Jak ochránit firmu před výpadkem, ztrátou dat a provozní krizí

Provozní krize nemusí začít velkým kybernetickým útokem. Stačí rozbitý notebook, ztracený telefon, výpadek internetu, chyba dodavatele, poškozený sklad, nemoc klíčového člověka nebo e-mail, který někdo otevře pod falešnou záminkou.

Malá firma často nemá samostatné IT oddělení ani tým pro krizové řízení. To ale neznamená, že se nemůže připravit. Potřebuje znát nejdůležitější data, mít možnost obnovy, oddělit přístupy, vědět, kdo rozhoduje a mít jednoduchý postup pro první hodiny.

Odolnost firmy stojí na třech vrstvách:

• Prevence: snižujete pravděpodobnost chyby, útoku nebo výpadku.
• Obnova: dokážete vrátit data, přístupy a práci do provozu.
• Kontinuita: víte, jak obsloužit zákazníky a pokračovat v kritické práci, i když hlavní systém nefunguje.

Cílem není vytvořit dokonalou ochranu proti všemu. Cílem je zkrátit dobu, po kterou firma neví, co se stalo, a snížit dopad na zákazníky, peníze a důvěru.

Začněte seznamem toho, co firma potřebuje k práci

Nejprve si napište, bez čeho by firma nemohla dodávat. Nezačínejte názvy aplikací, ale činnostmi.

Typicky jde o:

• kontakty a objednávky,
• doklady, smlouvy a účetní podklady,
• rozpracované zakázky a termíny,
• zdrojové nebo výrobní podklady,
• přístupy k doménám, e-mailu, bankovnictví a důležitým službám,
• skladové a provozní evidence,
• kontakty na zákazníky, zaměstnance a dodavatele.

U každé položky doplňte:

• kde se nachází,
• kdo ji používá,
• jak často se mění,
• jakou nejdelší ztrátu dat ještě unesete,
• jak rychle ji potřebujete obnovit.

Pro malé květinářství bude kritická evidence objednávek a termínů doručení. Pro stavební firmu rozpracované výkresy, smlouvy a kontakty na subdodavatele. Pro fotografa zdrojové snímky a předávací data. Pro malou kavárnu objednávky, směny, receptury a dodavatelské kontakty.

Záloha není totéž co synchronizace

Synchronizace udržuje stejný stav na více zařízeních. Když někdo omylem smaže soubor a změna se synchronizuje všude, může zmizet na všech místech. Záloha je oddělená kopie, ze které lze obnovit starší stav.

U důležitých dat si proto ověřte:

• zda existuje další kopie,
• zda není dostupná pod stejným účtem jako originál,
• zda obsahuje i starší verze,
• zda je chráněná před smazáním nebo zašifrováním,
• zda jste ji někdy skutečně obnovili.

Jedna kopie v notebooku není záloha. Disk připojený trvale k počítači nemusí přežít ransomware. Cloudová složka může být užitečná, ale sama o sobě nemusí řešit historii, oprávnění ani obnovu celého systému.

Vytvořte více vrstev záloh

Pro malou firmu je důležitější pravidelnost a test obnovy než složitý název strategie. Prakticky můžete kombinovat:

• pracovní kopii v běžném systému,
• automatickou zálohu ve spravovaném úložišti,
• oddělenou kopii s omezeným přístupem,
• občasnou offline kopii uloženou mimo hlavní zařízení.

Offline kopie nemusí znamenat archivní místnost. Může jít o odpojený disk nebo jiný způsob uložení, který není trvale přihlášený k firemnímu účtu. U citlivých dat myslete na šifrování, fyzické zabezpečení a přístup osoby, která obnovu zvládne.

Četnost záloh nastavte podle toho, kolik práce si můžete dovolit znovu vytvořit. U objednávek vznikajících každý den může být potřebná denní nebo častější kopie. U archivních dokumentů může být rytmus jiný. Neexistuje jedno číslo vhodné pro všechny firmy.

Pravidelně obnovte zkušební soubor nebo menší složku. Jednou za čas ověřte i celý důležitý celek. Testujte na jiném zařízení nebo v odděleném prostředí, aby se ověřilo, že záloha není závislá na původním počítači.

Nejdůležitější je cesta obnovy

Při výpadku si potřebujete odpovědět na čtyři otázky:

1. Co obnovíme jako první?
2. Odkud data vezmeme?
3. Kdo obnovu provede?
4. Jak ověříme, že je systém a data v pořádku?

Pořadí může být jiné podle firmy. Pro některý provoz je první pokladna a objednávky, pro jiný telefon a kalendář, pro další možnost vystavit doklad nebo dohledat smlouvu. Napište pořadí dříve, než nastane problém.

Rozlišujte dva časové cíle:

• Maximální ztráta dat: jak starou kopii ještě dokážete přijmout.
• Doba obnovení: jak dlouho může klíčová služba nefungovat.

U malého servisu může být přijatelné obnovit starší administrativní dokumenty za dva dny, ale ne objednávky na dnešní termín. U účetní kanceláře může být kritické zachovat bezpečný přístup k podkladům, ne nutně obnovit každou pracovní poznámku.

Chraňte přístupy k nejcennějším účtům

Útočník nemusí prolomit celý server. Někdy mu stačí získat e-mail, správu domény, cloudové úložiště nebo účet, přes který se obnovují další hesla.

Sepište si kritické účty a u každého ověřte:

• kdo je vlastníkem,
• kdo má přístup,
• zda používáte unikátní heslo,
• zda je zapnuté vícefaktorové ověření,
• kam vede obnova účtu,
• zda je uložený bezpečný kontakt pro případ ztráty přístupu.

Pro důležité služby používejte správce hesel a vlastní účty. Nesdílejte hlavní heslo v chatu ani v tabulce bez ochrany. Když spolupracovník odejde, odeberte jeho přístupy a změňte sdílené nebo nouzové údaje.

NÚKIB doporučuje při přihlašování, pokud je to možné, používat dvoufaktorové ověření a u podezřelých požadavků ověřovat adresu a požadavek jinou cestou. Vícefaktorové ověření není jediná ochrana, ale výrazně zvyšuje náročnost zneužití samotného hesla.

Naučte tým poznat podezřelý požadavek

Phishing často nevyžaduje technické znalosti. Útočník se snaží vyvolat spěch nebo obavu: „zaplaťte dnes“, „potvrďte účet“, „otevřete podklady“, „změnili jsme bankovní účet“.

Zpozorněte, když zpráva:

• požaduje okamžitou platbu nebo změnu bankovních údajů,
• vede na adresu, která se podobá známé doméně, ale není stejná,
• obsahuje nečekanou přílohu nebo odkaz,
• vyžaduje zadání hesla mimo obvyklé místo,
• přichází z neobvyklé adresy nebo tónu,
• zakazuje ověření požadavku u kolegy nebo dodavatele.

Pravidlo může být jednoduché: změnu bankovního účtu, mimořádnou platbu nebo vydání citlivých údajů ověřujeme telefonátem na známé číslo, ne číslem uvedeným v podezřelé zprávě.

NÚKIB upozorňuje, že u spear-phishingu může rozhodnout jediné kliknutí a doporučuje slepě neotvírat přílohy a odkazy, kontrolovat adresu odesílatele a při nejistotě požadavek ověřit jiným kanálem.

Aktualizujte zařízení a služby

Výpadek může vzniknout i kvůli neaktualizovanému zařízení nebo zastaralému doplňku. Udržujte aktualizace operačního systému, prohlížeče, routeru, telefonu a používaných aplikací. U služeb připojených k internetu zjistěte, kdo aktualizace zajišťuje a jak se o nich dozvíte.

Veďte si jednoduchý seznam:

• počítače a telefony používané pro práci,
• routery, tiskárny, pokladny a další zařízení,
• účty a služby s přístupem z internetu,
• datum poslední aktualizace nebo kontroly,
• osoba odpovědná za řešení problému.

Pokud už zařízení není podporované, naplánujte jeho výměnu. Nečekejte, až selže při důležité zakázce. U starších systémů připravte alespoň oddělení od citlivých účtů a pravidelné zálohy.

Připravte papírový nebo offline krizový balíček

V krizové situaci nemusí fungovat e-mail, cloudové úložiště ani interní chat. Kontaktní a rozhodovací informace proto uložte i mimo hlavní systémy.

Krizový balíček může obsahovat:

• telefonní čísla na klíčové lidi a dodavatele,
• kontakt na správce IT, účetní, banku, pojišťovnu a poskytovatele připojení,
• adresu a přístup k zálohám,
• seznam kritických účtů bez samotných hesel,
• pořadí obnovy služeb,
• vzor zprávy pro zákazníky,
• postup pro zablokování platební karty nebo účtu,
• informaci, kdo smí rozhodnout o odstavení zařízení.

Citlivé údaje chraňte odděleně. Krizový balíček má pomoci obnovit postup, ne vytvořit jeden papír, který obsahuje všechna hesla a klíče.

Napište si jednoduchý incidentní postup

V prvních minutách po podezřelém incidentu je důležitější zastavit škodu než začít vše opravovat. Připravte si postup pro běžné scénáře.

Obecný první postup:

1. Zastavte šíření: odpojte podezřelé zařízení od sítě, pokud tím neztratíte důležité důkazy nebo neohrozíte bezpečnost.
2. Neprovádějte unáhlené změny: nemažte zprávy, logy ani soubory, které mohou pomoci zjistit, co se stalo.
3. Informujte vlastníka rozhodnutí: určete, kdo koordinuje další kroky.
4. Chraňte další účty: z bezpečného zařízení změňte ohrožené přístupy a zkontrolujte aktivní relace.
5. Kontaktujte pomoc: správce, poskytovatele služby, banku nebo odborníka podle typu incidentu.
6. Komunikujte ověřené informace: zákazníkům neslibujte obnovu, kterou ještě nemáte potvrzenou.
7. Zapište časovou osu: co se stalo, kdo co zjistil a jaký krok následoval.

Ne každý incident se řeší stejně. Při podezření na odcizení bankovních údajů je prioritou banka. Při zašifrovaných datech oddělení zařízení a odborné posouzení. Při výpadku dodavatele komunikace, náhradní postup a přesměrování práce.

Rozlišujte bezpečnostní incident a běžný výpadek

Výpadek internetu nemusí být útok. Ztracený notebook nemusí znamenat únik dat, pokud jsou účty chráněné a zařízení šifrované. Podezřelý e-mail ale může být incidentem i tehdy, když nikdo neví, zda došlo ke kliknutí.

Nejistotu neřešte mlčením. Zapište, co víte, a co je pouze domněnka:

• kdy se problém objevil,
• která zařízení a účty mohou být dotčené,
• co přesně uživatel udělal,
• jaká data mohla být dostupná,
• zda probíhá útok nebo jen následek,
• jaké kroky už byly provedené.

U firem, na které se vztahují konkrétní povinnosti podle českého zákona o kybernetické bezpečnosti, mohou existovat oznamovací lhůty a další požadavky. NÚKIB uvádí pro příslušné subjekty v portálu prvotní hlášení nejpozději do 24 hodin a doplňující zprávu u významných incidentů do 72 hodin. Neznamená to, že každá malá firma musí hlásit každý výpadek NÚKIB; rozhodující je, zda spadá do regulovaného režimu a jaký typ incidentu nastal.

Udržujte náhradní způsob obsluhy zákazníků

Kontinuita nemusí znamenat plnou náhradu všech systémů. Jde o to, aby firma dokázala zvládnout nejdůležitější práci po omezenou dobu.

Promyslete náhradní postup pro:

• přijetí objednávky,
• potvrzení termínu,
• zápis kontaktu a požadavku,
• vystavení dokladu nebo předání podkladů účetní,
• komunikaci zpoždění,
• zpracování platby,
• předání práce po obnovení hlavního systému.

Pokud vypadne rezervační systém u malého masážního studia, může několik hodin fungovat telefonický seznam a potvrzení zprávou. Pokud přestane fungovat skladová evidence, obchod může přejít na dočasný ruční zápis s následným přepisem. Náhradní postup musí mít vlastníka a pravidlo, kdy se data doplní zpět.

Dočasný papírový systém musí být bezpečný. Nezapisujte citlivé údaje na volné lístky, které může kdokoli odnést. Po návratu do běžného provozu zkontrolujte duplicity a bezpečně zlikvidujte nepotřebné kopie.

Komunikace během krize musí být pravdivá a krátká

Zákazník obvykle nepotřebuje technické detaily. Potřebuje vědět, zda se jeho objednávka, termín nebo platba dotkne problému.

Dobrá zpráva obsahuje:

• co je ovlivněné,
• co firma právě dělá,
• co může zákazník očekávat,
• kdy přijde další aktualizace,
• kam se obrátit v urgentní situaci.

Neříkejte „všechno je v pořádku“, pokud to ještě nevíte. Stačí například: „V tuto chvíli ověřujeme dostupnost objednávek z dnešního dopoledne. Vaše zakázka je evidovaná v náhradním seznamu a do 14:00 potvrdíme, zda se mění termín. Další informace pošleme stejným kontaktem.“

Po incidentu obnovte i důvěru

Obnovení systému není poslední krok. Po návratu do provozu zkontrolujte, zda jsou data úplná, zda se nevrátila napadená část a zda lidé vědí, co se změnilo.

Po incidentu projděte:

• které služby byly mimo provoz,
• jaká data byla obnovena a z jaké kopie,
• které objednávky, platby nebo termíny byly dotčené,
• zda byly změněné ohrožené přístupy,
• co je potřeba oznámit zákazníkům nebo úřadům,
• co se má změnit v zálohách, školení nebo procesu.

Neobviňujte automaticky člověka, který klikl. Zjistěte, zda byl požadavek realisticky rozpoznatelný, zda existovalo jednoduché pravidlo ověření a zda měl člověk kam podezření nahlásit.

Čtrnáctidenní plán základní odolnosti

1. Den 1: sepište kritická data, služby a zařízení.
2. Den 2: určete, co má být obnoveno jako první.
3. Den 3: ověřte, kde existují zálohy a kdo k nim má přístup.
4. Den 4: obnovte zkušební soubor z každé důležité zálohy.
5. Den 5: zkontrolujte aktualizace zařízení a služeb.
6. Den 6: zapněte vícefaktorové ověření u kritických účtů.
7. Den 7: odeberte nepotřebné uživatele a přístupy.
8. Den 8: sepište náhradní postup pro příjem objednávek a komunikaci.
9. Den 9: připravte krizový seznam kontaktů mimo hlavní systém.
10. Den 10: napište první postup pro phishing, ztracené zařízení a výpadek služby.
11. Den 11: určete osobu, která koordinuje incident.
12. Den 12: vysvětlete týmu pravidlo ověřování plateb a přístupů.
13. Den 13: projděte modelový výpadek bez skutečného vypínání systémů.
14. Den 14: opravte plán podle toho, co bylo nejasné.

Kontrolní seznam před krizí

• Vím, která data a služby jsou pro firmu kritické?
• Existuje oddělená záloha a má starší verze?
• Vyzkoušel jsem obnovu, ne jen vytvoření kopie?
• Jsou nejdůležitější účty chráněné vícefaktorovým ověřením?
• Má každý člověk vlastní přístup?
• Vím, kdo má rozhodnout při incidentu?
• Máme kontakty dostupné i bez e-mailu a cloudu?
• Existuje náhradní postup pro objednávky a zákaznickou komunikaci?
• Umíme ověřit změnu bankovních údajů jinou cestou?
• Víme, které povinnosti a kontakty se na firmu vztahují při závažném incidentu?

Odolná firma není firma bez problémů

Výpadek, chyba nebo podezřelý e-mail se mohou stát i firmě, která pracuje pečlivě. Rozdíl je v tom, zda problém zastihne firmu bez záloh, kontaktů a rozhodovacího postupu, nebo zda existuje připravená cesta k obnově.

Začněte seznamem kritických věcí, oddělenou zálohou a testem obnovy. Potom chraňte přístupy, naučte tým ověřovat neobvyklé požadavky a připravte jednoduchou krizovou kartu. Příprava nemusí být drahá ani složitá. Musí být konkrétní, dostupná a pravidelně vyzkoušená.

Zdroje a další čtení

• NÚKIB: Spear-phishing a jak se před ním chránit – ověřování adres, příloh, odkazů a neobvyklých požadavků.
• NÚKIB: Upozornění na hrozbu ransomware útoků – rizika phishingu, vzdáleného přístupu a ochrany záloh.
• Portál NÚKIB: Prvotní hlášení incidentu – informace pro subjekty, na které se vztahuje oznamovací režim podle zákona o kybernetické bezpečnosti.
• NCSC: Small Business Guide – Response & Recovery – příprava, identifikace, řešení a poučení z incidentu.
• NCSC: Small organisations guide to cyber security – zálohy, ochrana zařízení, e-mailu a účtů.
• CISA: Ransomware Guide – offline zálohy, testování obnovy a základní plán reakce; české právní povinnosti se řídí českými předpisy.