Proč řešit „povolené offline režimy“
Digitální pracoviště se spoléhají na internet, avšak existují situace, kdy je plánovaný offline režim žádoucí nebo nezbytný: terénní práce, cestování, budovy s nulovým signálem, údržbová okna nebo bezpečnostní incidenty (izolace sítě). Cílem „povoleného offline“ je umožnit kontinuitu práce bez porušení bezpečnostních politik, licenčních podmínek, smluv s klienty či pravidel ochrany osobních údajů. Klíčové je mít předvídatelnou architekturu, která explicitně definuje, jaká data a funkce smí být mimo síť, jak dlouho, za jakých podmínek a co se stane po opětovném připojení.
Use-casy: kde offline dává smysl
- Terénní týmy: servis, audit, zdravotníci, logistika – záznamy musí vzniknout in situ a synchronizovat se později.
- Mobilní pracovníci: čtení a anotace dokumentů, e-mailové koncepty, CRM poznámky, plánování.
- Regulovaná prostředí: dočasná izolace sítě (change windows, red-team cvičení), kde offline slouží jako business continuity.
- Citlivé projekty: předchozí dohoda, že část práce probíhá na odděleném zařízení s kontrolovaným vývozem dat.
Principy „povoleného offline“ (governance rámec)
- Účel a rozsah: které úkoly a jaké kategorie dat smí být offline (veřejné, interní, důvěrné, osobní, citlivé).
- Časové limity: maximální doba offline držby (TTL cache), po které je přístup zablokován nebo vyžadováno nové ověření.
- Ochrana v klidu: kryptografie na úložišti (OS disk + aplikační šifrování) s vázáním klíčů na identitu a integritu zařízení.
- Kontrola přístupu: offline policy snapshots (RBAC/ABAC), které fungují i bez sítě a respektují minimální oprávnění.
- Audit a pozdější rekonsiliace: lokální žurnály operací, které se po připojení bezpečně nahrávají (append-only, proti-manipulační podpisy).
- Bezpečný re-sync: pravidla konfliktů, validace integrity, deduplikace a kontrola verzí.
Klasifikace dat pro offline práci
| Kategorie | Příklady | Offline povolení | Ochrana/TTL |
|---|---|---|---|
| Veřejné | Marketingové materiály, manuály | Ano, volně | Standardní šifrování disku; TTL neomezené |
| Interní | Projekty, poznámky, backlog | Ano, s MDM/EDR | Šifrování + 30 dní TTL |
| Důvěrné | Smlouvy, ceny, technické návrhy | Limitovaně | Šifrování + 7–14 dní TTL + offline DLP |
| Osobní údaje | CRM výřezy, servisní protokoly | Ano, minimalizované | Šifrování + 7 dní TTL + audit žurnál |
| Citlivé | Zdravotní, biometrické, tajné | Výjimka | Pouze na vyhrazených zařízeních; max. 24–72 h; dodatečná opatření |
Architektury offline: co je „povolené“ a bezpečné
- Lokální cache s TTL: aplikace ukládá minimální subset nezbytný pro práci; po TTL vyžaduje online re-autentizaci.
- Transakční žurnál: místo celých datasetů se ukládají pouze delta operace (create/update/delete) s podpisem.
- Read-only balíčky: distribuované šifrované balíky (např. měsíční katalog) bez možnosti lokální editace.
- Edge-enkapsulace: kontejner/slim VM s aplikací a daty, kterou lze centrálně aktualizovat a smazat.
Identita a přístup bez internetu
- Offline ověření: krátkodobé tokeny s oprávněními nebo lokální CA certifikáty vázané na TPM/SE (Secure Enclave).
- Re-autentizační podmínky: po uplynutí TTL, po restartu, při změně zařízení nebo při zjištění rizika (root/jailbreak).
- Device posture: přístup pouze na zařízeních s MDM/EDR, šifrovaným diskem, BIOS/Boot ochrannými prvky.
Šifrování a správa klíčů
- Vícevrstvé šifrování: disk (FileVault/BitLocker/Android FBE/iOS), plus aplikační šifrovaný vault (např. databáze s vlastním klíčem).
- Propojení na HW: klíče odvozené/uzamčené v TPM/SE; bez zařízení nepoužitelné.
- Rozdílné klíče pro cache a žurnál: jemnozrnný výběr toho, co zneplatnit při odvolání přístupu.
Offline DLP (Data Loss Prevention) a ochrana obsahu
- Watermarking a redakce: při generování offline balíků vložte dynamický watermark (ID uživatele/čas), povolte redakční masky (PII).
- Omezení exportu: blokovat tisk/clipboard/screenshoty pro citlivé třídy (OS API, MDM politiky, „screen recording“ oprávnění).
- Kontrola periferií: zakázat zápis na USB, povolit pouze šifrované kontejnery s firemně spravovanými certifikáty.
Návrh ukládání a konfliktů
- Lokální databáze: SQLite/Realm šifrované, se schématem pro verze a last-write-wins pouze tam, kde to není problematické.
- CRDT/OT pro kolaboraci: při současných úpravách (poznámky, formuláře) minimalizuje konflikty.
- Pravidla slučování: definujte pole s prioritou serveru (např. ceny), pole s prioritou klienta (terénní měření) a pole s manuální arbitrací.
UX zásady pro offline-first
- Předvídatelnost: indikátor stavu (online/offline/synchronizace), jasné informování o TTL a zablokování po jeho uplynutí.
- Bezpečné koncepty: možnost pracovat s koncepty, které nejsou publikovány, dokud není potvrzena integrita a práva.
- Režim „bez stop“: pro citlivá data možnost otevřít read-only ephemeral view (po uzavření bezpečně smazat z RAM/i disku).
Platformové specifika
- iOS/iPadOS: šifrování vázané na třídy ochrany dat; Background App Refresh omezený; využijte NSFileProtectionComplete, Managed Open-in a MDM politiky na blok exportu.
- Android: File-based encryption (FBE), Scoped Storage, Device Policy Manager; zkontrolujte „Draw over other apps“ a Accessibility zneužití.
- Windows/macOS: BitLocker/FileVault, Controlled Folder Access, PPPC (Privacy Preferences Policy Control) na omezení Screen Recording a Files & Folders.
- PWA/prohlížeč: Cache Storage, IndexedDB, background sync; respektujte storage quotas a zaveďte lokální šifrování nad úložištěm.
Pravidla synchronizace a bezpečný návrat online
- Handshake: po připojení se klient nejprve autentifikuje, ověří device posture a získá policy delta.
- Upload žurnálu: transakce v chronologické dávce s podpisem; server potvrdí a vrátí mapu nových verzí.
- Konflikty: okamžité zobrazení a volba řešení (server/klient/manuál); auditní záznam o rozhodnutí.
- Revokace: pokud je účet/zařízení zrušeno, klient vymaže klíče a zamkne cache; log odešle při nejbližší konektivitě.
Compliance a právní hlediska
- Právní základ a účelovost: offline zpracování je stejné zpracování – musí mít účel, právní základ a transparentnost.
- Minimalizace a retence: pouze nezbytná pole; TTL vynutitelné technicky (automatické mazání, expirace klíčů).
- DSAR a audit trail: schopnost doložit, co bylo offline zpracováno; export logu k záznamu osoby při žádosti o přístup/mazání.
- Cezhraniční přenosy: vyhněte se synchronizaci na nesouladné lokality; pokud nutné, použijte smluvní a technická zajištění.
Proces „povolení offline“ – jak to zavést v organizaci
- Politika a klasifikace: v interní směrnici definujte datové třídy, limity, role a výjimečné postupy.
- Technická implementace: MDM/EDR profily, šifrování, DLP, offline tokeny, žurnál.
- Runbook: postup pro přechod do offline režimu, práci a zpětný sync (včetně řešení konfliktů).
- Školení: uživatelé rozumí TTL, práci s koncepty, zákazům exportu a zásadám cestování.
- Monitoring a metriky: míra úspěšného syncu, počet konfliktů, počet expirací TTL, incidenty úniku.
Šablony (orientačně)
1) Povolení offline pro tým/role
Účel: servisní protokoly v terénu. Rozsah dat: identifikátory zařízení, ID zakázky, fotodokumentace (bez PII zákazníka). TTL: 7 dní. Zařízení: firemní iOS s MDM. Ochrana: FileVault/NSFileProtectionComplete, offline DLP (blok exportu), watermark. Audit: lokální žurnál, podpis transakcí. Re-sync: po návratu na Wi-Fi v depu.
2) Lokální cache pravidlo
Max. velikost: 200 MB/osobu. Citlivá pole: hashovaná/pseudonymizovaná. Auto-wipe: po 7 dnech nebo 10 neúspěšných pokusech o odemknutí.
Antivzory: čemu se vyhnout
- „Tichá“ lokální kopie bez TTL a bez šifrování.
- Offline na osobních zařízeních bez MDM/EDR a politiky ztracené/ukradené koncové stanice.
- Neexistující žurnál: nemožnost doložit, co bylo offline upraveno.
- Automatický export na neriadená úložiště (osobní cloudové disky, USB bez šifrování).
Incidenty v offline režimu: co když se něco stane
- Okamžitá revokace: zablokujte tokeny, vzdáleně smažte kontejner (pokud je dosažitelné), označte zařízení jako „lost“.
- Forenzní plán: shromážděte poslední úspěšné žurnály a MDM telemetrii; posuďte, která data byla v cache.
- Oznamování: pokud jde o osobní/citlivá data – proces oznamování incidentu a dotčeným osobám.
Rychlý kontrolní seznam
- Máme definovány kategorie dat a pro které je offline povoleno?
- Je implementováno šifrování (disk + aplikace) a TTL pro cache?
- Funguje offline přístup jen na spravovaných zařízeních s MDM/EDR?
- Ukládá aplikace žurnál operací a podepisuje transakce?
- Máme pravidla pro řešení konfliktů a testy re-syncu?
- Jsou uživatelé zaškoleni v práci bez exportu/screenshotu a v režimu konceptů?
Shrnutí
Povolené offline režimy umožňují udržet produktivitu bez kompromisů v bezpečnosti a soukromí. Stavějí na jasné politice, klasifikaci dat, omezené a šifrované cache s TTL, offline aplikaci přístupových práv, auditovatelných žurnálech a disciplinovaném re-syncu. Takový rámec mění offline práci z rizikové improvizace na předvídatelný, zodpovědný a plně v souladu probíhající proces.
