Bezpečnostní audit pro malé a střední firmy

Mají všichni kolegové ve firmě vlastní pracovní účty, nebo se některé sdílí?*

Sdílený účet (např. „office@firma.cz" s heslem na nástěnce) znamená, že po incidentu nepoznáte, kdo co udělal — a všichni musí měnit heslo najednou.

Co se stane s firemními účty, když zaměstnanec nebo externista odejde?*

Účty bývalých zaměstnanců jsou nejčastější tichá zadní vrátka do firmy. Útočníci si jich váží — nikdo je nepostrádá.

Kolik lidí ve firmě má administrátorská práva (může instalovat software, zakládat účty, měnit nastavení)?*

Méně administrátorů = menší škody, když dojde ke kompromitaci. Běžný uživatel by neměl mít na svém počítači práva administrátora.

Máte centrální správu účtů (Microsoft 365, Google Workspace, AD), kde na jednom místě zakládáte/rušíte zaměstnance?*

Bez centrální správy se účty roztříští napříč desítkami služeb — a při odchodu zaměstnance nevíte, co všechno odpojit.

Vyžadujete dvoufaktorové ověření (SMS, aplikace, klíč) pro pracovní e-mail?*

E-mail je brána k resetům všech ostatních hesel. Bez druhého faktoru stačí, aby uniklo jediné heslo a útočník se dostane všude.

Je MFA povinné pro vzdálený přístup (VPN, vzdálená plocha, cloudové aplikace zvenku)?*

Vzdálený přístup bez druhého faktoru je nejčastější vektor ransomware útoků na menší firmy.

Používají kolegové firemního správce hesel (1Password, Bitwarden, Keeper…)?*

Bez správce hesel lidé používají stejné heslo na pracovní i osobní účty. Když unikne někde jinde, otevře vám to dveře do firmy.

Jaká je minimální délka hesla, kterou vaše systémy vyžadují?*

Krátká hesla se prolomí během minut. Dnešní doporučení je 12+ znaků, raději passphrase než „složité" heslo.

Jak často probíhají zálohy nejdůležitějších firemních dat (účetnictví, e-mail, smlouvy)?*

Při ransomware incidentu ztrácíte vše od poslední úspěšné zálohy. Denní záloha = den práce navíc, týdenní = týden.

Máte alespoň jednu kopii zálohy mimo hlavní firemní síť (offline disk, jiný cloud, jiný účet)?*

Pravidlo 3-2-1: 3 kopie, 2 různá média, 1 mimo lokalitu. Záloha v téže síti, kterou ransomware napadl, je ztracená spolu s ostatními daty.

Kdy jste naposledy úspěšně otestovali obnovu ze zálohy (skutečně obnovili soubor nebo systém)?*

Tichý fail zálohovacího skriptu se pozná až ve chvíli, kdy ho potřebujete. Testování obnovy je jediná jistota.

Pokud byste přišli o všechna firemní data, za jak dlouho by firma znovu plně fungovala?*

Tomu se říká RTO (recovery time objective). Měli byste znát odpověď dřív, než ji budete potřebovat.

Která z následujících opatření máte aktivní na firemních noteboocích?*

Vyberte vše, co reálně platí pro většinu zařízení.

Jaký nástroj chrání pracovní počítače proti malwaru?*

EDR (CrowdStrike, SentinelOne, Microsoft Defender for Business) je nástupce klasického antiviru — sleduje chování systému, ne jen známé signatury.

Co se stane, když zaměstnanec ztratí pracovní notebook?*

Bez šifrování disku se data dají vytáhnout vyjmutím disku do jiného počítače — heslo k Windows nepomůže.

Jak rychle se na firemních zařízeních instalují bezpečnostní aktualizace operačního systému i aplikací?*

1 = nikdy / nevíme, 5 = automaticky do týdne od vydání aktualizace.

Heslo do administrace firemního routeru / firewallu je…*

Výchozí heslo (admin/admin) na routeru je jako nezamčené hlavní dveře. Útočníci je hledají automaticky.

Jak se zaměstnanci připojují vzdáleně k firemním zdrojům (sdílené disky, interní aplikace)?*

RDP/VPN otevřené do internetu bez druhého faktoru je nejčastější způsob, jak se útočníci dostanou do menších firem.

Mají hosté a návštěvy ve firmě k dispozici oddělenou Wi-Fi (guest network)?*

Společná Wi-Fi pro hosty a firemní počítače znamená, že malware z notebooku konzultanta může útočit i na vaše systémy.

Jak často aktualizujete firmware routeru / firewallu?*

1 = nikdy / nevíme, 5 = automaticky nebo do měsíce od vydání.

Máte přehled, jaké cloudové služby (SaaS) vaše firma reálně používá?*

Stínové IT — zaměstnanci si sami zakládají Trello, Notion, ChatGPT Plus — během dvou let znamená stovku míst, kde leží firemní data.

Jak řídíte sdílení dokumentů přes Google Drive / OneDrive / SharePoint?*

Sdílený soubor s nastavením „kdokoliv s odkazem" znamená, že stačí, aby odkaz unikl jednou — a zůstává dostupný roky.

Víte, kde jsou uložená nejcitlivější firemní data (osobní údaje klientů, ceny, smlouvy, výrobní know-how)?*

Bez mapy dat nevíte, co je třeba primárně chránit a co by uniklo, kdyby došlo k incidentu.

Kde je hostovaná vaše firemní e-mailová doména?*

Microsoft 365 a Google Workspace přinášejí kromě e-mailu i správu identit, MFA, antispam a archivaci v jednom balíku. Vlastní e-mail server vyžaduje aktivní údržbu a riziko nese provozovatel.

Pokud máte externí IT firmu nebo dodavatele, jak se přihlašují do vašich systémů?*

Sdílené přihlašovací údaje napříč celou IT firmou jsou klasický „invitační" vektor — když je kompromitován jakýkoli technik, padá to k vám.

Máte podepsanou smlouvu o zpracování osobních údajů (DPA) s každým dodavatelem, který se dostane k vašim datům?*

Vyplývá z GDPR. V praxi pomůže i při auditech, kontrolách a sporech.

Jak dobře víte, co váš externí IT dodavatel reálně dělá ve vašich systémech (zásahy, změny, přístupy)?*

1 = vůbec, věříme jim slepě; 5 = máme měsíční reporty, logy a kontrolu nad jejich účty.

Máte sepsaný (i jednoduchý) plán reakce na bezpečnostní incident?*

Stačí jedna A4: kdo komu volá, kdo má rozhodovací pravomoc, kde jsou zálohy a kontakty na partnery (banka, právník, IT, pojišťovna).

Pokud by v pondělí ráno zazvonil ransomware útok, koho zavoláte první?*

V krizi není čas googlit kontakty. Měli byste mít jasno před tím, než to potřebujete.

Probíhá u zaměstnanců školení o phishingu (rozpoznávání podvodných e-mailů)?*

Phishing je zdaleka nejčastější začátek útoku. Pravidelná školení i simulované útoky reálně fungují.

Monitorujete podezřelá přihlášení (neobvyklá země, čas, nemožné cestování)?*

Microsoft 365 i Google Workspace tohle umí v základu. Klíčové je notifikace nejen sbírat, ale i číst.

Stručně popište, jaká je vaše představa o digitální bezpečnosti firmy za rok.

Pomůže nám lépe nastavit doporučení a navazující kroky. Volitelné.