CRA se vztahuje na všechny produkty s digitálními prvky, které lze připojit k síti nebo jinému zařízení. Zahrnuje embedded systémy, IoT, síťová zařízení, software i mikrokontroléry. Výjimku tvoří např. zdravotnické prostředky, automotive a určité open-source softwary.

Výrobci musí zavést cyklické hodnocení rizik během vývoje a provozu. Používají se nástroje jako QuBA nebo MoRA, metodiky jako NIST a principy Secure by Design. Bezpečnost musí být součástí všech fází SDLC – od návrhu (threat modeling, secure architecture) přes vývoj (SAST/DAST, secure coding) až po nasazení (secure boot, OTA aktualizace).

Výrobci musí reportovat aktivně zneužité zranitelnosti do 24 hodin. Využívá se koordinovaný disclosure proces včetně notifikace CSIRT, ENISA a zákazníků.

AI systémy jsou často zpřístupněny prostřednictvím rozhraní API, což je praktické, ale zároveň zvyšuje plochu útoku, pokud nejsou API odpovídajícím způsobem chráněna. Studie společnosti Orca Security z roku 2023 například zjistila, že 45 % úložišť v rámci Amazon SageMaker – populární AI platformy – využívá výchozí nezabezpečené nastavení, což znamená otevřený přístup k citlivým datům a modelům bez autentizace.

Organizace, které zavádějí AI technologie bez centrální správy nebo bezpečnostního dohledu, jsou zranitelné vůči útokům, jež nemají v tradičních IT systémech obdobu. Klíčová opatření zahrnují:

Rozvoj umělé inteligence nepřináší pouze zvýšení produktivity a efektivity, ale také zásadně mění charakter kybernetických hrozeb. Mezi nejrychleji se vyvíjející a zároveň nejzávažnější hrozby patří nové formy sociálního inženýrství, které využívají generativní AI k vytváření realistických podvodných obsahů – tzv. deepfakes. Nekontrolovaná adopce AI v organizacích výrazně zvyšuje riziko, že se zaměstnanci, procesy nebo technologie stanou cílem těchto útoků.

Tradiční phishingové e-maily bývaly poměrně snadno rozpoznatelné díky jazykovým chybám nebo neautentickému obsahu. S využitím generativní AI je možné automatizovaně generovat vysoce personalizované zprávy, které přesně imitují jazyk, tón a kontext komunikace konkrétního uživatele nebo vedoucího pracovníka. Takové útoky (tzv. spear phishing) jsou mnohem efektivnější a hůře detekovatelné i pro pokročilé e-mailové filtry.

Deepfake technologie umožňuje vytvářet falešné video- a audiozáznamy, které jsou na první pohled nerozeznatelné od autentických. V kontextu firemního prostředí se tato technologie využívá k:

Moderní AI dokáže na základě několika sekund záznamu vygenerovat hlasovou repliku konkrétní osoby (např. ElevenLabs, Resemble.ai), včetně tónu, intonace a jazykových vzorců. Útočníci tímto způsobem imitují hlasy výkonných ředitelů nebo finančních ředitelů a provádějí telefonické podvody s cílem autorizovat transakce, změnit čísla účtů nebo získat přístup k důvěrným údajům. Vzhledem k důvěře v hlas jako autentifikační faktor se jedná o velmi nebezpečnou techniku.

S pokročilou AI je nyní možné v reálném čase upravovat obsah konverzací, a to jak textových (např. v chatovacích aplikacích), tak hlasových. To umožňuje:

Aby se organizace účinně bránila těmto novým typům hrozeb, musí přistupovat k ochraně před deepfakes a AI-enhanced sociálním inženýrstvím jako ke strategickému bezpečnostnímu riziku:

Nekontrolovaná adopce nástrojů umělé inteligence v organizacích – známá jako shadow AI – představuje zásadní výzvu pro kybernetickou bezpečnost, ochranu dat i regulatorní compliance. Ačkoli AI nabízí obrovský potenciál pro zvyšování efektivity a automatizaci firemních procesů, její neregulované využívání zaměstnanci mimo dohled IT a bezpečnostních týmů vytváří nové, často obtížně detekovatelné rizikové scénáře.

Firmy dnes čelí nejen riziku úniku důvěrných informací, duševního vlastnictví a osobních údajů, ale i specifickým technickým hrozbám včetně otravy trénovacích dat, prompt injection útoků či zneužití nezabezpečených API rozhraní. Současně narůstají pokročilé formy sociálního inženýrství, jako jsou AI-generované phishingové útoky, deepfake nahrávky a hlasové klonování, které oslabují důvěru v interní i externí komunikaci.

Z pohledu odpovědného řízení je proto nezbytné, aby organizace:

Pouze tak lze využít přínosy AI, aniž by došlo k ohrožení bezpečnosti, důvěryhodnosti a právní odpovědnosti organizace.

AI není jen technologie, ale strategický partner pro růst. V ACRESIA Consulting pomáháme firmám implementovat umělou inteligenci tak, aby:

Naše řešení stavíme na třech pilířích: vaše obchodní cíle, ověřené AI nástroje a transparentní etické standardy.