Právní aspekty kybernetické bezpečnosti

Technologie v dnešní době obklopují člověka na každém kroku a vytvářejí již poměrně ucelenou a propojenou soustavu. Přesto se však v současnosti ještě jedná o jednotlivá do značné míry izolovaná zařízení, která spolu komunikují prostřednictvím lidských uživatelů. Postupující integrace technologií do jednoho celku, kdy již nebudeme posílat zprávy z jednoho přístroje na jiný, ale naopak jednotlivá zařízení nás budou spojitým způsobem obklopovat s tím, že „centrální mozek“ celé platformy bude pravděpodobně umístěný v cloudovém úložišti a bude s námi pouze komunikovat prostřednictvím mnoha „chytrých“ zařízení či pouhých rozhraní.

Společnost historicky používala výdobytků technologického pokroku ke svému vývoji, když hlavní roli hrála zrychlující informační výměna jednotlivých mezi jednotlivými subjekty, založená na postupné digitalizaci prakticky veškerých oblastí společenského života, setrvalém zlevňování technologií a neustálém zvyšování jejich výpočetního výkonu.  Vzniká tak tzv. informační společnost, která bývá definována jako společenství lidí, kde informace jsou šířeny do té doby nevídanou rychlostí a jednotliví lidé jsou také neobvykle snadno a rychle informovaní o jakýchkoli událostech.[1] Dochází díky tomu ke strukturálním změnám společnosti, v jejich ekonomickém chování (převažují jiná pracovní odvětví, mění se způsoby výroby, vznikají nové profese). Někteří autoři za znak informační společnosti považují skutečnost, že se převážná většina hospodářské činnosti z tradičních „materiálních“ odvětví (výroba v továrnách, poskytování klasických služeb apod.) překlopí do nových informačních odvětví (zpracování informací, analýza informací, šíření informací),[2] jiní naopak spatřují jako zásadní symptom informační společnosti fakt, že veškerá ekonomická odvětví včetně těch zcela tradičních jako např. zemědělství jsou transformována tak, že v masivním měřítku získávají a analyzují dostupné informace.[3]  

V tuto chvíli se jeví jako nejvíce pravděpodobný další rozvoj technologického řetězce, kdy veškerá zařízení, která denně používáme (automobil, počítač, mobilní telefon, pračka, lednice, televize), budou navzájem ve spojení. Na jednu stranu se tím otvírají úžasné možnosti, přinášející člověku větší svobodu (pračka sama vypere, lednice sama objedná docházející potraviny, automobil sám vybere cestu domů a sám ji také odřídí, apod.), na druhou stranu tento vývoj přináší také nevídané bezpečnostní a právní hrozby, kterým je nutné předem čelit (automobil chybnou navigací způsobí dopravní nehodu, lednice nakoupí nesmyslné množství potravin či nás začne nutit konzumovat jídla, která jsou pro člověka „nejvhodnější“, mobilní telefon se vypne poté, co přesáhneme doporučenou maximální denní dobu sledování jeho obrazovky, apod.).

S novými technologiemi a rozvojem informační společnosti se pak pojí tzv. právo na informační sebeurčení jednotlivce,[4] které zahrnuje jednak aktivní právo na čerpání informací a jejich zpracování a další šíření, ale také pasivní možnost člověka  rozhodovat o míře dostupnosti a rozsahu užití jeho osobních údajů. Přesný rozsah práva na informační sebeurčení je determinován dostupnými technologiemi, neboť bez jejich existence není možné ani uvažovat o právních limitech využívání nových informací, které takové technologie učiní široce dostupnými.

Tak např. v dnešní době existují již technologie na automatické rozpoznávání obličeje, které jsou v západním světě používané spíše jen tajnými službami nebo v případě zvýšeného rizika např. na letištích, ale v některých jiných zemích jako Čína jsou naopak cíleně používány ke pronásledování nežádoucích skupin obyvatel, či dochází k vytváření určitého „skóre života“ konkrétních osob na základě jejich chování a podle dosažených hodnot je pak s nimi ze strany veřejné moci různým způsobem nakládáno (mají či nemají povolené určité aktivity). Stejně tak je dnes běžně používána technologie rozpoznávání dalších biometrický dat jako např. otisku prstu při používání mobilu, bankovních aplikací apod.

Postupně vzniká propojený technologický systém nazývaný „internet věcí“, kdy jednotlivá zařízení jsou stále ve větším rozsahu schopná ovlivňovat náš lidský materiální svět a způsobovat v tomto světě konkrétní následky. Kybernetické útoky směřované např. na nemocnice v ČR ale i jinde ve světě, způsobují závažné výpadky ve schopnosti léčit, neboť bez konkrétních zdravotních přístrojů nejsou lékaři schopni určité výkony provádět. Útok na IT infrastrukturu ve formě úmyslného vypojení semaforů v celém městě pak může způsobit řadu dopravních nehod. Automatické vyhledávání a sledování konkrétní osoby podle jejího obličeje může být použito v případě závažné kriminality, ale také zneužito ke sledování např. politických odpůrců.

Na stranu jednou platí, že právo téměř vždy reaguje na nové společenské situace až s určitým zpožděním, proto není překvapivé, že i popisovaných případech je pozadu za technologickým vývojem. Na druhou stranu však v posledních letech dochází ke zrychlení tohoto vývoje a stoupá míra rizika zneužití či špatného fungování nových technologií a také eventuální negativní dopady takového zneužití. Proto se zřejmě poprvé v historii vážně diskutuje o preventivním zákazu některých technologií, resp. jejich omezeném testovacím provozu, jenž by fungoval tak dlouho, dokud bychom řádně nevyhodnotili veškerá rizika spojená s jejich provozem a dokázali nastavit účinná právní pravidla pro jejich kontrolu a efektivní sankce za porušení těchto norem.

Právě ochrana práva na informační sebeurčení je určitým protipólem snah o zaváděn pravidel kybernetické bezpečnosti, které by přitom shora uvedené právo neměly bezdůvodně jakkoli omezovat. Definice bezpečnosti je předmětem spíše jiných vědních odvětví, než je právo, přičemž spadá zejména do oblasti mezinárodních vztahů či bezpečnostní studia a obvykle se shrnuje do vysvětlení, že bezpečností se rozumí „stav, kdy jsou na nejnižší možnou míru eliminovány hrozby pro objekt a jeho zájmy a tento objekt je k eliminaci stávajících i potenciálních hrozeb efektivně vybaven a ochoten při ní spolupracovat.“[5]

Pokud jde konkrétně o kybernetickou bezpečnost, ta pochopitelně specificky směřuje k ochraně informačních hodnot, nicméně má některé zcela výjimečné charakteristiky. Za klasickou definici kybernetické bezpečnosti bývá považována tzv. triáda CIA, která zahrnuje zajištění důvěrnosti (confidentiality), zajištění integrity (integrity) a zajištění dostupnosti (availability) všech prvků daného informačního systému.[6]

Důvěrností se rozumí ochrana dat v informačním systému před jejich nelegálním zpřístupněním ze strany třetích osob, což souvisí s nutností identifikace každé osoby, která k datům přistupuje (autentizace), a vyhodnocení, zda taková osoba disponuje dostatečným oprávnění, aby data mohla oprávněně získat (autorizace).

Integritu chápeme jako vlastnost informačního systému, která zabraňuje nepovolené a tajné změně jakýchkoli dat v tomto systému. Zajištění integrity úzce souvisí s věrohodností celé informační platformy a je naprosto klíčová pro právní jistotu všech uživatelů daného informačního systému.

Konečně dostupnost informačního systému bývá definována jako zajištění spolehlivého přístupu k daným informací kdykoli je to ze strany uživatelů potřebné. Zde je klíčový požadavek na rychlost celého systému, neboť pozdě získaná informace již nemá pro uživatele v některých případech žádnou hodnotu, a dále požadavek na spolehlivost přístupu, který musí fungovat předepsaným způsobem za všech okolností.

Pro české čtenáře je nutné zdůraznit vzájemnou komplementaritu bezpečnostních pojmů „safety“ a „security“, která v angličtině označují jiný typ bezpečnosti. Platí, že „safety“ směřuje terminologicky k zajištění bezpečnosti systému proti nedbalostnímu jednání jednotlivce, pojem „security“ popisuje zabezpečení informačního systému proti úmyslným hrozbám ve formě cíleného útoku.[7]

Zásadní právní otázkou v oblasti kybernetické bezpečnosti je nalezení vyváženého kompromisu mezi pokud možno minimálním omezením individuálních svobod (např. svobody projevu) v informačních systémech a zajištění dostatečné bezpečnosti v těchto platformách. Státní moc na jednu stranu je povinna zajistit bezpečnost svých občanů a svrchovanost své země, na druhou stranu toho nemůže dosahovat způsobem, který zjevně narušuje jejich ústavní práva. Nejznámějším případem je rozsáhlé rozšíření odposlechů telekomunikačních zařízení i internetových informací ze strany NSA ve Spojených státech po útocích z 11.9.2011, které bylo posléze shledáno nelegální a z podstatné části zastaveno.[8] V českém prostředí lze zase zmínit vadnou implementaci Směrnice 2006/24/ES provedenou českým zákonem č. 127/2005 Sb., o elektronických komunikacích, v platném znění, který přitom plošným uchováváním provozních a lokalizačních údajů z preventivních důvodů porušoval ústavní práva občanů a proto také byly příslušná ustanovení pro rozpor s ústavním pořádkem ze strany Ústavního soudu ČR zrušena.[9]

Další právní výzvou v souvislosti kybernetickou bezpečností je pak otázka míry privatizace bezpečnosti přenosem některých pravomocí na jednotlivé soukromoprávní subjekty. Na jedné straně pro stát bývá finančně výhodnější a efektivnější svěřit provozování nejrůznější kritické infrastruktury soukromým osobám, na stranu druhou však komerční sektor postupuje podle maximy nákladové efektivity a nikoli podle principu maximální bezpečnosti. Vzniká tak opět otázka proporcionality daného přístupu, přičemž je vhodné doporučit intenzivní diskuze mezi veřejnými institucemi a soukromým sektorem při přípravě jakýchkoli legislativních úprav kybernetické bezpečnosti.