Riadenie IT rizík v malej firme: 6 vecí, ktoré majitelia podceňujú, a postup bez certifikácie

Väčšina majiteľov firiem si myslí, že IT riziká sa týkajú len veľkých korporácií. Omyl. Malé a stredné firmy sú dnes terčom útokov práve preto, že ich obrana je slabšia. Jedna neopatrnosť môže zastaviť celú firmu na dni. Poďme sa pozrieť, čo môžete urobiť, kým sa to stane.

Keď si vyhľadáte riadenie IT rizík, narazíte na normu ISO 27005, certifikácie a audítorské metodiky. Pre banku alebo veľký podnik sú správnou cestou. Malá firma však nepotrebuje stohy dokumentácie, ale prehľad o tom, čo ju môže zastaviť, a jasné rozhodnutie, čo s tým urobí. Nižšie nájdete šesť vecí, ktoré majitelia najčastejšie podceňujú, a jednoduchý postup, ktorý zvládnete sami, bez normy a bez certifikácie.

1. Nemáte prehľad o tom, čo v IT vlastne máte

Prvý krok k riadeniu rizík je vedieť, čo chrániť. Mnohé firmy nevedia, koľko zariadení je v sieti, aký softvér bežia alebo kedy naposledy prebehla aktualizácia. Ak to neviete ani vy, nemôžete ani vedieť, kde ste zraniteľní.

Riešenie nie je zložité. Profesionálny IT audit odhalí stav vašej infraštruktúry a ukáže, kde vás tlačí topánka. Bez neho riadite riziko naslepo.

2. Zálohovanie? "Máme to niekde nastavené..."

Toto je jedna z najčastejších odpovedí, ktorú počúvam od konateľov. Záloha, ktorú ste nikdy neotestovali, prakticky neexistuje. Keď príde ransomvérový útok alebo havárie servera, zistíte, že záloha z posledného mesiaca nestačí alebo sa nedá obnoviť.

Podľa odporúčaní ENISA (Agentúra EÚ pre kybernetickú bezpečnosť) by firmy mali mať zálohy na viacerých miestach vrátane cloudu a pravidelne testovať ich obnoviteľnosť. Väčšina malých firiem to nerobí.

Ak chcete mať istotu, že zálohovanie skutočne funguje, potrebujete niekoho, kto to bude aktívne sledovať. Nie nastaviť raz a zabudnúť.

3. Ľudský faktor je väčšie riziko ako hackeri

Phishingový email, slabé heslo, USB kľúč nájdený na parkovisku. Väčšina bezpečnostných incidentov začína chybou človeka, nie sofistikovaným hackerským útokom. A vo firme s desiatimi ľuďmi to stačí.

Nemusíte organizovať nákladné školenia každý mesiac. Stačí mať nastavené základné pravidlá a politiky, ktoré váš IT partner vynúti technicky. Napríklad viacfaktorová autentifikácia, firemný správca hesiel alebo automatické blokovanie podozrivých emailov.

4. Zastaraný softvér a systémy sú otvorené dvere

Stále bežíte na starom operačnom systéme alebo softvéri, ktorý už nemá podporu? Každý deň navyše je deň, kedy útočník môže využiť známu zraniteľnosť, na ktorú nikdy nevyjde záplata. A vaša poistka takýto incident nemusí pokryť.

Dobrým príkladom je prechod na aktuálne platformy. Ak riešite napríklad prechod na Windows 11, je to správny smer. Aktuálny systém dostáva bezpečnostné aktualizácie, zastaraný nie.

Technologický posun firmy nemusí byť bolestivý. Ak ho niekto plánuje a riadi za vás, vy to takmer nepocítite.

5. Výpadok systémov nemáte kedy riešiť vy

Predstavte si, že v pondelok ráno nefunguje sieť, email ani prístup k dátam. Každá hodina výpadku znamená zamestnanecký čas, zmeškaných zákazníkov a poškodenú povesť. Kto to vyrieši a ako rýchlo?

Ak nemáte dohodu s IT partnerom o garancii reakčného času, riešite to ad hoc. To vždy trvá dlhšie a stojí viac. Reaktívny prístup k IT rizikám je jednoducho drahší ako proaktívna správa.

Prečítajte si aj náš článok o tom, kedy sa firmám na Slovensku skutočne oplatí externá správa IT. Čísla vás možno prekvapia.

6. Nemáte plán na obnovu po havárii

Business continuity alebo plán obnovy po havárii znie ako niečo pre veľké firmy. V praxi ide o jednoduché odpovede: Kto čo robí keď server odíde? Kde sú zálohy? Kto kontaktuje dodávateľa?

Bez tohto plánu stráca každý čas improvizáciou. S plánom sa firma zdvihne za hodiny, nie dni. Ak vás zaujíma, ako sa k IT rizikám stavajú firmy, ktoré sa rozhodli riešiť ich externe, pozrite si porovnanie IT outsourcing vs. interný IT-čkár. Je to rozhodnutie, ktoré má priamy vplyv na rýchlosť obnovy.

Zostaviť takýto plán nie je raketa. Ale niekto ho musí urobiť a potom aj udržiavať aktuálny. To je práca pre IT outsourcing partnera, nie pre konateľa, ktorý má dosť iných starostí.

Jednoduchý register IT rizík na jednu stranu

Základným nástrojom riadenia rizík je register, teda tabuľka, do ktorej zapíšete, čo sa môže pokaziť. V malej firme stačí 10 až 15 riadkov. Pri každom riziku odpovedzte na štyri otázky: čo sa môže stať, aký by to malo dopad, aká je pravdepodobnosť a kto má opatrenie na starosti.

Dopad aj pravdepodobnosť stačí hodnotiť slovami nízky, stredný a vysoký. Najprv riešte riziká s vysokým dopadom, bez ohľadu na pravdepodobnosť. Aj riziko, ktoré sa rozhodnete vedome prijať, si zapíšte spolu s menom toho, kto o tom rozhodol.

Čo zvládnete sami a kedy prizvať odborníka

Veľkú časť práce urobí majiteľ alebo office manažér aj bez technických znalostí: zostaví zoznam zariadení a služieb, zavedie firemný správca hesiel, nastaví postup pri odchode zamestnanca, zapíše kontakty pre prípad incidentu a raz za štvrťrok si nechá ukázať skúšobnú obnovu zálohy.

Odborníka potrebujete pri technických opatreniach, ako je nastavenie firewallu a siete, ochrana koncových zariadení, šifrovanie či penetračné testy, a pri posúdení, či sa na vás vzťahuje NIS2. Ak nemáte vlastného IT človeka, cez IT outsourcing si kúpite čas špecialistu, napríklad jeden deň v mesiaci, ktorý s vami register prejde a technické body zrealizuje. Priority pritom určujete vy.

Formálny systém podľa normy dáva zmysel až vtedy, keď ho od vás vyžaduje zákazník, regulátor alebo poisťovňa, alebo keď firma narastie na stovky zamestnancov a viac pobočiek.

Štvrťročná kontrola IT rizík za 90 minút

Register má cenu len vtedy, keď žije. Stačí raz za štvrťrok krátke stretnutie vedenia a IT správcu s pevnou agendou:

1. Čo sa za posledné tri mesiace zmenilo: noví ľudia, nové systémy, nové zákazky.
2. Či nastal incident alebo takmer incident a čo sme sa z neho naučili.
3. Stav opatrení z minulej kontroly: hotové, rozpracované, zabudnuté.
4. Výsledok skúšobnej obnovy zálohy.
5. Nové riziká do registra a rozhodnutie, kto ich rieši a dokedy.

Zápis z takéhoto stretnutia je zároveň dobrý doklad pre poisťovňu alebo väčšieho odberateľa, ktorý sa pýta, ako riadite IT riziká.

Čo by vás ešte mohlo zaujímať

Musí mať malá firma formálny proces riadenia IT rizík?

Formálny dokument nie je povinnosťou pre každú firmu. Dôležité je, aby niekto riziká aktívne sledoval a riešil. Pri malých firmách to najjednoduchšie zabezpečí externý IT partner, ktorý má procesy nastavené a vie ich aplikovať aj pre menšieho klienta.

Ako rýchlo sa dá IT riziko v malej firme dostať pod kontrolu?

Závisí to od aktuálneho stavu. Po IT audite vieme zvyčajne identifikovať najkritickejšie body do niekoľkých dní a záplatovať ich postupne podľa priority. Nie všetko treba riešiť naraz. Dôležité je začať a mať plán.

Je IT outsourcing vhodný pre firmu s piatimi zamestnancami?

Áno, práve naopak. Menšia firma si nemôže dovoliť vlastného IT špecialistu na plný úväzok, no IT problémy ju môžu postihnúť rovnako tvrdo ako väčšiu. Externý IT partner poskytuje pokrytie, skúsenosti a reakčný čas, ktorý by si inak musela firma vybudovať sama za oveľa vyššie náklady.

Čo je prvý krok, ak chceme začať riešiť IT riziká?

Najrozumnejší prvý krok je IT audit. Dostanete objektívny pohľad na stav vašej infraštruktúry, zoznam zraniteľností a odporúčaný postup. Až potom má zmysel plánovať ďalšie kroky. Bez auditu riešite problémy naslepo a často drahšie.

Čo je register IT rizík?

Register IT rizík je tabuľka, v ktorej má firma zapísané, čo sa jej v IT môže pokaziť, aký by to malo dopad a kto má na starosti opatrenie. V malej firme má typicky 10 až 15 riadkov. Aktualizuje sa pri každej väčšej zmene a aspoň raz za štvrťrok.

Aké sú najčastejšie IT riziká v malej firme?

Najčastejšie ide o ransomvér a stratu dát, phishing s krádežou prihlasovacích údajov, zastaraný softvér bez aktualizácií a závislosť od jediného človeka, ktorý pozná heslá a systémy. Časté je aj riziko výpadku internetu alebo kľúčovej cloudovej služby. Väčšinu z nich výrazne znížia overené zálohy, viacfaktorové overenie a zdokumentované prístupy.

Kto má vo firme riadenie IT rizík na starosti?

Zodpovednosť nesie vedenie firmy, lebo rozhoduje, ktoré riziká prijme a do ktorých opatrení investuje. Technickú časť vykonáva interný IT správca alebo externý partner. Dôležité je, aby mal každé riziko v registri meno konkrétneho človeka, nie oddelenia.