Stručni tekstovi
iz prakse.

Virtualni CISO daje iskusno vodstvo sigurnosti u dogovorenom opsegu. Evo što uloga obuhvaća, po čemu se razlikuje od stalnog CISO-a i kada je pravi izbor.

Što GDPR traži, koja prava imaju ispitanici, kako prijaviti povredu u 72 sata i kolike su kazne. Vodič iz perspektive sigurnosti, ne samo papira.

GDPR predviđa dvije razine kazni, do 20 milijuna eura ili 4 % prometa. Evo kako se određuje visina, tko ih izriče u Hrvatskoj i kako ih izbjeći.

GDPR daje pojedincima niz prava koja vaša tvrtka mora ispuniti, u pravilu u roku od mjesec dana. Evo kojih, kako postupiti sa zahtjevom i kada postoje iznimke.

GDPR nema prag veličine, pa se odnosi i na obrtnike i male tvrtke. Evo što stvarno morate, što su mitovi i kako se uskladiti bez nepotrebnog troška.

Većina ozbiljnih proboja počinje porukom, ne ranjivošću. Phishing i socijalni inženjering ciljaju ljude. Evo kako ih prepoznati i zaštititi tvrtku.

Ransomware šifrira podatke i traži otkupninu, a sve češće ih i ukrade. Evo kako napad teče, kako ga spriječiti i kako odgovoriti uz najkraći prekid.

Virusi, trojanci, ransomware i špijunski softver vrste su malwarea s istim ciljem: kompromitirati vaše sustave. Evo kako ulaze i kako se zaštititi.

DDoS napad preopterećuje sustav prometom kako bi postao nedostupan. Evo kako funkcionira, koje su vrste i kako se tvrtka može zaštititi i pripremiti za odgovor.

Kompromitacija poslovne e-pošte (BEC) jedan je od najštetnijih napada. Napadač se lažno predstavlja i traži uplatu. Evo kako ga prepoznati i spriječiti.

Krađa identiteta omogućuje napadaču da se predstavlja kao vi ili vaš zaposlenik. Evo kako do nje dolazi, koje su posljedice i kako smanjiti rizik.

MDR je usluga koja kontinuirano nadzire sustave, otkriva prijetnje i vodi odgovor. Evo što obuhvaća, po čemu se razlikuje od SOC-a i kada ga tvrtka treba.

SOC je tim i tehnologija koji kontinuirano nadziru sigurnost. Evo što SOC radi, koje uloge obuhvaća i kada graditi vlastiti, a kada koristiti uslugu.

SIEM, EDR i XDR tri su temeljna alata moderne detekcije. Evo što svaki radi, po čemu se razlikuju i kako zajedno čine cjelinu obrane.

Plan koji prvi put pišete usred napada je beskoristan. Evo kako izraditi plan odgovora na incidente, koje faze obuhvaća i zašto ga uvježbati unaprijed.

SOC 2 je izvještaj o sigurnosnim kontrolama koji traže američki kupci. Evo što SOC 2 jest, po čemu se razlikuje od ISO 27001 i kako do izvještaja.

OWASP Top 10 je popis najozbiljnijih sigurnosnih rizika web aplikacija. Evo što svaka kategorija znači, zašto je važna i kako je adresirati u razvoju.

Web aplikacija je najizloženiji dio većine tvrtki. Evo koji su glavni rizici, kako ih smanjiti i zašto sigurnost mora biti dio razvoja, a ne naknadna provjera.

API-ji povezuju moderne aplikacije, ali su i sve češća meta napada. Evo koji su glavni rizici API sigurnosti i kako ih smanjiti.

Prelazak u oblak ne prenosi i odgovornost za sigurnost na pružatelja. Evo kako funkcionira podijeljena odgovornost, koji su najčešći rizici i kako ih smanjiti.

DevSecOps znači ugraditi sigurnost u razvoj od početka, umjesto provjere pred lansiranje. Evo što taj pristup obuhvaća i kako ga uvesti.

U industriji zastoj ima fizičke posljedice, ne samo IT. Evo po čemu se sigurnost OT sustava razlikuje od IT-a i kako je graditi bez zastoja proizvodnje.

ICS i SCADA upravljaju fizičkim procesima, pa napad na njih ima posljedice u stvarnom svijetu. Evo po čemu se njihova sigurnost razlikuje i kako joj pristupiti.

IEC 62443 je vodeći međunarodni okvir za sigurnost industrijskih i OT sustava. Evo kako je strukturiran, što su sigurnosne razine i kome je namijenjen.

Ukradena lozinka čest je početak napada. Dvofaktorska autentifikacija čini je gotovo bezvrijednom. Evo kako 2FA i MFA rade i koji su oblici najsigurniji.

EU AI Act prvi je sveobuhvatni zakon o umjetnoj inteligenciji i primjenjuje se izravno u EU-u. Evo kako rade razine rizika te koji su rokovi i kazne.

Umjetna inteligencija mijenja prijetnje: vaši AI sustavi postaju meta, a napadači AI koriste kao oružje. Evo glavnih prijetnji i kako se zaštititi.

Aplikacije nad velikim jezičnim modelima donose nove rizike koje klasična sigurnost ne pokriva. Evo glavnih prijetnji LLM i RAG sustava i kako ih smanjiti.

AI agenti ne samo da odgovaraju, nego i djeluju: pozivaju alate, šalju zahtjeve i pokreću radnje. To mijenja rizik. Evo što treba znati o sigurnosti AI agenata.

OWASP je objavio poseban popis najvažnijih rizika aplikacija nad jezičnim modelima. Evo što svaka kategorija znači i kako je adresirati.

Zaposlenici već koriste AI alate, sa znanjem tvrtke ili bez njega. Ta neodobrena upotreba zove se shadow AI. Evo kako je obuzdati bez zabrane.

Informacijska sigurnost štiti povjerljivost, cjelovitost i dostupnost podataka. Evo po čemu se razlikuje od kibernetičke sigurnosti i kako graditi program.

Kibernetička sigurnost štiti sustave, mreže i podatke od digitalnih napada. Evo što obuhvaća, koja su glavna područja i odakle tvrtka kreće.

Od phishinga i ransomwarea do DDoS-a i napada na lanac opskrbe. Evo glavnih vrsta kibernetičkih napada, kako funkcioniraju i kako se tvrtka može obraniti.

Brzina reakcije presudna je za štetu. Evo što učiniti u prvim satima nakon kibernetičkog napada, što ne raditi i koje su obveze prijave u Hrvatskoj.

Male tvrtke su česta meta jer su slabije branjene. Evo praktičnih prvih koraka koji najviše smanjuju rizik, bez velikog proračuna i složenih alata.

Velik popis alata i obveza brzo paralizira. Sigurnost ne počinje kupnjom, nego razumijevanjem onoga što štitite. Evo prvih koraka koji zaista smanjuju rizik.

Procjena rizika je temelj svake ozbiljne sigurnosti. Bez nje ulažete nasumično. Evo kako provesti procjenu rizika korak po korak i pretvoriti je u plan.

Procjena rizika kaže gdje ste izloženi. Upravljanje rizicima je ono što potom radite. Evo kako voditi rizike kao kontinuirani proces, ne jednokratan dokument.

Kad sustav stane, pitanje nije hoće li, nego koliko brzo se vraćate u rad. Evo što su plan kontinuiteta poslovanja i plan oporavka i kako ih izraditi.

Vaša sigurnost je onoliko jaka koliko i sigurnost vaših dobavljača. Evo zašto je rizik trećih strana sve veći i kako njime upravljati.

Penetracijski test je osoba koja namjerno pokušava provaliti u vaše sustave, po pravilima koja vi postavite. Evo što obuhvaća, kako teče i kada ga trebate.

Penetracijsko testiranje nije jedna usluga, nego više vrsta za različite mete. Evo glavnih vrsta pentesta, po čemu se razlikuju i koju odabrati.

Web aplikacija je ulaz u vaše podatke, a skener samo protrese kvaku. Evo što ručni penetracijski test web aplikacije pokriva, kako teče i što dobivate.

Cijena pentesta ne dolazi iz cjenika, nego iz opsega i dubine. Evo što određuje cijenu, zašto se ponude toliko razlikuju i kako usporediti jabuke s jabukama.

Red teaming ide korak dalje od pentesta: simulira stvarnog napadača kroz tehniku, ljude i fizički pristup, da testira ne samo sustave nego i obranu.

Dvije se usluge često miješaju, a rade različito. Procjena mjeri koliko slabosti imate, a test dokazuje koje bi napadač iskoristio. Evo zašto trebate oboje.

Ponuda zvuči svugdje isto. Rad iza nje nije. Evo kako razlikovati pravi ofenzivni tim od skeniranja s računom, i koja pitanja postaviti prije potpisa.

DORA se u cijelom EU-u primjenjuje od siječnja 2025. i izravno obvezuje financijski sektor. Počiva na pet stupova. Evo na koga se odnosi i što morate napraviti.

Što ISO 27001 traži, koliko traje i košta, kako teče revizija u dvije faze i kako pokriva dio NIS2, DORA-e i GDPR-a. Vodič za pripremu na reviziju.

ISMS je okvir koji sigurnost pretvara iz niza alata u upravljiv sustav. Evo što ISMS jest, na čemu počiva i zašto je srce ISO 27001 certifikata.

Annex A je popis sigurnosnih kontrola na koje se ISO 27001 oslanja. Evo kako je organiziran u četiri teme, što kontrole pokrivaju i kako se biraju.

Izjava o primjenjivosti jedan je od najvažnijih dokumenata ISO 27001. Evo što SoA sadrži, zašto je revizori gledaju prvu i kako je ispravno izraditi.

AI aplikacije dodaju napadnu površinu kakve prije nije bilo. Bolji prompt vas neće spasiti. Kontrole koje djeluju su u arhitekturi. Evo kako ih osigurati.

Dva EU propisa o kibernetičkoj sigurnosti preklapaju se, ali nisu isto. NIS2 je širok, DORA je specijalist za financije. Evo kako prepoznati koji vas obvezuje.

Oba dokazuju da sigurnost shvaćate ozbiljno: jedan je američka atestacija, drugi globalni certifikat. Pravi prvi korak ovisi o tome kome prodajete.