Princíp najmenších privilégií: kto má mať aký prístup k dátam

Váš účtovník vidí zmluvy s klientmi. Obchodník má prístup k mzdám. A keď zamestnanec odíde, jeho konto stále funguje. Poznáte tento scenár? Nekontrolované prístupy k dátam sú jednou z najčastejších príčin úniku firemných informácií a väčšina majiteľov firiem o tom ani nevie.

Čo je princíp najmenších privilégií a prečo by vás mal zaujímať

Princíp najmenších privilégií je jednoduchá myšlienka: každý zamestnanec má prístup len k tým dátam, ktoré skutočne potrebuje na svoju prácu. Nič viac, nič menej.

Znejí to logicky. V praxi to však väčšina firiem nerieši. Prístupy sa prideľujú narýchlo pri nástupe, nikto ich neskontroluje a časom sa z toho stane nerehovec, kde má každý prístup takmer ku všetkému.

Problém nie je len technický. Je to biznis riziko. Podľa správy agentúry ENISA patrí zneužitie interných prístupov dlhodobo medzi päť najčastejších príčin úspešných kybernetických incidentov v európskych firmách.

Kde to firmy najčastejšie kazia

Za roky práce s firemným IT sme videli tie isté chyby dookola. Nie sú výsledkom zlého úmyslu, ale chýbajúceho systému.

Prístupy sa nikdy neodoberú

Zamestnanec nastúpi, dostane prístupy. Odíde po dvoch rokoch a jeho konto ostane aktívne ďalšie mesiace. Prípadne dostane nové prístupy na novej pozícii, ale tie staré zostanú. Každé neaktívne konto je otvorené dvierka pre útočníka.

Administrátorské práva pre všetkých

Keď IT správca udeľuje prístupy, najjednoduchšia cesta je dať všetkým "admin" práva. Žiadne sťažnosti, žiadne otázky. Ale jeden kompromitovaný účet s admin právami dokáže paralyzovať celú firmu.

Zdieľané heslá a účty

Tím zdieľa jedno heslo k fakturačnému systému. Praktické, rýchle a bezpečnostná nočná mora. Ak dôjde k úniku, nemáte šancu zistiť, kto čo urobil.

Aké sú skutočné riziká pre vašu firmu

Hovoríme tu o konkrétnych dôsledkoch, nie o abstraktných hrozbách.

Únik dát vedie k pokutám podľa GDPR, strate dôvery zákazníkov a v horšom prípade aj k súdnym sporom. Ak zamestnanec odíde ku konkurencii s prístupom k databáze klientov, škoda je okamžitá a ťažko vymožiteľná.

Ransomvér útočí práve cez účty s príliš širokými právami. Ak útočník získa prístup k jednému účtu a ten má právo zapisovať do všetkých firemných priečinkov, zašifruje celú firmu za hodiny. Viac o tejto téme sme písali v článku Kybernetická hygiena: Ako ochraňovať firmu pred novými RAT malvérmi.

Nezabudnite ani na reguláciu. Smernica NIS2 a GDPR vyžadujú preukázateľné riadenie prístupov. Bez toho riskujete regulačné sankcie. Bližšie sa tejto téme venujeme tu: Smernica NIS2 v praxi: Čo sme sa naučili po roku platnosti?

Ako by to malo fungovať: základné princípy

Správne riadenie prístupov nestojí na technológii, ale na procese. Niekoľko princípov, ktoré by mala mať každá firma nastavené:

• Prístupy podľa roly: Každá pozícia má presne definované, k čomu má prístup. Nie podľa toho, kto o čo požiada, ale podľa toho, čo na prácu reálne potrebuje.
• Pravidelná revízia: Aspoň raz za kvartál sa pozrieť, kto má aké prístupy a či ich stále potrebuje.
• Okamžité odobratie pri odchode: Keď zamestnanec odíde alebo zmení pozíciu, prístupy sa upravia do 24 hodín, nie "keď bude čas".
• Žiadne zdieľané účty: Každý zamestnanec má vlastné prihlásenie. Vždy. Bez výnimky.
• Dvojfaktorové overenie: Najmä pre prístupy k citlivým systémom a vzdialený prístup.

Toto sú princípy. Ich správna technická realizácia je však iná kapitola. Nastaviť to v Active Directory, v cloudovom prostredí alebo v kombinácii oboch tak, aby to naozaj fungovalo a bolo auditovateľné, to si vyžaduje skúsenosť. Práve preto je IT audit dobrým začiatkom: ukáže, kde sú medzery, skôr ako ich nájde niekto iný.

Prečo to nezverte do rúk niekomu bez skúseností

Riadenie prístupov vyzerá na prvý pohľad jednoducho. V praxi je to však systém, kde jedna chyba otvorí dieru do celej infraštruktúry.

Nesprávne nastavená skupina v Active Directory. Zabudnutý servisný účet s admin právami. Cloudový storage s prístupom pre "všetkých v organizácii". Toto sú reálne príklady, ktoré nachádzame pri auditoch. A žiadna z týchto firiem o tom nevedela.

Ak chcete mať istotu, penetračné testy ukážu, ako ďaleko by sa reálny útočník dostal s existujúcimi prístupmi. Kombinujte to s digitálnou bezpečnosťou na úrovni celej firmy a máte základ, na ktorom sa dá stavať.

A nezabudnite na ľudský faktor. Aj dobre nastavené prístupy môže prelomiť zamestnanec, ktorý klikne na phishingový e-mail. Prečo sa to stáva a ako tomu zabrániť, sme rozobrali v článku Ako rozpoznať phishingový e-mail: prípad, ktorý mohol zničiť firmu.

Podľa ENISA Threat Landscape 2025 sú firmy, ktoré majú formálne nastavené riadenie identít a prístupov, výrazne odolnejšie voči ransomvérovým aj insiderským útokom. Nejde o luxus, ale o základnú bezpečnostnú hygienu.

Čo by vás ešte mohlo zaujímať

Koľko prístupov je "príliš veľa"?

Neexistuje univerzálne číslo. Pravidlo je jednoduché: ak zamestnanec daný prístup nepotrebuje na svoju každodennú prácu, nemal by ho mať. Dobrý test: opýtajte sa každého v tíme, k čomu všetkému má prístup. Väčšina ľudí to sama nevie. To je prvý signál, že niečo nie je v poriadku.

Čo sa stane, ak prístupy neriešime?

Nič, kým sa niečo nestane. A keď sa to stane, škody sú zvyčajne oveľa väčšie, ako by bol náklad na prevenciu. Únik dát, pokuta za GDPR, výpadok systémov alebo odchod klienta sú reálne scenáre, ktoré vidíme v praxi. Prístupy sú tichý problém, ktorý sa ozve vždy v najhoršom momente.

Musíme mať veľkú IT infraštruktúru, aby to dávalo zmysel?

Nie. Aj päťčlenná firma, ktorá pracuje v cloude a zdieľa dokumenty cez Google Workspace alebo Microsoft 365, má prístupy, ktoré treba riadiť. Práve malé firmy sú častým terčom, pretože útočníci predpokladajú, že tam riadenie prístupov neriešia. A väčšinou majú pravdu.

Ako dlho trvá uviesť prístupy do poriadku?

Závisí to od veľkosti firmy a stavu infraštruktúry. Pri IT audite vieme pomerne rýchlo zmapovať aktuálny stav a identifikovať kritické miesta. Samotná náprava prebieha postupne, podľa priorít a bez toho, aby to narušilo chod firmy. Dôležité je začať, nie urobiť všetko naraz.