Odhalování interních hrozeb v malých firmách

Co se považuje za interní hrozbu

Interní hrozba je riziko, že někdo s legitimním přístupem tento přístup — ať už úmyslně, nebo ne — zneužije k poškození organizace. Americká Agentura pro kybernetickou bezpečnost a bezpečnost infrastruktury (CISA) definuje insidera jako jakoukoli osobu, která má nebo měla oprávněný přístup ke zdrojům organizace nebo o nich měla znalosti, včetně zaměstnanců, budov, informací, vybavení, sítí a systémů. Klíčové slovo je tu oprávněný. Nikdo se nemusí nikam vloupat.

Základní rozdělení CISA je na neúmyslné a úmyslné poškození, a samostatně upozorňuje na dvě situace, které se prolínají oběma kategoriemi. Dostáváte tak čtyři označení, se kterými se v praxi setkáte — stojí za to je znát, protože fráze „tři typy interních hrozeb“ se opakuje všude, ale neodpovídá zdroji:

Teď přichází část, kterou většina článků na toto téma vynechává. Interní incidenty nejsou nejčastějším způsobem, jakým dochází k narušení bezpečnosti malé firmy, a měli byste zpozornět u každého, kdo tvrdí opak. Zpráva Data Breach Investigations Report od Verizonu za rok 2026 — postavená na více než 31 000 reálných incidentech — zjistila, že interní aktéři stáli za 12 % úniků, což je pokles oproti 18 % z loňského roku. Její panel pro malé firmy, zahrnující organizace s méně než 1 000 zaměstnanci, přisuzuje v podstatě všechny úniky vnějším aktérům s finanční motivací.

Tak proč tomu vůbec věnovat celé odpoledne? Protože nákladový profil je obrácený. Studie Ponemon Institute a DTEX Cost of Insider Risks z roku 2026 zjistila, že zvládnutí interního incidentu trvá v průměru 67 dní, s náklady zhruba 747 000 dolarů na jeden nedbalostní incident, 742 000 dolarů na úmyslný a 842 000 dolarů tam, kde vnější útočník použil odcizené přihlašovací údaje. Interní incidenty jsou vzácnější než phishing, ale trvá déle, než si jich někdo všimne, a to, co při nich uniká, bývá obvykle materiál, na kterém firma skutečně stojí.

Proč jsou odchody kritickým bodem

Protože riziko se koncentruje do úzkého, předvídatelného okna. Software Engineering Institute na Carnegie Mellon — divize CERT, která studuje případy interních hrozeb už dvě desetiletí — to ve své analýze případů krádeže duševního vlastnictví vyjádřil jasně: většina insiderů krade duševní vlastnictví do 30 dnů od odchodu z organizace. Toto zjištění pochází z roku 2011 a stojí za to upozornit na jeho stáří; přesto se od té doby drží jako organizující princip praxe v oblasti interních rizik, a každá dodavatelská telemetrická zpráva vydaná od té doby soustřeďuje aktivitu kolem stejného okna odchodu.

Tato jediná věta je provozně užitečnější než jakýkoli threat-intelligence feed, který by si malá firma mohla koupit. Znamená to, že nepotřebujete nepřetržité sledování všech. Potřebujete vědět, kdy někdo odchází, a sledovat správnou hrstku signálů v týdnech kolem tohoto data.

Ověřte si statistiky, než podle nich začnete plánovat

Každý článek o krádežích dat zaměstnanci ovládají tři čísla, a každé z nich se cituje ve formě, která ho nadhodnocuje. To má praktický dopad: pokud věříte, že polovina vašich zaměstnanců krade data, koupíte špatnou věc a při tom se budete k lidem chovat špatně.

• „45 % zaměstnanců si při odchodu odnáší data.“ Je to reálné číslo, ale jde o americký podvzorek průzkumu Tessian z května 2020. Celkový údaj ve stejné studii byl 34 % a údaj za Spojené království byl 23 %. Tento upřesňující dovětek se vynechává téměř pokaždé, když se číslo cituje.
• „72 % zaměstnanců si odnáší firemní data.“ Jde o mylnou interpretaci. Těch 72 % ve zprávě Code42 z roku 2019 je podíl lídrů v oblasti informační bezpečnosti, kteří souhlasili s postojovým výrokem nejsou to jen firemní data, je to moje práce — a moje nápady. Je to zjištění o tom, jak lidé vnímají vlastnictví, ne o tom, kolik z nich kopíruje soubory.
• „63 % si přineslo data od předchozího zaměstnavatele.“ Toto číslo má reálný, dohledatelný zdroj — zprávu Code42 Global Data Exposure Report z roku 2019, publikovanou v říjnu 2019. Pozor ale na to, o jaký vzorek jde — je to stejný zádrhel, na kterém stojí i těch 72 %: respondenty bylo 1 028 bezpečnostních lídrů a 615 lidí rozhodujících o chodu firmy, nikoli reprezentativní vzorek zaměstnanců. A popisuje lidi, kteří přicházejí s daty, což je jiné riziko než to, které se snažíte odhalit při odchodu.

Nejobhajitelnější číslo pochází od Cyberhaven Labs z roku 2022, a je obhajitelné právě proto, že jde o pozorovanou telemetrii, nikoli sebehlášení: napříč přibližně 1,4 milionu zaměstnanců pracujících s citlivými daty 9,4 % exfiltrovalo data během šestiměsíčního okna. Blogový příspěvek s tímto číslem byl od té doby stažen — podkladová zpráva zůstává dostupná ke stažení jen po registraci — takže dnes se dá nejsnáze ověřit prostřednictvím tehdejšího mediálního pokrytí. V obou případech ho berte jako zastaralé. Zpráva o vyšetřováních DTEX z roku 2023 uvádí podíl odcházejících zaměstnanců, kteří si berou citlivé duševní vlastnictví, na 12 %.

Stojí za to si tu osvojit i doporučení CISA: posuzování hrozeb by mělo vycházet z chování, nikoli z profilů, a tyto činy jsou zřídka spontánní — následují po promyšleném rozhodnutí. Neexistuje žádný demografický vzorec, který byste měli sledovat, a jeho hledání vás udělá zároveň nepřesnými i nespravedlivými.

Jak data ve skutečnosti unikají

Data z malé sítě s Windows unikají krátkým, nudným výčtem kanálů. Provozně nezáleží na samotném kanálu, ale na tom, zda po sobě zanechá stopu, kterou pak dokážete najít — a u několika z nich zní poctivá odpověď, že nezanechá.

V terminologii MITRE ATT&CK tyto kanály odpovídají technikám T1052.001 (Exfiltration over USB), T1567.002 (Exfiltration to Cloud Storage — samotný popis MITRE jmenuje Dropbox a Google Docs) a T1114.003 (Email Forwarding Rule). Detekční analytika MITRE pro případ USB zní vložení USB zařízení následované rozsáhlým nebo citlivým přístupem k souborům a jejich shromažďováním — což je přesně Event 6416 korelovaný s 4663, a přesně to, co nastavují další sekce.

Než začnete cokoli monitorovat

Než zapnete jedinou auditní zásadu, napište oznámení. Není to poznámka pod čarou ke compliance, kterou doladíte později — ve třech amerických státech jde o zákonnou povinnost, která platí ještě předtím, než monitorování začne, a žádný z těchto zákonů nemá výjimku pro malé zaměstnavatele. Desetičlenná firma v New Yorku se řídí úplně stejnými pravidly jako firma s deseti tisíci zaměstnanci.

Federální základ a past

Electronic Communications Privacy Act tvoří federální minimum. Většinu práce za zaměstnavatele odvedou dvě výjimky. Výjimka pro poskytovatele podle 18 U.S.C. § 2511(2)(a)(i) pokrývá odposlech na vlastních zařízeních tam, kde je nezbytným vedlejším důsledkem poskytování služby nebo ochrany práv či majetku poskytovatele této služby. Samostatně pak § 2511(2)(d) stanovuje, že federální právo vyžaduje souhlas jen jedné strany: jednání je zákonné tam, kde jedna ze stran komunikace udělila předchozí souhlas.

Praktická výhoda — a je skutečná, i když nejde o tak jednoduchý příběh jednoho dokumentu, jaký občas uslyšíte — spočívá v tom, že podepsané potvrzení o monitorování slouží dvojímu účelu. Federální právo souhlas nevyžaduje tam, kde už se uplatní výjimka pro poskytovatele, ale souhlas je druhá, nezávislá cesta podle § 2511(2)(d), a mít obojí je pevnější pozice než spoléhat jen na jedno z toho. Stejný podpis zároveň splňuje potvrzení, které vyžadují New York a Delaware.

Nepokrývá to ale úplně všechno a stojí za to pojmenovat tři mezery. Samotný podpis nezbavuje povinnosti vyvěsit oznámení — New York vyžaduje oznámení na nástěnce stejně jako jeho potvrzení, a v Connecticutu vyvěšení je tím požadovaným oznámením. Rozsah výjimky pro poskytovatele se vyvíjí judikaturou, nejde o jasně danou hranici, takže „notebook patří nám“ je silná výchozí pozice, ne ustálená obhajoba. A pokud nahráváte hovory, ověřte si zvlášť zákon svého státu o odposleších: několik států vyžaduje souhlas všech stran, což je přísnější než federální minimum.

Pokud máte zaměstnance v EU, odpověď se obrací

Podle GDPR jsou funkčním právním základem pro monitorování na pracovišti oprávněné zájmy podle Article 6(1)(f) — nikoli souhlas. Stanovisko 2/2017 Article 29 Working Party konstatovalo, že zaměstnanci téměř nikdy nejsou v pozici, kdy by mohli svobodně udělit, odmítnout nebo odvolat souhlas a že souhlas je jako právní základ pro zpracování dat na pracovišti velmi nepravděpodobný. To je přesný opak americké pozice, kde je podpis vaší nejsilnější obhajobou.

Oprávněné zájmy vyžadují zdokumentovaný třídílný test — konkrétní účel, skutečnou nezbytnost bez méně invazivní alternativy a poměřování vůči právům zaměstnanců — a Article 21 dává každému zaměstnanci právo vznést námitku. Posouzení vlivu na ochranu osobních údajů je povinné tam, kde je monitorování systematické a pravděpodobně vysoce rizikové, a národní regulátoři nepřetržité monitorování zaměstnanců důsledně za takové považují. Article 88 navíc umožňuje členským státům zavést přísnější vnitrostátní pravidla, takže zejména Německo, Francie a Nizozemsko jdou dál než základní rámec GDPR.

Detekční nastavení bez nákladů

K odhalení nejběžnějších kanálů exfiltrace můžete začít nastaveními Group Policy, která jsou součástí Windows a nic nestojí. Tady je pořadí, které dá nejvíc pokrytí za nejméně práce.

1. Audit Removable Storage — jediné nastavení s nejvyšší hodnotou

Tohle je to, které zapnete jako první, a důvodem je detail, který Microsoft uvádí ve vlastní dokumentaci a téměř nikdo ho neopakuje: Bezpečnostní auditní událost se generuje pro všechny objekty a všechny typy požadovaného přístupu, bez závislosti na SACL objektu.

Přečtěte si to znovu, pokud jste někdy zkoušeli nastavit auditování souborů. Běžné auditování souborového systému je nečinné, dokud nenakonfigurujete system access control lists na každé složce, na které vám záleží — Microsoft výslovně uvádí, že pro výchozí SACL souborového systému se negenerují žádné auditní události. Audit Removable Storage tohle všechno obchází. Zapněte ho a dostanete událost 4663 pro každý soubor přečtený z USB zařízení nebo na něj zapsaný, na každém počítači, bez jakéhokoli nastavování po jednotlivých složkách. Doporučení Microsoftu ho hodnotí jako Success i Failure na pracovních stanicích, členských serverech i řadičích domény, zatímco Audit File System je hodnocen jen jako „podle potřeby“.

2. Audit PNP Activity — vězte, kdy se objevilo zařízení

Tahle se nachází pod Detailed Tracking, ne pod Object Access — drobnost, která lidi stojí deset minut pátrání ve stromu zásad. Generuje Event ID 6416, „A new external device was recognized by the System“, na Windows 10 a Server 2016 nebo novějším. Užitečné zatížení nese cestu instance zařízení, ID výrobce a ClassName — filtrujte podle DiskDrive, abyste oddělili úložiště od klávesnic a myší. Microsoft hodnotí objem jako typicky nízký a přidává užitečný tip pro ladění: hlaste to vždy, když Subject Security ID není SYSTEM. Všimněte si omezení — 6416 zaznamenává připojení a aktivaci, ne odpojení, takže vám neřekne, jak dlouho byl disk zapojený.

3. Audit Logon — zachyťte vzorec přihlašování mimo pracovní dobu

Event ID 4624 zaznamenává úspěšná přihlášení s hodnotou Logon Type: 2 pro interaktivní přihlášení u klávesnice, 3 pro síťové, 10 pro RDP, 7 pro odemknutí. Microsoft výslovně tento případ použití potvrzuje: možná budete potřebovat sledovat používání účtu mimo pracovní dobu. Sobotní noční přihlášení typu 10 z účtu, který nikdy nepracoval o víkendu, je ten nejlevnější vysoce signální alert, jaký kdy postavíte.

4. SACL, ale jen tam, kde se to vyplatí

U dvou nebo tří sdílených složek, které opravdu obsahují to nejcennější, přidejte SACL a zapněte Audit File System. Jedno upozornění, které stojí za zapamatování: Microsoftem doporučený seznam typů přístupu ke sledování pokrývá zápisy, mazání a změny oprávnění — ale ne ReadData. Krádež vypadá právě jako čtení, takže ho přidejte záměrně. Microsoft také varuje před plošným zapnutím, a má pravdu: nastavte SACL na celý souborový server a utopíte se v datech, pak přestanete sledovat, což je horší, než neprotokolovat vůbec nic.

5. Zvyšte velikost protokolu a kontrolu si skutečně naplánujte

Výchozí protokol Security se rychle přepíše, jakmile se rozproudí události 4663 a protokol, který už přepsal důkazy, není kontrolou. Nejdřív zvyšte jeho velikost. Pak si do kalendáře nastavte opakující se měsíční schůzku — události USB, přihlášení mimo pracovní dobu, nová pravidla přeposílání pošty. Detekce je návyk, ne zaškrtávací políčko; protokolování, které nikdo nečte, ještě nikdy nikoho nechytilo.

Jedno bezplatné rozšíření, které stojí za instalaci: Sysmon ze sady Sysinternals od Microsoftu zaplňuje několik mezer uvedených výše. Event 3 zaznamenává síťová spojení vázaná na proces — je vypnutý, dokud ho nenakonfigurujete — a Event 22 zaznamenává DNS dotazy, takže se stane viditelným třeba dotaz na doménu spotřebitelského sdílení souborů. Event 9 zachytává surová čtení disku, o kterých Microsoft uvádí, že se používají k obejití nástrojů pro auditování přístupu k souborům. Tyto tři stojí za to spouštět rutinně.

Sysmon dokáže zaznamenávat i změny schránky (Event 24), a než tohle zapnete, měli byste si to pořádně rozmyslet. Schránky nesou hesla, osobní zprávy a data jiných lidí, a jejich zachytávání je kategoricky invazivnější věc než protokolování toho, že se přesunul soubor. Pokud to přesto zapnete, uveďte to výslovně v oznámení o monitorování, místo abyste to schovali pod obecný popis — to, co uvádíte, musí odpovídat tomu, co skutečně sbíráte, jinak oznámení neplní svůj účel.

Co Windows nevidí

Windows nevidí dovnitř šifrovaného provozu, a právě toto jediné omezení vymezuje hranice bezplatného nastavení. Být v tomhle upřímný je důležitější než další seznam funkcí, protože kontrola, o které se mylně domníváte, že ji máte, je horší než ta, o které víte, že vám chybí.

• Obsah HTTPS. Každé nahrání na webmail, synchronizace se spotřebitelským cloudem i messagingová aplikace jsou neprůhledné. Můžete vidět, že spojení proběhlo; neuvidíte, co jím prošlo.
• Odchozí síťový provoz s přiřazením. Protokolování Windows Firewall je ve výchozím stavu vypnuté, a i po zapnutí zaznamenává jen n-tice spojení — ne to, který proces nebo který uživatel.
• Který soubor kam odešel. Windows zaznamenává čtení souborů a odesílání po síti nezávisle na sobě a nikdy je nedává do souvislosti. Propojení těchto dvou polovin je přesně to, k čemu slouží produkty pro prevenci úniku dat.
• Fotoaparát telefonu namířený na obrazovku. Žádná stopa, žádná kontrola, žádný produkt. Je to nejstarší kanál exfiltrace a pořád nevyřešený.

Dvě věci, které internet chápe špatně

Za prvé, délka relace. Řada návodů doporučuje spárovat událost přihlášení 4624 s událostí odhlášení 4634 a změřit tak, jak dlouho někdo pracoval. Microsoft tento případ použití dokumentuje, ale připojuje k němu upozornění, které většina návodů vynechává: Události odhlášení nejsou 100% spolehlivé. Počítač lze například vypnout bez řádného odhlášení a vypnutí systému; v takovém případě se událost odhlášení negeneruje. Délka relace je rozumný trend ke sledování; postavíte-li na ní tvrdý alert, spustí se i lidem, kteří prostě jen zavřeli notebook.

Za druhé, protokolování tisku. Zapnutí provozního protokolu PrintService se běžně prezentuje jako záznam toho, co bylo vytištěno. Dá vám to Event 307 s danou tiskovou úlohou — ale název dokumentu je zamlžený na doslovný řetězec „Print Document“, dokud nezměníte samostatné nastavení. Zapněte protokol, vytiskněte testovací stránku a než se na to spolehnete, ověřte si ten název.

Existují také dvě široce sdílená tvrzení o USB forenzní analýze — sada Event ID DriverFrameworks pro připojení a odpojení, a diagnostická událost Partition nesoucí sériová čísla zařízení — které se objevují v desítkách blogových příspěvků, ale Microsoft je nikde nedokumentuje, a příslušný protokol je ve výchozím stavu vypnutý. Klidně mohou fungovat. Nestavte na nich kontrolu, aniž byste je nejdřív otestovali na vlastním hardwaru.

Kdy se nástroje vyplatí

Nástroje se vyplatí v okamžiku, kdy bezplatné nastavení přestane odpovídat na otázky, které si skutečně kladete — obvykle tehdy, když potřebujete viditelnost do šifrovaných nahrávání, nebo když ruční procházení surových protokolů událostí přestane být reálné. Tady je poctivé srovnání v měřítku 10 až 50 počítačů.

Mezera, která většinu malých firem odsune od bezplatné úrovně, není schopnost detekce, ale čitelnost. Windows ochotně zaznamenají tisíce událostí 4663; proměnit je v „tady je to, co tento člověk dělal za poslední dva týdny“, je ruční práce, kterou nikdo dlouhodobě neudrží. To je úkol, který plní otevřeně deklarované sledování aktivity na firemních počítačích — a funguje to, právně i kulturně, jen na základě transparentnosti popsané dříve.

Ať zvolíte cokoli, uplatněte to na všechny stejnou měrou, místo abyste se zaměřili jen na osobu, kterou podezíráte. Právě v cíleném, tajném sledování jednoho zaměstnance se skrývá právní riziko, a je to zároveň způsob, jak zničit důvěru devíti kolegů, kteří se o tom později dozví.

Kontrolní seznam pro odchod zaměstnance a první hodina

Vzhledem k tomu, že většina krádeží duševního vlastnictví se odehraje do 30 dnů od odchodu, je následující kontrolní seznam cennější než jakýkoli nástroj z předchozího výčtu. Každý říká „okamžitě zrušte přístup“; téměř nikdo si nenapíše, co to v praxi znamená.

• Účet zakažte, nemažte ho. Smazání zničí auditní stopu i schránku, kterou možná budete později potřebovat.
• Zrušte aktivní relace a tokeny, ne jen heslo. Přihlášená relace na soukromém telefonu přežije i změnu hesla.
• Zkontrolujte pravidla přeposílání pošty — jak přeposílání na úrovni schránky, tak pravidla doručené pošty. Pravidla lze vytvořit tak, aby se v Outlooku nezobrazovala, proto to ověřte na straně serveru.
• Stáhněte si auditní protokol hned, ne později. Microsoft 365 Audit (Standard) uchovává záznamy ve výchozím stavu 180 dní — ale zastaralý admin audit search sahá zpět jen 90 dní, a doba uchovávání se liší podle licence. Exportujte si, co potřebujete, místo abyste spoléhali, že tam to bude i příští čtvrtletí.
• Odpojte klienty osobní cloudové synchronizace od počítače a zkontrolujte, které složky se synchronizovaly.
• Obměňte sdílené přihlašovací údaje — klíč k Wi-Fi, sdílené administrátorské přihlášení, účty, kterým se nikdo ještě nedostal k tomu přidělit individuální přihlašovací údaje. V malé firmě to bývá obvykle nejdelší část seznamu.
• Vyzvedněte si hardware, včetně případných disků nebo dongle v osobním držení, a zaznamenejte si, co se vrátilo.
• Zařízení odcházejícího zaměstnance nechte dva týdny netknuté, než ho znovu nastavíte, pokud byl odchod jakkoli nevraživý.
• Uskutečněte výstupní pohovor s dohodou o duševním vlastnictví po ruce. Divize CERT na Carnegie Mellon již dlouho doporučuje využít výstupní pohovor k tomu, projít s odcházejícím zaměstnancem dohodu, kterou podepsal, a nechat si ji od něj znovu potvrdit. Zabere to deset minut a je to jediná položka na tomto seznamu, která řeší úmysl, ne příležitost.

Pokud si myslíte, že se to děje právě teď

Nejdřív zachovejte důkazy, pak vyšetřujte, a teprve pak jednejte — přesně v tomto pořadí, protože přirozený instinkt má všechny tři kroky obráceně.

1. Počítač nevypínejte. Vypnutím přijdete o vše uložené v paměti a může to spustit úklidovou rutinu při vypnutí. Místo toho ho izolujte od sítě a nechte ho běžet.
2. Neprocházejte v něm. Každá otevřená složka přepíše časová razítka přístupu — přesně ta metadata, na která byste se později chtěli spolehnout. Pokud by věc mohla skončit před někým dalším, nechte si nejdřív pořídit image.
3. Zachyťte protokoly, než se přepíšou. Rovnou exportujte protokol Security z koncového zařízení a příslušné vyhledávání v auditu Microsoft 365.
4. Nikdy neotvírejte jejich osobní účty. Uložené přihlašovací údaje ve firemním prohlížeči vám nedávají oprávnění, a jejich použití je přesně to místo, kde se silná pozice zaměstnavatele hroutí.
5. Než někoho konfrontujete, zavolejte právníkovi. Rozhovor vedený na základě neúplných důkazů upozorní přesně tu jednu osobu, která ještě může věci smazat — a pokud se mýlíte, obvinili jste zaměstnance ze zločinu.

Nic z tohohle nevyžaduje bezpečnostní tým. Vyžaduje to rozhodnutí, ještě než se cokoli stane, že tu nudnou verzi uděláte pořádně: oznámení podepsané první den, tři zapnuté auditní zásady, kontrolní seznam, který se spustí pokaždé, když někdo odejde, a hodinu měsíčně skutečně stráveného sledováním. Takhle vypadá odhalování interních hrozeb v této velikosti firmy, a je to naprosto na dosah.

Časté otázky