Kibernetički incident može u kratkom vremenu ugroziti poslovanje, podatke, odnose s korisnicima i partnerima te financije i reputaciju poduzeća. Zbog toga kibernetička sigurnost nije samo pitanje IT odjela, već i upravljanja poslovanjem, istaknuto je na HUP Cyber Praktikumu „Iskustvom, vježbom i edukacijom do kibernetički otpornog poslovanja“, održanom u Zagrebu u organizaciji HUP-ICT Udruge.
Praktikum je okupio stručnjake iz privatnog i javnog sektora, a program je bio usmjeren na praktične aspekte upravljanja kibernetičkim incidentima – od pripreme i donošenja odluka do komunikacije sa zaposlenicima, korisnicima, partnerima i nadležnim institucijama.
Direktorica HUP-ICT Udruge Jasminka Martinović u uvodu je istaknula da kibernetička sigurnost sve više postaje pitanje kontinuiteta poslovanja, a ne isključivo tehničke zaštite informacijskih sustava.
Predstavnica HUP-Koordinacije za kibernetičku sigurnost Martina Dragičević naglasila je važnost pripreme, edukacije i suradnje javnog i privatnog sektora u odgovoru na rastuće kibernetičke rizike. HUP Koordinacija za kibernetičku sigurnost na tim temama radi posljednje tri godine.
Simulacija kibernetičkog incidenta
Središnji dio programa bila je Table Top vježba „Kako upravljati kibernetičkim incidentom?“, koju su vodili Andro Galinović i Jurica Čular iz Infobipa te Riko Luša iz Končara, uz sudjelovanje predstavnika Nacionalnog centra za kibernetičku sigurnost (NCSC-HR).
Sudionici su kroz simulaciju prolazili postupke prijave incidenta, procjenu njegova opsega, komunikaciju s ključnim dionicima i donošenje odluka u uvjetima nepotpunih informacija i vremenskog pritiska. Vježba je uključivala i pitanja zakonskih obveza te moguće posljedice nepravilnog postupanja.
„Cilj je bio osigurati da kompanije u slučaju kibernetičkog incidenta jasno razumiju kada, kome i na koji način incident trebaju prijaviti“, rekao je Andro Galinović, direktor korporativne sigurnosti u Infobipu.
Vježba je pritom pokazala i važnost redovitog testiranja procedura. Postojanje planova i pravila samo po sebi ne znači da je organizacija spremna za incident ako odgovornosti, komunikacijski kanali i postupci nisu prethodno provjereni u praksi.
Posebni izazovi za mala i srednja poduzeća
Dio programa bio je posvećen malim i srednjim poduzećima, koja se pri podizanju razine kibernetičke sigurnosti često suočavaju s ograničenim financijskim i ljudskim resursima. Luka Matić iz NEP-054 govorio je o određivanju prioriteta i koracima kojima SME sektor može postupno povećavati svoju otpornost.
O regulatornim zahtjevima govorili su predstavnici Zavoda za sigurnost informacijskih sustava (ZSIS) i Marko Žalac iz Deloittea. U fokusu su bili nadzori i revizije prema Uredbi o kibernetičkoj sigurnosti, uključujući pitanja što se provjerava i kako se organizacije mogu pripremiti.
Tomislav Bronzin iz Citusa govorio je o ulozi vlasnika, direktora i uprava u pripremi za kibernetičke incidente, posebno o unaprijed definiranim odgovornostima i odlukama koje mogu biti važne u slučaju napada.
Program je zaključen razgovorom s Vlatkom Marčan iz Nacionalnog koordinacijskog centra za kibernetičku sigurnost (NKS) o dostupnoj podršci organizacijama, uključujući edukaciju, razvoj kompetencija te mogućnosti financiranja aktivnosti i projekata u području kibernetičke sigurnosti.
Jedan od zaključaka Praktikuma bio je da se spremnost za kibernetički incident ne može svesti na tehnologiju i dokumentirane procedure. Važni su i osposobljeni ljudi, jasno definirane odgovornosti, uspostavljeni procesi te njihovo redovito testiranje.
