Proč vůbec řešit „povolený offline režim“
Offline práce přináší výhody – odolnost vůči výpadkům, mobilitu v terénu, nižší latenci a lepší dostupnost nástrojů. Současně však zvyšuje rizika: únik dat mimo kontrolované prostředí, nekonzistentní verze dokumentů, opožděnou detekci incidentů a obcházení bezpečnostních bran. Povolený offline režim proto není „workaround“ pravidel, ale formálně definovaný a technicky vynucený způsob práce bez internetu, který respektuje bezpečnost, licence, regulace a interní politiky.
Politiky a pojmy: co je dovoleno, co je zakázáno
- Offline režim: předem schválený stav, ve kterém je část funkcí dostupná bez síťového připojení, přičemž se uplatňují stejné nebo přísnější bezpečnostní pravidla.
- Air-gapped režim: zařízení úmyslně fyzicky oddělené od sítí. Používá se pro nejcitlivější data, má přísné přenosové protokoly (jednosměrné brány, manuální kontrola).
- Zakázané obcházení: obcházení proxy, VPN, DLP, MDM, licenčních serverů, geofencingu či auditu. Offline režim nikdy nesmí sloužit k maskování aktivit.
Model rizik pro offline práci
- Data mimo dohled: kopírování do nešifrovaných složek, osobních zařízení, externích médií.
- Nekonzistence: konflikt verzí, lokální úpravy na základě zastaralých pravidel (např. ceníky, smluvní doložky).
- Opožděná detekce: incident nebo malware odhalen až po opětovném připojení.
- Licence a compliance: offline používání, které poruší licenční či sektorové předpisy (export, zdravotnictví, finance).
Architektonické zásady „offline-first“ v souladu s pravidly
- Selektivní synchronizace: stahovat pouze nezbytné záznamy a pole (princip „need-to-know“ + „need-to-have“) s časovým TTL.
- Lokální šifrovaná cache: diskové šifrování, separátní app vault, klíče vázané na hardware (TPM/Secure Enclave) a pracovní profil.
- Politiky při ztrátě spojení: jasná pravidla, které operace jsou povoleny offline (např. čtení, drafty) a které vyžadují online ověření (podpisy, exporty, mazání).
- Deterministická synchronizace: CRDT/OT nebo serverově preferenční merge s auditem konfliktů a možností roll-back.
- „Policy as code“: do klienta zabudované vynucování (DLP, klasifikace dokumentů, redakce citlivých částí před uložením).
Pracovní scénáře, kde offline režim dává smysl
- Terén a provoz: servis, logistika, zdravotní péče v domácnostech, audit bez konektivity.
- Citlivé prostory: výrobní haly, laboratoře, soudní/advokátní spisy ve vyhrazených místnostech.
- Cestování a roaming: cestování s omezenými daty, s nutností „read-only“ přístupu.
Rozlišování pravomocí: matice „kdo co může offline“
| Role | Čtení | Úprava | Export/Tisk | Podpis/Schválení |
|---|---|---|---|---|
| Obchodník | Povoleno pro schválené materiály s TTL 7 dní | Draft bez závaznosti | Zákaz, kromě lokálního PDF s vodoznakem | Jen online |
| Servisní technik | Povolené pracovní postupy a díly | Povolené formuláře s podpisem klienta | Povolen export do šifrovaného ZIP (automatický upload při připojení) | Offline biometrický podpis, serverové zapečetění při synchronizaci |
| Právník | Povolené spisy ve trezoru | Track-changes v sandboxu | Zákaz bez tokenizace dat | Jen online s dvojím schvalováním |
Bezpečnostní opatření s nejvyšší účinností
- Správa zařízení (MDM/UEM): pracovní profil, vzdálené vymazání, politiky kopírování/vkládání a tisku.
- Šifrování a klíče: klíče nikdy v plaintextu; podmíněný přístup (PIN/biometrie + posture check) i offline.
- Data Loss Prevention (DLP): klasifikace a redakce při ukládání; blok sdílení mimo povolené aplikace.
- Vodoznaky a tracking: dynamický vodoznak (jméno, čas, zařízení) pro offline PDF a detekce screenshotů tam, kde OS podporuje.
- Geo/časová omezení: automatické vypršení offline obsahu, povoleno pouze v definovaných zónách (geofencing).
Práce s regulovanými údaji: co se offline nesmí
- Zvláštní kategorie údajů (zdravotní, biometrie): offline pouze v šifrovaných trezorech s krátkým TTL a auditem otevření.
- Finanční data: offline bez přístupu k produkčním číslům karet; používat tokeny a maskování.
- Exportní omezení: modely/algoritmy pod exportní kontrolou – offline přenos mimo jurisdikci je zakázán.
Licence a smluvní omezení
- Offline licencování: vyžaduje „grace period“ tokeny, které se pravidelně obnovují; logovat použití pro následný reporting.
- Obsah třetích stran: média, mapy či databáze – prověřit podmínky offline cache (počet zařízení, délka cache, region).
Telemetrie, logy a audit v offline režimu
- Write-ahead log: lokální bufferování událostí s podpisem a monotonním číslováním, aby nebylo možné zpětné manipulace.
- Trusted time: zajistit spolehlivý čas (TPM monotonní čítač) pro časové razítka.
- Opožděný SIEM ingest: po připojení se logy nahrají s kontrolou integrity; logy s nesouladem jsou odmítnuty.
UX pro offline režim: jasné stavy a hranice
- Viditelný indikátor: stav „Offline – režim s omezeními“, odpočet do vypršení obsahu.
- Předvídatelné chování: jasně označit, co se uloží lokálně, co čeká v „Outboxu“ a co je blokováno.
- Konfliktní dialog: při resynchronizaci vysvětlit rozdíly a doporučit bezpečnou volbu (merge/overwrite).
Procesní rámec: od žádosti po revizi
- Žádost: uživatel/oddělení zdůvodní potřebu (účel, rozsah, data, trvání).
- Posouzení rizik (mini-DPIA): kategorie dat, právní základ, retence, DLP pravidla, vendor lock-in.
- Konfigurace: MDM profil, DLP politiky, whitelist aplikací, kryptografické klíče, licence.
- Školení: co je povoleno, co ne; postup při ztrátě zařízení; hlášení incidentů.
- Revize: po 3–6 měsících vyhodnotit incidenty, využití, konflikty a upravit nastavení.
Výjimky „break-glass“ a nouzové scénáře
V kritických situacích (krizové řízení, výpadek infrastruktury) může být aktivována dočasná výjimka. Musí být časově a datově omezena a mít povinný dodatečný audit. Po obnovení konektivity se všechny kroky zpětně zaznamenají, offline cache se zneplatní a provede se kontrola integrity.
Čemu se vyhnout: anti-patterny offline práce
- Kopírování dat do osobních poznámkových aplikací bez šifrování.
- Posílání citlivých příloh přes nekontrolované kanály s odůvodněním „neměl jsem internet“.
- Trvalé lokální kopie bez TTL a bez klasifikace.
- Manuální slučování verzí bez auditovatelné historie.
Checklist pro schválený offline režim (20 bodů)
- Definovaný účel a trvání offline práce.
- Vymezené datové kategorie a klasifikace.
- MDM profil s pracovním kontejnerem.
- Šifrovaná lokální cache s klíči vázanými na hardware.
- TTL pro všechny lokální objekty.
- DLP pravidla pro ukládání/export/tisk.
- Vodoznaky pro dokumenty a tisk.
- Zákaz copy-paste mimo pracovní profil.
- Whitelist aplikací a zakázané rozšíření.
- Offline licenční tokeny s obnovou a logováním.
- Write-ahead log a integritní podpisy.
- Řešení konfliktů s auditem.
- Omezení geolokace a času.
- Read-only pro vybrané sekce.
- Online-only pro schvalování/podpisy.
- Nouzová „break-glass“ politika.
- Školení uživatelů a test znalostí.
- Incident reporting kanál dostupný i offline (SMS/telefonát).
- Periodická revize a reautorizace.
- Automatické zneplatnění cache po návratu online.
KPI a měření úspěchu
- Počet incidentů spojených s offline režimem (na 100 uživatelů/měsíc).
- Průměrná doba offline versus plán a potřeby (nadlimit = riziko).
- Míra konfliktů verzí a čas jejich vyřešení.
- Pokrytí zařízení MDM a procento dokumentů s klasifikací.
Shrnutí: offline bezpečně, nikoli potichu
Povolený offline režim není výjimkou z pravidel, ale rozšířením bezpečnostního rámce do prostředí bez konektivity. Kombinuje selektivní synchronizaci, šifrovanou cache, DLP, přísné role a auditovatelné procesy. Jasný účel, krátké TTL, vynucené politiky a následná kontrola integrity jsou klíčem k tomu, aby práce bez internetu byla produktivní – a zároveň v souladu s bezpečností, právem a interními směrnicemi.
