Student zpracoval téma testování kybernetické bezpečnosti energetických a průmyslových zařízení. V teoretické části nastudoval metodiku testování bezpečnostních parametrů a porovnal ji s některými aktuálními požadavky na kybernetickou bezpečnost. Toto porovnání je provedeno spíše stručně, bez hlubší analýzy jednotlivých standardů, což však považuji za dostatečné, jelikož se nejedná o hlavní výstup práce. Dále provedl výběr a rozbor referenčních linuxových distribucí používaných v OT prostředí. V praktické části navrhl a implementoval sadu skriptů pro automatizované ověření testů metodiky s jednotným strojově zpracovatelným výstupem. Nad rámec metodiky doplnil dva vlastní testy (post-kvantová kryptografie, multifaktorová autentizace) a dále grafické rozhraní v jazyce Python s generováním auditního HTML reportu. Funkčnost celého řešení ověřil na dvou reálných zařízeních.
Práce je logicky členěná a obsahově ucelená. Po formální stránce je práce na dobré úrovni, místy s gramatickými a typografickými nedostatky. Práce s literaturou je na standardní úrovni se zastoupením odborných dokumentů a webových portálů. Student pracoval samostatně a výsledky pravidelně konzultoval.
Přes výše uvedené nedostatky považuji cíle práce za splněné a doporučuji ji k obhajobě s hodnocením A/92 bodů. Points proposed by supervisor: 92

Bakalářská práce na téma: „Testování kybernetické bezpečnosti energetických a průmyslových zařízení“ je zpracována na 126 stranách, kde je práce členěna celkem do čtyř kapitol. Teoretická část práce se zabývá popisem již vytvořené metodiky testování, která byla vstupem do této práce. V navazující části se zaměřuje na výběr operačních systémů, které jsou využity pro testování vytvořeného nástroje. Praktická část práce je rozdělena na první část věnující se návrhu, implementaci a testování a druhou část vlastního rozšíření. Práce využívá celkem 36 zdrojů, kde se jedná spíše o internetové odkazy a využité směrnice. Z formálního hlediska se v práci vyskytují gramatické a typografické nedostatky, jako jsou jednopísmenné předložky a spojky na koncích řádků, využívání zkratek před jejich definicí (např. CVD) a neodborné výrazy. Dále by bylo vhodné definovat cílový subjekt, který je na základě této metodiky evaluován, aby jej tvrzení přímo reflektovalo (viz tab. 1.2). Dále není v práci přímo odkazováno na Zákon č. 264/2025 Sb. (Zákon o kybernetické bezpečnosti). Na některé objekty není v textu odkázáno, např. tab. 2.1.
Z praktického pohledu postrádám bližší popis organizace kódu. Také postrádám bližší popis architektury vytvořeného řešení za účelem bližšího přiblížení a zajištění modularity, popř. postupu v případě rozšíření o další testy. Samotná struktura vytvořeného řešení, která zajišťuje vykonávání jednotlivých testů není blíže popsána. Dále by bylo vhodné provést evaluaci dopadu prováděných testů na testované zařízení. Výsledné řešení je funkční. Zadání práce považuji za splněné a zejména z důvodu zmíněných nedostatků navrhuji bodové hodnocení B/82 bodů a práci doporučuji k obhajobě. Topics for thesis defence:

1. V rámci tab 1.2 uvádíte potřebu upravit metodiku, z jakého pohledu jste srovnání s aktuální legislativou prováděl (výrobce zařízení/kontrola bezpečnosti)? Není SBOM a CVD duplicitní s jinými testy?
2. Je nutné vyžadovat MFA ve všech případech? Je využívána MFA v rámci dispečerského řízení?
3. V rámci kroku ZSA.01 provádíte modifikaci různých komponent na základě různých testovaných systémů. Jakým způsobem je toto možné definovat v rámci vytvořené aplikace?

Points proposed by reviewer: 82