Zaměstnanec si do prohlížeče nainstaluje „užitečné“ rozšíření na převod PDF. Rozšíření dostane oprávnění číst obsah všech webů, které otevře – včetně Outlooku na webu, bankovnictví a firemního SharePointu. Za pár týdnů začne odesílat přihlašovací cookies na cizí server a útočník se do Microsoft 365 dostane i přes vícefaktorové ověření. Prohlížeč je dnes hlavní pracovní nástroj, a přitom ho většina malých firem vůbec nespravuje. Správa prohlížeče Microsoft Edge přes Intune tuhle mezeru zavírá. V článku najdete, co Edge for Business umí, které zásady nastavit jako první a jak celé nasazení zvládnout bez stížností uživatelů.

Co je Microsoft Edge for Business

Microsoft Edge for Business je firemní režim prohlížeče Edge, který je součástí Windows a nic se za něj neplatí. Nejde o samostatnou aplikaci. Je to stejný Edge, který se po přihlášení pracovním účtem Microsoft 365 chová jako spravovaný firemní prohlížeč.

Mezi hlavní vlastnosti patří:

• Oddělený pracovní profil – firemní záložky, hesla a historie jsou oddělené od osobního profilu uživatele.
• Automatické přepínání profilů – odkaz na firemní web se otevře v pracovním profilu, soukromý web v osobním.
• Centrální zásady – správce určuje, jaká rozšíření jsou povolená, jak se chová ochrana SmartScreen nebo jestli se smí ukládat hesla.
• Napojení na Microsoft 365 – jednotné přihlášení, podmíněný přístup a ochrana dat fungují v Edge nejlépe ze všech prohlížečů.

Zásady prohlížeče lze nastavit dvěma způsoby. Plnohodnotná cesta vede přes Microsoft Intune, který je součástí licence Microsoft 365 Business Premium. Jednodušší alternativou je služba pro správu Edge přímo v centru pro správu Microsoft 365, kterou Microsoft popisuje v dokumentaci ke službě Microsoft Edge management service. Pro malé firmy, které už Intune používají, doporučujeme držet vše na jednom místě – tedy v Intune.

Proč se správou prohlížeče začít právě teď

Většina práce v malé firmě se odehrává v prohlížeči. Pošta, účetnictví, CRM, bankovnictví, sdílené dokumenty i fakturace běží na webu. Prohlížeč proto drží to nejcennější, co útočník hledá: aktivní přihlášení, uložená hesla a přístup k datům.

Typická rizika, která v malých firmách vídáme:

• Škodlivá nebo kompromitovaná rozšíření – i legitimní rozšíření může po aktualizaci začít krást data. Na přelomu let 2024 a 2025 útočníci takto napadli desítky známých rozšíření pro prohlížeče.
• Krádež session cookies – útočník nepotřebuje heslo ani druhý faktor, stačí mu ukrást platné přihlášení.
• Hesla v soukromém profilu – firemní hesla se synchronizují do osobního účtu zaměstnance, který po odchodu z firmy zůstává jemu.
• Vypnutá ochrana – uživatel klikne na „Přesto pokračovat“ u varování před phishingem a ochrana je k ničemu.
• Zastaralý prohlížeč – bez aktualizací zůstávají otevřené známé zranitelnosti.

Britské národní centrum kybernetické bezpečnosti v průvodci kybernetickou bezpečností pro malé firmy řadí aktualizace a bezpečné nastavení zařízení mezi základní opatření, která zastaví většinu běžných útoků. Prohlížeč je přitom nejčastěji používaná aplikace na každém firemním počítači.

Které zásady nastavit jako první

Edge nabízí přes 400 nastavitelných zásad. Malá firma ale nepotřebuje všechny. Následujících šest oblastí pokryje drtivou většinu rizik.

1. Kontrola rozšíření

Rozšíření jsou největší slabinou prohlížeče. Nejbezpečnější přístup je zakázat instalaci všech rozšíření a povolit jen schválený seznam.

• ExtensionInstallBlocklist – hodnota * zablokuje všechna rozšíření.
• ExtensionInstallAllowlist – seznam ID povolených rozšíření, například správce hesel nebo podpisový nástroj.
• ExtensionInstallForcelist – rozšíření, která se nainstalují automaticky všem, typicky firemní správce hesel.

Před zapnutím blokace zjistěte, jaká rozšíření lidé skutečně používají. Na každém počítači je uvidíte na adrese edge://extensions, případně si seznam projděte s uživateli. Jinak druhý den ráno přijdou stížnosti, že přestal fungovat podpis datovou schránkou.

2. Microsoft Defender SmartScreen

SmartScreen kontroluje navštívené weby a stahované soubory proti databázi známých phishingových a škodlivých stránek. Ve výchozím stavu je zapnutý, ale uživatel může varování přeskočit. Podrobnosti popisuje dokumentace Microsoftu k SmartScreen v Edge.

• SmartScreenEnabled – zapnout a zamknout, aby ho uživatel nemohl vypnout.
• PreventSmartScreenPromptOverride – uživatel nemůže varování před škodlivým webem obejít.
• PreventSmartScreenPromptOverrideForFiles – totéž pro stahované soubory.
• SmartScreenPuaEnabled – blokuje potenciálně nežádoucí aplikace.

Navíc doporučujeme zapnout TyposquattingCheckerEnabled. Ta upozorní, když uživatel zadá adresu s překlepem, například podvodnou kopii vaší banky.

3. Ukládání hesel

Pokud firma používá dedikovaného správce hesel, vypněte vestavěný správce hesel v Edge zásadou PasswordManagerEnabled. Hesla pak nebudou rozházená na dvou místech. Proč se firemní správce hesel vyplatí, rozebíráme v článku jak vybrat firemní password manager.

Pokud dedikovaný správce nemáte, je ukládání hesel v pracovním profilu Edge pořád lepší než hesla v sešitě nebo v soukromém Chromu. Klíčové je, aby se ukládala do pracovního profilu a synchronizovala s firemním účtem, ne s osobním.

4. Přihlášení a pracovní profil

• BrowserSignin – vynutí přihlášení do prohlížeče pracovním účtem.
• RestrictSigninToPattern – povolí přihlášení jen účty s firemní doménou, například .*@vasefirma.cz.
• NonRemovableProfileEnabled – pracovní profil nejde z prohlížeče odebrat.
• InPrivateModeAvailability – volitelně zakáže anonymní okna, ve kterých neplatí část zásad.

Výsledkem je, že firemní data zůstávají ve firemním profilu. Při odchodu zaměstnance stačí zablokovat jeho účet a k uloženým heslům ani historii se už nedostane.

5. Stahování a nebezpečné soubory

Zásada DownloadRestrictions umí zablokovat stažení souborů, které SmartScreen vyhodnotí jako nebezpečné. Pro malou firmu je rozumná hodnota „blokovat nebezpečné soubory“. Doplňuje tak pravidla ASR v Microsoft Defenderu, která zastaví spuštění škodlivého obsahu, i kdyby se ke stažení dostal.

6. Aktualizace

Edge se aktualizuje sám, ale ne vždy hned. Uživatelé nechávají prohlížeč otevřený celé týdny a nová verze se nenačte. Zásada RelaunchNotification s hodnotou „vyžadováno“ a RelaunchNotificationPeriod donutí prohlížeč restartovat do několika dnů po vydání aktualizace. Aktualizace samotných Windows řeší samostatně update rings v Intune.

Jak nastavit správu Edge v Intune krok za krokem

Celé nastavení zvládnete za jedno dopoledne. Postup, který používáme u klientů, vychází z oficiálního návodu ke konfiguraci Edge přes Intune.

1. Zmapujte současný stav. Zjistěte, jaké prohlížeče lidé používají a jaká rozšíření mají nainstalovaná. Často zjistíte, že polovina firmy pracuje v Chromu se soukromým účtem Google.
2. Nastavte Edge jako výchozí prohlížeč. V Intune to jde přes konfigurační profil s výchozími asociacemi aplikací. Uživatelům vysvětlete proč – nejde o zákaz Chromu kvůli rozmaru, ale o ochranu firemních dat.
3. Použijte bezpečnostní standard pro Edge. V Intune otevřete Zabezpečení koncového bodu → Standardní hodnoty zabezpečení → Security Baseline for Microsoft Edge. Microsoft v něm připravil doporučené hodnoty, jejichž přehled najdete v seznamu nastavení bezpečnostního standardu Edge.
4. Vytvořte vlastní profil v katalogu nastavení. V části Zařízení → Konfigurace → Vytvořit → Katalog nastavení vyhledejte kategorii Microsoft Edge a přidejte zásady pro rozšíření, hesla a přihlášení. Jak katalog funguje obecně, vysvětlujeme v článku o konfiguračních profilech v Microsoft Intune.
5. Otestujte na pilotní skupině. Profil nejprve přiřaďte dvěma nebo třem lidem z různých oddělení. Týden sledujte, co jim přestalo fungovat.
6. Rozšiřte na celou firmu. Po úpravě seznamu povolených rozšíření přiřaďte profil všem zařízením. Výsledek ověříte na počítači uživatele na adrese edge://policy.

Edge na mobilních telefonech

Firemní e-mail a dokumenty dnes lidé otevírají hlavně v telefonu. Edge pro iOS a Android lze spravovat i na soukromých telefonech, které firma nevlastní.

Klíčem jsou zásady ochrany aplikací. Ty určí, že firemní odkazy se otevírají jen v Edge, že z něj nejde kopírovat data do soukromých aplikací a že při odchodu zaměstnance se firemní data z telefonu smažou. Podrobný postup najdete v článku o zásadách ochrany aplikací (MAM) v Intune. Pro soukromé telefony je to šetrnější cesta než plná správa zařízení.

Co s Chromem a dalšími prohlížeči

Google Chrome lze přes Intune spravovat také – stačí importovat jeho šablony ADMX. Dvě sady zásad pro dva prohlížeče ale znamenají dvojnásobek práce a dvojnásobek míst, kde může vzniknout díra.

Pro malou firmu proto doporučujeme sjednotit se na jednom prohlížeči. Edge má v prostředí Microsoft 365 jasné výhody:

• Funguje s ním bez dalších doplňků podmíněný přístup v Microsoft 365.
• Ochrana před únikem dat (Endpoint DLP) v něm funguje nativně, bez doplňku.
• Je předinstalovaný ve Windows, takže odpadá nasazování.
• Pracovní a osobní profil jsou oddělené už z principu.

Ostatní prohlížeče pak můžete omezit. Nemusíte je hned zakazovat, stačí jim přes podmíněný přístup neumožnit přístup k firemním datům bez spravovaného zařízení.

Nejčastější chyby při nasazení

• Blokace rozšíření bez inventury. Zakážete vše a ráno nefunguje podpisový nástroj, překladač ani správce hesel. Seznam povolených rozšíření připravte předem.
• Zásady jen pro Edge, ostatní prohlížeče volné. Uživatel přejde do Chromu a všechna opatření obejde.
• Synchronizace do osobního účtu. Bez omezení přihlášení na firemní doménu odcházejí firemní hesla s bývalými zaměstnanci.
• Nekontrolovaná oprávnění aplikací. Rozšíření v prohlížeči je jen jedna cesta. Stejně nebezpečné jsou aplikace připojené k Microsoft 365, o kterých píšeme v článku o souhlasech s aplikacemi v Entra ID.
• Žádná komunikace s uživateli. Krátký e-mail s vysvětlením, co se mění a proč, ušetří desítky dotazů.

Časté otázky

Musí mít firma Intune, aby mohla spravovat Edge?

Nemusí. Základní zásady lze nastavit i přes službu pro správu Edge v centru pro správu Microsoft 365. Intune je ale součástí licence Microsoft 365 Business Premium a nabízí plnou kontrolu včetně bezpečnostního standardu a mobilních zařízení.

Kolik stojí Microsoft Edge for Business?

Edge for Business je zdarma. Je součástí Windows a firemní funkce se aktivují po přihlášení pracovním účtem. Platíte jen za nástroj pro správu, typicky Intune v rámci Microsoft 365 Business Premium.

Uvidí firma soukromou historii zaměstnance?

Ne. Zásady se vztahují na pracovní profil a správce prostřednictvím Intune historii prohlížení nevidí. Osobní profil zůstává oddělený a soukromý.

Jak zjistím, které zásady se na počítači skutečně uplatnily?

Na počítači uživatele otevřete v Edge adresu edge://policy. Zobrazí se seznam všech aktivních zásad, jejich hodnoty a zdroj. V Intune pak stav nasazení profilu vidíte u každého zařízení.

Můžeme zakázat všechna rozšíření kromě schválených?

Ano. Zásadou ExtensionInstallBlocklist s hodnotou hvězdička zablokujete všechna rozšíření a zásadou ExtensionInstallAllowlist povolíte jen ta schválená. Nutná rozšíření lze uživatelům nainstalovat automaticky zásadou ExtensionInstallForcelist.

Závěr: prohlížeč patří pod správu stejně jako počítač

Firmy dnes běžně šifrují disky, aktualizují Windows a mají antivirus. Prohlížeč, ve kterém se odehrává většina práce, ale nechávají bez pravidel. Správa prohlížeče Microsoft Edge přes Intune přitom nic nestojí navíc, pokud už máte Microsoft 365 Business Premium. Za jedno dopoledne zablokujete nebezpečná rozšíření, zamknete ochranu před phishingem a oddělíte firemní data od soukromých.

Nechcete zásady ladit sami? V rámci správy firemního IT vám Edge nastavíme, otestujeme na pilotní skupině a nasadíme bez výpadku práce. Ozvěte se nám a domluvíme bezplatnou konzultaci.