Řízení bezpečnosti

Verze: 1.0 | Efektivní od: 1. ledna 2026

1. Účel

Tato směrnice definuje pravidla pro řízení kybernetické bezpečnosti v souladu s NIS2 a Zákonem o kybernetické bezpečnosti.

2. Scope

Směrnice se vztahuje na:

Všechny informační systémy
Všechny zaměstnance a kontraktory
Všechny vendor s přístupem k systémům
Fyzickou bezpečnost ICT

3. ISMS (Information Security Management System)

3.1 Struktura ISMS

4. Asset Management

4.1 Asset Inventory

Každé aktivum musí být zdokumentováno:

Pole	Popis
Asset ID	Unikátní identifikátor
Název	Popisný název
Typ	Hardware / Software / Data / Service
Zodpovědná osoba	Kdo je zodpovědný
Kritičnost	Critical / High / Medium / Low
Location	Fyzická/logická lokace
Classification	Confidential / Internal / Public

4.2 Kritičnost aktiv

Level	Definice	RTO	RPO
Critical	Výpadek = business stop	<4h	<1h
High	Významný dopad na business	<8h	<4h
Medium	Omezený dopad	<24h	<8h
Low	Minimální dopad	<72h	<24h

5. Technical Controls

5.1 Povinné kontroly

Control	Požadavek	Status
Encryption at rest	AES-256 pro všechna data	Required
Encryption in transit	TLS 1.3 pro všechna API	Required
Access Control	MFA + RBAC	Required
Patch Management	Critical <7 dní, High <30 dní	Required
Logging	Centrální SIEM, 1 rok retention	Required
Backup	Daily, testováno měsíčně	Required
Firewall	Perimeter + internal	Required
Antimalware	Endpoint protection	Required
IDS/IPS	Network intrusion detection	Recommended
DLP	Data Loss Prevention	Recommended

5.2 Encryption Standards

Typ	Algoritmus	Key Length
Symmetric	AES	256-bit
Asymmetric	RSA	4096-bit
Hashing	SHA	256-bit+
TLS	1.3	N/A

5.3 Access Control

Access Control Principles:

Least Privilege - minimální nutná práva
Need-to-Know - přístup pouze k potřebným datům
Separation of Duties - rozdělení odpovědností
MFA - pro všechny admin účty
Regular Review - čtvrtletní audit přístupů

6. Organizational Controls

6.1 HR Security

Fáze	Kontrola
Před nástupem	Background check (dle pozice)
Onboarding	NDA, Security training, Policy acknowledgment
Během zaměstnání	Regular training, Access reviews
Offboarding	Access removal (24h), Device return, Exit interview

6.2 Training Requirements

Role	Školení	Frekvence
All employees	Security awareness	Ročně
All employees	Phishing simulation	Čtvrtletně
IT staff	Technical security	Pololetně
Developers	Secure coding	Pololetně
Management	Security governance	Ročně

7. Physical Security

7.1 Zóny bezpečnosti

Zóna	Popis	Přístup
Public	Recepce, lobby	Bez omezení
Office	Kanceláře	Badge + PIN
Restricted	Server room, DC	Badge + PIN + biometrics
Highly Restricted	HSM, key storage	Dual control

7.2 Data Center Security

8. Vulnerability Management

8.1 Scanning Schedule

Typ	Frekvence	Scope
Network scan	Týdně	All subnets
Vulnerability scan	Měsíčně	All systems
Web app scan	Měsíčně	All web apps
Penetration test	Ročně	Full scope

8.2 Patch Management SLA

Severity	SLA	Approval
Critical	7 dní	Emergency change
High	30 dní	Standard change
Medium	90 dní	Standard change
Low	Next release	Standard change

9. Business Continuity

9.1 BCM Components

Component	Popis
BIA	Business Impact Analysis
BCP	Business Continuity Plan
DRP	Disaster Recovery Plan
IRP	Incident Response Plan
CMP	Crisis Management Plan

9.2 Recovery Objectives

Systém	RTO	RPO
Production DB	4h	1h
Web services	2h	1h
Email	8h	4h
Internal apps	24h	8h

9.3 Testing Schedule

Test	Frekvence
Backup restoration	Měsíčně
Failover test	Čtvrtletně
DR drill	Pololetně
Full BCP test	Ročně

10. Vendor Security

10.1 Vendor Assessment

Před onboardingem vendor s přístupem k datům:

10.2 Ongoing Monitoring

Aktivita	Frekvence
Security review	Ročně
Access audit	Čtvrtletně
Incident review	Při incidentu
Contract review	Při renewal

11. Audit & Compliance

11.1 Audit Schedule

Typ	Frekvence	Scope
Internal audit	Čtvrtletně	Rotující oblasti
External audit	Ročně	Full ISMS
Compliance check	Pololetně	NIS2, GDPR
Penetration test	Ročně	Full scope

11.2 Certifikace

Certifikace	Status	Platnost
ISO 27001	Target	Q3 2026
SOC 2 Type II	Optional	–

12. Metrics & KPIs

KPI	Target	Měření
Patch compliance	>95%	Měsíčně
Vulnerability remediation	<30 dní (high)	Měsíčně
Security training completion	100%	Čtvrtletně
Incident response time	<4h (critical)	Při incidentu
MFA adoption	100% (admin)	Měsíčně

13. Policy Review

Měsíčně: Security metrics review
Čtvrtletně: Policy effectiveness review
Ročně: Full policy review + CISO approval

Příští revize: Q2 2026