Smernice za informacionu bezbednost za mala i srednja preduzeća

Mala i srednja preduzeća, kako na globalnom nivou tako i u Srbiji, su daleko najbrojniji vid poslovnih subjekata. Prema dostupnim podacima mala i srednja preduzeća čine gotovo 99,5% srpske privrede i učestvuju sa gotovo 60% u ukupnom prometu i sa preko 51% u ukupnoj bruto dodatoj vrednosti u Srbiji[1]. Kriterijumeza razvrstavanje pravnih lica i preduzetnika propisuje Zakon o računovodstvu, ali u ovu kategoriju mogu spadati, na primer, i male radnje sa nekoliko zaposlenih i fabrike sa par stotina radnika, a i poslovni prihodi po zaposlenom u preduzećima koja spadaju u ovu kategoriju mogu biti veoma različiti.

Promene koje je doneo razvoj informacionih i komunikacionih tehnologija poslednjih godina i decenija nije zaobišao ni mala i srednja preduzeća bez obzira kojom delatnošću se bave. U publikaciji Republičkog zavoda za statistiku „Upotreba informaciono-komunikacionih tehnologija u Republici Srbiji“ objavljeni su  statistički podaci značajni za sagledavanje trenutne situacije po pitanju upotrebe informaciono-komunikacionih tehnologija u malim i srednjim preduzećima[2].

Pregledom podataka može se utvrditi da je upotreba informaciono-komunikacionih tehnologija u stalnom porastu. U poslednjih nekoliko godina značajno je porastao procenat zaposlenih koji upotrebljavaju internet u poslovne svrhe, kako u malim tako i u srednjim preduzećima.

Slika 1: Procenat preduzeća u kojima internet za poslovne potrebe koristi više od 75% zaposlenih

Veliki procenat malih i srednjih preduzeća koristi internet (veb) sajtove u svom poslovanju. 82,4% malih i 94,2% srednjih preduzeća poseduje veb sajt, a preko njega pruža sledeće usluge:

[1] Publikacija „Preduzeća u Republici Srbiji, prema veličini 2023“ Republičkog zavoda za statistiku Srbije

[2] Publikacija „Upotreba informaciono-komunikacionih tehnologija u Republici Srbiji“ objavljuje se jednom godišnje. U trenutku pisanja ovih Smernica poslednja objavljena publikacija bila je iz 2023. godine, ali upitnikom nisu obuhvaćena pitanja iz oblasti IKT bezbednosti pa su iz tog razloga za ovu oblast korišćeni statistički podaci iz publikacije za prethodnu godinu.

Tabela 1: Pružanje usluga putem veb sajta

Mala i srednja preduzeća u sve većoj meri koriste i društvene mreže kao za podršku poslovanju, i to:

Tabela 2: Korišćenje društvenih mreža

Analizu podataka primenjuje 18,1% malih i 39,4% srednjih preduzeća, a upotreba klauda u različite svrhe je zastupljena u značajnoj meri:

Tabela 3: Korišćenje klaud servisa

Zabeležena je i primena tehnologije veštačke inteligencije, i to kod 1,8% malih i kod 2,4% srednjih preduzeća.

Po pitanjima stručne radne snage u oblasti informaciono-komunikacionih tehnologija, 18,3% malih i 40,6% srednjih preduzeća zapošljava stručnjake u oblasti IKT. U 2021. godini 4,9% mailh i 14,9% srednjih preduzeća imalo je potrebu za zapošljavanjem IKT stručnjaka, ali u 49,9% slučajeva kod malih i u 59,1% slučajeva kod srednjih preduzeća suočili su se sa teškoćama da nađu adekvatnu radnu snagu.

U takvim okolnostima, u 32,8% malih preduzeća održavanje IKT infrastrukture, podršku za Office softver, razvoj ili podršku za softver za upravljanje poslovanjem i druge poslove vezane za informaciono-komunikacione tehnologije obavlja neko od zaposlenih (većina od njih ima i druga zaduženja, a ove poslove obavlja kao dodatnu obavezu), dok 67,1% malih preduzeća za takve poslove angažuje treća lica (eksterne dobavljače). Kod 51,2% srednjih preduzeća poslove vezane za IKT obavljaju zaposleni u preduzeću, a 65,7% angažuje treća lica[1].

Po pitanju obuka u oblasti informaciono-komunikacionih tehnologija, 6,7% malih i 22,8% srednjih preduzeća upućuje svoje IKT stručnjake na obuke iz ove oblasti, dok 15,7% malih i 29,2% srednjih preduzeća na obuke iz informaciono-komunikacionih tehnologija upućuje i ostale zaposlene.

Kada je reč o bezbednosti IKT sistema može se primetiti da postoji izvesna razlika u angažovanju trećih lica, u smislu da se ona angažuju u nešto manjoj meri. Zaposleni su zaduženi za sprovođenje aktivnosti u vezi sa bezbednošću IKT sistema kod 35,4% malih i kod 50,7% srednjih preduzeća, dok 61,7% malih i 54,9% srednjih preduzeća i za ovu vrstu poslova angažuje treća lica.

U kolikom procentu se pojedine bezbednosne mere primenjuju u malim i srednjim preduzećima prikazano je sledećom tabelom:

Tabela 4: Primena mera bezbednosti u IKT sistemima malih i srednjih preduzeća

[1] Deo preduzeća angažuje i sopstvene zaposlene i treća lica pa je zbog toga zbir veći od 100%.

U 51,8% malih i 63,5% srednjih preduzeća postoje izrađeni dokumenti o merama, praksi ili procedurama o bezbednosti u IKT sistemu. Ažurnost ovih dokumenata predstavljena je sledećom tabelom:

Tabela 5: Ažuriranje dokumenata o merama, praksi ili procedurama o bezbednosti IKT sistema

U većini malih i srednjih preduzeća postoji svest o potrebi za zaštitom IKT sistema i informacija, ali nemaju sva preduzeća mogućnosti da organizuju obuke iz ove oblasti pa zaposleni često moraju sami da nalaze načine za dobijanje potrebnih informacija.

Tabela 6: Upoznavanje zaposlenih o obavezama po pitanju bezbednosti

* Napomena: Podaci o primeni mera bezbednosti, radnoj snazi i obukama su iz publikacije „Upotreba informaciono-komunikacionih tehnologija u Republici Srbiji“ za 2022. godinu

Istraživanje sprovedeno u Evropskoj Uniji identifikovalo je sedam najvećih izazova za mala i srednja preduzeća u oblasti informacione bezbednosti:

• nizak nivo svesti zaposlenih o rizicima,
• neodgovarajuća zaštita kritičnih i osetljivih informacija,
• nedostatak budžeta,
• nedostatak stručnjaka za informacionu bezbednost,
• nedostatak odgovarajućih smernica za informacionu bezbednost za mala i srednja preduzeća,
• pomeranje rada u IKT okruženju van kontrole preduzeća i
• slaba podrška menadžmenta.

Istraživanje je takođe pokazalo i da mnoga preduzeća iz ove kategorije veruju da je zaštita implementirana u uređaje u IKT sistemu dovoljna i da nije potrebno da primenjuju dodatne mere bezbednosti.[1]

Uzimajući u obzir prethodno navedene statističke podatke i rezultate istraživanja može se zaključiti da u malim i srednjim preduzećima, u opštem slučaju, nije dovoljno razvijena svest o pretnjama i rizicima koji postoje prilikom upotrebe informaciono-komunikacionih tehnologija, ili se rizici svesno zanemaruju zbog nedostatka sredstava ili nemogućnosti obezbeđenja ljudskih resursa. Deo ovih nedostataka može se uspešno kompenzovati a rizici smanjiti dobrim pristupom i podizanjem svesti zaposlenih.

Ove Smernice su namenjene zaposlenima u malim i srednjim preduzećima, koja su posebno osetljiva na sajber napade jer obim i šteta koju sajber napad prouzrokuje mogu biti takvi da preduzeće nakon toga ne bude u mogućnosti da se vrati normalnom poslovanju. Smernice su namenjene svim kategorijama zaposlenih, od pripravnika do vlasnika preduzeća, jer napadači koriste svaku ranjivost da bi realizovali svoj cilj.

Smernice su takođe namenjene i predavačima koji realizuju obuke iz oblasti informacione bezbednosti za mala i srednja preduzeća. Njima Smernice mogu poslužiti za pripremu predavanja i kao izvor primera iz prakse.

Napomena: u tekstu se reč „preduzeće“ uvek upotrebljava u smislu „malo i srednje preduzeće“.

[1] Izvor: https://www.enisa.europa.eu/publications/enisa-report-cybersecurity-for-smes