PRAVILNIK

O OPŠTOJ METODOLOGIJI ZA PROCENU RIZIKA U INFORMACIONO-KOMUNIKACIONIM SISTEMIMA OD POSEBNOG ZNAČAJA

("Sl. glasnik RS", br. 63/2026)

Član 1

Ovim pravilnikom utvrđuje se opšta metodologija za procenu rizika u prioritetnim i važnim informaciono-komunikacionim sistemima od posebnog značaja (u daljem tekstu: IKT sistemi od posebnog značaja).

Član 2

Akt o proceni rizika IKT sistema od posebnog značaja izrađuje se u skladu sa opštom metodologijom za procenu rizika, koja je data je u Prilogu 1. ovog pravilnika i čini njegov sastavni deo.

Aktom o proceni rizika iz stava 1. ovog člana vrši se procena rizika u IKT sistemima od posebnog značaja s obzirom na stepen izloženosti riziku, veličinu operatora IKT sistema od posebnog značaja i izvesnost pojave incidenta i njegove ozbiljnosti, kao i njegov potencijalni društveni i ekonomski uticaj.

Član 3

Procena rizika u IKT sistemima od posebnog značaja obuhvata identifikaciju pretnji, ranjivosti i mogućih incidenata. Identifikacija pretnji zasniva se na Katalogu pretnji informacione bezbednosti, koji je dat u Prilogu 2. ovog pravilnika i čini njegov sastavni deo, dok se ranjivosti i mogući incidenti dokumentuju u odnosu na konkretne resurse, poslovne procese i postojeće mere zaštite.

Član 4

Ovaj pravilnik stupa na snagu osmog dana od dana objavljivanja u "Službenom glasniku Republike Srbije".

Prilog 1.

OPŠTA METODOLOGIJA ZA PROCENU RIZIKA U IKT SISTEMIMA OD POSEBNOG ZNAČAJA

1. Uvod

Opšta metodologija za procenu rizika u prioritetnim i važnim IKT sistemima od posebnog značaja (u daljem tekstu: metodologija) predstavlja okvir za sprovođenje obaveze procene rizika propisane Zakonom o informacionoj bezbednosti ("Službeni glasnik RS", broj 91/25, (u daljem tekstu: ZIB)). U skladu sa Zakonom operatori IKT sistema od posebnog značaja dužni su da donesu Akt o proceni rizika za IKT sisteme (u daljem tekstu: akt o proceni rizika) izrađen u skladu sa ovom metodologijom. Metodologija obezbeđuje jedinstven i standardizovan pristup proceni rizika i primenjuje se kao osnovni metodološki okvir, a posebno je namenjena operatorima IKT sistema od posebnog značaja koji nemaju internim aktom uređenu procenu rizika. Zasniva se na ITSRM metodologiji Evropske komisije (odluka Komisije (EU, Euratom) 2017/46 od 10. januara 2017. godine o sigurnosti komunikacionih i informacionih sistema u Evropskoj komisiji), ENISA "Interoperable EU Risk Management Toolbox" i međunarodnim standardima NIST SP 800-30 Rev.1 i ISO/IEC 27005:2022. Primena metodologije ima za cilj pravovremeno i efikasno donošenje odluka o primeni mera zaštite, kao i smanjenje rizika i posledica bezbednosnih incidenata.

Ova metodologija predstavlja smernice za sprovođenje procene rizika u IKT sistemima od posebnog značaja. Operatorima IKT sistema od posebnog značaja, koji već imaju uspostavljenu procenu rizika zasnovanu na scenarijima, procesima ili drugom metodološkom pristupu, ona služi kao referentni okvir za proveru usklađenosti, a ne kao obaveza za ponovno sprovođenje procene. Uslovi usklađenosti postojeće procene sa zahtevima ove metodologije detaljnije su definisani u tački 5. metodologije.

Akt o proceni rizika obezbeđuje sistematsku identifikaciju, analizu i procenu rizika po informacionu bezbednost IKT sistema, u skladu sa zakonom, uzimajući u obzir stepen izloženosti riziku, veličinu i značaj operatora, verovatnoću i ozbiljnost bezbednosnih incidenata, kao i njihov potencijalni društveni i ekonomski uticaj. Na osnovu ovog akta donosi se akt o bezbednosti IKT sistema od posebnog značaja, kojim se utvrđuju tehničke, organizacione, administrativne i fizičke mere zaštite, srazmerne identifikovanim rizicima.

Akt o proceni rizika podleže redovnoj reviziji najmanje jednom godišnje, kao i u slučaju značajnih izmena u pretnjama, ranjivostima, tehnološkom ili organizacionom okruženju, radi obezbeđivanja stalne usklađenosti sa zakonom i odgovarajućeg nivoa zaštite IKT sistema od posebnog značaja.

Donošenje Akta o proceni rizika, kao i Akta o bezbednosti IKT sistema od posebnog značaja je odgovornost i zadatak organa upravljanja operatora IKT sistema od posebnog značaja.

U cilju zaštite IKT sistema od posebnog značaja preporuka je da Akt o proceni rizika bude poverljiv dokument koji nije javno dostupan. Akt o proceni rizika može se davati isključivo na uvid licima koja su zakonom ovlašćena da ga zahtevaju, bez mogućnosti dostavljanja ili prosleđivanja van operatora IKT sistema od posebnog značaja.

2. Korišćeni pojmovi

U metodologiji koriste se pojmovi iz oblasti informacione bezbednosti, IKT sistema i procesa upravljanja rizicima. U nastavku su navedeni pojmovi i njihova značenja u kontekstu ove metodologije:

Pojmovi	Značenje
Analiza rizika	Proces razumevanja prirode rizika i utvrđivanja nivoa rizika. Predstavlja osnovu za vrednovanje rizika i donošenje odluka o tretmanu rizika.
Verovatnoća događanja	Šansa da se određeni događaj ili pretnja ostvari.
Vlasnik resursa	Osoba koja je odgovorna za resurse.
Vlasnik rizika	Osoba koja je odgovorna i ovlašćena da upravlja rizikom.
Vrednost rizika	Kombinacija negativnog uticaja i verovatnoće pojave rizika, odnosno verovatnoće događanja.
Događaj (event)	Pojava ili promena određenog skupa okolnosti koja može imati značaj za bezbednost ili poslovanje.
Identifikacija rizika	Proces prepoznavanja i opisivanja rizika.
Incident	Svaki događaj koji ugrožava raspoloživost, integritet, autentičnost, neporecivost ili poverljivost podataka koji se čuvaju, prenose ili obrađuju ili usluge koje se pružaju, odnosno koje su dostupne putem IKT sistema.
Inherentni rizik	Vrednost rizika pre primene mera zaštite.
Integritet	Svojstvo koje osigurava da podaci ili informacije nisu promenjeni ili uništeni na neovlašćeni način od kada su kreirani, preneti ili uskladišteni.
Informisana odluka (informed decision)	Odluka o postupanju sa rizikom koju donosi organ upravljanja operatora IKT sistema od posebnog značaja na osnovu dokumentovanih rezultata procene rizika, uzimajući u obzir identifikovane pretnje, procenjeni uticaj i verovatnoću, raspoložive mere zaštite i poslovni kontekst.
Mere zaštite	Tehničke, organizacione, administrativne i fizičke mere za upravljanje bezbednosnim rizicima IKT sistema.
Postupanje sa rizikom	Tretiranje rizika radi smanjenja, eliminacije ili prevencije negativnih posledica.
Poverljivost (confidentiality)	Svojstvo kojim se osigurava da su informacije i funkcije IKT sistema dostupne samo ovlašćenim licima.
Preostali rizik (residual risk)	Rizik koji preostaje nakon postupanja sa rizikom, odnosno nakon primene mera zaštite.
Prihvatanje rizika	Svesna odluka o prihvatanju određenog rizika.
Pretnja	Svaka okolnost, događaj ili radnja koja može da ugrozi, poremeti ili na drugi način štetno utiče na IKT sistem, korisnike sistema i druga lica sa jasnom verovatnoćom nastajanja štete u slučaju da izostane reakcija.
Procena rizika	Procena rizika, u smislu ove metodologije, je sistematski proces identifikacije, analize i vrednovanja rizika koji mogu uticati na resurse operatora IKT sistema od posebnog značaja, sa ciljem da se obezbede informisane odluke o postupanju sa tim rizicima. Procena rizika obuhvata i postupanje sa rizikom i praćenje rizika kao sastavne faze celokupnog ciklusa upravljanja rizicima informacione bezbednosti.
Raspoloživost (availability)	Jedan od tri ključna atributa informacione bezbednosti, svojstvo kojim se osigurava dostupnost i upotrebljivost IKT sistema na zahtev ovlašćenog subjekta ili procesa onda kada im je potreban.
Resursi (asset)	Sve što ima vrednost za operatora IKT sistema od posebnog značaja, uključujući podatke, hardver, softver, lokacije i ljudske resurse.
Rizik	Funkcija negativnog uticaja specifične posledice i verovatnoće njenog nastanka.
Upravljanje rizicima	Sveobuhvatan proces usmeren na kontrolu rizika unutar IKT sistema od posebnog značaja.
Uticaj (impact)	Stepen negativnih posledica po ostvarivanje poslovnih ciljeva u slučaju realizacije rizika.
Frekvencija	Mera učestalosti pojave određenog događaja.

3. Tim/Radna grupa za sprovođenje procene rizika

S obzirom na kompleksnost procesa procene rizika, pre započinjanja procene rizika neophodno je da organ upravljanja operatora IKT sistema od posebnog značaja, koji je odgovoran za sprovođenje ovog procesa, imenuje tim/radnu grupu, koji/a će realizovati celokupan proces procene rizika.

Preporuka je da organ upravljanja operatora IKT sistema od posebnog značaja obezbedi kvalitetnu edukaciju članova tima za procenu rizika i razmotri uspostavljanje stalnog mehanizma za praćenje bezbednosnih rizika, razmenu iskustava i koordinaciju aktivnosti u oblasti informacione bezbednosti.

Organ upravljanja operatora IKT sistema od posebnog značaja definiše opseg za analizu rizika, uključujući i definisanje perioda na koji se procena rizika odnosi.

Organ upravljanja operatora IKT sistema od posebnog značaja je odgovorno za odobravanje plana za postupanje sa rizikom.

4. Procena rizika

Procena rizika je sistematski proces identifikacije, analize i vrednovanja rizika koji mogu uticati na resurse operatora IKT sistema od posebnog značaja, sa ciljem da se obezbede informisane odluke o upravljanju tim rizicima.

Procena rizika definisana ovom metodologijom je procena rizika zasnovana na resursima u okviru koje se rizici identifikuju, analiziraju i vrednuju polazeći od vrednosti i značaja resursa, kao i od identifikovanih pretnji, ranjivosti i mogućih posledica po poverljivost, integritet i raspoloživost informacija i IKT sistema.

Procena rizika (Grafikon 1) obuhvata sledeće procese:

1. Definisanje opsega (konteksta) za analizu rizika;

2. Identifikacija resursa koja je u opsegu analize rizika;

3. Identifikacija pretnji koje utiču na IKT sistem od posebnog značaja unutar konteksta;

4. Analiza rizika - rangiranje i vrednovanje;

5. Postupanje sa rizikom i prihvatanje rizika;

6. Praćenje rizika.

Grafikon 1: Procena rizika

4.1. Definisanje opsega (konteksta) za analizu rizika

Definisanje opsega (konteksta) za analizu rizika je proces u okviru kojeg se utvrđuju osnovni kriterijumi, okvir i obim sprovođenja procene rizika i predstavlja početnu fazu procesa upravljanja rizicima.

Definisanje okvira za analizu rizika obuhvata:

- analizu nadležnosti operatora IKT sistema od posebnog značaja;

- utvrđivanje zainteresovanih strana i njihovih očekivanja i potreba od operatora IKT sistema od posebnog značaja (korisnici, zaposleni, regulator, partneri, itd.);

- identifikaciju eksternih i internih izazova (kompetencije zaposlenih, zastareli sistemi, velika zavisnost od treće strane, itd.);

- definisanje kriterijuma za procenu i prihvatanje rizika, kao i

- uspostavljanje odgovarajuće organizacije/tima za upravljanje rizicima.

Kroz definisanje okvira za analizu rizika, odnosno konteksta, operator IKT sistema od posebnog značaja obezbeđuje jasno i dokumentovano razumevanje sopstvenih poslovnih ciljeva, zakonskih i regulatornih obaveza, relevantnih zainteresovanih strana i njihovih očekivanja, kao i specifičnih karakteristika informacionog sistema koji je predmet analize. Na taj način operator IKT sistema od posebnog značaja uspostavlja okvir za sprovođenje aktivnosti identifikacije, analize, procene rizika i postupanja sa rizicima informacione bezbednosti.

Definisanje okvira za analizu rizika obezbeđuje doslednost, uporedivost i pouzdanost rezultata procene rizika.

4.1.1. Opis sistema

Prvi korak u proceni rizika je izrada opisa sistema unutar konteksta operatora IKT sistema od posebnog značaja koji uključuje definisanje obima procene, uključenih komponenti i ograničenja u okviru kojih se procena sprovodi.

Opis sistema unutar konteksta uključuje:

- osnovne podatke o operatoru IKT sistema od posebnog značaja;

- opis glavnih poslovnih ciljeva i procesa;

- informacije koje se obrađuju u svakom procesu;

- informacione sisteme koji podržavaju procese;

- korišćeni hardver i softver - infrastruktura,

- licence i sertifikate;

- dobavljače, kontakte i SLA parametre;

- redundantnost sistema i eventualne "single point of failure" tačke;

- lokacije procesa i infrastrukture;

- zavisnosti među procesima;

- potrebne ljudske resurse i njihove kompetencije za održavanje sistema.

Opis sistema može postojati kao poseban dokument, ali mora biti redovno ažuriran u skladu sa promenama sistema. Elementi navedeni u ovom odeljku su orijentacioni, operator IKT sistema od posebnog značaja ih prilagođava svom kontekstu i obimu procene, vodeći računa da opis sistema omogućava jasno razumevanje granica sistema koji je predmet analize.

Prilikom izrade opisa sistema preporučuje se da operator IKT sistema od posebnog značaja uzme u obzir i strategiju razvoja informacionog sistema, imajući u vidu da planirane tehnološke i organizacione promene mogu biti izvor novih rizika, koje je neophodno razmotriti u okviru procene rizika. Ukoliko operator IKT sistema od posebnog značaja ne raspolaže formalizovanom strategijom razvoja informacionog sistema, preporučuje se da obrazloži razloge zbog kojih strateško planiranje razvoja informacionog sistema nije formalizovano.

4.1.2. Opis informacionih sistema

Nakon opisa sistema sledi opis informacionih sistema operatora IKT sistema od posebnog značaja koji obuhvata:

- naziv i namenu sistema;

- funkcionalnosti i vezu sa poslovnim procesima;

- vrste i klasifikaciju podataka;

- kritičnost po poslovne procese;

- politiku i učestalost rezervnih kopija;

- opis korisnika;

- arhitekturu sistema;

- komunikaciju sa internim i eksternim sistemima;

- način održavanja - interni ili eksterni;

- dobavljače i SLA parametre;

- zavisnosti i ograničenja sistema.

Operator IKT sistema od posebnog značaja može identifikovati više nezavisnih sistema koji mogu imati različite karakteristike.

4.2. Identifikacija resursa koja je u opsegu analize rizika

Identifikacija resursa koja je u opsegu analize rizika predstavlja proces prepoznavanja svih resursa koji imaju vrednost za operatora IKT sistema od posebnog značaja i koji zahtevaju primenu odgovarajućih mera zaštite.

Resurs je sve što predstavlja vrednost za operatora IKT sistema od posebnog značaja i zahteva primenu odgovarajućih mera zaštite. Prilikom identifikacije resursa neophodno je uzeti u obzir da se IKT sistem ne svodi isključivo na hardverske i softverske komponente, već obuhvata širi spektar resursa, uključujući lokacije, hardver, softver, zaposlene, informacije i treće strane.

Proces identifikacije resursa sprovodi se u obimu koji omogućava prikupljanje potpunih i relevantnih informacija za adekvatnu procenu rizika. Način na koji se sprovodi identifikacija resursa, odnosno nivo detaljnosti, utiče na količinu i vrstu informacija koji se prikupljaju tokom procene rizika, pri čemu se preciznost i dubina analize mogu postepeno unapređivati kroz ponovljene cikluse procene rizika.

Identifikacija resursa koju je potrebno zaštiti i procena njene vrednosti (u smislu uticaja koji će operator IKT sistema od posebnog značaja pretrpeti u slučaju incidenta) su od ključnog značaja prilikom analize rizika. U tom smislu, predlaže se definisanje specifičnih kategorija resursa i preciziranje svih resursa koje kategorije resursa obuhvataju.

Svaki IKT sistem može obuhvatiti sledeće kategorije resursa:

- Lokacije;

- Hardver (obuhvata i mrežne uređaje i elektronsku komunikacionu infrastrukturu u smislu ZIB-a);

- Softver;

- Zaposlene (po ulogama) i njihove kompetencije;

- Informacije - nematerijalna imovina;

- Treće strane (dobavljači i partneri).

Rezultat procesa identifikacije resursa je izrada registra resursa(Tabela 1), koji operator IKT sistema od posebnog značaja prilagođava svojim potrebama i organizacionom kontekstu i najmanje sadrži sledeće podatke:

- Naziv resursa - ime koje će se koristiti za to sredstvo u okviru analize rizika;

- Vlasnik - ime ili radno mesto odgovorne osobe za pravilno upravljanje ili korišćenje sredstva;

- Kategorija - kako je definisano u prethodnom delu ove metodologije;

- Lokacija - gde je fizički postavljeno sredstvo (ukoliko je primenjivo);

- Kritičnost - procena vrednosti resursa sa nivoima koje operator IKT sistema od posebnog značaja samostalno određuje.

Naziv resursa	Vlasnik	Kategorija	Lokacija	Kritičnost
Aplikacija 1	Petar Petrović	Softver	Direkcija
Server 1	Direktor IT	Hardver	Data centar

Tabela 1: Registar resursa

Operator IKT sistema od posebnog značaja može koristiti bilo koje proizvode, usluge, aplikacije ili alate za dokumentovanje registra resursa.

4.3. Identifikacija pretnji

Identifikacija pretnji je proces sistematskog i sveobuhvatnog prepoznavanja pretnji koje mogu negativno uticati na IKT sisteme, poslovne procese i resurse operatora IKT sistema od posebnog značaja.

Identifikacija pretnji sprovodi se nakon što su IKT sistemi, poslovni procesi i resursi u opsegu procene rizika jasno definisani. Cilj ovog procesa je sistematično i sveobuhvatno prepoznavanje pretnji koje mogu negativno uticati na identifikovane resurse operatora IKT sistema od posebnog značaja.

Identifikacija pretnji sprovodi se kroz nekoliko koraka (Grafikon 2).

Grafikon 2: Identifikacija pretnji

4.3.1. Korišćenje Kataloga pretnji informacione bezbednosti

Operator IKT sistema od posebnog značaja koristi Katalog pretnji informacione bezbednosti (u daljem tekstu: Katalog pretnji), koji je sastavni deo ove metodologije, kao osnovni izvor za identifikaciju pretnji. Operator IKT sistema od posebnog značaja može koristiti i sopstveni katalog pretnji ukoliko pokriva iste osnovne kategorije pretnji kao Katalog pretnji iz ove metodologije.

Katalog pretnji obuhvata sledeće kategorije pretnji:

- prirodne pretnje;

- industrijske pretnje;

- greške i nenamerni propusti;

- namerni napadi;

- pretnje povezane sa uslugama koje se pružaju operatorima IKT sistema od posebnog značaja, uključujući usluge računarstva u oblaku i usluge trećih lica;

- insajderska pretnja.

4.3.2. Utvrđivanje primenjivih kategorija pretnji

Operator IKT sistema od posebnog značaja utvrđuje koje kategorije pretnji su relevantne za njegov kontekst, uzimajući u obzir karakteristike IKT sistema.

4.3.3. Povezivanje pretnji sa resursima

Za svaki identifikovani resurs operator IKT sistema od posebnog značaja identifikuje pojedinačne pretnje iz Kataloga pretnji koje mogu uticati na te resurse. Pri tome se vodi računa da pojedine pretnje mogu biti primenjive samo na određene kategorije resursa (npr. hardver, softver, informacije, ljudski resursi).

4.3.4. Analiza uticaja pretnji

Za svaku identifikovanu pretnju utvrđuju se potencijalne posledice po:

- poverljivost;

- integritet;

- raspoloživost informacija i IKT sistema, kao i

- izvor pretnje (namerni, slučajni, prirodni).

Preporuka je da operator IKT sistema od posebnog značaja, u okviru analize uticaja pretnji, dokumentuje i ranjivosti resursa koje su relevantne za identifikovane pretnje, jer poznavanje ranjivosti doprinosi preciznijoj proceni verovatnoće i uticaja.

Ranjivosti koje mogu biti iskorišćene za ostvarenje identifikovanih pretnji, kao i mogući incidenti koji iz toga mogu proisteći, dokumentuju se u odnosu na konkretne resurse, poslovne procese i postojeće mere zaštite.

4.3.5. Identifikacija dodatnih pretnji

Ukoliko operator IKT sistema od posebnog značaja prepozna pretnje koje nisu obuhvaćene Katalogom pretnji, takve pretnje se dokumentuju u zasebnom internom dokumentu na koji se akt o proceni rizika poziva, uz obrazloženje njihove relevantnosti.

4.3.6. Dokumentovanje rezultata

Rezultati identifikacije pretnji dokumentuju se kroz definisanje uređenih relacija između resursa i pretnji (Tabela 2). Ove relacije predstavljaju osnovu za dalju analizu i vrednovanje rizika.

Resurs	Pretnja
Softver 1	Virus Greška u podacima Neovlašćeni upad
Hardver 1	Požar Kvar Neovlašćeni pristup

Tabele 2: Resurs - pretnja

4.4. Analiza rizika - rangiranje i vrednovanje

Analiza rizika je proces u okviru kojeg se vrši procena značaja identifikovanih rizika kroz analizu uticaja i verovatnoće događanja pretnji, i predstavlja centralnu fazu procesa upravljanja rizicima informacione bezbednosti.

Analiza rizika predstavlja osnov za upravljanje rizicima i polaznu tačku za definisanje ciljeva informacione bezbednosti usmerenih na zaštitu resursa operatora IKT sistema od posebnog značaja, odnosno donošenje odluka o prioritetima, izboru mera zaštite i postupanju sa identifikovanim rizicima.

Procena rizika u oblasti informacione bezbednosti zasniva se na analizi kombinacije dva ključna faktora: uticaja i verovatnoće događanja.

- Uticaj predstavlja ozbiljnost posledica, koje mogu nastati po resurse ukoliko se pretnja realizuje.

- Verovatnoća događanja označava procenu šanse da se određena pretnja ili neželjeni događaj zaista ostvari.

Kombinovanjem procenjenih vrednosti uticaja i verovatnoće događanja, operator IKT sistema od posebnog značaja dobija vrednost rizika, što omogućava njihovo rangiranje i prioritizaciju.

S obzirom na to da je precizna procena uticaja i verovatnoće događanja često izazovna, u ovoj metodologiji se koriste predefinisani kriterijumi za vrednosti, odnosno kvalitativna analiza rizika.

4.4.1. Vrednosti za uticaj

Negativan uticaj predstavlja jedan od dva osnovna faktora za određivanje vrednosti rizika u okviru kvalitativne analize rizika. Pod negativnim uticajem podrazumeva se stepen štete koji može nastati po resurse operatora IKT sistema od posebnog značaja i povezane poslovne procese u slučaju realizacije određene pretnje.

Radi jednostavnije i dosledne procene, negativan uticaj se vrednuje korišćenjem skale od 1 do 5, u skladu sa dokumentom "Interoperable EU Risk Management Toolbox" (Tabela 3).

Svaki operator IKT sistema od posebnog značaja može definisati svoje okvire, vrednosti i rangiranje uticaja u odnosu na svoje potrebe.

Uticaj	Vrednost	Opis
Veoma visok - katastrofalan	5	- Realizacija pretnje izaziva katastrofalne posledice po poslovanje. - Curenje informacija koje mogu ugroziti opstanak operatora IKT sistema od posebnog značaja. - Curenje podataka o ličnosti velikog obima ili osetljivih kategorija podataka koje može izazvati značajnu štetu po prava i slobode fizičkih lica. - Nepopravljivi kvarovi ili trajni prekidi u radu sistema. - Nedostupnost koja zahteva ekstremne napore za povratak funkcionalnosti ili je trajna. - Ozbiljan negativan uticaj na reputaciju ili zaposlene uz značajnu medijsku pažnju. - Prestanak svih usluga koje pruža operator IKT sistema od posebnog značaja. - Zakonske sankcije ili velike novčane kazne. - Posledice su skoro nepovratne ili nenadoknadive (npr. smrt, nemogućnost rada).
Visok - kritičan	4	- Realizacija izaziva značajne negativne posledice po poslovanje. - Curenje informacija koje ozbiljno ugrožava interese operatora IKT sistema od posebnog značaja. - Curenje podataka o ličnosti koje ugrožava prava i slobode fizičkih lica i može rezultovati novčanim kaznama u skladu sa propisima o zaštiti podataka o ličnosti. - Nastavak nedostupnosti usluga sa značajnim operativnim problemima. - Pad ugleda operatora IKT sistema od posebnog značaja. - Finansijski gubici ili dodatni troškovi zbog pretnje.
Srednji - prosečan	3	- Realizacija izaziva umeren negativni efekat po poslovanje. - Curenje informacija koje utiču na interese operatora IKT sistema od posebnog značaja. - Privremena šteta ugledu. - Izolovani incidenti sa minimalnim uticajem. - Potencijalne kazne ili manji finansijski gubici.
Nizak - marginalan	2	- Realizacija pretnje ima ograničen uticaj na poslovanje. - Curenje informacija koje su štetne, ali ne ugrožavaju vitalne interese. - Nedostatak dostupnosti usluga samo izaziva neugodnosti. - Moguća medijska kritika, ali bez značajnih posledica. - Mali gubici koji se lako nadoknađuju (npr. izgubljeno vreme).
Veoma nizak - zanemarljiv	1	- Realizacija pretnje ima neznatan ili minimalan uticaj na poslovanje.

Tabela 3: Vrednosti za uticaj

4.4.2. Vrednosti za verovatnoću događanja

Verovatnoća događanja predstavlja drugi ključni faktor za određivanje ukupne vrednosti rizika u okviru kvalitativne analize rizika. Ona označava procenu šanse da se određena pretnja ostvari u kontekstu postojećih IKT sistema i poslovnih procesa operatora IKT sistema od posebnog značaja.

Za lakšu i doslednu procenu, verovatnoća događaja se vrednuje korišćenjem skale od 1 do 5, u skladu sa dokumentom "Interoperable EU Risk Management Toolbox" (Tabela 4).

Operator IKT sistema od posebnog značaja može, u skladu sa svojim potrebama i specifičnostima, definisati sopstvene okvire, vrednosti i način rangiranja verovatnoće događanja, kako bi obezbedio pouzdanu i usaglašenu procenu rizika.

Verovatnoća događanja	Vrednost	Opis
Veoma visoka	5	Pretnja će se skoro sigurno ostvariti zbog postojanja ranjivosti koje se mogu iskoristiti, a odgovarajuće mere zaštite ne postoje. (verovatnoća realizacije u periodu od 0 do 90 dana)
Visoka	4	Pretnja će se verovatno ostvariti, jer postoje ranjivosti koje se mogu iskoristiti, a postojeće mere zaštite su neefikasne ili zastarele. (verovatnoća realizacije u periodu od 90 do 180 dana)
Srednja	3	Pretnja se potencijalno može ostvariti zbog postojećih ranjivosti, iako postoje određene mere zaštite, koje bi mogle biti efikasnije. (verovatnoća realizacije u periodu od 180 dana do jedne godine)
Niska	2	Pretnja se verovatno neće ostvariti jer su sve povezane ranjivosti pokrivene odgovarajućim merama zaštite. (verovatnoća realizacije u periodu od jedne do tri godine)
Veoma niska	1	Malo je verovatno da će se pretnja ostvariti, budući da su sve povezane ranjivosti efikasno neutralisane merama zaštite.

Tabela 4: Vrednosti za verovatnoću događanja

4.4.3. Matrica rizika

Matrica rizika (Tabela 5) se koristi za izračunavanje rizika i njihovu kategorizaciju prema nivou ozbiljnosti. Vrednosti prikazane u matrici i registru rizika (Tabela 7) odnose se na inherentni rizik, odnosno rizik pre primene mera zaštite.

Nakon što se za svaki deo resursa proceni negativni uticaj i verovatnoća događanja, izračunava se vrednost identifikovanog rizika prema sledećoj formuli:

Vrednost rizika = (Vrednost uticaja) × (Vrednost verovatnoće događanja)

Tabela 5: Matrica rizika

U skladu s matricom rizika, izračunava se nivo rizika (Tabela 6) koji može imati jednu od sledećih nivoa ozbiljnosti:

Tabela 6: Nivoi ozbiljnosti rizika

Po završetku ovog procesa, svi rizici su identifikovani i kvantifikovani i pristupa se sledećim koracima:

- kreiranje registra rizika, i

- određivanje prihvatljivog rizika.

Svaki operator IKT sistema od posebnog značaja može definisati svoje okvire, vrednosti i rangiranje rizika u odnosu na svoje potrebe.

4.4.4. Određivanje prihvatljivog rizika

Prihvatljiv rizik definiše se kao nivo rizika koji operator IKT sistema od posebnog značaja smatra prihvatljivim u kontekstu svojih ciljeva, resursa i poslovnih procesa. Ovaj nivo rizika odražava ravnotežu između postizanja ciljeva i prihvatanja određenog stepena izloženosti rizicima ili nedostatka mera zaštite.

Pošto operatori IKT sistema od posebnog značaja imaju različitu toleranciju prema riziku, definisanje prihvatljivog nivoa rizika zavisi od specifičnih poslovnih ciljeva i konteksta. Na osnovu utvrđenog prihvatljivog nivoa rizika, operator IKT sistema od posebnog značaja donosi odluku o tome koje rizike mora tretirati, odnosno koje rizike treba prihvatiti.

Operator IKT sistema od posebnog značaja definiše kriterijume za utvrđivanje prihvatljivog rizika, koji služe kao osnova za donošenje odluka o upravljanju rizicima.

4.4.5. Izrada registra rizika

Registar rizika predstavlja dokument koji operatori IKT sistema od posebnog značaja koriste za praćenje, dokumentovanje i upravljanje identifikovanim rizicima. Vrednosti rizika evidentirane u registru rizika predstavljaju inherentni rizik, rizik procenjen pre primene mera zaštite. Preostali rizik nakon primene mera zaštite dokumentuje se u registru postupanja sa rizikom (Tabela 8).

Registar pruža sveobuhvatan pregled rizika, uključujući njihove karakteristike, verovatnoću, potencijalni uticaj, strategije postupanja sa rizikom i status mera preduzetih radi smanjenja ili kontrole rizika.

Registar rizika (Tabela 7) treba da sadrži najmanje sledeće elemente:

- Naziv resursa;

- Pretnja;

- Vrednosti verovatnoće događanja;

- Vrednost uticaja;

- Vrednost rizika (kako je definisano u matrici)

- Implementirane mere zaštite;

- Postupanje sa rizikom (iz tačke 4.5. ove metodologije);

- Vlasnik rizika.

Registar rizika se redovno ažurira, posebno nakon periodične procene rizika, kako bi se osiguralo da informacije ostanu aktuelne i relevantne.

Resurs	Pretnja	Verovatnoća događanja	Uticaj	Rizik	Implementirane mere zaštite	Postupanje sa rizikom	Vlasnik rizika
Server ABC	Požar	1	4	4	Sistem za gašenje požara	Prihvaćen preostali rizik	Direktor IKT

Tabela 7: Registar rizika

4.5. Postupanje sa rizikom

Postupanje sa rizikom obuhvata aktivnosti i odluke koje operator IKT sistema od posebnog značaja preduzima radi upravljanja identifikovanim rizicima, sa ciljem njihovog smanjenja, kontrole ili prihvatanja.

Postupanje sa rizikom podrazumeva sprovođenje aktivnosti ili donošenje odluka u vezi sa identifikovanim rizicima, njihovim nivoom ozbiljnosti i načinom postupanja. Proces uključuje primenu različitih strategija i mera s ciljem smanjenja verovatnoće nastanka rizika i ublažavanja posledica koje rizici mogu imati na bezbednost informacija.

Postupanje sa rizikom može se sprovesti jednom od sledećih strategija:

- prihvatanje rizika;

- prebacivanje/deljenje rizika;

- izbegavanje rizika;

- tretman - obrada rizika.

Odluku o odabiru strategije za postupanje sa rizikom donosi vlasnik rizika.

Identifikovani rizici i odabrane strategije postupanja predstavljaju osnovu za implementaciju mera zaštite kojima se utvrđuju konkretne tehničke, organizacione, administrativne i fizičke mere srazmerne identifikovanim rizicima, u skladu sa članom 10. ZIB-a. Na taj način procena rizika ostvaruje svoj puni operativni efekat.

4.5.1. Prihvatanje rizika

Prihvatanje rizika predstavlja svesnu odluku operatora IKT sistema od posebnog značaja da ne preduzima dodatne mere za smanjenje ili kontrolu određenih identifikovanih rizika, već da ih zadrži na određenom, prihvatljivom nivou. Ovaj pristup podrazumeva da operator IKT sistema od posebnog značaja prepoznaje određeni stepen izostanka bezbednosti ili potencijalnu izloženost riziku, ali ocenjuje da se rizik može tolerisati u odnosu na postizanje poslovnih ciljeva. Takođe, prihvatanje rizika se primenjuje kada su druge opcije, poput prenosa rizika ili njegovog potpunog izbegavanja, nepraktične ili neekonomične.

Ovaj pristup zahteva transparentnost, jasnu komunikaciju s relevantnim učesnicima, kao i stalno praćenje i reviziju, kako bi se osiguralo da odluke o prihvatanju rizika podržavaju dugoročnu održivost IKT sistema od posebnog značaja.

4.5.2. Prebacivanje ili deljenje rizika

Prebacivanje ili deljenje rizika podrazumeva da operator IKT sistema od posebnog značaja deli upravljanje rizikom sa trećom stranom koja je u mogućnosti da ga efikasno kontroliše. To ne znači da operator IKT sistema od posebnog značaja prenosi odgovornost za rizik, već ostaje primarno odgovoran, ali određene aktivnosti u upravljanju rizikom se dele. Važno je napomenuti da se može deliti odgovornost za upravljanje rizikom, ali ne i za posledice koje rizik može izazvati.

Najčešći načini prebacivanja ili deljenja rizika su:

- osiguranje: primenjuje se kao mera za ublažavanje posledica rizika, kojom se ugovara naknada štete (najčešće u novčanom obliku ili kroz zamenu izgubljenog resursa) u slučaju materijalizacije rizika;

- poveravanje trećoj strani (outsourcing): primenjuje se kao organizaciona mera u okviru koje se određene aktivnosti upravljanja ili smanjenja rizika poveravaju trećoj strani, pri čemu odgovornost za upravljanje rizikom ostaje na operatoru IKT sistema od posebnog značaja.

4.5.3. Izbegavanje rizika

Kada identifikovani rizici imaju previsoku vrednost ili kada troškovi sprovođenja drugih mera prevazilaze očekivane koristi, može se doneti odluka o potpunom izbegavanju rizika. To se postiže povlačenjem iz planiranih ili postojećih aktivnosti, izmenom načina obavljanja aktivnosti ili promenom uslova pod kojima se delatnost sprovodi.

Na primer, za rizike uzrokovane prirodom, jedna od efikasnih mera može biti fizičko preseljenje objekata za obradu informacija na lokaciju gde je rizik eliminisan ili pod kontrolom. Međutim, u praksi, opcija potpunog izbegavanja rizika retko je primenjiva za operatore IKT sistema od posebnog značaja.

4.5.4. Tretman - obrada rizika

Cilj postupka modifikacije rizika je smanjenje identifikovanih rizika na prihvatljiv nivo, zbog čega se ova opcija često naziva i umanjenje rizika.

Upravljanje rizikom vrši se uvođenjem, uklanjanjem ili prilagođavanjem mera zaštite, tako da preostali (residual) rizik može biti procenjen kao prihvatljiv, u skladu sa kriterijumom prihvatljivosti rizika. Pri odabiru mera zaštite, važno je uzeti u obzir troškove nabavke, implementacije, administracije, rada, praćenja i održavanja, u odnosu na vrednost resursa koji se štiti.

Iako se modifikacija rizika često navodi kao poslednja opcija, ona bi u praksi trebalo da bude najčešće primenjivana, jer pokazuje da operator IKT sistema od posebnog značaja svesno utiče na nivo rizika korišćenjem mera zaštite.

Prilikom primene ove strategije, obavezno je izračunati preostali rizik nakon sprovođenja mera i evidentirati ga u registar rizika.

Kada se odabere strategija za tretman rizika, operator IKT sistema od posebnog značaja dokumentuje registar postupanja sa rizicima (Tabela 8) koji sadrži najmanje sledeće informacije:

- Resurs;

- Pretnja;

- Rizik;

- Preporučena mera zaštite (akcioni plan za implementaciju) i budžet potreban za implementaciju;

- Vlasnik rizika;

- Rok za implementaciju;

- Odgovorno lice za implementaciju;

- Preostali rizik.

Resurs	Pretnja	Rizik	Preporučena mera zaštite i budžet	Vlasnik rizika	Rok za implementaciju	Odgovorno lice za implementaciju	Preostali rizik

Tabela 8: Registar postupanja sa rizikom

Tabela 8 popunjava se za sve rizike bez obzira na odabranu strategiju postupanja. Za rizike za koje je odabrana strategija smanjenja, obavezno se popunjavaju kolone o preporučenoj meri zaštite i roku za implementaciju. Za rizike za koje je odabrana strategija prihvatanja, prenosa ili izbegavanja, u koloni preostalog rizika dokumentuje se rizik koji ostaje nakon donete odluke.

4.5.5. Komuniciranje rizika

Komuniciranje rizika nije strategija postupanja sa rizikom u smislu prethodnih odeljaka, već predstavlja horizontalnu aktivnost koja se sprovodi tokom celog procesa upravljanja rizicima i preduslov je za donošenje informisane odluke o izboru strategije postupanja. Komunikacija o rizicima predstavlja proces razmene i deljenja informacija o rizicima između donosilaca odluka i drugih relevantnih učesnika, s ciljem postizanja zajedničkog razumevanja i dogovora o upravljanju rizicima. Efikasna komunikacija je važna, jer utiče na kvalitet odluka i osigurava da svi uključeni, kako oni koji sprovode mere za upravljanje rizicima, tako i zainteresovane strane, razumeju razloge donošenja odluka i osnov za sprovođenje određenih aktivnosti.

U okviru ove metodologije, konkretan korak u komunikaciji o rizicima je održavanje radnog sastanka tima za procenu rizika sa zainteresovanim učesnicima nakon što su rizici identifikovani i vrednovani. Tokom sastanka prikupljaju se povratne informacije od učesnika koji su povezani sa određenim rizicima, kako bi se razmotrile moguće strategije njihove obrade i donele informisane odluke.

Operator IKT sistema od posebnog značaja treba da utvrdi vremenski okvir za donošenje odluke o načinu postupanja sa rizikom u odnosu na nivo ozbiljnosti (Tabela 9).

Tabela 9: Preporučeni rokovi za donošenje odluke o načinu postupanja sa rizikom

Vremenski okviri za tretiranje rizika navedeni u tabeli predstavljaju preporučene okvire za donošenje odluke o načinu postupanja sa rizikom, a ne obavezujuće rokove za realizaciju mera. Ukoliko priroda rizika ne omogućava realizaciju u navedenom roku, operator IKT sistema od posebnog značaja dokumentuje razloge i definiše realan rok za realizaciju. Operator IKT sistema od posebnog značaja može definisati sopstvene rokove u skladu sa svojim poslovnim kontekstom i raspoloživim resursima. Rok za realizaciju mera sastavni je deo odluke o postupanju sa rizikom i određuje se uzimajući u obzir raspoložive kapacitete i resurse operatora IKT sistema od posebnog značaja.

4.6. Praćenje rizika

Praćenje rizika predstavlja kontinuiran proces kojim se obezbeđuje da procena rizika, primenjene mere i definisani kriterijumi ostanu relevantni u odnosu na promene u kontekstu operatora IKT sistema od posebnog značaja.

Procena rizika nije jednokratan ili statičan, već kontinuiran i repetitivan proces. Redovnom procenom rizika, neki rizici mogu u potpunosti nestati, neki se mogu smanjiti (npr. primenom mera zaštite), dok se novi rizici mogu pojaviti.

Stalno praćenje i preispitivanje neophodni su kako bi se obezbedilo da kontekst, ishod procene rizika i postupanja sa rizikom, kao i planovi organa upravljanja ostanu relevantni i adekvatni za date okolnosti. Operator IKT sistema od posebnog značaja treba redovno da verifikuje da su kriterijumi koji se koriste za merenje rizika i njegovih elemenata još uvek validni i konzistentni sa poslovnim ciljevima, strategijama i politikama, i da se promene poslovnog konteksta uzimaju u obzir na adekvatan način tokom procesa upravljanja rizikom.

Procenu rizika potrebno je sprovoditi najmanje jednom godišnje ili odmah nakon značajnih promena u IKT sistemima i procesima koje oni podržavaju. Na taj način operator IKT sistema od posebnog značaja obezbeđuje kontinuirano sagledavanje postojećih rizika i blagovremeno i sistematično upravljanje merama za ublažavanje i otklanjanje utvrđenih rizika.

5. Minimalni zahtevi usklađenosti u skladu sa članom 11. stav 5. ZIB-a

Postojeća interna procena rizika smatra se usklađenom sa ovom metodologijom ako sadrži sledeće elemente:

5.1. Opseg procene

Dokumentovano definisan opseg (kontekst) procene, period na koji se procena odnosi i granice sistema koji je predmet analize.

5.2. Registar resursa

Registar resursa sa najmanje sledećim podacima: naziv, kategorija, vlasnik i kritičnost resursa. Kategorije resursa ne moraju biti identične kategorijama iz odeljka 4.2, dovoljno je da pokrivaju iste vrste resursa.

5.3. Identifikacija pretnji

Dokumentovana identifikacija pretnji relevantnih za resurse u opsegu procene, sa naznakom izvora pretnje i ciljanog resursa. Operator IKT sistema od posebnog značaja može koristiti sopstveni katalog pretnji ukoliko pokriva iste osnovne kategorije pretnji kao Katalog pretnji iz ove metodologije.

5.4. Procena verovatnoće i uticaja

Dokumentovana procena verovatnoće i uticaja za svaku identifikovanu pretnju po resursu, na osnovu unapred definisanih skala. Skale ne moraju biti identične skalama iz odeljaka 4.4.1 i 4.4.2, pod uslovom da su dokumentovane pre sprovođenja procene, dosledno primenjene i omogućavaju razvrstavanje rizika u najmanje tri nivoa. Kriterijumi za procenu uticaja moraju uključivati posledice po poverljivost, integritet i raspoloživost.

5.5. Registar rizika

Registar rizika sa najmanje sledećim elementima: identifikovana pretnja, pogođeni resurs, procena verovatnoće događanja, procena uticaja, vrednost rizika i vlasnik rizika. Registar mora jasno naznačiti da li prikazane vrednosti predstavljaju inherentni ili preostali rizik. Vrednost rizika može biti izražena kvalitativno ili kvantitativno, uz uslov da je primenjeni metod dokumentovan.

5.6. Postupanje sa rizikom

Dokumentovana odluka o postupanju sa svakim identifikovanim rizikom, sa naznakom odabrane strategije, rokom i vlasnikom rizika. Odluka o prihvatanju rizika mora biti eksplicitno dokumentovana i odobrena od strane organa upravljanja.

5.7. Prihvatljivi nivo rizika

Dokumentovano definisan prihvatljivi nivo rizika sa kriterijumima za određivanje koje rizike operator prihvata bez daljeg postupanja. Kriterijumi moraju biti utvrđeni pre sprovođenja procene i odobreni od strane organa upravljanja.

5.8. Periodična revizija

Dokumentovano definisana dinamika periodične revizije, ne ređa od jednom godišnje, sa uslovima za vanrednu reviziju u slučaju značajnih promena u pretnjama, ranjivostima, tehnološkom ili organizacionom okruženju.

Prilog 2.

KATALOG PRETNJI INFORMACIONE BEZBEDNOSTI

Uvod

Katalog pretnji informacione bezbednosti pruža pregled pretnji kojima može biti izložena imovina operatora IKT sistema od posebnog značaja.

Katalog pretnji informacione bezbednost (u daljem tekstu: Katalog pretnji) omogućava identifikaciju širokog spektra pretnji sa kojima se operator IKT sistema od posebnog značaja može susresti, i pomaže u razumevanju mogućih posledica koje te pretnje mogu imati na bezbednost informacionih sistema.

Katalog pretnji se koristi u okviru procesa 4.3. Identifikacija pretnji u skladu sa metodologijom, u kome se vrši prepoznavanje pretnji koje mogu negativno uticati na IKT sisteme, poslovne procese i imovinu operatora IKT sistema od posebnog značaja.

Katalog pretnji je kreiran na osnovu dokumenata "Detailed Catalogues - IT Security Risk Management Methodology v1.2" i "IT-Grundschutz-Compendium". Katalog pretnji ne predstavlja zbir svih pretnji iz navedenih izvora, već listu pretnji koje su neposredno primenjive na procenu rizika koju sprovode operatori IKT sistema od posebnog značaja.

Svaka pretnja u Katalogu pretnji je predstavljena na sledeći način:

Naziv pretnje
Vrsta imovine na koju pretnja utiče (lokacija, zaposleni, hardver, softver, informacije, treće strane)	Parametar bezbednosti na koji pretnja utiče (poverljivost, integritet, raspoloživost)	Izvor pretnje (namerno, slučajno, prirodno)
Opis pretnje
Mapiranje na postojeće kataloge

Katalog pretnji

1. Prirodne pretnje

1.1. Vatra

Vatra, požar
Lokacija Hardver	Raspoloživost	Prirodno
Vatra, bilo slučajnim ili namernim delovanjem, može uništiti lokaciju na kojoj je smešten IKT sistem ili korišćeni hardver.
ITSRM: [N.1] Fire IT-Grundschutz-Compendium: G 0.1 Fire

1.2. Voda

Voda
Lokacija Hardver	Raspoloživost	Prirodno
Voda, bilo slučajnim ili namernim delovanjem, može oštetiti ili privremeno onesposobiti lokaciju na kojoj je smešten IKT sistem ili korišćeni hardver.
ITSRM: [N.2] Water IT-Grundschutz-Compendium: G 0.3 Water

1.3. Nepovoljni klimatski uslovi

Nepovoljni klimatski uslovi
Lokacija Hardver	Raspoloživost	Prirodno
Prisutnost prašine, korozivnih ili otrovnih gasova u vazduhu.
ITSRM: [I.3] Environmental pollution IT-Grundschutz-Compendium: G 0.2 Unfavourable Climatic Conditions

1.4. Prirodne katastrofe

Prirodne katastrofe
Lokacija Hardver	Raspoloživost	Prirodno
Prirodne pojave koje imaju razoran uticaj na ljude i infrastrukturu. Uzroci mogu biti seizmičkog, klimatskog ili vulkanskog porekla, uključujući zemljotrese, poplave, klizišta, cunamije, lavine i vulkanske erupcije. Primeri ekstremnih meteoroloških pojava su oluje sa grmljavinom, uragani i cikloni. Izloženost ovim rizicima zavisi od geografske lokacije IKT sistema od posebnog značaja.
ITSRM: [N.*] Other natural disasters IT-Grundschutz-Compendium: G 0.5 Natural Disasters

2. Industrijske pretnje

2.1. Nepovoljni uslovi temperature i/ili vlažnosti

Nepovoljni uslovi temperature i/ili vlažnosti
Hardver Lokacija IKT usluge	Raspoloživost	Prirodno
Nedostaci u klimatizaciji prostora koji prevazilaze radne granice opreme, poput prekomerne toplote, niske temperature, prevelike vlage i sl.
ITSRM: [I.7] Unsuitable temperature or humidity conditions

2.2. Prekid energetskog napajanja

Prekid energetskog napajanja
Lokacija Hardver IKT usluge	Raspoloživost	Prirodno
Prekid u snabdevanju električnom energijom od strane operatora distributivne mreže ili energetskih kompanija. Većina ovih poremećaja je veoma kratka, često kraća od jedne sekunde, ali čak i prekid od samo 10 ms može dovesti do poremećaja u radu IT sistema.
ITSRM: [I.6] Power interruption IT-Grundschutz-Compendium: G 0.8 Failure or Disruption of the Power Supply

2.3. Elektromagnetno zagađenje

Elektromagnetno zagađenje
Lokacija Hardver IKT usluge	Raspoloživost Integritet	Namerno Slučajno Prirodno
Radio-smetnje, magnetna polja, ultraljubičasto zračenje i slične pojave koje mogu uticati na rad IKT sistema. U ovu kategoriju spadaju i toplotni efekti izazvani oštećenjem opreme ili nepovoljnim vremenskim uslovima, kao i oštećenja nastala usled izuzetno jakih elektromagnetnih polja. Takođe, obuhvata prisustvo uređaja koji generišu toplotu i mogu dovesti do kvara ili uništenja opreme, delovanje osoba koje koriste elektromagnetno zračenje radi ometanja komunikacija ili rada uređaja, kao i elektromagnetne impulse iz nuklearnih izvora.
ITSRM: [I.4] Electromagnetic pollution IT-Grundschutz-Compendium: G 0.12 Electromagnetic Interference

2.4. Kvar hardvera ili softvera

Kvar hardvera ili softvera
Hardver Softver	Raspoloživost	Namerno Slučajno Prirodno
Kvarovi na hardveru ili softveru mogu biti posledica grešaka u proizvodnji ili se mogu pojaviti tokom rada sistema. Kod sistema specifične namene ponekad je teško utvrditi da li je kvar fizičkog ili logičkog porekla, ali ta razlika najčešće nema značajan uticaj na posledice. Takođe, u ovu kategoriju spadaju namerni fizički ili logički napadi koji dovode do kvara opreme.
ITSRM: [I.5] Hardware or software failure IT-Grundschutz-Compendium: G 0.25 Failure of Devices or Systems

2.5 Kvar komunikacionih usluga

Kvar komunikacionih usluga
IKT usluga	Raspoloživost	Slučajno Namerno
Smetnje, prekidi ili neadekvatno dimenzionisanje telekomunikacionih usluga (telefonija, pristup internetu, mrežna infrastruktura). U ovu kategoriju spada i sabotaža ili ometanje telekomunikacionih instalacija od strane osoba koje imaju pristup opremi (razvodni ormari, spoljnji kablovi i slično).
ITSRM: [I.8] Communications services failure IT-Grundschutz-Compendium: G 0.9 Failure or Disruption of Communication Networks

2.6. Prekid osnovnih usluga koje su predmet nabavke ili drugih usluga

Prekid osnovnih usluga koje su predmet nabavke ili drugih usluga
IKT usluga Lokacija	Raspoloživost	Slučajno Namerno
Prekid u nabavci usluge ili resursi od kojih zavisi rad opreme, na primer: papir za štampač, toner, klima uređaji i slično.
ITSRM: [I.9] Interruption of other services or essential supplies IT-Grundschutz-Compendium: G 0.10 Failure or Disruption of Supply Networks

2.7. Degradacija medijuma

Degradacija medijuma
Hardver Lokacije IKT usluge	Raspoloživost	Slučajno Namerno
Logički ili fizički događaji koji izazivaju neispravnost opreme (npr. medijuma za čuvanje podataka) ili nastaju kao posledica protoka vremena.
ITSRM: [I.10] Media degradation

2.8. Rizik primene enkripcije u uslovima razvoja kvantnog računarstva

Rizik primene enkripcije u uslovima razvoja kvantnog računarstva
Softver IKT usluge	Poverljivost Integritet	Slučajno Namerno
Buduća nemogućnost postojećih kriptografskih algoritama (npr. RSA, ECC) da obezbede poverljivost i integritet podataka usled očekivane računarske moći kvantnih računara, koji mogu rešiti matematičke probleme (poput faktorizacije prostih brojeva) na kojima počiva savremena asimetrična kriptografija. Ovo stvara rizik od naknadnog dešifrovanja danas prikupljenih podataka ("Harvest Now,Decrypt Later") i zahteva pravovremenu migraciju na post-kvantnu kriptografiju.

2.9. Prenos zlonamernog softvera primenom prenosnih nosača podataka

Prenos zlonamernog softvera primenom prenosnih nosača podataka
Hardver Softver Zaposleni IKT usluge	Poverljivost Integritet Raspoloživost	Slučajno Namerno
Unošenje malicioznog koda u informacioni sistem putem fizičkih medijuma za skladištenje (USB memorije, eksterni diskovi, CD/DVD, mobilni uređaji), čime se zaobilaze mrežne mere zaštite. Ovo uključuje automatsko pokretanje malvera prilikom povezivanja uređaja, iskorišćavanje ranjivosti drajvera ili namerno ostavljanje inficiranih medijuma na javnim mestima radi kompromitovanja sistema (Baiting napad).
IT-Grundschutz-Compendium: OPS.1.1.4 Protection Against Malware

2.10. Oticanje kompromitujućeg elektromagnetnog zračenja

Oticanje kompromitujućeg elektromagnetnog zračenja
Hardver IKT usluge	Poverljivost Integritet	Slučajno Namerno
Neželjena emisija elektromagnetnih signala iz informaciono-komunikacione opreme (npr. računari, kablovi, štampači) koja može biti prikupljena i analizirana od strane napadača u blizini radi obnavljanja obrađenih podataka (TEMPEST napad).
IT-Grundschutz-Compendium: G 0.13 Interception of Compromising Interference Signals

3. Greške i nenamerni propusti

3.1. Korisničke greške

Korisničke greške
Hardver Softver IKT usluge	Poverljivost Integritet Raspoloživost	Slučajno
Greške korisnika prilikom korišćenja usluga, uključujući radne greške, greške pri unosu podataka ili pri upotrebi hardvera i softvera.
ITSRM: [E.1] User errors

3.2. Greške administratora sistema/bezbednosti

Greške administratora sistema/bezbednosti
Hardver Softver IKT usluge	Poverljivost Integritet Raspoloživost	Slučajno
Greške zaposlenog koji je odgovoran za instalaciju i rad sistema ili bezbednosti. Administrator sistema ili bezbednosti može napraviti radnu grešku, grešku pri unosu podataka ili prilikom korišćenja hardvera ili softvera.
ITSRM: [E.2] System/Security administrators errors

3.3. Greške praćenja (zapisi)

Greške praćenja (zapisi)
Hardver Softver IKT usluge	Integritet	Slučajno
Nepravilni zapisi o aktivnostima, uključujući nedostatak zapisa, nepotpune zapise ili netačno datirane zapise (upravljanje logovima).
ITSRM: [E.3] Monitoring errors (logs) IT- Grundschutz-Compendium: OPS.1.1.5 Logging

3.4. Greške u konfiguraciji

Greške u konfiguraciji
Hardver Softver IKT usluge	Poverljivost Integritet Raspoloživost	Slučajno
Unos pogrešnih konfiguracionih podataka. U većini slučajeva sva imovina zavisi od ispravne konfiguracije, koja je u nadležnosti administratora i uključuje pristupne privilegije, aktivnosti korisnika, evidenciju aktivnosti, rutiranje i slično.
ITSRM: [E.4] Configuration errors

3.5. Organizacioni nedostaci

Organizacioni nedostaci
Zaposleni	Raspoloživost	Slučajno
Situacije u kojima nije jasno ko, šta i kada treba da preduzme, uključujući mere koje se odnose na imovinu ili izveštavanje upravljačkoj hijerarhiji. U ovu kategoriju spadaju neusklađene radnje, greške nastale propustom i slični incidenti.
ITSRM: [E.7] Organizational deficiencies IT- Grundschutz-Compendium: ORP.1 Organisation

3.6. Širenje zlonamernog softvera (malvera)

Širenje zlonamernog softvera (malvera)
Softver	Poverljivost Integritet Raspoloživost	Slučajno
Nenamerno širenje virusa, špijunskog softvera, crva, trojanaca, logičkih bombi i drugih oblika zlonamernog koda.
ITSRM: [E.8] Malware diffusion IT- Grundschutz-Compendium: G 0.39 Malware

3.7. Slučajna izmena podataka

Slučajna izmena podataka
Hardver Softver Zaposleni Lokacije IKT usluge	Integritet	Slučajno
Nenamerna izmena podataka. Ova pretnja se primarno odnosi na same podatke, dok za informacije pohranjene na digitalnim medijumima postoje specifične pretnje.
ITSRM: [E.15] Accidental alteration of the information

3.8. Uništenje podataka

Uništenje podataka
Hardver Softver Zaposleni Lokacije IKT usluge	Raspoloživost	Slučajno
Nenamerni gubitak podataka. Ova pretnja se primarno odnosi na same podatke, dok za informacije pohranjene na digitalnim medijumima postoje specifične pretnje.
ITSRM: [E.18] Destruction of information IT- Grundschutz-Compendium: G 0.45 Data Loss

3.9. Curenje podataka

Curenje podataka
Hardver Softver Zaposleni Lokacije IKT usluge	Poverljivost	Slučajno
Neovlašćeno razotkrivanje informacija zbog nepažnje ili indiskrecije. U ovu kategoriju spadaju verbalna indiskrecija, nepažljivo rukovanje elektronskim medijumima, štampanim kopijama i sličnim oblicima podataka.
ITSRM: [E.19] Information leaks IT- Grundschutz-Compendium: G 0.46 Loss of Integrity of Sensitive Information

3.10. Ranjivost softvera

Ranjivost softvera
Softver	Poverljivost Integritet Raspoloživost	Slučajno
Greške u kodu koje izazivaju nepravilno funkcionisanje softvera bez namere korisnika, ali koje mogu imati posledice po poverljivost podataka, integritet, raspoloživost ili operativnu sposobnost sistema.
ITSRM: [E.20] Software vulnerabilities IT- Grundschutz-Compendium: G 0.28 Software Vulnerabilities or Errors

3.11. Greške u održavanju/ažuriranju softvera

Greške u održavanju/ažuriranju softvera
Softver	Integritet Raspoloživost	Slučajno
Greške u procedurama ili kontrolama tokom ažuriranja sistema, uključujući poznate greške koje je proizvođač ispravio, ali koje i dalje mogu uticati na upotrebu sistema. Obuhvataju i greške u dizajnu, instalacione greške ili radne greške nastale tokom modifikacija, koje mogu izazvati nepravilno funkcionisanje sistema.
ITSRM: [E.21] Defects in software maintenance/updating IT- Grundschutz-Compendium: OPS.1.1.3 Patch and Change Management

3.12. Kvar sistema zbog iscrpljenosti resursa

Kvar sistema zbog iscrpljenosti resursa
Hardver IKT usluge	Raspoloživost	Slučajno
Nedostatak dovoljnog broja resursa može izazvati kvar sistema kada je radno opterećenje prekomerno. U ovu kategoriju spada preopterećenje prostora za čuvanje podataka (npr. rezervni prostor, skladištenje poštanskih sandučića, radni prostor), kao što je slučaj sa zasićenim poštanskim sandučićem kada je njegov vlasnik duže odsutan. Takođe, uključuje i zasićenje izazvano preopterećenjem sistema kada se istovremeno obrađuje previše zahteva.
ITSRM: [E.24] System failure due to exhaustion of resources IT- Grundschutz-Compendium: G 0.27 Lack of Resources

3.13. Gubitak opreme

Gubitak opreme
Hardver	Poverljivost Raspoloživost	Slučajno
Gubitak opreme direktno dovodi do nedostatka resursa za pružanje usluga, odnosno do neraspoloživosti tih usluga. Sve vrste opreme mogu biti pogođene. U slučaju računara ili servera koji sadrže podatke, može doći i do curenja informacija. U ovu kategoriju spada i neovlašćeno pribavljanje elektronskih medijuma (hard-diskovi, diskovi za rezervne kopije, USB ključevi, ZIP diskovi, uklonjivi diskovi i slično) ili papirnih kopija (popisi, nepotpuni ispisi, poruke i slično) koje su namenjene recikliranju, a koje sadrže osetljive informacije.
ITSRM: [E.25] Equipment loss IT- Grundschutz-Compendium: G 0.17 Loss of Devices, Storage Media and Documents

3.14. Nedostatak zaposlenih

Nedostatak zaposlenih
Zaposleni	Raspoloživost	Slučajno
Iznenadna neraspoloživost kvalifikovanog ili odgovornog zaposlenog zbog bolesti ili drugih okolnosti van njihove kontrole, što može uticati na kontinuitet rada i izvršavanje kritičnih funkcija.
ITSRM: [E.28] Staff shortage IT- Grundschutz-Compendium: G 0.33 Shortage of Personnel

3.15. Nedostatak svesti i specifičnih znanja o informacionoj bezbednosti

Nedostatak svesti i specifičnih znanja o informacionoj bezbednosti
Zaposleni	Raspoloživost	Slučajno
Operator IKT sistema od posebnog značaja ne poseduje dovoljnu stručnu kompetenciju u oblasti informacione bezbednosti, a ne postoje ni programi za podizanje svesti zaposlenih o značaju i principima bezbednog rukovanja informacijama.
IT- Grundschutz-Compendium: ORP.3 Awareness and Training in Information Security

3.16. Neadekvatno upravljanje privilegijama

Neadekvatno upravljanje privilegijama
Softver Zaposleni	Poverljivost Integritet	Slučajno
Nenamerno dodeljivanje preširokih prava pristupa korisnicima koja prevazilaze njihove poslovne potrebe.
IT- Grundschutz-Compendium: G 0.31 Incorrect Use or Administration of Devices and Systems

3.17. Nedostatak organizovanog sistema upravljanja informacionom bezbednošću

Nedostatak organizovanog sistema upravljanja informacionom bezbednošću
Zaposleni	Raspoloživost	Slučajno
Operator IKT sistema od posebnog značaja nema uspostavljen sistem upravljanja informacionom bezbednošću, niti su jasno definisane uloge i odgovornosti za planiranje, sprovođenje i nadzor aktivnosti u ovoj oblasti.
IT- Grundschutz-Compendium: ISMS.1 Security Management

3.18. Nedostatak sistema za detekciju incidenata

Nedostatak sistema za detekciju incidenata
Softver IKT usluge	Poverljivost Integritet Raspoloživost	Slučajno
Tokom svakodnevnih IKT operacija može doći do različitih incidenata i tehničkih grešaka. Postoji rizik da zaposleni ne prepoznaju bezbednosne incidente među njima, što može dovesti do toga da napad ili pokušaj napada prođe neprimećen i ostane bez pravovremene reakcije.
IT- Grundschutz-Compendium: DER.1 Detecting Security-Relevant Events

3.19. Neadekvatno planiranje kontinuiteta poslovanja

Neadekvatno planiranje kontinuiteta poslovanja
Softver Zaposleni IKT usluge	Poverljivost Integritet Raspoloživost	Slučajno
Kod operatora IKT sistema od posebnog značaja ne postoji dovoljno razvijen niti organizovan proces planiranja koji bi obezbedio kontinuitet poslovanja u slučaju nepoželjnih događaja koji dovode do neraspoloživosti IKT sistema. Zbog izostanka definisanih procedura i pripremljenih rezervnih scenarija, operator IKT sistema od posebnog značaja ostaje ranjiv na prekide rada i produženu neraspoloživost usluga.
IT- Grundschutz-Compendium: DER.4 Business Continuity Management

3.20. Neadekvatno korišćenje ili izostanak korišćenja kriptografskih kontrola

Neadekvatno korišćenje ili izostanak korišćenja kriptografskih kontrola
Softver IKT usluge	Poverljivost Integritet Raspoloživost	Slučajno
Kod operatora IKT sistema od posebnog značaja ne postoji odgovarajuća primena kriptografskih mehanizama koji bi trebalo da obezbede da se osetljivi podaci, bilo u mirovanju ili u tranzitu, ne prenose i ne čuvaju u čitljivom i nezaštićenom obliku. Ovakav nedostatak izlaže informacije riziku od neovlašćenog pristupa i kompromitovanja.
IT- Grundschutz-Compendium: CON.1 Crypto Concept

3.21. Greške u procedurama rezervnih kopija (Backup)

Greške u procedurama rezervnih kopija (Backup)
Softver IKT usluge	Poverljivost Integritet Raspoloživost	Slučajno
Neuspeh u pravljenju kopija ili nedostatak provere njihove ispravnosti.
IT- Grundschutz-Compendium: CON.3 Backup Concept

4. Namerni napadi

Namerni napadi su namerni propusti koje uzrokuju zaposleni ili napadači.

4.1. Manipulacija evidencijom aktivnosti (logovi)

Manipulacija evidencijom aktivnosti (logovi)
Hardver Softver IKT usluge	Integritet	Namerno
Namerno menjanje, brisanje ili prikrivanje logova i drugih zapisa aktivnosti radi uklanjanja tragova, dokaza ili indikatora kompromitacije, čime se otežava otkrivanje i analiza bezbednosnih incidenata.
ITSRM: [A.3] Manipulation of activity records IT- Grundschutz-Compendium: OPS.1.1.5 Logging

4.2. Manipulacija konfiguracijskim datotekama

Manipulacija konfiguracijskim datotekama
Hardver Softver IKT usluge	Poverljivost Integritet Raspoloživost	Namerno
Nepravilno podešavanje konfiguracionih parametara na sistemima, mrežnoj opremi ili aplikacijama. Većina IKT imovine zavisi od ispravne konfiguracije, koja je u potpunosti u rukama administratora. Ovde spadaju greške u dodeli pristupnih privilegija, konfiguraciji servisa i aktivnosti, vođenju evidencije događaja, mrežnom usmeravanju i drugim ključnim postavkama, što može dovesti do narušavanja bezbednosti ili neraspoloživosti sistema.
ITSRM: [A.4] Manipulation of the configuration files

4.3. Maskiranje identiteta

Maskiranje identiteta
Softver Hardver IKT usluge	Poverljivost Integritet	Namerno
Napadač se predstavlja kao ovlašćeni korisnik sistema kako bi iskoristio njegove privilegije za neovlašćene aktivnosti, uključujući pristup informacijama, manipulaciju podacima, obmanu ili prevaru. Pretnju mogu predstavljati zaposleni, kao i osobe izvan IKT sistema od posebnog značaja.
ITSRM: [A.5] Masquerading of identity IT- Grundschutz-Compendium: G 0.36 Identity theft

4.4. Zloupotreba prava pristupa

Zloupotreba prava pristupa
Softver IKT usluge Lokacije	Poverljivost Integritet Raspoloživost	Namerno
Korisnici imaju određeni nivo privilegija koji je dodeljen radi obavljanja njihovih zadataka. Zloupotreba nastaje kada te privilegije koriste za aktivnosti izvan svojih odgovornosti, uključujući neovlašćen pristup sistemu radi izmene, brisanja ili dodavanja funkcionalnosti, kao i izvođenje drugih neovlašćenih radnji.
ITSRM: [A.6] Abuse of access privileges IT- Grundschutz-Compendium: G 0.32 Misuse of Authorisation

4.5. Zloupotreba resursa

Zloupotreba resursa
Softver IKT usluge Lokacije	Poverljivost Integritet Raspoloživost	Namerno
Korišćenje resursa IKT sistema u svrhe koje nisu planirane ili odobrene, obično u ličnom interesu, uključujući igranje igara, lične pretrage na internetu, lične baze podataka, instaliranje ličnih programa, čuvanje ličnih podataka i slične aktivnosti.
ITSRM: [A.7] Misuse

4.6. Širenje malvera

Širenje malvera
Softver	Poverljivost Integritet Raspoloživost	Namerno
Svesno i ciljano unošenje ili distribuiranje virusa, špijunskog softvera, crva, trojanaca, logičkih bombi i drugih oblika malvera radi narušavanja poverljivosti, integriteta ili raspoloživosti sistema i podataka.
ITSRM: [A.8] Malware diffusion IT- Grundschutz-Compendium: G 0.39 Malware

4.7. Neovlašćen pristup

Neovlašćen pristup
Softver Hardver IKT usluge Lokacija	Poverljivost Integritet	Namerno
Napadač uspeva da pristupi resursima sistema bez potrebne autorizacije, najčešće iskorišćavanjem ranjivosti u mehanizmima identifikacije i autentifikacije. Osoba iznutra ili spolja pristupa informacionom sistemu i koristi njegove usluge kako bi izvršila operacije, pristupila podacima ili ih ukrala.
ITSRM: [A.11] Unauthorized access IT- Grundschutz-Compendium: G 0.23 Unauthorised Access to IT Systems

4.8. Analiza saobraćaja

Analiza saobraćaja
IKT usluge	Poverljivost	Namerno
Bez potrebe da pregleda sadržaj komunikacije, napadač može doći do značajnih zaključaka analizom njenog porekla, odredišta, obima i učestalosti razmene podataka. Ova tehnika, poznata kao "praćenje saobraćaja", može otkriti obrasce komunikacije, potencijalne ciljeve i osetljive odnose unutar sistema.
ITSRM: [A.12] Traffic analysis IT- Grundschutz-Compendium: NET.1.2 Network Management

4.9. Prisluškivanje

Prisluškivanje
Hardver Softver Zaposleni IKT usluge	Poverljivost	Namerno
Napadač stiče pristup informacijama koje mu ne pripadaju, pri čemu se sam sadržaj informacija ne menja. Osoba koja ima pristup komunikacionoj opremi ili medijumima, ili se nalazi unutar dometa komunikacionog prenosa, može koristiti specijalizovanu (često vrlo skupu) opremu za presretanje, slušanje, skladištenje i analiziranje prenetih podataka ili glasovne komunikacije.
ITSRM: [A.14] Eavesdropping IT- Grundschutz-Compendium: G 0.15 Eavesdropping

4.10. Namerna izmena informacija

Namerna izmena informacija
Hardver Softver Lokacije Zaposleni IKT usluge	Integritet	Namerno
Svesna i ciljana izmena podataka radi ostvarivanja koristi, obmane ili nanošenja štete informacionom sistemu, operatoru IKT sistema od posebnog značaja ili korisnicima.
ITSRM: [A.15] Deliberate alteration of the information IT- Grundschutz-Compendium: G 0.22 Manipulation of Information

4.11. Uništavanje informacija

Uništavanje informacija
Hardver Softver Lokacije Zaposleni IKT usluge	Raspoloživost	Namerno
Svesno i ciljano uništavanje podataka radi ostvarivanja koristi, prikrivanja tragova ili nanošenja štete operatoru IKT sistema od posebnog značaja, korisnicima ili informacionom sistemu.
ITSRM: [A.18] Destruction of information

4.12. Otkrivanje informacija

Otkrivanje informacija
Hardver Softver Lokacije Zaposleni IKT usluge	Poverljivost	Namerno
Svesno i ciljano narušavanja poverljivosti podataka radi ostvarivanja koristi, prikrivanja tragova ili nanošenja štete operatoru IKT sistema od posebnog značaja, korisnicima ili informacionom sistemu.
ITSRM: [A.19] Disclosure of information IT- Grundschutz-Compendium: G 0.19 Disclosure of Sensitive Information

4.13. Manipulacija softverom

Manipulacija softverom
Softver	Poverljivost Integritet Raspoloživost	Namerno
Svesna i ciljana izmena funkcionalnosti programa radi ostvarivanja posredne koristi kada ga ovlašćena osoba koristi. Napadač ubacuje program, kod ili naredbe kako bi izmenio uobičajeno ponašanje aplikacije ili dodao neovlašćenu funkcionalnost operativnom sistemu. Ova pretnja može ugroziti informacioni sistem u bilo kojoj fazi njegovog životnog ciklusa, tokom dizajna, testiranja, proizvodnje, rada, transporta ili održavanja.
ITSRM: [A.22] Software manipulation IT- Grundschutz-Compendium: G 0.21 Manipulation with Hardware or Software

4.14. Manipulacija hardverom

Manipulacija hardverom
Hardver	Poverljivost Raspoloživost	Namerno
Svesna i ciljana izmena funkcionalnosti hardverske opreme radi ostvarivanja posredne koristi u trenutku kada je koristi ovlašćena osoba. Takva manipulacija može uključivati dodavanje, uklanjanje ili modifikovanje komponenti ili funkcija sa ciljem narušavanja integriteta, pouzdanosti ili bezbednosti sistema.
ITSRM: [A.23] Hardware manipulation IT- Grundschutz-Compendium: G 0.21 Manipulation with Hardware or Software

4.15. Uskraćivanje usluga

Uskraćivanje usluga
Hardver IKT usluge	Raspoloživost	Namerno
Nedostatak raspoloživih resursa dovodi do kvara sistema kada je radno opterećenje preveliko. Napadač može namerno izazvati ovo stanje simuliranjem intenzivne potražnje za resursima kroz kontinuirano slanje velikog broja zahteva, što rezultira usporavanjem ili potpunom nedostupnošću usluga.
ITSRM: [A.24] Denial of services G 0.40 Denial of Service

4.16. Krađa opreme

Krađa opreme
Hardver IKT usluge	Poverljivost Raspoloživost	Namerno
Krađa opreme dovodi do gubitka resursa potrebnih za pružanje usluga, što može rezultirati delimičnom ili potpunom nedostupnošću sistema. Bilo koja vrsta opreme može biti meta krađe, pri čemu su najčešće pogođeni uređaji i informacioni medijumi koji sadrže podatke. Krađu mogu izvršiti zaposleni unutar IKT sistema od posebnog značaja, osobe van operatora IKT sistema od posebnog značaja ili privremeno angažovano osoblje, što utiče na nivo raspoloživosti ukradenoj opremi i potencijalne posledice, uključujući rizik od curenja informacija.
ITSRM: [A.25] Theft IT- Grundschutz-Compendium: G 0.16 Theft of Devices, Storage Media and Documents

4.17. Destruktivni napad

Destruktivni napad
Hardver Zaposleni Lokacije i prostorije IKT usluge	Raspoloživost	Namerno
Vandalizam, terorizam, vojna akcija, itd. Namerno delovanje koje dovodi do oštećenja, uništenja ili ometanja rada IKT sistema i infrastrukture. Ovu pretnju mogu izvršiti zaposleni, osobe van operatora IKT sistema od posebnog značaja ili privremeno angažovani.
ITSRM: [A.26] Destructive attack

4.18 Iznuđivanje (Ransomware)

Iznuđivanje (Ransomware)
Hardver Softver IKT usluge	Poverljivost Integritet Raspoloživost	Namerno
Namerno zaključavanje podataka uz zahtev za otkupninu i pretnju da će podaci biti javno objavljeni.

4.19. Socijalni inženjering

Socijalni inženjering
Zaposleni	Poverljivost Integritet Raspoloživost	Namerno
Manipulisanje osobama koje iz dobre namere ili poverenja izvršavaju radnje koje su u interesu trećih strana ili napadača, čime se omogućava neovlašćen pristup, sticanje informacija ili nanošenje štete sistemu.
ITSRM: [A.30] Social engineering IT- Grundschutz-Compendium: G 0.42 Social Engineering

4.20. Kompromitacija i zloupotreba MFP uređaja (štampači, skeneri, kopiri)

Kompromitacija i zloupotreba MFP uređaja (štampači, skeneri, kopiri)
Hardver Softver	Poverljivost Integritet Raspoloživost	Namerno
Zlonamerni akteri ciljaju mrežne uređaje za štampu, skeniranje i kopiranje (MFP) kao potencijalne ulazne tačke u IKT sistem operatora. Ovi uređaji su često zanemareni u procesu upravljanja bezbednošću, a mogu sadržati osetljive informacije u internoj memoriji, omogućiti neovlašćeni pristup mreži ili biti kompromitovani putem zastarelog firmware-a.

5. Pretnje povezane sa korišćenjem spoljnih usluga (treće strane, usluge računarstva u klaudu)

5.1. Zaključavanje

Zaključavanje
IKT usluge	Raspoloživost	Slučajno
Preterano oslanjanje na usluge jednog pružaoca može otežati ili onemogućiti promenu pružaoca u budućnosti. Migracija na drugog dobavljača može postati tehnički i organizaciono vrlo zahtevna, čime se povećava rizik od zastoja ili gubitka kontrole nad ključnim uslugama.
ITSRM: [SR.1] Lock-in

5.2. Gubitak upravljanja

Gubitak upravljanja
IKT usluge	Raspoloživost	Slučajno Namerno
Gubitak kontrole i upravljanja može ozbiljno ugroziti strategiju operatora IKT sistema od posebnog značaja i sposobnost ostvarivanja njenih misija i ciljeva. Takva situacija može dovesti do neispunjavanja bezbednosnih zahteva, narušavanja poverljivosti, integriteta i raspoloživosti podataka, kao i do smanjenja performansi i kvaliteta pruženih usluga.
ITSRM: [SR.2] Loss of governance

5.3. Greške kod izolacije

Greške kod izolacije
IKT usluge	Poverljivost Integritet Raspoloživost	Slučajno Namerno Prirodno
Ova kategorija pretnje obuhvata kvarove u mehanizmima koji obezbeđuju odvajanje čuvanja podataka, memorije, mrežnog usmeravanja i čak reputacije između različitih korisnika zajedničke infrastrukture. Posledice mogu uključivati gubitak vrednih ili osetljivih podataka, narušavanje ugleda i prekid pružanja usluga.
ITSRM: [SR.7] Isolation failure

5.4. Nesigurno ili neefikasno brisanje podataka

Nesigurno ili neefikasno brisanje podataka
IKT usluge	Poverljivost	Slučajno Namerno
Brisanje podataka sa skladišta ne znači nužno da su podaci trajno uklonjeni sa uređaja ili rezervnog medijuma. Ako skladištenje podataka na disku nije šifrovano, podacima kasnije može pristupiti drugi korisnik, treća strana (outsourcing) ili pružalac usluga, što predstavlja rizik od neovlašćenog pristupa.
ITSRM: [SR.11] Insecure or ineffective deletion of data

5.5. Sudski poziv i e-otkrivanje

Sudski poziv i e-otkrivanje
IKT usluge	Poverljivost Raspoloživost	Slučajno Namerno
Organi za sprovođenje zakona mogu od operatera IKT sistema od posebnog značaja zahtevati dostavljanje podataka u vezi sa krivičnim postupcima, ili informacije mogu biti potrebne tokom građanskih parnica. U nekim slučajevima, medijumi za čuvanje podataka ili drugi hardver mogu biti zaplenjeni kao dokaz.
ITSRM: [SR.19] Subpoena and e-discovery

5.6. Rizik od promene jurisdikcije

Rizik od promene jurisdikcije
IKT usluge	Poverljivost Raspoloživost	Slučajno Namerno
Kada se podaci čuvaju ili obrađuju u data centru koji se nalazi u zemlji koja nije zemlja korisnika, promena nadležnosti i primenljivih zakona može značajno uticati na bezbednost informacija. Podaci klijenata mogu biti raspoređeni u više jurisdikcija, od kojih neke mogu predstavljati visok rizik. Ako se data centri nalaze u zemljama sa visokim rizikom, na primer u državama bez vladavine prava, sa nepredvidivim pravnim okvirom i sprovođenjem, autokratskim režimima ili državama koje ne poštuju međunarodne sporazume, lokalne vlasti mogu pristupiti podacima ili izvršiti akcije koje ugrožavaju njihovu sigurnost.
ITSRM: [SR.20] Risk from changing of jurisdiction

5.7. Rizici zaštite podataka o ličnosti

Rizici zaštite podataka o ličnosti
IKT usluge	Poverljivost	Slučajno
Zakon o zaštiti podataka o ličnosti zasniva se na pretpostavci da je uvek jasno gde se nalaze lični podaci, ko ih obrađuje i ko je odgovoran za njihovu obradu. Distribuirana okruženja pružalaca usluga mogu biti u suprotnosti sa ovom pretpostavkom. Obrada podataka u drugoj zemlji može izazvati probleme u vezi sa primenom zakonodavstva o zaštiti podataka, a nadležni organi za zaštitu podataka mogu takvu obradu smatrati nezakonitom.
ITSRM: [SR.21] Data protection risks

5.8. Analiza incidenata i forenzička podrška

Analiza incidenata i forenzička podrška
IKT usluge	Poverljivost Integritet Raspoloživost	Slučajno Namerno
U slučaju incidenta, aplikacije i usluge hostovane kod pružaoca usluga se teško istražuju jer se zapisivanje može distribuirati na više servera i data centara, koji se nalaze u različitim zemljama i podležu različitim propisima.
ITSRM: [SR.38] Incidence analysis and forensics support IT-Grundschutz-Compendium: DER.2.2 Provisions for IT Forensics

5.9. Napadi uz korišćenje veštačke inteligencije

Napadi uz korišćenje veštačke inteligencije
Softver Zaposleni IKT usluge	Integritet Raspoloživost	Namerno
Zlonamerni akteri koriste alate i tehnike veštačke inteligencije za automatizaciju, ubrzavanje ili unapređenje sajber napada na IKT sisteme. Ovi napadi uključuju automatizovano generisanje malicioznog koda, kreiranje uverljivog fišing sadržaja prilagođenog konkretnim metama, zaobilaženje mera zaštite i ubrzano otkrivanje ranjivosti. Upotreba veštačke inteligencije značajno povećava obim, brzinu i preciznost napada, čineći ih težim za otkrivanje i odbranu.

5.10. Napadi usmereni na sisteme veštačke inteligencije

Napadi usmereni na sisteme veštačke inteligencije
Softver IKT usluge	Poverljivost Integritet Raspoloživost	Namerno
Zlonamerni akteri ciljaju same sisteme VI koje operator koristi u okviru svog IKT sistema, sa ciljem njihovog kompromitovanja, manipulacije ili onesposobljavanja. Ovi napadi uključuju trovanje podataka za obuku modela (data poisoning), napade na ulazne podatke sistema VI (adversarial attacks) kojima se sistem VI navodi na pogrešne odluke ili predviđanja, krađu modela i neovlašćeni pristup podacima korišćenim za obuku.

5.11. Bezbednost lanca snabdevanja

Bezbednost lanca snabdevanja
Softver IKT usluge	Poverljivost Integritet	Slučajno Namerno
Zaštita integriteta i pouzdanosti proizvoda, komponenti i usluga kroz sve faze, od projektovanja, proizvodnje i transporta do isporuke. Cilj je sprečavanje unošenja malicioznih izmena, falsifikovanih delova ili skrivenih ranjivosti pre nego što stignu u informacioni sistem.

6. Insajderska pretnja

Insajderska pretnja
Hardver Softver Zaposleni Lokacije IKT usluge	Poverljivost Integritet Raspoloživost	Slučajno Namerno
Rizik po informacionu bezbednost koji potiče od osoba iznutra, zaposlenih, bivših zaposlenih, partnera, koji imaju legitiman pristup sistemima, mrežama ili podacima. Ova pretnja može biti namerna (zlonamerni insajder koji krade podatke, nanosi štetu ili olakšava napade spolja), nenamerna (nepažnja, ljudska greška, zanemarivanje procedura) ili rezultat kompromitovanih kredencijala (insajder čiji su nalozi preuzeti od strane napadača).