GAP analýza
GAP analýza
- je to analýza současného stavu, jaký je aktuální stav kybernetické bezpečnosti je firmě.
- je identifikace rozdílů mezi aktuálním stavem kybernetické bezpečnosti ve firmě a požadovaným stavem, který je dán v případě ZoKB Vyhláškou č. 409/2025 Sb. o bezpečnostních opatřeních poskytovatele regulované služby v režimu vyšších povinností.
- je to vlastně dotazník porovnání stávajícího stavu kybernetické bezpečnosti s tím co ta vyhláška definuje. Výstupem je přehled toho co chybí.
Připravený dotazník, obsahuje zhruba 130 otázek. Každá otázka se vztahuje k příslušnému paragrafu výše zmíněné vyhlášky. Tato analýza odpovídá požadavkům na legislativní a technická bezpečnostní opatření, která stanovuje připravovaná Vyhláška o bezpečnostních opatřeních poskytovatele regulované služby v režimu vyšších povinností, pod kterou naše společnost spadne. U každé otázky byla hodnocena úroveň plnění požadavků s těmito stupni:
- Ano - splňuje
- Ne - nesplňuje
S doplňující mírou plnění:
- 1 - zcela
- 2 - většinou
- 3 - částečně
- 4 - nesplňuje
Z provedené analýzy je pak vypočítán průměrný stupeň aktuálního plnění bezpečnostních požadavků plynoucích z výše zmíněné Vyhlášky.
Pro bližší specifikaci jsou výsledky rozděleny do 10 klíčových oblastí, které identifikují naše hlavní nedostatky:
- Nedostatečná údržba aktiv
- Zastaralost aktiv
- Nedostatečná ochrana perimetru
- Nedostatečné bezpečnostní povědomí lidských zdrojů
- Nevhodné nastavení přístupových oprávnění
- Nedostatečné monitorování činnosti lidských zdrojů, neschopnost odhalit jejich pochybení, nevhodné nebo závadné způsoby chování
- Nedostatečné stanovení bezpečnostních pravidel a postupů, nepřesné nebo nejednoznačné vymezení práv a povinností lidských zdrojů
- Nedostatečná ochrana aktiv
- Nevhodná bezpečnostní architektura
- Nedostatečná míra nezávislé kontroly
Díky ohodnocení je možno tak získat relativně rychle obrázek o aktuálním stavu kybernetické bezpečnosti a zároveň v které oblasti má firma největší nedostatky.
GAP analýza tak přinese rychlý výstup. Ale pro detailní zjištění je potřeba provést analýzu ryzik.