Ste pripravljeni na inšpekcijski nadzor po ZInfV-1 in ZVOP-2?

Najnovejša varnostna raziskava je razkrila kritično ranljivost slovenskega javnega sektorja. Kar 80 % domen javnih organizacij, vpisanih v register RZIJZ, nima ustrezno urejenih varnostnih nastavitev, kar napadalcem omogoča neovirano krajo identitete. Prevaranti lahko v vašem imenu pošiljajo lažne račune, ki so videti povsem legitimni, kar organizacije letno stane milijone evrov in povzroča nepopravljivo škodo ugledu.

Ransomware napadi ne povzroči le zaklepa podatkov, ampak ohromi delovanje občin, zdravstva in organizacij, kar ob pomanjkljivi dokumentaciji vodi v neposredno odgovornost vodstva.

Čeprav je novi Zakon o informacijski varnosti ZInfV-1 v veljavi že skoraj leto dni, se številni subjekti še vedno soočajo s pomanjkljivimi varnostnimi politikami. Danes nadzorni organi, Inšpekcija za informacijsko varnost in Informacijski pooblaščenec, ne preverjajo več le tehnične zaščite, temveč predvsem ustreznost vaše dokumentacije in dokazil o usposobljenosti zaposlenih. Odsotnost formalnih protokolov in varnostnih politik ne pomeni le povečanega tveganja za napad. Prihajajo tudi visoke globe zaradi neskladnosti.

Ne čakajte, da pomanjkljivosti odkrije inšpektor ali spletni prevarant. Pomagamo vam vzpostaviti skladen sistem varnostnih politik in pripraviti vašo organizacijo na način, ki je preverljiv tudi za nadzorne organe. Začnite z brezplačnim pregledom trenutnega stanja in zavarujte svojo digitalno identiteto še danes.

Ne glede na velikost bi moralo vsako podjetje ali organizacija imeti jasno določeno varnostno politiko ter nadzor nad informacijskimi sistemi in IT-osebjem. Nova zakonodaja, ZInfV-1, pa uvaja še posebne zahteve informacijske varnosti za večje organizacije oziroma za t. i. bistvene in pomembne subjekte. Ali vaše podjetje izvaja storitve, pomembne za delovanje države – npr. v transportu, dobavni verigi, energetiki ali zdravstvu? Če je odgovor “da”, potem skladnost z ZInfV-1 je zakonska obveznost. > ZInfV-1 obveznosti začnejo veljati — roki za samoregistracijo tečejo. Preverite svojo skladnost danes.

Pomagali vam bomo razporediti odgovornosti med obstoječim osebjem na podlagi skladne in preverljive politike varnosti. Ne glede na to, ali imate notranji ali zunanji IT-oddelek, mora biti njegova dejavnost pod nadzorom informacijske varnosti. Saj lahko tudi IT, če ni ustrezno nadzorovan in revidiran, sam postane vir tveganj.

IT proti kibernetski varnosti: ključna razlika

Številne organizacije domnevajo, da imeti oddelek za IT pomeni, da so varne. To je nevarno zmotno prepričanje. IT in kibernetska varnost (infosec) sta povezani, a v osnovi različni funkciji z različnimi cilji, odgovornostmi in tveganji. Če ju enačimo, lahko organizacijo izpostavimo ranljivostim, kršitvam skladnosti in škodi ugledu - zlasti v strogi regulativni okolju EU.

IT ekipe se osredotočajo na delovanje sistemov, vzdrževanje infrastrukture in podporo uporabnikom, da zagotavljajo operativno učinkovitost. Kibernetska varnost pa je namenjena zaščiti digitalnih sredstev, zagotavljanju neprekinjenega poslovanja, upravljanju tveganj in ohranjanju skladnosti z zakonodajo, kot sta GDPR in Direktiva NIS2. Čeprav se funkciji prekrivata, nista zamenljivi.

IT pogosto daje prednost delovanju in funkcionalnosti, kar lahko vodi v varnostne vrzeli. Na primer, skrbnik IT lahko odloži nameščanje popravkov sistema, da bi preprečil izpad, ranljivosti pa ostanejo neobravnavane.

V EU je ta ločnica ključna. GDPR nalaga robustno varstvo podatkov, z globami do 20 milijonov evrov ali 4 % letnega svetovnega prometa za neskladnost. NIS2 zahteva, da bistveni subjekti izvajajo upravljanje tveganj in poročanje o incidentih - obveznosti, ki jih IT ekipe morda ne morejo zagotoviti brez specializiranega znanja.

ISO/IEC 27001: zakaj je ločevanje pomembno

Po standardu ISO/IEC 27001 mora biti kibernetska varnost upravljana neodvisno, da se prepreči navzkrižje interesov. Dodelitev IT osebja upravljanju in varovanju sistemov lahko privede do spregledov in tveganj. Primer: IT specialist lahko zaobide pravilo požarnega zidu, da reši težavo z omrežjem, kar spodkopava varnostne kontrole. Klavzula 5.3 standarda ISO/IEC 27001 poudarja ločevanje nalog, zagotavljanje neodvisnih ocen tveganj in skladnost s kontrolami.

Tveganja zunanjega izvajanja in napačnega predstavljanja

Mala in srednja podjetja pogosto oddajo IT v zunanje izvajanje, kjer ponudniki dajejo prednost stroškom pred varnostjo. Iz prakse: odvetniška pisarna je verjela, da je njihov e-poštni sistem samostojno gostovan in varen. Revizija je razkrila, da so uporabljali poceni spletno poštno storitev v ZDA, kar jih je izpostavilo kršitvam GDPR in drugemu regulativnemu tveganju.

Prihajajoči predpisi, kot so DORA in CRA, še dodatno krepijo zahteve po nadzoru nad zunanjimi ponudniki IT in skladnosti digitalnih produktov z evropskimi standardi.

Potreba po namenski kibernetski varnosti

Kibernetska varnost je strateška upravljavska funkcija, ne dodatek IT. EU predpisi zahtevajo:

Namenski nadzor in usposabljanje osebja (člen 39 GDPR).
Redne zunanje revizije po ISO/IEC 27001 in smernicah ENISA, da odkrijemo vrzeli in neskladja.
Strukturirane kontrole in okviri (NIST, CIS Controls) za celovito upravljanje tveganj.
Suverenost podatkov (npr. EU Gaia-X), da se zmanjša odvisnost od ponudnikov zunaj EU.

Praktični koraki za zaščito organizacije

Imenujte vodjo kibernetske varnosti ali angažirajte zunanjega strokovnjaka.
Preverite IT izvajalce - skladnost z GDPR, NIS2, ISO 27001 standardnimi pogodbami o prenosu podatkov.
Izvajajte redne revizije - penetracijsko testiranje, ocene ranljivosti.
Implementirajte večplastno varnost - MFA, šifriranje, zaznavanje končnih točk.
Izkoristite vire EU - smernice nacionalnih agencij za kibernetsko varnost.

Oddelku za IT ni mogoče slepo zaupati upravljanja kibernetske varnosti. Brez namenskih ukrepov, revizij, usposabljanja in strukturiranega nadzora, vaša organizacija tvega kršitve, globe in škodo za ugled.

Investirajte v kibernetsko varnost - zaščitite svoje podjetje, zagotovite skladnost in ohranite zaupanje.

Za pomoč nudimo:

Zunanje usposabljanje zaposlenih v podjetjih po EU standardih.
Neodvisne IT in kibernetske revizije, ki odkrijejo ranljivosti in neskladja.

Kontaktirajte nas še danes in si zagotovite termin.

Informacijski pooblaščenec in URSIV preverjata dokumentacijo, ne le sisteme. Ste pripravljeni?

ZInfV-1 zahteva dokazljivo usposabljanje zaposlenih — evidence udeležbe so med prvimi dokumenti, ki jih preveri inšpekcija. Naš praktičen tečaj (prilagojen vaši organizaciji) pokrije zakonsko obveznost in zgradi varnostno kulturo v enem koraku. Pridobite ponudbo za vašo organizacijo →

clanek028