Právě teď, během této přednášky… aneb proč už perimetr vaší sítě dávno netvoří zdi kanceláře, ale identity (i ty strojové)

Právě teď, během tohoto čtení, neútočí na české firmy osamělí hackeři v kapucích, ale automatizované skripty a AI boti, kteří plošně skenují zranitelnosti 24 hodin denně. Zatímco jsme na dnešním Microsoft Security Workshopu rozebírali nejnovější trendy v ochraně firemních dat a identit, v reálném světě probíhaly tisíce pokusů o prolomení přístupů. Co je dnes největší slepou skvrnou českých firem a jak na to reaguje ekosystém Microsoft 365?

Mýtus „malé nezajímavé firmy“ je pryč. SMB pod palbou

Stále se setkáváme s argumentem majitelů firem: „Vyrábíme ploty, máme 40 zaměstnanců, naše data nikoho nezajímají.“ Jenže data z Microsoft Digital Defense Reportu mluví neúprosně: útoky na malé a střední firmy (SMB do 300 uživatelů) jsou dnes 4× častější než na velké korporace.

Důvod je čistě pragmatický. Útočníci vědí, že menší firmy nemají rozpočty a týmy na úrovni Enterprise, ale přitom u nich dokážou vyvolat okamžitou paralýzu provozu. Ransomware gangy u menších firem nežádají desítky milionů, ale často „jen“ 150 až 250 tisíc korun. Částku, kterou majitel pod tlakem zastavené výroby raději potichu zaplatí, než aby řešil týdenní výpadek. A přesně na této masové obrátce dnes útočníci staví svůj byznys.

1. Identita jako nový perimetr: lidská vs. strojová

Doba, kdy bezpečnost končila za firemním firewallem v kanceláři, je pryč. Data jsou v cloudu, v mobilních telefonech a v jazykových modelech. Novým perimetrem je identita.

• Lidská identita (vstupní dveře): Více než 99 % běžných útoků na účty zastaví správně nastavené vícefaktorové ověření (MFA). Přesto mnoho firem stále spoléhá na zastaralé SMS kódy (které Microsoft brzy definitivně zařízne) místo bezpečných autentikátorů nebo Passwordless řešení (FIDO2 klíčenky), zejména u administrátorů.
• Strojová identita (skrytá hrozba uvnitř budovy): Tohle bylo jedno z nejsilnějších témat workshopu. Zatímco běžné uživatele firmy hlídají přes EDR/XDR na koncových stanicích, servisní účty, API klíče, kontejnery a databázové konektory zůstávají bez dozoru. Útočník dnes nepotřebuje složitě lámat šifry – přes phishing získá přístup běžného uživatele, v nesegmentované síti eskaluje práva, vytvoří si servisní účet s právy Enterprise Admina a měsíce nepozorovaně exfiltruje data nebo trpělivě čeká půl roku, až se škodlivý payload propíše i do vašich záloh.

2. Sdílení admin účtů a věčné výjimky

V praxi stále narážíme na základní prohřešky v řízení přístupů (IAM) a životním cyklu zaměstnance (JML – Joiner, Mover, Leaver):

• Zaměstnanci procházejí firmou, mění pozice a pouze „nabalují“ oprávnění, která jim už nikdo nikdy neodebere.
• Běžné pracovní účty mají trvale přiřazená administrátorská práva.
• Dočasné výjimky v Conditional Access (např. při cestě manažera do zahraničí) se mění v trvalé díry do sítě – protože jak zaznělo na workshopu, „jednotkou dočasnosti v českém IT je jeden furt“.

Řešením je důsledný Zero Trust a PIM (Privileged Identity Management): ani administrátor nemá práva trvale, ale aktivuje si je jen na nezbytných 15 minut pro konkrétní zásah.

3. Shadow AI a nástup Agent 365: Kdo šéfuje vašim AI agentům?

Obrovským tématem letošního podzimu je autonomní AI. Uživatelé, vývojáři a týmoví lídři si dnes napříč firmou tvoří vlastní AI agenty (v Copilot Studiu, přes Foundry, Amazon Bedrock nebo lokálně na svých strojích) a připojují je přes MCP servery k firemním datům. Vzniká Shadow AI.

Microsoft na to reaguje novinkou Agent 365 a zavedením zcela nového typu agentské identity v Entra ID (kombinace atributů uživatele a technického účtu, která musí mít v rámci governance jasně přiřazeného svého vlastníka – Ownera). Díky tomu dokážeme:

• Získat okamžitý registr všech AI agentů v organizaci (včetně těch běžících lokálně na stanicích pod správou Intune).
• Řídit, se kterými MCP servery a firemními zdroji smí agent komunikovat.
• Monitorovat rizikovost agenta (např. pokusy o Prompt Injection nebo podezřelé stahování dat) a pomocí Risk-Based Conditional Access zkompromitovaného agenta v reálném čase okamžitě „zaříznout“.

4. Enterprise bezpečnost pro SMB: Nové balíčky pro Business Premium

Skvělá zpráva pro menší a střední firmy do 300 uživatelů: abyste dosáhli na pokročilou bezpečnost a ochranu dat v době AI, už nemusíte kupovat drahé enterprise licence M365 E5.

K oblíbenému základu Microsoft 365 Business Premium lze nově nasadit dedikované nadstavby Defender Suite (pokročilá XDR ochrana před útoky zvenčí) a Purview Suite (automatizovaná klasifikace dat a DLP ochrana před únikem citlivých informací – např. když odchází obchodník ke konkurenci s celým CRM nebo když zaměstnanec nahrává citlivé dokumenty do neschváleného AI).

Technický tip pro administrátory na závěr: Pokud stále spravujete SIEM Microsoft Sentinel přes Azure portál nebo řešíte DLP politiky přes Defender for Cloud Apps, zbystřete – do 31. 3. 2027 je nutné tyto agendy plně přemigrovat přímo do portálu Defender a Purview.

Chcete vědět, co se „právě teď“ děje ve vašem tenantu?

Nejste si jistí, jaké aplikace třetích stran mají přístup do vašeho Entra ID, kolik neřízených účtů nebo AI agentů vám běží v síti a zda by vaše logy obstály jako forenzní důkaz při hlášení incidentu podle NIS2? Ozvěte se nám – projdeme vaši architekturu, odhalíme slepá místa a nastavíme bezpečnost tak, aby vaše IT dávalo smysl technicky i ekonomicky.

Ing. Filip Lang, DBA
CTO, ICT NWT s.r.o.