Nasazení ofenzivní bezpečnosti v organizaci

Pavel Chlup

Bakalářská práce

Implementing Offensive Security in an Organization

Anotace:

Práce se zabývá návrhem metodiky pro zavedení ofenzivní bezpečnosti do praxe organizace. V teoretické části jsou vymezeny pojmy penetrační testování, red teaming a threat intelligence-led testing (TI-led/TLPT) a jsou porovnány vybrané standardy a rámce (NIST SP 800-115, PTES, OSSTMM 3, OWASP WSTG a MITRE ATT&CK). Dále jsou shrnuty principy governance, bezpečného provozu a právně‑etické podmínky realizace testů (LOA/ROE, deconfliction, práce s důkazy a reporting). Praktická část na modelovém prostředí České televize analyzuje výchozí stav (organizace bezpečnostních funkcí, požadavky na neintruzivní testování, dostupnost dat o aktivech a řízení nálezů) a navrhuje procesní rámec ofenzivní bezpečnosti, role a odpovědnosti (RACI), nástrojovou architekturu týmu mimo SOC a metriky kvality. Metodika je validována návrhem pilotního scénáře typu grey‑box penetrační test webové aplikace v testovacím prostředí a black‑box neintruzivní testování perimetru na základě rozsahu veřejných IP adres. Závěrem je uvedena implementační roadmapa na 6–18 měsíců včetně řízení rizik a změn.

Abstract:

This thesis proposes a methodology for implementing offensive security in an organization. The theoretical part defines penetration testing, red teaming and threat intelligence‑led testing (TI‑led/TLPT) and compares selected standards and frameworks (NIST SP 800‑115, PTES, OSSTMM 3, OWASP WSTG and MITRE ATT&CK). It also covers governance, safe operations and legal/ethical prerequisites (letter of authorization and rules of engagement, deconfliction, evidence handling and reporting). The practical part applies the methodology to a model environment of Czech Television, assesses the baseline (security functions, requirement for non‑intrusive testing, asset data availability and finding management) and designs processes, roles (RACI), a tool stack operated outside the SOC and quality metrics. Validation is demonstrated through a pilot scenario type of grey‑box web application penetration test in a staging environment and a black‑box, non‑intrusive perimeter assessment based on public IP ranges. Finally, an implementation roadmap for 6–18 months is presented, including risk and change management.

Klíčová slova

ofenzivní bezpečnost, penetrační testování, red teaming, TI-led testing, TLPT, governance, neintruzivní testování. offensive security, penetration testing, non-intrusive testing.

Jazyk práce: čeština

Datum vytvoření / odevzdání či podání práce: 22. 4. 2026

Obhajoba závěrečné práce

• Obhajoba proběhla 1. 6. 2026
• Vedoucí: Bc. Mgr. Vladimír Táborský, MBA
• Oponent: Ing. Miroslav Čermák, Ph.D.

Ambis Univerzita

Bakalářský studijní program / obor:
Bezpečnostní management / Bezpečnostní management