Шта је информациона безбедност? Дефиниција, циљеви и мере заштите

Информациона безбедност (у стручној литератури и под називом безбедност информација) бави се заштитом информација и система који их обрађују — од неовлашћеног приступа, измене, губитка и испада. Није само ИТ тема: односи се на људе, процедуре, простор и технологију, и подједнако важи за банку, болницу и малу фирму са неколико рачунара.

Дефиниција информационе безбедности према закону

Закон о информационој безбедности („Сл. гласник РС“, бр. 91/2025) у члану 2 дефинише информациону безбедност као способност информационо-комуникационих система и мрежа да се одупру и/или ублаже, уз одређени степен поузданости, сваки догађај који би могао да угрози расположивост, интегритет, аутентичност, непорецивост и поверљивост података који се чувају, преносе или обрађују, као и услуга које се пружају путем тог система. Другим речима: циљ није „никада не бити нападнут“, већ бити у стању да се напад спречи, ублажи и да се систем опорави.

Пет основних својстава

Дефиниција наводи пет својстава података и система која штитимо:

• Поверљивост — информације су доступне само овлашћеним лицима (нпр. уговори, лични подаци клијената);
• Интегритет — подаци нису неовлашћено промењени или уништени (нпр. нико није изменио број рачуна на фактури);
• Расположивост — систем и подаци доступни су када су потребни (нпр. систем не стаје због рансомвер напада);
• Аутентичност — може се проверити да је информацију створио или послао онај за кога се тврди (нпр. порука „директора“ заиста долази од директора);
• Непорецивост — може се доказати да се одређена радња догодила, тако да је накнадно није могуће порећи.

Прва три својства (поверљивост, интегритет, расположивост) често се називају основном тријадом информационе безбедности. Зато ниједна мера заштите није довољна сама за себе — о томе смо писали у тексту зашто ни савршен „backup“ није довољан: резервна копија штити расположивост, али не и поверљивост.

Информациона безбедност, сајбер безбедност и заштита података о личности

Ови појмови се често мешају, а нису исто. Информациона безбедност је најшири појам — штити све информације, у дигиталном и папирном облику. Сајбер безбедност је њен део који се односи на заштиту од претњи из сајбер простора, попут фишинга и рансомвера (о трендовима смо писали у тексту о сајбер нападима у Србији). Заштита података о личности уређена је посебним законом и усмерена је на права лица чији се подаци обрађују; мере које се примењују у пракси се у великој мери преклапају са мерама информационе безбедности.

Три нивоа заштите и примери мера

Закон полази од начела свеобухватне заштите — мере се примењују на организационом, физичком и техничко-технолошком нивоу. Члан 10 закона набраја велики број мера, међу којима су:

• организационе — јасне одговорности, класификација података и обука запослених (о томе смо писали у тексту о обуци запослених);
• физичке — заштита просторија и опреме у којима се налазе системи и документа;
• техничке — ограничење и контрола приступа, криптографске контроле (енкрипција), заштита од злонамерног софтвера, праћење рањивости, редовне резервне копије и чување записа о догађајима.

Ниједна од њих појединачно не зауставља све нападе, што најбоље показује пример „zero-day“ напада — зато се мере комбинују, а избор и ниво примене заснивају на процени ризика.

Политика информационе безбедности и акти које закон тражи

У пракси се често говори о политици информационе безбедности — документу којим руководство утврђује циљеве и основна правила; захтева је, на пример, стандард ISO/IEC 27001. Закон за операторе ИКТ система од посебног значаја тражи два акта: Акт о процени ризика и Акт о безбедности ИКТ система, који се заснива на процени ризика и одређује мере заштите, процедуре и одговорности. Детаљније о томе пишемо у тексту о анализи и процени ризика и о подзаконским актима.

Зашто је то важно за фирму

Информациона безбедност није трошак који се „препусти ИТ-ју“ — одговорност за доношење аката је, према методологији за процену ризика, на органу управљања фирме. Фирме које су обвезници закона имају јасне рокове и казне, а све остале имају исти реалан ризик: нападачи не бирају по величини. Ако нисте сигурни где ваша фирма стоји, први корак је процена ризика.