Kybernetická bezpečnosť. Väčšina menších firiem to berie ako niečo, čo riešia banky, veľké e-shopy a štát. A potom sa stane jedna vec. Niekto klikne na “faktúru” v prílohe, počítač sa tvári chvíľu normálne, a o hodinu neskôr zistíš, že zdieľaný disk je plný divných súborov a nič nejde otvoriť.
Nie je to dramatizovanie. Je to bežný scenár.
Dobrá správa je, že malé a stredné firmy nemusia mať super drahé bezpečnostné oddelenie, aby sa chránili slušne. Zlá správa je, že treba spraviť pár nudných vecí. A hlavne ich robiť pravidelne, nie raz za dva roky, keď príde audit alebo nový ITčkár.
Toto sú postupy, ktoré reálne fungujú v praxi. Nie “buzzwordy”. Skôr také veci, ktoré keď spravíš, tak si o dosť ťažší cieľ.
Prečo sú malé a stredné firmy obľúbený terč
Útočníci nie sú romantickí hackeri z filmov. Väčšinou je to biznis. A v tom biznise sú malé firmy ideálne:
- majú slabšie procesy a menej kontrol
- často nemajú MFA, segmentáciu siete, zálohy testované na obnovu
- používajú rovnaké heslá, staré zariadenia, neaktualizované routery
- majú reálne peniaze a reálny tlak. keď stojí fakturácia alebo výroba, zaplatia
A často sa to ani nedozvieš hneď. Niektoré útoky sú tiché. Niekto si len odnesie údaje, prístupy do e-mailu, databázu klientov. A až potom príde druhá fáza.
1. Urob si inventúru. čo vlastne chrániš
Toto znie ako byrokracia, ale bez toho je všetko ostatné len hádanie.
Skús si spísať, aspoň v jednoduchom dokumente:
- aké zariadenia máte: notebooky, počítače, mobily, servery, NAS, tlačiarne, kamery, routery
- aký softvér a služby používate: Microsoft 365, Google Workspace, účtovníctvo, CRM, e-shop, bankovníctvo, vzdialený prístup
- kde sú dáta: lokálne, na disku v kancelárii, v cloude u dodávateľa
- kto má prístup a prečo
Netreba z toho robiť 50 stranový excel. Ale keď nevieš, že v sklade je starý PC s Windowsom bez aktualizácií1, tak ti úplne ľahko otvorí dvere do siete.
A ešte jedna vec. Urči si “kritické” veci.
2. Heslá a prístup. tu sa láme najviac útokov
Najväčšia realita: väčšina kompromitácií začína ukradnutým heslom alebo phishingom.
Minimum, ktoré by mala mať každá firma
- Správca hesiel (password manager). Nie “heslá v Exceli”, nie papierik v šuflíku. Kľudne 1Password, Bitwarden, Keeper. Nie je to podstatné ktorý, podstatné je používať ho.
- Silné unikátne heslá pre každú službu. Áno, aj pre e mail, aj pre účtovníctvo, aj pre administráciu webu.
- MFA (multi factor authentication) všade, kde sa dá. Ideálne aplikácia (Authenticator), ešte lepšie bezpečnostný kľúč (FIDO2), SMS len ako posledná možnosť.
Ak máš spraviť jednu jedinú vec z celého článku, tak nech je to toto: MFA na e mailoch. E mail je totiž brána k všetkému. Resetuješ cez neho prístupy, posielaš faktúry, riešiš zmluvy.
Prístupové práva. menej je viac
Častá chyba je, že “všetci majú všetko, lebo je to jednoduchšie”. Lenže keď sa kompromituje jeden účet, útočník má hneď celú firmu.
- nastav princíp najmenších práv. každý má len to, čo potrebuje
- administrátorské účty používaj len na administráciu. na bežnú prácu bežný účet
- keď niekto odíde z firmy, prístup sa vypne okamžite. nie o týždeň
3. Aktualizácie a patchovanie. nudné, ale brutálne účinné
Väčšina útokov nevyužíva “0day” zraniteľnosti za milióny. Využíva staré, známe chyby, ktoré majú už dávno záplaty.
Čo spraviť prakticky:
- zapni automatické aktualizácie na Windows, macOS, iOS, Android
- aktualizuj prehliadače, PDF čítačky, Office, Java, VPN klientov
- routery a firewally. áno, aj tie majú aktualizácie
- ak máš server, nastav pravidelný patching, a hlavne reštarty keď treba
A keď sa bojíš, že aktualizácia niečo pokazí, ok. Potom potrebuješ testovanie. Ale “nebudeme aktualizovať nikdy” je istá cesta k problémom.
4. Zálohy. ale také, ktoré vieš obnoviť
Záloha, ktorú si nikdy neskúsil obnoviť, nie je záloha. Je to nádej.
Dobrá stratégia je 3 2 1:
- 3 kópie dát
- na 2 rôznych médiách
- 1 kópia mimo hlavnej lokality alebo offline
Čo to znamená pre menšiu firmu?
- jedna kópia v cloude (napr. M365 backup cez špecializovaný nástroj, alebo cloud storage)
- jedna lokálna (NAS)
- jedna offline alebo immutable (napr. odpojený disk, alebo cloud s “immutable” nastavením)
Dôležité detaily, ktoré sa často ignorujú:
- zálohovanie e mailov a M365. veľa ľudí si myslí, že Microsoft je automaticky záloha. nie je to vždy tak, hlavne pri ransomware v účte, masovom mazaní, alebo retention politikách
- verzovanie súborov. aby si sa vedel vrátiť pred šifrovanie
- pravidelný test obnovy. raz za štvrťrok si obnov pár súborov, a raz za rok simuluj väčší výpadok
A prosím, oddel prístupy k zálohám. Ak sa útočník dostane do admin účtu, a zálohy sú v tom istom priestore, tak ti ich zmaže alebo zašifruje spolu s dátami.
5. Ochrana koncových zariadení. EDR a antivírus
Klasický antivírus ešte stále pomáha, ale dnes je minimum skôr EDR alebo aspoň moderný endpoint.
Pre SMB často dáva zmysel:
- Microsoft Defender for Business (ak ste v M365 ekosystéme)
- alebo iné endpoint riešenia od etablovaných vendorov
Čo by si mal mať zapnuté:
- ochrana pred ransomwarom (controlled folder access alebo ekvivalent)
- blokovanie makier z internetu
- firewall na staniciach
- šifrovanie diskov (BitLocker, FileVault). hlavne na notebookoch
Notebook stratený v aute alebo vo vlaku je tiež incident. A stáva sa to.
6. E mail bezpečnosť. tu prichádza väčšina problémov
Phishing je stále kráľ. A už to nie sú smiešne e maily s lámanou slovenčinou. Dnes je to často pekne napísané, s logom, s podpisom, niekedy dokonca z kompromitovaného účtu tvojho dodávateľa.
Praktické kroky:
- zapni pokročilé filtrovanie spamu a phishingu (v M365 alebo Google Workspace)
- nastav SPF, DKIM, DMARC pre vašu doménu. toto je trochu technické, ale stojí to za to. znižuje to šancu, že niekto bude posielať podvodné e maily “z vašej firmy”
- zakáž automatické presmerovania mimo organizácie, alebo ich aspoň kontroluj
- označuj externé e maily bannerom “EXTERNÉ”. jednoduché, a prekvapivo účinné
A interné pravidlo, ktoré zachráni peniaze:
- zmena čísla účtu dodávateľa alebo “urgentná platba” sa potvrdzuje druhým kanálom. zavolať. nie odpísať na e mail
7. Wi Fi a sieť. rozdeľ to, čo sa rozdeľovať dá
Zdieľaná sieť pre všetko je pohodlná, ale nebezpečná. Ak sa kompromituje jedno zariadenie, útočník sa vie hýbať ďalej.
Aspoň základ:
- oddelená Wi Fi pre hostí
- oddelená sieť pre IoT veci (kamery, tlačiarne, smart TV)
- pracovné stanice v hlavnej sieti
- ak máte server alebo NAS, obmedz prístup len na potrebné porty a zariadenia
Ak máš firewall, nastav:
- blokovanie nepotrebných odchádzajúcich spojení aspoň pre serverové veci
- VPN pre vzdialený prístup, nie RDP otvorené do internetu (nikdy)
- logovanie. aj základné logy vedia pomôcť, keď sa niečo pokazí
8. Politiky a školenia. nie ako školenie BOZP, prosím
Ľudia robia chyby. Aj šikovní ľudia. Aj ľudia, ktorí “sa vyznajú”. Všetci.
Školenie nemusí byť 4 hodiny slajdov. Niekedy stačí 20 minút raz za mesiac. Ale nech je praktické.
Čo by mal vedieť každý zamestnanec:
- ako vyzerá phishing a čo robiť, keď si nie je istý
- že heslá sa neposielajú e mailom ani cez chat
- že prílohy typu .zip, .exe, alebo dokumenty žiadajúce “Enable Content” sú riziko
- čo robiť pri podozrení. komu volať, čo odpojiť, čo nefotiť, čo nemažeť
Dobrá vec je aj jednoduchá interná “bezpečnostná karta”:
- ak vidíš niečo divné, odpoj Wi Fi alebo kábel
- zavolaj IT alebo zodpovednej osobe
- nerieš to sám štýlom “skúsim reštart a vymažem to”
A hej, občas urob phishing simuláciu. Nie na ponižovanie ľudí. Skôr na tréning reflexu.
9. Dodávatelia a prístupy tretích strán
Veľa incidentov ide cez externých partnerov. Účtovník, marketingová agentúra, správca webu, firma čo má vzdialený prístup na server.
- každý dodávateľ má mať vlastný účet, nie zdieľané prihlásenie “admin”
- prístupy majú byť časovo obmedzené alebo aspoň pravidelne revidované
- keď sa projekt skončí, prístup končí tiež
- dohodni si, ako sa hlási incident a do akého času
A keď má dodávateľ prístup do e mailu alebo do M365 adminu, tak tam už fakt chceš MFA a logy.
10. Monitorovanie a logy. aspoň základ, aby si nebol slepý
Nie, nepotrebuješ hneď SIEM za tisíce mesačne. Ale potrebuješ vidieť, keď sa deje niečo podozrivé.
Minimum:
- zapnúť bezpečnostné upozornenia v M365 alebo Google (prihlásenia z nových krajín, nemožné cestovanie, zmeny MFA)
- logovať prístupy na VPN a firewall
- mať centrálny prehľad zariadení (aspoň cez MDM alebo jednoduchý asset list)
A hlavne. nech tieto notifikácie niekam chodia. nie do schránky, ktorú nikto nečíta.
11. Incident response. čo spravíš, keď to buchne
Toto je nepríjemná časť. Ale extrémne praktická.
Sprav si jednoduchý plán na jednu A4. bez právnických fráz.
- kto rozhoduje (meno, telefón)
- kto rieši IT (interný človek alebo dodávateľ)
- kde sú prístupy k zálohám a k správcom hesiel (bezpečne uložené)
- čo je priorita obnovy (e mail, fakturácia, súbory)
- kontakt na právnika a DPO, ak riešite osobné údaje
- kedy voláte políciu alebo CSIRT, a kedy poisťovňu (ak máte kyber poistenie)
A potom základný postup pri podozrení na útok:
- izolovať zariadenie. vypnúť Wi Fi, vytiahnuť kábel. nie hneď “vypnúť všetko”, niekedy chceš zachovať dôkazy, ale izolácia je kľúčová
- neklikať ďalej, nemazať stopy
- zmeniť heslá len kontrolovane. ideálne z čistého zariadenia
- skontrolovať, či neboli vytvorené pravidlá v e maili (forwarding, pravidlá na mazanie)
- obnovovať zo záloh až keď vieš, že sa problém nevráti naspäť
Ak to znie komplikovane, je. Preto je lepšie mať kontakt na niekoho, kto to riešil už predtým.
12. Rýchly checklist pre SMB. čo spraviť tento mesiac
Ak chceš niečo konkrétne, tu je realistický zoznam na 2 až 4 týždne:
- MFA na všetkých e mailoch a administrátorských účtoch
- správca hesiel pre tím, zákaz zdieľaných hesiel
- aktualizácie OS a kľúčových aplikácií, plán patchovania
- zálohy podľa 3 2 1 a test obnovy aspoň pár súborov
- šifrovanie notebookov, uzamknutie obrazovky, politika PIN
- oddelená Wi Fi pre hostí a IoT
- SPF, DKIM, DMARC nastavené na doméne
- základný incident plán na A4 a kontakty
- krátke školenie phishingu pre celý tím
Ak spravíš len toto, si na tom lepšie než veľká časť trhu. Fakt.
Záver. cieľ nie je dokonalosť, cieľ je odolnosť
Kybernetická bezpečnosť pre malé a stredné firmy nie je o tom, aby si mal všetko “enterprise”. Je to o tom, aby si:
- minimalizoval šancu prieniku
- znížil dopad, keď sa niečo stane
- vedel sa rýchlo obnoviť
A aby si nebol ten najľahší cieľ v okolí.
Začni od prístupov a záloh. Potom aktualizácie. Potom e mail a sieť. A popri tom uč ľudí robiť jednu vec. na chvíľu sa zastaviť, keď niečo nesedí. Lebo tá sekunda pochybnosti často rozhodne o tom, či bude “len” divný e mail, alebo dvojtýždňová katastrofa.
Často kladené otázky
Prečo sú malé a stredné firmy častým cieľom kybernetických útokov?
Malé a stredné firmy často majú slabšie bezpečnostné procesy, menej kontrol, nepoužívajú viacfaktorovú autentifikáciu (MFA), nemajú pravidelne testované zálohy a používajú staré zariadenia či rovnaké heslá. Navyše majú reálny finančný tlak, čo útočníci využívajú na vydieranie alebo rýchle zaplatenie výkupného.
Čo znamená urobiť si inventúru v oblasti kybernetickej bezpečnosti?
Inventúra znamená spísať si všetky zariadenia (notebooky, servery, routery), softvér a služby (Microsoft 365, účtovníctvo, e-shop), kde sú uložené dáta (lokálne alebo v cloude) a kto má k nim prístup. Pomáha to identifikovať kritické prvky a slabiny v bezpečnosti.
Prečo je dôležité používať správcu hesiel?
Správca hesiel umožňuje bezpečne ukladať silné a unikátne heslá pre každú službu bez potreby ich pamätať alebo zapisovať na nezabezpečené miesta. To výrazne znižuje riziko kompromitácie účtov cez ukradnuté alebo opakované heslá.
Čo je multi-faktorová autentifikácia (MFA) a prečo ju treba používať?
MFA je bezpečnostný mechanizmus, ktorý vyžaduje viacero spôsobov overenia identity používateľa (napr. heslo + aplikácia Authenticator alebo bezpečnostný kľúč). Používanie MFA výrazne znižuje riziko neoprávneného prístupu, najmä k emailom, ktoré sú bránou k ďalším službám.
Ako by mali firmy pristupovať k prístupovým právam zamestnancov?
Firmy by mali uplatňovať princíp "menej je viac" – každý používateľ by mal mať len také prístupové práva, ktoré nevyhnutne potrebuje na svoju prácu. Tým sa minimalizuje riziko škôd pri kompromitácii jedného účtu.
Aké jednoduché kroky môžu malé a stredné firmy urobiť na zlepšenie kybernetickej bezpečnosti?
Medzi základné kroky patrí pravidelná inventúra zariadení a služieb, používanie správcu hesiel so silnými unikátnymi heslami, zavedenie MFA najmä na emailoch, obmedzenie prístupových práv podľa potreby a pravidelné aktualizácie softvéru a zariadení. Nie sú to drahé opatrenia, ale vyžadujú pravidelnosť.