Kibernetička sigurnost · NIS2
NIS2 od vaše tvrtke traži da znate kako su vaši podaci zaštićeni — a ne samo da jesu. Ovdje je, bez žargona, svaki sloj između interneta i vaše baze u okruženju koje održava Infokom, mjera iz NIS2 direktive koja stoji iza njega i ono što ostaje vama.
Opisane mjere odnose se na okruženje koje održava Infokom.
Ukratko
Sigurnost se ne opisuje pridjevima, nego onim što se može izmjeriti. Ovo su vrijednosti s produkcijske konfiguracije poslužitelja koje održava Infokom.
Kako to izgleda u praksi
Svaki sloj mora propustiti zahtjev. Ako ga ne propusti, za sljedeći sloj taj zahtjev nikad nije ni postojao — zato nijedan sloj sam po sebi nije cijela obrana.
otvara NextStep
Stiže do Odooa i vaše baze
traži otvorena vrata
Zaustavlja: vatrozid
slučajno, iznutra
Zaustavlja: dopušteni portovi
točna, ali tuđa
Zaustavlja: prijava
Ukradenu lozinku zaustavlja drugi faktor prijave — zato je uključena dvofaktorska prijava važan dio zaštite.
Umjetna inteligencija u sustavu
InfoBot nema vlastiti pristup podacima. Radi u sustavu NextStep s ovlastima djelatnika koji ga je pitao i vidi točno ono što vidi i taj djelatnik.
Jezični model nikad ne razgovara izravno s bazom: dobiva pitanje i podatke potrebne za odgovor, samo u granicama ovlasti djelatnika koji pita.
InfoBot ne zaobilazi ovlasti ni dogovorenu konfiguraciju: što djelatnik u sustavu ne smije vidjeti, ne vidi ni kroz AI pomoć.
Jezični model nema vlastiti pristup vašim podacima. Dobiva samo ono što mu sustav pošalje za konkretan odgovor.
Pitanje i podaci potrebni za odgovor prema jezičnom modelu idu zasebnom šifriranom vezom.
InfoBot je dodatni sloj pomoći i pristupa informacijama. Ne donosi poslovne odluke umjesto odgovornih osoba.
Što NIS2 traži
NIS2 je Direktiva (EU) 2022/2555. U Hrvatskoj je provode Zakon o kibernetičkoj sigurnosti (NN 14/2024) i Uredba o kibernetičkoj sigurnosti (NN 135/2024). Obveze imaju ključni i važni subjekti.
Upravljačka tijela odobravaju mjere upravljanja kibersigurnosnim rizicima, nadziru njihovu provedbu i moraju pohađati osposobljavanje.
Od analize rizika do višefaktorske provjere autentičnosti. Mjere moraju biti razmjerne izloženosti, veličini tvrtke i ozbiljnosti mogućih incidenata.
Pri procjeni lanca opskrbe subjekt uzima u obzir kibersigurnosnu praksu svojih izravnih dobavljača i pružatelja usluga — uključujući pružatelja vašeg poslovnog sustava.
Rano upozorenje, obavijest o incidentu i završno izvješće nadležnom CSIRT-u ili tijelu — rokovi su prikazani ispod.
Od trenutka saznanja za značajan incident, uz naznaku sumnje na zlonamjerno djelovanje.
Početna procjena ozbiljnosti i učinka te, ako su dostupni, pokazatelji ugroženosti.
Opis incidenta, vjerojatni uzrok i provedene mjere — najkasnije mjesec dana nakon obavijesti.
Izvor: Direktiva (EU) 2022/2555, članci 20., 21. i 23. (službeni tekst na hrvatskom, EUR-Lex).
Mjera po mjera
Direktiva nabraja deset područja koja svaka obveznica mora pokriti. Za svako: što radimo mi u okruženju koje održavamo, što se može provjeriti — i koji dio ostaje vašoj tvrtki.
Direktiva: politike analize rizika i sigurnosti informacijskih sustava
Svaki poslužitelj koji održavamo postavljamo po istom pisanom standardu. Vatrozid po zadanom odbija sve, a otvara se samo ono što je izričito navedeno.
isti pisani standard za svaki poslužitelj koji održavamo; opis za vaše okruženje na zahtjev
Vaš dio: procjena rizika vaše tvrtke i odluka uprave o mjerama.
Direktiva: postupanje s incidentima
Neuspjeli pokušaji prijave se broje, a izvor se nakon nekoliko pokušaja automatski blokira. Svaki pristup ostaje zapisan, s imenom i vremenom.
automatsko blokiranje nakon neuspjelih pokušaja prijave; zapis svakog pristupa
Vaš dio: prijava značajnog incidenta nadležnom tijelu u rokovima 24 h / 72 h / 1 mjesec; rokove međusobnog obavještavanja dogovorite s nama ugovorom.
Direktiva: kontinuitet poslovanja, kao što je upravljanje sigurnosnim kopijama i oporavak od katastrofe, te upravljanje krizama
Oporavak ne vježbamo na papiru: prije veće nadogradnje bazu vraćamo iz sigurnosne kopije i provjeravamo da sustav doista radi.
oporavak iz sigurnosne kopije provjerava se prije veće nadogradnje
Vaš dio: plan kontinuiteta poslovanja i upravljanje krizama u vašoj tvrtki.
Direktiva: sigurnost lanca opskrbe, uključujući odnose s izravnim dobavljačima
Ne preuzimamo automatski „najnoviju” verziju softvera u trenutku instalacije. Komponente uvodimo u provjerenim verzijama, a nadogradnje prvo provodimo na probnom okruženju.
popis komponenti i verzija za vaše okruženje — dostupan na zahtjev
Vaš dio: Infokom je dio vašeg lanca opskrbe: uključite nas u procjenu dobavljača.
Direktiva: sigurnost u nabavi, razvoju i održavanju mrežnih i informacijskih sustava, uključujući rješavanje ranjivosti
Sigurnosne zakrpe instaliraju se automatski, bez čekanja na slobodan termin. Nadogradnje se u cijelosti provedu na probnom okruženju, nikad prvi put na vašem.
automatske sigurnosne zakrpe; nadogradnje prvo na probnom okruženju
Vaš dio: sigurnost uređaja i ostalih sustava koje vaša tvrtka koristi uz NextStep.
Direktiva: politike i postupci za procjenu djelotvornosti mjera
Zaštitu provjeravamo izvana umjesto da je pretpostavljamo: pokušamo se spojiti zastarjelim protokolom i provjerimo da ga poslužitelj doista odbija.
provjera izvana; rezultate provjera možete zatražiti
Vaš dio: vaše interne provjere i revizije; rezultate naših provjera možete zatražiti.
Direktiva: osnovne prakse kiberhigijene i osposobljavanje o kibersigurnosti
Na poslužitelje se ne prijavljuje lozinkom: administrativni pristup moguć je isključivo SSH ključevima.
prijava lozinkom na poslužitelj isključena
Vaš dio: osposobljavanje vaših zaposlenika i uprave te pravila za lozinke u vašoj tvrtki.
Direktiva: politike i postupci u pogledu kriptografije i, prema potrebi, kriptiranja
Promet između preglednika i poslužitelja šifriran je modernim protokolom TLS. Administrativni pristup moguć je isključivo SSH ključevima.
TLS 1.2 / 1.3 za promet preglednika; administracija samo SSH ključevima
Vaš dio: šifriranje uređaja i medija na kojima vaši ljudi čuvaju poslovne podatke.
Direktiva: sigurnost ljudskih resursa, politike kontrole pristupa i upravljanje imovinom
Odoo radi bez administratorskih ovlasti na poslužitelju, a baza nije izložena internetu. U aplikaciji djelatnik vidi samo ono što mu pravila pristupa dopuštaju.
aplikacija bez root ovlasti; baza bez javnog porta
Vaš dio: tko u vašoj tvrtki dobiva koje ovlasti i kako se oduzimaju pri promjeni posla ili odlasku.
Direktiva: višefaktorska ili kontinuirana provjera autentičnosti te zaštićena glasovna, video i tekstualna komunikacija
Odoo 19 ima ugrađenu dvofaktorsku prijavu (kod iz aplikacije za autentifikaciju) i prijavu passkeyjem — otiskom prsta ili licem, koju se phishingom ne može ukrasti. Uključujemo je i postavljamo prema vašoj politici, i za sve korisnike.
moduli auth_totp i auth_passkey u Odoo 19; obvezna 2FA uključuje se u postavkama
Vaš dio: odluka da se dvofaktorska prijava uključi za sve korisnike; zaštićena komunikacija unutar tvrtke.
Podijeljena odgovornost
NIS2 nema certifikat koji se kupi s proizvodom. Obveza ostaje na vašoj tvrtki, a pružatelj poslovnog sustava dio je vašeg lanca opskrbe. Ova podjela pomaže da obje strane znaju svoj dio.
Radi li NextStep na vašim serverima ili u vašem privatnom cloudu, mjere na razini poslužitelja ovise o toj infrastrukturi. Isti standard možemo primijeniti i ondje kada nam povjerite njezino održavanje.
Česta pitanja
Ne postoji certifikat proizvoda s kojim tvrtka automatski postaje usklađena s NIS2. Obveza je na tvrtki koja je ključni ili važni subjekt; mi pokrivamo mjere na našoj strani i dajemo vam podatke za vašu procjenu rizika.
U Hrvatskoj NIS2 provode Zakon o kibernetičkoj sigurnosti (NN 14/2024) i Uredba o kibernetičkoj sigurnosti (NN 135/2024), a obveze imaju ključni i važni subjekti. I kad vaša tvrtka nije obveznik, kupci koji jesu mogu od vas tražiti podatke o vašim dobavljačima.
Tada mjere na razini poslužitelja ovise o vašoj infrastrukturi i timu koji je održava. Mjere unutar aplikacije — ovlasti, dvofaktorska prijava, passkeyji — vrijede jednako.
InfoBot jezičnom modelu šalje pitanje i podatke potrebne za odgovor, unutar onoga što djelatnik koji pita smije vidjeti. Model nema vlastiti pristup vašoj bazi.
U Odoo 19 dvofaktorska prijava uključuje se u postavkama sustava, za sve korisnike ili samo za zaposlenike. Uključujemo je i postavljamo prema vašoj politici.
Možete. Zatražite ga putem stranice Kontakt, a za vaše okruženje pripremit ćemo opis mjera i vrijednosti koje se mogu provjeriti.
Opisane mjere odnose se na okruženje koje održava Infokom. Pravni izvori: Direktiva (EU) 2022/2555, Zakon o kibernetičkoj sigurnosti (NN 14/2024), Uredba o kibernetičkoj sigurnosti (NN 135/2024).
Sljedeći korak
Zatražite opis sigurnosnih mjera za okruženje vašeg sustava NextStep ili razgovor o tome što NIS2 znači za vašu tvrtku i vaše dobavljače.