Koje dokumente firma treba da ima pored Akta o bezbednosti IKT sistema

Većina firmi koje se usklađuju sa Zakonom o informacionoj bezbednosti stigne do dva dokumenta — Akta o proceni rizika i Akta o bezbednosti IKT sistema — i tu stane, uz utisak da je posao završen. Problem je što ni zakon, ni standardi na koje se zakon i inspekcija oslanjaju (ISO 27001, NIST), ne gledaju na to tako. Akt o bezbednosti je okvir koji nabraja mere; inspektor, revizor ili sertifikacioni auditor traže i imenovane, samostalne dokumente koji tu meru konkretno sprovode — pisanu politiku lozinki, plan za slučaj da se nešto pokvari, proceduru ko zove koga kad se desi incident.

Zato smo uz postojeću uslugu (analiza rizika i Akt o bezbednosti) proširili ponudu sa 11 takvih dokumenata, podeljenih u dve grupe.

Operativne politike

Ovo su pravila za svakodnevan rad, ona na koja se Akt o bezbednosti samo poziva, a ne razrađuje ih:

• Politika rada od kuće — oprema, VPN, šta se dešava kad se izgubi laptop.
• Politika korišćenja veštačke inteligencije — koji AI alati su dozvoljeni i šta se ne unosi u njih.
• Politika upravljanja lozinkama — složenost, MFA, period važenja.
• Politika prihvatljive upotrebe IT opreme — šta je dozvoljeno na firminim uređajima.
• Politika upravljanja pristupom — ko odobrava, ko revidira, rok za oduzimanje pristupa.
• Politika klasifikacije podataka — koji podaci su poverljivi i kako se s njima postupa.
• Politika upravljanja trećim stranama — bezbednosna provera dobavljača i saradnika.
• Plan obuke i podizanja svesti — program redovne bezbednosne obuke, ne samo jednokratne.

Planovi za krizne situacije

Ova tri dokumenta zakon i standardi izdvajaju posebno, jer se od njih ne traži samo postojanje nego i spremnost da se stvarno primene:

• Plan reagovanja na incidente — ko prijavljuje incident, kome, i kako se u praksi ispunjava zakonski rok od 24 sata za prijavu Nacionalnom CERT-u (čl. 13 Zakona). Najčešća rupa koju viđamo: firma ima tehničke mere, ali niko unapred ne zna ko konkretno podiže telefon u 2 ujutru.
• Plan kontinuiteta poslovanja (BCP) — koji procesi moraju da nastave da rade i za koliko vreme, ko preuzima koordinaciju, gde se posao nastavlja ako glavna lokacija postane nedostupna.
• Plan oporavka od katastrofe (DRP) — tehnički parnjak BCP-a: redosled oporavka IT sistema, koliko podataka je prihvatljivo izgubiti, i ko konkretno sprovodi oporavak.

Zašto je bitno da su međusobno usaglašeni, ne samo sa zakonom

Najčešći problem sa ovakvim dokumentima kad se naručuju odvojeno ili preuzimaju kao generički šabloni — pominju drugačije sisteme, drugačije odgovorne osobe, drugačiju opremu od onih koji su već upisani u Akt o proceni rizika. Inspektoru ili revizoru to odmah upadne u oči i otvara pitanje da li je firma dokumenta uopšte pažljivo pregledala. Svih 11 dokumenata izrađujemo na osnovu istog, već popisanog profila firme — istih resursa, istih odgovornih lica, istog konteksta koji je klijent dao za Akt o proceni rizika — tako da se plan kontinuiteta poslovanja i politika lozinki ne kontradiktuju, nego dopunjuju isti, jedinstven prikaz firme.

Sadržaj svakog dokumenta je usklađen i sa merama koje Zakon o informacionoj bezbednosti nabraja u članu 10, i sa onim što međunarodni standardi (ISO 27001, uključujući kontrole dodate u verziji iz 2022. godine, i NIST Cybersecurity Framework) smatraju dobrom praksom — što znači da ovi dokumenti rade dvostruko: zadovoljavaju domaću zakonsku obavezu i približavaju firmu eventualnoj budućoj ISO 27001 sertifikaciji, bez dodatnog posla.