Kibernetička i informacijska sigurnost
Informacijska sigurnost štiti sve informacije, uključujući papirnatu dokumentaciju i usmenu komunikaciju. Kibernetička sigurnost odnosi se na digitalne sustave, mreže i podatke te na ljude koji se njima služe.
Propisi u Hrvatskoj
| Propis | Na koga se odnosi |
|---|---|
| Zakon o kibernetičkoj sigurnosti (NN 14/24), kojim je prenesena direktiva NIS2 | ključni i važni subjekti iz 19 sektora |
| Uredba o kibernetičkoj sigurnosti (NN 135/24) | ključni i važni subjekti; propisuje mjere, razine mjera i rokove prijave incidenata |
| DORA (Uredba (EU) 2022/2554) | banke, osiguratelji i drugi financijski subjekti |
| GDPR (čl. 32.) | svi koji obrađuju osobne podatke; traži odgovarajuće tehničke i organizacijske mjere |
Provedbu zahtjeva kibernetičke sigurnosti kod ključnih i važnih subjekata nadziru nadležna tijela, a prijave incidenata zaprima nadležni CSIRT. Središnje državno tijelo za kibernetičku sigurnost je Sigurnosno-obavještajna agencija.
Najčešće prijetnje
- phishing i drugi oblici socijalnog inženjeringa
- ransomware i drugi zlonamjerni softver
- krađa lozinki i preuzimanje korisničkih računa
- iskorištavanje nezakrpanih ranjivosti
- napadi preko dobavljača i pružatelja IT usluga
- distribuirani napadi uskraćivanjem usluge (DDoS)
Osnovne mjere
- upravljanje rizicima i jasne odgovornosti uprave
- višefaktorska autentifikacija i kontrola pristupa
- redovita ažuriranja i upravljanje ranjivostima
- sigurnosne kopije odvojene od mreže
- postupak za prijavu i rješavanje incidenata
- redovita edukacija zaposlenika
Primjer
Veliki operator distribucijskog sustava električne energije ključni je subjekt prema Zakonu o kibernetičkoj sigurnosti. Mora provoditi mjere iz Uredbe, najmanje jednom u dvije godine provesti reviziju kibernetičke sigurnosti i prijavljivati značajne incidente nadležnom CSIRT-u, a članovi uprave moraju pohađati osposobljavanje.