Kibernetski napadalci danes ne napadajo le spletnih strani, temveč predvsem naprave zaposlenih. Kako poskrbeti, da ena okužena naprava ali klik na škodljivo povezavo v e-poštnem sporočilu ne ogrozi celotnega podjetja?
VSloveniji se je lani zgodilo nekaj, kar bi moral vzeti na znanje vsak direktor, lastnik in vodja IT: nacionalni odzivni center SI-CERT je obravnaval 6.196 kibernetskih incidentov oziroma kar 35 odstotkov več kot leto prej. Od tega je bilo 778 zahtevnejših. Poslovne prevare so predstavljale skoraj 2.000 primerov, policija pa je zabeležila 40,4 milijona evrov škode zaradi spletnih goljufij. To ni več le »problem informatike«. Letos bodo številke (zagotovo) še višje. Gre za neposredne grožnje poslovanju, denarju in ugledu podjetij.
Kibernetske grožnje in napadi niso le nadloga »bogatih«. Napadalci že lep čas ne iščejo več samo velikih korporacij. Nasprotno, celo raje imajo manjše in »nebogljene« ter nič hudega sluteče tarče, ki praktično ne nudijo odpora. Izbirajo računovodstva, srednja podjetja, dobavitelje in celo manjša podjetja, ki imajo dovolj podatkov ali dovolj denarja, da se akterjem napad izplača. Vrivanje v poslovno komunikacijo, lažne investicijske sheme, okužene naprave (tudi v gospodinjstvih), ki nato napadajo s slovenskih IP-naslovov... vse to je danes del temne plati kibernetskega vsakdana. Vprašanje ni več, ali bo do napada prišlo, ampak to, kdaj in kako hitro bo podjetje sposobno nadaljevati delo, ko se napad zgodi.
Zakaj se podjetja še vedno ujamejo v past
Bizarno, toda večina uspešnih napadov se začne z nečim preprostim: lažnim e-poštnim sporočilom, esemesom ali s klicem. Dodatno težavo predstavlja dejstvo, da napadalci s pridom uporabljajo umetno inteligenco, ki poskrbi, da so tovrstna sporočila videti presneto ali celo popolnoma verodostojna. Povprečna škoda pri prevarah, ki so jih lani prijavila slovenska podjetja, je presegla 46.000 evrov. Pri napadih z vrivanjem v poslovno komunikacijo so zneski še višji, tudi 170.000 evrov in več. Tako je v Sloveniji, v tujini lahko hitro dodajo še ničlo ali dve.
Še bolj problematično je, da mnoga podjetja še vedno nimajo jasne slike, kje so njihovi kritični podatki, kdo ima dostop do njih in kako hitro lahko obnovijo poslovanje in delovanje sistema ob morebitnem napadu. Ko pride do izsiljevalskega virusa ali uspešnega vdora, se pogosto izkaže, da varnostne kopije niso bile preverjene, da ni bilo načrta za neprekinjeno poslovanje ali da so privilegirani dostopi preveč razširjeni.
Zakon o informacijski varnosti (ZInfV-1), ki velja od junija 2025, je to realnost formaliziral. Številna podjetja z več kot 50 zaposlenimi in s prometom nad 10 milijonov evrov so postala njegovi zavezanci. Od njih se zahtevajo dokumentiran sistem upravljanja informacijske varnosti, ocene tveganj, načrti za odzivanje na incidente in redna usposabljanja zaposlenih. Rok za uskladitev večine ukrepov poteče konec letošnjega leta. Potem so tudi še kazni za neskladnost z zakonodajnimi zahtevami, ki segajo do več milijonov evrov. Bolj kot kazen naj bo motiv podjetij škoda, ki jo lahko povzroči zaustavitev poslovanja.
Skrb za odpornost poslovanja
Odpornost ni isto kot zaščita. Ta poskuša napad preprečiti. Odpornost pa predvideva, da bo napad (vsaj delno) uspel, in zagotavlja, da podjetje kljub temu deluje naprej. Uspešna podjetja zato danes gradijo svojo kibernetsko odpornost na štirih stebrih. Prvega predstavlja jasna slika tveganj in IT-virov. Najprej mora podjetje vedeti, kaj varuje. Inventar informacijskih sredstev, klasifikacija podatkov, zemljevid dobavne verige in seznam privilegiranih dostopov niso le birokratska zahteva. So zemljevid, brez katerega podjetje ne more vedeti, kje ga napad najbolj »boli«. Podjetja, ki so poskrbela za natančno beleženje svoje IKT-krajine, lahko v primeru varnostnega incidenta veliko hitreje izolirajo problem in omejijo škodo.
Šele nato pride na vrsto tehnična zaščita. Večfaktorska avtentikacija, omejevanje pravic dostopa do podatkov in sistemov, segmentacija omrežja, redno krpanje ranljivosti in sodobna zaščita delovnih postaj so danes varnostni minimum. Posebno pozornost skrbnikov za varnost zaslužijo mobilne naprave in osebne naprave zaposlenih, ki vstopajo v poslovno okolje. SI- -CERT opozarja na naraščajočo uporabo »posrednikov v gospodinjstvih«. Gre za naprave, ki so videti nedolžne, a omogočajo napadalcem, da delujejo z »domačih« IP-naslovov. Blokade zlonamernih domen, ki jih objavlja SI-CERT, so enostaven in učinkovit ukrep, ki ga lahko podjetje »vklopi« na požarnih pregradah in DNS-strežnikih.
Ljudje kot prva in zadnja obrambna linija
Tehnologija ne more nadomestiti ozaveščenih zaposlenih. Aktivno preverjanje »dojemljivosti za prevare«, redna usposabljanja in jasna navodila, kaj storiti, ko nekaj »ni v redu«, zmanjšujejo uspešnost napadov bolj kot večina tehničnih rešitev. Program Varni v pisarni in spletni seminarji SI-CERT kažejo, da podjetja in organizacije, ki vlagajo v ljudi, beležijo manj uspešnih varnostnih incidentov, pri čemer je daleč najpomembneje, da usposabljanje ni enkraten dogodek, ampak stalen proces, saj se tudi tehnike in pristopi napadalcev menjajo.
Napadalci izrabljajo predvsem trenutke nepazljivosti. En sam nepremišljen klik zaposlenega ali prenos okužene datoteke na eni napravi lahko povzroči zaklep podatkov, finančno škodo ali celo okužbo celotnega poslovnega omrežja.
Za varnost in odpornost poslovanja kot celote je zato najbolj ključen »načrt, ki ga poznajo vsi«. Načrt odziva na incidente in načrt neprekinjenega poslovanja morata biti tudi preizkušena v praksi. Kaj to pomeni? Vsi zaposleni v podjetju morajo vedeti, kdo odloča ter kdo komunicira, medtem ko na osebje IT padejo ključne naloge, kako se izolira sistem, kako se obnovijo podatki in kako se povrne normalno delovanje. Podjetja, ki so te scenarije z zaposlenimi preizkusila na vajah, se v realnem incidentu odzovejo bistveno hitreje. Tudi 24-urno dežurstvo v obliki storitev varnostno operativnih centrov in lokalno upravljanih ekosistemov (omrežja, podatkovni centri, oblaki) prinašajo prednost, zlasti z vidika digitalne suverenosti, a o njih več v drugem članku.
Čakanje ni rešitev
Z ureditvijo kibernetske varnosti in odpornosti ne gre čakati, saj lahko podjetje kibernetski napad doleti dobesedno kadarkoli. Varnostni strokovnjaki zato predlagajo več konkretnih ukrepov/korakov, ki jih podjetja lahko izvedejo že danes. Takole se glasijo:
• Preverite, ali ste zavezanec po ZInfV-1, in se po potrebi registrirajte.
• Naredite ali posodobite analizo tveganj in inventar kritičnih sredstev. • Vklopite večfaktorsko avtentikacijo povsod, kjer je to mogoče.
• Uvedite redna preverjanja odzivanja zaposlenih in kratka, praktična usposabljanja.
• Preverite, ali so varnostne kopije dejansko obnovljive, in to preizkusite v praksi.
• Vzpostavite jasen postopek prijave sumljivih sporočil (phi shing@cert.si je dobra praksa).
• Razmislite o zunanji podpori varnostno operativnega centra, če nimate lastnih varnostnih strokovnjakov.
• Vključite kibernetsko varnost v upravljanje dobavne verige. Pomnite: vaš najšibkejši dobavitelj je lahko vaša največja ranljivost.
Odpornost je konkurenčna prednost
Kibernetski napad, ki ustavi poslovanje za nekaj dni ali tednov, lahko stane več kot večletne naložbe v varnost. Podjetja, ki danes sistematično gradijo odpornost, ne zmanjšujejo le tveganj, temveč gradijo zaupanje strank, partnerjev in regulatorjev. V okolju, kjer so napadi vse bolj ciljani in finančno motivirani, postaja sposobnost hitrega okrevanja ena od ključnih poslovnih kompetenc.
Napadalci ne bodo počakali. Niti zakonodaja. Niti stranke. Čas za ukrepanje je zdaj, še preden kibernetski napad zaustavi vaše poslovanje.
Trenutne grožnje in operativni izzivi
Po podatkih Agencije Evropske unije za varnost omrežij in informacij (ENISA) poročilo Threat Landscape 2026 razkriva, da so v EU najpogostejši napadi onemogočanja storitev (DDoS – 51,3 odstotka) in nepooblaščeni dostopi (39,5 odstotka). Večina napadov izbira ključne in pomembne subjekte po NIS 2, zlasti javno upravo, poslovne storitve, promet, proizvodnjo ter finančni sektor. Umetna inteligenca pospešuje pripravo prepričljivih prevarantskih sporočil, vsebin s t. i. globokimi ponaredki in prilagodljive zlonamerne kode. Pojavljajo se tudi že prvi primeri zlonamerne programske opreme, ki med izvajanjem uporablja generativno umetno inteligenco. Pri varnostnih incidentih nepooblaščenega dostopa, kjer je bil vektor napada identificiran (v zgolj 5,2 odstotka primerov), je kar 60 odstotkov napadov izkoriščalo t. i. ranljivost ničtega dne.
Omenjeno poročilo se je posvetilo tudi odkrivanju motivacije napadalcev in ugotovilo, da v EU prednjačijo ideološko motivirani napadi, predvsem t. i. hacktivizem, ki predstavljajo 57 odstotkov vseh incidentov, sledijo pa jim finančno motivirani napadi (30 odstotkov) in kibernetsko vohunjenje na državni ravni (6 odstotkov). Čeprav so napadi z zavrnitvijo storitev (t. i. DDoS) lani številčno prevladovali, so finančno motivirani napadi, zlasti z izsiljevalsko programsko opremo, najbolj »boleči« na kratki rok. Izsiljevalska programska oprema, kraje podatkov in prevare so podjetjem lani povzročile največjo poslovno škodo.
V Sloveniji se poleg prevar in spletnih goljufij pojavljajo tudi naprednejši napadi na podjetja, zlasti vrivanje v poslovno komunikacijo in zlorabe mobilnih naprav ter denarnic. Podjetja in institucije se soočajo še z izzivom digitalne suverenosti oziroma vprašanjem, kje dejansko se nahajajo njihovi podatki, kdo ima dostop do njih in pod katero jurisdikcijo se obdelujejo.
Še več regulative, usmerjene v odpornost digitalne družbe
Osnutek Strategije kibernetske varnosti Republike Slovenije 2027–2035, ki je oktobra šel v javno obravnavo, postavlja jasne prioritete: krepitev nacionalnega sistema, večja odpornost družbe, boj proti kibernetskemu kriminalu in obvladovanje novih tehnologij, vključno z umetno inteligenco in s postkvantno kriptografijo. Za podjetja to pomeni, da se bo pritisk na skladnost in odpornost le še povečeval. Hkrati pa država in EU namenjata sredstva za krepitev zmogljivosti, zlasti pri malih in srednjih podjetjih.
Projekti, kot sta ALiEnS-SOC in SECIS, kažejo smer: umetna inteligenca za hitrejše zaznavanje groženj, platforme za izmenjavo znanja in podporo predvsem majhnim in srednje velikim podjetjem. Nekaj je že jasno: podjetja, ki bodo aktivno sodelovala v teh ekosistemih, bodo imela prednost, saj bo njihova kibernetska drža nekaj razredov višja od »ignorantov«.
