Správa a řízení rozšíření prohlížečů pro NIS2, DORA a GDPR

Maria, ředitelka informační bezpečnosti (CISO) rychle rostoucí fintech společnosti, měla za to, že předběžné posouzení podle DORA probíhá dobře. Její tým připravil registr třetích stran v oblasti ICT, klíčové smlouvy k SaaS, záznamy o náležité péči o dodavatele, rozhodnutí o přijetí rizika a reportingový balíček pro vedoucí orgán.

Poté auditor položil otázku, se kterou nikdo nepočítal.

„Můžete nám ukázat svůj proces správy a řízení rozšíření prohlížečů?“

Otázka vyplynula z přezkumu koncového zařízení finančního analytika. Během sdílení obrazovky si auditor všiml rozšíření třetí strany pro zvýšení produktivity v analytikově prohlížeči. Působilo neškodně, ale rychlé ověření ukázalo, že jeho vývojář před třemi měsíci utrpěl kompromitaci dodavatelského řetězce. Kompromitované rozšíření bylo použito k odčerpávání tokenů relací pro významné platformy SaaS.

Fintech společnost měla přísné politiky proti nepovolenému softwaru. Měla EDR, MFA, CASB, logy SaaS a ISMS sladěný s ISO/IEC 27001. Nikdo však nepovažoval prohlížeč za spravovanou softwarovou platformu. Nikdo neevidoval rozšíření. Nikdo neschvaloval jejich oprávnění. Nikdo neověřoval, zda jsou vývojáři rozšíření dodavateli. Nikdo nemapoval aktivitu rozšíření na důkazy pro DORA, NIS2 nebo GDPR.

Jediné rozšíření prohlížeče proměnilo koncové zařízení, které na první pohled vypadalo jako vyhovující, v možná zadní vrátka do finančních systémů, zákaznických dat a regulovaných pracovních postupů.

To je problém správy a řízení rozšíření prohlížečů v roce 2026. Prohlížeč už není jen oknem do internetu. Je místem, kde se zaměstnanci autentizují, schvalují platby, přistupují k záznamům v CRM, zpracovávají osobní údaje, spravují cloudovou infrastrukturu a pracují s kritickými platformami SaaS. Rozšíření už nejsou kosmetické doplňky. Jsou to kód třetích stran běžící v nejcitlivější vrstvě moderní práce.

Pro ředitele informační bezpečnosti, manažery souladu, pověřence pro ochranu osobních údajů a vlastníky rizik v oblasti ICT leží neřízená rozšíření na průsečíku zabezpečení koncových zařízení, shadow IT, rizik dodavatelů, řízení změn, řízení zranitelností a odpovědnosti za ochranu soukromí. ISO/IEC 27001:2022 poskytuje organizacím strukturu pro řízení tohoto rizika. NIS2, DORA a GDPR vytvářejí regulační tlak na jeho prokazování.

Rozšíření prohlížečů jsou software, dodavatelé i zpracovatelé údajů

Většina organizací se již naučila spravovat notebooky, mobilní zařízení, servery, aplikace SaaS, cloudovou infrastrukturu a privilegované účty. Rozšíření prohlížečů však často propadají mezi těmito programy.

Bezpečnostní týmy je vnímají jako nastavení prohlížeče. Oddělení nákupu je nevidí, protože se nepodepisuje žádná smlouva. Právní oddělení je nevidí, protože není otevřena žádost o zařazení dodavatele. Týmy ochrany soukromí je nevidí, protože rozšíření instaluje uživatel a není nasazeno jako oficiální aplikace. Přesto může rozšíření požadovat oprávnění číst a měnit data na všech webech, přistupovat k obsahu schránky, zachycovat metadata stránek, spravovat stahování, vkládat skripty nebo komunikovat s externím backendem.

To znamená, že rozšíření prohlížeče může být současně vším následujícím:

[ZB] Zenith Blueprint: 30krokový plán auditora zachycuje jádro problému ve svých pokynech k ISO/IEC 27002:2022 pro opatření 8.19. Upozorňuje, že „i zaměstnanci s dobrými úmysly mohou nainstalovat nástroje, aby ‚práci zvládli rychleji‘ – rozšíření prohlížeče, knihovnu kódu nebo aplikaci pro přenos souborů – aniž by si uvědomili, že právě zavedli zadní vrátka, nezáplatovanou závislost nebo vektor exfiltrace dat.“

Tuto větu je třeba chápat jako rizikové sdělení pro úroveň správních orgánů. Zaměstnanci, kteří instalují riziková rozšíření, se obvykle nesnaží obejít bezpečnost. Snaží se zvýšit produktivitu. Selhání správy a řízení nastává tehdy, když organizace neposkytne bezpečný proces žádosti, schválení, nasazení a monitorování.

Proč NIS2, DORA a GDPR činí toto slepé místo naléhavým

Riziko rozšíření prohlížečů existuje již roky, regulační kontext se však změnil. V roce 2026 se od organizací očekává, že prokážou nejen existenci opatření, ale také to, že jsou založena na rizicích, integrovaná, monitorovaná a doložená důkazy.

NIS2 zvyšuje očekávání v oblasti kybernetické hygieny a zabezpečení dodavatelského řetězce. DORA vyžaduje, aby finanční subjekty řídily rizika v oblasti ICT napříč interními závislostmi i závislostmi na třetích stranách. GDPR vyžaduje, aby správci a zpracovatelé prokazovali zabezpečení zpracování, odpovědnost a ochranu soukromí již od návrhu. Neřízená rozšíření mohou podkopat všechny tři oblasti.

Poučení je jednoduché. Rozšíření prohlížeče není příliš malé na to, aby bylo významné. Pokud se může dotýkat regulovaných dat, autentizovaných relací, finančních pracovních postupů nebo kritických služeb SaaS, musí podléhat správě a řízení.

Použijte ISO/IEC 27001:2022 jako provozní model

ISO/IEC 27001:2022 je pro správu a řízení rozšíření prohlížečů účinná, protože nevyžaduje samostatné silo pro soulad. Umožňuje organizacím rozšířit stávající procesy ISMS na vrstvu prohlížeče.

Praktický model opatření je postaven na osmi opatřeních přílohy A ISO/IEC 27001:2022:

[ZC] Zenith Controls: průvodce napříč požadavky souladu je obzvlášť užitečný, protože vysvětluje, jak se opatření ISO/IEC 27001 auditují a jak podporují důkazy napříč rámci. U opatření 8.19 Zenith Controls: průvodce napříč požadavky souladu vysvětluje, že auditoři budou „sledovat pracovní postup: od žádosti přes test až po schválení a implementaci“. Přesně tak má být navržena správa a řízení rozšíření.

Pokud auditor najde rozšíření, které není na seznamu schválených položek, není dokumentováno v záznamech o změnách a nebylo posouzeno z hlediska rizik, nejde už jen o nastavení prohlížeče. Stává se důkazem slabého opatření pro instalaci softwaru, slabé správy koncových zařízení a možného selhání v řízení rizik dodavatelů.

Krok 1: zjistěte stav portfolia rozšíření

Prvním selháním opatření ve fintech společnosti Marie byla viditelnost. Její tým nevěděl, která rozšíření jsou nainstalována, kdo je nainstaloval, jaká oprávnění požadují ani zda se připojují k externím službám.

Zjišťování musí pokrývat všechny spravované prohlížeče, profily, uživatele, zařízení a operační systémy. Mělo by identifikovat název rozšíření, jedinečný identifikátor, verzi, vydavatele, zdroj instalace, sadu oprávnění, datum instalace, stav aktualizací, počet uživatelů, vlastníka za byznys a zda je rozšíření vynuceně nainstalováno, nainstalováno uživatelem, nainstalováno mimo oficiální distribuční kanál nebo zablokováno.

Opatření 8.1, Uživatelská koncová zařízení, je opěrným bodem. Pokyny Zenith Blueprint: 30krokový plán auditora pro opatření 8.1 uvádějí, že uživatelská koncová zařízení „musí být posílena, monitorována a řízena“. Tento požadavek přirozeně zahrnuje prohlížeč, protože prohlížeč je dnes primárním uživatelským rozhraním koncového zařízení pro práci se SaaS a cloudem.

Opatření 5.23 se uplatní také tehdy, když se rozšíření připojují ke cloudovým službám. Zenith Blueprint: 30krokový plán auditora toto opatření rámuje jako reakci na shadow IT, kdy uživatelé přijímají neschválené služby bez správy a řízení. Rozšíření prohlížeče, které odesílá obsah do neznámého hostovaného backendu, je událostí přijetí cloudové služby, i když ji nikdo v nákupu neschválil.

Vyspělý výstup zjišťování by měl každé rozšíření klasifikovat do jednoho z pěti stavů:

Zjišťování nesmí být jednorázovým projektem. Rozšíření se často aktualizují, vydavatelé mění vlastníka, oprávnění se rozšiřují a obchody odstraňují škodlivé balíčky až poté, co si je uživatelé nainstalovali. Evidence musí být průběžná nebo alespoň opakovaná dostatečně často, aby podporovala řízení zranitelností a auditní důkazy.

Krok 2: výslovně stanovte přípustné užívání

Jakmile jsou rozšíření viditelná, musí být jasná očekávání vůči uživatelům. Mnoho organizací již má formulace v politikách, které mohou správu a řízení rozšíření podpořit, ale musí být výslovně uplatněny na prohlížeč.

[P-EPM] Politika ochrany koncových zařízení a ochrany proti malwaru – SME uvádí, že uživatelé „nesmí instalovat nepovolený software nebo pluginy, které mohou zavést riziko“. Tato jediná věta dává bezpečnostním týmům silný politický základ pro zacházení s rozšířeními prohlížeče jako s řízeným softwarem.

[P03-AUP] P03 Zásady přípustného užívání, označované také jako podnikové Zásady přípustného užívání, zakazují „neschválené nástroje: instalaci nebo používání nepovoleného softwaru, hardwaru, cloudových služeb nebo zařízení“. To je uživatelsky orientovaný základ. Převádí správu a řízení rozšíření prohlížečů z technické preference na vymahatelný požadavek chování a souladu.

Silná politika rozšíření prohlížečů by měla odpovědět na šest praktických otázek:

Nejde o zákaz každého užitečného rozšíření. Jde o přechod od implicitní důvěry k výslovnému schválení. Některá rozšíření mohou být bezpečná, nezbytná a zvyšovat produktivitu. Jiná mohou být zbytečná, nadměrně oprávněná, opuštěná nebo škodlivá. Program správy a řízení je musí umět rozlišit.

Krok 3: vynucujte výchozí zákaz s povolováním na základě výjimek

Opatření 8.19, Instalace softwaru na provozních systémech, je opatřením, které převádí politiku do provozu. S rozšířeními prohlížeče by se nemělo zacházet jinak než s jiným softwarem jen proto, že je uživatelé instalují přes obchod prohlížeče.

Zenith Blueprint: 30krokový plán auditora je v tomto bodě přímý: „žádný software se nenainstaluje, pokud není odůvodněný, autorizovaný a zabezpečený“. U rozšíření prohlížečů to znamená používat nástroje pro podnikovou správu prohlížečů, správu koncových zařízení nebo konfiguraci zařízení k vynucování instalačních pravidel.

Nejobhajitelnějším modelem je výchozí zákaz s povolováním na základě výjimek:

1. Ve výchozím nastavení blokovat všechna rozšíření ve spravovaných prohlížečích.
2. Vynuceně instalovat pouze nezbytná a schválená firemní rozšíření.
3. Udržovat seznam povolených položek pro schválená rozšíření podle uživatelské skupiny, útvaru nebo role.
4. Blokovat sideloadovaná rozšíření a nedůvěryhodné zdroje instalace.
5. Bránit uživatelům v obcházení politik přepínáním profilů nebo používáním nespravovaných prohlížečů.
6. Odstraňovat již nainstalovaná rozšíření, která nejsou schválena.
7. Před schválením přezkoumávat oprávnění rozšíření a riziko vydavatele.
8. Protokolovat povolená, zablokovaná, odstraněná a změněná rozšíření.

Některé organizace začínají měkčím modelem kvůli provozní složitosti. Mohou nejprve vytvořit evidenci, blokovat známá škodlivá rozšíření a poté postupně zavést seznamy povolených položek pro vysoce rizikové skupiny, jako jsou finance, engineering, privilegovaní správci, právní oddělení, HR a zákaznická podpora. To je přijatelné, pokud existuje dokumentovaný plán implementace. Neobhajitelná je trvalá tolerance neznámého rizika rozšíření.

Krok 4: posuzujte rizika rozšíření jako u dodavatelů a softwaru

Přezkum rizik rozšíření prohlížečů by měl být dostatečně lehký pro přijetí byznysem, ale dostatečně robustní pro audit. Přezkum musí spojovat softwarové riziko, riziko dodavatelů, cloudové riziko, ochranu údajů a řízení zranitelností.

[P-TP] Bezpečnostní politika pro třetí strany a dodavatele stanoví, že „všichni noví dodavatelé musí před uzavřením smlouvy projít dokumentovaným bezpečnostním posouzením“. Ne každý vývojář rozšíření bude vyžadovat úplný podnikový proces zařazení dodavatele, princip rizika dodavatele však stále platí. Pokud může vývojář posílat aktualizace kódu do prohlížečů zaměstnanců nebo zpracovávat data organizace prostřednictvím backendové služby, má organizace závislost na třetí straně.

[P-ASR] Politika požadavků na zabezpečení aplikací – SME posiluje stejný požadavek z pohledu softwaru: „jakýkoli nástroj třetí strany, plugin nebo externí knihovna kódu používaná v aplikaci musí být zaznamenána a každoročně přezkoumána z hlediska bezpečnostního dopadu a stavu záplat“.

Použijte následující model rizik ke standardizaci rozhodnutí:

Vysoce rizikové rozšíření by nemělo být schváleno, pokud neexistuje kritická obchodní potřeba, dokumentovaná kompenzační opatření a přijetí rizika vrcholovým vedením. Příklady kompenzačních opatření zahrnují omezení používání na zocelený profil prohlížeče, omezení na konkrétní URL, blokování zadávání dat do citlivých aplikací v době aktivního rozšíření, použití monitorování DLP nebo požadavek na smlouvu s dodavatelem a dodatek k ochraně soukromí.

Krok 5: začleňte přezkum ochrany soukromí a GDPR

Správa a řízení rozšíření prohlížečů často selhává proto, že přezkum ochrany soukromí je odpojen od nástrojů koncových zařízení. Mnoho rozšíření přitom může vidět osobní údaje zobrazené v aplikacích SaaS, HR systémech, tiketech podpory, záznamech CRM, e-mailu, analytických platformách a nástrojích pro spolupráci.

Podle GDPR Article 5(2) musí organizace prokázat odpovědnost. Podle Article 25 musí zavést ochranu osobních údajů již od návrhu a ve výchozím nastavení. Podle Article 32 musí uplatňovat odpovídající technická a organizační opatření pro zabezpečení zpracování. Pokud rozšíření exfiltruje osobní údaje, událost se může stát porušením zabezpečení osobních údajů podle Article 4(12), což vyvolá posouzení a případně oznamovací povinnosti podle Article 33.

Přezkum rozšíření se zohledněním ochrany soukromí by měl klást tyto otázky:

Ne každé rozšíření vyžaduje úplné DPIA. Rozšíření se širokým přístupem ke stránkám, zpracováním AI, zachytáváním obrazovky, přístupem k e-mailu, přístupem do CRM, přístupem k HR datům, datům zákaznické podpory nebo regulovaným finančním datům by však měla spustit strukturované posouzení ochrany soukromí.

Krok 6: protokolujte a monitorujte pro audit a reakci na incidenty

Program správy a řízení rozšíření bez logů není auditovatelný. Oslabuje také reakci na incidenty, protože organizace nedokáže určit, kdy bylo rozšíření nainstalováno, kdo je používal, která verze byla přítomna, kdy se změnila oprávnění nebo zda došlo k pokusu o zablokovanou instalaci.

[P-LM] Politika protokolování a monitorování – SME identifikuje logy „instalací softwaru“ jako klíčový požadavek správy a řízení. Instalace rozšíření prohlížeče je událostí instalace softwaru a měla by být odpovídajícím způsobem zachycena.

Minimálně by logy měly zahrnovat:

Tyto logy by měly vstupovat do monitorovacích procesů podle opatření 8.15 a 8.16. Podle rizika mohou také proudit do SIEM, platformy koncových zařízení nebo repozitáře důkazů o souladu. Upozornění by měla být konfigurována pro zablokovaná vysoce riziková rozšíření, náhlé nárůsty žádostí o rozšíření, změny oprávnění u schválených rozšíření, pokusy o instalaci z neoficiálních zdrojů a pokusy o instalaci privilegovanými uživateli.

Monitorování je výhodou také pro NIS2 a DORA. Hlášení incidentů podle NIS2 Article 23 závisí na včasné detekci a posouzení dopadů. DORA vyžaduje robustní zvládání incidentů v oblasti ICT a důkazy o odolnosti. Posouzení porušení zabezpečení podle GDPR závisí na znalosti toho, co se stalo, kdy se to stalo a jaká data mohla být dotčena.

Co chce auditor vidět

Auditor se zřídka spokojí s tvrzením typu „blokujeme riziková rozšíření“. Chce důkazy o správě a řízení. Důkazy musí propojit politiku, posouzení rizik, technické vynucování, monitorování a odpovědnost vedení.

Zde se Zenith Controls: průvodce napříč požadavky souladu stává cenným. Pomáhá organizacím ukázat, jak jedna kontrolní aktivita podporuje více očekávání v oblasti souladu. Jediný schvalovací pracovní postup pro rozšíření prohlížeče může podporovat opatření 8.19 ISO/IEC 27001, kybernetickou hygienu NIS2, řízení rizik v oblasti ICT podle DORA a odpovědnost podle GDPR, pokud jsou důkazy uchovávány a jasně namapovány.

Převodní mapa ISO/IEC 27001:2022 na NIS2, DORA a GDPR

Praktická převodní mapa pomáhá ředitelům informační bezpečnosti vysvětlit, proč správa a řízení rozšíření prohlížečů není okrajové technické opatření. Je to opatření pro soulad s širokou regulační hodnotou.

Mapování na DORA si zaslouží zvláštní pozornost. Někteří auditoři a posuzovatelé budou při přezkumu správy a řízení změn v ICT používat terminologii ve stylu COBIT. COBIT BAI06 se běžně chápe jako Managed IT Changes. Pokud jsou rozšíření prohlížeče softwarem a jejich instalace mění uživatelské výpočetní prostředí, pak instalace rozšíření patří do stejné řízené logiky změn. Zenith Controls: průvodce napříč požadavky souladu podporuje tento auditní pohled tím, že ukazuje, jak lze důkazy opatření ISO/IEC 27001 opětovně použít napříč požadavky souladu.

90denní plán implementace správy a řízení rozšíření prohlížečů

Organizace nemusí vše vyřešit během jediného týdne. Praktický program lze vybudovat po etapách, zejména pokud je nutné pečlivě řídit dopady na provoz.

U vysoce rizikových organizací, zejména finančních subjektů podle DORA nebo základních a důležitých subjektů podle NIS2, by první fáze vynucování měla upřednostnit uživatele s přístupem ke kritickým systémům, regulovaným datům, privilegovaným administrátorským konzolím, finančním platformám, nástrojům zákaznické podpory a vývojovým prostředím.

Sdělení pro správní orgány

Správa a řízení rozšíření prohlížečů by neměla být vedení prezentována jako projekt zocelení prohlížeče. Měla by být prezentována jako opatření nad neprověřeným kódem třetích stran v regulovaných pracovních postupech.

Správní rada a vedoucí orgán musí rozumět čtyřem bodům:

1. Prohlížeč je dnes klíčovou obchodní platformou.
2. Rozšíření mohou přistupovat k citlivým datům SaaS a autentizovaným relacím.
3. Neřízená rozšíření vytvářejí rizika dodavatelů, ochrany soukromí, incidentů a odolnosti.
4. ISO/IEC 27001:2022 poskytuje obhajitelný model opatření, který podporuje důkazy pro NIS2, DORA a GDPR.

Toto rámování posouvá diskusi od technické preference k provozní odolnosti. Podporuje také financování podnikové správy prohlížečů, integrace koncových zařízení, monitorování, přezkumu ochrany soukromí, triáže dodavatelů a automatizace auditních důkazů.

Od slepého místa ke strategickému opatření

Auditní problém Marie nezpůsobil jeden analytik instalující jeden nástroj pro produktivitu. Způsobila jej neřízená třída rizik. Organizace vybudovala silný program souladu kolem viditelných aktiv, viditelných dodavatelů, viditelných platforem SaaS a viditelných koncových zařízení, ale vrstva rozšíření prohlížečů zůstala neviditelná.

Tuto mezeru už nelze ignorovat.

Náprava není složitá, ale musí být záměrná. Považujte prohlížeč za součást koncového zařízení. Považujte rozšíření za software. Považujte vývojáře rozšíření a backendy za dodavatele tam, kde je to relevantní. Považujte oprávnění za přístup k datům. Považujte instalaci za změnu. Považujte logy za důkazy o souladu.

Obhajitelný program začíná čtyřmi kroky:

1. Zjistěte všechna rozšíření napříč spravovanými prohlížeči a koncovými zařízeními.
2. Definujte přípustné užívání a pravidla výchozího zákazu pomocí Politiky ochrany koncových zařízení a ochrany proti malwaru – SME, P03 Zásad přípustného užívání a podnikových Zásad přípustného užívání.
3. Posuzujte žádosti o rozšíření podle kritérií pro dodavatele, cloud, zranitelnosti a ochranu soukromí z Bezpečnostní politiky pro třetí strany a dodavatele a Politiky požadavků na zabezpečení aplikací – SME.
4. Vynucujte a monitorujte instalační aktivitu pomocí správy prohlížečů, protokolování a postupů pro důkazy sladěných s Politikou protokolování a monitorování – SME.

Pro ředitele informační bezpečnosti připravující se na audity NIS2, DORA, GDPR nebo ISO/IEC 27001:2022 je správa a řízení rozšíření prohlížečů vysoce hodnotným zlepšením opatření, protože uzavírá reálnou cestu útoku a současně vytváří opakovaně použitelné důkazy napříč rámci.

Chcete-li práci urychlit, stáhněte si Zenith Blueprint: 30krokový plán auditora a namapujte své důkazy pomocí Zenith Controls: průvodce napříč požadavky souladu. Pokud chcete proměnit chaos v rozšířeních prohlížečů v program správy a řízení připravený na audit, naplánujte si posouzení nebo demo Clarysec a začněte praktickou evidencí, mapou rizik a 90denním plánem opatření.