Bezpečnost · převzetí · provoz · vývoj

Bereme práci, kterou jiní vrátili.

Systém, ke kterému chybí dokumentace. Cluster, na který se po odchodu jednoho člověka nikdo nechce sáhnout. Výzva podle nového zákona o kybernetické bezpečnosti, se kterou si ve firmě nikdo neví rady.

Běžný dodavatel takovou zakázku odmítne, a má pro to důvod: nedá se dopředu odhadnout a dá se na ní spálit. My s tím počítáme a začínáme tím, že se nejdřív podíváme, co tam vlastně je.

Tohle děláme. Jednu věc bereme celou a do konce, ne pět zakázek naráz.

Napište, co se u vás děje 732 246 496

Co po nás zůstane

Písemně: Zjištění na soubor a řádek, ne „doporučujeme zvážit“
Dokumentace: Schéma, postupy, kde co běží a na čem to stojí
Přístupy: Vrátíme všechny, včetně svých
Vlastní provoz: Ceph + OpenStack, 32 TB, běží nám doma
Smlouva: RealityCloud, s.r.o. · IČO 21634271

IČO si ověřte v ARES. Firma je zapsaná od 22. 5. 2024, značka Quorum je nová.

Kyberbezpečnost

Nový ZoKB, posouzení stavu, řízení rizik, bezpečnostní dokumentace a odpovědi na dotazníky od zákazníků.

Převzetí systémů

Prostředí bez dokumentace, po odchodu člověka nebo po dodavateli, se kterým se nedá mluvit. Nejdřív zjistíme, co tam je, pak se rozhodne, co s tím.

Provoz a infrastruktura

Ceph, OpenStack, virtualizace, migrace, zálohy a obnovy. Včetně upgradů, u kterých se nesmí nic ztratit.

Vývoj a integrace

Mírný vývoj na míru: propojení systémů, které spolu nemluví, a doplnění toho, co v hotovém softwaru chybí.

Kdy nám lidé volají

Většina prvních zpráv začíná jednou z těchto pěti věcí

Jsou to situace, se kterými nás lidé oslovují. Když se v některé poznáváte, napište ji vlastními slovy, stačí odstavec.

„Odešel nám člověk, který jako jediný věděl, jak to funguje.“
Zůstaly přístupy, o kterých nikdo neví, k čemu jsou, a rozhodnutí, která nejsou nikde napsaná. Bez převzetí to vydrží do prvního výpadku.
„Systém běží, ale nikdo netuší, na čem stojí.“
Virtuály na hardwaru bez podpory, zálohy, které nikdo dva roky nezkoušel obnovit, a jeden server, kterého se všichni bojí restartovat.
„Přišla výzva k zákonu o kybernetické bezpečnosti a nevíme, co s ní.“
Ohlásili jste se NÚKIB, běží vám lhůta a uvnitř to spadlo na člověka, který zároveň odpovídá za provoz. Právě to vyhláška nedovoluje.
„Dodavatel řekl, že to nejde, nebo přestal odpovídat.“
Někdy je to pravda a věc opravdu nejde tak, jak byla zadaná. Častěji jde o něco, co se nedá naplánovat na hodiny dopředu, a proto se do toho nikdo nepustil.
„Něco se stalo a nevíme, jestli se to může stát znovu.“
Šifrovaná data, e-mailový účet, ze kterého někdo psal vašim klientům, nebo jen podivná faktura. Otázka po incidentu nikdy nezní „kdo to udělal“, ale „kudy se dostal dovnitř a je to ještě otevřené“.

Proč právě teď

Zákon o kybernetické bezpečnosti postavil roli, kterou nesmí obsadit váš dodavatel IT

Zákon č. 264/2025 Sb. platí od 1. 11. 2025 a s ním dvě vyhlášky: 409/2025 Sb. pro režim vyšších povinností a 410/2025 Sb. pro nižší. Ve vyšším režimu se vyžaduje oddělení rolí, a to má nepříjemný důsledek. Kdo odpovídá za provoz technických aktiv, nemůže zároveň řídit kybernetickou bezpečnost a schvalovat opatření sám sobě.

Prakticky to znamená, že roli manažera kybernetické bezpečnosti nemůže obsadit firma, která vám spravuje servery. Ani váš vlastní IT vedoucí, pokud pod něj provoz patří. NÚKIB zároveň potvrzuje, že bezpečnostní role smí vykonávat externí člověk.

Nikoho tedy nevyhazujete. Doplňujete druhého, nezávislého člověka k tomu, kdo u vás IT provozuje. K 8. 2. 2026 se podle měření NÚKIB ohlásilo 4 825 organizací. Lhůta na zavedení opatření je rok od doručení rozhodnutí o zařazení.

Co s tím konkrétně děláme →

Co v tom nenabízíme

Vyhláška po člověku v bezpečnostní roli chce doloženou odbornou způsobilost. My ten doklad zatím nemáme.

Proto nenabízíme obsazení role manažera kybernetické bezpečnosti. Nabízíme posouzení stavu, přípravu podkladů a práci, která musí být hotová, než roli obsadí kdokoli: seznam aktiv, rizika, chybějící dokumentaci a pořádek v přístupech.

Píšeme to sem, protože se to na první schůzce stejně ukáže, a je lepší, když to víte předem.

Obory

Čeho se práce týká

U každé oblasti je řádek DOKLAD: čím ji umíme podložit dnes, nikoli čím doufáme, že ji podložíme za rok.

Kybernetická bezpečnost a soulad se ZoKB

Posouzení stavu proti vyhlášce, evidence aktiv, analýza rizik, bezpečnostní politiky, plán zvládání incidentů. Odpovědi na bezpečnostní dotazníky, které dnes rozesílají velké firmy svým dodavatelům.

DOKLAD: čtyři písemné audity vlastních systémů se zjištěními na soubor a řádek. Ukážeme je na schůzce, na web nepatří.

Převzetí a záchrana cizích systémů

Prostředí, ke kterému chybí dokumentace i lidé. Zjištění, co běží a na čem, převzetí přístupů, srovnání nejhorších věcí a teprve potom plán, co dál.

DOKLAD: vlastní infrastruktura pěti souběžných projektů, převzatá a přepsaná z cizího stavu.

Provoz, virtualizace a úložiště

Ceph a OpenStack: provoz, upgrady, rozšiřování, obnovy po havárii. Zkušenost je z clusterů v řádu stovek terabajtů. Vlastní cluster Quora má 32 TB a používáme ho denně, včetně věcí, které by se u zákazníka zkoušet neměly.

DOKLAD: vlastní cluster 32 TB. Kapacity clusterů u zaměstnavatele nejsou náš majetek, a proto je tu neuvádíme.

Migrace

Odchod z VMware, přesun pošty a identit, stěhování dat mezi úložišti. Nejcennější část migrace je seznam toho, co se nesmí ztratit, sepsaný předem.

DOKLAD: žádný, který bychom vám mohli ukázat. Migrace jsme dělali u zaměstnavatelů a ta data nejsou naše.

Dokumentace zpětně

Popis prostředí, které nikdo nepopsal, dokud v něm ještě někdo umí chodit. Schéma, seznam systémů, závislosti, postupy pro obnovu. Bývá to nejnudnější položka nabídky a při odchodu člověka jediná, která zachrání provoz.

DOKLAD: dokumentace vlastního prostředí a rozhodnutí, včetně důvodů, proč jsou věci postavené tak a ne jinak.

Vývoj na míru a integrace

Mírný vývoj, ne velké projekty: propojení dvou systémů, doplnění chybějícího kusu, automatizace ruční práce, kterou někdo dělá každý měsíc v Excelu.

DOKLAD: pět vlastních aplikací v provozu i ve vývoji, mimo jiné CRM pro pivovary a realitní platforma.

Sítě a perimetr

Segmentace, firewall, VPN, doručitelnost pošty (SPF, DKIM, DMARC). Často to je první věc, která se po incidentu ukáže jako příčina.

DOKLAD: vlastní perimetr a pošta. Kontrolu nastavení vaší domény uděláme na začátku a zdarma.

Subdodávka pro jiné IT firmy

Pokud jste dodavatel a máte zakázku, u které chybí člověk na Ceph, OpenStack nebo bezpečnostní část, jde to udělat pod vaší smlouvou. Zákazníka neobcházíme a nekontaktujeme.

DOKLAD: dohodneme se písemně, včetně toho, že u vašeho klienta nevystupujeme pod svým jménem.

Jak si bereme práci

Než řekneme ano, chceme vědět, co to je

Zakázku, na kterou nemáme čas nebo kompetenci, odmítneme na začátku. Je to rychlejší pro obě strany než zjišťovat to v polovině.

Zpráva a krátký hovor

Napíšete, co se děje. Zavoláme si, obvykle na dvacet minut, a řekneme, jestli to je práce pro nás.
Podíváme se, co tam je

Omezený rozsah, pevná cena, výstup písemně. Bez tohoto kroku by každý odhad na větší práci byl vymyšlený.
Rozhodnete se

Ze zjištění vyjde seznam, co je nutné, co může počkat a co doporučujeme neřešit. Můžete s ním jít i k jinému dodavateli. Stalo se to a je to v pořádku.
Práce a předání

Jedna věc v jednu dobu. Na konci dokumentace, vrácené přístupy a stav, ve kterém se dá pokračovat bez nás.

Podrobněji o průběhu, cenách a smlouvě →

Kapacita

Jsme dva lidé. Do práce se pouštíme podle toho, co máme rozjeté, takže začátek bývá za týden až tři. Hovor se dá udělat dřív.

Když se ozvete a den dva se nic neděje, není to nezájem. Napište znovu nebo zavolejte, telefon bereme.

Havárie a incidenty řešíme přednostně. Řekněte to hned v první zprávě, ať se to neztratí ve frontě.

Poctivě

Co u nás nedostanete

Certifikace, kterou nemáme. Doklad o způsobilosti pro bezpečnostní roli podle vyhlášky nám chybí a pracujeme na něm.
Obsazení role manažera kybernetické bezpečnosti. Posouzení a přípravu ano, roli ne.
Tým. Jsme dva a na schůzku i na realizaci přijde stejný člověk.
Nepřetržitý dohled 24/7. Neuneseme ho ve dvou a slibovat ho by bylo lhaní.
Velké projekty na rok s deseti lidmi. Takovou práci předáme dál a řekneme komu.
Zakázky pro Ústav pro studium totalitních režimů, Archiv bezpečnostních složek a jejich dodavatele. Jeden z nás tam pracuje, takže je to střet zájmů.

Reference

Zatím žádné nemáme

Značka Quorum je nová a zákaznické referenci by dnes musela chybět pravda. Vymyšlená loga na webu nejsou ani jedno.

Co ukázat můžeme, jsou vlastní systémy: audity, které jsme na nich napsali, cluster, na kterém běží, a dokumentace, podle které se v nich orientuje druhý člověk. To si projdeme na schůzce.

Dvě vlastní věci jdou letos do provozu, pivovarský e-shop a realitní platforma. Až poběží, přidáme je sem jako práci, u které si můžete kliknout a podívat se.

Otázky, které dostáváme

Nepohodlné jako první

Jste dva lidé. Co když jeden z vás vypadne?

Je to reálné riziko a nemá cenu ho zakrývat. Proto všechno, co u vás uděláme, píšeme tak, aby to unesl někdo jiný: dokumentace k prostředí, postupy, přístupy vedené na vaše jméno, ne na naše. Když skončíme my, nezůstane vám prázdno, ale popis.

U práce, která nesnese přerušení, to řekněte na začátku. Buď najdeme druhého dodavatele k sobě, nebo tu zakázku nevezmeme.

Kolik to stojí?

Ceny na web nedáváme, protože bez znalosti prostředí je číslo jen reklama. Dostanete je písemně u konkrétního rozsahu, dřív než začneme.

První krok bývá posouzení s omezeným rozsahem a pevnou cenou, takže víte, kolik vás stojí zjistit, co se u vás děje. Slevy nedáváme, mění se rozsah.

Máte na nás vůbec čas?

Na hovor ano, obvykle v tomtéž týdnu. Na začátek práce podle toho, co máme rozjeté, počítejte spíš s několika týdny. Bereme jednu věc v jednu dobu, což je někdy nevýhoda pro vás a pokaždé výhoda pro tu jednu věc.

Proč bychom měli měnit dodavatele?

Neměli. Ve většině případů nikoho nevyměňujete, přibývá druhý, nezávislý člověk na část, kterou váš dodavatel dělat nesmí nebo nechce. U bezpečnostní role to není naše preference, ale požadavek na oddělení rolí.

Když spolupráce s dodavatelem funguje, řekneme mu to a domluvíme se s ním. Vytlačovat někoho ze zakázky je krátkozraké, IT v Česku je malý svět.

Jak je to s vaším hlavním zaměstnáním?

Jeden z nás je zaměstnaný ve státní organizaci a Quorum je práce mimo ni. Znamená to dvě věci: nebereme zakázky, kde by šlo o střet zájmů (jsou vypsané výše), a kapacitu plánujeme podle toho, co skutečně unese, ne podle toho, co by se lépe prodávalo.

Podepíšete mlčenlivost?

Ano, i před prvním hovorem, pokud to potřebujete. Přístupy do prostředí chceme vedené na vlastní účty, aby bylo v logu vidět, kdo co dělal, a na konci se daly zrušit jedním krokem.

Napište, co se u vás děje

Stačí odstavec vlastními slovy: co se stalo nebo co máte splnit, do kdy a co už jste zkusili. Ozveme se s tím, jestli to je práce pro nás, a když ne, řekneme, koho hledat.

Kontakt info@quorum.cz