Sarajevo i pitanja cyber sigurnosti koja nijedna organizacija ne može riješiti sama

Semir Dedic, Cyber Security Summit

Grad postaje relevantan za cyber sigurnost onda kada može otvoriti pitanja koja organizacije ne mogu riješiti same. Ko ima ovlaštenje da u dva sata ujutro isključi produkcijski sistem i da li ta osoba prije toga mora probuditi ministra? Koliko dugo se čuvaju logovi autentifikacije i biste li, ako vas to neko zatraži sutra, mogli rekonstruisati devedeset dana privilegovanih prijava? Možete li danas napraviti tačnu listu sistema izloženih internetu, a ne listu koja je bila tačna samo na dan posljednje revizije?

Da li je ikada izmjereno koliko traje vraćanje sistema iz sigurnosne kopije i kakvo je bilo stvarno vrijeme oporavka kada su korištene kopije koje su bile offline ili neizmjenjive? Da li se udaljeni pristup dobavljača automatski ukida nakon isteka potrebe za njim ili ostaje aktivan dok se neko ne sjeti da ga opozove? I šta uprava zapravo dobija: prikaz posljedica i troškova ili slajd sa crvenim, žutim i zelenim indikatorima?

Evropski podaci sada mnogo preciznije pokazuju koji od ovih rizika zaista imaju najveći značaj. ENISA Threat Landscape 2025 analizirao je 4.875 incidenata u periodu od 1. jula 2024. do 30. juna 2025. godine. Napadi uskraćivanjem usluge, odnosno DDoS napadi, činili su oko 77 posto prijavljenih incidenata, uglavnom kao rezultat haktivističkih aktivnosti usmjerenih na javno dostupne web stranice, dok je samo mali dio njih doveo do ozbiljnijeg prekida usluga.

Ransomware je, prema posljedicama, ostao najštetnija prijetnja. Nešto više od polovine zabilježenih incidenata odnosilo se na subjekte koji bi prema NIS2 spadali u kategoriju ključnih subjekata. Upravo je razlika između broja incidenata i njihovih posljedica važna za svakoga ko razvija program cyber sigurnosti: plan zasnovan samo na broju incidenata usmjerit će sredstva na najčešću i najglasniju kategoriju, dok će stvarni gubici i dalje nastajati zbog enkripcije podataka, iznude i prevara.

Isti izvještaj pokazuje i kako je sam pristup kompromitovanim sistemima postao roba kojom se trguje, pri čemu Initial Access Brokers u velikom obimu prodaju pristup kompromitovanim sistemima, dok phishing, krađa pristupnih podataka i alati za krađu informacija nastavljaju hraniti taj ekosistem. Za organizacije to znači još veći naglasak na sigurnosti identiteta, pristupnih podataka i korisničkih sesija, autentifikaciji otpornoj na phishing i kontroli privilegovanog pristupa.

Bosnia and Herzegovina has a recent case that illustrates the point without any need for dramatisation. On 24 July 2026, Igman d.d. Konjic, a majority state-owned company in the defence sector, was the subject of a business email compromise. The precision and timing of the fraudulent instruction strongly suggest that the attackers had visibility into the underlying business communication, whether through a compromised mailbox or another source. Publicly available information, however, does not establish exactly where that access occurred. What is publicly confirmed is that the fraudulent instruction came from an address almost identical to that of an existing business partner and resulted in a transfer of approximately EUR 780,000. The case was taken over by the criminal police of the Herzegovina-Neretva Canton Ministry of the Interior, with the cantonal prosecutor's office in Konjic and SIPA notified. Investigators traced a large part of the money to an account in the Netherlands, where it was blocked, while roughly EUR 180,000 reached accounts in the United Arab Emirates. The Centre for Security Studies put the total exposure at more than 1.5 million BAM.

Ništa u tom slijedu nije zahtijevalo neuobičajene sposobnosti na strani napadača. Nije javno utvrđeno u kojem trenutku je napadač stekao uvid u prepisku, da li putem kompromitovanog e-mail naloga ili na neki drugi način. Do gubitka je došlo zato što promjena bankovnih podataka nije provjerena putem kanala nezavisnog od e-maila. Djelimični povrat sredstava zavisio je od brzine kojom je upućen zahtjev za opoziv transakcije i od prekogranične saradnje banaka i policije, što je pitanje koordinacijskih kapaciteta, a ne nekog konkretnog proizvoda. Svaka od tih faza odgovara kontroli koju je lako propisati, ali je teže dosljedno provoditi: autentifikacija i nadzor dobavljačevog e-maila, obavezna provjera drugim komunikacijskim kanalom kod svake promjene podataka za plaćanje te unaprijed uvježban put eskalacije prema banci i policijskoj jedinici koja je dostupna i tokom vikenda.

Upravo na ovom mjestu institucionalni nedostatak u Bosni i Hercegovini postaje tehnički problem, a ne politička primjedba. Misija OSCE-a je u septembru 2025. navela da je Bosna i Hercegovina ostala jedina zemlja jugoistočne Evrope bez strategije cyber sigurnosti na državnom nivou i potpuno operativnog državnog tima za odgovor na računarske incidente. Bosna i Hercegovina tek započinje proces uspostavljanja kapaciteta potrebnih za funkcionalan CERT na državnom nivou.

Vladin CERT / Tim za odgovor na računarske incidente u institucijama Bosne i Hercegovine formalno postoji, a početni koraci koji su sada u toku ohrabrujući su. Međutim, zemlja još nema potpuno operativan nacionalni CERT sa osobljem, mandatom, procedurama i kapacitetima za odgovor koji su potrebni za efikasnu koordinaciju ozbiljnih cyber incidenata. Nadam se da će se ovaj proces nastaviti u dobrom smjeru i razviti u kapacitet na koji se institucije i ključni sektori mogu osloniti kada to bude najpotrebnije.

Strateški okvir postoji na nivou RS, dok izvještaji Evropske unije o napretku već više puta pozivaju državni nivo da dovrši svoj okvir za borbu protiv cyber kriminala. U julu 2026. Centar za sigurnosne studije naveo je da je, nakon pet godina, Vijeće ministara odobrilo prostorije za državni tim, ali da osoblje još nije imenovano. Posljedice su vrlo konkretne. Banka, bolnica ili telekom operater nemaju nacionalnu kontakt tačku sa dežurnim timom dostupnim u tri sata ujutro. Ne postoje dogovoreni pragovi za prijavljivanje incidenata niti zajednička klasifikacija incidenata, što znači da se prijave iz različitih sektora ne mogu objediniti ni na osnovnom nivou. Ne postoji tijelo koje ima pravni osnov da prima indikatore kompromitacije, uklanja iz njih osjetljive podatke i distribuira ih dalje. Također, ne postoji početna referentna tačka na osnovu koje bi se moglo procijeniti da li je višegodišnje donatorsko finansiranje zaista unaprijedilo sigurnost ključnih usluga. Incident iz 2022. godine koji je pogodio Parlamentarnu skupštinu dobar je primjer: nije objavljen detaljan javni izvještaj nakon incidenta o uzroku, nalazima i naučenim lekcijama, čime je ograničena mogućnost drugih institucija da iz tog događaja izvuku korisna saznanja.

Koordinacijski rad u gradu već je u toku. U aprilu 2026. predstavnici Ministarstva sigurnosti Bosne i Hercegovine, vladinog CERT-a i inicijative Integrative Internal Security Governance sastali su se u sjedištu Vijeća za regionalnu saradnju u Sarajevu kako bi razgovarali o potrebama u oblasti cyber sigurnosti, strateškom planiranju i koordinaciji donatorske podrške. Vrijednost takvih sastanaka nije u još jednoj deklaraciji. Važno je da operativni model postane jasan: koja institucija vodi proces, koji tehnički tim reaguje, koji se podaci mogu zakonito razmjenjivati i da li je vanjska podrška vezana za konkretne i provjerljive ciljeve razvoja kapaciteta, kao što su popunjen tim dežurnih stručnjaka, definisano radno vrijeme, mandat za obradu podataka o incidentima i jasno utvrđen krug institucija i organizacija koje CERT pokriva.

Regulatorno okruženje dodatno podiže standard rasprave, uključujući i za organizacije izvan Evropske unije. NIS2 obuhvata osamnaest sektora kroz svoja dva aneksa i uvodi mjere upravljanja rizicima, sigurnost lanca snabdijevanja, odgovornost višeg rukovodstva i fazni sistem prijavljivanja: rano upozorenje u roku od 24 sata, detaljniju prijavu u roku od 72 sata i završni izvještaj u roku od jednog mjeseca.

Od 11. septembra 2026. godine, član 14. Cyber Resilience Acta uvodi posebne obaveze izvještavanja za proizvođače proizvoda s digitalnim elementima. Aktivno iskorištavane ranjivosti i ozbiljni incidenti zahtijevaju rano upozorenje u roku od 24 sata i detaljniju prijavu u roku od 72 sata. U slučaju aktivno iskorištavane ranjivosti, završni izvještaj mora biti dostavljen najkasnije 14 dana nakon što korektivna ili ublažavajuća mjera postane dostupna; u slučaju ozbiljnog incidenta, završni izvještaj mora biti dostavljen u roku od mjesec dana od prijave podnesene u roku od 72 sata. Finansijski subjekti u EU posluju u skladu s DORA uredbom od januara 2025. godine.

Za organizacije u Bosni i Hercegovini utjecaj ovih zahtjeva neće biti jednak. Mnoge će se s njima susresti kroz saradnju s klijentima iz EU, grupne strukture, lance snabdijevanja i ugovorne obaveze. Druge, posebno proizvođači koji na tržište EU stavljaju proizvode s digitalnim elementima, mogu direktno potpasti pod pravila EU, poput Akta o cyber otpornosti (Cyber Resilience Act).

Praktična pitanja ostaju ista: da li biste mogli podnijeti rano upozorenje u roku od 24 sata ako incident počne u petak navečer? Ko je ovlašten da ga podnese i kome se dostavlja? Da li su vaši podaci o imovini i komponentama dovoljno kvalitetni da na pitanje „jesmo li pogođeni?“ odgovorite za nekoliko sati, a ne za nekoliko sedmica? Da li se ranjivosti određuju kao prioritet na osnovu izloženosti i utjecaja na poslovanje, ili jednostavno prema dužini izvještaja iz skenera?

Šesto izdanje Sarajevo Cyber Security Summita održava se 18. i 19. novembra 2026. u Hills Congress Centeru Sarajevo, uz stručna predavanja, panele, radionice, CyberSec Expo i Capture the Flag takmičenje. Ti formati nisu međusobno zamjenjivi, a program je kvalitetniji kada se svaki koristi za ono čemu najbolje služi.

Panel posvećen politikama može otvoriti pitanja upravljanja, pragova za prijavljivanje incidenata i podjele odgovornosti između državnog i entitetskog nivoa. Tehničke sesije mogu se baviti upravljanjem identitetima, telemetrijom krajnjih uređaja i troškovima njenog čuvanja, cloud konfiguracijom, segmentacijom OT sistema i trijažom incidenata.

Radionica može testirati da li učesnici mogu nalaz o riziku pretvoriti u plan sanacije sa jasno određenom odgovornom osobom i rokom, ili provesti vježbu u kojoj su pravni i komunikacijski timovi uključeni od početka, umjesto da budu naknadno informisani.

Capture the Flag takmičenje razvija i pokazuje praktične vještine, a još je korisnije kada je povezano s razgovorom o tome kako te vještine zadržati u regionu: koliko institucije plaćaju, kakvi karijerni putevi postoje i koliko stručnog kapaciteta region svake godine gubi odlaskom ljudi kod poslodavaca u inostranstvu.

Propusti za koje vrijedi unaprijed pripremati odgovor rijetko su konceptualni. Organizacije ne doživljavaju neuspjeh zato što nisu čule za ransomware. Do njega dolazi zato što administratori dijele korisničke naloge, zato što privilegovani pristup nema višefaktorsku autentifikaciju otpornu na phishing, zato što ukradeni tokeni sesije zaobilaze postojeću višefaktorsku autentifikaciju, zato što su sigurnosne kopije bile dostupne iz kompromitovanog domena, zato što proces vraćanja sistema nikada nije testiran pod vremenskim pritiskom, zato što je dobavljaču ostao stalni VPN pristup dvije godine nakon završetka projekta, zato što ne postoji alternativni komunikacijski kanal kada se e-mailu ne može vjerovati i zato što unaprijed nije određena osoba ovlaštena da naredi isključivanje sistema.

Sarajevo postaje ozbiljno mjesto za ovakav rad jer može okupiti regionalne institucije, operatere i tehničke stručnjake u istoj prostoriji, oko pitanja i zavisnosti koje dijele. Grad ne mora tvrditi da ima potpuno razvijenu nacionalnu arhitekturu cyber sigurnosti. Njegova vrijednost je upravo u tome što posao još nije završen i što je cijena slabe koordinacije dokumentovana, a ne samo hipotetička. Mjerilo uspjeha šestog izdanja bit će to da li će u sedmicama nakon Summita konkretne odluke imati jasno određene odgovorne osobe i rokove.