Када фирма сазна да треба да се усклади са Законом о информационој безбедности, прво практично питање је — ко сме, односно ко би требало да изради анализу ризика, геп анализу и Акт о безбедности ИКТ система? Одговор није онолико једноставан колико би требало да буде, јер закон ту оставља простор који вреди разумети пре него што се ангажује било ко.
За разлику од неких других регулисаних делатности (на пример, ревизије финансијских извештаја, где је јасно прописано ко сме да потпише извештај), Закон о информационој безбедности прописује шта фирма мора да уради — анализу ризика, Акт о безбедности ИКТ система, мере заштите, обуку запослених, пријаву инцидената — али не прописује прецизно и строго ко сме да изради ту документацију. Не постоји јединствена, законом прописана лиценца без које документ аутоматски не би важио.
Да, уколико заиста има капацитет за то. Ако фирма има запослене који познају методологију анализе ризика, стандарде попут ISO 27001 и NIST оквира, и текст самог закона, нема формалне препреке да се посао уради интерно. У пракси, овакав капацитет имају углавном веће фирме са развијеним ИТ сектором — код малих и средњих предузећа то је реткост, па се посао по правилу поверава споља.
Управо зато што закон не прописује строгу лиценцу, на тржишту се појављују и фирме или појединци који нуде израду ових докумената без реалне експертизе у информационој безбедности. Проблем са оваквим ангажманом није само формалне природе — лоше урађена анализа ризика или Акт о безбедности ИКТ система значи да фирма на папиру изгледа усклађено, док је у стварности и даље изложена истим ризицима које смо описали у тексту о статистици сајбер напада. Горе од тога, ако се недостаци открију током инспекцијског надзора или ревизије — што смо видели и на примеру налаза Државне ревизорске институције — формално постојање документа не штити од одговорности ако се покаже да не одражава стварно стање.
Постоји један јасан, проверљив сигнал компетентности који закон ипак нуди: статус посебног ЦЕРТ-а. Посебан ЦЕРТ је правно лице, група правних лица или организациона јединица која је уписана у евиденцију посебних ЦЕРТ-ова при Националном ЦЕРТ-у Републике Србије. Упис у ту евиденцију није формалност — регулише га Правилник о ближим условима за упис у евиденцију посебних центара за превенцију безбедносних ризика у информационо-комуникационим системима, који прописује конкретне услове које правно лице мора да испуни да би било регистровано.
Другим речима, када ангажујете фирму која је регистрована као посебан ЦЕРТ, не ослањате се само на њену сопствену рекламу — њену оспособљеност је већ проверио надлежни државни орган, по прописаној процедури.
Комплетну, јавно доступну евиденцију регистрованих посебних ЦЕРТ-ова у Србији можете проверити на званичном сајту Националног ЦЕРТ-а: cert.rs/rs/evidencija-certova.html.
Биро за дигиталну безбедност послује као регистрован посебан ЦЕРТ (БДБ-ЦЕРТ), што можете проверити на страници О нама и директно у евиденцији Националног ЦЕРТ-а.
Овај текст је информативног карактера и не представља правни савет. За тумачење конкретних законских обавеза ваше фирме, контактирајте наш тим или надлежног правника.