BYOD a vlastní zařízení: jak ovlivňují kyberbezpečnost?

Pracují vaši zaměstnanci na vlastních noteboocích a mobilech? Pak máte ve firmě BYOD, ať už jste ho zavedli vědomě, nebo se stal sám od sebe. Přečtěte si, jaká rizika s sebou nese, jak ho zabezpečit a co o něm říká zákon.

Stručné shrnutí

BYOD znamená používání vlastních zařízení zaměstnanců pro pracovní účely. Firmám šetří náklady a zaměstnancům přináší pohodlí, zároveň ale znamená ztrátu kontroly nad zařízeními, na kterých se pracuje s firemními daty. Zabezpečit ho lze jasnou BYOD politikou, oddělením pracovní a osobní části a smluvním ošetřením. Vyhláška 410/2025 Sb. přitom klade konkrétní požadavky na řízení přístupu, které se vztahují i na vlastní zařízení.

Co je to BYOD a proč ho firmy zavádějí

BYOD je model, který se do českých firem rozšířil spíše samovolně než plánovaně. Zaměstnanci si začali číst pracovní e-maily na svých mobilech a firmy to postupně přijaly jako běžnou praxi. Přitom jde o oblast, která výrazně ovlivňuje řízení přístupů a ověřování identit.

Co znamená BYOD?

BYOD je zkratka pro Bring Your Own Device, tedy přines si vlastní zařízení. Označuje situaci, kdy zaměstnanci používají pro pracovní účely svá soukromá zařízení, typicky mobilní telefony, notebooky nebo tablety.

V praxi to znamená, že firemní e-maily, dokumenty a přístupy do systémů se ocitají na zařízeních, která firma nevlastní a nespravuje. A právě v tom spočívá jádro celého problému i přínosu.

Výhody, které firmy lákají

Důvody, proč firmy BYOD zavádějí, jsou pochopitelné a většinou ekonomické. Mezi hlavní patří:

• Úspora nákladů na nákup a obnovu firemních zařízení.
• Vyšší produktivita, protože lidé pracují na technice, kterou znají.
• Flexibilita a snadnější práce na dálku.
• Spokojenost zaměstnanců, kteří nemusí nosit dvě zařízení.
• Rychlejší reakce na pracovní podněty i mimo kancelář.

Tyto výhody jsou reálné a nelze je zlehčovat. Problém nastává ve chvíli, kdy firma zavede BYOD a zapomene na jeho druhou stranu.

Proč je BYOD z pohledu kyberbezpečnosti rizikový

BYOD je rizikový především proto, že firma umožňuje přístup ke svým datům ze zařízení, nad kterými nemá kontrolu. Ochrana firemních informací tak závisí na tom, jak se svým zařízením zachází konkrétní zaměstnanec.

Firma ztrácí kontrolu nad zařízením

U firemního notebooku má IT oddělení jistotu, jaký software na něm běží, zda je aktualizovaný a kdo k němu má přístup. U soukromého zařízení tato jistota mizí.

Firma neví, zda má zaměstnanec aktuální systém, jestli má zařízení zamčené heslem nebo kdo další ho doma používá. 

Nemůže vynutit aktualizace ani nainstalovat bezpečnostní software. Kontrola nad tím, co se s firemními daty děje, se tím výrazně snižuje.

Míchání osobních a pracovních dat

Na soukromém zařízení se nevyhnutelně mísí pracovní a osobní obsah. Firemní dokumenty leží vedle rodinných fotek a pracovní e-maily vedle soukromé komunikace.

To přináší dva problémy. Zaprvé hrozí, že zaměstnanec omylem sdílí firemní data soukromou cestou. Zadruhé se firma nesmí dostat k soukromému obsahu zaměstnance, což komplikuje jakoukoli kontrolu i případné vyšetřování incidentu.

Riziko úniku dat a dopad na GDPR

Nejzávažnějším rizikem je únik firemních dat. Stačí ztráta telefonu, napadení zařízení škodlivým kódem nebo prodej starého notebooku bez smazání dat.

Pokud jde o osobní údaje, dostává se firma do problému i z pohledu GDPR. Za jejich ochranu totiž odpovídá bez ohledu na to, na jakém zařízení se nacházejí. 

Takový únik navíc může naplnit definici bezpečnostního incidentu, který je firma povinna řešit a případně hlásit.

Jak BYOD zabezpečit

Zabezpečit BYOD neznamená ho zakázat. Znamená to nastavit jasná pravidla a technická opatření, díky kterým firma neztratí kontrolu nad svými daty.

BYOD politika jako základ

Základem je BYOD politika, tedy interní dokument, který**** stanovuje pravidla používání vlastních zařízení. Bez ní panuje ve firmě nejasnost a každý si dělá, co chce.

Politika by měla určovat, která zařízení lze používat, jaké minimální zabezpečení musí splňovat, k jakým datům se lze ze soukromého zařízení dostat a co dělat při jeho ztrátě.

Zásadní je, aby pravidla byla srozumitelná a zaměstnanci s nimi byli prokazatelně seznámeni.

Oddělení pracovní a osobní části

Technickým řešením problému s mícháním dat je oddělení pracovní a osobní části zařízení. Firemní data se ukládají do izolovaného prostoru, ke kterému má firma kontrolu, zatímco soukromý obsah zůstává nedotčený.

Toto oddělení umožňuje v případě potřeby smazat pouze firemní data, například při odchodu zaměstnance nebo ztrátě zařízení. Zaměstnanec přitom nepřijde o své soukromé fotky ani zprávy, což je pro přijetí opatření zásadní.

Smluvní ošetření se zaměstnanci

Technická opatření nestačí, pokud nejsou podložena smluvně. Firma musí mít se zaměstnanci písemně ošetřeno, za jakých podmínek smějí vlastní zařízení používat.

Smluvní ujednání by mělo řešit povinnosti zaměstnance, rozsah kontroly ze strany firmy, postup při ukončení pracovního poměru i při ztrátě zařízení. 

Právě tato část se v praxi nejčastěji opomíjí, přestože je klíčová pro vymahatelnost pravidel.

Když se něco pokazí

I při nejlepším nastavení může dojít k problému. Rozdíl mezi zvládnutou a nezvládnutou situací spočívá v tom, jestli je firma připravená.

Krizový plán pro ztrátu nebo únik dat

Firma by měla mít připravený postup pro případ ztráty zařízení nebo úniku dat. Ten určuje, komu zaměstnanec ztrátu hlásí, jak rychle a jaké kroky následují.

Klíčová je rychlost. Čím dřív firma zareaguje, tím větší šance, že stihne zablokovat přístupy a vzdáleně smazat firemní data. Tento postup by měl navazovat na širší plán reakce na incident, aby na sebe jednotlivá opatření navazovala.

Alternativy k BYOD

BYOD není jediná možnost a pro některé firmy nemusí být vhodný vůbec. Existují alternativní přístupy, které kombinují pohodlí s vyšší kontrolou.

Model COPE bývá dobrým kompromisem. Firma si zachová kontrolu nad zařízením a zaměstnanec zároveň nemusí nosit dvě.

Co na BYOD říká zákon?

Zákon o kybernetické bezpečnosti pojem BYOD výslovně nezmiňuje, přesto na něj jeho požadavky dopadají. Vlastní zařízení se totiž stává součástí prostředí, ze kterého se přistupuje k firemním systémům.

Požadavky vyhlášky na řízení přístupu a zařízení

Vyhláška 410/2025 Sb. řadí mezi bezpečnostní opatření řízení přístupu i řízení identit a jejich oprávnění. Tyto požadavky se vztahují na veškerý přístup k firemním systémům bez ohledu na to, z jakého zařízení probíhá.

To v praxi znamená, že i u soukromých zařízení musí firma zajistit odpovídající zabezpečení přístupu, včetně vícefaktorového ověřování a dodržení požadavků na hesla. 

Vlastní zařízení navíc patří mezi aktiva, která firma eviduje a posuzuje z hlediska rizik. Podrobný přehled všech povinností jsme popsali v článku o bezpečnostních opatřeních a řízení rizik.

Ke splnění povinností patří i odpovídající dokumentace, se kterou pomáhá Compligen. Online průvodce se vás srozumitelně ptá na to, jak vaše firma funguje, a z odpovědí sestaví dokumentaci k řízení přístupů i k ostatním opatřením na míru.

Závěr

BYOD, tedy používání vlastních zařízení zaměstnanců, ovlivňuje kyberbezpečnost především tím, že firma ztrácí kontrolu nad prostředím, ve kterém se pracuje s jejími daty. Hlavními riziky jsou nezabezpečená zařízení, míchání osobních a pracovních dat a únik informací s možným dopadem na GDPR. Zvládnout ho lze jasnou BYOD politikou, oddělením pracovní a osobní části, smluvním ošetřením a připraveným krizovým postupem. Požadavky vyhlášky 410/2025 Sb. na řízení přístupu se přitom vztahují i na soukromá zařízení.