Information systems security penetration testing

Cílem disertační práce je vytvoření metodiky řízení penetračních testů bezpečnosti informačních systémů založené na analýze slabých stránek současných metodik a na analýze postavení penetračních testů v kontextu řízení podnikového IS/IT. Nedílnou součástí tohoto cíle je i validace vytvořené metodiky. V první části práce dochází k představení historie oboru a aktuálního stavu výzkumu, identifikaci omezení práce, definici pojmů (a jejich vztahů), a zejména k zasazení penetračních testů do kontextu řízení podnikové informatiky. Následně je provedena rešerše relevantních zdrojů a komparativní analýza současných metodik s cílem identifikovat jejich slabé stránky, které jsou následně využity pro tvorbu metodiky. Dále je pak představena klasifikace typů penetračních testů a problematika testovacích scénářů. Následuje návrh nové metodiky, nejprve je popsána historie a struktura metodiky včetně základních principů, následně jsou detailně představeny její jednotlivé úrovně, přičemž metodika je tvořena s cílem pokrýt v současné době slabě popsané oblasti. V poslední části práce je provedena teoretická a praktická validace. Přínosem pro další rozvoj vědního oboru je vytvoření metodiky zaměřené na řízení penetračních testů bezpečnosti informačních systémů, což je oblast, která v současné době není dostatečně popsána. Sekundárním přínosem je ujasnění postavení a úlohy penetračních testů v rámci řízení podnikového IS/IT a provedení rozsáhlé rešerše metodik současných. Přínosem pro ekonomickou a technickou praxi je vytvoření prakticky použitelné metodiky, jejíž aplikací lze dosáhnout zkvalitnění řízení penetračních testů, což zahrnuje zejména zlepšení procesu plánování, operativního řízení a implementace protiopatření, jakožto i tvorby dokumentace.