Ransomware napad ne pita je li organizacija upravo završila godišnju procjenu rizika. Prekid dobavljačkog lanca ne čeka sljedeći sastanak odbora. Upravo zato kibernetička otpornost nije popis tehničkih kontrola ni dokument koji se ažurira jednom godišnje. To je sposobnost organizacije da spriječi poremećaj, odgovori pod pritiskom, nastavi ključne aktivnosti i iz incidenta izađe s boljom kontrolom nad rizicima.
Za upravu, CISO-a, voditelja usklađenosti i internu reviziju pitanje nije postoji li politika sigurnosti. Ključno je može li organizacija dokazati da su mjere provedene, da se redovito provjeravaju te da postoje vlasnici, rokovi i dokazi za svaku utvrđenu neusklađenost. U reguliranim djelatnostima to je jednako poslovno pitanje koliko i sigurnosno.
Što kibernetička otpornost znači u poslovnoj praksi
Kibernetička sigurnost uglavnom je usmjerena na smanjenje vjerojatnosti napada: upravljanje identitetima, segmentaciju mreže, zaštitu krajnjih uređaja, zakrpavanje ranjivosti i nadzor događaja. Kibernetička otpornost obuhvaća širu sliku. Polazi od pretpostavke da će se dio kontrola prije ili kasnije zaobići, da će se dogoditi pogreška korisnika, kompromitacija dobavljača ili kvar ključne usluge.
Otporna organizacija zato zna koje procese mora održati u radu, koliko dugo pojedini prekid može trajati i tko donosi odluke kada redovni način rada više nije moguć. Zna gdje se nalaze ključni podaci, jesu li sigurnosne kopije upotrebljive, može li obnoviti sustave u prihvatljivom roku i kako će komunicirati s korisnicima, partnerima, nadležnim tijelima i zaposlenicima.
To ne znači da svaka organizacija mora graditi skup i složen sigurnosni operativni centar. Razina ulaganja ovisi o kritičnosti usluga, regulatornim obvezama, izloženosti prijetnjama i prihvatljivom riziku. Bolnica, energetski subjekt i financijska institucija imaju drukčije prioritete od proizvodne tvrtke, ali svaka mora moći jasno objasniti kako štiti kontinuitet svojih ključnih procesa.
Otpornost počinje razumijevanjem poslovnih ovisnosti
Najčešća pogreška je promatrati sustave, dokumentaciju i timove odvojeno. Incident, međutim, gotovo nikada ne ostaje unutar jednog tehnološkog sloja. Nedostupnost direktorija identiteta može zaustaviti pristup poslovnim aplikacijama. Kompromitirani račun dobavljača može otvoriti put do osjetljivih podataka. Neprovjerena sigurnosna kopija može produžiti oporavak s nekoliko sati na nekoliko dana.
Zato je prvi operativni korak utvrditi što organizacija doista mora zaštititi i obnoviti. To uključuje ključne poslovne usluge, informacijsku imovinu, aplikacije, infrastrukturu, vanjske pružatelje usluga, odgovorne osobe i međusobne ovisnosti. Cilj nije izraditi još jedan statični inventar, nego dobiti pregled koji omogućuje odlučivanje tijekom incidenta.
Korisno je odrediti ciljeve oporavka za najvažnije usluge. Koliko podataka organizacija smije izgubiti? Koliko dugo smije biti nedostupna određena aplikacija? Može li se proces privremeno izvoditi ručno? Odgovori često pokažu da tehničke investicije nisu jedini prioritet. Ponekad je najveći rizik nejasna odgovornost, nedostatak kontakt-podataka za dobavljača ili procedura koja postoji samo u glavi jednog zaposlenika.
Dokazi su jednako važni kao i kontrole
Usklađenost i otpornost ne mogu se temeljiti na izjavi da je nešto provedeno. Za svaku važnu kontrolu treba postojati dokaz: odobrena politika, zapis o provedbi, konfiguracija, izvještaj, rezultat testiranja, evidencija edukacije ili odluka o prihvaćanju rizika. Dokaz mora biti povezan s konkretnim zahtjevom, vlasnikom kontrole i datumom provjere.
Takav pristup smanjuje problem koji se često pojavljuje prije nadzora ili revizije: višednevno traženje dokumenata po dijeljenim mapama, e-pošti i osobnim računalima. Još je važnije da uprava dobiva realniju sliku stanja. Kontrola bez dokaza može biti operativno provedena, ali je za reviziju, regulatora i upravljanje rizicima teško provjerljiva.
Od regulatornog zahtjeva do provedive aktivnosti
Zakon o kibernetičkoj sigurnosti, Uredba o kibernetičkoj sigurnosti, ZKS i NIS2 postavljaju očekivanja u području upravljanja rizicima, odgovornosti uprave, kontinuiteta poslovanja, upravljanja incidentima, sigurnosti lanca opskrbe i izvješćivanja. Problem nastaje kada se ti zahtjevi prevedu u općenite interne politike, bez jasne veze s konkretnim aktivnostima i dokazima.
Učinkovit model rada povezuje svaki zahtjev s procjenom trenutačnog stanja, dokazima i planom uklanjanja razlika. Ako je, primjerice, postupak upravljanja incidentima definiran, treba provjeriti jesu li uloge imenovane, jesu li eskalacijski kanali ažurni, jesu li rokovi prijave poznati i je li postupak testiran u realističnom scenariju. Ako postoji plan kontinuiteta, potrebno je znati kada je posljednji put testiran i koje su mjere ostale otvorene nakon testa.
Ovdje je važno izbjeći dva ekstrema. Prvi je formalizam – velika količina dokumentacije koja ne pomaže tijekom stvarnog incidenta. Drugi je oslanjanje na neformalnu operativnu praksu koju nitko ne može dokazati. Dobra dokumentacija je kratka gdje može biti kratka, precizna gdje mora biti precizna i povezana s načinom na koji ljudi stvarno rade.
Kako izgraditi kibernetičku otpornost bez višemjesečnog kaosa
Organizacijama najčešće nije potreban još jedan nepovezan projekt, nego jasan ciklus upravljanja. On počinje samoprocjenom prema primjenjivim regulatornim zahtjevima i internim kontrolama. Rezultat nije samo postotak usklađenosti, već popis prioritetnih razlika, procjena njihovog utjecaja, odgovorne osobe i realni rokovi provedbe.
Nakon procjene slijedi plan daljnjeg postupanja. Prioritet trebaju imati mjere koje smanjuju najveći poslovni i regulatorni rizik: zaštita privilegiranih računa, oporavljive sigurnosne kopije, jasna procedura odgovora na incident, upravljanje kritičnim dobavljačima i redovito testiranje kontinuiteta. Nije racionalno pokušati zatvoriti sve nalaze istodobno. Bitno je pokazati da organizacija razumije rizik, upravlja njime i može pratiti napredak.
Treća faza je kontinuirano praćenje. Sigurnosno stanje se mijenja s novim sustavima, zaposlenicima, dobavljačima, prijetnjama i regulatornim tumačenjima. Jednokratna procjena brzo zastarijeva ako se ne ažuriraju dokazi, neusklađenosti i provedene aktivnosti. Kontinuirana spremnost za nadzor zahtijeva da su evidencije dostupne onda kada su potrebne, a ne tek kada stigne zahtjev za izvješćem.
Platforma ITrevizija.hr može taj ciklus objediniti kroz AI vođenu procjenu usklađenosti, upravljanje i analizu dokaza, praćenje neusklađenosti, planiranje aktivnosti te automatizirano izvješćivanje. Vrijednost nije u samoj automatizaciji, nego u tome što regulatorni zahtjev dobiva mjerljiv operativni trag. EU hosting, interni AI modeli i enkripcija na razini polja pritom odgovaraju organizacijama koje ne mogu raditi kompromise s osjetljivim podacima.
Testiranje otkriva stvarnu razinu spremnosti
Planovi oporavka i odgovora na incidente često izgledaju uvjerljivo dok se ne testiraju. Test ne mora uvijek značiti potpunu simulaciju prekida rada. Može početi provjerom kontakata, stolnom vježbom za upravljački tim ili obnovom odabranog sustava iz sigurnosne kopije. Važno je da scenarij ima jasne ciljeve, mjerljive rezultate i evidentirane korektivne aktivnosti.
Dobra vježba otkriva pitanja koja dokumenti često preskoče: tko ima ovlasti za isključivanje kompromitiranog sustava, može li se dobavljača dobiti izvan radnog vremena, jesu li komunikacijske poruke pripremljene i znaju li zaposlenici prijaviti sumnjivi događaj. Svaka uočena slabost ne znači neuspjeh. Neuspjeh je tek kada se slabost ne evidentira, ne dodijeli vlasniku i ne prati do zatvaranja.
Uprava mora imati pregled, ne tehnički dnevnik
Uprava ne treba pratiti svako upozorenje sigurnosnog alata, ali mora razumjeti izloženost organizacije, status ključnih obveza i posljedice otvorenih rizika. Izvještavanje zato treba razlikovati operativne pokazatelje za IT i sigurnosne timove od upravljačkih pokazatelja: stanje usklađenosti, kritične neusklađenosti, napredak akcijskog plana, rezultati testiranja i rizici koji zahtijevaju odluku uprave.
Takav pregled uspostavlja odgovornost bez nepotrebne administracije. Također omogućuje pravodobno odlučivanje o proračunu, prioritetima i prihvaćanju preostalog rizika. Kod NIS2 obveznika osobna odgovornost upravljačkih tijela dodatno pojačava potrebu za dokazivim nadzorom nad mjerama kibernetičke sigurnosti.
Kibernetička otpornost ne dokazuje se brojem kupljenih alata ni opsegom politike. Dokazuje se sposobnošću da organizacija pod pritiskom donese ispravnu odluku, održi ključne usluge i pokaže što je učinila, zašto je to učinila i što će sljedeće poboljšati.