Zašto je nacrt ZSIS-ovih smjernica za samoprocjenu kibernetičke sigurnosti važniji nego što mislite

U pred uskrsnom tjednu, 15. travnja, Zavod za sigurnost informacijskih sustava (ZSIS) objavio je Nacrt prijedloga smjernica za provedbu samoprocjena kibernetičke sigurnosti, i otvorio ga za javno savjetovanje. Ipak, iako se radi o ključnom dokumentu koji će se primjenjivati u brojnim hrvatskim organizacijama, reakcija je – bar za sada izostala. Ni komentara, ni sugestija. Ali nije kasno. Rok je do 15.5.

U vremenu kad su kibernetičke prijetnje postale dnevna realnost, nedostatak angažmana svih onih na koje se ovo odnosi teško se može opravdati.

ZSIS

Kao središnje državno tijelo za obavljanje poslova u tehničkim područjima informacijske sigurnosti ZSIS ima jasnu zadaću – razvijati, usmjeravati i nadzirati provedbu mjera kojima se štiti informacijska sigurnost sustava od posebnog značaja.

Smjernice ZSIS-a nisu samo administrativni priručnik – one su operativni alat za jačanje kibernetičke otpornosti, izrađen u skladu s najboljim praksama i sigurnosnim standardima. U suradnji s partnerima poput HUP-a, ZSIS je osigurao da sadržaj bude usklađen s poslovnim realnostima, ali struka i sigurnost su na prvom mjestu.

Više od izvještavanja – cilj je stvarna sigurnost

Cilj provedbe samoprocjene nije gomilanje izvještaja. Pravi cilj je:

• prepoznavanje slabosti,
• smanjenje rizika,
• podizanje razine kibernetičke sigurnosti na nacionalnoj razini.

Nadležna tijela ovom inicijativom žele imati transparentan uvid u stanje otpornosti, ali i mogućnost pravovremenog djelovanja u slučaju pojačanih prijetnji. To je temelj svake moderne sigurnosne politike.

Tko će provoditi samoprocjene?

Samoprocjene ne može provoditi bilo tko s osnovnim IT znanjem. Osobe koje će biti zadužene za ovaj zadatak moraju zadovoljiti stroge kriterije stručnosti, uključujući:

• relevantna znanja iz implementacije međunarodnih normi iz područja informacijske ili kibernetičke sigurnosti
• potvrdu o završenoj vanjskoj ili internoj edukaciji za internog revizora po nekoj od relevantnih međunarodnih normi iz područja informacijske ili kibernetičke sigurnosti
• jednu godinu radnog iskustva u okviru provođenja sličnih vrsta interne revizije u području mrežnih i informacijskih sustava odnosno kibernetičke sigurnosti.

U pitanju je ozbiljna i odgovorna zadaća, ključna za stabilnost organizacije, ali i šireg sustava.

Mnoge tvrtke tek sada shvaćaju svoju ulogu

Zanimljivo je da su se mnoge organizacije ovih dana iznenadile kad su zaprimile službene obavijesti da su prepoznate kao dio šire kritične infrastrukture– iako se same nisu tako percipirale. To pokazuje koliko je pojam kibernetičke sigurnosti evoluirao, i koliko smo svi – izravno ili neizravno – uključeni.

Vrijeme za reakciju je sada

ZSIS je učinio svoj dio – pripremio smjernice, otvorio prostor za komentare, uključio struku. Na potezu smo mi.

Savjetovanje je još uvijek otvoreno. Ako ste stručnjak, odgovorna osoba u IT-u, član uprave ili jednostavno netko kome je stalo do sigurnosti – uključite se. Pregledajte dokument, komentirajte, predložite izmjene.

Jer ako to ne učinimo sada, kad imamo priliku, nećemo imati mnogo prostora za prigovore kad dođe vrijeme obveze samoprocjene.