Jedna zapomenutá subdoména. A najednou je venku celá databáze.

Většina bezpečnostních incidentů nezačíná sofistikovaným útokem. Začíná maličkostí, které si nikdo nevšiml.

Testovací účet, na který se zapomnělo. Administrace, která zůstala dostupná z internetu. Dodavatel, který má přístup „jen na chvíli" a pak tam zůstane napořád. Nic z toho nevypadá jako problém. Dokud se to nepropojí dohromady.

Pak stačí pár kroků a útočník se dostane tam, kam by se nikdy dostat neměl. K zákaznické databázi. K fakturačnímu systému. K datům, na kterých firma roky stavěla důvěru svých klientů.

Mezi běžným provozem a katastrofou často nestojí složitá obrana. Stojí tam jen pár nedopatření, na která se snadno zapomíná.

A o tom je tenhle článek. O tom, proč se pentest nevyplatí odkládat, kolik ve skutečnosti stojí bezpečnostní incident a proč se odpovědnost za kybernetickou bezpečnost čím dál víc týká přímo majitelů a vedení firem, ne jen IT oddělení.

Falešný pocit bezpečí: dobré IT není spása

„Máme šikovné IT, tam se nic takového stát nemůže." Tuhle větu slýcháme pořád. A rozumíme jí. Firma investovala do infrastruktury, má firewall, antivirus, zálohy, možná i interního správce sítě. Problém je, že tohle všechno chrání firmu před něčím jiným, než co odhaluje pentest.

Dobré IT znamená, že systémy fungují. Neznamená to, že jsou bezpečné.

Administrátor nastavuje servery tak, aby běžely. Vývojář píše aplikaci tak, aby fungovala pro uživatele. Nikdo z nich ale nepřemýšlí jako útočník, který hledá jednu jedinou skulinu, kterou se dá projít dovnitř.

Právě proto existuje penetrační test. Není to kontrola, jestli IT dělá svou práci dobře. Je to simulace reálného útoku, která ukáže, co uvidí útočník, když se na vaši firmu podívá zvenku. Bez ohledu na to, jak moc si myslíte, že máte zamčeno.

Odkládání, které se firmě nevyplatí

Pentest je jedna z těch věcí, které firmy odkládají nejraději. Není akutní. Nehoří to. Vždycky se najde důležitější priorita. Nový produkt, uzávěrka, obchodní jednání. A bezpečnost počká, protože zatím nic nenasvědčuje tomu, že by nemusela.

Jenže to je právě ten problém. Firma se o díře v zabezpečení nedozví, dokud ji někdo nevyužije. A ta chvíle, kdy se firma konečně chce zabezpečením zabývat, bývá až moment, kdy už je pozdě. Únik dat je venku, klienti volají a řešení, které mohlo stát zlomek ceny, teď řeší právník, PR agentura a případně i NÚKIB.

Odkládání pentestu není odklad nákladů. Je to jejich přesun z položky prevence do položky škody. A ten přesun bývá řádově dražší.

Kolik ve skutečnosti stojí bezpečnostní incident

Čísla se firma od firmy liší, ale řád škod bývá podobný. Náklady po úspěšném kybernetickém útoku se pro menší a střední firmy běžně pohybují od stovek tisíc po jednotky milionů korun. U větších incidentů s únikem citlivých dat klidně výrazně výš.

Do těchto částek se počítá obnova systémů a forenzní vyšetřování, tedy zjištění, co se vlastně stalo a jak hluboko útočník pronikl. Připočtěte výpadek provozu, protože dokud systémy neběží, firma negeneruje tržby, ale náklady jí běží dál. Přidejte právní a smluvní důsledky v podobě pokut, odškodnění klientů a sporů s partnery. A nakonec je tu položka, která se do faktury nevejde, a přitom bývá ze všech nejdražší. Ztráta klientů a poškozená reputace. Databázi obnovíte ze zálohy. Důvěru klienta ne.

A pak je tu varianta, která je ještě nepříjemnější než únik dat. Útočník data nezveřejní, ale řekne si o výkupné. Firma se pak ocitá v situaci, kdy platí, nebo riskuje, že o všechno přijde.

NIS2: za bezpečnost teď ručí přímo vedení firmy

Tohle už dávno není jen otázka dobré praxe. Evropská směrnice NIS2, která v Česku platí od listopadu 2025, přináší jednu zásadní změnu. Odpovědnost za kybernetickou bezpečnost se přesouvá přímo na statutární orgán firmy. Na jednatele, členy představenstva, majitele.

Tahle odpovědnost navíc není přenositelná. Nejde se jí zbavit odvoláním na to, že „to měl na starosti IT dodavatel" nebo že vedení „nerozumí technikáliím". Statutární orgán má povinnost bezpečnostní opatření schvalovat, dohlížet na jejich plnění a rozumět rizikům, která firma nese. Sankce se u regulovaných subjektů mohou vyšplhat až na stovky milionů korun nebo 2 % z celosvětového obratu.

I firmy, na které NIS2 přímo nedopadá, to čím dál častěji pocítí nepřímo. Přes smluvní požadavky velkých partnerů a zákazníků, kteří regulovaní jsou a bezpečnost si po svých dodavatelích začínají tvrdě vyžadovat.

Věta „to je věc IT" dnes už neobstojí. Ani před regulátorem, ani před vlastními klienty.

Penetrační test v tomhle kontextu není jen technická kontrola. Je to jeden z konkrétních důkazů, že vedení firmy svou povinnost řádné péče skutečně plní.

Nejslabší článek nejste vy. Je to váš dodavatel.

A tady je věc, kterou spousta firem podceňuje úplně nejvíc.

Nemusíte být velká korporace, abyste byli cílem. Stačí, že jste dodavatelem někoho, kdo velkou korporací je.

Útočníci to dobře vědí. Proč se pokoušet prolomit obranu velké banky, telekomunikačního operátora nebo výrobního koncernu s vlastním SOC týmem a miliardovým rozpočtem na bezpečnost, když stačí najít menšího dodavatele v jejich řetězci? Takového, který má k jejich datům nebo systémům přístup a přitom mnohem slabší zabezpečení.

Účetní firma se sdíleným diskem plným citlivých dokladů klienta. Marketingová agentura s přístupem do CRM. IT dodavatel se vzdáleným přístupem do interní sítě. Menší e-shop napojený na logistiku velkého řetězce. Ve všech těchto případech útočník nejde po vás. Jde přes vás k někomu jinému. A vy jste ta nejslabší, a proto nejsnazší cesta dovnitř.

Co si z toho odnést

Shrňme si to. Dobré IT vás nechrání před tím, co odhaluje pentest. Odkládání testu neznamená, že riziko mizí. Jen se hromadí, dokud nepřijde účet, který bývá o řád vyšší než prevence. Pravidla dnes jasně říkají, že za bezpečnost ručí přímo vedení firmy, ne anonymní „IT oddělení". A pokud jste dodavatelem někoho většího, vaše zabezpečení přestává být čistě vaše starost. Je to i podmínka vaší budoucí spolupráce.

Penetrační test vám dá odpověď na otázku, kterou si stejně jednou položíte. Buď v klidu dnes, nebo v panice po incidentu. Jak snadno by se útočník dostal dovnitř, kdyby chtěl?

Nečekejte, až vám odpověď dá někdo jiný. S platformou Penterep zvládnete testovat pravidelně a systematicky, ať už interně, nebo přes svého stávajícího dodavatele. Metodika vás provede krok za krokem a nic důležitého nevynecháte.

Ozvěte se nám na Penterep.com a domluvíme se, jak testování nastavit u vás.