Bezpečnost a technická posouzení

Co konkrétně děláme

1. 01

   Technické posouzení

   Projdeme skutečný stav systémů, ne jen dokumentaci, a nálezy seřadíme podle rizika a pracnosti. Výstupem je zpráva a stručný plán: co řešit hned, co později a co přijmout jako riziko. Posuzujeme:

   • účty, oprávnění a přístupy, včetně dodavatelů a servisních účtů
   • síť a služby dostupné z internetu
   • stav aktualizací systémů a aplikací a známé zranitelnosti
   • logování, monitoring a upozornění
   • zálohy a plán obnovy
   • nastavení cloudu: oprávnění (IAM), veřejně dostupná úložiště, šifrování
   • vývoj a nasazování: CI/CD, hesla a klíče (secrets), závislosti a jejich zranitelnosti
2. 02

   Účty a přístupy

   Kdo se kam dostane a s jakými právy. Cílem je, aby každý přístup měl jméno a důvod a dal se rychle odebrat. Zavádíme:

   • osobní účty místo sdílených a jednotné přihlášení (SSO) tam, kde to systémy umožňují
   • vícefaktorové přihlášení (MFA), povinně pro administrátory, e-mail a vzdálený přístup
   • oprávnění jen v nutném rozsahu (least privilege) a oddělené administrátorské účty
   • privilegovaný přístup jen na dobu nezbytně nutnou a se záznamem zásahů
   • postup pro nástup a odchod lidí i dodavatelů: přístup se přidělí i odebere podle procesu
   • pravidelnou kontrolu, kdo má jaký přístup, a rušení nepoužívaných účtů
   • hesla a klíče ve správci hesel nebo v trezoru, ne v dokumentech a e-mailech
3. 03

   Síť

   Aby zvenku bylo vidět jen to, co vidět má, a problém v jedné části nezasáhl ostatní. Zavádíme:

   • přehled všeho, co je dostupné z internetu, a uzavření toho, co tam být nemusí
   • rozdělení sítě do zón (například produkce, správa, kancelář, hosté) a pravidla mezi nimi
   • vzdálený přístup přes VPN nebo zero-trust přístup, ne přes otevřené porty
   • šifrovanou komunikaci (TLS) i mezi vnitřními službami
   • ochranu webových služeb (WAF, omezení počtu požadavků) tam, kde dává smysl
4. 04

   Logování a detekce

   Bez záznamů nejde incident včas odhalit ani zpětně vyšetřit. Zavádíme:

   • centrální sběr logů přihlášení, administrátorských změn a bezpečnostních událostí
   • upozornění na podezřelé události, například neobvyklá přihlášení nebo změny oprávnění
   • uchování logů po dohodnutou dobu, chráněných proti smazání
   • postup pro incident: kdo co dělá, koho informovat a jak incident nahlásit, pokud se vás týká NIS2
5. 05

   Zálohy a obnova

   Funkčnost záloh prokazuje až zkušební obnova. Zavádíme:

   • zálohy oddělené od produkce a chráněné proti přepsání a smazání
   • kopii mimo hlavní prostředí, například u jiného poskytovatele
   • pravidelné zkušební obnovy celé služby, ne jen jednoho souboru
   • známou dobu obnovy a maximální ztrátu dat (RTO, RPO), domluvené s vedením
6. 06

   Nápravná opatření

   Opatření zavedeme podle priorit v infrastruktuře i ve vývojových procesech a každé ověříme, například zkušební obnovou nebo kontrolou přístupů. Navrhujeme je tak, aby nebránila běžné práci. Typicky jde o:

   • záplaty a aktualizace podle priority
   • zrušení starých účtů a přístupů bývalých dodavatelů
   • bezpečné nastavení systémů a cloudu (hardening)
   • šifrování dat při přenosu i při uložení
7. 07

   Podklady pro audity a NIS2

   Technické podklady, které dokládají, že zavedená opatření fungují. Hodí se pro audit, pro ISO 27001 i pro povinnosti podle NIS2. Obsahují:

   • přehled zavedených opatření a čím se dokládají
   • kdo za co odpovídá
   • záznamy o zkouškách obnovy, kontrolách přístupů a aktualizacích
   • průběžné hlídání stavu, aby podklady nezastaraly