FAQ – Informacijska varnost

Informacijska varnost je zaščita informacij ne glede na obliko – digitalnih, papirnih in tistih, ki jih imajo v glavah zaposleni. Vključuje tehnične, organizacijske, kadrovske in fizične ukrepe, od dostopnih pravic in šifriranja do pravilnikov, pogodb o zaupnosti in varovanja prostorov.

Kibernetska varnost je ožji pojem in pokriva zaščito omrežij, informacijskih sistemov, naprav in podatkov pred grožnjami iz digitalnega okolja. Kibernetska varnost je torej del informacijske varnosti, ne pa njena zamenjava – požarni zid ne pomaga, če zaposleni dokumente pušča na mizi ali pogodbe pošilja na zasebni e-naslov.

To so trije temeljni cilji informacijske varnosti, pogosto imenovani triada CIA. Zaupnost pomeni, da do informacij dostopajo samo pooblaščeni; celovitost, da so podatki točni in nespremenjeni; razpoložljivost, da so dosegljivi takrat, ko jih potrebujemo.

Vsak varnostni ukrep podpira enega ali več teh ciljev: šifriranje in dostopne pravice varujejo zaupnost, dnevniški zapisi in nadzor sprememb celovitost, varnostne kopije in redundanca pa razpoložljivost. Pri oceni tveganja je koristno za vsak ključni sistem presoditi, kateri od treh ciljev bi organizacijo ob izpadu najbolj prizadel.

Varnostni incident je vsak dogodek, ki ogrozi zaupnost, celovitost ali razpoložljivost informacij ali sistemov. Ni nujno posledica napada – incident je tudi odpoved diska brez varnostne kopije, izguba telefona, pomotoma poslan dokument ali daljši izpad napajanja.

Kibernetski napad je namerno zlonamerno dejanje: vdor, izsiljevalski virus, prevara prek e-pošte, napad DDoS ali zloraba ukradenih poverilnic. Vsak napad je incident, ni pa vsak incident napad. Za pravilno ravnanje je pomembno, da organizacija oboje zna prepoznati, zabeležiti in po potrebi priglasiti.

V praksi prevladujejo ribarjenje (phishing) in druge oblike socialnega inženiringa, izsiljevalski virusi (ransomware), vdori prek ukradenih ali ponovno uporabljenih gesel, zloraba poslovne e-pošte z lažnimi zahtevki za plačilo (t. i. direktorska prevara) ter napadi prek dobaviteljev in zunanjih IT-ponudnikov.

Skupna značilnost je, da napadalci redko iščejo tehnično najzahtevnejšo pot – izkoriščajo nezakrpane sisteme, odsotnost večfaktorske avtentikacije in človeško nepozornost. Zato največ zaščite prinesejo osnovni ukrepi, ne najdražja oprema. Več o pristopu na strani Informacijska varnost.

Ker večina napadov ni ciljnih. Napadalci samodejno pregledujejo internet in iščejo ranljive sisteme, izpostavljene oddaljene dostope in naslove iz ukradenih zbirk gesel – velikost podjetja pri tem ni merilo. Manjša podjetja so pogosto celo privlačnejša, ker imajo šibkejšo zaščito in manj nadzora.

Majhna podjetja so tudi vstopna točka do večjih: prek računovodskega servisa, IT-vzdrževalca ali dobavitelja je mogoče doseči njihove stranke. Prav zato NIS 2 in ZInfV-1 posebej poudarjata varnost dobavne verige, veliki naročniki pa varnostne zahteve vse pogosteje vključujejo v pogodbe.

NIS 2 je evropska direktiva o ukrepih za visoko skupno raven kibernetske varnosti v Uniji. Države članice so jo morale v nacionalno zakonodajo prenesti do 17. oktobra 2024. Direktiva sama za podjetja ne velja neposredno – zavezujoč je nacionalni zakon.

V Sloveniji je NIS 2 prenesel ZInfV-1 (Zakon o informacijski varnosti), ki ga je Državni zbor sprejel 23. maja 2025. Objavljen je bil v Uradnem listu RS, št. 40/25 z dne 4. 6. 2025, veljati pa je začel 19. junija 2025 in nadomestil ZInfV iz leta 2018. Več na strani NIS 2 direktiva.

Zavezanci so srednje velike in velike organizacije iz določenih sektorjev, razdeljene na bistvene in pomembne subjekte. Splošno velja prag najmanj 50 zaposlenih ter letni promet ali bilančna vsota najmanj 10 milijonov evrov. Bistveni subjekti so praviloma organizacije iz najbolj kritičnih sektorjev (energetika, promet, bančništvo, infrastruktura finančnega trga, zdravstvo, pitna in odpadna voda, digitalna infrastruktura, upravljanje storitev IKT, javna uprava, vesolje) z najmanj 250 zaposlenimi ali najmanj 50 milijoni evrov prometa.

Pomembni subjekti so preostali zavezanci iz sektorjev, kot so poštne in kurirske storitve, ravnanje z odpadki, kemikalije, živila, proizvodnja, ponudniki digitalnih storitev in raziskave. Ne glede na velikost so zavezani med drugim ponudniki javnih elektronskih komunikacij, ponudniki storitev zaupanja, registri vrhnjih domen in ponudniki DNS ter državni organi. Odločilna je dejanska dejavnost, ne zgolj registrirana šifra dejavnosti.

Zavezanci se morajo sami prijaviti (samoregistracija) pri Uradu Vlade RS za informacijsko varnost (URSIV) prek portala ursiv.si. Kdor je pogoje izpolnjeval že ob uveljavitvi zakona, je imel rok do 19. decembra 2025; kdor pogoje izpolni pozneje, se mora registrirati v 30 dneh od nastanka okoliščin, prejemniki odločbe o določitvi pa v 30 dneh od njene vročitve.

Če ste rok zamudili, odlašanje stanja ne izboljša – prijava je še vedno obvezna, zamuda pa pomeni prekršek. Priporočamo, da najprej preverite status zavezanosti, se registrirate in vzporedno zaženete uskladitev ukrepov. Opozorilo: spletni pripomoček za samooceno je le pripomoček, zavezanost pa izhaja iz zakona.

Prehodni roki so vezani na uveljavitev zakona 19. junija 2025. Subjekti, ki so bili zavezanci že po starem ZInfV, in operaterji po ZEKom-2 so morali varnostno dokumentacijo in ukrepe vzpostaviti do 19. junija 2026. Za nove bistvene in pomembne subjekte je rok 19. december 2026.

Ker je ta rok tik pred vrati, je smiselno delo razdeliti: najprej vzpostaviti obvezno dokumentacijo in osnovne ukrepe, nato postopno dvigovati zrelost. Prvi korak je analiza vrzeli, ki pokaže, kaj je že urejeno in kaj manjka, ter oceni, koliko dela je dejansko pred vami.

ZInfV-1 zahteva obvladovanje kibernetskovarnostnih tveganj z ukrepi, sorazmernimi tveganju. Mednje sodijo analiza tveganj in varnostna politika, obvladovanje incidentov, neprekinjeno poslovanje in upravljanje varnostnih kopij, varnost dobavne verige, varnost pri nabavi, razvoju in vzdrževanju sistemov, ocenjevanje učinkovitosti ukrepov, kibernetska higiena in izobraževanje, kriptografija, varnost človeških virov, nadzor dostopa ter večfaktorska avtentikacija in varne komunikacije.

Zakon posebej ureja varnostno dokumentacijo (21. člen), ukrepe za obvladovanje tveganj (22. člen), preverjanje preteklosti zaposlenih in kandidatov za zadnjih pet let (23. člen), hrambo dnevniških zapisov najmanj šest mesecev (24. člen) ter oceno skladnosti za bistvene oziroma samooceno za pomembne subjekte najmanj vsaki dve leti (25. člen).

Vodstvo ni več le naročnik varnosti, temveč je zanjo odgovorno. Po 20. členu ZInfV-1 mora odobriti ustreznost ukrepov za obvladovanje tveganj, nadzorovati njihovo izvajanje, zagotoviti redno usposabljanje zaposlenih in prevzeti odgovornost za neskladnost.

Člani vodstva morajo tudi sami opraviti usposabljanje za prepoznavanje tveganj, in sicer najmanj vsaka štiri leta. Odgovornost je osebna: poleg globe za pravno osebo je lahko kaznovana tudi odgovorna oseba, v hujših primerih pa so mogoči dodatni ukrepi, na primer začasna omejitev opravljanja dejavnosti.

Za pomemben incident veljajo trije roki: zgodnje opozorilo v 24 urah od zaznave, uradna priglasitev z začetno oceno v 72 urah ter končno poročilo najpozneje en mesec po priglasitvi. Če incident takrat še traja, je treba oddati vmesno poročilo, končno pa po njegovi razrešitvi.

Roki tečejo od zaznave, ne od razrešitve, zato mora biti vnaprej določeno, kdo incident oceni kot pomemben in kdo ga priglasi – tudi izven delovnega časa. Obveznost priglasitve ureja 29. člen, postopek pa 30. člen ZInfV-1.

Priglasitev gre pristojni skupini za odzivanje na incidente oziroma pristojnemu organu. Za gospodarske družbe je to nacionalni odzivni center SI-CERT, pristojni nacionalni in nadzorni organ pa je URSIV. Posamezni sektorji imajo lahko svoje odzivne skupine.

Če incident vključuje osebne podatke, gre za dve ločeni obveznosti: priglasitev po ZInfV-1 in prijava kršitve Informacijskemu pooblaščencu v 72 urah po 33. členu GDPR. Ob sumu kaznivega dejanja je smiselna prijava policiji, pri resnejših vdorih pa računalniška forenzika, da se dokazi pravilno zavarujejo.

Nadzor nad izvajanjem ZInfV-1 opravlja inšpekcija za informacijsko varnost pri URSIV, ki lahko odredi uskladitev, zahteva varnostno revizijo ali izreče globo. Pri bistvenih subjektih je nadzor zasnovan proaktivno, pri pomembnih praviloma reaktivno – torej po incidentu ali prijavi.

Najvišje globe sledijo direktivi NIS 2: za bistvene subjekte do 10 milijonov evrov ali 2 % skupnega svetovnega letnega prometa, za pomembne subjekte do 7 milijonov evrov ali 1,4 % prometa, pri čemer se upošteva višji znesek. Kaznovana je lahko tudi odgovorna oseba. Pri pripravi in nadzoru vam lahko pomagamo z varnostnim svetovanjem.

Predpisa se dopolnjujeta. ZInfV-1 varuje delovanje omrežij, informacijskih sistemov in neprekinjenost storitev, GDPR in ZVOP-2 pa pravice posameznikov, katerih osebne podatke obdelujete. En sam incident lahko sproži obveznosti po obeh – na primer izsiljevalski virus, ki ustavi proizvodnjo in hkrati razkrije kadrovsko bazo.

V praksi je smiselno imeti en postopek obravnave incidentov z dvema izhodoma: priglasitev SI-CERT oziroma URSIV in prijava Informacijskemu pooblaščencu. Precej dokumentacije je skupne – evidence, ocene tveganj, pogodbe z dobavitelji in usposabljanja. Podrobneje o drugem sklopu v FAQ – Varstvo osebnih podatkov.

Če začenjate z ničle, največ prinese osnovna kibernetska higiena: večfaktorska avtentikacija za e-pošto in vse oddaljene dostope, redno nameščanje popravkov, ločene administratorske račune, preverjene varnostne kopije, zaščita končnih točk in osnovno izobraževanje zaposlenih o ribarjenju.

Ti ukrepi preprečijo veliko večino množičnih napadov in so praviloma cenejši od posledic enega samega incidenta. Šele nato je smiselno vlagati v naprednejše rešitve, kot so zaznavanje in odzivanje na končnih točkah, segmentacija omrežja ali centralno zbiranje dnevnikov. Izhodišče naj bo ocena tveganja, ne seznam izdelkov.

Sodobna priporočila gredo stran od pogostega prisilnega menjavanja gesel k dolgim in edinstvenim geslom oziroma geselskim frazam ter upravitelju gesel. Menjava naj bo obvezna ob sumu zlorabe, ne vsakih 60 dni, saj pogosto menjavanje vodi v predvidljive različice istega gesla.

Ključna je večfaktorska avtentikacija, zlasti za e-pošto, VPN, oddaljeno namizje, oblačne storitve in administratorske račune. Prednost imajo aplikacije za generiranje kod, še bolje pa ključi FIDO2 ali geslike (passkeys), saj jih ni mogoče ukrasti z ribarjenjem. Potrjevanje prek SMS je boljše kot nič, a najšibkejša oblika.

Uveljavljeno izhodišče je pravilo 3-2-1: tri kopije podatkov, na dveh različnih medijih, pri čemer je ena shranjena izven lokacije. Vse pogosteje se dodaja še zahteva, da je ena kopija nespremenljiva ali fizično ločena od omrežja, saj sodobni izsiljevalski virusi najprej iščejo in šifrirajo prav varnostne kopije.

Najpomembnejše je testiranje obnovitve. Varnostna kopija, ki je nihče ni nikoli obnovil, ni varnostna kopija, temveč domneva. Določite tudi, kako dolgo smete biti brez sistema (RTO) in koliko podatkov si smete privoščiti izgubiti (RPO) – od tega je odvisna pogostost kopiranja.

Upravljanje popravkov je urejeno spremljanje in nameščanje varnostnih posodobitev za operacijske sisteme, aplikacije, strežnike, omrežno opremo in vgrajeno programsko opremo. Pomembno je zato, ker velik del uspešnih vdorov izkorišča ranljivosti, za katere popravek že obstaja.

V praksi potrebujete popis sredstev (kaj sploh imate), določene roke glede na kritičnost ranljivosti, testno okolje za tvegane posodobitve in postopek za sisteme, ki jih ni mogoče posodobiti – te je treba ločiti od preostalega omrežja. Posebno pozornost zahteva oprema, ki je izpostavljena internetu.

Dnevniški zapisi beležijo dogodke v sistemih: prijave, spremembe pravic, dostope do podatkov, napake in omrežni promet. Brez njih po incidentu ni mogoče ugotoviti, kaj se je zgodilo, kdaj se je začelo in kaj je odteklo – forenzika brez dnevnikov je ugibanje.

ZInfV-1 v 24. členu za zavezance določa hrambo dnevniških zapisov najmanj šest mesecev. Kjer se beležijo tudi osebni podatki, je treba dnevnike vključiti v evidenco dejavnosti obdelave, omejiti dostop do njih in določiti rok hrambe. Smiselno je dnevnike zbirati centralno, da jih napadalec ne more izbrisati skupaj s sistemom.

Socialni inženiring je manipulacija ljudi, da razkrijejo podatke ali opravijo dejanje, ki koristi napadalcu. Ribarjenje je njegova najpogostejša oblika – lažna e-sporočila, ki posnemajo banko, dobavitelja, ponudnika storitve ali sodelavca. Sorodne oblike so smishing (SMS), vishing (telefonski klici) in ciljno ribarjenje posameznika.

Opozorilni znaki so nujnost, grožnja s posledico, nenavadna zahteva po plačilu ali spremembi bančnega računa, neujemanje naslova pošiljatelja in povezave, ki vodijo na podobne, a ne enake domene. Najučinkovitejša obramba je kombinacija tehničnih filtrov, večfaktorske avtentikacije in rednega usposabljanja. Več o tem na strani Socialni inženiring.

Prvi koraki: prizadete naprave takoj izolirajte iz omrežja, a jih ne izklapljajte brez posveta, saj se lahko izgubijo dokazi v pomnilniku; obvestite vodstvo in IT; aktivirajte načrt odziva; zavarujte dnevnike in posnetke sistemov; preverite, ali so varnostne kopije nedotaknjene. Nato ocenite, ali gre za pomemben incident po ZInfV-1 in ali so vpleteni osebni podatki.

Plačilo odkupnine odsvetujemo. Ni nobenega zagotovila, da boste dobili delujoč ključ, plačilo financira nadaljnje napade in vas označi kot plačnika, pri nekaterih skupinah pa lahko pomeni tudi kršitev sankcijskih predpisov. Priglasite incident SI-CERT, prijavite ga policiji in si pomagajte s forenziko. Ponudniki podpore so dosegljivi tudi prek strani Hekerski napad.

Dober načrt odgovori na vprašanja, ki jih med krizo ni časa reševati: kdo je vodja odziva, koga se obvesti in po katerem kanalu (tudi če e-pošta ne deluje), kako se incident razvrsti po resnosti, kdo sme odklopiti sisteme, kdo komunicira s strankami in mediji, kdo opravi priglasitve ter kako se zavarujejo dokazi.

Vsebovati mora tudi posodobljen seznam kontaktov – notranjih, IT-ponudnika, SI-CERT, policije, zavarovalnice in pravne podpore – ter navodila za obnovitev po prednostnem vrstnem redu sistemov. Načrt je vreden toliko, kolikor je preizkušen: vsaj enkrat letno ga preigrajte na namizni vaji.

Priporočljivo je kratko usposabljanje ob zaposlitvi in nato najmanj enkrat letno, dopolnjeno s kratkimi opomniki med letom. ZInfV-1 redno usposabljanje izrecno zahteva, člani vodstva pa morajo usposabljanje za prepoznavanje tveganj opraviti najmanj vsaka štiri leta.

Bolj kot dolžina šteje praktičnost: realni primeri iz panoge, simulirana ribarska sporočila in jasno navodilo, komu in kako prijaviti sum. Pomembno je, da prijava sumljivega sporočila nikoli ne prinese graje – kultura, v kateri zaposleni napake skrivajo, je večje tveganje od samega napada.

Umetna inteligenca je znižala vstopno oviro za napadalce. Ribarska sporočila so danes slovnično neoporečna in prilagojena prejemniku, lažni spletni naslovi in strani so prepričljivejši, generirani glas ali video pa omogočata prevare, pri katerih »direktor« po videoklicu naroči nakazilo.

Obramba je bolj postopkovna kot tehnična: za spremembe bančnih podatkov in izredna nakazila uvedite obvezno potrditev po drugem, vnaprej znanem kanalu in dvojno odobritev. Hkrati uredite tudi, kaj zaposleni smejo vnašati v javna orodja umetne inteligence, saj gre lahko za poslovne skrivnosti ali osebne podatke.

Penetracijski test je nadzorovan poskus vdora, pri katerem strokovnjak z dovoljenjem naročnika aktivno izkorišča ranljivosti in pokaže, kako daleč bi prišel napadalec. Varnostni pregled ali ocena stanja je širša analiza konfiguracij, procesov in dokumentacije, ki pokaže sistemske vrzeli, a jih praviloma ne izkorišča.

Oba se dopolnjujeta: pregled pokaže, kje ste šibki, test pa dokaže, kaj je dejansko izkoristljivo. Ločiti ju je treba tudi od avtomatskega pregledovanja ranljivosti, ki je koristno za redno spremljanje, a sam po sebi ne nadomesti testa. Več na strani Penetracijski testi.

Začnite s seznamom dobaviteljev, ki imajo dostop do vaših podatkov ali sistemov, in jih razvrstite po kritičnosti. Za kritične preverite varnostne certifikate, lokacijo obdelave podatkov, podizvajalce, dogovorjene odzivne čase in obveznost obveščanja o incidentih.

Zahteve zapišite v pogodbo: varnostni ukrepi, obveščanje o incidentu v določenem roku, pravica do revizije ali predložitve poročila neodvisnega presojevalca, ravnanje s podatki ob prekinitvi sodelovanja. Pri oblačnih storitvah ne pozabite na delitev odgovornosti – ponudnik skrbi za infrastrukturo, za nastavitve, dostope in varnostne kopije podatkov pa ste odgovorni sami.

Da. ISO/IEC 27001 je mednarodni standard za sistem upravljanja informacijske varnosti in pokriva precejšen del tega, kar zahteva ZInfV-1: oceno tveganj, varnostno politiko, nadzor dostopa, upravljanje incidentov, neprekinjeno poslovanje, varnost dobaviteljev in notranje presoje. Certifikat sam po sebi ni dokaz skladnosti z zakonom, je pa zelo dobra osnova.

Aktualna izdaja je ISO/IEC 27001:2022; prehodno obdobje za certifikate po izdaji iz leta 2013 se je izteklo 31. oktobra 2025, zato stari certifikati niso več veljavni. Pri uvedbi, vzdrževanju in pripravi na presojo vam lahko pomagamo – več na strani ISO standardi.

Varnostni incident je eden najpogostejših razlogov za prekinitev poslovanja, zato sta področji neločljivi. Načrt neprekinjenega poslovanja (BCP) opredeli, kako organizacija deluje med motnjo, načrt okrevanja (DRP) pa, kako sisteme vrne v normalno stanje in v kakšnem vrstnem redu.

Izhodišče je analiza vplivov na poslovanje (BIA), ki za vsak proces določi, koliko časa lahko stoji in koliko podatkov sme biti izgubljenih. Iz tega izhajajo zahteve za varnostne kopije, redundanco in pogodbe z dobavitelji. ZInfV-1 neprekinjeno poslovanje in upravljanje varnostnih kopij izrecno navaja med zahtevanimi ukrepi. Več na strani Neprekinjeno poslovanje.

Poleg NIS 2 in ZInfV-1 velja za finančni sektor uredba DORA o digitalni operativni odpornosti, ki se uporablja od 17. januarja 2025 in med drugim ureja upravljanje tveganj IKT, poročanje o incidentih in nadzor nad kritičnimi zunanjimi ponudniki.

Za proizvajalce in ponudnike izdelkov z digitalnimi elementi je pomembna uredba o kibernetski odpornosti (Cyber Resilience Act), ki je začela veljati 10. decembra 2024; obveznost poročanja o aktivno izkoriščanih ranljivostih se uporablja od 11. septembra 2026, glavne obveznosti pa od 11. decembra 2027. Dodati je treba še Akt o umetni inteligenci ter sektorske predpise, GDPR in ZVOP-2 pa veljata povsod, kjer se obdelujejo osebni podatki.