Národní úřad pro kybernetickou a informační bezpečnost je klíčovou institucí české státní správy. Zodpovídá za kybernetickou bezpečnost kritické infrastruktury, vydává vyhlášky a metodiky a koordinuje reakci na kybernetické incidenty v celé zemi.

Uspěli jsme v otevřeném výběrovém řízení na vývoj nového portálu. Rozhodující nebyla jen nabídková cena, ale prokázané zkušenosti s vývojem pro veřejnou správu, bezpečnostní standardy a kvalita navržené architektury.

Projekt potvrzuje naši schopnost projít transparentním tendrem a dodat řešení pro instituci, kde bezpečnost není jen požadavek v zadání, ale každodenní realita provozu.

Frontend portálu stavíme v Reactu s TypeScriptem. Typová bezpečnost není luxus, ale nutnost. Při vývoji pro instituci, která zodpovídá za kybernetickou bezpečnost státu, musí být každý řádek kódu prověřený a předvídatelný.

TypeScript zachytí celou kategorii chyb ještě před spuštěním kódu. Striktní typování API kontraktů znamená, že frontend a backend nemůžou ztratit synchronizaci, i když na nich pracují oddělené týmy.

Komponentová architektura v Reactu umožňuje rozdělit portál na izolované, testovatelné celky. Každá komponenta má jasně definované vstupy a výstupy, což usnadňuje jak vývoj, tak bezpečnostní audit kódu.

Kvalitu portálu zajišťuje komplexní testovací strategie na několika úrovních. Unit testy pokrývají jednotlivé funkce a komponenty, integrační testy ověřují spolupráci modulů a end-to-end testy simulují reálné uživatelské scénáře.

Každý pull request prochází automatizovaným pipeline, který spustí celou sadu testů, zkontroluje kvalitu kódu a ověří, že nedošlo k regresi. Bez úspěšného průchodu se žádná změna nedostane do produkce.

Tento přístup není jen o odhalování chyb. Testy slouží jako živá dokumentace chování systému. Nový vývojář pochopí logiku portálu čtením testů rychleji než čtením zdrojového kódu.

Vývoj pro NÚKIB probíhá v souladu s přísnými bezpečnostními požadavky. Naše certifikace ISO 27001 nebyla jen formální požadavek tendru, ale reálný základ pro bezpečný vývojový proces, od správy kódu přes řízení přístupů po nasazení.

Bezpečnost je součástí každé fáze vývoje. Závislosti třetích stran procházejí automatickou kontrolou zranitelností, kód prochází statickou analýzou a přístupová práva jsou řízena podle principu nejmenších oprávnění.

Pracujeme s vědomím, že portál NÚKIB je potenciálním cílem kybernetických útoků. Proto navrhujeme architekturu tak, aby minimalizovala útočný povrch a umožňovala rychlou reakci na nově objevené zranitelnosti.