Jak zabezpečit malou firmu: účty, zálohy a odpovědnost

Ve zkratce

• Malou firmu začněte zabezpečovat u e-mailu, domény, banky a účetnictví.
• Zapněte vícefaktorové ověření, přidělte lidem vlastní účty a vyzkoušejte obnovu důležitých dat.
• Pak projděte notebooky, telefony a vzdálené přístupy.
• U každého úkolu určete správce a člověka ve firmě, který převezme výsledek.

V kanceláři s pěti až dvaceti lidmi může většinu technické práce zajistit externí IT dodavatel. Majitel ale musí rozhodnout, bez čeho firma nemůže fungovat, jak dlouhý výpadek unese a kdo smí při incidentu zastavit provoz. Z tohoto zadání vybírejte služby a licence.

Kdo se o zabezpečení stará

„Máme na to ajťáka“ nestačí, pokud nikdo neví, co má na starosti. Určete ve firmě jednoho člověka, který objednává práci, přebírá výsledky a může rozhodnout o odstavení napadeného počítače. Doména, předplatná a obnovovací kontakty musí zůstat pod kontrolou firmy i při změně dodavatele.

S externím správcem si sjednejte reakční dobu, pracovní hodiny a zastupování. Kdo přečte upozornění na neúspěšnou zálohu? Co se stane v pátek večer? Kdo provede obnovu, když správce odjede? Odpovědi patří do dohody o správě stejně jako seznam licencí.

Nejdřív zajistěte firemní účty

Začněte poštou a účtem u registrátora domény. Přes e-mail se obnovují další přístupy, přes doménu lze měnit směrování firemní pošty. Stejně důležité jsou účty administrátorů Microsoft 365 či Google Workspace, účetnictví a bankovnictví. Každému přidělte vlastní účet a jen potřebná oprávnění; administrátorský účet používejte odděleně od běžné práce.

Kde to služba podporuje, dejte přednost přístupovým klíčům nebo bezpečnostním klíčům FIDO před opisovanými kódy. MFA zapněte i tam, kde jsou dostupné jen jiné metody. Připravte náhradní způsob přihlášení pro ztracený telefon a obnovovací kódy uložte odděleně od zařízení, o které můžete přijít. Postup si projděte předem.

Jak vybrat týmový trezor hesel

Pro účty, které nelze připojit k firemnímu přihlašování, použijte správce hesel. Sdílení řešte oprávněním v trezoru místo zprávy v chatu nebo společné tabulky. Vícefaktorově chraňte i přístup k samotnému trezoru.

Český Passwd je týmový správce hesel pro Google Workspace. Přebírá uživatele a skupiny, lidé se přihlašují Google účtem. Instalaci provádí správce Workspace; osobní Gmail nestačí. Professional začíná na 4 USD za uživatele měsíčně. Bezplatný Starter má nejvýše 15 záznamů a rozšíření prohlížeče jen na 30 dní. Enterprise umožňuje uložit trezor do vlastního Google Cloudu a vyžaduje vlastní účet Google Cloud Platform. Při výběru si nechte vyčíslit i cloudový provoz a domluvte jeho správu.

Bitwarden Teams nabízí sdílení hesel, centrální správu, záznamy událostí a synchronizaci adresáře včetně automatického zakládání uživatelů přes SCIM. Stojí 4 USD za uživatele měsíčně při roční platbě. SSO, podnikové zásady a vlastní hosting vyžadují firemní tarif Enterprise za 6 USD za uživatele měsíčně při roční platbě. Při výběru tedy rozhoduje i prostředí firmy a způsob správy lidí, nejen stejná výchozí částka.

Když člověk odchází z firmy

K domluvenému okamžiku ukončení přístupu zablokujte účet, odvolejte aktivní relace a odeberte člověka ze skupin i samostatných služeb. Správce musí ověřit, kdy změny skutečně zabraly: samotné zablokování přihlášení nemusí okamžitě ukončit už otevřenou relaci.

Převeďte vlastnictví dokumentů a předplatných. Změňte sdílená hesla, která mohl odcházející znát, a zrušte jeho API klíče či osobní přístupové tokeny. Notebook a telefon předejte správci. Stejný postup používejte i při ukončení spolupráce s externistou.

Záloha musí vést k obnově

Sepište, co potřebujete vrátit do provozu: databázi účetnictví, objednávky, zakázkové soubory, poštu, nastavení aplikace nebo celý server. U každé položky určete, kolik poslední práce smíte ztratit a jak dlouho můžete čekat na obnovení. To je konkrétní zadání pro dodavatele zálohování.

Firma s desítkami objednávek denně může například požadovat ztrátu nejvýše hodiny záznamů a návrat do provozu do čtyř hodin. Splnění takového požadavku musí ověřit vlastní zkouškou obnovy. Jedna noční kopie hodinovou hranici ztráty dat nepokryje, i kdyby každé ráno hlásila úspěch.

Použijte pravidlo 3–2–1: tři kopie dat včetně pracovních, na dvou různých typech úložišť, z toho jednu mimo pracoviště. Pro případ napadení potřebujete také kopii, kterou útočník z běžného pracovního účtu nemůže přepsat nebo smazat, například odpojenou nebo s nastavenou neměnností. Přístup do zálohovacího úložiště chraňte odděleně.

Synchronizovaný disk může přenést i smazání nebo poškození souboru. U historie verzí si ověřte dobu uchování a rozsah obnovy; promyslete i přístup při zablokování firemního účtu. U záloh cloudových aplikací si nechte vypsat, zda zahrnují poštu, osobní i týmové disky, oprávnění a potřebná metadata.

1. Vyberte skutečná firemní data. Menší zakázku, export účetnictví nebo dokumenty, u kterých poznáte správný výsledek.
2. Obnovujte do odděleného prostředí. Při zkoušce nepřepisujte produkční data. Připravte software, licence a dešifrovací klíče.
3. Otevřete výsledek v příslušné aplikaci. U databáze ověřte potřebné záznamy a jejich návaznosti; samotná přítomnost souboru nestačí.
4. Zapište stáří kopie a celkový čas. Započítejte hledání přístupů, stažení dat i zprovoznění aplikace. Výsledek srovnejte s požadavkem firmy.
5. Určete další termín. Pro začátek lze naplánovat čtvrtletní zkoušku a další po zásadní změně systému. U kritických dat volte kratší interval podle rizika.

Obnovu musí zvládnout i zástupce správce. Dešifrovací klíč uložený pouze na rozbitém notebooku vám při ní nepomůže.

Zařízení potřebují průběžnou péči

Veďte seznam notebooků, telefonů a serverů: komu patří, kdo je spravuje a zda používají podporovaný systém. Zapněte automatické aktualizace, šifrování disku a zamykání obrazovky. Obnovovací klíče k šifrování uložte pod kontrolou firmy. Běžní uživatelé nemají mít trvale administrátorská oprávnění.

Avast Business nabízí ochranu počítačů a serverů s centrální správou přes Business Hub. Při výběru rozlišujte antivirovou ochranu a správu oprav: ta je součástí Ultimate Business Security a není dostupná pro macOS. Pro nabídku si připravte počet zařízení, jejich systémy a požadavky na vzdálenou správu. Osobní bezplatný antivirus není srovnatelný s celou firemní službou.

Blízkou zahraniční možností je Microsoft Defender pro firmy, určený až pro 300 uživatelů s nejvýše pěti zařízeními na uživatele. Ochrana serverů vyžaduje další licenci. Pro počítače jsou podporovány firemní edice Windows uvedené v systémových požadavcích a tři nejnovější verze macOS; u mobilů se liší postup nasazení. Pokud už máte Microsoft 365 Business Premium, Defender pro firmy i Intune Plan 1 jsou součástí balíčku. Ověřte, co máte zaplacené a skutečně nasazené, než koupíte další ochranu.

U obou řešení musí někdo řešit upozornění a zařízení, která přestala komunikovat se správou. Když na evidenci přestane stačit tabulka, české ALVAO Asset Management zaznamenává zařízení, jejich vlastníky a historii. Údaje o hardwaru a softwaru sbírá vlastním agentem nebo čerpá z Intune a SCCM. Slouží k přehledu o majetku; aktualizace a ochranu před malwarem řešte samostatně.

Vzdálený přístup a citlivá data řešte podle provozu

Kancelář pracující ve spravovaných webových aplikacích má jiné potřeby než firma s účetním serverem v místní síti. U interních systémů nechte správce uzavřít přímo vystavené vzdálené služby a navrhnout přístup konkrétních lidí jen tam, kam potřebují.

GoodAccess v tarifu Essential nabízí cloudovou VPN se statickou IP, podle které lze omezit přístup do aplikací. Premium přidává řízení přístupu v architektuře zero trust. Tarif vybírejte podle cílových systémů a potřebných oprávnění; zálohy a zabezpečení samotné aplikace řešte dál samostatně.

Whalebone Immunity filtruje DNS dotazy a blokuje přístup k doménám vyhodnoceným jako škodlivé. Je určen přímo firmám a institucím. U notebooků mimo kancelář nabízí Home Office Protection s aplikací, která směruje DNS provoz na chráněný resolver. Ochranu na cestách tedy zahrňte do nasazení. DNS filtr doplňuje ochranu zařízení a účtů; rozhodování podle domén nepokrývá veškerý síťový provoz.

Safetica pomáhá řídit práci s citlivými dokumenty a dalšími daty. Nabízí pravidla pro jejich přenosy, funkce pro Microsoft 365 a Google Drive i řízení práce s podporovanými AI nástroji. V cloudových plánech je integrace s bezpečnostním dohledem SIEM od Premium; analýza obsahu přímo v cloudu se u Standard připlácí. Rozsah ochrany si nechte předvést pro vlastní aplikace a systémy. Než začnete blokovat přenosy, určete chráněná data a běžné pracovní postupy. Správce pak musí vyhodnocovat události a povolovat oprávněné výjimky.

Každý z těchto nástrojů pořizujte pro konkrétní problém a s určeným správcem. Případné povinnosti podle NIS2 nechte posoudit samostatně; nákup licencí soulad s regulací nezajišťuje.

Kolik stojí přístupy pro malý tým

Následující příklad počítá s Bitwarden Teams a volitelným GoodAccess Essential s jednou dedikovanou bránou. Podle ceníků k 6. listopadu 2026 stojí Bitwarden 4 USD za uživatele měsíčně při roční platbě. GoodAccess Essential stojí 7 USD při roční platbě, nejméně pro pět uživatelů, plus 49 USD měsíčně za bránu.

Částky jsou před případnými daněmi a bez individuálních slev. Uvedená měsíční sazba ročního předplatného neznamená měsíční závazek. GoodAccess počítáme jako počet lidí × 7 × 12 + 49 × 12. Pro menší tým započítejte nejméně pět licencí; každá další brána přidá 588 USD za rok. Při měsíční platbě stojí Essential 9 USD za uživatele plus brána.

Tabulka pokrývá tyto dvě služby. Zálohovací software, úložiště, ochrana zařízení a práce správce se připočítávají podle provozu. Pokud vzdálený přístup nepotřebujete, sloupec GoodAccess vynechte.

Cloudová Safetica Standard začíná na 72 USD za uživatele ročně, Premium na 96 USD a Enterprise na 144 USD. Konečnou nabídku si nechte vyčíslit pro svůj rozsah včetně doplňků. U Passwd lze platit za vybrané uživatele nebo za celou organizaci Workspace; nabídku porovnejte podle zvoleného modelu a fakturace. Z výchozí sazby „od 4 USD měsíčně“ proto nelze automaticky odvodit celkový roční náklad.

Co nacvičit pro podezřelou zprávu a incident

S lidmi projděte situaci z jejich práce: žádost o změnu účtu dodavatele nebo naléhavou platbu jménem ředitele. Změnu platebních údajů ověřujte přes dříve známý kontakt, nikoli číslem z podezřelé zprávy. Určete, komu zprávu nahlásit a kdo smí platbu pozastavit.

Pro výpadek či napadení mějte kontakty dostupné i bez firemní pošty. Při podezření na napadení odpojte zařízení od sítě a zavolejte správci. Nemažte je ani nespouštějte obnovu přes původní systém bez posouzení situace. U napadeného účtu řešte z čistého zařízení blokaci přístupu a odvolání aktivních relací; správce má zkontrolovat i změny provedené útočníkem. Obnovu provozu zahajte až po prověření příčiny a odstranění jeho přístupu.

Nástroje z článku

Zdroje (16)

1. CISA: StopRansomware Guide — obnova, účty, incidenty, ověřeno 6. 11. 2026(cisa.gov)
2. CISA: Implementing Phishing-Resistant MFA, ověřeno 6. 11. 2026(cisa.gov)
3. GoodAccess: tarify a poplatek za bránu, ověřeno 6. 11. 2026(goodaccess.com)
4. Bitwarden: firemní tarify, ověřeno 6. 11. 2026(bitwarden.com)
5. Passwd: funkce, plány a omezení Starter, ověřeno 6. 11. 2026(passwd.team)
6. Passwd: požadavek na Google Workspace, ověřeno 6. 11. 2026(passwd.team)
7. Avast Business: ochrana zařízení a Business Hub, ověřeno 6. 11. 2026(avast.com)
8. Microsoft: Defender pro firmy a Business Premium, ověřeno 6. 11. 2026(microsoft.com)
9. Whalebone Immunity: ochranné DNS pro firmy, ověřeno 6. 11. 2026(whalebone.io)
10. Safetica: ceny a rozdíly tarifů, ověřeno 6. 11. 2026(safetica.com)
11. ALVAO Asset Management: evidence zařízení, ověřeno 6. 11. 2026(alvao.com)
12. CISA: Back Up Business Data — pravidlo 3–2–1, ověřeno 6. 11. 2026(cisa.gov)
13. Microsoft Learn: požadavky Defenderu pro firmy, ověřeno 6. 11. 2026(learn.microsoft.com)
14. Microsoft Learn: odebrání přístupu odcházejícímu zaměstnanci, ověřeno 6. 11. 2026(learn.microsoft.com)
15. Passwd Professional: modely účtování, ověřeno 6. 11. 2026(passwd.team)
16. FBI: Business Email Compromise — ověření změny platebních údajů, ověřeno 6. 11. 2026(fbi.gov)