FAQ – Korporativna varnost

Korporativna varnost je celovito obvladovanje varnostnih tveganj v organizaciji – od fizičnega in tehničnega varovanja, varovanja informacij, kadrovske varnosti in integritete do neprekinjenega poslovanja, kriznega upravljanja in obvladovanja tveganj v dobavni verigi.

Namen ni zgolj preprečevanje kraj ali vdorov, temveč zaščita vsega, kar organizaciji omogoča poslovanje: ljudi, premoženja, informacij, ugleda in procesov. Dobro zastavljena korporativna varnost ni strošek, temveč orodje za zmanjšanje izgub in hitrejše okrevanje po motnjah. Več o našem pristopu na strani Korporativna varnost.

Ker varnostni dogodki skoraj nikoli ne ostanejo znotraj ene funkcije. Odtekanje podatkov je hkrati kadrovsko, pravno, informacijsko in ugledno vprašanje; požar v skladišču je vprašanje neprekinjenosti dobav, zavarovanja in odnosov s strankami.

Učinkovit model zato povezuje vodstvo, kadrovsko službo, IT, pravno službo, nabavo in operativo, varnostna funkcija pa skrbi za skupen okvir, oceno tveganj in usklajevanje. Brez te povezave nastanejo vrzeli, ki jih vsak oddelek posebej vidi kot »tujo odgovornost«.

Varovanje so konkretni ukrepi, ki preprečujejo neželene dogodke – varnostniki, ograje, alarmi, kontrola pristopa, videonadzor. Varnost je širše stanje obvladovanih tveganj, ki ga dosegamo z organizacijo, procesi, pravili in ukrepi.

Odpornost je sposobnost organizacije, da kljub motnji deluje naprej in si hitro opomore. Zrel pristop pokriva vse troje: preprečevanje tega, kar je mogoče preprečiti, zaznavanje preostalega in pripravljenost na dogodke, ki se bodo zgodili kljub ukrepom.

Odgovornost za varnost je vedno na vodstvu, za izvedbo pa je smiselno imeti eno jasno določeno osebo – vodjo korporativne varnosti. V manjših organizacijah je to lahko del delovnega mesta ali zunanji strokovnjak, pomembno je le, da ima pooblastila, dostop do vodstva in proračun.

Vlogo je treba formalizirati s sklepom in opisom nalog, sicer varnost ostane na papirju. Ločiti je treba tudi odločanje o tveganjih (vodstvo) od strokovne priprave podlag (varnostna funkcija); zunanja podpora je uporabna zlasti pri oceni tveganj in neodvisnem pogledu.

Poslovodstvo mora po 263. členu ZGD-1 ravnati v dobro družbe s skrbnostjo vestnega in poštenega gospodarstvenika ter varovati poslovno skrivnost. Če te dolžnosti krši, je družbi solidarno odškodninsko odgovorno, dokazno breme pa je obrnjeno – član poslovodstva mora dokazati, da je svoje dolžnosti izpolnjeval pošteno in vestno.

Poleg tega področni predpisi vodstvu nalagajo konkretne naloge: ZInfV-1 zahteva odobritev in nadzor kibernetskovarnostnih ukrepov, GDPR odgovornost za obdelavo osebnih podatkov, predpisi o varnosti in zdravju pri delu ter o požarni varnosti pa svoje. Več na strani Odgovornost direktorja.

Ocena tveganja je strukturiran pregled, kaj vse lahko organizaciji škoduje, kako verjetno je to in kakšne bi bile posledice. Poteka v korakih: popis sredstev in kritičnih procesov, prepoznava groženj in ranljivosti, ocena verjetnosti in vpliva, ovrednotenje obstoječih ukrepov ter predlog dodatnih ukrepov s prednostnim vrstnim redom.

Rezultat ni seznam strahov, temveč odločitveni dokument: kaj bomo zmanjšali, kaj prenesli (na primer z zavarovanjem), čemu se bomo izognili in kaj bomo zavestno sprejeli. Brez tega se vlaga v ukrepe, ki ne naslavljajo največjih tveganj. Izvedemo jo lahko za vas – ocena tveganja.

Praviloma vsaj enkrat letno, vedno pa ob pomembnih spremembah: novi lokaciji ali dejavnosti, večji reorganizaciji, novem informacijskem sistemu, zamenjavi ključnega dobavitelja, širitvi na nov trg ali po večjem incidentu.

Letni pregled ne pomeni vsakič nove celovite analize – pogosto zadošča posodobitev ključnih predpostavk in preverba, ali so dogovorjeni ukrepi res izvedeni. Pomembneje od pogostosti je, da ocena ostane živ dokument, ki usmerja proračun in prednostne naloge.

Varnostni načrt prevede ugotovitve ocene tveganja v konkretne ukrepe. Vsebovati mora opis varovanih vrednot in con, organizacijo varovanja z vlogami in pooblastili, tehnične ukrepe (kontrola pristopa, protivlomni in protipožarni sistemi, videonadzor), postopke ob dogodkih, usposabljanja ter načrt vzdrževanja in preverjanja.

Dober načrt je izvedljiv in merljiv: za vsak ukrep določa nosilca, rok in način preverjanja. Vsebovati mora tudi scenarije ravnanja – kaj naredi receptor ob grožnji, kdo obvesti vodstvo, kdo komunicira navzven. Pri pripravi pomaga varnostno načrtovanje.

Izhodišče je vprašanje, brez česa organizacija ne more poslovati niti nekaj dni. Za vsak proces ocenimo, kakšna je finančna, pravna, ugledna in varnostna posledica njegovega izpada, nato pa določimo sredstva, od katerih je odvisen: ljudi s ključnim znanjem, aplikacije, podatke, prostore, opremo in dobavitelje.

Tako nastane kratek seznam resnično kritičnih točk, ki je običajno precej krajši, kot pričakujejo vodje posameznih oddelkov. Prav ta seznam usmerja naložbe v redundanco, varnostne kopije, nadomestne dobavitelje in dvojno pokritost ključnih vlog.

Z vnaprej dogovorjenimi kazalniki, ne z občutkom. Uporabni so na primer delež izvedenih ukrepov iz načrta, čas od zaznave do odziva, število incidentov po vrstah in trend, delež zaposlenih z opravljenim usposabljanjem, rezultati preizkusov in vaj ter delež kritičnih dobaviteljev s preverjenimi varnostnimi zahtevami.

Pomembna je tudi neodvisna preverba: notranja presoja, test sistema varovanja ali zunanji pregled. Merjenje ima smisel le, če se o rezultatih redno poroča vodstvu in če slabi rezultati vodijo v spremembo ukrepov.

Neprekinjeno poslovanje je sposobnost organizacije, da ob motnji ohrani izvajanje ključnih dejavnosti na sprejemljivi ravni in jih čim prej vrne v normalno stanje. Motnja ni nujno dramatična – lahko gre za izpad informacijskega sistema, odsotnost ključnih ljudi, zaprtje lokacije ali izpad dobavitelja.

Brez pripravljenih načrtov se odločitve sprejemajo pod pritiskom in improvizirano, kar podaljša izpad in poveča škodo. Vse pogosteje je neprekinjeno poslovanje tudi zahteva naročnikov in predpisov. Več na strani Neprekinjeno poslovanje.

Analiza vplivov na poslovanje (BIA) za vsak proces ugotovi, kako hitro njegov izpad postane nesprejemljiv in katere so medsebojne odvisnosti. Iz nje izhajata dva ključna parametra: RTO (ciljni čas obnovitve) pove, v kolikšnem času mora proces spet delovati, RPO (ciljna točka obnovitve) pa, koliko podatkov si smemo privoščiti izgubiti.

Ta dva podatka sta podlaga za konkretne tehnične odločitve – pogostost varnostnih kopij, potrebo po redundanci, nadomestne lokacije in pogodbene odzivne čase dobaviteljev. Brez njiju so pogovori o »zanesljivosti« nemerljivi.

Krizni načrt opredeljuje, kako organizacija odloča in komunicira med resnim dogodkom. Določa merila za razglasitev krize, sestavo in pooblastila krizne skupine, način sklica (tudi če običajni kanali ne delujejo), naloge po vlogah in pravila komuniciranja z zaposlenimi, strankami, mediji in organi.

Krizno skupino običajno sestavljajo predstavnik vodstva kot vodja, odgovorni za varnost, IT, kadre, pravo, komuniciranje in operativo, vsak z določenim namestnikom. Ključno je, da ima skupina vnaprej podeljena pooblastila za odločitve, ki jih sicer sprejema uprava.

Vsaj enkrat letno za ključne scenarije. Najlažje se začne z namizno vajo, pri kateri skupina na podlagi scenarija odloča za mizo – to običajno hitro razkrije manjkajoče kontakte, nejasne vloge in napačne predpostavke o odzivnih časih.

Naslednja stopnja so delne tehnične vaje (preizkus obnovitve iz varnostne kopije, preklop na nadomestno lokacijo) in šele nato celovite vaje. Po vsaki vaji je treba zapisati ugotovitve in načrt popraviti; vaja brez popravka načrta je izgubljen čas.

ZKI-1 (Zakon o kritični infrastrukturi), objavljen v Uradnem listu RS, št. 102/24, v slovenski pravni red prenaša evropsko direktivo (EU) 2022/2557 o odpornosti kritičnih subjektov. Zajema sektorje, kot so energetika, promet, bančništvo, infrastruktura finančnega trga, zdravstvo, pitna in odpadna voda, digitalna infrastruktura, javna uprava, vesolje ter proizvodnja, predelava in distribucija hrane.

Določeni kritični subjekti morajo izdelati oceno tveganja, pripraviti in najmanj vsaki dve leti posodabljati načrt odpornosti, izvajati ukrepe odpornosti, določiti kontaktno osebo ter sporočati izredne dogodke – prvo obvestilo najpozneje v 24 urah, celovito poročilo pa v enem mesecu. Zakon je predvidel določitev kritičnih subjektov do 17. julija 2026, načrte odpornosti pa v devetih mesecih od obvestila o določitvi.

Vedno od tveganj proti tehnologiji, nikoli obratno. Najprej določimo, kaj varujemo in pred čim, nato cone in poti gibanja, šele potem izberemo sisteme: kontrolo pristopa, protivlomni sistem, videonadzor, mehansko zaščito, javljanje požara in po potrebi fizično varovanje.

Načrt mora opredeliti tudi, kdo se na alarm odzove in v kakšnem času – sistem brez organiziranega odziva je le evidenca dogodkov. Upoštevati je treba vzdrževanje, redne preizkuse, napajanje ob izpadu in zastaranje opreme. Pri tem pomaga načrtovanje varnostnih sistemov.

Conska zaščita pomeni, da objekt razdelimo na območja z različno stopnjo občutljivosti – javno, poslovno, omejeno in posebej varovano – ter za vsako določimo, kdo sme vstopiti in kako se to preverja. Prehodi med conami so nadzorovane točke.

Načelo več plasti pomeni, da se noben ukrep ne zanaša sam nase: ograja odvrača, kontrola pristopa omejuje, alarm zazna, videonadzor dokumentira, odziv ukrepa. Če ena plast odpove, druge še vedno delujejo – kar je ključno, saj je vsak posamičen ukrep mogoče obiti.

Oba sistema obdelujeta osebne podatke, zato poleg tehnike velja pravni okvir. Za videonadzor ZVOP-2 zahteva pisni sklep o uvedbi, vidno obvestilo z zakonsko določeno vsebino, omejene roke hrambe posnetkov in sledljivost dostopov; za videonadzor delovnih prostorov veljajo dodatni pogoji in obvezno posvetovanje s predstavniki zaposlenih.

Pri kontroli pristopa je treba opredeliti namen, obseg zbranih podatkov, rok hrambe in dostopne pravice ter evidenco vključiti v evidenco dejavnosti obdelave. Podrobneje o tem v FAQ – Varstvo osebnih podatkov.

Fizično varovanje je smiselno tam, kjer tehnika ne zadošča: pri nadzoru vstopa večjega števila ljudi, pri visoki vrednosti varovanega premoženja, pri tveganju nasilja ali kadar je potreben hiter odziv na kraju samem. Pogosto je najučinkovitejša kombinacija tehnike in prisotnosti ljudi.

Pri izvajalcu preverite licenco za zasebno varovanje, zavarovanje odgovornosti, usposobljenost in fluktuacijo osebja, dejanske odzivne čase ter natančnost navodil za delo. Pogodba naj vsebuje merljive obveznosti, način poročanja in postopek ob incidentu, ne le število ur prisotnosti.

Obiskovalce je treba najaviti, ob prihodu identificirati, jim izdati vidno označbo in zagotoviti spremstvo v varovanih conah. Jasno mora biti, kam obiskovalci smejo brez spremstva in kam ne, ter kako se ravna z dostavljavci, serviserji in zunanjimi izvajalci, ki potrebujejo daljši dostop.

Evidenco vstopov in izstopov posebej ureja ZVOP-2, zato je treba vnaprej določiti, kateri podatki se zbirajo, koliko časa se hranijo in kdo ima dostop; zbiranje kopij osebnih dokumentov praviloma ni dopustno. Evidenco vključite v evidenco dejavnosti obdelave in jo omejite na nujno potrebno.

Notranja grožnja izhaja od ljudi, ki imajo legitimen dostop – zaposlenih, pogodbenikov, zunanjih izvajalcev. Lahko je namerna (kraja podatkov, prevara, sabotaža) ali nenamerna (nepazljivost, obid pravil zaradi hitrejšega dela). Prav zato jo je težje zaznati kot zunanji napad.

Obvladujemo jo z načelom najmanjših potrebnih pravic, ločevanjem nezdružljivih nalog, štirimi očmi pri plačilih in kritičnih spremembah, beleženjem dostopov, dosledno odvzeto pravico ob odhodu ter kulturo, v kateri je prijava suma varna. Tehnični nadzor mora biti sorazmeren in vnaprej napovedan v internih aktih.

Deloma. Pri kandidatih je dopustno preveriti podatke, ki so neposredno povezani z zahtevami delovnega mesta – na primer reference, izobrazbo in javno dostopne poslovne podatke; zahtevanje podatkov o nekaznovanosti ali drugih občutljivih podatkih je dopustno le, kadar ima delodajalec za to zakonsko podlago.

Pri zaposlenih je preverjanje vezano na legitimen namen in mora biti sorazmerno, pri sumu kršitev pa je treba upoštevati delovnopravne postopke in varstvo osebnih podatkov. Postopek je smiselno vnaprej urediti v internem aktu. Ponujamo preverjanje zaposlenih in kandidatov.

Korporativna integriteta je skladnost ravnanja organizacije z zakoni, lastnimi pravili in etičnimi standardi. Zajema preprečevanje korupcije in prevar, obvladovanje nasprotij interesov, pravila o darilih in gostoljubju, preverjanje poslovnih partnerjev ter jasna pravila o tem, kaj je nesprejemljivo.

Pomembna je, ker so integritetni dogodki običajno dražji od tehničnih incidentov – prinesejo kazni, izgubo poslov, odpoved pogodb in trajno škodo ugledu. Vse pogosteje jo preverjajo tudi naročniki in banke. Več na strani Korporativna integriteta organizacije.

Pravno varstvo poslovne skrivnosti ni samodejno – informacija mora biti skrivna, imeti tržno vrednost zaradi skrivnosti in biti predmet razumnih ukrepov za ohranitev zaupnosti. Če teh ukrepov ni, je pred sodiščem težko dokazati, da je šlo za poslovno skrivnost.

Praktično to pomeni: pisni sklep o določitvi poslovnih skrivnosti, označevanje dokumentov, omejen dostop po načelu potrebe po vednosti, pogodbe o zaupnosti z zaposlenimi in partnerji, pravila za odnašanje podatkov ter dosleden odvzem dostopov ob odhodu zaposlenega. Vse to je treba tudi dokumentirati.

Zakon o zaščiti prijaviteljev (ZZPri) zavezuje subjekte javnega sektorja in delodajalce v zasebnem sektorju z najmanj 50 zaposlenimi, v nekaterih dejavnostih (na primer zdravstvo, ravnanje z vodo in odpadki) pa tudi manjše. Vzpostaviti morajo notranjo pot za prijavo, imenovati zaupnika ter zagotoviti zaupnost in zaščito prijavitelja pred povračilnimi ukrepi.

Pomembno je, da prijavitelja ni dovoljeno razkrivati niti posredno, zato je treba prepovedati vsakršno ugotavljanje njegove identitete. Sistem naj bo preprost za uporabo, roki za potrditev prejema in povratno informacijo pa spoštovani. Več na strani Zakon o zaščiti prijaviteljev.

Najprej zavarujte ljudi, nato kraj in dokaze, šele potem obnavljajte delovanje. Obvestite vnaprej določeno osebo, zabeležite čas in okoliščine, omejite širjenje škode in se izogibajte ukrepom, ki uničijo sledi (na primer prenagljeno brisanje ali ponovna namestitev sistemov).

Vzporedno ocenite pravne obveznosti: ali gre za pomemben incident po ZInfV-1, ali so vpleteni osebni podatki (prijava Informacijskemu pooblaščencu v 72 urah), ali je treba obvestiti zavarovalnico, naročnike ali policijo. Vsak incident naj se zaključi z zapisom ugotovitev in popravnimi ukrepi.

Interna preiskava je strukturirano ugotavljanje dejstev ob sumu kršitve – prevare, odtekanja podatkov, zlorabe položaja. Vključuje zbiranje dokumentacije, pogovore, analizo podatkov in po potrebi forenziko, vse pa mora temeljiti na vnaprej sprejetem internem aktu.

Zakonitost je ključna: spoštovati je treba delovnopravne predpise, varstvo osebnih podatkov in sorazmernost, pogovori ne smejo biti prisilni, dostop do zasebnih vsebin zaposlenega pa je močno omejen. Pri digitalnih sledeh je nujna računalniška forenzika, pri zahtevnejših primerih pa analiza incidentov.

Najprej popišite dobavitelje, ki imajo dostop do vaših prostorov, sistemov ali podatkov, in jih razvrstite po kritičnosti. Za kritične določite varnostne zahteve že v razpisni fazi, ne šele ob podpisu.

V pogodbo sodijo: zaupnost, konkretni varnostni ukrepi, obveščanje o incidentu v določenem roku, pravila o podizvajalcih, pravica do preverjanja ali predložitve poročila neodvisnega presojevalca, zahteve glede neprekinjenosti in odzivnih časov ter ravnanje s podatki in dostopi ob prenehanju sodelovanja. Koristna podlaga za odločanje je tudi poslovno obveščevalna analiza.

ISO 31000 daje okvir za obvladovanje tveganj, ISO 22301 za neprekinjeno poslovanje, ISO/IEC 27001 za upravljanje informacijske varnosti, ISO 37301 pa za sistem skladnosti poslovanja. Standardi niso obvezni, so pa preverjena struktura, ki prepreči, da bi varnost ostala pri posameznih ukrepih brez sistema.

Njihova dodatna vrednost je v dokazljivosti: certifikat ali vsaj dosledna uporaba standarda olajša odgovore na varnostne vprašalnike naročnikov in dokazovanje skrbnosti ob inšpekcijskem nadzoru. Pri uvedbi in vzdrževanju pomagamo – ISO standardi.

Začnite z realnim pregledom stanja in oceno tveganja – brez nje se denar porabi za ukrepe, ki ne naslavljajo največjih nevarnosti. Nato določite odgovorno osebo, pripravite kratek varnostni načrt s prednostnimi ukrepi in rešite najbolj izpostavljene vrzeli, ki so običajno dostopne pravice, varnostne kopije, kontrola vstopa in usposabljanje zaposlenih.

V naslednji fazi uredite dokumentacijo, postopke ob incidentih in neprekinjeno poslovanje, nato pa vpeljite redno preverjanje in vaje. Prvi posvet in okvirno oceno stanja opravimo brezplačno – pošljite povpraševanje.