Major Rain Ottis je od roku 1998 dobrovolným členem Estonské obranné ligy a od založení její Kybernetické obranné jednotky v ní působí. Je také profesorem a vedoucím Centra pro digitální forenziku a kybernetickou bezpečnost na Tallinnské technické univerzitě se zaměřením na kybernetické operace. V letech 2008 až 2012 působil jako výzkumný pracovník v Centru excelence NATO pro spolupráci v oblasti kybernetické obrany (NATO CCDCOE). Před tím sloužil jako důstojník komunikačních a informačních systémů v estonských ozbrojených silách, kde se zaměřoval především na výcvik a osvětu v oblasti kybernetické obrany. Je absolventem Vojenské akademie Spojených států (BSc, informatika) a Tallinnské technické univerzity (PhD, informatika, MSc, informatika). V současné době pokračuje ve vojenské službě jako záložník a dobrovolník. Mezi jeho výzkumné zájmy patří kybernetické konflikty, národní kybernetická bezpečnost a cvičení v oblasti kybernetické bezpečnosti.
Estonská obranná liga je založena na dobrovolné účasti, zároveň je ale napojena na strukturu národní obrany. Jak se v tomto modelu vyvažuje občanská iniciativa s vojenskou disciplínou a velením?
Estonská obranná liga má dlouhou historii zapojování občanů do národní obrany na dobrovolnickém základě a v průběhu let se z ní stal zajímavý hybrid. Na jedné straně máte vojenskou strukturu, vojenské vedení, lidé nosí uniformy a mají hodnosti. Na druhé straně je to ale velmi podobné civilním spolkovým strukturám, kde máme např. volené představitele, kteří se starají o část každodenních aktivit a podílejí se na některých rozhodnutích.
Máme tedy vlastně dvojí řetězec velení. Z operačních důvodů následujeme spíše standardní vojenský řetězec velení. To znamená, že pokud jde o operace, nasazení nebo situace, kde je potřeba jednat rychle a jasně, musí být jasné, kdo rozhoduje a kdo má odpovědnost. To je vojenská část. Ale pokud jde o společenské akce, kulturní aktivity, osvětové nebo komunitní události, tam obvykle rozhoduje volený orgán. To je ta civilnější část. Lidé tam nejsou jen proto, že dostali rozkaz. Jsou tam proto, že chtějí být součástí komunity a chtějí přispět. A to je velmi důležité, protože dobrovolnická organizace nemůže fungovat jen na rozkazech. Musí fungovat také na motivaci lidí.
Je to tedy zajímavý hybrid. Nejsem si jistý, že jsme něco podobného viděli v jiných zemích. Možná existují podobné prvky, ale v Estonsku je to velmi úzce spojené s našimi dějinami a s tím, jak chápeme obranu státu. A právě proto jsem dnes tady, abych se pokusil tento model účastníkům konference vysvětlit.
Mnoho zemí se potýká s nedostatkem odborníků na kybernetickou bezpečnost. Do jaké míry může model dobrovolné kybernetické obrany tento problém řešit a kde jsou jeho limity?
Kybernetická bezpečnost je velmi silně zaměřená na lidi. Potřebujeme mnoho lidí v mnoha různých rolích – špičkové experty, ale také úplné začátečníky. Problém z pohledu vlády, národní bezpečnosti nebo obrany je v tom, že většina těchto lidí není dostupná pro státní službu, protože pracují v soukromém sektoru. A to je vlastně dobře. Chceme, aby byl i soukromý sektor pokryt odborníky na kybernetickou bezpečnost. Běžně navíc možná není na straně vlády tak velká potřeba. Otázka tedy zní: pokud máte mimořádnou událost nebo krizi a potřebujete rychle navýšit kapacitu, existuje způsob, jak to udělat? Můžete povolat kybernetické zálohy? A pokud ano, jaký model k tomu použijete?
Estonským modelem, nebo alespoň jedním z těchto modelů, je Obranná liga, která má Kybernetickou obrannou jednotku. Ta umožňuje odborníkům na kybernetickou bezpečnost dobrovolně věnovat svůj čas, aby byli vycvičeni a připraveni na případné povolání během krize. Potom mohou jít pomoci vládě, armádě nebo soukromému sektoru – tomu, kdo jejich pomoc skutečně potřebuje. Ale samozřejmě to neznamená, že dobrovolníci vyřeší celý problém nedostatku lidí. To není reálné. Dobrovolníci nejsou plnohodnotnou náhradou za profesionální týmy, které dělají každodenní práci. Jejich hodnota je spíše v tom, že v určitém okamžiku můžete do systému přivést další kapacitu a další zkušenost. Pokud máte krizi, několik dní může být rozhodujících. A právě v takové chvíli může být velmi užitečné mít skupinu lidí, kteří už vědí, jak systém funguje, znají se s ostatními a mohou rychle pomoci.
Ve své přednášce rozlišujete dobré a špatné způsoby využití dobrovolných kybernetických odborníků. V jakých situacích přinášejí dobrovolníci největší hodnotu a kde by se na ně stát naopak neměl spoléhat?
Problém s dobrovolníky je v tom, že to nedělají pro peníze. Nedělají to jako zaměstnání nebo profesi. Proto jim nemůžete jednoduše přidělit všechny úkoly. Příkladem věcí, které obvykle nefungují, jsou rutinní úkoly, které by měli dělat lidé za plat. A také vysoce specializované role, které mohou vyžadovat třeba desítky let specifického výcviku. Na druhé straně máme mnoho dobrých případů využití dobrovolníků. Např. v krizi mohou být dobrovolníci povoláni na krátké období tak, aby to příliš nenarušilo jejich každodenní život. Třeba na několik dní nebo na týden mohou přijít a pomoci překonat nejhorší dny krize. Potom se mohou vrátit k tomu, co dělají ve svém běžném životě.
Takže dobré využití dobrovolníků je tam, kde potřebujete dodatečnou kapacitu, různé zkušenosti nebo rychlou podporu v omezeném čase. Špatné využití je tam, kde se snažíte dobrovolníky používat jako levnou náhradu za zaměstnance. To by podle mě nefungovalo. Dobrovolník může být velmi motivovaný a schopný, ale pořád má svůj běžný život, svou práci a svou rodinu. Model musí tuto realitu respektovat.
Kybernetická obranná jednotka sdružuje lidi s civilní zkušeností, různým profesním zázemím a praktickými zkušenostmi ze soukromého sektoru. Jak tato různorodost ovlivňuje způsob, jakým je kybernetická obrana organizována a procvičována?
Pokud mluvíme konkrétně o zkušenosti Obranné ligy, pak v ní máte určitý průřez celou estonskou společností, nebo alespoň její lepší polovinou, jak bych rád řekl. Jsou to lidé, kteří cítí občanskou odpovědnost, kteří chtějí přispět k národní bezpečnosti a bezpečnosti svých komunit. Přicházejí z velmi různých prostředí. Někteří mohou mít vojenskou zkušenost, jiní zkušenost z oblasti vymáhání práva, mnoho z nich má zkušenost ze soukromého sektoru. Někteří jsou techničtí specialisté, jiní jsou více na lidské nebo procesní straně kybernetické bezpečnosti. A to je velká síla. Pokud máte nový problém nebo krizi, můžete říct: potřebuji expertizu v těchto oblastech. A pokud máte velkou skupinu dobrovolníků, je poměrně dobrá šance, že tam budou lidé, kteří tuto expertizu mají a přijdou vám pomoci překonat bouři.
Jako opačný příklad si vezměme typický vládní nebo vojenský přístup, kde si předem velmi přesně řeknete: potřebuji tohoto experta, potřebuji tamtoho experta. Co ale uděláte v den, kdy se ukáže, že krize vyžaduje třetí typ experta, kterého jste nevycvičili nebo nezaměstnali? Dobrovolníci nenahrazují vládní nebo vojenské experty. Jsou tam proto, aby je podporovali, aby poskytli dodatečnou schopnost a aby pracovali jako tým. A právě ta různorodost pomáhá i při cvičeních. Když cvičíte s lidmi z různých prostředí, nezískáváte jen jeden úzký pohled na problém. Jeden člověk vidí technickou část, jiný proces, další komunikaci, další právní nebo organizační dopady. V krizi je to velmi užitečné, protože skutečné krize obvykle nejsou čistě technické.
Jak se podle vás bude role dobrovolných kybernetických obranných jednotek měnit s nástupem umělé inteligence, automatizace a stále složitějších hybridních hrozeb?
Upřímně řečeno nevidím potřebu měnit dobrovolnický model. Dobrovolníci, kteří se dnes specializují na klasičtější role v kybernetické bezpečnosti, se ve svých běžných zaměstnáních učí, jak pracovat s AI, jak se vypořádat s hybridními hrozbami, a tyto schopnosti a znalosti přirozeně přinesou do organizace. Tím se stanou dostupnými pro národní bezpečnost nebo národní obranu. Takže podle mě nejde o to, že bychom museli vytvořit úplně nový model jen proto, že přichází AI. Spíše se změní obsah toho, co lidé přinášejí. Pokud dobrovolník pracuje ve firmě, kde se už řeší automatizace, AI nástroje nebo nové typy útoků, získává tam zkušenost. A když potom přijde na cvičení nebo je povolán v krizi, přinese tuto zkušenost s sebou. To je přirozený způsob, jak se dobrovolnická jednotka vyvíjí. Kybernetické hrozby se budou měnit, ale princip zůstává stejný: potřebujete lidi, kteří mají znalosti, chtějí pomoci a už předem vědí, jak spolupracovat s ostatními. AI může změnit rychlost a podobu útoků, ale nezmění potřebu důvěry, přípravy a lidí, kteří rozumějí tomu, co se děje.
Kdybyste měl dát jednu radu zemi, která chce vybudovat silnější propojení mezi státem, soukromým sektorem a dobrovolníky v oblasti kybernetické bezpečnosti, jaká by to byla?
Myslím, že důvěra je základ, který budete potřebovat. A jediným způsobem, jak vybudovat důvěru, je dělat věci a čelit obtížím společně. Může to být tak jednoduché jako společná školení a cvičení, a pokud je to potřeba, společné zvládání krizí. Ale ve skutečnosti to vyžaduje čas a společné čelení nepřízni. Tímto způsobem víte: tomuto člověku mohu důvěřovat, této organizaci mohu důvěřovat, jsem ochoten je zavolat, aby mi pomohli, když to bude potřeba. Důvěra se nevybuduje tím, že někomu jen pošlete dokument nebo vytvoříte novou strukturu na papíře. Lidé si musejí vyzkoušet, že spolupráce funguje. Musejí vědět, kdo je na druhé straně telefonu, jak přemýšlí, co dokáže a co od něj mohou čekat. Když potom přijde krize, není čas teprve zjišťovat, komu můžete věřit. To už musíte vědět předem.
Je něco, co jsme nezmínili, ale podle Vás by to mělo zaznít?
Estonská Kybernetická obranná jednotka Obranné ligy je velmi, velmi estonský koncept. Je spojená s naší historií a nám dává naprostý smysl. Pravděpodobně není moudré snažit se ji kopírovat jedna ku jedné v jiných zemích. Místo toho bych doporučil podívat se na to, jaká je dobrovolnická tradice ve vaší zemi a ve vaší historii. Pokud máte např. velmi silnou tradici dobrovolných hasičů, možná můžete přizpůsobit tento model. Prostě to, co už ve vaší zemi funguje, místo abyste se snažili kopírovat něco, co funguje někde jinde.
Každá země má nějaký vlastní způsob, jak lidé dobrovolně pomáhají komunitě nebo státu. Někde to mohou být hasiči, jinde zdravotnické nebo krizové organizace či jiné občanské struktury. Pokud chcete vybudovat kybernetickou dobrovolnickou kapacitu, je lepší navázat na něco, čemu lidé už rozumějí a důvěřují. Potom to nebude působit jako cizí model dovezený z Estonska, ale jako přirozené rozšíření toho, co už ve společnosti existuje.
Děkuji za rozhovor.
Za DSM se ptal Martin Haloda.
