01
Bezpečnostní revize architektury
Threat modeling, hranice důvěry, identity, kryptografie. Projdeme návrh dřív, než se z něj stane provoz - a odejdete se seznamem konkrétních změn, ne s tabulkou rizik.
Bezpečný vývoj · aplikovaný výzkum
Bezpečnost není vrstva navrch. Je to vlastnost architektury.
cybbrio je malá laboratoř zaměřená na kybernetickou bezpečnost a AI. Navrhujeme bezpečné aplikace a infrastrukturu, testujeme a auditujeme aplikace a zavádíme secure development tam, kde je bezpečnost prioritou - u bank, u výrobců technologií, v AI prostředích i u vývojových firem, které mají vlastní specifická pravidla.
Čtyři oblasti, na které se specializujeme
01 - 04
02
Secure development a DevSecOps
Bezpečnost do celého životního cyklu vývoje: implementace SAST, DAST a SCA, kontrola závislostí a licencí, správa tajemství, vulnerability management a brány v CI. Nastavené a vyladěné tak, aby tým netonul ve falešných nálezech. Na stejném základu stavíme i přípravu na Cyber Resilience Act - většina požadavků přílohy I je právě o tom.
03
Bezpečnost IoT a chytrých budov
Síť, embedded zařízení a fyzický svět v jednom. Analyzujeme integrační platformy, komunikaci zařízení a chování systému na edge - včetně detekce anomálií lokálně, bez cloudu.
04
Bezpečnost AI a shadow AI
Nekontrolované používání AI nástrojů uvnitř firmy i bezpečnost AI ve vašem produktu: prompt injection, únik dat do modelů a pravidla, která se dají dodržet. Zabezpečujeme i AI agenty ve firemním prostředí - tak, aby vývojáře nezpomalovali.
+ penetrační testování webových aplikací · analýza rizik · threat modeling · dohled nad dodavatelským vývojem
Pro vývojové firmy
Rozumíme týmům, které software samy staví
Vývojová firma nepotřebuje audit, po kterém se nedá pracovat. Potřebuje opatření, která projdou code review, rychle objeví a mitigují zranitelnosti, vejdou se do pipeline a nezastaví release. Většina naší práce je právě tohle - bezpečnost napsaná jazykem vývojářů, ne compliance tabulek.
Bezpečnost, která nebrzdí release
Brány v CI nastavené tak, aby chytaly to podstatné a neblokovaly každý merge.
AI agenti ve vývojovém prostředí
Agenti a asistenti mají přístup ke kódu, tajemstvím i infrastruktuře. Nastavíme jim hranice a dohled tak, aby vývojáře neomezovaly.
Lokální inference místo cloudu
Věnujeme se bezpečnému lokálnímu běhu AI agentů a modelů - inference u vás, takže kód, tajemství ani klientská data neopouštějí vaši infrastrukturu. Na tomhle základu stavíme i automatizovaný bezpečnostní review.
Školení pro vývojáře
Specializovaná školení bezpečnosti psaná pro vývojáře, ne pro management - včetně bezpečného používání AI nástrojů a agentů při vývoji. Na vašem kódu a vašich případech.
Specifické prostředí, ne šablona
Monorepo, vlastní framework, legacy jádro nebo embedded target - pracujeme s tím, co máte, ne s ideálním případem z metodiky.
Příklady toho, co řešíme
problém → naše odpověď
Vývojáři používají AI nástroje a nikdo neví, s jakými daty.
Zmapujeme skutečné použití AI ve firmě, nastavíme pravidla pro data a agentům dáme hranice a dohled - tak, aby lidé neměli důvod je obcházet.
Závislosti se roky neaktualizovaly a upgrade se bojí všichni.
Inventura závislostí a SBOM, plán postupné aktualizace a brána v CI, která hlídá jen to podstatné. Žádný jednorázový skok přes tři major verze.
Do buildu může kdokoli podstrčit balíček.
Zabezpečení dodavatelského řetězce: pinning verzí, podepisování a ověřování artefaktů, izolované buildy a revize oprávnění v CI a na registrech.
Vývoj běží na strojích, ze kterých vede SSH do produkce.
Oddělíme prostředí a identity, zavedeme přístup na čas přes bastion nebo just-in-time a dohledatelnou auditní stopu. Vývojář se k produkci dostane, když má proč.
Tajemství jsou v repozitáři a v .env souborech.
Nasadíme správu tajemství, rotaci a skenování historie repozitáře. Únik se pak řeší jednou systémově, ne při každém incidentu znovu.
Bezpečnost se řeší týden před nasazením.
Threat modeling nad návrhem a bezpečnostní kritéria v definition of done. Oprava v návrhu stojí zlomek toho co hotfix po penetračním testu.
Nikdo přesně neví, co je vystavené do internetu.
Zmapujeme povrch: subdomény, staré testovací instance, administrace bez omezení a API bez autentizace. Většina průšvihů začíná u něčeho zapomenutého.
DevSecOps neexistuje, bezpečnost je jednorázová akce.
Postavíme DevSecOps od základu: SAST a DAST v pipeline, SCA nad závislostmi a licencemi, skenování kontejnerů a IaC, detekce tajemství v repozitáři a brány s rozumnými prahy. Nastavené tak, aby to tým zvládl provozovat bez nás.
Nejsou stanovené úrovně bezpečnostní vyspělosti.
Určíme cílovou security maturity podle toho, co firma skutečně potřebuje - jinou pro interní nástroj, jinou pro produkt v regulovaném prostředí. K tomu měřitelné kroky, jak se tam dostat.
Chybí katalog hrozeb a analýza rizik.
Sestavíme katalog hrozeb pro vaše systémy a analýzu rizik, která se dá použít při rozhodování - ne dokument do šuplíku pro auditora.
Nasazení AI, aniž by data opustila firmu.
Navrhneme a postavíme lokální AI řešení nad vlastní inferencí - modely i agenti běží u vás, data zůstávají uvnitř. Používáme to i pro automatizovaný bezpečnostní review kódu.
Produkt jde na trh EU a z CRA nemáme doloženo nic.
Určíme, do jaké třídy produkt spadá, uděláme analýzu rozdílu proti příloze I a doplníme chybějící procesy i dokumentaci. Oznamovací povinnosti platí od 11. září 2026, plný soulad od 11. prosince 2027 - času je méně, než se zdá.
Jak u nás vypadá práce
vyberte proces a krok
Penetrační test webové aplikace · krok 01 / 05 · 1-3 dny
Rozsah a pravidla
Dohodneme cíle testu, hranice, prostředí a komunikační kanály. Určíme, co je v rozsahu, co se testovat nesmí a jak postupovat, když najdeme něco kritického uprostřed noci.
- Výstup
- Test plan a pravidla zapojení
Penetrační test webové aplikace · krok 02 / 05 · 2-4 dny
Průzkum a mapování
Zmapujeme povrch aplikace: endpointy, role a oprávnění, autentizační toky, závislosti a použité technologie. Cílem je pochopit systém, ne jen prohnat sken.
- Výstup
- Mapa útočné plochy
Penetrační test webové aplikace · krok 03 / 05 · 3-8 dní
Ověření zneužitím
Nálezy ověřujeme reálným zneužitím - ručně, s důrazem na logiku aplikace a řetězení chyb. Automatika je jen pomocník. Každý krok dokumentujeme tak, aby šel zopakovat.
- Výstup
- Doložené nálezy s reprodukcí
Penetrační test webové aplikace · krok 04 / 05 · 2-3 dny
Report a priority
Nálezy popíšeme dopadem na váš byznys, ne jen názvem zranitelnosti. Ke každému patří reprodukce, hodnocení rizika a konkrétní návrh opravy pro vývojáře.
- Výstup
- Report a prezentace pro tým
Penetrační test webové aplikace · krok 05 / 05 · 1-2 dny
Retest
Po opravách ověříme, že nález skutečně zmizel a že oprava nezavedla nový problém. Retest je součástí ceny, ne dodatečná položka.
- Výstup
- Potvrzení nápravy
Bezpečnost AI a shadow AI · krok 01 / 05 · 1-2 týdny
Zmapování použití AI
Zjistíme, které AI nástroje se v organizaci reálně používají, kým a s jakými daty - včetně těch neschválených. Bez honu na čarodějnice; cílem je obraz skutečnosti.
- Výstup
- Registr AI nástrojů a datových toků
Bezpečnost AI a shadow AI · krok 02 / 05 · 3-5 dní
Klasifikace dat a rizika
Určíme, co se do modelů posílat smí a co ne: obchodní tajemství, osobní údaje, zdrojový kód, klientská data. K tomu právní a smluvní rámec dodavatelů.
- Výstup
- Pravidla pro práci s daty v AI
Bezpečnost AI a shadow AI · krok 03 / 05 · 1-2 týdny
Bezpečnost AI v produktu
Threat model AI komponenty: prompt injection, nepřímá injekce přes zpracovávaná data, nadměrná oprávnění agentů, izolace nástrojů a únik dat mezi zákazníky.
- Výstup
- Threat model a návrh opatření
Bezpečnost AI a shadow AI · krok 04 / 05 · 1-2 týdny
Kontroly a záruky
Logování rozhodnutí, lidské potvrzení u citlivých akcí, limity a rozpočty, testování odolnosti proti manipulaci. Aby AI mohla jednat, ale ne bez dohledu.
- Výstup
- Sada kontrol a testovacích scénářů
Bezpečnost AI a shadow AI · krok 05 / 05 · 3-5 dní
Politika a školení
Srozumitelná AI politika a krátké školení pro tým. Pravidla, která se dají dodržet, jsou jediná obrana proti shadow AI, která funguje.
- Výstup
- AI politika a proškolený tým
Bezpečnostní audit chytré domácnosti · krok 01 / 05 · 1-2 dny
Inventura zařízení a sítí
Sepíšeme, co v domě skutečně běží: zařízení a protokoly (KNX, Zigbee, Z-Wave, Modbus, IP kamery), cloudové závislosti, vzdálené přístupy a kdo je za co odpovědný.
- Výstup
- Mapa systému a jeho závislostí
Bezpečnostní audit chytré domácnosti · krok 02 / 05 · 1-2 dny
Segmentace a přístupy
Ověříme oddělení sítí, VLAN, vzdálený přístup, správu hesel a rolí. Zajímá nás, kdo se odkud dostane k čemu - včetně integrátora a výrobce zařízení.
- Výstup
- Nálezy v segmentaci a identitách
Bezpečnostní audit chytré domácnosti · krok 03 / 05 · 2-5 dní
Test zařízení a komunikace
Analyzujeme komunikaci mezi zařízeními, výchozí hesla, aktualizační mechanismy, šifrování a firmware. Hledáme cesty, kterými se dá dům ovládat zvenčí.
- Výstup
- Seznam zranitelných zařízení
Bezpečnostní audit chytré domácnosti · krok 04 / 05 · 2-3 dny
Chování systému
Změříme baseline běžného provozu a ověříme, co systém dělá při výpadku, ztrátě cloudu nebo cíleném útoku. Na tomhle základu staví i lokální detekce anomálií na edge.
- Výstup
- Scénáře a návrh detekce
Bezpečnostní audit chytré domácnosti · krok 05 / 05 · 1-2 dny
Plán nápravy
Opatření seřazená podle rizika a nákladů, rozdělená na to, co udělá integrátor, výrobce a co uživatel. Bez nutnosti vyměnit celý dům.
- Výstup
- Plán nápravy a termín retestu
Příprava na CRA (Cyber Resilience Act) · krok 01 / 06 · 1-2 týdny
Klasifikace produktu a rozsah
Určíme, které z vašich produktů spadají do rozsahu nařízení a do jaké třídy - běžný produkt, důležitý, nebo kritický. Od toho se odvíjí, zda stačí vlastní posouzení shody, nebo bude potřeba notifikovaná osoba.
- Výstup
- Seznam produktů v rozsahu a jejich třídy
Příprava na CRA (Cyber Resilience Act) · krok 02 / 06 · 2-4 týdny
Analýza rozdílu proti příloze I
Porovnáme současný stav vývoje a provozu s požadavky přílohy I: bezpečnost v návrhu, výchozí konfigurace, ochrana dat, správa zranitelností. Výsledkem je seznam konkrétních mezer, ne obecná doporučení.
- Výstup
- Gap analýza s prioritami a odhadem práce
Příprava na CRA (Cyber Resilience Act) · krok 03 / 06 · 2-3 týdny
Proces hlášení do 24 hodin
Nastavíme, jak se pozná aktivně zneužívaná zranitelnost a závažný incident, kdo rozhoduje o hlášení, jakým kanálem a s jakou šablonou. Tato povinnost platí od 11. září 2026, tedy dřív než zbytek nařízení.
- Výstup
- Postup hlášení, role a šablony oznámení
Příprava na CRA (Cyber Resilience Act) · krok 04 / 06 · 4-8 týdnů
Správa zranitelností a doba podpory
Zavedeme SBOM, sledování zranitelností v závislostech, vydávání bezplatných bezpečnostních aktualizací a politiku koordinovaného zveřejňování. K tomu určíme dobu podpory produktu a co v ní zákazníkům garantujete.
- Výstup
- SBOM, VDP a definovaná doba podpory
Příprava na CRA (Cyber Resilience Act) · krok 05 / 06 · 4-8 týdnů
Dokumentace a posouzení shody
Připravíme technickou dokumentaci podle přílohy VII, podklady pro EU prohlášení o shodě a CE označení. Certifikaci provádí notifikovaná osoba - my vás na ni připravíme a doprovodíme.
- Výstup
- Technická dokumentace a podklady k prohlášení
Příprava na CRA (Cyber Resilience Act) · krok 06 / 06 · průběžně
Dohled po uvedení na trh
Nastavíme průběžné sledování produktu na trhu, hlášení napříč dodavatelským řetězcem a pravidelnou revizi dokumentace, aby soulad nevydržel jen do dne certifikace.
- Výstup
- Plán dohledu a revizní kalendář
Zkušenosti a reference
Bezpečnostní zakázky se nedají vystavit se jménem klienta. Uvádíme typ prostředí a roli, kterou v něm zakladatel firmy měl nebo má. Konkrétní jména na vyžádání a po dohodě.
-
Bankovní systémy
Bezpečnost core banking systému a navazujících služeb budovaných v rámci nové digitální banky - tedy části, kde leží hlavní účetní kniha.
security architect
-
Vojenský logistický systém
Plně integrovaný logistický systém pro armádu postavený na microservices - správa majetku, údržba techniky, zásobování jednotek doma i v zahraničních misích. Návrh architektury a bezpečnosti.
security architect
-
Šifrovaná komunikace bez serverové infrastruktury
Mobilní messenger pro prostředí s vysokými nároky na utajení: vlastní kryptografické jádro, national-grade šifrovací algoritmy a eliptické křivky vyžadované zadavatelem, protokol s průběžnou obměnou klíčů. Bez centrálního serveru - provoz prochází relé, které nevidí obsah ani metadata o tom, kdo s kým komunikuje.
kryptografie · government
-
Šifrovací modul pro datové spoje
Vývoj šifrovacího modulu pro ochranu IP provozu podle kryptografických standardů předepsaných státním zadavatelem: implementace primitiv, správa a distribuce klíčů, oddělení šifrovacího jádra od zbytku systému a ověření, že modul odolá i útoku na vlastní hardware.
kryptografie · defence
-
Analýza a vizualizace komunikačních dat
Systém pro zpracování velkých objemů zachycených komunikačních dat a jejich vizualizaci do podoby vazeb mezi účastníky. Důraz na integritu a dohledatelnost zpracování, řízení přístupu podle role a auditní stopu - u dat tohoto typu je zneužití zevnitř větší riziko než útok z internetu.
government · data security
-
Federace portálů veřejné správy
Návrh bezpečnostních pravidel federace portálů napříč agendami různých ministerstev z pohledu koncového uživatele - občana i firmy: jak se identita ověří jednou a přenese mezi agendami, kde končí důvěra jednoho úřadu v druhý a jak zůstane dohledatelné, kdo k údajům přistoupil. Zakázka pro jednu z velkých poradenských společností.
security design
-
Chytré domy a dohled
Bezpečnost řešení, která vyvíjí firma stavějící inteligentní domy se zabezpečením a dohledem: integrační platforma, nástroje pro konfiguraci a bezpečnost provozu instalací u koncových zákazníků.
security architect
-
Autonomní AI agentní systémy
Bezpečnostní architektura autonomních agentních systémů: hranice oprávnění jednotlivých agentů, izolace nástrojů a dat, kontrola akcí s nevratným dopadem, obrana proti prompt injection a auditní stopa, ze které je zpětně poznat, proč agent udělal to, co udělal.
AI architect
-
Security review agenti
Agentní řešení pro autonomní bezpečnostní review kódu a změn, běžící nad lokální inferencí - zdrojový kód ani tajemství tak neopustí infrastrukturu zákazníka. Nálezy chodí rovnou do vývojového procesu, ne do samostatného reportu.
AI architect
-
Identita a autentizace AI agentů
Řešení otázky, kterou si položí každý bezpečnostní tým, jakmile agenti začnou jednat samostatně: který agent tuto akci provedl, z čí pravomoci a s jakým oprávněním. Návrh identity agenta odděleně od identity uživatele, ověřitelné předávání zmocnění mezi agenty se zužujícím se rozsahem, krátkodobé přístupové údaje a okamžité odvolání celého řetězce při incidentu.
AI a identity security
-
Správa zranitelností
Vulnerability management významné české banky s přesahem do celé bankovní skupiny - sjednocení evidence nálezů, priorit a termínů nápravy napříč desítkami systémů a dodavatelů.
security architect
-
IoT platforma
Bezpečnost platformy propojující zařízení v budovách: oddělení sítí, bezpečná registrace a aktualizace zařízení, ochrana komunikace mezi bránou a cloudem a omezení toho, co může jedno kompromitované zařízení způsobit zbytku instalace.
security architect
-
Bezpečná mesh komunikace pro extrémní podmínky
Návrh a vývoj low-power mesh komunikačního systému nad standardem IEEE 802.11ah (Wi-Fi HaLow) pro prostředí bez infrastruktury a s náročnými klimatickými podmínkami: směrovací algoritmy, zabezpečení přenosu, energetická optimalizace a testování spolehlivosti na velké vzdálenosti.
výzkum a vývoj
-
Platforma pro sběr dat z distribuovaných zařízení
Hardwarová i softwarová platforma pro vzdálený sběr multimediálních dat: embedded návrh, vzdálená správa zařízení, podepsané OTA aktualizace firmware, monitoring a centralizovaná správa infrastruktury pro dlouhodobý bezobslužný provoz v terénu.
embedded a platform security
-
Robot Process Automation
RPA systém s vysokou propustností pro bankovní prostředí, který denně integruje a reportuje data napříč všemi systémy. Řešili jsme přístupy robotů k citlivým datům, správu jejich pověření a auditní stopu - při zachování rychlosti dodávek.
security architect
-
Advokátní systém
Systém pro řízení týmů a bezpečné ukládání advokátních dokumentů a publikací ve velkých kancelářích. Návrh přístupových pravidel mezi kauzami, šifrování uložených dat a bezpečnostní a výkonnostní testování.
security architect
-
Low-latency systémy
Návrh a implementace komunikačních protokolů pro zařízení postavená na mikrořadičích. Běží ve stovkách instalací, kde je zpoždění stejný problém jako výpadek.
security design
-
Kodifikační katalog NATO
Aplikace pro kodifikaci NATO používaná ve 23 zemích - odpovědnost za architekturu databáze, časově kritické vyhledávací algoritmy a integraci navazujících systémů.
architect
Výzkum
Část kapacity držíme pro aplikovaný výzkum
Spolupracujeme s akademickým prostředím - mimo jiné s FIT a FEKT VUT v Brně - na tématech kolem strojového učení, AI agentů, bezpečnostních modelů a chytrého bydlení. Není to marketing: díky tomu víme, jak se nové technologie chovají dřív, než je klient nasadí.
Kdo za tím stojí
Malý tým, dlouhá praxe
Mgr. Vojtěch Zavřel
zakladatel · security architect
Přes 25 let v oboru - od výzkumu podobnostního vyhledávání na FI MU přes enterprise frameworky po architekturu bankovních a vojenských systémů. Bezpečnosti se věnuje dlouhodobě: navrhuje bezpečnostní architektury, vede threat modeling a vulnerability management v bankovním prostředí, testuje webové aplikace a zavádí secure development do týmů, které software staví. Architekt, který rozumí i kódu.
Ing. David Podzimek, DiS.
senior security engineer · AI platform architect
Staví systémy od hardwaru a edge až po cloudové platformy s vysokou propustností a AI/ML vrstvou. Zkušenosti z vývoje specializovaných řešení pro armádu, bezpečnostní složky a e-commerce - z prostředí, kde je bezpečnost a spolehlivost podmínkou nasazení. U nás vede návrh AI platforem, agentních systémů a lokální inference.
Egor Koriakov
security project manager · security engineer
Přes 15 let ve vědecko-výzkumné a vývojové firmě v oblasti ochrany komunikací - od inženýra systémů ochrany komunikace po projektového manažera. Vedl dodávku vysokopřesných komplexů pro monitoring komunikačních kanálů (GSM, SHF, UHF) a podílel se na vývoji optického kanálového šifrovače pro satelitní spoje. Následně stavěl vlastní kryptograficky silné hardwarově-softwarové řešení pro ochranu utajované komunikace.
Mgr. Jiří Mikulášek
architect · DevSec
Architekt cloudových služeb s vysokou dostupností - roky na platformě pro univerzální zpracování a analýzu dat, od roku 2023 na vývoji AI agenta nad ní. Vedle toho integrace a automatizace smart home systémů. Bezpečnost bere jako součást návrhu a provozu, ne jako revizi na konci; k novým technologiím přistupuje s otevřenou hlavou.
Ing. et Mgr. Lukáš Matěna
specialista na bezpečnost IoT · system designer
Specialista na bezpečnost IoT systémů a chytrých budov. Navrhuje a realizuje velké instalace, takže zná jejich slabá místa z praxe: protokoly zařízení, integrační platformy, vzdálené přístupy a to, co v provozu skutečně selhává.
Další lidé v týmu
síťová bezpečnost · penetrační testování · compliance
Kromě lidí výše máme v týmu další zkušené kolegy, kteří se věnují síťové a infrastrukturní bezpečnosti, penetračnímu testování, forenzní analýze a compliance (NIS2, ISO 27001, DORA). Na konkrétní zadání sestavujeme tým podle toho, co problém vyžaduje - odpovědnost za výsledek zůstává vždy na nás.
Řešíte bezpečnost systému, který ještě nevznikl? To je nejlevnější okamžik.
Napište, co stavíte. Ozveme se do dvou pracovních dnů a řekneme rovnou, jestli je to pro nás, nebo koho doporučit.