mr Dejan Abazović

Nakon neočekivano pozitivnih reakcija i kritika na moj prethodni tekst o sajber bezbjednosti, kao i brojnih pitanja i komentara koji su uslijedili, odlučio sam da nastavim sa pisanjem o ovoj, sve značajnijoj temi za Crnu Goru. Smatram da sajber bezbjednost zaslužuje mnogo više stručne i javne pažnje nego što joj se trenutno posvećuje, jer se ne tiče samo tehnologije i zaštite informacionih sistema, već i nacionalne bezbjednosti, stabilnosti institucija, ekonomske otpornosti i ukupne sposobnosti države da odgovori na izazove digitalnog doba. Upravo zato želim da kroz naredne tekstove otvorim neka od važnih pitanja, iznesem svoja razmišljanja i dam lični doprinos stručnoj raspravi o tome kako Crna Gora treba da gradi svoj sistem sajber bezbjednosti.

Da li imamo jedinstven sistem ili samo podijeljene nadležnosti?

Izgradnja nacionalnog sistema sajber bezbjednosti ne završava se donošenjem zakona, osnivanjem institucija i formalnom podjelom nadležnosti. Njegova stvarna vrijednost mjeri se sposobnošću države da pravovremeno prepozna prijetnju, koordinisano reaguje i zaštiti svoje ključne sisteme i interese. Upravo u tom dijelu vidim prostor za ozbiljno preispitivanje postojećeg institucionalnog i zakonskog rješenja u Crnoj Gori.

Digitalna transformacija društva i države donosi brojne razvojne mogućnosti, ali istovremeno otvara i nove bezbjednosne izazove. Funkcionisanje državne uprave, finansijskog sistema, energetike, telekomunikacija, zdravstva i drugih važnih djelatnosti sve više zavisi od stabilnosti, dostupnosti i bezbjednosti informacionih sistema. Zbog toga sajber bezbjednost odavno nije samo pitanje informatičke struke i tehničke zaštite računarskih mreža. Ona je postala pitanje nacionalne bezbjednosti, ekonomske stabilnosti, kontinuiteta rada institucija i povjerenja građana u državu.

Crna Gora je donošenjem Zakona o informacionoj bezbjednosti („Službeni list Crne Gore“, br. 113/2024) napravila važan korak u uspostavljanju institucionalnog i regulatornog okvira za ovu oblast. Osnivanje Agencije za sajber bezbjednost predstavlja značajan segment tog procesa. Ipak, smatram da pojedina zakonska rješenja, posebno ona koja uređuju odnos Agencije za sajber bezbjednost i CIRT-a državne uprave, zahtijevaju dodatnu stručnu analizu i preispitivanje.

Ne dovodim u pitanje potrebu postojanja ovih institucija, niti značaj njihovih pojedinačnih nadležnosti. Naprotiv, smatram da su specijalizovani institucionalni i tehnički kapaciteti neophodni. Međutim, postavlja se pitanje da li je postojeći model njihovog povezivanja dovoljno dobar da odgovori na kompleksne sajber prijetnje koje ne poznaju administrativne, organizacione i sektorske granice.

Podjela nadležnosti nije isto što i funkcionalan sistem

Zakonodavac je napravio podjelu prema kojoj Ministarstvo, preko CIRT-a državne uprave, obavlja poslove zaštite informacionih sistema organa državne uprave, dok Agencija preuzima nadležnosti koje se odnose na ostale organe i subjekte obuhvaćene zakonom.

Na prvi pogled, takva podjela djeluje logično. Međutim, informacioni sistemi nijesu izolovane cjeline. Oni su međusobno povezani, razmjenjuju podatke i zavise od zajedničke infrastrukture, elektronskih komunikacija i različitih digitalnih servisa. Sajber napad na jedan sistem može se proširiti na druge sisteme, izazvati prekid pružanja javnih usluga, ugroziti finansijsku stabilnost ili imati posljedice po funkcionisanje države u cjelini.

Zbog toga se sajber bezbjednost ne može posmatrati isključivo kroz administrativnu pripadnost institucija i podjelu odgovornosti između pojedinačnih organa. Potreban je sistem koji obezbjeđuje zajedničku procjenu prijetnji, razmjenu informacija, koordinisano djelovanje i jedinstven pregled bezbjednosne situacije na nacionalnom nivou. Upravo tu vidim jednu od slabosti postojećeg zakonskog rješenja.

Agencija i CIRT – slične operativne funkcije, nedovoljno razrađeni međusobni odnosi

Posebnu pažnju zaslužuju članovi 31–34 Zakona, kojima su uređeni poslovi procjene, klasifikacije i reagovanja na sajber incidente.

I Agencija i CIRT imaju određene slične operativne funkcije. U okviru svojih nadležnosti prate i analiziraju sajber prijetnje, procjenjuju uticaj incidenata, određuju njihov nivo, pružaju stručnu pomoć i daju smjernice za reagovanje.

Takva podjela može funkcionisati dok se radi o incidentima ograničenog obima, koji pogađaju sisteme iz nadležnosti jedne institucije. Međutim, problem postaje mnogo izraženiji kada incident zahvati više institucija, različite sektore ili sisteme koji su međusobno povezani.

Član 34 propisuje da Agencija i CIRT, u slučaju incidenta visokog nivoa, zajednički učestvuju u njegovom rješavanju i daju smjernice za reagovanje.

To je načelno ispravno rješenje, ali otvara nekoliko važnih pitanja. Ko u takvoj situaciji preuzima vodeću operativnu ulogu? Ko koordinira zajedničkim aktivnostima? Ko utvrđuje prioritete i usmjerava tehničke kapacitete? Kako se obezbjeđuje jedinstveno postupanje ako različite institucije imaju različite procjene ili prioritete?

Ne smatram da zakon mora propisivati svaki tehnički detalj operativnog postupanja. Međutim, mora jasno definisati odgovornost, ovlašćenja i mehanizme koordinacije.

U sajber bezbjednosti ne smije biti prostora za institucionalno nadmetanje, paralelno postupanje ili nejasnoće u odgovornosti. Brzina reagovanja, pravovremena razmjena informacija i jedinstveno usmjeravanje aktivnosti mogu biti presudni za ograničavanje posljedica napada.

Koordinacija tek kada problem preraste u sajber krizu

Posebno interesantnim smatram odnos članova 34 i 35 Zakona.

Član 35 predviđa mehanizam postupanja u slučaju kada Agencija i CIRT ne mogu da riješe incident visokog nivoa u roku od deset dana od dostavljanja početnog obavještenja. U tom slučaju Ministarstvo predlaže Vladi proglašenje sajber krize, a nakon njenog proglašenja Ministarstvo koordinira radom organa uključenih u njeno rješavanje, dok Agencija, u saradnji sa Ministarstvom, sprovodi operativnu koordinaciju.

Ovakvo rješenje pokazuje da je zakonodavac prepoznao potrebu za koordinacijom na nacionalnom nivou. Međutim, postavlja se pitanje da li je opravdano da se tako značajan mehanizam koordinacije aktivira tek kada incident preraste u sajber krizu.

Zar jedinstvena operativna koordinacija, jasno definisana odgovornost i zajedničko upravljanje informacijama ne bi trebalo da postoje mnogo ranije – od trenutka kada se prepozna da incident može imati šire posljedice?

Posebno je važno da se ne stvori situacija u kojoj se institucije tek tokom ozbiljnog incidenta suočavaju sa pitanjem ko je odgovoran za koordinaciju i ko treba da usmjerava zajedničko djelovanje.

Moje je mišljenje da nacionalni sistem mora biti organizovan tako da koordinacija bude njegova redovna funkcija, a ne mehanizam koji se aktivira tek kada nastupi kriza.

Kakav model bi bio najbolji za Crnu Goru?

Smatram da bi Crna Gora trebalo da ide korak dalje od postojećeg institucionalnog modela i uspostavi jedinstven nacionalni sistem sajber bezbjednosti, zasnovan na centralnoj operativnoj koordinaciji i međusobno povezanim specijalizovanim kapacitetima.

Ne zagovaram ukidanje Agencije niti CIRT-a državne uprave. Smatram da oba kapaciteta imaju opravdano mjesto u sistemu, ali da njihove funkcije moraju biti preciznije razgraničene i istovremeno mnogo bolje integrisane.

Moj predlog podrazumijeva sljedeći model:

1. Jedinstvena nacionalna operativna koordinacija

Potrebno je uspostaviti jasno definisan nacionalni koordinacioni kapacitet, sa odgovornošću za objedinjavanje informacija o sajber prijetnjama i incidentima, nacionalnu situacionu svijest, koordinaciju međusektorskog reagovanja i usmjeravanje zajedničkih aktivnosti kod incidenata koji mogu ugroziti šire nacionalne interese.

Ova funkcija mora biti jasno institucionalno pozicionirana, sa precizno utvrđenim ovlašćenjima i odgovornošću. Smatram da je treba organizovati kroz nacionalni CSIRT/CIRT model, odnosno kroz odgovarajuće povezivanje postojećih operativnih kapaciteta, umjesto stvaranja dodatnih paralelnih struktura.

2. Specijalizovani operativni timovi sa jasno podijeljenim odgovornostima

CIRT državne uprave treba da zadrži fokus na zaštiti informacionih sistema državne uprave, uključujući kontinuirani monitoring, detekciju prijetnji, tehničku analizu, reagovanje na incidente i oporavak sistema.

Agencija za sajber bezbjednost treba da razvija i upravlja kapacitetima zaštite subjekata iz svoje zakonske nadležnosti, uz odgovarajuće stručne, tehničke i nadzorne funkcije.

Oba kapaciteta moraju biti povezana zajedničkim procedurama, bezbjednim kanalima komunikacije, standardima razmjene informacija i jasno definisanim pravilima eskalacije incidenata.

3. Jedinstvena slika nacionalnih sajber prijetnji

Država mora imati mogućnost da na jednom mjestu objedini relevantne informacije o sajber prijetnjama, ranjivostima, incidentima i njihovim potencijalnim posljedicama.

To ne znači da svi podaci moraju biti smješteni u jednoj centralnoj bazi, niti da svaka institucija treba da izgubi autonomiju u upravljanju svojim sistemima. Riječ je o uspostavljanju interoperabilnog sistema razmjene informacija i zajedničke situacione svijesti.

Posebno je važno razvijati kapacitete za prikupljanje i analizu podataka o prijetnjama (Cyber Threat Intelligence), rano upozoravanje i prepoznavanje obrazaca napada koji mogu ugroziti više institucija ili sektora.

4. Jasna odgovornost za upravljanje velikim incidentima

Za incidente koji prevazilaze nadležnost jedne institucije mora postojati unaprijed definisan model operativnog rukovođenja. On treba da utvrdi ko koordinira aktivnostima, ko donosi operativne odluke u okviru svojih zakonskih ovlašćenja, kako se raspoređuju resursi i kako se obezbjeđuje komunikacija sa državnim rukovodstvom i drugim nadležnim institucijama.

Posebno je važno uspostaviti procedure za zajedničko reagovanje Agencije i CIRT-a, ali i drugih institucija koje posjeduju specifične bezbjednosne kapacitete.

5. Razdvajanje operativne i nadzorne funkcije

Potrebno je obezbijediti jasno funkcionalno razdvajanje operativnih poslova zaštite i reagovanja od poslova regulatornog i stručnog nadzora. Time se jačaju objektivnost, transparentnost i povjerenje subjekata u instituciju koja treba da im pruži stručnu pomoć, ali i da kontroliše primjenu zakonskih obaveza.

Evropska praksa i NIS2 – saradnja je obaveza, a ne dobra volja institucija

Ovakav pristup nije samo moje profesionalno viđenje, već je u skladu sa savremenim evropskim principima organizacije sajber bezbjednosti.

Direktiva Evropske unije NIS2 (Direktiva 2022/2555) predviđa mogućnost da države članice imaju jedan ili više CSIRT timova. Dakle, evropski model ne insistira na tome da sve poslove obavlja jedna institucija ili jedan operativni centar.

Međutim, on jasno zahtijeva da ti timovi imaju odgovarajuće tehničke i organizacione kapacitete, definisane procedure za postupanje, bezbjednu infrastrukturu za razmjenu informacija i uspostavljene odnose saradnje sa drugim nadležnim organima.

Posebno je značajan član 13 NIS2 direktive, koji propisuje saradnju nadležnih organa, jedinstvene kontakt tačke i CSIRT timova na nacionalnom nivou. Evropski pristup, dakle, ne zasniva se na formalnom postojanju institucija, već na njihovoj stvarnoj sposobnosti da funkcionišu kao povezan i koordinisan sistem.

Za Crnu Goru, kao državu koja teži članstvu u Evropskoj uniji, usklađivanje sa ovim principima ne bi trebalo posmatrati samo kao ispunjavanje formalnih obaveza iz evropske agende. To je prije svega pitanje izgradnje sopstvenih kapaciteta za zaštitu države, njenih institucija, privrede i građana.

Nacionalni interes mora biti iznad institucionalnih granica

Postoji još jedna dimenzija koju ne smijemo zanemariti. Nacionalni sistem sajber bezbjednosti ne može biti ograničen samo na institucije koje su neposredno obuhvaćene Zakonom o informacionoj bezbjednosti.

Poseban izazov predstavljaju institucije i sektori koji imaju specifične bezbjednosne režime i sopstvene kapacitete, uključujući Centralnu banku Crne Gore, sektor odbrane, bezbjednosne službe i policiju, kao i druge subjekte koji imaju poseban zakonski status.

Činjenica da se pojedini sistemi nalaze izvan neposrednog režima primjene ovog zakona ne znači da njihove bezbjednosne prijetnje ne mogu imati posljedice po ukupnu nacionalnu bezbjednost.

Zato je neophodno razvijati odgovarajuće mehanizme saradnje i razmjene informacija, uz puno poštovanje zakonskih nadležnosti, povjerljivosti podataka i posebnih bezbjednosnih zahtjeva tih institucija.

Sajber napad na finansijski sistem, energetsku infrastrukturu ili državnu instituciju ne predstavlja problem samo jednog organa. To može postati nacionalni problem, koji zahtijeva koordinisan odgovor cijele države.

Upravo zato nacionalni interes mora biti iznad institucionalnih granica i pojedinačnih organizacionih rješenja.

Manje institucionalne fragmentacije, više zajedničke odgovornosti

Crna Gora je napravila važan korak uspostavljanjem novog zakonskog i institucionalnog okvira sajber bezbjednosti. Ipak, smatram da je sada pravi trenutak da se otvori ozbiljna stručna rasprava o njegovom unapređenju.

Ne treba da čekamo da se suočimo sa velikim sajber incidentom kako bismo utvrdili da li su naše institucije dovoljno povezane, da li imaju jasnu podjelu odgovornosti i da li mogu zajednički da odgovore na prijetnju koja ugrožava državu.

Moj stav je da Crnoj Gori treba jedinstven nacionalni sistem sajber bezbjednosti, sa jasno definisanom centralnom operativnom koordinacijom, snažnim i specijalizovanim Agencijom i CIRT-om, zajedničkom razmjenom informacija i preciznim procedurama za upravljanje incidentima i krizama.

To zahtijeva i preispitivanje pojedinih odredbi Zakona o informacionoj bezbjednosti, posebno u dijelu koji uređuje međusobne odnose Agencije i CIRT-a, njihovu odgovornost i način zajedničkog postupanja. Ne isključujem ni potrebu za odgovarajućim organizacionim i institucionalnim promjenama ukoliko se pokaže da je to najefikasniji način ostvarivanja ovog cilja.

Ne smatram da uspješnost nacionalnog sistema treba mjeriti brojem institucija, njihovim formalnim nadležnostima ili organizacionom strukturom. Mjerilo mora biti njegova sposobnost da spriječi napad, prepozna prijetnju, reaguje u najkraćem mogućem roku i obezbijedi kontinuitet funkcionisanja države.

U sajber prostoru ne postoje granice između institucija kada je ugrožena država. Zato ni naš odgovor ne smije biti institucionalno podijeljen. Po mom skromnom mišljenju, to je pravac u kojem Crna Gora treba da razvija svoj nacionalni sistem sajber bezbjednosti – u skladu sa najboljom evropskom i svjetskom praksom, ali prije svega u skladu sa sopstvenim nacionalnim interesima.