Krátka odpoveď: dvojfaktorové overenie zapnite, aj keď vám ľudia prvý týždeň vynadajú. Heslo samo o sebe dnes neochráni nič dôležité. Firemný e-mail je vstupná brána do všetkého ostatného a zákon navyše dvojfaktor pre časť účtov priamo vyžaduje.
Čo hovorí zákon
Zákon o kybernetickej bezpečnosti (č. 366/2024 Z. z.) a vyhláška NBÚ č. 227/2025 vyžadujú dvojfaktorové overenie ako povinné bezpečnostné opatrenie pre privilegované účty – teda administrátorské a im podobné, ktoré majú prístup k nastaveniam systémov, nie len k bežnej práci s dátami. Patria sem napríklad správcovské účty do e-mailu, do cloudových administrátorských konzol alebo do účtovného systému.
Ak vaša firma pod zákon spadá, zavedenie dvojfaktorového overenia vo firme nie je odporúčanie na zváženie, ale povinnosť s termínom. Prechodné obdobie končí 31. decembra 2026 – odo dneška necelé tri mesiace.
Ak pod zákon nespadáte, pravdepodobne sa k dvojfaktorovému overeniu vo firme aj tak dostanete inou cestou: cez bezpečnostný dotazník od odberateľa, ktorý ho chce vidieť zaškrtnutý ako jeden z prvých bodov.
Ale aj bez zákona a bez dotazníka platí to isté: dvojfaktorové overenie je jedno z mála opatrení, ktoré je lacné, rýchlo hotové a rieši jeden z najčastejších spôsobov, akým sa útočníci dostávajú dnu – ukradnuté alebo uhádnuté heslo.
Prečo je e-mail najdôležitejší účet vo firme
Kto sa dostane do e-mailovej schránky, dostane sa k obnove hesiel do ďalších systémov – do účtovníctva, do CRM, do bankových portálov. Nemusí prelomiť nič iné. Stačí kliknúť na „zabudnuté heslo“ a počkať na odkaz, ktorý príde presne tam, kam sa už dostal.
Z rovnakého dôvodu sa dá z prelomenej schránky písať vašim zákazníkom a dodávateľom – a to je dnes bežnejší spôsob podvodu než prienik do siete. E-mail, ktorý vyzerá ako od konateľa, s pokynom uhradiť faktúru na iný účet, funguje práve preto, že prichádza zo skutočnej schránky skutočného človeka.
Dvojfaktorové overenie vo firme preto nemusí začínať pri serveroch ani pri účtovnom systéme. Najväčší efekt za najmenšiu námahu má presne tam, kde končí väčšina útokov – pri poštovej schránke.
Prečo to ľudia neznášajú
Majú čiastočne pravdu. Prihlásenie má byť rýchle, nie zdržanie. Telefón nie je vždy poruke, signál niekedy chýba a druhý krok pôsobí, akoby firma neverila vlastným ľuďom.
Realita je taká, že prvý týždeň po zapnutí je naozaj otravný. Ľudia zabudnú telefón doma, appka sa nechce nainštalovať, niekto zavolá na podporu, že sa „nevie dostať do mailu“. Po týždni si na to prestane spomínať skoro každý – dvojfaktor sa stane rovnako automatickým ako zadanie hesla.
Kde firmy najčastejšie urobia chybu, je práve tento prvý týždeň: dvojfaktor zapnú bez varovania, cez víkend, a v pondelok ráno im zvoní telefón. Ako to spraviť lepšie, je nižšie.
Nie každé dvojfaktorové overenie chráni rovnako
Tu sa oplatí byť presný, lebo rozdiely medzi jednotlivými spôsobmi sú veľké a odporúčania sa v posledných rokoch citeľne posunuli.
SMS kód je najrozšírenejší a zároveň najslabší. Americký úrad pre štandardy NIST ho vo svojich usmerneniach k digitálnej identite (SP 800-63B) radí medzi „obmedzené“ spôsoby overenia – teda medzi tie, ktoré neodporúča pre citlivejšie prípady. Dôvodom je tzv. SIM swapping: útočník presvedčí pracovníka mobilného operátora, aby vaše číslo preniesol na jeho SIM kartu, a SMS kódy potom chodia jemu. Rovnako je tento kanál zraniteľný voči odpočúvaniu na úrovni mobilnej siete. FBI aj americká bezpečnostná agentúra CISA v decembri 2024 spoločne odporučili SMS ako druhý faktor radšej nepoužívať práve z týchto dôvodov.
Autentifikačná aplikácia (napríklad Microsoft alebo Google Authenticator) je krok vpred. Kód sa generuje priamo v telefóne, nikam sa neposiela, takže SIM swapping naň neplatí. Stále však nie je odolná voči tzv. phishingu v reálnom čase: ak sa niekto prihlási na presnú kópiu prihlasovacej stránky, podvodná stránka odchytí heslo aj kód naraz a v tej istej chvíli ich použije na skutočnej stránke.
Push notifikácia typu „schváliť / zamietnuť“ je pohodlná, ale má vlastnú slabinu. Útočník, ktorý má heslo, môže poslať desiatky žiadostí o schválenie za sebou, kým niekto večer alebo v rozospatosti omylom klikne „schváliť“ len preto, aby appka prestala otravovať. Hovorí sa tomu „MFA fatigue“ alebo push bombing. Appky s tzv. number matching (do appky treba opísať číslo, ktoré vidíte na obrazovke počítača) toto riziko výrazne znižujú, lebo náhodné klikanie už nestačí.
Passkey a hardvérový bezpečnostný kľúč (napríklad YubiKey, technológia FIDO2/WebAuthn) sú dnes tým, čo NIST aj CISA označujú za odolné voči phishingu. Dôvod je technický: kľúč je pri registrácii naviazaný na presnú doménu služby, a keď ho podvodná stránka na inej doméne požiada o overenie, jednoducho neodpovie – nie preto, že by bol „šikovnejší“, ale preto, že adresa nesedí. CISA hardvérové kľúče priamo odporúča firmám, ktoré čelia zvýšenému riziku.
Výhodou je, že passkey často nepotrebuje ani samostatný fyzický kľúč – stačí odtlačok prsta alebo tvár, ktorými už telefón alebo notebook aj tak odomykáte. Z pohľadu bežného zamestnanca je to paradoxne rýchlejšie než odpisovanie šesťmiestneho kódu zo SMS, nielen bezpečnejšie. Ak teda hľadáte spôsob, ako ľuďom sťažnosti na dvojfaktor rovno odstrániť namiesto toho, aby ste ich len znášali, toto je ono.
| Spôsob overenia | Hlavné riziko | Odolnosť voči phishingu |
|---|---|---|
| SMS kód | SIM swapping, odpočúvanie na úrovni siete | žiadna |
| Autentifikačná aplikácia (TOTP) | phishing v reálnom čase (falošná prihlasovacia stránka) | nízka |
| Push notifikácia bez number matching | „MFA fatigue“ / push bombing | nízka až stredná |
| Passkey / hardvérový kľúč (FIDO2) | strata fyzického kľúča alebo zariadenia | vysoká – viazané na doménu |
Ani najlepší spôsob overenia nie je stopercentná poistka – útoky typu MFA fatigue ukazujú, že aj dobre nastavený dvojfaktor sa dá pri nepozornosti obísť. Je to však zásadný rozdiel oproti holému heslu, ktoré nezastaví nikoho. Pre bežnú firmu je dnes rozumným kompromisom autentifikačná aplikácia pre všetkých zamestnancov a passkey alebo hardvérový kľúč aspoň pre privilegované účty, ktoré vyhláška NBÚ rieši osobitne prísne.
Ako dvojfaktor zaviesť, aby prežil pondelok ráno
Toto sú veci z praxe, ktoré rozhodujú, či zavedenie dvojfaktorového overenia vo firme prebehne hladko, alebo skončí frontou pred kanceláriou IT.
Oznámte to vopred. Znie to samozrejme, no najčastejšia chyba je presný opak: dvojfaktor sa zapne cez víkend bez varovania a v pondelok ráno sa nikto neprihlási a všetci volajú na podporu. Stačí e-mail týždeň dopredu s tým, čo sa zmení, kedy a čo majú ľudia urobiť, keď sa nevedia dostať dnu.
Nepýtajte sa pri každom prihlásení zo známeho zariadenia. Nastavenie „zapamätať toto zariadenie“ (trusted device) znamená, že dvojfaktor sa pýta len pri novom počítači, telefóne alebo po dlhšom čase – nie desaťkrát denne. Bez tohto nastavenia si ľudia sami nájdu spôsob, ako dvojfaktor obísť, a presne tomu sa chcete vyhnúť.
Zablokujte staré spôsoby prihlásenia, ktoré dvojfaktor obchádzajú. Staršie protokoly na sťahovanie pošty (napríklad staré nastavenia POP alebo IMAP v e-mailových klientoch) dvojfaktorové overenie často jednoducho nepoznajú – a ak zostanú zapnuté, útočník sa cez ne prihlási aj bez druhého faktora. Zapnúť dvojfaktor a nezablokovať tieto cesty je ako zamknúť predné dvere a nechať otvorené okno v suteréne.
Pripravte aj núdzovú cestu dnu. Telefón sa stratí, rozbije alebo zostane doma – to sa stane každému skôr či neskôr. Záložné kódy alebo druhé registrované zariadenie vyriešia situáciu bez toho, aby ste museli dvojfaktor na chvíľu vypnúť pre celú firmu. Vypnutie „len na chvíľu, nech sa to vyrieši“ je presne tá chvíľa, ktorú si útočník vyberie.
Skúste to najprv na malej skupine. Ak máte tú možnosť, spustite dvojfaktor najprv pre IT a vedenie, prípadne pár dobrovoľníkov. Vychytáte detské choroby – zabudnuté heslá k appke, zle nastavené firemné telefóny – skôr, než sa spustí pre celú firmu naraz. A získate pár ľudí, ktorí vedia poradiť kolegom, namiesto toho, aby všetci volali na tú istú podporu v tú istú hodinu.
Ak nemáte kapacitu spustiť to naraz všade, začnite pri administrátorských účtoch – tam to okrem zdravého rozumu vyžaduje aj vyhláška NBÚ – a hneď pokračujte e-mailom pre všetkých. Zvyšok systémov môže počkať o pár týždňov dlhšie.
Ak neviete, kde presne začať
Dvojfaktorové overenie je jeden bod z bezpečnostných opatrení, ktoré zákon vyžaduje – a či sa vás týka priamo, cez odberateľa, alebo vôbec, zistíte rýchlejšie, než by ste čakali.
Dvojfaktor vieme zapnúť aj samostatne – spolu s ďalším nastavením Microsoft 365 alebo Google Workspace, aby bol naozaj bezpečný, nielen zaškrtnutý.