personal<IT>y: „Veľa rizík vzniká na ľudskej strane,“ CIO objasňuje, kde robia firmy chyby v kyberbezpečnosti, prečo len technológia nestačí

V sérii rozhovorov personal<IT>y pokračujeme pohľadom do sveta strategického riadenia IT a kybernetickej bezpečnosti. Tentoraz sa nepozeráme na technológie cez optiku architektúry riešení, ale cez zodpovednosť človeka, ktorý nesie finálne rozhodnutia, za infraštruktúru, bezpečnosť aj stabilitu celého digitálneho prostredia firmy. Aj na tejto úrovni však stále platí to isté: IT netvoria len systémy, ale ľudia, ich spôsob uvažovania, skúsenosti a schopnosť zachovať pokoj v situáciách, keď ide o veľa.

CIO ANASOFTu Peter sa pohybuje na priesečníku viacerých rolí. Okrem riadenia internej bezpečnosti a infraštruktúry firmy vstupuje do veľkých zákazníckych projektov, podieľa sa na návrhu architektúr a zároveň vedie tím, ktorý musí fungovať v prostredí neustále sa meniacich hrozieb. V rozhovore otvorene hovorí o tom, prečo panika v bezpečnosti nefunguje, ako sa dá zvládať tlak zodpovednosti, čo ho na kybernetickej bezpečnosti stále baví a prečo sú dnes často najslabším článkom nie technológie, ale ľudia.

Prístup CIO má blízko k mysleniu Alana Turinga, matematika a vizionára, ktorý položil základy modernej informatiky nie ako manažér v prvom rade, ale ako systematický mysliteľ schopný spájať abstrakciu s praktickým dopadom. Turing chápal, že rozhodujúca nie je len sila výpočtu, ale spôsob, akým premýšľame o probléme. Podobne aj Peter pristupuje k bezpečnosti nie ako k súboru nástrojov, ale ako k procesu, ktorý vyžaduje disciplínu, predvídavosť a schopnosť udržať systém funkčný aj v momente, keď sa veci začnú komplikovať.

Keď CIO spí pokojne

Ako často sa v noci budíš?

Väčšinou vôbec. Mám dobrý spánok a zobudím sa skôr kvôli tomu, koľko piva som si dal večer, než kvôli práci. Ak mám ísť do vážnosti: v noci mi nechodia žiadne dramatické notifikácie. Občas sa niečo objaví, ale zatiaľ to nikdy nebolo nič skutočne vážne. Ani zo strany klientov, ani kvôli veľkým výpadkom.

My pre klientov robíme takzvaný L3 support v rámci bezpečnosti, teda sme úplne posledná línia. Veľa vecí si riešia sami a k nám sa dostanú len incidenty, ktoré sú naozaj fatálne alebo urgentné. Preto toho nie je až tak veľa, ako by si človek mohol myslieť.

Sú nejaké hrozby, ktoré ti vyslovene nedajú spať?

Už nie. Samozrejme, riešime dôležité veci, ale naučil som sa od nich odosobniť. Nie je to tak, že by som kvôli hrozbám nespal. Teoreticky by som mal byť prvý človek, ktorý o nich vie, ale práve preto sa snažím pristupovať k nim systémovo, nie s panikou. Panika v bezpečnosti nepomáha, práve naopak.

Ako sa o nových hrozbách dozvedáš?

Je to mix zdrojov. Som napojený na viacero odborných komunít, odoberám newslettre, sledujem skupiny bezpečnostných profesionálov, a veľa čerpám aj zo zahraničných portálov. Celkom kvalitný bulletin posiela aj SK-CERT, ktorý rieši kyberbezpečnosť na úrovni štátu.

A potom máme aj interné zdroje, napríklad kolega, ktorý číta doslova všetko, čo v bezpečnostnom svete vyjde. Vždy príde s nejakou „pikoškou“. Ale je veľký rozdiel medzi tým, čo riešime interne pre Anasoft, a tým, čo riešime pre zákazníkov. To sú často úplne iné požiadavky, iné priority a aj iné zdroje informácií.

Ako veľmi sa ti dá predvídať pracovný deň?

Ťažko povedať jednou vetou. Môj deň závisí od toho, v ktorej role práve „som“. V podstate mám štyri. Prvá je samotná rola CIO, teda bezpečnosť v Anasofte. Druhá je IT manažment infraštruktúry. Tretia je projektový manažment pre zákazníkov, najmä pri väčších projektoch. A štvrtá je riadenie oddelenia ako takého.

Za normálnych okolností by toto neriešil jeden človek, ale sme firma určitej veľkosti a role si rozdeľujeme tak, ako to dáva zmysel. Každá z nich znamená úplne iný prístup aj úplne iný typ dňa. Najmenej predvídateľné je to zákaznícke, tam sa veci menia rýchlo, vznikajú nové priority a človek musí reagovať.

Štyri roly v jednom pracovnom dni

A ako je to so samotným CIO-vaním?

Vo väčšine prípadov je predvídateľnejšie než zákaznícke projekty. Ak príde niečo nečakané, väčšinou je to nepríjemná vec, ktorú treba okamžite riešiť, ale snažím sa zachovať technický, pokojný prístup. Panika nepomáha. Roky praxe veľmi pomáhajú v tom, aby si človek vedel zachovať chladnú hlavu. A stále sa vzdelávam, počúvam ľudí, ktorí majú viac skúseností, to dáva vnútorný pokoj. Úprimne však, keby prišiel úplne katastrofický scenár, to by asi zamávalo každým. Nie sme stroje.

Hovoríme o hackerskom útoku?

Skôr nie. U klientov máme za každú službu človeka, ktorý je za ňu priamo zodpovedný. Ak sú pod útokom, my im pomáhame vyriešiť našu časť alebo dodáme forenzné dáta pre vyšetrovanie. To však nie je niečo, čo by mi bralo spánok v tom zmysle, že by som noci presedel pri telefóne.

To, čo by mi vzalo spánok, je niečo fatálne u nás v Anasofte. A to sa, našťastie, nestalo. Počas tých rokov boli možno dva skutočne veľké prípady, ale išlo skôr o výpadky než útoky. Keď ti zrazu prestane ísť 300 serverov, tak je jasné, že ti volajú všetci naraz a musíš to okamžite riešiť.

Veľký bezpečnostný incident, ktorý by nás postavil do pozoru? Ten sme našťastie, nezažili. Menšie incidenty áno, bežne. To sú tie situácie typu: „Máme problém, zastavili sme to, teraz to poďme úplne odstrániť, aby to nepreniklo ďalej.“ A práve tie sú najlepším výsledkom: firma o nich ani nevie. Tak to má byť. Keď sa o incidente dozvie niekto mimo tímu, znamená to, že to bolo vážne.

A čo sa ťa ľudia najčastejšie pýtajú ohľadom práce? Napríklad doma, vedia, čo vlastne robíš celý deň?

Pýtajú sa, občas. Ale vysvetliť to nie je úplne jednoduché. Syn má 14 a aj s ním to občas riešim. Snažím sa mu vysvetliť, že mám štyri roly, ktoré musím nejakým spôsobom vyvažovať. A to je asi najťažšie: nájsť si čas na každú z nich a nezabudnúť na tie ostatné, keď jedna zrazu potrebuje prioritu.

Doma si v zásade myslia, že sedím za počítačom a „ťukám do toho“. Vedia, že riešim bezpečnosť, lebo ich tým občas všetkých „otravujem“, ale nemyslím si, že detailnejšie tušia, čo presne robím a čo to všetko obnáša.

Keď si to rozdelíš na tie tri–štyri oblasti, je niektorá, ktorá ťa baví menej?

Nie že by ma to nebavilo, ale niektoré veci sú už pre mňa statické, neposúvajú ma ďalej. Napríklad hardvér, ten ma kedysi bavil veľmi. Som pôvodne elektrotechnik. Ako mladý som si doma vyrábal rôzne veci, ktoré som potreboval: zosilňovače, dokonca rádio. Vždy som chcel študovať elektroniku, nie počítače. Postupne sa to celé zvrtlo k IT. Dnes už ale v mojej práci hardvér prakticky neriešim, a tým pádom sa z toho vytratila aj tá príťažlivosť.

A myslíš, že ti tá minulosť nejako pomáha? Že máš vďaka nej predispozíciu k tejto práci?

Nemyslím si. V dnešnej bezpečnosti je hardvér skôr okrajová vec. V podstate ho neriešim.

Čiže ťa drží hlavne bezpečnosť a fakt, že sa neustále mení?

Áno, presne to. Baví ma, že je to stále nové. To, čo platilo včera, nemusí platiť dnes. Nedá sa presne povedať, prečo človeka baví práve toto, ale jednoducho ma to drží v pozornosti. Je to živé, nestagnuje to.

Čo z toho je pre teba najväčšia výzva v každodennej práci?

Asi uvedomiť si, že neexistuje nikto, kto by dokázal pokryť bezpečnosť „od A po Z“. Je to extrémne široká oblasť. Aj špičkoví odborníci sú špecialisti len na jednu, dve, maximálne tri oblasti. A veľmi často sa stretávam s nesprávnym prístupom: „Keď to nepoznám, asi sa to nemôže stať.“

Lenže realita je iná. Veci sa dejú. Neustále. Útočníci hľadajú skuliny všade. Ransomvér v cloude, útoky na technológie, ktoré kedysi ani neexistovali, to všetko sú dnes úplne bežné veci.

A v tom je bezpečnosť fascinujúca aj strašidelná zároveň: človek musí byť neustále pripravený. Musí mať, ako sa hovorí, „otvorené oči“. A keď sa niečo zlé udeje, musí vedieť okamžite zareagovať.

To je každodenná výzva, a zároveň dôvod, prečo ma táto práca stále baví.

Od hardvéru k bezpečnosti

Treba byť teda tak trochu vizionár? Predvídať?

Správna odpoveď je áno. Ale úprimne, ja sa za vizionára nepovažujem. Skôr sa o to snažím. V bezpečnosti existujú dva základné prístupy. Prvý je reaktívny: keď sa niečo stane, musíš mať záložné plány, recovery postupy, všetko potrebné na to, aby si firmu postavil späť na nohy. A druhý je proaktívny: investovať do toho, aby k incidentu vôbec nedošlo, aby sa riziko minimalizovalo. A pravda je, že oboje je rovnako dôležité. Bez prevencie by sme neustále hasili požiare. Bez reakcie by sme nevedeli riešiť situácie, ktoré sa aj tak raz za čas stanú.

Čo ťa z toho baví viac, reaktívna alebo preventívna bezpečnosť?

Úprimne, oboje. Jedno bez druhého nemôže existovať. A z oboch strán sa stretávam s ľuďmi, aj u klientov. Ja som tak trochu „evanjelizátor“ bezpečnosti, stále pripomínam základné veci, ale aj nové hrozby. Podľa mňa je najdôležitejšie, keď si človek vôbec uvedomí riziká. Ak o nich aspoň rozmýšľa, je to polovica úspechu.

Veľa rizík sa dá eliminovať práve na ľudskej strane, a to je často najlacnejšie. Ale ľudia tak prirodzene nefungujú. Sú v strese, riešia iné úlohy, sú pod tlakom. Preto potrebujú technológie, ktoré ich chránia, aj keď spravia chybu. A zároveň je extrémne dôležité investovať do osvety. To je vlastne forma vzdelávania. Bez toho to nejde.

Priemysel nie je IT: OT a svet, ktorý sa nedá „patchovať“

Poďme k projektom: čo sú najčastejšie témy, ktoré riešite?

Veľkou témou je bezpečnosť v priemysle. A musím povedať, že ma extrémne baví. Podľa mňa ešte len skutočne príde na Slovensko a do Európy, dúfam, že nie bolestivo. Nemyslím hackerské útoky, ale skôr to, že firmy si budú musieť na vlastnej koži prejsť implementáciou bezpečnostných štandardov, aby pochopili, čo to znamená. Veľké firmy už nejakú úroveň majú. Ale malé firmy… tam je bezpečnosť často úplne nulová. A to naprieč všetkým odvetviami, potravinárstvo, výroba, strojárstvo, automotive. A to je problém.

Prečo je v priemysle bezpečnosť stále vnímaná tak slabo?

Pretože pre nich je hlavné, aby proces fungoval, aby sa nezastavila výrobná linka, doprava ropy, plynu, čokoľvek. Kybernetická bezpečnosť nie je vnímaná ako kritická súčasť.

A druhá vec: v priemysle ešte často neexistuje pozícia „security manažéra“, človeka, ktorý by mal reálny mandát niečo zmeniť.

A čo ťa v tejto oblasti baví najviac?

Je to pomerne nová disciplína a nerobí to každý. Vidím v tom veľký priestor, trhový aj vzdelávací. Nie je to téma, ktorú by firmy bežne riešili alebo ktorej by rozumeli. Minulý rok sme robili projekt, kde sme sa tomu venovali intenzívnejšie, a už máme aj vlastné know-how.

Prednášky a konferencie sú fajn, ale človek to pochopí až vtedy, keď si to reálne „ošahá“. Každý typ priemyslu je iný. V IT je komunikácia unifikovaná, e-maily, web, bežné služby. V priemysle je komunikácia často úplne špecifická pre každé odvetvie. A to je fascinujúce.

Čiže ochrana OT, teda priemyselných riadiacich systémov ako výrobné linky alebo elektrárne, je úplne iná disciplína?

Úplne. Firewally sú síce evergreen, ale priemysel je špecifickejší svet. Existujú rôzne protokoly, často staré 20–30 rokov, viazané na konkrétne zariadenia. Každý protokol potrebuje vlastný prístup. A ešte jedna veľmi dôležitá vec: v IT sa hovorí „patchovať, patchovať, patchovať“, teda aktualizovať. V OT je „patchovať“ takmer zakázané slovo. Sú tam technológie, ktoré nikto nikdy nepatchoval a ani nevie, ako by to mal spraviť. A tie stroje musia bežať nonstop. Zastaviť ich kvôli aktualizácii jednoducho nie je možné.

A teraz mimo priemyslu, čo sú najčastejšie hrozby, ktoré riešite?

Ransomvér. Jednoznačne. A ochrana pred ním nie je jedna vec, ale celý súbor vrstiev. Tá prvá je phishing, stále najčastejší spôsob, akým sa útočníci dostávajú dovnútra. Preto musia byť správne nastavené e-mailové filtre, webové brány a firewally.

Potom prichádzajú na rad endpointy, počítače, mobily. Dnes tomu hovoríme EDR, Endpoint Detection & Response. Je to pokročilejší typ ochrany, ktorý dokáže sledovať správanie počítača a rozpoznať aj samotný ransomvér.

Snažíme sa o tri veci:

1. aby sa útok vôbec nedostal dnu,
2. ak sa dostane, aby sme ho okamžite odhalili,
3. a ak už prebieha, aby sme ho zastavili v priebehu sekúnd, nie až po hodine, keď niekto zistí, že „niečo je zle“.

A potom je tu ďalšia vrstva: „Čo ak to aj tak prejde?“ Pretože nič nie je 100 %. Ak ransomvér napadne firmu a začne šifrovať, musia existovať offline zálohy a plán obnovy, čo sa obnovuje ako prvé, aké sú priority. Inak nastane úplná panika. Toto všetko klientom zavádzame.

Zálohy, rozpočet a rozhodnutia vedenia

Takže zálohy sú najkritickejšia časť?

Do veľkej miery áno. Zálohy sú veľmi citlivá oblasť, najmä preto, že bežní zamestnanci s nimi neprichádzajú do styku. Spravuje ich úzka skupina ľudí a výsledok závisí od toho, aké majú know-how, rozpočet a akú podporu majú od vedenia. A presvedčiť manažment, že do záloh treba investovať, je jeden z najväčších problémov, v malých aj veľkých firmách.

Stretol si sa aj s nejakým extrémnym príkladom?

Áno. V jednej priemyselnej firme, ktorá vyrába komponenty pre svetových výrobcov. Majú veľmi prísne SLA, prestoje sa rátajú v desiatkach minút a každá minúta stojí veľké peniaze.

Navrhli sme im riešenie za približne 20-tisíc eur, ktoré by im výrazne zvýšilo dostupnosť systému. A oni to odmietli. Tak som im hovoril: „Každý rok stratíte 20 až 40 tisíc eur na odstávkach a nechcete investovať 20 tisíc, ktoré tie odstávky eliminujú?“ Nevedel som to pochopiť.

A nebola to veľká firma, tam nebolo potrebné prechádzať piatimi úrovňami manažmentu. Ale jednoducho… neprešlo to.

Keď robíš projektového manažéra, komunikuješ s klientom ty priamo?

Áno, prakticky od začiatku. Komunikujem s klientom už v predprojektovej fáze. Do určitej miery podporujem aj presales aktivity, teda prezentácie riešení, prípadne robíme proof-of-concept alebo pilotné nasadenia. Keď sa zákazník nevie rozhodnúť, navrhnem: „Dobre, nasadíme to u vás na mesiac, otestujeme to, vyhodnotíme výsledky a potom poviete, či to chcete alebo nechcete.“

A vždy to musí byť trial alebo proof-of-concept?

Nie. Záleží od typu riešenia. Niekedy sa trial nasadzuje „naostro“, zákazník to chce rovno skúšať v reálnom prostredí.

Stalo sa nám aj to, že trial nasadíme, technológia sa osvedčí a zákazník si ju nechá. Len ju potom dozmluvníme a dolicencujeme. A ak sa neosvedčí, jednoducho ju zložíme.

Úprimne, ešte sa mi nestalo, že by si ju nenechali. Proces „proof-of-conceptu“ máme veľmi dobre vyladený.

A čo samotné riadenie nasadenia?

To už je projektový manažment v plnom rozsahu: rozpočet, termíny, riadenie ľudí, dokumentácia, projektové mítingy, riešenie krízových situácií. Všetko, čo k tomu patrí.

Aj preto ma projekty bavia, sú dynamické, posúvajú mňa aj tím, a každý zákazník je iný. Niečo nové sa naučíme vždy.

Projektový manažment je pre teba zaujímavý?

Baví ma najmä vtedy, keď je dobrý projekt a dobrý klient. To znamená slušný, férový človek na druhej strane, ktorý má zároveň reálny mandát projekt riadiť. To je veľmi dôležité, aby existoval „vlastník projektu“, ktorý ho berie za svoj a má kompetenciu ho posúvať dopredu.

Keď toto nastane, čo našťastie vôbec nie je zriedkavé, projekt ma veľmi baví. Práca plynie, rozhodnutia sa robia rýchlo a celý proces má hlavu a pätu.

Čím je to pre teba iné než bežná operatíva?

Tým, že je to vždy niečo nové. Operatíva je často rutina, niečo vypadne, niečo sa opraví, ideš ďalej. Projekty sú dynamické. Sú to nové výzvy, nové situácie, nové technológie.

Posúvajú mňa osobne, lebo sa musím stále niečo učiť, a posúvajú aj celý tím, technicky aj ľudsky. Každý zákazník je trochu iný, každá firma ťa niečím obohatí. Niekedy pozitívne, niekedy menej, ale vždy ťa to niekam posunie.

Čiže je v tom aj kus kreativity?

Určite. Pri návrhoch riešení musíš byť kreatívny, hľadať spôsob, ako skombinovať technológie a procesy tak, aby to dávalo zmysel pre konkrétnu firmu.

Pri menších zákazníkoch často vymýšľame „všetko“, keďže tam nie sú pevne dané architektúry. Pri väčších to nejde bez ich účasti, majú svoju infraštruktúru, svoj stupeň bezpečnosti, svoje limity. Tam to tvoríme spoločne: zákazník povie, čo chce dosiahnuť, aký má rozpočet, čo musí integrovať, aké má požiadavky na prevádzku, a my navrhneme, ako to celé poskladať.

A ty ten koncept vymýšľaš?

Často áno. Som jeden z architektov riešenia, vždy v spolupráci s našimi ľuďmi a často aj s dodávateľmi technológií. A práve to ma baví: to „skladanie“. Pozerať sa, ako sa dá všetko spojiť tak, aby to fungovalo, aby to dávalo zmysel a aby to bolo aj realizovateľné.

Ako veľmi musíš byť kreatívny ty a tvoji kolegovia?

Pomerne dosť. Ale zároveň vieme, že možnosti nie sú nekonečné, vždy máme nejaký rámec, dostupné technológie, procesy, rozpočet. V rámci toho treba nájsť najefektívnejšie riešenie pre daný projekt.

A samozrejme, ani my nevieme všetko. Zákazník má svoju predstavu, my máme svoju. Vzájomne si ich korigujeme a hľadáme kompromis. Niekedy povieme: „Takto sme to už robili inde a fungovalo to, poďme to skúsiť aj tu.“ Inokedy zákazník príde s pohľadom, ktorý nás posunie.

A to je na tom najlepšie, že sa navzájom obohacujeme. Nie je nad skúsenosť. Know-how je v podstate len súbor vecí, ktoré si si reálne odžil.

Projektová realita: ľudia, dôvera a „skladanie“ riešení

Aký najbizarnejší incident si zažil?

To je dobrá otázka… a zároveň si ich veľa nepamätám, pretože pri menších incidentoch človek rieši problém a ide ďalej. Ale poviem jeden z tých výraznejších.

Išlo o priemyselnú firmu, pre nás veľkého a dôležitého zákazníka. A pritom bezpečnosti neprikladali takmer žiadnu váhu. Čo je bežné: ľudia sa venujú svojmu biznisu, majú toho veľa, a čo nezažijú, to neriešia. Ich logika bola: „Máme poistku, máme antivírus, tak čo…“

My sme ich dlhodobo nevedeli presvedčiť, že bezpečnosť má zmysel riešiť preventívne. Mali v systémoch diery a sami vedeli, že pracujú s exponovanými dátami, pri ktorých by únik znamenal reputačný aj finančný problém.

A samozrejme, ako to býva, stalo sa to v piatok večer. Volal mi bývalý kolega, kamarát z tej firmy, a ja som bol práve na bicykli po dvoch pivách niekde pri Horárni. Hovorí mi: „Niečo sa deje. Zamestnanci si vypínajú počítače, menia heslá, menia prístupové údaje… niečo nie je v poriadku.“

To sú úplne najtypickejšie reakcie ľudí, keď majú pocit, že sa niečo deje: vypnú počítač, zmenia heslo. Dôležité sú logy, ak niekde niečo svieti na červeno, je to prvá stopa.

Dohodli sme sa, že v pondelok sa na to spolu pozrieme. A nakoniec to bol falošný poplach. Nikto im nič nenapadol, nič neuniklo. Ale minimálne ich to vystrašilo a konečne pochopili to „čo keby“. A začali sa bezpečnosti venovať vážnejšie.

Začali sme u nich robiť základné, rozumné veci. V malých firmách to často vôbec nie je zložité – len treba zmeniť mindset a spôsob práce. A to sa ľuďom prirodzene nechce.

Čo myslíš tým zmeneným mindsetom?

Úplné základy. Napríklad nepracovať s oprávneniami lokálneho administrátora. Mať silné heslá, používať password manager, povinne zapnúť dvojfaktor. To sú lacné veci. Ale treba ich zaviesť, a hlavne vysvetliť, prečo sú dôležité.

Ak toto firma nemá, môžem jej predať akúkoľvek „supertechnológiu“, ale ak niekto pracuje ako lokálny admin, sme skončili. To je cesta k problému.

Takže primárne musíš zmeniť správanie ľudí?

Áno. Osveta je prvý krok. Až potom prichádzajú na rad procesy. A tie musia prísť zhora, od majiteľa, manažéra, riaditeľa. Ak to nepretlačí vedenie, nebude to fungovať. Keď ľudia pochopia, prečo to robia a že to má logiku, ide to ľahšie. Keď nie, presadiť sa to nedá.

Stretávaš sa stále s firmami, ktoré majú počítače bez hesiel?

Mnoho malých firiem to tak má. A často používajú lokálne účty. A ktokoľvek klikne na phishingový e-mail, to je všade rovnaké.

Prístupy sú rôzne. Niekde sa nám podarí presvedčiť ich viac, niekde menej. Závisí to od ich zvyklostí, ochoty meniť veci a úprimne aj od toho, aký mali rok. Keď sa darí a firma má rozpočet, investuje sa ľahšie. Keď idú „na krv“, bezpečnosť končí na konci zoznamu priorít. A ja to chápem.

Ale ak ťa zákazník vníma ako odborníka, ako „partnera pre bezpečnosť“, počúva ťa inak. A to je tá autorita.

Je to teda aj o autorite?

Môžeme to tak nazvať. Nie je to slovo, ktoré by som sám o sebe použil, ale áno, niektorí klienti to tak vnímajú. Keď sa s niekým rozprávam ako partner, nie ako predavač bezpečnosti, ide to oveľa ľahšie.

Preto je dôležité nájsť si na strane klienta správneho človeka. A toho potom sprevádzať, udržiavať s ním komunikáciu, vysvetľovať mu správne nastavenia a procesy tak, aby to celé dávalo zmysel a fungovalo.

Spomínal si osvetu vo firme. Čo je podľa teba úplne základ v osobnej kyberbezpečnosti?

Password manager. Úprimne si myslím, že začať používať password manager je jedna z prvých vecí, ktoré by mal spraviť každý „bežný smrteľník“. A hovorím to aj z vlastnej skúsenosti, trvalo mi roky, kým som o tom presvedčil vlastnú manželku. Takže úplne chápem, že je to proces. Bez password managera jednoducho človek nedokáže mať všade silné, unikátne heslá. A bez toho sa to už v dnešnom svete nedá.

A pri deťoch? Tam to riešiš ako?

S deťmi riešim dve veci: čas pri obrazovkách a osvetu. Nesnažím sa striktne obmedzovať obsah, skôr sa s nimi rozprávam o tom, čo tam robia a prečo. Dávam im mantinely, aby nesedeli pri telefóne alebo počítači celý deň.

Veľa počúvam psychologické podcasty, aby som vedel, aký prístup zvoliť. Nechcem ich prehnane obmedzovať, ale nechcem ani, aby nemali žiadne hranice. Zatiaľ mám pocit, že to celkom funguje… hoci oni by ti možno povedali niečo iné.

Ako si čistíš hlavu? Pomáha ti šport?

Šport je pre mňa veľmi dôležitý, nielen na „prečistenie hlavy“, ale aj kvôli zdraviu.

Kedysi som šport používal aj ako formu premýšľania. Šiel som si zabehať alebo na bicykel a popri tom som v hlave riešil veci z práce. Niektoré nápady potrebujú dozrieť. Človek potrebuje polhodinu či hodinu ticha, aby sa mu v hlave všetko poskladalo. V práci je to ťažšie, sú tam priority, mítingy, človek si nie vždy vie sadnúť a len tak rozmýšľať. Pri športe sa to dá.

Posledné roky však pri športe často počúvam podcasty. Vtedy si hlavu od bezpečnosti skôr nevypínam, ale „zapĺňam“ ju iným obsahom. Na druhej strane, nie sú to hlúposti, počúvam veci o politike, ekonomike, bezpečnosti, technológiách. A aj angličtinu, takú „ľudskú“, nie technickú. Tam tiež cítim priestor na zlepšenie.

Aký šport je pre teba najdôležitejší?

Veslovanie. Robím ho už asi 30 rokov a stále ma to veľmi baví a napĺňa. Kedysi som vesloval aj závodne, teraz už v „seniorských“ kategóriách. Je to kolektívny šport, máme partiu ľudí, s ktorou sa pravidelne stretávame.

Veslovanie má aj veľa sprievodných športov, beh, bicykel, sem-tam fitko. A keď je to veslovanie na trenažéri, tam si často pustím podcasty, lebo samotný trenažér ma mentálne až tak nebaví.

Okrem športu, čo ti najviac „čistí“ hlavu?

Rozhovory s manželkou. Často pri víne. Máme takú vlastnú kategóriu debát: „diskusie o najväčších problémoch ľudstva“.

Napríklad raz sme sa dlho rozprávali o tom, ako sú ohrozené morské korytnačky, že keď sa vyliahnu, musia utekať k oceánu, čakajú tam predátory, vtáky… Také „malé veľké“ problémy. Je to téma, ktorá sa nás osobne netýka, ale dá sa o nej rozprávať donekonečna bez toho, aby človek riešil politiku alebo prácu. A pritom si paradoxne tiež čistí hlavu.

Prejavuje sa u teba profesionálna deformácia tým, že si aj v súkromí paranoik?

Trochu určite. Mám kolegu, pri ktorom si myslím, že je paranoik oveľa viac než ja, a možno by sa na mňa urazil. Ale snažím sa držať si rozumnú mieru. To musí posúdiť skôr okolie, nie ja.

Ale áno, v tejto pozícii je istá miera paranoje absolútne nevyhnutná. „To, že som paranoidný, ešte neznamená, že po mne nejdú“(smiech). Ale byť pripravený nie je nikdy na škodu.