Več varnostnih orodij še ne pomeni večje varnosti
Zakaj podjetja kljub naložbam ostajajo ranljiva in kaj mora vodstvo dokazati po ZInfV-1
–
JULIJ BOŽIČ, direktor Smartisa
Vprašanje je letošnjo jesen še posebej aktualno. Novim bistvenim in pomembnim subjektom se 19. decembra 2026 izteče rok za sprejetje ukrepov iz 21. in 22. člena ZInfV-1. Za zavezance po prejšnjem zakonu in operaterje po ZEKom-2 se je rok iztekel 19. junija 2026.
V Smartisu opažamo, da težava pogosto ni pomanjkanje tehnologije, temveč način, kako je ta vključena v celoten varnostni sistem. Ko se pojavi novo tveganje, je najlažji odgovor nakup novega orodja – za elektronsko pošto, omrežje, identitete ali oblak. Posamezna rešitev je lahko odlična, vendar sama po sebi še ne zagotavlja večje varnosti. Njena vrednost se pokaže šele, ko ima jasno vlogo, se povezuje z obstoječim okoljem in je vključena v določene procese odziva.
Na to želim opozoriti: več naložb v varnost ne pomeni samodejno večjega nadzora. Tehnologija poveča varnost takrat, ko odpravlja konkretno vrzel in je smiselno povezana z drugimi ukrepi. Če rešitve niso povezane niti odgovornosti jasno določene, lahko dodatna orodja povečajo predvsem kompleksnost in stroške.
Podjetja so na nove grožnje pogosto odgovarjala z dodatno tehnologijo. Tako so nastala okolja z ločenimi rešitvami za omrežje, elektronsko pošto, končne naprave, oblak, identitete, dnevniške zapise ter IT- in OT-sisteme. Vsaka spremlja svoj del, uporablja lastna pravila in ustvarja svoj tok opozoril. Težava zato ni v številu rešitev, temveč v tem, ali skupaj tvorijo obvladljiv varnostni sistem.
Dogodek, ki je v enem sistemu videti nepomemben, lahko skupaj z opozorilom iz drugega razkrije resen napad. Če si sistemi ne izmenjujejo informacij, mora povezavo med stotinami ali tisoči dnevnih opozoril prepoznati človek.
Varnost se zato ne meri po številu licenc, temveč v tem, kako hitro organizacija zazna odstopanje, razume njegovo resnost in ukrepa.
Varnostne ekipe vsak dan obravnavajo množico opozoril. Mnoga so podvojena, manj pomembna ali lažna, zato analitiki veliko časa porabijo za dogodke, ki ne zahtevajo ukrepanja. Medtem se resnični napad lahko nadaljuje.
Napadalec lahko v nekaj urah pridobi dodatne pravice, se premakne med sistemi ter dostopa do občutljivih podatkov ali pripravi njihovo krajo oziroma šifriranje. Razlika med zgodnjo in večurno zapoznelo zaznavo ni tehnična podrobnost, temveč lahko loči omejen incident od poslovne krize.
V Smartisu smo v zahtevnem okolju večjega slovenskega podjetja preizkusili rešitev, ki se uči običajnega vedenja informacijskega okolja. Anomalijo je prepoznala bistveno prej kot obstoječi sistemi in procesi spremljanja. V drugem slovenskem podjetju je enaka vrsta tehnologije pravočasno zaznala dejanski kibernetski napad in omogočila, da so ga zaustavili, še preden bi povzročil večjo poslovno škodo.
Takšen pristop ne išče le znanih vzorcev napadov, temveč opozarja na neobičajen dostop, nenaden prenos večje količine podatkov, komunikacijo z neznanim ciljem ali sporočilo, ki odstopa od običajnega dopisovanja. Tehnologija ne nadomešča strokovnjakov, ampak jim pomaga hitreje prepoznati resnične nevarnosti.
Nepovezano varnostno okolje za zavezance ni le operativna pomanjkljivost, ampak tudi težava dokazljive skladnosti.
ZInfV-1 velja od 19. junija 2025 in v slovenski pravni red prenaša evropsko direktivo NIS 2. Za izvajanje ukrepov iz 21. in 22. člena so odgovorne osebe, ki vodijo, nadzorujejo ali upravljajo poslovanje organizacije. Ukrepe morajo odobriti in nadzirati njihovo izvajanje.
Zavezanci morajo urediti varnostno dokumentacijo, poznati svoja informacijska sredstva, izvajati ustrezne varnostne ukrepe, zagotavljati dnevniške zapise, preverjati učinkovitost ukrepov in pomembne incidente prijavljati v zakonskih rokih.
Zakon ne predpisuje seznama produktov. Organizacija mora pokazati, katera sredstva in tveganja upravlja, kdo je zanje odgovoren, katere ukrepe izvaja in ali ti delujejo. Za to potrebuje urejene podatke, jasne procese ter povezavo med tehnologijo, ljudmi in odgovornostmi.
- Ali imate ažuren pregled nad ključnimi informacijskimi sredstvi in njihovim skrbništvom? Ali veste, katera IT-sredstva podpirajo katere poslovne funkcije?
- Ali lahko grožnjo zaznate dovolj zgodaj, da omejite njen vpliv?
- Ali imate nadzor nad tem, kdo lahko dostopa do najbolj občutljivih sistemov, podatkov in digitalnih ključev?
Če na katero od teh vprašanj ne morete odgovoriti z jasnim »da«, pred novim nakupom preverite vrzeli v obstoječem okolju. Nova rešitev je smiselna, če odpravlja jasno prepoznano vrzel, se poveže z obstoječimi sistemi in prispeva k hitrejšemu zaznavanju, odločanju ali odzivu.
Celovite kibernetske varnosti ni mogoče vzpostaviti z enim produktom, prav tako pa je ne zagotavlja večje število orodij. V Smartisu jo gradimo v treh sklopih, ki jih je mogoče uvajati postopoma glede na dejanske vrzeli in prioritete organizacije. Izhodišče zato ni seznam tehnologij, temveč vprašanje, katere sposobnosti organizacija potrebuje in kako jih povezati v obvladljivo celoto.
Prvi sklop so temelji: informacijska sredstva, procesi upravljanja IT in dokumentacija. Organizacija potrebuje jasno opredeljen register informacijskih sredstev ter njihovo povezavo s poslovnimi funkcijami, jasno opredeljene IT-procese upravljanja sprememb, incidentov, težav, zahtev, da lahko vzpostavi pregled, sledljivost in dokazila.
Drugi sklop sta zaznava in dnevniki. Rešitve za zaznavanje anomalij spremljajo omrežje, elektronsko pošto in identitete, sistemi za upravljanje varnostnih dogodkov pa centralizirajo in povezujejo dnevniške zapise. Ob podpori storitev upravljanega zaznavanja in odzivanja oziroma varnostno-operativnega centra lahko organizacija hitreje zazna, presodi in obravnava incident.
Tretji sklop je zaščita identitet, dostopov in občutljivih podatkov. Sem sodijo upravljanje privilegiranih dostopov in večfaktorska avtentikacija, upravljanje življenjskega cikla digitalnih potrdil ter zaščita digitalnih skrivnosti in ključev. Namen ni dodajati tehnologije zaradi tehnologije, temveč zapreti konkretne vrzeli in te zmogljivosti povezati z drugima sklopoma.
Naslednja varnostna odločitev se zato ne bi smela začeti z vprašanjem, katero orodje mora podjetje še kupiti. Začeti bi se morala s pregledom, ali obstoječe tehnologije, podatki, identitete, ljudje in procesi ustvarjajo dovolj jasno in uporabno celoto ter kje so vrzeli, ki jih je smiselno odpraviti.
Smartis pomaga povezati upravljanje informacijskega okolja, spremljanje kibernetskih groženj, zaščito identitet in dostopov v sledljiv ter obvladljiv sistem.
Cilj ni dodati še ene konzole. Cilj je nevarnost zaznati dovolj zgodaj, razumeti njen pomen in ukrepati pravočasno – da lahko vodstvo mirno spi, ker ve, da ima okolje pod nadzorom.
Največja varnostna ranljivost pogosto ni tehnologija, ki je nimate. Je vrzel med zmogljivostmi, procesi in odgovornostmi, ki bi morale delovati kot celota.
Zakaj več varnostnih orodij ne pomeni večje varnosti?
Ker vsako orodje spremlja le del informacijskega okolja in ustvarja lastna opozorila. Varnost se izboljša, ko rešitve odpravijo konkretne vrzeli, si izmenjujejo informacije in so vključene v jasen proces odziva. Če ostanejo nepovezane, varnostna ekipa težje prepozna širši kontekst dogodka in počasneje ukrepa.
Kaj je preobremenjenost z varnostnimi opozorili?
Gre za stanje, ko varnostni sistemi ustvarijo toliko opozoril, da jih analitiki ne morejo več pravočasno in kakovostno obravnavati. Pomemben znak se lahko izgubi med lažnimi, podvojenimi ali manj nevarnimi dogodki.
Kako ugotoviti, ali so varnostna orodja v podjetju dovolj povezana?
Preveriti je treba, ali si rešitve izmenjujejo podatke, ali se dogodki zbirajo in povezujejo na enem mestu ter ali je jasno, kdo posamezno opozorilo obravnava. Pomembno je tudi, ali lahko organizacija sledi celotni poti od zaznave anomalije do odločitve, odziva in dokumentiranja incidenta.
Kaj ZInfV-1 zahteva od vodstva organizacije?
Vodstvo mora odobriti ukrepe za obvladovanje tveganj, nadzirati njihovo izvajanje in skrbeti, da organizacija informacijsko varnost upravlja sistematično. Odgovornosti zato ni mogoče v celoti prenesti na oddelek IT ali zunanjega ponudnika.
Kaj mora podjetje preveriti pred nakupom novega varnostnega orodja?
Najprej mora ugotoviti, katero konkretno vrzel rešuje, kako se bo nova rešitev povezala z obstoječim okoljem, kdo bo spremljal opozorila in kako bo potekal odziv. Smiselna nova tehnologija kompleksnost zmanjšuje ali jo obvladuje; nakup brez teh odgovorov pa jo lahko poveča, ne da bi izboljšal varnost.