Sadržaj teksta12 odeljaka
Procedure vrede samo ako ih ljudi razumeju i koriste
Bezbednosne procedure često propadnu iz jednostavnog razloga: napisane su kao dokumenti, a ne kao način rada. Kompanija dobije pravilnik, folder, nekoliko opštih rečenica i osećaj da je nešto završeno. Zatim zaposleni nastave da rade po starom, rukovodioci ne znaju šta treba da kontrolišu, a IT tim ostaje sam u pokušaju da održi sistem pod kontrolom.
Dobra interna politika mora biti dovoljno jasna da je zaposleni razume, dovoljno precizna da se može proveravati i dovoljno realna da se ne sukobljava sa svakodnevnim radom. Ako procedura traži ponašanje koje usporava ljude bez objašnjenja, oni će je zaobilaziti. Ako je previše opšta, niko neće znati šta tačno treba da uradi.
Zato priprema za sajber bezbednost nije samo pisanje dokumenata. To je usklađivanje ljudi, procesa, tehnologije i odgovornosti.
Direktan odgovor za kompanije
Kompanija se za bezbednosne procedure priprema tako što prvo mapira kritične sisteme, podatke, pristupe i rizike, zatim definiše jasne politike, vlasnike odgovornosti, tok prijave incidenata, pravila pristupa, edukaciju zaposlenih i ritam redovne provere. Procedura mora biti praktična, merljiva i usklađena sa realnim radom.
Prvo mapiranje, pa tek onda pravila
Najčešća greška je da kompanija krene od šablona. Šablon može biti koristan, ali samo ako znamo šta pokušavamo da uredimo. Pre pisanja procedura treba odgovoriti na nekoliko osnovnih pitanja: koji sistemi su najvažniji, koji podaci su najosetljiviji, ko ima pristup, gde se čuvaju dokumenti, kako se odobravaju promene i šta se dešava kada neko napusti kompaniju.
Ako se ova pitanja preskoče, procedura postaje papir koji ne dodiruje realan rizik. Na primer, politika lozinki je važna, ali neće rešiti problem ako bivši zaposleni i dalje ima aktivan nalog. Pravilo za čuvanje dokumenata je korisno, ali neće pomoći ako svako koristi privatne foldere i nestrukturisane poruke. Zato mapiranje mora obuhvatiti i tehnologiju i navike ljudi.
Ovo je posebno važno kod kompanija koje rastu. Dok je firma mala, mnogo toga se rešava dogovorom. Kada se broj zaposlenih, klijenata, lokacija i sistema poveća, usmeni dogovor postaje izvor rizika.
Pet politika koje treba postaviti rano
Prva je politika pristupa. Ona definiše ko dobija pristup, po kom osnovu, ko odobrava pristup, kada se pristup ukida i kako se kontrolišu privilegovani nalozi. Bez toga, svaka druga mera je slabija.
Druga je politika korišćenja uređaja, mreže i poslovnih naloga. Zaposleni moraju znati šta je dozvoljeno, šta nije dozvoljeno, kako se koristi privatni uređaj ako je to dopušteno i ko je odgovoran za prijavu gubitka uređaja ili sumnjive aktivnosti.
Treća je politika čuvanja i deljenja dokumenata. Tu se spajaju digitalna transformacija, produktivnost i bezbednost. Ako dokumenti žive u porukama, lokalnim folderima i privatnim nalozima, firma nema kontrolu ni nad znanjem ni nad rizikom.
Četvrta je procedura za incidente. Ona ne sme biti komplikovana. Zaposleni mora znati kome se javlja, šta ne sme da radi, kako se čuva dokaz i šta se dalje dešava.
Peta je politika backup-a i oporavka. Bez bekap podataka i testiranog oporavka, kompanija ne zna da li može da nastavi rad posle ozbiljnog problema.
Kako obezbediti da procedure ne ostanu mrtvo slovo
Pravila se ne usvajaju zato što su objavljena, već zato što su objašnjena, primenjena i kontrolisana. Zato svaka politika mora imati vlasnika. Vlasnik nije osoba koja je napisala dokument, već osoba koja vodi primenu: prati izuzetke, pokreće obuku, proverava da li se pravila poštuju i predlaže izmene kada procedura više ne odgovara realnom radu.
Obuka zaposlenih treba da bude kratka, konkretna i ponavljajuća. Nema potrebe da svaki zaposleni razume duboku tehniku. Ali mora da zna kako izgleda phishing, šta radi sa sumnjivim mejlom, kome prijavljuje problem, zašto ne deli naloge i zašto poslovne informacije ne treba držati van odobrenih sistema.
Rukovodioci imaju posebnu ulogu. Ako menadžeri zaobilaze pravila, zaposleni će ih pratiti. Ako menadžeri razumeju zašto pravila postoje, lakše će sprovesti promenu bez otpora.
Minimalni operativni ritam
Procedure treba da imaju ritam. Jednom mesečno mogu se proveriti korisnički nalozi i kritični pristupi. Jednom kvartalno mogu se analizirati incidenti, pokušaji napada, promene sistema i otvoreni rizici. Jednom godišnje treba uraditi širu reviziju politika, obuke i tehničkih mera.
Kod većih ili osetljivijih sistema, ritam može biti češći. Poenta nije u formalnosti, već u tome da bezbednost ne bude kampanja koja se radi jednom, nego deo upravljanja poslovanjem.
Tu IT infrastruktura igra važnu ulogu. Ako sistemi nisu standardizovani, ako nema centralnog upravljanja nalozima, ako backup nije testiran i ako nema monitoringa, procedure će teško zaživeti. Organizacione mere i tehnička osnova moraju ići zajedno.
Dobar dokument pomaže ljudima da donesu bolju odluku
Bezbednosne procedure treba da smanje konfuziju. Njihov cilj nije da zaposlene uplaše ili zaustave, već da im daju jasne granice i siguran način rada. Kada su pravila dobra, ljudi manje improvizuju, IT manje gasi požare, menadžment ima bolji pregled rizika, a kompanija lakše dokazuje da odgovorno upravlja sistemima.
Najbolje procedure nisu najduže. Najbolje su one koje zaposleni mogu da razumeju, menadžeri mogu da sprovedu, a IT može da podrži tehničkim merama. Sve ostalo je dokumentacija bez efekta.
Pre formalnog usvajanja internih politika, potrebno je proveriti pravne zahteve i uskladiti dokumente sa važećim propisima i stvarnim poslovnim modelom kompanije.
Kako procedure povezati sa svakodnevnim alatima
Procedure najlakše zažive kada su povezane sa alatima koje ljudi već koriste. Ako se zahtevi za pristup rešavaju kroz poruke bez evidencije, teško je dokazati ko je šta odobrio. Ako se incidenti prijavljuju usmeno, deo informacija se izgubi. Ako se dokumenti čuvaju na više mesta, niko ne zna koja verzija je tačna.
Zato bezbednosne procedure treba povezati sa sistemom za zadatke, dokumentima, tiketima, identitetima, backup-om i izveštavanjem. Time se pravilo pretvara u tok rada. Zaposleni ne moraju da pamte kompleksnu proceduru, već imaju jasno mesto gde nešto prijavljuju, traže, odobravaju ili proveravaju.
Ovo ne znači da je potreban veliki projekat odmah. I mali standardi prave razliku: jedinstveno mesto za dokumenta, jasan kanal za incidente, evidencija pristupa, šablon za odobrenje izuzetka i periodičan pregled aktivnih naloga.
Kako smanjiti otpor zaposlenih
Zaposleni često ne pružaju otpor bezbednosnim pravilima zato što su protiv bezbednosti, već zato što pravila ne razumeju ili ih doživljavaju kao dodatno opterećenje. Ako im se kaže samo “ne sme”, bez objašnjenja posledice, prirodno će tražiti prečice.
Bolji pristup je objasniti rizik kroz realne situacije: šta se dešava ako se nalog deli, ako se sumnjiv mejl otvori, ako se dokument pošalje pogrešnoj osobi, ako se privatni uređaj izgubi ili ako se backup ne može vratiti. Kada ljudi razumeju posledicu, lakše prihvataju pravilo.
Dobro pravilo treba da štiti i kompaniju i zaposlenog. Jasne procedure smanjuju nesigurnost jer zaposleni znaju šta treba da urade kada nisu sigurni. To je bolji cilj od stvaranja kulture straha.
Kako meriti da li procedure zaista funkcionišu
Procedure treba meriti kroz ponašanje i rezultate, ne samo kroz broj napisanih dokumenata. Dobra pitanja su: koliko zaposlenih zna kome prijavljuje incident, koliko brzo se gasi nalog zaposlenom koji odlazi, koliko često se proveravaju privilegovani pristupi i kada je poslednji put testiran oporavak iz backup-a.
Menadžmentu ne treba previše metrika, ali treba nekoliko jasnih indikatora. Na primer: broj otvorenih rizičnih pristupa, broj zaposlenih koji su prošli obuku, broj prijavljenih sumnjivih poruka, vreme reakcije na incident, uspešnost testiranja oporavka i broj izuzetaka od pravila.
Kada se ovi podaci prate, bezbednost prestaje da bude subjektivan osećaj. Postaje upravljiva oblast. Tada se lakše odlučuje šta je hitno, šta može da čeka i gde ulaganje ima najveći efekat.
Pitanja koja klijenti najčešće postavljaju
Koje bezbednosne procedure treba prvo napisati?
Pravila pristupa, korišćenje poslovnih naloga i uređaja, čuvanje dokumenata, prijava incidenata i backup/opravak su najčešći početni minimum.
Ko treba da bude vlasnik procedura?
Zavisi od teme, ali mora postojati imenovana osoba ili funkcija. IT ne treba da bude jedini vlasnik svih pravila.
Kako obučiti zaposlene bez previše teorije?
Kroz kratke praktične sesije, realne primere, simulacije phishing-a i jasne instrukcije šta se radi u konkretnoj situaciji.
Koliko detaljne politike treba da budu?
Dovoljno detaljne da se mogu primeniti i proveriti, ali ne toliko komplikovane da ih ljudi zaobilaze.
Da li procedure treba povezati sa ugovorima i HR procesima?
Da. Pristupi, poverljivost, onboarding, offboarding i odgovornost moraju biti povezani sa HR i pravnim procesima.
Sledeći korak za kompanije koje žele uređeniji sistem
Ako želite da bezbednosne procedure budu primenljive u realnom radu, zakažite konsultacije i napravite jasan plan prvih koraka.
Povezana usluga: poslovni konsalting.
