Mixpanel: bezpečnost firmy závisí i na dodavatelích

Přihlášení do vlastního systému není jediným místem, kde firma pracuje s daty. Část informací může směřovat do analytiky, podpory, marketingových nástrojů a dalších služeb. Jejich výběr a nastavení patří k bezpečnosti projektu.

Co bylo potvrzeno v případě Mixpanel

OpenAI v listopadu 2025 oznámilo incident v systémech svého analytického dodavatele Mixpanel. Týkal se omezených profilových a analytických údajů dotčených uživatelů. Oznámení výslovně vyloučilo například obsah chatů, hesla, API klíče a platební údaje. Prosincové upřesnění zahrnulo i omezenou skupinu uživatelů ChatGPT se související aktivitou v podpoře nebo na API platformě. Oznámení a upřesnění OpenAI.

Jaká data opravdu posíláte mimo vlastní aplikaci

Při běžném růstu webu přibývají nástroje jeden po druhém. Po čase nemusí být zřejmé, jaká data sbírají, kdo je spravuje a zda jsou všechny stále potřebné. Prvním krokem je přehled služeb, datových toků a vlastníků.

Rozlišujte data potřebná pro fungování služby od dat odesílaných jen proto, že to integrace umožňuje. U formulářů, analytiky a logování si dejte pozor na nechtěné přenášení citlivého obsahu.

Kontrola dodavatelů v praxi

• Určete účel každé integrace a minimální potřebný rozsah dat.
• Zjistěte, kdo má administrátorské přístupy a jak jsou chráněné.
• Ověřte oznamování incidentů a kontakt na odpovědnou osobu.
• Připravte odebrání přístupů a odstranění integrace při ukončení služby.
• Pravidelně přehodnocujte nástroje, které firma už nepoužívá.

Únik kontaktních údajů může vylepšit podvodnou zprávu

Zpráva, která zná jméno, službu nebo pracovní kontext, může působit přesvědčivěji. Zaměstnanci proto potřebují ověřovací postup pro nečekané žádosti o přístup, platbu nebo citlivé informace. Rozhodnutí se nemá opírat jen o profesionálně vypadající text.

Při skutečném incidentu nejprve určete dotčená data a rozsah. Opatření mají odpovídat zjištěním; nelze automaticky vyhlásit únik všech hesel nebo všech zákaznických dat.

Integrace má mít i bezpečnostního vlastníka

U nového nástroje si domluvte, kdo schvaluje připojení, spravuje oprávnění a reaguje na upozornění. Díky tomu nebude nutné během incidentu zjišťovat, který bývalý kolega vůbec založil účet.