Većina malih tvrtki u Hrvatskoj nije obveznik Zakona o kibernetičkoj sigurnosti. Velik dio njih ipak će morati dokazati da radi po njemu.

Tomislav Vazdar, osnivač i direktor Riskorije, sudjelovao je u Ulmu na skupu „Dunavska regija u vremenu preokreta”, na raspravi o oblikovanju digitalne budućnosti uz Dunav i o tome kako suradnja otvara mogućnosti malim i srednjim poduzećima te industriji. Njegov je dio bio o kibernetičkoj sigurnosti i umjetnoj inteligenciji, i to iz očiju tvrtke koja nema ni sigurnosni odjel ni pravnu službu.

Obveza koja dolazi ugovorom, ne rješenjem

Malo poduzeće rijetko dobije rješenje kojim ga nadležno tijelo razvrstava među obveznike. Ono što dobije jest dodatak ugovoru od kupca koji jest obveznik. Razlog stoji u mjeri 8, sigurnosti lanca opskrbe, koja na svim razinama traži da subjekt popiše svoje izravne dobavljače, ugradi sigurnosne zahtjeve u ugovore i nadzire ih.

Iz toga slijedi posve praktična posljedica. Dobavljač koji na upitnik kupca ne zna odgovoriti gubi posao, i to ne zbog kazne nego zbog nabave. Za tvrtku s petnaest ljudi to je često prvi dodir s propisom, a stiže u obliku roka od dva tjedna i tablice s pedeset pitanja.

Sedam odgovora koji pokrivaju većinu upitnika

Dobra vijest je da se ti upitnici uvelike ponavljaju i da počivaju na osnovnoj higijeni. Mjera 5 na svim razinama traži pravila osnovne prakse, politiku lozinki, višefaktorsku provjeru identiteta, zaštitu od zloćudnog koda, redovito zakrpavanje, dnevničke zapise koji se čuvaju najmanje devedeset dana i povremenu provjeru ranjivosti.

Nijedno od toga ne traži odjel ni skupu opremu. Traži odluku i nekoga tko je zadužen. Tvrtka koja to ima uredno zapisano prolazi većinu upitnika bez posebne pripreme, a usput je stvarno sigurnija, što je ionako bio smisao. Pregled svih mjera i podmjera stoji na stranici o trinaest mjera.

Jedna stavka s tog popisa u malim tvrtkama gotovo uvijek nedostaje, a najjeftinija je. To su dnevnički zapisi. Bez njih se nakon incidenta ne može utvrditi ni kada je počeo ni što je odneseno, pa i uredno postupanje ostane bez odgovora na pitanje koje kupac postavlja prvo. Uključivanje bilježenja i njegovo čuvanje devedeset dana pitanje je postavki, a ne ulaganja.

Umjetna inteligencija je već unutra

Drugi dio rasprave tiče se alata koji su u male tvrtke ušli bez ijedne odluke uprave. Ponude se pišu uz pomoć modela, upiti se razvrstavaju, prijevodi i sažeci rade se u pregledniku. To najčešće nije loše, ali je nezapisano.

Mjerenja hrvatskog okruženja pokazuju upravo taj razmak: šezdeset i jedan posto građana koristi alate generativne umjetne inteligencije, a tek trinaest posto organizacija ima formalnu strategiju. Za malog poduzetnika prvi korak nije politika na deset stranica nego jedna stranica koja kaže koji su alati dopušteni, što se u njih ne smije upisati i tko odobrava novi alat.

Što traži Akt o umjetnoj inteligenciji

Uz to ide i propis. Akt o umjetnoj inteligenciji na snazi je od 1. kolovoza 2024. i primjenjuje se u koracima, a obveze za visokorizične sustave pomaknute su Digital Omnibusom na 2. prosinca 2027. i 2. kolovoza 2028. Malo poduzeće najčešće nije proizvođač takvog sustava nego ga koristi, pa se na njega odnose obveze korisnika.

Dvije su pritom najbliže svakodnevici. Prva je pismenost, dakle da ljudi koji alat koriste razumiju što on radi i gdje griješi. Druga je otvorenost prema korisniku, primjerice da sugovornik zna da razgovara sa strojem. Pojedinosti stoje na stranici o Aktu o umjetnoj inteligenciji.

Uz to ide i pitanje koje se u malim tvrtkama rijetko postavi. Alat koji je jučer bio pomoćnik danas zna sam poslati poruku ili otvoriti zapis u sustavu. Čim program počne sam nešto raditi, treba mu vlastiti račun s ograničenim pravima, a ne račun zaposlenika, jer se inače u zapisima ne vidi tko je što učinio.

Zašto se to isplati raditi zajedno

Ono što je skupo jednoj tvrtki od dvadeset ljudi nije skupo dvadeset tvrtkama zajedno. Zajednički obrasci odgovora na upitnike kupaca, zajednička obuka, zajednički pregovori s pružateljima usluga i podijeljeno iskustvo o tome što je koji kupac tražio, sve to smanjuje trošak koji nikome pojedinačno ne donosi prihod.

Takvi se okviri već grade. Cipar je, primjerice, kroz svoj nacionalni koordinacijski centar postavio sustav osnovne kibernetičke higijene s potvrdom namijenjen upravo malim i srednjim poduzećima. Zamisao je jednostavna: mjerilo koje mali poduzetnik može doseći, a kupac priznati.

Regija koja ima isti problem

Prednost dunavske suradnje je u tome što države u njoj imaju sličan sastav gospodarstva. Male tvrtke nose velik dio zaposlenosti i izvoza, a rijetko koja ima nekoga tko se bavi samo sigurnošću. Rasprava se zato ne vodi o tome što bi netko napravio s neograničenim sredstvima, nego o tome što je izvedivo s ljudima koji već rade svoj posao.

Za onoga tko je došao po jednu poruku, ona glasi ovako. Ne čekajte rješenje nadležnog tijela, jer ono za Vas vjerojatno neće ni doći. Čekajte upitnik kupca, koji hoće. O čemu Riskoria govori na skupovima stoji na stranici o predavanjima i konferencijama.