Kibernetička sigurnost počinje identitetom poslovnog subjekta

Kibernetička sigurnost ne počinje tehnologijom, već povjerenjem

Kibernetička sigurnost se često opisuje kao tehnički izazov. Vatrozidi, kontrole pristupa, sustavi nadzora i alati za odgovor na incidente najčešće dominiraju raspravom. Iako su te mjere nužne, one nisu mjesto gdje kibernetička sigurnost zaista počinje. U praksi počinje puno ranije — u trenutku kada organizacija odluči s kim poslovno surađuje. Suvremeno poslovanje je duboko povezano. Tvrtke se oslanjaju na eksterne pružatelje usluga, dobavljače, financijske posrednike i partnere širom svijeta. Svaka veza donosi operativnu vrijednost, ali i uvodi rizik. Kada je identitet poslovnog partnera nejasan, zastario ili teško provjerljiv, pouzdana procjena tog rizika postaje nemoguća. Kibernetička sigurnost izgrađena je na povjerenju. A povjerenje počinje s poznavanjem s kim zapravo poslujete.

Zašto sama tehnička sigurnost više nije dovoljna

Tehničke sigurnosne kontrole osmišljene su za zaštitu sustava, ali pretpostavljaju da je pristup dodijeljen pravim subjektima. Ako se pristup dodijeli pogrešnoj organizaciji — ili organizaciji čije poslovanje nije dovoljno razjašnjeno — čak i snažne tehničke kontrole mogu propustiti spriječiti štetu. Mnogi ozbiljni sigurnosni incidenti ne proizlaze iz izravnog proboja sustava, već iz zloupotrebe odnosa povjerenja. Kada napadač djeluje kroz naizgled legitimnog partnera, dobavljača ili suradnika, tehničke obrane postaju znatno manje učinkovite. To pomiče temeljno pitanje s „Kako zaštititi svoje sustave?“ na „Kome bismo uopće trebali vjerovati pristup?”

Rizik trećih strana kao središnje pitanje kibernetičke sigurnosti

Sve veći dio kibernetičkog i operativnog rizika dolazi od trećih strana. To mogu biti dobavljači, pružatelji IT usluga, obrađivači plaćanja, logistički partneri ili outsourcirane funkcije podrške. Svaka treća strana postaje dio proširenog digitalnog perimetra organizacije. Rizik trećih strana nije ograničen na softverske ranjivosti ili nesigurnu infrastrukturu. Uključuje i:

• nejasan pravni status
• netransparentne vlasničke strukture
• nedosljedne ili zastarjele podatke u registrima
• teškoće u utvrđivanju odgovornosti

Da bi učinkovito upravljale tim rizicima, organizacije se oslanjaju na strukturirane procese provjere, uključujući KYC i provjeru poslovnih subjekata
Kada organizacija ne može jasno identificirati svoje ugovorne strane, sigurnosni rizici i rizici usklađenosti znatno se povećavaju.

Regulatorni smjer: pristup temeljen na riziku i identitetu

U različitim jurisdikcijama regulatorni okviri sve više se okreću pristupu kibernetičkoj sigurnosti temeljenom na riziku i identitetu. Umjesto propisivanja konkretnih tehničkih kontrola, regulatori sve više očekuju da organizacije razumiju i upravljaju rizicima u cijelom svom operativnom okruženju, uključujući dobavljače i pružatelje usluga.

U Europskoj uniji ta se promjena jasno očituje u NIS2 direktivi i zahtjevima kibernetičke sigurnosti Za službeni pravni okvir pogledajte NIS2 direktivu

Iako se okviri razlikuju širom svijeta, temeljno očekivanje je dosljedno: organizacije moraju moći dokazati da znaju na koga se oslanjaju i kako ti odnosi utječu na njihovu sigurnosnu poziciju.

Poslovni identitet kao temelj kibernetičke sigurnosti

Kada se kibernetička sigurnost sagleda šire, poslovni identitet postaje ključan koncept. Globalno standardiziran pristup identifikaciji poslovnih subjekata pruža identifikator pravne osobe (LEI)
Poslovni identitet obuhvaća mnogo više od naziva tvrtke ili registracijskog broja. Uključuje:

• pravno postojanje i status
• podatke iz službenih registara
• vlasničke i kontrolne strukture
• odnose s drugim pravnim osobama
• točnost i aktualnost podataka

Bez jasnog i standardiziranog poslovnog identiteta, pouzdana procjena rizika postaje teška. Ovaj izazov posebno je izražen u prekograničnim okruženjima, gdje se podaci prikupljaju iz brojnih nacionalnih registara koji koriste različite formate i standarde. U digitalnim i automatiziranim okruženjima poslovni identitet mora biti nedvosmislen, mašinski čitljiv i međunarodno usklađen kako bi podržao učinkovito upravljanje rizicima.

Perspektiva malih poduzeća: kako postati pouzdan partner

Rasprave o kibernetičkoj sigurnosti i regulativi često se fokusiraju na velike organizacije. Međutim, ista dinamika snažno utječe na male i srednje poduzetnike koji žele suradnju s korporacijama, financijskim institucijama ili međunarodnim klijentima. Za manje tvrtke glavna prepreka često nije kvaliteta proizvoda ili tehnička sposobnost, već povjerenje. Velike organizacije moraju procijeniti rizik za svakog novog partnera, no to ne mogu činiti ručno i detaljno za svakog potencijalnog dobavljača. Zato se oslanjaju na standarde, signale i strukturirane podatke kako bi odlučile koje odnose vrijedi dalje razmatrati. Mnoge poslovne prilike zastanu ne zbog manjka vrijednosti ponude, već zato što se druga ugovorna strana ne može brzo i jasno razumjeti.

LEI kao akcelerator povjerenja i onboardinga

Tu identifikator pravne osobe (LEI) postaje relevantan. LEI je globalni standard osmišljen za jedinstvenu identifikaciju pravnih osoba i njihovo povezivanje s provjerenim referentnim podacima iz pouzdanih izvora. Za manje tvrtke LEI nije samo regulatorni zahtjev u određenim kontekstima. To je praktičan alat koji im omogućuje da se predstave na način usklađen s tim kako velike organizacije upravljaju rizikom. LEI signalizira da:

• je subjekt jedinstveno prepoznatljiv
• su njegovi ključni referentni podaci povezani sa službenim registrima
• su podaci o vlasništvu deklarirani u standardiziranom obliku
• se podaci mogu koristiti u automatiziranim i prekograničnim procesima

Iz perspektive velike organizacije, to smanjuje početnu nesigurnost i ubrzava odluku o tome može li potencijalno partnerstvo krenuti dalje. LEI ne garantira suradnju niti zamjenjuje due diligence, ali pomaže tvrtki da postane razumljiva i procjenjiva mnogo ranije u procesu.

Kibernetička sigurnost kao zajednička odgovornost u opskrbnom lancu

Kibernetička sigurnost nije odgovornost samo velikih kupaca ili središnjih platformi. Svaki učesnik u opskrbnom lancu doprinosi ukupnom profilu rizika. Kada jedna strana ne može jasno predstaviti svoj identitet ili održavati podatke ažurnima, cijeli lanac postaje ranjiviji. Zbog toga i manje tvrtke imaju koristi od usvajanja standarda koji ih čine lakšim za provjeru i integraciju u okvire upravljanja rizikom svojih partnera — često i prije nego što se takva očekivanja formalno zahtijevaju.

Kontinuirana točnost kao preduvjet povjerenja

Ni kibernetička sigurnost ni poslovni identitet nisu statični. Tvrtke se mijenjaju, vlasničke strukture evoluiraju, a podaci zastarijevaju. Provjere identiteta provedene samo jednom brzo gube svoju vrijednost. Učinkovito upravljanje rizikom ovisi o podacima o identitetu koji ostaju točni i ažurni tijekom vremena. Ta kontinuirana pouzdanost podržava ne samo usklađenost, već i dugoročno povjerenje između poslovnih partnera.

Zaključak

Kibernetička sigurnost ne počinje u serverskoj sobi, niti završava softverom. Počinje razumijevanjem s kim poslujete i na kojoj osnovi taj odnos postoji. Tehničke kontrole i dalje su nužne, ali bez jasnog, standardiziranog i ažurnog poslovnog identiteta, one su nepotpune. U današnjem povezanom i reguliranom gospodarstvu, poznavanje svojih ugovornih strana jedna je od najvažnijih dostupnih sigurnosnih mjera. LEI pruža zajednički, globalni okvir koji pomaže i velikim i malim organizacijama da izgrade povjerenje, poboljšaju transparentnost i učinkovitije surađuju preko granica.