Обука запослених: најслабија и најјача карика у сајбер безбедности

Фирме редовно улажу у „firewall“, антивирус, резервне копије и енкрипцију — а онда један запослени кликне на погрешан линк и све те техничке мере постану небитне. То није претеривање, већ најбоље документована чињеница у сајбер безбедности: човек је, у исто време, и најслабија и најјача карика у одбрани од напада.

Шта показују бројке

Према Verizon Data Breach Investigations Report 2025 — једном од најцитиранијих глобалних извештаја о безбедносним инцидентима — око 60% свих потврђених упада укључује људски фактор: грешку, манипулацију или злоупотребу. Конкретно, 22% упада почиње злоупотребом креденцијала, а 16% фишинг нападом. То се поклапа и са оним што смо писали у тексту о статистици сајбер напада у Србији — Национални ЦЕРТ изричито наводи да напади социјалног инжењеринга "користе људску психологију и подложност манипулацијама", а број фишинг напада је у 2025. години порастао за око 255% у односу на годину раније.

Зашто је човек "најслабија карика"

Техничка одбрана је, упркос свим улагањима, само онолико јака колико и најслабија тачка приступа. Нападачу је често лакше преварити запосленог да открије лозинку или кликне на заражени прилог него пробити добро подешен „firewall“. Зато су фишинг и социјални инжењеринг данас доминантан начин упада — не зато што су технички софистицирани, већ зато што циљају нешто што ниједна технологија сама по себи не може да закрпи: људску пажњу у журном радном дану.

Зашто је човек и "најјача карика"

Овде долази занимљив налаз из истог Verizon извештаја: обука не мора нужно да сведе број кликова на фишинг тест на нулу — то је нереално очекивање. Оно што обука реално мења јесте да се пријављивање сумњивих порука учетворостручило након спроведене обуке. Другим речима, циљ добре обуке није да створи непогрешиве запослене, већ да од сваког запосленог направи раног сензора који пријави сумњу пре него што се претвори у инцидент. Запослени који препозна и пријави фишинг поруку у том тренутку постаје део одбране, а не њена слаба тачка.

Шта захтева NIS2 регулатива

Европска NIS2 директива — са којом је усклађен и наш нови Закон о информационој безбедности — обуку запослених не третира као опцију, већ као једну од основних, обавезних мера управљања ризиком. Директива изричито тражи:

• да чланови руководства прођу обуку довољну да препознају и процене сајбер ризике;
• да се слична обука редовно нуди и свим запосленима, не само ИТ сектору;
• основну "сајбер хигијену" — јаке лозинке, вишефакторску аутентификацију, редовна ажурирања — као део исте, обавезне мере.

Ово се у потпуности поклапа са оним што домаћи закон већ тражи кроз Акт о безбедности ИКТ система — редовну обуку запослених као саставни, а не декоративни део усклађености.

Најбоље праксе — шта заправо функционише

• Редовност, не једнократност — једно предавање годишње се заборави за пар недеља; кратки, понављани модули дају трајнији ефекат;
• Симулације фишинга — контролисано слање лажних фишинг порука запосленима показује реално стање, не претпоставку о њему;
• Култура пријављивања без кажњавања — запослени који страхује од последица неће пријавити да је кликнуо на сумњив линк, а то кашњење је често скупље од саме грешке;
• Обука прилагођена улози — руководство треба да разуме ризик и одговорност, ИТ особље техничке процедуре, а остали запослени препознавање фишинга и основну хигијену лозинки.

Како БДБ приступа овоме

Обука запослених је један од три стуба ИнстантАкт услуге, уз анализу ризика и израду Акта о безбедности ИКТ система — јер, као што смо писали у тексту о томе кога ангажовати за усклађивање, документ без стварно обучених људи иза њега не штити фирму — само тако изгледа на папиру.