DESETIMINUTOVKA: Kybernetická bezpečnost na pracovišti

O čem desetiminutovka je

Do firmy se dnes nevloupává zloděj, ale e-mail. Klik na falešnou fakturu, heslo sdělené „kolegovi z IT“ nebo převod na účet „nového dodavatele“ zastaví výrobu nebo odčerpají peníze během minut. Desetiminutovka učí poznat phishing, zacházet s hesly, zamykat počítač, neposílat data ven a hlásit incident hned, i vlastní chybu.

Co školení pokrývá

• Nejčastější cesta útoku do firmy vede přes zaměstnance, ne přes technologii: podvodný e-mail, telefonát „z IT“, nalezená flashka, heslo na lístku. Zaměstnanec je součást bezpečnosti stejně jako firewall, stejně jako ochranný kryt na stroji se nesmí obcházet.
• Phishing: zpráva, která nutí jednat hned (zablokovaný účet, nezaplacená faktura, balík k vyzvednutí, šéf žádá o převod). Poznávací znaky: naléhavost, odkaz nebo příloha, odesílatel podobný známému, ale ne stejný, chyby v textu. Na odkaz se neklikne, příloha se neotevře, zpráva se přepošle IT.
• Hesla: dlouhé (věta, ne slovo), pro každou službu jiné, uložené ve správci hesel, nikdy na lístku pod klávesnicí a nikdy sdělené po telefonu ani „kolegovi z IT“. Vícefázové ověření (kód v aplikaci) se zapíná všude, kde jde.
• Zamykání: při každém odchodu od počítače, i na minutu, zamknout (Windows + L). Odemčený počítač v kanceláři je otevřený trezor.
• Cizí datové nosiče: nalezená flashka se nepřipojuje, ani „aby se zjistilo, čí je“. Připojuje se jen to, co firma vydala nebo zkontrolovala.
• Firemní data: neposílají se na soukromý e-mail, nekopírují se na soukromý disk, nesdílejí se přes veřejné služby bez souhlasu. Osobní údaje zákazníků a zaměstnanců podléhají GDPR a jejich únik se hlásí do 72 hodin úřadu.
• Práce mimo kancelář: firemní notebook, firemní VPN, ne veřejná Wi-Fi bez VPN; obrazovka mimo dohled cizích lidí, zařízení nikdy bez dozoru v autě ani v kavárně.
• Telefonáty a zprávy „od šéfa“ s příkazem k platbě, změně čísla účtu dodavatele nebo nákupu poukazů se ověřují zpětným voláním na známé číslo. Podvod s falešným šéfem stojí firmy miliony a mizí během minut.

(Úplná osnova s přesným zněním a odkazy na jednotlivá ustanovení je v zakoupeném dokumentu.)

Doplňující informace a pojmy

• Zákon č. 264/2024 Sb., o kybernetické bezpečnosti, účinný od 1. 11. 2024, zavádí povinnosti pro regulované subjekty v energetice, dopravě, zdravotnictví, vodárenství, výrobě a dalších odvětvích, včetně školení zaměstnanců. Zda se firmy týká, zjišťuje vedení, ne zaměstnanec; pravidla z této desetiminutovky platí pro každou firmu bez ohledu na zákon.
• Ztráta osobních údajů (jména, adresy, rodná čísla, zdravotní údaje) je incident podle obecného nařízení o ochraně osobních údajů (GDPR) a oznamuje se Úřadu pro ochranu osobních údajů do 72 hodin od zjištění. Proto se hlásí hned.

Příklady z praxe

• Účetní dostane e-mail od „ředitele“ s prosbou o rychlou platbu na nový účet dodavatele; ověří to až po odeslání dvou milionů.
• Skladník připojí nalezenou flashku, „aby zjistil, čí je“; za hodinu jsou zašifrované servery a výroba stojí tři dny.

Časté chyby

• Firma školí kyberbezpečnost jen kancelář, ale ne výrobu a sklad, kde jsou stejné počítače a terminály.
• Zaměstnanci se bojí hlásit vlastní chybu, a tak se incident zjistí až z výkupného.

Co hrozí při kontrole

U regulovaných subjektů kontroluje plnění povinností Národní úřad pro kybernetickou a informační bezpečnost, včetně školení zaměstnanců; únik osobních údajů řeší Úřad pro ochranu osobních údajů s pokutami v milionech.

Právní rámec

• Zákon č. 262/2006 Sb., zákoník práce, ve znění pozdějších předpisů: písm. c), § 301; § 316
• Zákon č. 264/2024 Sb., o kybernetické bezpečnosti, ve znění pozdějších předpisů: § 2, § 3
• Nařízení Evropského parlamentu a Rady (EU) 2016/679, o ochraně fyzických osob v souvislosti se zpracováním osobních údajů (GDPR) čl. 32, čl. 33

Jak desetiminutovku použít v praxi

Dokument dostanete ve formátu DOCX (Microsoft Word) a PDF. Na první straně je osnova školení, na druhé prezenční listina. Do DOCX doplňte hlavičku firmy a případně vlastní interní pokyny, PDF je připravené k tisku bez úprav. Vedoucí proškolí lidi před směnou, podepíšou prezenční listinu a ta jde do dokumentace BOZP. Celé to trvá deset minut.

Téma je jedním ze 72 v komplexním balíčku desetiminutovek. Pokud chcete školit průběžně po celý rok, vyjde balíček nebo sada výrazně levněji než jednotlivá témata.