Krátka odpoveď: nie. Administrátorský prístup, ktorý dostal váš IT dodávateľ pri inštalácii systému, nemá zostať zapnutý naveky. Ak je aktívny dodnes a nikto si to nevšimol, máte v systéme dvere, na ktoré ste zabudli. A dvere, na ktoré zabudnete vy, raz nájde niekto iný.
Nejde o to, či svojmu dodávateľovi dôverujete. Väčšinou áno, inak by ste s ním nepracovali. Ide o to, že jeho bezpečnosť sa v tomto bode stáva vašou bezpečnosťou – a to ani on, ani vy väčšinou neriadite tak, ako by ste mali.
Ako sa taký prístup zvyčajne dostane do systému
Pri nasadení nového systému – ERP, webstránky, firemnej siete – to ide vždy rovnako. Dodávateľ potrebuje plný prístup, aby mohol inštalovať, nastavovať a ladiť. Dáte mu ho, lebo inak sa to nedá spraviť.
Implementácia sa skončí. Systém beží. Faktúra je zaplatená. A účet, ktorý dodávateľ dostal na tri mesiace práce, zostáva v systéme ďalej – aktívny, s plnými právami, bez termínu, dokedy má platiť.
Bežný nález pri kontrole prístupov: firma zmenila IT dodávateľa pred dvomi rokmi, no pôvodný dodávateľ má stále funkčné prihlasovacie meno a heslo do jej systému. Nikto si na to nespomenul, lebo to nikto systematicky nekontroluje. IT správca sa stará, aby systém bežal. Dodávateľ sa stará o svoje zákazky. Za zoznam aktívnych prístupov nie je zodpovedný nik.
Prečo je to riziko, aj keď dodávateľovi dôverujete
Riziko nie je v tom, že by váš dodávateľ prístup sám zneužil. Riziko je v tom, že sa k nemu môže dostať niekto iný – cez jeho firmu, nie cez vašu.
Útočník si nemusí vybrať priamo vás. Stačí, že sa dostane k dodávateľovi – jeho zamestnanec klikne na phishingový e-mail, stratí sa mu neuzamknutý notebook, alebo si niekde znovu použije heslo, ktoré mu už raz uniklo z inej služby. Odtiaľ k vášmu systému vedie presne jedno prihlásenie – cez účet, na ktorý ste vy dávno zabudli.
Tomu sa hovorí útok cez dodávateľský reťazec (supply chain attack). Nejde do vašej firmy predným vchodom. Ide cez firmu, ktorej ste dali kľúče a zabudli si ich od nej niekedy vypýtať späť.
Modelová situácia: menšia IT firma spravuje siete a systémy pre desať klientov. Jeden jej technik má na notebooku uložené heslá k administrátorským účtom takmer u všetkých z nich – „aby to mal po ruke". Notebook napadne bežný infostealer, škodlivý program, ktorý z prehliadača vytiahne uložené heslá, cez stiahnutý súbor z nedôveryhodnej stránky. Útočník nezíska prístup k jednej firme, ale k desiatim naraz – a väčšina z nich sa to dozvie až s odstupom, keď si niekto konečne všimne podozrivú aktivitu.
Čo hovorí zákon o bezpečnosti dodávateľov (§ 19 ods. 2)
Ak vaša firma spadá pod zákon o kybernetickej bezpečnosti (zákon č. 366/2024 Z. z.), máte v tomto konkrétnu povinnosť. § 19 ods. 2 ukladá regulovaným firmám mať s dodávateľmi, ktorí majú vplyv na ich bezpečnosť, písomné zmluvy s bezpečnostnými podmienkami.
Presne toto je dôvod, prečo firmám chodia bezpečnostné dotazníky od ich odberateľov – a prečo ich tie isté firmy posielajú ďalej svojim vlastným dodávateľom. Reťazec sa neuzatvára pri vás. Ak dotazník o bezpečnosti dodávateľov dostávate, logicky ho pošlete aj svojmu IT dodávateľovi.
Platí to priamo, ak ste regulovaný subjekt – teda máte 50 a viac zamestnancov alebo obrat nad 10 miliónov eur a zároveň podnikáte v jednom zo 16 regulovaných sektorov. Ak nie ste, zákon vám túto povinnosť neukladá priamo. Riziko zabudnutého prístupu tým ale nezmizne – len oň nemusíte mať papier.
Prechodné obdobie na zavedenie opatrení končí 31. decembra 2026. Do konca zostáva necelé tri mesiace. Kto ešte nemá zmluvne ošetrených dodávateľov s prístupom do svojich systémov, mal by na tom začať pracovať teraz, nie tesne pred koncom decembra.
Zlé riešenie: zrušiť prístup úplne a navždy
Prvá reakcia po takomto zistení býva radikálna: zrušiť dodávateľovi prístup, bodka. Je to pochopiteľné, ale nie je to správne riešenie.
Dodávateľ prístup občas potrebuje. Nie stále, ale keď príde porucha alebo zásah, ktorý si vyžaduje administrátorské práva, chcete, aby sa vedel dostať dnu rýchlo – nie o tri dni po tom, čo si s ním dohodnete termín a niekto mu ručne založí nový účet.
Úplné a trvalé zrušenie prístupu teda problém nerieši. Len ho presúva: namiesto zabudnutého účtu budete mať pomalú podporu vo chvíli, keď ju najviac potrebujete. Riešenie musí zvládnuť obe veci naraz – chrániť aj fungovať.
Správne riešenie: prístup na požiadanie, nie navždy
Funkčný model má tri vlastnosti naraz:
- Prístup sa zapína na požiadanie, nie je zapnutý trvalo. Dodávateľ si ho vyžiada, keď ho skutočne potrebuje.
- Je časovo obmedzený – napríklad na 24 až 48 hodín pre konkrétny zásah. Po uplynutí sa vypne, nie na základe toho, že si na to niekto spomenie.
- Vedie sa o ňom záznam – kedy bol zapnutý, kto ho použil, prečo a čo sa cez neho urobilo.
Rozdiel medzi oboma modelmi v praxi:
| Trvalý prístup | Prístup na požiadanie | |
|---|---|---|
| Aktívny | stále, aj bez dôvodu | len počas zásahu |
| Časové obmedzenie | žiadne | napr. 24 – 48 hodín |
| Záznam o použití | spravidla žiadny | kedy, kto, prečo, čo |
| Pri úniku hesla u dodávateľa | okamžitý prístup aj k vám | prístup je mimo zásahu vypnutý |
Technicky to nie je zložité – časovo obmedzený účet, dočasné zaradenie do administrátorskej skupiny, alebo prístup cez VPN, ktorý sa po zásahu uzavrie. Zložité je len to, že to musí niekto nastaviť a potom to dodržať aj pri druhom, treťom a desiatom zásahu, keď je jednoduchšie nechať prístup „ešte chvíľu" zapnutý.
Štyri otázky pre vášho IT dodávateľa
Toto sú otázky, ktoré si vyžadujú konkrétnu odpoveď, nie ubezpečenie, že „je to v poriadku":
- Máte ešte aktívny prístup do nášho systému?
- Odkedy ho máte – od implementácie, alebo bol pridelený neskôr, a prečo?
- Kto konkrétne z vašej firmy má tento prístup? Jedna osoba, alebo každý technik?
- Existuje záznam o tom, čo sa cez tento prístup za posledný rok urobilo?
Ak na tretiu alebo štvrtú otázku dodávateľ nevie odpovedať, máte problém, o ktorom možno ani on sám nevie. Nejde o zlú vôľu. Väčšina IT firiem si prístupy k desiatkam klientov jednoducho neeviduje takto podrobne – pokiaľ ich k tomu niekto nedonúti, spravidla zmluvou.
Netýka sa to len IT dodávateľov
Rovnaký problém sa opakuje pri každom externom partnerovi, ktorý má prístup do vašich systémov – nielen pri tom, kto vám dodal ERP alebo web.
Typický príklad: externý účtovník má prístup do celého ERP systému, hoci na svoju prácu potrebuje len tri moduly – fakturáciu, sklad a účtovné zostavy. Zvyšok, od miezd po CRM, vidí len preto, že pri zakladaní účtu bolo jednoduchšie nezaoberať sa tým, čo presne potrebuje.
Princíp je vždy rovnaký, či ide o IT firmu, účtovníka, marketingovú agentúru so správou webu, alebo dodávateľa, ktorý vzdialene spravuje kamerový systém: prístup má zodpovedať tomu, čo daný partner naozaj robí – nie tomu, čo bolo najrýchlejšie nastaviť.
Čo urobiť tento týždeň
Nemusíte na to mať celý projekt. Stačí:
- Vytiahnite zoznam všetkých externých účtov vo vašich kľúčových systémoch – ERP, web, sieť, e-mail.
- Ku každému si napíšte, kto ho má, odkedy a či ho ešte niekto reálne používa.
- Pri dodávateľoch, s ktorými roky nespolupracujete, prístup zrušte hneď.
- Pri aktívnych dodávateľoch dohodnite prechod na prístup na požiadanie, s časovým obmedzením a záznamom.
- Ak ste regulovaný subjekt podľa zákona o kybernetickej bezpečnosti, doplňte to do zmluvy podľa § 19 ods. 2 – ústna dohoda nestačí.
Ak si nie ste istí, či sa vás § 19 ods. 2 týka priamo, zistíte to v bezplatnej previerke – osem otázok, štvrťhodina, na konci písomné vyhodnotenie. A ak chcete vedieť, kto všetko má dnes prístup do vášho ERP a čo by ste tam našli, prístup dodávateľov je jedna z desiatich oblastí, ktoré preverujeme pri audite bezpečnosti ERP.