Digitalizace účetnictví výrazně zrychlila práci s doklady, platbami i klientskými daty. Zároveň ale vytvořila nové bezpečnostní slabiny – od phishingu a podvodných změn bankovních údajů až po ransomware, únik dat nebo zneužití cloudových služeb. Článek ukazuje, jaká rizika dnes účetní firmy a poradci skutečně řeší, jaké povinnosti jim ukládají právní předpisy a která praktická opatření mají největší význam.
Kybernetická bezpečnost účetních a finančních dat v digitální firmě
Marek
Macháček
Ing.
Ivan
Macháček
Digitální účetnictví přináší efektivitu i nová rizika
Účetnictví se během několika let přesunulo z lokálních programů, papírových šanonů a ručně podepisovaných dokladů do cloudových systémů, sdílených úložišť, bankovních aplikací a automatizovaných workflow. Faktura dnes často vznikne v jednom systému, e-mailem nebo přes datové rozhraní dorazí do jiného, automaticky se vytěží, projde schvalováním a následně se připraví k úhradě. Tento model je rychlejší a levnější, zároveň ale soustřeďuje velké množství citlivých informací do prostředí, které je dostupné na dálku a je závislé na přístupových údajích, dodavatelích technologií a správném nastavení uživatelů.
Účetní a finanční data mají pro útočníka mimořádnou hodnotu. Obsahují informace o bankovních účtech, dodavatelích, zaměstnancích, mzdách, cenách, obchodních vztazích, daňových povinnostech i připravovaných platbách. Útok proto nemusí směřovat pouze ke krádeži databáze. Stejně nebezpečná může být nenápadná změna čísla účtu na faktuře, převzetí e-mailové schránky účetní, zneužití přihlášení do cloudového účetnictví nebo zašifrování účetních dat těsně před termínem uzávěrky.
Podle zprávy NÚKIB za rok 2025 se s phishingem setkalo devět z deseti oslovených organizací
a úřad současně upozorňuje na rostoucí sofistikovanost útoků.1)Účetní data jsou součástí provozní infrastruktury firmy
V praxi se kybernetická bezpečnost někdy stále chápe jako téma IT oddělení. Ekonomické oddělení má účtovat a IT má zajistit, aby fungoval počítač a antivirus. Takové rozdělení odpovědnosti ale neodpovídá realitě. Největší riziko často nevzniká uvnitř IT oddělení, ale v běžném pracovním procesu. Účetní otevře přílohu, finanční manažer schválí změnu čísla účtu, zaměstnanec pošle export mezd na soukromý e-mail nebo bývalému kolegovi zůstane aktivní přístup do účetního systému.
V souvislosti s účetními a finančními daty je vhodné se zamyslet nad třemi základními vlastnostmi:
důvěrností, integritou a dostupností
.–
důvěrnost znamená, že se k informacím dostanou pouze oprávněné osoby;
–
integrita znamená, že data nebyla neoprávněně změněna a firma je schopna poznat, kdo a kdy změnu provedl;
–
dostupnost znamená, že se firma k datům dostane ve chvíli, kdy je potřebuje.
Kybernetický incident přitom nemusí porušit všechny tři vlastnosti současně. Únik mzdové databáze je problém důvěrnosti. Změna účtu dodavatele je problém integrity. Ransomware, který zablokuje přístup do účetnictví, je problém dostupnosti.
Právě integrita bývá v účetnictví podceňována. Firma se může soustředit na to, aby dokument nikdo neukradl, ale ekonomicky mnohem větší škodu způsobí situace, kdy dokument zůstane na svém místě a útočník v něm pouze změní jednu informaci. U faktury stačí jiné číslo bankovního účtu. U platebního souboru může jít o změnu příjemce. U účetní databáze může být problémem neoprávněný zásah do záznamů, který se odhalí až při kontrole nebo auditu.
Praktický poznatek
Kybernetická bezpečnost účetních dat nezačíná nákupem dalšího programu. Začíná otázkou,
které informace jsou pro firmu kritické, kdo k nim potřebuje přístup, jak se pozná neoprávněná změna a za jak dlouho je firma schopna obnovit provoz po výpadku
.Co dnes skutečně vyžaduje právo
Právní požadavky na ochranu účetních a finančních dat nevycházejí z jediného předpisu. V běžné firmě se mohou překrývat pravidla účetnictví, DPH, ochrany osobních údajů a podle typu činnosti také kybernetické regulace. Chybou je proto tvrdit, že se Evropská směrnice NIS2 o kybernetické bezpečnosti EU 2022/2555 vztahuje na všechny firmy. Stejně chybný je ale opačný závěr, že firma mimo regulaci kybernetického zákona žádnou právní povinnost data zabezpečovat nemá.