Otázka 8 / 15

Jak se liší řízení rizik v IS/ICT projektech oproti „obecnému“ projektovému řízení? Navrhněte, jak integrovat security-by-design, GDPR/NIS2 požadavky a threat modeling do životního cyklu projektu tak, aby bezpečnost nebyla „brána na konci“.

Specifika rizik v IS/ICT

Kromě času/rozpočtu/rozsahu řešíme:

  • kybernetická rizika (CIA),
  • regulatorní rizika (GDPR, NIS2),
  • strategická rizika (vendor lock-in),
  • provozní rizika (stabilita, DR).

Security-by-design integrace

  1. Iniciace: klasifikace dat, identifikace regulací, risk appetite.
  2. Návrh: threat modeling, architektonické a bezpečnostní požadavky (NFR).
  3. Implementace: secure SDLC, code review, bezpečnostní skeny.
  4. Testování: pen testy, ověření audit trail, kontrola oprávnění.
  5. Go-live: bezpečnostní brána + provozní připravenost.
  6. Provoz: monitoring, incident response, hlášení incidentů (kde relevantní).

GDPR/Privacy-by-design

  • minimalizace dat, účel, retence,
  • DPIA u rizikových zpracování,
  • řízení přístupů a auditní stopa.

Proč „ne na konci“

Pozdní bezpečnost blokuje nasazení nebo vede k drahým změnám; v horším případě k incidentu po go-live.

Závěr

Bezpečnost a compliance jsou kvalitativní atributy (NFR) a musí být v DoD/akceptaci, ne jako příloha.