Student se ve své bakalářské práci zabývá problematikou stanovení hodnoty informací v průmyslovém podniku pro potřeby auditu systému řízení bezpečnosti informací (ISMS). Téma práce je aktuální a reflektuje rostoucí význam ochrany informačních aktiv v souvislosti s digitalizací podnikových procesů a novými požadavky v oblasti kybernetické bezpečnosti.

V teoretické části student zpracoval přehled základních pojmů, principů informační a kybernetické bezpečnosti, systému ISMS, relevantní legislativy a norem souvisejících s hodnocením aktiv. Kladně hodnotím zejména práci s aktuální legislativou včetně zákona č. 264/2025 Sb. a souvisejících prováděcích předpisů.

Praktická část je zaměřena na návrh metodiky identifikace a hodnocení informačních aktiv založené na principech CIA triády a pětistupňové klasifikační škále. Navržený postup student aplikoval na modelový průmyslový podnik a doplnil jej citlivostní analýzou. Oceňuji snahu o vytvoření prakticky využitelného nástroje pro podporu auditu ISMS.

Určité rezervy lze spatřovat především v rozsahu praktické aplikace požadavků nové právní úpravy kybernetické bezpečnosti. Metodika se zaměřuje zejména na hodnocení primárních aktiv, zatímco vazby na podpůrná a technická aktiva a jejich návaznost na proces analýzy rizik mohly být rozpracovány podrobněji. Větší prostor mohl být věnován také doporučením metodických dokumentů NÚKIB.

Student během zpracování práce pracoval samostatně, průběžně konzultoval navrhované řešení a reflektoval připomínky vedoucí práce. Bakalářská práce splňuje stanovené cíle i požadavky kladené na tento typ kvalifikační práce. 

Předložená bakalářská práce se zabývá návrhem metodiky stanovení a hodnocení informačních aktiv pro audity ISMS. Rešeršní část zpracovává vývoj informační bezpečnosti a kybernetických hrozeb za minulá léta, definuje základní pojmy a názvosloví v návaznosti na bezpečnost informací. Autor zde také seznamuje s nezbytným legislativním rámcem systému řízení bezpečnosti informací. Další částí obsaženou v této kapitole je již částečně rozpracovaná metodika, a to její základy, kde jsou zde obecně popisovány aktiva, jejich dělení, hodnocení, evidence, garanti a metody/nástroje hodnocení. Myslím si, že poslední část, i když je v zásadě obecná, by si z důvodu přehlednosti zasloužila vlastní kapitolu.

Následně se již autor zabývá návrhem metodiky, která vychází z legislativního rámce a předchozího rozboru. Zde je na vzorovém příkladu fiktivního podniku předveden postup hodnocení a rozbor jednoho vybraného primárního aktiva ve formátu služby a dalších 7 podpůrných aktiv ve formátu informace. Pro rozšíření této metodiky oproti metodice vycházející z rešerše jsou zde navrhovány postupy, které částečně redukují vliv extrémů v hodnocení (pokud je v CIA min. jeden atribut hodnocen stupněm 5, musí být třída Vysoká a vyšší) tak je zde navrhováno upřesnění metodiky s využitím váhy jednotlivých CIA parametrů dle oblasti, do které spadá hodnocené aktivum.

Práci doplňuje kapitola Diskuze a doporučení, kde jsou diskutovány výsledky vzorového příkladu a jsou zde uvedený i limitace navrhované metodiky.

Práci hodnotím jako zdařilou a doporučuji k obhajobě. Topics for thesis defence:

1. V kapitole 4.2. je uvedeno „Subjektivita kvalitativního hodnocení představuje obecný limit všech kvalitativních metod…..“. Jak by mohla vypadat metoda hodnocení v týmu, jak je uvedeno na str. 37. na konci Závěru.
2. V kapitole 4.3. je uvedeno „Hodnocení by mělo probíhat formou společných pracovních setkání …“ týmů a že „..společně dospějí ke shodě“. Jakou metodu shody máte na mysli? Je myšleno hlasování, jednohlasná shoda případně nějaké jiné zpracování volby?