Prognoza za Hrvatsku: Cybersecurity u području niskog tlaka

"Allianz Risk Barometer 2018" je naziv publikacije koju Allianz objavljuje niz godina (možete je preuzeti ovdje), a sadrži procjene specifičnih rizika prisutnih u svjetskom gospodarstvu. Publikacija je rezultat anketa koje su obuhvatile 1911 stručnjaka na području upravljanja rizicima iz 80 zemalja, a odgovori su obrađeni posebnom metodologijom. Ukratko, publikacija donosi popis 10 glavnih rizika koji su identificirani ovom anketom, pri čemu su rizici rangirani sukladno procijenjenom značaju. Pored glavnog popisa koji se odnosi na svjetsko gospodarstvo u cjelini, publikacija donosi rezultate po pojedinim regijama i za uzorak država, te za glavne gospodarske grane.

Glavni rezultati nisu iznenađujući. Na globalnoj razini, kao i vodećim svjetskim gospodarstvima, glavnim rizikom je identificiran "Business interruption", a odmah iza njega slijedi rizik "Cyber incidents" (u nastavku vidimo prvih 5 rizika)

"Business interruption" obuhvaća sve posljedice uslijed prekida poslovnog procesa koji dolaze od djelovanja iz njegovog vanjskog okruženja -  cyber incidenti, tehnički prekidi, požari, prirodne katastrofe,  požara, prekidi rada dobavljača...

"Cyber incidents" rizik, pozicioniran na drugo mjesto, obuhvaća sve direktne posljedice djelovanja cyber prijetnji na poslovanje - krađe informacije, ugrožavanje reputacije, operativne posljedice. Treba naglasiti da djelovanje cyber prijetnji čini i komponentu prvo-pozicioniranog rizika i to kroz rizik izazivanja prekida poslovnog procesa.

Gledajući popise po pojedinim razvijenim gospodarstvima, rizici "Business interruption" i "Cyber incidents" po pojedinim državama drže prva dva mjesta (rotirajući ove pozicije), pa možemo definitivno zaključiti da su cyber prijetnje izrazito prepoznate kao značajan rizik svjetskog gospodarstva. 

No sad dolazimo na zanimljiviju točku ovog istraživanja. Publikacija sadrži popise rizika po državama. U europskom dijelu istraživanja obuhvaćeno je 10 EU država (uključujući Hrvatsku) te Švicarska.

Pogledajte popis 10 najvažnijih rizika u Hrvatskoj - "Cyber incidents" je percipiran tek kao umjeren rizik i nalazi se na šestom mjestu ovog popisa:

Najprisutnijim rizikom za Hrvatsku predviđa se utjecaj zakonodavnih i regulatornih promjena, promjena državne administracije i sličnih sustavnih događaja (pretpostavljam da nećemo biti toliko pogođeni Brexitom).

Ako pogledamo druge članice Europske unije s ovog popisa, u većini ovih država imamo isti uzorak kao i na globalnoj razini. Rizik "Business interruption" i "Cyber incidents" zauzimaju prva dva mjesta (uz uglavnom neznatnu razliku u visini procjene), no meni su zanimljivija odstupanja od ovog uzorka: u Grčkoj se "Cyber incidents" ne nalazi uopće na Top 10 popisu, a u Španjolskoj dijeli tek četvrto i peto mjesto (istina, procjena iznosi 32% što je znatno više od 20% za Hrvatsku). Podsjeća li vas ovo na razdoblje ekonomske krize iz proteklih desetak godina? Nažalost, Allianzovo istraživanje ne obuhvaća druge tranzicijske EU države s kojima bismo se mogli usporediti, no ipak se upitajmo možemo li izvući neke zaključke iz rezultata ovog istraživanja?

Prije nego što pokušam dati odgovor, želio bih naglasiti da je ovakva procjena rizika za Hrvatsku prilično realna. Govorim iz vlastitog iskustva i smatram da se među velikim dijelom gospodarstvenika cyber prijetnje ne percipiraju kao realna i prisutna opasnost. Je li baš realnija prijetnja prirodnih katastrofa od cyber napada kako nam sugerira gornja tablica - to je za diskusiju, no to ne utječe značajno na Allianzov popis.

Prema rezultatima ovog istraživanja možemo zaključiti da je visina cyber rizika direktno proporcionalna stupnjem razvoja i snagom gospodarstva. U slabije razvijenim gospodarstvima kakva je Hrvatska (a, složiti ćete se, i Grčka) manje je vrijednosti izloženo cyber prijetnjama i manje se može izgubiti. No, ne radi se samo ograničenoj snagi gospodarstva. Možemo govoriti i o (ne)disciplini korporativnog upravljanja, izostanku poslovne odgovornosti i ukupno problematičnoj gospodarskoj klimi. U situaciji kada tržišni mehanizmi nisu presudni kriterij poslovnog uspjeha i kad značajan dio gospodarstva još uvijek čine politički upravljani te politici podložni sustavi, za naš management zaista veća prijetnja dolazi od nekontrolirane promjene sustava u kojem se pokušava poslovati nego od cyber prijetnji.

Nemojte me krivo shvatiti: ovime nikako ne obezvrjeđujem napore koje moje kolege, uključujući i mene, provodimo na osvješćivanju glavnih dionika na tržištu i u promociji mjera informacijske sigurnosti, niti pokušavam defetistički zaključiti da radimo nepotreban posao. Radi se ipak o poremećaju percepcije rizika, na koji svi možemo utjecati.

Moj prijedlog za unaprjeđenje stupnja osviještenosti o cyber rizicima: mislim da treba pojačati napore na dijeljenu informacija o cyber prijetnjama i unaprijediti mjere aktivnog praćenja pojave prijetnji. Nekako tradicionalno, mi nismo skloni dugoročno sagledavati niti rizike ali niti doprinose bilo kakvih procesa pa tako ni poslovnih, no iščekivane promjene gospodarskog okruženja moraju unaprijediti percepciju i cyber rizika.

Zaključujem u meteorološkom žargonu iz naslova ovog teksta. Područje niskog tlaka u kojem su danas nalaze cyber rizici stvaraju uvjete za skoro pogoršanje vremena. Možemo predvidjeti da će se i kod nas pojaviti prvi epohalni cyber incidenti kakvi su u 2017. na globalnoj razini bili, npr. krađe podataka u Equifaxu i Uberu. Za prve žrtve će biti prekasno, no na Allianzovom barometru će cyber rizici preći u područje visokog tlaka. To neće značiti nužno bezbrižan vremenski ugođaj, ali bi mogao biti pokazatelj da se cyber rizicima zna i želi upravljati.

Zbog čega su male/srednje tvrtke atraktivne cyber napadačima?

Nedavni članak objavljen na portalu CSOonline bavi se kibernetičkim napadima na tržišni segment malih i srednjih tvrtki. Suprotno uobičajenoj percepciji, kibernetički napadi nisu rezervirani samo na velike multinacionalne tvrtke, financijske institucije ili sektor vladinih agencija. Napadači imaju niz motiva za usmjeravanje svojeg oružja na male i srednje tvrtke, a radi se o kombinaciji lakih  meta i bogatog ulova što ih očekuje u malim tvrtkama.

Dionici i razmjena informacija u informacijskoj sigurnosti

Zbog različitih razloga, prorijedio sam svoju prisutnost na ovim stranicama u prvom dijelu 2014., no obećajem da ću uskoro nadoknaditi izostanke.

Za početak, ukazao bih na zanimljiv skup koji se održao jučer (29.5.2014.) u Opatiji u okviru međunarodne konferencije MIPRO. Naziv konferencije bio je Dionici i razmjena informacija u informacijskoj sigurnosti, sadržaj možete pronaći na stranici konferencije. Konferencija se bavila jednom temom koja je u informacijskoj sigurnosti od izuzetne važnosti – o razmjeni informacija relevantnih za donošenje odluka o informacijskim rizicima i za učinkovito reagiranje na sigurnosne incidente.

Razmjena informacija je važna iz više razloga. Navodim tri, no siguran sam da oni nisu jedini.

Prvo, u situaciji kada znanje potrebno za uspostavu zaštitnih mjera postaje sve zahtjevnije a resursi u tvrtkama i organizacijama jako ograničeni, jasno je da stručnjaci u informacijskoj sigurnosti ne bi smjeli znanje zadržavati za sebe. Ovdje govorim o rezultatima koje su mnogi od nas  postigli kroz formalne projekte i istraživanja ili, pak, kroz neformalnu sistematizaciju znanja i iskustva proizašlog iz svakodnevnog rada. Često puta se radi o vrijednim rezultatima koji kroz razmjenu mogu biti obogaćeni, dopunjeni ili pak korigirani, a koji nam mogu pomoći u svakodnevnim postupcima.

Drugi važan razlog vezan je za procjenu rizika informacijskih sustava. Naime, u procjeni rizika redovito nam nedostaje dimenzija relevantnosti neke prijetnje predviđene podlogom metodologijom procjene rizika. Da bi neku prijetnju mogli stvarno valorizirati, izuzetno je bitno imati i informaciju o učestalosti pojave ove prijetnje u vlastitoj okolini ili čak u sektoru u kojemu djeluje naša tvrtka. Izostanak ove informacije jedan je od razloga što procjene rizika i odluke o rizicima ponekad izgledaju formalne, bez doticaja sa stvarnošću.

Treći važan razlog je operativnog karaktera: dovoljno detaljna informacija o nekoj prijetnji dostupna u pravom trenutku i na vrijeme, može olakšati djelovanje osobama zaduženima za zaštitu informacijskih resursa. Naravno, mora se znati da djelotvorna zaštita nije samo stvar antivirusne zaštite, vatrozidnih sustava i IDS/IPS sustav, već u velikoj mjeri ovisi o nečijoj odluci donesenoj u realnom vremenu.

Na konferenciji su sudjelovali predstavnici različitih institucija, stručne zajednice ili poslovnih segmenata. Ja sam predstavio tipične probleme s kojima se susreće tvrtka iz segmenta malih/srednjih poslovnih subjekata, a s kojima često profesionalno surađujem. Ovaj segment, koji dominira brojem zaposlenih i vrijednošću proizvoda, postaje sve izrazitija meta napadača. Zadnji događaja s incidentima u servisu Internet bankarstva potvrđuju takav trend. Glavni problemi s kojima se informacijska sigurnost susreće u takvim tvrtkama je izostanak proračuna za sigurnosne mjere i manjak stručnog osoblja što je velikim dijelom uzrokovano nerazumijevanjem vlasnika ili uprave potrebe za takvim aktivnostima. No čak i uz puno razumijevanje neke mjere (npr. operativna provedba operativnih nadzornih mjera koje iziskuju postojanje stručnih timova i opreme) male i srednje tvrtke neće moći provesti. Mogućnost razmjene informacija mogu postati jedan od faktora koji bi olakšao život manjim i srednjim tvrtkama. 

Očekivano, jedan od zaključaka konferencije je da bi strah od otkrivanja informacija mogao značajno ograničiti neke tvrtke u pružanju ulaznih informacija u ovakav sustav, naročito kada se govori o osjetljivim djelatnostima kao državne institucije ili bankarski sektor. No, smatram da bi izrada detaljnog modela razmjene podataka i razrada načina dostave podataka, uz eliminaciju svih elemenata kojima bi se mogli identificirati poslovni subjekti, mogla pomoći u otklanjanju ovih strahova.

Za punu realizaciju ideja iznesenih na konferenciji neophodna je pomoć nadležnih državnih institucija, od nacionalnog CERT-a pa na gore, što, nažalost, veoma često izgleda kao nepremostiva prepreka. Vjerujem da će se neke inicijalne i manje formalne inicijative pokrenuti i nakon ove konferencije, a rezultati takvih inicijativa mogu biti značajni, bez obzira što će im nedostajati zacrtana sveobuhvatnost. Drugim riječima, jučerašnja konferencija mogla bi stvarno zaživjeti i izvan jednodnevnog formalnog okvira, što joj iskreno želim.

“Vulnerability Assessment” ili “Vulnerability Management” (1.dio)

Jedan od razloga zbog kojih je proces upravljanja informacijskim rizicima u svojevrsnom zastoju, a o čemu sam pisao u prethodnom tekstu, je i otežano donošenje objektivne i precizne ocjene o stanju ranjivosti informacijskog sustava. Takve se ocjene u praksi često donose paušalno (uostalom, kao i ocjene visine prijetnji) čime se i kroz percepciju rezultata procjene rizika provlači snažna nijansa paušalnosti.

Upoznatost s prisutnim računalnim ranjivostima važan je element, ne samo procjene rizika, nego i ukupnog programa sigurnosti informacijskog sustava. Ranjivosti informacijskog sustava mogu se prepoznati unutar proceduralno/organizacijskih mjera ili unutar korištenih tehničkih resursa. U ovom tekstu se bavim upravo tehničkim računalnim ranjivostima.

Tehničke ranjivosti mogu imati tri ishodišta.

Prva kategorija računalnih ranjivosti odnosi se na gotove aplikativne programe koji su izuzetno rasprostranjeni u suvremenoj informatici (sistemski programi i alati, korisnički programi, pomoćni programi…), a koje se instaliraju samo s nekoliko klikova – bez obzira jesu li komercijalnog, besplatnog, „open source“ ili nekog drugog porijekla. U takvim se programima programski propusti ili greške izuzetno česta pojava, a dolaze kako od pogrešnog ili površnog dizajna, tako i uslijed grešaka u programskom kodu. Takvi propusti se otklanjaju programskim popravcima ili novim verzijama programa, a u kritičnim i žurnim situacijama svojevrsnim zaobilaženjem ili čak privremenom obustavom ovih programa.

Druga kategorija računalnih ranjivosti se vezuje na mnoštvo konfiguracijskih postavki kojima određuje način rada gotovo svih operacijskih ili aplikativnih sustava, računala, mrežne opreme i svega onoga što se može nazvati računalni resurs. Ovdje zapravo ne govorimo o lošem dizajnu ili greškama  u izvedbi ovih sustava. Konfiguracijske postavke su legitiman način opisa ovih resursa, a s obzirom da zahtjevi korisnika mogu biti raznoliki, tako su i proizvođači predvidjeli šarolike postavke („za svakog ponešto“). Problem nastaje u onom trenutku kada proizvođači žele odgovoriti na različite apetite korisnika (npr. omogućiti jednostavnost ili funkcionalnost) zadržavanjem rizičnih postavki, što se u pravilu plaća nižom sigurnosti. Tako na primjer, legitimna postavka Windows računala (ili bilo kojeg drugog) omogućiti će vam pristup računalu lozinkom od samo četiri znaka ili čak bez lozinke, iako svaki imalo osvješteniji korisnik dobro zna da to povlači značajan rizik. Dodatni problem nastaje zbog toga što su problematične vrijednosti konfiguracijskih parametara često i polazne („default“) vrijednosti mnogih kritičnih funkcija ili mehanizama.

Treća kategorija računalnih ranjivosti nalazi se unutar web aplikacija. Web aplikacije sam izdvojio iz prve kategorije iz razloga što je proces razvoja a naročito testiranja vezan za same korisnike (što recimo kod razvoja Office programa ili web preglednika nije slučaj – to je u potpuno u nadležnosti autora programa odnosno tvrtki koji objavljuju gotove programske pakete), a samim time i izrade popravaka (iako postoje određeni izuzetci kod kojih su korisnicima ruke uglavnom vezane, npr. korištenje gotovih „content management“ sustava). Web aplikacije su i posebno kritične zato što one zauzimaju izloženu poziciju u javnom prostoru i izuzetno su zahvalne kao poligon brojnim anonimnim napadačima jer za malo truda mogu pružiti značajan dobitak.

Svaka od navedenih kategorija ima svoje specifičnosti, način manifestacije i tehniku iskorištavanje, no zajedničko im je značajna prisutnost u brojnim informacijskim sustavima, bilo na unutarnjem dijelu bilo na perimetarskom dijelu mreže. Napadači, naročito oni koji svoj rad temelje na uspješnom poslovnom modelu „cybercrime“ ekonomije znaju kako brzo i efikasno iskoristiti ove nedostatke. Stoga sigurnosne norme, najbolje prakse i regulatori jednoglasni: računalne ranjivosti se moraju otklanjati u najkraćem mogućem roku.

Nastavlja se...

“Hype Cycle” procesa upravljanja informacijskim rizicima

Je li proces upravljanja informacijskim rizicima ispunio očekivanja koja su pred ovu disciplinu postavljena prije desetak godina, kada je sazrijevala svijest o tome da se odluka o pokretanju sigurnosnih inicijativa mora usklađivati s potencijalnim poslovnim gubicima, pri čemu zadnju riječ ima uprava organizacije? Posebno me zanima odgovor na ovo pitanje u našem domaćem okruženju.

S obzirom da se u vlastitom profesionalnom radu direktno ili indirektno referiram na proces upravljanja informacijskim rizicima (što je u značajnom razdoblju ovog rada popraćeno i tekstovima na ovom blogu), odgovor na ovo pitanje odrediti ću primjenom krivulje poznate kao “Hype Cycle” na prihvaćenost procesa upravljanja informacijskim rizicima u našem okruženju.

“Hype Cycle” je osobito poznat iz analiza tvrtke Gartner i jedan je od najutjecajnijih alata kada se govori o trendovima u informacijskim tehnologijama (dijeli prvo mjesto s poznatim kvadrantom iste tvrtke). Hype Cycle je krivulja kojom se opisuje status određenog područja informacijskih tehnologija na tržištu kroz procjenu prihvaćenosti i zrelosti korištenja ovih tehnologija. Gartner primjenjuje ovu procjenu na gotovo sve trendove u informacijskim tehnologijama, bilo da se radi o obećavajućim tehnologijama u nastanku ili već etabliranim i dokazanim trendovima.

“Hype Cycle” je prikazan na slici  koja se nalazi nekoliko poglavlja niže, a možemo ga protumačiti prema opisu iz nastavka teksta.

Trenutak uvođenja nove tehnologije i generiranja/izazivanja inicijalne potrebe za ovom tehnologijom naziva se “Technology Trigger”. Djelovanjem niza faktora (od poslovnih zahtjeva, medijske promidžbe pa do regulatornog inzistiranja) te uspješnim stvaranjem svijesti o potrebi, očekivanja od novih tehnologija će dosegnuti svoj zvjezdani trenutak (“Peak of Inflated Expectations”). Ubrzo potom, balon očekivanja se ispuhuje i status novih tehnologija pada u suprotnu točku (“Trough of Disillusionment”). Mnoge tehnologije neće dosegnuti ni inicijalni vrhunac, a naročito će se teško izvući i iz suprotne faze. Ipak, odlika stabilnih i opravdanih tehnologija je postupni prelazak u fazu zrele upotrebe. Faza “Slope of Elightenment” označava razdoblje u kojem se naknadno potvrđuju nove inačice neke tehnologije ili u kojem se percepcija tržišta mijenja pozitivno u odnosu na tehnologiju. Na koncu, imamo i fazu "Plateau of Productivity"  u kojoj se u potpunosti etablira upotreba određene tehnologije.

Naravno, proces upravljanja informacijskim rizicima nije tehnologija pa se može donekle osporiti primjena “Hypy Cycle” krivulje u ovom slučaju, no smatram da se ovim modelom može djelotvorno opisati percepcija informacijskih rizika u našem okruženju.

“Hype Cycle” upravljanja informacijskim rizicima (u hrvatskom okruženju i osobito u bankarskom sektoru) prikazan je na sljedećoj slici:

Na našoj krivulji vidimo tri glavne točke, pomoću kojih sam proces upravljana informacijskim rizicima smjestio u određena vremenska razdoblja.

Točka 1. (“Technology Trigger”) seže u 2007. i označava razdoblje u kojem tema informacijskih rizika postaje redovita tema mnogih diskusija o informacijskoj sigurnosti. Nekoliko je momenata bilo zaslužno za takvu promociju - praktične aktivnosti na provedbi procesa primjene normi ISO 27001, te osobito aktivnosti HNB-a na uvođenju mjera informacijske sigurnosti u hrvatskim bankama (prema dokumentima Smjernice za upravljanje informacijskim rizicima u cilju smanjenja operativnih rizika iz 2006. i Odluka o primjerenom upravljanju informacijskim sustavom iz 2007.).

Početni entuzijazama rezultirao je svojevrsnim vrhuncem ove problematike koju vidimo u točki 2. (“Peak of Inflated Expectations”) a smjestili smo je u 2011. godinu. Ova je faza označena ili barem najavljena novom verzijom Odluka HNB-a o primjerenom upravljanju informacijskim sustavom iz 2010. te sve većom agilnošću regulatora, unutarnjih i vanjskih revizora, ali i pojačanom svijesti osoba zaduženih za informacijsku sigurnost u našim bankama.

Ipak, dvije godine kasnije možemo reći da je proces upravljanja informacijskim rizicima dosegao ili ubrzano dosiže suprotnu fazu prikazanu točkom 3. ("Trough of Disillusionment"). Nadam se da mi kolege neće zamjeriti na negativnoj percepciji ove discipline, no moj se zaključak temelji na uočenoj činjenici da upravljanje rizicima informacijskog sustava nije nikad postao dio mainstream aktivnosti poslovnog rukovodstva, već isključivo specifična zadaća stručnih informatičkih službi.

Zanimljiva je uloga i regulatornih akata (mislim prije svega na dokument HNB-a Odluka o primjerenom upravljanju informacijskim sustavom). Dvije verzije ovog dokumenta (iz 2006. i 2010.) imale su najznačajnije promjene upravo u poglavlju koji opisuje upravljanje informacijskim rizicima. Dok je u prvoj verziji upravljanje rizicima bilo opisano na tragu prethodno donesenih Smjernica za upravljanje informacijskim rizicima u cilju smanjenja operativnih rizika iz 2006. a disciplina upravljanja rizicima je definirana sukladno standardnoj profesionalnoj praksi (npr. prema normi ISO 27001), druga verzija Odluke o primjerenom upravljanju informacijskim sustavom iz 2010. integrira upravljanje rizicima informacijskog sustava sa sveobuhvatnim procesom upravljanja rizicima kojima je izloženo bankarsko poslovanje i sa sustavom unutarnjih kontrola (dakle, bliže “Enterpirse Risk Management” okviru). Smatram da je ovaj pomak izuzetno važan i da na pravi način repozicionira upravljanje informacijskim rizicima. Na žalost, praksa za sada ne slijedi ove trendove pa je upravljanje informacijskim rizicima još uvijek proces izdvojen od ukupnog upravljanja rizicima poslovanja. Rezultati procjene informacijskih rizika za sada još uvijek ne koriste jezik managementa za plastični prikaz mogućih rizika, a management ionako ove rezultate ne vidi kao vlastito štivo.

Određenu krivnju za ovakav status ima i tek formalno prihvaćanje “kulture usklađenosti” kojom se kao glavni cilj postavlja prihvaćenost od strane regulatora, a ne napredak stanja sigurnosti i redukcije rizika informacijskih tehnologija.

Postoje i drugi razlozi za takvu percepciju upravljanja informacijskim rizicima, koji pojedinačno možda nemaju kritičan utjecaj, ali njihovo kumulirano djelovanje je veoma vidljivo: nemogućnost i nesposobnost prave procjene vrijednosti informacijske imovine, nemogućnost ili nesposobnost procjene stvarne visine prijetnji kojima je izložena informacijska imovina (naročito onih prijetnji koje sadrže određenu razinu dodijeljenog povjerenja), neprepoznavanje stvarnih događaja ugrožavanja informacijske imovine...

Stručnjaci u čijoj je nadležnosti upravljanje rizicima morali bi svakako približiti opis informacijskih rizika svakodnevnom jeziku managementa, a argumentaciju potkrijepiti stvarnim i dubinskim podacima o stanju informacijskog sustava, te odgovarajućom metrikom.

“Enterprise risk management” koji predstavlja suštinu sveobuhvatnih upravljanja rizicima u bankarskom poslovanju i kojemu se mora prilagoditi upravljanje informacijskim rizicima je posebna tema i zahtijeva puno više mjesta za analizu, a vjerujem i da managementu treba vremena za uhodavanje svih procesa. Ipak, ako se vratimo na “Hype Cycle”, smatram da upravljanje informacijskim rizicima može i mora krenuti prema fazi “Plateau of Productivity".

Insideri: T(r)ajna prijetnja vašim podacima

22.9.2011. sudjelovao sam na petoj konferenciji Sagena Security Day. Na konferenciji sam održao prezentaciju Insideri: T(r)ajna prijetnja vašim podacima. Prezentacija je ovih dana objavljena na stranici konferencije i možete je preuzeti u pdf formatu.

Prezentacija koju sam održao predstavlja sažetak preporuka koje savjetujem u postupku procjene rizika, a odnose se na specifičnu tematiku insidera. Naime, primijetio sam da se mnoge organizacije prioritetno bave događajima koje rezultiraju ugrožavanjem dostupnosti. To je lako objašnjivo: kvarovi opreme, te prekidi ili ispadi infrastrukture su bliži općoj percepciji i lakše ih je opisati. Insideri spadaju u domenu nepoznatoga i nedostaju instrumenti za njihovo dobro opisivanje i procjenu potencijala.

Prezentacija je trajala gotovo 60 minuta i priloženi tekst ne sadrži popratno tumačenje koje sam tom prilikom iznio. Ipak, vjerujem da će vam biti jasne glavne smjernice, a slobodno se javite za sva druga tumačenja.

Upoznajte URIS na djelu

Prije, otprilike, pola godine pisao sam o aplikaciji URIS namjenjenoj za procjenu rizika informacijskih sustava. Ova aplikacija se temelji na međunarodno priznatoj metodolagiji MEHARI. Više o razlozima za razvoj aplikacije kao i o potrebi za korištenjem ove aplikacije možete pronaći u gore spomenutom napisu.

Joško Martinac iz poduzeća Adservio, autor razvojno-aplikativnog dijela aplikacije URIS, prije nekoliko dana je napravio šest kraćih snimaka rada ove aplikacije, a možete ih pogledati na ovoj stranici. Ove snimke jako dobro ilustriraju glavne funkcije i vjerujem da će vam znatno približiti mogućnosti i načine primjene. Treba reći da se aplikacija stalno dorađuje, pa će, u trenutku kada budete gledali ove snimke, dopune i nova poboljšanja biti u funkciji (marketinški stručnjaci: ne budite prestrogi prema kvaliteti materijala!).

U nastavku slijedi šest snimaka.

Napomena: snimke će bolje izgledati ako ih pogledate preko dolje navedenih linkova na YouTube (umjesto preglednika ugrađenog u samu stranicu). Ako pak želite još bolju kvalitetu snimka, na kraju stranice ćete naći uputu o preuzimanju originalnih avi datoteka.

Aplikacija URIS - uvodni pregled:



(ovaj snimak možete pogledati i ovdje - YouTube)

Aplikacija URIS - procjena vrijednosti informacijske imovine:



(ovaj snimak možete pogledati i ovdje - YouTube)

Aplikacija URIS - procjena vrijednosti informacijske imovine (nastavak) i procjena visine prijetnji:



(ovaj snimak možete pogledati i ovdje - YouTube)

Aplikacija URIS - ocjena prisutnih kontrolnih mjera:



(ovaj snimak možete pogledati i ovdje - YouTube)

Aplikacija URIS - izračun rizika:



(ovaj snimak možete pogledati i ovdje - YouTube)

Aplikacija URIS - izvještavanje:



(ovaj snimak možete pogledati i ovdje - YouTube)

Ako želite vidjeti ove snimke u još boljoj kvaliteti i ako nemate komunikacijskih ograničenja, možete preuzeti originalne avi datoteke (pažnja: veličine datoteka su od 30 MB do 60 MB) s donjih linkova:

Prvi dio
Drugi dio
Treći dio
Četvrti dio
Peti dio
Šesti dio

Ovo su naravno tek glavne značajke aplikacije. Slobodno nam se javite ukoliko želite saznati više informacija o ovoj aplikaciji, upriličiti prezentaciju aplikacije ili pak želite cjelovito riješiti problematiku uvođenja upravljanja informacijskim rizicima.

60 Minutes, još jednom

Nakon objave prošlog teksta dobio sam nekoliko upita o pristupu samom dokumentarcu "60 Minutes". Ovdje objavljujem video u dva dijela (spušteno s YouTube).

Veoma poučan dokumentarac

Sinoć je na CBS-u prikazan redoviti tjedni magazin "60 Minutes", a bavio se osjetljivošću tehnološke infrastrukture Sjedinjenih država i podložnošću pojedinih dijelova ove infrastrukture hackerskim napadima, naročito u "cyberwar" kontekstu.

Kao zanimljiva ilustracija, iznesen je i podatak o dva velika ispada elektro-opskrbnog sustava Brazila u 2005. i 2007. godini. Ovaj kasniji je potrajao dva dana i zahvatio je nekoliko milijuna stanovnika (istini za volju, brazilska je vlada prije par dana, a povodom emitiranja ove emisije, objavila da nije bilo nikakvih hackerskih napada u ovim slučajevima, no što mislite tko ima bolje informacije?). Svakako preporučujem ovu epizodu svima koji donose odluke o mjerama sigurnosti informacijskog sustava, na svim razinama i u bilo kakvim slučajevima. Potražite je na stranici http://www.cbs.com/primetime/60_minutes/ - naslov je Sabotaging the System.

Osvrnuti ću se na teze iznesene u emisiji. Američki kongresnici su utvrdili da su informatičke komponente njihovog elektroopskrbog sustava izuzetno ranjive na hackerske napade, a potencijalne posljedice su izuzetno velike. Zapravo, takvi su se slučajevi već i događali u nedavnoj prošlosti. U emisiji se govori i o slučaju, nedavno jako spominjanom, infiltracije stranih hackera na sustave vladinih organizacija, uključujući i one ministarstva obrane. Tom prilikom je iz ovih sustava iscurilo 1 TB podataka.

Kako bi se Hrvatska snašla u "Cyberwaru"? Ili je možda bolje ovo pitanje preformulirati: "Kako se Hrvatska snalazi u "Cyberwaru"?

URIS - aplikacija za upravljanje IT rizicima

Na početku, dugujem ispriku zbog duljeg izbivanja s ovih stranica. Redovite poslovne aktivnosti i projekti su glavni razlozi izostanka. Glavninu vremena u svibnju i lipnju usmjerio sam na završetak rada na prvoj verziji aplikacije za upravljanje informacijskim rizicima. Aplikacija je razvijena u suradnji s kolegom Joškom Martincem iz tvrtke Adservio. Joško je napravio kompletan programerski posao (izvrsno, dodajem), a ja sam preuzeo brigu oko primjene korištene metodologije i prilagođavanja aplikacije procesu upravljanja informacijskim rizicima. Aplikaciju smo nazvali URIS. Važno je odmah naglasiti da aplikacija koristi javno dostupnu metodologiju upravljanja rizicima MEHARI. MEHARI postoji preko desetak godina, razvijena je u okviru francuske stručne udruge CLUSIF, te je obnovljena 2007. Dokumentacija o samoj metodologiji je dostupna na adresi https://www.clusif.asso.fr/en/production/mehari/mehari.asp. Osobito je zanimljivo da je metodologija objavljena pod GPL licencom. MEHARI je jako dobro opisan u raspoloživoj dokumentaciji (tekstovi i Excel tabele), no svaka ozbiljna primjena iziskuje aplikativnu nadogradnju.

Zbog čega uopće aplikacija za upravljanje IT rizicima? Jedan razlog svakako leži u činjenici da je imalo složeniju metodologiju nemoguće efikasno provesti kroz Excel tablice, a što se pogrešno smatra sasvim zadovoljavajućim tehničkim okvirom za vođenje projekata upravljanja IT rizicima. Drugi, važniji, razlog vezan je na ovaj prvi: iz prakse sam primjetio da korištenje nedovoljno robustnih metodologija neizbježno vodi u trivijalizaciju procesa upravljanja rizicima, što rezultira gubljenjen strateškog značaja kojeg bi upravljanje IT rizicima moralo imati. Korištenje kompleksnih metodologija (MEHARI je, svakako, veoma kompleksna i kompletna metodologija) vodi i boljem prihvaćanju od strane managementa i prisiljava sudionike na savjestan pristup projektu.

MEHARI je baziran na kvalitativnom pristupu koji, zahvaljujući složenom postupku donošenja ocjena, evoluira u polu-kvantitativni (pseudo-kvantitativni?) pristup, čime metodologija svakako dobiva na značaju. Osobito važnim smatram činjenicu da naša aplikacija koristi javno dostupnu i prihvaćenu metodologiju (iako sam bio na preko pola puta u razvoju vlastite metodologije).

Posao na aplikaciji obuhvaćao je, osim automatizacije postupka, nekoliko dodatnih komponenti. Tako je prijevod izvornog teksta svakako pomogao na uvođenju taksonomije pojmova za upravljanje informacijskim rizicima, još uvijek neujednačene u našem okruženju. Nadalje, aplikacija sadrži i različite izvještajne komponente, mogućnost upravljanja postupcima upravljanja rizicima u kontinuiranom razdoblju, kategorizaciju mjera i događaja prema COBIT-u i Basel II specifikacijama... Različiti noviteti su planirani i za slijedeće verzije.

Kome je namjenjena aplikacija? Osobit interes pokazuju svi oni koji iz različitih razloga moraju ispuniti regulatorne zahtjeve u pogledu upravljnaja IT rizicima, a to su prije svega banke (prema Odluci i Smjernicama HNB-a). Iako su mnoge banke postavile temelje procesa upravljanja rizicima, ovakva aplikacija i, prije svega, korištena metodologija omogućuju jednostavniju provedbu procesa upravljanja rizicima. Pored toga, neovisna i međunarodno raširena metodologija pruža dodatno jamstvo o zrelosti postupka upravljanja rizicima.

Neki od čitatelja ovih stranica su već upoznati s ovom aplikacijom, a svima zainteresiranima ću rado pružiti informacije o aplikaciji i korištenoj metodologiji.

Izbor okvira za primjenu Smjernica HNB-a

Nedavno sam odgovarao na pitanje o tome koji je radni okvir prihvatljiviji za primjenu Smjernica HNB-a: ISO 27001/27002 ili COBIT. Čitatelji ovih stranica znaju kako ja često citiram COBIT, no fali li uopće nešto normi ISO 27001/27002, koja je, usput rečeno, puno popularnija i poznatija u našim krajevima?

ISO 27002 je jednostavan dokument, njegove su preporuke zrdravorazumske a mnogi koji ga uzimaju u ruke s namjerom primjene, već nakon desetak stranica s olakšanjem zaključuju kako su gotovo sve odredbe primjenjene ili lako primjenjive u njihovoj okolini. Pored toga, smjernice HNB-a i po volumenu i po detaljnosti veoma podsjećaju na dokument ISO 27002. Bilo bi nepravedno i netočno reći da će neka banka pogriješiti ako normu ISO 27001/27002 iskoristiti za postupak usklađivanja sa zahtjevima HNB-a.

Ipak, treba spomenuti i glavne nedostatke takve strategije.

Prije svega, izborom ISO 27002 kao radnog okvira daje se pogrešna poruka da su Smjernice HNB-a tehničko pitanje, u nadležnosti informatičke službe. ISO 27002, doduše, i u uvodnom dijelu i u dijelu s pregledom kontrolnih mjera predviđa tijesnu vezu s managementom, no ove odredbe, iz više razloga, imaju samo formalnu ali ne i suštinsku snagu. To, naravano, ne bi trebalo biti tako, no treba dosta snage u primjeni norme ISO 27001/27002 kako bi se management pretvorilo u kvalitetne i strpljive sugovornike.

Smjernice HNB-a dodjeljuju izuzetno važnu ulogu procesu upravljanja informacijskim rizicima. Ovaj dio, sagledan s odredbama o odgovornosti uprava banaka i potrebi revizije informacijskih sustava, smatram najznačajnijim faktorom primjene Smjernica HNB-a. Upravo iz ovog razloga, COBIT može biti od velike pomoći. COBIT ne samo da opisuje kontrolne mjere i praksu koje se odnose na upravljanje rizicima i obveze managementa, već je sve donedavno njegova glavna primjena bila baš u postupku revizije. Pred toga, COBIT danas pruža i djelotvorne instrumente za mjerenje uspješnosti primjene i pridržavanja svih procesa predviđenih smjernicama HNB-a. Time je uspostavljena povratna veza između operativne i strateške razine odlučivanja.

Na kraju, mislim da je jedna od prednosti COBIT-a i ta što u sebi ne uključuje i ne podrazumijeva službenu certifikaciju. Dosadašnji model isigurnosnih certifikacija pružaju tek minimalna jamstva da je objekt certifikacije zaista i siguran.

Naravno, primjena COBIT-a je veći zalogaj koji ne vole svi žvakati. Pored toga, razmišljanje da su regulatorni zahtjevi, u ovom slučaju HNB-a, ovdje radi vas a ne radi regulatora, u današnjim je vremenima možda ipak preidealističko. No, trud bi vam se mogao isplatiti, a što se tiče ideala - treba iskoristiti svaku priliku za njihovo potvrđivanje.

Reafirmacija "risk-managementa"

"IT risk-management" ili upravljanje informacijskim rizicima sagledava se ponajprije kao aktivnost koja se odvija unutar operativne razine informacijskog sustava, kao prvenstveno tehnička disciplina, s minimalnom (tek neophodnom) interakcijom s upravljačkim procesima. Iako je risk-management ugrađen u temelje informacijske sigurnosti, naročito u procese upravljanja informacijskom sigurnošću, postoji latentna prijetnja deformacije ili čak minorizacije njegovog značenja. No trendovi koje donosi "Enterpise Risk Management" i zahtjevi ugrađeni u Basel II potiču reafirmaciju discipline upravljanja informacijskim rizicima, stavljajući je u kontekst upravljačkih procesa i povezujući je s upravljačkim procesima organizacije. No, ovaj put je ta veza postaje suštinska.

Usporedimo tradicionalnu poziciju upravljanja informacijskim rizicima. Nositelji procesa bili su predstavnici informatičkih službi. Glavni cilj bio je propisati kontrolne mjere (za što je dovoljno i pametno prepisivanje "best practice" dokumenata), ali uz adekvatne prioritete (upravo zbog toga "best practice" treba pojačati s poslovnim pogledom na potencijalne posljedice, tj. upravljati rizicma). Ipak, "risk management" je infomatičarima uglavnom izgledao trivijalano, a prakticirao se prije svega u kontekstu upravljanja kontinuitetom poslovanja. Njegova prava primjena u drugim segmentima informacijske sigurnosti uglavnom je izostajala (bez obzira na "best practice" dokumente ili profesionalne norme koje su inzistirale na "risk managementu").

"Risk management" je, dakle, gotovo banaliziran i trivijaliziran. No, tržišna regulacija i "Corporate Governance" incijative pojačavaju odgovornost rukovodstva, a time ponovo oživljavaju značaja "IT risk-managementa". Naime, upravljanje rizicima je važan instrument korporativnog upravljanja, a upravljanje informacijskim rizicima integrira se u taj instrument. Kao što sam već pisao na ovim stranicama, kod nas se ova incijativa pojavljuje kroz Smjernice HNB-a, a Odlukom HNB-a iz 2007., upravljanje rizikom informacijskog sustava mora biti uspostavljeno kao složen proces koji će obuhvaćati njegovu procjenu ali i njegovo kontinuirano praćenje. Ovo poglavlje Odluke mora biti provedeno do kraja ove godine.

Kako će banke odgovoriti na ovaj zahtjev? Prije svega, smatramo da se na ovaj zahtjev ne smije gledati površno, a banke ne bi trebale pristupiti samo sa ciljem jednokratnog i formalnog ispunjavanja obveze. Glavni problem predstavlja čijenice da mnoge banke nisu sasvim sigurne kome treba delegirati odgovornost za provedbu ovog zahtjeva. Gledajući terminološki, postojeće bankarske službe za upravljanje rizicima nameću se kao prvi kandidati. No, ove se službe se bave prije svega kreditnim rizicima, dok su operativni rizici (gdje treba ubroji i informacijske rizike) po svom karakteru i metodama upravljanja nešto drugo. Osim toga, kod informacijskih rizika dolazi do izražaja njihova horizontalna disperziranost među različitim organizacijskim procesima banke što sa sobom vuče potrebu "političke" spretnosti u provedbi procesa. Služba informacijske sigurnosti puno je bliža stručnom aspektu upravljanja rizicima, no pitanje je li u našim bankama uspjela dobiti na "političkoj" težini. (Napomena: pojam "politički" se, naravno, odnosi na organizacijske odnose unutar banke, a ne na parlamentarne odnose).

Nakon prvog koraka, određivanja nositelja procesa, slijedi njegova realizacija. Postoji nekoliko mogućih pristupa, no smatram da prije toga treba postaviti cjeloviti okvir provedbe Smjernica HNB-a (o čemu sam nedavno pisao). Na taj način će se modelirati mnogi važni elementi potrebni za uspostavu upravljanja rizikom informacijskim sustavima. Naročito bi trebalo inzistirati na uspostavi procesa provjere kontrolnih mjera koje bi trebale proizaći iz upravljanja rizicima ("compliance"). Sama aktivnost procjene rizika, koja bi inača izgledala kao tehnički zahtjevan zadatak, svesti će se na razumnije proporcije i postati prihvatljiviji zalogaj. Upravljanje informacijskim rizicima će, unatoč probavljivijim proporcijama, dobiti na svojoj težini i strateškom značaju.

Ima li "crva" u avionu?

Kada se govori o računalnoj sigurnosti onda se često koristi slikovita analogija sa zrakoplovima. pa se zna reći npr. "kada bi zrakoplovi bili ranjivi kao računalni sustavi onda bi se zrakoplovne nesreće dešavale svaki dan". Time se, naravno, želi ukazati na površnost realizacije i neadekvatnost testiranja računalnih sustava te na brojnost kritičnih računalnih ranjivosti, nasuprot kojima se ukazuje na inžinjersku preciznost pri konstrukciji zrakoplova. No, kako se čini, ovome bi mogao doći kraj. Časopis Wired objavio je kako je FAA, američka agencija za regulaciju i nadzor civilnog zračnog prometa, utvrdila probleme na najnovijem Boeingu 787 Dreamliner. Spomenuti nedostaci se odnose na mrežni sustav novog zrakoplova koji putnicima omogućuje pristup Internetu. Testiranja su pokazala da postoji fizička povezanost mreže koja je namijenjena putnicima s onom koja se koristi za upravljanje kritičnim komponentama zrakoplovom, uključujući navigaciju i komunikacijski sustav, pa je tako moguć pristup putnika do središnjih komponenti za kontrolu zrakoplova.

Boeingu ostaje dovoljno vremena - do prve komercijalne isporuke novog modela tijekom 2008 - za ispravak ove greške. No, ovaj slučaj ne bi trebalo promatrati kao izdvojeni incident. Računalni potencijali su odavno prešli granice servera ili osobnih računala, te tradicionalnih računalnih mreža. Polako se navikavamo na gotovo neograničene mogućnosti umrežavanja i dostupnost najraznovrsnijih mrežnih servisa. Razvoj novih proizvoda diktirana je tržišnim zahtjevima, a pouzdanost rješenja postaje prva žrtva ove utrke. Stoga, ovaj događaj možemo sagledati i kao najavu za godinu koja je nastupila: programske ranjivost nalaze se na mjestima na kojima ih do sada niste očekivali.

"Top-down" načelo kod upravljanja informacijskim rizicima (3)

Ovo je treći i završni nastavak zapisa (ovdje pogledajte prvi i drugi nastavak) koji obrazlaže potrebu da se procesu upravljanja informacijskim rizicima, pa onda i informacijskoj sigurnosti, pristupi "odozgo", pogledom managementa. Važno je još jednom naglasiti da smo do visinu rizika mogli utvrditi samo na temelju suradnje rukovodstva (jer samo osobe odgovorne za pojedine poslovne procese mogu točno odrediti moguće posljedice) i informatičkog osoblja (koje je, najčešće, najbolje poznaje informatičku infrastrukturu).

Ovdje dolazimo do treće važne točke u "top-down" konceptu: najviši management mora biti upoznato ne samo s visinom rizika nego i s popisom kontrolnih mjera i mora dati nalog za njihovu primjenu. Samo na taj način će ove mjere dobiti potrebnu težinu a u praksi će se prevladati primjedbe korisnika i rukovodstva organizacijskih cjelina o svoijevoljnom nametanju ovih mjera od strane informatičkog osoblja.

Četvrta važna točka u primjeni "top-down" koncepta odnosi se na proširenja poslovnih procesa s novim tehnološkim sustavima (što se danas najčešće povezuje s otvaranjem novih poslovnih mogućnosti ili s ponudom novog proizvoda). Današnje tržišne inovacije su uglavnom neraskidivo vezane s primjenom novih informacijskih tehnologija i aplikativnih sustava, a svaki nova aplikativni sustav mora proći kroz proces upravljanja rizcima. Nova aplikacija može u sebi sadržavati značajne sigurnosne rizike, no s druge strane i otvarati značajne poslovne mogućnosti. Odluka o prihvaćanju ili izbjegavanju ovih rizika mora biti ostavljena rukovodstvu organizacije s obzirom da se radi o strateškoj poslovnoj odluci.

Peta važna točka "top-down" koncepta je održavanje odnosa unutar organizacije prema kojemu informatičke službe moraju biti svojevrsni davatelji informatičkih usluga a stvarni "vlasnici" podataka, odnosno korisnici s nadležnošću za sve značajne odluke o korištenju i obradi mora imati rukovodstvo pojedinih poslovnih procesa. Na taj način će se postići i kvalitetnija primjena pojedinih komponenti sustava a rukovodstva poslovnih cjelina preuzeti značajni dio odgovornosti.

Šesta točka "top-down" koncepta obuhvaća obvezu stalne provjere rada informacijskog sustava, praćenje stupnja ostvarivanja poslovnih ciljeva organizacije kroz korištenje informacijskog sustava te utvrđivanje svih događaja koji ukazuju na povredu predviđene razine sigurnosti. Rukovodstvo organizacije mora biti izvještavano o rezultatima provjere, ali i niže razine rukovodstva moraju biti upoznate s rezulttaima provjere za dijelove informacijskog sustava iz svoje nadležnosti. To se posebno odnosi na rukovodstvo informatičke službe, koje mora provoditi detaljnije praćenje rada na dnevno-operativnoj razini.

"Top-down" načelo kod upravljanja informacijskim rizicima (2)

Upravljanje rizicima mora točno identificirati i popisati svu informacijsku imovinu s kojom organizacija raspolaže, a na tako strukturiranom imovinom napraviti procjenu prijetnji i analizu ranjivosti, utvrditi visinu rizika te propisati potrebne sigurnosne mjere.

Inventura informacijske imovine druga je glavna točka "top-down" koncepta i ujedno prvi korak u procesu upravljanja rizicima. Informacijsku imovinu treba sagledati prije svega kao poslovne podatke koji imaju određenu vrijednost za organizaciju i čijom bi povredom došlo do značajnih posljedica za poslovanje. Evidencija tako definirane imovine mora biti usklađena s glavnim poslovnim procesima, a rukovoditelji ovih procesa moraju odgovoriti kakve posljedice očekuju uslijed gubitka povjerljivosti, integriteta ili dostupnosti podataka s kojima se svakodnevno služe.

Sve dok se držimo informacijskog sustava i njegovih glavnih modula, inventura informacijske imovine ići će predvidljivim tokom, iako ne uvijek sasvim glatko. No, moramo pripaziti da ne zanemarimo podatke koji su smješteni izvan baze podataka ili izvan aplikativnih sustava. Jako puno značajnih, ponekad i kritičnih, infomacija generira se kroz Office ili Excel, a smještaju se kojekuda po diskovima osobnih računala (uključujući i sve arhivske kopije, draft verzije dokumena i sve kopije koje se ponekad i nesvjesno generiraju). Elektronička pošta je odavno dobila svojstvo kritična poslovne informacija, a intelektualno vlasništvo je obuhvaćeno i drugim formatima (prezentacijama, grafičkim zapisima, nacrtima...). Konačno, popis informacijske imovine ne smije zanemariti ni papirnate podatke, koliko god se to smatralo nespojivim s karakterom informacijskog sustava.

Potom slijede preostale aktivnosti u procesu upravljanja rizicima, a jedan od završnih rezultata biti procjena visine rizika i definicija potrebnih kontrolnih mjera koje organizacija mora provesti kako bi spriječila eskalaciju prisutnih prijetnji.

"Top-down" načelo kod upravljanja informacijskim rizicima

Ako pogledamo praksu u većini organizacija, informatičke službe imaju vodeću riječ kada se odlučuje o vrsti, opsegu i težini sigurnosnih mjera. Takva uloga je rezultat tradicionalnih odnosa koji potječu još iz razdoblja kada su se ove službe nazivale "Elektronički računski centar", a njihove su usluge služile uglavnom da se nešto brže izračunaju kamate ili plaće zaposlenih.

No informcijski sustavi danas imaju neusporedivo značajniju ulogu, a rizici kojima je rad informacijskih sustav izložen mogu imati katastrofalne posljedice za poslovanje poduzeća. Ujedno, ostvarivanje poslovnog uspjeha znači i spremnost preuzimanja određenih rizika, pa tako i onih s područja informacijskih tehnologija.

Odluka o tome koje resurse zaštiti i kakvim mjerama to provesti, donosi se kroz proces upravljanja rizicima. Pogrešna odluka može imati značajne posljedice, bilo zbog nedovoljno jake mjere i financijske štete koju je izazvao sigurnosni incident, bilo kao propuštena poslovna prilika koju je nepovratno zauzela konkurencija. Stoga, odlučivanje o sigurnosnim mjerama prestaje biti dio uobičajenih nadležnosti informatičkih službi, već se mora sagledavati kao obaveza rukovodstva. Postojanje "risk-management" postupka je prvi preduvjet provedbu programa sigurnosti prema "top-down" načelu, od pozicije uprave prema pojednim poslovnim procesima.

Dakako, stvari nisu baš crno-bijele i postojeće procese nije moguće preusmjeriti i promjeniti samo naredbom presjednika uprave. Koje su glavne značajke "top-down" pristupa u provedbi informacijske sigurnosti?

Najvažniji je prvi korak: planiranje i provedba upravljanja informacijskim rizicima. Inicijativa za upravljanje rizicima mora biti pokrenta s razine uprave, a uprava (ili jedan njen član) mora biti pokrovitelj ovog procesa. U postupak upravljanja rizicima moraju biti uključeni i drugi članovi rukovodstva i odgovorne osobe pojedinih poslovnih procesa (izvan službe informacijskih tehnologija).

Nastavlja se...