Bezpečnostní směrnice: co skutečně potřebujete

Bezpečnostní dokumentace nemusí znamenat desítky směrnic, které nikdo nečte. Důležité je mít pravidla, která organizace skutečně potřebuje – a vědět, kdo za ně odpovídá a zda se podle nich také postupuje.

Mít směrnici ještě neznamená mít zajištěnou bezpečnost

Při budování kybernetické bezpečnosti je snadné začít dokumenty. Najít vzor bezpečnostní politiky, doplnit název organizace, nechat ji schválit a uložit.

Formálně dokument existuje. Otázkou však zůstává, zda popisuje také to, co se v organizaci skutečně děje.

Pokud směrnice říká, že se uživatelská oprávnění pravidelně kontrolují, mělo by být jasné, kdo je kontroluje, jak často a co udělá, když zjistí problém. Pokud plán kontinuity uvádí, že organizace dokáže obnovit důležitou službu, měla by vědět, zda tento postup někdy také vyzkoušela.

Bezpečnostní dokumentace proto nemá být cílem sama o sobě. Má zachycovat pravidla, odpovědnosti a postupy, podle kterých organizace svou bezpečnost skutečně řídí. Tento princip odpovídá také požadavku slovenského zákona o kybernetické bezpečnosti, podle kterého má být schválená bezpečnostní dokumentace aktuální a odpovídat skutečnému stavu.

Nejhorší směrnice není ta krátká. Nejhorší je taková, která popisuje bezpečnost, která v organizaci ve skutečnosti neexistuje.

Kolik směrnic tedy potřebujete?

Univerzální číslo neexistuje.

Menší organizace nemusí mít pro každé bezpečnostní téma samostatný dokument. Související pravidla může spojit do jedné směrnice. Když organizace roste, přibývají systémy, dodavatelé nebo nové povinnosti, může některá témata později oddělit.

Proto je užitečnější ptát se:

„Máme pokrytá pravidla, která potřebujeme?“

než:

„Kolik směrnic musíme mít?“

Praktický začátek: přehled základních oblastí

Pokud menší organizace začíná od nuly, může základní pravidla zpočátku uspořádat například do šesti dokumentů.

1. Bezpečnostní politika a organizace bezpečnosti

Dokument by měl vysvětlit základní pravidla kybernetické bezpečnosti a především to, kdo za co odpovídá.

Kdo řídí bezpečnost? Kdo odpovídá za aktiva a rizika? Kdo schvaluje opatření? Komu se hlásí závažný problém?

Nemusí jít o rozsáhlý dokument. Důležité je, aby byly úkoly a odpovědnosti jasné. Bezpečnost nemůže zůstat pouze na IT. Vedení organizace opatření schvaluje, dohlíží na jejich plnění a nese za ně odpovědnost. V menší firmě to často znamená, že důležitá rozhodnutí, například akceptaci rizika, schvaluje přímo jednatel.

2. Řízení aktiv a rizik

Organizace musí vědět, co chrání.

Na začátku nemusí evidovat každý monitor nebo kabel. Potřebuje však znát své důležité služby, informace, systémy a další aktiva a vědět, kdo za ně odpovídá. Pomůže také jednoduché rozdělení informací podle citlivosti, například na veřejné, interní a důvěrné, aby lidé věděli, jak s nimi zacházet.

Na přehled aktiv navazuje práce s riziky: jak se identifikují a hodnotí, jak se s nimi naloží, kdo odpovídá za opatření a kdo může rozhodnout, že organizace určité riziko akceptuje.

3. Řízení přístupů a bezpečnost provozu

Sem patří pravidla pro přidělování a odebírání přístupů, kontrolu oprávnění, aktualizace systémů, ochranu před škodlivým kódem a další základní pravidla bezpečného provozu.

Patří sem také provádění záloh – co se zálohuje, jak často a kdo za to odpovídá.

To je však něco jiného než otázka, zda se ze zálohy dokážeme skutečně obnovit. K tomu se dostaneme při řízení kontinuity.

4. Řešení bezpečnostních incidentů

Když nastane incident, není vhodná chvíle začít zjišťovat, komu zavolat.

Mělo by být jasné, jak se incident nahlásí, kdo jej řeší, kdy se eskaluje, kdo informuje vedení a kdo zajistí případné hlášení příslušným orgánům.

Důležité jsou také aktuální kontakty. Plán řešení incidentů s telefonním číslem na člověka, který z organizace odešel před dvěma lety, příliš nepomůže.

5. Kontinuita a obnova

Organizace by měla vědět, které služby jsou pro její fungování důležité, jak dlouho mohou být nedostupné a jak je v případě výpadku obnoví.

Tady už nejde pouze o to, zda se zálohy provádějí, ale zda z nich lze systém nebo data skutečně obnovit a zda se to dá zvládnout v čase, který organizace potřebuje.

Proto sem patří také plány kontinuity a obnovy a jejich testování.

6. Bezpečnostní pravidla pro zaměstnance

Zaměstnanci potřebují vědět, co se od nich očekává při používání hesel, e-mailu, pracovních zařízení nebo při práci s informacemi a co mají udělat, když si všimnou něčeho podezřelého.

Pravidla by měla myslet také na nástup nového zaměstnance, změnu jeho pracovní pozice a odchod z organizace.

A co dodavatelé?

Pokud má externí dodavatel přístup k systémům nebo údajům organizace, provozuje pro ni systém nebo se podílí na poskytování důležité služby, je třeba řešit také jeho bezpečnost.

Organizace by měla vědět, jaké bezpečnostní požadavky na dodavatele klade, jaké přístupy má, co musí udělat při incidentu a co musí organizaci oznámit.

V menší organizaci mohou být tato pravidla součástí jiné bezpečnostní směrnice. Pokud je závislost na dodavatelích větší, je praktické zpracovat je samostatně. Pro organizace spadající do působnosti NIS2 je bezpečnost dodavatelského řetězce zároveň jednou z oblastí opatření pro řízení kybernetických rizik.

Tento přehled není regulační minimum

Vybrané oblasti představují praktický způsob, jak může menší organizace začít. Nejde o seznam, jehož splněním automaticky vyhoví požadavkům NIS2 nebo slovenské legislativy.

Například vyhláška slovenského Národního bezpečnostního úřadu (NBÚ) č. 227/2025 Z. z. pro provozovatele základní služby upravuje obsah bezpečnostní dokumentace podrobněji. Podle § 4 zahrnuje kromě schválené strategie kybernetické bezpečnosti a bezpečnostních politik také klasifikaci informací, kategorizaci IKT a OT, analýzu rizik spolu se seznamem aktiv, dokumentování rozsahu a způsobu přijetí bezpečnostních opatření a další stanovené dokumenty.

Rozsah obecných bezpečnostních opatření se přitom podle vyhlášky určuje na základě analýzy rizik.

Pokud spadáte do působnosti tohoto zákona, berte přehled základních oblastí jako způsob, jak dokumentaci uspořádat, nikoli jako náhradu za požadavky vyhlášky. Při slučování dokumentů si ověřte, že žádná povinná část nebyla vynechána.

Šablona je začátek, ne hotová směrnice

Není nutné začínat každý dokument od prázdné stránky. Dobrá šablona může pomoci se strukturou dokumentu a připomenout témata, na která by se nemělo zapomenout. Musí se však přizpůsobit konkrétní organizaci.

Pokud šablona popisuje role, procesy nebo opatření, které organizace ve skutečnosti nemá, jejich ponecháním nevznikne lepší dokumentace. Vznikne pouze rozdíl mezi tím, co je napsáno, a tím, co se reálně dělá.

Směrnice bez záznamů nic neprokáže. Pokud směrnice říká, že se oprávnění kontrolují, zálohy testují a zaměstnanci školí, měly by po tom zůstat stopy – záznam z kontroly, výsledek testu obnovy, seznam proškolených lidí. Při auditu nebo kontrole se nehodnotí pouze to, co je napsáno, ale také to, čím dokážete prokázat, že se to skutečně děje.

Před schválením směrnice si ověřte:

• Má dokument jasně určeného vlastníka?
• Ví vedení, co schvaluje, a stojí si za tím?
• Odpovídá tomu, jak naše organizace skutečně funguje?
• Jsou odpovědnosti přiděleny konkrétním rolím?
• Vědí lidé, kterých se směrnice týká, co mají dělat?
• Budeme schopni prokázat, že se podle těchto pravidel postupuje?
• Víme, kdy a kdo dokument znovu zkontroluje?

Pokud je u některé otázky odpověď „ne“, přidání další směrnice pravděpodobně problém nevyřeší.

Jak s dokumentací pomáhá Tazilla

Tazilla obsahuje Knihovnu se šablonami bezpečnostní dokumentace, takže CISO nemusí u každého tématu začínat od prázdné stránky.

Dostupné šablony pokrývají jednotlivé oblasti podrobněji. To však neznamená, že každá organizace musí automaticky zavést každou šablonu jako samostatnou směrnici.

Pro začínajícího CISO může být užitečné dívat se na ně takto:

Základní oblast	Šablony v Knihovně Tazilla
Bezpečnostní politika a organizace	Bezpečnostní politika; Organizace informační bezpečnosti
Aktiva a rizika	Řízení aktiv, hrozeb a rizik
Přístupy a bezpečnost provozu	Řízení přístupů; Řízení bezpečnosti provozu; Řízení bezpečnosti sítě a IKT; Kryptografická opatření; Fyzická bezpečnost a bezpečnost prostředí; Monitorování a testování bezpečnosti a bezpečnostních auditů
Incidenty	Řešení kybernetických bezpečnostních incidentů
Kontinuita a obnova	BCM směrnice; Řízení kontinuity procesů; Plán kontinuity činností BCP; Plán obnovy po havárii DRP
Pravidla pro zaměstnance	Pravidla chování a dobré praxe; Personální bezpečnost
Dodavatelé	Řízení dodavatelských služeb

Tyto základní oblasti mohou pomoci zorientovat se v šablonách dostupných v Knihovně. Organizace si z nich vybere a přizpůsobí ty, které potřebuje podle svého fungování, rizik a povinností.

Šablona vám pomůže začít. Vaší směrnicí se stane až tehdy, když odpovídá tomu, jak vaše organizace skutečně funguje.

Dokumentace se musí měnit spolu s organizací

Směrnice by neměla zůstat stejná několik let jen proto, že byla jednou schválena.

Nový systém, dodavatel, změna odpovědností, bezpečnostní incident, audit nebo test obnovy mohou ukázat, že některá pravidla už neplatí nebo nestačí. Dokumentaci je proto třeba průběžně kontrolovat a podle potřeby upravovat.

Požadavek, aby bezpečnostní dokumentace byla aktuální a odpovídala skutečnému stavu, je zakotven také ve slovenské právní úpravě kybernetické bezpečnosti.

Zde se dokumentace propojuje také s dalšími částmi platformy Tazilla. Rizika a opatření, evidence incidentů, kontinuita či vzdělávání zaměstnanců poskytují informace o tom, zda nastavená pravidla fungují a kde je třeba je změnit. Dokumentace tak nemusí existovat odděleně od každodenního řízení bezpečnosti.

Na závěr

Dobrá bezpečnostní dokumentace nemusí být rozsáhlá. Musí však odpovídat organizaci, jejím rizikům a povinnostem.

Pokud začínáte, soustřeďte se nejprve na nejdůležitější oblasti, jasné odpovědnosti a pravidla, která lze reálně dodržovat. Další dokumenty přidávejte tam, kde je organizace skutečně potřebuje nebo kde je vyžadují její povinnosti.

Nejde o to mít co nejvíce směrnic. Jde o to, aby ty, které máte, popisovaly to, co skutečně děláte.