Bezpečnosť a zálohy webu: aktualizácie, HTTPS, hlavičky

Prečo to nie je len technická vec

Kto cez web zbiera osobné údaje (kontaktný formulár, objednávka, rezervácia), musí prijať primerané technické a organizačné opatrenia na ich bezpečnosť. GDPR medzi nimi menuje aj schopnosť zabezpečiť trvalú dôvernosť, integritu, dostupnosť a odolnosť systémov, schopnosť včas obnoviť dostupnosť údajov po incidente a pravidelné testovanie účinnosti opatrení (čl. 32 ods. 1 písm. b), c) a d) nariadenia (EÚ) 2016/679). To isté platí pre toho, kto web a údaje spravuje za vás (čl. 32 ods. 1).

1. Aktualizácie a prehľad o softvéri

Google odporúča mať všetok softvér webu aktualizovaný a spísať si všetok softvér a doplnky, ktoré web používa, aj s verziami a aktualizáciami. Varuje pred chybou, keď si niekto na web nainštaluje fórum či blog a potom naň zabudne. A dodáva, že web môže byť zraniteľný, aj keď je všetko aktuálne, ak hosting nenainštaloval najnovšie opravy operačného systému (Google Search Central: prevencia pred malvérom).

Prakticky: čo na webe nepoužívate (starý blog, nepoužívaný doplnok, testovacia kópia webu), vypnite a odstráňte.

2. Prístupy a heslá

• Silné a jedinečné heslá k administrácii, hostingu, doméne aj e-mailu (Google Search Central, pomocník Google: silné heslo).
• Dvojstupňové overenie všade, kde ho služba ponúka — pridá ďalšiu úroveň zabezpečenia pre prípad, že vám heslo niekto ukradne (pomocník Google: dvojstupňové overenie).
• Šifrované pripojenie k serveru — Google odporúča SSH a SFTP namiesto nešifrovaných protokolov ako telnet či FTP (Google Search Central).
• Len dôveryhodné doplnky a skripty tretích strán — od zdrojov, ktoré uvádzajú podporu a kontakt (tamže).

Prakticky: keď s niekým prestanete spolupracovať, zrušte mu prístupy — a vedzte, kto má prístup k čomu.

3. HTTPS a bezpečnostné hlavičky

Web má bežať len cez zabezpečené pripojenie https — čo robiť, keď prehliadač hlási „Pripojenie nie je súkromné“, je v samostatnom návode o SSL certifikáte. Okrem toho môže server posielať prehliadaču bezpečnostné hlavičky — krátke pokyny, čo stránka smie a nesmie:

Hlavička — čo robí	Chráni pred
Strict-Transport-Security (HSTS)prehliadač otvára web už len cez https	nešifrovaným spojením
Content-Security-Policyurčuje, odkiaľ smie stránka načítať skripty a iné zdroje	podvrhnutými skriptami
X-Frame-Optionsmôže zakázať vložiť váš web do cudzej stránky	clickjackingom
X-Content-Type-Options: nosniffprehliadač neháda typ súboru, drží sa toho, čo pošle server	zámenou typu súboru
Referrer-Policyurčuje, koľko z adresy stránky sa pošle ďalej	únikom adries

Popisy sú podľa dokumentácie MDN: HSTS, CSP (pomáha chrániť pred útokmi typu cross-site scripting), X-Frame-Options, X-Content-Type-Options, Referrer-Policy. Hlavičky webu si môžete zadarmo otestovať nástrojom HTTP Observatory od Mozilly.

4. Zálohy, ktoré sa dajú obnoviť

Záloha má zmysel len vtedy, keď sa z nej web a údaje dajú naozaj vrátiť — GDPR hovorí o schopnosti včas obnoviť dostupnosť údajov a o pravidelnom testovaní opatrení (čl. 32 ods. 1 písm. c) a d)). Prakticky:

1. Automaticky a pravidelne — podľa toho, ako často sa web mení (objednávky, rezervácie, články).
2. Mimo servera webu — záloha na tom istom serveri zmizne spolu s ním.
3. Viac starších verzií, nie len poslednú — chybu alebo napadnutie môžete zistiť až po dňoch.
4. Kód aj dáta — súbory webu, databázu, nahrané obrázky a dokumenty.
5. Skúška obnovy — aspoň raz za čas obnovte zálohu na skúšku a overte, že web funguje.

Pri výbere hostingu sa pýtajte, ako často zálohuje, kam a ako rýchlo vie web obnoviť (návod Doména a hosting pre firmu).

5. Sledovanie a čo robiť, keď sa niečo stane

V Google Search Console prehľad bezpečnostných problémov (Security Issues) ukáže stránky, ktoré Google našiel napadnuté, aj postup, ako to opraviť; ak Google na webe zistí malvér, dostanete správu (Google Search Central). Google radí aj občas vyhľadať site:vasadomena.sk — ak uvidíte stránky či témy, ktoré ste nenapísali, web mohol byť napadnutý (tamže).

Ak pri incidente uniknú, stratia sa alebo sa zmenia osobné údaje, ide o porušenie ochrany osobných údajov (čl. 4 bod 12). Vtedy:

• oznámte ho Úradu na ochranu osobných údajov SR bez zbytočného odkladu a podľa možnosti do 72 hodín od zistenia — okrem prípadov, keď nie je pravdepodobné, že povedie k riziku pre ľudí (čl. 33 ods. 1; úrad je dozorný orgán podľa § 81 ods. 1 zákona č. 18/2018 Z. z.),
• ak hrozí vysoké riziko, informujte bez zbytočného odkladu aj dotknutých ľudí (čl. 34 ods. 1),
• každé porušenie zdokumentujte — čo sa stalo, aké to malo následky a čo ste urobili (čl. 33 ods. 5).

Ako to robíme u nás

Hosting, SSL, zálohy a bezpečnostné aktualizácie sú v starostlivosti Základná; pri jednorazovom webe sú prvé 3 mesiace v cene. Kód aj dáta sú vaše a obsah si môžete vyexportovať kedykoľvek. Ceny sú bez DPH; vedľa je suma s DPH 23 %.

Položka	Bez DPH	S DPH
Starostlivosť Základnáhosting, SSL, zálohy, bezpečnostné aktualizácie, drobné úpravy do ~30 min/mes	49 €/mes	60,27 €/mes
Starostlivosť PLUSvšetko zo Základnej + 2 h zmien obsahu mesačne + prednostná reakcia do 24 h	99 €/mes	121,77 €/mes
Starostlivosť Premiummonitoring + mesačný report o výkone a bezpečnosti	149 €/mes	183,27 €/mes

Všetko je v cenníku. Ak chcete vedieť, ako je na tom váš súčasný web, pošlite nám jeho adresu cez bezplatnú kontrolu nižšie.

Článok je všeobecná informácia, nie právne poradenstvo. Odporúčania Google a MDN sú podľa stavu k dátumu overenia a môžu sa meniť.