Ing. Patrik Krajňák
sk
Napíšte mi

Bezpečnostný audit webu, firemných účtov a kódu.

Bezpečnostný audit vám ukáže, kade sa dá dostať k vašim dátam: cez web alebo aplikáciu, cez firemné účty v Microsoft 365 či Google Workspace alebo cez chyby v kóde a knižniciach. Dostanete písomnú správu s nálezmi zoradenými podľa závažnosti a ku každému postup, ako ho opraviť. Audit robím sám. Som full-stack vývojár a webové aplikácie a interné systémy pre firmy aj staviam, takže viem, kde v nich chyby vznikajú. Audit stojí od 410 €.

, Full-stack vývojár, Košice

Napíšte mi
01 Služba

Čo skontrolujem na webe a v aplikácii

Na webe a v aplikácii hľadám miesta, cez ktoré sa k dátam dostane niekto, kto k nim prístup mať nemá. Pozerám sa na to ako vývojár: čo posiela prehliadač, čo vracia server a čo sa stane, keď prihlásený používateľ zmení v adrese číslo objednávky alebo faktúry. Skontrolujem hlavne:

  • prihlasovanie, obnovu hesla a dvojfázové overenie
  • prístupové práva, teda či používateľ nevidí dáta iného klienta
  • API, ktoré vracia viac údajov, než aplikácia zobrazuje
  • HTTPS, certifikát a bezpečnostné hlavičky
  • administráciu a staré stránky, ktoré zostali verejne dostupné
  • formuláre a nahrávanie súborov

Ako to funguje

Ako audit prebieha

  1. 1

    Konzultácia zadarmo

    Za 30 až 60 minút určíme, čo má zmysel skontrolovať.

  2. 2

    Dohoda o rozsahu

    Písomne sa dohodneme, čo kontrolujem a k čomu dostanem prístup.

  3. 3

    Kontrola

    Prejdem web, firemné účty alebo kód podľa dohody.

  4. 4

    Správa a hovor

    Nálezy zoradené podľa závažnosti spolu prejdeme aj s postupom opravy.

Firemné účty v Microsoft 365 a Google Workspace

K firemnému e-mailu a dokumentom sa útočník často dostane jednoduchšie ako cez web, napríklad cez ukradnuté heslo bez dvojfázového overenia. Nastavenie Microsoft 365 alebo Google Workspace kontrolujem s účtom, ktorý má práva len na čítanie, ak to váš systém umožňuje. Pozriem sa na:

  • účty bez zapnutého dvojfázového overenia
  • účty bývalých zamestnancov a ľudí s väčšími právami, než potrebujú
  • súbory a priečinky zdieľané cez verejný odkaz
  • pravidlá, ktoré preposielajú poštu na externé adresy
  • aplikácie tretích strán s prístupom k pošte alebo dokumentom
  • SPF, DKIM a DMARC, aby sa za vašu doménu nedalo ľahko vydávať

Audit kódu a knižníc so známymi chybami

Ak máte vlastnú aplikáciu, prejdem jej kód. Hľadám chyby v prístupových právach, miesta, kde sa nebezpečne skladajú databázové dotazy, a heslá či API kľúče, ktoré niekto uložil priamo do kódu alebo do histórie repozitára. Takýto kľúč stačí na to, aby sa niekto dostal do databázy alebo platobnej brány bez toho, aby prelomil čokoľvek iné.

Skontrolujem aj knižnice, na ktorých aplikácia stojí. V starých verziách bývajú verejne známe zraniteľnosti a podľa správy Verizon DBIR 2026 bolo ich zneužitie prvý raz najčastejším vstupom útočníka, v 31 % únikov so známym vstupom. Pri každej takej knižnici napíšem, na akú verziu ju aktualizovať a čo treba pri tom otestovať.

Čo dostanete po audite

Výsledkom je písomná správa, ktorej porozumie aj konateľ, nielen vývojár. Ku každému nálezu v nej nájdete:

  • čo som našiel a kde presne
  • čo by sa mohlo stať, keby to niekto zneužil
  • závažnosť, aby ste vedeli, čo riešiť ako prvé
  • postup opravy, podľa ktorého ju urobí váš vývojár alebo dodávateľ

Na stiahnutie

12 kontrol bezpečnosti v PDF

Všetkých 12 kontrol prehľadne na tlač, so štvorčekmi na odškrtnutie. Prejdete ich sami alebo s kolegami za jedno popoludnie.

Bez súhlasu vám nič posielať nebudem. Ako spracúvam osobné údaje

Ako bezpečnostný audit prebieha

Pred auditom spolu písomne určíme, čo smiem kontrolovať, kedy a s akými prístupmi. Bez toho nekontrolujem nič, ani verejný web. Pracujem tak, aby som nezaťažil bežnú prevádzku, a neskúšam nič, čo by mohlo zhodiť web alebo zmazať dáta. Heslá mi neposielajte e-mailom, spôsob odovzdania prístupov dohodneme vopred.

Celý postup ide v tomto poradí:

  • bezplatná konzultácia na 30 až 60 minút, po ktorej dostanete cenu a termín
  • písomná dohoda o rozsahu a prístupoch
  • kontrola webu, firemných účtov a kódu podľa dohody
  • správa s nálezmi a hovor, na ktorom ju spolu prejdeme

GDPR, NIS2 a čo audit nenahrádza

GDPR v článku 32 ukladá každej firme, ktorá spracúva osobné údaje, prijať primerané technické a organizačné opatrenia a patrí k nim aj „proces pravidelného testovania, posudzovania a hodnotenia účinnosti“ týchto opatrení. Bezpečnostný audit je jeden zo spôsobov, ako takú kontrolu urobiť a mať ju zdokumentovanú.

Zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti, ktorý od 1. 1. 2025 preberá smernicu NIS2, sa týka hlavne firiem aspoň strednej veľkosti v sektoroch ako energetika, doprava, zdravotníctvo, výroba či potraviny. Audit podľa tohto zákona smie robiť len certifikovaný audítor kybernetickej bezpečnosti a môj audit ho nenahrádza. Malá firma sa k zákonu môže dostať ako dodávateľ takého prevádzkovateľa, ktorý s ňou musí uzavrieť zmluvu o bezpečnostných opatreniach. Viac o oboch predpisoch píšem v kontrolnom zozname pre malú firmu.

Ďalšie audity: SEO, GEO, rýchlosť, prístupnosť a náklady

Okrem bezpečnosti viem skontrolovať aj to, či vám web prináša zákazníkov a či neplatíte za softvér zbytočne. Tieto audity sa dajú objednať samostatne alebo spolu s bezpečnostným:

  • SEO a GEO audit: či vás nájde Google a či vás odporučia AI nástroje ako ChatGPT
  • rýchlosť webu: čo spomaľuje načítanie a ako dostať metriky Core Web Vitals do pásma, ktoré Google označuje ako dobré (načítanie hlavného obsahu do 2,5 s)
  • prístupnosť podľa európskeho aktu o prístupnosti (EAA): či web zvládne používať aj človek so zrakovým alebo pohybovým obmedzením, čo je od 28. 6. 2025 povinné napríklad pre e-shopy predávajúce spotrebiteľom, ak nejde o mikropodnik
  • náklady na softvér: za ktoré predplatné platíte zbytočne a čo sa oplatí nahradiť vlastným riešením

Kto audit robí

Audit robím ja, Patrik Krajňák, full-stack vývojár z Košíc a inžinier informatiky z TUKE. Webové aplikácie, CRM a interné systémy pre firmy staviam sám, takže chyby, ktoré pri audite hľadám, poznám aj z druhej strany. Pre CRM a klientsky portál daňovej a účtovnej firmy som cez Eturial písal bezpečnostnú vrstvu prístupov. Viac o mne nájdete v prehľade mojich skúseností.

Ak si chcete základné veci najprv skontrolovať sami, začnite kontrolným zoznamom 12 vecí pre malú firmu.

Zdroje

  1. Nariadenie (EÚ) 2016/679 (GDPR), článok 32 (EUR-Lex, SK)
  2. Zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti, aktuálne znenie (Slov-Lex)
  3. Zákon č. 351/2022 Z. z. o prístupnosti výrobkov a služieb (Slov-Lex)
  4. Verizon: 2026 Data Breach Investigations Report (PDF)
  5. web.dev: Web Vitals
02 Otázky

Časté otázky k téme

Koľko stojí bezpečnostný audit?

Bezpečnostný audit stojí od 410 €. Cena závisí od rozsahu, napríklad od toho, či kontrolujem len web, aj firemné účty alebo aj kód vlastnej aplikácie. Konkrétnu cenu a termín dostanete po úvodnej konzultácii, ktorá trvá 30 až 60 minút a je zadarmo.

Je bezpečnostný audit to isté ako penetračný test?

Nie je. Penetračný test je riadený pokus o prienik do systému. Pri audite kontrolujem nastavenia, prístupy a kód a pri webe sa pozerám na to, čo aplikácia prezradí bežnému alebo prihlásenému používateľovi. Útoky, ktoré by mohli ohroziť prevádzku, neskúšam.

Aké prístupy k auditu potrebujete?

Na kontrolu verejného webu prístup nepotrebujem, stačí váš písomný súhlas. Pri firemných účtoch stačí účet s právami len na čítanie, napríklad rola Global Reader v Microsoft 365. Pri audite kódu potrebujem prístup do repozitára. Spôsob, akým mi prístupy odovzdáte, dohodneme vopred.

Opravíte nájdené chyby aj sami?

Ak systém staviam ja, chyby v ňom opravujem vždy zadarmo. Pri aplikácii od iného dodávateľa napíšem správu tak, aby podľa nej opravy urobil váš vývojár alebo dodávateľ, a po oprave môžeme nálezy skontrolovať znova.

Je to audit podľa zákona o kybernetickej bezpečnosti (NIS2)?

Nie je. Audit podľa zákona o kybernetickej bezpečnosti smie robiť len certifikovaný audítor kybernetickej bezpečnosti. Môj audit je praktická kontrola webu, firemných účtov a kódu. Firmám pod týmto zákonom pomôže nájsť slabé miesta, ale zákonný audit nenahrádza.

Ako často robiť bezpečnostný audit?

Rozumné je aspoň raz za rok a vždy po väčšej zmene, napríklad po spustení novej aplikácie, prechode na iný e-mail alebo odchode človeka, ktorý mal administrátorské prístupy.

03 Súvisiace

Ďalšie služby a projekty

Kontakt

Napíšte mi, čo dnes robíte ručne.

Stačí pár viet o tom, aký proces vás zdržiava alebo aký systém potrebujete. Do ôsmich hodín sa ozvem s tým, či a ako sa to dá postaviť, a ak to dáva zmysel, dohodneme si krátky hovor.

Alebo priamo

patrik.krajnak.dev@gmail.com +421 950 625 466

Odpoveď do 8 hodín, Košice aj na diaľku

Hovory cez Google Meet: Pondelok až štvrtok 7:00 až 20:00, piatok do 18:00. Víkend po dohode.

Alebo napíšte priamo na patrik.krajnak.dev@gmail.com.

Údaje použijem len na odpoveď a dohodnutie stretnutia. Ochrana osobných údajov