Odpověď hned: Vzdálená plocha (RDP) dosažitelná přímo z internetu je dodnes jedna z nejčastěji zneužívaných cest do firemní sítě — automatické skenování ji najde bez ohledu na velikost firmy a pak přijde na řadu hádání hesel nebo přihlášení údaji ukradenými jinde. Pro firmu do zhruba padesáti lidí je odpověď skoro vždy stejná: zavřít port 3389 na perimetru a pouštět lidi dovnitř přes VPN s vícefaktorovým ověřením. ZTNA — přístup postavený na pravidle „nikomu nevěř, ověřuj každý přístup” — řeší situaci, kdy nechcete, aby se připojený notebook stal členem celé firemní sítě.

Co je RDP a proč ho firmy vystavují do internetu

RDP (Remote Desktop Protocol, česky vzdálená plocha) je protokol Microsoftu, kterým se přihlásíte na plochu vzdáleného Windows počítače nebo serveru. Standardně naslouchá na TCP portu 3389. Samotný protokol není problém — ten začíná ve chvíli, kdy je jeho port dosažitelný z celého internetu.

Ve firmách do padesáti lidí tenhle stav skoro nikdy nevznikl jako rozhodnutí, ale jako záplata: účetní potřebovala z domu do účetního programu, dodavatel ERP si vyžádal přístup na server, v roce 2020 se to nastavilo „dočasně” a zůstalo to. V routeru je od té doby pravidlo přesměrovávající příchozí port 3389 na server a nikdo o něm neví. Najdete ho pod položkou port forwarding nebo NAT; rychlejší je zeptat se dodavatele, přes co se na server připojuje.

Proč je vystavené RDP nejčastější vstupní branou ransomwaru

Vystavená služba je vidět. Skenování internetu je plošné a levné, nikdo si nevybírá cíle podle obratu ani počtu zaměstnanců; v první fázi nejde o vás, ale o otevřený port.

Následuje buď opakované hádání hesla — typicky proti účtu administrátora, jehož jméno útočník znát nepotřebuje — nebo, dnes častěji, rovnou přihlášení platnými údaji z nakaženého domácího počítače zaměstnance. Ve druhém případě žádný útok nevidíte: v logu je normální úspěšné přihlášení.

Data z reakcí na incidenty to potvrzují. Rapid7 v přehledu za první čtvrtletí 2025 uvádí, že v 56 % řešených incidentů byl vstupním vektorem platný účet bez vícefaktorového ověření; vystavené RDP bylo vstupním vektorem u 6 % incidentů, ale k pohybu uvnitř sítě ho útočníci využili ve 44 % případů. Cisco Talos za první čtvrtletí 2026 uvádí zneužití platných účtů jako druhý nejčastější způsob průniku (24 %) a slabiny vícefaktorového ověření ve 35 % řešených případů.

Kolem toho existuje regulérní trh. Initial access brokers získávají přístupy do firem a prodávají je skupinám, které nasazují ransomware. Rapid7 v analýze těchto nabídek za druhou polovinu roku 2025 uvádí jako tři nejčastější typy RDP (21,2 %), VPN (12,8 %) a RDWeb (11,2 %). Přístup do vaší sítě je zboží s cenou.

Přidávají se i zranitelnosti v samotné službě. Nejznámější je BlueKeep (CVE-2019-0708) — chyba ve službě Remote Desktop Services zneužitelná bez přihlášení, se závažností 9,8 z 10. Microsoft na ni vydal opravu i pro systémy po konci podpory a CISA ji vede v katalogu aktivně zneužívaných zranitelností s poznámkou o doloženém využití ransomwarem. Sedm let stará chyba, která pořád najde svůj nezáplatovaný server.

Změna portu ani silné heslo problém nevyřeší

Přesun RDP z portu 3389 někam jinam je oblíbená rada, která nefunguje: skenování dnes nehledá čísla portů, ale odpovědi služeb. Silné heslo je nutné, ale samo nestačí — proti hádání pomůže, proti přihlášení ukradeným heslem ne. A zamykání účtu po chybných pokusech, které se zapíná jako obrana, umí obrácenou stranou zamknout účty vašim lidem. Zbývá jediné řešení, které škáluje: službu vůbec nevystavovat a přístup zprostředkovat něčím, co je na to stavěné.

RDP přímo z internetu vs. VPN vs. ZTNA: srovnání

	RDP přímo z internetu	VPN (klasický tunel)	ZTNA
Co je z internetu vidět	přihlašovací obrazovka Windows, dostupná komukoli	jen VPN brána, servery za ní ne	zpravidla nic — konektor navazuje spojení ven
Bezpečnost	nejnižší; chrání jen heslo a případné MFA	dobrá, pokud se brána záplatuje a je zapnutá MFA	nejvyšší z těchto tří; každý přístup se ověřuje zvlášť
Co získá útočník po prolomení	rovnou plochu serveru a účet na něm	pozici uvnitř firemní sítě	přístup k jedné aplikaci
Náročnost zavedení	žádná (proto to tak vzniká)	nízká až střední; často stačí stávající router či firewall	střední; potřebuje pořádek v identitách a průběžnou správu
Pro koho	pro nikoho	většina firem do padesáti lidí	firmy s externisty, více pobočkami nebo citlivými systémy

Kdy stačí VPN a jak ji v malé firmě postavit

VPN (virtuální privátní síť) vytvoří šifrovaný tunel mezi notebookem zaměstnance a firemní sítí; notebook se chová, jako by byl zapojený v kanceláři. Z internetu je vidět jen VPN brána, servery za ní nikoli.

Pro malou firmu jsou v praxi tři varianty. WireGuard je moderní protokol, od jara 2020 součást jádra Linuxu; konfigurace je krátká, výkon vysoký a umí ho i běžný firemní hardware — MikroTik od RouterOS 7, řada firewallů a NAS. OpenVPN je starší a pomalejší, zato zabudovaný prakticky všude; když ho máte a funguje, není důvod ho měnit. IPsec je standard pro propojení poboček, pro připojování jednotlivých lidí je konfiguračně nejméně vděčný. Nad WireGuardem staví i služby typu Tailscale, které řeší nejotravnější část — propojení zařízení, jež jsou obě za NATem, bez veřejné IP adresy a bez otevírání portů.

Ať zvolíte cokoli, platí dvě věci. Bez vícefaktorového ověření nemá smysl začínat; heslo do VPN se dá ukrást stejně snadno jako do RDP. A připojení má být vynucené, ne dobrovolné. NÚKIB to v doporučeních pro administrátory formuluje přímo: vynuťte vytáčení VPN, pokud se zařízení připojuje mimo síť organizace, a omezte síťovou aktivitu, dokud není spojení navázáno. Vícefaktorovou autentizaci tamtéž doporučuje u kritických operací, mezi které vzdálený přístup výslovně řadí.

Slabinu má VPN jednu, zato podstatnou: po přihlášení jste uvnitř. Pokud je síť plochá — jeden segment, všichni vidí na všechno — dostane nakažený domácí notebook stejný výhled jako správce. Proto k VPN patří segmentace a pravidla, která pouští jen na to, co konkrétní člověk potřebuje.

I VPN brána má kritické zranitelnosti a musí se záplatovat

VPN brána je zařízení na perimetru sítě, z podstaty dosažitelné z internetu. Tím se stává cílem, a poslední roky ukázaly, že se to týká výrobců napříč trhem. Katalog aktivně zneužívaných zranitelností CISA obsahuje mimo jiné:

CVE-2019-11510 — Pulse Connect Secure, čtení souborů bez přihlášení, závažnost 10 z 10; doložené využití ransomwarem.
CVE-2024-21762 — SSL VPN v systému Fortinet FortiOS, spuštění kódu bez přihlášení, závažnost 9,8; do katalogu zařazena 9. února 2024, rovněž s doloženým využitím ransomwarem.
CVE-2025-22457 — přetečení zásobníku v Ivanti Connect Secure a Policy Secure, spuštění kódu bez přihlášení; zařazena 4. dubna 2025, s doloženým využitím ransomwarem.
CVE-2023-20269 a CVE-2025-20333 — chyby ve funkci vzdáleného přístupu VPN na Cisco ASA a Firepower Threat Defense; druhá s hodnocením 9,9.

Závěr pro malou firmu nezní „VPN je špatná”, ale: VPN brána musí mít někoho odpovědného. Sledovat oznámení výrobce, záplatovat v řádu dnů, hlídat konec podpory modelu, nevystavovat administrátorské rozhraní do internetu. Bez toho je vystavená VPN brána stejný problém jako vystavené RDP — jen se hůř pozná.

Co je ZTNA a kdy má pro malou firmu smysl

ZTNA (Zero Trust Network Access) vychází z modelu popsaného ve standardu NIST SP 800-207. Jádro je jednoduché: žádná důvěra neplyne z toho, kde se zařízení nachází v síti. To, že je někdo „uvnitř”, není argument. Každý požadavek se posuzuje zvlášť — kdo je uživatel, z jakého zařízení přistupuje, v jakém je to zařízení stavu a k čemu chce.

Prakticky: místo aby aplikace čekala na příchozí spojení z internetu, naváže malý konektor vedle ní spojení směrem ven k brokeru. Uživatel se ověří u poskytovatele identity (typicky firemní Microsoft účet) a broker ho propojí s tou jednou aplikací, na kterou má nárok. Externí účetní se dostane do účetního systému a nikam jinam, servisní technik k jednomu stroji a ne k souborovému serveru.

Pro firmu do padesáti lidí dává ZTNA smysl ve třech situacích: máte externisty, kterým musíte dát přístup dovnitř; máte víc lokalit nebo lidí trvale mimo kancelář; nebo máte systém, u kterého by průnik znamenal zásadní škodu. Levnějším mezikrokem bývá mesh VPN s pořádnými přístupovými pravidly.

Co ZTNA nevyřeší: ukradenou identitu. Získá-li útočník přihlašovací údaje a obejde slabé druhé ověření, pustí ho tam, kam by pustilo skutečného uživatele. Proto k návrhu patří odolná forma vícefaktorového ověření — bezpečnostní klíč, passkey nebo certifikát na zařízení — a ne SMS kód.

Minimum, které má splňovat každý vzdálený přístup

Port 3389 není z internetu dosažitelný. Ani na jiném čísle portu.
Vzdálený přístup má vícefaktorové ověření; u administrátorských účtů formu odolnou proti phishingu.
Každý člověk má vlastní jmenný účet. Žádné sdílené „admin” a žádná hesla v tabulce.
Zaměstnanec se dostane jen k tomu, co potřebuje. Ne do celé sítě.
VPN nebo firewall brána se pravidelně záplatuje a nesmí být po konci podpory.
Z brány jsou logy, uchovávají se a někdo se do nich dívá.
Odchod člověka znamená okamžité odebrání přístupu — vlastní kapitola, kterou rozebírám v článku odešel vám ajťák a jak předat firemní IT.
Zálohy jsou mimo dosah účtu, kterým se přes vzdálený přístup přihlašujete.

Jak z vystaveného RDP odejít bez výpadku provozu

Pořadí je důležité — kdo začne tím, že zavře port, obvykle si zavře i účetní.

Zjistěte, kdo se odkud připojuje. Seznam lidí, dodavatelů a systémů. Právě zapomenutý dodavatel pak ve tři odpoledne volá, že mu nejde připojení.
Vyberte řešení podle toho, co už máte. Router nebo firewall s podporou WireGuardu či IPsecu má většina firem doma, aniž by o tom věděla.
Nasaďte VPN paralelně a otestujte. Několik dnů běží obojí. Ověřte tiskárny, síťové disky, účetní program a docházku.
Napojte přihlašování na firemní identitu a zapněte MFA. Ideálně na stejný účet, kterým se lidé hlásí do e-mailu, aby odchod zaměstnance zavíral všechny dveře najednou.
Teprve pak zavřete port na firewallu. Ověřte to zvenčí, z mobilní sítě, ne z kanceláře.
Doplňte segmentaci a monitoring.

Časté námitky

„Máme osm lidí, kdo by na nás útočil.” Nikdo si vás nevybral. Vybral si otevřený port a našel ho automat, který nerozlišuje, komu patří.

„Máme dlouhá hesla.” Proti hádání to pomáhá, proti heslu ukradenému z nakaženého domácího počítače ne.

„VPN nám zpomalí práci.” Většina stížností na pomalou VPN je ve skutečnosti stížnost na pomalé připojení v místě, odkud se člověk hlásí.

„Když se stane průšvih, vyřešíme to.” Jak vypadají první hodiny po zašifrování, popisuji v článku ransomware ve firmě: prvních 24 hodin. Tenhle text je o tom, aby k tomu nedošlo.

Co na to regulace

Pokud firma spadá pod nový zákon o kybernetické bezpečnosti, není zabezpečený vzdálený přístup volba, ale povinnost — řízení přístupu a vícefaktorové ověření patří mezi základní opatření. Koho se to týká, rozebírám u NIS2 a zákona č. 264/2025. Jestli to řešit vlastními silami, nebo externím správcem, pomůže rozhodnout přehled toho, kolik stojí správa IT pro malou firmu.

Chcete to nastavit a mít z toho pokoj

ITHOPE sídlí v Brně a nastavování vzdáleného přístupu ve firmách do padesáti lidí je běžná součást naší práce. Uděláme inventuru toho, kdo se dnes odkud připojuje, navrhneme řešení podle hardwaru, který už máte, nasadíme ho paralelně a teprve po ověření zavřeme, co má být zavřené. Převzít umíme i následný provoz — záplatování brány, správu účtů a hlídání záloh. Podrobnosti u správy IT a zálohování a v přehledu služeb IT pro firmy.

Vzdálený přístup do firmy 2026: RDP do internetu, VPN, nebo ZTNA?