Kybernetická bezpečnosť malej firmy: 12 vecí, ktoré si skontrolujete sami.

02 / 08

Účty a prístupy: 4 kontroly

Začnite firemnými účtami. Cez jeden ukradnutý e-mail sa útočník dostane k faktúram, zmluvám aj k odkazom na obnovu ďalších hesiel.

• Zapnite dvojfázové overenie všetkým, hlavne pri e-maile, účtovníctve a internet bankingu. V štúdii Microsoftu z roku 2023 na účtoch s podozrivou aktivitou znížilo riziko prevzatia účtu o 99,22 % a pri účtoch s uniknutým heslom o 98,56 %. Overovacia aplikácia v mobile vyšla v štúdii lepšie ako SMS.
• Zrušte účty ľudí, ktorí vo firme už nepracujú, a zmeňte heslá, ktoré poznali, napríklad k Wi-Fi alebo k spoločným účtom.
• Administrátorské práva nechajte len ľuďom, ktorí ich naozaj potrebujú. Na bežnú prácu nech používajú obyčajný účet.
• Heslá ukladajte do správcu hesiel a nepoužívajte jedno heslo na viacerých službách. Únik z jednej služby inak otvorí aj ostatné.

03 / 08

E-mail a doména: 2 kontroly

E-mail je pre podvodníka najjednoduchší spôsob, ako sa vydávať za vás alebo za vášho dodávateľa, napríklad s falošnou faktúrou a novým číslom účtu.

• Nastavte pre doménu záznamy SPF, DKIM a DMARC. Hovoria ostatným poštovým serverom, kto smie posielať maily za vašu doménu, a podvodníkom sťažia vydávať sa za vás. Či ich máte, zistíte u správcu domény alebo v nastaveniach Microsoft 365 či Google Workspace.
• Pozrite si pravidlá, ktoré automaticky preposielajú poštu. Pravidlo, ktoré potichu posiela kópiu faktúr alebo objednávok na cudziu adresu, si bez kontroly nikto nevšimne.

04 / 08

Súbory a zálohy: 2 kontroly

Dokumenty bývajú zdieľané roky po tom, čo ich niekto potreboval, a záloha, ktorú nikto neskúsil obnoviť, nemusí fungovať práve vtedy, keď ju budete potrebovať.

• Prejdite súbory a priečinky zdieľané cez verejný odkaz. Kto má odkaz, má aj prístup, aj keď ho dostal omylom alebo od niekoho iného. Pri dokumentoch s osobnými údajmi zdieľajte radšej konkrétnym ľuďom.
• Zálohujte a raz za čas skúste zálohu aj obnoviť. Aspoň jedna kópia má byť mimo bežného firemného účtu a mimo počítačov vo firme, aby ju nezašifroval ten istý ransomvér.

05 / 08

Web a aplikácie: 3 kontroly

V aktuálnom rebríčku OWASP Top 10 z roku 2025, ktorý zoraďuje najkritickejšie bezpečnostné riziká webových aplikácií, sú na prvých dvoch miestach chybné riadenie prístupu a chybná konfigurácia. Na obe sa zameriavajú tieto tri kontroly.

• Aktualizujte redakčný systém, šablónu a pluginy, alebo sa opýtajte dodávateľa webu, kto a ako často to robí. Plugin, ktorý už nikto nevyvíja, odstráňte.
• Skontrolujte HTTPS a bezpečnostné hlavičky. Bezplatne vám ich ukáže napríklad SSL Labs a Security Headers.
• Overte, že sa zákazník nedostane k cudzím dátam. Prihláste sa ako bežný zákazník a v adrese stránky zmeňte číslo objednávky alebo faktúry. Ak uvidíte cudziu, máte vážny problém a riešte ho s dodávateľom hneď.

06 / 08

Kód a dodávatelia: posledná kontrola

Ak máte vlastnú aplikáciu, zistite, či v jej kóde nie sú uložené heslá a API kľúče a či nestojí na starých knižniciach. Podľa správy GitGuardian State of Secrets Sprawl 2026 pribudlo len v roku 2025 vo verejných commitoch na GitHube 28,65 milióna takto zapísaných kľúčov, tokenov a hesiel. Podľa správy Black Duck OSSRA 2026 malo 87 % auditovaných kódových báz aspoň jednu zraniteľnosť v open source knižniciach a 44 % kritickú. Obe správy vydali firmy, ktoré na tieto problémy predávajú nástroje, takže ich čísla berte ako orientačné.

Od dodávateľa si vypýtajte odpovede na tri otázky: kto má prístup na server a do databázy, ako často aktualizuje knižnice a čo urobí, keď sa v niektorej objaví známa zraniteľnosť.

07 / 08

Čo k bezpečnosti hovorí GDPR a zákon o NIS2

GDPR sa týka každej firmy, ktorá spracúva osobné údaje, teda aj malej. Článok 32 ukladá prijať primerané technické a organizačné opatrenia a patrí k nim aj „proces pravidelného testovania, posudzovania a hodnotenia účinnosti“ týchto opatrení. Porušenie ochrany osobných údajov treba podľa článku 33 oznámiť dozornému orgánu, na Slovensku Úradu na ochranu osobných údajov, bez zbytočného odkladu a podľa možnosti do 72 hodín. Za porušenie týchto povinností hrozí pokuta do 10 miliónov eur alebo do 2 % celosvetového ročného obratu, podľa toho, čo je vyššie.

Smernicu NIS2 preberá zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti v znení novely č. 366/2024 Z. z., ktorá je účinná od 1. 1. 2025. Týka sa hlavne firiem aspoň strednej veľkosti, ktoré pôsobia v sektoroch z príloh zákona, napríklad v energetike, doprave, zdravotníctve, výrobe, potravinách, odpadoch alebo digitálnych službách. Takáto firma sa musí sama prihlásiť Národnému bezpečnostnému úradu do 60 dní od začatia činnosti a závažný incident hlási včasným varovaním najneskôr do 24 hodín od jeho zistenia. Niektoré subjekty zákon zahŕňa bez ohľadu na veľkosť, napríklad registrátorov domén.

Malej firmy sa zákon môže dotknúť aj nepriamo. Prevádzkovateľ základnej služby musí s dodávateľom, ktorý ovplyvňuje jeho siete a informačné systémy, uzavrieť zmluvu o bezpečnostných opatreniach a dodávateľ musí strpieť ich kontrolu. Či pod zákon spadáte, si posúďte podľa metodiky NBÚ a pri konkrétnej právnej otázke sa poraďte s právnikom.

08 / 08

Kedy zavolať niekoho zvonku

Ak ste pri niektorom bode nevedeli, kde hľadať, máte vlastnú aplikáciu s dátami zákazníkov alebo vám to celé spravuje jeden dodávateľ, ktorého nemá kto skontrolovať, oplatí sa bezpečnostný audit. Skontrolujem pri ňom web, firemné účty v Microsoft 365 alebo Google Workspace aj kód a dostanete zoznam nálezov zoradený podľa závažnosti, ku každému s postupom opravy. Audit stojí od 410 € a prvá konzultácia je zadarmo.

Píšem to ako full-stack vývojár, ktorý webové aplikácie a interné systémy pre firmy sám stavia. Pri každom systéme riešim, kto smie vidieť ktoré dáta, a na rovnaké veci sa pozerám aj pri audite.