Najveći nedostatak tržišta kibernetičke sigurnosti nije broj ljudi koji žele ući u struku, nego broj ljudi koji iza sebe imaju godine stvarnog operativnog iskustva. Incidenti, forenzika, detekcija i upravljanje identitetima traže znanje koje se ne može steći samo kroz certifikate. Kako za ICTbusiness Media - ICTbusiness.info ističe Vedran Vujasinović, Senior Director, Cyber Resilience u Spanu, tržištu kronično nedostaju stručnjaci s pet, deset ili više godina iskustva. Automatizacija pritom može povećati produktivnost, ali može stvoriti novi problem ako potpuno ukloni početne poslove na kojima se grade budući seniori. Razvoj juniora zato mora uključivati stvarni operativni rad i razumijevanje razloga zbog kojih je neki događaj sigurnosno važan.
Zadržavanje ljudi ne ovisi samo o plaći nego i o odgovornosti, autonomiji i mogućnosti da stručnjak izgradi vlastitu metodologiju ili platformu. Druga tema razgovora je stvarna otpornost sustava. Sigurnosna kopija ne znači mnogo ako se kritična usluga iz nje ne može vratiti u prihvatljivom vremenu. Jednako tako plan odgovora na incident nije dokaz sposobnosti dok se organizacija ne nađe u kontrolirano stresnom scenariju u kojem mora donositi neugodne odluke. Vujasinović zato otpornost mjeri ponašanjem sustava i organizacije u realnim uvjetima, a ne brojem kontrola, alata i upozorenja.
Ima li tržište dovoljno sigurnosnih stručnjaka?
Ako pitanje postavimo samo kao „imamo li dovoljno ljudi”, odgovor je jednostavan - nemamo dovoljno iskusnih ljudi. Ljudi koji žele ući u cyber i juniora ima. Ono čega kronično nedostaje jesu stručnjaci s pet, deset ili više godina stvarnog operativnog iskustva, koji su vidjeli incidente, razumiju kako sustavi pucaju i mogu donijeti odluku kada dokumentacija i alat više nisu dovoljni. Najviše nedostaju upravo profili kod kojih se spajaju tehnička dubina i mogućnost prosudbe: incident response i digitalna forenzika, detection engineering, identity i cyber security, offensive security te ljudi koji iz tehničkog signala mogu razumjeti što on znači za poslovanje.
Ako automatiziramo ono što je ponovljivo, senior više vremena provodi na onome gdje stvarno treba ekspertizu - u razumijevanju napadača, složenim incidentima, novim detection use caseovima i odlukama koje alat ne može donijeti.
Tu postoji i jedan paradoks koji se ponekad previdi. Ako u želji za automatizacijom potpuno eliminiramo juniorske poslove, za pet godina možemo ostati bez seniora. Seniori se moraju negdje izgraditi. Zato razvoj juniora mora biti namjeran: dati im dovoljno stvarnog operativnog rada da nauče razumjeti zašto je nešto alert, kako je napad nastao i što signal zapravo znači, a ne pretvoriti ih u ljude koji samo zatvaraju tickete.
Što se tiče zadržavanja ljudi u Hrvatskoj, plaća je samo jedan dio odgovora. Kibernetičkom stručnjaku danas lokacija poslodavca sve manje određuje tržište rada. Ako želimo da najbolji ostanu ovdje, moramo im dati ozbiljne odgovornosti i priliku da grade nešto što ostaje iza njih: vlastitu detection logiku, metodologiju, automatizaciju, platformu ili capability koji se koristi kod više kupaca.
Kako se testira stvarna otpornost?
Stvarnu otpornost ne testiramo postojanjem kontrole nego njezinim ponašanjem kada je zaista potrebno. Backup koji postoji nije isto što i sustav koji možemo vratiti. Incident response plan na SharePointu nije isto što i organizacija koja može donijeti odluke pod pritiskom. Detection rule koji nikad nije izazvan kontroliranim napadom nije dokaz da će detektirati stvarnog napadača. Capability se ne ocjenjuje po tome postoji li kontrola nego po tome proizvodi li očekivani ishod u realnim uvjetima. Ono što iz prakse možemo reći jest da postoji velika razlika između organizacije koja ima formalni plan i one koja je stvarno prošla kroz scenarij u kojem plan više nije teorija.
Kod backupa je test vrlo konkretan. Osim toga što imamo backup, ključno je možemo li iz njega vratiti kritičnu uslugu i koliko povratak traje. Što ako su identity sustav, mreža ili primarna administratorska infrastruktura također kompromitirani? Kontrolirane simulacije napada omogućuju nam da provjerimo postoji li potrebna telemetrija, hoće li detection logika reagirati i dobiva li analitičar dovoljno konteksta da razumije što se dogodilo. Tek tada tvrdnja o pokrivenosti postaje nešto više od konfiguracije u alatu. Cilj dobre vježbe nije dokazati da smo dobri nego otkriti gdje ćemo puknuti dok posljedice još možemo kontrolirati.
Sudjelovanje Uprave tu je ključno jer ozbiljan incident vrlo brzo izlazi iz SOC-a. Tehnika može reći što je kompromitirano. Ne može sama odlučiti smije li poslovanje stati, koja usluga ima prioritet oporavka, kada komunicirati incident kupcima i regulatoru ili koliko rizika organizacija prihvaća tijekom povratka u normalno stanje. Zato tabletop vježba u kojoj Uprava nikada ne mora donijeti neugodnu odluku često nije dovoljno dobra vježba.
Otpornost nije ono što piše da možemo napraviti. Otpornost je ono što smo pod realnim uvjetima dokazali da možemo napraviti. Security industrija voli brojati kontrole, alate i alerte, no kad nešto stvarno zakaže, hoće li sustav napraviti ono što smo tvrdili da će napraviti.
* Projekt izrade serijala tekstova pod zajedničkim naslovom „Čija je digitalna Hrvatska? – Infrastruktura, sigurnost i interesi iza digitalne budućnosti države“ objavljen je uz financijsku potporu Agencije za medije iz Programa za poticanje novinarske izvrsnosti za 2026. godinu.
