Šta je informaciona bezbednost? Definicija, ciljevi i mere zaštite

Informaciona bezbednost (u stručnoj literaturi i pod nazivom bezbednost informacija) bavi se zaštitom informacija i sistema koji ih obrađuju — od neovlašćenog pristupa, izmene, gubitka i ispada. Nije samo IT tema: odnosi se na ljude, procedure, prostor i tehnologiju, i podjednako važi za banku, bolnicu i malu firmu sa nekoliko računara.

Definicija informacione bezbednosti prema zakonu

Zakon o informacionoj bezbednosti („Sl. glasnik RS“, br. 91/2025) u članu 2 definiše informacionu bezbednost kao sposobnost informaciono-komunikacionih sistema i mreža da se odupru i/ili ublaže, uz određeni stepen pouzdanosti, svaki događaj koji bi mogao da ugrozi raspoloživost, integritet, autentičnost, neporecivost i poverljivost podataka koji se čuvaju, prenose ili obrađuju, kao i usluga koje se pružaju putem tog sistema. Drugim rečima: cilj nije „nikada ne biti napadnut“, već biti u stanju da se napad spreči, ublaži i da se sistem oporavi.

Pet osnovnih svojstava

Definicija navodi pet svojstava podataka i sistema koja štitimo:

• Poverljivost — informacije su dostupne samo ovlašćenim licima (npr. ugovori, lični podaci klijenata);
• Integritet — podaci nisu neovlašćeno promenjeni ili uništeni (npr. niko nije izmenio broj računa na fakturi);
• Raspoloživost — sistem i podaci dostupni su kada su potrebni (npr. sistem ne staje zbog ransomver napada);
• Autentičnost — može se proveriti da je informaciju stvorio ili poslao onaj za koga se tvrdi (npr. poruka „direktora“ zaista dolazi od direktora);
• Neporecivost — može se dokazati da se određena radnja dogodila, tako da je naknadno nije moguće poreći.

Prva tri svojstva (poverljivost, integritet, raspoloživost) često se nazivaju osnovnom trijadom informacione bezbednosti. Zato nijedna mera zaštite nije dovoljna sama za sebe — o tome smo pisali u tekstu zašto ni savršen backup nije dovoljan: rezervna kopija štiti raspoloživost, ali ne i poverljivost.

Informaciona bezbednost, sajber bezbednost i zaštita podataka o ličnosti

Ovi pojmovi se često mešaju, a nisu isto. Informaciona bezbednost je najširi pojam — štiti sve informacije, u digitalnom i papirnom obliku. Sajber bezbednost je njen deo koji se odnosi na zaštitu od pretnji iz sajber prostora, poput fišinga i ransomvera (o trendovima smo pisali u tekstu o sajber napadima u Srbiji). Zaštita podataka o ličnosti uređena je posebnim zakonom i usmerena je na prava lica čiji se podaci obrađuju; mere koje se primenjuju u praksi se u velikoj meri preklapaju sa merama informacione bezbednosti.

Tri nivoa zaštite i primeri mera

Zakon polazi od načela sveobuhvatne zaštite — mere se primenjuju na organizacionom, fizičkom i tehničko-tehnološkom nivou. Član 10 zakona nabraja veliki broj mera, među kojima su:

• organizacione — jasne odgovornosti, klasifikacija podataka i obuka zaposlenih (o tome smo pisali u tekstu o obuci zaposlenih);
• fizičke — zaštita prostorija i opreme u kojima se nalaze sistemi i dokumenta;
• tehničke — ograničenje i kontrola pristupa, kriptografske kontrole (enkripcija), zaštita od zlonamernog softvera, praćenje ranjivosti, redovne rezervne kopije i čuvanje zapisa o događajima.

Nijedna od njih pojedinačno ne zaustavlja sve napade, što najbolje pokazuje primer zero-day napada — zato se mere kombinuju, a izbor i nivo primene zasnivaju na proceni rizika.

Politika informacione bezbednosti i akti koje zakon traži

U praksi se često govori o politici informacione bezbednosti — dokumentu kojim rukovodstvo utvrđuje ciljeve i osnovna pravila; zahteva je, na primer, standard ISO/IEC 27001. Zakon za operatore IKT sistema od posebnog značaja traži dva akta: Akt o proceni rizika i Akt o bezbednosti IKT sistema, koji se zasniva na proceni rizika i određuje mere zaštite, procedure i odgovornosti. Detaljnije o tome pišemo u tekstu o analizi i proceni rizika i o podzakonskim aktima.

Zašto je to važno za firmu

Informaciona bezbednost nije trošak koji se „prepusti IT-ju“ — odgovornost za donošenje akata je, prema metodologiji za procenu rizika, na organu upravljanja firme. Firme koje su obveznici zakona imaju jasne rokove i kazne, a sve ostale imaju isti realan rizik: napadači ne biraju po veličini. Ako niste sigurni gde vaša firma stoji, prvi korak je procena rizika.