Informacijska sigurnost: što je i kako uspostaviti program

Informacijska sigurnost je zaštita informacija od neovlaštenog pristupa, izmjene i gubitka, bez obzira na to nalaze li se u digitalnom sustavu, na papiru ili u glavama zaposlenika. Mnogi je poistovjećuju s antivirusom ili vatrozidom, no to je tek dio priče. Informacijska sigurnost je upravljačka disciplina: odluka o tome što štitite, koliko i kako, koju zatim dokazujete u praksi.

Pišemo iz perspektive inženjera koji grade i testiraju sigurnosne programe. Cijeli program informacijske sigurnosti vodimo kroz sigurnosni program i rizik, a formalni okvir detaljno opisujemo u tekstu o ISO 27001 u Hrvatskoj.

Što je informacijska sigurnost

Prema normi ISO/IEC 27000, informacijska sigurnost je očuvanje povjerljivosti, cjelovitosti i dostupnosti informacija.¹ Ta tri svojstva čine takozvanu CIA trijadu i temelj su svake odluke o zaštiti. Kad procjenjujete rizik, zapravo se pitate koje od tih svojstava je ugroženo i koliko bi to štetilo poslovanju.

Informacijska, kibernetička i IT sigurnost

Pojmovi se često miješaju, a razlika je u opsegu. Informacijska sigurnost je najširi pojam, kibernetička pokriva njezin digitalni dio, a IT sigurnost najuži tehnički sloj.

Razlika nije akademska. Tvrtka koja sve svede na IT alate ostaje izložena na mjestima koja ti alati ne pokrivaju, od papirnatih ugovora i ključeva do ponašanja zaposlenika. Zato dobar program kreće od informacija, a ne od tehnologije.

Tri stupa: ljudi, procesi, tehnologija

Program informacijske sigurnosti drži se na tri stupa. Ako jedan zakaže, padaju i ostali. Najčešća pogreška je ulaganje samo u tehnologiju, dok ljudi i procesi ostaju neuređeni.

• Ljudi: svjesnost, edukacija i jasne odgovornosti. Većina ozbiljnih proboja počinje phishingom i socijalnim inženjeringom, a ne ranjivošću u kodu.
• Procesi: politike, upravljanje rizicima, postupanje s incidentima i pristup podacima. Procesi pretvaraju namjeru u ponovljivu praksu.
• Tehnologija: kontrola pristupa, enkripcija, sigurnosne kopije, nadzor i dvofaktorska autentifikacija. Tehnologija provodi odluke, ali ih ne donosi.

Od čega štitimo informacije

Prijetnje dolaze izvana i iznutra, namjerno i slučajno. Dobar program ne pretpostavlja samo hakera u kapuljači, nego i umornog zaposlenika koji pogriješi.

• Vanjski napadači koji ciljaju podatke ili novac, od pojedinaca do organiziranih skupina.
• Zlonamjerni softver i ransomware, koji šifrira ili krade podatke.
• Phishing i socijalni inženjering, koji ciljaju ljude umjesto sustava.
• Interne prijetnje, od nezadovoljnih zaposlenika do zlouporabe ovlasti.
• Ljudske pogreške, poput pogrešno poslane e-pošte ili krivo postavljene cloud kante.
• Kvarovi i gubitak opreme te propusti dobavljača s pristupom vašim podacima.

Kako uspostaviti program, korak po korak

Program se ne kupuje, nego gradi. Ovo je redoslijed koji daje rezultat i izbjegava trošenje novca na alate koji ne rješavaju vaše stvarne rizike. Cijeli ciklus je trajan, po načelu planiraj, provedi, provjeri, poboljšaj.

1. 01
   Popišite imovinu

   Utvrdite koje informacije imate, gdje su, tko im pristupa i koliko su vrijedne. Bez te slike svaka kasnija odluka je nagađanje.
2. 02
   Procijenite rizik

   Za svaku imovinu procijenite prijetnje i ranjivosti te kombinirajte vjerojatnost i učinak u ocjenu rizika.
3. 03
   Postavite politike i odgovornosti

   Definirajte pravila pristupa, klasifikacije i postupanja te tko je za što odgovoran.
4. 04
   Uvedite kontrole

   Primijenite organizacijske, ljudske, fizičke i tehnološke mjere razmjerne riziku.
5. 05
   Educirajte ljude

   Redovita i konkretna edukacija mijenja ponašanje, jer ljudi su najčešća ulazna točka.
6. 06
   Nadzirite i mjerite

   Pratite događaje, mjerite učinkovitost kontrola i prikupljajte dokaze da sustav radi.
7. 07
   Testirajte i poboljšavajte

   Dokažite da kontrole drže kroz procjenu ranjivosti i penetracijsko testiranje, pa ispravljajte slabosti.

Mjere i kontrole

Kontrole su konkretna sredstva kojima smanjujete rizik. Norma ISO/IEC 27002 razvrstava ih u četiri teme, što je koristan okvir i izvan certifikacije.²

Tko želi mjerljiv i priznat okvir, gradi sustav upravljanja informacijskom sigurnošću (ISMS) prema ISO 27001. On povezuje sve gore navedeno u trajan, vođen proces koji se može i certificirati.

Uloga vodstva

Informacijska sigurnost je odgovornost vodstva, ne samo IT odjela. Tko upravlja, taj odlučuje o prioritetima i proračunu, a sve češće i osobno odgovara. NIS2 i Zakon o kibernetičkoj sigurnosti izričito traže da uprava odobri i nadzire mjere te prođe osposobljavanje.³

Manje organizacije rijetko imaju direktora sigurnosti na puno radno vrijeme. Tu pomaže model virtualnog CISO-a (vCISO): iskusno vodstvo u dogovorenom opsegu, bez troška izvršne pozicije.

Informacijska sigurnost i propisi

Više propisa traži upravo ono što čini dobar program. GDPR traži tehničke i organizacijske mjere zaštite osobnih podataka. NIS2 traži mjere upravljanja rizicima u ključnim i važnim sektorima. ENISA, agencija EU-a za kibernetičku sigurnost, te mjere povezuje s priznatim normama poput ISO 27001.³ Tvrtka s urednim programom ulazi u usklađivanje s prednošću, jer ne kreće od nule.

Najčešće zablude

• To je IT problem. Nije: većina rizika dolazi iz procesa i ponašanja ljudi, ne iz tehnologije.
• Premali smo da bismo bili meta. Automatizirani napadi ne biraju po veličini, a manje tvrtke često su slabije branjene.
• Kupili smo alat, riješeno je. Alat bez konfiguracije, nadzora i procesa daje lažan osjećaj sigurnosti.
• To je jednokratan projekt. Sigurnost je trajno stanje koje se održava kako se mijenjaju sustavi i prijetnje.

Kako Raptoric pomaže

Gradimo programe informacijske sigurnosti u kojima iza svake kontrole stoji stvaran rad. Kroz sigurnosni program i rizik slažemo procjenu rizika, politike i mjere prilagođene vašoj tvrtki, a kroz penetracijsko testiranje dokazujemo da kontrole drže pred stvarnim napadačem. Ako tek krećete, najbolji prvi korak je trezvena slika onoga što štitite i gdje su slabosti. Dogovorite uvodni razgovor i reći ćemo vam jasno odakle početi.