Proč řešit „povolené offline režimy“
Digitální pracoviště se spoléhají na internet, avšak existují situace, kdy je plánovaný offline režim žádoucí nebo nezbytný: terénní práce, cestování, budovy s nulovým signálem, údržbová okna nebo bezpečnostní incidenty (izolace sítě). Cílem „povoleného offline“ je umožnit kontinuitu práce bez porušení bezpečnostních politik, licenčních podmínek, smluv s klienty či pravidel ochrany osobních údajů. Klíčové je mít předvídatelnou architekturu, která explicitně definuje, jaká data a funkce mohou být mimo síť, na jak dlouho, za jakých podmínek a co se stane po opětovném připojení.
Use-casy: kde offline režim dává smysl
- Terénní týmy: servis, audit, zdravotníci, logistika – záznamy musí vzniknout in situ a synchronizovat se později.
- Mobilní pracovníci: čtení a anotace dokumentů, emailové koncepty, poznámky v CRM, plánování.
- Regulovaná prostředí: dočasná izolace sítě (change windows, red-team cvičení), kde offline slouží jako business continuity.
- Citlivé projekty: předchozí dohoda, že část práce probíhá na odděleném zařízení s kontrolovaným vývozem dat.
Principy „povoleného offline“ (governance rámec)
- Účel a rozsah: které úkoly a jaké kategorie dat mohou být offline (veřejné, interní, důvěrné, osobní, citlivé).
- Časové limity: maximální doba držení offline (TTL cache), po jejímž uplynutí se přístup zablokuje nebo vyžaduje nové ověření.
- Ochrana v klidu: kryptografie na úložišti (OS disk + aplikační šifrování) s vázáním klíčů na identitu a integritu zařízení.
- Kontrola přístupu: offline policy snapshots (RBAC/ABAC), které fungují i bez sítě a respektují minimální oprávnění.
- Audit a následná rekonciliace: lokální žurnály operací, které se po připojení bezpečně nahrají (append-only, proti-manipulační podpisy).
- Bezpečný re-sync: pravidla pro řešení konfliktů, validace integrity, deduplikace a kontrola verzí.
Klasifikace dat pro offline práci
| Kategorie | Příklady | Offline povolení | Ochrana/TTL |
|---|---|---|---|
| Veřejné | Marketingové materiály, manuály | Ano, volně | Standardní šifrování disku; TTL neomezené |
| Interní | Projekty, poznámky, backlog | Ano, s MDM/EDR | Šifrování + 30 dní TTL |
| Důvěrné | Smlouvy, ceny, technické návrhy | Limitovaně | Šifrování + 7–14 dní TTL + offline DLP |
| Osobní údaje | CRM výřezy, servisní protokoly | Ano, minimalizovaně | Šifrování + 7 dní TTL + audit žurnálu |
| Citlivé | Zdravotní, biometrické, tajné | Výjimka | Pouze na vyhrazených zařízeních; max. 24–72 h; přísná opatření |
Architektury offline: co je „povolené“ a bezpečné
- Lokální cache s TTL: aplikace ukládá minimální množinu nutnou pro práci; po uplynutí TTL vyžaduje online opětovné ověření.
- Transakční žurnál: místo celých datasetů se ukládají pouze delta operace (vytvoření/aktualizace/smazání) s podpisem.
- Read-only balíčky: distribuované šifrované balíčky (například měsíční katalog) bez možnosti lokální editace.
- Edge-enkapsulace: kontejner/slim VM s aplikací a daty, který lze centrálně aktualizovat a smazat.
Identita a přístup bez internetu
- Offline ověření: krátkodobé tokeny s oprávněními nebo lokální CA certifikáty vázané na TPM/SE (Secure Enclave).
- Podmínky opětovného ověření: po uplynutí TTL, po restartu, změně zařízení nebo při detekci rizika (root/jailbreak).
- Device posture: přístup pouze na zařízeních spravovaných MDM/EDR, s šifrovaným diskem a BIOS/Boot ochrannými prvky.
Šifrování a správa klíčů
- Vícevrstvé šifrování: disk (FileVault/BitLocker/Android FBE/iOS) plus aplikační šifrovaný vault (např. databáze s vlastním klíčem).
- Vazba na HW: klíče odvozené/uzamčené v TPM/SE; bez zařízení nepoužitelné.
- Rozdílné klíče pro cache a žurnál: jemnozrnný výběr, co zneplatnit při odvolání přístupu.
Offline DLP (Data Loss Prevention) a ochrana obsahu
- Watermarking a redakce: při generování offline balíčků vložte dynamický watermark (ID uživatele/čas), povolte redakční masky (PII).
- Omezení exportu: blokování tisku/clipboardu/screenshotů pro citlivé třídy dat (OS API, MDM politiky, „screen recording“ oprávnění).
- Kontrola periferií: zakázat zápis na USB, povolit pouze šifrované kontejnery se spravovanými certifikáty firmy.
Návrh ukládání a řešení konfliktů
- Lokální databáze: SQLite/Realm šifrované, se schématem verzí a last-write-wins pouze tam, kde není problém.
- CRDT/OT pro kolaboraci: při souběžných úpravách (poznámky, formuláře) minimalizuje konflikty.
- Pravidla slučování: definujte pole s prioritou serveru (např. ceny), pole s prioritou klienta (terénní měření) a pole s manuální arbitráží.
UX zásady pro offline-first
- Předvídatelnost: indikátor stavu (online/offline/synchronizace), jasné informace o TTL a zablokování po jeho uplynutí.
- Bezpečné koncepty: možnost pracovat s koncepty, které se nepublikují, dokud není potvrzena integrita a oprávnění.
- Režim „bez stop“: pro citlivá data možnost otevření read-only ephemeral view (po zavření bezpečně vymazat z RAM/disku).
Platformové specifika
- iOS/iPadOS: šifrování vázané na třídy ochrany dat; Background App Refresh omezený; využijte NSFileProtectionComplete, Managed Open-in a MDM politiky na blok exportu.
- Android: File-based encryption (FBE), Scoped Storage, Device Policy Manager; ověřte „Draw over other apps“ a možné zneužití Accessibility.
- Windows/macOS: BitLocker/FileVault, Controlled Folder Access, PPPC (Privacy Preferences Policy Control) pro omezení Screen Recording a Files & Folders.
- PWA/prohlížeč: Cache Storage, IndexedDB, background sync; respektujte storage quotas a zaveďte lokální šifrování nad úložištěm.
Pravidla synchronizace a bezpečný návrat online
- Handshake: po připojení se klient nejprve autentizuje, ověří device posture a obdrží policy delta.
- Upload žurnálu: transakce v chronologické dávce s podpisem; server potvrdí a vrátí mapu nových verzí.
- Konflikty: okamžité zobrazení a volba řešení (server/klient/manuální); auditní záznam o rozhodnutí.
- Revokace: pokud je účet/zařízení zrušeno, klient vymaže klíče a zamkne cache; log pošle při nejbližší konektivitě.
Compliance a právní hlediska
- Právní základ a účelnost: offline zpracování je stejné zpracování – musí mít účel, právní základ a transparentnost.
- Minimalizace a retence: jen nezbytná pole; TTL vynutitelná technicky (automatické mazání, expirace klíčů).
- DSAR a audit trail: schopnost doložit, co bylo offline zpracováno; export logu k záznamu osoby na žádost o přístup/mazání.
- Přeshraniční přenosy: vyhnout se synchronizaci na nesouladné lokality; pokud nutné, použít smluvní a technické záruky.
Proces „povolení offline“ – jak to zavést v organizaci
- Politika a klasifikace: definujte v interní směrnici datové třídy, limity, role a výjimkové postupy.
- Technická implementace: MDM/EDR profily, šifrování, DLP, offline tokeny, žurnál.
- Runbook: postup pro přechod do offline, práci a následný sync (včetně řešení konfliktů).
- Školení: uživatelé rozumí TTL, práci s koncepty, zákazu exportu a bezpečnostním zásadám při cestování.
- Monitoring a metriky: míra úspěšného syncu, počet konfliktů, počet expirací TTL, incidenty úniků.
Šablony (orientačně)
1) Povolení offline pro tým/role
Účel: Servisní protokoly v terénu. Rozsah dat: identifikátory zařízení, ID zakázky, fotodokumentace (bez PII zákazníka). TTL: 7 dní. Zařízení: firemní iOS s MDM. Ochrana: FileVault/NSFileProtectionComplete, offline DLP (blok exportu), watermark. Audit: lokální žurnál, podpis transakcí. Re-sync: po návratu na Wi-Fi v depu.
2) Pravidlo lokální cache
Max. velikost: 200 MB/osobu. Citlivá pole: hashovaná/pseudonymizovaná. Auto-wipe: po 7 dnech nebo 10 neúspěšných pokusech o odemknutí.
Antivzory: čemu se vyhnout
- „Tichá“ lokální kopie bez TTL a bez šifrování.
- Offline na osobních zařízeních bez MDM/EDR a politiky pro ztracené/ukradené koncové stanice.
- Neexistující žurnál: nemožnost doložit, co bylo offline upraveno.
- Automatický export na nerizená úložiště (osobní cloudové disky, USB bez šifrování).
Incidenty v offline režimu: co dělat, když se něco stane
- Okamžitá revokace: zablokujte tokeny, vzdáleně smažte kontejner (je-li to možné), označte zařízení jako „lost“.
- Forenzní plán: shromážděte poslední úspěšné žurnály a MDM telemetrii; posuďte, která data byla v cache.
- Oznamování: pokud se jedná o osobní/citlivé údaje – spusťte proces oznamování incidentu a informování dotčených osob.
Rychlý kontrolní seznam
- Máme definované kategorie dat a pro které je offline povoleno?
- Je implementováno šifrování (disk + aplikace) a TTL pro cache?
- Funguje offline přístup pouze na spravovaných zařízeních s MDM/EDR?
- Ukládá aplikace žurnál operací a podepisuje transakce?
- Máme pravidla pro řešení konfliktů a testy re-syncu?
- Jsou uživatelé zaškoleni v práci bez exportu/screenshotů a v režimu konceptů?
Shrnutí
Povolené offline režimy umožňují udržet produktivitu bez kompromisů v bezpečnosti a ochraně soukromí. Staví na jasné politice, klasifikaci dat, omezené a šifrované cache s TTL, offline aplikaci přístupových práv, auditovatelných žurnálech a disciplínovaném re-syncu. Takový rámec proměňuje offline práci z rizikové improvizace na předvídatelný, odpovědný a plně v souladu s předpisy probíhající proces.
