Technická opatření

Přehled technických opatření

Pro režim nižších povinností podle vyhlášky č. 410/2025 Sb. rozlišuje podpůrný materiál NÚKIB dva druhy opatření. Neopominutelná opatření jsou povinná vždy, zatímco u vyhodnotitelných opatření obec sama posuzuje jejich rozsah podle svých bezpečnostních potřeb. ^[3] Platí přitom princip proporčnosti, který vystihuje příměr: „Nekupujte zámek za 10 000 Kč s GPS pro kolo za 5 000 Kč.“ Čísla paragrafů v nadpisech níže odkazují na tuto vyhlášku; její paragrafy jsou pojaté šířeji než naše nadpisy (například § 6 upravuje celé řízení kontinuity činností a zálohy jsou jen jeho částí).

Zálohy (§ 6)

• Denní zálohy všech kritických systémů (spisová služba, účetnictví, matrika).
• Offline zálohy – alespoň týdně na odpojitelné médium uložené mimo budovu.
• Pravidelné testování obnovy – alespoň čtvrtletně vyzkoušejte, zda zálohy fungují.
• Stanovte dobu, za kterou musíte být schopni obnovit provoz (RTO, cíl doby obnovy), a kolik dat si můžete dovolit ztratit (RPO, cíl ztráty dat).

Správa hesel (§ 8)

Každý zaměstnanec musí mít vlastní uživatelský účet, aby bylo vždy dohledatelné, kdo co udělal. Účty, ke kterým se jedním heslem přihlašuje více lidí, proto nepoužívejte; ke společné e-mailové schránce (podatelna, info@) se přistupuje z osobních účtů přes delegovaný přístup, který nabízí Microsoft 365 i Google Workspace.

Vyhláška č. 410/2025 Sb. počítá s tím, že se uživatelé, administrátoři i technické účty ověřují vícefaktorově (§ 8 odst. 2, podrobněji níže). Přihlašování pouze heslem připouští jen přechodně, dokud silnější mechanismus není zaveden – a pro tento případ stanoví v § 8 odst. 4 minimální délku 12 znaků pro běžné uživatele, 17 znaků pro administrátory a 22 znaků pro účty technických aktiv. My doporučujeme jednotně alespoň 16 znaků: splní to americký standard NIST (15 znaků pro heslo bez dalšího faktoru) i českou vyhlášku pro běžné uživatele a jako pravidlo se to snadno pamatuje.

Pro bezpečnost hesla je zásadní především jeho délka. Americký standard NIST SP 800-63B proto provozovatelům systémů ukládá, aby nevynucovali složitá pravidla, například povinné používání velkých písmen nebo speciálních znaků. Takové požadavky totiž často vedou k předvídatelným vzorcům hesel. ^[1]

Vhodné je zavést správce hesel, tedy program pro bezpečné ukládání a používání hesel. Příkladem je Bitwarden, který má otevřený zdrojový kód (open source) a lze jej provozovat na vlastním serveru.

Výchozí hesla nastavená výrobcem musí být na všech zařízeních při instalaci změněna. Vyhláška v § 8 odst. 5 stanoví pro všechny systémy další požadavky: výchozí heslo nebo heslo sloužící k obnově přístupu se musí změnit po prvním použití (písm. b), heslo či identifikátor k obnově přístupu musí být zneplatněny nejpozději do 24 hodin od vytvoření (písm. c) a při důvodném podezření na kompromitaci se heslo musí bezodkladně změnit (písm. d). U systémů provozovaných dodavateli je vhodné tyto požadavky zahrnout i do smluv.

Podrobnější vysvětlení hesel, frázových hesel a přihlašování bez hesla najdete v příloze na konci kapitoly.

Pozor na předvídatelné vzorce: velké písmeno na začátku, číslice na konci a záměny písmen za čísla (O→0, E→3) útočníkovi práci neztíží – nástroje na prolamování hesel tyto substituce testují automaticky. Nejúčinnější ochrana je délka: frázové heslo z pěti až šesti náhodných slov je bezpečnější než krátké „složité“ heslo.

Účet, který už nikdo nepoužívá, je otevřené okno. Nastavte, že se přístupy odebírají v den, kdy zaměstnanec nebo externista končí – vyhláška č. 410/2025 Sb. žádá odebrání nebo změnu oprávnění bezodkladně, a to jak při změně pozice (§ 7 odst. 1 písm. e), tak při ukončení smluvního vztahu (§ 7 odst. 1 písm. f). A jednou ročně projděte seznam všech účtů a zrušte ty, které nikdo nepotřebuje; pravidelné přezkoumání přístupových práv ukládá § 7 odst. 1 písm. d).

Vícefaktorové ověření – MFA (§ 8)

MFA (Multi-Factor Authentication, česky vícefaktorové ověření) vyžaduje dvě nebo více nezávislých forem ověření – typicky něco, co znáte (heslo), něco, co máte (telefon s autentizační aplikací, hardwarový klíč), a volitelně něco, čím jste (biometrie). Vyhláška č. 410/2025 Sb. ji nebere jako nadstandard: § 8 odst. 2 požaduje pro ověření identity uživatelů, administrátorů i technických aktiv „vícefaktorovou autentizaci s alespoň dvěma různými typy faktorů“ (alternativou je jen tzv. kontinuální autentizace podle modelu nulové důvěry, tedy pokročilé řešení, se kterým běžný úřad nepočítá) a přihlašování pouze heslem připouští jen do doby, než je zavedena. Zapněte minimálně na: e-mailových účtech, VPN (šifrované připojení na dálku) / vzdálené ploše, cloudových službách (Microsoft 365, Google Workspace), administrátorských účtech všech systémů. Pokud systém MFA neumožňuje, vymáhejte nápravu smluvně u dodavatele, případně zvažte náhradu systému.

Nezapomeňte na účty, které úřad běžně používá, ale IT správce o nich často ani neví: profily obce na sociálních sítích, přihlášení do redakčního systému obecního webu a správa domény a hostingu. Bývají založené na soukromý e-mail konkrétního člověka, nemají zapnuté vícefaktorové ověření a při odchodu se nikomu nepředají. Zapněte vícefaktorové ověření i na nich a veďte jednoduchý seznam „účet – kdo ho spravuje – kde je heslo“; pokud je spravuje externí firma, patří tento požadavek i do smlouvy (podrobněji v kapitole 6 o dodavatelích).

Aktualizace softwaru (§ 12)

Na pracovních stanicích: zapněte automatické aktualizace (Windows Update, prohlížeče, Office). Na serverech: plán aktualizací minimálně měsíčně, kritické bezpečnostní záplaty bezodkladně (interní cíl např. do 72 hodin). Sledujte nepodporovaný software – vyhláška žádá jeho evidenci, omezení komunikace v síti a náhradní opatření (§ 12 písm. b), nejlépe ho ale nahraďte – a nechte si pravidelně skenovat zranitelnosti (§ 12 písm. c).

Neopravený server, firewall nebo web dostupný z internetu je dnes rizikovější než slabé heslo. Totéž platí pro web obce – pokud běží na redakčním systému (typicky WordPress), aktualizujte i jeho jádro a doplňky; v červenci 2026 se hromadně zneužívala kritická chyba i v základní instalaci WordPressu bez jakýchkoli doplňků. ^[7]

Firewall a síťová bezpečnost (§ 9, § 11)

• Firewall (síťová brána) na vstupu do sítě – zajistěte filtraci příchozího i odchozího provozu.
• Segmentace sítě – oddělte kancelářskou síť od serverové, veřejné Wi-Fi a IoT zařízení (kamery, čidla, „chytré“ přístroje).
• Vzdálený přístup – pouze přes VPN s MFA. Nepovolujte přímý přístup přes RDP (vzdálená plocha Windows) z internetu.
• Aktuální šifrovací protokoly – požadujte od dodavatele vypnutí zastaralých verzí TLS 1.0/1.1 a SSLv3, které jsou dnes nedostatečně bezpečné.

I firewall je software, který se musí aktualizovat. V červenci 2026 zařadila americká agentura CISA mezi aktivně zneužívané zranitelnosti i chybu v systému FortiOS, na kterém běží rozšířené firewally FortiGate. ^[8] Totéž platí o VPN: brána, přes kterou se lidé připojují zvenčí, musí být z podstaty dostupná z internetu, a je proto vděčným cílem. V srpnu 2026 přibyly do téhož seznamu hned dvě takové chyby – kritická zranitelnost služby Windows IKE, přes kterou šlo na server bez přihlášení spustit cizí kód (Microsoft na ni vydal záplatu už v dubnu 2026, aktivně zneužívat se začala až o čtyři měsíce později), a chyba ve VPN firewallů Cisco ASA a FTD, kterou útočník dokázal zařízení shodit. ^[11] Doporučení „vzdálený přístup pouze přes VPN s MFA“ tím neztrácí platnost – jen samotnou VPN musíte záplatovat stejně důsledně jako všechno ostatní.

Ochrana koncových bodů (§ 9)

Minimální základ: antivirový program na každém zařízení (Microsoft Defender Antivirus, dříve Windows Defender, je akceptovatelný). Pokročilejší ochrana: EDR (Endpoint Detection and Response, detekce a reakce na hrozby na koncových zařízeních) – dokáže detekovat i pokročilé útoky, které tradiční antivirus neodhalí. EDR řešení jsou dostupná i jako cloudové služby s měsíčním předplatným.

Záznamy o událostech – logy (§ 9)

Firewall a antivirus jsou ve vyhlášce jen částí § 9; jeho hlavním tématem je detekce a zaznamenávání bezpečnostních událostí. Bez záznamů (logů) po incidentu nezjistíte, kdy útočník přišel, kudy a co všechno otevřel – a nemáte co předat NÚKIB ani policii. Vyhláška požaduje, aby se u bezpečnostních a relevantních provozních událostí zaznamenávalo datum a čas včetně časového pásma, typ činnosti, identifikace zařízení a účtu, který ji provedl, a zda činnost uspěla (§ 9 odst. 2). Dobu uchování záznamů si obec stanoví sama podle svých bezpečnostních potřeb (§ 9 odst. 3).

• Zapněte záznam přihlášení (úspěšných i neúspěšných), činnosti administrátorů a změn konfigurace – na serverech, firewallu, v cloudových službách i ve spisové službě.
• Logy ukládejte mimo dosah útočníka – na samostatné úložiště nebo do cloudové služby, ne jen na stroj, který je vytváří; jinak je útočník smaže spolu se vším ostatním.
• Určete, kdo záznamy pravidelně kontroluje a komu hlásí podezřelé události – vyhláška žádá včasné varování odpovědných osob (§ 9 odst. 1 písm. d).
• U USB disků a jiných vyměnitelných médií omezte automatické spouštění obsahu – vyhláška to jmenuje výslovně (§ 9 odst. 1 písm. c).

Šifrování (§ 13)

Šifrujte data na přenosných zařízeních (notebooky, USB disky) – při ztrátě nebo krádeži jsou data chráněna. Windows BitLocker je bezplatnou součástí Windows Pro. Komunikaci zabezpečte šifrovanými kanály (HTTPS, šifrovaný e-mail pro citlivé dokumenty).

Telefony, notebooky a práce mimo úřad (§ 7, § 11)

Pracovní e-mail i datovou schránku dnes lidé běžně otevírají na telefonu během jednání zastupitelstva nebo na notebooku doma. Vyhláška č. 410/2025 Sb. to nezakazuje, ale požaduje, aby obec zavedla opatření pro bezpečné používání mobilních zařízení. To platí i tehdy, když zařízení sama nespravuje, například když zaměstnanec používá pro pracovní poštu svůj soukromý telefon (§ 7 odst. 1 písm. c).

Vzdálený přístup do vnitřní sítě úřadu musí být zároveň omezen jen na nezbytně nutný rozsah, chráněn proti odposlechu a úřad musí mít přehled o tom, kdo jej používá (§ 11 písm. d).

• Pracovní e-mail a datovou schránku mějte jen na zařízeních, která jsou zamčená (PIN nebo biometrie), šifrovaná a mají aktuální systém.
• Musíte umět přístup odstřihnout na dálku – při ztrátě nebo krádeži zařízení i v den, kdy zaměstnanec odchází. Vyzkoušejte si to dřív, než to budete potřebovat.
• Soukromé telefony s pracovním e-mailem (tzv. BYOD, z anglického „bring your own device“ – přines si vlastní zařízení) ošetřete písemným pravidlem: co na nich smí být, jak je zabezpečit a co se stane při ztrátě nebo odchodu.
• Veřejnou Wi-Fi (hotel, nádraží, kavárna) používejte k práci jen přes VPN – jinak posíláte data přes síť, kterou nikdo z úřadu nespravuje.
• Zahrňte tato témata do školení: příloha č. 3 vyhlášky je jmenuje výslovně – používání vzdáleného připojení (VPN), bezpečné používání pracovních zařízení pro soukromé účely a bezpečné používání soukromých zařízení pro pracovní účely (BYOD).

Příloha: Bezpečná hesla v praxi

Americký Národní institut pro standardy a technologie (NIST) už několik let doporučuje opustit tradiční pravidla, která uživatele nutí přidávat do hesel velká písmena, číslice nebo speciální znaky a hesla pravidelně měnit. Nejnovější standard NIST SP 800-63B-4 z července 2025 tento přístup ještě zpřísnil: provozovatelé systémů taková pravidla nemají vyžadovat a pravidelnou změnu hesla nemají vynucovat. Heslo se má měnit tehdy, když existuje důvodné podezření, že bylo prozrazeno nebo jinak napadeno. ^[1]

Důvod je praktický. Když systém požaduje například velké písmeno, číslici a zvláštní znak, lidé často vytvářejí snadno předvídatelná hesla typu „Password1!“ a při pravidelných změnách jen obměňují jejich část. NIST proto klade větší důraz na délku hesla a na kontrolu, zda uživatel nezvolil běžné, očekávatelné nebo dříve uniklé heslo. Tato příloha shrnuje, jaká pravidla pro hesla dnes NIST považuje za účinná. ^[1]

Proč 12 znaků nestačí

Hesel v únicích je opakovaně použitých

94 %

Cybernews, analýza 19 mld. uniklých hesel (2024–2025) [5]

Narušení začíná zneužitím ukradených přihlašovacích údajů

13 %

Verizon DBIR 2026 – analýza 22 000+ narušení [4]

Podíl ukradených přihlašovacích údajů mezi vstupními branami útoku sice meziročně klesl z 22 % na 13 % – prvenství převzalo zneužití neopravených zranitelností (31 %) –, ale za zhruba 62 % všech narušení stojí podle téhož rozboru lidský faktor: chyba obsluhy, podvodný e-mail nebo prozrazené heslo. ^[4] Heslo tak zůstává jednou z hlavních cest průniku a slabé heslo cestou nejlevnější.

NIST SP 800-63B-4 ve finální verzi z roku 2025 stanoví jednoduché pravidlo: pokud je heslo jediným způsobem přihlášení, musí mít nejméně 15 znaků. Pokud je přihlášení chráněno také dalším prvkem, například kódem v telefonu nebo bezpečnostním klíčem v rámci vícefaktorového ověření (MFA), stačí podle NIST heslo o nejméně 8 znacích. Nejbezpečnější je ale spojit dlouhé heslo s MFA.

U systémů, na které se vztahuje vyhláška č. 410/2025 Sb., platí pro některé účty přísnější česká pravidla. Pokud se administrátor přihlašuje pouze heslem, musí mít heslo nejméně 17 znaků. U účtů technických aktiv je minimum 22 znaků (§ 8 odst. 4). Tato pravidla se použijí tam, kde přihlášení není chráněno MFA ani kryptografickými klíči podle § 8 odst. 2–3.

NIST zároveň provozovatelům ukládá, aby uživatele nenutili v hesle povinně kombinovat velká a malá písmena, číslice a speciální znaky, a aby nevyžadovali pravidelnou změnu hesla bez známek jeho zneužití ^[1]. Česká vyhláška je v tomto bodě přísnější: pokud systém používá pouze heslo a nemá MFA ani kryptografické klíče podle § 8 odst. 2–3, musí se heslo změnit nejméně jednou za 18 měsíců.

Místo požadavků na složitost se nově klade důraz na kontrolu hesla proti seznamům známých uniklých hesel (tzv. blocklist). Pokud si uživatel zvolí heslo, které už bylo odhaleno při některém z velkých úniků dat, například ze služeb LinkedIn, Adobe nebo Yahoo, systém ho musí odmítnout.

Přesný čas potřebný k prolomení hesla nelze obecně určit; závisí na způsobu útoku a zabezpečení systému. Tabulka proto ukazuje především, jak výrazně bezpečnost zvyšuje délka a náhodnost hesla. Jinak totiž dopadne hádání hesla přes přihlašovací stránku, kterou lze po několika neúspěšných pokusech zablokovat, a jinak útok na odcizenou databázi hesel, kde si útočník zkouší miliardy možností u sebe a nikdo mu v tom nebrání.

V druhém případě rozhoduje, jak jsou hesla v systému uložena. Rychlé hashovací algoritmy (algoritmy pro výpočet otisku hesla, např. MD5 nebo SHA-1), které řada starších systémů stále používá, dovolí útočníkovi zkoušet ohromné množství hesel za vteřinu. Moderní odolné algoritmy s rozumnou iterační cenou ho naopak výrazně brzdí – pro ukládání hesel NÚKIB v Minimálních požadavcích na kryptografické algoritmy (v4.1, březen 2026) uvádí Argon2, scrypt a PBKDF2; starší bcrypt je proti rychlým algoritmům stále výrazně lepší volbou, v aktuálním seznamu NÚKIB ale není ^[10]. Totéž heslo tak může v jednom systému padnout rychle a v jiném odolávat velmi dlouho, aniž se na něm cokoli změnilo.

U frází navíc rozhoduje skutečná náhodnost slov, ne jejich počet. Čtyři slova vylosovaná kostkou nebo generátorem jsou něco úplně jiného než čtyři slova, která vás napadla – smysluplná věta typu „mám rád svého psa“ je pro útočníka mnohem snazší cíl než náhodná čtveřice. A protože útočník obvykle ví, že hádá slova ze slovníku, vyplatí se přidat slovo navíc: šest náhodných slov je řádově odolnějších než čtyři.

Frázová hesla – dlouhá a zapamatovatelná

Frázové heslo (passphrase) se skládá z několika náhodně vybraných slov. Každé náhodné slovo přidává přibližně 12,9 bitu entropie (míry nepředvídatelnosti). Šest slov = 77,5 bitu – zhruba tolik, kolik dá dvanáctiznakové heslo poskládané ze skutečně náhodných znaků. Rozdíl je v tom, že frázi si zapamatujete a náhodných dvanáct znaků ne; a proti heslu, které si o dvanácti znacích vymyslí člověk, je fráze výrazně silnější, protože lidmi volená hesla se v praxi pohybují hluboko pod teoretickým maximem. Klíčové pravidlo: slova musí být vybrána skutečně náhodně (kostkou, generátorem), nikoli vaší hlavou – lidský mozek si nevědomky vybírá předvídatelné kombinace.

Všimněte si, že slova ve všech příkladech spojujeme pomlčkou, nikoli mezerou. NIST systémům přijímání mezer i písmen s diakritikou pouze doporučuje, nikoli nařizuje – řada úředních aplikací je proto odmítá a leckterá mezeru na začátku a na konci sama utne. Pomlčka (nebo tečka) projde téměř všude, k síle hesla nic nepřidává ani neubírá a je to i výchozí volba generátoru v Bitwardenu. Ze stejného důvodu zvažte háčky a čárky: heslo s „ů“ nebo „í“ nemusí projít starším systémem a na cizí klávesnici ho nenapíšete. ^[1]

Proč je fráze lepší než tradiční „složité“ heslo? Heslo Kx$9mP2! má jen 8 znaků, je těžké ho zapamatovat i napsat – a přitom je pro útočníka s odcizenou databází poměrně snadným cílem. Naproti tomu „správný-kůň-baterie-sponka-jahoda-most“ má 38 znaků, zapamatujete si ho za minutu pomocí mentálního obrázku a jeho uhodnutí je i pro útočníka znalého slovníku nesrovnatelně dražší. Jedinou nevýhodou je pomalejší psaní – proto doporučujeme správce hesel, který heslo vyplní za vás.

Triky, které nefungují

Řada rozšířených triků dávala smysl v roce 2005, ale dnešní nástroje na prolamování hesel (Hashcat, John the Ripper) je mají jako standardní pravidla:

• Záměna písmen za podobně vypadající znaky a čísla (O→0, E→3, A→@, S→$). Útočník testuje všechny běžné substituce automaticky, přidávají méně než 1 bit entropie.
• Velké písmeno na začátku + číslo na konci (Heslo123) – nejčastější vzorec, útočník ho zkouší jako první.
• Klávesové vzory (qwerty, 123456, asdfgh) – součást každého slovníkového útoku.
• Vykřičník na konci – nejčastější pozice speciálního znaku. Pokud systém vyžaduje speciální znak, většina lidí přidá „!“ na konec.
• Osobní údaje (datum narození, jméno psa, ulice) – často veřejně dostupné na sociálních sítích.

Správce hesel v praxi

Správce hesel funguje jako trezor: pamatujete si jedno silné hlavní heslo (master password) a správce za vás generuje a ukládá unikátní náhodné heslo pro každou službu. Při přihlášení heslo vyplní automaticky – nikdy ho nevidíte ani neopisujete. Hlavní výhody: každé heslo je unikátní (únik z jedné služby neohrozí ostatní), každé heslo je maximálně silné (náhodných 20+ znaků) a nemůžete ho omylem znovu použít.

• Bitwarden – s otevřeným zdrojovým kódem, bezplatný pro jednotlivce, placená verze pro organizace (Teams 4 USD/uživatel/měsíc při ročním placení, zhruba 85 Kč při aktuálním kurzu), možnost self-hosted instalace (instalace provozované na vlastním serveru). ^[9]
• Prohlížečové správce hesel (Chrome, Firefox, Edge) – lepší než nic, ale samostatný správce je preferován: synchronizuje se napříč zařízeními a funguje i mimo prohlížeč.
• Nikdy neukládejte hesla v Excelu, Wordu, na lístečcích ani v nešifrovaných textových souborech.
• Pro sdílení hesel v rámci úřadu (např. přístup k tiskárně, sdílené e-mailové schránce) použijte sdílení přes správce hesel – ne předávání hesla e-mailem nebo na papíře.

Přihlašování bez hesla (passkeys)

Passkeys (přístupové klíče) jsou moderním standardem přihlašování, který může u podporovaných služeb hesla nahradit ^[2]. Místo hesla vaše zařízení (telefon, počítač, bezpečnostní klíč) dokáže ověřit vaši identitu pomocí kryptografického páru klíčů. Server si ukládá jen veřejnou část; soukromý klíč zůstává ve vašem zařízení (mezi vašimi zařízeními se případně přenáší jen zašifrovaný), takže ho nelze ukrást z databáze serveru, odposlechnout ani vylákat phishingem. K odemčení slouží otisk prstu, rozpoznání obličeje nebo PIN zařízení.

ze 100 nejnavštěvovanějších webů podporuje přístupové klíče

48 %

FIDO Alliance, World Passkey Day 2025 [2]

Passkeys už podporují Google, Microsoft, Apple, Amazon, PayPal, GitHub a stovky dalších služeb. Windows Hello (přihlášení otiskem prstu nebo obličejem ve Windows) funguje na stejném principu – biometrie odemyká kryptografický klíč uložený přímo v počítači. Hardware klíče (YubiKey, Feitian) jsou fyzické „klíčenky“ s USB nebo NFC, které slouží jako přenosný passkey – vhodné zejména pro administrátory. Přístupové klíče už nejsou okrajová technologie: podle zprávy FIDO Alliance z května 2026 je celosvětově aktivních přes 5 miliard přístupových klíčů a v průzkumu mezi 11 000 lidmi z deseti zemí jich alespoň jeden používaly tři čtvrtiny dotázaných. ^[6]

Pro obce: passkeys jsou budoucí směr. Při výběru nových systémů nebo jednání s dodavateli požadujte podporu FIDO2/passkeys jako kritérium. V přechodném období poskytuje obdobnou ochranu MFA (vícefaktorové ověření), které je popsáno v hlavní části kapitoly výše.

Starší systémy – co dělat, když to nejde

Realita na obcích: řada systémů (spisová služba, účetní software, matrika, starší webové aplikace) má omezení – maximální délka hesla 8, 16 nebo 20 znaků, zakázané mezery či speciální znaky, žádná podpora MFA. Tyto limity nelze obejít a frázové heslo o 6 slovech se do nich prostě nevejde. To neznamená, že nemůžete situaci zlepšit:

• Systém omezuje délku na méně než 16 znaků → využijte maximum, co systém dovolí. Zapněte MFA, pokud je k dispozici. Zdokumentujte omezení v analýze rizik.
• Systém nepodporuje MFA → kompenzujte segmentací sítě (přístup pouze z interní sítě), logováním přístupů a silnějším heslem na maximum povolené délky.
• Systém neumí mezery, pomlčky ani diakritiku → spojte slova bez oddělovače a bez háčků a čárek (kocourrybniklavka). Délka zůstane zachovaná, na síle heslo neztratí.
• Při obnově smlouvy s dodavatelem → do podmínek zahrňte požadavek na podporu FIDO2/passkeys, MFA a umožnění použití dlouhých hesel (systém by měl přijmout alespoň 64 znaků).