Čtyři typy změn
Standardní, normální, nouzová a uvedení do provozu. Nouzová změna jde rovnou k pověřenému schvalovateli pro nouzové stavy a nečeká na celý schvalovací řetězec. Zápis do auditu je ale povinný.
Změnové řízení · bezpečnostní posouzení každé změny
Žádná změna neprojde
bez bezpečnostního posouzení.
Každá změna má jasný typ, schvalovací cestu, povinné bezpečnostní posouzení a auditní stopu. Pentest, mapování na rizika a oddělení rolí (bezpečnost, IT, řízení rizik) jsou součástí procesu, ne přílepkem.
Změna prochází posouzením a schválením
Ke každé změně patří plán implementace, testů a zpětné obnovy. Bezpečnostní posouzení, analýza rizik a schválení jdou v pevném pořadí a průběh vidíte v pravém sloupci. Dotčená aktiva i rizika jsou ke změně připojená, takže schvalovatel rozhoduje s celým kontextem. Žádná změna přitom nepřeskočí bezpečnostní posouzení.
Řízený proces změn
Volitelné kroky, vynucené bezpečnostní posouzení a kompletní historie, od návrhu až po kontrolu po nasazení.
Povinné bezpečnostní posouzení
Každá změna musí projít bezpečnostním posouzením podle kontrolního seznamu, který si organizace nastaví sama. Bezpečnostní dopad určíte ve čtyřech úrovních (od nízkého po kritický) a podle něj se řídí další kroky.
Pentest jako součást změny
Po bezpečnostním posouzení lze vyžádat penetrační test, přiřadit testera a nahrát výslednou zprávu. Soubor je šifrovaný a uložený odděleně pro každou organizaci. Dokud není pentest uzavřený, změnu nelze nasadit.
Schvalovací cesta pro každou organizaci
Schvalovací kroky si nastavíte sami: název, pořadí a schvalovatele. Po odeslání změny se kroky ke schválení vytvoří automaticky. Bez programování a bez požadavku na dodavatele.
Propojení s riziky
Schvalovatel může během schvalování označit možná rizika a propojit je s existujícími záznamy v Registru rizik. Riziko změny se pak přepočítá podle nejvyššího napojeného rizika.
Pevně daná posloupnost stavů
Stavy jdou v pevném pořadí: návrh, odesláno, bezpečnostní posouzení, pentest nebo analýza rizik, schválení, testování, nasazeno, kontrola IT, kontrola bezpečnosti, uzavřeno. Stavy nelze přeskakovat a uzavřenou změnu už nikdo nemůže upravit.
Oddělení rolí (SoD)
Proces zná standardního a dodatečného schvalovatele, schvalovatele pro nouzové stavy, bezpečnostního pracovníka, analytika rizik a dvě role pro kontrolu po nasazení (IT a bezpečnost). Zadavatel změny nemůže být jejím schvalovatelem. Ostatní role oddělíte v nastavení.
Auditní stopa každé akce
Každý přechod stavu, schválení, zamítnutí i přiřazení dostane systémový komentář. K jednotlivým fázím můžete psát vlastní poznámky. Vše se zapisuje do auditního deníku a auditor to dohledá v exportu.
Konkrétní paragrafy, které tento modul pokrývá
Řízení změn dle § 11 prováděcí vyhlášky č. 409/2025 Sb. (k zák. č. 264/2025 Sb.)
ISO/IEC 27001:2022 A.5.25
ISO/IEC 27001:2022 A.8.32
NIS2 čl. 21(2)(e)
NIST CSF PR.IP-3
Změnové řízení jako bezpečnostní kontrola, ne formalita
Bezpečnostní posouzení vynucuje sám proces, nejde jen o doporučení. Nelze ho přeskočit ani odkliknout prázdný formulář.
Pentest je krok procesu, ne požadavek bokem. Má přiřazeného testera a šifrovanou zprávu, a dokud není uzavřený, blokuje nasazení.
Schvalovací cestu i kontrolní seznam si nastavíte v aplikaci bez programátora a bez placených služeb dodavatele.
Oddělení rolí je přímo v jádru aplikace. Bezpečnost, IT, řízení rizik i kontrola po nasazení mají vlastní role.
Kontrola po nasazení probíhá ve dvou samostatných krocích (IT a bezpečnost). K uzavření je potřeba závěrečná poznámka.
Propojení s Registrem rizik: kandidáty na rizika označíte přímo u změny a skóre rizika se automaticky přepočítá podle napojených záznamů.
Na co se ptají IT manažeři a auditoři
Ano. Modul vede změny řízeným procesem s povinným bezpečnostním posouzením, schvalovací cestou, testováním a kontrolou po nasazení. To odpovídá řízení změn podle § 11 prováděcí vyhlášky č. 409/2025 Sb. (k zák. č. 264/2025 Sb.). Auditor dostane export historie změny včetně všech schválení, bezpečnostního posouzení a případného pentestu.
Ano, schvalovací kroky určíte v nastavení modulu. Každý krok má název, pořadí a přiřazeného schvalovatele. Po odeslání změny se kroky ke schválení vytvoří automaticky. Nepotřebujete úpravu kódu ani pomoc podpory.
Nouzová změna jde rovnou ke schvalovateli pro nouzové stavy a nečeká na celý schvalovací řetězec. Auditní stopa a bezpečnostní kontrolní seznam se ale neobcházejí. Jen se vyřizují souběžně, aby skutečný incident neuvázl v procesu.
Aplikace ho nepustí. Proces má pevně danou posloupnost stavů. Pokud změna čeká na pentest, nelze přejít rovnou k nasazení. Stejně tak nelze přeskočit bezpečnostní posouzení ani uzavřít změnu bez kontroly po nasazení ze strany IT i bezpečnosti.
Ano. Ke změně připojíte dotčená aktiva i existující rizika z Registru rizik. Během schvalování lze označit kandidáty na nová rizika a převést je do registru. Skóre rizika změny se přepočítá podle nejvyššího napojeného rizika.
Vyzkoušejte změnové řízení na vlastních datech
Schvalovací cestu a kontrolní seznam pro bezpečnostní posouzení si nastavíte sami. Změnové řízení najdete v tarifech Professional a Enterprise. Bez platební karty.