NIS2 a Microsoft 365: 10 neshod, které u firem nacházíme nejčastěji

Deset míst v Microsoftu 365, kde firmám nejčastěji chybí přesně to, co po nich zákon o kybernetické bezpečnosti chce. U každého: co žádá zákon, kde se to nastavuje a jak si to ověříte sami.

Nový zákon o kybernetické bezpečnosti se ve firmách řeší papírem. Analýza rizik, směrnice, školení, dokumentace. To všechno je potřeba — jenže kontrola se zeptá ještě na jednu věc: ukažte, jak to máte nastavené.

A tam se to láme. Papír bývá hotový dřív než nastavení, protože papír napíše právník za měsíc, zatímco nastavení někdo musí projít systém po systému a změnit.

U firmy s 30 až 200 lidmi žije většina těch nastavení na jednom místě: v Microsoftu 365. Identita, pošta, dokumenty, notebooky. Následuje deset věcí, které tam bývají rozbité nejčastěji. Píšeme obecně — co se u firem běžně nachází, ne data konkrétního zákazníka. U každé najdete, co po vás zákon chce, co bývá špatně a jak si to sami ověříte.

Proč se NIS2 láme právě na Microsoftu 365

Zákon nemluví o Microsoftu. Mluví o oblastech: vícefaktorová autentizace, řízení přístupů, monitoring a logování, ochrana před škodlivým softwarem, kryptografie, bezpečnost sítě a e-mailu, správa konfigurací, role a dodavatelé. Když ale vaše firma běží na Microsoftu 365, většina z těch oblastí se nastavuje v jeho administraci — v Entra ID, Exchangi, Intune a Defenderu.

Proto je Microsoft 365 nejrychlejší místo, kde zjistíte, jak na tom doopravdy jste. Podrobné mapování oblastí zákona na konkrétní místa v Microsoftu najdete na našem rozcestníku k NIS2.

Deset neshod, které vidíme nejčastěji

1. Vícefaktorové ověření, které má výjimky

Co chce zákon. Vícefaktorové ověřování je v zákoně vyjmenované zvlášť — nestačí ho mít „u většiny lidí".

Co bývá špatně. Firma MFA zavedla, ale v pravidlech Conditional Access zůstala vyloučená skupina: účet pro účetní program, servisní účet, ředitel, který si stěžoval, nebo aplikace, u které to „nešlo". Výjimka vznikla jako dočasná a zůstala roky. Útočníkovi stačí jedna.

Jak si to ověříte. V Entra ID otevřete Conditional Access a u každého pravidla se podívejte do záložky vyloučených uživatelů a aplikací. Pak v přehledu registrace ověřovacích metod zkontrolujte, kolik účtů není schopných MFA — ideál je nula. Výjimky, které opravdu nejdou zrušit (třeba nouzový účet), musí být vyjmenované, časově omezené a hlídané.

2. Staré přihlašování zůstalo otevřené

Co chce zákon. Oblast bezpečnosti sítě a e-mailu — zastaralé protokoly, které neumí druhý faktor, patří vypnout.

Co bývá špatně. Zbylo zapnuté starší přihlašování přes ActiveSync, IMAP nebo POP, případně SMTP AUTH pro tiskárnu, která už tři roky nestojí v chodbě. Tudy se MFA obchází — protokol druhý faktor neumí, takže stačí heslo.

Jak si to ověříte. V přihlašovacích záznamech Entra ID si vyfiltrujte klienty typu Exchange ActiveSync a „ostatní klienti". Když tam něco svítí, víte, kdo to používá. SMTP AUTH se vypíná v Exchange administraci pro celou organizaci a povoluje se výjimkou jen konkrétní schránce.

3. DMARC chybí, nebo je jen na „p=none"

Co chce zákon. Tatáž oblast — bezpečnost e-mailu. A je to jediná položka z celého seznamu, kterou proti vaší firmě vidí kdokoli zvenku, bez přihlášení.

Co bývá špatně. Dvě varianty. Buď DMARC záznam neexistuje vůbec, nebo existuje s politikou p=none, což znamená „jen mi posílejte hlášení, ale nic neblokujte". Firma má pocit, že je hotovo, protože záznam v DNS je. Přitom podvržený e-mail jménem vašeho jednatele projde stejně jako předtím. A pozor na domény, na kterých nemáte poštu — právě ty se zneužívají nejčastěji.

Jak si to ověříte. Vypište si všechny domény, které firma vlastní, a u každé se podívejte na TXT záznam _dmarc.vasedomena.cz. Cíl je p=quarantine, lépe p=reject. Ke stejnému seznamu patří i SPF. Tuhle část za vás udělá bezplatný on-line audit — kontroluje ji zvenku.

4. Administrátorské účty nejsou oddělené

Co chce zákon. Oblast řízení přístupů a privilegovaných účtů — účty s vysokým oprávněním mají mít vlastní režim.

Co bývá špatně. Správce firmy má jeden účet, kterým si čte poštu, chodí na web a zároveň spravuje celý tenant. Když mu takový účet někdo ukradne přes běžný phishing, nezískal poštu jednoho člověka — získal firmu. K tomu často chybí nouzový účet („break-glass"), takže při výpadku ověřování nemá firma jak dovnitř.

Jak si to ověříte. V Entra ID otevřete role a spočítejte globální administrátory. Když jich je víc než pět, je to skoro jistě moc. Každý z nich by měl být samostatný účet bez schránky a bez licence, používaný jen ke správě. A ověřte, že existují dva nouzové účty, které někdo skutečně vyzkoušel — ne že jsou jen založené. Víc o tom, proč tohle firmy dohání až za pochodu, je v článku Přežije vaše firma odchod svého ajťáka?

5. Auditní log běží, ale nikdo neřešil, jak dlouho

Co chce zákon. Oblast monitoringu a logování. Bez záznamů nedokážete po incidentu říct, co se stalo — a hlásit incident do 24 hodin budete muset tak jako tak.

Co bývá špatně. Unified audit log je dnes u nových tenantů zapnutý, takže tuhle položku firmy odškrtnou. Neřeší se ale dvě věci: jak dlouho se záznamy uchovávají a jestli některé schránky nejsou z auditu vyjmuté. Základní úroveň drží záznamy 180 dnů, což zní hodně — dokud nezjistíte, že útočník byl v systému osm měsíců. Vyšší úroveň (součást E5, nebo samostatný doplněk) drží klíčové záznamy rok.

Jak si to ověříte. V Purview otevřete Audit a zkuste vyhledat přihlášení staré půl roku. Co se nenajde, to za rok při kontrole nebo po incidentu k dispozici nebude. Zvlášť ověřte, že žádná schránka nemá zapnuté obcházení auditu.

6. Aplikaci si smí přidat kdokoli

Co chce zákon. Oblast rolí, odpovědností a dodavatelů — kdo smí do firemního prostředí pustit cizí službu.

Co bývá špatně. Ve výchozím nastavení si běžný uživatel může odsouhlasit aplikaci třetí strany a dát jí přístup ke své poště nebo souborům. Stačí, aby v phishingovém e-mailu klikl na „povolit". Útok tímhle způsobem nepotřebuje heslo ani druhý faktor — uživatel přístup dobrovolně udělí a MFA je mu k ničemu.

Jak si to ověříte. V Entra ID v nastavení podnikových aplikací zkontrolujte, co smí uživatelé odsouhlasit sami, a zapněte schvalování administrátorem. Ve stejné administraci se omezuje i to, kdo smí zakládat aplikace, skupiny a připojovat zařízení.

7. Externí sdílení v SharePointu a Teams bez hranic

Co chce zákon. Řízení přístupů — ke každému datu má být jasné, kdo se k němu dostane.

Co bývá špatně. Sdílení odkazem „pro kohokoli, kdo má odkaz" je pořád běžné výchozí nastavení. Odkaz na složku s nabídkami tak přežije v e-mailu bývalého kolegy, v mobilu dodavatele nebo ve vlákně, které někdo přeposlal dál. Nikdo ho neruší, protože nikdo neví, že existuje.

Jak si to ověříte. V administraci SharePointu se podívejte na zásady sdílení: jaký je nejširší povolený typ odkazu a jaký typ se nabízí jako výchozí. Pak totéž pro Teams a pro sdílení kalendářů. Užitečné je i omezit sdílení jen na domény, se kterými reálně pracujete.

8. Šifrování disků bez uložených obnovovacích klíčů

Co chce zákon. Oblast kryptografie a ochrany dat.

Co bývá špatně. BitLocker na Windows a FileVault na Macu jsou zapnuté, ale klíč se nikam neuložil — zůstal jen u zařízení, případně na papírku v šuplíku. To vypadá jako drobnost, dokud notebook nezůstane zamčený a jeho majitel na dovolené. Druhá varianta je opačná: klíče jsou uložené, ale přečíst si je může kterýkoli uživatel, i k cizím zařízením.

Jak si to ověříte. V Intune zkontrolujte, že šifrování je vynucené pravidlem, ne dobrovolné, a že se obnovovací klíče ukládají centrálně. V Entra ID pak ověřte, že u zařízení klíč skutečně je — a že si ho nemůže vypsat kdokoli.

9. Ochrana pošty běží na výchozím nastavení

Co chce zákon. Oblast ochrany před škodlivým softwarem.

Co bývá špatně. Firma má licence, které zahrnují kontrolu odkazů a příloh i pokročilou ochranu proti podvodným e-mailům, ale nikdy je nikdo nezapnul nad rámec výchozího stavu. Přílohy se neotevírají v izolovaném prostředí, odkazy se nepřepisují, ochrana proti napodobení konkrétních osob (typicky jednatele) není nastavená na nikoho a už doručený škodlivý e-mail se zpětně nestahuje ze schránek.

Jak si to ověříte. V Defenderu pro Office projděte zásady bezpečných odkazů, bezpečných příloh a ochrany proti phishingu. Nejrychlejší cesta pro menší firmu je zapnout přednastavené zásady zabezpečení na úrovni Standard a pak doplnit jména lidí, kteří se mají chránit proti napodobení.

10. Zálohy Microsoftu 365: koš není záloha

Co chce zákon. Zálohování, obnovení provozu a krizové řízení — oblast, kterou technické kontroly nastavení Microsoftu 365 vůbec neměří, ale zákon ji vyžaduje.

Co bývá špatně. Rozšířený omyl: „data jsou v cloudu, Microsoft je zálohuje". Microsoft zaručuje dostupnost své služby, ne obnovu vašich dat po tom, co je někdo smaže nebo zašifruje. Koš a doba zadržení nejsou záloha — mají svoje lhůty a dají se překlopit dřív, než na problém přijdete. A i firmy, které zálohu Microsoftu 365 kupují, obvykle nikdy nezkusily obnovu.

Jak si to ověříte. Zkuste obnovit jednu poštovní schránku a jednu složku ze SharePointu do stavu před 90 dny. Když se to povede a víte, jak dlouho to trvalo, máte hotovo. Když ne, máte první úkol na příští týden.

Čím začít

Deset položek naráz nikdo nezvládne. Pořadí, které dává smysl:

Tento týden: zrušte výjimky z MFA, které nikdo neumí obhájit. Zapněte schvalování aplikací administrátorem. Zkontrolujte DMARC na všech doménách.

Tento kvartál: oddělte administrátorské účty a založte (a vyzkoušejte) dva nouzové. Vypněte staré přihlašovací protokoly. Srovnejte zásady sdílení v SharePointu a Teams. Zapněte přednastavené zásady v Defenderu. Vyzkoušejte obnovu ze zálohy a zapište, jak dlouho trvala.

U každé změny si poznamenejte datum a kdo ji schválil. Kontrola se neptá jen „máte to?", ale i „od kdy a kdo o tom rozhodl?".

Jak zjistíte, kde na tom jste

Dvě cesty, liší se pohledem.

Zvenku, zdarma: on-line security audit zkontroluje to, co je z vaší domény veřejně vidět — SPF a DMARC, certifikáty, uniklá hesla. Trvá pět minut, bez schůzky. Pokryje z tohohle seznamu položku číslo tři a část toho, co se dá zjistit bez přihlášení.

Zevnitř, placeně: NIS2 audit Microsoftu 365 za 14 900 Kč projde přibližně padesát konkrétních nastavení proti oblastem zákona, s přístupem jen pro čtení. Výstupem je seznam, co je v pořádku, co ne a v jakém pořadí to řešit.

Nic z toho, co je v tomhle článku, ale nepotřebuje nás. Všech deset položek si můžete projít sami — návody má Microsoft veřejně a přístup do administrace máte. Potřebovat někoho začnete až ve chvíli, kdy to má někdo hlídat průběžně. To je celý náš obchodní zájem, nic za tím nehledejte.

Nejčastější otázky

Stačí nám Microsoft 365 Business Premium?

Na většinu z těch deseti položek ano — Business Premium obsahuje Entra ID P1 (a tedy Conditional Access), Intune i ochranu pošty v Defenderu pro Office. Dvě omezení stojí za zmínku: delší uchování auditních záznamů než 180 dnů vyžaduje vyšší licenci nebo doplněk a zálohu Microsoftu 365 v žádné licenci nemáte. Chybějící funkce ale nebývají důvod, proč firmy neuspějí. Důvodem bývá, že se to, co licence obsahuje, nikdy nezapnulo.

Musíme mít všechno, i když jsme v nižším režimu povinností?

Nižší režim má menší rozsah a menší formální nároky, ale oblasti jsou stejné — vícefaktorové ověřování, přístupy, logování, zálohy. Rozdíl je spíš v hloubce dokumentace a v tom, co po vás bude úřad chtít prokázat. Rozdíl mezi režimy vysvětlujeme běžnou řečí na rozcestníku k NIS2.

Kdo to má ve firmě odsouhlasit?

Vedení. Zákon dává odpovědnost za zavedení opatření vedení firmy, ne správci IT. Prakticky to znamená, že seznam změn a jejich termíny má někdo podepsat — a že „ajťák to nestihl" není obhajoba. Co všechno musí být hotové a v jakých lhůtách, rozebíráme v článku Registrace u NÚKIB proběhla. Co musíte stihnout do konce roku.

Zvládneme to sami?

Firma, která má schopného správce a čas, ano. Reálná překážka nebývá odbornost, ale to, že se změny dotknou lidí — někomu přestane fungovat starý poštovní klient, někdo bude muset používat aplikaci na telefonu, sdílení odkazů přestane být neomezené. Proto se ty změny odkládají. Pomůže dát jim termín a vlastníka, ne další nástroj.