Kibernetička otpornost ne gradi se jednim projektom niti se može svesti na popis implementiranih kontrola. Najzrelije organizacije sigurnost povezuju s upravljanjem poslovnim rizicima, kontinuitetom i odgovornošću uprave. Kako za ICTbusiness Media - ICTbusiness.info ističe Antonija Vojnović, voditeljica Odjela za upravljanje, rizike i usklađenost u Spanu, razina zrelosti u Hrvatskoj i dalje je vrlo neujednačena. Najčešći problemi nisu egzotične prijetnje nego nedosljedno upravljanje identitetima, privilegijama, zakrpama, segmentacijom i sigurnosnim kopijama. NIS2 je sigurnost pomaknuo iz isključivo tehničkog područja prema upravljačkoj odgovornosti.
To je važan pomak, ali postoji opasnost da dio organizacija usklađivanje pretvori u administrativnu vježbu. Vojnović naglašava da je važnije koliko brzo organizacija prepoznaje i ograničava incident nego koliko sigurnosnih proizvoda posjeduje. Posebno su izloženi sektori u kojima se kombiniraju vrijedni podaci, visoka ovisnost o digitalnim sustavima i velik učinak prekida rada. Za povećanje nacionalne otpornosti važni su ljudi, zajednički kapaciteti i brža razmjena informacija između javnog i privatnog sektora. U razgovoru objašnjava koji su tehnički rizici danas najpraktičniji i što bi Hrvatska trebala promijeniti u sljedeće tri godine.
Kako ocjenjujete kibernetičku zrelost hrvatskih organizacija?
Organizacije u Hrvatskoj posljednjih godina značajno povećavaju ulaganja u kibernetičku sigurnost, ali razina zrelosti i dalje je vrlo neujednačena. Sve je više organizacija koje razumiju kako kibernetička sigurnost nije isključivo tehnološko pitanje, već sastavni dio upravljanja poslovnim rizicima i kontinuitetom poslovanja. Najzrelije organizacije imaju jasno definirane sigurnosne procese, kontinuirani nadzor, upravljanje ranjivostima, segmentaciju mreže, višefaktorsku autentifikaciju te planove za odgovor na incidente i oporavak poslovanja. Takvih organizacija je sve više, ali razina zrelosti na tržištu i dalje značajno varira.
Najčešće slabosti nisu sofisticirani tehnološki problemi nego nedosljedna primjena osnovnih sigurnosnih principa. To se posebno odnosi na upravljanje identitetima i privilegiranim računima, nedovoljno korištenje višefaktorske autentifikacije, zastarjele sustave, nedovoljnu segmentaciju mreža, nedostatak kvalitetnog nadzora i detekcije incidenata te planove kontinuiteta poslovanja i oporavka koji postoje na papiru, ali se ne testiraju dovoljno često.
Najizloženiji su sektori u kojima se kombiniraju visoka vrijednost podataka, velika ovisnost o digitalnim sustavima i značajan učinak prekida rada. To su prije svega energetika, telekomunikacije, financijski sektor, zdravstvo, promet i logistika te pružatelji digitalne infrastrukture i usluga. Posebno je osjetljiva kritična infrastruktura jer posljedice incidenta mogu biti puno veće od samog gubitka podataka. Kada kibernetički napad prekine pružanje ključnih usluga ili fizičke procese, pitanje kibernetičke sigurnosti vrlo brzo postaje pitanje gospodarske, društvene i nacionalne sigurnosti.
Zakon o kibernetičkoj sigurnosti, kojim je u hrvatsko zakonodavstvo prenesena NIS2 direktiva, predstavlja važan iskorak jer kibernetičku sigurnost sve više pretvara iz tehničkog pitanja u pitanje upravljanja organizacijom. Najvažnija promjena je u tome da odgovornost više nije moguće jednostavno prepustiti IT odjelu. Uprave moraju razumjeti rizike, osigurati potrebne resurse i aktivno sudjelovati u izgradnji otpornosti organizacije.
Istodobno postoji opasnost da dio organizacija regulativu promatra isključivo kao compliance projekt usmjeren na dokumentaciju i kontrolne liste. Pravi cilj ne smije biti samo usklađenost, nego povećanje stvarne otpornosti organizacije. Uspješne organizacije budućnosti neće biti one koje nikada neće biti napadnute, nego one koje će napad dovoljno brzo prepoznati, ograničiti njegove posljedice i nastaviti poslovati uz minimalan utjecaj na korisnike i poslovanje.
Koji su najveći tehnički rizici s kojima se organizacije danas suočavaju?
Područja koja danas predstavljaju najveći praktični rizik su identiteti i upravljanje pristupima, ranjivi i nepatchirani sustavi, nedovoljna segmentacija mreže, zaštita sigurnosnih kopija te nedostatak kvalitetne detekcije i odgovora na incidente.
Ti se rizici međusobno nadovezuju. Kompromitirani korisnički ili administratorski račun može napadaču omogućiti početni pristup sustavu, loša segmentacija omogućuje daljnje širenje kroz infrastrukturu, nepatchirani sustavi povećavaju broj mogućih ulaznih točaka, a nedovoljno zaštićen backup može onemogućiti oporavak nakon ransomware napada.
Identiteti su danas posebno kritični jer predstavljaju novi sigurnosni perimetar organizacije. U okruženju clouda, udaljenog rada i digitalnih servisa tradicionalna granica između interne i vanjske mreže sve više gubi na važnosti. Ako napadač preuzme legitimni korisnički račun, može zaobići velik dio tradicionalnih zaštitnih mehanizama.
Patching ostaje jedan od temeljnih izazova. Organizacije često znaju koje ranjivosti postoje, ali problem nastaje u brzini kojom ih mogu ukloniti bez ugrožavanja poslovanja. Što je sustav važniji za poslovanje, to je proces nadogradnje složeniji.
Jednako je važna i zaštita sigurnosnih kopija. Nije dovoljno imati backup podataka. Potrebno je osigurati da napadač ne može kompromitirati ili kriptirati i same sigurnosne kopije te da organizacija može dokazano vratiti poslovanje iz njih. Segmentacija mreže dodatno ograničava posljedice napada jer kompromitacija jednog sustava ne smije automatski značiti kompromitaciju cijele organizacije.
Kvalitetan nadzor i detekcija omogućuju pravovremeno prepoznavanje prijetnji. Iskustvo pokazuje da je brzina otkrivanja i odgovora često važnija od samog broja implementiranih sigurnosnih kontrola. Organizacije danas ne trebaju samo prevenciju, nego sposobnost kontinuiranog nadzora, analize i brzog odgovora na incidente.
Sve veću važnost ima i sigurnost dobavljačkog lanca. Organizacije danas ovise o velikom broju vanjskih partnera, pružatelja SaaS usluga, proizvođača opreme i IT servisnih organizacija. To znači da organizacija može imati vrlo visoku razinu vlastite sigurnosti, a da ipak bude ugrožena kompromitacijom treće strane.
Upravo zato NIS2 direktiva i Zakon o kibernetičkoj sigurnosti stavljaju veći naglasak na upravljanje rizicima dobavljačkog lanca. Sigurnost se ne može procijeniti samo na temelju jednog certifikata ili ispunjenog upitnika. Potrebno je razumjeti kojim sustavima dobavljač pristupa, koje privilegije ima, kako se taj pristup nadzire i kakve bi posljedice mogla imati njegova kompromitacija.
Posljednjih godina značajno se promijenila i uloga umjetne inteligencije. AI napadačima omogućuje automatizaciju izviđanja, izradu uvjerljivijih phishing poruka, personalizaciju komunikacije prema žrtvama te povećanje opsega napada uz manji trošak i manje tehničkog znanja.
S druge strane, umjetna inteligencija može značajno unaprijediti obranu kroz bržu analizu velikih količina podataka, kvalitetnije otkrivanje anomalija i ubrzanje odgovora na incidente. Međutim, AI nije zamjena za temeljne sigurnosne procese. Organizacija koja nema kvalitetan pregled svoje infrastrukture, jasno definirane procese, stručne ljude i učinkovit nadzor neće postati sigurnija samo implementacijom AI alata. Sigurnost nije proizvod niti pojedina tehnologija, nego kombinacija ljudi, procesa, tehnologije i kontinuiranog upravljanja rizicima.
Što bi Hrvatska trebala promijeniti u sljedeće tri godine kako bi povećala svoju kibernetičku otpornost?
U sljedeće tri godine fokus bi se trebao pomaknuti s pitanja „jesmo li usklađeni?“ prema pitanju „koliko brzo možemo otkriti, zaustaviti i oporaviti se od napada?“. Hrvatskoj ne treba samo više sigurnosnih proizvoda. Potrebna je sustavna izgradnja kibernetičke otpornosti kroz ulaganja u ljude, procese, tehnologiju i suradnju između javnog i privatnog sektora.
Nedostatak stručnjaka jedan je od najvećih izazova s kojima se suočavaju organizacije u Hrvatskoj i Europi. Potrebno je dodatno ulagati u obrazovanje, prekvalifikacije, razvoj sigurnosnih timova i zadržavanje stručnjaka. Kibernetička sigurnost danas više nije ograničena tehnologijom nego dostupnošću ljudi koji znaju upravljati rizicima i učinkovito odgovoriti na incidente.
Jednako su važna ulaganja u zajedničke kapacitete za detekciju i odgovor na incidente. Nije realno očekivati da svaka organizacija, osobito manja, može samostalno razviti vrhunske sposobnosti nadzora i odgovora na prijetnje. Suradnja i korištenje zajedničkih kapaciteta postaju ključni elementi nacionalne otpornosti.
Regulatorne mjere trebale bi ostati proporcionalne i usmjerene na stvarne rizike. Ključno je izbjeći situaciju u kojoj organizacije većinu energije troše na dokazivanje usklađenosti, a premalo na stvarno povećanje sigurnosti. Posebno važnu ulogu može imati javna nabava. Država kao jedan od najvećih kupaca digitalnih i IT usluga može kroz sigurnosne zahtjeve u natječajima značajno podići standarde cijelog tržišta.
Najveći prostor za napredak vidim u jačanju suradnje i razmjene informacija između države, operatora ključnih usluga i privatnog sektora. Napadači ne razlikuju javni i privatni sektor. Ista kampanja, ista infrastruktura ili ista ranjivost može istodobno pogoditi više organizacija i više sektora. Obrana zato mora omogućiti brzo dijeljenje informacija o prijetnjama, indikatorima kompromitacije i novootkrivenim ranjivostima.
Posebno su važne zajedničke vježbe. Nije dovoljno imati plan odgovora na incident na papiru. Država, operatori i privatne kompanije trebali bi redovito provoditi simulacije velikih ransomware napada, kompromitacije dobavljača, napada na telekomunikacijsku infrastrukturu ili dugotrajnih prekida ključnih digitalnih usluga.
Kibernetička sigurnost danas više nije samo pitanje zaštite računala i podataka. Ona je postala sastavni dio gospodarske konkurentnosti, kontinuiteta poslovanja, povjerenja korisnika i nacionalne sigurnosti. Upravo zato ulaganja u sigurnost treba promatrati kao ulaganja u otpornost države i organizacija, a ne kao trošak IT odjela.
* Projekt izrade serijala tekstova pod zajedničkim naslovom „Čija je digitalna Hrvatska? – Infrastruktura, sigurnost i interesi iza digitalne budućnosti države“ objavljen je uz financijsku potporu Agencije za medije iz Programa za poticanje novinarske izvrsnosti za 2026. godinu.
