Rozdíl v kybernetické odolnosti mezi velkými podniky a menšími organizacemi se za pár let změnil z otázky rozpočtu na systémovou propast. Řešením není víc nástrojů, ale sdílená kapacita lidí.

Ještě před pár lety platilo, že rozdíl v kybernetické odolnosti mezi velkou nadnárodní firmou a menší organizací je otázkou rozpočtu, ale zvládnutelný. Letošní zpráva Světového ekonomického fóra Global Cybersecurity Outlook 2026 ukazuje, že se z tohoto rozdílu stala propast, která se dál prohlubuje. Více než jedna ze tří menších organizací dnes hodnotí svoji kybernetickou odolnost jako nedostatečnou – podíl, který se od roku 2022 zvýšil sedmkrát.

Kontrast s velkými podniky je markantní. Mezi organizacemi s ročním obratem nad 5,5 miliardy dolarů popisuje svoji odolnost jako nedostatečnou jen 7 procent. Téměř tři ze čtyř bezpečnostních lídrů oslovených WEF přitom otevřeně říkají, že menší organizace se dnes už nejsou schopny adekvátně samy ochránit proti kybernetickým rizikům. To není hodnocení jednotlivého incidentu – je to přiznání, že model „nakoupíme pár nástrojů a najmeme jednoho správce IT" přestal na dnešní hrozby stačit.

Jádrem propasti jsou lidé, ne technologie. Nedostatek odborných kapacit hlásí 46 procent menších organizací, u velkých podniků je to 29 procent. Ještě výmluvnější je souvislost mezi nedostatkem lidí a celkovou odolností: mezi organizacemi, které svou odolnost hodnotí jako nedostatečnou, chybí podstatné dovednosti a personál v 85 procentech případů. U organizací s vysokou odolností je to jen 22 procent. Jinými slovy – kdo nemá lidi, nemá ani odolnost, ať investuje do technologie sebevíc.

Pro manažery menších organizací, kde často jeden člověk zastává roli CISO, správce sítě i pomoci uživatelům, to je nepříjemná, ale prakticky využitelná zpráva. Znamená to, že prioritou letošního roku by neměl být další nákup bezpečnostního nástroje, ale rozhodnutí, jak zajistit odbornou kapacitu, kterou si organizace sama nemůže dovolit udržet interně. To může znamenat sdílenou bezpečnostní službu s partnerskou organizací, outsourcing monitoringu ke specializovanému poskytovateli nebo účast v odvětvovém sdružení, které sdílí threat intelligence a zkušenosti mezi menšími hráči.

Druhým prakticky využitelným závěrem je, že investice do technologie bez odpovídající kapacity lidí, kteří ji umí provozovat a vyhodnocovat, se z velké části promarní. Než organizace nakoupí další nástroj pro detekci nebo monitoring, měla by si upřímně odpovědět, kdo bude výstupy tohoto nástroje skutečně sledovat a reagovat na ně. Nástroj bez obsluhy jen zvyšuje falešný pocit bezpečí.

WEF ve své zprávě zároveň upozorňuje, že tato propast není jen problémem jednotlivých menších firem – je to systémové riziko pro celý ekosystém, protože menší organizace jsou často dodavateli nebo partnery těch velkých. Nedostatečně chráněná menší organizace se snadno stává vstupní branou k větším cílům, se kterými obchoduje. Investice do kolektivní odolnosti odvětví – sdílené bezpečnostní služby, společné vzdělávání, sdružené nákupy expertízy – proto dává smysl nejen z pohledu jednotlivé firmy, ale i z pohledu celého trhu, ve kterém působí.

Menší organizace nemusí soutěžit s rozpočtem velkého podniku, aby byly odolné. Musí ale přestat řešit kybernetickou bezpečnost jako izolovaný interní projekt a začít hledat způsoby, jak sdílet kapacitu a expertízu s ostatními. Ti, kteří to udělají letos, budou mít o rok náskok před těmi, kteří čekali, až je k tomu donutí incident u některého z jejich partnerů.