Predavač: Olga Zorić, ekspert za korporativnu i informacionu bezbednost
1. Zakon o informacionoj bezbednosti – novine i ključne obaveze
➢ Novine u odnosu na prethodni zakon i razlozi povećanja obima zahteva
➢ Ključni pojmovi Zakona o informacionoj bezbednosti
➢ Subjekti koji su u obavezi da primenjuju ovaj Zakon
➢ Usklađenost Zakona o informacionoj bezbednosti sa NIS2 direktivom
2. Uloga i odgovornost menadžmenta organizacije
➢ Informaciona bezbednost kao deo korporativne kulture i strategije
➢ Obaveze odgovornog lica u skladu sa zakonom i reagovanje na incidente
➢ Kreiranje politike bezbednosti i kontrola njene primene
➢ Primena domaćih i međunarodnih standarda - ključne procedure

Predavač: Dragana Jakovljević, Ekspert za informacionu bezbednost i upravljanje rizicima
➢ Iso standardi kao Temelj Novog Zakona
➢ Zato stari Zakon više ne pije vodu
➢ Evoluacija rizika – više niste meta samo vi
➢ Industrijalizacija napada (AI & RaaS) – Kako nas napadaju.
➢ Ranjivost lanca snabdevanja – Od koga sve zavisimo.
➢ Evolucija štete (Double Extortion) – Šta nam zapravo kradu.
➢ Promena filozovije odgovornosti IT - Bezbednosti subjekta
➢ Uloga novih autoriteta. Kancelarija za informacionu bezbednost I Cert
➢ Inspekcijski nadzor i dokumentacija – Kako država kontroliše našu spremnost
➢ Krovni dokumenti Novog Zakona: Akt o Proceni rizika I Akt o Informacionoj
bezbednosti

OD ANALIZE DO OKLOPA
Strategija mapiranja rizika i postavljanje neprobojnih pravila odbrane

1. Akt o proceni rizika
Mapiranje pretnji i dijagnostika ranjivosti sistema
➢ Procedura upravljanja rizikom – Metodologija: Kako merimo opasnost.
➢ Katalog pretnji – Lista savremenih opasnosti (AI botovi, RaaS, socijalni inženjering).
➢ Lista mera sigurnosti – Odabir „lekova“ za prepoznate pretnje.
➢ Evidencija informacionih dobara, opreme i delova opreme – Popis svega što branimo.
➢ Procedura klasifikacije informacione imovine – Kategorizacija (Kritično-1 do Nisko-4).
➢ Matrica klasifikacije i šema poverljivosti informacija – Ko sme da vidi koji podatak.
➢ Registar rizika po sektorima – Specifične ranjivosti HR-a, prodaje i finansija.
➢ Plan tretmana rizika po sektorima – Prioriteti: Šta popravljamo odmah.
2. Akt o IKT bezbednosti - Operativa
Pravila igre i tehnički bedemi odbrane
➢ Operativne procedure informacione bezbednosti – Glavni pravilnik ponašanja u firmi.
➢ Politika za kontrolu pristupa informacija – Ko, gde i kako ulazi u sistem.
➢ Procedura za upravljanje sigurnošću i kontrola pristupa mrežama – Tehničke barijere.
➢ Procedura kontrole pristupa aplikacijama – Zaštita softverskog jezgra firme.
➢ Zaštita protiv malicioznog i prenosivog softvera – Odbrana od virusa i botova.
➢ Uputstvo za izradu rezervnih kopija – Tehnička strategija čuvanja podataka (Backup).
➢ Evidencija nosača podataka – Upravljanje USB stikovima i eksternim diskovima.
➢ Politika i pravilnik za prenos opreme, medija i informacija van prostorija preduzeća
➢ Uputstvo za zaposlene o korišćenju IKT – Edukacija i odgovornost svakog radnika.
➢ Procedura i uputstvo za održavanje sistema – Kako krpimo „rupe“ (Patch management).
DOKAZIVOST
➢ Zapisnici o sprovedenim procedurama - merama – papirni dokaz da se procedure poštuju (
potvrde o dodeljenim pristupnim šiframa, reversi za zaduženje laptopova, izveštaji o
obavljenim backup-ima, zapisnici sa obuka zaposlenih o phishing-u, ili logovi o ulasku u
serversku salu)
➢ Periodična revizija (Evaluacija) – Zašto Akti ne sme da bude stariji od godinu dana.
…a šta ako sistem pored svega navedenog ipak padne?

Osiguranje preživljavanja i brz povratak u rad
OPERATIVNI (POMOĆNI) PLANOVI – ALATI ZA PREŽIVLJAVANJE:
PLAN OPORAVKA OD KATASTROFE / DRP
PLAN KONTINUITETA POSLOVANJA/BCP
1. Plan kontinuiteta poslovanja - BCP
Ovi dokumenti osiguravaju da biznis ne stane (fokus na ljude i procese).
➢ Plan obezbeđenja kontinuiteta poslovanja – Glavni dokument (Krovna strategija).
➢ Registar rizika i Plan tretmana rizika po sektorima – služi da znamo koji sektori moraju
prvi da prorade.
➢ Procedura klasifikacije informacione imovine (Kategorije 1-4) – znaти šta je prioritet za
spasavanje.
➢ Politika i pravilnik za prenos opreme i informacija van prostorija – ključan za rad od
kuće tokom krize.
➢ Uputstvo za zaposlene o korišćenju IKT – Pravila kako se zaposleni ponašaju pri korišćenju
informacione opreme u radu.
2. Plan oporavka usled katastrofe DRP
Ovi dokumenti su "alatnica" za IT sektor da vrati sistem u život.
➢ Plan oporavka usled katastrofe (DRP) – Glavni tehnički dokument.
➢ Pregled IKT opreme (sa RTO i RPO parametrima) – Najvažnija tabela: tačan spisak
hardvera i dozvoljeno vreme zastoja.
➢ Plan postupanja u slučaju incidenta – Operativni protokol: ko šta radi u prvih 60 minuta
napada.
➢ Uputstvo za izradu rezervnih kopija (Backup) – osnova za "Restore" (vraćanje podataka).
➢ Evidencija nosača podataka – Gde su fizički bekapi i eksterni diskovi koji nam trebaju za
oporavak.
➢ Procedura i uputstvo za održavanje sistema i postupak provere nakon vanrednog
prekida rada – Koraci za proveru sistema nakon što ga "podignemo" iz mrtvih.
3. Izveštaj o proveri mera bezbednosti IKT Sistema – godišnji
Kruna sistema upravljanja bezbednošću.
➢ Izveštaj o sprovedenim radnjama provere: Detaljan opis šta je testirano i provereno – 37
mera
➢ Zaključak o usklađenosti: Potvrda da li je Akt o bezbednosti usklađen sa stvarnim stanjem.
➢ Zaključak o primeni mera: Dokaz da li se predviđene mere zaštite zaista sprovode u
operativnom radu.
➢ Ocena nivoa bezbednosti: Ukupna procena koliko je sistem otporan.
➢ Predlog korektivnih mera: Plan kako da se otklone uočeni nedostatak