Jeden neznámý USB disk zapojený do firemního notebooku stačí k tomu, aby se do sítě dostal malware, nebo naopak z firmy odešel celý adresář zákazníků. Blokace USB disků přes Microsoft Intune (device control v Microsoft Defenderu) to řeší elegantně: výměnná média můžete zakázat úplně, povolit jen pro čtení, nebo pustit jen konkrétní firemní šifrované disky. V tomto návodu ukazujeme, jak blokaci USB disků nastavit v malé firmě krok za krokem, bez toho, aby se zastavila práce účtárny nebo obchodníků.

Proč řešit USB disky v roce 2026

Většina firem dnes data sdílí přes OneDrive a SharePoint, takže USB disk už pro běžnou práci skoro nikdo nepotřebuje. Přesto zůstává otevřenou cestou pro dvě nejčastější rizika: zavlečení škodlivého kódu a nekontrolovaný únik dat.

Americká agentura CISA upozorňuje, že útočníci záměrně nechávají infikované flash disky na parkovištích nebo je rozdávají jako reklamní předměty. Stačí, aby je zvědavý zaměstnanec zapojil. Druhým rizikem je odcházející zaměstnanec, který si „pro jistotu“ zkopíruje ceník, nabídky a kontakty na vlastní disk.

Proto mezi základní bezpečnostní kontroly patří i řízení výměnných médií. Například CIS Control 10 (Malware Defenses) výslovně doporučuje vypnout automatické spouštění z výměnných médií a média při připojení automaticky kontrolovat.

Co je device control a co umí

Device control je funkce Microsoft Defenderu, která určuje, jaká periferní zařízení smí uživatel na počítači používat a jakým způsobem. Na rozdíl od starého „vypnout USB porty v BIOSu“ pracuje jemně: myš, klávesnice i nabíjení telefonu fungují dál, omezíte jen to, co je skutečně rizikové.

Podle dokumentace Microsoftu umí device control řídit tyto skupiny zařízení:

• Výměnná média – USB flash disky, externí disky, paměťové karty.
• CD/DVD mechaniky.
• Přenosná zařízení Windows (WPD) – typicky telefony připojené v režimu přenosu souborů.
• Tiskárny.

U každé skupiny můžete nastavit oprávnění odděleně pro čtení, zápis a spouštění. Navíc lze pravidla cílit na skupiny uživatelů z Entra ID, takže účetní může mít jiný režim než skladník.

Co potřebujete za licence

Device control je součástí Microsoft Defender for Business, Defender for Endpoint Plan 1 i Plan 2. Pro správu přes Intune potřebujete i licenci Intune. Microsoft 365 Business Premium obsahuje obojí, takže většina malých firem, které spravujeme, nemusí nic dokupovat. Počítače musí být zaregistrované v Intune a onboardované do Defenderu.

Tři úrovně ochrany: od mírné po přísnou

Než začnete klikat, rozhodněte se, jaký režim firma potřebuje. V praxi se osvědčily tři úrovně:

1. Jen pro čtení pro všechny. Zaměstnanci si mohou z USB disku otevřít podklady od klienta, ale nic na něj nezapíšou. Chrání proti úniku dat, ne proti malwaru.
2. Zápis jen na šifrované disky. Na USB lze zapisovat pouze, pokud je chráněný přes BitLocker To Go. Pokud disk ztratíte, data jsou v bezpečí. Navazuje na náš návod BitLocker přes Intune.
3. Zákaz všech disků kromě schválených. Výchozí stav je „odepřít“, výjimku mají jen konkrétní firemní disky podle sériového čísla nebo výrobce. Ideální pro firmy s citlivými daty.

Pro většinu firem do 50 lidí doporučujeme začít úrovní 1 a pro vedení nebo účtárnu přidat úroveň 2, tedy zápis jen na firemní šifrované disky.

Postup nastavení v Intune krok za krokem

Device control se v Intune nastavuje přes zásadu zabezpečení koncových bodů typu „Omezení možností útoku“. Microsoft celý postup popisuje v článku Configure device control; níže je zjednodušená verze pro malou firmu.

Krok 1: Zjistěte, jaké disky se ve firmě používají

Nejdřív vytvořte zásadu pouze v režimu auditu. Ta nic neblokuje, jen zaznamenává, kdo a jaký disk připojil. Po dvou týdnech uvidíte v portálu Defender v sekci Reports → Device control, které disky jsou běžně v provozu a kdo je potřebuje. Na tomto základě nastavíte výjimky, místo abyste hádali.

Krok 2: Připravte opakovaně použitelné skupiny

V Intune admin centru otevřete Endpoint security → Attack surface reduction → Reusable settings. Vytvořte dvě skupiny zařízení:

• Všechna výměnná média – podmínka podle typu (Primary ID = RemovableMediaDevices).
• Schválené firemní disky – podmínka podle Vendor ID / Product ID nebo sériového čísla. Hodnoty najdete ve Správci zařízení na kartě Podrobnosti → Cesta k instanci zařízení, případně přímo v auditních záznamech z kroku 1.

Krok 3: Vytvořte zásadu Device Control

V Endpoint security → Attack surface reduction zvolte Create policy, platformu Windows a profil Device Control. V části Device Control přidejte pravidla, například:

• Pravidlo „Čtení USB“ – zahrnuje skupinu Všechna výměnná média, vylučuje Schválené firemní disky. Povolit čtení, odepřít zápis a spouštění, zapnout oznámení uživateli.
• Pravidlo „Firemní disky“ – zahrnuje Schválené firemní disky. Povolit čtení i zápis, auditovat zápis.

Microsoft doporučuje, aby se povolovací a zakazovací pravidla nepřekrývala, proto schválené disky z obecného pravidla výslovně vylučte. Intune totiž nezaručuje pořadí, v jakém se pravidla vyhodnotí.

Krok 4: Doplňte nastavení Windows

Ve stejném profilu najdete i další užitečné volby:

• Allow Full Scan Removable Drive Scanning – Defender při kontrole projde i připojené disky.
• Removable Disk Deny Write Access – jednoduchý globální zákaz zápisu, pokud nepotřebujete výjimky.
• Allow Direct Memory Access / DMA Guard – ochrana proti útokům přes Thunderbolt porty.

Pro jistotu přidejte i pravidlo ASR Block untrusted and unsigned processes that run from USB, které zastaví nepodepsané programy spouštěné z flash disku. Podrobnosti najdete v referenci ASR pravidel a v našem článku ASR pravidla v Microsoft Defenderu.

Krok 5: Pilot a postupné nasazení

Zásadu přiřaďte nejdřív pilotní skupině 2–3 lidí, ideálně včetně někoho z IT a jednoho „náročného“ uživatele. Po týdnu bez problémů ji rozšiřte na celou firmu. Uživatel při zablokování uvidí oznámení s názvem zásady, takže přesně ví, proč disk nefunguje.

Příklad z praxe: účetní kancelář s 12 lidmi

Typická situace, kterou řešíme: účetní kancelář dostává od klientů podklady na flash discích a zároveň pracuje s citlivými mzdovými daty. Úplný zákaz USB disků by zastavil práci, volný režim je naopak zbytečné riziko.

Řešení vypadalo takto:

• Všichni zaměstnanci mají USB disky jen pro čtení. Podklady od klienta otevřou, ale nic na disk nezapíšou a nespustí z něj žádný program.
• Dvě vedoucí účetní mají přidělené firemní šifrované disky, které jsou povolené pro zápis podle sériového čísla. Slouží pro výjimečné předání dat na úřad nebo auditorovi.
• Defender při každém připojení disk automaticky zkontroluje antivirem.
• Klientům kancelář nabídla nahrávání podkladů přes sdílenou složku v SharePointu, takže počet flash disků v oběhu během dvou měsíců výrazně klesl.

Nasazení zabralo zhruba týden včetně auditu a pilotu. Zaměstnanci si stěžovali jen první dva dny, dokud si nezvykli na sdílené složky.

Na co si dát pozor

Nejčastější chyby nevznikají v technice, ale v komunikaci a výjimkách. Z naší praxe stojí za pozornost:

• Tiskárny. Pokud výchozí vynucení přepnete na „Deny“ jinou cestou než přes Intune, zablokujete i tiskárny. Omezte typy chráněných zařízení jen na výměnná média.
• Šifrované disky výrobců. Některé disky (například Kingston s hardwarovým šifrováním) potřebují pro čtení i oprávnění ke spouštění virtuální CD mechaniky. Audit z kroku 1 to odhalí předem.
• Telefony. Nabíjení přes USB funguje dál, ale přenos fotek z telefonu spadá pod WPD zařízení. Rozhodněte, zda ho povolit.
• Kombinace s Group Policy. Pokud je počítač zároveň řízen GPO i Intune, device control použije nastavení z Group Policy. Vyberte jen jednu cestu.
• Lokální administrátoři. Uživatel s admin právy může ochranu obcházet. Device control proto dává smysl hlavně spolu s odebráním lokálních admin práv.

Jak ověřit, že blokace funguje

Na testovacím počítači připojte běžný USB disk a zkuste na něj uložit soubor. Mělo by se objevit oznámení Defenderu a zápis selže. Stav zásady na počítači zkontrolujete v PowerShellu jako administrátor příkazem Get-MpComputerStatus; hodnoty začínající DeviceControl ukazují, kdy se zásada naposledy aktualizovala.

Centrálně pak sledujte report device control v portálu Defender. Ukáže, které disky byly zablokovány, na jakém počítači a u kterého uživatele. Pokud se tam pravidelně objevuje stejný disk stejného člověka, je to signál pro výjimku, nebo pro rozhovor.

Device control jako součást širší ochrany

Blokace USB disků není samostatné řešení. Nejlépe funguje jako jedna vrstva v systému, kde máte šifrované disky, aktuální bezpečnostní standardy v Intune a proškolené zaměstnance. Lidský faktor je přitom klíčový: vysvětlete týmu, proč neznámý disk nemá zapojovat, například v rámci školení kybernetické bezpečnosti.

Pokud firma zpracovává osobní nebo zdravotní údaje, je řízení výměnných médií i dobrým argumentem při auditu GDPR nebo u pojišťovny kybernetických rizik. Doložíte, že data nemohou nekontrolovaně odejít z firmy na flash disku.

Časté otázky

Zablokuje device control i myš a klávesnici?

Ne. Device control řídí jen výměnná média, CD/DVD mechaniky, přenosná zařízení a tiskárny. Myši, klávesnice, headsety i dokovací stanice fungují dál.

Je device control v Microsoft 365 Business Premium?

Ano. Business Premium obsahuje Defender for Business i Intune, takže blokaci USB disků nastavíte bez dalších licencí.

Můžu povolit USB disky jen některým lidem?

Ano. Pravidla lze cílit na skupiny uživatelů v Entra ID nebo povolit konkrétní disky podle sériového čísla či výrobce.

Funguje blokace i na Macu?

Ano, device control podporuje i macOS. Zásada se nasazuje přes Intune nebo Jamf jako konfigurační profil a nastavuje se odděleně od Windows.

Co když zaměstnanec potřebuje nutně předat data klientovi?

Místo flash disku použijte sdílení odkazu z OneDrive nebo SharePointu s expirací. Je to bezpečnější a máte přehled, kdo soubor otevřel.

Shrnutí: blokace USB disků přes Intune během jednoho týdne

Blokace USB disků přes Microsoft Intune patří k nejlevnějším bezpečnostním opatřením, která malá firma může udělat, pokud už má Microsoft 365 Business Premium. Začněte auditem, nastavte režim jen pro čtení, povolte schválené šifrované disky a výsledky sledujte v reportu Defenderu.

Nechcete to nastavovat sami? V IT Doma device control, BitLocker i ostatní zásady Intune nasazujeme v rámci správy IT pro firmy. Ozvěte se nám a domluvíme nezávaznou konzultaci.