Tomáš Pavlacký

Nezávislý konzultant · bezpečnost a architektura softwaru

Druhý názor na váš software. Dřív, než ho za vás vysloví útočník.

Dělám whitebox bezpečnostní audity, hodnotím kvalitu kódu a pomáhám s architekturou malým a středním firmám. Čtu přímo váš zdrojový kód a srozumitelně řeknu, co opravit nejdřív.

Domluvit konzultaci zdarmaCeník

30 minut online. Odpovím do dvou pracovních dnů.

Praxe
15 let ve vývoji
Teď
full stack vývojář, bezpečnost a architektura ve fintechu s licencí ČNB
Kapacita
2 nové zakázky měsíčně

Kdy se vám hodím

  • Převzali jste aplikaci po dodavateli nebo vám odešel hlavní vývojář.
  • Aplikaci jste postavili rychle, třeba s pomocí AI, a teď na ní stojí byznys.
  • Velký zákazník, banka nebo pojišťovna vám poslali bezpečnostní dotazník.
  • Řešíte požadavky NIS2 a chcete vědět, jak je na tom váš vlastní software.
  • Chystáte větší rozvoj a nevíte, jestli to současná architektura unese.
  • Vývoj se zpomaluje a každá změna něco rozbije.

Služby

01

Whitebox bezpečnostní audit

Čtu zdrojový kód, konfiguraci a infrastrukturu. Ne jen to, co je vidět zvenku.

Na co se dívám

  • přihlášení, session a oprávnění: kdo smí vidět čí data
  • práce s daty, vstupy a SQL dotazy
  • tajné klíče, konfigurace a cloud (AWS)
  • zranitelné a opuštěné závislosti
  • kontrolní seznam OWASP Top 10 a ASVS

Co dostanete

Písemná zpráva s nálezy seřazenými podle rizika pro vaši firmu, ke každému konkrétní oprava. Výsledky projdeme na hodinové schůzce a po opravách ověřím kritické nálezy.

02

Kvalita kódu a vývojového procesu

Proč se vývoj zpomaluje a co s tím udělat, bez přepisování všeho od nuly.

Na co se dívám

  • struktura kódu a technický dluh
  • testy a co skutečně pokrývají
  • CI/CD, nasazování a code review
  • monitoring a práce s chybami v produkci

Co dostanete

Plán zlepšení seřazený podle přínosu a pracnosti. Pokud chcete, nastavím CI, kontroly kódu a pravidla code review rovnou s vaším týmem.

03

Softwarový architekt na zavolanou

Seniorní technický názor bez toho, abyste museli nabírat architekta na plný úvazek.

Na co se dívám

  • návrh nových systémů a integrací
  • výběr technologií a cloudu
  • revize návrhů vašeho týmu nebo dodavatele
  • pomoc vedení s technickými rozhodnutími: nabídky dodavatelů, nábor vývojářů, rozpočet

Co dostanete

Pravidelný měsíční rozsah hodin, rozhodnutí sepsaná tak, aby jim rozuměl i váš další vývojář.

Ceník

Audity mají pevnou cenu dohodnutou předem. Žádné hodiny navíc, pokud se nezmění rozsah.

SlužbaRozsahCena bez DPH
Úvodní konzultace30 minut online. Zjistíme, jestli a jak vám můžu pomoct.zdarma
Audit StartJedna aplikace do cca 30 000 řádků kódu bez testů. Bezpečnost, zpráva, prezentace výsledků, ověření oprav kritických nálezů.35 000 Kč
Audit StandardnejčastějšíDo cca 100 000 řádků kódu bez testů. Bezpečnost, architektura i kvalita kódu, ověření oprav.75 000 Kč
Audit na míruVětší aplikace, více aplikací nebo technická due diligence před investicí či akvizicí.od 120 000 Kč
Architekt na zavolanou8 hodin měsíčně, minimálně na 3 měsíce.18 000 Kčměsíčně
Konzultace a práce navícOpravy nálezů, workshopy, jednorázové konzultace.2 400 Kčza hodinu

Jsem plátce DPH, k cenám se připočítává 21 %. Velikost aplikace upřesníme na úvodním hovoru. Domluvit úvodní hovor

Jak to probíhá

  1. Úvodní hovor

    30 minut zdarma. Řeknete mi, co řešíte; já řeknu otevřeně, jestli jsem pro vás ten pravý.

  2. Pevná nabídka

    Rozsah, termín a cena předem. Podepíšeme smlouvu a NDA.

  3. Audit

    Dostanu přístup pro čtení do repozitáře. Na menší aplikaci obvykle 1–2 týdny.

  4. Výsledky

    Zpráva, společná schůzka nad nálezy a ověření oprav těch nejzávažnějších.

O mně

Jsem Tomáš Pavlacký. Software vyvíjím od roku 2011, většinu té doby jako full stack vývojář na velkých produktech. Dnes v Qerku pracuji jako full stack vývojář, odpovídám za kybernetickou bezpečnost a navrhuji architekturu systémů, to vše ve firmě, nad kterou dohlíží Česká národní banka.

Do auditů si přináším obě strany: vím, jak se software skutečně píše pod tlakem termínů, a vím, na co se ptá regulátor a auditor. Proto vám nedám stovky nálezů vysypaných z automatického nástroje, ale všechny nálezy seřazené podle toho, co je pro vaši firmu opravdu důležité.

  1. 2021 – dnesQerkoFull stack vývojář, manažer kybernetické bezpečnosti a softwarový architekt · Fintech s licencí ČNB
  2. 2019 – 2021UbiquitiFull stack vývojář (TypeScript)
  3. 2012 – 2019Seznam.czFull stack vývojář (JavaScript)
  4. 2011 – 2012Xline TechnologyVývojář (PHP, MySQL, JavaScript)

Časté otázky

Je to totéž co penetrační test?

Ne. Penetrační test útočí na aplikaci zvenku. Whitebox audit čte její zdrojový kód, a proto najde i chyby, které se zvenku hledají těžko: chybějící kontrolu oprávnění, uniklé klíče nebo slabá místa v logice. Často dává smysl obojí.

Je to audit kybernetické bezpečnosti podle NIS2?

Ne. Zákonný audit podle zákona o kybernetické bezpečnosti (264/2025 Sb.) posuzuje celý systém řízení bezpečnosti ve firmě a musí ho dělat auditor s prokázanou praxí. Můj audit jde do hloubky jedné oblasti, vašeho vlastního softwaru. Jeho výsledky vám pomůžou s řízením rizik a s bezpečností vlastního vývoje.

Co ode mě budete potřebovat?

Přístup pro čtení do repozitáře, krátký popis aplikace a jednoho člověka, kterého se můžu zeptat. Testovací prostředí pomůže, ale není podmínkou.

Co se děje s naším kódem?

Pracuji s ním jen pro účely auditu a podepíšu NDA. Po skončení požádám o zrušení přístupu a smažu všechny kopie.

S jakými technologiemi pracujete?

Nejhlouběji s TypeScriptem a JavaScriptem, Node.js, Reactem, SQL databázemi a AWS. U jiných jazyků na úvodním hovoru řeknu, do jaké hloubky je umím posoudit.

Opravíte i nalezené chyby?

Můžu, za hodinovou sazbu. Stejně dobře ale můžete zprávu předat svému týmu nebo dodavateli, je psaná tak, aby podle ní šlo pracovat.

Proč jen dvě nové zakázky měsíčně?

Všechno dělám osobně, bez subdodavatelů a juniorů. Beru proto jen tolik zakázek, kolik zvládnu pořádně.

Napište mi, co řešíte.

Nebo rovnou zavolejte. Na e-mail odpovím do dvou pracovních dnů a navrhnu termín úvodního hovoru.

tomas.pavlacky@gmail.com+420 602 341 202LinkedIn