Obchádza vaše dieťa pravidlá počítačovej hry? Možno z neho vyrastie etický hacker.

Etický hacker premýšľa ako útočník. Rozdiel je v tom, že pozná hranice, ktoré nesmie prekročiť. Kyberbezpečnosť patrí medzi najrýchlejšie rastúce oblasti IT. Mení ju umelá inteligencia, nové technológie aj čoraz sofistikovanejšie útoky. Na Slovensku už dnes pracujú odborníci, ktorí svoje schopnosti využívajú na ochranu zdravotníckych technológií používaných po celom svete. Odborníkov je však stále nedostatok. Podľa prieskumu agentúry ENISA z konca roka 2025 majú až tri zo štyroch organizácií kritickej infraštruktúry v EÚ – energetika, nemocnice, banky – problém nájsť ľudí s potrebnými bezpečnostnými zručnosťami. Nejde pritom len o počet odborníkov. Až 89 percent organizácií v EÚ uvádza, že im chýbajú konkrétne kyberbezpečnostné zručnosti.

Zatiaľ čo vývojár navrhuje systém tak, aby fungoval správne a bol bezpečný, etický hacker sa naň pozerá z opačnej strany. Zaujíma ho, čo sa stane, ak sa pokúsi urobiť niečo, s čím systém nepočítal. Je to trochu ako pri dome. Ak vývojár postaví pevné dvere a zamkne ich, etický hacker testuje, či sa do domu nedá dostať cez komín, okno, vetraciu šachtu alebo iným spôsobom, na ktorý pri návrhu nikto nemyslel.

„V reálnom hackovaní po každom kroku existuje stotisíc rôznych ‚čo ďalej‘. Niekedy sa zraniteľnosť podarí nájsť za pár minút, inokedy si vyžiada hodiny hľadania. A aj keď sa podarí objaviť slabé miesto, môže pred ním stáť ďalšia vrstva ochrany, napríklad firewall. Úlohou etického hackera je potom overiť, či a za akých podmienok sa dá táto ochrana obísť,“ vysvetľuje Andrej Špuler, ktorý sa venuje kybernetickej bezpečnosti v Siemens Healthineers Slovensko.

Celé testovanie však prebieha v presne dohodnutom rámci. Vopred je určené, čo, kedy a akým spôsobom môže hacker testovať. Práve tento rozdiel oddeľuje etický hacking od neoprávneného útoku.

Hra na mačku a myš, ktorá nikdy nekončí

Jednou z najväčších mylných predstáv o kybernetickej bezpečnosti je, že systém môže byť raz zabezpečený tak, že už bude jednoducho bezpečný. Taký stav neexistuje. Bezpečnosť je neustály pretek medzi novými zraniteľnosťami a spôsobmi, ako ich odhaliť a odstrániť. Keď bezpečnostní odborníci nájdu a opravia jednu cestu dovnútra, útočníci hľadajú a nájdu ďalšiu. Aj preto sa v tejto práci len ťažko dá uviaznuť v stereotype. Každý projekt prináša iný systém, inú technológiu a iný typ výzvy.

Mýtus osamelého vlka je ďaleko od reality

Filmová predstava hackera ako osamelého podivína v kapucni, ktorý sedí v tmavej izbe s energetickým nápojom, je síce vďačná, realita je však oveľa viac o spolupráci.

„Pracujeme v tímoch, často po dvoch či troch. Testované zariadenie či systém si rozdelíme na menšie celky. Každý z nás má silnejšie a slabšie technologické oblasti, takže si navzájom pomáhame. Jeden môže byť silnejší vo webových aplikáciách, iný v reverznom inžinierstve, infraštruktúre alebo cloudových technológiách. Pri medzinárodných projektoch je pritom bežná spolupráca ľudí z rôznych krajín.“ opisuje Špuler.

Pri testovaní zdravotníckych technológií je navyše potrebná mimoriadna opatrnosť. Ak je to možné, používajú sa špeciálne testovacie verzie zariadení, na ktorých možno simulovať aj útoky, ktoré by v reálnej prevádzke mohli systém dočasne vyradiť. Pri niektorých zariadeniach sa však testovanie vykonáva priamo na mieste.

Aké vlastnosti robia dobrého etického hackera?

Dobrý etický hacker potrebuje predovšetkým analytické myslenie. Musí vedieť rozlíšiť náhodnú chybu od skutočnej zraniteľnosti a pochopiť, či sa dá chyba reálne zneužiť. 

Dôležitá je aj vytrvalosť. Prvý, druhý ani piaty pokus často nefunguje. Možno až šestnásty spôsob prinesie výsledok. K tomu sa pridáva schopnosť rýchlo sa učiť a kreativita, nie v umeleckom zmysle, ale schopnosť pozrieť sa na známy problém z uhla, ktorý ešte nikto neskúsil.

Rovnako dôležité je vedieť svoje zistenia vysvetliť. Technicky kritická chyba totiž ešte nemusí znamenať kritické riziko pre firmu.

„Môžete nájsť kritickú zraniteľnosť na nepodstatnom alebo nepoužívanom komponente – technicky to bola výzva, ale reálny dopad zneužitia bude malý. A naopak, zdanlivo drobná chyba na inom mieste môže mať obrovský dôsledok,“ vysvetľuje Špuler.

Pri zdravotníckych technológiách pritom hacker nemusí byť odborníkom na fyziku CT alebo ultrazvuku. Dôležitejšie je pochopiť, aké vstupy systém očakáva, ako spracúva požiadavky a čo posiela na výstupe. 

Profesia s veľkou perspektívou

Nedostatok odborníkov a veľký dopyt po nich nie sú jediným dôvodom, prečo sa tejto oblasti venovať. Je to aj práca, v ktorej sa len ťažko dá uviaznuť v stereotype. Projekty sa menia, každé zariadenie funguje trochu inak a spolu s technológiami sa neustále vyvíjajú aj spôsoby útokov.

Vysoká škola môže byť výhodou, no nie je jedinou možnosťou. Praktické zručnosti sa dajú získavať aj samostatne, napríklad prostredníctvom tréningových platforiem a neskôr ich potvrdiť certifikáciami zameranými na reálne bezpečnostné testovanie. Rozhodujúce tak nemusí byť len to, čo má človek napísané v životopise, ale najmä to, čo dokáže.

Pri zdravotníckych technológiách má táto práca navyše veľmi konkrétny význam. Odhalenie zraniteľnosti nie je len technickým úspechom, znamená lepšiu ochranu údajov a väčšiu bezpečnosť pacientov aj nemocníc.

Ako do hry vstupuje umelá inteligencia?

Umelá inteligencia dokáže výrazne urýchliť analýzu, hľadať vzorce a automatizovať rutinné úlohy. Rutinné a opakujúce sa úlohy riešia AI agenti. Zatiaľ však zaostáva pri objavovaní úplne nových tried zraniteľností a pri tvorivom prepájaní súvislostí do reálneho útoku. V systematickom vyhľadávaní a reťazení krokov už však predbieha ľudí aj pri úlohách, ktoré donedávna patrili takmer výlučne do ľudskej kompetencie. 

Zdroje: 
Corporate Cybersecurity Technology – Siemens Healthineers Slovakia
What’s Driving Cybersecurity Investments and where lie the challenges? | ENISA
Building Europe’s Cybersecurity Leaders of Tomorrow
ISC2 Joins Forces with Academia to Build a Stronger EU Cyber Workforce