Riadenie rozšírení prehliadača pre NIS2, DORA a GDPR

Maria, CISO rýchlo rastúcej fintech spoločnosti, mala pocit, že predbežné posúdenie podľa DORA prebieha dobre. Jej tím pripravil register externých poskytovateľov IKT, zmluvy ku kritickým službám SaaS, záznamy z due diligence dodávateľov, rozhodnutia o akceptácii rizika a podklady na reportovanie riadiacemu orgánu.

Potom audítor položil otázku, na ktorú sa nikto nepripravil.

“Môžete nám ukázať svoj proces riadenia rozšírení prehliadača?”

Otázka vznikla pri preskúmaní koncového bodu finančného analytika. Počas zdieľania obrazovky si audítor všimol v prehliadači analytika produktivitné rozšírenie tretej strany. Vyzeralo neškodne, ale rýchle overenie ukázalo, že vývojára pred tromi mesiacmi zasiahla kompromitácia dodávateľského reťazca. Kompromitované rozšírenie sa používalo na odčerpávanie tokenov relácií pre významné platformy SaaS.

Fintech spoločnosť mala prísne politiky proti neautorizovanému softvéru. Používala EDR, MFA, CASB, logy SaaS a ISMS zosúladený s ISO/IEC 27001. Nikto však nepovažoval prehliadač za spravovanú softvérovú platformu. Nikto neviedol evidenciu rozšírení. Nikto neschvaľoval ich oprávnenia. Nikto neoveroval, či vývojári rozšírení predstavujú dodávateľov. Nikto nemapoval aktivitu rozšírení na dôkazy pre DORA, NIS2 alebo GDPR.

Jedno jediné rozšírenie prehliadača premenilo zdanlivo súladný koncový bod na možné zadné vrátka do finančných systémov, zákazníckych údajov a regulovaných pracovných tokov.

Toto je problém riadenia rozšírení prehliadača v roku 2026. Prehliadač už nie je iba oknom do internetu. Je miestom, kde sa zamestnanci autentifikujú, schvaľujú platby, pristupujú k záznamom CRM, spracúvajú osobné údaje, spravujú cloudovú infraštruktúru a pracujú s kritickými platformami SaaS. Rozšírenia už nie sú kozmetické doplnky. Sú kódom tretej strany spúšťaným v najcitlivejšej vrstve modernej práce.

Pre CISO, manažérov compliance, DPO a vlastníkov rizík IKT sa neriadené rozšírenia nachádzajú na priesečníku zabezpečenia koncových bodov, shadow IT, dodávateľského rizika, riadenia zmien, riadenia zraniteľností a zodpovednosti za ochranu súkromia. ISO/IEC 27001:2022 poskytuje organizáciám štruktúru na riadenie tohto rizika. NIS2, DORA a GDPR vytvárajú regulačný tlak na jeho preukázanie.

Rozšírenia prehliadača sú softvér, dodávatelia aj sprostredkovatelia spracúvania údajov

Väčšina organizácií sa už naučila spravovať notebooky, mobilné zariadenia, servery, aplikácie SaaS, cloudovú infraštruktúru a privilegované účty. Rozšírenia prehliadača často prepadnú medzi týmito programami.

Bezpečnostné tímy ich vnímajú ako nastavenie prehliadača. Obstarávanie ich nevidí, pretože nie je podpísaná žiadna zmluva. Právne oddelenie ich nevidí, pretože nebola otvorená žiadosť o zavedenie dodávateľa. Tímy ochrany súkromia ich nevidia, pretože rozšírenie si nainštaluje používateľ a nie je nasadené ako oficiálna aplikácia. Rozšírenie pritom môže požadovať oprávnenie čítať a meniť údaje na všetkých webových sídlach, pristupovať k obsahu schránky, zachytávať metadáta stránok, spravovať sťahovania, vkladať skripty alebo komunikovať s externým backendom.

To znamená, že rozšírenie prehliadača môže byť naraz všetkým z nasledujúceho:

[ZB] Zenith Blueprint: An Auditor’s 30-Step Roadmap vystihuje podstatu problému vo svojom usmernení ISO/IEC 27002:2022 pre kontrolné opatrenie 8.19. Upozorňuje, že “aj dobre mienený personál si môže nainštalovať nástroje, aby ‚urobil prácu rýchlejšie‘ – rozšírenie prehliadača, knižnicu kódu, aplikáciu na prenos súborov – bez toho, aby si uvedomil, že práve zaviedol zadné vrátka, nezaplátanú závislosť alebo vektor exfiltrácie údajov.”

Táto veta by sa mala chápať ako vyhlásenie o riziku na úrovni predstavenstva. Zamestnanci, ktorí inštalujú rizikové rozšírenia, sa zvyčajne nesnažia obísť bezpečnosť. Snažia sa zvýšiť produktivitu. Zlyhanie riadenia vzniká vtedy, keď organizácia neposkytne bezpečný proces žiadosti, schválenia, nasadenia a monitorovania.

Prečo NIS2, DORA a GDPR robia zo slepého miesta naliehavý problém

Riziko rozšírení prehliadača existuje roky, ale regulačný kontext sa zmenil. V roku 2026 sa od organizácií očakáva, že preukážu nielen existenciu kontrol, ale aj to, že sú založené na riziku, integrované, monitorované a podložené dôkazmi.

NIS2 zvyšuje očakávania v oblasti kybernetickej hygieny a bezpečnosti dodávateľského reťazca. DORA vyžaduje, aby finančné subjekty riadili riziká IKT naprieč internými závislosťami aj závislosťami od tretích strán. GDPR vyžaduje, aby prevádzkovatelia a sprostredkovatelia preukázali bezpečnosť spracúvania, zodpovednosť a ochranu súkromia už od návrhu. Neriadené rozšírenia môžu oslabiť všetky tri oblasti.

Poučenie je jednoduché. Rozšírenie prehliadača nie je príliš malé na to, aby bolo významné. Ak môže zasiahnuť regulované údaje, autentifikované relácie, finančné pracovné toky alebo kritické služby SaaS, musí podliehať riadeniu.

Použite ISO/IEC 27001:2022 ako prevádzkový model

ISO/IEC 27001:2022 je účinná pre riadenie rozšírení prehliadača, pretože nevyžaduje samostatné compliance silo. Umožňuje organizáciám rozšíriť existujúce procesy ISMS na vrstvu prehliadača.

Praktický model kontrol je postavený na ôsmich kontrolných opatreniach prílohy A ISO/IEC 27001:2022:

[ZC] Zenith Controls: The Cross-Compliance Guide je obzvlášť užitočný, pretože vysvetľuje, ako sa kontrolné opatrenia ISO/IEC 27001 overujú pri audite a ako podporujú dôkazy použiteľné naprieč rámcami. Pre kontrolné opatrenie 8.19 Zenith Controls: The Cross-Compliance Guide vysvetľuje, že audítori budú “sledovať pracovný tok: od žiadosti cez testovanie po schválenie a implementáciu.” Presne tak má byť navrhnuté riadenie rozšírení.

Ak audítor nájde rozšírenie, ktoré nie je na zozname povolených položiek, nie je zdokumentované v záznamoch o zmene a nebolo posúdené z hľadiska rizika, problém už nie je iba nastavením prehliadača. Stáva sa dôkazom slabého riadenia inštalácie softvéru, slabej správy koncových bodov a možného zlyhania riadenia dodávateľského rizika.

Krok 1, zistite rozsah používaných rozšírení

Prvým zlyhaním kontroly vo fintech spoločnosti Márie bola viditeľnosť. Jej tím nevedel, ktoré rozšírenia sú nainštalované, kto ich nainštaloval, aké oprávnenia požadovali ani či sa pripájali k externým službám.

Zisťovanie má pokrývať všetky spravované prehliadače, profily, používateľov, zariadenia a operačné systémy. Má identifikovať názov rozšírenia, jedinečný identifikátor, verziu, vydavateľa, zdroj inštalácie, súbor oprávnení, dátum inštalácie, stav aktualizácie, počet používateľov, vlastníka na strane organizácie a to, či je rozšírenie vynútene nainštalované, nainštalované používateľom, nainštalované mimo oficiálneho distribučného kanála alebo zablokované.

Kontrolné opatrenie 8.1, zariadenia koncových bodov používateľov, je základom. Usmernenie Zenith Blueprint: An Auditor’s 30-Step Roadmap pre kontrolné opatrenie 8.1 uvádza, že zariadenia koncových bodov používateľov “musia byť spevnené, monitorované a riadené.” Táto požiadavka prirodzene zahŕňa prehliadač, pretože prehliadač je dnes primárnym používateľským rozhraním koncového bodu pre prácu so SaaS a cloudom.

Kontrolné opatrenie 5.23 sa uplatňuje aj vtedy, keď sa rozšírenia pripájajú ku cloudovým službám. Zenith Blueprint: An Auditor’s 30-Step Roadmap rámcuje toto kontrolné opatrenie ako reakciu na shadow IT, keď používatelia prijímajú neschválené služby bez riadenia. Rozšírenie prehliadača, ktoré odosiela obsah do neznámeho hostovaného backendu, je udalosťou prijatia cloudovej služby, aj keď ju nikto v obstarávaní neschválil.

Zrelý výstup zo zisťovania má klasifikovať každé rozšírenie do jedného z piatich stavov:

Zisťovanie nemá byť jednorazový projekt. Rozšírenia sa často aktualizujú, vydavatelia menia vlastníctvo, oprávnenia sa rozširujú a obchody odstraňujú škodlivé balíky až po tom, ako si ich používatelia už nainštalovali. Inventarizácia musí byť priebežná alebo aspoň dostatočne často opakovaná, aby podporovala riadenie zraniteľností a auditné dôkazy.

Krok 2, výslovne určte prípustné používanie

Keď sú rozšírenia viditeľné, očakávania voči používateľom musia byť jasné. Mnohé organizácie už majú formulácie politík, ktoré môžu podporiť riadenie rozšírení, ale musia sa výslovne uplatniť aj na prehliadač.

[P-EPM] Politika ochrany koncových bodov pred malvérom – MSP uvádza, že používatelia “nesmú inštalovať neautorizovaný softvér alebo pluginy, ktoré môžu zaviesť riziko.” Táto jediná veta poskytuje bezpečnostným tímom silný politický základ na to, aby považovali rozšírenia prehliadača za riadený softvér.

[P03-AUP] P03 Politika prijateľného používania, označovaná aj ako podniková Politika prijateľného používania, zakazuje “neschválené nástroje: inštaláciu alebo používanie neautorizovaného softvéru, hardvéru, cloudových služieb alebo zariadení”. Toto je používateľsky orientovaný základ. Premieňa riadenie rozšírení prehliadača z technickej preferencie na vynútiteľnú behaviorálnu a compliance požiadavku.

Silná politika rozšírení prehliadača má odpovedať na šesť praktických otázok:

Nejde o zákaz každého užitočného rozšírenia. Ide o prechod od implicitnej dôvery k výslovnému schváleniu. Niektoré rozšírenia môžu byť bezpečné, potrebné a zvyšovať produktivitu. Iné môžu byť nepotrebné, s nadmernými oprávneniami, opustené alebo nepriateľské. Program riadenia ich musí vedieť rozlíšiť.

Krok 3, presadzujte zásadu predvoleného zamietnutia so zoznamom povolených položiek formou výnimiek

Kontrolné opatrenie 8.19, inštalácia softvéru na prevádzkových systémoch, je kontrola, ktorá premieňa politiku na prevádzku. Rozšírenia prehliadača sa nemajú posudzovať inak ako iný softvér len preto, že si ich používatelia inštalujú cez obchod prehliadača.

Zenith Blueprint: An Auditor’s 30-Step Roadmap je v tomto bode priamy: “žiadny softvér sa nenainštaluje, pokiaľ nie je odôvodnený, autorizovaný a zabezpečený.” Pri rozšíreniach prehliadača to znamená používať podnikovú správu prehliadačov, správu koncových bodov alebo nástroje konfigurácie zariadení na presadzovanie pravidiel inštalácie.

Najobhájiteľnejší model je zásada predvoleného zamietnutia so zoznamom povolených položiek formou výnimiek:

1. Predvolene zablokovať všetky rozšírenia v spravovaných prehliadačoch.
2. Vynútene inštalovať iba nevyhnutné schválené podnikové rozšírenia.
3. Udržiavať zoznam povolených položiek pre schválené rozšírenia podľa používateľskej skupiny, oddelenia alebo roly.
4. Blokovať rozšírenia inštalované mimo oficiálnych distribučných kanálov a nedôveryhodné zdroje inštalácie.
5. Zabrániť používateľom obchádzať politiky prepínaním profilov alebo používaním nespravovaných prehliadačov.
6. Odstrániť už nainštalované rozšírenia, ktoré nie sú schválené.
7. Pred schválením preskúmať oprávnenia rozšírenia a riziko vydavateľa.
8. Logovať povolené, zablokované, odstránené a zmenené rozšírenia.

Niektoré organizácie začínajú mäkším modelom z dôvodu prevádzkovej zložitosti. Môžu najprv inventarizovať, blokovať známe škodlivé rozšírenia a následne postupne zavádzať zoznamy povolených položiek pre vysoko rizikové skupiny, ako sú financie, vývoj, privilegovaní administrátori, právne oddelenie, HR a zákaznícka podpora. Je to prijateľné, ak existuje zdokumentovaná cestovná mapa. Neobhájiteľná je trvalá tolerancia neznámeho rizika rozšírení.

Krok 4, posudzujte riziko rozšírení ako pri dodávateľoch a softvéri

Preskúmanie rizika rozšírenia prehliadača má byť dostatočne ľahké na prijatie organizáciou, ale dostatočne silné, aby obstálo pri audite. Preskúmanie má kombinovať softvérové riziko, dodávateľské riziko, cloudové riziko, ochranu údajov a riadenie zraniteľností.

[P-TP] Politika bezpečnosti tretích strán a dodávateľov vyžaduje, aby “všetci noví dodávatelia pred uzatvorením zmluvy absolvovali zdokumentované bezpečnostné posúdenie.” Nie každý vývojár rozšírenia bude vyžadovať úplný podnikový proces zavedenia dodávateľa, ale princíp dodávateľského rizika sa stále uplatňuje. Ak vývojár môže dodávať aktualizácie kódu do prehliadačov zamestnancov alebo spracúvať údaje organizácie cez backendovú službu, organizácia má závislosť od tretej strany.

[P-ASR] Politika požiadaviek na bezpečnosť aplikácií – MSP posilňuje rovnakú požiadavku zo softvérového pohľadu: “každý nástroj tretej strany, plugin alebo externá knižnica kódu použitá v aplikácii musí byť zaznamenaná a každoročne preskúmaná z hľadiska bezpečnostného dopadu a stavu záplatovania.”

Na štandardizáciu rozhodnutí použite nasledujúci rizikový model:

Vysoko rizikové rozšírenie sa nemá schváliť, pokiaľ neexistuje kritická potreba organizácie, zdokumentované kompenzačné kontroly a akceptácia rizika vrcholovým vedením. Príkladmi kompenzačných kontrol sú obmedzenie používania na spevnený profil prehliadača, obmedzenie na konkrétne URL, blokovanie zadávania údajov do citlivých aplikácií počas aktivity rozšírenia, používanie monitorovania DLP alebo požiadavka na zmluvu s dodávateľom a dodatok k ochrane súkromia.

Krok 5, integrujte preskúmanie ochrany súkromia a GDPR

Riadenie rozšírení prehliadača často zlyháva, pretože preskúmanie ochrany súkromia je oddelené od nástrojov koncových bodov. Mnohé rozšírenia pritom môžu vidieť osobné údaje zobrazené v aplikáciách SaaS, HR systémoch, tiketoch podpory, záznamoch CRM, e-mailoch, analytických platformách a nástrojoch na spoluprácu.

Podľa GDPR Article 5(2) musí organizácia preukázať zodpovednosť. Podľa Article 25 musí implementovať ochranu údajov už od návrhu a štandardne. Podľa Article 32 musí uplatniť primerané technické a organizačné opatrenia na bezpečnosť spracúvania. Ak rozšírenie exfiltruje osobné údaje, udalosť sa môže stať porušením ochrany osobných údajov podľa Article 4(12), čo vyvolá posúdenie a prípadne oznamovacie povinnosti podľa Article 33.

Preskúmanie rozšírenia so zohľadnením ochrany súkromia má klásť tieto otázky:

Nie každé rozšírenie vyžaduje úplné DPIA. Rozšírenia so širokým prístupom k stránkam, spracovaním AI, vytváraním snímok obrazovky, prístupom k e-mailom, prístupom k CRM, prístupom k HR údajom, údajom zákazníckej podpory alebo regulovaným finančným údajom však majú spustiť štruktúrované posúdenie ochrany súkromia.

Krok 6, logujte a monitorujte pre audit a reakciu na incidenty

Program riadenia rozšírení bez logov nie je vhodný na audit. Oslabuje aj reakciu na incidenty, pretože organizácia nevie určiť, kedy bolo rozšírenie nainštalované, kto ho používal, ktorá verzia bola prítomná, kedy sa zmenili oprávnenia alebo či došlo k zablokovanému pokusu o inštaláciu.

[P-LM] Politika logovania a monitorovania – MSP identifikuje logy pre “inštalácie softvéru” ako kľúčovú požiadavku riadenia. Inštalácia rozšírenia prehliadača je udalosťou inštalácie softvéru a má sa zachytiť zodpovedajúcim spôsobom.

Logy majú minimálne zahŕňať:

Tieto logy majú vstupovať do monitorovacích procesov podľa kontrolných opatrení 8.15 a 8.16. Podľa rizika môžu smerovať aj do SIEM, platformy koncových bodov alebo úložiska dôkazov compliance. Upozornenia majú byť nakonfigurované pre zablokované vysoko rizikové rozšírenia, náhle nárasty žiadostí o rozšírenia, zmeny oprávnení schválených rozšírení, pokusy o inštaláciu z neoficiálnych zdrojov a pokusy o inštaláciu privilegovanými používateľmi.

Monitorovanie je výhodou aj pre NIS2 a DORA. NIS2 Article 23 nahlasovanie incidentov závisí od včasnej detekcie a posúdenia dopadu. DORA vyžaduje robustné riešenie incidentov IKT a dôkazy odolnosti. Posúdenie porušenia podľa GDPR závisí od znalosti toho, čo sa stalo, kedy sa to stalo a ktoré údaje mohli byť dotknuté.

Čo chce audítor vidieť

Audítor sa zriedka uspokojí s vyhlásením typu “blokujeme rizikové rozšírenia.” Chce dôkazy riadenia. Dôkazy musia prepájať politiku, posúdenie rizík, technické vynucovanie, monitorovanie a zodpovednosť manažmentu.

Tu sa Zenith Controls: The Cross-Compliance Guide stáva cenným. Pomáha organizáciám ukázať, ako jedna kontrolná aktivita podporuje viaceré compliance očakávania. Jeden schvaľovací pracovný tok pre rozšírenia prehliadača môže podporiť ISO/IEC 27001 kontrolné opatrenie 8.19, kybernetickú hygienu podľa NIS2, riadenie rizík IKT podľa DORA a zodpovednosť podľa GDPR, ak sú dôkazy uchované a jasne namapované.

Mapovanie ISO/IEC 27001:2022 na NIS2, DORA a GDPR

Praktické mapovanie pomáha CISO vysvetliť, prečo riadenie rozšírení prehliadača nie je úzko špecializovaná technická kontrola. Je to compliance kontrola so širokou regulačnou hodnotou.

Mapovanie na DORA si zaslúži osobitnú pozornosť. Niektorí audítori a posudzovatelia používajú pri preskúmaní riadenia zmien IKT jazyk podobný COBIT. COBIT BAI06 sa bežne chápe ako Managed IT Changes. Ak sú rozšírenia prehliadača softvérom a ich inštalácia mení používateľské výpočtové prostredie, potom inštalácia rozšírení patrí do rovnakej riadenej logiky zmien. Zenith Controls: The Cross-Compliance Guide podporuje tento auditný pohľad tým, že ukazuje, ako možno dôkazy kontrolných opatrení ISO/IEC 27001 opätovne použiť naprieč compliance očakávaniami.

90-dňový plán implementácie riadenia rozšírení prehliadača

Organizácie nemusia vyriešiť všetko za jeden týždeň. Praktický program možno budovať po fázach, najmä ak je potrebné starostlivo riadiť narušenie činnosti organizácie.

Pre vysoko rizikové organizácie, najmä finančné subjekty podľa DORA alebo základné a dôležité subjekty podľa NIS2, má prvá fáza uplatňovania uprednostniť používateľov s prístupom ku kritickým systémom, regulovaným údajom, privilegovaným administrátorským konzolám, finančným platformám, nástrojom zákazníckej podpory a vývojárskym prostrediam.

Správa pre predstavenstvo

Riadenie rozšírení prehliadača sa nemá vrcholovému vedeniu prezentovať ako projekt spevnenia prehliadača. Má sa prezentovať ako kontrola nad neprevereným kódom tretích strán v regulovaných pracovných tokoch.

Predstavenstvo a riadiaci orgán musia pochopiť štyri body:

1. Prehliadač je dnes kľúčovou platformou organizácie.
2. Rozšírenia môžu pristupovať k citlivým údajom SaaS a autentifikovaným reláciám.
3. Neriadené rozšírenia vytvárajú dodávateľské riziká, riziká ochrany súkromia, incidentné riziká a riziká odolnosti.
4. ISO/IEC 27001:2022 poskytuje obhájiteľný kontrolný model, ktorý podporuje dôkazy pre NIS2, DORA a GDPR.

Takéto rámcovanie presúva diskusiu od technickej preferencie k prevádzkovej odolnosti. Zároveň podporuje financovanie podnikovej správy prehliadačov, integrácie koncových bodov, monitorovania, preskúmania ochrany súkromia, triáže dodávateľov a automatizácie auditných dôkazov.

Od slepého miesta k strategickej kontrole

Auditný problém Márie nespôsobil jeden analytik, ktorý si nainštaloval jeden produktivitný nástroj. Spôsobila ho neriadená trieda rizík. Organizácia vybudovala silný program compliance okolo viditeľných aktív, viditeľných dodávateľov, viditeľných platforiem SaaS a viditeľných koncových bodov, ale vrstva rozšírení prehliadača zostala neviditeľná.

Táto medzera je dnes príliš dôležitá na to, aby sa ignorovala.

Náprava nie je zložitá, ale musí byť zámerná. Považujte prehliadač za súčasť koncového bodu. Považujte rozšírenia za softvér. Považujte vývojárov rozšírení a backendy za dodávateľov, ak je to relevantné. Považujte oprávnenia za prístup k údajom. Považujte inštaláciu za zmenu. Považujte logy za dôkazy compliance.

Obhájiteľný program začína štyrmi krokmi:

1. Zistite každé rozšírenie naprieč spravovanými prehliadačmi a koncovými bodmi.
2. Definujte pravidlá prípustného používania a zásady predvoleného zamietnutia pomocou Politiky ochrany koncových bodov pred malvérom – MSP, P03 Politiky prijateľného používania a podnikovej Politiky prijateľného používania.
3. Posudzujte žiadosti o rozšírenia podľa dodávateľských, cloudových, zraniteľnostných a súkromnostných kritérií z Politiky bezpečnosti tretích strán a dodávateľov a Politiky požiadaviek na bezpečnosť aplikácií – MSP.
4. Uplatňujte a monitorujte inštalačnú aktivitu pomocou správy prehliadačov, logovania a dôkazových postupov zosúladených s Politikou logovania a monitorovania – MSP.

Pre CISO pripravujúcich sa na audity NIS2, DORA, GDPR alebo ISO/IEC 27001:2022 je riadenie rozšírení prehliadača zlepšením kontroly s vysokou hodnotou, pretože uzatvára reálnu cestu útoku a zároveň vytvára opakovane použiteľné dôkazy naprieč rámcami.

Ak chcete urýchliť prácu, stiahnite si Zenith Blueprint: An Auditor’s 30-Step Roadmap a namapujte svoje dôkazy pomocou Zenith Controls: The Cross-Compliance Guide. Ak chcete zmeniť chaos v rozšíreniach prehliadača na program riadenia pripravený na audit, naplánujte si posúdenie alebo demo s Clarysec a začnite praktickou inventarizáciou, mapou rizík a 90-dňovým plánom kontrol.