Kyberbezpečnost ve školách: Když ani minimum není dosažitelné

„Občas zjistíme, že jsme řediteli něčeho, čemu se říká škola a jejíž hlavním cílem je vzdělávání a výchova budoucích občanů naší země.“ Tato věta z dopisu jednoho ředitele školy vystihuje absurditu situace českého školství.

Školy mimo regulaci, ale ne mimo problém

Pravda, většina škol nebude spadat pod přísnou regulaci nového zákona o kyberbezpečnosti jako regulovaná služba. To ale neznamená, že problém kyberbezpečnosti neexistuje. Naopak – školy dnes spravují stovky digitálních zařízení, rozsáhlé sítě a citlivá data tisíců žáků. Přitom nemají ani základní prostředky na to, aby zajistily alespoň elementární kybernetickou ochranu.

Realita: Žádné IT oddělení, žádné kapacity

„Nemáme IT oddělení a je v podstatě nemožné daným postupům dostát,“ popisuje situaci jeden z ředitelů. Zatímco firmy s menším počtem počítačů mají specializované týmy, školy se stovkami zařízení spoléhají na učitele informatiky nebo externího technika, který přijede jednou za měsíc.

Představte si situaci: škola má 300 počítačů, desítky tabletů, interaktivní tabule, školní informační systém s daty všech žáků, ale žádného IT specialistu. Když se objeví bezpečnostní problém, řeší ho ředitel nebo zástupce mezi vyplňováním výkazů a jednáním s rodiči.

Přetížení systému

Školy dnes řeší každý měsíc desítky nových povinností. Za poslední období to byla požární bezpečnost, ochrana proti útočníkům, GDPR, kamerové systémy, milionové NPO projekty, nový zákoník práce, výkazy P1d... A mezi tím by měly ještě vyučovat děti.

„Z nadmíry povinností de facto rezignujeme a stáváme se pasivními příjemci povelů, jejichž obsah nemůžeme v úplnosti implikovat,“ přiznává ředitel. A právě zde tkví jádro problému s kyberbezpečností.

Rezignace jako reakce na nemožnost

Většina škol na kyberbezpečnost rezignuje už dopředu. Není to nezodpovědnost – je to realistické zhodnocení situace. Když nemáte odborníky, prostředky ani čas, nejlogičtější reakcí je ignorovat problém a doufat, že se vás netýká.

„Navíc, když mnoho lidí vůbec netuší, o čem že to píšete,“ dodává ředitel s úsměvem. A má pravdu. Požadavky na kyberbezpečnost vyžadují odborné znalosti, které pedagogové nikdy nepotřebovali a které se také nenaučili.

Důsledky nečinnosti

Výsledkem je paradoxní situace: školy, které uchovávají osobní data tisíců dětí a rodin, nemají často ani základní zabezpečení. Hesla jsou „heslo123“, aktualizace se nedělají měsíce, zálohy neexistují nebo jsou uložené na stejném serveru jako originální data.

Když přijde kyberútok – a přijde, protože školy jsou snadným terčem – způsobí to chaos. Ztracená data žáků, nefunkční systémy, vyděšené rodiče a mediální pozornost. Ale do té doby? Do té doby je to problém, který „neexistuje“.

Začarovaný kruh

Školy nemají prostředky na kyberbezpečnost, protože není povinná. Není povinná, protože by ji stejně nezvládly implementovat. Takže zůstává ve stavu, kdy všichni vědí, že problém existuje, ale nikdo ho neřeší.

Zatímco se vedou debaty o tom, které školy budou nebo nebudou regulované, skutečná kyberbezpečnost českého školství zůstává na úrovni „doufáme, že se nám nic nestane“.

Co dál?

Řešením není další zákon nebo metodický pokyn. Řešením je realistické zhodnocení toho, co školy skutečně potřebují a dokážou zvládnout. Pokud chceme, aby byly školy alespoň trochu zabezpečené, musíme jim dát konkrétní podporu: IT odborníky, jasné postupy a především prostředky na implementaci.

Dokud se to nestane, zůstane kyberbezpečnost škol v rukách ředitelů, kteří „občas zjistí, že vedou školu“ a kteří mezi výukou dětí a vyplňováním formulářů řeší i to, jestli jejich síť není právě napadená hackery.

„Prosím tedy o pochopení a jistou míru trpělivosti,“ píše ředitel. Otázka je, jestli na trpělivost máme čas, když jsou data našich dětí každý den v ohrožení.