Řízení přístupů a ověřování identit: základ, který podceňuje většina firem

Víte, kdo všechno ve vaší firmě má přístup k citlivým datům a jestli ho vůbec potřebuje? Řízení přístupů a ověřování identit je základ, na kterém stojí celá bezpečnost, a přesto ho většina firem podceňuje. Přečtěte si, jak funguje, jak ho správně nastavit a co po vás vyžaduje zákon.

Stručné shrnutí

Řízení přístupů určuje, kdo se dostane k jakým datům a systémům, zatímco ověřování identit potvrzuje, že je uživatel skutečně tím, za koho se vydává. Obě oblasti spolu úzce souvisí a tvoří první linii obrany firmy. Základem je princip nejnižších oprávnění, silná hesla a vícefaktorové ověřování. Vyhláška 410/2025 Sb. přitom stanovuje konkrétní požadavky, které musí firmy splnit.

Co je řízení přístupů a ověřování identit?

Řízení přístupů a ověřování identit tvoří dvojici, která rozhoduje o tom, kdo se dostane do vašich systémů a k vašim datům. Jde o jednu z nejdůležitějších oblastí kybernetické bezpečnosti a zároveň o povinnost danou vyhláškou. Patří mezi klíčové základní prvky kybernetické bezpečnosti, které by měla zvládnout každá firma.

Řízení přístupů určuje, kdo má oprávnění k jakým systémům a datům, zatímco ověřování identit potvrzuje, že je uživatel skutečně tím, za koho se vydává. Obě oblasti spolu úzce souvisí a bez jedné nedává druhá smysl.

Zjednodušeně řečeno, ověření identity je vstupní brána a řízení přístupu určuje, kam až za ní člověk může. Teprve když firma zvládne obojí, má nad svými systémy skutečnou kontrolu.

Rozdíl mezi řízením přístupu a ověřením identity

Tyto dva pojmy se často pletou, přestože každý řeší něco jiného. Ověření identity, odborně autentizace, potvrzuje, kdo uživatel je. Probíhá při přihlášení, například heslem nebo otiskem prstu.

Řízení přístupu, tedy autorizace, naopak určuje, co smí uživatel dělat. Rozhoduje o tom, ke kterým datům a funkcím se přihlášený uživatel dostane. Nejdřív tedy proběhne ověření identity a teprve poté systém rozhodne o rozsahu oprávnění.

Proč tuto oblast firmy nejčastěji podceňují

Řízení přístupů firmy podceňují proto, že není vidět a na první pohled nic neřeší. Dokud se nic nestane, funguje všechno i s rozdanými přístupy, které nikdo nekontroluje.

Problém se ukáže až při incidentu. Když útočník získá jediný účet s příliš širokými právy, dostane se k obrovskému množství dat. Právě proto je řízení přístupů tak zásadní a jeho zanedbání se firmám nejčastěji vymstí.

Jak funguje řízení přístupů

Řízení přístupů není jen o rozdání hesel. Jde o promyšlený systém pravidel, který určuje, kdo, kam a za jakých podmínek smí.

Základní principy, autentizace a autorizace

Celé řízení přístupů stojí na dvou navazujících krocích. Prvním je autentizace, tedy ověření, že uživatel je tím, za koho se vydává. Druhým je autorizace, tedy přidělení konkrétních oprávnění.

K tomu se přidává auditování, tedy zaznamenávání toho, kdo a kdy k čemu přistupoval. Díky auditu firma zpětně zjistí, co se v systémech dělo, což je klíčové při vyšetřování incidentů. Tyto tři prvky společně tvoří funkční systém řízení přístupu.

Typy řízení přístupu

Existuje několik modelů, podle kterých se přístupy přidělují. Liší se tím, na základě čeho se o oprávnění rozhoduje.

• RBAC, řízení podle rolí, přiděluje oprávnění podle pracovní pozice.
• DAC, volitelné řízení, kdy o přístupu rozhoduje vlastník dat.
• MAC, povinné řízení, kde přístup určují pevná pravidla systému.
• ABAC, řízení podle atributů, které zohledňuje kontext a vlastnosti uživatele.

Nejrozšířenější je model RBAC, protože je přehledný a snadno se spravuje. Firma přidělí oprávnění jednotlivým rolím a zaměstnanci je získají podle své pozice.

Princip nejnižších oprávnění

Klíčovým pravidlem celého řízení přístupů je princip nejnižších oprávnění. Ten říká, že každý uživatel má mít přístup pouze k tomu, co skutečně potřebuje ke své práci, a k ničemu navíc.

Tento princip zásadně omezuje škody v případě kompromitace účtu. Pokud útočník získá účet s minimálními právy, dostane se jen k malé části systémů. Právě proto je princip nejnižších oprávnění jedním ze základních kamenů bezpečnosti.

Jak funguje ověřování identit

Ověřování identit je proces, kterým systém potvrzuje, že uživatel je skutečně tím, za koho se vydává. Právě zde se rozhoduje, zda se do systému dostane oprávněná osoba, nebo útočník.

Nejčastější metody ověřování

Ověřování může probíhat několika způsoby, které se liší mírou bezpečnosti. Tradiční metody se opírají o něco, co uživatel zná, například heslo, novější přidávají i další faktory.

Samotné heslo je dnes nejslabším článkem, protože ho lze uhodnout, ukrást nebo vylákat phishingem. Proto se stále více prosazuje kombinace více metod.

Co to je vícefaktorové ověřování

Vícefaktorové ověřování je metoda, která pro přihlášení vyžaduje kombinaci nejméně dvou nezávislých faktorů.**** Nejčastěji jde o heslo a potvrzovací kód z mobilní aplikace nebo notifikaci na zařízení.

Výhoda je zásadní. I když útočník získá heslo, bez druhého faktoru se do systému nedostane. Právě proto se vícefaktorové ověřování stalo standardem a v mnoha případech i zákonnou povinností. 

Souvisí to i s tím, jak se firma brání takzvané detekci a správě bezpečnostních událostí, protože MFA výrazně snižuje počet úspěšných neoprávněných přihlášení.

Jak řízení přístupů správně nastavit

Nastavit řízení přístupů neznamená jen rozdat hesla a role. Jde o průběžný proces, který vyžaduje pravidla, kontrolu i pravidelnou údržbu.

Osvědčené postupy a oddělení povinností

Základem dobrého nastavení je několik osvědčených postupů. Patří k nim princip nejnižších oprávnění, silná hesla a vícefaktorové ověřování u citlivých systémů.

Důležité je také oddělení povinností, tedy zásada, že žádný jednotlivec nemá mít kontrolu nad celým kritickým procesem. 

Například osoba, která zadává platby, by je neměla zároveň schvalovat. Toto oddělení snižuje riziko zneužití i chyby a je jedním z pilířů vnitřní kontroly.

Auditování a pravidelná revize přístupů

Přístupy nejsou něco, co se nastaví jednou a zapomene. Zaměstnanci mění pozice, odcházejí a přicházejí, a s tím se musí měnit i jejich oprávnění. Proto je nutné přístupy pravidelně revidovat.

Při revizi firma ověří, zda každý má jen ta oprávnění, která skutečně potřebuje, a odebere přístupy, které už nejsou opodstatněné. 

K tomu slouží auditování, které zaznamenává veškerou aktivitu. Zvláštní pozornost si zaslouží účty bývalých zaměstnanců, které bývají častým vstupním bodem útočníků.

Co vyžaduje zákon?

Řízení přístupů a ověřování identit nejsou jen dobrou praxí, ale přímým požadavkem zákona o kybernetické bezpečnosti. Vyhláška v této oblasti stanovuje konkrétní a měřitelné povinnosti.

Požadavky vyhlášky na hesla, MFA a řízení identit

Vyhláška 410/2025 Sb. řadí řízení přístupu a řízení identit mezi bezpečnostní opatření a u hesel stanovuje konkrétní minimální délky. Jde o 12 znaků pro běžné uživatele, 17 znaků pro administrátory a 22 znaků pro technická aktiva.

Hesla je nutné měnit alespoň jednou za 18 měsíců a systém si musí pamatovat minimálně 12 předchozích, aby je nebylo možné opakovaně používat. Vyhláška také vyžaduje vícefaktorové ověřování, přičemž připouští i alternativy v podobě kryptografických klíčů nebo autentizace na principu nulové důvěry.

Tyto požadavky jsou součástí širšího souboru povinností, které jsme rozebrali v článku o bezpečnostních opatřeních a řízení rizik. 

Ke splnění patří i odpovídající dokumentace, s jejíž přípravou pomáhá Compligen. Online průvodce se vás srozumitelně ptá na to, jak vaše firma funguje, a z odpovědí sestaví dokumentaci k řízení přístupů i k ostatním opatřením na míru.

Závěr

Řízení přístupů a ověřování identit je základ, na kterém stojí bezpečnost celé firmy, protože rozhoduje o tom, kdo se dostane k jejím datům a systémům. Ověření identity potvrzuje, kdo uživatel je, a řízení přístupu určuje, co smí dělat, přičemž klíčovým pravidlem je princip nejnižších oprávnění. 

Základem správného nastavení jsou silná hesla, vícefaktorové ověřování, oddělení povinností a pravidelná revize přístupů. Vyhláška 410/2025 Sb. navíc stanovuje konkrétní požadavky na délku hesel i povinné vícefaktorové ověřování. S přípravou potřebné dokumentace vám pomůže Compligen.