Upravljanje rizicima u cyber sigurnosti počinje time da znate čime upravljate

Pitajte tri osobe u istoj organizaciji koliko sistema dostupnih s interneta ta organizacija koristi i često ćete dobiti tri različita odgovora. Upravo na tom neslaganju upravljanje rizicima u cyber sigurnosti obično počinje ići pogrešnim putem. Organizacije kupe skener, naruče penetracijsko testiranje ili zatraže kontrolnu ploču prije nego što imaju pouzdan odgovor na osnovno pitanje: koje sisteme, identitete i usluge zapravo koristimo?

Gdje počinju sigurnosni propusti

Ovo nije administrativna slabost. Upravo tu počinju ozbiljni incidenti. Server koji nedostaje u evidenciji imovine lako može biti izostavljen iz procesa ažuriranja, nadzora i procjene rizika. Cloud okruženje bez jasno određenog vlasnika neće biti obuhvaćeno provjerama pristupa. Veza s dobavljačem otvorena za potrebe nekog projekta može ostati aktivna godinama nakon završetka projekta. Servisni račun sa širokim ovlaštenjima može postati najbrži put od ograničenog sigurnosnog kompromitiranja do ozbiljnog incidenta.

Šta treba sadržavati korisna evidencija

Korisna evidencija cyber imovine mnogo je više od tabele laptopa i servera. U najmanju ruku, trebala bi odgovoriti na pet pitanja:Šta je izloženo internetu? Uključujući domene, poddomene, certifikate, pristupne tačke za udaljeni pristup i zaboravljena testna okruženja.

• Šta je izloženo internetu? Uključujući domene, poddomene, certifikate, pristupne tačke za udaljeni pristup i zaboravljena testna okruženja.
• Šta podržava kritične usluge? Sistemi bez kojih organizacija ne može funkcionisati duže od nekoliko sati.
• Gdje se čuvaju osjetljivi podaci? Uključujući SaaS aplikacije i platforme za razmjenu datoteka, a ne samo interne baze podataka.
• Koji identiteti mogu administrirati okruženje? Ljudski administratori, ali i servisni računi, API ključevi, automatizacijske skripte i, sve više, AI agenti.
• Šta zavisi od čega? Portal za korisnike može zavisiti od cloud platforme, DNS provajdera, sistema za plaćanje, servisa za upravljanje identitetima i više API-ja trećih strana. Njegov rizik nije moguće procijeniti bez razumijevanja tog lanca.

Zašto ovo treba biti razgovor na nivou uprave

Višem menadžmentu nije potreban spisak svakog uređaja. Potreban mu je jasan pregled usluga koje su važne, zavisnosti koje ih podržavaju i rizika koji ostaju izvan dogovorenog nivoa kontrole. To je osnova za odluke o ulaganjima, osiguranju, provjeri dobavljača i planiranju odgovora na incidente. Uprava kojoj se kaže da je „94% sistema ažurirano“, a da ne zna šta se nalazi u preostalih 6%, nije dobila informaciju na osnovu koje može djelovati.

Odakle početi

Za ovaj posao nije potreban veliki program. Potreban je red.

• Prvo pogledajte izvana. Upravljanje površinom napada počinje onim što internet može vidjeti: javnim DNS zapisima, zapisima o certifikatima i izloženim servisima. To je često najjeftiniji korak s velikom vrijednošću, jer napadači počinju upravo na istom mjestu.
• Uskladite svoje izvore. Uporedite sisteme za upravljanje krajnjim uređajima, cloud račune, skeniranja ranjivosti, mrežno otkrivanje i evidencije nabavki. Finansijski podaci često su najbolji način za otkrivanje tzv. shadow IT-a: SaaS pretplata plaćena karticom jeste imovina, bez obzira na to zna li IT za nju.
• Dodijelite vlasnika svakom kritičnom sistemu i svakom sistemu dostupnom s interneta. Sve što nema vlasnika tretirajte kao prioritetni nalaz, a ne kao administrativnu sitnicu.
• Privilegirane identitete pregledajte odvojeno od običnih korisničkih računa, uključujući i identitete koji nisu vezani za ljude.
• Isključite ili izolujte ono što se ne može ažurirati. Sistem koji više nije podržan, a mora ostati u upotrebi, treba segmentirati i nadzirati, uz jasno dokumentovan razlog.

Lokalni kontekst

Za mnoge organizacije u Bosni i Hercegovini, posebno manje javne institucije i općine, IT vodi mali tim uz nekoliko dugogodišnjih dobavljača. Znanje o tome šta postoji često ostaje u glavama jedne ili dvije osobe. Kada jedna od njih ode ili se promijeni ugovor s dobavljačem, s njima nestaje i pregled nad sistemom. U državama koje imaju operativan nacionalni CERT, organizacije mogu dobiti upozorenja o izloženim ili ranjivim sistemima koji su otkriveni izvana. Cyber sigurnost u Bosni i Hercegovini još nema takvu sigurnosnu mrežu na državnom nivou, pa organizacije ovdje svoju izloženost moraju otkriti same prije nego što to uradi neko drugi.

Upravljanje rizicima u cyber sigurnosti postaje vjerodostojno kada su kontrole povezane sa stvarnim sistemima, stvarnim vlasnicima i stvarnim uslugama. Bez te veze, čak i sofisticiran sigurnosni program radi na osnovu nepotpune mape.

O upravljanju rizicima u cyber sigurnosti, vidljivosti imovine i institucionalnoj odgovornosti razgovarat će se na Cyber Security Summitu 2026, koji će biti održan 18. i 19. novembra u Hills Congress Centru u Sarajevu.

Registracije su otvorene: https://yes-css.eventio.app/register