Proč bezpečnost řešit hned po vybalení
Firemní notebook není jen železo. Hodnota kovu a plastu je často zanedbatelná proti tomu, co v něm je – přístupy do e-mailu, CRM, účetnictví, smlouvy, nabídky, osobní údaje zákazníků. Když se notebook rozbije, koupíš nový. Když utečou data, řešíš reputaci, smluvní pokuty a někdy i GDPR incident.
Dobrá zpráva: většinu problémů jde odchytit dřív, než notebook poprvé skončí na stole zaměstnance. Stačí mít pár základních kroků, které se dělají automaticky u každého nového stroje.
1. Účty a hesla: kdo je pánem notebooku
První otázka: kdo je na notebooku „pánem“? Jestli má uživatel plná administrátorská práva a může instalovat cokoliv, je to recept na problémy. Ideální stav:
- běžný uživatel má uživatelský účet bez admin práv,
- IT (interní nebo externí) má admin účet pro instalace a zásahy,
- hesla se řídí jednoduchou politikou: minimální délka, nesdílí se, pravidelně se mění.
U menších firem často IT účet „neexistuje“ a vše běží na jednom účtu majitele nebo uživatele. Když už to tak musí být, dá se aspoň:
- zapnout dvoufázové ověření všude, kde to jde (Microsoft 365, Google Workspace, CRM apod.),
- používat správce hesel místo sešitku v šuplíku,
- zakázat sdílené účty typu „obchod@firma.cz“ pro tři lidi bez rozlišení.
2. Šifrování disku: když se notebook ztratí
Z pohledu bezpečnosti jsou dva typy notebooků:
- šifrované – někdo ho může ukrást, ale k datům se bez hesla nedostane,
- nešifrované – stačí vytáhnout disk, připojit k jinému PC a všechno je venku.
Na Windows to řeší hlavně BitLocker, na macOS FileVault. Zapínat by se měly ještě před tím, než notebook dáš uživateli – ideálně jako součást přípravy stroje.
Co si ohlídat:
- zapnout šifrování systémového disku, případně i dalších interních disků,
- bezpečně uložit recovery klíče – tedy ne na lepík nalepený na notebooku, ale do firemního trezoru přístupů (správce hesel, IT dokumentace).
- u repasů zkontrolovat, jestli není šifrování nastavené nějak „podivně“ z minulého provozu.
3. Aktualizace a antivir: minimum, bez kterého to nemá smysl
Spousta útoků jede na staré chyby v systému a aplikacích, na které už existují záplaty. Proto:
- nastavit automatické aktualizace systému (Windows Update, macOS) tak, aby se notebook nechtěl restartovat zrovna uprostřed prezentace, ale zároveň nebyl roky bez patchů,
- na Windows nechat běžet minimálně vestavěný Microsoft Defender – pro běžnou kancelářskou práci úplně stačí; u náročnějších prostředí dává smysl centrálně řízené bezpečnostní řešení,
- aktualizovat i aplikace – prohlížeč, Office, PDF čtečky, VPN klienty a další software, který se připojuje ven.
4. Pravidla používání: co zaměstnanec může a nesmí
Technické nastavení je jedna věc. Druhá věc je chování lidí. I perfektně nastavený notebook ti nepomůže, když na něm poběží torrenty, warez a „kliknul jsem na přílohu, protože to vypadalo důvěryhodně“.
Základní pravidla, která má smysl dát do interního dokumentu:
- notebook je primárně pracovní zařízení, ne rodinný počítač,
- instalaci nového software řeší uživatel přes IT, ne sám z internetu,
- přístupové údaje do firemních systémů se nesdílí mezi lidmi, každý má svůj účet,
- při odchodu z firmy se notebook vrací včetně napájecího adaptéru a příslušenství,
- podezřelé e-maily a přílohy raději zaměstnanec přepošle IT než otevře.
5. Notebook mimo kancelář: home office, cesty, kavárny
Dneska je běžné, že se s notebookem pracuje doma, na cestách nebo u klienta. Tam rizika rostou:
- veřejné Wi-Fi – pokud to jde, je bezpečnější tethering přes mobilní data nebo připojení přes VPN,
- zamykání obrazovky – rychlá zkratka Win+L (Windows) nebo Ctrl+Cmd+Q (macOS) by měla být reflex, když člověk odchází od stolu,
- nenechávat notebook v autě na sedačce, ani „jen na minutku“,
- při cestách mimo EU myslet na to, jaké datové připojení je bezpečné a dostupné.
6. Co dělat při ztrátě nebo krádeži notebooku
I při nejlepší přípravě se občas stane, že notebook prostě zmizí. Tam pomáhá mít dopředu daný jednoduchý postup:
- zaměstnanec okamžitě hlásí ztrátu odpovědnému člověku (IT / vedení),
- IT změní hesla (e-mail, VPN, klíčové systémy), případně zablokuje účet,
- pokud to řešíte, provede se vzdálené odhlášení / smazání (MDM, Microsoft 365 apod.),
- vyhodnotí se, jestli je potřeba řešit incident z pohledu GDPR,
- sepíše se krátký záznam, co se stalo, kdy a jaká data mohla být ohrožena.
Když je disk šifrovaný a účty jsou rozumně nastavené, často to skončí u toho, že jen „bolí železo“, ale data jsou v bezpečí.
7. Jak to dělat systémově: šablona a checklist
Největší rozdíl mezi „nějak to nastavíme“ a rozumným IT je v tom, že každý nový notebook prochází stejným postupem. Místo improvizace:
- mít interní checklist pro přípravu notebooku před předáním,
- používat jednu nebo několik málo standardních konfigurací,
- mít sepsaná základní pravidla pro uživatele, ideálně na jednu stránku.
Ve chvíli, kdy firma roste, je tohle rozdíl mezi přehledným prostředím a tím, že každý notebook je „originál“ a nikdo neví, co kde běží a jak je to nastavené.
8. Kdy dává smysl si říct o pomoc
Ne každá firma má vlastní IT oddělení – často je to jeden člověk „co tomu rozumí“ nebo externí dodavatel. Pokud nechceš vymýšlet bezpečnost od nuly, dává smysl:
- nastavit si s IT společný standard firemních notebooků,
- domluvit se, jak budou spravované účty, šifrování a aktualizace,
- vybrat hardware, který tyhle věci umí a dobře se spravuje, ne jen „nejlevnější z letáku“.
Pokud potřebujete pomoct právě s výběrem rozumného železa do firmy – nového nebo repasovaného – a k tomu nastavit rozumný základ bezpečnosti, můžete nám přes téma „Notebooky pro firmy“ poslat krátkou poptávku. Ozveme se s návrhem konkrétních modelů a základních doporučení, jak notebooky nastavit, aby byly použitelné i bezpečné.