Cyber spremnost male firme: što ako sve pristupe drži jedna osoba?

Ne mora se dogoditi napad da biste otkrili problem. Ponekad je dovoljno da osoba koja inače “rješava informatiku” ode na godišnji.

Zamislimo malu firmu s petnaestak do dvadeset zaposlenih. Proizvodi i distribuira kupaonsku galanteriju, radi s veleprodajnim kupcima i dobavljačima, ima poslovni mail, ERP, web ili webshop, nekoliko zajedničkih mapa i pristupe portalima partnera.

Digitalne stvari godinama najčešće rješava Ana iz prodaje. Nitko joj to nije službeno dodijelio. Jednostavno se snalazi, zna kome se javiti za domenu i hosting, pamti gdje stižu poruke za resetiranje lozinki i usput je pomogla otvoriti nekoliko računa. Dok je Ana dostupna, to izgleda kao sasvim praktičan dogovor.

Onda Ana ode na godišnji. Isti tjedan treba ukinuti pristup bivšoj zaposlenici na portalu dobavljača, a u računovodstvo stiže poruka o promjeni bankovnih podataka tog dobavljača. Poruka izgleda uvjerljivo, no nitko nije siguran tko ju smije provjeriti, koji je poznati kontakt za potvrdu i tko može riješiti pristup ako se ispostavi da je povezan s nečim ozbiljnijim.

Ovo je zamišljeni primjer, ne opis stvarnog događaja ni sigurnosnog stanja neke konkretne firme. Ali problem koji pokazuje vrlo je stvaran: korisnički računi i pristupi važni za poslovanje često imaju korisnika, ali nemaju jasno određenu osobu koja o njima donosi poslovne odluke, zamjenu ni dogovoreni prvi korak kada nešto zapne.

Problem nije nedostatak IT odjela

Mala firma ne treba zaposliti cijeli IT odjel da bi znala čiji su joj mail, domena, ERP, webshop ili račun kod dobavljača. Ne treba ni svaki vlasnik računa znati tehnički održavati sustav.

Ono što treba jest maknuti važne informacije iz jedne glave i prevesti ih u dogovor dostupan odgovornim ljudima. To je ovdje smisao cyber readinessa, odnosno cyber spremnosti: firma može odgovoriti na osnovna pitanja prije nego što joj hitno zatrebaju.

• Koji su računi i sustavi ključni za prodaju, nabavu, isporuku, naplatu i komunikaciju?
• Tko u ime firme odlučuje o njima?
• Tko ih koristi, a tko ih tehnički administrira?
• Tko je zamjena ako ta osoba nije dostupna?
• Koga zovemo i što prvo provjeravamo kada poruka, prijava ili promjena ne izgledaju uobičajeno?

To nije isto što i tvrdnja da je firma potpuno zaštićena. Nije ni zamjena za sigurnosni audit. To je uredan početak koji sprečava da prvih pola sata problema prođe u traženju starog maila ili zvanju osobe koja je na moru.

Sličan pristup preporučuje i britanski National Cyber Security Centre u vodiču za odgovor i oporavak malih organizacija: unaprijed prepoznati ključne sustave, važne kontakte i osobe koje mogu preuzeti odgovornost kada netko nije dostupan. Popis sam po sebi ne rješava incident, ali smanjuje vrijeme izgubljeno na traženje osnovnih informacija.

Oko jednog korisničkog računa obično postoje tri različite uloge

Vratimo se Ani. U njezinoj se ulozi možda s vremenom spojilo više poslova, ali oni nisu ista stvar.

Prvo postoji poslovni vlasnik — jednostavnije rečeno, osoba u firmi odgovorna za poslovne odluke o sustavu. To ne mora biti vlasnik firme niti osoba koja tehnički administrira sustav. Primjerice, voditelj nabave odlučuje treba li firma i dalje koristiti dobavljački portal, tko smije dobiti pristup i tko odobrava promjenu; vanjski informatičar taj pristup može tehnički postaviti. Za ERP tu ulogu mogu imati financije ili uprava, a za webshop osoba odgovorna za prodaju.

Zatim postoji svakodnevni korisnik. On obrađuje narudžbe, vidi podatke o kupcima ili komunicira s partnerom. Korisnik zato ne mora automatski imati pravo otvoriti još jedan račun, promijeniti kontakt za oporavak ili potvrditi da je račun i dalje potreban nakon odlaska iz firme.

Treća je uloga tehnički administrator. To može biti Ana, vanjski informatičar, agencija za web ili dobavljač ERP-a. Ta osoba može dodati korisnika, promijeniti postavku ili pomoći vratiti pristup. No tehnička mogućnost ne bi smjela značiti da sama donosi poslovnu odluku.

U malom timu jedna osoba može nositi dvije, pa i sve tri uloge. To samo po sebi nije pogrešno. Problem počinje kada nitko drugi ne zna da postoje, kada nema zamjene ili kada firma ne može dokazati da je račun uopće njezin, a ne vezan uz privatni mail ili karticu bivšeg suradnika.

Što bi Ana trebala ostaviti iza sebe

Za ovu firmu prvi razuman korak nije kupnja nove platforme za cyber sigurnost. Kao i kada treba odlučiti treba li firmi nova aplikacija ili bolje strukturiran proces, korisnije je prvo razjasniti stvarni način rada. Ovdje to znači napraviti kratak, zaštićen registar ključnih korisničkih računa, pristupa i povezanih usluga. Može početi u dokumentu ili mapi kojoj pristup imaju samo određene odgovorne osobe.

Za svaki važan sustav dovoljno je zapisati nekoliko stvari:

• naziv sustava i čemu služi
• osobu odgovornu za poslovne odluke o sustavu (poslovnog vlasnika)
• svakodnevne korisnike ili tim koji ga koristi
• tehničkog administratora i vanjskog partnera, ako postoji
• službeni kontakt za podršku i kontakt za oporavak pristupa
• zamjenu za tu osobu
• postupak odobravanja novog ili ukidanja postojećeg pristupa.

Sam dokument ne smije postati tablica puna lozinki. Lozinke i kodovi za oporavak trebaju biti u namjenskom upravitelju lozinki, s ograničenim ovlastima i postupkom koji odgovara firmi. Registar govori tko i kako; upravitelj lozinki čuva tajne podatke.

Kada se taj pregled radi mirno, često se otkriju obične, ali važne stvari: domena je registrirana na privatni e-mail; račun za alat plaća se karticom osobe koja više ne radi u firmi; kontakt za resetiranje ERP-a vodi na zajednički inbox kojem nitko ne upravlja; vanjski partner i dalje ima više ovlasti nego što mu zaista treba. To nisu automatski incidenti. To su odluke koje je jednostavnije riješiti dok sve normalno radi.

Sumnjiva promjena IBAN-a nije trenutak za pogađanje

U našem primjeru računovodstvo dobiva poruku da dobavljač ima novi bankovni račun. Ne treba tražiti tehničko objašnjenje niti procjenjivati mail po osjećaju.

Prvi postupak može biti vrlo kratak: promjena podataka za plaćanje ne potvrđuje se iz samog e-maila. Provjerava se drugim, unaprijed poznatim kanalom — primjerice pozivom na broj koji firma već ima u ugovoru ili CRM-u. Do potvrde se podaci za plaćanje ne mijenjaju. Ako osoba koja inače vodi taj odnos nije dostupna, registar pokazuje tko je zamjena i tko može donijeti odluku.

Takva uputa ne pretvara računovodstvo u sigurnosni tim. Daje mu siguran sljedeći korak kada se pojavi dvojba. Isto vrijedi za zaključan račun, izgubljen službeni uređaj ili nepoznatu prijavu: zaposlenik treba znati kome javlja i da prijava sumnje nije smetnja nego dio odgovornog rada.

Gdje završava readiness, a počinje stručna reakcija

Ovdje je važno zadržati granicu. Popis odgovornosti, kontakt za podršku i postupak provjere nisu forenzička istraga. Ne utvrđuju sami je li mail kompromitiran, je li webshop ranjiv ili jesu li osobni podaci stvarno zahvaćeni.

Ako postoji osnovana sumnja da je došlo do kompromitacije, to više nije trenutak za preventivno uređivanje dokumentacije. Treba brzo uključiti odgovarajućeg tehničkog ili sigurnosnog stručnjaka i sačuvati činjenice o onome što je uočeno. Ako su možda zahvaćeni osobni podaci, situaciju treba posebno procijeniti; nije svaki sigurnosni incident povreda osobnih podataka, ali incident koji ih uključuje ne treba ostaviti bez procjene. Za konkretne obveze i postupanje relevantne su upute AZOP-a i zaseban vodič o hakiranoj web stranici i GDPR-u.

Isto tako, readiness ne zamjenjuje osnovne sigurnosne mjere. Dvofaktorska prijava, kvalitetne lozinke, provjereni backup, redovito održavanje i uklanjanje starih pristupa i dalje su važni. Njihov praktični pregled nalazi se u vodiču Cyber sigurnost: prvi koraci za sigurniji web, mail i podatke. Ovdje je fokus drukčiji: tko osigurava da te mjere, računi i odluke ne ostanu vezani uz jednu osobu.

Koliko takav pregled košta?

Najpošteniji odgovor nije jedna cijena, nego najprije mali i vidljiv opseg. Firma s nekoliko računa, jasnim vanjskim partnerima i jednom lokacijom ima drukčiji posao od firme s webshopom, ERP-om, više skladišta, vanjskim pristupima i velikim brojem korisnika.

Razumna početna faza može uključiti razgovor s ljudima koji stvarno koriste sustave, popis ključnih računa i partnera, razdvajanje poslovnih i tehničkih uloga te dogovor za nekoliko najvjerojatnijih situacija. Tek tada ima smisla procijeniti treba li urediti samo vlasništvo i pristupe, provesti konkretne tehničke promjene ili angažirati specijalizirani audit.

Ako netko nudi gotovu cijenu prije nego što zna koje sustave firma koristi i tko za njih odgovara, vjerojatno nudi paket. Paket može biti koristan, ali nije isto što i pregled koji prati stvarno poslovanje.

U primjeru s Anom dobar završetak nije da ona više ništa ne zna ili radi. Dobar završetak je da njezino znanje više nije jedini način na koji firma može nastaviti raditi. Kada Ana ode na godišnji, promijeni posao ili joj je račun zaključan, firma i dalje zna čiji je koji sustav, tko može odlučiti i kojim redom se postupa. To je mnogo prizemnija — i korisnija — definicija cyber spremnosti od bilo koje velike riječi.

Često postavljana pitanja

Je li cyber readiness isto što i sigurnosni audit?

Ne. Cyber readiness je organizacijska spremnost: pregled važnih računa, odgovornosti, zamjena i prvih postupaka. Sigurnosni audit ide dublje u tehničku provjeru i treba ga odrediti prema stvarnom riziku i opsegu sustava.

Treba li maloj firmi vlastiti IT odjel?

Ne nužno. Mala firma može kombinirati osobu odgovornu za poslovne odluke o pojedinom sustavu, unutarnju osobu koja drži pregled i vanjske tehničke stručnjake. Ključno je da uloge, kontakt za podršku i zamjene nisu nejasni.