Riadenie zamestnaneckého rizika

V článku o riadení rizík sme spomenuli, že podľa Verizon Data Breach Investigations Report 2026 zasahoval ľudský faktor do 62 % všetkých bezpečnostných únikov, a sľúbili sme sa tejto téme venovať podrobnejšie. Zamestnanecké riziko pritom nie je jedna vec — je to najmenej tri odlišné kategórie problémov, z ktorých každá potrebuje iný spôsob riešenia, plus dva kritické momenty (nástup a odchod zamestnanca), kde riziko najčastejšie vzniká alebo pretrváva. Tento článok prechádza všetkými.

Prečo sú zamestnanci najčastejším zdrojom rizika

Technické zraniteľnosti sa dajú záplatovať, firewall nakonfigurovať raz a nechať bežať. Zamestnanec sa každý deň rozhoduje nanovo — klikne, alebo neklikne; nahlási podozrivý e-mail, alebo ho ignoruje; použije firemné heslo aj inde, alebo nie. Práve táto premenlivosť je dôvod, prečo je človek dlhodobo najčastejším bodom, cez ktorý sa bezpečnostný incident dostane do firmy — nie preto, že by bol „najslabším článkom" v zmysle neschopnosti, ale preto, že rozhoduje častejšie a s menej predvídateľným výsledkom než akékoľvek technické opatrenie.

Riadenie zamestnaneckého rizika nadväzuje priamo na krok identifikácie rizika v celkovom procese riadenia rizík — zamestnanci sú jedným z dvoch zdrojov rizika, ktoré si podľa štatistík zasluhujú osobitnú pozornosť (tým druhým sú tretie strany a dodávatelia).

Tri typy zamestnaneckého rizika — nedbalosť, kompromitácia a zlomyseľnosť

Nie každé zamestnanecké riziko má rovnakú príčinu ani rovnaké riešenie. Podľa výročnej správy Ponemon Institute Cost of Insider Risks 2026 sa incidenty spôsobené zamestnancami delia na tri kategórie:

Nedbalý zamestnanec je najčastejším aj pôvodom najlacnejším prípadom — chyba, klik na phishingový odkaz, nesprávne nastavené zdieľanie, stratené zariadenie. Rieši sa predovšetkým školením a technickými poistkami (kapitola 4).

Zlomyseľný zamestnanec koná úmyselne — krádež dát pred odchodom k novému zamestnávateľovi, sabotáž, zneužitie prístupu z pomsty. Najčastejšie sa objavuje práve okolo odchodu zamestnanca z firmy (kapitola 5).

Kompromitované prístupové údaje — útočník používa ukradnuté, ale legitímne heslo alebo reláciu zamestnanca; z pohľadu systému ide „o zamestnanca", hoci zamestnanec sám o útoku často nevie. Najdrahší typ na jeden incident, pretože sa priemerne najdlhšie odhaľuje.

Prvá línia obrany: riadenie prístupov a princíp najmenších privilégií

Bez ohľadu na to, ktorý z troch typov rizika nastane, jeho dopad priamo závisí od toho, ku koľkým systémom a dátam mal daný zamestnanec prístup. Princíp najmenších privilégií — zamestnanec má prístup presne k tomu, čo potrebuje na svoju prácu, nič navyše — preto obmedzuje škodu vo všetkých troch prípadoch naraz: nedbalý zamestnanec urobí chybu v menšom rozsahu dát, zlomyseľný má menej čo ukradnúť, a ukradnuté prístupové údaje majú nižšiu hodnotu pre útočníka.

Tejto téme — ako správne nastaviť a pravidelne revidovať prístupové oprávnenia, prečo sa časom nekontrolovane nabaľujú a ako riešiť osobitne rizikové privilegované a zdieľané účty — sa podrobne venuje samostatný článok o riadení prístupových práv.

Školenia a simulácie phishingu — od jednorazového kurzu k trvalému návyku

Jednorazové školenie pri nástupe znižuje riziko len krátkodobo — návyky sa budujú opakovaním, nie jednou prednáškou. Najúčinnejším spôsobom, ako merať aj postupne znižovať nedbalé riziko, sú pravidelné simulované phishingové kampane kombinované s krátkymi, cielenými školeniami.

Podľa reportu KnowBe4 z roku 2025, ktorý vychádza z miliónov simulovaných phishingových testov naprieč firmami, bol globálny priemerný podiel zamestnancov, ktorí klikli na simulovaný phishing bez predchádzajúceho školenia (tzv. Phish-prone Percentage), 33,1 %. Po 12 mesiacoch pravidelných simulácií a krátkych školení tento podiel klesol na 4,1 % — pokles o 86 %, pričom výrazná časť zlepšenia (približne 40 %) nastala už v prvých troch mesiacoch.

Onboarding a offboarding — kde vzniká najväčšie riziko pri zmene stavu

Dva momenty v „živote" zamestnaneckého účtu sú z pohľadu rizika citlivejšie než bežná prevádzka: nástup a odchod. Pri onboardingu je kľúčové prideliť prístupy rovno podľa princípu najmenších privilégií (kapitola 3) — nie skopírovať prístupy kolegu „pre istotu", čo je jeden z najčastejších spôsobov, ako sa oprávnenia časom nekontrolovane nabaľujú.

Podstatne rizikovejší je však offboarding. Podľa prieskumu spoločnosti Beyond Identity si 83 % opýtaných zamestnancov po odchode z predchádzajúceho zamestnávateľa udržalo prístup aspoň k jednému firemnému účtu alebo systému, a 56 % z nich priznalo, že tento pretrvávajúci prístup niekedy využilo v neprospech bývalého zamestnávateľa — pri prepustených zamestnancoch tento podiel stúpol až na 70 %. Práve okolo odchodu zamestnanca sa najčastejšie realizuje aj zlomyseľné riziko z kapitoly 2.

Metriky na sledovanie zamestnaneckého rizika

Rovnako ako pri modeloch zrelosti platí aj tu, že jednorazové meranie má malú hodnotu — dôležité je sledovať rovnaké metriky opakovane a porovnávať trend:

Časté chyby a odporúčania

• Jednorazové školenie pri nástupe a nič ďalej — efekt bez opakovania rýchlo vyprchá; kapitola 4 ukazuje, že pravidelnosť má merateľne väčší vplyv než jednorazová intenzita.
• Trestanie za kliknutie namiesto podpory hlásenia — kultúra hanby vedie k tomu, že zamestnanci prestanú hlásiť aj skutočné incidenty, nielen simulácie.
• Pomalý alebo neúplný offboarding — zrušenie hlavného firemného účtu bez zrušenia prístupu k SaaS nástrojom, zdieľaným heslám alebo VPN necháva otvorené dvere.
• Kopírovanie prístupov nového zamestnanca podľa kolegu — najčastejšia príčina, prečo princíp najmenších privilégií v praxi zlyháva už pri onboardingu.
• Meranie len klikovosti, nie hlásení — firma s nízkou klikovosťou, ale aj nízkou mierou hlásení nemusí byť bezpečnejšia, len menej všímavá.

Pravidelné simulované phishingové kampane a meranie skutočnej úrovne povedomia zamestnancov, ako sú opísané v kapitole 4, ponúka svojim klientom aj Verison.