Što je kibernetička sigurnost? Vodič za tvrtke

Kibernetička sigurnost je zaštita sustava, mreža, aplikacija i podataka od digitalnih napada, neovlaštenog pristupa i prekida rada. U praksi to znači skup mjera, ljudi i procesa koji zajedno smanjuju vjerojatnost da napadač uđe u vaše sustave i ograničavaju štetu ako ipak uđe. Cilj nije nemoguća savršena obrana, nego upravljanje rizikom na razinu koju tvrtka može prihvatiti i dokazati. Za reguliranu tvrtku u financijama, zdravstvu, kritičnoj infrastrukturi ili SaaS-u sigurnost je istovremeno poslovna nužnost i pravna obveza.

Za tvrtku kibernetička sigurnost nije jedan alat ni jednokratan projekt, nego trajno stanje koje se održava kako se mijenjaju i tehnologija i prijetnje. Napadač treba pronaći jednu slabost, dok obrana mora pokriti sve. Zato se ozbiljan program ne gradi kupnjom proizvoda, nego razumijevanjem što štitite, čega se bojite i koliko vrijedi to što branite. U Hrvatskoj je dodatni pritisak regulatorni, jer NIS2 direktiva je prenesena kroz Zakon o kibernetičkoj sigurnosti, a financijske institucije obvezuje i DORA (Uredba (EU) 2022/2554).

Ovaj tekst objašnjava što kibernetička sigurnost obuhvaća, koji su joj temelji, kako se napadi prepoznaju i zaustavljaju te zašto je bitna za svaku tvrtku bez obzira na veličinu. Pišemo iz perspektive inženjera koji testiraju i grade sigurnosne programe. Ako tek slažete prioritete, nastavak je u tekstu odakle krenuti s kibernetičkom sigurnošću.

Cilj kibernetičke sigurnosti: trijada CIA

U srži svake odluke o sigurnosti stoje tri svojstva, poznata kao CIA trijada: povjerljivost (confidentiality), cjelovitost (integrity) i dostupnost (availability).¹ Ova tri svojstva su jezik kojim se mjeri sigurnost. Svaki napad narušava barem jedno od njih, pa procjena rizika uvijek kreće od pitanja što bi se dogodilo ako jedno zakaže.

Povjerljivost znači da podacima pristupaju samo ovlašteni. Krađa baze klijenata ili curenje medicinskih podataka narušava povjerljivost. Cjelovitost znači da su podaci točni i nepromijenjeni. Ako napadač tiho promijeni broj računa u nalogu za plaćanje ili izmijeni zdravstveni nalaz, narušava cjelovitost, a posljedice mogu biti gore od same krađe. Dostupnost znači da sustavi rade kad zatrebaju. Ransomware koji šifrira datoteke ili DDoS napad koji obara web trgovinu napada upravo dostupnost.

Tri svojstva često su u napetosti. Stroga enkripcija jača povjerljivost, ali ako se ključ izgubi, pati dostupnost. Stroga kontrola promjena štiti cjelovitost, ali usporava rad. Posao sigurnosnog programa je svjesno balansirati ta svojstva prema tome što je za konkretnu tvrtku najvrjednije. Banci je cjelovitost transakcija presudna, web trgovini je dostupnost ključna, bolnici je sve troje jednako kritično. Cilj kibernetičke sigurnosti zato nije apsolutna zaštita, nego očuvanje ta tri svojstva na razini koju tvrtka treba i može opravdati.

Tri stupa: ljudi, procesi, tehnologija

Svaki ozbiljan program drži se na tri stupa, povezana upravljanjem. Najčešća pogreška je ulaganje samo u tehnologiju, dok ljudi i procesi ostaju neuređeni. Skup alat ne pomaže ako zaposlenik klikne na phishing ili ako nitko ne zna tko reagira na alarm.

Ljudi su najčešća meta, jer je lakše prevariti čovjeka nego probiti dobro konfiguriran sustav. Zato edukacija, svjesnost i kultura prijavljivanja sumnjivih poruka nisu mekana tema, nego prva linija obrane. Procesi pretvaraju dobre namjere u ponovljivo ponašanje: politike pristupa, upravljanje rizicima, postupanje s incidentima i upravljanje promjenama. Bez procesa sigurnost ovisi o pojedincima i pada kad oni odu.

Tehnologija provodi odluke koje donose ljudi i procesi. Kontrole pristupa, enkripcija, sigurnosne kopije, nadzor i alati za detekciju su nužni, ali su zadnji, ne prvi korak. Iznad sva tri stupa stoji upravljanje, jer uprava odlučuje o prioritetima i prihvatljivom riziku. Odgovornost za sigurnost ne može se delegirati na IT odjel.

• Ljudi: edukacija i svjesnost, jer napadači najčešće ciljaju zaposlenike.
• Procesi: politike, upravljanje rizicima, postupanje s incidentima i kontrola pristupa.
• Tehnologija: kontrole pristupa, enkripcija, sigurnosne kopije i nadzor.
• Upravljanje: odluke o prioritetima i prihvatljivom riziku na razini uprave.

Pet funkcija NIST CSF-a

Okvir NIST Cybersecurity Framework organizira cijeli program u pet funkcija koje pokrivaju životni ciklus rizika, od pripreme do oporavka.¹ Funkcije su koristan jezik jer pokazuju da sigurnost nije samo sprječavanje napada, nego i sposobnost da ga otkrijete, zaustavite i preživite. Većina tvrtki ulaže u zaštitu, a zaboravlja na detekciju i oporavak, što je upravo ono što odlučuje hoće li incident biti neugodnost ili katastrofa.

Funkcija Upravljanje (Govern) je u verziji 2.0 dodana kao temelj koji povezuje ostalih pet, jer naglašava da odluke o riziku pripadaju upravi. Okvir nije obvezan u Hrvatskoj, ali je dobar zajednički jezik i lako se preslikava na zahtjeve norme ISO/IEC 27001.

Glavne kategorije prijetnji

Napadi dolaze u mnogo oblika, ali većina ih cilja predvidljive slabosti: ljude, neukrpane sustave, slabe lozinke ili dobavljače.² Razumijevanje glavnih kategorija pomaže da prepoznate gdje ste najizloženiji. Detaljan pregled dajemo u tekstu o vrstama kibernetičkih napada, a ovdje navodimo glavne skupine.

• Socijalni inženjering i phishing manipuliraju ljudima da otkriju podatke ili izvrše radnju, i najčešći su početak napada.
• Ransomware šifrira i krade podatke uz zahtjev za otkupninom, i nosi najveći poslovni utjecaj.
• Zlonamjerni softver obuhvaća viruse, trojance i špijunski softver koji kompromitiraju sustave.
• Napadi na web aplikacije i API-je iskorištavaju ranjivosti poput SQL injectiona ili slabe autentikacije.
• Napadi na lanac opskrbe ulaze kroz kompromitiranog dobavljača ili softver.
• Krađa vjerodajnica koristi ukradene ili pogođene lozinke, posebno tamo gdje nema višefaktorske autentifikacije.

Prijetnje se rijetko pojavljuju same. Ozbiljan napad obično je lanac: phishing donosi početni pristup, ukradene vjerodajnice omogućuju širenje, a ransomware je tek završni potez. Zato obrana mora pokriti više točaka tog lanca, ne samo zadnju.

Napadači se razlikuju po motivu. Najveći dio napada financijski je motiviran, od organiziranih kriminalnih skupina do prevaranata koji ciljaju uplate. Manji, ali ozbiljan dio čine napadi država na kritičnu infrastrukturu te interne prijetnje od nezadovoljnih ili nepažljivih zaposlenika. Profil napadača utječe na to kako se branite, ali osnovna higijena pomaže protiv većine, jer čak i napredni napadači najradije koriste najjeftiniji put: ljudsku pogrešku i nezakrpane sustave.

Slojevita obrana: defense in depth

Nijedna kontrola nije savršena, pa se ozbiljna obrana gradi u slojevima, pristup poznat kao defense in depth. Ideja je da napadač mora probiti više neovisnih prepreka, a svaka mu poveća trošak i vrijeme te poveća šansu da ga otkrijete prije nego nanese štetu. Ako jedan sloj zakaže, sljedeći ga zadržava.

U praksi slojevi idu od ruba prema podacima. Edukacija i filtriranje e-pošte zaustavljaju phishing prije nego dođe do korisnika. Višefaktorska autentifikacija sprječava zlouporabu ukradene lozinke. Segmentacija mreže ograničava širenje. Nadzor i detekcija uočavaju napadača koji je ipak ušao. Sigurnosne kopije i plan oporavka osiguravaju da preživite i najgori ishod. Nijedan sloj sam nije dovoljan, ali zajedno čine tvrtku znatno otpornijom.

Kibernetička i informacijska sigurnost: odnos

Kibernetička sigurnost usko je povezana s informacijskom sigurnošću, ali nije isto. Informacijska sigurnost štiti sve informacije, uključujući papir, razgovore i ponašanje ljudi. Kibernetička sigurnost je njezin digitalni dio, usmjeren na sustave, mreže i podatke. Drugim riječima, kibernetička sigurnost je podskup informacijske sigurnosti.

Razlika je važna jer norma ISO/IEC 27001:2022 i sustav upravljanja informacijskom sigurnošću obuhvaćaju oboje. Ako gradite formalan program, kreće se od šire informacijske sigurnosti, a kibernetičke kontrole su njezin tehnički dio. Razliku detaljnije razlažemo u tekstu o informacijskoj sigurnosti.

Zašto je bitna za svaku tvrtku

Postoji uvjerenje da su mete samo velike tvrtke, ali to ne odgovara stvarnosti. Velik dio napada je automatiziran i ne bira po veličini. Skeneri pretražuju internet za ranjivim sustavima, a phishing se šalje u milijunima. Manje tvrtke često su slabije branjene, pa su privlačnija meta, a ujedno teže preživljavaju zastoj ili gubitak podataka.

Razlozi su i regulatorni. Propisi poput NIS2 i Zakona o kibernetičkoj sigurnosti, GDPR-a uz nadzor AZOP-a te DORA-e za financijski sektor traže mjere upravljanja rizicima i zaštite podataka, uz kazne za propuste. Za regulirane tvrtke sigurnost je istovremeno zaštita i obveza koju treba dokazati. Opseg mjera je razmjeran riziku, pa će manja tvrtka imati jednostavniji program, ali ne i nikakav.

Napadač treba pronaći jednu slabost. Obrana mora pokriti sve, zato se gradi u slojevima i prema riziku.

Odakle krenuti

Sigurnost se ne kupuje, nego gradi prema riziku. Ovo je redoslijed koji daje rezultat i izbjegava trošenje na alate koji ne rješavaju vaš stvaran problem.

1. 01
   Popišite imovinu

   Utvrdite koje sustave i podatke imate, gdje su i koliko vrijede.
2. 02
   Procijenite rizik

   Za svaku imovinu procijenite prijetnje i moguću štetu kroz procjenu rizika.
3. 03
   Uvedite mjere

   Primijenite kontrole razmjerne riziku, od pristupa i MFA do sigurnosnih kopija.
4. 04
   Testirajte

   Dokažite da kontrole drže kroz procjenu ranjivosti i penetracijsko testiranje.
5. 05
   Nadzirite i poboljšavajte

   Pratite prijetnje i održavajte program, jer sigurnost je trajno stanje.

Ako ne znate odakle, počnite od vodiča odakle krenuti s kibernetičkom sigurnošću. Bitno je da prvi koraci budu popis imovine i procjena rizika, ne kupnja alata. Tek kad znate što štitite i čega se bojite, mjere imaju smisla.

Kako Raptoric pomaže

Gradimo i testiramo sigurnosne programe u kojima iza svake kontrole stoji stvaran rad. Kroz sigurnosni program i rizik slažemo procjenu rizika i mjere prema vašem profilu, a kroz penetracijsko testiranje dokazujemo da te mjere stvarno drže. Kao neovisna tvrtka ne prodajemo proizvode čije bismo nedostatke skrivali. Dogovorite uvodni razgovor i reći ćemo vam odakle krenuti.