Student se ve své diplomové práci zabývá problematikou identifikace aktiv a analýzy rizik v kontextu informační a kybernetické bezpečnosti. Téma práce je aktuální a reflektuje rostoucí požadavky na systematické řízení bezpečnosti informací v organizacích v návaznosti na normy řady ISO/IEC 27000, směrnici NIS2 a nový zákon o kybernetické bezpečnosti.

V teoretické části student zpracoval přehled základních pojmů, principů informační a kybernetické bezpečnosti, normativního rámce a metod používaných pro identifikaci aktiv a řízení rizik. Kladně hodnotím zejména zpracování požadavků norem ISO/IEC 27001, ISO/IEC 27002 a ISO/IEC 27005 a jejich zasazení do kontextu současné legislativy.

Praktická část práce je zaměřena na společnost AUDISO a.s., pro kterou student provedl identifikaci primárních a podpůrných aktiv, jejich hodnocení, identifikaci hrozeb a zranitelností, sestavení rizikových scénářů a návrh opatření pro ošetření identifikovaných rizik. Oceňuji zejména rozsah praktické části, systematický přístup ke zpracování problematiky a snahu vytvořit opakovatelný metodický postup využitelný v praxi.

Přestože práce splňuje stanovené cíle a prokazuje dobrou orientaci studenta v řešené problematice, určité rezervy spatřuji zejména v hloubce rozpracování některých částí metodiky a v kritickém zhodnocení dosažených výsledků. Větší prostor mohl být věnován podrobnějšímu rozpracování vazeb mezi jednotlivými kategoriemi aktiv a jejich návaznosti na proces řízení rizik v souladu s aktuálními doporučeními v oblasti kybernetické bezpečnosti. Práce je zpracována převážně aplikační formou a vlastní metodický přínos mohl být výraznější.

Student během zpracování práce prokázal schopnost samostatně pracovat s odbornými zdroji, aplikovat získané poznatky na konkrétní organizaci a formulovat prakticky využitelné výstupy. Předložená diplomová práce splňuje požadavky kladené na tento typ kvalifikační práce, a proto ji doporučuji k obhajobě.  

Předložená diplomová práce Bc. Adama Nováka se zabývá vysoce aktuální problematikou identifikace aktiv a analýzy rizik v kontextu informační a kybernetické bezpečnosti. Student zde správně vychází ze souboru norem ČSN EN ISO/IEC 27001:2023, ČSN EN ISO/IEC 27002:2023 a ČSN EN ISO/IEC 27005:2023, které v odevzdané práci podrobně analyzuje. Postrádám však alespoň rámcové kritické zhodnocení další doporučené literatury, zejména mezinárodního standardu ISO/IEC 62443, který je do české normalizační soustavy přebírán jako řada ČSN EN IEC 62443-x-x. Přestože analyzovaná organizace nepředstavuje typické OT/IACS prostředí, mohly být některé principy této normy alespoň stručně reflektovány při návrhu metodiky. Na tuto skutečnost ostatně poukazuje i tvrzení diplomanta uvedené v kapitole 6.3.6 Komplexnost řešené problematiky, kde autor uvádí, že „v rámci řešení diplomové práce propojuje technickou, organizační a procesní stránku řešení problému“.
Rovněž další doporučená literatura, konkrétně Information Security Management Handbook a Network Security Essentials: Applications and Standards, nebyla v práci použita, což se projevilo absencí kritického porovnání stávajících přístupů, a tím i nižší hloubkou zpracování cíle zadání „Navrhnout metodiku identifikace a klasifikace aktiv ve vybrané organizaci s ohledem na jejich kritičnost.“
Omezené zohlednění řady norem ČSN EN IEC 62443-x-x odráží i seznam identifikovaných podpůrných aktiv, který je zaměřen převážně na používaný hardware a jen omezeně reflektuje oblasti kybernetické bezpečnosti zdůrazňované v ČSN EN IEC 62443-2-1:2025, zejména organizační bezpečnostní opatření, správu konfigurace, segmentaci sítí, správu zranitelností komponent, ochranu dat a šifrování, řízení přístupů uživatelů, monitoring a detekci anomálií či zajištění dostupnosti dat prostřednictvím zálohování.
Další připomínku mám ke kvalitativnímu hodnocení hrozeb, kdy je sice stanovena četnost výskytu realizace hrozby, samotné dopady identifikovaných rizik však nejsou podrobněji rozpracovány například z hlediska ekonomických, provozních nebo právních důsledků.
Postrádám použití matice rizik s hodnocením více relevantních aspektů rizik. Např. s ohledem na identifikované primární aktivum „Osobní údaje klientů“ bych očekával v matici rizik i hledisko dopadů souvisejících s nedodržením požadavků GDPR.
V praktické části diplomové práce uvádí diplomant různé scénáře rizik. Navrhuje zde preventivní opatření, která rovněž specifikuje pouze kvalitativně, např. zavedení pravidelného školení pracovníků bez uvedení konkrétní četnosti. Požadavky na obsah školení neurčitě formuluje frází „by mělo být prakticky orientované“, přitom deklaruje snížení pravděpodobnosti výskytu škody bez konkrétního vyčíslení. Není zcela zřejmé, jakým způsobem bylo po implementaci navržených opatření přehodnoceno výsledné zbytkové riziko a kdo odpovídá za jeho akceptaci v rámci systému řízení bezpečnosti informací.
I přes uvedené připomínky považuji vypracovanou diplomovou práci za přínosnou pro řešení problematiky identifikace aktiv a analýzy rizik v kontextu informační a kybernetické bezpečnosti a doporučuji ji k obhajobě. Topics for thesis defence:

1. Jakým způsobem navrhujete verifikaci a validaci identifikovaných primárních a podpůrných aktiv?
2. Jakou roli mohou při posuzování rizik hrát ekonomické dopady identifikovaných hrozeb a jak je lze promítnout do návrhu preventivních opatření?
3. Jakým způsobem by bylo možné rozšířit Vámi navrženou metodiku o principy uvedené v řadě norem ČSN EN IEC 62443-x-x a které z nich považujete za relevantní pro prostředí analyzované organizace?
4. Jakým způsobem uplatníte ve Vámi navržené metodice princip neustálého zlepšování Plan – Do – Check – Act?
5. Popište dynamické chování aktiv v čase.