Varnostni centri v praksi
Varnostno-operativni centri spremljajo dogajanje v informacijskih sistemih, analizirajo grožnje in pomagajo pri odzivanju na incidente. V Sloveniji delujejo pri ponudnikih storitev in znotraj organizacij, njihove naloge in pristojnosti pa se razlikujejo. Predstavljenim organizacijam smo poslali pisna vprašanja in na podlagi prejetih odgovorov pripravili pregled njihovega dela.
Kibernetska odpornost podjetij in države je odvisna od več vrst ekip. Interni varnostno-operativni center (angl. Security Operations Center, SOC) skrbi za sisteme svoje organizacije, ponudnik upravljanih varnostnih storitev pa nadzira okolja naročnikov in ukrepa v dogovorjenem obsegu. Nacionalni odzivni center ima drugačno vlogo: pomaga pri obravnavi incidentov, usklajuje odzivanje in opozarja na grožnje. Te naloge se dopolnjujejo, vendar to ne pomeni, da vsi centri opravljajo enako delo ali sestavljajo enotno operativno službo.
Za plačilo lahko uporabite plačilno kartico, PayPal, Apple Pay ali Google Pay:
Najprej se morate prijaviti.
V kolikor še nimate svoje prijave, se lahko registrirate.
Varnostno-operativni centri spremljajo dogajanje v informacijskih sistemih, analizirajo grožnje in pomagajo pri odzivanju na incidente. V Sloveniji delujejo pri ponudnikih storitev in znotraj organizacij, njihove naloge in pristojnosti pa se razlikujejo. Predstavljenim organizacijam smo poslali pisna vprašanja in na podlagi prejetih odgovorov pripravili pregled njihovega dela.
Kibernetska odpornost podjetij in države je odvisna od več vrst ekip. Interni varnostno-operativni center (angl. Security Operations Center, SOC) skrbi za sisteme svoje organizacije, ponudnik upravljanih varnostnih storitev pa nadzira okolja naročnikov in ukrepa v dogovorjenem obsegu. Nacionalni odzivni center ima drugačno vlogo: pomaga pri obravnavi incidentov, usklajuje odzivanje in opozarja na grožnje. Te naloge se dopolnjujejo, vendar to ne pomeni, da vsi centri opravljajo enako delo ali sestavljajo enotno operativno službo.
SI-CERT – nacionalno odzivanje
Nacionalni odzivni center za kibernetsko varnost SI-CERT deluje v okviru Arnesa. Koordinira razreševanje incidentov, tehnično svetuje ob vdorih, okužbah in drugih zlorabah ter izdaja opozorila za upravitelje omrežij in širšo javnost. Njegove vloge zato ne gre enačiti s komercialno storitvijo neprekinjenega nadzora naročnikovih sistemov. Pri državnih pristojnostih je treba ločiti tudi SIGOV-CERT, ki obravnava incidente subjektov javne uprave na državni in lokalni ravni ter določenih ponudnikov storitev zaupanja. Pristojni nacionalni organ je Urad Vlade Republike Slovenije za informacijsko varnost (URSIV).
Za odzivanje na širše kampanje napadov je pomembna izmenjava informacij med odzivnimi ekipami, ponudniki storitev in prizadetimi organizacijami. Opozorilo o prevarantski kampanji ali zlonamerni programski opremi lahko drugim pomaga pravočasno preveriti lastno okolje. SI-CERT pri tem prispeva analize in opozorila, ki so uporabni tudi za podjetja brez lastne varnostne ekipe.
CKVO – nadzor in obravnava incidentov
Center za kibernetsko varnost in odpornost (CKVO) Telekoma Slovenije skrbi za varnost infrastrukture Skupine Telekom Slovenije ter izvaja storitve za zunanja podjetja in organizacije. Mag. Matjaž Beričič, direktor področja Omrežje in infrastruktura, poudarja: »CKVO prispeva h kibernetski odpornosti z neprekinjenim spremljanjem varnostnih dogodkov, strokovno obravnavo incidentov ter povezovanjem znanja s področij omrežij, informacijskih sistemov in kibernetske varnosti.«
Janez Anžič, direktor Operativno-storitvenega centra, pa je opisal delovni dan analitikov v CKVO: »Analitiki spremljajo opozorila, preverjajo kontekst, ocenjujejo tveganje in po potrebi sprožijo odziv. Predaja dela med izmenami je strukturirana in sledljiva.« Center omogoča stalno spremljanje in vključevanje dodatnih strokovnjakov glede na zahtevnost dogodka. Pri večjih incidentih se aktivira namenska ekipa za odzivanje na računalniške varnostne incidente (CSIRT), v katero se vključijo analitiki, omrežni strokovnjaki, forenziki, pravniki in komunikatorji. Umetna inteligenca pomaga pri razvrščanju opozoril in iskanju vzorcev, a končna odločitev ostaja človeška.
Po podatkih Telekoma Slovenije so v CKVO v prvi polovici leta 2026 obravnavali več kot 23.000 varnostnih dogodkov. Med grožnjami sogovorniki izpostavljajo ribarjenje, krajo poverilnic, izsiljevalsko programsko opremo, zlorabe ranljivosti in napade na dobavne verige. »Posebej nevarne so kombinirane kampanje, kjer socialni inženiring in legitimna orodja tvorijo popoln napad,« je dodal Boštjan Vrečko, vodja informacijske varnosti v CKVO.
A1 SOC – storitev za poslovne naročnike
A1 Slovenija poslovnim naročnikom ponuja storitev varnostno-operativnega centra, ki deluje neprekinjeno, 24 ur na dan in vse dni v tednu. Lokalna ekipa pri tem sodeluje s strokovnjaki mednarodne Skupine A1. Storitev nadzora naročnikovega informacijskega okolja je treba razlikovati od varovanja operaterjevega lastnega mobilnega in fiksnega omrežja.
Strokovnjaki A1 poudarjajo, da so napadi na telekomunikacijske operaterje pogosto usmerjeni v pridobitev dostopa do širših ekosistemov. Pri nadzoru zato spremljajo anomalije v prometu, sumljive prijave in poskuse tako imenovanega lateralnega premikanja – širjenja napadalca z enega sistema na drugega po začetnem vdoru. Za podjetje, ki najame storitev SOC, pa je najpomembneje, katere sisteme ponudnik spremlja in kaj sledi zaznavi: obvestilo naročniku, priporočilo za ukrepanje ali tudi neposreden poseg. Obseg in pooblastila morajo biti jasno dogovorjeni.
Nadzor poslovnih in procesnih okolij
Smart Comov Smart operativni center (SmartOC) zagotavlja upravljane varnostne in omrežne storitve za poslovna informacijska okolja (IT) ter procesna okolja oziroma operativno tehnologijo (OT) v industriji in kritični infrastrukturi. Združuje strokovnjake za kibernetsko varnost, omrežne tehnologije in upravljanje storitev. Po podatkih podjetja 18 zaposlenih v SmartOC mesečno opravi triažo oziroma začetno presojo približno 4.000 varnostnih dogodkov; pri manj kot odstotku dogodkov poročajo o obsežnejšem incidentu.
»V OT-okoljih so posebej kritični nepooblaščeni oddaljeni dostopi ter nedovoljene spremembe industrijskih krmilnikov in upravljavskih vmesnikov, ki lahko zmotijo fizični proces in povzročijo zaustavitev proizvodnje. V IT-okoljih pa organizacije najpogosteje ogrožajo napadi z ribarjenjem, zlorabe uporabniških računov in kraja poverilnic, izkoriščanje ranljivosti in napadi DDoS,« je pojasnila Amadeja Hren, tehnična vodja obratovanja v SmartOC, in dodala: »Zaradi naraščajočih zahtev naročnikov po učinkovitem in dokazljivem obvladovanju tveganj dobaviteljev smo v ponudbo vključili tudi storitev upravljanja varnostnih tveganj v dobavni verigi.« Napadi DDoS s preobremenitvijo skušajo onemogočiti dostop do storitve.
Posebne zahteve imajo tudi energetske družbe, kot sta ELES, operater kombiniranega prenosnega in distribucijskega elektroenergetskega omrežja, in GEN energija. V energetiki je treba poleg poslovnih sistemov varovati industrijske krmilne sisteme (ICS), sisteme za nadzor in zajem podatkov (SCADA) ter drugo kritično infrastrukturo. Napad ima lahko neposredne fizične posledice. Zaznavanju anomalij mora zato slediti odziv, usklajen z odgovornimi za obratovanje: tudi izoliranje prizadetega sistema mora biti načrtovano tako, da ne ogrozi varnosti in delovanja procesa.
Storitve varnostno-operativnega centra ponuja tudi Kontron SI, kjer po lastnih podatkih vsak dan v povprečju analizirajo dva potrjena incidenta. »V primeru incidenta šteje vsaka minuta. Naš glavni cilj je pravočasno zaznati grožnje, se nanje učinkovito odzivati in predvsem preprečiti, da bi varnostni incidenti povzročili resnejše posledice za poslovanje strank,« je povedal Davor Filipovič, vodja ekipe za odziv na varnostne incidente v Kontron SI, in dodal: »Pogosto razbremenimo IT/SOC-ekipe naših strank pri spremljanju in obravnavi varnostnih incidentov ali to nalogo prevzamemo zunaj njihovega delovnega časa.«
Posebne zahteve bančništva
V bančnem sektorju, tudi pri velikih bankah, kot sta NLB in OTP, je zanesljivo delovanje informacijskih sistemov neposredno povezano z dostopnostjo finančnih storitev. Med področji varovanja so plačilni sistemi ter spletno in mobilno bančništvo. Spremljanje kibernetskih dogodkov se lahko dopolnjuje s preprečevanjem transakcijskih goljufij in prevarantskih kampanj, vendar ne gre nujno za isto ekipo ali isti sistem. Uredba o digitalni operativni odpornosti finančnega sektorja (DORA) od bank zahteva obvladovanje tveganj informacijsko-komunikacijske tehnologije, poročanje o incidentih in preverjanje odpornosti. Sama regulativa pa ne določa, da mora vsaka banka vse naloge opravljati z lastnim lokalnim SOC.
Skupni izzivi varnostnih ekip
Sogovorniki med izzivi izpostavljajo rast količine in raznolikosti dogodkov, avtomatizacijo napadov, pomanjkanje specializiranih kadrov ter spreminjanje tehnologij in regulative. Pri uporabi avtomatizacije ostajata pomembna razumevanje poslovnega konteksta in presoja analitikov. Navedene številke o obravnavanih dogodkih in potrjenih incidentih sicer ni mogoče neposredno primerjati: centri spremljajo različno velika okolja in poročajo o različnih stopnjah obravnave.
»Največji izzivi, s katerimi se srečujemo varnostno-operativni centri, izhajajo iz vse večjega obsega in zahtevnosti kibernetskih groženj. Pojavljajo se tudi kritične ranljivosti, ki so nemalokrat izkoriščene s strani zlonamernih akterjev, še preden so javno objavljene, ter vse pogostejša uporaba umetne inteligence na strani napadalcev. Vsak dan se soočamo z velikim številom varnostnih dogodkov in opozoril, zato je ključnega pomena, da med njimi čim hitreje prepoznamo tiste, ki predstavljajo dejansko tveganje,« je pojasnil Filipovič in dodal: »Velik izziv je tudi pridobivanje strokovnjakov na področju kibernetske varnosti. Veliko pozornosti namenjamo stalnemu izobraževanju strokovnjakov in internemu razvoju mladih, ki si želijo vstopiti v ta svet.«
Sogovorniki iz slovenskih varnostnih centrov opozarjajo tudi na človeški dejavnik. Napadalci izkoriščajo zaupanje, časovni pritisk in utrujenost zaposlenih v podjetjih. Zato priporočajo kombinacijo ozaveščanja, preprostih postopkov, večfaktorskega preverjanja pristnosti in načela najmanjših pravic – uporabnik naj ima le dostope, ki jih potrebuje za svoje delo.
Pri delu varnostnih ekip sogovorniki poudarjajo stalno usposabljanje, razvoj zaposlenih in rotacijo nalog. Jasna razporeditev odgovornosti in premišljeno načrtovanje dežurstev pomagata omejevati preobremenjenost. »Največja zmota podjetij ostaja prepričanje, da lahko kibernetsko varnost uredijo z enkratnim nakupom programske rešitve. V resnici gre za neprekinjen proces upravljanja tveganj, ki vključuje ljudi, procese, tehnologijo, vodstvo in – kar je v slovenskem okolju vse bolj očitno – sodelovanje med različnimi SOC,« je sklenil Beričič.
Cilj je večja odpornost poslovanja in delovanja države. Različni centri k temu prispevajo z nadzorom, obravnavo incidentov in izmenjavo informacij. Podjetje pa mora vedeti, kaj izbrani ponudnik spremlja, kako hitro se odzove in kdo ima pooblastilo za ukrepanje. Storitev SOC je toliko uporabna, kolikor se njegovo delo poveže z ljudmi, sistemi in postopki naročnika.
