IT audit malé firmy krok za krokem — a kdy má smysl penetrační test

Odpověď hned: IT audit jde do šířky — projde zařízení a licence, účty a přístupy, zálohy, síť, e-mail, aktualizace, fyzické zabezpečení a smlouvy s dodavateli. Výstupem je seznam nálezů seřazený podle rizika, ne stostránková zpráva. Penetrační test jde naopak do hloubky: je to simulovaný útok na jeden konkrétní cíl. Ve firmě, která nemá otestovanou obnovu ze zálohy a neví, kdo má administrátorský účet, pentest jen draze potvrdí to, co víte i bez něj. Nejdřív audit a náprava základů, pentest až potom.

K otázce „měli bychom si nechat udělat audit?” se malá firma většinou dostane nepříjemně: přišel dotazník od odběratele, banka se ptá na kybernetickou bezpečnost, nebo se něco stalo někomu v okolí. A první nabídka na stole bývá penetrační test — zní totiž konkrétně a měřitelně.

Jenže to je špatné pořadí. Rámec CIS Controls má osmnáct oblastí a inventura majetku je Control 1, zatímco penetrační testování je Control 18 — poslední. V sadě opatření, kterou CIS označuje jako základní hygienu pro nejmenší organizace s omezenými zdroji (Implementation Group 1, 56 opatření), není z penetračního testování ani jedno; všechna spadají až do vyšších skupin IG2 a IG3. Následující body popisují, co se při auditu firmy o 5–50 lidech bez vlastního IT prochází.

IT audit vs. penetrační test: v čem se liší

Zjednodušeně: audit odpovídá na otázku „co všechno tady máme a kde je to špatně”, pentest na otázku „vydrží tohle konkrétní místo skutečný útok”. Druhá otázka má smysl, jen když znáte odpověď na tu první.

Krok 1: Inventura zařízení, softwaru a licencí

Začíná se seznamem, protože nejde chránit něco, o čem nevíte, že to máte. Prochází se: kdo má jaký notebook a jestli je firemní, nebo vlastní. Jaký operační systém na něm běží a jestli je ještě podporovaný — Windows 10 skončily v podpoře 14. října 2025 a stroje, které na nich zůstaly, už bezpečnostní záplaty nedostávají. Kolik je serverů a kde stojí. Jaké NAS, tiskárny, kamery, router. Co běží v cloudu a kdo to platí kartou.

Pak licence: kolik máte licencí Microsoft 365 a kolik lidí reálně pracuje. V malých firmách to skoro nikdy nesedí — buď se platí za lidi, kteří odešli před dvěma lety, nebo někdo pracuje na osobní licenci, ke které firma nemá přístup. Nález má vždy stejný tvar: počet stanic po konci podpory, počet placených licencí proti aktivním uživatelům a systémy, ke kterým nemá nikdo ve firmě přístup do administrace.

Krok 2: Účty a přístupy — kdo se kam dostane

Tady se obvykle nasbírá nejvíc nálezů a náprava je nejlevnější — jde většinou o nastavení, ne o nákup.

Prochází se, kdo má administrátorská oprávnění a jestli je potřebuje k denní práci, nebo je má jen proto, že „to tak nastavil ten předchozí”. Dále účty lidí, kteří už ve firmě nejsou: v e-mailu, v účetnictví, ve fakturaci, v e-shopu, v cloudu, ve VPN. Odchod se řeší většinou jen v mzdové agendě, ne v IT.

Kontroluje se vícefaktorové ověření (MFA — kromě hesla ještě druhé potvrzení, typicky kód v mobilní aplikaci) tam, kde je zdarma: e-mail, cloud, vzdálený přístup, administrace webu. A jestli se nesdílejí hesla — jedno „firemní” heslo pro pět lidí nejde změnit, aniž by se to dotklo všech.

Zvláštní kapitolou jsou účty u dodavatelů: doména, hosting, DNS. Je-li doména vedená na osobní e-mail bývalého spolupracovníka, není to technický problém, ale právní. Jak přístupy vzít zpátky, je v článku o tom, co dělat, když odejde ajťák.

Krok 3: Zálohy — existují, a zkoušel je někdo obnovit?

Otázka nezní „zálohujete?” — odpověď je skoro vždy ano. Otázka zní: kdy naposledy někdo ze zálohy skutečně obnovil data a ověřil, že jsou použitelná?

Doporučení NÚKIB k ransomwaru formuluje minimum takhle: pravidlo 3–2–1 (nejméně tři kopie na dvou různých zařízeních, z toho jedna mimo organizaci), alespoň jedna záloha v daném okamžiku offline, existující plán obnovy a pravidelné testování, že zálohy jsou skutečně obnovitelné.

Audit se proto ptá konkrétně. Zálohují se jen soubory, nebo i databáze účetního systému a nastavení serveru? Je cílové úložiště dosažitelné ze stejné sítě a stejným účtem, jakým se běžně pracuje? (Pokud ano, ransomware ho zašifruje spolu se zbytkem.) Jak dlouho se zálohy drží — útočník bývá v síti dny až týdny, takže krátká retence znamená, že firmu obnovíte do stavu, kdy už tam byl. A jak dlouho firma vydrží bez systémů? Teprve z té odpovědi se dá určit, jestli stávající schéma stačí. Co se děje v prvních hodinách po incidentu, popisuje článek ransomware ve firmě: prvních 24 hodin.

Krok 4: Síť, router a Wi-Fi

Router nebo firewall od poskytovatele bývá roky nedotčený — kontroluje se, jestli výrobce pro daný model ještě vydává firmware, jestli není administrace přístupná z internetu a jestli tam nezůstalo výchozí heslo.

Dál segmentace, tedy rozdělení sítě na části, které spolu nemusí komunikovat. NÚKIB ji řadí mezi základní opatření: v „ploché” síti, kde jsou stanice, servery, tiskárny i soukromé mobily v jednom prostoru a vidí na sebe, se malware šíří bez překážek. Realistickým minimem je oddělená návštěvnická Wi-Fi a oddělený segment pro kamery, tiskárny a další zařízení, která nikdo neaktualizuje.

Wi-Fi heslo je samostatná položka: pokud se nezměnilo od stěhování do současných prostor, zná ho každý bývalý zaměstnanec i brigádník.

Kabeláž, rozvaděč a značení portů tenhle audit jen zaznamená; postup je v článku o auditu počítačové sítě a kabeláže.

Krok 5: E-mail a doména — SPF, DKIM, DMARC

Tři záznamy v DNS, které rozhodují o tom, jestli může kdokoli rozesílat poštu vaším jménem:

• SPF určuje, které servery smí odesílat e-maily za vaši doménu. Chybí-li, projde odesílatel odkudkoli.
• DKIM přidává odchozím zprávám digitální podpis; příjemce ho ověří proti veřejnému klíči ve vašem DNS a pozná, že se zpráva cestou nezměnila.
• DMARC říká příjemci, co udělat, když zpráva neprojde ani jednou z předchozích kontrol — nedělat nic, dát do karantény, nebo odmítnout — a umí posílat přehledy o odesílatelích.

Podvodná faktura „od jednatele” nebo výzva ke změně bankovního čísla nepotřebují průnik do sítě. Stačí doména, kterou si nikdo nepohlídal. Audit tyhle záznamy zkontroluje a navrhne pořadí, v jakém je nasadit, aby nepřestala chodit legitimní pošta z e-shopu nebo fakturačního systému.

Krok 6: Aktualizace, ochrana stanic a fyzický přístup

Zjišťuje se, jestli se aktualizace vůbec instalují a kdo to hlídá. Nejde jen o operační systém — zaostávají prohlížeče, PDF čtečky, účetní software, firmware síťových prvků a pluginy webu.

U ochrany stanic se rozlišuje běžný antivirus (porovnává soubory se známými vzorky) a EDR (Endpoint Detection and Response — sleduje i chování a umí zpětně dohledat, co se na stanici dělo). Pro malou firmu není EDR povinnost, ale je rozdíl mezi „máme antivirus” a „někdo se dívá na to, co hlásí”.

Fyzické zabezpečení se často přehlíží: server v místnosti bez zámku nebo pod schody, netestovaný záložní zdroj (UPS), vyřazované disky a notebooky odcházející bez smazání dat, nešifrované disky u strojů, které jezdí mimo firmu.

Krok 7: Dodavatelé a smlouvy

Poslední oblast se netýká techniky, ale závislostí. Prochází se: existuje písemná smlouva, nebo se všechno domlouvá po telefonu? Jaká je dohodnutá doba reakce, když něco spadne, a je někde napsaná? Kdo je vedený jako vlastník domény, hostingu a cloudových tenantů? A najde jednatel seznam přístupů, když bude potřeba?

Když IT zajišťuje jeden externí spolupracovník na IČO, není to samo o sobě problém. Problém je, když je to jediný bod, ve kterém je uložené celé know-how o firemním IT — a ten člověk onemocní, změní obor nebo se pohádá kvůli faktuře.

Pro některé firmy sem přibývá legislativní vrstva. Jestli se vás nová česká kyberbezpečnostní regulace týká, řeší text o zákonu č. 264/2025 Sb. a NIS2; relevantní je i pro dodavatele firem, které pod zákon spadají.

Co má majitel po auditu reálně v ruce

Dobrý výstup auditu malé firmy není vázaná zpráva na sto stran, ale materiál, se kterým se dá pracovat v pondělí ráno:

1. Seznam nálezů, u každého jednou větou co je špatně a co z toho hrozí — bez žargonu.
2. Priorita: co řešit hned, co v řádu týdnů a co je poznámka do budoucna.
3. Odhad pracnosti, aby šlo rozhodnout, co se udělá teď a co počká na příští rozpočet.
4. Inventura zařízení, licencí a účtů — tabulka, kterou lze dál udržovat.
5. Odpověď na dvě otázky: jak dlouho trvá obnova provozu ze zálohy a kolik dat se v nejhorším ztratí.

Když tohle majitel dostane, může se sám rozhodnout, co koupí. Audit, který končí větou „doporučujeme komplexní řešení”, tuhle práci neodvedl.

Kdy má penetrační test smysl a kdy je to vyhozený rozpočet

Pentest je užitečný nástroj na správném místě. Špatně načasovaný je to drahý způsob, jak se dozvědět, co jste věděli.

Vyhozený rozpočet je tehdy, když:

• nemáte inventuru zařízení a účtů — testér nemá vůči čemu výsledek vztáhnout;
• nikdy jste netestovali obnovu ze zálohy — to je vyšší riziko než cokoli, co pentest najde;
• víte o nezáplatovaných systémech a strojích po konci podpory — nález bude přesně tenhle;
• nemáte, kdo nálezy opraví — zpráva skončí v šuplíku;
• kupujete ho jen kvůli dotazníku od odběratele, aniž byste chtěli něco měnit.

Smysl dává tehdy, když:

• základní hygiena je hotová a chcete nezávisle ověřit, že to drží;
• provozujete něco na míru — webovou aplikaci, portál, e-shop s platbami — kde nestačí kontrola nastavení a je potřeba zkusit to obejít;
• máte věci vystavené do internetu (VPN, vzdálená plocha) a chcete vědět, kam se z nich útočník dostane dál;
• zákazník nebo pojistka test vyžadují a vy máte kapacitu nálezy opravit.

Než se objedná, musí být jasné tři věci: co přesně se testuje (adresy, aplikace, rozsah), odkud (zvenčí, nebo zevnitř, jako by útočník už byl v síti) a co se smí — jestli jen hledat, nebo i skutečně využít. Metodiku technického testování popisuje NIST v příručce SP 800-115.

Kontrolní otázka před objednáním: Kdyby mi zítra někdo řekl, že se dostal dovnitř, věděl bych, přes co, a měl bych ze zálohy z čeho firmu postavit? Kdo odpoví ano, je na pentest připravený. Kdo ne, ušetří tím, že začne auditem — a zopakuje si ho pak jednou ročně.

ITHOPE dělá v Brně a okolí vstupní IT audit pro malé firmy přesně v tomhle rozsahu — projde body 1 až 7 výše, ověří stav záloh včetně zkušební obnovy a předá seznam nálezů seřazený podle priority. Na navazující správu IT a zálohování i na ostatní služby se podíváte v sekci IT pro firmy. Pokud po auditu vyjde, že penetrační test dává smysl, řekneme to — a stejně tak řekneme, když nedává.

Zdroje

• The 18 CIS Critical Security Controls — pořadí oblastí rámce v8.1.
• CIS Controls Implementation Group 1 — 56 opatření základní hygieny pro organizace s omezenými zdroji.
• CIS Control 18: Penetration Testing (v8.1) — zařazení opatření do skupin IG2 a IG3.
• NÚKIB: Ransomware — doporučení pro mitigaci, prevenci a reakci (v1.2, 22. 5. 2023) — pravidlo 3–2–1, offline záloha, testování obnovy, segmentace.
• Microsoft Lifecycle: Windows 10 Home and Pro — konec podpory 14. října 2025.
• NIST SP 800-115: Technical Guide to Information Security Testing and Assessment — metodika testování.