U današnjem digitalnom okruženju kibernetička sigurnost postala je ozbiljna briga organizacija svake veličine. Uz to se javlja i zabrinjavajuća pojava: u nju se ne ulaže dovoljno da bi se pratio rast prijetnji.

Gradnja kulture sigurnosti izravno odgovara na ono s čime se struka danas nosi.

Što danas pritišće

Umjetna inteligencija u sigurnosti

Umjetna se inteligencija sve više koristi za otkrivanje prijetnji u stvarnom vremenu i za analizu podataka, čime se brže uočavaju odstupanja i mogući proboji. Uz to donosi i nova pitanja, od etične uporabe do zaštite od zlouporabe.

Kako organizacije te alate uvode, kultura sigurnosti postaje još važnija. Zaposlenici moraju razumjeti etičke posljedice njihove uporabe i biti budni na zlouporabu i slabosti. Kultura koja potiče kritičko mišljenje i odgovorno uvođenje smanjuje rizik.

Ucjenjivački programi

Ucjenjivački programi ostaju među najozbiljnijim prijetnjama. Prema procjeni tvrtke Cybersecurity Ventures, godišnji trošak mogao bi do 2031. dosegnuti 265 milijardi dolara. Obrana traži više slojeva: redovite sigurnosne kopije, obuku zaposlenika i aktivno traženje prijetnji.

Ti napadi u pravilu iskorištavaju ljudsku slabost, najčešće lažnu poruku ili lošu lozinku. Kultura koja naglašava obuku, uvježban odgovor na incident i redovite sigurnosne kopije znatno smanjuje izloženost.

Jaka kultura sigurnosti čini organizaciju okretnijom. Zaposlenik koji smije i zna prijaviti sumnjivo pomaže da se organizacija brzo prilagodi i da šteta ostane mala.

Rizik dobavljača

Napadi kroz lanac opskrbe sve su češći, pa treba temeljita procjena i jasna sigurnosna pravila kroz cijeli krug dobavljača. Za hrvatske obveznike to nije samo dobra praksa nego i obveza iz Mjere 8 u Prilogu II. Uredbe o kibernetičkoj sigurnosti.

U povezanom poslovanju dobavljač i partner unose stvaran rizik. Kultura okrenuta sigurnosti potiče zaposlenike da taj rizik procjenjuju i prate.

Kako se gradi kultura sigurnosti

Uobičajeni programi osvješćivanja uče zaposlenike o prijetnjama i dobroj praksi. To je nužan temelj, ali pravi je izazov promijeniti ponašanje.

Sigurno ponašanje, poput prepoznavanja i prijave sumnjivog, uporabe jakih lozinki i poštovanja pravila, mora ući u naviku.

Kultura počinje na vrhu. Uprava mora ići primjerom, pokazati da joj je do sigurnosti stalo i sudjelovati u tome. Time se postavlja ton i zaposlenici preuzimaju svoj dio odgovornosti. Mjera 1 iz Priloga II. Uredbe upravo to i traži, od usvajanja politike do godišnjeg izvještavanja o stanju.

Gradnja kulture je trajan posao koji traži ponavljanje i povratnu informaciju. Redovita obuka, vježbe s izmišljenim incidentima i otvoreni kanali komunikacije omogućuju ljudima da uče i uvježbaju. Priznanje za dobro odrađeno održava zamah.

Sigurnost ne smije biti odvojena funkcija sa strane. Treba se uklopiti u svakodnevni rad i u odlučivanje. Kad postane prirodan dio posla, ljudi je usvoje.

Prelazak sa svijesti na ponašanje ključan je. Programi koji potiču sigurno ponašanje smanjuju broj nesigurnih postupaka i ubrzavaju reakciju na incident.

Zaposlenici koji sigurnost uzimaju k srcu mogu poslužiti kao pokretači. Uz obuku, sredstva i priznanje oni postaju uzor i most između sigurnosnog tima i ostatka organizacije.

Napokon, kulturu treba mjeriti. Broj prijavljenih incidenata, sudjelovanje u obuci i prihvaćanje dobre prakse pokazuju gdje treba popraviti.

Propisi to i traže. Zakon o kibernetičkoj sigurnosti (NN 14/2024) i prateća Uredba (NN 135/2024) u Hrvatskoj, Opća uredba o zaštiti podataka te okviri poput onoga koji izdaje NIST, svi naglašavaju ponašanje ljudi i kulturu organizacije.

Najuspješniji programi usklađeni su s vrijednostima i ciljevima same organizacije. Kad zaposlenici sigurnost vide kao dio onoga što tvrtka jest, lakše je prihvate kao zajedničku odgovornost.