Podobné zprávy už tady byly: kybernetická rizika spojená s datovými centry rostou, ale zůstávají podceňována. Tentokrát to uvádí společnost S&P Global Ratings, přední poskytovatel ratingů, výzkumu a analýz. Ve své nové zprávě s názvem Data Center Cyber Risk Is Increasing And Underrecognised (Kybernetická rizika datových center rostou a nejsou dostatečně detekována) se agentura zaměřuje na to, jak by rostoucí propojení provozních technologií (OT) a IT systémů spolu s rychlým rozvojem infrastruktury pro AI mohlo zvýšit potenciální dopad takových incidentů.
Mohlo by vás zajímat: ČAP: „Normální řízení“ si v září vyžádalo 46 životů!
Datová centra podle S&P nezadržitelně nabývají na významu pro cloud computing, AI, finanční služby, zdravotnictví, telekomunikace i veřejnou správu. Protože se kritické úlohy soustřeďují ve větších zařízeních a u menšího počtu poskytovatelů, mohly by důsledky úspěšného kybernetického útoku podle agentury přesáhnout jednoho zákazníka a zasáhnout více odvětví.
Analytička S&P Cristina Polizu uvedla: „Kybernetický útok na datové centrum, jeho provozovatele nebo někde v rámci komplexního dodavatelského řetězce tohoto odvětví by mohl zasáhnout více nájemců současně, s potenciálně rozsáhlými finančními a provozními dopady.“ Dodala, že ochrana před riziky datových center obvykle není hlavní prioritou bezpečnostních týmů nájemců, a obranné nástroje se navíc stále vyvíjejí.
Investiční boom táhne poptávku po kapacitě
Rozvoj AI podle S&P zvyšuje poptávku po výpočetní kapacitě. Agentura poukázala na investice společností Amazon, Microsoft, Alphabet, Oracle, Meta a SpaceX, jejichž souhrnné kapitálové výdaje mají v roce 2027 překročit 1,3 bilionu USD. V roce 2026 přitom dosáhnou zhruba 870 miliard USD po loňských přibližně 470 miliardách USD. Velká část těchto výdajů má podle očekávání směřovat do infrastruktury datových center.
Moderní datová centra jsou závislá na propojených systémech, které řídí například chlazení, rozvod elektřiny, záložní generátory, protipožární systémy a monitoring prostředí. Systémy, které byly dříve izolované, se stále častěji spravují na dálku a jsou napojeny na širší IT sítě, což vytváří další potenciální kanály pro kybernetické útoky.
S&P odkázala na průzkum institutu SANS z roku 2025, podle něhož 58 % útoků na OT využilo jako vstupní bod kompromitaci IT. Podle společnosti Cyble Research & Intelligence Labs navíc 152 dodavatelů průmyslových technologií zveřejnilo v roce 2025 více než 2 400 zranitelností systémů průmyslového řízení.
Rizika v dodavatelském řetězci
Rizika se podle S&P šíří i do širšího dodavatelského řetězce datových center. Provozovatelé se spoléhají na externí dodavatele zařízení, údržby a vzdáleného monitoringu, a ti mohou do prostředí vnášet další software, firmware, aplikační rozhraní (API) a body vzdáleného přístupu. Slabé bezpečnostní kontroly nebo neaktualizované systémy by mohly útočníkům otevřít cestu k fyzické infrastruktuře.
Odpovědnost za řízení těchto rizik podle agentury částečně závisí na provozním modelu datového centra. Při spravovaném hostingu (managed hosting) obvykle zařízení i hostované vybavení řídí provozovatel, zatímco zákazníci využívající kolokaci (colocation) zpravidla zůstávají odpovědní za své servery, úložiště a síťové prvky. U modelu „powered shell“ (pronájem technologicky připravené budovy s napájením a datovou konektivitou) přebírají nájemci větší odpovědnost za provoz infrastruktury a podnikové datové centrum vlastní a provozují přímo organizace, které je využívají.
Tyto rozdíly mohou ovlivnit finanční důsledky incidentu. Organizace, které spravují vlastní infrastrukturu, nesou podle S&P obecně větší odpovědnost za odolnost, zatímco zákazníci spravovaných služeb jsou více závislí na svých poskytovatelích. Výpadek infrastruktury u některých modelů kolokace nebo spravovaného hostingu by navíc mohl spustit smluvní ustanovení, včetně dohod o úrovni služeb (SLA), které ovlivňují platby nájemců.
Za klíčové hrozby pro IT systémy nájemců S&P označila kompromitované přihlašovací údaje, sociální inženýrství a slabiny v řízení přístupu. U OT systémů datových center upozornila na vystavené nebo slabě zabezpečené sítě a na aktivity zevnitř organizace, včetně nechtěného či záměrného zneužití oprávněného přístupu.
Mohlo by vás zajímat: Jak opravdu dopadne „lepší penzijko“ v roce 2029?
Koncentrace a dopady na finanční sektor i veřejnou správu
Další oblastí obav je koncentrace infrastruktury. Větší zařízení mohou hostit stále kritičtější úlohy, a přitom provozovatelé s omezeným počtem velkých lokalit mohou mít menší diverzifikaci. S&P zároveň upozornila na soustředění cloudových služeb u Amazon Web Services, Microsoft Azure a Google Cloud: incident, který by zasáhl významnou část provozu jednoho z poskytovatelů, by mohl mít následky pro řadu zákazníků.
Finanční instituce jsou na cloudové infrastruktuře stále více závislé a služby jako platby, obchodování či online bankovnictví by mohly být zasaženy výpadky u provozovatelů datových center nebo sdílených technologických poskytovatelů. S&P poznamenala, že banky a infrastruktury finančních trhů mají obvykle zavedené procesy řízení kybernetických rizik a obnovy, ale tato opatření podle ní nemohou zcela odstranit rizika spojená s třetími stranami a koncentrací infrastruktury.
Podobné závislosti existují i ve veřejném sektoru. Místní samosprávy a veřejné služby využívají datová centra například pro tísňovou komunikaci, chytrou infrastrukturu, řízení elektrických sítí a ukládání administrativních a soudních záznamů.
Potenciální finanční dopad sahá také do projektového a strukturovaného financování. Kybernetický incident v provozu datového centra by podle S&P mohl snížit vytížení kapacit nebo příjmy od nájemců. Rezervní účty a pojištění mohou před následným tlakem na cash flow poskytnout jistou ochranu.
Pojišťovny: nové příležitosti i složité upisování
Pro pojistitele podle S&P rychlá expanze hyperscale datových center přináší nové obchodní příležitosti, ale také komplikované výzvy při upisování rizik. Agentura odhaduje, že hyperscale provozy by mohly v roce 2026 vygenerovat přibližně 10 miliard USD nového pojistného a celková pojistitelná aktiva by do roku 2027 mohla přesáhnout 2 biliony USD.
S&P také upozornila na možné mezery mezi kybernetickým a majetkovým pojištěním, protože digitální a fyzická rizika jsou stále více propojená. Jediný incident ve velkém zařízení by mohl vést k nárokům z majetkového i kybernetického pojištění, z přerušení provozu, z pojištění profesní odpovědnosti v oblasti technologií a z odpovědnosti vůči třetím stranám, a to od více pojištěných najednou.
Odolnost mohou organizace podle S&P posílit například segmentací sítě, vícefaktorovým ověřováním, aktualizacemi softwaru, přístupem zero trust (model nulové důvěry), monitorovacími systémy, plánováním obnovy po havárii a školením zaměstnanců. Agentura rovněž zdůraznila potřebu řídicích mechanismů, které pokryjí IT i OT.
Mohlo by vás zajímat: Petr Procházka: Není rozhodující jen mít ŽP. Zásadní je jeho konkrétní nastavení
Závěr
Podle S&P se z kybernetické odolnosti datových center stává širší otázka kontinuity podnikání, financí a provozu. Zařízení jsou větší, propojenější a koncentrovanější, takže dopady incidentu by mohly přesáhnout jednoho provozovatele či nájemce a zasáhnout širokou skupinu firem i poskytovatelů infrastruktury. Pro investory, banky i pojišťovny to znamená, že riziko neleží jen u samotných provozovatelů, ale v celém řetězci závislostí, od dodavatelů přes cloudové giganty až po koncové zákazníky. Rostoucí investice do AI infrastruktury proto budou vyžadovat i odpovídající investice do bezpečnosti a jasné rozdělení odpovědnosti.
Komentáře
Přidat komentář