Napomena o poreklu teksta (27. oktobar 2026): Ovo je novi stručni vodič Positive-a na ranije korišćenoj adresi o bezbednosti informacionih sistema. Izvorni istorijski tekst, njegov autor i prvobitna ponuda obuke nisu pouzdano obnovljeni. Ovaj sadržaj nije arhivska kopija, niti potvrda da je nekadašnji program edukacije i dalje u ponudi.
Bezbednost informacionih sistema (BIS) nije samo antivirus, zaštitni zid ili jednokratna tehnička provera. To je način na koji organizacija štiti informacije potrebne za poslovanje, određuje odgovornosti i priprema se za prekide. Kada ljudi, procesi i tehnologija nisu povezani, čak i dobar pojedinačni alat može ostaviti ozbiljne praznine.
Šta obuhvata BIS?
Tradicionalni ciljevi informacione bezbednosti su poverljivost, integritet i dostupnost. Poverljivost znači da informacije vide oni koji imaju ovlašćenje. Integritet znači da su podaci tačni i zaštićeni od neovlašćenih izmena. Dostupnost znači da su informacije i sistemi upotrebljivi kada su potrebni.
Na primer, pogrešno podeljen dokument ugrožava poverljivost; neprimećena izmena podataka ugrožava integritet; zastoj kritičnog servisa ugrožava dostupnost. Zato procena bezbednosti mora uključiti poslovni uticaj, a ne samo pregled instaliranih alata.
1. Popis informacione imovine i poslovnih procesa
Prvi praktični korak je popis važnih informacija, sistema i njihovih vlasnika. Nije dovoljno sastaviti spisak servera: potrebno je razumeti koje poslovne aktivnosti zavise od njih, gde se podaci čuvaju, ko ih koristi, sa kojim dobavljačima se razmenjuju i koliko dugo kompanija može da funkcioniše bez njih.
Popis treba da bude razumljiv rukovodstvu i operativnim timovima. Za svaki kritičan proces navedite vlasnika, važnu zavisnost, najverovatniji prekid i procenu posledica. Posle toga rizici mogu da se poređaju po prioritetu.
2. Upravljanje rizikom i odgovornostima
Za svaki prioritetni rizik potrebno je opisati šta može da se dogodi, zašto bi došlo do problema, kakav bi bio uticaj i koje kontrole već postoje. Ne postoji korisna univerzalna lista koja je jednako dobra za sve organizacije: malo preduzeće i višelokacijski sistem imaju različite zavisnosti i mogućnosti.
Rukovodstvo mora da zna ko prihvata preostali rizik, ko sprovodi meru, ko proverava rezultat i u kom roku. IT može da predloži tehničke kontrole, ali poslovni vlasnik odlučuje koliki zastoj, trošak ili izloženost su prihvatljivi.
3. Identitet, pristup i zaštita podataka
Prava pristupa treba da odgovaraju stvarnim poslovnim ulogama. Višefaktorska autentifikacija, kontrola privilegovanih naloga, uredan odlazak zaposlenih i redovan pregled deljenja podataka često su važniji od dodavanja još jednog nepovezanog bezbednosnog proizvoda.
Za osetljive podatke definišite ko može da im pristupi, gde se čuvaju, koliko dugo se zadržavaju, kako se prenose i kako se otkrivaju neovlašćene promene. Kopije važnih podataka treba odvojeno zaštititi i periodično proveriti da li se sistem zaista može vratiti iz njih.
4. Nadzor, prijava incidenta i oporavak
Incident se ne rešava efikasno ako zaposleni ne znaju kome da prijave sumnjivu poruku, izgubljen uređaj ili neuobičajeno ponašanje sistema. Odredite kanal prijave, osobu koja procenjuje ozbiljnost, postupak eskalacije i pravilo za čuvanje relevantnih zapisa.
Plan odgovora treba da razlikuje uočavanje događaja, ograničavanje posledica, analizu, oporavak i učenje iz incidenta. Za kritične procese unapred definišite prioritete nastavka rada i testirajte povrat, jer samo postojanje rezervne kopije ne dokazuje da je oporavak izvodljiv.
5. Ljudi i bezbednosna kultura
Obuka zaposlenih ne treba da bude samo potpis da je prezentacija održana. Vredniji su primeri iz stvarnog posla: provera neočekivanog zahteva za plaćanje, bezbedno deljenje dokumenta, prijava sumnjive aktivnosti i prepoznavanje pokušaja krađe naloga.
Dobar program omogućava ljudima da brzo prijave grešku bez skrivanja problema. Njegov efekat se proverava praktičnim vežbama, boljim prijavljivanjem i manje ponovljenih propusta, a ne samo brojem polaznika.
ISO/IEC 27001 i NIST CSF 2.0: kako ih koristiti
ISO/IEC 27001:2022 je standard koji definiše zahteve za sistem menadžmenta bezbednošću informacija (ISMS). Pomaže da se odgovornosti, procena rizika, kontrole i kontinuirano unapređenje organizuju kao sistem. Upoznavanje sa standardom ili primena pojedinih kontrola ne znači da je kompanija sertifikovana.
NIST Cybersecurity Framework 2.0 organizuje upravljanje rizikom kroz šest funkcija: Govern (upravljanje), Identify (identifikovanje), Protect (zaštita), Detect (otkrivanje), Respond (odgovor) i Recover (oporavak). To je okvir za razumevanje i komunikaciju o ishodima bezbednosti, a ne lista proizvoda koje svako mora kupiti.
Oba okvira se mogu koristiti za strukturiranje razgovora o prioritetima. Izbor konkretnih mera, usklađenost sa važećim propisima, obim eventualnog audita i sertifikacija zahtevaju posebnu stručnu i pravnu procenu.
Praktičan BIS kontrolni spisak
- Da li znamo ko je vlasnik svakog kritičnog sistema i najvažnijih podataka?
- Da li su ključni rizici zapisani, prioritizovani i dodeljeni odgovornim osobama?
- Da li se pristupi zaposlenih i privilegovani nalozi redovno proveravaju?
- Da li su kopije kritičnih podataka zaštićene i da li je povrat makar periodično testiran?
- Da li zaposleni znaju kako da prijave incident i kome?
- Da li postoje dogovoreni koraci za reakciju i kontinuitet poslovanja?
- Da li rukovodstvo dobija razumljiv pregled otvorenih rizika i napretka?
Šta je razuman prvi korak?
Počnite sa jednim najvažnijim poslovnim procesom i kratkom procenom njegove informacione imovine, pristupa, zavisnosti i spremnosti za incident. Na osnovu nalaza definišite nekoliko mera sa vlasnicima i rokom, pa proverite efekat pre širenja obima.
Za tehnički deo, CoreTech sajberbezbednost obuhvata pregled rizika, uređaje, identitete, mreže, nadzor i definisanje reakcije u posebno dogovorenom obimu. SOC 24/7, forenzika, aktivni odgovor na incident i sertifikacioni audit nisu automatski deo svake usluge.
Za dalje učenje: ISO/IEC 27001:2022 — zvanični opis standarda · NIST CSF 2.0 — zvanična publikacija · Management of Security Processes in Information Technologies (2021).
Napomena: Ovo je edukativni pregled, ne bezbednosni audit, individualni plan reagovanja na incident, sertifikacija, niti pravno mišljenje. Obaveze i mere se određuju prema konkretnom okruženju.