Dne 23. června 2026 jsme ve WorkLounge Příkopy uspořádali další Apple Admin Day, tentokrát s podtitulem WWDC Edition.
Dopoledne patřilo bezpečnosti. Řešilo se, jak se liší útoky na Windows a macOS, kam se posunul phishing a proč ani dobře zabezpečený operační systém sám o sobě nestačí. Odpoledne jsme se přesunuli ke správě zařízení, nové platformě Apple Business a změnám z WWDC26, které budou mít dopad na každodenní práci administrátorů.
Celým programem provázel Ondřej Kubeček, obchodní ředitel System4u.
Kdo na akci vystoupil
Program spojil odborníky na bezpečnost, správu zařízení, identity a moderní digitální pracoviště:
- Jan Marek, red teamer a forenzní analytik z Cyber Rangers,
- Pavel Krčma, vedoucí výzkumného oddělení pro síťový provoz Jamf,
- Michal Pazderník, IT konzultant a zakladatel Fruit IT,
- Ladislav Blažek, technický ředitel System4u,
- Martin Tvrdý, vedoucí týmu UEM System4u,
- Roman Přikryl, vedoucí týmu Identity & Security System4u.
Jan Marek: Mac a Windows se nenapadají stejně
Dopolední blok otevřel Jan Marek přednáškou o rozdílech mezi útoky na Windows a macOS.
Nesnažil se hledat jednoduchého vítěze. Spíš ukázal, proč je otázka „co je bezpečnější“ sama o sobě trochu zavádějící.
Windows funguje v obrovském ekosystému hardwaru, aplikací a starších podnikových systémů. Zpětná kompatibilita je pro firmy často nezbytná, zároveň ale vytváří prostor pro starší postupy, chyby a zranitelnosti.
Apple má situaci jednodušší v tom, že kontroluje hardware i operační systém. Může rychleji měnit pravidla platformy a bezpečnost stavět přímo do zařízení.
Honza zmínil i jednoduchý příklad z oblasti fyzické bezpečnosti. U novějších Maců už útočník nemůže automaticky počítat s běžným USB-A konektorem. Pro některé typy útoků by potřeboval odpovídající USB-C zařízení nebo redukci, což sice útok nevylučuje, ale může jej v praxi zkomplikovat. Dobře to ukazuje, že bezpečnost platformy nevzniká jen v operačním systému, ale také v návrhu samotného hardwaru.
To ale neznamená, že je Mac nedotknutelný. Útočník jen často volí jinou cestu. Místo přímého útoku na systém zkusí obejít ochranu přes uživatele, jeho účet nebo legitimní nástroje, které už v systému jsou.
Pavel Krčma: phishing se změnil víc, než si řada firem připouští
Na Honzu navázal Pavel Krčma s tématem phishingu.
Starý obraz phishingu jako špatně napsaného e-mailu s podezřelou přílohou už příliš neplatí. Škodlivý odkaz může přijít přes SMS, reklamu nebo výsledek vyhledávání. Může vést na stránku, která působí věrohodně a otevře se jen vybraným uživatelům nebo jen z určitého zařízení.
Pavel během přednášky ukázal několik phishingových kampaní z praxe, včetně podvodných vstupních stránek, které se vzhledem velmi blížily legitimním službám. Právě na těchto ukázkách bylo dobře vidět, jak málo dnes může uživateli stačit k tomu, aby falešnou stránku považoval za důvěryhodnou.
Útočníci navíc nemusí všechno stavět sami. Existují hotové nástroje, šablony i infrastruktura, které lze koupit jako službu. Díky tomu dokáže přesvědčivou kampaň připravit i člověk bez hlubších technických znalostí.
Součástí přednášky byly také útoky typu ClickFix. Uživatel vidí chybu a dostane návod, jak ji odstranit. Ve skutečnosti podle instrukcí spustí příkaz nebo skript, který otevře cestu útočníkovi.
Samotný krok často nevypadá nebezpečně. Problém se ukáže až ve chvíli, kdy se spojí chování uživatele, spuštěné procesy a síťová komunikace.
Právě proto dnes nestačí hlídat jen soubory. Bezpečnostní nástroje musí rozumět tomu, co se na zařízení děje v souvislostech.
Diskuse: „Secure by default“ neznamená „bez další práce“
Po obou přednáškách následovala diskuse Jana Marka, Pavla Krčmy a Ladislava Blažka.
Jedním z hlavních témat bylo tvrzení, že je Mac bezpečný už z výroby.
macOS má ve výchozím nastavení řadu bezpečnostních mechanismů, které dávají velmi dobrý základ. Ve firemním prostředí ale základ nestačí.
Firma potřebuje vědět, která zařízení přistupují k jejím datům, kdo je používá a v jakém jsou stavu. Musí mít pod kontrolou aktualizace, identity, oprávnění, aplikace i způsob reakce na incident.
V diskusi zazněla také praktická rada pro firmy, které si nejsou jisté, zda se jim investice do bezpečnosti vyplatí. Měly by si spočítat, kolik by je stál jediný den výpadku. Do výsledku nepatří jen ztracené tržby, ale také mzdy zaměstnanců, nevyužité licence, odstavené stroje, přerušení výroby nebo náklady na obnovu provozu.
Ve chvíli, kdy firma zná cenu jednoho dne nefunkčního provozu, může náklady na bezpečnost porovnávat s konkrétním podnikatelským rizikem. Bezpečnost pak přestává být abstraktním technickým výdajem.
Bez centrální správy není možné dlouhodobě zajistit, že zařízení zůstane v požadovaném stavu. Bez ochrany identity zase firma neví, zda se přihlašuje správný člověk. A bez monitoringu může útok zůstat bez povšimnutí, i když je zařízení formálně spravované.
Diskuse ukázala, že bezpečnost není jedna funkce nebo jeden produkt. Funguje jen tehdy, když se propojí zařízení, identita, síť a schopnost vidět a reagovat.
Michal Pazderník: Apple Business míří i na menší firmy
Odpolední program otevřel Michal Pazderník s podrobnou prezentací nové platformy Apple Business.
Apple Business spojuje správu zařízení, uživatelů, účtů a aplikací do jednoho prostředí. Firmy mohou připravit Mac, iPhone nebo iPad ještě předtím, než jej zaměstnanec poprvé zapne, distribuovat aplikace a pracovat s Managed Apple Accounts.
Největší význam může mít platforma pro menší organizace, které dosud neměly vlastní MDM řešení nebo samostatný IT tým.
Pro složitější prostředí ale dál dávají smysl specializované MDM a UEM platformy. Ty nabízejí hlubší automatizaci, více možností zabezpečení a lepší propojení s ostatními systémy ve firmě.
Apple Business proto není náhradou všech existujících nástrojů. Spíš rozšiřuje počet firem, které mohou začít Apple zařízení spravovat systematicky.
Co přineslo WWDC26 správcům Apple zařízení
Závěr dne patřil novinkám z WWDC26.
Velká část se točila kolem Declarative Device Managementu, zkráceně DDM. Apple v něm pokračuje v přechodu od klasické správy založené na jednotlivých příkazech k modelu, kdy zařízení zná požadovaný stav a samo vyhodnocuje, kdy má změny použít.
Pro administrátory to znamená rychlejší reakce zařízení a přesnější informace o tom, jestli nastavení opravdu platí.
Mluvilo se také o řízeném přechodu na nový Mac, lepším přehledu o hardwaru a konfiguraci, rozšířené správě aplikací a dalším vývoji Platform SSO.
Platform SSO dál propojuje přihlášení k Macu s firemní identitou. Firmy tak mohou sjednotit ověřování a lépe řídit, za jakých podmínek se uživatel k zařízení nebo aplikacím dostane.
Z praktického hlediska mohou pomoci i nové možnosti vzdálené diagnostiky. IT tým získá více podkladů pro řešení problémů, aniž by musel složitě navigovat uživatele po telefonu.
Co si z #4 Apple Admin Day odnést
Dopolední a odpolední program spolu souvisely víc, než se může na první pohled zdát.
Dopoledne ukázalo, jak útočníci hledají nejslabší místo mezi zařízením, uživatelem a identitou. Odpoledne naopak ukázalo, jak Apple rozšiřuje možnosti, kterými mohou firmy tato místa lépe řídit.
Mac přináší silný bezpečnostní základ. Bez správy, aktualizací, ochrany identity a schopnosti reagovat na incident ale zůstává jen základem.
To platí bez ohledu na velikost firmy.
