Obuka zaposlenih: najslabija i najjača karika u sajber bezbednosti

Firme redovno ulažu u firewall, antivirus, rezervne kopije i enkripciju — a onda jedan zaposleni klikne na pogrešan link i sve te tehničke mere postanu nebitne. To nije preterivanje, već najbolje dokumentovana činjenica u sajber bezbednosti: čovek je, u isto vreme, i najslabija i najjača karika u odbrani od napada.

Šta pokazuju brojke

Prema Verizon Data Breach Investigations Report 2025 — jednom od najcitiranijih globalnih izveštaja o bezbednosnim incidentima — oko 60% svih potvrđenih upada uključuje ljudski faktor: grešku, manipulaciju ili zloupotrebu. Konkretno, 22% upada počinje zloupotrebom kredencijala, a 16% fišing napadom. To se poklapa i sa onim što smo pisali u tekstu o statistici sajber napada u Srbiji — Nacionalni CERT izričito navodi da napadi socijalnog inženjeringa "koriste ljudsku psihologiju i podložnost manipulacijama", a broj fišing napada je u 2025. godini porastao za oko 255% u odnosu na godinu ranije.

Zašto je čovek "najslabija karika"

Tehnička odbrana je, uprkos svim ulaganjima, samo onoliko jaka koliko i najslabija tačka pristupa. Napadaču je često lakše prevariti zaposlenog da otkrije lozinku ili klikne na zaraženi prilog nego probiti dobro podešen firewall. Zato su fišing i socijalni inženjering danas dominantan način upada — ne zato što su tehnički sofisticirani, već zato što ciljaju nešto što nijedna tehnologija sama po sebi ne može da zakrpi: ljudsku pažnju u žurnom radnom danu.

Zašto je čovek i "najjača karika"

Ovde dolazi zanimljiv nalaz iz istog Verizon izveštaja: obuka ne mora nužno da svede broj klikova na fišing test na nulu — to je nerealno očekivanje. Ono što obuka realno menja jeste da se prijavljivanje sumnjivih poruka učetvorostručilo nakon sprovedene obuke. Drugim rečima, cilj dobre obuke nije da stvori nepogrešive zaposlene, već da od svakog zaposlenog napravi ranog senzora koji prijavi sumnju pre nego što se pretvori u incident. Zaposleni koji prepozna i prijavi fišing poruku u tom trenutku postaje deo odbrane, a ne njena slaba tačka.

Šta zahteva NIS2 regulativa

Evropska NIS2 direktiva — sa kojom je usklađen i naš novi Zakon o informacionoj bezbednosti — obuku zaposlenih ne tretira kao opciju, već kao jednu od osnovnih, obaveznih mera upravljanja rizikom. Direktiva izričito traži:

• da članovi rukovodstva prođu obuku dovoljnu da prepoznaju i procene sajber rizike;
• da se slična obuka redovno nudi i svim zaposlenima, ne samo IT sektoru;
• osnovnu "sajber higijenu" — jake lozinke, višefaktorsku autentifikaciju, redovna ažuriranja — kao deo iste, obavezne mere.

Ovo se u potpunosti poklapa sa onim što domaći zakon već traži kroz Akt o bezbednosti IKT sistema — redovnu obuku zaposlenih kao sastavni, a ne dekorativni deo usklađenosti.

Najbolje prakse — šta zapravo funkcioniše

• Redovnost, ne jednokratnost — jedno predavanje godišnje se zaboravi za par nedelja; kratki, ponavljani moduli daju trajniji efekat;
• Simulacije fišinga — kontrolisano slanje lažnih fišing poruka zaposlenima pokazuje realno stanje, ne pretpostavku o njemu;
• Kultura prijavljivanja bez kažnjavanja — zaposleni koji strahuje od posledica neće prijaviti da je kliknuo na sumnjiv link, a to kašnjenje je često skuplje od same greške;
• Obuka prilagođena ulozi — rukovodstvo treba da razume rizik i odgovornost, IT osoblje tehničke procedure, a ostali zaposleni prepoznavanje fišinga i osnovnu higijenu lozinki.

Kako BDB pristupa ovome

Obuka zaposlenih je jedan od tri stuba InstantAkt usluge, uz analizu rizika i izradu Akta o bezbednosti IKT sistema — jer, kao što smo pisali u tekstu o tome koga angažovati za usklađivanje, dokument bez stvarno obučenih ljudi iza njega ne štiti firmu — samo tako izgleda na papiru.