Zabezpečení firemního účtu a 2FA pro týmy
Proč je zabezpečení firemního účtu jiná liga než osobní heslo
Osobní účet má jednoho vlastníka, který ztrácí nebo získává přístup sám za sebe. Firemní nebo týmový účet - ať je to e-mailová doména, Google Workspace, Microsoft 365, bankovní portál nebo administrace e-shopu - má typicky víc lidí, kteří se v čase měnili, přicházeli a odcházeli, a často i víc zařízení. Právě tahle složitost je důvod, proč firemní účty bývají mnohem zranitelnější než osobní: stačí jediný zapomenutý přístup bývalého brigádníka nebo jedno sdílené heslo napsané v chatové skupině.
Pro malé firmy a OSVČ navíc platí, že si často nemohou dovolit specializovaného IT administrátora, takže zabezpečení řeší majitel sám, mezi dalšími povinnostmi. To je přesně skupina, pro kterou je tenhle návod určený.
Dvoufaktorové ověření jako povinnost pro celý tým, ne jen pro majitele
Nejčastější chyba je, že 2FA (dvoufaktorové/dvoufázové ověření) má zapnuté jen majitel firmy nebo administrátor, zatímco zbytek týmu se přihlašuje jen heslem. Útočník, který ukradne heslo řadového zaměstnance, se tak může dostat ke sdíleným dokumentům, e-mailům klientů nebo interním systémům stejně snadno, jako by ukradl heslo šéfa.
Google Workspace - vynucení 2FA pro celou organizaci
V administrátorské konzoli Google Workspace (Zabezpečení → Ověřování → 2-step verification) může administrátor nastavit povinné dvoufázové ověření pro všechny uživatele domény, případně jen pro vybrané organizační jednotky. Google u větších změn vynucování standardně dopředu upozorňuje administrátory (super-administrátoři s delším předstihem, ostatní správci kratším), aby firma měla čas se připravit a lidé nebyli ze dne na den uzamčeni mimo své účty.
Microsoft 365 - Security Defaults a Conditional Access
U Microsoft 365/Entra ID je nejrychlejší cesta pro malou firmu zapnutí Security Defaults v administrátorském centru Entra - tím se vynutí registrace MFA (multi-factor authentication) pro všechny uživatele. Větší organizace s komplexnějšími potřebami obvykle přechází na Conditional Access politiky, které umí vynucovat MFA jen za specifických podmínek (neznámé zařízení, přihlášení ze zahraničí, riziková IP adresa) a jsou flexibilnější, ale náročnější na správu.
Bankovní a platební přístupy
U firemního internetového bankovnictví má smysl nastavit oddělené přístupy pro jednotlivé osoby (ne jedno sdílené heslo) a pokud to banka umí, rozdělit role na "zadání platby" a "schválení platby" mezi dvě různé osoby - tím se eliminuje riziko, že jeden ukradený přístup umožní rovnou odeslat peníze.
Správa přístupů v průběhu celého životního cyklu zaměstnance
Zabezpečení není jednorázová akce, ale proces, který musí pokrývat tři fáze:
- Nástup - nový člověk dostává jen ty přístupy, které skutečně potřebuje pro svou roli (princip nejmenších oprávnění), ideálně přes samostatný účet, ne přes sdílené přihlašovací údaje.
- Změna role - při povýšení nebo změně pozice je potřeba přístupy přehodnotit, ne jen přidávat nové a nechávat staré.
- Odchod - účet (nebo alespoň přístup k firemním systémům) by měl být zablokován ideálně ve stejný den, kdy člověk odchází, ne "až na to bude čas". Tohle je podle bezpečnostních expertů jedno z nejčastějších slabých míst malých firem - zapomenuté přístupy bývalých zaměstnanců, kteří odešli v nepříjemné atmosféře, jsou klasický vektor interních útoků.
Firemní správce hesel místo sdílení v chatu
Sdílení hesel přes e-mail, SMS nebo chatovou aplikaci je rizikové ze dvou důvodů: zpráva zůstává uložená (a čitelná) v historii konverzace natrvalo, a při odchodu člověka z týmu se heslo těžko "vezme zpět". Řešením jsou firemní nástroje pro správu hesel s týmovými trezory - např. 1Password Teams/Business, Bitwarden Organizations nebo podobné nástroje - kde administrátor může sdílet přístup k účtu bez toho, aby druhá strana viděla samo heslo v čitelné podobě, a kde se přístup dá okamžitě odebrat jedním kliknutím.
Doporučený minimální základ pro malou firmu/OSVČ s pár lidmi
- Povinné 2FA pro všechny sdílené firemní účty (e-mail, cloud úložiště, administrace webu, sociální sítě firmy)
- Minimálně dva lidé se zálohovým přístupem ke kritickým účtům (doména, hosting, bankovnictví) - aby jedna ztracená telefonní SIM karta nebo nemoc jedné osoby nezablokovala celou firmu
- Jasně napsaný (byť jednostránkový) postup, co se dělá při odchodu člověka z firmy
- Firemní správce hesel i pro tým o dvou až třech lidech - cena bývá v řádu stovek korun měsíčně, což je zanedbatelné proti riziku úniku
Reálná rizika slabého zabezpečení firemních účtů
Takzvaný Business Email Compromise (BEC, podvod přes napadený firemní e-mail) patří dlouhodobě k nejnákladnějším typům kybernetické kriminality - útočník se dostane do schránky účetní nebo jednatele, sleduje komunikaci a v pravou chvíli pošle fakturu se změněným číslem účtu. Podobné útoky se často netýkají sofistikovaného hackování, ale jednoduše ukradeného hesla ke sdílenému, nezabezpečenému e-mailu bez dvoufaktorového ověření. Právě proto bezpečnostní odborníci dlouhodobě doporučují 2FA jako první a nejlevnější opatření, které firma může zavést - má mnohem lepší poměr nákladů a přínosu než složitější technická opatření.
Často kladené otázky
Stačí malé firmě jedno heslo na firemní e-mail pro všechny?
Ne. Sdílené heslo znemožňuje dohledat, kdo co udělal, komplikuje odebrání přístupu při odchodu člověka a zvyšuje riziko úniku (čím víc lidí heslo zná, tím větší šance, že ho někdo napíše na nezabezpečené místo). Správné řešení je samostatný účet pro každou osobu s vlastním 2FA.
Je bezpečnější SMS kód nebo aplikace pro ověření (authenticator)?
Autentizační aplikace (Google Authenticator, Microsoft Authenticator, Authy) nebo hardwarový klíč jsou bezpečnější než SMS, protože SMS zprávy lze zneužít přes SIM swapping (převod telefonního čísla na jinou SIM kartu podvodem). NIST (americký standardizační úřad pro kybernetickou bezpečnost) řadí SMS mezi omezené metody ověření právě z tohoto důvodu, i když je stále lepší než žádné 2FA.
Co dělat, když administrátor firemního Google Workspace odejde a nikdo jiný nemá přístup?
Tomuto riziku se předchází tím, že firma má vždy alespoň dva super-administrátory nebo jasně definovaný postup obnovy přístupu (recovery), ne jen jednu osobu. Řešení "po faktu" je složité a často vyžaduje kontaktovat podporu Google/Microsoft s doklady o vlastnictví domény, což může trvat dny až týdny.
Je firemní správce hesel drahý?
Běžné komerční nástroje pro malé týmy vycházejí na jednotky dolarů/eur na uživatele měsíčně. Pro firmu, kde únik jednoho hesla může znamenat ztracenou klientskou databázi nebo podvodnou platbu, je to minimální investice.
Má smysl 2FA i pro jednočlennou OSVČ, když nemám tým?
Ano - i OSVČ má obvykle alespoň e-mail, bankovnictví a účetní/fakturační systém, kam se často přihlašuje i externí účetní nebo spolupracovník. Zabezpečení přístupu je stejně důležité, jen s menším rozsahem.
Jak poznám, že firemní účet byl napadený?
Typické signály: upozornění o přihlášení z neznámé lokace, zprávy, které jste nenapsali, ve složce Odeslané, náhlá změna přesměrování e-mailů, nebo stížnosti klientů na podivné faktury/zprávy od vaší firmy. Při podezření je prvním krokem okamžitá změna hesla a odhlášení všech aktivních relací, ne jen kontrola obsahu.
