Kibernetička bezbednost počinje identitetom firme

Kibernetička bezbednost ne počinje tehnologijom, već poverenjem

Kibernetička bezbednost se često opisuje kao tehnički izazov. Zaštitni zidovi, kontrole pristupa, sistemi za nadzor i alati za odgovor na incidente obično dominiraju u diskusiji. Mada su ove mere neophodne, kibernetička bezbednost zapravo ne počinje od njih. U praksi, sve počinje mnogo ranije — u trenutku kada organizacija odluči s kim poslovno sarađuje. Savremeno poslovanje je duboko povezano. Kompanije se oslanjaju na eksterne pružaoce usluga, dobavljače, finansijske posrednike i partnere iz drugih zemalja. Svaka veza stvara operativnu vrednost, ali i uvodi rizik. Kada je identitet poslovnog partnera nejasan, zastareo ili se teško može proveriti, postaje nemoguće pouzdano proceniti taj rizik. Kibernetička bezbednost se temelji na poverenju. A poverenje počinje saznanjem s kim zapravo poslujete.

Zašto sama tehnička bezbednost više nije dovoljna

Tehničke bezbednosne kontrole su osmišljene da zaštite sisteme, ali one pretpostavljaju da je pristup dodeljen odgovarajućim subjektima. Ako se pristup dodeli pogrešnoj organizaciji — ili organizaciji čija pozadina nije dobro poznata — čak i snažne tehničke kontrole mogu propustiti da spreče štetu. Mnogi ozbiljni bezbednosni incidenti ne potiču od direktnih napada na sisteme, već od zloupotrebe odnosa poverenja. Kada napadač deluje preko naizgled legitimnog partnera, dobavljača ili podizvođača, tehnička odbrana postaje znatno manje efikasna. Ovo pomera ključno pitanje sa „Kako da zaštitimo svoje sisteme?“ na „Kome bismo uopšte trebali da poverimo pristup?“

Rizik od trećih strana kao centralno pitanje kibernetičke bezbednosti

Sve veći deo bezbednosnih i operativnih rizika potiče od trećih strana. To mogu biti dobavljači, IT pružaoci usluga, obrađivači plaćanja, logistički partneri ili eksternalizovane funkcije podrške. Svaka treća strana postaje deo proširenog digitalnog perimetra organizacije. Rizik od trećih strana nije ograničen samo na softverske propuste ili nebezbednu infrastrukturu. On takođe uključuje:

• nejasan pravni status
• netransparentne vlasničke strukture
• neusklađene ili zastarele podatke iz registra
• teškoće u utvrđivanju odgovornosti

Da bi efikasno upravljale ovim rizicima, organizacije se oslanjaju na strukturirane procese verifikacije, uključujući KYC proveru i verifikaciju poslovnih subjekata
Kada organizacija ne može jasno identifikovati svoje ugovorne strane, bezbednosni rizici i rizici usklađenosti značajno rastu.

Pravac regulative: pristup zasnovan na riziku i identitetu

U različitim jurisdikcijama, regulatorni okviri se sve više okreću pristupu kibernetičkoj bezbednosti zasnovanom na riziku i identitetu. Umesto propisivanja konkretnih tehničkih kontrola, regulatori sve više očekuju da organizacije razumeju i upravljaju rizicima u celokupnom operativnom okruženju, uključujući dobavljače i pružaoce usluga.

U Evropskoj uniji, ova promena se jasno ogleda u Direktivi NIS2 i zahtevima kibernetičke bezbednosti Za zvanični pravni okvir, pogledajte Direktivu NIS2

Mada se okviri širom sveta razlikuju, osnovno očekivanje je isto: organizacije moraju biti u stanju da dokažu da znaju na koga se oslanjaju i kako ti odnosi utiču na njihovu bezbednosnu poziciju.

Identitet poslovnog subjekta kao temelj kibernetičke bezbednosti

Kada se kibernetička bezbednost sagleda u širem smislu, identitet poslovnog subjekta postaje ključan koncept. Globalno standardizovan pristup identifikaciji poslovnih subjekata pruža identifikator pravnog lica (LEI)
Identitet poslovnog subjekta obuhvata mnogo više od naziva kompanije ili registracionog broja. On uključuje:

• pravno postojanje i status
• zvanične podatke iz registra
• vlasničke i kontrolne strukture
• odnose sa drugim pravnim licima
• tačnost i ažurnost podataka

Bez jasnog i standardizovanog identiteta poslovnog subjekta, pouzdana procena rizika postaje teška. Ovaj problem je još izraženiji u prekograničnim okruženjima, gde se podaci prikupljaju iz više nacionalnih registara koji koriste različite formate i standarde. U digitalnim i automatizovanim okruženjima, identitet poslovnog subjekta mora biti nedvosmislen, mašinski čitljiv i međunarodno usklađen da bi podržao efikasno upravljanje rizikom.

Perspektiva malih firmi: kako postati pouzdan partner

Diskusije o kibernetičkoj bezbednosti i regulativi često se fokusiraju na velike organizacije. Međutim, ista dinamika snažno utiče na mala i srednja preduzeća koja žele da sarađuju sa velikim kompanijama, finansijskim institucijama ili međunarodnim klijentima. Za manje firme, glavna prepreka često nije kvalitet proizvoda ili tehnička sposobnost, već poverenje. Velike organizacije moraju proceniti rizik za svakog novog partnera, ali to ne mogu raditi ručno i detaljno za svakog potencijalnog dobavljača. Zbog toga se oslanjaju na standarde, signale i strukturirane podatke kako bi odlučile koje odnose vredi dalje istraživati. Mnoge poslovne prilike zastanu ne zbog toga što ponuda nema vrednost, već zato što se druga strana ne može brzo i jasno razumeti.

LEI kao pokretač poverenja i bržeg onboardinga

Ovde na scenu stupa identifikator pravnog lica (LEI). LEI je globalni standard osmišljen da jedinstveno identifikuje pravna lica i poveže ih sa verifikovanim referentnim podacima iz pouzdanih izvora. Za manje kompanije, LEI nije samo regulatorni zahtev u određenim kontekstima. To je praktičan alat koji im omogućava da se predstave na način koji je usklađen s tim kako velike organizacije upravljaju rizikom. LEI pokazuje da:

• je subjekt jedinstveno identifikovan
• su njegovi osnovni referentni podaci povezani sa zvaničnim registrima
• su podaci o vlasništvu deklarisani u standardizovanom obliku
• se podaci mogu koristiti u automatizovanim i prekograničnim procesima

Iz perspektive velike organizacije, ovo smanjuje početnu neizvesnost i ubrzava odluku o tome da li potencijalno partnerstvo može da se nastavi. LEI ne garantuje saradnju, niti zamenjuje dubinsku analizu, ali pomaže da poslovni subjekt postane razumljiv i procenjiv mnogo ranije u procesu.

Kibernetička bezbednost kao zajednička odgovornost u lancu nabavke

Kibernetička bezbednost nije samo odgovornost velikih kupaca ili centralnih platformi. Svaki učesnik u lancu nabavke doprinosi ukupnom profilu rizika. Kada jedna strana ne može jasno predstaviti svoj identitet ili održavati podatke ažurnim, ceo lanac postaje ranjiviji. Iz tog razloga, i manje firme imaju koristi od usvajanja standarda koji ih čine lakšim za verifikaciju i integraciju u okvire upravljanja rizikom njihovih partnera — često i pre nego što se takva očekivanja formalno zahtevaju.

Stalna ažurnost podataka kao uslov za poverenje

Ni kibernetička bezbednost ni identitet poslovnog subjekta nisu statični. Kompanije se menjaju, vlasničke strukture se razvijaju, a podaci zastarevaju. Provere identiteta koje se sprovode samo jednom brzo gube svoju vrednost. Efikasno upravljanje rizikom zavisi od podataka o identitetu koji ostaju tačni i ažurni tokom vremena. Ova stalna pouzdanost podržava ne samo usklađenost, već i dugoročno poverenje između poslovnih partnera.

Zaključak

Kibernetička bezbednost ne počinje u serverskoj sobi, ni ne završava se softverom. Počinje razumevanjem s kim poslujete i na kojoj osnovi taj odnos postoji. Tehničke kontrole ostaju neophodne, ali bez jasnog, standardizovanog i ažurnog identiteta poslovnog subjekta, one su nepotpune. U današnjoj povezanoj i regulisanoj ekonomiji, poznavanje svojih ugovornih strana jedna je od najvažnijih dostupnih bezbednosnih mera. LEI pruža zajednički, globalni okvir koji pomaže i velikim i malim organizacijama da izgrade poverenje, poboljšaju transparentnost i efikasnije sarađuju preko granica.