Sadržaj teksta11 odeljaka
Bezbednost mora da postane dokumentovan sistem
Akt o bezbednosti informacionih sistema nije samo dokument koji se piše da bi se zadovoljila forma. Njegova stvarna vrednost je u tome da kompanija jasno definiše kako štiti svoje sisteme, podatke, korisnike, zaposlene i kontinuitet rada. Kada se bezbednost oslanja samo na navike IT sektora, usmena pravila i pojedinačno iskustvo, rizik ostaje skriven sve dok se ne desi incident.
U praksi, mnoge kompanije imaju delove sistema: antivirus, backup, lozinke, mrežu, korisničke naloge, možda i određene procedure. Problem nastaje kada ti delovi nisu povezani u jedan razumljiv i upravljiv okvir. Tada menadžment ne zna ko je za šta odgovoran, zaposleni ne znaju šta smeju da rade, IT nema dovoljno jasna ovlašćenja, a pravni i operativni timovi nemaju dokaz da se rizicima upravlja sistemski.
Zato se sajber bezbednost mora posmatrati kao poslovna disciplina, ne samo kao tehnička zaštita. Akt je tačka u kojoj se tehničke mere, organizaciona pravila i odgovornost menadžmenta prevode u konkretan sistem rada.
Direktan odgovor za menadžment
Akt o bezbednosti informacionih sistema definiše pravila, mere, odgovornosti i procedure kojima kompanija upravlja bezbednošću svojih informacionih sistema. Njegov cilj nije samo formalna usklađenost, već smanjenje rizika, jasnija odgovornost, bolja reakcija na incidente i veća otpornost poslovanja.
Šta akt mora da reši u praksi
Dobar akt ne treba da bude zbir opštih rečenica. On mora da odgovori na praktična pitanja: koji sistemi su važni, koji podaci su kritični, ko ima pristup, kako se pristup odobrava, kako se kontroliše promena, šta se radi kada dođe do incidenta i kako se proverava da li mere stvarno funkcionišu.
Prva oblast je mapa sistema i odgovornosti. Kompanija mora znati koji IKT sistemi podržavaju ključne procese. Nije isto ako problem nastane na pomoćnom alatu ili na sistemu koji nosi prodaju, finansije, korisničku podršku, proizvodnju ili komunikaciju sa klijentima. Bez te mape, sve mere izgledaju jednako važne, a to nije tačno.
Druga oblast su pristupi i identiteti. Većina ozbiljnih problema počinje jednostavno: korisnik ima previše prava, stari nalozi nisu ugašeni, lozinke se dele, eksterni saradnici imaju pristup duže nego što je potrebno ili se administratorska prava koriste bez dovoljno kontrole. Zato akt mora da poveže ljudske uloge, poslovne procese i tehničke dozvole.
Treća oblast je postupanje u incidentu. Kompanija mora znati ko prijavljuje problem, kome se problem eskalira, ko odlučuje o prekidu rada sistema, ko komunicira sa korisnicima i kako se čuva trag događaja. Incident nije trenutak za improvizaciju. Tada se samo vidi da li su procedure bile realne.
Zašto ovo nije posao samo za IT sektor
IT može da implementira mere, ali ne može sam da odluči šta je poslovno najkritičnije. Ne može sam da proceni reputacioni rizik, ugovorne obaveze, posledice po korisnike, pravne zahteve i prioritete poslovanja. Zato IT infrastruktura i bezbednost moraju biti povezani sa menadžmentom, pravnim poslovima, finansijama, HR-om i vlasnicima procesa.
Kada akt piše samo IT, često dobije tehnički dokument koji menadžment ne koristi. Kada ga pišu samo pravnici, često dobije formalan dokument koji tehnički tim ne može da sprovede. Pravi pristup je zajednički: pravila moraju biti dovoljno precizna za kontrolu, dovoljno razumljiva za ljude i dovoljno realna da mogu da se primene u svakodnevnom radu.
Ovde se vidi razlika između dokumenta i sistema. Dokument može postojati u folderu. Sistem postoji tek kada zaposleni znaju šta se od njih očekuje, rukovodioci razumeju rizik, IT ima jasna ovlašćenja, a provere se rade redovno.
Kako povezati akt sa poslovnim kontinuitetom
Bezbednost nema smisla ako ne štiti sposobnost kompanije da radi. Zato akt mora biti povezan sa backup-om, oporavkom, kontinuitetom poslovanja i planom komunikacije. Ako se dogodi ransomware, pad servera, kompromitovan nalog ili gubitak podataka, ključno pitanje nije samo ko je kriv, već koliko brzo firma može da nastavi rad.
Zbog toga su bekap podataka, upravljanje pristupima, evidencija incidenata, obuka zaposlenih i testiranje procedura delovi istog sistema. Ako se akt bavi samo formalnim pravilima, a ne testira oporavak i ponašanje u realnim situacijama, ostaje slab upravo tamo gde je najpotrebniji.
Najbolje kompanije ne čekaju incident da prvi put provere procedure. One sprovode periodične provere, simulacije i revizije. Tako se otkrivaju rupe pre nego što postanu stvaran problem.
Praktičan redosled izrade
Prvi korak je popis kritičnih sistema, podataka i procesa. Drugi korak je procena rizika: šta može da pođe po zlu, koliko je verovatno i koliko bi koštalo. Treći korak je definisanje mera: tehničkih, organizacionih i proceduralnih. Četvrti korak je dodela odgovornosti. Peti korak je obuka i komunikacija. Šesti korak je testiranje i redovno ažuriranje.
Greška je krenuti od šablona i samo popuniti prazna mesta. Šablon može pomoći, ali ne sme zameniti razumevanje realnog poslovanja. Akt koji ne prepoznaje način rada konkretne kompanije neće pomoći zaposlenima kada nastane problem.
Zato je preporuka da se izrada akta radi kao mali projekat: sa vlasnikom, rokovima, uključivanjem relevantnih sektora i jasnom listom odluka koje menadžment mora da donese.
Pravi cilj je zreliji sistem rada
Akt o bezbednosti informacionih sistema treba da bude početak zrelijeg upravljanja digitalnim rizicima. On nije garancija da se incident neće dogoditi, ali značajno povećava šansu da firma zna šta radi, ko odlučuje, kako se reaguje i kako se poslovanje vraća u normalan tok.
Kompanije koje ovaj posao urade ozbiljno dobijaju više od formalne usklađenosti. Dobijaju jasniju odgovornost, bolju komunikaciju između sektora, manje improvizacije i jaču osnovu za dalji razvoj digitalnih rešenja, AI sistema i sigurnijeg rada sa podacima.
Pre objave ili primene bilo kog pravnog dokumenta, obavezno je proveriti aktuelne propise i uključiti pravnog savetnika. Poslovna i tehnička priprema mogu da ubrzaju proces, ali pravna validacija mora ostati deo završne kontrole.
Najčešće slabosti u postojećim bezbednosnim dokumentima
Prva slabost je prepisivanje opštih formulacija koje ne odgovaraju stvarnom poslovanju. Ako dokument govori o merama koje kompanija nema, alatima koje ne koristi ili procesima koji ne postoje, on ne pomaže nikome. Još gore, stvara lažan osećaj sigurnosti jer na papiru deluje kao da je sistem uređen.
Druga slabost je nejasna odgovornost. U dokumentu često piše da je za nešto odgovoran “nadležni sektor”, ali ne piše ko konkretno odobrava pristup, ko prati izuzetke, ko odlučuje u incidentu i ko menadžmentu daje izveštaj. U kriznoj situaciji takve nejasnoće postaju operativni problem.
Treća slabost je odsustvo provere. Akt koji se ne proverava vremenom zastari. Novi alati, novi zaposleni, novi dobavljači i nove poslovne navike brzo promene rizik. Ako se dokument ne ažurira, on opisuje prošlu verziju kompanije, ne sadašnju.
Kako izgleda realan minimum za početak
Za početak nije potrebno praviti prekomplikovan sistem. Dovoljno je napraviti jasnu mapu kritičnih sistema, osnovnu matricu pristupa, listu najvažnijih podataka, proceduru prijave incidenta, pravila za backup i oporavak, kao i plan edukacije zaposlenih. Ovaj minimum već pravi razliku jer smanjuje improvizaciju.
Nakon toga se sistem može širiti. Kompanija može uvesti detaljniju procenu rizika, klasifikaciju podataka, redovne interne provere, evidenciju izuzetaka, test oporavka, kontrolu dobavljača i izveštavanje menadžmenta. Bitno je da prvi korak bude dovoljno praktičan da se zaista primeni.
Ako je cilj da se akt koristi kao alat za upravljanje, a ne kao formalna obaveza, onda dokument mora biti povezan sa svakodnevnim odlukama. Tada menadžment zna gde je rizik, IT zna šta treba da sprovede, a zaposleni znaju kako da se ponašaju.
Pitanja koja klijenti najčešće postavljaju
Da li svaka kompanija mora imati akt o bezbednosti informacionih sistema?
Ne može se dati univerzalan odgovor bez provere važećih propisa i statusa kompanije. Ipak, čak i kada formalna obaveza ne postoji, dokumentovane bezbednosne procedure su dobra praksa za svaku firmu koja zavisi od podataka i digitalnih sistema.
Ko treba da učestvuje u izradi akta?
IT, menadžment, pravni poslovi, HR i vlasnici ključnih procesa. Ako dokument piše samo jedan sektor, postoji rizik da bude tehnički dobar, ali operativno neprimenljiv.
Da li je dovoljno kupiti softver za bezbednost?
Nije. Softver je važan, ali bez procedura, odgovornosti, obuke i kontrole, zaštita ostaje delimična.
Koliko često akt treba ažurirati?
Najmanje kada se promene sistemi, procesi, ljudi, rizici ili propisi. U praksi je dobro raditi periodičnu proveru najmanje jednom godišnje.
Šta je prvi korak?
Popis kritičnih sistema, podataka, pristupa i procesa. Bez toga se mere definišu napamet.
Sledeći korak za kompanije koje žele uređeniji sistem
Ako želite da proverite da li su vaše bezbednosne procedure dovoljno jasne, zakazivanje konsultacija je dobar prvi korak.
Povezana usluga: poslovni konsalting.
