Desatero pro začínající specialisty na kybernetickou bezpečnost
Čas od času mě nějaký juniorní bezpečnostní specialista, nebo člověk, který by chtěl do kybernetické bezpečnosti teprve profesně proniknout, požádá o pár rad „do začátku“. Technická specifika mých doporučení se pochopitelně liší případ od případu s ohledem na zájmy či plány konkrétní osoby, nicméně neb některá obecnější doporučení a myšlenky zmiňuji těmto lidem opakovaně, a neb jde dle mého o něco, co se může potenciálně hodit v podstatě každému juniornímu „bezpečákovi“, rozhodl jsem se dát dohromady pár myšlenek, které jsou z mého pohledu podstatné pro smysluplné, efektivní a spokojené profesní působení v kybernetické bezpečnosti.
Níže tedy najdete 10 doporučení (+ jedno dodatečné, abych udělal radost fanouškům skupiny Spinal Tap), která bych si při pohledu zpět přál, aby mi někdo dal, když jsem s kybernetickou bezpečností sám historicky začínal. Doplním, že tyto body samozřejmě odrážejí jen můj osobní pohled a názory. A byť si za vším níže uvedeným stojím, pokud se jakýkoli bod bude rozcházet s vaším pohledem na věc, nebudu vám to mít za zlé…
- Bezpečnost vždy závisí na lidech, procesech a technologiích – v tomto pořadí. Nikdy na to nezapomínejte, ani pokud vás vaše profesní působení dovede k prodeji bezpečnostních technologií nebo do bezpečnostního managementu. Snaha o zajištění bezpečnosti nákupem softwarových nebo hardwarových systémů, o které se nemá kdo starat, je cesta k velmi snadnému splnění checklistů ověřujících existenci bezpečnostních opatření, ale reálný přínos něčeho takového bude vždy velmi omezený, neb technologie samy o sobě rozumnou úroveň bezpečnosti nikdy v žádném prostředí nezajistí.
- Buďte obezřetní vůči samozvaným autoritám. V odborné komunitě máme mnoho odborníků hodných označení autorita, tedy extrémně šikovných a kompetentních lidí, kteří jsou obecně uznávaní (a také mnoho šikovných a kompetentních lidí, o kterých bohužel nikdo mimo jejich blízké okolí neví).
Máme v ní ale i řadu těch, kteří jsou za „autority“ považováni jen proto, že se tak sami prezentují, neb se bezpečnosti věnují dlouho a jsou v nějakém smyslu hodně hlasití nebo jsou hodně vidět. Reálné odborné – tím spíše technické – znalosti těchto lidí jsou ale mnohdy jen velmi omezené. Problém není v tom, že by tito lidé byli uznávaní víc, než si zaslouží, ale že v důsledku své omezené odbornosti mnohdy šíří myšlenky, které jsou již překonané, nebo dokonce myšlenky, které mohou být aktivně škodlivé. Je proto vhodné dobře zvažovat, v jakou „autoritu“ budeme vkládat naši důvěru. Dobrým testem odbornosti těch, kteří jsou hodně vidět, je podívat se kriticky na odbornou hloubku jejich publikovaných výstupů. Jsou-li veškeré články dané osoby, témata jejích konferenčních příspěvků nebo obsahy vystoupení v médiích plná výhradně obecných proklamací bez skutečné hloubky (tedy například standardní mantry typu „musíme řídit rizika“, „musíme vzdělávat uživatele“, nebo – nedej bože – „musíme zajistit zero-trust“), máme k dispozici poměrně jasný ukazatel odborné úrovně dané osoby. Shrnuto a podtrženo, i v naší profesi bohužel platí, že nejhlasitější hlasy nejsou nezbytně ty nejkvalifikovanější… - Neprezentujte se jako „experti na kybernetickou bezpečnost“. Nikdy. Bez ohledu na to, jak dobré si budete myslet, že máte znalosti, a bez ohledu na „expertní“ certifikace, které možná v průběhu své kariérní cesty získáte. Nejen proto, že jako lidé nejsme schopní být vůči sobě samým plně objektivní (pamatujte na práci pánů Dunninga a Kruegera), ale i proto, že kybernetická bezpečnost je dnes již extrémně širokou odbornou oblastí a skutečnou expertízu v celé její šíři – od detailů konfigurace firewallů, přes procesy pro zvládání incidentů, techniky reverzního inženýrství, metodiky pro kvantitativní analýzu rizik, mechanismy digitální forenzní analýzy, ofenzivní postupy pro red teaming až po zabezpečení OT nebo specifika bezpečnostní architektury aplikací – už tak dnes nemůže mít v podstatě nikdo.
Pokud se navíc experty v jakékoli dílčí oblasti kybernetické bezpečnosti někdy stanete, nebojte se – začnou vás tak bezpochyby označovat jiní… - Neignorujte bezpečnostní vzdělávání mimo svou primární oblast zájmu. Specializace na jednu konkrétní oblast kybernetické bezpečnosti je naprosto v pořádku a pro většinu profesionálů je dokonce žádoucí. Určitý základní všeobecný přehled o kybernetické bezpečnosti jako celku by však měl být standardem pro jakéhokoli bezpečnostního specialistu – přinejmenším proto, že mu může poskytnout hodnotný kontext pro jeho vlastní profesní aktivity. Aneb aby mohl svou práci dělat skutečně odborně na výši, i systémový inženýr nastavující firewally by měl mít alespoň obecnou představu o tom, že v oblasti kybernetické bezpečnosti existuje nějaká legislativa (neb ta může determinovat kdy a kde mají/musí být firewally použity), a penetrační tester by měl mít tušení o tom, jak funguje bezpečnostní dohled v rámci SOC (neb pro něj může být v případě neohlášených testů potenciálně žádoucí vyhnout se detekci).
- Pokud se vaší specializací stane technologické řešení určitého výrobce – například firewally od společnosti Checkpoint nebo EDR/XDR řešení od Microsoftu – nikdy si nedovolte padnout do mentálního nastavení, v němž byste danou technologii považovali za ideální. Žádný firewall, SIEM, WAF ani EDR/XDR není plošně „nejlepší“ a nemá smysl něco takového tvrdit, ani kdybychom danou technologii prodávali…
- Vysoká pozice negarantuje odbornost a nízká pozice její absenci, nesuďte tedy profesní kolegy jen dle jejich titulů a – konec konců – ani dle odborných certifikací, které mají. V praxi se v kybernetické bezpečnosti setkáte se spoustou velmi chytrých a kompetentních lidí bez jakýchkoli certifikací na všech pozicích, od juniorních po manažerské, stejně tak ale můžete ve všech těchto pozicích potkat i řadu lidí ověnčených certifikacemi a přesto vykazujících velkou míru amatérismu a neznalosti.
- Nevěřte, že nějakou oblast bezpečnosti skutečně znáte, pokud jste jí do detailu viděli jen v jedné organizaci. Ani vidět jednu oblast (bezpečnostní monitoring, řízení rizik, penetrační testování, apod.) do detailu v řadě podobných organizací nebo řadě různých organizací působících ve stejném regionu nebo ve stejném sektoru vám nemůže dát skutečně hluboké povědomí o tom, jak může/má být daná oblast řešena všeobecně, nebo jak bývá řešena v jiných regionech či sektorech.
- Váš čas je drahý a měli byste si důsledně vybírat, čemu jej budete věnovat. Pokud se tedy budete chtít vzdělávat a nebudete mít jen touhu hledat další vhodný bezpečnostní produkt nebo službu pro vaše prostředí, dobře si vybírejte konference, kterých se budete účastnit. Převážná většina rádoby odborných konferencí je totiž ve skutečnosti převážně marketingově, nikoli odborně orientovaná, a prezentace v rámci nich mají často za cíl ne vzdělat posluchače, ale přesvědčit je, že produkt firmy X nebo služba firmy Y je to, co si nezbytně potřebují pořídit, aby byla jejich organizace v bezpečí.
- Pokud chcete pracovat v kybernetické bezpečnosti a nemáte alespoň základní technické znalosti, získejte je, neb bez nich nebudete schopní vykonávat žádnou bezpečnostní pozici skutečně efektivně.
Výše uvedené nemá vyznívat jako gatekeeping, nebo naznačovat, že by každý CTI analytik, manažer kybernetické bezpečnosti nebo specialista řízení rizik měl být schopný psát exploity, hledat zero-day zranitelnosti nebo detailně analyzovat síťový provoz. Pokud ale ti, kteří zastávají výše zmíněné role, nebudou znát ani absolutní technické základy typu jaký je rozdíl mezi TCP a UDP a proč je tento rozdíl relevantní pro funkci firewallů, co je to Active Directory a co by principiálně znamenala kompromitace účtu doménového administrátora, či jak konceptuálně funguje EDR nebo SIEM a jaké škodlivé chování po „vybalení z krabice“ tyto systémy zřejmě dokáží a nedokáží detekovat, nemohou svou práci vykonávat skutečně efektivně a kvalitně.
Z úst mnohých zástupců vzdělávacích organizací i vybraných firem v posledních letech často zaznívá, že kybernetické bezpečnosti se může profesně věnovat v podstatě kdokoli, bez ohledu na předchozí vzdělání či znalosti. Tato myšlenka je do jisté míry platná, má však své významné limity – kdokoli se může ZAČÍT profesně věnovat kybernetické bezpečnosti, ale určitě ne kdokoli může v této profesní oblasti následně i dlouhodobě smysluplně působit.
Pravdou je, že ne každý bezpečnostní specialista musí mít za sebou předchozí odborné vzdělání zaměřené na kybernetickou bezpečnost, aby mohl svou práci dělat dobře. Rozdílný znalostní background může být u některých rolí (např. těch zaměřených na CTI) dokonce žádoucí a junior bez předchozího IT vzdělání či odborné praxe se tak určitě může v bezpečnosti smysluplně uchytit.
Pokud si ale takový člověk velmi rychle neosvojí alespoň základní technické povědomí, nebude z principu schopný dodávat svému zaměstnavateli a/nebo zákazníkům výstupy s jakoukoli odbornou hodnotou, a to i kdyby se měl věnovat jen procesním aspektům kybernetické bezpečnosti. Přeci jen nemůžeme smysluplně řídit kybernetická bezpečnostní rizika spojená se škodlivým kódem, nebo psát bezpečnostní směrnice a politiky zaměřené na ochranu před touto hrozbou, pokud nemáme nejmenší tušení, jak vlastně takový škodlivý kód obecně funguje a „malware“, „virus“, „trojan“ a „červ“ jsou pro nás jen jakési vágní, mlhou zahalené termíny s de facto ekvivalentním významem, a „C2“ chápeme jen jako označení pole na šachovnici. - Nevěřte všemu, co je psáno. Odborná i populární literatura, ale také kurzy a materiály pro přípravu k certifikačním zkouškám (i ty oficiální) bohužel relativně často obsahují vedle technických fakt i řadu marketingových tvrzení a osobních názorů prezentovaných jako fakta. Nezřídka pak v těchto materiálech potkáte vedle pravdivých informací i řadu polopravd a chyb. Odlišit technická fakta od marketingu a chybné od pravdivého vyžaduje určitou odbornost a ne vždy tak budete něčeho takového schopní. Pokud se vám nicméně bude zdát, že to, co jste si právě přečetli, možná nebude v pořádku, raději nespoléhejte na jediný informační zdroj a dané informace si ověřte jinde.
- Připravte se na to, že kybernetická bezpečnost v jakékoli organizaci, v níž budete působit, bude mít slabá místa, která se vám nebudou líbit. Pokud nebudete vlastníky či manažery organizací, v nichž budete působit, vaším úkolem nebude fakticky nikdy zajistit kybernetickou bezpečnost dané organizace, ale snažit se pomoci dané organizaci fungovat co nejbezpečněji v mantinelech vytyčených jejími vlastníky či managementem. Neb management je zodpovědný za zajištění fungování organizace a vlastní i všechna s tím spojená rizika – včetně těch bezpečnostních. Naší rolí z pozice bezpečnostních specialistů je pomoci managementu správně tato rizika vyhodnocovat a řídit.
Pokud tedy budete v rámci své praxe vnímat nějaké slabé místo organizačních procesů či technologické infrastruktury nebo určitou hrozbu jako vysoce relevantní pro organizaci, v níž budete působit, je žádoucí na ně upozornit. Pokud se management dané organizace následně rozhodne riziko spojené s těmito faktory akceptovat bez doplnění technických nástrojů, personálu nebo procesních opatření, která jste doporučili a která byste na základě vlastního odborného zhodnocení považovali za vhodná, nevěste hlavu. Byť to není vždy příjemné, finální rozhodnutí o bezpečnosti má management organizace – my jako bezpečnostní specialisté můžeme jen radit, ukazovat cestu a snažit se dělat maximum v rozsahu kompetencí, které jsou nám svěřeny – taková je (mnohdy smutná) realita našeho oboru.


BKlen-CEEhub (různí autoři a autorky


Zisiadis Nikolaos, CC BY-SA 4.0, via 
Česká komunita MojeFedora.cz
Jakub Cabal 


Jozef Mlich
Máte nápad, jak zapojit komunitu a posílit svůj společenský dopad? Představte nám ho!
Své žádosti můžete podávat v databázi Grantys nejpozději do 20. května 2026 do 13:00.


OpenAlt z.s.
Autor: Richard Sekerak (WMCZ) – Vlastní dílo, CC BY-SA 4.0, via
Autor: Richard Sekerak (WMCZ) – Vlastní dílo, CC BY-SA 4.0, via
Autor: Richard Sekerak (WMCZ) – Vlastní dílo, CC BY-SA 4.0, via 
Autor: Richard Sekerak (WMCZ) – Vlastní dílo, CC BY-SA 4.0, via
Autor: Richard Sekerak (WMCZ) – Vlastní dílo, CC BY-SA 4.0, via
Josef Jebavý
Autor: Tadeáš Bednarz – Vlastní dílo, CC BY-SA 4.0, via
Bob Kartous, Autor: Tadeáš Bednarz – Vlastní dílo, CC BY-SA 4.0, via
Josef Šlerka, Autor: Tadeáš Bednarz – Vlastní dílo, CC BY-SA 4.0, via
Jaroslav Mašek, Autor: Tadeáš Bednarz – Vlastní dílo, CC BY-SA 4.0, via
Jiřina Kádnerová, Autor: Tadeáš Bednarz – Vlastní dílo, CC BY-SA 4.0, via
Společné foto, Autor: Tadeáš Bednarz – Vlastní dílo, CC BY-SA 4.0, via