Zrelost sustava ne mjeri se time je li se incident dogodio, nego načinom na koji se na njega odgovorilo. Ta jedna rečenica s otvaranja konferencije objašnjava zašto je naslov skupa glasio „Čovjek u središtu”.

Treću nacionalnu konferenciju o kibernetičkoj sigurnosti organiziralo je CARNET-ovo Nacionalno koordinacijsko središte, pod pokroviteljstvom Ministarstva znanosti, obrazovanja i mladih, Ministarstva pravosuđa, uprave i digitalne transformacije te Hrvatske gospodarske komore. Okupila je više od 350 sudionika iz javnog, privatnog i akademskog sektora. Tomislav Vazdar iz Riskorije sudjelovao je u panel raspravi o ljudskom čimbeniku.

Vrijedi zadržati se na brojci od 350 sudionika. Nacionalni skup te veličine ne okuplja samo one koji sigurnošću žive, nego i ravnatelje, pravnike i voditelje nabave koji su u tu temu ušli zato što ih je zakon uveo. Sastav dvorane po tome je vjeran presjek onoga što se sljedećih godina mora dogoditi u organizacijama.

Najslabija karika ili ključ otpornosti

Naslov panela postavio je pitanje koje se u struci ponavlja godinama. Raspravu je moderirala Vlatka Marčan, pomoćnica ravnatelja CARNET-a i voditeljica Nacionalnog koordinacijskog središta, a uz Vazdara su sudjelovali Billy Batware iz Ureda Ujedinjenih naroda za drogu i kriminal, Renato Grgurić iz Ministarstva unutarnjih poslova i Aleksandra Mudrinić Ribić iz CARNET-a.

Odgovor rijetko leži u jednoj ili drugoj krajnosti. Čovjek jest ulazna točka za većinu napada, ali je i jedini dio sustava koji prepozna ono što alat nije predvidio. Poruka koja prođe sve filtre zaustavi se na osobi koja pomisli da nešto ne štima, a taj se osjećaj ne kupuje licencom.

Iz toga slijedi i praktična razlika. Organizacija koja ljude tretira kao rizik ulaže u ograničenja i u kaznu. Organizacija koja ih tretira kao obranu ulaže u to da znaju kome se javiti i da im se, kad se jave, ništa loše ne dogodi. Druga skupina o incidentima sazna ranije.

Prijava kao mjera zrelosti

Ravnatelj CARNET-a Hrvoje Puljiz u otvaranju je podsjetio da ključni i važni subjekti značajne incidente prijavljuju nadležnim CSIRT tijelima, i da cilj te obveze nije dodatno opterećenje nego zajednička otpornost.

Prijava ide kroz platformu PiXi, o čemu je govorio i Jakov Kiš iz nacionalnog CERT-a, a predstavnik Nacionalnog centra za kibernetičku sigurnost izložio je zakonodavni okvir i novije regulatorne poteze Europske unije.

U praksi se najviše griješi na rokovima. Zakon o kibernetičkoj sigurnosti i Uredba traže rano upozorenje u roku od 24 sata, početnu obavijest u roku od 72 sata i završno izvješće najkasnije 30 dana od dostave početne obavijesti. Ustanova koja te tri točke nema upisane u svoj postupak gubi vrijeme upravo onda kad ga najmanje ima.

Drugi panel, koji je moderirala Martina Dragičević iz HUP ICT-a, bavio se putem od zakona do prakse. O konkretnim iskustvima govorili su Vesna Gašpar iz HAKOM-a, Mladen Koturović iz Jadrolinije, Saša Jušić iz tvrtke INFIGO IS i Ana Pernić iz tvrtke Aura Proizvodi. Iz takvih se izlaganja obično nauči više nego iz pregleda propisa, jer se čuje gdje je postupak zapeo.

Novac za male i srednje tvrtke

Vlatka Marčan iznijela je brojke prvog poziva za unaprjeđenje kibernetičke sigurnosti mikro, malih i srednjih poduzeća. Projekt je prijavilo 188 tvrtki, za financiranje ih je odabrano više od 130, a predviđenih 1,97 milijuna eura dopunjeno je s još oko milijun, pa je ukupno raspoloživo 2,9 milijuna eura. Novi poziv najavljen je za sljedeću godinu.

Brojka koja se lako previdi jest odnos prijavljenih i odabranih. Kad se financira gotovo sedamdeset posto prijava, to govori da potražnja postoji i da je pripremljena, a ne da je poziv bio prevelik. Za male tvrtke, koje rijetko imaju vlastitog stručnjaka za sigurnost, takav je novac razlika između planiranog zahvata i odgode.

Zašto edukacija dolazi tek na kraju popisa

Nacionalno koordinacijsko središte najavilo je i besplatne temeljne edukacije iz kibernetičke sigurnosti, dostupne svima. To je koristan potez upravo zato što se obuka u organizacijama redovito rješava zadnja, kad ostane vremena i novca.

Obuka je pritom jedna od trinaest mjera koje Zakon traži, i to ona koja se najlakše izvede formalno. Potpisana lista prisutnosti nije dokaz da je itko išta naučio. Dokaz je da se broj prijavljenih sumnjivih poruka povećao, a vrijeme do prijave smanjilo.

Ohrabruje i to što se konferencija nije zaustavila na propisu. Predstavljeni su kibernetički trendovi u Hrvatskoj, primjena aktivne zaštite u kritičnoj infrastrukturi, automatizacija vježbi za sigurnosne timove i mogućnosti financiranja kroz programe Digitalna Europa i Obzor Europa. Za manju ustanovu koja tek slaže plan, taj je dio programa često najkorisniji, jer pokazuje da novac postoji i gdje se traži.

Za ustanovu koja tek slaže program obuke koristan je jednostavan raspored. Jednom godišnje kratka obuka za sve, dva puta godišnje kraća vježba za one koji rade s osjetljivim podacima, i jedna prava simulacija incidenta za upravu. Sve preko toga rijetko preživi prvu godinu.

Naslov konferencije nije bio ukras. Zakon propisuje mjere, tehnologija ih provodi, ali procjena u trenutku kad nešto zaškripi ostaje na čovjeku. Zato ulaganje u ljude nije mekši dio kibernetičke sigurnosti nego onaj koji odlučuje kako će odgovor izgledati.

Fotografija: licencirane fotografije, autor Saša Cvetković.