74 % kyberincidentů způsobí zaměstnanci neznalostí a nedbalostí
Legislativa vyžaduje pravidelné školení pro všechny zaměstnance, a to včetně TOP managementu
Lepší vzdělávací výsledky přichází při dlouhodobějším působení
Dokumentujte každé školení: prezenční listiny a phishingové testy jsou užitečné při kontrole

74 % útoků začíná pochybením člověka

Firemní školení kybernetické bezpečnosti bývá podceňované do doby, než se stane první problém. Firmy investují do antivirů, firewallů a technického zajištění. Přesto jim data unikají a dostávají se do problémů v kyberprostoru. Důvod je jednoduchý: 74 % bezpečnostních incidentů způsobuje lidský faktor, ať už jde o omyl, lenost nebo cokoliv jiného. Technické opatření a lidské dovednosti musí jít ruku v ruce.

Školení kybernetické bezpečnosti a požadavky NIS2

NIS2 je závazná evropská směrnice, která přináší mj. požadavky na vzdělávání zaměstnanců. Školením musí projít všichni zaměstnanci včetně vedení, bez výjimky. Obsah školení se ale liší podle pracovní role.

• Každý zaměstnanec by si po školení měl sebevědomě odpovědět na tři otázky: Co je podezřelé? Co nesmím dělat? Kam můžu hlásit problémy? To je základ pro běžné pracovníky.
• IT administrátoři a technické týmy potřebují jít hlouběji: procházet simulace ransomwarových útoků, trénovat reakci na úniky dat a zvládat kontrolní body při změnách systémů.
• TOP management se zase musí dobře orientovat v řízení kybernetické bezpečnosti, procesech aj.

Jeden kurz pro všechny nefunguje. Pokud si nejste jistí, jak obsah přizpůsobit různým rolím, rádi vám poradíme na konzultaci.

Druhý klíčový požadavek je pravidelnost a aktuálnost. Kybernetické hrozby se proměňují rychleji než roční cyklus povinných školení. Proto je nutné, aby zaměstnanci byli průběžně informováni o nových typech útoků. Naše školení kybernetické bezpečnosti provází zaměstnance všemi doporučenými tématy přílohy č. 6. Vyhlášky č. 409/2025 Sb.

Jak vypadá školení digitální bezpečnosti, které skutečně funguje

Co funguje v naší vzdělávací praxi je kombinace tří prvků: přizpůsobení obsahu pracovní náplni zaměstnance, názorné příklady a pravidelné simulace phishingu. Seznámíme se s vaší firmou, navrhneme vhodný postup a obsah.

TIP: Měřte efektivitu školení ještě před jeho zahájením. Rozešlete zaměstnancům dotazník před školením a po něm. Bez tohoto srovnání nevíte, zda školení něco změnilo k lepšímu. Kvalitní vzdělávání je měřitelné. Dbejte na to u svých dodavatelů.

Při kontrole regulátorem (NÚKIB) také nestačí říct „školili jsme“. Potřebujete dokumentaci: prezenční listiny, výsledky testů, záznamy o tom, kdo absolvoval které školení a kdy. To se často zanedbává. My máme připravené šablony, které vám můžeme poskytnout pro evidenci i měření efektivity vzdělávání.

Musíme školit i vedení firmy, nebo stačí řadoví zaměstnanci?

NIS2 explicitně uvádí, že školením musí projít všichni zaměstnanci, a to včetně vedení. Vedoucí pracovníci jsou navíc častým terčem útoků typu CEO fraud.

Jak poznám, jestli naše firma pod NIS2 spadá?

NIS2 se vztahuje především na firmy a organizace ve vybraných odvětvích (energetika, doprava, zdravotnictví, digitální infrastruktura a další), dále dle počtu zaměstnanců, obratu aj. Oficiální informace můžete čerpat přímo na Portálu NÚKIB.

Jak často musíme školení kyberbezpečnosti opakovat?

NIS2 neurčuje pevnou frekvenci, ale vyžaduje, aby školení bylo pravidelné a aktuální. Tedy aby reagovalo na nové typy hrozeb. V praxi se doporučuje minimálně jednou ročně s průběžnými aktualitami a simulacemi phishingu v kratších intervalech. Rádi vám s tím pomůžeme na bezplatné konzultaci.

Co udělat dnes

Zmapujte, které role ve firmě potřebují jaký obsah školení: IT admin ≠ účetní ≠ vedení
Seznamte se s doporučenými tématy pro vzdělávání zaměstnanců dle přílohy č. 6. Vyhlášky č. 409/2025 Sb.
Naplánujte vstupní phishing simulaci, abyste měli základní metriku před zahájením vzdělávání
Nastavte systém dokumentace: prezenční listiny a výsledky testů pro každé školení

Potřebujete pomoct nastavit funkční systém školení kybernetické bezpečnosti a vhodný obsah pro vaši firmu? Společně projdeme konkrétní kroky: od mapování firmy, přes nastavování vzdělávacích cílů, návrh obsahu až po systém dokumentace, která obstojí při kontrole.

Domluvit nezávaznou konzultaci →

Investovat do licencí Microsoft 365 Copilot znamená z pohledu firmy poměrně drahé rozhodnutí. Pokud jste si Copilot pořídili, je strategicky důležité, aby se zaměstnanci naučili jeho možnosti skutečně uplatnit a zvýšili svoji digitální produktivitu. Díky firemním licencím můžete s Copilotem efektivně spolupracovat v Outlooku, Wordu, PowerPointu a dalších aplikacích. Realitou ve firmách však bývá, že zaměstnanci neumí pořízené licence dobře zužitkovat nebo i nadále využívají nefiremní AI nástroje na vlastní pěst, což je z hlediska bezpečnosti a etiky problematické.

Praktické využití: Jak Copilot mění každodenní agendu

Administrativa, komunikace, vyhledávání, zpracovávání podkladů, přípravy na jednání, organizace meetingů. K tomu všemu může Copilot skvěle posloužit. Namátkou uvedeme konkrétní příklady:

1. Outlook: Inteligentní řízení komunikace

Copilot v e-mailu funguje jako osobní asistent, který dokáže bleskově shrnout rozsáhlé e-mailové komunikace, identifikovat nevyřízené úkoly nebo dohledat konkrétní podklady od kolegů (např. ztracené odkazy či přílohy). Pomáhá také s editací a koučování vašich odpovědí, aby jejich tonalita a obsah přinesl požadovaný výsledek.

2. PowerPoint: Automatizace tvorby firemních prezentací

Příprava profesionálních prezentací nemusí trvat hodiny. Copilot dokáže transformovat textový mail a obchodní nabídku do strukturované prezentace, zapracovat produktové fotografie a vše sladit s firemní šablonou. Výsledkem je vizuálně konzistentní výstup připravený pro konkrétní účel. Pro kreativnější úkoly pak Copilot Designer dokáže vizualizovat materiály do přehledných rozhodovacích stromů nebo grafiky v barvách vaší značky.

3. Word a OneDrive: Kontextová analýza a tvorba dokumentů

„Jak se liší sankce v těchto třech verzích smluv?“ Copilot na OneDrivu provede srovnání za uživatele a připraví přehled rozdílů. Ve Wordu pak na základě poznámek z porad či e-mailové komunikace navrhne znění směrnice nebo reportu, a to včetně profesionálního formátování.

4. Kalendář: Plánování přípravy na jednání

Copilot v kalendáři umožňuje například automaticky připravovat harmonogramy schůzek na základě dosavadní mailové komunikace. Stejně vám může pomoct efektivněji hledat termíny s kolegy nebo připravovat se na meetingy s partnery.

Celofiremní adopce Copilot: Proč klasické kurzy často selhávají?

Příležitostí pro využití Copilotu v rámci pracovní agendy je nespočet. Problémem zpravidla zůstává nedostatečná představivost zaměstnanců, případně nechuť zkoušet a objevovat nové technologie. Někteří také zkoušeli Copilot v jeho začátcích, kdy nedosahoval dnešních kvalit, proto mohou být skeptičtí. Svým způsobem je to v pořádku, každý jsme jiný. My jsme tu ale od toho, abychom tyto bariéry zbořili, váš tým nadchli a přebudovali způsob, jakým o práci přemýšlí. Skutečná firemní adopce vyžaduje přechod od manuálního zpracování rutiny k proaktivnímu delegování úkolů na AI asistenta, v tomto případě Copilota. A samozřejmě: čím více zaměstnanců takto dokáže pracovat, tím lépe pro celou firmu.

Metodika tréninku: Koučovaná spolupráce na reálných úkolech

Místo teoretických přednášek prosazujeme model koučované spolupráce, který jsme vytvořili na základě letitých zkušeností a stovek školení. Účastníci našich tréninků si přinášejí svou reálnou agendu, která na ně ten den čeká, a pod naším odborným vedením ji zpracovávají s pomocí Copilota.

Tento přístup učí zaměstnance pracovat:

• Propojeně: Využívat data napříč všemi aplikacemi Microsoftu.
• Kooperativně: Chápat Copilot jako asistenta, který je neustále po ruce.
• Proaktivně: Identifikovat prostor pro úsporu času tam, kde ho dříve neviděli.

Kdy se školení na Copilot vyplatí?

Nejdražší technologií je ta, kterou nikdo nepoužívá naplno. Pokud zaměstnanec ušetří s Copilotem třeba jen 20 minut denně, návratnost pořízených licencí a našeho tréninku na sebe nenechá čekat. Za týden je to totiž 120 minut, za měsíc bezmála 1 pracovní den k dobru. Ze zkušeností ale víme, že Copilot nešetří denně minuty, ale hodiny.

Pojďme společnými silami maximalizovat přínos Microsoft 365 Copilot ve vaší firmě pomocí funkčního tréninku, který od práce nebrzdí, ale naopak ji akceleruje.

Postup a podmínky čerpání grantu

Nejčerstvější informace o grantu O2 Chytrá škola získáte přímo na oficiálním webu. O tento grant může požádat každá základní škola, která je vedená v registru školských zařízení. Nezáleží tedy na zřizovateli. Pro letošní ročník jsou důležité tyto termíny:

Od 6. 11. do 31. 12. 2025 máte možnost podat žádost o grant

24. 11. 2025 (15:00 – 17:00) se koná webinář pro zájemce o grant, kde můžete získat cenné informace

Nejpozději 17. 2. 2026 se dozvíte, zda jste získali finanční podporu pro váš projekt

Důležitou podmínkou je, že váš projekt digitálního vzdělávání musí zahrnovat aktivity pro žáky, pedagogy i veřejnost.

Musí být proškoleno alespoň 400 osob (žáků, učitelů, rodičů, prarodičů, veřejnosti). Máte ale poměrně volnou ruku v tom, jakým způsobem to uděláte a jak svůj projekt vymyslíte. Do projektu je možné přizvat i spřátelené školy, knihovny, obec, pečovatelské domy atd. Doporučujeme prostudovat i další podmínky pro letošní ročník.

Zaměření projektu digitálního vzdělávání

V rámci grantu lze žádat o finanční podporu na projekty a vzdělávací aktivity, které souvisí s těmito oblastmi:

Vzdělávání a rozvoj vědomostí v tématech bezpečí na internetu

Vzdělávání a rozvoj vědomostí v tématech mediální gramotnosti

Vzdělávání a rozvoj vědomostí v tématech digitálního zdraví

Kompletní přehled všech oblastí a témat najdete také v podmínkách letošního ročníku. Pokud vám témata nejsou blízká a nevíte, jak váš projekt specifikovat, věnujeme vám bezplatnou konzultaci. Pomůžeme obsah projektu směrovat tak, aby byl atraktivní pro všechny zúčastněné.

Finanční podpora

Vaše škola může požádat o nejméně 30 a nejvíce 100 000 Kč. Finance lze čerpat výhradně na vzdělávací aktivity a projekty, není možné žádat o hardwarové vybavení. Každý rok je rozděleno cca 5 000 000 Kč. Podpořené školy získaly v průměru téměř 90 000 Kč.

Doporučená školící organizace

V podmínkách grantu se uvádí, že můžete k realizaci projektu přizvat organizaci se zkušeností v dané oblasti a cílovou skupinou. Přímo na webu O2 Chytré školy nás můžete dohledat jako jednu z doporučených školících organizací. Díky tomu můžete mít jistotu a klid, že jste si pro spolupráci vybrali důvěryhodného partnera a realizace projektu dobře dopadne. Z našich předchozích spoluprací víme, že si školy pochvalují rychlou a efektivní komunikaci s námi.

O2 Chytrá škola: Rozumný a dostupný grant

Grant O2 Chytrá škola považujeme za velmi dobrý způsob, jak získat finanční prostředky pro zajímavé projekty a digitální rozvoj. Jeho výhodou je, že oproti jiným grantům nepřináší neúměrnou administrativní zátěž.

Důkazem je i to, že podmínky grantu vč. všech pokynů mají pouhých 7 stran. Doporučujeme alespoň vyzkoušet podat žádost. Šance, že získáte finanční podporu, rozhodně není malá.

Digi pro firmy v kostce

Zmapujte potřeby – Identifikujte dovednosti, které vaši zaměstnanci potřebují zlepšit.

Vyberte kurzy – Zvolte vhodné externí školení zaměřené na digitální vzdělávání.

Podejte žádost – Vše zařídíte online přes aplikaci Úřadu práce.

Získejte příspěvek – Až 42 888,80 Kč / 1 zaměstnanec (vzdělávání + mzda).

DIGI pro firmy je dostupná dotace

Hlavním cílem dotace je pomoct organizacím připravit se na dynamiku trhu práce a digitální ekonomiky. Z toho důvodu je výčet organizací, které mohou o dotaci žádat, pestrý. Patří mezi ně:

malé, střední i velké podniky,

příspěvkové organizace územně samosprávných celků,

nestátní neziskové organizace,

obce, kraje,

a další subjekty určené podmínkami DIGI pro firmy (str. 4 a 5).

Financování DIGI pro firmy

Obecně se dotační příspěvek skládá z části na vzdělávání 263,98 Kč / osobohodina a mzdu 272,13 Kč / osobohodina. Požadavkem pro čerpání je, že vzdělávací program musí mít rozsah alespoň 16 hodin.

Modelový příklad: Na vzdělávací program v rozsahu 16 hodin pro 15 zaměstnanců získáte celkový příspěvek cca 128 000 Kč (součet obou částí příspěvku x 16 hodin x 15 zaměstnanců).

Pro detaily doporučujeme prozkoumat oficiální zdroje, kde je vše podrobněji rozepsáno. Myslete také na to, že vzdělávací programy musí být úspěšně ukončené do 30. září 2025.

Naše zkušenosti s DIGI pro firmy

Jako příklad uvedeme spolupráci pro Kulturní zařízení města Boskovice, kde jsme realizovali vzdělávací program v celkovém rozsahu 20 hodin:

IT bezpečnost: Přehled o kybernetických hrozbách, doporučení pro zabezpečení dat i zařízení.

AI, úvod do fenoménu: Porozumění oblasti AI, trénink a práce s vybranými aplikacemi.

AI, pomocník pro denní rutinu: Objevování pokročilých možností AI pro zlepšování procesů a služeb.

AI, obrazotvorba a videotvorba: Tvorba vizuálního obsahu pomocí AI s ohledem na právní aspekty.

Digitální produktivita: Osvojení technik pro efektivní řízení času a zdravější práci s technologiemi.

Vzdělávací program může probíhat prezenčně (přímo u vás) nebo distančně (pomocí videohovorů). Rádi pro vás připravíme vhodný mix, který bude odpovídat vašim potřebám, provozu nebo otevírací době.

Investice do strategického rozvoje

Dotace DIGI pro firmy neslouží pouze k tomu, abyste ušetřili za školení zaměstnanců. Je to především výhodná příležitost pro strategický rozvoj. Kontaktujte nás a společně nastavíme plán, jak prostředky využít co nejlépe.

Pozn.: Při tvorbě článku jsme se snažili čerpat z aktuálních zdrojů. Přesto se může stát, že některé informace časem zastarají. Pokud objevíte něco neaktuálního, budeme rádi, když nás na to upozorníte a zapojíte se do revize textu.

Další doporučené zdroje

Oficiální informace z MPSV

Shrnutí pro zaneprázdněné: AI gramotnost v kostce

Zmapujte si AI nástroje – zjistěte, jaké AI systémy ve firmě využíváte a kdo s nimi pracuje.

Připravte směrnici – nastavte jasná pravidla pro používání AI a odpovědnosti.

Věnujte se rozvoji zaměstnanců – nejen IT profesionálům, ale také HR, marketingu, administrativě a dalším pozicím.

Mějte dlouhodobý plán – AI se rychle vyvíjí, proto je lepší kontinuální vzdělávání než jednorázová aktivita.

Co je AI gramotnost a proč je důležitá?

Pokud vaše firma interně využívá AI systémy (mezi které patří například i ChatGPT, Perplexity a další cloudové nástroje), stáváte se tzv. zavádějícím subjektem, na který dopadají některé požadavky a povinnosti AI Actu. Týkat se vás bude mj. požadavek na rozvoj AI gramotnosti zaměstnanců. Záleží na vás, jestli to budete chápat jako povinnost nebo příležitost posunout firmu a zaměstnance systematicky kupředu.

AI gramotnost podle AI Actu znamená zajistit, aby zaměstnanci, kteří pracují s AI, rozuměli tomu, co přesně používají, jaká jsou rizika a jak může jejich práce ovlivnit firmu nebo společnost. Například zaměstnanec v HR, který má v úmyslu využít nástroje AI pro svoji agendu, musí vědět:

že AI může obsahovat předsudky a nesprávně diskriminovat,

jak správně interpretovat výstupy a mít je pod kontrolou,

že za finální rozhodnutí nese odpovědnost on, nikoli AI,

a že z hlediska GDPR nelze nahrávat do nástrojů typu ChatGPT osobní či citlivé údaje.

AI act a vyjádření České asociace umělé inteligence (ČAUI)

ČAUI upozorňuje, že není dobré podléhat panice. Lze očekávat, že se objeví řada firem a obchodníků, kteří budou pod pohrůžkou sankcí intenzivně nabízet rychlá školení, která AI gramotnost zajistí. Dle ČAUI je vhodnější přistupovat k záležitost s klidem a systematicky. Cílem AI gramotnosti je, aby zaměstnanci skutečně rozuměli tomu, co s AI dělají a jaká rizika práce s nástroji AI přináší.

Se samotnými sankcemi je to také komplikovanější, na což upozorňuje řada expertů z právní praxe. Dle ČAUI v tuto chvíli (2. 2. 2025) neexistuje orgán, který by přímo vymáhal povinnost AI gramotnosti, a pokuty nehrozí. AI Act také nepočítá s přímými pokutami za nedostatečnou AI gramotnost.

To však neznamená, že je dobré věc bagatelizovat nebo přímo přehlížet. Pokud zaměstnanci používají nástroje AI nesystematicky a na vlastní pěst, nese to s sebou celou řadu hrozeb. Začněte na etickém a bezpečném využívání AI a budování AI gramotnosti dlouhodobě pracovat. Doporučujeme začít s rozvahou, vytvořit vzdělávací plán na míru a připravit program, který bude zaměstnance nejen školit, ale také je průběžně udržovat v obraze o novinkách v AI.

Jak vám pomůžeme s AI actem jako lektoři?

Provedení AI auditu: Společně zjistíme, co a jak váš tým používá. Předtím, než začnete se vzděláváním, je nutné vědět, jaké AI systémy vaši zaměstnanci reálně využívají a vyvodit, jakým rizikům jsou vystaveni.

Příprava vzdělávací strategie: Pokud nechcete jen fajfku, že školení proběhlo, ale myslíte rozvoj zaměstnanců vážně, pomůžeme připravit plán školení na míru. Zaměříme se na různé agendy – HR, marketing, administrativu aj. Zohledníme vaše provozní možnosti a najdeme optimální formáty.

Profesionální lektorování: Budeme lektorovat vaše interní kurzy a pomáhat zaměstnancům udržovat se v obraze.

Využívejte AI bezpečně a eticky

Nenechte se vystrašit, AI gramotnost není o splnění jednorázové povinnosti, ale o investici do bezpečnějšího a efektivnějšího provozu vaší firmy. Nenechte si vnutit univerzální a často drahá školení, která slibují instantní řešení. Pečlivě vybírejte, s kým se do rozvoje zaměstnanců pustíte. V případě nejistoty nebo specifických potřebách se také může vyplatit na specializované právníky.

Pozn.: Při tvorbě článku jsme se snažili čerpat z aktuálních zdrojů. Přesto se může stát, že některé informace časem zastarají. Pokud objevíte něco neaktuálního, budeme rádi, když nás na to upozorníte a zapojíte se do revize textu.

Další doporučené zdroje

Přehled České asociace umělé inteligence (ČAUI)

Portál Digitální Česko

Právní odborný komentář, JUDr. Ing. Eva Mayerová

Phishing, Smishing a Quishing: podvodné odkazy, kam se podíváš

Typy podvodů, se kterými se setkáme nejčastěji. Přijde nám podvodný e-mail, SMS zpráva nebo zpráva na messengeru, která typicky obsahuje odkaz, na který máme kliknout. Odkaz nás odvádí na podvodnou webovou stránku, kam máme zadat své citlivé údaje (zpravidla přihlašovací údaje nebo údaje o platební kartě). Když to uděláme, podvodníci toho mohou dále zneužít. Největší kámen úrazu je, že podvodná webová stránka určená pro sběr údajů může být k nerozeznání od důvěryhodného originálu:

Vše začíná podvodnou zprávou. Na tyto a podobné triky jsou uživatelé nejvíce choulostiví:

Podvodná zpráva přijde od někoho, koho známe. Nejčastěji je to někdo z okruhu známých, komu byl odcizen účet na sociální síti a nyní je podvodníky dále využíván.

Očekáváme balíček a přijde upozornění, že se s ním něco děje. Nastal problém u dopravce, clo aj. Nejvíce lidí nakupuje on-line v období Vánoc, proto mají tyto masově rozposílané zprávy lepší šanci na úspěch.

Jiná smysluplná upozornění a uvěřitelné zápletky. Například, že se nepodařilo strhnout platbu za Netflix nebo Voyo, nebo že jste dostali pokutu za porušení dopravních předpisů ve městě.

Podobné SMS nám mohou přijít z podivných čísel s prapodivnou předvolbou, ale také z běžných čísel s předvolbou +420. Pamatujte si, že každý podobný přiložený odkaz je podezřelý! Odkazy a adresy důsledně kontrolujte. K tomu poskytneme další tipy za chvíli.

Na sociálních sítích se můžeme setkat i s podvodným QR kódem. QR kódy bývají přidávány do infografik a letáčků, aby lidé mohli rychle přejít na web bez opisování adresy. Slouží také k urychlení on-line plateb, automatickému vyplnění platebních údajů atp. Podvodníci toho rádi využívají. Mohou původní originální grafiku stáhnout a doplnit QR kód, který směřuje na jejich bankovní účet. Tuto verzi dále rozšíří. Dobře to ilustruje tento příklad z praxe:

Pokud by se k vám taková upravená grafika dostala a podvodný QR kód jste využili, pošlete podvodníkům svoje peníze raz dva. Podobné podvodné infografiky a QR kódy mohou na sociálních sítích kolovat například k příležitosti Tříkrálových sbírek. Pokud se budete chtít zapojit, vyhledejte raději oficiální webové stránky organizátora sbírky a postupujte podle pokynů zde uvedených.

Pozor na podvodné sponzorované odkazy

Na podvodný web se můžeme dostat i aktivně, sami. Jednoduše ho vyhledáme. Představte si situaci, kdy do vyhledávače napíšete jen “alza” a dostanete nabídku výsledků. Jako první bývají tzv. sponzorované odkazy. Někdo zaplatil za reklamu, aby se jeho odkaz objevoval co nejvýše ve výsledcích vyhledávání. I toho začali zneužívat podvodníci. První odkaz ve vyhledávání může být totiž jejich.

Přesně tímto způsobem se můžeme dostat na podvodný web banky nebo také e-shopů. Například minulé Vánoce se objevil tento podvodný e-shop, který dokonale imitoval Alzu:

Jsme zvyklí, že co je ve výsledcích vyhledávání první, to je nejlepší a dále nic nekontrolujeme. Je to velmi účinná taktika, jak podvodníci dostanou lidi tam, kde je chtějí mít. ČSOB na to dokonce připravila experiment. Vytvořila vlastní podvodný web pro účely osvěty a zajistila jeho zviditelnění ve výsledcích vyhledávání. 30 000 klientů na podvodný odkaz kliklo a 70 % z nich chtělo odevzdat i své přihlašovací údaje do internetového bankovnictví.

Doporučení tedy zní sponzorované odkazy ve výsledcích vyhledávání raději nevyužívat, případně si důležité stránky, které často navštěvujete, uložit do záložek a mít je neustále po ruce.

Podvody s doménami

Podvodníci švindlují i s tzv. doménami. Zneužívají toho, že se většina uživatelů internetu dobře neorientuje v systému jejich fungování. Pojďme si to letem světem vysvětlit. Počítače mají nejraději čísla. Například náš web má IP adresu 37.9.175.165. Jenže lidi čísla rádi nemají. Aby si nemuseli pamatovat složité IP adresy, vznikly doménové adresy. Díky nim můžete navštívit náš web na IP adrese 37.9.175.165 tím, že napíšete kudrnasobkova.cz.

Abychom mohli použít doménu kudrnasobkova.cz, musíme si koupit. Stojí to cca 300 Kč na rok. Poté už můžeme s doménou pracovat. Není problém udělat subdoménu skoleni.kudrnasobkova.cz atp. Podvodníci toho ale opět zneužívají. Pořídí si náhodnou doménu (pro příklad podvadimelidi.cz) a poté připraví subdoménu mall.cz.podvadimelidi.cz. Jakmile vidíte v jedné adrese vícekrát .cz, .com atp., není to běžné.

Moderní antivirové programy se uživatele na podobné finty snaží upozorňovat. Pomoct může i služba VirusTotal.com. Můžete sem okopírovat odkaz, který chcete ověřit a VirusTotal se zeptá více než 90 antivirových programů, jestli s ním mají špatnou zkušenost. Pomocí jednoduché grafiky vám odpoví. Takto například pro podvodnou adresu allza.website:

Nepovažujte ale tento nástroj za všemocný. Umí se pouze ptát. Podvodné weby mají často životnost v řádu minut nebo desítek minut. Mnoho lidí se může nachytat během krátké chvíle a antivirové programy nemusí podvodný web zaregistrovat, proto se ani ve VirusTotalu nemusí objevit.

Https: Hesla Tajně Transportuje Polární Santa?

Mýty kolují také kolem zámečku s kouzelnou zkratkou HTTPS. Problém je, že jsme tomu začali přikládat jiný význam, než je skutečnost. Z praxe a školení kybernetické bezpečnosti víme, že lidé web označený zámečkem a HTTPS považují za bezpečný. Zabezpečený je ale pouze způsob, jakým komunikuje náš počítač s webovou stránkou, jak si vyměňují data. Mrkněte i na výše uvedené příklady v tomto článku (ČSOB, Fio, Alza), všechny mají zámeček a HTTPS.

Je pravda, že HTTPS je důležité, pokud někam posíláme své citlivé údaje (platby, přihlašovací údaje). Znemožňuje někomu cizímu datový provoz špehovat nebo data krást. HTTPS ale neznamená bezpečný web! Je potřeba tento rozdíl vnímat. Zámečky z prohlížečů postupně mizí. Jedním z důvodů je i to, že se na ně lidé až přehnaně spoléhali.

Podvod s motivem Ministerstva práce a sociálních věcí

Podvod s motivem Apple iCloud

Podvod s motivem Fio Banky

Temu (a jiná čínská tržiště): bezpečnost a etika

Už jste si také při on-line nakupování všimli všudypřítomné nabídky čínského tržiště Temu? Jako koncoví spotřebitelé máme možnost nakupovat přímo od čínských výrobců a prodejců, bez prostředníků. Skutečnost je ale složitější. Na základě těchto argumentů doporučujeme se nakupování zde vyhnout:

Z hlediska kybernetické bezpečnosti a soukromí sbírá aplikace Temu nadstandardní množství dat o uživatelích a vyžadují neobvyklá oprávnění vůči našemu zařízení. K tomu se vyjadřovali i zástupci Národního úřadu pro kybernetickou a informační bezpečnost.

Pokud si objednáte výrobek, který bude nepoužitelný, budete ho chtít vrátit nebo reklamovat, nemusí se vám to podařit. Česká obchodní inspekce či Evropské spotřebitelské centrum jsou na Temu krátcí a nemají moc možností, jak spotřebitele chránit.

Bezpečnost produktů z čínských online tržišť je nejistá. Byla zachycena řada výrobků, které obsahovaly ftaláty či jiné toxické látky jako olovo. To je problém především u hraček, oblečení atp. Elektrická zařízení mohou obsahovat nekvalitní součástky, které zvyšují riziko požárů.

Obrovská ekologická zátěž výroby, etické problémy jako ilegální kopie originálních produktů, které poškozují autorská práva nebo pochybné pracovní podmínky pro pracovníky v továrnách. I to jsou aspekty fenoménu Temu, které by měly spotřebitele zajímat.

Temu kromě kybernetických rizik přináší i rizika pro reálný fyzický svět, které nedoporučujeme ignorovat.

Praktické rady kybernetickou bezpečnost o Vánocích

Při vánočním shonu a on-line nakupování máte velkou šanci, že se dostanete do kontaktu s některým typem podvodů nebo navštívíte pochybná on-line tržiště. V tomto článku jste získali přehled o rafinovaných tricích podvodníků, díky tomu se jim můžete vyhnout. Na paměti mějte alespoň tohle:

Podvodná zpráva nám může přijít i od těch, koho známe (jejich účet na sociální síti byl odcizen a zneužit k rozesílání podvodných zpráv).

Typickým znakem podvodných zpráv je přiložený odkaz, na který máme kliknout. Kliknutí nás odvede na podvodný web, kde máme vyplnit své citlivé údaje (hesla, údaje o platební kartě atp.). Pro toto jednání nám může být poskytnuta kvalitní záminka. Citlivé údaje vyplňujte jen na důvěryhodných webech.

Pro platby na internetu mějte dobře nastavené limity (raději nízké), v lepším případě mějte platební kartu vyčleněnou jen pro tento účel. Existují i virtuální platební karty, které zase o kousek zvyšují vaši bezpečnost při placení.

Pokud budete chtít přispět na dobročinnou sbírku, vždy si dohledejte původní a oficiální web, nevyužívejte QR kódy, které kolují na sociálních sítích.

Na podvodný web se můžete dostat i sami přes vyhledávač, sponzorované odkazy raději nevyužívejte a vyhýbejte se jim. Důležité stránky si uložte do záložek.

Pozor na podvody s doménami a subdoménami, u důležitých webu kontrolujte celé adresy. Pokud je v adrese vícekrát .cz nebo něco podobného, je s nejvyšší pravděpodobností podvodná.

HTTPS neznamená bezpečný web a není dobré mu přehnaně důvěřovat. Neočekávejme něco, co nám nemůže zaručit.

Z bezpečnostních a etických důvodů doporučujeme nevyužívat tržiště Temu.

Dále doporučujeme prozkoumat možnosti dvoufaktorového zabezpečení e-mailů, sociálních sítí a dalších služeb, na kterých vám záleží. Tato ověřovací metoda vám bude krýt záda v případě, že omylem prozradíte svoje přihlašovací údaje podvodníkům. Připravili jsme na toto téma kompletní detailní návod.

Další užitečné odkazy

Závěrem přikládáme další užitečné weby a služby, které mohou být užitečné při vánočním nakupování i celoročním brouzdání na internetu:

Česká obchodní inspekce (ČOI) provozuje stránku, kde informuje o rizikových e-shopech. Jsou zde evidovány e-shopy, u kterých bylo zaznamenáno něco nestandardního (chybí podmínky reklamace, provozuje anonym atp.) Nemusí být nutně zlodějské nebo nebezpečné, ale je lepší být na pozoru. Nejsou zde také evidovány všechny podezřelé e-shopy! Jen ty, na které ČOI někdo upozornil, nebo je objevila sama.

Časopis dTest provozuje webové stránky Nebezpečné výrobky. Můžete se podívat, zda produkt, který chcete koupit, nebyl v některé zemi vyhodnocen jako nebezpečný, zdravotně závadný atp.

Shrnutí pro zaneprázdněné

ChatGPT je důvěryhodný nástroj, ale přesto jsou s ním spojena různá rizika.

Vaše data mohou být použita pro zlepšování ChatGPT a další analýzy.

Stále platí, že důležitou součástí zabezpečení je silné heslo a dvoufaktorové ověřování.

Pluginy a GPTs přináší bezpečnostní rizika týkající se zpracování dat třetími stranami.

Nastavte ve firmě jasná pravidla pro používání ChatGPT, jednejte preventivně.

Odpovědnost za obsah nese uživatel, při používání je nutné myslet na právní otázky.

Proč je důležité řešit bezpečnost při používání ChatGPT?

ChatGPT a další nástroje z oblasti generativní umělé inteligence zažívají překotný rozvoj. Průzkumy ukazují, že dvě třetiny malých a středních podniků hledají cesty, jak tyto nástroje zužitkovat. Nejjednodušší cestou je využít chatboty typu ChatGPT, které pomáhají zaměstnancům zefektivnit každodenní pracovní činnosti jako:

tvorba e-mailů,

psaní zpráv a článků,

shrnutí schůzek,

nebo analýza souborů a dokumentů.

Ale pozor. Z nedbalosti či nevědomosti se tímto způsobem do ChatGPT dostávají kvanta citlivých a interních informací. Zajímavým postřehem také je, že 75 % majitelů malých a středních firem osobně zodpovídá za implementaci chatbotů, ale mnoho z nich nemusí být odborníky na bezpečnost nebo ochranu dat. S vidinou úspor a zvýšené produktivity tak mohou zapomínat na bezpečnost informací a dat.

Rizika chatbotů: Bezpečnost ChatGPT

ChatGPT, stejně jako většina podobných nástrojů, uchovává a zpracovává data v cloudu. Fakticky to znamená, že s nahráním dat nad nimi ztrácíte kontrolu. I OpenAI (společnost, která ChatGPT vyvíjí) deklaruje, že není schopna odstranit data z historie konverzací. To znamená, že jakmile citlivá data nahrajete do ChatGPT, nemůžete je jednoduše smazat. I když smažete konverzaci s citlivými daty ve svém uživatelském rozhraní, data stále zůstávají na serverech v cloudu.

Práce s nástroji typu ChatGPT, také přináší nová rizika pro informační bezpečnost. Vaše data mohou být dle vámi odsouhlasených uživatelských podmínek využity pro zlepšování služeb, výzkumy a analýzy.

Jako nejčastější riziko se uvádí možné re-generování citlivých dat: ChatGPT může neúmyslně re-generovat vaše citlivé informace v odpovědích jiných uživatelů. I když společnost OpenAI údajně využívá techniky pro anonymizaci dat, nelze vyloučit možnost, že vaše data mohou tímto způsobem uniknout. Problémy s úniky citlivých dat v minulosti odhalil i výzkum Extracting Training Data from ChatGPT.

Dalším příkladem byla kritická zranitelnost, která umožňovala útočníkům převzít účet uživatele ChatGPT, což by jim poskytlo přístup k citlivým informacím a možnost provádět neoprávněné akce.

Postupem času se mohou objevovat i další bezpečnostní nedostatky. Ve světě digitálních technologií to není nic neobvyklého, spíše naopak.

Pluginy a GPTs: Jaké bezpečnostní hrozby přinášejí?

Pluginy a GPTs, které rozšiřují možnosti ChatGPT, mohou také přinášet významná bezpečnostní rizika. Pluginy jsou často vyvíjeny třetími stranami, a přestože OpenAI provádí základní kontrolu pluginů, není 100%:

Pluginy mohou obsahovat bezpečnostní chyby, které umožní útočníkům přístup k vašim datům.

Data sdílená přes pluginy mohou být zpracována poskytovateli pluginů, kteří nemusí dodržovat stejné bezpečnostní standardy jako OpenAI.

Pokud používáte pluginy k práci s citlivými daty, existuje riziko, že k nim může mít přístup více osob či organizací, což může vést k únikům nebo porušení předpisů, jako je GDPR.

Do ChatGPT určitě nepatří osobní údaje a citlivé údaje, na které se GDPR běžně vztahuje. Přemýšlejte tak, že vše, co do ChatGPT nahráváte, svým způsobem zveřejňujete.

Právní odpovědnost při používání ChatGPT

Použití ChatGPT k tvorbě obsahu (text, obraz, programový kód, …) s sebou nese také právní či reputační výzvy. Obsah generovaný ChatGPT není vždy vaším autorským dílem. Aby byl, musíte projevit dostatek kreativity při práci s nástrojem a moct svůj tvůrčí proces doložit. To může být v některých situacích klíčové.

ChatGPT může také generovat obsah chráněný autorskými právy, což může být problém, pokud plánujete své výstupy komerčně využít. Známý případ se týkal firmy, která zjistila, že text generovaný ChatGPT obsahoval úryvky z knih chráněných autorskými právy. To vedlo k právním sporům.

Dalším zajímavým problémem, který využijeme pro ukázku, je bezpečnost programového kódu generovaného ChatGPT. Když vědci testovali programové kódy, které vytvořil ChatGPT, zjistili, že mnohé z nich nesplňují minimální bezpečnostní standardy. Pokud využijete takový kód ve svých projektech, vystavujete se riziku, že obsahuje zranitelnosti, které mohou ohrozit bezpečnost celého projektu.

Ať generujte cokoliv, odpovědnost za výstupy nesete vy jako uživatel. Také v podmínkách používání se píše, že výstupy je vhodné kontrolovat a ověřovat.

Jak ochránit svůj účet ChatGPT a data: Bezpečnostní nastavení

Základem osobní bezpečnosti je stále silné heslo a vícefaktorové ověřování (MFA). Pokud útočník získá přístup k vašemu účtu, může procházet vaši historii chatů a získat přístup ke všem sdíleným datům. Také proto se začínají množit phishingové motivy zaměřené právě na účty v ChatGPT. Doporučujeme provést následující kroky:

Nastavit silné a jedinečné heslo

Povolit vícefaktorové ověřování (MFA) pro zvýšení bezpečnosti (Nastavení → Zabezpečení → Vícefaktorové ověřování)

Zakázat použití vašich dat pro trénování modelu (Nastavení → Ovládací prvky pro data → Vylepšovat model pro každého)

Navštivte také Portál žádostí o soukromí OpenAI, kde můžete požádat o další omezení, která se týkají vašiho profilu a dat. Nezjistili jsme, zda se toto centrum liší od klasického nastavení přímo v ChatGPT, ale může se hodit o něm vědět.

Doporučení pro firmy: Jak bezpečně využívat ChatGPT

Pokud plánujete nebo již používáte ChatGPT ve své firmě, je důležité nastavit jasná pravidla používání ChatGPT. Jsou na místě pravidelná školení zaměstnanců a zajistit, aby všichni věděli o aktuálních rizicích, bezpečnostních opatřeních a právních důsledcích práce s AI. Rádi vašemu týmu připravíme workshop, kde shrneme nejen bezpečností hrozby spojené s prací v ChatGPT, ale ukážeme také techniky a způsoby, jak tento nástroj efektivně využít při každodenní práci.

ChatGPT: Produktivita, odpovědnost a bezpečnost

I když ChatGPT výrazně zvyšuje produktivitu, jeho používání vyžaduje zodpovědný přístup a důraz na bezpečnost i právní aspekty. Příklady z praxe opakovaně ukazují, jak důležité je chránit citlivé informace.

Základem ve vaší firmě je správná bezpečnostní strategie, dostatečné bezpečnostní povědomí zaměstnanců včetně adekvátního nastavení uživatelských účtů, nastavení silných hesel a dvoufaktorového ověřování. Tyto kroky jsou pro plné využití potenciálu ChatGPT, aniž byste vystavili firmu nadbytečným rizikům.

Pozn.: Při tvorbě článku jsme se snažili čerpat z aktuálních zdrojů, výzkumů a zkušeností. Přesto se může stát, že některé informace časem zastarají. Pokud objevíte něco neaktuálního, budeme rádi, když nás na to upozorníte a zapojíte se do revize textu.

Kyberkurz, studium a rekvalifikace v kybernetické bezpečnosti

Kybernetická bezpečnost je obor s velkou budoucností, protože digitální technologie a internet pronikly do všech odvětví a průmyslů. I proto poměrně často vidíme v médiích, jak to může dopadnout, když je bezpečnost těchto technologií narušena. Případy, kdy v nemocnici nefungoval po kybernetickém incidentu ani rentgen, jsme zažili i u nás České republice.

Problém je, že specialistů, kteří kybernetické bezpečnosti rozumí a dokážou pracovat na tom, aby se podobné incidenty nestávaly, je velký nedostatek. Kyberkurz má proto jasný cíl: vyhledat lidi, kteří mají o téma kybernetické bezpečnosti zájem a pomoct jim naskočit do vlaku trhu práce.

Pro někoho může být důležité i to, že Kyberkurz akreditovalo Ministerstvo školství, mládeže a tělovýchovy jako rekvalifikační kurz dle Vyhlášky č. 176/2009 Sb. V tuto chvíli je navíc možné ho uhradit z programu „Jsem v kurzu“ od Ministerstva práce a sociálních věcí / Úřadu práce. To je super, protože za podobné kurzy zpravidla vysolíte desítky, ne-li stovky tisíc. Kyberkurz je podle mě unikátní vzdělávací počin.

Manažer kybernetické bezpečnosti, nebo administrátor?

Kyberkurz je složen ze dvou obsahových částí: manažerské a technické. V manažerské části získáte dovednosti pro řízení bezpečnosti informací a kybernetické bezpečnosti v organizaci. Naučíte se myslet jako manažer kybernetické bezpečnosti a díky zkušenostem lektora z celého světa získáte dovednosti, na které byste jinak dlouho sami přicházeli.

Technická část je založena na experimentech a virtuálních laboratořích. Moc se mi líbilo, jak byly laboratoře připravené. Nejdříve jsme objevovali bezpečnostní nedostatky a zranitelnosti systémů, potom jsme se je snažili zneužít z pohledu útočníků a nakonec jsme provedli obranná opatření, aby to útočníkům příště neprošlo. Vyzkoušíte si tedy roli administrátorů i obranných a útočných hackerů.

Pokud vás zajímá, co přesně jsme v Kyberkurzu dělali, publikoval o tom jsem každý týden přehled na LinkedIn (1. týden, 2. týden, 3. týden, 4. týden, Závěr Kyberkurzu).

Specialista kybernetické bezpečnosti můžeš být i ty

Rozhodně je Kyberkurz vhodný pro všechny, kdo už pracují v sektoru IT jako správci sítě, administrátoři atp. Získáte spoustu tipů, díky kterým můžete vaši firmu lépe připravit na kybernetické útoky a rozšíříte si obzory. V našem běhu ajťáci všeho druhu byli a vím, že si obsah moc pochvalovali. Pro nás začátečníky byla účast lidí z praxe super v tom, že přinášeli své postřehy.

Dále Kyberkurz doporučuji všem, kdo mají zájem o IT a rádi by v této sféře začali pracovat. Budete potřebovat běžné uživatelské dovednosti s Windows a alespoň představu o tom, jak vypadá příkazový řádek. Pokud slyšíte pojem příkazový řádek a vůbec nevíte, o čem je řeč, museli byste dohánět. Pokud si vybavíte alespoň staromódní okno, kam se píšou příkazy, tak budete muset dávat pozor, ale zvládnete to.

Jako začátečník neočekávejte, že budete po absolvování Kyberkurzu všemu, ihned a dokonale rozumět. Očekávejte, že budete mít přehled a solidní základ, na kterém se dá dále stavět. Záleží také na tom, jakým směrem se budete chtít po skončení Kyberkurzu vydat. Někomu bude nejbližší manažerská část, někomu technická část.

Myslím si, že není možné dělat všechno na výbornou v jedné osobě. Ale jako manažerovi se vám hodí vědět, co chtít po administrátorech, jaké útoky existují atp. Zkrátka se o kybernetické bezpečnosti budete umět informovaně bavit a budete schopni nastavovat realistické plány. Je taky fajn, že se dostanete do kontaktu s podobně smýšlejícími lidmi, na které se můžete i po Kyberkurzu obrátit.

Jak říkala spoluúčastnice Gabriela, „Chtěla jsem získat cyber big picture, a to jsem dostala.“ Chci také zdůraznit, že zhruba polovina účastníků v našem běhu byly ženy. To je důležité. Nenechte se odradit stereotypy, že se ženy pro IT obory nehodí. Je to nesmysl a záleží jen na odhodlání.

On-line kurz kybernetické bezpečnosti

Lekce Kyberkurzu probíhají ryze on-line, ale jsou kompletně lektorované. Není to tak, že vám někdo jen zpřístupní kvanta materiálů, kterými se budete prokousávat při samostudiu. Každému, kdo o účasti v Kyberkurzu přemýšlí, doporučuji, aby si na všechny lekce udělal prostor v kalendáři.

Počítejte s tím, že vás Kyberkurz časově vytíží doslova na 100 %. Je to intenzivní, lekce trvají 6 nebo 8 hodin a lektoři čas maximálně využívají. Není to tak, že je lekce na oko vypsaná na 6 hodin, ale po obědě se to rozpustí. 

I když se počítá s tím, že budete příležitostně chybět a máte možnost výuku dohnat ze záznamu, nikdy to nebude to pravé ořechové.

Na druhou stranu jsem si všiml, že jsme obsah zvládali projít načas, nepřetahovali jsme a končili podle rozvrhu. To bylo důležité pro ty, kdo musí pro děti do družiny atp.

Kali Linux a virtuální laboratoře

Obecně platí, že nepotřebujete nic speciálního: vše potřebné pro virtuální laboratoře vám zařídí a pomohou zprovoznit lektoři. Budoucím účastníkům ale radím, aby si před začátkem Kyberkurzu opatřili alespoň dva plnohodnotné monitory. Oceníte to hlavně při laboratořích, které tvoří velkou část kurzu. Sám jsem Kyberkurz absolvoval s jedním monitorem a notebookem, bylo to minimum. Neumím si představit, že bych kurzem procházel jen s notebookem.

Na jednom monitoru potřebujete sledovat lektora, co a jak dělá, na druhém máte spuštěné virtuální laboratoře a pracujete s nimi. Do toho si kopírujete různé příkazy z chatu nebo společného dokumentu, který lektor založí. Pokud je to pro vás celé nové a budete příliš často přepínat, budete z toho zmatení a zamotaní.

Osobně jsem nebyl na práci s virtuálními počítači nebo třeba Kali Linux zvyklý, ale postupně jsem se do toho dostal. Myslím si ale, že začátek mohl být trošku plynulejší. Neznal jsem například klávesové zkratky, se kterými jsme pracovali. A protože jsem nepracoval na Windows, ale MacOS, některé zkratky mi fungovaly jinak.

Než jsem zjistil, jak nějaký znak nebo zkratku udělat, tak jsem byl pozadu o tři kroky ve cvičení. Pomohl by mi do začátku nějaký seznam často používaných zkratek, než si na to člověk zvykne.

Všechny tyto postřehy jsem ale pečlivě popsal a poslal lektorům. Věřím, že je do příštího běhu Kyberkurzu zapracují a začátek bude pro nováčky ještě o kousek hladší. Byli velmi otevřeni návrhům pro vylepšování.

Profesionální a přátelští lektoři

Lektoři byli přátelští a přitom vysoce profesionální. Osobně kvituji i jejich trpělivost se začátečníky, kteří se často doptávají na pro lektory nejspíš banální věci. Z doslechu od známých, kteří navštěvovali jiné IT kurzy z programu „Jsem v kurzu“, vím, že to není standardní. Stěžovali si například na to, že se jim lektoři nevěnovali nebo byli arogantní. To jsem u Kyberkurzu nepocítil a moc si toho vážím.

Sám jsem totiž řadu věcí objevoval od základu a nikdy jsem se nebál nebo nestyděl zeptat. U virtuálních laboratoří jsou lektoři připraveni vám poradit a pokud se do toho zamotáte tak, že ani rady nestačí, tak se k vám lektor připojí a pomůže vám to opravit.

Oceňují také to, že se nám lektoři věnovali celou dobu, bylo vidět, že si na účastníky kurzu vyčlenili dostatek prostoru. Nepůsobili dojmem, že si jen odskočili od jiné práce. Spíš naopak: kolikrát obětovali svou obědovou pauzu, aby něco opravili těm, kdo se při cvičeních ztratili.

Závěrečná zkouška pro rekvalifikaci v kybernetické bezpečnosti

Na webu Kyberkurzu je uvedeno, že vás lektoři na zkoušku připraví a kdo bude v průběhu kurzu pracovat, dávat pozor, ten si se zadáním poradí. Můžu říct, že to platí. Zkouška je složena ze dvou částí: teoretické a praktické. Teoretická část je shrnutí toho hlavního, co od lektorů zaznělo a pokud chcete do oboru kybernetické bezpečnosti naskočit, je potřeba se v těchto věcech orientovat.

Praktická část byla výběr z krátkých úkolů, které jsme trénovali v průběhu kurzu. Při laboratořích si vyzkoušíte i práci s různými nástroji a ty, se kterými se vám bude pracovat dobře, pro plnění zadání využijete. Nebojte se podpásovek, je to fér.

Pár dní po složení Kyberkurzu získáte Osvědčení o rekvalifikaci vzdělávacího programu rekvalifikačního kurzu, podle vyhlášky MŠMT č. 176/2009 Sb. a certifikát, kterým se můžete pochlubit třeba na sociálních sítích.

Kyberkurz: Shrnutí a hodnocení

Pokud na sobě chcete pracovat a máte příležitost, jděte do toho! Kyberkurz je dobrá volba, jak strávit měsíc svého života. Upřímně, 180 hodin výuky byla pořádná nálož a někdy jsem mlel z posledního, ale kdo zatne zuby, tomu se to vrátí.

Jestliže patříte do skupiny lidí, kteří by se do Kyberkurzu rádi pustili, ale bojí se průběhu a virtuálních laboratoří, věřím, že vám tento článek pomohl rozptýlit obavy.

Kdo má vůli, elán a ví, co si představit pod pojmem příkazový řádek, tomu lektoři poskytnou dostatek podpory, aby vše zvládl. Na zdraví všem, kdo se nevzdávají!

V tomto článku vám prozradíme 10 tipů, díky kterým poznáte špičkové školení kybernetické bezpečnosti, které bude poutavé a účinné. Otestovali jsme je stovkami hodin naší praxe.

Kybernetická bezpečnost ve firmě

Lektor by měl mít zájem pochopit situaci vaší firmy, zvyklosti, kulturu i její motivace. Už při prvním kontaktu si ujasněte vzájemná očekávání. Při plánování špičkového kurzu by měly ze strany lektora zaznít alespoň tyto dotazy:

Všechny tyto otázky nám pomáhají předcházet nečekaným situacím při samotném školení. Na základě seznámení se s firmou můžeme lépe stanovit cíle a připravit cenovou kalkulaci, která odpovídá potřebám firmy.

Online školení kybernetické bezpečnosti

Prezenční školení bývá ve firmách preferováno a označováno za lepší. Management se typicky obává, že pokud nebude nad lidmi přímá kontrola, nebudou dávat pozor a budou to vyhozené peníze. Příčinou bývají předchozí nedobré zkušenosti s online školením.

I online školení se dá dělat akčně a lidsky. Špičkový lektor vyždímá z obou formátů to nejlepší. My máme jasnou filozofii: zážitkem k pozornosti. Design našeho prezenčního i online školení vtahuje účastníky do děje od první minuty. Jako důkaz přikládáme některé reakce účastníků našeho online školení:

Online školení může být pro vaši firmu a její provozní možnosti vhodnou a přitom levnější formou. Nebojte se ho jen proto, že jste doposud nepotkali špičkové lektory. Záleží jen na lektorovi, jak dokáže publikum zaujmout a rozhýbat.

Týmová práce zaměstnanců

Čím více příležitostí zapojit se účastníci dostanou, tím lépe. Aktivita účastníků je klíčová. Ať už týmová nebo individuální.

Zatímco pod individuálními úkoly si můžete představit zkoušení nejrůznějších nástrojů, pod týmovými zase přípravu bezpečnostních doporučení nebo analýzu dostupných informací a přípravu účinného phishingového e-mailu. Důležitou součástí je také sdílení.

Pro fajnšmekry dokážeme uspořádat i vzdělávací herní program ve virtuální realitě. Zaměstnanci se pod vedením lektora stávají hackerem, který plánuje kybernetické útoky na firmy. Díky tomu pochopí postupy útočníků a mohou se jim ještě lépe bránit.

Telefonní a jiné podvody: trendy kybernetické bezpečnosti

Příběhy jsou staré jako lidstvo samo. Učíme se z nich. Skutečné příběhy také pomáhají, aby kybernetická bezpečnost nepůsobila jako sci fi, ale realisticky. Zapojují představivost. V našich kurzech se tak účastníci dozví, jak podvodníci zneužívali telefonní předvolbu +420 nebo jak paní navždy přišla o svůj iPhone kvůli SMS podvodu.

Důležitou součástí jsou také praktické ukázky, kterou jsou rozšířením pro ty náročnější účastníky. Praktické ukázky jsou kořením každého školení. V případě kybernetické bezpečnosti je potřeba s nimi nakládat dobře a dávat je do souvislostí. Jinak se stanou jen zábavným kouzelnickým číslem.

Kybernetická bezpečnost se neustále vyvíjí, proto je potřeba získávat stále nové a nové znalosti. Osobně neustále sledujeme trendy ze vzdělávání v kybernetické bezpečnosti, abychom neposkytovali zastaralé informace nebo překonané rady. Vše, co doporučujeme, jsme také osobně vyzkoušeli. S oblibou říkáme, že vše testujeme na lidech. 

Motivace zaměstnanců a atmosféra na pracovišti

Skupina účastníků školení bývá většinou rozmanitá. Každý účastník má jiné znalosti i dovednosti. Někdo přichází s tím, že ho školení brzdí od rozdělané práce. Jiný zase s obavou, jestli to zvládne, nebo jestli nepraskne, že s počítačem zase tolik neumí. Co je pro jednoho opakováním, je pro druhého novinkou. Tuto situaci je potřeba hned na začátku pojmenovat a nastavit pravidla školení. Mezi naše důležitá pravidla patří:

Nevyrovnanost účastníků je přínosem a lze ji skvěle využít ke skupinovému učení. Současně s tím je potřeba budovat bezpečné prostředí pro ty, komu nejsou technologie blízké a na školení přichází s obavou. Při učení čehokoliv nového se ocitáme mimo komfortní zónu. Práce s tímto vnitřním digitálním sabotérem, je dalším předpokladem pro osobní růst každého zaměstnance.

Rozsah školení kybernetické bezpečnosti

Každé pracoviště je jiné, stejně jako potřeby jeho zaměstnanců. Liší se i časové možnosti. Některá firma si objedná 2 hodiny, jiná 4. Od toho se odvíjí obsah školení i hloubka probraných témat.

Abychom splnili požadavky managementu, jehož cílem je ochránit firmu před kybernetickým útokem, ale také respektovali potřeby zaměstnanců, rozdělili jsme naše školení do modulů. Některé jsou základní, jiné volitelné.

Po projití základních modulů si mohou účastníci vybrat z nabídky volitelných ty, o které mají větší zájem. Účastníci tak mají možnost spolurozhodovat o podobě svého školení, což velmi cení.

Dodáme také, že školení by mělo mít 2 až 4 hodiny. Vše kratší nebo delší bývá kontraproduktivní. Než 8 hodin, raději školení rozdělte do více dnů po menších částech. 

Anonymní dotazy na školení: Padlet a Google Meet

Ať už probíhá vzdělávání online nebo prezenčně, je potřeba zajistit bezpečný prostor pro kladení otázek. Účastníci mají mnohdy na jazyku zajímavou otázku, ale z obavy, že jejich dotaz bude znít hloupě před kolegy nebo, že nedokážou otázku správně zformulovat, si ji raději nechají pro sebe. A to je škoda. Jak tomu předcházet?

Při obou typech školení využíváme nástroje, kde je možné anonymně položit otázku. Při prezenčních školeních rádi využíváme například nástroj Padlet, kde společně s účastníky tvoříme digitální tabuli. Posíláme jim ankety nebo odkazy. Je zde i prostor pro dotazy. Výhodou těchto nástrojů je, že ostatní účastníci mohou cizí dotazy „lajkovat“. V případě velkého množství dotazů se dostanou do popředí ty, které zajímají více účastníků.

Online školení má pak mnoho možností. Osobně máme k dispozici profesionální platformu Google Meet, která má mj. i anonymní prostor pro dotazování, který vidí pouze lektor.

Vzdělávání managementu a firemní procesy

Přidanou hodnotou každého školení kybernetické bezpečnosti je, pokud se ho zúčastní celý tým. Tedy i lidé z managementu. Má to hned několik důvodů. Tím nejdůležitějším je motivace zaměstnanců. V kybernetické bezpečnosti může udělat chybu každý: i ten, kdo technologie dobře ovládá.

Řada manažerů a manažerek navíc disponuje vyššími oprávněními v systémech a síti firmy, než běžní zaměstnanci, proto mohou být dopady jejich chyb závažnější.

Pro management je školení současně příležitostí dozvědět se více o realitě kybernetické bezpečnosti na pracovišti. Účast managementu může podpořit efektivitu procesů, které jsou ve firmě nastavené. S odhalenými nedostatky pak můžete pracovat při nastavování bezpečnostních opatření. 

Na našem kurzu jsme zažili manažera, který se dobrovolně zúčastnil 4 hodinového kurzu pro zaměstnance, aby šel příkladem. Pokud není kybernetická bezpečnost pro management priorita, nebude ani pro zaměstnance. Vždy doporučujeme, aby na prezenčních nebo online školeních někdo z managementu byl.

IT oddělení ve firmě a školení

Mnoho firem má tendenci přenechat školení zaměstnanců internímu IT oddělení. Záměr je jasný: ušetřit. Čest výjimkám, ale obvykle tento nápad nebývá dobrý. Pracovníci IT oddělení mají hromadu jiných povinností a školení zaměstnanců chápou často za trest.

Vzdělávání v kybernetické bezpečnosti je specializace jako každá jiná a vyžaduje specifickou sadu dovedností lektora. Pracovník IT oddělení se může rychle dostat do situace, že si s lidmi nerozumí. Že předává kvalitní obsah formou, která zaměstnance nebaví. Co je jeho denní chleba, to je pro zaměstnance španělská vesnice.

Externí lektor kybernetické bezpečnosti by měl s IT oddělením vytvořit tým. Společně proberou možnosti, situaci a za realizaci zodpovídá externí lektor, který ovládá rozmanité techniky práce s publikem i témata kybernetické bezpečnosti. Který umí pracovat s pozorností i motivací. IT oddělení zpravidla chápe jako benefit, že obsah předá zaměstnancům někdo cizí, kdo lidi zaujme.

Plán rozvoje zaměstnanců

Smyslem školení je ukázat lidem situace, které mohou v kybernetické bezpečnosti nastat a pomoct jim předcházet kybernetickému incidentu. Nikdy by nemělo být cílem školení účastníky pouze strašit a zakazovat.

V případě, kdy zaměstnanci odchází ze školení s pocitem bezmoci nebo bez možných řešení, zachovají si své stávající návyky. Neví, kde začít a proto nezačnou nikde. A to nebývá žádoucí.

Slovy Tomáše Bati: „Tím co rozhoduje o úspěšnosti nebo neúspěšnosti člověka, je disciplína.“ Nejefektivnější cestou se ukazuje budování disciplíny prostřednictvím malých kroků, které postupně začleňujeme do života.

Abychom s budováním kybernetické disciplíny pomohli, vytvořili jsme praktický e-book, který zaměstnancům shrnuje zásadní informace ze školení a nástroje, které si mohou vyzkoušet. Součástí je i 14 denní osobní plán, který jim bezpečnější návyky dostane pod kůži.

Nebude také stačit jedno jednorázové školení. Je třeba na zaměstnance dlouhodobě působit a přinášet jim trendy.

Školení kybernetické bezpečnosti pro zaměstnance

Není otázkou jestli, ale kdy se jako firma stanete terčem kybernetického útoku. Na tuto situaci je potřeba se dobře připravit. I to byl jeden z hlavních motivů pro vznik NIS2. Kvalitní školení zaměstnanců s tím úzce souvisí.

Až budete hledat dodavatele a externí lektory pro školení kybernetické bezpečnosti ve vaší firmě, pomohou vám naše tipy vybrat si ty správné.

A pokud máte pocit, že je toho na vás příliš, jsme připraveni vám pomoct. Objednejte si školení kybernetické bezpečnosti pro zaměstnance přímo od nás. Podívejte se na náš zážitkový kurz kybernetické bezpečnosti, který vaše zaměstnance nadchne, promění jejich chování a ve výsledku zvýší bezpečnost vaší firmy. Od účastníků má v dlouhodobém hodnocení 96, 2 % za kvalitu obsahu a přístup lektora.

Co je (a není) správce hesel

Správce hesel je specializovaná aplikace, která s hesly pracuje jako váš komorník. V případě potřeby vám heslo vytvoří, bezpečně uloží, nebo vás přihlásí k uživatelskému účtu, pokud k tomu dáte pokyn. Takhle to můžete mít v malíku i vy:

Se správci hesel se můžete setkat i ve svém webovém prohlížeči (Google Chrome, Mozilla Firefox nebo Microsoft Edge atp.). I prohlížeče běžně nabízí možnost „zapamatovat si heslo“, které jsme právě použili, případně nabízí rozšířené možnosti práce s nimi. 

Byť se i správci hesel v prohlížečích snaží uložená hesla dobře chránit, komunita  kybernetické bezpečnosti dodnes není jednotná v tom, jestli jsou dostatečně bezpečné. Záleží na technickém řešení konkrétního prohlížeče, jeho možnostech i limitech.

V tomto článku se zaměříme výhradně na specializované správce hesel, aplikace, které nám jako uživatelům dávají příslib maximální ochrany a jejich technické řešení je lépe připraveno na útoky hackerů. To je ten hlavní rozdíl mezi specializovaným správcem hesel a správcem hesel ve webovém prohlížeči.

Bezpečnost zakódovaná v DNA

Specializovaní správci hesel jsou navrženi a vyvíjeni tak, aby si na nich hackeři vylámali zuby. Kybernetická bezpečnost je jejich maximální priorita. Říká se tomu také „secure by design“ či „security first“. Důvěryhodní správci hesel fungují na technickém principu, který nazýváme „nulová znalost“.

Důvěryhodný provozovatel správce hesel by nikdy neměl ukládat naše hesla jinak než důsledně zašifrována. Jeho pracovníci se mohou dostat pouze k heslům v zašifrované podobě. Všechna hesla a data, která ukládáte na servery provozovatele správce hesel, odesíláte již zašifrována. Šifrují se na vaší straně.

Dobrým standardem pro šifrování, který mnoho důvěryhodných správců hesel využívá, je 256bitové šifrování AES. To bývá považováno za neprolomitelné při současných možnostech výpočetního výkonu. Také proto bývá toto šifrování využíváno i pro ochranu přísně utajovaných informací. Využívají ho vlády, banky nebo armády.

Jediný způsob, jak získat přístup k zašifrovaným heslům uloženým ve správci hesel a dále s nimi pracovat, je použít šifrovací klíč. To znamená zadat hlavní heslo do správce hesel. Důvěryhodný provozovatel správce hesel by ho opět neměl znát.

Důvěryhodní správci hesel

Nabídka správců hesel a licencí je široká. Mezi zajímavá řešení patří například: 1Password, Dashlane, Apple klíčenka, Bitwarden nebo Proton Pass. Na poslední dva zástupce se za chvíli podíváme v podrobném srovnání. Obvykle jsou správci hesel placené aplikace, ale téměř vždy nabízí i bezplatnou, omezenou, licenci. Ty ale mívají různé limity, proto mějte při výběru na mysli alespoň tyto otázky a hledejte na ně odpovědi:

Doplněk do prohlížeče je užitečný pomocník. Můžete si díky němu přímo do svého webového prohlížeče nainstalovat správce hesel a budete ho mít neustále po ruce.

První kroky ve správci hesel

Ať už si vyberete jakéhokoliv důvěryhodného správce hesel, tohle platí vždycky! Při zakládání účtu a tvorbě hlavního hesla dbejte na to, aby bylo opravdu silné. Zkuste se podívat také na náš článek o frázových heslech, které se vám budou snadněji pamatovat.

Ihned po vytvoření účtu jděte prozkoumat nastavení, aktivujte si tzv. dvoufaktorové ověřování (2FA). Získejte a dobře si uložte záložní kódy pro přístup v případě nouze. Pokud s těmito kroky prozatím nemáte zkušenost, najdete na našem blogu další kompletní článek, kde 2FA prakticky a krok po kroku rozebíráme.

Najdete i další možnosti, které můžete nastavit a vyplatí se si nastavení proklikat. Zpravidla můžete nastavit, co se má stát, pokud jste přihlášeni do správce hesel a vyprší daný časový limit nebo přístup do správce hesel pomocí biometriky. Díky biometrice můžete například na mobilu odemykat správce hesel otiskem prstu / rozpoznáním obličeje a nepotřebujete zadávat hlavní heslo. Tato bezheslová metoda může být také v konečném důsledku ještě bezpečnější. Vaše identita je totiž ověřena „tím, kdo jste“ a ne  „tím, co znáte“ (hlavní heslo).

Lepší odolnost proti phishingu

Na našich kurzech kybernetické bezpečnosti se setkáváme s tím, že se lidé správců hesel bojí a hledají na nich potenciální nedostatky (která zpravidla pramení v nepochopení technologie správce hesel). Méně se ale soustředí na to, že do častějších malérů je může dostat vlastní lidské pochybení. Ne nadarmo se říká, že uživatel je největší slabina systémů.

Hackeři se sice mohou pokusit prolomit zabezpečení správce hesel a získat naše hesla za využití technických postupů, ale jednodušší je využít metody sociálního inženýrství pro manipulaci s lidmi. Jednou z účinných metod je phishing.

Proto je fajn, že správce hesel neukládá jen naše zašifrovaná hesla, ale umí si také pamatovat, ke kterému webu a přesné adrese patří. Kupříkladu, pokud si uložíme uživatelské jméno a heslo pro web https://voyo.nova.cz/, správce hesel nám bude tyto přihlašovací údaje nabízet jen pro web s adresou https://voyo.nova.cz/. Avšak ne pro web, který se za Voyo pouze vydává a napodobuje ho.

V případě, že správce hesel vyplňuje naše přihlašovací údaje na náš pokyn, na podvodnou stránku nás nepřihlásí. Protože ji nebude znát, nebude mít uloženou její adresu a nenechá se nachytat. To je důležitý moment pro to, abychom se mohli uvědomit: pozor, něco se děje.

Další zajímavé funkce správců hesel

Mezi další funkce, které uživatelé oceňují, patří například:

Srovnání Bitwarden a Proton Pass

S klidným svědomím můžeme doporučit Bitwarden a Proton Pass. Patří mezi důvěryhodná řešení. Sami s nimi pracujeme a máme dobrou uživatelskou zkušenost. Cílem tohoto článku není popisovat jednotlivé funkce. Nejlépe uděláte, když si založíte vlastní účet a zkusíte si ho sami proklikat. Tím padne první překážka a uděláte krok k tomu, že práci se svými hesly automatizujete i vy.

V tabulce může vidět zhodnocení vlastností, o kterých jsme v tomto článku psali. Některé se však porovnávají obtížně, protože Bitwarden i Proton Pass některé věci řeší po svém:

Na tohle si dejte pozor

Pokud se rozhodnete využívat specializovaného správce hesel, mějte na mysli, že mnoho provozovatelů neumožňuje obnovení přístupu do správce hesel, pokud zapomenete své hlavní heslo. To znamená, že pokud zapomenete hlavní heslo, hrozí, že ztratíte všechna zašifrovaná hesla v něm uložená.

U správců hesel zpravidla nenajdete volbu „zapomněl jsem heslo“, kterou byste si do e-mailu poslali odkaz obnovení hesla. Je to bezpečnostní opatření. Například pro případ, kdy by někdo nepovolaný získal přístup k vašemu e-mailu. A také proto, aby ani provozovatel neměl v systému možnost heslo resetovat, přenastavit a získat tím přístup k vašim heslům.

Předem si ověřte, zda nějaké možnosti či postupy obnovení váš správce nabízí a mějte o nich přehled dříve, než se dostanete do maléru. Můžete také včas učinit opatření, která vám z maléru pomohou.

Aby správce hesel dobře fungoval a mohli jste automatizovat vyplňování přístupových údajů (tzv. autofill), budete muset udělat v nastavení svého zařízení, případně prohlížeče, jeden krok. Určit, že správce hesel je hlavní nástroj, odkud se mají vaše hesla čerpat a vyplňovat. Kroky se budou lišit zařízení od zařízení, systém od systému, verze od verze, správce od správce. Nebojte, zní to složitější, než to je. Například tímto zakliknutím to lze vyřešit na Macbooku:

Navštivte také nastavení vašeho prohlížeče a zakažte, aby se vám nabízela volba „zapamatovat si heslo“, kterou nabízí přímo webový prohlížeč, jak jsme si popisovali úvodem článku. Pokud byste tuto volbu neomezili, bude to pro vás jako uživatele zbytečně matoucí a tato funkce se bude se správcem hesel zbytečně tlouct.

Pozor také při stahování aplikací (ať už pro mobil nebo pro počítač). Jsou známy případy, kdy hackeři rozšířili do nabídky ke stažení podvodné aplikace, které se maskovaly jako správci hesel. Pokud bychom si takovou podvodnou aplikaci stáhli, nainstalovali a přihlásili se do ní, svá hesla bychom ohrozili. Proto při stanování aplikace správce hesel důsledně kontrolujte, zda stahujete tu správnou.

Budoucnost: bezheslová řešení a Passkeys

Správci hesel neslouží jen k ukládání hesel. Budoucností jsou přístupové klíče, tzv. passkeys. Jedná se o způsob přihlašování do internetových služeb, kdy nemusíte zadávat heslo. Vytvoříte si přístupový klíč a jeho použití potvrzujete biometrickou metodou (otiskem prstu nebo rozpoznáním obličeje). Stačí pohodlně ověřit svoji identitu a budete automaticky přihlášeni. Pokud máte účet Google (pro Gmail, Disk, Kalendář apod.), můžete si to vyzkoušet.

Přístupové klíče řeší některé slabiny hesel a jsou pohodlnější. Stále však potřebujeme své přístupové klíče někam bezpečně uložit. Správci hesel tuto možnost začínají nabízet jako standard.

Konec zapomínání hesel!

Specializovaní a důvěryhodní správci hesel nám mohou při využívání internetu velmi zjednodušit život a výrazně přispět k naší osobní kybernetické bezpečnosti. Jejich technická architektura naše hesla chrání.

Mohou také zvýšit naši odolnost před phishingovými útoky, protože na podvodných webech nenabídnou automatické přihlášení. Nepleťte si ale specializované správce hesel s funkcí zapamatovat si heslo, kterou nabízí webové prohlížeče. Specializované správci hesel jsou důmyslnější.

Vždy však platí: ihned po registraci si svého správce dobře zabezpečte. Opravdu silné hlavní heslo je základ. Nastavte si také dvoufaktorové ověřování. A prozkoumejte další možnosti zabezpečení a prevence krizových situací. Nedoporučujeme používat správce hesel a nemít tyto věci ohlídané.

Bitwarden i Proton Pass považujeme za zajímavé a důvěryhodné správce hesel a máme s nimi fajn zkušenosti. Oba mají něco do sebe a věříme, že vás nezklamou. Bitwarden podle našeho názoru nabízí i v bezplatné verzi rozmanitější paletu funkcí a možností. Pokud jste hračičkové, kteří se rádi šťourají v možnostech nastavení, mohl by vás zaujmout více.

Pokud naopak preferujete méně klikátek, mohl by u vás zabodovat Proton Pass. Jako nového uživatele vás lépe vede a ukazuje, co a jak máte udělat. Jeho výhodou je i modernější design. Zajímavou předností Proton Passu je také švýcarská legislativa, která uživatelům švýcarských digitálních služeb slibuje vysoce nadstandardní ochranu soukromí.

V klidu si prohlédněte nastavení správce hesel, webového prohlížeče i mobilu. Pokud vám něco nebude fungovat na první pokus, nevzdávejte se. Chce to cvik. Zhodnocení udělejte třeba až po týdnu, kdy si správce lépe vyzkoušíte v běžném provozu. Fungování správce hesel si můžete i vypiplat. Vyplatí se to. Nám už stačí jen otisk k prstu a vše ostatní se děje samo, automaticky.

Budoucností hesel jsou bezheslová řešení a přístupové klíče. Specializovaní správci hesel umožňují pracovat i s nimi. Stávají se tedy bezpečnými „správci passkeys“.

A v případě, že si stále nejste jisti, jak začít, připravili jsme pro vás kompletní videonávod pro Bitwarden. Provede vás založením účtu, jeho základním zabezpečením a bude vám oporou pro první kroky:

Tento článek nám pomohli připravit a revidovat experti Michal Špaček a Patrik Žák. Děkujeme!