Co je to GAP analýza?

GAP analýza, neboli analýza mezer, je analytický nástroj sloužící ke zjištění mezer mezi existujícím stavem kybernetické bezpečnosti ve společnosti a požadavky zákona o kybernetické bezpečnosti. Systematicky provedená GAP analýza představuje základní kámen zajištění compliance. Umožňuje organizaci získat přehled o tom, jak si stojí ve světle nové právní úpravy, která opatření jsou již nastavena odpovídajícím způsobem a která je naopak nutné doplnit nebo upravit. Součástí GAP analýzy bude kontrola interních předpisů, procesů, technických a organizačních opatření i používaných technologií.

Jak probíhá GAP analýza?

Klíčovým předpokladem úspěšné GAP analýzy je správné stanovení postupu a jednotlivých kroků. Individuální přístup je nezbytný, neboť každá společnost je unikátní. 

Prvním krokem je identifikace cílového stavu, tedy právního a regulačního rámce, s nímž má být dosaženo souladu (compliance). Tento cílový stav slouží jako benchmark, vůči němuž je následně porovnáván aktuální stav opatření ve společnosti. Samotný zákon o kybernetické bezpečnosti konkrétní opatření nestanovuje; ta jsou obsažena v prováděcí vyhlášce. V rámci GAP analýzy je proto nutné tato opatření detailně zmapovat. Následně se vyhodnocují shromážděné informace a podklady, na jejichž základě dochází k vlastní analýze, tedy k porovnání existujícího a cílového stavu.

Analýza je hotová. Co dál?

Typickým výstupem GAP analýzy je strukturovaný přehled opatření, u nichž je zřejmé, zda jsou splněna, částečně splněna, či zcela chybí, včetně doporučení a priorit jejich implementace. GAP analýza tak nejen identifikuje mezery v nastavení kybernetické bezpečnosti, ale zároveň určuje konkrétní kroky, které je třeba učinit.

Na základě těchto výstupů se následně postupuje při zavádění nových nebo upravených opatření ve společnosti. Je však třeba zdůraznit, že samotnou implementací opatření není compliance zajištěna trvale. Opatření je nutné pravidelně, zpravidla minimálně jednou ročně, vyhodnocovat, ověřovat jejich aktuální stav a v případě potřeby je dále upravovat nebo rozšiřovat.