Sjedete web TradingView úplně dolů a hned pod řádkem „© 2026 TradingView, Inc.“ vás praští do očí dvě obrovská tlačítka v přísných rámečcích: SOC 2 Compliant s kulatou pečetí a GDPR Compliant obklopené hvězdičkami Evropské unie. Vypadá to monumentálně — okamžitě pocítíte respekt k drsným bezpečákům platformy. Na ty štítky kliknete čistě ze zvědavosti, abyste viděli, jak přesně se to nedobytné brnění kovalo, a ocitnete se na stránce trust.tradingview.com.
A právě tady, jakmile začnete pátrat, se otevře takový absurdní cirkus, že nevíte, jestli se smát, nebo brečet.
Ve výloze se vyjímají odznaky SOC 2, PCI DSS 4.0.1, GDPR a DORA a vedle nich vesele tiká zelený indikátor: „Updated 4 minutes ago“ — prý jsme před čtyřmi minutami zkontrolovali všechny zámky, hranice je na závoru. Pod tím se řadí dvacet solidních bodů ochrany infrastruktury: přístup k serverům striktně přes kryptografické klíče, oddělené sítě, šifrování funguje, systém detekce průniků nikdy nespí.
Začnete se dívat na detaily — a sloupec se skutečnými stavy kontrol je prostě prázdný. Samotné zprávy jsou schované za tlačítkem „Požádat o přístup“, kam člověka z ulice nikdo nepustí. Ale nejvtipnější není ani tohle: žádný z těch dvaceti hrozivých bodů na stránce vůbec nenapsali inženýři TradingView. Celou tuhle „pevnost“ vygenerovala podle hotové šablony externí americká firmička jménem Vanta.
Abyste dokázali, že v domě nejsou zloději, pusťte cizí lidi do každé ložnice
Jak tenhle byznys funguje? V korporátním světě se po službách chce papír od auditora — ten slavný certifikát SOC 2. Dřív kvůli němu člověk musel měsíce snášet v kanceláři živé kontrolory, kteří se nudně hrabali v nastavení serverů. Pak se ale objevila Vanta a nabídla celému odvětví geniální cheat: „Nemusíte nic sbírat ručně. Připojte k firmě náš software, my za vás na pozadí odškrtáme políčka pro auditora a k tomu vám na web namalujeme hezkou výlohu s odznáčky.“
A teď dávejte dobrý pozor na ruce. Aby si firma mohla do patičky webu pověsit hrdé tlačítko „K vašim datům nikoho nepustíme“, dobrovolně pustí pod vlastní kapotu cizí firmu. Serverům Vanty dá přístup ke své cloudové infrastruktuře (AWS, Google Cloud), ke zdrojovému kódu na GitHubu, k firemní poště a k personální databázi se seznamy všech zaměstnanců. A to není všechno: na pracovní notebook každého programátora a admina se povinně instaluje špehovací program od Vanty, který nonstop kontroluje, jestli má počítač zapnuté heslo, jestli běží antivir a jestli je stažená aktualizace.
Formálně je přístup „jen pro čtení“ — cizí skript vám databázi sám nesmaže. Zato se na serverech externí firmy pečlivě skládá kompletní rentgenová mapa společnosti: plány celé sítě, jména a e-maily všech inženýrů, modely jejich notebooků a živý seznam všech neopravených zranitelností.
Formulářoví plácači u kormidla světové bezpečnosti
Kdo jsou tedy, řeklo by se, ti drsní géniové kryptografie a veteráni kybernetických vojsk, kterým tisíce firem po celém světě svěřují klíče od své vnitřní kuchyně?
Otevřeme životopisy vedení Vanty a vytáhneme popcorn.
Zakladatelkou a věčnou šéfkou firmy je Christina Cacioppo. Kde kovala své legendární zkušenosti s informační bezpečností? V tajných laboratořích Pentagonu? Při vývoji ochrany bankovních jader? Ne. Slečna se šla učit programovat, pár let piplala nějaké drobné projekty, které nikdy nevzlétly, a pak nastoupila jako produktová manažerka do Dropboxu. A tam neměla na starost ani ukládání souborů, ani šifrování disků. Vrcholem její kariéry byl Dropbox Paper — vedlejší online poznámkový bloček pro společné psaní poznámek uvnitř úložiště souborů, o jehož existenci devět z deseti uživatelů Dropboxu vůbec netušilo. Zatímco ten bloček splácala dohromady, nutili ji vyplňovat nudné tabulky pro auditory — a ona usoudila, že je mnohem výnosnější prodávat jiným firmám webové formulářky na automatický sběr přesně takových tabulek.
Pokračujme: kdo je druhá hlavní dáma na téhle lodi? Marketingová ředitelka Sarah Scharf. Tahle dáma přišla z Googlu, kde se sedm let věnovala „produktovému marketingu soukromí, bezpečnosti a Androidu“. Zamyslete se nad tou funkcí samotnou: tenhle člověk nepsal kód a nelovil hackery, ale sedm let skládal reklamní pohádky o tom, jak se korporace Google stará o vaše soukromí, zatímco zakládala složku na každého obyvatele planety.
Zbytek týmu tomu odpovídá: produktový a technický ředitel dřív spravoval na GitHubu vedlejší doplňky a výlohy a finanční ředitel přišel ze služby Calendly — webu, který dělá formulářky pro domluvení hovoru v kalendáři.
A právě tenhle dream team — tvůrkyně cloudového bločku, googlovská PR-istka „soukromí“ a účetní z online kalendáře — dnes rozdává bezpečnostní standardy světovému fintechu.
Hlídač v bačkorách a paradox kancelářských obchodníků
Skutečná komedie ale začíná, když se podíváte, jak funguje vnitřní kuchyně samotných „kontrolorů“. Firma, která u sebe drží otisky zranitelností tisíců cizích byznysů, oficiálně funguje v režimu „remote-first“. Už na jaře 2022 radostně psali na webu: „Úspěšně pracujeme odkudkoli.“
Když se právě teď podíváte na jejich nástěnku pracovních nabídek, z 83 pozic je 52 čistý home office v USA, Kanadě, Británii a Irsku. A z gauče tam rozhodně nepracují designéři ikonek:
- Sr. Manager, Security Operations (na dálku). Tenhle člověk nastavuje vlastní ochranu Vanty a velí řešení hackerských útoků. V inzerátu mu starostlivě slibují „příspěvek na zařízení domácího pracoviště, domácí internet a mobil“. Hlavní obránce před kybernetickými útoky řídí obranu přes domácí router, na účet podniku.
- Inženýr vládního cloudu GovCloud (na dálku, s pohotovostí při haváriích). Jediným bezpečnostním požadavkem pro práci se státním sektorem je přihlašovat se do systému „fyzicky z území USA“. Ze kterého motorestu u silnice nebo podnájmu přesně — to nikoho nezajímá.
- Senior Engineer, Enterprise Resilience a Senior Security Engineer (na dálku). Lidé, kteří odpovídají za odolnost produkce a v textu inzerátu přísahají, že budou „spolehlivými strážci citlivých dat“, sedí taky doma.
- Staff Engineer, Program Structure & Trust (na dálku). A tuhle pozici si zapamatujte zvlášť: tenhle vzdálený specialista odpovídá za to, aby se tajná data různých klientů navzájem nepomíchala.
Víte, v čem je tu hlavní absurdita? Obyčejné obchodníky v Londýně a Dublinu nutí šéfové Vanty chodit do kanceláře tři dny v týdnu. Tedy lidé, kteří jen telefonují klientům a ukazují prezentace, musí sedět pod dohledem v kancelářském centru. Zato inženýři, u kterých leží klíče od produkce a mapy infrastruktury tisíců firem, sedí v bačkorách v domácích kuchyních obklopení příbuznými, sousedy, kurýry a instalatéry. A to v době, kdy americké IT firmy chytají falešné vzdálené zaměstnance po celých tuctech — kdy pohovor přes videohovor absolvuje podstrčený herec a pracovní notebook odjede poštou rovnou na farmu severokorejských hackerů.
Čtyři dny s dokořán rozepnutým poklopcem
Kam vede bezpečnost od tvůrkyň bločků a home-officářů na domácí Wi-Fi, nebylo třeba dlouho hádat.
Pamatujete si na inzerát vzdáleného inženýra, který má hlídat, aby se databáze různých firem nepomíchaly? V květnu 2025 vypustili formulářoví plácači z Vanty zpackanou aktualizaci a tajná data jedněch klientů se prostě zapsala do účtů jiných (zpráva o incidentu INC-868).
Tajemství stovek firem se jednoduše vysypala na cizí obrazovky. Cizím lidem unikly seznamy cizích zaměstnanců, jejich pozice a — třešnička na dortu — nastavení jejich dvoufaktorového ověřování (MFA). Tedy hotový tahák pro útok: kdo dělá co a kdo nemá zapnutou ochranu účtu.
Celý rozsah téhle klauniády ale odhalují dva detaily:
- Díra zůstala otevřená čtyři dny. Vychvalovaný automatický monitoring Vanty, který každé čtyři minuty maluje zelené fajfky na weby klientů, čtyři dny přímo pod nosem nepostřehl, že rozdává cizí databáze náhodným sousedům. Chybu našli teprve tehdy, když jeden z ohromených klientů sám uviděl ve svém účtu cizí vnitřní kuchyni a napsal na podporu.
- Učebnicová chucpe. Když ostuda vylezla na světlo, marketéři Vanty vydali zprávu a s nevinným výrazem označili únik dat stovek firem do cizích rukou za incident „nesouvisející s bezpečností“ (non-security related). No co, popletly se databáze — hlavně že fajfky ve zprávách jsou zelené!
Papírový štít
Tolik tedy stojí hrozivá tlačítka SOC 2 Compliant a GDPR Compliant v patičce webu.
Obyčejný člověk se na ty odznaky podívá a myslí si, že jeho služba je chráněná jako jaderný kufřík. Ve skutečnosti si firmy kvůli byrokratickému papíru samy prosekají díru ve vlastní zdi, vysypou celé schéma své obrany do jednoho společného koryta bývalým manažerkám poznámek a reklamy a k hlídání toho koryta posadí lidi na domácím routeru, jejichž software ani nedokáže postřehnout, že už čtyři dny v kuse rozdává cizí tajemství na všechny strany.
Lekce bezpečnosti bez bezpečnosti jsou zvládnuté na jedničku: odznak na webu se blyští, a co je za dveřmi — to radši ať nikdo neví.
Místo epilogu: kdo je „bezpečák na dálku“ ve skutečném životě
Když korporace v prezentacích vykreslí slovní spojení Remote Security Engineer, klientovi se v hlavě vybaví soustředěný profík ve sluncem zalité kanceláři, který přes zabezpečený satelitní kanál střeží cizí tajemství.
Ve skutečnosti je vzdálený zaměstnanec černá skříňka, jejíž obsah zaměstnavatel nijak nekontroluje. Firmy nemají tušení, co se děje na druhé straně webkamery, jakmile skončí patnáctiminutový ranní call. A tam se odehrává skutečný život v celé své kráse.
1. Psychika v mlze, SSRI a houbové mikrodávkování V kanceláři toho člověka aspoň vidíte naživo: jestli se mu třesou ruce, jestli má normální pohled, jestli se tenhle týden umyl a jestli nemluví se zdmi. Na dálku se veškerý kontakt s člověkem, který má v rukou root přístupy k serverům tisíců firem, smrskne na čtvereček v Zoomu s rozmazaným pozadím.
Patnáct minut denně na stand-upu ze sebe ten chlapík silou mocí vymáčkne povinný úsměv a svižně hlásí: „Žádné blokery, pouštím update do produkce.“ Pak vypne kameru — a nikdo v centrále nemá tušení, v jakém je stavu. Možná už třetí měsíc jede na koňských dávkách silných antidepresiv (SSRI), po kterých mu úplně atrofoval smysl pro nebezpečí a je mu úplně fuk, kam a jaké databáze zrovna vypustí. Možná si podle módy Silicon Valley hned ráno hodil mikrodávku psilocybinových hub nebo jede na Adderallu v kombinaci s ketaminovou terapií a snaží se vyhrabat z deprese po rozvodu. Pro firmu je to zelené kolečko ve Slacku. Ve skutečnosti ale u ovládacího pultu jaderného reaktoru sedí člověk v hlubokém kognitivním rozostření.
2. Přepadení v kavárně a otevřený MacBook Americká technologická centra jako San Francisco, Seattle nebo Austin se dávno proměnila v kriminální zábavní parky. Přímo v San Francisku existuje celé pouliční řemeslo — laptop snatching: lupiči vtrhnou do módních kaváren, vyrvou ajťákům přímo z rukou otevřené, odemčené MacBooky s už navázanými VPN relacemi a otevřenými terminály a odnesou je do auta, které čeká u vchodu.
Nebo ještě jednodušeji: večer po práci si tenhle „strážce citlivých dat“ vyrazí pro burrito s pracovním telefonem a notebookem v batohu. Pár bloků od domu k němu přistoupí dva kluci s pistolí, praští ho do hlavy a srozumitelně mu vysvětlí, že jim teď hned nejen odevzdá veškerou techniku, ale taky přiloží prst na Touch ID a nadiktuje PIN. Před trubkou v temné uličce ještě nikoho nezachránil žádný cloudový firewall ani štítek SOC 2 Compliant.
3. Manželky, milenci a přístupy ukradené rovnou z polštáře I kdyby inženýr vůbec nevycházel z domu, jeho byt je jako průchoďák. Za zády mu chodí manželky, bývalé i současné přítelkyně, spolubydlící z podnájmu, uklízečky, kurýři a hosté z pátečních večírků.
V USA to už není teorie, ale soudní spisy. V roce 2024 Komise pro cenné papíry (SEC) odhalila nádherné rodinné schéma: manžel vzdálené zaměstnankyně ropného obra BP prostě chodil po domě a na cestách s ní bydlel v jednom pokoji, zatímco ona z domova pracovala na tajných fúzích firem. Poslouchal její hovory, nakukoval na otevřenou obrazovku jejího pracovního notebooku, když odešla do kuchyně, nakoupil akcie toho správného řetězce a na insiderských informacích vydělal skoro dva miliony dolarů.
A teď si představte přízemnější scénář: vzdálený bezpečák uprostřed těžkého rozvodu nebo hádky s drahou polovičkou. Uražená manželka nebo podnikavý spolubydlící prostě počká, až „strážce infrastruktury“ odejde do sprchy nebo usne, vyfotí telefonem otevřenou obrazovku s přístupovými klíči, tokeny a konverzacemi ve Slacku — nebo jednoduše strčí flashku do jeho vlastního notebooku, jehož heslo už dávno odkoukal přes rameno.
4. Únava ve tři ráno A konečně klasika, na které se v posledních letech spálili giganti od Uberu po autentizační službu Okta. Když útočníci koupí ukradené heslo vzdáleného zaměstnance, zbývá jim obejít dvoufaktorové ověřování (MFA). Co udělají? Počkají, až si home-officář doma lehne, a ve tři ráno mu začnou bombardovat telefon desítkami push notifikací: „Potvrďte přihlášení“. Hned nato mu napíšou do soukromého messengeru jménem „technické podpory firmy“: prý je to jen chyba systému, ať klikne na „Potvrdit“, aby notifikace přestaly zvonit. A rozespalý člověk v trenýrkách, jen aby telefon konečně zmlkl a nechal ho spát, vlastním prstem pustí hackery do svatyně svatých.
Právě z tohohle lidského chaosu — prášků, rodinných dramat, pouliční kriminality a noční lenosti — se ve skutečnosti skládá základ, na kterém stojí celý moderní průmysl „cloudové důvěry“. A až příště uvidíte dole na pěkném finančním webu přísné odznaky SOC 2 Compliant a GDPR Compliant, prostě si vzpomeňte, že někde za oceánem právě teď unavený člověk na antidepresivech odešel od otevřeného notebooku nalít si kafe, zatímco jeho přítelkyně na jeho monitoru zamyšleně projíždí seznamy cizích serverů.