Sajber bezbednost  – štit koji čuva vaše poslovanje

Sajber bezbednost više nije opcioni aspekt poslovanja, već neophodni preduslov za očuvanje podataka, kontinuitet rada i pravnu sigurnost. Savremene kompanije, institucije i organizacije u velikoj meri zavise od digitalnih sistema, kako za skladištenje podataka, tako i za obavljanje svakodnevnih aktivnosti. Međutim, upravo ta digitalna zavisnost otvara vrata raznim oblicima zloupotreba i sajber napada.

U praksi, incidenti kao što su neovlašćen pristup sistemima, curenje podataka o klijentima, prekid u radu servisa ili prevara putem phishing mejlova više nisu retkost. Ni domaći sistem nije pošteđen velikih sajber napada. Prema izveštaju Nacionalnog CERT-a za 2024, u oblasti nadzora IKT sistema od posebnog značaja zabeleženo je preko 100 miliona bezbednosnih incidenata.

Među najugroženijim sektorima nalaze se digitalna infrastruktura i usluge informacionog društva, u kojima je prijavljeno ukupno 8.545.368 i 8.533.170 incidenata.

Najzastupljeniji su bili:

• Skeniranje portova – automatizovani pokušaji napadača da identifikuju otvorene pristupne tačke u sistemima,
• Eksploatacija ranjivosti – korišćenje bezbednosnih propusta u softveru i sistemima,
• Pokušaji krađe korisničkih podataka (kredencijala) – uključujući brute-force napade i lažne login stranice.

To jasno ukazuje na rastući nivo sajber rizika i u Srbiji. Reč je o napadima koji variraju od pokušaja iznude i širenja malvera, do slučajeva u kojima su zaposleni nepažnjom omogućili pristup poverljivim informacijama. Ovakvi incidenti, osim reputacionih i operativnih posledica, sa sobom nose i ozbiljne pravne rizike.

Naime, neadekvatna zaštita informacionih sistema može dovesti do odgovornosti prema korisnicima, partnerima, zaposlenima, ali i prema regulatornim organima. Primera radi, ukoliko dođe do povrede podataka o ličnosti usled propusta u bezbednosti, rukovalac podacima može biti sankcionisan u skladu sa Zakonom o zaštiti podataka o ličnosti[1]. Slično važi i za sektor informacionih tehnologija, gde su obaveze definisane Zakonom o informacionoj bezbednosti^[2]. Štaviše, novine u pravnom okviru sve više uvode obavezne bezbednosne standarde, a njihovo nepoštovanje se tretira ne samo kao tehnički propust, već kao prekršaj ili čak osnova za naknadu štete.

Dodatno, značajan broj napada započinje iskorišćavanjem slabosti ljudskog faktora. Socijalni inženjering, odnosno manipulacija zaposlenima kako bi nehotice otkrili poverljive informacije ili omogućili pristup sistemu, i dalje je najčešći metod napada. Bez obzira na jačinu tehničke zaštite, ona može biti kompromitovana jednim klikom na zlonamerni link, što jasno ukazuje na značaj edukacije i bezbednosne kulture u okviru organizacije.

Najzad, savremeni trendovi pokazuju da su troškovi sajber incidenata sve veći i da pored tehničkih rešenja, nužno uključuju i organizacione i pravne mehanizme zaštite. Zbog toga je važno da svaka organizacija, bez obzira na veličinu, razume značaj preventivnog delovanja i uspostavi mere koje će je štititi od rizika digitalnog doba.

Koje mere zaštite su neophodne za efikasnu sajber bezbednost?

Kako bi zaštita informacionih sistema bila zaista delotvorna, neophodno je primeniti kombinaciju različitih mera – i to ne samo tehničkih, već i organizacionih, kadrovskih i pravnih. U pitanju nije jedno rešenje, već celovit pristup koji pokriva sve nivoe – od infrastrukture i softverskih alata, preko internih pravila i uloge zaposlenih, pa sve do ugovornih, regulatornih i osiguravajućih mehanizama zaštite.

Domaći propisi iz oblasti zaštite podataka i informacione bezbednosti jasno zahtevaju od organizacija da obezbede sigurnost svojih sistema. Neophodno je primeniti tehničke, kadrovske i organizacione mere zaštite – prilagođene vrsti podataka koje se obrađuju i rizicima kojima je organizacija izložena.

Ovakav pristup potvrđuju i evropske smernice, poput tehničkih uputstava ENISA agencije, koja identifikuje ključne oblasti bezbednosti: od kontrole pristupa i edukacije zaposlenih, do upravljanja incidentima i kontinuiteta poslovanja. Reč je o smernicama koje su izrađene radi konkretne primene zahteva NIS2 direktive[3] i predstavljaju praktičan okvir za sprovođenje mera upravljanja sajber rizicima u organizacijama koje pružaju digitalne usluge ili obavljaju delatnosti od posebnog značaja.

Osim tehničkih i organizacionih aspekata, jednako važnu ulogu imaju i pravni mehanizmi zaštite. Čak i kada dođe do bezbednosnog incidenta, adekvatno postavljeni ugovori o poverljivosti, interne politike zaštite podataka ili sajber osiguranje mogu ublažiti posledice, omogućiti brzu reakciju i smanjiti odgovornost kompanije. Zato je važno da se pravni aspekt zaštite ne posmatra kao nešto što dolazi naknadno, već kao integralni deo bezbednosne strategije.

U nastavku prikazujemo koje su najvažnije tehničke, organizacione, kadrovske i pravne mere zaštite, uz praktične primere, savete i osvrte na dobre prakse. Poseban fokus biće na pravnim mehanizmima, koji organizacijama mogu obezbediti ne samo bolju unutrašnju kontrolu, već i pravnu sigurnost u slučaju incidenata, što je često odlučujuće za očuvanje poslovanja i reputacije.

Tehničke mere zaštite – osnovna linija odbrane od sajber pretnji

Tehničke mere predstavljaju prvi i najvidljiviji sloj zaštite u okviru sajber bezbednosti. Ipak, njihova efikasnost ne zavisi samo od kvaliteta rešenja koje organizacija koristi, već i od toga koliko su ta rešenja pažljivo primenjena, ažurirana i prilagođena konkretnim rizicima. Drugim rečima, nije dovoljno imati „antivirus“, ako on nije konfigurisan, ne ažurira se i ne prati se njegov rad.

Tehničke mere obuhvataju čitav spektar alata i postupaka. Počinju od osnovnih rešenja, kao što su antivirusni programi i firewall, a idu do naprednih mera poput enkripcije podataka, višefaktorske autentifikacije i sistema za detekciju i odgovor na pretnje. Njihova svrha je da omoguće sprečavanje upada, zaštitu poverljivih podataka i očuvanje integriteta sistema, ali i da omoguće što brži oporavak u slučaju incidenta.

Najčešće korišćene tehničke mere:

• Enkripcija (šifrovanje) – štiti podatke čak i ako dođu u ruke neovlašćenih lica. Bez odgovarajućeg ključa, informacije ostaju nečitljive.
• Višefaktorska autentifikacija (MFA) – dodatni sloj zaštite naloga, koji otežava neovlašćeni pristup čak i kada su lozinke kompromitovane.
• Firewall i antivirusni softveri – osnovna mrežna i endpoint zaštita.
• EDR/XDR sistemi – napredni alati za detekciju i reagovanje na upade u realnom vremenu.
• VPN i zaštita domena – bezbedan pristup mrežama i zaštita identiteta organizacije na internetu.

• Redovni backup podataka – ključ za brzi oporavak i kontinuitet poslovanja nakon incidenta.

• Pen testovi i skeniranje ranjivosti – proaktivne metode za otkrivanje slabosti u sistemima.

Odsustvo adekvatnih tehničkih mera može da ima ozbiljne posledice po vašu kompaniju, o čemu najbolje govori primer iz prakse: Ransomware napad na gaming industriju – slučaj Capcom.

U novembru 2020. godine, japanski Capcom, globalni lider u razvoju video igara (poznat po naslovima kao što su Resident Evil i Street Fighter), postao je žrtva sofisticiranog ransomware napada. Napadači su iskoristili zastareli VPN server u jednoj od filijala kompanije da upadnu u mrežu, nakon čega su ukrali oko 1 terabajt podataka i enkriptovali ključne IT sisteme.

Zahtev za otkupninu iznosio je 11 miliona dolara, a Capcom je, u saradnji sa vlastima, odbio da plati. Kao posledica toga, osetljivi podaci više od 15.000 osoba (zaposleni, partneri i korisnici) završili su na internetu.

Incident je doveo do privremenog gašenja email servera i drugih sistema, kao i do značajnog reputacionog gubitka. Tek nakon incidenta, kompanija je uvela savremene bezbednosne mere poput SOC monitoringa i EDR rešenja, čime je povećala svoju otpornost.

Ovaj napad ukazuje da čak ni tehnološki giganti nisu imuni na sajber pretnje, te da prevencija, ažurirana infrastruktura i pravna spremnost čine osnovu uspešnog odgovora na incidente.

Organizacione i kadrovske mere zaštite – ljudi i procedure kao ključ stabilnosti sistema

Dok se tehničke mere često doživljavaju kao srž sajber bezbednosti, iskustvo pokazuje da upravo ljudski faktor i unutrašnje organizacione slabosti najčešće otvaraju vrata napadima. Bez obzira na to koliko su tehnologije sofisticirane, jedna pogrešna procena, nemar u postupanju sa poverljivim podacima ili izostanak reakcije na sumnjiv događaj mogu dovesti do kompromitacije čitavog sistema.

Zato je neophodno da informaciona bezbednost ne bude samo odgovornost IT sektora, već integralni deo organizacione kulture i poslovne strategije.

Ključne organizacione i kadrovske mere

• Politike i procedure bezbednosti informacija – formalizovani dokumenti koji jasno određuju pravila pristupa sistemima, klasifikaciju i zaštitu podataka, kao i ponašanje zaposlenih u slučaju incidenata.
• Obuka i podizanje svesti zaposlenih – redovno informisanje i edukacija svih zaposlenih o rizicima (npr. phishing), načinima prepoznavanja sumnjivog ponašanja i pravilima za bezbedno korišćenje poslovnih resursa. Posebno su važne tzv. simulacije napada (npr. test phishing mejlovi).
• Kadrovska politika – provere kandidata prilikom zapošljavanja (npr. pozicija sa pristupom osetljivim sistemima), uvođenje klauzula o čuvanju podataka u ugovore o radu, kao i kontrola pristupa i prava po principu „najmanjih privilegija“.
• Plan upravljanja incidentima – jasno propisane procedure za prijavu, obradu i dokumentovanje bezbednosnih incidenata, uz definisanje nadležnosti (npr. imenovan Incident Response Team).
• Politika revizije i kontrole pristupa – redovno preispitivanje korisničkih privilegija, logovanje aktivnosti i vođenje evidencije pristupa osetljivim podacima i sistemima.

Pravna perspektiva: kako osigurati pravnu održivost mera

Organizacione i kadrovske mere u oblasti sajber bezbednosti zahtevaju ne samo operativnu, već i pravnu pažnju. Uspostavljanje politika bezbednosti, uvođenje obaveza za zaposlene i regulisanje odnosa sa eksternim saradnicima moraju biti zasnovani na jasnim, preciznim i primenljivim dokumentima.

Neophodnost adekvatnih organizacionih i kadrovskih mera najbolje prikazuje primer iz prakse gde je „jedan pogrešan klik“ paralisao bolnički sistem u SAD.

U maju 2024. godine, jedan neoprezan klik zaposlenog u američkom zdravstvenom sistemu Ascension – mreži od oko 140 bolnica – bio je dovoljan da pokrene ransomware napad sa ozbiljnim posledicama. Maliciozni fajl otvoren putem e-mail-a omogućio je napadačima pristup internoj mreži, nakon čega su kompromitovani ključni serveri i sistemi.

Elektronski kartoni pacijenata, dijagnostičke platforme i drugi digitalni servisi postali su nedostupni, a medicinsko osoblje bilo je primorano da pređe na ručno vođenje evidencije, što je dodatno ugrozilo tok lečenja i bezbednost pacijenata.

Ovaj slučaj jasno pokazuje da tehnološka rešenja nisu dovoljna – neophodna je i stalna edukacija zaposlenih, uspostavljanje politika odgovornosti i planova za reagovanje, koji će omogućiti brzo otkrivanje i obuzdavanje incidenata, pre nego što izazovu sistemsku štetu.

Stručni tim kancelarije Zunic Law pomaže klijentima da:

• izrade ili revidiraju interne akte o bezbednosti informacija,
• pravilno formulišu klauzule o čuvanju podataka i odgovornosti u ugovorima o radu ili saradnji sa eksternim licima,
• usklade internu dokumentaciju sa Zakonom o zaštiti podataka o ličnosti i IT regulativom.

Na taj način, kompanije dobijaju pravni okvir koji podržava tehničke i organizacione mere, i time povećavaju svoju otpornost na rizike.

Pravni mehanizmi zaštite: ugovori, poslovne tajne i osiguranje

Iako se često zanemaruju u kontekstu sajber bezbednosti, pravni mehanizmi predstavljaju ključni sloj zaštite – ne samo za prevenciju, već i za efikasno upravljanje posledicama incidenata. Ugovori, interni akti i osiguranje čine osnovu za jasno definisanje odgovornosti, obaveza i pravnih posledica kada dođe do povrede bezbednosti informacija.

A) Ugovorne obaveze – zaštita kroz poslovne odnose

Svaka organizacija treba da osigura da njeni ugovori sa zaposlenima, eksternim saradnicima i IT dobavljačima sadrže klauzule koje se odnose na:

• obaveze u vezi sa zaštitom poverljivih podataka, uključujući zabranu neovlašćenog pristupa i korišćenja,
• pravila izveštavanja o bezbednosnim incidentima (incident notification clauses),
• precizno definisanu odgovornost za štetu nastalu povredom informacionih sistema.

Na primer, ugovori sa IT provajderima i cloud servisima treba da predvide jasne SLA (Service Level Agreement) klauzule koje regulišu vreme odziva na incidente, obim podrške, kao i bezbednosne standarde koje isporučilac mora da ispunjava.

Zamislimo da je kompanija A, domaći IT provajder, angažovana od strane međunarodne kompanije B da obezbedi cloud hosting za e-commerce platformu. Tokom jednog vikenda, platforma je pogođena ozbiljnim DDoS napadom, pa je sistem klijenta bio nedostupan nekoliko sati, što je dovelo do finansijskih gubitaka i pretnji raskidom ugovora.

U ovakvom slučaju, ključnu ulogu bi imao SLA (Service Level Agreement) kojim bi bilo jasno definisano: maksimalno vreme odziva na incident, obaveza pravovremenog obaveštavanja klijenta i tačan obim podrške koji provajder pruža. Ako su ove obaveze ispunjene, provajder bi mogao da dokaže da je reagovao u skladu sa ugovorom i time se zaštiti od neosnovanih odštetnih zahteva.

Nasuprot tome, kada SLA ne bi postojao ili bi bio nedovoljno precizan, provajder bi se našao u znatno nepovoljnijoj poziciji. U tom slučaju, teret odgovornosti mogao bi pasti isključivo na njega, bez ugovornog ograničenja ili zaštite – što bi povećalo rizik ne samo od finansijskih, već i od reputacionih posledica.

Primer iz prakse: Petya/NotPetya – kada update postane oružje

U junu 2017. dogodio se globalni sajber napad ransomware virusom Petya. Naknadno je utvrđeno da je zapravo reč o sofisticiranom destruktivnom malveru (NotPetya) čiji cilj nije bila otkupnina, već brisanje podataka i onesposobljavanje sistema.

Malver se širio putem zaraženog ažuriranja ukrajinskog računovodstvenog softvera M.E.Doc, čime je iskorišćena ranjivost u lancu snabdevanja. Brojne organizacije, verujući da je u pitanju legitimni update, instalirale su softver bez sumnje – što je omogućilo brzo i široko širenje malicioznog koda.

Napad je imao globalne posledice – pogodio je i multinacionalne kompanije poput Maersk, Merck i FedEx, izazvavši štete koje su se merile milijardama dolara. Iako su korisnici prvobitno verovali da je reč o tipičnom ransomware-u, naknadne tehničke analize pokazale su da nema načina za povrat podataka, što je ovaj napad svrstalo u domen digitalne sabotaže, a ne ucene.

Ovaj slučaj pokazuje koliko je važno ne samo imati tehničku zaštitu, već i ugovorno regulisane odnose sa softverskim dobavljačima, uz jasno definisane bezbednosne standarde i obaveze – jer čak i legitimni lanci snabdevanja mogu postati ulazna tačka za ozbiljan incident.

B) Poverljivost i poslovna tajna – kontrola pristupa kroz ugovorne obaveze

U savremenom digitalnom okruženju, u kom pristup podacima često imaju različiti profili lica – od zaposlenih i eksternih saradnika, do podugovarača, partnera i dobavljača IT usluga – pravno uređena poverljivost predstavlja jedan od temelja sajber bezbednosti. Tehnička zaštita može biti robusna, ali ukoliko informacije „procure“ kroz pravno neuređene odnose, posledice po kompaniju mogu biti ozbiljne – kako u reputacionom, tako i u pravnom i finansijskom smislu.

Zato je uvođenje ugovora o poverljivosti (NDA) nezaobilazan korak u zaštiti podataka, posebno u sektorima koji se oslanjaju na digitalne servise, softver, razvoj IT rešenja i obradu osetljivih informacija.

Praksa pokazuje da je ključno razlikovati nekoliko kategorija ugovornih odnosa koji zahtevaju specifične NDA aranžmane:

• IT sektor i razvoj digitalnih rešenja – U kontekstu digitalnih usluga i razvoja softverskih rešenja, posebno je važno ugovorno urediti pristup izvorima koda, arhitekturi sistema, bazama podataka i internim tehničkim specifikacijama. U ovim slučajevima, NDA klauzule su često deo šireg IT ugovora, ali mogu biti i zaseban dokument koji jasno propisuje granice upotrebe, obavezu čuvanja i zabranu otkrivanja tehničkih informacija.
• Eksterni saradnici i kontraktori – Freelanceri, konsultanti i specijalizovani dobavljači često imaju vremenski ograničen, ali dubok pristup sistemima organizacije. U njihovom slučaju, posebno je važno ugovorima definisati koje informacije se smatraju poverljivim, kako se čuvaju tokom i nakon angažmana, i kakve su posledice kršenja poverljivosti. Takvi ugovori obezbeđuju jasan okvir u situacijama kada ne postoji standardni radni odnos, ali postoji visok nivo poverenja.
• Zaposleni sa pristupom osetljivim informacijama – Ugovori o radu bi trebalo da sadrže posebne klauzule o poverljivosti, naročito kada zaposleni imaju pristup korisničkim podacima, internim analizama, planovima razvoja ili sistemskim privilegijama. NDA sa zaposlenima omogućava kompaniji da u slučaju incidenta ili otkrivanja informacija jasno identifikuje povredu obaveze i traži odgovornost, bez obzira na to da li je reč o nameri ili nehatu.

U svakoj od ovih situacija, pažljivo strukturisani ugovori o poverljivosti ne samo da pomažu u prevenciji rizika, već predstavljaju i dokazni osnov u slučaju spora, kao i snažan interni mehanizam kontrole.

C) Sajber osiguranje – mehanizam za ublažavanje posledica napada

Bez obzira na to koliko su tehničke, organizacione i pravne mere pažljivo postavljene, nijedan sistem nije apsolutno zaštićen od sajber incidenata. Zbog toga sve više organizacija pribegava dodatnom sloju zaštite – sajber osiguranju, koje omogućava smanjenje štetnih posledica napada, kako u finansijskom, tako i u reputacionom i pravnom smislu.

Polise sajber osiguranja mogu obuhvatati:

• troškove analize i sanacije incidenta (uključujući digitalnu forenziku),
• prekid poslovanja i pad prihoda usled napada,
• odgovornost prema trećim licima – uključujući naknadu štete klijentima čiji su podaci kompromitovani,
• pravne troškove i regulatorne kazne (npr. u slučajevima povrede ličnih podataka),
• kao i otkupnine koje se zahtevaju u okviru ransomware napada.

Međutim, pokriće otkupnine (ransom payment) u polisi osiguranja može imati i negativne posledice. Ako osiguranje pokriva isplatu otkupnine, napadači bi mogli češće da ciljaju takve organizacije, očekujući da će one lakše pristati na plaćanje. U tom smislu, ovaj aspekt zahteva pažljivo strateško razmatranje prilikom ugovaranja osiguranja i definisanja obima pokrića.

Upravo zato je preporučljivo da organizacije ovaj vid zaštite uključe kao deo šire strategije sajber bezbednosti, uz pravnu podršku u fazi analize ugovora sa osiguravajućim društvom. Pravilno formulisani uslovi polise, u skladu sa pravnim obavezama organizacije, mogu biti ključni u trenutku kada dođe do incidenta.

ISO standardi – okvir koji povezuje operativne mere i pravne obaveze

ISO standardi u oblasti informacione bezbednosti (pre svega ISO 27001) predstavljaju međunarodno priznati okvir za uspostavljanje sistema upravljanja bezbednošću informacija. Njihova uloga je da organizacijama pruže jasna pravila, procedure i evidencije, kako bi bezbednost bila deo svakodnevnog poslovanja, a ne samo skup tehničkih alata.

U praksi, ISO standardi obuhvataju:

• definisanje politika i procedura zaštite podataka (ko ima pravo pristupa, kako se čuvaju i klasifikuju informacije, kako se organizuje bekap i oporavak),
• upravljanje rizicima i vođenje evidencije o tome koje mere su primenjene,
• jasno određivanje uloga i odgovornosti zaposlenih u slučaju bezbednosnih incidenata,
• obavezu kontinuirane provere i unapređenja postojećih mera, kao i edukaciju zaposlenih.

Zašto su ISO standardi važni za poslovanje

ISO okviri značajno olakšavaju dokazivanje da je organizacija uvela „razumnu zaštitu“. U poslovnim odnosima to znači da kompanija može jednostavnije da:

• odgovori na sigurnosne upitnike i provere od strane potencijalnih partnera,
• dokaže usklađenost sa regulatornim zahtevima,
• ispuni ugovorne obaveze prema klijentima i dobavljačima (npr. kroz SLA – ugovore o nivou usluge i DPA – ugovore o obradi podataka).

Na ovaj način ISO standardi deluju kao most između tehničkih i organizacionih mera sa jedne strane i pravnih i ugovornih obaveza sa druge.

Samim tim, organizacije podižu nivo sajber bezbednosti i dobijaju dokaziv okvir koji olakšava saradnju sa klijentima, partnerima i regulatorima.

Sajber bezbednost kao strateški prioritet

Sajber bezbednost nije više pitanje izbora, već nužnost. U eri u kojoj digitalni sistemi čine srž poslovanja, napadi nisu pitanje da li će se desiti, već kada i kako će organizacija na njih odgovoriti. Kombinacija tehničkih, organizacionih i pravnih mera ne samo da štiti podatke i infrastrukturu, već pokazuje i zrelost i odgovornost poslovanja prema korisnicima, partnerima i zakonodavcu.

Bezbednost se ne gradi samo tehnologijom – ona se uspostavlja pravilima, ugovorima, obukama, planovima i strateškom pripremom. Upravo zato, angažovanje stručnjaka koji razumeju i IT i pravni okvir postaje presudno za prevenciju, ali i za adekvatno upravljanje posledicama incidenata.

U digitalnoj realnosti u kojoj je svaka slabost potencijalna meta, pravovremeno postavljanje snažnih zaštitnih mehanizama predstavlja jedinu održivu strategiju.