Blog

„Potřebuju si jen nainstalovat Zoom.“ „Chci si změnit časové pásmo.“ „Nejde mi připojit tiskárna.“ To jsou důvody, proč uživatelé žadoní o tzv. lokální administrátorská práva. A proč jim je unavení IT správci často dají, jen aby měli klid.

Jenže mít ve firmě uživatele s právy administrátora je jako nechat v bance otevřený trezor, protože se pokladní nechce pořád hledat klíče.

Proč je "Full Admin" takový problém?

Když pracujete na počítači jako administrátor, máte v systému „božský mód“. Můžete měnit nastavení, instalovat programy a sahat do systémových souborů.

Problém je, že to samé může i virus, který se vám do počítače dostane. Pokud kliknete na podvodný odkaz jako běžný uživatel, malware narazí na zeď. Nemůže se nainstalovat, nemůže se šířit po síti. Pokud na něj kliknete jako admin, malware si otevře dveře dokořán, vypne antivirus, zašifruje disk a přeskočí na servery.

Statistika: Podle Microsoftu by odebrání administrátorských práv zabránilo až 94 % všech kritických zranitelností v jejich softwaru.

Princip nejnižších nutných práv (Least Privilege)

V bezpečnosti platí zlaté pravidlo: Každý má mít jen taková práva, která nezbytně potřebuje ke své práci. Nic víc.

Účetní nepotřebuje instalovat ovladače grafické karty. Obchodník nepotřebuje měnit nastavení firewallu. Běžný uživatel by měl mít právo spouštět aplikace, vytvářet dokumenty a pracovat. Nikoliv měnit systém.

Jak adminy „vyhubit“ a přežít to?

Odebrání práv bolí. Uživatelé budou mít pocit, že jim berete svobodu. Proto na to musíte jít chytře, ne silou.

1. Audit a komunikace (Nejdřív vysvětlujte)

Než práva seberete, zjistěte, kdo je má a proč. Vysvětlete lidem, že to není o buzeraci, ale o tom, že pokud chytí ransomware jako admini, firma může skončit.

2. Dejte jim alternativu (Self-Service)

Uživatelé nepotřebují admin práva, potřebují aplikace. Zaveďte Firemní portál (Company Portal). Je to něco jako App Store ve vašem mobilu. IT tam připraví schválené aplikace (Office, Adobe, Zoom, Spotify...). Uživatel si je může nainstalovat jedním kliknutím bez admin práv.

3. Dočasné povýšení (Když to jinak nejde)

Někdy uživatel ta práva opravdu potřebuje (třeba vývojář nebo grafik se speciálním HW). Místo trvalého admina použijte nástroje pro dočasná práva (např. LAPS nebo PAM řešení). Uživatel dostane heslo, které platí jen 30 minut. Udělá, co potřebuje, a pak se práva zase automaticky odeberou.

Závěr

Mít ve firmě „lokální adminy“ je relikt z 90. let. V roce 2026 je to neakceptovatelné bezpečnostní riziko. Seberte uživatelům klíče od království, ale dejte jim pohodlný způsob, jak si otevřít dveře, které k práci opravdu potřebují.