Previše alata, premalo zajedničke slike

Velik broj sigurnosnih alata ne mora značiti i dobru sigurnosnu sliku. Organizacije danas prikupljaju ogromnu količinu podataka i upozorenja, ali ih često teško povezuju u jasan slijed događaja. Kako za ICTbusiness Media - ICTbusiness.info ističe Dragan Bednarčuk, Business Development Manager u KING ICT-u, problem je često u vidljivosti i povezanosti sustava, a ne u potpunom nedostatku tehnologije. Legacy sustavi, slabo upravljanje identitetima i sporo zakrpavanje dodatno povećavaju rizik. NIS2 je pritom sigurnost podigao na razinu uprave i poslovnog rizika.

Organizacije više ne mogu dokazivati zrelost samo firewallom, antivirusom i sigurnosnom kopijom. Moraju pokazati kako upravljaju rizikom, incidentima i odgovornošću prema dobavljačima. Dobavljački lanac posebno je osjetljiv jer napadač legitimnim pristupom partnera može zaobići dio internih kontrola. Jednokratni sigurnosni upitnik zbog toga više nije dovoljan. U razgovoru Bednarčuk objašnjava zašto sigurnost sve više ovisi o povezivanju podataka, kontinuiranom nadzoru dobavljača i pretvaranju regulatornih zahtjeva u svakodnevnu praksu.

Koje slabosti najčešće vidite?

Najčešće nije problem u tome da organizacija nema sigurnosne alate, nego u tome što nema dovoljno dobre vidljivosti i povezanosti između njih. Imamo puno sustava, puno podataka i puno alertova, ali često nedostaje jasna slika što se zapravo događa i koji su događaji međusobno povezani. Uz to, još uvijek vidimo legacy sustave, nedovoljno dobro upravljanje identitetima i privilegijama, sporo patchiranje i nedostatak jasnih procedura za reakciju. Drugim riječima, tehnologija je često tu, ali problem nastaje u tome kako je organizacija koristi i koliko brzo iz dostupnih informacija može doći do pravog zaključka.

Koliko je NIS2 već promijenio praksu?

NIS2 je definitivno pomaknuo sigurnost iz čisto tehničke teme prema poslovnom i upravljačkom pitanju. Više nije dovoljno reći „imamo firewall, antivirus i backup", organizacije moraju moći pokazati kako upravljaju rizikom, kako reagiraju na incidente, tko je odgovoran i kako kontroliraju svoje dobavljače. Mislim da je najveća promjena upravo u tome što se o cyber sigurnosti sve više razgovara na razini uprave i poslovanja. Naravno, razina zrelosti nije svugdje ista i mnoge organizacije su još uvijek u procesu pretvaranja zahtjeva iz regulative u konkretne procese i svakodnevnu praksu.

Koliko je čest dobavljački lanac kao rizik?

Vrlo je čest i postaje sve važniji. Organizacija može imati vrlo dobro zaštićenu vlastitu infrastrukturu, ali ako napadač pronađe slabost kod dobavljača, partnera ili servisa koji ima legitimni pristup sustavu, može zaobići velik dio tih kontrola. Upravo zato NIS2 supply-chain security izričito stavlja među ključne elemente upravljanja cyber rizikom, uključujući odnose s dobavljačima i pružateljima usluga.  Ono što se mijenja je i način razmišljanja, više nije dovoljno napraviti jednokratni security questionnaire prije potpisivanja ugovora. Potrebno je kontinuirano pratiti rizik dobavljača, njegove pristupe, ranjivosti, podugovaratelje i promjene u njegovom sigurnosnom stanju.

* Projekt izrade serijala tekstova pod zajedničkim naslovom „Čija je digitalna Hrvatska? – Infrastruktura, sigurnost i interesi iza digitalne budućnosti države“ objavljen je uz financijsku potporu Agencije za medije iz Programa za poticanje novinarske izvrsnosti za 2026. godinu.