Řízení rizik a souladu

Riziko vede k opatření, opatření se prokazuje při auditu a jeho část leží na dodavateli. Dokud tyhle věci žijí v oddělených tabulkách, úřad na kontrolní otázku neodpoví — a přitom přijde jako první: čím konkrétně je dané riziko ošetřené a kdo to ověřil.

V odborné literatuře i v nabídkách dodavatelů se téhle oblasti říká GRC, z anglického governance, risk and compliance. Podstatné není to slovo, ale myšlenka za ním: tři věci, které nejdou řešit odděleně.

Tři písmena, jedna otázka

Zkratka zní technokraticky, ale každé písmeno odpovídá na věc, kterou po úřadu žádá kontrola — jen jinou část téže otázky.

G

Řízení a odpovědnost

Kdo o bezpečnosti rozhoduje, kdo ji vykonává a jak se o stavu dozví vedení. Bez určení odpovědné osoby nemá zbytek koho zavazovat.

governance
R

Řízení rizik

Co se může stát, jak zle by to dopadlo a co s tím úřad dělá. Riziko není pocit — má dopad, pravděpodobnost, vlastníka a opatření.

risk
C

Soulad a jeho doložení

Čím úřad prokáže, že opatření nejen vymyslel, ale i zavedl a ověřil. Tady kontroly nacházejí nejvíc nedostatků.

compliance

Riziko není pocit, je to souřadnice

Dokud se o riziku mluví slovy „hodně" a „málo", nejde se na něm dohodnout ani ho porovnat s jiným. Každé riziko proto dostává dvě hodnoty — jak zlé by to bylo a jak je to pravděpodobné — a tím získá místo v matici. Teprve pak dává smysl řešit, které z nich je na řadě.

Dopad
Výpadek spisové služby
Vysoký
Nefunkční obnova ze zálohy
Střední
Únik osobních údajů
Nízký
Ztráta notebooku
Zanedbatelný
Pravděpodobnost Velmi nízkáNízkáStředníVysokáVelmi vysoká

Škála i počet stupňů nejsou vyhláškou předepsané — nastavují se podle velikosti úřadu. Podstatné je, aby se používaly stejně pořád a aby šlo dohledat, proč dané riziko sedí zrovna tam, kde sedí.

Výše uvedená rizika jsou ilustrativní příklady, ne výstup konkrétní organizace.

Od rizika k doloženému opatření

Tohle je celý cyklus. Kontrola se neptá jen na první krok, ale hlavně na třetí a čtvrtý — a právě ty bývají nedohledatelné.

1

Poznat riziko

Riziko se váže na konkrétní aktivum — server, agendu, dodavatele. Ne na obecnou kategorii, ke které se nikdo nehlásí.

2

Zvolit opatření

Ke každému riziku patří opatření, termín a osoba, která za něj odpovídá. Bez těchto tří údajů je to přání, ne opatření.

3

Doložit zavedení

Směrnice s dokladem o seznámení, zápis o testu obnovy, protokol o školení. Doklad, ne tvrzení.

4

Ověřit a přezkoumat

Jednou ročně se přehled opatření aktualizuje a vyhodnotí jejich účinnost. Závěry se vrací do prvního kroku.

Co v téhle oblasti vedeme za vás

Čtyři evidence, které spolu souvisí. Každý záznam ví, odkud vzešel a čím je doložený.

Registr rizik

Riziko se váže na konkrétní server, agendu nebo dodavatele — a proto je vidět, koho a čeho se týká. Změna hodnocení si nechává stopu, takže jde doložit i to, jak se pohled na riziko v čase vyvíjel.

  • Hodnocení podle dopadu a pravděpodobnosti s historií změn
  • Vazba na aktiva, systémy ISVS a odpovědné osoby
  • U každého rizika opatření, kterými se snižuje
Registr rizik
Výpadek spisové službyVysoká
Únik osobních údajůStřední
Nefunkční obnova ze zálohyStřední
Ztráta notebookuNízká

Přehled bezpečnostních opatření

V nižším režimu je to nejtvrdší doložitelný artefakt, který po úřadu vyhláška chce. Každé opatření má stav, popis zavedení, a pokud zavedené není, tak termín, prioritu a odpovědnou osobu — nebo odůvodnění, proč zavedeno nebylo.

  • Stavy přesně dle vyhlášky: zavedeno / v procesu / nezavedeno
  • Roční aktualizace včetně vyhodnocení účinnosti
  • Historie přehledů — vyhláška je žádá uchovávat čtyři roky

§ 3 odst. 2 a příloha č. 1 vyhlášky č. 410/2025 Sb.

Opatření dle přílohy č. 1
Řízení přístupů a heselZavedeno
Zálohování a obnovaZavedeno
Řízení dodavatelůV procesu
Detekce škodlivého kóduNezavedeno

Audity a jejich zjištění

Z auditu nemá vzniknout jen zpráva do šanonu. Každé zjištění má vypořádání a jedním krokem z něj založíte nápravné opatření, které se zařadí mezi ostatní a dál se sleduje se svým termínem.

  • Zjištění se stavem vypořádání a termínem
  • Nápravné opatření vzniká přímo ze zjištění
  • Podklady pro roční přezkum na jednom místě
Zjištění z auditu
Chybí záznam o testu obnovyNápravné opatření
Přístupy po ukončení spolupráceOtevřeno
Směrnice bez dokladu o seznámeníVypořádáno

Dodavatelé a jejich přístup

Většinu IT dnes provozuje někdo zvenku a jeho problém je i váš. U každého dodavatele proto evidujeme jednotlivé přístupy — vzdálené i fyzické — včetně toho, kdy mají skončit a kdo doloží, že skutečně skončily.

  • Čtrnáct smluvních ustanovení dle přílohy č. 2, u každého stav
  • Vzdálená správa i fyzický vstup do serverovny či spisovny
  • Konec smlouvy značí přístupy k odebrání

Příloha č. 2 vyhlášky č. 410/2025 Sb. (ve vyšším režimu příloha č. 5 vyhlášky č. 409/2025 Sb.)

Přístupy dodavatelů
Správce sítě — VPN do vnitřní sítěTrvalý, administrátorský
Správce sítě — klíč od serverovnyBez doprovodu
Dodavatel spisové služby — vzdálená správaNa vyžádání
Bývalý dodavatel webu — účetK odebrání

O co se to opírá v předpisech

Nic z toho si nevymýšlíme. Níže je, kde přesně to v nižším režimu stojí — abyste si to mohli ověřit sami.

§ 3 odst. 2 · příloha č. 1

Přehled bezpečnostních opatření

Povinná osoba stanoví přehled všech opatření — zavedených, plánovaných i nezavedených včetně odůvodnění. Aktualizuje ho a dokumentuje alespoň jednou ročně včetně vyhodnocení účinnosti a jednotlivé přehledy uchovává nejméně čtyři roky.

§ 3 odst. 5 · příloha č. 2

Smlouvy s dodavateli

Při uzavírání smlouvy úřad zohlední hrozby a zranitelnosti spojené s dodavatelem i kvalitu jeho postupů a zajistí, aby smlouva obsahovala relevantní ujednání z přílohy č. 2 — od mlčenlivosti přes právo auditu a řetězení subdodavatelů po exit strategii.

§ 7 odst. 1

Přístupy a jejich přezkum

Práva se přidělují na úroveň nezbytně nutnou, pravidelně se přezkoumávají a při ukončení nebo změně smluvního vztahu, na jehož základě přístup vznikl, se účet deaktivuje a práva bezodkladně odeberou.

§ 14

Kdy je dopad významný

Úřad si sám stanoví únosnou míru újmy a oblasti pro posouzení dopadu. Bez toho nelze rozhodnout, zda se incident hlásí NÚKIB — a rozhodovat se to musí v hodinách, ne dnech.

Ve vyšším režimu (vyhláška č. 409/2025 Sb.) je táž agenda formálnější — rozdíl není ani tak v opatřeních jako v míře jejich doložení. Do kterého režimu spadáte, s vámi rádi posoudíme.

Začneme tím, co už máte

Na bezplatné konzultaci projdeme, co už je zavedené a čím to jde doložit. Teprve pak má smysl bavit se o tom, co chybí.

Nezávazná konzultace