Malé firmy si často myslia, že nie sú pre útočníkov zaujímavé. Opak je pravda: útoky sú automatizované a hľadajú tých, ktorí majú zanedbané základy. Dobrá správa je, že väčšinu rizika znižuje desať jednoduchých krokov, nie veľký rozpočet.
1. Zistite, čo máte
Zoznam počítačov, serverov, sieťových zariadení, aplikácií, licencií a účtov. Nemôžete chrániť to, o čom neviete.
2. Zálohujte podľa pravidla 3-2-1
Tri kópie, dve médiá, jedna mimo budovy a pravidelný test obnovy. Dôvody a postup popisuje článok o zálohovaní a RAID.
3. Aktualizujte
Operačné systémy, prehliadače, aplikácie aj firmvér routerov a kamier. Nezaplátané zraniteľnosti patria medzi najčastejšie vstupy útočníkov.
4. Zapnite dvojfaktorové overenie všade, kde sa dá
Najprv e-mail, administrátorské účty, vzdialený prístup a účty s platobnými údajmi. Je to najlacnejšie opatrenie s najväčším účinkom.
5. Zaveďte správcu hesiel
Unikátne dlhé heslá pre každú službu bez zapamätania. Zdieľané heslá nahraďte samostatnými účtami.
6. Obmedzte oprávnenia a spravujte účty
Každý má mať len prístup, ktorý potrebuje. Pri odchode zamestnanca ruší účty v ten istý deň. Správcovské účty používajte len na správu, nie na bežnú prácu.
7. Zabezpečte sieť
Spravovaný firewall, oddelená sieť pre hostí a zariadenia, silné Wi-Fi a žiadne vystavené vzdialené plochy do internetu. Viac v článku o firewalle, VPN a segmentácii.
8. Chráňte e-mail
Filtrovanie spamu a škodlivých príloh, nastavenie SPF, DKIM a DMARC a upozornenia na podozrivé prihlásenia. E-mail je hlavný vstup phishingu aj podvodných faktúr.
9. Školte ľudí
Človek je často posledná obranná línia. Krátke pravidelné školenie zamestnancov so simuláciou phishingu a jasným hlásením zníži riziko výrazne.
10. Majte plán reakcie na incident
- Kto sa informuje a v akom poradí (vedenie, IT, poisťovňa, právnik).
- Ako izolovať zasiahnuté zariadenia a nič nezničiť.
- Kde sú zálohy a kto ich vie obnoviť.
- Kontakt na externého špecialistu. Plán raz za rok precvičte.
Kde začať
Ak neviete, ktoré kroky máte hotové, začnite krátkym auditom. Ukáže medzery, zoradí ich podľa dôležitosti a dá vám plán, ktorý zvládnete postupne.
Modelový príklad: firma s dvadsiatimi ľuďmi a bez IT oddelenia
Firma s 20 zamestnancami nemá vlastný IT tím. Počítače nastavuje kolega, ktorý to „vie“, zálohy robí raz za čas a e-mail beží u poskytovateľa webhostingu. Ako by vyzeral realistický plán na tri mesiace?
- Prvý mesiac: inventár a audit, zapnutie dvojfaktorového overenia na e-maile a administrátorských účtoch, zavedenie správcu hesiel.
- Druhý mesiac: automatické zálohy podľa 3-2-1 s prvým testom obnovy, aktualizácie počítačov, spravovaný firewall a oddelenie siete pre hostí.
- Tretí mesiac: ochrana e-mailu (SPF, DKIM, DMARC, filtrovanie), školenie zamestnancov, krátky plán reakcie na incident.
Žiadny z týchto krokov nevyžaduje obrovský rozpočet, vyžaduje však systematickosť. Najväčší rozdiel prinesie to, že riziká prestanú závisieť od jedného človeka a jeho pamäte.
Prečo útočníci cielia aj na malé firmy
- Útoky sú automatizované a prehľadávajú internet za zraniteľnosťami, bez ohľadu na veľkosť firmy.
- Malé firmy majú zriedka vlastných bezpečnostných odborníkov a rýchle obnovenie prevádzky je pre ne existenčné.
- Môžu byť cestou k väčším zákazníkom a partnerom, ktorým majú prístup.
- Ukradnuté dáta a účty sa dajú speňažiť aj bez veľkého útoku.
Kontrolný zoznam na prvý audit
- Máme aktuálny zoznam zariadení, aplikácií a účtov?
- Sú zálohy automatické, mimo budovy a odskúšané?
- Majú všetky dôležité účty dvojfaktorové overenie?
- Sú systémy aktualizované?
- Je sieť oddelená a firewall spravovaný?
- Je e-mail chránený a nastavený správne?
- Absolvovali zamestnanci školenie?
- Vieme, čo urobiť pri incidente a koho kontaktovať?
Slovníček pojmov
- Ransomvér: škodlivý program, ktorý zašifruje dáta a žiada výkupné.
- MFA: dvojfaktorové overenie.
- Zraniteľnosť: chyba v softvéri, ktorú môže útočník zneužiť.
- Incident: udalosť, ktorá ohrozuje bezpečnosť dát alebo systémov.
- NIS2: európska smernica o kybernetickej bezpečnosti.
Často kladené otázky
Je malá firma naozaj cieľom útokov?
Áno. Útoky sú väčšinou automatizované a hľadajú zraniteľnosti plošne. Malé firmy majú často slabšiu ochranu, čím sú pre útočníkov ľahkou korisťou, a môžu byť aj cestou k väčším partnerom.
Koľko stojí základná ochrana?
Najviac účinné kroky (MFA, aktualizácie, zálohy, správca hesiel, školenie) nie sú drahé. Cena závisí od veľkosti firmy, orientačne ju odhadnete v kalkuláciách služieb.
Treba mať cyberpoistenie?
Môže pomôcť pokryť náklady incidentu, no poisťovne vyžadujú základné opatrenia (zálohy, MFA). Poistenie nenahrádza prevenciu.
Potrebujete s tým poradiť?
Pozrite si súvisiacu službu Audity a konzultácie, spočítajte si orientačnú cenu alebo nám napíšte — pripravíme nezáväznú ponuku.
