Dr. David Mussington je profesorem na prestižní Škole veřejné politiky Univerzity v Marylandu (UMD). Před svým opětovným nástupem na UMD v lednu 2025 působil jako výkonný kancléř ředitele pro infrastrukturu v Agentuře pro kybernetickou a infrastrukturní bezpečnost (Cybersecurity and Infrastructure Agency – CISA) Ministerstva vnitřní bezpečnosti USA. V CISA byl jedním ze tří prezidentem jmenovaných úředníků pověřených prováděním strategií a plánů pro bezpečnost a odolnost národní kritické infrastruktury v 16 kritických infrastrukturách. Angažoval se v boji proti teroru a terorismu, hrál vedoucí úlohu při snižování rizik domácího násilí, v bezpečnosti škol a standardů fyzické bezpečnosti infrastruktury. Byl také zakládajícím členem výboru CISA pro kontrolu kybernetické bezpečnosti.
David má rozsáhlé zkušenosti z veřejného i soukromého sektoru v oblasti kybernetické bezpečnosti a bezpečnosti infrastruktury, byl vybrán do Senior Executive Service a přidělen do Úřadu ministra obrany na pozici hlavního poradce pro kybernetickou politiku. Později nastoupil do NSC jako ředitel pro politiku bezpečnosti pozemní dopravy. Jako výzkumný pracovník v RAND Corporation a Institute for Defense Analyses řídil studie kybernetické bezpečnosti pro Ministerstvo vnitřní bezpečnosti (DHS), Úřad ředitele národních zpravodajských služeb (ODNI), Federální komunikační komisi, Kanadskou banku a NATO. David získal doktorát z politických věd na kanadské Carletonově univerzitě a magisterský a bakalářský titul na Torontské univerzitě. Absolvoval postdoktorské studium v Harvard’s Belfer Center a na britském International Institute for Strategic Studies. V roce 2023 byla Davidovi udělena cena Homeland Security Today’s Mission Award za přínos USA v oblasti bezpečnosti a odolnosti kritické infrastruktury. V roce 2024 obdržel cenu Impact Award 2024 od Institutu pro technologie kritické infrastruktury (ICIT) za vedoucí postavení v oblasti politiky a strategie kritické infrastruktury. V roce 2021 byl zvolen doživotním členem Rady pro zahraniční vztahy.
Jak byste zhodnotil aktuální připravenost veřejného a soukromého sektoru na obranu kritické infrastruktury? Kde dnes vidíte největší mezery?
Myslím, že veřejný a soukromý sektor spolupracují na ochraně kritické infrastruktury, ale existuje řada překážek této spolupráce. První je nedůvěra. Veřejné instituce často regulují soukromý sektor. To znamená, že soukromý sektor nemusí chtít sdílet informace o rizicích a zranitelnostech. To pak ztěžuje spolupráci. Druhým faktorem jsou mnohem silnější hrozby. Státní aktéři, jako Rusko a Čína, tak dokážou tuto nedůvěru mezi veřejným a soukromým sektorem využívat ke svému prospěchu mnohem rychleji. Útočníci jsou tedy rychlejší než obrana a spolupráce veřejného a soukromého sektoru není tak efektivní, jak by měla být.
Jaký je potenciál kybernetických norem omezit konflikty mezi státy?
V uplynulých deseti letech proběhlo na mezinárodní scéně – zejména v rámci OSN, ale i v jiných diplomatických a multilaterálních fórech – několik důležitých pokusů o vytvoření souboru mezinárodně uznávaných pravidel a norem chování států v kyberprostoru. Cílem těchto iniciativ bylo vytvořit určité mantinely, které by přiměly státy řešit své spory mírovými prostředky a zároveň omezit riziko eskalace konfliktů v digitální sféře, ať už mezi dvěma státy, nebo mezi bloky zemí. Tato snaha vycházela z principu, že podobně jako existují normy v oblasti konvenční války (např. Ženevské úmluvy), měla by existovat také pravidla určující, co je v kybernetickém prostoru považováno za nepřípustné chování, co je legální obrana a co už překračuje práh agrese. Bohužel se však ukázalo, že dosažení skutečně účinného a všeobecně závazného konsenzu mezi státy je v této oblasti velmi obtížné.
I když některé principy byly v rámci OSN technicky přijaty – např. zásady odpovědnosti států za činnost na jejich území nebo nutnost respektovat suverenitu v kyberprostoru – v praxi zatím nevedly k významnému snížení počtu útoků, narušení nebo zneužití zranitelností. V posledních letech naopak došlo k nárůstu kybernetických incidentů, a to zejména v západních demokraciích. Tyto útoky byly často spojovány se státními a polo-státními aktéry (např. s Ruskem, Čínou, Íránem nebo Severní Koreou) a měly zcela reálný dopad na bezpečnost, ekonomiku i důvěru veřejnosti. To ukazuje, že i přes existenci určitých diplomatických dohod zůstává realita kybernetických konfliktů tvrdá a nestabilní. Státy, které chtějí využít kyberprostor jako nástroj politického, vojenského nebo hospodářského tlaku, tak činí bez ohledu na to, co bylo oficiálně deklarováno v mezinárodních dokumentech.
V tomto světle je třeba říci, že ačkoli se idea kybernetických norem jako nástroje pro omezování konfliktu jeví jako zásadní a strategicky žádoucí, jejich praktický dopad zatím zůstává omezený. Možná se jejich význam ukáže v delším časovém horizontu, ale v krátkodobém výhledu zůstává otázkou, zda opravdu dokážou zabránit agresi, špionáži či sabotáži v digitálním prostoru. Jinými slovy: potenciál tu bezesporu je, ale v realitě současné mezinárodní bezpečnosti se zatím nenaplnil tak, jak bychom doufali.
Jaké jsou klíčové faktory pro efektivní spolupráci veřejného a soukromého sektoru v ochraně infrastruktury a jaké překážky tomu brání?
Jedním z naprosto zásadních předpokladů pro funkční, efektivní a dlouhodobě udržitelnou spolupráci mezi veřejným a soukromým sektorem v oblasti ochrany kritické infrastruktury jsou důvěra a transparentnost. Tyto dvě hodnoty netvoří pouze základní etický rámec – jsou zároveň zcela konkrétními praktickými nástroji, bez nichž nelze v kybernetickém prostoru vybudovat žádnou skutečně účinnou obrannou kapacitu.
Důvěra znamená, že soukromé firmy a často provozovatelé nebo vlastníci zásadních prvků infrastruktury, jako jsou energetické sítě, telekomunikační operátoři, bankovní systémy nebo logistické platformy, musejí mít jistotu, že pokud budou sdílet informace o zranitelnostech, incidentech, slabinách nebo možných rizicích, nestanou se následně terčem sankcí, právních postihů nebo poškození své reputace. To je naprosto klíčové, protože právě soukromý sektor má často nejpodrobnější technické znalosti o provozu systémů, jejich propojení a slabých místech. Bez této důvěry budou firmy raději mlčet, a tím vznikne informační propast, která znemožní státu efektivně reagovat na hrozby.
Transparentnost pak představuje ochotu otevřeně sdílet informace o kybernetických útocích, narušeních a dalších incidentech. A to nejen mezi jednotlivými firmami navzájem, ale především mezi nimi a státními institucemi a ideálně obousměrně. Jedině tak je možné budovat ucelenou a věrohodnou databázi incidentů, která umožní analyzovat trendy, identifikovat opakující se vzorce útoků a pochopit reálnou povahu rizik, kterým daná země čelí. Bez sdílené znalostní základny zůstává každá entita ve své vlastní bublině a kybernetická obrana je pak roztříštěná a nekoordinovaná. Pokud se podaří důvěru a transparentnost skutečně nastolit, vzniká prostor pro vytvoření tzv. národní mapy rizik, tedy jakéhosi „společného obrazu situace“, který je nezbytný pro plánování ochrany kritické infrastruktury. Na základě této znalosti pak mohou být navržena, testována a implementována konkrétní opatření – ať už technická, organizační nebo legislativní zaměřená na prevenci, detekci a zvládání krizových situací.
Jaké zkušenosti z mezinárodní spolupráce, např. v rámci NATO, lze přenést do národních strategií menších zemí, jako je Česká republika nebo Slovensko?
Domnívám se, že mezi veřejným a soukromým sektorem existuje určitá míra spolupráce, jejímž cílem je společná ochrana kritické infrastruktury před současnými i budoucími hrozbami. Nicméně tato spolupráce stále čelí několika významným překážkám, které brání tomu, aby byla skutečně efektivní, rychlá a důvěryhodná.
Prvním a možná nejzásadnějším problémem je nedostatek vzájemné důvěry. Veřejné instituce a zejména státní regulátoři často vystupují vůči soukromému sektoru v roli dohlížitele a kontrolora. V důsledku toho může soukromý sektor vnímat sdílení informací o zranitelnostech, kybernetických incidentech nebo rizicích jako potenciální ohrožení svého obchodního zájmu, reputace nebo právního postavení. Obává se, že by takové informace mohly být použity proti němu, např. při udělování pokut, regulačních opatřeních nebo v očích veřejnosti. To ve výsledku oslabuje otevřenou a operativní spolupráci, která je pro účinnou obranu zcela klíčová.
Druhým faktorem, který výrazně komplikuje situaci, je skutečnost, že dnešní hrozby jsou mnohem schopnější, sofistikovanější a agresivnější než v minulosti. Státní aktéři, jako je např. Ruská federace nebo Čínská lidová republika, systematicky zneužívají právě tuto nedůvěru mezi veřejným a soukromým sektorem ve svých cílových zemích. Využívají ji jako prostředek k tomu, aby zaseli zmatek, narušili koordinační mechanismy obrany a dosáhli svých geopolitických cílů výrazně rychleji, než by bylo možné, pokud by obrana fungovala jako kompaktní celek.
Ofenzivní schopnosti protivníka dnes předbíhají schopnosti obrany, a pokud nedojde ke kvalitativnímu posunu ve spolupráci mezi státními institucemi a soukromým sektorem, bude tato disproporce dál narůstat. Současné mechanismy spolupráce nejsou dostatečně pružné, reaktivní ani komplexní, aby držely krok s tempem vývoje hrozeb, které se neustále vyvíjejí a mění taktiku. To znamená, že největší mezery dnes neleží v technologiích nebo legislativě samotné, ale právě v důvěře, sdílení informací a schopnosti jednat jako jeden integrovaný ekosystém v zájmu ochrany základních funkcí státu i společnosti.
Jaké typy útoků byly nejčastější a jaká obranná opatření se ukázala jako nejúčinnější?
Zkušenost Ukrajiny v oblasti kybernetické bezpečnosti představuje mimořádně silný důkaz toho, že efektivní kybernetická obrana je nejen možná, ale i dosažitelná, pokud je postavena na správném porozumění vlastním systémům a na důsledné přípravě. Ukrajinci čelí již řadu let soustavným útokům různých forem, a přesto dokázali vytvořit odolnou infrastrukturu, která je schopna útoky nejen přežít, ale i obnovit klíčové služby v překvapivě krátkém čase.
To, co Ukrajinu v tomto ohledu odlišuje, je hluboké porozumění vnitřním propojením jednotlivých sektorů. Zejména energetika, doprava nebo telekomunikace jsou navzájem úzce provázané a jejich provoz se často neobejde bez součinnosti ostatních. Ukrajinci si velmi přesně zmapovali tyto závislosti, chápou, kde jsou slabá místa, a vědí, jak může výpadek v jednom systému ovlivnit ostatní. Díky tomu mohli dopředu naplánovat alternativní scénáře a připravit se na situace, kdy dojde k narušení běžného provozu.
Zásadní je také jejich schopnost rozpoznat souvislosti mezi fyzickými útoky a kybernetickými operacemi, které útočníci často koordinují tak, aby se navzájem doplňovaly. Např. Rusko se opakovaně pokoušelo odeslat kybernetické útoky na elektrickou síť současně s konvenčními vojenskými údery na fyzickou infrastrukturu. Ukrajinská reakce však ukázala, že resilience a schopnost obnovy nejsou náhodné, ale jsou výsledkem důsledného plánování.
Z technického hlediska se nejčastěji objevovaly útoky typu DDoS (přetížení služeb), útoky na SCADA systémy, pokusy o přístup k síťovým prvkům pomocí phishingu nebo kompromitace dodavatelského řetězce. Všechny tyto útoky cílily na destabilizaci základních služeb, ovlivnění veřejnosti nebo narušení vojenského velení a logistiky. Co se týče obranných opatření, mezi nejúčinnější patří detailní krizové plány, předem připravené technické i provozní záložní mechanismy a schopnost rychlé koordinace mezi sektory a institucemi. Důraz je kladen nejen na prevenci, ale zejména na rychlou obnovu provozu (tzv. recovery), která je v podmínkách války absolutně klíčová.
Tato schopnost propojit technickou, organizační a lidskou stránku obrany při zachování jasného zaměření na cíl a funkčnost služeb je přesně tím, co činí z Ukrajiny model, který by měly pečlivě studovat i západní země. Nejde o kopírování všeho doslova, ale o převzetí přístupu, který spojuje resilienci, spolupráci a proaktivní plánování jako základní pilíře moderní obrany.
Jaký je Váš doporučený přístup k systematickému řízení kybernetických hrozeb ze strany nepřátelských států?
Základem každé skutečně účinné strategie obrany proti kybernetickým hrozbám, které přicházejí od státních aktérů s nepřátelskými úmysly, je aktivní mezinárodní spolupráce. V první řadě je nutné úzce spolupracovat se spojenci a partnery, a to nejen na úrovni sdílení obecných informací, ale především konkrétních poznatků o rizicích, zkušenostech z předchozích útoků a osvědčených postupech. Mnohé země čelí velmi podobným útokům vedeným často těmi samými útočnými skupinami a přínos z jejich poznatků může být pro domácí obranu naprosto zásadní.
Příkladem může být činnost hackerské skupiny APT31, která je spojována s Čínou. Její aktivity byly zaznamenány ve Velké Británii, USA i jinde v Evropě. Zkušenosti těchto zemí ukazují, že útoky jsou často typově shodné a mají podobné cíle, takže i menší země, např. Česká republika, mohou těžit z analýz a varování větších partnerů. Kybernetická bezpečnost v tomto smyslu není národní disciplínou, ale společným úsilím, kde každý sdílený poznatek pomáhá chránit celý prostor.
Vedle mezinárodní spolupráce je však klíčové, aby každá země měla vnitřně velmi dobře zmapováno, co vlastně chrání. Tím se dostáváme k druhému klíčovému kroku, kterým je sestavení inventáře kritických aktiv. Je potřeba mít přesný přehled o tom, jaké infrastruktury, služby, technologické prvky nebo datové systémy jsou natolik zásadní, že jejich vyřazení by mělo vážné důsledky pro fungování státu, ekonomiku nebo bezpečnost obyvatel.
S tím souvisí třetí krok, a to je pochopení vzájemných závislostí mezi těmito aktivy. Kritická infrastruktura není izolovaná, ale tvoří provázaný celek. Pokud např. vypadne elektrická síť, může to ovlivnit dopravu, zdravotnictví, telekomunikace nebo bankovní sektor. Čím lépe tato propojení známe, tím lépe můžeme předvídat dominový efekt potenciálního útoku.
Čtvrtým pilířem strategie musí být dobře strukturované chápání samotné hrozby, tzn. kombinace vlastního zpravodajského úsilí s poznatky od spojenců. Mít přehled o tom, kdo potenciálně útočí, jakými prostředky a s jakým cílem, je základem pro každé účinné plánování obrany.
Na základě těchto kroků pak lze sestavit konkrétní plán obrany, tzv. defenzivní kampaň, která propojí všechny dostupné nástroje státní moci. Taková kampaň by měla jasně stanovit priority, definovat vhodná protiopatření a zároveň obsahovat systém měřitelných ukazatelů, podle kterých lze vyhodnocovat pokrok a účinnost přijatých kroků. Plán musí být zároveň dostatečně flexibilní a adaptabilní, protože charakter hrozeb se neustále mění.
Je třeba si uvědomit, že kyberprostor je asymetrické bojiště, kde mají útočníci výhodu. Mohou si vybírat čas, cíl i způsob útoku. Obránci musejí být připraveni reagovat rychle, efektivně a s maximálním využitím všech dostupných prostředků – od technologií přes lidské zdroje až po legislativní rámec. To všechno dohromady vytváří základ pro dlouhodobě udržitelný, systémový přístup ke kybernetické obraně, který umožňuje státu udržet si kontrolu nad vlastním bezpečnostním prostředím i tváří v tvář agresivním a vysoce schopným protivníkům.
Pokud byste měl doporučit jednu prioritu pro budoucí strategii kybernetické obrany kritické infrastruktury, co by to bylo?
Na tuto otázku se odpovídá o něco snadněji, zvlášť s ohledem na aktuální debaty, které probíhají v rámci konference IS2 i v širší odborné komunitě. Je totiž čím dál zřejmější, že jedním z největších přelomových bodů v oblasti obrany kritické infrastruktury bude v nejbližších letech cílené využívání umělé inteligence. Konkrétně jde o aplikaci AI metod a nástrojů na data, která se týkají zranitelností, hrozeb, útoků a odolnosti jednotlivých systémů.
Dnes již máme k dispozici obrovské množství informací, které se vztahují ke způsobům, jakými jsou informační systémy napadány, jaké slabiny se v infrastruktuře vyskytují, jaké útoky se opakují a jak na ně reagovat. Problém ale spočívá v tom, že lidské kapacity ani tradiční nástroje nestačí na rychlé a přesné zpracování takového množství dat v reálném čase. Právě zde má umělá inteligence zásadní přínos. Umožňuje rychle detekovat vzorce chování útočníků, předvídat jejich další kroky a upozornit na nové, dosud neznámé typy hrozeb, které by jinak mohly zůstat skryté až do okamžiku, kdy způsobí škodu. Zásadní je i to, že umělá inteligence může podporovat rozhodování v krizových situacích, např. tím, že automaticky navrhuje nejvhodnější reakční kroky na základě analýzy předchozích útoků nebo simulovaných scénářů. V situaci, kdy má obránce jen velmi omezený čas na reakci, je taková podpora neocenitelná. Z dlouhodobého pohledu může AI dokonce přispět k vytváření adaptivních a samoobnovujících obranných systémů, které se budou schopny vyvíjet spolu s hrozbou, učit se z incidentů a zlepšovat své reakce bez nutnosti lidského zásahu v každém jednotlivém kroku.
V posledních 15 letech bylo opakovaně konstatováno, že obrana zaostává za útokem. Útočníci jsou rychlejší, kreativnější a často mají výhodu překvapení. Umělá inteligence je ale jedním z mála nástrojů, které nám dávají šanci tuto nerovnováhu alespoň částečně narovnat. Nabízí reálnou možnost, jak zlepšit predikci, zkrátit reakční časy a získat zpět alespoň část iniciativy. Z těchto důvodů považuji nasazení umělé inteligence do oblasti plánování odolnosti a řízení rizik kritické infrastruktury za nejperspektivnější směr vývoje v horizontu dvou až pěti let. Právě v tomto období se ukáže, zda budeme schopni využít její potenciál nejen jako technologii, ale také jako strategický pilíř obrany.
Je podle Vás něco, co v rozhovoru dosud nezaznělo, ale mělo by být řečeno?
Ano, existuje ještě jeden rozměr, který považuji za natolik zásadní, že by měl zaznít jasně a otevřeně. V rámci svého vystoupení na konferenci IS2 se tomu budu věnovat detailněji, ale již nyní je důležité upozornit na to, jak sofistikovanou a systematickou strategii dnes uplatňují státy jako Čína a Rusko, pokud jde o dlouhodobý přístup ke kritické infrastruktuře demokratických zemí. Nejde přitom jen o špionáž nebo průběžné útoky s cílem narušit provoz. Obě tyto země se snaží získat trvalý, skrytý přístup do klíčových systémů západních států, který jim umožňuje nejen sbírat data, ale také být připraveny zasáhnout v krizovém okamžiku. Problém spočívá v tom, že tyto infiltrace jsou často tak hluboko zakořeněné, že jejich úplné odstranění by si vyžádalo zásahy, které by zároveň poškodily samotné systémy, jež se snažíme chránit. Jinými slovy je jejich přítomnost dlouhodobá a vysoce komplikovaná k odstranění bez vedlejších škod.
Obzvláště znepokojující je v tomto ohledu situace týkající se Čínské lidové republiky, konkrétně hackerských skupin známých pod označením Salt Typhoon a Vault Typhoon. Tyto skupiny byly podle veřejně dostupných informací zapojeny do komplexních a cílených operací, které vedly ke kompromitaci kritické infrastruktury ve Spojených státech. Nešlo přitom o klasické špionážní aktivity, ale o cílenou přípravu na možné vojenské operace, tedy aktivity, které svou povahou překračují rámec běžné kybernetické špionáže a vstupují do prostoru vojenského plánování. A to je zásadní změna, která se začala naplno projevovat přibližně v posledních dvou až pěti letech.
Je důležité si uvědomit, že podobné typy hrozeb se netýkají pouze USA nebo velkých evropských zemí, ale potenciálně i České republiky, Slovenska a dalších států NATO. Právě propojení aliančních infrastruktur znamená, že útok na jeden členský stát může mít řetězový dopad na další partnery a že i menší cíle mohou být z pohledu protivníka strategicky významné. To vše vede k jedinému závěru: bude nutné výrazně zvýšit úroveň naší vojenské i civilní připravenosti. Nejde přitom jen o obranu v úzkém slova smyslu, ale o celkové nastavení systému – od strategického plánování až po každodenní provozní praxi. Spolupráce mezi armádou, veřejnou správou a soukromým sektorem musí být mnohem hlubší, rychlejší a efektivnější než doposud, pokud chceme čelit této nové generaci hrozeb. Opravdová odolnost totiž nevzniká jen v datových centrech nebo na síťových uzlech. Vzniká v tom, jak jako společnost dokážeme reagovat na riziko, sdílet informace a jednat včas, koordinovaně a se společným cílem.
Děkuji za rozhovor.
Za DSM se ptal Martin Haloda.
