Zamestnanec, ale rovnako často aj samotný majiteľ či konateľ malej firmy, si so sebou na dovolenku vezme notebook "len pre istotu" a občas odpovie na pracovný email spod slnečníka. Znie to neškodne – veď práca sa robí, klient dostane odpoveď. Lenže presne v tomto momente vzniká väčšina rizík, o ktorých sa vo firmách hovorí najmenej.

Súkromné zariadenie namiesto firemného

Kým firemný notebook má spravidla nastavené šifrovanie disku, pravidelné aktualizácie a firemný antivírus, vlastný laptop či tablet, ktorý si berieme na dovolenku "pre istotu", túto úroveň zabezpečenia väčšinou nemá. Pri malých firmách je to o to citlivejšie – mnoho konateľov a majiteľov MSP pracuje z jedného, súkromného zariadenia, ktoré popri osobných veciach obsahuje aj účtovníctvo, zmluvy alebo databázu klientov.

Ak sa takéto zariadenie stratí, je odcudzené, alebo sa naň dostane škodlivý softvér, riziko sa netýka len jedného človeka – týka sa celej firmy a všetkých jej klientov, ktorých údaje sa na ňom nachádzajú.

Odporúčanie je jednoduché, aj keď v malých firmách nie vždy praktické: oddeliť pracovné a súkromné zariadenie, alebo aspoň na súkromnom zariadení používať šifrovanie disku a samostatný, zabezpečený profil pre pracovné účely.

Zdieľané zariadenia v rodine

Na dovolenke sa bežne stáva, že jeden notebook alebo tablet používa celá rodina – deti si na ňom pozrú rozprávku, partner si skontroluje mail, a popri tom je na tom istom zariadení otvorený aj firemný systém alebo účtovný softvér. Stačí jedno neopatrné kliknutie, nesprávne zatvorená aplikácia alebo uložené prihlásenie, a niekto iný než zamestnanec či majiteľ firmy získa prístup k firemným alebo klientským dátam – úplne neúmyselne.

Pri malých firmách, kde často jedno zariadenie slúži aj na súkromné, aj na pracovné účely, je toto riziko výraznejšie než vo väčších firmách s prísne oddelenou IT infraštruktúrou.

Riešením nie je zakazovať rodine používať spoločné zariadenie, ale mať jasne oddelené pracovné prihlásenie (samostatný používateľský profil, uzamknutie pracovných aplikácií heslom) a nikdy nenechávať firemné systémy prihlásené "na pozadí", keď zariadenie používa niekto iný.

Práca na verejnom mieste (shoulder surfing)

Letisková hala, kaviareň, hotelová lobby – miesta, kde si popri čakaní radi otvoríme notebook a doriešime pár vecí. Problém je, že obrazovka je pritom čitateľná aj pre okoloidúcich. Pri bežnej korešpondencii to možno neprekáža, no ak práve pracujete s citlivými údajmi klienta, zmluvou alebo prístupovými údajmi do systému, riziko, že si to niekto odfotí alebo jednoducho prečíta cez plece, nie je zanedbateľné. Rovnaké pravidlo platí aj pre telefonáty – nahlas preberané detaily o klientovi na verejnom mieste sú rovnako problematické ako otvorená obrazovka. A netýka sa to len cudzích jazykov: bez ohľadu na to, kde na svete práve ste, môže byť za susedným stolom Slovák alebo Čech, ktorý vám rozumie do posledného slova. Túto skúsenosť už asi každý z nás niekedy zažil.

Pri malých firmách, kde jeden človek často rieši aj právne, aj obchodné, aj citlivé záležitosti naraz, je táto situácia bežnejšia, než by sa zdalo – konateľ vybavujúci "len rýchlo jednu vec" na letisku môže mať na obrazovke otvorenú zmluvu alebo osobné údaje klienta.

Jednoduchá pomôcka je súkromná fólia na obrazovku (tzv. privacy filter), ktorá zužuje uhol viditeľnosti displeja, alebo aspoň vedomé vyhýbanie sa práci s citlivými dokumentmi a hlasitým telefonátom na preplnených verejných miestach.

Práca cez verejnú sieť bez VPN

Ak sa počas dovolenky pripájate do firemných systémov, cloudového úložiska alebo emailu cez verejnú WiFi sieť bez VPN, prenášané dáta môže v tej istej sieti zachytiť ktokoľvek iný – vrátane prihlasovacích údajov, hesiel alebo obsahu komunikácie s klientmi. Pri malých firmách, ktoré často nemajú samostatné IT oddelenie ani nastavené firemné zásady pre vzdialený prístup, sa toto riziko rieši len málokedy vopred – pripojenie "z cesty" jednoducho funguje, kým sa niečo nestane.

VPN (Virtual Private Network) vytvorí medzi zariadením a firemným systémom zašifrovaný tunel, cez ktorý sa dáta prenášajú bezpečne aj vo verejnej, nezabezpečenej sieti. Pre malú firmu ide o pomerne lacné a jednoduché opatrenie, ktoré sa oplatí mať nastavené vopred – nie až vo chvíli, keď je niekto na dovolenke a rieši, ako sa "rýchlo" pripojiť k systému.

Firemné politiky pre remote prácu

Väčšina malých firiem nemá písomne stanovené, za akých podmienok môže zamestnanec (alebo majiteľ) pracovať mimo kancelárie – a dovolenka je presne ten moment, keď sa táto absencia pravidiel prejaví najviac. Bez jasného rámca sa každý rozhoduje individuálne: niekto použije VPN, iný nie; niekto pracuje len z firemného zariadenia, iný z akéhokoľvek, ktoré má práve poruke.

Jednoduchá interná politika – aj keby mala len pár bodov – dokáže väčšinu rizík z predchádzajúcich bodov eliminovať vopred. Stačí jasne definovať: aké zariadenia je možné na vzdialenú prácu použiť, či je VPN povinná, ako narábať s citlivými dokumentmi mimo kancelárie, a čo robiť v prípade straty zariadenia. Pri malých firmách nejde o zložitú byrokraciu – postačí jedna strana textu, ktorú si každý prečíta pred prvou dovolenkou v novej sezóne.

Zodpovednosť zamestnanca vs. zodpovednosť firmy pri úniku dát

Keď dôjde k úniku dát cez súkromné zariadenie na dovolenke, prvá otázka, ktorá vo firme padne, je: "kto je za to zodpovedný?" Z pohľadu GDPR je odpoveď jasná – zodpovednosť ako prevádzkovateľa nesie firma, bez ohľadu na to, či k úniku došlo cez firemné alebo súkromné zariadenie zamestnanca. Zamestnanec môže niesť internú, prípadne pracovnoprávnu zodpovednosť, ale voči Úradu na ochranu osobných údajov SR a dotknutým osobám zodpovedá firma.

Práve preto sa oplatí mať zodpovednosti nastavené vopred, nie až po incidente. Ak firma nemá jasne definované pravidlá pre vzdialenú prácu a napriek tomu k úniku dôjde, je pre ňu ťažšie preukázať, že prijala primerané technické a organizačné opatrenia – čo je jedna zo základných povinností podľa GDPR (čl. 32). Písomná politika, preukázateľné poučenie zamestnancov a aspoň základné technické opatrenia (VPN, šifrovanie, MFA) sú zároveň dôkazom, že firma urobila, čo bolo v jej silách.

Shadow AI (nielen) na dovolenke

Zamestnanec (alebo majiteľ firmy) chce pri práci "od bazéna" ušetriť čas, a tak citlivý dokument, časť zmluvy alebo dáta o klientovi jednoducho vloží do verejne dostupného AI nástroja, aby mu pomohol s prekladom, zhrnutím alebo návrhom textu. Ide o tzv. shadow AI – používanie AI nástrojov mimo kontroly a schválenia firmy, bez toho, aby si užívateľ uvedomil, čo sa s vloženými dátami ďalej deje.

Problém je, že veľa verejne dostupných AI nástrojov si vložené dáta môže ukladať alebo ich využívať na ďalšie trénovanie modelu, v závislosti od nastavení a podmienok používania konkrétnej služby. Ak takto vložíte osobné údaje klienta bez právneho základu a bez toho, aby o tom klient vedel, môže ísť o porušenie GDPR – a keďže sa to deje mimo dohľadu firmy, o probléme sa firma často dozvie až vtedy, keď je už neskoro.

Riešením nie je zakazovať AI nástroje úplne, ale mať jasné pravidlo: firemné alebo citlivé údaje sa vkladajú len do nástrojov, ktoré firma vopred schválila a ktoré majú nastavené primerané zmluvné a technické záruky (napríklad podnikové verzie s garantovaným nespracovaním dát na trénovanie).

Chýbajúci proces ukončenia dočasných prístupov po návrate

Keď niekto počas dovolenky zastupuje kolegu, dostane často dočasne rozšírený prístup – do emailu, zdieľaného priečinka, alebo priamo do firemného systému. Problém nastáva vo chvíli, keď sa zamestnanec vráti a nikto si nevšimne, že tento dočasný prístup treba zrušiť. Oprávnenie tak zostáva aktívne týždne, niekedy mesiace po tom, čo prestalo byť potrebné – a čím viac takýchto "zabudnutých" prístupov sa v malej firme nahromadí, tým väčšia je plocha, cez ktorú sa môže dostať dnu niekto nepovolaný.

Pri malých firmách je toto riziko o to väčšie, že prideľovanie aj rušenie prístupov často nerieši žiadny systém, ale len "niekto si to zapamätá" – čo sa v praxi pri viacerých zastupovaniach počas leta ľahko pokazí.

Jednoduchým riešením je viesť si aspoň základný prehľad (napr. jednoduchú tabuľku), kto, kedy a na aké obdobie dostal dočasný prístup – a mať pravidlo, že po návrate zastupovaného zamestnanca sa tento prístup automaticky prehodnotí a zruší, ak už nie je potrebný.

Odpoveď na phishingový email "medzi jedným a druhým"

Počas dovolenky si medzi kúpaním, výletom a večerou nájdeme päť minút, aby sme "rýchlo prebehli" doručenú poštu. Práve táto kombinácia – obmedzený čas, rozdelená pozornosť a chuť mať schránku čo najskôr vybavenú – je presne to prostredie, v ktorom najľahšie prehliadneme detaily, ktoré by sme za bežných okolností spozorovali: podozrivú doménu odosielateľa, nezvyčajnú požiadavku "urgentne schváľte platbu" alebo odkaz, ktorý vyzerá takmer, ale nie úplne, ako prihlasovacia stránka banky či firemného systému.

Pri malých firmách je toto riziko o to väčšie, že práve majiteľ alebo konateľ často jediný schvaľuje platby alebo má prístup k citlivým systémom – a útočníci sa preto pri tzv. CEO fraude (falošný email "od vedenia firmy") alebo phishingu cielene zameriavajú presne na tento typ osoby, s výpočtom, že na dovolenke bude reagovať rýchlejšie a menej kriticky.

Jednoduchá poistka je pravidlo "žiadna platba ani zmena údajov len na základe emailu" – akákoľvek neštandardná požiadavka sa overí telefonicky alebo iným kanálom, bez ohľadu na to, ako naliehavo email pôsobí a koľko voľného času máte práve k dispozícii.

Záver

Práca na diaľku počas dovolenky sa dnes stala samozrejmosťou – a to je v poriadku. Problémom nie je flexibilita, ale to, že väčšina firiem, najmä tých menších, rieši bezpečnosť vzdialenej práce až vo chvíli, keď sa niečo pokazí, nie predtým. Pritom stačí pár jednoduchých opatrení nastavených vopred – jasná politika, VPN, oddelené zariadenia, funkčná dvojfaktorová autentifikácia – aby sa väčšina z týchto deviatich rizík dala výrazne obmedziť.

Ak vaša firma zatiaľ nemá tieto pravidlá písomne ukotvené, leto je dobrá príležitosť to zmeniť – kým je väčšina tímu ešte na dovolenke, je to pokojnejšie obdobie na revíziu ako v plnej prevádzke na jeseň.

Disclaimer

Právna úprava v oblasti ochrany osobných údajov, kybernetickej bezpečnosti a umelej inteligencie sa dynamicky vyvíja. Obsah článku zodpovedá stavu právnych predpisov a dostupných informácií ku dňu jeho uverejnenia. Codamore s.r.o. nezodpovedá za prípadné zmeny legislatívy ani za rozhodnutia prijaté na základe informácií uvedených v tomto článku.

Ak potrebujete posúdiť konkrétnu situáciu vašej firmy, odporúčame vyhľadať odborné poradenstvo. Radi vám pomôžeme.