Finančnictví Archivy

Nasazení AI v kontaktním centru prospívá zákazníkům, operátorům i byznysu

Nasazení umělé inteligence v kontaktním centru bývá často velmi zúženě chápáno jako implementace chatbotu nebo voicebotu, který převezme za lidské operátory část komunikace se zákazníky. Hlasové či textové služby sice tvoří tu nejvíce „viditelnou“ část, ale představují jen špičku ledovce možností AI. Využití potenciálu AI v kontaktním centru přináší do práce operátorů, spokojenosti zákazníků i byznysových výsledků desítky plusových bodů.

Ruku na srdce, nezáživné kolečko bezvýsledného dialogu s chatbotem je pro klienty spíš odrazující než povznášející. Neefektivní komunikace představuje zdroj frustrace i pro lidské operátory, kteří se na práci kontaktních center podílejí, a ještě dlouho podílet budou. Zkušený implementátor dokáže s pomocí AI nástrojů v komunikačním centru eliminovat nejen tento základní problém, ale prostřednictvím AI doručit hned několik skupin benefitů:

snížíte únavu a opotřebování lidských operátorů, tedy logicky i jejich fluktuaci;
zvýšíte kvalitu hovoru/komunikace se zákazníkem, tedy logicky získáte spokojenějšího a věrnějšího klienta;
zlepšíte efektivitu týmu, a díky tomu prodáte a vyděláte více;

Jak na to ale ta AI jde? Ne, není chytřejší. Ale je rychlejší a umí si vytáhnout potřebná data z tisíců dostupných firemních i externích zdrojů, umí je zestručnit, sumarizovat, dát do kontextu a dokáže na jejich základě navrhnout další doporučené kroky. Navíc dokáže v reálném čase sledovat a analyzovat interakci mezi operátorem a zákazníkem, a v tomto kontextu nabízet data, řešení nebo navrhovat další kroky.

Tady se smí napovídat

Operátoři v kontaktních centrech stráví podle různých zdrojů zhruba 17 % svého pracovního času tím, že hledají správnou odpověď na dotaz klienta. Vžijte se do té situace: na jedné straně netrpělivý zákazník, který vzdychá, odfrkává a koulí očima. Na straně druhé roztřesený operátor, který horečně pátrá po informaci a zároveň kouká na hodinky, kdy už mu končí směna. Takže nekomfortní situace na obou stranách linky. Pokud je do procesu vhodně implementována AI, vznik takových momentů dokáže eliminovat. Buď operátorovi pomůže s vyhledáním potřebných informací (a zobrazí mu je) nebo dokonce přímo sestaví odpověď a nabídne ji k použití.

Tím se výrazně zvýší efektivita operátora a odpadnou již zmiňovaná zdržení při fyzickém dohledávání potřebných dat. Dalším, a ještě důležitějším benefitem je konzistentní průběh komunikace. Odpověď firmy na stejnou otázku je směrem ke všem klientům jednotná, i když zrovna dnes nemá službu Lenka, ale Honza. AI se v tomto nasazení tedy stává pomocníkem či asistentem operátora, proto se často setkáváme s anglickým termínem Agent Assist nebo Power Agent.

Chyť a nepusť

Existuje ale i vyšší level zapojení AI, který už nezůstává jen u řešení aktuálního problému/obchodního případu. Ale dívá se i do budoucna a ukazuje cestu k vyšším prodejům, či ziskům.

Léty prověřená obchodnická zkušenost potvrzuje, že vůbec nejtěžší je se zákazníkem (potenciálním) navázat první kontakt. V kontaktním centru už ovšem v řadě případů má operátor první krok za sebou. Klient sám volá nebo píše, protože potřebuje vyřešit nějaký problém. V ideálním případě dokážeme s pomocí AI nejen odbavit aktuální zákaznický požadavek, ale formou cross sellingu nebo up sellingu transakci rozšířit a obohatit. AI totiž již na pozadí konverzace operátora se zákazníkem dokáže velmi rychle reagovat a v reálném čase identifikovat další související nebo navazující produkty, služby, řešení a formou doporučení (next steps) je nabídnout operátorovi. Příkladně, klient letí na dovolenou do Malajsie a AI dokáže zjistit, že má nevyhovující cestovní pojištění a operátor může nabídnout lepší pojistku s vyšším krytím. Nebo při koupi automobilu dokáže AI naplánovat a rezervovat termín garanční prohlídky v partnerském servisu nebo navrhnout pojištění čelního skla.

Další oblastí, kterou může AI hlídat, představuje průběh klientských smluv a řízení jejich prodloužení či aktualizace. Díky tomu lze například opustit nepopulární systém automatické prolongace kontraktů, který produkuje (třeba u energetických společností nebo stavebních spořitelen) masu překvapených a naštvaných zákazníků.

Součet těchto upgradů či doplňků, které AI dokáže v rámci takzvané nepřímé asistence elegantně připojit k hlavní nabídce, může ve finále pro firmu znamenat významný zdroj generování dalších příjmů nebo minimálně zvýšení spokojenosti klientů.

Poznej svého operátora

Trvalým a velkým problémem kontaktních center je zátěž a stres operátorů. Ve chvíli, kdy přesáhnou únosnou mez, vedou nejprve k poklesu kvality komunikace se zákazníky a následně k odchodu pracovníků. Vysoká fluktuace agentů představuje černou můru, protože onboarding nových zaměstnanců spojený s jejich zaučením je mimořádně nákladný.

AI analyzuje interakce operátorů a na základě toho je dokáže vyhodnotit, jak z hlediska znalostí, efektivity, tak třeba i pracovního vytíženi. Sumarizace AI tedy mohou sloužit vedení jako základ pro další coaching agentů. Směřující například ke zvýšení jejich znalostí a kvalifikace.

Neméně důležité je ale i sledování a řízení vytížení operátorů. Z dat sumarizovaných AI lze vysledovat například i nebezpečí vyhoření agentů, takže mohou sloužit jako podklad pro úpravy pracovní doby nebo plánování dovolených a pracovního volna. AI dokáže snížit objem práce, který je na operátory kladen. Vypracuje za ně souhrny komunikace, reporty, pomůže jim s nalezením potřebných informací. A spokojenější agenti tak nemají tolik důvodů ke změně zaměstnání.

AI rozhodně není superman, který dokáže zcela nahradit v kontaktním centru lidský faktor. Naopak, na začátku nasazení je umělá inteligence novorozenec, kterého všechno musíte naučit. Zkušený implementátor ale dokáže propojit schopnosti stroje a člověka ku prospěchu všech: firmy, zákazníka i operátora.

AI má potenciál změnit způsob komunikace kontaktních center

Rozčarování z umělé inteligence zažily určitě tisícovky lidí. Odpověď AI na položenou otázku nebo zadaný úkol byla neuspokojivá, vágní, nebo dokonce chybná. Na vině není AI, ale člověk, který se špatně zeptal nebo nepochopil, jaké jsou možnosti a limity umělé inteligence. Stejné je to s AI v komunikačním centru.

Analýzy se předstihují v optimistických predikcích a superlativech, jak přelomová je AI pro fungování komunikačních center a interakce firem se zákazníky. Odhaduje se, že tři čtvrtiny kontaktních center již nyní nějakou formu AI využívají. Analytici Genesys předpovídají, že 85 % interakcí se zákazníky bude virtuálních. Skutečně, umělá inteligence má potenciál změnit způsob, jakým kontaktní centra operují, a to hned na několika rovinách. AI může pomoci například zefektivnit procesy, automatizovat rutinní úkoly a posilovat personalizaci interakcí se zákazníky. Má schopnost zpracovávat velké množství dat v reálném čase, což umožňuje rychlejší a přesnější odpovědi na dotazy zákazníků.

Je tu ovšem jedno velké ALE. Stejně jako je chatbot jalový, pokud mu dáte špatný prompt, AI v kontaktním centrum bude poloviční bez správného nasazení. Největší slabinou AI je totiž člověk.

Ovládáš vietčeštinu?

Jako ukázka nepochopení úlohy AI může sloužit praktický příklad. Jeden z klientů Soitronu chtěl do svého kontaktního centra nasadit voicebota pro prvotní kontakt se zákazníky. Při rozhovorech s klientem jsme ale zjistili, že více než polovinu objednávek má od vietnamských obchodníků. Využití voicebota pro odbavení těchto zákazníků by skončilo naprostou katastrofou. Jednoduše proto, že žádný jazykový model češtinu se specifickým vietnamským přízvukem neovládá a ovládat nebude. Pokus nasadit voicebota na tuto jazykově specifickou skupinu obyvatel Česka by vedl nejen k frustraci vietnamských zákazníků, ale i lidských operátorů, kteří by museli následně „žehlit“ následky zpackaného nasazení AI.

V zajetí technologií

Mnoho firem v Česku historicky využívá AI řešení od lokálních dodavatelů. To, co v minulosti mohlo přinášet benefity v podobě přizpůsobení se „českému rybníčku“, ale už v současnosti nestačí. V AI převzaly vedoucí úlohu velké globální platformy jako Google, Microsoft, IBM nebo Amazon, které již dokázaly dřívější deficity v individualizaci setřít. Proto doporučujeme jako základní AI technologie v kontaktním centru zvážit právě systémy velkých světových hráčů.

Řada domácích firem používá více lokálních dodavatelů AI s poukazem na to, že každý z nich vyniká v něčem jiném. Ve jednom kontaktním centru tak často pracuje chatbot od X, voicebot od Y… I Soitron v rámci jednoho procesu využívá různé technologie, ale ve finále má zákazník jednoho dodavatele AI, a tím je právě Soitron.

Technologie je tedy důležitá, ale ne samospásná. Když porovnáte automobily Audi, Mercedes a BMW, vidíte, že v základu nabídnou řidičům to samé. A podobné je to i u různých AI platforem. O skutečné kvalitě rozhoduje konkrétní integrace AI do firemních procesů a kontaktního centra.

Aby AI nebyla jako kůl v plotě

Tou správnou filozofií, jak využít potenciál AI, je integrovat ji do celého kontaktního centra, do komunikačních procesů a interakcí mezi podnikem a jeho zákazníkem. To klíčové se odehrává před úvahami o nejvhodnějších platformách a vlastní implementací.

Soitron a jeho konzultanti musí správně identifikovat a analyzovat procesy, které chce zákazník automatizovat prostřednictvím AI. Teprve pak mohou následovat konkrétní scénáře pro implementaci a využití AI. V podobě chatbota, voicebota, pro podporu živých operátorů, identifikaci syntetického hlasu, zpracování velkých objemů dat či pro některou z dalších tisíců možností.

Éra sémantické automatizace

Robotická procesní automatizace (RPA) a umělá inteligence (AI) společně vytvářejí mocnou symbiózu, jež může posunout firemní produktivitu a efektivitu na novou vyšší úroveň. Sémantická automatizace, založená na generativní umělé inteligenci, je hybnou technologií s potenciálem zásadně změnit způsob fungování firem.

V době, kdy digitální transformace není pouze trendem, ale nezbytností, se RPA stává významným hráčem. Díky své schopnosti automatizovat každodenní, opakující se úkoly výrazně zvyšuje produktivitu zaměstnanců. Spolu s AI tvoří synergické duo, kombinující automatizaci s kreativitou lidské mysli.

Podle společnosti IDC vlivem automatizace ve firmách dochází ke snížení provozních nákladů o 13,5 % a v průměru jim ušetří 1,9 hodiny práce týdně (zdroj: Worldwide Automation Spending Guide 2022 by IDC) na jednoho zaměstnance. Tato čísla zdůrazňují transformační potenciál RPA a AI při zvyšování produktivity a snižování nákladů.

RPA a generativní AI – spojení pro dokonalou automatizaci

Generativní umělá inteligence, jakožto podskupina AI, se zaměřuje na tvorbu obsahu nebo dat, nikoliv pouze na jejich zpracování. Využívá techniky strojového učení, jako jsou neuronové sítě a hluboké učení, k vytváření nového obsahu v různých formách. „Generativní modely umělé inteligence se učí z existujících dat a tyto znalosti využívají k tvorbě originálního, kreativního a kontextově relevantního výstupu,“ vysvětluje Viktória Lukáčová Bracjunová, vedoucí oddělení robotizace a automatizace ve společnosti Soitron.

RPA exceluje v opakujících se úkolech, dodržuje pravidla a postupy, nedělá chyby a nepotřebuje přestávky. Dominuje ve strukturovaných procesech, kde minimalizuje odchylky. Pro firmy představuje klíčovou technologickou součást snižující náklady, chybovost a urychlení rutinních úkolů.

Využití sémantické automatizace v dynamickém prostředí

V dynamickém prostředí spojení RPA a generativní umělé inteligence vytváří silnou synergii, přesahující možnosti každé technologie samostatně. „RPA úspěšně zvládá rutinní úkoly, zatímco generativní AI je silná ve zpracování složitých, nestrukturovaných dat a řešení kreativních výzev. RPA zajistí konzistenci procesů a minimalizuje chyby, zatímco generativní AI analyzuje data a přináší hlubší poznatky, zvyšující kvalitu strategických rozhodnutí,“ říká Viktória Lukáčová Bracjunová.

V oblasti AI a zpracování přirozeného jazyka hraje sémantika důležitou roli. Poskytuje totiž základ pro vytváření pokročilých systémů generativní umělé inteligence, které jsou díky ní schopny lépe porozumět lidskému jazyku a komunikovat s ním, což je klíčové pro úspěch mnoha aplikací umělé inteligence.

Implementovat lze do každé firmy

Integrace RPA s existujícími systémy a aplikacemi činí tuto technologii ideální volbou pro automatizaci úkolů v rámci stávajících pracovních postupů. Automatizace nové generace je schopna pracovat s různými datovými typy a formáty, což zajišťuje kompatibilitu s širokým spektrem procesů. Generativní integrace umělé inteligence pak zdokonaluje zákaznickou zkušenost pomocí personalizované interakce, porozuměním přirozenému jazyku a řešením složitých dotazů s empatií.

Kde může sémantická automatizace pomoci

Rozšířené schopnosti zpracování přirozeného jazyka (NLP) – umí porozumět a reagovat na přirozený jazyk zákazníka, což je klíčové pro automatizaci zákaznické péče, zpracování objednávek a udržování vztahů se zákazníky.
Strojové učení (ML) – umožňuje robotům učit se z dat a zlepšovat své výkony v průběhu času, což je klíčové pro úlohy vyžadující adaptivitu nebo rozhodování.
Vizuální rozpoznávání objektů (OCR) – umožňuje přečíst informace z nestrukturovaných digitalizovaných dokumentů jako PDF, obrázky atd.

Řešení výzev moderního trhu

V rychle rozvíjejícím se tržním prostředí přináší spojení RPA a generativní AI nejen precizní automatizaci, ale i kreativní inovace a při nasazení konkurenční výhodu. Ignorovat tuto technologickou symbiózu znamená zmeškat příležitost. „Je vhodný čas nechat RPA a generativní AI technologie spolupracovat a dosáhnout tak zlepšení výsledků,“ zakončuje Viktória Lukáčová Bracjunová.

Generační skok! Nasaďte na správu kampusu Cisco Catalyst Center

Firemní síťová infrastruktura prošla v posledních letech zcela zásadními změnami. Správa kampusu musí reagovat na způsob, jakým se IT v současnosti konzumuje. Prostředí cloudu, IoT či hybridní práce vytváří extrémní nároky na výkonnost sítě a zvýrazňují bezpečnostní rizika. Cisco Catalyst Center (CCC) představuje centralizovanou virtuální platformu, která dokáže management sítě zjednodušit, zrychlit a vnést do něj silnou bezpečnost.

Cisco Catalyst Center nabízí centralizovanou, intuitivní správu, která umožňuje rychlé a snadné navrhování, poskytování a aplikaci zásad v celém síťovém prostředí. Grafické uživatelské rozhraní Cisco Catalyst Center zajišťuje kompletní viditelnost sítě a využívá informace o síti k optimalizaci výkonu sítě a poskytování nejlepší uživatelské a aplikační zkušenosti. Catalyst center může být nasazen jako hardware appliance, ale většina zákazníků ocení možnost virtuální platformy, která je dostupná pro cloudovou službu AWS a již i pro onprem platformu VMware.

Na vlastní kůži

Tým společnosti Soitron, která je implementačním Gold partnerem Cisco, přitom bez přehánění patří k největším specialistům právě na nasazení Cisco Catalyst Center do firemního prostředí. Soitron se totiž řadí mezi zhruba 60 vybraných světových firem, které testovaly vůbec první ještě předprodukční verze nástroje (tehdy ještě pod jménem Cisco DNA Center). „Využili jsme platformu přímo pro správu naší sítě v Česku, na Slovensku a v Bulharsku. A testovali jsme například, zda nejsou problémy s instalací, se zdroji, s certifikáty nebo bezpečností. Reálná telemetrická data, která jsme dali k dispozici Cisco, pak byla využita při dalším vývoji,“ uvedla Marianna Richtáriková, Network Business Unit Manager ze Soitronu.

Body pro Catalyst Center

Díky zkušenostem z praxe proto mohli experti ze Soitronu vytipovat směry a situace, v nichž se platforma Cisco Catalyst nejlépe osvědčila.

Design sítě. Pokud stavíte novou síť „na zelené louce“, dovoluje CCC v prostředí jednoho nástroje velmi jednoduše propojení designovat hierarchickým způsobem, postupně přidávat a definovat další prvky. Samozřejmostí je i možnost postupného překlopení stávající “legacy” síťové infrastruktury na moderní softwarově definovanou síťovou infrastrukturu SDA.

Centralizace. Cisco Catalyst Center dovoluje centralizovanou správu celé sítě, což zjednodušuje konfiguraci a sledování síťových zařízení z jednoho místa, v rámci jednoho dashboardu.

Automatizace. Catalyst Center nabízí pokročilé nástroje pro automatizaci síťových operací. To umožňuje rychlé a konzistentní nasazení sítě, což snižuje chybovost a šetří čas. Jakékoliv změny v nastavení může správce aplikovat najednou, na celou skupinu zařízení, což síťařům minimalizuje čas strávený nad zdlouhavými manuálními úkony.

Analýza a diagnostika. Nástroj poskytuje rozsáhlé možnosti monitorování a analýzy síťového provozu a vybraných aplikačních služeb. Pomáhá identifikovat problémy a rychle reagovat na výpadky nebo bezpečnostní incidenty. Telemetrie CCC přitom přináší nejen aktuální informace, ale i poskytuje historická data, což diagnostiku výrazně usnadňuje.

Bezpečnost. Cisco Catalyst Center integruje bezpečnostní funkce a umožňuje sledování bezpečnostního stavu sítě. Pomáhá identifikovat hrozby a zlepšit ochranu sítě. Automatizované postupy dovolují bezpečnostní politiku připravit předem a pak ji z jednoho místa aplikovat na jakémkoliv zařízení, které CCC spravuje. V případě koncových uživatelů se bezpečnostní politika aplikuje při vstupu (identifikaci) uživatele do sítě.

Integrace. CCC je navržen tak, aby byl kompatibilní s dalšími produkty a technologiemi společnosti Cisco, což umožňuje rozšíření funkcí. Připojit k němu lze například platformu ThousandEyes pro monitoring sítí, internetu a cloudu. Zajímavou integrací je propojení se zařízeními Apple, Samsung nebo Intel, které umožňuje komunikaci sledovat z pohledu koncového uživatele přístroje. V rámci aplikačních služeb umí CCC vyhodnocovat a interpretovat stav aplikačních služeb, jako jsou například Webex, MS Teams a další. Neodmyslitelnou součástí je také podpora lokalizačních služeb pomocí integrace s DNA Spaces.

Když se rozhodnete pro Cisco Catalyst Center, budete vytvářet spojení, která doposud nebyla možná, a pomalé manuální procesy změníte na automatizované pracovní postupy.

Firmám v digitalizaci chybí odborný přístup. To je může stát přízeň zákazníků

Neexistuje špatný voicebot a chatbot. Existuje jen neadekvátní implementace a nedostatečná péče o jejich vývoj a údržbu. V posledních letech se stále více společností obrací k automatizovaným systémům komunikace, aby zlepšily své služby a efektivitu. I když mohou být tyto automatizované systémy nástrojem s velkým potenciálem do budoucna, jejich schopnost poskytovat kvalitní zákaznickou podporu závisí na správném nastavení, správném výběru technologií a pečlivém vývoji obsahu. Špatně navržené nebo nedostatečně připravené voiceboty a chatboty mohou selhat při komunikaci se zákazníky a vést k negativním zkušenostem.

Zákazníci chtějí řešit své potřeby hned. Nemají čas ani chuť čekat, až začne otevírací doba nebo až mu vytížené zákaznické centrum konečně zvedne telefon. Potřebují mít kromě standardních možností – zavolat, dojít na pobočku, poslat e-mail – možnost spojit se s firmou i přes internet, ať už jde o on-line objednání nebo chatování s operátorem přes Messenger, Whatsapp či webové rozhraní. Podle Asociace malých a středních podniků ČR průměrný podnik naplnil své cíle v oblasti digitalizace pouze ze 40 %. České podniky tak mají stále velký potenciál v oblasti digitalizace, automatizace a robotizace.

Jednodušší požadavky přitom mohou vyřídit boti a není s nimi potřeba zatěžovat zaměstnance, kteří by se mohli věnovat obtížnějším úkolům. Jejich správné nastavení je však klíčové – pokud se zákazník zacyklí ve svém požadavku a bot mu není schopen efektivně pomoci, snaha firmy o modernizaci přijde vniveč.

„Není nutné, aby si bot uměl s klientem povídat na jakékoliv téma. Zákazník přichází s konkrétním problémem, a ten potřebuje vyřešit. Pro mnoho firem je naprosto dostačující např. chatbot, který pouze nabízí seznam tlačítek s nabídkou toho, co zákazník potřebuje,” uvádí Marcel Vejmelka, business konzultant společnosti Soitron.

Bot musí najít řešení vždy

Při vývoji moderních komunikačních center je zásadní myslet na to, jaké potřeby zákazníci nejčastěji mají, a tomu nástroje přizpůsobit. Chtějí být kompletně obslouženi na tom kanálu, z jakého firmu kontaktuje. „Přesměrování na jiný kanál proto zavádějte pouze v případě, kdy není jiné možnosti. Bot přitom musí být proaktivní a zákazníkovi sám nabídnout řešení, nenechávat práci na něm,“ vyjmenovává Marcel Vejmelka. Např. pokud není při komplikovanějším požadavku dostupný lidský operátor, vyžádat si od zákazníka preferovaný čas zpětného kontaktování a jeho telefonní číslo. Firmy si tím zajistí nejen to, že legitimně na zákazníka získají kontakt, ale také pozitivnější zákaznickou zkušenost.

Pozitivní zkušenost se týká rovněž zaměstnanců komunikačních center. Integrované aplikace i zmínění boti usnadňuji práci operátorů, což vede k jejich větší spokojenosti. Jinými slovy, spokojený operátor rovná se spokojený zákazník. Empatický operátor je vůči zákazníkovi vstřícnější. Firmy proto musí myslet i na své zaměstnance a zvážit integraci aplikací potřebných k práci do jednoho systému. Další výhodou je vyšší efektivita práce. Nutné je nicméně myslet na škálovatelnost takovéhoto softwaru, aby dokázal pojmout i aplikace třetích stran a přizpůsobovat se neustálému pokroku.

Investice, která je žádaná

Častou obavou firiem je cenová náročnosť moderných nástrojov. Tento problém často sprevádza otázka, či je vôbec nutné ísť do takýchto riešení a či sa zaplatí. Nevýhoda zastaraných prístupov kontaktných centier totiž nemusí byť na prvý pohľad očividná: „Firmám pri absencii rýchlej komunikácie či pri zlom nastavení topánok utekajú zákazníci, ktorých neschopnosť vybaviť požiadavku rozčúli a už sa nevráti. A ak áno, zanechajú firme negatívne hodnotenie na internete,“ objasňuje Marcel Vejmelka. Konverzačná umelá inteligencia navyše podľa odhadov zníži v roku 2026 náklady na operátorov len v európskych komunikačných centrách asi o 60 miliárd eur. Neexistujú úplne zlí voiceboti a chatboti. Neexistují úplně špatní voiceboti a chatboti. Jejich kvalita a efektivita je však výsledkem implementace, vývoje, péče a údržby, které se jim dostává.

„Správná strategie a pečlivá práce na těchto systémech mohou vést k úspěšnému nasazení a vylepšení zákaznického zážitku. Proto je při jejich nasazení vhodné využít služeb firem, které mají řadu zkušeností, a to v různých situacích a potřebami firem, ať už jde o oblast finanční, pojišťovací, dopravní nebo o správu e-shopů,“ zakončuje Marcel Vejmelka.

Pravidla kyberbezpečnosti zpřísní, firmy ani úřady nejsou připravené

S adaptací na směrnici NIS2 pomůže nová odborná aliance NIS2READY

Odhadem 7000 českých firem a státních institucí bude muset dodržovat novou přísnější směrnici EU o kyberbezpečnosti NIS2. Mnoho podniků a úřadů ale není na změny připravených, upozornili odborníci z dnes představené aliance NIS2READY. Podle tohoto sdružení mívají dotčené subjekty nedostatky například v analýze rizik či segmentaci sítě. Nově přitom budou muset hlídat kyberbezpečnost i u svých dodavatelů. Za nesoulad s NIS2 hrozí milionové pokuty a postihy pro topmanagement.

NIS2 dopadne v různé míře na téměř všechna odvětví ekonomiky. Ukládá povinnosti až 17krát většímu počtu organizací, než které regulovala dosavadní směrnice NIS1.

Všechny dotčené subjekty budou muset vytvářet podrobné analýzy rizik a hlídat kyberbezpečnost i ve svém dodavatelském řetězci. Vyžadováno bude mimo jiné i pravidelné školení zaměstnanců, rychlé hlášení incidentů a sdílení bezpečnostního reportingu na firemní, státní i evropské úrovni. Důležitou novinkou je i nutnost použití evropského systému certifikace produktů kybernetické bezpečnosti.

Veřejná správa bude muset zlepšit kyberbezpečnost i na komunální úrovni. Za nedodržení pravidel NIS2 budou hrozit pokuty až do výše stovek milionů Kč a zákaz výkonu funkce statutárního zástupce.

Aliance pomůže i s dotacemi

Aliance vznikla s cílem zvýšit povědomí o závažnosti NIS2 a pomoci s adaptací na ni. NÚKIB kvůli NIS2 dokončuje nový zákon o kybernetické bezpečnosti, jež má vstoupit v platnost během příštího roku.

Aliance zahrnuje technické i právní experty, protože jen spolupráce obou skupin zajistí soulad s NIS2. Zároveň Aliance pomůže i s obstaráním dotačních podpor na nezbytné investice do posílení kyberbezpečnosti, které si NIS2 vyžádá.

„Z výzkumu Cybersecurity Readiness Index, který jsme uskutečnili mezi 27 000 odborníky z 21 zemí je patrné, že 82 % firem očekává, že v nejbližších dvou letech bude čelit kybernetickým útokům. Nicméně jen 15 % z nich považuje úroveň kyberbezpečnosti ve svých podnicích za dostatečně silnou na to, aby se s těmito hrozbami vypořádali. Základní ochranu ICT infrastruktury si přitom mohou firmy zajistit za cenu, jako by každému zaměstnanci koupili měsíčně jednu kávu v globálním řetězci kaváren,“ uvedl generální ředitel české pobočky Cisco Michal Stachník.

„NIS2 bude v mnohém srovnatelná s revolučním nařízením GDPR, kterým EU plošně zpřísnila ochranu osobních údajů. Podobně jako GDPR hovoří i NIS2 o odpovědnosti nejvyššího vedení, takže budoucí kiksy už nepůjde hodit jen na bezpečnostního manažera. Proto je lepší se na NIS2 začít připravovat už nyní. Osvícené firmy už vypracovávají gap analýzy toho, co musí dohnat,“ upozornil vedoucí technologického týmu KPMG Tomáš Kudělka.

Kyberútoky jsou na vzestupu

Policie a NÚKIB loni evidovaly téměř dvojnásobný nárůst počtu kyberkriminálních aktivit oproti předloňsku. Hackeři byli úspěšní například při útocích na Ředitelství silnic a dálnic, na nemocnice a ministerstvo zahraničí. Zranitelnými se ukázala být i řada soukromých firem, ty však incidenty spíše nezveřejňují, aby si nepoškodily dobré jméno.

„Až 70 % tuzemských organizací má problém s kyberbezpečností. Zejména menší a střední podniky často nedodržují ani základní bezpečnostní opatření. Zanedbává se například řízení uživatelských identit, aktualizace softwaru i hardwaru, síťová segmentace, ochrana perimetru, zabezpečení koncových stanic a centrální logmanagement,“ shrnul specialista na kyberbezpečnost ze společnosti Soitron Petr Kocmich.

Dědictví českého předsednictví

Aliance NIS2READY je složená z expertů technologických a poradenských firem a advokátních kanceláří Cisco, KPMG, Soitron, Alef Nula, enovation a eLegal. Aliance nabízí ucelenou odbornou podporu při implementaci NIS2. Na začátek příštího roku chystá tři osvětové a diskusní semináře, také s cílem bojovat proti zavádějícím interpretacím (více na webu www.nis2ready.cz).

NIS2 (Směrnice o síťové a informační bezpečnosti) byla schválena loni v prosinci v závěru českého předsednictví v Radě EU. Nový zákon o kybernetické bezpečnosti chce NÚKIB předložit vládě na začátku příštího roku.

SOITRON NIS2

Informace naleznete i na našich webových stránkách, které se věnují NIS https://www.soitron.cz/nis2/.

Použité zdroje:

NÚKIB. “ZPRÁVA O STAVU KYBERNETICKÉ BEZPEČNOSTI ČESKÉ REPUBLIKY ZA ROK 2022.” Národní úřad pro kybernetickou a informační bezpečnost, https://www.nukib.cz/download/publikace/zpravy_o_stavu/Zprava_o_stavu_kyberneticke_bezpecnosti_CR_za_rok_2022.pdf. Accessed 14 November 2023.

Injektáž škodlivých kódů do generativní AI může znepokojujícím způsobem zneužít data

Chatboti jako je ChatGPT, Google Bard či jiní jsou dobrými sluhy, ale zároveň mohou pro společnost představovat velké riziko. Jsou totiž zranitelní vůči útokům založených na nepřímé, okamžité injektáži. Jinými slovy je lze snadno přinutit k tomu, aby dělali to, co by neměli.

Málokdo si uvědomuje, že systémy, které využívají umělé neuronové sítě a prvky umělé inteligence pomocí technologie velkých jazykových modelů (LLM) lze pomocí speciálních instrukčních sad flexibilně modulovat. Tyto sady je činí náchylnými k cílenému útoku, tzv. nepřímé injektáži, kterou mohou útočníci přepsat původní funkce systému.

Co je injektáž pro LLM

Při injektáži do generativní umělé inteligence útočník vloží na vstup LLM škodlivý kód (případně celou sadu) nebo data, čímž odstartuje sled událostí, které mohou vést k četným škodám. Mezi ně patří např. krádež dat, neoprávněná transakce, poškození systému či kybernetický útok.

To je IT odborníky považováno za jeden z nejvíce znepokojivých způsobů, jak mohou hackeři velké jazykové modely zneužít. Velké korporace a menší start-upy totiž často spouštějí nebo využívají veřejné generativní systémy umělé inteligence, aniž by si uvědomovaly případná rizika. Proto se odborníci na kybernetické zabezpečení všeobecně snaží o potenciálních nebezpečích zvýšit povědomí. „Vzhledem k tomu, že stále více společností LLM využívá, a ve velkém do nich vkládají osobní či podniková data, jde o velké riziko. Právě proto se útočníci zaměřili na krádeže AI Chatbot účtů – viz. např. Malware Raccoon, díky kterému bylo ukradeno a na Dark Webu vystaveno již cca 80 tisíc ChatGPT účtů. Pokud podobné služby ve firemním prostředí využíváte, doporučujeme vám v první řadě u těchto nástrojů nastavit MFA, nevkládat do chatu citlivá data a ideálně pak neukládat historii konverzací,“ vysvětluje Petr Kocmich, Global Cyber Security Delivery Manager společnosti Soitron.

Jak injektáž pro LLM funguje

Existuje několik různých způsobů, jak může útočník injektáž do LLM provést. Jedním z nejběžnějších způsobů je vložení škodlivého kódu nebo dat do vstupu, který je LLM předán. Tento vstup může být čímkoliv, od textu až po obrázek.

Útočník může například vložit škodlivý kód na vstup chatbota. Kdyby uživatel následně chatbotovi položil otázku, mohl by tento škodlivý kód spustit zamýšlený útok. Dalším způsobem je zneužití chyby v aplikaci, která LLM využívá. Zjednodušeně řečeno, pokud někdo dokáže vložit data do LLM, pak může potenciálně manipulovat s tím, co se objeví na výstupu.

Obrana proti injektáži pro LLM

Odborníci na bezpečnost pravidelně ukazují, jak lze nepřímou okamžitou injektáž použít k manipulaci či krádeži dat, v horším případě i ke vzdálenému spuštění kódu.

Existuje několik opatření, která mohou vývojáři a správci systémů podniknout, aby systémy před injektáží do LLM ochránili. Jedním z nejdůležitějších, avšak ne zcela banálních, je použít správné ošetření vstupu, které pomáhá zabránit vložení škodlivého kódu nebo dat.

„Přestože vývojáři chatbotů disponují týmy, které pracují na zabezpečení LLM systémů, identifikaci a filtraci injektovaného kódu pro manipulaci či exfiltraci dat a vzdáleného spuštění kódu, není v jejich silách předem všechny potenciálně nebezpečné vstupy identifikovat, ošetřit a zabránit jim. V kyberbezpečnosti jsme si již zvykli, že útočníci využívají tzv. obfuskace (maskování) kódu. Nyní se bavíme prakticky o obfuskaci na úrovni zpracování přirozeného jazyka (NLP), kdy kýžené funkcionality dokážeme dosáhnout různorodě psaným textem,“upozorňuje Petr Kocmich.

Existují i specializovaná řešení

I z tohoto důvodů společnosti přistupují k tomu, že používání veřejně dostupných chatbotů stále více omezují. Případně se zamýšlejí, jak generativní umělou inteligenci integrovat, respektive implementovat do aplikací a služeb. Je zapotřebí si totiž uvědomit, že ve chvíli, kdy dochází k přijmutí informací od třetích stran (např. z internetu), nelze LLM nadále důvěřovat. K LLM je proto nutné vždy přistupovat obezřetně.

V tomto případě dostávají přednost specializované generativní systémy, které jsou přímo navržené k firemnímu použití, a do kterých je možné vkládat podniková data, která nikdy neopustí toto prostředí – používají pouze interní data, která jsou zpracovávána lokálně. „Takovým je například i naše služba Millada, která ačkoliv je postavena na modelu ChatGPT, pracuje s daty lokálně.Oproti jiným informačním technologiím a systémům je její implementace navíc mnohem jednodušší, neboť funguje nezávisle na úrovni zpracovatele dat,“ prozrazuje Kocmich a dodává, že LLM je nápomocná technologie, ale rozhodně vyžaduje pečlivé a zodpovědné používání.

SOITRON generální partner konference ADMEZ Call Centra

Soitron se stal pro letošní rok generálním partnerem konference ADMEZ Call centra, která se uskuteční dne 2. listopadu 2023 v hotelu Clarion. Budou zde přednášet Marcel Vejmelka, Business Consultant za Soitron společně s Jaroslavem Martanem, CSE z Cisco na téma Změna modelu komunikace se zákazníky se jmenuje CPaaS.

„Zákazníci dnes poptávají komunikační platformy poskytující nejen bezbřehou flexibilitu v oblasti komunikačních kanálů, zapojení AI, digitalizace ale především řešení, jenž jim umožní konsolidovat informace a data vedoucí k efektivní komunikaci s jejich klienty. Tímto řešením může být právě cloudová CPaaS = Communication Platform as a Service.“ Jak a kde se dá použít, se dozvíte od Marcela Vejmelky v 10 hodin na konferenci.

CPaaS je dnes jedním z nejrychleji rostoucích komunikačních odvětví. Nepřímo ho používá každý z nás, aniž by si to uvědomil, např. při online nakupování nebo provádění mobilních plateb. Z pohledu call centra je to taková nadstavba nad omnichannelem a nabízí přímou integraci cloudových škálovatelných komunikačních služeb v reálném čase. Pomáhá firmám v růstu v podnikání.

Navštivte náš Soitron stánek na konferenci, kde se setkáte s našimi specialisty, získáte důležité poznatky z byznysu, navážete nové kontakty, budete moci prodiskutovat svoje témata a v předstihu se přihlásit na náš seminář, který pořádáme 14. 11. 2023 pod názvem CPaas v ještě větším detailu.

Všechny důležité informace k pořádanému semináři nebo online webináři naleznete ZDE.

Těšíme se na Vás!

Soitron tým

Srovnejte datové centrum do latě! Díky automatizaci

Automatizaci používáme desítky let a pronikla prakticky do všech oblastí podnikání. Není proto nic divného na faktu, že se automatizuje i provoz něčeho tak složitého, jako je datové centrum. I když se pohybujeme ve světě jedniček a nul, přináší automatizace stejné výhody jako třeba v průmyslu: zrychlení všech operací, odstranění rutinních manuálních činností, zvýšení bezpečnosti či vyřešení nedostatku specialistů

Proč do systému, kde na první pohled procesy běží bez zásahu člověka, zavádět automatizací? Laikovi se může zdát, že pokud vše běží hladce, datové centrum přece manuální zásahy nepotřebuje a lidský faktor nastupuje většinou až v případě krize, havárie, výpadku.

Ale filozofie a architektura dnešního IT světa se v posledních letech natolik proměnila, že to bez automatizace skoro nejde. „Mohou“ za to cloudy, konzumace služeb v režimu SaaS a především nové přístupy k vývoji a nasazování všudypřítomných aplikací. Každá firma, která to myslí s digitalizací vážně, musí zavést automatické postupy, protože se starou infrastrukturou prostě v byznysu neuspěje.

Automatizace datového centra je zajištěna softwarem, který zajišťuje centralizovaný přístup ke konfiguraci většiny zdrojů. Díky tomu lze tyto technologií a zdroje ovládat a spravovat jednoduše, a mnohdy bez znalosti technických detailů. Zpřístupňování požadovaných služeb je pak mnohem jednodušší a rychlejší. Z řádu dní a týdnů, které si požadavky na nové aplikace obvykle vyžádaly v minulosti, se posunujeme k jednotkám minut.

Moderní aplikace potřebují automatizaci

K využití automatizačních nástrojů firmy nejčastěji „donutí“ přechod do cloudu nebo do hybridního prostředí, snaha rychle vyvíjet a nasazovat aplikace, či potřeba zrychlit implementaci nových prostředí a snížit závislost na lidských zdrojích.

Doba, kdy se aplikace vyvíjela a testovala v řádu týdnů, či dokonce měsíců je nenávratně pryč. Dnešní aplikace se staví z velkého množství menších celků (tzv. mikroservices), z nichž každý lze nezávisle měnit či upgradovat. A vývoj, testování i nasazování vyžaduje automatizovanou infrastrukturu, která dovoluje rychlé změny a úpravy.

Dalším častým scénářem, který vyžaduje automatizaci, je přechod firmy do cloudu nebo ještě častěji do hybridního prostředí, které kombinuje využití cloudu a on-premise infrastruktury. Zatímco cloudy jsou již na automatizaci připraveny, je třeba i prostředí vlastního datacentra automatizovat a obě prostředí propojit vztahy mezi oběma světy.

A konečně, k nasazení automatizace motivuje snaha o zrychlení implementace nových prostředí a vyřešení problému lidského faktoru. Nedostatek špičkových expertů v IT je dnes všeobecný, takže se ukazuje jako strategicky výhodné, pokud je datové centrum co nejméně závislé právě na tom, jestli někdo firmu opustí či neopustí, zda dělá či nedělá chyby.

Infrastruktura jako kód

Cesta k automatizaci v podání Soitronu vede přes budování platforem pro automatizaci, prostřednictvím kterých se danému prostředí datacentra (cloud, hybridní, on-premise) definují automatizační postupy. Jde vlastně o uplatnění podobného principu, jakým se vytvářejí zdrojové kódy u aplikací. Přepsání celé infrastruktury do kódu (Infrastructure as a code) přináší oproti manuálnímu vytváření prostředí mnoho výhod.

Ve chvíli, kdy je definována pomocí skriptů, se při každém nasazení vytváří stejné prostředí. Tento postup se nejlépe uplatňuje, pokud má zákazník prostředí, které potřebuje centrálně řídit a chce dynamicky měnit jednotlivá aplikační prostředí. Pomocí skriptů lze jednoduchým způsobem provádět změny napříč celou infrastrukturou. Například firma pro všechny databáze definuje, že se budou zálohovat 10 x denně a že ke každé z nich mohou přistupovat předem určení administrátoři. Pak ovšem založí novou pobočku a změní se podmínky. V takovém případě může společnost jednoduše s pomocí skriptů nastavit například zvýšení počtu denních záloh nebo přidat další administrátory s přístupem.

Dokumentace vytváří zálohu infrastruktury

Další výhodou automatizace představuje dokumentace. Prostředí je definováno pomocí kódu, což umožňuje snadno vyčíst, co je v něm nasazeno a jak je vše konfigurováno. Nasazení lze kdykoliv znovu opakovat (jde vlastně o zálohu infrastruktury) třeba v případě havárie nebo lze vytvořit paralelní testovací prostředí.

„Dokumentace navíc řeší i problém personální nahraditelnosti či závislosti, protože ve chvíli, kdy máte kódově definovanou infrastrukturu, může s ní pracovat podstatně širší okruh lidí než jediný ajťák, který si zrovna pamatuje, jak jste to kdysi dělali,“ vysvětluje Zbyszek Lugsch, business development director Soitronu.

Prostředí standardizované pomocí skriptů dovoluje pracovat s ním dalším lidem, kteří mohou zadávat parametry specifické pro konkrétní stroj nebo aplikaci. Skriptování současně dovoluje aplikovat stejnou bezpečnost v celém systému například i při instalaci nových serverů.

Automatizace je projektem na míru

Automatizace datového centra je vždy do značné míry unikátním projektem, protože každá firma používá trochu jiné technologie a nachází se v různém stádiu podpory automatizace. Další postup určuje záměr, například potřeba vytvářet vhodné prostředí pro vývojáře nebo snaha z on premise centra postavit hybridní architekturu apod. Následuje návrh na výměnu, doplnění funkcí, komponent či vrstev datového centra, na což navazuje implementace automatizační platformy a vytvoření skriptů. Vlastní nasazení probíhá tak, že se postupně překlápějí stávající systémy do nového prostředí až do chvíle, kdy je možné „staré“ prostředí vypnout.

A rozjet práci v prostředí, které umožňuje rychlý vývoj a nasazování aplikací, má nižší nároky na personální obsazení a zároveň nabízí vysokou míru bezpečnosti.

#Cisco ExpertTip Martina Diviše, systémového inženýra společnosti Cisco: Nasaďte ICO

Jedním z nejkomplexnějších automatizačních nástrojů je Cisco Intersight Cloud Orchestrator (ICO). ICO představuje platformu poskytovanou jako služba (SaaS), která dovoluje spravovat širokou škálu technologií, jako jsou servery, síťová zařízení, úložiště dat a další napříč celou infrastrukturou firmy.

Hlavní předností ICO je multidoménový a multivendorský přístup, který umožňuje nástroj používat bez ohledu na aktuální implementaci. ICO obsahuje rozsáhlou knihovnu předem připravených úloh, které lze nasadit pro opakující se úkoly nebo procesy ve spravovaných infrastrukturách. ICO pracuje v low code/no code designu a dovoluje úlohy nastavovat a spouštět pomocí drag and drop (táhnutí myší). Je navržen s maximálním důrazem na uživatelskou jednoduchost, což zpřístupňuje automatizační operace velkému okruhu členů IT týmu.

Bezpečnostní úroveň organizací v ČR může zvýšit směrnice NIS2

Evropská směrnice NIS2 (Network and Information Security Directive 2) může českým organizacím přidělat starosti, ale rovněž jim paradoxně pomoci vyřešit problémy v případě kybernetického zabezpečení. Konkrétně těm, které do teď tuto vážnou hrozbu neřešily nebo nemohly obhájit potřebný rozpočet na dostatečně kvalifikované zaměstnance.

Směrnice NIS2 má za cíl zvýšit odolnost digitální infrastruktury EU vůči kybernetickým útokům a zlepšit koordinaci a reakční schopnosti při incidentech. „Právě toto jsou aspekty, ve kterých celá řada subjektů nejen v Česku chybuje. Je to dáno tím, že na trhu je nedostatek IT odborníků, a ještě méně expertů na kyberbezpečnost. Protože subjekty, kterých se směrnice nově týká, budou muset zajistit, aby jejich IT sítě a informační systémy byly dostatečně chráněny proti kybernetickým hrozbám, může se tento problém ještě prohloubit,“ uvádí Petr Kocmich, Global Cyber Security Delivery Manager společnosti Soitron.

Co směrnice mění

Dotčené instituce musí implementovat opatření pro prevenci kybernetických útoků a rizik, jako jsou například pravidelné aktualizace softwaru, zabezpečení síťových zařízení a ochrana před phishingovými útoky. Navíc si musí připravit plány pro případ kybernetických incidentů a zřídit mechanismy pro jejich rychlé a účinné řešení.

Důležité incidenty bude nutné hlásit do 24 hodin od jejich zjištění a spolupracovat s národními bezpečnostními orgány. Pokud by společnosti nebyly schopny splnit tyto požadavky, hrozí jim pokuty a další sankce.

Dvě mouchy jednou ranou

Bylo by skvělé, kdyby NIS2 směrnice pomohla skoncovat s nedostatkem odborníků na kybernetickou bezpečnost. Nicméně to se nejspíš nepodaří, a na první pohled by se dokonce mohlo zdát, že se problém ještě prohloubí. Regulace je však výbornou příležitostí, jak organizace zabezpečit. S tím hravě pomohou externí dodavatelé kybernetické bezpečnosti, kteří disponují dostatečnými kapacitami tam, kde organizacím chybí. „Specializované firmy se totiž zaměřují právě na poskytování těchto služeb a mohou pomoci subjektům implementovat bezpečnostní opatření a řízení rizik, a to kompletní formou, tedy službou na klíč nebo formou dodávky řešení včetně podpory, stejně tak zajistí splnění požadavků směrnice NIS2,“ uvádí Petr Kocmich.

Specializované firmy mimo jiné mohou pomoci vyřešit nejen nový požadavek, ale i předchozí „nedotažení“ zabezpečení IT infrastruktury a informačních systémů subjektů. Nicméně, i když instituce využijí služeb těchto dodavatelských firem, odpovědnost je stále na jejich straně, proto by si měly dodavatele pečlivě vybírat a zjistit, zda mají dostatečnou kvalifikaci, zkušenosti a osvědčení.

Důležité je rovněž se postarat o správné zadání úkolů a kontrolu výkonu služeb dodavatelem. V zájmu zajištění efektivity a účinnosti tohoto modelu by měly být úkoly a odpovědnosti jasně definovány ve smlouvě mezi organizací a dodavatelem služeb kybernetické bezpečnosti. Je potřeba si totiž uvědomit, že kvalita dodávané služby mnohdy reflektuje kvalitu a schopnosti řízení dodavatele.

Koho se NIS2 týká a od kdy bude platit

Směrnice pro firmy v Česku bude znamenat větší povinnosti v oblasti kybernetické bezpečnosti a ochrany sítí a informačních systémů. Nicméně přinese i zvýšenou ochranu a odolnost proti kybernetickým hrozbám a větší spolupráci mezi evropskými státy v této oblasti. V neposlední řadě, splnění požadavků NIS2 může pomoci organizacím získat důvěru svých zákazníků a partnerů, kteří budou spokojenější s ochranou svých dat a informací. Celkově by směrnice mohla pomoci subjektům zlepšit bezpečnostní postupy a minimalizovat rizika.

NIS2 se vztahuje na výrobce elektřiny, poskytování zdravotní péče, poskytování služeb elektronických komunikací, ale také na další z více než 60 služeb roztříděných do 18 odvětví. V Česku novinka začne platit 16. října 2024 a týkat se bude až patnácti tisíc subjektů – středních a velkých firem nad 50 zaměstnanců nebo firem s ročním obratem nad 250 mil. Kč. Přestože je směrnice NIS2 platná pouze pro organizace, které splňují definovaná kritéria, a ostatní tak požadavky nejsou přímo povinné splňovat, je vhodné zauvažovat o tom, zda ji nevyužít jako doporučení pro zlepšení obecné kybernetické bezpečnosti i v dalších podnicích.

Šance i pro další subjekty

„Odhadem až 70 % tuzemských organizací má problém s kybernetickou bezpečností.Zejména menší a střední podniky nemají dostatečně zabezpečené IT systémy a nedodržují základní bezpečnostní opatření,“ říká Petr Kocmich.Častým problémem jsou například benevolentní oprávnění běžných uživatelů, chybějící dvou/více faktorové ověření v kombinaci se slabými hesly (i administrátorů), chybným řízením a decentralizací uživatelských identit, zastaralý a nezáplatovaný hardware a software obsahující zranitelnosti, chybějící síťová segmentace, slabá nebo chybějící ochrana e-mailových služeb a přístupu k internetu, nedostatečná ochrana perimetru, nízká viditelnost v rámci síťového provozu, nízké nebo chybějící zabezpečení koncových stanic, chybějící centrální logmanagement nebo nedostatečná školení zaměstnanců. „Kybernetická bezpečnost je pro mnoho společností v Česku velkým problémem a pro útočníky mohou být snadnými cíli. Směrnice NIS2 by měla přispět ke zvýšení povědomí a ochraně proti kybernetickým hrozbám,“ dodává Petr Kocmich.

Více informací o povinnosti NIS2 se nachází na speciálním webu (http://nis2.nukib.cz) Národního úřadu pro kybernetickou a informační bezpečnost (NÚKIB).

ChatGPT by podle odborníků mohl výrazně změnit hru v kybernetické bezpečnosti

Od precizního odhalování chyb v programovém kódu, přes napsání celého bloku funkčního kódu z rozmaru, až po zastavení kyberzločinců. Nově spuštěný populární chatovací AI robot ChatGPT společnosti OpenAI mění hru a jeho možnosti jsou prakticky neomezené. Nejen v IT.

Jeho existence se datuje teprve od 30. listopadu loňského roku, nicméně za těch pár týdnů ho objevily již miliony lidí po celém světě. Řeč je o platformě pracující na bázi umělé inteligence, která je schopna odpovědět na každou otázku a poradit s různými problémy. ChatGPT může odpovídat na veškeré obecné dotazy, psát dopisy, básně, články, ale také opravovat programové kódy či je dokonce psát.

Jak AI robot CahtGPT pracuje

Konverzačního chatbota – kterého podporuje i známý vizionář Elon Musk, který se rovněž léta angažuje v umělé inteligenci – vyvinula společnost OpenAI. Protože ChatGPT je navržen tak, aby dokázal vést interakci s lidmi zábavnou formou a odpovídat na jejich dotazy přirozeným způsobem, stal se doslova hitem nejen v odborném kruhu, ale i mezi laickou veřejností. Funguje pomocí analýz obrovského množství textu. Většinou pocházejících z internetu – avšak aktuálně k němu připojen není, což znamená, že vám neřekne, jak včera hrála Sparta s Pardubicemi. Interakci s uživatelem vidí v kontextu, a tak umí přizpůsobit svoji odpověď, aby byla relevantní pro danou situaci. Díky tomu se všichni mohou něco naučit.

Odborníci dokonce naznačují, že AI chatbot má schopnost v budoucnu nahradit vyhledávání Google. „Další jeho velká budoucnost se mu věští i v případě schopnosti psát programové kódy, a to v uživatelem zvolených programovacích jazycích, pomáhat vývojářům při řešení problémů souvisejících s vývojem kódu a jeho chybami a expertům se zabezpečením systémů,“ poukazuje Petr Kocmich, Global Cyber Security Delivery Manager společnosti Soitron.

Jak mohou vývojáři ChatGPT používat

Pro ChatGPT už nyní není problém psát kódy. A to dokonce zcela zdarma. Na druhou stranu – alespoň prozatím – je vhodné se vyhnout tomu, aby chatbot generoval kompletní kódy, zejména ty, které jsou navázané na další. Současná podoba platformy je totiž stále v ranném stádiu vývoje, a tak je naivní, aby programátoři očekávali, že za ně udělá veškerou práci. Přesto nejen programátoři, ale i vývojáři, si jeho služeb mohou cenit.

Využít ho mohou k nalezení chyb v kódu, který napsali. Stejně tak při potížích s laděním kódu, který vytvářeli dlouhé hodiny a věnovali mu velké úsilí a tvrdě na něm pracovali. ChatGPT nejenže umí pomoci najít případnou chybu, respektive problém, ale také může nabídnout jeho možné řešení, které ukončí bezesné noci. Jeho dostatečný výpočetní výkon ušetří hodiny práce s hledáním chyb, a dokonce může pomoci vyvinout zdrojové kódy k testování celé IT infrastruktury.

Existují určitá rizika

Skoro bez nadsázky by se dalo říci, že ChatGPT může kohokoliv proměnit v kyberzločince, a tudíž mu usnadnit provést ransomwarový, phishingový nebo třeba malwarový útok. AI robotu stačí zadat úkol „vygeneruj mi kód pro ransomwarový útok“ a mohlo by se zdát, že je hotovo. Jak však upozorňuje Petr Kocmich, tak snadné to naštěstí není:

„Konverzace jsou pravidelně kontrolovány AI trenéry a odpovědi na dotazy tohoto typu, ale i další potenciálně škodlivé, jsou ChatGPT omezeny, respektive na ně odpoví slovy, že nepodporuje žádné nelegální aktivity.“

Na druhou stranu, i když odmítne odpovědět na tento typ otázek – vyhodnotí je jako potenciálně škodlivé – nikde není psáno, že se k nim skrze něj přece jen nelze dostat. „Problém s těmito ochranami spočívá v tom, že se spoléhají na to, že AI rozpozná, že se uživatel pokouší o získání škodlivého kódu, který lze skrýt přeformulováním dotazů nebo rozložením do více kroků,“ uvádí Petr Kocmich. Nikde přitom navíc není dáno, že nelze použít jiného, podobného AI robota, který by neodmítl tento požadavek splnit.

Jak tedy ChatGPT vnímat

Jak to už na světě bývá, vše má vždy dvě strany mince. Zatímco na jedné straně se může stát, že kyberzločinci AI roboty zneužijí, tak využít je lze i k obraně. Programátoři by se přitom postupem času mohli proměnit v „básníky“. Chatbotu s umělou inteligencí by sdělili, že potřebují napsat takový a takový kód, který by dělal to a nedělal toto, případně mu to popíšou v případové studii a potom už jen počkají až AI robot kód vytvoří.

„Už nyní ChatGPT využívají bezpečnostní týmy po celém světě k obranným účelům, jako je testování kódu, snižování možností kybernetických útoku zvyšováním aktuálně používaných zabezpečení v organizacích a školení například v rámci zvyšování bezpečnostního povědomí,“ sděluje Petr Kocmich a jedním dechem dodává, že na paměti bychom všichni stále měli mít to, že žádný nástroj nebo software není ze své podstaty špatný, dokud není zneužit.

Moderní bezpečnost SASE

Tradiční představa o bezpečnosti zajištěné „uvnitř firmy“ pomocí ochrany perimetru vs. moderní bezpečnost na bázi „zero-trust“, práce odkudkoliv a s prostředky ve firmě i mimo firmu.

IT prostředí ve firmách se v posledních letech proměnilo. Pandemie COVID-19 přinesla změnu způsobu práce, kdy data a aplikace musí být k dispozici i zaměstnancům, kteří nesedí v kancelářích uvnitř firmy. To dramaticky ovlivňuje chápání kyberbezpečnosti. Jak se tomuto trendu přizpůsobit, o tom si náš kolega Petr Kocmich povídal se svým hostem Milanem Habrcetlem ze společnosti Cisco.

Pokud se bavíme o lepší bezpečnosti ve firmách, tak nestačí jen někde něco doplnit k tomu, co jsme měli dříve. Je potřeba nový koncept bezpečnosti, který se označuje jako SASE (Secure Access Service Edge). 78 % firem je teprve někde na své cestě k SASE. Pokud se chcete dozvědět více o tomto konceptu, podívejte se na naše video níže.