Prije samo nekoliko godina kibernetička sigurnost bila je tema koju su direktori uglavnom prepuštali IT odjelima. Danas takav pristup postaje sve rizičniji. Razlog nije samo rast broja kibernetičkih napada. Digitalni sustavi postali su temelj poslovanja, a uspješan sigurnosni incident danas može zaustaviti proizvodnju, prekinuti pružanje usluga, uzrokovati financijske gubitke i ozbiljno narušiti ugled organizacije. Istovremeno, NIS2 direktiva i Zakon o kibernetičkoj sigurnosti dodatno naglašavaju odgovornost uprava za upravljanje kibernetičkim rizicima.

Drugim riječima, kibernetička sigurnost više nije isključivo tehnološko pitanje. Ona postaje pitanje upravljanja poslovanjem.

Kibernetička sigurnost više nije samo odgovornost IT odjela

U takvom okruženju sve više organizacija okreće se modelu virtualnog direktora informacijske sigurnosti, odnosno vCISO-u. Riječ je o iskusnom stručnjaku za informacijsku sigurnost koji organizaciji pruža strateško vodstvo bez potrebe za zapošljavanjem internog CISO-a na puno radno vrijeme. Za razliku od sigurnosnih inženjera ili administratora koji svakodnevno upravljaju sustavima i alatima, vCISO djeluje na strateškoj razini. Njegova je zadaća upravi pružiti jasan uvid u sigurnosne rizike, definirati prioritete, uspostaviti procese upravljanja sigurnošću, pratiti regulatorne zahtjeve i pomoći pri donošenju odluka koje utječu na otpornost poslovanja.

Vrijednost takvog pristupa najbolje se vidi u komunikaciji s menadžmentom. Umjesto tehničkih izvještaja o ranjivostima i sigurnosnim propustima, uprava dobiva odgovore na pitanja koja izravno utječu na poslovanje, poput koji su najveći rizici za organizaciju, koliko je tvrtka spremna za sigurnosni incident, gdje postoji regulatorna izloženost te koja ulaganja donose najveći učinak u smanjenju rizika.

Virtualni CISO kao poveznica između uprave i sigurnosnih rizika

Interes za ovakav model raste i zbog nedostatka stručnjaka. Prema podacima organizacije ISC², globalno nedostaje više od četiri milijuna stručnjaka za kibernetičku sigurnost. Istovremeno, prema IBM-ovu izvještaju Cost of a Data Breach Report 2024, prosječni trošak povrede podataka doseže gotovo 4,9 milijuna američkih dolara. Za mnoge organizacije to stvara dvostruki izazov. S jedne strane moraju povećavati razinu sigurnosti i usklađivati poslovanje s regulatornim zahtjevima. S druge strane teško pronalaze ili financiraju iskusne stručnjake koji bi vodili taj proces. Upravo zato vCISO model postaje sve popularniji jer omogućuje pristup ekspertizi i iskustvu koje bi inače bilo teško osigurati unutar vlastite organizacije.

No strategija bez operativnih kapaciteta ostaje samo namjera. vCISO može identificirati rizike, postaviti prioritete i definirati što treba zaštititi, ali netko mora i aktivno pratiti što se događa u mrežama, pravovremeno otkrivati prijetnje i reagirati prije nego što incident postane kriza. Upravo tu ulazi sigurnosni operativni centar (SOC) kao logična operativna nadopuna strateškoj funkciji vCISO-a. Uz to, ozbiljan sigurnosni program zahtijeva i sustavno upravljanje ranjivostima, zaštitu krajnjih uređaja, otpornost na DDoS napade i sposobnost nastavka poslovanja u slučaju incidenta.

Od strategije do operativne zaštite: zašto raste važnost vCISO modela

Upravo iz tog razloga A1 Hrvatska razvila je vCISO uslugu kao dio šireg portfelja kibernetičke sigurnosti. Organizacijama su na raspolaganju stručnjaci za upravljanje sigurnošću, A1 SOC, vlastiti podatkovni centri, cloud infrastruktura te sigurnosna rješenja koja povezuju stratešku i operativnu razinu zaštite. Takav pristup posebno je važan u vremenu kada regulatorni zahtjevi postaju sve stroži, a prijetnje sve sofisticiranije. Organizacije više ne trebaju samo tehnologiju koja ih štiti, već i stručnjake koji mogu procijeniti rizike, postaviti prioritete i pomoći upravi da donosi informirane odluke.

Stoga virtualni CISO nije tek još jedna nova sigurnosna usluga. On je pokazatelj šire promjene u načinu na koji organizacije promatraju kibernetičku sigurnost. Ne kao tehnički problem kojim se bavi isključivo IT odjel, nego kao poslovnu funkciju koja izravno utječe na otpornost, konkurentnost i dugoročni razvoj organizacije.