Office 2024: ako používať makrá vo firme bez vypnutia ochrany
Makro môže firme ušetriť hodiny pri spracovaní tabuliek, dokumentov a výkazov. Rovnaká schopnosť spúšťať príkazy však znamená, že súbor z neznámeho zdroja nemožno povoľovať iba preto, že vyzerá dôveryhodne.
Najprv rozdeľte súbory podľa rizika
Bežné dokumenty bez aktívneho obsahu nepotrebujú výnimku. Súbory s makrami od interného vývojára patria do riadeného procesu. Prílohy z internetu a súbory od neznámeho odosielateľa zostávajú zablokované, kým správca alebo zodpovedný vlastník neoverí ich pôvod. Takéto rozdelenie je zrozumiteľnejšie než všeobecné povolenie všetkých makier.
Schválené makro
Má známeho vlastníka, zdrojový kód uložený vo firemnom úložisku, číslo verzie, stručný popis zmien a platný digitálny podpis.
Neznámy súbor
Neotvárajte ho so zapnutým aktívnym obsahom. Overte odosielateľa iným kanálom a požiadajte o čistú kópiu alebo vysvetlenie účelu.
Prečo nestačí dôveryhodné umiestnenie
Microsoft upozorňuje, že súbory v dôveryhodnom umiestnení obchádzajú chránené zobrazenie aj ďalšie kontroly a povoľujú aktívny obsah. Preto neoznačujte celý disk, priečinok Dokumenty ani široko prístupný sieťový priečinok za dôveryhodný. Vytvorte samostatný podpriečinok, obmedzte zápis na správcov riešenia a používateľom prideľte iba potrebné práva.
Pozor: Dôveryhodný sieťový priečinok zvyšuje riziko, pretože kompromitovaný účet môže vložiť škodlivý súbor pre viacerých ľudí. Ak ho firma naozaj potrebuje, riaďte ho centrálne a sledujte zmeny.
Bezpečný proces nasadenia
- Určte vlastníka. Každé makro má konkrétneho človeka alebo tím, ktorý zodpovedá za kód, testy a opravy.
- Skontrolujte kód. Overte, aké súbory otvára, kam zapisuje, či komunikuje so sieťou a ako spracúva chyby.
- Podpíšte vydanie. Digitálny podpis potvrdí vydavateľa a ukáže, či sa kód po podpise zmenil.
- Otestujte kópiu údajov. Skúška nesmie prebiehať na jedinom účtovnom výkaze, zozname zákazníkov ani ostrej šablóne.
- Nasadzujte po skupinách. Najprv malá skúšobná skupina, potom zvyšok firmy a až následne odstránenie starej verzie.
Podpis nie je jednorazová formalita
Podľa odporúčaní Microsoftu je podpisovanie firemných makier osvedčený postup. Používateľ môže dôverovať overenému vydavateľovi, no firma musí chrániť súkromný podpisový kľúč. Po každej zmene kódu treba vytvoriť nové podpísané vydanie; neplatný podpis môže znamenať úpravu po podpise.
Certifikát dôveryhodného vydavateľa spravujte centrálne. Nežiadajte ľudí, aby pri každom upozornení ručne povoľovali obsah. Výnimky zaznamenajte: názov riešenia, vlastník, umiestnenie, verzia, dátum kontroly a dôvod používania. Keď makro už nie je potrebné, odstráňte ho aj s príslušnou výnimkou.
Nezabudnite ani na závislosti. Automatizácia môže používať konkrétnu cestu k súboru, doplnok, tlačiareň, pripojenie k databáze alebo názov pracovného hárka. Pred aktualizáciou Office preto spíšte tieto väzby a pripravte testovací scenár s očakávaným výsledkom. Dobrá skúška neoveruje iba to, že sa makro spustí, ale aj správnosť výsledných súčtov, formátov, názvov súborov a cieľových priečinkov.
Pri chybe používateľ nemá improvizovať zapnutím všetkých makier. Má vedieť, komu poslať názov súboru, verziu, čas chyby a snímku hlásenia. Vlastník riešenia potom porovná podpis, záznam zmien a vstupné údaje. Takýto postup skracuje opravu a zároveň zabraňuje tomu, aby sa do bezpečnostných nastavení potichu pridávali trvalé výnimky.
Čo kontrolovať pri bežnej prevádzke
- Makrá stiahnuté z internetu zostávajú zablokované.
- Dôveryhodné umiestnenia sú úzke a chránené proti neoprávnenému zápisu.
- Vlastné makrá majú podpis, verziu a dohľadateľného vlastníka.
- Testy používajú kópie údajov a obsahujú aj návrat na starú verziu.
Automatizácia potrebuje hranice
Bezpečné makrá nevznikajú vypnutím ochrany, ale kombináciou overeného pôvodu, podpisu, chráneného úložiska, testovania a riadeného nasadenia.