Nasazení ofenzivní bezpečnosti v organizaci

Pavel Chlup

Bachelor's thesis

Implementing Offensive Security in an Organization

Abstract:

Práce se zabývá návrhem metodiky pro zavedení ofenzivní bezpečnosti do praxe organizace. V teoretické části jsou vymezeny pojmy penetrační testování, red teaming a threat intelligence-led testing (TI-led/TLPT) a jsou porovnány vybrané standardy a rámce (NIST SP 800-115, PTES, OSSTMM 3, OWASP WSTG a MITRE ATT&CK). Dále jsou shrnuty principy governance, bezpečného provozu a právně‑etické podmínky realizace testů (LOA/ROE, deconfliction, práce s důkazy a reporting). Praktická část na modelovém prostředí České televize analyzuje výchozí stav (organizace bezpečnostních funkcí, požadavky na neintruzivní testování, dostupnost dat o aktivech a řízení nálezů) a navrhuje procesní rámec ofenzivní bezpečnosti, role a odpovědnosti (RACI), nástrojovou architekturu týmu mimo SOC a metriky kvality. Metodika je validována návrhem pilotního scénáře typu grey‑box penetrační test webové aplikace v testovacím prostředí a black‑box neintruzivní testování perimetru na základě rozsahu veřejných IP adres. Závěrem je uvedena implementační roadmapa na 6–18 měsíců včetně řízení rizik a změn.

Abstract:

This thesis proposes a methodology for implementing offensive security in an organization. The theoretical part defines penetration testing, red teaming and threat intelligence‑led testing (TI‑led/TLPT) and compares selected standards and frameworks (NIST SP 800‑115, PTES, OSSTMM 3, OWASP WSTG and MITRE ATT&CK). It also covers governance, safe operations and legal/ethical prerequisites (letter of authorization and rules of engagement, deconfliction, evidence handling and reporting). The practical part applies the methodology to a model environment of Czech Television, assesses the baseline (security functions, requirement for non‑intrusive testing, asset data availability and finding management) and designs processes, roles (RACI), a tool stack operated outside the SOC and quality metrics. Validation is demonstrated through a pilot scenario type of grey‑box web application penetration test in a staging environment and a black‑box, non‑intrusive perimeter assessment based on public IP ranges. Finally, an implementation roadmap for 6–18 months is presented, including risk and change management.

Keywords

ofenzivní bezpečnost, penetrační testování, red teaming, TI-led testing, TLPT, governance, neintruzivní testování. offensive security, penetration testing, non-intrusive testing.

Language used: Czech

Date on which the thesis was submitted / produced: 22. 4. 2026

Thesis defence

• Date of defence: 1. 6. 2026
• Supervisor: Bc. Mgr. Vladimír Táborský, MBA
• Reader: Ing. Miroslav Čermák, Ph.D.

Ambis University

Bachelor programme / field:
Security & Safety Management / Security & Safety Management