Home Security Services Kategorija Cyber sigurnost

Cyber sigurnost

Višeslojni izvor inteligencije koja oblikuje kvalitet življenja i ritam investicija

Sistemi za upravljanje zgradama širom EMEA regije ostavljaju svijet automatizacije i evoluiraju u smjeru integrisanih platformi koje se oslanjaju na koncept podatkovne inteligencije. Sve se dešava u vrijeme uvođenja definicije “inteligentne” zgrade, koju danas oblikuju stroga ekološka regulativa, naglasak na cyber sigurnosti i visoka očekivanja korisnika

Piše: Mirza Bahić; E-mail: mirza.bahic@asadria.com

Sistemi za upravljanje zgradama (Building Management Systems) polako izlaze iz niše u velikom stilu. Razlog za to je najstariji i najjednostavniji ikada: staro odumire, a alternative su preskupe i nedovoljno ispitane. Ovo je najlakše vidljivo na stambenom fondu evropskih zemalja čije se tržište našlo pod sistemskim pritiskom u vidu zastarijevanja njegove infrastrukture. Ovaj fond je danas star nekoliko decenija, fragmentiran i oslonjen na tržište adaptacije prostora. U prilog starim zgradama ne idu ni regulatorni okviri povezani s dekarbonizacijom, energetskim performansama i operativnom transparentnošću kao glasnici modernizacije. Vlasnici zgrada danas su pod pritiskom ne samo da unaprijede same zgrade već da unutar njih integrišu sisteme sposobne da isporuče mjerljive operativne performanse.

S druge strane, Evropa nema luksuz brzorastućih regija poput Bliskog Istoka, gdje se BMS sistemi od starta ugrađuju u megaprojekte, hotele, aerodrome, medicinske ustanove i pametne gradove. U tim okruženjima se digitalna infrastruktura predviđa i integriše od samog početka. Međutim, ova prednost dolazi i uz znatno viša očekivanja korisnika, što znači da se automatizacija i inteligencija zgrada moraju projektovati od prvog dana.

Zaključak je da se BMS u cijeloj EMEA regiji našao između operativnih potreba samih objekata i uspona  informatičke tehnologije koja ih sada može ispratiti. Tu je nestabilnost globalnog energetskog tržišta, koja je u prvi plan izbacila fokus na efikasnost u trošenju komunalnih resursa. Sve ovo više nije ni apstraktno ekološko pitanje, nego stvar koja zadire u novčanik korisnika čije zadovoljstvo boravkom u zgradi odavno nije periferno pitanje.

U takvom kontekstu, BMS je napustio imidž upravljačke platforme i postao višeslojni izvor inteligencije koja oblikuje kvalitet življenja i ritam investicija u građevinskom sektoru.

Reakcija više nije dovoljna

Na konceptualnom nivou, BMS je samo naglasio već dugo vremena prisutni rascjep u definiciji pametnih i inteligentnih zgrada. Za stručnjake koji se bave BMS-om, ova razlika se svodi na koncept očekivanja naspram reakcije. Valentin Vasile, zamjenik direktora za digitalnu energiju za Centralnu i Istočnu Evropu u Schneider Electricu, povlači vrlo jasnu granicu između oba koncepta. “Pametna zgrada reaguje, ali inteligentna zgrada predviđa”, kaže Vasile.

Koncept predviđanja je kontekstualan. Vasile to ilustruje konkretnim scenarijem. Inteligentna zgrada, naprimjer, neće reagovati tek onda kada senzori za detekciju zauzetosti prostora dostignu postavljene pragove, već može unaprijed prepoznati da zauzetost raste i da će promjena vremena uticati na komfor prisutnih u roku od 45 minuta. “To više nije samo: ‘Uključi rashladni uređaj u 7 ujutro.’ Sada je to na osnovu jučerašnjih obrazaca, današnje vremenske prognoze i predviđene zauzetosti prostora, unaprijed ohladi 4. sprat za 0,8°C u 6:43 ujutro radi optimalnog komfora”, kaže on. Taj pomak, tvrdi Vasile, zgradu čini ne samo pametnom već i inteligentnom.

U konkurentskoj kompaniji Honeywell, na ovu tranziciju se gleda kroz prizmu učenja na nivou portfolija. Dejan Petrović, viši menadžer prodaje za BMS sisteme za Balkan/Adria regiju, naglašava da istinski inteligentni sistemi ne optimiziraju samo pojedinačnu zgradu. Umjesto toga, oni prepoznaju ponavljajuće obrasce kroz čitave portfolije i povezuju grijanje, ventilaciju i klimatizaciju, energiju, protivpožarnu zaštitu i tehničku zaštitu kako bi unaprijedili i skalirali performanse objekta.

S druge strane, u Johnson Controlsu naglasak je na prilagodljivosti. Ilan Yaniv, šef prodaje za digitalna rješenja u toj kompaniji, objašnjava da statična automatizacija zasnovana na pravilima polako ustupa mjesto adaptivnim sistemima. Razlog za to je činjenica da oni mogu proaktivno prepoznati manjak efikasnosti putem detekcije kvarova i dijagnostike. Fokus nije samo na predviđanju nego i na operativnoj agilnosti, uz smanjenje oslanjanja na fiksne pragove detekcije parametara i unaprijed programirane reakcije.

Pitanju nove uloge BMS-a u Siemensu se pristupa kroz dijagnostiku. Saša Matošić, stručnjak za prodaju proizvoda za pametne zgrade i infrastrukturu u toj kompaniji, ističe detekciju anomalija zasnovanu na mašinskom učenju i prepoznavanje obrazaca kao pokazatelje da se sistemi odmiču od tradicionalne automatizacije. U ovom okviru, inteligencija postaje vidljiva kada se odstupanja otkriju prije nego što se aktiviraju upozorenja, a korektivne radnje postanu proaktivne umjesto reaktivnih.

To znači da automatizacija zasnovana na pravilima više nije dovoljna i da je inteligencija višedimenzionalni koncept koji uključuje predviđanje, portfolio za učenje, prilagodljivost i dijagnostičku dubinu. “Sistem se odmiče od jednostavne automatizacije i postaje platforma za donošenje odluka. Ona se prilagođava promjenjivim uslovima, uči iz operativnih obrazaca i kontinuirano poboljšava performanse bez ljudske intervencije”, kaže  Matošić.

Integracija nije samo konvergencija

Ipak, struka naglašava još jedan važan faktor: inteligencija je moguća samo tamo gdje je integracija cjelovita.

Honeywell pozicionira integraciju kao konvergenciju HVAC-a, upravljanja energijom, sistema za zaštitu života, tehničke zaštite i IT/OT infrastrukture. Sve se mora odvijati u okviru jedinstvenog operativnog modela. Petrović objašnjava da povezivanje pratećih tokova podataka otkriva obrasce koji su ranije bili nevidljivi operaterima. Tako se kreiraju vrijedni uvidi koji u realnom vremenu unapređuju performanse cijele zgrade.

A tu je i agregacija podataka kroz sisteme i IoT uređaje. Yaniv iz Honeywella ističe važnost transformacije sirovih signala u korisne uvide, uz glatki prelazak iz faze monitoringa u podršku donošenju odluka. Platforme integrišu podatke iz sistema za automatizaciju zgrada, brojila i IoT uređaja, uz oslanjanje na otvorene protokole i primjenu napredne analitike. Uz to, one pomoću AI-ja daju preporuke kroz kontrolne ploče koje prate upravljanje energijom, nivo ugljika i performanse konkretnog prostora.

Međutim, integracija je mnogo više od pukog tehničkog objedinjavanja. Za Schneider Electric ona je operativna okosnica koja usklađuje ciljeve podizanja nivoa komfora korisnika, smanjenja ugljika, cjenovne isplativnosti i otpornosti na cyber napade. Platforma EcoStruxure te kompanije postavlja upravljanje zgradom u centar pažnje i objedinjuje HVAC, rasvjetu, roletne, senzore i energetske sisteme. Istovremeno, Power Monitoring Expert funkcija donosi energetsku inteligenciju u ovo jedinstveno okruženje. Analitički slojevi imaju krovnu ulogu i pretvaraju zgradu u nešto što Vasile opisuje kao jedan “koordiniran, transparentan i samoučeći ekosistem”.

U Siemensu, srodnu funkciju po važnosti imaju objedinjene kontrolne ploče i hibridni modeli implementacije u oblaku. Oni povezuju HVAC, protivpožarnu zaštitu, rasvjetu i sigurnosne sisteme s jedinstvenim interfejsom. Matošić ističe upotrebljivost i međudisciplinarnu vidljivost kao ključne faktore za efektivan nadzor, uz cloud integraciju kroz Building X platformu, koja omogućava sofisticiranu analitiku i optimizaciju na više lokacija.

Za razliku od Honeywella i Johnson Controlsa, koji se fokusiraju na korelaciju i analitiku, Schneider Electric integraciju prvenstveno uvodi u smislu usklađivanja ishoda, dok za Siemens ona donosi operativnu jasnoću i interakciju s korisnicima. Sve u svemu, priča o integraciji je zajednički jezik svih tržišnih igrača, uz diferencirani fokus na različite aspekte njene uloge.

AI mijenja ulogu operatera?!

Možda najznačajniji organizacijski pomak koji donose inteligentne BMS platforme jeste novi nivo podrške osobama koje upravljaju zgradama. BMS je ranije predstavljao jedan “tihi” infrastrukturni sloj jer je bio stabilan, predvidljiv i reaktivan. Danas, tvrdi Vasile, on postaje “misleći” sloj zgrade i ta promjena počinje s podacima. Kada se hiljade različitih tačaka podataka objedine u zajednički sloj, zgrada dobija svoj “kontekst”. Inteligentni softver pretvara sirove podatke u korisne uvide i tako operaterima donosi jasnoću koju ranije nisu imali. Vještačka inteligencija pomaže da se iz temelja promijeni uloga operatera. “Umjesto reagovanja na alarme, operateri dobijaju interpretacije i predviđanja zasnovana na nivou pouzdanosti, vjerovatne ishode i preporučene akcije”, objašnjava Vasile. Oni prelaze iz faze gašenja požara u orkestraciju, iz pitanja “Šta nije uredu?” u “Koji je najbolji scenario koji možemo oblikovati?” “AI ne automatizira zgradu. On unapređuje ljude koji upravljaju zgradom jer im daje kopilota koji može vidjeti ono što nijedan čovjek ne bi mogao pratiti sam”, kaže on.

Sličnu filozofiju primjenjuje Johnson Controls, i to kroz platformu OpenBlue. Funkcija Fault Detection and Diagnostics donosi rano otkrivanje kvarova, dok preporuke zasnovane na AI-ju pomjeraju fokus menadžera zgrada s reaktivnog održavanja ka proaktivnoj optimizaciji. I u Honeywellu je AI dospio pod lupu tamošnjih projektanata, koji ga integrišu s rješenjima za prediktivne uvide, automatiziranu optimizaciju i benchmarking na nivou portfolija. Tu je i upravljačka platforma Buildings Sustainability Manager, koja koristi mašinsko učenje za predviđanje anomalija, optimizaciju performansi i podršku dugoročnim ciljevima održivosti i otpornosti.

Cyber sigurnost kao ljepilo koje drži zgradu na okupu

Istovremeno, svi se sagovornici slažu da je digitalna inteligencija bez kibernetičke otpornosti neodrživa. Dok u Honeywellu i Schneider Electricu naglašavaju hijerarhiju kontrole, u Johnson Controlsu je fokus na kibernetičkoj arhitekturi. Yaniv opisuje slojevite sigurnosne mehanizme i kontrole zasnovane na identitetu koje su osmišljene da smanje izloženost napadima u vrijeme kada zgrade postaju sve povezanije. Kao primjer navodi njihovo OpenBlue Airwall rješenje za umrežavanje na bazi principa nultog povjerenja (Zero Tust). Ono kreira virtuelni air-gap, odnosno čini uređaje nevidljivim za napadače i eliminira njihovo lateralno kretanje. Kao dodatni sloj sigurnosti, Airwall se oslanja i na Host Identity Protocol (HIP) i kriptografske ID-jeve za sigurnu komunikaciju, uz AES-256 enkripciju i višefaktorsku autentifikaciju.

Za Siemens, sigurnost se oslanja na usklađenosti sa standardima IEC 62443-4-2, podršku za Active Directory, LDAP i centraliziranu višefaktorsku autentifikaciju. Za dodatnu zaštitu konvergirane infrastrukture, tu je i Siemensova inicijativa o kibernetičkoj sigurnosti (Cybersecurity Initiative), koja za cilj ima zaštitu kritične infrastrukture, postrojenja i umreženih uređaja kroz saradnju države i sektora.

Zbog svega navedenog, kibernetička sigurnost danas nije dodatak BMS-u, nego jedan od njegovih nosećih stubova. U Evropi, regulatorni pritisak na što kvalitetniju zaštitu kritične infrastrukture i upravljanje podacima nastavlja rasti. Na Bliskom Istoku, brzo usvajanje digitalnih tehnologija u projektima visokog profila predstavlja test ne samo za otpornost na napade nego i za ugled investitora. U ovakvom ambijentu u EMEA regiji, cyber sigurnost je osnovni zahtjev projektovanja i takav status joj je dodijelila i kompanija Honeywell sa svojim holističkim auditima i ciljanim kontrolama konvergentnih IT/OT okruženja. Za Yaniva, jedna od ključnih ranjivosti je oslanjanje na VPN sisteme koje Johnson Controls danas mijenja kriptografski sigurnim rutiranjem zasnovanim na provjeri identiteta. “Ovaj pristup štiti kritičnu infrastrukturu i omogućava siguran udaljeni pristup bez oslanjanja na ranjive VPN-ove ili kompleksna pravila vezana za firewall”, kaže Yaniv. U konačnici, za većinu kompanija koje nude BMS tehnologiju, ovo je oblast u kojoj nema kompromisa.

Od energijske do radne efikasnosti

Energijska efikasnost ostaje primarni pokretač modernizacije zgrada, posebno u Evropi, gdje postoji i regulatorni pritisak usmjeren ka dekarbonizaciji. Ipak, ne svodi se sve na uštedu kilovat-sati, o čemu se slažu i naši sagovornici. Vasile navodi da se često potcjenjuje koliko radna i stambena okruženja utiču na kognitivne funkcije korisnika. Kvalitet zraka, recimo, određuje nivo budnosti pojedinca, dok stabilnost temperature utiče na fokus. Isto vrijedi i za boju i intenzitet svjetla, koji utiču na ritam spavanja, dok obrasci buke mijenjaju nivo stresa. Ono što je novo danas, smatra Vasile, jeste sposobnost da se ti efekti izraze u realnom vremenu pomoću takozvane metrike komfora. Tu spadaju parametri kao što su kvalitet zraka unutar prostorija, zauzetost prostora i indikatori radnog učinka koji se lako mogu povezati s ambijentalnim uslovima u zgradi. “Kada optimizirate nešto za ljude, vi često optimizirate i za efikasnost. Zgrada tako postaje aktivni faktor koji doprinosi dobrobiti i produktivnosti, a ne samo radni prostor”, kaže Vasile.

Ovi su faktori danas lako provjerljiva, a ne apstraktna kategorija. “Prednosti su danas mjerljive putem KPI-jeva kao što je indeks zadovoljstva korisnika, nivo iskorištenosti prostora i kvalitet zraka s vrijednostima prikazanim na kontrolnim pločama”, kaže Yaniv. Uz operativnu uštedu, manje vidljivi ali jednako važan faktor je podizanje ukupnog kvaliteta boravka u zgradi, uz prateći rast produktivnosti i nivoa zadovoljstva korisnika.

Najvažniji ciljevi mjerenja ambijentalnih indikatora za Honeywell su optimizacija kvaliteta zraka u zatvorenom, stabilnost termalnog komfora, smanjenje učestalosti lažnih alarma i poboljšanje vremena odgovora na incidente, dok se u Siemensu za ove učinke oslanjaju na Desigo CC platformu za rangiranje komfora i vizualizaciju ambijentalnih uslova unutar zgrade. Tu je i podrška za mobilne aplikacije, koje omogućavaju korisnicima da prijave probleme i direktno prilagode parametre komfora prema svojim željama. Inteligencija BMS-a se, u ovom okviru, mjeri kroz povratne informacije koje se razmjenjuju s korisnicima unutar zgrade. Bez obzira na razlike u pristupu prioritetima, svi sagovornici se slažu u tome da inteligentne zgrade moraju donijeti mjerljive vrijednosti, uz svijest da će se one uvijek drugačije definirati za konkretni objekat.

Skaliranje inteligencije: Između renoviranja i inoviranja

Skaliranje koncepta inteligentnih zgrada širom EMEA regije poseban je strukturni izazov koji nijedna arhitektura ne može riješiti u svakoj situaciji. Evropskim građevinskim pejzažom dominira renoviranje kao praksa koje traži faznu modernizaciju, interoperabilnost s postojećim platformama i uklapanje u različite regulatorne okvire.  “Skaliranje inteligentnih zgrada širom EMEA regije je izazovno zbog različitih regulatornih zahtjeva, nivoa digitalne zrelosti i prisustva brownfield infrastrukture mješovite starosti”, kaže Petrović. On naglašava i važnost postepenog pristupa bez fokusa na jednog proizvođača jer je to način da se klijentima omogući fazna modernizacija kroz mapu puta umjesto skupih programa potpune zamjene starih sistema.

Njegov kolega Vasile ističe i da se iskustva mogu znatno razlikovati na terenu, posebno u Evropi, gdje svaka zemlja, pa i grad, imaju vlastite propise, sisteme i radnu kulturu. Pri tome, neke zgrade mogu biti digitalno napredne, dok druge koriste infrastrukturu iz vremena prije pojave interneta. Zbog toga izazov koji BMS treba riješiti nije samo tehnički nego i regulatorni, kulturološki i logistički. Prema njemu, konačni uspjeh prilagođavanja i skaliranja uveliko zavisi od primjene otvorenih standarda, prilagodljivih arhitektura i kreiranja snažnih lokalnih ekosistema. Univerzalnost ne postoji jer svaki pristup mora poštovati regionalnu raznolikost i pretvoriti je u operativnu prednost.

Kao odgovor na promjenjivu digitalnu zrelost, Johnson Controls zagovara modularne arhitekture koje se oslanjaju na standarde i otvorene protokole kao što su BACnet, Modbus, MQTT. S druge strane, Siemens ističe hibridne strategije implementacije koje balansiraju lokalne zahtjeve usklađenosti s regulativama (uključujući GDPR) s centraliziranim nadzorom portfolija. Na taj način se njihova Desigo CC platforma skalira od malih instalacija do velikih projekata na više lokacija. Istovremeno, pojednostavljene migracijske mogućnosti pomažu da se premosti jaz između postojeće infrastrukture i savremenih inteligentnih platformi. “Standardizovani interfejsi i konzistentni radni tokovi smanjuju potrebe za obukom”, kaže Matošić, “i tako rješavaju problem nedostatka kvalifikovane radne snage, uz podršku za širu primjenu koncepata inteligentnih zgrada.”

Na drugom kraju EMEA regije je Bliski Istok, gdje integracija za potrebe skaliranja može početi već u fazi projektovanja. Ipak, obim i složenost tih projekata nose vlastite izazove u vidu očekivanja od cyber sigurnosti, potrebe za interdisciplinarnom koordinacijom i visokih kriterija za performanse od samog početka. Kako ovi projekti prelaze iz faze izgradnje u operativni životni ciklus, naglasak se pomjera s brzine implementacije na dugoročnu operativnu otpornost. I ovaj primjer je ilustracija važnosti spoznaje da skalabilnost nije jedinstveni tehnički izazov, nego problem koji ima svoju regionalnu, strukturnu i operativnu dimenziju.

Inteligencija se dokazuje rezultatima

Evolucija sistema za upravljanje zgradama pokazuje jasan pravac kretanja. Put od pametnih do inteligentnih zgrada vodi preko BMS-a, što znači da integracija sistema mora biti dublja, analitika zrelija, cyber sigurnost snažnija, a korisničko iskustvo mjerljivije. Suština je ista, a to je da BMS pomaže zgradama da više ne slijede pravila, već “sarađuju” s operaterima i usklađuje svoju funkciju s poslovnim ciljevima.

Nove i renovirane zgrade će se pomoću BMS sistema s funkcijom inteligencije vrednovati po sposobnosti da harmoniziraju podatke, kreiraju izvještaje i standardiziraju kontrolu nad ključnim parametrima svoje funkcije. U EMEA regiji, ova tranzicija se neće mjeriti suhoparnom tehničkom terminologijom, već kredibilitetom implementacije i mjerljivim rezultatima. Inteligencija kao BMS koncept se mora dokazati kroz dubinu integracije, sigurnosne garancije, kibernetičku otpornost i mjerljive operativne ishode. To znači i emotivni iskorak iz svijeta pukog mjerenja mjesečne uštede energije i ulazak u novi koncept u kojem zgrada utiče na produktivnost korisnika i nivo zadovoljstva u interakciji s njom, što je dugoročnije isplativija valuta u ovoj transakciji.

Ograničena autonomija sistema preduvjet je sigurnosti

Ipak, kako se inteligencija kao sloj sistema za upravljanje zgradama širi, raste i važnost povlačenja jasnih granica. Svi sagovornici navode da sistemi za zaštitu života moraju ostati funkcionalni i prilikom kvara. Dejan Petrović iz Honeywella naglašava da kritične protivpožarne funkcije moraju raditi lokalno i nezavisno, čak i u situaciji kada povezivost u cloudu unapređuje monitoring i procese usklađenosti s regulativama. Razlog je jednostavan: potreba za optimizacijom ne može “nadjačati” sigurnosnu logiku.

Valentin Vasile iz Schneider Electrica ovaj princip formuliše na još direktniji način. Prema njemu, autonomija sistema mora imati granice, a one su u osjetljivim okruženjima važnije od same inteligencije. Sistemi za zaštitu života uvijek moraju imati prednost nad imperativom optimizacije, a sigurnosne funkcije sačuvati svoj nezavisni autoritet. Ekosistem Schneider Electrica, naprimjer, namjenski održava certificirane hijerarhije otpornosti na kvarove. U konačnici, tvrdi Vasile, autonomija nije dopuštanje zgradi da “radi šta hoće”. Umjesto toga, zgradama se daje kapacitet da se efikasnije zaštite i ranije upozore one koje borave u njima čim nešto naruši očekivani obrazac.

Kako direktive Evropske unije mijenjaju koncept zaštite kritične infrastrukture

Zaštita kritične infrastrukture danas podrazumijeva više od ograda i kartica za kontrolu pristupa. Direktive Evropske unije CER i NIS2 predstavljaju temeljni zaokret ka sigurnosnim konceptima zasnovanim na procjeni rizika. Oni integrišu fizičku i tehničku zaštitu, cyber otpornost i sektorsku koordinaciju te pretvaraju zakonsku usklađenost u stvarnu operativnu otpornost

Piše: Mirza Bahić; E-mail: redakcija@asadria.com

Kako se evropska kritična infrastruktura suočava sa sve složenijim i međusobno zavisnim prijetnjama, integrisani pristup novi je način na koji sektor ključnih usluga predviđa, amortizira i rješava potencijalne poremećaje u radu. Energetski i vodovodni sistemi, zdravstvo, transport i komunikacije međusobno su blisko povezani, što znači da poremećaj u jednom sektoru može brzo izazvati lančane posljedice u drugima. Nedavni incidenti i promjenjivi sigurnosni scenariji pokazali su koliko su ove vitalne instalacije ranjive na ciljane napade, prirodne nepogode i tehničke kvarove, kao i koliko brzo se lokalni problemi mogu pretvoriti u sistemski rizik.

Zašto minimalni zahtjevi više nisu dovoljni

Kao odgovor na to, Direktiva EU o otpornosti kritičnih subjekata (CER/RCE) uvodi minimalne i harmonizirane zahtjeve za zaštitu kritične infrastrukture i tako jača ulogu tehničke zaštite uz postojeće kibernetičke i IT okvire. Umjesto da se zaštita ponovo posmatra isključivo kroz prizmu formalne zakonske usklađenosti, ova direktiva naglašava potrebu za proaktivnim i međusektorskim mjerama koje obuhvataju sve predvidive rizike i osiguravaju kontinuitet pružanja ključnih usluga. Redovne procjene rizika i planiranje otpornosti imaju centralnu ulogu u tom procesu jer omogućavaju operaterima da rano identifikuju slabosti i ojačaju sposobnost da izdrže napade i oporave se od poremećaja u radu.

Efikasna zaštita u takvim uslovima zahtijeva pažljivo usklađivanje strukturalnih, tehničkih i organizacijskih mjera. Rješenja iz oblasti tehničke zaštite, poput zaštite perimetra, kontrole pristupa, protivprovale i vatrodojave te videonadzora, moraju biti koordinisana s robusnim mjerama cyber sigurnosti kako bi se uspostavio sveobuhvatan zaštitni okvir prilagođen specifičnom profilu rizika po kritična okruženja.

Istovremeno, zaštita vitalnih instalacija više se ne može posmatrati kao isključiva odgovornost pojedinačnih operatera. Rastuća složenost prijetnji i međusektorska zavisnost pretvorile su zaštitu kritične infrastrukture u zadatak za cijelo društvo. On, pri tome, zahtijeva blisku saradnju javnih institucija, sigurnosnih organa, operatera infrastrukture i specijaliziranih pružalaca sigurnosnih usluga. Samo kroz zajedničku odgovornost i kontinuirano prilagođavanje promjenjivim prijetnjama kritična infrastruktura može ostati sigurna i dugoročno otporna. U praksi, ovaj pomak ka dijeljenoj odgovornosti sada se prevodi u jasnije osnovne obaveze i konkretnije razumijevanje pitanja kako treba izgledati fizička zaštita za objekte od visokog značaja i ključne usluge.

Integracija tehničke i cyber sigurnosti je zahtjev

U posljednjih nekoliko godina Evropska unija donijela je dva ključna regulatorna okvira s ciljem jačanja zaštite kritične infrastrukture: Direktivu o otpornosti kritičnih subjekata (CER/RCE) i Direktivu NIS2. Zajedno, ove direktive imaju za cilj osigurati kontinuitet pružanja ključnih usluga u kriznim situacijama i unaprijediti otpornost na fizičke i cyber prijetnje. Njihovi efekti bi trebali nadilaziti pojedinačne lokacije i utjecati na šire ekonomske i operativne lance vrijednosti.

Direktiva CER uspostavlja zajednički okvir za fizičku zaštitu i otpornost kritičnih subjekata u sektorima kao što su energija, transport, finansije, zdravstvo, vodovodni sistemi, komunikacije i javna uprava. Ona obuhvata prirodne nesreće, tehničke kvarove, ljudske greške i sabotažu, uz podizanje tehničke zaštite s nivoa pojedinačne lokacije na strateški zahtjev u pogledu otpornosti koji nadopunjuje postojeće cyber i IT obaveze.

U fokusu CER okvira je upravljanje zavisnim odnosima između objekata kritične infrastrukture. Poremećaj u jednom sektoru, poput energetike, može brzo utjecati na druge, uključujući vodosnabdijevanje, transport i komunikacije. Zbog toga direktiva promoviše međusektorske ciljeve usmjerene na sprečavanje poremećaja, ograničavanje njihovih posljedica i što bržu obnovu ključnih funkcija nakon incidenta.

Paralelno s tim, Direktiva NIS2 uspostavlja minimalnu osnovu za cyber sigurnost na nivou EU. Njena primjena ne odnosi se samo na tradicionalne operatere kritične infrastrukture već i na širi krug ključnih i važnih subjekata, uključujući dijelove proizvodnog i digitalnog sektora. NIS2 od organizacija zahtijeva uvođenje sveobuhvatnih mjera cyber sigurnosti i upravljanja rizicima na nivou cijele organizacije, uključujući prijavljivanje incidenata i odgovarajuće upravljačke mehanizme.

Zajednički, direktive CER i NIS2 jasno ukazuju na jedan pravac, prema kojem otpornost sve više zavisi od integracije tehničke i cyber sigurnosti. Za operatere kritične infrastrukture to znači napuštanje izoliranih mjera i prelazak na koordinisane zaštitne koncepte. Sami koncepti će povezati perimetarsku zaštitu, kontrolu pristupa, detekciju, videonadzor i upravljanje alarmima sa sigurnim mrežnim arhitekturama i kontrolisanim udaljenim pristupom. Za ponuđače sigurnosnih rješenja i sistem-integratore to naglašava potrebu za ekspertizom koja obuhvata i fizičku zaštitu i kibernetički otpornu sistemsku arhitekturu.

Koncept prije sistema

Zaštita kritične infrastrukture zahtijeva sigurnosne sisteme koji odgovaraju aktuelnoj situaciji na polju tehnologija. One moraju biti projektovane i održavane tako da budu otporne na manipulacije, upade i sabotažu, uz paralelnu otpornost na fizičke i cyber prijetnje. Mjere poput kvalitetne autentifikacije za kontrolu pristupa, sigurnih komunikacijskih kanala i pouzdanih alarmnih sistema danas jesu neophodne, ali sama tehnička sposobnost nije dovoljna.

Za operatere kritične infrastrukture, ovo znači da je neophodno razviti sveobuhvatan sigurnosni koncept prije implementacije pojedinačnih sistema. Takav koncept predstavlja okvir za efikasnu primjenu sigurnosne tehnologije i osigurava da se elektronska rješenja ne uvode izolovano, već kao dio cjelokupne strategije zaštite objekata. Efikasan sigurnosni koncept integriše strukturne, organizacijske i kadrovske mjere. Fizičke barijere poput perimetara, vrata i prozora moraju biti usklađene s organizacijskim procedurama, uključujući protokole eskalacije i intervencije. Istu harmonizaciju potrebno je provesti s obukom i odgovornostima sigurnosnog osoblja. Tek kada svi ovi elementi funkcionišu zajedno, sigurnosne mjere mogu ostvariti svoj ukupni potencijal.

Ključno je naglasiti da utvrđeni sigurnosni koncept nije statičan dokument. On omogućava procjenu i prioritetizaciju rizika, ali se mora redovno preispitivati i ažurirati. Promjene u prijetnjama, strukturi objekata ili načinu korištenja mogu učiniti ranije pretpostavke nevažećim. U okruženju kritične infrastrukture, razvoj metoda napada i promjenjivi profili rizika zahtijevaju kontinuiranu procjenu i unapređenje mjera zaštite kroz strukturiran proces upravljanja rizicima.

Nakon što se sigurnosni koncept uspostavi i uključi u kontinuirano upravljanje rizicima, fokus se pomjera na minimalne zahtjeve fizičke zaštite koji se ponavljaju kroz različite sektore i lokacije, kao i na njihovu praktičnu primjenu u pojedinim sigurnosnim disciplinama.

 

Kada proizvod postane dio napada

Fokus na cyber sigurnosti više nije ograničen na mreže i operativne procese, već se sve više širi na sigurnost samih proizvoda. Proizvođači, instalateri i korisnici sigurnosnih tehnologija moraju osigurati da uređaji i softver koji se koriste u okruženjima kritične infrastrukture ispunjavaju sve strožije zahtjeve u pogledu cyber otpornosti. Dok se okviri CER i NIS2 prvenstveno fokusiraju na organizacijsku i operativnu otpornost, Akt o kibernetičkoj otpornosti uvodi dodatni tehnički sloj kroz definiranje osnovnih zahtjeva cyber sigurnosti za digitalne proizvode. Njegov cilj je osigurati da se hardver i softver projektuju, razvijaju i održavaju na siguran način tokom cijelog životnog ciklusa.

U skladu s ovim pristupom, cyber sigurnost ne smije biti ispuštena iz vida od samog početka, što se radi kroz sigurne razvojne prakse i podrazumijevane sigurnosne postavke. Od proizvođača se očekuje proaktivan pristup upravljanju ranjivostima i blagovremena isporuka sigurnosnih ažuriranja. Transparentnost, pri tome, postaje ključni zahtjev, naročito kroz primjenu softverskih listi materijala (SBOM), koje operaterima i integratorima omogućavaju uvid u zavisnosti i procjenu izloženosti rizicima od trećih strana.

Jačanjem sigurnosti na nivou proizvoda, Akt o kibernetičkoj otpornosti podržava šire ciljeve otpornosti i pomaže operaterima kritične infrastrukture da ispune obaveze vezane za sigurnost lanca snabdijevanja i upravljanje rizicima.

 

Minimalni okvir fizičke zaštite u praksi

Mjere fizičke zaštite obuhvataju sisteme vanjske zaštite perimetra za fizičku zaštitu i detekciju, kao i sisteme kontrole pristupa. Cyber sigurnost objekata uključuje zaštitu pristupa i kontrolu ulaza i izlaza, prilaznih puteva, rampi, barijera i brava. Sistemi za detekciju upada, vatrodojavu i videonadzor obuhvataju zaštitu objekata i terena, kao i rano otkrivanje incidentnih situacija. Istovremeno, sistemi za upravljanje vanrednim situacijama odnose se na upravljanje krizama, primjenu organizacijskih mjera te na prediktivni pregled sigurnosne situacije i ukupnog stanja sistema.

Zaštita perimetra kao prva linija odbrane

Vanjska perimetarska zaštita najudaljeniji je sloj efikasnog sigurnosnog koncepta. Ona obično kombinuje mehaničke barijere s elektronskom detekcijom i tako stvara prvu liniju odbrane prije nego što napadač i dođe do objekata ili kritičnih resursa. Mehaničke mjere poput ograda, zidova ili barijera definišu i štite granicu lokacije, dok elektronski sistemi perimetarske detekcije nadziru vanjske prostore i omogućavaju rano otkrivanje pokušaja upada.

Cilj zaštite perimetra je odvraćanje, detekcija, usporavanje i dokumentovanje neovlaštenog pristupa. Rano upozorenje tokom prilaska ili pokušaja nasilnog ulaska znatno produžava vrijeme otpora i omogućava kontrolisanu reakciju. U praksi se elektronska detekcija upada na perimetru gotovo uvijek kombinuje s videonadzorom kako bi se potvrdili događaji, razdvojile stvarne prijetnje od lažnih i podržalo donošenje informisanih odluka.

Primarna funkcija vanjske perimetarske zaštite je stalno očuvanje integriteta granica lokacije. Sistemi moraju biti prilagođeni konkretnim fizičkim karakteristikama perimetra, bilo da je riječ o ogradama, zidovima, opkopima ili prirodnim barijerama, kao i usklađeni s ukupnim ciljevima zaštite i procijenjenim prijetnjama po objekte.

U okruženjima kritične infrastrukture zahtjevi za perimetarsku zaštitu znatno su viši nego u standardnim komercijalnim ili industrijskim objektima. Scenariji napada ne ograničavaju se samo na preskakanje ili rezanje ograda, već uključuju provlačenje ispod prepreka, probijanje barijera, zadržavanje u blizini perimetra i druge tehnike s ciljem izbjegavanja detekcije. Zbog toga sistemi zaštite perimetra moraju ostati jednako efikasni protiv šireg spektra metoda upada i ostati otporni na pokušaje ometanja ili zaobilaženja detekcije.

Da bi bila djelotvorna, perimetarska zaštita mora osigurati pouzdanu ranu detekciju, otpornost na manipulacije i kontinuitet rada koji je dovoljan za blagovremenu verifikaciju i intervenciju. Njena uloga nije samo signalizacija alarma nego i podrška pristupu po kojem operateri moraju dobiti potrebno vrijeme i informacije za adekvatnu reakciju prije nego što incident eskalira.

Kontrola pristupa mora ukloniti naslijeđene rizike

Sistemi kontrole pristupa imaju centralnu ulogu u zaštiti kritične infrastrukture jer regulišu i nadziru pristup osjetljivim zonama. Njihova osnovna funkcija je osigurati da samo ovlašteno osoblje može ući u sigurnosno relevantne zone, uz  jasno evidentiranje ostvarenog pristupa i pokušaja neovlaštenog ulaska. Za operatere kritične infrastrukture, savremena kontrola pristupa ne svodi se samo na ograničavanje ulaza već i na odgovornost, sljedivost i kontrolisanu reakciju.

Istovremeno, efikasna zaštita zahtijeva sistematsko uklanjanje tzv. naslijeđenih rizika. Mehanički ključevi mogu biti izgubljeni, kopirani ili proslijeđeni bez ovlaštenja, što kreira trajne ranjivosti koje je teško otkriti, a skupo sanirati. Korištenje izgubljenog ili ukradenog ključa najčešće ne ostavlja nikakav trag, čime se narušavaju i sigurnost i mogućnost revizije. Elektronski sistemi kontrole pristupa rješavaju ove nedostatke kroz podršku za strogo definisana ovlaštenja, evidentiranje događaja te višefaktorsku i biometrijsku verifikaciju. Tokom cijelog životnog ciklusa sistema, oni se, zahvaljujući nižim operativnim i troškovima zamjene, često pokažu kao isplativije rješenje u odnosu na isključivo mehaničke sisteme.

Osim regulisanja ulaza, savremeni sistemi kontrole pristupa podržavaju i automatizirane reakcije tokom incidentnih situacija. U zavisnosti od scenarija, oni mogu blokirati pristup opasnim zonama, otključati vrata, otvoriti unaprijed definisane izlaze i aktivirati alarme radi podrške evakuaciji i hitnim intervencijama. U okruženjima kritične infrastrukture, ova direktna veza između odluka o pristupu i upravljanja incidentima od ključnog je značaja za očuvanje sigurnosti i kontinuiteta rada.

Detekcija upada kao zaštita od sabotaže

Sistemi za detekciju upada (IAS) i dojavu prepada (HAS) imaju ključnu ulogu u zaštiti vitalne infrastrukture jer omogućavaju brzu detekciju i reakciju na vanredne događaje. U okruženjima visokog rizika, njihova svrha izlazi izvan okvira osnovne detekcije neovlaštenog ulaska u neku zonu i obuhvata rano upozorenje, verifikaciju i koordinisanu intervenciju radi zaštite osjetljivih resursa i operacija.

U kontekstu kritične infrastrukture, detekcija upada manje je usmjerena na klasične krađe, a znatno više na prepoznavanje namjernih pokušaja ometanja ili prekida rada. Zbog toga vrijeme detekcije i reakcije moraju biti precizno usklađeni. Postrojenja poput trafostanica jasno ilustruju ovaj rizik. Dovoljan je samo jedan čin sabotaže, poput oštećenja kablovskog snopa, da dođe do posljedica koje daleko nadilaze finansijski gubitak jer bi u toj situaciji došlo do prekida u napajanju bolnica, komunalnih sistema i drugih ključnih usluga. U takvim scenarijima, alarmni sistemi prvenstveno služe za rano otkrivanje sabotaže i ciljanih napada, kao i pokretanje trenutne reakcije sigurnosnih službi ili nadležnih organa.

Sistemi za dojavu prepada nadopunjuju automatsku detekciju i omogućavaju osoblju da diskretno aktivira alarm u situacijama akutne prijetnje. Panik-tasteri ili mobilni prekidači omogućavaju zaposlenima da pokrenu ciljanu reakciju u slučajevima prisile, nasilja ili neposredne opasnosti. To je posebno važno u javno dostupnim prostorima, kontrolnim sobama i operativnim centrima.

S obzirom na sigurnosno okruženje u kojem se nalazi kritična infrastruktura, sistemi moraju biti projektovani uz pretpostavku da će napade počiniti profesionalci, uključujući organizovane kriminalne i ekstremističke grupe. Efikasna zaštita zato ne zavisi samo od sposobnosti detekcije već i od otpornosti na manipulacije i namjerne pokušaje zaobilaženja sistema. Kombinovanje različitih metoda detekcije može povećati otpornost sistema, ali su pravilno projektovanje, zaštita ključnih komponenti i profesionalna instalacija jednako važni kako bi sistem pouzdano funkcionisao u trenucima kada je to najpotrebnije.

Videonadzor je alat za verifikaciju i odvraćanje

Kako bi se osigurala dugoročna sigurnost kritične infrastrukture, sistemi videonadzora u kombinaciji s drugim sigurnosnim tehnologijama moraju pružiti dodatnu vrijednost. Pri tome, oni moraju omogućiti vidljivost osjetljivih ili kompleksnih prostora s udaljenih lokacija. Događaji na terenu, uključujući i one na više lokacija istovremeno, danas se moraju pratiti i snimati u realnom vremenu, čime se znatno unapređuje situacijska svijest.

Kada su pametno integrisani s ostalim sigurnosnim sistemima, umreženi sistemi videonadzora imaju značajan potencijal za prevenciju i ranu intervenciju. Potencijalni počinioci mogu se otkriti u vrlo ranoj fazi krize, a u nekim slučajevima i prije nego što dođu do osjetljivih zona. To operaterima omogućava proaktivan, a ne reaktivan odgovor na kriznu situaciju.

Ukoliko je videonadzor dopunjen dvosmjernom audiokomunikacijom, kontrolni i servisni centri mogu se direktno obratiti osobama na licu mjesta. U mnogim slučajevima, već ova vrsta udaljene intervencije dovoljna je da odvrati počinioca od ulaska i daljeg kretanja unutar zaštićenog prostora.

Zbog mogućih posljedica kvarova ili napada, zahtjevi za sisteme videonadzora u okruženjima kritične infrastrukture znatno su strožiji nego u standardnim komercijalnim ili industrijskim primjenama. Sistemi stoga moraju biti projektovani, implementirani i održavani na nivou koji odgovara višem nivou prijetnji i važnosti održavanja radnog kontinuiteta ovih okruženja.

Kada sekunde odlučuju

Svaka organizacija zavisi od jasno strukturiranog komunikacijskog koncepta koji podržava svakodnevne operacije i omogućava efikasan odgovor na poremećaje u radu. Takvi incidenti mogu biti tehničke prirode i direktno ugroziti sigurnost i zdravlje zaposlenih. Jasne komunikacijske strukture i preventivne mjere imaju ključnu ulogu u ograničavanju njihovog utjecaja.

U okruženjima kritične infrastrukture, planiranje komunikacije mora uzeti u obzir vanjske prijetnje i kompleksne scenarije napada. Priroda mogućih poremećaja, način izvođenja napada i razmjer potencijalne štete moraju se procjenjivati kroz strukturiran proces upravljanja rizicima, a ne na osnovu općih pretpostavki.

Svaki incident zahtijeva pravovremene odluke o odgovarajućim protivmjerama. To uključuje procjenu dostupnosti komunikacijskih sistema tokom događaja, definisanje prioriteta, otvaranje hitnih komunikacijskih kanala i zadržavanje operativne sposobnosti u slučaju nestanka napajanja. Donošenje odluka je otežano kada se incidenti preklapaju, naprimjer kada se požarni alarm aktivira paralelno sa sigurnosnim upozorenjem ili tokom koordinisanog napada na više sistema.

Ovi izazovi naglašavaju važnost sistema za upravljanje vanrednim i opasnim situacijama, koji omogućavaju informisano, proporcionalno i pravovremeno odlučivanje. U mnogim organizacijama koje upravljaju kritičnom infrastrukturom, ovakvi sistemi služe za ubrzavanje pružanja odgovora, smanjenje neizvjesnosti i ograničavanje štete u kriznim situacijama.

Vrijeme reakcije ima presudan utjecaj na ukupni obim posljedica incidenta. Brža detekcija, verifikacija, donošenje odluka i koordinacija s nadležnim službama omogućavaju ranije uvođenje protivmjera i skraćuju trajanje poremećaja.

Iako automatizirani odgovori mogu znatno smanjiti vrijeme reakcije, oni nose i određene rizike. Lažni alarmi mogu pokrenuti neadekvatne mjere, dok paralelni incidenti mogu dovesti do konfliktnih reakcija ako se kontekst i proporcionalnost ne procijene pravilno. U praksi, najefikasniji način za smanjenje vremena reakcije bez povećanja rizika jeste dobro osmišljena i održavana komunikacija tokom cijelog događaja jer samo ona omogućava verifikaciju, situacijsku svijest i koordinisano djelovanje.

Alarmi bez slabe karike

Sigurnosni sistemi u okruženjima kritične infrastrukture moraju ponuditi najviši nivo pouzdanosti i otpornosti. Prijenos alarma, mrežna povezanost i mehanizmi udaljenog pristupa posebno su osjetljivi segmenti kritične infrastrukture, jer njihov kvar može ugroziti čak i robusne zaštitne mjere.

Otpornost u ovom kontekstu podrazumijeva sposobnost sistema da ostanu operativni uprkos cyber napadima, tehničkim kvarovima ili zagušenjima mreže. To zahtijeva redundantne komunikacijske puteve, sigurne mrežne komponente i kontinuiran nadzor kako bi se osigurala trajna dostupnost i integritet alarmnih komunikacija. Tehnologije za prijenos alarma moraju biti projektovane tako da izdrže sabotažu i slučajna oštećenja, uz odgovarajuću fizičku zaštitu i rezervne izvore napajanja. Sa stanovišta cyber sigurnosti, rješenja za prijenos alarma i udaljeni pristup moraju slijediti principe sigurnosti ugrađene u dizajn, uz oslanjanje na ojačane protokole i mehanizme koji štite od napada uskraćivanja usluge (DoS) i neovlaštenog pristupa.

Udaljeni pristup sigurnosnim sistemima ima važnu operativnu ulogu, ali i uvodi dodatne rizike. Zbog toga odgovornost za sigurnost infrastrukturnog objekta mora biti jasno definisana, uz primjenu odgovarajućih kontrolnih mjera koje osiguravaju integritet, dostupnost i odgovornost tokom cijelog životnog ciklusa sistema.

Rizikom vođena zaštita od požara

U okruženjima kritične infrastrukture, vatrodojavni sistemi moraju biti projektovani ne samo u skladu s građevinskim propisima već i kako bi mogli podržati jasno definisane ciljeve zaštite. Pored standardne detekcije na nivou cijelog objekta, ovo podrazumijeva i ciljano nadziranje visokorizičnih zona kao što su tehničke prostorije, postrojenja, instalacijski prostori, kućišta za opremu i ormari. Detekcija požara u ovim kontekstima često je tijesno povezana sa sistemima za gašenje i pravilima za automatsko aktiviranje mjera za ranu intervenciju prije eskalacije incidenta. Pri tome, izbor detekcijske tehnologije treba biti zasnovan na procjeni rizika, a ne na standardiziranim šemama instalacije. U zavisnosti od okruženja, to može uključivati aspiracijske detektore dima za nadzor opreme i transformatorskih prostora, linearne sisteme detekcije za velike ili kompleksne prostore, kao i video ili termalne sisteme nadzora kada je potrebna rana vizuelna potvrda situacije ili detekcija toplote. Zaštita razvodnih kutija, serverskih ormara, energetskih sistema i rezervnih izvora napajanja zahtijeva visok nivo specijalističke ekspertize jer kvarovi u ovim segmentima mogu imati dalekosežne operativne posljedice.

Sigurnost ne završava na perimetru

Sigurnost je snažna koliko i njena najslabija karika, a u složenim i međusobno povezanim sistemima ta komponenta se često nalazi upravo u lancu snabdijevanja. Zbog toga se od proizvođača sve češće očekuje da prate i dokumentuju porijeklo kako digitalnih tako i fizičkih komponenti koje se koriste u njihovim proizvodima. Softverske komponente, uključujući biblioteke trećih strana i open-source elemente, moraju se evidentirati i kontinuirano procjenjivati s aspekta sigurnosnih ranjivosti. To se može postići kroz uvođenje obaveze za dobavljače da prijavljuju i otklanjaju sigurnosne propuste, ali i kroz interne procese kroz koje se integrisane komponente redovno analiziraju i provjeravaju.

Ista logika važi i za hardverske komponente. U okruženjima kritične infrastrukture, zabrinutost zbog skrivenih funkcija  ili neovlaštenih tokova podataka dovela je do pojačanog nadzora nad određenim komponentama i dobavljačima. Mreže i povezani uređaji čine osnovu savremenih sigurnosnih sistema, a slabost u bilo kojem dijelu lanca može kompromitovati cjelokupno rješenje. Zbog toga je transparentnost lanca snabdijevanja postala jedan od ključnih elemenata upravljanja rizicima.

Uloga specijaliziranih kompanija

Efikasna zaštita kritične infrastrukture u velikoj mjeri zavisi od profesionalne ekspertize. Operaterima su potrebni kvalifikovani partneri koji razumiju i tehničke i operativne zahtjeve visokorizičnih okruženja, te su u stanju da rezultate procjena rizika pretoče u odgovarajuću sigurnosnu arhitekturu.

Postoji jasan rizik oslanjanja na prividno povoljna, “gotova” rješenja koja ne uzimaju u obzir specifične prijetnje po konkretne lokacije i realne operativne uslove na terenu. Takvi pristupi često rezultiraju sistemima koji ne pružaju potreban nivo zaštite, pri čemu se njihove slabosti otkrivaju tek nakon incidenta ili tokom inspekcije.

Osim pravilnog projektovanja i instalacije sistema, redovno održavanje je ključno kako bi sigurnosni i zaštitni sistemi dugoročno mogli pouzdano funkcionisati. Neadekvatno planiranje, pogrešan izbor proizvoda ili nedovoljno održavanje često dovode do kvarova koji narušavaju ukupnu otpornost sistema. Izbor kompetentnih i certificiranih specijaliziranih kompanija stoga predstavlja jednu od ključnih odluka za operatere kritične infrastrukture.

Prilika za integratore

Za ponuđače sigurnosnih rješenja i sistem-integratore, regulatorni razvoj jasno potvrđuje potrebu da se razmišlja izvan okvira pojedinačnih proizvoda. Rješenja tehničke zaštite moraju biti ugrađena u holističke koncepte zaštite i usklađena sa sigurnim mrežnim arhitekturama i konceptom cyber otpornosti.

Sistemi poput kontrole pristupa više se ne mogu posmatrati izolovano. Oni moraju biti integrisani s platformama za nadzor, upravljanje alarmima i planiranje u vanrednim situacijama kako bi se omogućili koordinisani odgovori i ispunili zahtjevi u pogledu otpornosti i regulatorne usklađenosti.

Istovremeno, od pružalaca rješenja sve se češće očekuje da preuzmu savjetodavnu ulogu i operaterima ponude procjene zasnovane na riziku, kao i prilagođena rješenja. To uključuje ne samo odgovor na aktuelne prijetnje već i predviđanje budućih trendova, uz integraciju organizacijskih mjera poput obuke osoblja, politika pristupa i intervencijskih procedura. Na taj način, sigurnosna tehnologija postaje sastavni dio šire strategije otpornosti, a ne samo njena izolirana tehnička implementacija.

Od minimalnih zahtjeva do stvarne otpornosti

Direktive CER i NIS2 nisu uvele samo nove minimalne standarde nego i redefinisale koncept zaštite kritične infrastrukture. U okruženju u kojem jedan oštećeni kablovski snop može ostaviti bolnice bez napajanja, a cyber napad na energetski sektor paralisati transport, tradicionalni pristup izolovanim sigurnosnim mjerama više nije održiv.

Stvarna otpornost na napade na kritičnu infrastrukturu zahtijeva temeljnu promjenu perspektive, odnosno prelazak s reaktivnog ispunjavanja zakonskih obaveza na proaktivno upravljanje rizicima koje integriše tehničku i cyber sigurnost i sektorsku koordinaciju. To znači i napuštanje stava da se uvijek ide na najjeftinije rješenje koje zadovoljava minimume i prihvatanje činjenice da je zaštita kritične infrastrukture dugoročna investicija u kontinuitet rada ovih sistema i društvenu stabilnost.

Kritična infrastruktura može postati otporna na prijetnje današnjice i sutrašnjice samo kroz integrisani pristup u kojem sigurnost nije projekat koji se završava instalacijom, nego kontinuirani proces koji se prilagođava i unapređuje.

Proruska hakerska grupa preuzela odgovornost za cyber napad na francuske pošte

Francuska nacionalna poštanska služba La Poste ove sedmice se suočila s još jednim ozbiljnim poremećajem u radu svojih digitalnih sistema, nakon snažnog cybernapada koji je privremeno onesposobio ključnu IT infrastrukturu uoči vrhunca praznične sezone dostava. Odgovornost za napad naknadno je preuzela hakerska grupa povezana s Rusijom, saopćile su francuske vlasti.

Napad je identificiran kao DDoS (distributed denial-of-service) operacija, kojom su centralni računarski sistemi La Poste izbačeni iz funkcije u ponedjeljak. Zbog toga zaposlenici nisu mogli pratiti pošiljke, dok su istovremeno zabilježeni i prekidi u online plaćanjima povezanima s bankarskim uslugama poštanske službe. Prema dostupnim informacijama, dio sistema ni do srijede ujutro nije bio u potpunosti obnovljen.

Za napad se oglasila hakerska grupa Noname057, koja se ranije dovodila u vezu s nizom cyberoperacija usmjerenih protiv evropskih institucija. Nakon njihove objave, istragu je preuzela francuska unutrašnja obavještajna služba DGSI, potvrdilo je tužilaštvo u Parizu.

Incident se dogodio u posebno osjetljivom trenutku za La Poste, koja godišnje isporučuje milijarde pošiljki i zapošljava više od 200.000 ljudi širom Francuske. Poremećaji u radu tokom najprometnijeg dijela godine dodatno su pojačali operativni i reputacijski pritisak na ovu instituciju.

Francuske vlasti ovaj slučaj posmatraju u širem kontekstu rastućih prijetnji u cyberprostoru. Francuska i njeni evropski saveznici smatraju da ovakvi napadi predstavljaju dio strategije tzv. hibridnog ratovanja, čiji je cilj destabilizacija javnih službi, opterećivanje sigurnosnih struktura i podrivanje političke podrške Ukrajini širom Evrope.

SoundCloud potvrdio cybernapad: Kompromitovani podaci 20% korisnika

SoundCloud je potvrdio da je bio meta cybernapada tokom kojeg su napadači neovlašteno pristupili podacima približno 20% korisnika ove platforme za streaming muzike. Kompanija je saopćila da je incident otkriven kroz sumnjive aktivnosti na pomoćnom administrativnom sistemu, nakon čega su odmah aktivirani interni protokoli za odgovor na sigurnosne incidente. Istraga, provedena uz podršku eksternih stručnjaka za cyber sigurnost, pokazala je da su kompromitovani ograničeni podaci, uključujući e-mail adrese i informacije koje su već bile vidljive na javnim korisničkim profilima.

Iz SoundClouda naglašavaju da osjetljivi podaci, poput lozinki ili finansijskih informacija, nisu bili izloženi. Ipak, kompanija je upozorila korisnike da budu oprezni zbog mogućih phishing pokušaja koji bi mogli uslijediti nakon incidenta. Prema dostupnim procjenama, SoundCloud ima više od 100 miliona korisnika, što znači da bi posljedice mogle pogoditi desetine miliona naloga.

Kompanija tvrdi da su napadači uklonjeni iz sistema, ali je nakon toga platforma bila izložena i DDoS napadima, od kojih su dva privremeno poremetila rad web verzije servisa. Problemi s pristupom putem VPN-a, na koje su se korisnici žalili prethodnih dana, povezani su s tehničkim mjerama uvedenim radi zaštite sistema, a SoundCloud navodi da aktivno radi na njihovom otklanjanju.

Veliki pad Cloudflarea privremeno poremetio rad interneta širom svijeta

Globalni internet danas je nakratko bio ozbiljno usporen nakon što je Cloudflare, jedna od ključnih infrastruktura koja podržava hiljade popularnih web stranica, doživio veliki tehnički kvar. Problemi su zahvatili niz servisa – među njima X (bivši Twitter), Substack, Canvu i druge platforme – dok su korisnici umjesto sadržaja dobijali poruku o grešci „500 internal server error“.

Zanimljivo je da su neke stranice koje su početkom mjeseca bile pogođene sličnim globalnim prekidom ovaj put ostale stabilne, vjerovatno zato što su u međuvremenu smanjile tehničku zavisnost od Cloudflare infrastrukture. Među njima je i ChatGPT.

Ovo je drugi ozbiljan incident u manje od tri sedmice, što dodatno skreće pažnju na složenost i osjetljivost globalne internet infrastrukture. Cloudflare pruža usluge koje služe kao „posrednik“ između web stranica i korisnika, ubrzavajući učitavanje i štiteći stranice od preopterećenja. Upravo zbog toga, svaki pad njihovog sistema može lančano oboriti veliki broj potpuno različitih servisa na internetu.

Iako je prekid trajao relativno kratko, incident je ponovo pokazao koliko je globalni internet ekosistem zavisan od nekoliko ključnih tehnoloških kompanija čiji problemi istog trenutka postaju problemi cijelog svijeta.

Njemačka pokreće veliku NIS2 i DORA ofanzivu: Nastupa najstroži režim cyber usklađenosti za kompanije

Njemačka je krajem novembra 2025. pokrenula najobuhvatniju reformu cyber sigurnosti u posljednjoj deceniji, nakon što je Bundesrat usvojio zakon o implementaciji NIS2 direktive. Time su regulatorne obaveze stupile praktično odmah na snagu, bez prelaznih rokova, što pravnici nazivaju „compliance–šokom“ za poslovni sektor. Istovremeno, evropske nadzorne institucije aktivirale su ključni mehanizam DORA regulative i objavile prvu listu kritičnih IT trećih dobavljača, koji sada potpadaju pod direktnu kontrolu EU.

Njemačka savezna mrežna agencija (BNetzA) već je predstavila nacrt novog sigurnosnog kataloga, koji uvodi strožije zahtjeve za zaštitu lanaca snabdijevanja u telekomunikacijama. Pravna kancelarija Dentons podsjeća da sve obaveze vrijede odmah po stupanju zakona na snagu, uključujući registraciju pri BSI-ju i uvođenje sveobuhvatnih mjera upravljanja cyber rizicima. Obuhvat regulacije dramatično se širi – broj obveznika raste sa 4.500 na gotovo 30.000 kompanija, među kojima su sada i logističke, prehrambene i digitalne uslužne firme.

DORA dodatno pooštrava nadzor nad cloud provajderima, analitičkim firmama i proizvođačima softvera u finansijskom sektoru, uključujući obavezne terenske inspekcije i nove kanale za prijavu IT incidenata. Zajednički fokus obje regulative je upravljanje rizicima trećih strana, što znači da dobavljači više ne mogu davati izjave „na povjerenje“, već će morati dostavljati dokaze o sigurnosnoj pouzdanosti.

Regulatori poručuju da je vrijeme odlaganja završeno i da se kompanije koje su čekale na produženje rokova sada suočavaju s ozbiljnim sankcijama i povećanom ličnom odgovornošću menadžmenta. Sve ukazuje da će period do početka 2026. biti trka za zatvaranje compliance–praznina u svim sektorima.

Amazon okrivio Iran za cyber špijunažu s fizičkim napadima

Amazon je objavio detalje o dva slučaja u kojima su iranski kombinovali digitalnu špijunažu s fizičkim napadima, praksu koju kompanija naziva “cyber-enabled kinetic targeting”. Prvi slučaj uključuje grupu Imperial Kitten (poznatu i kao Tortoiseshell), povezanu s iranskim IRGC-om, koja je tokom dvije godine prelazila od cyber izviđanja do fizičke akcije. Amazon navodi da je ova grupa u decembru 2021. kompromitovala AIS sistem jednog broda, a u augustu 2022. pristupila dodatnim brodskim platformama i CCTV kamerama radi prikupljanja vizuelnih podataka u realnom vremenu. U januaru 2024. pretraživali su AIS lokacijske podatke za određeni brod, koji je samo nekoliko dana kasnije, 1. februara, bio meta raketnog napada pobunjenih Huta iz Jemena. Amazon tvrdi da je veza između cyber izviđanja i kasnijeg udara “neupitna”, iako sam napad nije bio uspješan.

Drugi slučaj odnosi se na grupu MuddyWater, povezanu s iranskim MOIS-om, koja je u maju 2025. pripremala server za cyber operacije, a već 17. juna koristila istu infrastrukturu za pristup kompromitovanom CCTV serveru u Jerusalemu. Istraživači vjeruju da je snimak poslužio za pripremu raketnog napada 23. juna, nakon čega je Izrael upozorio građane da odmah isključe internet kamere. Amazon ističe da postojeći termini poput “cyber-kinetičkih operacija” ili “hibridnog ratovanja” nisu dovoljno precizni, te predlaže novu definiciju za kampanje u kojima cyber aktivnosti direktno omogućavaju fizičke napade. Kompanija upozorava da će ovakav oblik operacija postati sve češći i da države prepoznaju prednost kombinovanja digitalnog izviđanja s kinetičkim udarima.

Amazon poziva druge kompanije da prilagode svoje strategije i prošire modele prijetnji, jer čak i subjekti koji ranije nisu bili interesantni napadačima sada mogu postati meta za taktičko prikupljanje obavještajnih podataka.

Grad Dubai pokrenuo kampanju “Scan Smart” za borbu protiv QR prevara

Dubai Electronic Security Center (DESC) pokrenuo je zamiljivu kampanju pod nazivom “Scan Smart”, koja se od 24. do 30. oktobra održala povodom “Mjeseca cyber sigurnosti” a imala za cilj jačanje svijesti o rizicima povezanima s QR kodovima. Kako se QR kodovi sve više koriste u restoranima, hotelima, trgovinama, na događajima i drugim lokacijama, raste i opasnost od njihove zloupotrebe putem zamjene ili prekrivanja malicioznim kodovima. Samo u prvoj polovini 2025. godine globalno je zabilježeno više od 4,2 miliona pokušaja lažiranja QR kodova, što naglašava hitnost edukacije korisnika. Kroz kampanju, DESC je nastojao osnažiti građane i kompanije da prepoznaju legitimne kodove, izbjegavaju kompromitovane te prijave sumnjive situacije.

Šef DESC-a, H.E. Yousuf AlShaibani, poručio je da kampanja odražava posvećenost centra izgradnji sigurnijeg digitalnog okruženja za sve stanovnike i posjetioce Dubaija. U sklopu inicijative predstavljeni su interaktivni kiosci i edukativna microsite platforma, kao i RZAM – besplatan dodatak za preglednike koji detektuje rizične web stranice otkrivene nakon skeniranja QR kodova.

Posebno su učestvovali brojni ugostiteljski objekti širom grada, koji su kao “Scan Smart Partneri” isticali promotivne materijale i nudili posjetiocima besplatnu kafu te ekskluzivne popuste. Ovi partneri doprinijeli su stvaranju svakodnevnih “mikro centara” digitalne edukacije, gdje su posjetioci u ležernom okruženju učili o sigurnom skeniranju QR kodova.

DESC je pozvao korisnike da uvijek provjere QR kod prije skeniranja i prijave svaki sumnjivi pokušaj, čime se jača cyber otpornost zajednice i podržava šira vizija sigurnijeg digitalnog ekosistema u UAE ali i cijeloga svijeta.

Google tuži operatore „Lighthouse“ phishing platforme zbog napada na milione korisnika

Kako navodi portal cybersecuritynews.com, Google je pokrenuo tužbu protiv kriminalne operacije nazvane „Lighthouse“, sofisticirane phishing-as-a-service platforme koja je, prema procjenama, već pogodila više od milion ljudi u više od 120 zemalja. Istraga Googleovih sigurnosnih stručnjaka pokazala je da se radi o jednoj od najštetnijih mreža prevara posljednjih godina, organizovanoj tako da koristi poznate brendove kako bi prevarila korisnike.

Platforma omogućava napadačima da pokreću velike „smishing“ kampanje, odnosno phishing napade dostavljene putem SMS poruka umjesto e-pošte. Prevaranti se pri tome lažno predstavljaju kao kompanije poput E-Z Passa, USPS-a i drugih servisa za naplatu putarina, šaljući linkove koji vode na lažne web-stranice. Te stranice izgledaju uvjerljivo i dizajnirane su da ukradu lozinke, finansijske podatke i druge osjetljive informacije od žrtava. Googleovi analitičari otkrili su najmanje 107 malicioznih web-templata s Googleovim brendom na lažnim ekranima za prijavu, što dodatno povećava rizik od kompromitacije.

U Sjedinjenim Američkim Državama operacija je, prema istom izvoru, omogućila krađu podataka nekoliko desetina miliona kreditnih kartica, što predstavlja ogroman finansijski udar. Googleova tužba poziva se na više zakona, uključujući RICO, Lanham Act i Computer Fraud and Abuse Act, a kompanija istovremeno uvodi dodatne sigurnosne mjere, od AI sistema za detekciju sumnjivih poruka do poboljšanih opcija za oporavak računa, kako bi korisnicima osigurala brži i sigurniji povrat kontrole nad kompromitovanim nalozima.

Assa Abloy: Značaj NIS2 direktive za upravljanje fizičkim pristupom

Nova evropska direktiva NIS2 uvodi strožije zahtjeve za sigurnost mrežnih i informacijskih sistema. U kontekstu all-hazards pristupa, kontrola fizičkog pristupa postaje ključni faktor usklađenosti i otpornosti na hibridne prijetnje. Tu na scenu stupaju inteligentna pristupna rješenja, koja mogu pomoći organizacijama da odgovore na nove regulatorne izazove i izbjegnu ozbiljne sankcije.

Piše: David Moser, viši potpredsjednik i direktor odjela za digitalna i pristupna rješenja ASSA ABLOY Opening Solutions EMEIA; E-mail: david.moser@assaabloy.com

Tokom implementacije nove evropske direktive NIS2 najveća pažnja usmjerena je na njen utjecaj na cyber sigurnost. Ipak, utjecaj na tehničku zaštitu i strategiju pristupa kompanija jednako je važan. NIS2 uvodi novi nivo fokusiranosti na kibernetičko-fizičku otpornost – uz ozbiljne kazne za organizacije koje ne ispune zahtjeve propisane ovim okvirom.

All-hazards pristup

Ova direktiva zamjenjuje prvobitnu NIS direktivu o mrežnoj i informacijskoj sigurnosti iz 2016. godine i   donosi strožije zakonske zahtjeve u pogledu minimalnih standarda IT sigurnosti u kritičnoj infrastrukturi. Također, proširuje obuhvat na više novih sektora. Evropska komisija procjenjuje da će oko 160.000 kompanija odmah biti obuhvaćeno novim propisima. Najvažnija promjena za menadžere sigurnosti i upravitelje objekata jeste prelazak na tzv. all-hazards pristup regulativi. U praksi to znači da su kompanije obavezne pojačati digitalne sigurnosne mjere dodatnim procesima i uređajima koji fizički štite njihovu digitalnu infrastrukturu. Na taj način, kibernetičko-fizička otpornost – i sve veća povezanost ciljeva i operacija cyber i fizičkih sigurnosnih timova – postaje ključni element odgovora na rast broja i složenosti hibridnih kibernetičko-fizičkih napada.

Obuhvat, usklađenost, finansijske kazne

NIS2 regulativa obuhvata znatno širi spektar organizacija i sektora. Pored tradicionalnih infrastrukturnih oblasti kao što su energetika, komunalne usluge, transport, telekomunikacije, upravljanje otpadom i data centri, direktiva uključuje i šire shvatanje nacionalne kritične infrastrukture, u koju stavlja: zdravstveni sektor (uključujući i medicinsko istraživanje), digitalne usluge te brojne proizvodne industrije poput prehrambene, hemijske, automobilske i drugih. Organizacije koje posluju u ovim sektorima trebale bi provjeriti da li i same potpadaju pod nove obaveze.

Značajan element novih obaveza jeste prošireni all-hazards pristup. Prema članu 21, subjekti moraju “preduzeti odgovarajuće i srazmjerne tehničke, operativne i organizacijske mjere za upravljanje rizicima po sigurnost mrežnih i informacijskih sistema (…) i sprečavanje ili minimiziranje utjecaja sigurnosnih incidenata na korisnike njihovih usluga i druge servise”. Drugim riječima, svi dijelovi objekta gdje bi zlonamjerne osobe mogle fizički pristupiti digitalnoj infrastrukturi – uključujući IoT uređaje, terminale za upravljanje pristupom, servere i druge sisteme – sada moraju imati adekvatnu zaštitu od digitalnih, fizičkih i hibridnih prijetnji. Uređaji i protokoli kontrole pristupa moraju biti na nivou zadatka.

Kazne za neusklađenost s direktivom NIS2 mogu biti ozbiljne. Kompanije mogu biti kažnjene novčanim iznosom do deset miliona eura ili 2% globalnog godišnjeg prihoda. Stoga zastarjeli sistemi zaključavanja predstavljaju veliki rizik i potencijalnu odgovornost.

Utjecaj direktive na kontrolu pristupa

Implikacije direktive NIS2 na sigurnosno i infrastrukturno upravljanje – kao i na moguće finansijske sankcije – su značajne, posebno u kontekstu “all-hazards” pristupa.

Mjere za implementaciju i nadzor procesa u skladu s ovim pristupom uključuju precizniju analizu rizika za digitalne uređaje na lokaciji, sigurnost lanca nabavke kroz sigurniju kupovinu i upravljanje podacima, kontrolu fizičkog pristupa osoblju i posjetiocima, obuke iz cyber higijene, planiranje kontinuiteta poslovanja u slučaju incidenta i druge mjere. Sigurnosni timovi trebaju hitno procijeniti postojeću kibernetičko-fizičku otpornost kako bi brzo identifikovali područja koja zahtijevaju dodatne mjere ili nadogradnju.

Upravljanje pristupom ključni je element u naporima svake kompanije da postigne usklađenost s NIS2 direktivom. Inteligentna rješenja za pristup mogu poboljšati kibernetičko-fizičku otpornost kroz naprednije upravljanje identitetima, praćenje pristupa i mogućnost cjelodnevne daljinske kontrole objekta. Akreditivi koji zahtijevaju redovnu ponovnu validaciju ili automatski istječu znatno smanjuju rizik od neovlaštenih ključeva u opticaju – što je još jedna ranjivost digitalne infrastrukture.

ASSA ABLOY ima rješenja

Digitalna pristupna rješenja kompanije ASSA ABLOY omogućavaju zaštitu svakog sloja sigurnosnog sistema i mogu znatno doprinijeti postizanju usklađenosti s NIS2 direktivom. Ona štite organizacije i njihove podatke tako što omogućavaju potpunu kontrolu nad time ko, kada i gdje ima pristup, uz mogućnost trenutačnog poništavanja izgubljenih akreditiva. Rješenja podržavaju i online i offline kontrolu pristupa, unapređujući tokove rada kroz fleksibilno upravljanje – bilo daljinski ili na licu mjesta. Ponuda uključuje digitalne sisteme pristupa i hardver za nadogradnju postojećih instalacija, pružajući skalabilnu kontrolu nad pristupnim tačkama koje ranije nisu bile dostupne, uz zaštitu od 1. do 4. sigurnosne klase. Bežična rješenja jednostavna su za instalaciju, bez potrebe za ožičenjem ili građevinskim zahvatima.

Fizički pristup često se smatra jednom od najvećih „stražnjih vrata“ za cyber kriminalce u eri sve češćih hibridnih napada. Zatvaranje tih vrata pomoću digitalnih rješenja za pristup osigurat će ispunjavanje NIS2 obaveza i osloboditi donosioce sigurnosnih odluka brige o usklađenosti.

Stručnjaci kompanije ASSA ABLOY dostupni su za savjetovanje o specifičnim funkcijama i prednostima koje su usklađene sa zahtjevima direktive i doprinose jačanju kibernetičko-fizičkog sigurnosnog okvira bilo koje organizacije.