Kateřina Hůtová: AI sama o sobě není problém – problém jsou lidi, kteří ji mohou zneužít

Rozhovor s Kateřinou Hůtovou, manažerkou informační bezpečnosti, zakladatelkou a jednatelkou konzultační společnosti Cybrela.

Kateřina Hůtová je manažerka informační bezpečnosti, zakladatelka a jednatelka konzultační společnosti Cybrela. Vede tým konzultantů, se kterými pomáhá firmám nastavit a udržovat bezpečnostní procesy, chránit citlivá data a plnit legislativní požadavky. Specializuje se na nový zákon o kybernetické bezpečnosti, normu ISO 27001, certifikace TISAX, nařízení DORA a další regulace. V praxi se soustředí zejména na propojení compliance s reálnými potřebami byznysu tak, aby byla kybernetická bezpečnost nejen nutností, ale i přidanou hodnotou pro podnikání. Byla jedním z řečníků na konferenci Digitální Česko 2025, kterou pořádal Institut pro politiku a ekonomiku.  

„AI sama o sobě není problém – problém jsou lidi, kteří ji mohou zneužít. Klíčové je nastavit etické principy a neustále hlídat, jak se technologie vyvíjí. A vzdělávání v tomhle směru je taky důležité – čím víc budeme o AI vědět, tím lépe,“ říká Kateřina Hůtová. 

Specializujete se na nový zákon o kybernetické bezpečnosti, normu ISO 27001, certifikace TISAX, nařízení DORA a další regulace. Jak vidíte jejich důležitost zavedení v ČR a EU?

Asi bych to rozdělila na důležitost a potřebu. Je zavedení těchto norem důležité? Upřímně, ani moc ne, což možná někoho překvapí. Je to potřebné? Ano. Legislativa a normy jsou zde v případech, kdy vznikla potřeba nějakou oblast řešit a nejde jinak bez regulací usměrňovat. Někdo by mohl říct, že je to každého věc, jestli má kybernetickou bezpečnost nebo ne. Souhlasím, ale to stejné lze udělat s povinným ručením u aut. Je přece každého problém, jestli se něco stane nebo ne, a přece jsme na to zvyklí. Jenže kybernetická bezpečnost se netýká jen jedinců či nezávislých společností, ale kvůli dominovému efektu ovlivňuje i ostatní. Proto je důležité ji řešit i takhle na státní úrovni (NzKB, DORA).

Dobré je, že tyto regulace jen dávají mantinely, ve kterých si „máte hrát“ a je na vás a vaší společnosti, jaký kousek vám dává víc smysl a jaký budete řešit později. V tom je ta krása – můžete si to udělat takové, jaké to potřebujete. Ostatní normy jako ISO 27001, TISAX jsou víceméně „dobrovolné“. Říkám více méně, protože je požadují zákazníci, pro které je kybernetická bezpečnost důležitá a chtějí pracovat jen s těmi, u kterých mají bezpečnostní jistotu. Vztah zavedení v rámci ČR a EU, upřímně to vidím na stejno. Jestli se bavíme o ČR nebo zbytku zemí, ta potřeba je všude plus mínus stejná. 

Není EU a ČR již přeregulovaná?

Rozhodně ano. A to se tím živím a měla bych za to být ráda. (smích) Naprosto chápu, že různých regulovaných směrů máme hodně, v jednu chvíli je to ESG, pak zase GDPR nebo kyberbezpečnost… Pro společnosti je to matoucí a vidí regulace jen jako byrokratickou zátěž. Což částečně je. Samozřejmě bych byla raději, kdyby vše přicházelo postupně, aby se společnosti nejprve připravili na XY a až pak na ABC. Dnešní svět je ale zrychlený, vše se mění a EU se snaží nebýt pozadu a regulovat oblasti, kde je potřebné mít určité mantinely. Regulace tedy nejsou jen o papírování, ale je klíčové najít rovnováhu – nezahlcovat společnosti přehnanými požadavky, ale dát jim návod, jak bezpečnost řešit chytře a efektivně. Je toho hodně? Ano. Ale se selským rozumem se to dá zvládnout.

Jak se dá rozvíjet byznys v kyberbezpečnosti?

Klíč je v tom, aby se kyberbezpečnost stala přirozenou součástí firemních procesů. Společnosti by měly chápat, že investice do bezpečnosti nejsou vyhozené peníze, ale cesta k dlouhodobé stabilitě a důvěryhodnosti. Marketingová slova, že? Představte si, že stabilita znamená, že pokud se stane incident (bohužel to se děje dnes a denně) budete vědět, jak reagovat a za jak dlouho zas budete provozuschopní, jak to komunikovat zákazníkům. Důvěryhodnost – raději věřím řidiči s řidičákem než bez. Je to o vyváženosti.  Když budete mít dobře a srozumitelně nastavenou kybernetickou bezpečnost, sníží se riziko situací jako „já na to klik“ = „odešlo z účtu pár set tisíc korun“. Zároveň vás nevyděsí, když po vás klienti budou chtít, abyste danou službu dělal XY způsobem a prokazatelně je prevence levnější než řešení následku. 

Může být kybernetická bezpečnost nejen nutností, ale i přidanou hodnotou pro podnikání a v běžném životě?

Určitě ano. Kybernetická bezpečnost už dávno není jen o ochraně před hackery. Je to investice do důvěry zákazníků a obchodních partnerů. Společnosti, které prokážou, že umí bezpečně pracovat s daty, získávají konkurenční výhodu. Navíc bezpečnostní standardy často vedou i k efektivnějšímu řízení interních procesů, což má pozitivní dopad na produktivitu zaměstnanců.

Jak jsou na tom české firmy z pohledu kyberbezpečnosti?

Ne tak špatně, jak všichni tvrdí. Ano, mohlo by to být lepší, ale že by to byla úplná tragédie u všech, to si nemyslím. Dost často dělají společnosti něco, co si vůbec s kybernetickou bezpečností nespojují. Naším úkolem je jim pak vysvětlit, že kyberbezpečnost není nějaký démon a že hodně věcí už sami dělají, jen si to neuvědomují. Na druhou stranu ano, stále tu budou společnosti, které mají pocit, že se jich kyberútoky netýkají, a tak investují až ve chvíli, kdy je průšvih. Setkáváme se i s firmami, které bezpečnostní opatření implementují pouze formálně. Naštěstí si čím dál více organizací uvědomuje, že kybernetická bezpečnost není jednorázový projekt, ale dlouhodobý proces, který vyžaduje pravidelnou péči a adaptaci na nové hrozby. Myslím, že osvěta v tomhle hraje velkou roli.

Je těžké ve firmách nastavit bezpečnostní procesy? Jak by se měly firmy útokům bránit?

Začátky jsou vždycky náročné, hlavně když jde o něco tak komplexního, jako je kybernetická bezpečnost. Je potřeba si nastavit realistický plán a zapojit do toho všechny – nejen IT oddělení. Když lidi pochopí, proč je bezpečnost důležitá, spolupráce je o dost snazší. A bránit se? Nejlépe kombinací technologií a vzdělávání, protože lidský faktor je pořád nejslabší článek.

Je bezpečné chránit citlivá data sdílením do cloudů?

Jestli je to cloud nebo on-premise nemusí být úplně rozhodující a ani jedno není automaticky bezpečnější. Záleží na tom, jaké máte nastavení. U cloudů je důležité nebrat základní nastavení jako dostačující. Klíčové je také vybrat si důvěryhodného poskytovatele a dobře nastavit práva. Důraz dávám na šifrování a pravidelné bezpečnostní audity. Prostě to nepodcenit a mít přehled o tom, kam a jaká data ukládáte.

Bude mít v budoucnu každý člověk svého kyberobránce?

Možná ne úplně „osobního bodyguarda“, ale určitě systémy, které nás budou chránit automaticky a upozorňovat na rizika. Něco jako digitální štít, který hlídá naše zařízení a varuje nás před hrozbami. Už teď se tím směrem technologie vyvíjejí. A pokud se bavíme o kyberobránci nebo rádci z masa a kostí, tak kdo ví. Jen bych varovala před „rychloexperty“, kteří vás ve výsledku stojí nejvíce i když prvotní cena je přívětivá. 

Jak v tomto může pomoci AI?

AI už dneska pomáhá monitorovat sítě a odhalovat podezřelé chování. Čím dál častěji se využívá pro předpovídání útoků na základě historických dat a vzorců. Klíčem ale bude, aby se AI sama nestala zranitelným místem – proto je potřeba ji pořádně zabezpečit a trénovat.

Ohrožuje nás AI? Jak se můžeme bránit proti zneužití AI? 

AI sama o sobě není problém – problém jsou lidi, kteří ji mohou zneužít. Klíčové je nastavit etické principy a neustále hlídat, jak se technologie vyvíjí. A vzdělávání v tomhle směru je taky důležité – čím víc budeme o AI vědět, tím lépe.

Jak je na tom právní ochrana ohledně kyberbezpečnosti?

Důležité je si uvědomit, že právo pořád trochu zaostává za technologickým vývojem a do budoucna i bude. Nové hrozby se mnohdy objeví dřív, než se stihne něco právně ošetřit. Proto je důležité nejen nastavovat právní rámec, ale i zajistit, aby byly firmy schopné rychle a flexibilně reagovat a přizpůsobit se novým rizikům i příležitostem. Skvělé by bylo, aby regulace byly srozumitelné a prakticky použitelné. Z praxe ale víme, že ne vždycky tomu tak je.  

Dokážete si představit svět bez počítačů a mobilů?

Ne, a upřímně ani nechci. Ano, na technologiích jsme velmi závislí, což není dobře. Na druhé straně mě osobně hodně pomáhají a vypnout se dají vždycky.

Děkuji za rozhovor. 

Foto: Poskytnuto Kateřinou Hůtovou

Autor: Renáta Lucková