Proč právě lidé?
Útočníci sází na lidský faktor. Phishingové e‑maily, podvržené SMS, falešné faktury nebo USB „dárky“ spoléhají na nepozornost či časový tlak. Podle zprávy Verizon DBIR 2025 (str. 12) stojí za 86 % úspěšných útoků na kompromitaci účtu právě chyba uživatele. I nejdražší firewall je k ničemu, když administrátor odsouhlasí škodlivé makro v Excelu.
7 tipů, jak proměnit nejslabší článek v první obrannou linii
Kultura & vzdělávání
- Pravidelné a záživné povědomí
• Zapomeňte na hodinovou přednášku jednou ročně. Zvolte mikro‑learning (5 min video, mini‑kvízy) každé dva týdny.
• Sdílejte reálné příklady z vlastní firmy – lidé si lépe zapamatují incident „za rohem“ než anonymní statistiku. - Simulované phishingové kampaně
• Každý měsíc rozešlete falešný e‑mail či přihlašovací formulář.
• Tomu, kdo klikne, nabídněte krátké mikro‑školení – místo studu konkrétní návod. - Kultura hlášení bez obviňování
• Jednoduché tlačítko „Nahlásit podezření“ v Outlooku či Teams.
• Odměňte rychlé nahlášení – i když půjde o falešný poplach. Důvěra = rychlá reakce.
Technologická opatření
- MFA jako standard
• Minimálně pro administrátory a vzdálené přístupy; ideálně pro všechny.
• FIDO 2 klíče zkracují přihlášení a omezují phishing. - Správce hesel + zásada „dlouhé a jedinečné“
• Povinné používání firemního password manageru.
• Žádné nucené „čtvrtletní měnění“ – raději 16 + znaků a zákaz recyklace. - Oprávnění podle role (princip nejmenších oprávnění)
• Každá role má jasně daná práva – účetní nepotřebuje zdrojové kódy.
• Revidujte práva čtvrtletně a nastavte automatickou deaktivaci účtu při odchodu zaměstnance. - BYOD a mobilní zařízení pod kontrolou
• Firemní MDM (Mobile Device Management) nebo registrace do Intune/Endpoint Manageru.
• Šifrujte disky a umožněte vzdálené smazání při ztrátě.
Příběh z praxe
„Největší škodu nám nezpůsobil hacker, ale účetní, která omylem spustila makro v dodaném Excelu.“
— CIO středně velké výrobní firmy, ČR 2024
Po incidentu firma nasadila simulovaný phishing a MFA. Během roku klesl počet kliknutí na škodlivý odkaz z 27 % na 3 %.
Shrnutí
- 86 % útoků využívá chybu člověka – uživatel je první i poslední linie.
- Kombinace školení + technologií (MFA, MDM, password manager) snižuje riziko i dobu reakce.
- Kultura bez obviňování urychluje hlášení a minimalizuje škody.
- Začněte malými kroky – mikro‑learning a simulovaný phishing spustíte do týdne.
👉 Tip: Kraita Kompas vyhodnotí lidský faktor ve vaší firmě během chvíle a doporučí konkrétní kroky.