Kybernetická bezpečnost pro agentury zabývající se digitálním marketingem: Průvodce

Úvod

Agentury zabývající se digitálním marketingem se často nacházejí v nepříjemné situaci.

Mnohé z nich jsou malé a střední podniky, což s sebou nese řadu praktických omezení. Často jim však jsou svěřovány přístupy k systémům, datům, účtům a platformám velkých klientů, kde mohou být očekávání v oblasti bezpečnosti, složitost a důsledky na zcela jiné úrovni. Pokud však dojde k bezpečnostnímu incidentu, klienti se budou ptát, jaká opatření jste měli zavedena, a ne, jak moc je vám to líto.

To je důvod, proč je zabezpečení v takových agenturách tak náročné.

Průzkum britské vlády „Cyber Security Breaches Survey 2025/2026“ zjistil, že 42 % mikropodniků a 46 % malých podniků zaznamenalo v uplynulých 12 měsících narušení kybernetické bezpečnosti nebo kybernetický útok.

Útočná plocha je rozsáhlá, neustále se mění a zahrnuje nástroje, lidi, zařízení, účty a úložiště. V některých případech může agentura pracovat pro klienta, který klade vysoký důraz na bezpečnost a trvá na tom, aby veškerá práce byla prováděna pouze na zařízeních, která jsou ve vlastnictví klienta, a na platformách, které klient kontroluje.

Agentura se pak může přesunout k obsluhování menších klientů, u nichž nese agentura společně se svými zaměstnanci a nezávislými dodavateli velkou část odpovědnosti za praktické zabezpečení.

Bezpečnostní situace se značně liší a agentury se musí vypořádat s oběma.

Kybernetická bezpečnost přesahuje rámec GDPR a osobních údajů

Právě v tomto bodě dochází často k nepochopení této problematiky.

Mnoho organizací stále spojuje kybernetickou bezpečnost především s nařízením GDPR a osobními údaji; tyto aspekty jsou samozřejmě důležité, ale tvoří pouze část celku. V případech, kdy dojde k převzetí účtu na sociálních médiích, zabavení domény, zneužití placeného mediálního účtu, narušení systému CMS nebo zablokování či zničení materiálů pro kampaň, mohou být důsledky okamžité a mít obchodní dopad, i když osobní údaje nejsou hlavním problémem.

Agentury jsou vnímány jako snadnější cíl pro zneužití ze strany větších a bohatších klientů, kteří disponují citlivějšími údaji; v důsledku toho mohou čelit sofistikovanějším útokům, jako jsou například phishingové útoky, útoky ransomwarem, kompromitace účtů, útoky na dodavatelský řetězec a cílené vniknutí do systémů. Faktem je, že agentury jsou obecně zranitelné jak vůči sofistikovaným hrozbám, tak i vůči běžným nedostatkům.

Proto skutečná obtíž nespočívá v nalezení jediného zázračného řešení, ale v důsledném uplatňování přístupu „bezpečnost na prvním místě“ ve všech velmi odlišných situacích.

Proč agentury čelí tlaku v oblasti kybernetické bezpečnosti

Agentury jsou součástí dodavatelského řetězce klienta; například i malá agentura může mít přístup k cenným prostředím, jako jsou:

• Platformy CRM a e-mailového marketingu
• Systémy pro správu obsahu webových stránek
• Platforma pro placená média a fakturační vztahy
• Účty na sociálních médiích
• Nástroje pro analytiku a správu tagů
• Designové podklady a materiály pro kampaně
• Sdílené složky obsahující dokumenty klientů, exporty dat nebo zprávy

V mnoha případech agentura také sdružuje své vlastní zaměstnance, nezávislé pracovníky, externí specialisty a zainteresované strany ze strany klienta. To vede k rychlému nárůstu složitosti.

Zpráva společnosti Verizon „2026 Data Breach Investigations Report“ zjistila, že ve 48 % případů narušení bezpečnosti v její datové sadě byly zapojeny třetí strany. To pomáhá vysvětlit, proč klienti pečlivě zkoumají bezpečnostní postupy svých dodavatelů.

Klienti si proto kladou oprávněnou otázku: může je způsob práce agentury vystavit riziku?

Proč je kyberbezpečnost pro agentury zabývající se digitálním marketingem tak náročná

Agentury obvykle nepotřebují další obecné varování ohledně kybernetických rizik; potřebují realistický popis obtíží spojených se zaváděním bezpečnostních opatření v jejich konkrétní situaci.

Tato obtížnost je obecně způsobena čtyřmi faktory.

1. Prostředí se neustále mění

Týmy se mění, freelancerové přicházejí a odcházejí, kampaně se spouštějí a ukončují, a jelikož různí klienti vyžadují přístup k různým nástrojům a platformám, dočasná opatření se stávají trvalými rychleji, než kdokoli očekával.

Pokud se přístupová oprávnění a pracovní postupy pravidelně nepřezkoumávají, rizika se budou pomalu hromadit.

2. Útočná plocha je rozsáhlá

Většina organizací kombinuje své vlastní systémy se systémy svých klientů a s nástroji poskytovanými specializovanými třetími stranami. Soubory mohou být uloženy na více než jednom místě. Na řadě různých platforem mohou být vyžadovány přihlašovací údaje. Zaměstnanci mohou během dne přecházet z jednoho účtu na druhý a z jednoho prostředí do druhého.

Nejde pouze o počet dostupných nástrojů, ale o to, zda se na všechny z nich uplatňují stejné zásady.

3. Důsledky přesahují rámec ochrany soukromí

Stále platí, že mnoho agentur vnímá bezpečnost především jako otázku související s GDPR. Tento přístup je příliš omezený. Důsledky mohou zahrnovat:

• Ztráta kontroly nad sociálními médii
• Zneužití rozpočtů na placenou reklamu
• Výpadky webových stránek nebo domén
• Ztráta kreativních podkladů
• Ohrožení důvěrných informací o kampaních
• Narušení důvěry klientů
• Přerušení doručování

Pro agenturu mohou být tyto důsledky stejně závažné jako klasické porušení ochrany osobních údajů.

4. Lidé pracují pod tlakem

Pro většinu zaměstnanců a nezávislých pracovníků je běžné, že se věnují realizaci kampaní, zodpovídání dotazů klientů a plnění termínů, nikoli tomu, aby byli odborníky na bezpečnost.

Problém spočívá v tom, že si většina lidí neuvědomuje, co všechno neví. Mohou například volit zkratky, používat nesprávné úložiště, udělovat přístup příliš mnoha lidem nebo zacházet s nástroji umělé inteligence nedbale, jednoduše proto, že nikdo nezpracoval bezpečnost do podoby praktických pokynů pro každodenní použití. Proto je důležité zaujmout přístup, který klade bezpečnost na první místo. Nejde o to být paranoidní, ale spíše o stanovení jasných zásad, které zůstávají platné i pod tlakem.

Co větší klienti ve skutečnosti požadují

Agentura obvykle vnímá jako byrokracii, když ji větší klient požádá o vyplnění bezpečnostního dotazníku, a v některých případech tomu tak skutečně je, ale ve většině případů mají kladené otázky praktický účel.

Chtějí vědět, zda dokážete prokázat kontrolu nad několika klíčovými oblastmi:

• Jaké informace jsou citlivé a kde jsou uloženy
• Zda jsou data chráněna při přenosu i v úložišti
• Zda je přístup omezen pouze na oprávněné osoby
• Zda je vynuceno vícefaktorové ověřování (MFA)
• Zda je k informacím o klientech přistupováno pouze ze schválených systémů
• Zda zaměstnanci chápou základní bezpečnostní povinnosti
• Zda dokážete detekovat, eskalovat a reagovat na incidenty
• Zda můžete po skončení práce data vrátit nebo smazat kontrolovaným způsobem

Nechce vědět, zda je vaše agentura dokonalá, ale spíše to, zda se chová jako důvěryhodný partner.

Praktický rámec kybernetické bezpečnosti pro agentury

Kybernetická bezpečnost v jakékoli agentuře se téměř nikdy nedosahuje použitím jediného produktu, poskytovatele, certifikátu nebo dokumentu s pravidly; lze ji posílit pouze důsledným uplatňováním malého počtu osvědčených zásad.

Společnost poskytující IT podporu může agenturám pomoci tyto zásady uvést do praxe, od správy přístupů a zařízení až po plánování zálohování a reakci na incidenty.

Následuje praktický rámec.

1. Přísně kontrolujte přístup

Uplatňujte zásadu minimálních oprávnění; lidem by měl být udělen přístup pouze k tomu, co potřebují, a to po dobu, po kterou to potřebují. Toto pravidlo platí také pro externisty, krátkodobé spolupracovníky a interní zaměstnance, kteří pomáhají s prezentací nebo projektem.

2. Posilte zabezpečení účtů

Kdykoli je to možné, používejte vícefaktorové ověřování (MFA). Pokud je to možné, vyhýbejte se sdíleným přihlašovacím údajům. Používejte vhodný správce hesel, aby bylo možné přístup kontrolovat a bezproblémově odebrat.

3. Stanovte jasná pravidla pro zařízení a prostředí

Některé práce je možná nutné provádět pouze na systémech ve vlastnictví klienta. Jiné práce mohou probíhat na zařízeních spravovaných agenturou. Jasně stanovte, co je v každém scénáři povoleno. Pokud jsou v rozsahu použití zahrnuta i osobní zařízení, definujte minimální očekávanou úroveň ochrany.

4. Standardizujte ukládání a sdílení

Rozhodněte, kde by měly být informace o klientech ukládány a jak by měly být sdíleny, a zajistěte, aby schválená metoda byla natolik jednoduchá, že lidé nebudou pociťovat potřebu používat alternativní řešení.

5. Zavést disciplinovaný proces přijímání a odchodu zaměstnanců

Bezpečnostní rizika v agenturách mají tendenci se zvyšovat, když dochází ke změnám. Vzhledem k tomu, že přicházejí noví lidé, dochází k přesunům zaměstnanců, jiní odcházejí, zapojují se externí spolupracovníci a dochází ke změnám v projektech, jsou nezbytné jasné kontroly přístupových oprávnění.

6. Připravte se na reálné pracovní situace

Školení v oblasti bezpečnostního povědomí by mělo zohledňovat způsob, jakým se v agentuře skutečně pracuje: mělo by zahrnovat urgentní požadavky, přístup k sociálním médiím, sdílení kreativních souborů, nástroje umělé inteligence, více klientských účtů a různorodá pracovní prostředí.

7. Buďte připraveni na incidenty a obnovu

To, že je soubor uložen v cloudu, ještě neznamená, že je snadné jej obnovit. Měli byste vědět, co je zálohováno, jak funguje obnova a kdo co dělá, pokud se něco pokazí.

8. Stanovte hranice pro používání AI

Agentury nemusí zakazovat AI, aby byly v bezpečí. Musí však definovat, co lze vkládat, nahrávat nebo generovat s využitím informací o klientech a které nástroje jsou schváleny.

Žádný z těchto kroků sám o sobě nevyřeší vše. A o to právě jde. Bezpečnost v agenturách není jedním velkým gestem. Je to opakované uplatňování rozumných kontrolních opatření v chaotickém prostředí.

Vytvoření konzistentního přístupu k kyberbezpečnosti

Kybernetická bezpečnost je pro agentury obtížná ne proto, že by byly nějak zvlášť nedbalé, ale proto, že často působí v rozsáhlém, proměnlivém prostředí s různorodými klienty, nástroji, zařízeními a různými úrovněmi kontroly.

Část rizika pochází ze sofistikovaných hrozeb. Část zase z běžné nekonzistentnosti. Agentury musí být připraveny na obojí.

Proto neexistuje žádný zázračný lék. Jde o přístup, který klade bezpečnost na první místo a který se projevuje v praktických principech, které lze důsledně uplatňovat i v měnících se podmínkách.

Pokud to agentura dokáže, je v mnohem silnější pozici, aby ochránila své služby, udržela důvěru klientů a ukázala, že bere své povinnosti vážně.

Agenturám, které nedisponují vlastními odbornými znalostmi, může specializovaná IT podpora a kyberbezpečnost pro agentury zabývající se digitálním marketingem pomoci zavést a udržovat tato kontrolní opatření i při změnách v týmech, nástrojích a požadavcích klientů.