Kada firma sazna da treba da se uskladi sa Zakonom o informacionoj bezbednosti, prvo praktično pitanje je — ko sme, odnosno ko bi trebalo da izradi analizu rizika, gep analizu i Akt o bezbednosti IKT sistema? Odgovor nije onoliko jednostavan koliko bi trebalo da bude, jer zakon tu ostavlja prostor koji vredi razumeti pre nego što se angažuje bilo ko.
Za razliku od nekih drugih regulisanih delatnosti (na primer, revizije finansijskih izveštaja, gde je jasno propisano ko sme da potpiše izveštaj), Zakon o informacionoj bezbednosti propisuje šta firma mora da uradi — analizu rizika, Akt o bezbednosti IKT sistema, mere zaštite, obuku zaposlenih, prijavu incidenata — ali ne propisuje precizno i strogo ko sme da izradi tu dokumentaciju. Ne postoji jedinstvena, zakonom propisana licenca bez koje dokument automatski ne bi važio.
Da, ukoliko zaista ima kapacitet za to. Ako firma ima zaposlene koji poznaju metodologiju analize rizika, standarde poput ISO 27001 i NIST okvira, i tekst samog zakona, nema formalne prepreke da se posao uradi interno. U praksi, ovakav kapacitet imaju uglavnom veće firme sa razvijenim IT sektorom — kod malih i srednjih preduzeća to je retkost, pa se posao po pravilu poverava spolja.
Upravo zato što zakon ne propisuje strogu licencu, na tržištu se pojavljuju i firme ili pojedinci koji nude izradu ovih dokumenata bez realne ekspertize u informacionoj bezbednosti. Problem sa ovakvim angažmanom nije samo formalne prirode — loše urađena analiza rizika ili Akt o bezbednosti IKT sistema znači da firma na papiru izgleda usklađeno, dok je u stvarnosti i dalje izložena istim rizicima koje smo opisali u tekstu o statistici sajber napada. Gore od toga, ako se nedostaci otkriju tokom inspekcijskog nadzora ili revizije — što smo videli i na primeru nalaza Državne revizorske institucije — formalno postojanje dokumenta ne štiti od odgovornosti ako se pokaže da ne odražava stvarno stanje.
Postoji jedan jasan, proverljiv signal kompetentnosti koji zakon ipak nudi: status posebnog CERT-a. Poseban CERT je pravno lice, grupa pravnih lica ili organizaciona jedinica koja je upisana u evidenciju posebnih CERT-ova pri Nacionalnom CERT-u Republike Srbije. Upis u tu evidenciju nije formalnost — reguliše ga Pravilnik o bližim uslovima za upis u evidenciju posebnih centara za prevenciju bezbednosnih rizika u informaciono-komunikacionim sistemima, koji propisuje konkretne uslove koje pravno lice mora da ispuni da bi bilo registrovano.
Drugim rečima, kada angažujete firmu koja je registrovana kao poseban CERT, ne oslanjate se samo na njenu sopstvenu reklamu — njenu osposobljenost je već proverio nadležni državni organ, po propisanoj proceduri.
Kompletnu, javno dostupnu evidenciju registrovanih posebnih CERT-ova u Srbiji možete proveriti na zvaničnom sajtu Nacionalnog CERT-a: cert.rs/rs/evidencija-certova.html.
Biro za digitalnu bezbednost posluje kao registrovan poseban CERT (BDB-CERT), što možete proveriti na stranici O nama i direktno u evidenciji Nacionalnog CERT-a.
Ovaj tekst je informativnog karaktera i ne predstavlja pravni savet. Za tumačenje konkretnih zakonskih obaveza vaše firme, kontaktirajte naš tim ili nadležnog pravnika.