Jaké jsou vaše bezpečnostní slabiny? Audity fyzické i kybernetické ochrany

Mnoho organizací řeší jednotlivá bezpečnostní opatření: kamerové systémy, vstupní karty nebo interní pravidla. Samostatná opatření ale ještě netvoří funkční bezpečnostní systém. Bezpečnostní audit prověří, zda technické zabezpečení, připravenost personálu a krizové postupy fungují dohromady. Nehledá jen problémy. Vedení z něj získá přehled o rizicích, prioritách a konkrétních krocích. V GBH Academy provádíme audit fyzické i kybernetické bezpečnosti. Oba ukážou, jak je vaše organizace připravená na krizové situace.

Audit fyzické bezpečnosti

Audit se zaměřuje na měkké cíle, tedy objekty, kde se pohybuje hodně lidí a kde je ochrana slabá. Patří mezi ně školy, úřady, nemocnice, velké firmy, sociální služby, kulturní a sportovní zařízení. Jak zranitelné tyto objekty jsou, ukázaly v posledních letech i útoky v České republice: střelba na Filozofické fakultě Univerzity Karlovy a na úřadě v Chřibské.

Plošná zákonná povinnost zavést konkrétní bezpečnostní opatření zatím neexistuje. Přibývá ale doporučených standardů, které určují, jakou úroveň zabezpečení se od organizací očekává. Vedení firem a institucí proto neřeší jen ochranu osob, ale také vlastní odpovědnost a připravenost na hrozby.

Co audit přinese?

Audit fyzické bezpečnosti je nezávislé posouzení, jak je objekt připravený na závažný násilný útok. Slabá místa nejen najdeme, ale ke každému navrhneme konkrétní opatření. Místo obecných doporučení dostanete plán s prioritami, harmonogramem a odhadem nákladů.

Audit odpovídá na otázky, které si vedení často položí až v krizové situaci. Jak je objekt připravený na závažný útok? Kudy se dá dostat do budovy a jak se řídí vstup osob? Jak by personál zvládl první minuty, než dorazí policie? Kolik budou opatření stát a jak je rozvrhnout v čase? Se závěrečnou zprávou může pracovat ředitel, starosta, vedení firmy i provozní manažer.

Jaké jsou fáze auditu?

Posouzení má několik navazujících kroků. Nejdřív analyzujeme objekt a jeho okolí, možné zdroje hrozeb a způsoby útoku. Pak objekt fyzicky prověříme: režim vstupu osob, vnitřní prostory, připravenost na vnitřní evakuaci a technologie, jako jsou kamery a elektronické zabezpečovací systémy.

Stejnou váhu má lidský faktor. Posuzujeme, jak jsou zaměstnanci proškolení, zda existují krizové plány, jak funguje varování a jak je nastavená spolupráce se složkami integrovaného záchranného systému. Výstupem je bezpečnostní plán s doporučenými kroky, harmonogramem a postupy pro mimořádné situace.

Na audit může navázat nácvik modelových situací. Na školení Aktivní útočník si personál v kontrolovaném prostředí vyzkouší, jak v krizi reagovat, a ověří, že postupy fungují. Tým, který postup nacvičil, pak reaguje rychleji a koordinovaněji i ve skutečné situaci.

Audit zajišťují experti z praxe

Analýzu zpracovává Lumír Němec, Bezpečnostní ředitel skupiny GBH. Přes deset let sloužil u URNA, poté velel Útvaru speciálních operací (SOG) Vojenské policie a absolvoval mise v Iráku, Kosovu a Afghánistánu. Další členové týmu jsou bývalí příslušníci Armády a Policie ČR s praxí v ochraně osob a objektů, v řešení krizových situací a v reakci na bezpečnostní incidenty.

Posouzení vychází z metodiky Ministerstva vnitra ČR, normy ČSN 73 4400 a postupů ověřených v praxi. Doporučení proto stojí na zkušenostech z prostředí, kde o výsledku rozhoduje rychlost a to, zda opatření skutečně fungují.

Audit kybernetické bezpečnosti

Kybernetická bezpečnost nepatří jen do IT oddělení. Je součástí řízení celé organizace, protože na datech, přístupech, e-mailu a cloudových systémech stojí každodenní provoz. Co se stane, když uniknou přístupové údaje, někdo napadne e-mailovou schránku nebo zašifruje data, bez kterých nemůžete pracovat? A máte postupy, podle kterých tým v takové situaci jedná bez improvizace?

Většina kybernetických incidentů nevzniká selháním technologií. Příčinou bývají špatně nastavené procesy, slabá místa v přístupech nebo lidská chyba. Antivir a základní IT zabezpečení proto nestačí. Organizace potřebuje vědět, jak dobře jsou chráněné její systémy, data i lidé.

V čem je audit užitečný?

Kybernetický audit GBH Academy prověří, jak organizace nakládá s daty, přístupy, systémy a dodavateli a jak je připravená na současné kybernetické hrozby. Výsledkem je přehled rizik a konkrétní doporučení.

Audit také určí, jak se na organizaci vztahuje nový zákon o kybernetické bezpečnosti. Zákon stanovuje povinnosti poskytovatelům regulovaných služeb a zavádí dva stupně požadavků na zabezpečení. Pro řadu organizací je audit proto i otázkou souladu se zákonem. Často ho vyžadují také pojišťovny při sjednání kyberpojistky nebo zadavatelé veřejných zakázek.

Z čeho se audit skládá?

Analýza má tři kroky. Nejdřív určíme, do jaké úrovně regulace organizace spadá a co musí splnit. Potom podrobně porovnáme požadovaný stav se skutečným provozem: správu identit a přístupů, práci s hesly, vícefaktorové ověřování, zabezpečení e-mailové komunikace, zálohování, vzdálený přístup a nakládání s citlivými daty. Prověříme i dodavatele externích služeb, kteří bývají nejslabším článkem zabezpečení.

Třetím krokem je plán, který převede zjištěná rizika na konkrétní úkoly: co udělat hned, co v následujících měsících a co dlouhodobě. Připravíme také podklady, které vyžaduje legislativa, například bezpečnostní pravidla a interní směrnice. Můžete je rovnou použít nebo předat odpovědným týmům.

Audit řeší i to, kdo v organizaci za kybernetickou bezpečnost odpovídá. Tyto role musí být jasně určené a obsazené. Pokud je nemáte kým obsadit, mohou je převzít odborníci GBH Academy. Bezpečnost pak nestojí jen na papíře, ale funguje v provozu.

Kdo vaši kybernetickou bezpečnost posoudí?

Audit provádějí odborníci z velkých technologických firem a bývalí členové zpravodajských služeb. Mají zkušenosti s obranou proti obchodní a průmyslové špionáži, odposlechům a sledování elektronické komunikace. Splňují zákonné požadavky na kvalifikaci, praxi a nezávislost. Jejich odbornost dokládají certifikace Národního úřadu pro kybernetickou a informační bezpečnost (NÚKIB) a akreditovaného certifikačního orgánu TAYLLORCOX. Při auditu spojují požadavky zákona se zkušenostmi z reálných bezpečnostních incidentů.

Bezpečnost se nedá vyřešit jednou provždy. Je potřeba ji pravidelně ověřovat a upravovat podle aktuálních rizik. Audit fyzické i kybernetické bezpečnosti vám ukáže, kde vaše organizace dnes stojí, která rizika podceňuje a čím začít. Tým GBH Academy má za sebou zakázky pro více než tisíc organizací z různých oborů a zkušenosti z nich uplatňuje v každém dalším auditu. Celou nabídku krizové připravenosti najdete na webu GBH Academy. Sledovat nás můžete také na Facebooku, Instagramu a TikToku.