01
Defense in Depth
Vrstvené kontroly na každé hranici. L2/L3 segmentace, identity-bound device trust a MFA per aplikaci. Jedno selhání zůstane ve vrstvě, kde nastalo.
Zero Trust segmentace, IAM nad Keycloakem, EntraID nebo AD a PKI, kterou udržíte i za deset let. Governance mapujeme na NIST CSF, ISO 27001 a SABSA.
Architektonická rozhodnutí se sčítají. Segmentace, identity-first návrh a PKI postavená na deset let táhnou stejným směrem.
Vrstvené kontroly na každé hranici. L2/L3 segmentace, identity-bound device trust a MFA per aplikaci. Jedno selhání zůstane ve vrstvě, kde nastalo.
Moderní správa identit a přístupu s principy zero trust
Architektura, která roste s vaším podnikem a zachovává bezpečnost
Bezheslová autentizace a risk-based MFA. Uživatel se přihlásí rychleji a IT řeší méně resetů hesel.
Architektura, identita a PKI, od návrhu až po provoz
Každé designové rozhodnutí mapujeme na NIST CSF, ISO 27001, CIS Controls nebo SABSA. Mapování zapisujeme už při návrhu, takže je auditovatelné od prvního dne.
Risk-based posture across the five core functions: identify, protect, detect, respond and recover.
Global certification baseline for information-security management systems and continuous-improvement controls.
Reference architecture for identity-centric, deny-by-default access enforcement across every resource.
Business-driven security-architecture methodology spanning context, conceptual, logical, physical, and component layers.
Enterprise-architecture framework with scope, governance, and the Architecture Development Method (ADM).
Application-security testing guides and verification standards. ASVS for requirements, the Top 10 for prevalence, SAMM for maturity.
Přímé odpovědi na to, na co se nás ptáte nejčastěji.
Bezpečnostní architektura je návrh toho, jak jsou v organizaci uspořádané sítě, systémy, identity a data, aby útok na jednu část nepřešel na další. Zahrnuje segmentaci sítě, správu identit a přístupů (IAM), infrastrukturu veřejných klíčů (PKI) a pravidla, kdo, odkud a k čemu smí přistupovat. Jednotlivé bezpečnostní produkty řeší dílčí hrozby; architektura určuje, jak do sebe zapadají a kde vedou hranice důvěry. Směrnice NIS2 v článku 21 odst. 2 vyžaduje mimo jiné politiky řízení přístupu a vícefaktorovou autentizaci, a obojí je rozhodnutí architektury, ne nákup produktu. Dobře navržená architektura zmenšuje dopad incidentu a zkracuje audit, protože přístupy i hranice jsou popsané dopředu. Referenčním rámcem pro moderní návrh je NIST SP 800-207 (Zero Trust).
Zero Trust je bezpečnostní model, ve kterém umístění v síti nezakládá žádnou důvěru. Přístup ke každému prostředku se povoluje zvlášť, na jednu relaci, a rozhoduje o něm politika pracující s identitou, stavem zařízení a kontextem požadavku. Referenční architekturu vydal NIST v srpnu 2020 jako SP 800-207. Popisuje sedm základních principů a tři logické komponenty. Policy engine rozhoduje, policy administrator rozhodnutí provádí a policy enforcement point provoz skutečně pouští nebo blokuje. Prakticky to znamená, že VPN a interní síť přestávají být hranicí důvěry a jejich roli přebírá ověřená identita a stav zařízení. Dokument je volně ke stažení na csrc.nist.gov.
Správa identit a přístupů (IAM) pokrývá životní cyklus účtu od založení po odebrání a pravidla, podle kterých se přiděluje přístup. Patří do ní jednotné přihlášení, vícefaktorová autentizace, JML procesy s automatickým offboardingem, PAM pro privilegované účty a podmíněný přístup podle rizika. Vícefaktorovou autentizaci jmenuje směrnice NIS2 přímo v článku 21 odst. 2 písm. j), takže jde o zákonný požadavek. U faktorů doporučujeme FIDO2 nebo WebAuthn, protože klíč je vázaný na doménu a phishingová stránka jej nedokáže použít. SMS ani push notifikace tuto vlastnost nemají. Pracujeme s Microsoft Entra ID, Keycloak i s klasickým Active Directory. Znění směrnice je na EUR-Lex.
PKI je systém, který vydává, obnovuje a odvolává certifikáty. Na nich stojí TLS, mTLS, ověřování zařízení a podepisování kódu. Ruční správa přestává být udržitelná, protože platnost certifikátů se zkracuje. CA/Browser Forum schválilo v dubnu 2025 harmonogram, podle kterého platí od 15. března 2026 pro veřejné TLS certifikáty maximální platnost 200 dní, od března 2027 to bude 100 dní a od března 2029 jen 47 dní. V roce 2029 tak jedna služba potřebuje zhruba osm obnov ročně. Bez automatizace přes ACME nebo cert-manager to skončí výpadkem produkce. U privátní CA k tomu patří ochrana kořenového klíče v HSM. Hlasování SC-081v3 najdete na cabforum.org.
Přechod na Zero Trust není projekt s termínem, ale roadmapa. Začínáme auditem a návrhem cílového stavu, což zabere 4 až 8 týdnů. Pak jdeme po vrstvách, tedy identity, stav zařízení, mikrosegmentace, data a aplikace. První měřitelné výsledky bývají do tří měsíců, plné pokrytí obvykle za 12 až 24 měsíců.
Ano, a je to vidět přímo v textu. Článek 21 odst. 2 směrnice NIS2 vyjmenovává deset opatření a velká část z nich je architektonická. Řízení přístupu a správa aktiv jsou v písmenu i), kryptografie v písmenu h), bezpečnost dodavatelského řetězce v písmenu d) a vícefaktorová autentizace v písmenu j). V Česku je totéž rozepsané v prováděcích vyhláškách k zákonu č. 264/2025 Sb., zvlášť pro režim vyšších a nižších povinností. Architektonický dokument proto členíme podle těchto opatření, aby u každého z nich auditor našel konkrétní návrhové rozhodnutí. Znění směrnice je na EUR-Lex, české předpisy na zakonyprolidi.cz.
Nepřidávejte bezpečnost dodatečně. Naši architekti navrhnou segmentaci, identitu i PKI přímo do stavby.
Jeden provozní model napříč všemi disciplínami. Podívejte se, jak do sebe zapadá zbytek portfolia Kybit.
Nepřetržitě hlídáme vaše systémy a útok zastavíme dřív, než z něj bude výpadek nebo únik dat. Podklady pro audit NIS2, DORA i ZoKB dostanete hotové, rovnou k předání auditorovi.
Navrhujeme a stavíme moderní IT infrastrukturu. Manuální konfigurace nahrazujeme plnou automatizací přes Infrastructure as Code (Terraform, Ansible).
Nasazujeme a ladíme SIEM, XDR a SOAR. Detekční obsah jde do produkce jako kód, mapovaný na MITRE ATT&CK a kvartálně revidovaný.
Zranitelnosti najdeme dřív než útočník. Odhalujeme slabiny přes cílené penetrační testování, kontinuální vulnerability management a bezpečnostní audity.
Expertní podpora pro váš SOC včetně Threat Huntingu, Incident Response a CTI.
Chybí vám kapacity? Začleníme naše certifikované inženýry a architekty přímo do vašeho interního týmu pro strategické projekty.