Co je „aktivum“
Aktivum je cokoli, co má pro organizaci hodnotu a vyžaduje ochranu. V kybernetické bezpečnosti to nejsou jen servery a data, ale také procesy, know‑how, reputace či lidé. Konfigurace (např. verze firmwaru, síťové parametry) je atributem aktiva – popisuje jeho aktuální stav a zapisuje se do CMDB, není však samostatným aktivem. Čím vyšší hodnota aktiva, tím větší motivace útočníků a větší potřeba ochrany.
ISO/IEC 27001 (A.5.9): „Aktivum je cokoli, co má v organizaci hodnotu a vyžaduje ochranu.“
Proč mít aktiva pod kontrolou
- Legislativa – nový zákon o kybernetické bezpečnosti vyžaduje úplnou inventarizaci aktiv.
- Priority – bez znalosti hodnoty aktiv nelze smysluplně rozdělit rozpočet na opatření.
- Rychlá reakce při problémech – díky evidenci okamžitě víte, kde jsou data a kdo za ně zodpovídá.
Typy aktiv v praxi
5 tipů, jak s aktivy pracovat
1. Založte centrální seznam
- CMDB či tabulka s minimem údajů: název, kategorie, vlastník, umístění, verze, cena,....
2. Přiřaďte garanta
- Odpovídá za správnost údajů i za úroveň ochrany.
3. Hodnoťte dopad na byznys (CIA – důvěrnost, integrita, dostupnost)
- Finanční ztráta, právní postih, přerušení provozu – stanovte CIA skóre nebo Business Impact.
4. Aktualizujte inventář průběžně
- Spouštějte aktualizaci při nasazení nové aplikace, nástupu či odchodu zaměstnance nebo změně konfigurace a/nebo využijte nástroje pro automatické vyhledávání aktiv (autodiscovery), které inventář doplní bez ruční práce.
5. Propojte aktiva s riziky a opatřeními
- V nástroji Kraita Cyber One vidíte zranitelnosti i kontroly vztahující se k aktivu.
Příklad z praxe
Výrobní firma zjistila, že zdrojový kód pro řízení robotické linky není evidován jako kritické aktivum. Audit odhalil, že zálohy kódu existují jen na USB disku vývojáře. Po zařazení aktiva do inventáře, zavedení zálohovací politiky a MFA k repozitáři se odhadované riziko ztráty produkce snížilo o ≈ 90 % – výpočet vycházel z Business Impact Analysis (BIA) a metody Annualized Loss Expectancy (ALE).
Shrnutí
- Aktivum = vše, co má pro firmu hodnotu a potřebuje ochranu.
- Bez evidence aktiv nelze efektivně řídit rizika ani rozpočet na zabezpečení.
- 5 tipů výše pomůže vybudovat přehledný inventář a navázat na něj opatření.
👉 Tip: Modul Kraita Identifikace aktiv generuje seznam aktiv, přiřadí garanty a následně zobrazuje rizikový profil.
Doporučené zdroje
- ISO/IEC 27001:2022 – Annex A, 5.9 Inventory of information and other associated assets
- NÚKIB – Metodika řízení aktiv (2024)
- ENISA – Good Practices for Asset Management (2023)