U novoj seriji članaka na ICTbusiness.hr razotkrit ćemo najčešće i najopasnije zamke u procesu usklađivanja sa Zakonom o kibernetičkoj sigurnosti (ZKS) i srodnom regulativom. Ti se problemi često javljaju zbog prevelike detaljnosti, nedostatka jasnog plana i pogrešnih prioriteta — a krajnji rezultat je spor, skup i neučinkovit proces.

Cilj serijala je pružiti praktične smjernice koje će vam od početka pomoći da usklađivanje bude brže, učinkovitije i bolje usmjereno — bez gubljenja resursa i vremena.

Zašto pratiti ovaj serijal?

• Naučit ćete prepoznati i izbjeći uobičajene zamke u planiranju i implementaciji usklađivanja.
• Steći ćete pregled najboljih praksi koje štede vrijeme, smanjuju troškove i ubrzavaju put do usklađenosti.
• Dobit ćete konkretne primjere i preporuke koje odmah možete primijeniti u svojoj organizaciji.

Tko piše ovaj serijal?

Autor serijala je Stanko Cerin — stručnjak sa 30 godina iskustva u kibernetičkoj sigurnosti, nositelj brojnih međunarodnih certifikata. Savjetovao je organizacije svih vrsta, od agilnih start-upova do globalnih Fortune 500 kompanija, u sektorima kao što su financije, energija, telekomunikacije, farmacija i trgovina. Kao jedan od osnivača ITrevizija.hr, svoje znanje sada je pretočio u moderno AI-podržano rješenje za upravljanje kibernetičkim rizikom i usklađenošću, utemeljeno na ZKS-u.

ZKS - greška broj 1: Pogrešno određen opseg gap analize

Početak izgradnje kibernetičke otpornosti kreće od razumijevanja trenutnog stanja i raskoraka do željenog, odnosno u ovom slučaju, Zakonom o kibernetičkoj sigurnosti propisnog stanja kibernetičke otpornosti subjekta.

Uobičajeno, ovaj se postupak zove gap anliza, odnosno analiza raskoraka.

Zakon o kibernetičkoj sigurnosti (ZKS) propisuje točan način kako se to radi, a to je obaveznim provođenjem samoprocjene, i to točno prema Smjernicama za provedbu samoprocjene kibernetičke sigurnosti koje je objavio ZSIS (Zavod za Sigurnost Informacijskih Sustava.  Obzirom da nam Zakon kroz smjernice definira točne kriterije provođenje gap analize nam je znatno pojednostavljeno. Samoprocjena provedena po smjernicama ZSIS-a, daje vrlo jasan pregled usklađenosti i raskoraka od ZKS-om propisanog stanja, dakle tu nemate što razmišljati. Sve drugačije metode su krive.

Usklađivanje sa bilo kakvim zahtjevima, pa tako i ZKS-a,  počinje od gap analize – postupka identifikacije raskoraka između trenutnog stanja i zahtijevanog stanja. Upravo je taj prvi korak usklađivanja jedna od najčešćih i najskupljih grešaka. Zašto?

Zato što se gap analiza često provodi samo na dijelu kritične infrastrukture, i to tamo gdje je najlakše. Obično na internom IT sustavu koji se sastoji od računalnih mreža, servera i poslovnih aplikacija, te ljudi koji to održavaju, eventualno i oni koji koriste.

Gap analiza nije najbolji prvi korak. Prije nje potrebno je napraviti procjenu utjecaja na poslovanje (Business Impact Assessment – BIA). Svrha BIA u ovom trenutku je razumijevanje razloga iz kojih se uopće usklađujemo sa ZKS. Što se najgore može dogoditi našoj organizaciji i na koji najgori način to može naštetiti nama,  korisnicima naših proizvoda ili usluga i društvu uopće? Kako do toga može doći? Koji su mogući scenariji ovakvog događaja i koje su to kritične točke: koja infrastruktura, oprema, ljudi, lokacije?

Inicijalna procjena utjecaja na poslovanje

Procjenu utjecaja na poslovanje uvijek je dobro dokumentirati. Dakle, pišite.

Prvo, okupite prave ljude koji stvarno razumiju što, kako i zašto radite. Iako pričate o kibernetičkoj sigurnosti, oni često neće biti u IT-u. Ako ste dobili obavijest o kategorizaciji, krenite od nje. Zašto ste je dobili? Koji je to razlog da ste uključeni u ključne ili važne subjekte? Zato što opskrbljujete energijom ili proizvodite hranu, osiguravate vodu za piće, transport, komunikacije ili nešto drugo…? Što je najgore što se može dogoditi? Proizlazi li opasnost iz nedostatka vašeg proizvoda ili iz njegove kvalitete? Može li vaš neispravan proizvod biti štetan? Popišite najgore moguće scenarije: kolaps prometa, nesreće sa smrtnim posljedicama, trovanja, nedostatak vode za piće, nedostatak hrane…

Sada razmotrite koje su to vaše kritične točke koje bi mogle prouzročiti takve događaje. Možda:

• neka oprema (transformatori, crpke, specijalni dijagnostički uređaji u zdravstvu, strojevi za proizvodnju, doziranje, pakiranje…),
• neke lokacije (tvornice, trafo stanice, bolnice, ceste…),
• neki ljudi (članovi uprava s posebnim ovlastima, IT administratori, korisnici dijagnostičkih sustava…),
• neke treće strane (tvrtke za održavanje i zaštitu, tvrtke sa udaljenim pristupom kritičnoj opremi, ključni dobavljač…)
• neki IT sustavi (upravljački i nadzorni sustavi, SCADA, email, ERP…)
• komunikacije (LAN, WAN, Internet…)

Popišite sve to. To je opseg na kojem ćete radi gap analizu.