Ransomware ve firmě: proč nestačí antivirus a jak připravit IT, zálohy a síť
Ransomware je jeden z nejnebezpečnějších typů kybernetických útoků na firmy. Dokáže zašifrovat data, zastavit provoz, vyřadit ERP systém, znepřístupnit dokumenty, e-maily nebo účetnictví a v horším případě ohrozit i pověst firmy zveřejněním citlivých informací.
Mnoho firem si pořád myslí, že hlavní ochranou je antivirus. Ten je důležitý, ale sám o sobě nestačí. Moderní ransomware už často nefunguje jako jednoduchý virus, který se náhodně spustí na jednom počítači. Útočníci se snaží dostat do firemní infrastruktury, získat přístupy, projít síť, najít důležitá data, napadnout zálohy a teprve potom udeřit. Microsoft popisuje human-operated ransomware jako aktivně řízený útok, při kterém se útočník dostává do on-premise nebo cloudové infrastruktury, navyšuje oprávnění a zasahuje kritická data nebo procesy.
Právě proto je potřeba chránit firmu ve více vrstvách. Nejde jen o antivirus. Jde o správu sítí, zálohování dat, obnovu dat, správu Microsoft 365, přístupová práva, aktualizace, monitoring, servery a krizový plán.
Proč samotný antivirus nestačí
Antivirus může zachytit známou hrozbu. Problém je, že ransomware útok často nezačíná samotným šifrováním. Může začít phishingovým e-mailem, odcizeným heslem, slabě zabezpečeným vzdáleným přístupem, zranitelností ve VPN, serveru nebo špatně nastaveným účtem v Microsoft 365.
NCSC doporučuje u ransomwaru strategii „defence in depth“, tedy obranu ve vrstvách. Zároveň upozorňuje, že žádná organizace se nedokáže před malwarem chránit stoprocentně, a proto je potřeba počítat s tím, že se něco může dostat dovnitř. Je důležité malware odhalit, omezit jeho šíření a snížit dopad na firmu.
Prakticky to znamená, že firma musí mít kromě antiviru vyřešené i další otázky:
- Jsou všechny počítače, servery a síťové prvky aktualizované?
- Mají zaměstnanci zapnuté vícefaktorové ověřování?
- Jsou přístupová práva nastavená podle skutečné potřeby?
- Jsou staré účty bývalých zaměstnanců zrušené?
- Jsou zálohy oddělené od běžné sítě?
- Je pravidelně testovaná obnova dat?
- Je síť rozdělená tak, aby se útok nešířil všude?
- Ví firma, co dělat v prvních hodinách po útoku?
Pokud na tyto otázky neexistuje jasná odpověď, antivirus je jen jedna část mnohem většího problému.
Ransomware neútočí jen na počítače. Útočí na provoz firmy
Dopad ransomwaru se často měří podle toho, co přestane fungovat. Ve výrobní firmě to může být ERP systém, sklad, výroba nebo přístup k technické dokumentaci. V obchodní firmě objednávky, fakturace, e-maily nebo zákaznická databáze. U služeb interní dokumenty, účetnictví, sdílené disky, Microsoft 365 nebo komunikace v Teams.
Ransomware dnes navíc často neznamená jen zašifrování dat. Útočníci mohou data také kopírovat a vyhrožovat jejich zveřejněním. NÚKIB upozorňuje, že motivací bývá i hrozba zveřejnění dat, zejména u firem, které zpracovávají citlivé informace o zákaznících.
Proto nestačí přemýšlet jen nad otázkou: „Dokážeme obnovit data?“ Stejně důležité je vědět:
Tady se zabezpečení dat přímo propojuje s řízením firmy.
Zálohování dat: základ, který musí opravdu fungovat
Zálohy jsou jedna z nejdůležitějších obran proti ransomwaru. Ale pozor: mít zálohy neznamená automaticky být chráněný.
NÚKIB doporučuje pravidlo 3–2–1: minimálně tři kopie dat, na dvou různých typech médií a alespoň jedna kopie mimo pracoviště. Zároveň doporučuje segmentaci vnitřní sítě, aby se nákaza nemohla šířit po celém prostředí.
V praxi ale nestačí, že „někam běží automatické zálohování dat“. Firma potřebuje vědět, jestli jsou zálohy chráněné i před útočníkem. Pokud jsou zálohy trvale připojené ke stejné síti, útočník se k nim může dostat také. NCSC upozorňuje, že útočníci aktivně ztížili obnovu a zvýšili tlak na zaplacení výkupného.
Správně nastavené zálohování firemních dat by mělo řešit:
- co přesně se zálohuje
- jak často se zálohy vytváří
- kde jsou uložené
- zda jsou oddělené od běžné sítě
- kdo k nim má přístup
- zda jsou chráněné proti smazání nebo přepsání
- jak rychle lze obnovit důležité systémy
- kdy naposledy proběhl test obnovy dat
Nejdůležitější pravidlo zní: záloha je užitečná až ve chvíli, kdy z ní umíte skutečně obnovit provoz.
Obnova dat: otázka hodin, ne teorie
Při ransomwarovém útoku se často ukáže rozdíl mezi „máme zálohy“ a „umíme obnovit firmu“. Pokud obnova dat trvá několik dnů, může to pro firmu znamenat výpadek objednávek, výroby, expedice nebo komunikace se zákazníky.
Proto by každá firma měla znát své základní provozní priority — tedy co se musí obnovit jako první, aby mohla alespoň omezeně fungovat. Typicky půjde o ERP systém, účetnictví, e-mail, sdílené dokumenty, skladový systém a výrobní nebo technická data, k tomu o přístupy pro klíčové zaměstnance; pokud jsou pro provoz důležité, patří sem i kamerové systémy a dohledová infrastruktura. IT dodavatel by měl spolu s firmou určit, které systémy jsou kritické, v jakém pořadí se obnovují a jak dlouhý výpadek je ještě přijatelný.
Síťová bezpečnost: aby jeden napadený počítač neohrozil celou firmu
Velkou roli u ransomwaru hraje síť. Pokud je celá firma „v jedné placaté síti“, útočník se po úspěšném průniku může snáz pohybovat dál. Může z jednoho zařízení zkoušet přístup k serverům, sdíleným diskům, zálohám, kamerovým systémům nebo dalším částem infrastruktury.
Proto je důležitá segmentace sítě. Jinými slovy: rozdělení firemní sítě na části podle účelu a rizika. Jiný režim má mít běžná kancelářská síť, jiný servery, jiný zálohovací infrastruktura, jiný kamerové systémy a jiná hostovská Wi-Fi.
NCSC u ochrany proti ransomwaru doporučuje omezit nepotřebný vzdálený přístup, zapnout MFA pro vzdálený přístup, používat princip nejnižších oprávnění a pravidelně aktualizovat zařízení, jako jsou VPN, firewally nebo další hraniční prvky.
Microsoft 365: časté místo, kudy se útočník dostane k datům
Microsoft 365 je dnes v mnoha firmách základní pracovní prostředí. E-mail, Teams, SharePoint, OneDrive, dokumenty, kalendáře a přístup k firemním datům. Právě proto je potřeba ho dobře zabezpečit.
Microsoft upozorňuje, že zabezpečení cloudových služeb je partnerství: Microsoft chrání samotnou platformu, ale firma odpovídá za svá data, identity, přístupy a prostředí, které sama nastavuje.
Správa Microsoft 365 by proto neměla znamenat jen založení e-mailu novému zaměstnanci. Měla by zahrnovat:
- vícefaktorové ověřování
- bezpečné nastavení sdílení dokumentů
- kontrolu externích přístupů
- pravidelnou revizi účtů
- vypnutí účtů bývalých zaměstnanců
- nastavení oprávnění v SharePointu a OneDrivu
- ochranu proti phishingu
- audit přihlášení a podezřelých aktivit
Microsoft Digital Defense Report 2025 uvádí, že MFA blokuje přes 99 % neoprávněných pokusů o přístup při zneužití přihlašovacích údajů. To je jeden z nejrychlejších a nejpraktičtějších kroků, které může firma udělat.
Co má řešit vedení a co IT dodavatel
Ransomware není jen technický problém. Je to provozní riziko. Vedení firmy nemusí nastavovat firewall ani spravovat servery, ale musí rozhodnout, že se kybernetická bezpečnost bude řešit systematicky.
Vedení by mělo řešit hlavně:
IT dodavatel by měl řešit praktickou realizaci:
Ideální stav je, když vedení zná rizika a priority, zatímco IT partner je převádí do konkrétních opatření.
Kde začít, pokud nechcete čekat na problém
Nejlepší čas řešit ransomware je před útokem. Ne až ve chvíli, kdy nejdou otevřít soubory, stojí ERP systém a zaměstnanci nevědí, komu volat.
První krok nemusí být složitý. Dobře poslouží základní audit IT infrastruktury, který ukáže, kde jsou největší slabiny. Typicky se prověřuje stav serverů, pracovních stanic, sítě, Microsoft 365, záloh, přístupových práv a vzdáleného připojení.
Praktický postup může vypadat takto:
- 1
Zmapovat klíčové systémy a data
- 2
Zkontrolovat stav zálohování dat
- 3
Otestovat obnovu dat
- 4
Prověřit Microsoft 365 a uživatelské účty
- 5
Zapnout MFA tam, kde chybí
- 6
Zkontrolovat vzdálené přístupy
- 7
Rozdělit síť podle důležitosti a rizika
- 8
Aktualizovat servery, počítače a síťové prvky
- 9
Připravit plán reakce na incident
- 10
Domluvit jasné odpovědnosti s IT dodavatelem
Závěr: ransomware se neřeší jedním programem, ale připraveností celé firmy
Antivirus je důležitý, ale ransomware ve firmě nevyřeší sám. Skutečná ochrana stojí na kombinaci technických opatření, dobré správy IT, bezpečných přístupů, oddělených a testovaných záloh, segmentované sítě a jasného krizového plánu.
Firmy, které mají přehled o svých datech, systémech a přístupech, jsou na útok připravené výrazně lépe. Ne proto, že by se jim nikdy nic nestalo, ale proto, že dokážou rychleji reagovat, omezit škody a obnovit provoz.
Ransomware není důvod k panice. Je to důvod přestat spoléhat na jedno bezpečnostní řešení a začít budovat stabilní, bezpečné a dlouhodobě udržitelné IT prostředí.