Kibernetička sigurnost postala je temelj poslovne otpornosti, a ne samo zaštita IT sustava

Kibernetička sigurnost danas više nije izdvojena tehnička tema rezervirana za IT odjele, nego jedno od ključnih pitanja ukupne poslovne otpornosti svake organizacije. Kako tvrtke sve snažnije ovise o ERP sustavima, cloud platformama, podatkovnim servisima i digitalnim procesima, tako i posljedice kibernetičkih incidenata postaju daleko šire od samog tehnološkog prekida, govori u intervjuu za ICTBusiness Media ravnatelj Spanova centra kibernetičke sigurnosti Marinko Žagar.

Incident danas može značiti zastoj poslovanja, financijski gubitak, regulatorni problem i reputacijsku štetu, često sve u isto vrijeme. Upravo zato se sigurnost sve više seli u središte upravljanja rizicima i strateškog odlučivanja. U Europi gotovo dvije petine IT i sigurnosnih stručnjaka kažu da njihove organizacije bilježe više napada nego godinu prije, dok tek 38 posto njih vjeruje da njihova organizacija može učinkovito detektirati i odgovoriti na ozbiljan incident.

U isto vrijeme ENISA upozorava da phishing ostaje primarni početni vektor kompromitacije, odgovoran za približno 60 posto slučajeva, dok umjetna inteligencija dodatno povećava uvjerljivost i brzinu napada. Hrvatska pritom nije iznimka, jer je Nacionalni CERT u 2025. zabilježio 1.513 kibernetičkih incidenata, gotovo 36 posto više nego godinu ranije, pri čemu phishing i dalje dominira među prijavljenim prijetnjama.

Kako danas gledate na kibernetičku sigurnost u kontekstu ukupne poslovne otpornosti tvrtki?

Kibernetička sigurnost danas je ključni element poslovne otpornosti. To više nije pitanje IT-a ili tehničko pitanje već postaje izazov na koji je potrebno odgovoriti podizanjem svijesti ukupne organizacije te provesti organizacijske promjene koje će ovom izazovu znati odgovoriti. Kibernetičku sigurnost organizacije sve više promatraju kao dio upravljanja rizicima, kontinuiteta poslovanja i na koncu reputacije, jer kibernetički incident može paralizirati operacije jednako kao i fizička kriza ili prekid opskrbnog lanca.

Mnoge organizacije provode restrukturiranje kojim jasno razdvajaju IT i kibernetičku sigurnost s naglaskom na podizanje svijesti cijele organizacije. Posljedica digitalne transformacije učinila je današnje poslovanje snažno ovisnim o digitalnim sustavima (ERP, cloud, proizvodni sustavi, podatkovne platforme), a time cyber-incidenti mogu imati direktne poslovne posljedice – prekid rada, gubitak podataka, reputacijska šteta i regulatorne kazne. Drugim riječima: većina tvrtki više ne pita hoće li se incident dogoditi, nego kada će se dogoditi i koliko smo spremni na kibernetički incident.

Koliko su hrvatske i regionalne tvrtke stvarno spremne na ozbiljne incidente poput ransomware napada, krađe podataka ili sabotaže IT sustava?

Mnoge statistike pokazuju koliko je taj rizik realan. Primjerice, 54 posto organizacija globalno doživjelo je cyber-incident u posljednjih 12 mjeseci, 73 posto organizacija očekuje da će cyber-incident poremetiti poslovanje u sljedeće dvije godine i sl. Zbog toga kibernetička sigurnost sve više postaje temelj digitalne i operativne otpornosti organizacije.

Unatoč rastućoj svijesti, razina spremnosti je i dalje relativno niska. Prema ISACA-i u Europi samo 38 posto stručnjaka vjeruje da njihova organizacija može učinkovito odgovoriti na ozbiljan cyber-incident, a prema drugom istraživanju CyberSecStats.com, samo 29 posto sigurnosnih stručnjaka smatra da su njihove organizacije spremne za ransomware napad. Istodobno, broj kibernetičkih napada u EU raste, europske organizacije bilježe više od 1.500 cyber napada tjedno u prosjeku, uz rast od 86 posto u odnosu na godinu ranije. ENISA navodi da u EU ima oko 10.000 kibernetičkih napada godišnje. 

Podaci za RH pokazuju veliki rast broja kibernetičkih napada u 2025., tj. 1.513 što je 36 posto više u odnosu na 2024. To pokazuje da je izloženost incidentima realna, dok razina sustavne pripreme i dalje značajno varira među organizacijama. 

Koje kibernetičke prijetnje trenutno smatrate najvećim rizikom za poslovni sektor?

Danas se kibernetičke prijetnje ubrzano razvijaju, a poslovni sektor suočava se s kombinacijom klasičnih napada (phishing, ransomware, DOS) i novih prijetnji temeljenih na umjetnoj inteligenciji, deepfake tehnologiji i kompromitaciji dobavnih lanaca. Statistike pokazuju da su napadi sve češći, sofisticiraniji i usmjereni na širi spektar organizacija uključujući male i srednje tvrtke. 

Koliko su danas rašireni sofisticirani phishing napadi, deepfake prijevare i napadi temeljeni na umjetnoj inteligenciji?

Unatoč razvoju novih tehnologija, phishing ostaje najčešći početni vektor kompromitacije sustava koji i dalje predstavlja najslabiju kariku sigurnosti. Prema ENISA-i na analiziranom uzorku od 4.875 kibernetičkih incidenata, 60 posto kompromitacija započinje phishingom. To pokazuje da je phishing je najčešći početni vektor za proboj u sustave. 

Generativna umjetna inteligencija, s druge strane, omogućila je kibernetičkim kriminalcima da automatiziraju i skaliraju napade. AI omogućuje napadačima izradu uvjerljivih spear-phishing kampanja, automatiziranog malwarea i prilagođenih socijalnih manipulacija. 

Deepfake tehnologija sve se češće koristi za financijske prijevare i manipulaciju zaposlenicima. To znači da napadi više ne dolaze samo kroz e-mail, nego i kroz video sastanke, telefonske pozive ili glasovne poruke. U eksperimentima Cornell Universityja 66 posto ljudi nije uspjelo prepoznati AI-generirani glas, a 43 posto lažni video. 

Koliko su tvrtke izložene napadima kroz dobavne lance, vanjske partnere i cloud servise?

Moderni poslovni ekosustavi (cloud, SaaS, outsourcing) proširuju napadnu površinu. To znači da tvrtka može biti kompromitirana ne zbog vlastitog propusta, nego zbog ranjivosti partnera, dobavljača ili cloud servisa. Napadi na dobavne lance porasli su za više od 430 posto od 2023., a 97 posto organizacija doživjelo je negativan utjecaj incidenta povezanog s trećim stranama u posljednjih godinu dana. Veliki supply-chain incidenti mogu zahvatiti stotine ili tisuće organizacija istovremeno. Primjeri Microsoft Midnight Blizzard Email Breach ili AnyDesk Source Code Breach pokazuju da su meta dobavni lanci, u ovim slučajevima programskih proizvoda.

Vidite li porast ciljanih napada na male i srednje tvrtke koje često nemaju razvijene sigurnosne timove?

Da, napadači sve češće ciljaju SMB sektor, jer je obrana često slabija ili je uopće nema. Za napadače su takve organizacije atraktivne jer često imaju ograničene sigurnosne timove, slabije procese upravljanja rizicima manju razinu sigurnosne edukacije zaposlenika i sl. 

Koliko su zaposlenici danas najveći sigurnosni rizik, ali istovremeno i najveća prilika za jačanje obrane?

Brojna istraživanja potvrđuju da je ljudski faktor dominantan uzrok i vektor kibernetičkih incidenata. U praksi, phishing i socijalni inženjering često iskorištavaju upravo ljudske slabosti poput žurbe, stresa ili nedovoljne edukacije. 

Tipični primjeri takvih pogrešaka uključuju klik na phishing poveznicu, korištenje istih lozinki na više sustava, slanje osjetljivih podataka pogrešnom primatelju ili nepažljivo rukovanje uređajima. Zbog toga mnogi stručnjaci zaposlenike nazivaju „najvećom ranjivošću“ organizacije.

Iako su čest uzrok incidenata, zaposlenici mogu postati i ključni „sigurnosni senzor“ organizacije. Studije pokazuju da kontinuirana edukacija može smanjiti uspješnost phishing napada i do 50 posto u roku od šest mjeseci. Organizacije koje provode redovite vježbe phishing napada i treninge podizanja svijesti i kibernetičke otpornosti značajno povećavaju stopu prijavljivanja sumnjivih poruka.

Drugim riječima, zaposlenici mogu postati prva linija detekcije napada (prijavljivanje phishinga) i aktivni sudionici u zaštiti podataka. To zahtijeva promjenu pristupa kibernetičkoj sigurnosti, od tehničkog modela prema modelu koji uključuje ponašanje, edukaciju i organizacijsku kulturu sigurnosti.

Koliko su tvrtke spremne ulagati u kontinuiranu edukaciju, a ne samo u povremene formalne treninge?

Unatoč jasnim rizicima, a od 2024. godine i zakonskoj obvezi, te statističkim podacima koji pokazuju najčešće vektore napada kroz phishing, ulaganje u kontinuiranu edukaciju zaposlenika i dalje je nedovoljno razvijeno. Prema analizi Svjetske banke, obrazovanje odraslih u RH vrlo je nisko tj. samo 8 posto odraslih sa visokom stručnom spremom učestvovalo je u programima obrazovanja i usavršavanja dok za EU taj prosjek iznosi 19 posto. To pokazuje paradoks da su organizacije svjesne da je ljudski faktor ključan, ali mnoge i dalje ulažu više u tehnologiju nego u razvoj sigurnosne kulture.

Jednokratne edukacije često imaju ograničen učinak jer zaposlenici brzo zaboravljaju sigurnosne procedure a prijetnje se stalno razvijaju i novi zaposlenici stalno ulaze u organizaciju. Istraživanja pokazuju da kontinuirani programi edukacije i phishing vježbe značajno smanjuju rizik od phishing napada i socijalnog inženjeringa te razvijaju dugoročnu sigurnosnu kulturu. Zbog toga se u praksi sve više uvode kontinuirane security awareness kampanje te redovite phishing vježbe. Ulaganja u sadržaje za samoučenje iz kibernetičke sigurnosti, posebno u velikim organizacijama, pokazuju se kao jedino moguće rješenje jer drugi tipovi edukacija predstavljaju preveliki izazov.

Kako procjenjujete razinu znanja i spremnosti IT sigurnosnih timova na tržištu?

Razina stručnosti sigurnosnih timova raste, ali većina organizacija i dalje se suočava s ozbiljnim nedostatkom specijaliziranih znanja. Prema globalnim istraživanjima, čak 90 posto organizacija prijavljuje nedstatke u vještinama unutar svojih timova za kibernetičku sigurnost, dok samo 38 posto sigurnosnih stručnjaka smatra da je njihova organizacija u potpunosti spremna za odgovor na ozbiljan kibernetički incident. (Network World; TechRadar). Veliki je izazov edukacija IT stručnjaka u području kibernetičke sigurnosti, iako postoji obimna ponuda specijaliziranih edukacija u tom području pa i na hrvatskom jeziku.

Koliko tvrtke danas imaju problem s nedostatkom kvalificiranih stručnjaka za sigurnosne operacije, forenziku i odgovor na incidente?

Globalni nedostatak stručnjaka za kibernetičku sigurnost jedan je od najvećih izazova za organizacije. Globalni manjak stručnjaka procjenjuje se na oko 4,8 milijuna radnih mjesta dok 60 posto organizacija ima poteškoće u zapošljavanju stručnjaka za kibernetičku sigurnost, posebno za specijalizirane funkcije. 

U Europi je situacija slična i procjenjuje se manjak od najmanje 347.000 stručnjaka za kibernetičku sigurnost. Posebno su traženi profili poput SOC analitičara, stručnjaka za odgovor na incidente, digitalnih forenzičara te cloud security i AI security specijalista.

U Republici Hrvatskoj bi uskoro trebali dobiti još jedan preddiplomski studij kibernetičke sigurnosti što bi uz postojeća dva studijska programa značajno doprinijelo bazičnoj edukaciji stručnjaka kibernetičke sigurnosti. Span Centar kibernetičke sigurnosti fokusirao se na kratke specijalističke treninge te više programa mikrokvalifikacija koji u kratko vrijeme polaznicima pružaju mogućnost usvajanja koncentriranog specijalističkog znanja i vještina. Pored toga, nužno će biti u niže razine obrazovanja, srednje pa i osnovne škole, uvesti minimalno sadržaje koji povećavaju svijest o kibernetičkim opasnostima.

U kojoj mjeri IT timovi prate nove tehnologije poput Zero Trust arhitekture, SASE modela i automatiziranog upravljanja prijetnjama?

Sigurnosni timovi sve više usvajaju nove modele sigurnosne arhitekture, ali razina implementacije još je neujednačena. Prema industrijskim istraživanjima 27 posto organizacija navodi nedostatak stručnjaka za implementaciju Zero Trust arhitekture, a 30 posto organizacija ima nedostatak stručnosti u cloud sigurnosti, što je ključno za modele poput SASE. Kad je u pitanju automatizacija i korištenje AI alata, 65 posto organizacija već koristi AI i automatizaciju za detekciju prijetnji, primjerice u analizi sigurnosnih događaja i upravljanju SIEM sustavima. To pokazuje da organizacije uvode automatizaciju i AI u sigurnosne operacije, ali nedostatak specijaliziranih znanja često usporava implementaciju.

Koliko su sigurnosni timovi uključeni u strateške odluke o digitalnoj transformaciji, cloudu i AI sustavima?

Kibernetička sigurnost danas prelazi okvire tehničke funkcije i sve više se promatra kao strateški element upravljanja organizacijom odvojen od IT-a te kao ključan sugovornik u digitalnoj transformaciji poslovanja. Prema istraživanjima, čak 44  posto uprava i nadzornih odbora prepoznaje kibernetičku sigurnost kao ključni poslovni prioritet za očuvanje kontinuiteta poslovanja i zaštitu kritičnih podataka. Sigurnosni stručnjaci često bivaju uključeni tek nakon što su ključne tehnološke odluke već donesene, čime se značajno smanjuje njihov utjecaj na sigurnost sustava i podataka. Optimalni pristup, poznat kao “security-by-design”, podrazumijeva da se sigurnost planira i implementira od samog početka dizajna digitalnih platformi, cloud infrastrukture i AI sustava. Samo kroz takvu integraciju organizacije mogu osigurati da sigurnost nije naknadni dodatak, već temeljni element svake strateške i operativne odluke u digitalnom okruženju.