Když se katastrofa nestane, prevence vypadá jako zbytečný výdaj

Rozbitý most, vytopená čtvrť nebo zašifrovaná nemocnice mají fotografie, účty a viníky. Katastrofa, které se podařilo zabránit, po sobě nechá hlavně ticho. Právě proto je snadné zaměnit účinnou ochranu za peníze vyhozené na problém, který „stejně nepřišel". Poctivá obhajoba prevence ale nemůže stát na víře. Musí ukázat riziko, důvěryhodný scénář bez zásahu, skutečný účinek i cenu omylu.

ÚSPĚCH, KTERÝ VYPADÁ JAKO PRÁZDNO

Oprava po havárii má přirozeně přesvědčivý příběh. Vidíme poškození, sledujeme zásah a nakonec můžeme spočítat, kolik stálo vrátit věci do provozu. Prevence převrací toto pořadí. Peníze se vydají dnes, zatímco výsledek může přijít za deset let, nebo se nemusí projevit nikdy. Když ochrana zafunguje, nevznikne dramatický obraz, který by její hodnotu dokazoval. Výzkumníci zabývající se snižováním rizika katastrof proto mluví o „neviditelném úspěchu". Připomínají, že dopad preventivního zásahu se projevuje jako absence škody, menší počet obětí nebo kratší přerušení služby. To svádí k takzvanému zkreslení výsledkem: kvalitu rozhodnutí hodnotíme podle toho, co nakonec nastalo, a přehlížíme, jak rozumné bylo vzhledem k informacím dostupným v okamžiku rozhodování.

JAK SE MĚŘÍ NĚCO, CO SE NESTALO

Každé seriózní hodnocení začíná základním scénářem. Musíme vědět, jaké nebezpečí hrozí, kdo nebo co je mu vystaveno a jak zranitelné jsou dotčené budovy, lidé či systémy. Teprve potom lze popsat mechanismus zásahu. Výsledkem nemá být magické číslo „zachránili jsme 100 milionů", nýbrž interval a soupis předpokladů. Hodnocení má navíc dvě různá časová okna. Před rozhodnutím, ex ante, lze porovnat očekávané škody, náklady variant a rozsah možných výsledků. Po zavedení opatření, ex post, už lze testovat jeho stav, sledovat poruchy, falešné poplachy, časy reakce a skutečné dopady. Ani následné hodnocení však nesmí automaticky připsat každý příznivý výsledek zásahu.

POVODEŇ: ZEĎ JE DRAHÁ, DOKUD NEPŘIJDE VODA

Pražský Karlín nabízí srozumitelný, ale také poučný příklad. Při povodni v roce 2002 bylo z Karlína a Libně evakuováno 28 000 obyvatel, škody na majetku dosáhly 7,2 miliardy korun a voda zaplavila stanice metra Florenc, Invalidovna a Palmovka. Následná protipovodňová ochrana měří 4,2 kilometru a její výstavba stála 643,5 milionu korun. Při povodni v červnu 2013 ochrana odolala, v chráněné oblasti vznikly jen minimální škody a uvedené stanice metra zaplaveny nebyly. Bylo by lákavé vydělit škodu z roku 2002 cenou ochrany a oznámit jedenáctinásobnou návratnost. Takový výpočet by ale předstíral, že povodně z let 2002 a 2013 byly ve všem stejné. Nebyly. Širší evropský model ukazuje opatrnější tvrzení: modelově optimalizované retenční oblasti by v konkrétním scénáři přinesly odhadovaný poměr přínosů k nákladům 4,2 ku 1. To není slib, že každé euro vložené do jakéhokoli valu vrátí čtyři.

VEŘEJNÉ ZDRAVÍ: ZACHRÁNĚNÉ ŽIVOTY NEJSOU POLOŽKY V REGISTRU

U očkování nelze otevřít databázi lidí, kteří by bez vakcíny zemřeli. Výzkumníci kombinují údaje o proočkovanosti, výskytu nemocí, účinnosti vakcín a úmrtnosti s matematickými modely přenosu. Studie z The Lancet v roce 2024 modelovala dopad očkování proti čtrnácti nemocem ve 194 členských státech WHO od června 1974 do května 2024. Autoři odhadli 154 milionů odvrácených úmrtí. Ekonomické hodnocení stejného programu publikované v roce 2026 odhadlo souhrnné náklady na 937 miliard dolarů a odvrácené ztráty produktivity na 15,05 bilionu dolarů. Výsledný globální poměr přínosů k nákladům činil 16,06. Ani toto číslo neříká, že „prevence vrací šestnáctinásobek". Platí pro vymezený program a zvolený kontrafaktuální svět. Stejně důležité je zjištění z opačného konce: Cochraneův přehled všeobecných zdravotních prohlídek nenašel snížení celkové úmrtnosti.

POŽÁRNÍ BEZPEČNOST: NEJCENNĚJŠÍ JSOU MINUTY PŘED PŘÍJEZDEM HASIČŮ

V Česku v roce 2025 vzniklo 19 031 požárů, přímé škody dosáhly 5,27 miliardy korun. Tato čísla popisují viditelnou část problému. Neřeknou, kolik začínajících požárů obyvatelé uhasili po včasném varování. Analýza NIST odhadla, že přítomnost kouřového alarmu zkrátila dobu do nahlášení požáru v průměru o 19,2 minuty. Jiná studie upozornila na výběrový problém: alarm může umožnit uhasit malý požár tak brzy, že se nikdy nedostane do databáze hasičů. Úspěšná prevence může sama odstranit důkaz svého úspěchu ze souboru, podle kterého ji hodnotíme.

NÚKIB evidoval za rok 2025 o 65 incidentů méně než v roce 2024. Současně vzrostla sofistikovanost útočníků a Policie ČR zaznamenala o 14 % více trestných činů v kyberkriminalitě. ENISA analyzovala 4 875 incidentů: DDoS útoky tvořily 77 % událostí, avšak ransomware označila za nejdopadovější hrozbu. Rozpočet orientovaný pouze na nejpočetnější typ události by nemusel chránit před největší očekávanou ztrátou. Smysluplnější ukazatele sledují jednotlivé vrstvy odolnosti: Kolik kritických účtů má vícefaktorové ověření? Jak dlouho zůstává známá zranitelnost bez opravy? Dokáže organizace obnovit klíčovou službu z oddělené zálohy?

KDY SE Z PREVENCE STÁVÁ PLÝTVÁNÍ

Prevence má morální výhodu: kdo by chtěl vystupovat proti bezpečnosti? Právě tato výhoda může zakrýt slabé projekty. Opatření může mířit na zanedbatelné riziko, používat neúčinnou technologii nebo přesunout problém. Analýza 599 studií zdravotní nákladové efektivity upozornila, že velká většina hodnocených preventivních opatření úsporná nebyla. Tvrzení „prevence se vždy zaplatí" je proto stejně nevědecké jako tvrzení „nic se nestalo, takže byla zbytečná". Varovnými signály jsou cíle definované počtem nákupů místo snížením rizika, výpočet návratnosti bez uvedeného základního scénáře nebo odmítnutí nezávislé kontroly.

SEDM OTÁZEK PRO POCTIVÝ ROZPOČET

Před schválením preventivního výdaje by měl být zodpovězen: Jaké přesně je riziko? Jak má zásah riziko změnit? S čím výsledek porovnáváme? Co je pozorování a co model? Jak široce počítáme cenu a přínos? Jaké jsou nežádoucí účinky a nejistota? Kdy projekt znovu prověříme? Takový přístup mění debatu z „bezpečnost za každou cenu" proti „škrtům za každou cenu" na porovnání očekávaných výsledků, nákladů a nejistot.

CENA KATASTROFY, KTERÁ NEPŘIŠLA

Náklady mají fakturu a termín splatnosti. Přínosy jsou rozptýlené, nejisté a často patří lidem, kteří nikdy nezjistí, že byli chráněni. Po několika klidných letech proto začne bariéra nebo očkovací program vypadat jako přepych. Když je zrušíme, ušetřená částka je okamžitá a viditelná. Zvýšené riziko zůstává neviditelné až do dne, kdy už bývá pozdě.

Katastrofa, která nepřišla, sama nic nedokazuje. Dobře navržená prevence však může svou hodnotu doložit ještě dřív, než ji budeme muset potřebovat.

ZÁVĚR

Rozumná společnost se tomuto zkreslení nebrání bianco šékem. Brání se mu kvalitnější evidencí. Uchovává základní údaje, testuje funkčnost, porovnává alternativy, zveřejňuje předpoklady modelů a po události zkoumá nejen selhání, ale také místa, kde opatření škodu skutečně omezila. Účet za prevenci potřebuje dvě kolonky: skutečně zaplacenou cenu a nejlepší dostupný odhad odvrácené ztráty včetně hranic tohoto odhadu.

KDYŽ SE KATASTROFA NESTANE, ÚSPĚCH PREVENCE NENÍ VIDĚT

Rozbitý most nebo zaplavené město zanechá fotografie, škody a účty. Katastrofa, které se podařilo zabránit, po sobě často nechá jen klid. Proto je snadné říci, že peníze na ochranu byly zbytečné, protože „se nic nestalo“.

JAK ROZLIŠIT ÚČINNOU PREVENCI OD ŠTĚSTÍ

Samotná absence škody nic nedokazuje. Je potřeba odhadnout, jaké riziko existovalo bez zásahu, jak měl zásah riziko změnit a co se skutečně stalo při zkoušce. Výsledek bývá spíš rozmezí než jedno jisté číslo.

PŘÍKLAD POVODNÍ

Původní článek připomíná pražský Karlín. Povodeň v roce 2002 způsobila velké škody a vedla k vybudování ochrany. Při další velké vodě v roce 2013 systém odolal a chráněná oblast utrpěla jen malé škody. To je silnější důkaz než pouhé období bez povodně, protože ochrana byla skutečně zatížena.

PREVENCE MŮŽE BÝT I ŠPATNĚ NAVRŽENÁ

Ne každé opatření je automaticky rozumné. Může mířit na zanedbatelné riziko, používat neúčinnou technologii nebo stát tolik, že by stejné peníze zabránily větší škodě jinde. Je proto nutné předem určit, co se bude měřit a kdy se projekt znovu vyhodnotí.

ZÁVĚR

Věta „nic se nestalo“ neříká, zda ochrana fungovala, nebo nebyla potřeba. Poctivé hodnocení srovnává skutečný výsledek s rozumným odhadem světa bez opatření a otevřeně uvádí nejistotu i cenu vedlejších dopadů.

Rozbitý most, vytopená čtvrť nebo zašifrovaná nemocnice mají fotografie, účty a viníky. Katastrofa, které se podařilo zabránit, po sobě nechá hlavně ticho. Právě proto je snadné zaměnit účinnou ochranu za peníze vyhozené na problém, který „stejně nepřišel“. Poctivá obhajoba prevence ale nemůže stát na víře. Musí ukázat riziko, důvěryhodný scénář bez zásahu, skutečný účinek i cenu omylu.

Úspěch, který vypadá jako prázdno

Oprava po havárii má přirozeně přesvědčivý příběh. Vidíme poškození, sledujeme zásah a nakonec můžeme spočítat, kolik stálo vrátit věci do provozu. Prevence převrací toto pořadí. Peníze se vydají dnes, zatímco výsledek může přijít za deset let, nebo se nemusí projevit nikdy. Když ochrana zafunguje, nevznikne dramatický obraz, který by její hodnotu dokazoval. Nevytopený dům vypadá stejně jako dům, kolem kterého žádná velká voda nešla. Server, jenž odolal útoku, vypadá stejně jako server, na který nikdo nezaútočil.

Výzkumníci zabývající se snižováním rizika katastrof proto mluví o „neviditelném úspěchu“. Připomínají, že dopad preventivního zásahu se projevuje jako absence škody, menší počet obětí nebo kratší přerušení služby. To svádí k takzvanému zkreslení výsledkem: kvalitu rozhodnutí hodnotíme podle toho, co nakonec nastalo, a přehlížíme, jak rozumné bylo vzhledem k informacím dostupným v okamžiku rozhodování. Autoři studie o dodatečně zesílených školách v Nepálu proto navrhují porovnávat skutečný výsledek s více pravděpodobnými scénáři, v nichž ochranné opatření chybí. Současně do výpočtu přenášejí nejistotu vstupních dat, místo aby nabízeli jediné sebejisté číslo.[1]

Tato logika neznamená, že každý zakoupený alarm, val nebo bezpečnostní software automaticky něco zachránil. Znamená jen, že otázka „stala se katastrofa?“ je pro hodnocení prevence příliš hrubá. Správná otázka zní: jak se po zásahu změnila pravděpodobnost a možná velikost ztráty oproti situaci bez něj? Odpověď může být kladná, nulová i záporná. Rozdíl mezi nimi musí vytvořit důkazy, ne dobrý úmysl.

Jak se měří něco, co se nestalo

Každé seriózní hodnocení začíná základním scénářem. Musíme vědět, jaké nebezpečí hrozí, kdo nebo co je mu vystaveno a jak zranitelné jsou dotčené budovy, lidé či systémy. Teprve potom lze popsat mechanismus zásahu: hráz má snížit rozsah zaplavení, očkování pravděpodobnost těžkého průběhu, hlásič dobu do odhalení požáru a vícefaktorové ověření šanci, že ukradené heslo otevře účet. Bez této vazby může organizace pečlivě vykazovat počet nakoupených zařízení, školení nebo kilometrů zdi, aniž by věděla, zda skutečně snižují riziko.

Nejspolehlivější důkaz vypadá v každém oboru jinak. Ve zdravotnictví mohou účinek zachytit randomizované studie nebo dobře navržená pozorování. U povodní, které se neopakují ve stejném místě a stejné síle, se používají hydrologické modely, mapy expozice a scénáře vývoje. Požární techniku lze zkoušet v kontrolovaných experimentech a její skutečné použití sledovat v zásahových datech. Kybernetická ochrana se dá prověřovat penetračními testy, simulovaným phishingem, cvičením obnovy a měřením doby detekce. Žádná metoda není bezchybná, ale každá může vyvrátit část pohodlných domněnek.

Výsledkem nemá být magické číslo „zachránili jsme 100 milionů“, nýbrž interval a soupis předpokladů. Kolikrát za rok se daná událost očekává? Jak silná může být? Co všechno počítáme mezi náklady a přínosy? Změnila ochrana chování lidí nebo umístění majetku? Jak citlivý je závěr na cenu lidského času, délku sledování nebo diskontní sazbu? U vzácných katastrof je poctivější říci „model při těchto předpokladech odhaduje“ než „opatření prokazatelně ušetřilo“. Prevence potřebuje sebevědomí založené na datech, ne jazyk jistoty, kterou data neposkytují.

Hodnocení má navíc dvě různá časová okna. Před rozhodnutím, tedy ex ante, lze porovnat očekávané škody, náklady variant a rozsah možných výsledků. Takový model pomáhá vybrat řešení, ale nemůže obsahovat zkušenost z událostí, které teprve přijdou. Po zavedení opatření, tedy ex post, už lze testovat jeho stav, sledovat poruchy, falešné poplachy, časy reakce a skutečné dopady. Ani následné hodnocení však nesmí automaticky připsat každý příznivý výsledek zásahu. Počasí, demografie, chování obyvatel i technika se mezitím mohly změnit. Dobrý projekt proto předem stanoví, která data bude sbírat a podle jakého pravidla svůj původní odhad upraví.

Souhrnná návratnost také může zakrýt, kdo ochranu získal a kdo nese její cenu. Bariéra, která chrání drahou obchodní zónu, může vykázat vysokou hodnotu uchráněného majetku, a přesto odvést vodu k domácnostem s menší schopností obnovy. Digitální kontrola může snížit riziko organizace, ale zároveň vyloučit lidi, kteří nemají vhodné zařízení nebo potřebné dovednosti. A veřejnozdravotní program může být v průměru účinný, zatímco obtížně dostupný právě pro nejvíce ohroženou skupinu. Poctivý účet prevence proto vedle celkového přínosu ukazuje i jeho rozdělení: kdo je chráněn, kdo zůstává mimo, kdo platí a zda opatření nevytváří nové riziko jinde. Bez tohoto pohledu může být projekt efektivní na papíře, ale nespravedlivý nebo křehký v praxi.

Povodeň: zeď je drahá, dokud nepřijde voda

Pražský Karlín nabízí srozumitelný, ale také poučný příklad. Při povodni v roce 2002 bylo z Karlína a Libně evakuováno 28 000 obyvatel, škody na majetku podle hlavního města dosáhly 7,2 miliardy korun a voda zaplavila také stanice metra Florenc, Invalidovna a Palmovka. Následná etapa protipovodňové ochrany Karlína a Libně měří 4,2 kilometru a její výstavba dokončená v letech 2005 až 2006 stála 643,5 milionu korun. Město uvádí, že při povodni v červnu 2013 ochrana odolala, v chráněné oblasti vznikly jen minimální škody a uvedené stanice metra zaplaveny nebyly.[2]

Bylo by lákavé vydělit škodu z roku 2002 cenou ochrany a oznámit jedenáctinásobnou návratnost. Takový výpočet by ale předstíral, že povodně z let 2002 a 2013 byly ve všem stejné. Nebyly. Lišily se průtokem, průběhem, zasaženým územím, připraveností i hodnotou vystaveného majetku. Navíc výraz „minimální škody“ v městském textu popisuje chráněnou oblast, nikoli celou Prahu. Souhrnná zpráva ČHMÚ a Ministerstva životního prostředí vyčíslila škody povodně v červnu 2013 v celé republice na 15,4 miliardy korun, z toho v hlavním městě přibližně na 3,84 miliardy.[3] Pražský příběh tedy dobře ukazuje funkční bariéru, ale sám o sobě není čistým experimentem ani univerzálním výpočtem návratnosti.

Širší evropský model ukazuje, jak má vypadat opatrnější tvrzení. Studie Společného výzkumného střediska Evropské komise odhadla současné roční škody z říčních povodní v Evropské unii a Spojeném království na 7,6 miliardy eur a počet každoročně zaplavením zasažených lidí na přibližně 160 000. Ve scénáři oteplení o 3 °C bez další adaptace by na konci století roční škody mohly vzrůst na 44 miliard eur a expozice téměř na půl milionu lidí. Modelově optimalizované retenční oblasti by v tomto konkrétním scénáři vyžadovaly 2,6 miliardy eur ročně, snížily projektované škody na 8,1 miliardy a přinesly odhadovaný poměr přínosů k nákladům 4,2 ku 1.[4] To není slib, že každé euro vložené do jakéhokoli valu vrátí čtyři. Je to výsledek jednoho evropského modelu, konkrétního klimatického scénáře, souboru opatření a časového horizontu.

Veřejné zdraví: zachráněné životy nejsou položky v registru

U očkování nelze otevřít databázi lidí, kteří by bez vakcíny zemřeli, a jednoduše je sečíst. Existují pouze lidé, kteří zemřeli, a lidé, kteří žijí; u jednotlivce obvykle nepozorujeme obě možné historie zároveň. Výzkumníci proto kombinují údaje o proočkovanosti, výskytu nemocí, účinnosti vakcín a úmrtnosti s matematickými modely přenosu. Výsledkem je odhad rozdílu mezi skutečným světem a světem bez programu.

Studie zveřejněná v časopise The Lancet v roce 2024 modelovala dopad očkování proti čtrnácti nemocem ve 194 členských státech Světové zdravotnické organizace od června 1974 do května 2024. Autoři odhadli 154 milionů odvrácených úmrtí, z toho 101 milionů u dětí mladších jednoho roku.[5] WHO tento výsledek shrnula jako přibližně šest zachráněných životů za každou minutu padesátiletého období.[6] Slovo „odhadli“ je zde podstatné. Číslo není seznam konkrétních osob ani výsledek jediného pokusu; vzniklo spojením několika modelů, datových řad a předpokladů. Právě transparentně popsaný kontrafaktuální scénář mu dává význam.

Ekonomické hodnocení stejného globálního programu publikované v roce 2026 pracovalo s náklady na pořízení a podání vakcín i s náklady rodin. Pro období 1974 až 2024 odhadlo souhrnné náklady na 937 miliard dolarů a odvrácené ztráty produktivity v důsledku úmrtí na 15,05 bilionu dolarů. Výsledný globální poměr přínosů k nákladům činil 16,06, s 95% intervalem nejistoty od 10,62 do 25,20.[7] Ani toto číslo neříká, že „prevence vrací šestnáctinásobek“. Platí pro vymezený očkovací program, použité ocenění produktivity, padesátileté období a zvolený kontrafaktuální svět.

Stejně důležité je zjištění z opačného konce spektra. Cochraneův přehled sedmnácti randomizovaných studií všeobecných zdravotních prohlídek u dospělých bez vybraného rizika nenašel snížení celkové úmrtnosti: poměr rizik byl 1,00 s 95% intervalem spolehlivosti 0,97 až 1,03. Analýza úmrtnosti zahrnovala 233 298 účastníků a 21 535 úmrtí.[8] Neznamená to, že cílený screening nebo pravidelný kontakt s lékařem nemají hodnotu. Znamená to, že široká nálepka „preventivní“ nenahrazuje důkaz účinku pro konkrétní zásah a konkrétní skupinu.

Požární bezpečnost: nejcennější jsou minuty před příjezdem hasičů

Požár je další událost, u které běžně počítáme to, co shořelo, nikoli to, co se podařilo uchránit. Statistická ročenka Hasičského záchranného sboru uvádí, že v Česku v roce 2025 vzniklo 19 031 požárů. Přímé škody dosáhly 5,27 miliardy korun, 93 lidí zemřelo v přímé souvislosti s požárem a 1 572 bylo zraněno.[9] Tato čísla popisují viditelnou část problému. Neřeknou, kolik začínajících požárů obyvatelé uhasili po včasném varování, kolik lidí opustilo byt dříve, než se nadýchali kouře, ani kolik závad odstranila kontrola ještě před prvním plamenem.

Česká vyhláška od 1. července 2008 vyžaduje autonomní detekci a signalizaci požáru v nových a některých rekonstruovaných budovách určených k bydlení. HZS ji doporučuje také pro starší domácnosti.[10] Samotná přítomnost krabičky na stropě však není výsledkem. Rozhoduje její umístění, funkční baterie, schopnost člověka alarm slyšet a volná úniková cesta. Prevence se proto nemá vykazovat jen počtem nakoupených hlásičů, ale také pravidelnými testy jejich provozuschopnosti a tím, zda varování poskytne obyvatelům reálný čas k úniku.

Analýza amerického Národního institutu pro standardy a technologie založená na datech o hlášených požárech odhadla, že přítomnost kouřového alarmu zkrátila dobu do nahlášení požáru v průměru o 19,2 minuty.[11] Je to americký observační výsledek, nikoli přímé měření účinku v českých bytech. Jiná studie NIST navíc upozornila na výběrový problém: alarm může umožnit uhasit malý požár tak brzy, že se nikdy nedostane do databáze hasičů. Ve statistice hlášených událostí pak zůstává nepoměrně více těch závažných.[12] I zde tedy platí, že úspěšná prevence může sama odstranit důkaz svého úspěchu ze souboru, podle kterého ji hodnotíme.

Kyberbezpečnost: méně incidentů nemusí znamenat menší riziko

V digitálním světě je pokušení hodnotit bezpečnost počtem incidentů obzvlášť silné. Jenže pokles může znamenat lepší obranu, menší ochotu hlásit, změnu definice, klidnější aktivitu útočníků nebo prostou náhodu. NÚKIB ve zprávě zveřejněné 21. srpna 2026 uvádí, že za rok 2025 evidoval 203 kybernetických incidentů, o 65 méně než v roce 2024. Současně však podle úřadu vzrostla sofistikovanost útočníků a Policie ČR zaznamenala 21 137 trestných činů v oblasti kyberkriminality a kriminality páchané prostřednictvím internetu, meziročně o 14 procent více.[13] Jediné klesající číslo by tedy vyprávělo zavádějící příběh.

Podobný rozdíl mezi četností a dopadem ukazuje evropská agentura ENISA. Její přehled za období od července 2024 do června 2025 analyzoval 4 875 incidentů. DDoS útoky tvořily 77 procent zaznamenaných událostí, avšak ransomware agentura označila za nejdopadovější hrozbu. U incidentů, kde bylo možné určit cestu prvotního průniku, připadlo 60 procent na phishing a 21,3 procenta na zneužití zranitelnosti.[14] Rozpočet orientovaný pouze na nejpočetnější typ události by proto nemusel chránit před největší očekávanou ztrátou.

Smysluplnější ukazatele sledují jednotlivé vrstvy odolnosti. Kolik kritických účtů má vícefaktorové ověření odolné proti phishingu? Jak dlouho zůstává známá kritická zranitelnost bez opravy? Za kolik minut obrana odhalí simulovaný útok? Dokáže organizace obnovit klíčovou službu z oddělené zálohy a v jakém čase? ENISA ve své technické příručce k řízení kybernetických rizik požaduje pravidelné testování obnovy ze záloh, dokumentaci výsledků a nápravná opatření; četnost testů má vycházet z kritičnosti dat.[15] Rámec NIST CSF 2.0 zase rozděluje výsledky do funkcí řídit, identifikovat, chránit, detekovat, reagovat a obnovit.[16] Bezincidentní měsíc je příjemný. Úspěšně provedená obnova je však mnohem lepší důkaz, že zaplacená odolnost existuje.

Kdy se z prevence stává plýtvání

Prevence má morální výhodu: kdo by chtěl vystupovat proti bezpečnosti, zdraví nebo ochraně dětí? Právě tato výhoda může zakrýt slabé projekty. Opatření může mířit na zanedbatelné riziko, používat neúčinnou technologii, chránit špatné místo nebo stát tolik, že za stejné peníze šlo zabránit mnohem větší ztrátě jinde. Může také přesunout problém: vysoká hráz urychlí vodu směrem k jiné obci, příliš častý falešný alarm naučí lidi varování ignorovat a bezpečnostní kontrola může být tak nepraktická, že ji zaměstnanci začnou obcházet.

Důležité je rozlišovat „šetří peníze“ a „stojí za svou cenu“. Zdravotní zásah může zlepšit nebo prodloužit život a přitom zvýšit celkové výdaje. To z něj samo o sobě nedělá chybu. Analýza 599 studií zdravotní nákladové efektivity publikovaná v New England Journal of Medicine upozornila, že ačkoli některá preventivní opatření peníze šetří, velká většina hodnocených opatření úsporná nebyla. Jejich hodnota závisela na konkrétním zásahu a cílové populaci, podobně jako u léčby již existující nemoci.[17] Tvrzení „prevence se vždy zaplatí“ je proto stejně nevědecké jako tvrzení „nic se nestalo, takže byla zbytečná“.

Varovnými signály jsou cíle definované počtem nákupů místo snížením rizika, výpočet návratnosti bez uvedeného základního scénáře, výběr jediného příznivého roku, ignorování provozních a obnovovacích nákladů nebo odmítnutí nezávislé kontroly. Stejně podezřelé je opatření, které nemá datum přehodnocení. Rizika se mění: řeka dostane nové koryto, populace stárne, budovy se přestavují a útočníci mění techniky. I kdysi rozumná prevence může zestárnout. Rozpočet na bezpečnost proto nesmí být doživotní rentou za dobrý úmysl.

Sedm otázek pro poctivý rozpočet

Neviditelný přínos lze kontrolovat bez předstírání jistoty. Před schválením nebo obnovením preventivního výdaje by měl být srozumitelně zodpovězen alespoň tento soubor otázek:

1. Jaké přesně je riziko? Nestačí „povodeň“ nebo „hackeři“. Je třeba popsat pravděpodobnost, intenzitu, vystavené lidi a majetek i jejich zranitelnost.
2. Jak má zásah riziko změnit? Musí existovat ověřitelný mechanismus od opatření k výsledku, nikoli jen seznam vybavení a aktivit.
3. S čím výsledek porovnáváme? Základní scénář má zahrnout svět bez opatření a pokud možno také levnější či účinnější alternativy.
4. Co je pozorování a co model? Naměřené průtoky, počty zásahů a časy obnovy patří oddělit od odhadovaných škod, zachráněných životů a budoucích scénářů.
5. Jak široce počítáme cenu a přínos? Vedle pořizovací ceny patří do účtu údržba, personál, výcvik, falešné poplachy, výpadky, dopady na jiné skupiny i životnost zařízení.
6. Jaké jsou nežádoucí účinky a nejistota? Seriózní návrh zveřejní interval výsledků, citlivost na hlavní předpoklady a riziko, že opatření škodu pouze přesune.
7. Kdy projekt znovu prověříme? Předem stanovené testy, odpovědnost, prahové hodnoty a termín přehodnocení umožní opatření upravit nebo ukončit.

Takový přístup mění debatu. Už nejde o souboj „bezpečnost za každou cenu“ proti „škrtům za každou cenu“. Jde o porovnání očekávaných výsledků, nákladů a nejistot. Umožňuje obhájit drahou ochranu tam, kde snižuje velké riziko, a odmítnout efektní gesto tam, kde důkazy chybějí. Zároveň chrání pracovníky prevence před nespravedlivým požadavkem, aby svůj úspěch dokazovali katastrofou, které měli zabránit.

Cena katastrofy, která nepřišla

Jednou ze zásadních slabin prevence v politice i běžném životě je časový nesoulad. Náklady mají fakturu a termín splatnosti. Přínosy jsou rozptýlené, nejisté a často patří lidem, kteří nikdy nezjistí, že byli chráněni. Po několika klidných letech proto začne bariéra, očkovací program, kontrola elektroinstalace nebo záložní datové centrum vypadat jako přepych. Když je zrušíme, ušetřená částka je okamžitá a viditelná. Zvýšené riziko zůstává neviditelné až do dne, kdy už bývá pozdě.

Rozumná společnost se tomuto zkreslení nebrání tím, že každé preventivní instituci vystaví bianco šek. Brání se mu kvalitnější evidencí. Uchovává základní údaje, testuje funkčnost, porovnává alternativy, zveřejňuje předpoklady modelů a po události zkoumá nejen selhání, ale také místa, kde opatření škodu skutečně omezila. Připouští, že některé přínosy lze vyjádřit jen pravděpodobností a že nejistota není ostuda, pokud je poctivě popsána.

Účet za prevenci proto potřebuje dvě kolonky. V první je skutečně zaplacená cena. Ve druhé není smyšlená jistota, ale nejlepší dostupný odhad ztráty, kterou opatření s určitou pravděpodobností odvrací, včetně hranic tohoto odhadu. Teprve obě kolonky dohromady ukazují, zda je ticho po zásahu výsledkem štěstí, účinné ochrany, nebo drahého rituálu. Katastrofa, která nepřišla, sama nic nedokazuje. Dobře navržená prevence však může svou hodnotu doložit ještě dřív, než ji budeme muset potřebovat.