Pojam kibernetičke sigurnosti danas se koristi gotovo svugdje — od razvoja aplikacija i IT infrastrukture do poslovnih procesa, regulative i certificiranja. Kao i kod mnogih često korištenih pojmova, ponekad postaje toliko širok da više nije sasvim jasno što konkretno znači.
Kibernetička sigurnost nije jedan proizvod, firewall, antivirusni program ili certifikat. Ona obuhvaća tehničke, organizacijske i operativne mjere kojima štitimo informacije, IT sustave i poslovne procese te upravljamo rizicima koji mogu utjecati na njihov rad.
Zato je za svaki projekt važnije razumjeti što treba zaštititi, od kojih rizika i tko je za pojedine dijelove odgovoran, nego jednostavno neko rješenje opisati kao “sigurno”.
CIA trojstvo – temelj informacijske sigurnosti
Jedan od najjednostavnijih načina za razumijevanje osnovnih ciljeva informacijske sigurnosti je CIA trojstvo (CIA triad) — povjerljivost, cjelovitost i dostupnost informacija i sustava. Ova tri svojstva čine klasičnu osnovu informacijске sigurnosti.
Povjerljivost – Confidentiality
Informacijama trebaju moći pristupiti samo osobe i sustavi koji za to imaju odgovarajuće ovlasti.
U našim projektima to znači pravilno definirani korisnički računi i ovlasti, autentifikacija, zaštita administratorskih sučelja, enkripcija komunikacije, ograničavanje pristupa bazama podataka te kontrolu pristupa serverima, backupima i drugim sustavima. Povjerljivost nije samo pitanje zaštite osobnih podataka.
Poslovni dokumenti, izvorni kod, konfiguracije sustava, pristupni podaci, projektna dokumentacija i interna komunikacija također mogu sadržavati informacije kojima pristup treba biti ograničen.
Cjelovitost – Integrity
Podaci i sustavi trebaju ostati točni i pouzdani te zaštićeni od neovlaštenih ili neželjenih promjena.
To uključuje kontrolu promjena, odgovarajuće ovlasti, evidenciju aktivnosti, verzioniranje izvornog koda, kontrolirani deployment te backup i mogućnost vraćanja ispravnog stanja sustava.
Cjelovitost je posebno važna kod poslovnih aplikacija. Ako aplikacija prikazuje netočne podatke ili netko može neovlašteno izmijeniti poslovne informacije, sustav više nije pouzdančak i ako podaci nisu neovlašteno otkriveni.
Dostupnost – Availability
Sustav mora biti dostupan onda kada ga korisnici i poslovni procesi trebaju.
Zato su dio sigurnosti i pouzdana infrastruktura, monitoring, backup, redundancija gdje je potrebna, održavanje servera i aplikacija, planiranje kapaciteta te mogućnost oporavka nakon tehničkog problema ili sigurnosnog incidenta.
Web aplikacija koja dobro štiti podatke, ali je poslovanju nedostupna nekoliko dana, nije ispunila jedan od osnovnih ciljeva informacijske sigurnosti. NIST dostupnost upravo definira kroz pravovremen i pouzdan pristup informacijama i njihovo korištenje.
Sigurnost počinje planiranjem
Sigurnost ne bi trebala biti nešto što dodajemo aplikaciji ili infrastrukturi nakon završetka projekta. Već tijekom planiranja potrebno je razumjeti koje će podatke sustav obrađivati, tko im treba pristupati, gdje će se nalaziti, s kojim će drugim sustavima komunicirati i što se događa ako dio sustava postane nedostupan ili kompromitiran.
Na temelju toga možemo odabrati primjerenu arhitekturu, tehnologije, način pohrane podataka, ovlasti korisnika, backup, monitoring i druge potrebne mjere.
Važan dio tog procesa je i odgovornost. Vlasnik poslovanja, developer, administrator infrastrukture i vanjski pružatelji usluga nemaju iste uloge. Poslovanje treba razumjeti svoje podatke i procese, dok tehnički partner treba prepoznati rizike povezane s rješenjem koje projektira, razvija i održava te na njih pravodobno upozoriti.
Zato ne postoji jedna sigurnosna konfiguracija koja odgovara svakom projektu. Mala poslovna web stranica, web trgovina i kompleksna poslovna aplikacija nemaju iste podatke, rizike ni posljedice eventualnog incidenta.
Takav pristup temeljen na riziku prisutan je i u suvremenom europskom okviru kibernetičke sigurnosti. NIS2 i povezane ENISA smjernice obuhvaćaju, među ostalim, upravljanje rizicima, incidente, kontinuitet poslovanja, sigurnost dobavljača, razvoj i održavanje sustava, kontrolu pristupa i edukaciju.
Zaštita infrastrukture, podataka i pristupa
Kada je poznato što štitimo, sigurnost treba provesti kroz cijelo tehničko rješenje.
To uključuje aplikaciju i poslužiteljsku infrastrukturu, korisničke račune i ovlasti, sigurnu komunikaciju, zaštitu podataka, nadogradnje, backup, monitoring i mogućnost oporavka sustava.
Korisnicima i administratorima treba omogućiti samo pristup koji im je stvarno potreban. Podatke treba odgovarajuće zaštititi tijekom prijenosa i pohrane, a aplikacije, operativne sustave, frameworke, CMS platforme i druge komponente potrebno je održavati i pravodobno nadograđivati.
Backup je dobar primjer zašto sigurnost nije samo pojedina tehnička funkcionalnost. Nije dovoljno imati kopiju podataka — važno je što se kopira, gdje se kopija čuva, tko joj može pristupiti i možemo li iz nje stvarno oporaviti sustav.
Slično vrijedi za monitoring. Njegova svrha nije samo pratiti radi li server, nego omogućiti pravodobno prepoznavanje problema i reakciju prije nego što problem ozbiljnije utječe na korisnike ili poslovanje.
Ovisno o potrebama projekta, infrastruktura ne mora biti ograničena na klasični hosting ili cloud. Projektiramo i implementiramo in-house poslužiteljska rješenja, uključujući Proxmox virtualizaciju, koja omogućuju odvajanje servisa i jednostavnije upravljanje resursima, uz implementaciju odgovarajućih backup i recovery procedura.
Time se ponovno vraćamo CIA trojstvu: štitimo podatke od neovlaštenog pristupa i promjena, ali istodobno moramo osigurati da sustav ostane dostupan kada je potreban.
Sigurnost u svakodnevnom radu i komunikaciji
Kibernetička sigurnost ne završava na serveru niti puštanjem aplikacije u produkciju. Način na koji svakodnevno koristimo sustave i razmjenjujemo informacije također je dio sigurnosti.
Tijekom projekta razmjenjuju se zahtjevi, tehnička dokumentacija, prijave problema i druge informacije koje mogu biti važne za poslovanje. Zato projektna komunikacija treba biti organizirana i dostupna osobama kojima je namijenjena.
U našim projektima za upravljanje zadacima, podrškom i projektnom komunikacijom koristimo Redmine, čime relevantne informacije i povijest projekta zadržavamo unutar kontroliranog projektnog okruženja. Sam alat nije jamstvo sigurnosti — važni su i način na koji je konfiguriran, gdje se nalazi, kako se održava i tko mu može pristupiti.
Isti princip vrijedi za korisničke račune, dokumentaciju, pristup serverima i vanjske servise. Kada pristup više nije potreban, treba ga ukloniti, a osjetljive informacije ne bi se trebale nepotrebno širiti kroz različite komunikacijske kanale.
Sigurnost zato nije samo pitanje tehnologije. Ljudi, odgovornosti i način rada jednako su važni kao aplikacija i infrastruktura.
Upravljanje sigurnošću i standardi
Kako IT sustavi i organizacije postaju složeniji, pojedinačne tehničke mjere više nisu dovoljne. Potrebno je sustavno upravljati rizicima, odgovornostima, kvalitetom, kontinuitetom poslovanja i informacijskom sigurnošću.
U tom kontekstu važnu ulogu imaju međunarodni standardi. Za područja koja su posebno relevantna našem načinu rada izdvajaju se ISO 9001 za upravljanje kvalitetom, ISO 22301 za upravljanje kontinuitetom poslovanja i ISO 27001 za upravljanje informacijskom sigurnošću. ISO 22301 pritom se odnosi na sposobnost organizacije da se pripremi za poremećaje, odgovori na njih i oporavi se.
Certifikacija prema određenom standardu i primjena dobrih praksi nisu isto. Certifikat nije tvrdnja da se incident nikada neće dogoditi, nego potvrda da je u definiranom opsegu uspostavljen i provjeren odgovarajući sustav upravljanja.
Standardima i certificiranju zato ćemo se detaljnije posvetiti zasebno. U kontekstu kibernetičke sigurnosti važna je njihova osnovna poruka: sigurnost nije skup nepovezanih tehničkih rješenja, nego proces kojim treba sustavno upravljati.
Zaključak
Kibernetička sigurnost nije pojedina tehnologija niti oznaka koju dodajemo završenom projektu. Počinje odgovornim planiranjem, nastavlja se kroz razvoj i infrastrukturu te ostaje dio svakodnevnog korištenja, komunikacije i održavanja sustava.
Cilj nije tvrditi da je neki sustav potpuno siguran. Potrebno je razumjeti stvarne rizike i primijeniti mjere primjerene podacima, sustavu i poslovanju koje štitimo.
Ako razvijate novo IT rješenje ili želite unaprijediti sigurnost postojeće aplikacije i infrastrukture, razgovarajmo o vašim potrebama i mogućim rješenjima.
