Bezpečnost dat v cloudu: Na co si musí dát účetní skutečně pozor

Přesunuli jste účetní systém do cloudu, aby byla data vašich klientů v bezpečí? Mnoho účetních kanceláří dnes věří, že po přechodu do cloudu veškerá odpovědnost za bezpečnost automaticky přechází na poskytovatele služby. Tak jednoduché to ale není.

Bezpečnost v cloudu funguje na principu sdílené odpovědnosti. Poskytovatel cloudové služby zajišťuje infrastrukturu, hardware, síťové prvky, základní zabezpečení prostředí, aktualizace systémů a ochranu proti běžným kybernetickým hrozbám.
Zákazník – tedy účetní kancelář nebo samostatný účetní – je ale stále odpovědný za to, jak se s daty pracuje, kdo k nim má přístup a jak jsou nastavena uživatelská oprávnění.

Sdílená odpovědnost v praxi

Při využívání účetního systému v cloudu získáte profesionální technické zázemí: provoz v datovém centru, šifrování dat, pravidelné zálohování na více místech, monitoring bezpečnostních událostí, aktualizace systémů a ochranu před kybernetickými útoky. Tyto oblasti jsou odpovědností provozovatele cloudové služby.

Vaše odpovědnost ale začíná ve chvíli, kdy se ke cloudu přihlašujete a pracujete s daty klientů. Typicky je potřeba mít jasno v těchto otázkách:

• Kdo má přístup k účetnictví jednotlivých klientů?
• Jak jsou chráněné přihlašovací údaje zaměstnanců?
• Jak se nakládá s přístupy při změně role nebo odchodu zaměstnance?

Většina bezpečnostních incidentů totiž nevzniká selháním infrastruktury, ale nesprávným nastavením přístupů nebo lidskou chybou.

Slabá hesla otevírají dveře útočníkům

Bezpečnost dat začíná u přístupu k účetnímu systému. Pokud zaměstnanci používají jednoduchá nebo opakovaná hesla, je jakékoli další zabezpečení výrazně oslabené. Slabá a předvídatelná hesla dnes útočníci dokážou prolomit během velmi krátké doby.

Zvlášť rizikové je používání stejného hesla pro účetní systém, e-mail a další služby. Úniky přihlašovacích údajů z různých online služeb se dějí neustále a kompromitované údaje jsou často zneužívány automatizovaně.

Pokud útočník získá přístup k účetnímu systému, může data stáhnout, změnit, smazat nebo zašifrovat a požadovat výkupné. V některých případech může dokonce změnit bankovní účty v systému a přesměrovat platby.

Základními opatřeními jsou:

• používání silných a unikátních hesel,
• zákaz jejich sdílení,
• a především vícefaktorová autentizace (MFA). 

Lidská chyba jako nejčastější riziko

Představte si, že účetní omylem smaže celý účetní rok klienta, přepíše aktuální data starší zálohou nebo odešle citlivé výkazy na špatnou e-mailovou adresu. Takové situace nejsou výjimkou – naopak patří k nejčastějším příčinám ztráty nebo úniku dat.

Cloudové prostředí může dopady lidské chyby výrazně zmírnit. Pravidelné automatické zálohování umožňuje obnovu dat po chybě uživatele a centralizované ukládání dat snižuje potřebu ukládat citlivé soubory na lokálních počítačích.

Moderní cloudové systémy navíc umožňují velmi detailní nastavení uživatelských oprávnění – kdo může data pouze prohlížet, kdo je může upravovat a kdo má právo je exportovat. Čím přesněji jsou tato práva nastavena, tím menší je riziko neúmyslné chyby.

Přehlížené hrozby, které cloud sám nevyřeší

Existují i rizika, která žádný cloud automaticky neodstraní. Typickým příkladem je ponechání přístupu bývalým zaměstnancům nebo spolupracovníkům. Přístup je nutné odebrat okamžitě – nejen formálně, ale skutečně technicky.

Dalším rizikem je práce z cizích nebo nedostatečně zabezpečených zařízení. Cloud sice snižuje potřebu lokálního ukládání dat, ale přihlašovací údaje mohou zůstat uložené v prohlížeči nebo aplikaci.

Proto je důležité zaměstnancům pravidelně připomínat základní bezpečnostní pravidla: nepoužívat stejná hesla, nenechávat zařízení odemčená a dbát na bezpečnou práci mimo kancelář.

Co dělat, když k bezpečnostnímu incidentu přesto dojde

Ani sebelepší zabezpečení nedokáže zaručit, že se nikdy nic nestane. Důležité proto není jen prevence, ale také to, jak rychle a správně dokážete reagovat, pokud k bezpečnostnímu incidentu dojde.

V cloudovém prostředí je výhodou především to, že většina klíčových kroků je připravena dopředu. Poskytovatel cloudové služby má k dispozici monitoring provozu, záznamy o přístupech a technické nástroje, které umožňují incident rychle identifikovat a omezit jeho dopady. V praxi to může znamenat například zablokování kompromitovaného účtu, obnovení dat ze zálohy nebo analýzu, zda skutečně došlo k úniku dat.

Na straně účetní kanceláře je pak důležité zejména:

• okamžitě nahlásit podezření na incident,
• spolupracovat při zjišťování rozsahu problému,
• a řídit se předem stanoveným postupem, jak situaci řešit.

Právě předem domluvený postup a jasné rozdělení rolí výrazně zkracují dobu, po kterou může být provoz omezen, a snižují riziko dalších škod. Cloud vám v takové situaci dává výhodu v podobě připraveného technického zázemí – ale klíčovou roli stále hraje lidská reakce a komunikace.

Cloud je bezpečný jen tehdy, když ho používáte správně

AppOn.cloud poskytuje zabezpečené prostředí pro provoz účetních systémů. Skutečná bezpečnost dat ale vždy vzniká kombinací kvalitní technologie, správného nastavení a zodpovědného chování uživatelů.