Kibernetički rizik nije samo mogućnost tehničkog incidenta, nego mjerljiva poslovna izloženost koja može ugroziti pružanje usluga, povjerljivost podataka, kontinuitet rada i ispunjavanje zakonskih obveza. Za ključne i važne subjekte prema Zakonu o kibernetičkoj sigurnosti, upravljanje rizikom mora biti dokumentiran, ponovljiv i dokaziv proces – od procjene do provedbe i praćenja mjera.
Što je kibernetički rizik u regulatornom kontekstu?
Kibernetički rizik nastaje kada prijetnja može iskoristiti ranjivost imovine, procesa ili dobavljačkog odnosa te proizvesti posljedicu za organizaciju. U praksi se ne procjenjuju samo poslužitelji, aplikacije i mreže. Predmet procjene mogu biti poslovne usluge, kritični dobavljači, identiteti korisnika, sigurnosne kopije, prostori, administrativni procesi i sposobnost odgovora na incident.
Pojednostavljeno, procjena se temelji na tri pitanja: što organizacija mora zaštititi, što može poći po zlu i kakva bi bila poslovna posljedica. Rizik se zatim određuje kombinacijom vjerojatnosti i učinka, uz kriterije koje je organizacija unaprijed odobrila.
Zakon o kibernetičkoj sigurnosti (ZKS, NN 14/2024) prenosi zahtjeve NIS2 direktive u hrvatski pravni okvir. NIS2 postavlja europski regulatorni smjer, dok ZKS i Uredba o kibernetičkoj sigurnosti (NN 135/2024) uređuju primjenu, obveze i postupanja u Hrvatskoj. Organizacija zato ne bi trebala procjenu graditi samo na općem međunarodnom okviru, nego je povezati s mjerama i dokazima koji odgovaraju hrvatskim propisima.
Upravljanje kibernetičkim rizikom nije jednokratna analiza
Česta pogreška jest izraditi registar rizika jednom godišnje, bez jasne poveznice s poslovnim promjenama i provedenim mjerama. Takav dokument može biti koristan početni pregled, ali nije dovoljan dokaz aktivnog upravljanja rizikom.
Učinkovit postupak ima zatvoren krug: utvrđivanje konteksta, identifikaciju imovine i ovisnosti, procjenu rizika, odabir mjera, dodjelu odgovornosti, praćenje rokova te ponovnu procjenu nakon promjene ili incidenta. Ako se, primjerice, uvede novi pružatelj usluge u oblaku, rizik se ne završava potpisom ugovora. Potrebno je procijeniti utjecaj na dostupnost, upravljanje pristupima, lokaciju podataka, ugovorne obveze, izlaznu strategiju i dokaze o nadzoru pružatelja.
Uloge uprave, vlasnika rizika i sigurnosnih funkcija
Uprava ne mora tehnički provoditi svaku kontrolu, ali mora nadzirati upravljanje rizicima i donositi odluke o prihvaćanju preostalog rizika. To uključuje odobravanje politike, određivanje prihvatljivih razina rizika, osiguravanje resursa i redovito primanje razumljivih izvješća.
Vlasnik rizika odgovara za poslovni dio: procjenu posljedice, prihvaćanje mjera i praćenje provedbe. CISO, IT direktor, stručnjak za usklađenost ili interna revizija mogu koordinirati metodologiju i provjeravati dokaze, ali ne bi smjeli preuzeti odgovornost poslovnog vlasnika umjesto njega. Jasna podjela odgovornosti posebno je važna kada su informacijski sustavi zajednički za više društava ili poslovnih jedinica.
Kako provesti procjenu kibernetičkog rizika
Praktična procjena počinje poslovnim uslugama, a ne popisom tehnologije. Organizacija najprije treba odrediti koje usluge ne smiju biti nedostupne, koji podaci zahtijevaju zaštitu i o kojim vanjskim subjektima ovisi njihovo pružanje. Tek tada tehnički inventar dobiva regulatorni i poslovni smisao.
Za svaki relevantan scenarij korisno je evidentirati izvor prijetnje, ranjivost ili nedostatak kontrole, pogođenu imovinu, posljedicu, postojeće mjere, procijenjeni rezidualni rizik, vlasnika i plan postupanja. Scenarij ne mora biti pretjerano tehnički. Primjerice: nedostupnost ključne poslovne aplikacije zbog neprovjerenog oporavka iz sigurnosne kopije može izravno ugroziti kontinuitet usluge.
| Element procjene | Pitanje koje treba dokazati | Primjer dokaza | | — | — | — | | Opseg i imovina | Koje usluge, sustavi i podaci podržavaju kritičan proces? | Inventar imovine, klasifikacija podataka, mapa ovisnosti | | Procjena učinka | Što se događa ako usluga nije dostupna ili su podaci kompromitirani? | Analiza utjecaja na poslovanje, plan kontinuiteta | | Postojeće mjere | Koje kontrole smanjuju vjerojatnost ili učinak? | Pravila pristupa, zapisi o zakrpama, izvještaji o testiranju | | Plan postupanja | Tko provodi mjeru, do kada i kako se potvrđuje završetak? | Plan mjera, vlasnik aktivnosti, rok i dokaz provedbe |
Metodologija može biti kvalitativna, polukvantitativna ili kvantitativna. Za mnoge organizacije matrica vjerojatnosti i učinka dovoljna je ako su kriteriji dosljedni i ako uprava razumije što pojedina ocjena znači. Precizniji broj ne znači automatski i bolju procjenu. Važniji su sljedivost zaključka, realnost pretpostavki i mogućnost ponavljanja postupka.
Koje dokaze očekivati pri nadzoru ili reviziji
Politika upravljanja rizicima sama po sebi nije dokaz da se proces provodi. Revizijski trag treba pokazati kako je organizacija došla do procjene, koje je odluke donijela i je li mjeru zaista provela.
Tipično se očekuju odobrena metodologija i politika, aktualni registar rizika, zapisnici ili odluke o prihvaćanju rizika, planovi korektivnih aktivnosti, evidencije o provedbi kontrola te izvješća upravi. Ovisno o procijenjenom scenariju, dodatni dokazi mogu uključivati rezultate testiranja oporavka, evidencije edukacije, zapisnike pregleda privilegiranih pristupa, procjene dobavljača i rezultate internih provjera.
Dokaz mora odgovarati tvrdnji koju podupire. Ako organizacija navede da redovito testira plan oporavka, kalendar aktivnosti nije dovoljan. Potrebni su rezultat testa, uočeni nedostaci, odgovorna osoba i dokaz zatvaranja utvrđenih problema. Upravo se na toj vezi između zahtjeva, mjere i dokaza najčešće otkrivaju neusklađenosti.
Od procjene do plana daljnjeg postupanja
Nije svaki rizik moguće odmah ukloniti. Organizacija može smanjiti rizik dodatnom kontrolom, prenijeti dio rizika ugovornim aranžmanom, izbjeći aktivnost ili svjesno prihvatiti preostali rizik. Prihvaćanje je opravdano samo kada je odluka unutar odobrenog praga, vremenski ograničena i donesena na odgovarajućoj razini upravljanja.
Plan daljnjeg postupanja treba biti operativan. Općenita mjera poput „poboljšati sigurnost pristupa” nije dovoljno precizna. Bolje je navesti da se uvodi višefaktorska autentikacija za definiranu skupinu korisnika, odrediti vlasnika, rok, ovisnosti, potrebne resurse i dokaz završetka. Ako mjera kasni, registar mora pokazati razlog, novi rok i utjecaj na rezidualni rizik.
Kontinuitet je ključan. Procjenu treba preispitati nakon značajne promjene sustava, promjene dobavljača, incidenta, nalaza revizije ili promjene poslovne usluge. Godišnji ciklus može biti osnovni ritam, ali ne smije zamijeniti procjenu potaknutu stvarnim događajem.
Gdje automatizacija daje stvarnu vrijednost
Ručni rad u tablicama često stvara dvije verzije istine: jednu u registru rizika, drugu u dokumentaciji, porukama i zapisnicima. Posljedica su zastarjeli statusi, izgubljeni dokazi i nejasno vlasništvo nad mjerama.
Specijalizirana platforma može pomoći strukturirati samoprocjenu prema zahtjevima ZKS-a i Uredbe, povezati dokumente i revizijske dokaze s pojedinim zahtjevima, evidentirati neusklađenosti te pratiti korektivne aktivnosti. ITrevizija.hr pritom je usmjerena na hrvatski ZKS/NIS2 okvir i omogućuje AI potpomognutu analizu dokumentacije, preporuke za daljnje postupanje te pregled statusa usklađenosti. Takav alat ne zamjenjuje prosudbu uprave, stručnu procjenu ni odgovornost vlasnika rizika, ali smanjuje administrativno opterećenje i olakšava sljedivost.
Vrijednost automatizacije ovisi o kvaliteti ulaznih podataka. Nejasna politika, nepotpun inventar ili dokument bez dokaza neće postati pouzdan nalaz samo zato što je učitan u sustav. Zato je razumno započeti s ograničenim opsegom, provjeriti metodologiju i tek potom postupno obuhvatiti sve poslovne usluge i subjekte.
Kada je svaki značajan rizik povezan s poslovnom uslugom, odgovornom osobom, konkretnom mjerom i provjerljivim dokazom, uprava dobiva osnovu za odluke, a organizacija temelj za održivu usklađenost – ne samo za sljedeći nadzor, nego i za promjene koje tek dolaze.