personal<IT>y: „Mnoho rizik vzniká na lidské straně,“ CIO objasňuje, kde dělají firmy chyby v kyberbezpečnosti, proč jen technologie nestačí

V sérii rozhovorů personaly pokračujeme pohledem do světa strategického řízení IT a kybernetické bezpečnosti. Tentokrát se nedíváme na technologie optikou architektury řešení, ale skrze odpovědnost člověka, který nese finální rozhodnutí za infrastrukturu, bezpečnost i stabilitu celého digitálního prostředí firmy. I na této úrovni však stále platí totéž: IT netvoří jen systémy, ale lidé, jejich způsob uvažování, zkušenosti a schopnost zachovat klid v situacích, kdy jde o hodně.

CIO ANASOFTu Peter se pohybuje na průsečíku několika rolí. Kromě řízení interní bezpečnosti a infrastruktury firmy vstupuje do velkých zákaznických projektů, podílí se na návrhu architektur a zároveň vede tým, který musí fungovat v prostředí neustále se měnících hrozeb. V rozhovoru otevřeně mluví o tom, proč panika v bezpečnosti nefunguje, jak se dá zvládat tlak odpovědnosti, co ho na kybernetické bezpečnosti stále baví a proč jsou dnes často nejslabším článkem nikoli technologie, ale lidé.

Přístup CIO má blízko k myšlení Alana Turinga, matematika a vizionáře, který položil základy moderní informatiky ne primárně jako manažer, ale jako systematický myslitel schopný spojovat abstrakci s praktickým dopadem. Turing chápal, že rozhodující není jen síla výpočtu, ale způsob, jakým o problému přemýšlíme. Podobně i Peter přistupuje k bezpečnosti ne jako k souboru nástrojů, ale jako k procesu, který vyžaduje disciplínu, předvídavost a schopnost udržet systém funkční i v okamžiku, kdy se věci začnou komplikovat.

Když CIO spí klidně

Jak často se v noci budíš?

Většinou vůbec. Mám dobrý spánek a budím se spíš kvůli tomu, kolik piva jsem si dal večer, než kvůli práci. Pokud mám mluvit vážně: v noci mi nechodí žádné dramatické notifikace. Občas se něco objeví, ale zatím to nikdy nebylo nic skutečně vážného. Ani ze strany klientů, ani kvůli velkým výpadkům.

My pro klienty děláme takzvaný L3 support v rámci bezpečnosti, tedy jsme úplně poslední linie. Hodně věcí si řeší sami a k nám se dostanou jen incidenty, které jsou opravdu fatální nebo urgentní. Proto toho není až tak moc, jak by si člověk mohl myslet.

Jsou nějaké hrozby, které ti vyloženě nedají spát?

Už ne. Samozřejmě řešíme důležité věci, ale naučil jsem se od nich odosobnit. Není to tak, že bych kvůli hrozbám nespal. Teoreticky bych měl být první člověk, který o nich ví, ale právě proto se k nim snažím přistupovat systémově, ne s panikou. Panika v bezpečnosti nepomáhá, právě naopak.

Jak se o nových hrozbách dozvídáš?

Je to mix zdrojů. Jsem napojený na více odborných komunit, odebírám newslettery, sleduji skupiny bezpečnostních profesionálů a hodně čerpám i ze zahraničních portálů. Poměrně kvalitní bulletin posílá také SK-CERT, který řeší kyberbezpečnost na úrovni státu.

A pak máme i interní zdroje, například kolegu, který čte doslova všechno, co v bezpečnostním světě vyjde. Vždy přijde s nějakou „pikoškou“. Ale je velký rozdíl mezi tím, co řešíme interně pro Anasoft, a tím, co řešíme pro zákazníky. To jsou často úplně jiné požadavky, jiné priority a i jiné zdroje informací.

Jak moc se ti dá předvídat pracovní den?

Těžko říct jednou větou. Můj den závisí na tom, v jaké roli právě „jsem“. V podstatě mám čtyři. První je samotná role CIO, tedy bezpečnost v Anasofte. Druhá je IT management infrastruktury. Třetí je projektový management pro zákazníky, zejména u větších projektů. A čtvrtá je řízení oddělení jako takového.

Za normálních okolností by tohle neřešil jeden člověk, ale jsme firma určité velikosti a role si rozdělujeme tak, jak to dává smysl. Každá z nich znamená úplně jiný přístup i úplně jiný typ dne. Nejméně předvídatelné je to zákaznické, tam se věci mění rychle, vznikají nové priority a člověk musí reagovat.

Čtyři role v jednom pracovním dni

A jak je to se samotným CIO-ováním?

Ve většině případů je předvídatelnější než zákaznické projekty. Pokud přijde něco nečekaného, většinou je to nepříjemná věc, kterou je potřeba okamžitě řešit, ale snažím se zachovat technický, klidný přístup. Panika nepomáhá. Roky praxe hodně pomáhají v tom, aby si člověk dokázal zachovat chladnou hlavu. A stále se vzdělávám, poslouchám lidi, kteří mají víc zkušeností, to dává vnitřní klid. Upřímně ale, kdyby přišel úplně katastrofický scénář, to by asi zamávalo každým. Nejsme stroje.

Mluvíme o hackerském útoku?

Spíš ne. U klientů máme ke každé službě člověka, který je za ni přímo zodpovědný. Pokud jsou pod útokem, my jim pomáháme vyřešit naši část nebo dodáme forenzní data pro vyšetřování. To ale není něco, co by mi bralo spánek v tom smyslu, že bych noci proseděl u telefonu.

To, co by mi vzalo spánek, je něco fatálního u nás v Anasofte. A to se naštěstí nestalo. Během těch let byly možná dva skutečně velké případy, ale šlo spíš o výpadky než útoky. Když ti najednou přestane fungovat 300 serverů, tak je jasné, že ti volají všichni najednou a musíš to okamžitě řešit.

Velký bezpečnostní incident, který by nás postavil do pozoru? Ten jsme naštěstí nezažili. Menší incidenty ano, běžně. To jsou ty situace typu: „Máme problém, zastavili jsme to, teď to pojďme úplně odstranit, aby to neproniklo dál.“ A právě ty jsou nejlepším výsledkem: firma o nich ani neví. Tak to má být. Když se o incidentu dozví někdo mimo tým, znamená to, že to bylo vážné.

A na co se tě lidé nejčastěji ptají ohledně práce? Třeba doma, vědí, co vlastně děláš celý den?

Ptají se, občas. Ale vysvětlit to není úplně jednoduché. Synovi je 14 a i s ním to občas řeším. Snažím se mu vysvětlit, že mám čtyři role, které musím nějakým způsobem vyvažovat. A to je asi nejtěžší: najít si čas na každou z nich a nezapomenout na ty ostatní, když jedna najednou potřebuje prioritu.

Doma si v zásadě myslí, že sedím u počítače a „ťukám do toho“. Vědí, že řeším bezpečnost, protože je tím občas všechny „otravuji“, ale nemyslím si, že detailněji tuší, co přesně dělám a co to všechno obnáší.

Když si to rozdělíš na ty tři–čtyři oblasti, je některá, která tě baví méně?

Ne že by mě to nebavilo, ale některé věci jsou už pro mě statické, neposouvají mě dál. Například hardware, ten mě kdysi bavil hodně. Jsem původně elektrotechnik. Jako mladý jsem si doma vyráběl různé věci, které jsem potřeboval: zesilovače, dokonce rádio. Vždy jsem chtěl studovat elektroniku, ne počítače. Postupně se to celé zvrhlo k IT. Dnes už ale ve své práci hardware prakticky neřeším, a tím pádem se z toho vytratila i ta přitažlivost.

A myslíš, že ti ta minulost nějak pomáhá? Že máš díky ní predispozici k této práci?

Nemyslím si. V dnešní bezpečnosti je hardware spíš okrajová záležitost. V podstatě ho neřeším.

Takže tě drží hlavně bezpečnost a fakt, že se neustále mění?

Ano, přesně tak. Baví mě, že je to stále nové. To, co platilo včera, nemusí platit dnes. Nedá se přesně říct, proč člověka baví právě tohle, ale jednoduše mě to udržuje v pozornosti. Je to živé, nestagnuje to.

Co z toho je pro tebe největší výzva v každodenní práci?

Asi uvědomit si, že neexistuje nikdo, kdo by dokázal pokrýt bezpečnost „od A do Z“. Je to extrémně široká oblast. I špičkoví odborníci jsou specialisté jen na jednu, dvě, maximálně tři oblasti. A velmi často se setkávám s nesprávným přístupem: „Když to neznám, asi se to nemůže stát.“

Jenže realita je jiná. Věci se dějí. Neustále. Útočníci hledají skuliny všude. Ransomware v cloudu, útoky na technologie, které kdysi ani neexistovaly – to všechno jsou dnes naprosto běžné věci.

A v tom je bezpečnost fascinující i děsivá zároveň: člověk musí být neustále připravený. Musí mít, jak se říká, „otevřené oči“. A když se něco špatného stane, musí umět okamžitě zareagovat.

To je každodenní výzva a zároveň důvod, proč mě tahle práce pořád baví.

Od hardvéru k bezpečnosti

Treba byť teda tak trochu vizionár? Predvídať?

Třeba byť teda tak trochu vizionář? Předvídat?

Správná odpověď je ano. Ale upřímně, za vizionáře se nepovažuji. Spíš se o to snažím. V bezpečnosti existují dva základní přístupy. První je reaktivní: když se něco stane, musíš mít záložní plány, recovery postupy, všechno potřebné k tomu, abys firmu postavil zpátky na nohy. A druhý je proaktivní: investovat do toho, aby k incidentu vůbec nedošlo, aby se riziko minimalizovalo. A pravda je, že obojí je stejně důležité. Bez prevence bychom neustále hasili požáry. Bez reakce bychom neuměli řešit situace, které se i tak jednou za čas stanou.

Co tě na tom baví víc, reaktivní nebo preventivní bezpečnost?

Upřímně, obojí. Jedno bez druhého nemůže existovat. A z obou stran se setkávám s lidmi, i u klientů. Já jsem tak trochu „evangelizátor“ bezpečnosti, pořád připomínám základní věci, ale i nové hrozby. Podle mě je nejdůležitější, když si člověk vůbec uvědomí rizika. Pokud o nich aspoň přemýšlí, je to polovina úspěchu.

Hodně rizik se dá eliminovat právě na lidské straně, a to je často nejlevnější. Ale lidé tak přirozeně nefungují. Jsou ve stresu, řeší jiné úkoly, jsou pod tlakem. Proto potřebují technologie, které je chrání, i když udělají chybu. A zároveň je extrémně důležité investovat do osvěty. To je vlastně forma vzdělávání. Bez toho to nejde.

Průmysl není IT: OT a svět, který se nedá „patchovat“

Pojďme k projektům: jaká jsou nejčastější témata, která řešíte?

Velkým tématem je bezpečnost v průmyslu. A musím říct, že mě extrémně baví. Podle mě teprve opravdu přijde na Slovensko a do Evropy, doufám, že ne bolestivě. Nemyslím hackerské útoky, ale spíš to, že firmy si budou muset na vlastní kůži projít implementací bezpečnostních standardů, aby pochopily, co to znamená. Velké firmy už nějakou úroveň mají. Ale malé firmy… tam je bezpečnost často úplně nulová. A to napříč všemi odvětvími – potravinářství, výroba, strojírenství, automotive. A to je problém.

Proč je v průmyslu bezpečnost stále vnímaná tak slabě?

Protože pro ně je hlavní, aby proces fungoval, aby se nezastavila výrobní linka, doprava ropy, plynu, cokoliv. Kybernetická bezpečnost není vnímaná jako kritická součást.

A druhá věc: v průmyslu ještě často neexistuje pozice „security manažera“, člověka, který by měl reálný mandát něco změnit.

A co tě v této oblasti baví nejvíc?

Je to poměrně nová disciplína a nedělá to každý. Vidím v tom velký prostor, tržní i vzdělávací. Není to téma, které by firmy běžně řešily nebo kterému by rozuměly. Minulý rok jsme dělali projekt, kde jsme se tomu věnovali intenzivněji, a už máme i vlastní know-how.

Přednášky a konference jsou fajn, ale člověk to pochopí až tehdy, když si to reálně „osahá“. Každý typ průmyslu je jiný. V IT je komunikace unifikovaná – e-maily, web, běžné služby. V průmyslu je komunikace často úplně specifická pro každé odvětví. A to je fascinující.

Takže ochrana OT, tedy průmyslových řídicích systémů jako výrobní linky nebo elektrárny, je úplně jiná disciplína?

Úplně. Firewally jsou sice evergreen, ale průmysl je specifičtější svět. Existují různé protokoly, často staré 20–30 let, vázané na konkrétní zařízení. Každý protokol potřebuje vlastní přístup. A ještě jedna velmi důležitá věc: v IT se říká „patchovat, patchovat, patchovat“, tedy aktualizovat. V OT je „patchovat“ téměř zakázané slovo. Jsou tam technologie, které nikdo nikdy nepatchoval a ani neví, jak by to měl udělat. A ty stroje musí běžet nonstop. Zastavit je kvůli aktualizaci jednoduše není možné.

A teď mimo průmysl, jaké jsou nejčastější hrozby, které řešíte?

Ransomware. Jednoznačně. A ochrana před ním není jedna věc, ale celý soubor vrstev. Ta první je phishing – stále nejčastější způsob, jakým se útočníci dostávají dovnitř. Proto musí být správně nastavené e-mailové filtry, webové brány a firewally.

Potom přicházejí na řadu endpointy – počítače, mobily. Dnes tomu říkáme EDR, Endpoint Detection & Response. Je to pokročilejší typ ochrany, který dokáže sledovat chování počítače a rozpoznat i samotný ransomware.

Snažíme se o tři věci:

1. aby se útok vůbec nedostal dovnitř,
2. když se dostane, abychom ho okamžitě odhalili,
3. a když už probíhá, abychom ho zastavili během sekund, ne až po hodině, kdy někdo zjistí, že „něco je špatně“.

A potom je tu další vrstva: „Co když to i tak projde?“ Protože nic není 100 %. Pokud ransomware napadne firmu a začne šifrovat, musí existovat offline zálohy a plán obnovy – co se obnovuje jako první, jaké jsou priority. Jinak nastane úplná panika. To všechno klientům zavádíme.

Zálohy, rozpočet a rozhodnutí vedení

Takže zálohy jsou nejkritičtější část?

Do velké míry ano. Zálohy jsou velmi citlivá oblast, zejména proto, že běžní zaměstnanci s nimi nepřicházejí do styku. Spravuje je úzká skupina lidí a výsledek závisí na tom, jaké mají know-how, rozpočet a jakou podporu mají od vedení. A přesvědčit management, že do záloh je potřeba investovat, je jeden z největších problémů – v malých i velkých firmách.

Setkal ses i s nějakým extrémním příkladem?

Ano. V jedné průmyslové firmě, která vyrábí komponenty pro světové výrobce. Mají velmi přísné SLA, prostoje se počítají v desítkách minut a každá minuta stojí velké peníze.

Navrhli jsme jim řešení za přibližně 20 tisíc eur, které by jim výrazně zvýšilo dostupnost systému. A oni to odmítli. Tak jsem jim říkal: „Každý rok ztratíte 20 až 40 tisíc eur na odstávkách a nechcete investovat 20 tisíc, které ty odstávky eliminují?“ Neuměl jsem to pochopit.

A nebyla to velká firma, tam nebylo potřeba procházet pěti úrovněmi managementu. Ale prostě… neprošlo to.

Když děláš projektového manažera, komunikuješ s klientem ty přímo?

Ano, prakticky od začátku. Komunikuji s klientem už v předprojektové fázi. Do určité míry podporuji i presales aktivity, tedy prezentace řešení, případně děláme proof-of-concept nebo pilotní nasazení. Když se zákazník neumí rozhodnout, navrhnu: „Dobře, nasadíme to u vás na měsíc, otestujeme to, vyhodnotíme výsledky a pak řeknete, jestli to chcete, nebo nechcete.“

A vždy to musí být trial nebo proof-of-concept?

Ne. Záleží na typu řešení. Někdy se trial nasazuje „naostro“, zákazník to chce rovnou zkoušet v reálném prostředí.

Stalo se nám i to, že trial nasadíme, technologie se osvědčí a zákazník si ji nechá. Jen ji pak do-smluvníme a do-licencujeme. A pokud se neosvědčí, jednoduše ji sundáme.

Upřímně, ještě se mi nestalo, že by si ji nenechali. Proces „proof-of-conceptu“ máme velmi dobře vyladěný.

A co samotné řízení nasazení?

To už je projektový management v plném rozsahu: rozpočet, termíny, řízení lidí, dokumentace, projektové meetingy, řešení krizových situací. Všechno, co k tomu patří.

I proto mě projekty baví – jsou dynamické, posouvají mě i tým, a každý zákazník je jiný. Něco nového se naučíme vždycky.

Projektový management je pro tebe zajímavý?

Baví mě hlavně tehdy, když je dobrý projekt a dobrý klient. To znamená slušný, férový člověk na druhé straně, který má zároveň reálný mandát projekt řídit. To je velmi důležité, aby existoval „vlastník projektu“, který ho bere za svůj a má kompetenci ho posouvat dopředu.

Když tohle nastane, což naštěstí vůbec není vzácné, projekt mě hodně baví. Práce plyne, rozhodnutí se dělají rychle a celý proces má hlavu a patu.

Čím je to pro tebe jiné než běžná operativa?

Tím, že je to vždycky něco nového. Operativa je často rutina – něco vypadne, něco se opraví, jedeš dál. Projekty jsou dynamické. Jsou to nové výzvy, nové situace, nové technologie.

Posouvají mě osobně, protože se musím pořád něco učit, a posouvají i celý tým – technicky i lidsky. Každý zákazník je trochu jiný, každá firma tě něčím obohatí. Někdy pozitivně, někdy méně, ale vždycky tě to někam posune.

Takže je v tom i kus kreativity?

Určitě. Při návrzích řešení musíš být kreativní, hledat způsob, jak zkombinovat technologie a procesy tak, aby to dávalo smysl pro konkrétní firmu.

U menších zákazníků často vymýšlíme „všechno“, protože tam nejsou pevně dané architektury. U větších to nejde bez jejich účasti – mají svou infrastrukturu, svůj stupeň bezpečnosti, své limity. Tam to tvoříme společně: zákazník řekne, čeho chce dosáhnout, jaký má rozpočet, co musí integrovat, jaké má požadavky na provoz, a my navrhneme, jak to celé poskládat.

A ty ten koncept vymýšlíš?

Často ano. Jsem jeden z architektů řešení, vždy ve spolupráci s našimi lidmi a často i s dodavateli technologií. A právě to mě baví: to „skládání“. Dívat se, jak se dá všechno spojit tak, aby to fungovalo, aby to dávalo smysl a aby to bylo i realizovatelné.

Jak moc musíš být kreativní ty a tvoji kolegové?

Poměrně dost. Ale zároveň víme, že možnosti nejsou nekonečné, vždy máme nějaký rámec – dostupné technologie, procesy, rozpočet. V rámci toho je potřeba najít nejefektivnější řešení pro daný projekt.

A samozřejmě ani my nevíme všechno. Zákazník má svou představu, my máme svou. Vzájemně si je korigujeme a hledáme kompromis. Někdy řekneme: „Takhle jsme to už dělali jinde a fungovalo to, pojďme to zkusit i tady.“ Jindy zákazník přijde s pohledem, který nás posune.

A to je na tom nejlepší, že se navzájem obohacujeme. Není nad zkušenost. Know-how je v podstatě jen soubor věcí, které sis reálně odžil.

Projektová realita: lidé, důvěra a „skládání“ řešení

Jaký nejbizarnější incident jsi zažil?

To je dobrá otázka… a zároveň si jich moc nepamatuji, protože u menších incidentů člověk řeší problém a jde dál. Ale řeknu jeden z těch výraznějších.

Šlo o průmyslovou firmu, pro nás velkého a důležitého zákazníka. A přitom bezpečnosti nepřikládali téměř žádnou váhu. Což je běžné: lidé se věnují svému byznysu, mají toho hodně, a co nezažijí, to neřeší. Jejich logika byla: „Máme pojistku, máme antivir, tak co…“

My jsme je dlouhodobě nedokázali přesvědčit, že má smysl řešit bezpečnost preventivně. Měli v systémech díry a sami věděli, že pracují s exponovanými daty, u kterých by únik znamenal reputační i finanční problém.

A samozřejmě, jak to bývá, stalo se to v pátek večer. Volal mi bývalý kolega, kamarád z té firmy, a já jsem byl zrovna na kole po dvou pivech někde u Horárny. Říká mi: „Něco se děje. Zaměstnanci si vypínají počítače, mění hesla, mění přístupové údaje… něco není v pořádku.“

To jsou úplně nejtypičtější reakce lidí, když mají pocit, že se něco děje: vypnou počítač, změní heslo. Důležité jsou logy – pokud někde něco svítí červeně, je to první stopa.

Dohodli jsme se, že se na to v pondělí spolu podíváme. A nakonec to byl falešný poplach. Nikdo je nenapadl, nic neuniklo. Ale minimálně je to vystrašilo a konečně pochopili to „co kdyby“. A začali se bezpečnosti věnovat vážněji.

Začali jsme u nich dělat základní, rozumné věci. V malých firmách to často vůbec není složité – jen je potřeba změnit mindset a způsob práce. A to se lidem přirozeně nechce.

Co myslíš tím změněným mindsetem?

Úplné základy. Například nepracovat s oprávněními lokálního administrátora. Mít silná hesla, používat password manager, povinně zapnout dvoufaktor. To jsou levné věci. Ale je potřeba je zavést, a hlavně vysvětlit, proč jsou důležité.

Pokud tohle firma nemá, můžu jí prodat jakoukoliv „supertechnologii“, ale když někdo pracuje jako lokální admin, jsme skončili. To je cesta k problému.

Takže primárně musíš změnit chování lidí?

Ano. Osvěta je první krok. Až potom přicházejí na řadu procesy. A ty musí přijít shora – od majitele, manažera, ředitele. Pokud to vedení neprosadí, nebude to fungovat. Když lidé pochopí, proč to dělají a že to má logiku, jde to snáz. Když ne, prosadit se to nedá.

Setkáváš se stále s firmami, které mají počítače bez hesel?

Mnoho malých firem to tak má. A často používají lokální účty. A kdokoliv klikne na phishingový e-mail – to je všude stejné.

Přístupy jsou různé. Někde se nám podaří přesvědčit je víc, někde méně. Záleží to na jejich zvyklostech, ochotě měnit věci a upřímně i na tom, jaký měli rok. Když se daří a firma má rozpočet, investuje se snáz. Když jedou „na krev“, bezpečnost končí na konci seznamu priorit. A já to chápu.

Ale když tě zákazník vnímá jako odborníka, jako „partnera pro bezpečnost“, poslouchá tě jinak. A to je ta autorita.

Je to tedy i o autoritě?

Můžeme to tak nazvat. Není to slovo, které bych sám o sobě použil, ale ano, někteří klienti to tak vnímají. Když s někým mluvím jako partner, ne jako prodejce bezpečnosti, jde to mnohem snáz.

Proto je důležité najít si na straně klienta správného člověka. A toho potom provázet, udržovat s ním komunikaci, vysvětlovat mu správná nastavení a procesy tak, aby to celé dávalo smysl a fungovalo.

Zmiňoval jsi osvětu ve firmě. Co je podle tebe úplný základ v osobní kyberbezpečnosti?

Password manager. Upřímně si myslím, že začít používat password manager je jedna z prvních věcí, které by měl udělat každý „běžný smrtelník“. A říkám to i z vlastní zkušenosti – trvalo mi roky, než jsem o tom přesvědčil vlastní manželku. Takže úplně chápu, že je to proces. Bez password manageru člověk jednoduše nedokáže mít všude silná, unikátní hesla. A bez toho se to už v dnešním světě nedá.

A u dětí? Jak to řešíš tam?

S dětmi řeším dvě věci: čas u obrazovek a osvětu. Nesnažím se striktně omezovat obsah, spíš s nimi mluvím o tom, co tam dělají a proč. Dávám jim mantinely, aby neseděli u telefonu nebo počítače celý den.

Hodně poslouchám psychologické podcasty, abych věděl, jaký přístup zvolit. Nechci je přehnaně omezovat, ale nechci ani, aby neměli žádné hranice. Zatím mám pocit, že to celkem funguje… i když oni by ti možná řekli něco jiného.

Jak si čistíš hlavu? Pomáhá ti sport?

Sport je pro mě velmi důležitý, nejen na „vyčištění hlavy“, ale i kvůli zdraví.

Kdysi jsem sport používal i jako formu přemýšlení. Šel jsem si zaběhat nebo na kolo a přitom jsem v hlavě řešil věci z práce. Některé nápady potřebují dozrát. Člověk potřebuje půl hodiny nebo hodinu ticha, aby se mu v hlavě všechno poskládalo. V práci je to těžší – jsou tam priority, meetingy, člověk si ne vždy dokáže sednout a jen tak přemýšlet. U sportu se to dá.

Poslední roky ale při sportu často poslouchám podcasty. Tehdy hlavu od bezpečnosti spíš nevypínám, ale „zaplním“ ji jiným obsahem. Na druhou stranu nejsou to hlouposti – poslouchám věci o politice, ekonomice, bezpečnosti, technologiích. A i angličtinu, takovou „lidskou“, ne technickou. Tam taky cítím prostor ke zlepšení.

Jaký sport je pro tebe nejdůležitější?

Veslování. Dělám ho už asi 30 let a pořád mě to hodně baví a naplňuje. Kdysi jsem vesloval i závodně, teď už v „seniorských“ kategoriích. Je to kolektivní sport, máme partu lidí, se kterou se pravidelně setkáváme.

Veslování má i hodně doprovodných sportů – běh, kolo, sem tam fitko. A když je to veslování na trenažéru, tam si často pustím podcasty, protože samotný trenažér mě mentálně až tak nebaví.

Kromě sportu, co ti nejvíc „čistí“ hlavu?

Rozhovory s manželkou. Často u vína. Máme takovou vlastní kategorii debat: „diskuse o největších problémech lidstva“.

Například jednou jsme se dlouho bavili o tom, jak jsou ohrožené mořské želvy, že když se vylíhnou, musí utíkat k oceánu, čekají tam predátoři, ptáci… Takové „malé velké“ problémy. Je to téma, které se nás osobně netýká, ale dá se o něm mluvit donekonečna, aniž by člověk řešil politiku nebo práci. A přitom si paradoxně taky čistí hlavu.

Projevuje se u tebe profesní deformace tím, že jsi i v soukromí paranoik?

Trochu určitě. Mám kolegu, u kterého si myslím, že je paranoik mnohem víc než já, a možná by se na mě urazil. Ale snažím se držet si rozumnou míru. To musí posoudit spíš okolí, ne já.

Ale ano, v téhle pozici je určitá míra paranoie absolutně nezbytná. „To, že jsem paranoidní, ještě neznamená, že po mně nejdou“ (smích). Ale být připravený nikdy neuškodí.