--- title: "Audit prístupov a bezpečnostné logy vo firemnej aplikácii" description: "Otázka „kto to zmenil a kedy\" príde vždy — pri reklamácii, kontrole aj incidente. Ak sa vtedy začne hľadať, je neskoro." canonical: "https://interfase.sk/sk/novinky/audit-pristupov-a-bezpecnostne-logy-vo-firemnej-aplikacii" lang: "sk" last_updated: "2026-10-30" --- # Audit prístupov a bezpečnostné logy vo firemnej aplikácii > Otázka „kto to zmenil a kedy" príde vždy — pri reklamácii, kontrole aj incidente. Ak sa vtedy začne hľadať, je neskoro. Publikované: 2026-10-30 - Audit log má zaznamenávať kto, čo, kedy a z čoho — vrátane pôvodnej hodnoty, inak sa zmena nedá zrekonštruovať. - Prístupy zastarávajú tichšie než čokoľvek iné; bez pravidelnej revízie má polovica ľudí práva, ktoré už nepotrebuje. - Log, ktorý sa dá zmazať z aplikácie, nie je dôkaz — zápis musí byť nemenný a oddelený. - Zaznamenávajte aj čítanie citlivých údajov, nielen zmeny; pri kontrole sa pýtajú práve na to. Zákazník tvrdí, že objednávka mala inú cenu. V systéme je aktuálna hodnota a nikto nevie povedať, či sa menila, kým a prečo. Diskusia sa presunie do roviny „mne sa zdá" a firma ju prehrá. To je najlacnejší scenár. Drahšie sú tie ostatné: kontrola z úradu, odchod zamestnanca s prístupmi, ktoré mu nikto nezrušil, alebo podozrenie na únik dát bez možnosti zistiť rozsah. ## Čo má audit log obsahovať Minimum, ktoré má zmysel, sú štyri údaje a jeden, na ktorý sa zabúda: - **Kto** — konkrétny používateľ, nie „systém". Ak akciu vykonal automat na niečí pokyn, patria tam obaja. - **Čo** — ktorý záznam a ktoré pole. - **Kedy** — s presnosťou na sekundu a v UTC. - **Odkiaľ** — IP adresa a zariadenie, ak to dáva zmysel. - **Z čoho na čo** — a toto je ten zabúdaný. Zápis „cena bola zmenená" je na nič. Zápis „cena zmenená z 1 240 € na 990 €" je použiteľný dôkaz. ## Zaznamenávajte aj čítanie Väčšina aplikácií loguje zmeny a čítanie ignoruje. Pri bežných dátach je to v poriadku. Pri **osobných údajoch, mzdách, zdravotných záznamoch a zmluvách** je to naopak najdôležitejšia časť — otázka pri kontrole neznie „kto to zmenil", ale „kto to videl". Nie je nutné logovať každé zobrazenie zoznamu. Stačí prístup k detailu citlivého záznamu a každý export. ## Export je samostatná udalosť Stiahnutie tabuľky s tisíckou kontaktov je z hľadiska rizika niečo úplne iné než otvorenie jedného záznamu. Exporty preto majú vlastný záznam s počtom riadkov a rozsahom — a pri veľkých exportoch stojí za zváženie aj upozornenie správcovi. ## Log sa nesmie dať prepísať Audit log, ktorý vie administrátor upraviť alebo zmazať priamo v aplikácii, nemá dôkaznú hodnotu. Práve človek s najvyššími právami je ten, koho konanie treba vedieť doložiť. Praktické riešenie: **zápis je len na pridávanie**, bez možnosti úpravy a mazania z rozhrania; kópia ide do oddeleného úložiska; a doba uchovávania sa nastaví vopred, nie podľa potreby. ## Prístupy zastarávajú ticho Toto je najčastejšia diera vo firmách, ktoré inak bezpečnosť riešia. Ľudia menia pozície, dostávajú nové práva a staré im nikto neodoberie. Po dvoch rokoch má účtovníčka prístup do skladu, bývalý brigádnik aktívne konto a externý dodávateľ práva, ktoré potreboval na jeden projekt. Čo funguje: - **Revízia dvakrát ročne.** Zoznam ľudí a ich práv ide vedúcim s otázkou, či to tak má zostať. Trvá to hodinu a odhalí vždy niečo. - **Odchod ako proces.** Zrušenie prístupov je položka v odchodovom zozname, nie ústna dohoda. - **Práva podľa roly, nie podľa človeka.** Inak sa pri každej zmene pozície pridáva a nikdy neuberá. - **Automatické upozornenie na neaktívne kontá.** Konto bez prihlásenia 90 dní si zaslúži otázku. ## Logy sú užitočné, až keď sa dajú prehľadávať Súbor, do ktorého sa zapisuje a nikto ho nikdy neotvorí, je len pocit bezpečia. Aby mal log hodnotu, musí sa dať odpovedať na otázku „ukáž mi všetko, čo tento používateľ robil s týmto záznamom" za pár sekúnd — bez programátora. S tým súvisí aj zvyšok prevádzkového pohľadu na aplikáciu, ktorý sme popisovali pri [rýchlosti firemnej aplikácie](/blog/rychlost-firemnej-aplikacie-kde-sa-realne-straca-cas): merať sa dá len to, čo sa zaznamenáva. ## Čo do logu nepatrí Heslá, tokeny, čísla kariet a rodné čísla v otvorenej podobe. Log býva menej chránený než databáza a často sa kopíruje do nástrojov na analýzu. Citlivé hodnoty sa preto zapisujú zamaskované alebo vôbec. Rovnako platí, že audit log sám je spracovaním osobných údajov — má svoju dobu uchovávania a svoj účel. Súvisiace princípy sme popísali v článku o [AI agentoch a GDPR](/blog/ai-agenti-a-gdpr-na-co-si-dat-pozor-pri-spracovani-osobnych-udajov). ## Kde začať Doplniť „z čoho na čo" k zmenám, ktoré sa už logujú, a zapnúť záznam exportov. To sú dve úpravy, ktoré sa dajú spraviť rýchlo a pokryjú väčšinu situácií, keď sa audit log naozaj otvára. Ak riešite bezpečnosť existujúcej aplikácie a chcete vedieť, kde sú diery, [ozvite sa nám](/kontakt). Robíme to v rámci [kyberbezpečnosti](/riesenia/kyberbezpecnost) a [vývoja na mieru](/riesenia/vyvoj) — príklady v [referenciách](/referencie). --- Webová verzia: https://interfase.sk/sk/novinky/audit-pristupov-a-bezpecnostne-logy-vo-firemnej-aplikacii llms.txt: https://interfase.sk/llms.txt