Navržení procesu interního IT auditu dle Zákona o kybernetické bezpečnosti

Michal Janák

Bachelor's thesis

Designing an internal IT audit process under the Cyber ​​Security Act

Abstract:

Tato bakalářská práce rozebírá problematiku navržení obecného postupu pro interní IT audity v oblasti kybernetické a informační bezpečnosti. Provádění auditů kybernetické bezpečnosti vyžaduje u určených subjektů Zákon č. 181/2014 sb. o kybernetické bezpečnosti České republiky, nicméně nestanovuje jeho formu. Cílem této bakalářské práce je navrhnout natolik univerzální proces, aby byl aplikovatelný na společnost, jejíž informační systémy byly určeny jako informační systémy základní služby. Tím na ně povinnost vykonání kybernetických auditů dopadá. Po provedení analýzy odborných a legislativních dokumentů byl proveden návrh procesu pro interní IT audity dle Zákona č. 181/2014 sb. o kybernetické bezpečnosti. Tento proces byl následně zkoumán metodou Focus Group na skupině odborníků v oblasti kybernetické bezpečnosti, ISO auditů a auditů informační kybernetické bezpečnosti. Na základě výsledků z odborné diskuse byla provedena revize a úprava původně navrženého procesu. Byl navržen univerzální proces pro interní IT kybernetické audity, který je v souladu s dobrou praxí v oboru interních auditů, ISO norem i mezinárodního rámce profesní praxe interního auditu. V případě, že povinná osoba s určeným informačním systémem základní služby bude využívat tento navržený proces, bude pro oblasti související s auditem kybernetické bezpečnosti v souladu se Zákonem č. 181/2014 sb. o kybernetické bezpečnosti.

Abstract:

This bachelor's thesis discusses the design of a general procedure for IT audits in the cyber information security. Conducting cyber security audits is required by the Act n.181/2014 Cyber Security of the Czech Republic in appointed entities, however, it does not stipulate its formula. The goal of this bachelor's thesis is to design a process that is universal enough to be applicable by companies with specified elements of the basic services information system. After the analysis of professional and legislative documents, a process design for IT audits was carried out. This process was subsequently investigated, using the focus group method, on a group of cyber security expert, ISO audits and cyber security audits. Based on the results of the expert discussion, the originally proposed process was reviewed and modified. A universal process for IT cyber audits has been designed, which is in line with good practice of the ISO audits as well as the international framework for the professional practice of internal auditing. In the event that the obliged person with the determined information system of the basic service follows this designed process, then it operates in accordance with the Cyber Security Act.

Keywords

interní audit, informační a kybernetická bezpečnost, Zákon o kybernetické bezpečnosti, ISMS, Organizační opatření, Technická opatření, Vyhláška o kybernetické bezpečnosti, ISO 27001, Bezpečnostní požadavky, auditor kybernetické a informační bezpečnosti, NÚKIB

Keywords

internal audit, information and cyber security, Cyber Security Act, ISMS, Organizational measures, Technical measures, Decree on cyber security, ISO 27001, Security requirements, Cyber information security auditor, NÚKIB

Language used: Czech

Date on which the thesis was submitted / produced: 18. 3. 2023

Thesis defence

• Date of defence: 17. 5. 2023
• Supervisor: doc. Ing. Jan Tyrychtr, Ph.D.
• Reader: Tomáš Grznár, externi

Czech University of Life Sciences Prague

Faculty of Economics and Management

Bachelor programme:
Informatics