

Kybernetická bezpečnost je často popisována jako technická výzva. Diskuze obvykle dominují firewally, řízení přístupu, monitorovací systémy a nástroje pro reakci na incidenty. I když jsou tato opatření nezbytná, nejsou tím, kde kybernetická bezpečnost skutečně začíná. V praxi začíná mnohem dříve – v okamžiku, kdy se organizace rozhodne, s kým bude obchodovat. Moderní podnikání je hluboce propojené. Společnosti se spoléhají na externí poskytovatele služeb, dodavatele, finanční zprostředkovatele a partnery napříč hranicemi. Každé spojení vytváří provozní hodnotu, ale také přináší riziko. Pokud je identita obchodního partnera nejasná, zastaralá nebo obtížně ověřitelná, stává se nemožným spolehlivě posoudit toto riziko. Kybernetická bezpečnost je postavena na důvěře. A důvěra začíná tím, že víte, s kým ve skutečnosti jednáte.

Proč samotné technické zabezpečení již nestačí

Technické bezpečnostní kontroly jsou navrženy tak, aby chránily systémy, ale předpokládají, že přístup je udělen správným subjektům. Pokud je přístup udělen nesprávné organizaci – nebo organizaci, jejíž pozadí je špatně pochopeno – i silné technické kontroly mohou selhat v prevenci škod. Mnoho závažných incidentů kybernetické bezpečnosti nepochází z přímého narušení systému, ale ze zneužití důvěryhodných vztahů. Když hrozba působí prostřednictvím zdánlivě legitimního partnera, dodavatele nebo smluvního partnera, technická obrana se stává mnohem méně účinnou. Tím se základní otázka přesouvá z „Jak chráníme naše systémy?“ na „Komu bychom měli v první řadě důvěřovat s přístupem?“

Riziko třetích stran jako ústřední otázka kybernetické bezpečnosti

Rostoucí podíl kybernetické bezpečnosti a provozního rizika pochází od třetích stran. Mezi ně mohou patřit dodavatelé, poskytovatelé IT služeb, zpracovatelé plateb, logističtí partneři nebo funkce externí podpory. Každá třetí strana se stává součástí rozšířeného digitálního perimetru organizace. Riziko třetích stran se neomezuje pouze na zranitelnosti softwaru nebo nezabezpečenou infrastrukturu. Zahrnuje také:

• nejasný právní status
• netransparentní vlastnické struktury
• nekonzistentní nebo zastaralé údaje v registrech
• obtížné přiřazení odpovědnosti

Pro efektivní řízení těchto rizik se organizace spoléhají na strukturované procesy ověřování, včetně KYC a ověření podnikání
Pokud organizace nemůže jasně identifikovat své protistrany, významně se zvyšují rizika v oblasti bezpečnosti i dodržování předpisů.

Regulační směr: přístup založený na riziku a zaměřený na identitu

V různých jurisdikcích se regulační rámce posouvají směrem k přístupu ke kybernetické bezpečnosti, který je více založen na riziku a zaměřen na identitu. Místo předepisování konkrétních technických kontrol regulátoři stále více očekávají, že organizace budou rozumět rizikům a řídit je v celém svém provozním prostředí, včetně dodavatelů a poskytovatelů služeb.

V Evropské unii se tento posun jasně odráží ve směrnici NIS2 a požadavcích na kybernetickou bezpečnost Pro oficiální právní rámec viz směrnice NIS2

Zatímco se rámce globálně liší, základní očekávání je konzistentní: organizace musí být schopny prokázat, že vědí, na koho se spoléhají a jak tyto vztahy ovlivňují jejich bezpečnostní postavení.

Obchodní identita jako základ kybernetické bezpečnosti

Pokud je na kybernetickou bezpečnost nahlíženo šířeji, stává se obchodní identita klíčovým konceptem. Globálně standardizovaný přístup k identifikaci podniků poskytuje identifikátor právnických osob (LEI)
Obchodní identita jde daleko za hranice názvu společnosti nebo registračního čísla. Zahrnuje:

• právní existenci a status
• oficiální informace z registru
• vlastnické a kontrolní struktury
• vztahy k jiným právnickým osobám
• přesnost a včasnost dat

Bez jasné a standardizované obchodní identity se spolehlivé posouzení rizik stává obtížným. Tato výzva se zesiluje v přeshraničních prostředích, kde data pocházejí z více národních registrů používajících různé formáty a standardy. V digitálních a automatizovaných prostředích musí být obchodní identita jednoznačná, strojově čitelná a mezinárodně konzistentní, aby podporovala efektivní řízení rizik.

Perspektiva malých podniků: stát se důvěryhodným partnerem

Diskuse o kybernetické bezpečnosti a regulaci se často zaměřují na velké organizace. Stejná dynamika však silně ovlivňuje malé a střední podniky, které chtějí spolupracovat s korporacemi, finančními institucemi nebo mezinárodními klienty. Pro menší podniky hlavní překážkou často není kvalita produktu nebo technické schopnosti, ale důvěra. Velké organizace musí posoudit riziko pro každého nového partnera, ale nemohou to dělat ručně a do hloubky pro každého potenciálního dodavatele. V důsledku toho se spoléhají na standardy, signály a strukturovaná data, aby se rozhodly, které vztahy stojí za další prozkoumání. Mnoho příležitostí ke spolupráci se zastaví ne proto, že nabídka postrádá hodnotu, ale proto, že protistrana nemůže být rychle a jasně pochopena.

LEI jako akcelerátor důvěry a onboardingu

Zde se stává relevantní identifikátor právnických osob (LEI). LEI je globální standard navržený k jednoznačné identifikaci právnických osob a propojení s ověřenými referenčními daty z autoritativních zdrojů. Pro menší společnosti není LEI pouze regulačním požadavkem v určitých kontextech. Je to praktický nástroj, který jim umožňuje prezentovat se způsobem, který je v souladu s tím, jak velké organizace řídí rizika. LEI signalizuje, že:

• entita je jednoznačně identifikovatelná
• její základní referenční data jsou propojena s oficiálními registry
• informace o vlastnictví jsou deklarovány ve standardizované formě
• data lze použít v automatizovaných a přeshraničních procesech

Z pohledu velké organizace to snižuje počáteční nejistotu a urychluje rozhodování o tom, zda se potenciální partnerství může posunout vpřed. LEI nezaručuje spolupráci, ani nenahrazuje due diligence, ale pomáhá podniku stát se srozumitelným a posouditelným mnohem dříve v procesu.

Kybernetická bezpečnost jako sdílená odpovědnost v celém dodavatelském řetězci

Kybernetická bezpečnost není pouze odpovědností velkých kupujících nebo centrálních platforem. Každý účastník dodavatelského řetězce přispívá k celkovému rizikovému profilu. Pokud jedna strana nemůže jasně prezentovat svou identitu nebo udržovat svá data aktuální, celý řetězec se stává zranitelnějším. Z tohoto důvodu mají menší podniky také prospěch z přijetí standardů, které jim usnadňují ověřování a integraci do rámců řízení rizik jejich partnerů – často dříve, než jsou taková očekávání formálně vyžadována.

Nepřetržitá přesnost jako předpoklad důvěry

Ani kybernetická bezpečnost, ani obchodní identita nejsou statické. Společnosti se mění, vlastnické struktury se vyvíjejí a data zastarávají. Kontroly identity provedené pouze jednou rychle ztrácejí svou hodnotu. Efektivní řízení rizik závisí na informacích o identitě, které zůstávají přesné a aktuální v průběhu času. Tato trvalá spolehlivost podporuje nejen dodržování předpisů, ale také dlouhodobou důvěru mezi obchodními partnery.

Závěr

Kybernetická bezpečnost nezačíná v serverovně, ani nekončí softwarem. Začíná to pochopením toho, s kým obchodujete a na jakém základě tento vztah existuje. Technické kontroly zůstávají nezbytné, ale bez jasné, standardizované a aktuální obchodní identity jsou neúplné. V dnešní propojené a regulované ekonomice je znalost vašich protistran jedním z nejdůležitějších dostupných bezpečnostních opatření. LEI poskytuje sdílený globální rámec, který pomáhá velkým i malým organizacím budovat důvěru, zlepšovat transparentnost a efektivněji spolupracovat napříč hranicemi.