Krátka odpoveď: heslo má byť dlhé, jedinečné pre každú službu a uložené v správcovi hesiel – nie v hlave a nie na papieriku pod klávesnicou. Nútená zmena hesla každých 90 dní a povinná kombinácia veľkého písmena, číslice a symbolu sú dnes už prežitok. Americký NIST, na ktorého odporúčania sa firmy bežne odvolávajú, tento prístup vo svojej aktuálnej revízii z júla 2025 priamo zakazuje. Platí opak: dôraz na dĺžku, zmena hesla len pri podozrení na únik, a k heslu vždy druhý faktor.
Odkiaľ sa vzalo pravidlo o 90 dňoch
Väčšina firemných smerníc o heslách vychádza z rovnakého vzorca: meniť heslo raz za štvrťrok, mať v ňom veľké aj malé písmeno, číslicu a symbol. Toto pravidlo sa desaťročia kopírovalo zo smernice do smernice, pretože znelo logicky – zložitejšie heslo je ťažšie uhádnuť a časté striedanie skracuje čas, počas ktorého môže byť ukradnuté heslo užitočné. Prakticky každá interná smernica aj staršie bezpečnostné školenie toto pravidlo opakovali donekonečna, až sa z neho stal zaužívaný reflex – niečo, čo sa robí, lebo sa to vždy robilo, nie preto, že by to niekto overil.
Problém je, že to v praxi nefunguje tak, ako to vyzerá na papieri. Keď je človek nútený meniť heslo, nevymyslí si nové – upraví si staré. Z „Heslo2024!“ sa stane „Heslo2025!“. Vzorec je predvídateľný a útočník, ktorý pozná staré heslo z nejakého starého úniku, uhádne nové v priebehu pár pokusov, nie rokov.
Čo dnes naozaj hovorí NIST
Odklon od nútenej rotácie hesiel nie je novinka tohto roka. Americký National Institute of Standards and Technology (NIST) prestal nútenú periodickú zmenu hesla odporúčať už v revízii SP 800-63B z roku 2017 – vtedy ešte formou slabšieho odporúčania. Vo finálnej revízii SP 800-63B-4 z júla 2025 sa toto odporúčanie zmenilo na priamy zákaz: overovatelia (teda systémy, cez ktoré sa prihlasujete) nesmú od používateľov vyžadovať pravidelnú zmenu hesla. Zmenu majú vynútiť len vtedy, keď existuje dôkaz, že heslo alebo účet unikli.
K tomu revízia z roku 2025 pridáva aj presné čísla, ktoré predtým chýbali:
- Ak je heslo jediný prihlasovací faktor, musí mať aspoň 15 znakov.
- Ak je heslo skombinované s druhým faktorom, stačí minimum 8 znakov – jeden z dôvodov, prečo sa oplatí mať MFA zapnuté všade, nielen tam, kde to prikazuje zákon.
- Systémy majú podporovať heslá dlhé aspoň 64 znakov a povoliť aj medzery – teda celé frázy, nie len jedno slovo so symbolom na konci.
- Povinné skladbové pravidlá (veľké písmeno + číslica + symbol) sa nesmú vyžadovať.
- Nové heslo sa musí porovnať so zoznamom uniknutých a bežne používaných hesiel a pri zhode odmietnuť.
- Systém musí obmedziť počet pokusov o prihlásenie. Toto – nie zložitosť hesla – je podľa NIST hlavná obrana proti uhádnutiu.
- Systémy musia podporovať správcov hesiel a mali by umožniť heslo vložiť skopírované („paste“), nie ho nútiť prepisovať ručne.
Jedna vec sa nezmenila: heslo samo osebe nie je odolné voči phishingu. Ani dlhé, ani krátke. Preto k nemu aj podľa NIST patrí druhý faktor, kdekoľvek je to možné.
Prečo dĺžka funguje lepšie ako symboly
Za odporúčaním je jednoduchá matematika. Každý ďalší znak hesla násobí počet kombinácií, ktoré musí útočník vyskúšať – pridanie dĺžky teda sťažuje uhádnutie oveľa razantnejšie než pridanie jedného povinného symbolu, ktorý si aj tak takmer každý dá na rovnaké miesto (veľké písmeno na začiatok, výkričník na koniec). Dlhá fráza zložená z niekoľkých bežných slov je pritom pre človeka ľahšie zapamätateľná než osem náhodných znakov so symbolom – a presne to rozhoduje, či si ju niekto zapíše na papierik, alebo nie.
Revízia z roku 2025 zároveň zosilňuje tlak smerom k overeniu, ktoré heslo úplne obchádza alebo dopĺňa – napríklad prístupovým kľúčom (passkey) alebo iným phishing-odolným faktorom. V tabuľke požiadaviek pre druhú úroveň zabezpečenia (AAL2, do ktorej spadá bežné firemné prihlásenie) je takéto overenie už odporúčané a musí byť aspoň dostupné ako možnosť. Heslo tak prestáva byť jediným riešením a čoraz viac sa mení na záložný faktor popri niečom silnejšom.
Staré odporúčanie vs. dnešné odporúčanie
| Oblasť | Staré odporúčanie | Dnešné odporúčanie |
|---|---|---|
| Zmena hesla | povinne každých 60 – 90 dní | len pri dôkaze úniku |
| Zloženie | povinne veľké a malé písmeno, číslica, symbol | žiadne povinné skladbové pravidlá |
| Dĺžka | spravidla 8 znakov | aspoň 15 znakov samostatne / 8 znakov s MFA |
| Kde heslo žije | v hlave, prípadne na papieriku | v správcovi hesiel |
| Kontrola pri založení | len kontrola formátu | porovnanie so zoznamom uniknutých a bežných hesiel |
| Obrana proti uhádnutiu | zložitosť hesla | obmedzenie počtu pokusov o prihlásenie |
| Posledná poistka | žiadna, heslo rozhoduje samo | druhý faktor (MFA), povinne pri privilegovaných účtoch |
Čo s tým má spoločné zákon o kybernetickej bezpečnosti
Vyhláška NBÚ č. 227/2025, ktorá vykonáva zákon č. 366/2024 Z. z. o kybernetickej bezpečnosti, zaraďuje riadenie prístupov a správu hesiel medzi opatrenia takzvanej kybernetickej hygieny. Presnú metodiku – konkrétnu dĺžku hesla, presnú frekvenciu zmeny – do detailu nepredpisuje. To si firma nastavuje sama, na základe uznávaných postupov. Presne preto sa oplatí vedieť, čo dnes uznávaný postup naozaj hovorí, namiesto toho, aby sa v internej smernici len opisoval desať rokov starý predpis. Ak politika hesiel pri kontrole pôsobí ako kópia vzoru stiahnutého z internetu, ktorý nikto v prevádzke nepozná, je to problém rovnako veľký, ako keby chýbala úplne.
Jednu vec ale vyhláška konkrétne vyžaduje: dvojfaktorové overenie pre privilegované účty – teda pre administrátorov, správcov systémov, účtovné a iné citlivé role. Tam voľba nie je na firme.
Politika hesiel patrí medzi dokumenty, ktoré firma píše podľa výsledkov analýzy rizík – popri povinnej dokumentácii podľa § 28 vyhlášky, ako je bezpečnostná politika, klasifikačný poriadok alebo havarijné postupy. Zvyčajne ide o krátku, samostatnú smernicu na jednu až dve strany, nie o odsek zahrabaný uprostred iného dokumentu.
Čo napísať do firemnej politiky hesiel
Ak politiku hesiel len upravujete, netreba ju prepisovať od nuly. Stačí prejsť týchto sedem bodov:
- Dĺžka namiesto zložitosti. Aspoň 15 znakov tam, kde heslo stojí samostatne, 8 tam, kde je zapnuté MFA. Fráza zo štyroch až piatich náhodných slov spĺňa dĺžku a je pritom zapamätateľná.
- Žiadne povinné symboly a číslice. Nechajte ich ako možnosť, nie ako podmienku.
- Zmena len pri podozrení na únik – a v politike presne napíšte, čo sa za podozrenie považuje: únik hesla z inej služby, phishing, strata zariadenia, odchod zamestnanca zo zdieľaného konta. Bez tejto definície sa politika v praxi vráti k starému zvyku, lebo „podozrenie“ bez kritérií nikto nevyhlási.
- Správca hesiel ako nástroj, nie odporúčanie. Firma ho zaplatí a nainštaluje, zamestnanec si ho nemá hľadať sám. Bez neho si ľudia aj tak vytvoria vlastný systém – zdieľaný Excel, poznámky v telefóne – a ten je horší než čokoľvek, čo by ste im vybrali vy.
- Dvojfaktorové overenie pre e-mail, VPN, administrátorské a účtovné prístupy – pri privilegovaných účtoch to aj tak vyžaduje vyhláška.
- Zákaz zdieľaných hesiel a zákaz pripomienok a bezpečnostných otázok, ktoré sa dajú vygúgliť.
- Okamžité zrušenie prístupu pri odchode zamestnanca – v deň odchodu, nie o mesiac, keď si na to niekto spomenie.
Firma, ktorá dnes vynucuje zmenu hesla raz za štvrťrok a povinné symboly, spravidla dosiahne presný opak toho, čo chcela. Heslo spĺňa politiku na papieri. Bezpečnosti to nepridá takmer nič – len frustráciu a heslá zapísané v zošite vedľa monitora.
Čo urobiť ako prvý krok
Politiku hesiel nemusíte meniť naraz. Najskôr zrušte nútenú periodickú zmenu a povinné skladbové pravidlá – to je jedna veta v dokumente. Súbežne zapnite dvojfaktorové overenie tam, kde ešte chýba, hlavne pri administrátorských a účtovných účtoch. Správcu hesiel pre celú firmu doplňte ako ďalší krok, nie ako podmienku, aby ste so zvyškom vôbec začali. Poradie nie je náhodné: zrušenie zlých pravidiel stojí len úpravu textu, dvojfaktorové overenie rieši najväčšie riziko a správca hesiel je investícia, ktorá sa oplatí, až keď ju ľudia naozaj používajú.
Ak neviete, či sa na vašu firmu zákon o kybernetickej bezpečnosti vzťahuje priamo, alebo len cez zmluvu s odberateľom, vyjasnite si najprv toto – rozhoduje to o tom, akú politiku hesiel a akú dokumentáciu vôbec potrebujete. Do konca prechodného obdobia, 31. decembra 2026, ostáva necelé tri mesiace.
Zdrojom faktov o odporúčanej dĺžke a frekvencii zmeny hesla je revízia NIST SP 800-63B-4 z júla 2025.