Zaštita od hakerskih napada - 10 koraka za firme

Zaštita od hakera za firmu ne počinje skupim alatom, nego osnovama: uključite višefaktorsku autentifikaciju, redovno ažurirajte sve sisteme, radite testirane sigurnosne kopije i educirajte zaposlenike o phishingu. Tih nekoliko mjera blokira veliku većinu uobičajenih napada. U nastavku donosimo 10 konkretnih koraka koje mala i srednja firma može primijeniti, poredanih od najvažnijih prema naprednim.

Mnoge firme u Mostaru i širom Bosne i Hercegovine vjeruju da su premale da bi bile meta. Realnost je suprotna: automatizirani napadi ne biraju žrtvu po veličini, nego po ranjivosti. Ransomware, kompromitirani poslovni email (BEC) i krađa pristupnih podataka pogađaju i preduzeća s nekoliko zaposlenih. Dobra vijest je da se rizik može drastično smanjiti sistematskim pristupom, bez ogromnih ulaganja.

Zašto je zaštita od hakera danas obavezna za svaku firmu

Digitalizacija poslovanja znači da se podaci o klijentima, fakture, ugovori i pristup bankovnim računima nalaze online. Svaki taj sistem je potencijalna ulazna tačka. Napadač ne mora probiti firewall ako mu zaposlenik nesvjesno preda lozinku putem lažnog emaila. Zato dobra zaštita od hakera kombinuje tehnologiju, procese i ljude, a nijedan od tri elementa nije dovoljan sam za sebe.

Cilj nije postići apsolutnu sigurnost, jer ona ne postoji. Cilj je podići cijenu napada toliko da se prosječnom napadaču više isplati potražiti lakšu metu. Sljedećih 10 koraka upravo to radi.

Kako napadi obično izgledaju u praksi

Da bi zaštita imala smisla, korisno je razumjeti kako tipičan napad teče. Većina incidenata u malim i srednjim firmama prati sličan obrazac: napadač prvo pribavi pristup (najčešće phishingom ili ukradenom lozinkom), zatim se kreće kroz mrežu i podiže privilegije, prikuplja podatke i na kraju izvršava cilj, odnosno šifrira sisteme radi otkupnine, krade podatke ili preusmjerava uplate. Svaki od 10 koraka u nastavku presijeca taj lanac na jednom ili više mjesta. Što više karika prekinete, to je napad teži i skuplji za izvođenje, a vama ostaje više vremena da ga primijetite i zaustavite.

10 koraka za zaštitu firme od hakerskih napada

1. Uključite višefaktorsku autentifikaciju (MFA) svuda

Lozinka, ma koliko jaka, može biti ukradena phishingom ili procurjeti iz tuđe baze. Višefaktorska autentifikacija dodaje drugi korak, poput koda iz aplikacije, hardverskog ključa ili potvrde na telefonu, pa ukradena lozinka sama po sebi nije dovoljna. MFA uključite prioritetno za email, VPN, administratorske naloge i sve cloud servise. Aplikacije poput Microsoft ili Google Authenticatora besplatne su i ugrađene u većinu poslovnih alata. Imajte na umu da nisu svi oblici MFA jednako otporni: kod putem SMS-a bolji je nego ništa, ali je ranjiv na presretanje i zamjenu SIM kartice. Gdje god je moguće, dajte prednost aplikacijskim kodovima ili hardverskim ključevima (FIDO2) za najosjetljivije naloge, posebno administratorske.

2. Redovno ažurirajte operativne sisteme i softver

Velik dio uspješnih napada koristi propuste za koje proizvođač već ima zakrpu, a firma je jednostavno nije instalirala. Uspostavite politiku redovnog ažuriranja (patch management) za operativne sisteme, preglednike, plugine i poslovne aplikacije. Tamo gdje je moguće, uključite automatska ažuriranja. Posebnu pažnju obratite na uređaje koji se često zaborave: rutere, NAS uređaje i CMS platforme poput WordPressa.

3. Radite testirane sigurnosne kopije po pravilu 3-2-1

Backup je posljednja linija odbrane protiv ransomwarea. Pravilo 3-2-1 znači: tri kopije podataka, na dvije različite vrste medija, s jednom kopijom izvan lokacije (offsite ili offline). Ključ je redovno testiranje obnove, jer kopija koja se ne može vratiti praktično ne postoji. Barem jedna kopija treba biti odvojena od mreže (air-gapped) da je ransomware ne može šifrirati zajedno s ostatkom sistema.

4. Educirajte zaposlenike o phishingu i socijalnom inženjeringu

Čovjek je najčešća ulazna tačka. Lažni emailovi, poruke koje zahtijevaju hitnu uplatu i pozivi u kojima se neko predstavlja kao IT podrška i dalje su najefikasniji način ulaska u firmu. Redovne kratke edukacije i simulirane phishing kampanje uče zaposlenike da prepoznaju sumnjive poruke. Uvedite jednostavno pravilo: kod svake neuobičajene financijske ili pristupne molbe potvrda se traži drugim kanalom (npr. telefonski poziv). Posebno opasan oblik je kompromitirani poslovni email (BEC), gdje napadač preuzme ili imitira nalog rukovodioca i traži hitnu uplatu na novi račun. Takve prevare ne otkriva antivirus, nego upravo obučen zaposlenik koji zna da provjeri prije nego klikne ili plati.

5. Ograničite prava pristupa po principu najmanje privilegije

Svaki zaposlenik treba imati pristup samo onome što mu je nužno za posao. Ako napadač kompromituje nalog s minimalnim pravima, šteta je ograničena. Izbjegavajte svakodnevni rad s administratorskim nalozima i redovno provjeravajte ko ima pristup čemu, posebno kod zaposlenika koji su promijenili poziciju ili napustili firmu.

6. Segmentirajte mrežu

Ravna mreža u kojoj svi uređaji vide sve znači da kompromitacija jednog računara otvara put do svih ostalih. Razdvajanje mreže na segmente (npr. gostujući WiFi, poslovne stanice, serveri, proizvodni/IoT uređaji) usporava kretanje napadača i ograničava domet incidenta. Za manje firme dovoljan je dobro konfiguriran poslovni ruter s VLAN podrškom.

7. Zaštitite krajnje uređaje i koristite firewall

Svaki laptop, desktop i server treba imati aktivnu zaštitu krajnjih tačaka (EDR/antivirus) i uključen firewall. Moderna EDR rješenja ne samo da blokiraju poznate prijetnje, nego prepoznaju i sumnjivo ponašanje. Za firme bez vlastitog tima ovo se često rješava kroz upravljane sigurnosne usluge (MSSP/MDR) koje nadziru i reaguju 24/7.

8. Uvedite politiku jakih lozinki i upravitelj lozinki

Ponovljene i slabe lozinke su pozivnica za napad. Umjesto da tjerate zaposlenike da pamte desetke kombinacija, uvedite upravitelj lozinki (password manager) koji generiše i čuva jedinstvene, duge lozinke za svaki servis. U kombinaciji s MFA, ovo eliminiše jednu od najčešćih ranjivosti.

9. Pripremite plan reagovanja na incident

Pitanje nije hoće li se incident dogoditi, nego kada. Plan reagovanja unaprijed definiše ko koga zove, kako se izoluju zaraženi sistemi, gdje su backupi i koje su zakonske obaveze prijave. Firma koja ima plan reaguje u satima, a ne danima, a vrijeme je kod ransomwarea direktno povezano s troškom. Plan ne mora biti opširan dokument; dovoljna je jasna, testirana procedura na nekoliko stranica. Minimalni plan odgovara na nekoliko ključnih pitanja: ko donosi odluke i koga se prvo obavještava, kako se brzo izoluju zaraženi uređaji, gdje su i kako se vraćaju backupi, te koje su zakonske i ugovorne obaveze prijave (npr. nadležnim tijelima i pogođenim klijentima). Korisno je jednom godišnje odraditi i kratku simulaciju (tzv. tabletop vježbu) da se provjeri da svi znaju svoju ulogu pod pritiskom.

10. Redovno testirajte sigurnost penetracijskim testiranjem

Sve prethodno treba provjeriti iz perspektive napadača. Penetracijsko testiranje (pentest) je kontrolirani, ovlašteni napad na vaše sisteme koji otkriva stvarne ranjivosti prije nego ih otkrije neko sa zlim namjerama. Za razliku od automatskog skena, pentest spaja propuste u realne scenarije i daje konkretan plan ispravki. Ako niste sigurni odakle početi, popunite kratki upitnik za penetracijsko testiranje i dobit ćete procjenu opsega.

Prioritizacija: odakle početi ako imate ograničen budžet

Ne mora se sve uvesti odjednom. Sljedeća tabela grupiše korake po odnosu uloženog truda i dobivene zaštite, što malim firmama u regiji pomaže da odrede redoslijed.

Prioritet	Mjera	Trud / trošak	Učinak na rizik
Odmah	MFA na email i ključne naloge	Nizak	Vrlo visok
Odmah	Ažuriranja i zakrpe	Nizak	Visok
Odmah	Testirani backup (3-2-1)	Srednji	Vrlo visok
Kratkoročno	Edukacija o phishingu	Nizak	Visok
Kratkoročno	Upravitelj lozinki i prava pristupa	Nizak	Srednji do visok
Srednjoročno	EDR i segmentacija mreže	Srednji	Visok
Srednjoročno	Plan reagovanja na incident	Srednji	Visok (smanjuje štetu)
Periodično	Penetracijsko testiranje	Srednji do viši	Visok (validacija svega)

Specifičnosti za firme u BiH i regiji

Mala i srednja preduzeća u Bosni i Hercegovini često rade bez vlastitog IT odjela, oslanjajući se na jednog vanjskog informatičara ili na zaposlenika koji se sigurnošću bavi usput. To nije nužno problem ako su osnovni procesi postavljeni i ako neko redovno prati da se backupi rade i da se sistemi ažuriraju. Problem nastaje kada se sigurnost prepusti slučaju.

Drugi čest izazov je rad s lancem dobavljača i klijenata iz EU, gdje sve veći broj ugovora zahtijeva dokazivu razinu sigurnosti. Firme koje posluju s partnerima u inozemstvu sve češće dobijaju sigurnosne upitnike i obaveze zaštite ličnih podataka. Uvođenje gore navedenih koraka i, kada je relevantno, priprema za standard poput ISO 27001 ne služi samo zaštiti, nego postaje i poslovna prednost koja otvara vrata kod zahtjevnijih klijenata. Za firme u Mostaru i okolini koje žele lokalnu podršku na maternjem jeziku, saradnja s domaćim timom skraćuje vrijeme reagovanja i olakšava razumijevanje konteksta.

Najčešće greške koje firme prave

• Vjerovanje da je antivirus dovoljan. Antivirus je jedan sloj; ozbiljna zaštita je višeslojna.
• Backup koji se nikad ne testira. Mnoge firme otkriju da backup ne radi tek kad ga zatrebaju.
• Zaboravljeni uređaji i nalozi. Stari serveri, bivši zaposlenici i nekorišteni servisi su tiha vrata za napadače.
• Sigurnost kao jednokratni projekat. Prijetnje se mijenjaju, pa zaštita zahtijeva redovno održavanje i ponovno testiranje.

Kako vam NeoBit može pomoći

NeoBit je cyber security kompanija iz Mostara koja firmama u BiH i regiji pomaže da primijene upravo ovaj pristup: od penetracijskog testiranja i procjene ranjivosti, preko Guardian 360 SOC nadzora i reagovanja na incidente, do pripreme za ISO 27001. Ako želite znati gdje vam je trenutno najveći rizik, najbolji prvi korak je razgovor o konkretnom stanju vaše firme. Kontaktirajte naš tim i dogovorite besplatnu inicijalnu procjenu.

Često postavljana pitanja

Koja je najvažnija mjera zaštite od hakera za malu firmu?

Ako možete uvesti samo jednu stvar odmah, neka to bude višefaktorska autentifikacija (MFA) na email i ključne naloge. Ona blokira ogroman dio napada zasnovanih na ukradenim lozinkama. Odmah uz nju idu redovna ažuriranja i testirani backup po pravilu 3-2-1.

Koliko košta zaštita od hakerskih napada za firmu?

Većina osnovnih mjera, poput MFA, ažuriranja, upravitelja lozinki i edukacije, gotovo je besplatna i traži uglavnom vrijeme i disciplinu. Veći troškovi (EDR, upravljani nadzor, pentest) skaliraju prema veličini firme i osjetljivosti podataka. Pristup gdje se prvo uvode jeftine mjere s najvećim učinkom obično daje najbolji omjer ulaganja i zaštite.

Je li penetracijsko testiranje potrebno maloj firmi?

Da, ako firma čuva osjetljive podatke, posluje online ili ima zakonske obaveze prema klijentima. Pentest otkriva stvarne, iskoristive ranjivosti prije napadača i daje konkretan plan ispravki. Manjim firmama često je dovoljan ciljani test ključnih sistema umjesto sveobuhvatne procjene, što drži trošak razumnim.

Šta učiniti ako sumnjamo da smo već hakovani?

Izolujte zahvaćene uređaje od mreže, ali ih ne gasite naglo jer se time mogu izgubiti tragovi. Promijenite lozinke s čistog uređaja, obavijestite odgovorne osobe i kontaktirajte stručnjake za reagovanje na incident. Ne plaćajte otkupninu prije konsultacije, jer često postoje druge opcije, a plaćanje ne garantuje povrat podataka.

Povezani vodiči: Cyber sigurnost u BiH - kompletan vodič · Ransomware zaštita: kako zaštititi firmu od napada · Kako prepoznati phishing napad - vodič za zaposlenike